« October 2024 | Main | December 2024 »

November 2024

2024.11.30

オーストラリア 議会 情報・安全保障合同委員会 2024年サイバーセキュリティ法制パッケージ (2024.10.08)

こんにちは、丸山満彦です。

議会の情報・安全保障合同委員会に2024年サイバーセキュリティ法制パッケージ(サイバーセキュリティ法案2024情報サービスおよびその他の法改正(サイバーセキュリティ)法案 2024重要インフラの安全保障およびその他の法改正(対応と予防の強化)法案 2024に提出されていますね...

読んでいると、米国とよく似た法制への改正を考えているようですね...

この法案パッケージをまとめたのは、Hon Tony Burke MP議員(労働党:2024.07.29からサイバーセキュリティ担当大臣)...

 

Parliament o Australia - Parliamentary Joint Committee on Intelligence and Security 

・2024.10.08 Cyber Security Legislative Package 2024

 

Cyber Security Legislative Package 2024 2024年サイバーセキュリティ法制パッケージ
On 9 October 2024, the Hon Tony Burke MP wrote to refer the Cyber Security Legislative Package to the Parliamentary Joint Committee on Intelligence and Security for inquiry and report. 2024年10月9日、トニー・バーク議員は、サイバーセキュリティ法制パッケージを議会の情報・安全保障合同委員会に付託し、調査と報告を求める文書を提出した。
The Legislative Package consists of the: 立法パッケージは以下からなる:
Cyber Security Bill 2024 サイバーセキュリティ法案2024
Intelligence Services and Other Legislation Amendment (Cyber Security) Bill 2024 情報サービスおよびその他の法改正(サイバーセキュリティ)法案 2024
Security of Critical Infrastructure and Other Legislation Amendment (Enhanced Response and Prevention) Bill 2024 重要インフラの安全保障およびその他の法改正(対応と予防の強化)法案 2024
The Cyber Security Legislative Package 2024 intends to implement seven initiatives under the 2023-2030 Australian Cyber Security Strategy, which aims to address legislative gaps to bring Australia in line with international best practice and help ensure Australia is on track to become a global leader in cyber security. サイバーセキュリティ立法パッケージ2024は、2023-2030年オーストラリア・サイバーセキュリティ戦略の下、7つのイニシアチブを実施することを意図している。この戦略は、オーストラリアを国際的なベストプラクティスに沿わせ、オーストラリアがサイバーセキュリティのグローバルリーダーになるための軌道を確実にするために、法制上のギャップに対処することを目的としている。
These measures are intended to address gaps in current legislation to: これらの措置は、以下のような現行法とのギャップに対処することを意図している:
・mandate minimum cyber security standards for smart devices ・スマートデバイスの最低限のサイバーセキュリティ標準を義務付ける。
・introduce mandatory ransomware reporting for certain businesses to report ransom payments ・特定の企業に対し、身代金の支払いを報告するランサムウェア報告義務を導入する。
・introduce ‘limited use’ obligations for the National Cyber Security Coordinator and the Australian Signals Directorate (ASD) ・国家サイバーセキュリティ・コーディネーターとオーストラリア信号局(ASD)に「限定的使用」義務を導入する。
・establish a Cyber Incident Review Board ・サイバーインシデント審査委員会を設置する。
The package also intends to progress and implement reforms to the Security of Critical Infrastructure Act 2018 (SOCI Act). These reforms intend to: 本パッケージはまた、2018年重要インフラ安全保障法(SOCI法)の改革を進め、実施する予定である。これらの改革は以下を意図している:
・clarify existing obligations in relation to systems holding business critical data ビジネス上重要なデータを保持するシステムに関する既存の義務を明確にする。
・enhance government assistance measures to better manage the impacts of all hazards incidents on critical infrastructure ・重要インフラに対するあらゆる災害インシデントの影響をよりよく管理するための政府支援策を強化する。
・simplify information sharing across industry and Government ・産業界と政府の情報共有を簡素化する。
・introduce a power for the Government to direct entities to address serious deficiencies within their risk management programs ・政府が事業体に対し、リスクマネジメント・プログラムの重大な欠陥に対処するよう指示する権限を導入する。
・align regulation for the security of telecommunications into the SOCI Act ・電気通信のセキュリティに関する規制をSOCI法に整合させる。
Submissions are invited by Friday, 25 October 2024. Further information about making a submission to a parliamentary committee is available here. 提出期限は2024年10月25日(金)である。議会委員会への提出に関する詳細はこちらを参照のこと。

 

About this inquiry この調査について
The Committee is reviewing the Cyber Security Bill 2024, the Intelligence Services and Other Legislation Amendment (Cyber Security) Bill 2024 and the Security of Critical Infrastructure and Other Legislation Amendment (Enhanced Response and Prevention) Bill 2024. 当委員会は、サイバーセキュリティ法案、情報サービスおよびその他の法改正法案、重要インフラのセキュリティおよびその他の法改正法案を審査している。
The Cyber Security Legislative Package 2024 intends to implement seven initiatives under the 2023-2030 Australian Cyber Security Strategy, which aims to address legislative gaps to bring Australia in line with international best practice and help ensure Australia is on track to become a global leader in cyber security. サイバーセキュリティ立法パッケージ2024は、2023-2030年オーストラリア・サイバーセキュリティ戦略の下、7つのイニシアチブを実施することを意図しており、オーストラリアを国際的なベストプラクティスに沿わせ、オーストラリアがサイバーセキュリティの世界的リーダーになるための軌道を確実にするために、法律上のギャップに対処することを目的としている。
Cyber Security Bill 2024 サイバーセキュリティ法案 2024
Intelligence Services and Other Legislation Amendment (Cyber Security) Bill 2024 情報サービスおよびその他の法改正(サイバーセキュリティ)法案 2024
Security of Critical Infrastructure and Other Legislation Amendment (Enhanced Response and Prevention) Bill 2024 重要インフラの安全保障およびその他の法改正(対応と予防の強化)法案 2024
Submissions 提出書類
Media Releases メディアリリース
Public Hearings 公聴会
Government Response 政府対応
Committee Membership 委員会メンバー
Report 報告書

 

パッケージ...

Abbreviations 略語
Members メンバー
Terms of reference 参考文献
List of recommendations 提言リスト
Chapters
Chapter 1 - Introduction 第1編 序文
Conduct of the inquiry 調査の実施
Report structure 報告書の構成
Context of the inquiry 調査の背景
Chapter 2 - The Cyber Security Bill 2024 第2編 2024年サイバーセキュリティ法案
Background and purpose of the Cyber Security Bill サイバーセキュリティ法案の背景と目的
Part 1: Preliminary 第1章:序文 
Part 2: Security standards for smart devices 第2章:スマートデバイスのセキュリティ標準
Part 3: Ransomware mandatory reporting obligations 第3章:ランサムウェアの報告義務
Part 4: Coordination of significant security incidents 第4章:重大なセキュリティインシデントの調整
Part 5: Cyber Incident Review Board 第5章:サイバーインシデント審査会
Part 6: Regulatory powers 第6章:規制権限
Part 7: Miscellaneous 第7章:その他
Chapter 3 - Intelligence Services and Other Legislation Amendment (Cyber Security) Bill 2024 第3編 インテリジェンスサービスおよびその他の法改正(サイバーセキュリティ)法案 2024年
Schedule 1: Limited use of certain cyber security information スケジュール 1: 特定のサイバーセキュリティ情報の限定的使用
Schedule 2: Amendment to the FOI Act スケジュール2:情報公開法の改正
Chapter 4 - Security of Critical Infrastructure and Other Legislation Amendment (Enhanced Response and Prevention) Bill 2024 第4編 重要インフラの安全保障とその他の法改正(対応と予防の強化)法案 2024年
Schedule 1: Definition of ‘critical infrastructure asset’ to include ‘data storage systems’ スケジュール1 重要インフラ資産」の定義に「データ保管システム」を含める
Schedule 2: Amendments to Part 3A of the SOCI Act スケジュール2:SOCI法Part 3Aの改正
Schedule 3: Use and disclosure of information スケジュール3:情報の利用と開示
Schedule 4: New direction power to request variation of critical infrastructure risk management program スケジュール4:重要インフラリスクマネジメントプログラムの変更を要求する新たな方向性権限
Schedule 5: Security regulation for critical telecommunications assets スケジュール5:重要電気通信資産のセキュリティ規制
Schedule 6: Notification of declaration of systems of national significance スケジュール6:国家的に重要なシステムの宣言の通知
Chapter 5 - Evidence to the Committee 第5編 委員会に対する証拠
General views on the legislative package 立法パッケージに関する一般的見解
Views on specific provisions 特定の条項に関する見解
Additional amendments proposed by the Minister 大臣による追加修正案
Chapter 6 - Committee comments and recommendations 第6編 委員会のコメントと勧告
Overarching comments 包括的コメント
The review process 検討プロセス
Security standards for smart devices スマートデバイスのセキュリティ標準
Ransomware reporting ランサムウェアの報告
Cyber Incident Review Board サイバーインシデント審査委員会
Limited use provisions 使用制限規定
SOCI Act amendments SOCI法の改正
Statutory reviews 法定レビュー
Additional Comments of the Coalition Members of the Committee 委員会連合メンバーの追加コメント
A. List of submissions 提出書類リスト
B. List of witnesses at public hearings 公聴会出席者リスト

 

・[PDF]

20241130-30916

・[DOCX][PDF] 仮訳

 

オーストラリアのサイバーセキュリティ戦略 2023-2030

・2023.11.22 2023-2030 Australian Cyber Security Strategy



 

まるちゃんの情報セキュリティきまぐれ日記

・2023.11.24 オーストラリア 内務省 2023-2030 オーストラリア サイバーセキュリティ戦略と実行計画 (2023.11.22)

・2023.05.21 オーストラリア 情報保護室による「2023-2030年サイバーセキュリティ戦略ディスカッションペーパー」への意見提出

| | Comments (0)

2024.11.29

米国 AI安全研究所 安全保障等に関わる政府タスクフォースの設立、AI安全機構国際ネットワークの設立総会で初代議長に、NIST AI 100-4の発表 (2024.11.20)

こんにちは、丸山満彦です。

 

AIに関する先週の米国政府の動き...

  • 米国のAI安全研究所が国家安全保障能力とリスクを管理するAIモデルの研究とテストに協力する新たな米国政府タスクフォース設立した。

  • 米商務省と米国務省、サンフランシスコでAI安全機構国際ネットワークの設立総会を開催し、米国が初代議長になる。

  • NISTが、AI 100-4 Reducing Risks Posed by Synthetic Content
    生成コンテンツのリスクの軽減を発表した。

 

AI安全に関する国際ネットワークの初期加盟国10カ国には、日本も当然に入っています...

  1. オーストラリア
  2. カナダ
  3. 欧州連合(EU)
  4. フランス
  5. 日本
  6. ケニア
  7. 韓国
  8. シンガポール
  9. 英国
  10. 米国

 

 

NIST

・2024.11.20 U.S. AI Safety Institute Establishes New U.S. Government Taskforce to Collaborate on Research and Testing of AI Models to Manage National Security Capabilities & Risks

U.S. AI Safety Institute Establishes New U.S. Government Taskforce to Collaborate on Research and Testing of AI Models to Manage National Security Capabilities & Risks 米国AI安全研究所は、国家安全保障能力とリスクを管理するAIモデルの研究とテストに協力する新しい米国政府タスクフォースを設立した。
The Testing Risks of AI for National Security (TRAINS) Taskforce brings together experts from Commerce, Defense, Energy, Homeland Security, NSA, and NIH to address national security concerns and strengthen American leadership in AI innovation. 国家安全保障のためのAIのリスクテスト(TRAINS)タスクフォースは、商務省、国防総省、エネルギー省、国土安全保障省、NSA、NIHの専門家を集め、国家安全保障上の懸念に対処し、AIイノベーションにおける米国のリーダーシップを強化する。
Washington, D.C. — Today, the U.S. Artificial Intelligence Safety Institute at the U.S. Department of Commerce’s National Institute of Standards and Technology (NIST) announced the formation of the Testing Risks of AI for National Security (TRAINS) Taskforce, which brings together partners from across the U.S. Government to identify, measure, and manage the emerging national security and public safety implications of rapidly evolving AI technology. This announcement comes as the United States is set to host the first-ever convening of the International Network of AI Safety Institutes in San Francisco. ワシントンD.C.- 本日、米国商務省国立標準技術研究所(NIST)の米国人工知能安全研究所は、国家安全保障のためのAIリスクテスト(TRAINS)タスクフォースの結成を発表した。同タスクフォースは、急速に進化するAI技術が国家安全保障と公共の安全に及ぼす影響を特定、測定、管理するために、米国政府全体のパートナーを結集するものである。この発表は、米国がサンフランシスコでAI安全機構国際ネットワーク(International Network of AI Safety Institutes)の初会合を開催することになったことに伴うものである。
The Taskforce will enable coordinated research and testing of advanced AI models across critical national security and public safety domains, such as radiological and nuclear security, chemical and biological security, cybersecurity, critical infrastructure, conventional military capabilities, and more.  同タスクフォースは、放射線・核セキュリティ、化学・生物学的セキュリティ、サイバーセキュリティ、重要インフラ、通常の軍事能力など、国家安全保障や公共安全の重要な領域にわたって、高度なAIモデルの協調的な研究やテストを可能にする。
These efforts will advance the U.S. government imperative to maintain American leadership in AI development and prevent adversaries from misusing American innovation to undermine national security.  これらの取り組みは、AI開発における米国のリーダーシップを維持し、敵対国が米国のイノベーションを悪用して国家安全保障を損なうことを防ぐという米国政府の要請を推進するものである。
The TRAINS Taskforce is chaired by the U.S. AI Safety Institute and includes initial representation from the following federal agencies: TRAINSタスクフォースは、米国AI安全研究所が委員長を務め、以下の連邦機関の代表が初期メンバーとして参加している:
・The Department of Defense, including the Chief Digital and Artificial Intelligence Office (CDAO) and the National Security Agency 国防総省(最高デジタル・人工知能局(CDAO)と国家安全保障局を含む。
・The Department of Energy and ten of its National Laboratories エネルギー省とその10の国立研究所
・The Department of Homeland Security, including the Cybersecurity and Infrastructure Security Agency (CISA) ・サイバーセキュリティ・インフラセキュリティ庁(CISA)を含む国土安全保障省
・The National Institutes of Health (NIH) at the Department of Health and Human Services ・保健福祉省の国立衛生研究所(NIH)
Each member will lend its unique subject matter expertise, technical infrastructure, and resources to the Taskforce and will collaborate on the development of new AI evaluation methods and benchmarks, as well as conduct joint national security risk assessments and red-teaming exercises.  各メンバーは、独自の専門知識、技術インフラ、リソースをタスクフォースに提供し、新しいAI評価手法やベンチマークの開発で協力するとともに、国家安全保障リスクアセスメントやレッドチーム演習を共同で実施する。
“Enabling safe, secure, and trustworthy AI innovation is not just an economic priority – it's a public safety and national security imperative,” said U.S. Secretary of Commerce Gina Raimondo. “Every corner of the country is impacted by the rapid progress in AI, which is why establishing the TRAINS Taskforce is such an important step to unite our federal resources and ensure we’re pulling every lever to address the challenges of this generation-defining technology. The U.S. AI Safety Institute will continue to lead by centralizing the top-notch national security and AI expertise that exists across government in order to harness the benefits of AI for the betterment of the American people and American business.” ジーナ・ライモンド米商務長官は次のように述べた。「安全、安心、信頼できるAIイノベーションを可能にすることは、単なる経済的優先事項ではなく、公共の安全と国家安全保障上の必須事項である。だからこそ、TRAINSタスクフォースの設立は、連邦政府のリソースを統合し、この生成的技術の課題に対処するためにあらゆる手段を講じることを確実にするための重要なステップなのです。米国AI安全機構は、政府全体に存在する一流の国家安全保障とAIの専門知識を一元化し、米国民と米国ビジネスの向上のためにAIの恩恵を活用することで、リードし続けるでしょう。」
This effort operationalizes the whole-of-government approach to AI safety, as directed by the recent National Security Memorandum on AI, and the TRAINS Taskforce is expected to expand its membership across the federal government as its work continues. この取り組みは、AIに関する最近の国家安全保障覚書によって指示された、AIの安全性に対する政府全体のアプローチを運用するものであり、TRAINSタスクフォースは、その作業が継続するにつれて、連邦政府全体にそのメンバーを拡大することが期待されている。

 

 

 

 

 

 


 

・2024.11.20 FACT SHEET: U.S. Department of Commerce & U.S. Department of State Launch the International Network of AI Safety Institutes at Inaugural Convening in San Francisco

 

FACT SHEET: U.S. Department of Commerce & U.S. Department of State Launch the International Network of AI Safety Institutes at Inaugural Convening in San Francisco ファクトシート:米商務省と米国務省は、サンフランシスコでの設立総会でAI安全機構の国際ネットワークを発足させた。
・The Network will drive alignment on and build the scientific basis for safe, secure, and trustworthy AI innovation around the world. ・このネットワークは、安全、安心、信頼できるAIイノベーションのための科学的基盤の構築を推進する。
・Ahead of the convening, the Network is announcing key developments including a joint mission statement, more than $11 million in funding toward synthetic content research, findings from the Network’s first multilateral testing exercise, and a joint statement on risk assessments of advanced AI systems. ・招集に先立ち、ネットワークは、共同ミッション・ステートメント、合成コンテンツ研究に向けた1,100万ドル以上の資金提供、ネットワーク初の多国間テスト演習の結果、高度AIシステムのリスクアセスメントに関する共同声明など、重要な進展を発表する。
・This technical-level working meeting gathers network members and industry, academic, and civil society experts to advance the Network’s work on the road to the AI Action Summit hosted by France in February. ・この技術レベルの作業部会は、2月にフランスで開催されるAIアクション・サミットに向けてネットワークの作業を進めるため、ネットワークのメンバー、産業界、学術界、市民社会の専門家を集めたものである。
San Francisco, California – Today the U.S. Department of Commerce and U.S. Department of State are co-hosting the inaugural convening of the International Network of AI Safety Institutes, a new global effort to advance the science of AI safety and enable cooperation on research, best practices, and evaluation. To harness the enormous benefits of AI, it is essential to foster a robust international ecosystem to help identify and mitigate the risks posed by this breakthrough technology. Through this Network, the United States hopes to address some of the most pressing challenges in AI safety and avoid a patchwork of global governance that could hamper innovation. カリフォルニア州サンフランシスコ - 本日、米国商務省と米国国務省は、AIの安全性に関する科学を発展させ、研究、ベストプラクティス、評価に関する協力を可能にする新たな世界的取り組みである、AI安全機構国際ネットワークの第1回会合を共催する。AIがもたらす莫大な利益を活用するためには、この画期的な技術がもたらすリスクを特定し、軽減するための強固な国際的エコシステムを育成することが不可欠である。米国はこのネットワークを通じて、AIの安全性における最も差し迫った課題に取り組み、イノベーションを妨げる可能性のあるグローバル・ガバナンスのつぎはぎ状態を回避したいと考えている。
The United States will serve as the inaugural chair of the International Network of AI Safety Institutes, whose initial members include Australia, Canada, the European Union, France, Japan, Kenya, the Republic of Korea, Singapore, the United Kingdom, and the United States. 米国は、オーストラリア、カナダ、欧州連合(EU)、フランス、日本、ケニア、韓国、シンガポール、英国、米国を初期加盟国とするAI安全機構国際ネットワークの初代議長を務める。
Over the next two days in San Francisco, California, technical experts from member governments will be joined by leading AI developers, academics, civil society leaders, and scientists from non-Network governments to discuss key areas of collaboration on AI safety and lend their technical and scientific expertise to the Network’s mission.  カリフォルニア州サンフランシスコで開催されるこの2日間、メンバー政府の技術専門家が、ネットワーク非加盟政府の主要なAI開発者、学者、市民社会リーダー、科学者に加わり、AIの安全性に関する主要な協力分野について議論し、技術的・科学的専門知識をネットワークの使命に役立てる。
The convening is structured as a technical working meeting that will address three high-priority topics that stand to urgently benefit from international coordination, specifically: (1) managing risks from synthetic content, (2) testing foundation models, and (3) conducting risk assessments for advanced AI systems.  この会議は、国際的な協調が緊急に必要とされる3つの優先度の高いトピックを扱う技術的なワーキング・ミーティングとして構成されている。具体的には、(1)合成コンテンツによるリスクマネジメント、(2)基礎モデルのテスト、(3)高度AIシステムのリスクアセスメントである。
By bringing together the leading minds across governments, industry, academia, and civil society, we hope to kickstart meaningful international collaboration on AI safety and innovation, particularly as we work toward the upcoming AI Action Summit in France in February and beyond. 政府、産業界、学術界、市民社会が一堂に会することで、特に2月にフランスで開催されるAIアクション・サミットやその後に向けて、AIの安全性とイノベーションに関する有意義な国際協力を開始したい。
(1) Adopting an aligned mission statement for the International Network of AI Safety Institutes. (1) AI安全機構国際ネットワークのミッション・ステートメントを統一する。
・Launching the International Network of AI Safety Institutes is an essential step forward for global coordination on safe AI innovation. The Network will enable its members to leverage their respective technical capacity to harmonize approaches and minimize duplication of resources, while providing a platform to bring together global technical expertise. AI安全機構国際ネットワークの立ち上げは、安全なAIイノベーションに関するグローバルな調整にとって不可欠な前進である。ネットワークは、メンバーがそれぞれの技術的能力を活用し、アプローチを調和させ、リソースの重複を最小化することを可能にすると同時に、グローバルな技術的専門知識を結集するためのプラットフォームを提供する。
・Ahead of the inaugural convening of the Network, all 10 initial members have agreed to a joint mission statement that reads in part: 本ネットワークの発足に先立ち、初期メンバー10カ国は、以下の共同ミッション・ステートメントに合意した:
・・“The International Network of AI Safety Institutes is intended to be a forum that brings together technical expertise from around the world. Recognizing the importance of cultural and linguistic diversity, we aim to facilitate a common technical understanding of AI safety risks and mitigations based upon the work of our institutes and of the broader scientific community that will support international development and the adoption of interoperable principles and best practices. We also intend to encourage a general understanding of and approach to AI safety globally, that will enable the benefits of AI innovation to be shared amongst countries at all stages of development.”  「AI安全機構国際ネットワークは、世界中の技術的専門知識を結集するフォーラムとなることを意図している。文化的、言語的多様性の重要性を認識し、国際的な発展と相互運用可能な原則とベストプラクティスの採用を支援するため、私たちの機構と広範な科学コミュニティの研究に基づき、AIの安全リスクと緩和策に関する共通の技術的理解を促進することを目指す。また、AIの安全性に関する一般的な理解とアプローチを世界的に促進することで、AIイノベーションの恩恵をあらゆる発展段階にある国間で共有できるようにするつもりである。」
・The International Network Members have also aligned on four priority areas of collaboration: pursuing AI safety research, developing best practices for model testing and evaluation, facilitating common approaches such as interpreting tests of advanced AI systems, and advancing global inclusion and information sharing. 国際ネットワークメンバーはまた、AI安全性研究の追求、モデルテストと評価のためのベストプラクティスの開発、高度AIシステムのテストの解釈など共通のアプローチの促進、グローバルな包摂と情報共有の促進という4つの優先的協力分野で足並みを揃えている。
・The United States AI Safety Institute (US AISI) will serve as the inaugural Chair of the International Network of AI Safety Institutes and Network members will discuss additional details of governance, structure, and meeting cadence at the convening.  米国AI安全機構(US AISI)はAI安全機構国際ネットワークの初代議長を務め、ネットワーク加盟国はガバナンス、構造、会議日程の詳細について協議する。
・The Network will also discuss priorities and a roadmap for continued work toward the forthcoming AI Action Summit in Paris in February 2025 and beyond. ネットワークはまた、2025年2月にパリで開催されるAIアクション・サミットとその後に向けた継続的な活動の優先順位とロードマップについて議論する。
(2) Announcing more than $11 million in global research funding commitments to address the International Network’s new joint research agenda on mitigating risks from synthetic content. (2) 合成コンテンツによるリスクの低減に関する国際ネットワークの新たな共同研究課題に取り組むため、1,100万ドルを超える世界的な研究資金拠出を発表する。
・With the rise of generative AI and the rapid development and adoption of highly capable AI models, it is now easier, faster, and less expensive than ever to create synthetic content at scale. Though there are a range of positive and innocuous uses for synthetic content, there are also risks that need to be identified, researched, and mitigated to prevent real-world harm – such as the generation and distribution of child sexual abuse material and non-consensual sexual imagery, or the facilitation of fraud and impersonation. 生成的AIの台頭と、高い能力を持つAIモデルの急速な開発と採用により、合成コンテンツを大規模に作成することは、かつてないほど簡単、迅速、かつ低コストになっている。合成コンテンツには肯定的で無害な用途もあるが、児童性的虐待や同意のない性的イメージの生成・配布、詐欺やなりすましの助長など、実社会での被害を防ぐために特定・研究・低減が必要なリスクもある。
・To advance the state of the science and inform novel ways to mitigate synthetic content risks, the International Network of AI Safety Institutes has outlined a joint research agenda calling for urgent and actionable inquiry by the scientific community into key gaps in the current literature. 科学の現状を前進させ、合成コンテンツのリスクを軽減する新しい方法を知らせるために、AI安全機構国際ネットワークは、現在の文献における重要なギャップについて、科学界による緊急かつ実行可能な調査を求める共同研究課題をまとめた。
・・Priority research topics include understanding the security and robustness of current digital content transparency techniques, exploring novel and emergent digital content transparency methods, and developing model safeguards to prevent the generation and distribution of harmful synthetic content. 重点研究課題には、現在のデジタルコンテンツ透明化技術の安全性と堅牢性を理解すること、新しく出現するデジタルコンテンツ透明化手法を探求すること、有害な合成コンテンツの生成と配布を防止するモデルセーフガードを開発することなどが含まれる。
・・The International Network research agenda encourages a multidisciplinary approach, including technical mitigations as well as social scientific and humanistic assessments to identify problems and solutions.  国際ネットワークの研究アジェンダは、問題と解決策を特定するために、技術的な軽減策だけでなく、社会科学的、人文科学的なアセスメントを含む、学際的なアプローチを奨励している。
・In response to this agenda, government agencies and several leading philanthropies have committed a total of more than $11 million (USD) to spur this vital research. このアジェンダを受け、政府機関といくつかの主要な慈善団体は、この重要な研究に拍車をかけるため、総額1,100万ドル(米ドル)以上を拠出している。
・・The United States, through USAID, is designating $3.8 million this fiscal year to strengthen capacity building, research, and deployment of safe and responsible AI in USAID partner countries overseas, including supporting research on synthetic content risk mitigation. 米国はUSAIDを通じて、海外のUSAIDパートナー諸国における安全で責任あるAIの能力開発、研究、展開を強化するため、今年度380万ドルを拠出する。
・・Australia, through its national science agency, the Commonwealth Scientific and Industrial Research Organisation (CSIRO), is investing $2.2 million (AUD) ($1.42 million USD) annually in research aimed at identifying and mitigating the risks of synthetic content.  オーストラリアは、国立科学機関である英連邦科学産業研究機構(CSIRO)を通じて、合成コンテンツのリスクの特定と軽減を目的とした研究に年間220万豪ドル(142万米ドル)を投資する。
・・The Republic of Korea will commit $1.8 million (USD) annually for 4 years, totaling $7.2 million (USD), toward research and development efforts on detecting, preventing, and mitigating the risks of synthetic content through the ROK AISI program. 韓国は、ROK AISI プログラムを通じて、合成コンテンツのリスクを検知、防止、軽減するための研究開発に、4 年間にわたり毎年 180 万ドル(米ドル)、合計 720 万ドル(米ドル)を投資する。
・・The John S. and James L. Knight Foundation is committing $3 million (USD) to support scholarship aligned with the research agenda on mitigating risks from synthetic content. ジョン・S・アンド・ジェームズ・L・ナイト財団は、合成コンテンツのリスク低減に関する研究課題に沿った奨学金支援に300万ドルを拠出する。
・・The AI Safety Fund (AISF), an independently administered non-profit collaboration between leading frontier AI developers and philanthropic partners, will contribute $1 million (USD) in support of the research agenda, focusing on safeguards in the design, use, and evaluation of AI models and systems to reduce risks to security and public safety from model outputs. AI安全基金 (AISF)は、フロンティアAIの主要開発者とフィランソロピー・パートナーが共同で運営する非営利団体で、AIモデルやシステムの設計、使用、評価におけるセーフガードに焦点を当て、モデルのアウトプットから生じる安全保障や公共の安全に対するリスクを低減するための研究課題を支援するために、100万ドル(米ドル)を拠出する。
・・An additional $250,000 (USD) in 2025 funding by the Omidyar Network has been pledged in support of the research agenda. 研究課題を支援するため、オミダイヤー・ネットワークによる25万ドルの追加資金提供が約束された。
・・At the convening, the International Network will also discuss shared Network principles for mitigating synthetic content risks, including best practices and innovations for improving the security, reliability, privacy, transparency, and accessibility of generative AI. These inputs will help advance an aligned perspective from the members, which we hope to share at the forthcoming France AI Action Summit. 国際ネットワークはまた、生成的AIのセキュリティ、信頼性、プライバシー、透明性、アクセシビリティを改善するためのベストプラクティスやイノベーションを含む、合成コンテンツリスクを軽減するためのネットワークの共有原則について議論する。これらのインプットは、近々開催されるフランスAIアクション・サミットで共有されることを期待している。
・To support this work, US AISI is releasing the final version of its first synthetic content guidance report, NIST AI 100-4: Reducing Risks Posed by Synthetic Content, which identifies a series of voluntary approaches to address risks from AI-generated content like child sexual abuse material, impersonation, and fraud. この作業を支援するため、米国AISIは、初の合成コンテンツガイダンス報告書「NIST AI 100-4: Reducing Risks Posed by Synthetic Content」の最終版を発表する。同報告書は、児童性的虐待資料、なりすまし、詐欺など、AIが生成するコンテンツがもたらすリスクに対処するための一連の自主的アプローチを明らかにしている。
・・This final version reflects input and feedback from an array of external experts and public comment solicited over the past several months. この最終版は、過去数ヶ月間に募集された外部専門家やパブリックコメントからの意見やフィードバックを反映したものである。
(3) Methodological insights on multi-lingual, international AI testing efforts from the International Network of AI Safety Institutes’ first-ever joint testing exercise. (3)AI安全機構国際ネットワークによる初の共同テストから得られた、多言語、国際的なAIテストの取り組みに関する方法論的洞察。
・The International Network of AI Safety Institutes completed its first-ever joint testing exercise, led by technical experts from US AISI, UK AISI, and Singapore AISI.  AI 安全機構国際ネットワークは、米国 AISI、英国 AISI、シンガポール AISI の技術専門家が主導する初の合同試験を完了した。
・The Network conducted this exercise to explore methodological challenges, opportunities, and next steps for joint work that the Network can pursue to advance more robust and reproducible AI safety testing across languages, cultures, and contexts. この演習は、言語、文化、文脈を超えて、より強固で再現可能なAI安全性試験を進めるために、ネットワークが追求できる方法論的課題、機会、共同作業の次のステップを探るために実施された。
・This exercise raised key considerations for international testing, such as the impact that small methodological differences and model optimization techniques can have on evaluation results, and highlighted strategies for potentially mitigating these challenges.  この演習では、わずかな方法論の違いやモデルの最適化技術が評価結果に与える影響など、国際的なテストにおける重要な検討事項を提起し、これらの課題を低減する可能性のある戦略を浮き彫りにした。
・This exercise was conducted on Meta’s Llama 3.1 405B to test across three topics – general academic knowledge, ‘closed-domain’ hallucinations, and multi-lingual capabilities – and will act as a pilot for a broader joint testing exercises leading into the AI Action Summit in Paris this February. The learnings from the pilot testing process will also lay the groundwork for future testing across international borders and evaluation best practices. この演習は、Meta社のLlama 3.1 405Bで実施され、3つのトピック(一般的な学術知識、「クローズド・ドメイン」幻覚、多言語能力)にわたってテストされ、今年2月にパリで開催されるAIアクション・サミットにつながる、より広範な共同テスト演習のパイロットとして機能する。また、この試験的なテストプロセスから得られた学習は、将来的な国境を越えたテストやベストプラクティスの評価のための基礎となるだろう。
(4) A joint statement on risk assessments of advanced AI systems, including a plan for advancing International Network alignment. (4) 先進的AIシステムのリスクアセスメントに関する共同声明(国際ネットワークの連携を進めるための計画を含む)。
・Assessing the risks of advanced AI systems presents novel challenges, and it is central to the mission of the International Network of AI Safety Institutes to address these challenges and align on a framework for understanding the risks and capabilities posed by this technology. 先進的AIシステムのリスクアセスメントには新たな課題があり、これらの課題に取り組み、この技術がもたらすリスクと能力を理解するための枠組みで連携することは、AI安全機構国際ネットワークの使命の中心である。
・While recognizing that the science of AI risk assessment continues to evolve and that each Network member operates within its own unique context, the International Network of AI Safety Institutes agreed to establish a shared scientific basis for risk assessments, building on six key aspects outlined by the Network – namely, that risk assessments should be (1) actionable, (2) transparent, (3) comprehensive, (4) multistakeholder, (5) iterative, and (6) reproducible. AIのリスクアセスメントの科学は進化し続けており、ネットワークメンバーはそれぞれ独自の状況の中で活動していることを認識しながらも、AI安全性機構国際ネットワークは、ネットワークが概説した6つの重要な側面、すなわち、リスクアセスメントのための共通の科学的基盤を確立することに合意した。6つの重要な側面とは、リスクアセスメントは、(1)実行可能、(2)透明、(3)包括的、(4)マルチステークホルダー、(5)反復的、(6)再現可能でなければならないということである。
・This shared approach builds on commitments made in in the Bletchley Declaration and the Seoul Statement of Intent, as well as the progress made through the OECD, the G7 Hiroshima Process, the Frontier AI Safety Commitments, and other relevant international AI safety initiatives. この共有されたアプローチは、ブレッチリー宣言やソウル意向表明におけるコミットメントに加え、OECD、G7広島プロセス、フロンティアAI安全性コミットメント、その他の関連する国際的なAI安全性イニシアティブを通じた進展に基づくものである。
・At the convening, the International Network will solicit feedback and insight from members and gathered experts on how to operationalize a shared approach to risk assessments and build a roadmap for advancing global alignment and interoperability.  国際ネットワークは、リスクアセスメントを共有するアプローチをどのように運用し、グローバルな整合性と相互運用性を進めるためのロードマップを構築するかについて、メンバーや集まった専門家から意見や洞察を求める。
(5) Establishing a new U.S. Government taskforce led by the U.S. AI Safety Institute to collaborate on research and testing of AI models to manage national security capabilities and risks. (5) 国家安全保障の能力とリスクを管理するためのAIモデルの研究とテストについて協力するため、米国AI安全研究所が主導する新たな米国政府タスクフォースを設立する。
・The Testing Risks of AI for National Security (TRAINS) Taskforce brings together experts from the Departments of Commerce, Defense, Energy, Homeland Security, as well as the National Security Agency (NSA) and National Institutes of Health (NIH) to address national security concerns and strengthen American leadership in AI innovation. 国家安全保障のためのAIのリスクテスト(TRAINS)タスクフォースは、商務省、国防省、エネルギー省、国土安全保障省、国家安全保障局(NSA)、国立衛生研究所(NIH)の専門家を集め、国家安全保障上の懸念に対処し、AIイノベーションにおける米国のリーダーシップを強化する。
・The Taskforce will enable coordinated research and testing of advanced AI models across critical national security and public safety domains, such as radiological and nuclear security, chemical and biological security, cybersecurity, critical infrastructure, conventional military capabilities, and more.  タスクフォースは、放射線・核セキュリティ、化学・生物学的セキュリティ、サイバーセキュリティ、重要インフラ、通常の軍事能力など、国家安全保障と公共安全の重要な領域にわたって、高度なAIモデルの協調的な研究とテストを可能にする。
・These efforts will advance the U.S. government imperative to maintain American leadership in AI development and prevent adversaries from misusing American innovation to undermine national security.  これらの取り組みは、AI開発における米国のリーダーシップを維持し、敵対国が米国のイノベーションを悪用して国家安全保障を損なうことを防ぐという米国政府の要請を推進するものである。
・More information can be found here in the press release. 詳細はプレスリリースを参照されたい。

 

 


 

「(1) AI安全機構国際ネットワークのミッション・ステートメントを統一する」関係...

初期加盟国10カ国によるミッションステートメント...

・[PDF]

20241129-61702

 

International Network of AI Safety Institutes  AI安全機構国際ネットワーク 
Mission Statement  ミッション・ステートメント 
The AI safety institutes and government mandated offices that facilitate AI safety and evaluation from Australia, Canada, the European Commission, France, Japan, Kenya, the Republic of Korea, Singapore, the United Kingdom, and the United States, have gathered today in San Francisco on November 21, 2024 to launch the International Network of AI Safety Institutes. Affirming and building on the Seoul Statement of Intent toward  オーストラリア、カナダ、欧州委員会、フランス、日本、ケニア、大韓民国、シンガポール、英国、米国から、AIの安全性と評価を促進するAI安全機構と政府委任機関が本日、2024年11月21日にサンフランシスコに集まり、AI安全機構国際ネットワークを発足させた。ソウルで発表された「AIの安全科学に関する国際協力のための意向声明」を確認し、これを基に、以下のことを行う。
International Cooperation on AI Safety Science released at the AI Seoul Summit on May 21, 2024, this Network is intended to catalyze a new phase of international cooperation on AI safety.  このネットワークは、2024年5月21日に開催されたAIソウル・サミットで発表された「AI安全科学に関する国際協力に向けたソウル声明」を確認し、これを基礎とするもので、AI安全科学に関する国際協力の新たな段階を促進することを目的としている。
Our institutes and offices are technical organisations that aim to advance AI safety, help governments and society understand the risks posed by advanced AI systems, and suggest solutions to address those risks in order to minimize harm. Beyond mitigating risks, these institutes and offices play a crucial role in guiding the responsible development and deployment of AI systems. AI presents enormous opportunities – the ability to serve societal needs and transform and enhance human wellbeing, peace, and prosperity – as well as potential global risks. International cooperation to promote AI safety, security, inclusivity, and trust is essential to address those risks, drive responsible innovation, and expand access to the benefits of AI worldwide.  私たちの機構やオフィスは、AIの安全性を推進し、高度なAIシステムがもたらすリスクを政府や社会が理解するのを助け、被害を最小限に抑えるためにそれらのリスクに対処する解決策を提案することを目的とした技術組織である。リスクを低減するだけでなく、これらの機関やオフィスは、AIシステムの責任ある開発と展開を導く上で重要な役割を果たしている。AIは、社会のニーズに応え、人間の福利、平和、繁栄を変革し、向上させる能力という巨大な機会をもたらすと同時に、潜在的な世界的リスクをももたらす。AIの安全性、セキュリティ、包括性、信頼を促進するための国際協力は、こうしたリスクに対処し、責任あるイノベーションを推進し、AIの恩恵へのアクセスを世界中に拡大するために不可欠である。 
The International Network of AI Safety Institutes is intended to be a forum that brings together technical expertise from around the world. Recognizing the importance of cultural and linguistic diversity, we aim to facilitate a common technical understanding of AI safety risks and mitigations based upon the work of our institutes and of the broader scientific community that will support international development and the adoption of interoperable principles and best practices. We also intend to encourage a general understanding of and approach to AI safety globally, that will enable the benefits of AI innovation to be shared amongst countries at all stages of development.  AI安全機構国際ネットワークは、世界中の技術的専門知識を結集するフォーラムとなることを意図している。文化的・言語的多様性の重要性を認識しつつ、国際的な発展と相互運用可能な原則およびベストプラクティスの採用を支援するため、各機関および広範な科学コミュニティの研究に基づき、AIの安全リスクと緩和策に関する共通の技術的理解を促進することを目指す。また、AIの安全性に関する一般的な理解とアプローチを世界的に促進することで、AIイノベーションの恩恵をあらゆる発展段階にある国間で共有できるようにする。
The leadership of our respective AI safety institutes and offices have therefore come together to collaborate as Network Members to help drive technical alignment on AI safety research, testing, and guidance.  そのため、それぞれのAI安全機構や事務所の指導者たちは、ネットワークメンバーとして協力し、AIの安全性に関する研究、テスト、ガイダンスに関する技術的な連携を促進するために集まった。
As a first step, we intend to prioritize our collective efforts, in line with our mandates, in the following four areas crucial to international AI safety:  その第一歩として、国際的なAIの安全性確保に不可欠な以下の4つの分野について、各機関がそれぞれの使命に沿って優先的に取り組むことを意図している: 
• Research: We plan, together with the scientific community, to advance research on risks and capabilities of advanced AI systems as well as to share the most relevant results, as appropriate, from research that advances the science of AI safety.  ・研究: 研究:我々は,科学界とともに,先進的なAIシステムのリスクと能力に関する研究を進めるとともに,AIの安全性に関する科学を前進させる研究から得られた最も関連性の高い結果を適宜共有することを計画している。
• Testing: We plan to work towards building common best practices for testing advanced AI systems. This work may include conducting joint testing exercises and sharing results from domestic evaluations, as appropriate.  ・テスト: 我々は,先進的なAIシステムをテストするための共通のベストプラクティスの構築に向けて取り組むことを計画している。この作業には,適宜,共同テスト演習の実施や国内評価結果の共有が含まれる。
• Guidance: We plan to facilitate shared approaches such as interpreting tests of advanced systems, where appropriate.  ・ガイダンス: 適切な場合には,先進的なシステムのテストの解釈など,共通のアプローチを促進することを計画する。
• Inclusion: We plan to actively engage countries, partners, and stakeholders in all regions of the world and at all levels of development by sharing information and technical tools in an accessible and collaborative manner, where appropriate. We hope, through these actions, to increase the capacity for a diverse range of actors to participate in the science and practice of AI safety. Through this Network, we are dedicated to collaborating broadly with partners to ensure that safe, secure, and trustworthy AI benefits all of humanity.  ・参加: 私たちは,適切な場合には,アクセスしやすく協力的な方法で情報や技術ツールを共有することにより,世界のあらゆる地域,あらゆる開発レベルの国,パートナー,利害関係者を積極的に巻き込むことを計画している。これらの活動を通じて,多様な関係者がAIの安全性の科学と実践に参加する能力を高めることを望む。このネットワークを通じて,私たちは,安全,安心,信頼できるAIが全人類に利益をもたらすよう,パートナーとの広範な協力に専心する。

 

 

 


 

「(2) 合成コンテンツによるリスクの低減に関する国際ネットワークの新たな共同研究課題に取り組むため、1,100万ドルを超える世界的な研究資金拠出を発表する。」関係...

・2024.11.20 [PDF] NIST AI 100-4 Reducing Risks Posed by Synthetic Content

20241129-60422

・[DOCX][PDF] 仮訳

 

 

 


 

「(3)AI安全機構国際ネットワークによる初の共同テストから得られた、多言語、国際的なAIテストの取り組みに関する方法論的洞察」関係...

 

・[PDF] 基礎的モデルの国際試験の改善:AI安全機構国際ネットワークによるパイロットテスト演習

20241129-62809

 

 


 

「(4) 先進的AIシステムのリスクアセスメントに関する共同声明(国際ネットワークの連携を進めるための計画を含む)」関係...

 

・[PDF] 先進AIシステムのリスクアセスメントに関する共同声明AI安全機構国際ネットワーク

20241129-63329

 

 


 

NIST

・2024.11.20 U.S. AI Safety Institute Establishes New U.S. Government Taskforce to Collaborate on Research and Testing of AI Models to Manage National Security Capabilities & Risks

U.S. AI Safety Institute Establishes New U.S. Government Taskforce to Collaborate on Research and Testing of AI Models to Manage National Security Capabilities & Risks 米国AI安全研究所は、国家安全保障能力とリスクを管理するAIモデルの研究とテストに協力する新しい米国政府タスクフォースを設立した。
The Testing Risks of AI for National Security (TRAINS) Taskforce brings together experts from Commerce, Defense, Energy, Homeland Security, NSA, and NIH to address national security concerns and strengthen American leadership in AI innovation. 国家安全保障のためのAIのリスクテスト(TRAINS)タスクフォースは、商務省、国防総省、エネルギー省、国土安全保障省、NSA、NIHの専門家を集め、国家安全保障上の懸念に対処し、AIイノベーションにおける米国のリーダーシップを強化する。
Washington, D.C. — Today, the U.S. Artificial Intelligence Safety Institute at the U.S. Department of Commerce’s National Institute of Standards and Technology (NIST) announced the formation of the Testing Risks of AI for National Security (TRAINS) Taskforce, which brings together partners from across the U.S. Government to identify, measure, and manage the emerging national security and public safety implications of rapidly evolving AI technology. This announcement comes as the United States is set to host the first-ever convening of the International Network of AI Safety Institutes in San Francisco. ワシントンD.C.- 本日、米国商務省国立標準技術研究所(NIST)の米国人工知能安全研究所は、国家安全保障のためのAIリスクテスト(TRAINS)タスクフォースの結成を発表した、
同タスクフォースは、急速に進化するAI技術が国家安全保障と公共の安全に及ぼす影響を特定、測定、管理するために、米国政府全体のパートナーを結集するものである。
この発表は、米国がサンフランシスコでAI安全機構国際ネットワークの初会合を開催することになったことに伴うものである。
The Taskforce will enable coordinated research and testing of advanced AI models across critical national security and public safety domains, such as radiological and nuclear security, chemical and biological security, cybersecurity, critical infrastructure, conventional military capabilities, and more.  同タスクフォースは、放射線・核セキュリティ、化学・生物学的セキュリティ、サイバーセキュリティ、重要インフラ、通常の軍事能力など、国家安全保障や公共安全の重要な領域にわたって、高度なAIモデルの協調的な研究やテストを可能にする。
These efforts will advance the U.S. government imperative to maintain American leadership in AI development and prevent adversaries from misusing American innovation to undermine national security.  これらの取り組みは、AI開発における米国のリーダーシップを維持し、敵対国が米国のイノベーションを悪用して国家安全保障を損なうことを防ぐという米国政府の要請を推進するものである。
The TRAINS Taskforce is chaired by the U.S. AI Safety Institute and includes initial representation from the following federal agencies: TRAINSタスクフォースは、米国AI安全研究所が委員長を務め、以下の連邦機関の代表が初期メンバーとして参加している:
The Department of Defense, including the Chief Digital and Artificial Intelligence Office (CDAO) and the National Security Agency 国防総省(最高デジタル・人工知能局(CDAO)と国家安全保障局を含む。
The Department of Energy and ten of its National Laboratories エネルギー省とその10の国立研究所
The Department of Homeland Security, including the Cybersecurity and Infrastructure Security Agency (CISA) サイバーセキュリティ・インフラセキュリティ庁(CISA)を含む国土安全保障省
The National Institutes of Health (NIH) at the Department of Health and Human Services 保健福祉省の国立衛生研究所(NIH)
Each member will lend its unique subject matter expertise, technical infrastructure, and resources to the Taskforce and will collaborate on the development of new AI evaluation methods and benchmarks, as well as conduct joint national security risk assessments and red-teaming exercises.  各メンバーは、独自の専門分野、技術インフラ、リソースをタスクフォースに提供し、新しいAI評価手法やベンチマークの開発で協力するとともに、国家安全保障リスクアセスメントやレッドチーム演習を共同で実施する。
“Enabling safe, secure, and trustworthy AI innovation is not just an economic priority – it's a public safety and national security imperative,” said U.S. Secretary of Commerce Gina Raimondo. “Every corner of the country is impacted by the rapid progress in AI, which is why establishing the TRAINS Taskforce is such an important step to unite our federal resources and ensure we’re pulling every lever to address the challenges of this generation-defining technology. The U.S. AI Safety Institute will continue to lead by centralizing the top-notch national security and AI expertise that exists across government in order to harness the benefits of AI for the betterment of the American people and American business.” 「ジーナ・ライモンド米商務長官は、「安全、安心、信頼できるAIイノベーションを可能にすることは、単なる経済的優先事項ではなく、公共の安全と国家安全保障上の必須事項である。だからこそ、TRAINSタスクフォースの設立は、連邦政府のリソースを統合し、この生成的技術の課題に対処するためにあらゆる手段を講じることを確実にするための重要なステップなのです」と述べた。米国AI安全機構は、政府全体に存在する一流の国家安全保障とAIの専門知識を一元化し、米国民と米国ビジネスの向上のためにAIの恩恵を活用することで、リードし続けるだろう。
This effort operationalizes the whole-of-government approach to AI safety, as directed by the recent National Security Memorandum on AI, and the TRAINS Taskforce is expected to expand its membership across the federal government as its work continues. この取り組みは、AIに関する最近の国家安全保障覚書によって指示されたように、AIの安全性に対する政府全体のアプローチを運用するものであり、TRAINSタスクフォースは、その作業が継続するにつれて、連邦政府全体にそのメンバーを拡大することが期待されている。

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

覚書と枠組み...

・2024.10.26 米国 ホワイトハウス 「人工知能における米国のリーダーシップの推進、国家安全保障上の目標を達成するための人工知能の活用、人工知能の安全性、セキュリティ、信頼性の育成に関する覚書」と「国家安全保障におけるガバナンスとリスクマネジメントを推進する枠組み」

 

AI 100-4関係...

・2024.05.03 米国 商務省 NISTがAIに関する4つのドラフトを公開し、意見募集を開始 (2023.04.29)

 

 

| | Comments (0)

2024.11.28

英国 NCSC ガイダンス「サイバーセキュリティリスクマネジメントを改善するための取締役会との協力」とブログ記事「取締役会にサイバーについてどう話すか」 (2024.10.07)

こんにちは、丸山満彦です。

英国の国家サイバーセキュリティセンター(NCSC)が、「サイバーセキュリティリスクマネジメントを改善するための取締役会との協力」というガイダンスを公表し、「取締役会にサイバーについてどう話すか」というブログ記事を公表していますね...

ランサムウェア被害や、大量の個人データの漏えい事案等、サイバーインシデントが経営に重要な影響を及ぼすことは今でも十分ありますし、これから社会、企業等のIT依存度がさらに高まることを考えると、さらにその重要性は増してくると思います。

そのため、その企業等のステークホルダーにとっても、サイバーリスクは重大な関心事となりますよね...取引先というステークホルダーのサイバーリスクに注意を払うようになり、サプライチェーンリスクマネジメントということが言われるようになってきています。

であれば、もっとも重要なステークホルダーである株主・投資家も企業のサイバーリスクについて関心を持って当然ですよね...

 

U.K. National Cyber Security Centre

ガイダンス...

・2024.10.07 Engaging with Boards to improve the management of cyber security risk

・[PDF]

20241127-235505

 

Engaging with Boards to improve the management of cyber security risk サイバーセキュリティリスクマネジメントを改善するために取締役会と協力する
How to communicate more effectively with board members to improve cyber security decision making. サイバーセキュリティの意思決定を改善するために、取締役会のメンバーとどのように効果的なコミュニケーションをとるか。
In this guidance 本ガイダンスでは
Introduction: why engaging with Boards matters 序文:なぜ取締役会との連携が重要なのか?
Understanding your audience 対象者を理解する
Engaging strategically 戦略的に関与する
Communicating clearly 明確にコミュニケーションする
Cyber security is a critical risk for boards and executive teams. Cyber security leaders (such as CISOs) play a crucial role in describing and mitigating the risks. This guidance helps those leaders to communicate effectively with Boards, and to better engage with their members. サイバーセキュリティは、取締役会や経営陣にとって重要なリスクである。サイバーセキュリティリーダー(CISOなど)は、リスクの説明と低減において重要な役割を担っている。本ガイダンスは、このようなリーダーが取締役会と効果的なコミュニケーションを図り、取締役会のメンバーとより良い関係を築くことを支援する。
Introduction: why engaging with Boards matters 序文:なぜ取締役会との連携が重要なのか?
Communicating with Boards and senior executives about cyber security can feel daunting, with the scrutiny this entails. サイバーセキュリティに関する取締役会や上級役員とのコミュニケーションは、その監視の厳しさゆえに難しく感じられるかもしれない。
It’s important to remember that Boards ultimately want you to be successful in defending the organisation against cyber security threats. When the Board is behind your efforts, cyber security can be recognised as a positive thing that helps your organisation’s digital activity to flourish, and not just seen as a necessary evil or cost-centre. 重要なのは、取締役会が最終的に求めているのは、サイバーセキュリティの脅威から組織を守ることに成功してほしいということである。取締役会があなたの取り組みを支持することで、サイバーセキュリティは、必要悪やコストセンターと見なされるのではなく、組織のデジタル活動を繁栄させるためのポジティブなものとして認識されるようになる。
Most Board members do not have in-depth cyber security knowledge. That’s not their role. Cyber security leaders, on the other hand, do have detailed knowledge of the domain, but maybe less experience in communicating with Board or senior executive teams. As a cyber professional, it is part of your job to bridge this gap to provide better cyber security outcomes. ほとんどの取締役は、サイバーセキュリティに関する深い知識を持っていない。それは彼らの役割ではない。一方、サイバーセキュリティ・リーダーは、この分野の詳細な知識を持っているが、取締役会や上級幹部チームとのコミュニケーションの経験は少ないかもしれない。サイバーセキュリティの専門家として、このギャップを埋め、より良いサイバーセキュリティの成果を提供することがあなたの仕事の一部である。
Cyber security is a strategic issue, which means you must engage with Boards on their terms and in their language to ensure the cyber risk is understood, managed and mitigated. This guidance describes how to communicate and engage more effectively with board members, to improve cyber security decision making within your organisation. It will also help you to communicate with senior executives, who make recommendations to the Board and are responsible for executing the strategy. Executives will take most of the decisions relating to cyber security and will be answerable to the Board for those decisions. Your CEO and CFO will likely be board members too. サイバーセキュリティは戦略的な問題であり、サイバーリスクが理解され、管理され、低減されるようにするためには、取締役会の言葉や用語で取締役会に働きかける必要がある。本ガイダンスでは、組織内のサイバーセキュリティに関する意思決定を改善するために、取締役会メンバーとより効果的にコミュニケーションし、関与する方法について説明する。また、取締役会に提言を行い、戦略の実行に責任を持つ上級幹部とのコミュニケーションにも役立つ。経営幹部は、サイバーセキュリティに関する意思決定のほとんどを行い、その決定について取締役会に回答する責任を負う。最高経営責任者(CEO)と最高財務責任者(CFO)も取締役会のメンバーになる可能性が高い。
Note: 注:
This guidance does not aim to increase cyber security understanding  amongst board members. The NCSC has produced separate guidance designed to help Boards ‘get a grip on cyber’, and includes briefings, guidance and training material directed at non-technical decision makers. 本ガイダンスは、取締役会メンバーのサイバーセキュリティに対する理解を深めることを目的としていない。NCSCは、取締役会が「サイバーセキュリティを把握する」ためのガイダンスを別途作成しており、非技術的な意思決定者を対象としたブリーフィング、ガイダンス、トレーニング資料が含まれている。
Understanding your audience 聴衆を理解する
As an enthusiastic and knowledgeable subject matter expert, you will probably have a tendency to want to tell, share and provide substantial updates on all your activities. In doing so, it’s easy to forget to calibrate your output for your audience. 'Cyber’ is 99% your day job. For Boards, this topic will be competing for space on an agenda already packed with dozens of other topics. It is therefore essential that you understand this broader Board agenda, the corporate strategy and goals, and the challenges the business faces. 熱心で知識豊富な専門家として、あなたはおそらく、自分の活動すべてについて、最新情報を伝え、共有し、提供したいと思う傾向があるだろう。そうすることで、聴衆に合わせてアウトプットを調整することを忘れがちになる。サイバー」は99%あなたの本業である。ボードにとって、このトピックは、すでに何十ものトピックで埋まっているアジェンダの中で、スペースを奪い合うことになる。そのため、より幅広い取締役会の議題、企業の戦略や目標、ビジネスが直面する課題を理解することが不可欠だ。
You won’t have (and don’t need) access to all the details; just reminding yourself of the top-down position, and asking questions if you need to, will help you talk about cyber in a relevant way that is connected to the strategic agenda. As with any audience, investing time in understanding what is important to the Board, their context and how they work will make you a more effective communicator. トップダウンの立場を思い起こし、必要であれば質問することで、戦略的アジェンダに関連した形でサイバーについて話すことができる。どのような聴衆に対しても言えることだが、取締役会にとって何が重要なのか、その背景や仕事の進め方を理解するために時間を費やすことが、あなたをより効果的なコミュニケーターにする。
Understand how ALL Boards work 取締役会のすべての仕事を理解する
This guidance focuses on engagement with Boards, the formal corporate group who are responsible for: このガイダンスは、以下の責任を負う正式な企業グループである取締役会とのエンゲージメントに焦点を当てている:
・the long-term strategy of the organisation in the interests of stakeholders-at-large ・ステークホルダー全体の利益のために、組織の長期的な戦略を策定する。
・the governance of the execution of that strategy and management of risks associated with it ・戦略実行のガバナンスとそれに伴うリスクマネジメント
It is a common misconception that Boards make all the decisions; most will be made by the executive management team, with the Board concerning itself with the governance and oversight of those decisions and recommendations. The NCSC has produced a useful summary of cyber security regulations and directors duties in the UK, which you should familiarise yourself with so you can better understand the Board’s obligations. 取締役会がすべての意思決定を行うというのは一般的な誤解であり、ほとんどの意思決定は経営陣が行い、取締役会はそれらの意思決定や提言のガバナンスと監督に責任を持つ。NCSCは、英国におけるサイバーセキュリティ規制と取締役の義務に関する有用な要約を作成した。
The role of cyber security professionals here is: ここでのサイバーセキュリティ専門家の役割は以下の通りである:
1. To ensure the cyber security implications of strategic decisions are understood by decision makers. 1. 戦略的意思決定がサイバーセキュリティに与える影響を意思決定者に確実に理解させる。
2. To ensure that risks to delivering the organisation’s strategy are identified, evaluated, and mitigated in line with the business risk appetite. This includes ensuring that the business has adequate cyber resilience to prevent, detect and respond to cyber attacks. 2. 組織の戦略を実現するためのリスクが、ビジネスリスクアペタイトに沿って特定、評価、低減されるようにする。これには、サイバー攻撃を防止、検知、対応するための適切なサイバーレジリエンスを確保することも含まれる。
The latter is most naturally where the conversation will start. To contribute to the former you will need to build trust in your knowledge and ability to deliver, and have demonstrated that you can contribute positively to the strategic discussions. 後者については、当然ながら会話が始まる。前者に貢献するためには、自分の知識と能力に対する信頼を築き、戦略的な議論に積極的に貢献できることを証明する必要がある。
Boards are responsible for overseeing a broad range of issues in their governance roles. Time allocated to even the most important subjects can often look very limited and dismissive of the importance of the subject. Respecting the preciousness of Board time is key to ‘operating at Board level’. 政府は、ガバナンスの役割の中で、幅広い問題を監督する責任を負っている。最も重要なテーマであっても、そこに割かれる時間は非常に限られており、その重要性を軽視しているように見えがちである。取締役会の貴重な時間を尊重することが、「取締役会レベルでの運営」の鍵である。
Note: 注:
The Financial Reporting Council - UK Corporate Governance Code gives a more detailed view of the role of a Board (and its members). Financial Reporting Council - UK Corporate Governance Codeは、取締役会(およびそのメンバー)の役割について、より詳細な見解を示している。
Understand how YOUR Board works (and who is on it) 自社の取締役会がどのように機能するか(そして誰が取締役会のメンバーか)を理解する
We tend to think of ‘The Board’ as a single entity, but it is of course made up of individual humans just like any other group, each with their own knowledge, skills, styles and preferences. 私たちは「取締役会」を単一の事業体として考えがちだが、もちろん他のグループと同じように個々の人間で構成されており、それぞれが独自の知識、スキル、スタイル、嗜好を持っている。
As well as who is on the Board, it's important to understand the mechanisms and practicalities of how your Board operates. How often do they meet? What format do the meetings take? What committees are there? Find out who manages the Board in your organisation. Larger companies will have a Company Secretary team who will be able to support you. Responsibility sometimes falls to a Chief of Staff role. In particular, seek advice on their ‘ways of working’, such as how they like sessions to work, and what style of papers and presentations work best. Read what Board output might be available to you. 誰が役員であるかだけでなく、役員会がどのように運営されているか、その仕組みと実務を理解することも重要だ。取締役会の開催頻度は?会議はどのような形式で行われるのか?どのような委員会があるのか?あなたの組織で誰が取締役会を管理しているのかを確認する。大企業であれば、カンパニー・セクレタリー・チームがあり、あなたをサポートしてくれるだろう。チーフ・オブ・スタッフの役割に責任がある場合もある。特に、彼らがどのようなセッションを好むか、どのようなスタイルの書類やプレゼンテーションが最も効果的かなど、「仕事のやり方」について助言を求める。理事会のアウトプットがどのようなものかを読む。
Cyber is a risk - talk about it as such サイバーはリスクである。
Boards understand risk. Many Boards will have a Risk Committee possibly combined with other functions such as Audit, Governance or Compliance. 取締役会はリスクを理解している。多くの取締役会にはリスク委員会があり、監査、ガバナンス、コンプライアンスなど他の機能と組み合わされている。
Whilst cyber risks may be notably different from other risks (the adversarial nature, the potential for catastrophic impact, their often very technical nature - and more generally how ‘new’ cyber risk is), it is helpful to align it with the framework and language of risk the Board are already familiar with. It allows you to locate ‘cyber’ in what should be familiar territory for board members. Your role is to help them understand how the cyber risks manifest as business risks, their potential impact and what you (with their support) will do to avoid or mitigate them. サイバーリスクは他のリスク(敵対的な性質、壊滅的な影響の可能性、多くの場合非常に技術的な性質、より一般的にはサイバーリスクがいかに「新しい」ものであるか)と著しく異なるかもしれないが、取締役会が既に慣れ親しんでいるリスクの枠組みや言語に合わせることは有益である。これにより、取締役会メンバーにとって馴染みのある領域に「サイバー」を位置づけることができる。あなたの役割は、サイバーリスクがビジネスリスクとしてどのように顕在化するのか、その潜在的な影響、そしてそれを回避または軽減するために(彼らの支援を受けて)あなたが何をするのかを理解してもらうことである。
In practice this means decomposing the threat landscape into clearly stated risks, in natural language, then grading the likelihood and impact of those risks. 実際には、これは脅威の状況を自然な言葉で明確にリスクに分解し、それらのリスクの可能性と影響を評価することを意味する。
Where possible, quantify and make the risks tangible, using precise language. You should reserve ‘doomsday scenario’ language and hyperbole for risks that really really warrant it. Equally Boards expect honest, matter-of-fact assessments of risks and your current position. Trying to gloss-over the risk (or overstate the mitigation) is not helpful. 可能であれば、正確な表現を用いてリスクを定量化し、具体化する。終末のシナリオ」的な表現や大げさな表現は、それが本当に正当なリスクに対して使うべきものである。同様に、ボードはリスクと現在のポジションについて、正直で率直なアセスメントを期待する。リスクを覆い隠そうとする(あるいは低減を誇張する)ことは役に立たない。
Recent research commissioned by the NCSC revealed that 80% of Boards do not realise that the accountability for cyber risk rests with them, even when cyber aspects are outsourced. Remember, it’s your job to advise; you can’t set the appetite for risk. That has to be done by the Board. NCSCが委託した最近の調査によると、80%の取締役会は、サイバーリスクの説明責任が、サイバー面を外部に委託している場合でも、取締役会にあることを認識していないことが明らかになった。助言するのがあなたの仕事であり、リスク選好度を決めることはできない。それは取締役会が行わなければならない。
Engage outside of Board meetings 取締役会以外の場で関与する
Board meetings aren’t the best place for you to ask questions, or to have in-depth discussions. 'Cyber' is more likely to be allocated a 15-minute session, rather than a two-hour workshop. It is much easier to have longer discussions between individuals and smaller groups. You may also find Board members are more comfortable asking questions about things they are unsure about in these smaller groups, something that’s hard for anyone to do in a formal setting. 取締役会は、質問したり、突っ込んだ議論をしたりするのに最適な場ではない。サイバー」は、2時間のワークショップではなく、15分のセッションに割り当てられる可能性が高い。個人や少人数のグループの方が、長いディスカッションがしやすい。また、正式な場ではなかなかできないような質問も、少人数のグループなら気軽にできる。
You’ll soon be able to identify the individuals on the Board who have a particular interest or knowledge of your area, so try and develop regular communication with them outside the regular Board agenda. Work with your executive management to achieve this. 理事会のメンバーで、あなたの分野に特別な関心や知識を持つ人物はすぐに特定できるだろうから、通常の理事会の議題以外でも、彼らとの定期的なコミュニケーションを図るようにしよう。経営幹部と協力してこれを達成する。
High-profile incidents present an opportunity to inform, update and advise. When cyber hits the news, which it frequently does, use the story to put a short briefing together for executive teams and Boards. This should cover the potential impact on your organisation, the steps you're taking to protect against similar incidents, and anything within your organisation that might heighten the risk or block progress in mitigating it. It may not be appropriate for you to send this directly to the Board, but share these thoughts with executives for them to share, if they see fit. 注目されるインシデントは、情報提供、更新、助言の機会を提供する。サイバー関連のニュースが頻繁に報道されるようになったら、そのニュースを利用して、経営陣や取締役会向けに短いブリーフィングをまとめよう。その際には、組織への潜在的な影響、同様のインシデントから守るために講じている措置、組織内でリスクを高めたり、リスク低減の進捗を妨げたりする可能性のあるものを取り上げるべきである。これを取締役会に直接送るのは適切ではないかもしれないが、適切と思われる場合には、経営幹部が共有できるよう、これらの考えを共有する。
Answer the most important questions first 最も重要な質問から答える
Make sure that you understand what is most important from the Board’s perspective. This might include: 取締役会の観点から何が最も重要かを理解しておく。これには以下が含まれる:
・What are the key risks and mitigation plans that you need to show progress against? ・進捗を示す必要のある主要リスクと低減計画は何か?
・What are the KPIs and metrics that are most relevant to your organisation? ・組織にとって最も関連性の高いKPIや指標は何か?
・What impacts are your Board most worried about? Downtime? Client impact? Regulation? ・取締役会が最も懸念している影響は何か?ダウンタイムか?顧客への影響?規制か?
・What are the critical questions the Board wants answering? ・取締役会が答えを求めている重要な質問は何か?
・What operational data can you surface to show activity and the benefits being achieved by investments made? ・どのような業務データを表に出せば、活動や投資によって達成された利益を示すことができるか?
A ‘one-page’ summary dashboard maybe called for here. Your organisation or Board meetings may have a preferred format and approach to routine reporting which you should work with. ここでは、「1ページ」の要約ダッシュボードが必要かもしれない。あなたの組織や取締役会には、日常的な報告に対する好みの形式やアプローチがあるかもしれない。
Expect to be asked about the big picture 全体像について質問されることを期待する
Part of Board’s role in governance and oversight is to make sure experts don’t get lost in the weeds at the expense of the bigger picture. One way Board members will do this is by ‘stepping back’ and asking broad questions. Questions you can expect to be asked may include: ガバナンスと監督における政府理事会の役割のひとつは、専門家が全体像を犠牲にして雑草の中に紛れ込まないようにすることである。取締役会のメンバーがこれを行う方法の1つは、「一歩下がって」幅広い質問をすることである。想定される質問には次のようなものがある:
・Do we understand the cyber security threat, and how it might impact our business strategy and plans? ・サイバーセキュリティの脅威を理解し、それが当社の事業戦略や計画にどのような影響を及ぼす可能性があるか?
・How do we benchmark against other organisations? Our peers? Our sector? ・他の組織に対するベンチマークはどうか。同業他社はどうか?セクターはどこか?
・How do we consider cyber security implications when we take decisions? ・意思決定を行う際に、サイバーセキュリティの影響をどのように考慮しているか?
・Have the critical assets for protecting our key business objectives been identified? ・主要な事業目標を保護するための重要な資産は識別されているか。
・Are we managing the risks in an effective way? ・リスクを効果的な方法でマネジメント しているか。
・Are we executing against the mitigation actions? ・低減策を実行しているか。
・Are responsibilities clear? ・責任を明確にしているか。
・Are we working with our supply chains and customers on this? ・サプライチェーンや顧客と連携しているか
・Do we have incident and contingency plans in place? Have they been tested? ・インシデントプランとコンティンジェンシープランを整備しているか?テスト済みか?
The NCSC’s ‘Cyber security 101’ for board members (PDF) gives insights into the types of questions Boards should and might reasonably be asking. Note that these aren’t technical questions; these are governance & assurance questions that Board members will feel comfortable asking, and to test the answers to. NCSCの理事会メンバー向け「サイバーセキュリティ101」(PDF)は、理事会が行うべき、また合理的に行うべき質問の種類についての洞察を示している。これらは技術的な質問ではなく、ガバナンスと保証に関する質問であり、取締役会のメンバーが気軽に質問し、その答えをテストするためのものである。
Engaging strategically 戦略的に関与する
As the authority for cyber security in your organisation, you must elevate your conversations with board members and other senior decision makers so that they connect ‘cyber’ with the overall business challenges and context. You need to connect what you want to tell the Board with what is most important to them (and therefore what they are interested in hearing about). 組織におけるサイバーセキュリティの認可者として、取締役会メンバーやその他の上級意思決定者との対話を強化し、「サイバー」をビジネス全体の課題や背景と結びつける必要がある。取締役会に伝えたいことを、取締役会にとって最も重要なこと(したがって、取締役会が聞きたがっていること)と結びつける必要がある。
Presenting to senior business leaders – with all their necessary challenges and push-back – can feel daunting. By taking the time to elevate the discussion to the strategic level, to understand your Board audience and to communicate clearly, you have a greater chance of winning their confidence and support. シニアビジネスリーダーにプレゼンするのは、必要な課題や反発もあり、大変なことだと感じるかもしれない。時間をかけてディスカッションを戦略的なレベルに引き上げ、取締役会の聴衆を理解し、明確なコミュニケーションをとることで、彼らの信頼と支持を得られる可能性が高まる。
Being able to engage Board members and executives is a fundamental aspect of your role which grows the cyber capability within your organisation, and develops your own skills as a communicator. More pressingly, if you fail to engage strategically, then you are less likely to receive the investment and resources needed to mitigate the increasingly complex and sophisticated threat landscape. 取締役や経営幹部を引き込むことは、あなたの役割の基本であり、組織内のサイバー能力を高め、あなた自身のコミュニケーターとしてのスキルを向上させる。さらに重要なことは、戦略的な関与ができなければ、複雑化・高度化する脅威の状況を緩和するために必要な投資やリソースを受けられなくなるということである。
Own the problem 問題を把握する
If you find yourself thinking ‘I’ve explained it three times and they still don’t get it!’, then ask yourself how you can change your approach so that: 3回説明してもまだ理解されない!」と思ったら、次のようにアプローチを変えることができるか自問してみよう:
・the executive and governance of your organisation are engaged ・組織の経営陣とガバナンスが関与している。
・you feel confident that the risks you’ve outlined are understood ・説明したリスクが理解されていると確信できる。
・your work plan is summarised well and it is clear that progress is being made ・作業計画がうまくまとめられ、進捗していることが明らかである。
The crucial first step is to recognise that - rightly or wrongly - this is your problem to solve. You will need to work with the audience as you find them, which may not be the audience you’d perhaps wish you had. 重要な最初のステップは、善かれ悪しかれ、これがあなたの解決すべき問題であることを認識することである。聴衆は、あなたが望む聴衆ではないかもしれない。
Provide a holistic view 全体的な視点を提供する
Cyber security. IT Infrastructure. Infosec. Online fraud. A specialist might understand why fraud, data theft and malicious attacks are treated as discrete topics, but from a Board’s perspective, these distinctions will often seem academic. サイバーセキュリティ。ITインフラ 情報セキュリティ オンライン詐欺。専門家であれば、詐欺、データ窃盗、悪質な攻撃が個別のトピックとして扱われる理由は理解できるかもしれないが、取締役会から見れば、これらの区別は学問的に見えることが多いだろう。
It’s not the Board’s problem to understand the minutiae, or how the different facets of cyber security, which maybe ‘owned’ by different parts of the organisation, fit together. They need to be confident that everything is being addressed through a cohesive approach, and there are no gaps in your mitigation plan. 細かいことを理解するのは取締役会の問題ではないし、サイバーセキュリティのさまざまな側面(組織のさまざまな部分が「所有」しているかもしれない)がどのように組み合わされているかを理解するのも取締役会の問題ではない。取締役会は、すべてが一貫したアプローチで対処されており、低減計画にギャップがないことを確信する必要がある。
Be clear on the definition and components of what cyber security means in your organisation, and be clear about who owns which parts. Work with your colleagues to provide the holistic view a Board needs. 組織におけるサイバーセキュリティの定義と構成要素を明確にし、誰がどの部分を所有するかを明確にする。取締役会が必要とする全体的な視点を提供するために、同僚と協力する。
Advise rather than educate 教育するのではなく、助言する
Board members rely on advice from experts - like you - to discharge their governance responsibilities. It’s not your role to train them to do your job, but instead to put them in a position where they can make informed decisions about corporate strategy and cyber risks. Boards do this all the time with different type of risk, such as financial risk, and one of the Boards functions is to approve statutory financial accounts. They can do this without understanding the intricacies of the local accounting and tax rules their organisations operate in. Instead Boards rely on their financial teams, and take advice from accountants and specialists to do so. 理事会のメンバーは、ガバナンスの責任を果たすために、あなたのような専門家からのアドバイスを頼りにしている。あなたの役割は、取締役に仕事を教えることではなく、取締役が企業戦略やサイバーリスクについて十分な情報を得た上で意思決定できるようにすることである。取締役会は、財務リスクなど様々な種類のリスクについて常にこのようなことを行っており、取締役会の機能の1つは法定財務会計を承認することである。取締役会は、各組織が活動する地域の会計や税務の複雑な規則を理解しなくても、これを行うことができる。その代わりに、取締役会は財務チームを頼りにし、会計士や専門家から助言を得ている。
Ultimately it is Boards and executives who are accountable for risk decisions about cyber security. In some industry sectors they may have specific regulatory obligations. It is your responsibility to put them in a position so the Board - with advice from you - can make those decisions. 最終的にサイバーセキュリティに関するリスク決定の責任を負うのは、取締役会と経営陣である。業種によっては、特定の規制上の義務を負っている場合もある。取締役会が、あなたからのアドバイスを受けながら、そのような意思決定を行えるような状態にすることは、あなたの責任である。
Be open to external scrutiny 外部からの精査を受け入れる
Finance teams expect to be audited. 財務チームは監査を受けることを期待している。
Health and Safety teams expect to be inspected. 安全衛生チームは検査を受けることを期待している。
Cyber security functions should expect the same, especially over critical matters or significant investments. It can feel uncomfortable when people question our work, but Boards will naturally seek independent assurance from external specialists on critical matters. Back up your assertions and facts from trusted and approved third parties (such as the NCSC website and the Cyber Security Toolkit for Boards). サイバーセキュリティ機能も、特に重要事項や重要な投資については、同じことを期待すべきである。私たちの仕事に疑問を投げかけられると不快に感じるかもしれないが、取締役会は、重要な事項については、当然、外部の専門家から独立した保証を求める。信頼され、承認されたサードパーティ(NCSCのウェブサイトやCyber Security Toolkit for Boardsなど)から主張と事実の裏付けを取る。
Communicating clearly 明確にコミュニケーションする
Whether you’re presenting or writing, the Board may well be interested in what you have to say, but the way in which you convey it will either encourage them to take note, or to stop listening. This section contains some tips that can help you refine your messaging. プレゼンであれ文書作成であれ、取締役会はあなたの発言に関心を持っているかもしれないが、それをどのように伝えるかによって、取締役会の関心を引くか、あるいは聞くのをやめてしまうかが決まる。このセクションでは、メッセージングを洗練させるのに役立つヒントをいくつか紹介する。
To get busy boards to engage with cyber, you’ll need to communicate in a language that resonates with their business mindset, and share updates concisely, using a business-focused approach (with minimal technical detail) for maximum impact. 多忙な理事会にサイバーに関心を持ってもらうためには、彼らのビジネスマインドに響く言葉でコミュニケーションし、インパクトを最大化するために(技術的な詳細を最小限に抑え)ビジネスに焦点を当てたアプローチで簡潔に最新情報を共有する必要がある。
Pick a model and stick with it モデルを選び、それにこだわる
Using a consistent structure across your communications (which you can use over and over again) is very helpful when dealing with an audience who engages with the topic infrequently. It’s helpful to give your audience a way of thinking about something; it's less helpful to be given two ways to think about it. It’s even more unhelpful if you get a new one every time you address the Board. コミュニケーション全体で一貫した構造を使う(何度でも使える)ことは、そのトピックに関わる頻度が低い聴衆を相手にする場合に非常に役立つ。聴衆に何かについて考える方法を与えることは有益だが、それについて考える方法を2つ与えられるのはあまり有益ではない。理事会で演説するたびに新しいものが出てくれば、なおさら役に立たない。
If you are new to the organisation, take time to understand how they work, and their existing content and practices. Obviously, this will vary with each organisation. Some organisations will have standardised reporting structures for risks and investment programmes, others may have a suite of dashboards and KPIs in place, or a mixture of these. Whatever is used, make it work for you, don’t work against it. その組織で働くのが初めての場合は、その組織がどのように働いているのか、既存の内容や慣行を理解するのに時間をかけること。もちろん、これは組織によって異なる。リスクや投資プログラムについて標準化された報告構造を持っている組織もあれば、一連のダッシュボードやKPIを導入している組織もあるだろうし、これらが混在している組織もあるだろう。どのようなものを使うにせよ、自分のためになるようにし、不利にならないようにする。
You’ll also need a simple way to report what you have been doing. If you are using a formal cyber framework, then the headings from there might be useful (taking care to avoid the complexities of the frameworks), or use the NCSC’s 10 Steps to Cyber Security. Or make your own. また、何を行っているかを報告する簡単な方法も必要である。正式なサイバーフレームワークを使用している場合は、そのフレームワークの見出しが役に立つかもしれない(フレームワークの複雑さを避けるように注意する)。あるいは自分で作る。
Keep it simple シンプルにする
Perhaps the most frequent complaint from Boards is that cyber experts use technical language and jargon when describing unfamiliar topics. Given this, it's no surprise that many board members struggle to unpick and engage with cyber security. Whilst the appropriate level and language to communicate will depend on the organisation, natural language that’s free from jargon and acronyms is the order of the day. Simple descriptions will always work better. おそらくボードから最も頻繁に寄せられる苦情は、サイバー専門家が馴染みのないトピックを説明するときに専門用語や専門用語を使うというものだ。このことを考えると、多くの理事がサイバーセキュリティを理解し、関与するのに苦労するのは当然である。コミュニケーションに適切なレベルや言語は組織によって異なるが、専門用語や略語を使わない自然な表現が重要である。シンプルな説明が常に効果的である。
This challenge is heightened by Boards who are required to switch context between multiple subjects while reading Board papers and in meetings. この課題は、取締役会報告書を読んだり会議を開いたりする際に、複数の主題の間で文脈を切り替えることを求められる取締役会によって、より大きくなる。
For example, the following definition ‘The firewall controls network traffic entering and leaving our organisation’ is neither over-simplified nor patronising. Don’t be frightened to explain things at (what you consider to be) an absurdly high-level. You can always add detail if required, which is much easier than starting with the details and then having to work back up. 例えば、次の定義「ファイアウォールは、組織に出入りするネットワークトラフィックを制御する」は、単純化しすぎていないし、恩着せがましくもない。物事を(あなたが考える)とんでもなく高いレベルで説明することに怯んではいけない。必要であればいつでも詳細を加えることができるし、詳細から始めてから作業をやり直すよりずっと簡単だ。
Technical teams tend to talk about the names of systems or the vendor that provides those systems (or both at once). This is not helpful. Don’t talk about ‘CyberPro18.2 as our End Point Protection’. Instead talk about ‘protecting PC and servers from viruses and other types of malware’. 技術チームは、システムの名前か、そのシステムをプロバイダしているベンダーの名前(あるいはその両方)について話しがちだ。これは役に立たない。当社のエンドポイントプロテクションはCyberPro18.2です」と話してはいけない。代わりに「ウイルスやその他の種類のマルウェアからPCやサーバーを保護する」ことについて話す。
Use diagrams and images to aid comprehension if that is what your Board prefers. The NCSC Cyber Security Toolkit for Boards is a great resource for board-ready communication collateral covering the cyber domain. 理事会が望むのであれば、理解を助けるために図や画像を使用する。NCSC Cyber Security Toolkit for Boards(理事会向けサイバーセキュリティツールキット)は、サイバー領域をカバーする理事会対応のコミュニケーション資料として最適である。
Less is more 少ないことは多いことだ
Brevity is good. Use fewer words. Use more headings and fewer blocks of text than you would when addressing technical teams. Favour ‘executive summaries’ (that is, a summary of your whole argument) over ‘introductions’ (which oblige your audience to read more). This isn’t about dumbing down or leaving out important parts of the story. You must give a complete and balanced view. This is not easy. It sometimes feels rude or terse. Work at it if you want to get heard. 簡潔であることが良い。言葉を少なくする。技術チームと話すときよりも見出しを多く使い、文章のブロックは少なくする。エグゼクティブサマリー」(つまり、あなたの主張全体を要約したもの)は、「序文」(聴衆にもっと読むよう義務づけるもの)よりも好まれる。これは、話の重要な部分を省略したり、ダブらせたりすることではない。完全でバランスの取れた見解を述べなければならない。これは簡単なことではない。時には無礼に感じたり、辛辣に感じたりすることもある。話を聞いてもらいたければ、努力することだ。
It’s important to remember that the more complex the subject matter (and cyber security can be complex), the simpler the language needs to be. There’s lots of evidence and usability studies that support thisEveryone likes clear language, and this includes highly educated Board members who are experts in their own fields and don’t have time to read pages of dry technical prose. 題材が複雑であればあるほど(そしてサイバーセキュリティは複雑であるほど)、シンプルな表現にする必要があることを忘れてはならない。これを裏付ける証拠やユーザビリティの研究はたくさんある。誰もがわかりやすい言葉を好むが、これには、各分野の専門家であり、何ページにもわたる乾いた技術的な文章を読む時間がない高学歴の取締役も含まれる。
Prepare and rehearse 準備とリハーサル
You may know your stuff technically, but do you know it so well you can explain it effortlessly without drifting into too much technical detail and language? We expect Board-level communication to be at the very highest level of quality, so it’s worth sweating over, and getting it right. 技術的な知識は豊富かもしれないが、技術的な詳細や言い回しに流されることなく、すらすらと説明できるほど熟知しているだろうか?取締役会レベルのコミュニケーションには、最高レベルの品質が求められる。
If you are uncomfortable presenting to a senior business audience, or perhaps just daunted a little by the Board, find someone you can partner with when presenting. This will ideally be a ‘cyber champion’ on the Board or Exec team who can help you with content and also help you field questions. 上級のビジネス聴衆にプレゼンするのが苦手な場合、あるいは取締役会が少し怖い場合は、プレゼンの際にパートナーになれる人を見つけよう。理想的には、取締役会や役員チームの「サイバー・チャンピオン」であり、コンテンツについて手助けしてくれたり、質問に答える手助けをしてくれたりする人だ。
Make sure you check and test your content with your manager and/or the executive responsible for cyber security. Executives have managers too; they don’t want to be surprised or embarrassed by content that the Board will see. あなたの上司やサイバーセキュリティ担当役員に、必ず内容を確認し、テストしてもらうこと。役員にも管理職がいる。彼らは、取締役会に見られるような内容で驚いたり恥をかいたりしたくないのだ。
Communications around cyber - especially in the media - are often fear inducing. You can counter that when presenting with non-alarmist, measured communications that shows how this very real threat can be managed and mitigated. Tone and body language are important here too. You should be upbeat and positive about the work you have done and the challenges in front of you. サイバーにまつわるコミュニケーションは、特にメディアでは恐怖心を煽ることが多い。この現実的な脅威をどのように管理し、低減できるかを示す、非警戒主義的で慎重なコミュニケーションを提示することで、これに対抗することができる。ここでもトーンとボディランゲージが重要だ。自分のやってきた仕事と目の前の課題に対して、明るく前向きであるべきだ。
To sum up… まとめると...
Following this advice will help improve your engagement with Board members on this important strategic topic. By doing so you are more likely to receive the investment and resources you need, ultimately reducing the cyber security risk and enabling the business to focus on its value-creating work. このアドバイスに従うことで、この重要な戦略トピックに関する取締役会とのエンゲージメントを改善することができる。そうすることで、必要な投資やリソースを受けられる可能性が高くなり、最終的にサイバーセキュリティのリスクを低減し、事業が価値創造業務に集中できるようになる。

 

 

ブログ記事...

・2024.10.07 How to talk to board members about cyber

How to talk to board members about cyber 取締役会にサイバーについてどう話すか
New guidance helps CISOs communicate with Boards to improve oversight of cyber risk. 新しいガイダンスは、CISOがサイバーリスクの監督を改善するために取締役会とコミュニケーションするのに役立つ。
Improving the management of cyber risks in organisations has been the central motivation behind our Cyber Security Toolkit for Boards, which helps boards to embed cyber resilience and risk management throughout their organisations, systems, technologies and staff. このツールキットは、取締役会が組織、システム、テクノロジー、スタッフ全体にサイバーレジリエンスとリスクマネジメントを組み込むことを支援するものである。
However, for some time the NCSC has been aware of a ‘skills gap’ in how cyber security risk is overseen at the board level. To explore this more fully, we commissioned research specialists Social Machines to obtain a better understanding of this perceived ‘lack of board engagement with cyber security and cyber-related decision-making’.  しかし、NCSCはしばらくの間、取締役会レベルにおけるサイバーセキュリティリスクの監督方法における「スキルギャップ」を認識していた。これをより詳細に調査するため、NCSCは、「取締役会がサイバーセキュリティやサイバー関連の意思決定に関与していない」という認識についてより深く理解するために、調査のスペシャリストであるソーシャル・マシーンズ社に調査を依頼した。
The research included interviews with board members, CISOs and other cyber security leaders in medium to large organisations. Whilst some of the key themes could perhaps have been predicted (such as how boards find the excessive use of technical language and jargon as barriers to understanding), other findings were more unexpected - and concerning. 調査には、中規模から大規模の組織の取締役、CISO、その他のサイバーセキュリティリーダーへのインタビューが含まれた。いくつかの主要なテーマは予想できたが(例えば、専門用語や専門用語の多用が取締役会の理解を妨げているなど)、他の発見は予想外であり、懸念すべきものであった。
For example, 80% of participants were unsure of where accountability for cyber resided. We found that in many organisations, the CISO (or equivalent role) thought that the Board was accountable, whilst the Board thought it was the CISO. This lack of clarity is compounded by a ‘lack of expertise’ reported by 60% of the participants. As a result of their limited understanding of the risks, Boards believed they were unable to offer the necessary oversight. 例えば、参加者の80%が、サイバーに関する説明責任がどこにあるのか分からなかった。多くの組織で、CISO(またはそれに相当する役割)が取締役会に説明責任があると考えている一方で、取締役会はCISOだと思っていることがわかった。このような明確性の欠如は、参加者の60%が報告した「専門知識の欠如」によってさらに深刻化している。リスクに対する理解が乏しいため、取締役会は必要な監督を行えないと考えている。
For their part, CISOs stated that they didn’t feel the need to involve the Board because they believed that the Board would struggle to understand their technical explanations. CISO側は、取締役会が技術的な説明を理解するのに苦労すると考えているため、取締役会に関与する必要性を感じていないと述べている。
Board-level cyber discussions: communicating clearly is new guidance from the NCSC that addresses head on the issues raised by the Social Machines research. It encourages CISOs and other cyber security leaders to ‘step up’ to this challenge, and offers practical tips to help you engage strategically with the board to improve the management of cyber security risk.  取締役会レベルのサイバーディスカッション:明確なコミュニケーション」はNCSCによる新しいガイダンスで、ソーシャルマシンの調査によって提起された問題に正面から取り組んでいる。このガイダンスでは、CISOやその他のサイバーセキュリティリーダーがこの課題に「ステップアップ」することを奨励し、サイバーセキュリティリスクマネジメントを改善するために取締役会に戦略的に関与するのに役立つ実践的なヒントを提供している。
As the authority for cyber security in your organisation, it’s up to CISOs to elevate their conversations with board members (and other senior decision makers) so that they connect ‘cyber’ with the overall business challenges and context. This means CISOs must engage with Boards on their terms and in their language to ensure the cyber risk is understood, managed and mitigated. The guidance explains that a crucial first step is to recognise that - rightly or wrongly - this is the CISO’s problem to solve, and they need to work with the audience as they find it (which may not be the audience they wish they had). 組織におけるサイバーセキュリティの認可者として、取締役会メンバー(およびその他の上級意思決定者)との対話を強化し、「サイバー」を全体的なビジネス上の課題や背景と結び付けられるようにすることは、CISOにかかっている。つまり、CISOは、サイバー・リスクが理解され、マネジメントされ、低減されるように、彼らの言葉で取締役会に関与しなければならない。このガイダンスでは、重要な第一歩として、善かれ悪しかれ、これはCISOが解決すべき問題であり、CISOは、彼らが見つけた聴衆(それは彼らが望む聴衆ではないかもしれない)と協働する必要があることを認識する必要があると説明している。
As the research underlines, most Board members do not have in-depth cyber security knowledge. That’s not their role. Cyber security leaders, on the other hand, do have detailed knowledge of the domain, but are less experienced in communicating technical matters to Board or senior executive teams. As cyber professionals, it the CISO’s job to bridge this gap to provide better cyber security outcomes.  この調査で明らかになったように、ほとんどの取締役会メンバーはサイバーセキュリティに関する深い知識を持っていない。それは彼らの役割ではない。一方、サイバーセキュリティリーダーは、この分野の詳細な知識を持っているが、技術的な事柄を取締役会や上級役員チームにコミュニケーションした経験はあまりない。サイバーの専門家であるCISOの仕事は、このギャップを埋めてより良いサイバーセキュリティの成果を提供することである。
The new guidance forms the latest part of the Cyber Security Toolkit for Boards, and will help the CISO better understand the responsibilities and mindset of boards, and how to best explain this complex subject. By doing so, cyber security leaders are more likely to receive the investment and resources they need, ultimately reducing the cyber security risk and enabling the business to focus on its value-creating work. この新しいガイダンスは、「取締役会のためのサイバーセキュリティ・ツールキット」の最新版であり、CISOが取締役会の責任や考え方、この複雑なテーマについてどのように説明すればよいかをよりよく理解するのに役立つ。そうすることで、サイバーセキュリティ・リーダーが必要な投資とリソースを受けられる可能性が高まり、最終的にサイバーセキュリティ・リスクを低減し、ビジネスが価値創造業務に集中できるようになる。

 

 


 

このブログでも紹介していましたが...

 

取締役会向けのガイダンス...

・2023.03.30 Cyber Security Toolkit for Boards

 

Cyber Security Toolkit for Boards 取締役会向けサイバーセキュリティ・ツールキット
20230627-110721
   
Cyber security 101 for Board Members 取締役向けサイバーセキュリティ入門
This document provides a sample script of questions to discuss at your next board meeting. この文書では、次回の取締役会で話し合うための質問のサンプルスクリプトを提供する。
20230627-110730
   
Executive summary エグゼクティブサマリー
This document summarises the content of each section of the Board Toolkit. この文書は、取締役会ツールキットの各セクションの内容を要約したものである。
20230627-110740
   
Questions for the board to ask about cyber security 取締役会がサイバーセキュリティについて尋ねるための質問
This document briefly summarises each module of the toolkit. It then provides a series of questions (with possible answers) that boards can use to help evaluate your organisation's performance. この文書では、ツールキットの各モジュールを簡単に要約する。その上で、取締役会が組織のパフォーマンスを評価する際に利用できる一連の質問(可能な回答付き)をプロバイダとして提供する。
20230627-110748

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.06.27 英国 NSCS (サイバーセキュリティ向け)リスクマネジメントガイドの改訂 (2023.06.23) + 取締役会向けサイバーセキュリティ・ツールキット (2023.03.30)

 

Continue reading "英国 NCSC ガイダンス「サイバーセキュリティリスクマネジメントを改善するための取締役会との協力」とブログ記事「取締役会にサイバーについてどう話すか」 (2024.10.07)"

| | Comments (0)

2024.11.27

英国 NCSC「Active Cyber Defence」 のウェブページ

こんにちは、丸山満彦です。

英国政府は、アクティブ・サイバーディフェンス(ACD)プログラムの一環として、サイバーセキュリティツールとサービスをプロバイダとして提供しています...

英国政府のいうアクティブ・サイバーディフェンスは、日本語にすると能動的サイバー防御という訳語と同じになるかもしれませんが、攻撃元と見られるサーバーの無害化措置という概念はなく、ディフェンス、防御...です。

パッシブなサイバー防御に対して、アクティブなサイバー防御という感じで、攻撃の兆候を掴んだら、どのような攻撃かを想定して、先回りをして防御を固めるというようなイメージなのだろうと思います。

ということで、英国政府のアクティブ・サイバーディフェンス(ACD)プログラムのウェブページの紹介です。

サービスとしては、

・セルフサービスチェック

  • 早期警告
  • エクセサイズ・イン・ア・ボックス
  • メールチェック
  • ウェブチェック
  • サイバーセキュリティ・チェック

・検知

  • ホストベース
  • 防御ドメイン名サービス
  • 脆弱性開示

・破壊と防御

  • 疑わしいメール報告サービス
  • テイクダウン・サービス
  • 能力の共有と防御

 

 

National Cyber Security Centre

Active Cyber Defence

英国政府のアクティブ・サイバーディフェンス(ACD)プログラムというのは、まさにプログラムで、主に公共機関向けに具体的なサイバー防御のサービスを提供するものです。そういう意味ではNCSCはセキュリティサービスプロバイダーでもありますね...(また、NCSCはサイバーセキュリティのスタートアップ企業の育成にも力をいれていたりします...NCSC for Startups 例えば、[PDF] [YouTube][Youtube])

 

・・Introduction

Introduction 序文
Active Cyber Defence (ACD) seeks to reduce the harm from commodity cyber attacks by providing tools and services that protect from a range of attacks. アクティブ・サイバーディフェンス(ACD)は、さまざまな攻撃から身を守るツールやサービスを提供することで、商品サイバー攻撃による被害を減らすことを目指している。
The UK continues to be one of the most digitally advanced countries in the world, with our lives being online more than ever before. As this digitisation continues, it is vital that the UK remains able to protect its organisations, business and citizens against cyber crime. 英国は世界で最もデジタル化が進んだ国のひとつであり、私たちの生活はかつてないほどオンライン化されている。このデジタル化が進む中、英国がサイバー犯罪から組織、企業、市民を守り続けることは極めて重要である。
The aim of ACD is to “Protect the majority of people in the UK from the majority of the harm caused by the majority of the cyber attacks the majority of the time.” We do this through a wide range of mechanisms, which at their core have the ability to provide protection at scale.  ACDの目的は、「英国の大多数の人々を、大多数のサイバー攻撃による大多数の被害から、大多数の時間保護する 」ことである。ACDは、幅広いメカニズムを通じてこれを実現するが、その中核となるのは、大規模な防御を提供する能力である。
ACD is intended to tackle the high-volume commodity attacks that affect people’s everyday lives, rather than the highly sophisticated and targeted attacks, which NCSC deal with in other ways.  ACDは、NCSCが他の方法で対処している高度に洗練された標的型攻撃ではなく、人々の日常生活に影響を与える大量のコモディティ攻撃に取り組むことを意図している。
The ACD programme consists of a number of interventions or real services - each free at the point of use - that perform a particular security service for organisations. ACDプログラムは、組織向けに特定のセキュリティ・サービスを提供する多数の介入サービスまたは実サービス(それぞれ利用時点では無料)から構成されている。
Learn more about ACD services ACDサービスについてもっと知る

 

 

 


 

サービス... (ここが本命...)

Services サービス
The NCSC provides a range of free cyber security tools and services to eligible organisations as part of the Active Cyber Defence (ACD) programme. NCSCは、アクティブ・サイバーディフェンス(ACD)プログラムの一環として、対象となる組織に様々なサイバーセキュリティツールとサービスを無料で提供している。
Self service checks セルフサービスチェック
Services in this category allow you to check and improve the security posture of your organisation. このカテゴリーのサービスを利用することで、組織のセキュリティ態勢をチェックし、改善することができる。
Early Warning 早期警告
Early Warning helps organisations investigate cyber attacks on their network by notifying them of malicious activity that has been detected in information feeds. 早期警告は、情報フィードで検知された悪意のある活動を通知することで、組織がネットワーク上のサイバー攻撃を調査するのを支援する。
Eligible Sectors: Any UK organisation with a static IP address or domain name can sign up to use Early Warning. 対象となるセクター 静的IPアドレスまたはドメイン名を持つ英国の組織であれば、Early Warningの使用にサインアップできる。
Learn more 詳細はこちら
Exercise in a Box (EIAB) エクササイズ・イン・ア・ボックス(EIAB)
EIAB is a resource of realistic scenarios that helps organisations practise and refine their response to cyber security incidents in a safe and private environment. EIABは、組織が安全でプライベートな環境でサイバーセキュリティインシデントへの対応を練習し、洗練させるのに役立つ現実的なシナリオのリソースである。
Eligible sectors: Anyone can download and use EIAB 対象部門 誰でもダウンロードして利用できる
Read more もっと読む
Mail Check メールチェック
Mail Check helps organisations assess their email security compliance and adopt secure email standards which prevent criminals from spoofing your email domains. Mail Checkは、組織のメールセキュリティコンプライアンスを評価し、犯罪者によるメールドメインのなりすましを防止するセキュアメール標準の採用を支援する。
Eligible sectors: Public Sector and Academia (All UK Schools. Universities and Further Education Colleges). UK Registered Charities. UK Registered Social Housing Providers and Arms Length Management Organisations (ALMOs).  対象分野 公共部門および学術機関(英国のすべての学校、大学および継続教育カレッジ)。英国登録慈善団体 英国登録社会住宅プロバイダおよび独立行政法人(ALMO)。
Learn more さらに詳しく
Web Check ウェブチェック
Web Check helps you find and fix common security vulnerabilities in the websites that you manage. Web Check は、管理する Web サイトの一般的なセキュリティ脆弱性の発見と修正を支援する。
Eligible sectors: Public Sector and Academia (All UK Schools. Universities and Further Education Colleges). UK Registered Charities. UK Registered Social Housing Providers and Arms Length Management Organisations (ALMOs).  対象となるセクター 公共部門および学術機関(英国のすべての学校、大学、継続教育カレッジ)。英国の登録慈善団体 英国の登録社会住宅プロバイダおよび独立行政法人(ALMO)。
Read more もっと読む
Check your Cyber Security サイバーセキュリティ・チェック
The NCSC check your cyber security service allows individuals and organisations to run instant checks on their cyber security. You don’t need to register to use it and the checks can be run in seconds.  NCSCのcheck your cyber securityサービスでは、個人や組織のサイバーセキュリティを即座にチェックすることができる。利用登録は不要で、チェックは数秒で実行できる。
The email security check allows you to quickly check that you have applied standards like DMARC and TLS correctly to prevent spoofing and protect privacy. Eメールセキュリティチェックでは、DMARCやTLSなどの標準が正しく適用されているかどうかを素早くチェックし、なりすましを防止してプライバシーを保護することができる。
Learn more and run a check 詳細とチェックを実行する
The IP address & website check allows you to check if cyber criminals could attack your systems to gain access to your data via the internet.  IPアドレス&ウェブサイトチェックでは、サイバー犯罪者が貴社のシステムを攻撃し、インターネット経由で貴社のデータにアクセスできるかどうかをチェックできる。
Start now 今すぐ始める
The Web browser check service allows you to check if your web browser is out of date and vulnerable to exploitation by criminals. If your web browser needs updating, we’ll provide step-by-step guidance on what you should do and how to set up automatic updates. ウェブブラウザチェックサービスでは、お使いのウェブブラウザが古く、犯罪者に悪用される脆弱性がないかどうかをチェックできる。ウェブブラウザの更新が必要な場合は、何をすべきか、自動更新を設定する方法について、ステップバイステップのガイダンスを提供する。
Start now 今すぐ始める
Detections deployed by organisations 組織が展開する検知
Organisations integrate services in this category into their environment to provide a protection or detection capability. 組織は、このカテゴリーのサービスを環境に統合し、保護または検知機能を提供する。
Host Based Capability (HBC) ホストベースの機能(HBC)
HBC is a software agent available for use on OFFICIAL devices in government. HBCは、政府の公式デバイスで使用可能なソフトウェア・エージェントである。
The NCSC conducts analysis to detect malicious activity on those endpoints. The service provides security baseline reports, and forewarns customers about their exposure to the most critical of vulnerabilities. NCSC は、これらのエンドポイントで悪意のある活動を検知するための分析を行う。このサービスは、セキュリティベースラインレポートを提供し、最も重大な脆弱性へのエクスポージャーを顧客に警告する。
Eligible sectors: Public Sector (Central Government) 対象となるセクター 公共部門(中央政府)
Learn more 詳細はこちら
Protective Domain Name Service (PDNS) 防御ドメイン名サービス(PDNS)
PDNS prevents users from accessing domains or IPs that are known to contain malicious content and stops malware already on a network from calling home. PDNSは、悪意のあるコンテンツが含まれていることが知られているドメインやIPにユーザーがアクセスするのを防ぎ、すでにネットワーク上にあるマルウェアがホームに呼び出すのを阻止する。
Eligible sectors: Public Sector. UK Registered Social Housing Providers and Arms Length Management Organisations (pilot users only - for more information visit our PDNS webpage) 対象となるセクター 公共部門。英国の登録社会住宅プロバイダおよび独立行政法人管理組織(パイロットユーザーのみ。)
Learn more 詳細はこちら
Vulnerability Disclosure 脆弱性の開示
The NCSC is working to mature the UK's approach to vulnerability disclosure and remediation by providing the following:・ NCSCは、以下をプロバイダとして提供することで、脆弱性の開示と修復に対する英国のアプローチを成熟させることに取り組んでいる:
GC3 Vulnerability Reporting Service - anyone can report a vulnerability with a UK government online service ・GC3 脆弱性報告サービス - 英国政府のオンラインサービスで、誰でも脆弱性を報告できる。
Vulnerability Disclosure for Government Scheme - we aim to improve the UK government's ability to adopt vulnerability disclosure best practices. Please contact us if you want to be involved in the pilot (government only) ・Vulnerability Disclosure for Government Scheme - 英国政府が脆弱性開示のベストプラクティスを採用する能力を改善することを目指している。パイロット版への参加を希望される方は、こちらまでご連絡ください(ガバナンスのみ)。
Vulnerability Disclosure Toolkit - contains the essential components you need to set up your own vulnerability disclosure process. ・Vulnerability Disclosure Toolkit - 脆弱性情報公開プロセスを独自に構築するために必要な必須コンポーネントが含まれている。
Disrupt and Defend 破壊と防御
Services in this category are designed to prevent and mitigate cyber threats. The Disrupt function enables the detection of phishing or malicious activities on a large scale and triggers an automated reaction to interrupt these activities. The Defend function concentrates on providing services that protect the UK public and businesses from cyber crime, including fraud that is enabled by cyber activities. このカテゴリーのサービスは、サイバー脅威の防止と軽減を目的としている。Disrupt機能は、大規模なフィッシングや悪意のある活動の検知を可能にし、自動化された反応をトリガーしてこれらの活動を中断させる。防御機能は、サイバー犯罪から英国国民と企業を保護するサービスのプロバイダである。
Both disruption and defence play crucial roles in maintaining cyber security.  妨害と防御の両方がサイバーセキュリティの維持に重要な役割を果たしている。
Suspicious Email Reporting Service (SERS) 疑わしい電子メール報告サービス(SERS)
SERS enables the public to report suspicious emails by sending them to [mail]. The service analyses the emails and where found to contain links to malicious sites, seeks to remove those sites from the internet to prevent the harm from spreading. SERSは、一般市民が不審な電子メールを[mail] まで。同サービスは電子メールを分析し、悪質なサイトへのリンクが含まれていることが判明した場合、インターネットからそれらのサイトを削除し、被害の拡大を防ぐ。
Eligible sector: Anyone can use SERS 対象となるセクター 誰でもSERSを利用できる
Report a suspicious email 不審なメールを報告する
Takedown Service テイクダウン・サービス
The NCSC Takedown Service finds malicious sites and sends notifications to the host or owner to get them removed from the internet before significant harm can be done. The NCSC centrally manages the service, so departments automatically benefit without having to sign up. NCSCテイクダウン・サービスは、悪意のあるサイトを発見し、重大な被害が出る前にインターネットから削除するよう、ホストまたは所有者に通知を送る。NCSCがサービスを一元管理しているため、各部門が登録しなくても自動的に恩恵を受けることができる。
Eligible sector: Public Sector 対象となる部門 公共部門
Learn more 詳細はこちら
Share and Defend Capability 能力の共有と防御
The NCSC shares datasets of malicious indicators with our industry partners, including Managed Service Providers (MSPs), Communication Service Providers (CSPs) and Internet Service Providers (ISPs). As a result, their UK citizen and business customers are protected as access to malicious content is blocked. NCSCは、マネージド・サービス・プロバイダー(MSP)、コミュニケーション・サービス・プロバイダー(CSP)、インターネット・サービス・プロバイダ(ISP)などの業界パートナーと悪質な指標のデータセットを共有している。その結果、悪質なコンテンツへのアクセスがブロックされ、英国市民や企業の顧客が保護される。
Learn more 詳細はこちら
Enablers イネイブラー
Common platforms that underpin multiple ACD services. 複数のACDサービスを支える共通プラットフォーム
MyNCSC MyNCSC
MyNCSC provides a common point of entry to a number of the NCSC’s Active Cyber defence (ACD) services.  MyNCSCは、NCSCのアクティブ・サイバーディフェンス(ACD)サービスの共通エントリポイントを提供する。
Learn more 詳細はこちら
If you're not eligible for ACD services then you can learn more about other assured services certified by the NCSC which will help protect against cyber attack. ACDサービスを受ける資格がない場合は、NCSCが認定するサイバー攻撃からの防御に役立つその他の保証サービスについて詳しく知ることができる。

 

Acdb2400001

 

で、現在あまりウェブページが更新されていないようなのですが、実は、ACD2.0への発展を検討中のようです...

興味深いのは、方針として

高度な攻撃ではなく、通常のサイバー攻撃からの被害を軽減しようとするもの。。。

という方針を維持しつつ、原則として次の2つを定めたようです...

  • NCSCは、市場が提供できないソリューションのみを提供する
  • NCSCは、成功したサービスを3年以内に原則売却する

なるほど...

情報の有無、市場の問題等で、NCSC以外が提供するのが難しいソリューションを提供し、それがうまくいったら、市場に開放し、対価として得た収入を開発の投資に繋げる...

官民連携の一つの姿ですかね...

 

・2024.08.02 Introducing Active Cyber Defence 2.0

Introducing Active Cyber Defence 2.0 アクティブ・サイバーディフェンス2.0のご紹介
ACD 2.0 aims to build the next generation of services in partnership with industry and academia. ACD 2.0は、産学連携による次世代サービスの構築を目指している。
As the National Cyber Security Centre, we aim to provide a cohesive suite of services that help organisations protect themselves against cyber threats. Some of these services are directly provided by us, where we are uniquely placed to do so, while others are delivered by industry partners with NCSC assurance. We constantly review the services we deliver and look to divest to industry where and when appropriate. Next month, you will hear more about our direction of travel for those services delivered through industry. ナショナル・サイバー・セキュリティ・センターとして、私たちは、組織がサイバー脅威から身を守るのを助ける、一連のまとまったサービスを提供することを目指している。これらのサービスの中には、NCSCが独自の立場で直接プロバイダとして提供するものもあれば、NCSCの保証のもと産業界のパートナーによって提供されるものもある。我々は、提供するサービスを常に見直し、適切な場合には業界への売却を検討している。来月は、業界を通じて提供されるサービスに関する我々の方向性について詳しく説明する。
Active Cyber Defence (ACD) has gained widespread recognition and been adopted as a concept by many countries. Why? Because it effectively increases national cyber resilience on a large scale, while imposing significant costs on adversaries. アクティブ・サイバーディフェンス(ACD)は広く認知され、多くの国でコンセプトとして採用されている。なぜか?それは、敵対勢力に多大なコストを課しながら、効果的に国家のサイバー・レジリエンスを大規模に向上させるからである。
Active Cyber Defence (ACD) seeks to reduce the harm from commodity cyber attacks by providing tools and services that protect from a range of attacks. アクティブ・サイバーディフェンス(ACD)は、さまざまな攻撃から身を守るツールやサービスを提供することで、コモディティ・サイバー攻撃による被害を減らそうとしている。
This protection comes in many forms: from addressing security vulnerability, to actively detecting and disrupting attacks.  この防御には、セキュリティの脆弱性への対処から、積極的な攻撃の検知や妨害まで、さまざまな形態がある。
Most of the current services began life back in 2017. While they have evolved since then, the range of services on offer has been broadly consistent.  Meanwhile, the cyber capabilities of those we serve – and the set of capabilities on offer from the private sector – have evolved. This defensive change has combined with an evolution in the threat.  現在のサービスのほとんどは2017年に始まった。それ以来進化はしているが、提供されるサービスの範囲はほぼ一貫している。一方で、我々がサービスを提供する側のサイバー能力、そして民間セクターが提供する一連の能力は進化してきた。この防御的な変化は、脅威の進化と組み合わさっている。
It’s important that the UK’s National Cyber Security Centre focuses its efforts where we can make a uniquely valuable contribution – where we see a gap in the commercial market, or where being part of GCHQ presents a unique opportunity to drive up resilience at scale. In light of this changing context, and using our experience from providing the existing ACD services, we are assessing new delivery models and partners and are seeking to build a next generation suite of services under ACD 2.0. 英国のナショナル・サイバー・セキュリティ・センターは、商業市場におけるギャップや、GCHQの一員であることが大規模なレジリエンスを向上させるまたとない機会となるような、他にない価値ある貢献ができるところに力を注ぐことが重要である。このような状況の変化を踏まえ、既存のACDサービスのプロバイダとしての経験を生かしながら、新たな提供モデルやパートナーのアセスメントを行い、ACD 2.0の次世代サービス群の構築を目指している。
Given the modern threat, the contemporary internet and a host of other factors, what should we be delivering? Where is the cyber defence edge to be had? Where can we add unique value? Having mainly targeted the original ACD services at the public sector, is it time to broaden our reach? 現代の脅威、現代のインターネット、その他多くの要因を考慮すると、我々は何を提供すべきなのか?サイバー防衛の優位性はどこにあるのか?どこに独自の価値を付加できるのか?主に公共部門を対象としたオリジナルのACDサービスを提供してきたが、そろそろその範囲を広げる時期なのだろうか?
In pursuit of this goal, we have set these principles for ACD 2.0: この目標を達成するために、我々はACD 2.0の原則を定めた:
・The NCSC will only deliver solutions where the market is not able to – whether that’s due to our unique position in government, scaling abilities, capabilities or authorities ・NCSCは、市場が提供できないソリューションのみを提供する。それが、政府におけるNCSCのユニークな立場、拡張能力、能力、権限によるものであるかは問わない。
・The NCSC will look to divest most of our new successful services within 3 years – to another part of government or the private sector to run on an enduring basis ・NCSCは、新たに成功したサービスのほとんどを3年以内に売却し、ガバナンスの別の部門や民間部門に永続的に運営させることを検討する。
We want ACD 2.0 to be a partnership; across the NCSC, across the cyber security community in government, and crucially also with industry and academia. Combined with our unique organisation, we can have a disproportionate impact on cyber resilience at scale. ACD2.0は、NCSC、政府内のサイバーセキュリティコミュニティ、そして産業界や学界とのパートナーシップでありたいと考えている。私たちのユニークな組織と組み合わせることで、大規模なサイバーレジリエンスに不釣り合いな影響を与えることができる。
Get involved - how to work with us  参加する - 私たちと協力するには 
As we embark on ACD 2.0, our first step is to look at our attack surface management suite - currently that’s Web Check, Mail Check and Early Warning. ACD 2.0に着手するにあたり、私たちの最初のステップは、私たちの攻撃対象領域管理スイート(現在のところ、ウェブチェック、メールチェック、早期警戒)を見直すことである。
We’ve learned a lot from running these services and are keen to build on that by running experiments alongside industry providers. We have experiments we want to run, but we’re also keen to hear from you if you have ideas. 我々は、これらのサービスを運営することで多くのことを学んできたし、業界のプロバイダとともに実験を行うことで、それを基に発展させたいと考えている。実施したい実験もあるが、アイデアをお持ちの方からのご連絡もお待ちしている。
Our hypothesis remains that helping organisations know and reduce their attack surface and related vulnerability is one of the most efficient ways to drive up external resilience. 組織が攻撃対象領域とそれに関連する脆弱性を把握し、その脆弱性を低減するのを支援することは、対外的なレジリエンスを向上させる最も効率的な方法の 1 つである、というのが当社の仮説であることに変わりはない。
If you have an attack surface management product, or ideas for other experiments we should run in future, and would like to work with the NCSC, please get in touch with us. 攻撃対象領域管理製品、あるいは今後実施すべき他の実験に関するアイデアをお持ちの方で、NCSCとの協力を希望される方は、ぜひご連絡いただきたい。
Ollie Whitehouse, Chief Technology Officer (CTO), NCSC オリー・ホワイトハウス、NCSC最高技術責任者(CTO)
Jonathon Ellison, NCSC Director of National Resilience ジョナソン・エリソン、NCSCナショナル・レジリエンス担当ディレクター

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.11.16 英国 NCSC Annual Review 2023 国家サイバーセキュリティセンター2023年報告書 - 英国の重要インフラに対する永続的かつ重大な脅威を警告

・2023.07.17 英国 NCSC アクティブ・サイバーディフェンス第6次報告書 (2023.07.06) そういえばNCSCは「アクティブ・サイバーディフェンスは防御であって攻撃ではない」と言ってました...

・2021.11.19 英国 NCSC Annual Review 2021 国家サイバーセキュリティセンター2021年報告書

・2020.11.09 英国 NCSC Annual Review 2020 国家サイバーセキュリティセンター2020年報告書

| | Comments (0)

英国 国防省 JSP 936 V1.1 防衛における信頼できる人工知能(パート1: 指令) (2024.11.13)

こんにちは、丸山満彦です。

英国、国防省の統合業務刊行物 (Joint Service Publication; JSP) として、JSP 936 V1.1 防衛における信頼できる人工知能(パート1: 指令)が発効されていますね...

これは、国防省におけるAIの安全かつ責任ある採用を規定する主要な政策枠組みですね...米国でもそうですが、軍関係でのAIの利用について規則を設け、安心してAIの活用ができるように考えていますね...

戦争だからといって、何をしてもよいわけではなく、一定のルールの中で戦いましょうという考え方がある(でないと、本当に獣になってしまう)ので、軍に関連する分野において、こういう規則はこれから先進国では作られていくでしょうね...

 

Gov.U.K. - Defence and armed forces 

・Joint Service Publication (JSP)

・2024.11.13 JSP 936: Dependable Artificial Intelligence (AI) in defence (part 1: directive)

JSP 936: Dependable Artificial Intelligence (AI) in defence (part 1: directive) JSP 936 防衛における信頼できる人工知能(AI)(パート1:指令)
JSP 936 (part 1: directive) is the principal policy framework governing the safe and responsible adoption of AI in MOD. JSP936(パート1:指令)は、国防省におけるAIの安全かつ責任ある採用を規定する主要な政策枠組みである。
Details 詳細
Following on from the Defence AI Strategy and Ambitious, Safe and Responsible policy, JSP 936 (part 1: directive) is an important step to ensure that teams across defence understand their responsibilities when developing and using AI technologies. It provides clear direction on how to implement the MOD’s AI ethical principles, to deliver safe, robust and effective AI-enabled capabilities which have the right level of human oversight to advance our military edge. JSP 936(パート1:指令)は、国防AI戦略および野心的、安全かつ責任ある政策に続くもので、国防全体のチームがAI技術を開発・使用する際の責任を理解するための重要なステップである。国防省のAI倫理原則の実施方法について明確な方向性を示し、安全で堅牢かつ効果的なAI対応能力を提供し、軍事的優位性を高めるために適切なレベルの人的監視を行う。
JSP 936 includes directives on governance, development and assurance throughout the AI lifecycle which encompasses quality, safety and security considerations. It draws on existing policies and best practices, bridging the gap between high-level ethical principles on the use of AI and their practical implementation, guiding the department to become fully AI-ready. JSP936は、品質、安全性、セキュリティを考慮したAIのライフサイクルを通じたガバナンス、開発、保証に関する指示を含んでいる。JSP936は、既存のポリシーとベスト・プラクティスを活用し、AIの使用に関するハイレベルな倫理原則とその実際的な実施とのギャップを埋め、AIに完全に対応できるように軍を導くものである。
We have a duty to make the best use of AI technologies to address threats to our national security and that of our allies, and to use these technologies safely and responsibly in line with our legal commitments and the values of the society we serve. By reading and understanding JSP 936 part 1, our industry partners can ensure that their projects are aligned with defence’s strategic goals, expectations on ethical AI, and technical requirements, ultimately fostering a more robust and collaborative AI ecosystem. われわれには、国家安全保障と同盟国に対する脅威に対処するためにAI技術を最大限に活用する義務があり、われわれの法的コミットメントとわれわれが奉仕する社会の価値観に沿って、これらの技術を安全かつ責任を持って使用する義務がある。JSP936パート1を読み、理解することで、我々の業界パートナーは、彼らのプロジェクトが防衛の戦略的目標、倫理的AIに関する期待、技術的要件に沿ったものであることを確認することができ、最終的には、より強固で協力的なAIエコシステムを育成することができる。

 

・[PDF] 

20241127-11041

・[DOCX][PDF] 仮訳

 

目次...

Foreword まえがき
Preface 序文
How to use this JSP このJSPの使い方
Coherence with other Policy and Guidance 他の政策やガイダンスとの一貫性
Training トレーニング
Further Advice and Feedback – Contacts その他のアドバイスとフィードバック - 連絡先
Contents 目次
1 Introduction 1 序文
Policy 方針
Scope スコープ
Applicability 適用性
Tailoring 仕立て
Delegation of Responsibilities 責任の委譲
Associated Standards and Guidance 関連標準とガイダンス
2 AI in Defence Systems 2 防衛システムにおけるAI
Introduction 序文
Robotic and Autonomous Systems ロボットと自律システム
Digital Systems デジタル・システム
3 Legal & Ethical Considerations of AI 3 AIの法的・倫理的考察
Introduction 序文
Legal Considerations 法的考察
Ethical Principles 倫理原則
Ethical Principles: Human Centricity 倫理原則人間中心主義
Ethical Principles: Responsibility 倫理的原則責任
Ethical Principles: Understanding 倫理的原則:理解する
Ethical Principles: Bias and Harm Mitigation 倫理的原則バイアスと被害の低減
Ethical Principles: Reliability 倫理的原則信頼性
Research and Development Ethics 研究開発倫理
AI Ethical Risk Assessment and Management AI倫理リスクアセスメントとマネジメント
Communication of AI Ethics AI倫理のコミュニケーション
4 AI Ethics Governance 4 AI倫理ガバナンス
MOD Governance of AI AIのMODガバナンス
Governance of Non-Sovereign AI Development and Use 非主権的AIの開発と利用のガバナンス
5 Human/AI Teams 5 人間/AIチーム
Introduction 序文
Human Centred AI Design 人間中心のAIデザイン
People Implications of AI Technologies AI技術が人々にもたらすもの
Training Implications of AI Technologies AI技術のトレーニングへの影響
6  AI Lifecycles 6 AIライフサイクル
Introduction 序文
Planning プランニング
Requirements 必要条件
Architecture アーキテクチャ
Algorithm Design アルゴリズム設計
Algorithm Implementation アルゴリズムの実装
Machine Learning Data Collection, Preparation and Control 機械学習データの収集、準備、管理
Model Development モデル開発
AI Verification and Validation AIの検証と妥当性確認
AI Integration, Use and Modification AIの統合、使用、修正
MOD Staff Competencies MODスタッフのコンピテンシー
7 Quality, Safety and Security 7 品質、安全、セキュリティ
Quality 品質
Safety 安全性
Security セキュリティ
8 Suppliers 8 サプライヤー
9 AI Assurance 9 AI保証
10 References 10 参考文献
11 Glossary 11 用語集

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.28 米国 ホワイトハウス 人工知能(AI)に関する国家安全保障覚書 (NSM) と 国家安全保障におけるAIガバナンスとリスクマネジメントを前進させる枠組み(2024.10.24)

・2024.09.16 米国 USCYBERCOM サイバー作戦のためのAIロードマップ (2023.09.13)

・2024.09.09 米国 国防総省 NSAのAI安全保障センター長の話...

・2024.03.28 米国 国防総省 国防高等研究計画局(DARPA)の重要な目標は、国防総省にとって信頼できる人工知能を開発することである。

・2023.11.29 米国 国防総省 AI導入戦略 (2023.11.02)

・2023.10.31 米国 人工知能の安全、安心、信頼できる開発と利用に関する大統領令

・2023.08.13 米国 国防総省 CDAOが国防総省の新しい生成的AIタスクフォース(タスクフォース・リマ)の指揮を執る

・2023.06.17 米国 国防総省 最高デジタル・AI室が第6回グローバル情報支配実験 (GIDE) を開催

 

| | Comments (0)

2024.11.26

個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係(第304回委員会、第3-5回検討会)

こんにちは、丸山満彦です。

前回紹介してから、少し時間がたっているので、まとめて紹介!

議論をみていると、実務界(の一部?の人の意見)と法律専門家の意見の差があるようですね...

課徴金にしても、不法な行為の抑止で、基本は不正にあげた利益を没収と、違反の規模に応じた罰則を与えようというのが趣旨ですので、(もちろん正確に不正にあげた利益等を見積もるのは難しいのはわかりますが...)、普通の企業はそもそも違反する気はないでしょうし、萎縮効果といっても、法の基準が明確なら萎縮する必要もないので、むしろ明確な基準になるように尽力する方が社会的にはよいように思います...

ちなみに第6回は11月28日...

 

個人情報保護委員会

・・個人情報保護委員会開催状況

・・個人情報保護法のいわゆる3年ごと見直しに関する検討会

 

第5回の資料4にこれまでの議論の要約があります...

20241126-90745

もう少し詳細なら

20241126-90937

 

 

2024.11.12 第5回 個人情報保護法のいわゆる3年ごと見直しに関する検討会
  議事次第
資料1 国内他法令における課徴金額の算定方法等について
資料2 現行制度と検討の方向性について(団体による差止請求制度及び被害回復制度②)
資料3 認定個人情報保護団体制度について
資料4 第4回までの主な論点及び関連意見 
資料5 個人情報保護法のいわゆる3年ごと見直しの検討の充実に向けた視点・今後の検討の進め方
参考資料1 第2回~第4回検討会における主な御意見
参考資料2 関係参考資料 
議事録  
2024.10.16 第304回個人情報保護委員会
資料1-1 個人情報保護法のいわゆる3年ごと見直しの検討の充実に向けた視点(案) 
資料1-2 今後の検討の進め方
  議事概要
  議事録 
2024.10.11 第4回 個人情報保護法のいわゆる3年ごと見直しに関する検討会
  議事次第
資料1 全国消費生活相談員協会プレゼン資料 
資料2 中川構成員プレゼン資料 
資料3 第3回事務局資料に対する御質問と考え方
参考資料1 第2回及び第3回検討会における主な御意見 
参考資料2 関係参考資料
前回資料1ー1 総合的な案内所(個人情報保護法相談ダイヤル)における受付状況 
前回資料1ー2 名簿販売事業者に対する個人情報の保護に関する法律に基づく行政上の対応について
前回資料2 個人情報保護法の違反行為に係る事例等 
前回資料3 現行制度と検討の方向性について(課徴金制度)
前回資料4 現行制度と検討の方向性について(団体による差止請求制度及び被害回復制度)
議事録 第4回個人情報保護法のいわゆる3年ごと見直しに関する検討会 
2024.09.26 第3回 個人情報保護法のいわゆる3年ごと見直しに関する検討会
  議事次第 
資料1-1 総合的な案内所(個人情報保護法相談ダイヤル)における受付状況 
資料1-2 名簿販売事業者に対する個人情報の保護に関する法律に基づく行政上の対応について 
資料2 個人情報保護法の違反行為に係る事例等 
資料3 現行制度と検討の方向性について(課徴金制度)
資料4 現行制度と検討の方向性について(団体による差止請求制度及び被害回復制度)
参考資料1 第2回検討会における主な御意見 
参考資料2 個人情報の保護に関する基本方針
参考資料3 個人情報の保護に関する法律に基づく行政上の対応について(令和6年9月11日公表資料)
参考資料4 関係参考資料 
議事録 第3回個人情報保護法のいわゆる3年ごと見直しに関する検討会 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.06 個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係(第299回委員会、第2回検討会)

・2024.08.04 個人情報保護委員会 第1回 個人情報保護法のいわゆる3年ごと見直しに関する検討会

・2024.06.28 個人情報保護委員会 意見募集 いわゆる3年ごと見直しに係る検討の中間整理

・2024.06.04 個人情報保護委員会 個人情報保護法の3年ごとの見直しに関する意見をヒアリング、検討中... (2)

・2024.04.25 個人情報保護委員会 個人情報保護法の3年ごとの見直しに関する意見をヒアリング、検討中...

・2024.01.06 個人情報保護委員会 個人情報保護法の3年ごとの見直しに関する意見をヒアリング中...

 

Continue reading "個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係(第304回委員会、第3-5回検討会)"

| | Comments (0)

カリフォルニア州 消費者プライバシー法の改正案公表 - セキュリティ監査、自動意思決定技術等についての規制を追加 (2024.11.22)

こんにちは、丸山満彦です。

カリフォルニア州の消費者プライバシー法(2018)の改正案が公表され、意見募集がされていますね...

(1)特定の会社に対するセキュリティ監査、リスクアセスメントの要求

(2)事業者による自動意思決定技術の使用に対する消費者のアクセス権、オプトアウト権の明記

(3)保険会社が消費者プライバシー法を遵守しなければならない場合の明確化

などが、考えられているようです...

すでにコメントを受け付けて(期間内のコメント期間後のコメント)を受け付けての規則案の提案なのですが、これから、まだコメントを受け付けて、文面は変わるのでしょうね...

そして、州の上院議会、下院議会の審議でどうなるか...、最後に知事がどうするか...

 

日本でも個人情報保護法の3年ごとの見直しということで改訂の話が進んでいますが...なんか、カリフォルニアや欧州の進んだ考え方に追従せざるを得ない状況となり、改正をしようとするので、一周遅れというか、5年遅れというか、、、そんな感じに見えてしまいますね...

産業界の反対の声が大きいのかもしれませんが、日本でゆるゆるの基準をつくっても、世界で戦う企業は、グローバルな規制に従う必要があるので、グループ全体でマーケットの大きい地域の基準に合わせていくしかなく...

ゆるゆるに見えるグレーな基準をつくるよりも、厳しいかもしれないけど白黒はっきりとした基準をつくるほうが、海外企業も国内企業にもよいかもですね。。。

 

California Privacy Protection Agency

・2024.11.22 Proposed Regulations on CCPA Updates, Cybersecurity Audits, Risk Assessments, Automated Decisionmaking Technology (ADMT), and Insurance Companies

Proposed Regulations on CCPA Updates, Cybersecurity Audits, Risk Assessments, Automated Decisionmaking Technology (ADMT), and Insurance Companies CCPA更新、サイバーセキュリティ監査、リスクアセスメント、自動意思決定技術(ADMT)、保険会社に関する規制案
On November 8, 2024, the California Privacy Protection Agency (Agency) Board voted to commence formal rulemaking on the following regulatory subjects: CCPA Updates, Cybersecurity Audits, Risk Assessments, Automated Decisionmaking Technology (ADMT), and Insurance Companies. Specifically, the proposed regulations seek to (1) update existing CCPA regulations; (2) implement requirements for certain businesses to conduct risk assessments and complete annual cybersecurity audits; (3) implement consumers’ rights to access and opt-out of businesses’ use of ADMT; and (4) clarify when insurance companies must comply with the CCPA. 2024年11月8日、カリフォルニア州プライバシー保護局(California Privacy Protection Agency)理事会は、以下の規制テーマに関する正式な規則制定を開始することを決議した: CCPAの更新、サイバーセキュリティ監査、リスクアセスメント、自動意思決定技術(ADMT)、保険会社である。具体的には、(1)既存のCCPA規制の更新、(2)特定の事業者に対するリスクアセスメントの実施と年次サイバーセキュリティ監査の完了要件の実施、(3)事業者によるADMT利用に対する消費者のアクセス権およびオプトアウト権の実施、(4)保険会社がCCPAを遵守しなければならない場合の明確化、である。
Notice Register Publication Date: November 22, 2024 公示日 2024年11月22日
Status of the Proposal: The public comment period for these proposed regulations is now open and closes on January 14, 2025, at 6:00 p.m. Pacific Time. More information about how to submit a written comment can be found in the Notice of Proposed Rulemaking in the rulemaking documents below. The Agency’s Board will determine whether to adopt or further modify the proposed regulations at a future Board Meeting. 提案の状況 本規制案に対するパブリックコメント募集は現在開始されており、2025年1月14日午後6時(太平洋時間)に締め切られる。意見書の提出方法についての詳細は、以下の規則制定文書の「規則案策定通知」に記載されている。同庁の理事会は、今後の理事会において、提案された規則を採択するか、さらに修正するかを決定する。
Rulemaking Documents 規則制定文書
Notice of Proposed Rulemaking 規則案作成通知
Text of Proposed Regulation 規則案本文
Initial Statement of Reasons 当初の理由書
Initial Statement of Reasons Appendix A: Standardized Regulatory Impact Assessment 最初の理由書 附属書A:標準規制影響評価(Standardized Regulatory Impact Assessment
Economic and Fiscal Impact Statement (STD 399) 経済財政影響評価書(STD 399)

 

規則案作成通知(Notice of Proposed Rulemaking

20241126-52436

概要...

INFORMATIVE DIGEST/POLICY STATEMENT OVERVIEW  情報ダイジェスト/方針声明概要 
Summary of Existing Laws and Regulations:  既存法規の概要 
The California Consumer Privacy Act (CCPA) was enacted in 2018 and became effective in 2020. It granted consumers new privacy rights and imposed obligations on businesses that collect personal information about consumers. The CCPA provided consumers with the rights to know about personal information collected by businesses, delete personal information, opt out of the sale of personal information, and be protected from discrimination in service and price when exercising privacy rights. In 2020, the Consumer Privacy Rights Act (CPRA) amended the CCPA, creating the Agency and granting consumers additional rights, such as the rights to correct, limit the use and disclosure of sensitive personal information, and opt-out of the sharing of their personal information. In addition, the CPRA created or amended certain requirements for businesses, such as those relating to the processing of consumers’ personal information, disclosures to consumers, and methods for submitting CCPA requests.   カリフォルニア州消費者プライバシー法(CCPA)は2018年に制定され、2020年に発効した。同法は消費者に新たなプライバシーの権利を付与し、消費者の個人情報を収集する事業者に義務を課した。CCPAは、事業者が収集した個人情報を知る権利、個人情報を削除する権利、個人情報の販売からオプトアウトする権利、プライバシー権を行使する際にサービスや価格における識別的な差別から保護される権利を消費者に提供した。2020年、消費者プライバシー権法(CPRA)はCCPAを改正し、消費者庁を設立し、消費者に訂正権、機微な個人情報の使用と開示の制限権、個人情報の共有のオプトアウト権などの追加権を付与した。さらに、CPRAは、消費者の個人情報の処理、消費者への開示、CCPA要求の提出方法など、事業者に対する一定の要求事項を創設または改正した。 
Although the Attorney General initially had rulemaking authority to implement the CCPA, that authority transferred to the Agency in 2022. Subsequently, the Agency engaged in rulemaking to amend the regulations previously adopted by the Attorney General, operationalize the CPRA amendments to the CCPA, and provide additional clarity and specificity to implement the law. In March 2023, the Agency’s first formal rulemaking process concluded, and its regulations became effective.   当初、司法長官はCCPAを実施するための規則制定権限を持っていたが、その権限は2022年に同庁に移った。その後、同庁は、司法長官が以前に採択した規則を修正し、CPRAの改正をCCPAに運用し、同法を実施するためにさらなる明確性と具体性を提供するための規則制定に取り組んだ。2023年3月、同庁初の正式な規則制定プロセスが終了し、規則が発効した。 
In September 2024, the Governor signed into law three bills that amend the CCPA and become effective January 1, 2025. AB 1008 (2023-2024) amends the definition of personal information to clarify that it includes physical, digital, and abstract digital formats, including metadata or artificial intelligence (“AI”) systems capable of outputting personal information. SB 1223 (2023-2024) expands the definition of sensitive personal information to include “neural data.” Therefore, when the CCPA and existing and proposed regulations reference personal information or sensitive personal information, those references are intended to encompass the definitions of those terms contained in these bills as the proposed regulations would be adopted after January 1, 2025.   2024年9月、知事はCCPAを改正する3つの法案に署名し、2025年1月1日に発効した。AB 1008 (2023-2024)は、個人情報の定義を修正し、メタデータや個人情報を出力できる人工知能(AI)システムを含む、物理的、デジタル、抽象的なデジタル形式を含むことを明確にした。SB1223(2023-2024)は、機微(センシティブ)個人情報の定義を拡大し、「ニューラル・データ」を含める。従って、CCPA、既存および本規則案が個人情報または機微な個人情報に言及する場合、それらの言及は、本規則案が2025年1月1日以降に採用される場合、これらの法案に含まれるこれらの用語の定義を包含することを意図している。 
AB 1824 requires businesses to which personal information is transferred as an asset during certain transactions, such as a merger or acquisition, to honor consumers’ opt-out of sale/sharing preferences. The CCPA’s requirements for the right to opt-out of sale/sharing, including in the existing or proposed regulations, also apply to businesses to which personal information is transferred.   AB1824は、合併や買収など特定の取引において個人情報が資産として移転される企業に対し、消費者の売却・共有のオプトアウト希望を尊重することを求めている。既存または本規則案を含め、売却/共有のオプトアウトの権利に関するCCPAの要件は、個人情報が譲渡される事業者にも適用される。 
Effect of the Proposed Rulemaking:  規則案の効果 
The proposed regulations include updates to existing Agency regulations, as well as the addition of regulations related to cybersecurity audits, risk assessments, automated decisionmaking technology (ADMT), and insurance requirements. The updates to existing regulations modify the regulations to be consistent with current law, refine the existing regulations based on the Agency’s experience and available information since the time these regulations were adopted, and make changes without regulatory effect. The Agency has identified that there is a need to provide clarity to the regulated industry about the interplay between insurance laws and the CCPA; thus, the Agency has included regulations related to insurance requirements. Finally, the Agency is statutorily mandated to adopt regulations to implement and clarify requirements related to cybersecurity audits, risk assessments, and ADMT. The proposed regulations seek to fulfill that mandate.  本規則案には、サイバーセキュリティ監査、リスクアセスメント、自動意思決定技術(ADMT)、および保険要件に関連する規則の追加に加え、既存の規制の更新が含まれる。既存規制の更新は、現行法との整合性を図るために規制を修正し、これらの規制が採択された時点以降の弊庁の経験や入手可能な情報に基づいて既存規制を改良し、規制効果を伴わない変更を加えるものである。弊庁は、保険法とCCPAの相互関係について、規制される業界に明確性を提供する必要性があると認識しており、保険要件に関連する規制を含んでいる。最後に、サイバーセキュリティ庁は、サイバーセキュリティ監査、リスクアセスメント、ADMTに関連する要件を実施し、明確化するための規制を採択することを法令上義務付けられている。今回本規則案は、その義務を果たすことを目的としている。

 

改正案のポイント

Article 1.  General Provisions.   第1条 一般規定
Article 1 of the Agency’s regulations contain general provisions including definitions, restrictions on collection and use of personal information, disclosures and communications with consumers, and requirements for methods of submitting CCPA requests and obtaining consumer consent. The proposed regulations would amend section 7001 to define the following terms: “artificial intelligence,” “automated decisionmaking technology” and “ADMT,” “behavioral advertising,” “cybersecurity audit,” “cybersecurity program,” “deepfake,” “information system,” “multi-factor authentication,” “penetration testing,” “performance at work,” “performance in an educational program,” “physical or biological identification or profiling,” “privileged account,” “profiling,” “publicly accessible place,” “request to access ADMT,”  “request to appeal ADMT,” “request to opt-out of ADMT,” “right to access ADMT,” “right to opt-out of ADMT,” “systematic observation,” “train automated decisionmaking technology or artificial intelligence,” and “zero trust architecture.” The proposed regulations would also amend the definitions of “nonbusiness,” “request to know,” “sensitive personal information,” and “verify.”  一般規定第1条には、定義、個人情報の収集・利用の制限、開示および消費者とのコミュニケーション、CCPA要請の提出方法および消費者の同意の取得方法に関する要件が含まれる。本規則案は、第7001条を改正し、以下の用語を定義する: 人工知能」、「自動意思決定技術」および「ADMT」、「行動広告」、「サイバーセキュリティ監査」、「サイバーセキュリティプログラム」、「ディープフェイク」、「情報システム」、「多要素認証」、「侵入テスト」、「職場でのパフォーマンス」、「教育プログラムでのパフォーマンス」、「身体的または生物学的識別またはプロファイリング」、 「特権アカウント」、「プロファイリング」、「一般にアクセス可能な場所」、「ADMTへのアクセス要求」、「ADMTへの異議申し立て要求」、「ADMTからのオプトアウト要求」、「ADMTへのアクセス権」、「ADMTからのオプトアウト権」、「組織的観察」、「自動意思決定技術または人工知能の訓練」、「ゼロ信頼アーキテクチャ」。 」 本規則案はまた、「non-business」、「request to know」、「sensitive personal information」、「verify 」の定義を修正する。
The proposed regulations would amend section 7002 to clarify that a business must allow a consumer to withdraw consent to collecting and processing personal information, unless an exception applies, and require that businesses comply with all of the requirements within that section for additional collection or processing of personal information.    本規則案は、7002条を改正し、事業者は、例外が適用されない限り、消費者が個人情報の収集・処理に対する同意を撤回することを認めなければならないことを明確にし、事業者は、個人情報の追加的な収集・処理について、同条に含まれるすべての要件を遵守することを義務付ける。  
The proposed regulations would also amend the requirements of section 7003 regarding the appearance of privacy related links on a business website. The proposed regulations would further require mobile applications to include a conspicuous link within the application itself.  また、本規則案は、事業者のウェブサイト上のプライバシー関連リンクの表示に関する第7003条の要件も改正する。本規則案はさらに、モバイル・アプリケーションに、アプリケーション自体の中に目立つリンクを含めることを要求する。
Additionally, the proposed regulations would amend section 7004 to clarify that businesses must incorporate the principles listed in the section in designing and implementing their methods for submitting CCPA requests and for obtaining consumer consent. The proposed regulations would revise and add to the examples provided in the section, replace permissive language with mandatory language for requirements, and address how requests for consent must appear. The proposed regulations would prohibit businesses from using misleading statements or omissions, affirmative misstatements, or deceptive language in obtaining consent, as well as categorize choices that are driven by a false sense of urgency as misleading. The proposed regulations would establish that a consumer’s silence or failure to act affirmatively does not constitute consent. The proposed regulations would further clarify that methods must be tested to ensure that they are functional and do not undermine the consumer’s choice to submit the request. The proposed regulations further clarify that this principle also applies to methods for providing and withdrawing consent and reminds businesses that individuals handling phone calls from consumers submitting CCPA requests must have the knowledge and ability to process those requests. The proposed regulations clarify the illustrative examples in subsection (a) were a non-exhaustive list and that a user interface that has the effect of subverting or impairing consumer choice is a dark pattern.   さらに、本規則案は、第7004条を改正し、事業者は、CCPA要請の提出方法および消費者の同意の取得方法を設計し実施する際に、同条に列挙された原則を取り入れなければならないことを明確にする。本規則案は、同条項で提供される例を修正・追加し、容認的な文言を要求事項に関する強制的な文言に置き換え、同意の要求がどのように表示されなければならないかを取り上げる。本規則案は、同意の取得において、事業者が誤解を招く記述や省略、断定的な虚偽の記述、欺瞞的な表現を使用することを禁止するとともに、誤った切迫感に駆られた選択を誤解を招くものとして分類するものである。本規則案は、消費者が沈黙したり、積極的に行動しなかったりしても同意とはならないことを定めるものである。本規則案はさらに、方法が機能的であり、リクエストを提出するという消費者の選択を損なわないことを確認するためにテストされなければならないことを明確にする。本規則案はさらに、この原則が同意の提供および撤回方法にも適用されることを明確にし、事業者に対し、CCPA要請を提出する消費者からの電話を処理する個人は、それらの要請を処理する知識と能力を有していなければならないことを喚起する。本規則案は、第(a)項の例示が非網羅的なリストであり、消費者の選択を破壊または損なう効果を持つユーザー・インターフェースは暗黒パターンであることを明確にしている。 
Article 2.  Required Disclosures to Consumers.  第2条 消費者に対する必要な開示 
Article 2 contains required disclosures to consumers. The proposed regulations would amend section 7010 to require a business that uses ADMT to provide consumers with a Pre-use Notice, which must include a link through which consumers can opt-out of the business’s use of ADMT. The proposed regulations clarify exceptions to the requirement to provide an opt-out link to consumers.   第2条には、消費者に対する必要な開示が含まれている。本規則案は、第7010条を改正し、ADMTを使用する事業者が消費者に使用前通知を提供することを義務付けるものであり、この使用前通知には、消費者が事業者によるADMTの使用をオプトアウトできるリンクを含めなければならない。本規則案は、消費者にオプトアウト・リンクを提供するという要件の例外を明確にするものである。 
The proposed regulations would amend section 7011 to require mobile applications to include a link to the privacy policy. Businesses would also be required to describe categories of sources and categories of third parties in a manner that provides consumers a meaningful understanding of those things. The proposed regulations would clarify that disclosures for a business purpose are to service providers and contractors, not third parties. The proposed regulations also clarify that businesses must include an explanation of consumers’ right to optout of ADMT and an explanation of the right to access ADMT, if it is using ADMT. The proposed regulations clarify that consumers have a right against retaliation when exercising their privacy rights, and that this right also applies when they are acting as an applicant to an educational program, a job applicant, or a student. The proposed regulations would also require the business to provide a general description of the process it uses to verify a consumer’s “request to access ADMT.”   本規則案は、第7011条を改正し、モバイルアプリケーションにプライバシーポリシーへのリンクを含めることを義務付ける。事業者はまた、プロバイダのカテゴリーおよびサードパーティのカテゴリーについて、消費者に有意義な理解を提供する方法で説明することが求められる。本規則案は、事業目的の開示は第三者ではなく、サービスプロバイダーや請負業者に対するものであることが明確にされる。規則案はまた、事業者は、消費者がADMTをオプトアウトする権利についての説明と、ADMTを利用している場合には、ADMTにアクセスする権利についての説明を含めなければならないことを明確にする。本規則案は、消費者がプライバシーの権利を行使する際に報復を受けない権利を有すること、およびこの権利は、消費者が教育プログラムへの応募者、求職者、または学生として行動している場合にも適用されることを明確にしている。また、本規則案は、事業者に対し、消費者の「ADMTへのアクセス要求」を確認するために使用するプロセスの一般的な説明を提供することを義務付ける。 
The proposed regulations would amend section 7013 to provide more examples of the requirement that the Notice of Right to Opt-Out of Sale/Sharing be provided in the same manner in which the business collects the personal information that it sells or shares.   本規則案は、セクション7013を修正し、事業者が販売または共有する個人情報を収集するのと同じ方法で、販売/共有をオプトアウトする権利の通知を提供するという要件の例を増やす。 
The proposed regulations would amend section 7014 to further implement Civil Code section 1798.135, subdivision (a)(2), by requiring the notice of the consumer’s right to limit the use of sensitive personal information be provided in the same manner in which the business collects the sensitive personal information, and provides examples. The proposed regulations would also amend section 7015 to allow for the adjustment of color to ensure that the opt-out icon is conspicuous and easy to read.  本規則案は、民法第1798.135条(a)(2)をさらに実施するために第7014条を改正し、消費者の機微な個人情報の使用を制限する権利の通知を、事業者が機微な個人情報を収集するのと同じ方法で提供することを義務付け、その例を示す。また、本規則案は、第7015条を改正し、オプトアウトのアイコンが目立ち、読みやすくなるよう、色の調整を可能にする。
Article 3.  Business Practices for Handling Consumer Requests.  第3条 消費者からの要請を処理するための業務慣行
Article 3 contains requirements for how consumer requests must be handled by businesses. The proposed regulations would amend section 7020 to require businesses to provide a means by which the consumer can request that the business, in response to a request to know, provide personal information collected prior to the 12-month period preceding the business’s receipt of the request. The proposed regulations would also amend section 7021 to make requests to access ADMT and to appeal ADMT subject to the timelines contained in the section.   第3条には、事業者が消費者請求をどのように取り扱わなければならないかについての要件が含まれる。本規則案は、第7020条を改正し、消費者が、知ることを要求された事業者に対して、事業者がその要求を受領する前の12ヶ月間以前に収集された個人情報を提供することを要求できる手段を提供することを事業者に義務付ける。また、本規則案は、第7021条を改正し、ADMTへのアクセス要求およびADMTへの不服申立を、同条に含まれるスケジュールの対象とする。 
Additionally, the proposed regulations would amend section 7022 by clarifying what a business must do in response to a request to delete. This includes that businesses, service providers, and contractors are to implement measures to ensure that information subject to a request to delete remains deleted, deidentified, or aggregated. The proposed regulations would also explain that whether a business, service provider, or contractor has implemented these measures factors into whether they have complied with the consumer’s request to delete, and that they should consider and address how previously deleted information may be recollected. The proposed regulations would also require a business that denies a request to delete in whole or in part to inform the consumer that they can file a complaint with the Agency and the Attorney General’s office.   さらに、本規則案は、第7022条を改正し、削除要請に対して事業者が何をしなければならないかを明確化する。これには、事業者、サービスプロバイダー、および請負業者が、削除要請の対象となる情報が削除、非識別化、または集計されたままであることを保証するための措置を実施することが含まれる。規則案はまた、事業者、サービスプロバイダー、請負業者がこれらの措置を実施しているかどうかが、消費者の削除要請に応じたかどうかに影響すること、および以前に削除された情報がどのように再回収される可能性があるかを考慮し、対処すべきであることを説明する。また、本規則案は、削除要請の全部または一部を拒否した事業者に対し、消費者庁および司法長官事務所に苦情を申し立てることができることを消費者に通知することを義務付ける。 
The proposed regulations would also amend section 7023 to clarify that businesses, service providers, and contractors are to implement measures to ensure that information subject to a request to correct remains corrected and that a business is obligated to correct information stored in a backup or archived system only if that system comes into active use. The proposed regulations would require businesses that deny a consumer’s request to correct to inform the consumer that, upon the consumer’s request, it will note both internally and to any person to whom it discloses the personal information that the accuracy of the personal information is contested by the consumer. The proposed regulations would require a business to make a written statement the consumer submits available to any person to whom it discloses the personal information subject to the request to correct health information. Additionally, businesses would be required to provide the name of the source from which it received alleged inaccurate information, or inform the source that the information provided was incorrect and must be corrected. The proposed regulations require businesses to confirm certain information they maintain is the same as what the consumer has provided and clarifies that failing to address the possibility that corrected information may be overridden by inaccurate information factors into whether the business, service provider, or contractor has adequately complied with a consumer’s request to correct. The proposed regulations also clarify that complaints may be filed with the Agency or Attorney General’s office.   本規則案はまた、第7023条を改正し、事業者、サービスプロバイダー、請負業者は、訂正要求の対象となった情報が訂正されたままであることを保証するための措置を実施すること、および事業者は、バックアップまたはアーカイブシステムに保存された情報を訂正する義務があるのは、そのシステムがアクティブに使用されるようになった場合に限られることを明確にする。本規則案は、消費者からの訂正要求を拒否する事業者に対して、消費者からの要求があれば、社内および個人情報の開示先に対して、個人情報の正確性が消費者によって争われていることを通知することを義務付ける。本規則案は、事業者は、健康情報の訂正要求の対象となる個人情報を開示するいかなる者に対しても、消費者が提出した書面を利用できるようにすることが求められる。さらに、事業者は、不正確とされる情報を入手したプロバイダの名前を提供するか、提供された情報が不正確であり、訂正しなければならないことをそのプロバイダに通知することが求められる。本規則案は、事業者が保持する特定の情報が、消費者が提供したものと同じであることを確認するよう求めており、訂正された情報が不正確な情報によって上書きされる可能性に対処しないことは、事業者、サービスプロバイダー、または請負業者が消費者の訂正要求に適切に応えたかどうかに影響することを明確にしている。また、本規則案は、苦情は当庁または司法長官事務所に申し立てることができることを明確にしている。 
The proposed regulations would amend section 7024 to require businesses to provide a way for consumers to confirm that certain sensitive personal information the business maintains is what the consumer believes it should be and that when a business denies a request to know in whole or in part, it must also inform the consumer that they can file a complaint with the Agency and the Attorney General’s office. The proposed regulations would more precisely explain a business’s disclosure obligations under Civil Code sections 1798.110 and 1798.115 and clarify that businesses must identify categories of service providers and contractors in a manner that provides consumers a meaningful understanding of the categories listed.   本規則案は、第7024条を改正し、事業者が保持する特定の機微な個人情報が、消費者がそうあるべきと考えるものであることを確認する方法を消費者に提供することを事業者に義務付けるとともに、事業者が知ることを求める要求の全部または一部を拒否した場合、事業者庁および司法長官事務所に苦情を申し立てることができることを消費者に通知しなければならないとしている。本規則案は、民法第1798.110条および第1798.115条に基づく事業者の開示義務をより正確に説明し、事業者はサービスプロバイダーおよび請負業者のカテゴリーを、記載されたカテゴリーについて消費者に有意義な理解を提供する方法で特定しなければならないことを明確にするものである。 
The proposed regulations would amend section 7025 to require businesses to display the consumer’s choice as it relates to the sale/sharing of their personal information; the business must display whether it has processed the consumer’s opt-out preference signal as a valid request to opt-out of sale/sharing on its website. Exemplar language for how a business can communicate this information to the consumer is included in the proposed regulations.   本規則案は、第7025条を改正し、個人情報の販売/共有に関連する消費者の選択を表示することを事業者に義務付けるものである。事業者は、消費者のオプトアウト希望信号を販売/共有のオプトアウトの妥当性確認要求として処理したかどうかをウェブサイトに表示しなければならない。事業者がこの情報をどのように消費者に伝えるかについての例示的な文言は、規則案に含まれている。 
The proposed regulations would amend section 7026 to require that a business that denies a request to opt-out of sale/sharing to inform the consumer that they can file a complaint with the Agency and the Attorney General’s office. Illustrative examples to explain the timing requirements for requests to opt-out of sale/sharing have been included. The proposed regulations would require businesses to provide a means by which the consumer can confirm that their request to opt-out of sale/sharing has been processed and provide exemplar language for how a business can communicate this information to the consumer.   本規則案は、第7026条を改正し、販売/共有のオプトアウト要求を拒否した事業者が、消費者庁および司法長官事務所に苦情を申し立てることができることを消費者に通知することを義務付けるものである。販売/共有のオプトアウト要求のタイミング要件を説明するための例示が含まれている。本規則案は、消費者が販売/共有のオプトアウト要求が処理されたことを確認できる手段を提供することを事業者に義務付け、事業者がこの情報を消費者に伝える方法について例示的な表現を提供する。 
The proposed regulations would amend section 7027 to include the requirement that when a business denies a request to limit, it must also inform the consumer that they can file a complaint with the Agency and the Attorney General’s office. “Shared” has been replaced with “made available” to be more precise and additional examples have been included. The proposed regulations would also require businesses to provide a means by which the consumer can confirm that their request to limit has been processed.   本規則案は、第7027条を改正し、事業者が制限要求を拒否する場合、事業者庁と司法長官事務所に苦情を申し立てることができることを消費者にも通知しなければならないという要件を含める。「Shared 「はより正確を期すため 」made available "に置き換えられ、追加例が盛り込まれた。本規則案はまた、消費者が制限要求が処理されたことを確認できる手段を提供することを事業者に義務付ける。 
The proposed regulations would amend section 7028 to extend the procedures for requests to opt-in to include requests to opt-in to the sharing of personal information and requests to optin to the use and disclosure of sensitive personal information. The proposed regulations address situations where consumers initiate transactions with businesses after making a request to limit when those transactions may require that the business disclose or use the consumer’s sensitive personal information in a manner inconsistent with the request to limit, allowing a business to obtain the consumer’s consent to use or disclose the information for that purpose even if it is within 12 months of the consumer’s request. The proposed regulations would also clarify that section 7004 applies to obtaining the consumer’s consent.   本規則案は、第7028条を改正し、オプトイン要求の手続を、個人情報の共有に対するオプトイン要求および機微な個人情報の使用および開示に対するオプトイン要求を含むように拡張する。本規則案は、消費者が制限の要請を行った後に事業者と取引を開始した場合、その取引によって、制限の要請と矛盾する方法で事業者が消費者の機微な個人情報を開示または使用する必要が生じる可能性がある状況に対処するもので、事業者は、消費者の要請から12カ月以内であっても、その目的のために情報を使用または開示することについて消費者の同意を得ることができる。また、本規則案は、消費者の同意を得るために7004条が適用されることを明確にする。 
Article 4.  Service Providers, Contractors, and Third Parties.  第4条 サービスプロバイダー、請負業者、サードパーティ
Article 4 of the proposed regulations contains the requirements related to service providers, contractors, and third parties. The proposed regulations would amend section 7050 to clarify that the purposes for which a service provider or contractor retains, uses, or discloses personal information must be reasonably necessary and proportionate to serve the purposes listed in the regulation and provides an example. The proposed regulations would also require that service providers and contractors cooperate with businesses for those businesses’ cybersecurity audits and risk assessments with respect to the personal information that the service provider or contractor has collected pursuant to their written contract with the business. The proposed regulations would explain that cooperating with a business’s completion of its cybersecurity audit includes making available to the business’s auditor all relevant information that the auditor requests and not misrepresenting any fact that the auditor deems relevant to the audit. The proposed regulations would also explain that cooperating with a business that is conducting a risk assessment includes making available to the business all facts necessary to conduct the risk assessment and not misrepresenting any fact necessary to conduct the risk assessment.   本規則案の第4条には、サービスプロバイダー、請負業者、サードパーティに関する要件が含まれている。本規則案は、第7050条を改正し、サービスプロバイダーまたは請負業者が個人情報を保持、使用、開示する目的は、規則に列挙された目的を果たすために合理的に必要かつ比例したものでなければならないことを明確にし、その例を示している。本規則案はまた、サービスプロバイダーや請負業者が、事業者との書面による契約に従って収集した個人情報に関して、事業者のサイバーセキュリティ監査やリスクアセスメントに協力することを義務付ける。本規則案は、事業者のサイバーセキュリティ監査の完了に協力することには、監査人が要求するすべての関連情報を事業者の監査人に提供すること、監査人が監査に関連するとみなすいかなる事実も虚偽の説明をしないことが含まれると説明される。また、本規則案は、リスクアセスメントを実施している事業者に協力することには、リスクアセスメントを実施するために必要なすべての事実を事業者に提供すること、およびリスクアセスメントを実施するために必要ないかなる事実についても虚偽の説明をしないことが含まれると説明している。 
The proposed regulations would amend section 7051 by including additional examples of requirements that a business may include in its contracts with service providers or contractors. 本規則案は、第7051条を改正し、事業者がサービスプロバイダーまたは請負業者との契約に含めることができる要件の追加例を含める。
Article 5.  Verification of Requests.  第5条 要請の検証
Article 5 contains the responsibilities of businesses to verify that the person making the request is also the subject of the information impacted by the request. The proposed regulations would amend section 7060 to include requests to access and to opt-out of ADMT. The proposed regulations would clarify that businesses must first consider how they can verify a consumer’s identity using personal information that they already maintain about the consumer before asking the consumer to provide additional information. The proposed regulations would make certain requirements mandatory when verifying requests and require a business that compensates the consumer for the cost of the notarization to provide the consumer with instructions on how they will be reimbursed prior to the consumer’s submission of the notarization. The proposed regulations would also extend the requirement to implement “reasonable security measures” to information about a business’s use of ADMT with respect to a consumer. The proposed regulations would clarify that a business must not use personal information that is the subject of a request to correct to verify the consumer.   第5条には、要請を行う者が、その要請によって影響を受ける情報の対象者でもあることを確認する事業者の責任が含まれている。本規則案は、7060条を改正し、ADMTへのアクセスおよびオプトアウトの要請を含める。本規則案は、事業者は、消費者に追加情報の提供を求める前に、消費者について既に保 有している個人情報を使用して消費者の身元を確認する方法を最初に検討しなければならない ことを明確にする。本規則案は、要請を検証するときに特定の要件を必須とし、公証の費用を消費者に補償する事業者は、消費者が公証を提出する前に、どのように弁済されるかについての指示を消費者に提供することを義務付ける。また、本規則案は、「合理的なセキュリティ対策」を実施する要件を、事業者による消費者に関するADMTの利用に関する情報にも拡大する。本規則案は、事業者は、消費者を確認するために、訂正要求の対象である個人情報を使用してはならないことを明確にする。 
The proposed regulations would amend section 7062 to include “request to access ADMT.”   本規則案は、第7062条を改正し、「ADMTへのアクセス要求」を含める。 
The proposed regulations would also amend section 7063 to clarify that businesses shall not require consumers to resubmit their request in their individual capacity.  また、本規則案は、第7063条を改正し、事業者は、消費者に対し、個人の資格で再提出を求めてはならないことを明確にする。
Article 6.  Special Rules Regarding Consumers Less Than 16 Years of Age.    第6条 16 歳未満の消費者に関する特別規則   
The proposed regulations would modify the title of the article to use the term “less than” instead of “under” to be consistent with the content within the article.   本規則案は、条文内の内容と整合させるため、条文のタイトルを修正し、「under」ではなく「less than」という用語を使用する。 
Article 7.  Non-Discrimination.  第7条 識別的差別の禁止
The proposed regulations would amend section 7080 to include requests to access and to optout of ADMT.   本規則案は、第7080条を修正し、ADMTへのアクセス及びオプトアウトの要請を含める。 
Article 8.  Training and Record-Keeping.  第8条 研修と記録の保管 
The proposed regulations would amend section 7102 to require the compilation and disclosure of metrics for requests to access and to opt-out of ADMT that the business received, complied with in whole or in part, and denied.   本規則案は、第7102条を修正し、事業者が受領し、その全部または一部に応じ、拒否した、 ADMT へのアクセスおよびオプトアウトの要請の測定基準の集計および開示を義務付ける。 
Article 9.  Cybersecurity Audits.    第9条 サイバーセキュリティ監査 サイバーセキュリティ監査
Article 9 of the proposed regulations would be a new article containing the requirements for cybersecurity audits. The proposed regulations would add section 7120 that explains which businesses’ processing presents significant risk to consumers’ security. The proposed regulations would clarify that a business that “meets the threshold set forth in Civil Code section 1798.140, subdivision (d)(1)(C), in the preceding calendar year” is a business whose processing of consumers’ personal information presents significant risk to consumers’ security. The proposed regulations would identify a business that meets the annual gross revenue threshold set forth in Civil Code section 1798.140, subdivision (d)(1)(A), and one of two processing thresholds in the preceding calendar year as presenting significant risk to consumers’ security. The proposed regulations would clarify that the two processing thresholds are met if the business processed either (1) the personal information of 250,000 or more consumers or households, or (2) the sensitive personal information of 50,000 or more consumers.   規則案の第9条は、サイバーセキュリティ監査の要件を含む新たな条文となる。本規則案は、どのような事業者の処理が消費者のセキュリティに重大なリスクをもたらすかを説明する第7120条を追加する。本規則案は、「前暦年において民法第1798.140条(d)(1)(C)に規定される閾値を満たす」事業者は、消費者の個人情報の処理が消費者のセキュリティに重大なリスクをもたらす事業者であることを明確にする。本規則案は、民法第1798.140条第(d)項第(1)号(A)に規定された年間総収入の閾値を満たし、かつ前暦年に2つの処理閾値のいずれかを満たした事業者を、消費者のセキュリティに重大なリスクをもたらす事業者と認定する。本規則案は、事業者が(1)250,000人以上の消費者または世帯の個人情報を処理した場合、または(2)50,000人以上の消費者の機微な個人情報を処理した場合に、2つの処理基準を満たすことを明確にする。 
The proposed regulations would add section 7121, which provides a business with 24 months from the effective date of the proposed regulations to complete its first cybersecurity audit and subsequently requires one every calendar year, with no gap in the months covered by successive cybersecurity audits.   本規則案は第7121条を追加する。この条は、事業者が最初のサイバーセキュリティ監査を完了するために、本規則案の発効日から24ヶ月をプロバイダに提供し、その後、連続したサイバーセキュリティ監査の対象となる月に空白期間を設けずに、暦年ごとに1回の監査を要求するものである。 
The proposed regulations would add section 7122, which contains the requirements for thorough and independent cybersecurity audits. The proposed regulations would require use of a qualified, objective, independent auditor who uses procedures and standards generally accepted in the profession of auditing; and provide guidance as to what auditor objectivity and independence mean, and how businesses must preserve auditor independence. For example, the proposed regulations would clarify that the auditor must exercise impartial judgment, be free to make decisions and assessments without influence by the business, and not participate in the very business activities that the auditor may assess in the current or subsequent cybersecurity audits. If the auditor is internal, the proposed regulations would require that they report directly to, and have their performance-evaluation and compensation determined by, the business’s board, governing body, or the business’s highest-ranking executive who does not have direct responsibility for the cybersecurity program. The proposed regulations would require a business to make all information available to the auditor that the auditor requests as relevant, make good-faith efforts to disclose to the auditor all facts relevant to the cybersecurity audit, and not misrepresent any fact relevant to the cybersecurity audit. The proposed regulations would specify that the audit must articulate its scope and criteria; identify the specific evidence examined to make decisions and assessments; explain why the scope, criteria, and evidence are appropriate; explain why the specific evidence examined is sufficient to justify the auditor’s findings; not rely primarily on assertions or attestations but rather on specific evidence that the auditor deemed appropriate; assess, document, and summarize each applicable component of the business’s cybersecurity program; identify gaps or weaknesses in the business’s cybersecurity program; and address the status of any gaps or weaknesses identified in any prior cybersecurity audit, and any corrections or amendments to any prior cybersecurity audit. The proposed regulations would also require the audit to include the auditor’s name, affiliation, and relevant qualifications; as well a signed statement by each auditor certifying that they completed an independent review, exercised objective and impartial judgment, and did not rely primarily on assertions or attestations by the business’s management. The proposed regulations would require the audit to be reported to the business’s board, governing body, or highest-ranking executive responsible for its cybersecurity program and to contain a signed statement by that person certifying that the business did not influence, and made no attempt to influence, the auditor’s decisions or assessments, as well as that they have reviewed, and understand the findings of, the cybersecurity audit. The auditor would be required to retain all documents relevant to each cybersecurity audit for a minimum of five (5) years.   本規則案は、徹底した独立したサイバーセキュリティ監査の要件を含むセクション7122を追加する。また、監査人の客観性と独立性とは何を意味するのか、企業はどのように監査人の独立性を維持しなければならないのかについてガイダンスを提供する。例えば、本規則案は、監査人は公平な判断力を発揮し、事業者の影響を受けずに自由に意思決定やアセスメントを行うことができなければならず、監査人が今回の監査やその後のサイバーセキュリティ監査で評価する可能性のある事業活動そのものに参加してはならないことを明確にしている。監査人が内部監査人である場合、本規則案は、監査人は事業者の取締役会、ガバナンス団体、またはサイバーセキュリティプログラムに直接的な責任を持たない事業者の最高位の経営者に直接報告し、その業績評価と報酬を決定することが求められる。本規則案は、事業者は、監査人が関連するとして要求したすべての情報を監査人に提供し、サイバーセキュリティ監査に関連するすべての事実を監査人に開示するために誠実に努力し、サイバーセキュリティ監査に関連するいかなる事実も虚偽の説明をしないことが求められる。本規則案は、監査はその範囲と規準を明確にすること、判断と評価を行うために調査した具体的な証拠を特定すること、その範囲、規準、証拠が適切である理由を説明すること、調査した具体的な証拠が監査人の発見を正当化するのに十分である理由を説明すること、主に主張や識別に頼らず、監査人が適切と判断した具体的な証拠に頼らなければならないことが規定されている; 事業者のサイバーセキュリティプログラムの該当する各構成要素をアセスメントし、文書化し、要約すること、事業者のサイバーセキュリティプログラムのギャップや弱点を特定すること、過去のサイバーセキュリティ監査で特定されたギャップや弱点の状況、および過去のサイバーセキュリティ監査に対する修正や修正に対処すること。また、本規則案は、監査人に、監査人の氏名、所属、関連する資格、および、各監査人が独立したレビューを完了し、客観的かつ公平な判断を行使し、事業者の経営者による主張または立証に主に依存していないことを証明する署名入りの声明を含めることを求めている。本規則案は、監査は、企業の取締役会、ガバナンス団体、またはサイバーセキュリティプログラムに責任を持つ最高位の経営者に報告され、企業が監査人の意思決定やアセスメントに影響を与えず、影響を与えようともしなかったこと、またサイバーセキュリティ監査の結果を検討し、理解したことを証明する、その人物による署名入りの声明が含まれることが要求される。監査人は、各サイバーセキュリティ監査に関連するすべての文書を最低5年間保存することが求められる。 
The proposed regulations would add section 7123, which contains what the cybersecurity audit must cover. The proposed regulations would require the audit to identify, assess, and document how the business’s cybersecurity program (that is appropriate to the business’s size, complexity, and the nature and scope of its processing activities) protects personal information from unauthorized actions; and identify, assess, and document 18 components of the business’s cybersecurity program, as applicable, or explain why a component is not necessary and how the safeguards the business has in place provide at least equivalent security.   本規則案は、サイバーセキュリティ監査がカバーしなければならない内容を含むセクション7123を追加する。本規則案は、事業者のサイバーセキュリティプログラム(事業者の規模、複雑さ、および処理活動の性質と範囲に適切なもの)が、不正行為から個人情報をどのように保護しているかを特定、評価、文書化すること、および事業者のサイバーセキュリティプログラムの18の構成要素を特定、評価、文書化すること(該当する場合)、または構成要素が不要な理由を説明すること、および事業者が実施している保護措置が少なくとも同等のセキュリティをどのように提供しているかを説明することを監査に求めている。 
The components include: (1) authentication, including multi-factor authentication and strong unique passwords or passphrases; (2) encryption of personal information, at rest and in transit; (3) zero trust architecture; (4) account management and access controls, including restricting access to personal information and functions to what is necessary for that person to perform their duties; the number of privileged accounts and their functions, using a privileged-access management solution; the creation of new accounts and ensuring that their access and privileges are limited; and restricting and monitoring physical access to personal information; (5) inventory and management of personal information and the business’s information system, including inventories, classification, and tagging of personal information; hardware and software inventories and the use of allowlisting; hardware and software approval processes and preventing the connection of unauthorized hardware and devices to the business’s information system; (6) secure configuration of hardware and software, including software updates and upgrades; securing on-premises and cloud-based environments; masking sensitive and other personal information as appropriate by default in applications; security patch management; and change management; (7) internal and external vulnerability scans, penetration testing, and vulnerability disclosure and reporting; (8) audit-log management, including the centralized storage, retention, and monitoring of logs; (9) network monitoring and defenses, including the deployment of bot-detection and intrusion-detection and intrusion-prevention systems, and data-loss-prevention systems; (10) antivirus and antimalware protections; (11) segmentation of an information system; (12) limitation and control of ports, services, and protocols; (13) cybersecurity awareness, education, and training, including training for each employee, independent contractor, and any other personnel to whom the business provides access to its information system; and how the business maintains current knowledge of changing cybersecurity threats and countermeasures; (14) secure development and coding best practices, including code-reviews and testing; (15) oversight of service providers, contractors, and third parties; (16) retention schedules and proper disposal of personal information no longer required to be retained by (a) shredding, (b) erasing, or (c) otherwise modifying the personal information to make it unreadable or undecipherable through any means; (17) how the business manages its responses to security incidents; and (18) the business’s businesscontinuity and disaster-recovery plans, including data-recovery capabilities and backups.   構成要素には以下が含まれる: (1) 認証(多要素認証、強力な固有パスワードまたはパスフレーズを含む)、(2) 個人情報の暗号化(静止時および転送時)、(3) ゼロトラスト・アーキテクチャ、(4) アカウント管理およびアクセス管理(個人情報および機能へのアクセスを、その者が職務を遂行するために必要なものに制限すること、特権アクセス管理ソリューションを使用した特権アカウントの数およびその機能、新規アカウントの作成とそのアクセスおよび特権の制限、個人情報への物理的アクセスの制限および監視を含む); (5) 個人情報の棚卸し、分類、タグ付け、ハードウェアおよびソフトウェアの棚卸し、許可リストの使用、ハードウェアおよびソフトウェアの承認プロセス、未許可のハードウェアおよびデバイスの事業情報システムへの接続の防止を含む、個人情報および事業情報システムの棚卸しおよび管理; (6) ソフトウェアの更新とアップグレードを含む、ハードウェアとソフトウェアの安全な設定、オンプレミスとクラウドベースの環境の保護、アプリケーションのデフォルトによる機密情報およびその他の個人情報の適切なマスキング、セキュリティパッチ管理、変更管理、(7) 内部および外部の脆弱性スキャン、侵入テスト、脆弱性の開示と報告; (8) 監査ログ管理(ログの集中保管、保存、監視を含む) (9) ネットワーク監視および防御(ボット検知、侵入検知、侵入防御システム、データ損失防御システムの展開を含む) (10) ウイルス対策およびマルウェア対策 (11)情報システムのセグメンテーション、(12)ポート、サービス、プロトコルの制限および管理、(13)サイバーセキュリティ意識向上、教育およびトレーニング; (14) コードレビューとテストを含む、安全な開発とコーディングのベストプラクティス (15) サービスプロバイダー、請負業者、サードパーティの監督; (16) (a)シュレッダー、(b)消去、または(c)いかなる手段によっても読めなくする、または解読できなくするために個人情報を変更することによって、もはや保持する必要のない個人情報の保持スケジュールと適切な廃棄 (17) セキュリティインシデントへの事業者の対応管理方法 (18) データ復旧能力とバックアップを含む、事業者の事業継続計画と災害復旧計画。 
The proposed regulations also would require the audit to describe how the business implements and enforces compliance with the applicable components, how effective the business’s cybersecurity program components are at protecting consumers’ personal information, the status of any gaps or weaknesses of the applicable components, and the business’s plan to address them. The proposed regulations would require the audit to include the titles of individuals responsible for the business’s cybersecurity program; and the date that the program and any evaluations of it were presented to the business’s board, governing body, or to the business’s highest-ranking executive responsible for the program. The audit would also be required to include a sample copy or a description of any required notification to a consumer or any agency with jurisdiction over privacy laws or other data processing authority, as well as dates and details of the activity that gave rise to the required notifications and any related remediation measures taken by the business. The proposed regulations would also clarify that if a business has engaged in a cybersecurity audit, assessment, or evaluation that meets all of the requirements of Article 9, the business is not required to complete a duplicative cybersecurity audit, but must explain how what it has already done meets all of the regulatory requirements, and supplement it with additional information if it does not meet all such requirements.   また、本規則案は、事業者が該当する構成要素のコンプライアンスをどのように実施し、実施しているか、事業者のサイバーセキュリティプログラムの構成要素が消費者の個人情報を保護する上でどの程度効果的であるか、該当する構成要素のギャップや弱点の状況、およびそれらに対処するための事業者の計画について説明することを監査に求めている。本規則案は、監査に、事業者のサイバーセキュリティ・プログラムの責任者の団体名、プログラムおよびその評価が、事業者の取締役会、政府機関、または事業者の最高位の責任者に提示された日付を含めることが求められる。監査はまた、消費者、プライバシー法を管轄する機関、またはその他のデータ・プロセッシング権限を持つ機関への必要な通知のサンプル・コピーまたは説明、必要な通知の原因となった活動の日付と詳細、事業者が講じた関連する是正措置を含めることも要求される。本規則案はまた、事業者が第9条のすべての要件を満たすサイバーセキュリティ監査、アセスメント、または評価に従事している場合、その事業者は重複するサイバーセキュリティ監査を完了する必要はないが、既に行ったことが規制要件のすべてをどのように満たしているかを説明し、そのような要件のすべてを満たしていない場合は追加情報で補足しなければならないことを明確にする。 
The proposed regulations would add section 7124, which provides for businesses required to complete a cybersecurity audit to submit to the Agency every calendar year a written certification that the business completed the cybersecurity audit. The certification would be submitted to the Agency through https://cppa.ca.gov/, identify the 12 months that the audit covers, be signed by a member of the business’s board, governing body, or highest-ranking executive with authority to certify on behalf of the business and who is responsible for oversight of the business’s cybersecurity-audit compliance, and include a statement certifying that the signer, identified by name and title, has reviewed and understands the findings of the cybersecurity audit.   本規則案は、サイバーセキュリティ監査を完了することが義務付けられている事業者が、暦年ごとに、サイバーセキュリティ監査を完了したことを証明する書面を同庁に提出することをプロバイダに規定する第7124条が追加される。この証明書は、https://cppa.ca.gov/ を通じて同庁に提出され、監査の対象となる 12 か月を特定し、事業者の取締役会、統治体、または事業者を代表して認可する権限を有し、事業者のサイバーセキュリティ監査遵守の監督に責任を負う最高位の幹部の一人が署名し、名前と役職で特定される署名者がサイバーセキュリティ監査の結果を確認し、理解していることを証明する声明を含む。 
Article 10.  Risk Assessments.    第10条 リスク評価 リスクアセスメント
Article 10 would be a new article containing the requirements for risk assessments. The proposed regulations would add section 7150 to address when a business must conduct a risk assessment, which is when their processing of consumers’ personal information presents significant risk to consumers’ privacy. The proposed regulations would require a risk assessment when a business sells or shares personal information; or processes sensitive personal information, except for when a business processes sensitive personal information solely and specifically for administering compensation payments, determining and storing employment authorization, administering employment benefits, or for wage reporting as required by law. A risk assessment would also be required when a business uses ADMT for a significant decision concerning a consumer or for extensive profiling. For this purpose, “significant decision” would mean a decision that results in access to, or the provision or denial of financial or lending services; housing; insurance; education enrollment or opportunity; criminal justice; employment or independent contracting opportunities or compensation; healthcare services; or essential goods or services. The proposed regulations would clarify that “education enrollment or opportunity” includes admission or acceptance into academic or vocational programs, educational credentials, and suspension and expulsion; and that “employment or independent contracting opportunities or compensation” includes hiring, allocation/assignment of work and compensation, promotion; and demotion, suspension, and termination. The proposed regulations would also explain that “significant decisions” include only decisions using information that is not subject to relevant data-level exceptions in the CCPA. The proposed regulations would define “extensive profiling” to include profiling consumers in work and educational contexts, in public, or for behavioral advertising. The proposed regulations would further identify processing of personal information to train ADMT or AI that is capable of being used for a significant decision, to establish individual identity, for physical or biological identification or profiling, for the generation of a deepfake, or for the operation of generative models, as a significant risk to consumers’ privacy requiring a risk assessment. Illustrative examples of when a business must conduct a risk assessment are also included.   第10条は、リスクアセスメントの要件を含む新たな条文となる。事業者がリスクアセスメントを実施しなければならない場合とは、消費者の個人情報の処理が消費者のプライバシーに重大なリスクをもたらす場合である。ただし、報酬支払いの管理、雇用認可の決定と保管、雇用手当の管理、または法律で義務付けられている賃金報告のためにのみ特別に機微な個人情報を処理する場合は例外である。リスクアセスメントは、事業者がADMTを消費者に関する重要な決定のために使用する場合、または広範なプロファイリングのために使用する場合にも必要となる。この目的のために、「重要な決定」とは、金融もしくは貸付サービス、住宅、保険、教育登録もしくは機会、刑事司法、雇用もしくは独立請負の機会もしくは報酬、医療サービス、または必要不可欠な商品もしくはサービスへのアクセス、もしくはその提供もしくは拒否につながる決定を意味する。本規則案は、「教育への登録や機会」には、学業や職業プログラムへの入学や受け入れ、教育資格、停学や退学が含まれ、「雇用や独立した請負の機会や報酬」には、雇用、仕事の割り当てや報酬、昇進、降格、停学、解雇が含まれることを明確にする。また、「重要な決定」には、中退共法の関連データレベルの例外の対象者ではない情報を使用した決定のみが含まれると説明する。本規則案は、「広範なプロファイリング」を定義し、仕事や教育の場、公共の場、行動広告のために消費者をプロファイリングすることを含むとする。本規則案は、さらに、重大な意思決定に使用される可能性のあるADMTまたはAIを訓練するため、個人の識別を確立するため、身体的または生物学的識別またはプロファイリングのため、ディープフェイクの生成のため、または生成的モデルの運用のための個人情報の処理を、リスクアセスメントを必要とする消費者のプライバシーに対する重大なリスクとして特定する。事業者がリスクアセスメントを実施しなければならない場合の例示も含まれている。 
The proposed regulations would add section 7151, which requires businesses to ensure that relevant individuals at the business prepare, contribute to, or review the risk assessment, based upon their involvement in the processing activity. “Relevant” individuals are those whose job duties pertain to the processing activity, and examples of these types of individuals are included. The proposed regulations would require relevant individuals to make good-faith efforts to disclose all facts necessary to conduct the risk assessment and not misrepresent any facts. The proposed regulations would clarify that a risk assessment may involve external parties to identify, assess, and mitigate privacy risks, and include examples of the types of external parties that may be involved in the risk-assessment process.   本規則案は、第7151条が追加され、事業者は、処理活動への関与に基づき、事業者の関連する個人がリスクアセスメントを準備し、貢献し、またはレビューすることを保証することが求められる。「関連する」個人とは、処理活動に関連する職務を持つ個人であり、これらのタイプの個人の例が含まれている。本規則案は、関連する個人に対し、リスクアセスメントを実施するために必要なすべての事実を開示し、いかなる事実についても虚偽の説明をしないよう誠実に努力することを求めている。本規則案は、リスクアセスメントがプライバシーリスクを特定し、アセスメントし、軽減するために外部の関係者を関与させることができることを明確にし、リスクアセスメントプロセスに関与することができる外部の関係者の種類の例を含む。 
The proposed regulations would add section 7152, which contains the requirements for the risk assessment and clarifies that the purpose of a risk assessment is to determine whether the risks to consumers’ privacy outweigh the benefits for a given processing activity. It also explains how a business must conduct a risk assessment. Businesses would be required to identify why they will be processing consumers’ personal information and would be prohibited from identifying this purpose in generic terms. The proposed regulations would also require businesses to identify the categories of personal information to be processed, whether they include sensitive personal information, and the minimum personal information necessary to achieve the purpose of the processing. The proposed regulations would also require a business to identify its actions to maintain data quality for certain uses of ADMT or AI, and the proposed regulations would provide a definition of “quality of personal information,” which includes completeness, representativeness, timeliness, validity, accuracy, consistency, and reliability of sources. Examples are included of the types of actions a business may take, such as identifying the source of the personal information and whether that source is reliable; identifying how the personal information is relevant to the task being automated and how it is expected to be useful for the development, testing, and operation of the ADMT or AI; identifying whether the personal information contains sufficient breadth to address the range of real-world inputs the ADMT or AI may encounter; and identifying how errors from data entry, machine processing, or other sources are measured and limited. The proposed regulations would also require a business to identify the operational elements of the processing activity: the planned method of processing and the sources of personal information; the length of, and criteria for, retention; the relationship between the consumer and the business; the approximate number of consumers whose personal information the business seeks to process; relevant disclosures made to the consumer, how they were made, and relevant actions to make the disclosures specific, explicit, prominent, and clear to the consumer; names or categories of relevant entities in the processing activity, the purpose for disclosing personal information to them, and actions taken to make the consumer aware of these entities’ involvement; and the technology to be used, including the logic of the relevant ADMT, its output, and how the business will use that output.  本規則案は、リスクアセスメントの要件を含むセクション7152を追加し、リスクアセスメントの目的は、消費者のプライバシーに対するリスクが、所定の処理活動における便益を上回るかどうかを判断することであることを明確にする。また、事業者がどのようにリスクアセスメントを実施しなければならないかについても説明している。事業者は、消費者の個人情報を処理する理由を特定する必要があり、この目的を一般的な用語で特定することは禁止される。また、この規則案では、事業者に対して、処理される個人情報のカテゴリーを特定すること、そのカテゴリーに機微(センシティブ)個人情報を含むかどうか、処理の目的を達成するために必要な最小限の個人情報を特定することを求めている。また、本規則案は、ADMTまたはAIの特定の利用について、データ品質を維持するための措置を特定することを事業者に求めている。本規則案は、「個人情報の品質」の定義を定めており、これには、完全性、代表者性、適時性、妥当性確認、正確性、一貫性、情報源の信頼性が含まれる。例えば、個人情報の出所とその出所が信頼できるかどうかを特定すること、個人情報が自動化されるタスクにどのように関連し、ADMTまたはAIの開発、試験、運用にどのように役立つことが期待されるかを特定すること、ADMTまたはAIが遭遇する可能性のある実世界の入力の範囲に対処するのに十分な幅を個人情報が含むかどうかを特定すること、データの入力、機械処理、またはその他の出所によるエラーをどのように測定し、制限するかを特定することなどが含まれる。また、本規則案は、事業者に対し、処理活動の運用要素を特定することを求めている: 計画された処理方法および個人情報の情報源、保存期間および保存の規準、消費者と事業者の関係、事業者が個人情報を処理しようとしている消費者のおおよその数、消費者に行われた関連する開示、それがどのように行われたか、および消費者に開示を具体的、明示的、顕著かつ明確にするための関連する措置; 処理活動に関連する事業体の名前またはカテゴリー、それらの事業体に個人情報を開示する目的、およびこれらの事業体の関与を消費者に認識させるために取られた措置、および関連するADMTのロジック、その出力、および事業者がその出力をどのように使用するかを含む、使用される技術。
The proposed regulations would require a business to specifically identify the benefits to the business, the consumer, other stakeholders, and the public from the processing of the personal information. It provides an example of what would not meet the specificity requirement. The proposed regulations would require a business that profits monetarily from the activity to identify this benefit and, when possible, estimate the expected profit, while clarifying that benefits cannot be stated in a generalized manner. The business would also be required to specifically identify the negative impacts to consumers’ privacy associated with the processing, including the sources and causes of these negative impacts and any criteria used to make these determinations. Different types of negative impacts to consumers’ privacy that the business may consider are included. The proposed regulations would require a business to identify the safeguards it plans to implement to address the negative impacts, and would include different safeguards that a business may consider.   本規則案は、事業者に対し、個人情報の処理から事業者、消費者、その他の利害関係者、および公衆にもたらされる利益を具体的に特定することを求めるものである。具体性の要件を満たさないものの例を示す。本規則案は、活動から金銭的利益を得る事業者に対し、この利益を特定し、可能であれば、予想される利益を見積もることを要求するものである。また、事業者は、その処理に関連する消費者のプライバシーへの悪影響を、これらの悪影響の発生源と原因、およびこれらの判断を下すために使用された規準も含めて、具体的に特定することが求められる。事業者が考慮しうる、消費者のプライバシーに対するさまざまな種類の悪影響が含まれる。本規則案は、事業者に対して、負の影響に対処するために実施する予定の保護措置を特定することを求めるものであり、事業者が検討しうるさまざまな保護措置が含まれる。 
The proposed regulations would require businesses to identify, for certain uses of ADMT, whether they evaluated the ADMT to ensure it works as intended and does not discriminate based upon protected classes. The proposed regulations would also require the business to identify the policies, procedures, and training the business has implemented or plans to implement to ensure the ADMT works as intended and does not discriminate. The proposed regulations would clarify that when a business has obtained the ADMT from another person, it must identify whether it reviewed that person’s evaluation of the ADMT, including any requirements or limitations relevant to the business’s proposed use, as well as any accuracy and nondiscrimination safeguards the business implemented or plans to implement. Examples are included.   本規則案は、事業者に対し、ADMTの特定の用途について、ADMTが意図されたとおりに機能し、保護される階層に基づいて識別的でないことを確認するために評価したかどうかを特定することを求める。また、本規則案は、事業者に対し、ADMTが意図したとおりに機能し、識別的でないことを保証するために、事業者が実施した、または実施する予定の方針、手順、および訓練を特定することを求める。本規則案は、事業者がADMTを他者から入手した場合、事業者の提案する使用に関連する要件または制限、ならびに事業者が実施したまたは実施する予定の正確性および無差別の保護措置を含む、当該他者のADMTの評価を確認したか否かを明らかにしなければならないことを明らかにする。例も含まれる。 
The proposed regulations would also require a business to identify whether it will initiate the processing activity that triggered the risk assessment. The proposed regulations would require businesses to identify who contributed to the risk assessment, when it was reviewed and approved and by whom, the individual who decides whether the business will initiate the processing activity; and if a business presents the risk assessment for review to its board of directors, governing body, or highest-ranking executive responsible for oversight of riskassessment compliance, then the business must include the date of that review.  本規則案は、事業者がリスクアセスメントのきっかけとなった処理活動を開始するかどうかを特定することも求めている。また、事業者がリスクアセスメントを取締役会、ガバナンス団体、またはリスクアセスメント遵守の監督に責任を負う最高位の役員にレビューのために提示する場合、事業者はそのレビューの日付を含めなければならない。
The proposed regulations would add section 7153, which requires businesses that make ADMT or AI available to other businesses to provide all necessary facts to those recipient-businesses to conduct their own risk assessments and provide a plain language explanation of any relevant requirements or limitations associated with the permitted uses of that technology. The proposed regulations would limit this requirement to ADMT or AI trained using personal information. The proposed regulations would add section 7154, which prohibits businesses from processing personal information for specified processing activities if the risks to consumers’ privacy outweigh the benefits to the consumer, the business, other stakeholders, and the public from the processing.   本規則案は、ADMT又はAIを他の事業者が利用できるようにする事業者に対し、それらの取得者が自らリスクアセスメントを実施するために必要なすべての事実を提供し、当該技術の許容される使用に関連する関連する要件又は制限について分かりやすい説明を提供することを求める第7153条を追加する。本規則案は、この要件を、個人情報を使用して訓練されたADMTまたはAIに限定する。本規則案は、第7154条を追加する。第7154条は、消費者のプライバシーに対するリスクが、消費者、事業者、他の利害関係者、および公衆にとっての処理による利益を上回る場合、事業者が特定の処理活動のために個人情報を処理することを禁止する。 
The proposed regulations would add section 7155, which addresses the timing requirements for risk assessments. The proposed regulations would require businesses to conduct and document their risk assessments before initiating any of the activities triggering a risk assessment, and would require them to review their risk assessments at least once every three years for accuracy and update them as needed. The proposed regulations would also require businesses to immediately update their risk assessments whenever there is a material change to the processing activity. The proposed regulations clarify that a change is material when it diminishes the benefits of the activity, creates new negative impacts or increases their likelihood or magnitude, or diminishes the effectiveness of safeguards. The proposed regulations include examples. The proposed regulations require businesses to retain their risk assessments for as long as the activity continues, or for five years after completion of the risk assessment, whichever is later. Businesses would be required to conduct a risk assessment for any processing activity triggering a risk assessment that is ongoing after the effective date of these proposed regulations within 24 months of the effective date of these proposed regulations.  本規則案は、リスクアセスメントの時期的要件に対応するセクション7155を追加する。本規則案は、事業者に対し、リスクアセスメントのトリガーとなる活動を開始する前に、リスクアセスメントを実施し、文書化することを要求し、少なくとも3年に1回、リスクアセスメントの正確性を確認し、必要に応じて更新することを要求する。また、本規則案は、企業は、処理活動に重大な変更があった場合には、直ちにリスクアセスメントを更新することが求められる。本規則案は、その変更が、その活動の便益を減少させる場合、新たな負の影響を生じさせる場合、またはその可能性や大きさを増加させる場合、あるいは保護措置の有効性を低下させる場合に、重大な変更であると明言している。規則案には例が含まれている。本規則案は、事業者に対して、その活動が継続する限り、またはリスクアセスメント完了後5年間のいずれか遅い方の期間、リスクアセスメントを保持することを求めている。事業者は、本規則案の発効日以降も継続しているリスクアセスメントのきっかけとなる処理活動について、本規則案の発効日から24カ月以内にリスクアセスメントを実施することが求められる。
The proposed regulations would add section 7156, which explains that a business may conduct a single risk assessment for a comparable set of processing activities. It defines “comparable set of processing activities” as a set of similar processing activities that present similar risks to consumers’ privacy and provides an example. Businesses that conduct and document a risk assessment to comply with another law or regulation would not be required to conduct a duplicative risk assessment. If that risk assessment does not meet all of the risk-assessment requirements of Article 10, a business must supplement the risk assessment with any required information to meet all of the requirements of these proposed regulations.   本規則案は、第7156条が追加され、事業者は同等の一連の処理活動に対して単一のリスクアセスメントを実施することができると説明される。この規則では、「同等の一連の処理活動」を、消費者のプライバシーに同様のリスクをもたらす同様の処理活動として定義し、例を示している。他の法律や規制を遵守するためにリスクアセスメントを実施し、文書化している事業者は、重複したリスクアセスメントを実施する必要はない。そのリスクアセスメントが第10条のリスクアセスメント要件のすべてを満たさない場合、事業者は、本規則案の要件のすべてを満たすために、必要な情報でリスクアセスメントを補足しなければならない。 
The proposed regulations would add section 7157, which establishes when a business must submit risk-assessment materials to the Agency. The proposed regulations would require businesses to submit their first risk-assessment materials to the Agency within 24 months of the effective date of these proposed regulations and subsequently, every calendar year with no gap in the months covered by successive submissions. The proposed regulations would address which risk-assessment materials must be submitted to the Agency. This includes a written certification that the business has conducted its risk assessments as set forth in Article 10, a certification from the highest-ranking executive who is responsible for oversight of the business’s risk-assessment compliance, that specifies: (1) which months the business is certifying compliance for, and the number of risk assessments that were conducted and documented during that time; (2) an attestation that the designated executive has reviewed, understood, and approved the risk assessments; (3) an attestation that the business initiated any of the activities set forth in subsection 7150(b) only after conducting and documenting a risk assessment; and (4) the designated executive’s name, title, signature, and date of certification. The proposed regulations would require a business to submit an abridged form of its new or updated risk assessments to the Agency in the business’s annual submissions, which includes: (1) identification of which activity in triggered the risk assessment; (2) a plain language explanation of the purpose for processing consumers’ personal information; (3) the categories of personal information processed, and whether they include sensitive personal information; and (4) a plain language explanation of the safeguards that the business has implemented or plans to implement for that activity, unless providing the information would compromise security, fraud prevention, or safety. The proposed regulations would allow the business the option to include in its submission to the Agency a hyperlink to a public webpage that contains its unabridged risk assessment. The proposed regulations would not require businesses to submit a risk assessment if they do not initiate the processing activity subject to that risk assessment or to submit an updated abridged risk assessment if there is no change to a previously submitted abridged risk assessment. The proposed regulations would require businesses to submit risk-assessment materials through the Agency’s website at https://cppa.ca.gov/ and to provide their unabridged risk assessments within 10 business days of a request from the Agency or the Attorney General.   本規則案は、事業者がいつリスクアセスメント資料をアセスメント庁に提出しなければならないかを定める第7157条を追加する。本規則案は、事業者に対して、本規則案の発効日から24ヶ月以内に最初のリスクアセスメント資料を提出し、その後、暦年ごとに、連続提出の対象となる月に空白期間を設けずに提出することを義務付ける。本規則案は、どのリスクアセスメント資料を当庁に提出しなければならないかが規定されている。これには、事業者が第10条に定めるリスクアセスメントを実施したことを証明する書面、事業者のリスクアセスメント遵守の監督責任を負う最高位の幹部による証明書、および以下を明記した証明書が含まれる: (1)事業者がどの月について遵守を証明するのか、及び、その間に実施され、文書化されたリスクアセスメントの数、(2)指名された役員がリスクアセスメントをレビューし、理解し、承認したというアセスメント、(3)事業者が第7150条(b)項に定める活動のいずれかを、リスクアセスメントを実施し、文書化した後にのみ開始したというアセスメント、(4)指名された役員の氏名、役職、署名、及び、証明書の日付。本規則案は、事業者は、事業者の年次提出書類において、以下を含む新規または更新されたリスクアセスメントの簡略化された書式を本省に提出することが求められる: (1)リスクアセスメントの引き金となった活動の特定、(2)消費者の個人情報を処理する目的の平易な説明、(3)処理される個人情報のカテゴリー、およびそれらに機微な個人情報が含まれるかどうか、(4)情報を提供することでセキュリティ、詐欺防止、または安全性が損なわれない限り、事業者がその活動に対して実施した、または実施する予定の保護措置の平易な説明。本規則案は、事業者がアセスメントに提出する書類に、簡略化されていないリスクアセスメントを含む公開ウェブページへのハイパーリンクを含める選択肢を認めている。本規則案は、事業者がリスクアセスメントの対象となる処理活動を開始しない場合はリスクアセスメントを提出する必要はなく、また、以前に提出された要約リスクアセスメントに変更がない場合は、更新された要約リスクアセスメントを提出する必要はない。本規則案は、事業者に対して、同庁のウェブサイト(https://cppa.ca.gov/)を通じてリスクアセスメント資料を提出し、同庁または司法長官からの要請から10営業日以内に要約されていないリスクアセスメントを提供することを求めるものである。 
Article 11.  Automated Decisionmaking Technology.   第11条 自動意思決定技術
Article 11 would be a new article containing the requirements for businesses’ use of automated decisionmaking technology. The proposed regulations would add section 7200, which requires businesses to comply with the requirements for ADMT when they use it for: (1) a significant decision concerning a consumer; (2) extensive profiling of a consumer; or (3) training uses of ADMT. For this purpose, “significant decision” would mean a decision that results in access to, or the provision or denial of financial or lending services; housing; insurance; education enrollment or opportunity; criminal justice; employment or independent contracting opportunities or compensation; healthcare services; or essential goods or services. The proposed regulations would clarify that “education enrollment or opportunity” includes admission or acceptance into academic or vocational programs, educational credentials, and suspension and expulsion; and that “employment or independent contracting opportunities or compensation” includes hiring, allocation/assignment of work and compensation, promotion; and demotion, suspension, and termination. The proposed regulations would also explain that “significant decisions” include only decisions using information that is not subject to relevant data-level exceptions in the CCPA. The proposed regulations would define “extensive profiling” to include profiling consumers in work and educational contexts, in public, or for behavioral advertising. The proposed regulations would further identify training uses of ADMT as processing of personal information to train ADMT or AI that is capable of being used for a significant decision, to establish individual identity, for physical or biological identification or profiling, or for the generation of a deepfake.   第11条は、企業による自動意思決定技術の使用に関する要件を含む新たな条文となる。本規則案は、第7200条が追加され、事業者がADMTを使用する場合、ADMTの要件に従うことが要求される: (1) 消費者に関する重要な意思決定、(2) 消費者の広範なプロファイリング、(3) ADMTの訓練利用。この目的のため、「重要な決定」とは、金融もしくは貸付サービス、住宅、保険、教育登録もしくは機会、刑事司法、雇用もしくは独立請負の機会もしくは報酬、医療サービス、または必要不可欠な商品もしくはサービスへのアクセス、またはその提供もしくは拒否につながる決定を意味する。本規則案は、「教育への登録や機会」には、学業や職業プログラムへの入学や受け入れ、教育資格、停学や退学が含まれ、「雇用や独立した請負の機会や報酬」には、雇用、仕事の割り当てや報酬、昇進、降格、停学、解雇が含まれることを明確にする。また、本規則案は、「重要な決定」には、中退共法の関連データレベルの例外の対象者ではない情報を使用した決定のみが含まれると説明されている。本規則案は、「広範なプロファイリング」を定義し、職場や教育現場、公衆の面前での消費者のプロファイリング、行動広告のためのプロファイリングを含むとする。規則案はさらに、ADMTの訓練利用を、重要な意思決定、個人の識別、身体的もしくは生物学的識別、プロファイリング、またはディープフェイクの生成に使用できるADMTまたはAIを訓練するための個人情報の処理として特定する。 
The proposed regulations would add section 7201, which requires a business that uses physical or biological identification or profiling for a significant decision concerning a consumer, or for extensive profiling of a consumer, to conduct an evaluation of the physical or biological identification or profiling to ensure that it works as intended for the business’s proposed use and does not discriminate based upon protected classes. If the business obtained the technology from another person, the business must review that person’s evaluation, including any relevant requirements or limitations, but the business is not required to conduct its own evaluation of the ADMT. The proposed regulations would also require a business to implement policies, procedures, and training to ensure that the physical or biological identification or profiling works as intended for the business’s proposed use and does not discriminate.   本規則案は、第7201条を追加する。この条は、消費者に関する重要な決定のために物理的もしくは生物学的識別またはプロファイリングを使用する事業者、または消費者の広範なプロファイリングのために物理的もしくは生物学的識別またはプロファイリングを使用する事業者に対し、それが事業者の提案する用途のために意図されたとおりに機能し、保護される階層に基づいて識別的でないことを確認するために、物理的もしくは生物学的識別またはプロファイリングの評価を実施することを義務付けるものである。事業者が当該技術を他者から入手した場合、事業者は、関連する要件または制限を含め、当該他者の評価をレビューしなければならないが、事業者がADMTの独自の評価を行う必要はない。本規則案はまた、物理的または生物学的な識別またはプロファイリングが、事業者の提案する用途のために意図されたとおりに機能し、識別的でないことを確保するための方針、手順、および訓練を実施することを事業者に要求する。 
The proposed regulations would add section 7220, which clarifies that a business using ADMT must provide a Pre-use Notice to consumers that informs consumers about the business’s use of ADMT and the consumers’ rights to opt-out of, and to access information about, the business’s use of ADMT. The proposed regulations would also require that the Pre-use Notice be easy-to-read and understandable to consumers, available in readable formats and necessary languages, reasonably accessible to consumers with disabilities, presented prominently and conspicuously before using ADMT, and presented in the manner in which the business primarily interacts with the consumer. The Pre-Use Notice must include: in plain non-generic language, the business’s purpose for using the ADMT; the specific uses for which the ADMT is capable of being used and the categories of personal information that the business plans to process for training uses; a description of consumer’s the right to opt-out of ADMT and how to submit their opt-out request, subject to any relevant exception to providing the opt-out right; if the business is relying upon the human appeal exception, how consumers may submit their appeal; a description of the consumer’s right to access ADMT and how to submit their access request; that the business cannot retaliate against consumers for exercising their CCPA rights; and a plain language explanation of how the ADMT works, including (1) the logic of the ADMT and key parameters that affect its output and (2) the intended output of the ADMT and how the business plans to use it, as well as the role of any human involvement. It also provides illustrative examples. The proposed regulations would clarify that a business relying upon the security, fraud prevention, and safety exception is not required to include information that would compromise the business’s ability to protect itself and consumers from: (1) security incidents that compromise personal information; (2) malicious, deceptive, fraudulent, or illegal actions; and (3) threats to consumers’ physical safety. The proposed regulations would also clarify that certain components of the Pre-use Notice requirements do not apply to a business’s use of ADMT solely for training uses. The proposed regulations further clarify that a business may consolidate its Pre-use Notices in different ways, provided that the consolidated notices include the information required by Article 11 for each of the business’s proposed uses.   本規則案は、第7220条を追加し、ADMTを使用する事業者は、事業者によるADMTの使用、および事業者によるADMTの使用をオプトアウトする権利、および事業者によるADMTの使用に関する情報にアクセスする権利を消費者に通知する使用前通知を消費者に提供しなければならないことを明確にする。本規則案はまた、使用前通知が、消費者にとって読みやすく理解しやすいものであること、読みやすい形式および必要な言語で入手可能であること、障害のある消費者が合理的にアクセス可能であること、ADMTを使用する前に目立つように提示されること、事業者が主に消費者と接する方法で提示されることを求める。使用前通知には、以下が含まれなければならない: ADMTを利用する事業者の目的、ADMTを利用することができる特定の利用目的、および事業者が訓練目的のために処理することを計画している個人情報のカテゴリー、オプトアウトの権利を提供するための関連する例外に従うことを条件として、消費者のADMTオプトアウトの権利およびオプトアウト要求の提出方法の説明、事業者が人的不服申立の例外に依拠する場合、消費者が不服申立を提出する方法; ADMTにアクセスする消費者の権利とアクセス要求の提出方法の説明、事業者が中高生協の権利を行使した消費者に報復できないこと、(1)ADMTのロジックとその出力に影響を与える主要なパラメータ、(2)ADMTの意図する出力とそれを事業者がどのように使用する予定か、また、人的関与の役割を含む、ADMTがどのように機能するかの平易な説明。また、例示的な例も示している。本規則案は、セキュリティ、詐欺防止、安全性の例外に依拠する事業者が、事業者自身および消費者を保護する能力を損なうような情報((1)個人情報を危険にさらすセキュリティインシデント、(2)悪意ある、欺瞞的な、詐欺的な、または違法な行為、(3)消費者の物理的安全に対する脅威)を含める必要はないことを明確にする。また、本規則案は、事前通知要件の一部の構成要素は、事業者によるADMTの訓練用途のみの使用には適用されないことを明確化する。さらに、本規則案は、事業者が使用前通知を様々な方法で統合することができるが、統合された通 知には、事業者が提案する用途ごとに第11条が要求する情報が含まれることを条件とすることを明確化する。 
The proposed regulations would add section 7221, which explains that a business must provide consumers with the ability to opt-out of the business’s use of ADMT if the ADMT is used for a significant decision, extensive profiling, or training uses of ADMT. The proposed regulations would identify exceptions to the consumer’s right to opt-out of ADMT, including when it is used solely for security, fraud prevention, and safety; or in situations where consumers are provided with the ability to appeal a significant decision to a qualified human reviewer who has the authority to overturn that decision. To qualify for the latter exception, the proposed regulations would require that a human reviewer consider relevant information provided by a consumer; and that the business provide a method of appeal that is easy to execute, require minimal steps, and comply with section 7004; and that the business respond to requests to appeal within specified timelines. The proposed regulations would also provide that a business does not need to provide an opt-out of ADMT when it uses ADMT for admission, acceptance, or hiring decisions; for allocation or assignment of work and compensation decisions; or for work or educational profiling, provided that the business’s use of the ADMT is necessary for these respective purposes, that the business has evaluated its use of ADMT to ensure it works as intended for the business’s proposed use and does not discriminate, and that the business has implemented accuracy and nondiscrimination safeguards. The proposed regulations would also clarify that these exceptions do not apply to profiling for behavioral advertising or to training uses of ADMT.   本規則案は、第7221条を追加し、ADMTが重要な意思決定、広範なプロファイリング、またはADMTの訓練用途に使用される場合、事業者は、事業者によるADMTの使用をオプトアウトする能力を消費者に提供しなければならないと説明する。本規則案は、ADMTがセキュリティ、不正防止、安全のためだけに使用される場合、または重要な決定がなされた場合に、その決定を覆す権限を有する適格な人間によるレビューに不服を申し立てる能力が消費者に提供される場合など、消費者のオプトアウトの権利の例外を特定する。後者の例外に該当するためには、本規則案は、人間による審査者が消費者から提供された関連情報を考慮すること、事業者が実行が容易で、最小限のステップで済み、7004条に準拠した不服申し立て方法を提供すること、事業者が不服申し立ての要請に対して指定された期限内に対応することが求められる。また、本規則案は、事業者がADMTを、入学、受入、または雇用の決定、仕事の配分または割り当て、および報酬の決定、または仕事または教育のプロファイリングのために使用する場合、事業者がADMTを使用することがこれらのそれぞれの目的のために必要であること、事業者がADMTの使用を評価し、それが事業者の提案する用途のために意図されたとおりに機能し、差別的でないことを確認すること、および事業者が正確性および識別的でない保護措置を実施していることを条件として、事業者がADMTのオプトアウトを提供する必要はないことを規定する。また、本規則案は、これらの例外は、行動広告のためのプロファイリングやADMTのトレーニング利用には適用されないことを明確化する。 
The proposed regulations require that businesses provide two or more methods for submitting opt-out of ADMT requests, with at least one method reflecting the manner in which the business primarily interacts with the consumer. The proposed regulations also require businesses to provide an opt-out link titled “Opt-out of Automated Decisionmaking Technology” in the Pre-use Notice if the business interacts with consumers online. Illustrative examples are provided of other acceptable opt-out methods. The proposed regulations clarify that a cookie banner or similar notification about cookies does not necessarily comply with the requirements for website methods of submission; to comply, it must notify the consumer about the right to opt-out of ADMT in specific terms. The proposed regulations would clarify that methods for submitting requests to opt-out of ADMT must be easy to execute, require minimal steps, and comply with section 7004; may not require a consumer to create an account or provide additional information beyond what is necessary to direct the business to opt-out the consumer; and prohibits requiring a verifiable consumer request but permits a business to ask for information necessary to complete the request. The proposed regulations would allow a business to deny a request that it has a good-faith, reasonable, and documented belief is fraudulent, if it informs the requestor that it will not comply with the request and provides an explanation of why it believes the request is fraudulent. Consumers would be entitled to a means to confirm that their opt-out of ADMT request has been processed. The proposed regulations would permit a business to provide consumers with the choice of allowing specific uses of ADMT, so long as the business also offers a single option to opt-out of all ADMT subject to the proposed regulations. The proposed regulations would permit a consumer to submit requests using an authorized agent if the consumer provides signed permission to the agent. They would also allow a business to deny an authorized agent’s request if the agent does not provide the signed permission to the business. Businesses would be required to wait at least 12 months before asking consumers that opted out of ADMT to consent to their use of that ADMT and prohibited from retaliating against consumers who exercised their right to opt-out of ADMT.   本規則案は、事業者がADMTのオプトアウト要請を提出するための2つ以上の方法を提供することを求めており、少なくとも1つの方法は、事業者が主に消費者とやりとりする方法を反映したものとなっている。また、本規則案では、事業者がオンラインで消費者とやりとりする場合、使用前通知に「Opt-out of Automated Decisionmaking Technology(自動意思決定技術のオプトアウト)」と題するオプトアウト・リンクを提供することを求めている。その他の許容可能なオプトアウト方法の例示が提供されている。本規則案は、クッキーのバナーまたはクッキーに関する類似の通知は、必ずしもウェブサイトの提出方法に関する要件に準拠するものではなく、準拠するためには、ADMTのオプトアウトの権利について具体的な言葉で消費者に通知しなければならないことを明確にしている。本規則案は、ADMTのオプトアウト要求の提出方法は、実行が容易で、最小限のステップしか必要とせず、第7004条に準拠していなければならないこと、消費者にアカウントを作成させたり、事業者に消費者のオプトアウトを指示するために必要な以上の追加情報を提供させたりすることを要求してはならないこと、消費者の要求を確認することを要求することは禁止するが、事業者が要求を完了するために必要な情報を求めることは許可することを明確にするものである。本規則案は、事業者が、善意で、合理的で、文書化された不正と思われる要求を拒否することを認めるもので、要求者に要求に応じないことを通知し、要求が不正であると考える理由の説明を提供する場合である。消費者は、ADMTオプトアウト要求が処理されたことを確認する手段を得る権利を有する。本規則案は、事業者が、本規則案の対象となるすべてのADMTをオプトアウトする単一の選択肢も提供する限り、ADMTの特定の利用を許可する選択肢を消費者に提供することを認めるものである。本規制案は、消費者が代理人に署名入りの許可を提供する場合、消費者が認可代理人を使って要求を提出することを認めるものである。また、代理人が署名入りの許可を事業者に提供しない場合、事業者が正規代理人の要請を拒否することを認める。事業者は、ADMTをオプトアウトした消費者に対し、そのADMTの使用に同意するよう求める前に、少なくとも12ヶ月待つことが求められ、ADMTをオプトアウトする権利を行使した消費者に対する報復が禁止される。
The proposed regulations would require that when a consumer has opted out of ADMT before the business initiated the processing, the business must not initiate processing of the consumer’s personal information using that ADMT. If a consumer submitted an opt-out of ADMT request after the business initiated the processing, the business would be required to cease processing the consumer’s personal information using that ADMT as soon as possible, and no later than 15 business days after receiving the request. The proposed regulations would also prohibit the business from using or retaining any personal information previously processed by that ADMT and would require the business to notify all other persons to whom it disclosed information using that ADMT that the consumer has opted out and instruct them to comply with the opt-out within the same time frame.   本規則案は、事業者が処理を開始する前に消費者がADMTをオプトアウトした場合、事業者は当該ADMTを用いて消費者の個人情報の処理を開始してはならない。事業者が処理を開始した後に、消費者がADMTのオプトアウト要請を提出した場合、事業者は、その要請を受けてから可能な限り速やかに、遅くとも15営業日以内に、当該ADMTを用いた消費者の個人情報の処理を中止することが求められる。また、本規則案は、事業者が当該ADMTにより過去に処理された個人情報を使用または保持することを禁止し、事業者が当該ADMTを使用して情報を開示した他のすべての者に対して、消費者がオプトアウトしたことを通知し、同じ期間内にオプトアウトに従うよう指示することを義務付ける。 
The proposed regulations would add section 7222, which requires businesses to provide consumers with the ability to access information about the business’s use of ADMT for significant decisions and extensive profiling, but does not require businesses using ADMT solely for training to provide a response to a consumer’s request to access ADMT. The proposed regulations would clarify that businesses must provide a plain language explanation of the specific purpose for which the business used ADMT with respect to the consumer, and that this explanation must not describe the purpose in general terms. In addition, the business must provide a plain language explanation of the output of the ADMT with respect to the consumer. If the business has multiple outputs with respect to the consumer, the business would have the option to provide a simple and easy-to-use method for consumers to access those outputs. The proposed regulations would require a business to provide a plain language explanation of how the business used the output with respect to the consumer. For significant decisions, the proposed regulations would require the business to include the role the output played in the business’s significant decision and the role of any human involvement, and how the business plans to use the output to make a decision. The proposed regulations would require that a business using ADMT for extensive profiling explain the role the output played in the evaluation that the business made with respect to the consumer; and if the business plans to use the output to evaluate the consumer, how the business plans to use the output to evaluate the consumer.   本規則案は、7222条を追加する。この条は、事業者が重要な意思決定や広範なプロファイリングのためにADMTを使用していることに関する情報にアクセスする能力を消費者に提供することを事業者に義務付けるものであるが、トレーニングのためだけにADMTを使用している事業者に対しては、消費者からのADMTへのアクセス要求に対する回答を提供することを義務付けるものではない。本規則案は、事業者が消費者に関してADMTを使用した具体的な目的について平易な言葉で説明しなければならず、この説明は一般的な用語で目的を記述してはならないことを明確にするものである。さらに、事業者は、消費者に関するADMTのアウトプットについて、平易な言葉で説明しなければならない。事業者が消費者に関して複数のアウトプットを有する場合、事業者は、消費者がそれらのアウトプットにアクセスするためのシンプルで使いやすい方法を提供する選択肢を有する。本規則案は、事業者が消費者に関してどのようにアウトプットを使用したかについて、平易な言葉で説明することを義務付ける。重要な意思決定については、本規則案は、事業者に対して、事業者の重要な意思決定においてアウトプットが果たした役割と、人的関与の役割、および事業者が意思決定を行うためにアウトプットをどのように使用する予定であるかを含めることを要求する。本規則案は、広範なプロファイリングのためにADMTを使用する事業者に対して、事業者が消費者に関して行った評価において出力が果たした役割、及び事業者が消費者を評価するために出力を使用する予定である場合には、事業者が消費者を評価するために出力をどのように使用する予定であるかを説明することを求める。 
The proposed regulations would require the business to provide a plain language explanation of how the ADMT worked with respect to the consumer, including how the logic, including its assumptions and limitations, was applied to the consumer, and the key parameters that affected the ADMT and how they were applied to the consumer. Businesses would also be allowed to provide the range of possible outputs or aggregate output statistics, and an example of how to do so is provided. A business relying upon the security, fraud prevention, and safety exception is not required to provide information that would compromise its use of ADMT for security, fraud prevention, or safety purposes. The proposed regulations would also require that a business provide a plain language explanation to consumers that the business is prohibited from retaliating against consumers for exercising their CCPA rights, instructions for how the consumer can exercise their other CCPA rights, and any links to online request forms or portals for making such requests. The proposed regulations would also specify that the business cannot link the consumer to another section of the policy or to a place that requires the consumer to scroll through other information. The proposed regulations would require that methods to submit request to access ADMT are easy to use and do not use dark patterns. Businesses would be allowed to use existing methods to submit requests to know, delete, or correct for requests to access ADMT.   本規則案は、事業者に対し、ADMTが消費者に関してどのように機能したかについて、その前提及び制限を含むロジックがどのように消費者に適用されたか、ADMTに影響を与える主要なパラメータ及びそれらがどのように消費者に適用されたかを含む、平易な説明を提供することを求める。また、事業者は、可能なアウトプットの範囲またはアウトプットの集計統計を提供することが認められ、その方法の例が提供される。セキュリティ、不正防止、および安全の例外に依拠する事業者は、セキュリティ、不正防止、または安全目的のための ADMT の使用を危うくするような情報を提供する必要はない。また、本規則案は、事業者は消費者に対して、事業者が中退共の権利を行使した消費者に対する報復を禁じられていること、消費者がその他の中退共の権利を行使する方法の説明、およびそのような要請を行うためのオンライン要請フォームまたはポータルサイトへのリンクを、平易な言葉で提供することが求められる。また、本規則案は、事業者が消費者を本方針の別のセクションにリンクさせたり、消費者が他の情報をスクロールする必要がある場所にリンクさせたりすることはできないと規定する。本規則案は、ADMTへのアクセス要求を提出する方法が使いやすく、ダークパターンを使用しないことを要求する。事業者は、ADMTへのアクセス要求の照会、削除、訂正の要求を提出するために、既存の方法を使用することが認められる。 
The proposed regulations would require verification of the identity of the person making the request to access ADMT, and if a business cannot verify their identity, the business must inform the requestor that it cannot verify their identity. If a business denies a verified access request because of a conflict with other laws or an exception to the CCPA, the business would be required to inform the requestor and explain the basis of the denial, unless prohibited from doing so by law. If the request is denied only in part, the business would be required to disclose the other information sought by the consumer. The proposed regulations would require that businesses use reasonable security when transmitting the requested information to the consumer. Business would be allowed to maintain password-protected accounts with consumers to comply with a request to access ADMT by utilizing a secure self-service portal for consumers to access, view, and receive a portable copy of the requested information. The proposed regulations would require that the portal fully disclose the requested information that the consumer is entitled to receive about the business’s use of ADMT with respect to them under the CCPA and these proposed regulations, utilize reasonable data security controls, and comply with the verification requirements.   本規則案は、ADMTへのアクセス要求を行う者の本人確認が必要とされ、事業者が本人確認を行うことができない場合、事業者は要求者に本人確認ができない旨を通知しなければならない。事業者が、他の法律または中傷禁止法の例外に抵触することを理由に、確認済みのアクセス要 求を拒否する場合、事業者は、法律で禁止されていない限り、要求者に通知し、拒否の根拠を説 明することが求められる。要求の一部のみが拒否された場合、事業者は消費者が求めるその他の情報を開示することが要求される。本規則案は、事業者が要求された情報を消費者に送信する際に、合理的なセキュリティを使用することを要求する。事業者は、消費者が要求された情報にアクセスし、閲覧し、携帯可能なコピーを受け取るための安全なセルフサービス・ポータルを利用することにより、ADMTへのアクセス要求に応じるために、消費者とのパスワードで保護されたアカウントを保持することが認められる。本規則案は、ポータルサイトが、中環法および本規則案に基づき、消費者が、当該事業者による当該消費者に関するADMTの利用について受領する権利を有する要求情報を完全に開示し、合理的なデータセキュリティ管理を利用し、検証要件を遵守することを要求する。 
The proposed regulations would require that service providers or contractors provide assistance to businesses in responding to verifiable consumer requests to access ADMT, including by providing personal information in their possession or enabling the business to access that information. The proposed regulations would clarify that businesses that use ADMT more than four times within a 12-month period with respect to a consumer may provide aggregate-level responses to a consumer’s request to access ADMT and explain how information required in response to a request to access ADMT can be aggregated. The proposed regulations prohibit businesses from retaliating against a consumer for exercising their right to access ADMT.   本規則案は、サービスプロバイダーまたは請負業者に対し、事業者が保有する個人情報を提供すること、または事業者が当該情報にアクセスできるようにすることを含め、検証可能な消費者からのADMTへのアクセス要求に対応するための支援を提供することを求める。本規則案は、ADMTを消費者に関して12カ月以内に4回以上利用する事業者は、消費者のADMTへのアクセス要求に対して集計レベルの回答を提供することができることを明確にし、ADMTへのアクセス要求への回答に必要な情報がどのように集計され得るかを説明する。本規則案は、事業者が、ADMTにアクセスする権利を行使した消費者に対して報復することを禁止する。 
The proposed regulations would require a business that uses ADMT to make an adverse significant decision concerning a consumer to provide the consumer with notice of their right to access ADMT as soon as feasibly possible and no later than 15 business days from the date of the adverse significant decision. An adverse significant decision would be a significant decision that resulted in a consumer being denied an educational credential; having their compensation decreased; being suspended, demoted, terminated, or expelled; or that resulted in a consumer being denied financial or lending services, housing, insurance, criminal justice, healthcare services, or essential goods or services. The proposed regulations provide that a business must include in that notice: that the business used ADMT to make a significant decision with respect to the consumer; that the business is prohibited from retaliating against consumers for exercising their CCPA rights; that the consumer has a right to access ADMT and how the consumer can exercise their access right; and, if applicable, that the consumer can appeal the decision and how they can submit their appeal and any supporting documentation. The proposed regulations would allow businesses to provide this notice to consumers with their notification of the adverse significant decision and provide an example. The proposed regulations would clarify that a business may provide this additional notice contemporaneously, to address instances where the business does not want to consolidate notices.   本規則案は、ADMTを使用して消費者に関する不利な重要な決定を行う事業者に対して、実行可能な限り速やかに、遅くとも不利な重要な決定の日から15営業日以内に、ADMTにアクセスする権利を消費者に通知することを義務付ける。不利な重大決定とは、消費者が教育資格を拒否される、報酬を減額される、停職、降格、解雇、退学処分を受ける、あるいは金融・融資サービス、住宅、保険、刑事司法、医療サービス、または必要不可欠な商品・サービスを拒否されるような重大決定である。本規則案は、事業者はその通知に、事業者がADMTを用いて消費者に関する重要な決定を行ったこと、事業者が中退共の権利を行使した消費者に対する報復を禁じられていること、消費者がADMTにアクセスする権利を有すること、および消費者がアクセス権を行使する方法、および該当する場合には、消費者が決定に不服があること、および不服の申し立て方法および証拠書類を提出する方法を含めなければならないと規定している。本規則案は、事業者が、重大な不利益決定の通知とともにこの通知を消費者に提供することを認めるものであり、その例を示している。本規則案は、事業者が通知を一本化したくない場合に対応するため、事業者がこの追加通知を同時に提供できることを明確化する。 
Article 12.  Insurance Companies.   第12条 保険会社
Article 12 would be a new article that contains requirements for insurance companies.   第12条は、保険会社に対する要求事項を含む新しい条文となる。 
The proposed regulations would add section 7270, which defines the term “insurance company,” pursuant to the California Insurance Code.  本規則案は、カリフォルニア州保険法に基づき、「保険会社」という用語を定義する第7270条を追加する。
The proposed regulations would add section 7271 to clarify that insurance companies meeting the definition of “businesses” under the CCPA shall comply with the CCPA regarding any personal information collected, used, processed, or retained that is not subject to the California Insurance Code. The proposed regulations would acknowledge that the CCPA and Insurance Code may overlap in their jurisdiction and delineate the boundary between the two legal frameworks. By clarifying the circumstances under which the CCPA applies, the proposed regulations would allow insurance companies to evaluate how the CCPA would apply in situations where the Insurance Code does not apply. Illustrative examples are included.  本規則案は、7271条を追加し、カリフォルニア州保険法の適用を受けない個人情報の収集、利用、処理、保持について、保険会社が中共法の「事業者」の定義を満たすことを明確にするものである。本規則案は、CCPAと保険法がその管轄において重複する可能性があることを認め、2つの法的枠組みの境界を明確にするものである。CCPAが適用される状況を明確にすることにより、保険会社は保険法が適用されない状況においてCCPAがどのように適用されるかを評価することができるようになる。例示が含まれている。
Article 13.  Investigations and Enforcement.   第13条 調査と執行  
The proposed regulations would amend section 7300 by revising subsection (a) to replace “may” with “must” to clarify how consumers are to submit sworn complaints to the Agency.   本規則案は、第7300条を改正し、第(a)項を 「may 」から 「must 」に置き換え、消費者がどのように宣誓した苦情を保険会社に提出するかを明確にする。 
The proposed regulations would amend 7302 to clarify that the Agency will provide the alleged violator with notice of the probable cause proceeding, and that a probable cause proceeding can be conducted in whole or in part by telephone or videoconference unless the alleged violator requests an in-person or public proceeding. An alleged violator would be able to request that the proceeding be in-person while also being closed to the public. Also, the proposed regulations clarify the proceedings may be held in whole or in part by telephone or videoconference. The proposed regulations would replace “participate or appear at” with “attend” and delete subsection (e).   本規則案は、7302 項を修正し、正当な理由による手続の通知を違反被疑者に提供すること、および正当な理由による手続は、違反被疑者 が対面または公開の手続を要求しない限り、全部または一部を電話またはビデオ会議で実施できることを明確にする。違反被疑者は、手続を非公開としながらも、対面で行うことを要求することができる。また、本規則案は、手続の全部または一部を電話またはビデオ会議で行うことができることを明確にしている。本規則案は、「参加または出頭」を「出席」に置き換え、第(e)項を削除する。 

 

 

改正案に対する利点、経済的影響等...

Anticipated Benefits of the Proposed Regulations:  本規則案の期待される利点 
The proposed regulations provide a number of significant benefits to Californians, including both monetary and nonmonetary benefits.   本規則案は、金銭的および非金銭的利益を含め、カリフォルニア州民に多くの重要な利益をプロバイダする。 
The Agency’s economic analysis revealed an anticipated decrease in monetary losses from the proposed regulations. Specifically, the Agency anticipates a reduction in cybercrimes— conservatively estimated to be approximately $1.5 billion in the first year of the proposed regulations’ implementation and $66.3 billion in 2036. However, the primary benefits of the proposed regulations are not immediately calculable into dollars and cents, due to factors such as the abstract nature of privacy benefits, data and measurement limitations, variations in the privacy protections that businesses provide and in how they respond to regulations, and the fact that benefits can be long-term and take time to accrue to businesses, consumers, and society.   当庁の経済分析により、本規則案による金銭的損失の減少が予想されることが明らかになった。具体的には、サイバー犯罪の減少を見込んでおり、控えめに見積もっても、規則案の実施初年度に約15億ドル、2036年には663億ドルになるという。しかし、プライバシーの利益という抽象的な性質、データ・計測の限界、企業が提供するプライバシー防御や規制への対応のばらつき、利益が長期的で企業、消費者、社会にもたらされるのに時間がかかることなどの要因により、本規則案の主な利益はすぐにドルやセントに換算することはできない。 
Despite the inability to translate the primary benefits of the proposed regulations into a monetary figure, they have widespread and profound societal benefits that further the purposes of the CCPA and honor the long history of privacy rights and business innovation in California. These important benefits include increased transparency and consumer control over personal information; reduced incidences of unauthorized actions related to personal information and harm to consumers; promotion of fairness and social equity; efficiencies, operational improvements, and competitive advantage for businesses; and the creation of new jobs and innovation.   本規則案の主要な利益を金銭的な数値に換算することはできないが、CCPAの目的を促進し、カリフォルニア州におけるプライバシーの権利とビジネス革新の長い歴史に敬意を表する、広範で深遠な社会的利益がある。これらの重要な利益には、個人情報に対する透明性の向上と消費者の管理、個人情報に関連する不正行為と消費者への被害の減少、公平性と社会的公正の促進、企業の効率性、業務改善、競争上の優位性、新たな雇用と技術革新の創出などが含まれる。 
Comparable Federal Regulations:  類似の連邦規制: 
There are no existing federal regulations or statutes comparable to these proposed regulations.  本規則案に該当する既存の連邦規制または法令はない。
Determination of Inconsistency/Incompatibility with Existing State Regulations:  既存の州規制との矛盾/非互換性の判断: 
As required by Government Code section 11346.5, subdivision (a)(3)(D), the Agency has conducted an evaluation of these proposed regulations and has determined that they are not inconsistent or incompatible with existing state regulations.  政府法第11346.5条(a)(3)(D)で義務付けられている通り、本ガバメントは本規則案の評価を実施し、既存の州規制との矛盾や互換性はないと判断した。
Forms or Documents Incorporated by Reference:  None.  参照による引用書式または文書: なし。
Other Statutory Requirements:  None.  その他の法定要件 なし。
DISCLOSURES REGARDING THE PROPOSED ACTION Agency’s Initial Determinations:  提案された措置に関する開示 当局の最初の判断: 
Mandate on local agencies or school districts:  None.  地方機関または学区に対する義務 なし。
Cost or savings to any state agency:  The Agency estimates that the proposed regulations will result in a one-time fiscal cost of $44,625 and ongoing fiscal costs of $129,035.    州政府機関に対する費用または節約: 本規則案により、44,625 米ドルの一時的な財政コストと 129,035 米ドルの継続的な財政コストが生じると、当機構は見積もっている。  
These costs result from the new workload for staff at the Agency and Department of Justice (DOJ). That workload includes (1) one-time staff work to build the frameworks necessary to receive required documents from more than 52,000 businesses and letters of complaint from an uncertain number of consumers; and (2) ongoing staff workload to review submitted documents and respond to submittals on a case-by-case basis.   これらの費用は、本庁および司法省(DOJ)の職員の新たな仕事量に起因する。この作業負荷には、(1)52,000を超える企業から必要書類を受け取り、不特定多数の消費者から苦情の手紙を受け取るために必要な枠組みを構築するための一時的なスタッフ作業、および(2)提出された書類を確認し、ケースバイケースで提出書類に対応するための継続的なスタッフ作業が含まれる。 
The Agency’s Information Technology Division will need to develop a web portal to accept the documents referenced above. Total one-time fiscal impact for creating this mechanism is estimated at $44,625. The ongoing fiscal costs of analyst and attorney staff to process this workload is estimated at $129,035.  同庁のインフォメーション・テクノロジー部門は、上記の文書を受け入れるためのウェブポータルを開発する必要がある。この仕組みを構築するための一時的な財政影響は、合計44,625ドルと見積もられる。この作業量を処理するためのアナリストおよび弁護士スタッフの継続的な財政コストは、129,035ドルと見積もられる。
Cost to any local agency or school district which must be reimbursed in accordance with Government Code sections 17500 through 17630:  None.  ガバメント・コード第17500条から第17630条に従い、払い戻しを受けなければならない地方機 関または学区への費用: なし。
Other non-discretionary costs or savings imposed on local agencies:  None. Local governments are not subject to the proposed regulations because they do not meet the CCPA’s definition of “business.”  地方機関に課されるその他の非裁量的費用または節約: なし。地方自治体は、CCPA の「事業」の定義を満たさないため、本規則案の対象とはならない。
Cost or savings in federal funding to the state:  None.  州に対する連邦資金のコストまたは節約: なし。
Cost impacts on representative private person or business:  The compliance costs associated with the regulations will vary considerably depending on the type and size of business, the maturity of the business’s privacy compliance system, the number of California consumers it services, and how it uses personal information. For a small business, initial costs are estimated at $7,045 to $92,896, with ongoing annual costs of $19,317. For a larger business, initial costs are estimated at $7,045 to $122,666, with ongoing costs of $26,015 annually. The Agency found no cost impact on consumers.  代表者である個人または企業へのコスト影響: 規制に関連するコンプライアンス・コストは、事業の種類と規模、事業のプライバシー・コンプライアンス・システムの成熟度、サービスを提供するカリフォルニア州の消費者の数、および個人情報の使用方法によって大きく異なる。小規模企業の場合、初期費用は7,045ドルから92,896ドル、継続的な年間費用は19,317ドルと見積もられている。大企業の場合、初期費用は7,045ドルから122,666ドル、継続費用は年間26,015ドルと見積もられている。消費者への影響はない。
Significant effect on housing costs:  None.  住宅費に大きな影響を与える: なし。
Significant, statewide adverse economic impact directly affecting businesses, including ability to compete:    競争力など、企業に直接影響する州全体への重大な経済的悪影響:   
The Agency has made an initial determination that the proposed regulations may have a significant, statewide adverse economic impact directly affecting business, including the ability of California businesses to compete with businesses in other states.   弊庁は、本規則案が、カリフォルニア州の企業が他州の企業と競争する能力を含め、ビジネスに直接影響する、州全体に及ぶ重大な経済的悪影響を及ぼす可能性があると、最初の判断を下した。 
The Agency has considered proposed alternatives that would lessen any adverse economic impact on business and invites the public to submit proposals. Submissions may include the following considerations:  弊庁は、ビジネスへの経済的悪影響を軽減する代替案を検討し、一般からの提案を求めている。提出される案には、以下の考慮事項が含まれる: 
1. The establishment of differing compliance or reporting requirements or timetables that take into account the resources available to businesses; 1. 企業が利用可能なリソースを考慮した、異なるコンプライアンスまたは報告要件またはスケジュールの設定;
2. Consolidation or simplification of compliance and reporting requirements for businesses; 2. 企業のコンプライアンスおよび報告要件の統合または簡素化;
3. The use of performance standards rather than prescriptive standards; and 3. 規定基準ではなく、パフォーマンス基準の使用。
4. Exemption or partial exemption from the regulatory requirements for businesses. 4. 事業者に対する規制要件の免除または一部免除。
The types of businesses that would be affected are businesses that that exceed $27,950,000.00 in revenue in the preceding calendar year; buy, sell, or share the personal information of 100,000 or more consumers or households per year; or receive 50% or more of their annual revenue from selling or sharing personal information. The proposed regulations may also affect service providers, contractors, and third parties that engage with businesses.   影響を受ける事業者の種類は、前暦年の売上が2,795万ドルを超える事業者、年間10万人以上の消費者または世帯の個人情報を売買または共有する事業者、年間売上の50%以上を個人情報の売買または共有から得ている事業者である。本規則案は、企業と関わるサービスプロバイダー、請負業者、サードパーティにも影響する可能性がある。 
The projected reporting requirements include preparation and submission of a certification of completion of a cybersecurity audit, a certification of conduct of a risk assessment, and a risk assessment in abridged form.   予想される報告要件には、サイバーセキュリティ監査の完了証明書、リスクアセスメントの実施証明書、要約形式のリスクアセスメントの作成と提出が含まれる。 
To the extent that the proposed regulations restrict business activity of California businesses covered by the CCPA, the proposed regulations will impact the businesses’ individual competitiveness against out-of-state competitors.   本規則案がCCPAの対象となるカリフォルニア州の企業の事業活動を制限する範囲において、本規則案は州外の競合企業に対する企業の個々の競争力に影響を与える。 
The Agency does not possess sufficiently detailed enterprise-level data to predict these competitive adjustments at the microeconomic level. However, its analysis—which focuses on supply, demand, and related estimates for the 2-digit NAICS sectors, mainly 51-Information and 52-Finance—indicates that California itself will not face significant percentage firm revenue and employment declines, which are generally in the low single-digit percentages of a more rapidly growing baseline trend (for example, a decrease of 0.47% in California supply and a decrease of 0.78% in investment, both relative to baseline in 2027).    当庁は、このような競争力の調整をミクロ経済レベルで予測できるほど詳細なエンタープライズレベルのデータを保有していない。しかし、主に 51-情報、52-金融の NAICS 2 桁セクターの需給、関連推計に焦点を当てた分析によると、カリフォルニア州自体は、企業収益と雇用の大幅な減少に直面することはなく、一般的には、より急速に成長するベースライン傾向の 1 桁台前半の割合である(例えば、2027 年のベースラインとの比較で、カリフォルニア州の供給は 0.47%減、投資は 0.78%減)。  
With respect to out-of-state competition, as demand falls less than supply in a given year, some business will be diverted across California’s border to available alternatives in other jurisdictions. However, the net slowing of growth for commerce remains modest. Relative impacts (as a percentage of revenue) for the sector are more substantial than in comparison to the statewide economy, but they remain modest. For example, while the Agency estimates that there will be some sectoral diversion of business across California’s border to available alternatives in other jurisdictions in 2027, it estimates that there will be an influx of business into California by 2031 and that the influx will increase substantially through 2036.   州外との競争に関しては、ある年に需要が供給を下回ると、一部のビジネスはカリフォルニア州を越えて他の管轄区域の利用可能な代替品に移行する。しかし、商業成長の正味の鈍化は小幅にとどまる。同部門の相対的な影響(売上高に占める割合)は、州全体の経済と比較するとより大きいが、小幅にとどまる。例えば、2027年には、カリフォルニア州国境を越えて、他の管轄区域の利用可能な代替案への部門的なビジネス転換があると推定しているが、2031年までにカリフォルニア州へのビジネス流入があり、2036年まで流入は大幅に増加すると推定している。 
There are two basic structural adjustments in response to the proposed regulations. First, covered sectors will have to adjust to compliance costs, incurring higher labor costs in the short term and impinging on profit, investment, and capital in the medium term. The other salient impact comes from the demand side of the economy, as reductions in losses related to cybercrimes involving personal information leads to increases in real income for individuals and enterprises. These savings will be recycled through demand, stimulating the economy through traditional multiplier linkages. In California, 70% of aggregate demand comes from households and 70% of household consumption goes to services. In other words, 49% of the incremental benefits from reduced cybercrime losses will be channeled to demand for labor-intensive services, far outweighing the job losses due to compliance costs in more capital-intensive compliant sectors. Financial benefits eventually strongly overtake costs of the proposed regulations over the decade considered, but expenditure shifting to more labor-intensive activities makes these regulations even more pro-employment. 規則案に対応する基本的な構造調整は2つある。第一に、対象となるセクターは、短期的には人件費の上昇、中期的には利益、投資、資本に影響を与えるコンプライアンス・コストへの調整を余儀なくされる。個人情報に関わるサイバー犯罪に関連する損失が減少すれば、個人やエンタープライズの実質所得が増加するためである。これらの貯蓄は需要を通じて再利用され、伝統的な乗数連鎖によって経済を刺激する。カリフォルニア州では、総需要の70%が家計によるものであり、家計消費の70%がサービスに使われている。言い換えれば、サイバー犯罪による損失が減少することで増加する利益の49%は、労働集約的なサービス需要に振り向けられ、資本集約的なコンプライアンス部門におけるコンプライアンスコストによる雇用損失をはるかに上回る。財政的便益は、最終的には、検討された10年間で、本規則案のコストを強く上回るが、支出がより労働集約的な活動にシフトすることで、これらの規制はより雇用促進につながる。
Results of the Standardized Regulatory Impact Assessment:  標準規制影響アセスメントの結果: 
In the first 12 months following full implementation of the proposed regulation, the Agency estimates a direct impact of $3.5 billion in costs on the 52,326 businesses covered by the CCPA and affected by the proposed regulations, and $1.5 billion in quantified benefits. These direct costs and benefits may result in additional indirect and induced economic impacts. The total statewide costs of the proposed regulations are estimated to be $9.725 billion over the first 10 years following implementation. The quantified benefits are estimated to rise to $66.3 billion by 2036.  本規則案の完全実施後、最初の12ヶ月間において、CCPAの対象となり、本規則案の影響を受ける52,326の企業に対し、直接的に35億ドルの費用と15億ドルの便益がもたらされると推定される。これらの直接的な費用と便益は、さらに間接的、誘発的な経済効果をもたらす可能性がある。本規則案の州全体の総費用は、施行後10年間で97億2,500万ドルと見積もられている。定量化された便益は、2036年までに663億ドルに増加すると見積もられている。
(1) The Agency anticipates the elimination of 98,000 jobs in the first 12 months following full implementation, followed by the addition of 233,000 jobs by 2036. (1) 当局は、完全実施後の最初の12ヶ月で98,000人の雇用が減少し、その後2036年までに233,000人の雇用が増加すると見込んでいる。
(2) The Agency does not anticipate that the proposed regulations would lead to the elimination of existing businesses. The proposed regulations are unlikely to eliminate existing businesses in California due to the threshold criteria for coverage and the size and type of businesses impacted. There is a possibility of some industry restructuring that could include a degree of consolidation of businesses that provide personal-information management services, but the Agency lacks information to assess the likelihood or potential for such a consolidation.   (2) 当局は、本規則案が既存事業の廃止につながるとは予想していない。本規則案は、対象となる規準、影響を受ける事業の規模や種類から、カリフォルニア州の既存事業が消滅する可能性は低い。個人情報管理サービスを提供する事業者のある程度の統合を含む業界再編の可能性はあるが、当庁はそのような統合の可能性や潜在性を評価する情報が不足している。 
The Agency anticipates that the proposed regulations would lead to the creation of new businesses. The proposed regulations are likely to create new businesses in California because of a significant increase in demand for labor with technical expertise in cybersecurity audits, risk assessment, automated decision-making technology, and consumer personal information privacy. The proposed regulations may create new businesses or new business lines that will help businesses, service providers, contractors, and third parties to comply with their obligations; and help consumers to understand and exercise their rights related to privacy. 当庁は、本規則案が新たなビジネスの創出につながることを期待している。サイバーセキュリティ監査、リスクアセスメント、自動意思決定技術、消費者個人情報プライバシーに関する技術的専門知識を有する労働力に対する需要が大幅に増加するため、本規則案はカリフォルニア州において新たなビジネスを創出する可能性が高い。本規則案は、企業、サービスプロバイダー、請負業者、およびサードパーティが義務を遵守するのを支援し、消費者がプライバシーに関する権利を理解し行使するのを支援する新しいビジネスまたは新しいビジネスラインを創出する可能性がある。
(3) The Agency anticipates that the proposed regulations would put California businesses at a competitive disadvantage compared to businesses in other states during the first 12 months following full implementation of the proposed regulations. However, the Agency anticipates that the proposed regulations would put California businesses at a competitive advantage by 2031 and that that advantage would continue to increase through 2036. (3) 当局は、本規則案の完全施行後 12 ヶ月間は、カリフォルニア州の企業が他州の企業と比較して競争上不利な立場に置かれることを予想している。しかし、本規則案により、2031年までにカリフォルニア州の企業は競争上有利となり、その優位性は2036年まで増加し続けると予想する。
(4) The Agency anticipates a decrease in investment in the state of $31 billion in the first 12 months following full implementation, followed by an increase in investment in the state of $261 billion by 2036. (4) 当局は、完全実施後の最初の12ヶ月で対州投資が310億ドル減少し、その後2036年までに対州投資が2,610億ドル増加すると予想している。
(5) The Agency anticipates that the proposal would result in incentives for innovation in products, materials, or processes. Where existing practices are subject to restrictions, it is reasonable to expect firms will innovate and invest in product differentiation.  (5) 当局は、本提案が製品、材料、またはプロセスの革新に対するインセンティブをもたらすと予想する。既存の慣行が規制の対象となる場合、企業が革新し、製品の差別化に投資することを期待するのは合理的である。
(6) The Agency anticipates the following benefits from the proposed action: The proposed regulations will enhance protection of consumer’s personal information and increase the ability of individuals to exercise their privacy rights. Requirements to certify completion of risk assessments and cybersecurity audits will lead to reduced risks of cybercrimes against California businesses and individuals. Avoiding cybercrimes that involve consumers’ personal information provides many types of benefits aside from financial measures as they include improvements to the health, safety, welfare, and quality of life for Californians.  (6) 当局は、提案された措置から以下のような利益を見込んでいる: 本規則案は、消費者の個人情報の保護を強化し、個人がプライバシーの権利を行使する能力を高める。リスクアセスメントおよびサイバーセキュリティ監査の完了を証明する要件は、カリフォルニア州の企業および個人に対するサイバー犯罪のリスク低減につながる。消費者の個人情報に関わるサイバー犯罪を回避することは、カリフォルニア州民の健康、安全、福祉、生活の質の改善など、金銭的な対策以外にも多くの利益をもたらす。
Evaluating the cybersecurity risks with consumers’ personal information and the effectiveness of cybersecurity systems set up to combat these risks helps inform firms about how to enhance the safety of consumers’ information and privacy. The cybersecurity improvements that California businesses make help alleviate the social and psychological costs that cybersecurity threats impose on California consumers. Effective cybersecurity programs also lower the costs that cybercrimes create. The reduced costs of production and business activity can lower the price of goods and services that consumers pay. This lower cost of consumption together with more cybersecurity and privacy-protective business practices leads to improvements of consumer welfare.  消費者の個人情報に関わるサイバーセキュリティリスクと、これらのリスクと戦うために構築されたサイバーセキュリティシステムの有効性を評価することは、消費者の情報とプライバシーの安全性を高める方法について企業に情報を提供するのに役立つ。カリフォルニアの企業がサイバーセキュリティを改善することで、サイバーセキュリティの脅威がカリフォルニアの消費者に課す社会的・心理的コストを軽減することができる。効果的なサイバーセキュリティ・プログラムは、サイバー犯罪が生み出すコストも低下させる。生産と事業活動のコストが削減されることで、消費者が支払う財やサービスの価格が低下する。このような消費コストの低減は、サイバーセキュリティとプライバシ保 護のビジネス慣行と相まって、消費者福祉の改善につながる。
In addition, the assessment of risks related to how businesses manage and protect personal information can lead to actions that help reduce those risks and improve safety within the workplace. Workers can focus their time and efforts on safety and efficiency, as they face less burden in protecting consumer personal information, especially when businesses develop cybersecurity systems that mitigate risks and damages of cybercrimes.  さらに、企業が個人情報をどのように管理し保護するかに関連するリスクをアセスメントすることで、それらのリスクを低減し、職場内の安全性を向上させるための行動を導くことができる。特に、事業者がサイバー犯罪のリスクや被害を軽減するサイバーセキュリティシステムを構築することで、消費者の個人情報を保護するための負担が軽減され、労働者は安全と効率に時間と労力を集中することができる。
Proposed requirements for training and uses of ADMTs will also provide benefits to businesses and individuals. Businesses that are required to evaluate their use of ADMTs will help ensure that the intended outcomes of those technologies are achieved, help improve efficiencies in the use of those ADMTs, and avoid a wide range of adverse outcomes associated with any of the unintended consequences of ADMTs implemented without such evaluations. The unintended consequences can include things like discrimination in both the hiring of employees and the provision of goods or services to consumers. Avoiding these adverse outcomes provides benefits in the workplace and to the health, safety, and welfare of California residents. ADMTの訓練と使用に関する提案された要件は、企業と個人にも利益をもたらす。ADMTの使用を評価することが求められる企業は、それらの技術の意図された成果が確実に達成されることを支援し、それらのADMTの使用における効率性の改善に役立ち、そのような評価なしに実施されたADMTの意図しない結果に関連するさまざまな悪影響を回避することができる。予期せぬ結果には、従業員の雇用や消費者への商品やサービスの提供における識別的なものが含まれる。このような悪影響を回避することは、職場やカリフォルニア州住民の健康、安全、福祉に利益をもたらす。
Business report requirement:  The proposed regulations would require businesses that meet certain thresholds to submit reports to the Agency. If a business meets certain thresholds, it may be required to submit a certification of completion of its cybersecurity audit or a certification of conduct of its risk assessment and risk assessment in abridged form.   事業報告義務: 本規則案は、一定の基準を満たす事業者に対し、報告書の提出を義務付けている。事業者が一定の閾値を満たす場合、サイバーセキュリティ監査の完了証明書、またはリスクアセスメントとリスクアセスメントの実施証明書を簡略化して提出することが求められる。 
The Agency finds it is necessary for the health, safety or welfare of the people of this state that the reports be created and submitted by businesses. The certification of completion of a business’s cybersecurity audit—together with Article 9’s substantive requirements—is necessary to protect consumers’ welfare. Specifically, it provides an assurance of, and accountability for, the thoroughness and independence of the business’s audit, which will further protect consumers’ personal information. Similarly, the certification of conduct of a business’s risk assessment, and the submission of risk assessments in abridged form, are similarly necessary to protect consumers’ welfare. In addition to fulfilling the CCPA’s statutory mandate that risk assessments be submitted to the Agency on a regular basis, the certification of conduct of a business’s risk assessment and the submission of risk assessments in abridged form provide assurances of, and accountability for, the business’s risk assessments, which will further protect consumers’ privacy.  同庁は、事業者が報告書を作成し提出することが、本州の人々の健康、安全、または福祉のために必要であると判断する。事業者のサイバーセキュリティ監査の完了証明は、第9条の実質的要件とともに、消費者の福祉を保護するために必要である。具体的には、事業者の監査の徹底性と独立性を保証し、説明責任を果たすことで、消費者の個人情報をさらに保護することができる。同様に、事業者のリスクアセスメントの実施証明、および簡略化したリスクアセスメントの提出も、同様に消費者の福祉を保護するために必要である。リスクアセスメントを定期的に本庁に提出するというCCPAの法定義務を果たすことに加え、事業者のリスクアセスメントの実施証明と要約された形でのリスクアセスメントの提出は、事業者のリスクアセスメントに対するアセスメントメントと説明責任を保証し、消費者のプライバシーをさらに保護する。
Small business determination:  The Agency has determined that the proposed action affects 6,915 to 27,659 small businesses.  中小企業の判断 当庁は、提案された措置が6,915から27,659の中小企業に影響すると決定した。
Summary of Department of Finance Comments Regarding the Standardized Regulatory Impact Analysis and Agency Responses:  標準規制影響分析に関する大蔵省のコメントと省庁の回答の要約: 
The Department of Finance provided comments on the Standardized Regulatory Impact Analysis (“SRIA”) that addressed four issues relevant to the macroeconomic assessment and specifically requested additional clarification in those areas. Below is the Department of Finance’s feedback, followed by Agency responses.  財務省は、標準規制影響分析(SRIA)に対して、マクロ経済評価に関連する4つの問題を取り上げたコメントを提供し、特にこれらの分野における追加的な明確化を要求した。以下は、財務省の意見と、それに続く省庁の回答である。
1. The SRIA should clearly identify the state revenue baseline used. The SRIA projects state tax revenue impacts to range from a decline of about $3 billion (or -0.13 percent, as stated in the SRIA) to an increase of $6 billion (0.3 percent) over the implementation period. However, these percentage estimates understate the projected state revenue impact, as $6 billion accounts for roughly 2 percent to 3 percent of the state’s revenues, while the percentages estimated in the SRIA, imply a state revenue baseline of roughly $2 trillion. 1. SRIAは、使用した州歳入ベースラインを明確に特定すべきである。SRIAは、州税収への影響を、実施期間中に約30億ドルの減少(SRIAに記載されている通り、-0.13%)から60億ドル(0.3%)の増加までと予測している。しかし、これらの割合の見積もりは、州の歳入のおよそ2%から3%を占める60億ドルであるのに対し、SRIAで見積もられた割合は、およそ2兆ドルの州歳入ベースラインを意味するため、予測される州歳入への影響を控えめにしている。
Response:  Table 5.1 in Section 5.3 has been corrected – the BEAR Model results remain unchanged, but this table was constructed with incorrect baseline data for State and Federal revenues, which led to miscalculations of level and percent changes. These numbers have been revised in the table and reported in the text (e.g., in the paragraph preceding Table 5.1).  回答 セクション5.3の表5.1は修正された。BEARモデルの結果に変更はないが、この表は州歳入と連邦歳入の誤ったベースラインデータで作成されていたため、水準と変化率の計算が間違っていた。これらの数値は表の中で修正され、本文中でも報告されている(例えば、表5.1の前の段落)。
2. The SRIA is currently lacking critical disclosures and justification regarding impacts to the state’s economy and budget including the following: 1) The estimated impact on Gross State Product (GSP) ranges from a decline of nearly $30 billion to an increase of $280 billion across the implementation period. Moreover, the ratio of GSP to state tax revenues averaged about 16- to-1 from 2017 to 2023, however, the projected ratio in the SRIA ranges from about 10-to-1 through 2031 before increasing significantly to 46-to-1 by 2036. The SRIA should further explain and justify the substantial change in the ratio of GSP to state revenues and why it is projected to rise significantly over the implementation period.  2. SRIAは現在、州経済と予算への影響に関して、以下のような重要な開示と正当化が欠けている: 1) 州総生産(GSP)への影響は、実施期間を通じて300億ドル近い減少から2,800億ドルの増加までと見積もられている。さらに、2017年から2023年までの州税収に対するGSPの比率は平均約16対1であったが、SRIAで予測される比率は、2031年までは約10対1であったが、2036年には46対1と大幅に増加する。SRIAは、州税収に対するGSPの比率の大幅な変化と、それが実施期間中に大幅に上昇すると予測される理由をさらに説明し、正当化すべきである。
Response:  See response to item 1 above. These figures are now in agreement with DOF’s notes related to baseline tax revenues and share of GSP. These modifications do not significantly alter the conclusions of the SRIA. 回答 上記1の回答を参照のこと。これらの数値は、ベースラインの税収とGSPの割合に関するDOFの注釈と一致している。これらの修正はSRIAの結論を大きく変えるものではない。
3. The SRIA describes the initial negative impact of the regulations on state investment as  3. SRIAは、州への投資に対する規制の初期的なマイナスの影響を次のように説明している。
“small,” at -5.5 percent of total state investment in 2027. Investment in all sectors (including those not directly affected by the regulation) across the state is subsequently projected to increase by $257 billion, or nearly 36 percent, by the end of the implementation period in 2036. The SRIA should explain why investment is assumed be this significantly impacted, both initially and cumulatively over the ten-year window. 2027年の州総投資額の-5.5%と「小さい」としている。その後、州全体の全セクター(規制の影響を直接受けないセクターを含む)の投資は、実施期間終了の2036年までに2,570億ドル(約36%)増加すると予測されている。SRIAは、当初および10年間の累積で、投資がこれほど大きな影響を受けると想定される理由を説明すべきである。
Response:  The estimates of Direct Costs and Benefits exhibit a strong reversing trend from net cost to net benefit across the decade considered. Costs and benefits are structurally quite different and generally accrue to different stakeholders. While costs are incurred by the California businesses impacted by the proposed regulations, as set forth in Section 2, benefits are much more general and have been allocated across all sectors of the economy in proportion to value added. Other rules for targeting benefits could yield different microeconomic impacts, but there are no reliable predictions of the detailed incidence of cybercrime damages over the next decade, let alone patterns of cybercrimes averted by the proposed regulations. The main growth (investment, employment, etc.) drivers for these results are macroeconomic, however, driven by the aggregate savings-investment constraint applied to baseline labor and capital allocation patterns. 回答 直接費用と便益の試算は、検討された10年間を通じて、正味費用から正味便益への強い逆転傾向を示している。コストと便益は構造的に全く異なり、一般的に異なる利害関係者に発生する。第2 節で述べたように、コストは本規則案の影響を受けるカリフォルニア州の企業によって発生す るが、便益はより一般的なものであり、付加価値に比例して経済の全セクターに配分される。ベネフィットを対象とする他のルールがあれば、異なるミクロ経済的影響をもたらす可能性があるが、規則案によって回避されるサイバー犯罪のパターンはおろか、今後10年間のサイバー犯罪被害の詳細な発生率について信頼できる予測はない。しかし、これらの結果の主な成長(投資、雇用など)の原動力はマクロ経済的なものであり、ベースラインの労働と資本の配分パターンに適用される総体的な貯蓄-投資制約によって駆動される。
We estimate that California businesses, as set forth in Section 2, incur costs, including increased labor costs and reduced profits and statewide saving. Impacted businesses increase spending on skilled labor, but the economy as a whole experiences lower aggregate savings, which with the BEAR Model’s saving-investment balance necessarily reduces net investment. 第2節で述べたように、カリフォルニア州の企業は、人件費の増加、利益や州全体の貯蓄の減少などのコストを負担すると推定される。影響を受けた企業は熟練労働者への支出を増加させるが、経済全体としては総貯蓄額が減少し、BEARモデルの貯蓄-投資バランスでは必然的に純投資額が減少する。
Benefits are modeled as accruing across the entire economy (not only to impacted businesses) and represent savings from reductions in the subset of cybercrimes identified in Section 3. In the absence of detailed information about exact patterns of future cybercrime, these savings are allocated across all sectors in proportion to their value-added. In fact we do not know exactly who will experience the savings from reduced cybercrimes, but the cumulative savings are substantial (averaging $18.6B in annual avoided losses over the decade evaluated) and will support higher economywide investment levels through the same aggregate saving-investment balance. This leads to incremental and compounded average investment growth of about 3.1% annually and 34% over a decade. Admittedly, we optimistically assume the savings are reinvested in California, but this improvement in the investment climate is fully consistent with the intention of the proposed regulations to further protect consumers’ privacy (including by protecting their personal information) and facilitate responsible innovation. 恩恵は(影響を受けた企業だけでなく)経済全体にもたらされるものとしてモデル化されており、セクション3で特定されたサイバー犯罪のサブセットの減少による貯蓄を代表者としている。将来のサイバー犯罪の正確なパターンに関する詳細な情報がないため、これらの削減効果は、付加価値に比例して全セクターに配分される。実際、サイバー犯罪の減少による節約を誰が享受するかは正確にはわからないが、累積節約額は相当なものであり(評価した10年間の年間回避損失額は平均186億ドル)、同じ節約-投資バランスを通じて経済全体の投資水準の上昇を支えることになる。この結果、平均投資成長率は年率約3.1%、10年間で34%増加する。確かに、この貯蓄がカリフォルニア州に再投資されることを楽観的に想定しているが、この投資環境の改善は、消費者のプライバシー保護(個人情報の保護を含む)と責任あるイノベーションの促進という規則案の意図に完全に合致するものである。
Note that this explanation has been added to Section 4.3 of the SRIA. なお、この説明はSRIAの4.3節に追加されている。
4. The SRIA projects employment to decline by up to 126,000 in 2030 before increasing by 241,000 by the end of the implementation period in 2036. As the proposed regulation is expected to disproportionately impact higher earners across the state in the information and professional, scientific, and technical services industries, which together account for about 10 percent of the state’s total employment, the SRIA should discuss the disparate employment impacts by industry to the extent possible. 4. SRIAは、2030年には雇用が最大126,000人減少し、2036年の実施期間終了時には241,000人増加すると予測している。本規則案は、州全体の雇用の約10%を占める情報産業と専門・科学・技術サービス産業の高所得者に不釣り合いな影響を与えることが予想されるため、SRIAでは、可能な限り、産業別の雇用への不釣り合いな影響について議論すべきである。
Response:  The disparate employment impacts by industry are described in Section 4.4 and 4.7 of the SRIA. Note that only the direct cost impacts will be concentrated in the “information and professional, scientific, and technical services” sectors and occupations. Most economywide effects, including direct benefits and all indirect and induced impacts will be dispersed across most economic activities and occupation categories (see response to Item 3 above). Even for the impacted businesses, there will be tradeoffs for skilled workers, between those hired to support compliance and those let go because of increased costs, and we lack prior information to predict this at the enterprise level.  回答 産業別の雇用格差の影響は、SRIAの4.4節と4.7節に記載されている。直接的なコスト影響のみが、「情報および専門的・科学的・技術的サービス」セクターおよび職業に集中することに留意されたい。直接便益やすべての間接的・誘発的影響を含む経済全体への影響のほとんどは、ほとんどの経済活動や職業カテゴリーに分散する(上記項目3への回答を参照)。影響を受けるビジネスにおいても、熟練労働者については、コンプライアンスをサポートするために雇用される労働者と、コスト増のために離職する労働者との間でトレードオフが生じるだろうが、エンタープライズレベルでこれを予測するための事前情報が不足している。
For this reason, most occupations follow the aggregate adjustment process. The current version of the BEAR Model does detail 22 Standard Occupational Classification (SOC) 2digit occupations and 60 sectors, but our fairly general assumptions about net benefit allocation do not shed much light on these detailed compositional effects. このため、ほとんどの職種は、全体的な調整プロセスに従う。BEARモデルの現行バージョンは、22の標準職業分類(SOC)2桁の職業と60のセクターについて詳述しているが、正味給付配分に関する我々のかなり一般的な仮定では、これらの詳細な構成効果にあまり光が当たらない。
Note that minor text changes have been made to Section 4.4 and a revised Table 4-3 has been added to Section 4.7 of the SRIA. なお、4.4節に若干の文章変更を加え、SRIAの4.7節に表4-3を追加した。
CONSIDERATION OF ALTERNATIVES  代替案の検討 
In accordance with Government Code section 11346.5, subdivision (a)(13), the Agency must determine that no reasonable alternative considered by the Agency or that has otherwise been identified and brought to the attention of the Agency would be more effective in carrying out the purpose for which the action is proposed, would be as effective and less burdensome to affected private persons than the proposed action, or would be more cost effective to affected private persons and equally effective in implementing the statutory policy or other provision of law. The Agency invites interested parties to submit alternatives with respect to the proposed regulations. The Agency’s own alternatives to the proposed regulations are described in the Initial Statement of Reasons on pages 121–122.   ガバナンス政府第11346.5条(a)(13)に従い、省庁は、省庁が検討した、または省庁が特定し注意を喚起した合理的な代替案が、その行動が提案された目的を遂行する上でより効果的であるか、影響を受ける民間人にとって提案された行動と同等に効果的で負担が少ないか、影響を受ける民間人にとってより費用対効果が高く、法的方針または他の法律の規定を実施する上で同等に効果的であると判断しなければならない。当庁は、利害関係者に対し、本規則案に関する代替案を提出するよう求めている。本規則案に対する当庁独自の代替案は、121-122ページの「最初の理由説明書」に記載されている。 

 

 


 

規則案本文(Text of Proposed Regulation

20241126-52446

 


 

正確性は限定的なところはありますが、数値で影響評価をするところがちゃんとしていますよね...

当初の理由書 (Initial Statement of Reasons

最初の理由書 附属書A:標準規制影響評価Initial Statement of Reasons Appendix A: Standardized Regulatory Impact Assessment

・経済財政影響評価書(STD 399)(Economic and Fiscal Impact Statement (STD 399)

 

 

 

| | Comments (0)

CSA 脆弱性データに対する懸念 (2024.11.11)

こんにちは、丸山満彦です。

脆弱性管理についての、現在の課題について整理したものという感じですかね...

CVEの採番、管理も大規模になるとなかなか大変...

IoTとかでてくると、さらに大変...

 

Cloud Security Alliance

・2024.11.11 Top Concerns With Vulnerability Data

Top Concerns With Vulnerability Data 脆弱性データに対する懸念のトップ
The top vulnerability management frameworks used today include the Common Vulnerabilities and Exposures (CVE) program and the Common Vulnerability Scoring System (CVSS). The CVE program assigns an identifier to every discovered security vulnerability, standardizing the vulnerability documentation process. CVSS introduces a way to prioritize vulnerabilities by giving each CVE a CVSS score. 今日使われている脆弱性管理のフレームワークには、Common Vulnerabilities and Exposures(CVE)プログラムとCommon Vulnerability Scoring System(CVSS)がある。CVEプログラムは、発見されたすべてのセキュリティ脆弱性に識別子を割り当て、脆弱性の文書化プロセスを標準化する。CVSSは、各CVEにCVSSスコアを与えることで、脆弱性に優先順位をつける方法を導入している。
Despite their widespread use, CVE and CVSS remain stagnant in comparison to the growing threat landscape and scope of cybersecurity. Security teams have increasingly large, diverse, and complex technology stacks to secure. CVE and CVSS are simply not sufficient for managing the threat intelligence of multiple modern systems on a rolling basis. CVEとCVSSは、広く使用されているにもかかわらず、サイバーセキュリティの脅威の状況や範囲が拡大していることに比べると、依然として停滞している。セキュリティ・チームは、ますます大きく、多様で、複雑なテクノロジー・スタックを保護しなければならなくなっている。CVEとCVSSは、複数の最新システムの脅威インテリジェンスを継続的に管理するには不十分である。
This publication highlights the critical shortcomings of current vulnerability management programs, such as outdated information, limited context, and inefficient scoring. It also explores potential solutions that could improve the tracking, scoring, and prioritization of vulnerabilities. Readers will come to appreciate the top concerns related to vulnerability data. By the end of the document, they will also see how to fix these issues in the future. 本書は、古い情報、限られたコンテキスト、非効率的なスコアリングなど、現在の脆弱性管理プログラムの重大な欠点を浮き彫りにしている。また、脆弱性の追跡、スコアリング、優先順位付けを改善するための潜在的な解決策を探っている。読者は、脆弱性データに関連する最大の懸念事項を理解するようになるだろう。また、本書の終わりには、これらの問題を将来どのように解決すべきかがわかるだろう。
Key Takeaways: 主な要点
・The current challenges with vulnerability data ・脆弱性データに関する現在の課題
・Why CVE and CVSS are outdated and cannot keep up with the rapidly growing cybersecurity scene ・なぜCVEとCVSSは時代遅れであり、急速に成長するサイバーセキュリティシーンに対応できないのか。
・Why the National Vulnerability Database (NVD) cannot scale at the necessary rate ・国家脆弱性データベース(NVD)が必要な速度で拡張できない理由
・The fragmentation of vulnerability data ・脆弱性データの断片化
・Real-life examples of the issues with vulnerability data and their repercussions ・脆弱性データの問題点とその影響の実例
・Alternative frameworks to CVSS, including EPSS, SSVC, and VPR ・EPSS、SSVC、VPRを含むCVSSに代わる枠組み
・Threat modeling frameworks to follow, including STRIDE, LINDDUN, PASTA, VAST, TRIKE, and DREAD ・STRIDE、LINDDUN、PASTA、VAST、TRIKE、DREADなど、追随すべき脅威モデリングの枠組み
・How AI and machine learning could help address the growing volume of vulnerabilities ・AIと機械学習は、増加する脆弱性にどのように対処するのに役立つか?

 

20241125-224118

 

目次...

Acknowledgments 謝辞
Table of Contents 目次
Introduction 序文
Role of Vulnerability Data 脆弱性データの役割
Current State of Vulnerability Data 脆弱性データの現状
Identifying the Current Challenges 現在の課題の識別
CVE CVE
・Data Quality and Fidelity ・データの質と忠実性
・Perverse Incentives to not Create CVEs ・CVEを作成しないことへの逆インセンティブ
・Finding Relevant Vulnerability Data ・関連する脆弱性データを見つける
・Notifying Project Maintainers ・プロジェクト・メンテナへの通知
・Lack of Interoperability ・相互運用性の欠如
・Resolving Disputes ・紛争の解決
・Complexity of Reporting Vulnerabilities ・脆弱性報告の複雑さ
・Increasing Number of CVEs Every Year ・年々増加するCVE数
CVSS CVSS
Disadvantages of CVSS CVSSの欠点
Inability to Prioritize Risk リスクの優先順位付けができない
・Static Scoring System ・静的なスコアリング・システム
User Stories ユーザーストーリー
cURL cURL
Custom Solutions カスタムソリューション
Alternatives to CVSS CVSSの代替
EPSS EPSS
SSVC SSVC
VPR VPR
Threat Modeling Frameworks 脅威モデリングの枠組み
What Is Threat Modeling? 脅威モデリングとは何か?
STRIDE STRIDE
LINDDUN LINDDUN
PASTA パスタ
VAST バスト
TRIKE トライク
DREAD ドリード
Future Directions and Emerging Trends 今後の方向性と新たなトレンド
Big Data Problems and Scale Issues ビッグデータ問題と規模の問題
The Role of Artificial Intelligence and Machine Learning 人工知能と機械学習の役割
Conclusion 結論
References 参考文献

 

 

CVSSの代替案 比較

CVSS Alternatives Comparison CVSSの代替案 比較
EPSS EPSS
EPSS’s main focus is predicting the likelihood of vulnerability exploitation using logistic regression over 12 months. In contrast SSVC uses more qualitative decision-making, not relying on statistical predictions. Finally, VPR uses technical impact and real-time threat intelligence while making decisions which differs from EPSS's emphasis on probability of exploit prediction, highlighting its more predictive approach. EPSSの主な焦点は、12ヶ月間のロジスティック回帰を用いた脆弱性悪用の可能性の予測である。対照的に、SSVC は統計的予測に頼らず、より定性的な意思決定を行う。最後に、VPR は技術的影響とリアルタイムの脅威インテリジェンスを使用しながら意思決定を行うが、これは EPSS の悪用の可能性予測に重点を置くのとは異なり、より予測的なアプローチを強調するものである。
SSVC SSVC
SSVC utilizes decision tree models that use qualitative data to help guide holders with vulnerability management. It differs from something like EPSS which provides one predictive score and also the fact that it utilizes qualitative inputs and adapts to feedback. Furthermore, when compared to VPR which focuses on technical impact and threat intelligence, SSVC prioritizes stakeholder-specific needs. SSVC は、脆弱性管理でホルダーを導くために定性的データを使用する決定木モデルを利用する。EPSSのように1つの予測スコアをプロバイダとして提供するものとは異なり、また、定性的な入力を利用し、フィードバックに適応するという点でも異なる。さらに、技術的影響と脅威インテリジェンスに重点を置くVPRと比較すると、SSVCはステークホルダー固有のニーズに優先順位をつける。
VPR VPR
VPR combines the technical impact that a vulnerability has in conjunction with real-time threat intelligence meaning that it is continuously updating. In comparison to EPSS, which predicts exploitation likelihood with a more static but predictive score, VPR is a more dynamic approach that employs threat data over time. Finally, unlike SSVC, which emphasizes qualitative decision-making specifically for stakeholders, VPR integrates quantitative threat data for risk prioritization. VPRは、脆弱性が持つ技術的影響と、継続的に更新されることを意味するリアルタイムの脅威インテリジェンスを組み合わせたものである。より静的だが予測的なスコアで悪用の可能性を予測する EPSS と比較すると、VPR はより動的なアプローチであり、時間の経過とともに脅威データを採用する。最後に、利害関係者に特化した定性的な意思決定を重視するSSVCとは異なり、VPRはリスクの優先順位付けのために定量的な脅威データを統合する。

 

 

脅威モデル比較...

Threat modeling frameworks Comparison 脅威モデリングの枠組み
STRIDE STRIDE
STRIDE offers a variety of benefits compared to other frameworks like LINDDUN, PASTA, VAST, and TRIKE. For example, STRIDE focuses primarily on common security threats and provides a high-level overview of the threat landscape due to its broad categories, unlike other frameworks that might concentrate on specific types of vulnerabilities. STRIDE は、LINDDUN、PASTA、VAST、TRIKE のような他の枠組みと比べて様々な利点を提供する。例えば、STRIDE は主に一般的なセキュリティ脅威に焦点を当て、特定のタイプの脆弱性に集中する可能性がある他の枠組みとは異なり、その幅広いカテゴリーにより、脅威ランドスケープのハイレベルな概観を提供する。
LINDDUN LINDDUN
LINDDUN’s extensive catalog of privacy threat types, threat trees, and mapping tables, guide the analyst in identifying and addressing privacy issues. In contrast, other methods like STRIDE and PASTA primarily address security concerns, with STRIDE focusing on security threats and PASTA emphasizing security aspects. LINDDUNのプライバシー脅威の種類、脅威ツリー、マッピングテーブルの広範なカタログは、プライバシー問題を特定し、対処する際にアナリストを導く。これとは対照的に、STRIDEやPASTAのような他の手法は、主にセキュリティの懸念を扱っており、STRIDEはセキュリティの脅威に、PASTAはセキュリティの側面に重点を置いている。
PASTA PASTA
Compared to other frameworks like STRIDE, which focuses on specific threat categories, and VAST, which emphasizes scalability and integration for more large-scale enterprises, PASTA offers a more holistic and business-oriented approach as shown by its business-centric process. Its ability to simulate real-world attacks and involve both technical and business stakeholders ensures that security measures are aligned with the objectives of the business that utilizes it. 特定の脅威カテゴリーに焦点を当てるSTRIDEや、より大規模なエンタープライズ向けのスケーラビリティと統合を重視するVASTのような他の枠組みと比べて、PASTAは、そのビジネス中心のプロセスが示すように、より全体的でビジネス指向のアプローチを提供する。実世界の攻撃をシミュレートし、技術・ビジネス双方の利害関係者を関与させることで、セキュリティ対策がそれを利用するビジネスの目的に沿ったものとなることを保証する。
VAST VAST
Compared to other frameworks like LINDDUN, STRIDE, and PASTA, VAST is unique in its scalability and automation, making it suitable for large enterprises. It automates much of the threat modeling process, reducing time and effort, and integrates seamlessly with existing development and security processes. VAST is particularly useful for securing web applications, auditing IT systems, and developing secure software, ensuring that security is integrated into the software development lifecycle from the beginning. Therefore by focusing on scalability, automation, and integration, VAST provides an approach to threat modeling that is very valuable for large corporations. LINDDUN、STRIDE、PASTAのような他の枠組みと比べて、VASTはスケーラビリティと自動化においてユニークであり、大規模エンタープライズに適している。脅威モデリングプロセスの大部分を自動化し、時間と労力を削減し、既存の開発プロセスやセキュリティプロセスとシームレスに統合する。VASTは、ウェブアプリケーションのセキュリティ確保、ITシステムの監査、セキュアなソフトウェアの開発に特に有効であり、ソフトウェア開発ライフサイクルの最初からセキュリティが統合されていることを保証する。そのため、拡張性、自動化、統合に重点を置くことで、VASTは大企業にとって非常に価値のある脅威モデリングへのアプローチを提供している。
TRIKE TRIKE
Compared to other frameworks like LINDDUN, STRIDE, and PASTA, TRIKE is unique in its risk-based approach, focusing on the highest risks first and automating much of LINDDUN、STRIDE、PASTAのような他の枠組みと比べて、TRIKEはリスクベースのアプローチに特徴がある。
the threat generation processes. TRIKE is also suitable for various use cases, such as the security of web and 脅威生成的プロセスを自動化する。TRIKEはまた、ウェブやITベースのシステムのセキュリティや、ITシステムのセキュリティの支援など、さまざまなユースケースに適している。
IT-based systems, and aiding in the development of secure software. Finally, TRIKE ensures that countermeasures are appropriate for the identified threats, making it a valuable tool for security professionals. ITベースのシステムのセキュリティ、安全なソフトウェアの開発支援など、さまざまなユースケースにも適している。最後に、TRIKEは、特定された脅威に対する対策が適切であることを保証し、セキュリティ専門家にとって価値あるツールとなっている。
DREAD DREAD
Compared to other frameworks like LINDDUN or PASTA, DREAD offers a unique perspective on threat modeling by focusing on quantifying and prioritizing security threats through qualitative based approaches. While additional frameworks like STRIDE categorize threats into specific types and VAST emphasizes scalability and automation for large enterprise, DREAD is a more simple and focused approach to threat modeling. This makes DREAD particularly useful for organizations who may not be as knowledgeable about the world of cybersecurity nor as big scale as large corporations but are still looking for an effective framework to address vulnerabilities. LINDDUNやPASTAのような他の枠組みと比べて、DREADは、定性的なアプローチを通じてセキュリティ脅威を定量化し、優先順位をつけることに焦点を当てることで、脅威モデリングに独自の視点を提供している。STRIDEのような他の枠組みが脅威を特定のタイプに分類し、VASTが大規模エンタープライズ向けの拡張性と自動化に重点を置いているのに対して、DREADは脅威モデリングに対してよりシンプルで焦点を絞ったアプローチである。このため、DREADは、サイバーセキュリティの世界についてそれほど詳しくなく、大企業ほど大規模ではないものの、脆弱性に対処するための効果的な枠組みを探している組織にとって特に有用である。

 

 

| | Comments (0)

2024.11.25

欧州 ENISA NIS投資報告書 2024

こんにちは、丸山満彦です。

ENISAが、Network and Information Security Investments Report 2024を公表していますね...

2020年から初めて今年で5年目ですね...

NIS2の施行も始まりましたし、サイバーセキュリティがますます注目されますね...今年の調査からNIS2であらたに規制対象となる産業分野も調査しているようですね...

情報セキュリティ支出は増加ている一方、IT部門の従業員に占める情報っセキュリティ専任者の割合は4年連続で低下しているようですね...特に技術的な専門知識を必要とする職務の充足に苦労しているとのこと...特に中小企業...

日本もそうですが、欧州も同じですね...きっと米国も...

事業体の90%が、来年はサイバー攻撃の量、コストが増加すると予想しているようです...

 

EU及びその諸国が政策を立案する際の参考にするために、行なっているようです。今年で5年目!

EUもグローバルの比較データが欲しいと思うので(一部は組み込まれていますが、、、)、日本も政策立案の際には必要となるのでしょうから、調整をして同じ調査をしても良いように思うんですけどね。。。どうかしら。。。

日本って政策立案についての定量的な分析を十分にせずに、一部の、政府職員、政治家、一部有識者?、それらの取り巻き?の思い、思いつきできまってしまうことが多くないでしょうかね。。。もう少し定量データ等を取り入れたらどうでしょうかね。。。

IPAが情報セキュリティ白書をだしていますが、読み物だけでなく、経年データのあるデータ編があると良いと思うんですよね...

 

ENISA

プレス...

・2024.11.21 Navigating cybersecurity investments in the time of NIS 2

Navigating cybersecurity investments in the time of NIS 2 NIS 2の時代にサイバーセキュリティ投資をナビゲートする
The latest report of the European Union Agency for Cybersecurity (ENISA) aims to support policy makers in assessing the impact of the current EU cybersecurity framework, and particularly the NIS 2 Directive, on cybersecurity investments and the overall maturity of organisations in scope. 欧州連合サイバーセキュリティ機関(ENISA)の最新報告書は、現在のEUサイバーセキュリティの枠組み、特にNIS 2指令がサイバーセキュリティ投資と対象組織の全体的な成熟度に与える影響を評価し、政策立案者を支援することを目的としている。
The fifth iteration of the NIS Investments report provides key insights into how organisations in scope of the NIS 2 Directive allocate their cybersecurity budgets, build their capabilities, and mature in line with the Directive’s provisions, while also exploring global cybersecurity trends, workforce challenges, and the impact of AI.  NIS投資報告書の第5版では、NIS 2指令の適用範囲にある組織がどのようにサイバーセキュリティ予算を配分し、能力を構築し、指令の規定に沿って成熟しているかについて重要な洞察を提供するとともに、世界のサイバーセキュリティの動向、労働力の課題、AIの影響についても探求している。
The report further provides insights into the readiness of entities to comply with new requirements introduced by key horizontal (e.g. CRA) and sectorial (e.g. DORA, NCCS) legislation, while also exploring the challenges they face.   本報告書はさらに、事業体が直面する課題を探りながら、主要な水平法(CRAなど)や分野別法(DORA、NCCSなど)によって導入された新たな要件を遵守するための準備態勢についての洞察を提供している。
The EU Agency for Cybersecurity Executive Director, Juhan Lepassaar, highlighted: “The NIS 2 Directive signifies a turning point in Europe's approach to cybersecurity. Within a fast evolving and complex threat landscape, the proper implementation of the NIS 2 requires adequate investments and especially into the new sectors which fall under the scope of the updated Directive. The ENISA NIS Investments report provides evidence-based feedback to policymakers and stakeholders regarding NIS-driven investments. These insights are essential for informed decision-making and addressing potential hurdles and gaps in cybersecurity policy implementation.”  EUサイバーセキュリティ機関のジュハン・レパサー事務局長は、次のように強調した: 「NIS 2指令は、サイバーセキュリティに対する欧州のアプローチの転換点を意味する。急速に進化する複雑な脅威の状況の中で、NIS 2を適切に実施するためには、適切な投資が必要であり、特に更新された指令の範囲に含まれる新しいセクターへの投資が必要である。ENISA NIS投資報告書は、NIS主導の投資に関して、政策立案者や利害関係者にエビデンスに基づくフィードバックを提供する。これらの洞察は、十分な情報に基づいた意思決定や、サイバーセキュリティ政策の実施における潜在的なハードルやギャップに対処するために不可欠である」。
The 2024 edition features a significant enhancement compared to previous versions, as it extends the survey sample to include sectors and entities that are in scope of NIS 2. Through this approach, this report provides a pre-implementation snapshot of relevant metrics for the new sectors and entities under NIS 2, laying a foundation for future assessments of the impact of NIS 2. Additionally, it includes a sectorial deep dive in the Digital infrastructure and Space sectors.  2024年版の特徴は、NIS 2の対象となる事業体やセクターを調査対象に加えたことである。 このアプローチにより、本報告書は、NIS 2の対象となる新たなセクターや事業体に関する関連指標の導入前スナップショットを提供し、NIS 2の影響に関する将来のアセスメントの基礎を築く。 さらに、デジタルインフラと宇宙セクターのセクター別深堀り調査も含まれている。
Data were collected from 1350 organisations from all EU Member States covering all NIS2 sectors of high criticality, as well as the manufacturing sector.  データは、製造事業者だけでなく、重要度の高いNIS2の全分野をカバーする全EU加盟国の1350組織から収集された。
Key findings  主な調査結果 
Information security now represents 9% of EU IT investments, a significant increase of 1.9 percentage points from 2022, marking the second consecutive year of growth in cybersecurity investment post-pandemic.  EUのIT投資に占める情報セキュリティの割合は9%となり、2022年から1.9ポイントの大幅な伸びを示し、パンデミック以降2年連続でサイバーセキュリティへの投資が増加している。
In 2023, median IT spending for organisations rose to EUR 15 million, with information security spending doubling from EUR 0.7 million to EUR 1.4 million.  2023年には、組織のIT支出の中央値は1,500万ユーロに上昇し、情報セキュリティ支出は0.7百万ユーロから1.4百万ユーロに倍増する。
For the fourth consecutive year, the percentage of IT  Full Time Equivalents (FTEs) dedicated to information security has declined, from 11.9% to 11.1%. This decrease may reflect recruitment challenges, with 32% of organisations—and 59% of SMEs—struggling to fill cybersecurity roles, particularly those requiring technical expertise. This trend is especially notable given that 89% of organisations expect to need additional cybersecurity staff to comply with NIS2.  IT部門のフルタイム従業員(FTE)に占める情報セキュリティ専任者の割合は4年連続で低下し、11.9%から11.1%になった。この減少は、サイバーセキュリティの職務、特に技術的な専門知識を必要とする職務の充足に苦労している組織が32%、中小企業が59%に上るという、採用上の課題を反映している可能性がある。89%の組織がNIS2に準拠するためにサイバーセキュリティ担当者の増員を必要としていることを考えると、この傾向は特に注目に値する。
New NIS2 sectors are comparable in cybersecurity spending to existing NIS Directive entities, with their investments largely focused on developing and maintaining baseline cybersecurity capabilities. Emerging areas, such as post-quantum cryptography, receive limited attention with only 4% of surveyed entities investing and 14% planning future investments.  新規のNIS2セクターは、既存のNIS指令事業体と同程度のサイバーセキュリティ支出を行っており、その投資は主に基本的なサイバーセキュリティ能力の開発と維持に集中している。耐量子暗号のような新分野への注目度は低く、調査対象事業体のわずか4%が投資し、14%が将来の投資を計画しているにすぎない。
The majority of organisations anticipate a one-off or permanent increase in their cybersecurity budgets for compliance with NIS 2. Notably, a substantial number of entities will not be able to ask for the required additional budget, a percentage that is especially high for SMEs (34%).   大半の事業体は、NIS 2に準拠するためにサイバーセキュリティ予算の単発的または恒久的な増加を見込んでいる。注目すべきは、相当数の事業体が必要な追加予算を要求できないことであり、その割合は特に中小企業(34%)で高い。 
90% of entities expect an increase in cyberattacks next year, in terms of volume, costliness or both. Despite that, 74% focus their cybersecurity preparedness efforts internally, with much lower participation in national or EU-level initiatives. This gap underscores a critical area for improvement, as effective cross-border cooperation in managing large-scale incidents can only be achieved at these higher levels.  事業体の90%が、来年はサイバー攻撃の量、コスト、またはその両方が増加すると予想している。にもかかわらず、74%はサイバーセキュリティ対策に社内で注力しており、国やEUレベルのイニシアティブへの参加はかなり低い。このギャップは、大規模なインシデントに対処するための効果的な国境を越えた協力は、これらのより高いレベルでしか達成できないため、改善すべき重要な領域であることを強調している。
Overall awareness among in-scope entities is encouraging, with 92% being aware of the general scope or specific provisions of the NIS 2 Directive. However, a notable percentage of entities in certain new NIS 2 sectors remain unaware of the Directive, suggesting a potential need for increased awareness campaigns by the national competent authorities.  対象事業体の全体的な認知度は高く、92%がNIS 2指令の一般的な範囲または特定の規定を知っている。しかし、特定の新しいNIS 2セクターの事業体では、依然としてこの指令を知らない事業体の割合が目立っており、各国の所轄官庁による認知度向上キャンペーンの潜在的な必要性を示唆している。
Entities in sectors already covered by NIS outperform those newly included under NIS 2 across various cybersecurity governance, risk, and compliance metrics. Similarly, entities in new NIS 2 sectors show lower engagement and higher non-participation rates in cybersecurity preparedness activities. This highlights the positive impact the NIS Directive has had on the sectors already in scope; and creates anticipation for the impact NIS 2 will have on the new sectors.  すでにNISの対象となっているセクターの事業体は、さまざまなサイバーセキュリティガバナンス、リスク、コンプライアンスの指標において、新たにNIS 2の対象となったセクターを上回っている。同様に、新たにNIS 2の対象となった事業体では、サイバーセキュリティ対策活動への参加率が低く、不参加率が高い。このことは、NIS指令がすでに対象となっているセクターにプラスの影響を与えていることを浮き彫りにしており、NIS 2が新たなセクターに与える影響への期待を高めている。
Through the years, the series of the NIS Investments report provide a rich historical dataset which, building on this year’s foundation, will allow us to gain insights into the effect of NIS 2 on new entities within its scope.   長年にわたり、NIS投資報告書のシリーズは豊富な歴史的データセットを提供しており、今年の基礎の上に、NIS 2がその範囲内の新たな事業体に与える影響についての洞察を得ることができるだろう。 
Further Information  詳細情報 
NIS Investments Report 2024  NIS投資報告書2024
NIS Investments Report 2023 — ENISA  NIS投資報告書2023 - ENISA
NIS Investments 2022 — ENISA  NIS投資報告書2022 - ENISA
Cybersecurity Investment: Spotlight on Vulnerability Management — ENISA  サイバーセキュリティ投資: 脆弱性管理に注目 - ENISA

 

・2024.11.21 NIS Investments 2024

NIS Investments 2024 NIS投資 2024
This report aims at providing policy makers with evidence to assess the effectiveness of the existing EU cybersecurity framework specifically through data on how the NIS Directive has influenced cybersecurity investments and overall maturity of organisations in scope. As 2024 is the year of the transposition of NIS 2, this report also intends to capture a pre-implementation snapshot of the relevant metrics for new sectors and entities in scope of NIS 2 to help future assessments of the impact of NIS 2. This fifth iteration of the report presents data from 1350 organisations from all 27 EU Member States covering all NIS 2 sectors of high criticality, as well as the manufacturing sector. 本報告書の目的は、NIS指令が対象組織のサイバーセキュリティ投資と全体的な成熟度にどのような影響を与えたかに関するデータを通じて、特に政策立案者に既存のEUサイバーセキュリティの枠組みの有効性を評価するための証拠を提供することである。2024年はNIS 2の移行の年であるため、本レポートは、NIS 2の適用対象となる新たなセクターや事業体に関する関連指標の導入前のスナップショットを取得し、NIS 2の影響に関する将来のアセスメントに役立てることも意図している。 本報告書の第5版では、NIS 2のすべての重要度の高いセクターと製造事業者を対象に、EU全27加盟国の1350組織のデータを紹介している。

 

・[PDF]

20241125-01614

 

目次...

EXECUTIVE SUMMARY エグゼクティブサマリー
1. INTRODUCTION 1. 序文
2. INFORMATION SECURITY DYNAMICS AND OUTLOOK 2. 情報セキュリティの動態と展望
2.1 INFORMATION SECURITY SPENDING 2.1 情報セキュリティ支出
2.1.1 Forecast spending on information security and risk management 2.1.1 情報セキュリティとリスクマネジメントへの支出の見通し
2.1.2 Information security spending 2.1.2 情報セキュリティ支出
2.2 CYBERSECURITY PRIORITIES 2.2 サイバーセキュリティの優先事項
2.2.1 Investment Priorities 2.2.1 投資の優先順位
2.2.2 Third-Party Cyber Risk Management 2.2.2 サードパーティサイバーリスク管理
2.3 CYBERSECURITY WORKFORCE CHALLENGES 2.3 サイバーセキュリティ人材の課題
2.3.1 Information security staffing 2.3.1 情報セキュリティ人材の確保
2.3.2 Talent scarcity and impacts 2.3.2 人材不足とその影響
2.4 IMPACT OF ARTIFICIAL INTELLIGENCE (AI) 2.4 人工知能(AI)の影響
2.4.1 Cybersecurity of AI and AI for cybersecurity 2.4.1 AIのサイバーセキュリティとサイバーセキュリティのためのAI
2.5 CYBERSECURITY INCIDENTS AND VULNERABILITIES 2.5 サイバーセキュリティのインシデントと脆弱性
2.5.1 Cybersecurity incidents 2.5.1 サイバーセキュリティ事件
2.5.2 Vulnerabilities 2.5.2 脆弱性
3. INFORMATION SECURITY INVESTMENTS 3. 情報セキュリティ投資
3.1 METHODOLOGY 3.1 方法論
3.2 SPENDING ON INFORMATION SECURITY 3.2 情報セキュリティへの支出
3.2.1 IT spending 3.2.1 IT投資
3.2.2 IS spending 3.2.2 IS投資
3.2.3 IS spending as a share of IT spending 3.2.3 IT支出に占めるIS支出の割合
3.2.4 Investment in post-quantum cryptography (PQC) 3.2.4 耐量子暗号(PQC)への投資
3.3 INFORMATION SECURITY AND NIS STAFFING 3.3 情報セキュリティとNISの人員配置
3.3.1 IT FTEs 3.3.1 IT FTE
3.3.2 IS FTEs 3.3.2 IS FTE
3.3.3 IS FTEs as a share of IT FTEs 3.3.3 IT FTEに占めるIS FTEの割合
3.3.4 Security domains with difficulties in hiring 3.3.4 採用が困難なセキュリティ領域
3.3.5 Staffing evolution to comply with the DORA 3.3.5 DORAに対応するための人員配置の変遷
3.3.6 Staffing evolution to comply with the cybersecurity network code for electricity 3.3.6 電力のサイバーセキュリティネットワークコードに準拠するための人員配置の変遷
4. NIS 2 DIRECTIVE READINESS 4. NIS 2指令の準備
4.1 NIS 2 AWARENESS 4.1 NIS 2に対する認識
4.2 MOST CHALLENGING NIS 2 REQUIREMENTS 4.2 最も困難なNIS 2要件
4.3 NIS 2 BUDGET ARRANGEMENTS 4.3 NIS 2予算の取り決め
4.4 STAFFING EVOLUTION TO COMPLY WITH NIS2 4.4 NIS2に準拠するためのスタッフの進化
5. CYBERSECURITY GOVERNANCE AND RISK MANAGEMENT 5. サイバーセキュリティガバナンスとリスクマネジメント
5.1 LEADERSHIP INVOLVEMENT IN CYBERSECURITY 5.1 リーダーシップによるサイバーセキュリティへの関与
5.2 CYBERSECURITY RISK MANAGEMENT FOR THIRD PARTIES 5.2 サードパーティのサイバーセキュリティリスクマネジメント
5.3 IT/OT PRODUCTS SECURITY 5.3 IT/OT製品のセキュリティ
5.4 PERCEIVED CYBER-RISK MANAGEMENT MATURITY 5.4 認知されたサイバーリスクマネジメントの成熟度
5.5 PERCEIVED NETWORK AND INFORMATION SECURITY MATURITY 5.5 ネットワークと情報セキュリティの成熟度の認識
5.6 INFORMATION SHARING 5.6 情報共有
5.7 CYBER RESILIENCE ACT (CRA) 5.7 サイバーレジリエンス法(CRA)
5.8 EU CYBERSECURITY CERTIFICATION 5.8 EUサイバーセキュリティ認証
6. CYBER ATTACK EXPECTATIONS AND PREPAREDNESS 6. サイバー攻撃に対する期待と準備
6.1 CYBER ATTACK EXPECTIONS 6.1 サイバー攻撃への期待
6.2 PERCEIVED CYBER-ATTACK DETECTION AND RESPONCE CAPABILITY MATURITY 6.2 サイバー攻撃の検知と対応能力の成熟度の認識
6.3 PARTICIPATION TO CYBERSECURITY PREPAREDNESS INITIATIVES 6.3 サイバーセキュリティ対策への参加
7. SECTORAL ANALYSIS: DIGITAL INFRASTRUCTURE 7. セクター別分析:デジタルインフラ
7.1 DIGITAL INFRASTRUCTURE SERVICES 7.1 デジタルインフラサービス
7.2 TELECOMMUNICATION SERVICES 7.2 電気通信サービス
7.3 SCOPE OF OPERATIONS 7.3 業務範囲
7.4 INCIDENT NOTIFICATION OBLIGATIONS 7.4 インシデント通知義務
7.5 CYBERSECURITY FRAMEWORKS 7.5 サイバーセキュリティの枠組み
7.6 CYBERSECURITY SERVICES 7.6 サイバーセキュリティサービス
7.7 HIGH RISK VENDORS 7.7 リスクの高いベンダー
8. SECTORAL ANALYSIS: SPACE 8. セクター別分析:宇宙
8.1 SPACE ENTITIES PROFILE 8.1 宇宙事業体のプロフィール
8.2 COTS (COMMERCIAL OFF THE SHELF) USAGE 8.2 COT(市販品)の使用状況
8.3 SECURITY OF COTS PRODUCTS 8.3 市販製品のセキュリティ
8.4 USE OF CLOUD SERVICES 8.4 クラウドサービスの利用
8.5 USE OF 3RD PARTY SUPPLIERS 8.5 第三者サプライヤーの利用
8.6 CYBERSECURITY POSTURE STRENGTHENING 8.6 サイバーセキュリティ態勢の強化
9. COMPARING SMES AND LARGE ENTERPRISES 9. 中小企業と大企業の比較
10.CONCLUSIONS 10.結論
11.ANNEX A – DEMOGRAPHICS 11.附属書 A - 人口統計
12.ANNEX B – DEFINITIONS 12.附属書 B - 定義
12.1MEDIAN AND AVERAGE DEFINITIONS 12.1 中央値と平均値の定義
12.2CAGR DEFINITION 12.2 CAGRの定義
12.3SME DEFINITION 12.3 SMEの定義
12.4MAPPING OF ECSF PROFILES TO SECURITY DOMAINS 12.4 セキュリティ・ドメインへのECSFプロファイルのマッピング

 

エグゼクティブサマリーと序文...

EXECUTIVE SUMMARY  エグゼクティブサマリー 
This report aims at providing policy makers with evidence to assess the effectiveness of the existing EU cybersecurity framework specifically through data on how the NIS Directive has influenced cybersecurity investments and overall maturity of organisations in scope. As 2024 is the year of the transposition of NIS 2, this report also intends to capture a pre-implementation snapshot of the relevant metrics for new sectors and entities in scope of NIS 2 to help future assessments of the impact of NIS 2.  本報告書の目的は、NIS指令が対象組織のサイバーセキュリティ投資と全体的な成熟度にどのような影響を与えたかに関するデータを通じて、特に政策立案者に既存のEUサイバーセキュリティフレームワークの有効性を評価するための証拠を提供することである。2024年はNIS 2の移行の年であるため、本報告書は、NIS 2の適用対象となる新たなセクターや事業体に関する関連指標の実施前スナップショットを取得し、NIS 2の影響に関する将来のアセスメントに役立てることも意図している。
This fifth iteration of the report presents data from 1350 organisations from all 27 EU Member States covering all NIS 2 sectors of high criticality, as well as the manufacturing sector. As the past couple of years have been characterised by a proliferation of the EU cybersecurity policy framework with the introduction of key horizontal (e.g. CRA) and sectorial (e.g. DORA, NCCS) legislation, the report provides insights into the readiness of entities to comply with these new requirements, as well as into the challenges they face. Moreover, a sectorial deep dive was conducted for entities in the Digital infrastructure and Space sectors. Key findings from the report include: 本報告書の5回目となる今回は、製造事業者に加え、重要度の高いNIS 2の全分野をカバーするEU加盟国全27カ国の1350組織のデータを紹介する。ここ数年、EUのサイバーセキュリティ政策の枠組みは、重要な水平法(CRAなど)および分野別法(DORA、NCCSなど)の序文が導入され、その拡散が特徴となっている、 本報告書は、事業体がこれらの新たな要件に準拠するための準備態勢や直面する課題についての洞察を提供している。さらに、デジタルインフラと宇宙分野の事業体について、分野別の深堀りを行った。本レポートの主な調査結果は以下の通りである:
• Organisations earmark 9,0% of their IT investments for Information Security, a significant increase of 1.9 percentage points compared to last year.  - 組織はIT投資の9.0%を情報セキュリティに充てており、昨年と比較して1.9ポイントの大幅増となった。
• Organisations allocate 11,1% of their IT FTEs for information security a decrease of 0,8% compared to last year, despite the overall increase in cybersecurity spending and the fourth year in a row where a decrease in this metric is observed.  - サイバーセキュリティへの支出が全体的に増加しているにもかかわらず、組織はIT FTE数の11.1%を情報セキュリティに割り当てており、昨年と比較して0.8%減少している。
• 89% of organisations will require more cybersecurity staff to comply with NIS 2, primarily in the cybersecurity architecture and engineering (46%) and cybersecurity operations (40%) domains. - 組織の89%は、NIS 2に準拠するために、サイバーセキュリティ・アーキテクチャとエンジニアリング(46%)とサイバーセキュリティ・オペレーション(40%)を中心に、より多くのサイバーセキュリティ・スタッフを必要としている。
• Organisations will also need additional FTEs to comply with other horizontal (CRA - 85%) or vertical (DORA - 84%; NCCS - 81%) cybersecurity legislation.  - 組織はまた、他の水平的(CRA - 85%)または垂直的(DORA - 84%、NCCS - 81%)サイバーセキュリティ法制に準拠するために、FTEを追加する必要がある。
• Most organisations anticipate a one-off or permanent increase in their cybersecurity budgets for compliance with NIS 2 though a substantial number of entities will not be able to ask for the required additional budget, a percentage that is especially high for SMEs (34%).  - ほとんどの事業体は、NIS 2に準拠するためにサイバーセキュリティ予算が単発的または恒久的に増加すると見込んでいるが、必要な追加予算を要求できない事業体も相当数あり、その割合は特に中小企業で高い(34%)。
• 51% of surveyed organisations reported that their leadership participates in dedicated cybersecurity training a 2% increase compared to last year. - 調査対象となった組織の51%が、自社のリーダーシップがサイバーセキュリティの専門トレーニングに参加していると回答した。
• Sectors previously covered by NIS reported higher perceived maturity in cyberrisk management (6.8 vs. 6.2), network and information security arrangements (7 vs. 6.3), and cyber-attack detection and response capability (7.1 vs. 6.3) compared to new sectors.  - 以前NISの対象であったセクターは、新しいセクターと比較して、サイバーリスク管理(6.8対6.2)、ネットワークと情報セキュリティの取り決め(7対6.3)、サイバー攻撃の検知と対応能力(7.1対6.3)において、より高い成熟度を認識していると報告した。
• Sectors newly covered by the NIS 2 Directive in most cases lag behind sectors already covered by it in areas such as participation in information-sharing initiatives (60% non-participation), participation in cybersecurity preparedness initiatives, controls to establish trust in supply chain (20% implicitly trust it).  - 情報共有イニシアティブへの参加(60%が不参加)、サイバーセキュリティ準備イニシアティブへの参加、サプライチェーンにおける信頼確立のための管理(20%が暗黙のうちに信頼している)といった分野では、ほとんどの場合、新たにNIS 2指令の対象となったセクターは、すでに対象となったセクターに遅れをとっている。
• Only 4% of organisations have already invested in Post-Quantum Cryptography, while 68% of respondents indicated that they will not invest in QSC.  - 耐量子暗号に投資済みの組織はわずか4%で、回答者の68%は耐量子暗号には投資しないと回答している。
• 90% of entities expect an increase in cyberattacks in the coming year. Despite this, participation in cybersecurity preparedness initiatives is predominantly internal, with 74% of organisations engaging in such activities within their own companies. - 事業体の90%が、来年はサイバー攻撃が増加すると予想している。にもかかわらず、サイバーセキュリティ対策への参加は主に社内で行われており、74%の組織が社内でそのような活動に従事している。
1. INTRODUCTION 1. 序文
This report is the fifth edition of the NIS Investments study published by the ENISA to understand how the Directive concerning measures for a high common level of security of network and information systems across the Union (NIS Directive) 1 has impacted the cybersecurity investments, cybersecurity strategy and cybersecurity posture of organisations in scope, and what is the respective projected impact of the Directive on measures for a high common level of cybersecurity across the Union (NIS 2 Directive) 2 which replaced the NIS Directive as of October 2024.  本報告書は、ENISAが発表したNIS投資調査の第5版であり、欧州連合全体におけるネットワークと情報システムの高度な共通レベルのセキュリティ対策に関する指令(NIS指令)1が、対象組織のサイバーセキュリティ投資、サイバーセキュリティ戦略、サイバーセキュリティ態勢にどのような影響を与えたか、また、2024年10月時点でNIS指令に代わる欧州連合全体における高度な共通レベルのサイバーセキュリティ対策に関する指令(NIS 2指令)2が、それぞれどのような影響を及ぼすと予測されるかを把握することを目的としている。
The NIS 2 Directive which, during the time of this study, is being transposed across the EU (European Union), represents a significant update to the previous NIS Directive. It expands the scope of the NIS Directive to cover a wider range of organisations and imposes more stringent cybersecurity requirements. These changes are likely to have a significant impact on how entities in scope allocate their cybersecurity budgets and manage their risks.  本調査の期間中、EU(欧州連合)全域に適用されるNIS 2指令は、従来のNIS指令の大幅な更新を意味する。NIS指令の適用範囲が拡大され、より広範な組織が対象となり、より厳しいサイバーセキュリティ要件が課される。これらの変更は、対象事業体のサイバーセキュリティ予算の配分やリスクマネジメントに大きな影響を与える可能性が高い。
As the implementation of the NIS 2 Directive is under progress, it will be essential to monitor its effectiveness and assess its impact on the cybersecurity posture of organisations across the EU. The insights provided in this report can serve as a valuable baseline for future analysis and inform policy decisions related to cybersecurity.  NIS 2指令の施行は現在進行中であり、その有効性を監視し、EU全域の組織のサイバーセキュリティ態勢に与える影響を評価することが不可欠である。本報告書でプロバイダが提供する洞察は、今後の分析のための貴重なベースラインとして役立ち、サイバーセキュリティに関連する政策決定に情報を提供することができる。
To ensure representative results, a total of 1,350 organisations were surveyed across 27 EU Member States, hence 50 organisations per Member State. Additional information on the demographics of the survey is available in Annex A. This report collects data from entities already in scope of the NIS Directive as well as entities that will be in scope of NIS 2. The terms “organisations” or “entities” will be used throughout chapters 3 – 9 to refer to surveyed entities.  代表者を確実にするため、EU加盟国27カ国で合計1,350団体、つまり1加盟国あたり50団体を調査した。本報告書では、すでにNIS指令の適用範囲にある事業体およびNIS 2の適用範囲となる事業体からデータを収集している。第3章から第9章を通じて、調査対象事業体を指す場合は「組織」または「事業体」という用語を使用する。
For this study, entities from all sectors of high criticality (listed in Annex I of NIS 2 Directive) and the manufacturing sector (listed in Annex II of NIS 2 Directive) have been surveyed. This year’s report also provides a more in-depth analysis for entities in the Digital Infrastructure and Space sectors.  本調査では、臨界性の高いすべてのセクター(NIS 2指令の附属書Iに記載)と製造セクター(NIS 2指令の附属書IIに記載)の事業体を調査した。今年の報告書では、デジタルインフラと宇宙分野の事業体についても、より詳細な分析を行っている。
The target audience of this report is EU and national policymakers. It is part of a series designed to produce historical datasets to track the development of key indicators – such as information security (IS) budgets – over time. These reports also assess how policy influences these indicators, providing insights and evidence to inform policy decisions. This work is part of ENISA’s Cybersecurity Policy Observatory (CSPO) activities. 本報告書の対象読者はEUおよび各国の政策立案者である。本報告書は、情報セキュリティ(IS)予算などの主要指標の経年変化を追跡するためのヒストリカル・データセットを作成することを目的としたシリーズの一部である。また、これらの報告書では、政策がこれらの指標にどのような影響を与えるかをアセスメントし、政策決定に役立つ洞察とエビデンスを提供している。この作業は、ENISAのサイバーセキュリティ政策観測所(CSPO)活動の一環である。

 

・2023.11.16 NIS Investments Report 2023 [PDF]

・2022.11.23 NIS Investments 2022 [PDF]

・2021.11.17 NIS Investments Report 2021 [PDF]

・2020.11.11 NIS Investments Report 2020 [PDF]

 

NIS Investments 2024 NIS投資 2024
This report aims at providing policy makers with evidence to assess the effectiveness of the existing EU cybersecurity framework specifically through data on how the NIS Directive has influenced cybersecurity investments and overall maturity of organisations in scope. As 2024 is the year of the transposition of NIS 2, this report also intends to capture a pre-implementation snapshot of the relevant metrics for new sectors and entities in scope of NIS 2 to help future assessments of the impact of NIS 2. This fifth iteration of the report presents data from 1350 organisations from all 27 EU Member States covering all NIS 2 sectors of high criticality, as well as the manufacturing sector. 本報告書の目的は、NIS指令が対象組織のサイバーセキュリティ投資と全体的な成熟度にどのような影響を与えたかに関するデータを通じて、特に政策立案者に既存のEUサイバーセキュリティの枠組みの有効性を評価するための証拠を提供することである。2024年はNIS 2の移行の年であるため、本レポートは、NIS 2の適用対象となる新たなセクターや事業体に関する関連指標の導入前のスナップショットを取得し、NIS 2の影響に関する将来のアセスメントに役立てることも意図している。 本報告書の第5版では、NIS 2のすべての重要度の高いセクターと製造事業者を対象に、EU全27加盟国の1350組織のデータを紹介している。
NIS Investments Report 2023 NIS投資報告書2023
This report aims at providing policy makers with evidence to assess the effectiveness of the existing EU cybersecurity framework specifically through data on how Operators of Essential Services (OES) and Digital Service Providers (DSP) identified in the European Union’s directive on security of network and information systems (NIS Directive) invest their cybersecurity budgets and how the NIS Directive has influenced this investment. This fourth iteration of the report presents data from 1,080 OES/DSPs from all 27 EU Member States. 本報告書は、ネットワークと情報システムのセキュリティに関する欧州連合指令(NIS指令)で特定された Operators of Essential Services(OES)およびDigital Service Providers(DSP)がサイバーセキュリティ予算をどのように投資しているか、またNIS指令がこの投資にどのような影響を与えたかに関するデータを通じて、政策立案者に既存のEUサイバーセキュリティの枠組みの有効性を評価するためのエビデンスを提供することを目的としている。本報告書の第4版では、EU加盟国全27カ国の1,080のOES/DSPのデータを紹介している。
NIS Investments 2022 2022年のNIS投資
This report marks the third iteration of ENISA's NIS Investments report, which collects data on how Operators of Essential Services (OES) and Digital Service Providers (DSP) identified in the European Union’s directive on security of network and information systems (NIS Directive) invest their cybersecurity budgets and how this investment has been influenced by the NIS Directive. In addition, global cybersecurity market trends are presented through Gartner security data and insights observed globally and in the EU, in order to provide a better understanding of the relevant dynamics. This year's report presents data collected from 1080 OES/DSPs from all 27 EU Member States and can now provide a historical dataset that allows for year-on-year comparison and identification of trends. Moreover, sectorial deep dives were conducted for the Energy and Health sectors. Overall, a number of absolute values, such as IT and Information Security (IS) budgets or % of IT budgets spent on IS seem to be significantly lower compared to last year. This can be attributed to the composition of the survey sample and to the higher representation of OES from the Energy and Health sectors due to the sectorial deep dives, but also to the macroeconomic environment, such as the COVID-19 impact on the respective budgets. 本報告書は、欧州連合(EU)のネットワークと情報システムのセキュリティに関する指令(NIS指令)で特定されたOES(Operators of Essential Services)とDSP(Digital Service Providers)がサイバーセキュリティ予算をどのように投資しているか、またこの投資がNIS指令の影響をどのように受けているかに関するデータを収集したENISAのNIS投資報告書の3回目の改訂版である。さらに、関連するダイナミクスをより深く理解するために、ガートナーのセキュリティデータと世界およびEUで観察された洞察を通じて、世界のサイバーセキュリティ市場の動向を紹介している。今年の報告書では、EU全27加盟国の1080のOES/DSPから収集したデータを紹介しており、前年比やトレンドの特定を可能にする過去のデータセットを提供できるようになった。さらに、エネルギー分野と保健分野については、分野別の深堀りが行われた。全体として、ITおよび情報セキュリティ(IS)予算や、ISに費やされるIT予算の割合など、絶対的な数値の多くが、昨年と比較して大幅に減少しているようだ。これは、調査サンプルの構成や、部門別ディープダイブによりエネルギー部門と保健医療部門のOESの割合が高くなったことに起因すると考えられるが、COVID-19が各予算に与えた影響などマクロ経済環境も影響している。
NIS Investments Report 2021 2021年NIS投資報告書
Following the 2020 NIS Investment publication, this report covers all 27 EU Member States and offering additional insights into the allocation of NIS budgets of OES/DSP, the economic impact of cybersecurity incidents and the organisation of cybersecurity in these operators. In addition, global cybersecurity market trends are presented through Gartner security data and insights observed globally and in the EU, in order to provide a better understanding of the relevant dynamics. In this second edition, additional and complementary questions were asked to the surveyed organisations. Overall, 48.9 % of surveyed organisations acknowledge a very significant or significant impact of the NIS Directive on their information security (IS). 2020年のNIS投資報告書に続き、本報告書ではEU加盟国27カ国すべてをカバーし、OES/DSPのNIS予算の配分、サイバーセキュリティインシデントが及ぼす経済的影響、これらの事業者のサイバーセキュリティ組織に関するさらなる洞察を提供する。さらに、関連するダイナミクスをよりよく理解するために、ガートナーのセキュリティデータと世界およびEUで観察された洞察を通じて、世界のサイバーセキュリティ市場の動向を示している。この第2版では、調査対象組織に対して追加的・補足的な質問を行った。全体として、調査対象組織の48.9%が、NIS指令が自社の情報セキュリティ(IS)に与える影響が非常に大きい、または大きいと認識している。
NIS Investments Report 2020 NIS投資報告書2020
Four years after the NIS Directive entered into force and two years after the transposition by Member States into their national laws, this report presents the findings of a survey of 251 organisations across five EU Member States (France, Germany, Italy, Spain and Poland) with regards to NIS investments. The report depicts and analyses how OES and DSPs spend their information security budget and provides indications as to how this spending has been influenced by the introduction of the NIS Directive. The results of this NIS survey were correlated with Gartner security data and insights observed globally and in the EU in order to better understand the current NIS Directive adoption dynamics and impact on related investments. NIS指令の発効から4年、加盟国による国内法への移管から2年を経て、本報告書はEU加盟5カ国(フランス、ドイツ、イタリア、スペイン、ポーランド)の251組織を対象に実施したNIS投資に関する調査結果をまとめたものである。報告書は、OESとDSPが情報セキュリティ予算をどのように使っているかを描き、分析し、この支出がNIS指令の序文によってどのような影響を受けたかを示している。このNIS調査の結果は、現在のNIS指令導入の動きと関連投資への影響をよりよく理解するために、ガートナーのセキュリティデータおよび世界とEUで観察された洞察と関連づけられた。

 

 

 

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.11.18 ENISA EUにおけるサイバーセキュリティ投資 2023

・2022.11.25 ENISA EUにおけるサイバーセキュリティ投資 2022

・2021.11.26 ENISA NIS投資動向報告書2021 at 2021.11.17

 

| | Comments (0)

米国 FBI 韓国当局等と連携し、ランサムウェア「Phobos」の管理者を刑事告発し、身柄を米国に...

こんにちは、丸山満彦です。

米国の司法省が、ランサムウェア「Phobos」の販売、配布、運営を管理したとされるロシア国籍のEvgenii Ptitsyn(42)に対する刑事告発を公開していますね...Ptitsynは韓国から身柄を引き渡された後、11月4日にメリーランド州連邦地方裁判所に出廷したようですね...

今回の事案については、韓国、英国、日本、スペイン、ベルギー、ポーランド、チェコ共和国、フランス、ルーマニアの国際司法・法執行パートナー、欧州刑事警察機構、米国国防総省サイバー犯罪センターが協力したようです...

このような国際捜査において、日本の警察の関与の割合が増えていますよね...

大統領選が終わり、共和党政権に変わりますが、おそらくこのようなサイバー犯罪に対する国際連携は続くのだろうとおもいます...

 

U.S. Department of Justice - Office of Public Affairs

・2023.11.18 Phobos Ransomware Administrator Extradited from South Korea to Face Cybercrime Charges

 

1_20241124232001

 

 


 

 

まるちゃんの情報セキュリティ気まぐれ日記

Phobos

・2021.09.05 米国 CISA FBI 休日と週末のためのランサムウェアの認識

 

 

| | Comments (0)

欧州 サイバーレジリエンス法、官報に掲載 (2024.11.20)

こんにちは、丸山満彦です。

脆弱性報告義務、IoTセキュリティの認証制度とか話題のサイバーレジリエンス法ですが、2024.10.10に欧州理事会で採択され、2024.11.20にEur-Lexに掲載されたので、20日後の2024.12.10に発効ということですかね...

全面適用は36ヶ月後なので、2027.12.10ということになりますね...ただし、脆弱性報告義務は21ヶ月後ですから、2026.09.20ということですかね...

 

EUR - Lex

・2024.11.20 Regulation (EU) 2024/2847 of the European Parliament and of the Council of 23 October 2024 on horizontal cybersecurity requirements for products with digital elements and amending Regulations (EU) No 168/2013 and (EU) No 2019/1020 and Directive (EU) 2020/1828 (Cyber Resilience Act) (Text with EEA relevance)
 

・EN [HTEML][PDF]

20241124-213140

 

CHAPTER I GENERAL PROVISIONS 第1章 一般規定
Article 1 Subject matter 第1条 対象
Article 2 Scope 第2条 適用範囲
Article 3 Definitions 第3条 定義
Article 4 Free movement 第4条 自由な移動
Article 5 Procurement or use of products with digital elements 第5条 デジタル要素を含む製品の調達または使用
Article 6 Requirements for products with digital elements 第6条 デジタル要素を含む製品の要件
Article 7 Important products with digital elements 第7条 デジタル要素を含む重要な製品
Article 8 Critical products with digital elements 第8条 デジタル要素を含む重要製品
Article 9 Stakeholder consultation 第9条 利害関係者の協議
Article 10 Enhancing skills in a cyber resilient digital environment 第10条 サイバーレジリエンスデジタル環境における技能の向上
Article 11 General product safety 第11条 一般的な製品安全
Article 12 High-risk AI systems 第12条 ハイリスクAIシステム
CHAPTER II OBLIGATIONS OF ECONOMIC OPERATORS AND PROVISIONS IN RELATION TO FREE AND OPEN-SOURCE SOFTWARE 第2章 経済的事業者の義務およびフリーソフトウェアおよびオープンソースソフトウェアに関する規定
Article 13 Obligations of manufacturers 第13条 製造事業者の義務
Article 14 Reporting obligations of manufacturers 第14条 製造事業者の報告義務
Article 15 Voluntary reporting 第15条 自主報告
Article 16 Establishment of a single reporting platform 第16条 単一通報プラットフォームの設立
Article 17 Other provisions related to reporting 第17条 報告に関するその他の規定
Article 18 Authorised representatives 第18条 認定代表者
Article 19 Obligations of importers 第19条 輸入事業者の義務
Article 20 Obligations of distributors 第20条 頒布事業者の義務
Article 21 Cases in which obligations of manufacturers apply to importers and distributors 第21条 製造事業者の義務が輸入事業者及び頒布事業者に適用される場合
Article 22 Other cases in which obligations of manufacturers apply 第22条 製造事業者の義務が適用されるその他の場合
Article 23 Identification of economic operators 第23条 経済的事業者の特定
Article 24 Obligations of open-source software stewards 第24条 オープンソースソフトウェアのスチュワードの義務
Article 25 Security attestation of free and open-source software 第25条 フリー・オープンソースソフトウェアのセキュリティ認証
Article 26 Guidance 第26条 ガイダンス
CHAPTER III CONFORMITY OF THE PRODUCT WITH DIGITAL ELEMENTS 第3章 デジタル要素を含む製品の適合性
Article 27 Presumption of conformity 第27条 適合の推定
Article 28 EU declaration of conformity 第28条 EU適合宣言
Article 29 General principles of the CE marking 第29条 CEマーキングの一般原則
Article 30 Rules and conditions for affixing the CE marking 第30条 CEマーキングの貼付に関する規則及び条件
Article 31 Technical documentation 第31条 技術文書
Article 32 Conformity assessment procedures for products with digital elements 第32条 デジタル要素を含む製品の適合性評価手続き
Article 33 Support measures for microenterprises and small and medium-sized enterprises, including start-ups 第33条 新興企業を含む零細企業及び中小企業に対する支援措置
CHAPTER IV NOTIFICATION OF CONFORMITY ASSESSMENT BODIES 第4章 適合性評価団体の届出
Article 35 Notification 第35条 届出
Article 36 Notifying authorities 第36条 認定機関
Article 37 Requirements relating to notifying authorities 第37条 認定機関に関する要件
Article 38 Information obligation on notifying authorities 第38条 認定機関の情報義務
Article 39 Requirements relating to notified bodies 第39条 被認証団体に関する要求事項
Article 40 Presumption of conformity of notified bodies 第40条 被認定団体の適合性の推定
Article 41 Subsidiaries of and subcontracting by notified bodies 第41条 被認定団体の子会社及び被認定団体による下請け業務
Article 42 Application for notification 第42条 届出の申請
Article 43 Notification procedure 第43条 通知手続き
Article 44 Identification numbers and lists of notified bodies 第44条 被認定団体の識別番号及びリスト
Article 45 Changes to notifications 第45条 届出の変更
Article 46 Challenge of the competence of notified bodies 第46条 被認定団体の権限の挑戦
Article 47 Operational obligations of notified bodies 第47条 被認定団体の運営上の義務
Article 48 Appeal against decisions of notified bodies 第48条 被認定団体の決定に対する異議申し立て
Article 49 Information obligation on notified bodies 第49条 被認証団体に対する情報義務
Article 50 Exchange of experience 第50条 経験の交換
Article 51 Coordination of notified bodies 第51条 被認定団体の調整
CHAPTER V MARKET SURVEILLANCE AND ENFORCEMENT 第5章 市場監視及び執行
Article 52 Market surveillance and control of products with digital elements in the Union market 第52条 組合市場におけるデジタル要素を含む製品の市場監視および管理
Article 53 Access to data and documentation 第53条 データおよび文書へのアクセス
Article 54 Procedure at national level concerning products with digital elements presenting a significant cybersecurity risk 第54条 重大なサイバーセキュリティリスクをもたらすデジタル要素を含む製品に関する国レベルでの手続
Article 55 Union safeguard procedure 第55条 連邦セーフガード手続
Article 56 Procedure at Union level concerning products with digital elements presenting a significant cybersecurity risk 第56条 サイバーセキュリティ上の重大なリスクをもたらすデジタル要素を含む製品に関する欧州連合レベルでの手続
Article 57 Compliant products with digital elements which present a significant cybersecurity risk 第57条 重大なサイバーセキュリティリスクをもたらすデジタル要素を含む製品の準拠
Article 58 Formal non-compliance 第58条 正式な不遵守
Article 59 Joint activities of market surveillance authorities 第59条 市場監視当局の共同活動
Article 60 Sweeps 第60条 掃討
CHAPTER VI DELEGATED POWERS AND COMMITTEE PROCEDURE 第6章 委任された権限および委員会の手続き
Article 61 Exercise of the delegation 第61条 委任の行使
Article 62 Committee procedure 第62条 委員会の手続き
CHAPTER VII CONFIDENTIALITY AND PENALTIES 第7章 守秘義務と罰則
Article 63 Confidentiality 第63条 守秘義務
Article 64 Penalties 第64条 罰則
Article 65 Representative actions 第65条 代表者行動
CHAPTER VIII TRANSITIONAL AND FINAL PROVISIONS 第8章 経過措置および最終規定
Article 66 Amendment to Regulation (EU) 2019/1020 第66条 規則(EU)2019/1020の改正
Article 67 Amendment to Directive (EU) 2020/1828 第67条 指令(EU)2020/1828の改正
Article 68 Amendment to Regulation (EU) No 168/2013 第68条 規則(EU)No 168/2013の改正
Article 69 Transitional provisions 第69条 経過規定
Article 70 Evaluation and review 第70条 評価および審査
Article 71 Entry into force and application 第71条 発効及び適用
ANNEX 附属書
ANNEX I ESSENTIAL CYBERSECURITY REQUIREMENTS 附属書 I サイバーセキュリティに関する必須要件
Part I Cybersecurity requirements relating to the properties of products with digital elements 第 I 部 デジタル要素を含む製品の特性に関するサイバーセキュリティ要件
Part II Vulnerability handling requirements 第 II 部 脆弱性ハンドリング要件
ANNEX II INFORMATION AND INSTRUCTIONS TO THE USER 附属書 II  使用者に対する情報及び指示
ANNEX III IMPORTANT PRODUCTS WITH DIGITAL ELEMENTS 附属書 III  デジタル要素を含む重要な製品
ANNEX IV CRITICAL PRODUCTS WITH DIGITAL ELEMENTS 附属書 IV デジタル要素を含む重要製品
ANNEX VI SIMPLIFIED EU DECLARATION OF CONFORMITY 附属書 VI 簡易 EU 適合宣言書
ANNEX VII CONTENT OF THE TECHNICAL DOCUMENTATION 附属書 VII 技術文書の内容
ANNEX VIII CONFORMITY ASSESSMENT PROCEDURES 附属書 VIII 適合性評価手順
Part I Conformity assessment procedure based on internal control (based on module A) 第 I 部 内部統制に基づく適合性評価手順(モジュール A に基づく)
Part II EU-type examination (based on module B) 第 Ⅱ 部 EUタイプ審査(モジュールBに基づく)
Part III Conformity to type based on internal production control (based on module C) 第 III 部 内部製造管理に基づく型式への適合(モジュール C に基づく)
Part IV Conformity based on full quality assurance (based on module H) 第 IV 部 完全な品質保証に基づく適合性(モジュール H に基づく)

 

全文の対比は、こちら...

 

 

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

 

サイバーレジリエンス法、セッキュリティ認証... 

・2024.11.09 ドイツ 連邦セキュリティ室 (BSI) 意見募集 TR-03183: 製造者及び製品に対するサイバーレジリエンス要件(一般要求事項、SBOM、脆弱性報告)

・2024.10.12 欧州理事会 サイバーレジリエンス法を採択 (2024.10.10)


・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2024.02.02 欧州委員会 サイバーセキュリティ認証制度 (EUCC) を採択

・2024.01.17 欧州 欧州議会の投票にかけられるサイバーレジリエンス法案 (Cyber Resilience Act)

・2023.12.04 欧州理事会、欧州議会がサイバーレジリエンス法について政治的合意

・2023.05.31 ENISA 新技術に対応したEUサイバーセキュリティ認証の実現可能性を探る

・2023.03.21 ENISA サイバーセキュリティ認証のウェブページを開設

・2023.03.01 IPA 欧州規格 ETSI EN 303 645 V2.1.1 (2020-06)の翻訳の公開

・2023.02.02 ドイツ スペースネットAG社のサービスにITセキュリティラベルを渡す

・2022.12.15 ドイツ フランス IT製品のセキュリティ認証に関する共同文書を発行 (固定時間制認証制度)

・2022.10.31 ドイツ シンガポール 消費者向けIoT製品のサイバーセキュリティ・ラベルの相互承認 (2022.10.20)

・2022.05.09 ドイツ ITセキュリティラベル for 消費者向けスマート製品

・2022.02.03 ドイツ BSI Mail.deの電子メールサービスにITセキュリティラベルを付与

・2021.07.18 独国 BSIがITセキュリティラベルについてのウェブページを公開していますね。。。


 

SBOMなど...

・2024.09.01 経済産業省 ソフトウェア管理に向けたSBOM(Software Bill of Materials)の導入に関する手引ver2.0 (2024.08.29)

・2024.05.26 中国 TC260 意見募集 国家標準「ネットワークセキュリティ技術ソフトウェア部品表 (SBOM) データフォーマット」案 (2024.05.16)

・2024.03.14 IPA NIST SP 800-161 rev.1 システム及び組織におけるサプライチェーンのサイバーセキュリティリスクマネジメントのプラクティスの翻訳 (2024.01.31)

・2024.01.08 米国 NSA SBOM管理のための推奨事項 (Ver. 1.1)

・2023.11.12 米国 NSA CISA ソフトウェアサプライチェーンの確保: ソフトウェア部品表の開示に関する推奨事項

・2023.11.09 米国 CISA 脆弱性悪用可能性交換情報の発行時期

・2023.09.26 米国 CISA サプライチェーンリスクマネジメント(SCRM)のためのハードウェア部品表フレームワーク(HBOM)

・2023.09.18 米国 CISA オープンソース・ソフトウェア・セキュリティ・ロードマップ

・2023.09.01 NIST SP 800-204D(初期公開ドラフト)DevSecOps CI/CDパイプラインにソフトウェアサプライチェーンセキュリティを統合するための戦略

・2023.08.15 ドイツ SBOMの要件...技術ガイドライン TR-03183:製造業者および製品に対するサイバーレジリエンス要件 (2023.08.04)

・2023.08.01 経済産業省 ソフトウェア管理に向けたSBOM(Software Bill of Materials)の導入に関する手引

・2023.07.03 OWASP SBOMガイダンス CycloneDX v1.5 (2023.06.23)

・2023.04.25 米国 CISA SBOM関連の二文書

・2023.04.18 国際医療機器規制当局フォーラム 「レガシー医療機器のサイバーセキュリティのための原則と慣行」「医療機器サイバーセキュリティのためのSBOMの原則と実践」 (2023.04.11, 04.13)

・2023.02.21 英国 NCSC サプライチェーン・マッピングのガイダンスを公表しています。。。(2023.02.16)

・2023.02.05 ソフトウェアサプライチェーンリスクの軽減策について...

・2022.11.12 NIST ホワイトペーパー【プロジェクト概要】ソフトウェアサプライチェーンとDevOpsのセキュリティ実践:リスクベースアプローチによるDevSecOpsの実践

・2022.10.06 米国 CISA 拘束的運用指令23-01 - 連邦ネットワークにおける資産の可視化と脆弱性検出の改善

・2022.09.18 米国 行政管理予算局 (0MB) ソフトウェアサプライチェーンのセキュリティ強化 を公表

・2022.07.26 NIST White Paper (Draft) [プロジェクト概要] ソフトウェアサプライチェーンとDevOpsセキュリティの実践:リスクベースアプローチによるDevSecOpsの実践

・2022.07.16 経済産業省 令和3年度委託調査報告書(サイバーセキュリティ関係) 2022.07.14現在

・2022.06.25 NIST SP 1800-34 (ドラフト) コンピューティングデバイスの完全性の検証

・2022.05.08 NIST SP 800-161 Rev. 1 システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践

・2022.02.06 NIST ホワイトペーパー: 大統領令14028条第4e項に基づくソフトウェア・サプライチェーン・セキュリティ・ガイダンス

・2021.12.13 Apache Log4j 2 の脆弱性 (CVE-2021-44228)+ ソフトウェアの管理 + 脆弱性情報の管理

・2021.11.22 英国 サプライチェーンとマネージドサービスプロバイダーのサイバーセキュリティについての質問に対する回答 at 2021.11.15

・2021.10.30 NIST SP 800-161 Rev. 1 (Draft) システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践(第2次ドラフト)

・2021.09.03 NIST SP 1800-34B (ドラフト) コンピューティングデバイスの完全性の検証(初期ドラフト)

・2021.06.27 NIST ソフトウェアサプライチェーンにおける「クリティカル・ソフトウェア」の定義:大統領令14028に応えて...

・2021.06.02 米国 国家のサイバーセキュリティ向上に関する大統領令 (EO 14028) に基づくソフトウェアサプライチェーン管理に関係して。。。

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2021.05.01 NIST SP 800-161 Rev. 1 (ドラフト) システムと組織のためのサイバー・サプライチェーン・リスク管理の実践

・2020.02.05 NISTがサプライチェーンセキュリティの実践資料のドラフトを公開していますね。。。

Continue reading "欧州 サイバーレジリエンス法、官報に掲載 (2024.11.20)"

| | Comments (0)

2024.11.24

欧州 改正製造物責任指令、官報に掲載 (2024.11.18)

こんにちは、丸山満彦です。

欧州の製造物責任指令が官報に掲載されていますね...AI時代を踏まえて、AIやサイバーセキュリティについての言及もありますよね...

まぁ、AIを搭載し学習しつづける製品や、未知の脆弱性の存在が否定できない製品が想定されるので、製造事業者というのは、単純にほいほいと製品を上市できないですよね...

------

(32) 相互に接続された製品の普及を反映するため、製品の安全性のアセスメントでは、例えばスマートホームシステムのように、他の製品が当該製品に及ぼす合理的に予見可能な影響を考慮すべきである。また、上市後または使用開始後に新しい機能を学習または獲得する能力が製品の安全性に及ぼす影響も、製品のソフトウェアと基礎となるアルゴリズムが製品の危険な挙動を防止するように設計されているという正当な期待を反映するために考慮されるべきである。その結果、予期せぬ挙動を起こす可能性のある製品を設計した製造事業者は、危害をもたらす挙動に対して引き続き責任を負うべきである。デジタル時代において、上市後も多くの製品が製造事業者の管理下にあるという事実を反映するため、製品の安全性のアセスメントでは、製品が製造事業者の管理下から離れた瞬間も考慮されるべきである。また、製品が安全関連のサイバーセキュリティ要件を満たしていない場合など、サイバーセキュリティの脆弱性を理由に欠陥があると認定されることもある。

(40) 製品は、アップグレードを含むソフトウェアの変更によって修正を行うことができるように設計することができるため、ソフトウェアの更新またはアップグレードによって行われる修正には、他の方法で行われる修正に適用されるのと同じ原則が適用されるべきである。ソフトウェアの更新やアップグレードによって、あるいはAIシステムの継続的な学習によって、実質的な改変が行われた場合、その改変が実際に行われた時点で、実質的に改変された製品が市場で入手可能になった、あるいは使用開始されたとみなされるべきである。

(48) 国内裁判所は、被告が情報を開示したにもかかわらず、特に事案の技術的または科学的な複雑さのために、請求人が欠陥性もしくは因果関係、またはその両方を証明することが過度に困難である場合には、製品の欠陥性または損害と欠陥性の因果関係、またはその両方を推定すべきである。そのような場合は、事案のすべての状況を考慮して、それを行うべきである。このような場合、国内法で要求されるような通常の標準的な立証基準を課すことは、しばしば高度の蓋然性を要求することになり、補償を受ける権利の実効性を損なうことになる。したがって、製造事業者は専門的知識を有し、負傷者よりも十分な知識を有していることを考慮し、また、立証責任の逆転を回避しつつリスクの公平な配分を維持するために、請求者が欠陥の立証に困難を伴う場合は、製品に欠陥があった可能性が高いことのみを、請求者が因果関係の立証に困難を伴う場合は、製品の欠陥が損害の原因である可能性が高いことのみを立証することを要求すべきである。技術的または科学的な複雑性は、様々な要素を考慮して、各国の裁判所がケースバイケースで判断すべきである。それらの要素には、革新的な医療機器のような製品の複雑な性質、機械学習のような使用される技術の複雑な性質、請求人が分析すべき情報やデータの複雑な性質、医薬品や食品と健康状態の発症との関連や、立証するためには請求人がAIシステムの内部構造を説明する必要があるような関連など、因果関係の複雑な性質が含まれるべきである。過度の困難性のアセスメントも、各国の裁判所がケースバイケースで行うべきである。請求者は過度の困難を証明するための論拠を提供すべきであるが、そのような困難の証明は要求されるべきではない。例えば、AIシステムに関する請求において、裁判所が過度の困難性が存在すると判断するためには、請求人はAIシステムの具体的な特性や、その特性が因果関係の立証をどのように困難にしているのかを説明する必要はないはずである。被告は、過度の困難性の存在を含め、請求のすべての要素について争う可能性を有するべきである。

(50) 上市または使用開始の瞬間は、通常、製品が製造事業者の管理を離れた瞬間であり、頒布事業者にとっては、製品を市場で入手可能にした瞬間である。したがって、製造事業者は、損害の原因となった欠陥が、製品を上市または使用開始した時点では存在しなかったか、または欠陥がその時点以降に存在するようになった可能性が高いことを証明する場合、責任を免除されるべきである。しかし、デジタル技術により、製造事業者は製品を上市または使用開始した時点を超えて管理することができるため、アップデートやアップグレード、機械学習アルゴリズムなど、製造事業者の管理下にあるソフトウェアや関連サービスの結果として、その時点以降に発生した欠陥については、製造事業者は引き続き責任を負うべきである。このようなソフトウエアや関連サービスは、製造事業者が供給している場合、または製造事業者が許可している場合、あるいはサードパーティが供給することを同意している場合には、製造事業者の管理下にあるとみなされるべきである。例えば、スマートテレビがビデオアプリケーションを含むと表示されているにもかかわらず、ユーザーがテレビ購入後にサードパーティーのウェブサイトからアプリケーションをダウンロードする必要がある場合、テレビの製造者は、ビデオアプリケーションの製造者とともに、ビデオアプリケーションの欠陥によって生じた損害について、たとえその欠陥がテレビが上市された後に生じたとしても、引き続き責任を負うべきである。

(51) 製品の欠陥が、サイバーセキュリティの脆弱性に対処し、製品の安全性を維持するために必要なソフトウ ェアの更新やアップグレードの欠如に起因する場合、経済的事業者が、製品を上市または使用開始した後 に欠陥が生じたことを証明することによって責任を回避する可能性は制限されるべきである。そのような脆弱性は、本指令の意味における損害を引き起こすような形で製品に影響を及ぼす可能性がある。欧州議会及び理事会規則(EU)2017/745(16)などに基づき、製品のライフサイクル全体を通じて製品の安全性を確保するための製造者のEU法上の責任を考慮すると、製造者は、製品の欠陥が、進化するサイバーセキュリティリスクに対応して製品の脆弱性に対処するために必要なソフトウェアセキュリティアップデートまたはアップグレードを供給しなかったことに起因する場合、その欠陥製品に起因する損害に対する責任を免除されるべきではない。このような責任は、当該ソフトウェアの供給やインストールが製造事業者の管理の及ばない場合、例えば製品の所有者が製品の安全レベルを確保または維持する目的で供給されたアップデートやアップグレードをインストールしない場合などには適用されるべきではない。本指令は、製品のアップデート又はアップグレードを提供する義務を課すものではない。

(55) 第三者が製品のサイバーセキュリティの脆弱性を悪用するなど、潜在的な責任を負う経済的事業者以外の者の作為・不作為が、製品の欠陥に加えて、被った損害の原因に寄与する状況が生じ得る。消費者保護の観点から、例えば脆弱性によって製品に欠陥があり、一般消費者が期待するよりも製品の安全性が低い場合、第三者によるそのような作為または不作為の結果として、経済的事業者の責任を減免すべきではない。ただし、損害を受けた者自身が過失により損害の原因に寄与した場合、例えば、損害を軽減または回避できたであろう経済的事業者が提供した更新プログラムやアップグレードを、損害を受けた者が過失によりインストールしなかった場合などには、経済的事業者の責任を減免することが可能であるべきである。

-----

条文の目次...

CHAPTER I GENERAL PROVISIONS 第1章 一般規定
Article 1 Subject matter and objective 第1条 主題および目的
Article 2 Scope 第2条 適用範囲
Article 3 Level of harmonisation 第3条 調和のレベル
Article 4 Definitions 第4条 定義
CHAPTER II SPECIFIC PROVISIONS ON LIABILITY FOR DEFECTIVE PRODUCTS 第2章 欠陥製品に対する責任に関する具体的規定
Article 5 Right to compensation 第5条 補償を受ける権利
Article 6 Damage 第6条 損害
Article 7 Defectiveness 第7条 瑕疵担保責任
Article 8 Economic operators liable for defective products 第8条 欠陥製品に対する経済的事業者の責任
Article 9 Disclosure of evidence 第9条 証拠の開示
Article 10 Burden of proof 第10条 立証責任
Article 11 Exemption from liability 第11条 責任の免除
CHAPTER III GENERAL PROVISIONS ON LIABILITY 第3章 責任に関する一般規定
Article 12 Liability of multiple economic operators 第12条 複数の経済的事業者の責任
Article 13 Reduction of liability 第13条 責任の軽減
Article 14 Right of recourse 第14条 求償権
Article 15 Exclusion or limitation of liability 第15条 責任の排除または制限
Article 16 Limitation period 第16条 制限期間
Article 17 Expiry period 第17条 無効期間
CHAPTER IV FINAL PROVISIONS 第4章 最終規定
Article 18 Derogation from development risk defence 第18条 開発リスク防御からの免除
Article 19 Transparency 第19条 透明性
Article 20 Evaluation 第20条 評価
Article 21 Repeal and transitional provision 第21条 撤廃および経過措置
Article 22 Transposition 第22条 移植
Article 23 Entry into force 第23条 施行
Article 24 Addressees 第24条 宛先

 

 

EUR-Lex

・2024.11.18 Directive (EU) 2024/2853 of the European Parliament and of the Council of 23 October 2024 on liability for defective products and repealing Council Directive 85/374/EEC (Text with EEA relevance)

 

2024/2853 18.11.2024 2024/2853 18.11.2024
DIRECTIVE (EU) 2024/2853 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL 2024年10月23日付欧州議会および欧州理事会指令(EU)2024/2853
of 23 October 2024 2024年10月23日
on liability for defective products and repealing Council Directive 85/374/EEC 欠陥製品責任に関する欧州議会および理事会指令85/374/EECを廃止する。
(Text with EEA relevance) (EEA関連文書)
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION, 欧州議会および欧州連合理事会は
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 114 thereof, 欧州連合の機能に関する条約、特にその第114条に留意する、
Having regard to the proposal from the European Commission, 欧州委員会の提案を考慮する、
After transmission of the draft legislative act to the national parliaments, 立法草案が各国議会に送付された後、欧州委員会の意見を考慮する、
Having regard to the opinion of the European Economic and Social Committee (1), 欧州経済社会委員会(1)の意見を考慮する、
Acting in accordance with the ordinary legislative procedure (2), 通常の立法手続きに従って行動する(2)、
Whereas: 以下の通りである:
(1) In order to improve the proper functioning of the internal market, it is necessary to ensure that competition is not distorted and that the movement of goods is not obstructed. Council Directive 85/374/EEC (3) lays down common rules on liability for defective products with the aim of removing divergences between the legal systems of Member States that may distort competition and affect the movement of goods within the internal market. Greater harmonisation of the common rules on liability for defective products laid down in that Directive would further contribute to the achievement of those objectives, while entailing an increased degree of protection of consumers’ and other natural persons’ health or property. (1)域内市場の適切な機能を改善するためには、競争が歪められず、物品の移動が妨げられないようにすることが必要である。理事会指令85/374/EEC(3)は、競争を歪め、域内市場内の商品の移動に影響を及ぼす可能性のある加盟国の法制度間の乖離を取り除くことを目的として、欠陥製品の責任に関する共通規則を定めている。同指令に規定された欠陥製品責任に関する共通規則の調和が進めば、消費者やその他の自然人の健康や財産の保護の程度が高まる一方で、これらの目的の達成にさらに貢献することになる。
(2) Liability without fault on the part of economic operators remains the sole means of adequately addressing the problem of fair apportionment of risk inherent in modern technological production. (2) 経済的事業者の側に過失のない責任は、現代の技術生産に内在するリスクの公正な配分の問題に適切に対処する唯一の手段であり続ける。
(3) Directive 85/374/EEC has been an effective and important instrument, but it would need to be revised in light of developments related to new technologies, including artificial intelligence (AI), new circular economy business models and new global supply chains, which have led to inconsistencies and legal uncertainty, in particular as regards the meaning of the term ‘product’. Experience gained from applying that Directive has also shown that injured persons face difficulties obtaining compensation due to restrictions on making compensation claims and due to challenges in gathering evidence to prove liability, especially in light of increasing technical and scientific complexity. That includes compensation claims in respect of damage related to new technologies. The revision of that Directive would therefore encourage the roll-out and uptake of such new technologies, including AI, while ensuring that claimants enjoy the same level of protection irrespective of the technology involved and that all businesses benefit from more legal certainty and a level playing field. (3) 指令85/374/EECは効果的で重要な輸入事業者であったが、人工知能(AI)、新しい通達経済ビジネスモデル、新しいグローバルサプライチェーンなど、新技術に関連する発展、特に「製品」という用語の意味に関して矛盾や法的不確実性をもたらしていることに鑑み、改正する必要がある。また、同指令の適用から得られた経験から、特に技術的・科学的な複雑さが増す中、損害賠償請求の制限や、賠償責任を証明する証拠の収集が困難なため、損害を被った人が賠償金を得ることが困難であることが明らかになっている。これには新技術に関する損害賠償請求も含まれる。従って、同指令の改正は、AI を含むそうした新技術の普及と導入を奨励すると同時に、請求者が関係する技術に関係なく同レベルの保護を享受し、すべての企業がより法的確実性と公平な競争条件から恩恵を受けることを保証するものである。
(4) A revision of Directive 85/374/EEC would be needed in order to ensure coherence and consistency with product safety and market surveillance legislation at Union and national level. In addition, there is a need to clarify basic notions and concepts to ensure coherence and legal certainty and a level playing field in the internal market, and to reflect the recent case law of the Court of Justice of the European Union. (4) 欧州連合レベルおよび各国レベルの製品安全および市場監視法制との一貫性と整合性を確保するためには、指令85/374/EECの改正が必要である。加えて、域内市場における一貫性と法的確実性、公平な競争条件を確保し、欧州連合司法裁判所の最近の判例を反映させるために、基本的な概念や概念を明確にする必要がある。
(5) Considering the extensive nature of the amendments that would be required in order for Directive 85/374/EEC to remain effective and in order to ensure clarity and legal certainty, that Directive should be repealed and replaced with this Directive. (5) 指令85/374/EECが有効であり続けるために必要となる改正の広範な性質を考慮し、明確性と法的確実性を確保するために、当該指令は廃止され、本指令に置き換えられるべきである。
(6) In order to ensure that the Union’s product liability regime is comprehensive, no-fault liability for defective products should apply to all movables, including software, including when they are integrated into other movables or installed in immovables. (6) 組合の製造物責任体制が包括的であることを保証するため、欠陥製品に対する無過失責任は、ソフトウェアを含むすべての動産に適用されるべきである。
(7) Liability for defective products should not apply to damage arising from nuclear accidents, in so far as liability for such damage is covered by international conventions ratified by Member States. (7) 原子力事故に起因する損害については、加盟国が批准した国際条約によってその賠償責任がカバーされている限り、欠陥製品に対する賠償責任を適用すべきではない。
(8) In order to create a genuine internal market with a high and uniform level of protection of consumers and other natural persons, and to reflect the case law of the Court of Justice of the European Union, Member States should not, in respect of matters within the scope of this Directive, maintain or introduce provisions that are more stringent or less stringent than those laid down in this Directive. (8) 消費者及びその他の自然人を高水準かつ統一的に保護する真の域内市場を創設するため、及び欧州連合司法裁判所の判例を反映させるため、加盟国は、本指令の範囲内の事項に関して、本指令に規定されているものより厳しい、または緩やかな規定を維持または導入すべきではない。
(9) Under the national law of Member States, an injured person could have a claim for damages on the basis of contractual liability or on grounds of non-contractual liability that does not involve the manufacturer’s liability for the defectiveness of a product as established in this Directive. This concerns for example liability based on a warranty or on fault or strict liability of operators for damage caused by the properties of an organism resulting from genetic engineering. Such national law provisions, which serve to attain, inter alia, the objective of effective protection of consumers and other natural persons, should remain unaffected by this Directive. (9) 加盟国の国内法に基づき、損害を被った者は、契約責任に基づく損害賠償請求、または本指令に定める製品の欠陥に対する製造事業者の責任を伴わない非契約責任を理由とする損害賠償請求を行うことができる。これは例えば、遺伝子組換えによって生じた生物の特性によって生じた損害に対する保証責任や過失責任に基づく責任、あるいは事業者の厳格責任に関わるものである。このような国内法の規定は、特に消費者及びその他の自然人を効果的に保護するという目的を達成するために役立つものであり、本指令の影響を受けないままであるべきである。
(10) In certain Member States, injured persons are entitled to make claims for damage caused by pharmaceutical products under a special national liability system, with the result that effective protection of natural persons in the pharmaceutical sector is already achieved. The right to make such claims should remain unaffected by this Directive. Furthermore, amendments to such special liability systems should not be precluded as long as they do not undermine the effectiveness of the system of liability provided for in this Directive or its objectives. (10) 一部の加盟国では、傷害を受けた者は、特別な国家賠償責任制度に基づき、医薬品に起因する損害の賠償を請求する権利を有しており、その結果、医薬品分野における自然人の効果的な保護がすでに達成されている。このような請求を行う権利は、本指令の影響を受けるべきではない。さらに、このような特別な賠償責任制度の改正は、本指令に規定された賠償責任制度の有効性やその目的を損なわない限り、妨げられるべきでない。
(11) Compensation schemes outside the context of liability regimes, such as national health systems, social security schemes or insurance schemes, fall outside the scope of this Directive and should therefore not be precluded. For example, some Member States have schemes in place to provide compensation in respect of pharmaceutical products that cause harm without being defective. (11) 国民保健制度、社会保障制度、保険制度など、賠償責任制度の枠外にある補償制度は、本指令の適用範囲外であるため、排除すべきではない。例えば、一部の加盟国は、欠陥がなくても害をもたらす医薬品に関して補償を提供する制度を設けている。
(12) Decision No 768/2008/EC of the European Parliament and of the Council (4) lays down common principles and reference provisions intended to apply in all sectoral product legislation. In order to ensure consistency with that Decision, certain provisions of this Directive, in particular the definitions, should be aligned therewith. (12) 欧州議会および理事会の決定第768/2008/EC号(4)は、すべての分野の製品法規に適用することを意図した共通原則と参照規定を定めている。同決定との整合性を確保するため、本指令の一部の規定、特に定義を同決定に合わせる必要がある。
(13) Products in the digital age can be tangible or intangible. Software, such as operating systems, firmware, computer programs, applications or AI systems, is increasingly common on the market and plays an increasingly important role for product safety. Software is capable of being placed on the market as a standalone product or can subsequently be integrated into other products as a component, and it is capable of causing damage through its execution. In the interest of legal certainty, it should be clarified in this Directive that software is a product for the purposes of applying no-fault liability, irrespective of the mode of its supply or usage, and therefore irrespective of whether the software is stored on a device, accessed through a communication network or cloud technologies, or supplied through a software-as-a-service model. Information is not, however, to be considered a product, and product liability rules should therefore not apply to the content of digital files, such as media files or e-books or the mere source code of software. A developer or producer of software, including AI system providers within the meaning of Regulation (EU) 2024/1689 of the European Parliament and of the Council (5), should be treated as a manufacturer. (13) デジタル時代の製品には有形無形のものがある。オペレーティングシステム、ファームウェア、コン ピュータプログラム、アプリケーション、AI システムなどのソフトウェアは、市場でますます一般的になり、製品安全にとってますます重要な役割を果たすようになっている。ソフトウェアは単体で上市されることもあれば、コンポーネントとして他の製品に組み込まれることもあり、その実行によって損害を与える可能性がある。法的確実性の観点から、無過失責任を適用する目的では、ソフトウェアはその供給形態や使用形態に関係なく、したがってソフトウェアがデバイスに保存されているか、通信ネットワークやクラウド技術を通じてアクセスされているか、Software-as-a-Serviceモデルを通じて供給されているかに関係なく、製品であることが本指令で明確にされるべきである。しかし、情報は製品とはみなされず、製造物責任の規定は、メディアファイルや電子書籍などのデジタルファイルのコンテンツや、ソフトウェアの単なるソースコードには適用されない。欧州議会および理事会規則(EU)2024/1689(5)の意味におけるAIシステムプロバイダを含むソフトウェアの開発者または生産者は、製造事業者として扱われるべきである。
(14) Free and open-source software, whereby the source code is openly shared and users can freely access, use, modify and redistribute the software or modified versions thereof, can contribute to research and innovation on the market. Such software is subject to licences that allow anyone the freedom to run, copy, distribute, study, change and improve the software. In order not to hamper innovation or research, this Directive should not apply to free and open-source software developed or supplied outside the course of a commercial activity, since products so developed or supplied are by definition not placed on the market. Developing or contributing to such software should not be understood as making it available on the market. Providing such software on open repositories should not be considered as making it available on the market, unless that occurs in the course of a commercial activity. In principle, the supply of free and open-source software by non-profit organisations should not be considered as taking place in a business-related context, unless such supply occurs in the course of a commercial activity. However, where software is supplied in exchange for a price, or for personal data used other than exclusively for improving the security, compatibility or interoperability of the software, and is therefore supplied in the course of a commercial activity, this Directive should apply. (14) ソースコードがオープンに共有され、ユーザーが自由にソフトウェアやその修正版にアクセスし、使用、修正、再配布できるフリー・オープンソースソフトウェアは、市場における研究やイノベーションに貢献することができる。このようなソフトウェアは、誰でも自由に実行、コピー、配布、研究、変更、改善を行うことができるライセンスの対象となる。技術革新や研究の妨げにならないよう、本指令は、商業活動の範囲外で開発または提供されたフリーソフトウェアやオープンソースソフトウェアには適用すべきではない。このようなソフトウェアの開発または貢献は、市場で入手可能なものと理解すべきではない。そのようなソフトウェアをオープンリポジトリでプロバイダとして提供することは、それが商業活動の過程で発生しない限り、市場で入手可能とみなされるべきではない。原則として、非営利団体によるフリー・オープンソースソフトウェアの供給は、商業活動の過程で行われない限り、ビジネスに関連した文脈で行われるものとはみなされるべきではない。ただし、対価と引き換えにソフトウェアが提供される場合、または専らソフ トウェアのセキュリティ、互換性、相互運用性を改善する目的以外で使用される個人 データと引き換えにソフトウェアが提供される場合、したがって商業活動の一環としてソ フトウェアが提供される場合には、本指令が適用されるべきである。
(15) Where free and open-source software supplied outside the course of a commercial activity is subsequently integrated by a manufacturer as a component into a product in the course of a commercial activity and is thereby placed on the market, it should be possible to hold that manufacturer liable for damage caused by the defectiveness of such software but not the manufacturer of the software because the manufacturer of the software would not have fulfilled the conditions of placing a product or component on the market. (15) 商業活動の過程外で供給されたフリーでオープンソースなソフトウェアが、その後製造事業者 によって商業活動の過程で製品にコンポーネントとして統合され、それによって上市された場 合、当該ソフトウェアの欠陥によって生じた損害については当該製造事業者に責任を負わせ ることが可能であるが、ソフトウェアの製造事業者は製品またはコンポーネントを上市する条件を満たしていないことになるため、責任を負わないものとする。
(16) Whereas digital files as such are not products within the scope of this Directive, digital manufacturing files, which contain the functional information necessary to produce a tangible item by enabling the automated control of machinery or tools, such as drills, lathes, mills and 3D printers, should be considered to be products in order to ensure the protection of natural persons in cases where such files are defective. For example, a defective computer-assisted-design file used to create a 3D-printed good that causes harm should give rise to liability under this Directive, where such a file is developed or supplied in the course of a commercial activity. For the avoidance of doubt, it should be clarified that raw materials, such as gas and water, and electricity are products. (16) デジタルファイルそのものは本指令の範囲内の製品ではないが、ドリル、旋盤、フライス盤、3D プリンタなど、機械や工具の自動制御を可能にして有形物品を製造するために必要な機能情報を含むデジタル製造ファイルは、当該ファイルに欠陥がある場合に自然人の保護を確保するために製品とみなされるべきである。例えば、危害をもたらす 3D プリント製品の作成に使用される欠陥のあるコンピュータ支援設計ファ イルは、当該ファイルが商業活動の過程で開発または提供された場合、本指令に基づく責任を生じ るべきである。疑義を避けるため、ガスや水などの原材料や電気は製品であることを明確にすべきである。
(17) It is becoming increasingly common for digital services to be integrated into, or inter-connected with, a product in such a way that the absence of the service would prevent the product from performing one of its functions. While this Directive should not apply to services as such, it is necessary to extend no-fault liability to such integrated or inter-connected digital services as they determine the safety of the product just as much as physical or digital components. Those related services should be considered components of the product into which they are integrated or with which they are inter-connected where they are within the control of the manufacturer of that product. Examples of related services include the continuous supply of traffic data in a navigation system, a health monitoring service that relies on a physical product’s sensors to track the user’s physical activity or health metrics, a temperature control service that monitors and regulates the temperature of a smart fridge, or a voice-assistant service that allows one or more products to be controlled by using voice commands. Internet access services should not be treated as related services, since they cannot be considered as part of a product within a manufacturer’s control and it would be unreasonable to make manufacturers liable for damage caused by shortcomings in internet access services. Nevertheless, a product that relies on internet access services and fails to maintain safety in the event of a loss of connectivity could be found to be defective under this Directive. (17) デジタルサービスが製品に統合されたり、相互接続されたりして、そのサービスがなければ 製品がその機能の一つを果たせなくなるような状況はますます一般的になってきている。本指令はそのようなサービスには適用されるべきではないが、そのような統合または相互接続されたデジタルサービスは、物理的またはデジタルコンポーネントと同様に製品の安全性を決定するため、無過失責任を拡大する必要がある。これらの関連サービスは、その製品の製造事業者の管理下にある場合、それらが統合されている、あるいは相互に接続されている製品の構成要素とみなされるべきである。関連サービスの例としては、ナビゲーションシステムにおける交通データの継続的な供給、物理的製品のセンサーに依存してユーザーの身体活動や健康指標を追跡する健康モニタリングサービス、スマート冷蔵庫の温度を監視・調整する温度制御サービス、音声コマンドを使用して1つ以上の製品を制御できるようにする音声アシスタントサービスなどがある。インターネット・アクセス・サービスは、製造事業者の管理下にある製品の一部とは見なされず、インターネット・アクセス・サービスの欠陥によって生じた損害について製造事業者に責任を負わせるのは不合理であるため、関連サービスとして扱うべきではない。とはいえ、インターネット接続サービスに依存し、接続性が失われた場合の安全性を維持できない製品は、本指令に基づき欠陥があると認定される可能性がある。
(18) Related services and other components, including software updates and upgrades, should be considered to be within the manufacturer’s control where they are integrated into, or inter-connected with, a product, or supplied, by the manufacturer or where the manufacturer authorises or consents to their integration, inter-connection or supply by a third party, for example where the manufacturer of a smart home appliance consents to the provision by a third party of software updates for the manufacturer’s appliance or where a manufacturer presents a related service or component as part of the product even though it is supplied by a third party. A manufacturer should not be considered to have consented to integration or inter-connection merely by providing for the technical possibility of integration or inter-connection or by recommending certain brands or by not prohibiting potential related services or components. (18) ソフトウェアの更新やアップグレードを含む関連サービスやその他のコンポーネントは、製造事業者によ って製品に統合されるか、製品に相互接続されるか、製品に供給される場合、または製造事業者が 第三者による統合、相互接続、供給を許可または同意する場合、例えば、スマート家電の製造事業者が 第三者による製造事業者の家電製品のソフトウェア更新の提供を同意する場合、または製造事 業者が第三者によって供給されているにもかかわらず製品の一部として関連サービスやコンポー ネントを提示する場合、製造事業者の管理下にあるとみなされるべきである。製造事業者は、単に統合や相互接続の技術的可能性を提供したり、特定のブランドを推奨したり、潜在的な関連サービスやコンポーネントを禁止しないことによって、統合や相互接続に同意したとみなされるべきではない。
(19) Once a product has been placed on the market, it should be considered to remain within the manufacturer’s control where the manufacturer retains the ability to supply software updates or upgrades itself or via a third party. (19) 製品が上市された後、製造事業者がソフトウェアの更新やアップグレードを自ら又はサードパーティを通じ て供給する能力を保持している場合、その製品は製造事業者の管理下にあると考えられる。
(20) In recognition of the growing relevance and value of intangible assets, the destruction or corruption of data, such as digital files deleted from a hard drive, should also be compensated for, including the cost of recovering or restoring those data. The protection of natural persons necessitates compensation being available for material losses resulting not only from death or personal injury, such as funeral or medical expenses or lost income, and from damage to property, but also for destruction or corruption of data. Destruction or corruption of data does not automatically result in a material loss if the victim is able to retrieve the data at no cost, such as where a back-up of the data exists or the data can be downloaded again, or an economic operator restores or recreates temporarily unavailable data, for example in a virtual environment. Destruction or corruption of data is distinct from data leaks or breaches of data protection rules, and, consequently, compensation for infringements of Regulation (EU) 2016/679 (6) or (EU) 2018/1725 (7) of the European Parliament and of the Council or Directive 2002/58/EC (8) or (EU) 2016/680 (9) of the European Parliament and of the Council is not affected by this Directive. (20) 無形資産の重要性と価値が高まっていることを認識し、ハードドライブから削除されたデジタ ルファイルなどのデータの破壊や破損についても、それらのデータの回復や復元にかかる費用 を含めて補償すべきである。自然人の保護には、葬儀費用や医療費、逸失利益などの死亡や個人的傷害、財産の損害だけでなく、データの破壊や破損によって生じた物質的損失についても補償が必要である。例えば、データのバックアップが存在する場合、データを再度ダウンロードできる場合、経済的事業者が仮想環境などで一時的に利用できなくなったデータを復元または再作成する場合などである。データの破壊または破損は、データの漏えいまたはデータ保護規則の違反とは区別され、その結果、欧州議会および理事会の規則(EU)2016/679(6 )または(EU)2018/1725(7 )または欧州議会および理事会の指令2002/58/EC(8 )または(EU)2016/680(9 )の違反に対する補償は、本指令の影響を受けない。
(21) In the interest of legal certainty, this Directive should clarify that personal injury includes medically recognised and medically certified damage to psychological health that affects the victim’s general state of health and could require therapy or medical treatment, taking into account, inter alia, the International Classification of Diseases of the World Health Organization. (21) 法的確実性の観点から、本指令は、人身傷害には、特に世界保健機関(WHO)の国際疾病分類 を考慮して、被害者の一般的な健康状態に影響を及ぼし、治療または医学的処置を必要とする可能性の ある、医学的に認められ、医学的に認定された精神的健康に対する損害が含まれることを 明確にすべきである。
(22) In line with this Directive’s objective of making compensation available only to natural persons, damage to property used exclusively for professional purposes should not be compensated under this Directive. In order to address a potential risk of litigation in an excessive number of cases, the destruction or corruption of data that are used for professional purposes, even if not exclusively so, should not be compensated for under this Directive. (22) 自然人のみが補償を受けられるようにするという本指令の目的に沿って、専ら業務上の目的に使用される財産に対する損害は、本指令に基づき補償されるべきではない。過剰な件数の訴訟リスクの可能性に対処するため、専らでないにせよ、業務目的に使用されるデータの破壊や破損は、本指令の下では補償されるべきではない。
(23) While Member States should provide for full and proper compensation for all material losses resulting from death or personal injury, or from damage to or destruction of property, and destruction or corruption of data, the rules on calculating compensation should be laid down by Member States. Furthermore, compensation for non-material losses resulting from damage covered by this Directive, such as pain and suffering, should be provided in so far as such losses can be compensated for under national law. (23) 加盟国は、死亡や個人傷害、財産の損害や破壊、データの破壊や破損に起因するすべての物的損失について完全かつ適切な補償を提供すべきであるが、補償の計算規則は加盟国が定めるべきである。さらに、本指令の対象となる損害に起因する非物質的損失、例えば痛みや苦しみに対す る補償は、かかる損失が国内法の下で補償され得る限りにおいてプロバイダが提供され るべきである。
(24) Types of damage other than those provided for in this Directive, such as pure economic loss, privacy infringements or discrimination, should not by themselves trigger liability under this Directive. However, this Directive should not affect the right to compensation for any damage, including non-material, under other liability regimes. (24) 純粋な経済的損失、プライバシーの侵害、識別的損害など、本指令に規定されているも の以外の損害の種類は、それ自体で本指令に基づく責任を誘発すべきではない。しかし、本指令は他の責任制度に基づく、非物質的なものを含むあらゆる損害に対する補償の権利に影響を及ぼすべきではない。
(25) In order to protect natural persons, damage to any property owned by a natural person should be compensated for. Since property is increasingly used for both private and professional purposes, it is appropriate to provide for compensation for damage to such mixed-use property. In light of this Directive’s objective of protecting natural persons, property used exclusively for professional purposes should be excluded from its scope. (25) 自然人を保護するため、自然人が所有する財産に対する損害は補償されるべきである。不動産が私的な目的と職業的な目的の両方に使用されることが増えているため、そのような複合用途の不動産に対する損害賠償を規定することは適切である。自然人を保護するという本指令の目的に照らせば、専ら職業目的に使用される財産はその範囲から除外されるべきである。
(26) This Directive should apply to products placed on the market or, where relevant, put into service in the course of a commercial activity, whether in return for payment or free of charge, for example products supplied in the context of a sponsoring campaign or products manufactured for the provision of a service financed by public funds, since that mode of supply nonetheless has an economic or business character. The concept of ‘putting into service’ is relevant for products that are not placed on the market prior to their first use, as can be the case for lifts, machinery or medical devices. (26) 本指令は、当該供給形態が経済的又は事業的性格を有しているにもかかわらず、例えばスポン サーキャンペーンに関連して供給される製品や公的資金によって賄われるサービスの提供のた めに製造される製品など、支払の対価であるか無償であるかを問わず、商業活動の過程で上市され た製品又は関連する場合には使用される製品に適用されるべきである。使用開始」の概念は、リフト、機械、医療機器のように、最初の使用前に上市されない製品に関連する。
(27) In so far as national law so provides, the right to compensation for injured persons should apply both to direct victims, who suffer damage directly caused by a defective product, and to indirect victims, who suffer damage as a result of the direct victim’s damage. (27) 国内法に規定がある限り、負傷者に対する補償の権利は、欠陥製品によって直接損害を被った直接被害者と、直接被害者の損害の結果として損害を被った間接被害者の両方に適用されるべきである。
(28) Taking into account the increased complexity of products, of business models and of supply chains, and considering that the aim of this Directive is to ensure that consumers and other natural persons can easily exercise their right to obtain compensation in the event of damage caused by defective products, it is important that Member States ensure that competent consumer protection authorities or bodies provide all relevant information to affected consumers to enable them to effectively exercise their right to compensation in accordance with this Directive. In doing so, it is appropriate that Member States have regard to existing obligations concerning cooperation between national authorities responsible for enforcing consumer protection law, in particular the obligations under Regulation (EU) 2017/2394 of the European Parliament and of the Council (10). It is important that national consumer protection authorities or bodies regularly exchange any relevant information that they become aware of and closely cooperate with market surveillance authorities. Member States can also encourage the competent consumer protection authorities or bodies to provide information to consumers to enable them better to exercise their right to compensation in accordance with this Directive effectively. (28) 製品、ビジネスモデル、サプライチェーンが複雑化していることを考慮し、また、本指令の目 的が、消費者及びその他の自然人が欠陥製品による損害の場合に補償を受ける権利を容易に行使で きるようにすることであることを考慮すると、加盟国は、影響を受ける消費者が本指令に従っ て補償を受ける権利を効果的に行使できるように、管轄の消費者保護当局または団体がすべ ての関連情報を提供することを確保することが重要である。その際、加盟国は、消費者保護法の施行を担当する各国当局間の協力に関する既存の義務、特に欧州議会及び理事会の規則(EU)2017/2394(10)に基づく義務を考慮することが適切である。各国の消費者保護当局または団体は、把握した関連情報を定期的に交換し、市場監視当局と緊密に協力することが重要である。加盟国はまた、管轄の消費者保護当局または団体に対し、消費者が本指令に従って補償を受ける権利を効果的に行使できるよう、消費者への情報提供を奨励することができる。
(29) This Directive does not affect the various means of seeking redress at national level, whether through court proceedings, non-court solutions, alternative dispute resolution or representative actions under Directive (EU) 2020/1828 of the European Parliament and of the Council (11) or under national collective redress schemes. (29) 本指令は、欧州議会及び理事会指令(EU) 2020/1828(11)に基づく裁判手続、裁判外解決、裁判外紛争解決、代表者訴訟、または国内集団救済制度に基づく国内レベルでの救済を求める様々な手段に影響を及ぼすものではない。
(30) In order to protect the health and property of natural persons, the defectiveness of a product should be determined by reference not to its fitness for use but to the lack of the safety that a person is entitled to expect or that is required under Union or national law. The assessment of defectiveness should involve an objective analysis of the safety that the public at large is entitled to expect and not refer to the safety that any particular person is entitled to expect. The safety that the public at large is entitled to expect should be assessed by taking into account, inter alia, the intended purpose, reasonably foreseeable use, presentation, objective characteristics and properties of the product in question, including its expected lifespan, as well as the specific requirements of the group of users for whom the product is intended. Some products, such as life-sustaining medical devices, entail an especially high risk of causing damage to people and therefore give rise to particularly high safety expectations. In order to take such expectations into account, it should be possible for a court to find that a product is defective without establishing its actual defectiveness, where it belongs to the same production series as a product already proven to be defective. (30) 自然人の健康と財産を保護するため、製品の欠陥性は、その使用に対する適合性ではなく、人が期待する権利がある、または欧州連合法もしくは国内法の下で要求される安全性の欠如を参照して決定されるべきである。欠陥のアセスメントは、一般大衆が期待する安全性の客観的分析を含むべきであり、特定の人が期待する安全性に言及すべきではない。一般大衆が期待する権利を有する安全性は、特に、意図された目的、合理的に予見可能な使用方法、表示、予想される寿命を含む当該製品の客観的特性および特性、ならびに製品が意図される使用者グループの特定の要件を考慮して評価されるべきである。生命を維持する医療機器のような一部の製品は、人に損害を与えるリスクが特に高いため、特に高い安全性への期待が生じる。このような期待を考慮するため、すでに欠陥があると証明された製品と同じ製造シリーズに属する製品については、実際の欠陥性を立証することなく欠陥があると裁判所が認定することが可能であるべきである。
(31) The assessment of defectiveness should take into account the presentation of the product. However, warnings or other information provided with a product cannot be considered sufficient to make an otherwise defective product safe, since defectiveness should be determined by reference to the safety that the public at large is entitled to expect. Therefore, liability under this Directive cannot be avoided simply by listing all conceivable side effects of a product. When determining the defectiveness of a product, reasonably foreseeable use also encompasses misuse that is not unreasonable under the circumstances, such as the foreseeable behaviour of a user of machinery resulting from a lack of concentration or the foreseeable behaviour of certain user groups such as children. (31) 欠陥性のアセスメントは、製品のプレゼンテーションを考慮に入れるべきである。しかし、欠陥性は一般大衆が期待する権利がある安全性を参照して決定されるべきであり、製品とともに提供される警告やその他の情報は、そうでなければ欠陥のある製品を安全にするのに十分であるとは考えられない。従って、本指令に基づく責任は、製品の考えられる副作用をすべて列挙するだけでは回避できない。製品の欠陥性を判断する場合、合理的に予見可能な使用には、集中力の欠如に起因する機械の使用者の予見可能な行動や、子供など特定の使用者グループの予見可能な行動など、状況下で不合理ではない誤用も含まれる。
(32) In order to reflect the increasing prevalence of inter-connected products, the assessment of a product’s safety should take into account the reasonably foreseeable effects of other products on the product in question, for example within a smart home system. The effect on a product’s safety of any ability to learn or acquire new features after it is placed on the market or put into service should also be taken into account to reflect the legitimate expectation that a product’s software and underlying algorithms are designed in such a way as to prevent hazardous product behaviour. Consequently, a manufacturer that designs a product with the ability to develop unexpected behaviour should remain liable for behaviour that causes harm. In order to reflect the fact that in the digital age many products remain within the manufacturer’s control after being placed on the market, the moment in time a product leaves the manufacturer’s control should also be taken into account in the assessment of a product’s safety. A product can also be found to be defective on account of its cybersecurity vulnerability, for example where the product does not fulfil safety-relevant cybersecurity requirements. (32) 相互に接続された製品の普及を反映するため、製品の安全性のアセスメントでは、例えばスマートホームシステムのように、他の製品が当該製品に及ぼす合理的に予見可能な影響を考慮すべきである。また、上市後または使用開始後に新しい機能を学習または獲得する能力が製品の安全性に及ぼす影響も、製品のソフトウェアと基礎となるアルゴリズムが製品の危険な挙動を防止するように設計されているという正当な期待を反映するために考慮されるべきである。その結果、予期せぬ挙動を起こす可能性のある製品を設計した製造事業者は、危害をもたらす挙動に対して引き続き責任を負うべきである。デジタル時代において、上市後も多くの製品が製造事業者の管理下にあるという事実を反映するため、製品の安全性のアセスメントでは、製品が製造事業者の管理下から離れた瞬間も考慮されるべきである。また、製品が安全関連のサイバーセキュリティ要件を満たしていない場合など、サイバーセキュリティの脆弱性を理由に欠陥があると認定されることもある。
(33) In order to reflect the nature of products whose very purpose is to prevent damage, such as a warning mechanism like a smoke alarm, the assessment of the defectiveness of such a product should take into account its failure to fulfil that purpose. (33) 煙感知器のような警告機構など、損害を防止することそのものが目的である製品の性質を反映す るため、そのような製品の欠陥のアセスメントでは、その目的が果たされていないことを考慮す べきである。
(34) In order to reflect the relevance of product safety and market surveillance legislation for determining the level of safety that a person is entitled to expect, it should be clarified that relevant product safety requirements, including safety-relevant cybersecurity requirements, and interventions by competent authorities, such as issuing product recalls, or by economic operators themselves, should be taken into account in the assessment of defectiveness. Such interventions should, however, not in themselves create a presumption of defectiveness. (34) 人が期待する権利のある安全性のレベルを決定するための製品安全及び市場監視に関する法律の関連性を反映させるために、安全関連サイバーセキュリティ要件を含む関連製品安全要件、及び製品リコールの発行などの所轄当局による介入、又は経済的事業者自身による介入を欠陥性のアセスメントに考慮すべきであることを明確にすべきである。ただし、こうした介入は、それ自体が欠陥の推定を生むものであってはならない。
(35) In the interests of consumer choice and in order to encourage innovation, research and easy access to new technologies, the existence or subsequent placing on the market of a better product should not in itself lead to the conclusion that a product is defective. Similarly, the supply of updates or upgrades for a product should not in itself lead to the conclusion that a previous version of the product is defective. (35) 消費者の選択の利益のため、また、技術革新、研究、新技術への容易なアクセスを奨励するため、より優れた製品の存在やその後の上市は、それ自体で製品に欠陥があるという結論を導くべきではない。同様に、製品のアップデートやアップグレードの提供は、それ自体で旧バージョンの製品に欠陥があるという結論を導くべきではない。
(36) The protection of natural persons requires that any manufacturer involved in the production process can be held liable, in so far as a product or a component supplied by that manufacturer is defective. This includes any person who presents themselves as the manufacturer by putting, or authorising a third party to put, their name, trademark or other distinguishing feature on a product, since by doing so that person gives the impression of being involved in the production process or of assuming responsibility for it. Where a manufacturer integrates a defective component from another manufacturer into a product, an injured person should be able to seek compensation for the same damage both from the manufacturer of the product and from the manufacturer of the component. Where a component is integrated into a product outside the control of the manufacturer of that product, an injured person should be able to seek compensation from the component manufacturer where the component itself is a product under this Directive. (36) 自然人の保護では、製造過程に関与する製造事業者は、その製造事業者が供給した製品または部品に欠陥がある限り、責任を問われる可能性がある。これには、製品に自己の名称、商標その他の識別機能を付すこと、または付すことをサードパーティに許可することによって、製造事業者であることを示す者が含まれる。製造事業者が他の製造事業者の欠陥部品を製品に組み込んだ場合、損害を被った者は、製品の製造事業者と部品の製造事業者の両方に対して、同じ損害の賠償を求めることができるはずである。部品が当該製品の製造事業者の管理外で製品に組み込まれた場合、その部品自体が本指令に基づく製品である場合、損害を受けた者は部品の製造事業者に補償を求めることができるはずである。
(37) In order to ensure that injured persons have an enforceable claim for compensation where a manufacturer of a product is established outside the Union, it should be possible to hold the importer of that product and the authorised representative of the manufacturer, appointed in relation to specified tasks under Union legislation, for example under product safety and market surveillance legislation, liable. Market surveillance has shown that supply chains sometimes involve economic operators whose novel form means that they do not fit easily into traditional supply chains under the existing legal framework. Such is the case, in particular, with fulfilment service providers, which perform many of the same functions as importers but which might not always correspond to the traditional definition of importer in Union law. Fulfilment service providers play an increasingly significant role as economic operators, enabling and facilitating access to the Union market for products from third countries. That shift in relevance is already reflected in the product safety and market surveillance framework, in particular Regulations (EU) 2019/1020 (12) and (EU) 2023/988 (13) of the European Parliament and of the Council. Therefore, it should be possible to hold fulfilment service providers liable, but given the subsidiary nature of their role, they should be liable only where no importer or authorised representative is established in the Union. In the interests of channelling liability in an effective manner towards manufacturers, importers, authorised representatives and fulfilment service providers, it should be possible to hold distributors liable only where they fail to promptly identify a relevant economic operator established in the Union. (37) 製品の製造者が域外に設立されている場合、負傷者が強制力のある賠償請求を行えるようにするため、当該製品の輸入事業者及び、例えば製品安全や市場監視に関する法令に基づき、域内法令に基づく特定業務に関して任命された製造者の公認代表者の責任を問えるようにすべきである。市場監視の結果、サプライチェーンには経済的事業者が関与している場合があり、その斬新な形態は、既存の法的枠組みのもとでは伝統的なサプライチェーンに容易になじまないことを意味している。特に、フルフィルメント・サービス・プロバイダーは、輸入事業者と同じ機能の多くを果たすが、EU法における伝統的な輸入者の定義には必ずしも当てはまらない場合がある。フルフィルメント・サービス・プロバイダーは、経済的事業者としてますます重要な役割を果たすようになり、第三国からの製品のEU市場へのアクセスを可能にし、促進している。このような関連性の変化は、製品安全および市場監視の枠組み、特に欧州議会および理事会規則(EU)2019/1020(12)および(EU)2023/988(13)にすでに反映されている。したがって、フルフィルメント・サービス・プロバイダの責任を問うことは可能であるが、その役割の補助的性質を考慮すると、輸入事業者または公認代表者が域内に設立されていない場合にのみ責任を負うべきである。製造事業者、輸入事業者、公認代理人、およびフルフィルメント・サービス・プロバイダーに対して効果的な方法で責任を負わせるという観点から、頒布事業者は、域内に設立された関連経済的事業者を速やかに特定できなかった場合にのみ責任を負うことが可能であるべきである。
(38) Online selling has grown consistently and steadily, creating new business models and new actors in the market, such as online platforms. Regulation (EU) 2022/2065 of the European Parliament and of the Council (14) and Regulation (EU) 2023/988 regulate, inter alia, the responsibility and accountability of online platforms with regard to illegal content, including in relation to the sale of products. When online platforms perform the role of manufacturer, importer, authorised representative, fulfilment service provider or distributor in respect of a defective product, they should be subject to the same liability as such economic operators. Where online platforms play a mere intermediary role in the sale of products between traders and consumers, they are covered by a conditional liability exemption under Regulation (EU) 2022/2065. However, Regulation (EU) 2022/2065 provides that online platforms that allow consumers to conclude distance contracts with traders are not exempt from liability under consumer protection law where they present the product or otherwise enable the specific transaction in question in a way that would lead an average consumer to believe that the product is provided either by the online platform itself or by a trader acting under its authority or control. In keeping with that principle, where online platforms so present the product or otherwise enable the specific transaction, it should be possible to hold them liable in the same way as distributors under this Directive. Therefore, provisions of this Directive relating to distributors should apply analogously to such online platforms. That means that such online platforms should be liable only where they present the product or otherwise enable the specific transaction in a way that would lead an average consumer to believe that the product is provided either by the online platform itself or by a trader acting under its authority or control, and only where the online platform fails to promptly identify a relevant economic operator established in the Union. (38) オンライン販売は一貫して着実に成長しており、オンライン・プラットフォームのような新しいビジネスモデルや新しいアクターを市場に生み出している。欧州議会および理事会規則(EU) 2022/2065(14)および規則(EU) 2023/988は、特に、製品の販売に関連するものを含め、違法なコンテンツに関するオンライン・プラットフォームの責任と説明責任を規制している。オンラインプラットフォームが欠陥製品に関して製造事業者、輸入事業者、公認代表者、履行サービスプロバイダーまたは頒布事業者の役割を果たす場合、そのような経済的事業者と同じ責任を負うべきである。オンラインプラットフォームが取引業者と消費者間の製品販売において単なる仲介的役割を果たす場合、規則(EU) 2022/2065に基づく条件付責任免除の対象となる。しかし、規則(EU) 2022/2065は、消費者が取引者と遠隔契約を締結することを可能にするオンラインプラットフォームが、製品を提示するか、または、その製品がオンラインプラットフォーム自体またはその権限または管理の下で行動する取引者によって提供されると平均的な消費者に信じさせるような方法で問題の特定の取引を可能にする場合、消費者保護法の下で責任を免除されないと規定している。この原則に従い、オンラインプラット フォームがそのように製品を提示するか、さもなければ特定の取引を可能にする場合、本指令に基づ く頒布事業者と同じ方法で責任を問うことができるはずである。したがって、頒布事業者に関する本指令の規定は、当該オンラインプラットフォームに類推適用されるべきである。つまり、当該オンラインプラットフォームは、平均的消費者が当該製品がオンラインプラットフォーム自体又はその認可若しくは管理の下で行動する取引業者によって提供されていると信じるような方法で製品を提示し、又はその他の方法で特定の取引を可能にする場合にのみ、また、当該オンラインプラットフォームが域内に設立された関連経済的事業者を速やかに特定できなかった場合にのみ、責任を負うべきである。
(39) In the transition from a linear to a circular economy, products are designed to be more durable, reusable, repairable and upgradable. The Union is also promoting innovative and sustainable forms of production and consumption that prolong the functionality of products and components, such as remanufacturing, refurbishment and repair, as set out in the communication of the Commission of 11 March 2020 entitled ‘A new Circular Economy Action Plan – For a cleaner and more competitive Europe’. When a product is substantially modified and is thereafter made available on the market or put into service, it is considered to be a new product. Where the modification is made outside the control of the original manufacturer, it should be possible to hold the person that made the substantial modification liable as a manufacturer of the modified product, since under relevant Union law that person is responsible for the product’s compliance with safety requirements. Whether a modification is substantial should be determined on the basis of criteria laid down in relevant Union and national product safety law, including Regulation (EU) 2023/988. Where no such criteria are laid down in respect of the product in question, modifications that change the original intended functions of the product or affect its compliance with applicable safety requirements or change its risk profile should be considered to be substantial modifications. Where a substantial modification is carried out by the original manufacturer, or within its control, and where such a substantial modification makes the product defective, that manufacturer should not be able to avoid liability by arguing that the defectiveness came into being after it placed the product on the market or put it into service. In the interests of a fair apportionment of risk in the circular economy, an economic operator that makes a substantial modification, other than the original manufacturer, should be exempted from liability if that economic operator can prove that the damage is related to a part of the product not affected by the modification. Economic operators that carry out repairs or other operations that do not involve substantial modifications should not be subject to liability under this Directive. (39) 線形経済から循環経済への移行において、製品はより耐久性があり、再利用可能で、修理可能で、アップグレード可能であるように設計されている。欧州連合はまた、2020年3月11日付けの欧州委員会のコミュニケーション「新たな循環経済行動計画-よりクリーンで競争力のある欧州のために」に示されているように、再製造、改修、修理など、製品や部品の機能を長持ちさせる革新的で持続可能な生産と消費の形態を推進している。製品に大幅な改造が施され、その後市場で入手可能になったり、使用されるようになった場合、それは新製品とみなされる。改造が元の製造事業者の管理外で行われた場合、関連するEU法の下では、その製造事業者が製品の安全要求事項への適合に責任を負うため、大幅な改造を行った者を改造製品の製造事業者として責任を問うことができるはずである。実質的な変更かどうかは、規則(EU)2023/988を含む、関連するEUおよび各国の製品安全法に定められた規準に基づいて決定されるべきである。当該製品に関してそのような規準が定められていない場合、製品の当初の意図された機能を変更する、または適用される安全要求事項への適合に影響を与える、またはリスクプロファイルを変更するような改変は、実質的な改変とみなされるべきである。実質的な改造が元の製造事業者によって、またはその管理範囲内で行われ、そのような実質的な改造によって製品に欠陥が生じた場合、その製造事業者は、製品を上市または使用開始した後に欠陥が生じたと主張することによって責任を免れることはできないはずである。通達経済におけるリスクの公平な配分のためには、製造事業者以外の、大幅な改造を行った経済的事業者は、その損害が改造の影響を受けていない製品の一部に関連していることを証明できれば、責任を免れるべきである。実質的な改造を伴わない修理その他の作業を実施する経済的事業者は、本指令に基づく責任を負うべきでない。
(40) Since products can be designed in a manner that allows modifications to be made through changes to software, including upgrades, the same principles should apply to modifications made by way of a software update or upgrade as apply to modifications made in other ways. Where a substantial modification is made through a software update or upgrade, or due to the continuous learning of an AI system, the substantially modified product should be considered to be made available on the market or put into service at the time that modification is actually made. (40) 製品は、アップグレードを含むソフトウェアの変更によって修正を行うことができるように設計することができるため、ソフトウェアの更新またはアップグレードによって行われる修正には、他の方法で行われる修正に適用されるのと同じ原則が適用されるべきである。ソフトウェアの更新やアップグレードによって、あるいはAIシステムの継続的な学習によって、実質的な改変が行われた場合、その改変が実際に行われた時点で、実質的に改変された製品が市場で入手可能になった、あるいは使用開始されたとみなされるべきである。
(41) Where victims fail to obtain compensation because no person is held liable under this Directive or because the liable persons are insolvent or have ceased to exist, Member States can use existing national sectoral compensation schemes or establish new ones under national law to appropriately compensate injured persons who suffered damage caused by defective products. It is for Member States to decide whether such compensation schemes are funded in whole or in part from public or private revenue. (41) 本指令に基づき責任を負う者がいないため、または責任を負う者が支払不能であるか消滅しているため、被害者が補償を得ることができない場合、加盟国は欠陥製品により損害を被った負傷者を適切に補償するため、既存の国内部門別補償制度を利用するか、または国内法に基づき新たな補償制度を設立することができる。このような補償制度の全部または一部を公的資金で賄うか民間資金で賄うかは加盟国が決めることである。
(42) In light of the imposition on economic operators of liability irrespective of fault, and with a view to achieving a fair apportionment of risk, a person that claims compensation for damage caused by a defective product should bear the burden of proving the damage, the defectiveness of a product and the causal link between the two, in accordance with the standard of proof applicable under national law. Persons claiming compensation for damage are, however, often at a significant disadvantage compared to manufacturers in terms of access to, and understanding of, information on how a product was produced and how it operates. That asymmetry of information can undermine the fair apportionment of risk, in particular in cases involving technical or scientific complexity. It is therefore necessary to facilitate claimants’ access to evidence to be used in legal proceedings. Such evidence includes documents that have to be created ex novo by the defendant by compiling or classifying the available evidence. In assessing the request for disclosure of evidence, national courts should ensure that such access is limited to that which is necessary and proportionate, inter alia, to avoid non-specific searches for information that is not relevant to the proceedings and to protect confidential information, such as information falling within the scope of legal professional privilege and trade secrets in accordance with Union and national law, in particular Directive (EU) 2016/943 of the European Parliament and of the Council (15). Taking into consideration the complexity of certain types of evidence, for example evidence relating to digital products, it should be possible for national courts to require such evidence to be presented in an easily accessible and easily understandable manner, subject to certain conditions. (42) 過失にかかわらず経済的事業者に責任を課すことに鑑み、また、リスクの公正な配分を達成する観点から、欠陥製品に起因する損害の賠償を請求する者は、国内法に適用される証明標準に従って、損害、製品の欠陥、および両者の因果関係を証明する責任を負うべきである。しかし、損害賠償を請求する者は、製品がどのように製造され、どのように作動するかという情報へのアクセスやその理解という点で、製造事業者に比べて著しく不利な立場に置かれることが多い。このような情報の非対称性は、特に技術的・科学的な複雑さを伴うケースでは、リスクの公平な配分を損なう可能性がある。したがって、法的手続きに使用する証拠への請求者のアクセスを容易にすることが必要である。このような証拠には、入手可能な証拠をまとめたり分類したりして、被告が独自に作成しなければならない文書も含まれる。証拠開示請求のアセスメントにおいて、各国裁判所は、特に、訴訟手続に関連しない情報の非特定的な検索を回避し、EU法及び国内法、特に欧州議会及び理事会指令(EU)2016/943(15)に従い、法律専門家の秘匿特権及び企業秘密の範囲に属する情報などの秘密情報を保護するために、当該アクセスが必要かつ比例的なものに限定されることを確保すべきである。例えばデジタル製品に関連する証拠など、ある種の証拠の複雑さを考慮し、一定の条件に従って、各国の裁判所が当該証拠を容易にアクセスでき、かつ理解しやすい方法で提示することを要求することは可能であるべきである。
(43) This Directive harmonises rules on disclosure of evidence only in so far as such matters are regulated by it. Matters not regulated by this Directive include rules on disclosure of evidence with regard to: pre-trial procedures; how specific a request for evidence must be; third parties; cases of declaratory actions; and sanctions for non-compliance with the obligation to disclose evidence. (43) 本指令は、当該事項が本指令によって規制される限りにおいてのみ、証拠開示に関する規則を調和させる。本指令で規制されていない事項には、公判前手続き、証拠開示請求の具体的内容、サードパーティ、宣言的訴えの場合、証拠開示義務の不履行に対する制裁などに関する証拠開示規則が含まれる。
(44) In light of the fact that defendants might need access to evidence at the disposal of the claimant in order to counter a claim for compensation under this Directive, defendants should also have the possibility of accessing evidence. Similar to a disclosure request made by the claimant, when assessing the request of the defendant for disclosure of evidence, national courts should ensure that such access is limited to that which is necessary and proportionate, inter alia, to avoid non-specific searches for information that is not relevant to the proceedings and to protect confidential information. (44) 本指令に基づく損害賠償請求に対抗するために、被告が請求者の手元にある証拠へのアクセス を必要とする可能性があるという事実に鑑み、被告も証拠へのアクセスの可能性を有するべきであ る。請求者が行う開示請求と同様に、被告の証拠開示請求をアセスメントする際、各国裁判所は、特に訴訟手続きに関連しない情報の非特定的な検索を回避し、秘密情報を保護するために、当該アクセスが必要かつ比例的なものに限定されることを確保すべきである。
(45) In respect of trade secrets as defined in Directive (EU) 2016/943, national courts should be empowered to take specific measures to ensure the confidentiality of trade secrets during and after the proceedings, while achieving a fair and proportionate balance between the interests of the trade secret holder with regard to secrecy and the interests of the injured person. Such measures should include at least measures to restrict access to documents containing trade secrets or alleged trade secrets and to restrict access to hearings to a limited number of people, or allowing access only to redacted documents or transcripts of hearings. When deciding on such measures, it is appropriate that national courts take into account the need to ensure the right to an effective remedy and to a fair trial, the legitimate interests of the parties and, where appropriate, of third parties, and potential harm for either of the parties to a dispute, and, where appropriate, for third parties, which results from the granting or rejection of such measures. (45) 指令(EU)2016/943 で定義されている営業秘密に関しては、各国裁判所は、秘密保持に関する営業秘密保有者の利益と損害を受けた者の利益との間で公正かつ比例的なバランスを達成しつつ、訴訟中及び訴訟後に営業秘密の秘密保持を確保するための特定の措置を講じる権限を付与されるべきである。このような措置には、少なくとも、営業秘密又は営業秘密とされるものを含む文書へのアクセス を制限する措置、審理へのアクセスを限られた人数に制限する措置、又は冗長化された文書若しくは審 議会の記録へのアクセスのみを許可する措置が含まれるべきである。このような措置を決定する場合、各国の裁判所は、実効的な救済を受ける権利及び公正な裁判を受ける権利を確保する必要性、当事者及び適切な場合には第三者の正当な利益、並びに紛争当事者のいずれか及び適切な場合には第三者にとって、このような措置の付与又は却下によって生じる潜在的な損害を考慮することが適切である。
(46) It is necessary to alleviate the claimant’s burden of proof provided that certain conditions are fulfilled. Rebuttable presumptions of fact are a common mechanism for alleviating a claimant’s evidential difficulties and allowing a court to base the existence of defectiveness or of a causal link on the presence of another fact that has been proven while preserving the rights of the defendant. In order to provide an incentive to comply with the obligation to disclose information, national courts should presume the defectiveness of a product where a defendant fails to comply with such an obligation. Many mandatory safety requirements have been adopted in order to protect consumers and other natural persons from the risk of harm, including under Regulation (EU) 2023/988. In order to reinforce the close relationship between product safety rules and liability rules, non-compliance with such requirements should also result in a presumption of defectiveness. That includes cases in which a product is not equipped with the means to log information about the operation of the product as required under Union or national law. The same should apply in the case of obvious malfunction, such as a glass bottle that explodes in the course of reasonably foreseeable use, since it is unnecessarily burdensome to require a claimant to prove defectiveness when the circumstances are such that its existence is undisputed. Reasonably foreseeable use covers the use for which a product is intended in accordance with the information provided by the manufacturer or economic operator placing it on the market, the ordinary use as determined by the design and construction of the product, and use which can be reasonably foreseen where such use could result from lawful and readily predictable human behaviour. (46) 一定の条件が満たされることを条件に、請求人の立証責任を軽減する必要がある。事実の反証可能な推定は、請求人の立証上の困難を軽減し、裁判所が被告の権利を保持しつつ、立証された別の事実の存在に基づいて瑕疵の存在や因果関係の存在を根拠づけることを可能にする一般的なメカニズムである。情報開示義務を遵守するインセンティブを与えるため、各国の裁判所は、被告がそのような義務を遵守しない場合、製品の欠陥性を推定すべきである。規則(EU)2023/988を含め、消費者やその他の自然人を危害のリスクから保護するために、多くの強制的安全要件が採用されている。製品安全規則と賠償責任規則との密接な関係を強化するため、このような要求事項への不遵守は欠陥の推定にもつながるはずである。これには、EU法または国内法で義務付けられている、製品の動作に関する情報を記録する手段を製品が備えていない場合も含まれる。合理的に予見可能な使用の過程で爆発したガラス瓶のような明らかな故障の場合も同様であるべきである。なぜなら、瑕疵の存在に議論の余地がないような状況であるにもかかわらず、瑕疵の立証を請求者に要求するのは不必要に負担が大きいからである。合理的に予見可能な使用とは、製造事業者または上市する経済的事業者が提供する情報に従って製品が意図される使用、製品の設計および構造によって決定される通常の使用、および、そのような使用が合法的かつ容易に予測可能な人間の行動から生じ得る場合に合理的に予見され得る使用を対象とする。
(47) Where it has been established that a product is defective and the kind of damage that occurred is, based primarily on similar cases, typically caused by the defectiveness in question, the claimant should not be required to prove the causal link and its existence should be presumed. (47) 製品に欠陥があることが立証され、発生した損害の種類が、主に類似の事例に基づいて、当該欠陥に起因する典型的なものである場合、請求人は因果関係を立証する必要はなく、その存在は推定されるべきである。
(48) National courts should presume the defectiveness of a product or the causal link between the damage and the defectiveness, or both, where, notwithstanding the defendant’s disclosure of information, it would be excessively difficult for the claimant, in particular due to the technical or scientific complexity of the case, to prove the defectiveness or the causal link, or both. They should do so taking into account all the circumstances of the case. In such cases, imposing the usual standard of proof as required under national law, which often calls for a high degree of probability, would undermine the effectiveness of the right to compensation. Therefore, given that manufacturers have expert knowledge and are better informed than the injured person, and in order to maintain a fair apportionment of risk while avoiding a reversal of the burden of proof, that claimant should be required to demonstrate, where the claimant’s difficulties relate to proving defectiveness, only that it is likely that the product was defective, or, where the claimant’s difficulties relate to proving the causal link, only that the defectiveness of the product is a likely cause of the damage. Technical or scientific complexity should be determined by national courts on a case-by-case basis, taking into account various factors. Those factors should include the complex nature of the product, such as an innovative medical device; the complex nature of the technology used, such as machine learning; the complex nature of the information and data to be analysed by the claimant; and the complex nature of the causal link, such as a link between a pharmaceutical or food product and the onset of a health condition or a link that, in order to be proven, would require the claimant to explain the inner workings of an AI system. The assessment of excessive difficulties should also be made by national courts on a case-by-case basis. While a claimant should provide arguments to demonstrate excessive difficulties, proof of such difficulties should not be required. For example, in a claim concerning an AI system, the claimant should, for the court to decide that excessive difficulties exist, neither be required to explain the AI system’s specific characteristics nor how those characteristics make it harder to establish the causal link. The defendant should have the possibility of contesting all elements of the claim, including the existence of excessive difficulties. (48) 国内裁判所は、被告が情報を開示したにもかかわらず、特に事案の技術的または科学的な複雑さのために、請求人が欠陥性もしくは因果関係、またはその両方を証明することが過度に困難である場合には、製品の欠陥性または損害と欠陥性の因果関係、またはその両方を推定すべきである。そのような場合は、事案のすべての状況を考慮して、それを行うべきである。このような場合、国内法で要求されるような通常の標準的な立証基準を課すことは、しばしば高度の蓋然性を要求することになり、補償を受ける権利の実効性を損なうことになる。したがって、製造事業者は専門的知識を有し、負傷者よりも十分な知識を有していることを考慮し、また、立証責任の逆転を回避しつつリスクの公平な配分を維持するために、請求者が欠陥の立証に困難を伴う場合は、製品に欠陥があった可能性が高いことのみを、請求者が因果関係の立証に困難を伴う場合は、製品の欠陥が損害の原因である可能性が高いことのみを立証することを要求すべきである。技術的または科学的な複雑性は、様々な要素を考慮して、各国の裁判所がケースバイケースで判断すべきである。それらの要素には、革新的な医療機器のような製品の複雑な性質、機械学習のような使用される技術の複雑な性質、請求人が分析すべき情報やデータの複雑な性質、医薬品や食品と健康状態の発症との関連や、立証するためには請求人がAIシステムの内部構造を説明する必要があるような関連など、因果関係の複雑な性質が含まれるべきである。過度の困難性のアセスメントも、各国の裁判所がケースバイケースで行うべきである。請求者は過度の困難を証明するための論拠を提供すべきであるが、そのような困難の証明は要求されるべきではない。例えば、AIシステムに関する請求において、裁判所が過度の困難性が存在すると判断するためには、請求人はAIシステムの具体的な特性や、その特性が因果関係の立証をどのように困難にしているのかを説明する必要はないはずである。被告は、過度の困難性の存在を含め、請求のすべての要素について争う可能性を有するべきである。
(49) In the interest of a fair apportionment of risk, economic operators should be exempted from liability if they can prove the existence of specific exonerating circumstances. They should not be liable where they can prove that a person other than themselves caused the product to leave the manufacturing process against their will or that compliance with legal requirements was precisely the reason for the product’s defectiveness. (49) リスクの公平な配分の観点から、経済的事業者は、特定の免責事由の存在を証明できる場合には、責任を免除されるべきである。経済事業者は、自分以外の者が意に反して製品を製造工程から離脱させたこと、または法的要件の遵守がまさに製品の欠陥の理由であったことを証明できる場合には、責任を負うべきでない。
(50) The moment of placing on the market or putting into service is normally the moment when a product leaves the control of the manufacturer, while for distributors it is the moment when they make the product available on the market. Manufacturers should therefore be exempted from liability where they prove that it is probable that the defectiveness that caused the damage did not exist when they placed the product on the market or put it into service or that the defectiveness came into being after that moment. However, since digital technologies allow manufacturers to exercise control beyond the moment of placing the product on the market or putting into service, manufacturers should remain liable for defectiveness that comes into being after that moment as a result of software or related services within their control, be it in the form of updates or upgrades or machine-learning algorithms. Such software or related services should be considered to be within the manufacturer’s control where they are supplied by that manufacturer or where that manufacturer authorises them or otherwise consents to their supply by a third party. For example, if a smart television is presented as including a video application, but the user is required to download the application from a third party’s website after the purchase of the television, the television manufacturer should remain liable, alongside the manufacturer of the video application, for damage caused by any defectiveness of the video application, even though the defectiveness came into being only after the television was placed on the market. (50) 上市または使用開始の瞬間は、通常、製品が製造事業者の管理を離れた瞬間であり、頒布事業者にとっては、製品を市場で入手可能にした瞬間である。したがって、製造事業者は、損害の原因となった欠陥が、製品を上市または使用開始した時点では存在しなかったか、または欠陥がその時点以降に存在するようになった可能性が高いことを証明する場合、責任を免除されるべきである。しかし、デジタル技術により、製造事業者は製品を上市または使用開始した時点を超えて管理することができるため、アップデートやアップグレード、機械学習アルゴリズムなど、製造事業者の管理下にあるソフトウェアや関連サービスの結果として、その時点以降に発生した欠陥については、製造事業者は引き続き責任を負うべきである。このようなソフトウエアや関連サービスは、製造事業者が供給している場合、または製造事業者が許可している場合、あるいはサードパーティが供給することを同意している場合には、製造事業者の管理下にあるとみなされるべきである。例えば、スマートテレビがビデオアプリケーションを含むと表示されているにもかかわらず、ユーザーがテレビ購入後にサードパーティーのウェブサイトからアプリケーションをダウンロードする必要がある場合、テレビの製造者は、ビデオアプリケーションの製造者とともに、ビデオアプリケーションの欠陥によって生じた損害について、たとえその欠陥がテレビが上市された後に生じたとしても、引き続き責任を負うべきである。
(51) The possibility for economic operators to avoid liability by proving that the defectiveness came into being after they placed the product on the market or put it into service should be restricted when a product’s defectiveness consists in the lack of software updates or upgrades necessary to address cybersecurity vulnerabilities and maintain the safety of the product. Such vulnerabilities can affect the product in such a way that it causes damage within the meaning of this Directive. In recognition of manufacturers’ responsibilities under Union law for the safety of products throughout their lifecycle, such as under Regulation (EU) 2017/745 of the European Parliament and of the Council (16), manufacturers should also not be exempted from liability for damage caused by their defective products when the defectiveness results from their failure to supply the software security updates or upgrades that are necessary to address those products’ vulnerabilities in response to evolving cybersecurity risks. Such liability should not apply where the supply or installation of such software is beyond the manufacturer’s control, for example where the owner of the product does not install an update or upgrade supplied for the purpose of ensuring or maintaining the level of safety of the product. This Directive does not impose any obligation to provide updates or upgrades for a product. (51) 製品の欠陥が、サイバーセキュリティの脆弱性に対処し、製品の安全性を維持するために必要なソフトウ ェアの更新やアップグレードの欠如に起因する場合、経済的事業者が、製品を上市または使用開始した後 に欠陥が生じたことを証明することによって責任を回避する可能性は制限されるべきである。そのような脆弱性は、本指令の意味における損害を引き起こすような形で製品に影響を及ぼす可能性がある。欧州議会及び理事会規則(EU)2017/745(16)などに基づき、製品のライフサイクル全体を通じて製品の安全性を確保するための製造者のEU法上の責任を考慮すると、製造者は、製品の欠陥が、進化するサイバーセキュリティリスクに対応して製品の脆弱性に対処するために必要なソフトウェアセキュリティアップデートまたはアップグレードを供給しなかったことに起因する場合、その欠陥製品に起因する損害に対する責任を免除されるべきではない。このような責任は、当該ソフトウェアの供給やインストールが製造事業者の管理の及ばない場合、例えば製品の所有者が製品の安全レベルを確保または維持する目的で供給されたアップデートやアップグレードをインストールしない場合などには適用されるべきではない。本指令は、製品のアップデート又はアップグレードを提供する義務を課すものではない。
(52) In the interests of a fair apportionment of risk, economic operators should be exempted from liability if they prove that the state of scientific and technical knowledge, determined with reference to the most advanced level of objective knowledge accessible and not to the actual knowledge of the economic operator in question, during the period in which the product was within the manufacturer’s control, was such that the existence of the defectiveness could not be discovered. (52) リスクの公平な配分の観点から、経済的事業者は、製品が製造事業者の管理下にあった期間中、当該経済的事業者の実際の知識ではなく、アクセス可能な客観的知識の最先端レベルを参照して決定された科学的・技術的知識の状態が、欠陥の存在を発見できないようなものであったことを証明した場合、責任を免除されるべきである。
(53) Situations can arise in which two or more parties are liable for the same damage, in particular where a defective component is integrated into a product that causes damage. In such a case, the injured person should be able to seek compensation both from the manufacturer that integrated the defective component into its product and from the manufacturer of the defective component itself. In order to ensure the protection of natural persons, all parties should be held liable jointly and severally in such situations. (53) 特に、欠陥のある部品が損害を与える製品に組み込まれている場合など、2者以上の当事者が同じ損害について責任を負う状況が生じうる。このような場合、損害を受けた者は、欠陥部品を製品に組み込んだ製造事業者と欠陥部品自体の製造事業者の両方に対して補償を求めることができるはずである。自然人の保護を確実にするため、このような状況では、すべての当事者が連帯して責任を負うべきである。
(54) A high degree of innovation is particularly necessary in the software sector. With a view to supporting the innovative capacity of microenterprises and small enterprises that manufacture software, it should be possible for such enterprises to contractually agree with manufacturers that integrate their software into a product that the latter will not seek recourse from the software manufacturer in the event of a defective software component causing harm. Such contractual agreements, already used in some Member States, should be allowed, since the manufacturer of the product as a whole is in any event liable for any defectiveness in the product, including in components. However, liability towards an injured person should never be limited or excluded by such a contractual agreement. (54) ソフトウェア分野では、高度なイノベーションが特に必要である。ソフトウェアを製造する零細企業や小規模企業の革新的能力を支援する観点から、そのような企業が、自社のソフトウェアを製品に統合する製造事業者との間で、欠陥のあるソフトウェア部品が損害を引き起こした場合に、後者がソフトウェア製造者に損害賠償を求めないことを契約上合意することを可能にすべきである。このような契約上の合意は、加盟国の一部ですでに採用されているが、コンポーネントも含め、製品の欠陥については、いずれにせよ製品全体の製造事業者が責任を負うことになるため、認められるべきである。しかし、負傷者に対する責任は、そのような契約上の合意によって決して制限されたり排除されたりすべきではない。
(55) Situations can arise in which the acts and omissions of a person other than a potentially liable economic operator contribute, in addition to the defectiveness of the product, to the cause of the damage suffered, such as a third party exploiting a cybersecurity vulnerability of a product. In the interests of consumer protection, where a product is defective, for example due to a vulnerability that makes the product less safe than the public at large is entitled to expect, the liability of the economic operator should not be reduced or disallowed as a result of such acts or omissions by a third party. However, it should be possible to reduce or disallow the economic operator’s liability where injured persons themselves have negligently contributed to the cause of the damage, for example where the injured person negligently failed to install updates or upgrades provided by the economic operator that would have mitigated or avoided the damage. (55) 第三者が製品のサイバーセキュリティの脆弱性を悪用するなど、潜在的な責任を負う経済的事業者以外の者の作為・不作為が、製品の欠陥に加えて、被った損害の原因に寄与する状況が生じ得る。消費者保護の観点から、例えば脆弱性によって製品に欠陥があり、一般消費者が期待するよりも製品の安全性が低い場合、第三者によるそのような作為または不作為の結果として、経済的事業者の責任を減免すべきではない。ただし、損害を受けた者自身が過失により損害の原因に寄与した場合、例えば、損害を軽減または回避できたであろう経済的事業者が提供した更新プログラムやアップグレードを、損害を受けた者が過失によりインストールしなかった場合などには、経済的事業者の責任を減免することが可能であるべきである。
(56) The objective of protecting natural persons would be undermined if it were possible to limit or exclude an economic operator’s liability through contractual provisions. Therefore no contractual derogations should be permitted. For the same reason, it should not be possible for provisions of national law to limit or exclude liability, such as by setting financial ceilings on an economic operator’s liability. (56) 契約条項によって経済的事業者の責任を制限または排除することが可能であれば、自然人を保護するという目的は損なわれる。したがって、契約上の免除は許されるべきではない。同じ理由から、経済的事業者の責任に金銭的上限を設けるなどして、国内法の規定が責任を制限または排除することは可能であってはならない。
(57) Given that products age over time and that higher safety standards are developed as the state of science and technology progresses, it would not be reasonable to make manufacturers liable for an unlimited period of time for the defectiveness of their products. Therefore, liability should be subject to a reasonable length of time, namely 10 years from the placing on the market or putting into service of a product (the ‘expiry period’), without prejudice to claims pending in legal proceedings. In order to avoid unreasonably restricting the possibility of compensation for damage caused by a defective product, the expiry period should be extended to 25 years in cases where the symptoms of a personal injury are, according to medical evidence, slow to emerge. (57) 製品は時間の経過とともに古くなり、科学技術の進歩に伴ってより高い安全標準が開発されることを考えれば、製造事業者に製品の欠陥について無制限に責任を負わせることは妥当ではない。したがって、法的手続きに係属中の請求を害することなく、製品の上市または使用開始から10年という合理的な期間(「有効期間」)に責任を負わせるべきである。欠陥のある製品に起因する損害に対する補償の可能性を不当に制限することを避けるため、医学的証拠によれば人身傷害の症状の出現が遅い場合には、有効期間を25年に延長すべきである。
(58) Since substantially modified products are essentially new products, a new expiry period should start to run after a product has been substantially modified and has subsequently been made available on the market or put into service, for example as a result of remanufacturing. Updates or upgrades that do not amount to a substantial modification of the product should not affect the expiry period that applies to the original product. (58) 実質的に変更された製品は本質的に新しい製品であるため、例えば再製造の結果として、製品が実質的に変更され、その後市場で入手可能になった後、または使用されるようになった後に、新たな有効期間が開始されるべきである。製品の実質的な変更に相当しない更新やアップグレードは、元の製品に適用される有効期限に影響を及ぼすべきではない。
(59) The possibility provided for in this Directive whereby an economic operator that proves that the state of scientific and technical knowledge at the time when a product was placed on the market or put into service or during the period in which the product was within the manufacturer’s control was not such as to enable the existence of a defect to be discovered can avoid liability, the so-called ‘development risk defence’, could be deemed in certain Member States to limit unduly the protection of natural persons. It should therefore be possible for a Member State to derogate from that possibility by introducing new measures, or amending existing measures, to extend liability in such situations to specific types of products if it is deemed necessary, proportionate and justified by public interest objectives, such as those set out in the Treaty on the Functioning of the European Union, namely public policy, public security and public health. To ensure transparency and legal certainty for economic operators operating across the Union, the use of such a derogation from the development risk defence should be notified to the Commission, which should then inform the other Member States. In order to facilitate a coherent approach across Member States and consistency with the objectives of this Directive, the Commission should be able to issue non-binding opinions on the proposed measures or amendments. In order to allow time for the issuing of an opinion, a Member State proposing such measures or amendments should hold the proposed measures or amendments in abeyance for six months following their notification to the Commission, unless the Commission issues an opinion earlier. Such an opinion should be issued after close cooperation between the Member State concerned and the Commission, taking into account the views of other Member States, if any. In the interest of legal certainty and to facilitate continuity of arrangements established under Directive 85/374/EEC, it should also be possible for a Member State to maintain existing derogations from the development risk defence in its legal system. (59) 本指令に規定されている、製品が上市または使用開始された時点、または製品が製造事業者の 管理下にあった期間における科学的および技術的知識の状態が、欠陥の存在を発見できるような ものではなかったことを証明する経済的事業者が責任を回避できる可能性、いわゆる「開発リスク の防御」は、特定の加盟国では自然人の保護を不当に制限するものと見なされる可能性がある。したがって、加盟国は、欧州連合の機能に関する条約に規定されているような公益目的、すなわち公共政策、公共の安全および公衆衛生が必要であり、比例的であり、かつ正当化されるとみなされる場合には、そのような状況における責任を特定の種類の製品に拡大するための新たな措置を導入するか、既存の措置を修正することによって、その可能性を緩和することができるようにすべきである。EU域内で活動する経済的事業者の透明性と法的確実性を確保するため、このような開発リスク条項の適用除外の利用は欧州委員会に通知されるべきであり、欧州委員会はそれを他の加盟国に通知すべきである。加盟国間の首尾一貫したアプローチを促進し、本指令の目的との整合性を図るため、欧州委員会は提案された措置または修正について拘束力のない意見を発表できるようにすべきである。意見書を発行するための時間を確保するため、かかる措置または改正を提案する加盟国は、欧州委員会が早期に意見書を発行しない限り、欧州委員会への通知後6ヶ月間は、提案された措置または改正を保留すべきである。このような意見は、関係加盟国と欧州委員会が緊密に協力し、他の加盟国の見解がある場合にはそれを考慮した上で出されるべきである。法的確実性の観点から、また指令85/374/EECに基づき確立された取決めの継続性を促進するため、加盟国は自国の法制度における開発リスク防御の既存の適用除外を維持することも可能でなければならない。
(60) In order to facilitate the harmonised interpretation of this Directive by national courts, Member States should be required to publish final court judgments on product liability under this Directive, meaning those judgments that cannot be, or can no longer be, appealed. In order to limit the administrative burden, Member States should be required only to publish judgments of national courts of appeal or of the highest instance. (60) 各国裁判所による本指令の調和された解釈を促進するため、加盟国は本指令に基づく製造物責任に関 する最終判決(上訴できないか、上訴できなくなった判決を意味する)を公表することが義務付け られるべきである。管理上の負担を制限するため、加盟国は国内控訴裁判所または最高裁判所の判決のみを公表するよう義務付けられ るべきである。
(61) To increase the understanding of how this Directive is applied at national level, for the benefit of, inter alia, the public, legal practitioners, academics and Member States, the Commission should set up and maintain an easily accessible and publicly available database containing the relevant judgments as well as references to relevant judgments delivered by the Court of Justice of the European Union. (61) この指令が国内レベルでどのように適用されているかについての理解を深めるため、特に一般市民、法律家、学者、加盟国のために、欧州委員会は、関連する判決および欧州連合司法裁判所が下した関連判決への参照を含む、容易にアクセス可能で一般に利用可能なデータベースを設置し、維持すべきである。
(62) The Commission should carry out an evaluation of this Directive. Pursuant to paragraph 22 of the Interinstitutional Agreement of 13 April 2016 on Better Law-Making (17), that evaluation should be based on the five criteria of efficiency, effectiveness, relevance, coherence and value added and should provide the basis for impact assessments of possible further measures. In its evaluation report, the Commission should provide the methodology for the calculations used in its evaluation. It is important that the Commission gather all relevant information in a way that avoids overregulation and an administrative burden for Member States and economic operators, using information from all relevant and reliable sources, including Union institutions, bodies, offices and agencies, national competent authorities and internationally recognised bodies and organisations. (62) 欧州委員会は本指令の評価を実施すべきである。より良い法作りに関する2016年4月13日の機関間合意(17)の第22項に従い、その評価は効率性、有効性、関連性、首尾一貫性、付加価値の5つの規準に基づくべきであり、可能な追加措置の影響アセスメントの基礎を提供すべきである。評価報告書において、欧州委員会は評価に使用した計算の方法論を提供すべきである。欧州委員会は、加盟国および経済的事業者にとって過度な規制や事務的負担とならないような方法で、関連するすべての情報を収集することが重要である。その際、欧州連合の機構、機関、事務所、機関、各国の所轄官庁、国際的に認められた機関や組織など、あらゆる関連する信頼できる情報源からの情報を利用する。
(63) For reasons of legal certainty, this Directive does not apply to products placed on the market or put into service before 9 December 2026. It is therefore necessary to provide for transitional arrangements in order to ensure continued liability under Directive 85/374/EEC for damage caused by defective products which have been placed on the market or put into service before that date. (63) 法的確実性の理由から、本指令は 2026 年 12 月 9 日より前に上市または使用開始された製品には適用されない。したがって、その日より前に上市または使用開始された欠陥製品に起因する損害について、指令 85/374/EEC に基づく責任の継続を確保するために、経過措置を定めることが必要である。
(64) Since the objectives of this Directive, namely to ensure the functioning of the internal market, undistorted competition and a high level of protection for natural persons, cannot be sufficiently achieved by the Member States due to the Union-wide nature of the market in goods but can rather, by reason of the harmonising effect of common rules on liability, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union. In accordance with the principle of proportionality, as set out in that Article, this Directive does not go beyond what is necessary in order to achieve those objectives, (64) 本指令の目的、すなわち、域内市場の機能、歪みのない競争、および自然人に対する高水準の保護を確保することは、商品市場の同盟国全体の性質により加盟国によって十分に達成されるものではなく、責任に関する共通規則の調和効果により、むしろ同盟国レベルでよりよく達成されるため、同盟国は、欧州連合条約第5条に定める補完性の原則に従い、措置を採用することができる。同条に定める比例原則に従い、本指令はこれらの目的を達成するために必要な範囲を超えるものではない、
HAVE ADOPTED THIS DIRECTIVE: は本指令を採択した:
CHAPTER I GENERAL PROVISIONS 第1章 一般規定
Article 1 Subject matter and objective 第1条 主題および目的
This Directive lays down common rules on the liability of economic operators for damage suffered by natural persons and caused by defective products, and on compensation for such damage. 本指令は、自然人が被った、欠陥製品に起因する損害に対する経済的事業者の責任、および当該損害の補償に関する共通の規則を定めるものである。
The objective of this Directive is to contribute to the proper functioning of the internal market while ensuring a high level of protection of consumers and other natural persons. 本指令の目的は、消費者およびその他の自然人の高水準の保護を確保しつつ、域内市場の適切な機能に貢献することである。
Article 2 Scope 第2条 適用範囲
1. This Directive shall apply to products placed on the market or put into service after 9 December 2026. 1. 本指令は、2026 年 12 月 9 日以降に上市または使用開始される製品に適用されるものとする。
2. This Directive does not apply to free and open-source software that is developed or supplied outside the course of a commercial activity. 2. 本指令は、商業活動の範囲外で開発または提供されるフリーソフトウェアおよびオープンソースソフトウェアには適用されない。
3. This Directive does not apply to damage arising from nuclear accidents in so far as liability for such damage is covered by international conventions ratified by Member States. 3. 本指令は、加盟国が批准した国際条約によって当該損害に対する責任がカバーされる限りにおいて、原子力事故から生じる損害には適用されない。
4. This Directive does not affect: 4. 本指令は以下の事項に影響を及ぼさない:
(a) the applicability of Union law on the protection of personal data, in particular Regulation (EU) 2016/679 and Directives 2002/58/EC and (EU) 2016/680; (a) 個人データの保護に関する連邦法、特に規則 (EU) 2016/679 および指令 2002/58/EC および (EU) 2016/680 の適用法;
(b) any right which an injured person has under national rules concerning contractual liability or concerning non-contractual liability on grounds other than the defectiveness of a product as provided for in this Directive, including national rules implementing Union law; (b) 本指令に規定される製品の欠陥以外の理由による契約責任に関する国内規則又は非契約責任に関する国内規則に基づき、損害を被った者が有するあらゆる権利(組合法を実施する国内規則を含む);
(c) any right which an injured person has under any special liability system that existed in national law on 30 July 1985. (c) 1985 年 7 月 30 日に国内法に存在した特別な責任制度に基づき、傷害を受けた者が有する権利。
Article 3 Level of harmonisation 第3条 調和のレベル
Member States shall not maintain or introduce, in their national law, provisions diverging from those laid down in this Directive, including more stringent or less stringent provisions, to achieve a different level of protection for consumers and other natural persons, unless otherwise provided for in this Directive. 加盟国は、本指令に別段の定めがある場合を除き、消費者及びその他の自然人に対する異なる保護レベルを達成するために、より厳格な規定またはより厳格でない規定を含め、本指令に定める規定と異なる規定を国内法に維持または導入してはならない。
Article 4 Definitions 第4条 定義
For the purposes of this Directive, the following definitions apply: 本指令の目的には、以下の定義が適用される:
(1) ‘product’ means all movables, even if integrated into, or inter-connected with, another movable or an immovable; it includes electricity, digital manufacturing files, raw materials and software; (1) 「製品」とは、他の動産または不動物と一体化されている、または相互に接続されている場合であっても、すべての動産を意味し、電気、デジタル製造ファイル、原材料およびソフトウェアを含む;
(2) ‘digital manufacturing file’ means a digital version of, or digital template for, a movable which contains the functional information necessary to produce a tangible item by enabling the automated control of machinery or tools; (2) 「デジタル製造ファイル」とは、機械または工具の自動制御を可能にすることにより有形物品を製造するために必要な機能情報を含む、動産のデジタルバージョンまたはデジタルテンプレートをいう;
(3) ‘related service’ means a digital service that is integrated into, or inter-connected with, a product in such a way that its absence would prevent the product from performing one or more of its functions; (3) 「関連サービス」とは、デジタルサービスのうち、そのサービスがなければ製品の1つまたは複数の機能の実行が妨げられるような形で製品に組み込まれ、または製品に相互に接続されているものをいう;
(4) ‘component’ means any item, whether tangible or intangible, raw material or related service, that is integrated into, or inter-connected with, a product; (4) 「構成部品」とは、有形、無形、原材料、関連サービスの如何を問わず、製品に組み込まれ、 または製品と相互に接続されるあらゆる物品をいう;
(5) ‘manufacturer’s control’ means that: (5) 「製造事業者の管理」とは、以下を意味する:
(a) the manufacturer of a product performs or, with regard to actions of a third party, authorises or consents to: (a)製品の製造事業者が、次のことを行うか、またはサードパーティーの行為に関して、許可または同意する:
(i) the integration, inter-connection or supply of a component, including software updates or upgrades; or (i) コンポーネントの統合、相互接続又は供給(ソフトウェアの更新又はアップグレードを含む。
(ii) the modification of the product, including substantial modifications; (ii) 実質的な変更を含む、製品の変更;
(b) the manufacturer of a product has the ability to supply software updates or upgrades, themselves or via a third party; (b)製品の製造事業者は、自社で、またはサードパーティを通じて、ソフトウェアの更新またはアップグレードを供給する能力を有する;
(6) ‘data’ means data as defined in Article 2, point (1), of Regulation (EU) 2022/868 of the European Parliament and of the Council (18); (6) 「データ」とは、欧州議会及び理事会規則(EU) 2022/868(18)の第2条(1)に定義されるデータをいう;
(7) ‘making available on the market’ means any supply of a product for distribution, consumption or use on the Union market in the course of a commercial activity, whether in return for payment or free of charge; (7) 「市場で入手可能」とは、商業活動の過程において、有償であるか無償であるかを問わず、EU市場での流通、消費又は使用のために製品を供給することをいう;
(8) ‘placing on the market’ means the first making available of a product on the Union market; (8) '上市'とは、EU市場で製品を最初に入手可能にすることをいう;
(9) ‘putting into service’ means the first use of a product in the Union in the course of a commercial activity, whether in return for payment or free of charge, in circumstances in which that product has not been placed on the market prior to its first use; (9) 「使用開始」とは、商業活動の過程において、有償であるか無償であるかを問わず、その製品が最初に使用される前に上市されていない状況において、その製品が連合域内で最初に使用されることをいう;
(10) ‘manufacturer’ means any natural or legal person who: (10) 「製造事業者」とは、自然人または法人をいう:
(a) develops, manufactures or produces a product; (a) 製品を開発、製造または生産する;
(b) has a product designed or manufactured, or who, by putting their name, trademark or other distinguishing features on that product, presents themselves as its manufacturer; or (b) 製品を設計もしくは製造させる者、または当該製品に自己の名称、商標もしくはその他の識別機能を付すことにより、当該製品の製造事業者であることを示す者。
(c) develops, manufactures or produces a product for their own use; (c) 自己使用のために製品を開発、製造または生産する;
(11) ‘authorised representative’ means any natural or legal person established within the Union who has received a written mandate from a manufacturer to act on that manufacturer’s behalf in relation to specified tasks; (11) 「公認代表者」とは,特定業務に関して製造事業者に代わって行動することを製造事業者から書面で委任された,域内に設立された自然人又は法人をいう;
(12) ‘importer’ means any natural or legal person who places a product from a third country on the Union market; (12) 「輸入事業者」とは,第三国からの製品を上市する自然人又は法人をいう;
(13) ‘fulfilment service provider’ means any natural or legal person offering, in the course of a commercial activity, at least two of the following services: warehousing, packaging, addressing and dispatching of a product, without having ownership of that product, excluding postal services as defined in Article 2, point (1), of Directive 97/67/EC of the European Parliament and of the Council (19), parcel delivery services as defined in Article 2, point (2), of Regulation (EU) 2018/644 of the European Parliament and of the Council (20), and any other postal services or freight transport services; (13) 「フルフィルメントサービスプロバイダ」とは,商業活動の過程において,次のサービスのうち少なくとも 2 つを提供する自然人又は法人をいう: 欧州議会及び理事会指令 97/67/EC (19)の第2条第(1)項に定義される郵便サービス、欧州議会及び理事会規則 (EU) 2018/644 (20)の第2条第(2)項に定義される小包配達サービス、及びその他の郵便サービス又は貨物輸送サービスを除く;
(14) ‘distributor’ means any natural or legal person in the supply chain who makes a product available on the market, other than the manufacturer or importer of that product; (14) 「頒布事業者」とは、製品の製造事業者又は輸入事業者以外の、製品を市場で入手可能にするサプライチェーンにおける自然人又は法人をいう;
(15) ‘economic operator’ means a manufacturer of a product or component, a provider of a related service, an authorised representative, an importer, a fulfilment service provider or a distributor; (15) 「経済的事業者」とは、製品または部品の製造事業者、関連サービスのプロバイダ、公認代表者、輸入事業者、フルフィルメント・サービス・プロバイダまたはディストリビュータをいう;
(16) ‘online platform’ means online platform as defined in Article 3, point (i), of Regulation (EU) 2022/2065; (16) 「オンラインプラットフォーム」とは、Regulation (EU) 2022/2065の第3条(i)に定義されるオンラインプラットフォームをいう;
(17) ‘trade secret’ means trade secret as defined in Article 2, point (1), of Directive (EU) 2016/943; (17) 「営業秘密」とは、指令(EU)2016/943の第2条(1)に定義される営業秘密をいう;
(18) ‘substantial modification’ means a modification of a product after it has been placed on the market or put into service: (18) 「実質的変更」とは、上市又は使用開始後の製品の変更をいう:
(a) that is considered substantial under relevant Union or national rules on product safety; or (a)製品安全に関する関連するEU又は国内規則の下で実質的とみなされるもの、又は
(b) where relevant Union or national rules on product safety lay down no threshold on what is to be considered a substantial modification, that: (b)製品安全に関する関連するEU規則又は国内規則が、何を実質的な変更とみなすかについての閾値を定めていない場合、次のものをいう:
(i) changes the product’s original performance, purpose or type, without that change having been foreseen in the manufacturer’s initial risk assessment; and (i) その変更が製造事業者の最初のリスクアセスメントで予見されることなく、製品の当初の性能、目的、または型式を変更すること。
(ii) changes the nature of the hazard, creates a new hazard or increases the level of risk. (ii) ハザードの性質を変更し、新たなハザードを生じさせ、またはリスクのレベルを増加させる。
CHAPTER II SPECIFIC PROVISIONS ON LIABILITY FOR DEFECTIVE PRODUCTS 第2章 欠陥製品に対する責任に関する具体的規定
Article 5 Right to compensation 第5条 補償を受ける権利
1. Member States shall ensure that any natural person who suffers damage caused by a defective product (the ‘injured person’) is entitled to compensation in accordance with this Directive. 1. 加盟国は、欠陥製品によって損害を被った自然人(「損害を被った者」)が本指令に従って補償を受ける権利を有することを保証するものとする。
2. Member States shall ensure that claims for compensation pursuant to paragraph 1 may also be brought by: 2. 加盟国は、第1項に基づく補償請求が以下によっても提起されることを確保するものとする:
(a) a person that succeeded, or was subrogated, to the right of the injured person by virtue of Union or national law or contract; or (a) 組合法もしくは国内法または契約により、損害を受けた者の権利を承継した者、または代位された者。
(b) a person acting on behalf of one or more injured persons by virtue of Union or national law. (b) 組合法又は国内法によって、1人又は複数の被害者を代理する者。
Article 6 Damage 第6条 損害
1. The right to compensation pursuant to Article 5 shall apply in respect of only the following types of damage: 1. 第5条に基づく補償を受ける権利は、次の種類の損害についてのみ適用される:
(a) death or personal injury, including medically recognised damage to psychological health; (a) 死亡又は人身傷害(精神的健康に対する医学的に認められた損害を含む;
(b) damage to, or destruction of, any property, except: (b) 財産に対する損害、または財産の破壊:
(i) the defective product itself; (i) 欠陥製品そのもの;
(ii) a product damaged by a defective component that is integrated into, or inter-connected with, that product by the manufacturer of that product or within that manufacturer’s control; (ii) その製品の製造事業者またはその製造事業者の管理下にある、その製品に組み込まれた、またはその製品と相互に接続された欠陥部品によって損害を受けた製品;
(iii) property used exclusively for professional purposes; (iii) 専ら業務目的に使用される財産;
(c) destruction or corruption of data that are not used for professional purposes. (c) 業務目的に使用されないデータの破壊または破損。
2. The right to compensation pursuant to Article 5 shall cover all material losses resulting from the damage referred to in paragraph 1 of this Article. The right to compensation shall also cover non-material losses resulting from the damage referred to in paragraph 1 of this Article, in so far as they can be compensated for under national law. 2. 第5条に基づく補償を受ける権利は、本条第1項にいう損害に起因するすべての物的損失を対象とする。補償を受ける権利は、国内法に基づき補償され得る限りにおいて、本条第1項にいう損害に起因する非物質的損失も対象とする。
3. This Article does not affect national law relating to compensation for damage under other liability regimes. 3. 本条は、他の責任制度に基づく損害賠償に関する国内法に影響を及ぼさない。
Article 7 Defectiveness 第7条 瑕疵担保責任
1. A product shall be considered defective where it does not provide the safety that a person is entitled to expect or that is required under Union or national law. 1. 製品が、人が期待する権利を有する安全性を提供しない場合、または連合法もしくは国内法の下で要求される安全性を提供しない場合、その製品は欠陥があるとみなされるものとする。
2. In assessing the defectiveness of a product, all circumstances shall be taken into account, including: 2. 製品の欠陥性をアセスメントする際には、以下を含むすべての状況を考慮しなければならない:
(a) the presentation and the characteristics of the product, including its labelling, design, technical features, composition and packaging and the instructions for its assembly, installation, use and maintenance; (a)製品の表示、デザイン、技術的特徴、構成、包装、組み立て、設置、使用、保守に関する説明書など、製品の表示および特性;
(b) reasonably foreseeable use of the product; (b) 合理的に予測可能な製品の使用;
(c) the effect on the product of any ability to continue to learn or acquire new features after it is placed on the market or put into service; (c) 製品が上市または使用開始された後、新しい機能を継続的に学習または習得する能力が製品に及ぼす影響;
(d) the reasonably foreseeable effect on the product of other products that can be expected to be used together with the product, including by means of inter-connection; (d) 相互接続を含め、製品と共に使用されることが予想される他の製品が製品に及ぼす合理的に予見可能な影響;
(e) the moment in time when the product was placed on the market or put into service or, where the manufacturer retains control over the product after that moment, the moment in time when the product left the control of the manufacturer; (e) 製品が上市又は使用開始された時点、又はその時点以降も製造事業者が製品の管理を保持している場合は、製品が製造事業者の管理を離れた時点;
(f) relevant product safety requirements, including safety-relevant cybersecurity requirements; (f) 安全関連サイバーセキュリティ要件を含む、関連する製品安全要件;
(g) any recall of the product or any other relevant intervention relating to product safety by a competent authority or by an economic operator as referred to in Article 8; (g) 所轄認可当局又は第8条にいう経済的事業者による製品のリコール又は製品の安全性に関連するその他の介入;
(h) the specific needs of the group of users for whose use the product is intended; (h) 製品を使用することを意図している使用者グループの特定のニーズ;
(i) in the case of a product whose very purpose is to prevent damage, any failure of the product to fulfil that purpose. (i) 損害を防止することを目的とする製品の場合、製品がその目的を果たせないこと。
3. A product shall not be considered to be defective for the sole reason that a better product, including updates or upgrades for a product, has already been or is subsequently placed on the market or put into service. 3. 製品のアップデートまたはアップグレードを含む、より優れた製品が既に上市されている、またはその後上市もしくは使用開始されたという理由だけでは、製品に欠陥があるとはみなされない。
Article 8 Economic operators liable for defective products 第8条 欠陥製品に対する経済的事業者の責任
1. Member States shall ensure that the following economic operators are liable for damage in accordance with this Directive: 1. 加盟国は、以下の経済的事業者が本指令に従って損害賠償責任を負うことを確保するものとする:
(a) the manufacturer of a defective product; (a) 欠陥製品の製造事業者;
(b) the manufacturer of a defective component, where that component was integrated into, or inter-connected with, a product within the manufacturer’s control and caused that product to be defective, and without prejudice to the liability of the manufacturer referred to in point (a); and (b) 欠陥部品の製造者。当該部品が製造者の管理下にある製品に組み込まれ、または当該製品と相互に接続され、当該製品に欠陥を生じさせた場合、(a)の製造事業者の責任を損なうことなく。
(c) in the case of a manufacturer of a product or a component established outside the Union, and without prejudice to the liability of that manufacturer: (c) EU域外に設立された製品または部品の製造事業者の場合、当該製造事業者の責任を損なうことなく、次のいずれかに該当すること:
(i) the importer of the defective product or component; (i) 欠陥のある製品または部品の輸入事業者;
(ii) the authorised representative of the manufacturer; and (ii) 製造事業者の公認代表者。
(iii) where there is no importer established within the Union or authorised representative, the fulfilment service provider. (iii) 組合内に設立された輸入事業者又は公認代表者がいない場合は、履行サービスプロバイダ。
The liability of the manufacturer referred to in the first subparagraph, point (a), shall also cover any damage caused by a defective component where it was integrated into, or inter-connected with, a product within that manufacturer’s control. 第1号の(a)にいう製造事業者の責任は、欠陥のある部品がその製造事業者の管理下にある製品に組み込まれ、または相互に接続されていた場合に、欠陥のある部品によって生じた損害も対象とする。
2. Any natural or legal person that substantially modifies a product outside the manufacturer’s control and thereafter makes it available on the market or puts it into service shall be considered to be a manufacturer of that product for the purposes of paragraph 1. 2. 製造事業者の管理外の製品に実質的な変更を加え、その後、それを市場で入手可能にし、または使用可能にした自然人または法人は、第1項の適用上、その製品の製造者とみなされる。
3. Member States shall ensure that, where an economic operator from among those referred to in paragraph 1 and established in the Union cannot be identified, each distributor of the defective product is liable where: 3. 加盟国は、第1項にいう経済的事業者のうち組合内に設立された者を特定できない場合、欠陥製品の各頒布事業者が責任を負うことを確保するものとする:
(a) the injured person requests that distributor to identify an economic operator from among those referred to in paragraph 1 and established in the Union, or its own distributor that supplied it with that product; and (a) 損害を被った者が、当該頒布事業者に対し、第1項に規定され、かつ、域内に設立された経済的事業者、または当該製品を供給した自らの頒布事業者を特定するよう要請した場合。
(b) that distributor fails to identify an economic operator or its own distributor, as referred to in point (a), within one month of receiving the request referred to in point (a). (b) 当該頒布事業者が、(a)の要請を受けてから1カ月以内に、(a)の経済的事業者または自社の販売代理店を特定しなかった場合。
4. Paragraph 3 of this Article shall also apply to any provider of an online platform that allows consumers to conclude distance contracts with traders and that is not an economic operator, provided that the conditions set out in Article 6(3) of Regulation (EU) 2022/2065 are fulfilled. 4. 本条第3項は、規則(EU)2022/2065第6条第3項に定める条件を満たすことを条件に、消費者が販売者と遠隔契約を締結できるオンラインプラットフォームのプロバイダであって、経済的事業者でないものにも適用されるものとする。
5. Where victims fail to obtain compensation because none of the persons referred to in paragraphs 1 to 4 can be held liable under this Directive, or because the liable persons are insolvent or have ceased to exist, Member States may use existing national sectoral compensation schemes or establish new ones under national law, preferably not funded by public revenue, to appropriately compensate injured persons who have suffered damage caused by defective products. 5. 第1項から第4項で言及される者のいずれもが本指令に基づき責任を負うことができないため、または責任を負う者が支払不能であるもしくは消滅しているため、被害者が補償を得ることができない場合、加盟国は、欠陥製品によって損害を被った負傷者を適切に補償するために、既存の国内部門別補償制度を利用するか、または国内法に基づき、できれば公的財源を用いない新たな補償制度を設立することができる。
Article 9 Disclosure of evidence 第9条 証拠の開示
1. Member States shall ensure that, at the request of a person who is claiming compensation in proceedings before a national court for damage caused by a defective product (the ‘claimant’) and who has presented facts and evidence sufficient to support the plausibility of the claim for compensation, the defendant is required to disclose relevant evidence that is at the defendant’s disposal, subject to the conditions set out in this Article. 1. 加盟国は、欠陥製品に起因する損害について国内裁判所における手続において補償を請求する者(「請求者」)であって、補償の請求のもっともらしさを裏付けるのに十分な事実および証拠を提示した者の要請があった場合には、被告が、本条に定める条件に従い、被告の手元にある関連証拠を開示することを要求されることを確保する。
2. Member States shall ensure that, at the request of a defendant that has presented facts and evidence sufficient to demonstrate the defendant’s need for evidence for the purposes of countering a claim for compensation, the claimant is required, in accordance with national law, to disclose relevant evidence that is at the claimant’s disposal. 2. 加盟国は、被告が賠償請求に対抗する目的で証拠を必要とすることを示すのに十分な事実および証拠を提示した被告の要請があった場合には、国内法に従って、請求人が自由に入手できる関連証拠を開示するよう要求されることを確保するものとする。
3. Member States shall ensure that the disclosure of evidence pursuant to paragraphs 1 and 2, and in accordance with national law, is limited to what is necessary and proportionate. 3. 加盟国は、第1項および第2項に従い、国内法に従い、証拠の開示が必要かつ比例的なものに限定されることを確保するものとする。
4. Member States shall ensure that, when determining whether the disclosure of evidence requested by a party is necessary and proportionate, national courts consider the legitimate interests of all parties concerned, including third parties, in particular in relation to the protection of confidential information and trade secrets. 4. 加盟国は、当事者によって要求された証拠の開示が必要かつ相当なものであるか否かを判断する際、国内裁判所が、特に秘密情報および企業秘密の保護との関係において、サードパーティを含むすべての関係当事者の正当な利益を考慮することを確保するものとする。
5. Member States shall ensure that, where a defendant is required to disclose information that is a trade secret or an alleged trade secret, national courts are empowered, upon a duly reasoned request of a party or on their own initiative, to take the specific measures necessary to preserve the confidentiality of that information when it is used or referred to in the course of or after the legal proceedings. 5. 加盟国は、被告が営業秘密または営業秘密とされる情報の開示を要求される場合、各国の裁判所が、当事者の正当な理由のある要請に基づいて、または自らのイニシアティブにより、当該情報が訴訟手続の過程またはその後に使用されまたは言及される場合に、当該情報の秘密を保持するために必要な具体的措置をとる権限を有することを確保するものとする。
6. Member States shall ensure that, where a party is required to disclose evidence, national courts are empowered, upon a duly reasoned request of the opposing party or where the national court concerned deems it appropriate and in accordance with national law, to require such evidence to be presented in an easily accessible and easily understandable manner, if such presentation is deemed proportionate by the national court in terms of costs and effort for the required party. 6. 加盟国は、当事者が証拠を開示することを要求される場合、国内裁判所が、相手方当事者の正当な理由のある請求により、または当該国内裁判所が適切であり国内法に従っているとみなす場合には、当該証拠を、容易にアクセス可能で理解しやすい方法で提示することを要求する権限を有することを確保するものとする。
7. This Article does not affect national rules relating to the pre-trial disclosure of evidence, where such rules exist. 7. 本条は、公判前の証拠開示に関する国内規則が存在する場合には、当該国内規則に影響を与えない。
Article 10 Burden of proof 第10条 立証責任
1. Member States shall ensure that a claimant is required to prove the defectiveness of the product, the damage suffered and the causal link between that defectiveness and that damage. 1. 加盟国は、請求者が製品の欠陥、被った損害、および欠陥と損害との間の因果関係を証明することを要求されることを確保するものとする。
2. The defectiveness of the product shall be presumed where any of the following conditions are met: 2. 製品の欠陥は、以下の条件のいずれかが満たされた場合に推定されるものとする:
(a) the defendant fails to disclose relevant evidence pursuant to Article 9(1); (a) 被告が第9条第1項に従って関連証拠を開示しなかった場合;
(b) the claimant demonstrates that the product does not comply with mandatory product safety requirements laid down in Union or national law that are intended to protect against the risk of the damage suffered by the injured person; or (b) 損害を被った者が被った損害のリスクから保護することを意図した、連邦法または国内法に規定された製品安全に関する義務的要件に、製品が準拠していないことを、損害賠償請求者が証明する場合。
(c) the claimant demonstrates that the damage was caused by an obvious malfunction of the product during reasonably foreseeable use or under ordinary circumstances. (c) 損害が、合理的に予見可能な使用中または通常の状況下における製品の明白な誤作動によって生じたことを、請求者が証明する場合。
3. The causal link between the defectiveness of the product and the damage shall be presumed where it has been established that the product is defective and that the damage caused is of a kind typically consistent with the defect in question. 3. 製品の欠陥と損害との因果関係は、製品に欠陥があること、および生じた損害が当該欠陥に典型的に合致する種類のものであることが立証された場合に推定されるものとする。
4. A national court shall presume the defectiveness of the product or the causal link between its defectiveness and the damage, or both, where, despite the disclosure of evidence in accordance with Article 9 and taking into account all the relevant circumstances of the case: 4. 国内裁判所は、第9条に従った証拠の開示にもかかわらず、かつ、事件のすべての関連する状況を考慮に入れた場合、製品の欠陥性又はその欠陥性と損害との間の因果関係、又はその両方を推定する:
(a) the claimant faces excessive difficulties, in particular due to technical or scientific complexity, in proving the defectiveness of the product or the causal link between its defectiveness and the damage, or both; and (a) 請求者が、特に技術的または科学的な複雑さのために、製品の欠陥またはその欠陥と損害との因果関係、あるいはその両方を証明することが過度に困難である場合。
(b) the claimant demonstrates that it is likely that the product is defective or that there is a causal link between the defectiveness of the product and the damage, or both. (b) 請求者が、製品に欠陥がある可能性が高いこと、または製品の欠陥と損害との間に因果関係があること、あるいはその両方を証明すること。
5. The defendant shall have the right to rebut any of the presumptions referred to in paragraphs 2, 3 and 4. 5. 被告は、第2項、第3項および第4項で言及された推定について反論する権利を有する。
Article 11 Exemption from liability 第11条 責任の免除
1. An economic operator as referred to in Article 8 shall not be liable for damage caused by a defective product if that economic operator proves any of the following: 1. 第8条にいう経済的事業者は、欠陥製品によって生じた損害について、その経済的事業者が次のいずれかを証明する場合には、責任を負わない:
(a) in the case of a manufacturer or importer, that it did not place the product on the market or put it into service; (a) 製造事業者または輸入事業者の場合、製品を上市または使用しなかったこと;
(b) in the case of a distributor, that it did not make the product available on the market; (b) 頒布事業者の場合、その製品を市場で入手可能にしなかったこと;
(c) that it is probable that the defectiveness that caused the damage did not exist at the time the product was placed on the market, put into service or, in the case of a distributor, made available on the market, or that that defectiveness came into being after that moment; (c) 製品が上市され、使用され、頒布事業者の場合は市場で入手可能となった時点では、損害の原因となった欠陥が存在しなかったか、またはその欠陥がその時点以降に存在するようになった可能性が高いこと;
(d) that the defectiveness that caused the damage is due to compliance of the product with legal requirements; (d) 損害の原因となった欠陥が、製品の法的要件への適合によるものであること;
(e) that the objective state of scientific and technical knowledge at the time the product was placed on the market or put into service or during the period in which the product was within the manufacturer’s control was not such that the defectiveness could be discovered; (e) 製品が上市もしくは使用開始された時点、または製品が製造事業者の管理下にあった期間における科学的・技術的知見の客観的状況が、欠陥が発見できるようなものではなかったこと;
(f) in the case of a manufacturer of a defective component, as referred to in Article 8(1), first subparagraph, point (b), that the defectiveness of the product in which that component has been integrated is attributable to the design of that product or to the instructions given by the manufacturer of that product to the manufacturer of that component; (f) 第8条第1項第1号(b)にいう欠陥部品の製造事業者の場合、当該部品が組み込まれた製品の欠陥が、当該製品の設計又は当該製品の製造事業者が当該部品の製造事業者に与えた指示に起因すること;
(g) in the case of a person that modifies a product as referred to in Article 8(2), that the defectiveness that caused the damage is related to a part of the product not affected by the modification. (g) 第8条(2)に規定される製品の改造を行った者の場合、損害の原因となった欠陥が、改造の影響を受けない製品の一部に関連していること。
2. By way of derogation from paragraph 1, point (c), an economic operator shall not be exempted from liability where the defectiveness of a product is due to any of the following, provided that it is within the manufacturer’s control: 2. 第1項(c)の適用除外として、経済的事業者は、製造事業者の管理範囲内であることを条件として、製品の欠陥が以下のいずれかに起因する場合、責任を免除されない:
(a) a related service; (a) 関連サービス;
(b) software, including software updates or upgrades; (b) ソフトウェア(ソフトウェアのアップデートまたはアップグレードを含む;
(c) a lack of software updates or upgrades necessary to maintain safety; (c) 安全性を維持するために必要なソフトウェアの更新またはアップグレードの欠如;
(d) a substantial modification of the product. (d) 製品の大幅な改造。
CHAPTER III GENERAL PROVISIONS ON LIABILITY 第3章 責任に関する一般規定
Article 12 Liability of multiple economic operators 第12条 複数の経済的事業者の責任
1. Without prejudice to national law concerning rights of contribution or recourse, Member States shall ensure that where two or more economic operators are liable for the same damage pursuant to this Directive, they can be held liable jointly and severally. 1. 寄与権または求償権に関する国内法を害することなく、加盟国は、本指令に従って 2 者以上の経済的事業者が同一の損害について責任を負う場合、それらの者が連帯して責任を負うことができるようにするものとする。
2. A manufacturer that integrates software as a component in a product shall not have a right of recourse against the manufacturer of a defective software component that causes damage where: 2. 製品にコンポーネントとしてソフトウェアを統合する製造事業者は、以下の場合、損害の原因となる欠陥のあるソフトウェアコンポーネントの製造事業者に対する求償権を有しないものとする:
(a) the manufacturer of the defective software component was, at the time of the placing on the market of that software component, a microenterprise or a small enterprise, meaning an enterprise that, when assessed together with all of its partner enterprises as defined in Article 3(2) of the Annex to Commission Recommendation 2003/361/EC (21) and linked enterprises as defined in Article 3(3) of that Annex, if any, is a microenterprise as defined in Article 2(3) of that Annex or a small enterprise as defined in Article 2(2) of that Annex; and (a) 欠陥のあるソフトウェア・コンポーネントの製造者が、当該ソフトウェア・コンポーネントを上市した時点で、零細企業または小規模企業(欧州委員会勧告2003/361/EC (21)の附属書第3条(2)に定義されるパートナー企業、および同附属書第3条(3)に定義されるリンク企業がある場合はそのリンク企業のすべてと一緒にアセスメントした場合、同附属書第2条(3)に定義される零細企業または同附属書第2条(2)に定義される小規模企業である企業を意味する)であった場合。
(b) the manufacturer that integrated the defective software component in the product contractually agreed with the manufacturer of the defective software component to waive that right. (b) 製品に欠陥のあるソフトウェア部品を組み込んだ製造事業者が、欠陥のあるソフトウェア部品の製造事業者と、当該権利を放棄することに契約上合意している。
Article 13 Reduction of liability 第13条 責任の軽減
1. Without prejudice to national law concerning rights of contribution or recourse, Member States shall ensure that the liability of an economic operator is not reduced or disallowed where the damage is caused both by the defectiveness of a product and by an act or omission of a third party. 1. 寄与権または求償権に関する国内法を害することなく、加盟国は、損害が製品の欠陥およびサードパーティーの作為または不作為の両方によって生じた場合、経済的事業者の責任が減免されないことを確保するものとする。
2. The liability of an economic operator may be reduced or disallowed where the damage is caused both by the defectiveness of the product and by the fault of the injured person or any person for whom the injured person is responsible. 2. 経済的事業者の責任は、損害が、製品の欠陥と、損害を受けた者又は損害を受けた者が責任を負う者の過失との両方によって生じた場合には、減額又は免除することができる。
Article 14 Right of recourse 第14条 求償権
Where more than one economic operator is liable for the same damage, an economic operator that has compensated the injured person shall be entitled to pursue remedies against other economic operators liable pursuant to Article 8 in accordance with national law. 同一の損害について複数の経済的事業者が責任を負う場合、損害を被った者に賠償した経済的事業者は、国内法に従って、第8条に従って責任を負う他の経済的事業者に対して救済を求める権利を有する。
Article 15 Exclusion or limitation of liability 第15条 責任の排除または制限
Member States shall ensure that the liability of an economic operator pursuant to this Directive is not, in relation to the injured person, limited or excluded by a contractual provision or by national law. 加盟国は、本指令に基づく経済的事業者の責任が、損害を受けた者との関係において、契約上の規定または国内法によって制限または排除されないことを保証するものとする。
Article 16 Limitation period 第16条 制限期間
1. Member States shall ensure that a limitation period of three years applies to the initiation of proceedings to claim compensation for damage falling within the scope of this Directive. The limitation period shall run from the day on which the injured person became aware, or should reasonably have become aware, of all of the following: 1. 加盟国は、本指令の適用範囲に含まれる損害の補償を請求するための手続の開始に 3 年の制限期間が適用されることを保証するものとする。制限期間は、損害を受けた者が以下のすべてを認識した、または合理的に認識すべきであった日から起算するものとする:
(a) the damage; (a) 損害;
(b) the defectiveness; (b) 欠陥;
(c) the identity of the relevant economic operator that can be held liable for that damage under Article 8. (c) 第8条に基づき当該損害について責任を問われうる関連経済的事業者の特定。
2. National law regulating the suspension or interruption of the limitation period referred to in paragraph 1 shall not be affected by this Directive. 2. 第1項で言及される制限期間の停止または中断を規制する国内法は、本指令の影響を受けないものとする。
Article 17 Expiry period 第17条 無効期間
1. Member States shall ensure that an injured person is no longer entitled to compensation pursuant to this Directive upon the expiry of a period of 10 years, unless that injured person has, in the meantime, initiated proceedings against an economic operator that can be held liable pursuant to Article 8. That period shall run from: 1. 加盟国は、損害を被った者が、その間に第8条に従って責任を負うことができる経済的事業者に対して手続を開始した場合を除き、10 年の期間が満了した時点で、本指令に従って補償を受ける権利を喪失することを保証するものとする。当該期間は以下から起算されるものとする:
(a) the date on which the defective product which caused the damage was placed on the market or put into service; or (a) 損害の原因となった欠陥製品が上市または使用された日。
(b) in the case of a substantially modified product, the date on which that product was made available on the market or put into service following its substantial modification. (b) 実質的に変更された製品の場合は、その製品が市場で入手可能となった日、または実質的な変更後に使用可能となった日。
2. By way of exception from paragraph 1, where an injured person has not been able to initiate proceedings within 10 years of the dates referred to in paragraph 1 due to the latency of a personal injury, the injured person shall no longer be entitled to compensation pursuant to this Directive upon the expiry of a period of 25 years, unless that injured person has, in the meantime, initiated proceedings against an economic operator that can be held liable pursuant to Article 8. 2. 第1項の例外として、傷害を受けた者が人身傷害の潜伏期間により第1項で言及される日付から 10 年以内に手続を開始することができなかった場合、当該傷害を受けた者がその間に第8条に従って責任を負うことができる経済的事業者に対して手続を開始していない限り、当該傷害を受けた者は 25 年の期間が経過した時点で本指令に従って補償を受ける権利を失うものとする。
CHAPTER IV FINAL PROVISIONS 第4章 最終規定
Article 18 Derogation from development risk defence 第18条 開発リスク防御からの免除
1. Member States may, by way of derogation from Article 11(1), point (e), maintain in their legal systems existing measures whereby economic operators are liable even if they prove that the objective state of scientific and technical knowledge at the time the product was placed on the market or put into service or during the period in which the product was within the manufacturer’s control was not such that the defectiveness could be discovered. 1. 加盟国は、第11条(1)の(e)の規定の適用除外により、自国の法制度において、製品が上市もしくは使用開始された時点、または製品が製造事業者の管理下にあった期間における科学的および技術的知見の客観的状態が、欠陥が発見されるようなものではなかったことを証明した場合であっても、経済的事業者が責任を負う現行の措置を維持することができる。
Any Member State wishing to maintain measures in accordance with this paragraph shall notify the text of the measures to the Commission no later than 9 December 2026. The Commission shall inform the other Member States thereof. 本項に基づく措置を維持することを希望する加盟国は、2026年12月9日までに、措置の本文を欧州委員会に通知しなければならない。欧州委員会は、その旨を他の加盟国に通知する。
2. Member States may, by way of derogation from Article 11(1), point (e), introduce or amend in their legal systems measures whereby economic operators are liable even if they prove that the objective state of scientific and technical knowledge at the time the product was placed on the market or put into service or during the period in which the product was within the manufacturer’s control was not such that the defectiveness could be discovered. 2. 加盟国は、第11条第1項(e)の適用除外として、製品が上市もしくは使用開始された時点、または製造事業者の管理下にあった期間における科学的および技術的知見の客観的状態が、欠陥が発見されるようなものではなかったことを証明した場合であっても、経済的事業者が責任を負う措置を自国の法制度に導入または改正することができる。
3. The measures referred to in paragraph 2 shall be: 3. 第2項にいう措置は、次のとおりとする:
(a) limited to specific categories of products; (a) 特定のカテゴリーに限定される;
(b) justified by public interest objectives; and (b) 公益目的によって正当化される。
(c) proportionate in that they are suitable for securing the attainment of the objectives pursued and do not go beyond what is necessary to attain those objectives. (c) 追求される目的の達成を確保するために適切であり、かつ、当該目的を達成するために必要な範囲を超えないという点で、比例的であること。
4. Any Member State wishing to introduce or amend a measure referred to in paragraph 2 shall notify the text of the proposed measure to the Commission and shall provide a justification of how that measure complies with paragraph 3. The Commission shall inform the other Member States thereof. 4. 第2項にいう措置の導入または改正を希望する加盟国は、提案する措置の本文を欧州委員会に通知し、かつ、当該措置がいかに第3項に適合するかについての正当な理由を提出しなければならない。欧州委員会は、その旨を他の加盟国に通知する。
5. The Commission may, within six months of receiving a notification pursuant to paragraph 4, issue an opinion on the text of the proposed measure and the justification for that measure, taking into account any observations received from other Member States. The Member State wishing to introduce or amend that measure shall hold that measure in abeyance for six months following its notification to the Commission, unless the Commission issues its opinion earlier. 5. 欧州委員会は、第4項の規定による通告を受けてから6箇月以内に、他の加盟国から受領した意見を考慮して、提案された措置の本文および当該措置の正当性の根拠に関する意見を発表することができる。当該措置の導入または改正を希望する加盟国は、欧州委員会がそれ以前に意見を発表しない限り、欧州委員会への通告後6ヶ月間、当該措置を保留する。
Article 19 Transparency 第19条 透明性
1. Member States shall publish, in an easily accessible and electronic format, any final judgment delivered by their national courts of appeal or of the highest instance in proceedings launched pursuant to this Directive. The publication of such a judgment shall be carried out in accordance with national law. 1. 加盟国は、本指令に従って開始された手続において、自国の控訴裁判所または最高裁判所が下した最終判決を、容易にアクセス可能な電子形式で公表するものとする。当該判決の公表は国内法に従って行われるものとする。
2. The Commission shall set up and maintain an easily accessible and publicly available database containing the judgments referred to in paragraph 1. 2. 欧州委員会は、第1項で言及された判決を含む、容易にアクセス可能で一般に利用可能なデータベースを設置し、維持するものとする。
Article 20 Evaluation 第20条 評価
The Commission shall by 9 December 2030, and every five years thereafter, evaluate the application of this Directive and submit a report to the European Parliament, to the Council and to the European Economic and Social Committee. Those reports shall include information about the cost and benefits of the transposition of this Directive, a comparison with OECD countries and the availability of product liability insurance. 欧州委員会は、2030年12月9日まで、およびその後5年ごとに、本指令の適用を評価し、欧州議会、理事会、および欧州経済社会委員会に報告書を提出するものとする。これらの報告書には、本指令の移行の費用と便益、OECD加盟国との比較、製造物責任保険の利用可能性に関する情報を含めるものとする。
Article 21 Repeal and transitional provision 第21条 撤廃および経過措置
Directive 85/374/EEC is repealed with effect from 9 December 2026. However, it shall continue to apply with regard to products placed on the market or put into service before that date. 指令85/374/EECは2026年12月9日をもって廃止される。ただし、同日以前に上市または使用開始された製品に関しては、引き続き適用されるものとする。
References to the repealed Directive shall be construed as references to this Directive and shall be read in accordance with the correlation table set out in the Annex. 廃止された指令への言及は本指令への言及と解釈され、附属書に記載された相関表に従って読まれるものとする。
Article 22 Transposition 第22条 移植
1. Member States shall bring into force the laws, regulations and administrative provisions necessary to comply with this Directive by 9 December 2026. They shall immediately inform the Commission thereof. 1. 加盟国は、2026年12月9日までに本指令を遵守するために必要な法律、規制および行政規定を発効させるものとする。加盟国は直ちにその旨を欧州委員会に通知するものとする。
When Member States adopt those measures, they shall contain a reference to this Directive or shall be accompanied by such a reference on the occasion of their official publication. The methods of making such reference shall be laid down by the Member States. 加盟国がこれらの措置を採択する際には、本指令への言及を含めるか、または公式発表の際に当該言及を付すものとする。当該言及の方法は加盟国が定めるものとする。
2. Member States shall communicate to the Commission the text of the main measures of national law which they adopt in the field covered by this Directive. 2. 加盟国は、本指令が適用される分野で採択する国内法の主要な措置の本文を欧州委員会にコミュニケーションするものとする。
Article 23 Entry into force 第23条 施行
This Directive shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union. この指令は、欧州連合の官報に掲載された翌日から20日目に発効する。
Article 24 Addressees 第24条 宛先
This Directive is addressed to the Member States. 本指令は加盟国宛である。
Done at Strasbourg, 23 October 2024. 2024年10月23日、ストラスブールにて制定される。
For the European Parliament 欧州議会宛
The President 議長
R. METSOLA R. メトソラ
For the Council 欧州理事会
The President 議長
ZSIGMOND B. P. ジグモンド・B・P

 

1_20241124130001

| | Comments (0)

米国 国防総省 サイバーセキュリティ成熟度モデル認証プログラムの最終規則 (2024.10.15)

こんにちは、丸山満彦です。

少し古くなってしまったのですが、米国国防総省の調達に関連するCMMCの最終規則。。。

日本の企業でも米国国防総省と取引をする会社は気にしないといけないですね...

調達全体の一部の話なので、調達全体の理解がないと、これだけ読んでもわからないことが多いと思いますが、とりあえず...

 

U.S. Department of Defense

・2024.10.11 Cybersecurity Maturity Model Certification Program Final Rule Published

Cybersecurity Maturity Model Certification Program Final Rule Published サイバーセキュリティ成熟度モデル認証プログラムの最終規則が公表される
Today, the final program rule for the Cybersecurity Maturity Model Certification (CMMC) Program was released for public inspection on federalregister.gov and is anticipated to be published in the Federal Register, Tuesday, October 15. 本日、サイバーセキュリティ成熟度モデル認証(CMMC)プログラムの最終規則がfederalregister.govで公開され、10月15日(火)の連邦官報に掲載される予定である。
The purpose of CMMC is to verify that defense contractors are compliant with existing protections for federal contract information (FCI) and controlled unclassified information (CUI) and are protecting that information at a level commensurate with the risk from cybersecurity threats, including advanced persistent threats.  CMMCの目的は、防衛請負業者が連邦契約情報(FCI)と管理対象非機密情報(CUI)に対する既存の防御を遵守し、高度持続的脅威を含むサイバーセキュリティの脅威からのリスクに見合ったレベルで情報を保護していることを検証することである。
This rule streamlines and simplifies the process for small-and medium-sized businesses by reducing the number of assessment levels from the five in the original program to three under the new program. この規則は、アセスメント・レベルの数を当初のプログラムの5段階から新プログラムの3段階に減らすことで、中小企業のプロセスを合理化・簡素化するものである。
This final rule aligns the program with the cybersecurity requirements described in Federal Acquisition Regulation part 52.204-21 and National Institute of Standards and Technology (NIST) Special Publications (SP) 800-171 Rev 2 and -172.  It also clearly identifies the 24 NIST SP 800-172 requirements mandated for CMMC Level 3 certification. この最終規則は、連邦調達規則パート 52.204-21 および国立標準技術研究所(NIST)の特別刊行物(SP)800-171 Rev 2 および -172 に記載されているサイバーセキュリティ要件とプログラムを整合させるものである。 また、CMMCレベル3認証に義務付けられている24のNIST SP 800-172要件も明確に識別している。
With the publication of this updated 32 CFR rule, DoD will allow businesses to self-assess their compliance when appropriate. Basic protection of FCI will require self-assessment at CMMC Level 1.General protection of CUI will require either third-party assessment or self-assessment at CMMC Level 2.A higher level of protection against risk from advanced persistent threats will be required for some CUI. This enhanced protection will require a Defense Industrial Base Cybersecurity Assessment Center led assessment at CMMC Level 3. この更新された 32 CFR 規則の公表により、DoD は、適切な場合、企業がそのコンプライアンスを自己評価できるようにする。FCIの基本的な防御には、CMMCレベル1での自己アセスメントが必要となる。CUIの一般的な防御には、サードパーティによるアセスメントかCMMCレベル2での自己アセスメントが必要となる。この強化された防御には、防衛産業基盤サイバーセキュリティ・アセスメント・センターが主導するCMMCレベル3のアセスメントが必要となる。
CMMC provides the tools to hold accountable entities or individuals that put U.S. information or systems at risk by knowingly misrepresenting their cybersecurity practices or protocols, or knowingly violating obligations to monitor and report cybersecurity incidents and breaches.  The CMMC Program implements an annual affirmation requirement that is a key element for monitoring and enforcing accountability of a company's cybersecurity status. CMMCは、サイバーセキュリティの慣行やプロトコルを故意に偽って伝えたり、サイバーセキュリティのインシデントや侵害を監視し報告する義務に故意に違反したりすることによって、米国の情報やシステムをリスクにさらした事業体や個人に責任を問うためのツールを提供する。 CMMCプログラムは、企業のサイバーセキュリティ状況を監視し、説明責任を実施するための重要な要素である年次確認要件を実施している。
With this revised CMMC Program, the Department also introduces Plans of Action and Milestones (POA&Ms).  POA&Ms will be granted for specific requirements as outlined in the rule to allow a business to obtain conditional certification for 180 days while working to meet the NIST standards. このCMMCプログラムの改訂に伴い、同省は行動計画とマイルストーン(POA&M)も導入する。 POA&Mは、NIST標準に適合するよう努力する間、企業が180日間条件付きで認証を取得できるよう、規則に概説された特定の要件に対して付与される。
The benefits of CMMC include: CMMCの利点は以下の通りである:
・Safeguarding sensitive information to enable and protect the warfighter ・機密情報を保護し、戦闘員を有効かつ保護する。
・Enforcing DIB cybersecurity standards to meet evolving threats DIB のサイバーセキュリティ標準を実施し、進化する脅威に対応す・る。
Ensuring accountability while minimizing barriers to compliance with DoD ・requirements ・国防総省の要件に準拠するための障壁を最小限に抑えながら、説明責任を確保する。
・Perpetuating a collaborative culture of cybersecurity and cyber resilience ・サイバーセキュリティとサイバーレジリエンスの協力的な文化を永続させる。
・Maintaining public trust through high professional and ethical standards ・高い専門性と倫理基準を通じて国民の信頼を維持する
The Department understands the significant time and resources required for industry to comply with DoD's cybersecurity requirements for safeguarding CUI and is intent upon implementing CMMC requirements to assess the degree to which they have done so.  The Department would like to thank all the businesses and industry associations that provided input during the public comment period.  Without this collaboration, it would not have been possible to meet our goals of improving security of critical information and increasing compliance with cybersecurity requirements while simultaneously making it easier for small and medium-sized businesses to meet their contractual obligations. 国防総省は、CUIを保護するための国防総省のサイバーセキュリティ要件を遵守するために産業界が多大な時間とリソースを必要としていることを理解しており、CMMCの要件を実施し、その程度を評価することを意図している。 国防総省は、パブリックコメント期間中に意見を提供してくれたすべての企業および業界団体に感謝したい。 このような協力がなければ、重要情報のセキュリティを改善し、サイバーセキュリティ要件への準拠を高めると同時に、中小企業が契約上の義務を果たしやすくするという目標を達成することはできなかっただろう。
Businesses in the defense industrial base should take action to gauge their compliance with existing security requirements and preparedness to comply with CMMC assessments.  Members of the defense industrial base may use cloud service offerings to meet the cybersecurity requirements that must be assessed as part of the CMMC requirement.  The DoD CIO DIB Cybersecurity Program has compiled a list of current resources available at dibnet.dod.mil under DoD DIB Cybersecurity-as-a-Service (CSaaS) Services and Support. 防衛産業基盤に属する企業は、既存のセキュリティ要件へのコンプライアンスとCMMCアセスメントへの準備態勢を評価するために行動を起こすべきである。 防衛産業基盤のメンバーは、CMMC 要件の一部としてアセスメントされなければならないサイバーセキュリティ要件を満たすために、クラウドサービスを利用することができる。 国防総省 CIO DIB サイバーセキュリティ・プログラムは、dibnet.dod.mil の「DoD DIB Cybersecurity-as-a-Service (CSaaS) Services and Support」に、現在利用可能なリソースのリストをまとめている。
The DoD's follow-on Defense Federal Acquisition Regulation Supplement (DFARS) rule change to contractually implement the CMMC Program will be published in early to mid-2025.  Once that rule is effective, DoD will include CMMC requirements in solicitations and contracts.  Contractors who process, store, or transmit FCI or CUI must achieve the appropriate level of CMMC as a condition of contract award.  More information on the timing of the proposed DFARS rule can be found at [web]. CMMCプログラムを契約的に実施するためのDoDの国防連邦調達規則補足(DFARS)規則変更は、2025年初頭から半ばにかけて公表される予定である。 この規則が発効すれば、国防総省はCMMCの要件を募集や契約に盛り込むことになる。 FCIまたはCUIを処理、保管、伝送する請負業者は、契約締結の条件として、適切なレベルのCMMCを達成しなければならない。 提案されているDFARS規則の時期に関する詳細は、 [web]
More information on the CMMC Program can be found at [web]. CMMCプログラムに関する詳細は、[web]

 

 

CMMCのウェブページ

U.S. DoD - CIO

Cybersecurity Maturity Model Certification

・・About CMC

 

1_20241124061401

About CMMC  CMMCについて
Cybersecurity is a top priority for the Department of Defense (DoD). The defense industrial base (DIB) faces increasingly frequent, and complex cyberattacks. To strengthen DIB cybersecurity and better safeguard DoD information, the DoD developed the Cybersecurity Maturity Model Certification (CMMC) Program to assess existing DoD cybersecurity requirements. サイバーセキュリティは国防総省(DoD)の最優先課題である。防衛産業基盤(DIB)は、ますます頻繁に、そして複雑なサイバー攻撃に直面している。DIBのサイバーセキュリティを強化し、DoDの情報をより良く保護するために、DoDは既存のDoDサイバーセキュリティ要件を評価するサイバーセキュリティ成熟度モデル認証(CMMC)プログラムを開発した。
Overview of the CMMC Program CMMC プログラムの概要
The CMMC Program aligns with the DoD’s existing information security requirements for the DIB. It is designed to enforce the protection of sensitive unclassified information shared by the Department with its contractors and subcontractors. The program provides the DoD with increased assurance that contractors and subcontractors are meeting the cybersecurity requirements for nonfederal systems processing controlled unclassified information. CMMC プログラムは、DIB に対する DoD の既存の情報セキュリティ要件と整合している。これは、国防総省が請負業者や下請業者と共有する機密性の高い非分類情報の保護を強化するために設計されている。このプログラムにより、国防総省は、請負業者および下請業者が管理対象非機密情報を処理する連邦政府のシステムに対するサイバーセキュリティ要件を満たしていることをより確実に保証することができる。
Key features of the CMMC Program: CMMC プログラムの主な特徴
Tiered Model: CMMC requires companies entrusted with sensitive unclassified DoD information to implement cybersecurity standards at progressively advanced levels, depending on the type and sensitivity of the information. The program also outlines the process for requiring protection of information flowed down to subcontractors. 階層モデル: CMMCは、国防総省の機密情報を預かる企業に対し、情報の種類と機密性に応じて、段階的に高度なレベルのサイバーセキュリティ標準を実施することを求めている。また、このプログラムでは、下請け企業に流される情報の保護を要求するプロセスの概要も示している。
Assessment Requirement: CMMC assessments allow the DoD to verify DIB implementation of existing cybersecurity standards. アセスメント要件: CMMC のアセスメントにより、DoD は既存のサイバーセキュリティ標準の DIB による実施を検証することができる。
Implementation through Contracts: DoD contractors and subcontractors handling sensitive unclassified DoD information must achieve a specific CMMC level as a condition of contract award. 契約による実施: 契約による実施:国防総省の請負業者および下請業者は、機密の非分類国防総省情報を扱う場合、契約締結の条件として特定の CMMC レベルを達成しなければならない。
Protected Information 保護情報
The CMMC model is designed to protect Federal Contract Information (FCI) and Controlled Unclassified Information (CUI) shared with defense contractors and subcontractors during contract performance. CMMCモデルは、契約履行中に防衛請負業者および下請業者と共有される連邦契約情報(FCI)および管理対象非機密情報(CUI)を保護するように設計されている。
・Federal Contract Information (FCI): As defined in section 4.1901 of the Federal Acquisition Regulation (FAR), FCI is “information, not intended for public release, that is provided by or generated for the Government under a contract to develop or deliver a product or service to the Government, excluding information provided by the Government to the public (such as that on public websites) or simple transactional information, such as that necessary to process payments.” ・連邦契約情報(FCI): 連邦調達規則(FAR)のセクション 4.1901 で定義されているように、FCI は、「一般公開を意図していない情報であり、政府に対する製品またはサービスを開発または提供する契約に基づき、政府によって提供される、または政府のために生成される。
・Controlled Unclassified Information (CUI): As outlined in Title 32 CFR 2002.4(h), CUI is “information the Government creates or possesses, or that an entity creates or possesses for or on behalf of the Government, that a law, regulation, or Government-wide policy requires or permits an agency to handle using safeguarding or dissemination controls.” For more information regarding specific CUI categories and subcategories, see the DoD CUI Registry website. ・管理対象非機密情報(CUI): Title 32 CFR 2002.4(h)に概説されているように、CUI は、「政府が作成または保有する情報、あるいは事業体が政府のためにまたは政府を代表して作成または保有する情報であって、法律、規則、または政府全体の方針が、保護管理または普及管理を使用して取り扱うことを機関に要求または許可するもの」である。特定のCUIカテゴリーおよびサブカテゴリーに関する詳細は、DoD CUIレジストリのウェブサイトを参照のこと。
Overview of Assessments アセスメントの概要
The CMMC Program provides assessments at three levels, each incorporating security requirements from existing regulations and guidelines. CMMCプログラムでは、3つのレベルのアセスメントをプロバイダとして提供しており、各レベルには既存の規制やガイドラインのセキュリティ要件が盛り込まれている。
Level 1: Basic Safeguarding of FCI レベル1:FCIの基本的な保護
Requirements: Annual self-assessment and annual affirmation of compliance with the 15 security requirements in FAR clause 52.204-21. 要件 毎年セルフアセスメントを行い、FAR条項52.204-21の15のセキュリティ要件を遵守していることを毎年確認する。
Level 2: Broad Protection of CUI レベル2:CUIの広範な防御
Requirements: 要件:
1. Either a self-assessment or a C3PAO assessment every three years, as specified in the solicitation. 1. セルフアセスメントまたは C3PAO アセスメントのいずれかを、募集要項に指定されたとおりに 3 年ごとに実施すること。
 ・Decided by the type of information processed, transmitted, or stored on the contractor or subcontractor information systems. ・請負業者または下請業者の情報システムで処理、送信、または保存される情報の種類によって決定される。
2. Annual affirmation, verify compliance with the 110 security requirements in NIST SP 800-171 Revision 2. 2. 年1回の確認、NIST SP 800-171 Revision 2 の 110 のセキュリティ要件への準拠を検証する。
Level 3: Higher-Level Protection of CUI Against Advanced Persistent Threats レベル 3:高度な持続的脅威に対する CUI の高レベル防御
Requirements: 要件
1. Achieve CMMC Status of Final Level 2. 1. 最終レベル2のCMMCステータスを達成する。
2. Undergo an assessment every three years by the Defense Contract Management Agency’s Defense Industrial Base Cybersecurity Assessment Center (DIBCAC). 2. 防衛契約管理局の防衛産業基盤サイバーセキュリティアセスメントセンター(DIBCAC)によるアセスメントを 3 年ごとに受ける。
3. Provide an annual affirmation verifying compliance with the 24 identified requirements from NIST SP 800-172. 3. NIST SP 800-172 から識別された 24 の要件への準拠を検証する年次確認書を提出する。
   
CMMC Post-Assessment Remediation: Plans of Actions and Milestones CMMCのアセスメント後の是正: 行動計画とマイルストーン
The CMMC Program allows limited use of Plans of Action and Milestones (POA&Ms). CMMCプログラムでは、行動計画とマイルストーン(POA&M)の限定的な使用を認めている。
・Level 1: POA&Ms are not permitted. ・レベル1:POA&Mは許可されない。
・Level 2 and Level 3: Refer to §170.21 of the 32 CFR CMMC Program final rule for POA&M requirements, including critical requirements that cannot be included in a POA&M. ・レベル2およびレベル3:POA&Mに含めることができない重要な要求事項を含むPOA&Mの要求事項については、32 CFR CMMCプログラム最終規則の§170.21を参照のこと。
A POA&M closeout assessment is a CMMC assessment that evaluates only the NOT MET requirements identified in the initial assessment. The closing of a POA&M must be confirmed by a POA&M closeout assessment within 180 days of the Conditional CMMC Status Date. If the POA&M is not successfully closed out within this timeframe, the Conditional CMMC Status for the information system will expire. POA&Mのクローズアウトアセスメントは、最初のアセスメントで識別されたNOT MET要件のみを評価するCMMCアセスメントである。POA&Mのクローズは、条件付CMMCステータス日から180日以内にPOA&Mクローズアウトアセスメントによって確認されなければならない。この期間内にPOA&Mが正常に終了しなかった場合、情報システムの条件付CMMCステータスは失効する。
・Level 2 Self-Assessment: The POA&M closeout self-assessment shall be performed by the OSA in the same manner as the initial self-assessment. ・レベル2のセルフアセスメント: POA&M クローズアウトセルフアセスメントは、初回のセルフアセスメントと同じ方法で OSA が実施する。
・Level 2 Certification Assessment: The POA&M closeout certification assessment must be performed by an authorized or accredited C3PAO. ・レベル 2 認証アセスメント: POA&M クローズアウト認証アセスメントは、認可または認定された C3PAO が実施しなければならない。
・Level 3 Certification Assessment: The POA&M closeout certification assessment will be performed by DCMA DIBCAC. ・レベル 3 認証アセスメント: POA&M クローズアウト認証アセスメントは、DCMA DIBCAC によって実施される。
CMMC Implementation CMMCの実施
The CMMC Program implementation date is 60 days after the publication of the final Title 48 CFR CMMC acquisition rule. CMMC assessment requirements will be implemented using a four-phase plan over three years. The phases add CMMC Level requirements incrementally, starting with self-assessments in Phase 1 and ending with full implementation of program requirements in Phase 4. This phased approach allows time to train assessors and for companies to understand and implement CMMC assessment requirements. CMMCプログラムの実施日は、Title 48 CFR CMMCの最終取得規則の公表から60日後である。CMMCアセスメント要件は、3年間にわたる4段階計画で実施される。フェーズ1でのセルフアセスメントから始まり、フェーズ4でのプログラム要件の完全実施まで、段階的にCMMCレベルの要件が追加される。この段階的アプローチにより、アセスメント担当者を訓練し、企業がCMMCアセスメント要件を理解し実施するための時間を確保することができる。

 

CMMC Status Source & Number of Security Reqts. Assessment Reqts. Plan of Action & Milestones (POA&M) Reqts. Affirmation Reqts.
Level 1 (Self) 15 required by FAR clause 52.204-21 Conducted by Organization Seeking Assessment (OSA) annually Not permitted After each assessment
  Results entered into the Supplier Performance Risk System (SPRS)   Entered into SPRS
Level 2 (Self)
 
110 NIST SP 800-171 R2 required by DFARS clause 252.204-7012 Conducted by OSA every 3 years Permitted as defined in § 170.21(a)(2) and must be closed out within 180 days After each assessment and annually thereafter
  Results entered into SPRS Final CMMC Status will be valid for three years from the Conditional CMMC Status Date Assessment will lapse upon failure to annually affirm
  CMMC Status will be valid for three years from the CMMC Status Date as defined in § 170.4   Entered into SPRS
Level 2 (C3PAO)
 
110 NIST SP 800-171 R2 required by DFARS clause 252.204-7012 Conducted by C3PAO every 3 years Permitted as defined in § 170.21(a)(2) and must be closed out within 180 days After each assessment and annually thereafter
  Results entered into CMMC Enterprise Mission Assurance Support Service (eMASS) Final CMMC Status will be valid for three years from the Conditional CMMC Status Date Assessment will lapse upon failure to annually affirm
  CMMC Status will be valid for three years from the CMMC Status Date as defined in § 170.4   Entered into SPRS
Level 3 (DIBCAC)
  
110 NIST SP 800-171 R2 required by DFARS clause 252.204-7012 Pre-requisite CMMC Status of Level 2 (C3PAO) for the same CMMC Assessment Scope, for each Level 3 certification assessment Permitted as defined in § 170.21(a)(3) and must be closed out within 180 days After each assessment and annually thereafter
24 selected from NIST SP 800-172 Feb2021, as detailed in table 1 to § 170.14(c)(4) Conducted by DIBCAC every 3 years Final CMMC Status will be valid for three years from the Conditional CMMC Status Date Assessment will lapse upon failure to annually affirm
  Results entered into CMMC eMASS   Level 2 (C3PAO) affirmation must also continue to be completed annually
  CMMC Status will be valid for three years from the CMMC Status Date as defined in § 170.4   Entered into SPRS

 

CMMC Status 出典とセキュリティ要求数 アセスメント要件 行動計画&マイルストーン(POA&M)要求事項 アファメーションの必要条件
Level 1
(セルフ)
15 FAR条項52.204-21による要求 アセスメントを求める組織(OSA)により毎年実施される。 許可されない 各アセスメント後
  結果をサプライヤー・パフォーマンス・リスク・システム(SPRS)に入力する。   SPRSに登録される
Level 2
(セルフ)
 
110 DFARS条項252.204-7012により要求されるNIST SP 800-171 R2 3年ごとにOSAが実施する 170.21条(a)(2)で定義されている通り許可され、180日以内に終了しなければならない。 各審査後およびその後毎年アセスメント
  結果はSPRSに入力される 最終CMMCステータスは、条件付CMMCステータス日から3年間有効である。 アセスメントは、毎年確認しなかった時点で失効する。
  CMMCステータスは、§170.4に定義されるCMMCステータス日から3年間妥当性確認される。   SPRSに記載される
Level 2
(C3PAO)
 
110 DFARS 第 252.204-7012 項により要求される NIST SP 800-171 R2 C3PAOにより3年毎に実施される。 170.21条(a)(2)に定義される通り許可され、180日以内に閉鎖されなければならない。 各審査後およびその後毎年アセスメント
  結果はCMMCエンタープライズミッション保証支援サービス(eMASS)に入力される。 最終CMMCステータスは、条件付CMMCステータス日から3年間有効である。 アセスメントは、毎年確認しなかった時点で失効する。
  CMMCステータスは、§170.4に定めるCMMCステータス日から3年間有効である。   SPRSに登録される
Level 3
(DIBCAC)
  
110 DFARS 第 252.204-7012 条により要求される NIST SP 800-171 R2 レベル3の認証審査ごとに、同じCMMCアセスメントスコープでレベル2(C3PAO)のCMMCステータスが前提条件となる。 170.21条(a)(3)に定義される通り許可され、180日以内に終了しなければならない。 各審査後およびその後毎年アセスメント
170.14 条(c)(4)の表 1 に詳述されているように、NIST SP 800-172 Feb2021 から選択された 24 件 DIBCACにより3年毎に実施される。 最終CMMCステータスは、条件付CMMCステータス日から3年間有効である。 アセスメントは、毎年確認しなかった時点で失効する。
  結果はCMMC eMASSに入力される。   レベル2(C3PAO)の確認も毎年継続しなければならない
  CMMCステータスは、§170.4で定義されるCMMCステータス日から3年間有効である。   SPRSに登録される

 

1_20241124073601

 

 

・・CMMC Resources & Documentation

Internal Resources 内部リソース
CMMC 101 Brief CMMC101概要
CMMC Overview Briefing (Audio) CMMC概要説明(音声)
CMMC Model Overview CMMCモデル概要
CMMC Level 1 Scoping Guidance CMMCレベル1ガイダンス
CMMC Level 1 Self-Assessment Guide CMMCレベル1セルフアセスメントガイド
CMMC Level 2 Scoping Guidance CMMCレベル2スコーピング・ガイダンス
CMMC Level 2 Assessment Guide CMMCレベル2アセスメントガイド
CMMC Level 3 Scoping Guidance CMMCレベル3スコーピング・ガイダンス
CMMC Level 3 Assessment Guide CMMCレベル3アセスメントガイド
CMMC Hashing Guide CMMCハッシングガイド CMMCハッシングガイド
External Resources 外部リソース
CMMC Defense Federal Acquisition Regulation Supplement (DFARS) Proposed Rule CMMC 国防連邦調達規則補足(DFARS)提案規則
DFARS Clause 252.204-7012: Safeguarding Covered Defense Information and Cyber Incident Reporting DFARS条項252.204-7012: 対象となる防衛情報の保護およびサイバーインシデントの報告
DFARS Provision 252.204-7019: Notice of NIST SP 800-171 DoD Assessment Requirements DFARS条項252.204-7019:NIST SP 800-171 DoDアセスメント要件の通知
DFARS Clause 252.204-7020: NIST SP 800-171 DoD Assessment Requirements DFARS 規定 252.204-7020: NIST SP 800-171 DoD アセスメント要件
DFARS Clause 252.204-7021: TBD DFARS 条項 252.204-7021: 未定
NIST SP 800-171 Rev. 2: Protecting CUI in Nonfederal Systems NIST SP 800-171 改訂 2 版:連邦政府以外のシステムにおける CUI の保護
NIST SP 800-171A: Assessing Security Requirements for Controlled Unclassified Information NIST SP 800-171A: 管理対象非機密情報のセキュリティ要件のアセスメント
NIST SP 800-172: Enhanced Security Requirements for Protecting Controlled Unclassified Information NIST SP 800-172: 管理対象非機密情報を保護するための拡張セキュリティ要件
NIST SP 800-172A: Assessing Enhanced Security Requirements for Controlled Unclassified Information NIST SP 800-172A: 管理対象非機密情報の拡張セキュリティ要件のアセスメント
DoD CUI Program Website: DoD CUI Program 国防総省CUIプログラムのウェブサイト 国防総省CUIプログラム
Supplier Performance Risk System (SPRS) サプライヤー・パフォーマンス・リスク・システム(SPRS)
CMMC Accreditation Body Website: CMMC Accreditation Body CMMC認定団体ウェブサイト: CMMC認定団体
DODI 5200.48 – Controlled Unclassified Information: DODI 5200.48 DODI 5200.48 - 管理対象非機密情報: DODI 5200.48
DODI 5000.90 – Cybersecurity for Acquisition Decision Authorities and Program Managers: DODI 5000.90 DODI 5000.90 - 取得決定権者及びプログラム管理者のためのサイバーセキュリティ: DODI 5000.90
Executive Order on Improving the Nation’s Cybersecurity (May 12, 2021): Executive Order 国家サイバーセキュリティ向上に関する大統領令(2021年5月12日): 大統領令
Additional Resources その他のリソース
NIST SP 800-53: Security and Privacy Controls for Information Systems and Organizations NIST SP 800-53: 情報システムおよび組織のセキュリティおよびプライバシー管理
NIST Cybersecurity Framework (CSF) NISTサイバーセキュリティ枠組み(CSF)
Cybersecurity & Infrastructure Security Agency (CISA) Resources: CISA Resources サイバーセキュリティ・インフラセキュリティ庁(CISA)リソース: CISA リソース
Federal Risk and Authorization Management Program (FedRAMP) 連邦リスク認可マネジメントプログラム(FedRAMP)
National Defense Industrial Association (NDIA): NDIA Cybersecurity 全米防衛産業協会(NDIA): NDIA サイバーセキュリティ
Defense Acquisition University (DAU): DAU Cybersecurity Courses 国防調達大学(DAU): DAU サイバーセキュリティコース
CMMC Marketplace: CMMC Marketplace CMMCマーケットプレイス CMMCマーケットプレイス
Cybersecurity and Privacy Reference Tool (CPRT) サイバーセキュリティとプライバシーリファレンスツール(CPRT)

 

FAQ

 ・・CMMC FAQs

20241124-64042

ABOUT CMMC  CMMCについて
Q1. What is CMMC trying to address?  Q1. CMMCは何を目指しているのか?
A1. The defense industrial base (DIB) is the target of more frequent and complex cyberattacks.  CMMC is a key component of the Department’s expansive DIB cybersecurity improvement effort.  The program is designed to help ensure that defense contractors and subcontractors are compliant with existing information protection requirements for Federal Contract Information (FCI) and Controlled Unclassified Information (CUI) and are protecting that sensitive unclassified information at a level commensurate with the risk from cybersecurity threats, including advanced persistent threats.  A1. 防衛産業基盤(DIB)は、より頻繁で複雑なサイバー攻撃の標的となっている。CMMCは、国防総省の広範なDIBサイバーセキュリティ改善努力の重要な構成要素である。このプログラムは、防衛請負業者と下請け業者が連邦契約情報(FCI)と管理対象非機密情報(CUI)に対する既存の情報保護要件を遵守し、高度な持続的脅威を含むサイバーセキュリティの脅威からのリスクに見合ったレベルで機密非機密情報を保護していることを確認するのを支援するように設計されている。
Q2. Where can I find the 32 CFR CMMC Program rule?  Q2. 32 CFR CMMCプログラム規則はどこで入手できるか。
A2. The 32 CFR CMMC Program Rule can be found here. ([web] A2. 32 CFR CMMCプログラム規則は、([web])  にある。
Q3. Where can I find the 48 CFR CMMC Acquisition rule?  Q3. 48 CFR CMMC取得規則はどこで入手できるか?
A3. The 48 CFR CMMC Acquisition Rule can be found here. ([web]
A3. 48 CFR CMMC取得規則はここにある。([web]
Q4. Will companies need to comply with CMMC 1.0 after the revised program is implemented?  Q4. 改正プログラム実施後もCMMC 1.0に準拠する必要があるのか。
A4. No, there is only one CMMC Program.  The requirements have been revised since the initial publication, often referred to as “CMMC 1.0”.  A4. CMMCプログラムは1つしかない。要件は、しばしば 「CMMC 1.0 」と呼ばれる最初の発行から改訂されている。
Q5. Why did the DoD initiate rulemaking for CMMC?  Q5. なぜDoDはCMMCのルール作りを開始したのか?
A5. Rulemaking under Title 32 CFR is required to formally establish the DoD CMMC Program in regulation, and separate rulemaking under Title 48 CFR is required to update contractual requirements in the Defense Federal Acquisition Regulation Supplement (DFARS) to implement the program.  A5. DoDのCMMCプログラムを正式に規定するためには、Title 32 CFRに基づく規則制定が必要であり、プログラムを実施するためにDefense Federal Acquisition Regulation Supplement (DFARS)の契約要件を更新するためには、Title 48 CFRに基づく別の規則制定が必要である。
Q6. When will CMMC be required for Department of Defense contracts?  Q6. 国防総省の契約にCMMCが要求されるのはいつからか?
A6. CMMC will be implemented contractually in the DoD when the DFARS clause 252.204-7021 is revised, and 60 days after the 48 CFR rule is published as final in the Federal Register.  A6. CMMCは、DFARS条項252.204-7021が改訂され、48 CFR規則が連邦官報に最終版として掲載されてから60日後に、国防総省において契約上実施される。
Q7. Why did the Department revise CMMC?  Q7. なぜ国防総省はCMMCを改訂したのか?
A7. The Department revised CMMC in response to feedback from industry, Congress, and other stakeholders.  The DoD initiated an internal review of the program to focus on enhancing CMMC by (1) reducing costs, particularly for small businesses; (2) increasing trust in the CMMC assessment ecosystem; and (3) clarifying and aligning cybersecurity requirements to existing federal requirements and commonly accepted standards.  DoD designed the revised CMMC framework to meet these goals, align with FY 2020 congressional guidance.  A7. 国防総省は、産業界、議会、その他の利害関係者からのフィードバックに応じてCMMCを改訂した。DoDは、(1)特に中小企業にとってのコスト削減、(2)CMMCアセスメント・エコシステムに対する信頼の向上、(3)既存の連邦政府要件および一般に受け入れられている標準に対するサイバーセキュリティ要件の明確化および整合化によってCMMCを強化することに重点を置くため、プログラムの内部レビューを開始した。DoDは、これらの目標を達成し、2020年度議会のガイダンスに沿うように、改訂されたCMMC枠組みを設計した。
Q8. How much will it cost to implement CMMC?  Q8. CMMCの導入にはどれくらいの費用がかかるのか。
A8. The cost of implementing CMMC depends on various factors, including the CMMC level, the complexity of the DIB company’s unclassified network, and market forces.  However, costs incurred to meet existing contract requirements for safeguarding information (DFARS 252.204-7012) are not considered part of the CMMC implementation cost.  A8. CMMCの導入コストは、CMMCレベル、DIB企業の非機密ネットワークの複雑さ、市場原理など、さまざまな要因に依存する。ただし、情報保護に関する既存の契約要件(DFARS 252.204-7012)を満たすために発生したコストは、CMMCの導入コストの一部とは見なされない。
Q9. What resources are available to assist companies in complying with DoD cybersecurity requirements?  Q9. DoDのサイバーセキュリティ要件に準拠する企業を支援するために、どのようなリソースが利用可能か?
A9. The DoD provides various no-cost Cybersecurity-as-a-Service resources to reduce barriers to DIB community compliance and support contract cybersecurity efforts.  The DoD CIO DIB Cybersecurity Program has compiled a list of these services that is available at dibnet.dod.mil under DoD DIB Cybersecurity-As-A Service (CSaaS) Services and Support.  A9. 国防総省は、DIB コミュニティのコンプライアンスに対する障壁を減らし、契約のサイバーセキュリティの取り組みを支援するために、さまざまな無償のサイバーセキュリティ・アズ・ア・サービス・リソースを提供している。国防総省 CIO DIB サイバーセキュリティ・プログラムは、これらのサービスのリストをまとめており、dibnet.dod.mil の「DoD DIB Cybersecurity-As-A Service (CSaaS) Services and Support」で入手できる。
CMMC MODEL  CMMC モデル
Q10. How will my organization know what CMMC level is required for a contract?  Q10. 契約に必要な CMMC レベルはどのようにして知ることができるのか。
A10. Once CMMC is implemented, the DoD will specify the required CMMC level in the solicitation and the resulting contract.  A10. CMMCが導入されると、DoDは、募集とその結果の契約に必要なCMMCレベルを指定する。
Q11. What is the relationship between National Institute of Standards and Technology (NIST) Special Publication (SP) 800-171 and CMMC?  Q11. 国立標準技術研究所(NIST)の特別刊行物(SP)800-171とCMMCの関係は?
A11. DoD requires defense contractors’ compliance with NIST SP 800-171 security requirements through inclusion of DFARS clause 252.204-7012 in contracts.  CMMC assessment requirements will be included in DoD solicitations when the revised Title 48 CFR CMMC acquisition rule (DFARS 252.204-7021) becomes effective.  Defense contractors will be required to undergo a self-assessment or a third-party assessment to determine whether that defense contractor has met applicable NIST SP 800-171 requirements.  A11. DoDは、契約にDFARS条項252.204-7012を含めることにより、防衛請負業者がNIST SP 800-171セキュリティ要件に準拠することを要求している。CMMCアセスメント要件は、改正Title 48 CFR CMMC取得規則(DFARS 252.204-7021)が発効した時点で、DoDの募集に含まれることになる。国防請負業者は、該当する NIST SP 800-171 の要件を満たしているかどうかを判断するために、セルフアセスメントまたはサードパーティによるアセスメントを受けることが要求される。
Q12. What is the relationship between National Institute of Standards and Technology (NIST) Special Publication (SP) 800-172 and CMMC?  Q12. 国立標準技術研究所(NIST)の特別刊行物(SP)800-172とCMMCの関係はどのようになっているか。
A12. NIST SP 800-172 provides security requirements designed to address advanced persistent threats and forms the basis for CMMC level 3 security requirements.  Contractors must implement 24 requirements from NIST SP 800-172 when DoD identifies CMMC Level 3 as a contract requirement.  A12. NIST SP 800-172は、高度な持続的脅威に対処するために設計されたセキュリティ要件を提供し、CMMCレベル3セキュリティ要件の基礎を形成する。DoDがCMMCレベル3を契約要件として特定した場合、請負業者はNIST SP 800-172の24の要件を実装しなければならない。
Q13. The CMMC model uses NIST SP 800-171, Revision 2.  Will the Department update the program to use NIST SP 800-171, Revision 3?  Q13. CMMCモデルはNIST SP 800-171、改訂2を使用している。国防総省は、NIST SP 800-171改訂3を使用するようにプログラムを更新するのか。
A13. The Department followed federal rulemaking guidelines when including NIST SP 800-171 Revision 2 in the Title 32 CFR CMMC rule.  The Department will incorporate Revision 3 with future rulemaking.  The Department has issued a class deviation to DFARS clause 252.204-7012 to allow contracting officials to assess against Revision 2 until Revision 3 has been incorporated through rulemaking.  You can find more info on that deviation here A13. 同省は、Title 32 CFR CMMC規則にNIST SP 800-171改訂2を含める際、連邦規則制定ガイドラインに従った。同省は、今後の規則制定で改訂3を取り入れる予定である。同省は、DFARS条項252.204-7012に対するクラス逸脱を発行し、改訂3が規則制定を通じて組み込まれるまで、契約担当者が改訂2に対してアセスメントできるようにしている。この逸脱に関する詳細は、こちらを参照されたい。
Q14. Will prime contractors and subcontractors be required to maintain the same CMMC level?  Q14. 元請けと下請けは同じCMMCレベルを維持する必要があるのか。
A14. No, a lower CMMC level may apply to the subcontractor if the prime only flows down limited information.  Additionally, if a prime contractor requires a CMMC level 3 certification, then a CMMC level 2 certification is the minimum requirement for CUI flowed down to the subcontractor, unless otherwise specified in the contract.  A14. 元請業者が限られた情報しか流さない場合、下請業者にはより低いCMMCレベルが適用される。さらに、元請業者がCMMCレベル3の認定を要求する場合、契約に別段の定めがない限り、CMMCレベル2の認定が下請業者にフローダウンされるCUIの最低要件となる。
Q15. What is the difference between FCI and CUI?  Q15. FCIとCUIの違いは何か?
A15. FCI is any information that is ‘not intended for public release,’ CUI is information that requires safeguarding and may also be subject to dissemination controls.  FCI is defined in FAR clause 52.204-21, and CUI is defined in Title 32 CFR Part 2002.  The Department’s CUI Quick Reference Guide includes additional information on the marking and handling of CUI.  A15. FCIは「一般公開を意図していない」情報であり、CUIは保護が必要な情報であり、また普及管理の対象となる場合もある。FCIはFAR条項52.204-21で定義され、CUIはTitle 32 CFR Part 2002で定義されている。同省のCUIクイック・リファレンス・ガイドには 、CUIのマーキングと取扱いに関する追加情報が記載されている。
Q16. Will the CMMC Program address proper marking of legacy FOUO information and CUI?  Q16. CMMCプログラムは、レガシーFOUO情報やCUIの適切なマーキングに対応するのか?
A16. Marking of legacy FOUO and CUI is outside the purview of the CMMC Program and the CMMC Program makes no change to information marking requirements.  The CUI Program was established federally through Title 32 CFR Part 2002 and within DoD through DoD Instruction 5200.48.  Not all, but some information previously marked as FOUO will qualify as CUI.  Contactors should seek DoD guidance to understand which legacy FOUO information should be marked and controlled as CUI.  A16. レガシーFOUOおよびCUIのマーキングは、CMMCプログラムの権限外であり、CMMCプログラムは情報のマーキング要件に変更を加えない。CUIプログラムは、連邦政府ではTitle 32 CFR Part 2002により、国防総省ではDoD Instruction 5200.48により確立された。すべてではないが、以前はFOUOとしてマークされていた情報の一部は、CUIとして適格となる。接触者は、どのレガシーFOUO情報がCUIとしてマークされ管理されるべきかを理解するために、DoDのガイダンスを求めるべきである。
ASSESSMENTS  アセスメント
Q17. How does my company become a C3PAO?  Q17. どのようにしてC3PAOになるのか?
A17. Interested organizations should refer to the CMMC AB website (currently Cyber AB) for additional information on becoming a candidate C3PAO.  A17. C3PAO候補になるための追加情報については、CMMC ABのウェブサイト(現在はCyber AB)を参照されたい。
Q18. What is the difference between authorized and accredited C3PAOs.  Q18. 認可C3PAOと認定C3PAOの違いは何か。
A18. The only difference between authorization and accreditation is the status of the CMMC Accreditation Body.  Prior to the CMMC AB achieving its full ISO/IEC 17011 compliance, the interim term “authorized” is used for C3PAOs.  A18. 認可と認定の唯一の違いは、CMMC認定団体のステータスである。CMMC ABがISO/IEC 17011への完全な適合を達成する前は、C3PAOに対して暫定的に「認可(authorized)」という用語が使用される。
Q19. How frequently will assessments be required?  Q19. アセスメントの頻度はどの程度か。
A19. Once CMMC is implemented through the Title 48 CFR rule, Level 1 selfassessments will be required on an annual basis and CMMC Levels 2 and 3 will be required every 3 years.  An affirmation of continued compliance is required for all CMMC levels at the time of assessment and annually thereafter.  A19. CMMCがTitle 48 CFR規則を通じて実施されると、レベル1のセルフ評価は年1回、CMMCレベル2と3は3年ごとに必要となる。すべてのCMMCレベルについて、アセスメント時およびその後毎年、遵守継続の確認が必要となる。
Q20. Who will perform independent CMMC assessments?  Q20. 独立したCMMCアセスメントは誰が行うのか?
A20. DoD will only accept CMMC Level 3 assessments provided by the DIBCAC and CMMC Level 2 assessments conducted by an authorized or accredited C3PAO.  C3PAOs shall use only certified CMMC assessors to conduct CMMC assessments.  A20. DoDは、DIBCACが提供するCMMCレベル3のアセスメントと、認可または認定されたC3PAOが実施するCMMCレベル2のアセスメントのみを受け入れる。C3PAOは、認定されたCMMCアセッサーのみを使用してCMMCアセスメントを実施しなければならない。
Q21. Will my organization need to be independently assessed if it does not handle CUI?  Q21. CUIを取り扱わない組織は、独立したアセスメントを受ける必要があるのか。
A21. No, if a DIB company does not process, store, or transmit CUI but does handle FCI, then only a CMMC Level 1 self-assessment would be required.  Contractors are required to safeguard information by inclusion of contract clauses such as FAR 52.20421 (for FCI) or DFARS 252.204-7012 (for CUI).  DoD’s intent under the CMMC Program is to require assessment against the required cybersecurity standards (i.e., NIST SP 800-171) only when safeguarding of CUI is required.  For some CUI, DoD will accept a self-assessment rather than requiring certification based on assessment by a C3PAO or the Government.  A21. DIB 企業が CUI を処理、保管、または送信しないが、FCI を取り扱う場合は、CMMC レベル 1 のセルフアセスメントのみが必要となる。請負業者には、FAR 52.20421(FCI用)またはDFARS 252.204-7012(CUI用)などの契約条項を含めることにより、情報を保護することが求められる。CMMCプログラムにおけるDoDの意図は、CUIの保護が要求される場合にのみ、要求されるサイバーセキュリティ標準(すなわち、NIST SP 800-171)に対するアセスメントを要求することである。一部の CUI については、DoD は、C3PAO またはガバナンスによるアセスメントに基づく認証 を要求するのではなく、セルフアセスメントを受け入れる。
Q22. Will CMMC independent assessments be required for classified systems and / or classified environments within the DIB?  Q22. DIB内の機密システムおよび/または機密環境に対して、CMMCの独立アセスメントは要求されるか?
A22. No, CMMC only applies to DIB contractors’ nonfederal systems unclassified networks that process, store, or transmit FCI or CUI.  A22. いいえ。CMMC は、FCI または CUI を処理、保管、または伝送する DIB 契約者の非フ ェデラル・システム非機密ネットワークにのみ適用されます。
Q23. Will the results of a DIB company’s assessment be made public?  Will the DoD be able to see assessment results?  Q23. DIB 企業のアセスメント結果は公開されるのか。DoD はアセスメント結果を見ることができるか。
A23. No, DIB companies’ assessments will not be made public. However, the DoD will have access to assessment information.  A23. DIB 企業のアセスメントは公開されない。ただし、DoD は評価情報にアクセスできる。
Q24. How much will CMMC certification assessment cost?  Q24. CMMC認証アセスメントの費用はいくらかかるのか。
A24. The cost of a CMMC Level 2 certification assessment will depend upon several factors, including the complexity of the DIB company’s unclassified network for the certification scope, and market forces.  DIBCAC assessments required for CMMC Level 3 certification will be conducted free of charge.  A24. CMMC レベル 2 認証アセスメントの費用は、認証範囲に対する DIB 企業の非機密ネットワークの複雑さ、市場動向など、いくつかの要因に左右される。CMMCレベル3認証に必要なDIBCACアセスメントは、無料で実施される。
Q25. When will we know which requirements are considered "critical" and won't be allowed in a Plan of Actions and Milestones (POA&M)?  Q25. どの要件が「クリティカル」とみなされ、行動計画およびマイルストーン(POA&M)で認められないかは、いつわかるのか。
A25. Critical requirements are identified in the Title 32 CFR CMMC final rule section §170.21.  A25. クリティカルな要求事項は、Title 32 CFR CMMC最終規則§170.21で特定される。
Q26. How would a company deal with operational requirements where full CMMC implementation breaks required information system functionality?  Q26. CMMCを完全に実施することにより、必要な情報システムの機能が損なわれるような運用上の要求事項には、どのように対処するのか。
A26. If an information system is not able to provide adequate information security, DoD CUI should not be processed, stored, or transmitted in or on that system.  A26. 情報システムが適切な情報セキュリティをプロバイダできない場合、DoD CUIをそのシステムで、またはそのシステム上で処理、保存、または伝送すべきではない。
Q27. Can DoD contractors implement NIST SP 800-171 Revision 3?  Q27. 国防総省の請負業者は NIST SP 800-171 改訂 3 版を実装できるか。
A27. Yes, DoD contractors can implement NIST SP 800-171 Revision 3 at will. But the CMMC assessment will still be conducted against NIST SP 800-171 Revision 2 using NIST SP 800-171A (June 2018) per the DoD and CMMC Assessment Methodology.  A27. はい、国防総省の請負業者は NIST SP 800-171 改訂第 3 版を自由に実施することができる。しかし、CMMCアセスメントは、DoDおよびCMMCアセスメント方法論に従って、NIST SP 800-171A(2018年6月)を使用してNIST SP 800-171改訂2に対して実施される。
Q28. What NIST SP 800-171 Revision 2 requirements would have to be implemented that are not covered in NIST SP 800-171 Revision 3?  Q28. NIST SP 800-171 改訂 3 でカバーされていない NIST SP 800-171 改訂 2 のどのような要求事項を実施しなければならないのか。
A28. Full compliance with NIST SP 800-171 Revision 3 does not automatically guarantee compliance with all aspects of NIST SP 800-171 Revision 2. To ensure compliance, contractors need to identify and implement any security requirements, and their assessment objectives, from NIST SP 800-171A (June 2018) that are not covered in NIST SP 800-171 Revision 3. This may include specific security requirements that were revised, removed, or altered in the transition from NIST SP 800-171 Revision 2 to NIST SP 800-171 Revision 3. Furthermore, NIST SP 800-171 Revision 3 includes numerous organization-defined parameters (ODP) – each ODP selection will impact the alignment with the corresponding security requirements or assessment objectives from NIST SP 800-171A (June 2018).  It is important to document and demonstrate compliance with the revision specified in your contract to meet all applicable requirements.  A28. NIST SP 800-171 改訂第 3 版への完全な準拠は、NIST SP 800-171 改訂第 2 版のすべての側面への準拠を自動的に保証するものではない。コンプライアンスを確保するために、請負業者は、NIST SP 800-171改訂3でカバーされていないNIST SP 800-171A(2018年6月)のセキュリティ要件とそのアセスメント目標を特定し、実施する必要がある。これには、NIST SP 800-171改訂2版からNIST SP 800-171改訂3版への移行において改訂、削除、変更された特定のセキュリティ要件が含まれる可能性がある。さらに、NIST SP 800-171改訂3には、多数の組織定義パラメータ(ODP)が含まれており、各ODPの選択は、NIST SP 800-171A(2018年6月)の対応するセキュリティ要求事項又はアセスメント目的との整合に影響を与える。適用されるすべての要件を満たすために、契約で指定された改訂に準拠していることを文書化し、証明することが重要である。
Q29. Does my cloud service provider (CSP) require FedRAMP authorization?  Q29. クラウドサービスプロバイダ(CSP)はFedRAMP認可を必要とするか?
A29. Yes, if the product/service provided by the CSP is used to process, store, or transmit Controlled Unclassified Information (CUI), the Cloud Service Offering (CSO) must meet FedRAMP Moderate, or equivalency requirements as determined by DoD policy at the time of the assessment.  A29. はい。CSPが提供する製品/サービスが管理対象非機密情報(CUI)の処理、保管、送信に使用される場合、クラウド・サービス・オファリング(CSO)はFedRAMP Moderate、またはアセスメント時にDoDポリシーが決定する同等要件を満たさなければならない。
Q30. An OSA stores CUI in a system provided by our Managed Service Provider. It is not a cloud offering. Does the MSP require its own CMMC assessment?  Q30. OSAが、マネージド・サービス・プロバイダーが提供するシステムにCUIを保存している。これはクラウド提供ではない。MSPは独自のCMMCアセスメントを必要とするか。
A30. No, but because CUI is stored in the MSP’s systems, the services provided are in scope for the OSA’s CMMC assessment and shall be assessed as part of the assessment. The MSP must satisfy all security requirements related to the processing, storage, or transmission of CUI. The MSP is not required to have its own CMMC assessment but may elect to perform its own self-assessment or undergo a certification assessment. The MSP’s assessment level and type need to be the same, or above, as the level and type specified in the OSA’s contract with the DoD and cover those assets that are in scope for the OSA’s assessment.  A30. MSPのシステム内にCUIが保管されているため、提供されるサービスはOSAのCMMCアセスメントの対象であり、アセスメントの一環として評価されなければならない。MSPは、CUIの処理、保管、または送信に関連するすべてのセキュリティ要件を 満たさなければならない。MSPは、独自のCMMCアセスメントを受ける必要はないが、独自のセルフアセスメ ントを実施するか、または認証アセスメントを受けることを選択できる。MSP のアセスメント・レベルおよびタイプは、OSA と国防総省との契約で指定されたレベルおよびタ イプと同じかそれ以上である必要があり、OSA のアセスメントの対象となる資産をカバーする。
Q31. We separately outsource our IT support to an MSP and our security tools are managed by a different MSSP.  No CUI is with either vendor. Are they required to be assessed?  Q31. ITサポートをMSPに委託し、セキュリティ・ツールは別のMSPが管理している。どちらのベンダーにもCUIはない。アセスメントが必要か。
A31. In both cases, the MSP and MSSP services provided are both considered ESPs are the services are assessed as a Security Protection Asset Critical.  A31. いずれの場合も、MSPとMSSPが提供するサービスは、いずれもESPとみなされ、そのサービスは「重要なセキュリティ保護資産(Security Protection Asset Critical)」として評価される。
Q32. Our MSP uses cloud tools to collect asset inventory, perform vulnerability scans, administer some assets, etc. Is the MSP a CSP?  Q32. 当社のMSPは、クラウドツールを使用して、資産インベントリの収集、脆弱性スキャンの実行、一部の資産の管理などを行っている。MSPはCSPか。
A32. No. The use of cloud tools to deliver a service does not make the MSP a CSP.  A32. サービスを提供するためにクラウド・ツールを使用したからといって、MSP が CSP になるわけではない。
Q33. Our MSP remotely accesses our on-premises and cloud environments. CUI is stored in both environments. Does the MSP require a CMMC certification?  Q33. 当社のMSPは、オンプレミスとクラウドの環境にリモート・アクセスする。CUIは両方の環境に保存されている。MSPはCMMC認証を必要とするか。
A33. No, as long as CUI is not processed, stored, or transmitted on MSP systems.  A33. MSPのシステム上でCUIが処理、保存、送信されない限り、必要ない。
Q34. We store CUI in the cloud and our MSP administers the environment. Is the MSP a CSP?  Q34. 当社はCUIをクラウドに保管し、MSPがその環境を管理している。MSPはCSPか。
A34. It depends on the relationships between the CSP, the MSP, and the OSA. If the cloud tenant is subscribed/licensed to the OSA (even if the MSP resells the service), then the MSP is not a CSP. If the MSP contracts with the CSP and further modifies the basic cloud service, then the MSP is a CSP and must meet applicable FedRAMP or equivalency requirements. A Cloud Service Provider (CSP) means an external company that provides cloud services based on cloud computing. Cloud computing is a model for enabling ubiquitous, convenient, on-demand network access to a shared pool of configurable computing resources (e.g., networks, servers, storage, applications, and services) that can be rapidly provisioned and released with minimal management effort or service provider interaction.  A34. CSP、MSP、およびOSAの関係による。クラウド・テナントがOSAにサブスクライブ/ライセンスされている場合(MSPがサービスを再販している場合でも)、MSPはCSPではない。MSPがCSPと契約し、基本クラウド・サービスをさらに変更する場合、MSPはCSPであり、適用されるFedRAMPまたは同等の要件を満たさなければならない。クラウド・サービス・プロバイダ(CSP)とは、クラウド・コンピューティングに基づくクラウド・サービスを提供する外部の企業をいう。クラウド・コンピューティングは、構成可能なコンピューティング・リソース(ネットワーク、サー バー、ストレージ、アプリケーション、サービスなど)の共有プールへのユビキタスで便利なオンデマンド のネットワーク・アクセスを可能にするモデルであり、最小限のマネージド・エフォートまたはサービ ス・プロバイダーの相互作用で迅速にプロビジョニングおよび解放できる。
Q35. CUI is processed, stored, and transmitted in a Virtual Desktop Infrastructure (VDI). Are the endpoints used to access the VDI in scope as CUI assets?  Q35. CUIは、仮想デスクトップ基盤(VDI)で処理、保存、転送される。VDIにアクセスするために使用されるエンドポイントは、CUI資産の範囲内か?
A35. An endpoint hosting a VDI client is considered an Out-of-Scope Asset if it is configured to not allow any processing, storage, or transmission of CUI beyond the Keyboard/Video/Mouse sent to the VDI client. Proper configuration of the VDI client must be verified. If the configuration allows the endpoint to process, store, or transmit CUI, the endpoint will be considered a CUI Asset and is in scope of the assessment.  A35. VDIクライアントをホストするエンドポイントは、VDIクライアントに送信されるキーボード/ビデオ/マウスを超えるCUIの処理、保存、送信を許可しないように構成されている場合、範囲外の資産とみなされる。VDIクライアントの適切な構成が検証されなければならない。構成によりエンドポイントがCUIを処理、保存、または送信できる場合、そのエンドポイントはCUIアセスメントとみなされ、アセスメントの対象となる。
IMPLEMENTATION  実装
Q36. How will the DoD implement CMMC?  Q36. DoDはCMMCをどのように実施するのか。
A36. Once the Title 32 CFR CMMC Program rule and the Title 48 CFR CMMC acquisition rule are effective, the DoD will implement CMMC requirements in 4 phases over a three-year period to reduce implementation risk.  The phased implementation plan is intended to address ramp-up issues, provide time to train the necessary number of assessors, and allow companies the time needed to understand and implement CMMC requirements.  It will also minimize financial impacts to defense contractors, especially small businesses, and disruption to the existing DoD supply chain.   A36. Title 32 CFR CMMC Program規則およびTitle 48 CFR CMMC取得規則が発効した後、DoDは、実施リスクを低減するために、3年間で4つのフェーズに分けてCMMC要件を実施する。段階的実施計画は、立ち上げの問題に対処し、必要な数の評価者を訓練する時間を提供し、企業がCMMC要件を理解し実施するのに必要な時間を確保することを意図している。また、防衛請負業者、特に中小企業への財政的影響や、既存の国防総省サプライチェーンへの混乱を最小限に抑える。
Following this phased implementation plan, solicitations and resulting defense contracts involving the processing, storing, or transmitting of FCI or CUI on a nonfederal system will have a CMMC level and assessment type requirement that a contractor must meet to be eligible for a contract award.    この段階的実施計画に従って、連邦政府以外のシステムでFCIまたはCUIを処理、保管、または送信することを含む募集およびその結果としての防衛契約には、契約締結の資格を得るために請負業者が満たさなければならないCMMCレベルおよびアセスメントタイプの要件が設けられる。 
Q37. How can businesses best prepare for CMMC implementation?  Q37. 企業はどのようにCMMC導入の準備をすればよいか。
A37. Whether your company has previously been awarded a DoD contract that includes DFARS clause 252.204-7012 or is brand new to DoD contracting, the best way to prepare for implementation of CMMC is to carefully conduct a self-assessment of your contractor-owned information systems to make sure you have implemented the necessary cybersecurity measures to comply with each requirement of FAR clause 52.204-21 or DFARS clause 252.204-7012.  Review the appropriate security requirements and carefully consider whether they have been implemented to secure any contractor-owned information systems which will be used to process, store, or transmit DoD controlled unclassified information during contract performance.  Before initiating an assessment, take corrective actions to meet any security requirements that necessitate implementation to comply with CMMC requirements. Companies may use cloud service offerings to meet the cybersecurity requirements that must be assessed as part of the CMMC requirement. The DoD CIO DIB Cybersecurity Program has compiled a list of current resources available at dibnet.dod.mil under DoD DIB Cybersecurity-as-a-Service (CSaaS) Services and Support.  A37. 貴社が過去にDFARS条項252.204-7012を含むDoD契約を締結したことがあるにせよ、DoD契約に新規参入するにせよ、CMMCの実施に備える最善の方法は、FAR条項52.204-21またはDFARS条項252.204-7012の各要件に準拠するために必要なサイバーセキュリティ対策を実施しているかどうかを確認するために、請負業者が所有する情報システムのセルフアセスメントを慎重に実施することである。適切なセキュリティ要件を確認し、契約履行中に国防総省の管理対象非機密情報の処理、保存、送信に使用される請負業者が所有する情報システムのセキュリティ確保が実施されているかどうかを慎重に検討する。アセスメントを開始する前に、CMMC要件に準拠するために実施が必要なセキュリティ要件を満たすための是正措置を講じる。企業は、CMMC 要件の一部として評価されなければならないサイバーセキュリティ要件を満たすために、クラウドサービスを利用することができる。国防総省 CIO DIB サイバーセキュリティ・プログラムは、dibnet.dod.mil の「DoD DIB Cybersecurity-as-a-Service (CSaaS) Services and Support」で利用可能な最新のリソースのリストをまとめている。
Q38. Will CMMC apply to non-U.S. companies?  Q38. CMMCは米国以外の企業にも適用されるのか。
A38. Yes, when CMMC requirements are identified in DoD solicitations, they will apply to all companies performing under the resulting DoD contract.  A38. はい。DoDの募集においてCMMC要件が特定された場合、その結果生じるDoD契約の下で業務を行うすべての企業に適用される。
Q39. Can non-U.S. citizens or organizations be part of the CMMC Ecosystem, e.g., C3PAOs?  Q39. C3PAOなど、米国以外の市民や組織もCMMCエコシステムに参加できるか。
A39. Individuals and organizations that meet all requirements established under the  A39. Title32CFRのCMMCプログラム規則で定められたすべての要件を満たす個人および組織は、CMMCエコシステムの一員となることができる。
Title 32 CFR CMMC Program rule are eligible, as appropriate, to be members of the CMMC Ecosystem, regardless of nationality.  Title 32 CFR CMMC Program Ruleに定められたすべての要件を満たす個人および組織は、国籍に関係なく、CMMCエコシステムのメンバーになる資格がある。
Q40. Do foreign countries need to develop their own assessment and training organizations, then obtain CMMC Program acceptance agreements with the U.S.?  Q40. 外国は、自国のアセスメントおよびトレーニング組織を開発し、その後、米国とCMMCプログラム受入協定を締結する必要があるのか。
A40. No, foreign partners need not establish unique assessment, training, or a nonU.S. based CMMC program; rather, they can use the CMMC program established by the Title 32 CFR CMMC Program rule.  For instance, the Cyber AB may accredit, as appropriate, international organizations that meet all requirements established under the Title 32 CFR CMMC Program rule.  Non-U.S. companies may then choose to use either an approved U.S.-based or foreign-based C3PAO to assess them.  A40. 外国のパートナーは、独自のアセスメント、訓練、または米国をベースとしないCMMCプログラムを確立する必要はない。例えば、サイバーABは、Title 32 CFR CMMC Program規則の下で確立されたすべての要件を満たす国際組織を、必要に応じて認定することができる。その場合、米国以外の企業は、承認された米国を拠点とする C3PAO または外国を拠点とする C3PAO のいずれかを選択して評価を受けることができる。
Q41. Our corporate security team provides our SOC and monitors deployed security tools. They are not a part of our business unit or CAGE code, but we are all employees of the same company. Is the security team/SOC an External Service Provider?  Q41. 当社のコーポレート・セキュリティ・チームがSOCをプロバイダし、展開されているセキュリティ・ツールを監視している。彼らは当社の事業部門やCAGEコードには属していないが、全員が同じ会社の従業員である。セキュリティ・チーム/SOCは外部サービス・プロバイダか。
Possibly. In this context, EXTERNAL can include organizations within the same corporate entity; they do not need to be independent third parties. According to the CMMC Program, Controlled Unclassified Information (CUI) or Security Protection Data (SPD) (e.g., log data, configuration data) must be processed, stored, or transmitted on the External Service Provider (ESP) assets to be considered an ESP (170.4). In this case, the SOC is handling SPD on behalf of the Organizational Subunit (OSA). The organizational structure within the company will determine if the SOC is external to the OSA. Since the SOC is at a different organizational level and is not covered by the same CAGE code, it is likely to be considered an ESP. For the SOC to be considered an ESP during an assessment, a “service description and customer responsibility matrix (CRM)” are required.  It is also possible to assign a CAGE code and include the SOC in the assessment.  その可能性はある。この文脈では、EXTERNAL には同じ事業体内の組織を含めることができる。独立したサードパーティである必要はない。CMMCプログラムによると、管理対象非機密情報(CUI)またはセキュリティ防御データ(SPD)(例えば、ログデータ、構成データ)が、外部サービスプロバイダー(ESP)資産上で処理、保存、または送信されなければ、ESPとみなされない(170.4)。この場合、SOC は組織サブユニット(OSA)に代わって SPD を取り扱う。SOC が OSA の外部であるかどうかは、企業内の組織構造によって決定される。SOC は組織レベルが異なり、同じ CAGE コードの適用を受けないため、ESP とみなされる可能性が高い。アセスメントにおいてSOCがESPとみなされるためには、「サービス内容および顧客責任マトリックス(CRM)」が必要である。CAGE コードを割り当て、SOC をアセスメントに含めることも可能である。

 

 

 

 


 

官報...

Fedral Register

・2024.10.15 Cybersecurity Maturity Model Certification (CMMC) Program

 

仮訳..

.20241124-63330

・[DOCX][PDF]

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

国防総省の委託先の管理の話...

・2024.01.03 米国 国防総省 パブコメ サイバーセキュリティ成熟度認証規則案 (2023.12.26)

・2023.12.11 米国 国防総省 内部監察官室 請負業者ネットワーク上の国防総省管理対象非機密情報保護に関するサイバーセキュリティの共通の不備 (2023.12.04)

・2021.12.11 米国 GAO 国防省の委託事業者のサイバーセキュリティについての認証フレームワークの改善

・2021.12.10 米国 CMMC Ver.2.0

・2021.11.07 米国 DoD サイバーセキュリティ成熟度モデル認証(CMMC)プログラムの戦略的方向性 - CMMC2.0

・2020.10.02 米国国防省がCMMCの暫定規則(DFARS Case 2019-D041)を公表し、意見募集を行っています

・2020.05.01 Cybersecurity成熟度モデル認証制度は普及するか、しないか・・・

・2020.03.31 CMMC概要 An Introduction to the Cybersecurity Maturity Model Certification (CMMC)

・2020.03.09 Cybersecurity Maturity Model Certification (CMMC) Version 1.0

 

 

SP800-53, 171, 172関係...

・2024.11.17 米国 NIST SP 800-172 Rev.3(初公開ドラフト) 管理対象非機密情報保護のための拡張セキュリティ要件

・2024.05.20 米国 NIST SP 800-171 改訂 3 版 非連邦政府組織およびシステムにおける管理対象非機密情報CUIの保護とNIST SP 800-171A 改訂3版 管理対象非機密情報のセキュリティ要件の評価 (2024.05.14)

・2023.11.13 NIST 意見募集 SP 800-171 Rev.3(最終ドラフト) 非連邦政府組織およびシステムにおける管理対象非機密情報の保護、NIST SP 800-171A 改訂第3版(初期公開ドラフト) 管理対象非機密情報のセキュリティ要件の評価

・2023.05.13 米国 NIST 意見募集 SP 800-171 Rev.3(ドラフト) 非連邦政府組織およびシステムにおける管理対象非機密情報の保護

・2022.07.21 NIST SP 800-171 Rev. 3 (ドラフト) 非連邦政府組織およびシステムにおける管理対象非機密情報CUIの保護の作成に向けた意見募集

・2022.03.18 NIST SP 800-172A 管理対象非機密情報に対する強化版セキュリティ要件の評価

・2022.03.18 NIST SP 800-172A 管理対象非機密情報に対する強化版セキュリティ要件の評価

・2022.01.27 NIST SP 800-53A Rev. 5 情報システムと組織におけるセキュリティとプライバシーのコントロールの評価

・2021.08.06 NIST SP 800-53A Rev. 5 (Draft) 情報システムと組織におけるセキュリティとプライバシーのコントロールの評価

・2021.07.19 IPA NIST文書SP800-53 rev.5「組織と情報システムのためのセキュリティおよびプライバシー管理策」及びSP800-53B「組織と情報システムのための管理策ベースライン」の翻訳版を公開

・2021.04.28 NIST SP 800-172A 管理対象非機密情報 (CUI) に対する強化版セキュリティ要件の評価

・2021.02.04 NIST SP 800-172 Enhanced Security Requirements for Protecting Controlled Unclassified Information: A Supplement to NIST Special Publication 800-171

・2020.12.11 SP 800-53 Rev. 5 Security and Privacy Controls for Information Systems and Organizations, SP 800-53B Control Baselines for Information Systems and Organizationsの記載ミスの修正と第5版と第4版の更新分析、ISO/IEC27001とのマッピング表等の追加

・2020.10.30 NIST SP 800-53B Control Baselines for Information Systems and Organizations 情報システムと組織のコントロールベースライン

・2020.03.17 NIST SP 800-53 Rev. 5(Draft) Security and Privacy Controls for Information Systems and Organizations (Final Public Draft)

・2020.02.22 NIST Publishes SP 800-171 Revision 2: Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations

 

少し前...

・2012.03.01 NIST Draft SP 800-53 Rev. 4 Security and Privacy Controls for Federal Information Systems and Organizations

・2011.07.22 NIST Draft SP 800-53 Appendix J DRAFT Privacy Control Catalog

・2010.05.10 NIST SP800-53関係の情報

 

| | Comments (0)

2024.11.23

オーストラリア 市販AIを利用する場合のプライバシーのガイダンスと生成的AIを訓練する際に個人データを利用する開発者向けガイダンス (2024.10.21)

こんにちは、丸山満彦です。

オーストラリア情報コミッショナー事務局(Office of the Australian Information Commissioner: OAIC)が、

を公表していましたね...

チェックリストもありますね...

これは、よいですね...

 

Office of the Australian Information Commissioner: OAIC

・2024.10.21 New AI guidance makes privacy compliance easier for business

New AI guidance makes privacy compliance easier for business 新たなAIガイダンスにより、企業のプライバシー遵守が容易になる
New guides for businesses published today by the Office of the Australian Information Commissioner (OAIC) clearly articulate how Australian privacy law applies to artificial intelligence (AI) and set out the regulator’s expectations. オーストラリア情報コミッショナー事務局(OAIC)が本日発表した企業向けの新しい手引きは、オーストラリアのプライバシー法が人工知能(AI)にどのように適用されるかを明確に示し、規制当局の期待を示している。
The first guide will make it easier for businesses to comply with their privacy obligations when using commercially available AI products and help them to select an appropriate product. The second provides privacy guidance to developers using personal information to train generative AI models. 最初のガイドは、企業が市販のAI製品を使用する際のプライバシー義務を遵守することを容易にし、適切な製品を選択するのに役立つ。2つ目は、生成的AIモデルを訓練するために個人情報を使用する開発者に対するプライバシーガイダンスを提供する。
“How businesses should be approaching AI and what good AI governance looks like is one of the top issues of interest and challenge for industry right now,” said Privacy Commissioner Carly Kind. プライバシー・コミッショナーのカーリー・カインドは、次のように述べた。「企業がAIにどのように取り組むべきか、また、優れたAIガバナンスとはどのようなものかは、現在、産業界にとって最も関心が高く、課題となっている問題の一つである。」
“Our new guides should remove any doubt about how Australia’s existing privacy law applies to AI, make compliance easier, and help businesses follow privacy best practice. AI products should not be used simply because they are available. 「我々の新しいガイドは、オーストラリアの既存のプライバシー法がAIにどのように適用されるかについての疑念を取り除き、コンプライアンスを容易にし、企業がプライバシーのベストプラクティスに従うのを助けるものである。AI製品は、利用可能だからという理由だけで使用されるべきではない。
“Robust privacy governance and safeguards are essential for businesses to gain advantage from AI and build trust and confidence in the community,” she said. 「強固なプライバシーガバナンスとセーフガードは、企業がAIから利点を得、コミュニティにおける信頼と信用を構築するために不可欠である。」
The new guides align with OAIC focus areas of promoting privacy in the context of emerging technologies and digital initiatives, and improving compliance through articulating what good looks like. この新しいガイドは、OAICの重点分野である、新興技術やデジタルイニシアチブの文脈におけるプライバシーの推進と、何が良いことなのかを明確にすることによるコンプライアンスの改善に沿ったものである。
“Addressing privacy risks arising from AI, including the effects of powerful generative AI capabilities being increasingly accessible across the economy, is high among our priorities,” Commissioner Kind said. カインド・コミッショナーは次のように述べた。「強力な生成的AI能力が経済全体でますますアクセスしやすくなっている影響を含め、AIから生じるプライバシー・リスクに対処することは、我々の優先事項の中でも高い位置にある。」
“Australians are increasingly concerned about the use of their personal information by AI, particularly to train generative AI products. 「オーストラリア国民は、AIによる個人情報の使用、特に生成的AI製品の訓練について、ますます懸念を強めている。」
“The community and the OAIC expect organisations seeking to use AI to take a cautious approach, assess risks and make sure privacy is a key consideration. The OAIC reserves the right to take action where it is not.” 「コミュニティとOAICは、AIを利用しようとする組織が慎重なアプローチをとり、リスクをアセスメントし、プライバシーが重要な考慮事項であることを確認することを期待している。OAICは、そうでない場合には行動を起こす権利を留保する。」
While the guidance addresses the current situation – concerning the law, state of technology and practices – Commissioner Kind said an important focus remains how AI privacy protections could be strengthened for the benefit of society as a whole. 「このガイダンスは、法律、技術、慣行に関する現状を扱っているが、カインド委員は、社会全体の利益のためにAIのプライバシー保護をどのように強化できるかが重要な焦点である」。
“With developments in technology continuing to evolve and challenge our right to control our personal information, the time for privacy reform is now,” said Commissioner Kind. 「技術の発展が進化を続け、個人情報を管理する権利に挑戦している今こそ、プライバシー・改革の時である。」
“In particular, the introduction of a positive obligation on businesses to ensure personal information handling is fair and reasonable would help to ensure uses of AI pass the pub test.” 「特に、個人情報の取り扱いが公正かつ合理的であることを保証するための企業に対する積極的な義務の序文は、AIの利用がパブテストに合格することを保証するのに役立つだろう。」
The OAIC has published a blog post with further information about the privacy guidance for developers using personal information to train generative AI models. OAICは、生成的AIモデルを訓練するために個人情報を使用する開発者のためのプライバシー・ガイダンスに関する詳細情報をブログで発表した。

 

 


 

市販AIを利用する場合のプライバシーのガイダンス

・2024.10.21 Guidance on privacy and the use of commercially available AI products

Guidance on privacy and the use of commercially available AI products プライバシーと市販のAI製品の使用に関するガイダンス
On this page このページでは
Top five takeaways トップ5の要点
Quick reference guide クイック・リファレンス・ガイド
Overview 概要
Artificial intelligence and privacy 人工知能とプライバシー
Interaction with Voluntary AI Safety Standard AI安全性自主基準との関係
What should organisations consider when selecting an AI product? AI製品を選択する際、組織は何を考慮すべきか?
What are the key privacy risks when using AI? AIを使用する際の主なプライバシーリスクは何か?
What transparency and governance measures are needed? どのような透明性とガバナンス対策が必要か?
What ongoing assurance processes are needed? どのような継続的保証プロセスが必要か?
Checklists チェックリスト

 

 Top five takeaways トップ5の要点
1. Privacy obligations will apply to any personal information input into an AI system, as well as the output data generated by AI (where it contains personal information). When looking to adopt a commercially available product, organisations should conduct due diligence to ensure the product is suitable to its intended uses. This should include considering whether the product has been tested for such uses, how human oversight can be embedded into processes, the potential privacy and security risks, as well as who will have access to personal information input or generated by the entity when using the product. 1. プライバシー義務は、AIシステムに入力される個人情報だけでなく、AIによって生成される出力データ(個人情報を含む場合)にも適用される。市販されている製品の採用を検討する場合、組織はデューデリジェンスを実施し、その製品が意図する用途に適していることを確認する必要がある。これには、製品がそのような用途でテストされているかどうか、人間の監視をどのようにプロセスに組み込むことができるか、潜在的なプライバシーとセキュリティのリスク、さらに製品を使用する際に事業体が入力または生成する個人情報に誰がアクセスできるかを検討することが含まれる。
2. Businesses should update their privacy policies and notifications with clear and transparent information about their use of AI, including ensuring that any public facing AI tools (such as chatbots) are clearly identified as such to external users such as customers. They should establish policies and procedures for the use of AI systems to facilitate transparency and ensure good privacy governance. 2. 企業は、AIの使用に関する明確で透明性のある情報をプライバシーポリシーと通知書に記載し、更新する必要がある。これには、顧客などの外部ユーザーに対して、(チャットボットなどの)公衆向けAIツールがそのようなものであることを明確に示すことも含まれる。透明性を促進し、良好なプライバシー・ガバナンスを確保するために、AIシステムの使用に関する方針と手順を確立すべきである。
3. If AI systems are used to generate or infer personal information, including images, this is a collection of personal information and must comply with APP 3. Entities must ensure that the generation of personal information by AI is reasonably necessary for their functions or activities and is only done by lawful and fair means. Inferred, incorrect or artificially generated information produced by AI models (such as hallucinations and deepfakes), where it is about an identified or reasonably identifiable individual, constitutes personal information and must be handled in accordance with the APPs. 3. AIシステムが画像を含む個人情報の生成または推論に使用される場合、これは個人情報の収集であり、APP 3に準拠しなければならない。事業体は、AIによる個人情報の生成が、その機能または活動にとって合理的に必要であり、適法かつ公正な手段によってのみ行われることを保証しなければならない。AIモデルによって生成された(幻覚やディープフェイクなどの)推定、不正確、または人工的に生成された情報は、それが識別された、または個人を合理的に特定できる個人に関するものである場合、個人情報に該当し、APPに従って取り扱われなければならない。
4. If personal information is being input into an AI system, APP 6 requires entities to only use or disclose the information for the primary purpose for which it was collected, unless they have consent or can establish the secondary use would be reasonably expected by the individual, and is related (or directly related, for sensitive information) to the primary purpose. A secondary use may be within an individual’s reasonable expectations if it was expressly outlined in a notice at the time of collection and in your business’s privacy policy. 4. 個人情報がAIシステムに入力される場合、APP6は、事業体に対し、同意があるか、または二次利用が個人によって合理的に予想され、かつ一次目的に関連する(または機微情報の場合は直接関連する)ものであることを証明できない限り、情報が収集された一次目的のためにのみ情報を使用または開示することを求めている。二次利用は、収集時の通知や企業のプライバシーポリシーに明示的に記載されていれば、個人の合理的な期待の範囲内となりうる。
5. As a matter of best practice, the OAIC recommends that organisations do not enter personal information, and particularly sensitive information, into publicly available generative AI tools, due to the significant and complex privacy risks involved. 5. ベストプラクティスとして、OAICは組織が個人情報を入力しないことを推奨する、 一般に利用可能な生成的AIツールには、重大かつ複雑なプライバシーリスクが伴うため、個人情報、特に機密情報を入力しないことを推奨する。

 

 Quick reference guide クイック・リファレンス・ガイド
The Privacy Act applies to all uses of AI involving personal information. プライバシー法は、個人情報に関わるすべてのAIの使用に適用される。
This guidance is intended to assist organisations to comply with their privacy obligations when using commercially available AI products, and to assist with selection of an appropriate product. However, it also addresses the use of AI products which are freely available, such as publicly accessible AI chatbots. このガイダンスは、組織が市販のAI製品を使用する際に、プライバシーに関する義務を遵守し、適切な製品の選択を支援することを目的としている。ただし、一般にアクセス可能なAIチャットボットなど、自由に利用できるAI製品の使用についても言及している。
Although this guidance applies to all types of AI systems involving personal information, it will be particularly useful in relation to the use of generative AI and general-purpose AI tools, as well as other uses of AI with a high risk of adverse impacts. It does not cover all privacy issues and obligations in relation to the use of AI, and should be considered together with the Privacy Act 1988 (Privacy Act) and the Australian Privacy Principles guidelines. このガイダンスは、個人情報に関わるあらゆる種類のAIシステムに適用されるが、生成的AIや汎用AIツールの使用、および悪影響のリスクが高いその他のAIの使用に関して特に有用である。本書は、AIの使用に関するすべてのプライバシー問題や義務を網羅しているわけではないので、1988年プライバシー法(Privacy Act)およびオーストラリアプライバシー原則ガイドライン(Australian Privacy Principles guidelines)とともに検討する必要がある。
A number of uses of AI are low-risk. However, the use of personal information in AI systems is a source of significant community concern and depending on the use case, may be a high privacy risk activity. The OAIC, like the Australian community, therefore expects organisations seeking to use AI to take a cautious approach to these activities and give due regard to privacy in a way that is commensurate with the potential risks. AIの多くの用途はリスクが低い。しかし、AIシステムにおける個人情報の利用は、コミュニティにとって重大な懸念の種であり、ユースケースによってはプライバシーリスクの高い活動である。したがってOAICは、オーストラリアのコミュニティと同様に、AIを利用しようとする組織がこれらの活動に対して慎重なアプローチをとり、潜在的リスクに見合った方法でプライバシーに十分配慮することを期待する。
Selecting an AI product AI製品の選択
Organisations should consider whether the use of personal information in relation to an AI system is necessary and the best solution in the circumstances – AI products should not be used simply because they are available. 組織は、AIシステムに関連して個人情報を使用することが必要かどうか、またその状況において最善の解決策であるかどうかを検討すべきである。- AI製品は、利用できるからという理由だけで利用すべきではない。
When looking to adopt a commercially available product, businesses should conduct due diligence to ensure the product is suitable to its intended uses. This should include considering whether the product has been tested for such uses, how human oversight can be embedded into processes, the potential privacy and security risks, as well as who will have access to personal information input or generated by the entity when using the product. 市販されている製品の採用を検討する場合、企業はデューデリジェンスを実施し、その製品が意図する用途に適していることを確認すべきである。これには、製品がそのような用途でテストされているかどうか、人間の監視をどのようにプロセスに組み込むことができるか、潜在的なプライバシーとセキュリティのリスク、さらに製品を使用する際に事業体が入力または生成する個人情報に誰がアクセスできるかを検討することが含まれる。
Due diligence for AI products should not amount to a ‘set and forget’ approach. Regular reviews of the performance of the AI product itself, training of staff and monitoring should be conducted throughout the entire AI product lifecycle to ensure a product remains fit for purpose and that its use is appropriate and complies with privacy obligations. AI製品のデューデリジェンスは、「セット・アンド・フェザー」アプローチになるべきではない。AI製品のライフサイクル全体を通じて、AI製品自体の性能の定期的なレビュー、スタッフのトレーニング、モニタリングを実施し、製品が目的に適合していること、その使用が適切であること、プライバシー義務を遵守していることを確認する必要がある。
Privacy by design プライバシー・バイ・デザイン
Organisations considering the use of AI products should take a ‘privacy by design’ approach, which includes conducting a Privacy Impact Assessment. AI製品の使用を検討している組織は、プライバシー影響アセスメントの実施を含む「プライバシー・バイ・デザイン」のアプローチをとるべきである。
Transparency 透明性
Organisations should also update their privacy policies and notifications with clear and transparent information about their use of AI, including ensuring that any public facing AI tools (such as chatbots) are clearly identified as such to users. They should establish policies and procedures for the use of AI systems to facilitate transparency and ensure good privacy governance. 組織はまた、プライバシーポリシーと通知を更新し、AIの使用に関する明確で透明性のある情報を提供すべきである、 これには、一般向けのAIツール(チャットボットなど)が、ユーザーに対して明確に識別されるようにすることも含まれる。透明性を促進し、優れたプライバシー・ガバナンスを確保するために、AIシステムの使用に関する方針と手順を確立すべきである。
Privacy risks when using AI AI使用時のプライバシーリスク
Organisations should be aware of the different ways they might be handling personal information when using AI systems. Privacy obligations will apply to any personal information input into an AI system, as well as the output data generated by AI (where it contains personal information). 組織は、AIシステムを使用する際に、個人情報を取り扱う可能性のあるさまざまな方法を認識しておく必要がある。プライバシー義務は、AIシステムに入力されるあらゆる個人情報だけでなく、AIによって生成される出力データ(個人情報を含む場合)にも適用される。
Personal information includes inferred, incorrect or artificially generated information produced by AI models (such as hallucinations and deepfakes), where it is about an identified or reasonably identifiable individual. 個人情報には、AIモデル(幻覚やディープフェイクなど)によって生成された、推測、不正確、または人工的に生成された情報が含まれ、それが個人を特定できる、または合理的に特定できる個人に関するものである場合に適用される。
If personal information is being input into an AI system, APP 6 requires entities to only use or disclose the information for the primary purpose for which it was collected, unless they have consent or can establish the secondary use would be reasonably expected by the individual, and is related (or directly related, for sensitive information) to the primary purpose. 個人情報がAIシステムに入力される場合、APP 6は、事業体に対して、同意があるか、または二次利用が個人によって合理的に予想され、かつ一次目的に関連する(または機微情報の場合は直接関連する)ものであることを立証できない限り、情報が収集された一次目的のためにのみ情報を使用または開示することを求めている。
A secondary use may be within an individual’s reasonable expectations if it was expressly outlined in a notice at the time of collection and in your organisation’s privacy policy. Whether APP 5 notices or privacy policies were updated, or other information was given at a point in time after the collection, may also be relevant to this assessment. It is possible for an individual’s reasonable expectations in relation to secondary uses to change over time. 二次利用が、収集時の通知や組織のプライバシーポリシーに明示的に概説されていれば、個人の合理的な期待の範囲内である可能性がある。APP 5の通知やプライバシーポリシーが更新されたかどうか、または収集後の時点でその他の情報が提供されたかどうかも、このアセスメントに関連する可能性がある。二次利用に関連する個人の合理的な期待は、時間の経過とともに変化する可能性がある。
Given the significant privacy risks presented by AI systems, it may be difficult to establish reasonable expectations for an intended use of personal information for a secondary, AI-related purpose. Where an organisation cannot clearly establish that such a secondary use was within reasonable expectations, to avoid regulatory risk they should seek consent for that use and/or offer individuals a meaningful and informed ability to opt-out. AIシステムによってもたらされる重大なプライバシーリスクを考慮すると、二次的なAI関連目的のための個人情報の意図された利用について、合理的な期待を立証することは難しいかもしれない。そのような二次利用が合理的な期待の範囲内であることを組織が明確に立証できない場合、規制上のリスクを回避するために、その利用について同意を求める、および/またはオプトアウトするための有意義で十分な情報を提供する能力を個人に提供すべきである。
As a matter of best practice, the OAIC recommends that organisations do not enter personal information, and particularly sensitive information, into publicly available AI chatbots and other publicly available generative AI tools, due to the significant and complex privacy risks involved. ベストプラクティスとして、OAICは、一般に利用可能なAIチャットボットやその他の一般に利用可能な生成的AIツールには、重大かつ複雑なプライバシーリスクが伴うため、組織が個人情報、特に機微情報を入力しないことを推奨する。
If AI systems are used to generate or infer personal information, this is a collection of personal information and must comply with APP 3. Entities must ensure that the generation of personal information by AI is reasonably necessary for their functions or activities and is only done by lawful and fair means. AIシステムが個人情報の生成または推論に使用される場合、これは個人情報の収集であり、APP 3を遵守しなければならない。事業体は、AIによる個人情報の生成が、その機能または活動にとって合理的に必要であり、適法かつ公正な手段によってのみ行われることを保証しなければならない。
Organisations must take particular care with sensitive information, which generally requires consent to be handled. Many photographs or recordings of individuals (including artificially generated ones) contain sensitive information and therefore may not be able to be generated by, or used as input data for, AI systems without the individual's consent. Consent cannot be implied merely because an individual was notified of a proposed collection of personal information. 組織は、一般的に取り扱いに同意を必要とする機微(センシティブ)情報には特に注意を払わなければならない。個人の写真や録画(人工的に生成されたものを含む)の多くには機微情報が含まれているため、個人の同意なしにAIシステムで生成したり、AIシステムの入力データとして使用したりすることはできない。個人情報の収集が提案されたことを個人が通知されたからといって、同意が黙示されることはない。
The use of AI in relation to decisions that may have a legal or similarly significant effect on an individual’s rights is likely a high privacy risk activity, and particular care should be taken in these circumstances, including considering accuracy and the appropriateness of the product for the intended purpose. 個人の権利に法的または類似の重大な影響を及ぼす可能性のある決定に関するAIの使用は、プライバシーリスクが高い活動である可能性が高く、このような状況では、正確性および意図された目的に対する製品の適切性を考慮するなど、特に注意を払う必要がある。
Accuracy 正確性
AI systems are known to produce inaccurate or false results. This risk is especially high with generative AI, which is probabilistic in nature and does not ‘understand’ the data it handles or generates. AIシステムは不正確な結果や誤った結果を出すことが知られている。このリスクは生成的AIで特に高く、その性質上確率的であり、取り扱ったり生成したりするデータを「理解」していない。
Under APP 10, organisations have an obligation to take reasonable steps to ensure the personal information collected, used and disclosed is accurate. Organisations must consider this obligation carefully and take reasonable steps to ensure accuracy, commensurate with the likely increased level of risk in an AI context, including the appropriate use of disclaimers which clearly communicate any limitations in the accuracy of the AI system, or other tools such as watermarks. APP10に基づき、組織には、収集、使用、開示される個人情報が正確であることを保証するために合理的な措置を講じる義務がある。組織は、この義務を慎重に検討し、AIシステムの精度に限界があることを明確に伝える免責事項の適切な使用や、電子透かしなどの他の手段を含め、AIの文脈で増大すると思われるリスクレベルに見合った、正確性を確保するための合理的な措置を講じなければならない。

 

ファイル...

Top 5 takeaways privacy and use of commercial AI products 商用AI製品のプライバシーと使用に関する5つのポイント
20241123-120610
Checklist privacy considerations when selecting an AI product AI製品を選択する際のプライバシーに関するチェックリスト
20241123-120623
Checklist privacy and use of commercial AI products チェックリスト プライバシーと商用AI製品の使用 
20241123-120629

 

 


 

生成的AIモデルを訓練するために個人情報を使用する開発者に対するプライバシーガイダンス

Guidance on privacy and developing and training generative AI models プライバシーと生成的AIモデルの開発およびトレーニングに関するガイダンス
On this page このページでは
Top five takeaways トップ5の要点
Quick reference guide クイック・リファレンス・ガイド
Overview 概要
Artificial intelligence and privacy 人工知能とプライバシー
Privacy considerations when planning and designing an AI model or system AIモデルやシステムを計画・設計する際のプライバシーへの配慮
Privacy considerations when collecting and processing the training dataset 学習データセットの収集と処理におけるプライバシーへの配慮
Other considerations その他の考慮事項
Checklist – privacy considerations when developing or training an AI model チェックリスト - AIモデルを開発またはトレーニングする際のプライバシーに関する考慮事項

 

 

Top five takeaways 上位5項目
1. Developers must take reasonable steps to ensure accuracy in generative AI models, commensurate with the likely increased level of risk in an AI context, including through using high quality datasets and undertaking appropriate testing. The use of disclaimers to signal where AI models may require careful consideration and additional safeguards for certain high privacy risk uses may be appropriate. 1. 開発者は、生成的AIモデルの正確性を確保するために、高品質のデータセットを使用し、適切なテストを実施するなど、AIの文脈で増大する可能性のあるリスクレベルに見合った合理的な措置を講じなければならない。AIモデルが慎重な検討を必要とする可能性があることを示す免責事項の使用や、プライバシー・リスクの高い特定の用途に対する追加的な保護措置は適切かもしれない。
2. Just because data is publicly available or otherwise accessible does not mean it can legally be used to train or fine-tune generative AI models or systems. Developers must consider whether data they intend to use or collect (including publicly available data) contains personal information, and comply with their privacy obligations. Developers may need to take additional steps (e.g. deleting information) to ensure they are complying with their privacy obligations. 2. データが公開されている、あるいは他の方法でアクセス可能だからといって、生成的AIモデルやシステムの訓練や微調整に合法的に使用できるわけではない。開発者は、使用または収集しようとするデータ(一般に入手可能なデータを含む)に個人情報が含まれているかどうかを検討し、プライバシー義務を遵守しなければならない。開発者は、プライバシーの義務を遵守していることを確認するために、追加の措置(情報の削除など)を講じる必要があるかもしれない。
3. Developers must take particular care with sensitive information, which generally requires consent to be collected. Many photographs or recordings of individuals (including artificially generated ones) contain sensitive information and therefore may not be able to be scraped from the web or collected from a third party dataset without establishing consent. 3. 開発者は、一般的に収集に同意が必要な機密情報には特に注意を払わなければならない。個人の写真や記録(人工的に生成されたものを含む)の多くは、機微情報を含んでいるため、同意を確立することなくウェブからスクレイピングしたり、サードパーティーのデータセットから収集したりすることはできないかもしれない。
4. Where developers are seeking to use personal information that they already hold for the purpose of training an AI model, and this was not a primary purpose of collection, they need to carefully consider their privacy obligations. If they do not have consent for a secondary, AI-related purpose, they must be able to establish that this secondary use would be reasonably expected by the individual, taking particular account of their expectations at the time of collection, and that it is related (or directly related, for sensitive information) to the primary purpose or purposes (or another exception applies). 4. 開発者がすでに保有している個人情報をAIモデルの学習目的で使おうとしており、それが収集の主な目的ではない場合、開発者はプライバシー義務を慎重に検討する必要がある。二次的な、AIに関連する目的について同意がない場合、開発者は、この二次的な利用が、収集時における個人の期待を特に考慮した上で、個人によって合理的に期待されるものであり、かつ、主たる目的(または別の例外が適用される場合)に関連する(または機微な情報については直接関連する)ものであることを立証できなければならない。
5. Where a developer cannot clearly establish that a secondary use for an AI-related purpose was within reasonable expectations and related to a primary purpose, to avoid regulatory risk they should seek consent for that use and/or offer individuals a meaningful and informed ability to opt-out of such a use. 5. 開発者が、AI に関連する目的のための二次利用が、合理的に期待される範囲内であり、かつ一次目的に関連するものであることを明確に立証できない場合、規制上のリスクを回避するために、その利用について同意を求めるべきであり、かつ/または、そのような利用をオプトアウトするための、十分な情報に基づいた有意義な手段を個人に提供すべきである。

 

 

Quick reference guide クイック・リファレンス・ガイド
The Privacy Act applies to the collection, use and disclosure of personal information to train generative AI models, just as it applies to all uses of AI that involve personal information. プライバシー法は、生成的AIモデルを訓練するための個人情報の収集、使用、開示に適用される。
Developers using large volumes of information to train generative AI models should actively consider whether the information includes personal information, particularly where the information is of unclear provenance. Personal information includes inferred, incorrect or artificially generated information produced by AI models (such as hallucinations and deepfakes), where it is about an identified or reasonably identifiable individual. 生成的AIモデルの学習に大量の情報を使用する開発者は、特に情報の出所が不明確な場合、その情報に個人情報が含まれているかどうかを積極的に検討すべきである。個人情報には、(幻覚やディープフェイクのような)AIモデルによって生成された、推測、不正確、または人為的に生成された情報が含まれ、それが特定された個人または合理的に特定できる個人に関するものである。
A number of uses of AI are low-risk. However, developing a generative AI model is a high privacy risk activity when it relies on large quantities of personal information. As for many uses of AI, this is a source of significant community concern. Generative AI models have unique and powerful capabilities, and many use cases can pose significant privacy risks for individuals as well as broader ethical risks and harms. AIの多くの用途はリスクが低い。しかし、生成的AIモデルの開発は、大量の個人情報に依存する場合、プライバシー・リスクの高い活動である。AIの多くの用途と同様、これは地域社会の重大な懸念の原因となっている。生成的AIモデルにはユニークで強力な能力があり、多くのユースケースは、個人にとって重大なプライバシー・リスクだけでなく、より広範な倫理的リスクや危害をもたらす可能性がある。
For these reasons, the OAIC (like the Australian community) expects developers to take a cautious approach to these activities and give due regard to privacy in a way that is commensurate with the considerable risks for affected individuals. Developers should particularly consider APPs 1, 3, 5, 6 and 10 in this context. これらの理由から、OAICは(オーストラリアのコミュニティと同様に)、開発者がこれらの活動に対して慎重なアプローチをとり、影響を受ける個人にとってのかなりのリスクに見合った方法でプライバシーに十分配慮することを期待している。開発者は、この観点から特に APP1、3、5、6、10 を考慮すべきである。
Other APPs, such as APPs 8, 11, 12 and 13 are also relevant in this context, but are outside the scope of this guidance. This guidance should therefore be considered together with the Privacy Act 1988 (Privacy Act) and the Australian Privacy Principles guidelines. APP8、11、12、13のような他のAPPもこの文脈に関連するが、本ガイダンスの範囲外である。従って、本ガイダンスは、1988年プライバシー法(Privacy Act 1988)およびオーストラリアプライバシー原則ガイドライン(Australian Privacy Principles guidelines)とともに考慮されるべきである。
Privacy by design 設計によるプライバシー
Developers should take steps to ensure compliance with the Privacy Act, and first and foremost take a ‘privacy by design’ approach when developing or fine-tuning generative AI models or systems, including conducting a privacy impact assessment. 開発者は、プライバシー法の遵守を確保するための措置を講じるべきであり、生成的AIモデルやシステムを開発または微調整する際には、プライバシー影響評価の実施を含め、何よりもまず「プライバシー・バイ・デザイン」のアプローチを取るべきである。
AI technologies and supply chains can be complex and steps taken to remove or de-identify personal information may not always be effective. Where there is any doubt about the application of the Privacy Act to specific AI-related activities, developers should err on the side of caution and assume it applies to avoid regulatory risk and ensure best practice. AI技術やサプライチェーンは複雑な場合があり、個人情報の削除や識別を解除するための措置が必ずしも効果的であるとは限らない。特定のAI関連活動へのプライバシー法の適用に疑問がある場合、開発者は慎重を期し、規制リスクを回避し、ベストプラクティスを確保するために、プライバシー法が適用されると仮定すべきである。
Accuracy 正確性
Generative AI systems are known to produce inaccurate or false results. It is important to remember that generative AI models are probabilistic in nature and do not ‘understand’ the data they handle or generate. 生成的AIシステムは、不正確な結果や誤った結果を生み出すことが知られている。生成的AIモデルは本質的に確率的なものであり、扱ったり生成したりするデータを「理解」するものではないことを覚えておくことが重要である。
Under APP 10, developers have an obligation to take reasonable steps to ensure the personal information collected, used and disclosed is accurate. Developers must consider this obligation carefully and take reasonable steps to ensure accuracy, commensurate with the likely increased level of risk in an AI context, including through using high quality datasets, undertaking appropriate testing and the appropriate use of disclaimers. APP10では、開発者は収集、使用、開示される個人情報が正確であることを保証するために合理的な手段を講じる義務がある。開発者はこの義務を慎重に検討し、AIの文脈で増大すると思われるリスクレベルに見合った、正確性を確保するための合理的な措置を講じなければならない。これには、高品質のデータセットの使用、適切なテストの実施、免責事項の適切な使用などが含まれる。
In particular, disclaimers should clearly communicate any limitations in the accuracy of the generative AI model, including whether the dataset only includes information up to a certain date, and should signal where AI models may require careful consideration and additional safeguards for certain high privacy risk uses, for example use in decisions that will have a legal or similarly significant effect on an individual’s rights. 特に、免責事項は、データセットが特定の日付までの情報しか含まないかどうかなど、生成的AIモデルの正確性におけるあらゆる制限を明確にコミュニケーションすべきであり、また、例えば個人の権利に法的または類似の重大な影響を及ぼす意思決定における使用など、特定のプライバシーリスクの高い使用について、AIモデルが慎重な検討と追加のセーフガードを必要とする可能性があることを示すべきである。
Transparency 透明性
To ensure good privacy practice, developers should also ensure they update their privacy policies and notifications with clear and transparent information about their use of AI generally. 良好なプライバシー慣行を確保するために、開発者は、一般的なAIの使用に関する明確で透明性のある情報を用いて、プライバシーポリシーと通知を更新することも確認すべきである。
Collection 収集
Just because data is publicly available or otherwise accessible does not mean it can legally be used to train or fine-tune generative AI models or systems. Developers must consider whether data they intend to use or collect (including publicly available data) contains personal information, and comply with their privacy obligations. データが公開されている、あるいは他の方法でアクセス可能だからといって、生成的AIモデルやシステムの訓練や微調整に合法的に使用できるわけではない。開発者は、使用または収集しようとするデータ(一般に入手可能なデータを含む)に個人情報が含まれているかどうかを検討し、プライバシー義務を遵守しなければならない。
Developers must only collect personal information that is reasonably necessary for their functions or activities. In the context of compiling a dataset for generative AI they should carefully consider what data is required to draft appropriate parameters for whether data is included and mechanisms to filter out unnecessary personal information from the dataset. 開発者は、その機能や活動に合理的に必要な個人情報のみを収集しなければならない。生成的AI用のデータセットをコンパイルする文脈では、どのようなデータが必要かを慎重に検討し、データを含めるかどうかの適切なパラメータと、データセットから不要な個人情報をフィルタリングするメカニズムを作成しなければならない。
Developers must take particular care with sensitive information, which generally requires consent to be collected. Many photographs or recordings of individuals (including artificially generated ones) contain sensitive information and therefore may not be able to be scraped from the web or collected from a third party dataset without establishing consent. 開発者は、一般的に収集に同意が必要とされる機密情報には特に注意を払わなければならない。個人の写真や記録(人工的に生成されたものを含む)の多くには機微情報が含まれているため、同意を確立することなくウェブからスクレイピングしたり、サードパーティーのデータセットから収集したりすることはできない。
Where sensitive information is inadvertently collected without consent, it will generally need to be destroyed or deleted from a dataset. 機微な情報が同意なしに不注意に収集された場合、一般にデータセットから破棄または削除する必要がある。
Developers must collect personal information only by lawful and fair means. Depending on the circumstances, the creation of a dataset through web scraping may constitute a covert and therefore unfair means of collection. 開発者は、合法的かつ公正な手段によってのみ個人情報を収集しなければならない。状況によっては,ウェブスクレイピングによるデータセットの作成は, 隠密な,したがって不公正な収集手段となりうる.
Where a third party dataset is being used, developers must consider information about the data sources and compilation process for the dataset. They may need to take additional steps (e.g. deleting information) to ensure they are complying with their privacy obligations. サードパーティーのデータセットを使う場合、開発者はそのデータセットの データソースや編集過程についての情報を考慮しなければならない。開発者は、プライバシーの義務を遵守していることを確認するために、 追加の措置(情報の削除など)をとる必要があるかもしれない。
Use and disclosure 利用と開示
Where developers are seeking to use personal information that they already hold for the purpose of training an AI model, and this was not a primary purpose of collection, they need to carefully consider their privacy obligations. 開発者がすでに保有している個人情報を、AIモデルの学習のために使おうとしており、それがデータ収集の主要な目的ではない場合、開発者はプライバシー義務を慎重に検討する必要がある。
Where developers do not have consent for a secondary, AI-related purpose, they must be able to establish that this secondary use would be reasonably expected by the individual, taking particular account of their expectations at the time of collection, and that it is related (or directly related, for sensitive information) to the primary purpose or purposes (or another exception applies). 開発者が、AIに関連する二次的な目的について同意を得ていない場合、開発者は、この二次的な利用が、収集時の個人の期待を特に考慮した上で、個人によって合理的に期待されるものであり、一次的な目的(または機微な情報については直接関連するもの)に関連するものであることを立証できなければならない(または別の例外が適用される)。
Whether a secondary use is within reasonable expectations will always depend on the particular circumstances. However, given the unique characteristics of AI technology, the significant harms that may arise from its use and the level of community concern around the use of AI, in many cases it will be difficult to establish that such a secondary use was within reasonable expectations. 二次利用が合理的な期待の範囲内であるかどうかは、常に特定の状況に依存する。しかし、AI技術のユニークな特性、その使用から生じるかもしれない重大な損害、AIの使用をめぐる社会的関心のレベルを考慮すると、多くの場合、そのような二次利用が合理的な期待の範囲内であったことを立証するのは困難であろう。
Where a developer cannot clearly establish that a secondary use for an AI-related purpose was within reasonable expectations and related to a primary purpose, to avoid regulatory risk they should seek consent for that use and offer individuals a meaningful and informed ability to opt-out of such a use. 開発者が、AIに関連する目的での二次利用が合理的な期待の範囲内であり、主要な目的に関連するものであることを明確に立証できない場合、規制上のリスクを回避するために、その利用について同意を求め、そのような利用からオプトアウトするための有意義かつ十分な情報を提供する必要がある。

 

 

Top 5 takeaways privacy consideration training AI model  トップ5の要点 プライバシー配慮トレーニング AIモデル
20241123-120635
Checklist privacy consideration training AI model チェックリスト プライバシー配慮トレーニング AIモデル 
20241123-120641

 


 

ちなみに、日本の場合は...

個人情報保護委員会

・2023.08 [PDF] 生成AIサービスの利用に関する注意喚起

20241123-123019

 

OpenAI等に対する注意喚起

・2023.06.02 生成AIサービスの利用に関する注意喚起等について

 

20241123-123238

 

20241123-123434

 

シンプルー....

 

 

 

 

| | Comments (0)

CSA AIリスクマネジメント: 規制の枠を超えて考える

こんにちは、丸山満彦です。

CSAAIリスクマネジメントについての文書を公表しています。。。

この手の文書はたくさん出ていますが、特徴的な点として、附属書として、監査をする際のポイントを記載したものがかなりの分量であることですかね...

ISACAArtificial Intelligence Audit Toolkitを公表していますが、こちらは有料となっていますね...

 

さて、このAIリスクマネジメントの文書ですが、項目によって詳細な説明がある部分と薄い部分とマダラ模様のような気がします...まぁ、必要そうなところを先に分厚くしたのかもしれません...

 

Cloud Security Alliance

・2024.11.13 AI Risk Management: Thinking Beyond Regulatory Boundaries

AI Risk Management: Thinking Beyond Regulatory Boundaries AIリスクマネジメント: 規制の枠を超えて考える
While artificial intelligence (AI) offers tremendous benefits, it also introduces significant risks and challenges that remain unaddressed. A comprehensive AI risk management framework is the only way we can achieve true trust in AI. This approach will need to proactively consider compliance with improvements beyond the regulatory necessities. 人工知能(AI)は多大な恩恵をもたらす一方で、未解決の重大なリスクや課題ももたらす。包括的なAIリスクマネジメントの枠組みは、AIに対する真の信頼を実現する唯一の方法である。このアプローチでは、規制上の必要性を超えた改善によるコンプライアンスを積極的に検討する必要がある。
In response to this need, this publication presents a holistic methodology for impartially assessing AI systems beyond mere compliance. It addresses the critical aspects of AI technology, including data privacy, security, and trust. These audit considerations apply to a wide range of industries and build upon existing AI audit best practices. This innovative approach spans the entire AI lifecycle, from development to decommissioning. このニーズに応えるため、本書では単なるコンプライアンスを超えてAIシステムを公平にアセスメントするための総合的な方法論を提示する。データ・プライバシー、セキュリティ、信頼など、AI技術の重要な側面を取り上げている。これらの監査上の考慮事項は、幅広い業界に適用され、既存のAI監査のベストプラクティスを基礎としている。この革新的なアプローチは、開発から廃止まで、AIのライフサイクル全体に及ぶ。
The first part establishes a comprehensive understanding of the components used to assess AI end-to-end. It shares considerations for a broad range of technologies, enabling critical thinking and supporting risk assessment activities. パート1では、AIをエンド・ツー・エンドで評価するために使用されるコンポーネントの包括的な理解を確立する。広範なテクノロジーに関する検討事項を共有し、批判的思考を可能にし、リスクアセスメント活動を支援する。
The second part consists of appendices with potential questions corresponding to each technology covered in the first section. The questions are not exhaustive, but serve as guidelines to identify potential risks. The aim is to stimulate unconventional thinking and challenge existing assumptions, thereby enhancing AI risk assessment practices and increasing overall trustworthiness in intelligent systems. パート2は、パート2で取り上げた各技術に対応する潜在的な質問事項を記した附属書で構成されている。質問は網羅的なものではなく、潜在的なリスクを特定するためのガイドラインとなるものである。その目的は、型にはまらない思考を刺激し、既存の前提に挑戦することで、AIのリスクアセスメントの実践を強化し、インテリジェントシステム全体の信頼性を高めることにある。
Key Takeaways: 主な要点
・Fundamental concepts, principles, and vocabulary used to assess AI end-to-end ・AIをエンド・ツー・エンドで評価するために使用される基本的な概念、原則、語彙。
・Key metrics used to evaluate an intelligent systems ・インテリジェントシステムの評価に使用される主な指標
・The value of AI trustworthiness beyond regulatory compliance ・規制遵守を超えたAIの信頼性の価値
・How to assess risk during all stages of the AI lifecycle, including development, deployment, monitoring, and decommissioning ・開発、展開、モニタリング、デコミッショニングを含むAIライフサイクルの全ステージにおけるリスクアセスメントの方法
・Key factors that contribute to effective AI governance  ・効果的なAIガバナンスに寄与する主な要因 
・How to comply with global AI regulations such as the General Data Protection Regulation (GDPR) and EU AI Act ・一般データ保護規則(GDPR)やEU AI法などのグローバルなAI規制を遵守する方法
・Specific aspects to consider when evaluating an AI system, including AI infrastructure, sensors, data storage, communication interfaces, control systems, privacy methods, and much more ・AIインフラ、センサー、データ・ストレージ、コミュニケーション・インターフェイス、制御システム、プライバシーの方法など、AIシステムを評価する際に考慮すべき具体的な側面。
・Assessment questions pertaining to the above concepts ・上記概念に関連するアセスメント問題

 

簡単な登録でダウンロードできます...

 

20241123-103607

・[DOCX][PDF] 仮訳

 

目次...

AI Risk Management: Thinking Beyond Regulatory Boundaries AIリスクマネジメント:規制の枠を超えて考える
Introduction 序文
Executive Summary エグゼクティブサマリー
Parts 1 and 2: How They Play Together パート1と2:どのように連携して利用するか
Definitions 定義
AI Resilience: Robustness, Resilience, and Plasticity AIレジリエンス:ロバスト性、レジリエンス、可塑性
Intelligent Systems: AI Systems, AI Agents, and Robots インテリジェント・システム:AIシステム、AIエージェント、ロボット
Accountability, Responsibility, and Liability 説明責任、責任、賠償責任
Assess the Auditor 監査人のアセスメント
AI Governance AIガバナンス
Applicable Laws, Regulations, and Standards 適用法、規制、標準
Use Cases as the Starting Point 出発点としてのユースケース
Infrastructure for Intelligent Systems インテリジェント・システム・インフラ
Data Processing Unit データ処理ユニット
The Role of Sensors センサーの役割
The Role of Data データの役割
The Role of Supply Chains サプライチェーンの役割
Data and Privacy データ・プライバシー
Data and Copyright データと著作権
Data Sources データソース
Organic Versus Synthetic Data 有機データと合成データ
Data Quality データの質
Data Storage データ保管
Networking, Connectivity, and Communication Interfaces ネットワーキング、コネクティビティ、コミュニケーション・インターフェイス
Fog and Cloud Computing フォグ・コンピューティングとクラウド・コンピューティング
Software Components ソフトウェア・コンポーネント
Algorithms, Training Methods, and Models アルゴリズム、トレーニング方法、モデル
Algorithms and Models アルゴリズムとモデル
Frontiers フロンティア
Fine-Tuning and Validation of the Model モデルの微調整と妥当性確認
Overfitting and Generalization オーバーフィットと汎化
Fine-Tuning 微調整
Validation 妥当性確認
Model Robustness and Stability モデルの頑健性と安定性
Ongoing Maintenance 継続保守
Frontiers in Fine-Tuning and Model Validation 微調整とモデル妥当性確認の最前線
Actuators アクチュエーター
Power Supply 電源
User Interfaces ユーザ・インターフェース
Control Systems 制御システム
Safety Systems 安全システム
Security Systems セキュリティ・システム
Advanced Privacy Methods 高度なプライバシー手法
Development and Debugging 開発とデバッグ
End-User Training and Documentation エンドユーザ・トレーニングとドキュメンテーション
Documentation for the End-User エンドユーザ向け文書
(Mandatory) Training and Training Record Keeping for the End-User (義務)エンドユーザに対するトレーニングとトレーニング記録の保管
Deployment and Monitoring 展開とモニタリング
Decommissioning 廃止措置
Conclusion 結論
Appendices 附属書
Appendix 1: Audit Questions “Audit the Auditor” 附属書1:監査の質問 "監査人を監査する"
Appendix 2: Audit Questions “AI Governance” 附属書 2:監査の質問 "AI ガバナンス"
Appendix 3: Audit Questions “Accountability, Responsibility, and Liability” 附属書3:監査の質問 "説明責任、責任、賠償責任"
Appendix 4: Audit Questions “Laws, Regulations, and Standards” 附属書4:監査の質問 "法律、規制、標準"
Appendix 5: Audit Questions “AI Business Case” 附属書5:監査の質問 "AIビジネスケース"
Appendix 6: Audit Questions “AI Infrastructure” 附属書6:監査の質問 "AI インフラ"
Appendix 7: Audit Questions “Sensors” 附属書7:監査の質問 "センサー"
Appendix 8: Audit Questions “Data” 附属書8:監査の質問 "データ"
Appendix 9: Audit Questions “Data Processing Unit” 附属書9:監査の質問 "データ処理ユニット"
Appendix 10: Audit Questions “Data Storage” 附属書 10: 監査の質問 "データ保管"
Appendix 11: Audit Questions “Networking, Connectivity, and Communication Interfaces” 附属書 11:監査の質問 "ネットワーキング、コネクティビティ、コミュニケーション・インターフェイス"
Appendix 12: Audit Questions “Fog and Cloud Computing” 附属書 12:監査の質問 "フォグ・コンピューティングとクラウド・コンピューティング"
Appendix 13: Audit Questions “Software Components” 附属書 13:監査の質問 "ソフトウェア・コンポーネント"
Appendix 14: Audit Questions “Algorithms, Training, and Models” 附属書 14:監査の質問 "アルゴリズム、トレーニング、モデル"
Appendix 15: Audit Questions “Fine-Tuning and Validation” 附属書 15:監査の質問 "微調整と妥当性確認"
Appendix 16: Audit Questions “Actuators” 附属書 16:監査の質問 "アクチュエーター"
Appendix 17: Audit Questions “Power Supplies” 附属書 17:監査の質問 "電源"
Appendix 18: Audit Questions “User Interfaces” 附属書 18:監査の質問 "ユーザ・インターフェース"
Appendix 19: Audit Questions “Control Interfaces” 附属書 19:監査の質問 "コントロール・インターフェイス"
Appendix 20: Audit Questions “Safety Systems” 附属書 20:監査の質問 "安全システム"
Appendix 21: Audit Questions “Security Systems” 附属書 21:監査の質問 "セキュリティ・システム"
Appendix 22: Audit Questions “Development and Debugging” 附属書 22:監査の質問 "開発とデバッグ"
Appendix 23: Audit Questions “End-User Training and Documentation” 附属書 23:監査の質問 "エンドユーザのトレーニングと文書化"
Appendix 24: Audit Questions for “Deployment and Monitoring” 附属書 24:監査の質問 "展開とモニタリング "
Appendix 25: Audit Questions “Decommissioning” 附属書25:監査の質問 "廃止"
Abbreviations and Glossary 略語と用語集
Bibliography 参考文献

 

パワーポイントもあります...

概要レベルを把握するにはこちらが良いかもです...

20241123-103818

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.05 CSA-JC AI ワーキンググループ AIレジリエンス:AIの安全性に関する革命的なベンチマークモデル (2024.09.20) +過去分も...

 

| | Comments (0)

英国 ICO&科学・革新・技術省 プライバシー強化技術 (PETs) の費用対効果認識ツール (2024.11.07)

こんにちは、丸山満彦です。

英国の情報コミッショナー事務局と科学・革新・技術省が、PETsの費用帯効果認識ツールを公表していますね...

 連合学習、入力プライバシー(準同型暗号(HE)、信頼可能な実行環境、マルチパーティ計算(MPC))、出力プライバシー(合成データ、差分プライバシー)に分けて説明をしていますね...

 

Section 1: costs and benefits of federated learning セクション1:連合学習のコストと利益
・federated analytics: processing data in a decentralised manner to produce analysis or carry out machine learning, often used alongside combinations of the technologies listed above. ・連合学習:データを分散的に処理して分析を行ったり、機械学習を行ったりすることで、多くの場合、上記の技術を組み合わせて使用される。
Section 2: input privacy considerations セクション2:入力プライバシーに関する考察
・homomorphic encryption (HE): a method of encryption that enables computation directly on encrypted data. ・準同型暗号(HE):暗号化されたデータ上で直接計算を可能にする暗号化手法。
・trusted execution environments (TEEs): a secure area within a processor that runs alongside the main operating system, isolated from the main processing environment. Also known as secure enclaves. ・信頼可能な実行環境:プロセッサ内のセキュアな領域で、メインのオペレーティング・システムと並行して実行され、メインの処理環境からは隔離されている。セキュア・エンクレーブとも呼ばれる。
・multi-party computation (MPC): cryptographic protocols that enable multiple parties to share or collaborate to process data without disclosing details of the information each party holds. ・マルチパーティ計算(MPC):複数のパーティが、各パーティが保有する情報の詳細を開示することなく、データを共有または協力して処理できるようにする暗号プロトコル。
Section 3: output privacy considerations セクション3:出力プライバシーに関する考察
・synthetic data: artificial data generated to preserve the patterns and statistical properties of an original dataset on which it is based. ・合成データ:元となるデータセットのパターンや統計的特性を保持するために生成された人工的なデータ。
・differential privacy: a formal mathematical approach to ensuring data privacy, which works by adding noise to either input data, or to the output it produces. ・差分プライバシー:データ・プライバシーを確保するための正式な数学的アプローチで、入力データまたは出力データにノイズを加えることで機能する。

 

いずれにしても、完璧な方法はないということで...

 

 

Gov.UK

・2024.11.07 Cost-benefit awareness tool

 

Cost-benefit awareness tool 費用対効果認識ツール
Purpose of this tool 本ツールの目的
This toolkit is designed to support organisations considering adopting emerging privacy enhancing technologies (PETs). PETs can be adopted across different sectors and by organisations of different sizes. However, the potential of these technologies has not yet been fully realised, with adoption currently limited to a relatively small number of use cases. このツールキットは、新たなプライバシー強化技術(PETs)の採用を検討している組織を支援するために設計されている。PETsは、さまざまな部門、さまざまな規模の組織で採用することができる。しかし、これらの技術の可能性はまだ十分に実現されておらず、現在のところ採用は比較的少数のユースケースに限られている。
This resource provides information about some of the costs and benefits associated with the adoption of these technologies. It is designed for use by individuals within organisations such as data officers, data architects, data scientists, as well as business unit owners assessing the opportunities that adopting these technologies may bring. It explores key areas that organisations looking to adopt PETs may wish to consider when assessing technical options or making a business case for a project. It does not attempt to quantify costs and benefits, as they are highly context and use case specific. 本資料は、これらの技術の採用に関連するコストと便益の一部に関する情報を提供する。データオフィサー、データアーキテクト、データサイエンティストといった組織内の個人、そしてこれらのテクノロジーを採用することでもたらされる可能性のある機会を評価するビジネスユニットオーナー向けに作成されている。PETの採用を検討している組織が、技術的なオプションをアセスメントしたり、プロジェクトのビジネスケースを作成したりする際に考慮するとよいであろう、主要な分野を探求している。コストと便益は、状況やユースケースに大きく依存するため、定量化を試みていない。
This resource has been created by the Responsible Technology Adoption Unit (RTA) in the UK government’s Department for Science Innovation and Technology (DSIT), in partnership with the Information Commissioners Office (ICO). It is intended to assist organisations to make well-informed decisions about the use of emerging PETs but is not a statement of formal government policy or regulatory guidance. This document is intended to offer suggestions as to how organisations can make use of emerging PETs. This document is not legal advice. Should you require legal advice, you should seek this from independent legal advisors. 本資料は、英国政府科学技術革新省(DSIT)の責任ある技術導入ユニット(RTA)が、情報監 視委員会事務局(ICO)と協力して作成したものである。本書は、組織が新興PETの使用について十分な情報に基づいた決定を行うことを支援することを意図 しているが、政府の正式な方針または規制ガイダンスを表明するものではない。本文書は、組織が新興PETをどのように利用できるかについて提案することを意図している。本書は法的助言ではない。法的助言が必要な場合は、独立した法律顧問に求めるべきである。
Introduction 序文
What are privacy enhancing technologies? プライバシー強化技術とは何か?
A privacy enhancing technology (PET) is a technical method that protects the privacy or confidentiality of sensitive information. This term covers a broad range of technologies including more traditional PETs and more novel, emerging PETs. プライバシー強化技術(PET)とは、機密情報のプライバシーまたは機密性を保護する技術的 方法である。この用語は、伝統的なPETや新奇なPETなど、広範な技術を含む。
Traditional PETs are more established privacy technologies, such as encryption schemes, which are constituted by methods that secure information during transmission and when stored; de-identification techniques such as tokenisation, which replaces sensitive data with unique identifiers; and generalisation, which removes specific details to reduce data sensitivity. 伝統的なPETは、より確立されたプライバシー技術であり、例えば、送信中および保存中に情報を保護する方法によって構成される暗号化スキーム、機密データを一意の識別子に置き換えるトークナイゼーションなどの非識別化技術、データの機密性を低減するために特定の詳細を削除する一般化などである。
This toolkit focuses on emerging PETs which are comparatively novel solutions to privacy challenges in data-driven systems. Whilst there is no fixed definition of emerging PETs, this toolkit primarily considers the following technologies: このツールキットは、データ・ドリブン・システムにおけるプライバシーの課題に対する比較的新しい解決策である新興PETに焦点を当てている。新興PETの固定された定義はないが、本ツールキットは主に以下の技術を検討している:
・homomorphic encryption (HE): a method of encryption that enables computation directly on encrypted data. ・準同型暗号(HE):暗号化されたデータ上で直接計算を可能にする暗号化手法。
・trusted execution environments (TEEs): a secure area within a processor that runs alongside the main operating system, isolated from the main processing environment. Also known as secure enclaves. ・信頼可能な実行環境:プロセッサ内のセキュアな領域で、メインのオペレーティング・システムと並行して実行され、メインの処理環境からは隔離されている。セキュア・エンクレーブとも呼ばれる。
・multi-party computation (MPC): cryptographic protocols that enable multiple parties to share or collaborate to process data without disclosing details of the information each party holds. ・マルチパーティ計算(MPC):複数のパーティが、各パーティが保有する情報の詳細を開示することなく、データを共有または協力して処理できるようにする暗号プロトコル。
・synthetic data: artificial data generated to preserve the patterns and statistical properties of an original dataset on which it is based. ・合成データ:元となるデータセットのパターンや統計的特性を保持するために生成された人工的なデータ。
・differential privacy: a formal mathematical approach to ensuring data privacy, which works by adding noise to either input data, or to the output it produces. ・差分プライバシー:データ・プライバシーを確保するための正式な数学的アプローチで、入力データまたは出力データにノイズを加えることで機能する。
・federated analytics: processing data in a decentralised manner to produce analysis or carry out machine learning, often used alongside combinations of the technologies listed above. ・連合学習:データを分散的に処理して分析を行ったり、機械学習を行ったりすることで、多くの場合、上記の技術を組み合わせて使用される。
Background to this toolkit このツールキットの背景
PETs can be utilised to support a wide and increasing range of use cases across many sectors (See our Repository of PETs use cases). PETは、様々な分野にわたる広範かつ増加しつつあるユースケースをサポートするために利用することができる(PETのユースケースのリポジトリを参照)。
This toolkit is structured around a high-level use case: using privacy-preserving federated learning to enable the training of machine learning models without sharing data directly. このツールキットは、高レベルのユースケースを中心に構成されている:連合学習を使用して、データを直接共有することなく機械学習モデルの学習を可能にする。
This use case focuses on a subset of federated analytics, known as federated learning, layered with other PETs to increase both input privacy (protecting raw data during the processing stage in training a machine learning model) and output privacy (protecting data that is shared or released after processing). The combination of federated learning with other PETs is often referred to as privacy-preserving federated learning (PPFL). このユースケースは、入力プライバシー(機械学習モデルを訓練する際の処理段階における生データの防御)と出力プライバシー(処理後に共有または解放されるデータの防御)の両方を向上させるために、他のPETとレイヤー化された連合学習として知られる連合分析のサブセットに焦点を当てている。連合学習と他のPETの組み合わせは、しばしばプライバシー保護連合学習(PPFL)と呼ばれる。
We use this PPFL use case to structure this guide, as it involves a range of relevant PETs, and provides a concrete basis to frame potential costs and benefits against a clear baseline. This type of use case was the focus of the UK-US PETs Prize Challenges in 2022-23, and in our work designing those challenges we identified PPFL use cases as having potential to improve data collaboration between organisations and across borders, without compromising on privacy. However, the analysis of the document remains relevant to other deployments of the same emerging PETs in related contexts. この PPFL のユースケースは、関連する様々な PET を含み、明確なベースラインに対して潜在的なコ ストと便益を枠付けする具体的な根拠を提供するため、本ガイドを構成するために使用する。この種のユースケースは、2022-23 年における英米 PETs Prize Challenge の焦点であり、その課題設計作業において、我々は PPFL ユースケースがプライバシーを損なうことなく、組織間や国境を越えたデータ協力を改善する可能性があることを確認した。しかし、この文書の分析は、同じ新興の PET の関連する文脈における他の展開にも引き続き関連するものである。
Alongside this tool we have produced a checklist to support organisations considering utilising PETs to ensure they have considered the impacts outlined in this document. このツールと並行して、PETの利用を検討している組織が、本文書に概説されている影響を考慮したことを確認するためのチェックリストを作成した。
Navigating this toolkit 本ツールキットを活用する
Section 1 examines the costs and benefits of federation, i.e. training a model while the data remains distributed across different locations or organisations, which is integral to our PPFL use case. セクション 1 では、PPFL のユースケースに不可欠なフェデレーション、すなわちデータを異なる場所や 組織に分散させたままモデルをトレーニングすることのコストとメリットについて検討する。
The following sections (Sections 2 and 3) discuss the costs and benefits incurred by layering other PETs at different points in this solution. They consider the deployment of additional PETs to two ends: improving input privacy (Section 2) and improving output privacy (Section 3). These terms are explained below. 次のセクション(セクション 2 と 3)では、このソリューションの様々なポイントにおいて、他の PET をレイヤー化することで発生するコストと便益について議論する。すなわち、入力プライバシーの改善(セクション 2)と出力プライバシーの改善(セクション 3)である。これらの用語を以下に説明する。
Different sections of this document may be more useful and relevant than others to certain readers depending on their intended use case. 本書の異なるセクションは、読者が意図するユースケースに応じて、他のセクションよりも有用で関連性が高いかもしれない。
・readers interested in federated analytics or federated learning (without additional input and output privacy techniques) should read this introduction and Section 1. ・連合分析または連合学習(入力と出力のプライバシー技術を追加しない)に興味のある読者は、この序文とセクション1を読むべきである。
・readers interested in PPFL should read this document in its entirety. ・PPFLに興味のある読者は、この文書全体を読むべきである。
・readers interested in approaches to improve input privacy (or any of homomorphic encryption, trusted execution environments, and multi-party computation) should read Section 2. ・入力プライバシーを改善するアプローチ(または準同型暗号、信頼可能な実行環境、マルチパーティ計算のいずれか)に興味のある読者はセクション2を読んでほしい。
・readers interested in approaches to improve output privacy (or either of differential privacy or synthetic data) should read Section 3. ・出力プライバシーを改善するアプローチ(あるいは差分プライバシー、合成データのいずれか)に興味のある読者はセクション3を読んでほしい。
The remainder of this section introduces federated analytics, federated learning and PPFL, technologies which enable the use case assessed throughout this document. This section then introduces a baseline solution, that uses more traditional methods, to provide a point of comparison to our PPFL solution throughout the rest of the document. このセクションの残りの部分では、連合分析、連合学習、PPFLを紹介する。これらの技術は、本文書を通して評価されるユースケースを可能にする。そして、このセクションの残りの部分を通して我々のPPFLソリューションと比較するポイントを提供するために、より伝統的な方法を用いたベースラインソリューションを紹介する。
Input and output privacy 入力と出力のプライバシー
Input privacy focuses on protecting raw data throughout the processing stage. Effective input privacy ensures that no party can access or infer sensitive inputs at any point. This protection may involve: 入力プライバシーは、処理段階を通して生データを保護することに焦点を当てる。効果的な入力プライバシーは、いかなる時点においても、いかなる当事者も機密性の高い入力にアクセスしたり推測したりできないことを保証する。この保護には以下が含まれる:
・preventing unauthorised access: ensuring that all processing of data is conducted without any party being able to access or infer the original raw data. This involves a combination of access controls and protection against indirect inference attacks. ・不正アクセスの防止:データのすべての処理が、いかなる当事者も元の生データにアクセスまたは推論できない状態で行われるようにする。これには、アクセス管理と間接的推論攻撃に対する防御を組み合わせる。
・offensive security considerations: anticipating and countering potential offensive security techniques that adversaries could employ to gain unauthorised access to a system. This includes defending against attacks that leverage observable systemic changes such as timing or power usage. ・攻撃的セキュリティの考慮:敵対者がシステムに不正にアクセスするために用いる可能性のある攻撃的セキュリティ技術を予測し、それに対抗する。これには、タイミングや電力使用量などの観測可能なシステム的変化を利用する攻撃に対する防御も含まれる。
・proactive attack countermeasures: utilising robust defensive techniques and methodologies, including quality assurance cycles and rigorous red-teaming exercises (red-teaming, also used in the UK and US PETs Prize Challenge, 2022-2023, is a process in which participants known as ‘red teams’ deliberately simulate attacks that might occur in the real world to rigorously test the strength of solutions created by others), to proactively minimise attack vectors. These measures can help identify and mitigate potential vulnerabilities that could be exploited through the likes of side-channel attacks. ・プロアクティブな攻撃対策:品質保証サイクルや厳格なレッドチーム演習(2022~2023 年の英米 PETs Prize Challenge でも採用されたレッドチーム演習は、「レッドチーム」と呼ばれる参加者が、実世界で発生する可能性のある攻撃を意図的にシミュレートし、他者が作成したソリューションの強度を厳格にテストするプロセスである)など、強固な防御技術と方法論を活用し、攻撃ベクトルをプロアクティブに最小化する。これらの対策は、サイドチャンネル攻撃などで悪用される可能性のある脆弱性を特定し、軽減するのに役立つ。
Input privacy may be improved by stacking a range of PETs and techniques across a federated solution. The sort of PETs and techniques encompassed by such approaches can be hardware and/or cryptographic based and are often viewed as synonymous concepts to security itself. For more information on input privacy see Section 2: Input Privacy Considerations. 入力プライバシーは、連携ソリューション全体で様々なPETと技術を積み重ねることによって改善されるかもしれない。このようなアプローチに包含されるPETや技術には、ハードウェアベースや暗号ベースのものがあり、セキュリティそのものと同義の概念とみなされることが多い。入力プライバシーの詳細については、セクション2「入力プライバシーの考察」を参照のこと。
Output privacy is concerned with improving the privacy of outputted data or models. Protecting processed data is important to prevent potential privacy breaches after data has been analysed or used to train models. Key considerations include: 出力プライバシーは、出力されたデータ・モデルのプライバシーの改善に関係する。処理されたデータを防御することは、データが分析されたりモデルの学習に使われたりした後の潜在的なプライバシー侵害を防ぐために重要である。主な考慮事項は以下の通りである:
・implementing output-based techniques: techniques which add random noise to the training process of models, such as differential privacy can be particularly effective for ensuring that training data, or subsets thereof, cannot be extracted at a later stage. This approach can help to protect data even when a model is shared or deployed. ・出力ベースの技術の導入:差分プライバシーなど、モデルの訓練過程にランダムなノイズを加える技術は、訓練データまたはそのサブセットが後の段階で抽出できないようにするために特に効果的である。このアプローチは、モデルが共有されたり展開されたりする場合でも、データを保護するのに役立つ。
・balancing privacy with model performance: techniques like differential privacy can affect a model’s performance, including accuracy. The trade-offs between privacy and performance should be carefully examined, considering factors such as the size of the model and the significance of accuracy relative to the specific research question. ・プライバシーとモデル・パフォーマンスのバランス:差分プライバシーのようなテクニックは、精度を含むモデルのパフォーマンスに影響を与える可能性がある。プライバシと性能のトレードオフは、モデルのサイズや、特定の研究課題に対する精度の重要性などの要因を考慮し、慎重に検討する必要がある。
Output privacy may be improved by effectively implementing a range of PETs and techniques across a federated solution. For more information on output privacy see Section 3: Output Privacy Considerations. 出力プライバシーは、様々なPETと技術を連携ソリューションに効果的に実装することで 改善されるかもしれない。出力プライバシーの詳細については、セクション3「出力プライバシーの考察」を参照のこと。
Federated analytics and learning 連合分析と学習
Federated analytics is a technique for performing data analysis or computations across decentralised data sources. It enables organisations to use data that cannot be directly shared. Local data from multiple sources is used to inform a global model or perform complex analysis, using federated approaches without sharing the actual data itself. After data is processed locally, the results of this processing are aggregated (either at a global node or between local nodes). フェデレーテッド・アナリティクスは、分散化されたデータソース間でデータ分析や計算を実行するための技術である。これにより、組織は直接共有できないデータを利用することができる。複数のソースからのローカルデータは、実際のデータ自体を共有することなく、連携アプローチを使用して、グローバルモデルに情報を提供したり、複雑な分析を実行するために使用される。データがローカルで処理された後、その処理結果は(グローバルノードまたはローカルノード間で)集約される。
In this toolkit we define federated learning as a subset of federated analytics. Federated learning involves training a machine learning model on datasets distributed across multiple nodes. This approach uses model updates from many local models to improve a central or global model. Nodes transfer updated model parameters based on training conducted on locally held data, rather than the actual data itself. This allows for the training of a model without the centralised collection of data. このツールキットでは、連合学習を連合分析のサブセットとして定義する。連合学習では、複数のノードに分散したデータセットで機械学習モデルを学習する。このアプローチでは、中央またはグローバルモデルを改善するために、多くのローカルモデルからのモデル更新を使用する。ノードは、実際のデータそのものではなく、ローカルに保持されているデータで実施されたトレーニングに基づいて更新されたモデル・パラメータを転送する。これにより、集中的にデータを収集することなくモデルをトレーニングすることができる。
Example 1: Federated analytics for statistical analysis 例1: 統計分析のための統合分析
A healthcare organisation looks to collaborate with universities and counterparts across countries to analyse trends in disease outbreaks. The organisation develops data pipelines to partners’ locally stored data. Through these pipelines, the organisation can send requests for data analysis. ある医療機関は、疾病の発生傾向を分析するために、各国の大学やカウンターパートと協力しようと考えている。この組織は、パートナーのローカルに保存されたデータへのデータパイプラインを開発する。これらのパイプラインを通じて、医療機関はデータ分析のリクエストを送ることができる。
The analysis is performed locally, without the healthcare organisation having access to the dataset. The output of this analysis is then returned to the organisation, which aggregates the results from all partners. 分析は、医療機関がデータセットにアクセスすることなく、ローカルで実行される。この分析のアウトプットは医療機関に返され、医療機関はすべてのパートナーからの結果を集約する。
Example 2: Federated learning for training a model 例2: モデル学習のための連合学習モデル
A technology organisation wants to improve the accuracy of a voice recognition system without collecting their users’ voice data centrally. The organisation creates an initial model trained on a readily available data set, which is then shared to users’ devices. This model is updated locally based on a user’s voice data. ある技術組織が、ユーザーの音声データを一元的に収集することなく、音声認識システムの精度を改善したいと考えている。この組織は、すぐに利用可能なデータセットでトレーニングされた初期モデルを作成し、それをユーザーのデバイスに共有する。このモデルは、ユーザーの音声データに基づいてローカルに更新される。
With user consent, the local models are uploaded to a central server periodically, without any of the users’ individual voice data ever leaving their device. The central model is continually iterated using the local models collected from repeated rounds of localised training on users’ devices. This updated central model is then shared to users’ devices and this training loop continues. ユーザーの同意のもと、ローカルモデルは定期的に中央サーバーにアップロードされ、ユーザーの個々の音声データがデバイスから離れることはない。中央のモデルは、ユーザーのデバイス上で繰り返し行われるローカライズされたトレーニングから収集されたローカルモデルを使用して、継続的に反復される。この更新された中央モデルは、ユーザーのデバイスに共有され、このトレーニングループが継続される。
Privacy preserving federated learning (PPFL) プライバシー保持連合学習(PPFL)
Layering additional PETs on top of a federated learning architecture is often referred to as privacy-preserving federated learning (PPFL). Use of additional PETs on top of federated learning can improve input and/or output privacy. 連合学習アーキテクチャの上に追加のPETを重ねることは、しばしばプライバシー保持連合学習(PPFL)と呼ばれる。連合学習の上に追加のPETを使うことで、入力や出力のプライバシーを改善することができる。
Fig1_20241122234301
Figure 1: shows an example of a PPFL solution and illustrates a multi-step process where PETs are strategically implemented to enhance privacy across a federated network. 図1:PPFLソリューションの例を示し、連合ネットワーク全体でプライバシーを強化するためにPETが戦略的に実装されるマルチステッププロセスを示している。
[1] Database structures at local nodes [1] ローカルノードのデータベース構造
[2] Central Global node (aggregator for federated learning) [2] 中央グローバルノード(連合学習のアグリゲーター)
[3] Connections between nodes [3] ノード間の接続
[4] Federated learning network [4] 連合学習ネットワーク
[5] End-user devices (Client-side) [5] エンドユーザー・デバイス(クライアント側)
The mechanisms behind many of these approaches and combinations will be discussed in more detail at a later stage. This comprehensive approach ensures that from data input to model deployment, every step provides a degree of privacy protection, safeguarding against unauthorised data exposure and enhancing trust in the federated learning process. これらの多くのアプローチや組み合わせの背後にあるメカニズムについては、後の段階で詳しく説明する。この包括的なアプローチにより、データ・インプットからモデル・モデルの展開に至るまで、すべてのステップがある程度のプライバシー保護を提供し、無許可のデータ・エクスポージャーから保護し、連合学習プロセスの信頼を高めることができる。
The accompanying explanations also serve as a reference point for technical options or considerations for how to deploy these technologies practically in a specific use case. This is intended to illustrate an indicative approach to how these technologies can be usefully deployed, not a definitive guide as to the only correct way of doing so, nor a specific endorsement of these techniques as better than other potential approaches. また、付随する説明は、特定のユースケースにおいてこれらの技術を実用的に展開するための技術オプションや検討事項の参照点としても役立つ。これは、これらの技術がどのように有用に展開できるかについての示唆的なアプローチを示すことを意図しており、そうする唯一の正しい方法についての決定的なガイドではなく、またこれらの技術が他の可能性のあるアプローチよりも優れていることを具体的に支持するものでもない。
[1] Database structures at local nodes [1] ローカルノードにおけるデータベース構造
1.a) Trusted execution environment (TEE) and federated learning: 1.a) 信頼可能な実行環境(TEE)と連合学習:
Implementation: TEEs can be used to create a secure local environment for each node participating in federated learning. This ensures that intermediate computations on local data are securely isolated within a server enclave. While federated learning inherently prevents other parties from accessing local raw training data by sharing only model weight updates, TEEs add an additional layer of security. 実装: TEEは、連合学習に参加する各ノードに対して、安全なローカル環境を作成するために使用することができる。これによって、ローカル・データに対する中間計算が、サーバ・エンクレーブ内で安全に分離されることが保証される。連合学習モデルは、モデル重みの更新のみを共有することで、他のパーティがローカルの生トレーニングデータにアクセスすることを本質的に防ぐが、TEEはさらにセキュリティのレイヤーを追加する。
TEEs can be used to create a secure local environment that further protects the computations and model updates from potential tampering or unauthorised access, even within the local device. This can be particularly useful in scenarios where there is a heightened risk of local attacks or when additional hardware-based security is required. TEE は、ローカルデバイス内であっても、計算とモデル更新を改ざんや不正アクセスから保護する、安全なローカル環境を構築するために使用できる。これは、ローカル攻撃のリスクが高いシナリオや、追加のハードウェアベースのセキュリティが必要な場合に特に有用である。
Interaction: Local model training for federated learning can occur within TEEs. In such a process, only model updates (not raw data) are sent to the central/global node (node [2] connected to database structures). This provides an additional layer of security while benefiting from collective learning. 相互作用: 連合学習のためのローカルモデル学習は、TEE 内で行うことができる。このようなプロセスでは、モデルの更新のみが(生データではなく)中央/グローバルノード(データベース構造に接続されたノード [2])に送信される。これにより、集合学習の利点を享受しつつ、さらなるセキュリティ層が提供される。
1.b) Homomorphic encryption (HE) and multi-party computation (MPC): 1.b) 準同型暗号(HE)とマルチ・パーティ計算(MPC):
Implementation: HE enables computations to be performed directly on encrypted data, ensuring that sensitive data remains protected even during processing. This prevents any party from accessing the unencrypted data, thereby enhancing privacy. 実装: HEは、暗号化されたデータに対して直接計算を実行することを可能にし、処理中であっても機密データが保護されたままであることを保証する。これにより、暗号化されていないデータにアクセスすることができなくなり、プライバシーが強化される。
MPC allows multiple parties to collaboratively compute a function over their inputs while keeping those inputs private from each other. MPCは、複数のパーティが、お互いの入力を秘密にしたまま、入力に対して共同で機能を計算することを可能にする。
By leveraging TEEs, HE, or MPC, organisations can carry out secure computations without revealing sensitive data, providing an additional layer of privacy that complements the inherent protections of federated learning. TEE、HE、またはMPCを活用することで、組織は機密データを明かすことなく安全な計算を実行することができ、連合学習固有の保護を補完する追加のプライバシーレイヤーを提供することができる。
Interaction: HE ensures that data remains encrypted during transmission and computation, while MPC allows these encrypted results to be combined securely at the global node or between databases, enhancing both input and output privacy. This combination of techniques helps to protect against inference attacks, and is particularly applicable in scenarios requiring collaborative analytics, allowing for collective computations that are secure and private. インタラクション: HEは、送信と計算の間、データが暗号化されたままであることを保証し、MPCは、これらの暗号化された結果をグローバルノードまたはデータベース間で安全に結合することを可能にし、入力と出力の両方のプライバシーを強化する。この技術の組み合わせは、推論攻撃から保護するのに役立ち、特に協調分析を必要とするシナリオに適用可能で、安全でプライベートな集団計算を可能にする。
1.c) Synthetic data generation: 1.c) 合成データの生成:
Implementation: Synthetic data generation involves creating artificial datasets that replicate the statistical properties of real datasets. This synthetic data can be used for initial model training and testing without exposing sensitive information, making it valuable for scenarios where data privacy is a specific concern due to the involvement of especially sensitive information. If the synthetic data is well-crafted and does not contain any identifiable information, it generally does not require additional privacy techniques. However, in cases where there is a concern that the synthetic data could be correlated with external data to infer sensitive information, techniques like differential privacy can be applied to add an extra layer of protection. 実装: 合成データ生成では、実際のデータセットの統計的特性を再現した人工データセットを作成する。この合成データは、センシティブな情報を公開することなく、最初のモデル・トレーニングやテストに使用することができるため、特にセンシティブな情報が含まれるためにデータ・プライバシーが懸念されるシナリオで有用である。合成データがうまく作成され、識別可能な情報を含んでいない場合、一般的にプライバシー技術を追加する必要はない。しかし、合成データが外部データと相関し、機密情報を推測される懸念がある場合には、差分プライバシーのような技術を適用することで、保護レイヤーを追加することができる。
Interaction: Synthetic data can be utilised to safely conduct experiments, validate models, or train machine learning systems without risking the exposure of real, sensitive data. The interaction between the synthetic dataset and the machine learning models or analytical tools remains similar to that of real data, allowing for accurate testing and development. 相互作用: 合成データは、実際の機密データのエクスポージャーをリスクにさらすことなく、実験、モデルの妥当性確認、機械学習システムの訓練を安全に行うために利用することができる。合成データと機械学習モデルや分析ツールとの相互作用は、実データと同様であり、正確なテストと開発が可能である。
In situations where sensitive information could be inferred, the use of differential privacy or other privacy-preserving techniques ensures that even if the synthetic data is accessed by unauthorised parties, the risk of re-identification remains minimal. センシティブな情報が推測される可能性がある状況では、差分プライバシーやその他のプライバシー保護技術を使用することで、合成データが権限のない者によってアクセスされたとしても、再識別のリスクは最小限に抑えられる。
[2] Central Global node (aggregator for federated learning) [2]セントラル・グローバル・ノード(連合学習のアグリゲーター)
2.a) Federated learning with differential privacy: 2.a) 差分プライバシーを用いた連合学習:
Implementation: Implementing differential privacy techniques at the aggregator, to add noise to the aggregated model updates, enhances the privacy of the model by making it harder to trace back to individual contributions. 実装: アグリゲータで差分プライバシー技術を実装し、集約されたモデルの更新にノイズを加えることで、個々の貢献へのトレースが困難になり、モデルのプライバシーが強化される。
Interaction: Combining federated learning with differential privacy ensures that even if the aggregated model is exposed, there is a lower risk of the privacy of individual data sources being compromised. 相互作用: 連合学習と差分プライバシーを組み合わせることで、集約モデルが公開されても、個々のデータ・ソースのプライバシーが侵害されるリスクが低くなる。
2.b) Federated learning with synthetic data: 2.b) 合成データによる連合学習:
Implementation: Synthetic data can be used to initially baseline and validate a machine learning model during the development phase. This approach allows for early testing and adjustment of model architecture using data that mimics real datasets without exposing sensitive information. Once the model is confirmed to be functioning as intended, it should then be trained further with real data to ensure accuracy and effectiveness before being deployed to local nodes for federated learning. 実装: 合成データは、開発段階における機械学習モデルの初期ベースラインと妥当性確認のために使用することができる。このアプローチにより、機密情報を公開することなく、実際のデータセットを模倣したデータを使用して、モデル・アーキテクチャの早期テストと調整が可能になる。モデルが意図したとおりに機能していることが確認されたら、連合学習のためにローカルノードに展開する前に、実データでさらに学習させ、精度と有効性を確保する必要がある。
Interaction: Federated learning can utilise synthetic data for calibration and testing under various conditions, ensuring robustness before deploying the model with real user data. During the interaction phase, the model can be tested and refined using synthetic data, which helps to establish a solid foundation whilst reducing privacy breaches. However, it is essential to note that the model should not be pushed to local nodes for final training if it has only been trained on synthetic data. Instead, the model should undergo additional training with real data to ensure it performs accurately in real-world scenarios before deployment across the federated network. 相互作用: 連合学習では、実際のユーザーデータでモデルを展開する前に、様々な条件下でのキャリブレーションとテストのために合成データを利用し、ロバスト性を確保することができる。インタラクションの段階では、合成データを使ってモデルをテストし、改良することができるため、プライバシー侵害を減らしつつ、強固な基盤を確立することができる。しかし、合成データで学習しただけのモデルは、最終的な学習のためにローカルノードにプッシュすべきではないことに注意する必要がある。その代わりに、モデルは、連携ネットワーク全体に展開する前に、実世界のシナリオで正確に機能することを保証するために、実データで追加のトレーニングを受けるべきである。
[3] Connections between nodes [3] ノード間の接続
Federated learning and HE: 連合学習とHE:
Implementation: HE might be used to encrypt the model updates as they are transmitted between nodes. These updates, while originally derived from the data, are no longer the raw data itself but rather parameter updates that represent learned patterns. Encrypting these updates ensures that even as they are aggregated and processed, the underlying data patterns remain protected from potential inference attacks. 実装: HEは、ノード間で送信されるモデルの更新を暗号化するために使用される。これらの更新は、もともとはデータから得られたものであるが、もはや生データそのものではなく、学習されたパターンを表すパラメータの更新である。これらの更新を暗号化することで、更新が集約され処理されても、基礎となるデータパターンが潜在的な推論攻撃から保護されたままであることを保証する。
Interaction: During the interaction phase, model updates are securely transmitted between nodes using HE. These updates are no longer the raw data but encrypted representations of the model’s learned parameters. This encryption ensures that while the updates are aggregated to refine the global model, they remain secure and inaccessible, protecting the privacy of the underlying data. 相互作用: 相互作用フェーズでは、モデルの更新はHEを使用してノード間で安全に送信される。これらの更新はもはや生データではなく、モデルの学習されたパラメータを暗号化したものである。この暗号化により、更新がグローバル・モデルを改良するために集約される間、更新は安全でアクセスできないままであり、基礎となるデータのプライバシーが保護される。
[4] Federated learning network [4] 連合学習ネットワーク
Model consolidation: Implementation: This section represents the consolidated output of a federated learning process a fully trained model that integrates insights derived from all participating nodes. モデルの統合: 実装: このセクションは、連合学習プロセスの統合された出力、つまりすべての参加ノードから得られた洞察を統合した、完全に訓練されたモデルを表す。
Interaction: The model, now optimised and refined through aggregated updates, embodies the collective intelligence of the decentralised network while maintaining the privacy of the underlying data. 相互作用: 集約された更新によって最適化され洗練されたモデルは、基礎となるデータ・プライバシーを維持しながら、分散型ネットワークの集合的インテリジェンスを具現化する。
[5] End-user devices (Client-side) [5] エンドユーザーデバイス(クライアントサイド)
TEE and synthetic data on client devices: クライアント・デバイス上の TEE と合成データ:
Implementation: TEEs can be employed on client devices to securely process data and use synthetic data to simulate user interactions without risking exposure of real data. Synthetic data could be generated from real data or anonymised versions of a dataset. 実装: クライアントデバイス上で TEE を採用することで、データをセキュアに処理し、合成デー タを使用することで、実データのエクスポージャーをリスクにさらすことなく、ユーザ インタラクションをシミュレートすることができる。合成データは、実データや匿名化されたデータセットから生成することができる。
Interaction: TEEs ensure that even if a device is compromised, the processing of sensitive data (real or synthetic) remains secure. インタラクション: TEE は、デバイスが侵害された場合でも、機密データ(実データまたは合成データ)の安全な処理を保証する。
Baseline for comparison 比較のためのベースライン
When assessing the costs and benefits of adopting PETs, it is useful to compare the costs and benefits to alternative methods. PETを採用するコストと便益をアセスメントする場合、代替方法と比較することが有用である。
In this PPFL example, a useful baseline for comparison is the training of an equivalent model on centrally collated data. The data is assumed to be collected by the organisation, originating from different entities and containing personal or sensitive information. この PPFL の例では、一元的に照合されたデータを用いて同等のモデルを訓練することが、比較 のためのベースラインとして有用である。データは組織が収集し、異なる事業体から発信され、個人情報や機微情報を含むと仮定する。
Fig2_20241122234701
Figure 2: Example of baseline centralised data processing model 図 2:一元管理されたデータ処理モデルの例

 

Section 1: costs and benefits of federated learning セクション1:連合学習のコストと利益
Section 2: input privacy considerations セクション2:入力プライバシーに関する考察
Section 3: output privacy considerations セクション3:出力プライバシーに関する考察

 

Conclusion 結論
The use of PETs is not a silver bullet to ‘solve’ all privacy concerns your organisation may face, however, adopting these technologies correctly, where appropriate to the organisation’s context and intended use case, has the potential to introduce and/or unlock a range of benefits. Before adopting any PETs, it is important to weigh up the costs of your solution against these benefits to determine whether or not the technology is right for your organisation. PETの使用は、組織が直面しうるプライバシーに関するすべての懸念を「解決」する特効薬ではないが、組織の状況や意図するユースケースに適切であれば、これらの技術を正しく採用することで、さまざまな利益を導入し、または引き出す可能性がある。PETを採用する前に、ソリューションのコストとこれらの利点を比較検討し、その技術が組織にとって適切かどうかを判断することが重要である。
For more information on legal compliance please see the ICO’s PETs guidance. 法令遵守に関する詳細は、ICOのPETsガイダンスを参照のこと。

 

 

PETのユースケース

Department for Science, Innovation and Technology

・2024.11.07 Repository of Privacy Enhancing Technologies (PETs) Use Cases

 

 

PETについての法的な説明

ICO

・2023.06.19 Privacy-enhancing technologies (PETs)

 

 


 

PETs 関連...

まるちゃんの情報セキュリティ気まぐれ日記

・2024.01.27 米国 NIST Blog 連合学習におけるプライバシー攻撃

・2023.12.13 NIST SP 800-226(初期公開ドラフト) 差分プライバシー保証 (Guarantees) を評価するためのガイドライン

・2023.06.28 英国 ICO 金融、医療、研究、中央・地方政府で大規模な個人データセットを使用しているデータ保護担当者などを対象とした新しいPETsガイダンスを作成 (2023.06.19)

・2023.04.08 米国 プライバシーを保護した上でデータ共有と分析を推進する国家戦略 ・デジタル資産研究開発のための国家目標 (2023.03.29)

・2023.03.24 OECD 先進のプライバシー強化技術 - 現在の規制・政策アプローチ (2023.03.08)

・2023.01.26 英国王立学会 プライバシー向上技術 (PETs) (2023.01.23)

・2022.09.11 英国 ICO プライバシー強化技術に関するガイダンス案を発表

・2022.01.29 ENISA データ保護エンジニアリング

・2021.07.19 U.K. プライバシー強化技術:採用ガイド β版 by デジタル・文化・メディア・スポーツ省 データ倫理・イノベーションセンター

・2020.10.16 World Economic Forumからサイバーセキュリティの報告書(Cyber Information Sharing: Building Collective Security)が出ていましたね。。。

 

ここから10年遡ります...

・2010.07.27 London Economics "Study on the economic benefits of privacy-enhancing technologies (PETs) "

・・[PDF] Study on the economic benefits of privacy‐enhancing technologies (PETs)

20241123-02600

 

| | Comments (0)

2024.11.22

ノルウェイ 消費者評議会 オンラインにおける児童・青少年の商業的搾取 (2024.11.14)

こんにちは、丸山満彦です。

ノルウェイの消費者評議会が、オンラインにおける児童・青少年の商業的搾取に関する報告書を公表していますね...

大企業が自発的に変わることがないので、規制しかない!という感じですね...もちろん、児童・青少年の保護について真面目に取り組んでいる企業も多いとは思いますが、それでも無視できないほどのそうではない企業が存在するのでしょうね...

中毒性のある仕組みの削除、有害コンテンツが増幅しないようにすること、違法なマーケティング行為の停止などに本気で取り組む感じですかね。。。必要なら法改正も辞さないという意気込みを感じます...

そして、その上で執行もちゃんとすると...

「年齢認証を入れたらええねん」みたいな単純な話やないぞ...という感じですね。そんなもの、くぐろうとしたらなんぼでもくぐる方法が出回るし、安易は制限が別のデメリットにつながるかもしれない...

 

報告書の表紙の絵がなんともやなぁ...

 

Norway Forbruker Rådet

・2024.11.14 Tech companies must be held accountable for exploiting children and adolescents 

Tech companies must be held accountable for exploiting children and adolescents  テクノロジー企業は児童や青少年を搾取した責任を負わなければならない 
Children and adolescents are exposed to addictive mechanisms, toxic content, and massive commercial pressure on social media. Today the Norwegian Consumer Council is presenting a series of proposals to ensure a safer digital childhood.  児童たちや青少年は、ソーシャルメディア上で中毒性のある仕組みや有害なコンテンツ、大規模な商業的圧力にさらされている。ノルウェー消費者評議会は本日、より安全なデジタル・キッズ・ライフを確保するための一連の提案を発表した。
in the report “Commercial exploitation of children and adolescents online”, the Norwegian Consumer Council outlines the risks that children are exposed to, what their rights are, and how we can create a safer digital childhood.  ノルウェー消費者評議会は、報告書「オンラインにおける児童と青少年の商業的搾取」の中で、児童がさらされているリスク、児童の権利、そしてより安全なデジタル・キッズ・ライフを実現する方法について概説している。
–It is overdue that the tech companies are held accountable, to ensure better and safer digital services for children and adolescents. We cannot abide business models based on comprehensive surveillance, infinite scrolling, and toxic content, says Inger Lise Blyverket, director of the Norwegian Consumer Council.  -児童たちや青少年にとってより良い、より安全なデジタルサービスを保証するために、ハイテク企業が責任を負うべき時が来ている。包括的な監視、無限スクロール、有害コンテンツに基づくビジネスモデルを容認することはできない。
–For too long, children and adolescents have been left to themselves online. History shows that large companies do not change on their own initiative, and that strong regulation and significant sanctions are necessary.  -あまりにも長い間、児童たちや青少年はオンライン上で自分たちだけのものになってきた。大企業が自発的に変わることはなく、強力な規制と大きな制裁が必要であることは歴史が証明している。
The measures summarized  対策は以下の通りである。
Companies must be held accountable, including by being forced to remove addictive mechanisms, not amplify toxic content, and stopping illegal marketing practices.  企業は、中毒性のある仕組みの削除、有害コンテンツの増幅の禁止、違法なマーケティング行為の停止などを含め、責任を負わなければならない。
There must be strong, coordinated, and deterrent enforcement of current laws both nationally and internationally.   国内外を問わず、現行法の強力かつ協調的で抑止力のある執行がなされなければならない。 
Consumer protection laws must be updated where current rules are insufficient.  現行の規則では不十分な場合には、消費者保護法を更新しなければならない。
Any potential age verification schemes must only be introduced if it adheres to numerous fundamental principles. 年齢検証制度は、数多くの基本原則を遵守した場合にのみ導入されなければならない。
Clear guidance must be provided for parents and children, including guidance on recommended age limits for social media. ソーシャルメディアの推奨年齢制限に関するガイダンスを含め、親と児童たちに明確なガイダンスを提供しなければならない。
–We already have laws that are meant to protect children. However, unless we have active enforcement, this is a paper tiger. Here we see a considerable room for action by both Norwegian and international authorities.  -児童たちを守るための法律はすでにある。しかし、積極的な施行がない限り、これは紙の虎である。ここには、ノルウェーと国際的な当局の両方が行動を起こす余地がかなりあると考えられる。
A warning against technical blocking of digital services  デジタルサービスの技術的ブロッキングへの警告 
There are many ongoing discussions about whether to introduce technical measures to block or remove children and adolescents from certain digital services. In the report, the Norwegian Consumer Council cautions against rushing into such measures, and presents numerous principles that any such solutions must adhere to before potentially being implemented.  児童や青少年を特定のデジタルサービスからブロックしたり排除したりする技術的措置を導入するかどうかについては、現在も多くの議論が行われている。ノルウェー消費者評議会は報告書の中で、このような措置を急ぐことに警告を発し、そのような解決策が実施される可能性がある前に遵守すべき数々の原則を提示している。
–Age verification may seem like a relatively simple technical solution to a larger problem, but involves significant challenges related to the rights of children and adolescents, including privacy, social and political participation, and the possibility to seek information, says Inger Lise Blyverket.  -年齢検証は、大きな問題に対する比較的単純な技術的解決策のように見えるかもしれないが、プライバシー、社会的・政治的参加、情報を求める可能性など、児童や青少年の権利に関わる重大な課題を含んでいる。
–It is also important to note that introducing such measures would require everyone to identify themselves online, which could mean that people over the age limit are excluded. Many adolescents will also likely be able to circumvent such technical barriers. 
-また、このような措置を導入する場合、すべての人がオンラインで身元を確認する必要があるため、年齢制限を超えた人が排除される可能性があることにも注意が必要だ。また、多くの青少年はこのような技術的障壁を回避することができるだろう。
Before considering introducing such technical barriers, several criteria must be fulfilled. This includes, among other things, that the use of an age verification system is proportional to the problem one wants to solve, does not lead to the exclusion of vulnerable groups and individuals, and that it safeguards security and privacy.  このような技術的障壁の導入を検討する前に、いくつかの規準を満たす必要がある。これには、年齢検証システムの利用が解決したい問題に比例していること、脆弱な集団や個人の排除につながらないこと、セキュリティとプライバシーを保護することなどが含まれる。

 

・[PDF

COMMERCIAL EXPLOITATION OF CHILDREN AND ADOLESCENTS ONLINE オンラインにおける児童・青少年の商業的搾取
How to ensure a rights-respecting digital childhood 権利を尊重するデジタル・チルドレンを確保するには

20241122-23200

・[DOCX][PDF] 仮訳

 

目次...

Summary 概要
1.  Introduction 1. 序文
1.1.  A better online environment for young people 1.1. 若者にとってより良いオンライン環境
1.2.  About the authors 1.2. 委員会について
2. How do children’s rights apply to the digital environment? 2. 児童の権利はデジタル環境にどのように適用されるのか?
2.1.  Children and adolescents’ heterogeneity must be taken into account 2.1. 児童や青少年の異質性を考慮しなければならない
3. How are children and adolescents being harmed online? 3. 児童や青少年はオンライン上でどのような被害を受けているのか?
3.1.  A predatory business model 3.1. 略奪的ビジネスモデル
3.1.1.  Surveillance-based advertising and commercial pressure 3.1.1. 監視に基づく広告と商業的圧力
3.1.2.  Amplifying toxic content 3.1.2. 有害コンテンツの増幅
3.1.3.  Addictive mechanisms and excessive screentime 3.1.3. 習慣性のメカニズムと過度なスクリーンタイム
3.2.  Other major issues 3.2. その他の主な問題
3.2.1.  Mental health harms 3.2.1. メンタルヘルスへの害
3.2.2.  Cyberbullying 3.2.2. ネットいじめ
3.2.3.  Unwanted interactions with strangers 3.2.3. 見知らぬ人との望まない交流
4. Technically blocking children and adolescents from digital services is a more complicated measure than it seems 4. 技術的に児童や青少年をデジタルサービスからブロックすることは、見かけ以上に複雑な対策である。
4.1.  Should children and young people be excluded from social media? 4.1. 児童や若者をソーシャルメディアから排除すべきか?
4.2.  Defining social media is a complicated endeavour 4.2. ソーシャルメディアの定義は複雑である
4.3.  Excluding children under a certain age does not protect children over the age limit 4.3. ある年齢以下の子どもたちを保護しても、年齢制限を超えた子どもたちを守ることはできない。
4.4.  Technical solutions are risky and not fool-proof 4.4. 技術的解決策はリスクが高く、確実ではない
  4.4.1.  ID-based age verification   4.4.1. IDベースの年齢検証
  4.4.2. Risky age estimation techniques   4.4.2. 危険年齢推定技術
  4.4.3. Age declaration   4.4.3. 年齢申告
4.5.  Principles for legitimate age assurance 4.5. 正当な年齢保証の原則
5. Measures that are necessary to protect children online 5. オンラインで児童を保護するために必要な措置
5.1.  Demand a digital environment that is rights-respecting 5.1. 権利尊重のデジタル環境を求める
  5.1.1  Rights-respecting digital services for all consumers   5.1.1. すべての消費者のための権利尊重のデジタルサービス
  5.1.2.  Demand that children are protected and empowered   5.1.2. 子どもたちが守られ、力を与えられるよう要求する
  5.1.3.  Improve and strengthen enforcement structures   5.1.3. 執行体制の改善・強化
5.2.  Ensure families and governmental agencies are equipped to provide children with age appropriate experiences online 5.2.家庭や行政機関が、子どもたちに年齢相応の経験をオンラインで提供できるようにする。
  5.2.1. Limit the number of children who access digital services even though they are under the age limit   5.2.1. 制限年齢未満であってもデジタルサービスにアクセスする子供の数を制限する
  5.2.2.  Parental supervision should only supplement other measures   5.2.2. 保護者による監督は、他の措置を補完するものであるべき
  5.2.3.  The public sector must lead by example    5.2.3. 公共部門が率先垂範すべきである
  5.2.4. Empowerment of children and adolescents   5.2.4. 児童と青少年のエンパワーメント

 

概要...

Summary  まとめ 
Children and adolescents rely on digital services for many aspects of their lives. The internet has provided new ways to communicate and build relationships, express themselves creatively and politically, seek knowledge, and much more. However, the dark sides of internet use have grown in tandem with the mass adoption and normalization of online life. Young children are exposed to disturbing and toxic content, adolescents are bombarded with commercial practices that preys on their vulnerabilities, and excessive screentime interferes with offline life.   児童と青少年は、生活の多くの場面でデジタルサービスに依存している。インターネットは、コミュニケーションや人間関係の構築、創造的かつ政治的な自己表現、知識の探求など、多くの新しい方法をプロバイダに提供してきた。しかし、ネット利用の暗黒面は、ネット生活の大量導入と常態化とともに拡大してきた。幼い児童たちは不穏で有害なコンテンツにさらされ、青少年は彼らの脆弱性を食い物にする商業行為にさらされ、過度なスクリーンタイムがオフラインの生活に支障をきたしている。 
Policymakers have a responsibility to protect citizens, whether they are young or old. Businesses also have a duty to respect children’s rights. Over the past 20 years, there has been a failure to handle the harmful sides of digitalization. As awareness about the harms of social media platforms grows, politicians and regulators are looking for solutions.   政策立案者には、老若男女を問わず市民を保護する責任がある。また、企業にも児童の権利を尊重する義務がある。過去20年間、デジタル化の弊害に対処することができなかった。ソーシャルメディア・プラットフォームの弊害に対する認識が高まるにつれ、政治家や規制当局は解決策を模索している。 
This report aims to map the main harmful effects of online life – and particularly social media use – on young people, to create a basis for further discussions about which measures can and should be implemented to reduce these effects. While the report primarily maps out these harms through a consumer lens, other harmful effects are touched upon where it is necessary to get a more holistic overview of the risks faced by young people online.   本報告書の目的は、オンライン生活、特にソーシャルメディア利用が若者に及ぼす主な有害な影響をマッピングし、これらの影響を軽減するためにどのような対策が可能か、また実施すべきかをさらに議論するための土台を作ることである。本報告書では、主に消費者という切り口でこれらの害をマッピングしているが、若者がネット上で直面するリスクをより全体的に把握する必要がある場合には、その他の害についても触れている。 
There are many ongoing debates among both policy makers, governments and regulators, about the introduction of hard technical measures to block or remove children and adolescents from certain digital services. The report provides an overview of key shortcomings of this approach, as well as the many risks that the use of ID-based age verification solutions introduce to children and adults alike.   児童や青少年を特定のデジタルサービスからブロックしたり排除したりするハードな技術的措置の序文については、政策立案者、政府、規制当局の双方で多くの議論が続いている。本報告書では、このアプローチの主な欠点と、IDベースの年齢検証ソリューションの使用が児童にも大人にももたらす多くのリスクを概観している。 
The report concludes with a number of policy, regulatory, and technical measures that can be implemented to address the harmful effects of online life. We believe that such measures can help pave the way for a safer and healthier internet for everyone, without resorting to invasive or exclusionary measures.  報告書は最後に、オンライン生活の有害な影響に対処するために実施可能な、政策的、規制的、技術的な対策をいくつか提示している。このような対策は、侵略的・排他的な手段に頼ることなく、すべての人にとってより安全で健全なインターネットへの道を開くのに役立つと考える。
The measures can broadly be summarised to demand a better internet for children and youth by:  その対策は大まかにまとめると、以下のようなもので、児童たちや青少年にとってより良いインターネットを求めるものである: 
1. Holding the companies accountable, to remove their addictive mechanisms, use recommender systems that empower individuals instead of amplifying toxic content, and stop illegal advertising practices.   1. 企業に責任を負わせ、中毒性のある仕組みを排除し、有害なコンテンツを増幅させるのではなく、個人に力を与えるレコメンダーシステムを使用し、違法な広告行為をやめさせる。 
2. Rigorous, coordinated and dissuasive enforcement of existing rules and regulations at the national and international level.   2. 国内および国際的なレベルで、既存の規則や規制を厳格に、協調的に、かつ説得力をもって実施すること。 
3. Targeted updates of consumer law where existing rules and enforcement are not sufficient. This includes horizontal protection for all consumers, where this provides the strongest protections for children, in addition to special protections for children.   3. 既存の規則と執行が十分でない場合には、消費者法の的を絞った更新を行う。これには、児童に対する特別な保護に加え、児童に対する最も強力な保護を提供する、すべての消費者に対する水平的な保護が含まれる。 
4. Only using age assurance if it is in accordance with a number of principles designed to protect rights such privacy, access to information and participation.  4. プライバシー、情報へのアクセス、参加などの権利を保護するために設計された多くの原則に従う場合にのみ、年齢保証を使用する。
5. Providing clear guidance for parents, caregivers, and children, including recommended age limits for social media platforms.   5. ソーシャルメディア・プラットフォームの推奨年齢制限を含め、保護者、養育者、児童たちに明確なガイダンスを提供する。 
The report was finalized 1 November 2024.   報告書は2024年11月1日に最終決定された。 

 

 

| | Comments (0)

2024.11.21

米国 国土安全保障省 重要インフラにおけるAIの役割と責任の枠組み (2024.11.14)

こんにちは、丸山満彦です。

米国の国土安全保障省が、「重要インフラにおけるAIの役割と責任の枠組み」を発表していますね...

 

U.S. Department of Homeland Security

プレス...

・2024.11.14 Groundbreaking Framework for the Safe and Secure Deployment of AI in Critical Infrastructure Unveiled by Department of Homeland Security

Groundbreaking Framework for the Safe and Secure Deployment of AI in Critical Infrastructure Unveiled by Department of Homeland Security 国土安全保障省が重要インフラにおけるAIの安全・安心な展開のための画期的な枠組みを発表
First-of-its kind collaboration with industry and civil society recommends new guidance to advance the responsible use of AI in America’s essential services 産業界や市民社会との初のコラボレーションにより、米国の重要なサービスにおけるAIの責任ある利用を促進するための新たな指針を提言する。
WASHINGTON – Today, the Department of Homeland Security (DHS) released a set of recommendations for the safe and secure development and deployment of Artificial Intelligence (AI) in critical infrastructure, the “Roles and Responsibilities Framework for Artificial Intelligence in Critical Infrastructure” (“Framework”). This first-of-its kind resource was developed by and for entities at each layer of the AI supply chain: cloud and compute providers, AI developers, and critical infrastructure owners and operators – as well as the civil society and public sector entities that protect and advocate for consumers. The Artificial Intelligence Safety and Security Board (“Board”), a public-private advisory committee established by DHS Secretary Alejandro N. Mayorkas, identified the need for clear guidance on how each layer of the AI supply chain can do their part to ensure that AI is deployed safely and securely in U.S. critical infrastructure. This product is the culmination of considerable dialogue and debate among the Board, composed of AI leaders representing industry, academia, civil society, and the public sector. The report complements other work carried out by the Administration on AI safety, such as the guidance from the AI Safety Institute, on managing a wide range of misuse and accident risks. ワシントン - 本日、国土安全保障省(DHS)は、重要インフラにおける人工知能(AI)の安全かつ確実な開発・展開のための一連の勧告、「重要インフラにおける人工知能の役割と責任枠組み」(以下「枠組み」)を発表した。この世界初のリソースは、クラウドやコンピュートプロバイダー、AI開発者、重要インフラの所有者や運営者といったAIのサプライチェーンの各層にいる事業体、さらには消費者を保護し擁護する市民社会や公共部門の事業体によって、また事業体のために開発された。米国国土安全保障省(DHS)のアレハンドロ・N・マヨルカス長官が設置した官民諮問委員会である人工知能安全・セキュリティ委員会(「委員会」)は、AIが米国の重要インフラに安全かつ確実に展開されるために、AIサプライチェーンの各層がどのように役割を果たせるかについて明確な指針が必要であると指摘した。この報告書は、産業界、学界、市民社会、公共部門を代表するAIリーダーで構成される理事会の間で行われた多くの対話と議論の集大成である。この報告書は、幅広い誤用や事故のリスクマネジメントに関するAI安全研究所のガイダンスなど、AIの安全性に関して機構が実施した他の作業を補完するものである。
America’s critical infrastructure – the systems that power our homes and businesses, deliver clean water, allow us to travel safely, facilitate the digital networks that connect us, and much more – is vital to domestic and global safety and stability. These sectors are increasingly deploying AI to improve the services they provide, build resilience, and counter threats. AI is, for example, helping to quickly detect earthquakes and predict aftershocks, prevent blackouts and other electric-service interruptions, and sort and distribute mail to American households. These uses do not come without risk, and vulnerabilities introduced by the implementation of this technology may expose critical systems to failures or manipulation by nefarious actors. Given the increasingly interconnected nature of these systems, their disruption can have devastating consequences for homeland security. 米国の重要なインフラストラクチャー(家庭や企業に電力を供給し、きれいな水を供給し、安全な旅行を可能にし、私たちをつなぐデジタルネットワークを促進するシステムなど)は、国内および世界の安全と安定に不可欠である。これらの分野では、提供するサービスの改善、レジリエンスの構築、脅威への対抗のためにAIの展開が進んでいる。例えば、AIは地震の検知と余震の迅速な予測、停電やその他の電気サービスの中断の防止、米国の一般家庭への郵便物の仕分けと配達などに役立っている。こうした利用はリスクと無縁ではなく、この技術の導入によってもたらされる脆弱性は、重要なシステムを障害や悪意のある行為者による操作にさらす可能性がある。これらのシステムの相互接続性が高まっていることを考えると、その混乱は国土安全保障に壊滅的な結果をもたらす可能性がある。
“AI offers a once-in-a-generation opportunity to improve the strength and resilience of U.S. critical infrastructure, and we must seize it while minimizing its potential harms. The Framework, if widely adopted, will go a long way to better ensure the safety and security of critical services that deliver clean water, consistent power, internet access, and more,” said Secretary Alejandro N. Mayorkas. “The choices organizations and individuals involved in creating AI make today will determine the impact this technology will have in our critical infrastructure tomorrow. I am grateful for the diverse expertise of the Artificial Intelligence Safety and Security Board and its members, each of whom informed these guidelines with their own real-world experiences developing, deploying, and promoting the responsible use of this extraordinary technology. I urge every executive, developer, and elected official to adopt and use this Framework to help build a safer future for all.” アレハンドロ・N・マヨルカス長官は次のように述べた。「AIは米国の重要インフラの強度とレジリエンスを改善する生成的AIを提供する。この枠組みが広く採用されれば、きれいな水、安定した電力、インターネットアクセスなどを提供する重要なサービスの安全性とセキュリティをより確実にするために、大いに役立つだろう。AIの開発に携わる組織や個人が今日どのような選択をするかによって、この技術が明日我々の重要なインフラにどのような影響を与えるかが決まる。人工知能安全・セキュリティ委員会とそのメンバーの多様な専門知識に感謝している。彼らはそれぞれ、この驚異的な技術の開発、展開、責任ある利用を促進するための実体験をもとに、このガイドラインを作成した。私は、すべての経営者、開発者、そして選挙で選ばれた関係者が、この枠組みを採用し、活用することで、すべての人にとってより安全な未来の構築に貢献することを強く望む。」
If adopted and implemented by the stakeholders involved in the development, use, and deployment of AI in U.S. critical infrastructure, this voluntary Framework will enhance the harmonization of and help operationalize safety and security practices, improve the delivery of critical services, enhance trust and transparency among entities, protect civil rights and civil liberties, and advance AI safety and security research that will further enable critical infrastructure to deploy emerging technology responsibly. Despite the growing importance of this technology to critical infrastructure, no comprehensive regulation currently exists. 米国の重要インフラにおけるAIの開発、使用、展開に携わる関係者がこの自主的な枠組みを採用し、実行に移せば、安全・セキュリティ慣行の調和と運用を強化し、重要サービスの提供を改善し、事業体間の信頼と透明性を高め、市民権と市民的自由を保護し、AIの安全・セキュリティ研究を推進することになり、重要インフラが新興技術を責任を持って展開できるようになる。重要インフラにおけるこの技術の重要性が高まっているにもかかわらず、包括的な規制は現在のところ存在しない。
DHS identified three primary categories of AI safety and security vulnerabilities in critical infrastructure: attacks using AI, attacks targeting AI systems, and design and implementation failures. To address these vulnerabilities, the Framework recommends actions directed to each of the key stakeholders supporting the development and deployment of AI in U.S. critical infrastructure as follows:   DHSは、重要インフラにおけるAIの安全・セキュリティの脆弱性について、AIを利用した攻撃、AIシステムを標的とした攻撃、設計・実装の失敗という3つの主要カテゴリーを特定した。これらの脆弱性に対処するため、枠組みは、米国の重要インフラにおけるAIの開発・展開を支援する主要な関係者それぞれに向けた行動を以下のように推奨している:  
Cloud and compute infrastructure providers play an important role in securing the environments used to develop and deploy AI in critical infrastructure, from vetting hardware and software suppliers to instituting strong access management and protecting the physical security of data centers powering AI systems. The Framework encourages them to support customers and processes further downstream of AI development by monitoring for anomalous activity and establishing clear pathways to report suspicious and harmful activities. クラウドや計算インフラのプロバイダは、ハードウェアやソフトウェアのサプライヤの審査から、強力なアクセス管理の導入、AIシステムを動かすデータセンターの物理的保護に至るまで、重要インフラにおけるAIの開発・展開に使用される環境の安全確保において重要な役割を果たす。この枠組みは、異常な活動を監視し、疑わしい活動や有害な活動を報告するための明確な経路を確立することで、AI開発のさらに下流の顧客やプロセスをサポートすることを奨励している。
AI developers develop, train, and/or enable critical infrastructure to access AI models, often through software tools or specific applications. The Framework recommends that AI developers adopt a Secure by Design approach, evaluate dangerous capabilities of AI models, and ensure model alignment with human-centric values. The Framework further encourages AI developers to implement strong privacy practices; conduct evaluations that test for possible biases, failure modes, and vulnerabilities; and support independent assessments for models that present heightened risks to critical infrastructure systems and their consumers. AI開発者は、多くの場合、ソフトウェア・ツールや特定のアプリケーションを通じて、AIモデルにアクセスするための重要なインフラを開発、訓練、及び/又は可能にする。枠組みは、AI開発者に対し、セキュア・バイ・デザイン(Secure by Design)のアプローチを採用し、AIモデルの危険な能力を評価し、モデルが人間中心の価値観に合致していることを確認することを推奨している。枠組みはさらに、AI開発者に対し、強力なプライバシー・プラクティスを導入すること、可能性のあるバイアス、故障モード、脆弱性をテストする評価を実施すること、重要インフラ・システムとその消費者に高度のリスクをもたらすモデルについて独立したアセスメントをサポートすることを奨励している。
Critical infrastructure owners and operators manage the secure operations and maintenance of key systems, which increasingly rely on AI to reduce costs, improve reliability and boost efficiency. They are looking to procure, configure, and deploy AI in a manner that protects the safety and security of their systems. The Framework recommends a number of practices focused on the deployment-level of AI systems, to include maintaining strong cybersecurity practices that account for AI-related risks, protecting customer data when fine-tuning AI products, and providing meaningful transparency regarding their use of AI to provide goods, services, or benefits to the public. The Framework encourages critical infrastructure entities to play an active role in monitoring the performance of these AI systems and share results with AI developers and researchers to help them better understand the relationship between model behavior and real-world outcomes. 重要インフラの所有者やオペレータは、主要システムの安全な運用と保守を管理しており、コスト削減、信頼性改善、効率向上のためにAIへの依存度が高まっている。彼らは、システムの安全性とセキュリティを保護する方法でAIを調達、設定、展開することを求めている。枠組みは、AIシステムの展開レベルに焦点を当てた多くの実践を推奨しており、これには、AI関連のリスクを考慮した強固なサイバーセキュリティの実践の維持、AI製品の微調整時の顧客データの保護、商品、サービス、または公衆への便益を提供するためのAIの使用に関する有意義な透明性の提供などが含まれる。この枠組みは、重要インフラ事業体に対し、こうしたAIシステムの性能監視に積極的な役割を果たし、その結果をAI開発者や研究者と共有することで、モデルの挙動と現実世界の結果との関係をよりよく理解することを奨励している。
Civil society, including universities, research institutions, and consumer advocates engaged on issues of AI safety and security, are critical to measuring and improving the impact of AI on individuals and communities. The Framework encourages civil society’s continued engagement on standards development alongside government and industry, as well as research on AI evaluations that considers critical infrastructure use cases. The Framework envisions an active role for civil society in informing the values and safeguards that will shape AI system development and deployment in essential services. ・大学、研究機構、AIの安全・安心の問題に携わる消費者擁護団体を含む市民社会は、AIが個人や地域社会に与える影響を測定し、改善する上で極めて重要である。ガバナンスは、政府や産業界とともに標準開発に市民社会が継続的に関与することを奨励するとともに、重要インフラのユースケースを考慮したAIの評価に関する研究を奨励する。枠組みは、AIシステムの開発と重要なサービスにおける展開を形作る価値観とセーフガードに情報を提供する上で、市民社会が積極的な役割を果たすことを想定している。
Public sector entities, including federal, state, local, tribal, and territorial governments, are essential to the responsible adoption of AI in critical infrastructure, from supporting the use of this technology to improve public services to advancing standards of practice for AI safety and security through statutory and regulatory action. The United States is a world leader in AI; accordingly, the Framework encourages continued cooperation between the federal government and international partners to protect all global citizens, as well as collaboration across all levels of government to fund and support efforts to advance foundational research on AI safety and security. ・連邦政府、州政府、地方政府、部族政府、準州政府を含む公的事業体は、公共サービスを改善するためにこの技術を利用することを支援することから、法的措置や規制措置を通じてAIの安全性とセキュリティの実践基準を推進することまで、重要インフラにおけるAIの責任ある導入に不可欠である。米国はAIの世界的リーダーである。したがって、このガバナンスは、すべての地球市民を保護するために連邦政府と国際的パートナーとの継続的な協力を奨励するとともに、AIの安全性とセキュリティに関する基礎研究を推進するための取り組みに資金を提供し、支援するために、あらゆるレベルの政府間で協力することを奨励している。
President Biden directed Secretary Mayorkas to establish the Board to advise the Secretary, the critical infrastructure community, other private sector stakeholders, and the broader public on the safe and secure development and deployment of AI technology in our nation’s critical infrastructure. Secretary Mayorkas convened the Board for the first time in May 2024, and Board Members identified a number of issues impacting the safe use and deployment of this technology, including: the lack of common approaches for the deployment of AI, physical security flaws, and a reluctance to share information within industries. バイデン大統領は、マヨルカス長官に対し、わが国の重要インフラにおけるAI技術の安全・安心な開発・展開について、長官、重要インフラ・コミュニティ、その他の民間セクターの利害関係者、およびより広範な国民に助言を与えるため、委員会を設置するよう指示した。マヨルカス長官は2024年5月に初めて理事会を招集し、理事会メンバーは、AIの展開に関する共通のアプローチの欠如、物理的セキュリティの欠陥、業界内での情報共有への消極性など、この技術の安全な使用と展開に影響を与える多くの問題を特定した。
The Framework is designed to help address these concerns and complements and advances existing guidance and analysis from the White House, the AI Safety Institute, the Cybersecurity and Infrastructure Security Agency, and other federal partners. この枠組みは、こうした懸念に対処するためのもので、ホワイトハウス、AI安全研究所、サイバーセキュリティ・インフラセキュリティ庁、その他の連邦政府パートナーによる既存のガイダンスや分析を補完し、前進させるものである。
“Ensuring the safe, secure, and trustworthy development and use of AI is vital to the future of American innovation and critical to our national security. This new Framework will complement the work we’re doing at the Department of Commerce to help ensure AI is responsibly deployed across our critical infrastructure to help protect our fellow Americans and secure the future of the American economy.” – Secretary of Commerce, Gina Raimondo 「AIの安全、安心、信頼できる開発と利用を確保することは、米国のイノベーションの将来にとって不可欠であり、国家安全保障にとっても重要である。この新しい枠組みは、AIが我々の重要なインフラに責任を持って展開され、同胞である米国人を守り、米国経済の未来を確保するのを助けるために、我々が商務省で行っている作業を補完するものである。」 - ジーナ・ライモンド商務長官
“The Framework correctly identifies that AI systems may present both opportunities and challenges for critical infrastructure. Its developer-focused provisions highlight the importance of evaluating model capabilities, performing security testing, and building secure internal systems. These are key areas for continued analysis and discussion as our understanding of AI capabilities and their implications for critical infrastructure continues to evolve.” – Dario Amodei, CEO and Co-Founder, Anthropic 「枠組みは、AIシステムが重要インフラに機会と課題の両方をもたらす可能性があることを正しく認識している。開発者に焦点を当てたこの条項は、モデル能力の評価、セキュリティテストの実施、安全な内部システムの構築の重要性を強調している。これらは、AIの能力と重要インフラへの影響に関する我々の理解が進化し続ける中で、分析と議論を続けるべき重要な分野である。」 - ダリオ・アモデイ、アンソロピックCEO兼共同創設者
“I would like to thank the Board for their leadership in developing this important Framework and appreciate the opportunity to provide input that reflects critical infrastructure needs. AI holds the promise to create significant opportunities for our world, but we must ensure the technology is deployed thoughtfully and responsibly. The Framework, developed through countless hours of collaboration and negotiation, provides a foundation for how business, government, and all segments of our society can work together to enhance accountability, integration, and cooperation. I’m looking forward to continued work with our partners in this effort.” – Ed Bastian, CEO, Delta Air Lines 「この重要な枠組みの策定における理事会のリーダーシップに感謝するとともに、重要インフラのニーズを反映した意見を提供する機会に感謝したい。AIは我々の世界に大きなチャンスをもたらすと期待されているが、我々はこの技術が思慮深く責任を持って展開されることを保証しなければならない。この枠組みは、数え切れないほどの協力と交渉を経て策定されたものであり、企業、政府、そして社会のあらゆる部門が、説明責任、統合、協力を強化するためにどのように協力できるかの基盤を提供するものである。この取り組みにおけるパートナーとの継続的な協力を楽しみにしている。- エド・バスティアン、デルタ航空CEO
“The AI Roles and Responsibilities Framework promotes collaboration among all key stakeholders with a goal of establishing clear guidelines that prioritize trust, transparency and accountability — all essential elements in harnessing AI's enormous potential for innovation while safeguarding critical services. Salesforce is committed to humans and AI working together to advance critical infrastructure industries in the U.S. We support this framework as a vital step toward shaping the future of AI in a safe and sustainable manner.” – Marc Benioff, Chair and CEO, Salesforce 「AI Roles and Responsibilities Frameworkは、信頼性、透明性、説明責任を最優先とする明確なガイドラインを確立することを目標に、すべての主要なステークホルダー間の協力を促進する。セールスフォースは、人間とAIが協力して米国の重要なインフラ産業を発展させることを約束する。"我々は、安全で持続可能な方法でAIの未来を形作るための重要なステップとして、この枠組みを支持する。- マーク・ベニオフ、セールスフォース会長兼CEO
“Humane Intelligence fully endorses the ‘Roles and Responsibilities Framework for Artificial Intelligence in Critical Infrastructure,’ developed by the AI Safety and Security Board. This comprehensive framework offers essential guidance for the responsible and secure use of AI across the United States. As an organization dedicated to advancing safe and ethical AI practices, we believe the voluntary responsibilities outlined are crucial steps toward enhancing the safety, security, and trustworthiness of AI systems. By addressing five key roles – cloud and compute infrastructure providers, AI developers, critical infrastructure owners and operators, civil society, and the public sector – the Framework thoughtfully recognizes the diverse stakeholders involved in safeguarding our nation’s critical infrastructure. The emphasis on securing environments, driving responsible model and system design, implementing data governance, ensuring safe and secure deployment, and monitoring performance and impact aligns closely with our mission. We commend the AI Safety and Security Board for providing clear technical and process recommendations that will help ensure AI systems not only function effectively but also serve the public good in a safe and ethical manner. Humane Intelligence is committed to supporting these principles and will continue working with partners across sectors to promote the responsible development and deployment of AI in critical infrastructure.” – Dr. Rumman Chowdhury, CEO & Co-founder, Humane Intelligence ヒューメイン・インテリジェンスは、AI安全・セキュリティ委員会が策定した『重要インフラにおける人工知能の役割と責任の枠組み』を全面的に支持する。この包括的な枠組みは、米国全体で責任を持って安全にAIを利用するための重要な指針を提供するものである。安全で倫理的なAIの実践を推進する組織として、我々は、概説された自主的責任は、AIシステムの安全性、セキュリティ、信頼性を強化するための重要なステップであると考えている。クラウドおよび計算インフラプロバイダー、AI開発者、重要インフラ所有者および運営者、市民社会、公共部門という5つの重要な役割を取り上げることで、枠組みは、わが国の重要インフラの保護に関わる多様な利害関係者を思慮深く認識している。環境の安全確保、責任あるモデルとシステム設計の推進、データガバナンスの実施、安全でセキュアな展開の確保、パフォーマンスと影響のモニタリングに重点を置いている点は、我々のミッションと密接に合致している。我々は、AIシステムが効果的に機能するだけでなく、安全で倫理的な方法で公共の利益に貢献することを保証するのに役立つ、明確な技術的およびプロセス的勧告を提供するAI安全・セキュリティ委員会を賞賛する。ヒューメイン・インテリジェンスは、これらの原則を支持し、重要インフラにおけるAIの責任ある開発と展開を促進するため、セクターを超えたパートナーとの協力を続けていく。- ヒューメイン・インテリジェンス、CEO兼共同設立者、ラムマン・チョードリー博士
“This Framework recognizes that proper governance of AI in the critical infrastructure ecosystem is a multistakeholder endeavor. If companies, governments, and NGOs embrace the voluntary roles and responsibilities this Framework envisions, deployment of AI in critical infrastructure is more likely to protect security, privacy, civil rights, and civil liberties than would otherwise be the case.” – Alexandra Reeve Givens, President and CEO, Center for Democracy & Technology 「この枠組みは、重要インフラのエコシステムにおけるAIの適切なガバナンスが、マルチステークホルダーによる取り組みであることを認識している。企業、政府、NGOがこの枠組みが想定する自主的な役割と責任を受け入れれば、重要インフラにおけるAIの展開は、そうでない場合よりも、セキュリティ、プライバシー、市民権、市民的自由を保護する可能性が高くなる。」 - アレクサンドラ・リーブ・ギブンズ、民主主義とテクノロジーセンター社長兼CEO
“Artificial intelligence has incredible potential to create efficiencies and innovations, and this Framework takes a thoughtful approach to balancing those opportunities with the risks and challenges it creates. Partnership and collaboration between the public and private sectors will be critical as we work to incorporate these advances into infrastructure and services while also taking steps to mitigate potential harm. This Framework represents an important step towards fostering accountability, safety, and security while embracing this technology and the future.” – Bruce Harrell, Mayor of Seattle 「人工知能は、効率性とイノベーションを生み出す素晴らしい可能性を秘めており、この枠組みは、そうした機会と、人工知能が生み出すリスクや課題とのバランスをとるための思慮深いアプローチをとっている。このような進歩をインフラやサービスに取り入れる一方で、潜在的な弊害を軽減するための措置を講じるには、官民のパートナーシップと協力が不可欠だ。この枠組みは、このテクノロジーと未来を受け入れながら、説明責任、安全性、セキュリティの育成に向けた重要な一歩となる。」 - ブルース・ハレル シアトル市長
“We are pleased that the Roles and Responsibilities Framework prioritizes civil rights to ensure the equitable deployment of AI. The Framework reflects an understanding that in order for our nation’s critical infrastructure to be best protected, AI must first be safe and effective. That starts with ensuring that all applications of AI both defend and promote equal opportunity. The DHS Framework makes significant progress toward meeting those goals.” – Damon Hewitt, President and Executive Director, Lawyers’ Committee for Civil Rights Under Law 「役割と責任の枠組みが、AIの公平な展開を確保するために市民の権利を優先していることを喜ばしく思う。この枠組みは、わが国の重要インフラを最大限に保護するためには、AIがまず安全で効果的でなければならないという理解を反映している。そのためには、AIのすべての応用が機会均等を守り、促進することを保証することから始まる。DHSの枠組みは、これらの目標達成に向けて大きく前進している。- デイモン・ヒューイット、法の下の市民権弁護士委員会会長兼事務局長
“We are proud to be part of the U.S. Department of Homeland Security’s AI Safety and Security Board to develop a Framework that will help encourage the responsible use of AI in the energy industry while ensuring critical infrastructure is protected from cyber threats. With our companywide focus on safety, resilience, and driving innovation, we plan to adopt the Framework in the relevant aspects of our business to promote the further integration of advanced AI technologies in support of sustainable energy development.” – Vicki Hollub, President and CEO, Occidental Petroleum 「重要インフラをサイバー脅威から確実に保護しつつ、エネルギー産業におけるAIの責任ある利用を促進する枠組みを開発するために、米国国土安全保障省のAI安全・セキュリティ委員会に参加できることを誇りに思う。当社は全社的に安全性、レジリエンス、イノベーションの推進に重点を置いており、持続可能なエネルギー開発を支援する先進的なAI技術のさらなる統合を促進するため、当社の事業に関連する局面でこの枠組みを採用する予定である。」 - オクシデンタル・ペトロリアム社長兼CEO ヴィッキー・ホルブ氏
“As we move into the AI era, our foremost responsibility is ensuring these technologies are safe and beneficial. The DHS AI Framework provides guiding principles that will help us safeguard society, and we support this effort.” – Jensen Huang, Founder and CEO, NVIDIA 「AI時代に突入するにあたり、我々の最大の責任は、これらの技術が安全で有益なものであることを保証することである。DHSのAI枠組みは、社会を守るための指針を提供しており、我々はこの取り組みを支持する。- ジェンセン・フアン、エヌビディア創業者兼CEO
“The DHS Roles and Responsibilities Framework for Artificial Intelligence in Critical Infrastructure is a powerful tool to help guide the responsible deployment of AI across America’s critical infrastructure and IBM is proud to support its development. We look forward to continuing to work with the Department to promote shared and individual responsibilities in the advancement of trusted AI systems.” – Arvind Krishna, Chairman and CEO, IBM 「DHS Roles and Responsibilities Framework for Artificial Intelligence in Critical Infrastructure(重要インフラにおける人工知能の役割と責任に関するDHS枠組み)は、米国の重要インフラ全体におけるAIの責任ある展開を導くための強力なツールであり、IBMはその開発を支援できることを誇りに思う。信頼できるAIシステムの発展における責任の共有と個人の責任を促進するため、引き続き同省と協力していくことを楽しみにしている。」 - アーヴィンド・クリシュナ IBM会長兼CEO
“Academia and civil society are vital to deploying AI in critical infrastructure safely. This is a crucial, nonpartisan issue with profound impacts on the nation’s well-being. This Framework reaffirms the commitment to security, transparency, and public trust. Through rigorous research and cross-sector collaboration, we can help create a resilient AI ecosystem that prioritizes the public good.” – Fei-Fei Li, Ph.D., Co-Director, Stanford Human-centered Artificial Intelligence Institute 「重要インフラにAIを安全に展開するためには、学界と市民社会が不可欠である。これは、国家の幸福に重大な影響を与える極めて重要で、超党派の問題である。この枠組みは、安全性、透明性、国民の信頼に対するコミットメントを再確認するものだ。厳密な調査と分野横断的な協力を通じて、我々は公益を優先したレジリエンスAIエコシステムの構築を支援することができる。」 - フェイフェイ・リー博士、スタンフォード人間中心人工知能機構共同ディレクター
“Artificial Intelligence technology is already here. The only question is whether we choose to be proactive or reactive when it comes to leveraging the benefits of AI and guarding against vulnerabilities. I applaud the Biden-Harris Administration and the work of the U.S. Department of Homeland Security’s AI Safety and Security Board for their commitment to seizing this moment and putting forth a responsible Framework that will benefit the American people. In partnership, Maryland will continue to work with federal leaders to unlock the power of innovation so we can deliver real results for our communities.” – Wes Moore, Governor of Maryland 「人工知能技術はすでにここにある。唯一の問題は、AIの利点を活用し、脆弱性から身を守ることに関して、私たちが積極的であるか消極的であるかの選択である。バイデン=ハリス政権と国土安全保障省のAI安全保障委員会の、この瞬間を捉え、米国民に利益をもたらす責任ある枠組みを打ち出そうとする姿勢に拍手を送りたい。メリーランド州は、今後も連邦政府の指導者たちと協力し、イノベーションの力を引き出し、地域社会に真の成果をもたらすことができるよう努力していく。- ウェス・ムーア メリーランド州知事
“Technology must be built on a foundation of integrity at the highest levels, and DHS’s Roles and Responsibilities Framework for Artificial Intelligence in Critical Infrastructure will ensure the public and private sectors work closely together to enable AI solutions that are secure, reliable, and trustworthy. As a leader in networking and security that will connect and protect the responsible AI revolution, Cisco is proud to have contributed to the Framework alongside important government, industry, and civil society partners. We look forward to supporting the efforts by Secretary Mayorkas and the Department of Homeland Security.” – Chuck Robbins, Chair and CEO, Cisco; Chair, Business Roundtable DHSの『重要インフラにおける人工知能のワーク・責任枠組み』は、官民が緊密に協力し、安全で信頼できるAIソリューションを実現することを保証するものだ。責任あるAI革命をつなぎ、保護するネットワーキングとセキュリティのリーダーとして、シスコは政府、産業界、市民社会の重要なパートナーとともに枠組みに貢献できたことを誇りに思う。マヨルカス長官と国土安全保障省による取り組みを支援することを楽しみにしている。」 - チャック・ロビンス、シスコ会長兼CEO、ビジネス・ラウンドテーブル議長
“The collaboration between government, industry, and civil society organizations proved beneficial in establishing the DHS 'Roles and Responsibilities Framework for AI in Critical Infrastructure' to protect the nation's assets. The Framework lays out principles for safe and secure AI that averts anticipated and unforeseen risks, and places equal importance on the preservation of civil and human rights for the people and communities impacted by emerging technologies. The Board's intention to harmonize these goals is a promising first step in the future application and adherence to the Framework.” – Nicol Turner Lee, Ph.D., Senior Fellow and Director of the Center for Technology Innovation, Brookings Institution 政府、産業界、市民社会組織の協力は、国家の資産を保護するためのDHS「重要インフラにおけるAIの役割と防御枠組み」の設立に有益であることが証明された。この枠組みは、予期されるリスクと予期されないリスクを回避する安全でセキュアなAIの原則を示し、新興技術の影響を受ける人々や地域社会の市民権や人権の保護にも同等の重要性を置いている。これらの目標を調和させるという理事会の意図は、将来的な枠組みの適用と遵守における有望な第一歩である。」 - ニコル・ターナー・リー博士、ブルッキングス研究所シニアフェロー兼技術革新センター所長
“The use of AI in critical infrastructure merits strong measures to prevent harm and ensure everyone has equal access to information, goods, and services. DHS’s outlining of stakeholders’ roles and responsibilities is an important first step to protecting everyone in the U.S. from discrimination in the deployment of AI systems in our nation’s infrastructure.” – Maya Wiley, President and CEO, The Leadership Conference on Civil and Human Rights 「重要インフラにおけるAIの利用には、危害を防止し、誰もが情報、商品、サービスに平等にアクセスできるようにするための強力な対策が必要だ。DHSが関係者の役割と責任を明らかにしたことは、米国のインフラにおけるAIシステムの展開において、米国内のすべての人を識別的なものから守るための重要な第一歩である。」 - マヤ・ワイリー、市民と人権に関するリーダーシップ会議会長兼CEO
DHS is responsible for the overall security and resilience of the nation’s critical infrastructure, which hundreds of millions of Americans rely on every day to light their homes, conduct business, exchange information, and put food on the table. In the 2025 Homeland Threat Assessment, the Department advised that domestic and foreign adversaries will continue to threaten the integrity of our nation’s critical infrastructure due to the cascading impacts on U.S. industries and our standard of living. These threats range from, but are not limited to, the use of AI to span or scale physical attacks; targeted attacks on AI systems supporting critical infrastructure; and failures in AI design and implementation that affect critical infrastructure operations. DHSは、何億人もの米国人が毎日、家の明かりを灯し、ビジネスを行い、情報を交換し、食卓に食べ物を並べるために依存している、国家の重要インフラの全体的なセキュリティとレジリエンスに責任を負っている。2025年国土安全保障脅威アセスメントにおいて、国土安全保障省は、国内外の敵対勢力は、米国の産業と我々の生活水準に連鎖的な影響を与えるため、わが国の重要インフラの完全性を脅かし続けるだろうと助言した。これらの脅威は、物理的な攻撃にAIを利用すること、重要インフラをサポートするAIシステムに対する標的型攻撃、重要インフラの運用に影響を与えるAIの設計と実装の失敗など多岐にわたるが、これらに限定されるものではない。
To learn more about the Framework or the ways DHS is safely and responsibly leveraging AI to protect the homeland, visit the Artificial Intelligence at DHS webpage. 枠組みや、DHSが安全かつ責任を持って国土防衛にAIを活用する方法の詳細については、「DHSにおける人工知能」のウェブページを参照されたい。

 

 

・2024.11.14 Roles and Responsibilities Framework for Artificial Intelligence in Critical Infrastructure

Roles and Responsibilities Framework for Artificial Intelligence in Critical Infrastructure 重要インフラにおける人工知能の役割と責任の枠組み
On November 14, 2024 DHS released the “Roles and Responsibilities Framework for Artificial Intelligence in Critical Infrastructure” (“Framework”). This first-of-its kind collaboration with industry and civil society recommends new guidance to advance the responsible use of AI in America’s critical infrastructure. 2024年11月14日、DHSは「重要インフラにおける人工知能の役割と責任枠組み」(以下「枠組み」)を発表した。産業界や市民社会との初のコラボレーションであるこの枠組みは、米国の重要インフラにおけるAIの責任ある利用を促進するための新たな指針を提言している。
The recommendations were developed by and for entities at each layer of the AI supply chain: cloud and computer providers, AI developers, and critical infrastructure owners and operators – as well as the civil society and public sector entities that protect and advocate for consumers.   この提言は、クラウドやコンピュータのプロバイダ、AI開発者、重要インフラの所有者や運営者といったAIのサプライチェーンの各層にいる事業体、ならびに消費者を保護し擁護する市民社会や公共部門の事業体によって、また事業体のために作成された。 
This product is the culmination of considerable dialogue and debate among the Artificial Intelligence Safety and Security Board (the Board), a public-private advisory committee established by DHS Secretary Alejandro N. Mayorkas, who identified the need for clear guidance on how each layer of the AI supply chain can do their part to ensure that AI is deployed safely and securely in U.S. critical infrastructure. The report complements other work carried out by the Administration on AI safety, such as the guidance from the AI Safety Institute, on managing a wide range of misuse and accident risks.   この報告書は、米国国土安全保障省(DHS)のアレハンドロ・N・マヨルカス長官が設置した官民諮問委員会「人工知能安全・セキュリティ委員会(Artificial Intelligence Safety and Security Board、以下、委員会)」において、AIが米国の重要インフラに安全かつ確実に展開されるためには、AIサプライチェーンの各層がどのように役割を果たせばよいのかについて明確な指針が必要であるとの認識から、多くの対話と議論を経て作成された。この報告書は、幅広い誤用や事故のリスクマネジメントに関するAI安全研究所からのガイダンスなど、AIの安全性に関して機構が実施した他の作業を補完するものである。
 Roles and Responsibilities Framework for Artificial Intelligence in Critical Infrastructure 重要インフラにおける人工知能の役割と責任の枠組み

 

 

・[PDF] Roles and Responsibilities Framework for Artificial Intelligence in Critical Infrastructure

20241121-61510

 

・[DOCX][PDF] 仮訳

 

 

 

 

 

 

 

 

| | Comments (0)

2024.11.20

世界経済フォーラム (WEF) サイバー犯罪ネットワークを破壊する: 協働の枠組み

こんにちは、丸山満彦です。

世界経済フォーラム (WEF) が、「サイバー犯罪ネットワークを破壊する: 協働の枠組み」を公表していますね...

サイバー犯罪はグローバルに行われる場合が多いので、それぞれの国家の捜査機関間の連携が重要になると思います。

それを促進するためには、どのようなインセンティブが必要かなど、考えることがよいのではと思います。

 

World Economic Forum

・2024.11.11 Disrupting Cybercrime Networks: A Collaboration Framework

Disrupting Cybercrime Networks: A Collaboration Framework サイバー犯罪ネットワークを破壊する: 協働の枠組み
Collaborations between industry experts and the public sector are disrupting cybercrime. This white paper, developed by the World Economic Forum’s Partnership against Cybercrime, explores how to build on the success of existing partnerships to accelerate the disruption of cybercriminal activities. It looks at leading operational collaborations against cybercrime worldwide, identifying the common traits of effective partnerships and the hurdles they encounter. 業界の専門家と公共セクターの協働がサイバー犯罪を破壊している。世界経済フォーラムの「サイバー犯罪に対抗するパートナーシップ」によって作成されたこの白書は、サイバー犯罪活動の破壊を加速させるために、既存のパートナーシップの成功をどのように構築するかを探求している。本書では、サイバー犯罪に対抗するために世界各地で行われている主導的な業務協力について考察し、効果的なパートナーシップに共通する特徴と、それらが直面するハードルを明らかにしている。
Collaborations between industry experts and the public sector are disrupting cybercrime. This white paper, developed by the World Economic Forum’s Partnership against Cybercrime, explores how to build on the success of existing partnerships to accelerate the disruption of cybercriminal activities. It looks at leading operational collaborations against cybercrime worldwide, identifying the common traits of effective partnerships and the hurdles they encounter. 産業界の専門家と公共部門との協働は、サイバー犯罪を破壊している。世界経済フォーラムの「サイバー犯罪に対抗するパートナーシップ」によって作成された本白書は、既存のパートナーシップの成功に基づき、サイバー犯罪活動の破壊を加速させる方法を探るものである。本書は、サイバー犯罪に対抗する世界各地の主要な業務提携に注目し、効果的なパートナーシップに共通する特徴と、それらが遭遇するハードルを特定している。
Outlining the “why” and “how” of operational collaborations, this paper highlights three main pillars of collaboration: incentives for organizations to collaborate, elements of a good governance structure, and resources required to set up, maintain and accelerate partnerships. This framework is the starting point for new anti-cybercrime operational collaborations that can strengthen the defences of the stakeholders involved and increase the costs for cybercriminals. 本稿では、業務協働の「理由」と「方法」を概説し、協働の3つの主要な柱、すなわち、組織が提携するインセンティブ、優れたガバナンス構造の要素、提携を立ち上げ、維持し、加速させるために必要なリソースを強調している。このフレームワークは、関係者の防御を強化し、サイバー犯罪者のコストを増加させることができる、新たなサイバー犯罪対策の運用協力の出発点となる。

 

 

・[PDF]

20241120-03454

 

 目次...

Executive summary エグゼクティブサマリー
1 Collaborating to disrupt cybercrime 1 サイバー犯罪を阻止するための協力
2 A roadmap for collaboration 2 協力のためのロードマップ
2.1 Incentives 2.1 インセンティブ
2.2 Organizational structures and governance 2.2 組織構造とガバナンス
2.3 Resources 2.3 リソース
Conclusion おわりに
Appendix: Methodology 附属書 方法論
Contributors 貢献者
Endnotes 巻末資料

 

エグゼクティブサマリー...

Executive summary エグゼクティブ・サマリー
Collaborations between industry experts and the public sector are disrupting cybercriminals. Here’s how this can be scaled up and accelerated. 業界の専門家と公共部門との協働は、サイバー犯罪者を混乱に陥れている。これをどのように拡大し、加速させることができるかを紹介する。
The internet allows criminals to operate seamlessly across borders, accessing a marketplace of victims anywhere, anytime and at scale. Cybercrime has expanded for the same reasons that drove the mega growth of legal online businesses. インターネットは、犯罪者が国境を越えてシームレスに活動し、いつでもどこでも大規模に被害者の市場にアクセスすることを可能にしている。サイバー犯罪が拡大したのは、合法的なオンライン・ビジネスが急成長したのと同じ理由からである。
At the same time, criminals copy what they see in the legal markets. Think about the advent of subscription model “software-as-a-service” offerings that give businesses access to user-friendly products ranging from video calls to project management and customer service tools. Equally, criminals have their own “cybercrime-as-a-service”1 business model where experienced cybercriminals sell accessible tools and knowledge to help others carry out cybercrimes. This brings more criminals into the cybercrime market by lowering the cost and level of skill needed to be an effective online fraudster and deliver ransomware attacks that can bankrupt businesses2 and destroy livelihoods. 同時に、犯罪者は合法的な市場を模倣している。ビデオ通話からプロジェクト管理、顧客サービス・ツールに至るまで、使いやすい製品をビジネスに提供するサブスクリプション・モデルの「SaaS(Software-as-a-Service)」の登場を考えてみよう。同様に、犯罪者たちは、経験豊富なサイバー犯罪者たちが、アクセス可能なツールや知識を販売し、他の犯罪者たちのサイバー犯罪を手助けするという、独自の「サイバー犯罪をサービス化する」1ビジネスモデルを持っている。これにより、効果的なオンライン詐欺師となり、企業を倒産させ2、生活を破壊する可能性のあるランサムウェア攻撃を提供するために必要なコストと技術レベルを下げることで、より多くの犯罪者がサイバー犯罪市場に参入している。
The Global Anti-Scam Alliance estimated that 25.5% of the world’s population were impacted by cyber-enabled fraud in 2023.3 The profits this generates for criminals have a wider impact than the immediate victims. In 2023, the United Nations reported that at least 220,000 people had been trafficked in South-East Asia, some from as far away as Africa and Latin America, and forced to run online scams.4  Global Anti-Scam Allianceは、2023年には世界人口の25.5%がサイバー詐欺の被害を受けると推定している3。国連は2023年、少なくとも22万人が東南アジアで人身売買され、中にはアフリカやラテンアメリカから来た人もいると報告している4
The convergence of cybercrime and violent organized crime has also led to a cultural shift, with the new entrants to the cybercrime market less concerned about causing physical harm at scale. For example, in June 2024, a ransomware attack on a blood-test provider prompted the United Kingdom’s National Health Service to make an urgent call for blood donations5 and rearrange more than 800 planned operations after they lost the service’s ability to match patients’ blood.6 サイバー犯罪と暴力的組織犯罪の融合は、文化的な変化ももたらしている。サイバー犯罪市場への新規参入者は、大規模な物理的危害を与えることにあまり関心がない。例えば、2024年6月、血液検査プロバイダに対するランサムウェア攻撃により、イギリスの国民保健サービス(National Health Service)は献血の緊急呼びかけを行い5、患者の血液を照合する機能を失ったため、予定されていた800件以上の手術を変更した6
New ground being broken in the fight against cybercriminals サイバー犯罪者との闘いにおける新境地
Often, responses to cybercrime have been fragmented. Existing knowledge of cybercriminal activity, while often deep, has been split across different companies and public agencies. But there are an increasing number of examples where these limitations are overcome. In 2024, law enforcement in Thailand and the Philippines successfully rescued hundreds of people from forced labour in cyberscam farms and worked with the private sector to recover criminal profits. In West Africa and Latin America, operations supported by INTERPOL have led to coordinated arrests.7 In Europe and North America, collaborations between industry and law enforcement8 have led to unprecedented success in the disruption of cybercriminals’ technical infrastructure,9 creating new levels of risk for cybercrime service providers and the criminals who use them.  多くの場合、サイバー犯罪への対応は断片的であった。サイバー犯罪の活動に関する既存の知識は、深いものであることが多いが、さまざまな企業や公的機関に分散していた。しかし、こうした限界を克服する例も増えている。2024年、タイとフィリピンの法執行機関は、サイバー詐欺農場での強制労働から数百人を救い出し、民間部門と協力して犯罪利益を回収することに成功した。西アフリカとラテンアメリカでは、国際刑事警察機構(INTERPOL)が支援する活動によって、組織的な逮捕が行われている7。ヨーロッパと北米では、産業界と法執行機関8の協働によって、サイバー犯罪者の技術インフラの破壊に前例のない成功がもたらされ9、サイバー犯罪サービス・プロバイダとそれを利用する犯罪者に新たなレベルのリスクをもたらしている。
The expanding list of successful disruptions is heartening and the result of several years of hard work and good-faith partnerships between industry and the public sector. The aim is to have a systematic disruptive impact on cybercrime and the path towards it is clear. It is also clear that industry partnerships, as well as collaborations between industry and the public sector, will be a driving force in making the internet a hostile environment for cybercriminals. 破壊工作の成功事例が拡大していることは喜ばしいことであり、産業界と公共部門の数年にわたる努力と誠意あるパートナーシップの成果である。目的はサイバー犯罪に組織的な破壊的影響を与えることであり、そのための道筋は明確である。また、サイバー犯罪者にとってインターネットを敵対的な環境にするためには、産業界のパートナーシップや産業界と公共部門の協力が原動力となることも明らかである。
Operational collaboration framework 運用協力の枠組み
This white paper, developed by the World Economic Forum’s Partnership against Cybercrime community, asks how to build on the success of the anti-cybercrime partnerships that already exist. It identifies some of the leading operational collaborations to counter cybercriminal networks and infrastructure and draws on the expertise of the Partnership against Cybercrime community to identify common characteristics of successful partnerships and the challenges they face. It then provides recommendations for setting up, maintaining and accelerating the success of anti-cybercrime partnerships. This is the starting point for a framework for anti-cybercrime operational collaborations. 世界経済フォーラムの「サイバー犯罪に対抗するパートナーシップ」コミュニティによって作成されたこの白書は、すでに存在するサイバー犯罪対策パートナーシップの成功をどのように構築するかを問うものである。この白書は、サイバー犯罪のネットワークやインフラに対抗するための主要な作戦上の協働関係をいくつか特定し、サイバー犯罪に対抗するパートナーシップ・コミュニティの専門知識を活用して、成功したパートナーシップに共通する特徴や直面する課題を明らかにしている。そして、サイバー犯罪対策パートナーシップを構築し、維持し、成功を加速させるための推奨事項を提示している。これは、サイバー犯罪対策における業務協働の枠組みの出発点となるものである。

 

 

1. Collaborating to disrupt cybercrime 1. 協働してサイバー犯罪を阻止する
Understanding the “why” and “how” of operational collaboration. 作戦協働の「理由」と「方法」を理解する。
Successful operational collaborations to counter cybercrime incentivize participants’ alignment around a shared mission and over time. These partnerships have organizational processes and governance adapted to the requirements of their activities, and show an ability to reassess and restructure how they collaborate as needs change. Importantly, these collaborations understand how to link technology and skilled cybercrime professionals with legal and policy experts. サイバー犯罪に対抗するための作戦協働が成功している場合、参加者は共通の使命のもと、長期にわたって連携することになる。このようなパートナーシップは、活動の要件に適合した組織プロセスとガバナンスを有しており、ニーズの変化に応じて協働の方法を見直し、再構築する能力を示している。重要なことは、こうした輸入事業者は、テクノロジーや熟練したサイバー犯罪の専門家と、法律や政策の専門家をどのように結びつけるかを理解していることである。
FIGURE 1 Operational collaboration: Three main pillars 図1 業務上の連携: 3つの柱
20241120-64234
Incentives for collaboration 協働のインセンティブ
Successful operational collaborations to counter cybercrime demonstrate: サイバー犯罪に対抗するための業務協働が成功している場合、以下のことが実証される:
– A clear mission: This provides participants with an ongoing justification for joining and remaining part of the collaboration. ・明確な使命: これにより参加者は、協働に参加し、協働の一員であり続けることを継続的に正当化できる。
– Impact: Frequent feedback to individuals, participating organizations and external stakeholders shows how their input to a collaboration has created impact. ・インパクト: 個人、参加組織、外部の利害関係者に頻繁にフィードバックすることで協働へのインプットがどのようなインパクトをもたらしたかを示す。
– Peer-to-peer learning: Successful operational collaborations are sites of ongoing learning for the experts engaged in operations. They also provide skills, information and assessments that help participating organizations to improve their internal cybersecurity capacity. Formal training programmes also support the creation of communities of trust that help maintain the collaboration over time. ・ピアツーピアの学習: 成功した業務提携は、業務に携わる専門家にとって継続的な学習の場となる。また、参加組織が内部のサイバーセキュリティ能力を改善するのに役立つスキル、情報、アセスメントも提供される。また、正式な研修プログラムは、長期にわたって協働体制を維持するのに役立つ信頼関係のコミュニティの形成を支援する。
– Public recognition: Support can be used to show that an organization is using its capabilities to support society by reducing criminal harms. This reputational support provides an additional business incentive to engage. ・社会的認知: 支援は、犯罪被害を減らすことで社会を支援するために組織がその能力を活用していることを示すために利用できる。このような風評上の支援は、業務に関与するさらなるビジネス・イン センティブとなる。
– Cyber-resilience as a value creator: Information obtained from a collaboration can be used to improve cyber defences and postattack recovery. ・価値創造としてのサイバーレジリエンス: 協働から得られた情報は、サイバー防御や攻撃後の復旧の改善に利用することができる。
Organization and governance 組織とガバナンス
– Flexible governance frameworks: The governance structure of the collaboration is designed to support stringent control over sensitive areas such as data management and use, through legal contracts, where necessary. At the same time, there is flexibility in how experts from sometimes vastly different types of organizations interact and proceed with an operation. Operational interaction is often governed by standard operating procedures and codes of conduct that are developed by the expert community itself. ・柔軟なガバナンスの枠組み: 協働のガバナンス構造は、必要に応じて法的な契約を通じて、データの管理や使用など機密性の高い分野に対する厳格な管理をサポートするように設計されている。同時に、時には大きく異なるタイプの組織から集まった専門家が、どのように相互作用し、作戦を進めるかについても柔軟性がある。活動の相互作用は、専門家集団自身が策定した標準作業手順や行動規範によってガバナンスされることが多い。
– Membership capability assessments: Participants in a collaboration are sought based on the capabilities they bring. Participants understand what they are obliged to provide to the collaboration in order to retain membership. The collaboration has ways of measuring engagement and the value provided by each member. ・参加者の能力アセスメント: 協働の参加者は、彼らがもたらす能力に基づいて求められる。参加者は、メンバーシップを維持するために協 力に何を提供する義務があるかを理解している。協働は、エンゲージメントと各メンバーが提供する価値を測定する方法を有する。
Resources and expertise リソースと専門知識
– Technology and people are interlinked: The success of technology and IT platforms is dependent on having the technical, legal and operational expertise to use them. ・テクノロジーと人材は相互に関連している: テクノロジーとITプラットフォームの成功は、それらを使用するための技術的、法的、運用的専門知識の有無にかかっている。
– Taxonomies and data normalization: There is strength in the diversity of skills created by a cross-industry or public-private partnership but there can also be confusion. Taxonomies create a common language that facilitates clear communication across participants. By aligning on definitions of cybercriminal activity, taxonomies enable faster identification and categorization of threats, which in turn supports an effective operational response. ・タクソノミとデータの正規化 異業種連携や官民連携によって生み出されるスキルの多様性には強みがあるが、混乱も起こりうる。分類法は、参加者間の明確なコミュニケーションを促進する共通言語を生み出す。サイバー犯罪活動の定義を一致させることで、タクソノミは脅威の迅速な特定と分類を可能にし、ひいては効果的な運用対応を支援する。
– Data management and information security: Ensuring that information is securely stored, properly classified and easily retrievable is critical to taking a collaboration out of its startup phase and ensuring that it can grow. ・データ管理と情報セキュリティ: 情報が安全に保管され、適切に分類され、容易に検索できるようにすることは、協働を立ち上げ段階から成長させるために不可欠である。
"By aligning on definitions of cybercriminal activity, taxonomies enable faster identification and categorization of threats, which supports an effective operational response. 「サイバー犯罪活動の定義を一致させることで、タクソノミは脅威の迅速な特定と分類を可能にし、効果的な業務対応を支援する。
2. A roadmap for collaboration 2. 協働のためのロードマップ
Strengthening defenses and increasing the costs for cybercriminals. 防御を強化し、サイバー犯罪者のコストを増加させる。
2.1 Incentives 2.1 インセンティブ
Cybercriminal groups have evolved into highly lucrative transnational enterprises linked by complicated networks of commercial relationships and supply chains. This allows cybercriminals to operate at scale but also creates opportunities to make cybercrime less attractive through disruption and arrest, significantly altering the risk-reward calculus for perpetrators. Operational collaborations increase the difficulty, costs and risk associated with executing cybercriminal activities. サイバー犯罪グループは、複雑な商取引関係やサプライチェーンのネットワークで結ばれた、非常に有利な国境を 越えたエンタープライズへと発展している。これにより、サイバー犯罪者は大規模に活動できるようになったが、同時に、混乱や逮捕を通じてサイバー犯罪の魅力を低下させる機会も生まれ、加害者のリスクとリターンの計算が大きく変化している。業務提携は、サイバー犯罪の実行に伴う難易度、コスト、リスクを高める。
Cross-sector partnerships allow for the pooling of resources, leading to enhanced capabilities that individual organizations might not achieve on their own. セクターを超えたパートナーシップは、リソースをプールすることを可能にし、個々の組織が単独では達成できないような能力の強化につながる。
All the organizations participating in this research were motivated to disrupt cybercrime. A shared motivation was to protect their organizational assets and their wider group of stakeholders, whether this be companies, customers or citizens. この調査に参加した組織はすべて、サイバー犯罪を阻止したいという動機を持っていた。共通の動機は、組織の資産と、企業、顧客、市民など、より広範なステークホルダーを保護することであった。
Workshops and expert interviews suggest that these motivations can be broken down into connected incentives that bring organizations together and help maintain a collaboration over time: ワークショップや専門家へのインタビューから、こうした動機は、組織をひとつにまとめ、長期にわたって協働関係を維持するのに役立つ、関連性のあるインセンティブに分解できることが示唆された:
– Feedback on impact. ・インパクトに関するフィードバック
– Public recognition. ・社会的認知。
– Business and regulatory support. ・ビジネスや規制による支援
– Cyber resilience as a value creator for the participating organization. ・サイバーレジリエンスは、参加組織にとって価値を生み出すものである。
"While building cyber resilience is important, purely defensive measures will never be enough on their own. We must also impose costs on cybercriminals to make their efforts less profitable. However, imposing such costs requires a broad spectrum of capabilities resident in different parts of society, including the public, private and nonprofit sectors. As a result, operational collaboration is not a “nice to have” or a “good to do”; it is the core process needed to reduce the impact of cybercrime on our societies 「サイバーレジリエンスを構築することは重要であるが、純粋な防御策だけでは決して十分ではない。また、サイバー犯罪者にコストを課し、彼らの努力が利益を生まないようにしなければならない。しかし、そのようなコストを課すには、公共、民間、非営利セクターなど、社会のさまざまな部分に常駐する幅広い能力が必要である。サイバー犯罪が社会に与える影響を軽減するために必要な中核的プロセスなのである。
Michael Daniel, President; Chief Executive Officer, Cyber Threat Alliance マイケル・ダニエル(サイバー脅威アライアンス会長兼最高経営責任者
Feedback loops and public recognition フィードバックループと社会的認知
Tangible impact 具体的なインパクト
Anti-cybercrime collaborations that succeed over time ensure participants can see the tangible impact of their contributions. Feedback loops that keep participants informed of the results of shared intelligence, joint operations or collective strategies are essential. Feedback processes validate the efforts of individual members and encourage continuous participation by highlighting the direct correlation between input and outcome. 長期にわたって成功するサイバー犯罪対策の協働は、参加者が自分たちの貢献の具体的な効果を実感できるようにする。共有されたインテリジェンス、共同作戦、集団戦略の結果を参加者に知らせるフィードバック・ループは不可欠である。フィードバック・プロセスは、個々のメンバーの努力を妥当性確認し、インプットと結果の直接的な相関関係を強調することで、継続的な参加を促す。
For example, when an organization shares threat intelligence that leads to the prevention of a major cyberattack, this success should be communicated back to the contributor, demonstrating the value of their participation. Sharing reports that show the overall impact of the collaboration, for example a reduction in cybercrime incidents, can motivate continued and enhanced engagement. 例えば、ある組織が脅威インテリジェンスを共有し、それが大規模なサイバー攻撃の防止につながった場合、この成功は貢献者にフィードバックされ、彼らの参加の価値を示すべきである。サイバー犯罪インシデントの減少など、協働の全体的な影響を示すレポートを共有することで、継続的な関与と強化の動機付けとすることができる。
Recognition of participant input 参加者の意見を評価する
These feedback mechanisms also serve as a learning tool, allowing organizations to refine their contributions based on what has been most effective in previous collaborations. This iterative process helps in building a more robust and resilient cybersecurity posture across the network. このようなフィードバックの仕組みは学習ツールとしても機能し、組織は過去の協働で最も効果的であったことに基づいて貢献を洗練させることができる。この反復プロセスは、ネットワーク全体でより堅牢でレジリエンスに優れたサイバーセキュリティ体制を構築するのに役立つ。
Public recognition is also a powerful incentive for organizations to engage in operational collaborations against cybercrime. Collaborations require time and resources and organizations need a way to validate their participation internally to their own executives as well as externally to their clients and stakeholders. In a world where reputation and brand trust are critical assets, being acknowledged for contributing to the global fight against cybercrime can enhance an organization’s standing in the market. また、社会的な認知は、組織がサイバー犯罪に対する作戦協働に取り組む強力なインセンティブにもなる。協業には時間とリソースが必要であり、組織は、社内の幹部だけでなく、社外の顧客や利害関係者に対しても、協業への参加を妥当性確認する方法を必要としている。評判とブランドの信頼が重要な資産である世界では、サイバー犯罪との世界的な戦いに貢献し ていることが認められれば、市場における組織の地位を高めることができる。
Cyber resilience as a value creator 価値創造としてのサイバーレジリエンス
Participating in operational collaborations strengthens an organization’s security by providing access to a broader set of intelligence, enabling better threat detection and trend identification. Insights gained from joint efforts can be used to immediately improve internal security measures, creating a continuous improvement loop that bolsters both the organization and the collaboration network. 業務提携に参加することで、より広範なインテリジェンスにアクセスできるようになり、より優れた脅威の検知と傾向の特定が可能になるため、組織のセキュリティが強化される。協働作業から得られた知見は、社内のセキュリティ対策の改善に即座に活用することができ、組織と協働・ネットワークの双方を強化する継続的な改善ループを生み出す。
Training opportunities トレーニングの機会
Operational collaborations provide a unique platform for continuous learning and expertise building. Collaborations often involve a diverse group of participants, each bringing different skills and perspectives to the table. This diversity is a rich resource for knowledge exchange and individual participants appreciate the opportunities for peerto-peer learning that help build a community and an ecosystem of trust among expert participants. 業務提携は、継続的な学習と専門知識構築のためのユニークなプラットフォームを提供する。協働の参加者は多様であることが多く、それぞれが異なるスキルや視点を持ち寄っている。この多様性は知識交換のための豊富なリソースであり、個々の参加者は、専門家参加者間のコミュニティと信頼のエコシステムの構築に役立つピアツーピア学習の機会を高く評価する。
BOX 1. Data Security Council of India (DSCI) Centre for Cybercrime Investigation Training & Research (CCITR) BOX 1. インドデータセキュリティ評議会(DSCI)サイバー犯罪調査トレーニング&リサーチセンター (CCITR)
Founded in 2005, the NASSCOM-DSCI Cyber Labs Initiative10 initially relied on expertise and tools from the private sector to train police in Mumbai and the wider Maharashtra state. Over time, the programme spread to several regions of India, including Bengaluru, Kolkata, Hyderabad, Haryana and Chennai, creating a network of police trained to an equally high standard. 2005年に設立されたNASSCOM-DSCIサイバー・ラボ・イニシアティブ10 は、当初、民間セクターの専門知識とツールを活用し、ムンバイとマハラシュトラ州全域の警察を訓練した。やがてこのプログラムは、ベンガルール、コルカタ、ハイデラバード、ハリヤナ、チェンナイなど、インドのいくつかの地域に広がり、同様に標準的な訓練を受けた警察のネットワークが構築された。
CCITR gradually increased its focus on training using free and open-source forensic tools while continuing to maintain advisory connections to private-sector partners, who supported access to and training in new technology. The focus on open-source tools ensured a baseline capability across all police officers trained at Cyber Labs, regardless of their particular constraints of budget or access to technology. CCITRは、フリーでオープンソースのフォレンジック・ツールを使った訓練に徐々に重点を置くようになったが、その一方で、新技術へのアクセスや訓練を支援する民間パートナーとの顧問的なつながりは維持し続けた。オープンソースのツールに重点を置くことで、予算や技術へのアクセスといった特定の制約に関係なく、サイバー・ラボで訓練を受けたすべての警察官の基本的な能力が確保された。
The Cyber Labs initiative was expanded in 2019 by establishing the Centre for Cybercrime Investigation Training & Research (CCITR) at the Criminal Investigation Department in Bengaluru, Karnataka, with DSCI as the implementation and knowledge partner and the non-profit Infosys Foundation as the funding partner. サイバーラボのイニシアチブは2019年、カルナタカ州ベンガルールの犯罪捜査局にサイバー犯罪捜査訓練調査センター(CCITR)を設立し、DSCIが実施と知識のパートナー、非営利のインフォシス財団が資金提供のパートナーとなって拡大された。
CCITR has created a trusted network of highly-skilled police officers spread across India with shared standard operating procedures for handling electronic evidence developed through CCITR’s Cybercrime Investigation Manual. This supports cross-regional collaboration in the most populous country on earth. The maintenance of connections to the private sector aids the expansion of CCITR’s training into new areas, such as drone forensics and Internet of Things (IoT) forensics. It also helps maintain informal connections between law enforcement and private-sector experts, which help both sides better understand each other’s capabilities and constraints. CCITRは、CCITRの「サイバー犯罪捜査マニュアル」を通じて開発された電子証拠の取り扱いに関する標準操作手順を共有することで、インド全土に広がる高度な技能を持つ警察官の信頼できるネットワークを構築した。これは、地球上で最も人口の多い国であるインドにおいて、地域を越えた協働体制を支えている。民間部門とのつながりの保守は、ドローン鑑識やモノのインターネット(IoT)鑑識といった新しい分野へのCCITRの訓練の拡大を助ける。また、法執行機関と民間の専門家との非公式なつながりの維持にも役立っており、両者が互いの能力や制約をよりよく理解するのに役立っている。
CCITR is now a collaboration between the Criminal Investigations Department of Karnataka state, the Data Security Council of India and Infosys Foundation. The basis of its growth is the stability provided by its hosting at the Criminal Investigations Department of Karnataka state and the accountability created by a governance structure that includes oversight from its host organization, funding partner, law enforcement partners, private-sector participants and regional government. CCITRは現在、カルナータカ州犯罪捜査局、インドデータセキュリティ評議会、インフォシス財団の協働で運営されている。CCITRの成長の基盤は、カルナータカ州犯罪捜査局でのホスティングによる安定性と、ホスト組織、資金提供パートナー、法執行パートナー、民間参加者、地域政府からの監視を含むガバナンス構造による説明責任である。
Business and regulatory support ビジネスと規制の支援
"Operational collaboration is an essential tool to both prevent and disrupt cybercrime and drive ecosystem resilience. Unfortunately, it remains drastically underutilized. 「業務協働は、サイバー犯罪を防止・阻止し、エコシステムのレジリエンスを推進するために不可欠なツールである。しかし、残念ながら、まだ十分に活用されていない。
Megan Stifel, Chief Strategy Officer, Institute for Security and Technology メーガン・スティフェル、セキュリティ・テクノロジー機構最高戦略責任者
Research from 2022 by the World Economic Forum Partnership against Cybercrime demonstrates a high level of support for collaborative cyber information sharing from specialist government agencies such as the European Union Agency for Cybersecurity (ENISA) and the Cyber Security Agency of Singapore. Agencies such as the United States Cybersecurity and Infrastructure Security Agency (CISA) lead the way in supporting publicprivate cyberthreat sharing and collaborations for analysis such as the Joint Cyber Defense Collaborative (JCDC).11 サイバー犯罪に対抗する世界経済フォーラム・パートナーシップによる2022年の調査では、欧州連合サイバーセキュリティ機関(ENISA)やシンガポールのサイバーセキュリティ庁などの専門政府機関が、サイバー情報の共同共有を高いレベルで支持していることが示されている。米国サイバーセキュリティ・インフラセキュリティ庁(CISA)などの分析機関は、官民のサイバー脅威の共有や共同サイバー防衛共同体(JCDC)のような分析のための協働作業の支援において先導的な役割を果たしている11。
"The common factor among organizations whose legal team took a constructive approach for data sharing was that business leaders viewed cybersecurity as strategically important. 「法務チームがデータ共有に対して建設的なアプローチを取っている組織に共通しているのは、ビジネスリーダーがサイバーセキュリティを戦略的に重要であると捉えていることであった。
Legal teams’ risk appetite remains a challenge 法務チームのリスク許容度には課題が残る
Despite the clear support shown for cybersecurity and anti-cybercrime collaborations by key government agencies, workshops and interviews undertaken for this paper indicate that corporate legal teams will regularly take a defensive posture with regard to crossindustry and public-private information sharing. This is because of the possible implications of breaching regulations overseen by non-cyber agencies, such as privacy regulators, which can include hefty fines and reputational damage. 主要政府機関によるサイバーセキュリティとサイバー犯罪対策の連携に対する明確な支持にもかかわら ず、本稿のために実施されたワークショップやインタビューによると、企業の法務チームは、業界横断的な官民の情報 共有に関して、常日頃から防御的な姿勢をとっている。これは、プライバシー規制当局のようなサイバー関連以外の機関が監督する規制に違反した場合、多額の罰金や風評被害などの影響が出る可能性があるためである。
It is possible that additional regulatory statements of support for operational collaboration could ease this challenge. However, research for this paper found variation in how corporate legal teams approach information sharing, with some organizations finding more flexibility than others even when in the same sector. The common factor among organizations whose legal team took a constructive approach was that business leaders viewed cybersecurity as strategically important to business continuity and set aside resources for the legal team to actively support cross-sector partnerships and collaborations. 業務上の協働をサポートするという規制当局の声明が追加されれば、この課題が緩和される可能性はある。しかし、本稿のための調査では、企業の法務チームの情報共有への取り組み方にばらつきがあることがわかった。法務チームが建設的なアプローチをとっている組織に共通しているのは、ビジネスリーダーがサイバーセキュリティを事業継続にとって戦略的に重要であると考え、法務チームがセクターを超えたパートナーシップや協働を積極的に支援するためのリソースを確保していることであった。
The workshops and interviews undertaken for this paper indicate that where business leaders make it clear that supporting an anti-cybercrime or cybersecurity collaboration adds value to the business, and provide legal teams with the time and resources to explore this, corporate legal teams are more likely to adopt a constructive and problem-solving approach that identifies routes for collaboration. 本稿のために実施したワークショップやインタビューから、ビジネスリーダーがサイバー 犯罪対策やサイバーセキュリティの協業を支援することがビジネスに付加価値をもたらすことを明 確にし、それを検討するための時間とリソースを法務チームに提供している場合、企業の法務チー ムは協業のルートを特定する建設的で問題解決的なアプローチを採用する可能性が高いことがわかる。
2.2 Organizational structures and governance 2.2 組織構造とガバナンス
Balancing formal and informal approaches to collaboration 協働のための公式アプローチと非公式アプローチのバランス
The governance structure of the collaboration is designed to support both stringent control over sensitive areas such as data management and use, and flexibility in how experts from sometimes vastly different types of organizations interact. This paper found that successful collaborations incorporate strict governance of data and risk, a sharp focus on measuring impact, and also considerable flexibility on how exactly experts interact with each other. 協働のガバナンス構造は、データ管理やデータ利用といったデリケートな領域に対する厳格な管理と、時には大きく異なるタイプの組織の専門家がどのように相互作用するかという柔軟性の両方をサポートするように設計されている。本稿では、成功する協働には、データとリスクに関する厳格なガバナンス、インパクトの測定に焦点を絞ること、そして専門家同士の相互作用のあり方についてかなりの柔軟性が組み込まれていることを明らかにした。
BOX 2 Cyber Threat Alliance BOX 2 サイバー脅威アライアンス
The Cyber Threat Alliance (CTA) started in 2014 as an informal collaboration between leading cybersecurity companies, including Fortinet, McAfee, Palo Alto Networks and Symantec, to improve the fight against cybercrime through cooperation. In 2017, it relaunched as an independent legal entity with a wider membership. サイバー脅威アライアンス(CTA)は2014年、フォーティネット、マカフィー、パロアルトネットワークス、シマンテックなどサイバーセキュリティの大手企業が、協働を通じてサイバー犯罪との戦いを改善するための非公式な協働として始まった。2017年には、より幅広いメンバーを擁する独立した事業体として再出発した。
CTA members share timely and actionable information about cyberthreats, allowing them to enhance their products, better protect customers and more effectively disrupt cyberattacks. The organization also has an Early Sharing programme, in which members share finished research and analysis with each other before it is released to the public, receiving three to five of these early shares each week. CTAのメンバーは、サイバー脅威に関するタイムリーで実用的な情報を共有することで、自社製品の強化、顧客の保護強化、サイバー攻撃のより効果的な阻止を可能にしている。この組織には早期共有プログラムもあり、一般に公開される前に、完成した調査や分析をメンバー同士で共有し、毎週3~5件の早期共有を受けることができる。
CTA uses a platform that allows members to upload and access data about cyberthreats in a standardized format. This system organizes information around key patterns and techniques used by attackers, making it easier for members to understand and act on. An algorithm scores each submission, rewarding members for sharing valuable and timely intelligence. This scoring creates a healthy sense of competition, further motivating members to improve the quality of their shared intelligence. With over 12 million data points exchanged monthly, this collaboration ensures CTA members have timely information, collectively strengthening global cybersecurity CTAは、メンバーがサイバー脅威に関するデータを標準フォーマットでアップロードし、アクセスできるプラットフォームを使用している。このシステムは、攻撃者が使用する主要なパターンやテクニックを中心に情報を整理し、メンバーが理解しやすく、行動しやすくする。提出された情報はアルゴリズムによって採点され、貴重でタイムリーな情報を共有したメンバーには報酬が与えられる。この採点によって健全な競争意識が生まれ、共有するインテリジェンスの質を向上させようというメンバーのモチベーションがさらに高まる。毎月1、200万件以上のデータが交換され、この協働により、CTAメンバーはタイムリーな情報を入手し、グローバルなサイバーセキュリティを強化することができる。
Core activities should be predictable but allow space for innovation
中核となる活動は予測可能なものでなければならないが、革新のためのスペースは確保すべきである
Several of the long-standing collaborations this paper studied had a core activity for which participants could plan and apply staff and resources predictably over the long term. These also had the capability to put up ad hoc groups where operations were focused on responding to a particular target or needed to move into an additional sector. These ad hoc operations were often supported by a clear mission and a commitment by participants to pursue this mission in a specified timeline.
本稿が調査した長期的な協力関係のなかには、参加者が長期的に予測可能な人員と資源を計画し、投入できるような中核となる活動がいくつかあった。また、特定のターゲットへの対応に重点を置いたり、新たな分野に進出する必要がある場合には、アドホック・グループを立ち上げる能力もあった。こうしたアドホックな活動は、多くの場合、明確な使命と、この使命を特定の時間軸で追求するという参加者のコミットメントによって支えられていた。
The variation in activities was supported by clear standard operating procedures and rules that governed data management and participant behaviour, such as codes of conduct, that were consistent across all types of activity. This consistent and repeatable structure allows ad hoc groups to be set up quickly as they can follow familiar rules and procedures.
活動のバリエーションは、データ管理や参加者の行動をガバナンスする、行動規範のような明確な標準操作手順やルールによって支えられていた。このような一貫性と再現性のある構造により、アドホック・グループは、慣れ親しんだルールや手順に従うことができるため、迅速に立ち上げることができる。
"For effective operational collaboration, appropriate governance structures are necessary to strike a balance between the costs and benefits for affected stakeholders. INTERPOL’s Cybercrime Directorate is accountable to member countries and we strive to fight cybercrime with open, inclusive and diverse partnerships for a safer world. 「効果的な業務協働のためには、影響を受ける利害関係者のコストと利益のバランスを取るために、適切なガバナンス構造が必要である。国際刑事警察機構(INTERPOL)のサイバー犯罪局(Cybercrime Directorate)は、加盟国に対して説明責任を負っており、より安全な世界のために、オープンで包括的かつ多様なパートナーシップでサイバー犯罪と闘うよう努めている。
Neal Jetton, Cybercrime Director, INTERPOL ニール・ジェットン、INTERPOLサイバー犯罪局長
Governance is as much art as science ガバナンスは科学であると同時に芸術である
The art of supporting formal and informal governance structures requires that a collaboration’s leadership and management be sensitive to participating organizations’ risk appetites and each participant’s ability to adapt how they work to the needs of the collaboration. While some parts of governance will be rigid, others will need to have space into which the collaboration can grow. Building a community and shared work culture requires time and incremental development, so that the participants have sufficient trust in each other that they can work effectively. 公式・非公式のガバナンス構造をサポートする技術には、協働のリーダーシップとマネジメントが、参加組織のリスク選好度や、各参加者が協働のニーズに合わせて仕事をする能力に敏感であることが必要である。ガバナンスには厳格な部分もあれば、協働が成長できるスペースが必要な部分もある。コミュニティと共有のワークカルチャーを構築するには、時間をかけて少しずつ発展させ、参加者が互いに十分な信頼関係を築き、効果的に仕事ができるようにする必要がある。
BOX 3 Operation “Trust No One” BOX 3 「トラスト・ノー・ワン」作戦
Operation “Trust No One” demonstrates how proactive collaborations between private companies and law enforcement can effectively combat transnational cyber threats. 「トラスト・ノー・ワン」作戦は、民間企業と法執行機関との積極的な連携が、国境を越えたサイバー脅威といかに効果的に闘うことができるかを実証している。
The Royal Thai Police (RTP) dismantled a major online crime group responsible for high-value scams that targeted Thailand residents. The RTP action was supported by intelligence from the US Department of Homeland Security and private-sector partners such as the cryptocurrency exchange, Binance. This operation uncovered a sophisticated transnational cybercrime syndicate involved in hybrid scams where victims were lured into fake investments via social media platforms. Perpetrators posed as trustworthy individuals, engaging victims in long-term deception before persuading them to invest in fraudulent schemes. タイ王立警察(RTP)は、タイの住民を標的にした高額詐欺の主要なオンライン犯罪グループを解体した。RTPの行動は、米国国土安全保障省からの情報や、暗号通貨取引所バイナンスなどの民間パートナーによって支援された。この作戦は、被害者がソーシャル・メディア・プラットフォームを通じて偽の投資に誘い込まれるハイブリッド詐欺に関与する、洗練された多国籍サイバー犯罪シンジケートを摘発した。犯人は信頼できる人物を装い、被害者を長期にわたってだまし、詐欺的なスキームに投資するよう説得した。
The operation unfolded in several phases, including multiple raids that led to the arrest of key suspects and the seizure of significant assets. Between May and September 2023, the authorities searched over 70 locations, seizing luxury vehicles, property documents, cash and other high-value items worth billions of Thai baht. These assets were all linked to the fraudulent activities. この作戦は、主要な容疑者の逮捕と多額の資産の押収につながった複数の家宅捜索を含む、いくつかの段階を経て展開された。2023年5月から9月にかけて、認可当局は70ヵ所以上を捜索し、数十億タイバーツに相当する高級車、不動産書類、現金、その他の高額商品を押収した。これらの資産はすべて詐欺行為に関連していた。
The operation also highlighted a balance between formal and informal collaboration methods, fostering cross-border cooperation among agencies. Victims of cybercrime were empowered to report incidents across multiple jurisdictions. The operation traced financial flows through digital wallets, transferring assets to centralized exchanges such as Binance and Huobi, with a total scam value of nearly $126 million. この作戦はまた、形式手法と非公式手法のバランスを強調し、機関間の国境を越えた協働を促進した。サイバー犯罪の被害者は、複数の司法管轄区にまたがるインシデントを報告する権限を与えられた。この作戦では、デジタルウォレットを通じた資金の流れを追跡し、バイナンスやHuobiといった中央集権的な取引所に資産を移転させ、詐欺の総額は約1億2600万ドルに上った。
This data was crucial in tracking the movement of digital assets linked to fraudulent activities and facilitated eventual arrests. このデータは、詐欺行為に関連するデジタル資産の動きを追跡する上で極めて重要であり、最終的な逮捕を促進した。
"Building and maintaining trust among partners is fundamental to the success of the collaboration. 「パートナー間の信頼関係の構築と維持は、協業を成功させるための基本である。
The governance fork ガバナンスの分岐点
A dual-tiered governance model can prove helpful, where strict governance is applied to data management while allowing for a more adaptable approach in other operational areas. データ管理には厳格なガバナンスを適用する一方で、他の業務分野ではより適応性の高いアプローチを認めるという、二重構造のガバナンスモデルが有用であることがわかる。
This bifurcated approach ensures that sensitive data is protected in accordance with the highest standards of security and compliance, including adherence to relevant legal frameworks such as the European Union’s General Data Protection Regulation (GDPR), while other components of the collaboration – such as resource allocation, project management and innovation initiatives – benefit from a governance model that encourages agility and responsiveness. この二層構造のアプローチにより、機密データが最高水準のセキュリティとコンプライアンス(欧州連合の一般データ保護規則(GDPR)などの関連する法的枠組みの遵守を含む)に従って保護される一方で、リソースの割り当て、プロジェクト管理、イノベーション・イニシアティブなど、協働の他の構成要素は、俊敏性と対応性を促進するガバナンス・モデルの恩恵を受けることができる。
Strict data governance 厳格なデータガバナンス
Data governance protocols include detailed procedures for data sharing, storage and access. These protocols should be documented and regularly updated to reflect changes in technology and regulatory environments. Access to data is controlled through a system of role-based permissions, ensuring that only authorized individuals have access to sensitive information. Audit trails are at the core of monitoring data access and usage, providing a mechanism for accountability and transparency. データガバナンス・プロトコルには、データの共有、保管、アクセスに関する詳細な手順が含まれる。これらのプロトコルは文書化され、テクノロジーや規制環境の変化を反映して定期的に更新されるべきである。データへのアクセスは役割ベースの権限システムを通じて管理され、認可された個人だけが機密情報にアクセスできるようにする。監査証跡は、データへのアクセスと利用を監視する中核であり、説明責任と透明性のためのメカニズムを提供する。
Flexible governance of collaboration between people 人と人との協働の柔軟なガバナンス
In contrast, other aspects of the collaboration, such as strategic decision-making, resource deployment and partner engagement, can be managed under a lighter governance structure. This approach allows for faster decision-making and the ability to adapt to emerging threats or opportunities without the burden of excessive bureaucracy. However, even within this lighter framework, it is important to establish baseline protocols to ensure consistency and alignment across the collaboration. Consistency in collaboration practices, from onboarding new partners to executing joint operations, reinforces trust and ensures that all partners feel valued and engaged. 一方、戦略的意思決定、リソース展開、パートナーとのエンゲージメントなど、協働の他の側面は、より軽いガバナンス構造の下で管理することができる。このアプローチにより、過度な官僚主義の負担なしに、迅速な意思決定と新たな脅威や機会への適応が可能になる。しかし、このような軽い枠組みであっても、協働全体の一貫性と整合性を確保するためには、基本的なプロトコルを確立することが重要である。新たなパートナーの加入から共同活動の実施に至るまで、協働の実践に一貫性を持たせることで、信頼が強化され、すべてのパートナーが評価され、関与していると感じられるようになる。
Consider how actions impact trust between community members 行動がコミュニティメンバー間の信頼にどのような影響を与えるかを検討する。
Building and maintaining trust among partners is fundamental to the success of the collaboration. Trust can be established through consistent adherence to agreed-upon processes, transparent decision-making and the equitable sharing of responsibilities and benefits. Regular and flexible interactions, both formal and informal, help build relationships and foster a sense of shared purpose, while also allowing for adjustments that adapt to different organizational cultures. パートナー間の信頼関係の構築と維持は、協働の成功の基本である。信頼は、合意されたプロセスの一貫した遵守、透明性のある意思決定、責任と利益の公平な分配を通じて確立することができる。公式・非公式を問わず、定期的かつ柔軟な交流は、関係構築と目的意識の共有に役立つと同時に、異なる組織文化に適応した調整を可能にする。
BOX 4 The art of formal and informal structures BOX 4 フォーマルとインフォーマルな構造の巧みさ
For each collaboration, the sensitivity of the underlying data it uses influences the speed of set-up and the rigidity of its data management requirements. それぞれの協働において、その基礎となるデータの機密性は、セットアップのスピードとデータ管理要件の厳格さに影響する。
The Cybercrime Atlas サイバー犯罪アトラス
The Cybercrime Atlas is an initiative launched in 2023 and hosted at the World Economic Forum Centre for Cybersecurity. Participants collaborate to build a shared understanding of cybercriminal networks using opensource intelligence. This information is then used to support community members to create friction across cybercriminal activities and to support action by public-sector agencies. サイバー犯罪アトラスは2023年に発足したイニシアティブで、世界経済フォーラム・サイバーセキュリティセンターが主催している。参加者は、オープンソースのインテリジェンスを使用して、サイバー犯罪ネットワークに関する共通の理解を構築するために協働する。この情報は、コミュニティメンバーがサイバー犯罪活動に摩擦を生じさせたり、公的機関による行動を支援するために使用される。
The starting point for the information is that it is open-source and shareable. Information only becomes sensitive as assessments of criminal activity are built around it. 情報の出発点は、オープンソースで共有可能であることである。情報は、犯罪活動のアセスメントが構築されることによって初めて機密になる。
Because the underlying information is not sensitive, the Cybercrime Atlas was in a position to start research while relying on already accepted standards for information classification, such as the Traffic Light Protocol. This allowed the Cybercrime Atlas to build rules around the needs and activities of the community as it developed. A strong emphasis was put on security of information from the outset but the reliance on open-source intelligence (OSINT) allowed the community to avoid time-consuming deliberations over the legality of sharing information generated by the collaboration between participants. This allowed for speedy set-up and the development of standard operating procedures by the Cybercrime Atlas expert community itself. サイバー犯罪アトラスは、基礎となる情報に機密性がないため、トラフィック・ライト・プロトコルのような、すでに受け入れられている情報分類の標準に依拠しながら調査を開始できる立場にあった。このため、サイバー犯罪アトラスは、コミュニティのニーズや活動に合わせてルールを構築することができた。当初から情報のセキュリティが重視されたが、オープンソース・インテリジェンス(OSINT)に依存することで、参加者間の協働作業によって生成された情報を共有することの合法性をめぐる時間のかかる審議を避けることができた。このため、サイバー犯罪アトラスの専門家コミュニティ自身による迅速な立ち上げと標準作業手順の開発が可能になった。
The Cyber Threat Alliance (CTA) サイバー脅威アライアンス(CTA)
Unlike many threat-sharing organizations, CTA membership requires participating companies to share data directly related to their core business. This situation differs significantly from asking a financial institution or hospital to share cyberthreat intelligence and it generated concerns ranging from anti-trust to competitive advantage to intellectual property. 多くの脅威共有組織とは異なり、CTAの会員になるには、参加企業が本業に直接関連するデータを共有する必要がある。この状況は、金融機関や病院にサイバー脅威情報の共有を求めるのとは大きく異なり、独占禁止法から競争上の優位性、知的財産に至るまで、さまざまな懸念が生じた。
Due to these factors, the rules, guidelines and data management procedures had to be clear, robust and in place before it began operation. The formalization, testing and legal review of these rules took place over a two-year period from 2015 to early 2017. This focus on business rules has enabled CTA to maintain trust, support growth at scale and achieve its mission, but it also shows that data-sharing collaborations can encounter time-consuming and expensive barriers to formation. こうした要因から、運用を開始する前に、ルール、ガイドライン、データ管理手順を明確で強固なものにする必要があった。これらのルールの正式化、テスト、法的審査は、2015年から2017年初頭までの2年間にわたって行われた。このようにビジネス・ルールに重点を置くことで、CTAは信頼を維持し、規模拡大をサポートし、その使命を達成することができたが、データ共有の協働体制が形成されるまでに時間と費用のかかる障壁に遭遇する可能性があることも示している。
Processes and standard operating procedures プロセスと標準作業手順
Operational collaborations aimed at combating cybercrime are rooted in a foundation of clear, purpose-driven processes. サイバー犯罪との闘いを目的とした業務提携は、明確な目的主導のプロセスの基盤に根ざしている。
Mission statement ミッション・ステートメント
A well-articulated mission, developed collaboratively by all stakeholders, serves as the guiding principle for activities and is periodically reviewed within the collaboration’s governance framework to adapt to changing cyberthreats. The collaboration’s duration should be clearly defined from the start, with options for extension or termination based on performance, goal achievement or contextual changes. Clear criteria and transparency in decision-making help maintain focus and efficiency throughout the collaboration. すべての利害関係者が協働して策定した明確なミッションは、活動の指針として機能し、変化するサイ バー脅威に適応するために、連携のガバナンスの枠組みの中で定期的に見直される。協働の期間は当初から明確に定義されるべきであり、実績、目標の達成度、または状況の変化に基づき、延長または終了の選択肢を設ける。意思決定における明確な規準と透明性は、協働期間を通じて焦点と効率を維持するのに役立つ。
Membership capability assessments: No free-riders メンバーシップの能力アセスメント: フリーライダーを作らない
Effective collaboration depends on the quality and commitment of participants, which is ensured through capability assessments conducted before onboarding new partners. These assessments evaluate prospective partners’ interests, and technical, operational and strategic capabilities to ensure alignment with the collaboration’s mission and objectives. Clear criteria, such as cybersecurity expertise or access to unique resources, help avoid free-riders and ensure meaningful contributions. 効果的な協働関係は、参加者の資質とコミットメントに左右されるが、これは、新たなパートナーを迎える前に実施される能力アセスメントを通じて確保される。このアセスメントでは、パートナー候補の関心、技術的、運用的、戦略的能力を評価し、協働の使命と目的との整合性を確認する。サイバーセキュリティの専門知識や独自のリソースへのアクセスなどの明確な規準は、フリーライダーを回避し、有意義な貢献を確保するのに役立つ。
Protective measures that facilitate collaboration 連携を促進する防御策
A significant barrier to collaboration in cybersecurity is the fear of reputational damage or commercial loss, particularly if a shared operation goes awry or sensitive information gets misused. Clear protocols and legal agreements that govern behaviour and support participants’ trust in each other help mitigate this risk. サイバーセキュリティにおける協働の大きな障壁は、特に、共有オペレーションがうまくいかなかったり、機密情報が悪用されたりした場合の風評被害や商業的損失への恐れである。行動をガバナンスし、参加者の相互信頼をサポートする明確なプロトコルと法的合意は、このリスクを軽減するのに役立つ。
BOX 5 LabHost: Arrests, disruption and brand destruction BOX 5 ラボホスト 逮捕、混乱、ブランド破壊
In April 2024, police in the United Kingdom (UK) took down the online criminal service provider LabHost13 and arrested key actors in the criminal service as well as their clients. This was supported by coordinated arrests by law enforcement in 19 countries.14 2024年4月、イギリス(UK)の警察はオンライン犯罪サービス・プロバイダであるLabHost13を閉鎖し、犯罪サービスの主要関係者とその顧客を逮捕した。これは、19カ国の法執行機関による協調的な逮捕によって支えられている14。
Private-sector expertise creates leads 民間の専門知識が手がかりを生む
The origin of the disruption was a private-sector collaboration, the Cyber Defence Alliance (CDA). This is a group of cybercrime investigators funded by UK financial services whose aim is to provide insights that disrupt cyberthreat networks and enhance cybersecurity. この妨害行為の発端となったのは、サイバー・ディフェンス・アライアンス(CDA)という民間の協働体制だった。これは、英国の金融サービスから資金提供を受けているサイバー犯罪捜査官のグループで、サイバー脅威ネットワークを破壊し、サイバーセキュリティを強化するための知見を提供することを目的としている。
Law enforcement builds a case and takes action 法執行機関が立件し、行動を起こす
The CDA shared leads with UK law enforcement who, with support from Europol, were able to share the information with partners in North America and Europe, gather intelligence on criminal activities and then use it to take down cybercrime services and make coordinated arrests. CDAは、欧州刑事警察機構(Europol)の支援を受けながら、英国の法執行機関と手がかりを共有し、北米や欧州のパートナーと情報を共有し、犯罪活動に関する情報を収集した。
Brand disruption creates more than reputational risk ブランド崩壊は風評リスク以上のものを生む
After the arrests and the take-down of technical infrastructure were made public, cybercriminals using LabHost were sent short personalized “LabHost Wrapped” videos. This gave a summary of the evidence gathered by law enforcement against the individual criminal. This was coupled with other strategic communication campaigns on platforms where the cybercrime-as-a-service providers ran their communications with users, such as Telegram. 逮捕と技術インフラのテイクダウンが公表された後、LabHostを利用するサイバー犯罪者には、パーソナライズされた短い「LabHost Wrapped」ビデオが送られた。これは、個々の犯罪者に対して法執行機関が収集した証拠の概要を示すものであった。これは、Telegramのような、サイバー犯罪をサービス化するプロバイダがユーザーとのコミュニケーションを行うプラットフォーム上での他の戦略的コミュニケーションキャンペーンと相まって行われた。
Focusing on brand destruction builds a sense of distrust and uncertainty among criminals. This heightens the sense of risk criminals should feel.16 It also highlights the value of strategic communications expertise in helping to design an effective anti-cybercrime operation, by understanding the cybercriminal environment and the tactics cybercriminals use. ブランド破壊に焦点を当てることで、犯罪者の間に不信感と不確実性が生まれる。また、サイバー犯罪を取り巻く環境やサイバー犯罪者が使用する手口を理解することで、効果的な対サイバー犯罪作戦の設計を支援する戦略的コミュニケーションの専門知識の価値を浮き彫りにしている。
Impact インパクト
The LabHost operation had such high impact because it made full use of capabilities across the affected organizations. Private-sector expertise was pooled, enhanced and shared via the CDA. Law enforcement were able to use this at scale thanks to facilitation through an international organization, in this case, Europol. Moreover, this information was used to damage LabHost’s branding, severely affecting the group’s reputation and modus operandi. LabHostの作戦は、影響を受けた組織全体の能力をフルに活用したため、高い影響力を持った。民間の専門知識がCDAを通じてプールされ、強化され、共有された。法執行機関は、国際組織(この場合は欧州刑事警察機構)を通じた円滑な手続きのおかげで、これを大規模に利用することができた。さらに、この情報はラボホストのブランドを傷つけるために利用され、グループの評判と手口に深刻な影響を与えた。
Organizations such as Europol and INTERPOL sit at the centre of networks of collaborations between nation-states and between the private and public sectors. This allows them to spot opportunities to support operational innovation and act as important points of coordination and capacity building when tackling cross-border cybercrime networks. 欧州刑事警察機構(Europol)や国際刑事警察機構(INTERPOL)のような組織は、国家間や官民間の協働ネットワークの中心に位置している。そのため、国境を越えたサイバー犯罪ネットワークに取り組む際に、業務改革を支援する機会を見つけ、調整と能力構築の重要なポイントとして機能することができる。
2.3 Resources 2.3 リソース
Effective operational collaboration in the fight against cybercrime requires a well-coordinated deployment of resources. The complexity and global nature of cybercrime demand an array of tools, legal frameworks, human expertise and technological capabilities that must work together to ensure a cohesive response. サイバー犯罪との闘いにおける効果的な作戦協働には、十分に調整された資源の展開が必要である。サイバー犯罪の複雑さとグローバルな性質は、一連のツール、法的枠組み、人的専門知識、技術的能力を必要とし、これらは結束した対応を確保するために連携しなければならない。
A unified response to cyberthreats is dependent on the standardization of threat definitions. Cybercrime taxonomies create a common language that facilitates clear communication across different organizations and sectors. By aligning on definitions of specific cybercrimes, taxonomies enable faster identification and categorization of threats. サイバー脅威に対する統一的な対応は、脅威定義の標準化にかかっている。サイバー犯罪の分類法は、異なる組織や部門間で明確なコミュニケーションを促進する共通言語を生み出す。特定のサイバー犯罪の定義を統一することで、タクソノミは脅威の迅速な特定と分類を可能にする。
Standardized taxonomies also simplify incident reporting, allowing organizations to accurately classify and communicate the nature of cyber incidents. 標準化された分類法はインシデント報告も簡素化し、組織はサイバーインシデントの性質を正確に分類して伝えることができる。
Data normalization is an extension of this standardization, ensuring that data from various sources is harmonized into comparable formats. As cyberthreat information is typically generated by a variety of sensors, systems and platforms, it arrives in different formats, often incompatible with one another. Through the process of data normalization, these disparate data streams are converted into a unified structure, which is essential for effective aggregation, analysis and dissemination across stakeholders. データの標準化はこの標準化の延長線上にあり、さまざまなソースからのデータを比較可能な形式に整合させる。サイバー脅威情報は通常、様々なセンサー、システム、プラットフォームによって生成されるため、異なるフォーマットで提供され、多くの場合、互いに互換性がない。データ正規化のプロセスを通じて、これらの異種のデータストリームは統一された構造に変換され、関係者間での効果的な集計、分析、普及に不可欠となる。
FIGURE 2 Taxonomies and data normalization 図2 分類法とデータの正規化
20241120-125400

"Despite their inherently deceptive activities – breaking into systems, stealing data and encrypting vital information – ransomware groups must convince their victims of their trustworthiness. This trust encompasses not just the promise not to release the stolen data but also the assurance that payment will result in the decryption of the affected systems. A key way for ransomware groups to gain this trust is through branding and reputation. Indeed, each time they interact with a victim, they are negotiating not just for that particular ransom but also for their reputation. If they fail to uphold their end of the bargain, they risk damaging their reputation, which deters future potential victims from trusting and engaging with them. 「システムに侵入し、データを盗み、重要な情報を暗号化するという本質的に欺瞞的な活動にもかかわらず、ランサムウェアグループは被害者に自分たちの信頼性を確信させなければならない。この信頼には、盗まれたデータを公開しないという約束だけでなく、支払いをすれば被害を受けたシステムの復号化が行われるという保証も含まれる。ランサムウェアグループがこの信頼を得るための重要な方法は、ブランディングと評判である。実際、被害者とやり取りするたびに、彼らは特定の身代金だけでなく、彼らの評判についても交渉している。もし交渉の約束を守れなければ、評判を損なうリスクがあり、将来の潜在的な被害者が彼らを信頼し、関わろうとしなくなる。
Max Smeets, Co-Director, European Cyber Conflict Research Incubator マックス・スミーツ、欧州サイバー紛争調査インキュベーター共同ディレクター
Data management and information security データ管理と情報セキュリティ
Information security protocols safeguard shared intelligence against unauthorized access, breaches and data corruption. Data encryption, user authentication and secure communication channels are necessary to maintain the integrity of sensitive data. Without these protections, the collaborative sharing of cyberthreat intelligence could expose organizations to additional vulnerabilities, undermining the goals of such initiatives. 情報セキュリティ・プロトコルは、不正アクセス、違反、データ破損から共有インテリジェンスを保護する。データの暗号化、ユーザー認証、安全なコミュニケーション・チャンネルは、機密データの完全性を維持するために必要である。これらの防御がなければ、サイバー脅威インテリジェンスの共同共有は、組織をさらなる脆弱性にさらす可能性があり、そのようなイニシアチブの目標を損なうことになる。
Additionally, the exponential growth of cyberthreat data has placed significant demands on data storage and processing infrastructures. Collaboration requires the capacity to store vast amounts of structured and unstructured data while maintaining the ability to process and analyse this data at scale. As data streams are continuously generated and shared across the collaborative ecosystems, the infrastructure supporting data storage and processing must ensure that insights can be derived quickly and efficiently. さらに、サイバー脅威データの急激な増加により、データストレージと処理インフラに大きな需要が生じている。協働には、膨大な量の構造化・非構造化データを保存する能力が必要であり、同時にこのデータを大規模に処理・分析する能力も維持しなければならない。データストリームは継続的に生成され、協働のエコシステム全体で共有されるため、データストレージと処理をサポートするインフラは、洞察を迅速かつ効率的に導き出せるようにしなければならない。
High-performance computing environments allow for the rapid execution of complex algorithms, enabling organizations to respond to threats in real time, before the data becomes obsolete. Moreover, data storage solutions must adhere to rigorous security standards to prevent unauthorized access or breaches, further ensuring the integrity of the collaborative effort. ハイパフォーマンス・コンピューティング環境は、複雑なアルゴリズムの迅速な実行を可能にし、組織がデータが陳腐化する前に、リアルタイムで脅威に対応することを可能にする。さらに、データ・ストレージ・ソリューションは、不正アクセスや侵害を防ぐための厳格なセキュリティ標準を遵守し、協働作業の完全性をさらに確保しなければならない。
Data feeds データフィード
Data feeds play a crucial role in cybersecurity collaboration by providing continuous, automated streams of actionable intelligence to organizations’ security systems, enabling timely detection, analysis and response to threats. These feeds include various types of data, such as threat indicators, vulnerabilities and malware signatures, sourced from multiple platforms. By integrating data feeds into threat intelligence platforms (TIPs) and security information and event management (SIEM) systems, organizations can shift from a reactive to a proactive cybersecurity approach, automating the ingestion and analysis of large volumes of data. This real-time data flow is crucial for several reasons: データ・フィードは、組織のセキュリティ・システムに実用的なインテリジェンスの継続的な自動ストリームを提供し、脅威のタイムリーな検知、分析、対応を可能にすることで、サイバーセキュリティ連携において重要な役割を果たす。これらのフィードには、複数のプラットフォームから入手した脅威インジケータ、脆弱性、マルウェア・シグネチャなど、さまざまな種類のデータが含まれる。脅威インテリジェンス・プラットフォーム(TIP)やセキュリティ情報・イベント管理(SIEM)システムにデータフィードを統合することで、企業は大量のデータの取り込みと分析を自動化し、サイバーセキュリティのアプローチをリアクティブからプロアクティブに移行することができる。このリアルタイムのデータフローは、いくつかの理由から極めて重要である:
– Speed and automation: Automated data feeds reduce the time it takes to detect and respond to threats by constantly updating security systems with the latest information. ・スピードと自動化: スピードと自動化:自動化されたデータ・フィードは、常に最新の情報でセキュリティ・システムを更新することにより、脅威の検知と対応にかかる時間を短縮する。
– Cross-sector sharing: Data feeds are a core element of collaborative efforts across industries. Public-private partnerships often rely on shared data feeds to provide early warnings about specific threats. ・セクターを超えた共有: データフィードは、業界を超えた協働的な取り組みの中核となる要素である。官民パートナーシップでは、特定の脅威に関する早期警告を提供するために、共有データフィードを利用することが多い。
– Contextualizing threats: Data feeds not only supply raw data, but often come enriched with contextual information. This context allows organizations to prioritize their responses based on the relevance of the threat and the reliability of the data. ・脅威の文脈化: データフィードは生データを提供するだけでなく、多くの場合、コンテクスト情報を付加して提供される。このコンテキストによって、組織は脅威の関連性とデータの信頼性に基づいて対応の優先順位を決めることができる。
Mapping the threat ecosystem and tactics 脅威のエコシステムと戦術をマッピングする
The work of operational collaboration is supported by an ability to identify threat actors and understand their motivations, methods and the infrastructure they use. Threat maps, built through the aggregation of intelligence from multiple sources, provide valuable insights into the operational behaviours of cybercriminal groups. 作戦協働の作業は、脅威行為者を特定し、その動機、手法、使用するインフラを理解する能力によって支えられている。複数のソースからのインテリジェンスを集約して構築された脅威マップは、サイバー犯罪グループの作戦行動に関する貴重な洞察を提供する。
These maps help organizations understand how specific tactics are deployed, which in turn enables more targeted defences and the identification of the disruption opportunities that are a vital part of protecting organizations and society against cyberthreats. これらのマップは、組織が特定の戦術がどのように展開されているかを理解するのに役立ち、ひいては、より的を絞った防御や、サイバー脅威から組織や社会を守るために不可欠な破壊の機会を特定することを可能にする。
BOX 6 LockBit: Anatomy of a cross-border cybercrime provider BOX 6 ロックビット:国境を越えたサイバー犯罪プロバイダの解剖
In February 2024, an international task force of lawenforcement agencies from 10 countries, dubbed Operation Cronos, disrupted the operations of the world’s then most prolific ransomware group, LockBit. 2024年2月、「オペレーション・クロノス」と名付けられた10カ国の法執行機関による国際タスクフォースが、当時世界で最も多発したランサムウェア・グループ、ロックビットの活動を妨害した。
This was led by the UK National Crime Agency with crossborder coordination through Europol and Eurojust. In what Europol describes as a “significant breakthrough in the fight against cybercrime”, LockBit’s technical infrastructure and its public-facing leak site on the dark web was seized, including 34 servers across multiple countries and the freezing of over 200 cryptocurrency accounts. Over 14,000 accounts belonging to affiliates were also seized and taken down thanks to the cooperation of private partners. The arrest of key individuals and the seizure of their dark web platform was a crucial step in diminishing the group’s ability to execute large-scale ransomware attacks, which had caused billions of euros in damage globally これは、欧州刑事警察機構(Europol)と欧州司法機構(Eurojust)を通じた国境を越えた調整で、英国国家犯罪局が主導した。欧州刑事警察機構が「サイバー犯罪との闘いにおける重要な突破口」と表現するように、ロックビットの技術インフラとダークウェブ上の公開リークサイトは、複数の国にまたがる34のサーバーと200を超える暗号通貨口座の凍結を含め、押収された。また、民間パートナーの協働により、関連会社に属する14、000以上のアカウントも押収され、ダウンした。主要人物の逮捕とダークウェブ・プラットフォームの押収は、世界中で数十億ユーロの損害を引き起こしていた大規模なランサムウェア攻撃を実行するグループの能力を低下させる重要な一歩となった。
How did LockBit operate? ロックビットはどのように活動していたのか?
A ransomware attack is one where cybercriminals hack into your device, use malicious software (malware) to encrypt and steal information, preventing you from accessing it, and then threaten to leak that data unless you pay a ransom. ランサムウェア攻撃とは、サイバー犯罪者があなたのデバイスに侵入し、悪意のあるソフトウェア(マルウェア)を使って情報を暗号化して盗み、アクセスできないようにした上で、身代金を支払わない限りそのデータを流出させると脅迫するものだ。
LockBit offered ransomware services to its global network of hackers or “affiliates”, giving them the malware and platform to carry out these attacks and collect ransoms from thousands of victims globally, including global highprofile organizations. LockBitは、ハッカーや「関連会社」のグローバルネットワークにランサムウェアサービスを提供し、これらの攻撃を実行するためのマルウェアとプラットフォームを提供し、世界的に有名な組織を含む世界中の何千人もの被害者から身代金を徴収していた。
What lesson does it hold? どのような教訓があるのだろうか?
Operation Cronos highlights the growing success of international cooperation in law enforcement. This is supported by organizations like the European Cybercrime Centre (EC3) at Europol which, on top of its role in informationsharing between police forces, acts as a facilitator of multiple networks of expertise, bringing experts from law enforcement together in a trusted environment. This supports the sharing of advanced technical skills, legal expertise and operational knowledge across borders. クロノス作戦は、法執行における国際協働の成功が拡大していることを浮き彫りにしている。欧州刑事警察機構の欧州サイバー犯罪センター(EC3)のような組織は、警察間の情報共有という役割に加えて、複数の専門家ネットワークのファシリテーターとして機能し、法執行機関の専門家を信頼できる環境に集めている。これにより、国境を越えた高度な技術力、法的専門知識、業務知識の共有がサポートされる。
In this groundbreaking effort, law enforcement agencies from 10 countries worked together to “hack the hackers”,20 seize their tools and recover over 1,000 decryption keys, which have helped victims regain access to their data. With these decryption keys collected by the UK, Europol proactively prepared country-specific packages to support victims, which were distributed to 33 countries. この画期的な取り組みでは、10カ国の法執行機関が協働して「ハッカーをハッキング」20 し、彼らのツールを押収し、1,000を超える復号鍵を回収した。欧州刑事警察機構は、英国が収集したこれらの復号鍵をもとに、被害者を支援するための国別パッケージを積極的に準備し、33カ国に配布した。
20241120-130640
Participating countries: Finland, New Zealand, Poland, Ukraine 参加国 フィンランド、ニュージーランド、ポーランド、ウクライナ
Core countries: Australia, Canada, France, Germany, Japan, Netherlands, United Kingdom, United States, Sweden, Switzerland 中核国 オーストラリア、カナダ、フランス、ドイツ、日本、オランダ、英国、米国、スウェーデン、スイス
Open-source intelligence (OSINT) オープンソースインテリジェンス(OSINT)
OSINT offers a dynamic resource for operational collaboration. It refers to the collection and analysis of publicly available information from sources such as social media, news reports and online forums. It provides a complementary dimension to traditional intelligence sources and is often available in real time. The integration of OSINT into collaborative frameworks expands the range of available data, supporting early threat detection, situational awareness and more timely responses. OSINTは作戦協働のためのダイナミックなリソースを提供する。ソーシャルメディア、報道、オンライン・フォーラムなどの情報源から、一般に入手可能な情報を収集・分析することを指す。OSINTは従来の情報源を補完する側面を提供し、多くの場合リアルタイムで入手可能である。OSINTを共同フレームワークに統合することで、利用可能なデータの範囲が広がり、早期の脅威検知、状況認識、よりタイムリーな対応が可能になる。
One of the key advantages of OSINT lies in its accessibility. Unlike proprietary or classified intelligence, OSINT can be shared widely across organizations, enhancing transparency and crosssector collaboration. Furthermore, its use is bound by fewer legal restrictions, thus facilitating its incorporation into multistakeholder operations. With the right analytical tools, OSINT can be integrated into existing data streams, enriching the overall intelligence picture. OSINTの重要な利点の一つはそのアクセスのしやすさにある。独自の情報や機密情報とは異なり、OSINTは組織間で広く共有することができ、透明性とセクターを超えた協働体制を強化することができる。さらに、その利用には法的制約が少ないため、マルチステークホルダーによる作戦への組み込みが容易になる。適切な分析ツールを用いれば、OSINTを既存のデータストリームに統合し、インテリジェンス全体を充実させることができる。
Legal protocols 法的プロトコル
Collaborations benefit from frameworks, contracts and other legal tools that support data sharing and rules of engagement. These protocols provide the legal foundation for cross-border cooperation, enabling diverse stakeholders – public institutions, private enterprises, law enforcement agencies and civil society – to engage in the timely exchange of intelligence. Legal protocols formalize relationships between entities, clarifying roles and responsibilities while ensuring compliance with international privacy standards. 協働は、データ共有と交戦規則をサポートするフレームワーク、契約、その他の法的ツールから恩恵を受ける。これらのプロトコルは国境を越えた協働の法的基盤を提供し、公的機関、民間企業、法執行機関、市民社会など多様な利害関係者がタイムリーな情報交換に関与することを可能にする。法的議定書は事業体間の関係を公式化し、役割と責任を明確にすると同時に、国際プライバシー標準の遵守を保証する。
BOX 7 INTERPOL’s Global Cybercrime Expert Group and Project Gateway BOX 7 インターポールの世界サイバー犯罪専門家グループとプロジェクト・ゲートウェイ
INTERPOL’s interactions with the private sector are governed by a combination of cooperation agreements in the framework of Project Gateway for cybercrime data sharing, organizational rules on the processing of data, and principles of interaction established by INTERPOL’s Constitution.21 国際刑事警察機構(INTERPOL)の民間部門との交流は、サイバー犯罪データ共有のためのプロ ジェクト・ゲートウェイの枠組みにおける協働協定、データ処理に関する組織規則、およびINTERPOLの定 款によって確立された交流の原則の組み合わせによってガバナンスされている21。
Police actions such as Operation Synergia in 2023 benefitted from these partnerships. Operation Synergia22 was launched in response to the clear growth, escalation and professionalization of transnational cybercrime and the need for coordinated action against new cyberthreats. 2023年の「シナジア作戦」のような警察活動は、こうしたパートナーシップの恩恵を受けている。シナジア作戦22 は、国境を越えたサイバー犯罪の明らかな増加、深刻化、専門化と、新たなサイバー脅威に対する協調行動の必要性に対応して開始された。
The operation involved 60 law enforcement agencies from more than 50 INTERPOL member countries, with officers conducting searches and seizures of servers and electronic devices. Gateway Partners from the private sector provided analysis and intelligence support throughout the operation. この作戦には、50以上のインターポール加盟国から60の法執行機関が参加し、警察官がサーバーや電子機器の捜索と押収を行った。民間セクターのゲートウェイ・パートナーは、作戦を通じて分析と情報支援を提供した。
Operations like this require building trusted partnerships with the private sector and maintaining engagement over time. The limits set by INTERPOL’s governance of privatesector partnerships create the time, space and ground rules to support a variety of collaborations. This ranges from the INTERPOL Global Cybercrime Expert Group23 that supports development of law enforcement strategies and best practices, to operational collaborations built on the Project Gateway model. このような活動には、民間部門との信頼できるパートナーシップを構築し、長期にわたって関与を維持することが必要である。INTERPOLの民間セクター・パートナーシップのガバナンスによって設定された限界は、さまざまな協働をサポートするための時間、空間、基本ルールを生み出す。これは、法執行戦略とベストプラクティスの開発を支援するINTERPOLグローバル・サイバー犯罪専門家グループ23から、プロジェクト・ゲートウェイ・モデルに基づいて構築された運用上の協働まで多岐にわたる。
By combining strict governance of data sharing with flexibility on the character of each collaboration, INTERPOL has developed long-term relationships with key private-sector partners while retaining the ability to bring in ad hoc expertise when needed. データ共有の厳格なガバナンスと各協働の性格に関する柔軟性を組み合わせることで、INTERPOLは主要な民間セクター・パートナーとの長期的な関係を構築する一方、必要に応じてアドホックな専門知識を導入する能力を維持している。
Operation Synergia Global Operation Against Malicious Infrastructure of Phishing, Banking Malware, and Ransomware フィッシング、バンキング・マルウェア、ランサムウェアの悪質なインフラに対する「シナジア作戦」グローバル作戦
20241120-133302
"In today’s rapidly evolving digital landscape, an operational collaboration framework is imperative to effectively combat cybercrime. Fostering seamless coordination between public- and private-sector entities by leveraging their collective expertise, resources and capabilities, and promoting information sharing to pre-emptively address threats will help us all respond to incidents with heightened agility and precision. 「急速に進化する今日のデジタル環境において、サイバー犯罪と効果的に闘うためには、作戦協働の枠組みが不可欠である。専門知識、リソース、能力を総動員して官民事業体間のシームレスな連携を促進し、脅威に先手を打って対処するための情報共有を促進することで、インシデントに俊敏かつ的確に対応することができる。
Alexandra Gerst, Senior Corporate Counsel, Microsoft Digital Crimes Unit, Microsoft マイクロソフト デジタル犯罪ユニット シニア・コーポレート・カウンセル Alexandra Gerst氏
These frameworks support the exchange of actionable intelligence without compromising the confidentiality or integrity of sensitive data. Alignment on legal requirements mitigates challenges related to jurisdictional issues, ensuring that intelligence and resources can be mobilized swiftly and securely across borders. これらのフレームワークは、機密データの機密性や完全性を損なうことなく、実用的なインテリジェンスの交換をサポートする。法的要件の整合により、管轄権に関する問題が軽減され、国境を越えて迅速かつ安全にインテリジェンスとリソースを動員できるようになる。
To streamline legal and operational relationships within the collaboration, model non-disclosure agreements (NDAs) and memoranda of understanding (MoUs) provide standardized and tailored regulations to address the unique needs of working within a public-private partnership. Model NDAs focus on protecting sensitive information and intellectual property while facilitating the necessary sharing of data among partners. They outline the obligations of each party regarding confidentiality, data handling and legal resources in case of breaches. 協働関係における法律上および業務上の関係を合理化するために、モデルNDA(秘密保持契約)および覚書(MoU)は、官民パートナーシップにおける独自のニーズに対応するために標準化され、カスタマイズされた規制を提供する。モデルNDAは、パートナー間で必要なデータの共有を促進しながら、機密情報や知的財産を保護することに重点を置いている。機密保持、データの取り扱い、違反した場合の法的資源に関する各当事者の義務を概説している。
Model MoUs, on the other hand, establish the roles, responsibilities and expectations of each partner within the collaboration. The use of standardized MoUs and NDAs helps reduce the time and complexity involved in formalizing partnerships, allowing the collaboration to focus more on operational activities 一方、モデルMoUは、共同調査における各パートナーの役割、責任、期待を定めるものである。標準化されたMoUとNDAの使用は、パートナーシップの正式な締結に伴う時間と複雑さを軽減し、協働がより運営活動に集中できるようにするのに役立つ。
Human expertise and skill development 人的専門知識とスキル開発
Human expertise and the continuous development of skills are critical resources in combating cybercrime. Cybersecurity threats evolve rapidly, requiring that personnel remain up-to-date with the latest tactics, techniques and procedures used by cybercriminals. Effective operational collaboration depends on highly skilled professionals across a range of disciplines. Capacity building through shared training programmes and joint exercises ensures that all participating entities maintain the necessary skill sets to address emerging cyberthreats. Collaboration fosters a knowledge-sharing environment in which best practices, lessons learned and advanced strategies can be disseminated throughout the community, ultimately enhancing the overall capabilities of the collective defence. 人的な専門知識と継続的なスキルの向上は、サイバー犯罪に対抗する上で不可欠なリソースである。サイバーセキュリティの脅威は急速に進化するため、担当者はサイバー犯罪者が使用する最新の戦術、技術、手順を常に把握しておく必要がある。効果的な作戦協働は、さまざまな分野にまたがる高度に熟練した専門家にかかっている。共有訓練プログラムや合同演習を通じた能力構築は、参加するすべての事業体が新たなサイバー脅威に対処するために必要なスキルセットを維持することを確実にする。協働は、ベストプラクティス、学んだ教訓、先進的な戦略をコミュニティ全体に広めることができる知識共有環境を育み、最終的に集団防衛の全体的な能力を高める。
"Collaboration fosters a knowledge-sharing environment in which best practices, lessons learned and advanced strategies can be disseminated throughout the community 「協働は、ベストプラクティス、学んだ教訓、先進的な戦略をコミュニティ全体に広めることができる知識共有環境を醸成する。
BOX 8 National Cyber-Forensics and Training Alliance (NCFTA) BOX 8 全米サイバー科学捜査訓練連合(NCFTA)
In the US, the National Cyber-Forensics and Training Alliance (NCFTA) has emerged as a leading model for operational collaboration in the fight against cybercrime, uniting the private industry, academia and law enforcement to disrupt global cyberthreats. Established over two decades ago, the NCFTA has built a trusted environment where over 200 partners collaborate to exchange real-time intelligence, mitigate risks and take actionable steps to dismantle cybercriminal infrastructure. With a dedicated team of more than 60 experts, NCFTA fosters a community-driven approach that enables effective, rapid information-sharing and validation, empowering its members to manage cyber risks and support law-enforcement efforts worldwide. 米国では、National Cyber-Forensics and Training Alliance (NCFTA)が、世界的なサイバー脅威を破壊するために、民間企業、学界、法執行機関を統合し、サイバー犯罪との戦いにおける作戦協働の主要なモデルとして出現した。20年以上前に設立されたNCFTAは、200を超えるパートナーが協働してリアルタイムのインテリジェンスを交換し、リスクを軽減し、サイバー犯罪のインフラを破壊するための実行可能な措置を講じる信頼できる環境を構築してきた。NCFTAは、60人以上の専門家からなる専門チームを擁し、効果的で迅速な情報共有と妥当性確認を可能にするコミュニティ主導のアプローチを育み、メンバーがサイバーリスクをマネジメントし、世界中の法執行活動を支援する力を与えている。
A core component of NCFTA’s success is its focus on community-building through specialized training programmes. By creating an ecosystem of trust, NCFTA delivers impactful training that enhances the cybersecurity capabilities of its partners. These programmes not only provide the technical knowledge required to combat cybercrime but also foster long-term, personal collaborations between stakeholders. This approach strengthens the ability to manage cyber risks and also creates a resilient network capable of proactively addressing and mitigating cybercrime on a global scale. NCFTAの成功の核となる要素は、専門的な訓練プログラムを通じてコミュニティ形成に重点を置いていることである。信頼のエコシステムを構築することで、NCFTAはパートナーのサイバーセキュリティ能力を高めるインパクトのあるトレーニングを提供している。これらのプログラムは、サイバー犯罪に対抗するために必要な技術的知識を提供するだけでなく、関係者間の長期的かつ個人的な協働関係を育む。このアプローチは、サイバーリスクをマネジメントする能力を強化するとともに、世界規模でサイバー犯罪に積極的に対処し、低減できるレジリエンス・ネットワークを構築する。
Conclusion 結論
The recommendations in this white paper lead to a framework for building and sustaining operational partnerships that systematically disrupt cybercrime. The recommendations focus on flexibility in governance, the importance of building a sense of trust and community to facilitate the sharing of expertise, and the value of maintaining feedback mechanisms that ensure participants see the tangible impact of their contributions and can explain this impact to their own stakeholders. 本ホワイトペーパーの提言は、サイバー犯罪を組織的に阻止する運用パートナーシップを構築し、維持するための枠組みを導くものである。提言では、ガバナンスの柔軟性、専門知識の共有を促進するための信頼感とコミュニティーの構築の重要性、参加者が自らの貢献の具体的な影響を確認し、その影響を自らのステークホルダーに説明できるようにするフィードバック・メカニズムの維持の価値に焦点を当てている。
By strengthening collaboration, stakeholders improve their own defences while also increasing the costs for cybercriminals to enter the cybercrime market. Effective operational collaborations between the private and public sectors raise the personal cost of cybercrime through disruption to technical infrastructure and can increase the personal risk to cybercriminals of being arrested. When effective, these collaborations impose real costs on cybercriminals, diminishing their ability to cause harm. 連携を強化することで、利害関係者は自らの防衛力を改善すると同時に、サイバー犯罪者がサイバー犯罪市場に参入するためのコストを増加させることができる。民間部門と公的部門間の効果的な作戦協働は、技術インフラの混乱を通じてサイバー犯罪の個人的コストを引き上げ、サイバー犯罪者が逮捕される個人的リスクを高めることができる。効果的であれば、こうした連携はサイバー犯罪者に実質的なコストを課し、被害をもたらす能力を低下させる。
Looking ahead, it is clear that continued success hinges on further developing these partnerships, integrating new technologies and fostering a culture of trust and knowledge sharing. Operational collaborations are not merely a “nice to have” but are essential to mitigating the growing cyberthreats facing societies globally. The progress made thus far is a testament to the power of collective action, and with sustained commitment, it is possible to create a more secure and resilient digital future. 今後を考えると、継続的な成功は、こうしたパートナーシップをさらに発展させ、新しいテクノロジーを統合し、信頼と知識の共有の文化を醸成することにかかっていることは明らかである。業務協働は、単に「あればいい」ものではなく、世界社会が直面するサイバー脅威の増大を低減するために不可欠なものである。これまでの進展は、集団行動の力を証明するものであり、持続的なコミットメントがあれば、より安全でレジリエンスあるデジタルの未来を創造することは可能である。

 

| | Comments (0)

英国 ICO 遺伝情報に関するプライバシーのガイドライン...

こんにちは、丸山満彦です。

ICOが、遺伝情報に関するプライバシーの新しいガイドラインを公表していますね...

遺伝情報は、

・(他の生体情報と同じく、)変更が不可能なので、それをパスワードのように使う場合、漏れても変更できない

・家族にも影響が及ぶ

という点に大きな特徴があると思います。とくに家族にも影響が及ぶというところが、特異な点でしょうね...

この報告書、なかなか読み応えあります...

 

U.K. Information Commissioner's Office; ICO

・2024.11.07 “Privacy must still come first.” – we're calling for collaboration with developers as report reveals future innovations and data protection concerns in genomics

 

“Privacy must still come first.” – we're calling for collaboration with developers as report reveals future innovations and data protection concerns in genomics 「プライバシーが第一であることに変わりはない」 - ゲノミクスにおける将来の革新とデータ保護の懸念を明らかにする報告書として、我々は開発者との協力を呼びかけている。
・New report highlights how genomics could one day determine insurance quotes, solve crimes, tailor support in schools and create fitness plans ・新しい報告書では、ゲノミクスがいつの日か保険の見積もりを決定し、犯罪を解決し、学校でのサポートを調整し、フィットネス・プランを作成する可能性があることを強調している。
・Concerns raised around third-party data, inappropriate bias, data security, and data minimisation ・サードパーティ・データ、不適切なバイアス、データセキュリティ、データの最小化に関する懸念が提起されている。
・We call for developers to take “privacy-by-design” approach and to join Regulatory Sandbox ・我々は、開発者が「プライバシー・バイ・デザイン」のアプローチをとり、レギュラトリー・サンドボックスに参加することを求める。
We have today released a new report on genomics, highlighting the need for a privacy-by-design approach that supports innovation whilst safeguarding privacy. 我々は本日、ゲノミクスに関する新しい報告書を発表し、プライバシーを守りつつイノベーションを支援するプライバシー・バイ・デザイン・アプローチの必要性を強調した。
The report shows how genomics could soon impact everyday life in remarkable ways: hospitals might use DNA to predict and prevent diseases, insurers could adjust policies based on genetic health markers, and wearable tech could personalise fitness plans based on genetic tendencies. この報告書は、ゲノミクスが近い将来、いかに日常生活に驚くべき影響を与えるかを示している。病院はDNAを利用して病気を予測・予防し、保険会社は遺伝的健康マーカーに基づいて保険を調整し、ウェアラブル技術は遺伝的傾向に基づいてフィットネス・プランをパーソナライズするかもしれない。
The report, part of our Tech Futures series, examines the challenges posed by rapid advancements in genomic technology and invites organisations to engage with us through our Regulatory Sandbox. 本報告書は、当社のTech Futuresシリーズの一環として、ゲノム技術の急速な進歩がもたらす課題を検証し、当社のRegulatory Sandbox(規制のサンドボックス)を通じて、各組織に当社への参加を呼びかけている。
As genomics continues to reshape healthcare and expand into sectors such as insurance, education, and law enforcement, the report explores various scenarios to illustrate potential data protection concerns, including: ゲノミクスがヘルスケアを再構築し、保険、教育、法執行などの分野に拡大し続ける中、本報告書は、データ保護に関する潜在的な懸念を説明するために、以下のような様々なシナリオを模索している:
・Data security: Some genomic data is highly personal and nearly impossible to anonymise, raising risks of misuse or re-identification if mishandled or improperly shared. ・データセキュリティ: データの安全性:一部のゲノムデータは極めて個人的であり、匿名化することはほぼ不可能であるため、取り扱いを誤ったり不適切に共有されたりすると、誤用や再識別のリスクが高まる。
・Discrimination or bias: Using genomic data in areas like insurance or law enforcement could lead to systemic discrimination, particularly if combined with models that may reinforce existing biases. ・識別的またはバイアス: 保険や法執行などの分野でゲノムデータを使用することは、特に既存のバイアスを強化する可能性のあるモデルと組み合わされた場合、制度的差別につながる可能性がある。
・Transparency and consent: The sharing of data between organisations in sectors like healthcare can make it difficult for individuals to understand how their genomic data is used and for what purpose. ・透明性と同意: 医療などの分野で組織間でデータが共有されることにより、個人が自分のゲノムデータがどのように使用され、どのような目的で使用されるのかを理解することが困難になる可能性がある。
・Family sharing: Genomic information inherently relates to family members, meaning data shared about one person could inadvertently reveal sensitive information about another. ・家族の共有: ゲノム情報は本質的に家族に関係するものであり、ある人に関するデータが共有されることで、別の人に関するセンシティブな情報が不注意に明らかになる可能性がある。
・Purpose of use: The potential expansion of genomic data use beyond its original purpose leads to concerns around data minimisation and purpose limitation. ・利用目的: 本来の目的を超えてゲノムデータの利用が拡大する可能性があるため、データの最小化と目的制限に関する懸念が生じる。
Stephen Almond, Executive Director, Regulatory Risk, said: 規制リスク担当エグゼクティブ・ディレクターのスティーブン・アーモンドは次のように述べた:
“Genomics promises incredible benefits, from life-saving treatments to more effective learning support. This, as with all innovation, should be welcomed and embraced. However, with these possibilities come serious responsibilities, and privacy must still come first. 「ゲノミクスは、救命治療からより効果的な学習支援まで、信じられないような利益を約束している。あらゆるイノベーションと同様に、これは歓迎され、受け入れられるべきである。しかし、このような可能性には重大な責任が伴い、プライバシーが最優先されなければならない。
“Genomic information is arguably the most sensitive and revealing information a person has, with major implications for not only individuals but their families. We want to work with organisations in this field to ensure they handle this powerful data fairly, transparently, and take a privacy-by-design approach.” 「ゲノム情報は、間違いなく人が持つ情報の中で最もデリケートで暴露的なものであり、個人だけでなくその家族にも大きな影響を与える。我々は、この分野の組織と協力し、この強力なデータを公正かつ透明性をもって取り扱い、プライバシー・バイ・デザインのアプローチをとることを保証したい。
We are encouraging companies working with genomics - whether in healthcare, education, insurance, or criminal justice - to collaborate with its Regulatory Sandbox. This free service allows developers to gain expert guidance on building privacy-compliant innovations in genomics, helping turn groundbreaking ideas into trusted and legally compliant solutions. More information can be found here. 我々は、医療、教育、保険、刑事司法に関わらず、ゲノミクスに取り組んでいる企業に対し、Regulatory Sandboxでの協力を奨励している。この無料サービスにより、開発者はプライバシーに準拠したゲノミクスのイノベーションを構築するための専門家のガイダンスを得ることができ、画期的なアイデアを信頼され法律に準拠したソリューションに変えることができる。詳細はこちらを参照されたい。

 

ガイドライン...

・2024.11.07 ICO tech futures: emerging genomics

 目次...

ICO tech futures: emerging genomics ICOの技術的未来:新たなゲノミクス
Executive summary エグゼクティブサマリー
Introduction 序文
Defining genomics ゲノミクスの定義
Sector scenarios セクターのシナリオ
Regulatory issues 規制上の課題
Next steps 次のステップ
Annex A: Key technologies and terms 附属書A:主要技術と用語
Annex B: Genomic sector economic overview 附属書B:ゲノム分野の経済概要
Annex C - Background and context 附属書C - 背景と文脈

 

エグゼクティブサマリー...

Executive summary エグゼクティブサマリー
Over the last decade there has been a rapid increase in investment and influence in genomic technologies in a range of sectors. The technology offers well-known benefits in areas like advanced disease treatment and personalised healthcare, and there is a drive to deliver a genomic-focused healthcare system. But the rapid growth of applications in sectors like insurance, education and law enforcement also have the potential to impact us all. 過去10年間、様々な分野でゲノム技術への投資と影響力が急速に高まってきた。この技術は、先進的な疾病治療や個別化医療などの分野でよく知られた利益をもたらし、ゲノムに焦点を当てた医療システムの実現が推進されている。しかし、保険、教育、法執行などの分野での応用が急速に拡大していることも、私たちすべてに影響を与える可能性を秘めている。
As the UK’s data protection regulator, the Information Commissioner’s Office (ICO) aims to increase public trust in how organisations process personal information through responsible practice. We want to empower people to safely share their information and use innovative products and services that will drive our economy and our society. In our ICO25 strategy, we committed to set out our views on emerging technologies to reduce burdens on businesses, support innovation and prevent harms. 英国のデータ保護規制機関である情報コミッショナー事務局(ICO)は、責任ある実践を通じて、組織が個人情報をどのように処理するかに対する国民の信頼を高めることを目指している。私たちは、人々が自分の情報を安全に共有し、経済と社会を動かす革新的な製品やサービスを利用できるようにしたいと考えている。ICO25戦略では、企業の負担を軽減し、イノベーションを支援し、危害を防止するために、新たな技術に関する見解を示すことを約束した。
The genomics chapter of our 2023 Tech Horizons Report set out an initial area of concern around polygenic risk scores; probabilistic assessments of traits and characteristics derived from genomics that could inform how we deliver health care and other services in the future. 我々の2023年技術水平報告書のゲノミクスの章では、多遺伝子リスクスコア(ゲノミクスから導き出された形質や特性の確率的アセスメント)に関する最初の関心分野を設定した。
This report goes into more depth to consider regulatory and privacy issues raised by the wider development of genomics. We illustrate how these may arise through scenarios that cover potential uses of the technology in and beyond healthcare, including in direct-to-consumer services, insurance, education and law enforcement. The issues we cover include: 本報告書では、ゲノミクスの広範な発展によって生じる規制やプライバシーの問題について、より深く考察する。直接消費者へのサービス、保険、教育、法執行など、ヘルスケアやそれ以外の分野での技術の潜在的な利用をカバーするシナリオを通して、これらの問題がどのように発生しうるかを説明する。取り上げる問題は以下の通りである:
・the challenges of understanding when genomic data may be considered personal information. Genomic information relating to the deceased, or once thought unimportant or even unidentifiable in terms of personal information, may have an increasingly large significance as personal data as research rapidly advances; ・ゲノムデータがどのような場合に個人情報とみなされるかを理解する上での課題。故人に関するゲノム情報や、かつては個人情報としては重要でない、あるいは特定できないと考えられていたゲノム情報が、研究の急速な進展に伴い、個人データとしてますます大きな意味を持つようになる可能性がある;
・the complexities of using and sharing third party information (including both genomic information and inferences derived from it) given how much of a genome and the information derived from it is shared - even on a familial level; ・たとえ家族レベルであっても、ゲノムとそれに由来する情報(ゲノム情報とそこから導かれる推論を含む)がどれほど共有されているかを考慮すると、サードパーティ情報を利用し共有することの複雑さ;
・the associated risks and challenges of anonymising and pseudonymising genomic information in a way that embeds privacy by design without compromising innovative and necessary research; and ・革新的で必要な研究を損なうことなく、プライバシーをデザインする方法でゲノム情報を匿名化・仮名化することに伴うリスクと課題。
・the significant risks of bias and discrimination emerging from the processing of genomic information. Inaccurate models trained on unrepresentative datasets may emerge, or inferences used to support unfair decisions even when using accurate information. ・ゲノム情報の処理から生じるバイアスや識別的リスクの重大性。代表的でないデータセットで訓練された不正確なモデルが出現したり、正確な情報を使用していても不当な決定を支持するために推論が使用されたりする可能性がある。
We will address these areas of concern through: われわれは、これらの懸念される分野に、以下を通じて対処する:
・ongoing engagement with key stakeholders across industry, regulation, academia and civil society. This will include inviting organisations to work with our Regulatory Sandbox to engineer data protection into uses of genomic information; ・産業界、規制、学界、市民社会にわたる主要な利害関係者との継続的な関与。これには、ゲノム情報の使用にデータ保護を組み込むために、我々のRegulatory Sandboxと協力する組織を招待することも含まれる;
・monitoring and highlighting developments in this area through our Tech Horizons reports, where we will set out future programmes of work on the issues as they arise. We will pay particular attention to the sharing of third party genomic information and direct-to-consumer genomic services linked to polygenic risk scoring. We have invited views from organisations with an interest in this area; and ・技術水平報告書を通じて、この分野での進展を監視し、強調する。特に、サードパーティによるゲノム情報の共有や、多遺伝子リスクスコアリングと連動した消費者向け直接ゲノムサービスには注意を払う予定である。我々は、この分野に関心を持つ組織からの意見を求めている。
・engagement with the public to better understand their knowledge and concerns about the use of genomics and privacy. ・ゲノミクスの利用やプライバシーに関する一般市民の知識や懸念をよりよく理解するために、一般市民との意見交換を行う。

 

 

規制上の課題...

Regulatory issues  規制上の課題
Issue 1: Regulatory certainty. When is genomic data personal data? 課題1:規制の確実性。ゲノム情報はいつ個人データになるのか?
Under the UK GDPR, there is no explicit definition of genomic information as either a specific form of personal information or special category data. This means that, without considering the purpose, organisations should consider personally identifiable genomic information as personal information. Beyond this, organisations need to carefully consider: 英国のGDPRでは、ゲノム情報を特定の形態の個人情報または特別カテゴリーデータとして明確に定義していない。これは、目的を考慮することなく、組織は個人を特定できるゲノム情報を個人情報とみなすべきであることを意味する。その上で、組織は以下を慎重に検討する必要がある:
・when and why genomic information may be special category data; and ・ゲノム情報がいつ、どのような理由で特別カテゴリーデータとなりうるか。
・what risks large-scale classificatory uses of even non-special category personal information may pose. ・非特別カテゴリー個人情報の大規模な分類的利用がどのようなリスクをもたらすか。
Some key challenges are listed below. 主な課題を以下に挙げる。
Identifying personal and special category personal information 個人情報と特別カテゴリー個人情報を特定できる情報
Genomic information isn’t always counted as personal information. A large part of a genome (roughly 98%) is non-coding-based DNA that may not be easily linked to a known person in isolation, as it is shared with every human being. 24 In other words, it is not expressed as a gene. When genomic information is considered personal information, it would become hard to define. Context will matter hugely as developing research and analytical tools allow a greater understanding of how this genomic information, once dismissed as ‘junk DNA’, connects to how specific genes and phenotypes are expressed. For more information, organisations should consider our guidance on identifiers and related factors. ゲノム情報は必ずしも個人情報としてカウントされるわけではない。ゲノムの大部分(約98%)は非コードベースのDNAであり、すべての人間に共有されているため、単独では既知の個人と容易に結びつかない可能性がある。24言い換えれば、遺伝子としては発現していない。ゲノム情報が個人情報とみなされるようになると、その定義は難しくなる。かつては「ジャンクDNA」として片付けられていたゲノム情報が、特定の遺伝子や表現型がどのように発現しているのかについて、研究・分析ツールの発展により理解が深まるにつれ、コンテキストが非常に重要になるだろう。詳しくは、識別情報と関連要因に関するガイダンスを参照されたい。
While we have made assumptions here when defining genomic information in terms of both personal and special category information. Further clarity is required as to how and when genetic and genomic information overlap for the purposes of data protection regulation. Not all genomic information is genetic, but certain provisions of the UK GDPR provide an indication of how organisations can consider such material under the legislation. ここでは、ゲノム情報を個人情報と特別カテゴリー情報の両方の観点から定義することを前提にしている。データ保護規制の目的上、遺伝情報とゲノム情報がいつ、どのように重複するのかにつ いては、さらなる明確化が必要である。すべてのゲノム情報が遺伝的情報であるわけではないが、英国GDPRの特定の条項は、組織がこのような情報を法制下でどのように考慮できるかを示すものである。
Where genomic information can be clearly defined as personal information, it is almost certainly special category information under Article 9 as it will contain some portion of genetic information which is already defined as special category data under the UK GDPR. Given this, the usual protections for special category data will apply. ゲノム情報が個人データとして明確に定義できる場合、英国GDPRですでに特別カテゴリーデータとして定義されている遺伝情報の一部が含まれるため、第9条に基づく特別カテゴリー情報であることはほぼ間違いない。このことから、特別カテゴリーデータに対する通常の保護が適用される。
There is also a risk that the use of the term ‘genomics’ to include associated areas of related inferences, such as phenotypes may cause uncertainty as to what information may or may not be special category data. Phenotypes play a critical role in the development and use of genomic research. While medical uses, such as identifying pre-cancerous growths, will be special category data under Article 9(1) of the UK GDPR, other commercial uses may not. While these instances are currently rare, the pace of research is likely to change this. It may become possible to use phenotypes for educational or insurance purposes as explored above. If phenotypes are considered distinct from genetic or genomic definitions, then it is unlikely that they would count as biometric information either, as explored in our previous report on emerging biometrics. また、「ゲノミクス(genomics)」という用語が、表現型のような関連する推論分野を含むために使用されることで、どのような情報が特別カテゴリーデータになるのか、ならないのかが不明確になるリスクもある。表現型はゲノム研究の発展と利用において重要な役割を果たしている。前癌性増殖の特定などの医学的利用は、英国GDPR第9条1項に基づく特別カテゴリーデータになるが、その他の商業的利用はそうでない可能性がある。このような例は今のところ稀であるが、研究のペースはこの状況を変える可能性がある。上記で検討したように、教育や保険の目的で表現型を使用することが可能になるかもしれない。表現型が遺伝学的またはゲノム学的定義とは異なると見なされる場合、新たなバイオメトリクスに関する前回の報告書で検討したように、それらがバイオメトリクス情報としてカウントされる可能性は低い。
Even if there is no direct correlation between genomic information and special category data, then the uses of genomic information for medical or identification purposes are nevertheless likely to be special category genomic or health information under Article 9(1). Organisations will therefore need a lawful basis to use this information under Article 6 and an additional condition for processing special category data under Article 9(2). Organisations must identify the most appropriate basis for processing. Consent may be an appropriate lawful basis and an appropriate special category condition, as long as they can meet the necessary requirements for valid consent. ゲノム情報と特別カテゴリーデータとの間に直接的な相関関係がないとしても、医療目的または本人確認目的でのゲノム情報の使用は、第9条1項に基づく特別カテゴリーのゲノム情報または健康情報となる可能性が高い。従って、組織はこの情報を使用するために、第6条に基づく合法的根拠と、第9条2項に基づく特別カテゴリーデータの処理に関する追加条件を必要とする。組織は、処理に最も適切な根拠を特定しなければならない。妥当性確認に必要な要件を満たすことができる限り、同意は適切な合法的根拠であり、適切な特別カテゴリーの条件となりうる。
Conditions for processing special category data 特別カテゴリーデータの処理に関する条件
If organisations use genomic information, they should consider whether consent is the most appropriate lawful basis. While medical consent remains a distinct and important issue, explicit consent for using personal information is only one of a variety of appropriate special category conditions under the UK GDPR. It is not inherently ‘better’ than other conditions. 組織がゲノム情報を利用する場合、同意が最も適切な合法的根拠であるかどうかを検討す べきである。医療同意は依然として明確かつ重要な問題であるが、個人情報の使用に関する明示的な同意は、英国GDPRにおける様々な適切な特別カテゴリー条件の一つに過ぎない。他の条件よりも本質的に「優れている」わけではない。
Any wider automatic reliance on consent around the use of genomic information for consumer purposes could also cause confusion and may prove to be inappropriate under the UK GDPR. People may assume they have the right to automatically withdraw consent even when organisations have not used consent as a basis, given the wider dialogue and calls for the use of consent. In fact, organisations may use other appropriate lawful bases. They need to be transparent about which basis they are using and people’s rights as a result. This transparency may prove more effective in helping people to truly understand how organisations are using their information and what their rights are. 消費者目的でのゲノム情報の使用に関する同意に広く自動的に依存することも、混乱を引き起こす可能性があり、英国GDPRの下では不適切であることが判明する可能性がある。人々は、同意の使用を求める広範な対話と呼びかけがあることから、組織が同意を根拠として使用していない場合でも、自動的に同意を撤回する権利があると考えるかもしれない。実際には、組織は他の適切な合法的根拠を使用することができる。組織は、どの根拠を使用しているのか、またその結果としての人々の権利について透明性を保つ必要がある。この透明性は、人々が組織がどのように自分たちの情報を利用しているのか、また自分たちの権利とは何なのかを真に理解する上で、より効果的であることが証明されるかもしれない。
Organisations should also be aware that the conditions for processing special category data are likely to be quite limited in a purely commercial scenario. Most of them concern public rather than private interests. There is a high threshold for processing special category data in most circumstances, and where there is no real public interest engaged, organisations will likely have to get explicit consent. 組織はまた、特別カテゴリーデータ処理の条件は、純粋に商業的なシナリオではかなり限定的である可能性が高いことを認識すべきである。そのほとんどは、私的利益よりもむしろ公的利益に関わるものである。ほとんどの状況において、特別カテゴリーデータの処理には高い閾値があり、真の公益が関与していない場合、組織は明確な同意を得なければならない可能性が高い。
Issue 2: Third-party data, historic data, future data and genomic data 課題2:サードパーティ・データ、過去のデータ、将来のデータ、ゲノム・データ
Genomic information poses significant challenges around the appropriate handling of third-party data. Familial information is fundamental to genomic information and any disclosure will inherently involve additional people. Organisations can consider pseudonymisation techniques, but these bring their own challenges as discussed below. We provide guidance as to how and when to appropriately share such third party information. ゲノム情報は、サードパーティ・データの適切な取り扱いをめぐる重大な課題を提起している。家族情報はゲノム情報の根幹をなすものであり、いかなる開示も本質的に新たな人々を巻き込むことになる。組織は偽名化(pseudonymisation)技術を検討することができるが、これには後述するような課題がある。私たちは、このようなサードパーティ情報をいつ、どのように共有するのが適切かについてのガイダンスを提供する。
This is a particular issue when considering appropriate disclosures in response to a subject access request. Use of genomic information or inferences derived from this may risk disclosing special category data linked to family members via genomic analysis. This has already been the case with genetic tests for inherited neurodegenerative conditions. 25 In such situations, inappropriate disclosure or withholding of personal information may present high risks of harm to people. これは、対象者の研究利用要請に応じた適切な開示を検討する際に特に問題となる。ゲノム情報の使用またはそこから導かれる推論は、ゲノム解析を通じて家族構成員 にリンクされた特別カテゴリーデータを開示するリスクになりうる。これは、遺伝性の神経変性疾患の遺伝学的検査において、すでに事例となっ ている25 。25 このような状況では、個人情報の不適切な開示や差し控えは、人々に危害を及ぼす高いリスク をもたらす可能性がある。
It also opens up the potential for third-party claims to information, which organisations may think relate to one another. However, given the nature of genomic information, it is likely that organisations will need to closely consider when and how both raw information and complex inferences may relate to and identify (or be capable of identifying) associated third parties. They will also need to consider when they should share this information. Organisations can use our guidance on how and when confidentiality and consent apply to help with this. また、情報に対するサードパーティからのクレームが発生する可能性もある。しかし、ゲノム情報の性質を考慮すると、組織は、生の情報と複雑な推論の両方が、いつ、どのように関連し、関連するサードパーティを特定する(または特定できる)可能性があるかを綿密に検討する必要があると思われる。また、どのような場合にこの情報を共有すべきかについても検討する必要があろう。組織は、機密保持と同意がどのように、またどのような場合に適用されるかについて、我々のガイダンスを利用することができる。
There is also an increased risk that direct-to-consumer services, like genomic counselling, may provide high-risk, high-impact information to people without the more traditional supporting structures of the health sector. Organisations using genomic information will need to pay careful attention to the context of their use. They will also have to put sufficient and appropriate security measures in place under Article 5(1)(f) and Article 32. Raw genomic information (i.e. the processed biological sample without further analysis) is currently unlikely to be easily identifiable by members of the public. However, this may rapidly change as access to AI processing increases, along with associated personal information. 26 また、ゲノムカウンセリングのような直接消費者にサービスを提供する場合、医療部門のより伝統的な支援体制を利用することなく、ハイリスクでインパクトの大きい情報を人々に提供する可能性がある。ゲノム情報を利用する組織は、その利用の背景に細心の注意を払う必要がある。また、第5条1項(f)および第32条に基づき、十分かつ適切な安全対策を講じる必要がある。生のゲノム情報(すなわち、さらなる分析が行われていない生物学的試料)は、現在のところ、一般の人々が容易に識別できる可能性は低い。しかし、AI処理へのアクセスが増加し、関連する個人情報とともに、この状況は急速に変化する可能性がある。26
Under the UK GDPR, information about a living person is classified as personal data. Information about a deceased person is not classified as personal data. Genetic information has already blurred the definition of historic information. As defined under Article 4 of the UK GDPR, genetic and now genomic information which wasn’t previously linked to a living person can now be linked through modern research techniques. Large-scale collection of genomic information heightens the risk further, given the information’s links to multiple living people, even when the person who provided the original sample and information has died. 英国のGDPRでは、生存する個人に関する情報は個人データに分類される。死亡した人に関する情報は個人データとして分類されない。遺伝子情報はすでに歴史的情報の定義を曖昧にしている。英国GDPRの第4条で定義されているように、以前は生存している個人にリンクされていなかった遺伝情報、そして現在のゲノム情報は、現代の研究技術によってリンクできるようになった。ゲノム情報の大規模な収集は、元のサンプルや情報をプロバイダから提供された人が死亡した場合でも、その情報が複数の生存している人にリンクしていることを考えると、リスクをさらに高めることになる。
Organisations retaining, gathering and using what they might assume to be historic information, should take appropriate steps to consider whether they need to consider this information as personal data. This is likely to be highly contextual and will not relate to the biological samples themselves. Rather, processed information and associated inferences such as phenotypes may relate to living people and, given the context of other records, may count as pseudonymised rather than anonymised. 歴史的情報と思われる情報を保持、収集、利用する組織は、その情報を個人データとみなす必要があるかどうかを検討するために適切な措置を講じるべきである。これは極めて文脈的なものであり、生物学的試料そのものに関連するものではな い可能性が高い。むしろ、処理された情報とそれに関連する表現型などの推論は、生きている人に関連する可能性があり、他の記録との関連性を考慮すると、匿名化ではなく仮名化としてカウントされる可能性がある。
In contrast to historic information is the challenge around potential future discoveries made with genomic information. Article 89 of the UK GDPR makes provisions for research purposes to retain information for both longer periods and a broad purpose. However, organisations using personal information for research purposes must put safeguards in place and, in particular, follow the principle of data minimisation. Organisations will need to ensure that, if new potential means of using genomic information emerge, they pay close attention to the implications and requirements of a change in purpose of processing. They will also need to consider how this may fall under people’s expectation about the fair use of their information. 歴史的な情報とは対照的に、ゲノム情報を使って将来発見される可能性があるという課題がある。英国GDPRの第89条は、研究目的について、より長い期間と広範な目的の両方について情報を保持する規定を設けている。しかし、研究目的で個人情報を使用する機関は、保護措置を講じ、特にデータ最小化の原則に従わなければならない。組織は、ゲノム情報を利用する新たな潜在的手段が出現した場合、処理目的の変更の意味合いと要件に細心の注意を払うようにする必要がある。また、情報の公正な利用に関する人々の期待にどのように該当するかを検討する必要がある。
Issue 3: Inherent identifiability, anonymisation and security of genomic data 課題3:ゲノムデータ固有の識別可能性、匿名化、セキュリティ
Genomic information is highly distinguishable. Linking a genome to a person only requires a few hundred (out of millions) of SNPs. 27 In many instances of business or research, organisations may prefer to either anonymise or pseudonymise personal information, 28 to minimise potential risks and harms to people. While the large-scale nature of genomic information and its associated risks would seem an obvious fit for this, there are challenges to anonymising genomic information. The levels of encryption or data obfuscation through methods like differential privacy may reduce the information’s value to GWAS. 29 ゲノム情報は高度に識別可能である。ゲノムを個人に結びつけるには、(数百万個のSNPのうち)数百個しか必要としない。27 多くのビジネスや研究機関では、潜在的なリスクや人への危害を最小化するために、個人情報を匿名化または仮名化することを好む場合がある28。ゲノム情報の大規模な性質とそれに関連するリスクは、このような場合に明らかに適しているように思われるが、ゲノム情報の匿名化には課題がある。差分プライバシーのような方法による暗号化やデータの難読化のレベルは、GWASにおける情報の価値を低下させる可能性がある。29
Approaches that may offer organisations some means of pseudonymisation include: 組織に仮名化の手段を提供する可能性のあるアプローチには以下のようなものがある:
Data transformation is likely to remain limited in deployment. This is because genomic information is fundamentally open to re-identification. This can happen through multiple pathways and correlations as high dimensionality information, where the number of dataset features are larger than the number of observations made. 30 Of the millions of SNPs within a genome, only a few hundred are required to identify someone. However, ongoing research in k-anonymity may offer future defences against re-identification. ・データ変換の展開は限定的であろう。というのも、ゲノム情報は基本的に再識別の可能性があるからである。これは、高次元情報としての複数のパスウェイや相関関係を通じて起こる可能性がある。30 ゲノム内の数百万のSNPのうち、誰かを識別するのに必要なのは数百に過ぎない。しかし、現在進行中のk-匿名性の研究が、将来的には再識別に対する防御策を提供するかもしれない。
Data obfuscation is achieved by adding noise to genomic information through techniques such as differential privacy. This is likely to have a significant negative impact on effective genomic research. データの難読化は、差分プライバシーなどの技術によってゲノム情報にノイズを加えることで達成される。これは、効果的なゲノム研究に重大な悪影響を及ぼす可能性が高い。
Synthetic data offers another approach, through the AI-powered generation of large-scale data sets that do not involve people. However, complexities with this approach emerge as to when and if the analysis and processing undertaken links to an identifiable person. 合成データは、人を介さない大規模なデータセットをAIで生成することで、別のアプローチを提供する。しかし、このアプローチでは、いつ、どのような分析や処理が行われ、それが識別可能な個人と結びつくのか、という複雑な問題が生じる。
For more information on privacy-enhancing technologies and data protection, please see our guide to what these are and how you can use them to meet your UK GDPR obligations and expectations. プライバシー強化技術とデータ保護の詳細については、プライバシー強化技術とは何か、また、英国GDPRの義務と期待に応えるためにプライバシー強化技術をどのように使用できるかについてのガイドを参照されたい。
Organisations may find it difficult to achieve pseudonymisation as technology rapidly increases in power and accessibility. In the longer term, this would allow smaller organisations and even people to conduct what were once challenging and lengthy analyses. Given this, organisations must consider other forms of appropriate security. 技術が急速に発展し、アクセスしやすくなるにつれて、組織は仮名化を達成することが困難になる可能性がある。長期的には、小規模な組織や個人でさえも、かつては困難で長かった分析を実施できるようになるだろう。このことを考えると、組織は他の適切なセキュリティの形態を検討しなければならない。
This may include data aggregation achieved through implementing a trusted research environment (TRE) that can limit direct access to genomic information and associated health information. Researchers may submit queries without direct access, however this may pose a challenge to forming open and agile research environments. これには、ゲノム情報や関連する健康情報への直接アクセスを制限できる信頼された研究環境(TRE)を導入することによって達成されるデータ集約が含まれる。研究者は直接アクセスすることなくクエリーアクセスを提出することができるが、これはオープンで機敏な研究環境を形成する上で課題となる可能性がある。
Issue 4: Fairness, accuracy and opinion – epigenetics and polygenic risk scoring. 課題4:公平性、正確性、意見-エピジェネティクスと多遺伝子リスクスコアリング。
Article 5(1)(d) of the UK GDPR states that personal information must be ‘accurate’ and rectified promptly where this is not the case. While the UK GDPR does not provide a definition of accuracy, the Data Protection Act 2018 says that ‘inaccurate’ means ‘incorrect or misleading as to any matter of fact’. With genomic information, the extraction of the DNA itself may introduce inaccuracies. Alternatively, the loss of metadata or the introduction of ambiguous or uncertain labelling of aspects of a genome may also cause inaccuracies. 31 英国GDPR第5条1項(d)は、個人情報は「正確」でなければならず、そうでない場合は速やかに是正されなければならないとしている。英国GDPRは正確性の定義を定めていないが、データ保護法2018によれば、「不正確」とは「事実に関して不正確または誤解を招く」ことを意味する。ゲノム情報の場合、DNAの抽出自体が不正確さをもたらす可能性がある。あるいは、メタデータの紛失や、ゲノムの側面のあいまいで不確実な表示の序文も不正確さの原因となりうる。31
Inferences derived from genomic information can also change due to epigenetic modifications. This happens where the instructions accessed and read from DNA can be altered temporarily or even permanently by a specific environmental factor such as stress or diet. 32 Even at the most basic level, we expect organisations to review their genomic information for accuracy, keep it up to date and label it as historic where required. ゲノム情報から導かれる推論は、エピジェネティックな変化によって変化することもある。これは、ストレスや食事などの特定の環境要因によって、DNAから読み取られる命令が一時的、あるいは永続的に変化する場合に起こる。32 最も基本的なレベルであっても、組織にはゲノム情報の正確性を確認し、最新の状態に保ち、必要な場合には歴史的情報であると表示することを期待する。
The probabilistic and contextual nature of second order information, such as polygenic risk scores, means that their accuracy is more likely to be open to debate. Estimating the gap between phenotypic information and genetic information that exists in many areas of study will remain highly challenging. Personal information may be produced that is probabilistic rather than absolute, based upon combined genomic data and potentially limited phenotype information. 多遺伝子リスクスコアのような二次情報は、確率的で文脈的な性質を持つため、その正確性については議論の余地がある。多くの研究分野で存在する表現型情報と遺伝情報とのギャップを推定することは、今後も非常に困難である。個人情報は、ゲノムデータと潜在的に限られた表現型情報の組み合わせに基づいて、絶対的というよりむしろ確率的に作成されるかもしれない。
The use of increasingly sophisticated AI models to estimate physical and behavioural aspects of a person brings its own risks around accuracy and transparency. 33 However, being based on statistical analysis rather than subjective opinion may limit the risk around personal information and accuracy under the UK GDPR. Nonetheless, AI systems must still be sufficiently statistically accurate for their purposes. This is to comply with the fairness principle and where organisations are using the models for automated decision making. 34 人の身体的・行動的側面を推定するために、ますます洗練されたAIモデルを使用することは、正確性と透明性に関わる独自のリスクをもたらす。33 しかし、主観的な意見ではなく、統計的分析に基づいているため、英国のGDPRの下では、個人情報と正確性にまつわるリスクは限定される可能性がある。それでもなお、AIシステムはその目的に対して十分に統計的に正確でなければならない。これは公平性の原則を遵守するためであり、組織が自動意思決定のためにモデルを使用する場合である。34
In the scenarios above, covering sectors ranging from healthcare to SEND provision to criminal charges, high-impact decisions may be taken overlaying human opinion on second order information produced by this type of processing. This in turn produces another set of personal (third order) information. There is a risk that the line between factual information (open to challenge as inaccurate) and opinion (which can be noted as challenged by a person but which remains a fundamentally accurate note as to an opinion held) becomes blurred, which impacts on our ability to assess accuracy. 上記のシナリオでは、ヘルスケアからSENDの提供、刑事告発に至るまで、様々な分野を対象としているが、この種の処理によって作成された二次情報に人間の意見を重ね合わせて、影響の大きい意思決定が行われる可能性がある。これによって、別の個人情報(第3次情報)が生成される。事実情報(不正確であるとして異議を申し立てることができる)と意見(人が異議を申し立てることができるが、保有する意見については基本的に正確なメモのままである)の境界線が曖昧になり、正確性をアセスメントする能力に影響を与えるリスクがある。
Our guidance on accuracy sets out measures to ensure that information is accurate or can be updated promptly and appropriately. It also provides details on the use of opinion to inform decisions and how to record challenges. Organisations will need to ensure the adequacy and accuracy of underlying information and to communicate how they reached their decisions in a transparent and robust manner. 正確性に関するガイダンスでは、情報が正確であること、または迅速かつ適切に更新されることを保証するための方策を定めている。また、意思決定に情報を提供するための意見の使用や、異議申し立ての記録方法についても詳述している。組織は、基礎となる情報の十分性と正確性を確保し、どのように決定に至ったかを透明かつ強固な方法でコミュニケーションする必要がある。
It is also likely that it will be increasingly difficult for people to understand when organisations hold inaccurate personal information or when organisations have made inaccurate inferences. This is because genomic information itself is highly complex and even inferences are likely to require significant technical knowledge to interpret. Combined with the challenges of ‘black box’ style algorithmic processing, the challenges to transparency may be significant. Organisations should follow our guidance on the lawful fairness and transparency principle to ensure they meet our expectations. Furthermore, if the algorithmic processing amounts to automated decision-making within the meaning of Article 22, there are enhanced requirements relating to transparency. また、組織が不正確な個人情報を保有している場合や、組織が不正確な推論を行った場合、人々がそれを理解することはますます困難になると思われる。というのも、ゲノム情報自体が非常に複雑であり、推論を解釈するにもかなりの技術的知識を必要とする可能性が高いからである。ブラックボックス」的なアルゴリズム処理の課題と相まって、透明性への挑戦は重大なものとなる可能性がある。組織は、私たちの期待に確実に応えるために、合法的な公正さと透明性の原則に関するガイダンスに従うべきである。さらに、アルゴリズム処理が第22条の意味における自動意思決定に相当する場合は、透明性に関する要件が強化される。
Issue 5: Genomic determinism and discrimination 課題5:ゲノム決定論と識別性
As increasingly large data sets are derived and analysed, new forms of discrimination may emerge. Without robust and independent verification of these models, there is a risk that these approaches will be rooted in systemic bias, providing inaccurate and discriminatory information about people and communities. In many instances, this information may then feed into automated systems, raising further questions over Article 22 processing and transparency. ますます大規模なデータセットが導き出され、分析されるにつれて、新たな識別的形態が出現する可能性がある。このようなモデルの確固とした独立した検証がなければ、このようなアプローチが制度的バイアスに根ざし、人々やコミュニティに関する不正確で差別的な情報を提供するリスクがある。多くの場合、この情報は自動化されたシステムに反映され、第22条の処理と透明性にさらなる疑問を投げかけることになる。
There are also concerns about inappropriate discrimination arising from the current reliance on genomic data sets based on ancestrally European sources. 35 This focus is likely to generate inaccurate information and inferences about other communities and genetic ancestries. As a result, combining broader healthcare records with genomic information and phenotypes to develop outcomes for predictive treatments may reflect and enhance embedded bias and existing discrimination. 36 また、先祖伝来のヨーロッパ人の情報源に基づくゲノムデータセットに現在依存していることから、不適切な識別が生じる懸念もある35。35 この焦点は、他のコミュニティや遺伝的祖先に関する不正確な情報や推論を生み出す可能性が高い。その結果、より広範な医療記録とゲノム情報及び表現型を組み合わせて、予測治療のためのアウトカムを開発することは、埋め込まれたバイアスや既存の差別を反映し、強化する可能性がある。36
Active, rather than systemic, discrimination may also emerge. This may see specific traits, characteristics and information becoming seen as undesirable by organisations or groups, without being considered a protected characteristic. Alternatively, this may feed upon the perceived ‘accuracy’ of polygenic risk scoring, in which probabilistic tendencies become viewed as a guaranteed outcome. People may experience unfair treatment in the workplace or services they are offered based on previously unrecognised characteristics or existing physical or mental conditions. The UK GDPR already sets out requirements that may mitigate these issues. These include (but are not limited to): 制度的というよりも、積極的な差別も出現する可能性がある。これは、保護特性とはみなされなくても、特定の特徴、特性、情報が組織や集団から好ましくないとみなされるようになることを意味する。あるいは、多遺伝子リスクスコアリングの「正確さ」が認知され、確率的傾向が保証された結 果とみなされるようになることもある。人々は、これまで認識されていなかった特性や既存の身体的・精神的状態に基づき、職場や提供されるサービスにおいて不当な扱いを受ける可能性がある。英国のGDPRはすでに、こうした問題を軽減する可能性のある要件を定めている。これには以下が含まれる(ただし、これらに限定されない):
・the fairness principle; ・公平性の原則
・protections for special category data; ・特別カテゴリーデータの防御
・requirements for data protection by design and default; and ・デザインおよびデフォルトによるデータ保護の防御要件
・protections for automated decision-making and profiling. ・自動化された意思決定とプロファイリングに対する防御。
In the face of the above risks, organisations should consider our guidance on addressing fairness, bias and discrimination. 上記のリスクに直面した場合、組織は公平性、バイアス、識別的データへの対応に関するガイダンスを考慮する必要がある。
In non-medical contexts, genomic information may not be classified as special category data, reducing the legal safeguards and restrictions around its processing. This may result in organisations failing to implement best practice around technical security in order to ensure that genomic information and its associated inferences remain safe from loss or theft. 医療以外の文脈では、ゲノム情報は特別カテゴリーデータに分類されない場合があり、その処理に関する法的セーフガードや制限が緩和される。その結果、組織はゲノム情報とその関連推論を紛失や盗難から確実に守るための技術的セ キュリティに関するベストプラクティスを実施できない可能性がある。
Issue 6: Data minimisation, purpose limitation and genomic information 課題6:データの最小化、目的の限定及びゲノム情報
Genomic information may pose particular challenges around data minimisation and purpose limitation, particularly in direct-to-consumer services where providers hold significant sections of genomes and, in the future, potentially whole genomes with the intention of future findings becoming accessible for consumers. Organisations will need to consider carefully whether processing entire genomes is necessary for their purposes, both in the initial analysis of raw information and in the longer term. ゲノム情報は、特にプロバイダがゲノムの大部分、将来的には全ゲノムを保有し、将来的 に消費者がアクセスできるようになる可能性がある消費者直接サービスにおいて、データ の最小化と目的制限に関する特別な課題をもたらす可能性がある。組織は、生情報の初期分析においても、長期的な分析においても、全ゲノムを処理することがその目的にとって必要かどうかを慎重に検討する必要がある。
Multiomic analysis combines large omics information sets (that define the entire biological processes of a biological system) to generate new insights and inferences. This approach highlights the complex interplay in the shift of purpose, and organisations will again need to consider what information they need for a specific purpose. Fundamentally, this reinforces the significant challenges in gathering and using personal information in a rapidly moving area. マルチオミクス分析は、大規模なオミクス情報セット(生物学的システムの生物学的プロセス全体を定義する)を組み合わせて、新たな洞察と推論を生み出す。このアプローチは、目的の転換における複雑な相互作用を浮き彫りにし、組織は特定の目的のためにどのような情報が必要かを再び検討する必要がある。基本的に、このことは、急速に変化する分野における個人情報の収集と利用における重大な課題を補強するものである。
Issue 7: AI and genomics 課題7:AIとゲノミクス
A constant theme throughout the emerging uses of genomic information has been the algorithmic processing of large-scale, complex information. There is significant discussion on the implementation of AI in genomics, for both current and future research which carries significant data protection implications. 37 Key elements to the increased demand of the use of algorithmic processing of genomic information include: ゲノム情報の新たな利用法を通して一貫しているテーマは、大規模で複雑な情報のアルゴリズム処理である。ゲノミクスにおけるAIの導入については、現在および将来の研究において重要な議論がなされており、データ保護に重大な影響を及ぼす。37 ゲノム情報のアルゴリズミック・プロセッシングの需要が高まっている主な要素は以下の通りである:
the size and complexity of genomic datasets; ゲノムデータセットの大きさと複雑さ;
the need for rapid specialist insights and inferences derived from the complex data in an intelligible format and; 複雑なデータから導き出される専門家としての洞察や推論を、理解しやすい形式で迅速に行う必要性;
correlation between health records and genomic information to interpret phenotypes. 表現型を解釈するための健康記録とゲノム情報との相関関係。
Varying dataset formats, a wide means of gathering information without a universal agreed practice and standards outside of the medical and research sectors and an ancestrally Eurocentric focus on genomic data risks the embedding of fundamental discrimination as noted above. This may only be enhanced through the use of multi-purpose models not initially trained for the purpose of analysing genomic data. 多様なデータセット形式、医療・研究分野以外での普遍的な合意や標準のない幅広い情報収集手段、そして先祖代々ヨーロッパ中心であるゲノムデータへの注目は、上述のような基本的差別を埋め込むリスクとなる。これは、ゲノムデータを分析する目的で最初に訓練されたものではない多目的モデルの使用によってのみ強化される可能性がある。
The use of polygenic risk scores to make decisions about individuals may, depending on the level of human involvement, as well as the extent to which these scores are determinative of outcomes for individuals, amount to automated individual decision-making within the meaning of Article 22. 38 Our guidance about automated decision-making and profiling sets out that a decision that has a ‘similarly significant’ effect is something that has an equivalent impact on a person’s circumstances, behaviour or choices. The scenarios set out above, for both preventative healthcare and SEND provision highlight potential areas in which rapid and potentially automated decisions may be made with significant consequences based upon probabilistic predictions. 個人に関する決定を行うために多遺伝子リスクスコアを使用することは、人間の関与の程度や、これらのスコアが個人の結果を決定する程度によっては、第22条の意味における自動化された個人の意思決定に相当する可能性がある。38 自動化された意思決定とプロファイリングに関するガイダンスでは、「同様に重大な」影響を及ぼす意思決定とは、個人の状況、行動、選択に同等の影響を及ぼすものであると定めている。予防医療と SEND の提供の両方について上に示したシナリオは、迅速かつ潜在的に自動化された決定が、 確率論的予測に基づいて重大な結果をもたらす可能性のある分野を浮き彫りにしている。
Where automated processing does amount to solely automated individual decision-making or profiling within the meaning of Article 22, this may present a significant challenge to an organisation’s activities. Organisations may only carry out such processing when they meet one of the conditions in Article 22(2) (where this is necessary for a contract, is required or authorised by domestic law, or where someone gives their explicit consent). They can also only carry out automated individual decision-making based on special category personal information in very limited circumstances. People who are subject to such decisions have rights under the UK GDPR to obtain meaningful human intervention in the decision-making. They must have the opportunity to express their point of view and challenge decisions. Organisations must consider what appropriate intervention may look like for each situation. 自動化された処理が、第22条の意味におけるもっぱら自動化された個人の意思決定またはプロファイリングに相当する場合、これは組織の活動に重大な課題をもたらす可能性がある。組織は、第22条2項の条件(契約に必要な場合、国内法で要求または認可されている場合、誰かが明示的に同意した場合)のいずれかを満たした場合にのみ、そのような処理を行うことができる。また、特別カテゴリーの個人情報に基づく自動化された個人の意思決定は、極めて限定された状況においてのみ行うことができる。このような意思決定の対象となる人々は、英国GDPRの下で、意思決定への有意義な人的介入を得る権利を有する。彼らは自分の意見を表明し、意思決定に異議を唱える機会を持たなければならない。組織はそれぞれの状況に応じて、適切な介入がどのようなものかを検討しなければならない。
There are also increased transparency requirements for organisations undertaking individual automated decision-making. They must provide people with meaningful information about the logic involved, as well as the significance and envisaged consequences (Articles 13(2)(f) and 14(2)(g)). また、個別の自動意思決定を行う組織に対する透明性要件も強化されている。組織は、関係する論理、重要性、想定される結果について、意味のある情報を人々に提供しなければならない(第13条2項(f)および第14条2項(g))。
24 The human genome is, at long last, complete  24 ヒトゲノムがついに完成した 
25 Huntington's disease: Woman with gene fails in bid to sue NHS 25 ハンチントン病 遺伝子を持つ女性、NHSを提訴するも失敗
26 The GDPR and genomic data 26 GDPRとゲノムデータ
27 Classifying single nucleotide polymorphisms in humans  27 ヒトの一塩基多型を分類する 
28 Noting that “pseudonymised personal information” is still personal data within the meaning of UK GDPR. 28 「仮名化された個人情報」は、英国のGDPRの意味においては依然として個人データである。
29 Sociotechnical safeguards for genomic data privacy 29 ゲノムデータ・プライバシーのための社会技術的セーフガード
30 Marchini, J. & Howie, B. Genotype imputation for genome-wide association studies. Nat. Rev. Genet. 11, 499–511 (2010) 30 Marchini, J. & Howie, B. ゲノムワイド関連研究のための遺伝子型インピュテーション。Nat. Nat. Rev. Genet. 11, 499-511 (2010)
31 Caudai, Claudia, Antonella Galizia, Filippo Geraci, Loredana Le Pera, Veronica Morea, Emanuele Salerno, Allegra Via, and Teresa Colombo. 2021. “AI Applications in Functional Genomics.” Computational and Structural Biotechnology Journal 19: 5762–90.  31 Caudai, Claudia, Antonella Galizia, Filippo Geraci, Loredana Le Pera, Veronica Morea, Emanuele Salerno, Allegra Via, and Teresa Colombo. 2021. 「AI Applications in Functional Genomics」. Computational and Structural Biotechnology Journal 19: 5762-90. 
32 Environmental exposures influence multigenerational epigenetic transmission 32 環境エクスポージャーは多世代エピジェネティック伝達に影響を及ぼす
33 Dias, Raquel, and Ali Torkamani. 2019. “Artificial Intelligence in Clinical and Genomic Diagnostics.” Genome Medicine 11 (1): 70.  33 Dias, Raquel, and Ali Torkamani. 2019. 「Artificial Intelligence in Clinical and Genomic Diagnostics」. Genome Medicine 11 (1): 70. 
34 See UK GDPR Recital 71 for further details.  34 詳細は英国GDPR前文71を参照のこと。
35 Kessler, M., Yerges-Armstrong, L., Taub, M. et al. Challenges and disparities in the application of personalized genomic medicine to populations with African ancestry. Nat Commun 7, 12521 (2016). 35 Kessler, M., Yerges-Armstrong, L., Taub, M. et al. Challenges and disparities in the application of personalized genomic medicine to populations with African ancestry. Nat Commun 7, 12521 (2016).
36 Chen, Irene Y., Peter Szolovits, and Marzyeh Ghassemi. 2019. “Can AI Help Reduce Disparities in General Medical and Mental Health Care?” AMA Journal of Ethics 21 (2): E167-179. 36 Chen, Irene Y., Peter Szolovits, and Marzyeh Ghassemi. 2019. 「Can AI Help Reduce Disparities in General Medical and Mental Health Care?" AIは一般医療とメンタルヘルスケアにおける格差是正に役立つか?AMA Journal of Ethics 21 (2): E167-179.
37 DNA.I. - Ada Lovelace Institute 37 DNA.I. - エイダ・ラブレス機構
38 Article 22 regulates the circumstances in which solely automated decisions with legal effects or similarly significant effects on individuals may be taken. 38 第22条は、個人に対して法的効果または類似の重大な影響を及ぼす、もっぱら自動化された決定を行うことができる状況を規制している。

1_20241119235601

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.01.15 フランス CNIL 2024年オリンピック・パラリンピック:CNIL、法律案に関する意見を発表(遺伝子特徴の検査、拡張カメラ関係)

2021.10.11 米国 カリフォルニア州 遺伝情報プライバシー法を制定

・2021.05.13 中国 意見募集 顔認識、歩行認識、音声認識に続けて、遺伝子認識のデータセキュリティ要件の国家標準案を発表し、意見募集していますね。。。

・2021.03.24 経済産業省 「経済産業分野のうち個人遺伝情報を用いた事業分野における個人情報保護ガイドライン」を改正

・2020.09.03 カリフォルニア州 匿名化された健康情報に関する法案(AB 713)と遺伝的プライバシー情報に関する法案(SB 980)を可決

 

少し古いですが...

・2005.03.06 経済産業省 個人遺伝情報のウェブ

・2004.12.28 経済産業分野のうち個人遺伝情報を用いた事業分野における個人情報保護ガイドライン

 

| | Comments (0)

欧州議会 暗号セキュリティ: 欧州のデジタル主権に不可欠

こんにちは、丸山満彦です。

欧州議会のシンクタンクが、暗号は、デジタル主権に不可欠という文書を公表しています。

暗号を主権(必ずしも国家主権ではないかもしれませんが)と繋げて考えるというのは、日本ではあまりないのかもしれませんが、そうだと思っています。暗号が破られない前提で現在のデジタル社会は成り立っているので、暗号が破られるというのは、デジタル社会の崩壊を表すことになりますよね...

ということで、量子コンピュータの開発競争と同様に、耐量子暗号の社会への実装も重要ですよね...

(量子暗号通信については、どこまで実用に耐えられるのか?という点でいろいろな考えがあるかもしれませんね...)

 

European Parliament - Think Tank

・2024.11.06 Cryptographic security: Critical to Europe's digital sovereignty

Cryptographic security: Critical to Europe's digital sovereignty 暗号セキュリティ: 欧州のデジタル主権に不可欠
By the 2030s, quantum computers might compromise traditional cryptography, putting digital infrastructure at high risk in the European Union (EU) and around the world. Specifically, it is expected that quantum computers' unique capabilities will allow them to solve complex mathematical problems, such as breaking the traditional cryptographic systems used universally. The confidentiality, integrity and authenticity of sensitive data – including health, financial, security and defence information – will be exposed to threats from any actor possessing a sufficiently powerful quantum computer. There is a pressing need for the EU to start preparing its digital assets to face this risk. Post-quantum cryptography (which uses classical computer properties) and quantum cryptography (which uses quantum mechanical properties) are the two types of critical technology able to protect digital infrastructure from quantum computer attacks. Robust post-quantum cryptography algorithms have been identified, but swift and efficient implementation is crucial before malicious actors exploit the power of quantum computers. Experts stress the need for quantum preparedness to be put in place now, with some of them even warning of a 'quantum cybersecurity Armageddon'. Several countries are adopting strategies to address post-quantum cryptography. The EU is working with Member States and the United States to speed up the transition to post-quantum cryptography, and is also exploring long-term quantum cryptography initiatives. 2030年代までに、量子コンピュータが従来の暗号技術を危うくし、欧州連合(EU)および世界中のデジタル・インフラを高いリスクにさらすかもしれない。具体的には、量子コンピュータのユニークな能力により、普遍的に使用されている従来の暗号システムを破るなど、複雑な数学的問題を解くことが可能になると予想されている。健康、金融、セキュリティ、防衛情報を含む機密データの機密性、完全性、認証は、十分に強力な量子コンピュータを保有する脅威行為者にさらされることになる。EUは、このリスクに直面するデジタル資産の準備に着手することが急務である。耐量子暗号(古典コンピュータの特性を利用)と量子暗号(量子力学的特性を利用)は、量子コンピュータの攻撃からデジタル・インフラを守ることができる2種類の重要技術である。耐量子暗号アルゴリズムは特定されているが、悪意ある行為者が量子コンピュータのパワーを利用する前に、迅速かつ効率的な実装が不可欠である。専門家の中には「量子サイバーセキュリティ・アルマゲドン」の到来を警告する者もいる。いくつかの国では、耐量子暗号に対応するための戦略を採用している。EUは加盟国や米国と協力し、耐量子暗号への移行を加速させるとともに、長期的な量子暗号への取り組みを模索している。

 

・[PDF

20241119-64229

 

Cryptographic security: Critical to Europe's digital sovereignty  暗号セキュリティ: 欧州のデジタル主権に不可欠 
IN THIS BRIEFING  このブリーフィングでは 
• What is cryptography and how is it used?  ・暗号とは何か、どのように使われているのか。
• What is dismantling the security of traditional cryptography?  ・伝統的な暗号の安全性を崩壊させているものは何か?
• Quantum and post-quantum cryptography to the rescue  ・量子暗号と耐量子暗号による救済 
• What the EU is doing  ・EUの取り組み 
• International perspectives on the quantum transition 
・量子移行に関する国際的視点 
• Challenges and potential action 
・課題と潜在的行動 
SUMMARY  概要 
By the 2030s, quantum computers might compromise traditional cryptography, putting digital infrastructure at high risk in the European Union (EU) and around the world. Specifically, it is expected that quantum computers' unique capabilities will allow them to solve complex mathematical problems, such as breaking the traditional cryptographic systems used universally. The confidentiality, integrity and authenticity of sensitive data – including health, financial, security and defence information – will be exposed to threats from any actor possessing a sufficiently powerful quantum computer. There is a pressing need for the EU to start preparing its digital assets to face this risk.  2030年代までに、量子コンピューターが従来の暗号技術を危うくし、欧州連合(EU)および世界中のデジタル・インフラを高いリスクにさらす可能性がある。具体的には、量子コンピュータのユニークな能力により、普遍的に使用されている従来の暗号システムを破るなど、複雑な数学的問題を解くことが可能になると予想されている。健康、金融、セキュリティ、防衛情報を含む機密データの機密性、完全性、認証は、十分に強力な量子コンピュータを保有する脅威行為者にさらされることになる。EUは、このリスクに直面するデジタル資産の準備に着手することが急務である。
Post-quantum cryptography (which uses classical computer properties) and quantum cryptography (which uses quantum mechanical properties) are the two types of critical technology able to protect digital infrastructure from quantum computer attacks. Robust post-quantum cryptography algorithms have been identified, but swift and efficient implementation is crucial before malicious actors exploit the power of quantum computers. Experts stress the need for quantum preparedness to be put in place now, with some of them even warning of a 'quantum cybersecurity Armageddon'. 
耐量子暗号(古典コンピュータの特性を利用)と量子暗号(量子力学的特性を利用)は、量子コンピュータ攻撃からデジタルインフラを保護することができる2種類の重要技術である。耐量子暗号アルゴリズムは特定されているが、悪意ある行為者が量子コンピュータのパワーを利用する前に、迅速かつ効率的な実装が不可欠である。専門家の中には「量子サイバーセキュリティ・アルマゲドン」の到来を警告する者もいる。

Several countries are adopting strategies to address post-quantum cryptography. The EU is working with Member States and the United States to speed up the transition to post-quantum cryptography, and is also exploring long-term quantum cryptography initiatives. いくつかの国では、耐量子暗号に対応するための戦略を採用している。EUは加盟国や米国と協力し、耐量子暗号への移行を加速させており、長期的な量子暗号への取り組みも模索している。
What is cryptography and how is it used?  暗号とは何か、どのように使われるのか?
Cryptography is the discipline of protecting information by designing principles, means and methods to prevent unauthorised access. It is primarily employed to protect sensitive information such as government confidential data, electronic payments, private internet communications, and data stored in computer systems. Cryptography encompasses encryption and decryption techniques involving algorithms and mathematical functions for ensuring safety and confidentiality of data both when stored or transmitted between information systems.  暗号技術とは、不正アクセスを防止するための原理、手段、方法を設計することによって情報を保護する学問である。主に、政府の機密データ、電子決済、個人的なインターネット・コミュニケーション、コンピューター・システムに保存されたデータなどの機密情報を保護するために使用される。暗号機能には、アルゴリズムや数学的関数を含む暗号化・復号化技術が含まれ、データの安全性と機密性を確保するためのものである。 
Cryptographic algorithms transform data using variables called keys, providing protection. The security of keys is crucial for maintaining the security of the protected data. However, just like a physical lock, a malicious actor could compromise the cryptographic security of protected information if it obtains the keys.  暗号アルゴリズムは、鍵と呼ばれる変数を用いてデータを変換し、保護を提供する。鍵のセキュリティは、保護されたデータの安全性を維持するために極めて重要である。しかし、物理的な錠前と同じように、悪意のある行為者が鍵を入手すれば、保護された情報の暗号セキュリティを損なう可能性がある。
Classical cryptographic systems: Symmetric and asymmetric cryptography 古典的な暗号システム:対称暗号と非対称暗号
Most encrypted communications nowadays rely on symmetric-key and asymmetric-key cryptography algorithms. Symmetric and asymmetric schemes differ in the way the cryptographic keys are distributed. Symmetric-key algorithms use the same keys for encryption and decryption, meaning that both the originator and the recipient of cryptographically protected information know the keys in order to communicate. Symmetric cryptography is used for the bulk encryption of a large amount of data (e.g. for card transactions in the banking sector). However, if an attacker manages to intercept the keys, the protected information will no longer be secret.  現在、ほとんどの暗号化コミュニケーションは、共通鍵と非対称鍵の暗号アルゴリズムに依存している。共通鍵方式と非対称鍵方式は、暗号鍵の配布方法が異なる。共通鍵アルゴリズムは、暗号化と復号に同じ鍵を使用する。つまり、暗号的に保護された情報の発信者と取得者の両方が、通信するための鍵を知っていることを意味する。共通暗号は、大量のデータを一括して暗号化する際に使用される(例:銀行部門のカード取引)。しかし、攻撃者が鍵の傍受に成功した場合、保護された情報はもはや秘密ではなくなる。 
Asymmetric-key algorithms (also known as public-key encryption) use different keys for encryption and decryption, one public key and one private key. The information is encrypted with the recipient's public key and only the owner of the secret private key can decrypt it.1 Because private keys are never meant to be shared, key interception attacks are less feasible. As a result, most cryptographic entity and key establishment functions use publickey cryptography (e.g. for digital signature).  非対称鍵アルゴリズム(公開鍵暗号化とも呼ばれる)では、暗号化と復号にそれぞれ異なる鍵(公開鍵と秘密鍵)を使用する。情報は取得者の公開鍵で暗号化され、秘密の秘密鍵の所有者のみが復号化できる1。秘密鍵は決して共有されることを意図していないため、鍵の傍受攻撃は実現可能性が低い。その結果、ほとんどの暗号事業体や鍵確立機能は公開鍵暗号を使用している(電子署名など)。
To summarise, symmetric encryption algorithms are a fast and efficient way of protecting data by requiring less computational power than asymmetric encryption algorithms, but pose more challenges for managing keys (e.g. making and keeping the keys secure) compared to asymmetric encryption algorithms. Hence, cryptographic systems to secure information often combine these two algorithms. First, asymmetric cryptography is used to exchange keys between two parties in a secure way. Then, the parties will use the keys to communicate with each other in encrypted form, switching to symmetric cryptography. 要約すると、対称暗号化アルゴリズムは非対称暗号化アルゴリズムよりも少ない計算能力でデータを保護できるため、高速で効率的な方法であるが、非対称暗号化アルゴリズムに比べて鍵の管理(鍵の作成や安全性の維持など)に多くの課題がある。したがって、情報を保護するための暗号システムは、この2つのアルゴリズムを組み合わせることが多い。まず、非対称暗号を使用して2つの当事者間で安全に鍵を交換する。次に、対称暗号に切り替えて、当事者同士が暗号化された形でコミュニケーションを行うために鍵を使用する。
Focus on main cryptographic algorithms  主な暗号アルゴリズムに注目する 
There are myriad cryptographic algorithms, but the Advanced Encryption Standard, the Rivest-ShamirAdleman, and Elliptic-Curve Cryptography are probably the best known. The Advanced Encryption Standard (AES) is a symmetric-key cryptographic algorithm that operates a series of mathematical operations on fixed-length blocks of bits of given information and with a defined key. It was called Rijndael before being selected by the U.S. National Institute of Standards and Technology (NIST) as the AES in 2001. Usually combined with other cryptographic algorithms, it is widely used in our dayto-day digital tools and services. For instance, WhatsApp uses AES to protect messages.  暗号アルゴリズムは無数にあるが、Advanced Encryption Standard、Rivest-Shamir-Adleman、楕円曲線暗号が最もよく知られているだろう。AES(Advanced Encryption Standard)は共通鍵暗号アルゴリズムで、与えられた情報の固定長のビット・ブロックに対して、定義された鍵で一連の数学的操作を行う。2001年に米国国立標準技術研究所(NIST)によってAESとして選定されるまでは、Rijndaelと呼ばれていた。通常、他の暗号アルゴリズムと組み合わされ、日々のデジタルツールやサービスで広く使われている。例えば、WhatsAppはメッセージの保護にAESを使用している。 
The Rivest-Shamir-Adleman (RSA) is an asymmetrickey cryptographic algorithm relying on the difficulty of factoring the product of two large prime numbers. It was invented in 1977 at MIT by R. Rivest, A. Shamir and L. Adleman. Despite its age, RSA is still being widely used and is usually combined with other encryption algorithms. However, new types of algorithm using different mathematical properties are now considered more efficient than RSA.  RSA(Rivest-Shamir-Adleman)は、2つの大きな素数の積の因数分解の難しさに依存する非対称鍵暗号アルゴリズムである。1977年にR. Rivest、A. Shamir、L. AdlemanによってMITで発明された。その古さにもかかわらず、RSAはいまだに広く使われており、通常は他の暗号化アルゴリズムと組み合わされている。しかし現在では、異なる数学的特性を利用した新しいタイプのアルゴリズムが、RSAよりも効率的であると考えられている。 
Elliptic-Curve Cryptography (ECC) is a type of cryptography that emerged as a better alternative to RSA, especially for key exchanges. ECC-based cryptographic algorithms rely on the difficulty of solving the discrete logarithm problem. In 2013, the NIST created standards for specific curves for the implementation of ECC algorithms. Ten years later, they issued new standards including curves identified by researchers and organisations as better options.  楕円曲線暗号(ECC)は暗号の一種で、特に鍵交換においてRSAに代わる優れた暗号として登場した。ECCベースの暗号アルゴリズムは、離散対数問題を解くことの難しさに依存している。2013年、NISTはECCアルゴリズムを実装するための特定の曲線の標準を作成した。それから10年後、NISTは研究者や研究機関がより良い選択肢として特定した曲線を含む新しい標準を発表した。 
What is dismantling the security of traditional cryptography?  何が従来の暗号のセキュリティを取り壊していくのか?
The security of many cryptographic systems relies on the difficulty of solving certain mathematical problems, such as factoring large numbers or solving discrete logarithm problems. Classical computers struggle to solve these mathematical problems in a reasonable amount of time, making these mathematical problems suitable for securing sensitive data. Quantum computers pose a significant threat to the security of classical cryptography (symmetric and asymmetric, with asymmetric cryptography more affected than symmetric cryptography by the quantum threat) because they would be able to efficiently solve certain mathematical problems that classical computers struggle with. This is due to the fact that quantum computers operate on quantum mechanical principles, which would allow them to perform certain complex calculations much faster than classical computers. Algorithms to break traditional cryptography using quantum computers already exist, with Shor's algorithm being the most notable example. 多くの暗号システムの安全性は、大きな数の因数分解や離散対数問題の解決など、特定の数学的問題を解くことの難しさに依存している。古典的なコンピューターは、これらの数学的問題を合理的な時間で解くのに苦労しており、これらの数学的問題を機密データのセキュリティに適したものにしている。量子コンピュータは、古典暗号(対称暗号と非対称暗号があり、非対称暗号の方が対称暗号よりも量子の脅威による影響が大きい)の安全性に重大な脅威をもたらす。なぜなら、量子コンピュータは古典コンピュータが苦手とする特定の数学的問題を効率的に解くことができるからだ。これは、量子コンピュータが量子力学の原理に基づいて動作するため、古典的なコンピュータよりもはるかに高速に特定の複雑な計算を行うことができるためである。量子コンピューターを使った従来の暗号を破るアルゴリズムはすでに存在し、ショールのアルゴリズムはその最も顕著な例である。
Although quantum computers with sufficient power and reliability to break classical cryptography (also known as large-scale quantum computers) do not exist yet, the potential threat is real, and the security of widely used encryption methods might be severely compromised. While some engineers 'predict that within the next twenty or so years sufficiently large quantum computers will be built to break all cryptographic schemes currently in use', most experts believe that the first breaches of encryption methods by quantum computers might already materialise in the late 2030s. In a report, the German government stated, as a risk assessment, that 'cryptographically relevant quantum computers will be available in the early 2030s', so just 10 years away.  古典暗号を破るのに十分なパワーと信頼性を持つ量子コンピューター(大規模量子コンピューターとも呼ばれる)はまだ存在しないが、潜在的な脅威は現実のものとなっており、広く使われている暗号化手法の安全性が著しく損なわれる可能性がある。今後20数年のうちに、現在使われているすべての暗号方式を破るのに十分な大きさの量子コンピューターが製造されると予測する」エンジニアもいるが、ほとんどの専門家は、量子コンピューターによる暗号方式の最初の侵害は、2030年代後半にはすでに実現するかもしれないと考えている。ドイツ政府は報告書の中で、リスクアセスメントとして「2030年代初頭には暗号に関連する量子コンピュータが利用可能になる」と述べている。
ENISA, the European Union Agency for Cybersecurity, stressed how 'not all development in the area of building quantum computers is public and it is fairly likely that the first fully-functional large quantum computer will not be publicly announced, but rather sit in the basement of some government agency'. Therefore, to maintain information security, security systems should start preparing as soon as possible to resist large-scale quantum computers.  欧州連合(EU)のサイバーセキュリティ機関であるENISAは、「量子コンピュータの構築に関するすべての開発が公開されているわけではなく、最初に完全に機能する大型量子コンピュータが公開されることはなく、どこかの政府機関の地下室に置かれる可能性がかなり高い」と強調している。したがって、情報セキュリティを維持するためには、セキュリティシステムは大規模量子コンピューターに対抗する準備をできるだけ早く始めるべきである。
There are two main types of threat posed by quantum to traditional cryptography, unfolding in two phases. First, store-nowdecrypt-later (SNDL) attacks (also known as harvest attacks) represent an active threat that puts current data at risk. Second, the emergence of future large-scale quantum computers will jeopardise all data encrypted with traditional methods (e.g. breaking popular cryptographic algorithms such as RSA and ECC).  量子が従来の暗号にもたらす脅威には、大きく分けて2つのタイプがあり、2つのフェーズで展開される。第一に、Store-nowdecrypt-later(SNDL)攻撃(ハーベスト攻撃とも呼ばれる)は、現在のデータをリスクにさらす積極的な脅威である。第二に、将来の大規模量子コンピュータの出現は、従来の方法で暗号化されたすべてのデータを危険にさらす(例えば、RSAやECCなどの一般的な暗号アルゴリズムを破る)。
Harvest attacks  ハーベスト攻撃 
Store-now, decrypt-later attacks ('harvest attacks'), occur when threat actors collect and store encrypted data, planning to decrypt it once they acquire decryption capabilities. Harvest attacks target very sensitive information with long-term strategic value, such as classified state secrets. In other words, harvest attacks bring a future threat into the present, making it a current concern that requires the transition to postquantum cryptography (PQC). At present, quantum computers are not sufficiently mature for decrypting harvested data, but this might change in 15 to 20 years from now, according to ENISA. Because the resources needed to carry out such an attack are so significant, nation-state threat actors are among the first suspects in terms of preparing harvest attacks.  Store-now、Decrypt-later攻撃(「Harvest攻撃」)は、脅威行為者が暗号化されたデータを収集・保管し、復号化能力を獲得したら復号化しようと企てることで発生する。ハーベスト攻撃は、国家機密のような長期的な戦略的価値を持つ非常に機密性の高い情報を標的にする。言い換えれば、ハーベスト攻撃は未来の脅威を現在に持ち込むものであり、耐量子暗号(PQC)への移行を必要とする現在の懸念事項となっている。現在のところ、量子コンピュータはハーベスト・データを解読するのに十分な成熟度を持っていないが、ENISAによれば、15年後、20年後にはこの状況が変わるかもしれないという。このような攻撃を実行するために必要なリソースは非常に大きいため、国家レベルの脅威行為者は、ハーベスト攻撃の準備という点で最初の容疑者の一人である。
According to a 2021 report, China-associated 'threat groups' are likely to have started harvesting data in 2020. A Financial Times article says that Chinese researchers claim to have recently found a method to break the RSA algorithm using a quantum computer, but the academic community has raised doubts about this claim. Nevertheless, according to some experts, running Shor's algorithm on a quantum computer to decrypt confidential information would be noticeable. In fact, it would require such a large amount of electrical power that it would be difficult to hide it from the rest of the world.  2021年の報告書によると、中国関連の「脅威グループ」は2020年にデータ・ハーベストを開始しているようだ。Financial Timesの記事によると、中国の研究者は最近、量子コンピュータを使ってRSAアルゴリズムを破る方法を発見したと主張しているが、学界はこの主張に疑問を呈している。とはいえ、一部の専門家によれば、機密情報を解読するために量子コンピューター上でショーのアルゴリズムを実行することは注目に値するという。実際、大量の電力を必要とするため、他の世界から隠すことは難しいだろう。
Quantum and post-quantum cryptography to the rescue  量子暗号と耐量子暗号による救済 
Considering that quantum computers are expected to break current cryptographic systems, sensitive private and government data are at risk. As countries prepare their digital and cybersecurity structures for quantum computers, debate persists about the most effective technologies to secure data. At present, the two most promising solutions are (i) quantum cryptography and (ii) post-quantum cryptography (PQC).2  量子コンピューターが現在の暗号システムを破ることが予想されることを考えると、機密性の高い個人データや政府データがリスクにさらされている。各国が量子コンピュータに対応するデジタル・サイバーセキュリティ体制を整える中、データを保護するための最も効果的な技術について議論が続いている。現在、最も有望な解決策は、(i)量子暗号と(ii)耐量子暗号(PQC)の2つである2
Quantum cryptography leverages the fundamental laws of quantum mechanics for encrypting and transmitting data in a secure way. The most well known and widely used application of quantum cryptographic algorithms involves key distribution methods also known as quantum key distribution (QKD). Quantum cryptographic methods use fibre optic cables or satellite networks to send encoded data as polarised photons. Their security is guaranteed by the fact that, thanks to the principles of quantum physics (e.g. entanglement and interference), data cannot be duplicated, which safeguards them against information theft during communication. Additionally, any disruption or interference in the communication channel alters the quantum state, allowing malicious actors to be detected by legitimate parties. This provides a great advantage against eavesdropping, where a third party surreptitiously 'listens' to the exchange of information between parties.  量子暗号は、量子力学の基本法則を利用してデータを暗号化し、安全な方法で送信する。量子暗号アルゴリズムで最もよく知られ、広く利用されているのは、量子鍵配布(QKD)としても知られる鍵配布法である。量子暗号方式は、光ファイバーケーブルや衛星ネットワークを使い、暗号化されたデータを偏光光子として送信する。量子物理学の原理(エンタングルメントや干渉など)により、データは複製できないため、コミュニケーション中に情報が盗まれることはない。さらに、通信チャネルの混乱や干渉は量子状態を変化させるため、悪意のある行為者を正当な関係者が検知することができる。これは、サードパーティが当事者間の情報交換を密かに「聞く」盗聴に対して大きなアドバンテージとなる。
Despite QKD promising theoretical security for data encryption based on established physical laws, there are various challenges to its real implementation and use in communication networks, considering that it is still perceived to be in its early stage of development. The time and costs for deploying QKD infrastructure are substantial, undermining a fast transition to a quantum safe cryptographic system. Furthermore, due to technical constraints, nowadays the maximum supported distance to use this technology is only in the order of hundreds of kilometres. In other words, QKD is not sufficiently mature from a security perspective. QKDは、確立された物理法則に基づくデータ暗号化の理論的セキュリティを約束するものであるにもかかわらず、まだ開発の初期段階にあると認識されていることを考慮すると、実際の実装や通信ネットワークでの使用にはさまざまな課題がある。QKDインフラの展開には多大な時間とコストがかかり、量子安全暗号システムへの迅速な移行を妨げている。さらに、技術的な制約から、現在ではこの技術を使用できる最大距離は数百キロのオーダーにとどまっている。つまり、QKDはセキュリティの観点からは十分に成熟していないのだ。
Post-quantum cryptography is not based on fundamental laws of quantum mechanics. It is a new field of cryptographic research looking to set hard mathematical techniques for cryptographic algorithms that would be difficult to break for both conventional and even powerful quantum computers (also known as quantum-resistant algorithms). PQC seems to be a more mature area of activity (PQC schemes are currently being developed and standardised) and to offer some advantage over QKD. For instance, PQC algorithms (e.g. code-based, latticebased or hash-based cryptography)3 ensure a faster and cheaper deployment than QKD because they run on classical hardware (bits and not qubits). This characteristic also allows them to be compatible with existing infrastructures or contemporary devices in several sectors, ensuring a swift deployment (e.g. requiring a software update).  耐量子暗号は量子力学の基本法則に基づくものではない。耐量子暗号は、量子力学の基本法則に基づくものではなく、従来の暗号アルゴリズムでも、強力な量子コンピューターでも解読が困難な暗号アルゴリズム(量子耐性アルゴリズムとも呼ばれる)の数学的手法を確立しようとする新しい暗号研究分野である。PQCはより成熟した研究分野であり(PQC方式は現在開発・標準化されている)、QKDと比較していくつかの利点がある。例えば、PQCアルゴリズム(コードベース、格子ベース、ハッシュベース暗号など)3は、古典的なハードウェア(量子ビットではなくビット)上で動作するため、QKDよりも高速かつ安価に展開できる。この特徴により、既存のインフラやさまざまな分野の最新機器との互換性が確保され、迅速な展開が可能になる(ソフトウェアのアップデートが必要な場合など)。
For the French Agence nationale de la sécurité des systèmes d'information (ANSSI), PQC represents 'the most promising avenue to thwart the quantum threat', in particular against harvest attacks. In addition, the United Kingdom's National Cyber Security Centre (NCSC) recognises that PQC is the 'best mitigation against the threat of quantum computers to traditional public-key cryptography'. Nonetheless, PQC algorithms share certain vulnerabilities with current cryptographic systems. Hence, the risk that future decryption algorithms run by largescale quantum computers would break PQC that is being developed today cannot be completely excluded. フランスの情報システム安全保障庁(ANSSI)にとって、PQCは「量子の脅威を阻止するための最も有望な手段」であり、特にハーベスト攻撃に対して有効である。また、英国の国家サイバーセキュリティセンター(NCSC)は、PQCが「従来の公開鍵暗号に対する量子コンピュータの脅威に対する最善の低減策」であると認識している。とはいえ、PQCアルゴリズムは現在の暗号システムとある種の脆弱性を共有している。したがって、将来的に大規模量子コンピュータが実行する復号アルゴリズムが、現在開発されているPQCを破るリスクを完全に排除することはできない。
NIST PQC standardisation competition  NIST PQC標準化コンペティション 
The U.S. National Institute of Standards and Technology's (NIST) PQC standardisation process is still ongoing, selecting and standardising the best PQC algorithms for most entities, and is very likely to be the most widely followed selection process. It started in 2017, and it recently published the first completed, ready-to-use PQC standards (one for general encryption and two for digital signatures). Additional standards that could serve as backup standards are still in evaluation, some of them based on different types of mathematical problems.  米国国立標準技術研究所(NIST)のPQC標準化プロセスは現在も進行中で、ほとんどの事業体にとって最適なPQCアルゴリズムを選定し、標準化している。2017年に開始され、最近、完成してすぐに使える最初のPQC標準(一般的な暗号化用1つと電子署名用2つ)を発表した。バックアップ標準となり得る追加標準もまだ評価中で、その中には異なるタイプの数学的問題に基づくものもある。
Since the first call for proposals, cryptographers from around the world have submitted PQC algorithms and signature schemes. Through the rounds, researchers have developed and published attacks against algorithms, which would eliminate them. For instance, one of the most promising algorithms was successfully attacked in 2022.  最初の提案募集以来、世界中の暗号技術者がPQCアルゴリズムと署名方式を提出してきた。このようなラウンドを通じて、研究者たちはアルゴリズムに対する攻撃を開発し、発表してきた。例えば、最も有望なアルゴリズムの1つは2022年に攻撃に成功している。
The first three published standards mark a significant step forward, guiding industries on which PQC algorithms to implement and how to integrate them into their products and services. However, some tech companies, including Apple, Zoom and Signal, took proactive steps by implementing PQC algorithms selected by NIST into their products and services ahead of the first standards being published. Furthermore, as described in the latest US-EU Trade and Technology Council, the EU and the US are jointly working on the standardisation and transition to PQC.  最初に公表された3つの標準は、どのPQCアルゴリズムを実装し、どのように製品やサービスに統合するかについて業界を導くもので、大きな前進を意味する。しかし、アップル、ズーム、シグナルを含む一部のハイテク企業は、最初の標準が公表される前に、NISTが選定したPQCアルゴリズムを自社の製品やサービスに実装することで、積極的な措置を講じた。さらに、最新の米・EU貿易技術協議会に記載されているように、EUと米国は共同でPQCの標準化と移行に取り組んでいる。
It is also now part of the US-EU Cyber Dialogue.  これは現在、米・EUサイバー・ダイアログの一部にもなっている。
What the EU is doing  EUの取り組み 
The EU's security union strategy and cybersecurity strategy both highlight encryption as a key technology for achieving resilience against cyber-attacks (e.g. for securing digital systems and defence capabilities). The EU is aware of the threats large-scale quantum computers would bring compared to classical cryptography. To ensure the future protection of communications and the long-term integrity of confidential information, the EU is investing in quantum cryptography (e.g. QKD) as well as funding research and development for PQC. Specifically, the European Commission's white paper on 'How to master Europe's digital infrastructure needs' underlined how the EU transition to a quantum safe digital infrastructure is a key issue to be solved by using both quantum and post-quantum cryptography (also known as hybrid PQC/QKD schemes).  EUの安全保障同盟戦略とサイバーセキュリティ戦略はいずれも、サイバー攻撃に対するレジリエンス(デジタルシステムや防衛能力の安全確保など)を実現するための重要な技術として暗号化を強調している。EUは、大規模な量子コンピュータが古典的な暗号と比較してもたらす脅威を認識している。通信の将来的な保護と機密情報の長期的な完全性を確保するため、EUは量子暗号(QKDなど)に投資するとともに、PQCの研究開発にも資金を提供している。具体的には、欧州委員会の白書「欧州のデジタルインフラのニーズをどのようにマスターするか」では、量子暗号と耐量子暗号(ハイブリッドPQC/QKD方式とも呼ばれる)の両方を使用することで、EUの量子安全デジタルインフラへの移行が解決すべき重要課題であることが強調されている。
As far as quantum cryptography is concerned, the European Quantum Communication Infrastructure Initiative (EuroQCI) envisages safeguarding sensitive data by utilising quantum physics to build a terrestrial fibre network connecting strategic sites and space-based secure connectivity using satellites (IRIS²) by 2027. The supporting encryption technology chosen for the EuroQCI is QKD. Although QKD could become the backbone of an EU secure communication system in the future, experts stress how the EuroQCI is not fit to solve the short-term threats posed by quantum computers to current cryptographic systems (e.g. harvest attacks would still happen before EuroQCI becomes operational). In addition, the QKD encryption system secured through EuroQCI will apply only to a limited perimeter (e.g. governmental communications and critical infrastructure) that does not extend to cyber-attacks against third parties and supply chains.  量子暗号に関する限り、欧州量子コミュニケーション・インフラ構想(EuroQCI)は、2027年までに戦略拠点を結ぶ地上ファイバーネットワークと衛星を利用した宇宙ベースのセキュア接続(IRIS²)を構築するために、量子物理学を利用することで機密データを保護することを想定している。EuroQCIに採用された暗号化技術はQKDである。QKDは将来、EUの安全な通信システムの基幹となる可能性があるが、専門家は、EuroQCIが、量子コンピューターが現在の暗号システムにもたらす短期的な脅威を解決するのに適していないことを強調している(例えば、ハーベスト攻撃はEuroQCIが運用開始される前にまだ起こるだろう)。加えて、EuroQCIを通じて確保されるQKD暗号化システムは、限られた周辺(例えば、政府のコミュニケーションや重要インフラ)にしか適用されず、サードパーティやサプライチェーンに対するサイバー攻撃には及ばない。
For this reason, the EU is actively taking part in the US-led NIST post-quantum cryptography standardisation process (European researchers played a central role in the process) and is also taking action in PQC by:  このため、EUは、米国が主導するNISTの耐量子暗号標準化プロセスに積極的に参加しており(このプロセスでは欧州の研究者が中心的な役割を果たした)、また、耐量子暗号においても以下のような取り組みを行っている: 
• funding research for PQC transition (e.g. allocating €11 million to PQC research);  - PQC移行のための研究に資金を提供する(例:PQC研究に1,100万ユーロを割り当てる); 
• creating internal working groups in European entities (e.g. the ETSI quantum-safe cryptography working group for the standardisation and practical implementation of PQC algorithms);  - 欧州事業体内でワーキンググループを設置する(例:PQCアルゴリズムの標準化と実用化のためのETSI量子安全暗号ワーキンググループ); 
• publishing a recommendation on PQC to encourage Member States to develop and implement a harmonised approach as the EU transitions to post-quantum cryptography.  - EUが耐量子暗号に移行する際に、加盟国が調和したアプローチを開発・実施することを奨励するため、PQCに関する勧告を発表する。
Among Member States, such as France, Italy, Germany, the Netherlands and Spain, many cybersecurity agencies are publishing reports and guidelines on the transition to a cryptographic system resistant to quantum computer attacks. In general, Member States' approach involves:  フランス、イタリア、ドイツ、オランダ、スペインなどの加盟国では、多くのサイバーセキュリティ機関が、量子コンピュータ攻撃に強い暗号システムへの移行に関する報告書やガイドラインを発表している。一般的に、加盟国のアプローチには以下が含まれる: 
• using PQC algorithms recognised as secure by the scientific community (most of which result from the NIST competition);  - 科学界が安全と認めたPQCアルゴリズムを使用する(そのほとんどはNISTのコンペティションから生まれたものである); 
• starting the process of identification and replacement of classical cryptographic algorithms with quantum-resistant ones as soon as possible; and  - 古典的な暗号アルゴリズムを特定し、量子耐性アルゴリズムに置き換えるプロセスを早急に開始する。
• working on a combination of QKD (still in an early stage of development) and PQC cryptographic schemes.  - QKD(まだ開発の初期段階にある)とPQC暗号方式の組み合わせに取り組む。
International perspectives on the quantum transition  量子移行に関する国際的展望 
Many countries have started to take action to address quantum threats to traditional cryptography.  多くの国が、従来の暗号に対する量子の脅威に対処するための行動を開始している。
Along with the NIST PQC standardisation process, the US approved the Quantum Computing Cybersecurity Preparedness Act encouraging the migration of Federal Government information technology systems to quantum-resistant cryptography by 2035. In July 2024, as required by the act, a report was published outlining key components of the strategy to migrate federal information systems to PQC. The report estimates that the costs of migrating the most important federal systems to PQC between 2025 and 2035 would be around US$7.1 billion.  米国ではNISTのPQC標準化プロセスとともに、2035年までに連邦政府の情報技術システムを耐量子暗号に移行することを奨励する「量子コンピューティング・サイバーセキュリティ準備法」が承認された。2024年7月、この法律で義務付けられている通り、連邦政府の情報システムをPQCに移行する戦略の主要な構成要素を概説した報告書が発表された。この報告書では、2025年から2035年の間に連邦政府の最も重要なシステムをPQCに移行するコストは約71億米ドルになると見積もられている。
Many Asian countries have also taken action against the quantum threat, either by trying to validate their own PQC standards (based on the same mathematical problems used in the NIST competition) or by investing in quantum cryptography (e.g. QKD). In 2021, the Republic of Korea established a PQC cryptography research group that held a competition to select post-quantum standards for public-key encryption and digital signatures. The group announced the results of the first round of the competition in December 2023, when eight algorithms were selected to advance to the second round. The Chinese Association for Cryptologic Research (CACR) also held a PQC standardisation competition in 2018, and announced the three algorithms (LAC.PKE, Aigis-enc and Aigis-sig) as the winners in 2020. At the same time, China is also one of the most active countries in the field of quantum cryptography. In 2016, it launched the first quantum satellite using QKD methods into orbit (Micius), and in 2021 China announced the first quantum communication network based on QKD spanning optical fibre and two ground-satellite links for a combined distance of 4 600 km.  多くのアジア諸国も、独自のPQC標準(NISTのコンペティションで使用されたのと同じ数学的問題に基づく)を妥当性確認しようとしたり、量子暗号(QKDなど)に投資したりして、量子の脅威に対する対策を講じている。2021年、韓国はPQC暗号研究グループを設立し、公開鍵暗号と電子署名のポスト量子標準を選定するコンペを開催した。同グループは2023年12月に第1ラウンドの結果を発表し、第2ラウンドに進む8つのアルゴリズムが選ばれた。中国暗号研究協会(CACR)も2018年にPQC標準化コンペを開催し、2020年に3つのアルゴリズム(LAC.PKE、Aigis-enc、Aigis-sig)を優勝者として発表した。同時に、中国は量子暗号の分野で最も活発な国のひとつでもある。2016年には、QKD方式を用いた初の量子衛星(Micius)を軌道に打ち上げ、2021年には、光ファイバーと2つの地上衛星リンクを合わせた距離4,600kmに及ぶQKDに基づく初の量子コミュニケーション・ネットワークを発表した。
Russia established a technical committee for standardisation of cryptography and security mechanisms (Technical Committee 26), creating 'Working Group 2.5 – Post-Quantum Cryptographic Mechanisms' in 2019. The working group has already developed several quantumresistant algorithms (PQC), but none of them have been standardised yet. In terms of quantum cryptography, Russia and China established a quantum communication network based on QKD encryption between a ground station near Moscow to another in China's western Xinjiang region which are 3 800 kilometres apart.  ロシアは暗号とセキュリティメカニズムの標準化のための技術委員会(技術委員会26)を設立し、2019年に「作業部会2.5-耐量子暗号メカニズム」を創設した。同ワーキンググループはすでにいくつかの量子耐性アルゴリズム(PQC)を開発しているが、まだ標準化されたものはない。量子暗号に関しては、ロシアと中国が、3,800km離れたモスクワ近郊の地上局と中国西部新疆ウイグル自治区の地上局との間で、QKD暗号に基づく量子通信ネットワークを構築した。
Figure 1 – International approaches and development of standards 図1-国際的アプローチと標準の開発
1_20241119222401
Challenges and potential action  課題と可能性 
The development of quantum cryptography (QKD) and post-quantum encryption algorithms (PQC) is crucial to protect information (e.g. government classified, financial, and health data) against quantum computer threats. Such a path presents various challenges:4  量子暗号(QKD)と耐量子暗号アルゴリズム(PQC)の開発は、量子コンピュータの脅威から情報(政府機密、金融、健康データなど)を守るために極めて重要である。このような道筋には様々な課題がある4
Transitioning to new cryptographic systems takes time – QKD is not sufficiently mature yet and a full implementation of PQC cryptographic standards will require at least another five to 15 years in the best-case scenario.  - 新しい暗号システムへの移行には時間がかかる - QKDはまだ十分に成熟しておらず、PQC暗号標準の完全な実装には、最良のシナリオでも少なくともあと5年から15年はかかる。
Lack of crypto agility – current information systems used by governments and industries have not been designed to adjust rapidly to new cryptographic systems, requiring huge changes to infrastructure.  - 暗号の俊敏性の欠如 - 政府や産業界が使用している現在の情報システムは、新しい暗号システムに迅速に対応できるように設計されていないため、インフラに大きな変更が必要となる。
Budget and skills – transitioning to a quantum safe digital infrastructure requires substantial investment and cyber-specialists to mitigate threats.  - 予算とスキル - 量子的に安全なデジタル・インフラへの移行には、多額の投資とサイバー脅威を軽減するための専門家が必要である。
Security and defence policy in the EU is predominantly a competence of the Member States, leaving them as the main actors in the quantum transition. Nonetheless, following the EU's efforts to build a cybersecurity agenda and its role in cybersecurity policies (e.g. NIS2 and the Cyber Resilience Act), the EU can facilitate coordination in the transition to quantum safe systems both at technical and political level. Starting from this facilitating and coordinating role at EU level, the Commission suggested the following actions to ensure a swift and synchronised migration of current systems to PQC across the EU by enabling Member States to:  EUの安全保障・防衛政策は加盟国の権限に委ねられており、量子移行における主役は加盟国である。しかし、サイバーセキュリティのアジェンダを構築し、サイバーセキュリティ政策(NIS2やサイバーレジリエンス法等)においてEUがその役割を担っていることを踏まえると、EUは、量子安全システムへの移行において、技術レベルでも政治レベルでも調整を促進することができる。欧州委員会は、このようなEUレベルでの促進・調整の役割から出発して、加盟国がPQCへの移行を迅速かつ同期的に行えるようにすることで、EU全域で現行システムのPQCへの移行を確実にするため、以下の行動を提案した: 
• define the 'Post-Quantum Cryptography Coordinated Implementation Roadmap' aiming to ensure cross-border interoperability;  - 国境を越えた相互運用性を確保することを目的とした「耐量子暗号協調実装ロードマップ」を定義する; 
• establish a subgroup of the NIS Cooperation Group on Post-Quantum Cryptography formed by cybersecurity experts (e.g. ENISA and representatives of national cybersecurity authorities) to help design and implement the abovementioned roadmap by April 2026;  - サイバーセキュリティの専門家(ENISAや各国のサイバーセキュリティ当局の代表者など)で構成される「耐量子暗号に関するNIS協力グループ」のサブグループを認可し、2026年4月までに上記のロードマップの設計と実施を支援する; 
• develop EU PQC algorithms and adopt them as standards to be implemented across the EU.  - EU PQCアルゴリズムを開発し、EU全域で実施される標準として採用する。
At Union level, the Commission will (i) periodically monitor and assess Member States' progress in the design and implementation of the roadmap, and (ii) assess whether these coordination measures among Member States will be enough. In case of a negative assessment, the Commission might propose additional actions, including binding EU legal acts if required.  EUレベルでは、欧州委員会が、(i) 加盟国によるロードマップの策定・実施の進捗状況を定期的に監視・アセスメントし、(ii) 加盟国間のこうした調整措置が十分であるかどうかを評価する。否定的な評価が下された場合、欧州委員会は、必要であれば拘束力のあるEUの法的措置を含む追加措置を提案する可能性がある。
Experts and academics have also proposed recommendations5 for a future-proof use of cryptography, such as:  また、専門家や学識経験者からは、暗号の将来的な利用を見据えた、以下のような提言5も出されている: 
A combined use of QKD-PQC schemes – QKD is a promising technology to be further explored, considering it will be theoretically safe from decryption by quantum computers. However, due to current and inherent limitations (e.g. costs and scalability issues), it can now be used in practice only in some niche use cases. Therefore a hybrid QKD-PQC approach to cryptography – where speeding up migration to PQC has priority over the use of QKD (e.g. to protect against harvest attacks) – seems the way to go.  - QKD-PQC方式の併用 - QKDは、量子コンピュータによる復号化から理論的に安全になることを考えると、さらに検討されるべき有望な技術である。しかし、現状では固有の制限(コストやスケーラビリティの問題など)があるため、実際に使用できるのは一部のニッチなユースケースに限られている。そのため、QKDとPQCのハイブリッド暗号(PQCへの移行を早めることがQKDの利用(ハーベスト攻撃からの保護など)よりも優先される)が望ましいと思われる。
Hybrid solutions of classic and PQC algorithms – experts recommend the combination of classical quantum-vulnerable (e.g. RSA and ECC) and quantumresistant algorithms (PQC) in current information systems as an intermediate step before the full transition to PQC and QKD. In this way, attackers would need to break both schemes. This will allow time to test new PQC algorithms and decrease the bad outcomes of its potential flaws (the level of security offered by classical algorithms would be guaranteed).6  - 古典的アルゴリズムとPQCアルゴリズムのハイブリッド・ソリューション - 専門家は、PQCやQKDに完全に移行する前の中間段階として、現在の情報システムで古典的量子脆弱性アルゴリズム(RSAやECCなど)と量子耐性アルゴリズム(PQC)を組み合わせることを推奨している。この方法では、攻撃者は両方の方式を破る必要がある。こうすることで、新しいPQCアルゴリズムをテストする時間を確保し、潜在的な欠陥による悪い結果を減らすことができる(古典的アルゴリズムが提供するセキュリティレベルは保証される)6
Creating standards for crypto agility by design – adapting existing digital infrastructure to cryptographic algorithms requires changes (e.g. software and protocol specifications). Organisations should work towards crypto agility by letting the infrastructure adjust with new PQC data formats and sizes.7 In addition, standardsetting bodies and regulators should work on getting crypto agility embedded in any new standard currently under development (e.g. 6G must be crypto-agile and PQC compatible).8  - 設計による暗号アジリティの標準化 - 既存のデジタルインフラを暗号アルゴリズムに適合させるには、変更(ソフトウェアやプロトコルの仕様など)が必要である。さらに、標準化団体と規制当局は、現在開発中の新規格に暗号アジリティを組み込 むことに取り組むべきである(例えば、6Gは暗号アジリティとPQC互換でなければならない)8
MAIN REFERENCES  主な参考文献 
Beullens, W. et al., Post-Quantum Cryptography: Current state and quantum mitigation, ENISA, 2021.  Beullens, W. et al., 『耐量子暗号』: Beullens, W. et al., Post-Quantum Cryptography: Current state and quantum mitigation, ENISA, 2021. 
De Luca, S. and Reichert, J., Quantum: What is it and where does the EU stand?, EPRS, European Parliament, 2024.  De Luca, S. and Reichert, J., Quantum: EPRS、欧州議会、2024年。
Pupillo, L. et al., Quantum Technologies and Cybersecurity, CERRE, 2023.  Pupillo, L. et al., Quantum Technologies and Cybersecurity, CERRE, 2023. 
ENDNOTES
1 'An appropriate illustration is a mailbox into which anyone can deliver messages, which are then protected from access by third parties because only the owner of a key for the mailbox can retrieve and read the messages.'  「適切な例として、誰でもメッセージを届けることができるメールボックスがある。そのメールボックスは、メールボックスの鍵の所有者だけがメッセージを取り出して読むことができるため、サードパーティからのアクセスから保護される」。
2 Chawla, D. and Mehra, S., A roadmap from classical cryptography to post-quantum resistant cryptography for 5Genable IoT: Challenges, opportunities and solutions, 2023.  Chawla, D. and Mehra, S., A roadmap from classical cryptography to post-quantum resistant cryptography for 5Genable IoT: 課題、機会、解決策、2023年。
3 Li, S. et al, Post-Quantum Security: Opportunities and Challenges, 2023.  Li, S. et al, Post-Quantum Security: チャンスと課題、2023年。
4 Ini, K. et al, Challenges in the Transition towards a Quantum-safe Government, 2022.  Ini, K. et al, Challenges in the Transition towards a Quantum-safe Government, 2022. 
5 Baseri, Y. et al, Navigating quantum security risks in networked environments: A comprehensive study of quantumsafe network protocols, 2024.  Baseri, Y. et al, Navigating quantum security risks in networked environments: A comprehensive study of quantumsafe network protocols, 2024. 
6 Joseph, D. et al, Transitioning organizations to post-quantum cryptography, 2022.  Joseph, D. et al, Transitioning organizations to post-quantum cryptography, 2022. 
7 Wiesmaier, A. et al., On PQC migration and crypto-agility, 2021.  Wiesmaier, A.他, PQCの移行と暗号アジリティについて, 2021. 
8 Ibid. 6.  同上。6. 

 

 

| | Comments (0)

2024.11.19

欧州議会 標準が欧州のデジタル競争力を支える仕組み

こんにちは、丸山満彦です。

欧州議会のシンクタンクが、標準が欧州のデジタル競争力を支える仕組みという短い文書を公表しています。

思えば、社会を統一する際に、通貨や度量衡を揃えるというのは経済の発展のために重要なことなので、古くは秦の始皇帝が、中国大陸を統一したときに度量衡を統一したと言われていますよね。

そして、現在のMKS単位系[wikipedia]も1960年に国際的な標準になったようですね...

そういう意味で、標準は国際社会のインフラになっていくわけですが、そのインフラを抑えるというのは、国際社会を抑えるツールにもなり得るわけですよね...

ということで、標準というのは、「地政学的争点」、つまり安全保障にも関係してくるという話ですね...

なので、その国際標準をつくるチームが強い国が、国際競争上も有利になるということです。日本がどれほど国際標準づくりに力を国として入れているかは知りませんが...(一部の人は理解していて声をあげているように思いますが、派手さがないのと、地元の選挙の票につながらないテーマですからねぇ...)

 

European Parliament - Think Tank

・2024.11.05 How standards support Europe's digital competitiveness

How standards support Europe's digital competitiveness 標準が欧州のデジタル競争力を支える仕組み
Standards are voluntary guidelines, providing technical specifications for products, processes and services. They ensure a certain level of quality, enable interoperability, boost consumer confidence and remove trade barriers. Laws may prescribe standards as a preferred or mandatory requirement for compliance. In the digital sphere, their strategic importance has made them the focus of geopolitical competition. 標準は自主的なガイドラインであり、製品、プロセス、サービスの技術仕様を提供する。標準は一定レベルの品質を保証し、相互運用性を可能にし、消費者の信頼を高め、貿易障壁を取り除く。法律は、標準を遵守するための優先要件または必須要件として規定することができる。デジタル領域では、その戦略的重要性から地政学的競争の焦点となっている。

 

・[PDF]

20241119-53842

 

Why standards?  なぜ標準なのか?
Digital standards ensure that the products we use daily, ranging from WiFi routers to mobile phones, comply with prescribed technical specifications. Standards enable users to communicate with each other using digital technologies, safely and at a lower cost, while companies using them can integrate and compete in the global value chain. For instance, established mobile network standards, such as GSM (the Global System for Mobile Communications) and its successor standards (3G, 4G, 5G, ...), allow a user to phone any other user around the world, regardless of the type of phone. Standards also enable users to browse the worldwide web, to connect Bluetooth devices and, in the European Union, to use a USB-C charger for any mobile phone.  デジタル標準は、WiFiルーターから携帯電話に至るまで、我々が日常的に使用する製品が所定の技術仕様に準拠していることを保証する。標準によって、ユーザーはデジタル技術を使って安全かつ低コストで互いにコミュニケーションできるようになり、標準を使用する企業はグローバルなバリューチェーンで統合し、競争できるようになる。例えば、GSM(グローバル・システム・フォー・モバイル・コミュニケーションズ)やその後継標準(3G、4G、5G...)などの確立されたモバイル・ネットワーク標準は、ユーザーが携帯電話の種類に関係なく、世界中の他のユーザーと通話することを可能にする。標準はまた、ユーザーが世界中のウェブを閲覧したり、ブルートゥース・デバイスを接続したり、欧州連合(EU)ではUSB-C充電器をあらゆる携帯電話に使用したりすることを可能にする。
Standards provide a common language of agreed terms and definitions, they define organisational processes, set metrics for testing and performance, and define quality and safety requirements for products, as well as requirements for compatibility and interoperability. As such, they play an important role in digital industry development, allowing companies to share data and compete on the global markets. By promoting product and service security, building trust in emerging technologies and promoting innovation, they boost competitiveness in the European digital transition. They allow companies to be more efficient, reduce costs and focus their efforts on innovation. Synergies between standardisation, innovation and competitiveness seem to be particularly significant in the digital sector. 標準は、合意された用語と定義の共通言語を提供し、組織のプロセスを定義し、テストと性能の評価基準を設定し、製品の品質と安全性の要件を定義し、互換性と相互運用性の要件も定義する。そのため、デジタル産業の発展において重要な役割を果たし、企業がデータを共有し、グローバル市場で競争することを可能にする。製品やサービスの安全性を促進し、新興技術へのトラストを構築し、イノベーションを促進することで、欧州のデジタル移行における競争力を高める。これにより、企業はより効率的になり、コストを削減し、イノベーションに力を注ぐことができる。標準化、イノベーション、競争力の相乗効果は、デジタル分野で特に顕著であるように思われる。
Real market needs drive standards, industry therefore plays a key role in their development. Moreover, when combined with patents, such as standard essential patents (SEPs), standards generate royalties supporting innovation. Companies have an interest in competing to transform their patents to widely used standards, as this can lead to a financial virtuous circle. Standards are mostly developed by consensus in recognised, standard-setting organisations (SSOs), according to agreed principles. In addition to SSOs, industry consortia, such as the Blu-ray Disc Association, also create standards, which SSO may later publish (e.g. the PDF format). Some segments of the digital sector, such as software development, require a more open industry-oriented approach to standards development.
市場の真のニーズが標準を推進するため、産業界は標準の開発において重要な役割を果たす。さらに、標準必須特許(SEP)などの特許と組み合わせることで、標準はイノベーションを支えるロイヤルティを生み出す。企業は、自社の特許を広く使用される標準に変えるために競争することに関心があり、これは財政的な好循環につながるからである。標準は、そのほとんどが、合意された原則に従って、公認の標準設定機関(SSO)のコンセンサスによって開発される。SSOに加えて、Blu-ray Disc Associationのような業界コンソーシアムも標準を作成し、SSOが後に発行することもある(PDFフォーマットなど)。ソフトウェア開発など、デジタル分野の一部の分野では、標準開発によりオープンな業界指向のアプローチが必要とされている。
EU actors and priorities  EUの関係者と優先事項 
The process of developing European standards in support of reaching the goals of the European digital decade takes place through one of the three European standardisation organisations (ESOs), where stakeholders come together to reach a consensus:
欧州デジタル10年の目標達成を支援する欧州標準の開発プロセスは、3つの欧州標準化機構(ESO)のいずれかを通じて行われ、利害関係者がコンセンサスを得るために集まる: 
CEN (European Committee for Standardisation), an association of national standardisation bodies,  CEN(欧州標準化委員会):各国の標準化団体の連合体 
CENELEC (European Committee for Electrotechnical Standardisation), an association of national electro-technical committees, and CENELEC(欧州電気標準化委員会):各国の電気技術委員会の連合体
ETSI (European Telecommunications Standards Institute), a standards body dealing with telecommunications, broadcasting and other electronic communications networks and services. ETSI(欧州電気通信標準化機構):電気通信、放送、その他の電子通信ネットワークおよびサービスを扱う標準化団体
The High-level forum on European standardisation, a Commission expert group formed by representatives from the ESOs, industry, civil society and academia, steers the development of European standards, including for the digital single market. This structure was requested in the European standardisation strategy (ESS), which stressed the importance of standards in supporting innovation, better addressing the EU's strategic goals and leading on standards-setting to be more competitive at international level.   欧州標準化に関するハイレベルフォーラムは、ESO、産業界、市民社会、学界の代表者で構成される欧州委員会の専門家グループであり、デジタル単一市場向けを含む欧州標準の策定を主導している。この体制は、欧州標準化戦略(ESS)において要請されたものであり、イノベーションを支援し、EUの戦略目標によりよく対応し、国際的な競争力を高めるための標準設定を主導する上で、標準が重要であることを強調している。 
The EU multi-stakeholder platform on ICT standardisation is a specialised advisory expert group on all matters relating to implementation of ICT standardisation policies. Together with the Commission, the group develops an annual rolling plan for ICT standardisation, highlighting ICT standardisation needs. Standards for artificial intelligence have been high on the agenda in recent years, as well as standardisation for cybersecurity (e.g. to support implementation of the Cyber Resilience Act), data economy and data interoperability (e.g. supporting the European digital identity framework). The plan also looks at standardisation beyond 5G, at edge computing and intelligent transport systems.   ICT標準化に関するEUのマルチステークホルダー・プラットフォームは、ICT標準化政策の実施に関連するあらゆる事項に関する専門家グループである。同グループは欧州委員会とともに、ICT標準化に関する年次計画を策定し、ICT標準化の必要性を強調している。近年は、人工知能の標準化が重要な議題となっているほか、サイバーセキュリティ(例えば、サイバーレジリエンス法の実施を支援するため)、データ経済およびデータの相互運用性(例えば、欧州デジタルIDフレームワークを支援するため)の標準化も検討されている。この計画では、5Gの先の標準化、エッジコンピューティング、インテリジェント輸送システムにも注目している。 
Standards for the AI Act  AI法の標準化 
Article 40(2) of the European Union Artificial Intelligence Act (AI Act) oblige the Commission to 'issue, without undue delay, standardisation requests' covering requirements for high-risk AI systems, obligations for providers of general-purpose AI models, and obligations of providers of general-purpose AI models with systematic risk. High-risk AI systems or general-purpose AI models that conform to harmonised standards, shall be presumed to be in conformity with the requirements of the AI Act for high-risk AI systems. The Commission's standardisation request tasked the CEN and CENELEC with delivering the requested standards, including on risk-management systems, quality of data sets, robustness, cybersecurity and transparency, by 30 April 2025. CEN-CENELEC established a Joint Technical Committee for AI and published a work programme, as well as several standards 欧州連合(EU)の人工知能法(AI法)第40条2項は、欧州委員会に対し、高リスクのAIシステムに対する要求事項、汎用AIモデルのプロバイダに対する義務、系統的リスクを伴う汎用AIモデルのプロバイダに対する義務を網羅した「標準化要請を過度の遅滞なく発行する」ことを義務付けている。標準化された基準に適合する高リスクのAIシステムまたは汎用AIモデルは、高リスクのAIシステムに関するAI法の要件に適合していると推定される。欧州委員会の標準化要請は、CENおよびCENELECに対し、2025年4月30日までに、リスクマネジメントシステム、データセットの品質、堅牢性、サイバーセキュリティ、透明性を含む、要請された標準を提供することを課している。CEN-CENELECは、AIに関する合同技術委員会を設立し、作業計画といくつかの標準を発表した。
International dimension  国際的側面 
Standards are instrumental in addressing the challenges and opportunities of digital technologies. Therefore, the United Nations Industrial Development Organization underlines the need for a collaborative process and multi-stakeholder approach in standards development, to circumvent potential monopolies or abuse of dominant market position, and enable equitable digital transformation globally. However, as academics note, international technology standardisation is regarded as a space of geopolitical competition. In addition, the global adoption of digital technologies has intensified competition, especially because SEPs support innovation and benefit royalty holders.   標準は、デジタル技術の課題と機会に対処する上で重要である。そのため、国連工業開発機関は、潜在的な独占や市場支配的地位の乱用を回避し、世界的に公平なデジタル変革を可能にするため、標準開発における協調プロセスとマルチステークホルダー・アプローチの必要性を強調している。しかし、学者が指摘するように、国際的な技術標準化は地政学的競争の場とみなされている。加えて、デジタル技術の世界的な普及は競争を激化させており、特にSEPは技術革新を支援し、ロイヤルティ保有者に利益をもたらしている。 
he United Stated (US), China, and the EU have all recently aligned their standardisation policies with their strategic and political objectives. It seems that the US and China are each seeking technological supremacy and have both adopted a hybrid approach, where governments and the private sector cooperate in shaping international standards. According to experts, the EU seems to be seeking a 'careful equilibrium between competition on the one hand, and continued cooperation with rival states on the other'.   米国、中国、EUは最近、標準化政策をそれぞれの戦略的・政治的目標と整合させている。米国と中国はそれぞれ技術的覇権を求めており、政府と民間部門が協力して国際標準を形成するハイブリッド・アプローチを採用しているようだ。専門家によれば、EUは「一方では競争、他方ではライバル国との継続的な協力の間の慎重な均衡」を模索しているようだ。 
China's policy shift on standardisation took place in 2021. With its new policy, China dropped its top-down approach for a more collaborative public-private model, similar to the US. 5G standardisation was a key moment for China. Academics note the country 'began to challenge the regime of international standards which has been dominated by the US and partially by EU and Japan'. China is seeking to expand its influence in existing SSOs, like the International Telecommunication Union (ITU), but is also working to establish its own standardisation system based on its values, mostly with the Belt and Road Initiative 標準化に関する中国の政策転換は2021年に行われた。新しい政策により、中国はトップダウンのアプローチをやめ、米国と同様、より協力的な官民モデルを採用した。5Gの標準化は中国にとって重要な瞬間だった。学者たちは、中国が「米国と部分的にEUと日本が支配してきた国際標準の体制に挑戦し始めた」と指摘している。中国は、国際電気通信連合(ITU)のような既存のSSOにおける影響力を拡大しようとしているが、主に「一帯一路構想」とともに、自国の価値観に基づく独自の標準化システムの確立にも取り組んでいる。
China's push for 5G standardisation  中国による5G標準化の推進 
Researchers identified China's push for 5G standardisation as an important shift in its standardisation strategy, as it relied on intellectual property rights produced by Chinese technology firms. China managed to be the firstmover 'through aggressive investments and strong state support'. As experts note, this is directly visible in Huawei's presence in the ITU study group on fixed and mobile network protocols. Indeed, Huawei, with government support, has requested the highest number of applications for SEPs for 5G..  研究者は、中国の5G標準化の推進は、中国のテクノロジー企業が生み出した知的財産権に依存しており、標準化戦略における重要な転換であると指摘した。中国は「積極的な投資と強力な国家支援によって」先陣を切ることができた。専門家が指摘するように、これは、固定およびモバイルネットワークプロトコルに関するITU研究グループにおけるファーウェイの存在に直接現れている。実際、ファーウェイは政府の支援を受け、5G向けのSEPを最も多く申請している。
The US shifted its standardisation policy in 2023 from a traditional corporate-led approach toward stronger government engagement to counter China's tech rise. According to experts, the 2023 US National Standards Strategy aims at improving investment, promoting government participation in SSOs, addressing skill shortage and 'protecting the integrity and inclusivity of current standardization practices'. So far, private consortia like the Internet Engineering Task Force have driven US technological dominance. Experts note these consortia remain leading international SSOs in internet and networking standardisation..  米国は2023年、中国の技術台頭に対抗するため、標準化政策を従来の企業主導型から政府関与強化型へと転換した。専門家によると、2023年の米国国家標準化戦略は、投資の改善、SSOへの政府参加の促進、スキル不足への対応、「現在の標準化慣行の完全性と包括性の保護」を目的としている。これまでは、インターネット・エンジニアリング・タスク・フォースのような民間コンソーシアムが米国の技術的優位性を牽引してきた。専門家は、これらのコンソーシアムがインターネットとネットワーキングの標準化における国際的なSSOのリーダーであり続けていると指摘している。
The US and the EU are also trying to counterbalance China's rising influence in setting critical and emerging technologies' standards in the framework of the EU-US Trade and Technology Council (TTC). The TTC addressed this issue in late 2023 in a mapping exercise that identified common features of digital identities, in the context of emerging technologies standards in support of transatlantic cooperation.  米国とEUはまた、EU-米国貿易技術協議会(TTC)の枠組みの中で、重要技術や新興技術の標準設定における中国の影響力の高まりに対抗しようとしている。TTCは2023年後半、大西洋を越えた協力を支援するための新興技術標準の文脈で、デジタル・アイデンティティの共通特徴を特定するマッピング演習でこの問題に取り組んだ。

 

 


 

参考...

まるちゃんの情報セキュリティ気まぐれ日記

米国

・2024.07.31 米国 ホワイトハウス ファクトシート:重要新興技術のための国家標準戦略の実施

・2023.05.10 米国 ホワイトハウス 重要新興技術に関する国家標準化戦略を発表 (2023.05.04)

 

中国

・2024.09.21 中国 国家情報化発展報告 (2023) (2024.09.06)

・2024.08.31 中国 2025年までにIoT分野で30以上の新しい国家標準と業界標準を開発する見込み

・2022.08.04 中国 デジタルチャイナ開発報告書(2021年)

・2022.02.20 中国 「第14次5ヵ年計画における国家情報化計画」についての3つの専門家の意見

2021.12.29 中国 ネットワークセキュリティ・情報技術中央委員会が「第14次5ヵ年計画における国家情報化計画」を発表していますね。。。

 

 

| | Comments (0)

欧州議会 マネージド・セキュリティ・サービスを認証の枠組みに加える方向でNIS2を改正? (2024.10.25)

こんにちは、丸山満彦です。

マネージド・セキュリティ・サービスは今後ますます重要となっていくことが想定されていますが、セキュリティ認証制度の枠組みに組み込まれていないので、セキュリティ認証の枠組みに組み込もうと考えているようですね...

 

European Parliament - Think Tank

・2024.10.25 Managed security services

Managed security services マネージド・セキュリティ・サービス
Managed security services are services carrying out or providing assistance for activities relating to customers' cybersecurity risk management. They are gaining increasing importance in the prevention and mitigation of cybersecurity incidents. Yet they were not included in the scope of the EU cybersecurity certification framework in the 2019 Cybersecurity Act. As some Member States have begun adopting certification schemes for managed security services that are divergent or inconsistent, there is a need to avoid fragmentation in the internal market. The present proposal therefore includes targeted amendments to the scope of the Cybersecurity Act, seeking to enable managed security services schemes by means of Commission implementing acts. In the European Parliament, the file has been assigned to the Committee on Industry, Research and Energy (ITRE). ITRE adopted its report on 25 October 2023. On 9 November 2023, the committee decision to enter into interinstitutional negotiations was confirmed by plenary. Trilogue negotiations started on 4 December 2023. On 6 March 2024, the EU co-legislators reached a provisional agreement on the file, which was adopted by Parliament in first reading on 24 April 2024. The text still needs to be formally adopted by the Council before it can enter into force. Second edition. The 'EU Legislation in Progress' briefings are updated at key stages throughout the legislative procedure. マネージド・セキュリティ・サービス・プロバイダーは、顧客のサイバーセキュリティ・リスクマネジメントに関する活動を実施または支援するサービスである。サイバーセキュリティインシデントの予防と低減において、その重要性はますます高まっている。しかし、2019年のサイバーセキュリティ法では、EUのサイバーセキュリティ認証枠組みの範囲には含まれていない。加盟国の中には、マネージド・セキュリティ・サービスの認証制度が乖離していたり、一貫していなかったりするところも出てきており、域内市場の分断を避ける必要がある。そのため、本提案には、サイバーセキュリティ法の適用範囲に的を絞った改正が盛り込まれており、欧州委員会の実施法によって、マネージドセキュリティサービスのスキームを可能にしようとしている。欧州議会では、この案件は産業・研究・エネルギー委員会(ITRE)に付託されている。ITREは2023年10月25日に報告書を採択した。2023年11月9日、機関間交渉に入るという委員会の決定が本会議で承認された。2023年12月4日、トリローグ交渉が開始された。2024年3月6日、EUの共同立法担当者はこの案件に関する暫定合意に達し、2024年4月24日に議会で第一読が採択された。発効にはまだ理事会での正式採択が必要である。第2版 EU Legislation in Progress」ブリーフィングは、立法手続きの主要な段階で更新される。

 

・[PDF] Managed security services


20241118-233828

 

Managed security services  マネージド・セキュリティ・サービス 
OVERVIEW  概要 
Managed security services are services carrying out or providing assistance for activities relating to customers' cybersecurity risk management. They are gaining increasing importance in the prevention and mitigation of cybersecurity incidents. Yet they were not included in the scope of the EU cybersecurity certification framework in the 2019 Cybersecurity Act. As some Member States have begun adopting certification schemes for managed security services that are divergent or inconsistent, there is a need to avoid fragmentation in the internal market. The present proposal therefore includes targeted amendments to the scope of the Cybersecurity Act, seeking to enable managed security services schemes by means of Commission implementing acts.  マネージド・セキュリティ・サービス・プロバイダーは、顧客のサイバーセキュリティ・リスクマネジメントに関する活動を実施または支援するサービスである。サイバーセキュリティインシデントの予防と低減において、重要性が増している。しかし、2019年のサイバーセキュリティ法では、EUのサイバーセキュリティ認証枠組みの範囲には含まれていない。加盟国の中には、マネージド・セキュリティ・サービスの認証制度が乖離していたり、一貫していなかったりするところも出てきているため、域内市場の分断を避ける必要がある。そのため、本提案には、サイバーセキュリティ法の適用範囲に的を絞った改正が盛り込まれており、欧州委員会の実施法によって、マネージドセキュリティサービスのスキームを可能にしようとしている。
In the European Parliament, the file has been assigned to the Committee on Industry, Research and Energy (ITRE). ITRE adopted its report on 25 October 2023. On 9 November 2023, the committee decision to enter into interinstitutional negotiations was confirmed by plenary. Trilogue negotiations started on 4 December 2023. On 6 March 2024, the EU co-legislators reached a provisional agreement on the file, which was adopted by Parliament in first reading on 24 April 2024. The text still needs to be formally adopted by the Council before it can enter into force.   欧州議会では、この案件は産業・研究・エネルギー委員会(ITRE)に割り当てられた。ITREは2023年10月25日に報告書を採択した。2023年11月9日、機関間交渉に入るという委員会の決定が本会議で承認された。2023年12月4日、トリローグ交渉が開始された。2024年3月6日、EUの共同立法担当者はこの案件に関する暫定合意に達し、2024年4月24日に議会で第一読が採択された。この文書が発効するには、理事会で正式に採択される必要がある。
Introduction  序文 
Cybersecurity attacks continue on the rise. According to the EU Cybersecurity Agency ENISA's 2024 report, cybersecurity threats such as distributed denial of service (DDoS) and ransomware attacks ranked at the top, accounting for over half all observed incidents. Statista predicts that the overall global cost of cybercrime (e.g. ransomware, malware and cryptocrime) will reach US $15.63 trillion by 2029. These attacks are getting larger and more complex, with mobile networks and the internet of things (IoT) now being used in cyberwarfare. ENISA's report further reveals that all sectors are under threat, including the health sector, with public administration, online service providers and the general public being most exposed to cyberthreats. According to a Eurobarometer survey, the majority of citizens believe that there is a growing risk of falling victim to cybercrime, through personal data abuse or theft, malicious software or phishing.  サイバーセキュリティ攻撃は増加の一途をたどっている。EUサイバーセキュリティ機関ENISAの2024年版報告書によると、分散型サービス妨害(DDoS)やランサムウェア攻撃といったサイバーセキュリティの脅威が上位を占め、観測されたインシデントの半数以上を占めている。スタティスタは、サイバー犯罪(ランサムウェア、マルウェア、暗号犯罪など)の世界全体のコストは、2029年までに15兆6300億米ドルに達すると予測している。これらの攻撃は、モバイルネットワークやモノのインターネット(IoT)がサイバー戦に利用されるようになるなど、大規模化・複雑化している。ENISAの報告書はさらに、医療分野を含むあらゆる分野が脅威にさらされており、中でも行政、オンライン・サービス・プロバイダ、一般市民が最もサイバー脅威にさらされていることを明らかにしている。ユーロバロメーターの調査によると、国民の大多数が、個人データの悪用や窃盗、悪意のあるソフトウェアやフィッシングなど、サイバー犯罪の被害に遭うリスクが高まっていると考えている。
Cyber-attacks, besides being among the fastest-growing form of crime worldwide, are also growing in scale, cost and sophistication. According to Cybersecurity Ventures, ransomware alone will cost its victims around US$265 billion annually by 2031, with a new attack (on a consumer or business) every 2 seconds. As a result, businesses have to invest more money to make cyberspace safer for themselves and their customers. Not only businesses but also citizens and entire countries have been affected by cyber-attacks. The first known cyber-attack on a country was mounted on Estonia in April 2007, affecting the online services of banks, media outlets and government bodies for weeks. Since then, many other countries have suffered cyberattacks, including on critical infrastructure, which according to some is becoming a new weapon.  サイバー攻撃は、世界で最も急成長している犯罪のひとつであるばかりでなく、その規模、コスト、巧妙さも増している。サイバーセキュリティ・ベンチャーズによると、ランサムウェアだけでも2031年までに年間約2,650億米ドルの被害が発生し、2秒に1回の割合で新たな攻撃が(消費者や企業に対して)行われるという。その結果、企業は自社と顧客のためにサイバー空間をより安全にするため、より多くの資金を投資しなければならなくなる。企業だけでなく、市民や国全体がサイバー攻撃の影響を受けている。2007年4月、エストニアが初めてサイバー攻撃を受け、銀行、メディア、政府団体のオンラインサービスが数週間にわたって影響を受けた。それ以来、他の多くの国々が重要インフラを含むサイバー攻撃を受けており、これは新たな武器になりつつあるとも言われている。
Given the growing number and cost of cyber-attacks, spending on information security is also increasing worldwide. Critical sectors, such as transport, energy, health and finance, have become increasingly dependent on digital technologies to run their core business. While growing digital connectivity brings enormous opportunities, it also exposes economies and societies to cyberthreats. As the number, complexity and scale of cybersecurity incidents grows, so does their economic and social impact.  サイバー攻撃の件数とコストが増加していることから、情報セキュリティへの支出も世界的に増加している。運輸、エネルギー、医療、金融などの重要部門は、中核事業を運営する上でデジタル技術への依存度を高めている。デジタル・コネクティビティの向上は大きな機会をもたらす一方で、経済や社会をサイバー脅威にさらすことにもなる。サイバーセキュリティインシデントの数、複雑さ、規模が拡大するにつれ、その経済的・社会的影響も大きくなっている。
The growing challenges in the cybersecurity landscape have led the EU to reflect on how to enhance the protection of its citizens and companies against cyberthreats and attacks.   サイバーセキュリティをめぐる課題の増大を受けて、EUは、サイバー脅威や攻撃から市民や企業を守るための対策を強化する方法を検討する必要に迫られている。 
Existing situation  現状 
Cybersecurity is one of the EU's top priorities for a digital and connected Europe, as stated in the European Commission's EU cybersecurity strategy for the digital decade. It is also in line with the EU's priorities to create a Europe fit for the digital age in which digital transformation will benefit both people and businesses. The cybersecurity strategy acknowledges that improving cybersecurity is essential in order both to benefit from innovation, connectivity and automation and safeguard fundamental rights and freedoms (e.g. protection of personal data and freedom of expression). The existing EU cybersecurity framework comprises several pieces of legislation that cover specific aspects of cybersecurity from different angles.   サイバーセキュリティは、欧州委員会の「デジタルの10年に向けたEUサイバーセキュリティ戦略」にもあるように、デジタルとコネクテッド・ヨーロッパを目指すEUの最優先課題のひとつである。また、デジタルトランスフォーメーションが人々と企業の双方に恩恵をもたらすような、デジタル時代にふさわしい欧州を創造するというEUの優先事項とも一致している。サイバーセキュリティ戦略は、技術革新、接続性、自動化の恩恵を受け、基本的権利と自由(個人データの保護や表現の自由など)を守るためには、サイバーセキュリティの改善が不可欠であることを認めている。既存のEUサイバーセキュリティの枠組みは、さまざまな角度からサイバーセキュリティの特定の側面をカバーするいくつかの法律で構成されている。 
The Directive on Security of Network and Information Systems across the EU (NIS Directive) entered into force in 2016, bringing in horizontal legal measures to boost the overall level of cybersecurity in the EU, with a focus on protecting critical infrastructure. The threat landscape has changed considerably since the NIS Directive came into force in 2016, and the scope of the directive needed updating and expanding to meet current risks and future challenges such as ensuring that 5G technology is secure. In addition, its transposition and implementation brought to light inherent flaws in certain provisions and approaches. Thus, the NIS Directive has been replaced by the recently adopted Directive on the Security of Network and Information Systems (NIS2), which tackles its predecessor's limitations and broadens its scope. In addition, sectoral legislation, such as the Directive on the Resilience of Critical Entities (CER) and the Regulation on Operational Resilience of the Financial Sector (DORA) set specific security and reporting requirements in their fields.  EU全域のネットワークと情報システムのセキュリティに関する指令(NIS指令)が2016年に発効し、重要インフラの保護に重点を置いたEU全体のサイバーセキュリティのレベルを高めるための水平的な法的措置が導入された。2016年にNIS指令が発効して以来、脅威の状況は大きく変化しており、現在のリスクや5G技術の安全性確保など将来の課題に対応するため、指令の範囲を更新・拡大する必要があった。さらに、その移管と実施により、特定の条項やアプローチに内在する欠陥が明るみに出た。そのため、NIS指令は、最近採択されたネットワークと情報システムのセキュリティに関する指令(NIS2)に置き換えられ、前任者の限界に取り組み、その範囲を拡大した。さらに、「重要事業体のレジリエンスに関する指令」(CER)や「金融セクターのオペレーショナル・レジリエンスに関する規則」(DORA)などのセクター別法制は、それぞれの分野で特定のセキュリティ要件や報告要件を定めている。
As far as information and communication technology (ICT) products, services and processes are concerned, back in 2019 the EU Cybersecurity Act strengthened the powers of ENISA and introduced the cybersecurity certification framework for the creation of voluntary certification schemes to apply to the cybersecurity features of an ICT product, service or process.1 Although the schemes remain voluntary for businesses, they could be used for compliance with the mandatory safety requirements of other legal acts, for the purpose of avoiding the fragmentation of the internal market with regard to cybersecurity certification schemes in the EU. More recently, the EU Cyber Resilience Act has put forward new rules to ensure safer hardware and software.  情報通信技術(ICT)製品、サービス、プロセスに関しては、2019年にEUサイバーセキュリティ法がENISAの権限を強化し、ICT製品、サービス、プロセスのサイバーセキュリティ機能に適用される自主的な認証スキームを構築するためのサイバーセキュリティ認証フレームワークを導入した1。この制度は、企業にとっては任意であることに変わりはないが、EUにおけるサイバーセキュリティ認証制度に関する域内市場の分断化を回避する目的で、他の法律による強制的な安全要件の遵守のために利用される可能性がある。より最近では、EUサイバーレジリエンス法が、より安全なハードウェアとソフトウェアを確保するための新たな規則を打ち出した。
The joint communication 'EU Policy on Cyber Defence', adopted by the Commission and the High Representative on 10 November 2022, announced that the Commission would explore the development of EU-level cybersecurity certification schemes for the cybersecurity industry and private companies. It would also explore other actions, such as an EU cyber solidarity initiative to support the gradual setting-up of an EU-level cyber-reserve with services from trusted private providers, to strengthen preparedness and response actions across the EU. The recently agreed cyber solidarity act will improve preparedness, detection and response to cybersecurity incidents across the EU.  2022年11月10日に欧州委員会と上級代表者が採択した共同コミュニケーション「サイバー防衛に関するEU政策」は、欧州委員会がサイバーセキュリティ業界および民間企業を対象としたEUレベルのサイバーセキュリティ認証制度の開発を検討すると発表した。また、EU全域での備えと対応行動を強化するため、トラストサービス・プロバイダのサービスを利用したEUレベルのサイバーリザーブの段階的な立ち上げを支援するEUサイバー連帯イニシアチブなど、その他の行動も検討するとしている。最近合意されたサイバー連帯法は、EU全域のサイバーセキュリティインシデントに対する準備、検知、対応を改善するものである。
Parliament's starting position  欧州議会の出発点 
In a June 2021 resolution, Parliament called for security by design and cyber-resilience for all internet-connected products along the entire supply chain. More specifically, Parliament welcomed the 'Commission's plans to propose horizontal legislation on cybersecurity requirements, with a view to harmonising national laws and preventing fragmentation of the single market.   欧州議会は2021年6月の決議で、インターネットに接続されたすべての製品について、サプライチェーン全体を通じて、デザインによるセキュリティとサイバーレジリエンスを求めた。より具体的には、欧州議会は、各国の法律を調和させ、単一市場の分断を防ぐという観点から、サイバーセキュリティ要件に関する水平法を提案するという欧州委員会の計画を歓迎した。 
Council starting position  EU理事会の開始見解 
In its conclusions of 2 December 2020, the Council acknowledged the increased cybersecurity risks for connected devices. Furthermore, it expressed the need to minimise cybersecurity risks to protect consumers as well as to increase the EU's cyber-resilience to foster competitiveness and innovation.  理事会は、2020年12月2日の結論において、コネクテッドデバイスのサイバーセキュリティリスクの増大を認めた。さらに、消費者を保護するためにサイバーセキュリティのリスクを最小化するとともに、競争力とイノベーションを促進するためにEUのレジリエンスを高める必要性を表明した。
In its conclusions of 23 May 2022 the Council called on the Commission to propose common EU cybersecurity proposal for EU cybersecurity emergency response mechanisms and processes and called for an increase in the overall level of cybersecurity in the EU by facilitating the emergence and development of trusted cybersecurity service providers.  2022年5月23日の結論において、理事会は欧州委員会に対し、EUのサイバーセキュリティ緊急対応メカニズムおよびプロセスに関するEU共通のサイバーセキュリティ提案を行うよう要請し、トラストサービス・プロバイダの出現と発展を促進することにより、EUにおけるサイバーセキュリティの全体的なレベルを向上させるよう求めた。
Preparation of the proposal  提案の準備 
Given its limited scope, the Commission did not conduct any preparatory studies, impact assessments or public consultations in advance of the proposal. It did however carry out targeted consultations with Member States and ENISA. As stated in the proposal, Member States described their current activities and views regarding certification of managed security services. While ENISA explained its views and its findings from discussions with Member States and stakeholders. The comments and information received from Member States and ENISA have fed into the proposal.  提案の範囲が限られていることから、欧州委員会は、提案に先立つ準備調査、影響アセスメント、公開協議は行わなかった。しかし、加盟国およびENISAとは的を絞った協議を行った。提案に記載されているように、加盟国は、マネージド・セキュリティ・サービスの認証に関する現在の活動と見解について説明した。一方、ENISAは、加盟国や利害関係者との協議から得た見解や所見を説明した。加盟国とENISAから寄せられたコメントと情報は、提案に反映された。
The changes the proposal would bring  本提案がもたらす変更点 
The proposal encompasses two articles: Article 1 contains the amendments to the Cybersecurity Act regulation while Article 2 concerns the entry into force.   本提案は2つの条文を含んでいる: 第1条はサイバーセキュリティ法規制の改正を含み、第2条は発効に関するものである。 
Article 1 contains targeted amendments to amend the scope of the European cybersecurity certification framework in the Cybersecurity Act to include 'managed security services'. It introduces a definition of those services, which is very closely aligned to the definition of 'managed security services providers' under the NIS2 Directive. It also adds a new Article 51(a) on the security objectives of EU cybersecurity certification adapted to 'managed security services'. Lastly, the proposal contains a number of technical amendments to ensure that the relevant articles apply also to 'managed security services'.  第1条には、サイバーセキュリティ法における欧州のサイバーセキュリティ認証の枠組みを改正し、「マネージドセキュリティサービス」を含めるという的を絞った改正が含まれている。これは、NIS2指令の「マネージド・セキュリティ・サービス・プロバイダ」の定義に非常に近いものである。また、「マネージド・セキュリティ・サービス」に適合したEUサイバーセキュリティ認証のセキュリティ目的に関する新しい第51条(a)を追加する。最後に、本提案には、関連条文が「マネージドセキュリティサービス」にも適用されるようにするための技術的な修正が多数含まれている。
The proposed targeted amendments to the scope of the European cybersecurity certification framework in the Cybersecurity Act seek to enable the adoption of European cybersecurity certification schemes for 'managed security services' by means of Commission implementing acts. Therefore, 'managed security services' will be covered by the EU certification framework along with information and communications technology (ICT) products, ICT services and ICT processes, that were already covered under the Cybersecurity Act adopted in 2019.   サイバーセキュリティ法における欧州のサイバーセキュリティ認証の枠組みの範囲に関する的を絞った改正案は、欧州委員会の施行法によって、「管理されたセキュリティサービス」に欧州のサイバーセキュリティ認証制度を採用できるようにすることを目的としている。したがって、「管理されたセキュリティサービス」は、2019年に採択されたサイバーセキュリティ法の下ですでに対象となっていた情報通信技術(ICT)製品、ICTサービス、ICTプロセスとともに、EUの認証枠組みの対象となる。 
This proposal aims to prevent fragmentation in the single market, as some Member States have already begun adopting certification schemes for managed security services that are divergent or inconsistent.  この提案は、単一市場における断片化を防止することを目的としている。すでにいくつかの加盟国は、マネージド・セキュリティ・サービスの認証制度について、乖離や一貫性のないものを採用し始めているからだ。
Managed security services are services carrying out or providing assistance for activities relating to customers' cybersecurity risk management. They are gaining increasing importance in the prevention and mitigation of cybersecurity incidents. Managed security service providers in areas such as incident response, penetration testing, security audits and consultancy play a particularly important role in helping entities prevent, detect, respond to or recover from incidents. They have, however, also themselves been the target of cyberattacks. In addition, they pose a particular risk because of their close integration in the operations of their customers to ensure cybersecurity.  マネージド・セキュリティ・サービス・プロバイダーとは、顧客のサイバーセキュリティ・リスクマネジメントに関する活動を実施または支援するサービスである。マネージド・セキュリティ・サービスは、サイバーセキュリティ・インシデントの予防と低減において、ますます重要性を増している。インシデント対応、侵入テスト、セキュリティ監査、コンサルティングなどの分野におけるマネージド・セキュリティ・サービス・プロバイダーは、事業体がインシデントを予防、検知、対応、回復するのを支援する上で、特に重要な役割を果たしている。しかし、彼ら自身もサイバー攻撃の標的となっている。さらに、サイバーセキュリティを確保するために顧客の業務に密接に統合されているため、特にリスクが高い。
Accordingly, the providers of managed security services are considered as 'essential or important entities' belonging to a sector of high criticality pursuant to the NIS2 Directive.   したがって、マネージド・セキュリティ・サービス・プロバイダーは、NIS2指令に従い、重要性の高いセクターに属する「必須事業体または重要事業体」とみなされる。 
Managed security services providers will also play an important role in the EU-level cybersecurity reserve, the gradual setting-up of which is supported by the cyber solidarity act proposal, tabled in parallel to the present proposed regulation. An EU-level cybersecurity reserve2 is envisaged, to be used to support response and immediate recovery actions in the event of significant and large-scale cybersecurity incidents. The relevant cybersecurity services provided by 'trusted providers' referred to in the cyber solidarity act, correspond to the 'managed security services' in the proposal for a regulation amending Regulation (EU) 2019/881 as regards managed security services.  マネージド・セキュリティ・サービス・プロバイダーは、EUレベルのサイバーセキュリティ準備金においても重要な役割を果たす。この準備金は、本規制案と並行して提出されたサイバー連帯法の提案により、段階的な設立が支持されている。EUレベルのサイバーセキュリティ準備金2は、大規模かつ重大なサイバーセキュリティインシデントが発生した場合に、対応措置と即時復旧措置を支援するために使用されることが想定されている。サイバー連帯法で言及されている「トラストドサービス・プロバイダ」が提供する関連サイバーセキュリティ・サービスは、マネージド・セキュリティ・サービスに関する規則(EU)2019/881の改正規則案における「マネージド・セキュリティ・サービス」に相当する。
The provisions to be amended by the proposal will be evaluated as part of the periodic evaluation of the Cybersecurity Act to be carried out by the Commission.3   この提案によって改正される規定は、欧州委員会が実施するサイバーセキュリティ法の定期評価の一環として評価される3。 
Advisory committees  諮問委員会 
The European Economic and Social Committee (EESC) opinion of 14 July 2023 emphasises the concerns that, 4 years after the adoption of the EU Cybersecurity Act, no cybersecurity scheme has yet been adopted by the European Commission through implementing acts and no product has yet been cyber-certified. The EESC argues that the EU's sectoral agencies should be involved in the process of developing EU cybersecurity schemes and a minimum EU standard should be adopted, in cooperation with the European Committee for Standardization (CEN), the European Committee for Electrotechnical Standardization (CENELEC) and the European Telecommunications Standards Institute (ETSI), including for internet of people (IoP) devices and the IoT.  2023年7月14日付の欧州経済社会委員会(EESC)の意見は、EUサイバーセキュリティ法の採択から4年が経過したが、欧州委員会が実施法を通じて採択したサイバーセキュリティ制度はまだなく、サイバー認証を受けた製品もまだないという懸念を強調している。EESCは、EUのサイバーセキュリティスキームの策定プロセスにEUの各機関が関与し、欧州標準化委員会(CEN)、欧州電気標準化委員会(CENELEC)、欧州電気通信標準化機構(ETSI)と協力して、人々のインターネット(IoP)機器やIoTを含むEUの最低標準を採択すべきだと主張している。
The EESC emphasises the vital need to procure only Europe-based technology for equipping EU cyber shield members. It is 'in the EU's strategic interest to ensure that the Union retains and develops the essential capacities to secure its digital economy, society and democracy, to achieve full digital sovereignty as the only way to protect critical technologies, and to provide effective key cybersecurity services'.  EESCは、EUのサイバーシールド加盟国に装備させる技術については、欧州ベースの技術のみを調達することが極めて重要であることを強調している。それは、「EUがデジタル経済、社会、民主主義の安全を確保し、重要技術を保護する唯一の方法である完全なデジタル主権を達成し、効果的な主要サイバーセキュリティサービスを提供するために不可欠な能力を保持し、発展させることを確実にすることが、EUの戦略的利益になる」というものである。
The European Committee of the Regions has not submitted an opinion on this initiative.  欧州地域委員会は、このイニシアチブに関する意見を提出していない。
National parliaments  各国議会 
The subsidiarity deadline for national parliament was 21 July 2023. Eleven Member States started or concluded contributions, with the Czech Chamber of Deputies and the Portuguese Assembleia da República issuing opinions on the proposal.  各国議会の補完性の期限は2023年7月21日であった。11の加盟国が拠出を開始または終了し、チェコ下院議会とポルトガル下院議会がこの提案に関する意見を発表した。
The Czech Chamber of Deputies questions mainly the cyber solidarity act proposal, with its provision to exchange sensitive information concerning national security at EU level, as well as subsidiarity compliance.   チェコ代議員会は、補完性の遵守だけでなく、EUレベルでの国家安全保障に関する機密情報の交換を規定したサイバー連帯法の提案に主に疑問を呈している。 
Stakeholder views4  利害関係者の見解4
Given its limited scope, the Commission did not hold a public consultation of stakeholders in advance of the proposal and there are no major reactions or position papers about it.  提案の範囲が限定されていることから、欧州委員会は提案に先立って利害関係者を対象とした公開協議を行わず、提案に関する主な反応やポジションペーパーもない。
Legislative process  立法プロセス 
In Parliament, the file has been assigned to the Committee on Industry, Research and Energy (ITRE), and Josiane Cutajar (S&D, Malta) has been appointed as rapporteur. The Committees on Internal Market and Consumer Protection (IMCO) and on Civil Liberties, Justice and Home Affairs (LIBE) have been asked for their opinions. IMCO published its specific opinion on 21 September 2023, stressing that the certification of managed security services is essential for building trust in the quality of those services and achieving a high level of consumer protection. It recommends requiring managed security service providers to adhere to relevant cybersecurity standards. It also calls for the introduction of a voluntary EU trust label for certified ICT products and a specific funding instrument for a cybersecurity research and development programme. The LIBE committee decided not to provide an opinion.  議会では、この案件は産業・研究・エネルギー委員会(ITRE)に割り当てられ、ヨシアーヌ・キュタジャール(S&D、マルタ)が報告者に任命された。域内市場・消費者保護委員会(IMCO)と自由権・司法・内務委員会(LIBE)にも意見が求められている。IMCOは2023年9月21日に具体的な意見を発表し、マネージド・セキュリティ・サービスの認証は、サービスの品質に対するトラスト・サービスを構築し、高水準の消費者保護を実現するために不可欠であると強調した。マネージド・セキュリティ・サービス・プロバイダに、関連するサイバーセキュリティ標準の遵守を義務付けることを提言している。また、認証されたICT製品に対するEUの自主的な信頼ラベルの序文や、サイバーセキュリティ研究開発プログラムに対する特定の資金提供制度の導入も求めている。LIBE委員会は意見を提出しないことを決定した。
The rapporteur published her draft report on 7 September 2023 and presented it during the ITRE committee meeting on 18 September 2023. The rapporteur supports the Commission proposal to prevent individual Member States from continuing to adopt different certification schemes for managed security services so as to avoid fragmentation and further divergences. She seeks complementarity between the proposal for a regulation amending Regulation (EU) 2019/881 as regards managed security services and the cyber solidarity act proposal, to allow for managed security services (i.e. 'trusted providers' in the cyber solidarity act) to play an important role in the future EU cybersecurity reserve.   報告者は2023年9月7日に報告書のドラフトを発表し、9月18日のITRE委員会で報告した。報告者は、断片化とさらなる乖離を避けるため、個々の加盟国が管理されたセキュリティサービスに関して異なる認証制度を採用し続けることを防ぐという欧州委員会の提案を支持する。報告者は、マネージド・セキュリティ・サービスに関して規則(EU)2019/881を改正する規則の提案とサイバー連帯法の提案との間の補完性を求め、マネージド・セキュリティ・サービス(すなわちサイバー連帯法における「トラストド・プロバイダ」)が将来のEUサイバーセキュリティ予備軍において重要な役割を果たすことを可能にする。 
The draft report's amendments tabled in the ITRE committee were published on 21 September 2023. The ITRE committee adopted its report on 25 October 2023. On 9 November 2023, the committee decision to enter into interinstitutional negotiations was confirmed by plenary (Rule 71).  ITRE委員会に提出された報告書の修正案は、2023年9月21日に公表された。ITRE委員会は2023年10月25日に報告書を採択した。2023年11月9日、機関間交渉に入るという委員会の決定が本会議で承認された(規則71)。
The report seeks to clarify the definition of managed security services and their scope. In addition, it places a stronger emphasis on addressing the skills gap and helping small and medium-sized enterprises to get the financial support they need to address such challenges.  報告書は、マネージド・セキュリティ・サービスの定義とその範囲を明確にすることを求めている。さらに、技能格差への対応と、中小エンタープライズがこうした課題に取り組むために必要な財政支援を得られるよう支援することに重点を置いている。
On 15 November 2023, the Council adopted its position, which includes several amendments to the Commission proposal. For instance, it clarifies the definition of 'managed security services' and the alignment with the NIS2 Directive. It also includes modifications in the annex to the Cybersecurity Act, which contains a list of requirements to be met by conformity assessment bodies. Other technical and drafting modifications have been introduced, as well, to ensure that all the relevant provisions of the current Cybersecurity Act also apply to managed security services.  2023年11月15日、欧州理事会は、欧州委員会の提案にいくつかの修正を加えた見解を採択した。例えば、「マネージド・セキュリティ・サービス」の定義や、NIS2指令との整合性を明確にしている。また、適合性評価団体が満たすべき要件のリストを含むサイバーセキュリティ法の附属書の修正も含まれている。現行のサイバーセキュリティ法の関連条項がすべてマネージドセキュリティサービスにも適用されるよう、その他の技術的修正とドラフト修正も導入された。
Trilogue negotiations started on 4 December 2023. On 6 March 2024, the EU co-legislators - Parliament and the Council – reached a provisional agreement on the file. They agreed to clarify the definition of managed security services, to align this regulation with the Cybersecurity Act (e.g. as regards security objectives) and to include a modification in the annex to the Cybersecurity Act.  トリローグ交渉は2023年12月4日に開始された。2024年3月6日、EUの共同立法者である議会と理事会は、この法案に関する暫定合意に達した。両者は、マネージド・セキュリティ・サービスの定義を明確化し、この規制をサイバーセキュリティ法と整合させ(セキュリティ目的など)、サイバーセキュリティ法の付属書に修正を加えることで合意した。
The text was approved by Parliament as a whole in first reading on 24 April 2024 with 530 votes in favour, 5 votes against, and 53 abstentions. The text still needs to be formally adopted by the Council before it can enter into force.   この条文は、2024年4月24日の第一読会で、賛成530票、反対5票、棄権53票で、議会全体として承認された。この条文は発効する前に、理事会で正式に採択される必要がある。 

 

 

 

 

| | Comments (0)

2024.11.18

公認会計士協会 「財務報告内部統制監査基準報告書第1号「財務報告に係る内部統制の監査」の改正」(公開草案)の公表

こんにちは、丸山満彦です。

日本公認会計士協会が、「財務報告内部統制監査基準報告書第1号「財務報告に係る内部統制の監査」の改正案を公表し、コメントを募集していますね...

 

日本公認会計士協会

・2024.11.15 「財務報告内部統制監査基準報告書第1号「財務報告に係る内部統制の監査」の改正」(公開草案)の公表について

監査基準報告書(序)「監査基準報告書及び関連する公表物の体系及び用語」に基づく要求事項と適用指針の明確化を行うため、所要の見直しを行ってきたということのようです...

語句の変更、記載場所の変更は多岐に及ぶのですが、実体的な内容の変更はあまりない?

 


改正の概要

1. 「監査基準報告書(序)「監査基準報告書及び関連する公表物の体系及び用語」」に基づき、以下の対応を行っている。
 「本報告書の範囲及び目的」の記載及び「要求事項」と「適用指針」の区分による明確化、並びにこれらに伴う文末表記及び記載順序の見直し
 文中で用語の定義を述べている箇所を定義の区分に移動

2. 上記の対応に合わせ、以下の点についても記載事項の見直しを行っている。
 内部統制報告制度の導入経緯や導入による影響に関する記載など、現時点で役割を終えたと考えられる記載を削除
 内容が重複していると考えられる記載について、記載を一本化
 監査基準報告書としてより適切な表記となるよう、記載の見直しを実施
 付録1から付録7の順序の入替
 付録5(一体型内部統制監査報告書の文例)について、内部統制監査に関連しない記載を監査基準報告書700実務指針第1号を参照する形とし、記載を簡略化

3. グループ財務諸表の監査における監査基準報告書600「グループ監査における特別な考慮事項」(第28項及び第48項)の要求事項を内部統制監査に取り入れている(第90項)。また、これに合わせ、一体型内部統制報告書の文例のうち、「内部統制監査における監査人の責任」の記載内容について、改正監査基準報告書600の規定に合わせた記載事項の改正を実施している。


 

日本公認会計士協会

・2024.11.15 「財務報告内部統制監査基準報告書第1号「財務報告に係る内部統制の監査」の改正」(公開草案)の公表について

 

・・[PDF] 本文

20241118-125356

 

・・[PDF] 【参考】新旧対照表

・・[PDF] 【参考】改正財務報告内部統制監査基準第1号「財務報告に係る内部統制の監査」(公開草案)の概要

 

 

| | Comments (0)

英国 ICOが、AIを利用した採用活動における求職者の保護のため監査を実施し、AI開発提供者、採用担当者に向けた勧告を公表していますね...

こんにちは、丸山満彦です。

英国のデータ保護機関がAI採用ツールの利用について、AI開発提供者、採用担当者向けの課題をある程度整理しています。とても参考になるところがあるように思います。

社会にAIを実装する上で、多くの課題がだいぶみえてきているように思います。

特に人権に関わる問題が多いように思います。(もちろん、市場における公正な競争、著作物の保護もありますが...)

 

U.K. Information Commissioner's Office; ICO

・2024.11.06 ICO intervention into AI recruitment tools leads to better data protection for job seekers

ICO intervention into AI recruitment tools leads to better data protection for job seekers ICOがAI採用ツールに介入し、求職者のデータ保護向上につなげる
We have today issued a series of recommendations to AI developers and providers to ensure they are better protecting job seekers’ information rights. ICOは本日、AI開発者やプロバイダに対し、求職者の情報権利をより確実に保護するための一連の勧告を行った。
AI is increasingly being used in the recruitment process to save time and money, helping to source potential candidates, summarise CVs and score applicants. If not developed lawfully, these tools may negatively impact jobseekers who could be unfairly excluded from roles or have their privacy compromised.   AIは、潜在的な候補者の発掘、履歴書の要約、応募者の採点などを支援し、時間とコストを節約するために、採用プロセスでますます使用されるようになっている。もし合法的に開発されていなければ、これらのツールは求職者に悪影響を及ぼし、不当に職務から排除されたり、プライバシーが侵害されたりする可能性がある。 
We audited several providers and developers of AI tools for recruitment and made almost 300 recommendations, such as ensuring personal information is processed fairly and kept to a minimum, and clearly explaining to candidates how their information will be used by the AI tool. The companies accepted or partially accepted all recommendations. 我々は、採用用AIツールのプロバイダや開発者数社を監査し、個人情報が公正に処理され、最小限に保たれることを保証すること、AIツールによって自分の情報がどのように使用されるかを求職者に明確に説明することなど、約300件の勧告を行った。各社はすべての勧告を受け入れるか、部分的に受け入れた。
Published today, the audit outcomes report summarises the key findings and recommendations from the consensual audits, as well as providing examples of good practice, case studies and lessons learned for both AI developers and recruiters. 本日発表された監査結果報告書は、合意監査から得られた主な発見と勧告を要約したもので、AI開発者と採用担当者の双方にとって、優れた実践例、ケーススタディ、教訓を提供するものである。
The regulator also published key questions for organisations looking to procure AI tools for recruitment, so they can seek clear assurances from developers and providers. 規制当局はまた、採用のためのAIツールの調達を検討している組織が、開発者やプロバイダに明確な保証を求めることができるよう、主な質問事項を公表した。
Ian Hulme, ICO Director of Assurance, said: ICOの保証担当ディレクターであるイアン・ハルム氏は、次のように述べている:
“AI can bring real benefits to the hiring process, but it also introduces new risks that may cause harm to jobseekers if it is not used lawfully and fairly. Our intervention has led to positive changes by the providers of these AI tools to ensure they are respecting people’s information rights. 「AIは採用プロセスに真のメリットをもたらすが、合法的かつ公正に使用されなければ、求職者に損害を与えかねない新たなリスクももたらす。我々の介入は、AIツールのプロバイダが人々の情報権利を尊重するよう、前向きな変更を行うことにつながった。
Our report signals our expectations for the use of AI in recruitment, and we're calling on other developers and providers to also action our recommendations as a priority. That’s so they can innovate responsibly while building trust in their tools from both recruiters and jobseekers.”   私たちの報告書は、採用におけるAIの利用に対する私たちの期待を示すものであり、私たちは他の開発者やプロバイダに対しても、私たちの勧告を優先的に実行するよう求めている。そうすることで、採用担当者と求職者の両方からツールに対する信頼を築きながら、責任を持ってイノベーションを行うことができる。」 
About the audits 監査について
Our audits revealed that some AI tools were not processing personal information fairly – for example, by allowing recruiters to filter out candidates with certain protected characteristics. Others were inferring characteristics, including gender and ethnicity, from a candidate’s name instead of asking for this information. We instructed these providers to collect accurate information directly from candidates and ensure that regular checks are in place to monitor and mitigate potential discrimination.   我々の監査により、一部のAIツールが個人情報を公正に処理していないことが明らかになった。例えば、採用担当者が特定の防御特性を持つ候補者をフィルタリングできるようにしている。また、性別や民族性などの特徴を、情報を求める代わりに候補者の名前から推測しているものもあった。これらのプロバイダに対しては、候補者から直接正確な情報を収集し、潜在的な差別を監視・緩和するための定期的なチェックを確実に行うよう指導した。 
The regulator was also concerned that some AI tools collected far more personal information than necessary and retained it indefinitely to build large databases of potential candidates without their knowledge. We recommended that all candidates must be provided with transparent privacy information, including a clear retention period.   規制当局はまた、一部のAIツールが必要以上に個人情報を収集し、それを無期限に保持することで、候補者が知らないうちに候補者の大規模なデータベースを構築していることを懸念した。我々は、すべての候補者に、明確な保存期間を含む透明性のあるプライバシー情報を提供しなければならないと勧告した。 
We have followed up with the organisations and confirmed that its recommended actions were implemented. 我々は、各組織のフォローアップを行い、勧告された措置が実施されたことを確認した。
One of the organisations audited said: 監査を受けた組織のひとつは、次のように述べている:
“We are actively working to implement the specific actions agreed with the ICO in our audit plan. For example, we are making sure to provide the relevant information regarding the use of AI in our privacy policies and evaluating the steps taken to minimise bias when training and testing our AI tools.” 「監査計画でICOと合意した具体的なアクションの実施に積極的に取り組んでいる。例えば、プライバシーポリシーの中でAIの使用に関する関連情報を必ず提供し、AIツールのトレーニングやテストの際にバイアスを最小限に抑えるために取られた措置を評価している。」
Supporting the responsible development and adoption of AI   AIの責任ある開発と導入を支援する 
Following these audits, we intend to work with the organisations using these AI tools to build on its understanding of the privacy risks and potential harms of using AI to aid recruitment. これらの監査に続き、我々はこれらのAIツールを使用している組織と協力し、採用支援にAIを使用することによるプライバシーリスクと潜在的な弊害についての理解を深めるつもりである。
We will be delivering a webinar on Wednesday 22 January 2025 for AI developers and recruiters so they can learn more about the findings and how they can be applied. Register for the webinar here. 我々は2025年1月22日(水)に、AI開発者と採用担当者向けにウェビナーを開催する予定である。ウェビナーへの登録はこちらから。
Last year, we issued updated guidance to educate AI developers on ensuring their algorithms treat people and their information fairly
.
昨年、我々はAI開発者を教育し、彼らのアルゴリズムが人々とその情報を公平に扱うことを保証するための最新のガイダンスを発表した。

 

・2024.11.06 AI tools in recruitment

AI tools in recruitment 採用におけるAIツール
We carried out consensual audit engagements with developers and providers of artificial intelligence (AI) powered sourcing, screening, and selection tools used in recruitment.  我々は、採用活動で使用される人工知能(AI)搭載のソーシング、スクリーニング、選考ツールの開発者およびプロバイダに対して、同意に基づく監査を実施した。
We recognise that the use of AI tools in recruitment processes can offer benefits to employers, but their use can also lead to risks for people and their privacy and information rights.  我々は、採用プロセスにおけるAIツールの使用は、雇用者に利益をもたらす可能性があることを認識しているが、その使用は、人々や彼らのプライバシーと情報の権利にとってのリスクにもつながる可能性がある。
We undertook this work as part of our upstream monitoring of the wider AI ecosystem to understand how the development and provision of AI recruitment tools complies with UK data protection law. 我々は、AI採用ツールの開発と提供が英国データ保護法をどのように遵守しているかを理解するため、より広範なAIエコシステムの上流監視の一環として、この作業を実施した。

 

・[PDF]

20241118-21715

・[DOCX][PDF] 仮訳

 

 

目次...

Executive summary エグゼクティブサマリー
Introduction 序文
Key recommendations 主な勧告
Methodology 方法論
Impact インパクト
Summary of findings 所見のまとめ
Data minimisation and purpose limitation データの最小化と目的の制限
Using personal information to train and test AI 個人情報をAIの訓練とテストに利用する
Accuracy, fairness, and bias mitigation in AI AIにおける正確性、公平性、バイアス軽減
Transparency 透明性
Privacy trade-offs within AI AIにおけるプライバシーのトレードオフ
Human reviews in AI AIにおけるヒューマンレビュー
DPIAs and risk management DPIAとリスクマネジメント
Information security and integrity 情報セキュリティと完全性
Management frameworks 経営フレームワーク
Third party relationships サードパーティとの関係

 

主な勧告...

Key recommendations  主な勧告
Our audits found some considerable areas for improvement in data protection compliance and management of privacy risks in AI. We recommended actions both to improve compliance with data protection law and promote the good practices in our published guidance.   我々の監査では、AIにおけるデータ保護コンプライアンスとプライバシー・リスクのマネジメントに改善すべき点がいくつか見つかった。我々は、データ保護法の遵守を改善し、我々の公表したガイダンスにあるグッドプラクティスを推進するための行動を勧告した。
Our recommendations were tailored to the AI use case, the personal information processed, and the context of the organisation. However we have summarised the most common areas into seven key recommendations, which are crucial to all organisations when designing and using AI recruitment tools.   我々の勧告は、AIの使用ケース、処理される個人情報、組織の状況に合わせたものである。しかし、最も一般的な領域を7つの主要な勧告事項にまとめた。これは、AI採用ツールを設計し使用する際に、すべての組織にとって極めて重要なものである。
These key recommendations are relevant for organisations that develop or provide AI recruitment tools (AI providers), and organisations that use or are thinking of using an AI tool in their recruitment (recruiters).   これらの主要な勧告は、AI採用ツールを開発または提供する組織(AI提供者)と、採用においてAIツールを使用する、または使用を考えている組織(採用担当者)に関連する。
AI providers and recruiters should follow our recommendations, to ensure AI recruitment tools comply with UK data protection law.  AI提供者と採用担当者は、AIリクルートツールが英国のデータ保護法を遵守するよう、我々の勧告に従うべきである。
Recommendation: Fairness  勧告:公平性
AI providers and recruiters must ensure that they process personal information fairly by AI. This includes monitoring for potential or actual fairness, accuracy, or bias issues in the AI and its outputs, and taking appropriate action to address these. Depending on the decisions made and the level of human involvement as a result, the accuracy being better than random is not enough to demonstrate that AI is processing personal information fairly.   AI提供者と採用担当者は、AIによる個人情報の公正な処理を保証しなければならない。これには、AIとそのアウトプットに潜在的または実際の公平性、正確性、バイアスの問題がないか監視し、それらに対処するための適切な措置を講じることが含まれる。その結果下される判断や人間の関与の度合いによっては、精度がランダムよりも優れているだけでは、AIが個人情報を公正に処理していることを示すには不十分である。
Additionally, AI providers and recruiters must also ensure any special category data processed to monitor for bias and discriminatory outputs is adequate and accurate enough to effectively fulfil this purpose. They must also ensure this processing complies with data protection law. Inferred or estimated data will not be adequate and accurate enough, and will therefore not comply with data protection law.  さらに、AI提供者と採用担当者は、バイアスや差別的な出力を監視するために処理される特別カテゴリーデータが、この目的を効果的に果たすのに十分適切かつ正確であることも確認しなければならない。また、この処理がデータ保護法に準拠していることも確認しなければならない。防御データや推定データは、十分かつ正確ではないため、データ保護法に準拠しない。
Recommendation: Transparency and explainability  勧告:透明性と説明可能性
Recruiters must ensure that they inform their candidates how they will process their personal information by AI. They should do this by providing detailed privacy information, or ensuring this is provided by the AI provider. This should clearly explain:   採用担当者は、AIによる個人情報の処理方法について、候補者に確実に通知しなければならない。そのためには、詳細なプライバシー情報を提供するか、あるいはAI提供者から提供されるようにしなければならない。これは明確に説明されるべきである:
• what personal information is processed by AI and how;   • AIがどのような個人情報をどのように処理するか;
• the logic involved in making predictions or producing outputs; and   • 予測や出力に関わるロジック。
• how they use personal information for training, testing, or otherwise developing the AI.  • AIの訓練、テスト、その他の開発のために個人情報をどのように使用するか。
AI providers should support the transparency and explainability of their AI by proactively providing relevant AI technical information or details about the AI logic to the recruiter.  AI提供者は、関連するAIの技術情報やAIロジックの詳細を採用担当者に積極的に提供することで、AIの透明性と説明可能性をサポートすべきである。
AI providers and recruiters must ensure that contracts clearly define which party is responsible for providing privacy information to candidates.   AI提供者と採用担当者は、候補者にプライバシー情報を提供する責任がどちらにあるのかを契約で明確に定義しなければならない。
Recommendation: Data minimisation and purpose limitation  勧告:データの最小化と目的の制限
AI providers should comprehensively assess:   AI提供者は、総合的に以下をアセスメントすべきである:
• the minimum personal information they require to develop, train, test, and operate each element of the AI;   • AIの各要素を開発、訓練、テスト、運用するために必要な最小限の個人情報を提供する;
• the purpose for processing and compatibility with the original purpose for processing; and  • 処理の目的および当初の処理目的との互換性。
• how long the require the personal information for.  • 個人情報を必要とする期間
Recruiters should:   採用担当者は、以下をすべきである:
• ensure that they collect only the minimum personal information necessary to achieve the AI’s purpose; and   • AIの目的を達成するために必要な最小限の個人情報のみを収集する。
• confirm that they only process this personal information for that specific limited purpose and they do not store, share, or reprocess it for an alternative incompatible purpose.  • 個人情報を特定の限定された目的のためにのみ処理し、互換性のない別の目的のために保存、共有、再処理しないことを確認する。
Recommendation: Data protection impact assessments (DPIA)  勧告:データ保護影響アセスメント(DPIA)
AI providers and recruiters must:   AI提供者と採用担当者は、以下をすべきである:
• complete a DPIA early in AI development and prior to processing, where processing is likely to result in a high risk to people; and   • 人へのリスクが高い加工が行われる可能性がある場合、AI開発の初期段階および加工前にDPIAを実施する。
• update the DPIA as AI develops and when processing changes.   • AIの発展や処理の変更に応じてDPIAを更新する。
The DPIA must include:   DPIAには、以下を含めなければならない:
• a comprehensive assessment of privacy risks to people as a result of personal information processing;   • 個人情報処理の結果、人々が被るプライバシーリスクを包括的にアセスメントする;
• appropriate mitigating controls to reduce these risks; and   • これらのリスクを低減するための適切な低減コントロール。
• an analysis of trade-offs between people’s privacy and other competing interests.  • 人々のプライバシーと他の競合する利益との間のトレードオフの分析。
Even when acting exclusively as processors, AI providers should consider completing a DPIA to assess and mitigate privacy risks and evidence technical and organisational controls in place.   プロセッサーとしてのみ行動する場合であっても、AI提供者は、プライバシーリスクを評価・軽減し、技術的・組織的管理が実施されていることを証明するために、DPIAの完了を検討すべきである。
Recommendation: Data controller and processor roles  勧告:データ管理者と処理者の役割
AI providers and recruiters must:   AI提供者と採用担当者は、以下をすべきである:
• define whether the AI provider is the controller, joint controller, or a processor for each specific processing of personal information; and   • AI提供者が、個人情報の特定の処理ごとに、管理者、共同管理者、または処理者のいずれであるかを定義する。
• record this clearly in contracts and privacy information.   • このことを契約書やプライバシー情報に明記する。
The AI provider is the controller if it exercises overall control of the means and purpose of processing in practice. For example, if it uses the personal information it processes on the recruiter’s behalf to develop a central AI model that they deploy to all recruiters.  AI提供者は、実際に処理の手段と目的を全体的に管理する場合、管理者となる。例えば、採用担当者に代わって処理する個人情報を使用して、すべての採用担当者に展開する中央AIモデルを開発する場合などである。
Recommendation: Explicit processing instructions  勧告:明示的な処理指示
Recruiters must set explicit and comprehensive written processing instructions for the AI provider to follow when processing personal information on its behalf as a processor. This includes deciding the:   採用担当者は、処理者としてAI提供者に代わって個人情報を処理する際、AI提供者が従うべき明示的かつ包括的な書面による処理指示を定めなければならない。これには、以下の事項を決定することが含まれる:
• specific data fields required;   • 特定のデータフィールドが必要である;
• means and purposes of processing;   • 処理の手段と目的
• output required; and   • 必要な出力
• minimum safeguards to protect personal information.   • 個人情報を保護するための最低限のセーフガード。
Recruiters should periodically check that AI providers are complying with these instructions and not sharing or processing personal information for additional alternative purposes.  採用担当者は、AI提供者がこれらの指示を遵守し、追加の代替目的のために個人情報を共有または処理していないことを定期的に確認すべきである。
AI providers must only follow the recruiters’ explicit instructions when they process personal information as a processor for the recruiter. The AI provider must not retain personal information, share it without permission, or process it for their own purposes beyond their instructions.  AI提供者は、人材紹介業者の処理者として個人情報を処理する場合、人材紹介業者の明示的な指示にのみ従わなければならない。AI提供者は、個人情報を保持したり、許可なく共有したり、指示を超えて独自の目的で処理してはならない。
Recommendation: Lawful basis and additional condition  勧告:合法的根拠と追加条件
AI providers and recruiters must:   AI提供者と採用担当者は、以下をすべきである:
• identify the lawful basis they relied on for each instance of personal information processing where they are the controller, before processing any personal information;   • 個人情報を処理する前に、管理者である場合、個人情報処理の各事例におい て依拠した合法的根拠を特定すること;
• identify an additional condition, where they are processing special category data;  • 特別カテゴリー・データを処理する場合、追加条件を特定する;
• document, describe in privacy information, and record in contracts the lawful basis and condition;  • 文書化し、プライバシー情報に記載し、契約書に合法的根拠と条件を記録する;
• when relying on legitimate interests, complete a legitimate interests assessment; and  • 正当な利益に依拠する場合は、正当な利益のアセスメントを完了する。
• when relying on consent, ensure that consent is specific, granular, has a clear opt-in, appropriately logged and refreshed at periodic intervals, and as easy to withdraw as it was to give. • 同意に依存する場合は、同意が具体的で、粒度が細かく、明確なオプトインがあり、適切なログが記録され、定期的に更新され、同意の撤回が同意と同様に容易であることを確認する。

 

 


 

・2024.11.06 Thinking of using AI to assist recruitment? Our key data protection considerations

Thinking of using AI to assist recruitment? Our key data protection considerations 採用支援にAIの活用をお考えか?データ保護に関する主な考慮事項
We have shared key questions organisations should ask when procuring AI tools to help with their employee recruitment. 従業員の採用を支援するためにAIツールを調達する際に、組織が尋ねるべき主な質問を共有した。
Many recruiters may be looking to procure these tools to improve the efficiency of their hiring process, helping to source potential candidates, summarise CVs and score applicants. If not used lawfully, however, AI tools may negatively impact jobseekers who could be unfairly excluded from roles or have their privacy compromised.   多くの採用担当者は、潜在的な候補者の発掘、履歴書の要約、応募者のスコアリングを支援し、採用プロセスの効率を改善するためにこれらのツールを調達しようとしているかもしれない。しかし、適法に使用されなければ、AIツールは求職者に悪影響を及ぼし、職務から不当に排除されたり、プライバシーが侵害されたりする可能性がある。 
We recently audited several providers and developers of AI tools for the recruitment industry, which uncovered considerable areas for improvement, such as ensuring personal information is processed fairly and kept to a minimum, and clearly explaining to candidates how their information will be used by the AI tool.  我々は最近、人材紹介業界向けのAIツールのプロバイダや開発者数社を監査した。その結果、個人情報が公正に処理され、最小限に抑えられていること、AIツールによって自分の情報がどのように使用されるかを求職者に明確に説明することなど、かなりの改善点が明らかになった。
The regulator made almost 300 clear recommendations for providers and developers to improve their compliance with data protection law, all of which have been accepted or partially accepted. Published today, the audit outcomes report summarises the key findings from the audits, as well as practical recommendations for recruiters wishing to use these tool. 規制当局は、プロバイダや開発者に対し、データ保護法への準拠を改善するために300近くの明確な勧告を行い、そのすべてが受け入れられたか、部分的に受け入れられた。本日発表された監査結果報告書は、監査から得られた主な発見と、これらのツールの利用を希望する採用担当者に対する実践的な勧告をまとめたものである。
Ian Hulme, ICO Director of Assurance, said: ICOの保証担当ディレクターであるイアン・ハルム氏は、次のように述べている:
“AI can bring real benefits to the hiring process, but it also introduces new risks that may cause harm to jobseekers if it is not used lawfully and fairly. Organisations considering buying AI tools to help with their recruitment process must ask key data protection questions to providers and seek clear assurances of their compliance with the law.”  「AIは採用プロセスに真のメリットをもたらすが、合法的かつ公正に使用されなければ、求職者に損害を与えかねない新たなリスクももたらす。採用プロセスを支援するためにAIツールの購入を検討している組織は、プロバイダにデータ保護に関する重要な質問をし、法律の遵守について明確な保証を求める必要がある」 
Key questions to ask before procuring an AI tool for recruitment 採用のためのAIツールを調達する前に尋ねるべき主な質問
1) Have you completed a DPIA?  1) DPIAを完了しているか?
The procurement process is an important stage where recruiters can understand, address and mitigate any potential privacy risks or harms to people. A Data Protection Impact Assessment (DPIA) helps you to ask the right questions of your provider and should be carried out prior to using an AI tool, ideally at the procurement stage. Your DPIA should be kept up to date as the processing and its impacts evolve. Taking this approach will also help meet your accountability obligations under data protection law. 調達プロセスは、輸入事業者が潜在的なプライバシーリスクや人々への危害を理解し、対処し、低減することができる重要な段階である。データ保護影響アセスメント(DPIA)は、プロバイダに適切な質問をするのに役立ち、AIツールを使用する前に、理想的には調達段階で実施すべきである。DPIAは、処理とその影響の進展に応じて、常に最新の状態に保つべきである。このようなアプローチをとることは、データ保護法に基づく説明義務を果たすことにもつながる。
2) What is your lawful basis for processing personal information?  2) 個人情報処理の合法的根拠は何か?
If you are processing personal information, you must identify an appropriate lawful basis to rely on, such as consent or legitimate interests. If you plan to process sensitive special category data, such as racial, ethnic origin or health data, you must meet a specific condition under the law. 個人情報を処理する場合、同意や正当な利益など、依拠すべき適切な合法的根拠を特定しなければならない。人種、民族的出身、健康データなど、機密性の高い特殊カテゴリーデータを処理する予定の場合は、法律に基づく特定の条件を満たさなければならない。
3) Have you documented responsibilities and set clear processing instructions?   3) 責任を文書化し、明確な処理指示を設定しているか? 
Both recruiters and AI providers have a responsibility for data protection compliance. You must identify who is the controller and processor of personal information. This must be recorded clearly in a contract with the provider and scrutinised carefully. If the AI provider is a processor, you must set explicit and comprehensive written instructions for them to follow. You should establish how you will ensure that the provider of the tool is complying with these instructions, and you could also set out performance measures such as statistical accuracy and bias targets. リクルーターもAIプロバイダもデータ保護コンプライアンスに責任を持つ。誰が個人情報の管理者と処理者であるかを特定しなければならない。これはプロバイダとの契約に明確に記録し、慎重に精査しなければならない。AIプロバイダが処理者である場合、プロバイダが従うべき明確かつ包括的な指示を文書で定めなければならない。ツールのプロバイダがこれらの指示を遵守していることをどのように確認するかを定めるべきであり、統計的精度やバイアスの目標値などのパフォーマンス指標を定めることもできる。
4) Have you checked the provider has mitigated bias?   4)プロバイダがバイアスを低減していることを確認したか? 
The audit revealed that some AI tools were not processing personal information fairly – for example, by allowing recruiters to filter out candidates with certain protected characteristics. You must ensure that personal information will be processed fairly by monitoring for potential or actual fairness, accuracy or bias issues in the AI tool and its outputs. These should be raised with the provider so they can be addressed appropriately. You should seek clear assurances from the AI provider that they have mitigated bias and ask to see any relevant documentation. 監査の結果、AIツールの中には、採用担当者が特定の防御特性を持つ候補者をフィルタリングできるようにするなど、個人情報を公正に処理していないものがあることが明らかになった。AIツールやその出力に公正さ、正確さ、バイアスの問題が潜在的または実際に存在しないか監視することで、個人情報が公正に処理されることを保証しなければならない。これらの問題はプロバイダに提起し、適切に対処できるようにすべきである。AIプロバイダから、バイアスを低減しているという明確な保証を求め、関連文書の閲覧を求めるべきである。
5) Is the AI tool being used transparently?  5) AIツールは透明性をもって使用されているか?
You must ensure that you inform candidates how an AI tool will process their personal information. You should do this with clear privacy information, that explains how and why the tool is being used and the logic involved in making predictions or producing outputs that may affect people. Candidates must be informed how they can challenge any automated decisions made by the tool. AIツールが受験者の個人情報をどのように処理するか、受験者に確実に伝えなければならない。明確なプライバシー情報を用いて、ツールがどのように使用され、なぜ使用されるのか、また、人々に影響を与える可能性のある予測や出力に関わるロジックを説明しなければならない。候補者は、ツールによる自動化された決定に異議を唱える方法を知らされていなければならない。
6) How will you limit unnecessary processing?  6) 不必要な処理をどのように制限するか?
The audits revealed that some AI tools collected far more personal information than necessary and retained it indefinitely to build large databases of potential candidates without their knowledge. You must ensure that the tool collects only the minimum amount of personal information required to achieve its purpose and consider how you will ensure it is not used for other incompatible purposes. 監査の結果、一部のAIツールが必要以上に個人情報を収集し、それを無期限に保持することで、候補者が知らないうちに候補者の大規模なデータベースを構築していることが明らかになった。ツールは、その目的を達成するために必要な最小限の個人情報しか収集しないようにし、他の両立しない目的に使用されないようにする方法を検討しなければならない。
We will be delivering a webinar on Wednesday 22 January 2025 for AI developers and recruiters so they can learn more about the findings and how they can be applied. Register for the webinar here. 我々は2025年1月22日(水)に、AI開発者と採用担当者向けにウェビナーを開催する。ウェビナーへの登録はこちらから。
For more information on our AI tools for recruitment outcomes report, click here. 採用成果のためのAIツール・レポートの詳細については、こちらをクリック。
Notes for editors 編集後記
When an organisation is audited by the ICO, the regulator assesses whether it is compliant with data protection law and provides a report with recommendations on how to improve. Find out more here.  組織がICOの監査を受ける場合、規制当局はデータ保護法を遵守しているかどうかをアセスメントし、改善方法に関する勧告を含む報告書を提出する。詳細はこちら。
The Information Commissioner’s Office (ICO) is the UK’s independent regulator for data protection and information rights law, upholding information rights in the public interest, promoting openness by public bodies and data privacy for individuals. 情報コミッショナー事務局(ICO)は、データ保護および情報権利法に関する英国の独立規制機関であり、公益のために情報権利を支持し、公共団体による公開と個人のデータ・プライバシーを促進する。
The ICO has specific responsibilities set out in the Data Protection Act 2018 (DPA2018), the United Kingdom General Data Protection Regulation (UK GDPR), the Freedom of Information Act 2000 (FOIA), Environmental Information Regulations 2004 (EIR), Privacy and Electronic Communications Regulations 2003 (PECR) and a further five acts and regulations. ICOは、データ保護法2018(DPA2018)、英国一般データ保護規則(英国GDPR)、情報公開法2000(FOIA)、環境情報規則2004(EIR)、プライバシー・電子通信規則2003(PECR)、およびさらに5つの法律と規則に定められた特定の責任を負う。
The ICO can take action to address and change the behaviour of organisations and individuals that collect, use, and keep personal information. This includes criminal prosecution, civil enforcement and audit. ICOは、個人情報を収集、使用、保管する組織や個人の行動に対処し、その行動を変えるために行動を起こすことができる。これには刑事訴追、民事執行、監査が含まれる。
To report a concern to the ICO telephone call our helpline on 0303 123 1113, or go to ico.org.uk/concerns. ICOに懸念を報告するには、ヘルプライン(0303-123-1113)に電話するか、ico.org.uk/concernsにアクセスする。

 

 

 

| | Comments (0)

オーストラリア サイバー・インフラセキュリティセンター 重要インフラ年次リスクレビュー 2024 (2024.11.05)

こんにちは、丸山満彦です。

オーストラリアのサイバー・インフラセキュリティセンターが2023年に引き続き「重要インフラ年次リスクレビュー」を公表しています。

  1. サイバー/情報
  2. サプライチェーン
  3. 物理的脅威
  4. 自然災害
  5. 人的脅威

の5つにわけて分析していますね...

 

Australia Cyber and Infrastracture Security Centre; CISC

・2024.11.05 2024 Critical Infrastructure Annual Risk Review

2024 Critical Infrastructure Annual Risk Review 2024 重要インフラ年次リスクレビュー
We are pleased to release the second edition of the Critical Infrastructure Annual Risk Review. We have published this review as part of Critical Infrastructure Security Month. 重要インフラ年次リスクレビューの第 2 版を発表する。我々は、重要インフラ安全保障月間の一環として、このレビューを発表した。
This edition addresses current and emerging risks to Australia’s critical infrastructure. 今回は、オーストラリアの重要インフラに対する現在のリスクと新たなリスクを取り上げる。
Australia’s critical infrastructure is under constant threat from disruption that, if not addressed, could greatly impact the essential services that Australians rely on. 豪州の重要インフラは、もし対策が講じられなければ、豪州国民が依存する重要サービスに大きな影響を及ぼしかねない障害による脅威に常にさらされている。
The latest Annual Risk Review looks at all hazards affecting our national critical infrastructure, including from: 最新の年次リスクレビューでは、以下のような、国の重要インフラに影響を及ぼすあらゆるリスクを取り上げている:
・trusted insiders ・信頼できる内部関係者
・cyber incidents​ ・サイバーインシデント
・supply chain vulnerabilities ・サプライチェーンの脆弱性
・natural hazards. ・自然災害
The review aims to support owners and operators of critical infrastructure develop a better understanding of the risks they face. It also outlines the importance of assessing potential impacts of these risks across each sector. The purpose is to build higher levels of resilience in the delivery of services. このレビューは、重要インフラの所有者や運営者が直面するリスクをよりよく理解することを支援することを目的としている。また、各セクターにおけるこれらのリスクの潜在的影響をアセスメントすることの重要性についても概説している。その目的は、サービス提供においてより高いレベルのレジリエンスを構築することである。
Through this Annual Risk Review, and other guidance to our stakeholders, we will continue to: この年次リスクレビューや、利害関係者に対するその他のガイダンスを通じて、我々は以下を継続する:
・raise our risk tolerance, as well as identify and reduce vulnerabilities in systems, operations and supply chains caused by the vast number of interconnected devices ・リスク許容度を高めるとともに、相互接続された膨大な数の機器に起因するシステム、業務、サプライチェーンの脆弱性を特定し、低減する。
・call out security risks ・セキュリティリスクの喚起
・improve our information sharing capabilities. ・情報共有能力を改善する。
This work supports Australia’s critical infrastructure owners and operators make informed decisions now and into the future. この活動は、オーストラリアの重要インフラ所有者および運用者が、現在および将来にわたって、十分な情報に基づいた意思決定を行えるよう支援するものである。

 

・[PDF] Critical Infrastructure Annual Risk Review - Second Edition November 2024

20241117-235716

 

目次...

Foreword まえがき
About the Cyber and Infrastructure Security Centre サイバー・インフラ・セキュリティ・センターについて
Introduction 序文
Critical Infrastructure Risk and Regulation 重要インフラのリスクと規制
Sector Interdependency セクター間の相互依存
Cyber / Information サイバー/情報
Supply Chain サプライチェーン
Physical 物理的リスク
Natural Hazard 自然災害
Personnel 人的
Looking Ahead 今後の展望

 

トニー・バーク内務大臣兼サイバーセキュリティ担当大臣のまえがき...

Foreword まえがき
I am pleased to introduce the Australian Government’s second edition of the Critical Infrastructure Annual Risk Review, a product that reflects on the breadth of threats and hazards facing Australia’s critical infrastructure, and addresses emerging and persistent risks impacting Australia’s national security and economic stability.  重要インフラ年次リスクレビューは、オーストラリアの重要インフラが直面する広範な脅威と危険を考察し、オーストラリアの国家安全保障と経済的安定に影響を与える新たなリスクと永続的な リスクを取り上げるものである。
This Critical Infrastructure Annual Risk Review serves to support a greater shared understanding of the risks faced by critical infrastructure owners and operators which, if not addressed, could impact the essential services all Australians rely on.  この「重要インフラ年次リスクレビュー」は、重要インフラの所有者と運営者が直面するリスクについての共通理解を深めることを支援するものであり、このリスクに対処しなければ、すべてのオーストラリア国民が依存する重要なサービスに影響を与える可能性がある。
Owners and operators of critical infrastructure need to maintain clear visibility of the extent of risks they face, including from cyber, personnel and physical threats, and from supply chain hazards and natural disasters. This review was designed to reach a diverse audience across all levels of enterprise, government, and the broader community.  重要インフラの所有者と運営者は、サイバー脅威、人的脅威、物理的脅威、サプライチェーンの危険や自然災害など、直面するリスクの程度を明確に把握する必要がある。この見直しは、エンタープライズ、政府、そしてより広範なコミュニティのあらゆるレベルの多様な聴衆に届くように設計された。
This yearsaw a number of cybersecurity incidentsimpact Australia’s critical infrastructure, caused inadvertently through human error or system failure, as well as from malicious activity. The consequences of incidents are increasingly causing enduring impacts beyond the initial disruption leading to longer-lasting disruption to capabilities. The incidents that have impacted Australia this year exemplify the vulnerabilities of interconnected networks and how cascading effects can flow through critical infrastructure dependencies, disrupting critical functions.  この数年、オーストラリアの重要インフラでは、悪意ある行為だけでなく、人為的ミスやシステム障害による不慮のサイバーセキュリティ事故が多発している。インシデントがもたらした影響は、当初の混乱にとどまらず、長期的な機能停止につながる永続的な影響をもたらすことが多くなっている。今年オーストラリアに影響を与えたインシデントは、相互接続されたネットワークの脆弱性と、重要インフラの依存関係を通じてどのように連鎖的な影響が流れ、重要な機能を混乱させるかを例証している。
Conflict and severe weather events have highlighted the vulnerability of domestic and international supply chains to disruptions, impacting supply lines and the availability of critical materials. Ensuring that resilience is built into how critical infrastructure delivers its services has never been more important.  紛争や悪天候は、国内外のサプライチェーンの脆弱性を浮き彫りにし、供給ラインや重要物資の入手に影響を与えた。重要インフラのサービス提供方法にレジリエンスを組み込むことが、かつてないほど重要になっている。
The Cyber and Infrastructure Security Centre collaboratesin the spirit of genuine partnershipswith governments, industry and the broader critical infrastructure community, to safeguard Australia’s critical infrastructure and to help critical infrastructure owners and operators to augment their understanding of the risk environment, while meeting their security obligations. Following extensive collaboration, I have also introduced the Cyber Security Legislative Package to parliament, which serves to address legislative gaps and take the next step to ensure Australia is on track to become a global leader in cybersecurity. Subject to the passage of thislegislation, Australia will have its first standalone Cyber Security Act, and the package will also progress and implement reforms under the Security of Critical Infrastructure Act 2018 (SOCI Act).  サイバー・インフラ・セキュリティ・オペレーションセンターは、政府、産業界、およびより広範な重要インフラ・コミュニティとの真のパートナーシップの精神に基づき、オーストラリアの重要インフラを保護し、重要インフラの所有者および運営者がリスク環境についての理解を深め、同時にセキュリティ義務を果たすことができるよう、協力している。また、広範な協力の結果、私はサイバーセキュリティ立法パッケージを議会に提出した。この立法パッケージは、立法上のギャップに対処し、オーストラリアがサイバーセキュリティのグローバルリーダーになるための次のステップを確実に踏み出すためのものである。この法案が可決されれば、オーストラリア初の独立したサイバーセキュリティ法が制定され、このパッケージは重要インフラ安全保障法2018(SOCI法)の改革も進展させ、実施することになる。
Our industry partners should be applauded for the steps already taken to enhance the security of their critical infrastructure assetsthrough targeted investmentsto recognise and address vulnerabilities, harden theirsystems and secure their data. Through strong industry partnerships, we will enhance risk maturity, meet regulatory obligations and achieve our vision of becoming a world leader in cyber security by 2030.  業界のパートナーは、脆弱性を認識し、対処し、システムを強化し、データを保護するための的を絞った投資を通じて、重要インフラ資産のセキュリティを強化するためにすでに講じられた措置を称賛されるべきである。業界の強力なパートナーシップを通じて、我々はリスクの成熟度を高め、規制上の義務を果たし、2030年までにサイバーセキュリティの世界的リーダーになるというビジョンを達成する。
Together we will build a more secure, prosperous and resilient nation. 私たちは共に、より安全で豊かなレジリエンスある国家を築いていく。

 

 

序文...

Introduction 序文
The second edition of the CISC’s Critical Infrastructure Annual Risk Review outlines the key risk-driven issues that have impacted the security of Australia’s critical infrastructure in 2024. Risk issues for each of the hazard categories outlined in the SOCI Act and accompanying rules for the Critical Infrastructure Risk Management Program (CIRMP) are included in the review.  CISC の重要インフラ年次リスクレビューの第 2 版は、2024 年のオーストラリアの重要イ ンフラのセキュリティに影響を与えたリスク主導型の主要問題の概要を示している。重要インフラ・リスク・マネジメント・プログラム(CIRMP)のSOCI法および付随規則に概説されているハザードカテゴリーごとのリスク問題がレビューに含まれている。
A challenging risk landscape  困難なリスク状況 
In the 2023 edition of the Annual Risk Review we identified that high levels of cyber incidents, instability in global supply chains, ongoing workplace skills shortages and disruption from severe weather events were key areas of concern for the security of Australia’s critical infrastructure. In 2024, this has continued, with an emergence of new risk challenges.  年次リスクレビューの2023年版では、高水準のサイバーインシデント、グローバルサプライチェーンの不安定性、継続的な職場のスキル不足、悪天候による混乱が、オーストラリアの重要インフラの安全にとって懸念される主要分野であることを明らかにした。2024年においても、この状況は続いており、新たなリスク課題が出現している。
Frequent cyber incidents have permeated across all critical infrastructure sectors, causing stoppages or disruptions to the integrity, availability or confidentiality of some infrastructure providers for periods of time.  頻発するサイバーインシデントがすべての重要インフラ部門に浸透し、一部のインフラプロバイダーの完全性、可用性、機密性が一定期間停止または中断する事態を引き起こしている。
Ongoing foreign interference of our critical infrastructure, including the targeting of vulnerable personnel and exploiting of new technology such as artificial intelligence (AI), is a principal security concern. Insider threat and risk management strategies will need to adapt.  脆弱性のある職員を標的にしたり、人工知能(AI)などの新技術を悪用したりするなど、重要インフラに対する継続的な外国からの干渉は、主要なセキュリティ上の懸念である。インサイダーの脅威とリスクマネジメント戦略は適応する必要がある。
The threat of politically motivated violence has elevated, including violence affecting our critical infrastructure. In August 2024, the Australian Security Intelligence Organisation (ASIO) raised the National Terrorist Threat Level to PROBABLE.  政治的な動機による暴力の脅威は、重要インフラに影響を及ぼす暴力を含めて高まっている。2024年8月、オーストラリア安全保障情報機構(ASIO)は、国家テロ脅威レベルを「可能性あり」に引き上げた。
Ongoing global conflicts continue to target critical infrastructure through direct military action and the use of grey zone tactics. Our global supply chains are being frequently disrupted by conflict, trade disputes and natural hazards, which will persist into 2025.  現在進行中の世界的な紛争は、直接的な軍事行動やグレーゾーン戦術の使用を通じて、重要インフラを標的にし続けている。グローバル・サプライチェーンは、紛争、貿易紛争、自然災害によって頻繁に中断され、それは2025年まで続くだろう。
Natural hazards events contributed to widespread service outages across Australia in 2024. Of note, severe storms and wind in Victoria disrupted energy and communication networks, and flooding cut off key supply chains in and out of Western Australia. A changing climate will require changes and resilience built into how critical infrastructure delivers its services. 
自然災害は2024年にオーストラリア全土で広範囲にサービス停止をもたらした。特に、ビクトリア州では激しい暴風雨と風によりエネルギーとコミュニケーションのネットワークが寸断され、西オーストラリア州では洪水により主要なサプライチェーンが寸断された。気候の変化により、重要なインフラがサービスを提供する方法にも変化とレジリエンスが求められる。
Our social and economic interconnectivity and rapid implementation of technologies is changing the nature of threats to national security, and introducing new, unconventional ones.  社会的・経済的な相互接続性とテクノロジーの急速な導入は、国家安全保障に対する脅威の性質を変え、従来とは異なる新たな脅威を導入している。
Challenges exist between and within sectors where there is a wide disparity in security maturity levels, regulation, approaches to information-sharing and disclosure, and where retrofitting new technological efficiencies into legacy infrastructure takes place.  セキュリティの成熟度、規制、情報共有や情報開示のアプローチに大きな格差があり、レガシー・インフラストラクチャに新技術の効率化を後付けするようなセクター間やセクター内に課題が存在する。
National security risk is business risk  国家安全保障リスクはビジネスリスクである 
Incidents affecting critical infrastructure have consequences for national security. We are seeing disruption to capabilities compounded when critical infrastructure is impacted, even if critical operations were not initially targeted or affected.  重要インフラに影響を及ぼすインシデントは、国家安全保障にも影響を及ぼす。重要なインフラが影響を受けると、たとえ重要な業務が当初は標的とされていなかったり、影響を受けていなかったりしても、能力への混乱がさらに深刻化する。
For example, cyber attacks that steal operational or personal information might not immediately disrupt delivery of critical services, but they can create a wider decline in reputation and confidence, not only for the entity impacted but also for other critical infrastructure sectors.  例えば、業務情報や個人情報を盗むサイバー攻撃は、直ちに重要なサービスの提供に支障をきたすことはないかもしれないが、影響を受けた事業体だけでなく、他の重要インフラ部門にも、より広範な評判や信頼の低下をもたらす可能性がある。
Targeting critical infrastructure could be used as a tactic to break down confidence in the nation’s ability to deliver critical services, or even to demonstrate a foreign state’s power to influence public support for conflict or support of allies.  重要インフラを標的にすることは、国家の重要サービス提供能力に対する信頼を失墜させるための戦術として、あるいは紛争や同盟国支援に対する国民の支持に影響を与える外国の力を示すための戦術として利用される可能性がある。
Critical infrastructure providers already manage a wide range of risks to their operations. A focus on national security risk may differ from the way entities have viewed risk in the past (for example, with financial or shareholding interests as a focal point). However, a framing of risk in this context (within existing risk management strategies) will improve Australia’s national security and socioeconomic resilience.  重要インフラプロバイダーは、すでに事業運営上のさまざまなリスクをマネジメントしている。国家安全保障上のリスクに焦点を当てることは、事業体がこれまで行ってきたリスクのとらえ方(例えば、金融や株式保有を中心としたとらえ方)とは異なるかもしれない。しかし、(既存のリスクマネジメント戦略の中で)このような文脈でリスクをとらえることは、オーストラリアの国家安全保障と社会経済のレジリエンスを改善することになる。
Interdependency exposes critical infrastructure to risk outside areas of control  相互依存は重要インフラを管理外のリスクにさらす 
It is easy to presume that our essential goods and services will always be available, and that the processes behind delivery are simple and predictable. When we need water or electricity, we simply turn on the tap or a switch. We tend not to consider the numerous natural and built systems and processes that ensure we get that product or service.  われわれの生活に不可欠な商品やサービスは常に利用可能であり、その提供プロセスは単純で予測可能であると思いがちである。水や電気が必要なとき、私たちは蛇口やスイッチをひねるだけだ。私たちは、その製品やサービスを確実に手に入れるための、自然で構築された多くのシステムやプロセスを考慮しない傾向がある。
We do not have a complete picture of the increasing number of ways the systems we rely on can be disrupted, nor of the full range of processes and end users supported by a product or service.  私たちは、私たちが依存しているシステムがどのように破壊されうるか、また製品やサービスがサポートするプロセスやエンドユーザーの全容を把握できていない。
Interconnectivity delivers measurable benefits, such as more efficiency, less resource use and the ability to automatically correct errors. However, interconnected networks may also involve more threat exposure, more severe consequences, unpredictable system behaviour, and more difficult recovery from disasters.  相互接続性は、効率性の向上、リソースの使用量の削減、エラーの自動修正機能など、測定可能なメリットをもたらす。しかし、相互接続されたネットワークは、より多くの脅威にさらされ、より深刻な結果を招き、予測不可能なシステム動作や災害からの復旧がより困難になる可能性もある。
Some critical infrastructure networks are complex and impossible to model accurately, with complicated global supply chains, energy and communications dependencies and the use of AI and automation in operational decision-making.  重要インフラ・ネットワークの中には、複雑なグローバル・サプライチェーン、エネルギーとコミュニケーションの依存関係、運用上の意思決定におけるAIと自動化の活用など、複雑で正確なモデルが不可能なものもある。
The resilience of infrastructure systems depends on all the connected systems, including third-party systems, and involves critical operational, corporate, physical and digital systems. In heavily interdependent networks it is almost certain that unanticipated failures will occur.  インフラシステムのレジリエンスは、サードパーティーのシステムを含む、接続されたすべてのシステムに依存し、重要な業務システム、企業システム、物理システム、デジタルシステムが関わっている。相互依存の激しいネットワークでは、予期せぬ障害が発生することはほぼ確実である。
We need to expect and prepare for the unexpected.  予期せぬ事態を想定し、それに備える必要がある。
Overview of methodology for cross-sector risk prioritisation  セクター横断的リスク優先順位付けの方法論の概要 
This report introduces a comparative visualisation of cross-sector risk prioritisation for each of the 5 hazard sections: Cyber/Information, Supply Chain, Physical, Natural Hazard and Personnel.  本報告書では、5つのハザードセクションそれぞれについて、セクター横断的なリスクの優先順位付けの比較可視化を紹介する: サイバー/情報」、「サプライチェーン」、「物理的」、「自然災害」、「人的」である。
Each graphic (Figs.2–6) plots the risk issues identified in this report under each hazard category against the CISC’s assessment of plausibility and damage.  各図(図2-6)は、各ハザードカテゴリーにおいて本報告書で特定されたリスク問題を、CISCのもっともらしい可能性と被害のアセスメントに照らしてプロットしたものである。
This may assist critical infrastructure owners and operators in the prioritisation of risk mitigations within and between each type of hazard.  これは、重要インフラの所有者および運用者が、各ハザードの種類内および種類間でリスク低減の優先順位を決める際に役立つと思われる。
This assessment draws on CISC’s insights into the national critical infrastructure risk landscape and reflects an all-hazard approach. It is based on the following components:  このアセスメントは、国の重要インフラのリスク状況に関するCISCの洞察に基づき、オールハザード・アプローチを反映している。以下の要素に基づいている: 
• Plausibility. Reflects risk likelihood, based on CISC’s assessment of a threat or hazard impacting critical infrastructure sectors. Plausibility considers the threat or hazard and also the vulnerability of sectors to that threat or hazard.  ・妥当性。重要インフラ部門に影響を及ぼす脅威またはハザードに関するCISCのアセスメントに基づき,リスクの可能性を反映する。妥当性は,脅威またはハザードと,その脅威またはハザードに対するセクターの脆弱性を考慮する。
• Damage. Reflects CISC’s assessment of the broad consequence for critical infrastructure sectors, based on worst-case impacts that could arise from the threat or hazard. ・損害。脅威またはハザードから生じうる最悪の場合の影響に基づき,重要インフラ部門に対する広範な影響に関するCISCの評価を反映したものである。

 

 

リスクマップ(↑:縦軸が妥当性(可能性)、→:横軸が損害(影響))

1. サイバー/情報

20241118-03117

 THE CYBER / INFORMATION THREAT サイバー脅威/情報脅威
1 Large-scale data breaches  1 大規模なデータ侵害 
2 Pre-positioned cyber threat 2 あらかじめ配置されたサイバー脅威
3 Poor cyber literacy and awareness  3 サイバーリテラシーと意識の低さ 
4 IT/OT/IoT convergence flaws 4 IT/OT/IoTコンバージェンスの欠陥
5 Third-party cyber risk  5 サードパーティによるサイバーリスク 
6 AI augmented cyber threat 6 AIにより強化されるサイバー脅威

 

 

2. サプライチェーン

20241118-03140

THE SUPPLY CHAIN HAZARD サプライチェーン・ハザード
7 Geopolitically driven supply chain disruption  7 地政学的要因によるサプライチェーンの混乱 
8 Restricted availability of critical technology and materials  8 重要な技術や資材の入手制限 
9 Disrupted maritime supply lines 1 9 海上サプライラインの寸断 1
0 Disrupted domestic surface transport  0 国内地上輸送の途絶 
11 Software supply chain risk  11 ソフトウェアサプライチェーンリスク 
12 Critical workforce and skills shortfalls 12 重要な労働力と技能の不足

 

3. 物理的脅威

20241118-03159

THE PHYSICAL THREAT 物理的脅威
13 Foreign interference risk  13 外国からの干渉リスク 
14 Risk from grey zone attack  14 グレーゾーン攻撃によるリスク 
15 Disruption from issue-motivated group activity 15 問題を動機とするグループ活動による混乱
16 Espionage exfiltration of sensitive data  16 機密データのスパイ行為による流出 
17 Sabotage of critical infrastructure  17 重要インフラの妨害工作 
18 Foreign involvement risk 18 外国人の関与リスク

 

 

4. 自然災害

20241118-03217

THE NATURAL HAZARD 自然災害
19 Severe weather event unpreparedness  19 悪天候への準備不足 
20 Wider geographic footprint for severe weather 20 悪天候の地理的フットプリントの拡大
21 Significant disruption from interdependent infrastructure 21 相互依存的なインフラによる重大な混乱
22 Biosecurity breach risk  22 バイオセキュリティ侵害リスク 
23 Extreme space weather event  23 宇宙での異常気象 
24 Increasing impact from extreme heat 24 猛暑による影響の増大

 

5. 人的脅威

20241118-03228

THE PERSONNEL THREAT 人的脅威
25 Foreign cultivation of critical workforce  25 重要な労働力の外国人育成 
26 Insider threat-initiated capability outage  26 内部脅威による能力停止 
27 Unidentified critical worker vulnerability  27 未確認の重要要員の脆弱性 
28 AI augmented social engineering of workforce  28 AIによる労働力のソーシャル・エンジニアリング 
29 Workforce critical skills gaps  29 労働力における重要スキルの格差 
30 Increasing ideological divides in workforce 30 労働力におけるイデオロギー的分裂の拡大

 

 

今後の展望...

Looking Ahead  今後の展望 
The following trends and technology drivers will likely impact the risk profile of our critical infrastructure over the coming years.  以下のようなトレンドとテクノロジードライバーは、今後数年間、重要インフラのリスクプロファイルに影響を与えると思われる。
Rapid technological change is creating skill and staffing shortfalls, including for skilled cyber security professionals.  急速な技術革新により、熟練したサイバーセキュリティの専門家を含め、スキルと人材の不足が生じつつある。
It is likely that the shortage of skilled staff, and the demand for upskilling of staff, will expand in coming years.  熟練した要員の不足と、要員のスキルアップの需要は、今後数年で拡大すると思われる。
For example, the transformation of the energy sector, while rapid, is lagging behind expectations globally. There is already global demand for the new suite of skills required for that work. Accelerated rollout of decarbonising and automation technologies in small and large businesses is very likely to be associated with a step change in exposure to cyber threats.  例えば、エネルギー部門の変革は急速に進んでいるものの、世界的には期待に遅れをとっている。その業務に必要な新しい一連の技能に対する需要は、すでに世界的に高まっている。中小企業や大企業における脱炭素化技術や自動化技術の加速的な普及は、サイバー脅威へのエクスポージャーの段階的な変化につながる可能性が高い。
A lack of suitable staff can lead to short-cutting of security procedures: increasing sourcing from overseas, where vetting may not be possible; accepting lower skilled staff; and increasing reliance on third parties, with a consequent loss in transparency.  適切な要員の不足は、セキュリティ手続きの手抜きにつながる可能性がある。つまり、審査が不可能な海外からの要員調達の増加、低スキルの要員の受け入れ、サードパーティへの依存の増加(結果として透明性が損なわれる)などである。
More and more critical operational decisions will be automated.  より多くの重要な業務上の意思決定が自動化される。
Automation is being rolled out into numerous sectors and in many business activities. Supply chains, customer service, food and grocery manufacturing, warehousing, network operations and other activities are rapidly using automation, including AI.  自動化は多くの部門、多くの事業活動で導入されつつある。サプライチェーン、顧客サービス、食品・食料品製造、倉庫管理、ネットワーク・オペレーションなど、AIを含む自動化が急速に進んでいる。
In the last year, consumer and business AI tools have been rapidly integrated into workflows, and may also be driving faster integration in an industrial and critical infrastructure context. Day-to-day operational decisions can now be made using specialised AI applications.  昨年、コンシューマー向けおよびビジネス向けのAIツールがワークフローに急速に統合され、産業および重要なインフラの文脈でも、より迅速な統合が推進されている可能性がある。日常的な業務上の意思決定は、特殊なAIアプリケーションを使って行うことができるようになった。
More and more operational decisions are being made with AI, or automated using other decision tools (often misunderstood as AI by the public).  より多くの業務上の意思決定がAIで行われ、あるいは他の意思決定ツール(一般にはAIと誤解されがち)を使って自動化されている。
There are both benefits and negatives to automation. In a business-as-usual environment, automation is overwhelmingly positive, but in the case of unanticipated failures or unexpected behaviour automation can obscure diagnosis and limit manual, alternative operations. For example, highly automated warehousing may have very limited function without operational systems.  自動化にはメリットとマイナスの両方がある。通常通りのビジネス環境では、自動化は圧倒的にプラスに働くが、予期せぬ障害や予期せぬ行動の場合、自動化は診断を曖昧にし、手作業による代替オペレーションを制限する可能性がある。例えば、高度に自動化された倉庫は、オペレーション・システムなしでは、その機能が非常に限定される可能性がある。
Supply chain disruptions continue to affect domestic and international supply chains.  サプライチェーンの混乱は、国内および国際的なサプライチェーンに影響を与え続けている。
It is likely that disrupted supply chains will continue to be a feature in years to come. Trade decisions, conflicts, pandemics and natural hazards can affect trade with Australia and disrupt transport routes, with varied consequences for Australia’s critical infrastructure.  サプライチェーンの混乱は今後も続くと思われる。貿易決定、紛争、パンデミック、自然災害は、豪州との貿易に影響を及ぼし、輸送経路を混乱させ、豪州の重要インフラに様々な影響を及ぼす可能性がある。
In recent times shipping has suffered due to disrupted access to both the Suez (due to conflict) and Panama (due to climate) canals. These disruptions have been compounded by congestion at key trading locations. In Australia, flooding has cut off east from west coasts, disrupting the transport of key inputs to critical infrastructure sectors.  最近では、スエズ運河(紛争による)とパナマ運河(気候による)の両方へのアクセスが途絶えたため、海運が被害を受けた。これらの障害は、主要貿易地での混雑によってさらに深刻化している。オーストラリアでは、洪水によって東海岸と西海岸が分断され、重要なインフラ部門への重要な資材の輸送が滞っている。
The race to 6G.  6Gへの競争
6G is the next planned generation of mobile telephony. It is touted to add or extend use cases originally planned for 5G. 6G use cases are likely to make the technology far more critical in an infrastructure context. It is possible 6G will be rolled out commercially by around 2030, but there is ongoing research necessary to achieve its full potential.  6Gは携帯電話の次世代計画である。もともと5Gで計画されていたユースケースの追加や拡張が行われると言われている。6Gのユースケースは、インフラの文脈でこの技術をはるかに重要なものにする可能性が高い。6Gは2030年頃までには商業的に展開される可能性があるが、その潜在能力をフルに発揮するためには現在も研究が必要である。
Some anticipated benefits are improved vehicle to vehicle communication, a more prominent role in pinpointing location, a stronger dependence for industrial processes and automation, and significant growth in wearable healthcare, and other, devices.  予想される利点としては、車車間通信の改善、位置情報の特定におけるより重要な役割、産業プロセスやオートメーションへの依存度の強化、ウェアラブル・ヘルスケアやその他のデバイスの著しい成長などが挙げられる。
While there is attention on improved security for 6G, competition to deliver technology often results in compromises or incomplete functionality at release.  6Gのセキュリティ向上が注目される一方で、技術提供の競争により、リリース時に機能が妥協されたり不完全になったりすることも多い。
Technology that is heavily integrated into previously manual or independent processes risks lowering resilience in the case of disruption.  従来は手作業であったプロセスや独立したプロセスに大きく統合されたテクノロジーは、混乱時のレジリエンスを低下させるリスクがある。
Traceability will present new risk challenges.  トレーサビリティは新たなリスク課題となる。
The supply and transportation of goods often relies on transfers between multiple parties and between different domestic and international jurisdictions. This can make tracing goods from ‘source to sink’ an ongoing challenge.  物品の供給と輸送は、多くの場合、複数の当事者間や、異なる国内・国際司法管轄区間での移転に依存している。このため、「出所から入庫まで」の商品の追跡は、継続的な課題となりうる。
To meet the challenge of transparency, the traceability of goods is being actively improved in some sectors, including the food and grocery sector, in response to food safety and other priorities.  透明性という課題に対応するため、食品・食料品セクターを含むいくつかのセクターでは、食品安全やその他の優先事項に応じて、商品のトレーサビリティが積極的に改善されている。
Interception and modification of goods in supply chains has been demonstrated as a risk, and this risk has the potential to increase due to ongoing global instability and economic pressures. Lower levels of, or disparities in, traceability along supply lines also have the potential to obfuscate interference, including risks of espionage and sabotage.  サプライ・チェーンにおける商品の傍受や改ざんはリスクとして実証されており、このリスクは、世界的な不安定と経済的圧力が続いているため、増大する可能性がある。サプライ・ラインに沿ったトレーサビリティのレベルが低い、あるいは格差がある場合も、スパイ活動や破壊工作のリスクを含め、干渉を難解にする可能性がある。
Technology advancement and implementation is ongoing across the transport sector, with increasing connection, autonomy and control of vehicles. Traceability is likely to also benefit from these technology improvements. Cyber security needs to be a priority as new, highly connected technologies are introduced, with security a key consideration for design and procurement.  輸送セクターでは、技術の進歩と導入が進んでおり、車両の接続、自律性、制御性が高まっている。トレーサビリティも、こうした技術改善の恩恵を受ける可能性が高い。高度に接続された新技術が導入される際には、サイバーセキュリティを優先する必要があり、セキュリティは設計と調達における重要な検討事項となる。
Competition and conflict in space.  宇宙における競争と紛争
Space technology is changing. There has been a huge increase in the number of objects in low earth orbits, an increase in the use of shorter lifespan spacecraft, and ongoing congestion of geosynchronous orbits. There is little doubt that future wars will involve space technology.  宇宙技術は変化している。地球低軌道にある物体の数が大幅に増加し、寿命の短い宇宙船の使用が増え、地軸軌道の混雑が続いている。将来の戦争に宇宙技術が関わってくることは疑いない。
Almost every critical infrastructure sector, and civilian life, relies on space capabilities. Awareness of dependence on space technology is low, even among many operators of critical infrastructure, and has not kept up with the growing use of satellite-enabled capabilities.  ほとんどすべての重要なインフラ部門と市民生活は、宇宙機能に依存している。多くの重要インフラ運営者の間でさえ、宇宙技術への依存に対する意識は低く、衛星対応能力の利用拡大に追いついていない。
With the growing number of launched objects in space, especially into low earth orbit, there is an increasing risk that collisions could cause major service disruption. At the time of writing there were more than 6,800 Starlink objects in space, for a service that began in 2019.  宇宙、特に地球低軌道に打ち上げられる物体の数が増えるにつれ、衝突によってサービスが大きく中断されるリスクが高まっている。本稿執筆時点では、2019年に始まったサービスのために、宇宙には6,800以上のスターリンクがある。
By 2030, China’s competing Qianfan constellation is planning around 13,900 satellites in low earth orbit. There is concern that objects from the Qianfan orbit will fall through other low earth orbits increasing risk of collisions with other satellites, following obsolescence or due to faults.  2030年までに、中国の競合するQianfanコンステレーションは、低軌道上に約13,900個の衛星を計画している。Qianfan軌道の物体が他の低軌道を通過することで、他の衛星との衝突リスクが高まることが懸念されている。
Ongoing moves to onshore or near-shore supply will gradually redraw the transportation map.  オンショアまたはニアショア供給への継続的な動きは、輸送地図を徐々に塗り替えていくだろう。
The concentration of manufacturing and the long supply chains are increasingly recognised as posing a risk to the resilient operation of critical infrastructure. There have been developments in government and the private sector to mitigate this by moving some manufacturing closer to the business customer or consumer.  製造業の集積と長いサプライチェーンは、重要インフラのレジリエンスにリスクをもたらすと認識されつつある。製造事業者の一部を顧客や消費者の近くに移転させることで、これを軽減しようとする政府および民間セクターの動きがある。
These changes will begin to alter the global picture of supply chain resilience and the geographical picture of supply inside and outside Australia. A number of unknowns remain, including concerns about whether local manufacturing will be competitive and the possible consequences for trade relationships.  このような変化は、サプライチェーンのレジリエンスに関する世界的な図式と、オーストラリア内外の供給に関する地理的な図式を変化させ始めるであろう。地元の製造事業者が競争力を持つかどうかの懸念や、貿易関係への影響の可能性など、多くの未知数が残っている。
Sensitivity to supply and the need for resilient supply are especially obvious where limited supply options exist, where geopolitical or business uncertainty is affecting key supplies and where disrupted or congested supply chains are becoming more common. 供給に対する敏感さとレジリエンス供給の必要性は、供給オプションが限られている場合、地政学的またはビジネス上の不確実性が主要供給に影響を及ぼしている場合、サプライチェーンの中断や混雑が一般的になりつつある場合に特に顕著である。

 

 


 

 

ちなみに昨年度...

・2023.11.01 Media Release: First Critical Infrastructure Annual Risk Review highlights issues affecting Australia’s national security

・[PDF] Critical Infrastructure Annual Risk Review - First Edition November 2023

20241118-03052

 

 

| | Comments (0)

米国 意見募集 NIST SP 800-157r1 派生個人アイデンティティ検証(PIV)クレデンシャル・ガイドラインと、SP 800-217 個人 アイデンティティ 検証(PIV)連携ガイドラインの最終ドラフト

こんにちは、丸山満彦です。

ほぼ2年前の2023.01.10 に初ドラフトを公表して2年ほどしたところで、最終ドラフトが公表され、意見募集されています...

  • NIST SP 800-157r1 派生個人アイデンティティ検証(PIV)クレデンシャル・ガイドライン
  • SP 800-217 個人アイデンティティ 検証(PIV)連携ガイドライン

です...

FIPS 201-3 Personal Identity Verification (PIV) of Federal Employees and Contractor連邦職員および請負業者の個人アイデンティティ検証(PIV))を補完する文書ということですよね...

 

● NIST - ITL

まず SP800-157の改訂版から...

・2024.11.14 NIST SP 800-157 Rev. 1 (Final Public Draft) Guidelines for Derived Personal Identity Verification (PIV) Credentials

 

NIST SP 800-157 Rev. 1 (Final Public Draft) Guidelines for Derived Personal Identity Verification (PIV) Credentials NIST SP 800-157 Rev.1(最終公開草案)派生個人 ID 検証(PIV)クレデンシャルのガイドライン
Announcement 発表
This draft of SP 800-157r1 incorporates all comment resolutions since the initial public draft (ipd) was posted in 2023 [see comments received on the ipd]. The final public draft details the expanded set of derived PIV credentials in a variety of form factors and authenticator types, as envisioned in OMB Memoranda M-19-17 and M-22-09 and subsequently outlined in FIPS 201-3. The cross-domain and interagency use of these credentials is provided by federation protocols outlined in the final public draft of SP 800-217, Guidelines for PIV Federation. Both documents are closely aligned with the recently published second public draft of SP 800-63-4, Digital Identity Guidelines. NIST hopes that this final draft document enables a close alignment with new and emerging digital authentication and federation technologies employed in the Federal Government while maintaining a strong security posture. SP 800-157r1 のこの草案は、2023 年に最初の公開草案(ipd)が投稿されて以来、すべてのコメントに対応したものである(ipd に寄せられたコメントを参照)。最終公開草案は、OMB Memoranda M-19-17 および M-22-09 で想定され、その後 FIPS 201-3 で概説された、さまざまなフォームファクタおよび認証タイプに派生する PIV クレデンシャルの拡張セットについて詳述している。これらのクレデンシャルのクロス・ドメインおよび省庁間の使用は、 SP800-217「PIV フェデレーション・ガイドライン」の最終公開草案に概説されているフェデレーション・プロトコルによってプロバイダが提供される。両文書は、最近公開された SP 800-63-4 デジタル ID ガイドラインの第 2 公開ドラフトと密接に整合している。NIST は、この最終ドラフト文書によって、強力なセキュリティ態勢を維持しながら、連邦政府 で採用されている新しく出現するデジタル認証およびフェデレーション技術と緊密に連携で きるようになることを期待している。
Abstract 概要
This recommendation provides technical guidelines for the implementation of standards-based, secure, reliable credentials that are issued by federal departments and agencies to individuals who possess and prove control of their valid PIV Card. These credentials can be either public key infrastructure (PKI)-based like the PIV Card or non PKI-based but verified by the individual’s home agency. The scope of this document includes requirements for the initial issuance and maintenance of these credentials, certificate policies as applicable, cryptographic specifications, technical specifications for permitted authenticator types, and the command interfaces for removable implementations of such PKI-based credentials. この勧告は、連邦省庁が有効な PIV カードを所有し、その管理を証明する個人に発行する、 標準ベースの安全で信頼できるクレデンシャルの実装に関する技術的ガイドラインを提 供する。これらのクレデンシャルは、PIV カードのような公開鍵基盤(PKI)ベースか、PKI ベースではないが個人の所属機関によって検証される。この文書の範囲には、これらのクレデンシャルの初期発行および維持の要件、該当する場合 の証明書ポリシー、暗号化仕様、許可された認証タイプに関する技術仕様、およびこのような PKI ベースのクレデンシャルのリムーバブル実装のためのコマンド・インタフェースが含まれる。

 

・[PDF] SP.800-157r1.fpd

20241117-111314

 

PKI ベースの派生 PIV クレデンシャル・ライフサイクル活動 (Fig.1) と非PKI ベースの派生 PIV クレデンシャル・ライフサイクル活動 (Fig.2)

20241117-205652

 

 

目次...

Table of Contents 目次
1. Introduction 1. 序文
1.1. Background 1.1. 背景
1.2. Purpose and Scope 1.2. 目的と範囲
1.3. Audience 1.3. 想定読者
1.4. Requirements Notation and Conventions 1.4. 要求事項の表記と慣例
1.5. Document Structure 1.5. 文書の構造
1.6. Key Terminology 1.6. 主要な用語
2. Life Cycle Activities and Related Requirements 2. ライフサイクル活動と関連要求事項
2.1. Derived PIV Credential Life Cycle Activities 2.1. 派生 PIV クレデンシャルのライフサイクル活動
2.2. Initial Issuance 2.2. 初期発行
2.2.1. PKI-Based Derived PIV Credential Issuance 2.2.1. PKI ベースの派生 PIV クレデンシャルの発行
2.2.2. Non-PKI-Based Derived PIV Credential Issuance 2.2.2. 非 PKI ベースの派生 PIV クレデンシャルの発行
2.2.3. Derived PIV Issuance Without PIV Card 2.2.3. PIV カードを使用しない派生 PIV クレデンシャルの発行
2.3. Maintenance 2.3. 維持
2.3.1. PKI-Based Derived PIV Credential Maintenance 2.3.1. PKI ベースの派生 PIV クレデンシャルの維持
2.3.2. Non-PKI-Based Derived PIV Credential Maintenance 2.3.2. 非 PKI ベースの派生 PIV クレデンシャルの維持
2.4. Invalidation 2.4. 無効化
2.4.1. PKI-based Derived PIV Credential Invalidation 2.4.1. PKI ベースの派生 PIV クレデンシャルの無効化
2.4.2. Non-PKI-Based Derived PIV Credential Invalidation 2.4.2. 非 PKI ベースの派生 PIV クレデンシャルの無効化
3. Technical Requirements 3. 技術要件
3.1. PKI-Based Derived PIV Credentials 3.1. PKI ベースの派生 PIV クレデンシャル
3.1.1. Certificate Policies for PKI-Based Derived PIV Credentials 3.1.1. PKI ベースの派生 PIV クレデンシャルの証明書ポリシー
3.1.2. Cryptographic Specifications 3.1.2. 暗号仕様
3.1.3. Allowable Authenticator Types 3.1.3. 許容される認証タイプ
3.1.4. Activation Data 3.1.4. アクティベーション・データ
3.2. Non-PKI-Based Derived PIV Credentials 3.2. 非 PKI ベースの派生 PIV クレデンシャル
3.2.1. Allowable Authenticator Types 3.2.1. 許容される認証タイプ
3.2.2. Cryptographic Specifications 3.2.2. 暗号化仕様
3.2.3. Activation Data 3.2.3. アクティベーション・データ
References 参考文献
Appendix A. Digital Signature and Key Management Keys 附属書A. デジタル署名と鍵管理鍵
Appendix B. Data Model and Interfaces for Removable or Wireless PKI-Based Cryptographic Authenticators 附属書 B. リムーバブルまたはワイヤレス PKI ベースの暗号化認証のデータ・モデルおよびインター フェース
B.1. Derived PIV Application Data Model and Representation B.1. 派生 PIV アプリケーション・データ・モデルおよび表現
B.1.1. Derived PIV Application Identifier B.1.1. 派生 PIV アプリケーション識別子
B.1.2. Derived PIV Application Data Model Elements B.1.2. 派生 PIV アプリケーション・データ・モデル要素
B.1.3. Derived PIV Application Data Objects Representation B.1.3. 派生 PIV アプリケーション・データ・オブジェクト表現
B.1.4. Derived PIV Application Data Types and Their Representation B.1.4. 派生 PIV アプリケーション・データ型とその表現
B.1.5. Derived PIV Authentication Mechanisms B.1.5. 派生 PIV 認証メカニズム
B.2. Derived PIV Application Token Command Interface B.2. 派生 PIV アプリケーション・トークン・コマンド・インタフェース
B.2.1. Authentication of an Individual B.2.1. 個人の認証
Appendix C. Example Issuance Processes 附属書 C. 発行プロセス例
C.1. Example Issuance of a PKI-Based Derived PIV Credential at AAL3 C.1. AAL3 における PKI ベースの派生 PIV クレデンシャルの発行例
C.2. Example Issuance of a PKI-Based Derived PIV Credential at AAL2 C.2. AAL2 における PKI ベースの派生 PIV クレデンシャルの発行例。
C.3. Example Binding of a Non-PKI-Based Derived PIV Credential at AAL3 C.3. AAL3 における非 PKI ベースの派生 PIV クレデンシャルのバインドの例。
C.4. Example Binding of a Non-PKI-Based Derived PIV Credential at AAL2 C.4. AAL2 における非 PKI ベースの派生 PIV クレデンシャルのバインドの例。
C.5. Example Binding of PACS Credential C.5. PACS クレデンシャルのバインディング例
Appendix D. Physical Access 附属書 D. 物理アクセス
D.1. PACS Derived PIV Application Data Model and Representation D.1. PACS 由来の PIV アプリケーション・データ・モデルおよび表現
D.1.1. Derived PIV Application Identifier D.1.1. 派生 PIV アプリケーション識別子
D.1.2. PACS Derived PIV Application Data Model Elements D.1.2. PACS 派生 PIV アプリケーション・データモデル要素
D.1.3. Derived PIV PACS Application Data Objects Representation D.1.3. 派生 PIV PACS アプリケーション・データ・オブジェクト表現
D.1.4. Derived PIV Application PACS Data Types and Representation D.1.4. 派生 PIV アプリケーション PACS データ型と表現
D.1.5. Derived PIV PACS Authentication Mechanisms D.1.5. 派生 PIV PACS 認証メカニズム
D.2. Derived PIV Application Token Command Interface D.2. 派生 PIV アプリケーション・トークン・コマンド・インターフェース
D.2.1. Authentication of an Individual for PACS D.2.1. PACS のための個人の認証
D.3. Invalidation of PACS Derived PIV D.3. PACS 派生 PIV の無効化
Appendix E. Glossary 附属書 E. 用語集
Appendix F. Acronyms and Abbreviations 附属書 F. 頭字語および略語
Appendix G. Change Log 附属書 G. 変更履歴

 

 

 


 

次にSP800-217...

・2024.11.14 NIST SP 800-217 (Final Public Draft) Guidelines for Personal Identity Verification (PIV) Federation

NIST SP 800-217 (Final Public Draft) Guidelines for Personal Identity Verification (PIV) Federation NIST SP 800-217(最終公開ドラフト) 個人識別検証(PIV)フェデレーションに関するガイドライン
Announcement 発表
This draft of SP 800-217 incorporates all comment resolutions since the initial public draft (ipd) was posted in 2023 [see comments received on the ipd]. The document describes technical requirements on the use of federated PIV identity and assertions to implement PIV federations backed by PIV identity accounts and PIV credentials. The guidelines are closely aligned with the recently published second public draft of SP 800-63-4, Digital Identity Guidelines. NIST hopes that this final draft document enables a close alignment with new and emerging digital authentication and federation technologies employed in the Federal Government while maintaining a strong security posture. SP 800-217 のこの草案は、2023 年に最初の公開草案(ipd)が投稿されて以来、すべてのコメントに対応している[ipd に寄せられたコメントを参照]。この文書では、PIV ID アカウントおよび PIV クレデンシャルに裏付けられた PIV フェデレーションを実装するために、連携された PIV ID および主張の使用に関する技術要件が記述されている。このガイドラインは、最近公開された SP 800-63-4「デジタル ID ガイドライン」の第 2 公開ドラフトと密接に整合している。NIST は、この最終ドラフト文書によって、強力なセキュリティ態勢を維持しながら、連邦政府で採用されている新しい、そして出現しつつあるデジタル認証およびフェデレーション技術との緊密な連携が可能になることを期待している。
Abstract 概要
FIPS 201 defines the requirements and characteristics of government-wide interoperable identity credentials used by federal employees and contractors. It also calls for the federated use of those credentials. These guidelines provide technical requirements for federal agencies implementing digital identity services for federal employees and contractors and are not intended to constrain the development or use of standards outside of this purpose. This document focuses on the use of federated PIV identity and the use of assertions to implement PIV federations backed by PIV identity accounts and PIV credentials. Federation allows a PIV identity account to be used by relying parties outside the PIV identity account’s home agency. FIPS 201 は、連邦政府の職員および請負業者が使用する、政府全体で相互運用可能な ID クレデンシャルの要件および特性を定義している。また、これらのクレデンシャルの連携使用も呼びかけている。このガイドラインは、連邦職員および請負業者向けにデジタル ID サービスを実装する連邦機関に対す る技術要件を提供するものであり、この目的以外の標準の開発または使用を制限することを目 的とするものではない。本文書は、PIV ID アカウントおよび PIV クレデンシャルに支えられた PIV 連帯を実装するための、連 携された PIV ID の使用および主張の使用に重点を置いている。フェデレーションにより、PIV ID アカウ ントが、PIV ID アカウントの所属機関以外の依拠当事者によって使用されるようになる。

 

 

・[PDF] SP.800-217.fpd

20241117-111308

 

Fig1_20230112031001

 

目次...

1. Introduction 1. 序文
1.1. Background 1.1. 背景
1.2. Purpose and Scope 1.2. 目的と範囲
1.2.1. Creating Technical Interoperability Profiles of This Guideline 1.2.1. 本ガイドラインの技術的相互運用性プロファイルの作成
1.3. Federation Use Cases 1.3. フェデレーションのユースケース
1.3.1. Federation Considerations 1.3.1. フェデレーションに関する考察
1.4. Audience 1.4. 想定読者
1.5. Notations 1.5. 表記
1.6. Document Structure 1.6. 文書の構造
2. Architecture 2. アーキテクチャ
2.1. PIV Identity Account 2.1. PIV ID アカウント
2.1.1. PIV Credentials 2.1.1. PIV クレデンシャル
2.1.2. Home Agency Identity Management System 2.1.2. 自国の省庁 ID 管理システム
2.2. Identity Providers 2.2. ID プロバイダ
2.2.1. PIV IdP 2.2.1. PIV IdP
2.2.2. Home Agency IdP 2.2.2. 本国機関 IDP
2.2.3. Subscriber-Controlled wallets 2.2.3. 加入者が管理するウォレット
2.3. Relying Parties 2.3. 依拠当事者
3. Trust Agreements 3. 信頼契約
3.1. Bilateral Agreements 3.1. 二国間契約
3.2. Multilateral Agreements 3.2. 多国間協定
3.3. Identity Proxies and Brokers 3.3. 身分証明書代理人とブローカー
3.4. Shared Signaling 3.4. 共有シグナリング
3.5. Home Agency IdPs 3.5. ホーム・エージェンシ IDP
3.5.1. Home Agencies and Subscriber-Controlled Wallet 3.5.1. ホーム・エージェンシーと加入者管理ウォレット
4. Federation Assurance Level (FAL) 4. フェデレーション保証レベル(FAL)
4.1. Reaching Different FALs in PIV Federation 4.1. PIV 連盟における異なる FAL への到達
4.1.1. FAL1 4.1.1. FAL1
4.1.2. FAL2 4.1.2. FAL2
4.1.3. FAL3 4.1.3. FAL3
4.2. Selecting FAL 4.2. FALの選択
5. Requirements of IdPs and RPs 5. IdPとRPの要件
5.1. General-Purpose IdP Requirements 5.1. 汎用IdPの要件
5.1.1. Authentication Requirements 5.1.1. 認証要件
5.1.2. PIV Identity Account Identification 5.1.2. PIV ID アカウント識別
5.1.3. Session Management 5.1.3. セッション管理
5.2. Subscriber-Controlled wallets 5.2. 加入者が管理するウォレット
5.3. RP Requirements 5.3. RP 要件
5.3.1. Assertion Processing 5.3.1. 主張処理
5.3.2. RP Subscriber Accounts 5.3.2. RPサブスクライバアカウント
5.3.3. Session Management 5.3.3. セッション管理
5.3.4. Changing the Federated Identifier 5.3.4. 識別子の変更
6. Protocol Requirements 6. プロトコル要件
6.1. Required Attributes 6.1. 必須属性
6.1.1. Last Updated Time 6.1.1. 最終更新時刻
6.2. Assertion Contents 6.2. 主張内容
6.2.1. Federated Identifier 6.2.1. フェデレート識別子
6.2.2. Authorization and Access Rights 6.2.2. 認可とアクセス権
6.2.3. Certificate Identifiers 6.2.3. 証明書識別子
6.3. Discovery and Registration 6.3. ディスカバリと登録
6.4. Assertion Presentation 6.4. 主張の提示
6.5. Attribute APIs 6.5. 属性API
6.6. Identity Proxies and Brokers 6.6. アイデンティティプロキシとブローカー
References 参考文献
Appendix A. Examples 附属書A. 例
A.1. Direct Connection to the Home Agency IdP A.1. ホーム・エージェンシ IdP への直接接続
A.2. Multilateral Federation Network A.2. 多国間フェデレーション・ネットワーク
A.3. Enterprise Application A.3. エンタープライズ・アプリケーション
A.4. PKI-Based Federation Gateway A.4. PKI ベースのフェデレーションゲートウェイ
A.5. PIV Federation Proxy as a Federation Authority A.5. フェデレーション認可としての PIV フェデレーション・プロキシ
A.6. FAL3 With a PIV Card and PKI-Based Derived PIV Credentials A.6. PIV カードおよび PKI ベースの派生 PIV クレデンシャルを使用する FAL3
A.7. FAL3 With an RP-Bound Authenticator A.7. RP バウンド認証機能を持つ FAL3
A.8. Issuance to a Digital Wallet A.8. デジタル・ウォレットへの発行
Appendix B. Glossary of Terms 附属書 B. 用語集
Appendix C. Abbreviations 附属書 C. 略語

 

2章 情報提供 PIV連携の一般的なアーキテクチャの記述。
3章 規範 PIV連携におけるトラスト・アグリーメントの記述。
4章 規範 PIV連携に適用されるフェデレーション保証レベルについての説明。
5章 規範 PIV連携における IdP と RP の要件についての説明。
6章 規範 アサーション・コンテンツを含む、PIV連携要素の要件。
参考文献 情報提供 本文書から参照される出版物のリスト
附属書A 参考資料  
附属書B 参考資料 本文書で使用される特定の用語の用語集
附属書C 参考資料 本文書で使用される略語の抜粋リスト

 


PIV関連のFIPS, SP, IR...

2022.01.24 FIPS 201-3 Final Personal Identity Verification (PIV) of Federal Employees and Contractors 連邦職員および請負業者の個人アイデンティティ検証(PIV)
           
2024.11.14 SP 800-217 Draft Guidelines for Personal Identity Verification (PIV) Federation 個人アイデンティティ 検証(PIV)連携ガイドライン
2016.06.06 SP 800-166 Final Derived PIV Application and Data Model Test Guidelines 派生 PIV アプリケーションおよびデータ・モデル・テスト・ガイドライン
2024.11.14 SP 800-157 Rev. 1 Draft Guidelines for Derived Personal Identity Verification (PIV) Credentials 派生個人アイデンティティ検証(PIV)クレデンシャル・ガイドライン
2014.12.19 SP 800-157 Final Guidelines for Derived Personal Identity Verification (PIV) Credentials 派生個人アイデンティティ検証(PIV) クレデンシャル・ガイドライン
2016.05.20 SP 800-156 Final Representation of PIV Chain-of-Trust for Import and Export インポートおよびエクスポートのための PIV チェーン・オブ・トラストの表現
2018.06.29 SP 800-116 Rev. 1 Final Guidelines for the Use of PIV Credentials in Facility Access 施設アクセスにおける PIV クレデンシャル使用のガイドライン
2006.12.29 SP 800-96 Final PIV Card to Reader Interoperability Guidelines PIV カード・リーダー相互運用性ガイドライン
2018.04.19 SP 800-87 Rev. 2 Final Codes for Identification of Federal and Federally-Assisted Organizations 連邦および連邦支援組織の識別のためのコード
2006.07.31 SP 800-85B Final PIV Data Model Test Guidelines PIV データ・モデル・テスト・ガイドライン
2016.04.13 SP 800-85A-4 Final PIV Card Application and Middleware Interface Test Guidelines (SP 800-73-4 Compliance) PIV カード・アプリケーションおよびミドルウェア・インタフェース・テスト・ ガイドライン(SP 800-73-4 準拠)
2023.12.13 SP 800-79 Rev. 3 Draft Guidelines for the Authorization of PIV Card and Derived PIV Credential Issuers PIV カードおよび派生 PIV クレデンシャル発行者の認可のためのガイドライン
2015.07.30 SP 800-79-2 Final Guidelines for the Authorization of Personal Identity Verification Card Issuers (PCI) and Derived PIV Credential Issuers (DPCI) 個人アイデンティティ検証カード発行者(PCI)および派生 PIV クレデンシャル発行者(DPCI)の認可に 関するガイドライン。
2024.07.15 SP 800-78-5 Final Cryptographic Algorithms and Key Sizes for Personal Identity Verification 個人アイデンティティ検証のための暗号アルゴリズムおよび鍵サイズ
2015.05.29 SP 800-78-4 Final Cryptographic Algorithms and Key Sizes for Personal Identity Verification 個人アイデンティティ検証のための暗号アルゴリズムと鍵サイズ
2013.07.11 SP 800-76-2 Final Biometric Specifications for Personal Identity Verification 個人アイデンティティ検証のためのバイオメトリクス仕様
2024.07.15 SP 800-73-5 Final Interfaces for Personal Identity Verification: Part 3 – PIV Client Application Programming Interface 個人アイデンティティ検証のためのインタフェース: パート 3 - PIV クライアント・アプリケーション・プログラミング・インターフェイス
2024.07.15 SP 800-73-5 Final nterfaces for Personal Identity Verification: Part 2 – PIV Card Application Card Command Interface 個人アイデンティティ検証のためのインタフェース: パート 2 - PIV カード・アプリケーション・カード・コマンド・インタフェース
2024.07.15 SP 800-73-5 Final Interfaces for Personal Identity Verification: Part 1 – PIV Card Application Namespace, Data Model and Representation 個人アイデンティティ検証のためのインタフェース: パート 1 - PIV カード・アプリケーション名前空間、データ・モデルおよび表現
2016.02.12 SP 800-73-4 Final Interfaces for Personal Identity Verification 個人アイデンティティ検証のためのインタフェース
           
2019.08.27 SP 1800-12 Final Derived Personal Identity Verification (PIV) Credentials 派生個人アイデンティティ検証(PIV)クレデンシャル
           
2021.04.02 IR 8347 Final NIST Test Personal Identity Verification (PIV) Cards Version 2 NIST テスト個人アイデンティティ検証(PIV)カード・バージョン 2
2016.01.30 IR 8055 Final Derived Personal Identity Verification (PIV) Credentials (DPC) Proof of Concept Research 派生個人アイデンティティ検証(PIV)クレデンシャル(DPC)概念実証研究
2015.06.18 IR 7863 Final Cardholder Authentication for the PIV Digital Signature Key PIV デジタル署名鍵の本人認証

 

少し古い?といものもありますが、、、これだけPIVに関連する文書を積み重ねているUSはすごい...

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

 

・2024.07.17 米国 NIST SP 800-78-5 個人アイデンティティ検証のための暗号アルゴリズムおよび鍵サイズ

・2024.07.17 米国 NIST SP 800-73-5 個人アイデンティティ検証用インタフェース Part1-3

・2023.12.16 NIST SP 800-79 Rev.3(初期公開ドラフト)PIV カードおよび派生 PIV クレデンシャル発行者の認可に関するガイドライン

・2023.09.30 NIST SP 800-73-5(初期公開ドラフト) 個人 ID 検証のためのインタフェース:パート 1 - PIV データ・モデル、パート 2 - カード・エッジ・インタフェース、パート 3 - アプリケーション・プログラミング・ インタフェース

・2023.09.30 NIST SP 800-78-5(初期公開ドラフト) 個人識別検証の暗号アルゴリズムおよび鍵サイズ

 

・2023.01.14 米国 NIST SP 800-157 Rev. 1 (ドラフト) 派生した個人アイデンティティ検証 (PIV) クレデンシャルに関するガイドライン

・2023.01.12 米国 NIST SP 800-217 (ドラフト) アイデンティティ検証(PIV)連携に関するガイドライン

 

・2022.12.19 NIST SP 800-63-4 (ドラフト) デジタル・アイデンティティ・ガイドライン 、63A-4 (ドラフト) 登録と身元確認、63B-4 (ドラフト) 本人認証とライフサイクル管理、63C-4 (ドラフト) 連携とアサーション

・2022.01.25 NIST FIPS 201-3 連邦職員および委託業者のアイデンティティの検証(PIV)

 

| | Comments (0)

2024.11.17

米国 NIST SP 800-172 Rev.3(初公開ドラフト) 管理対象非機密情報保護のための拡張セキュリティ要件

こんにちは、丸山満彦です。

NISTが、SP800-172r3のドラフトを公表していますね...

SP 800-53, 53Aが改定され、SP 800-171が改定されたので、次はSP 800-172の番ということですかね...国防総省のCMMCのレベル3でも172は重要ですからね...

基本的には、整合性をとるための変更なのですが、

・時代遅れで冗長なセキュリティ強化要件を削除した

・(1) 最新の脅威情報、(2) サイバー脅威から得られた経験的データ、(3) 完全性及び可用性を含むセキュリティ目標の拡張、に基づく新たなセキュリティ強化要件を追加した

とのことですね...

 

NIST - ITL

・2024.11.13 NIST SP 800-172 Rev. 3 (Initial Public Draft) Enhanced Security Requirements for Protecting Controlled Unclassified Information

NIST SP 800-172 Rev. 3 (Initial Public Draft) Enhanced Security Requirements for Protecting Controlled Unclassified Information NIST SP 800-172 Rev.3(初公開ドラフト) 管理対象非機密情報を保護するための拡張セキュリティ要件
Announcement 発表
SP 800-172r3 provides recommended security requirements to protect the confidentiality, integrity, and availability of CUI when it is resident in a nonfederal system and organization and is associated with a high value asset or critical program. The enhanced security requirements give organizations the capability to achieve a multidimensional, defense-in-depth protection strategy against advanced persistent threats (APTs) and help to ensure the resiliency of systems and organizations. The enhanced security requirements in SP 800-172r3 supplement the security requirements in SP 800-171r3 and are intended for use by federal agencies in contractual vehicles or other agreements between those agencies and nonfederal organizations. There is no expectation that all of the enhanced security requirements are needed universally; enhanced security requirements are selected by federal agencies based on specific mission needs and risks. SP 800-172r3は、CUIが連邦政府以外のシステムおよび組織に常駐し、高価値資産または重要なプログラムに関連する場合に、CUIの機密性、完全性、および可用性を保護するための推奨セキュリティ要件を提供する。拡張セキュリティ要件は、高度な永続的脅威(APT)に対する多次元的な深層保護戦略を実現する能力を組織に与え、システムと組織のレジリエンスを確保するのに役立つ。SP 800-172r3 の拡張セキュリティ要件は、SP 800-171r3 のセキュリティ要 件を補足するものであり、連邦政府機関と連邦政府機関以外の組織との間の契約書または その他の合意において連邦政府機関が使用することを意図している。拡張セキュリティ要件のすべてが普遍的に必要とされることは期待されておらず、拡張セキュリティ要件は、特定のミッションのニーズとリスクに基づいて連邦機関によって選択される。
Significant changes in SP 800-172r3 include: SP 800-172r3 における重要な変更点は以下のとおりである:
・Increased the specificity of the enhanced security requirements to remove ambiguity, improve the effectiveness of implementation, and clarify the scope of assessments ・セキュリティ強化要件の具体性を高め、曖昧さをなくし、実装の有効性を改善し、アセスメントの範囲を明確にした。
・Revised the enhanced security requirements for consistency with the source security control language in SP 800-53 ・SP 800-53 のソースセキュリティ管理文言との整合性を図るため、拡張セキュリ ティ要件を改訂した。
・Updated the numbering system for enhanced security requirements and added titles to the requirements ・セキュリティ強化要件の番号体系を更新し、要件にタイトルを追加した
・Added new enhanced security requirements based on (1) the latest threat intelligence, (2) empirical data from cyber attacks, and (3) the expansion of security objectives to include integrity and availability ・(1) 最新の脅威情報、(2) サイバー脅威から得られた経験的データ、(3) 完全性及び可用性を含むセキュリティ目標の拡張、に基づく新たなセキュリティ強化要件を追加した。
・Added new requirement families for consistency with SP 800-171r3: Planning (PL), System and Services Acquisition (SA), and Supply Chain Risk Management (SR) ・SP 800-171r3 との整合性を図るため、新たな要件ファミリーを追加した: 計画(PL)、システム及びサービス取得(SA)、サプライチェーンリスクマネジメント(SR)を追加した。
・Removed outdated and redundant enhanced security requirements ・時代遅れで冗長なセキュリティ強化要件を削除した
・Implemented a one-time “revision number” change for consistency with SP 800-171r3. ・SP 800-171r3との整合性を図るため、1回限りの「改訂番号」の変更を実施した。
Abstract 概要
The protection of Controlled Unclassified Information (CUI) resident in nonfederal systems and organizations is of paramount importance to federal agencies and can directly impact the ability of the Federal Government to successfully conduct its essential missions and functions. This publication provides federal agencies with recommended security requirements for protecting the confidentiality, integrity, and availability of CUI when it is resident in a nonfederal system and organization and associated with a critical program or high value asset (HVA). The security requirements apply to the components of nonfederal systems that process, store, or transmit CUI or that provide protection for such components. The enhanced security requirements are intended for use by federal agencies in contractual vehicles or other agreements established between those agencies and nonfederal organizations. 連邦政府以外のシステムや組織に常駐する管理対象非機密情報(CUI)の保護は、連邦政府機関にとって最も重要であり、連邦政府がその重要な任務や機能を成功裏に遂行する能力に直接影響を与える可能性がある。本書は、CUIが連邦機関以外のシステムおよび組織に常駐し、重要なプログラムまたは高価値資産(HVA)に関連する場合に、CUIの機密性、完全性、および可用性を保護するための推奨セキュリティ要件を連邦機関に提供する。セキュリティ要件は、CUIを処理、保存、伝送する、またはそのようなコンポーネントの保護を提供する連邦政府以外のシステムのコンポーネントに適用される。拡張セキュリティ要件は、連邦機関と非連邦機関との間で締結された契約書またはその他の合意において、連邦機関が使用することを意図している。

 

で、本文では、どこを特にみて欲しいか?という点について14項目あげています...つまり、これが変更点ということですかね...

Note to Reviewers  査読者への注記 
This update to NIST Special Publication (SP) 800-172 represents over one year of data collection, technical analysis, customer interaction, and the redesign and development of enhanced security requirements and supporting information for the protection of Controlled Unclassified Information (CUI) associated with critical programs and high value assets. Many trade-offs have been made to ensure that the technical and non-technical requirements have been stated clearly and concisely while recognizing the specific needs of both federal and nonfederal organizations. The following provides a summary of the significant changes that have been made to SP 800-172 in transitioning to Revision 3:   この NIST 特別刊行物(SP)800-172 の更新は、重要なプログラムや高価値の資産に関連する管理対象非機密情報 (CUI)を保護するための、1 年以上にわたるデータ収集、技術分析、顧客との対話、および拡張セキュ リティ要件の再設計と開発、およびそれを裏付ける情報の提供を反映したものである。連邦組織と非連邦組織双方の固有のニーズを認識しつつ、技術的・非技術的要件が明確かつ簡潔に記述されるよう、多くのトレードオフが行われた。以下は、SP800-172 を改訂 3 に移行する際に行われた重要な変更の概要である:  
• Streamlined introductory information in Sec. 1 and Sec. 2 to improve clarity and understanding  ・セクション1とセクション2の導入情報を合理化し、明確性と理解度を向上させた。
• Increased specificity of the enhanced security requirements to remove ambiguity, improve the effectiveness of implementation, and clarify the scope of assessments  ・拡張セキュリティ要件の具体性を高め、曖昧さをなくし、実施の有効性を改善し、アセスメントの範囲を明確にした。
• Grouped enhanced security requirements, where possible, to improve understanding and the efficiency of implementations and assessments  ・拡張セキュリティ要件を可能な限りグループ化し、 理解と実施及びアセスメントの効率を改善した 
• Removed outdated and redundant enhanced security requirements  ・時代遅れで冗長なセキュリティ強化要件を削除した。
• Added new enhanced security requirements based on (1) the latest threat intelligence, (2) empirical data from cyber-attacks, and (3) the expansion of security objectives to include integrity and availability  ・(1) 最新の脅威情報、(2) サイバー脅威から得られた経験的データ、(3) 完全性及び可用性攻撃を含むセキュリティ目標の拡張、に基づく新たなセキュリティ強化要件を追加した。
• Added new requirement families for consistency with SP 800-171r3, Revision 3: Planning (PL), System and Services Acquisition (SA), and Supply Chain Risk Management (SR)  ・SP 800-171r3改訂3版との整合性を図るため、新たな要件ファミリーを追加した:計画(PL)、システム及びサービス取得(SA)、サプライチェーンリスクマネジメント(SR)。
• Added titles to the enhanced security requirements  ・拡張セキュリティ要件にタイトルを追加した 
• Restructured and streamlined the security requirement discussion sections  ・セキュリティ要件の説明セクションを再構成し、合理化した 
• Revised the enhanced security requirements for consistency with the source security control language in SP 800-53  ・拡張セキュリティ要求事項を SP800-53 の元のセキュリ ティ管理に関する文言と整合させるために修正した 
• Revised the structure of the References, Acronyms, and Glossary sections for greater clarity and ease of use  ・参考文献、略語、用語集の構成を見直し、より明瞭で使いやすくした 
• Removed appendix with mapping table for security controls and protection strategies and transferred information to the individual security requirements in Sec. 3  ・セキュリティ管理と保護戦略の対応表を含む附属書を削除し、情報をセクション3の各セキュリティ要件に移した。
• Added new appendix that summarizes the enhanced security requirements  ・拡張セキュリティ要件をまとめた附属書を追加した 
• Added new appendix that lists organization-defined parameters for the enhanced security requirements  ・拡張セキュリティ要件について、 組織が定義したパラメータを列挙した附属 書を追加した 
• Implemented a one-time “revision number” change for consistency with SP 800-171r3 ・SP 800-171r3 との整合性を図るため、1 回限りの「改訂番号」の変更を実施した。

 

 

・[PDF] SP.800-172r3.ipd

20241117-54035

 

目次...

1. Introduction 1. 序文
1.1 Purpose and Applicability 1.1 目的と適用性
1.2 Organization of This Publication 1.2 本出版物の構成
2. The Fundamentals 2. 基本的事項
2.1. Enhanced Security Requirement Assumptions 2.1. 拡張セキュリティ要件の前提
2.2. Enhanced Security Requirement Development Methodolog 2.2. 拡張セキュリティ要件の開発方法論
2.3. Enhanced Security Requirement Selection 2.3. セキュリティ強化要件の選択
3. The Security Requirements 3. セキュリティ要件
3.1. Access Control 3.1. アクセス制御
3.2. Awareness and Training 3.2. 意識向上およびトレーニング
3.3. Audit and Accountability 3.3. 監査および説明責任
3.4. Configuration Management 3.4. 構成管理
3.5 Identification and Authentication 3.5. 識別および認証
3.6. Incident Response 3.6. インシデント対応
3.7. Maintenance 3.7. 保守
3.8. Media Protection 3.8. 媒体保護
3.9. Personnel Security 3.9. 職員のセキュリティ
3.10. Physical Protection 3.10. 物理的保護
3.11. Risk Assessment 3.11. リスクアセスメント
3.12. Security Assessment and Monitoring 3.12. セキュリティアセスメントと監視
3.13. System and Communications Protection 3.13. システムおよび通信の保護
3.14. System and Information Integrity 3.14. システムおよび情報の完全性
3.15. Planning 3.15. 計画
3.16. System and Services Acquisition 3.16. システムとサービスの取得
3.17. Supply Chain Risk Management 3.17. サプライチェーンのリスクマネジメント
References 参考文献
Appendix A. Acronyms 附属書 A. 略語
Appendix B. Glossary 附属書 B. 用語集
Appendix C. Summary of Enhanced Security Requirements  附属書 C. 拡張セキュリティ要件の概要 
Appendix D. Adversary Effects 附属書 D. 敵の影響
Appendix E. Organization-Defined Parameters 附属書 E. 組織定義のパラメータ
Appendix F. Change Log 附属書 F. 変更履歴

 

 

拡張セキュリティ要件...

  Access Control  アクセス制御
03.01.01E  Dual Authorization for Commands and Actions  コマンドおよびアクションの二重認可 
03.01.02E  Non-Organizationally Owned Systems Restricted Use  非組織所有システム 使用制限 
03.01.03E  Withdrawn   廃止
03.01.04E  Concurrent Session Control  同時セッション制御 
03.01.05E  Remote Access Monitoring and Control  リモートアクセスの監視および管理 
03.01.06E  Protection of Remote Access Mechanism Information  リモートアクセス機構情報の防御 
03.01.07E  Automated Actions for Account Management  アカウント管理のための自動アクション 
03.01.08E  Account Monitoring for Atypical Usage  非定型使用に対するアカウント監視 
03.01.09E  Attribute-Based Access Control  属性ベースのアクセス管理 
03.01.10E  Object Security Attributes  オブジェクトのセキュリティ属性 
  Awareness and Training  意識向上およびトレーニング 
03.02.01E  Advanced Literacy and Awareness Training  リテラシー向上および意識向上トレーニング 
03.02.02E  Literacy and Awareness Training Practical Exercises  意識向上およびトレーニング 実践演習 
03.02.03E  Literacy and Awareness Training Feedback  意識向上およびトレーニング フィードバック 
03.02.04E  Anti-Counterfeit Training  対偽造トレーニング 
  Audit and Accountability  監査および説明責任 
03.03.01E  Audit Record Storage in Separate Environment  監査記録の別環境での保管 
03.03.02E  Real-Time Alerts for Audit Processing Failures  監査処理の失敗に対するリアルタイム・アラート 
03.03.03E  Dual Authorization for Audit Information and Actions  監査情報および処置の二重認可 
03.03.04E  Integrated Analysis of Audit Records  監査記録の統合分析 
  Configuration Management  構成管理 
03.04.01E  Withdrawn  廃止
03.04.02E  Automated Unauthorized or Misconfigured Component Detection  未承認または誤設定コンポーネントの自動検知 
03.04.03E  Automation Support for System Component Inventory  システムコンポーネントインベントリの自動化サポート 
03.04.04E  Automation Support for Baseline Configuration  ベースライン構成の自動化サポート 
03.04.05E  Dual Authorization for System Changes  システム変更の二重認可 
03.04.06E  Retention of Previous Configurations  以前の設定の保持 
03.04.07E  Testing, Validation, and Documentation of Changes  変更のテスト、妥当性確認、文書化 
  Identification and Authentication  識別および認証 
03.05.01E  Cryptographic Bidirectional Authentication  暗号化双方向認証 
03.05.02E  Password Managers  パスワード・マネージャー 
03.05.03E  Device Attestation  デバイス認証 
03.05.04E  Embedded Unencrypted Static Authenticators  埋め込まれた非暗号化静的認証子 
03.05.05E  Expiration of Cached Authenticators  キャッシュされた認証の期限切れ 
03.05.06E  Identity Proofing  身元確認 
  Incident Response  インシデント対応
03.06.01E  Security Operations Center  セキュリティ・オペレーション・センター 
03.06.02E  Integrated Incident Response Team  統合インシデント対応チーム 
03.06.03E  Behavior Analysis  行動分析 
03.06.04E  Automation Support for Incident Reporting  インシデント報告の自動化サポート 
  Maintenance  保守 
03.07.01E  Maintenance Tool Software Updates and Patches  保守ツール ソフトウェア・アップデートとパッチ 
  Media Protection  媒体保護 
03.08.01E  Dual Authorization for Media Sanitization  メディア・サニタイズの二重認可 
03.08.02E  Dual Authorization for System Backup Deletion and Destruction  システム・バックアップの削除と破棄の二重認可 
03.08.03E  Testing System Backups for Reliability and Integrity  システム・バックアップの信頼性と完全性のテスト 
  Personnel Security  職員のセキュリティ 
03.09.01E  Withdrawn  廃止 
03.09.02E  Withdrawn  廃止 
03.09.03E  Access Agreements  アクセス協定 
03.09.04E  Citizenship Requirements  市民権要件 
  Physical Protection  物理的保護 
03.10.01E  Visitor Access Records  訪問者のアクセス記録 
03.10.02E  Intrusion Alarms and Surveillance Equipment  侵入アラームおよび監視装置 
03.10.03E  Delivery and Removal of System Components  システム・コンポーネントの納入と撤去 
  Risk Assessment  リスクアセスメント 
03.11.01E  Threat Awareness Program  脅威認識プログラム 
03.11.02E  Threat Hunting  脅威ハンティング 
03.11.03E  Predictive Cyber Analytics  予測サイバー分析 
03.11.04E  Withdrawn  廃止 
03.11.05E  Withdrawn  廃止 
03.11.06E  Withdrawn  廃止 
03.11.07E  Withdrawn  廃止 
03.11.08E  Dynamic Threat Awareness  動的脅威認識 
03.11.09E  Indicators of Compromise  侵害の指標 
03.11.10E  Criticality Analysis  クリティカリティ分析 
03.11.11E  Discoverable Information  発見可能な情報 
03.11.12E  Automated Means for Sharing Threat Intelligence  脅威インテリジェンスを共有するための自動化された手段 
  Security Assessment and Monitoring  セキュリティアセスメントおよび監視
03.12.01E  Penetration Testing  侵入テスト 
03.12.02E  Independent Assessors  独立評価機関 
03.12.03E  Risk Monitoring  リスク監視 
03.12.04E  Internal System Connections  内部システム接続 
  System and Communications Protection  システムおよび通信の保護 
03.13.01E  Heterogeneity  不均質性 
03.13.02E  Randomness  ランダム性 
03.13.03E  Concealment and Misdirection  隠蔽およびミスディレクション 
03.13.04E  Isolation of System Components  システム・コンポーネントの分離 
03.13.05E  Change Processing and Storage Locations  処理と保管場所の変更 
03.13.06E  Platform-Independent Applications  プラットフォームに依存しないアプリケーション 
03.13.07E  Virtualization Techniques  仮想化技術 
03.13.08E  Decoys  おとり 
03.13.09E  Security Tool, Mechanism, and Support Component Isolation  セキュリティツール、メカニズム、サポート コンポーネントの分離 
03.13.10E  Separate Subnetworks  サブネットワークの分離 
03.13.11E  Thin Nodes  シン・ノード 
03.13.12E  Denial-of-Service Protection  サービス拒否防御 
03.13.13E  Port and Input/Output Device Access  ポートおよび入出力デバイスへのアクセス 
03.13.14E  Detonation Chambers  爆轟環境
  System and Information Integrity  システムおよび情報の完全性 
03.14.01E  Software, Firmware, and Information Integrity  ソフトウェア、ファームウェア、情報の完全性 
03.14.02E  Withdrawn   廃止  
03.14.03E  Withdrawn  廃止 
03.14.04E  Refresh from Trusted Sources  信頼できる情報源からのリフレッシュ 
03.14.05E  Non-Persistent Information  永続的でない情報 
03.14.06E  Withdrawn  廃止 
03.14.07E  Withdrawn  廃止 
03.14.08E  Integrity Checks  完全性チェック 
03.14.09E  Cryptographic Protection  暗号防御 
03.14.010E  Protection of Boot Firmware  ブート・ファームウェアの防御 
03.14.11E  Integration of Detection and Response Capability  検知と対応能力の統合 
03.14.12E  Information Input Validation  情報入力の妥当性確認 
03.14.13E  Error Handling  エラー処理 
03.14.14E  Memory Protection  メモリ防御 
03.14.15E  Non-Persistent System Components and Services  非永続的なシステム・コンポーネントとサービス 
03.14.16E  Tainting  汚染 
03.14.17E  System-Generated Alerts  システム生成的アラート 
03.14.18E  Automated Organization-Generated Alerts  自動化された組織生成的アラート 
  Planning  計画 
03.15.01E  Security Architecture  セキュリティ・アーキテクチャ 
03.15.02E  Defense In Depth  深層防衛 
03.15.03E  Supplier Diversity  サプライヤーの多様性 
  System and Services Acquisition  システムとサービスの獲得 
03.16.01E  Specialization  専門化 
  Supply Chain Risk Management  サプライチェーンリスクマネジメント 
03.17.01E  Notification Agreements  通知契約 
03.17.02E  Inspection of Systems or Components  システムまたはコンポーネントの検査 
03.17.03E  Component Authenticity  コンポーネントの認証 

 

 

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

SP 800-53, 171, 172 と国防総省のCMMC

・2024.05.20 米国 NIST SP 800-171 改訂 3 版 非連邦政府組織およびシステムにおける管理対象非機密情報CUIの保護とNIST SP 800-171A 改訂3版 管理対象非機密情報のセキュリティ要件の評価 (2024.05.14)

・2024.04.26 米国 MITRE サイバーレジリエンシー・エンジニアリング・フレームワーク・ナビゲータが国防総省のサイバーセキュリティ成熟度モデルと整合

・2024.02.22 米国 国防総省 CMMCパブリックコメント募集の 手引きビデオを公開 (2023.02.15)

・2024.01.03 米国 国防総省 パブコメ サイバーセキュリティ成熟度認証規則案 (2023.12.26)

・2023.12.11 米国 国防総省 内部監察官室 請負業者ネットワーク上の国防総省管理対象非機密情報保護に関するサイバーセキュリティの共通の不備 (2023.12.04)

・2023.11.13 NIST 意見募集 SP 800-171 Rev.3(最終ドラフト) 非連邦政府組織およびシステムにおける管理対象非機密情報の保護、NIST SP 800-171A 改訂第3版(初期公開ドラフト) 管理対象非機密情報のセキュリティ要件の評価

・2023.05.13 米国 NIST 意見募集 SP 800-171 Rev.3(ドラフト) 非連邦政府組織およびシステムにおける管理対象非機密情報の保護

・2022.07.21 NIST SP 800-171 Rev. 3 (ドラフト) 非連邦政府組織およびシステムにおける管理対象非機密情報CUIの保護の作成に向けた意見募集

・2022.03.18 NIST SP 800-172A 管理対象非機密情報に対する強化版セキュリティ要件の評価

・2022.01.27 NIST SP 800-53A Rev. 5 情報システムと組織におけるセキュリティとプライバシーのコントロールの評価

・2021.11.07 米国 DoD サイバーセキュリティ成熟度モデル認証(CMMC)プログラムの戦略的方向性 - CMMC2.0

・2021.08.06 NIST SP 800-53A Rev. 5 (Draft) 情報システムと組織におけるセキュリティとプライバシーのコントロールの評価

・2021.07.19 IPA NIST文書SP800-53 rev.5「組織と情報システムのためのセキュリティおよびプライバシー管理策」及びSP800-53B「組織と情報システムのための管理策ベースライン」の翻訳版を公開

・2021.04.28 NIST SP 800-172A 管理対象非機密情報 (CUI) に対する強化版セキュリティ要件の評価

・2021.02.04 NIST SP 800-172 Enhanced Security Requirements for Protecting Controlled Unclassified Information: A Supplement to NIST Special Publication 800-171

・2020.12.11 SP 800-53 Rev. 5 Security and Privacy Controls for Information Systems and Organizations, SP 800-53B Control Baselines for Information Systems and Organizationsの記載ミスの修正と第5版と第4版の更新分析、ISO/IEC27001とのマッピング表等の追加

・2020.10.30 NIST SP 800-53B Control Baselines for Information Systems and Organizations 情報システムと組織のコントロールベースライン

・2020.10.02 米国国防省がCMMCの暫定規則(DFARS Case 2019-D041)を公表し、意見募集を行っています

・2020.09.24 NIST SP 800-53 Rev. 5 Security and Privacy Controls for Information Systems and Organizations

・2020.08.01 NIST SP 800-53B (Draft) Control Baselines for Information Systems and Organizations

・2020.07.09 NIST SP 800-172 (Draft) Enhanced Security Requirements for Protecting Controlled Unclassified Information: A Supplement to NIST Special Publication 800-171 (Final Public Draft)

・2020.03.31 CMMC概要 An Introduction to the Cybersecurity Maturity Model Certification (CMMC)

・2020.03.17 NIST SP 800-53 Rev. 5(Draft) Security and Privacy Controls for Information Systems and Organizations (Final Public Draft)

・2020.03.09 Cybersecurity Maturity Model Certification (CMMC) Version 1.0

・2020.02.22 NIST Publishes SP 800-171 Revision 2: Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations

 

少し前...

・2012.03.01 NIST Draft SP 800-53 Rev. 4 Security and Privacy Controls for Federal Information Systems and Organizations

・2011.07.22 NIST Draft SP 800-53 Appendix J DRAFT Privacy Control Catalog

・2010.05.10 NIST SP800-53関係の情報

 

 

 

| | Comments (0)

欧州委員会 汎用AI実践規範の最初のドラフトを発表 (2024.11.14)

こんにちは、丸山満彦です。

欧州委員会が、汎用AI実践規範の最初のドラフトを発表しています...

2025年5月までに、汎用AI実践規範を完成する必要がありますので、これから作業がどんどん進んでいくのでしょうね...

 

European Commission - General-Purpose AI Code of Practice

・2024.11.14 First Draft of the General-Purpose AI Code of Practice published, written by independent experts

 

First Draft of the General-Purpose AI Code of Practice published, written by independent experts 汎用AI行動規範の最初のドラフトが独立専門家により発表された
Independent experts present the first draft of the General-Purpose AI Code of Practice, which will be discussed with around 1000 stakeholders next week. The AI Office is facilitating relevant AI Act understanding with dedicated questions and answers for stakeholders. 独立専門家が汎用AI実践規範の最初のドラフトを発表し、来週、約1000人の利害関係者と議論する予定である。AIオフィスは、利害関係者向けにAI法に関する理解を深めるための専用Q&Aを用意している。
The iterative drafting of the General-Purpose AI Code of Practice reaches an important milestone after the kick-off on 30 September, concluding the first out of four drafting rounds until April 2025. The first draft of the Code was prepared by independent experts, appointed as Chairs and Vice-Chairs of four thematic working groups. As facilitator of the Code drawing-up, the European AI Office publishes the draft today. The experts developed this initial version based on the contributions from a providers of general-purpose AI models as the addressees of the Code of Practice. The drafting also took into account international approaches. 汎用AI実践規範の反復的なドラフト作成は、9月30日のキックオフ後、2025年4月までの4回の草案作成ラウンドのうち最初のラウンドを終え、重要なマイルストーンに到達した。実践規範の最初の草案は、4つのテーマ別作業部会の議長および副議長に任命された独立専門家によって作成された。実践規範の草案作成の推進役である欧州AIオフィスは、本日、ドラフトを公表する。専門家たちは、汎用AIモデルのプロバイダから寄せられた意見を基に、この最初のバージョンを作成した。また、国際的なアプローチも考慮して草案が作成された。
The Chairs and Vice-Chairs present this first draft as a foundation for further detailing and refinement, inviting feedback to help shape each iteration towards the final version of the Code. They also outline guiding principles and objectives for the Code, aiming to provide stakeholders with a clear sense of direction of the final Code’s potential form and content. Open questions are included to highlight areas for further progress. The final draft will set out clear objectives, measures, and, where relevant, key performance indicators (KPIs). 各議長および副議長は、この最初のドラフトをさらなる詳細化と洗練化のための基礎として提示し、最終版の実践規範に向けて各ドラフトを練り上げるためのフィードバックを求めている。また、本コードの指針となる原則と目的を概説し、利害関係者が最終的なコードの形式と内容の方向性を明確に把握できるようにすることを目指している。未解決の問題も記載し、今後の進展が必要な分野を明確にしている。最終ドラフトでは、明確な目的、手段、および関連する場合は主要業績評価指標(KPI)を定める。
The final document will play a crucial role in guiding the future development and deployment of trustworthy and safe general-purpose AI models. It should detail transparency and copyright-related rules for providers of general-purpose AI models. For a small number of providers of most advanced general-purpose AI models that could pose systemic risks, the Code should also detail a taxonomy of systemic risks, risk assessment measures, as well as technical and governance mitigation measures. 最終文書は、信頼性が高く安全な汎用AIモデルの今後の開発と展開を導く上で重要な役割を果たす。また、汎用AIモデルのプロバイダに関する透明性と著作権に関するルールを詳細に規定すべきである。システムリスクをもたらす可能性のある最先端の汎用AIモデルを提供するプロバイダが少数である場合、実践規範では、システムリスクの分類、リスクアセスメントの方法、技術的およびガバナンス上の緩和策についても詳細に規定すべきである。
Next steps 今後の予定
Next week, as part of the Code of Practice Plenary, the Chairs together with nearly 1000 stakeholders, EU Member States representatives, European and international observers will discuss the draft in dedicated working group meetings. Each day one of the four working groups will meet, in which the respective Chairs will update on the recent drafting progress. A balanced set of stakeholders from interested participants will be invited to share verbal remarks. All participants will get the chance to voice their views in interactive ways and pose questions to Chairs. On Friday 22 November, the Chairs will present key insights from the discussions to the full Plenary. 来週、実践規範全体会議の一環として、議長らは1000名近い利害関係者、EU加盟国の代表者、欧州および国際的なオブザーバーとともに、専門ワーキンググループ会議でドラフトについて議論する。4つのワーキンググループのうち1つが毎日会議を行い、それぞれの議長が最近のドラフト作成の進捗状況について最新情報を提供する。利害関係者の中からバランスの取れた形で利害関係者が招待され、口頭での意見を述べる。すべての参加者は、双方向的な方法で意見を述べたり、議長に質問したりする機会が与えられる。11月22日(金)には、議長が全体会議で議論の主要な洞察を発表する。
In parallel, Plenary participants have received a draft through a dedicated platform (Futurium) with two weeks to submit written feedback by Thursday 28 November, 12:00 CET. Based on this feedback, Chairs may adjust the measures in the first draft while adding more detail to the Code. Their drafting principles stress that measures, sub-measures, and KPIs should be proportionate to the risks, take into account the size of the general-purpose AI model provider, and allow simplified compliance options for SMEs and start-ups. Following the AI Act, the Code will also reflect notable exemptions for providers of open-source models. The principles also highlight the need for a balance between clear requirements and flexibility to adapt as technology evolves. 並行して、全体会議の参加者は、専用プラットフォーム(Futurium)を通じてドラフトを受け取り、11月28日(木)12:00 CET(中央ヨーロッパ時間)までに書面によるフィードバックを提出する。このフィードバックに基づき、議長は実践規範にさらに詳細を追加しながら、最初のドラフトの対策を調整する可能性がある。起草の原則では、対策、サブ対策、および KPI はリスクに比例すべきであり、汎用 AI モデルプロバイダの規模を考慮し、中小企業やスタートアップ企業には簡素化されたコンプライアンスオプションを認めるべきであると強調している。AI 法に続き、行動規範はオープンソースモデルのプロバイダに対する顕著な免除事項も反映する。また、原則では、明確な要件と技術の進化に合わせて適応する柔軟性のバランスを取る必要性を強調している。
Below you can download the draft code of practice. You can also download the dedicated Q&A, which helps explaining the regulatory approach to General-purpose AI in the AI Act. 以下より、実践規範のドラフトをダウンロードできる。また、汎用AIに関するAI法の規制アプローチを説明するQ&Aもダウンロードできる。

 

・[PDF download] 

20250328-53304

・[DOCX][PDF] 仮訳

 

FAQ

General-Purpose AI Models in the AI Act – Questions & Answers

 

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.30 欧州 AI法の調和標準の策定について...

・2024.09.08 欧州評議会 AI条約の署名開始... (2024.09.05)

・2024.08.05 欧州AI法が施行された... (2024.08.01)

・2024.07.19 ドイツ BfDI フランス CNIL オランダ AP EU AI法関連

・2024.07.16 EU 2024.07.12にAI法がEU官報に掲載された

・2024.05.22 EU 欧州理事会がAI法を承認...まもなく発効されますね...

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2023.12.10 欧州委員会、欧州議会がAI法について政治的合意

・2022.12.08 EU理事会 AI法に関する見解を採択

・2022.09.30 欧州委員会 AI責任指令案

・2021.12.05 欧州理事会 AI法改正案を欧州議会に提出

・2021.08.08 EU議会 BRIEFING 人工知能法 at 2021.07.26

・2021.04.24 欧州委員会がAIへの規制を提案 → 欧州データ保護官は歓迎するけど、公共空間での遠隔生体認証についての規制も入れてね

 

 

| | Comments (0)

2024.11.16

米国 NIST IR 8517 ハードウェア・セキュリティの失敗シナリオ: 潜在的なハードウェアの弱点 (2024.11.13)

こんにちは、丸山満彦です。

NISTが、NIST IR 8517 ハードウェア・セキュリティの失敗シナリオ: 潜在的なハードウェアの弱点を公表していますね... 6月に意見募集していたものが最終化されたようです。

CWEも含めて、ここまで情報収集、分析、整理、文書化、公表できるリソースがすごいね...

 

NIST - ITL

・2024.11.13 NIST IR 8517 Hardware Security Failure Scenarios: Potential Hardware Weaknesses

NIST IR 8517 Hardware Security Failure Scenarios: Potential Hardware Weaknesses NIST IR 8517 ハードウェア・セキュリティの失敗シナリオ: 潜在的なハードウェアの弱点
Abstract 概要
Hardware is often assumed to be robust from a security perspective. However, chips are both created with software and contain complex encodings (e.g., circuit designs and firmware). This leads to bugs, some of which compromise security. This publication evaluates the types of vulnerabilities that can occur and leverages existing work on hardware weaknesses. For each type, a security failure scenario is provided that describes how the weakness could be exploited, where the weakness typically occurs, and what kind of damage could be done by an attacker. The 98 failure scenarios provided demonstrate the extensive and broadly distributed possibilities for hardware-related security failures. ハードウェアはセキュリティの観点から堅牢であると想定されることが多い。しかし、チップはソフトウェアで作成され、複雑な符号化(例えば、回路設計やファームウェア)を含んでいる。このためバグが発生しやすく、その中にはセキュリティを脅かすものもある。本書は、起こりうる脆弱性のタイプを評価し、ハードウェアの脆弱性に関する既存の研究を活用する。各タイプについて、その弱点がどのように悪用されうるか、その弱点が通常どこで発生するか、攻撃者がどのような損害を与えうるかを記述したセキュリティ障害シナリオが提供されている。提供された98の失敗シナリオは、ハードウェア関連のセキュリティ失敗の可能性が広範かつ広範囲に分散していることを示している。

 

・[PDF] IR.8517

20241116-40033

・[DOCX][PDF] 仮訳

 

目次...

Abstract 要旨
Keywords キーワード
Reports on Computer Systems Technology コンピュータ・システム技術に関するレポート
Audience 聴衆
Patent Disclosure Notice 特許開示通知
Table of Contents 目次
List of Figures 図表一覧
1. Introduction 1.はじめに
2. Background 2.背景
2.1. Weaknesses vs. Vulnerabilities 2.1.弱点と脆弱性
2.2. Weakness Data Fields 2.2.弱点データフィールド
2.3. Weakness Abstractions 2.3.弱さの抽象化
2.4. Weakness Views 2.4.弱さの見方
2.4.1. Hardware Design View 2.4.1.ハードウェア設計ビュー
2.4.2. Research Concepts View 2.4.2.研究コンセプト
2.4.3. Simplified Mapping of Published Vulnerabilities View 2.4.3.公表された脆弱性ビューの簡易マッピング
3. Technical Approach 3.技術的アプローチ
3.1. Concept of Hardware Security Failure Scenarios 3.1.ハードウェア・セキュリティの故障シナリオの概念
3.1.1. Determining How Weaknesses Occur 3.1.1.弱点がどのように発生するかを見極める
3.1.2. Determining Where Weaknesses Occur 3.1.2.弱点がどこにあるかを見極める
3.1.3. Determining What Damage Weaknesses Allow 3.1.3.どのようなダメージの弱さが許容されるかを判断する
3.2. Creating Hardware Weakness Subgraphs 3.2.ハードウェアの弱点サブグラフを作成する
4. Hardware Security Failure Scenarios 4.ハードウェア・セキュリティの失敗シナリオ
4.1. Improper Access Control 4.1.不適切なアクセス制御
4.2. Improper Adherence to Coding Standards 4.2.コーディング基準の不適切な遵守
4.3. Improper Check or Handling of Exceptional Conditions 4.3.例外条件の不適切なチェックまたは処理
4.4. Improper Control of a Resource Through its Lifetime 4.4.リソースのライフタイムを通じての不適切な管理
4.5. Incorrect Comparison 4.5.誤った比較
4.6. Insufficient Control Flow Management 4.6.不十分なコントロールフロー管理
4.7. Protection Mechanism Failure 4.7.保護機構の故障
5. Categories of Hardware Design Weaknesses 5.ハードウェア設計の弱点のカテゴリー
5.1. Core and Compute Issues 5.1.コアとコンピュートの問題
5.2. Cross-Cutting Problems 5.2.横断的な問題
5.3. Debug and Test Problems 5.3.デバッグとテストの問題
5.4. General Circuit and Logic Design Concerns 5.4.一般的な回路と論理設計の問題点
5.5. Integration Issues 5.5.統合の問題
5.6. Manufacturing and Life Cycle Management Concerns 5.6.製造とライフサイクル管理に関する懸念
5.7. Memory and Storage Issues 5.7.メモリとストレージの問題
5.8. Peripherals, On-Chip Fabric, and Interface/IO Problems 5.8.ペリフェラル、オンチップ・ファブリック、インターフェース/IOの問題
5.9. Physical Access Issues and Concerns 5.9.物理的アクセスの問題と懸念
5.10. Power, Clock, Thermal, and Reset Concerns 5.10.電源、クロック、熱、リセットに関する懸念
5.11. Privilege Separation and Access Control Issues 5.11.特権分離とアクセス制御の問題
5.12. Security Flow Issues 5.12.セキュリティ・フローの問題
5.13. Security Primitives and Cryptography Issues 5.13.セキュリティ・プリミティブと暗号化の問題
6. Comparison With Software Weaknesses 6.ソフトウェアの弱点との比較
7. Software Assurance Trends Categories 7.ソフトウェア保証の動向カテゴリー
8. Conclusion 8.結論
References 参考文献
General References 参考文献
CWE References CWEリファレンス
Appendix A. List of Symbols, Abbreviations, and Acronyms 附属書A記号、略語、頭字語のリスト
Appendix B. Analysis of the Complete Hardware Weakness Graph 附属書B.完全なハードウェア弱点グラフの分析
B.1. Hardware Design Category Overlay B.1.ハードウェアデザインカテゴリーのオーバーレイ
B.2. Comparison of View-1000 and View-1194 Relationships B.2.View-1000 と View-1194 の関係の比較
Appendix C. Weakness Hierarchy — Improper Access Control 附属書 C.脆弱性の階層 - 不適切なアクセス制御
Appendix D. Weakness Hierarchy — Improper Adherence to Coding Standards 附属書D.弱点の階層-コーディング基準の不適切な遵守
Appendix E. Weakness Hierarchy — Improper Check or Handling of Exceptional Conditions 附属書E.脆弱性の階層 - 例外的状況の不適切なチェックまたは処理
Appendix F. Weakness Hierarchy — Improper Control of a Resource Through its Lifetime 附属書F.弱さの階層-資源の有効期間を通じての不適切な管理
Appendix G. Weakness Hierarchy — Incorrect Comparison 附属書G.弱点ヒエラルキー - 間違った比較
Appendix H. Weakness Hierarchy — Insufficient Control Flow Management 附属書H.脆弱性の階層-不十分なコントロールフロー管理
Appendix I. Weakness Hierarchy — Protection Mechanism Failure 附属書I.弱さの階層-プロテクション・メカニズムの失敗

 

 

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.06.18 米国 NIST IR 8517(初期公開ドラフト) ハードウェアセキュリティの失敗シナリオ: ハードウェア設計における潜在的な弱点

 

| | Comments (0)

米国 NIST IR 8547(初期公開ドラフト) 耐量子暗号標準への移行について

こんにちは、丸山満彦です。

NISTから耐量子暗号関係の文書の公表が目立ってきていますね...

今回は、耐量子暗号への移行についてです。。。2035年までに可能な限り移行という話でしたからね...

 

● NIST - ITl

・2024.11.12 NIST IR 8547 (Initial Public Draft) Transition to Post-Quantum Cryptography Standards

NIST IR 8547 (Initial Public Draft) Transition to Post-Quantum Cryptography Standards NIST IR 8547(初期公開ドラフト) 耐量子暗号標準への移行について
Announcement 発表
This report describes NIST’s expected approach to transitioning from quantum-vulnerable cryptographic algorithms to post-quantum digital signature algorithms and key-establishment schemes. It identifies existing quantum-vulnerable cryptographic standards and the current quantum-resistant standards that will be used in the migration. This report should inform the efforts and timelines of federal agencies, industry, and standards organizations for migrating information technology products, services, and infrastructure to PQC. Comments received on this draft will be used to revise this transition plan and feed into other algorithm- and application-specific guidance for the transition to PQC. 本報告書では、量子脆弱性暗号アルゴリズムからポスト量子デジタル署名アルゴリズムおよび鍵確立方式への移行に関するNISTの期待されるアプローチについて記述している。本報告書では、既存の量子脆弱性暗号標準と、移行に使用される現在の量子脆弱性暗号標準を識別している。この報告書は、連邦政府機関、産業界、標準化団体が、情報技術製品、サービス、インフラをPQCに移行するための努力とタイムラインに情報を提供するものである。本ドラフトに寄せられたコメントは、本移行計画を修正し、PQCへの移行に関する他のアルゴリズムおよびアプリケーション固有のガイダンスに反映される。
Abstract 概要
This report describes NIST’s expected approach to transitioning from quantum-vulnerable cryptographic algorithms to post-quantum digital signature algorithms and key-establishment schemes. It identifies existing quantum-vulnerable cryptographic standards and the quantum-resistant standards to which information technology products and services will need to transition. It is intended to foster engagement with industry, standards organizations, and relevant agencies to facilitate and accelerate the adoption of post-quantum cryptography. 本報告書は、量子脆弱性暗号アルゴリズムから耐量子電子署名アルゴリズムおよび鍵確立方式への移行に関するNISTの期待されるアプローチについて記述している。既存の量子脆弱性暗号標準と、情報技術製品やサービスが移行する必要のある量子耐性標準を特定している。産業界、標準化団体、関連機関との連携を促進し、耐量子暗号の採用を促進することを目的としている。

 

・[PDF] IR.8547.ipd

20241115-171419

 

1. Introduction 1. 序文
1.1. Scope and Purpose 1.1. 範囲と目的
1.2. Audience 1.2. 想定読者
2. Background 2. 背景
2.1. Cryptographic Standards 2.1. 暗号標準
2.1.1. Digital Signature Algorithms 2.1.1. デジタル署名アルゴリズム
2.1.2. Key Establishment 2.1.2. 鍵確立
2.1.3. Symmetric Cryptography 2.1.3. 対称暗号
2.2. Cryptographic Technologies and Components 2.2. 暗号技術とコンポーネント
2.2.1. Network Protocol and Security Technology Standards 2.2.1. ネットワーク・プロトコルとセキュリティ技術標準
2.2.2. Software Cryptographic Libraries 2.2.2. ソフトウェア暗号ライブラリ
2.2.3. Cryptographic Hardware 2.2.3. 暗号ハードウェア
2.2.4. PKI and Other Infrastructure Components 2.2.4. PKI およびその他のインフラ・コンポーネント
2.2.5. IT Applications and Services 2.2.5. IT アプリケーションおよびサービス
3. Migration Considerations 3. 移行の考慮事項
3.1. Use Cases 3.1. ユースケース
3.1.1. Code Signing 3.1.1. コード署名
3.1.2. User and Machine Authentication 3.1.2. ユーザー認証とマシン認証
3.1.3. Network Security Protocols 3.1.3. ネットワーク・セキュリティ・プロトコル
3.1.4. Email and Document Signing and Encryption 3.1.4. 電子メールと文書の署名と暗号化
3.2. PQC-Classical Hybrid Protocols 3.2. PQC-古典的ハイブリッド・プロトコル
3.2.1. Hybrid Key-Establishment Techniques 3.2.1. ハイブリッド鍵確立技術
3.2.2. Hybrid Digital Signature Techniques 3.2.2. ハイブリッド電子署名技術
4. Towards a PQC Standards Transition Timeline 4. PQC標準移行スケジュールに向けて
4.1. NIST Cryptographic Algorithm Standards and Guidelines 4.1. NIST暗号アルゴリズム標準とガイドライン
4.1.1. Digital Signatures 4.1.1. デジタル署名
4.1.2. Key Establishment 4.1.2. 鍵確立
4.1.3. Symmetric Cryptography 4.1.3. 対称暗号
4.2. Application-Specific Standards and Guidelines 4.2. アプリケーション固有の標準とガイドライン
References 参考文献
Appendix A. Glossary 附属書 A. 用語集

 

 

1. Introduction   1. 序文 
Cryptographic algorithms are vital for safeguarding confidential electronic information from unauthorized access. For decades, these algorithms have proved strong enough to defend against attacks using conventional computers that attempt to defeat cryptography. However, future quantum computing may be able to break these algorithms, rendering data and information vulnerable. Countering this future quantum capability requires new cryptographic methods that can protect data from both current conventional computers and the quantum computers of tomorrow. These methods are referred to as post-quantum cryptography (PQC).   暗号アルゴリズムは、機密の電子情報を不正アクセスから守るために不可欠である。何十年もの間、これらのアルゴリズムは、暗号を破ろうとする従来のコンピュータを使った攻撃から防御するのに十分強いことが証明されてきた。しかし、将来の量子コンピューティングは、これらのアルゴリズムを破ることができ、データや情報を脆弱性にさらす可能性がある。このような将来の量子コンピュータの能力に対抗するには、現在の従来型コンピュータと将来の量子コンピュータの両方からデータを保護できる新しい暗号方式が必要である。これらの方法は、耐量子暗号(PQC)と呼ばれている。 
In response, NIST has released three PQC standards to start the next and significantly large stage of working on the transition to post-quantum cryptography: the Module-Lattice-Based Key-Encapsulation Mechanism [FIPS203], the Module-Lattice-Based Digital Signature Algorithm [FIPS204], and the Stateless Hash-Based Signature Algorithm [FIPS205]. Historically, the journey from algorithm standardization to full integration into information systems can take 10 to 20 years. This timeline reflects the complexity of companies building the algorithms into products and services, procuring those products and services, and integrating those products and services into technology infrastructures.  これを受けてNISTは、ポスト量子暗号への移行に向けた次の大きな段階として、3つのPQC標準を発表した。モジュール-格子ベースの鍵カプセル化メカニズム[FIPS203]、モジュール-格子ベースの電子署名アルゴリズム[FIPS204]、ステートレスハッシュベースの署名アルゴリズム[FIPS205]である。歴史的に、アルゴリズムの標準化から情報システムへの完全な統合までには 10 年から 20 年かかる。この時間軸は、企業がアルゴリズムを製品やサービスに構築し、それらの製品やサービスを調達し、それらの製品やサービスを技術インフラに統合することの複雑さを反映している。
Even though the transition to post-quantum cryptography is starting before a cryptographically relevant quantum computer has been built, there is a pressing threat. Encrypted data remains at risk because of the “harvest now, decrypt later” threat in which adversaries collect encrypted data now with the goal of decrypting it once quantum technology matures. Since sensitive data often retains its value for many years, starting the transition to post-quantum cryptography now is critical to preventing these future breaches. This threat model is one of the main reasons why the transition to post-quantum cryptography is urgent.   耐量子暗号への移行は、暗号学的に適切な量子コンピュータが構築される前に始まっているが、差し迫った脅威がある。敵対者が暗号化されたデータを今収集し、量子技術が成熟した後に解読することを目的とする 「harvest now, decrypt later 」という脅威があるため、暗号化されたデータは依然としてリスクにさらされている。機密データは何年もその価値を維持することが多いため、将来の侵害を防ぐには、耐量子暗号への移行を今始めることが重要である。この脅威モデルは、ポスト量子暗号への移行が急務である主な理由の一つである。 
1.1. Scope and Purpose  1.1. 範囲と目的 
Updating cryptographic technology has occurred many times at different scales, such as increasing key sizes or phasing out insecure hash functions and block ciphers. While the transition to PQC is unprecedented in scale, it benefits from a level of awareness and understanding that previous cryptographic changes did not have. NIST recognizes the complexity of migrating the vast array of systems that currently rely on public-key cryptography and acknowledges that this transition will demand substantial effort across diverse applications and infrastructures with specific requirements and constraints.  暗号技術の更新は、鍵のサイズを大きくしたり、安全でないハッシュ関数やブロック暗号を段階的に廃止するなど、さまざまな規模で何度も行われてきた。PQC への移行は前例のない規模であるが、これまでの暗号技術の変更にはなかった意識と理解のレベ ルの恩恵を受けている。NISTは、現在公開鍵暗号に依存している膨大なシステムの移行が複雑であることを認識しており、この移行が、特定の要件や制約を持つ多様なアプリケーションやインフラにわたって多大な努力を必要とすることを認めている。
This report serves as the initial step in a broader strategy to manage and guide the transition to post-quantum cryptography. This transition will involve the adoption of new PQC algorithms as well as the careful deprecation, controlled legacy use, and eventual removal of quantumvulnerable algorithms that are currently widespread in technological infrastructures. Publicprivate engagement will be crucial on the path toward PQC. Additionally, this report continues NIST’s ongoing dialogue with industry, standards organizations, and relevant agencies to develop a clear roadmap and realistic timeline for transitioning to PQC. NIST is committed to ensuring that this transition is as smooth and coordinated as possible, balancing the urgency of adopting PQC with the need to minimize disruption across critical systems.  本報告書は、耐量子暗号への移行を管理し導くための、より広範な戦略の第一歩となるものである。この移行には、新たなPQCアルゴリズムの採用だけでなく、現在技術基盤に広く普及している量子脆弱性アルゴリズムの慎重な非推奨、管理されたレガシー利用、そして最終的な削除が含まれる。PQCの実現には、官民の協力が不可欠である。さらに本報告書では、PQCへの移行に向けた明確なロードマップと現実的なスケジュールを策定するため、NISTが産業界、標準化団体、関連機関と継続して行っている対話を継続する。NISTは、PQC採用の緊急性と重要システム全体の混乱を最小限に抑える必要性とのバランスを取りながら、この移行が可能な限り円滑かつ協調的に行われるよう尽力している。
1.2. Audience  1.2. 想定読者
This document is intended for a broad audience, including federal agencies, technology providers, standards organizations, and Cryptographic Module Validation Program (CMVP) laboratories. These groups play a critical role in preparing for the migration to PQC by developing, implementing, and standardizing the new cryptographic methods necessary to secure information in the era of quantum computing. This document should inform these stakeholder’s efforts and timelines for migrating information technology products, services, and infrastructure to PQC.  本文書は、連邦機関、技術プロバイダ、標準化機関、暗号モジュール妥当性確認プログラム(CMVP)研究所を含む幅広い読者を対象としている。これらのグループは、量子コンピューティング時代の情報セキュリティに必要な新たな暗号方式を開発、実装、標準化することで、PQC への移行に備える上で重要な役割を担っている。この文書は、情報技術製品、サービス、インフラを PQC に移行するためのこれらの関係者の努力とタイムラインに情報を提供するものである。

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.08.14 米国 NIST 耐量子暗号化標準の最初の3つ (FIPS 203, 204, 205) を確定

・2022.05.05 米国 国家量子推進諮問委員会の強化に関する大統領令

 

| | Comments (0)

2024.11.15

米国 CISA 重要インフラ向けサイバーインシデント報告法に関するウェブページ

こんにちは、丸山満彦です。

時事的な話ではないのですが、2022年3月に成立した重要インフラ向けサイバーセキュリティ報告法(統合歳出法のDivision Y)に関連するウェブページを紹介しておきます...

 

CISA

Cyber Incident Reporting for Critical Infrastructure Act of 2022 (CIRCIA)

Cyber Incident Reporting for Critical Infrastructure Act of 2022 Publication 2022年重要インフラのためのサイバーインシデント報告法 出版物
PDF  
20241115-42035
Cyber Incident Reporting for Critical Infrastructure Act of 2022 Fact Sheet 2022年重要インフラ法のためのサイバーインシデント報告 ファクトシート
PDF,  
   
Cyber Incident Reporting for Critical Infrastructure Act of 2022 - Notice of Proposed Rulemaking Informational Overview 2022年重要インフラ法のためのサイバーインシデント報告-規則制定提案通知 情報概要
This is an unofficial, informational resource summarizing aspects of the CIRCIA Notice of Proposed Rulemaking (NPRM) created to assist stakeholders in reviewing the NRPM. これは、NRPMを検討する利害関係者を支援するために作成されたCIRCIAの規則案提案通知(NPRM)の側面を要約した非公式の情報資料である。
PDF  
   
Covered Cyber Incident Fact Sheet 対象となるサイバーインシデントのファクトシート
Under the CIRCIA NPRM, a covered entity that experiences a covered cyber incident is required to report. Find out what covered cyber incident are. CIRCIA NPRMでは、対象となるサイバーインシデントが発生した事業体は報告する必要がある。対象となるサイバーインシデントとは何か。
PDF  
   
Covered Entity Fact Sheet 対象事業体ファクトシート
Under the CIRCIA NPRM, a covered entity that experiences a covered cyber incident is required to report. Find out what covered entities are. CIRCIA NPRMの下では、対象となるサイバーインシデントを経験した対象事業体は報告する必要がある。対象事業体とは何か。
PDF  
   
StopRansomware.gov StopRansomware.gov
CISA hosts the federal government’s official one-stop location for resources to tackle ransomware more effectively. This website includes information, guidance and other tools to help organization protect, prepare for and respond to ransomware. CISA は、ランサムウェアにより効果的に取り組むためのリソースを提供する連邦政府の公式ワンストップ・ロケーションをホストしている。このウェブサイトには、組織がランサムウェアを保護、準備、対応するのに役立つ情報、ガイダンス、その他のツールが含まれている。
StopRansomware.gov StopRansomware.gov
   
Ransomware Vulnerability Warning Pilot (RVWP) Fact Sheet ランサムウェア脆弱性警告パイロット(RVWP)ファクトシート

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

サイバーインシデント報告法(CIRCIA)関係...

・2024.09.02 米国 CISA サイバー報告の改善に向けた新しいポータルを開設 (2024.08.29)

・2024.03.30 米国 CISA 意見募集 2022年重要インフラ向けサイバーインシデント報告法(CIRCIA) の規則案を公表

・2023.10.17 米国 CISA ブログ ランサムウェア脆弱性警告パイロットの更新: ランサムウェアに関連する既知の悪用される脆弱性と設定ミスのワンストップリソースのリリース (2023.10.12)

・2022.09.14 米国 CISA サイバーインシデント報告法 (CIRCIA) における報告要件に関する意見募集 (2022.09.09)

・2022.04.13 米国 CISAがサイバーイベント情報の共有のためのファクトシートを公表していますね。。。 (2022.04.07)

・2022.03.17 米国 バイデン大統領が歳出法案に署名ー重要インフラの所有者・運営者は、サイバー攻撃を受けた場合は72時間以内に、ランサムウェアの支払いを行った場合は24時間以内にCISAに報告することが義務付けられる...

・2022.03.14 米国 H. R. 5440 重要インフラのためのサイバーインシデント報告法案が下院で可決

・2022.03.06 米国 S.3600 - Strengthening American Cybersecurity Act of 2022案が上院で可決

・2021.10.09 米国 Cyber Incident Nortification Act of 2021案と Cyber Incident Reporting Act of 2021案

 

SECによる臨時報告書(8-K他)サイバーインシデント報告の話...

・2024.06.02 米国 SEC ニューヨーク証券取引所を所有するインターコンチネンタル取引所をサイバー侵入をしていたのに通知しなかったいうことで1000万ドル(約16億円)の罰金を受け入れていますね... (2024.05.22)

・2023.07.28 米国 SEC 上場企業によるサイバーセキュリティリスクマネジメント、戦略、ガバナンス、インシデント開示に関する規則を採択

・2022.05.12 米国 ITI SECのサイバーセキュリティに関する規則案の延期を要請 - セキュリティリスクの分散と軽減のために

・2022.03.11 米国 SEC 公開企業によるサイバーセキュリティのリスク管理、戦略、ガバナンス、インシデントの開示に関する規則案

 

FSBによるサイバーインシデント報告の収斂の話...

・2023.04.17 金融安定理事会 (FSB) サイバーインシデント報告におけるより大きな収束を実現するための提言

・2022.10.23 金融安定理事会 サイバーインシデント報告における収斂を高めるための提言

・2021.11.23 米国 財務省通貨監督庁・連邦準備制度理事会・連邦預金保険公社 コンピューターセキュリティインシデント通知についての最終規則の承認

・2021.10.22 金融安定理事会 (FSB) 「サイバーインシデントレポート:既存のアプローチとより広範な収斂のための次のステップ」

 

日本のサイバーインシデント情報共有、公表ガイダンス

・2023.11.27 経済産業省 産業サイバーセキュリティ研究会「サイバー攻撃による被害に関する情報共有の促進に向けた検討会」の最終報告書

・2023.03.09 総務省 経済産業省 警察庁、内閣官房 「サイバー攻撃被害に係る情報の共有・公表ガイダンス」を公表

・2022.12.27 総務省 経済産業省 警察庁、内閣官房 「サイバー攻撃被害に係る情報の共有・公表ガイダンス(案)」に関する意見募集

・2022.04.21 総務省 経済産業省 警察庁、内閣官房 サイバー攻撃被害に係る情報の共有・公表ガイダンス検討会の開催

 

| | Comments (0)

IAASB サステナビリティ保証に関する国際標準5000「サステナビリティ保証業務に関する一般要求事項」 (2024.11.12)

こんにちは、丸山満彦です。

国際監査・保証基準審議会 (The International Auditing and Assurance Standards Board: IAASB)  が、国際サステナビリティ保証基準 (ISSA) 5000「サステナビリティ保証業務の一般的要求事項」を公表していますね...

公認会計士以外のアシュアランス実務者も利用できるとしています...

ドラフトに対しては、経団連も意見書を出していましたね...

 

IAASB 

・2024.11.27 International Standard on Sustainability Assurance 5000, General Requirements for Sustainability Assurance Engagements

 

・[PDF] Final Pronoucement: International Standard on Sastainability Assurance 5000


International Standard on Sustainability Assurance 5000 cover

 

 

 ・「PDF] Basis for Conclusions

IAASB-ISSA-5000-Sustainability-Assurance-Basis-for-Conclusions.pdf

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

2023.12.13 経団連 IAASB公開草案 国際サステナビリティ保証基準 (ISSA) 5000「サステナビリティ保証業務の一般的要求事項」へのコメント (2023.12.01)

・2023.09.25 日本公認会計士協会 IAASB公開草案 国際サステナビリティ保証基準(ISSA)5000「「サステナビリティ保証業務の一般的要求事項」

 

| | Comments (0)

2024.11.14

米国 NIST NIST SP 800-232(初期公開ドラフト) 制約されたデバイスのためのAsconベースの軽量暗号標準: 認証された暗号化、ハッシュ、拡張可能な出力機能

こんにちは、丸山満彦です。

2023年2月にIoTなどでの利用を想定した軽量暗号アルゴリズムの標準として、Asconベースの暗号をNISTは採用し、その選定過程を説明するIR 8454を2023年6月に公表しましたが、標準のドラフトとしてSP 800-232の初期公開ドラフトを今回発表したというところですね...

 

● NIST - ITL

・2024.11.08 NIST SP 800-232 (Initial Public Draft) Ascon-Based Lightweight Cryptography Standards for Constrained Devices: Authenticated Encryption, Hash, and Extendable Output Functions

 

NIST SP 800-232 (Initial Public Draft) Ascon-Based Lightweight Cryptography Standards for Constrained Devices: Authenticated Encryption, Hash, and Extendable Output Functions NIST SP 800-232(初期公開ドラフト) 制約されたデバイスのためのAsconベースの軽量暗号標準: 認証された暗号化、ハッシュ、拡張可能な出力機能
Announcement 発表
This draft standard introduces a new Ascon-based family of symmetric-key cryptographic primitives that provides robust security, efficiency, and flexibility. With its compact state and range of cryptographic functions, it is ideal for resource-constrained environments, such as Internet of Things (IoT) devices, embedded systems, and low-power sensors. This standard includes multiple algorithms to meet a wide range of symmetric cryptographic needs, including the Authenticated Encryption with Associated Data (AEAD) scheme Ascon-AEAD128, the hash function Ascon-Hash256, and the Extendable Output Functions (XOFs) Ascon-XOF128 and Ascon-CXOF128. この標準ドラフトは、強固なセキュリティ、効率性、柔軟性を提供する新しいAsconベースの共通鍵暗号プリミティブ・ファミリーを導入する。コンパクトな状態と幅広い暗号機能により、IoTデバイス、組み込みシステム、低消費電力センサーなど、リソースに制約のある環境に最適である。この標準には、AEAD(Authenticated Encryption with Associated Data)方式Ascon-AEAD128、ハッシュ関数Ascon-Hash256、拡張可能出力機能(XOF)Ascon-XOF128およびAscon-CXOF128など、対称暗号の幅広いニーズに対応する複数のアルゴリズムが含まれている。
Abstract 概要
In 2023, the National Institute of Standards and Technology (NIST) announced the selection of the Ascon family of algorithms designed by Dobraunig, Eichlseder, Mendel, and Schläffer to provide efficient cryptography solutions for resource-constrained devices. This decision emerged from a rigorous, multi-round lightweight cryptography standardization process. This standard introduces a new Ascon-based family of symmetric-key cryptographic primitives designed to deliver Authenticated Encryption with Associated Data (AEAD), hash, and Extendable Output Function (XOF) capabilities, namely Ascon-AEAD128, Ascon-Hash256, Ascon-XOF128, and Ascon-CXOF128. The Ascon family is characterized by lightweight permutation-based primitives and provides robust security, efficiency, and flexibility, making it ideal for resource-constrained environments, such as Internet of Things (IoT) devices, embedded systems, and low-power sensors. The family is developed to offer a viable alternative when the Advanced Encryption Standard (AES) may not perform optimally. This draft standard outlines the technical specifications of Ascon-AEAD128, Ascon-Hash256, Ascon-XOF128, and Ascon-CXOF128, and provides their security properties. 2023年、国立標準技術研究所(NIST)は、Dobraunig、Eichlseder、Mendel、Schläfferによって設計されたアルゴリズムのAsconファミリーを、リソースに制約のあるデバイスに効率的な暗号ソリューションを提供するために選択することを発表した。この決定は、複数ラウンドにわたる厳格な軽量暗号の標準化プロセスから生まれた。この標準は、Ascon-AEAD128、Ascon-Hash256、Ascon-XOF128、およびAscon-CXOF128という、AEAD(Authenticated Encryption with Associated Data)、ハッシュ、およびXOF(Extendable Output Function)機能を提供するように設計された、新しいAsconベースの共通鍵暗号プリミティブ・ファミリを導入している。Asconファミリーは、軽量な並べ替えベースのプリミティブを特徴とし、強固なセキュリティ、効率性、柔軟性を提供するため、モノのインターネット(IoT)デバイス、組み込みシステム、低消費電力センサーなど、リソースに制約のある環境に最適である。このファミリーは、AES(Advanced Encryption Standard)が最適な性能を発揮できない場合に、実行可能な代替手段を提供するために開発された。このドラフト標準は、Ascon-AEAD128、Ascon-Hash256、Ascon-XOF128、および Ascon-CXOF128 の技術仕様の概要を示し、それらのセキュリティ特性を提供する。

 

・[PDF] SP.800-232.ipd

20241114-53143

目次...

1. Introduction 1. 序文
2. Preliminaries 2. 予備知識
2.1. Auxiliary Functions 2.1. 補助機能
3. Ascon Permutations 3. Asconの順列
3.1. Internal State 3.1. 内部状態
3.2. Constant-Addition Layer 𝑝𝐶 3.2. 定数加算レイヤー 𝑝𝐶
3.3. Substitution Layer 𝑝𝑆 3.3. 置換レイヤー 𝑝𝑆
3.4. Linear Diffusion Layer 𝑝𝐿 3.4. 線形拡散レイヤー 𝑝𝐿
4. Authenticated Encryption Scheme: Ascon-AEAD128 4. 認証暗号化スキーム: Ascon-AEAD128
4.1. Specification of Ascon-AEAD128 4.1. Ascon-AEAD128の仕様
 4.1.1. Encryption  4.1.1. 暗号化
 4.1.2. Decryption  4.1.2. 復号化
4.2. Implementation Options 4.2. 実装オプション
 4.2.1. Truncation  4.2.1. 切り捨て
 4.2.2. Nonce Masking  4.2.2. ノンスマスキング
4.3. AEAD Requirements 4.3. AEAD要件
4.4. Security Properties 4.4. セキュリティ特性
 4.4.1. Single-Key Setting  4.4.1. シングルキー設定
 4.4.2. Multi-Key Setting  4.4.2. マルチキー設定
 4.4.3. Nonce-Misuse Setting  4.4.3. 不正使用防止設定
5. Hash and Extendable Output Functions 5. ハッシュと拡張可能な出力機能
5.1. Specification of Ascon-Hash256 5.1. Ascon-Hash256 の仕様
5.2. Specification of Ascon-XOF128 5.2. Ascon-XOF128の仕様
5.3. Specification of Ascon-CXOF128 5.3. Ascon-CXOF128の仕様
5.4. Security Strengths 5.4. セキュリティ強度
Appendix A. Implementation Notes 附属書A.実装上の注意事項
A.1. Conversion Functions A.1. 変換機能
A.2. Implementing with Integers A.2. 整数を使った実装
Appendix B. Determination of the Initial Values 附属書B. 初期値の決定

 

序文...

1. Introduction  1. 序文 
This draft standard specifies the Ascon family of algorithms to provide Authenticated Encryption with Associated Data (AEAD), a hash function, and two eXtendable Output Functions (XOFs). The Ascon family is designed to be efficient in constrained environments. The algorithms specified in this standard are as follows:  本標準ドラフトは、AEAD(Authenticated Encryption with Associated Data)、ハッシュ関数、および2つのXOF(eXtendable Output Function)を提供するアルゴリズムのAsconファミリーを規定する。Ascon ファミリーは、制約のある環境において効率的であるように設計されている。本標準で規定されるアルゴリズムは以下の通りである: 
1. Ascon-AEAD128 is a nonce-based authenticated encryption with associated data that provides 128-bit security strength in the single-key setting.  1. Ascon-AEAD128はノンスベースの認証暗号であり、単一鍵設定で128ビットのセキュリティ強度を提供する。
2. Ascon-Hash256 is a cryptographic hash function that produces a 256-bit hash of the input messages, offering a security strength of 128 bits.  2. Ascon-Hash256 は、入力メッセージの 256 ビットのハッシュを生成する暗号ハッシュ関数であり、128 ビットのセキュリティ強度を提供する。
3. Ascon-XOF128 is an XOF, where the output size of the hash of the message can be selected by the user, and the supported security strength is up to 128 bits.  3. Ascon-XOF128 は XOF で、メッセージのハッシュの出力サイズをユーザが選択でき、サポートされるセキュリティ強度は最大 128 ビットである。
4. Ascon-CXOF128 is a customized XOF that allows users to specify a customization string and choose the output size of the message hash. It supports a security strength of up to 128 bits.  4. Ascon-CXOF128 はカスタマイズされた XOF であり、ユーザがカスタマイズ文字列を指定し、メッセージハッシュの出力サイズを選択できる。最大128ビットのセキュリティ強度をサポートする。
Development of the Ascon family. Ascon (version v1) [1] was first submitted to the CAESAR (Competition for Authenticated Encryption: Security, Applicability, and Robustness) in 2014. The submission included two AEAD algorithms: a primary recommendation, Ascon128, with a 128-bit key and the secondary recommendation, Ascon-96, with a 96-bit key. Updated versions v1.1 [2] for Round 2 and v1.2 [3] for Round 3 included minor tweaks, such as reordering the round constants, and the secondary recommendation was updated to Ascon-128a. In 2019, Ascon-128 and Ascon-128a were selected as the first choice for the lightweight authenticated encryption use case in the final portfolio of the CAESAR competition.  Ascon・ファミリーの開発 Ascon(バージョンv1)[1]は、最初にCAESAR(認証暗号化のためのコンペティション)に提出された: Security, Applicability, and Robustness)に2014年に提出された。提出されたものには2つのAEADアルゴリズムが含まれていた。128ビットの鍵を持つ一次推奨のAscon128と、96ビットの鍵を持つ二次推奨のAscon-96である。ラウンド2の更新版v1.1 [2]とラウンド3の更新版v1.2 [3]では、ラウンド定数の並び替えなど細かな調整が行われ、二次勧告はAscon-128aに更新された。2019年、Ascon-128とAscon-128aは、CAESARコンペティションの最終ポートフォリオにおいて、軽量認証暗号のユースケースの第一候補に選ばれた。
NIST Lightweight Cryptography Standardization Process. In 2015, the National Institute of Standards and Technology (NIST) initiated the lightweight cryptography standardization process to develop cryptographic standards suitable for constrained environments in which conventional cryptographic standards (e.g., AES-GCM [4, 5] and the SHA-2 [6] and the SHA-3 [7] hash function families) may be resource-intensive. In February 2023, NIST announced the decision to standardize the Ascon family [8] for lightweight cryptography applications. (For more information, refer to NIST Internal Report (IR) 8268 [9], NIST IR 8369 [10], and NIST IR 8454 [11]).  NIST軽量暗号標準化プロセス。2015年、国立標準技術研究所(NIST)は、従来の暗号標準(例えば、AES-GCM [4、5]、SHA-2 [6]およびSHA-3 [7]ハッシュ関数ファミリー)ではリソースが集中する可能性がある制約環境に適した暗号標準を開発するため、軽量暗号標準化プロセスを開始した。2023年2月、NISTは軽量暗号アプリケーション向けにAsconファミリー[8]を標準化することを決定したと発表した。(詳細については、NIST Internal Report (IR) 8268 [9]、NIST IR 8369 [10]、NIST IR 8454 [11]を参照のこと)。
Differences from the Ascon submission v1.2. The technical differences between this draft standard and the Ascon submission [8] are provided below:  Ascon submission v1.2との相違点。本スタンダードドラフトとAscon提出文書[8]との技術的な相違点を以下に示す: 
1. Permutations. The Ascon submission defined three Ascon permutations having 6, 8, and 12 rounds. This standard specifies additional Ascon permutations by providing round constants for up to 16 rounds to accommodate potential functionality extensions in the future.  1. 順列。Ascon 提出文書では、6、8、12 ラウンドの 3 つの Ascon 順列を定義していた。本標準は、将来の潜在的な機能拡張に対応するため、最大16ラウンドのラウンド定数をプロバイダに提供することで、追加のAscon順列を規定する。
2. AEAD variants. The Ascon submission package defined AEAD variants ASCON-128, ASCON-128a, and ASCON-80pq. This standard specifies the Ascon-AEAD128 algorithm, which is based on ASCON-128a.  2. AEAD 変数。ASCONサブミッションパッケージでは、AEADバリエーションASCON-128、ASCON-128a、ASCON-80pqを定義した。本標準は、ASCON-128a に基づく Ascon-AEAD128 アルゴリズムを規定する。
3. Hash function variants. The Ascon submission defined ASCON-HASH and ASCON-HASHA. This standard specifies Ascon-Hash256, which is based on ASCON-HASH.  3. ハッシュ機能の亜種。Ascon の提出文書では、ASCON-HASH と ASCON-HASHA が定義されている。本標準は、ASCON-HASH に基づく Ascon-Hash256 を規定する。
4. XOF variants. The Ascon submission defined two extendable output functions, ASCONXOF and ASCON-XOFA. This standard specifies Ascon-XOF128, which is based on ASCON-XOF, and a new customized XOF, Ascon-CXOF128.  4. XOFのバリエーション。ASCON は 2 つの拡張出力機能 ASCONXOF と ASCON-XOFA を定義した。本標準は、ASCON-XOF をベースとした Ascon-XOF128 と、新しいカスタマイズ XOF である Ascon-CXOF128 を規定する。
5. Initial values. The initial values of the algorithms are updated to support a new format that accommodates potential functionality extensions.  5. 初期値。アルゴリズムの初期値は、潜在的な機能拡張に対応する新しい形式をサポートするために更新される。
6. Endianness. The endianness has been switched from big endian to little endian to improve performance on little-endian microcontrollers.  6. エンディアン。エンディアンがビッグエンディアンからリトルエンディアンに変更され、リトルエンディアンマイコンでのパフォーマンスが向上した。
7. Truncation and nonce-masking. The implementation options of Ascon-AEAD128 with truncation and nonce-masking have been added.  7. トランケーションとノンスマスキング。Ascon-AEAD128の実装オプションにトランケーションとノンスマスクが追加された。
Main Features of Ascon. The main features of the Ascon family are:  Asconの主な特徴 Asconファミリーの主な特徴は以下の通りである: 
• Multiple functionalities. The same permutations are used to construct multiple functionalities, which allows an implementation of AEAD, hash, and XOF functionalities to share logic and, therefore, have a more compact implementation than functions that were developed independently.  ・多機能。AEAD,ハッシュ,XOFの各機能はロジックを共有するため,個別に開発された機能よりもコンパクトな実装が可能である。
• Online and single pass. Ascon-AEAD128 is online, meaning that the 𝑖-th ciphertext block is determined by the key, nonce, associated data, and the first 𝑖 plaintext blocks. Ascon family members require only a single pass over the data.  ・オンラインかつシングルパスである。Ascon-AEAD128はオンラインであり、𝑖番目の暗号文ブロックが鍵、Nonce、関連データ、最初の𝑖個の平文ブロックによって決定されることを意味する。Asconファミリーはデータに対してシングルパスしか必要としない。
• Inverse-free. Since all of the Ascon family members only use the underlying permutations in the forward direction, implementing the inverse permutations is not needed. This approach significantly reduces implementation costs compared to designs that require inverse operations for decryption.  ・インバースフリーである。Asconファミリーの全メンバーは順方向の順列のみを使用するため,逆方向の順列を実装する必要はない。このアプローチは,復号化のために逆演算を必要とする設計と比較して,実装コストを大幅に削減する。
Organization. Section 2 provides preliminaries, including the notation, basic operations, and auxiliary functions. Section 3 specifies the Ascon permutations for up to 16 rounds. Section 4 specifies the authenticated encryption scheme Ascon-AEAD128, provides some implementation options for truncation and nonce masking, lists the requirements for validation, and provides security properties. Section 5 specifies the hash function Ascon-Hash256 , the XOF function Ascon-XOF128, and the customized Ascon-CXOF128 and describes their security properties. Appendix A provides additional notes and conversion functions for implementations. Appendix B provides additional information regarding the construction of initial values. 構成セクション2では、表記法、基本演算、補助関数を含む前置詞を提供する。セクション3では、最大16ラウンドまでのAsconの順列について述べる。セクション4では、認証暗号化方式 Ascon-AEAD128を規定し、トランケーションとノンスマスキングの実装オプション、妥当性確認の要件、セキュリティ特性を示す。セクション5 では、ハッシュ関数 Ascon-Hash256、XOF 関数 Ascon-XOF128、およびカスタマイズされた Ascon-CXOF128 を規定し、それらのセキュリティ特性を記述する。附属書Aは、実装のための追加的な注意事項と変換機能を提供する。附属書Bは、初期値の構築に関する追加情報を提供する。

 

関連

Lightweight Cryptography

 

 Ascon

Ascon - Lightweight Authenticated Encryption & Hashing

20230212-135609

IPAの軽量暗号に関する資料

 IPA

・2022.04.13 [PDF] 「CRYPTREC 暗号技術ガイドライン(軽量暗号)」 掲載の暗号方式に関する安全性評価の動向調査

20230212-135724

 

・2017.03 [PDF] CRYPTREC 暗号技術ガイドライン (軽量暗号)

20230212-135656

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

Asconファミリー...

・2024.05.24 米国 NIST SP 800-229 2023会計年度サイバーセキュリティとプライバシー年次報告書

・2023.06.24 NIST NISTIR 8454 NIST 軽量暗号標準化プロセスの最終ラウンドに関する状況報告書

・2023.02.12 NIST 標準軽量暗号はAsconファミリーから... (2023.02.07)

 

 

 

| | Comments (0)

米国 NIST CSWP 34(初公開ドラフト)テレヘルス・スマートホーム統合におけるサイバーセキュリティとプライバシーリスクの低減: ヘルスケア及び公衆衛生部門のリスクマネジメントのアプローチ

こんにちは、丸山満彦です。

NISTが、テレヘルス・スマートホーム統合におけるサイバーセキュリティとプライバシーリスクの低減: ヘルスケア及び公衆衛生部門のリスクマネジメントのアプローチを公表し、意見募集をしていますね。

● NIST - ITL

・2024.11.06 NIST CSWP 34 (Initial Public Draft) Mitigating Cybersecurity and Privacy Risks in Telehealth Smart Home Integration: Healthcare and Public Health Sector Risk Management Approaches

NIST CSWP 34 (Initial Public Draft) Mitigating Cybersecurity and Privacy Risks in Telehealth Smart Home Integration: Healthcare and Public Health Sector Risk Management Approaches NIST CSWP 34(初公開ドラフト)テレヘルス・スマートホーム統合におけるサイバーセキュリティとプライバシーリスクの低減: ヘルスケア及び公衆衛生部門のリスクマネジメントのアプローチ
Announcement 発表
The National Cybersecurity Center of Excellence (NCCoE) has released for public comment the draft of NIST Cybersecurity White Paper (CSWP) 34, Mitigating Cybersecurity and Privacy Risks in Telehealth Smart Home Integration. The comment period for the draft is now open through January 6, 2025. 国立サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)は、NISTサイバーセキュリティ白書(CSWP)34「テレヘルス・スマートホーム統合におけるサイバーセキュリティとプライバシーリスクの低減」のドラフトをパブリックコメント用に公開した。ドラフトに対するコメント募集期間は2025年1月6日までとなっている。
About the White Paper 白書について
Hospital-at-Home (HaH) is a form of telehealth wherein patients receive in-patient care, including clinical care and monitoring, at their place of residence. Healthcare systems have begun incorporating communications interfaces, patient monitors, and other medical devices into the patient’s residence to provide advice and perform clinical care while leveraging the advantages associated with patients receiving treatment in an amenable location. HaH offers several benefits to healthcare delivery organizations (HDOs), including improving patient outcomes, alleviating in-patient bed capacity limits, and providing safety for patients and care team members in infectious scenarios. ホスピタル・アット・ホーム(HaH)は遠隔医療の一形態であり、患者は居住地で臨床ケアやモニタリングを含む入院治療を受ける。医療システムは、患者が快適な場所で治療を受けることに関連する利点を活用しながら、アドバイスを提供し臨床ケアを実行するために、コミュニケーション・インターフェース、患者モニター、その他の医療機器を患者の住居に組み込み始めている。HaHは、医療提供機関(HDO)にとって、患者の転帰改善、入院ベッド数の制限緩和、感染シナリオにおける患者とケアチームメンバーの安全確保など、いくつかのメリットをもたらす。
While these are desirable benefits, HaH introduces privacy and cybersecurity risks by introducing medical-grade equipment and information systems into environments the hospital does not control. This paper examines risks found in HaH deployments when using smart speakers as a representative IoT device and provides recommended steps to address these risks. This paper also describes applying controls that include access control, authentication, continuous monitoring, data security, governance, and network segmentation. これらは望ましいメリットであるが、HaHは病院が管理できない環境に医療グレードの機器や情報システムを導入することで、プライバシーやサイバーセキュリティのリスクをもたらす。本稿では、代表的なIoTデバイスとしてスマートスピーカーを使用した場合のHaH展開に見られるリスクを検証し、これらのリスクに対処するための推奨ステップを示す。また、アクセス制御、認証、セキュリティの継続的なモニタリング、データセキュリティ、ガバナンス、ネットワークセグメンテーションを含む管理者の適用についても説明する。
We Want to Hear from You! ご意見をお聞かせください!
The public comment period for this draft is open until January 6, 2025, at 11:59 P.M. EST. You can view the publication and submit comments by visiting the NCCoE project page. If you have any questions, please email our team at hit_nccoe@nist.gov. このドラフトに対するパブリックコメント期間は、2025年1月6日午後11時59分(米国東部標準時)までである。NCCoEのプロジェクト・ページにアクセスすれば、出版物を閲覧し、コメントを提出することができる。ご質問があれば、hit_nccoe@nist.gov。
Abstract 要旨
In-patient service demands have increased during a time when patients have experienced reduced access to hospital care. Hospital-at-Home (HaH) solutions provide an in-patient care experience for patients, which may result in reduced costs and improved outcomes. While these are desirable benefits, HaH involves privacy and cybersecurity risk by introducing medical device-grade equipment and information systems into environments the hospital does not control, i.e., the patient’s home. Patient homes may include a growing number of Internet of Things (IoT) devices as part of their “smart home” environment. IoT devices may be used as pivot points into a hospital’s information system environment. IoT devices are a novel set of computing devices that do not allow patients or HaH implementors to provision commonly accepted privacy and security practices. This paper examines privacy and cybersecurity risks found in HaH deployments when using smart speakers as a representative IoT device and provides recommended steps to address those risks. This paper describes applying controls that include access control, authentication, continuous monitoring, data security, governance, and network segmentation. 患者の病院での治療へのアクセスが減少している間に、入院患者へのサービス需要は増加している。Hospital-at-Home(HaH)ソリューションは、患者に入院治療を体験させ、コスト削減と改善効果をもたらす。これらは望ましい利点であるが、HaHは、病院が管理しない環境、すなわち患者の自宅に医療機器グレードの機器や情報システムを導入することで、プライバシーやサイバーセキュリティのリスクを伴う。患者の自宅には、「スマートホーム」環境の一部として、ますます多くのモノのインターネット(IoT)機器が含まれる可能性がある。IoTデバイスは、病院の情報システム環境のピボット・ポイントとして使用される可能性がある。IoTデバイスは、患者やHaH実装者が一般的に受け入れられているプライバシーとセキュリティの慣行を提供することを許さない、新しい一連のコンピューティングデバイスである。本稿では、代表的なIoTデバイスとしてスマートスピーカーを使用する場合にHaH展開で見られるプライバシーとサイバーセキュリティのリスクを検証し、それらのリスクに対処するための推奨ステップを提供する。本稿では、アクセス管理、認証、セキュリティの継続的なモニタリング、データセキュリティ、ガバナンス、ネットワークセグメンテーションを含む管理者の適用について説明する。
These practices include steps that the hospital can take to segment HaH equipment and data from other personally owned devices in the patient’s home and implement phishing-resistant authentication. Personally owned devices may be prone to compromise and would affect healthcare systems without appropriate segmentation. Also, voice-enabled technologies may be prone to identity spoofing or permitting unauthorized individuals to access HaH equipment or health information. これらの実践には、病院がHaH機器とデータを患者宅の他の個人所有デバイスからセグメント化し、フィッシング耐性の認証を実装するために取ることができる手順が含まれる。個人所有のデバイスは侵害されやすく、適切なセグメンテーションがなければ医療システムに影響を及ぼす可能性がある。また、音声対応技術は、ID なりすましや、権限のない個人による HaH 機器や医療情報へのアクセスを許してしまう可能性がある。

 

・[PDF] CSWP.34.ipd

20241113-225943

 

Executive Summary  エグゼクティブサマリー 
1. Introduction 1. 序文
2. Telehealth Smart Home Integration Ecosystem 2. 遠隔医療スマートホーム統合エコシステム
3. Smart Home Integration Ecosystem Risk Analysis 3. スマートホーム統合エコシステムのリスク分析
 3.1. Sample Threat Events 3.1. 脅威事象の例
 3.2 Recommended Cybersecurity and Privacy Practices 3.2 推奨されるサイバーセキュリティとプライバシーの慣行
 3.3 Assess Cybersecurity and Privacy Control Coverage 3.3 サイバーセキュリティとプライバシーの管理範囲のアセスメント
4. Security Reference Architecture. 4. セキュリティ・リファレンス・アーキテクチャ
5. Conclusion 5. 結論
References  参考文献 
Appendix A. List of Symbols, Abbreviations, and Acronyms  附属書 A. 記号、略語、頭字語のリスト 

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー 
Healthcare Delivery Organizations (HDOs) have begun implementing Hospital-at-Home (HaH) programs for select patients. HaH is a form of telehealth wherein patients receive in-patient care, including clinical care and monitoring, at their place of residence. Healthcare systems, often in collaboration with partner organizations, incorporate communication interfaces, patient monitors, and other medical devices into the patient’s residence to provide advice, engage with the patient, and perform clinical care while leveraging the advantages associated with that patient receiving treatment in a location amenable to the patient.  医療提供機関(HDO)は、一部の患者を対象に在宅医療(Hospital-at-Home:HaH)プログラムの導入を開始している。HaHは遠隔医療の一形態であり、患者は居住地で臨床ケアやモニタリングを含む入院治療を受ける。医療システムは、多くの場合、パートナー組織と協力して、患者の住居に通信インターフェイス、患者モニター、その他の医療機器を組み込み、患者が患者にとって快適な場所で治療を受けることに関連する利点を活用しながら、アドバイスを提供し、患者と関わり、臨床ケアを行う。
HaH combines elements found in telehealth solutions with components such as hospital-grade medical devices typically found in in-patient settings. HaH integrates with commercial solutions procured by the patient to enhance their lives. An example of patient-procured solutions includes Internet-of-Things (IoT) devices. This paper uses a smart speaker device as a representative IoT device that may be found in the patient’s home. This paper considers privacy and cybersecurity risks associated with smart speaker inclusion, both as a general IoT device that is not managed by the HDO and as a device that the patient uses to communicate with care providers and retrieve health information.  HaHは、遠隔医療ソリューションに見られる要素と、一般的に入院患者環境で見られる病院グレードの医療機器などのコンポーネントを組み合わせたものである。HaHは、患者の生活を向上させるために、患者が調達した商用ソリューションと統合する。患者が調達したソリューションの例としては、モノのインターネット(IoT)デバイスがある。本稿では、患者の自宅にある代表的なIoTデバイスとして、スマートスピーカーデバイスを使用する。本稿では、HDOによってマネジメントされない一般的なIoTデバイスとして、また患者がケアプロバイダーとのコミュニケーションや健康情報の取得に使用するデバイスとして、スマートスピーカーの組み込みに関連するプライバシーとサイバーセキュリティのリスクを検討する。
Adversaries may use patient-procured IoT devices and network infrastructures as a pivot into an HDO’s environment. The objective of this paper is to examine privacy and cybersecurity risks present in IoT devices, as they exist in the same environment as in-patient-grade medical devices. Both patient-procured and medical devices may have vulnerabilities that cannot be easily addressed through regular patch cycles. This paper examines risks and mitigation approaches.  攻撃者は、患者が調達したIoTデバイスとネットワーク・インフラを、HDOの環境への軸として利用する可能性がある。本稿の目的は、患者用医療機器と同じ環境に存在するIoT機器に存在するプライバシーとサイバーセキュリティのリスクを検証することである。患者が所有するデバイスと医療用デバイスの両方には、定期的なパッチサイクルでは容易に対処できない脆弱性が存在する可能性がある。本稿ではリスクと低減アプローチについて検討する。
This paper uses NIST guidance in framing risks and proposing mitigating controls. The National  本稿では、リスクの枠組みと低減対策の提案において、NISTのガイダンスを使用する。全米の 
Cybersecurity Center of Excellence (NCCoE) healthcare team applies guidance from the  サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)のヘルスケア・チームは、米国国立標準技術研究所(NIST)のガイダンスを適用している。
National Institute of Standards and Technology (NIST) Cybersecurity Framework 2.0 (CSF 2.0) [1], the NIST Privacy Framework (PF) [2], and NIST Internal Report (NISTIR) 8425 Profile of the IoT Core Baseline for Consumer IoT Products [3] as well as concepts discussed in previous NCCoE practice guides.  国立標準技術研究所(NIST)のサイバーセキュリティフレームワーク 2.0(CSF 2.0)[1]、NISTプライバシーフレームワーク(PF) [2]、NIST内部報告書(NISTIR) 8425 Profile of the IoT Core Baseline for Consumer IoT Products [3]、および以前のNCCoE実践ガイドで議論された概念を適用している。
A core theme found in other NCCoE healthcare-related practice guides and NIST guidance documents, for example, calls upon HDOs to ensure network segmentation between medical devices and other environments. Network segmentation impedes a threat actor’s ability to compromise an endpoint and then promulgate to other devices. Another concern that this paper highlights is the need to limit access to authorized individuals. HaH deployments involve using hospital-grade medical devices in patient’s home environments that have not been designed to host sensitive systems or devices such as medical devices. This paper discusses identity and access controls that assure the HDO that health data are only accessed by authorized individuals and devices.  例えば、他の NCCoE ヘルスケア関連プラクティス・ガイドや NIST のガイダンス文書に見られる中核的なテーマは、医療機器と他の環境との間のネットワー ク・セグメンテーションを確保するよう HDO に求めている。ネットワークのセグメンテーションは、脅威行為者がエンドポイントを侵害し、他のデバイスに拡散する能力を阻害する。本稿が強調するもう一つの懸念は、アクセスを認可された個人に限定する必要性である。HaHの展開では、医療機器のような機密性の高いシステムや機器をホストするようには設計されていない患者の家庭環境で、病院仕様の医療機器を使用することになる。本稿では、健康データが認可された個人および機器によってのみアクセスされることをHDOに保証するIDおよびアクセス管理者について論じる。
HaH is a new mode of care delivery that may improve patient outcomes. HaH allows patients to access the same level of care found in an in-patient setting while in the comfort of their own homes. By implementing the safeguards suggested in this paper, HDOs will reduce their risk profile while providing a valued service to their patients. HaHは、患者の転帰を改善する可能性のある新しいケア提供形態である。HaHにより、患者は快適な自宅にいながら、入院患者と同じレベルのケアを受けることができる。本稿で提案するセーフガードを導入することで、HDOは患者に価値あるサービスを提供しながら、リスクプロファイルを軽減することができる。

 

 

 

| | Comments (0)

米国 NIST CSWP 36c (初期公開ドラフト) 一時的な ID の再割り当て: 5Gサイバーセキュリティとプライバシー機能の適用 (2024.11.06)

こんにちは、丸山満彦です。

米国 NIST CSWP 36c (初期公開ドラフト) 一時的な ID の再割り当て: 5Gサイバーセキュリティとプライバシー機能の適用が公表され、コメントの募集が行われております。

対象は、

  • 5G対応サービスや製品の使用者
  • マネージドサービス・プロバイダー
  • プロバイダに関わる技術者
  • サイバーセキュリティ、プライバシーの専門家

これには、

  • 商用モバイルネットワーク事業者
  • 潜在的な民間5Gネットワーク事業者
  • エンドユーザー組織

が含まれるとのこと...

 

● NIST - ITL

・2024.11.06 NIST CSWP 36C (Initial Public Draft) Reallocation of Temporary Identities: Applying 5G Cybersecurity and Privacy Capabilities

 

NIST CSWP 36C (Initial Public Draft) Reallocation of Temporary Identities: Applying 5G Cybersecurity and Privacy Capabilities NIST CSWP 36C(初期公開ドラフト) 一時的な ID の再割り当て: 5Gサイバーセキュリティとプライバシー機能の適用
Announcement 発表
5G technology for broadband cellular networks will significantly improve how humans and machines communicate, operate, and interact in the physical and virtual world. 5G provides increased bandwidth and capacity, and low latency. However, professionals in fields like technology, cybersecurity, and privacy are faced with safeguarding this technology while its development, deployment, and usage are still evolving. ブロードバンド携帯電話ネットワーク向けの5G技術は、物理世界と仮想世界における人間と機械のコミュニケーション、操作、相互作用の方法を大幅に改善する。5Gは帯域幅と容量を拡大し、低遅延を提供する。しかし、技術、サイバーセキュリティ、プライバシーなどの分野の専門家は、その開発、展開、利用がまだ発展途上である中、この技術を保護することに直面している。
TTo help, the NIST National Cybersecurity Center of Excellence (NCCoE) has launched the Applying 5G Cybersecurity and Privacy Capabilities white paper series. The series targets technology, cybersecurity, and privacy program managers within commercial mobile network operators, potential private 5G network operators, and organizations using and managing 5G-enabled technology who are concerned with how to identify, understand, assess, and mitigate risk for 5G networks. In the series we provide recommended practices and illustrate how to implement them. All of the capabilities featured in the white papers have been demonstrated on the NCCoE testbed on commercial-grade 5G equipment . これを支援するため、NIST国立サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)は、Applying 5G Cybersecurity and Privacy Capabilitiesホワイトペーパー・シリーズを立ち上げた。このシリーズは、商用モバイルネットワーク事業者、潜在的な民間の5Gネットワーク事業者、および5G対応技術を使用・管理している組織の技術、サイバーセキュリティ、プライバシーのプログラム管理者を対象としており、5Gネットワークのリスクを特定、理解、アセスメント、緩和する方法を懸念している。このシリーズでは、推奨プラクティスを提供し、その実装方法を説明する。ホワイトペーパーで紹介されているすべての機能は、商用グレードの5G機器上のNCCoEテストベッドで実証されている。
We are pleased to announce the availability of the fourth white paper in the series:  この度、シリーズ第4弾のホワイトペーパーが公開された: 
Reallocation of Temporary Identities — This publication provides additional details regarding how 5G protects subscriber identities (IDs). It focuses on how the network reallocates temporary IDs to protect users from being identified and located by an attacker. Unlike previous generations of cellular systems, new requirements in 5G explicitly define when the temporary ID must be reallocated (refreshed), which is explained in the document. 一時的なIDの再割り当て - 本書は、5Gが加入者のIDをどのように保護するかについて、さらなる詳細を提供するものである。このホワイトペーパーでは、ネットワークがどのように一時的なIDを再割り当てし、攻撃者によるユーザーの特定や位置特定からユーザーを保護するかに焦点を当てている。前世代の携帯電話システムとは異なり、5Gの新しい要件では、一時IDを再割り当て(リフレッシュ)するタイミングが明示的に定義されており、本書ではこれについて説明している。
Abstract 概要
This white paper is part of a series called Applying 5G Cybersecurity and Privacy Capabilities, which covers 5G cybersecurity- and privacy-supporting capabilities that were implemented as part of the 5G Cybersecurity project at the National Cybersecurity Center of Excellence (NCCoE). This white paper provides additional details regarding how 5G protects subscriber identities (IDs). It focuses on how the network reallocates temporary IDs to protect users from being identified and located by an attacker. Unlike previous generations of cellular systems, new requirements in 5G explicitly define when the temporary ID must be reallocated (refreshed). 5G network operators should be aware of how this standards-defined security capability protects their users and subscribers. Operators should ensure that their 5G technologies are refreshing temporary identities as described in the 5G standards. このホワイトペーパーは、5Gサイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)の5Gサイバーセキュリティ・プロジェクトの一環として実装された、5Gサイバーセキュリティとプライバシーをサポートする機能を取り上げた「Applying 5G Cybersecurity and Privacy Capabilities」というシリーズの一部である。このホワイトペーパーでは、5Gが加入者のIDをどのように保護するかについて、さらに詳しく説明している。このホワイトペーパーでは、ネットワークがどのように一時的なIDを再割り当てし、ユーザーを攻撃者による識別や位置特定から保護するかに焦点を当てている。前世代の携帯電話システムとは異なり、5Gの新しい要件では、一時IDをいつ再割り当て(リフレッシュ)しなければならないかが明確に定義されている。5Gネットワーク事業者は、この標準定義のセキュリティ機能がどのようにユーザーと加入者を保護するかを認識しておく必要がある。事業者は、自社の5G技術が5G標準に記述されているように一時的IDをリフレッシュしていることを確認すべきである。

 

 

・[PDF] CSWP.36C.ipd

20241113-165345

 

 

Overview 概要
5G networks don’t associate subscribers by their names. Instead, they use a permanent identifier called the Subscription Permanent Identifier (SUPI) for managing each subscription. The SUPI is written into the Subscriber Identity Module (SIM) provided by the subscriber’s network operator. The operator also stores the SUPI in the operator’s subscriber database (UDM) as part of the provisioning of the subscriber’s services.  5Gネットワークは、加入者を名前では関連付けない。その代わりに、各加入を管理するために加入永久識別子(SUPI)と呼ばれる永久識別子を使用する。SUPIは加入者のネットワーク事業者が提供する加入者識別モジュール(SIM)に書き込まれる。オペレータはまた、加入者のサービスのプロビジョニングの一部として、オペレータの加入者データベース(UDM)にSUPIを格納する。
When a mobile device connects to a 5G network for the first time, it uses its SUPI to establish the connection. During the connection process (also referred to as “registration” in technical specifications), a temporary identifier called the 5G Globally Unique Temporary UE Identity (5G-GUTI) is calculated by the network, then associated with and stored within the user equipment (UE)—the mobile device and its SIM. All subsequent signaling communication between the network and the device leverages the temporary ID (5G-GUTI) instead of the permanent ID (SUPI). モバイルデバイスが初めて5Gネットワークに接続する際、SUPIを使用して接続を確立する。接続プロセス(技術仕様では「登録」とも呼ばれる)の間に、5G Globally Unique Temporary UE Identity(5G-GUTI)と呼ばれる一時的な識別子がネットワークによって計算され、その後、ユーザー機器(UE)(モバイル機器とそのSIM)に関連付けられ、その中に格納される。その後のネットワークとデバイス間のすべてのシグナリング・コミュニケーションは、永久ID(SUPI)の代わりに一時ID(5G-GUTI)を利用する。
What’s the problem?  何が問題なのか?
Changing or refreshing the temporary IDs with new values, also known as reallocation, supports user privacy by making it hard for malicious actors to track a specific device. In 4G networks, operators chose the frequency of reallocating devices’ temporary IDs (GUTIs). It was subsequently discovered that many networks did not refresh the temporary IDs often enough, which caused them to become quasi-permanent.1  This led to increased cybersecurity and privacy risks for 3G and 4G network subscribers.2 For example, a malicious actor could passively collect GUTIs and use them for verifying a subscriber’s presence in a certain area or for revealing their past movements in that area and enabling tracking of their future movements.3,4  Tracking subscriber movement can result in subscriber loss of trust in the networks and related consequences for an operator (e.g., loss of reputation).  一時IDを新しい値で変更または更新すること(再割り当てとも呼ばれる)は、悪意のあるアクターが特定のデバイスを追跡することを困難にすることで、ユーザーのプライバシーをサポートする。4Gネットワークでは、通信事業者はデバイスの一時ID(GUTI)を再割り当てする頻度を選択した。このため、3Gおよび4Gネットワーク加入者のサイバーセキュリティおよびプライバシーのリスクが増大した2。例えば、悪意のある行為者はGUTIを受動的に収集し、加入者が特定のエリアに存在するかどうかを確認するため、またはそのエリアでの過去の動きを明らかにし、将来の動きを追跡できるようにするために使用することができる3,4 加入者の動きを追跡すると、加入者がネットワークに対する信頼を失い、事業者に関連する結果(評判の低下など)をもたらす可能性がある。
How do the 5G standards address the problem?  5G標準はこの問題にどのように対処しているのか?
The 5G standards starting with 3GPP release 15 in 2019 require all 5G networks to reallocate 5G-GUTIs often. It’s no longer completely left up to individual operators to determine and implement an appropriate frequency; it’s mandatory to reallocate the 5G-GUTI based on certain events associated with a specific user. The reallocation process of 5G-GUTIs decreases the link between a subscriber and their phone’s identifiers, which makes the tracking of the subscriber’s movements more difficult and protects the subscriber’s activities from exposure.⁵  This increases the overall privacy protections in the system by supporting the objective of disassociability. 2019年の3GPPリリース15から始まる5G標準では、すべての5Gネットワークが5G-GUTIを頻繁に再割り当てすることが求められている。適切な周波数を決定し実装することは、もはや完全に個々の事業者に任されているのではなく、特定のユーザーに関連する特定のイベントに基づいて5G-GUTIを再割り当てすることが義務付けられている。5G-GUTIの再割り当てプロセスは、加入者とその携帯電話の識別子の間のリンクを減少させ、加入者の動きの追跡をより困難にし、加入者の活動をエクスポージャーから保護する。
Figure 1 is a simplified version of the 5G architecture that shows the components involved in 5G-GUTI allocation (from a SUPI context) and reallocation (from a 5G-GUTI context), with all other components omitted. The UE comprises a SIM and a mobile handset. There is a wireless link between the UE and the Radio Access Network (RAN). On the other side, the RAN is connected to the Core Network (CN) via backhaul traffic transport. The green highlighted UE identifiers are shown either stored at the related component or flowing over the signaling paths. Note that SUPI is encrypted into a Subscription Concealed Identifier (SUCI) while it is signaled from the  図 1 は、5G-GUTI の割り当て(SUPI コンテキストから)と再割り当て(5G-GUTI コンテキストから)に関係するコンポーネントを示す 5G アーキテクチャの簡略版であり、その他のコンポーネントはすべて省略されている。UEはSIMとモバイル・ハンドセットから構成される。UEと無線アクセス・ネットワーク(RAN)の間には無線リンクがある。もう一方のRANは、バックホール・ トラフィック伝送を介してコア・ネットワーク(CN)に接続されている。緑色でハイライトされた UE 識別子は、関連するコンポーネントに保存されているか、またはシグナリング経路を流れて いることを示している。SUPIは、UEからCN⁶にシグナリングされる間に、Subscription Concealed Identifier(SUCI)に暗号化されることに注意してください。
UE to CN⁶. During initial registration and authentication, the Access and Mobility Management Function (AMF), Authentication Server Function (AUSF), and Unified Data Management (UDM) are involved in SUCI to SUPI translation. The AMF sets up a local 5G-GUTI to SUPI context during the full authentication procedure (shown as [SUPI context] in figure). Afterwards, the 5G-GUTI reallocations are managed by AMF (also called serving AMF).  UEからCN⁶にシグナルが送られる間、SUPIはSubscription Concealed Identifier(SUCI)に暗号化される。最初の登録と認証の間、アクセス&モビリティ管理機能(AMF)、認証サーバ機能(AUSF)、および統合データ管理(UDM)がSUCIからSUPIへの変換に関与する。AMFは、完全な認証手順の間に、ローカルの5G-GUTIからSUPIへのコンテキストを設定する(図では[SUPIコンテキスト]として示されている)。その後、5G-GUTIの再割り当てはAMF(サービングAMFとも呼ばれる)によって管理される。
Figure  1. 5G architecture components involved in the temporary ID reallocation capability 図 1. 一時的 ID 再割り当て機能に関係する 5G アーキテクチャ・コンポーネント
How can I use reallocation of temporary IDs?  一時的なIDの再割り当てはどのように利用できるか? 
5G network functions compliant with 3GPP release 15 or later are required to support the mandatory reallocation of the 5G-GUTI based on certain events associated with a specific user: paging, initial registration, and mobility registration update procedures. The network can be configured to also allocate a new 5G-GUTI after each service request and the periodic registration update of the UE.  3GPPリリース15以降に準拠する5Gネットワーク機能は、特定のユーザーに関連する特定のイベント(ページング、初期登録、モビリティ登録更新手順)に基づく5G-GUTIの強制的な再割り当てをサポートする必要がある。ネットワークは、各サービス要求およびUEの定期的な登録更新後に、新しい5G-GUTIを割り当てるように構成することもできる。
Network operators are encouraged to coordinate with their 5G equipment vendors to verify that the 5G-GUTIs in their network are reallocated when one of the above-mentioned scenarios occurs.  ネットワーク事業者は、上記のシナリオのいずれかが発生した場合に、ネットワーク内の5G-GUTIが再割り当てされることを確認するために、5G機器ベンダーと調整することが推奨される。
Organizations using 5G technologies are encouraged to understand how this capability can mitigate cybersecurity and privacy risks and to check with their service provider to ensure that 5G-GUTIs are reallocated as expected.  5G技術を使用する組織は、この機能がサイバーセキュリティとプライバシーのリスクをどのように軽減できるかを理解し、5G-GUTIが期待通りに再割り当てされることを確認するために、サービスプロバイダに確認することが推奨される。
What else should I know about reallocation of temporary IDs?  一時IDの再割り当てについて他に知っておくべきことは?
Figure 2 shows all of the subscriber or UE related identities. The 5G-GUTI is assigned and maintained by the serving AMF, which may or may not be in the subscriber’s home network (i.e. UE may be in a visited network in roaming cases). The 5G-GUTI consists of the identity of the mobile user’s home network, i.e., Mobile Country Code (MCC) and Mobile Network Code (MNC), the AMF Identifier, and the 5G-Temporary Mobile Subscriber Identity (5G-TMSI). For completeness, it also shows a permanent identifier associated with the mobile handset itself called the International Mobile station Equipment Identity (IMEI), which may be used to make emergency calls if the SIM is not available.  図 2 は、加入者または UE に関連するすべての ID を示している。5G-GUTIはサービングAMFによって割り当てられ、維持される。AMFは加入者のホーム・ネットワークにある場合もあれば、ない場合もある(つまり、UEはローミングの場合、訪問先のネットワークにある場合がある)。5G-GUTIは、モバイル・ユーザのホーム・ネットワークの識別、すなわち移動国コード(MCC)および移動ネットワーク・コード(MNC)、AMF識別子、および5G-Temporary Mobile Subscriber Identity(5G-TMSI)で構成される。完全性を期すため、IMEI(International Mobile Station Equipment Identity)と呼ばれる携帯端末自体に関連付けられた恒久的な識別子も示されており、これはSIMが利用できない場合に緊急電話をかけるために使用される可能性がある。
1. Byeongdo Hong et al., “GUTI Reallocation Demystified: Cellular Location Tracking with Changing Temporary Identifier,” NDSS ’18. Available: https://www.ndss-symposium.org/wp-content/uploads/2018/02/ndss2018_02A-4_Hong_paper.pdf 1. Byeongdo Hong他、"GUTI Reallocation Demystified: GUTI Reallocation Demystified: Cellular Location Tracking with Changing Temporary Identifier" NDSS '18. 利用可能: https://www.ndss-symposium.org/wp-content/uploads/2018/02/ndss2018_02A-4_Hong_paper.pdf
²  Locate UE: 5G-GUTI reuse. https://fight.mitre.org/techniques/FGT5012.003   ² UEの位置特定: 5G-GUTIの再利用。https://fight.mitre.org/techniques/FGT5012.003。 
³  A. Shaik et al., “Practical Attacks Against Privacy and Availability in 4G/LTE Mobile Communication Systems,” NDSS ’16, San Diego, California, February 21-24, 2016. Available: https://arxiv.org/pdf/1510.07563.pdf  3. A. Shaik 他, 「Practical Attacks Against Privacy and Availability in 4G/LTE Mobile Communication Systems,」 NDSS '16, San Diego, California, February 21-24, 2016. 利用可能:https://arxiv.org/pdf/1510.07563.pdf 
⁴  Cichonski JA, Franklin JM, Bartock MJ (2016) Guide to LTE Security. (National Institute of Standards and Technology, Gaithersburg, MD), NIST Special Publication (SP) 800-187. https://doi.org/10.6028/NIST.SP.800-187  ⁴ Cichonski JA, Franklin JM, Bartock MJ (2016) Guide to LTE Security. (National Institute of Standards and Technology, Gaithersburg, MD), NIST 特別刊行物 (SP) 800-187. https://doi.org/10.6028/NIST.SP.800-187. 
⁵  The NIST “Catalogue of Problematic Data Actions and Problems” provides examples of problematic data actions and problems that individuals could experience as the result of data processing or their interactions with systems, products, or services. This catalogue describes surveillance, induced disclosure, and loss of trust. NIST 「Catalogue of Problematic Data Actions and Problems」 は、データ処理やシステム、製品、サービスとの相互作用の結果として個人が経験する可能性のある、問題のあるデータ・アクションや問題の例を提供している。このカタログでは、監視、誘導開示、信頼の喪失について記述されている。
⁶  Bartock M. et al. (2024) “Protecting Subscriber Identifiers with Subscription Concealed Identifier.”  Available: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.36A.ipd.pdf
Bartock M. et al. (2024) 「Protecting Subscriber Identifiers with Subscription Concealed Identifier」. Available: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.36A.ipd.pdf

 

 


 

まるちゃんの情報瀬セキュリティ気まぐれ日記

・2024.10.09 米国 NIST NIST CSWP 36B(初期公開草案) ハードウェア対応セキュリティによる5Gシステムプラットフォームの完全性の確保:5Gのサイバーセキュリティおよびプライバシー機能の適用

・2024.08.16 米国 NIST CSWP 36 5Gのサイバーセキュリティとプライバシー機能の適用:ホワイトペーパーシリーズ序文、36A Subscription Concealed Identifier(SUCI)による加入者識別子の保護

 

 

| | Comments (0)

2024.11.13

Five Eyes 日常的に悪用される脆弱性のトップ15 2023、上位の脆弱性の大半はゼロデイ (2024.11.12)

こんにちは、丸山満彦です。

Five eyesが昨年(2023)悪用された脆弱性トップ15を公表しましたね...上位の脆弱性の大半はゼロデイだったそうです...

セキュリティ対応者はそれを意識した対策や運用の見直し等が必要となるかもですね...

 

英国

NSCS-UK

プレス...

・2024.11.12 UK and allies warn about shift in cyber attackers exploiting zero-day vulnerabilities

UK and allies warn about shift in cyber attackers exploiting zero-day vulnerabilities 英国と同盟国、ゼロデイ脆弱性を悪用するサイバー攻撃者の変化を警告する
NCSC and international partners share top 15 vulnerabilities that were routinely exploited by cyber attackers last year. NCSCと国際パートナーは、昨年サイバー攻撃者に日常的に悪用された脆弱性のトップ15を発表した。
・Majority of top vulnerabilities were first exploited as zero-days allowing malicious actors to compromise higher-priority targets ・上位脆弱性の大半はゼロデイとして初めて悪用され、悪意ある行為者はより優先順位の高い標的を侵害できるようになった。
・Network defenders and technology developers called upon to play their part in reducing the risk of compromise ・ネットワーク防御者と技術開発者は、侵害のリスクを低減するために自らの役割を果たすよう求められている。
The UK and international allies have issued an alert today (Tuesday) showing an increase in cyber attackers initially exploiting previously unknown vulnerabilities to compromise enterprise networks. 英国および国際的な同盟国は本日(火曜日)、エンタープライズ・ネットワークを侵害するために、これまで知られていなかった脆弱性を最初に悪用するサイバー攻撃者が増加していることを示す警告を発表した。
In a new advisory, the National Cyber Security Centre (NCSC) – a part of GCHQ – alongside partners in Australia, Canada, New Zealand and the United States, shared a list of the top 15 routinely exploited vulnerabilities of 2023. GCHQの一部であるナショナル・サイバー・セキュリティ・センター(NCSC)は、オーストラリア、カナダ、ニュージーランド、米国のパートナーとともに、新しい勧告の中で、2023年に日常的に悪用される脆弱性のトップ15のリストを共有した。
Of these vulnerabilities, the majority were first exploited as zero-days – weaknesses that were recently discovered and where a fix or patch was not immediately available from the vendor – allowing attackers to conduct cyber operations against higher-priority targets. これらの脆弱性のうち、大半はゼロデイ(最近発見された脆弱性で、ベンダーから修正プログラムやパッチがすぐに提供されないもの)として最初に悪用されたもので、攻撃者はより優先順位の高い標的に対してサイバー作戦を行うことができる。
This trend, which the NCSC has continued to observe into 2024, marks a shift from 2022 when less than half of the top list was initially exploited as zero-day vulnerabilities. NCSCが2024年まで継続して観測しているこの傾向は、ゼロデイ脆弱性として最初に悪用された脆弱性が上位リストの半分以下であった2022年からの変化を示している。
The advisory strongly encourages enterprise network defenders to maintain vigilance with their vulnerability management processes, including applying all security updates in a timely manner and ensuring they have identified all assets in their estates. この勧告は、エンタープライズ・ネットワークの防御者に対し、すべてのセキュリティ・アップデートをタイムリーに適用し、資産内のすべての資産を確実に特定するなど、脆弱性管理プロセスへの警戒を維持するよう強く奨励している。
It also calls on technology vendors and developers to follow advice on implementing secure-by-design principles into their products to help reduce the risk of vulnerabilities being introduced at source and being exploited later. また、技術ベンダーや開発者に対し、セキュア・バイ・デザインの原則を製品に導入することで、脆弱性がソースから侵入し、後に悪用されるリスクを低減するためのアドバイスに従うよう求めている。
Ollie Whitehouse, NCSC Chief Technology Officer, said: NCSCの最高技術責任者(CTO)であるオリー・ホワイトハウス氏は、次のように述べている:
“More routine initial exploitation of zero-day vulnerabilities represents the new normal which should concern end-user organisations and vendors alike as malicious actors seek to infiltrate networks.   「ゼロデイ脆弱性がより日常的に悪用されるようになることは、悪意ある行為者がネットワークへの侵入を試みる中で、エンドユーザー組織とベンダーが同様に懸念すべき新たな常態を代表するものである。 
“To reduce the risk of compromise, it is vital all organisations stay on the front foot by applying patches promptly and insisting upon secure-by-design products in the technology marketplace.  「侵害のリスクを低減するためには、すべての組織がパッチを迅速に適用し、技術市場でセキュア・バイ・デザインの製品にこだわることで、最前線に立ち続けることが不可欠である。
“We urge network defenders to be vigilant with vulnerability management, have situational awareness in operations and call on product developers to make security a core component of product design and life-cycle to help stamp out this insidious game of whack-a-mole at source”.  「我々は、ネットワーク防御者が脆弱性管理に警戒し、運用において状況認識を持ち、製品開発者が製品設計とライフサイクルの中核にセキュリティを据えるよう呼びかけ、この陰湿なモグラ叩きゲームを根絶することを支援する。
All vulnerabilities listed have had patches and fixes made available from the vendors to help mitigate the risk of compromise.  リストアップされた脆弱性はすべて、侵害のリスクを軽減するためのパッチや修正プログラムがベンダーから提供されている。
In the case of zero-day vulnerabilities, where exploitation is rife it is vital organisations have a process in place to install vendor updates at pace after they become available to minimise the opportunity for attackers. 悪用が横行するゼロデイ脆弱性の場合、攻撃者の機会を最小化するために、ベンダーのアップデートが利用可能になった後、迅速にインストールするプロセスを組織が持つことが重要である。
In addition to the top list, the advisory also details a further 32 vulnerabilities that were routinely exploited in 2023. この勧告では、トップリストに加え、2023年に日常的に悪用された32の脆弱性についても詳述している。
If mitigation steps have not already been taken, network defenders should follow vendor advice in each case and check for indicators of compromise before applying updates. 低減策がまだ講じられていない場合、ネットワーク防御者は、それぞれのケースでベンダーのアドバイスに従い、アップデートを適用する前に侵害の兆候をチェックすべきである。
This advisory has been jointly published by: 本アドバイザリは以下の団体により共同発表された:
NCSC NCSC
US Cybersecurity and Infrastructure Security Agency (CISA) 米国サイバーセキュリティ・インフラセキュリティ庁(CISA)
US Federal Bureau of Investigation (FBI) 米国連邦捜査局(FBI)
US National Security Agency (NSA) 米国国家安全保障局(NSA)
Australian Signals Directorate’s Australian Cyber Security Centre (ACSC), オーストラリア信号総局のオーストラリア・サイバー・セキュリティ・センター(ACSC)
Canadian Centre for Cyber Security (CCCS) カナダ・サイバー・セキュリティ・センター(CCCS)
New Zealand National Cyber Security Centre (NCSC-NZ) ニュージーランド国家サイバーセキュリティセンター(NCSC-NZ)
Computer Emergency Response Team New Zealand (CERT NZ) ニュージーランド・コンピュータ緊急対応チーム(CERT NZ)

 

 

米国

 ● CISA

プレス...

・2024.11.12 2023 Top Routinely Exploited Vulnerabilities

2023 Top Routinely Exploited Vulnerabilities 2023 日常的に悪用される脆弱性のトップ
Alert Code: AA24-317A アラートコード AA24-317A
Summary 概要
The following cybersecurity agencies coauthored this joint Cybersecurity Advisory (hereafter collectively referred to as the authoring agencies): 以下のサイバーセキュリティ機関は、この共同サイバーセキュリティ勧告を共同作成した(以下、これらをまとめて認可機関と呼ぶ):
United States: The Cybersecurity and Infrastructure Security Agency (CISA), the Federal Bureau of Investigation (FBI), and National Security Agency (NSA) 米国: サイバーセキュリティ・インフラセキュリティ庁(CISA)、連邦捜査局(FBI)、国家安全保障局(NSA)。
Australia: Australian Signals Directorate’s Australian Cyber Security Centre (ACSC) オーストラリア:オーストラリア信号総局のオーストラリア・サイバー・セキュリティ・センター(ACSC)
Canada: Canadian Centre for Cyber Security (CCCS) カナダ:カナダ・サイバー・セキュリティ・センター(CCCS)
New Zealand: New Zealand National Cyber Security Centre (NCSC-NZ) and Computer Emergency Response Team New Zealand (CERT NZ) ニュージーランド:ニュージーランド国家サイバーセキュリティセンター(NCSC-NZ)およびコンピュータ緊急対応チームニュージーランド(CERT NZ)
United Kingdom: National Cyber Security Centre (NCSC-UK) 英国:ナショナル・サイバー・セキュリティ・センター(NCSC-UK)
This advisory provides details, collected and compiled by the authoring agencies, on the Common Vulnerabilities and Exposures (CVEs) routinely and frequently exploited by malicious cyber actors in 2023 and their associated Common Weakness Enumerations (CWEs). Malicious cyber actors exploited more zero-day vulnerabilities to compromise enterprise networks in 2023 compared to 2022, allowing them to conduct operations against high priority targets. 本アドバイザリは、2023年に悪意のあるサイバー行為者によって日常的かつ頻繁に悪用される共通脆弱性エクスポージャー(CVEs)と、それらに関連する共通脆弱性列挙(CWEs)について、認可機関によって収集・編集された詳細を提供する。悪意のあるサイバー攻撃者は、2022年と比較して2023年にはより多くのゼロデイ脆弱性を悪用してエンタープライズ・ネットワークを侵害し、優先順位の高い標的に対して作戦を実施することを可能にした。
The authoring agencies strongly encourage vendors, designers, developers, and end-user organizations to implement the following recommendations, and those found within the Mitigations section of this advisory, to reduce the risk of compromise by malicious cyber actors. 認可機関は、ベンダー、設計者、開発者、およびエンドユーザ組織が、悪意のあるサイバー行為者による侵害のリスクを低減するために、以下の推奨事項および本アドバイザリの低減セクションに記載されている事項を実施することを強く推奨する。
Vendors, designers, and developers. Implement secure by design and default principles and tactics to reduce the prevalence of vulnerabilities in your software. ベンダー、設計者、開発者:セキュア・バイ・デザインおよびデフォルトの原則と戦術を導入し、ソフトウェアの脆弱性の蔓延を減らす。
・Follow the SP 800-218 Secure Software Development Framework (SSDF) and implement secure by design practices into each stage of the software development life cycle (SDLC). Establish a coordinated vulnerability disclosure program that includes processes to determine root causes of discovered vulnerabilities
.
SP 800-218 セキュアソフトウェア開発フレームワーク(SSDF)に従い、ソフトウェア開発ライフサイクル(SDLC)の各段階にセキュアバイデザインの手法を導入する。発見された脆弱性の根本原因を特定するプロセスを含む、協調的な脆弱性開示プログラムを確立する。
Prioritize secure by default configurations, such as eliminating default passwords and not requiring additional configuration changes to enhance product security. ・デフォルトのパスワードをなくし、製品のセキュリティを強化するための追加的な設定変更を要求しないなど、デフォルト設定による安全性を優先する
・Ensure that published CVEs include the proper CWE field, ide・ntifying the root cause of the vulnerability. 公開されたCVEに、脆弱性の根本原因を特定する適切なCWEフィールドが含まれるようにする。
End-user organizations: エンドユーザ組織
・Apply timely patches to systems. ・システムに適時パッチを適用する。
Note: If CVEs identified in this advisory have not been patched, check for signs of compromise before patching. 注:本アドバイザリで識別されたCVEにパッチが適用されていない場合、パッチを適用する前に侵害の兆候がないか確認する。
・Implement a centralized patch management system. ・一元的なパッチ管理システムを導入する。
・Use security tools such as endpoint detection and response (EDR), web application firewalls, and network protocol analyzers. ・エンドポイント検知・応答(EDR)、Webアプリケーションファイアウォール、ネットワークプロトコルアナライザなどのセキュリティツールを使用する。
・Ask your software providers to discuss their secure by design program, provide links to information about how they are working to remove classes of vulnerabilities, and to set secure default settings. ・ソフトウェアプロバイダに、セキュア・バイ・デザイン・プログラムについ て説明し、脆弱性クラスの除去にどのように取り組んでいるかについての情報 へのリンクを提供し、安全なデフォルト設定を行うよう求める。
Purpose 目的
The authoring agencies developed this document in furtherance of their respective cybersecurity missions, including their responsibilities to develop and issue cybersecurity specifications and mitigations. 認可機関は、サイバーセキュリティ仕様および低減を策定し発行する責任を含む、それぞれのサイバーセ キュリティの使命を推進するために本文書を策定した。

 

・[PDF] AA24-317A 2023 Top Routinely Exploited Vulnerabilities

20241113-12007

 

Top15

CVE-2023-3519 Citrix NetScaler ADC 
NetScaler Gateway
Code Injection CWE-94: Improper Control of Generation of Code ('Code Injection')
CVE-2023-4966 Citrix NetScaler ADC 
NetScaler Gateway
Buffer Overflow CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer
CVE-2023-20198 Cisco IOS XE Web UI Privilege Escalation CWE-420: Unprotected Alternate Channel
CVE-2023-20273 Cisco IOS XE Web UI Command Injection CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
CVE-2023-27997 Fortinet FortiOS 
FortiProxy SSL-VPN
Heap-Based Buffer Overflow CWE-787: Out-of-bounds Write
CWE-122: Heap-based Buffer Overflow
CVE-2023-34362 Progress MOVEit Transfer SQL Injection CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
CVE-2023-22515 Atlassian Confluence Data Center and Server Broken Access Control CWE-20 Improper Input Validation
CVE-2021- 44228
(Log4Shell)
Apache Log4j2 Remote Code Execution (RCE) CWE-917 Improper Neutralization of Special Elements used in an Expression Language Statement ('Expression Language Injection')
CWE-502: Deserialization of Untrusted Data
CWE-20 Improper Input Validation
CWE-400 Uncontrolled Resource Consumption
CVE-2023-2868 Barracuda Networks ESG Appliance Improper Input Validation CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection')
CWE-20: Improper Input Validation
CVE-2022-47966 Zoho ManageEngine Multiple Products Remote Code Execution CWE-20 Improper Input Validation
CVE-2023-27350 PaperCut MF/NG Improper Access Control CWE-284: Improper Access Control
CVE-2020-1472 Microsoft Netlogon Privilege Escalation CWE-330: Use of Insufficiently Random Values
CVE-2023-42793 JetBrains TeamCity Authentication Bypass CWE-288: Authentication Bypass Using an Alternate Path or Channel
CVE-2023-23397 Microsoft Office Outlook Privilege Escalation CWE-294: Authentication Bypass by Capture-replay
CWE-20: Improper Input Validation
CVE-2023-49103 ownCloud graphapi Information Disclosure CWE-200 Exposure of Sensitive Information to an Unauthorized Actor

 

 

| | Comments (0)

CSA 重要インフラのためのゼロトラストガイダンス (2024.10.28)

こんにちは、丸山満彦です。

Cloud Security Alliance; CSAが、重要インフラのためのゼロトラストガイダンスを公表していますね...

OT/ICS環境を意識していますね...

参考になるところは多いと思います...

 

● Cloud Security Alliance ; CSA

・2024.10.28 Zero Trust Guidance for Critical Infrastructure

 

Zero Trust Guidance for Critical Infrastructure 重要インフラのためのゼロトラストガイダンス
In most nations, the health of public services relies on secure and resilient Critical Infrastructure. We call these infrastructures "critical" because their destruction would have a drastic impact on the welfare of a nation. This publication promotes the implementation of Zero Trust principles for securing Critical Infrastructure. As an extensible and holistic enterprise security strategy, Zero Trust is the key for ensuring Critical Infrastructure protection.  ほとんどの国では、公共サービスの健全性は、安全でレジリエンスの高い重要インフラに依存している。これらのインフラを「重要」と呼ぶのは、その破壊が国家の福祉に劇的な影響を与えるからである。本書は、重要インフラの安全性を確保するための ゼロトラスト原則の導入を促進するものである。拡張可能で総合的なエンタープライズ・セキュリティ戦略として、 ゼロトラストは重要インフラの保護を確実にする鍵である。
More specifically, this document delves into the nuanced application of Zero Trust for Operational Technology and Industrial Control Systems security strategies. First, it clarifies the foundational concepts of Zero Trust. Then, it provides a tailored roadmap for implementing these principles into Operational Technology and Industrial Control Systems settings. This roadmap employs a systematic five-step approach based on the NSTAC Report to the President on Zero Trust. より具体的には、本書は、運用技術と産業制御システムのセキュリティ戦略におけるゼロトラストの微妙な適用について掘り下げている。まず、 ゼロトラストの基本概念を明確にする。次に、これらの原則をオペレーショナルテクノロジーと産業用制御システムの設定に導入するためのロードマップを提供する。このロードマップは、 ゼロトラストに関するNSTACの大統領報告書に基づく体系的な5段階のアプローチを採用している。
By leveraging this guidance, organizations will find a clear forward-looking path for continuous improvement of their security postures. このガイダンスを活用することで、組織は、セキュリティ体制を継続的に改善するための明確で前向きな道筋を見出すことができる。
Key Takeaways: 主な要点
・Unique security risks and threat vectors for Critical Infrastructure ・重要インフラ特有のセキュリティリスクと脅威のベクトル
・How Operational Technology converges with digital transformation ・オペレーショナル・テクノロジーとデジタルトランスフォーメーションの融合
・Differences in objectives and architecture of Operational Technology vs traditional Information Technology ・オペレーショナル・テクノロジーと従来の情報テクノロジーの目的とアーキテクチャの違い
・Review of the five-step implementation process for Zero Trust ・ゼロトラストのための5段階の実装プロセスのレビュー
・How to apply the five-step process to Industrial Controls Systems and Operational Technology security ・5ステッププロセスを産業制御システムとオペレーショナル・テクノロジーのセキュリティに適用する方法
・How vendors are building Zero Trust capabilities into new technology ・ベンダーはどのように ゼロトラスト機能を新しいテクノロジーに組み込んでいるか

 

20241113-02741

 

目次...

Acknowledgments 謝辞
Abstract 概要
Target Audience 対象読者
Introduction 序文
Goal 目標
Document Scope 文書の範囲
What Is Zero Trust? ゼロトラストとは何か?
Executive Summary エグゼクティブサマリー
Critical Infrastructure Sectors 重要インフラ部門
Survey of Global Critical Infrastructure Sectors 世界の重要インフラ部門の調査
ZT in CI and OT/ICS Environments CIおよびOT/ICS環境におけるZT
Unique Threat Vectors for Critical Infrastructure 重要インフラ特有の脅威ベクトル
Convergence of OT/IT with Digital Transformation OT/ITとデジタルトランスフォーメーションの融合
Differences in Objectives of OT vs IT OTとITの目的の違い
Differences in Architecture & Technology of OT vs IT OTとITのアーキテクチャとテクノロジーの違い
The Zero Trust Implementation Process ゼロトラストの実装プロセス
The Five-Step Implementation Process 5段階の実装プロセス
Incremental and Iterative Execution インクリメンタルかつ反復的な実行
CISA Zero Trust Maturity Model (ZTMM) CISAの ゼロトラスト成熟度モデル(ZTMM)
ZT Implementation Process for OT/ICS OT/ICSのZT導入プロセス
Step 1: Defining the Protect Surface for OT/ICS ステップ1:OT/ICSの防御面の定義
Step 2: Mapping Operational Flows for OT/ICS ステップ2:OT/ICSの運用フローのマッピング
Step 3: Building a Zero Trust Architecture in OT/ICS ステップ3:OT/ICSにおけるゼロトラストアーキテクチャの構築
Step 4: Creating Zero Trust Policy in OT/ICS ステップ4:OT/ICSにおけるゼロトラストポリシーの作成
Step 5: Ongoing Monitoring and Maintenance Activities in OT/ICS ステップ5:OT/ICSにおける継続的な監視と保守活動
SANS Top 5 Critical Controls in OT/ICS OT/ICS における SANS トップ 5 クリティカルコントロール
Guidance For New OT & ICS Systems 新しい OT および ICS システムのためのガイダンス
Conclusion 結論
Organizational Collaboration and Commitment 組織の協力とコミットメント
Useful Resources 有用なリソース
References 参考文献
Definitions of Acronyms Used in This Paper 本稿で使用した略語の定義
Glossary 用語集

 

 

概要からエグゼクティブサマリーまで...

Abstract 概要
This document delves into the critical and nuanced application of Zero Trust (ZT) principles within Operational Technology (OT) and Industrial Control Systems (ICS). It aims to bridge the gap between traditional information technology (IT) security methodologies and the unique demands of OT/ICS in Critical Infrastructure (CI) sectors. Recognizing the distinct challenges and architectures inherent in these environments, the paper not only clarifies the foundational concepts of ZT but also provides a tailored roadmap for implementing these principles effectively in OT/ICS settings. This roadmap employs a systematic approach from defining Protect Surfaces to continuous monitoring and maintenance based on the five-step process outlined in the NSTAC Report to the President on Zero Trust and Trusted Identity Management, ensuring resilience and security in CI amidst a rapidly evolving digital technology and threat landscape 本書は、運用技術(OT)および産業制御システム(ICS)における ゼロトラスト(ZT)原則の重要かつ微妙な適用について掘り下げている。この文書は、従来の情報技術(IT)セキュリティ方法論と、重要インフラ(CI)分野におけるOT/ICS特有の要求とのギャップを埋めることを目的としている。これらの環境に特有の課題とアーキテクチャを認識した上で、ZTの基本概念を明確にするだけでなく、これらの原則をOT/ICS環境で効果的に実装するためのロードマップを提供する。このロードマップは、「ゼロトラストと信頼されるID管理に関する大統領へのNSTAC報告書」で概説された5段階のプロセスに基づき、防御領域の定義から継続的なモニタリングと保守に至る体系的なアプローチを採用しており、急速に進化するデジタル技術と脅威の状況の中で、CIにおけるレジリエンスとセキュリティを確保する。
Target Audience 対象者
The primary audience is any security professional function, such as: Cybersecurity Architects, Security Engineers, SOC Analysts, ZT Practitioners, Operational Technology (OT) and Industrial Control Systems (ICS) Operators and Engineers, IT personnel, and Executive Stakeholders overseeing ZT strategy and/or Operational Technology 主な対象者は、以下のようなセキュリティ専門機能である: サイバーセキュリティ・アーキテクト、セキュリティ・エンジニア、SOCアナリスト、ZTプラクティショナー、運用技術(OT)および産業制御システム(ICS)のオペレータおよびエンジニア、IT職員のほか、ZT戦略および/または運用技術を監督するエグゼクティブ・ステークホルダーである。
The secondary audience is Chief Information Security Officers (CISOs), Threat Modelers, Incident Managers, Auditors, Business and Operational System Owners, Compliance Officers, Risk Managers, Network Administrators, IT Compliance Analysts, Data Privacy professionals, and vendors producing solutions and technologies in this space 副次的な対象者は、最高情報セキュリティ責任者(CISO)、脅威モデラー、インシデント・マネージャー、監査担当者、ビジネス・運用システム・オーナー、コンプライアンス・オフィサー、リスク・マネージャー、ネットワーク管理者、ITコンプライアンス・アナリスト、データ・プライバシー専門家、およびこの分野のソリューションや技術を提供するベンダーである。
Introduction 序文
Goal 目的
The goal of this paper is to educate the target audience on considerations and application of ZT principles for Critical Infrastructure (such as energy, water, transportation, and healthcare ), with a focus on Operational Technology (OT) and Industrial Control Systems (ICS). This guidance should serve as a tool for communication and collaboration between teams tasked with cybersecurity policies and controls and the system owners and operators of OT and ICS. Securing OT/ICS assets, especially in CI sectors, requires education and collaboration among cross-functional teams 本稿の目的は、対象読者に対して、運用技術(OT)と産業制御システム(ICS)に焦点を当て、重要インフラ(エネルギー、水、輸送、ヘルスケアなど)に対するZT原則の検討と適用について教育することである。このガイダンスは、サイバーセキュリティポリシーと管理を担当するチームと、OT や ICS のシステム所有者や運用者とのコミュニケーションとコラボレーションのためのツールとして役立つはずである。特に CI セクターにおける OT/ICS 資産の安全確保には、部門横断的なチーム間の教育と協力が必要である。
Document Scope 文書の範囲
The scope of this document is centered on operationalizing Zero Trust security frameworks specifically within the Operational Technology (OT) and Industrial Control Systems (ICS) landscapes. It is dedicated to delineating practical strategies and specific methodologies tailored for CI environments. The document offers a detailed examination of the inherent differences between traditional IT and OT/ICS systems, focusing on aspects such as network design, device heterogeneity, and specific security requirements. It then progresses into a step-by-step implementation guide, presenting actionable insights for each stage of deploying a ZT model in these unique settings. This includes specific guidance on identifying critical assets, mapping data flows, constructing a tailored ZT Architecture (ZTA), policy formulation, and the nuances of continuous monitoring within an OT/ICS context. Targeted primarily at security architects, OT/ICS operators, and decision-makers in CI, this document serves as a comprehensive manual for adapting and applying ZT principles in sectors where security is paramount and yet distinctly challenging この文書の範囲は、特にOT(Operational Technology:運用技術)及びICS(Industrial Control Systems:産業制御システム)ランドスケープにおけるゼロトラスト・セキュリティの枠組みの運用を中心とする。この文書は、CI環境に合わせた実践的な戦略と具体的な方法論を明確にすることに特化している。本書では、ネットワーク設計、デバイスの異種性、特定のセキュリティ要件などの側面に焦点を当て、従来のITシステムとOT/ICSシステムとの本質的な違いを詳細に検証している。その後、ステップ・バイ・ステップの導入ガイドへと進み、これらのユニークな環境におけるZTモデルの展開の各ステージについて、実用的な洞察を提示している。これには、重要資産の特定、データフローのマッピング、カスタマイズされたZTアーキテクチャ(ZTA)の構築、ポリシーの策定、OT/ICSコンテキスト内での継続的モニタリングのニュアンスに関する具体的なガイダンスが含まれる。主にセキュリティ・アーキテクト、OT/ICSオペレータ、CIの意思決定者を対象とした本書は、セキュリティが最重要でありながら明らかに困難な分野で、ZTの原則を適応・適用するための包括的なマニュアルとなっている。
What Is Zero Trust?  ゼロトラストとは何か?
“Zero Trust is a cybersecurity strategy premised on the idea that no user or asset is to be implicitly trusted 「 ゼロトラストとは、いかなるユーザーや資産も暗黙のうちに信頼してはならないという考えを前提としたサイバーセキュリティ戦略である。
It assumes that a breach has already occurred or will occur, and therefore, a user should not be granted access to sensitive information by a single verification done at the enterprise perimeter. Instead, each user, device, application, and transaction must be continually verified.[1]” この戦略では、情報漏えいがすでに発生しているか、または今後発生する可能性があることを前提としているため、エンタープライズ境界で行われる1回の検証によって、ユーザーに機密情報へのアクセスを許可すべきではない。その代わり、各ユーザー、デバイス、アプリケーション、トランザクションは継続的に検証されなければならない[1]」。
Traditional, centralized, trust-based, “castle and moat,” physical network perimeter security architectures are increasingly ineffective in today's decentralized computing landscape and remote workforce environments, where few organizational assets and users still reside inside the “castle.” 従来の中央集権的で、信頼に基づく、「城と堀」のような物理的なネットワーク境界セキュリティ・アーキテクチャは、今日の分散化されたコンピューティング環境とリモート・ワークフォース環境ではますます効果がなくなってきている。
Sophisticated threat actors are increasingly adept at exploiting any exposed technical or human vulnerability in modern, highly distributed enterprise networks that often leverage Internet connectivity heavily. Successful cyberattacks generally exploit implicit trust in some manner. This makes “trust” within digital systems a dangerous vulnerability that should be mitigated and managed. With ZT, all network assets and packets are implicitly untrusted and treated identically with every other packet flowing through the system. The trust level is defined as zero, hence the term Zero Trust 洗練された脅威行為者は、インターネット接続を多用する現代の高度に分散したエンタープライズ・ネットワークにおいて、技術的または人的な脆弱性を悪用することにますます長けている。サイバー攻撃は一般的に、何らかの形で暗黙の信頼を悪用する。このため、デジタルシステム内の「信頼」は、低減・管理すべき危険な脆弱性となる。ZTでは、すべてのネットワーク資産とパケットは暗黙のうちに信頼されず、システムを流れる他のすべてのパケットと同じように扱われる。信頼レベルはゼロと定義されるため、 ゼロトラスト(Zero Trust)と呼ばれる。
ZT is an extensible, holistic enterprise security strategy that encompasses cloud/multi-cloud (all service models), on-premise/hybrid systems, internal and external partner/stakeholder user (organization-managed and Bring Your Own Device (BYOD)) endpoints, is inclusive of operational technology (OT), Industrial Control Systems (ICS) and Internet of Things (IoT), and even extends to physical security in some cases. Consequently, ZT has been compared to a mountain that should be climbed one step at a time[2]; that is, implemented incrementally and in a risk-based manner. These principles are a common theme in Cloud Security Alliance (CSA) Zero Trust (ZT) guidance ZTは、クラウド/マルチクラウド(あらゆるサービスモデル)、オンプレミス/ハイブリッドシステム、社内外のパートナー/関係者ユーザー(組織管理およびBYOD(Bring Your Own Device))エンドポイントを包含し、運用技術(OT)、産業制御システム(ICS)、モノのインターネット(IoT)を含み、場合によっては物理的セキュリティにまで及ぶ、拡張可能で全体的なエンタープライズ・セキュリティ戦略である。その結果、ZTは、一歩ずつ登るべき山に例えられてきた[2]。つまり、段階的に、リスクに応じた方法で実施される。これらの原則は、クラウド・セキュリティ・アライアンス(CSA)の ゼロトラスト(ZT)ガイダンスの共通のテーマである。
Executive Summary エグゼクティブサマリー
In most nations, the health of public services relies on secure and resilient Critical Infrastructure (CI). These infrastructures are deemed critical because their incapacitation or destruction would have a debilitating impact on the national security, economy, and social welfare of a nation. Operational Technology (OT) systems serve as the backbone of CI around the world ほとんどの国では、公共サービスの健全性は、安全でレジリエンスに優れた重要インフラ(CI)に依存している。これらのインフラは、その機能停止や破壊が国家の安全保障、経済、社会福祉に壊滅的な影響を与えるため、重要であるとみなされる。オペレーショナル・テクノロジー(OT)システムは、世界中のCIのバックボーンとして機能している。
“OT encompasses a broad range of programmable systems or devices that interact with the physical environment (or manage devices that interact with the physical environment). These systems/devices detect or cause a direct change by monitoring and/or controlling devices, processes, and events. Examples include industrial control systems (ICS), building automation systems, transportation systems, physical access control systems, physical environment monitoring systems, and physical environment measurement systems.”[3] 「OTは、物理的環境と相互作用する(または物理的環境と相互作用する装置を管理する)プログラム可能なシステムまたは装置を幅広く包含する。これらのシステム/デバイスは、デバイス、プロセス、及びイベントを検知及び/又は制御することにより、直接的な変化を検知又は引き起こす。例えば、産業用制御システム(ICS)、ビルディングオートメーションシステム、輸送システム、物理的アクセス制御システム、物理的環境モニタリングシステム、物理的環境測定システムなどがある」[3]。
[1] NSTAC Report to the President on Zero Trust & Trusted Identity Management, pg. 1 & CSA definition of Zero Trust [1] ゼロトラストと信頼された ID 管理に関する NSTAC 報告書、1 ページおよび CSA によるゼロトラストの定義
[2] CISA Zero Trust Maturity Model [2] CISA ゼロトラスト成熟度モデル
[3] NIST Guide to Operational Technology (OT) Security: NIST SP 800-82r3 [3] NIST の運用技術(OT)セキュリティガイド: NIST SP 800-82r3

 

20241113-05150

 

 


 

Sample Purdue Model

1_20241113005601

 

 


 

| | Comments (0)

米国 CISA 中小規模の組織のインフラストラクチャのセキュリティを支援するログ一元管理ツールであるロギング・メイド・イージー(LME) 2.0を公表 (2024.11.08)

こんにちは、丸山満彦です。

ログ収集、管理を通じて、脅威を早期に発見し、対応に繋げることはサイバー攻撃による被害を低減するために重要ですが、多数のデバイスからの多くのログを収集し、管理し、脅威の発見に繋げることは、中小規模の組織にとっては(コスト面も含めて)簡単なことではありません。

そこで、米国のCISAは、Logging Made Easy (LME) を用意していたのですが、そのバージョンアップ版がGitHubに公表されていますね...

LMEは、英国のNCSCが開発し、CISAが引き継ぎ保守開発しているものです...(NCSCではACDのツールの一つという位置付けですね...)

 

重要インフラを守るためのサプライチェーンのサイバー防御が重要となっていますが、その際に課題に上がるのが、中小規模の組織のサイバー対策をどのように強化していくかという話です。もちろん、クラウドサービスの利用によるのも一つの解決の方向ではあるのですが、それだけではできない部分もあるだろうということもあって、この制度を進めているのだろうと思います。

これは日本でも参考になるかもですね...(CISAと交渉して、メニューとFAQとかを日本語に翻訳するだけでもよいかもですよね...)

 

CISA

Logging Made Easy

 

・LME ファクトシートと FAQ


・・[PDF] Fact Sheet 

・・[PDF] FAQ

 

LMEのダウンロードは、

● GitHub

/LME

 

環境イメージ...

1_20241112235201

インストール手順も丁寧に記載されています。。。

 

で、ログの分析は、今年8月にFive Eyes +αで発表したベントロギングと脅威検知のベストプラクティスを参考にして...という感じですかね...

 

日本の組織でも利用しているところあると思いますが、感想を聞きたいですね...

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.08.25 Five Eyes +α イベントロギングと脅威検知のベストプラクティス

・2023.10.31 米国 CISA 「Logging Made Easy」の新リリースを発表

・2023.07.17 英国 NCSC アクティブ・サイバーディフェンス第6次報告書 (2023.07.06) そういえばNCSCは「アクティブ・サイバーディフェンスは防御であって攻撃ではない」と言ってました...

・2021.02.21 U.K. NSCS 2019年能動的サイバー防御についての実績報告書 (Active Cyber Defence (ACD) - The Third Year)

 

| | Comments (0)

2024.11.12

FIRST デジタル初動対応者:発展途上国におけるコンピュータセキュリティ・インシデント対応チーム(CSIRT)の役割に関する実務者ノート (2024.06)

こんにちは、丸山満彦です。

FIRSTが世界銀行の協力のもと、発展途上国におけるコンピュータセキュリティ・インシデント対応チーム(CSIRT)の役割に関する実務者ノートを公表していますね...

そういえば、今年の福岡のFIRSTカンファレンスで、ジョージアのサイバーセキュリティセンターのPaulさんが、小国でのナショナルCSIRTの立ち上げ奮闘記のような話(Building a National CSIRT on a Nano Scale)をしていて、興味深かったのを思い出しました...

 

FIRST

・2024.11.05 Digital First Responders - The Role of Computer Security Incident Response Teams (CSIRTS) in Developing Countries

Digital First Responders - The Role of Computer Security Incident Response Teams (CSIRTS) in Developing Countries デジタル初動対応者 - 途上国におけるコンピュータ・セキュリティ・インシデント対応チーム(CSIRTS)の役割
This document intends to provide policy makers in countries with a clear understanding of the role and importance of Computer Security Incident Response Teams (CSIRTs) for enhancing cyber resilience. It provides new information, based on recent data, on the status of CSIRT deployment across regions and income groups and outlines practical recommendations on how to establish and operate national CSIRTs, including costs and staffing. 本書は、サイバーレジリエンスを強化するためのコンピュータ・セキュリティ・インシデント対応チーム(CSIRT)の役割と重要性について、各国の政策立案者に明確な理解を提供することを意図している。本書は、地域や所得階層を超えた CSIRT の展開状況について、最新のデータに基づく新たな情報をプロバイダとして提供し、費用や人員配置を含め、各国の CSIRT の設立・運営方法に関する実践的な推奨事項を概説している。

 

・[PDF]

20241112-04851

目次...

Acronyms and abbreviations 頭字語および略語
Executive summary エグゼクティブ・サマリー
Introduction 序文
1. What are CSIRTs? 1. CSIRT とは何か?
2. Key features of CSIRTs 2. CSIRTの主な特徴
Constituency コンティテューエンシー
Services サービス
Governance ガバナンス
3. How much does a CSIRT cost? 3. CSIRT のコストはどれくらいか?
4. Establishing and enhancing CSIRTs 4. CSIRTの構築と強化
5. Conclusion 5. まとめ
6. Practitioner resources 6. 実務家のリソース
References 参考文献

 

エグゼクティブサマリー...

 summary エグゼクティブサマリー
Computer Security Incident Response Teams (CSIRTs) are the digital equivalent of firefighters and other first responders. - コンピュータ・セキュリティ・インシデント対応チーム(CSIRT)は、消防士などの初動対応者に相当するデジタル組織である。
CSIRTs are key to the foundation of any national cybersecurity ecosystem. In addition to incident response, they can provide trainings, raise awareness, and facilitate community building. However, they do not engage in law enforcement or policy development.  - CSIRTは、国家のサイバーセキュリティ・エコシステムの基礎となる重要な存在である。インシデント対応に加えて、トレーニングを提供し、意識を向上させ、コミュニティ形成を促進することができる。しかし、法執行や政策立案には関与しない。
There is a strong correlation between a country’s robust incident response function and its overall cybersecurity capacity. In Western and Central Africa, for example, the four countries that score highest in the International Telecommunication Union (ITU) Global Cybersecurity Index (GCI) are also the ones with a fully operational CSIRT.1  - 国の強固なインシデント対応機能と全体的なサイバーセキュリティ能力との間には強い相関関係がある。例えば、西・中央アフリカでは、国際電気通信連合(ITU)のグローバル・サイバーセキュリティ指数(GCI)で最高得点を獲得した4カ国は、CSIRTが完全に稼働している国でもある1
While more than 500 CSIRTs have been established in high-income countries, only six low-income countries have a fully operational CSIRT. On average, middle-income countries only have one operational CSIRT. - 高所得国では500を超えるCSIRTが設置されているが、低所得国でCSIRTが完全に運用されているのはわずか6カ国である。中所得国のCSIRTは平均して1つしかない。
• Compared with the estimated annual costs of cybersecurity incidents (up to 3 percent of GDP), investing in incident response stands out as yielding remarkable returns for economic development overall. - サイバーセキュリティインシデントの年間推定コスト(GDPの最大3%)と比較すると、インシデント対応への投資は、経済発展全体に対して顕著なリターンをもたらすことがわかる。
Investments in establishing, enhancing, and operating CSIRTs should be further prioritized in developing countries. - 発展途上国では、CSIRT の設立、強化、運用への投資をさらに優先すべきである。
In low-income countries, governments should focus on establishing and operationalizing the national CSIRT (nCSIRT) function. At its inception, the nCSIRT can focus on providing services solely to the government or to certain operators of critical infrastructures. - 低所得国では、政府は国家シーサート(nCSIRT)機能の確立と運用に注力すべきである。設立当初は、nCSIRT は政府または重要インフラの特定の事業者のみにサービスを提供することに重点を置くことができる。
In  middle-income  countries,  governments should strengthen their nCSIRT function and establish a robust network of sectoral CSIRTs dedicated to critical infrastructure protection. - 中所得国では、政府はnCSIRT機能を強化し、重要インフラの保護に特化した部門別CSIRTの強固なネットワークを構築すべきである。
Newly established CSIRTs should “start small” by focusing on a few constituents and a limited set of core services, especially in lower-income contexts. They can grow over time to adjust to evolving context, demand, and resources. - 新たに設立される CSIRT は、特に低所得国においては、少数の構成員と限定された中核的サー ビスセットに焦点を当てることにより、「小さく始める」べきである。CSIRTは、変化する状況、需要、リソースに適応するために、時間をかけて成長させることができる。
The use of open-source tools and resources developed by the practitioner community can help to reduce initial investment and operating costs for CSIRTs. - 実務家コミュニティによって開発されたオープンソースのツールやリソースを利用することは、CSIRT の初期投資や運用コストを削減するのに役立つ。
Participation in international and regional incident response networks is essential to secure “quick wins” (e.g., peer-to-peer learning) and rapidly build capacity in newly established CSIRTs.  - 国際的、地域的なインシデント対応ネットワークへの参加は、「クイック・ウィン」(例:ピアツーピア・ラーニング)を確保し、新たに設立された CSIRT の能力を迅速に構築するために不可欠である。
Some innovative models (e.g., Public-Private Partnerships (PPPs)) are being implemented and could facilitate knowledge transfer and reduce the initial public investments needed to establish CSIRTs. - いくつかの革新的なモデル(例:官民パートナーシップ(PPP))が実施されており、知識の移転を促進し、CSIRT 設立に必要な初期公共投資を削減することができる。
1 In the context of this note, FIRST membership is used as a proxy indicator to determine the effectiveness or presence of a CSIRT in a given country. 1 本ノートでは、FIRST メンバーシップは、ある国における CSIRT の有効性や存在を判断するための代理指標として使用される。

 

興味深い...

 

 

 

 

| | Comments (0)

インド政府 CERT-In SBOM技術ガイド 第1版 (2024.10.03)

こんにちは、丸山満彦です。

SBOMは世界中で検討が進んでいますね...インドでも政府+CERT-Inから技術ガイドが公表されていました。

ドイツが9月にTR-03183案を公表し、日本も8月末に経済産業省 ソフトウェア管理に向けたSBOMの導入に関する手引ver2.0 を公表し、中国が5月に国家標準「ネットワークセキュリティ技術ソフトウェア部品表 (SBOM) データフォーマット」案を公表していますね...

 

 

Indian Computer Emergency Response Team (CERT-In)

・2024.10.03 Technical Guidelines on SOFTWARE BILL OF MATERIALS (SBOM) Version 1.0

・[PDF]

20241111-234131

 

目次...

1. Executive Summary 1. エグゼクティブサマリー
2. Overview of SBOM 2. SBOMの概要
2.1 Necessity and Utilization 2.1 必要性と活用
2.2 Application & Scope 2.2 適用と範囲
2.3 SBOM Implementation 2.3 SBOMの実施
3. Ecosystem 3. エコシステム
3.1 Levels of SBOM 3.1 SBOMのレベル
3.2 Classification of SBOM 3.2 SBOMの分類
3.3 Roadmap for Organizations to develop and adopt SBOM 3.3 SBOMを開発し採用するための組織のロードマップ
3.4 License Management 3.4 ライセンス管理
4. SBOM Preparation 4. SBOMの準備
5. Process and Practices of SBOM for Software Consumer/Developer/Integrator Organizations 5. ソフトウェア消費者/開発者/統合者組織のためのSBOMのプロセスと実践
5.1 Establish Roles and Responsibilities 5.1 役割と責任を確立する
5.2 Roadmap for Navigating the Functions of SBOM 5.2 SBOMの機能をナビゲートするためのロードマップ
5.3 Secure SBOM Distribution: Access Control and Public/Private SBOM 5.3 安全な SBOM の配布: アクセス管理と公開/非公開SBOM
5.4 SBOM Sharing 5.4 SBOMの共有
6. Vulnerability Tracking and Analysis in SBOM 6. SBOMにおける脆弱性の追跡と分析
7. Recommendations and Best Practices 7. 推奨とベストプラクティス
7.1 Recommendations 7.1 推奨事項
7.2 Best Practices 7.2 ベストプラクティス

 

エグゼクティブサマリー...

1. Executive Summary  1. エグゼクティブサマリー 
 Software products are composed of many different components, some of which might come from third party sources. These third-party components and dependencies can have vulnerabilities, which attackers can exploit, leading to security incident or breaches. Key threats include attackers inserting malicious code, vulnerabilities in outdated components, and breaches by compromised suppliers.  ソフトウェア製品は多くの異なるコンポーネントで構成されており、その一部はサードパーティから提供されている可能性がある。これらのサードパーティ製コンポーネントや依存関係には脆弱性が存在する可能性があり、攻撃者はこれを悪用することで、セキュリティインシデントや侵害を引き起こす可能性がある。主な脅威には、攻撃者による悪意あるコードの挿入、旧式のコンポーネントの脆弱性、危険なサプライヤーによる侵害などがある。
These issues can lead to data breaches, operational disruptions, and reputational damage.  これらの問題は、データ漏洩、業務の中断、風評被害につながる可能性がある。
These threats can be countered by maintaining visibility & transparency on software components used for building or developing the software. Software Bill of Materials (SBOM) helps organizations know exactly what components are in their software or assets, making it easier to identify and fix vulnerabilities. By using SBOMs, entities can improve their software security and protect against potential threats.  これらの脅威には、ソフトウェアの構築や開発に使用されるソフトウェア・コンポーネントの可視性と透明性を維持することで対抗できる。ソフトウェア部品表(SBOM)は、組織が自社のソフトウェアや資産にどのような部品が含まれているかを正確に把握し、脆弱性の特定と修正を容易にするのに役立つ。SBOM を使用することで、事業体はソフトウェアのセキュリティを改善し、潜在的な脅威から保護することができる。
A Software Bill of Materials (SBOM) is list of all the components, libraries, and modules that make up a software, providing transparency into its composition. Software composition is important to comprehend as it grows more sophisticated and depends on more external components. In cybersecurity, safeguarding software against cyberattacks requires an awareness of the dependencies and components utilized in its construction. An SBOM is therefore a crucial instrument in contemporary cybersecurity procedures.  ソフトウェア部品表(SBOM)とは、ソフトウェアを構成するすべてのコンポーネント、ライブラリ、モジュールのリストであり、ソフトウェアの構成に透明性を提供する。ソフトウェアが高度化し、より多くの外部コンポーネントに依存するようになると、ソフトウェアの構成を理解することが重要になる。サイバーセキュリティでは、サイバー攻撃からソフトウェアを保護するために、その構築に利用された依存関係とコンポーネントを認識する必要がある。したがって、SBOMは現代のサイバーセキュリティ手順において極めて重要な手段である。
An SBOM is vital for maintaining software security. It helps organizations understand what their software is made of, manage potential risks, respond to security issues, and comply with regulations. Following are the key benefits an organization can derive by implementing SBOM:  SBOMはソフトウェアのセキュリティを維持するために不可欠である。SBOMは、組織が自社のソフトウェアが何で構成されているかを理解し、潜在的なリスクをマネジメントし、セキュリティ問題に対応し、規制に準拠するのに役立つ。以下は、SBOM を導入することによって組織が得られる主なメリットである: 
i. Enhanced Security Management: By knowing the components of the software, organizations can identify which components might be vulnerable to security threats for mitigation.  i. セキュリティ管理の強化: i. セキュリティ管理の強化: ソフトウエアの構成要素を把握することで、組織は、どの構成要素がセキュ リティの脅威に脆弱性を持つ可能性があるかを特定し、その低減を図ることができる。
ii. Effective Incident Response: In the event of a cyber-security incident, an SBOM assists in speeding up incident response by providing detailed component information.  ii. 効果的なインシデント対応: サイバーセキュリティインシデントが発生した場合、SBOM は詳細なコンポーネント情報を提供することで、インシデント対応の迅速化を支援する。
iii. Vulnerabilities Identification and Patch Management: By listing all components, organizations can quickly spot and address known vulnerabilities in the software by patching them.  iii. 脆弱性の特定とパッチ管理: すべてのコンポーネントをリスト化することで、組織はソフトウェアに存在する既知の脆弱性を迅速に発見し、パッチを適用して対処することができる。
iv. Supply Chain Security: Supply chain risks can be reduced significantly by gaining visibility into third-party components used in creating a software.  iv. サプライチェーンのセキュリティ: ソフトウェアの作成に使用されるサードパーティ製コンポーネントを可視化することで、サプライチェーンリスクを大幅に低減できる。
v. Assist in Ensuring Compliance: SBOM helps organizations to streamline adherence to security regulations, guidelines and best practices on software security by providing required transparency in software composition.  v. コンプライアンスの確保の支援: SBOM は、ソフトウェア構成に必要な透明性を提供することで、組織がソフトウェアセキュリティに関するセキュリティ規制、ガイドライン、ベストプラクティスの順守を合理化するのを支援する。
vi. Improved Operational Efficiency: With a clear understanding of software components, organizations can streamline their vulnerability management processes, saving time and resources.  vi. 運用効率の改善: ソフトウエアコンポーネントを明確に理解することで、組織は脆弱性管理プロセスを合理化し、時間とリソースを節約することができる。
Indian Computer Emergency Response Team (CERT-In) has released following technical SBOM guidelines for entities, particularly those in the public sector, government, essential services, organizations involved in software export and software services industry.  インドコンピュータ緊急対応チーム(CERT-In)は、特に公共部門、政府、必須サービス、ソフトウェア輸出に携わる組織、ソフトウェアサービス産業の事業体向けに、以下の技術的なSBOMガイドラインを発表した。
Departments and organizations are encouraged to make the creation and provision of Software Bill of Materials (SBOM) a mandatory standard practice as part of software procurement and software development in order to enhance security and reduce the risk of cyber threats.  各部門や組織は、セキュリティを強化し、サイバー脅威のリスクを低減するために、ソフトウェア部品表(SBOM)の作成と提供をソフトウェア調達やソフトウェア開発の一環として必須の標準慣行とすることが奨励されている。
The following chapters delve into various technical aspects of the Software Bill of Materials (SBOM) explaining its purpose, and its growing significance in the software supply chain ecosystem. Second chapter provides overview of SBOM and discuss about the scope and implementation of SBOM, followed by a chapter on SBOM ecosystem, which explains different levels and classifications of SBOM. Subsequent chapters, explore the different standards and data formats employed for representing SBOM information, and elaborate on the minimum elements, data fields, and automation support. Objectives of all processes and practices involved in SBOM, secure SBOM sharing, and distribution are elaborated in this document including approaches for vulnerability tracking and analysis in SBOM. Finally, the last chapter of the document covers recommendations and best practices for SBOM implementation.  以下の章では、ソフトウェア部品表(SBOM)の様々な技術的側面について掘り下げ、その目的と、ソフトウェアサプライチェーンエコシステムにおけるその重要性の高まりについて説明する。第2章では、SBOMの概要を提供し、SBOMの範囲と実装について議論し、続いてSBOMエコシステムに関する章を設け、SBOMのさまざまなレベルと分類について説明する。続く章では、SBOM情報を表現するために採用されているさまざまな標準とデータ形式を探り、最小要素、データフィールド、自動化サポートについて詳しく説明する。SBOM、安全なSBOMの共有、および配布に関わるすべてのプロセスと実践の目的は、SBOMにおける脆弱性の追跡と分析のアプローチを含め、この文書で詳しく説明されている。最後に、この文書の最後の章では、SBOM 実装のための推奨事項とベストプラクティスを取り上げている。

 

Figure 2: Levels of SBOMの縦横をかえたもの...

Top-Level SBOM  Provides a general summary of the software elements that are either integrated or directly used in a product. Essential details like component names, versions, and their interactions within the software are usually included.  製品に統合されている、または直接使用されているソフトウェア要素の一般的な要約を提供する。コンポーネント名、バージョン、ソフトウェア内での相互作用など、重要な詳細が含まれるのが普通である。
n-Level SBOM  Goes beyond top-level overview to include deeper details and complexities. The "N" in "N-level" represents any arbitrary level of depth, indicating that the SBOM includes information at multiple tiers or levels of granularity.   トップレベルの概要を超えて、より詳細で複雑な内容を含む。N-level 「の 」N "は任意の深さのレベルを表し、SBOMに複数の階層または粒度の情報が含まれていることを示す。 
Delivery SBOM  Describes every part, library, and dependency that is part of a software release or delivery package. It offers clarity regarding the makeup of the software that is being supplied.  ソフトウェアリリースまたは納入パッケージの一部であるすべての部品、ライブラリ、依存関係を記述する。提供されるソフトウェアの構成を明確にする。
Transitive SBOM  Includes not only the direct dependencies of a software component but also its indirect or transitive dependencies.  ソフトウェアコンポーネントの直接的な依存関係だけでなく、間接的または推移的な依存関係も含む。
Complete SBOM  Offers a complete and exhaustive list of all the parts, dependencies, and related metadata that are present in a software system.   ソフトウェアシステムに存在するすべての部品、依存関係、関連するメタデータの完全で網羅的なリストを提供する。

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.11.09 ドイツ 連邦セキュリティ室 (BSI) 意見募集 TR-03183: 製造者及び製品に対するサイバーレジリエンス要件(一般要求事項、SBOM、脆弱性報告)

・2024.09.01 経済産業省 ソフトウェア管理に向けたSBOM(Software Bill of Materials)の導入に関する手引ver2.0 (2024.08.29)

・2024.05.26 中国 TC260 意見募集 国家標準「ネットワークセキュリティ技術ソフトウェア部品表 (SBOM) データフォーマット」案 (2024.05.16)

・2024.03.14 IPA NIST SP 800-161 rev.1 システム及び組織におけるサプライチェーンのサイバーセキュリティリスクマネジメントのプラクティスの翻訳 (2024.01.31)

・2024.01.08 米国 NSA SBOM管理のための推奨事項 (Ver. 1.1)

・2023.11.12 米国 NSA CISA ソフトウェアサプライチェーンの確保: ソフトウェア部品表の開示に関する推奨事項

・2023.11.09 米国 CISA 脆弱性悪用可能性交換情報の発行時期

・2023.09.26 米国 CISA サプライチェーンリスクマネジメント(SCRM)のためのハードウェア部品表フレームワーク(HBOM)

・2023.09.18 米国 CISA オープンソース・ソフトウェア・セキュリティ・ロードマップ

・2023.09.01 NIST SP 800-204D(初期公開ドラフト)DevSecOps CI/CDパイプラインにソフトウェアサプライチェーンセキュリティを統合するための戦略

・2023.08.15 ドイツ SBOMの要件...技術ガイドライン TR-03183:製造業者および製品に対するサイバーレジリエンス要件 (2023.08.04)

・2023.08.01 経済産業省 ソフトウェア管理に向けたSBOM(Software Bill of Materials)の導入に関する手引

・2023.07.03 OWASP SBOMガイダンス CycloneDX v1.5 (2023.06.23)

・2023.04.25 米国 CISA SBOM関連の二文書

・2023.04.18 国際医療機器規制当局フォーラム 「レガシー医療機器のサイバーセキュリティのための原則と慣行」「医療機器サイバーセキュリティのためのSBOMの原則と実践」 (2023.04.11, 04.13)

・2023.02.21 英国 NCSC サプライチェーン・マッピングのガイダンスを公表しています。。。(2023.02.16)

・2023.02.05 ソフトウェアサプライチェーンリスクの軽減策について...

・2022.11.12 NIST ホワイトペーパー【プロジェクト概要】ソフトウェアサプライチェーンとDevOpsのセキュリティ実践:リスクベースアプローチによるDevSecOpsの実践

・2022.10.06 米国 CISA 拘束的運用指令23-01 - 連邦ネットワークにおける資産の可視化と脆弱性検出の改善

・2022.09.18 米国 行政管理予算局 (0MB) ソフトウェアサプライチェーンのセキュリティ強化 を公表

・2022.07.26 NIST White Paper (Draft) [プロジェクト概要] ソフトウェアサプライチェーンとDevOpsセキュリティの実践:リスクベースアプローチによるDevSecOpsの実践

・2022.07.16 経済産業省 令和3年度委託調査報告書(サイバーセキュリティ関係) 2022.07.14現在

・2022.06.25 NIST SP 1800-34 (ドラフト) コンピューティングデバイスの完全性の検証

・2022.05.08 NIST SP 800-161 Rev. 1 システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践

・2022.02.06 NIST ホワイトペーパー: 大統領令14028条第4e項に基づくソフトウェア・サプライチェーン・セキュリティ・ガイダンス

・2021.12.13 Apache Log4j 2 の脆弱性 (CVE-2021-44228)+ ソフトウェアの管理 + 脆弱性情報の管理

・2021.11.22 英国 サプライチェーンとマネージドサービスプロバイダーのサイバーセキュリティについての質問に対する回答 at 2021.11.15

・2021.10.30 NIST SP 800-161 Rev. 1 (Draft) システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践(第2次ドラフト)

・2021.09.03 NIST SP 1800-34B (ドラフト) コンピューティングデバイスの完全性の検証(初期ドラフト)

・2021.06.27 NIST ソフトウェアサプライチェーンにおける「クリティカル・ソフトウェア」の定義:大統領令14028に応えて...

・2021.06.02 米国 国家のサイバーセキュリティ向上に関する大統領令 (EO 14028) に基づくソフトウェアサプライチェーン管理に関係して。。。

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2021.05.01 NIST SP 800-161 Rev. 1 (ドラフト) システムと組織のためのサイバー・サプライチェーン・リスク管理の実践

・2020.02.05 NISTがサプライチェーンセキュリティの実践資料のドラフトを公開していますね。。。

 

| | Comments (0)

2024.11.11

米国 司法省 ビットコイン・フォッグの運営者、マネーロンダリング共謀罪で実刑判。日本の捜査機関も協力。(2024.11.08)

こんにちは、丸山満彦です。

2011年から2021年まで暗号通貨のみさーであるビットコイン・フォッグの運営に関与していた、ロシアとスウェーデンの二重国籍のRoman Sterlingov
が、マネーロンダリング共謀罪で12年6ヶ月の実刑判決を受けたようですね...そして、約4億ドルの没収金の支払い、1,345ビットコイン(約1億300万ドル)のビットコイン・ウォレットの没収もうけたようです。。。

120万ビットコインを超える取引をしていたようです...

 

この事件の解決には、FBIはもとより、日本、スウェーデン、デンマーク、ルーマニア、英国の各当局と欧州刑事警察機構も協力したようですね...

国際協力は欠かせません...

 

U.S. Department of Justice

・2024.11.08 Bitcoin Fog Operator Sentenced for Money Laundering Conspiracy

 

Bitcoin Fog Operator Sentenced for Money Laundering Conspiracy ビットコイン・フォッグの運営者、マネーロンダリング共謀罪で実刑判決
Operator of Notorious Darknet Cryptocurrency “Mixer” Laundered $400M in Cryptocurrency since 2011 悪名高いダークネットの暗号通貨「ミキサー」の運営者は、2011年以来4億ドルの暗号通貨を洗浄していた
A dual Russian-Swedish national was sentenced today to 12 years and six months in prison for his operation of the longest-running bitcoin money laundering service on the darknet. ロシアとスウェーデンの二重国籍者は本日、ダークネットで最も長い間ビットコインのマネーロンダリングサービスを運営していたとして、12年6カ月の実刑判決を受けた。
According to court documents and evidence presented at trial, from 2011 through 2021, Roman Sterlingov, 36, was involved in operating Bitcoin Fog, the darknet’s longest-running cryptocurrency “mixer.” Over the course of its decade-long operation, Bitcoin Fog gained notoriety as a go-to money laundering service for criminals seeking to hide their illicit proceeds from law enforcement and processed transactions involving over 1.2 million bitcoin, valued at approximately $400 million at the time the transactions occurred. The bulk of this cryptocurrency came from darknet marketplaces and was tied to illegal narcotics, computer crimes, identity theft, and child sexual abuse material. 裁判資料と裁判で提出された証拠によると、2011年から2021年まで、ロマン・スターリングフ(36歳)は、ダークネットで最も長く続いている暗号通貨の 「ミキサー 」であるビットコイン・フォッグの運営に関与していた。10年にわたる運営の過程で、ビットコイン・フォグは、法執行機関から不正な収益を隠蔽しようとする犯罪者が利用するマネーロンダリング・サービスとして悪名を馳せ、120万ビットコイン以上の取引を処理した。この暗号通貨の大部分はダークネットのマーケットプレイスからもたらされ、違法な麻薬、コンピューター犯罪、個人情報窃盗、児童性的虐待の材料に結びついていた。
In March 2024, after a one-month trial, a jury found Sterlingov guilty of money laundering conspiracy, money laundering, operating an unlicensed money transmitting business, and money transmission without a license in the District of Columbia. 2024年3月、1ヶ月の裁判の後、陪審はスターリンゴフをマネーロンダリングの共謀、マネーロンダリング、無免許の送金業の運営、コロンビア特別区での無免許の送金で有罪とした。
In addition to his term of imprisonment, Sterlingov was sentenced to pay a forfeiture money judgment in the amount of $395,563,025.39, and forfeiture of seized cryptocurrencies and monetary assets valued at approximately $1.76 million. In addition, Sterlingov was ordered to forfeit his interest in the Bitcoin Fog wallet, totaling approximately 1,345 bitcoin and currently valued at more than $103 million. スターリングホフは禁固刑に加え、3億9556万3025.39ドルの没収金判決の支払い、および押収した暗号通貨と約176万ドル相当の金銭資産の没収を言い渡された。加えて、スターリングホフはビットコイン・フォグ・ウォレットの持分を没収され、その総額は約1,345ビットコインで、現在の価値は1億300万ドル以上である。
“Roman Sterlingov ran the longest-running bitcoin money laundering service on the darknet, and today he paid the price,” said Deputy Attorney General Lisa Monaco. “In the deepest corners of the internet, he provided a home for criminals of all stripes, from drug traffickers to identity thieves, to store hundreds of millions of dollars in illicit proceeds. Today’s sentence reflects the Department’s determination to dismantle the criminal networks that enable criminal actors to flourish and ensure consequences for the criminals operating them.” 「ローマン・スターリンゴフは、ダークネットで最も長い間ビットコインのマネーロンダリングサービスを運営していたが、今日その代償を支払った。「インターネットの奥深くで、彼は麻薬密売人から個人情報窃盗犯まで、あらゆる犯罪者に何億ドルもの不正資金を保管する場所を提供した。本日の判決は、犯罪者の繁栄を可能にする犯罪ネットワークを解体し、それを運営する犯罪者に確実に結果をもたらすという犯罪捜査局の決意を反映したものである。
“Roman Sterlingov laundered over $400 million in criminal proceeds through Bitcoin Fog, his cryptocurrency ‘mixing’ service that was open for business to criminals looking to hide dirty money,” said Principal Deputy Assistant Attorney General Nicole M. Argentieri, head of the Justice Department’s Criminal Division. “Through his illicit money laundering operation, Sterlingov helped criminals launder proceeds of drug trafficking, computer crime, identity theft, and the sexual exploitation of children. Today’s sentencing underscores the Justice Department’s commitment to holding those who facilitate criminal activity fully accountable for their crimes. I am especially proud of the dedicated investigators and prosecutors who worked tirelessly to unmask and prosecute the Bitcoin Fog scheme.” ローマン・スターリンゴフは、ビットコイン・フォッグという暗号通貨の 「ミキシング 」サービスを通じて、4億ドル以上の犯罪収益を洗浄した。このサービスは、汚れた資金を隠そうとする犯罪者たちにビジネスを開放していた。「スターリングオフは不正なマネーロンダリング(資金洗浄)活動を通じて、麻薬取引、コンピューター犯罪、個人情報窃盗、児童の性的搾取などの資金洗浄を手助けしていた。本日の判決は、犯罪行為を助長した者に、その犯罪に対する完全な責任を負わせるという司法省のコミットメントを強調するものだ。私は特に、ビットコイン・フォグ・スキームの正体を暴き、起訴するために精力的に働いた献身的な捜査官と検察官を誇りに思う。
“As proven at trial, Roman Sterlingov created and used an online tool to process hundreds of millions in illegal transactions, enabling darknet drug dealers and those who sell child sexual abuse material, to operate,” said U.S. Attorney Matthew M. Graves for the District of Columbia. “Today’s sentence sends an unmistakable message: those who help criminals with online payments for their illegal activities will face serious penalties. This prosecution also provides more proof that we have the skilled investigators and talented prosecutors needed to hold those who operate these darknet sites accountable.” 「裁判で証明されたように、ローマン・スターリングフは、何億もの違法取引を処理するオンライン・ツールを作成し使用した。これにより、ダークネットの麻薬ディーラーや児童性的虐待の材料を販売する者たちが活動できるようになった。「今日の判決は紛れもないメッセージを送っている。違法行為のためのオンライン決済で犯罪者を手助けした者は、重い罰則を受けることになる。この起訴はまた、ダークネットサイトを運営する者たちの責任を追及するために必要な、熟練した捜査官と有能な検察官がいることを証明するものでもある。
“Clearly, Sterlingov’s attempt to shroud his illicit activities in a cloak of anonymity ultimately failed against the sophisticated collaborative work of our Criminal Investigation special agents and partners,” said Chief Guy Ficco of IRS Criminal Investigation (IRS-CI). “Today’s significant prison term and hundreds of millions in financial sanctions against the defendant emphasizes the seriousness of this conviction and should serve as a stark notice that this type of criminal activity will not be tolerated.” 「IRS犯罪捜査部(IRS-CI)のガイ・フィッコ部長は、「明らかに、スターリングオフは、匿名というマントで自分の違法行為を覆い隠そうとしたが、我々の犯罪捜査特別捜査官とパートナーの洗練された共同作業の前に、最終的に失敗した。「本日の被告に対する多額の懲役刑と数億ドルの制裁金は、この有罪判決の重大性を強調するものであり、この種の犯罪行為は許されないという厳重な通告となるはずである。」
“The prosecution of Roman Sterlingov and the sentence imposed today should serve as a warning to cybercriminals,” said Assistant Director in Charge David Sundberg of the FBI. “The FBI will not hesitate to use all tools at its disposal and will leverage our extensive partnerships to disrupt the cybercriminal ecosystem and the individuals who provide the key services that facilitate criminal activity.” 「ロマン・スターリングフ被告の起訴と本日下された判決は、サイバー犯罪者に対する警告となるはずだ。「FBIは、サイバー犯罪のエコシステムと、犯罪行為を容易にする重要なサービスを提供する個人を崩壊させるために、あらゆる手段を躊躇なく使用し、広範なパートナーシップを活用していく」と述べた。
The IRS-CI District of Columbia Cyber Crime Unit and FBI Washington Field Office investigated the case. The Justice Department’s Office of International Affairs and FBI’s Virtual Asset Unit provided invaluable assistance. Additional assistance was provided by Japanese, Swedish, Danish, Romanian, and UK authorities, as well as Europol. IRS-CIコロンビア特別区サイバー犯罪ユニットとFBIワシントン支局がこの事件を捜査した。司法省国際局およびFBIのバーチャル・アセット・ユニットが貴重な援助を提供した。さらに、日本、スウェーデン、デンマーク、ルーマニア、英国の各当局と欧州刑事警察機構からも支援を受けた。
Trial Attorneys Jeff Pearlman and C. Alden Pelker of the Criminal Division’s Computer Crime and Intellectual Property Section (CCIPS) and Special Assistant U.S. Attorney Christopher B. Brown for the District of Columbia are prosecuting the case. Pelker is a member, and Brown is a former member, of CCIPS’ National Cryptocurrency Enforcement Team. Former CCIPS Paralegal Specialist Dr. Divya Ramjee and Paralegal Specialist Angela De Falco for the District of Columbia provided valuable assistance.  ディビジョン刑事部コンピュータ犯罪・知的財産課(CCIPS)のジェフ・パールマン裁判弁護士とC・オールデン・ペルカー裁判弁護士、およびコロンビア特別区のクリストファー・B・ブラウン連邦検事補がこの事件を起訴する。ペルカーはCCIPSの全米暗号通貨執行チームのメンバーであり、ブラウンは元メンバーである。元CCIPSパラリーガル・スペシャリストのディヴヤ・ラムジー博士とコロンビア特別区パラリーガル・スペシャリストのアンジェラ・デ・ファルコが貴重な助力を提供した。

 

1_20241111061601

 

 

| | Comments (0)

米国 CISA 重要インフラのセキュリティとレジリエンス月間2024のキックオフ (2024.11.07)

こんにちは、丸山満彦です。

米国では、今月11月は、「重要インフラのセキュリティとレジリエンス月間」となっております。ホワイトハウスからもすでに発表がありましたが、CISAがキックオフをしたと発表していますね...

 

● CISA

プレス...

・2024.11.07 CISA Kicks Off Critical Infrastructure Security and Resilience Month 2024

CISA Kicks Off Critical Infrastructure Security and Resilience Month 2024 CISA、「重要インフラのセキュリティとレジリエンス月間2024」をスタートさせる
In November CISA asks all Americans to "Resolve to be Resilient" 11月、CISAはすべての米国人に「レジリエンスへの決意」を求める
WASHINGTON – Today, the Cybersecurity and Infrastructure Security Agency (CISA) announced the kickoff of Critical Infrastructure Security and Resilience (CISR) Month. The safety and security of the nation depends on the ability of critical infrastructure owners and operators to prepare for and adapt to changing conditions and to withstand and recover rapidly from disruptions. That’s why this November we are continuing with our enduring theme of Resolve to be Resilient. ワシントン - 本日、サイバーセキュリティ・インフラセキュリティ庁(CISA)は、重要インフラのセキュリティとレジリエンス(CISR)月間のキックオフを発表した。国家の安全とセキュリティは、重要インフラの所有者と運営者が状況の変化に備え、適応し、混乱に耐え、迅速に回復する能力にかかっている。そのため、この11月も「レジリエンスへの決意」という不変のテーマを掲げている。
“We must build resilience into our preparedness planning year-around,” said Dr. David Mussington, CISA’s Executive Assistant Director for Infrastructure Security. “It's a whole of community responsibility to prepare and secure the nation’s critical infrastructure and protect the vital services it provides, so when something does happen, we are better able to respond to and recover from any impacts.” 「CISAのインフラ・セキュリティ担当エグゼクティブ・アシスタント・ディレクターであるデイビッド・マシングトン博士は、「私たちは、年間を通じてレジリエンスを備えの計画に組み込まなければならない。「国の重要なインフラを準備し、安全を確保し、それが提供する重要なサービスを保護することは、地域社会全体の責任であり、そうすることで、何かが起こったときに、その影響に対応し、回復することができる。
Throughout November, we’ll highlight how critical infrastructure organizations can integrate the following practices to help make our critical infrastructure secure, resilient, and able to bounce back quickly and build back stronger when disruptions occur: 11月を通して、私たちは、重要インフラストラクチャーが安全でレジリエンスに富み、混乱が発生したときに迅速に立ち直り、より強固なものにするために、重要インフラストラクチャー組織がどのように以下の実践を統合できるかを紹介する:
Know Your Infrastructure and Dependencies. Organizations should identify their most critical systems and assets for their operations and understand potential dependencies on other infrastructure systems and assets that enable the continuity of their own operations. インフラと依存関係を知る。組織は、自社の事業にとって最も重要なシステムや資産を特定し、自社の事業の継続を可能にする他のインフラシステムや資産との潜在的な依存関係を理解する必要がある。
Assess Your Risks. Consider the full range of threats and hazards that could disrupt your organization’s infrastructure operations and evaluate specific vulnerabilities and consequences the threats and hazards could pose. リスクをアセスメントする。組織のインフラ運営を混乱させる可能性のあるあらゆる脅威とハザードを検討し、脅威とハザードがもたらす可能性のある具体的な脆弱性と影響を評価する。
Make Actionable Plans. Organizations should develop both a strategic risk management plan to reduce the risks and vulnerabilities identified and an actionable incident response and recovery plan to help withstand and rapidly restore operations within minimal downtime. 実行可能な計画を立てる。組織は、特定されたリスクと脆弱性を低減するための戦略的リスクマネジメント計画と、最小限のダウンタイムで業務に耐え、迅速に復旧するための実行可能なインシデント対応・復旧計画の両方を策定する必要がある。
Measure Progress to Continuously Improve. Exercise incident response and recovery plans under realistic conditions and periodically evaluate and update strategic plans. An organization’s ability to proactively prepare for and adapt to changing risk conditions starts with fostering a culture of continuous improvement, based on lessons learned from exercises and real-world incidents. 継続的に改善するために進捗を測定する。インシデント対応計画と復旧計画を現実的な条件下で実施し、戦略的計画を定期的に評価し更新する。変化するリスク状況に先手を打って備え、適応する組織の能力は、演習や実際のインシデントから学んだ教訓に基づき、継続的に改善する文化を醸成することから始まる。
As a nation, we are grappling with continued cyber and physical threats to critical infrastructure Americans rely on every day. We have seen increasing threats of violence; extended, record-breaking heat and destructive weather and fire events; global conflicts with ripple effects around the world, including civil disturbances at home; and rapid advances in technology that enable novel cybersecurity risks.    国家として、われわれは、米国人が毎日依存している重要なインフラに対する継続的なサイバー脅威と物理的脅威に取り組んでいる。暴力の脅威の増大、記録的な猛暑の長期化、破壊的な天候や火災の発生、国内での内乱を含む世界中に波及する世界的な紛争、サイバーセキュリティの新たなリスクを可能にする技術の急速な進歩などが見られる。  
CISR Month is CISA’s annual effort to educate and engage all levels of government, infrastructure owners and operators, and the American public about the vital role critical infrastructure plays in the nation’s security and why it is important to strengthen critical infrastructure resilience. Incorporating the resilience strategies above into planning helps protect lives and jobs, keeps communities connected, reduces economic disruptions to supply chains, and encourages innovative solutions to reduce harm to communities. CISR月間は、重要インフラが国家の安全保障に果たす重要な役割と、重要インフラのレジリエンスを強化することがなぜ重要なのかについて、あらゆるレベルの政府、インフラ所有者・運営者、米国民を教育し、関心を持たせるためのCISAの年次取り組みである。上記のレジリエンス戦略を計画に取り入れることは、人命と雇用を守り、地域社会のつながりを維持し、サプライチェーンの経済的混乱を減らし、地域社会への被害を減らすための革新的な解決策を奨励することにつながる。
CISA encourages everyone to explore the resources on our Critical Infrastructure Security and Resilience (CISR) Month webpage, which includes a toolkit and social media graphics. In addition, be sure to follow us on social media and join the #BeResilient conversation.   CISAは、「重要インフラのセキュリティとレジリエンス(CISR)月間」のウェブページで、ツールキットやソーシャルメディア・グラフィックを含むリソースを探索することを奨励している。さらに、ソーシャルメディアでCISRをフォローし、#BeResilientの会話に参加してほしい。 

 

・2024.11.07 Critical Infrastructure Security and Resilience Month

 

Cisrmonth2024_ig-1080x1080

 

・2024.11.07 Critical Infrastructure Security and Resilience Month

Critical Infrastructure Security and Resilience Month 2024: Resolve to be Resilient! 2024年「重要インフラのセキュリティとレジリエンス月間」: レジリエンスへの決意
Each year, the Cybersecurity and Infrastructure Security Agency (CISA) leads the national recognition of Critical Infrastructure Security and Resilience (CISR) Month in November. This annual effort focuses on educating and engaging all levels of government, infrastructure owners and operators, and the American public about the vital role critical infrastructure plays in the nation’s wellbeing and why it is important to strengthen critical infrastructure security and resilience.  サイバーセキュリティ・インフラセキュリティ庁(CISA)は毎年、11月の「重要インフラのセキュリティとレジリエンス(CISR)月間」の全国的な認知を主導している。この毎年恒例の取り組みは、重要インフラが国家の安寧に果たす重要な役割と、重要インフラのセキュリティとレジリエンスを強化することがなぜ重要なのかについて、あらゆるレベルの政府、インフラ所有者、事業者、そして米国民を教育し、参加させることに重点を置いている。
As a nation, we are seeing continued cyber and physical threats to critical infrastructure Americans rely on every day. For example, we have seen extended, record-breaking heat and destructive weather and fire events, rapid advances in technology that enable novel cybersecurity risks, and other emerging risks.    国家として、我々は、米国人が毎日依存している重要インフラに対するサイバー脅威や物理的脅威を目の当たりにし続けている。例えば、記録的な猛暑や破壊的な気象・火災の長期化、新たなサイバーセキュリティ・リスクを可能にする技術の急速な進歩、その他の新たなリスクなどである。  
The safety and security of the nation depends on the ability of critical infrastructure owners and operators to prepare for and adapt to changing conditions and to withstand and recover rapidly from disruptions. We must accept that it’s a whole of community responsibility to prepare and secure the nation’s critical infrastructure and protect the vital services it provides, so when something does happen, we are better able to respond to and recover from any impacts. We can do this by building resilience into our preparedness planning year around by understanding the threat landscape and assessing risks; creating and exercising actionable plans; and continually adapting and improving based on lessons learned.  国家の安全とセキュリティは、重要インフラの所有者と運営者が、変化する状況に備え、適応し、混乱に耐え、迅速に回復する能力にかかっている。国の重要インフラを準備し、安全性を確保し、重要インフラが提供する重要なサービスを保護することは、地域社会全体の責任であることを受け入れなければならない。私たちは、脅威の状況を理解し、リスクをアセスメントし、実行可能な計画を策定・実施し、学んだ教訓に基づいて継続的に適応・改善することで、レジリエンスを年間を通じて準備計画に組み込むことができる。

 


 

まるちゃんの情報セキュリティ気まぐれ日記

2024.11.02 米国 ホワイトハウス:2024 年「重要インフラの安全保障とレジリエンス月間」に関する宣言

 

| | Comments (0)

ドイツ BSI NIS2指令の国内への適用に関する情報ページ

こんにちは、丸山満彦です。

欧州各国では、2014.10.17までにNIS2の国内法への展開が終了し、18日より適用が開始されています。ドイツのBSI(連邦情報セキュリティ局)のページにNIS2指令の関連ウェブページがありますので、紹介。

 

 

Bundesamt für Sicherheit in der Informationstechnik; BSI

1_20241110231801

Umsetzung der NIS-2-Richtlinie für die regulierte Wirtschaft

Umsetzung der NIS-2-Richtlinie für die regulierte Wirtschaft 規制経済のためのNIS 2指令の実施
Erste Informationen für voraussichtlich betroffene Unternehmen 影響を受ける可能性が高い企業向けの初期情報
Mit der Umsetzung der NIS-2-Richtlinie (NIS-2-RL) in nationales Recht wird das BSI durch eine Änderung des BSI-Gesetzes für deutlich mehr Unternehmen als zuvor Aufsichtsbehörde. Für die bestehenden Kritischen Infrastrukturen (KRITIS) ändert sich hierdurch voraussichtlich wenig, aber für ca. 29.000 nach dem Gesetz "besonders wichtige" und "wichtige" Einrichtungen ergeben sich erstmals Registrierungs-, Nachweis- und Meldepflichten. Da das Gesetz noch nicht verabschiedet ist, kann sich das BSI noch nicht genauer zu daraus möglicherweise entstehenden Pflichten äußern. Wir möchten Unternehmen und Organisationen aber schon während des laufenden Gesetzgebungsverfahrens bestmöglich unterstützen und die Umsetzung der NIS-2-Richtlinie in Deutschland so reibungslos wie möglich gestalten. NIS 2指令が国内法に組み込まれることにより、BSI法の改正により、BSIは以前よりもはるかに多くの企業の監督当局となる。これは、既存の重要インフラ(KRITIS)には大きな変化をもたらさないと予想されるが、法律上「特に重要」および「重要」とされる約29,000の施設については、登録、検証、報告義務が初めて発生することになる。この法律はまだ可決されていないため、BSIは、この法律から生じる可能性のある義務について、現時点では詳細なコメントはできない。しかし、現在進行中の立法プロセスにおいて、企業や組織をできる限りサポートし、NIS 2指令がドイツでできる限り円滑に実施されるよう努めたい。
Erste Unterstützungsangebote für die Wirtschaft 企業向けの初期サポートサービス
・Die NIS-2-Betroffenheitsprüfung ist das zentrale Werkzeug zur Prüfung, ob ein Unternehmen voraussichtlich von der nationalen Umsetzung der NIS-2-RL in Deutschland erfasst sein wird. Zusätzlich veröffentlicht ist der Entscheidungsbaum, der der NIS-2-Betroffenheitsprüfung zugrunde liegt . ・NIS-2 影響評価は、ドイツにおける NIS-2 指令の国内実施により企業が影響を受ける可能性があるかどうかを確認するための主要なツールである。 NIS-2 影響評価のベースとなる決定ツリーも公開されている。
・Die NIS-2-FAQ bieten eine Sammlung von Antworten auf die am häufigsten gestellten Fragen zur NIS-2-RL. ・NIS-2 指令に関する FAQ では、NIS-2 指令に関するよくある質問への回答をまとめている。
・Die Seite NIS-2 - Was tun? enthält Hinweise, was wichtige und besonders wichtige Einrichtungen jetzt schon tun können. ・NIS-2 – What to do? ページには、重要組織および特に重要な組織が今できることに関する情報が記載されている。
Neue EU-Richtlinie zur Cybersicherheit: NIS-2-RL und ihre Umsetzung in Deutschland サイバーセキュリティに関する新たなEU指令:NIS-2指令とそのドイツでの実施
Im Dezember 2022 wurde die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS-2-Richtlinie, kurz NIS-2-RL) veröffentlicht. Die Mitgliedstaaten müssen die Richtlinie in nationales Recht umsetzen. In Deutschland erfolgt die Umsetzung der NIS-2-RL durch Bund und Länder. Regelungen für die Wirtschaft werden dabei vornehmlich durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) des Bundes geregelt, dessen Regierungsentwurf unter anderem umfassende Änderungen im BSI-Gesetz vorsieht. ネットワークおよび情報セキュリティに関するEU指令第2号(NIS-2指令)は2022年12月に発表された。加盟国は、この指令を国内法に置き換える必要がある。ドイツでは、NIS-2指令は連邦政府および州政府によって実施されている。経済に関する規制は主に連邦政府のNIS-2実施およびサイバーセキュリティ強化法(NIS2UmsuCG)によって規定されており、その政府草案では、特にBSI法の包括的な変更が規定されている。
Pflichten für die regulierte Wirtschaft 規制対象事業体における義務
Die Gesetzesänderung führt voraussichtlich über die heute bereits regulierten KRITIS hinaus zu einer erheblichen Zunahme der Zahl von Unternehmen und Einrichtungen, die künftig Registrierungs-, Nachweis- und Meldepflichten gegenüber dem BSI zu erfüllen haben. Die Identifizierung der betroffenen Unternehmen als "besonders wichtige Einrichtungen" oder "wichtige Einrichtungen" erfolgt voraussichtlich anhand von Kennzahlen und Schwellenwerten mit Bezug auf den Jahresumsatz oder die Mitarbeitendenzahl. この改正により、すでに規制対象となっている重要インフラストラクチャー以外にも、今後、BSIに対する登録、検証、報告義務を履行しなければならない企業や機関が大幅に増加することが予想される。影響を受ける企業は、年間売上高や従業員数に関する主要数値や基準値に基づいて、「特に重要な機関」または「重要な機関」として特定される見込みである。
Informationen zur Registrierung beim BSI folgen nach Abschluss des Gesetzgebungsverfahrens zum NIS2UmsuCG. BSIへの登録に関する情報は、NIS2UmsvCGの立法手続きが完了した後、発表される予定である。
Für einige der betroffenen Unternehmen ist mit einer Pflicht zum Nachweis der IT-Sicherheit zu rechnen, wobei in der Intensität der jeweiligen Maßnahme aus Gründen der Verhältnismäßigkeit zwischen den Kategorien (KRITIS, besonders wichtige Einrichtung, wichtige Einrichtung) ausdifferenziert wird. NIS-2-regulierte Unternehmen werden auch verpflichtet sein, IT-Sicherheitsvorfälle zu melden. Die bisherige Meldepflicht für hauptsächlich KRITIS-Betreiber wird durch das Melderegime der NIS-2-Richtlinie ersetzt. 影響を受ける企業の一部は、ITセキュリティの証明を求められることが予想されるが、その厳格さは、比例性の理由から、カテゴリー(KRITIS、特に重要な機関、重要な機関)ごとに区別される。NIS-2規制対象企業は、ITセキュリティインシデントの報告も求められる。主に重要インフラ事業者を対象としたこれまでの報告義務は、NIS 2指令の報告体制に置き換えられることになる。
Informationen zur nationalen Umsetzung sind vorläufig 国内での実施に関する情報は暫定的なものである
Das NIS2UmsuCG befindet sich derzeit noch im Gesetzgebungsverfahren. Die Federführung dafür liegt beim Bundesministerium des Innern und für Heimat. Aus diesem Grund kann sich das BSI derzeit nur in begrenztem Umfang zu den voraussichtlichen Inhalten des Gesetzes äußern. NIS 2指令の国内法化は現在も立法過程にある。連邦内務省および国土安全保障省がこれを担当している。このため、BSIは現時点では、この法律の想定される内容について限定的な範囲でのみコメントすることができる。
Die Informationen auf dieser Webseite, insbesondere die NIS-2-Betroffenheitsprüfung sind vor dem Hintergrund des noch nicht abgeschlossenen Gesetzgebungsverfahrens Erwartungswerte und nicht rechtlich bindend. Zurzeit basiert die hier angebotene NIS-2-Betroffenheitsprüfung auf dem Kabinettsbeschluss des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG). Erst, wenn das fertige Gesetz vorliegt, werden verbindliche Auskünfte zum Anwendungsbereich in Deutschland gemacht werden können. Gemäß dem Wortlaut des Regierungsentwurfs wird auf dieser Seite anstelle der in der EU-Richtlinie verwendeten Bezeichnung "wesentliche" Einrichtungen der Begriff "besonders wichtige" Einrichtungen verwendet. 立法プロセスがまだ完了していないという事実を踏まえ、このウェブサイト上の情報、特にNIS-2影響評価は予想値に基づくものであり、法的拘束力はない。現時点では、ここで提供されているNIS-2影響評価は、NIS-2実施およびサイバーセキュリティ強化法(NIS2UmsuCG)の閣議決定に基づいている。ドイツにおける適用範囲に関する拘束力のある情報を提供できるのは、法律が最終決定された後となる。政府草案の文言に従い、このページではEU指令で使用されている「不可欠」な事業体の代わりに「特に重要な」事業体という用語を使用している。
Für manche Sektoren und Unternehmen gibt es zudem noch gesonderte Regelungen. Besonders zu nennen sind hier grenzüberschreitende Anlagen, Regelungen durch DORA (EU-Verordnung über die digitale operationale Resilienz im Finanzsektor) und Änderungen im IT- und Energiesektor. Über diese Punkte wird das BSI rechtzeitig und umfassend informieren. さらに、一部のセクターおよび企業については、別途規定が設けられている。特にここで言及すべきは、国境を越えた施設、DORA(EUの金融セクターにおけるデジタル業務継続性に関する規則)による規制、およびITおよびエネルギーセクターにおける変更である。BSIは、これらの点について包括的な情報を適時提供する予定である。
Weitere Informationen 詳細情報
FAQ zu NIS-2 NIS-2に関するFAQ
Sek­tor­spe­zi­fi­sche FAQ zu NIS-2 NIS-2に関する業種別FAQ
NIS-2-Be­trof­fen­heits­prü­fung NIS-2の影響評価
NIS-2 - was tun? NIS-2 – 何をすべきか?
NIS-2 - Be­tei­li­gungs­work­shop NIS-2 – 参加ワークショップ
Zu­sam­men­fas­sung NIS-2-We­bi­nar NIS-2ウェビナーの概要

 

 

| | Comments (0)

2024.11.10

ノルウェー 未来のデジタル化戦略 (2024.11.04)

こんにちは、丸山満彦です。

ノルウェー政府が、デジタル化戦略を発表しています。2030年に向けた目標設定とそれを実現するための戦略といったところでしょうかね...

測定して、目標数値を設定しているところが良いと思います。全体としてアグレッシブな印象はあるのですが、人材の目標は現実的かもしれないですね...

現在(おそらく将来も)日本は、人口減少、経済停滞等の影響で、かつての日本とは違ってきているので、米国や中国の政策というのは意識しつつも、ノルウェーのような国の政策立案も参考にすべきところはあるように思います...

 

ノルウェイ政府

Government.no

・2024.11.04 The Digital Norway of the Future

20241110-102346

・[DOCX][PDF] 仮訳

 

Prerequisites 前提条件
1 Strengthening governance and coordination in the public sector 1 公共部門におけるガバナンスと調整の強化
2 Ensuring a secure and future-oriented digital infrastructure 2 安全で未来志向のデジタル・インフラの確保
3 Bolstering security, emergency preparedness and crime prevention 3 セキュリティ、緊急事態への備え、犯罪防止の強化
4 Ensuring appropriate and safeguarded privacy for all 4 すべての人への適切かつ保護されたプライバシーの保証
5 Securing future-oriented digital competence 5 未来志向のデジタルコンピタンスの確保
Prioritised areas 優先分野
6 Increase data sharing and harness the opportunities in data and data-driven innovation 6 データ共有の拡大とデータとデータ主導型イノベーションの機会の活用
7 Harness the opportunities of AI 7 AIの機会の活用
8 Accelerating the green and digital transitions 8 グリーンとデジタルの移行の加速
9 Promote an adaptable and innovative business sector 9 適応可能で革新的なビジネスセクターの促進
10 Maintaining trust, strengthening inclusion, and safeguarding considerations for children and young people 10 信頼の維持、インクルージョンの強化、児童・青少年の保護への配慮

 

 

1 Norway – the most digitalised country in the world 1 ノルウェー - 世界で最もデジタル化された国
In 2030, Norway will be the most digitalised country in the world and will have succeeded in the digital transformation of our society. Digitalisation will make everyday life easier and safer for citizens, make businesses more competitive and improve the public sector. 2030年、ノルウェーは世界で最もデジタル化が進んだ国となり、社会のデジタル変革に成功しているだろう。デジタル化は、市民にとって日常生活をより快適で安全なものにし、企業の競争力を高め、公共部門を改善する。
The Government’s fundamental goal is to create a safer and fairer Norway with opportunities nationwide. This entails a policy that gives people the opportunity to enjoy a good quality of life. 政府の基本的な目標は、より安全で公平なノルウェーをつくり、全国に機会を提供することである。これには、人々に質の高い生活を享受する機会を与える政策が必要である。
We have a good starting point. Norway is already a good country to live in. People have opportunities to develop, contribute and create value. Trust in society is high, and social and geographical differences are small. Our welfare state makes knowledge, healthcare and assistance in various life situations available to all. 私たちには良い出発点がある。ノルウェーはすでに住みやすい国だ。人々は成長し、貢献し、価値を創造する機会がある。社会に対する信頼は厚く、社会的・地理的格差は小さい。ノルウェーの福祉国家は、知識、医療、さまざまな生活場面での援助をすべての人に提供している。
Now we are faced with new tasks. In the report on Long-term Perspectives on the Norwegian Economy,[1] the Government highlights three key societal challenges for the years ahead: 今、私たちは新たな課題に直面している。ノルウェー経済の長期的展望に関する報告書([1] )の中で、政府は今後数年間における3つの重要な社会的課題を強調している:
Competition for labour: Caregiving tasks are increasing, yet the number of working-age individuals available to perform them is not keeping pace. 労働力競争:介護の仕事は増えているが、それをこなせる労働年齢人口の数は追いついていない。
Need for adaptation: Increased global tensions, climate and environmental changes, and declining petroleum activity are driving changes that underscore the need for prudent and responsible resource management. 適応の必要性:世界的な緊張の高まり、気候や環境の変化、石油活動の衰退は、慎重かつ責任ある資源管理の必要性を強調する変化をもたらしている。
Continued good distribution: Little inequality and stable access to welfare services must be preserved in the face of transitions, and as many people are living longer than before. 良好な分配の継続:多くの人々が以前より長生きするようになる中、移行期に直面しても、不平等が少なく、福祉サービスを安定して受けられることが維持されなければならない。
Digitalisation is an important part of the solution to societal challenges. Digitalisation allows us to achieve higher quality public services, greater value creation and a society where everyone has opportunities, regardless of where they live or work. At the same time, we must ensure that we have sufficient control over digitalisation and that it takes place in a safe, secure and trustworthy manner. It is particularly important that technology is introduced and used with caution in relation to children and young people. デジタル化は、社会的課題を解決するための重要な要素である。デジタル化によって、より質の高い公共サービス、より大きな価値創造、住む場所や働く場所に関係なく誰もが機会を得られる社会を実現することができる。同時に、私たちはデジタル化を十分に管理し、安全、安心、信頼できる方法で行われるようにしなければならない。特に、子どもや青少年との関係において、テクノロジーを慎重に導入し、使用することが重要である。
About the digitalisation strategy デジタル化戦略について
This strategy charts the course for a digital Norway, with a high level of ambition and clear goals. この戦略は、高い野心と明確な目標を掲げ、デジタル・ノルウェーの進路を描くものである。
It describes the following prerequisites that must be in place in order for the digitalisation of society to succeed: strengthening governance and coordination in the public sector, ensuring a secure and future-oriented digital infrastructure, bolstering security, emergency preparedness and crime prevention, ensuring appropriate and safeguarded privacy for all and securing future-oriented digital competence. すなわち、公共部門におけるガバナンスと協調の強化、安全で未来志向のデジタル・インフラの確保、セキュリティの強化、緊急事態への備えと犯罪防止、すべての人のための適切で保護されたプライバシーの確保、未来志向のデジタル・コンピテンスの確保である。
Furthermore, the strategy describes the following priority areas where efforts must be strengthened in order to realise the full potential of digitalisation: increasing data sharing and harnessing the opportunities in data and data-driven innovation, leveraging opportunities in artificial intelligence, speeding up the green and digital transition, promoting an adaptable and innovative business sector while maintaining trust, strengthening inclusion, and safeguarding considerations for children and young people. さらに同戦略では、デジタル化の可能性を最大限に実現するために、取り組みを強化すべき優先分野として、データ共有の拡大とデータとデータ主導型イノベーションの機会の活用、人工知能の機会の活用、グリーン・デジタル移行の加速化、信頼を維持しつつ適応可能で革新的なビジネスセクターの促進、インクルージョンの強化、子供や若者の保護への配慮を挙げている。
The overriding goal of the digitalisation strategy is to make Norway the most digitalised country in the world by 2030. To achieve this, the Government will: デジタル化戦略の最優先目標は、2030年までにノルウェーを世界で最もデジタル化された国にすることである。これを達成するために、政府は以下を行う:
Strengthening governance and coordination of the public sector 公共部門のガバナンスと調整を強化する
In the run-up to 2030, the Government will implement stronger cross-sectoral governance and coordination of digitalisation, so that we can harness the immense potential we currently have. We will create strong synergies between Norwegian and European digitalisation policy. The Government is seeking a change of pace in public sector digitalisation. 2030年に向けて、政府はデジタル化に関する部門横断的なガバナンスと調整を強化し、現在我々が持っている膨大な潜在能力を活用できるようにする。ノルウェーと欧州のデジタル化政策の間に強力な相乗効果を生み出す。政府は、公共部門のデジタル化のペース転換を模索している。
We shall have a public sector that offers better, more seamless digital services to citizens and the business sector. We shall use digitalisation for de-bureaucratisation and ensure that professionals can devote more of their skills to providing good services to people. We shall introduce labour-saving technology through trust-based and participatory digitalisation. 私たちは、市民とビジネス部門により良い、よりシームレスなデジタル・サービスを提供する公共部門を持たなければならない。脱官僚化のためにデジタル化を活用し、専門職がより多くのスキルを人々への優れたサービスの提供に割けるようにする。信頼に基づく参加型のデジタル化を通じて、省力化技術を導入する。
Goal 2030: Norway shall rank first among OECD countries for public sector digitalisation. We are currently ranked fourth.[2] 目標2030:ノルウェーは公共部門のデジタル化でOECD加盟国中第1位となる。現在4位である。[2]
Ensuring a secure and future-oriented digital infrastructure 安全で未来志向のデジタル・インフラを確保する
Towards 2030, the Government will establish high-speed broadband and good mobile coverage for all, and ensure that we have robust electronic communications networks and services nationwide. We shall ensure a well-functioning shared digital ecosystem for interaction and service development in the public sector. 2030年に向けて、政府はすべての人に高速ブロードバンドと良好なモバイルカバレッジを確立し、全国に強固な電子通信ネットワークとサービスを確保する。我々は、公共部門における交流とサービス開発のために、十分に機能する共有デジタル・エコシステムを確保する。
Goal 2030: Everyone in Norway should be offered high-speed broadband with at least 1 Gbit/s download speed. Currently, 95.1 per cent enjoy such access.[3] 目標2030:ノルウェー国民の誰もが、少なくともダウンロード速度1Gビット/秒の高速ブロードバンドを利用できるようにする。現在、95.1%がこのようなアクセスを享受している。[3]
Bolstering security, emergency preparedness and crime prevention  セキュリティ、緊急事態への備え、犯罪防止の強化 
Towards 2030, the Government will strengthen national cyber security and emergency preparedness to safeguard critical societal and fundamental national functions. To strengthen our work on national security and emergency preparedness, we will actively use digital technologies. The national capacity to combat cybercrime will also be strengthened. 2030年に向けて、政府は国家のサイバーセキュリティと緊急事態への備えを強化し、重要な社会的・国家的機能を守る。国家安全保障と緊急事態への備えを強化するため、デジタル技術を積極的に活用する。サイバー犯罪に対抗する国家能力も強化する。
Goal 2030: All government agencies have evaluated, improved or renewed their information security management systems. Currently, 80.9 per cent have done so.[4] 目標2030:すべての政府機関が、情報セキュリティ管理システムの評価、改善、更新を行っている。現在、80.9%が実施している。[4]
Goal 2030: 90 per cent of municipalities have evaluated, improved or renewed their information security management systems. Currently, 66.7 per cent have done so.[5] 目標2030:自治体の90%が、情報セキュリティ管理システムの評価、改善、更新を行っている。現在、66.7%が実施している。[5]
Ensuring appropriate and safeguarded privacy for all すべての人のプライバシーを適切に保護する
Towards 2030, the Government will safeguard privacy in all digitalisation efforts. All relevant IT solutions in the public sector shall have built-in privacy protection, and we shall ensure citizens’ privacy in their interaction with the Tech Giants. 2030年に向けて、政府はすべてのデジタル化の取り組みにおいてプライバシーを保護する。公共部門に関連するすべてのITソリューションにはプライバシー保護が組み込まれていなければならず、ハイテク・ジャイアンツとの相互作用において市民のプライバシーを確保しなければならない。
Goal 2030: We shall ensure a 20 per cent increase in citizens’ confidence in the public sector’s privacy protection efforts. Citizens’ confidence on this issue has decreased by 12 per cent since 2010.[6] 目標2030:公共部門のプライバシー保護に対する市民の信頼を20%向上させる。この問題に対する市民の信頼は、2010年以来12%減少している。[6]
Securing future-oriented digital competence 未来志向のデジタル・コンピタンスを確保する
By 2030, the Government wants to ensure that Norway has access to the necessary digital competence, both as a basic skill in all relevant education programmes and as specialised skills. Technology subjects will be prioritised in education. We will ensure that the public sector and the business sector have access to the necessary skills to succeed in the green and digital transition. 2030年までに、政府はノルウェーが必要なデジタル能力を、関連するすべての教育課程における基礎スキルとして、また専門スキルとして、確実に身につけられるようにしたいと考えている。技術科目は教育において優先される。公共部門とビジネス部門が、グリーンとデジタルの移行を成功させるために必要なスキルを利用できるようにする。
Goal 2030: The proportion of government agencies struggling to recruit ICT specialists has decreased by 15 per cent. Currently, 82.5 per cent of government agencies struggle to recruit ICT specialists.[7] 目標2030:ICT専門家の確保に苦慮する政府機関の割合を15%減少させる。現在、政府機関の82.5%がICT専門家の確保に苦慮している。[7]
Goal 2030: Less than 55 per cent of enterprises report unmet ICT skills needs. Currently, this figure is 64 per cent.[8] 目標2030:満たされていないICTスキルのニーズを報告する企業を55%未満にする。現在、この数字は64%である。[8]
Harnessing the power of artificial intelligence, data and data-driven innovation 人工知能、データ、データ主導型イノベーションの力を活用する
Towards 2030, the Government will establish a national infrastructure for artificial intelligence (AI), placing Norway at the vanguard of ethical and safe AI use. The business sector shall have favourable framework conditions for developing and using AI. The public sector shall utilise AI to develop better services and solve tasks more efficiently. 2030年に向けて、政府は人工知能(AI)のための国家インフラを確立し、ノルウェーを倫理的で安全なAI利用の先駆けとして位置づける。ビジネス部門は、AIの開発と利用に有利な枠組み条件を整える。公共部門は、より良いサービスを開発し、より効率的に課題を解決するためにAIを活用する。
Goal 2030: All government agencies use AI as part of their task management. Currently, 43 per cent of them do so.[9] 目標2030:すべての政府機関がタスク管理の一環としてAIを活用する。現在、政府機関の43%がAIを利用している。[9]
Norway will also be a leader in value creation with data and in data-driven research and innovation. We will participate in the EU’s data space initiatives where relevant. ノルウェーはまた、データによる価値創造とデータ主導の研究とイノベーションのリーダーである。また、関連するEUのデータ空間イニシアティブに参加する。
Goal 2030: 60 per cent of private sector enterprises utilise data from the public sector. Currently, this share is 42 per cent.[10] 目標2030:民間企業の60%が公共部門のデータを利用する。現在、この割合は42%である。[10]
Promote an adaptable and innovative business sector and accelerate the green and digital transition 適応力のある革新的なビジネスセクターを促進し、グリーンとデジタルの移行を加速させる。
In the run-up to 2030, the Government will facilitate the strengthening of the business sector’s competitiveness through the innovative use of data and digitalisation. The conditions for start-up enterprises shall be favourable. We shall ensure that digitalisation and the use of data reinforce our advantages in key industries, such as health, energy, aquaculture and other maritime industries. 2030年に向けて、政府はデータとデジタルの革新的利用を通じてビジネス部門の競争力強化を促進する。新興企業にとって有利な条件を整備する。デジタル化とデータの活用により、健康、エネルギー、水産養殖、その他の海洋産業などの主要産業における優位性を強化する。
We shall prioritise lifelong learning offerings in areas that are necessary for the future business sector. 将来のビジネス部門に必要な分野の生涯学習を優先的に提供する。
We shall facilitate the green and digital transformation of the business sector. 我々は、ビジネス・セクターのグリーンかつデジタルな変革を促進する。
Goal 2030: Norway shall be the leading country in the Nordic region for digital innovation. Currently, Norway is below average.[11] 目標2030:ノルウェーは、デジタル・イノベーションにおいて北欧地域をリードする国になる。現在、ノルウェーは平均以下である。[11]
Goal 2030: Norwegian enterprises shall become the best in the Nordic region at using new technologies such as cloud services, IoT, big data analysis and AI. Currently, Norwegian enterprises are below the Nordic average.[12] 目標2030:ノルウェー企業は、クラウドサービス、IoT、ビッグデータ分析、AIなどの新技術の活用において、北欧地域で最も優れた企業となる。現在、ノルウェーの企業は北欧の平均を下回っている。[12]
Goal 2030: The amount of electrical and electronic waste per person shall be reduced by 32 per cent. Currently, this figure stands at 26.8 kilos per person.[13] 目標2030:1人当たりの電気・電子廃棄物の量を32%削減する。現在、この数字は1人当たり26.8キロである。[13]
Maintaining trust, strengthening inclusion, and safeguarding considerations for children and young people 信頼の維持、インクルージョンの強化、子どもと若者の保護への配慮
Towards 2030, the Government will ensure that everyone can take part in digitalisation. We will strengthen our efforts to increase the digital competence of those groups experiencing digital barriers and digital exclusion. We shall make sure that everyone is offered an electronic identity. We shall strengthen the population’s resilience to digital disinformation. Children and young people shall be ensured a safe digital upbringing. We shall ensure a good digital-analogue balance in kindergartens, schools and in the leisure time of children and young people. 2030年に向けて、政府は、誰もがデジタル化に参加できるようにする。デジタル障壁やデジタル排除を経験しているグループのデジタル能力を高める努力を強化する。すべての人に電子IDが提供されるようにする。私たちは、デジタル偽情報に対する国民の耐性を強化する。子供や若者には安全なデジタル教育を保障する。私たちは、幼稚園、学校、そして子供や若者の余暇の時間において、デジタルとアナログの良好なバランスを確保する。
Goal 2030: The number of persons over the age of 12 in Norway who have a high-security eID shall be 5 million. Currently, this figure is 4.5 million.[14] 目標2030:ノルウェーの12歳以上で安全性の高いeIDを持つ人の数を500万人とする。現在、この数字は450万人である。[14]
Goal 2030: 95 per cent of the population should have basic digital skills, and everyone should be offered the opportunity to develop such skills. Currently, 86 per cent of the population has digital skills.[15] 目標2030:人口の95%が基本的なデジタル・スキルを有し、誰もがそのようなスキルを身につける機会を与えられるべきである。現在、人口の86%がデジタル・スキルを有している。[15]
   
[1] Report to the Storting (white paper) No. 31 (2023 -2024). Long-term Perspectives on the Norwegian Economy 2024. Ministry of Finance. ストーティング(白書)第31号(2023~2024年)報告書。2024年ノルウェー経済の長期展望.財務省。
[2] OECD. OECD Digital Government Index. OECD.OECDデジタル政府指数。
[3] Norwegian Communications Authority. Brebåndsdekning [Broadband coverage]. ノルウェー通信局Brebåndsdekning [ブロードバンドのカバー範囲]。
[4] Statistics Norway. Actions taken as a part of internal control for information security  ノルウェー統計局情報セキュリティ内部統制の一環として実施された措置 
[5] Statistics Norway. Actions taken as a part of internal control for information security  ノルウェー統計局情報セキュリティ内部統制の一環として実施された措置 
[6] Norwegian Agency for Public and Financial Management. The Norwegian Citizen Survey – Digitalisering i offentlig sektor [Digitalisation of the public sector]. ノルウェー公共財政管理庁。The Norwegian Citizen Survey - Digitalisering i offentlig sektor(公共部門のデジタル化).
[7] Statistics Norway. Digitalisation and ICT in the public sector ノルウェー統計局公共部門におけるデジタル化とICT
[8] Nordic Institute for Studies in Innovation, Research and Education. (2023). NHO’s kompetansebarometer 2023 [The Confederation of Norwegian Enterprise Skills Barometer 2023]. nho.no 北欧イノベーション・研究・教育研究所。(2023).NHO's kompetansebarometer 2023 [The Confederation of Norwegian Enterprise Skills Barometer 2023]. nho.no
[9] National Audit Office of Norway. 2024. Document 3:18 (2023-2024) Use of Artificial Intelligence in the Central Government. ノルウェー国家監査局2024.資料3:18(2023-2024)中央政府における人工知能の利用。
[10] Statistics Norway. Use of ICT in the business sector ノルウェー統計局ビジネス部門におけるICTの利用
[11] OECD. (2024). «Innovation» OECD Going Digital Toolkit. OECD.(2024).「イノベーション」 OECDゴーイング・デジタル・ツールキット.
[12] OECD. (2024). ICT Access and Usage Databases OECD.(2024).ICTアクセスと利用データベース
[13] OECD. Unmanaged e-waste per capita OECD一人当たり未管理電子廃棄物
[14] BankID. Om oss [About us] BankID会社概要
[15] Norwegian Directorate for Higher Education and Skills. (2021). Befolkningens digitale kompetanse og deltakelse [Population digital competence and participation] ノルウェー高等教育・技能総局。(2021).デジタルコンピテンシーと参加[人口デジタルコンピテンシーと参加]の育成

 

 

| | Comments (0)

欧州 EDPB 米国の十分性認定についての1年後のレビュー結果

こんにちは、丸山満彦です。

2023年7月10日にEUと米国のデータ・プライバシー枠組みに関する十分性認定が採択されていますが、その1年後の状況の見直しが行われ、引き続き十分性認定は続けるということになったようです。。。

 

EDPB

・2024.11.06 EDPB Report on the first review of the European Commission Implementing Decision on the adequate protection of personal data under the EU-US Data Privacy Framework

報告書の名称は、

  • EDPB Report on the first review of the European Commission Implementing Decision on the adequate protection of personal data under the EU-US Data Privacy Framework

  • EDPB EU-USデータ・プライバシー枠組の下での個人データの適切な保護に関する欧州委員会の施行決定の第1回レビューに関する報告書

です...

・[PDF]

20241109-220950

 

 

EXECUTIVE SUMMARY  エグゼクティブサマリー 
On 10 July 2023, the European Commission adopted its adequacy decision for the EU-U.S. Data Privacy Framework. Article 3 of the adequacy decision requires the Commission to regularly review the decision, with the first periodic review to take place after one year from the date of the notification of the adequacy decision to the Member States. In line with Recital 212 of the adequacy decision, five representatives of the EDPB participated in the review meeting that was held in Washington D.C. on 18 and 19 July of 2024. The EDPB focused on the assessment of both the commercial aspects of the EU-U.S. Data Privacy Framework (‘DPF’) and on the access by U.S. public authorities to personal data transferred from the EU to DPF-certified organisations.  2023年7月10日、欧州委員会はEUと米国のデータ・プライバシー枠組みに関する十分性認定を採択した。十分性認定の第3条では、欧州委員会はこの決定を定期的に見直すことが義務付けられており、最初の定期的な見直しは、加盟国への十分性認定の通知日から1年後に行われることになっている。十分性認定の前文212に従い、EDPBの代表者5名が2024年7月18日と19日にワシントンD.C.で開催されたレビュー会合に参加した。EDPBは、EUと米国のデータ・プライバシー・フレームワーク(DPF)の商業的側面と、米国の公的機関によるEUからDPF認定組織へ移転された個人データへのアクセスの両方のアセスメントに焦点を当てた。
The EDPB welcomes the efforts made by the U.S. authorities and the Commission to implement the DPF, and takes positive note of several developments that took place since the adoption of the adequacy decision.   EDPBは、DPFの実施に向けた米国当局と欧州委員会の努力を歓迎するとともに、十分性認定の採択以降に起こったいくつかの進展に前向きに留意する。 
Concerning the commercial aspects of the DPF, the EDPB notes that the U.S. Department of Commerce took all relevant steps to implement the certification process for U.S. companies, including developing a new website, updating procedures, engaging with companies, and conducting awareness-raising activities. Similarly, the multi-layered redress system under the DPF has been updated and implemented and provides for several, easily accessible avenues for complaints from EU individuals. However, the very low number of eligible complaints received in the first year of the DPF appears to confirm previous concerns of the EDPB that the possibility for individuals to lodge complaints must be accompanied by proactive checks from the competent U.S. authorities on compliance with the substantial elements of the DPF Principles. Thus, the EDPB would like to encourage the Department of Commerce and the Federal Trade Commission to increase ex officio investigations as regards substantial compliance of certified organizations with all DPF Principles in the near future.   DPFの商業的側面に関して、EDPBは、米国商務省が米国企業向けの認証プロセスを実施するために、新しいウェブサイトの開発、手続きの更新、企業との関わり、啓発活動の実施など、あらゆる関連措置を講じたことに留意する。同様に、DPFに基づく多層的な救済制度も更新・実施され、EUの個人からの苦情に対応するための、アクセスしやすい複数の手段を提供している。しかし、DPF初年度の苦情受付件数が非常に少なかったことから、EDPBが以前から懸念していた、個人が苦情を申し立てられるようにするためには、DPF原則の実質的な要素が遵守されているかどうかを、管轄の米国当局が積極的にチェックする必要があることが確認された。したがって、EDPBは商務省と連邦取引委員会に対し、近い将来、DPF原則のすべてに対する認証組織の実質的な遵守に関して、職権による調査を強化するよう奨励したい。
The EDPB would also like to incentivise the Department of Commerce to work on and publish practical guidance on the Accountability for Onward Transfer Principle of the DPF. Such guidance would ideally clarify the requirements that DPF-certified companies who receive personal data from EU exporters need to comply with when transferring such data to other third countries. The EDPB also believes that there is a need to settle the longstanding divergence in interpretation between EU and US authorities of the notion of ‘HR Data’ under the DPF. Therefore, the EDPB equally encourages the Department of Commerce to swiftly develop guidance on this matter that acknowledges the broad definition of HR Data under the DPF and lays out practical examples where HR Data would be processed under the DPF, explaining for each scenario which DPF Principles would be relevant. The EDPB stands ready to provide feedback to the Department of Commerce’s guidance.   EDPBはまた、商務省がDPFの「国外移転の説明責任原則」に関する実務ガイダンスに取り組み、公表するよう働きかけたい。このようなガイダンスは、理想的には、EUの輸出業者から個人データを受け取るDPF認定企業が、当該データを他の第三国に移転する際に遵守すべき要件を明確にするものである。EDPBはまた、DPFにおける「人事データ」の概念について、EUと米国の当局の間で長年の解釈の相違があることに決着をつける必要があると考えている。そのため、EDPBは商務省に対し、DPFにおけるHRデータの広範な定義を認識し、HRデータがDPFの下で処理される実際の例を示し、各シナリオについてどのDPF原則が関連するかを説明するガイダンスを早急に作成することを同様に奨励する。EDPBは商務省のガイダンスに対するフィードバックを提供する用意がある。
Concerning access by U.S. public authorities to personal data transferred from the EU to DPFcertified organisations, the EDPB recalls that the adequacy decision is based in particular on the Commission’s favourable assessment of Executive Order 14086, which is effectively meant to remedy the deficits identified in the judgment of the CJEU in Case C-311/18. To this end, Executive Order 14086 provides for additional safeguards, most notably by introducing the concepts of necessity and proportionality into the U.S. legal framework on signals intelligence and establishing a new redress mechanism. In the first periodic review one year after the adoption of the adequacy decision, the EDPB focused on the effective implementation of these safeguards as well as on new developments concerning government access to personal data for national security purposes.  EDPBは、EUからDPF認定機関に移転された個人データへの米国の公的機関によるアクセスに関して、今回の十分性認定は、特に欧州委員会による大統領令14086に対する好意的なアセスメントに基づいていることを想起する。この大統領令は、Case C-311/18のCJEUの判決で指摘された欠陥を事実上是正するものである。この目的のために、大統領令14086は追加的なセーフガードをプロバイダとして規定している。特に、シグナルインテリジェンスに関する米国の法的枠組みに必要性と比例性の概念を導入し、新たな救済メカニズムを設けている。十分性認定の採択から1年後の第1回定期審査では、EDPBはその実効性に焦点を当て、 EDPBは、これらのセーフガードの効果的な実施と、国家安全保障目的の個人データへの政府アクセスに関する新たな進展に焦点を当てた。
On the implementation of the principles of necessity and proportionality, the EDPB recognizes that the U.S. Intelligence Community’s internal policies and procedures have been updated and published. The EDPB would have welcomed, however, an opportunity during the periodic review to discuss examples that clearly identify how the principles of necessity and proportionality are specifically interpreted and applied at agency level. The EDPB expects that future reviews would address this point. The EDPB is not in a position to fully assess the implementation of necessity and proportionality in practice and highlights the need to continue to carefully monitor this aspect, including in future reviews.  必要性と比例性の原則の実施について、EDPBは米国インテリジェンス・コミュニティの内部方針と手順が更新され、公表されていることを認識している。しかし、EDPBは定期的なレビューの中で、必要性と比例性の原則が具体的にどのように解釈され、各省庁レベルで適用されているかを明確に示す事例について議論する機会を歓迎した。EDPBは、今後のレビューでこの点が取り上げられることを期待している。EDPBは、実務における必要性と比例性の履行を完全にアセスメントする立場にはなく、今後のレビューも含め、この点を注意深く監視し続ける必要性を強調している。
On effective redress, the EDPB had already recognized significant improvements, especially relating to the powers of the Data Protection Review Court. U.S. authorities have subsequently taken measures to implement the redress mechanism of the DPF. The EDPB welcomes these important steps which include not only the designation of the EU, Iceland, Liechtenstein and Norway as qualifying states for the redress mechanism but also the appointment of eight judges and two special advocates to the Data Protection Review Court. The EDPB considers that the elements of the redress mechanism provided for in Executive Order 14086 are in place. At the time of the review, no complaint had been filed under the new framework by EU individuals. Also, the annual review of the redress mechanism carried out by the Privacy and Civil Liberties Oversight Board is still pending. The EDPB wishes to renew its call to the Commission to monitor the practical functioning of the different safeguards of Executive Order 14086 designed to ensure an essentially equivalent level of protection. The redress mechanism should remain a priority during future periodic reviews.  効果的な救済措置に関しては、EDPBはすでに、特にデータ保護審査裁判所の権限に関する大幅な改善を認めていた。米国当局はその後、DPFの救済メカニズムを実施するための措置を講じた。EDPBは、EU、アイスランド、リヒテンシュタイン、ノルウェーが救済メカニズムの適格国に指定されただけでなく、8人の裁判官と2人の特別弁護人がデータ保護審査裁判所に任命されたことを含む、これらの重要な措置を歓迎する。EDPBは、大統領令14086号に規定された救済措置の要素は整っていると考えている。レビューの時点では、EU加盟国の個人からこの新しい枠組みの下で苦情が提出されたことはなかった。また、プライバシー・自由監視委員会(Privacy and Civil Liberties Oversight Board)が実施する救済メカニズムの年次レビューもまだ保留されている。EDPBは欧州委員会に対し、実質的に同等の保護レベルを確保するために設けられた大統領令14086のさまざまなセーフガードの実際の機能を監視するよう、改めて要請したい。救済メカニズムは、今後の定期的な見直しの際にも優先されるべきものである。
With regard to the re-authorisation of Section 702 of the Foreign Intelligence Surveillance Act, the  外国情報監視法第702条の再承認について、EDPBは次のように評価する。
EDPB takes positive note of the legislative changes which increase privacy protections and recalls that Executive Order 14086 remains fully applicable when requesting access to data under Section 702 of the Foreign Intelligence Surveillance Act. However, the EDPB regrets that the reform did not incorporate the recommendation of the Privacy and Civil Liberties Oversight Board to codify certain safeguards of the Executive Order in Section 702 of the Foreign Intelligence Surveillance Act, thus not taking the opportunity to introduce additional safeguards as also previously recommended by the EDPB. The EDPB is concerned that the amendment to the definition of “electronic communication service provider” under Section 702 of the Foreign Intelligence Surveillance Act does not meet the requirement of clear, precise and accessible law. Notwithstanding the safeguards of Executive Order 14086, this change creates uncertainty about the actual reach of Section 702 surveillance. The EDPB considers that it is important for the Commission to follow up on future developments concerning Section 702 of the Foreign Intelligence Surveillance Act and also encourages the Privacy and Civil Liberties Oversight Board to monitor these developments.  EDPBは、プライバシー保護を強化する法改正に前向きに留意し、外国情報監視法第702条に基づくデータへのアクセスを要求する場合、大統領令14086が引き続き完全に適用されることを想起する。しかしEDPBは、大統領令の特定の保護措置を外国情報監視法第702条に成文化するというプライバシー・自由監視委員会の勧告を今回の改革が取り入れなかったこと、またEDPBが以前に勧告した追加保護措置を導入する機会を設けなかったことを遺憾に思う。EDPBは、外国情報監視法第702条における「電子通信サービスプロバイダー」の定義の改正が、明確で正確かつ利用しやすい法律という要件を満たしていないことを懸念している。大統領令14086のセーフガードにもかかわらず、この変更は第702条の監視の実際の範囲について不確実性をもたらす。EDPBは、委員会が外国情報監視法第702条に関する今後の動向をフォローアップすることが重要であると考えており、また、プライバシー・自由監視委員会に対しても、こうした動向を監視することを奨励している。
The EDPB underlines that an adequate level of protection must be ensured also with regard to governmental acquisition of personal data by U.S. intelligence agencies from data brokers and other commercial entities that is not captured by Executive Order 14086. The Commission should further assess and monitor this particular form of government access and its practical use cases.  EDPBは、データブローカーやその他の事業体から、大統領令14086では把握されていない個人データを米国情報機関が政府によって取得する場合にも、適切なレベルの保護が確保されなければならないことを強調する。EDPBは、このような政府のアクセス形態とその実際の使用例をさらにアセスメントし、監視すべきである。
The EDPB would find it appropriate for the next review of the DPF to take place within less than four years, taking into account the numerous important aspects of the adequacy decision and the implementation of the DPF that the EDPB has recommended the Commission to closely monitor. This would allow the Commission and the EDPB to follow up in a structured manner on comprehensive information from U.S. authorities and other stakeholders about the practical application of the DPF sooner than the legally-established maximum time limit for the review.   EDPBは、十分性認定とDPFの実施に関して、EDPBが委員会に注視するよう勧告した数多くの重要な側面を考慮すると、DPFの次回の見直しは4年以内に行うことが適切であると考える。そうすることで、欧州委員会とEDPBは、DPFの実際の運用に関する米国当局やその他の利害関係者からの包括的な情報を、法律で定められたレビューの最長期限よりも早く、体系的な形でフォローアップすることができるようになる。 

 

 

Executive summary エグゼクティブ・サマリー
1 INTRODUCTION 1 序文...
2 ON THE COMMERCIAL ASPECTS OF THE EU-U.S. DPF 2 EU-U.S.DPFの商業的側面について
2.1 Self-certification process; oversight and supervision of compliance with the Principles 2.1 自己認証プロセス、原則遵守の監督と監視
2.2 Complaint-handling, independent recourse mechanisms and arbitration 2.2 苦情処理、独立した救済メカニズム、仲裁
2.3 Guidance and cooperation 2.3 指導と協力.
2.4 Relevant legal developments in the U.S. 2.4 米国における関連法動向
3 ON THE ACCESS AND USE OF PERSONAL DATA TRANSFERRED UNDER THE DECISION BY U.S. PUBLIC AUTHORITIES 3 米国の公的機関による、この決定に基づいて移転された個人データへのアクセスと使用について
3.1 Implementation of necessity and proportionality  3.1 必要性と比例性の実施
 3.1.1 Internal policies and procedures  3.1.1 内部方針および手続き....
 3.1.2 Updates of legitimate objectives  3.1.2 正当な目的の更新.
 3.1.3 Prior independent authorisation of bulk collection  3.1.3 大量収集の事前の独立した認可。
3.2 Re-authorisation of Section 702 FISA 3.2 FISA702条の再承認
 3.2.1 Expansion of "electronic communication service provider"  3.2.1 「電子通信サービスプロバイダ 」の拡大
 3.2.2 Changes regarding the role of amici curiae 3.2.2 アミーチ・キュリエの役割に関する変更
3.3 Redress mechanism 3.3 救済メカニズム.
 3.3.1 Developments relating to the redress mechanism.  3.3.1 償還メカニズムに関連する進展.
 3.3.2 Independence of the DPRC  3.3.2 DPRCの独立性
 3.3.3 Standard response  3.3.3 標準回答
3.4 Government access to commercially available data  3.4 政府による市販データへのアクセス
4 CONCLUSIONS & RECOMMENDATIONS 4 結論と提言

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.07.11 欧州委員会 安全で信頼できるEUと米国のデータフローに関する新たな十分性認定を採択

 

| | Comments (0)

ENISA 意見募集 NIS2実施法のサイバーセキュリティ対策のためのENISA技術ガイダンス

こんにちは、丸山満彦です。

NIS2指令が2022年12月27日にEU官報に公表され、2023年1月16日に発行され、2024年10月までに各国の国内法に置き換えられました。SaaS事業者等への実施規則案も2024.10.17に公表され、意見募集がされています。

で、その実施規則案への技術ガイダンス案が公表され意見募集がされています。。。

● ENISA

プレス...

・2024.11.07 Asking for your feedback: ENISA technical guidance for the cybersecurity measures of the NIS2 Implementing Act

Asking for your feedback: ENISA technical guidance for the cybersecurity measures of the NIS2 Implementing Act ご意見をお聞かせください: NIS2実施法のサイバーセキュリティ対策のためのENISA技術ガイダンス
We are inviting industry stakeholders to provide comments on the technical guidance for the NIS2 implementing act on cybersecurity measures for critical entities in the digital infrastructure sector. デジタルインフラ分野の重要事業体のサイバーセキュリティ対策に関するNIS2実施法の技術ガイダンスについて、業界関係者からのご意見を募集している。
ENISA is developing technical guidance to support EU Member States and entities with the implementation of the technical and methodological requirements of the NIS2 cybersecurity risk-management measures outlined in the Commission Implementing Regulation (EU) 2024/2690 of 17.10.2024.   ENISAは、2024年10月17日付の欧州委員会施行規則(EU)2024/2690に概説されているNIS2のサイバーセキュリティリスクマネジメント対策の技術的・方法論的要件の実施をEU加盟国および事業体に支援するための技術ガイダンスを策定している。
ENISA develops this technical guidance to provide:  ENISAは、この技術ガイダンスを作成し、プロバイダに提供する: 
・Additional advice and tips on what to consider when implementing a requirement and further explanation about concepts and terms used in the legal text;   ・要件を実施する際に考慮すべき事項に関する追加的な助言とヒント、および法文で使用されている概念と用語に関する詳細な説明; 
・Examples of evidence, which could be used to asses if a requirement has been met;   ・要件が満たされているかどうかを評価するために使用できる証拠の例; 
・Tables, mapping the security requirements in the Implementing Regulation to European and international standards, as well as national frameworks.  ・実施規則のセキュリティ要件と欧州標準、国際標準、国内枠組みとの対応表。
The draft of the technical guidance is now available for industry consultation through the following link: Implementation guidance on NIS 2 security measures — ENISA  テクニカル・ガイダンスのドラフトは現在、以下のリンクから業界関係者の協議に供されている: NIS 2セキュリティ対策の実施ガイダンス - ENISA
Please send us your feedback latest on 9 December 2024, 18.00 CET. Further instructions on how to provide your feedback can be found here.  遅くとも12月9日18:00(中央ヨーロッパ標準時)までにご意見をお寄せいただきたい。フィードバックの方法については、こちらを参照のこと。
For more information and questions, please email [mail] 詳細およびご質問は、[mail]
Background  背景 
The NIS2 is new EU-wide cybersecurity legislation that EU Member States were required to transpose into their national legislations by 17 October 2024. The NIS2 aims to achieve a high level of cybersecurity in Europe, and has a focus on increasing the resilience of the EU’s critical sectors. ENISA developed a NIS2 explanatory video and several infographicswith everything you want to know about the NIS2, the main concepts and new mechanisms.    NIS2は、EU加盟国が2024年10月17日までに自国の国内法制に移行することを義務付けられた、EU全体のサイバーセキュリティに関する新しい法律である。NIS2は、欧州における高水準のサイバーセキュリティを達成することを目的としており、EUの重要部門のレジリエンスを高めることに重点を置いている。ENISAはNIS2の説明ビデオとインフォグラフィックを作成し、NIS2、主要概念、新メカニズムについて知りたいことをすべて紹介している。
On the 17th of October 2024, the European Commission adopted the implementing rules under the NIS2 Directive, specifying the NIS2 Directive cybersecurity risk-management measures for certain entities from the digital infrastructure, digital providers and ICT service management sectors. More specifically, these implementing rules lay down the technical and the methodological requirements for the following NIS2 subsectors: DNS service providers, TLD name registries, cloud computing service providers, data centre service providers, content delivery network providers (CDNs), managed service providers (MSPs), managed security service providers (MSSPs), providers of online market places, of online search engines and social networking services platforms, and trust service providers.  2024年10月17日、欧州委員会はNIS2指令の施行規則を採択し、デジタルインフラ、デジタルプロバイダー、ICTサービスマネジメント分野の特定の事業体に対するNIS2指令のサイバーセキュリティ・リスク管理措置を規定した。具体的には、以下のNIS2サブセクターに対して、技術的および方法論的な要件を定めている: DNSサービス・プロバイダ、TLDネーム・レジストリ、クラウド・コンピューティング・サービス・プロバイダ、データセンター・サービス・プロバイダ、コンテンツ・デリバリー・ネットワーク・プロバイダ(CDN)、マネージド・サービス・プロバイダ(MSP)、マネージド・セキュリティ・サービス・プロバイダ(MSSP)、オンライン・マーケット・プレイス、オンライン検索エンジン、ソーシャル・ネットワーキング・サービス・プラットフォームのプロバイダ、トラスト・サービス・プロバイダである。
This complementary technical guidance was developed by ENISA, in collaboration with the Commission and the EU Member States within the NIS Cooperation group (NIS CG).  この補完的な技術ガイダンスは、欧州委員会およびNIS協力グループ(NIS CG)内のEU加盟国と協力してENISAが作成した。
Further Information  詳細情報 
NIS implementing rules – Commission website  NIS実施規則 - 欧州委員会ウェブサイト
NIS Directive 2 - ENISA website   NIS指令2 - ENISAのウェブサイト
NIS2 Directive full text – Commission website   NIS2指令全文 - 欧州委員会ウェブサイト
NIS Cooperation group website  NIS協力グループのウェブサイト
ENISA infographics material explaining the NIS2    NIS2を説明するENISAのインフォグラフィックス資料

 

ガイドライン案

・2024.11.07 Implementation guidance on NIS 2 security measures - Draft for Consultation

Implementation guidance on NIS 2 security measures - Draft for Consultation NIS 2セキュリティ対策の実施ガイダンス - コンサルテーション用ドラフト
The draft of the technical guidance aiming to support entities in scope of Commission Implementing Regulation (EU) 2024/2690 of 17 October 2024 to implement the technical and methodological requirements of the measures referred to in Article 21(2) of Directive (EU) 2022/2555 is now available for industry consultation. 2024年10月17日付の欧州委員会施行規則(EU)2024/2690の適用範囲にある事業体が、指令(EU)2022/2555の第21条(2)で言及されている措置の技術的・方法論的要件を実施するのを支援することを目的とした技術ガイダンスのドラフトが、業界向けに公開されている。

 

・[PDF]

20241109-164622

 

エグゼクティブサマリー...

EXECUTIVE SUMMARY エグゼクティブサマリー 
Commission Implementing Regulation (EU) 2024/2690 of 17 October 2024 , with regard to DNS service providers, TLD name registries, cloud computing service providers, data centre service providers, content delivery network providers, managed service providers, managed security service providers, providers of online market places, of online search engines and of social networking services platforms, and trust service providers (the relevant entities) lays down the echnical and the methodological requirements of the measures referred to in Article 21(2) of Directive (EU) 2022/2555. The technical and methodological requirements are set out in Article 2 and in the Annex of the implementing regulation.  DNSサービス・プロバイダ、TLDネーム・レジストリ、クラウド・コンピューティング・サービス・プロバイダ、データセンター・サービス・プロバイダ、コンテンツ・デリバリー・ネットワーク・プロバイダ、マネージド・サービス・プロバイダ、マネージド・セキュリティ・サービス・プロバイダ、オンライン・マーケット・プレイス、オンライン検索エンジン、ソーシャル・ネットワーキング・サービス・プラットフォームのプロバイダ、およびマネージド・セキュリティ・サービス・プロバイダ(関連事業体)に関する2024年10月17日付の欧州委員会施行規則(EU)2024/2690は、指令(EU)2022/2555の第21条(2)で言及されている措置の技術的要件および方法論的要件を定めている。技術的および方法論的要件は、施行規則の第2条および附属書に規定されている。
This document offers guidance to support relevant entities to implement these technical and methodological requirements. For these requirements, the document contains:  本文書は、関連事業体がこれらの技術的・方法論的要求事項を実施するのを支援するためのガイダンスを提供する。これらの要求事項に関して、本文書は以下を含む: 
 • guidance, i.e., indicative and actionable advice on parameters to consider when implementing a requirement or further explanation to concepts found in the legal text;  ・ガイダンス、すなわち、要求事項を実施する際に考慮すべきパラメータや、法文にある概念につい ての補足説明に関する、示唆的かつ実行可能な助言; 
• examples of evidences, i.e. the types of evidence that a requirement is in place;  ・証拠となる例、すなわち要求事項が実施されていることを示す証拠の種類; 
• extra general tips for additional consideration by the entity, where available; and  ・事業体が追加的に考慮すべき一般的なヒント(利用可能な場合)。
• mapping correlating each requirement to European and international standards and national frameworks.  ・各要件と欧州および国際標準,国内フレームワークとの関連付け。
This guidance was prepared by ENISA, in collaboration with the European Commission and the NIS Cooperation Group. This is a living document because it maps the technical and methodological requirements, referred to in Article 2 and the Annex of the implementing regulation, to international standards as well as to national cybersecurity management frameworks which are both constantly subject to change. Therefore, a review process should be initiated at regular intervals by ENISA in collaboration with the European Commission and the NIS Cooperation Group. 本ガイダンスは、ENISAが欧州委員会およびNIS協力グループと協力して作成した。本ガイダンスは、施行規則第2条および附属書で言及されている技術的・方法論的要件を、国際標準および各国のサイバーセキュリティ管理の枠組みに対応付けたものであり、いずれも常に変化するものであるため、生きた文書である。したがって、ENISAは欧州委員会およびNIS協力グループと協力して、定期的に見直しプロセスを開始すべきである。

 

目次...

EXECUTIVE SUMMARY エグゼクティブサマリー
INTRODUCTION 序文
BACKGROUND 背景
STRUCTURE 構造
TOPIC SPECIFIC POLICIES トピック別方針
1. POLICY ON THE SECURITY OF NETWORK AND INFORMATION 1. ネットワークと情報のセキュリティに関する方針
1.1 POLICY ON THE SECURITY OF NETWORK AND INFORMATION SYSTEMS 1.1 ネットワークと情報システムのセキュリティに関する方針
1.2 ROLES, RESPONSIBILITIES AND AUTHORITIES 1.2 役割、責任、認可
2. RISK MANAGEMENT POLICY 2. リスクマネジメント方針
2.1 RISK MANAGEMENT FRAMEWORK 2.1 リスクマネジメントの枠組み
2.2 COMPLIANCE MONITORING 2.2 コンプライアンス・モニタリング
2.3 INDEPENDENT REVIEW OF INFORMATION AND NETWORK SECURITY 2.3 情報およびネットワークセキュリティの独立したレビュー
3. INCIDENT HANDLING 3. インシデントハンドリング
3.1 INCIDENT HANDLING POLICY 3.1 インシデントハンドリング方針
3.2 MONITORING AND LOGGING 3.2 モニタリングとロギング
3.3 EVENT REPORTING 3.3 イベント報告
3.4 EVENT ASSESSMENT AND CLASSIFICATION 3.4 イベントのアセスメントと分類
3.5 INCIDENT RESPONSE 3.5 インシデント対応
3.6 POST-INCIDENT REVIEWS 3.6 インシデント発生後のレビュー
4. BUSINESS CONTINUITY AND CRISIS MANAGEMENT 4. 事業継続と危機管理
4.1 BUSINESS CONTINUITY AND DISASTER RECOVERY PLAN 4.1 事業継続および災害復旧計画
4.2 BACKUP MANAGEMENT 4.2 バックアップ管理
4.3 CRISIS MANAGEMENT 4.3 危機管理
5. SUPPLY CHAIN SECURITY 5. サプライチェーンセキュリティ
5.1 SUPPLY CHAIN SECURITY POLICY 5.1 サプライチェーンセキュリティ方針
5.2 DIRECTORY OF SUPPLIERS AND SERVICE PROVIDERS 5.2 サプライヤーとサービスプロバイダーのディレクトリ
6. SECURITY IN NETWORK AND INFORMATION SYSTEMS ACQUISITION, DEVELOPMENT AND MAINTENANCE 6. ネットワークと情報システムの取得、開発、保守におけるセキュリティ
6.1 SECURITY IN ACQUISITION OF ICT SERVICES, ICT SYSTEMS OR ICT PRODUCTS 6.1 ICTサービス、ICTシステムまたはICT製品の取得におけるセキュリティ
6.2 SECURE DEVELOPMENT LIFE CYCLE 6.2 安全な開発ライフサイクル
6.3 CONFIGURATION MANAGEMENT 6.3 構成管理
6.4 CHANGE MANAGEMENT, REPAIRS AND MAINTENANCE 6.4 変更管理、修理及び保守
6.5 SECURITY TESTING 6.5 セキュリティテスト
6.6 SECURITY PATCH MANAGEMENT 6.6 セキュリティパッチ管理
6.7 NETWORK SECURITY 6.7 ネットワーク・セキュリティ
6.8 NETWORK SEGMENTATION 6.8 ネットワークセグメンテーション
6.9 PROTECTION AGAINST MALICIOUS AND UNAUTHORISED SOFTWARE 6.9 悪意のある未承認ソフトウェアからの防御
6.10 VULNERABILITY HANDLING AND DISCLOSURE 6.10 脆弱性の取り扱いと開示
7. POLICIES AND PROCEDURES TO ASSESS THE EFFECTIVENESS OF CYBERSECURITY RISK-MANAGEMENT MEASURES 7. サイバーセキュリティリスクマネジメント対策の有効性をアセスメントするための方針と手順
8. BASIC CYBER HYGIENE PRACTICES AND SECURITY TRAINING 8. 基本的なサイバー衛生の実践とセキュリティ研修
8.1 AWARENESS RAISING AND BASIC CYBER HYGIENE PRACTICES 8.1 意識向上と基本的なサイバー衛生の実践
8.2 SECURITY TRAINING 8.2 セキュリティ研修
9. CRYPTOGRAPHY 9. 暗号化
10.HUMAN RESOURCES SECURITY 10.人的資源のセキュリティ
10.1 HUMAN RESOURCES SECURITY 10.1 人材セキュリティ
10.2 VERIFICATION OF BACKGROUND 10.2 経歴の検証
10.3 TERMINATION OR CHANGE OF EMPLOYMENT PROCEDURES 10.3 解雇または雇用変更手続き
10.4 DISCIPLINARY PROCESS 10.4 懲戒手続き
11.ACCESS CONTROL 11.アクセス管理
11.1 ACCESS CONTROL POLICY 11.1 アクセス管理方針
11.2 MANAGEMENT OF ACCESS RIGHTS 11.2 アクセス権の管理
11.3 PRIVILEGED ACCOUNTS AND SYSTEM ADMINISTRATION ACCOUNTS 11.3 特権アカウントおよびシステム管理アカウント
11.4 ADMINISTRATION SYSTEMS 11.4 管理システム
11.5 IDENTIFICATION 11.5 識別
11.6 AUTHENTICATION 11.6 認証
11.7 MULTI-FACTOR AUTHENTICATION 11.7 多要素認証
12.ASSET MANAGEMENT 12.資産管理
12.1 ASSET CLASSIFICATION 12.1 資産の分類
12.2 HANDLING OF ASSETS 12.2 資産の取り扱い
12.3 REMOVABLE MEDIA POLICY 12.3 リムーバブルメディアポリシー
12.4 ASSET INVENTORY 12.4 資産目録
12.5 DEPOSIT, RETURN OR DELETION OF ASSETS UPON TERMINATION OF EMPLOYMENT 12.5 終了時の資産の預託、返却または削除
13.ENVIRONMENTAL AND PHYSICAL SECURITY 13.環境および物理的セキュリティ
13.1 SUPPORTING UTILITIES 13.1 ユーティリティのサポート
13.2 PROTECTION AGAINST PHYSICAL AND ENVIRONMENTAL THREATS 13.2 物理的および環境的脅威に対する防御
13.3 PERIMETER AND PHYSICAL ACCESS CONTROL 13.3 周辺および物理的アクセス管理
ANNEX I NATIONAL FRAMEWORKS 附属書 I 国の枠組み
ANNEX II GLOSSARY 附属書 Ⅱ 用語集

 


 

ついでに、NIS2を説明するインフォグラフィックスとビデオ

Understanding the NIS2 Directive: Strengthening Cybersecurity Across the EU

Understanding the NIS2 Directive: Strengthening Cybersecurity Across the EU NIS2指令を理解する: EU全体でサイバーセキュリティを強化する
Network and Information Systems Directive 2 (NIS2) ネットワークと情報システム指令2(NIS2)
The NIS2 Directive is a cornerstone of the European Union's efforts to ensure a high common level of cybersecurity across all member states. As the successor to the original NIS Directive, NIS2 expands the scope, strengthens measures, and introduces new requirements to help protect critical infrastructure, essential services, and key sectors from cyber threats . NIS2指令は、全加盟国に共通する高いレベルのサイバーセキュリティを確保するための欧州連合の取り組みの要である。オリジナルのNIS指令の後継として、NIS2は範囲を拡大し、対策を強化し、重要インフラ、重要サービス、主要セクターをサイバー脅威から守るための新たな要件を導入している。
To support organisations and authorities in complying with NIS2, ENISA has developed comprehensive awareness materials. These resources aim to inform both businesses and competent authorities of the directive's requirements, helping them understand how NIS2 impacts their cybersecurity practices. NIS2に準拠する組織や認可を支援するため、ENISAは包括的な啓発資料を作成した。これらの資料は、企業と所轄当局の双方に指令の要件を認可し、NIS2がサイバーセキュリティの実践にどのような影響を与えるかを理解することを目的としている。

 

Key Topics Covered in Our NIS2 Information Campaign: NIS2情報キャンペーンで扱う主なトピック Info Video DL
Topic 1: What You Need to Know トピック1:知っておくべきこと  
Topic 2: What's new in NIS2 トピック2:NIS2の新機能  
Topic 3: Sectors in Scope トピック3:対象分野    
Topic 4: Risk Management Measures トピック4:リスクマネジメント対策    
Topic 5: Incident Reporting Obligations トピック5:インシデント報告義務  
Topic 6: EU-Level Collaboration トピック6:EUレベルの連携    
Topic 7: National Supervision Key Actors トピック7:各国の監督主体    
Topic 8: Vulnerability Disclosure and Coordinated Vulnerability Disclosure (CVD) トピック8:脆弱性の開示と協調的脆弱性開示(CVD)  
Topic 9: Implementing Act トピック9:法の実装    

 


 

 

まるちゃんの情報セキュリティ気まぐれ日記

SaaS事業者等の実施規則案

・2024.11.07 欧州委員会 NIS2指令 - 欧州委員会施行規則C(2024) 7151と附属書 (2024.10.17)

 

NIS2指令

・2023.01.19 欧州 NIS2 指令 条文 (2022.12.27)

| | Comments (0)

2024.11.09

米国 Get Cyber Smart 学生、教師、保護者向けの無料の教育リソース

こんにちは、丸山満彦です。

米国のCISA等が協力して、学生、教師、保護者向けの無料の教育リソースを公表していますね...

学生向けにビデオなどのマテリアルを用意しています。

すごいね...

 

Get Cyber Smart

20241109-41855

 

学生向け

教師向け

保護者向け

 

 

 

| | Comments (0)

ドイツ 連邦セキュリティ室 (BSI) 意見募集 TR-03183: 製造者及び製品に対するサイバーレジリエンス要件(一般要求事項、SBOM、脆弱性報告)

こんにちは、丸山満彦です。

ドイツの連邦セキュリティ室 (BSI)が、TR-03183: 製造者及び製品に対するサイバーレジリエンス要件についての3つのガイダンス(一般要求事項、SBOM、脆弱性報告)についての意見募集をしていますね...

 

Bundesamt für Sicherheit in der Informationstechnik; BSI

・2024.09.20 Federal Office for Information Security BSI Technical Guideline TR-03183: Cyber Resilience Requirements for Manufacturers and Products

BSI TR-03183: Cyber Resilience Requirements for Manufacturers and Products BSI TR-03183: 製造者及び製品に対するサイバーレジリエンス要件
The Technical Guideline TR-03183: Cyber Resilience Requirements for Manufacturers and Products aims to provide manufacturers with advance access to the type of requirements that will be imposed on them by the future Cyber Resilience Act (CRA) of the EU. The CRA was published as a draft in September 2022 and is currently a matter of the legislative process. Following possible changes to the final legal text, the Technical Guideline may be adapted. 技術ガイドライン TR-03183: 製造者および製品に対するサイバーレジリエンス要件は、将来EUで制定されるサイバーレジリエンス法(CRA)によって製造者に課されることになる要件の種類への事前アクセスを提供することを目的としている。CRAは2022年9月にドラフトとして公表され、現在は立法過程にある。最終的な法文が変更される可能性があるため、本技術ガイドラインも変更される可能性がある。
Part 1 "General Requirements" describes requirements for Manufacturers and Products on the basis of the articles and annexes of the CRA. 第1部「一般要求事項」は、CRA の条項および附属書に基づいて、製造者および製品に対す る要求事項を記述している。
Part 2 "Software Bill of Materials (SBOM)" describes formal and technical requirements for Software Bill of Materials (SBOM) 第2部「ソフトウェア部品表(SBOM)」は、ソフトウェア部品表(SBOM)の形式的及び技術的要求事項を記述している。
Part 3 “Vulnerability Reports and Notifications” describes the handling of incoming vulnerability reports. 第3部「脆弱性報告及び通知」では、受領した脆弱性報告の取り扱いについて記述している。

 

一般要求事項

・[PDF] TR-03183: Cyber Resilience Requirements for Manufacturers and Products - Part 1: General requirements Version 0.9.0

20241109-32614

・[DOCX][PDF] 仮訳

1 Introduction 1. はじめに
1.1 Important Note 1.1 重要な注意事項
2 Requirements Language 2. 要求言語
3 Basics 3. 基本事項
3.1 Security objectives and scope 3.1 セキュリティの目的と範囲
3.2 Roles 3.2 役割
3.3 Conformity Assessment 3.3 適合性評価
4 Risk assessment 4 リスク評価
4.1 Important Note 4.1 重要な注意事項
4.2 REQ_RA 1 – Risk assessment 4.2 REQ_RA 1 - リスクアセスメント
5 Security requirements 5. セキュリティ要件
5.1 Important Note 5.1 重要な注意事項
5.2 Application Guidance 5.2 適用ガイダンス
5.3 Essential requirements related to product properties 5.3 製品特性に関連する必須要件
5.4 Essential requirements related to vulnerability handling 5.4 脆弱性の取り扱いに関する必須要件
6 Documentation obligations 6 文書作成義務
6.1 Technical documentation 6.1 技術文書
6.2 User Documentation 6.2 ユーザ文書
7 Annex 7 附属書

 

 

SBOM

・[PDF] TR-03183: Cyber Resilience Requirements for Manufacturers and Products - Part 2: Software Bill of Materials (SBOM) Version 2.0.0

20241109-32624

・[DOCX][PDF] 仮訳

 

1 Introduction 1 はじめに
2 Requirements Language 2 要求言語
3 Basics 3 基本
3.1 Definition of SBOM 3.1 SBOMの定義
3.2 Terms used 3.2 使用される用語
4 SBOM formats 4 SBOMフォーマット
5 Content requirements 5 コンテンツの要件
5.1 Level of detail 5.1 詳細レベル
5.2 Required data fields 5.2 必須データ・フィールド
5.3 Additional data fields 5.3 追加データフィールド
5.4 Optional data fields 5.4 オプションのデータフィールド
6 Express specifications 6 エクスプレス仕様
6.1 Licence identifiers and expressions 6.1 ライセンスの識別子と表現
7 Transitional system 7 移行システム
8 Annex 8. 附属書
8.1 Explanations 8.1 説明
8.2 Level of detail of an SBOM 8.2 SBOMの詳細レベル
8.3 SBOM classification 8.3 SBOMの分類
8.4 Further information 8.4 詳細情報

 

脆弱性報告

・[PDF] TR-03183: Cyber Resilience Requirements for Manufacturers and Products - Part 3: Vulnerability Reports and Notifications

20241109-32634

・[DOCX][PDF] 仮訳

1 Introduction 1 はじめに
2 Requirements Language 2 要求言語
3 Basics 3 基本
3.1 Terms used 3.1 使用される用語
4 Cybersecurity requirements for receiving vulnerability reports 4 脆弱性報告を受けるためのサイバーセキュリティ要件
4.1 Security.txt file in accordance with RFC 9116 4.1 RFC 9116に準拠したSecurity.txtファイル
4.2 Preliminary measures for a CVD process 4.2 CVDプロセスの予備的対策
4.3 CVD policy 4.3 CVD政策
4.4 Web page for incoming vulnerability reports 4.4 脆弱性報告の受信用ウェブページ
5 Annex 5 附属書
5.1 Further information 5.1 更なる情報

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

 

サイバーレジリエンス法、セッキュリティ認証... 

・2024.10.12 欧州理事会 サイバーレジリエンス法を採択 (2024.10.10)


・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2024.02.02 欧州委員会 サイバーセキュリティ認証制度 (EUCC) を採択

・2024.01.17 欧州 欧州議会の投票にかけられるサイバーレジリエンス法案 (Cyber Resilience Act)

・2023.12.04 欧州理事会、欧州議会がサイバーレジリエンス法について政治的合意

・2023.05.31 ENISA 新技術に対応したEUサイバーセキュリティ認証の実現可能性を探る

・2023.03.21 ENISA サイバーセキュリティ認証のウェブページを開設

・2023.03.01 IPA 欧州規格 ETSI EN 303 645 V2.1.1 (2020-06)の翻訳の公開

・2023.02.02 ドイツ スペースネットAG社のサービスにITセキュリティラベルを渡す

・2022.12.15 ドイツ フランス IT製品のセキュリティ認証に関する共同文書を発行 (固定時間制認証制度)

・2022.10.31 ドイツ シンガポール 消費者向けIoT製品のサイバーセキュリティ・ラベルの相互承認 (2022.10.20)

・2022.05.09 ドイツ ITセキュリティラベル for 消費者向けスマート製品

・2022.02.03 ドイツ BSI Mail.deの電子メールサービスにITセキュリティラベルを付与

・2021.07.18 独国 BSIがITセキュリティラベルについてのウェブページを公開していますね。。。


 

SBOMなど...

・2024.09.01 経済産業省 ソフトウェア管理に向けたSBOM(Software Bill of Materials)の導入に関する手引ver2.0 (2024.08.29)

・2024.05.26 中国 TC260 意見募集 国家標準「ネットワークセキュリティ技術ソフトウェア部品表 (SBOM) データフォーマット」案 (2024.05.16)

・2024.03.14 IPA NIST SP 800-161 rev.1 システム及び組織におけるサプライチェーンのサイバーセキュリティリスクマネジメントのプラクティスの翻訳 (2024.01.31)

・2024.01.08 米国 NSA SBOM管理のための推奨事項 (Ver. 1.1)

・2023.11.12 米国 NSA CISA ソフトウェアサプライチェーンの確保: ソフトウェア部品表の開示に関する推奨事項

・2023.11.09 米国 CISA 脆弱性悪用可能性交換情報の発行時期

・2023.09.26 米国 CISA サプライチェーンリスクマネジメント(SCRM)のためのハードウェア部品表フレームワーク(HBOM)

・2023.09.18 米国 CISA オープンソース・ソフトウェア・セキュリティ・ロードマップ

・2023.09.01 NIST SP 800-204D(初期公開ドラフト)DevSecOps CI/CDパイプラインにソフトウェアサプライチェーンセキュリティを統合するための戦略

・2023.08.15 ドイツ SBOMの要件...技術ガイドライン TR-03183:製造業者および製品に対するサイバーレジリエンス要件 (2023.08.04)

・2023.08.01 経済産業省 ソフトウェア管理に向けたSBOM(Software Bill of Materials)の導入に関する手引

・2023.07.03 OWASP SBOMガイダンス CycloneDX v1.5 (2023.06.23)

・2023.04.25 米国 CISA SBOM関連の二文書

・2023.04.18 国際医療機器規制当局フォーラム 「レガシー医療機器のサイバーセキュリティのための原則と慣行」「医療機器サイバーセキュリティのためのSBOMの原則と実践」 (2023.04.11, 04.13)

・2023.02.21 英国 NCSC サプライチェーン・マッピングのガイダンスを公表しています。。。(2023.02.16)

・2023.02.05 ソフトウェアサプライチェーンリスクの軽減策について...

・2022.11.12 NIST ホワイトペーパー【プロジェクト概要】ソフトウェアサプライチェーンとDevOpsのセキュリティ実践:リスクベースアプローチによるDevSecOpsの実践

・2022.10.06 米国 CISA 拘束的運用指令23-01 - 連邦ネットワークにおける資産の可視化と脆弱性検出の改善

・2022.09.18 米国 行政管理予算局 (0MB) ソフトウェアサプライチェーンのセキュリティ強化 を公表

・2022.07.26 NIST White Paper (Draft) [プロジェクト概要] ソフトウェアサプライチェーンとDevOpsセキュリティの実践:リスクベースアプローチによるDevSecOpsの実践

・2022.07.16 経済産業省 令和3年度委託調査報告書(サイバーセキュリティ関係) 2022.07.14現在

・2022.06.25 NIST SP 1800-34 (ドラフト) コンピューティングデバイスの完全性の検証

・2022.05.08 NIST SP 800-161 Rev. 1 システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践

・2022.02.06 NIST ホワイトペーパー: 大統領令14028条第4e項に基づくソフトウェア・サプライチェーン・セキュリティ・ガイダンス

・2021.12.13 Apache Log4j 2 の脆弱性 (CVE-2021-44228)+ ソフトウェアの管理 + 脆弱性情報の管理

・2021.11.22 英国 サプライチェーンとマネージドサービスプロバイダーのサイバーセキュリティについての質問に対する回答 at 2021.11.15

・2021.10.30 NIST SP 800-161 Rev. 1 (Draft) システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践(第2次ドラフト)

・2021.09.03 NIST SP 1800-34B (ドラフト) コンピューティングデバイスの完全性の検証(初期ドラフト)

・2021.06.27 NIST ソフトウェアサプライチェーンにおける「クリティカル・ソフトウェア」の定義:大統領令14028に応えて...

・2021.06.02 米国 国家のサイバーセキュリティ向上に関する大統領令 (EO 14028) に基づくソフトウェアサプライチェーン管理に関係して。。。

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2021.05.01 NIST SP 800-161 Rev. 1 (ドラフト) システムと組織のためのサイバー・サプライチェーン・リスク管理の実践

・2020.02.05 NISTがサプライチェーンセキュリティの実践資料のドラフトを公開していますね。。。

 

 

 

 

| | Comments (0)

2024.11.08

米国 CISA 国際戦略計画 2025-2026 (2024.10.29)

こんにちは、丸山満彦です。

米国のCISAが、国際戦略計画 2025-2026を公表していますね...

  • 米国が依存する海外インフラのレジリエンス強化
  • 統合的なサイバー防衛の強化
  • 国際活動における政府機関間の調整の統一

というところのようです...

以下の文書との整合性もとっているとのことです...

  • National Security Strategy:国家安全保障戦略
  • National Cybersecurity Strategy:
  • U.S. International Cyberspace and Digital Policy Strategy
  • CISA Strategic Plan 2023–2025
  • CISA Stakeholder Engagement Strategic Plan FY2023-2025
  • CISA Cybersecurity Strategic Plan 2024–2026

 

米国大統領選は、トランプ大統領が勝利をしたようですが、国際協力の進め方がどの程度かわっていくのか...というのは、少し気になるところですね...

 

CISA

・2024.10.29 CISA Releases Its First Ever International Strategic Plan

CISA Releases Its First Ever International Strategic Plan CISA、史上初の国際戦略計画を発表
CISA will proactively engage international partners to strengthen the security and resilience of our nation’s critical infrastructure  CISAは、わが国の重要インフラのセキュリティとレジリエンスを強化するため、国際的なパートナーに積極的に関与していく
WASHINGTON – Today, the Cybersecurity and Infrastructure Security Agency (CISA) released its 2025–2026 International Strategic Plan, the agency’s first, which supports the agency’s first comprehensive strategic plan and aligns with the National Security Memorandum on Critical Infrastructure Security and Resilience. The International Strategic Plan focuses on how CISA will proactively engage international partners to strengthen the security and resilience of our nation’s critical infrastructure.   ワシントン - 本日、サイバーセキュリティ・インフラ・セキュリティ庁(CISA)は、同庁初の包括的戦略計画をサポートし、重要インフラのセキュリティとレジリエンスに関する国家安全保障メモランダムと整合する、同庁初の2025-2026年国際戦略計画を発表した。国際戦略計画は、わが国の重要インフラのセキュリティとレジリエンスを強化するために、CISAがどのように国際パートナーと積極的に関与していくかに焦点を当てている。 
“In following this plan, CISA will improve coordination with our partners and strengthen international relationships to reduce risk to the globally interconnected and interdependent cyber and physical infrastructure that Americans rely on every day,” said CISA Director Jen Easterly.  「この計画に従って、CISAはパートナーとの協調を改善し、国際的な関係を強化することで、米国人が毎日頼りにしているグローバルに相互接続され、相互依存しているサイバー・インフラと物理的インフラに対するリスクを軽減する」とCISAのジェン・イースタリー所長は述べた。
Since the risks we face are complex, geographically dispersed and do not abide by borders, protecting and securing our cyber and physical infrastructure requires the concerted efforts of public and private partners around the globe. Our International Strategic Plan outlines three goals CISA must achieve to address the ever-changing and dynamic challenges facing America and our international partners:  われわれが直面しているリスクは複雑で、地理的に分散しており、国境がないため、サイバー・インフラと物理的インフラの防御と安全確保には、世界中の官民のパートナーの協力が必要である。我々の国際戦略計画では、米国と国際パートナーが直面する刻々と変化するダイナミックな課題に対処するため、CISAが達成すべき3つの目標を概説している: 
・Bolster the Resilience of Foreign Infrastructure on Which the U.S. Depends;   ・米国が依存する海外インフラのレジリエンス強化
・Strengthen Integrated Cyber Defense; and   ・統合的なサイバー防衛の強化
・Unify Agency Coordination of International Activities.   ・国際活動における政府機関間の調整の統一

 

FY2025-2026 CISA International Strategic Plan

 

目次...

Executive Summary エグゼクティブサマリー
OUR MISSION 我々の使命
GOAL 1 & OBJECTIVES 目標1と目標
GOAL 2 & OBJECTIVES 目標2と目標
GOAL 3 & OBJECTIVES 目標3と目標
CONCLUSION 結論
APPENDIX 1 附属書1
APPENDIX 2 附属書2

 

Executive Summary エグゼクティブサマリー
In today’s interdependent and interconnected world, the protection and security of our cyber and physical infrastructure requires the concerted efforts of public and private partners around the globe. The Cybersecurity and Infrastructure Security Agency (CISA) is a globally recognized leader in shaping and implementing proactive approaches to reduce risk and increase the resilience of critical infrastructure on which the United States (U.S.) and its partners depend. 相互依存と相互接続が進む今日のグローバル社会において、サイバーおよび物理的インフラの防御とセキュリティには、世界中の官民パートナーの協調的な取り組みが必要である。 サイバーセキュリティ・インフラセキュリティ庁(CISA)は、米国とそのパートナーが依存する重要なインフラのレジリエンスを高め、リスクを低減するための積極的なアプローチを策定し、実施する世界的に認められたリーダーである。
To effectively marshal its resources and guide operations, CISA issued the 2023-2025 CISA Strategic Plan, the agency’s first comprehensive strategic plan since CISA’s establishment in 2018. In recognition of the reality that today’s threats do not respect borders, CISA developed this CISA International Strategic Plan as a complementary guide for CISA’s international activities and outcomes. 効果的にリソースを結集し、業務を指導するために、CISAは2023年から2025年までのCISA戦略計画を発表した。これは、2018年のCISA設立以来、同機関が初めて策定する包括的な戦略計画である。今日の脅威は国境を尊重しないという現実を踏まえ、CISAは、CISAの国際活動と成果を補完する指針として、このCISA国際戦略計画を策定した。
This CISA International Strategic Plan acknowledges that the risks we face are complex and geographically dispersed, and that we cannot achieve our objectives in a vacuum. It is imperative that we expand visibility into internationally shared systemic risks. The maturity and security practices of global owners and operators of both cyber and physical infrastructure, technology, supply chains, and systems vary widely. Sharing timely, relevant, and accurate threat information and risk reduction advice with international partners provides the foundation for a more secure cyber-physical environment for all of us.  このCISA国際戦略計画では、我々が直面するリスクは複雑かつ地理的に分散しており、孤立した環境では目的を達成できないことを認識している。国際的に共有されたシステムリスクに対する可視性を拡大することが不可欠である。サイバーおよび物理的インフラ、テクノロジー、サプライチェーン、システムのグローバルな所有者および運営者の成熟度およびセキュリティ対策は、大きく異なる。国際的なパートナーと、タイムリーで関連性があり、正確な脅威情報およびリスク軽減のアドバイスを共有することは、我々全員にとってより安全なサイバー・フィジカル環境の基盤となる。
The CISA International Strategic Plan goals are to: CISA国際戦略計画の目標は以下の通りである。
1. Bolster the Resilience of Foreign Infrastructure on Which the U.S. Depends. 1. 米国が依存する海外インフラのレジリエンスの強化
2. Strengthen Integrated Cyber Defense. 2. 統合的なサイバー防衛の強化
3. Unify Agency Coordination of International Activities. 3. 国際活動における政府機関間の調整の統一
Through the goals and objectives outlined in this CISA International Strategic Plan – in coordination with the Department of Homeland Security (DHS), the Department of State, and partners across the interagency, and in accordance with U.S. national security, economic, and foreign policy priorities – CISA will assess and prioritize critical infrastructure dependencies and partner with foreign entities to advance CISA’s homeland security mission. このCISA国際戦略計画に掲げられた目標と目的を達成するために、国土安全保障省(DHS)、国務省、および政府機関間のパートナーと連携し、米国の国家安全保障、経済、外交政策の優先事項に従って、CISAは重要なインフラへの依存度をアセスメントし優先順位付けを行い、海外の事業体と提携してCISAの国土安全保障の使命を推進する。
OUR MISSION 我々の使命
Our vision is secure and resilient infrastructure for the American people. Our mission is to lead the national effort to understand, manage, and reduce risk to our cyber and physical infrastructure. 我々のビジョンは、アメリカ国民のための安全でレジリエントなインフラである。我々の使命は、サイバーおよび物理的インフラに対するリスクを理解し、管理し、軽減するための国家的な取り組みを主導することである。
Strategic Intent 戦略的意図
The CISA International Strategic Plan will focus and guide the agency’s international efforts over the 2025–2026 period. It highlights the agency’s commitment to reducing risk to the globally interconnected and interdependent cyber and physical infrastructure that Americans rely on every day. Our aim is to shape the international environment to reduce risk to critical dependencies and set conditions for success in cooperation, competition, and conflict. The CISA International Strategic Plan lays out three goals CISA must achieve to address the ever-changing and dynamic challenges facing America and our international partners. The first two goals focus on “what” the agency will work on in the international environment to achieve our “why” – 1) to reduce risk to and build resilience of foreign assets, systems, and networks that impact U.S. critical infrastructure, 2) understand shared global threats to critical infrastructure, and 3) support collective defense. The third goal focuses internally to promote unified action, working as One CISA to conduct international activities. CISA国際戦略計画は、2025年から2026年にかけての期間における当機関の国際的な取り組みに焦点を当て、指針を示すものである。この計画は、アメリカ国民が日々依存している、グローバルに相互接続され相互依存しているサイバーおよび物理的インフラに対するリスクを軽減するという当機関の取り組みを強調するものである。我々の目的は、重要な依存関係に対するリスクを軽減し、協力、競争、紛争における成功の条件を整えるために国際環境を形作ることである。CISA国際戦略計画では、米国および国際パートナーが直面する、常に変化し続けるダイナミックな課題に対処するためにCISAが達成すべき3つの目標が定められている。最初の2つの目標は、国際環境において「なぜ」という目的を達成するために「何」に取り組むかという点に焦点を当てている。すなわち、1)米国の重要インフラに影響を与える海外の資産、システム、ネットワークに対するリスクを低減し、レジリエンスを構築すること、2)重要インフラに対するグローバルな脅威を理解すること、3)集団的自衛権を支援することである。3つ目の目標は、内部に焦点を当て、国際的な活動を展開する「One CISA」として統一された行動を推進することである。
Strategic Approach 戦略的アプローチ
The approach laid out in this CISA International Strategic Plan aligns with guidance set forth in the National Security Strategy, National Cybersecurity Strategy, U.S. International Cyberspace and Digital Policy Strategy, CISA Strategic Plan 2023–2025, CISA Stakeholder Engagement Strategic Plan FY2023-2025, and CISA Cybersecurity Strategic Plan 2024–2026, as well as the identified priorities of the Secretary of Homeland Security. The CISA International Strategic Plan and the U.S. International Cyberspace and Digital Policy Strategy firmly align to bolster and broaden international alliances to mature cyber defense efforts, both domestically and internationally. This involves fostering collaborative relationships with global partners; sharing expertise, technical resources, and best practices; and collectively fortifying cyber resilience to address emerging threats in an interconnected world. Our strategic approach will not only advance the resilience of critical infrastructure dependencies at home and abroad, but it will also ensure a long-term commitment in strengthening international partnerships that are essential for CISA’s mission success. As part of coordinated U.S. government efforts, CISA will proactively engage and support international partners to assess, influence, and assist with reducing risk and strengthen the security and resilience of foreign assets, systems, and networks on which our nation’s critical infrastructure depends. As threats evolve across the spectrum of competition with state and non-state actors, no single organization or entity has all the answers for how to address cyber and physical threats to critical infrastructure. Therefore, CISA will prioritize operational collaboration and international activities to achieve mutual interests and goals with our partners. This plan centralizes CISA’s focus and coordination on goals and objectives that increase homeland and national security. More importantly, it positions CISA to support the internal coordination of international activities through the execution of annual planning cycles. This CISA International Strategic Plan seeks to streamline or eliminate overlapping and redundant systems to synchronize complex international issues that cut across our agency. このCISA国際戦略計画に示されたアプローチは、国家安全保障戦略、国家サイバーセキュリティ戦略、米国国際サイバー空間およびデジタル政策戦略、CISA戦略計画2023-20 また、国土安全保障省長官が識別した優先事項とも一致する。CISA国際戦略計画および米国国際サイバー空間・デジタル政策戦略は、国内および国際的なサイバー防衛努力を成熟させるために、国際的な同盟関係を強化し拡大することを明確に目指している。これには、グローバルパートナーとの協力関係の促進、専門知識、技術リソース、ベストプラクティスの共有、相互接続された世界における新たな脅威に対処するためのサイバーレジリエンスの強化が含まれる。 当社の戦略的アプローチは、国内外の重要なインフラストラクチャのレジリエンスを向上させるだけでなく、CISAのミッション成功に不可欠な国際的なパートナーシップの強化に向けた長期的な取り組みを確実なものとする。米国政府の協調的な取り組みの一環として、CISAは、国際的なパートナーと積極的に関わり、支援し、リスクアセスメントを行い、影響を与え、リスクの低減を支援し、米国の重要インフラが依存する海外の資産、システム、ネットワークのセキュリティとレジリエンスを強化する。国家および非国家行為者との競争の全領域で脅威が進化する中、単一の組織または事業体が、重要インフラに対するサイバーおよび物理的脅威への対処方法について、すべての答えを持っているわけではない。そのため、CISAは、パートナーとの相互利益と目標の達成に向けた業務上の連携と国際活動を優先する。この計画は、国土安全保障および国家の安全保障を強化する目標と目的に焦点を絞り、調整を行う。さらに重要なのは、CISAが年次計画サイクルの実行を通じて国際活動の内部調整を支援する立場にあることである。このCISA国際戦略計画は、当機関全体にわたる複雑な国際問題を同期させるために、重複または冗長なシステムの合理化または排除を目指す。
Overall, our aim is to build, strengthen, and sustain international relationships to: 全体として、我々は以下の目的のために国際的な関係を構築、強化、維持することを目指している。
1. Advance homeland and national security objectives. 1. 国土安全保障および国家安全保障の目標を推進する。
2. Prevent incidents and increase resilience of physical and cyber critical infrastructure at home and abroad. 2. 国内外における物理的およびサイバーの重要インフラのレジリエンスを高め、インシデントを防止する。
3. Increase awareness to detect, deter, and disrupt emerging threats and hazards. 3. 新たな脅威や危険を検知、阻止、および妨害するための認識を高める。
4. Manage and reduce systemic risks. 4. システム上のリスクを管理し、低減する。
5. Increase understanding of international critical infrastructure interdependencies and anticipate cascading impacts. 5. 国際的な重要インフラの相互依存関係についての理解を深め、連鎖的な影響を予測する。
6. Influence international policy, standards, and best practices. 6. 国際的な政策、標準、ベストプラクティスに影響を与える。
7. Assist key partners to address their capability shortfalls. 7. 主要なパートナーが能力不足に対処できるよう支援する。
8. Expand bilateral/multilateral exchanges of expertise, in tandem with increased federal inter- and intra-agency coordination, to improve risk management and incident response capacity. 8. リスクマネジメントとインシデント対応能力の改善を目的として、連邦政府機関間の連携および各機関内の連携の強化と併せて、専門知識の二国間・多国間交流を拡大する。
9. Mature and strengthen CISA’s international partnerships, arrangements, and policies. 9. CISAの国際的なパートナーシップ、取り決め、政策を成熟させ、強化する。
GOAL 1 & OBJECTIVES 目標1および目的
Goal 1: Bolster the Resilience of Foreign Infrastructure on Which the U.S. Depends 目標1:米国が依存する海外インフラのレジリエンス強化
Recognizing that much of U.S. critical infrastructure interconnects and/or is interdependent with foreign assets, systems, or networks, CISA will work closely with domestic and international partners to bolster the security and resilience of the international critical infrastructure on which the U.S. depends. These interconnections and interdependencies span the full range of critical infrastructure sectors: pipelines, telecommunications, and essential supply chains, among others. Malicious cyber actors continue to exploit vulnerabilities across these sectors to target critical infrastructure through ransomware and other cyberattacks. The threat from global terrorism remains a persistent concern and a significant threat to U.S. and international facilities. Thus, it is essential for CISA to work with partners to assess and reduce risk from foreign critical dependencies impacting U.S. critical infrastructure resilience. In doing so, CISA must strengthen exchanges with international partners that promote our priorities abroad as well as influence standards, regulations, and policies to advance homeland and national security objectives. A collaborative approach to understanding interconnected critical infrastructure systems will set conditions for the U.S. and our international partners to proactively develop strategies, policies, and programs that integrate risk reduction efforts and reflect mutual and multi-stakeholder security interests at home and abroad. 米国の重要インフラの多くが、海外の資産、システム、またはネットワークと相互接続されている、あるいは相互依存していることを認識し、CISAは、米国が依存する国際的な重要インフラのセキュリティとレジリエンスを強化するために、国内外のパートナーと緊密に連携する。これらの相互接続および相互依存関係は、パイプライン、電気通信、および不可欠なサプライチェーンなど、重要インフラのあらゆる分野に及んでいる。悪意のあるサイバー行為者は、ランサムウェアやその他のサイバー攻撃を通じて、これらのセクター全体の脆弱性を悪用し、重要なインフラを標的にし続けている。世界的なテロリズムによる脅威は、依然として懸念事項であり、米国および国際的な施設にとって重要な脅威である。そのため、CISAがパートナーと協力して、米国の重要なインフラのレジリエンスに影響を与える海外の重要な依存関係から生じるリスクをアセスメントし、軽減することが不可欠である。そのためには、CISAは、海外における優先事項を推進し、標準、規制、政策に影響を与えて国土安全保障および国家安全保障の目標を推進する国際的なパートナーとの交流を強化しなければならない。相互に接続された重要インフラシステムを理解するための協調的なアプローチは、米国および国際的なパートナーがリスク軽減の取り組みを統合し、国内外における相互および多様な利害関係者の安全保障上の利益を反映した戦略、政策、プログラムを積極的に開発するための条件を整えることになる。
1.1. Identify and prioritize foreign critical infrastructure on which the nation depends and bolster its security and resilience. 1.1. 国家が依存する海外の重要インフラを識別し優先順位を付け、そのセキュリティとレジリエンスを強化する。
The U.S. depends on foreign-owned systems that support our critical infrastructure sectors such as communications, transportation, information technology, energy, financial services, and critical manufacturing. CISA will work with interagency and international partners to identify and understand which international systems and assets are truly critical to the nation’s critical infrastructure and assess how they are vulnerable to create strategies to manage shared risks. CISA will also work with interagency and international partners to promote a shared understanding of global threats to critical infrastructure security and resilience, such as cyberattacks, chemical and improvised explosive devices, threats to supply chain interdependencies, foreign malign investments, and climate change. Managing risk and bolstering resilience will require long-term, strategic collaboration between public and private sectors at home and abroad.  米国は、コミュニケーション、輸送、IT、エネルギー、金融サービス、および重要製造事業者といった、自国の重要インフラ部門を支える外国所有のシステムに依存している。CISAは、政府機関および国際パートナーと協力し、米国の重要なインフラにとって真に重要な国際システムおよび資産を識別・理解し、それらの脆弱性をアセスメントして、共有リスクを管理するための戦略を策定する。また、CISAは、政府機関および国際パートナーと協力し、サイバー攻撃、化学兵器や即席爆発装置、サプライチェーンの相互依存に対する脅威、外国からの悪意ある投資、気候変動など、重要なインフラのセキュリティとレジリエンスに対するグローバルな脅威についての共通理解を促進する。リスクマネジメントとレジリエンシーの強化には、国内外の官民間の長期的かつ戦略的な協力が必要となる。 
Enabling Measure: 実現策:
 In coordination with the Department of State and relevant U.S. government partners, we will broaden our understanding of systemic risk by expanding our visibility into infrastructure and supply chain vulnerabilities for priority foreign critical infrastructure upon which the U.S. depends.  国務省およびその他の米政府関係機関と連携し、米国が依存する優先度の高い海外の重要インフラのインフラおよびサプライチェーンの脆弱性に対する可視性を拡大することで、システムリスクに対する理解を深める。 
Measure of Effectiveness: 有効策:
1. Increase the number of U.S. government activities coordinated by CISA to advance the security and resilience of prioritized foreign critical infrastructure and supply chains.  1. 優先された海外の重要インフラおよびサプライチェーンのセキュリティとレジリエンスを向上させるために、CISAが調整する米国政府の活動を増加させる。
2. Increase the number of global partner actions taken to address risks to prioritized foreign critical infrastructure. 2. 優先された海外の重要インフラに対するリスクに対処するために実施されるグローバルなパートナーの活動を増加させる。
3. Increase the number of domestic partner actions taken to mitigate potential disruptions of U.S. critical infrastructure operations resulting from dependencies with foreign assets, systems, and supply chains. 3. 海外の資産、システム、およびサプライチェーンへの依存に起因する米国の重要インフラの運用中断の可能性を低減するために実施される国内のパートナーの活動を増加させる。
1.2. Strengthen international partnerships that promote U.S. critical infrastructure priorities and interests abroad. 1.2. 米国の重要インフラの優先事項と海外における米国の利益を促進する国際的なパートナーシップを強化する。
CISA seeks to expand visibility into internationally shared threats and systemic risks. To improve situational awareness for both CISA and our international stakeholders, we must mature multidirectional communications with external partners, including timely incident reporting and the systematic sharing of threat and vulnerability information. Strengthening includes accelerating the speed, improving the accuracy, and enabling the effectiveness of critical information sharing, while using CISA as a hub for multi-stakeholder initiatives. We will use CISA’s cross-functional expertise to foster communication and information sharing with global partners at scale, which will advance the resiliency of our critical infrastructure against shared challenges and preserve our ability to communicate in the event of an emergency. This will create a foundation for advancing international efforts that mature our collective ability to plan for, detect, deter, and disrupt emerging threats and hazards to cyber and physical infrastructure and interoperable emergency communications. Deepening the understanding of shared and systemic risk with our partners will strengthen the protection and resilience of critical infrastructure on which the nation relies. CISAは、国際的に共有された脅威とシステム上のリスクに対する可視性を拡大することを目指している。CISAと国際的な利害関係者の両者にとっての状況認識を改善するためには、外部のパートナーとの多方向のコミュニケーションを成熟させる必要がある。これには、タイムリーなインシデント報告や、脅威および脆弱性情報の体系的な共有が含まれる。強化には、CISAをマルチステークホルダーイニシアティブのハブとして活用しながら、重要な情報共有の速度を加速し、精度を改善し、効果を高めることが含まれる。CISAの部門横断的な専門知識を活用し、グローバルパートナーとのコミュニケーションと情報共有を大規模に促進することで、共有の課題に対する重要なインフラのレジリエンシーを向上させ、緊急事態発生時のコミュニケーション能力を維持する。これにより、サイバーおよび物理的インフラ、相互運用可能な緊急通信に対する新たな脅威や危険を計画、検知、阻止、混乱させるための集団的な能力を向上させる国際的な取り組みを推進するための基盤が構築される。パートナーとの共有リスクおよびシステムリスクに対する理解を深めることで、国家が依存する重要なインフラの防御とレジリエンスが強化される。
Enabling Measure: 実現策: 
 We will expand our ability to execute joint operational activities, capacity development efforts, and shared policy frameworks that advance U.S. priorities for defending cyberspace and protecting U.S. critical infrastructure. サイバー空間を防御し、米国の重要インフラを保護するという米国の優先事項を推進する共同運用活動、能力開発の取り組み、共有政策枠組みを実施する能力を拡大する。
Measure of Effectiveness:  有効策:
1. Increase the number of joint operational activities conducted with global partners to build public and private capacity to deter, prevent, protect, and respond to incidents to critical infrastructure. 1. 重要インフラに対するインシデントを抑止、防止、防御、対応するための官民の能力を構築するために、グローバルなパートナーと実施する共同運用活動の数を増やす。
2. Increase information sharing exchanges with global partners to promote U.S. security and resilience priorities and to enhance CISA’s programs, services, and products. 2. 米国のセキュリティおよびレジリエンシーの優先事項を推進し、CISAのプログラム、サービス、製品を強化するために、グローバルパートナーとの情報共有を促進する。
1.3. Shape operational and technical global standards, regulations, policies, guidelines, and best practices to advance security. 1.3. セキュリティを促進するために、運用および技術に関するグローバルな標準、規制、政策、ガイドライン、およびベストプラクティスを策定する。
CISA will work with interagency partners to support standards activities—in coordination with the DHS Science and Technology Directorate—through standard development organizations that can advance U.S. interests. Within CISA’s authorities, our aim is to promote and support a wide array of portfolios, including but not limited to cyber and physical critical infrastructure, emerging technology, chemical security, emergency communications, school safety, bombing prevention, and more to ensure that systems, infrastructure, government, business, and the public can withstand and recover from deliberate attacks, accidents, and natural hazards. Where appropriate, we will advance and contribute to the development and adoption of operational and technical international standards and regulations to strengthen cybersecurity, fortify critical infrastructure security and resilience, and improve emergency communication. CISA holds a shared approach to international standards, regulations, guidelines, and best practices for critical infrastructure security and critical emerging technologies, to include artificial intelligence (AI). This will help accelerate standards that contribute to interoperability and promote U.S. competitiveness and innovation with our partners. CISAは、政府機関間パートナーと協力し、米国の利益を促進できる標準開発組織を通じて、DHS科学技術局と調整しながら、標準化活動を支援する。CISAの認可の範囲内で、サイバーおよび物理的な重要インフラ、新技術、化学物質のセキュリティ、緊急時のコミュニケーション、学校の安全、爆破テロの防止など、幅広いポートフォリオの推進と支援を目指している。これにより、システム、インフラ、政府、企業、そして一般市民が、意図的な攻撃、事故、自然災害に耐え、回復できるようになる。必要に応じて、サイバーセキュリティを強化し、重要インフラのセキュリティとレジリエンシーを強化し、緊急時のコミュニケーションを改善するために、運用上および技術上の国際標準および規制の開発と採用を推進し、貢献する。CISAは、重要インフラのセキュリティと重要新技術(人工知能(AI)を含む)に関する国際標準、規制、ガイドライン、およびベストプラクティスに対する共通のアプローチを保持する。これにより、相互運用性に貢献し、米国のパートナーとの競争力とイノベーションを促進する標準の加速化に役立つ。
Enabling Measure:  実現策:
1. We will advance open, transparent, and rules-based standards processes to ensure that globally relevant standards meet U.S. national security requirements for critical infrastructure.  1. 国際的に関連性のある標準が、米国の重要インフラの国家安全保障要件を満たすことを確実にするため、オープンで透明性があり、規則に基づく標準プロセスを推進する。
2. We will work with partners to counter the influence of adversaries attempting to unduly shape standards in a manner which would represent a threat to national security. 2. 国家安全保障に対する脅威となるような方法で不当に標準を策定しようとする敵対者の影響に対抗するため、パートナーと協力する。
Measure of Effectiveness: 有効策:
1. In coordination with government, industry, and academic partners, increase the development and publication of technical standards for adoption by international standards and policy setting bodies that advance the protection, interoperability, and resilience of U.S. critical infrastructure. 1. 政府、産業界、学術機関のパートナーと協力し、米国の重要インフラの防御、相互運用性、レジリエンシーを向上させる国際標準および政策策定団体による採用に向けた技術標準の開発と公表を促進する。
GOAL 2 & OBJECTIVES 目標2および目的
Goal 2: Strengthen Integrated Cyber Defense 目標2:統合的な防衛の強化
Cybersecurity threats extend beyond national borders. Strong international cyber defense partnerships set conditions that reduce risk and minimize the impact of attempts to infiltrate, exploit, disrupt, or destroy critical infrastructure systems that support our national critical functions (NCFs). Engaging international partners allows CISA to build trust, illuminate threats, and facilitate the free flow of cybersecurity defense information. We will work with partners, international organizations, and nongovernmental organizations to influence global cybersecurity practices and standards that promulgate cyber safety and security at scale. Bolstering the capabilities of key partners improves our collective cyber defense abroad against state and non-state actors. サイバーセキュリティの脅威は国境を越えて広がる。強固な国際的なサイバー防衛パートナーシップは、国家の重要な機能(NCF)を支える重要なインフラシステムへの侵入、悪用、混乱、破壊を試みる行為のリスクを低減し、その影響を最小限に抑える条件を整える。国際的なパートナーと協力することで、CISAは信頼を構築し、脅威を明らかにし、サイバーセキュリティ防御情報の自由な流れを促進することができる。我々は、パートナー、国際機関、非政府組織と協力し、サイバーセキュリティの実践と標準を世界的に影響を与え、サイバーの安全性とセキュリティを大規模に推進していく。主要なパートナーの能力を強化することで、国家および非国家行為者に対する海外でのサイバー防御を改善する。
2.1. Enable cyber defense with partners to reduce collective risk. 2.1. パートナーとのサイバー防御を可能にし、全体的なリスクを軽減する。
International partners contribute essential information to support CISA’s cybersecurity mission. A network of trusted partners provides increased visibility into—and ability to mitigate—cybersecurity threats, vulnerabilities, and campaigns. Our aim is to increase and mature our network of trusted partners through our bilateral and multilateral Computer Security Incident Response Team (CSIRT)-CSIRT engagements. Through these engagements, we seek to strengthen CSIRT-CSIRT relationships that enable the exchange of actionable operational information, which includes product sharing, vulnerability alerts, victim notifications, tactics, techniques, and procedures as well as evaluating unique international inputs to reduce risk. This effort will facilitate a collective response and provide a vehicle for partners to share information that builds trust and global cyber situational awareness—especially for those foreign systems, networks, and assets truly vital to the nation’s critical infrastructure. We will strive to set an example as the premier CSIRT organization and work with international partners to understand how incidents occur, how to prevent them, and to provide technical resources that alleviate critical operational gaps. Beyond immediate threat information, these operational partnerships help inform international exercises that will enable us to better understand risks and provide additional ways and means to better manage threats and risk abroad. 国際的なパートナーは、CISAのサイバーセキュリティ任務を支援するために不可欠な情報を提供している。信頼できるパートナーのネットワークは、サイバーセキュリティの脅威、脆弱性、およびキャンペーンに対する可視性を高め、低減する能力を提供する。我々の目的は、二国間および多国間のコンピュータセキュリティ・インシデント対応チーム(CSIRT)間の連携を通じて、信頼できるパートナーのネットワークを拡大し、成熟させることである。これらの取り組みを通じて、製品共有、脆弱性に関する警告、被害通知、戦術、技術、手順、およびリスクを軽減するための独自の国際的インプットの評価など、実用的な運用情報の交換を可能にする CSIRT-CSIRT 関係の強化を目指している。この取り組みにより、共同対応が容易になり、特に国家の重要なインフラにとって真に不可欠な海外のシステム、ネットワーク、資産について、パートナー間で信頼とグローバルなサイバー状況認識を構築するための情報共有の手段が提供される。我々は、最高の CSIRT 組織として模範となるよう努め、国際的なパートナーと協力して、インシデントの発生状況、その防止策、および重要な運用上のギャップを緩和する技術リソースの提供方法を理解する。 これらの運用上のパートナーシップは、即時の脅威情報にとどまらず、国際的な演習に役立つ情報を提供し、リスクをよりよく理解し、海外における脅威とリスクをよりよく管理するための追加の方法と手段を提供する。
Enabling Measure:  実現策:
We will increase trust and strengthen operational collaboration through bilateral and multilateral engagements with international partners by expanding participation in CSIRT-CSIRT engagements. 国際的なパートナーとの二国間および多国間での関与を拡大し、CSIRT-CSIRTの連携への参加を促進することで、信頼を高め、運用上の連携を強化する。
Measure of Effectiveness: 有効策:
1. Increase the number of trusted international CSIRT partners. 1. 信頼できる国際的なCSIRTパートナーの数を増やす。
2. Increase the percent of bilateral and multilateral CSIRT engagements that reduce combined risk. 2. 複合的なリスクを低減する二国間および多国間のCSIRT連携の割合を増やす。
3. Increase the number of CSIRT partners that apply recommended risk mitigations prior to exploitation. 3. 悪用される前に推奨されるリスク低減策を適用するCSIRTパートナーの数を増やす。
2.2. Drive standards and security at scale to increase cyber safety. 2.2. サイバーセキュリティを向上させるために、規模を拡大した標準化とセキュリティを推進する。
For decades, the U.S. has worked through international institutions to define and advance responsible state behavior in cyberspace, steering partners toward developing secure technology from inception. As part of the broader national effort, CISA will encourage international partners to define, adopt, and implement global cybersecurity standards, norms, and best practices that promote U.S. cybersecurity interests. The agency will also provide guidance, advice, and expertise to help define and implement safe global standards, norms, and best practices that support U.S. domestic cybersecurity interests. Our aim is to set the bar high for global standards and prioritize them to reflect CISA interests and implement them as a critical element to protect citizens. As some of the most visible examples, CISA’s international focus is to encourage the widespread adoption of Secure by Design practices, including adoption of software bills of materials, secure AI systems, open-source security, and coordinated vulnerability disclosures. 米国は数十年にわたり、国際機構を通じて、サイバー空間における責任ある国家行動の定義と推進に取り組んできた。また、パートナー諸国が当初から安全な技術の開発に取り組むよう導いてきた。より広範な国家的な取り組みの一環として、CISAは米国のサイバーセキュリティの利益を促進する国際的なサイバーセキュリティ標準、規範、およびベストプラクティスを定義、採用、実施するよう国際的なパートナーに働きかける。また、米国の国内的なサイバーセキュリティの利益を支援する安全な国際的な標準、規範、およびベストプラクティスを定義し、実施する手助けとなるよう、ガイダンス、アドバイス、専門知識を提供する。我々の目的は、グローバル標準の水準を高く設定し、CISAの利益を反映して優先順位を付け、市民を防御するための重要な要素として実施することである。最も顕著な例として、CISAの国際的な焦点は、ソフトウェア部品表の採用、安全なAIシステム、オープンソースセキュリティ、および調整された脆弱性開示を含む、セキュア・バイ・デザインの実践の広範な採用を奨励することである。
Enabling Measure:  実現策:
In collaboration with international public and private sector partners, we will advance a global commitment to safe and secure software development and deployment. 国際的な官民のパートナーと協力し、安全でセキュアなソフトウェアの開発と展開に向けた世界的な取り組みを推進する。
Measure of Effectiveness: 有効策:
1. Increase in international standards that recommend frameworks for secure software development at the onset of the software development lifecycle.  1. ソフトウェア開発ライフサイクルの初期段階におけるセキュアなソフトウェア開発のためのフレームワークを推奨する国際標準の増加。
2. Increase the number of partner states, international organizations, and industries that adopt and implement the principles of Secure by Design. 2. セキュア・バイ・デザインの原則を採用し実施するパートナー国、国際組織、産業の数を増やす。
2.3. Increase cyber and physical resilience capabilities of key partners. 2.3. 主要パートナーのサイバーおよび物理的なレジリエンシー能力を高める。
The breadth and depth of the international cybersecurity challenge exceeds the capacity of any one organization. It is paramount that key partners possess the fundamental capabilities to safeguard and defend their connected critical infrastructure that impact our NCFs. Our aim is to establish an environment where our partners can organically detect threats, assess potential impacts, and receive and exchange real-time risk reduction actions that increase collective security and resilience and support the rapid establishment of consistent, secure, and effective interoperable emergency communications. CISA possesses capabilities that can uniquely contribute to homeland and national security objectives—especially as part of larger U.S. government efforts to improve the cybersecurity capabilities of priority international partners. As the U.S. strengthens relationships with key partners, CISA can provide training, exercises, and information sharing capabilities. These activities can assist international partners in developing and growing organic risk reduction capabilities, while setting supporting priorities for the investment and divestment of limited resources to fill collective capability shortfalls.  国際的なサイバーセキュリティの課題の広範性と深さは、いかなる組織の能力をも超える。主要パートナーが、NCFに影響を与える相互接続された重要インフラを保護し、防御するための基本的な能力を備えることが最も重要である。我々の目的は、パートナーが有機的に脅威を検知し、潜在的な影響をアセスメントし、集団のセキュリティとレジリエンシーを高めるリアルタイムのリスク低減行動を受け取り、交換できる環境を構築することであり、一貫性があり、安全で、効果的な相互運用可能な緊急時コミュニケーションの迅速な確立を支援することである。CISAは、国土安全保障および国家安全保障の目標に独自に貢献できる能力を有している。特に、優先的な国際パートナーのサイバーセキュリティ能力を改善するための米国政府のより大きな取り組みの一環としてである。米国が主要なパートナーとの関係を強化する中で、CISAは訓練、演習、情報共有の能力を提供することができる。これらの活動は、国際パートナーが有機的なリスク軽減能力を開発し、成長するのを支援する一方で、限られた資源の投資と売却の優先順位を設定し、集団的な能力不足を補うことができる。
Enabling Measure: 実現策:
 In collaboration with the Department of State, we will advance shared cybersecurity priorities and strengthen international partner capacity to support these priorities through the focused delivery of CISA services that proactively and collaboratively bolster our international cybersecurity and resilience. 国務省と協力し、国際的なサイバーセキュリティとレジリエンスを積極的に、かつ協調的に強化するCISAサービスの提供に重点的に取り組むことで、サイバーセキュリティの優先事項を共有し、国際的なパートナーの能力を強化する。
Measure of Effectiveness: 有効策:
1. Increase the number of CISA services delivered to international partners that address identified security and resilience gaps. 1. 識別されたセキュリティとレジリエンスのギャップに対処する国際的なパートナーへのCISAサービスの提供数を増やす。
2. Increase in the percent of program participants equipped with required competencies in cyber or physical security and resilience.  2. サイバーセキュリティまたは物理的セキュリティとレジリエンスに必要な能力を備えたプログラム参加者の割合を増やす。
3. Expand the network of foreign train-the-trainer partners capable and approved to provide CISA-based training within their regions.  3. それぞれの地域でCISAに基づくトレーニングを提供できる能力を持ち、承認された海外のトレーナーパートナーのネットワークを拡大する。
4. Increase the percent of partners reporting strengthened capabilities to manage their own risk.  4. パートナーのうち、自らのリスクマネジメント能力が強化されたと報告する割合を増やす。
GOAL 3 & OBJECTIVES 目標3および目的
Goal 3: Unify Agency Coordination of International Activities 目標3:国際活動における政府機関間の調整の統一
An effective international plan depends on unity of effort across the agency’s divisions and mission enabling offices (offices). Accomplishing unity of effort will require that CISA internally prioritizes, coordinates, deconflicts, and aligns international activities through improved organization and governance, integrated functions, and a well-trained workforce. 効果的な国際計画は、省内の各部門およびミッションを可能にする事務所(オフィス)間の努力の結束にかかっている。努力の結束を実現するには、組織およびガバナンスの改善、機能の統合、および十分に訓練された人材を通じて、CISAが国際活動を内部的に優先順位付け、調整、調整、および整合させることが必要となる。
3.1. Strengthen and institutionalize CISA’s governance of international activities. 3.1. CISAの国際活動のガバナンスを強化し、制度化する。
The CISA Stakeholder Engagement Division (SED) will establish a governance structure to advise on international matters and provide a clear articulation of the agency’s international priorities. Taking into account inputs from divisions and offices, these priorities will provide clear guidance that is consistent with CISA’s authorities and domestic requirements as well as broader DHS and national security policies.  CISAのステークホルダー・エンゲージメント部門(SED)は、国際的な問題について助言を行い、当機関の国際的な優先事項を明確に表明するためのガバナンス構造を確立する。 ディビジョンおよびオフィスの意見を考慮し、これらの優先事項は、CISAの権限および国内要件、さらにDHSおよび国家安全保障政策全般と一致する明確な指針を提供する。
Enabling Measure:  実現策:
We will establish internal agency processes and procedures for governing the agency’s international activities using the One CISA approach. 当機関の国際的な活動を統括するための内部プロセスおよび手順を、ワンCISAアプローチを用いて確立する。
Measure of Effectiveness: 有効策:
1. Increase the number of governance documents and processes that improve standardization and transparency of agency international activities.  1. 政府機関の国際活動の標準化と透明性を改善するガバナンス文書とプロセスの数を増やす。
3.2. Align and synchronize CISA’s international functions, capabilities, and resources. 3.2. CISAの国際機能、能力、リソースを調整し、同期させる。
CISA will support systematic information sharing across the agency through policy coordination and the collection and dissemination of international lessons learned to effectively realize the full range of specialized expertise and capabilities across the agency. SED will coordinate CISA’s international communications and activities across CISA to provide the agency with situational awareness of current and projected international activities. This coordination will address gaps and eliminate duplication of effort while ensuring timely execution of operational priorities and alignment of CISA’s international activities with this strategic plan and national security priorities.  CISAは、政策調整と国際的な教訓の収集と普及を通じて、政府機関全体にわたる体系的な情報共有を支援し、政府機関全体にわたる専門知識と能力の全範囲を効果的に実現する。SEDは、CISA全体の国際的なコミュニケーションと活動を調整し、現在の国際活動と予測される国際活動に関する状況認識を機関に提供する。この調整により、ギャップに対処し、重複を排除しながら、業務上の優先事項を適時に実行し、CISAの国際活動を本戦略計画および国家安全保障上の優先事項と整合させることを確実にする。
Enabling Measure:  実現策: 
We will optimize internal business operations to ensure the coordinated delivery of products and services to international partners that effectively advance cyberspace defense and U.S. critical infrastructure security and resilience.  国際的なパートナーに対して、サイバー空間防衛および米国の重要インフラのセキュリティとレジリエンスを効果的に推進する製品とサービスを、調整された形で確実に提供できるよう、内部業務運営を最適化する。
Measure of Effectiveness: 有効策:
1. Increase the percent of cross-cutting activities coordinated through CISA International Affairs. 1. CISA国際業務を通じて調整される横断的活動の割合を増やす。
2. Increase in internal products and services that improve widespread awareness of key international cybersecurity and critical infrastructure security and resilience issues.  2. 国際的なサイバーセキュリティおよび重要インフラのセキュリティとレジリエンスに関する主要な問題について、広範な認識を向上させる内部製品およびサービスを増やす。
3.3. Equip CISA’s workforce through training and education to promote CISA’s capabilities on the global stage. 3.3. 訓練および教育を通じてCISAの職員を装備し、国際舞台におけるCISAの能力を促進する。
With an inherent domestic focus, we recognize that there are skills CISA needs to provide the workforce to influence the international system. CISA will develop and provide training opportunities for employees who will deploy overseas as well as those engaged in deliberate international activities. SED will aim to facilitate DHS and State Department pre-deployment training for Attachés, Liaison Officers, and Technical Advisors deploying overseas, including a CISA familiarization program to ensure a baseline understanding of CISA’s organization, role, responsibilities, authorities, and strategic objectives. SED will provide international affairs etiquette guidance to all travelers as part of the travel preparation process. For CISA leadership and travelers conducting potentially sensitive engagements, SED will provide a tailored pre-departure briefing encompassing cultural norms and U.S. foreign policy goals with recommended talking points. 国内に重点を置くという本質的な性質を踏まえ、CISAが国際システムに影響を与えるために職員に提供する必要のあるスキルを認識している。CISAは、海外に展開する職員および計画的な国際活動に従事する職員を対象に、訓練の機会を開発し、提供する。SEDは、海外に派遣されるアタッシェ、連絡担当官、技術顧問を対象に、DHSおよび国務省による派遣前学習を促進することを目的とする。これには、CISAの組織、役割、責任、権限、戦略目標に関する基本的な理解を確保するためのCISAの組織に関する理解プログラムも含まれる。SEDは、出張準備プロセスの一環として、すべての出張者に国際業務のエチケットに関するガイダンスを提供する。CISAのリーダーおよび機密性の高い業務に従事する出張者に対しては、SEDが、文化的な規範や米国の外交政策目標、推奨される発言内容などを網羅した、個別にカスタマイズされた出発前のブリーフィングを提供する。
Enabling Measure:  実現策:
CISA, through its workforce, is prepared to actively and effectively engage in international efforts to advance cyberspace defense, safe and secure technology development and deployment, and critical infrastructure security and resilience. CISAは、その職員を通じて、サイバー空間防御、安全でセキュアな技術開発および展開、および重要インフラのセキュリティとレジリエンシーの向上を目的とした国際的な取り組みに積極的にかつ効果的に関与する。
Measure of Effectiveness: 有効策:
1. Increase the percent of CISA personnel trained and provided with resources to deliver international services. 1. 国際的なサービス提供のために訓練を受け、リソースが提供されたCISA職員の割合を増やす。
2. Increase in the percent of CISA personnel who report that specialized training improved their capability to represent the agency effectively while performing international activities.  2. 国際的な活動を行う際に、専門的な訓練が効果的に機関を代表する能力を改善したと報告するCISA職員の割合を増やす。 
CONCLUSION 結論
Robust and trusted international partnerships serve as a force multiplier across the spectrum of global competition. Successful partnerships require commitment, dedication, and time to build trust. In coordination with DHS and the State Department, CISA will develop, strengthen, and sustain these relationships. This CISA International Strategic Plan provides a framework to build and maintain an agency posture with international partners to enable the U.S. to compete with and prevail against current and future threats. Importantly, this plan addresses multiple challenges under different conditions and creates the framework to prioritize agency efforts. 強固で信頼できる国際的なパートナーシップは、グローバルな競争のあらゆる側面において戦力を増強する。 成功するパートナーシップには、信頼を構築するためのコミットメント、献身、そして時間が必要である。国土安全保障省および国務省と連携し、CISAはこれらの関係を構築、強化、維持していく。このCISA国際戦略計画は、米国が現在および将来の脅威と競争し、打ち勝つことを可能にするために、国際的なパートナーと協力体制を構築し、維持するための枠組みを提供する。重要なのは、この計画がさまざまな状況下における複数の課題に対処し、CISAの取り組みの優先順位を決定する枠組みを構築していることである。
These goals position CISA strategically with a posture that reinforces critical partnerships abroad to overcome complex and interconnected challenges. The strategic approach aligns CISA with the broader U.S. government as well as our international partners to enable access, develop capacity, and ensure the flexibility to support national efforts to compete globally against state and non-state actors. これらの目標は、複雑に絡み合った課題を克服するために、海外における重要なパートナーシップを強化する姿勢を戦略的に位置づけるものである。この戦略的アプローチは、CISAを米国政府全体および国際的なパートナーと足並みを揃え、国家および非国家主体と世界規模で競争する国家の取り組みを支援するためのアクセス、能力開発、柔軟性の確保を可能にする。
This CISA International Strategic Plan creates opportunities for shared success and is a process, not simply a publication; therefore, CISA will review progress quarterly. Unpredictability in the international security environment, or obstacles to our progress, may drive us to change course. We will remain agile and shift our focus to ensure we are integrating the right people, processes, technology, and partners at the right time, place, and space for mission success. Just as our threats and adversaries adapt to and shape the cyber and physical security environment, CISA will continue to evolve to fulfill the vision of a secure and resilient infrastructure for the American people—this CISA International Strategic Plan establishes a proactive path to achieve that vision. このCISA国際戦略計画は、共有された成功の機会を生み出すものであり、単なる出版ではなくプロセスである。したがって、CISAは四半期ごとに進捗状況を評価する。国際的な安全保障環境における予測不可能性や進捗の障害により、方針を変更せざるを得なくなる可能性もある。我々は機敏性を維持し、焦点をシフトさせ、ミッションの成功に必要な適切なタイミング、場所、空間において、適切な人材、プロセス、テクノロジー、パートナーを統合していく。脅威や敵対者がサイバーおよび物理的なセキュリティ環境に適応し、その環境を形作るように、CISAは、米国市民のための安全でレジリエントなインフラというビジョンを達成するために進化し続ける。このCISA国際戦略計画は、そのビジョンを達成するための積極的な道筋を確立する。
APPENDIX 1 附属書1
Terms of Reference 参照用語
Critical Infrastructure: Systems and assets, whether physical or virtual, so vital that the incapacity or destruction of such may have a debilitating impact on the security, economy, public health or safety, environment, or any combination of those matters, across any federal, state, regional, territorial, or local jurisdiction.  重要インフラ:連邦、州、地域、領土、または地方の管轄区域全体にわたり、その機能不全または破壊が、セキュリティ、経済、公衆衛生または安全、環境、またはそれらの事項の組み合わせに深刻な影響を及ぼす可能性があるほど重要な、物理的または仮想的なシステムおよび資産。
Dependency: A directional relationship between two entities (objects, persons, or processes) in which one requires the use of, or inputs from, the other. 相互依存:2つの事業体(オブジェクト、人、プロセス)間の方向性のある関係で、一方が他方の利用または入力が必要となる関係。
Function: Service, process, capability, or operation performed by an asset, system, network, or organization. 機能:資産、システム、ネットワーク、組織によって実行されるサービス、プロセス、能力、または操作。
Integrated: The arrangement of unified actions in time, space, and purpose, executed as a whole to address trans-regional, all-domain, and multi-functional challenges to U.S. critical infrastructure. 統合:米国の重要インフラに対する地域横断的、全領域的、および多機能的な課題に対処するために、時間、空間、目的において統一された行動を全体として実行すること。
Interdependency: Relationships or connections between entities of different functions, networks, sectors, or services. 相互依存性:異なる機能、ネットワーク、セクター、またはサービス間の事業体間の関係またはつながり。
National Critical Function (NCF): Functions of government and the private sector that are so vital to the U.S. that their disruption, corruption, or dysfunction would have a debilitating effect on security, national economic security, and national public health or safety, or any combination thereof. 国家重要機能(NCF):米国にとってきわめて重要であり、その機能が中断、破壊、または機能不全に陥った場合、安全保障、国家経済安全保障、国民の公衆衛生または安全、またはそれらの組み合わせに深刻な影響を及ぼす可能性のある政府および民間部門の機能。
Resilience: The ability to prepare for and adapt to changing conditions and withstand and recover rapidly from disruptions. Resilience includes the ability of systems, infrastructure, government, business, and the general public to withstand and recover from deliberate attacks, accidents, or naturally occurring threats or incidents. レジリエンス:変化する状況に備え、適応する能力、および混乱に耐え、迅速に回復する能力。レジリエンスには、意図的な攻撃、事故、自然発生の脅威やインシデントに耐え、回復するシステム、インフラ、政府、企業、一般市民の能力が含まれる。
Sector: Collection of assets, systems, networks, entities, or organizations that provide or enable a common function for national security (including national defense and continuity of government), national economic security, national public health or safety, or any combination thereof. セクター:国家安全保障(国防および政府の継続性を含む)、国家経済安全保障、国民の公衆衛生または安全、またはこれらの組み合わせに対して共通の機能を提供または可能にする資産、システム、ネットワーク、事業体、または組織の集合体。
Appendix 2 附属書2
Alignment with the CISA Strategic Plan CISA戦略計画との整合
Goal 1: Bolster the Resilience of Foreign Infrastructure on Which the U.S. Depends 目標1:米国が依存する海外インフラのレジリエンス強化
1.1. Identify and prioritize foreign critical infrastructure on which the nation depends and bolster its security and resilience. 1.1. 米国が依存する海外の重要インフラを識別し優先順位付けし、そのセキュリティとレジリエンスを強化する。
CISA Strategic Plan Objectives: CISA戦略計画の目標:
1.2. Increase CISA’s ability to actively detect cyber threats targeting America’s critical infrastructure and critical networks. 1.2. 米国の重要インフラおよび重要ネットワークを標的とするサイバー脅威を能動的に検知するCISAの能力を強化する。
2.1. Expand visibility of risks to infrastructure, systems, and networks. 2.1. インフラ、システム、ネットワークに対するリスクの可視性を拡大する。
1.2. Strengthen international partnerships that promote U.S. critical infrastructure priorities and interests abroad. 1.2. 米国の重要インフラの優先事項と海外における利益を促進する国際的なパートナーシップを強化する。
CISA Strategic Plan Objectives: CISA戦略計画の目標:
1.4. Advance the cyberspace ecosystem to drive security-by-default. 1.4. デフォルトでセキュリティが確保されるように、サイバー空間のエコシステムを発展させる。
2.4. Build greater stakeholder capacity in infrastructure and network security and resilience. 2.4. インフラおよびネットワークのセキュリティとレジリエンスにおける利害関係者の能力を強化する。
3.1. Optimize collaborative planning and implementation of stakeholder engagements and partnership activities. 3.1. 利害関係者の関与とパートナーシップ活動の共同計画と実施を最適化する。
3.4. Enhance information sharing with CISA’s partnership base. 3.4. CISAのパートナーシップ基盤との情報共有を強化する。
1.3. Shape operational and technical global standards, regulations, policies, guidelines, and best practices to advance security. 1.3. セキュリティを向上させるための運用および技術に関するグローバル標準、規制、ポリシー、ガイドライン、およびベストプラクティスを策定する。
CISA Strategic Plan Objective: CISA戦略計画の目標:
2.3. Enhance CISA’s security and risk mitigation guidance and impact. 2.3. CISAのセキュリティおよびリスク低減に関するガイダンスと影響力を強化する。
Goal 2: Strengthen Integrated Cyber Defense 目標2:統合的なサイバー防衛の強化
2.1. Enable cyber defense with partners to reduce collective risk. 2.1. パートナーとの連携によるサイバー防衛を実現し、全体的なリスクを低減する。
CISA Strategic Plan Objectives: CISA戦略計画の目標:
1.3. Drive the disclosure and mitigation of critical cyber vulnerabilities.  1.3. 重大なサイバー脆弱性の開示と低減を推進する。
2.5. Increase CISA’s ability to respond to threats and incidents.  2.5. CISAの脅威およびインシデントへの対応能力を強化する。
3.4. Enhance information sharing with CISA’s partnership base. 3.4. CISAのパートナーシップ基盤との情報共有を強化する。
2.2. Drive standards and security at scale to increase cyber safety. 2.2. サイバーセキュリティを向上させるために、規模の拡大と標準化およびセキュリティを推進する。
CISA Strategic Plan Objective: CISA戦略計画の目標:
1.4. Advance the cyberspace ecosystem to drive security-by-default. 1.4. サイバー空間エコシステムを発展させ、セキュリティをデフォルトとすることを推進する。
2.3. Increase cyber and physical resilience capabilities of key partners. 2.3. 主要なパートナーのサイバーおよび物理的なレジリエンシー能力を強化する。
CISA Strategic Plan Objectives: CISA戦略計画の目標:
2.4. Build greater stakeholder capacity in infrastructure and network security and resilience. 2.4. インフラおよびネットワークのセキュリティとレジリエンスにおける利害関係者の能力を強化する。
3.5. Increase integration of stakeholder insights to inform CISA product development and mission delivery. 3.5. CISAの製品開発とミッション遂行に情報を提供するために、利害関係者の見識の統合を強化する。
Goal 3: Unify Agency Coordination of International Activities 目標3:国際活動における政府機関の調整を統一する
3.1. Strengthen and institutionalize CISA’s governance of international activities. 3.1. CISAの国際活動のガバナンスを強化し、制度化する。
CISA Strategic Plan Objective: CISA戦略計画の目標:
4.1. Strengthen and integrate CISA governance, management, and prioritization. 4.1. CISAのガバナンス、管理、優先順位付けを強化し、統合する。
3.2. Align and synchronize CISA’s international functions, capabilities, and resources. 3.2. CISAの国際的な機能、能力、リソースを調整し、同期化する。
CISA Strategic Plan Objectives: CISA戦略計画の目標:
2.1. Expand visibility of risks to infrastructure, systems, and networks. 2.1. インフラ、システム、ネットワークに対するリスクの認知度を拡大する。
3.3. Streamline stakeholder access to and use of appropriate CISA programs, products, and services. 3.3. 関係者が適切なCISAプログラム、製品、サービスにアクセスし、それらを利用できるように合理化する。
4.2. Optimize CISA business operations to be mutually supportive across all divisions. 4.2. CISAの業務運営を最適化し、すべてのディビジョン間で相互に支援できるようにする。
3.3. Equip CISA’s workforce through training and education to promote CISA’s capabilities on the global stage. 3.3. 訓練および教育を通じてCISAの労働力を強化し、国際舞台におけるCISAの能力を促進する。
CISA Strategic Plan Objective: CISA戦略計画の目標:
4.3. Cultivate and grow CISA’s high-performing workforce. 4.3. CISAの優秀な労働力を育成し、増強する。

 

・[PDF]

20241108-53544

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.08.06 米国 CISA サイバーセキュリティ戦略 FY2024-2026

・2023.07.15 米国 ホワイトハウス サイバーセキュリティ戦略実施計画

・2023.03.04 米国 国家サイバーセキュリティ戦略を発表

・2022.10.14 米国 国家安全保障戦略

・2022.09.21 米国 CISA 戦略計画 2023-2025

 

| | Comments (0)

オランダ データ保護局 意見募集 職場や教育における感情認識のための特定のAIシステムの禁止 (2024.10.31)

こんにちは、丸山満彦です。

オランダのデータ保護局が「職場や教育機関における感情認識のための特定のAIシステムの禁止」に関する意見募集をしていますね...

AI法の適用を見据えて、徐々にこのようなガイドが整備されていくのでしょうかね...

AI法第5条で禁止されるAIが8つ定義されています...

A:特定の操作型AIシステム(サブリミナル技術の利用等)
B:特定の搾取的AIシステム(個人や集団の弱みに漬け込む利用等)
C:ソーシャル・スコアを用いて作動する特定のAIシステム
D:個人による犯罪の可能性を予測する特定のAIシステム
E:顔画像の非標的スクレイピング
F:職場や教育における感情認識のための特定のAIシステム
G:生体認証による人物分類のための特定のAIシステム
H:法執行目的の公共の場における遠隔リアルタイム生体認証のための特定のAIシステム

このうち、

A:特定の操作型AIシステム(サブリミナル技術の利用等)
B:特定の搾取的AIシステム(個人や集団の弱みに漬け込む利用等)

についてのガイド案がすでに公開されていますが、

今回は、

F:職場や教育における感情認識のための特定のAIシステム

です。

 

● Autoriteit Persoonsgegevens

・2024.10.31 Call for input on prohibition on AI systems for emotion recognition in the areas of workplace or education institutions

・[PDF

20241108-00955

 

 

AI systems for emotion recognition in the areas of workplace or education institutions  職場や教育機構における感情認識のためのAIシステム
Prohibition in EU Regulation 2024/1689 (AI Act)  EU規則2024/1689(AI法)における禁止事項
Summary 概要
The European AI Act (2024/1689) has been in force since 1 August 2024 and regulates the use of artificial intelligence (AI) in the European Union (EU). The AI Act has a risk-based approach. As a result, certain AI systems posing an unacceptable risk are prohibited from 2 February 2025. 欧州AI法(2024/1689)は2024年8月1日から施行されており、欧州連合(EU)における人工知能(AI)の利用を規制している。AI法はリスクベースのアプローチを採用している。その結果、許容できないリスクをもたらす特定のAIシステムは2025年2月2日から禁止される。
It is up to the supervisors of the AI Act to explain how the prohibitions will be interpreted for the purpose of supervision. In order to prepare for this in the Netherlands, the Autoriteit Persoonsgegevens (AP) asks interested parties (citizens, governments, businesses and other organisations) and their representatives for needs, information and insights. We can use all input to consider the necessary further clarification of the prohibited AI systems. AI法の監督当局は、この禁止事項が監督上どのように解釈されるかを説明しなければならない。オランダでこれに備えるため、Autoriteit Persoonsgegevens(AP)は関係者(市民、政府、企業、その他の組織)やその代表者にニーズ、情報、洞察を求めている。私たちは、禁止されているAIシステムの必要なさらなる明確化を検討するために、すべての意見を利用することができる。
On 27 September 2024, the AP published the first call for input on the first two prohibitions of the AI Act. In this second call for input, we address the sixth prohibition: AI systems for emotion recognition in the areas of workplace or education institutions (prohibition F). Later on, we will ask for input on other prohibitions. This document outlines specific criteria for these prohibited AI systems while requesting (additional) input through a set of questions. Contributions can be submitted until 17 December 2024. 2024年9月27日、APはAI法の最初の2つの禁止事項に関する最初の意見募集を発表した。今回の2回目の意見募集では、第6の禁止事項を取り上げる: 職場や教育機構における感情認識のためのAIシステム(禁止事項F)である。後日、他の禁止事項についても意見を求める予定である。この文書では、これらの禁止されるAIシステムの具体的な規準の概要を示すとともに、一連の質問を通じて(追加の)意見を求める。意見は2024年12月17日まで提出できる。
The AP makes this call for input based on its role as a coordinating supervisor of algorithms and AI. For the purpose of this new task, the Department for the Coordination of Algorithmic Oversight (DCA) was established within the AP. This call for input also aligns with the preparatory work being done in support of future supervision of AI systems prohibited under the AI Act. The Dutch government is currently working on the formal designation of national supervisory authorities for the AI Act. APは、アルゴリズムとAIの調整監督者としての役割に基づき、この意見募集を行う。この新しい任務のために、AP内にアルゴリズム監督調整部(DCA)が設立された。この意見募集は、AI法で禁止されているAIシステムの将来の監督を支援するために行われている準備作業とも一致している。オランダ政府は現在、AI法の国内監督当局の正式認可に向けて作業を進めている。
I. Background I. 背景
1. The European AI Act (2024/1689) has been in force since 1 August 2024. This Regulation sets out rules for the provision and use of artificial intelligence (AI) in the EU. The premise of the AI Act is that while there are numerous beneficial applications of AI, the technology also entails risks that have to be managed. The legislation follows a risk-based approach. More restrictive rules will apply to those AI systems that pose a greater risk. Some systems entail such an unacceptable risk that their placing on the market or use is completely prohibited. This is, for example, the case with AI systems that are used for emotion recognition in the areas of workplace or education institutions. The prohibitions are set out in Article 5 of the AI Act. 1. 欧州AI法(2024/1689)は2024年8月1日より施行されている。この規則は、EUにおける人工知能(AI)の提供と利用に関する規則を定めたものである。AI法の前提は、AIには多くの有益な用途がある一方で、管理すべきリスクも伴うということである。この法律は、リスクベースのアプローチに従っている。より大きなリスクをもたらすAIシステムには、より厳しい規則が適用される。なかには、上市や使用が完全に禁止されるほどの許容できないリスクを伴うシステムもある。例えば、職場や教育機構の分野で感情認識に使用されるAIシステムがそうである。禁止事項はAI法第5条に定められている。
2. This call for input provides a preliminary basis for further clarification of the prohibitions in the AI Act. To get there, this call for input aims to gather generic information and insights on, among other things, the functioning of AI technologies and the application possibilities that are relevant to the clarification of the prohibitions. 2. この意見募集は、AI法の禁止事項をさらに明確にするための予備的根拠を提供するものである。そのために、この意見募集は、特に禁止事項の明確化に関連するAI技術の機能や応用の可能性に関する一般的な情報や見識を収集することを目的としている。
Prohibited AI applications as from February 2025 2025年2月から禁止されるAIアプリケーション
3. The prohibitions in the AI Act will become applicable soon. As from 2 February 2025, the prohibited AI systems listed in Article 5 may no longer be put on the European market or used. As from 2 August 2025, market surveillance authorities should be designated for prohibited AI systems, and sanctions may be imposed for violations of the prohibitions. Before this time, violation of one of the prohibitions could already lead to civil liability. 3. AI法の禁止事項が間もなく適用される。2025年2月2日以降、第5条に記載された禁止されたAIシステムは、もはや欧州市場に投入されたり、使用されたりすることはできない。2025年8月2日以降、禁止されたAIシステムについては市場監視当局が認可される必要があり、禁止事項に違反した場合には制裁が課される可能性がある。それ以前は、禁止事項のいずれかに違反した場合、すでに民事責任を問われる可能性がある。
Supervision in the Netherlands on compliance with the prohibitions オランダにおける禁止事項の遵守に関する監督
4. The Dutch government is currently working on legislation designating which supervisory authority will be responsible for overseeing compliance with the prohibitions. In the Netherlands, the AP (through its Department for the Coordination of Algorithmic Oversight) and the Dutch Authority Digital Infrastructure (RDI) provide advice on the supervisory framework for the purpose of the AI Act. They do so in cooperation and coordination with other supervisors. In a second interim advice, published in May 2024, the Dutch supervisors proposed to make the AP primarily responsible for the supervision of prohibited AI. Following these recommendations, the AP will closely cooperate with other relevant supervisors for the supervision of prohibited AI systems. 4. オランダ政府は現在、禁止事項の遵守を監督する責任を負う監督当局を指定する法制化に取り組んでいる。オランダでは、AP(アルゴリズム監督調整局を通じて)とオランダ認可デジタル・インフラ(RDI)がAI法の目的のために監督枠組みに関する助言を提供している。これらは、他の監督当局との協力・協調の下で行われている。2024年5月に公表された2回目の中間助言において、オランダの監督当局は、禁止されたAIの監督をAPが主に担当することを提案した。これらの勧告に従い、APは禁止されたAIシステムの監督について他の関連監督当局と緊密に協力する。



5. Because the prohibitions in this call concern AI systems that also fall under other Union laws, this call has been coordinated within the AI and Algorithm Group of the Dutch Cooperation Platform of Digital Supervisory authorities. This is in the spirit of the requirement in Article 70(8) of the AI Act to consult relevant national competent authorities responsible for other Union law that covers AI systems. 5. この要請における禁止事項は、他の連邦法にも該当するAIシステムに関するものであるため、この要請は、デジタル監督当局のオランダ協力プラットフォームのAI・アルゴリズムグループ内で調整されている。これは、AI法第70条8項が要求する、AIシステムを対象とする他の連邦法を担当する関連国の管轄当局と協議するという精神に則ったものである。
II. About this call for input II. この意見募集について
Purpose: why do we ask for input 目的:なぜ意見を求めるのか
6. It is up to the supervisors of the AI Act to explain how the prohibitions will be interpreted for the purpose of supervision. In preparation for this, the AP is asking for information and insights from stakeholders (citizens, governments, companies and other organisations) and their representatives. All responses can be used for further explanation of the prohibited AI. Within the AP, the Department for the Coordination of Algorithmic Oversight is charged with this task. 6. AI法の監督当局が、監督目的で禁止事項がどのように解釈されるかを説明する次第である。その準備のため、APは利害関係者(市民、政府、企業、その他の組織)およびその代表者からの情報と洞察を求めている。すべての回答は、禁止されているAIのさらなる説明に利用することができる。AP内では、アルゴリズム監督調整部がこの任務を担っている。
7. This call for input discusses the prohibition outlined in Article 5, paragraph 1 subparagraph f of the AI Act. In addition to this call for input, the AP already published a first call on 27 September 2024 on two other prohibitions, namely the prohibition on manipulative and deceptive AI systems and the prohibition on exploitative AI systems. 7. この意見募集では、AI法第5条第1項f号に概説される禁止事項について議論する。この意見募集に加え、APはすでに2024年9月27日に、他の2つの禁止事項、すなわち、操作的で欺瞞的なAIシステムの禁止と搾取的なAIシステムの禁止に関する最初の意見募集を発表している。
8. The legislative text and the recitals serve as the foundations for this call for input. Given the scope and possible impact of this prohibition, a call for input is issued for this prohibition. Please refer to the annex to this document for an overview of all prohibitions in subparagraphs (a) to (g) of Article 5, paragraph 1 of the AI Act. 8. 立法文書とリサイタルは、この意見募集の基礎となるものである。この禁止事項の範囲と起こりうる影響を考慮し、この禁止事項に関する意見募集を行う。AI法第5条第1項第(a)号から第(g)号までのすべての禁止事項の概要については、本書の附属書を参照のこと。
9. This call for input highlights specific aspects of this prohibition. The focus is on those specific criteria that determine whether or not an AI system is within the scope of this prohibition. Each criterion is briefly explained based on the legislator’s recitals of the AI Act. In some cases, we provide an interpretation of our own. This is explicitly mentioned. We then pose several questions, the answers to which will contribute to a better understanding of the prohibition. 9. 本意見募集は、この禁止事項の特定の側面に焦点を当てたものである。AIシステムが本禁止の範囲に含まれるか否かを判断する具体的な規準に焦点を当てる。各基準は、AI法の立法者の説明に基づいて簡潔に説明されている。場合によっては、独自の解釈を提供することもある。これについては明確に言及する。その後、いくつかの質問を投げかけ、その回答は禁止事項のより良い理解に資するものである。
Process: this is how you send your input to us プロセス:これは、あなたが私たちに意見を送る方法である
10. You decide which questions you answer. You can also provide us with other relevant input in addition to the questions asked. Please send your input by email to dca@autoriteitpersoonsgegevens.nl by 17 December 2024. Please mention the topic “Call for input DCA-2024-02 AI systems for emotion recognition in the areas of workplace or education institutions”, and your name and/or your organisation in your email. If desirable, you can provide us with your contact details so that we can reach you when we have further questions. When we have received your input, we will send a confirmation by email. 10. どの質問に答えるかはあなたが決める。また、質問以外にも関連する意見をプロバイダに提供することができる。2024年12月17日までに、dca@autoriteitpersoonsgegevens.nl。その際、「Call for input DCA-2024-02 AI systems for emotion recognition in areas of workplace or education institutions」(職場や教育機関における感情認識のためのAIシステム)というトピックと、あなたの氏名または所属する組織を明記してください。また、ご希望であれば、ご連絡先をご記入いただければ、ご質問の際にご連絡を差し上げることができる。入力が確認されたら、Eメールにて確認のご連絡を差し上げる。
Follow-up: what do we do with your input? フォローアップ:あなたの意見をどうするか?
11. After the closure of this call for input, the AP will publish a summary and appreciation of the input on AI systems for emotion recognition in the areas of workplace or education institutions. In this summary, we will refer in generic terms to the input received (e.g., “several sectoral representative organisations have indicated’, “a developer of AI systems points out that”, “organisations advocating for fundamental rights note that”). If preferred and indicated by you, we may explicitly name your organisation or group. Through our summarised and evaluative response, we can also share the acquired insights with other (European) AI supervisory authorities. For instance, the summary and appreciation of the contribution may be utilised in the drafting of guidelines on the prohibitions. At a European level, the AI Office - part of the European Commission- can collaborate with the market surveillance authorities to develop such guidelines. 11. 本意見募集の終了後、APは、職場や教育機構の分野における感情認識AIシステムに関する意見の要約と評価を公表する。この要約では、寄せられた意見について一般的な用語で言及する(例えば、「いくつかの分野の代表者組織からの指摘」、「AIシステムの開発者からの指摘」、「基本的権利を擁護する組織からの指摘」など)。ご希望があれば、またご指摘があれば、あなたの組織や団体名を明示することもある。また、要約・評価した回答を通じて、得られた知見を他の(欧州の)AI監督当局と共有することもできる。例えば、禁止事項に関するガイドラインのドラフトを作成する際に、寄稿の要約と評価を活用することができる。欧州レベルでは、欧州委員会の一部であるAI事務局は、市場監視当局と協力して、そのようなガイドラインを作成することができる。
12. We will only use your input for our task to obtain information and insights about the prohibitions in the AI Act. We will delete your personal data after publication of our summary and evaluation of the input, unless you have given permission for further use. For more information about how we process personal data, please see: The AP and privacy. 12. 当社は、AI法の禁止事項に関する情報や見識を得るという当社の任務のためにのみ、あなたの意見を使用する。ご意見の要約と評価を公表した後、それ以上の使用についてご本人の許可がない限り、個人データを削除する。当社がどのように個人データを処理するかについての詳細は、以下を参照のこと: APとプライバシー。
More calls for input インプットのさらなる募集
13. Following this call, there will be more calls for input on other parts of the AI Act, including other prohibitions. The AP has previously called for input for manipulative, misleading and exploitative AI systems. In the short term, the AP wants to publish a call for input on prohibition C: AI systems for social scoring. 13. 今回の呼びかけに続き、他の禁止事項を含むAI法の他の部分についても意見募集を行う予定である。APはこれまでにも、操作的、誤解を招く、搾取的なAIシステムについての意見を求めてきた。短期的には、APは禁止事項C「ソーシャル・スコアリングのためのAIシステム」に関する意見募集を公表したいと考えている。
III. Definition of the prohibition on AI systems for emotion recognition in the areas of workplace or education institutions III. 職場や教育機構における感情認識AIシステム禁止の定義
General scope of prohibited AI systems 禁止されるAIシステムの一般的範囲
14. The AI Act (and its prohibitions) apply to ‘AI systems’. Thus, in order to determine whether the Regulation applies, an important question is whether the product falls within the definition of an AI system: 14. AI法(およびその禁止事項)は「AIシステム」に適用される。したがって、本規則が適用されるかどうかを判断するためには、その製品がAIシステムの定義に該当するかどうかが重要な問題となる:
“A machine-based system that is designed to operate with varying levels of autonomy and that may exhibit adaptiveness after deployment, and that, for explicit or implicit objectives, infers, from the input it receives, how to generate outputs such as predictions, content, recommendations, or decisions that can influence physical or virtual environments.” 「様々なレベルの自律性で動作するように設計され、展開後に適応性を示す可能性があり、明示的または暗黙的な目的のために、物理的または仮想的環境に影響を与えることができる予測、コンテンツ、推奨、決定などの出力を生成する方法を、受け取った入力から推測する機械ベースのシステム」。
15. The prohibitions are addressed to providers (e.g. developers), deployers, importers, distributors and other operators. These operators shall not place on the market, put into service or use the prohibited AI systems. Therefore, it is important for the above operators to ensure that they do not place on the market or use a prohibited AI system. To do so, they will have to verify whether the AI system in question falls under the prohibitions in Article 5. 15. この禁止事項は、プロバイダ(開発者など)、展開事業者、輸入事業者、頒布事業者、その他の事業者を対象としている。これらの事業者は、禁止されているAIシステムを上市、サービス開始、使用してはならない。したがって、上記の事業者は、禁止されているAIシステムを上市したり、使用したりしないようにすることが重要である。そのためには、当該AIシステムが第5条の禁止事項に該当するか否かを確認する必要がある。
Content of the prohibition 禁止事項の内容
16. This call for input focuses on the prohibition set out in subparagraph (f) of Article 5, paragraph 1. The AI Act prohibits AI systems used to infer emotions from a natural person in the areas of workplace or education institutions based on biometric data (hereinafter: emotion recognition systems). In the remainder of this call for input, we will refer to this prohibition as ‘prohibition F’. The Regulation defines this prohibition as follows: 16. 今回の意見募集では、第5条第1項(f)号の禁止事項に焦点を当てる。AI法は、職場や教育機関などの分野において、生体データに基づいて自然人の感情を推測するAIシステム(以下、感情認識システム)を禁止している。本意見募集では、この禁止事項を「禁止事項F」と呼ぶ。規則では、この禁止事項を以下のように定義している:
Article 5, paragraph 1, subparagraph f (‘prohibition F’): 第5条第1項f号(「禁止F」):
“The placing on the market, the putting into service for this specific purpose, or the use of AI systems to infer emotions of a natural person in the areas of workplace and education institutions, except where the use of the AI system is intended to be put in place or into the market for medical or safety reasons;” 「職場および教育機構の分野における自然人の感情を推測するためのAIシステムの上市、この特定目的のための使用、または使用は、医療上または安全上の理由からAIシステムの使用が意図され、または上市される場合を除く」
17. The AI Act contains a definition of the concept of an ‘emotion recognition system’, which includes not only the inference but also the identification of emotions and intentions. It is therefore assumed that the prohibition involves both the inference and the identification of emotions and intentions based on biometric data. The AI Act defines an ‘emotion recognition system’ as follows: 17。AI法には、「感情認識システム」という概念の定義があり、そこには、推論だけでなく、感情や意思の識別も含まれている。したがって、生体データに基づく感情や意思の推論と識別の両方が禁止に含まれると考えられる。AI法は「感情認識システム」を以下のように定義している:
“An AI system intended to identify or infer the emotions or intentions of natural persons based on their biometric data.” 「生体データに基づいて、自然人の感情または意図を識別または推論することを目的とするAIシステム」。
18. It is important to note that AI systems for emotion recognition that are not put into use in the areas of workplace or educational institutions qualify as ‘high risk’. If AI systems intended to be used for emotion recognition qualify as high-risk under Annex III, paragraph 1, subparagraph c, the requirements applicable to these systems will have to be complied with. In addition, users of a system for emotion recognition are subject to specific transparency obligations. These are defined in Article 50(3) of the AI Act. 18. 注意すべきは、職場や教育機関の分野で使用されない感情認識のためのAIシステムは、「ハイリスク」と認定されることである。感情認識に使用されることを意図したAIシステムが附属書III第1項cのハイリスクに該当する場合、これらのシステムに適用される要件に従わなければならない。さらに、感情認識システムの利用者は、特定の透明性義務を負う。これらはAI法第50条第3項に定義されている。
19. Finally, the AI Act is without prejudice to the GDPR. Obligations of providers and deployers of AI systems in their role as controllers or processors stemming from Union or national law on the protection of personal data continue to apply in the design, development or use of AI systems. 19. 最後に、AI法はGDPRを妨げるものではない。AIシステムのプロバイダおよび展開者は、個人データ保護に関する連邦法または国内法に由来する管理者または処理者としての役割を果たす義務が、AIシステムの設計、開発、使用において引き続き適用される。
IV. Criteria and questions regarding the prohibition IV. 禁止に関する規準と質問
20. In order to structure this call for input, separate criteria of the prohibition have been set out in more detail in the next section. These criteria are highlighted because they are important conditions for determining whether or not AI systems are covered by prohibition F. A brief explanation is provided for each criterion, based on the explanation provided by the legislator in the explanatory recitals to the AI Act. In some cases, explanations are based on the AP's own interpretation; this is clearly indicated. This is followed by some accompanying questions that you can use when giving your input. 20. この意見募集を構成するために、禁止事項の個別の規準が次のセクションで詳細に示されている。これらの規準は、AIシステムが禁止事項Fの対象となるか否かを判断するための重要な条件であるため、強調されている。各規準については、AI法の説明の中で立法者が提供した説明に基づき、簡単な説明がなされている。場合によっては、AP独自の解釈に基づく説明もあるが、これは明確に示されている。続いて、意見を述べる際に利用できる付随的な質問をいくつか示す。
Criterion 1: inference and identification of emotions and intentions 規準1:感情や意図の推論と特定
21. The prohibition applies where emotions or intentions of natural persons are inferred. It follows from the definition of an ‘emotion recognition system’ that, in addition to inference, it includes the identification of emotions and intentions. The AP therefore assumes that both the inference and the identification of emotions and intentions are covered by the prohibition. 21. 禁止事項は、自然人の感情や意図が推測される場合に適用される。感情認識システム」の定義から、推論に加え、感情や意図の特定も含まれる。したがってAPは、感情や意図の推論と識別の両方が禁止事項の対象であるとする。
Questions related to criterion 1 規準1に関する質問
1. Can you describe AI systems used to infer or identify emotions or intentions? 1. 感情や意図を推論または特定するために使用されるAIシステムについて説明できるか。
2. Is it clear to you when a system is aiming to infer or identify emotions or intentions? If not, what part asks for more clarity? Can you elaborate on this? 2. システムが感情や意図を推論したり識別したりすることを目的としている場合、それがどのような場合であるかは明らかか。そうでない場合、どの部分がより明確であることを求めているか?詳しく説明してくれる?
Criterion 2: emotions or intentions 規準2:感情または意図
22. The prohibition applies to the emotions or intentions of natural persons. The recitals describe emotions or intentions such as happiness, sadness, anger, surprise, disgust, embarrassment, excitement, shame, contempt, satisfaction and amusement. The prohibition does not include the detection of readily apparent expressions, gestures or movements, unless they are used to identify or infer emotions. These expressions can be basic facial expressions, such as a frown or smile. Such expressions can also be gestures such as the movement of hands, arms or head, or characteristics of a person's voice, such as a raised voice or whispering tone. 22. 禁止は自然人の感情または意図に適用される。朗読では、喜び、悲しみ、怒り、驚き、嫌悪、恥ずかしさ、興奮、恥、軽蔑、満足、娯楽などの感情や意図が述べられている。この禁止には、感情を識別または推論するために使用されるのでない限り、容易に見て取れる表情、身振り、動作の検知は含まれない。これらの表情は、しかめっ面や微笑みといった基本的な顔の表情でありうる。このような表情は、手、腕、頭の動きのようなジェスチャーや、高めの声やささやき声のような人の声の特徴であることもある。
23. The prohibition shall not apply to physical states such as pain or fatigue. This could include systems used to detect the state of fatigue of professional pilots or professional drivers in order to prevent accidents. AI systems that detect such states are outside the scope of the prohibition. 23. この禁止は、痛みや疲労といった身体的状態には適用されない。これには、事故を防ぐためにプロのパイロットやプロのドライバーの疲労状態を検知するためのシステムも含まれる。このような状態を検知するAIシステムは、禁止の範囲外である。
Questions related to criterion 2 規準2に関する質問
3. Can you give examples of other types of emotions or intentions that can be inferred or identified with the use of AI systems? 3. AIシステムの使用によって推測または識別できる他の種類の感情または意図の例を挙げることができるか。
4. Can you describe situations in which AI systems can be used to infer or identify physical states? In that case, are emotions or intentions also inferred or identified? Is the difference between emotions and intentions on the one hand and physical states on the other hand sufficiently clear to you? 4. AIシステムを使用して物理的状態を推測または特定できる状況を説明できるか。その場合、感情や意図も推論されたり識別されたりするのか?一方の感情や意図と他方の物理的状態の違いは、あなたにとって十分に明確か?
5. Can you describe AI systems used to detect readily apparent expressions, gestures or movements? Do you know of situations where the detection of expressions, gestures or movements can be used to identify or infer emotions or intentions? 5. すぐにわかる表情、ジェスチャー、動きを検知するために使われるAIシステムについて説明できるか?表情、ジェスチャー、動きの検知が、感情や意図の識別や推論に利用できる状況を知っているか?
6. Is it clear to you when an AI system infers or identifies emotions or intentions or other states? What questions or need for clarification do you have in the context of this prohibition? 6. AIシステムが感情や意図、あるいはその他の状態を推論したり識別したりするのは、どのような場合か明確か。この禁止事項に関して、どのような疑問や明確化の必要性があるか。
Criterion 3: on the basis of biometric data 規準3:生体データに基づいて
24. The prohibition applies to AI systems that use human biometric data to identify or infer emotions. Biometric data is defined in the AI Act “as personal data resulting from specific technical processing relating to the physical, physiological or behavioural characteristics of a natural person, such as facial images or dactyloscopic data”. However, as stated in the recitals, the concept of biometric data in the AI Act must be interpreted “in the light of” the concept of biometric data in the GDPR. Importantly, biometric data as defined in the AI Act (among others) enables the recognition of emotions of natural persons. 24. この禁止は、人間の生体データを使用して感情を識別または推論するAIシステムに適用される。生体データは、AI法では「顔画像やダクティロスコピックデータなど、自然人の身体的、生理的、行動的特徴に関連する特定の技術仕様から生じる個人データ」と定義されている。しかし、説明文にあるように、AI法における生体データの概念は、GDPRにおける生体データの概念に「照らして」解釈されなければならない。重要なことは、AI法に定義されている生体データ(とりわけ)は、自然人の感情の認識を可能にするということである。
Questions related to criterion 3 規準3に関連する質問
7. What kind of biometric data can be used in these AI systems intended to infer or detect emotions? 7.感情を推測または検出することを意図したこれらのAIシステムでは、どのような生体データを使用できるのか?
8. In your opinion, how does biometric data form the basis for inferring or identifying emotions in practice? Can you indicate how this process works and illustrate this with (imaginary) examples? 8. 生体データは、実際にどのように感情を推測または識別するための基礎となるのか。このプロセスがどのように機能するかを示し、(想像上の)例で説明できるか。
Criterion 4: the areas of workplace or education institutions 規準4:職場または教育機構の領域
25. Prohibition F states that an AI system for emotion recognition must infer emotions of natural persons in the areas of workplace and education institutions. An AI system for emotion recognition in situations related to the workplace and education is also covered by this prohibition. Here, too, there are the same unfair power relations and AI systems for emotion recognition can, taking into account the far-reaching nature of these types of systems, lead to detrimental or unfavourable treatment of certain people or whole groups thereof. It can be assumed that the application of emotion recognition in, for example, home working environments, or in online or distance learning, therefore also falls within the scope of the prohibition. This also applies to the application of emotion recognition for recruitment and selection or application for education. 25. 禁止事項Fでは、感情認識AIシステムは、職場や教育機関の領域において、自然人の感情を推論しなければならないとされている。職場や教育に関連する場面での感情認識AIシステムも、この禁止事項の対象となる。ここでも、同じように不公正な力関係が存在し、感情認識のためのAIシステムは、この種のシステムの広範な性質を考慮すると、特定の人々やその集団全体に不利益や不利な取り扱いをもたらす可能性がある。したがって、たとえば在宅勤務環境やオンライン学習、遠隔学習における感情認識の適用も、禁止事項の範囲に含まれると考えられる。これは、採用選考や教育への応募のための感情認識の適用にも適用される。
Questions related to criterion 4 規準4に関連する質問
9. Can you describe AI systems used for emotion recognition in, or related to, areas of workplace? 9. 職場の領域で、または職場に関連する領域で、感情認識に使用される AI システムを説明できるか。
10. Can you describe AI systems used for emotion recognition in, or related to, education institutions? 10. 教育機関において、または教育機関に関連して、感情認識に用いられるAIシステムについて説明できるか。
11. What questions or need for clarification do you still have in the context of this prohibition regarding criterion 4? 11. 本禁止事項のうち、基準4に関して、まだ不明な点や明確化すべき点があるか。
Scope of the prohibition 禁止事項の範囲
26. Finally, it is important to emphasise the scope of prohibition F. The prohibition should not apply to the placing on the market, putting into service or use of AI systems intended to be used for medical or safety reasons. The recitals of the AI Act stress that these are AI systems used strictly for medical or safety reasons. For example, a system intended for therapeutical use. 26. 最後に、禁止事項Fの範囲について強調しておきたい。この禁止事項は、医療または安全のために使用されることを意図したAIシステムの上市、使用開始、使用には適用されるべきではない。AI法のリサイタルは、医療または安全上の理由で厳密に使用されるAIシステムであることを強調している。例えば、治療目的のシステムなどである。
Questions related to criterion 5 規準5に関連する質問
12. Can you describe an AI system for emotion recognition deployed in the areas of workplace or in education institutions for medical reasons? 12. 医療上の理由から、職場や教育機構で展開される感情認識AIシステムについて説明できるか。
13. How can AI systems for emotion recognition be deployed in the areas of workplace or in education institutions for safety reasons? Can you think of any examples? 13. 職場や教育機関において、安全面を考慮した感情認識AIシステムはどのように展開できるか。また、そのような事例を思いつくか。
14. What further questions or clarifications do you have about the scope of this prohibition? 14. この禁止事項の範囲について、さらに質問や説明があれば教えてほしい。
27. In conclusion, it is stressed that this document does not cover all aspects of the prohibition. Therefore, interested parties are expressly invited to provide relevant input, also outside the questions asked, for further clarification of prohibition F. 27. 結論として、この文書は禁止事項のすべての側面を網羅しているわけではないことを強調する。したがって、利害関係者は、禁止事項Fのさらなる明確化のため、質問以外の関連する意見を提供するよう明示的に要請される。
Concluding questions 締めくくりの質問
15. Apart from the questions posed, is there any relevant input that you would like to provide for the further clarification of prohibition F? 15. 提示された質問以外に、禁止事項Fの更なる明確化のために提供したい関連するインプットはあるか?
16. Do you think it is desirable that we explicitly mention your organisation or group in our public response and appreciation to this call for input, e.g. so that we can discuss examples and considerations that you provide? 16. この意見募集に対する私たちの公的な回答および謝辞の中で、あなたの組織または団体について明示的に言及することが望ましいと思われるか。
Annex: overview of prohibitions from Article 5, paragraph 1 of the AI Act 2024/1689 附属書:AI法2024/1689第5条第1項による禁止事項の概要
Prohibition A: Certain manipulative AI systems 禁止事項A: ある種の操作的なAIシステム
AI systems that deploy subliminal techniques beyond a person’s consciousness or purposefully manipulative or deceptive techniques, with the objective, or the effect of materially distorting the behaviour of a person or a group of persons by appreciably impairing their ability to make an informed decision, thereby causing them to take a decision that they would not have otherwise taken in a manner that causes or is reasonably likely to cause that person, another person or group of persons significant harm. 人の意識を超えたサブリミナル的な技法、または意図的に操作的もしくは欺瞞的な技法を展開するAIシステムであって、その目的または効果が、十分な情報に基づいた意思決定を行う能力を著しく損なうことによって、人または人の集団の行動を実質的に歪め、それによって、その人、他の人または人の集団に重大な危害をもたらす、またはもたらす可能性が合理的に高い方法で、他の方法では行わなかったであろう意思決定を行わせるもの。
Prohibition B: Certain exploitative AI systems 禁止事項B:特定の搾取的AIシステム
AI systems that exploit any of the vulnerabilities of a natural person or a specific group of persons due to their age, disability or a specific social or economic situation, with the objective, or the effect, of materially distorting the behaviour of that person or a person belonging to that group in a manner that causes or is reasonably likely to cause that person or another person significant harm. 自然人または特定の集団の年齢、障害または特定の社会的もしくは経済的状況に起因する脆弱性を悪用するAIシステムであって、その人またはその集団に属する人の行動を、その人またはその集団に属する人に重大な危害をもたらすか、またはもたらす可能性が合理的に高い方法で、実質的に歪めることを目的とし、またはその効果を有するもの。
Prohibition C: Certain AI systems for social scoring 禁止事項C:社会的スコアリングのための特定のAIシステム
AI systems for the evaluation or classification of natural persons or groups of persons over a certain period of time based on their social behaviour or known, inferred or predicted personal or personality characteristics, with the social score leading to either or both of the following: 自然人または集団の社会的行動または既知、推論もしくは予測される個人的もしくは人格的特性に基づいて、一定期間にわたって評価または分類するためのAIシステムであって、社会的スコアが以下のいずれかまたは両方につながるもの:
• detrimental or unfavourable treatment of certain natural persons or groups of persons in social contexts that are unrelated to the contexts in which the data was originally generated or collected; •  データが元々生成または収集された文脈とは無関係な社会的文脈において、特定の自然人または集団が不利益または不利な扱いを受けること;
• detrimental or unfavourable treatment of certain natural persons or groups of persons that is unjustified or disproportionate to their social behaviour or its gravity. •  社会的行動またはその重大性に不当または不釣り合いな,特定の自然人または集団に対する不利益または不利な取り扱い。
Prohibition D: Certain AI systems for predictive policing 禁止事項D:予測的取り締まりのための特定のAIシステム
AI systems for making risk assessments of natural persons in order to assess or predict the risk of a natural person committing a criminal offence, based solely on the profiling of a natural person or on assessing their personality traits and characteristics; this prohibition shall not apply to AI systems used to support the human assessment of the involvement of a person in a criminal activity, which is already based on objective and verifiable facts directly linked to a criminal activity. 自然人が犯罪を犯すリスクを評価または予測するために、自然人のプロファイリングまたは人格的特徴および特性の評価のみに基づいて、自然人のリスクアセスメントを行うためのAIシステム。この禁止は、犯罪活動に直接関連する客観的かつ検証可能な事実に既に基づいている、犯罪活動への人の関与に関する人間の評価を支援するために使用されるAIシステムには適用されない。
Prohibition E: Untargeted scraping of facial images 禁止事項E.顔画像の非対象スクレイピング
AI systems that create or expand facial recognition databases through the untargeted scraping of facial images from the internet or CCTV footage. インターネットやCCTV映像から顔画像を非対象にスクレイピングすることにより、顔認識データベースを作成または拡張するAIシステム。
Prohibition F: Certain AI systems for emotion recognition in the workplace or in education 禁止事項F:職場や教育機関における感情認識のための特定のAIシステム
AI systems that infer emotions of a natural person in the areas of workplace and education institutions, except where the use of the AI system is intended to be put in place or into the market for medical or safety reasons. 職場や教育機構の分野における自然人の感情を推論するAIシステム。ただし、医療上または安全上の理由からAIシステムの導入または市場投入が意図されている場合を除く。
Prohibition G: Certain AI systems for biometric categorisation of persons 禁止事項G:人物の生体データ分類のための特定のAIシステム
AI systems for biometric categorisation that categorise individually natural persons based on their biometric data to deduce or infer their race, political opinions, trade union membership, religious or philosophical beliefs, sex life or sexual orientation; this prohibition does not cover any labelling or filtering of lawfully acquired biometric datasets, such as images, based on biometric data or categorising of biometric data in the area of law enforcement. 人種、政治的意見、労働組合員、宗教的または哲学的信条、性生活または性的指向を推測または推論するために、生体データに基づいて個々の自然人を分類する生体データ分類のためのAIシステム。この禁止は、合法的に取得された生体データセット(画像など)を生体データに基づいてラベリングまたはフィルタリングしたり、法執行の分野で生体データを分類したりすることは対象としない。
Prohibition H: Certain AI systems for real-time remote biometric identification in publicly accessible spaces for purpose of law enforcement 禁止事項H:法執行を目的とした、一般にアクセス可能な空間におけるリアルタイムの遠隔バイオメトリッ ク識別のための特定のAIシステム
AI-systems used for of ‘real-time’ remote biometric identification systems in publicly accessible spaces for the purpose of law enforcement, unless and in so far as such use is strictly necessary for one of the following objectives: 法執行を目的とした、一般にアクセス可能な空間における「リアルタイムの」遠隔バイオメトリッ ク識別システムのために使用されるAIシステムは、そのような使用が以下のいずれかの目的の ために厳密に必要である場合を除く:
• the targeted search for specific victims of abduction, trafficking in human beings or sexual exploitation of human beings, as well as the search for missing persons; • 誘拐,人身売買,性的搾取の特定の被害者,および行方不明者の捜索。
• the prevention of a specific, substantial and imminent threat to the life or physical safety of natural persons or a genuine and present or genuine and foreseeable threat of a terrorist attack; • 自然人の生命または身体の安全に対する特定の、実質的かつ差し迫った脅威、または真正かつ現在の、または真正かつ予見可能なテロ攻撃の脅威の防止;
• the localisation or identification of a person suspected of having committed a criminal offence, for the purpose of conducting a criminal investigation or prosecution or executing a criminal penalty for offences referred to in Annex II and punishable in the Member State concerned by a custodial sentence or a detention order for a maximum period of at least four years. • 附属書IIに規定され,かつ,当該加盟国において少なくとも4年の拘禁刑または拘禁令によって処罰される犯罪について,犯罪捜査または訴追を行い,または刑事罰を執行する目的で,犯罪を犯したと疑われる者を特定または識別すること。
Point (h) of the first subparagraph is without prejudice to Article 9 of Regulation (EU) 2016/679 for the processing of biometric data for purposes other than law enforcement. 第1号の(h)点は、法執行以外の目的での生体データの処理に関する規則(EU)2016/679の第9条を損なうものではない。

 

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.30 オランダ 会計検査院 政府はAIのリスクアセスメントをほとんど実施していない...

・2024.10.18 オランダ AI利用ガイド (2024.10.16)

・2024.09.29 オランダ データ保護局 意見募集 「操作的欺瞞的、搾取的なAIシステム」

・2024.09.05 オランダ データ保護局 顔認識のための違法なデータ収集でClearviewに3,050万ユーロ(48.5億円)

・2024.08.28 オランダ データ保護局 ドライバーデータの米国への転送を理由にUberに2億9000万ユーロ(467億円)の罰金

・2024.08.12 オランダ データ保護局が注意喚起:AIチャットボットの使用はデータ漏洩につながる可能性がある

・2024.08.11 オランダ AI影響アセスメント (2023.03.02)

・2024.08.05 欧州AI法が施行された... (2024.08.01)

 

 

| | Comments (0)

米国 CISA OT環境における量子コンピュータ時代への考慮事項...

こんにちは、丸山満彦です。

米国は、2030年に耐量子暗号への移行ができるように(遅れるような気もするけど...)、移行プロセスを進めていますが、OT環境においても忘れないでちゃんとしようねということなんでしょうね...

OTは、ライフサイクルが長いシステムが多く、しかも、システム停止をしづらいシステムをあることから、耐量子暗号への移行については、長期的な視点をもって計画的に進める必要があるのでしょうね...

 

CISA

・2024.10 Post-Quantum Considerations for Operational Technology

Post-Quantum Considerations for Operational Technology 運用テクノロジー (OT) におけるポスト量子の考慮事項
The Department of Homeland Security (DHS) and the Cybersecurity and Infrastructure Security Agency (CISA) are taking steps to facilitate the eventual transition to post-quantum cryptography, as outlined in Secretary of Homeland Security Alejandro N. Mayorkas’ March 2021 vision for cybersecurity resilience. CISA has also examined post-quantum threats to National Critical Functions (NCFs) and contributed to guidance on the migration to post-quantum cryptography. This document builds on these efforts by examining the specific risks that quantum computing could pose to industrial control systems (ICS) and other operational technology (OT). 国土安全保障省(DHS)およびサイバーセキュリティ・インフラセキュリティ庁(CISA)は、国土安全保障長官のアレハンドロ・N・マヨルカスが2021年3月に発表したサイバーセキュリティレジリエンスに関するビジョンで概説されているように、耐量子暗号への最終的な移行を促進するための措置を講じている。CISAは、国家重要機能(NCF)に対する耐量子脅威についても調査し、耐量子暗号への移行に関する指針の策定にも貢献している。本書では、これらの取り組みを踏まえ、量子コンピューティングが産業用制御システム(ICS)やその他の運用技術(OT)に及ぼす可能性のある具体的なリスクについて検討する。

 

・[PDF] Post-Quantum Considerations for Operational Technology

20241107-165543

 

Executive Summary  エグゼクティブサマリー
•  Cyber intrusions and compromises leveraging future quantum computing capabilities may threaten data confidentiality and integrity or undermine important access controls dependent on public-key cryptography.   • 将来の量子コンピューティング能力を活用したサイバー侵入や侵害は、データの機密性や整合性を脅かす可能性がある。また、公開鍵暗号方式に依存する重要なアクセス管理を損なう可能性もある。
•  Operational technology (OT) platforms, networks, and environments are often less dependent on cryptography than information technology (IT) platforms but may be vulnerable to cryptanalytically relevant quantum computer (CRQC)-enabled intrusions in rare critical instances.  • 運用技術(OT)プラットフォーム、ネットワーク、環境は、情報技術(IT)プラットフォームよりも暗号化に依存しないことが多いが、まれに重大なケースでは、暗号解析に関連する量子コンピューター(CRQC)による侵入に対して脆弱である可能性がある。
•  OT specifically may be vulnerable due to connectivity or association with IT platforms as well as direct or indirect dependencies on public-key cryptographic features including encryption and decryption, signing and validation schemas, and identity and access management mechanisms.  • OTは、ITプラットフォームとの接続性や関連性、および暗号化や復号、署名や妥当性確認のスキーム、IDやアクセス管理のメカニズムなど、公開鍵暗号機能への直接的または間接的な依存性により、特に脆弱性がある可能性がある。
•  OT vendors, owners, and operators should plan for emerging CRQC capabilities and implement mitigations, including minimizing OT exposure to quantum threats via strong OT network segmentation, using quantum-resistant algorithms where appropriate, ensuring crypto-agility in applications and protocols, and applying quantum mitigation considerations to platform update schedules and upgrade lifecycles.  • OTベンダー、所有者、運用者は、新たなCRQC機能の計画を立て、OTネットワークの強固なセグメント化による量子脅威に対するOTエクスポージャーの最小化、必要に応じた量子耐性アルゴリズムの使用、アプリケーションおよびプロトコルにおける暗号の機敏性の確保、量子低減の考慮事項のプラットフォーム更新スケジュールおよびアップグレードのライフサイクルへの適用など、低減策を実施すべきである。



 

Quantum Risks to OT OTに対する量子リスク
The overall quantum risk to—and mitigations for—OT systems varies significantly from information technology (IT) due to differences in their respective functions, asset lifecycles, and use of encryption for security. CISA anticipates that implementing post-quantum cryptography for OT systems will be a significant and enduring challenge for owners and operators of U.S. critical infrastructure.  OTシステムに対する全体的な量子リスクとその低減策は、情報技術(IT)とは、それぞれの機能、資産のライフサイクル、セキュリティのための暗号化の使用において異なるため、大きく異なる。CISAは、OTシステムに耐量子暗号を実装することは、米国の重要インフラの所有者および運営者にとって、重大かつ永続的な課題となるだろうと予測している。
Though fewer OT devices and use cases rely on encryption mechanisms than IT systems, the criticality of many OT systems’ operational roles and existing constraints in implementing technological change may still result in significant risks to U.S. critical infrastructure.  OT デバイスやユースケースの多くは IT システムほど暗号化メカニズムに依存していないが、多くの OT システムの運用上の役割の重要性や技術的変化の導入における既存の制約により、米国の重要インフラストラクチャに重大なリスクをもたらす可能性がある。 
OT Cryptography Use Cases OT 暗号化のユースケース
Asymmetric cryptography enables some key factors of industrial operations. OT systems have significantly fewer applications of asymmetric encryption and signing than IT due, in part, to limitations imposed by legacy technology and other factors delaying digital transformation.2 Even with these limitations, asymmetric cryptography in current-generation OT environments may authenticate devices, sign messages, validate signatures, verify software sources including during the boot process, and protect sensitive messages.  非対称暗号化は、産業オペレーションの主要な要素を可能にする。OTシステムでは、非対称暗号化や署名の用途がITに比べて大幅に少ないが、その理由の一つは、レガシー技術による制約や、デジタル変革を遅らせるその他の要因である。2 こうした制約があるにもかかわらず、現行世代のOT環境における非対称暗号化は、デバイスの認証、メッセージの署名、署名の妥当性確認、ブートプロセス中のソフトウェアソースの検証、機密メッセージの防御などを行うことができる。
OT deployments may leverage asymmetric-key encryption, decryption, signature, or validation mechanisms in the following example cases:  OT展開では、以下の例のようなケースで、非対称鍵暗号化、復号、署名、または妥当性確認のメカニズムを活用できる可能性がある。
• Managing virtual private network (VPN) or over-the-internet remote connectivity supporting multi-site operations or distributed networks wherein underlying OT systems may not use encryption. • 複数の拠点で運用されている、あるいは分散型ネットワークで運用されている場合、OTシステムが暗号化を使用していない可能性がある仮想プライベートネットワーク(VPN)やインターネット経由のリモート接続を管理する。
• Limiting access to sensitive OT data, including OT system design, operation, connectivity, and configuration. • OTシステム設計、運用、接続、構成など、OTの機密データへのアクセスを制限する。
• Limiting access to datastores supporting compliance, efficient production, or validating safety mechanisms through historians or other databases. • コンプライアンス、効率的な生産、あるいはヒストリカルデータやその他のデータベースを介した安全メカニズムの妥当性確認をサポートするデータストアへのアクセスを制限する。
• Restricting permissions for applying changes to operational processes, such as modifying ladder logic or modifying automated emergency protocols. • ラダーロジックの変更や自動化された緊急プロトコルの変更など、運用プロセスの変更を適用する際の権限を制限する。
• Validating sources for software or firmware updates, plug-ins, add-ons, or other programs or platforms installed adjacent to OT systems or networks. • OTシステムやネットワークに隣接してインストールされたソフトウェアやファームウェアのアップデート、プラグイン、アドオン、その他のプログラムやプラットフォームのソースを妥当性確認する。
• Supporting certificate-based OT encryption or validation in protocols, such as Open Platform Communications United Architecture (OPC UA) and Modbus Transmission Control Protocol (TCP).3,4 • Open Platform Communications United Architecture(OPC UA)やModbus Transmission Control Protocol(TCP)などのプロトコルにおける証明書ベースのOT暗号化または妥当性確認をサポートする。3,4
Traditional asymmetric encryption often contributes to mechanisms that preserve information, grant authenticated access, and protect communications in a way that is effective against compromise from classic, pre-quantum computers. A CRQC-enabled attack against OT systems without postquantum protections poses a threat to all such use cases, although specific risks will vary by targeted platform and organizational context.  従来の非対称暗号化は、情報を保持し、認証されたアクセスを許可し、通信を保護する仕組みに貢献することが多いが、これは従来の量子コンピュータ以前のコンピュータに対する攻撃に対して有効な方法である。ポスト量子保護機能のないOTシステムに対するCRQC攻撃は、あらゆる使用事例に脅威をもたらすが、具体的なリスクは標的となるプラットフォームや組織の状況によって異なる。 
Resulting Risks 結果として生じるリスク
Post-quantum risks to OT will likely vary significantly between organizations, as ICS and other OT system implementations are often unique. However, for every pre-quantum asymmetric encryption mechanism, the advent of a CRQC poses a similar threat: allowing the attacker to masquerade as trusted sources, freely tamper with information undetected, or decrypt information used to protect communication channels. The list below highlights some of the specific concerns for OT systems.  OTに対する耐量子リスクは、ICSやその他のOTシステムの導入がしばしば独自であるため、組織によって大きく異なる可能性が高い。しかし、耐量子非対称暗号化メカニズムすべてにおいて、CRQCの出現は同様の脅威をもたらす。つまり、攻撃者が信頼されたソースを装い、検知されずに自由に情報を改ざんしたり、通信チャネルの保護に使用される情報を解読したりすることを可能にする。以下のリストは、OTシステムに関する具体的な懸念事項の一部を強調したものである。
• Unauthorized remote access: Exploiting public-key-dependent remote access functionality may grant the attacker direct access to OT local networks, supervisory control mechanisms, or important OT interfaces.5,6Attackers may leverage trust between connected devices and legitimate software to cause extensive damage to critical infrastructure systems or threaten human safety.7,8 • 許可されていないリモートアクセス:公開鍵に依存するリモートアクセス機能を利用することで、攻撃者はOTのローカルネットワーク、監視制御機構、または重要なOTインターフェースに直接アクセスできる可能性がある。5,6攻撃者は、接続されたデバイスと正規ソフトウェア間の信頼関係を悪用して、重要なインフラシステムに甚大な被害を与えたり、人間の安全を脅かしたりする可能性がある。7,8
• Manipulating important messages passed between devices: Machine-in-the-middle attacks exploiting public-key protected traffic provides attackers with means to manipulate or change messages, which may contain commands or reports from one OT device to another virtually undetected.9,10 Attackers may gain complete effective control of a subordinate OT unit, misrepresent actual system behavior to a supervising or monitoring unit, or both.11 • デバイス間でやり取りされる重要なメッセージの改ざん:公開鍵で保護されたトラフィックを悪用する中間者攻撃により、攻撃者はメッセージを改ざんしたり変更したりする手段を手に入れる。これにより、OTデバイスから別のOTデバイスへのコマンドやレポートが、ほぼ検出されずに含まれる可能性がある。9,10 攻撃者は下位のOTユニットを完全に制御し、実際のシステム動作を監視またはモニタリングするユニットに偽装したり、その両方を実行したりする可能性がある。11
• Highly persistent malware installations: Attackers may exploit public-key-based Secure Boot protections used to ensure integrity of core system software and firmware and defend against malware manipulating a system’s basic input/output system (BIOS) activity, boot loader, or kernel.12,13 Attackers can leverage malware undetected by Secure Boot features to create persistent, high-privilege backdoors or to execute effective follow-on attacks, including extortion attacks and destruction or theft of data.14,15 • 非常に持続性の高いマルウェアのインストール:攻撃者は、システムの基本入出力システム(BIOS)の活動、ブートローダー、またはカーネルを操作するマルウェアから防御し、コアのシステムソフトウェアおよびファームウェアの完全性を確保するために使用される公開鍵ベースのセキュアブート防御を悪用する可能性がある。12 13 攻撃者は、セキュアブート機能では検知されないマルウェアを利用して、持続的な高権限のバックドアを作成したり、恐喝攻撃やデータの破壊・盗難などの効果的な後続攻撃を実行したりすることができる。14,15
• Decrypt sensitive or protected information: Although attacks against information confidentiality are not as impactful for OT (vs. IT) communications, attackers could harvest and exfiltrate or intercept encrypted OT traffic in real time that is dependent on a measure of public-key encryption protection.16 Attackers may be able to uncover OT or connected IT device credentials, gain additional insight into OT networks and traffic, or steal intellectual property such as proprietary control mechanisms, code, or designs.17 • 機密情報や防御された情報の暗号化解除:OT(ITと比較して)の通信に対する情報機密性への攻撃はそれほど影響が大きくないが、攻撃者は公開鍵暗号化保護の程度に依存するOTトラフィックの暗号化をリアルタイムで収集、外部流出、または傍受することが可能である。16 攻撃者はOTまたは接続されたITデバイスの認証情報を取得し、OTネットワークやトラフィックに関するさらなる情報を入手し、または独自の制御メカニズム、コード、設計などの知的財産を盗むことができる可能性がある。17
The immediate consequences for successful or even failed intrusions can be extreme, depending on the type of compromise and operational context of an exploited OT platform. In some cases, attacks may disrupt or even physically damage entire industrial, manufacturing, or other heavy equipment automation systems beyond repair, put human safety at significant risk, or both. In addition to cyberinduced disruption, the cyber and physical incident response process may itself impact operations and lead to downtime.  侵入が成功した場合、あるいは侵入に失敗した場合でも、その影響は深刻なものとなり得る。その深刻さは、侵害されたOTプラットフォームのタイプや運用状況によって異なる。場合によっては、攻撃によって産業用、製造事業者用、またはその他の大型機器の自動化システム全体が混乱し、修復不可能なほど物理的に損傷し、人間の安全が著しく脅かされる、あるいはその両方の事態が発生する可能性がある。サイバー攻撃による混乱に加えて、サイバーおよび物理的なインシデント対応プロセス自体が業務に影響を与え、ダウンタイムにつながる可能性もある。
Even without a CRQC, a sophisticated threat actor could compromise OT systems with similar consequences. However, a CRQC could make it easier for adversaries to carry out such attacks on OT systems, including by exploiting connectivity or other pathways between IT and OT devices and networks. Given the importance of OT systems for enabling industrial operations in all critical infrastructure sectors, such disruptions could impact the provision of NCFs and other essential services.  CRQCがなくても、高度な脅威行為者であれば同様の結果をもたらす形でOTシステムを侵害することが可能である。しかし、CRQCがあれば、ITとOTのデバイスやネットワーク間の接続性やその他の経路を悪用するなど、OTシステムに対する攻撃を敵対者が実行しやすくなる可能性がある。OTシステムは、すべての重要インフラセクターにおける産業活動の遂行に不可欠であるため、このような混乱はNCFやその他の不可欠なサービスの提供に影響を及ぼす可能性がある。
Additional Risk Considerations その他のリスクに関する考慮事項
OT systems in U.S. critical infrastructure are responsible for the operations that enable many NCFs but may account for some of the last remaining platforms to achieve post-quantum cryptographic standards due to long software patching cycles, hardware replacement times, and strict procedures and governance.  米国の重要インフラにおけるOTシステムは、多くのNCFを可能にする業務を担っているが、長いソフトウェア・パッチ適用サイクル、ハードウェアの交換期間、厳格な手順およびガバナンスにより、耐量子暗号標準を達成する最後のプラットフォームの一部となっている可能性がある。
• OT endpoints account for a significant proportion of out-of-date operating systems and software platforms that remain in operation, including those considered end-of-life (i.e., no longer supported by the software providers).18,19 • 運用終了(すなわち、ソフトウェアプロバイダによるサポートが終了)と見なされるものも含め、運用中の旧式のオペレーティングシステムおよびソフトウェアプラットフォームの相当な割合を占めるのがOTエンドポイントである。18,19
• Some OT platforms or systems require extensive safety testing after software updates due to complicated process interdependencies or highly sensitive environments, including automating heavy equipment or controlling highly combustible materials.20,21 • 複雑なプロセス相互依存性や、可燃性の高い材料の制御や大型機器の自動化など、極めて機密性の高い環境のために、ソフトウェアの更新後に広範な安全性テストが必要となるOTプラットフォームやシステムもある。20,21
• For some systems, software required to perform certain tasks may only be compatible with unsupported operating systems such as Windows XP or UNIX, deprecated software libraries and functions, or proprietary, closed-source applications that are no longer available or supported by vendors. • システムによっては、特定のタスクを実行するために必要なソフトウェアが、Windows XPやUNIXなどのサポートされていないオペレーティングシステム、またはすでに非推奨となっているソフトウェアライブラリや機能、あるいはベンダーによる提供やサポートが終了している独自仕様のクローズドソースアプリケーションとのみ互換性がある場合がある。
• Safety compliance, auditing, or other validation requirements may also create situations where OT platforms are subject to significantly extended lifetimes when compared to IT.22 Some extreme OT use cases such as nuclear power generation may require operation of decades-old but compliant, validated systems to maintain safe operation and reliable compatibility with surrounding technology.23,24 • 安全性のコンプライアンス、監査、その他の妥当性確認要件により、ITプラットフォームと比較してOTプラットフォームの耐用年数が大幅に延長される状況が生じる可能性もある。22 原子力発電などの極端なOTユースケースでは、安全な運用と周辺技術との信頼性の高い互換性を維持するために、数十年も前のシステムであっても、コンプライアンスと妥当性確認が済んでいるシステムを運用する必要がある場合がある。23,24
Recommendations 推奨事項
Plan for Post-Quantum Computing 耐量子コンピューティングへの対応計画
The transition to post-quantum cryptography will be a complex, multi-year process. OT owners and operators cannot wait until the advent of a CRQC to develop and implement a plan. While this process will likely evolve as quantum computing capabilities improve, CISA’s current understanding suggests that post-quantum algorithms available from NIST in 2024 will be resilient against CRQCs.25,26 Many of the necessary planning steps (e.g., identifying personnel and resources, inventorying systems) can begin immediately.  耐量子暗号への移行は、複雑で複数年にわたるプロセスとなる。OTの所有者および運用者は、CRQCの出現を待たずに計画を策定し、実施する必要がある。このプロセスは、量子コンピューティング能力の改善に伴い進化していく可能性が高いが、CISAの現在の理解では、2024年にNISTから提供される耐量子アルゴリズムはCRQCに対してレジリエンスであることが示唆されている。25,26 必要な計画策定のステップ(例:人員およびリソースの識別、システムの棚卸し)の多くは、直ちに開始することができる。
DHS’s post-quantum cryptography roadmap is a helpful starting point for all organizations. Given the specific characteristics of OT systems, inventorying and prioritization (steps 2 and 6 in the roadmap) will be critical steps for balancing system protection and resource requirements: DHSの「耐量子暗号化ロードマップ」は、あらゆる組織にとって有益な出発点となる。OTシステムの特性を考慮すると、インベントリ作成と優先順位付け(ロードマップのステップ2と6)は、システム防御とリソース要件のバランスを取る上で重要なステップとなる。
2. Organizations should inventory the most sensitive and critical datasets that must be secured for an extended amount of time. This information will inform future analysis by identifying what data may be at risk now and decrypted once a cryptographically relevant quantum computer is available.  2. 組織は、長期間にわたって保護する必要がある最も機密性の高い重要なデータセットを洗い出すべきである。この情報は、暗号関連の量子コンピュータが利用可能になった際に、どのデータがリスクにさらされ、暗号が解読される可能性があるかを識別することで、今後の分析に役立つ。
6. Prioritizing one system over another for cryptographic transition is highly dependent on organization functions, goals, and needs. To supplement prioritization efforts, organizations should consider the following factors when evaluating a quantum vulnerable system:  6. 暗号移行において、あるシステムを別のシステムよりも優先させるかどうかは、組織の機能、目標、ニーズに大きく依存する。優先順位付けの取り組みを補完するために、組織は量子脆弱性のあるシステムを評価する際に、以下の要因を考慮すべきである。
 1. Is the system a high value asset based on organizational requirements?  1. そのシステムは、組織の要件に基づく高価値資産であるか?
 2. What is the system protecting (e.g., key stores, passwords, root keys, signing keys, personally identifiable information, sensitive personally identifiable information)?  2. そのシステムは、何を保護しているか(例えば、キーストア、パスワード、ルートキー、署名キー、個人を特定できる情報、機密性の高い個人を特定できる情報)?
 3. What other systems does the system communicate with?  3. そのシステムは、他のどのシステムと通信しているか?
 4. To what extent does the system share information with federal entities?  4. そのシステムは、どの程度連邦政府機関と情報を共有しているか?
 5. To what extent does the system share information with other entities outside of your organization?  5. そのシステムは、組織外の他の事業体とどの程度情報を共有しているか?
 6. Does the system support a critical infrastructure sector?  6. そのシステムは、重要なインフラ部門をサポートしているか?
 7. How long does the data need to be protected?  7. データを防御する必要がある期間はどの程度か?
Entities should leverage the DHS roadmap and other similar efforts to develop and implement a post-quantum transition plan specific to their organization. Tailoring transition roadmaps to OT systems may also require additional considerations, such as instances where remote access or overthe-internet communications are important or necessary, whether any encryption is feasible, the means or regularity of applying updates, or acceptable interruptions to operational tempo.  事業体は、DHSのロードマップやその他の類似の取り組みを活用し、自組織に特化した耐量子移行計画を策定し、実施すべきである。OTシステムへの移行ロードマップのカスタマイズには、遠隔アクセスやインターネットを介したコミュニケーションが重要または必要となる場合、暗号化が実行可能かどうか、アップデートの適用方法や頻度、業務ペースの許容中断時間など、追加の考慮事項が必要となる可能性がある。 
Reduce Exposure to Quantum Threats 量子脅威へのエクスポージャーを低減する
In addition to implementing quantum-specific resilience measures, entities can leverage traditional cybersecurity practices to reduce vulnerabilities in OT systems that attackers could leverage a CRQC to exploit. Entities can meaningfully reduce the risk from quantum-related threats by employing a defense-in-depth approach that layers pre- and post-quantum protections such as access controls, intrusion detection, personnel cybersecurity training, and efficient incident response and business continuity practices to protect important IT and OT networks and devices.27Successfully implementing such protections may also reduce the footprint that OT owners and operators will need to apply post-quantum security protections to.  量子特有のレジリエンス対策を実施するだけでなく、事業体は、攻撃者がCRQCを悪用して利用できる可能性があるOTシステムの脆弱性を低減するために、従来のサイバーセキュリティ対策を活用することができる。事業体は、アクセス管理、侵入検知、職員のサイバーセキュリティ研修、効率的なインシデント対応および事業継続の実践など、耐量子および耐量子後の保護を段階的に行う多重防御アプローチを採用することで、量子関連の脅威によるリスクを大幅に軽減できる。27 このような保護策を適切に導入することで、耐量子セキュリティ保護策を適用する必要があるOTの所有者および運営者の負担を軽減できる可能性もある。
Strong OT network segmentation can be particularly effective in mitigating vulnerabilities associated with post-quantum cryptographic compromises by denying attackers access to OT systems.28,29,30 OTのネットワークのセグメント化を徹底することで、攻撃者がOTシステムにアクセスできないようにすることで、耐量子暗号解読に関連する脆弱性を低減するのに特に効果的である。28,29,30
1_20241107173901
Figure 1: Network Segmentationi 図1:ネットワークのセグメント化i
i CISA, Layering Network Security Through Segmentation i CISA、セグメンテーションによるネットワークセキュリティの階層化
Segmentation best practices include minimizing OT or OT-connected devices at the network perimeter (edge) and within or connected to an IT environment through intermediary “jump” devices, one-way transmission hardware diodes, data servers, and demilitarized zone (DMZ) segments.31,32,33 セグメンテーションのベストプラクティスには、ネットワーク境界(エッジ)およびIT環境内、またはIT環境に接続された中継「ジャンプ」デバイス、一方向伝送ハードウェアダイオード、データサーバー、非武装地帯(DMZ)セグメントを介したOTまたはOT接続デバイスの最小化が含まれる。31,32,33
Strong OT network segmentation can protect OT public-key information and reduce threat actor access to connections used to manipulate OT messages, exhaust resources, and compromise OT devices. Entities should prioritize network segmentation for legacy OT, end-of-life software, and platforms that require extensive time to apply updates.34,35,36 OTネットワークの強固なセグメント化は、OT公開鍵情報を防御し、OTメッセージの操作、リソースの枯渇、OTデバイスの侵害に使用される接続への脅威行為者のアクセスを削減することができる。事業体は、アップデートの適用に膨大な時間を要するレガシーOT、サポート終了ソフトウェア、プラットフォームのネットワークセグメント化を優先すべきである。34,35,36
Some multi-factor authentication (MFA) mechanisms can provide an additional layer of authentication without relying on pre-quantum public-key cryptography. Proper implementations of physical token or biometric identification as a second or third authentication factor may provide postquantum protection against unauthorized access of supervisory control and data acquisition (SCADA), human-machine interface (HMI), or other OT interface platforms.37 However, existing MFA implementations may rely on public-key cryptography for unauthorized access protection themselves or for establishing identity and access management mechanisms for an enterprise.38 These platforms are vulnerable to CRQC intrusions until updated or replaced with post-quantum protections.  多要素認証(MFA)の仕組みの中には、量子コンピュータ以前の公開鍵暗号方式に頼らずに、認証の追加レイヤーを提供できるものもある。 物理トークンや生体認証を第2、第3の認証要素として適切に実装することで、監視制御およびデータ収集(SCADA)、ヒューマン・マシン・インターフェース(HMI)、その他のOTインターフェースプラットフォームに対する不正アクセスを量子コンピュータ以降の技術で防御できる可能性がある。37 しかしながら、 しかし、既存のMFA実装は、不正アクセス防御自体や、エンタープライズのアイデンティティおよびアクセス管理メカニズムの確立に、公開鍵暗号方式に依存している可能性がある。38 これらのプラットフォームは、更新されるか、耐量子保護に置き換えられるまでは、CRQC侵入に対して脆弱である。
Build in Crypto-Agility 暗号アジリティの構築
Crypto-agile platforms, including operating systems and compatible software with strong vendor support, give OT owners and operators the means to enforce reliable validation and authentication mechanisms without the need to replace surrounding infrastructure in the advent of a CRQC.39 OT owners and operators should request crypto-agile features in ICS equipment acquisitions since reliable asymmetric encryption is vital for validating uncorrupted information and intended delivery channels.  暗号アジリティの高いプラットフォーム(強力なベンダーサポート付きのオペレーティングシステムや互換性のあるソフトウェアを含む)は、OTの所有者や運用者に、CRQCの発生時に周辺インフラを交換することなく、信頼性の高い妥当性確認および認証メカニズムを実行する手段を提供する。39 信頼性の高い非対称暗号化は、損傷のない情報の妥当性確認や意図した配信チャネルの検証に不可欠であるため、OTの所有者や運用者は、ICS機器の導入に際して暗号アジリティの高い機能の搭載を要求すべきである。
OT or OT-connected devices at the network perimeter, especially those communicating over-theinternet, are likely to be priority candidates for post-quantum mitigation. These devices may serve as vectors for unauthorized remote access, corrupted instructions, or other messages to subordinate OT technology at long distances or in unsafe or difficult-to-access locations. Relevant best practices for establishing OT crypto-agility include:  ネットワーク境界にあるOTまたはOT接続デバイス、特にインターネット上でコミュニケーションを行うものは、耐量子低減の優先候補となる可能性が高い。これらのデバイスは、長距離、または安全でない、あるいはアクセスが困難な場所にある下位のOTテクノロジーに対する不正なリモートアクセス、改ざんされた指示、またはその他のメッセージのベクトルとして機能する可能性がある。OTの暗号アジリティを確立するための関連するベストプラクティスには、以下が含まれる。
• Configuring OT networks such that perimeter devices are ready to update or patch with little notice.40,41 • OTネットワークを構成し、周辺機器が通知後すぐに更新やパッチ適用ができるようにする。40,41
• Maintaining vendor technology that complies with post-quantum standards, implementations, and frameworks.42,43 • 量子コンピューター時代以降の標準、実装、フレームワークに準拠するベンダー技術を維持する。42,43
• Deploying platforms with crypto-agile encryption management mechanisms.44,45 • 暗号アジャイルな暗号化管理メカニズムを備えたプラットフォームを展開する。44,45
• Applying Secure by Design and Secure by Default principles and sound cryptographic implementation.46,47 • セキュアバイデザインとセキュアバイデフォルトの原則を適用し、健全な暗号実装を行う。46,47
Update to Post-Quantum Algorithms 耐量子アルゴリズムへの更新
To the extent possible, critical infrastructure owners and operators should implement the latest postquantum encryption standards.ii NIST released the first 3 finalized Federal Information Processing Standards (FIPS) for Post-Quantum Cryptography on August 13, 2024. Some of these standards are designed for different aspects of encryption (e.g., key encapsulation mechanisms vs. digital signatures), so entities may need to adopt more than one.  重要インフラの所有者および運営者は、可能な限り最新の耐量子暗号化標準を導入すべきである。ii NISTは2024年8月13日、耐量子暗号化に関する最初の3つの最終版連邦情報処理規格(FIPS)を発表した。これらの標準規格の一部は暗号化の異なる側面(例えば、鍵カプセル化メカニズムとデジタル署名)を対象としているため、事業体は複数の標準規格を採用する必要がある可能性がある。
Cryptographic mechanisms create processing demand for the systems that encrypt, decrypt, sign, and validate communications. Additional processing overhead from adding encryption mechanisms or upgrading existing ones may exceed current hardware capabilities in OT systems. Especially susceptible to performance constraints are systems considered to be legacy platforms or those manufactured before cryptographic standards became common.48 In instances where platforms must migrate to post-quantum algorithms, OT owners and operators may be forced to replace some hardware or implement surrounding, capable architecture if core systems are not computationally sufficient to support post-quantum protections.  暗号化メカニズムは、暗号化、復号、署名、およびコミュニケーションの妥当性確認を行うシステムに処理上の要求を生じさせる。暗号化メカニズムを追加したり、既存のものをアップグレードしたりすることによる処理上のオーバーヘッドは、OTシステムにおける現在のハードウェア能力を超える可能性がある。特に、パフォーマンスの制約を受けやすいのは、レガシープラットフォームと見なされるシステムや、暗号化標準が一般的になる前に製造されたシステムである。48 プラットフォームを耐量子アルゴリズムに移行しなければならない場合、OTの所有者および運用者は、コアシステムが耐量子防御をサポートするのに十分な計算能力を持たない場合、一部のハードウェアを交換するか、対応可能なアーキテクチャを導入することを余儀なくされる可能性がある。
Other challenges with implementing or updating cryptographic mechanisms may affect OT systemlevel interoperability on a protocol or application basis. Original equipment manufacturing relationships with vendors and owner and operator dependencies on external service providers compound these interoperability concerns which may impact operational uptime, visibility, or compliance.49,50 In relevant cases, manufacturers, vendors, and service providers share responsibility with OT owners and operators in maintaining safety and continuity as new cryptographic measures are implemented.  暗号化メカニズムの導入や更新に伴うその他の課題は、プロトコルやアプリケーションのレベルでOTのシステムレベルの相互運用性に影響を及ぼす可能性がある。ベンダーとのOEM関係や、外部サービスプロバイダへの所有者および運営者の依存関係は、相互運用性に関する懸念をさらに複雑化させ、運用稼働時間、可視性、またはコンプライアンスに影響を及ぼす可能性がある。49,50 関連する事例では、新しい暗号化対策が導入される場合、製造事業者、ベンダー、およびサービスプロバイダは、OTの所有者および運営者と安全と継続性を維持する責任を共有する。 
As quantum computing capabilities evolve, other post-quantum cryptographic standards may emerge. Critical infrastructure owners and operators should, on a prioritized basis, update systems to incorporate current and future standards.  量子コンピューティング能力が進化するにつれ、他の耐量子暗号標準が現れる可能性もある。重要インフラの所有者および運営者は、優先順位に従って、現行および将来の標準を組み込むためにシステムを更新すべきである。

 

 

| | Comments (0)

2024.11.07

欧州委員会 NIS2指令 - 欧州委員会施行規則C(2024) 7151と附属書 (2024.10.17)

こんにちは、丸山満彦です。

欧州委員会が、2024.10.17にNIS2の実施規則を採択しています...

この規則は、

  • クラウド・コンピューティング・サービス・プロバイダー
  • データセンター・サービス・プロバイダー
  • オンライン・マーケットプレイス
  • オンライン検索エンジン
  • ソーシャル・ネットワーキング・プラットフォームなど

デジタル・サービスを提供する特定のカテゴリーの企業に適用される。

で、

  • サイバーセキュリティのリスク管理対策
  • インシデントが重大とみなされるケース
  • 国家当局に報告すべきケース

などが規定されていますね...

 

European Commission - Shaping Europe’s digital future

・2024.10.17 New rules to boost cybersecurity of EU's critical entities and networks

New rules to boost cybersecurity of EU's critical entities and networks 欧州連合(EU)の重要な事業体およびネットワークのサイバーセキュリティを強化するための新規則
The Commission has adopted the first implementing rules on cybersecurity of critical entities and networks under the Directive on measures for high common level of cybersecurity across the Union (NIS2 Directive). 欧州委員会は、欧州連合(EU)全体で共通レベルの高いサイバーセキュリティを実現するための措置に関する指令(NIS2指令)に基づき、重要な事業体およびネットワークのサイバーセキュリティに関する初の施行規則を採択した。
This implementing act details cybersecurity risk management measures as well as the cases in which an incident should be considered significant and companies providing digital infrastructures and services should report it to national authorities. This is another major step in boosting the cyber resilience of Europe's critical digital infrastructure. この施行規則では、サイバーセキュリティのリスク管理対策や、インシデントが重大とみなされるケース、デジタルインフラやサービスを提供する企業が国家当局に報告すべきケースなどが詳細に規定されている。これは、欧州の重要なデジタルインフラのサイバー耐性を高めるためのもう一つの大きな一歩である。
This adopted implementing regulation will apply to specific categories of companies providing digital services, such as cloud computing service providers, data centre service providers, online marketplaces, online search engines and social networking platforms, to name a few. For each category of service providers, the implementing act specifies when an incident is considered significant, to whom it needs to be reported and in which timeframe. 今回採択された施行規則は、クラウド・コンピューティング・サービス・プロバイダー、データセンター・サービス・プロバイダー、オンライン・マーケットプレイス、オンライン検索エンジン、ソーシャル・ネットワーキング・プラットフォームなど、デジタル・サービスを提供する特定のカテゴリーの企業に適用される。各カテゴリーのサービス・プロバイダーについて、実施法は、インシデントがいつ重大とみなされるか、誰に報告する必要があるか、どのような時間枠で報告するかを定めている。
The adoption of the implementing regulation coincided with the deadline for Member States to transpose the NIS2 Directive into national law. From 18 October 2024, all Member States must apply the measures necessary to comply with the NIS2 cybersecurity rules, including supervisory and enforcement measures. 施行規則の採択は、加盟国がNIS2指令の国内法への移行の期限と重なった。2024年10月18日以降、すべての加盟国は、監督・執行措置を含め、NIS2サイバーセキュリティ規則を遵守するために必要な措置を適用しなければならない。
Read full press release. プレスリリース全文を読む。
More information: 詳細はこちら
NIS2 Directive Implementing Act NIS2指令施行法
Factsheet on the Directive on measures for high common level of cybersecurity across the Union (NIS2) EU全域で共通レベルの高いサイバーセキュリティ対策に関する指令(NIS2)に関するファクトシート
Questions and Answers on NIS2:  New EU Cybersecurity Strategy and new rules to make physical and digital critical entities more resilient NIS2に関するQ&A:物理的およびデジタル上の重要な事業体をより強靭にするための新たなEUサイバーセキュリティ戦略と新規則
Directive on measures for a high common level of cybersecurity across the Union (NIS2 Directive) EU全域で共通レベルの高いサイバーセキュリティ対策に関する指令(NIS2指令)
Commission's Cybersecurity Policies 欧州委員会のサイバーセキュリティ政策
Related topics 関連トピック
Cybersecurity サイバーセキュリティ
Related content 関連コンテンツ
NIS2: Commission implementing regulation on critical entities and networks NIS2: 欧州委員会、重要なエンティティおよびネットワークに関する施行規則を制定
Policy and legislation | 17 October 2024 政策および立法|2024年10月17日
This Regulation lays down the technical and the methodological requirements of the measures referred to in NIS2 with regard to DNS service providers, TLD name registries, cloud computing service providers, data centre service providers, content delivery network providers, managed service providers, managed security service providers, providers of online market places, of online search engines and of social networking services platforms, and trust service providers (the relevant entities). 本規則は、DNSサービスプロバイダー、TLDネームレジストリ、クラウドコンピューティングサービスプロバイダー、データセンターサービスプロバイダー、コンテンツデリバリーネットワークプロバイダー、マネージドサービスプロバイダー、マネージドセキュリティサービスプロバイダー、オンラインマーケットプレイス、オンライン検索エンジン、ソーシャルネットワーキングサービスプラットフォームのプロバイダー、およびトラストサービスプロバイダー(関連事業体)に関して、NIS2で言及されている措置の技術的および方法論的要件を規定する。

 

詳細なプレス...

・2024.10.17 New rules to boost cybersecurity of EU's critical entities and networks

New rules to boost cybersecurity of EU's critical entities and networks EUの重要な事業体およびネットワークのサイバーセキュリティを強化するための新たな規則
The Commission has adopted today the first implementing rules on cybersecurity of critical entities and networks under the Directive on measures for high common level of cybersecurity across the Union (NIS2 Directive). This implementing act details cybersecurity risk management measures as well as the cases in which an incident should be considered significant and companies providing digital infrastructures and services should report it to national authorities. This is another major step in boosting the cyber resilience of Europe's critical digital infrastructure. 欧州委員会は本日、EU全体で共通レベルの高いサイバーセキュリティを実現するための措置に関する指令(NIS2指令)に基づき、重要な事業体およびネットワークのサイバーセキュリティに関する初の施行規則を採択した。この施行規則では、サイバーセキュリティのリスク管理対策や、インシデントが重大とみなされるケース、デジタルインフラやサービスを提供する企業が国家当局に報告すべきケースなどが詳細に規定されている。これは、欧州の重要なデジタルインフラのサイバー耐性を強化するための新たな大きな一歩である。
The implementing regulation adopted today will apply to specific categories of companies providing digital services, such as cloud computing service providers, data centre service providers, online marketplaces, online search engines and social networking platforms, to name a few. For each category of service providers, the implementing act also specifies when an incident is considered significant.* 本日採択された施行規則は、クラウド・コンピューティング・サービス・プロバイダー、データセンター・サービス・プロバイダー、オンライン・マーケットプレイス、オンライン検索エンジン、ソーシャル・ネットワーキング・プラットフォームなど、デジタル・サービスを提供する特定のカテゴリーの企業に適用される。
Today's adoption of the implementing regulation coincides with the deadline for Member States to transpose the NIS2 Directive into national law. As of tomorrow, 18 October 2024, all Member States must apply the measures necessary to comply with the NIS2 cybersecurity rules, including supervisory and enforcement measures. 今日の施行規則の採択は、加盟国がNIS2指令の国内法への移行の期限と重なる。明日2024年10月18日をもって、すべての加盟国は、監督・執行措置を含め、NIS2サイバーセキュリティ規則を遵守するために必要な措置を適用しなければならない。
Next Steps 次のステップ
The implementing regulation will be published in the Official Journal in due course and enter into force 20 days thereafter. 施行規則は順次官報に掲載され、その20日後に発効する。
Background 背景
The first EU-wide law on cybersecurity, the NIS Directive, came into force in 2016 and helped to achieve a common level of security of network and information systems across the EU. As part of its key policy objective to make Europe fit for the digital age, the Commission proposed the revision of the NIS Directive in December 2020. After entering in force in January 2023, Member States had to transpose the NIS2 Directive into national law by 17 October 2024. サイバーセキュリティに関する最初のEU全体の法律であるNIS指令は2016年に発効し、EU全体でネットワークと情報システムのセキュリティレベルを共通化することに貢献した。欧州をデジタル時代に適合させるという重要な政策目標の一環として、欧州委員会は2020年12月にNIS指令の改正を提案した。2023年1月に発効した後、加盟国は2024年10月17日までにNIS2指令を国内法に移管しなければならなかった。
The NIS2 Directive aims to ensure a high level of cybersecurity across the Union. It covers entities operating in sectors that are critical for the economy and society, including providers of public electronic communications services, ICT service management, digital services, wastewater and waste management, space, health, energy, transport, manufacturing of critical products, postal and courier services and public administration. NIS2指令は、欧州連合全体で高水準のサイバーセキュリティを確保することを目的としている。公共電子通信サービスのプロバイダー、ICTサービス管理、デジタルサービス、廃水・廃棄物管理、宇宙、健康、エネルギー、輸送、重要製品の製造、郵便・宅配便サービス、行政など、経済・社会にとって重要な分野で活動する事業体が対象となる。
The Directive strengthens security requirements imposed on the companies and addresses the security of supply chains and supplier relationships. It streamlines reporting obligations, introduces more stringent supervisory measures for national authorities, as well as stricter enforcement requirements, and aims at harmonising sanctions regimes across Member States. It will help increase information sharing and cooperation on cyber crisis management at a national and EU level. この指令は、企業に課されるセキュリティ要件を強化し、サプライチェーンやサプライヤーとの関係のセキュリティに対処するものである。報告義務を合理化し、各国当局に対してより厳格な監督措置を導入するとともに、より厳格な執行要件を導入し、加盟国間の制裁制度の調和を目指している。また、各国およびEUレベルでのサイバー危機管理に関する情報共有と協力の強化にもつながる。
For More Information 詳細情報
Implementing Act 施行法
Factsheet on the Directive on measures for high common level of cybersecurity across the Union (NIS2) EU全体で共通レベルの高いサイバーセキュリティ対策に関する指令(NIS2)に関するファクトシート
Questions and Answers on NIS2:  New EU Cybersecurity Strategy and new rules to make physical and digital critical entities more resilient NIS2に関する質問と回答:EUの新たなサイバーセキュリティ戦略と、物理的およびデジタル的な重要事業体をより強靭にするための新たな規則
Quote(s) 引用
 Cybersecurity is one of the main building blocks for the protection of our citizens and our infrastructure. In today’s cybersecurity landscape, stepping up our capabilities, security requirements and rapid information sharing with up-to-date rules is of paramount importance. I urge the remaining Member States to implement these rules at national level as fast as possible to ensure that the services which are critical for our societies and economies are cyber secure.  サイバーセキュリティは、市民とインフラを保護するための主要な構成要素の一つである。今日のサイバーセキュリティの状況において、我々の能力、セキュリティ要件、そして最新の規則による迅速な情報共有を強化することが最も重要である。私たちの社会と経済にとって重要なサービスがサイバーセキュアであることを確実にするため、残りの加盟国に対し、これらの規則をできるだけ早く国内レベルで実施するよう強く要請する。
Margrethe Vestager, Executive Vice-President for a Europe Fit for the Digital Age マルグレーテ・ヴェスタガー、「デジタル時代に適合した欧州」担当副総裁

 

・NIS2の施行規則と附属書(技術と運用の要件)

NIS2: Commission implementing regulation on critical entities and networks NIS2:重要なエンティティおよびネットワークに関する欧州委員会の施行規則
This Regulation lays down the technical and the methodological requirements of the measures referred to in NIS2 with regard to DNS service providers, TLD name registries, cloud computing service providers, data centre service providers, content delivery network providers, managed service providers, managed security service providers, providers of online market places, of online search engines and of social networking services platforms, and trust service providers (the relevant entities). 本規則は、DNSサービスプロバイダー、TLDネームレジストリ、クラウドコンピューティングサービスプロバイダー、データセンターサービスプロバイダー、コンテンツデリバリーネットワークプロバイダー、マネージドサービスプロバイダー、マネージドセキュリティサービスプロバイダー、オンラインマーケットプレイス、オンライン検索エンジン、ソーシャルネットワーキングサービスプラットフォームのプロバイダー、トラストサービスプロバイダー(関連する事業体)に関して、NIS2で言及されている措置の技術的および方法論的要件を定めている。
After entering into force in January 2023, Member States have to implement the NIS2 Directive into national law by 17 October 2024. The NIS2 Directive lays down the technical and the methodological requirements of cybersecurity risk management measures for critical entities and networks. 2023年1月の発効後、加盟国は2024年10月17日までにNIS2指令を国内法に導入しなければならない。NIS2指令は、重要なエンティティおよびネットワークに対するサイバーセキュリティ・リスク管理対策の技術的および方法論的要件を定めている。
NIS2 Directive - Commission implementing Regulation C(2024) 7151 NIS2指令 - 欧州委員会施行規則C(2024) 7151
NIS2 Directive - Commission implementing Regulation C(2024) 7151 - ANNEX NIS2指令 - 欧州委員会施行規則C(2024) 7151 - 附属書

 

NIS2指令の実施規則

・[PDF] NIS2 Directive - Commission implementing Regulation C(2024) 7151

20241106-155529

・[DOCX][PDF] 仮訳

 

条文...

Article 1: Subject matter 第1条:主題
Article 2: Technical and methodological requirements 第2条:技術的および方法論的要件
Article 3/ Significant incidents 第3条:重要インシデント
Article 4: Recurring incidents 第4条:再発インシデント
Article 5: Significant incidents with regard to DNS service providers 第5条:DNSサービス・プロバイダに関する重要インシデント
Article 6: Significant incidents with regard to TLD name registries 第6条:TLDネームレジストリに関する重要なインシデント
Article 7: Significant incidents with regard to cloud computing service providers 第7条 クラウドコンピューティング・サービス・プロバイダに関する重要インシデント
Article 8: Significant incidents with regard to data centre service providers 第8条:データセンター・サービスプロバイダに関する重要インシデント
Article 9: Significant incidents with regard to content delivery network providers 第9条:コンテンツ配信ネットワークプロバイダに関する重要インシデント
Article 10: Significant incidents with regard to managed service providers and managed security service providers 第10条:マネージドサービス・プロバイダおよびマネージド・セキュリティ・サービス・プロバイダに関する重要インシデント
Article 11:  Significant incidents with regard to providers of online marketplaces 第11条:オンラインマーケットプレイスのプロバイダに関する重要インシデント
Article 12: Significant incidents with regard to providers of online search engines 第12条:オンライン検索エンジンのプロバイダに関する重要インシデント
Article 13: Significant incidents with regard to providers of social networking services platforms 第13条:ソーシャルネットワーキングサービス・プラットフォームに関する重要インシデント
Article 14: Significant incidents with regard to trust service providers 第14条:トラストサービス・プロバイダに関する重要インシデント
Article 15: Repeal 第15条:廃止
Article 16: Entry into force and application 第16条:発効および適用

 

 

NIS2指令の実施規則の附属書

・[PDF] NIS2 Directive - Commission implementing Regulation C(2024) 7151 - ANNEX

20241106-155545

・[DOCX][PDF] 仮訳

 

内容...

1. POLICY ON THE SECURITY OF NETWORK AND INFORMATION SYSTEMS (ARTICLE 21(2), POINT (A) OF DIRECTIVE (EU) 2022/2555) 1. ネットワークと情報システムのセキュリティに関する方針(指令(EU)2022/2555第21条(2)項(a))
1.1. Policy on the security of network and information systems 1.1. ネットワークと情報システムのセキュリティに関する方針
1.2. Roles, responsibilities and authorities 1.2. 役割、責任、認可
2. RISK MANAGEMENT POLICY (ARTICLE 21(2), POINT (A) OF DIRECTIVE (EU) 2022/2555) 2. リスクマネジメント方針(指令(EU)2022/2555第21条2項(a)
2.1. Risk management framework 2.1. リスクマネジメントの枠組み
2.2. Compliance monitoring 2.2. コンプライアンス・モニタリング
2.3. Independent review of information and network security 2.3. 情報およびネットワーク・セキュリティの独立審査
3. INCIDENT HANDLING (ARTICLE 21(2), POINT (B), OF DIRECTIVE (EU) 2022/2555) 3. インシデントハンドリング(指令(EU)2022/2555第21条(2)項(b))
3.1. Incident handling policy 3.1. インシデントハンドリング方針
3.2. Monitoring and logging 3.2. モニタリングとロギング
3.3. Event reporting 3.3. イベント報告
3.4. Event assessment and classification 3.4. イベントのアセスメントと分類
3.5. Incident response 3.5. インシデント対応
3.6. Post-incident reviews 3.6. インシデント後のレビュー
4. BUSINESS CONTINUITY AND CRISIS MANAGEMENT (ARTICLE 21(2), POINT (C), OF DIRECTIVE (EU) 2022/2555) 4. 事業継続と危機管理(指令(EU)2022/2555第21条2項(c)
4.1. Business continuity and disaster recovery plan 4.1. 事業継続と災害復旧計画
4.2. Backup and redundancy management 4.2. バックアップと冗長性管理
4.3. Crisis management 4.3. 危機管理
5. SUPPLY CHAIN SECURITY (ARTICLE 21(2), POINT (D), OF DIRECTIVE (EU) 2022/2555) 5. サプライチェーンの安全保障(指令(EU)2022/2555第21条2項(d))
5.1. Supply chain security policy 5.1. サプライチェーンのセキュリティ方針
5.2. Directory of suppliers and service providers 5.2. サプライヤーとサービスプロバイダのディレクトリ
6. SECURITY IN NETWORK AND INFORMATION SYSTEMS ACQUISITION, DEVELOPMENT AND MAINTENANCE (ARTICLE 21(2), POINT (E), OF DIRECTIVE (EU) 2022/2555) 6. ネットワークと情報システムの取得、開発、保守におけるセキュリティ(指令(EU)2022/2555第21条2項(e))
6.1. Security in acquisition of ICT services or ICT products 6.1. ICTサービスまたはICT製品の取得におけるセキュリティ
6.2. Secure development life cycle 6.2. 安全な開発ライフサイクル
6.3. Configuration management 6.3. コンフィギュレーション管理
6.4. Change management, repairs and maintenance 6.4. 変更管理、修理、保守
6.5. Security testing 6.5. セキュリティテスト
6.6. Security patch management 6.6. セキュリティ・パッチ管理
6.7. Network security 6.7.ネットワーク・セキュリティ
6.8. Network segmentation 6.8.ネットワーク・セグメンテーション
6.9. Protection against malicious and unauthorised software 6.9. 悪意のある不正ソフトウェアからの保護
6.10. Vulnerability handling and disclosure 6.10. 脆弱性の取り扱いと開示
7. POLICIES AND PROCEDURES TO ASSESS THE EFFECTIVENESS OF CYBERSECURITY RISK-MANAGEMENT MEASURES (ARTICLE 21(2), POINT (F), OF DIRECTIVE (EU) 2022/2555) 7. サイバーセキュリティリスクマネジメント対策の有効性を評価するための方針および手順(指令(EU)2022/2555の第21条2項(f))
8. BASIC CYBER HYGIENE PRACTICES AND SECURITY TRAINING (ARTICLE 21(2), POINT (G), OF DIRECTIVE (EU) 2022/2555) 8. 基本的なサイバー衛生の実践とセキュリティ研修(指令(EU)2022/2555 の第 21 条(2)項(g)
8.1. Awareness raising and basic cyber hygiene practices 8.1. 意識向上と基本的なサイバー衛生の実践
8.2. Security training 8.2. セキュリティトレーニング
9. CRYPTOGRAPHY (ARTICLE 21(2), POINT (H), OF DIRECTIVE (EU) 2022/2555) 9. 暗号技術(指令(EU)2022/2555の第21条2項(h)
10. HUMAN RESOURCES SECURITY (ARTICLE 21(2), POINT (I), OF DIRECTIVE (EU) 2022/2555) 10. 人的資源の安全保障(指令(EU)2022/2555第21条2項(i)
10.1. Human resources security 10.1. 人材確保
10.2. Verification of background 10.2. バックグラウンドの検証
10.3. Termination or change of employment procedures 10.3. 解雇または転職の手続き
10.4. Disciplinary process 10.4. 懲戒プロセス
11. ACCESS CONTROL (ARTICLE 21(2), POINTS (I) AND (J), OF DIRECTIVE (EU) 2022/2555) 11. アクセス管理(指令(EU)2022/2555第21条2項(i)および(j)
11.1. Access control policy 11.1. アクセス管理ポリシー
11.2. Management of access rights 11.2. アクセス権の管理
11.3. Privileged accounts and system administration accounts 11.3. 特権アカウントとシステム管理アカウント
11.4. Administration systems 11.4. 管理システム
11.5. Identification 11.5. 識別
11.6. Authentication 11.6. 認証
11.7. Multi-factor authentication 11.7. 多要素認証
12. ASSET MANAGEMENT (ARTICLE 21(2), POINT (I), OF DIRECTIVE (EU) 2022/2555) 12. 資産管理(指令(EU)2022/2555第21条2項(i)
12.1. Asset classification 12.1. 資産格付け
12.2. Handling of assets 12.2. 資産の取り扱い
12.3. Removable media policy 12.3. 可搬媒体ポリシー
12.4. Asset inventory 12.4. 資産目録
12.5. Deposit, return or deletion of assets upon termination of employment 12.5. 解雇時の資産の預託、返却、削除
13. ENVIRONMENTAL AND PHYSICAL SECURITY (ARTICLE 21(2), POINTS (C), (E) AND (I) OF DIRECTIVE (EU) 2022/2555) 13. 環境および物理的安全保障(指令(EU)2022/2555第21条2項(c)、(e)および(i))
13.1. Supporting utilities 13.1. ユーティリティのサポート
13.2. Protection against physical and environmental threats 13.2. 物理的・環境的脅威からの防御
13.3. Perimeter and physical access control 13.3. 境界および物理的アクセス管理

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.01.19 欧州 NIS2 指令 条文 (2022.12.27)

 

・2022.02.17 ISO/IEC 27002:2022 Information security, cybersecurity and privacy protection — Information security controls

 

 

 

| | Comments (0)

2024.11.06

JNSA. 連載リレーコラム サイバーインテリジェンスとセキュリティ (マキナレコード 軍司さん)

こんにちは、丸山満彦です。

JSNAの連載リレーコラム 299号はマキナレコードの軍司社長による、「サイバーインテリジェンスとセキュリティ」という話です。

JNSA

・2024.11.01 第299号:サイバーインテリジェンスとセキュリティ

Index_icon_jnsa300x250

 



マキナレコードは、サイバーインテリジェンスという言葉が日本では一部の方以外には、知られていない時に、サイバーインテリジェンスサービスを提供する会社として立ち上げた、いわば、サイバーインテリジェンスサービスを提供する会社の草分け的な存在です。

軍司さんが、サイバーインテリジェンス情報を提供する会社を立ち上げるという話を聞いた時、これこそこれからの日本で重要となるサービスと思っていたこともあり、是非成功してほしいと思いました。でも、最初は大変だろうなとも思いました。。。

サイバーに関わらずインテリジェンスというのは、諜報活動も含めて、意思決定を支援する材料を提供するサービスと言えます。

軍司さんも、孫氏の兵法の「彼(敵)を知り己を知れば百戦危うからず」という言葉を紹介していますが、争い、競争がある世界では、かならず諜報活動、インテリジェンスというのは、重要だろうと思います。(忍者というのも、ヒューミントと言えますね...)

そのような、インテリジェンスですが、インテリジェンスサービスについてよく聞く話についての私の考えを簡単に紹介したいと思います。

 

よく聞く話1:「インテリジェンスサービスを受けているが、高いばかりで使えない」

 

インテリジェンスを得るというのは、意思決定のために必要な材料を仕入れると言う話だと思うんですよね。自動車工場で自動車をつくるための材料を仕入れるようなものです。

「インテリジェンスサービスを受けているが、高いばかりで使えない」と思っている人は、自動車工場で、家庭用のエアコンを仕入れて、「こんなエアコン、自動車に取り付けられない」と言っているようなものかもしれません。

インテリジェンスは目的に合わせて作られるものであって、送りつけられてくる情報を見て、役にたつか立たないかを判断するようなものではないわけです。そう言う意味では、本来はオーダーメイドであるはずなのです。(同じ自動車のエアコンであっても、車種によって使用は少し違いますよね...)

ということに立ち戻って、サイバーインテリジェンスサービスの利用を再考してもよいのではないかと思いますが、どうでしょうか?

例えば、サイバー攻撃者の意図、攻撃手段を理解した上で、その意図、手段を踏まえた対策を考える際に、どのような情報を自分たちはもっていて、足らない情報というのはどういう情報なのかを理解し、不足する情報を入手するために、インテリジェンスサービスを利用するのがよいと思います。もちろん、それでも、揃わない情報はあるわけですが、それは自分たちでさらに努力して入手するか、諦めるかという判断になると思います。

つまり、サイバーインテリジェンスサービスが使えないかどうかということよりも、自分たちが使えるサイバーインテリジェンスサービスを探す、あるいは自分たちが使えるサイバーインテリジェンス情報を入手してもらうように要求する(ただ、できるできない、コストバランスという問題はあります)ということだと思います。

 

よく聞く話2;「インテリジェン情報をもらっても、知っている情報ばかりで役に立たない」

インテリジェンスをしている人であれば、自ら情報を入手し、分析しているわけですが、そう言う場合、インテリジェンスサービスから購入した情報と同じ情報を自らも持っている場合もあると思います。では、それは意味がないということかというと、必ずしもそう言うわけではありません。情報の信憑性というのも重要な要素の一つです。

別々のソースから同様の情報を得た場合は、その内容の確からしさは上がるわけです。情報というのは、内容だけでなく、それがどの程度たしからしい情報なのかということも含めて意思決定に利用するわけですから、そういうことも踏まえて、インテリジェンスを活用することが重要です。(例えば、自分たちが得た情報の見立てでは、「XXXXについては、可能性がある。」程度の確からしさであっても、インテリジェンスサービスの報告書から同じような状況を入手することができれば、「XXXXについては、ほぼ間違いない。」という判断に変わる可能性もあるわけです。(答え合わせ的な使い方。。。)

重要な意思決定に関わる情報になればなるほど、情報の信憑性についての検討は重要になります。

 

ということで、インテリジェンスについての理解を深めて、サイバーインテリジェンスサービスを賢く使うというのは、重要なことかもしれませんね。。。

まさに、インテリジェンス(^^)

 


 

サイバーインテリジェンスの理解をする前に、インテリジェンス一般に関する理解が重要だと思います。

日本人が書いた本でいうと、

元警察、元内調で明治大学の「小林 良樹」先生の図書

・2011.03.01 [amazon] インテリジェンスの基礎理論

41b6qkmqrl

 

・2021.06.25 [amazon] なぜ、インテリジェンスは必要なのか 

71qv52ttgos_sl1500_

 

元防衛省の上田篤盛さんの図書

・2016.01.05 [amazon] 戦略的インテリジェンス入門 

 

81wqbmrmwrl_sl1500_

上田さんは現在、ラックでも研究員として活躍されていますね...

 

 

そして定番は、英語となりますが、、、

 Mark M. Lowenthal(ローエンタール)さん[wikipedia] の

・2022.06.21 [amazon] Intelligence: From Secrets to Policy - Ninth Edition

81xdrloeerl_sl1500_

 

ですかね...

 

| | Comments (0)

2024.11.05

米国 FBI 財務省 イスラエル イランのサイバー集団 Aria Sepehr Ayandehsazan 別名 Emennet Pasargad の新たな手口 (2024.10.30)

こんにちは、丸山満彦です。

米国のFBIよ財務省、 イスラエルの国家サイバーイラン局が、イランのサイバー集団 Aria Sepehr Ayandehsazan 別名 Emennet Pasargad の新たな手口として、おそらく国家の支援を受けた企業を立ち上げ、その会社自体が、ホスティングの再販会社を設立し、そこから身内の会社等に販売をすることにより、攻撃をわかりにくくしていると報告していますね。。。

また、複数のIPカメラから撮影したデータを採取するプロジェクトを始めていると警告していますね...

 

● IC3

・2024.10.30 [PDF] New Tradecraft of Iranian Cyber Group Aria Sepehr Ayandehsazan aka Emennet Pasargad 

20241105-61715

 

New Tradecraft of Iranian Cyber Group Aria Sepehr Ayandehsazan aka Emennet Pasargad  イランのサイバー集団 Aria Sepehr Ayandehsazan 別名 Emennet Pasargad の新たな手口
Summary 概要
The Federal Bureau of Investigation (FBI), U.S. Department of Treasury, and Israel National Cyber Directorate are releasing this Cybersecurity Advisory (CSA) to warn network defenders of new cyber tradecraft of the Iranian cyber group Emennet Pasargad, which has been operating under the company name Aria Sepehr Ayandehsazan (ASA) and is known by the private sector terms Cotton Sandstorm, Marnanbridge, and Haywire Kitten. The group exhibited new tradecraft in its efforts to conduct cyberenabled information operations into mid-2024 using a myriad of cover personas, including multiple cyber operations that occurred during and targeting the 2024 Summer Olympics – including the compromise of a French commercial dynamic display provider. ASA has also undertaken a project to harvest content from IP cameras and used online resources related to Artificial Intelligence. Since 2023, the group has exhibited new tradecraft including the use of fictitious hosting resellers to provision operational server infrastructure to its own actors as well as to an actor in Lebanon involved in website hosting. Recently released reporting from Microsoft indicates this group has demonstrated interest in election-related websites and media outlets, suggesting preparations for future influence operations.  米連邦捜査局(FBI)、米国財務省、イスラエル国家サイバー総局は、イランのサイ バー集団 Emennet Pasargad の新たな手口について、ネットワーク防御者に警告するため、本サイ バーセキュリティ勧告(CSA)を発表する。イランのサイバーグループEmennet Pasargadは、Aria Sepehr Ayandehsazan(ASA)という会社名で活動しており、民間ではCotton Sandstorm、Marnanbridge、Haywire Kittenという名称で知られている。同グループは、2024年夏季オリンピック開催中やそれを標的とした複数のサイバー作戦(フランスの商業用ダイナミックディスプレイ・プロバイダーの侵害を含む)をはじめ、無数の偽装ペルソナを用いて2024年半ばまでサイバー可能な情報作戦を実施する努力において、新たな技術を披露した。ASAはまた、IPカメラからコンテンツを採取するプロジェクトを実施し、人工知能に関連するオンラインリソースを利用した。2023年以降、同グループは架空のホスティング再販業者を利用して、自組織の関係者だけでなく、ウェブサイトのホスティングに関与するレバノンの関係者にも運用サーバーのインフラを提供するなど、新たな手口を披露している。マイクロソフトから最近発表された報告書によると、この脅威グループは選挙関連のウェブサイトやメディアに関心を示しており、将来の影響力活動の準備を示唆している。
This CSA provides the threat group’s tactics, techniques, and procedures (TTPs), including its leveraging of online resources related to Artificial Intelligence, and indicators of compromise (IOCs). The CSA also highlights similar activity from a previous FBI advisory that was published on 20 October 2022. This new advisory’s information and guidance are derived from FBI investigative activity and technical analysis of this group’s intrusion activity against U.S. and foreign organizations and engagements with numerous entities impacted by this malicious activity.  この CSA は、人工知能に関連するオンライン・リソースの活用を含む脅威グループの戦術、技術、手順(TTPs)、および侵害の指標(IOCs)を提供している。この CSA は、2022 年 10 月 20 日に発表された FBI の前回の勧告と同様の活動も強調している。この新しい勧告の情報と指針は、米国および外国の組織に対するこのグループの侵入活動に関するFBIの調査活動と技術的分析、およびこの悪意のある活動によって影響を受けた多数の事業体との関わりから得られたものである。
The authoring agencies recommend all organizations follow guidance provided in the Mitigations section to defend against the Iranian cyber group’s activities.  作成機関は、すべての組織がイランのサイバー・グループの活動から防御するために、「緩和策」のセクションに記載されているガイダンスに従うことを推奨する。
If you suspect your organization has been targeted or compromised by the Iranian cyber actors, the authoring agencies recommend immediately contacting your local FBI field office for assistance.  もしあなたの組織がイランのサイバー行為者に狙われている、あるいは侵害されていると思われる場合は、直ちに最寄りのFBI支部に連絡し、支援を求めることを推奨する。
For more information on Iranian state-sponsored malicious cyber activity, see CISA’s Iran Cyber Threat webpage. イラン国家が支援する悪質なサイバー活動の詳細については、CISAのイラン・サイバーの脅威のウェブページを参照のこと。

 

参考

CISAのイランのサイバー脅威の特徴と対応策...

● CISA

Iran Cyber Threat Overview and Advisories

 

 

| | Comments (0)

米国 ODNI FBI CISA ロシアによる選挙介入工作に関する共同声明

こんにちは、丸山満彦です。

大統領選挙も目前...トランプ、ハリスとの争いは両者拮抗し、どちらになるんだろう...という感じですが、故に、外国勢力による干渉は気になりますよね...

国家情報長官室(ODNI)、連邦捜査局(FBI)、サイバーセキュリティ・インフラ保護庁(CISA)は、ロシアの選挙への干渉について声明をだしていますね...(^^)

● ODNI

・2024.11.01 Joint ODNI, FBI, and CISA Statement on Russian Election Influence Efforts

Joint ODNI, FBI, and CISA Statement on Russian Election Influence Efforts ロシアによる選挙介入工作に関する ODNI、FBI、CISA の共同声明
WASHINGTON, D.C. - Today, the Office of the Director of National Intelligence (ODNI), the Federal Bureau of Investigation (FBI), and the Cybersecurity and Infrastructure Security Agency (CISA) released the following statement: ワシントンD.C. - 本日、国家情報長官室(ODNI)、連邦捜査局(FBI)、サイバーセキュリティ・インフラ保護庁(CISA)は以下の声明を発表した。
“The IC assesses that Russian influence actors manufactured a recent video that falsely depicted individuals claiming to be from Haiti and voting illegally in multiple counties in Georgia. This judgment is based on information available to the IC and prior activities of other Russian influence actors, including videos and other disinformation activities. The Georgia Secretary of State has already refuted the video’s claims as false. 「情報コミュニティ(IC)は、ロシアの工作員が、ジョージア州の複数の郡でハイチ出身を名乗り不正に投票していると虚偽の内容を述べている個人を描写した最近の動画を制作したと評価している。この判断は、ICが入手した情報および他のロシアの影響工作活動家による過去の活動(動画やその他の偽情報活動を含む)に基づいている。ジョージア州務長官はすでに、この動画の主張を虚偽であると反論している。
Russian influence actors also manufactured a video falsely accusing an individual associated with the Democratic presidential ticket of taking a bribe from a U.S. entertainer. ロシアの影響工作活動家は、米国人エンターテイナーから賄賂を受け取ったとして、民主党の大統領候補と関連のある人物を偽って非難する動画も作成している。
This Russian activity is part of Moscow’s broader effort to raise unfounded questions about the integrity of the US election and stoke divisions among Americans, as detailed in prior ODNI election updates. In the lead up to election day and in the weeks and months after, the IC expects Russia to create and release additional media content that seeks to undermine trust in the integrity of the election and divide Americans.” このロシアの活動は、米国の選挙の信頼性について根拠のない疑問を提起し、米国内の分裂を煽るという、モスクワのより広範な取り組みの一環である。これは、ODNIの選挙に関するこれまでの最新情報で詳しく説明されている。ICは、選挙当日とその数週間後、数か月後にかけて、ロシアが選挙の信頼性を損ない、米国内の分裂を煽ることを目的とした新たなメディアコンテンツを作成し、公開するものと予想している。

 

1_20241104223601

| | Comments (0)

カナダ 国家サイバー脅威アセスメント 2025-2026 (2024.10.30)


こんにちは、丸山満彦です。

カナダのサイバーセキュリティセンターが国家サイバー脅威アセスメント 2025-2026を公表していますね...

主な分析結果は米国と同じような認識ですね...Five Eyesですからね...

  1. 国家敵対勢力がサイバー作戦を利用して社会の混乱と分断を起こそうとしている...
  2. 中国の攻撃は広範で高度であり、大きな脅威となっている...
  3. ロシアのサイバープログラムは、カナダと同盟国と対決し、不安定にさせようとしている...
  4. イランは、エスカレーションリスクを管理しながら、圧力をかけてきている...
  5. サイバー犯罪サービスのビジネスモデルは、サイバー犯罪の回復・継続に寄与している...
  6. ランサムウェアは、重要インフラが気にすべき最大の脅威である...

 

Canadian Centre for CYber Security; CCCS

・2024.10.30 National Cyber Threat Assessment 2025-2026

National Cyber Threat Assessment 2025-2026 国家サイバー脅威アセスメント 2025-2026
Minister's foreword 大臣まえがき
Cyber threats to Canada are becoming more complex and sophisticated, threatening our national security and economic prosperity. As a nation with a significant global presence, Canada is a valuable target for cybercriminals looking to make a profit and state adversaries aiming to disrupt the systems we rely on. カナダに対するサイバー脅威はますます複雑化、巧妙化し、国家安全保障と経済的繁栄を脅かしている。世界的に重要な地位を占める国として、カナダは、利益を得ようとするサイバー犯罪者や、われわれが依存するシステムの破壊を狙う国家敵対者にとって、貴重な標的である。
In the last two years, we have witnessed a sharp increase in both the number and severity of cyber incidents, many of which target our essential services. Actors outside our borders have also attempted to influence public opinion and intimidate our population, including in the Canadian diaspora, through coordinated cyber campaigns. 過去2年間で、私たちはサイバーインシデントの件数と深刻さの両方が急激に増加しているのを目撃しており、その多くは私たちの重要なサービスを標的にしている。国境外の行為者はまた、協調的なサイバーキャンペーンを通じて、世論に影響を与え、カナダのディアスポラを含む私たちの国民を威嚇しようとしている。
The Canadian Centre for Cyber Security’s National Cyber Threat  Assessment 2025-2026 is an instrumental tool in our comprehension of cyber threats to Canada. The threat assessment draws on public reporting and classified intelligence to paint an overall picture of the current threat landscape, while also forecasting future trends. By offering reliable and timely information, the report empowers Canadian organizations and individuals to prepare for and defend against current and emerging threats. カナダ・サイバーセキュリティセンターの国家サイバー脅威アセスメント2025-2026は、カナダに対するサイバー脅威を理解する上で重要なツールである。この脅威アセスメントは、公開報告と機密情報に基づき、現在の脅威状況の全体像を描くと同時に、将来の傾向を予測している。信頼性の高いタイムリーな情報を提供することで、この報告書はカナダの組織や個人が現在および新たな脅威に備え、防御する力を与える。
Deepening our understanding of cyber threats enables us to enhance our readiness and, as threats evolve, the Cyber Centre will continue to look for new ways to combat them. Its team is at the forefront of enhancing our cyber security to protect Canadians. Our government is supporting their invaluable work and Budget 2024 allocates $917.4 million to enhance intelligence and cyber operations programs to respond to evolving national security threats. サイバー脅威に対する理解を深めることで、準備態勢を強化することができ、脅威が進化するにつれて、サイバーセンターはそれに対抗する新しい方法を模索し続ける。サイバーセンターのチームは、カナダ国民を守るためにサイバーセキュリティを強化する最前線にいる。政府は彼らの貴重な活動を支援しており、2024年度予算では、進化する国家安全保障上の脅威に対応するため、インテリジェンスとサイバー・オペレーション・プログラムの強化に9億1,740万ドルを割り当てている。
The insights provided in this threat assessment are critical as we work to strengthen Canada’s security in an increasingly digital world. この脅威アセスメントでプロバイダが提供する洞察は、デジタル化が進む世界でカナダの安全保障強化に取り組む上で極めて重要である。
The Honourable Bill Blair ビル・ブレア国防相
Minister of National Defence 国防大臣
Message from the Head of the Cyber Centre サイバーセンター長からのメッセージ
It’s hard to believe it’s already been two years since our last report. At first glance, it seems that the cyber threat environment hasn’t changed much. Cybercrime remains a persistent threat, ransomware  attacks continue to target our critical infrastructure, and state-sponsored cyber threat activity is still affecting Canadians. 前回の報告からすでに2年が経過したとは信じがたい。一見すると、サイバー脅威の環境はあまり変わっていないように思える。サイバー犯罪は依然として根強い脅威であり、ランサムウェア攻撃は重要なインフラを狙い続け、国家によるサイバー脅威活動は依然としてカナダ人に影響を与えている。
What has changed, however, is that state adversaries are getting bolder and more aggressive. Cybercriminals driven by profit are increasingly benefiting from new illicit business models to access malicious tools and are using artificial intelligence  to enhance their capabilities. Non-state actors are seizing on major global conflicts and political controversies to carry out disruptive activities. しかし変わったのは、国家の敵がより大胆に、より攻撃的になっていることだ。利益を追求するサイバー犯罪者は、悪意のあるツールにアクセスするための新たな不正なビジネスモデルからますます利益を得るようになっており、人工知能を使用して能力を強化している。非国家主体は、世界的な紛争や政治的論争に乗じて破壊的な活動を行おうとしている。
These new developments and other trends are outlined in detail in this edition of the National Cyber Threat Assessment. This year’s report goes further than previous editions, offering more tangible examples of cyber threat activity in Canada and around the world, as well as providing some of our own statistics on cyber incidents. このような新たな動きやその他の傾向については、今回の「国家サイバー脅威アセスメント」で詳しく概説している。今年の報告書では、カナダおよび世界におけるサイバー脅威活動の具体的な事例を紹介し、サイバーインシデントに関する独自の統計も提供するなど、前回よりもさらに踏み込んだ内容となっている。
While our assessments describe trends that should concern anyone who reads about them, you can rest assured that the Cyber Centre remains focused on tackling these threats. Working in close collaboration with the private sector, industry, government and critical infrastructure, we’re helping to protect the systems that are vital to our daily lives. 私たちのアセスメントは、それを読む誰もが懸念すべき傾向を記述しているが、サイバーセンターはこれらの脅威への取り組みに引き続き注力しているので安心してほしい。民間企業、産業界、ガバナンス、重要インフラとの緊密な協力のもと、私たちの日常生活に欠かせないシステムの保護に貢献している。
Whether you’re a first-time reader or an avid consumer, an individual Canadian or a member of a small, medium or large organization, I’m confident that you will find the information in this report insightful. I hope that it also encourages you to reflect on what you can do to contribute to our collective resilience. After all, we all have a role to play in building a safer, more secure Canada. 本レポートを初めて読まれる方にも、熱心な消費者の方にも、カナダ人個人にも、中小・大組織のメンバーにも、本レポートの情報はきっと有益なものであると確信している。また、私たちの集団的レジリエンスに貢献するために自分に何ができるかを考えるきっかけになれば幸いである。結局のところ、私たちは皆、より安全でセキュアなカナダを築くために果たすべき役割を担っているのである。
Sincerely, 敬具
Rajiv Gupta Rajiv Gupta
Head, Canadian Centre for Cyber Security カナダ・サイバーセキュリティセンター長
Executive summary エグゼクティブ・サマリー
Canada is confronting an expanding and complex cyber threat landscape with a growing cast of malicious and unpredictable state and non-state cyber threat actors, from cybercriminals to hacktivists, that are targeting our critical infrastructure and endangering our national security. These cyber threat actors are evolving their tradecraft, adopting new technologies, and collaborating in an attempt to improve and amplify their malicious activities. カナダは、サイバー犯罪者からハクティビストに至るまで、悪意のある予測不可能な国家や非国家のサイバー脅威行為者が増え続け、重要インフラを標的とし、国家安全保障を危険にさらす、拡大し複雑化するサイバー脅威の状況に直面している。これらのサイバー脅威行為者は、その手口を進化させ、新しい技術を採用し、悪質な活動を改善・増幅させようと協力している。
Canada’s state adversaries are becoming more aggressive in cyberspace. State-sponsored cyber operations against Canada and our allies almost certainly extend beyond espionage. State-sponsored cyber threat actors are almost certainly attempting to cause disruptive effects, such as denying service, deleting or leaking data, and manipulating industrial control systems, to support military objectives and/or information campaigns. We assess that our adversaries very likely consider civilian critical infrastructure to be a legitimate target for cyber sabotage in the event of a military conflict. カナダの国家的敵対者はサイバー空間においてより攻撃的になっている。国家が支援するカナダと同盟国に対するサイバー作戦は、スパイ活動の域をほぼ確実に超えている。国家が支援するサイバー脅威行為者は、軍事目的および/または情報キャンペーンを支援するために、サービスの拒否、データの削除または漏えい、産業制御システムの操作などの破壊的効果をほぼ確実に引き起こそうとしている。我々の敵対者は、軍事衝突が発生した場合、民間の重要インフラがサイバー破壊工作の正当な標的であると考えている可能性が非常に高いとアセスメントしている。
At the same time, cybercrime remains a persistent, widespread, and disruptive threat to individuals, organizations, and all levels of government across Canada that is sustained by a thriving and resilient global cybercrime ecosystem. We assess that the financial motivations underpinning cybercrime will almost certainly drive the cybercrime ecosystem to continuously evolve and diversify as cybercriminals attempt to evade authorities. 同時に、サイバー犯罪は依然としてカナダ全土の個人、組織、あらゆるレベルの政府に対する持続的、広範かつ破壊的な脅威であり、それは繁栄し回復力のある世界的なサイバー犯罪エコシステムによって支えられている。サイバー犯罪を支える金銭的動機は、サイバー犯罪者が当局の目をかいくぐろうとする中で、サイバー犯罪のエコシステムを継続的に進化させ、多様化させる原動力となることはほぼ間違いないと認可する。
Key judgements 主な判断
・Canada’s state adversaries are using cyber operations to disrupt and divide. State-sponsored cyber threat actors are almost certainly combining disruptive computer network attacks with online information campaigns to intimidate and shape public opinion. State-sponsored cyber threat actors are very likely targeting critical infrastructure networks in Canada and allied countries to pre-position for possible future disruptive or destructive cyber operations. ・カナダの国家敵対勢力は、混乱と分断のためにサイバー作戦を利用している。国家が支援するサイバー脅威行為者は、ほぼ間違いなく、破壊的なコンピュータ・ネットワーク攻撃とオンライン情報キャンペーンを組み合わせて、世論を威嚇し形成している。国家が支援するサイバー脅威行為者は、将来起こりうる破壊的または破壊的なサイバー作戦に備え、カナダと同盟国の重要インフラ・ネットワークを標的にしている可能性が非常に高い。
・The People’s Republic of China’s (PRC) expansive and aggressive cyber program presents the most sophisticated and active state cyber threat to Canada today. The PRC conducts cyber operations against Canadian interests to serve high-level political and commercial objectives, including espionage, intellectual property (IP) theft, malign influence, and transnational repression. Among our adversaries, the PRC cyber program’s scale, tradecraft, and ambitions in cyberspace are second to none. ・中華人民共和国(PRC)の拡大的かつ積極的なサイバー・プログラムは、今日カナダにとって最も洗練された活発な国家サイバー脅威である。中華人民共和国は、スパイ活動、知的財産(IP)の窃盗、悪意ある影響力、国境を越えた弾圧など、高度な政治的・商業的目的のために、カナダの利益に対してサイバー作戦を展開している。われわれの敵対国の中でも、サイバー空間における中国のサイバー計画の規模、技術、野心は他に引けを取らない。
・Russia’s cyber program furthers Moscow’s ambitions to confront and destabilize Canada and our allies. Canada is very likely a valuable espionage target for Russian state-sponsored cyber threat actors, including through supply chain compromises, given Canada’s membership in the North Atlantic Treaty Organization, support for Ukraine against Russian aggression, and presence in the Arctic. Pro-Russia non-state actors, some of which we assess likely have links to the Russian government, are targeting Canada in an attempt to influence our foreign policy. ・ロシアのサイバー・プログラムは、カナダとその同盟国と対立し、不安定化させるというモスクワの野望を助長している。カナダは北大西洋条約機構(NATO)に加盟し、ロシアの侵略に対抗するためにウクライナを支援し、北極圏に存在することから、サプライチェーンの侵害を含め、ロシアの国家が支援するサイバー脅威行為者にとって、カナダは貴重なスパイ活動の標的である可能性が非常に高い。親ロシアの非国家主体(その一部はロシア政府とつながりがある可能性が高いとアセスメントしている)は、カナダの外交政策に影響を与えようとして、カナダを標的にしている。
・Iran uses its cyber program to coerce, harass, and repress its opponents, while managing escalation risks. Iran’s increasing willingness to conduct disruptive cyber attacks beyond the Middle East and its persistent efforts to track and monitor regime opponents through cyberspace present a growing cyber security challenge for Canada and our allies. ・イランはエスカレーションのリスクをマネジメントしながら、サイバー・プログラムを使って敵対勢力を威圧し、嫌がらせをし、抑圧している。イランは中東以外にも破壊的なサイバー攻撃を行う意思を強めており、サイバー空間を通じて体制反対派を追跡・監視する努力を続けているため、カナダと同盟国にとってサイバーセキュリティ上の課題が増大している。
・The Cybercrime-as-a-Service (CaaS) business model is almost certainly contributing to the continued resilience of cybercrime in Canada and around the world. The CaaS ecosystem is underpinned by flourishing online marketplaces where specialized cyber threat actors sell stolen and leaked data and ready-to-use malicious tools to other cybercriminals. This has almost certainly enabled a growing number of actors with a range of capabilities and expertise to carry out cybercrime attacks and evade law enforcement detection. ・CaaS(Cybercrime-as-a-Service)ビジネスモデルは、カナダと世界のサイバー犯罪の継続的なレジリエンスにほぼ確実に寄与している。CaaSのエコシステムは、専門のサイバー脅威行為者が盗んだり漏えいしたデータやすぐに使える悪意のあるツールを他のサイバー犯罪者に販売するオンラインマーケットプレイスの隆盛によって支えられている。これによって、さまざまな能力と専門知識を持つ行為者がサイバー犯罪攻撃を実行し、法執行機関の検知を逃れることができるようになったことはほぼ間違いない。
・Ransomware is the top cybercrime threat facing Canada’s critical infrastructure. Ransomware directly disrupts critical infrastructure entities’ ability to deliver critical services, which can put the physical and emotional wellbeing of victims in jeopardy. In the next two years, ransomware actors will almost certainly escalate their extortion tactics and refine their capabilities to increase pressure on victims to pay ransoms and evade law enforcement detection. ・ランサムウェアは、カナダの重要インフラが直面するサイバー犯罪の脅威のトップである。ランサムウェアは、重要インフラ事業体の重要なサービス提供能力を直接妨害し、被害者の肉体的・精神的な幸福を危険にさらす可能性がある。今後2年間で、ランサムウェアの実行者は、身代金を支払うよう被害者に圧力をかけ、法執行機関の検知を逃れるために、恐喝の手口をエスカレートさせ、その能力に磨きをかけることはほぼ間違いないだろう。

 

目次...

About the Cyber Centre サイバーセンターについて
Minister's foreword 大臣による序文
Message from the Head of the Cyber Centre サイバーセンター長からのメッセージ
Executive summary エグゼクティブサマリー
About this threat assessment この脅威評価について
Introduction はじめに
Cyber threat from state adversaries 国家の敵対者によるサイバー脅威
Cybercrime threats サイバー犯罪の脅威
Trends shaping Canada’s cyber threat landscape カナダのサイバー脅威の状況を形成する傾向
Conclusion 結論
Endnotes 脚注

 

・[PDF

20241104-221523

 

 

| | Comments (0)

OECD AIの影響を最も受ける労働者は誰か?

こんにちは、丸山満彦です。

⚪︎⚪︎⚪︎⚪︎という職業は、AIに置き換わる...という話はよく聞く話ですが、全くその通りではないとしても、たしかに そういう面はでてくると思います。

従来の向上に機械が導入されることで、工場で働く労働者の多くの部分は、機械に置き換えられましたし(例えば、富岡製糸工場の歴史とか見ればわかりやすい...)、コンピュータの導入とともに、いわゆるホワイトカラーの業務の中でも定型的なものの多くはコンピュータ処理(例えば、会計処理等)に置き換えられました。AI、特に生成的AIにより、今まで人間が考えて文書、画像、動画、音声等を作成していたものが、AIにより置き換えられる部分がでてきますよね...

AIによって職を失わないようにするためには、AIに怯えるよりも、AIをどのように使って社会に役に立とうと考えるほうが、よいように思います。AIを使っている限り、AIに置き換えられる可能性は減るはずですから...

で、報告書の中でも、AIによりリスクにさらされる可能性が高い職業のほうがむしろ、より雇用面で良い方向に働いているケースも多いといった調査もあるといったことが書かれているようです。

個別の課題を最小化しながら、社会全体の向上を図るためには、AIの特性を踏まえた適切な政策をとることが重要ということなのでしょうね...

ITの活用がうまく行えなかった社会が、より高度なITの利用であるAIの活用をうまく行えるのかという話もありますが、道具としてAIをどのように使うのか、変化の激しい時代の教育イメージというのを国民がもつことが重要かもですね...

 

● OECD

・2024.10.31 Who will be the workers most affected by AI?

 

Who will be the workers most affected by AI? AIの影響を最も受ける労働者は誰か?
A closer look at the impact of AI on women, low-skilled workers and other groups 女性、低技能労働者、その他のグループに対するAIの影響を詳しく見てみよう。
Abstract 概要
This paper examines how different socio-demographic groups experience AI at work. As AI can automate non-routine, cognitive tasks, tertiary-educated workers in “white-collar” occupations will likely face disruption, even if empirical analysis does not suggest that overall employment levels have fallen due to AI, even in “white-collar” occupations. The main risk for those without tertiary education, female and older workers is that they lose out due to lower access to AI-related employment opportunities and to productivity-enhancing AI tools in the workplace. By identifying the main risks and opportunities associated with different socio-demographic groups, the ultimate aim is to allow policy makers to target supports and to capture the benefits of AI (increased productivity and economic growth) without increasing inequalities and societal resistance to technological progress. 本稿では、異なる社会人口統計学的集団が職場でAIをどのように経験するかを検証する。AIは非定型の認知的作業を自動化することができるため、「ホワイトカラー」職業に従事する第3次教育を受けた労働者は、経験則に基づく分析では「ホワイトカラー」職業においてさえ、AIによって雇用水準全体が低下したとは言えないとしても、混乱に直面する可能性が高い。高等教育を受けていない労働者、女性労働者、高齢労働者の主なリスクは、AI関連の雇用機会や、職場で生産性を向上させるAIツールへのアクセスが低下することによって損失を被ることである。異なる社会人口統計学的グループに関連する主なリスクと機会を特定することで、最終的な目的は、政策立案者が支援のターゲットを絞り、不平等や技術進歩に対する社会的抵抗を増大させることなく、AIの恩恵(生産性の向上と経済成長)を享受できるようにすることである。

 

・[PDF]

20241104-150318

 

Executive summary  エグゼクティブサマリー
AI has made most progress in automating non-routine, cognitive tasks. Many of the occupations most exposed to AI (including the latest developments in generative AI) are therefore “white-collar” occupations typically requiring several years of formal training and/or tertiary education, e.g. IT professionals, managers, and science and engineering professionals. Occupations which rely on manual skills and strength, such as cleaners, labourers and food preparation assistants, tend to have low AI exposure.  AIは、非定型的な認知的作業の自動化において最も大きな進歩を遂げてきた。そのため、AI(生成的AIの最新開発を含む)に最もさらされる職業の多くは、IT専門家、管理職、科学・工学の専門家など、一般的に数年間の正規訓練や高等教育を必要とする「ホワイトカラー」の職業である。清掃員、労働者、調理補助員など、手先の技術や力に頼る職業は、AIによるリスクにさらされるのが低い傾向にある。
As a result, education is an important determinant of AI exposure. Occupations highly exposed to AI not only have a large proportion of highly educated workers, but education also mediates the relation between AI exposure and other socio-demographic characteristics. Native-born and prime-age workers can be considered among the groups most exposed to AI, partly because they tend to be in occupations with higher educational attainment. Female and male workers face roughly the same occupational exposure to AI overall.  その結果、学歴はAIによるリスクへのさらされ方を決定する重要な要因となる。AIによるリスクにさらされる可能性が高い職業には高学歴労働者の割合が多いだけでなく、教育はAIによるリスクにさらされことと、他の社会人口統計学的特性との関係も媒介する。生まれ育った国で職につく人と労働者は、働き盛りの世代の労働者は、教育水準が高い職業に就く傾向があることもあって、AIによって最もリスクにさらされる集団のひとつと考えられる。女性労働者と男性労働者は、全体としてほぼ同じ職業でAIにさらされている。
Occupations with the highest exposure to AI will be most impacted by AI and could face the most disruption. While AI advances are emerging in fast succession, analysis of historical data does not suggest that AI exposure has led to negative employment or wage outcomes on aggregate so far. Some studies even suggest that AI exposure has been linked to positive outcomes and that these links have been stronger among more educated and higher-income workers, potentially deepening existing inequalities.  AIによって最もリスクにさらされる職業は、AIの影響を最も受け、最も大きな混乱に直面する可能性がある。AIの進歩は次々と現れているが、過去のデータを分析しても、これまでのところ、AIによってリスクにさらされていることが全体として雇用や賃金にマイナスの結果をもたらしていることは示唆されていない。AIによってリスクにさらされても、それがポジティブな結果につながり、その関連性は高学歴・高収入の労働者ほど強く、既存の不平等を深めている可能性を示唆する研究さえある。
New analysis reinforces the idea that there was a positive relationship between AI exposure and employment in the period from 2012 to 2022. It shows that:  新たな分析は、2012年から2022年までの期間において、AIによってリスクにさらされることと、雇用の間に正の関係があったという考えを補強するものである。それによると、以下のようになる: 
• Both female and male employment are positively related with AI exposure, when controlling for other technological advances, offshorability and international trade as well as for trends at occupation and country levels. Women’s employment growth was even higher than men’s in occupations highly exposed to AI, which can be interpreted as a continuation of the trend of declining occupational gender segregation, i.e. women’s entry into traditionally male-dominated occupations and vice versa. Examples of occupations highly exposed to AI in which female employment has grown include chief executives (32% to 39% female between 2012 and 2022) and science and engineering professionals (31% to 35%).  ・他の技術進歩、オフショア化、国際貿易、職業や国レベルの傾向をコントロールした場合、女性も男性もAIによってリスクにさらされることと正の関係がある(AIの導入によりより雇用が増える)。AIによりリスクにさらされる可能性が高い職業では、女性の雇用増加率は男性よりもさらに高く、これは、職業的男女分離の減少傾向の継続、すなわち、伝統的に男性が支配的であった職業への女性の参入、およびその逆の傾向の継続と解釈できる。AIによりリスクにさらされる可能性が高く、女性の雇用が増加している職業の例としては、最高経営責任者(2012年から2022年の間に女性の割合は32%から39%)や科学技術専門職(31%から35%)が挙げられる。
• The relation between AI exposure and employment growth for prime-age workers and for native-born workers is also positive, suggesting that employment of these groups has either grown more or reduced less in occupations more exposed to AI (countering trends observed in the working population on the whole).  ・AIのリスクにさらされる可能性が高さと、働き盛りの労働者および生まれた国の労働者の雇用増加との関係もプラスであり、これらのグループの雇用が、AIによりリスクにさらされる可能性が高い職業でより増加または減少していることを示唆している(労働人口全体で観察される傾向と対照的である)。
• There is little to suggest that, so far, exposure to AI has led to different outcomes for different demographic groups in terms of usual working hours or wage growth.  ・これまでのところ、AIによるリスクがさらされていることが、通常の労働時間や賃金の伸びという点で、異なる人口集団に異なる結果をもたらしたことを示唆するものはほとんどない。
Some groups have greater access to opportunities associated with AI, which could prevent the benefits of AI from being broadly and fairly shared. Male workers with a university degree are overrepresented in both the AI workforce (the narrow set of workers with the skills to develop and maintain AI systems) and among AI users (workers who interact with AI at work). Consequently, women and lower-educated workers could have less access to AI-related employment opportunities and to productivity-enhancing AI tools in the workplace. At the same time, if used correctly, some features of AI could open up new opportunities for traditionally underrepresented groups.  一部のグループはAIに関連する機会をより多く利用できるが、これはAIの恩恵が広く公平に共有されることを妨げる可能性がある。大卒の男性労働者は、AI労働力(AIシステムを開発・維持するスキルを持つ狭い範囲の労働者)においても、AIユーザー(職場でAIと接する労働者)においても、その割合が高い。その結果、女性や低学歴労働者は、AI関連の雇用機会や、職場で生産性を向上させるAIツールへのアクセスが少なくなる可能性がある。同時に、正しく使用されれば、AIの一部の機能は、従来は十分に認められていなかったグループに新たな機会を開く可能性がある。
Interviews with workers on the topic of AI reveal the hopes, expectations and worries of different groups. Male, university-educated and foreign-born workers tend to have more positive perceptions of AI, according to an international survey of workers undertaken in early 2022 in the manufacturing and finance sectors. These groups were more likely to say that AI had improved their productivity and working conditions, that AI would increase their wages in the future, and that they were enthusiastic to learn more about AI. The same groups (along with younger workers) were also more likely to agree that technology had an overall positive impact on society. Despite this, university-educated workers were more likely to say that they were worried about job loss due to AI in the following 10 years (primarily because this group were more likely to be AI users). Foreign-born workers and younger workers were also more worried about job loss due to AI in the following 10 years and more worried that data collection would lead to decisions biased against them.  AIに関する労働者へのインタビューから、さまざまなグループの希望、期待、懸念が明らかになった。2022年初頭に実施された製造業と金融業の労働者を対象とした国際調査によると、男性、大卒、外国生まれの労働者は、AIに対してより肯定的な認識を持つ傾向にある。これらのグループは、AIによって生産性や労働条件が改善された、AIによって将来賃金が上昇するだろう、AIについてもっと学びたいと回答する傾向が強かった。また、同じグループは(若年労働者とともに)、テクノロジーが社会に全体的にプラスの影響を与えるという意見も多かった。にもかかわらず、大卒労働者は、今後10年間のAIによる雇用喪失を心配すると回答する傾向が強かった(主にこのグループはAIユーザーである可能性が高いため)。外国生まれの労働者や若年労働者も、今後10年間のAIによる雇用喪失をより心配しており、データ収集が自分たちにバイアスのかかった決定につながることをより心配していた。
Case study interviews conducted in parallel suggest that young and older workers are facing different risks. Older workers face preconceived and potentially even prejudicial notions regarding their ability and willingness to engage with new technologies. On the other hand, their tenure and seniority may afford them greater protection from job loss than younger workers.  並行して行われたケーススタディー・インタビューでは、若年労働者と高齢労働者が異なるリスクに直面していることが示唆されている。高年齢労働者は、新技術に取り組む能力や意欲に関して、先入観や潜在的な偏見にさえ直面している。その一方で、勤続年数や年功序列によって、若年労働者よりも失業から保護される可能性がある。
The synthesis of main risks and opportunities may allow policy makers to think about how to target different supports as to capture the benefits of AI (increased productivity and economic growth) without increasing inequalities and societal resistance to technological progress. For instance, programmes aimed at upskilling and empowering workers to use AI may be best targeted to those without tertiary education, to women and to older workers. Even if AI exposure has traditionally been associated with positive employment outcomes, some tertiary-educated workers will require support to overcome disruption and allow them to transition to new jobs. Policy makers will want to ensure that AI is used in a trustworthy manner, that it is not being used to perpetuate historical patterns of disadvantage, and that the benefits from AI are broadly and fairly shared.  主なリスクと機会を統合することで、政策立案者は、技術進歩に対する不平等や社会的抵抗を増大させることなく、AIの恩恵(生産性の向上と経済成長)を享受するために、どのような支援の対象を設定すればよいかを考えることができる。例えば、AIを活用するための労働者のスキルアップと能力向上を目的としたプログラムは、高等教育を受けていない労働者、女性、高齢労働者を対象とするのが最適かもしれない。AIによりリスクにさらされる可能性が高いことが従来から雇用にプラスの結果をもたらすとされてきたとしても、第3次教育を受けた労働者の中には、混乱に打ち勝ち、新たな仕事に移行できるようにするための支援を必要とする者もいるだろう。政策立案者は、AIが信頼に足る方法で使用されること、歴史的な不利なパターンを永続させるために使用されないこと、AIからの恩恵が広く公平に共有されることを確保したいと考えるだろう。
Table: Synthesis of the main risks and opportunities pertaining to each socio-demographic group  表 各社会人口統計グループに関連する主なリスクと機会の統合

 

Worker group  Main risks  Main opportunities 
Tertiary- educated  High AI exposure means this group will be most impacted by AI, which could mean disruption. Fears of job instability.  If AI exposure continues to be linked to positive employment outcomes, this group could benefit the most.  
Without tertiary education  Less access to AI-related employment opportunities and to productivity-enhancing AI tools in the workplace.  Potential for AI to open up new opportunities for traditionally underrepresented groups. 
Male  Higher risk of automation generally, i.e. not AI-specific.  Optimism, confidence and positive perceptions about AI. 
Female  Less access to AI-related employment opportunities and productivity-enhancing AI tools at work.  Stronger positive link between AI exposure and employment growth. Entry into male-dominated professions highly exposed to AI. 
Young  Fear of job instability and biased decision-making.  Positive perceptions regarding impact of technology on society. 
Prime age  High AI exposure means this group will be most impacted by AI, which could mean massive disruption.  Positive link between AI exposure and employment growth. 
Older  Less access to AI-related employment opportunities and productivity-enhancing AI tools at work. Preconceived notions regarding ability and willingness to engage.   Tenure and seniority may afford protection. 
Native born  High AI exposure means this group will be most impacted by AI, which could mean massive disruption.  Positive link between AI exposure and employment growth. 
Foreign born  Fear of job instability and biased decision-making.  Optimism, confidence and positive perceptions about AI. 

 

労働者グループ 主なリスク 主な機会
高等教育修了者 AIによるリスクにさらされることが高いということは、このグループがAIの影響を最も受けるということであり、混乱を意味する可能性がある。雇用が不安定になる恐れがある。 AIによるリスクさらされることが引き続き雇用にプラスに結びつけば、このグループが最も恩恵を受ける可能性がある。 
高等教育未修了者 AI関連の雇用機会や、職場で生産性を向上させるAIツールへのアクセスが少ない。 AIが、従来は十分に認められていなかったグループに新たな機会をもたらす可能性がある。
男性 AIに特化したものではなく、一般的に自動化のリスクが高い。 AIに対する楽観主義、自信、ポジティブな認識。
女性 AI関連の雇用機会や職場の生産性を向上させるAIツールへのアクセスが少ない。 AIへのエクスポージャーと雇用の増加との間に、より強い正の関連性がある。男性優位の職業への参入がAIに大きく影響される。
年少者 仕事が不安定になり、意思決定にバイアスがかかることを恐れる。 テクノロジーが社会に与える影響に関するポジティブな認識。
働き盛り AIによるリスクにさらされることが高いということは、このグループがAIの影響を最も受けるということであり、大規模な混乱を意味する可能性がある。 AIによるリスクにさらされる程度と雇用成長との間に正の相関がある。
年長者 AI関連の雇用機会や、職場の生産性を向上させるAIツールへのアクセスが少ない。能力や意欲に関する先入観。  終身雇用と年功序列が保護を与える可能性がある。
生まれた国 AIによるリスクにさらされることが高いため、このグループはAIから最も大きな影響を受ける。 AIによるリスクにさらされることと、雇用成長との間に正の相関。
外国生まれ  仕事が不安定で、意思決定にバイアスがかかることを恐れている。 AIに対する楽観主義、自信、肯定的な認識。

 

 

| | Comments (0)

2024.11.04

米国 NIST SP 800-161r1-upd1 システム及び組織におけるサプライチェーンのサイバーセキュリティリスクマネジメントのプラクティスの更新 (2024.11.01)

こんにちは、丸山満彦です。

2022年にr1となったサプライチェーンのサイバーセキュリティリスクマネジメントのプラクティスですある、NIST SP800-161r1が一部更新されていますね...

更新箇所はAnnex Kに記載されていますね。。。

 

NIST - ITL

・2024.11.01 NIST SP 800-161 Rev. 1 Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations

 

NIST SP 800-161 Rev. 1  Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations NIST SP 800-161 Rev.1 システム及び組織におけるサプライチェーンのサイバーセキュリティリスクマネジメントのプラクティス
Abstract 概要
Organizations are concerned about the risks associated with products and services that may potentially contain malicious functionality, are counterfeit, or are vulnerable due to poor manufacturing and development practices within the supply chain. These risks are associated with an enterprise’s decreased visibility into and understanding of how the technology they acquire is developed, integrated, and deployed or the processes, procedures, standards, and practices used to ensure the security, resilience, reliability, safety, integrity, and quality of the products and services. 組織は、悪意のある機能を潜在的に含む可能性のある製品やサービス、偽造品、あるいはサプライチェーン内の製造や開発の不適切な慣行による脆弱性に関連するリスクを懸念している。このようなリスクは、エンタープライズが取得した技術がどのように開発、統合、展開されるのか、あるいは製品やサービスのセキュリティ、レジリエンス、信頼性、安全性、完全性、品質を確保するために使用されるプロセス、手順、標準、慣行について、可視性や理解が低下していることに関連している。
This publication provides guidance to organizations on identifying, assessing, and mitigating cybersecurity risks throughout the supply chain at all levels of their organizations. The publication integrates cybersecurity supply chain risk management (C-SCRM) into risk management activities by applying a multilevel, C-SCRM-specific approach, including guidance on the development of C-SCRM strategy implementation plans, C-SCRM policies, C-SCRM plans, and risk assessments for products and services. 本書は、組織のあらゆるレベルにおいて、サプライチェーン全体を通じてサイバーセキュリティリスクを識別、アセスメント、低減するためのガイダンスを組織に提供する。本書は、サイバーセキュリティサプライチェーンリスクマネジメント(C-SCRM)を、C-SCRM戦略実施計画、C-SCRM方針、C-SCRM計画、製品及びサービスのリスクアセスメントの策定に関するガイダンスを含む、多レベルのC-SCRM特有のアプローチを適用することにより、リスクマネジメント活動に統合している。

 

・[PDF] SP.800-161r1-upd1

20241104-93103

 

Annex K 更新箇所...

Type Change 変更点 Page/Section 変更箇所
Substantive Deleted Table 3-1: C-SCRM in the Procurement Process as it was confusing  表3-1「調達プロセスにおけるC-SCRM」は混乱を招くため削除した。  3.1.2. The Role of C-SCRM in the Acquisition Process  3.1.2.購買プロセスにおけるC-SCRMの役割 
Editorial Updated NIST Cybersecurity Framework (CSF) 1.1 to NIST CSF 2.0  NISTサイバーセキュリティフレームワーク(CSF)1.1をNIST CSF 2.0に更新した。  1.7. Relationship to Other Publications and Publication Summary and References  1.7.他の出版物との関係および出版物の概要と参考文献 
Editorial Updated Special Publication (SP) 800-160 Vol. 1 to SP 800-160 Vol. 1,Revision 1  特別刊行物 (SP) 800-160 Vol.1 を SP 800-160 Vol.1,Revision 1 に更新した。  1.7. Relationship to Other Publications and Publication Summary and References  1.7.他の出版物との関係および出版物の概要と参考文献 
Editorial Updated Special Publication (SP) 800-160 Vol. 2 to SP 800-160 Vol. 2, Revision 1  特別刊行物(SP)800-160 Vol.2をSP800-160 Vol.2、リビジョン1に更新した。  1.7. Relationship to Other Publications and Publication Summary and References  1.7.他の出版物との関係および出版物の概要と参考文献 
Substantive Added an example of a supply chain risk involving a semiconductor (chip) manufacturer  半導体(チップ)製造事業者のサプライチェーンリスクの例を追加した。  2.2. Cybersecurity Risks Throughout Supply Chains  2.2.サプライチェーンを通じたサイバーセキュリティリスク 
Editorial Sorted references alphanumerically according to reference tag  リファレンス・タグに従ってリファレンスをアルファベット順に並べた。  References  参考文献 
Substantive Added additional references based on updates to other section of the document (e.g., IEC 62443-4-1, ISO/IEC 29147)  文書の他のセクション(IEC 62443-4-1、ISO/IEC 29147など)の更新に基づき、参考文献を追加した。  References  参考文献 
Editorial Corrected inaccurate language in controls pointing to other sections of the document  文書の他のセクションを指すコントロールの不正確な表現を修正した。  Appendix A  附属書A 
Editorial Corrected inaccurate numbering of control enhancement  コントロール強化の不正確な番号付けを修正した。  Appendix A  附属書A 
Substantive Added language to Access Control Family introductory paragraph  アクセス管理ファミリーの序文に文言を追加した。  Appendix A  附属書A 
Editorial Added missing word to sentence in AC-2  AC-2の文章に欠落していた単語を追加  Appendix A  附属書A 
Substantive Added language to AC-17  AC-17に文言を追加  Appendix A  附属書A 
Substantive Revised supplemental guidance of RA-3  RA-3の補足ガイダンスを改訂  Appendix A  附属書A 
Substantive Added RA-3 (1)  RA-3 (1)を追加  Appendix A  附属書A 
Substantive Revised discussion of vulnerability reports and vulnerability advisories in RA-5  RA-5における脆弱性報告書と脆弱性勧告に関する記述を修正した。  Appendix A  附属書A 
Substantive Added RA-3 (1) as flowdown and C-SCRM baseline control  RA-3 (1)をフローダウンおよびC-SCRMのベースライン制御として追加した。  Appendix B  附属書B 
Substantive Added PM-30 as flow-down and C-SCRM Baseline Control  フローダウンおよびC-SCRMベースライン・コントロールとしてPM-30を追加した。  Appendix B  附属書B 
Substantive Added information on OMB M-22-18 with regard to software attestations ソフトウェア認証に関するOMB M-22-18に関する情報を追加した。 Appendix F (online content)  附属書F(オンラインコンテンツ) 
Substantive Clarified language and intent for Software Bill of Materials capabilities  ソフトウェア部品表機能の文言と意図を明確にした。  Appendix F: Software Bill of Materials (online content)  附属書F:ソフトウェア部品表(オンラインコンテンツ) 
Substantive Added elements of vulnerability advisory reports, per ISO/IEC 29147  ISO/IEC 29147に従い、脆弱性アドバイザリーレポートの要素を追加した。  Appendix F: Vulnerability Management (online content)  附属書F:脆弱性管理(オンラインコンテンツ) 
Editorial Added information to the FAQ with regard to the changes made to Appendix F (online content) in the errata update  正誤表更新における附属書F(オンラインコンテンツ)の変更に関して、FAQに情報を追加した。  Appendix F: Frequently Asked Questions (online content)  附属書F:よくある質問(オンラインコンテンツ) 
Substantive Revised language in table G-8 to align with updates to RA-5 RA-5の更新に合わせて表G-8の文言を修正した。 Appendix G  附属書G 
Editorial Removed articles within definitions  定義内の記事を削除した  Appendix H  附属書H 
Substantive Added definition for ‘vulnerability report’  「脆弱性報告」の定義を追加した。  Appendix H  附属書H 
Substantive Added definition for ‘vulnerability advisory report’  「脆弱性アドバイザリー報告」の定義を追加した。  Appendix H  附属書H 

 

 


 

 

ちなみに、2022年に公表されたSP800-161r1の日本語の仮訳はIPAから公表されていますね...

 

IPA - セキュリティ関連NIST文書について(翻訳文書(ダウンロード))

・2024.01 [PDF] SP 800-161 rev.1

20241104-94831

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.11.04 米国 NIST SP 1326 (初期公開ドラフト) NIST サイバーセキュリティ サプライチェーンリスクマネジメント: デューデリジェンス・アセスメント・クイックスタートガイド

・2024.03.14 IPA NIST SP 800-161 rev.1 システム及び組織におけるサプライチェーンのサイバーセキュリティリスクマネジメントのプラクティスの翻訳 (2024.01.31)

・2022.05.08 NIST SP 800-161 Rev. 1 システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践

・2021.10.30 NIST SP 800-161 Rev. 1 (Draft) システムと組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践(第2次ドラフト)

・2021.05.01 NIST SP 800-161 Rev. 1 (ドラフト) システムと組織のためのサイバー・サプライチェーン・リスク管理の実践

・2020.03.01 NISTに基づくSupply Chain Risk Managementについてのちょっとしたまとめ

・2020.02.05 NISTがサプライチェーンセキュリティの実践資料のドラフトを公開していますね。。。

 

| | Comments (0)

米国 NIST SP 1326 (初期公開ドラフト) NIST サイバーセキュリティ サプライチェーンリスクマネジメント: デューデリジェンス・アセスメント・クイックスタートガイド

こんにちは、丸山満彦です。

米国のNISTが、サプライチェーンのデューデリジェンス・アセスメント・クイックガイドのドラフトを公表し、意見募集をしています。

  • SP800-53r5、SP800-161r1の (RA-3(1)) サプライチェーンリスクアセスメント
  • SP800r-53r5、SP800-161r1の (SR-6) サプライヤーレビュー
  • CSF 2.0の (GV:SC-06) デューデリジェンス

の違いが整理されていています... 

さて、2024.11.01には、SP800-161r1の更新版が公表されています...

 

NIST - ITL

・2024.10.30 NIST SP 1326 (Initial Public Draft) NIST Cybersecurity Supply Chain Risk Management: Due Diligence Assessment Quick-Start Guide

NIST SP 1326 (Initial Public Draft) NIST Cybersecurity Supply Chain Risk Management: Due Diligence Assessment Quick-Start Guide NIST SP 1326 (初期公開ドラフト) NIST サイバーセキュリティ サプライチェーンリスクマネジメント: デューデリジェンス・アセスメント・クイックスタートガイド
Announcement 発表
Supply chain risk assessments start with due diligence. Acquirers who make procurement decisions need to be informed about potential supplier risks before those decisions are executed. Consequently, many acquisition operating procedures strongly recommend or even require an assessment of a supplier’s risk prior to entering into an agreement with them. サプライチェーンリスクアセスメントはデューデリジェンスから始まる。調達の意思決定を行う買収者は、その意思決定が実行される前に、潜在的なサプライヤのリスクについて知らされている必要がある。そのため、多くの買収業務手順書では、サプライヤとの契約締結前にサプライヤのリスクアセスメントを行うことを強く推奨、あるいは義務付けている。
Based on the widely adopted content in NIST Special Publication (SP) 800-161r1, this new draft Quick-Start Guide proposes an implementation-ready approach to conducting the minimum amount of investigative rigor on potential suppliers. Identifying the primary risk factors that an acquirer should consider can enable quick turnarounds with limited resources.  NIST特別刊行物(SP)800-161r1において広く採用されている内容に基づき、この新しいクイックスタートガイドのドラフトでは、潜在的なサプライヤーについて最低限の調査を厳密に実施するための実施可能なアプローチを提案する。買収者が考慮すべき主要なリスク要因を識別することで、限られたリソースで迅速なターンアラウンドが可能になる。
Abstract 概要
Due diligence research is the minimum amount of understanding that an acquirer should have on a supplier and should be done with most of the acquiring organization’s suppliers, regardless of criticality. This Quick-Start Guide provides cybersecurity supply chain risk management (C-SCRM) program capabilities with considerations for creating due diligence supply chain risk assessments in accordance with NIST Special Publication (SP) 800-161r1 (Revision 1). While due diligence supplier assessments can be applied to any type of supplier, this Quick-Start Guide is scoped to information and communications technology (ICT) suppliers. The components of a Due Diligence Assessment are Supply Chain Tiers; Foreign Ownership, Control, or Influence (FOCI); Provenance; Stability; and Foundational Cyber Practices. デューデリジェンス調査は、買収者がサプライヤーについて最低限理解すべきことであり、重要度にかかわらず、買収組織のほとんどのサプライヤーに対して実施すべきである。このクイックスタートガイドは、サイバーセキュリティサプライチェーンリスクマネジメント(C-SCRM)プログラムの能力について、NIST 特別刊行物(SP)800-161r1(改訂 1)に従ってデューデリジェンスサプライチェーンリスクアセスメントを作成するための考慮事項を提供するものである。デューディリジェンス・サプライヤー・アセスメントはあらゆるタイプのサプライヤーに適用することができるが、このクイックスタート・ガイドは情報通信技術(ICT)サプライヤーを対象としている。デューデリジェンス・アセスメントの構成要素は、サプライチェーンの階層、外国の所有、支配、または影響(FOCI)、証明、安定性、およびサイバープラクティスの基礎である。

 

・[PDF] NIST.SP.1326.ipd

20241103-110327

 

Due Diligence Quick-Start Guide Introduction デューデリジェンス・クイックスタートガイド 序文
・ Purpose ・ 目的
・ What is Due Diligence in C-SCRM? ・ C-SCRMにおけるデューデリジェンスとは何か?
・ Basic vs. Enhanced Due Diligence ・ 基本デューデリジェンスと強化デューデリジェンス 
・ Scope of Due Diligence Quick-Start Guide ・ デューデリジェンスの範囲 クイックスタートガイド
・ More C-SCRM Resources ・ その他の C-SCRM リソース
Due Diligence, Supplier Reviews, and SCRAs デューデリジェンス、サプライヤレビュー、SCRA およびSCRA
・ Relationship to SR-6 & RA-3(1) ・ SR-6およびRA-3(1)との関係
・ Information Sources ・ 情報源
First Steps ファーストステップ
・ Before You Start ・ 始める前に
・ Traceable Company Information ・ 追跡可能な企業情報
・ Contracting and Security Clearance Information ・ 契約およびセキュリティクリアランス情報
・ Consistency Across Findings ・ 調査結果の一貫性
Specific Research Findings Categories 具体的な調査結果のカテゴリー
Supply Chain Tiers サプライチェーンの階層
・ Illuminating with Tools ・ ツールによる照らし合わせ
・ Due Diligence Considerations ・ デューデリジェンスに関する考慮点
・ Sub-Tier Supplier Diversity ・ サブ階層 Tier Supplier Diversity
・ Questions to Consider ・ 検討すべき質問
Foreign Ownership, Control, and Influence 外国の所有、支配権、影響力
・ Ownership ・ オーナーシップ
・ Key Leadership ・ 主要なリーダーシップ
・ Foreign Laws, Policies, and Regulations ・ 外国の法律、政策、規制 ・ 組織が定義する、 
・ Organization-Defined Parameters ・ 組織が定義したパラメータ
Provenance プロベナンス(来歴)
・ Supplier Operational Locations ・ サプライヤーの事業拠点
・ Product-Specific Locations ・ 製品固有の拠点
・ Research Sources ・ 調査ソース
・ Subcomponents ・ サブコンポーネント
Stability 安定性
・ Organizational Stability ・ 組織の安定性
・ Product Stability ・ 製品の安定性
・ Regulatory Compliance Lists ・ 規制遵守リスト
・ Historical Data vs. Relevant Information ・ 過去のデータ vs. 関連情報 
Foundational Cyber Practices: Suppliers サイバープラクティスの基礎: サプライヤー
・ System Compromises ・ システムの危殆化
・ User Behavior ・ ユーザーの行動
・ Security Posture ・ セキュリティ体制
・ Data Breaches ・ データ侵害
・ Where to Find Information ・ 情報の入手先
Foundational Cyber Practices: Products.. サイバープラクティスの基礎: 製品
・ Publicly Available Product Information ・ 一般に公開されている製品情報
・ SBOM Analytics Findings ・ SBOM 分析の結果
・ Secure Development Practices ・ 安全な開発の実践
・ Supplier Software Attestation ・ サプライヤのソフトウェア認証
Putting It Together まとめ
Due Diligence Findings and Classification デューデリジェンス結果および分類
・ Classifying Due Diligence Findings ・ デューデリジェンスで発見された事項を分類する
・ Additional Resources ・ その他のリソース
Learning Recap.. 学習のまとめ...
・ What We Learned ・ 私たちが学んだこと
・ What’s Next ・ 次の課題
・ New to C-SCRM Resources ・ C-SCRMの新しいリソース
Glossary 用語集

 

Introduction 導入
Purpose  目的
This guide provides cybersecurity supply chain risk management (C-SCRM) program management capabilities with considerations for creating due diligence supply chain risk assessments in accordance with NIST Special Publication (SP) 800-161 (Revision 1). It is a supplement to the content within SP 800-161r1 and is not intended to replace it.  本ガイドラインは、NIST 特別刊行物(SP)800-161(改訂 1)に従い、デューデリジェンス・サプライチェーンリスクアセスメントを作成するための考慮事項を、サイバーセキュリティ・サプライチェーンリスクマネジメント(C-SCRM)プログラムマネジメント能力に提供するものである。本書は、SP 800-161r1 の内容を補足するものであり、SP 800-161r1 に取って代わることを意図したものではない。
What is Due Diligence in C-SCRM?   C-SCRM におけるデューデリジェンスとは何か? 
From a C-SCRM perspective, due diligence is the investigative process of researching and verifying available information about a given supplier or product prior to entering into an agreement so that informed decisions can be made with all available and pertinent information. Due diligence research is the minimum amount of understanding that an acquirer should have on a supplier and should be done with most of the acquiring organization’s suppliers, regardless of criticality.  C-SCRMの観点からは、デューデリジェンスとは、入手可能な全ての適切な情報に基づいて、十分な情報に基づいた意思決定が行えるように、契約を締結する前に、特定の供給者又は製品について入手可能な情報を調査し、検証する調査プロセスである。デューデリジェンス調査は、買収者がサプライヤーについて最低限理解しておくべきことであり、重要度にかかわらず、買収組織のほとんどのサプライヤーについて実施されるべきである。
Basic vs. Enhanced Due Diligence  基本デューデリジェンスと強化デューデリジェンスの比較
Basic due diligence is desktop-based research using open sources and publicly available information (PAI) to derive findings. The use of commercial datasets, proprietary sources, and supply chain illumination tools constitutes enhanced due diligence. While some findings categories can be wholly sourced using PAI, others may yield additional results using enhanced toolsets.  基本デューデリジェンスは、オープンソースや一般に入手可能な情報(PAI)を用いたデスクトップベースの調査である。商用データセット、独自ソース、及びサプライチェーン照合ツールの使用は、強化型デューデリジェンスを構成する。いくつかの調査結果カテゴリーは、PAIを使用することで全て入手可能であるが、その他のカテゴリーについては、強化されたツールセットを使用することで、さらなる結果が得られる可能性がある。
Scope of Due Diligence Assessment Quick Start Guide  デューデリジェンス・アセスメント・クイックスタートガイドの適用範囲
Due diligence supplier assessments can be applied to any type of supplier, but this Quick-Start Guide is scoped to information and communications technology (ICT) suppliers. サプライヤーのデューデリジェンス・アセスメントは、あらゆる種類のサプライヤーに適用することができるが、 このクイックスタートガイドは、情報通信技術(ICT)サプライヤーを対象としている。

 

 

Due Diligence, Supplier Reviews, and SCRAs Relationship to SR-6 and RA-3(1) デューデリジェンス、サプライヤレビュー、及び SCRAs SR-6 及び RA-3(1) との関係
Due Diligence and Supply Chain Risk Assessments (SCRA)  デューデリジェンス及びサプライチェーンリスクアセスメント(SCRA)
Per SP 800-161r1, the C-SCRM Program Management Office (PMO) is responsible for conducting assessments of cybersecurity risks that arise from suppliers seeking to integrate with a given system in accordance with enterprise-wide CSCRM Level 2 policy requirements. SP 800-161r1 shows that Cybersecurity Risk is the Likelihood of Threats exploiting Vulnerabilities and causing an Impact to a program or system.  SP 800-161r1 によれば、C-SCRM プログラムマネジメントオフィス(PMO)は、エンタープライズ全体の CSCRM レベル 2 ポリシー要件に従い、所定のシステムとの統合を求めるサプライヤから生じるサイバーセキュリティリスクのアセスメントを実施する責任を負う。SP 800-161r1 では、サイバーセキュリティリスクとは、脆弱性を悪用した脅威がプログラムやシス テムに影響を与える可能性を示している。
Due Diligence Assessments are a precursor to the SR-6 Supplier Reviews and, in many cases, can serve as the foundation of the Threat and Vulnerability aspects of the RA-3(1) Supply Chain Risk Assessment.  デューディリジェンスアセスメントは、SR-6 サプライヤーレビューの前段階であり、多くの場合、RA-3(1) サプライチェーンリスクアセスメントの脅威及び脆弱性の側面の基礎となる。
They can be researched and written using PAI, as well as augmented with commercially derived datasets and illumination tools. The components of a Due Diligence Assessment are Supply Chain Tiers; Foreign Ownership, Control, or Influence (FOCI); Provenance; Stability; and Foundational Cyber Practices.  これらは、PAIを使用して調査・作成することが可能であり、また、市販のデータセットや照 明ツールを使用して補強することも可能である。デューディリジェンス・アセスメントの構成要素は、サプライチェーンの階層、外国の所有、支配、 又は影響(FOCI)、証明性、安定性、及び基礎的なサイバー慣行である。

 

2_20241103133101

 

 

 

 

| | Comments (0)

2024.11.03

米国 NIST CSWP 37(初期発行ドラフト)NIST 暗号モジュール妥当性確認プログラムの自動化: 2024 年 9 月状況報告書 (2024.10.31)

こんにちは、丸山満彦です。

NISTが、CSWP 37(初期発行ドラフト)NIST 暗号モジュール妥当性確認プログラムの自動化: 2024 年 9 月状況報告書を公表していますね...

 

NIST - ITL

・2024.10.31 NIST CSWP 37 (Initial Public Draft) Automation of the NIST Cryptographic Module Validation Program: September 2024 Status Report

 

NIST CSWP 37 (Initial Public Draft) Automation of the NIST Cryptographic Module Validation Program: September 2024 Status Report
NIST CSWP 37(初期発行ドラフト)NIST 暗号モジュール妥当性確認プログラムの自動化: 2024 年 9 月状況報告書
Announcement 発表
The Cryptographic Module Validation Program (CMVP) validates third-party assertions that cryptographic module implementations satisfy the requirements of Federal Information Processing Standards (FIPS) Publication 140-3, Security Requirements for Cryptographic Modules. The NIST National Cybersecurity Center of Excellence (NCCoE) has undertaken the Automated Cryptographic Module Validation Project (ACMVP) to support improvement in the efficiency and timeliness of CMVP operations and processes. The goal is to demonstrate a suite of automated tools that would permit organizations to perform testing of their cryptographic products according to the requirements of FIPS 140-3, then directly report the results to NIST using appropriate protocols. This is a status report of progress made so far with the ACMVP and the planned next steps for the project. 暗号モジュール検証プログラム(CMVP)は、暗号モジュールの実装が連邦情報処理標準(FIPS)発行140-3「暗号モジュールのセキュリティ要件」の要件を満たすことをサードパーティが主張することを検証する。NIST 国家サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)は、CMVP の運用とプロセスの効率性と適時性の改善を支援するため、自動暗号モジュール妥当性確認プロジェクト(ACMVP)に取り組んできた。その目標は、組織が FIPS 140-3 の要件に従って暗号製品のテストを実施し、適切なプロトコルを使用して結果を直接 NIST に報告できる自動化ツール群を実証することである。本書は、ACMVP のこれまでの進捗状況と、このプロジェクトの次の予定について報告するものである。
Abstract 概要
The Cryptographic Module Validation Program (CMVP) validates third-party assertions that cryptographic module implementations satisfy the requirements of Federal Information Processing Standards (FIPS) Publication 140-3, Security Requirements for Cryptographic Modules. The NIST National Cybersecurity Center of Excellence (NCCoE) has undertaken the Automated Cryptographic Module Validation Project (ACMVP) to support improvement in the efficiency and timeliness of CMVP operations and processes. The goal is to demonstrate a suite of automated tools that would permit organizations to perform testing of their cryptographic products according to the requirements of FIPS 140-3, then directly report the results to NIST using appropriate protocols. This is a status report of progress made so far with the ACMVP and the planned next steps for the project. 暗号モジュール妥当性確認プログラム(CMVP)は、暗号モジュールの実装が連邦情報処理標準(FIPS)発行140-3「暗号モジュールに対するセキュリティ要件」の要件を満たしているというサードパーティの主張を検証するものである。NIST 国家サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)は、CMVP の運用とプロセスの効率性と適時性の改善を支援するため、自動暗号モジュール妥当性確認プロジェクト(ACMVP)に取り組んできた。その目標は、組織が FIPS 140-3 の要件に従って暗号製品のテストを実施し、適切なプロトコルを使用して結果を直接 NIST に報告できる自動化ツール群を実証することである。本書は、ACMVP のこれまでの進捗状況と、このプロジェクトの今後のステップの予定について報告するものである。

 

・[PDF] NIST.CSWP.37.ipd

20241103-101814

 

目次と表の一覧...

1. Overview 1. 概要
1.1. Challenge 1.1. 課題
1.2. Solution 1.2. 解決策
1.3. Progress to Date 1.3. これまでの進捗状況
2. Test Evidence Workstream 2. テスト・エビデンス・ワークストリーム
3. Protocol Workstream 3. プロトコル・ワークストリーム
4. Research Infrastructure Workstream … 4. 研究インフラ・・ワークストリーム
5. Conclusion 5. 結論
Appendix A. Technical Details from the Test Evidence (TE) Workstream 附属書A. テストエビデンス(TE)・ワークストリームからの技術的詳細
A.1. TEs Requiring Vendor Documentation A.1. ベンダーの文書化を必要とするTE
A.2. TEs Requiring Module Functional Test A.2. モジュール機能試験を必要とするTE
A.2.1. TE Filters A.2.1. TE フィルタ
A.2.2. Removing Assertions Not Separately Tested A.2.2. 個別にテストされていない主張の削除
A.3. Complete List of TEs A.3. TEの完全なリスト
Appendix B. List of Symbols, Abbreviations, and Acronyms 附属書B. 記号、略語、および頭字語の一覧
List of Tables 表の一覧
Table 1 - Dividing 140A-TEs into non-140B-TEs and SP-TEs 表 1 - 140A-TE を非 140B-TE および SP-TE に分割
Table 2 - TEs Requiring Functional Testing 表 2 - 機能テストが必要な TE
Table 3 - TE Filter Types and Example TEs within those Filters 表 3 - TE フィルタの種類およびそれらのフィルタ内の TE 例
Table 4 - Assertions not separately tested 表 4 - 個別にテストされない主張
Table 5 - A complete list of TEs 表 5 - TE の完全な一覧

 

概要部分...

1. Overview  1. 概要
1.1. Challenge  1.1. 課題
The Cryptographic Module Validation Program (CMVP) validates third-party assertions that cryptographic module implementations satisfy the requirements of Federal Information Processing Standards (FIPS) Publication 140-3, Security Requirements for Cryptographic Modules. Under the CMVP, cryptographic modules undergo third-party testing by National Voluntary Laboratory Accreditation Program (NVLAP) accredited laboratories, and the processes and results are validated under a program run by the National Institute of Standards and Technology (NIST) and the Canadian Center for Cyber Security (CCCS). Current industry cryptographic product development, production, and maintenance processes place significant emphasis on time-to-market efficiency. A number of elements of the validation process are manual in nature, and the period required for third-party testing and government validation of cryptographic modules is often incompatible with industry requirements.
暗号モジュール検証プログラム(CMVP)は、暗号モジュールの実装が連邦 情報処理標準(FIPS)パブリケーション140-3「暗号モジュールのセキュリティ要件」の要件を満たしていることをサードパーティが主張することを検証する。CMVP の下、暗号モジュールは、国立標準技術研究所(NIST)とカナダ・サイバー・セキュリティ・センター(CCCS)が運営するプログラムの下、NVLAP(National Voluntary Laboratory Accreditation Program)認定機関によるサードパーティ・テストを受け、そのプロセスと結果が妥当性確認される。現在の業界の暗号製品開発、製造、保守プロセスでは、市場投入までの時間効率を重視している。妥当性確認プロセスの多くの要素が手作業で行われており、暗号モジュールのサードパーティ・テストや政府の妥当性確認に必要な期間は、業界の要件と相容れないことが多い。
1.2. Solution  1.2. ソリューション
The NIST National Cybersecurity Center of Excellence (NCCoE) has undertaken a project to demonstrate the value and practicality of automation support to improve the responsiveness of CMVP. The intent of the Automated Cryptographic Module Validation Project (ACMVP) is to support improvement in the efficiency and timeliness of CMVP operations and processes. This NCCoE effort is one of a number of activities focused on the automation of module validation and report review flow, and it follows the successful completion of NIST efforts such as the automation of the Cryptographic Algorithm Validation Program (CAVP); the rollout of WebCryptik, an application for submitting test results to the CMVP; and the automation of the processing of entropy data testing evidence for the Entropy Source Validation (ESV) program. The initiative aims to provide mechanisms for structural presentation of testing evidence by NVLAP-accredited parties to facilitate the automation of evidence validation by the CMVP.   NIST National Cyberseキュリティ・センター・オブ・エクセレンス(NCCoE)は、CMVP の応答性を向上させるための自動化サポートの価値と実用性を実証するプロジェクトを実施した。暗号モジュール妥当性確認自動化プロジェクト(ACMVP)の意図は、CMVP の運用とプロセスの効率性と適時性の改善を支援することである。この NCCoE の取り組みは、モジュール妥当性確認と報告書レビューフローの自動化に焦点を当てた数多くの活動の一つであり、暗号アルゴリズ ム妥当性確認プログラム(CAVP)の自動化、テスト結果を CMVP に提出するためのアプリケーションである WebCryptik の展開、エントロピ ーソース妥当性確認(ESV)プログラムのエントロピーデータテストエビデンス処理の自動化などの NIST の取り組みが成功裏に完了したことに続くものである。このイニシアチブは、CMVPによるエビデンス妥当性確認の自動化を促進するために、NVLAP認定当事者によるテストエビデンスの構造的提示のためのメカニズムを提供することを目的としている。 
The ACMVP’s goal is to enable automated test report review where feasible for each of the test requirements found in FIPS 140-3 and International Organization for Standardization (ISO)/International Electrotechnical Commission (IEC) 24759, which FIPS 140-3 incorporates by reference. Because of the wide range of the technologies and corresponding security requirements that the CMVP covers, this effort is being executed in phases. The initial phase of software module validation such as an OpenSSL module is foundational and will determine future phases. ACMVP の目標は、FIPS 140-3 および国際標準化機構(ISO)/国際電気標準会議(IEC)24759(FIPS 140-3 が参照により組み込まれている)に記載されている各テスト要件について、実行可能な場合には自動テストレポートレビューを可能にすることである。CMVP が対象とする技術と対応するセキュリティ要件は多岐にわたるため、この取り組みは段階的に実施される。OpenSSL モジュールのようなソフトウエア・モジュールの妥当性確認の初期段階は、基礎的なものであり、将来の段階を決定する。
The module testing and reporting aspects of module validation, according to ISO/IEC 24759, combine functional and nonfunctional security requirements. This project attempts to streamline the test methods for the functional tests of specific classes of technologies (e.g., software modules) and corresponding reporting of functional and non-functional security requirements. We are working to demonstrate a suite of tools to modernize and automate manual review processes in support of existing policy and efforts to include technical testing under the CMVP. These automated tools employ an NVLAP-accredited testing concept that permits organizations to perform the testing of their cryptographic products according to the requirements of FIPS 140-3, then directly report the results to NIST using appropriate protocols.   ISO/IEC 24759 に従ったモジュール妥当性確認のモジュールテストと報告の側面は、機能的セキュリティ要求事項と非機能的セキュリティ要求事項を組み合わせたものである。このプロジェクトは、特定のクラスの技術(例えば、ソフトウエアモジュール)の機能テストと、それに対応する機能的・非機能的セキュリティ要求事項の報告に関するテスト方法の合理化を試みている。われわれは、既存の方針とCMVPの下で技術テストを含める努力を支援するために、手動レビュープロセスを近代化し自動化する一連のツールの実証に取り組んでいる。これらの自動化ツールは、FIPS 140-3 の要件に従って組織が暗号製品のテストを実施し、適切なプロトコルを使用して結果を直接 NIST に報告することを許可する NVLAP 認定テストの概念を採用している。 
The accredited parties will have to identify the corresponding personnel and organizational structures needed to perform this testing while complying with the laboratory requirements for testing programs established by NVLAP under NIST Handbook (HB) 150-17. The accreditation requirements in HB 150-17 are both hierarchical and compositional in nature so that organizations can tailor the scope of accreditation according to their specific product/service portfolio.  認定を受けた当事者は、NISTハンドブック(HB)150-17に基づきNVLAPが策定した試験プログラムの試験所要件に準拠しながら、この試験を実施するために必要な対応する要員と組織構造を特定しなければならない。HB150-17の認定要件は、階層的かつ構成的な性質を有しており、組織は特定の製品/サービ スのポートフォリオに応じて認定範囲を調整することができる。
1.3. Progress to Date  1.3. 現在までの進捗状況
To date, the ACMVP project has:  現在までに、ACMVPプロジェクトは以下を実施してきた: 
• Identified and classified categories of test evidence required for CMVP validation that can readily be automated in a reporting format that is consistent with current WebCryptik and CMVP; identified the test evidence classes for which manual processes are still needed  ・現在の WebCryptik および CMVP と整合性のある報告形式で容易に自動化できる、CMVP 検証に必要なテ ストエビデンスのカテゴリーを特定し、分類した。
• Identified necessary schemas and protocols for evidence submission and validation for a scalable application programming interface (API) based architecture  ・手動プロセスが依然として必要なテストエビデンスクラスを特定した。
• Designed and developed a cloud native infrastructure required to support validation program automation   ・拡張可能なアプリケーションプログラミングインタフェース(API)ベースのアーキテ クチャのための、エビデンスの提出および検証に必要なスキーマおよびプロトコルを特定した。
In the initial phase, the project is divided into three workstreams: the Test Evidence (TE) Workstream, the Protocol Workstream, and the Research Infrastructure Workstream. Each is a focused effort in its own right. The combined impact of these workstreams will result in improvements to the overall automation of the CMVP.  初期段階では、プロジェクトは、テストエビデンス(TE)・ワークストリーム、プロト コル・ワークストリーム、および研究インフラ・ワークストリームの 3 つの・ワークストリームに分かれている。各・ワークストリームは、それぞれに焦点を絞った取り組みである。これらの・ワークストリームの複合的な影響により、CMVPの自動化全体が改善されることになる。
Contributors to each workstream are listed in the corresponding sections below. Additionally, the following people and organizations contributed to the project outside of a workstream: Rochelle Casey, Alicia Squires, Margaret Salter, Tim Ness, and David Browning of Amazon; Apostol Vassilev, Dave Hawes, Gavin O’Brien, Tim Hall, Matt Scholl, Cheri Pascoe, Kevin Stine, Ann Rickerds, Jim Simmons, Rob Densock, and Blair Heiserman of NIST; William Barker of Dakota Consulting; Karen Scarfone of Scarfone Cybersecurity; and Heather Flanagan of Spherical Cow Consulting. 各・ワークストリームへの貢献者は、以下の該当セクションに記載されている。さらに、・ワークストリーム以外でも、以下の人々や組織がプロジェクトに貢献した: AmazonのRochelle Casey、Alicia Squires、Margaret Salter、Tim Ness、David Browning、NISTのApostol Vassilev、Dave Hawes、Gavin O'Brien、Tim Hall、Matt Scholl、Cheri Pascoe、Kevin Stine、Ann Rickerds、Jim Simmons、Rob Densock、Blair Heiserman、Dakota ConsultingのWilliam Barker、Scarfone CybersecurityのKaren Scarfone、Spherical Cow ConsultingのHeather Flanagan。

 

 

 

 

 

| | Comments (0)

米国 NIST IR 8528 耐量子暗号標準化プロセスにおける追加デジタル署名スキームの第一ラウンドに関する状況報告書

こんにちは、丸山満彦です。

2030年までに耐量子暗号を普及させようと?目論んでいる米国ですが、NISTが、耐量子暗号標準化プロセスにおける追加デジタル署名スキームの第一ラウンドに関する状況報告書を公表していますね...

14の候補が決まったようですが、さらにこの先の進展が気になりますね...

Code-Based Lattice-Based MPC-in-the-Head Multivariate
CROSS Hawk Mirath (MIRA/MiRitH) UOV
LESS   MQOM MAYO
    PERK QR-UOV
Symmetric-Based Isogeny-Based RYDE SNOVA
FAEST SQIsign SDitH  

 

NIST - ITL

・2024.10.21 NIST IR 8528 Status Report on the First Round of the Additional Digital Signature Schemes for the NIST Post-Quantum Cryptography Standardization Process

NIST IR 8528 Status Report on the First Round of the Additional Digital Signature Schemes for the NIST Post-Quantum Cryptography Standardization Process NIST IR 8528 NIST耐量子暗号標準化プロセスにおける追加デジタル署名スキームの第一ラウンドに関するステータス報告書
Abstract 概要
NIST is in the process of evaluating public-key digital signature algorithms for potential standardization to protect sensitive information into the foreseeable future, including after the advent of quantum computers. Any signature scheme that is eventually selected would augment FIPS 204, Module-Lattice-Based Digital Signature Standard; FIPS 205, Stateless Hash-Based Digital Signature Standard; FIPS 186-5, Digital Signature Standard (DSS); and SP 800-208, Recommendation for Stateful Hash-Based Signature Schemes. This report describes the evaluation criteria and selection process of the First Round of the Additional Digital Signatures for the NIST Post-Quantum Cryptography (PQC) Standardization Process. Based on public feedback and internal reviews of the first-round candidates, NIST selected 14 candidate algorithms to move forward to the second round of evaluation: CROSS, FAEST, HAWK, LESS, MAYO, Mirath (merger of MIRA/MiRitH), MQOM, PERK, QR-UOV, RYDE, SDitH, SNOVA, SQIsign, and UOV. NISTは、量子コンピュータの出現後を含む予測可能な将来にわたって機密情報を保護するために、標準化の可能性のある公開鍵デジタル署名アルゴリズムを評価しているところである。最終的に選択される署名方式は、FIPS 204「モジュール-格子-ベース電子署名標準」、FIPS 205「ステートレス-ハッシュ-ベース電子署名標準」、FIPS 186-5「電子署名標準(DSS)」、SP 800-208「ステートフル-ハッシュ-ベース署名方式の推奨」を補強することになる。本報告書では、NIST耐量子暗号(PQC)標準化プロセスにおける追加デジタル署名の第 1 ラウンドの評価規準と選定プロセスについて述べる。一般からのフィードバックと第一ラウンド候補の内部レビューに基づき、NISTは第二ラウンドの評価に進む14の候補アルゴリズムを選定した: CROSS、FAEST、HAWK、LESS、MAYO、Mirath(MIRA/MiRitHの統合)、MQOM、PERK、QR-UOV、RYDE、SDitH、SNOVA、SQIsign、UOVである。

 

・[PDF] NIST.IR.8528

20241103-20338

・[DOCX][PDF] 仮訳

 

 

 

 

 

 

| | Comments (0)

米国 NIST SP 800-131A Rev.3(初期公開ドラフト) 暗号アルゴリズムと鍵長の使用の移行 (2024.10.21)

こんにちは、丸山満彦です。

米国のNIST SP 800-131A Rev.3(初期公開ドラフト) 暗号アルゴリズムと鍵長の使用の移行が公開され、意見募集されいますね...

Rev2.0が、2019.03.21に公開されていますから、5年半ぶりという感じですかね...

 

改訂版の提案としては...

a) 機密保持モードとしてのECBの廃止、および電子署名生成的なDSAの使用

b) SHA-1および224ビットハッシュ関数の廃止スケジュール

ということのようです...

廃止スケジュールとして、

・224ビットハッシュ関数の2030年12月31日という廃止日は、実装者や利用者に受け入れがたい負担をもたらすか

ということが気になるようですね...

 

NIST - ITL

・2024.10.21 NIST SP 800-131A Rev. 3 (Initial Public Draft) Transitioning the Use of Cryptographic Algorithms and Key Lengths

NIST SP 800-131A Rev. 3 (Initial Public Draft) Transitioning the Use of Cryptographic Algorithms and Key Lengths NIST SP 800-131A Rev.3(初期公開ドラフト) 暗号アルゴリズムと鍵長の使用の移行
Announcement 発表
NIST provides cryptographic key management guidance for defining and implementing appropriate key-management procedures, using algorithms that adequately protect sensitive information, and planning for possible changes in the use of cryptography because of algorithm breaks or the availability of more powerful computing techniques. This publication provides guidance on transitioning to the use of stronger cryptographic keys and more robust algorithms. NIST は、適切な鍵管理手順を定義および実装し、機密情報を適切に保護するアルゴリズムを使用し、アルゴリズ ムの破壊やより強力な計算技術の利用可能性により暗号の使用が変更される可能性に備えて計画を立てるため の、暗号鍵管理ガイダンスを提供する。本書は、より強力な暗号鍵とより堅牢なアルゴリズムの使用への移行に関するガイダンスを提供する。
This revision proposes a) the retirement of ECB as a confidentiality mode of operation and the use of DSA for digital signature generation and b) a schedule for the retirement of SHA-1 and the 224-bit hash functions. This draft also discusses the transition from a security strength of 112 bits to a 128-bit security strength and to quantum-resistant algorithms for digital signatures and key establishment. 本改訂版では、a) 機密保持モードとしてのECBの廃止、および電子署名生成的なDSAの使用、 b) SHA-1および224ビットハッシュ関数の廃止スケジュールを提案している。このドラフトはまた、112ビットのセキュリティ強度から128ビットのセキュリティ強度への移行、電子署名と鍵確立のための量子耐性アルゴリズムへの移行についても議論している。
Abstract 概要
NIST provides cryptographic key management guidance for defining and implementing appropriate key-management procedures, using algorithms that adequately protect sensitive information, and planning for possible changes in the use of cryptography because of algorithm breaks or the availability of more powerful computing techniques. This publication provides guidance for transitions to the use of stronger cryptographic keys and more robust algorithms. NIST は、適切な鍵管理手順の定義と実装、機密情報を適切に保護するアルゴリズムの使用、およびアルゴリズ ムの破損やより強力な計算技術の利用可能性による暗号の使用の変更に備えた計画のための、暗号鍵管理ガイダンスを提供する。本書は、より強力な暗号鍵とより堅牢なアルゴリズムの使用への移行に関するガイダンスを提供する。

 

・[PDF] NIST.SP.800-131Ar3.ipd

20241102-234529

 

目次...

1. Introduction 1. 序文
1.1. Background and Purpose 1.1. 背景と目的
1.2. Useful Terms for Understanding this Recommendation 1.2. 本勧告を理解する上で有用な用語
 1.2.1. Security Strengths  1.2.1. セキュリティ強度
 1.2.2. Definition of Status Approval Terms  1.2.2. ステータス承認用語の定義
1.2.3. Transition Strategy from 112-Bit Security Strength 1.2.3. 112-Bit セキュリティ強度からの移行戦略
2. Data Encryption and Decryption Using Block Cipher Algorithms 2. ブロック暗号アルゴリズムを用いたデータ暗号化と復号
2.1. Block Cipher Cryptographic Primitive Algorithms 2.1. ブロック暗号プリミティブ・アルゴリズム
2.2. Block Cipher Modes of Operation for Encryption and Decryption 2.2. ブロック暗号の暗号化と復号の利用モード
3. Digital Signatures 3. デジタル署名
4. Cryptographic Key Generation 4. 暗号鍵生成
5. Random Bit Generation 5. ランダムビット生成
5.1. Deterministic Random Bit Generator Mechanisms (DRBGs) 5.1. 決定論的ランダムビット生成メカニズム(DRBG)
5.2. Entropy Sources 5.2. エントロピー源
5.3. Random Bit Generator (RBG) Constructions 5.3. ランダムビット生成器(RBG)の構成
6. Key Agreement Using Diffie-Hellman and MQV 6. Diffie-HellmanとMQVを使用した鍵合意
7. Key Agreement and Key Transport Using RSA 7. RSAを使用した鍵合意および鍵転送
8. Key Establishment Using a Key Encapsulation Mechanism (KEM) 8. 鍵カプセル化機構(KEM)を使用した鍵確立
9. Key Derivation Methods 9. 鍵の導出方法
9.1. Key-Derivation Methods in SP 800-56C 9.1. SP 800-56C における鍵導出方法
 9.1.1. One-Step Key-Derivation Functions  9.1.1. ワンステップ鍵導出機能
 9.1.2. Two-Step Key-Derivation Procedures  9.1.2. ツーステップ鍵導出手順
9.2. Key-Derivation Functions in SP 800-108 9.2. SP 800-108 における鍵導出機能
9.3. Key-Derivation in SP 800-132 9.3. SP 800-132 における鍵導出
10. Key Wrapping 10. キーラッピング
11. Hash Functions 11. ハッシュ機能
12. eXtendable-Output Functions XOFs) 12. 拡張可能出力機能 XOFs)
13. Message Authentication Codes (MACs) 13. メッセージ認証コード(MAC)
References 参考文献
Appendix A. Continued Use of AES 附属書 A. AES の継続使用
Appendix B. Change History 附属書 B. 変更履歴
Appendix C. List of Symbols, Abbreviations, and Acronyms 附属書 C. 記号、略語、頭字語のリスト
Appendix D. Glossary 附属書 D. 用語集

 

 

 

| | Comments (0)

2024.11.02

米国 NIST サイバーセッキュリティフレームワーム2.0関係のクイックスタートガイド SP 1302 CSF の階層の使用、SP 1303 エンタープライズリスクマネジメント、SP 1305 サイバーセキュリティサプライチェーンリスクマネジメント(C-SCRM)

こんにちは、丸山満彦です。

NISTが、サイバーセッキュリティフレームワーム2.0関係のクイックスタートガイドが3つ確定しました...

SP 1302 NIST Cybersecurity Framework 2.0: Quick-Start Guide for Using the CSF Tiers NIST サイバーセキュリティフレームワーク 2.0: CSF の階層を使用するためのクイックスタートガイド
SP 1303 NIST Cybersecurity Framework 2.0: Enterprise Risk Management Quick-Start Guide NIST サイバーセキュリティフレームワーク 2.0: エンタープライズリスクマネジメント クイックスタートガイド
SP 1305 NIST Cybersecurity Framework 2.0: Quick-Start Guide for Cybersecurity Supply Chain Risk Management (C-SCRM) NIST サイバーセキュリティフレームワーク 2.0: サイバーセキュリティサプライチェーンリスクマネジメント(C-SCRM)のためのクイックスタートガイド

2024年2月に多くの文書と一緒に公表された文書の一つとして、今回のガイドラインのドラフトも公表されていましたが...

 

2023年3月に改訂した経済産業省のサイバーセキュリティ経営ガイドラインでも、企業におけるサイバーセキュリティ対策は、エンタープライズリスクマネジメントの一つとして考えようとしていますが、サイバーセキュリティが経営課題というのは、つまり、こういうことなんですよね...

ということで、こちらも企業の方には参考になると思います。。。

 

● NIST - ITL

・2024.10.21 NIST SP 1302 NIST Cybersecurity Framework 2.0: Quick-Start Guide for Using the CSF Tiers

NIST SP 1302 NIST Cybersecurity Framework 2.0: Quick-Start Guide for Using the CSF Tiers NIST SP 1302 NIST サイバーセキュリティフレームワーク 2.0: CSF の階層を使用するためのクイックスタートガイド
Abstract 概要
This Quick-Start Guide describes how to apply the CSF 2.0 Tiers. CSF Tiers can be applied to CSF Organizational Profiles to characterize the rigor of an organization’s cybersecurity risk governance and management outcomes. This can help provide context on how an organization views cybersecurity risks and the processes in place to manage those risks.​ The Tiers can also be valuable when reviewing processes and practices to determine needed improvements and monitor progress made through those improvements. このクイックスタート・ガイドでは、CSF 2.0 の階層を適用する方法について説明する。CSF の階層を CSF 組織プロファイルに適用することで、組織のサイバーセキュリティリスクガバナンスとマネジメントの成果の厳しさを特徴付けることができる。この階層は、組織がサイバーセキュリティリスクをどのようにとらえているか、また、それらのリスクを管理するためにどのようなプロセスが実施されているかについて、コンテキストを提供するのに役立つ。 また、必要な改善を判断し、その改善による進捗を監視するために、プロセスやプラクティスをレビューする際にも有用である。

 

・[PDF] NIST.SP.1302

20241102-121448

 

Cybersecurity Framework (CSF) Tiers  サイバーセキュリティフレームワーク(CSF)の階層
CSF Tiers can be applied to CSF Organizational Profiles to characterize the rigor of an organization’s cybersecurity risk governance and management outcomes. This can help provide context on how an organization views cybersecurity risks and the processes in place to manage those risks. The Tiers can also be valuable when reviewing processes and practices to determine needed improvements and monitor progress made through those improvements.  CSF の階層を CSF 組織プロファイルに適用することで、組織のサイバーセキュリティリ スクガバナンスとマネジメントの成果の厳密性を特徴付けることができる。これは、組織がサイバーセキュリティリスクをどのようにとらえているか、また、それらのリスクを管理するためにどのようなプロセスを実施しているかについて、コンテキストを提供するのに役立つ。また、この階層は、必要な改善を判断し、その改善による進捗を監視するために、プロセスやプラクティスをレビューする際にも有用である。
Appendix B of the CSF contains a notional illustration of the CSF Tiers. In that illustration, each Tier has separate descriptions for Cybersecurity Risk Governance (corresponding to the Govern Function) and Cybersecurity Risk Management (for the other five CSF Functions: Identity, Protect, Detect, Respond, and Recover).  CSF の附属書 B には、CSF の階層に関する想定図が記載されている。この図では、各層は、サイバーセキュリティリスクガバナンス(ガバナンス機能に対応)とサイバーセ キュリティリスクマネジメント(他の 5 つの CSF 機能に対応)に分けて記述されている: 識別」、「防御」、「検知」、「対応」、「回復」の 5 つの CSF 機能に対応する)。
The Tiers capture an organization’s outcomes over a range: Partial (Tier 1), Risk Informed (Tier 2), Repeatable (Tier 3), and Adaptive (Tier 4). They reflect a progression from informal, ad hoc responses to approaches that are agile, risk-informed, and continuously improving. 階層は、組織の成果をある範囲にわたって把握する: 部分的(第 1 層)、リスク情報に基づく(第 2 層)、反復可能(第 3 層)、適応的(第 4 層)である。これらは、非公式で場当たり的な対応から、機敏でリスク情報に基づき、継続的に改善するアプローチへの進歩を反映している。

 

 

・2024.10.21 NIST SP 1303 NIST Cybersecurity Framework 2.0: Enterprise Risk Management Quick-Start Guide

NIST SP 1303 NIST Cybersecurity Framework 2.0: Enterprise Risk Management Quick-Start Guide NIST SP 1303 NIST サイバーセキュリティフレームワーク 2.0: エンタープライズリスクマネジメント クイックスタートガイド
Abstract 概要
This guide provides an introduction to using the NIST Cybersecurity Framework (CSF) 2.0 for planning and integrating an enterprise-wide process for integrating cybersecurity risk management information, as a subset of information and communications technology risk management, into enterprise risk management. The use of CSF common language and outcomes supports the integration of risk monitoring, evaluation, and adjustment across various organizational units and programs. 本ガイドは、情報通信技術のリスクマネジメントのサブセットとしてのサイバーセキュリティリスクマネジメント情報をエンタープライズリスクマネジメントに統合するためのエンタープライズ規模のプロセスを計画し、統合するために、NIST サイバーセキュリティフレームワーク(CSF)2.0 を使用するための序文を提供する。CSF の共通言語と成果を使用することで、さまざまな組織単位やプログラムにまたがるリスクの監視、評価、調整の統合を支援する。

 

・[PDF] NIST.SP.1303

20241102-101639

 

NIST Cybersecurity Framework 2.0: Enterprise Risk Management Quick-Start Guide  NIST サイバーセキュリティフレームワーク 2.0: エンタープライズリスク管理クイックスタートガイド
This guide provides an introduction to using the NIST Cybersecurity Framework (CSF) 2.0 for planning and integrating an enterprise-wide process for cybersecurity risk management information, as a subset of information and communications technology risk management, into enterprise risk management. The use of CSF common language and outcomes supports the integration of risk monitoring, evaluation, and adjustment across various organizational units and programs. 本ガイドブックは、情報通信技術のリスクマネジメントのサブセットとしてのサイバーセキュリティ リスクマネジメント情報の全社的なプロセスを計画し、エンタープライズリスク管理に統合するために、NIST サイバーセキュリティフレームワーク(CSF)2.0 を使用するための序文を提供する。CSF の共通言語と成果を使用することで、さまざまな組織単位やプログラムにまたがるリスク の監視、評価、調整の統合を支援する。
Enterprise Risk Management (ERM)  エンタープライズ・リスクマネジメント(ERM)
When we use the word enterprise in an organizational context, we mean all aspects of that organization, spanning the entire breadth and depth of that org chart. ERM exists at the top level of the organizational hierarchy and spans risk considerations such as mission, financial, reputation, and technical risks thereof. ERM calls for understanding the core risks that an enterprise faces, determining how best to address those risks, and ensuring that the necessary actions are taken. An ERM program allows enterprises to aggregate, prioritize, and analyze risks from across the enterprise in a common risk register format. Risk appetite expressed by the ERM program helps inform risk identification. エンタープライズという言葉を組織の文脈で使用する場合、組織図の幅と深さ全体に及ぶ、その組織の全側面を意味する。ERMは、組織階層のトップレベルに存在し、ミッション、財務、評判、技術的リスクなどのリスク上の懸念にまたがる。ERMは、エンタープライズが直面する中核的なリスクを理解し、それらのリスクに対処する最善の方法を決定し、必要なアクションを確実に実行することを求めている。ERMプログラムにより、エンタープライズは、共通のリスク登録簿の形式で、エンタープライズ全体のリスクを集約し、優先順位を付け、分析することができる。
 Information and Communications Technology (ICT)  情報通信技術(ICT)
Risk Management The information and communications technology (ICT) on which an enterprise relies is managed through a broad set of risk disciplines that include privacy, supply chain, and cybersecurity. ICT extends beyond traditional information technology (IT) considerations. Many entities rely on operational technology (OT) and Internet of Things (IoT) devices’ sensors or actuators for bridging physical and digital environments. Increasingly, artificial intelligence (AI) factors into enterprise risk. NIST SPs 800-221 and 800-221A provide more information. リスクマネジメント エンタープライズが依存する情報通信技術(ICT)は、プライバシー、サプライチェーン、サイバーセ キュリティを含む広範なリスク分野を通じて管理される。ICTは、伝統的な情報技術(IT)の検討範囲を超えている。多くの事業体は、物理的環境とデジタル環境の橋渡しをするために、運用技術(OT)やモノのインターネット(IoT)デバイスのセンサーやアクチュエーターに依存している。エンタープライズリスクに人工知能(AI)を組み込むケースも増えている。
 ybersecurity Risk Management (CSRM)   サイバーセキュリティリスクマネジメント(CSRM)
Cybersecurity risks are a fundamental type of risk for all organizations to manage. Potential negative impacts to organizations from cybersecurity risks include higher costs, lower revenue, reputational damage, and the impairment of innovation. Cybersecurity risks also threaten individuals’ privacy and access to essential services and can result in life-or-death consequences. Risk appetite expressed at other levels of risk management gets translated into more specific CSRM risk tolerance, such that cyber risks can be more easily identified. サイバーセキュリティリスクは、すべての組織にとって管理すべき基本的なリスクである。サイバーセキュリティリスクが組織に及ぼす潜在的な悪影響には、コストの増加、収益の減少、評判の低下、イノベーションの阻害などがある。サイバーセキュリティリスクはまた、個人のプライバシーや必要不可欠なサービスへのアクセスを脅かし、生死にかかわる結果をもたらすこともある。リスクマネジメントの他のレベルで表明されたリスク選好度は、より具体的な CSRM のリスク許容度に変換されるため、サイバーリスクをより容易に特定することができる。
CSF 2.0 provides guidance for reducing cybersecurity risks by helping organizations discuss, organize, and address gaps in their cybersecurity program in a standard way. The cybersecurity outcomes described in CSF affect cybersecurity, ICT, and enterprise risks. Understanding these dependencies is an essential activity in CSRM, ICT RM, and ERM. The Cybersecurity Risk Register (CSRR) described in the NIST IR 8286 series of publications enables organizations to identify, manage, and monitor the relationships between discrete risks and aspects of a CSFbased cybersecurity program that address those risks. The CSRR allows organizations to identify, organize, analyze, and report on cybersecurity risks at the system level. CSF Organizational Profiles are a natural byproduct of a comprehensive CSRR, because the relative priority of CSF outcomes becomes apparent based on how significant the impacts of identified cybersecurity risks might be to the organization’s priorities, such as its strategic objectives, products and services, or customers. CSF 2.0 は、組織がサイバーセキュリティプログラムのギャップを標準的な方法で議論、整理、対処できるようにすることで、サイバーセキュリティリスクを低減するためのガイダンスを提供する。CSF に記述されているサイバーセキュリティの成果は、サイバーセキュリティ、ICT、エンタープライズリスクに影響する。これらの依存関係を理解することは、CSRM、ICT RM、ERM において不可欠な活動である。NIST IR 8286 シリーズに記載されているサイバーセキュリティ・リスク登録(CSRR)により、組織は、個別のリスクと、それらのリスクに対処する CSF に基づくサイバーセキュリティ・プログラムの側面との関係を特定、マネジメント、監視できるようになる。CSRR は、組織がシステム・レベルでサイバーセキュリティ・リスクを識別、整理、分析、報告することを可能にする。CSF 組織プロファイルは、包括的な CSRR の自然な副産物である。なぜなら、識別されたサイバーセキュリティ リスクの影響が、組織の戦略目標、製品・サービス、顧客などの組織の優先事項に対してどの程度重大であるかに基づいて、CSF の結果の相対的な優先順位が明らかになるからである。

 

 

・2024.10.21 NIST SP 1305 NIST Cybersecurity Framework 2.0: Quick-Start Guide for Cybersecurity Supply Chain Risk Management (C-SCRM)

NIST SP 1305 NIST Cybersecurity Framework 2.0: Quick-Start Guide for Cybersecurity Supply Chain Risk Management (C-SCRM) NIST SP 1305 NIST サイバーセキュリティフレームワーク 2.0: サイバーセキュリティサプライチェーンリスクマネジメント(C-SCRM)クイックスタートガイド
Abstract 概要
Use the CSF to Improve Your C-SCRM Processes. The CSF can help an organization become a smart acquirer and supplier of technology products and services. This guide focuses on two ways the CSF can help you: 1) Use the CSF’s GV.SC Category to establish and operate a C-SCRM capability. 2) Define and communicate supplier requirements using the CSF.  CSF を使用して C-SCRM プロセスを改善する。CSF は、組織がテクノロジー製品やサービスのスマートな取得者や供給者になるのに役立つ。本ガイドでは、CSFが役立つ2つの方法に焦点を当てる: 1) CSFのGV.SCカテゴリーを使用して、C-SCRM能力を確立し、運用する。2) CSF を用いてサプライヤーの要求事項を定義し、コミュニケーションする。

 

・[PDF] NIST.SP.1305

20241102-124015

 

C-SCRM Overview  C-SCRM の概要
All types of technology rely on a complex, globally distributed, extensive, and interconnected supply chain ecosystem. Cybersecurity Supply Chain Risk Management (C-SCRM) is a systematic process for managing exposure to cybersecurity risk throughout supply chains and developing appropriate response strategies, policies, processes, and procedures.  あらゆる種類の技術は、複雑で、グローバルに分散し、広範で、相互接続されたサプライチェーンエコシステムに依存している。サイバーセキュリティサプライチェーンリスクマネジメント(C-SCRM)は、サプライチェーン全体を通じてサイバーセキュリティリスクへのエクスポージャーをマネジメントし、適切な対応戦略、ポリシー、プロセス、および手順を策定するための体系的なプロセスである。
C-SCRM practitioners identify, assess, and mitigate cybersecurity risks throughout the supply chain at all levels of their organizations associated with information and communications technology (ICT) products and services. Potential risks include malicious functionality, counterfeit devices, or vulnerabilities derived from poor manufacturing and development practices within the supply chain.  C-SCRMの実務者は、ICT(情報通信技術)製品やサービスに関連する組織のあらゆるレベルにおいて、サプライチェーン全体のサイバーセキュリティリスクを特定し、アセスメントし、軽減する。潜在的なリスクには、悪意のある機能、偽造デバイス、あるいはサプライチェーン内の製造や開発の不適切な慣行に由来する脆弱性などが含まれる。
Effective C-SCRM requires stakeholders across the enterprise to actively collaborate, communicate, and take actions to secure favorable C-SCRM outcomes. 効果的なC-SCRMは、エンタープライズ全体の利害関係者が積極的に協力し、コミュニケーションを行い、C-SCRMの成果を確保するための行動をとることを必要とする。

 


 

SP 1299-1305まで...

SP 1299 NIST Cybersecurity Framework 2.0: Resource and Overview Guide  NIST サイバーセキュリティフレームワーク 2.0: リソースと概要ガイド
SP 1300 NIST Cybersecurity Framework 2.0: Small Business Quick-Start Guide NIST サイバーセキュリティフレームワーク 2.0: 中小企業向けクイックスタートガイド
SP 1301 NIST Cybersecurity Framework 2.0: Quick-Start Guide for Creating and Using Organizational Profiles NIST サイバーセキュリティフレームワーク 2.0: 組織プロファイルの作成と使用のためのクイックスタートガイド
SP 1302 NIST Cybersecurity Framework 2.0: Quick-Start Guide for Using the CSF Tiers NIST サイバーセキュリティフレームワーク 2.0: CSF の階層を使用するためのクイックスタートガイド
SP 1303 NIST Cybersecurity Framework 2.0: Enterprise Risk Management Quick-Start Guide NIST サイバーセキュリティフレームワーク 2.0: エンタープライズリスクマネジメント クイックスタートガイド
SP 1305 NIST Cybersecurity Framework 2.0: Quick-Start Guide for Cybersecurity Supply Chain Risk Management (C-SCRM) NIST サイバーセキュリティフレームワーク 2.0: サイバーセキュリティサプライチェーンリスクマネジメント(C-SCRM)のためのクイックスタートガイド

 

 


 

COSO

Enterprise Risk Management

・2017.06 [PDF] Enterprise Risk Management Integrating with Strategy and Performance - Executive Summary

20241102-113552


 


 

 

● まるちゃんの情報セキュリティ気まぐれ日記

ドラフト発表のとき...

・2024.03.07 米国 NSIT サイバーセキュリティ・フレームワーク(CSF)2.0 関連 SP 1299, 1300, 1301, 1302, 1303, 1305 (2024.02.26)

 

CSF 2.0

・2024.03.10 米国 NIST IR 8286C エンタープライズリスクマネジメントと政府監視のためのサイバーセキュリティリスクのステージング

・2024.02.28 米国 NIST CSWP 29 NISTサイバーセキュリティフレームワーク(CSF)2.0

 

SP 800-221

・2023.11.20 NIST SP 800-221 情報通信技術リスクのエンタープライズへの影響:エンタープライズリスクポートフォリオにおけるICTリスクプログラムのガバナンスとマネジメント, NIST SP 800-221A 情報通信技術(ICT)リスクの成果: ICTリスクマネジメントプログラムとエンタープライズリスクポートフォリオの統合

 

経済産業省経営ガイドライン

・2023.03.26 経済産業省 サイバーセキュリティ経営ガイドラインVer 3.0

 

ERM

・2020.02.06 COSO ERMガイダンス:価値の創造と保護

 

 

| | Comments (0)

米国NIST SP 800-233 クラウドネイティブ・アプリケーションのためのサービスメッシュ・プロキシモデル (2024.10.16)

こんにちは、丸山満彦です。

NISTが、SP 800-233 Service Mesh Proxy Models for Cloud-Native Applicationsを公表していますね...

今年の2024.07にドラフトが公開されていましたが、確定しましたね...

この考えは重要となりますね...勉強しなくては...

 

● NIST - ITL

・2024.10.16 NIST SP 800-233 Service Mesh Proxy Models for Cloud-Native Applications

NIST SP 800-233 Service Mesh Proxy Models for Cloud-Native Applications NIST SP 800-233 クラウドネイティブ・アプリケーションのためのサービスメッシュ・プロキシモデル
Abstract 概要
The service mesh has become the de-facto application services infrastructure for cloud-native applications. It enables the various runtime functions (network connectivity, access control etc.) of an application through proxies which thus form the data plane of the service mesh. Depending upon the distribution of the network layer functions (L4 & L7) and the granularity of association of the proxies to individual services/computing nodes, different proxy models or data plane architectures have emerged. The purpose of this document is to develop a threat profile for each of the data plane architectures through a detailed threat analysis in order to make recommendations for their applicability (usage) for cloud-native applications with different security risk profiles. サービス・メッシュは、クラウドネイティブ・アプリケーションのための事実上のアプリケーション・サービス・インフラとなっている。サービスメッシュは、サービスメッシュのデータプレーンを形成するプロキシを通じて、アプリケーションの様々なランタイム機能(ネットワーク接続、アクセス管理など)を実現する。ネットワークレイヤー機能(L4とL7)の配分と、個々のサービス/コンピューティングノードへのプロキシの関連付けの粒度に応じて、異なるプロキシモデルやデータプレーンアーキテクチャが出現している。この文書の目的は、詳細な脅威分析を通じて、それぞれのデータプレーンアーキテクチャの脅威プロ ファイルを作成し、異なるセキュリティリスクプロファイルを持つクラウドネイティブアプリケーショ ンに適用(使用)するための推奨を行うことである。

 

・[PDF] NIST.SP.800-233

20241102-14323

・[DOCX][PDF] 仮訳

 

 

Executive Summary  エグゼクティブサマリー
A centralized infrastructure called a service mesh can provide run-time services for cloud-native applications that consist of multiple loosely coupled components called microservices. These services include secure communication, service discovery, resiliency, and authorization of application communication. These services are mainly provided through proxies that form the data plane of the service mesh, which is the layer that handles application traffic at runtime and enforces policy.  サービスメッシュと呼ばれる集中型インフラは、マイクロサービスと呼ばれる複数の疎結合コンポーネントで構成されるクラウドネイティブアプリケーションのランタイムサービスを提供することができる。これらのサービスには、セキュアなコミュニケーション、サービス・ディスカバリ、レジリエンス、アプリケーション・コミュニケーションの認可などが含まれる。これらのサービスは、主にサービスメッシュのデータプレーンを形成するプロキシを通じて提供される。サービスメッシュは、実行時にアプリケーションのトラフィックを処理し、ポリシーを実施するレイヤである。
The functions that the proxies provide can be broadly categorized into two groups based on the Open Systems Interconnection (OSI) model’s network layer to which those functions pertain:  プロキシが提供する機能は、開放型システム間相互接続(OSI)モデルのネットワークレイヤーに基づき、2つのグループに大別できる: 
Layer 4 (“L4”) and Layer 7 (“L7”). In most service mesh deployments in production environments today, all proxy functions that provide services in both L4 and L7 layers are packed into a single proxy that is assigned to a single microservice. This service mesh proxy model is called a sidecar proxy model since the proxy is not only associated with a single service but is implemented to execute in the same network space as the service.  レイヤー4(「L4」)とレイヤー7(「L7」)である。今日の本番環境のほとんどのサービスメッシュ展開では、L4とL7の両レイ ヤーのサービスを提供するすべてのプロキシ機能は、単一のマイクロ サービスに割り当てられる単一のプロキシにパックされる。このサービスメッシュのプロキシモデルは、プロキシが一つのサービ スに関連付けられるだけでなく、サービスと同じネットワーク空間で実 行されるように実装されるので、サイドカープロキシモデルと呼ばれる。
However, performance and resource considerations have led to the exploration of alternate proxy models that involve splitting L4 and L7 functions into different proxies and the association or assignments of these proxies to either a single service or a group of services. This enables the proxies to be implemented at different locations at the granularity of a node rather than at the level of services. Though different models are theoretically possible, this document only considers service mesh proxy models in the data plane implementation of commonly used service mesh offerings at different stages.  しかしながら、機能とリソースの考慮により、L4とL7機能を異なるプロキシに 分割し、これらのプロキシを単一サービスまたはサービスグループのいずれかに 関連付けまたは割り当てることを含む、代替プロキシモデルの探究が始ま った。これによって、プロキシをサービスレベルではなく、ノードの粒度で異なる場所に実装することが可能になる。理論的には様々なモデルが可能であるが、このドキュメントでは、様々な 段階で一般的に使用されるサービスメッシュのデータプレーン実装におけ るサービスメッシュプロキシモデルについてのみ考察する。
Various potential or likely threats to proxy functions may result in different types of exploits in different proxy models. This variation is due to several factors, such as the attack surface (i.e., communication patterns to which a particular proxy is exposed), the number of clients (services) served, and the OSI layer functions that they provide (e.g., L7 functions are more complicated and likely to have more vulnerabilities than L4 functions). The two main contributions of this document are the following:  プロキシ機能に対する様々な潜在的またはありそうな脅威は、異なるプロ キシモデルにおいて異なるタイプの悪用をもたらすかもしれない。この変化は、攻撃表面(すなわち、特定のプロキシがさらされ るコミュニケーションパターン)、サービスを提供するクライアント(サービ ス)の数、およびそれらが提供するOSIレイヤーの機能(例えば、L7機能はL4機 能よりも複雑であり、より多くの脆弱性を持つ可能性が高い)などのい くつかの要因によるものである。このドキュメントの2つの主要な貢献は以下である: 
1. The nature of the exploits that are possible for each threat in each of the proxy models is characterized by assigning scores to the impact and likelihood of each of the threats in each of the proxy models or architectural patterns, resulting in a threat profile that is associated with each architectural pattern or proxy model of service mesh.  1. プロキシモデルまたはアーキテクチャパターンの各々において、各 脅威の影響度と可能性にスコアを割り当てることで、各プロキシ モデルにおいて各脅威に可能な悪用の性質を特徴付け、その結果、サービ スメッシュの各アーキテクチャパターンまたはプロキシモデルに 関連付けられた脅威プロファイルを作成する。
2. Each threat profile has an inherent set of security trade-offs at an architectural level. The implications of these trade-offs in meeting the requirements associated with the security risk profiles of different cloud-native applications are analyzed to make a broad set of recommendations toward specific architectural patterns that are appropriate for applications with different security risk profiles.   2. 各脅威プロファイルには、アーキテクチャレベルでのセキュリティトレードオフが内在している。さまざまなクラウドネイティブアプリケーションのセキュリ ティリスクプロファイルに関連する要件を満たす上で、これらの トレードオフがどのような意味を持つかを分析し、さまざまなセキュリティ リスクプロファイルを持つアプリケーションに適した、特定のアーキテ クチャパターンに関する幅広い推奨事項を提示する。 

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序文
1.1. L4 and L7 Functions of Proxies 1.1. プロキシのL4とL7の機能
1.2. Objective and Target Audience 1.2. 目的と対象読者
1.3. Relationship to Other NIST Documents 1.3. 他の NIST 文書との関係
1.4. Document Structure 1.4. 文書構造
2. Typical Service Mesh Data Plane Capabilities and Associated Proxy Functions 2. 典型的なサービスメッシュのデータプレーン機能と関連するプロキシ機能
3. Proxy Models (Data Plane Architectures) in Service Mesh Implementations 3. サービスメッシュ実装におけるプロキシモデル(データプレーンアーキテクチャ)
3.1. L4 and L7 Proxy per Service Instance (DPA-1) - Sidecar Model 3.1. サービスインスタンスごとの L4 および L7 プロキシ(DPA-1) - サイドカーモデル
3.2. Shared L4 - L7 per Service Model (DPA-2) 3.2. サービスごとの共有 L4 - L7 モデル(DPA-2)
3.3. Shared L4 and L7 Model (DPA-3) 3.3. 共有L4およびL7モデル(DPA-3)
3.4. L4 and L7 as Part of the Application Model (DPA-4) 3.4. アプリケーションモデルの一部としてのL4とL7(DPA-4)
4. Data Plane Architecture Threat Scenarios and Analysis Methodology 4. データプレーンアーキテクチャの脅威シナリオと分析手法
4.1. Threat Analysis Methodology 4.1. 脅威分析方法論
5. Detailed Threat Analysis for Data Plane Architectures 5. データプレーンアーキテクチャの詳細脅威分析
5.1. Threat Analysis for L4 and L7 Proxy per Service Instance (DPA-1) - Sidecar Model 5.1. サービスインスタンスごとの L4 および L7 プロキシに関する脅威分析(DPA-1) - サイドカーモデル
5.1.1. Compromised L4 Proxy (TR-1) 5.1.1. 侵害された L4 プロキシ(TR-1)
5.1.2. Compromised Application Container (TR-2) 5.1.2. 侵害されたアプリケーションコンテナ(TR-2)
5.1.3. Compromise of Business Data (TR-3) 5.1.3. 業務データの漏洩(TR-3)
5.1.4. Compromised L7 Proxy (TR-4) 5.1.4. 侵害された L7 プロキシ(TR-4)
5.1.5. Compromise of Shared L7 Proxy (TR-5) 5.1.5. 共有 L7 プロキシの侵害(TR-5)
5.1.6. Outdated Client Libraries in Applications (TR-6) 5.1.6. アプリケーションの古いクライアントライブラリ(TR-6)
5.1.7. Denial of Service (TR-7) 5.1.7. サービス拒否(TR-7)
5.1.8. Resource Consumption (TR-8) 5.1.8. リソース消費 (TR-8)
5.1.9. Privileged L4 Proxy (TR-9) 5.1.9. 特権 L4 プロキシ(TR-9)
5.1.10. Data Plane (Service Mesh) Bypassed (TR-10) 5.1.10. データプレーン(サービスメッシュ)のバイパス(TR-10)
5.1.11 Overall Threat Score 5.1.11 総合脅威スコア
5.2. Threat Analysis for Shared L4 - L7 per Service Model (DPA-2) 5.2. サービスモデル(DPA-2)ごとの共有 L4 - L7 の脅威分析
5.2.1. Compromised L4 Proxy (TR-1) 5.2.1. 侵害された L4 プロキシ(TR-1)
5.2.2. Compromised Application Container (TR-2) 5.2.2. 侵害されたアプリケーションコンテナ(TR-2)
5.2.3. Compromise of Business Data (TR-3) 5.2.3. 業務データの漏洩(TR-3)
5.2.4. Compromised L7 Proxy (TR-4) 5.2.4. 危殆化した L7 プロキシ(TR-4)
5.2.5. Compromise of Shared L7 Proxy (TR-5) 5.2.5. 共有 L7 プロキシの侵害(TR-5)
5.2.6. Outdated Client Libraries in Applications (TR-6) 5.2.6. アプリケーションの古いクライアントライブラリ (TR-6)
5.2.7. Denial of Service (TR-7) 5.2.7. サービス拒否(TR-7)
5.2.8. Resource Consumption (TR-8) 5.2.8. リソース消費(TR-8)
5.2.9. Privileged L4 Proxy (TR-9) 5.2.9. 特権 L4 プロキシ(TR-9)
5.2.10. Data Plane (Service Mesh) Bypassed (TR-10) 5.2.10. データプレーン(サービスメッシュ)のバイパス(TR-10)
5.2.11. Overall Threat Score 5.2.11. 総合脅威スコア
5.3. Threat Analysis for Shared L4 and L7 Model (DPA-3) 5.3. 共有 L4 及び L7 モデル(DPA-3)の脅威分析
5.3.1. Compromised L4 Proxy (TR-1) 5.3.1. 侵害された L4 プロキシ(TR-1)
5.3.2. Compromised Application Container (TR-2) - 5.3.2. 侵害されたアプリケーションコンテナ(TR-2) -
5.3.3. Compromise of Business Data (TR-3) 5.3.3. 業務データの漏洩(TR-3)
5.3.4. Compromised L7 Proxy (TR-4) 5.3.4. 侵害された L7 プロキシ(TR-4)
5.3.5. Compromise of Shared L7 Proxy (TR-5) 5.3.5. 共有 L7 プロキシの侵害(TR-5)
5.3.6. Outdated Client Libraries in Applications (TR-6) 5.3.6. アプリケーションの古いクライアントライブラリ (TR-6)
5.3.7. Denial of Service (TR-7) 5.3.7. サービス拒否(TR-7)
5.3.8. Resource Consumption (TR-8) 5.3.8. リソース消費 (TR-8)
5.3.9. Privileged L4 Proxy (TR-9) 5.3.9. 特権 L4 プロキシ(TR-9)
5.3.10. Data Plane (Service Mesh) Bypassed (TR-10) 5.3.10. データプレーン(サービスメッシュ)のバイパス(TR-10)
5.3.11. Overall Threat Score 5.3.11. 総合脅威スコア
5.4. Threat Analysis for L4 and L7 as Part of the Application Model (gRPC proxyless Model (DPA-4)) 5.4. アプリケーションモデル(gRPC プロキシレスモデル(DPA-4))の一部としての L4 及び L7 の脅威分析
5.4.1. Compromised L4 Proxy (TR-1) 5.4.1. 侵害された L4 プロキシ(TR-1)
5.4.2. Compromised Application Container (TR-2) 5.4.2. 危殆化したアプリケーションコンテナ(TR-2)
5.4.3. Compromise of Business Data (TR-3) 5.4.3. 業務データの漏洩(TR-3)
5.4.4. Compromised L7 Proxy (TR-4) 5.4.4. 危殆化した L7 プロキシ(TR-4)
5.4.5. Compromise of Shared L7 Proxy (TR-5) 5.4.5. 共有 L7 プロキシの侵害 (TR-5)
5.4.6. Outdated Client Libraries in Applications (TR-6) 5.4.6. アプリケーションの古いクライアントライブラリ (TR-6)
5.4.7. Denial of Service (TR-7) 5.4.7. サービス拒否(TR-7)
5.4.8. Resource Consumption (TR-8) 5.4.8. リソース消費 (TR-8)
5.4.9. Privileged L4 Proxy (TR-9) 5.4.9. 特権 L4 プロキシ(TR-9)
5.4.10. Data Plane (Service Mesh) Bypassed (TR-10) 5.4.10. データプレーン(サービスメッシュ)のバイパス(TR-10)
5.4.11. Overall Threat Score 5.4.11. 総合脅威スコア
6. Recommendations Based on the Application Security Risk Profile 6. アプリケーションセキュリティ・リスクプロファイルに基づく推奨事項
6.1 Cloud-Native Applications With Low Risk Profiles 6.1 低リスクプロファイルのクラウドネイティブ・アプリケーション
6.2 Cloud-Native Applications with Medium Risk Profiles 6.2 中リスクプロファイルのクラウドネイティブ・アプリケーション
6.3 Cloud-Native Applications With High Risk Profiles 6.3 高リスクプロファイルのクラウドネイティブ・アプリケーション
7. Summary and Conclusions 7. まとめと結論
References 参考文献

 

1_20241102075301

Figure 1 – L4 and L7 Proxy per Service Instance (Side Car Model) (DPA-1)

図1 - サービスインスタンスごとのL4およびL7プロキシ(サイドカーモデル)(DPA-1)

2_20241102075401

Figure 2 – Shared L4 - L7 per Service Model (DPA-2)

図2 - サービスごとの共有L4 - L7 モデル(DPA-2)

 

3_20241102075401

 

Figure 3 – Shared L4 - L7 Model (DPA-3)

図3 - 共有L4 - L7モデル(DPA-3)

 

 

1_20241102075201

Fig. 4. L4 and L7 as Part of the Application Model (gRPC proxyless Model) (DPA-4)

図4.アプリケーションモデル(gRPCプロキシレスモデル)の一部としてのL4とL7(DPA-4)

 

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.07.24 米国 NIST SP 800-233(初期公開ドラフト) クラウドネイティブアプリケーションのサービスメッシュプロキシモデル (2024.07.19)

 

 

| | Comments (0)

米国 ホワイトハウス:2024 年「重要インフラの安全保障とレジリエンス月間」に関する宣言

こんにちは、丸山満彦です。

U.S. White Houseが、2024 年「重要インフラの安全保障とレジリエンス月間」に関する宣言をだしていますね...

10月は「サイバーセキュリティ月間」、11月は「重要インフラの安全保障とレジリエンス月間」というわけですか...

 

U.S. White House

・2024.10.31 A Proclamation on Critical Infrastructure Security and Resilience Month, 2024

A Proclamation on Critical Infrastructure Security and Resilience Month, 2024 2024 年「重要インフラの安全保障とレジリエンス月間」に関する宣言
From the energy that powers our homes to the networks that connect us and the systems that protect our health and safety, our critical infrastructure keeps our economy thriving and our communities secure.  This Critical Infrastructure Security and Resilience Month, we recommit to strengthening our country’s critical infrastructure and building an America that is safe and secure for generations to come. 私たちの家庭に電力を供給するエネルギーから、私たちをつなぐネットワーク、私たちの健康と安全を守るシステムに至るまで、重要インフラは私たちの経済を繁栄させ、地域社会の安全を維持している。 この「重要インフラの安全保障とレジリエンス月間」にあたり、我々は、我が国の重要インフラを強化し、今後何世代にもわたって安全で安心な米国を築くことを決意する。
     This year, I signed a National Security Memorandum to secure and enhance the resilience of United States critical infrastructure — updating the policy for the first time in a decade.  This represents the launch of a new era in protecting our infrastructure against all threats and hazards by safeguarding our strong and innovative economy and enhancing our collective resilience to disasters before they happen.  But there is more to do.  Climate change is making natural disasters more frequent, ferocious, and costly — endangering our supply chains, creating more instability for our communities, and straining the critical infrastructure Americans depend on for their livelihoods.  And we need to stay vigilant against adversaries that seek to maliciously target our critical infrastructure, including through cyberattacks.   今年、私は米国の重要インフラを保護し、レジリエンスを強化するための国家安全保障覚書に署名した。 これは、強固で革新的な経済を守り、災害が起こる前にそのレジリエンスを強化することで、あらゆる脅威や危険からインフラを守る新時代の幕開けを象徴するものである。 しかし、やるべきことはまだある。 気候変動は、自然災害の頻度、激しさ、そしてコストを高めており、サプライチェーンを危険にさらし、地域社会に不安定さをもたらし、アメリカ人が生活のために依存している重要なインフラに負担をかけている。 また、サイバー攻撃を含め、我々の重要インフラを悪意を持って標的にしようとする敵対者に対しても、警戒を怠らない必要がある。 
     To meet this moment, my Administration made a once-in-a-generation investment in our Nation’s infrastructure — creating an opportunity to build in resilience to all hazards upfront and by design.  Through my American Rescue Plan, Bipartisan Infrastructure Law, Inflation Reduction Act, and CHIPS and Science Act, we are investing billions of dollars to secure and bolster our infrastructure.  That includes improving our electric grid so that people can maintain power in any situation, elevating roads and bridges over possible flood zones, funding community resilience programs, and more.  These investments have not only helped to protect Americans — they have benefited our economy, creating jobs and new possibilities for our communities.  At the NATO summit this year, I announced an arrangement with Canada and Finland to collaborate on the production of polar icebreakers.  The partnership will advance United States economic and national security interests by strengthening our shipbuilding and industrial capacity while simultaneously opening up new trade routes and pushing back against foreign aggression and bolstering our international alliances.  This year, I also announced a United States Port Security Initiative to reverse our dependence on foreign manufactured port equipment. この瞬間に対応するため、私の政権は、国のインフラに対する一世代に一度の投資を行った。つまり、あらゆる危険に対するレジリエンスを、前もって、そして設計的に構築する機会を設けたのである。 私の「アメリカン・レスキュー・プラン」、「超党派インフラ法」、「インフレ削減法」、「CHIPSと科学法」を通じて、私たちはインフラの安全確保と強化のために数十億ドルを投資している。 これには、人々がどのような状況下でも電力を維持できるようにするための電力網の改善、洪水が発生する可能性のある地域の道路や橋の高架化、地域社会のレジリエンス・プログラムへの資金提供などが含まれる。 このような投資は、米国人の保護に役立っているだけでなく、地域社会に雇用と新たな可能性を創出し、経済に利益をもたらしている。 今年のNATOサミットで、私はカナダとフィンランドとの極地砕氷船製造に関する提携を発表した。 このパートナーシップは、米国の造船および産業能力を強化すると同時に、新たな貿易ルートを開拓し、外国の侵略を阻止し、国際的な同盟関係を強化することにより、米国の経済的および国家安全保障上の利益を促進するものである。 また今年、私は米国港湾安全保障構想を発表し、外国製の港湾設備への依存を改めることを表明した。
     Ensuring our Nation is resilient in the face of threats also means working with other nations around the globe to build better, stronger, and more sustainable infrastructure.  At the G7 Summit in June, I was proud to announce the historic progress we have made with our Partnership for Global Infrastructure and Investment.  This initiative will strengthen United States national and economic security for Americans at home and enable sustainable economic growth for partner countries.  To date, we have mobilized $60 billion to create high-quality global infrastructure.  That comes on top of our work with the European Union and African heads of state to develop the Lobito Corridor as well as our work with the Democratic Republic of the Congo and Zambia to expand regional and global trade markets through the Port of Lobito in Angola.  We continue to pursue opportunities to expand our investments across Africa and around the world, including the Indo-Pacific, Central Asia, the Middle East, and the Western Hemisphere.  Investments like these create more shared opportunities, prosperity, and security for everyone. 我が国が脅威に直面してレジリエンスを確保することは、より良く、より強く、より持続可能なインフラを構築するために、世界各国と協力することも意味する。 6月のG7サミットで、私は、世界インフラ投資パートナーシップの歴史的な進展を発表できたことを誇りに思う。 このイニシアチブは、米国内では米国の国家および経済的安全保障を強化し、パートナー諸国では持続可能な経済成長を可能にするものである。 現在までに、我々は質の高いグローバル・インフラを構築するために600億ドルを動員した。 これは、ロビト回廊を開発するための欧州連合(EU)およびアフリカ諸国首脳との協力や、アンゴラのロビト港を通じて地域および世界貿易市場を拡大するためのコンゴ民主共和国およびザンビアとの協力の上に成り立っている。 私たちは、アフリカ全土、そしてインド太平洋、中央アジア、中東、西半球を含む世界中で、投資を拡大する機会を追求し続けている。 このような投資は、すべての人々により多くの機会、繁栄、そして安全保障をもたらす。
     Across the Nation, America is writing the greatest comeback story we have ever known — people are putting shovels in the ground, founding new businesses, and creating hope for entire communities.  It is more important now than ever before that we remain vigilant against any threats that seek to undermine our collective security and prosperity.  人々はシャベルを地面に打ち込み、新しいビジネスを立ち上げ、地域社会全体に希望を生み出している。 我々の集団的な安全保障と繁栄を損なおうとするいかなる脅威に対しても警戒を怠らないことは、かつてないほど重要である。
     During Critical Infrastructure Security and Resilience Month, we recommit to safeguarding and strengthening our Nation’s critical infrastructure to save lives and allow our Nation to continue doing what it does best:  creating new possibilities. 重要インフラの安全保障とレジリエンス月間において、我々は、人命を守り、国家が最も得意とすること、すなわち新たな可能性の創造を継続できるよう、国家の重要インフラを守り、強化することを決意する。
     NOW, THEREFORE, I, JOSEPH R. BIDEN JR., President of the United States of America, by virtue of the authority vested in me by the Constitution and the laws of the United States, do hereby proclaim November 2024 as Critical Infrastructure Security and Resilience Month.  I call upon the people of the United States to recognize the importance of protecting our Nation’s infrastructure and to observe this month with appropriate measures to enhance our national security and resilience. よって、私、米国大統領JOSEPH R. BIDEN JR.は、憲法および米国法によって私に与えられた認可により、2024年11月を「重要インフラの安全保障とレジリエンス月間」と宣言する。 私は米国国民に対し、国家のインフラを保護することの重要性を認識し、国家の安全保障とレジリエンスを強化するための適切な措置を講じて、この月間を遵守するよう呼びかける。
     IN WITNESS WHEREOF, I have hereunto set my hand this thirty-first day of October, in the year of our Lord two thousand twenty-four, and of the Independence of the United States of America the two hundred and forty-ninth. その証として、私は、われわれの主2024年、および米国独立249年の10月31日、ここに署名する。
JOSEPH R. BIDEN JR ジョセフ・R・ビデン・ジュニア

 

Fig1_20210802074601

 

 

 

| | Comments (0)

米国 ホワイトハウス:ファクトシート AI大統領令から1年間の主な成果

こんにちは、丸山満彦です。

2023.10.31に「大統領令14110 人工知能の安全、安心、信頼できる開発と利用に関する大統領令」が公表されて、1年。その成果についての発表ですかね...

 

U.S. White House

・2024.10.30 Fact Sheet: Key AI Accomplishments in the Year Since the Biden-Harris Administration’s Landmark Executive Order

 

Fact Sheet: Key AI Accomplishments in the Year Since the Biden-⁠Harris Administration’s Landmark Executive Order ファクトシート バイデン-ハリス政権の画期的な大統領令から1年間の主なAIの成果
One year ago, President Biden issued a landmark Executive Order to ensure that America leads the way in seizing the promise and managing the risks of artificial intelligence (AI). The Executive Order directed sweeping actions to manage AI’s safety and security risks, protect Americans’ privacy, advance equity and civil rights, stand up for consumers and workers, promote innovation and competition, advance American leadership around the world, and more. 1年前、バイデン大統領は、人工知能(AI)の有望性を捉え、リスクをマネジメントする上で、米国が主導権を握ることを確実にするための画期的な大統領令を発表した。大統領令は、AIの安全・セキュリティリスクの管理、アメリカ人のプライバシーの保護、平等と公民権の推進、消費者と労働者の支援、イノベーションと競争の促進、世界におけるアメリカのリーダーシップの推進など、広範囲に及ぶ行動を指示した。
Today, the Biden-Harris Administration is announcing that Federal agencies have completed on schedule each action that the Executive Order tasked for this past year—more than one hundred in all. Below are some of the Administration’s most significant accomplishments on managing AI’s risks and seizing its promise in the year since President Biden signed his Executive Order. 本日、バイデン-ハリス政権は、連邦政府機関が大統領令がこの1年間に課した各行動を予定通り完了したことを発表した。以下は、バイデン大統領が大統領令に署名してからの1年間で、AIのリスクマネジメントとその将来性の実現に関する、同政権の最も重要な成果の一部である。
Managing Risks to Safety and Security: 安全とセキュリティへのリスクマネジメント:
The Executive Order directed the boldest actions ever taken to protect Americans from a broad range of AI’s safety and security risks, including risks related to dangerous biological materials, software vulnerabilities, and foreign actors’ efforts to develop AI for harmful purposes. Over the last year, to protect safety and security, agencies have: 大統領令は、危険な生物物質に関するリスク、ソフトウェアの脆弱性、有害な目的でAIを開発しようとする外国人による取り組みなど、AIの広範な安全・セキュリティリスクから米国人を守るため、これまでで最も大胆な行動を指示した。昨年1年間で、安全・安心を守るために、各省庁は以下のことを行った:
Used Defense Production Act authorities to require developers of the most powerful AI systems to report vital information, including results of safety and security testing, to the U.S. government. These companies have notified the Department of Commerce about the results of their red-team safety tests, their plans to train powerful models, and large computing clusters they possess capable of such training. Last month, the Department of Commerce proposed a rule to require the reporting of this information on a quarterly basis. 国防生産法の認可を活用し、最も強力なAIシステムの開発企業に対し、安全・セキュリティテストの結果を含む重要な情報を米国政府に報告するよう求めた。これらの企業は、レッドチームによる安全性テストの結果、強力なモデルを訓練する計画、そのような訓練が可能な大規模なコンピューティングクラスターを保有していることを商務省に通知している。先月、商務省は四半期ごとにこの情報の報告を義務付ける規則を提案した。
Led the way on AI safety testing and evaluations to advance the science of AI safety. The U.S. AI Safety Institute (US AISI) at the Department of Commerce has begun pre-deployment testing of major new AI models through recently signed agreements with two leading AI developers. The Department of Energy (DOE) developed and expanded its AI testbeds and evaluation tools, which it has already used to test models’ risk to nuclear security. ・AIの安全性試験と評価を主導し、AIの安全性科学を発展させる。商務省の米国AI安全研究所(US AISI)は、2つの大手AI開発企業と最近締結した協定を通じて、主要な新しいAIモデルの事前展開テストを開始した。エネルギー省(DOE)は、AIテストベッドと評価ツールを開発・拡張し、すでに核セキュリティに対するモデルのリスクテストに使用している。
Developed guidance and tools for managing AI risk. The US AISI and the National Institute of Standards and Technology (NIST) at the Department of Commerce published frameworks for managing risks related to generative AI and dual-use foundation models, and earlier this month, AISI released a Request for Information on the responsible development and use of AI models for chemical and biological sciences. The Department of Defense (DoD) released its Responsible AI toolkit to align AI projects with the Department’s Ethical Principles. AIのリスクマネジメントのためのガイダンスとツールを開発した。米国AISIと商務省の国立標準技術研究所(NIST)は、生成的AIとデュアルユース基盤モデルに関連するリスクを管理するためのフレームワークを発表し、今月初めには、AISIが化学・生物科学向けAIモデルの責任ある開発と使用に関する情報技術の使用要請を発表した。国防総省は、AIプロジェクトを国防総省の倫理原則に合致させるための「責任あるAIツールキット」を発表した。
Issued a first-ever National Security Memorandum (NSM) on AI. The NSM directs concrete steps by Federal agencies to ensure the United States leads the world’s development of safe, secure, and trustworthy AI; to enable agencies to harness cutting-edge AI for national security objectives, including by protecting human rights and democratic values; and to advance international consensus and governance on AI. This essential document serves as a formal charter for the AI Safety Institute, designating it as the center of the whole-of-government approach to advanced AI model testing, and will guide rapid and responsible AI adoption by the DoD and Intelligence Community. The NSM also directs the creation of a Framework to Advance AI Governance and Risk Management in National Security, which provides agile guidance to implement the NSM in accordance with democratic values, including mechanisms for risk management, evaluations, accountability, and transparency AIに関する初の国家安全保障覚書(NSM)を発表した。NSMは、米国が安全、安心、信頼できるAIの開発を主導し、人権と民主的価値の保護を含む国家安全保障の目的のために最先端AIを活用できるようにし、AIに関する国際的なコンセンサスとガバナンスを促進するために、国家安全保障局による具体的な措置を指示するものである。この重要な文書は、AI安全機構の正式な憲章として機能し、先進的なAIモデルテストへの政府全体のアプローチの中心として指定され、国防総省とインテリジェンス・コミュニティによる迅速かつ責任あるAIの採用を導くことになる。NSMはまた、国家安全保障におけるAIのガバナンスとリスクマネジメントを推進するためのフレームワークの作成を指示しており、リスクマネジメント、評価、説明責任、透明性のメカニズムなど、民主主義の価値観に従ってNSMを実施するための機敏なガイダンスを提供している。
Finalized a framework for nucleic acid synthesis screening to help prevent the misuse of AI for engineering dangerous biological materials. The framework, developed by the Office of Science and Technology Policy (OSTP), encourages nucleic acid synthesis providers to identify gene sequences that could be used to pose national security risks, and to implement customer screening to mitigate the risks of misuse. Federal agencies will require that funding recipients obtain synthetic nucleic acids from vendors that adhere to the framework, starting in 2025. The Department of Homeland Security (DHS) has developed an initial framework with principles for evaluating the effectiveness of screening mechanisms going forward. 核酸合成スクリーニングの枠組みを最終決定し、危険な生物学的物質を工学的に合成するためのAIの悪用を防ぐのに役立てる。米国科学技術政策局(OSTP)が策定したこの枠組みは、核酸合成プロバイダに対し、国家安全保障上のリスクをもたらす可能性のある遺伝子配列を特定し、誤用のリスクを軽減するための顧客スクリーニングを実施するよう促すものである。連邦政府機関は2025年から、資金取得者に対して、この枠組みを遵守する業者から合成核酸を取得することを義務付ける。国土安全保障省(DHS)は、今後のスクリーニングメカニズムの有効性を評価するための原則を盛り込んだ初期フレームワークを策定した。
Launched a new Task Force on AI Datacenter Infrastructure. The Task Force provides streamlined coordination on policies to advance datacenter development operations in line with economic, national security, and environmental goals. AIデータセンター・インフラに関する新しいタスクフォースを立ち上げた。このタスクフォースは、経済的、国家安全保障的、環境的目標に沿ったデータセンター開発事業を推進するための政策について、合理的な調整を提供する。
Identified measures—including approaches for labeling content and improving transparency—to reduce the risks posed by AI-generated content. The Department of Commerce submitted to the White House a final report on science-backed standards and techniques for addressing these risks, while NIST has launched a challenge to develop methods for detecting AI-generated content. President Biden has emphasized that the public has a right to know when content is AI-generated, and agencies are working to use these tools to help Americans to know that communications they receive from their government are authentic. AI生成的コンテンツがもたらすリスクを軽減するため、コンテンツへのラベリングや透明性向上のアプローチを含む対策を特定した。商務省は、これらのリスクに対処するための科学的裏付けのある標準と技術に関する最終報告書をホワイトハウスに提出し、NISTはAI生成的コンテンツの検出方法を開発するための挑戦を開始した。バイデン大統領は、国民はコンテンツがAIによって生成されたものであることを知る権利があると強調しており、政府機関はこれらのツールを使って、アメリカ人が政府から受け取るコミュニケーションが本物であることを知ることができるよう取り組んでいる。
Combatted AI-generated image-based sexual abuse. Image-based sexual abuse—both non-consensual intimate images of adults and child sexual abuse material—is one of the fastest growing harmful uses of AI to date and disproportionately targets women, children, and LGBTQI+ people. This year, following the Vice President’s leadership in underscoring the urgent need to address deepfake image-based sexual abuse and a White House Call to Action to reduce these risks, leading AI developers and data providers made voluntary commitments to curb the creation of AI-generated image-based sexual abuse material. Additionally, the Department of Justice (DOJ) funded the first-ever helpline to provide 24/7 support and specialized services for victims of the non-consensual distribution of intimate images, including deepfakes. The Department of Education also clarified that school responsibilities under Title IX may extend to conduct that takes place online, including AI-generated abuse. AIが生成的な画像ベースの性的虐待に対抗した。画像に基づく性的虐待は、成人の同意のない親密な画像や児童の性的虐待の素材であり、これまで最も急速に増加しているAIの有害な利用のひとつであり、女性、子ども、LGBTQI+の人々を不当に標的としている。今年、ディープフェイク画像に基づく性的虐待に対処する緊急の必要性を強調した副大統領のリーダーシップと、こうしたリスクを軽減するためのホワイトハウスによる行動呼びかけを受けて、主要なAI開発者とデータプロバイダーは、AIが生成的な画像に基づく性的虐待資料の作成を抑制する自発的な約束をした。さらに司法省(DOJ)は、ディープフェイクを含む親密な画像の非合意配信の被害者に24時間365日のサポートと専門サービスを提供する初のヘルプラインに資金を提供した。教育省はまた、タイトルIXに基づく学校の責任が、AI生成的虐待を含むオンラインで行われる行為にも及ぶ可能性があることを明確にした。
Established the AI Safety and Security Board (AISSB) to advise the Secretary of Homeland Security on the safe and secure use of AI in critical infrastructure. The AISSB has met thrice this year to develop a set of recommendations for entities that develop, deploy, and promote accountability for AI systems that assist in delivering essential services to millions of Americans. The work of the AISSB complements DHS’s first-ever AI safety and security guidelines for critical infrastructure owners and operators, which were informed by agencies’ assessments of AI risks across all critical infrastructure sectors. To help protect critical infrastructure further, the Department of Treasury released a report on managing security risks of AI use in the financial sector, and the Department of Energy released an assessment of potential risks to the power grid, as well as ways in which AI could potentially strengthen grid resilience and our ability to respond to threats. AI安全・セキュリティボード(AISSB)を設立し、重要インフラにおけるAIの安全かつ確実な利用について国土安全保障長官に助言する。AISSBは今年3回会合を開き、何百万人ものアメリカ人に必要不可欠なサービスを提供するAIシステムの開発、展開、説明責任を推進する事業体に対する一連の勧告を策定した。AISSBの活動は、DHSが重要インフラの所有者および運営者向けに初めて策定したAIの安全・セキュリティガイドラインを補完するもので、これは、すべての重要インフラ部門にわたるAIのリスクに関する各省庁のアセスメントに基づくものである。重要インフラをさらに保護するため、財務省は金融セクターにおけるAI利用のセキュリティリスクマネジメントに関する報告書を発表し、エネルギー省は送電網に対する潜在的リスクと、AIが送電網のレジリエンスと脅威への対応能力を強化する可能性のある方法についてのアセスメントを発表した。
Piloted AI for protecting vital government software systems. The Department of Defense and DHS conducted AI pilots to address vulnerabilities in government networks used, respectively, for national security purposes and for civilian governmental organizations. 政府の重要なソフトウェアシステムを保護するためのAIを試験的に導入した。国防総省と国土安全保障省は、それぞれ国家安全保障と民間政府組織で使用される政府ネットワークの脆弱性に対処するため、AIの試験運用を実施した。
Standing up for Workers, Consumers, Privacy, and Civil Rights 労働者、消費者、プライバシー、市民の権利のために立ち上がる
AI is changing the products and services Americans buy, affecting jobs and workplaces, and introducing or exacerbating risks to privacy, equity, and civil rights. President Biden’s Executive Order stands up for Americans in each of these domains, and over the last year, agencies have: AIは、アメリカ人が購入する製品やサービスを変え、仕事や職場に影響を与え、プライバシー、公平性、市民の権利に対するリスクを導入または悪化させている。バイデン大統領の大統領令は、これらの各領域においてアメリカ人を支援するものであり、昨年、各省庁は次のような取り組みを行った:
Developed bedrock principles and practices, along with guidance, to help protect and empower workers as AI is built for and used in the workplace. The Department of Labor (DOL) released AI Principles and Best Practices for employers and developers to build and use AI in ways that center the wellbeing of workers and improve the quality of jobs. DOL also published two guidance documents to assist federal contractors and employers in complying with worker protection laws as they deploy AI in the workplace. In addition, the Equal Employment Opportunity Commission released resources for job seekers and workers to understand how AI use could violate employment discrimination laws. AIが構築され、職場で使用される際に、労働者を保護し、権限を与えるためのガイダンスとともに、基盤となる原則と慣行を策定した。労働省(DOL)は、雇用者と開発者が労働者の福利を重視し、雇用の質を改善する方法でAIを構築・使用するための「AI原則とベストプラクティス」を発表した。DOLはまた、連邦政府の請負業者や雇用主が職場でAIを展開する際に労働者保護法を遵守することを支援するための2つのガイダンス文書も発表した。さらに、雇用機会均等委員会は、求職者や労働者向けに、AIの使用が雇用差別法に抵触する可能性があることを理解するための資料を発表した。
Protected patients’ rights and safety, while encouraging innovation, as AI is developed and deployed for healthcare. The Department of Health and Human Services (HHS) established an AI Safety Program to track harmful incidents involving AI’s use in healthcare settings and to evaluate mitigations for those harms. HHS has also developed objectives, goals, and high-level principles for the use of AI or AI-enabled tools in drug development processes and AI-enabled devices. Additionally, HHS finalized a rule that established first-of-its-kind transparency requirements for AI and other predictive algorithms that are part of certified health information technology. HHS also finalized a civil rights regulation, implementing Section 1557 of the Affordable Care Act, that requires covered health care entities to take steps to identify and mitigate discrimination when they use AI and other forms of decision support tools for care. AIが医療用に開発・展開される際、イノベーションを奨励しつつ、患者の権利と安全を防御した。保健社会福祉省(HHS)は、医療現場におけるAIの使用に関わる有害なインシデントを追跡し、それらの有害性に対する低減を評価するために、AI安全プログラムを設立した。HHSはまた、医薬品開発プロセスやAI対応機器におけるAIやAI対応ツールの使用に関する目的、目標、ハイレベル原則を策定した。さらにHHSは、認証された医療情報技術の一部であるAIやその他の予測アルゴリズムについて、これまでにない透明性要件を定めた規則を確定した。HHSはまた、医療費負担適正化法(Affordable Care Act)第1557条を実施する公民権規則を確定し、対象となる医療事業体に対し、AIやその他の形態の意思決定支援ツールを治療に使用する際に、差別を特定し緩和するための措置を講じることを義務付けた。
Published guidance and resources for the safe, secure, and trustworthy design and use of AI in education. In July, the Department of Education released guidance calling up on educational technology developers to design AI in ways that protect rights, improve transparency, and center teaching and learning. This month, the Department of Education released a toolkit to support schools and educational leaders in responsibly adopting valuable AI use cases. 教育におけるAIの安全、安心、信頼できる設計と利用のためのガイダンスとリソースを発表した。7月、教育省は教育技術開発者に対し、権利を保護し、透明性を改善し、教育と学習の中心となるような方法でAIを設計するよう呼びかけるガイダンスを発表した。今月、教育省は、学校や教育指導者が価値あるAIのユースケースを責任を持って採用することを支援するツールキットを発表した。
Issued guidance on AI’s nondiscriminatory use in the housing sector, which affirms that existing prohibitions against discrimination apply to AI’s use for tenant screening and housing advertisements, while explaining how to comply with these obligations. Additionally, the Consumer Financial Protection Bureau approved a rule requiring that algorithms and AI used for home valuations are fair, nondiscriminatory, and free of conflicts of interest. 住宅分野でのAIの無差別的使用に関するガイダンスを発表し、入居審査や住宅広告へのAIの使用に既存の差別禁止が適用されることを確認するとともに、これらの義務を遵守する方法を説明した。さらに、消費者金融保護局は、住宅評価に使用されるアルゴリズムやAIが公正で差別がなく、利益相反がないことを義務付ける規則を承認した。
Set guardrails on the responsible and equitable use of AI and algorithmic systems in administering public benefits programs. The Department of Agriculture’s guidance provides a framework for how State, local, Tribal, and territorial governments should manage risks for uses of AI and automated systems in critical benefits programs such as SNAP, while HHS released a plan with guidelines on similar topics for benefits programs it oversees. 公的給付プログラムの管理における、AIとアルゴリズム・システムの責任ある公平な使用に関するガードレールを設定する。農務省のガイダンスは、SNAPのような重要な給付プログラムにおいて、州、地方、部族、および準州政府がAIや自動化システムを使用する際のリスクマネジメントをどのように行うべきかの枠組みを提供するものであり、HHSは、自らが監督する給付プログラムに関する同様のトピックに関するガイドラインを含む計画を発表した。
Affirmed commitments to prevent and address unlawful discrimination and other harms resulting from AI. DOJ’s Civil Rights Division convenes federal agency civil rights offices and senior government officials to foster AI and civil rights coordination. Five new agencies also joined a 2023 pledge to uphold America’s commitment to fairness, equality, and justice as new technologies like AI become more common in daily life. AIに起因する不法な差別やその他の被害を防止し、対処するためのコミットメントを確認した。司法省公民権課は、連邦政府機関の公民権事務所と政府高官を招集し、AIと公民権の協調を促進している。また、AIのような新技術が日常生活でより一般的になるにつれて、公正、平等、正義に対するアメリカのコミットメントを支持するという2023年の誓約に、新たに5つの機関が加わった。
Advanced privacy protections to safeguard Americans from privacy risks that AI creates or exacerbates. In particular, the National Science Foundation (NSF) and DOE established a research network dedicated to advancing the development, deployment, and scaling of privacy-enhancing technologies (PETs), while NSF launched the $23 million initiative Privacy-preserving Data Sharing in Practice program to apply, mature, and scale PETs for specific use cases and establish testbeds to accelerate their adoption. Simultaneously, DOE launched a $68 million effort on AI for Science research, which includes efforts at multiple DOE National Laboratories and other institutions to advance PETs for scientific AI. The Department of Commerce also developed guidelines on evaluating differential privacy guarantees. The Office of Management and Budget (OMB) released a Request for Information (RFI) on issues related to federal agency collection, processing, maintenance, use, sharing, dissemination, and disposition of commercially available information containing personally identifiable information. OMB also released an RFI on how federal agencies’ privacy impact assessments may be more effective at mitigating privacy risks, including those that are further exacerbated by AI and other advances in technology and data capabilities. AIが生み出す、あるいは悪化させるプライバシーリスクからアメリカ人を守るために、プライバシー防御を高度化する。特に、全米科学財団(NSF)とDOEは、プライバシー強化技術(PETs)の開発・展開・拡張を進めることに特化した研究ネットワークを設立した。NSFは、特定のユースケースにPETsを適用・成熟・拡張し、その採用を加速するためのテストベッドを確立するために、2,300万ドルのイニシアチブ「Privacy-preserving Data Sharing in Practice」プログラムを立ち上げた。同時に、DOE は科学AI 研究のためのAI に関する6,800万ドルの取り組みを開始した。この取り組みには、科学AI のためのPET を推進するための複数のDOE 国立研究所やその他の機構での取り組みが含まれる。商務省もまた、差分プライバシー保証の評価に関するガイドラインを策定した。行政管理予算局(OMB)は、連邦政府機関による個人を特定できる情報を含む商業利用可能な情報の収集、処理、保守、利用、共有、普及、処分に関する問題に関する情報提供要請(RFI)を発表した。OMBはまた、連邦政府機関のプライバシー影響アセスメントが、AIやその他の技術・データ機能の進歩によってさらに悪化するものも含め、プライバシーリスクを軽減するためにどのように効果的であるかについてのRFIも発表した。
Harnessing AI for Good AIの有益な活用
Over the last year, agencies have worked to seize AI’s enormous promise, including by collaborating with the private sector, promoting development and use of valuable AI use cases, and deepening the U.S. lead in AI innovation. To harness AI for good, agencies have: 昨年、各省庁は、民間セクターとの協力、価値あるAIユースケースの開発と利用の促進、AIイノベーションにおける米国のリードの深化など、AIの大きな可能性をつかむために取り組んできた。AIを有益に活用するため、各省庁は以下を実施している:
Launched the National AI Research Resource (NAIRR) pilot and awarded over 150 research teams access to computational and other AI resources. The NAIRR pilot—a national infrastructure led by the National Science Foundation (NSF) in partnership with DOE and other governmental and nongovernmental partners—makes available resources to support the nation’s AI research and education community. Supported research teams span 34 states and tackle projects covering deepfake detection, AI safety, next-generation medical diagnoses, environmental protection, and materials engineering. 全米AI研究リソース(NAIRR)試験運用を開始し、150以上の研究チームに計算機やその他のAIリソースへのアクセスを提供した。NAIRRは、全米科学財団(NSF)が主導し、DOEやその他の政府・非政府機関と連携した国家インフラであり、全米のAI研究・教育コミュニティを支援するためのリソースを提供している。支援された研究チームは34の州にまたがり、ディープフェイク検出、AI安全性、次世代医療診断、環境保護、材料工学をカバーするプロジェクトに取り組んでいる。
Promoted AI education and training across the United States. DOE is leveraging its network of national laboratories to train 500 new researchers by 2025 to meet demand for AI talent, while NSF has invested millions of dollars in programs to train future AI leaders and innovators. These programs include the EducateAI initiative, which helps fund educators creating high-quality, inclusive AI educational opportunities at the K-12 through undergraduate levels that support experiential learning in fields such as AI and build capacity in AI research at minority-serving institutions. 米国全土でAIの教育と訓練を促進した。DOEは国立研究所のネットワークを活用し、AIの人材需要に対応するため、2025年までに新たに500人の研究者を育成しようとしており、NSFは将来のAIリーダーやイノベーターを育成するプログラムに数百万ドルを投資している。これらのプログラムにはEducateAIイニシアチブが含まれ、幼稚園から高校、大学レベルにおいて、AIなどの分野での体験学習を支援し、少数派の教育機関におけるAI研究の能力を構築する、質の高い包括的なAI教育の機会を創出する教育者を支援している。
Expanded the ability of top AI scientists, engineers, and entrepreneurs to come to the United States, including by clarifying O-1 and H-1B visa rules and working to streamline visa processing. ・O-1ビザやH-1Bビザの規則を明確化し、ビザ手続きの合理化に取り組むなど、一流のAI科学者、エンジニア、起業家が米国に来る能力を拡大した
Released a report on the potential benefits, risks, and implications of dual-use foundation models for which the model weights are widely available, including related policy recommendations. The Department of Commerce’s report draws on extensive outreach to experts and stakeholders, including hundreds of public comments submitted on this topic. モデルの重みが広く利用可能なデュアルユース基盤モデルの潜在的なメリット、リスク、意味合いに関する報告書を発表し、関連する政策提言を含む。商務省の報告書は、このテーマに関して提出された何百ものパブリックコメントを含む、専門家や利害関係者への広範な働きかけに基づいている。
Announced a competition for up to $100 million to support the application of AI-enabled autonomous experimentation to accelerate research into—and delivery of—targeted, industry-relevant, sustainable semiconductor materials and processes. AIを活用した自律的実験の応用を支援するため、1億ドルを上限とするコンペティションを発表し、ターゲットとする、産業界に関連する持続可能な半導体材料・プロセスの研究とその提供を加速する。
Established two new National AI Research Institutes for building AI tools to advance progress across economic sectors, science, and engineering. The NSF-led AI Research Institutes launched in September will develop AI tools for astronomical sciences, with broader applications across scientific disciplines. Earlier this year, NSF also funded 10 inaugural Regional Innovation Engines (NSF Engines), seven of which include a focus on advancing AI. 経済分野、科学、工学の進歩を促進するAIツールを構築するため、新たに2つの国立AI研究機構を設立した。9月に発足したNSF主導のAI研究機構は、天文科学用のAIツールを開発し、科学分野全体への幅広い応用を目指す。また今年初め、NSFは10の地域イノベーション・エンジン(NSF Engines)に資金を提供した。
Announced millions of dollars in further investments to advance responsible AI development and use throughout our society. These include $13 million invested by DOE in the VoltAIc initiative for using AI to streamline permitting and accelerate clean energy deployment, as well as $68M from DOE to fund AI for scientific research to accelerate scientific programming and develop energy efficient AI models and hardware. DOE has also launched the Frontiers in AI for Science, Security, and Technology (FASST) initiative roadmap and request for information to harness AI for scientific discovery, national security, energy and electric grid resilience, and other national challenges, building on AI tools, models, and partnerships. NSF, in partnership with philanthropy, announced an inaugural investment of more than $18 million to 44 multidisciplinary, multi-sector teams across the U.S. to advance the responsible design, development, and deployment of technologies including AI, ensuring ethical, legal, community, and societal considerations are embedded in the lifecycle of technology’s creation. 社会全体で責任あるAIの開発と利用を促進するため、数百万ドルの追加投資を発表した。これには、AIを活用して許認可を合理化し、クリーンエネルギーの展開を加速するVoltAIcイニシアチブへのDOEによる1300万ドルの投資や、科学的プログラミングを加速し、エネルギー効率の高いAIモデルとハードウェアを開発するための科学研究用AIへのDOEによる6800万ドルの投資が含まれる。DOEはまた、AIツール、モデル、パートナーシップを構築し、科学的発見、国家安全保障、エネルギー、電力網のレジリエンス、その他の国家的課題のためにAIを活用するため、Frontiers in AI for Science, Security, and Technology (FASST) initiative roadmap and request for informationを立ち上げた。NSFは慈善団体と協力し、AIを含むテクノロジーの責任ある設計、開発、展開を推進するため、米国内の44の学際的なマルチセクター・チームに1800万ドル以上を投資することを発表し、AIを含む技術の責任ある設計、開発、展開を推進し、倫理的、法的、地域社会的、社会的配慮が技術創造のライフサイクルに組み込まれるようにする。
Issued a first-ever report analyzing AI’s near-term potential to support the growth of America’s clean energy economy. DOE’s National Laboratories also issued a long-term grand challenges report identifying opportunities in AI for energy over the next decade.  米国のクリーンエネルギー経済の成長を支えるAIの短期的可能性を分析した初の報告書を発行した。また、DOEの国立研究所は、今後10年間のエネルギーにおけるAIの機会を特定する長期的なグランドチャレンジ報告書を発表した。
Released a vision for how AI can help us achieve our nation’s greatest aspirations. AI Aspirations sets forth goals to create a future of better health and opportunity for all, mitigate climate change and boost resilience, build robust infrastructure and manufacturing, ensure the government works for every American, and more. In furtherance of these goals, HHS launched CATALYST, a research and development program focused on the potential use of AI to better predict drug safety and efficacy before clinical trials start. In complement, the President’s Council of Advisors on Science and Technology also authored a report outlining AI’s potential to revolutionize and accelerate scientific discovery. AIがどのようにわが国の最大の願望達成を支援できるかについてのビジョンを発表した。AI Aspirationsは、すべての人にとってより良い健康と機会の未来を創造する、気候変動を緩和しレジリエンスを高める、強固なインフラと製造業を構築する、政府がすべてのアメリカ人のために機能するようにする、などの目標を掲げている。これらの目標を推進するため、HHSは、臨床試験開始前に医薬品の安全性と有効性をより正確に予測するためのAI活用の可能性に焦点を当てた研究開発プログラム「CATALYST」を立ち上げた。また、科学技術諮問委員会は、AIが科学的発見に革命をもたらし、加速させる可能性を概説する報告書を作成した。
Published guidance addressing vital questions at the intersection of AI and intellectual property. To advance innovation the U.S. Patent and Trademark Office (USPTO) has released guidance documents addressing the patentability of AI-assisted inventions, on the subject matter eligibility of patent claims involving inventions related to AI technology, and on the use of AI tools in proceedings before USPTO. AIと知的財産の交差点における重要な問題に対処するガイダンスを発表した。イノベーションを促進するため、米国特許商標庁(USPTO)は、AI支援発明の特許性、AI技術に関連する発明を含む特許クレームの主題適格性、およびUSPTOでの手続きにおけるAIツールの使用に関するガイダンス文書を発表した。
Bringing AI and AI Talent into Government 政府へのAIとAI人材の導入
AI can help government deliver better results for the American people, though its use by Federal agencies can also pose risks, such as discrimination and unsafe decisions. Bringing AI and AI-enabling professionals into government, moreover, is vital for managing these risks and opportunities and advancing other critical AI missions. Over the last year, agencies have: AIは、政府が米国民により良い結果をもたらすのに役立つが、連邦政府機関によるその使用は、識別的で安全でない決定などのリスクももたらしうる。さらに、AIとAIを可能にする専門家を政府に導入することは、これらのリスクと機会をマネジメントし、他の重要なAIミッションを推進するために不可欠である。昨年1年間で、政府機関は以下のことを行った:
Issued the first-ever government-wide policy to strengthen governance, mitigate risks, and advance innovation in federal use of AI. OMB’s historic policy, M-24-10, requires agencies to implement concrete safeguards when using AI in a way that could impact Americans’ rights or safety. These safeguards include a series of mandatory risk management practices to reliably assess, test, and monitor AI’s impacts on the public and provide greater transparency into how the government uses AI. OMB’s policy also directs agencies to designate Chief AI Officers to coordinate the use of AI across their agency, while expanding and upskilling their AI workforce and removing barriers to adopting AI for all manner of purposes—from addressing climate change to advancing public health and safety. ガバナンスを強化し、リスクを低減し、連邦政府によるAI活用のイノベーションを促進するために、政府初の全方針を発表した。OMBの歴史的な方針M-24-10は、米国人の権利や安全に影響を与える可能性のある方法でAIを使用する場合、各省庁に具体的なセーフガードの実施を求めている。これらのセーフガードには、AIの一般市民への影響を確実にアセスメント、テスト、監視し、政府がAIをどのように使用するかについてより高い透明性を提供するための一連の義務的リスクマネジメントが含まれる。OMBの方針はまた、各省庁にAI最高責任者を任命し、省庁全体でAIの利用を調整するよう指示する。同時に、AI労働力を拡大・スキルアップし、気候変動への対応から公衆衛生・安全の推進まで、あらゆる目的でAIを採用する際の障壁を取り除く。
Released a government-wide policy to advance responsible acquisition of AI by Federal agencies. M-24-18, published this month by OMB, helps ensure that when Federal agencies acquire AI, they have the information and tools necessary to manage risks, promote a competitive marketplace, and collaborate on strategic planning. This work directs the Federal government—the largest buyer in the U.S. economy—to advance AI innovation and risk management through responsibly exercising its purchasing power. 連邦政府機関によるAIの責任ある取得を推進するための政府全体の方針を発表した。OMBが今月発表したM-24-18は、連邦政府機関がAIを取得する際に、リスクマネジメント、競争力のある市場の促進、戦略的計画策定における協力に必要な情報とツールを確実に入手できるようにするものである。これは、米国経済における最大の買い手である連邦政府に対し、その購買力を責任を持って行使することで、AIのイノベーションとリスクマネジメントを推進するよう指示するものである。
Hired over 250 AI practitioners into the Federal government through the AI Talent Surge. Tech talent programs ramped up hiring for AI talent, with the Presidential Innovation Fellows bringing on their first-ever AI cohort, DHS establishing their AI Corps with over 30 members onboarded to date, and the U.S. Digital Corps providing pathways for early-career technologists to join Federal service. AI talent has been instrumental in delivering on critical AI priorities, from using AI to deliver top-tier government services, to protecting the public’s rights and safety in the use of AI. AI Talent Surgeを通じて、250人以上のAI実務家を連邦政府に採用した。技術人材プログラムはAI人材の採用を強化し、Presidential Innovation Fellowsは初のAIコホートを迎え入れ、DHSはAI Corpsを設立し、現在までに30人以上のメンバーを採用している。AIの人材は、AIを活用して一流の政府サービスを提供することから、AIの活用における国民の権利と安全の保護に至るまで、AIの重要な優先事項の実現に役立っている。
Established the Chief AI Officers Council to harmonize best practices and sharing of resources across the interagency to implement OMB’s guidance and coordinate the development and use of AI in agencies’ programs and operations. ・OMBのガイダンスを実施し、各省庁のプログラムと業務におけるAIの開発と利用を調整するため、省庁間のベストプラクティスとリソースの共有を調和させるAI最高責任者会議を設立した。
Introduced expanded reporting instructions for the federal AI use case inventory to include identifying use cases that impact rights or safety and how the agency is addressing the relevant risks in line with OMB’s policies.  連邦政府AIのユースケース目録の報告指示を拡大し、権利や安全に影響を与えるユースケースの識別と、OMBの方針に沿った関連リスクへの対処方法を含むようにした。
Bolstered the public interest technology ecosystem. Building on the AI Talent Surge, the White House announced funding across government, academia, and civil society to support education and career pathways that will help ensure government has access to diverse, mission-oriented technology talent. 公益技術のエコシステムを強化した。AI Talent Surgeに基づき、ホワイトハウスは政府、学界、市民社会全体で資金を提供し、政府が多様でミッション志向のテクノロジー人材にアクセスできるようにするための教育とキャリアパスを支援することを発表した。
Activated new hiring authorities to bring AI and AI-enabling talent into agencies. As part of the AI Talent Surge, the Office of Personnel Management (OPM) granted new hiring authorities, including direct hire authorities and excepted service authorities, for agencies to rapidly bring on top-tier AI and AI-enabling talent, and released guidance on skills-based hiring and pay and leave flexibilities to best position agencies to hire and retain AI and AI-enabling talent. Additionally, OPM collaborated with partners to run three National Tech to Gov career fairs to connect the public with AI and tech jobs in government, surfacing roles from over 64 Federal, state, and local government employers to over 3,000 job seekers. AIとAIを可能にする人材を政府機関に導入するため、新たな認可を開始した。AI Talent Surgeの一環として、人事管理局(OPM)は、一流のAIおよびAIを可能にする人材を迅速に導入するため、各省庁に直接雇用権限や除外勤務権限などの新たな雇用権限を付与し、各省庁がAIおよびAIを可能にする人材を雇用し維持するために最適な位置づけとなるよう、技能に基づく雇用や給与・休暇の柔軟性に関する指針を発表した。さらに、OPMはパートナーと協力し、一般市民と政府におけるAIやハイテク関連の仕事をつなぐため、3回の「National Tech to Gov」キャリア・フェアを開催し、64以上の連邦政府、州政府、地方政府の雇用主から3,000人以上の求職者に仕事を紹介した。
Advancing U.S. Leadership Abroad 海外における米国のリーダーシップの推進
President Biden’s Executive Order directed work to lead global efforts to capture AI’s promise, mitigate AI’s risks, and ensure AI’s responsible governance. To advance these goals, the Administration has: バイデン大統領の大統領令は、AIの有望性を捉え、AIのリスクを軽減し、AIの責任あるガバナンスを確保するための世界的な取り組みを主導することを指示した。これらの目標を推進するため、同政権は以下を行った:
Sponsored and passed a landmark United Nations General Assembly resolution. The unanimously adopted resolution, with more than 100 co-sponsors (including the People’s Republic of China), lays out a common vision for countries around the world to promote the safe and secure use of AI to address global challenges. 画期的な国連総会決議を後援・可決した。全会一致で採択されたこの決議は、(中華人民共和国を含む)100以上の共同提案者を得て、世界的な課題に対処するためにAIの安全かつ確実な利用を促進するための世界各国の共通ビジョンを示している。
Engaged foreign leaders on strengthening international rules and norms for AI, including at the 2023 UK AI Safety Summit and the AI Seoul Summit in May 2024, where Vice President Harris represented the United States. In the United Kingdom, Vice President Harris unveiled a series of U.S. initiatives to advance the safe and responsible use of AI, including the establishment of AISI at the Department of Commerce. ハリス副大統領が米国を代表して出席した2023年英国AI安全サミットや2024年5月のAIソウル・サミットを含め、AIに関する国際的なルールや規範の強化について諸外国の代表者を巻き込んだ。ハリス副大統領は英国で、商務省にAISIを設立するなど、AIの安全で責任ある利用を進めるための米国の一連の取り組みを発表した。
Announced a global network of AI Safety Institutes and other government-backed scientific offices to advance AI safety at a technical level. This network, which will formally launch in November at the inaugural network convening in San Francisco, will accelerate critical information exchange and drive toward common or compatible safety evaluations and policies. AIの安全性を技術レベルで推進するため、AI安全機構や政府が支援する科学的オフィスの世界的ネットワークを発表した。このネットワークは、11月にサンフランシスコで開催される初会合で正式に発足し、重要な情報交換を加速させ、共通または互換性のある安全性評価と政策を推進する。
Expanded global support for the U.S.-led Political Declaration on the Responsible Military Use of Artificial Intelligence and Autonomy. Fifty-six nations now endorse the political declaration, which outlines a set of norms for the responsible development, deployment, and use of military AI capabilities. DoD has expanded the scope of its international AI Partnership for Defense to align global Responsible AI practices with the Political Declaration’s norms. 米国が主導する「人工知能と自律性の責任ある軍事利用に関する政治宣言」への世界的支持を拡大する。この政治宣言は、軍事AI能力の責任ある開発、展開、使用のための一連の規範を概説するもので、現在56カ国が支持している。国防総省は、国際的な「防衛のためのAIパートナーシップ」の範囲を拡大し、世界的な「責任あるAI」の実践を政治宣言の規範に合致させた。
Developed comprehensive plans for U.S. engagement on global AI standards and AI-related critical infrastructure topics. NIST and DHS, respectively, will report on priority actions taken per these plans in 90 days. 世界的なAI標準とAI関連の重要インフラに関するトピックに米国が関与するための包括的な計画を策定した。NISTとDHSはそれぞれ、90日以内にこれらの計画に沿って優先的に実施される行動について報告する。
Signed the Council of Europe’s Framework Convention on AI and Human Rights, Democracy, and the Rule of Law. This first multilateral treaty on AI represents a powerful affirmation of the relevance of existing human rights obligations to AI activities and establishes a strong baseline in international law for responsible government use of AI. The United States’ signature reflects its commitment to ensuring that AI technologies are designed, developed, used, and governed in ways that promote respect for human rights and democratic values.  欧州評議会の「AIと人権、民主主義、法の支配に関する枠組み条約」に署名した。AIに関するこの初の多国間条約は、既存の人権義務とAI活動との関連性を力強く確認するものであり、政府が責任を持ってAIを利用するための強力な基準線を国際法に確立するものである。米国の署名は、AI技術が人権と民主主義的価値の尊重を促進する方法で設計、開発、使用、ガバナンスされることを確実にするというコミットメントを反映したものである。
Led the development of a Joint Statement on Responsible Government Practices for AI Technologies. The Joint Statement, to which the 41 countries of the Freedom Online Coalition committed, calls on governments to develop, use, and procure AI responsibly, including by respecting international obligations and commitments, assessing impacts of AI systems, conducting ongoing monitoring, ensuring adequate human training and assessment, communicating and responding to the public, and providing effective access to remedy.  AI技術のための責任ある政府慣行に関する共同声明」の策定を主導した。フリーダム・オンライン連合の41カ国がコミットしたこの共同声明は、政府に対し、国際的な義務やコミットメントの尊重、AIシステムの影響のアセスメント、継続的なモニタリングの実施、適切な人材育成と評価の確保、国民とのコミュニケーションと対応、効果的な救済措置の提供など、責任を持ってAIを開発、使用、調達するよう求めている。
Launched the Global Partnership for Action on Gender-Based Online Harassment and Abuse.  The 15-country Global Partnership has advanced international policies to address online safety, and spurred new programs to prevent and respond to technology-facilitated gender-based violence, including through AI. ・ジェンダーに基づくオンライン・ハラスメントと虐待に対する行動のためのグローバル・パートナーシップを開始した。 15カ国のグローバル・パートナーシップは、オンラインの安全に取り組む国際的な政策を前進させ、AIを含め、テクノロジーによって促進されるジェンダーに基づく暴力を防止し対応するための新しいプログラムに拍車をかけた。
The Department of State and the U.S. Agency for International Development published resources to advance global AI research and use of AI for economic development. The AI in Global Development Playbook incorporates principles and practices from NIST’s AI Risk Management Framework to guide AI’s responsible development and deployment across international contexts, while the Global AI Research Agenda outlines priorities for advancing AI’s safe, responsible, and sustainable global development and adoption. 国務省と米国国際開発庁は、グローバルなAI研究と経済発展のためのAI利用を促進するためのリソースを発表した。AI in Global Development Playbook」は、NISTのAIリスクマネジメントフレームワークの原則と実践を取り入れ、国際的な文脈におけるAIの責任ある開発と展開を導くものであり、「Global AI Research Agenda」は、AIの安全で責任ある持続可能なグローバル開発と採用を進めるための優先事項を概説するものである。
The table below summarizes many of the activities that federal agencies have completed in response to the Executive Order. 下表は、大統領令を受けて連邦政府機関が完了した活動の多くをまとめたものである。

 


 

 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.28 米国 ホワイトハウス 人工知能(AI)に関する国家安全保障覚書 (NSM) と 国家安全保障におけるAIガバナンスとリスクマネジメントを前進させる枠組み(2024.10.24)

・2024.09.03 米国 国土安全保障省 重要インフラの所有者および運営者向けAIの安全およびセキュリティガイドライン (2024.04.26)

・2024.07.31 米国 NIST SP 800-218A 生成的AIとデュアルユース基盤モデルのための安全なソフトウェア開発プラクティス: SSDFコミュニティプロファイル

・2024.07.31 米国 ホワイトハウス ファクトシート:重要新興技術のための国家標準戦略の実施

・2024.07.27 米国 ホワイトハウス 新たなAI行動を発表し、 AIに関する追加の主要な自主的コミットメントをAppleからも受領

・2024.05.31 米国 NIST AIの社会技術試験・評価を推進する新プログラム「AIのリスクと影響の評価 (ARIA)」を開始

・2024.05.03 米国 商務省 NISTがAIに関する4つのドラフトを公開し、意見募集を開始 (2023.04.29)

・2024.04.01 米国 財務省 金融サービスセクターにおける人工知能特有のサイバーセキュリティ・リスクの管理

・2024.03.31米国 連邦政府機関の人工知能利用におけるガバナンス、イノベーション、リスク管理を推進するためのOMBの方針

・2024.02.10 米国 GAO 人工知能:国土安全保障省がサイバーセキュリティのために責任ある利用を確保するには、重要な慣行を完全に実施することが役立つ

・2023.12.15 連邦政府テクノロジー・リーダーがOMBのAI政策ドラフトについて知っておくべきことトップ10

・2023.11.28 米国 CISA AI導入のロードマップ (2023.11.14)

・2023.10.31 米国 人工知能の安全、安心、信頼できる開発と利用に関する大統領令

 

 

| | Comments (0)

2024.11.01

CISA 選挙脅威情報についてのWebページ

こんにちは、丸山満彦です。

大統領選挙が近づいてきて、選挙対策も大詰めといったところでしょうか?日本の選挙では、お金の問題は取り上げられていましたが、外国勢力により政治介入の話というのはあまり取り上げられていませんでしたよね・・・海外系の団体から政治資金を得ていた?かもしれないという話ですが...

 

CISA

プレス...

・2024.10.28 CISA Launches #PROTECT2024 Election Threat Updates Webpage

CISA Launches #PROTECT2024 Election Threat Updates Webpage CISA Launches #PROTECT2024 Election Threat Updates Webpage
WASHINGTON – Today, the Cybersecurity and Infrastructure Security Agency (CISA) launched a new one-stop shop website for election threat updates from CISA and our federal government partners. As foreign actors continue their efforts to influence and interfere with the 2024 elections, CISA is ensuring that information about the election threat environment is readily accessible. ワシントン- 本日、サイバーセキュリティ・インフラセキュリティ庁(CISA)は、CISAと連邦政府のパートナーからの選挙脅威に関する最新情報をワンストップで提供する新しいウェブサイトを開設した。外国の脅威行為者が2024年の選挙に影響を与えたり妨害したりする努力を続ける中、CISAは選挙脅威環境に関する情報に容易にアクセスできるようにしている。
Part of the larger #Protect2024 site launched in January, the page aims to make it easier to find specific threat related products that the American public can use to stay informed and the election community can use to prepare, including: このページは、1月に開設された大規模な#Protect2024サイトの一部であり、米国民が情報を得るために利用でき、選挙コミュニティが準備するために利用できる、以下のような具体的な脅威関連製品を簡単に見つけることができるようにすることを目的としている:
・Joint Statements from CISA, ODNI and FBI on threats to the 2024 election ・2024年選挙への脅威に関するCISA、ODNI、FBIの共同声明
・ODNI Election Threat Updates ・ODNI選挙脅威最新情報
・FBI and CISA “Just So You Know” Joint PSA Series ・FBIとCISAの 「Just So You Know 」共同PSAシリーズ
Since its initial launch, #Protect2024 has quickly grown and serves as the central point for critical resources, training lists and security services to support more than 8,000 election jurisdictions for the 2024 election cycle. #Protect2024は最初の開設以来、急速に成長し、2024年選挙サイクルに向けた8,000以上の選挙管轄区をサポートするための重要なリソース、トレーニングリスト、セキュリティサービスの中心的な役割を果たしている。
Additional resources will be made available on this page as they are released. For more information, please continue to visit #Protect2024. 追加のリソースは、リリースされ次第、このページで利用できるようになる。詳細については、引き続き#Protect2024をご覧いただきたい。

 

選挙の脅威情報についてウェブページ

Election Threat Updates

20241101-64119

 

海外の悪質な活動に関する共同声明

Joint Statements on Foreign Malign Activity

October 25, 2024 Statement

ODNI, FBI, and CISA released a statement attributing a fake video destroying ballots in PA elections to Russia. Local election officials already debunked this video. Election officials are the trusted source for election info.

September 18, 2024 Statement

A joint ODNI, FBI, and CISA statement with additional details about Iranian Election Influence Efforts.

August 19, 2024 Statement

A joint ODNI, FBI, and CISA statement about Iranian Election Influence Efforts.

 

インテリジェンス報告

Threat Intelligence Products on Foreign Malign Activity

・2024.10.06 [PDF] Foreign Threats to US Elections After Voting Ends in 2024

A declassified IC assessment on influence operations likely to be conducted by foreign actors after Election Day and through the Presidential Inauguration.

・2024.10.21 [PDF] Election Security Update as of Late October 2024

A threat intelligence assessment released with 15 days remaining until Election 2024.

・2024.10.07 [PDF] Election Security Update as of Early October 2024

A threat intelligence assessment released with 30 days remaining until Election 2024.

・2024.09.23 [PDF] Election Security Update as of Mid-September 2024

A threat intelligence assessment released with 45 days remaining until Election 2024.

・2024.09.06 [PDF] Election Threat Update as of Early September 2024

A threat intelligence assessment released with 60 days remaining until Election 2024.

・2024.07.29 [PDF] Election Threat Update as of Late July 2024

A threat intelligence assessment released with 100 days remaining until Election 2024.

 

国民向け発表...

Just So You Know Public Service Announcements



PSA: Just So You Know: DDoS Attacks Could Hinder Access to Election Information, Would Not Prevent Voting


Informs the public that DDoS attacks on election infrastructure, or adjacent infrastructure that support election operations, could hinder public access to election information but would not impact the security or integrity of election processes.

選挙インフラ、あるいは選挙運営を支える隣接インフラに対するDDoS攻撃は、選挙情報への一般市民のアクセスを妨げる可能性はあるが、選挙プロセスの安全性や完全性には影響しないことを一般市民に知らせる。

 



Public Service Announcement. Just So You Know: Ransomware Disruptions During Voting Periods Will Not Impact the Security and Resilience of Vote Casting or Counting


Informs the public that while ransomware attacks against state or local government networks or election infrastructure could cause localized delays, they will not compromise the security or accuracy of vote casting or counting processes.

州政府や地方自治体のネットワークや選挙インフラに対するランサムウェア攻撃は、局地的な遅延を引き起こす可能性はあるものの、投開票プロセスの安全性や正確性を損なうものではないことを国民に伝える。

 



Public Service Announcement: Just So You Know: False Claims of Hacked Voter Information Likely Intended to Sow Distrust of U.S. Elections


Raises public awareness of attempts to undermine public confidence in the security of U.S. election infrastructure through the spread of disinformation falsely claiming that cyberattacks compromised U.S. voter registration databases.

サイバー攻撃によって米国の有権者登録データベースが侵害されたと偽情報を流し、米国の選挙インフラの安全性に対する国民の信頼を損なおうとしていることについて、国民の認識を高める。


Public Service Announcement: Just So You Know: Foreign Threat Actors Likely to Use a Variety of Tactics to Develop and Spread Disinformation during 2024 U.S. General Election

Foreign Threat Actors Likely to Spread Disinformation


Raises awareness of the efforts posed by foreign threat actors to spread disinformation in the lead up to, and likely in the days following, the 2024 U.S. general election.

2024年の米国総選挙に向け、そしておそらくその数日後に、偽情報を広めるために外国の脅威行為者が行っている取り組みに対する認識を高める。

 


 

こちらは、郵便のセキュリティ...

・ 2024.10.22 CISA and USPIS Release Two Election Mail Security Resources

CISA and USPIS Release Two Election Mail Security Resources CISAとUSPISが2つの選挙郵便物セキュリティ・リソースをリリース
WASHINGTON – Today, the Cybersecurity and Infrastructure Security Agency (CISA) and the United States Postal Inspection Service (USPIS) joined together to release an Election Mail Security Public Service Announcement (PSA) and a training video for election officials on securely and safely handling potential toxic hazards in election mail. The PSA affirms the incredible efforts local and state officials have invested, through the federal government, in ensuring security and integrity of the elections process, and specifically how seriously CISA and USPIS take the security of election related mail. As CISA leads federal efforts to ensure election officials have the resources they need to defend against the range of cyber and physical threats to election infrastructure, USPIS ensures the safe and secure delivery of election mail, and the protection of election officials from potentially dangerous mail.     ワシントン-本日、サイバーセキュリティ・インフラセキュリティ庁(CISA)と米国郵政検査局(USPIS)は共同で、選挙郵便物に含まれる潜在的な有毒物質の危険性を安全かつ安全に取り扱うための選挙関係者向けの選挙郵便物セキュリティ公共サービス広告(PSA)とトレーニング・ビデオをリリースした。このPSAは、選挙プロセスのセキュリティと完全性を確保するために、連邦政府を通じて地方および州当局が投資してきた驚くべき努力、特にCISAとUSPISが選挙関連郵便物のセキュリティにいかに真剣に取り組んでいるかを確認するものである。CISAは、選挙当局が選挙インフラに対するさまざまなサイバー脅威および物理的脅威から防御するために必要なリソースを確保するための連邦政府の取り組みを主導し、USPISは、選挙郵便物の安全かつ確実な配達と、潜在的に危険な郵便物からの選挙当局の保護を保証する。   
“CISA, alongside our federal partners like the US Postal Inspection Service, are committed to helping those on the frontline of our democratic process have the tools and resources necessary to accomplish their incredible mission while staying safe from the range of hazards they may face,” said CISA Director Jen Easterly. “Together we can protect America’s election infrastructure against new and evolving threats and that is our continued goal for Protect 2024 here at CISA.”   「CISAは、米国郵政監察局のような連邦政府のパートナーとともに、民主的プロセスの最前線にいる人々が、彼らが直面する可能性のあるさまざまな危険から安全でありながら、その素晴らしい使命を達成するために必要なツールとリソースを持つことができるよう支援することを約束する」と、CISAのディレクター、ジェン・イースタリーは語った。「私たちは共に、新たな脅威や進化する脅威からアメリカの選挙インフラを守ることができ、それがここCISAにおける2024年の防御の継続的な目標である。 
“We have a shared commitment, with our close partner CISA, to ensure the safety of election workers and the security of election mail, in part through the education and empowerment of voters and election officials,” said Chief Postal Inspector Gary Barksdale. “Today’s releases are another way we are delivering on that commitment.”   「われわれはCISAという緊密なパートナーとともに、有権者や選挙管理者の教育やエンパワーメントを通じて、選挙作業員の安全や選挙郵便物の安全を確保するという共通のコミットメントを持っている。「本日の発表は、我々がその約束を果たすためのもう一つの方法である。 
Everyone has a part to play when it comes to helping to ensure the safe and secure delivery of election mail. Americans can do the following:    選挙郵便の安全で確実な配達を確保するために、誰もが果たすべき役割を担っている。アメリカ人は以下のことができる:   
・Don’t let incoming or outgoing mail sit in your mailbox.  Pick up election mail from your mailbox as soon as its delivered.   ・送受信された郵便物を郵便受けに入れたままにしない。 配達されたらすぐに郵便受けから選挙郵便物を受け取る。 
・Don’t leave your mail unattended for extended periods.   ・郵便物を長時間放置しない。 
・Return outgoing election mail in your local post office or hand directly to a postal employee  ・発送した選挙郵便物は、最寄りの郵便局で返却するか、郵便局員に直接手渡す
・Many states have online tracking tools to help track the status of your ballot.  If you believe there’s an issue with the receipt or delivery of your ballot, contact your local election office to verify the status of your ballot prior to contacting USPS.   ・多くの州では、投票用紙の状況を追跡できるオンライン追跡ツールを用意している。 投票用紙の受け取りや配達に問題があると思われる場合は、USPSに連絡する前に、最寄りの選挙事務所に連絡し、投票用紙の状況を確認すること。 
To report suspicious mail and election mail-related security or criminal incidents contact USPIS at (877) 876-2455 or you can report election mail crimes at uspis.gov/report. To view the CISA and USPIS PSA and training video, please visit CISA and USPIS Election Mail Security Resources on CISA.gov. and check out #Protect2024 for the latest information regarding election security at CISA 不審な郵便物や選挙郵便に関連するセキュリティまたは犯罪インシデントを報告するには、USPISの(877) 876-2455に連絡するか、uspis.gov/reportで選挙郵便犯罪を報告することができる。CISAおよびUSPISのPSAおよびトレーニング・ビデオを見るには、CISA.govのCISAおよびUSPIS選挙郵便セキュリティ・リソースにアクセスし、CISAの選挙セキュリティに関する最新情報については#Protect2024をチェックすること。

 

| | Comments (0)

米国 オーストラリア 「安全なソフトウェア展開: ソフトウェア製造事業者はどのようにして顧客の信頼性を確保するのか?」 (2024.10.24)

こんにちは、丸山満彦です。

米国のCISA、FBI、オーストラリアのACSCが共同で、 「安全なソフトウェア展開: ソフトウェア製造事業者はどのようにして顧客の信頼性を確保するのか?」を公表していますね...

マーケットに提供するソフトウェアにマルウェアを仕込まれると、その社会的な影響は大きいので、安全なソフトウェアを提供することが重要ですよね...

マイクロソフト、クラウドストライク、グーグルが協力していますね...

 

さて、これから重要となってくるAIシステムの市場への展開においても同じようなことがありますよね...AIシステムの場合は、学習データもある意味コードのようなものなので、コードだけを見ていても安全とはいえないところが難しいですよね...さりとて、テストをするとしても網羅的にはできない...その部分はSP800-218Aで検討ということなのでしょうが...

 

CISA

・2024.10.24 Safe Software Deployment: How Software Manufacturers Can Ensure Reliability for Customers

 

Safe Software Deployment: How Software Manufacturers Can Ensure Reliability for Customers 安全なソフトウェア展開: ソフトウェア製造事業者はどのようにして顧客の信頼性を確保するのか?
This guidance aids software manufacturers in implementing a safe software deployment process with robust testing and measurement components. The process laid out by CISA, FBI, and Australian Cyber Security Centre (ACSC) helps both the security and quality of products and deployment environments. このガイダンスは、ソフトウェア製造者が堅牢なテストと測定コンポーネントを備えた安全なソフトウェア展開プロセスを実施することを支援するものである。CISA、FBI、Australian Cyber Security Centre (ACSC)が示したプロセスは、製品と展開環境のセキュリティと品質の両方に役立つ。
This guide provides an overview of six key phases in a safe software deployment process. The authoring agencies strongly encourage the use and regular maintenance of playbooks that provide clear guidelines, best practices and contingency plans meant to guide teams through each phase of software deployment. This guidance is of moderate technical complexity and assumes a basic understanding of cybersecurity. 本ガイドは、安全なソフトウェア導入プロセスにおける6つの重要なフェーズの概要を提供する。認可プロバイダは、ソフトウェア配備の各フェーズを通じてチームをガイドすることを意図した、明確なガイドライン、ベストプラクティス、不測の事態への対応策を提供するプレイブックの使用と定期的な保守を強く推奨している。このガイダンスは、技術的に中程度の複雑さを持ち、サイバーセキュリティの基本的な理解を前提としている。

 

・[PDF

20241101-45057

 

 

 

目次...

Introduction 序文
Objectives 目的
Key Phases of A Safe Software Deployment Process 安全なソフトウェア展開プロセスの主要フェーズ
Planning 計画
 Key Considerations  主要な考慮事項
Development and Testing 開発とテスト
Internal Rollout (Dogfood) 内部ロールアウト(ドッグフード)
Deployment and Canary Testing 展開とカナリアテスト
Controlled Rollout 管理ロールアウト
Feedback Into Planning 計画へのフィードバック
Playbooks プレイブック
Errors エラー
Emergency Protocols 緊急プロトコル
 Incident Detection and Reporting  インシデント検知と報告
 Engineering and Management Escalation Processes  エンジニアリングとマネジメントのエスカレーションプロセス
 Recovery and Rollback Procedures  復旧とロールバックの手順
 Root Cause Analysis and Reporting  根本原因の分析と報告
 Customer and Partner Notification Plan  顧客とパートナーへの通知計画
Customer Notification Plan 顧客への通知計画
Additional Consideration: N-1 Releases 追加の考慮事項: N-1リリース
Conclusion 結論
Disclaimer 免責事項
Acknowledgements 謝辞
Additional Resources 追加リソース

 

 

Introduction  序文 
Many software manufacturers and service providers deploy software and configuration updates as part of their service offerings. These updates may enhance features and/or address security vulnerabilities to provide benefits and security to customers. However, software and the systems that deploy software are highly complex and continually evolving, making it challenging to deploy secure updates.  多くのソフトウェア製造事業者やサービスプロバイダーは、サービス提供の一環として、ソフト ウェアや設定のアップデートを展開している。これらのアップデートは、機能を強化したり、セキュリティの脆弱性に対処したりして、顧客にメリットとセキュリティを提供する。しかし、ソフトウェアとソフトウェアを展開するシステムは非常に複雑で、絶えず進化しているため、安全なアップデートを展開することは困難である。 
It is critical for all software manufacturers to implement a safe software deployment program supported by verified processes, including robust testing and measurements. The program should support and enhance both the security and quality of the product and deployment environment. This guide, authored by the Cybersecurity and Infrastructure Security Agency (CISA) and the following partners (hereafter referred to as the authoring agencies), encourages software manufacturers to establish a safe software deployment program as part of their software development lifecycle (SDLC).  すべてのソフトウェア製造事業者にとって、強固なテストと測定を含む検証済みのプロセスに支えられた安全なソフトウェア展開プログラムを実施することが極めて重要である。このプログラムは、製品と展開環境のセキュリティと品質の両方をサポートし、強化するものでなければならない。本ガイドは、サイバーセキュリティ・インフラセキュリティ庁(CISA)と以下のパートナー(以下、作成機関)が作成したものであり、ソフトウェア製造事業者に対し、ソフトウェア開発ライフサイクル(SDLC)の一環として、安全なソフトウェア展開プログラムを確立することを推奨する。 
• U.S. Federal Bureau of Investigation  - 米国連邦捜査局
• Australian Signals Directorate’s (ASD’s) Australian Cyber Security Centre (ACSC)  - オーストラリア信号総局のオーストラリアサイバーセキュリティセンター
Software manufacturers should incorporate safe deployment practices early in the SDLC. Safe deployment processes do not begin with the first push of code; they start much earlier. To maintain product quality and reliability, technology leaders should ensure that all code and configuration changes pass through a series of well-defined phases that are supported by a robust testing strategy. These phases are designed to catch any new issues and regressions, reducing the risk of flawed software from impacting customers.  ソフトウェア製造事業者は、SDLC の早い段階で安全な展開方法を取り入れるべきである。安全な展開プロセスは、コードの最初のプッシュから始まるのではない。製品の品質と信頼性を維持するために、技術リーダーは、すべてのコードと設定の変更が、堅牢なテスト戦略によってサポートされる、明確に定義された一連のフェーズを通過することを確実にすべきである。これらのフェーズは、新たな問題や回帰をキャッチし、欠陥のあるソフトウェアが顧客に影響を与えるリスクを低減するように設計されている。 
This guidance is part of CISA’s Secure by Design campaign. The guide is primarily intended for software or service manufacturers deploying software to many types of customer systems, including mobile devices and laptops, as well as for cloud-based services (which may consist of thousands of physical and virtual systems organized into clusters). While the guide is not specifically focused on internal IT teams deploying to internal systems, many of the same phases will apply—albeit in a modified form. Other domains may require phases that are balanced differently. For example, organizations will have to contemplate complexities in some deployment scenarios, such as OSS software deployments, and the tradeoffs between automatic versus manual updates. This guide will not cover all scenarios but can be a useful tool for organizations looking to mature their deployment processes.  本ガイダンスは、CISAのSecure by Designキャンペーンの一環である。本ガイダンスは、主に、モバイル・デバイスやノートPCを含む多くの種類の顧客システムにソフトウェアを展開するソフトウェアまたはサービス製造事業者、およびクラウドベースのサービス(クラスターに編成された数千の物理システムおよび仮想システムで構成される場合がある)を対象としている。本ガイドは、社内システムに展開する社内ITチームに特化しているわけではないが、同じフェーズの多くは、修正された形ではあるものの、適用できるだろう。他の領域では、異なるバランスのフェーズが必要になるかもしれない。たとえば、OSSソフトウエアの展開のような展開シナリオの複雑さや、自動更新と手動更新のトレードオフを考慮する必要がある。本ガイドは、すべてのシナリオをカバーするものではないが、展開プロセ スの成熟を目指す組織にとって有用なツールとなる。 
Objectives  目的 
A safe software deployment process aims to achieve several key objectives, contributing to the success of secure software deployment efforts. These objectives help ensure that software is not only reliable, safe, and secure for customers, but is deployed in a controlled, efficient manner. By incorporating mechanisms for timely issue detection, continuous improvement, and support for agile development, the safe software deployment process empowers teams to deliver high-quality software while adapting to changing requirements and technologies.  安全なソフトウェア展開プロセスは、いくつかの重要な目的を達成すること を目的とし、安全なソフトウェア展開作業の成功に貢献する。これらの目的は、ソフトウ ェアが顧客にとって信頼性が高く、安全でセキュアであるだけでなく、管理され た効率的な方法で展開されることを保証するのに役立つ。タイムリーな問題検知、継続的改善、アジャイル開発のサポートなどのメカニズムを組み込むことで、安全なソフトウェア展開プロセスは、変化する要件や技術に適応しながら、チームが高品質のソフトウェアを提供できるようにする。 
1. Quality processes. Robust quality assurance processes help ensure that software products function consistently and meet customer expectations without causing disruptions. This focus on reliability enhances customer safety by reducing the risk of failures that could compromise critical systems or data, resulting in increased customer trust.  1. 品質プロセス。堅牢な品質保証プロセスは、ソフトウェア製品が一貫して機能し、混乱を引き起こすことなく顧客の期待に応えることを保証するのに役立つ。このように信頼性を重視することで、重要なシステムやデータを危険にさらす可能性のある障害のリスクを低減し、顧客の安全性を高め、その結果、顧客の信頼を高めることができる。 
2. Cost and impact management. For software manufacturers, technical and process defects cost less to remediate when such defects are caught early in the process and cause less damage to customer systems. Customers impacted by these defects can suffer downtime and data loss, adversely affecting both their financial and reputational positions.  2. コストと影響の管理。ソフトウェア製造事業者にとって、技術的な欠陥やプロセス上の欠陥は、 プロセスの早い段階で発見されれば、修復にかかるコストが少なくなり、 顧客システムへのダメージも少なくなる。このような欠陥の影響を受けた顧客は、ダウンタイムやデータ喪失に見舞われ、財務面でも評判面でも悪影響を受ける可能性がある。 
3. Controlled and measured deployments. A well-defined deployment strategy includes phased rollouts, such as canary releases, allowing manufacturers to monitor performance in realworld environments without impacting all customers at once. This reduces the risk of widespread failures and provides valuable data to refine subsequent deployments.  3. 管理され、測定された展開。明確に定義された展開戦略には、カナリア・リリースなどの段階的な展開が含まれ、製造事業者は、すべての顧客に一度に影響を与えることなく、実環境でのパフォーマンスを監視することができる。これにより、広範な障害のリスクが軽減され、その後の展開を改良するための貴重なデータが得られる。 
4. Comprehensive testing. Early detection through comprehensive testing strategies, including automated testing and monitoring tools, allows teams to identify and address defects before they escalate into larger problems. Proactively catching issues early improves the quality of a product and reduces the likelihood of expensive fixes later.  4. 包括的テスト。自動テストや監視ツールを含む包括的なテスト戦略による早期検知により、チームは欠陥がより大きな問題に拡大する前に特定し、対処することができる。プロアクティブに問題を早期に発見することで、製品の品質が向上し、後で高額な修正を余儀なくされる可能性が低くなる。 
5. Continuous improvement. Feedback loops integrated into the development and deployment processes enable teams to learn from each iteration and apply those lessons to future releases. Using feedback loops helps evolve the safe software deployment process and improves maintenance practices of security standards, as well as improves performance, and better meets the needs of users. It is important to include “near misses” in the feedback loop. “Near misses” provide an opportunity to enhance the program without the software manufacturer or their customers experiencing the full negative impact of an actual incident.  5. 継続的改善。開発および展開プロセスに統合されたフィードバック・ループにより、チームは各反復から学び、その教訓を将来のリリースに適用することができる。フィードバックループの活用は、安全なソフトウエアの展開プロセスを進化させ、セキュ リティ標準の保守慣行を改善し、パフォーマンスを向上させ、ユーザーのニーズをよ りよく満たすのに役立つ。フィードバックループに「ニアミス」を含めることが重要である。「ニアミス」は、ソフトウエア製造事業者やその顧客が実際のインシデントによる悪影響を完全に経験することなく、プログラムを強化する機会を提供する。 
6. Optimize for agility. Teams should be able to adapt quickly to changes in requirements, emerging technologies, and security threats. Shorter development cycles, collaboration, and iterative improvements help deliver high-quality software that meets evolving customer expectations.  6. 俊敏性を最適化する。チームは、要件の変化、新たな技術、セキュリティ上の脅威に迅速に適応でき るべきである。開発サイクルの短縮、コラボレーション、反復的な改善は、進化する顧客の期待に応える高品質のソフトウエアを提供するのに役立つ。 
7. Secure development ecosystem. A secure development ecosystem is designed to support developers while reducing the likelihood of defects entering the code base. Software manufacturers have a greater chance of detecting and blocking issues earlier by implementing automated technical controls throughout the development ecosystem.  7. セキュア開発のエコシステム。セキュア開発のエコシステムは、コードベースに欠陥が入り込む可能性を低減しながら、開発者をサポートするように設計されている。ソフトウェア製造事業者は、開発エコシステム全体に自動化された技術的コントロールを導入することで、問題を早期に検知しブロックできる可能性が高まる。 
Key Phases of a Safe Software Deployment Process  安全なソフトウェア展開プロセスの鍵フェーズ 
Successful safe software deployments are based on an established secure software framework such as NIST Secure Software Development Framework (SSDF). Moreover, safe deployments hinge on a structured, well thought out process incorporated into the SDLC that minimizes risk and promotes reliability. Each phase of a safe software deployment process plays a critical role in guiding software from initial planning to release. Strongly recommended practices for safely deploying software are rigorous testing during the planning phase, controlled deployments, and continuous feedback. By following these key phases, software manufacturers can enhance product quality, reduce deployment risks, and provide a better experience for their customers.  安全なソフトウェア展開は、NIST セキュア開発フレームワーク(SSDF)のような確立された安全なソフトウェアフレームワークに基づいている。さらに、安全な展開は、リスクを最小化し、信頼性を促進する SDLC に組み込まれた、構造化され、よく考えられたプロセスにかかっている。安全なソフトウェア展開プロセスの各フェーズは、初期計画からリリースまでソフトウェアを導く上で重要な役割を果たす。ソフトウェアを安全に展開するために強く推奨されるプラクティスは、計画段階での厳密なテスト、管理された展開、継続的なフィードバックである。これらの重要なフェーズに従うことで、ソフトウェア製造事業者は製品の品質を高め、展開リスクを低減し、顧客により良い体験を提供することができる。 
The subsections below include common phases found in successful safe software deployment programs:  以下のサブセクションでは、安全なソフトウェア展開プログラムの成功に見られる一般的なフェーズを紹介する: 
Planning  計画立案
Before writing any code, a clear plan should be established to define goals and build requirements, understand customer needs, scope potential threats, and specify success criteria. The planning phase sets the foundation for the entire deployment process, helping ensure teams are aware of the scope, potential risks, and costs before moving into development.  コードを記述する前に、目標定義と要件構築、顧客ニーズの理解、潜在的な脅威のスコープ、成功規準の特定を行うための明確な計画を策定する必要がある。計画フェーズでは、展開プロセス全体の基礎を設定し、開発に移行する前に、チームがスコープ、潜在的なリスク、コストを確実に認識できるようにする。 
Key Considerations  主な考慮事項 
Operational Risk Assessment  運用リスクアセスメント 
Implementing a comprehensive, ongoing assessment of the risks and consequences of deploying software in an environment reduces risk. An operational risk assessment includes understanding system relationships and interdependencies, potential threats, safety, security, reliability, performance requirements, and risks associated with common defects. For example, if a service relies on another product’s service account (SA), and the permissions of that SA change, parts of the system may fail in seemingly unexpected ways. It is essential to include the processes and technologies of a safe software deployment program in the overall written product threat model.  ソフトウェアを環境に展開する際のリスクと結果について、包括的かつ継続的なアセスメントを実施することで、リスクを低減することができる。運用リスクアセスメントには、システムの関係や相互依存関係、潜在的な脅威、 安全性、セキュリティ、信頼性、性能要件、一般的な欠陥に関連するリスクなどを 理解することが含まれる。例えば、あるサービスが他の製品のサービスアカウント(SA)に依存しており、そのSAの権限が変更された場合、システムの一部が一見予期しない方法で故障する可能性がある。安全なソフトウエア展開プログラムのプロセスと技術を、文書化された製品脅威モデル全体に含めることが不可欠である。 
Conduct a Failure Anticipation Review  障害予見レビューの実施 
Sometimes referred to as a “pre-mortem,” this review helps teams identify potential failures, drawing on insights from previous retrospectives (or post-mortems).  「プレモルテム(pre-mortem)」と呼ばれることもあるこのレビューは、チームが以前のレトロスペクティブ(またはポストモルテム)から得た洞察をもとに、潜在的な障害を特定するのに役立つ。 
Platform Scale and Diversity  プラットフォームの規模と多様性
Deployment teams should extensively document the multiple potential roll-out scenarios associated with their products. Teams should plan for increasing platform and device diversity in cases where the software operates across multiple environments. Consider more than just device count when contemplating device diversity. Diversity can include different types of operating systems, hardware brands, firmware versions, firmware settings, bandwidth speeds and reliability, environmental settings, and geography. Teams should verify sufficient testing coverage before increasing their internal deployment rate.  展開チームは、製品に関連する複数の潜在的な展開シナリオを広範に文書化する必要がある。チームは、ソフトウェアが複数の環境で動作する場合、プラットフォームとデバイスの多様性を高める計画を立てるべきである。デバイスの多様性を考慮する際には、デバイス数以上のことを考慮する。多様性には、さまざまなタイプのオペレーティングシステム、ハードウェアブランド、ファームウェアのバージョン、ファームウェアの設定、帯域幅の速度と信頼性、環境設定、地理的なものなどが含まれる。チームは、社内展開率を高める前に、十分なテストカバレッジを検証すべきである。 
Online Service Diversity  オンラインサービスの多様性 
Online service diversity may include data center regions and network configurations and include failover and backup solutions as necessary.  オンラインサービスの多様性には、データセンターの地域やネットワーク構成が含まれ、 必要に応じてフェイルオーバーやバックアップソリューションが含まれる。 
Planning Deployment Cadence  計画展開のケイデンス
Whether the organization sets a monthly “Patch Tuesday” or delivers multiple configuration updates per day, the team should formalize this plan and communicate it clearly to internal stakeholders and external customers.  毎月の「パッチの火曜日」を設定する場合でも、1 日に複数の構成アップデートを配信する場合でも、チームはこの計画を正式なものとし、社内の利害関係者や社外の顧客に明確に伝えるべきである。 
Monitoring and Reporting Strategy  監視および報告戦略 
Manufacturers should identify the signals that provide the clearest view of system health and report identified issues to feed back into the continuous improvement process.  製造事業者は、システムの健全性を最も明確に把握できるシグナルを特定し、特定 された問題を報告して継続的改善プロセスにフィードバックする。 
Staffing  人員配置 
Complex deployments require a team capable of monitoring both deployments and the refinement of the safe software deployment process. A shortage of either operations staff or software/process developers increases the risk of unexpected incidents.  複雑な展開には、展開と安全なソフトウェア展開プロセスの改良の両方を監視できるチームが必要である。運用スタッフまたはソフトウェア/プロセス開発者のいずれかが不足すると、予期せぬインシデントのリスクが高まる。 
Fault Tolerance  フォールトトレランス(耐障害性) 
Systems can be designed to be resilient and/or fail safely even when presented with bad or malicious code or configuration changes. Each organization should consider ways to build resilience into the planning process.  システムは、悪いコードや悪意のあるコード、あるいは構成の変更があった場合でも、レジリエンス(耐障害性) が高く、安全に機能するように設計することができる。各組織は、計画プロセスにレジリエンスを組み込む方法を検討すべきである。 
Deprecation and End of Life  非推奨と耐用年数の終了
Software manufacturers should plan for feature deprecation and product end of life. Early warning will reduce the impact to customers and reduce the likelihood of them facing adverse effects.  ソフトウェア製造事業者は、機能の廃止と製品寿命の終了を計画すべきである。早期に警告を発することで、顧客への影響を軽減し、顧客が悪影響に直面する可能性を減らすことができる。 
Patching  パッチ適用 
Software manufacturers should plan for patching the products and services they develop. They should make the process of applying patches as seamless as possible. Security patches may require subsequent updates to fix identified vulnerabilities that could be exploited by malicious actors. Malicious actors may reverse engineer patches to identify vulnerabilities that may not yet be publicly disclosed. By leveraging information from newly released patch advisories, malicious actors can exploit customer systems that lack the most recent security patches. (see the N-1 Releases section below).  ソフトウェア製造事業者は、開発した製品やサービスにパッチを適用する計画を立てるべきである。また、パッチの適用プロセスを可能な限りシームレスにする必要がある。セキュリティパッチは、悪意のある行為者に悪用される可能性のある識別された脆弱性を修正するために、その後のアップデートを必要とする場合がある。悪意のある行為者は、パッチをリバースエンジニアリングして、まだ一般に公開されていない脆弱性を特定する可能性がある。新しくリリースされたパッチ勧告の情報を活用することで、悪意のある行為者は、最新のセキュリティパッチが適用されていない顧客システムを悪用することができる。(後述の「N-1 リリース」のセクションを参照)。 
Development and Testing  開発とテスト 
This phase involves coding and continuous testing. Testing at this phase typically includes unit, integration, and automated (including static and dynamic) tests to catch issues early. Code should be tested in an environment that closely mirrors typical customer environments to help ensure accuracy and reliability. Organizations should consider devoting resources to actively trying to cause the deployment process to fail under controlled circumstances to preempt a failure in the field.  このフェーズでは、コーディングと継続的なテストが行われる。このフェーズのテストには、問題を早期に発見するための単体テスト、統合テスト、自動テスト (静的テストと動的テストを含む)が含まれるのが一般的である。コードは、正確性と信頼性を確保するために、顧客の典型的な環境に近い環境でテストされるべきである。組織は、現場での失敗を未然に防ぐために、制御された状況下で積極的に展開プロセスを失敗させようとするリソースを割くことを検討すべきである。 
Internal Rollout (Dogfood)  内部ロールアウト(ドッグフード) 
When appropriate, based on the type of software and internal enterprise needs, internal teams should be the first to use new software versions. This “dogfooding” phase allows organizations to catch issues before the software reaches external users. By testing the product in real-world scenarios, internal users provide valuable feedback that helps improve the product’s stability and performance. The number of devices and amount of time needed to obtain sufficient coverage will vary; organizations should establish standards and adjust them with input from previous release cycles. Additionally, organizations should establish a culture of encouraging staff to report potential problems, even when the problems seem negligible.  適切な場合は、ソフトウェアの種類とエンタープライズ内部のニーズ に基づいて、内部チームが新しいソフトウェアバージョンを最初に使用す る。この 「ドッグフード 」フェーズによって、組織は、ソフトウエアが外部ユーザーに届く前に問題を発見することができる。実際のシナリオで製品をテストすることで、社内ユーザーは、製品の安定性とパフォーマンスの改善に役立つ貴重なフィードバックを提供する。十分なカバレッジを得るために必要なデバイスの数と時間は様々である。組織は、標準を確立し、以前のリリースサイクルからのインプットをもとに調整すべきである。さらに、組織は、たとえ問題が無視できると思われる場合でも、スタッフが潜在的な問題を報告することを奨励する文化を確立すべきである。 
Deployment and Canary Testing  展開とカナリアテスト 
The deployment to customers should be completed in a controlled way. Deployment options can include canary deployments (small-scale deployments to a limited number of customers or systems), allowing teams to monitor performance and resolve issues before a wider rollout. For software-as-aservice (SaaS) products, this may involve deploying the update to a small portion of servers or directing limited traffic at updated components. For on-premises products, the update may first be released to only a subset of customers. Organizations may wish to consider variations, such as “blue/green” deployment models or splitting customers into “Stable” and “Early Access” groups, allowing them to match access to new features with their risk tolerance.  顧客への展開は、管理された方法で完了すべきである。展開のオプションには、カナリア展開(限られた数の顧客またはシステムへの小規模展開)を含めることができ、これによってチームは、広範囲に展開する前にパフォーマンスを監視し、問題を解決することができる。SaaS(Software-as-As-Service)製品の場合、一部のサーバーにアップデートを展開したり、アップデートされたコンポーネントに限定されたトラフィックを誘導したりする。オンプレミス製品の場合、アップデートはまず一部の顧客のみにリリースされる。組織は、「ブルー/グリーン」展開モデルや、顧客を「安定版(Stable)」と「アーリーアクセス(Early Access)」グループに分けるなどのバリエーションを検討するとよい。 
Controlled Rollout  管理されたロールアウト 
After verifying successful canary deployments, the deployment team can release the new version to more users. As confidence in the new version grows, the deployment can gradually expand to more devices or systems. This controlled rollout prevents sudden, widespread failures. Organizations will want to consider the appropriate velocity of a deployment for urgent security fixes compared to more routine content deployments. Organizations will need to factor in both their risk tolerance with expectations and the risk appetites of customers. During a rollout, teams may need an automatic breaker or the equivalent of an emergency stop button to halt the rollout, especially during an incident.  カナリア展開の成功を確認した後、展開チームは新バージョンをより多くのユー ザーにリリースすることができる。新バージョンの信頼性が高まるにつれて、展開を徐々にデバイスやシステムを増やしていくことができる。このように管理された展開により、突然の広範囲な障害を防ぐことができる。企業は、緊急のセキュリティ修正と、より日常的なコンテンツの展開とで、適切な展開速度を検討する必要がある。企業は、期待されるリスク許容度と顧客のリスク許容度の両方を考慮する必要がある。ロールアウト中、特にインシデントが発生した場合、チームはロールアウトを停止するための自動ブレーカーまたは緊急停止ボタンに相当するものを必要とすることがある。 
Feedback Into Planning  計画へのフィードバック 
Continuous feedback is critical throughout the entire process, but particularly after release. Insights from customers, development and quality teams, system logs, examples of unexpected or abnormal system behavior, and performance metrics should feed directly back into the planning phase of the next development cycle. This feedback will enable continuous improvement and a faster response to issues.  継続的なフィードバックは、全プロセスを通じて重要であるが、特にリリース後に重要である。顧客、開発チーム、品質チームからの洞察、システムログ、予期せぬ、あるいは異常なシステム動作の例、パフォーマンス指標は、次の開発サイクルの計画段階に直接フィードバックされるべきである。このフィードバックにより、継続的な改善と問題への迅速な対応が可能になる。 
Figure 1 shows these phases over time. Each software and service provider will tune the slope of the curve to their risk tolerance and other business considerations. Providers should also factor in their customer risk tolerances.  図1は、これらのフェーズを時系列で示したものである。各ソフトウェアプロバイダーやサービスプロバイダーは、自社のリスク許容度やその他のビジネス上の考慮事項に合わせて、曲線の傾きを調整する。プロバイダは、顧客のリスク許容度も考慮に入れるべきである。 
1_20241101052701
Figure 1: Deployment Timeline  図 1: 展開のタイムライン
Playbooks  プレイブック 
Playbooks serve as essential tools for ensuring that safe software deployment processes are welldocumented, repeatable, and resilient. They provide clear guidelines, best practices, and contingency plans to help teams navigate each phase of deployment. Playbooks also help software manufacturers reduce risks and respond effectively to any issues that arise, ultimately safeguarding both the software and the customers who rely on it. Automation, where possible, can help align the above factors to the deployment objectives.  プレイブックは、安全なソフトウェア展開プロセスを文書化し、再現可能で、レジリエ ンスに優れたものにするために不可欠なツールである。プレイブックは、明確なガイドライン、ベストプラクティス、コンティンジェンシープランを提供し、チームが展開の各フェーズをナビゲートするのに役立つ。また、プレイブックは、ソフトウェア事業者がリスクを低減し、発生した問題に効果的に対応するのに役立ち、最終的にソフトウェアとそれに依存する顧客の両方を保護する。可能であれば自動化することで、上記の要素を展開の目的に合わせることができる。 
Like all playbooks, deployment teams should have regular training and simulated incident testing. The time to learn how to react is not when the system is failing and potentially causing customer issues. It is essential to determine how people, processes, and technologies work together before an incident.  すべてのプレイブックと同様に、展開チームは定期的なトレーニングとインシデントテストのシミュレーションを行うべきである。対応方法を学ぶべき時は、システムに障害が発生し、顧客の問題を引き起こす可能性がある時ではない。インシデントが発生する前に、人、プロセス、およびテクノロジがどのように連携するかを見極めることが不可欠である。 
It is important to recognize that deploying software to customer systems involves business considerations, not just technical considerations. Senior business leaders should ensure teams curate the playbook over time, request changes, and formally approve playbooks at least annually. The joint guide, Shifting the Balance of Cybersecurity Risk emphasizes the principle of “leading from the top.” Having a business leader take ownership of the process will help ensure the organization allocates the necessary resources to achieve successful outcomes.  顧客のシステムにソフトウェアを展開するには、技術的な検討だけでなく、ビジネス上の検討が必要であることを認識することが重要である。シニア・ビジネス・リーダーは、チームがプレイブックを長期にわたって管理し、変更を要求し、少なくとも年に1回はプレイブックを正式に承認するようにすべきである。共同ガイド「サイバーセキュリティ・リスクのバランスをシフトする」では、「トップが主導する」という原則が強調されている。ビジネスリーダーにプロセスのオーナーシップを持たせることは、組織が成功の結果を達成するために必要なリソースを割り当てることを確実にするのに役立つ。 
Like all other elements of an SDLC, playbooks require regular maintenance to monitor and improve their level of maturity and ability to achieve the organization’s mission.  SDLC の他のすべての要素と同様に、プレイブックは、その成熟度と組織のミッションを達成する能力を監視し、改善するために定期的な保守が必要である。 
Errors  エラー 
At any phase of the deployment process, the product or support system may encounter errors. These errors may be the result of latent coding errors in the software or deployment system that escaped testing measures. They can include performance issues, compatibility issues, or even security issues.  展開プロセスのどの段階でも、製品やサポートシステムがエラーに遭遇することがある。これらのエラーは、ソフトウェアまたは展開システ ムに潜在するコーディングエラーの結果である可能性があり、テストによる対策 を逃れることがある。このようなエラーには、パフォーマ ンスの問題、互換性の問題、あるいはセキュリティの問題が含まれることもある。 
It is important that the technology leadership team establish written playbooks to guide staff when they encounter these types of errors. These playbooks should include thresholds for acceptable error rates, staff response, and command chain escalation.  テクノロジーリーダーシップチームは、スタッフがこの種のエラーに遭遇したときのガイドとなるプレイブックを文書化することが重要である。これらのプレイブックには、許容可能なエラー率のしきい値、スタッフの対応、およびコマンドチェーンのエスカレーションを含めるべきである。 
Organizations that deploy real-time monitoring systems and automated alerting and escalation systems can react more quickly to anomalies and errors than those that rely solely on human operators. Earlier detection of issues and automated remediation reduce the time between identification and resolution, leading to fewer impacted customers and minimized downtime.  リアルタイムの監視システム、自動化されたアラートとエスカレーションシステムを展開する組織は、人間のオペレーターだけに頼っている組織よりも、異常やエラーに対してより迅速に対応することができる。問題の早期検知と自動化された修復により、検知から解決までの時間が短縮され、影響を受ける顧客の減少とダウンタイムの最小化につながる。 
Emergency Protocols  緊急時の手順 
The playbook should include detailed steps for handling emergencies during or after software deployments, including detailed recovery tasks. At a minimum, the following topics should be covered.  プレイブックには、詳細な復旧作業を含め、ソフトウェア展開中または展開後の緊急事態に対処するための詳細な手順を含めるべきである。最低限、以下のトピックをカバーする必要がある。 
Incident Detection and Reporting  インシデントの検知と報告 
Clearly define how issues are identified, whether through automated monitoring systems, internal testing and/or customer reports. Social media may also be a source of important information that may be missing from other, more formal channels.  自動監視システム、内部テスト、顧客からの報告など、問題の検知方法を明確に定義する。ソーシャルメディアは、他の正式なチャネルにない重要な情報源となる可能性もある。 
Engineering and Management Escalation Processes  エンジニアリングおよびマネジメントのエスカレーションプロセス 
Outline a structured escalation path that indicates when and how incidents are escalated to senior engineers, management, or even external partners.  いつ、どのようにインシデントがシニアエンジニア、マネジメント、あるいは外部パートナーにエスカレーションされるかを示す、構造化されたエスカレーションパスの概要を示す。 
Recovery and Rollback Procedures  復旧およびロールバックの手順 
Document a detailed recovery plan that can be executed quickly if a deployment causes significant failures. This should include the steps needed to revert systems to a previous stable state, validation checks to ensure the rollback is effective, and safeguards to prevent data loss. Understanding how to bring customers back to the last known “good” state will require careful planning, especially if the target systems are highly diverse. One common strategy is to enhance systems to degrade gracefully by, for example, disabling certain configurations, rather than stopping a deployment entirely.   展開に重大な障害が発生した場合に、迅速に実行できる詳細な復旧計画を文書化する。これには、システムを以前の安定した状態に戻すために必要な手順、ロールバックが効果的であることを確認するための妥当性確認、データ損失を防ぐための保護措置などを含める。特に対象となるシステムが非常に多様である場合は、どのようにして顧客を最後に確認された「良好な」状態に戻すかを理解するには、慎重な計画が必要となる。一般的な戦略の1つは、展開を完全に停止するのではなく、特定の構成を無効にするなどして、システムが優雅に劣化するように強化することである。 
Note: Recovery planning scenarios where automated rollback cannot be implemented require additional care.   注:自動ロールバックが実施できない復旧計画シナリオでは、さらに注意が必要である。 
Root Cause Analysis and Reporting  根本原因の分析と報告 
After resolving the immediate issue, conduct a thorough root cause analysis (RCA) as part of a blameless retrospective to identify what went wrong and why. RCA should be followed by documentation of the findings and corrective actions that can prevent similar incidents from occurring in future deployments. “Near misses” can provide significant value in this step.  当面の問題を解決した後、何が問題であったか、なぜ問題であったかを特定するために、 非の打ちどころのない回顧の一環として徹底的な根本原因分析(RCA)を実施する。RCAの後には、調査結果を文書化し、今後の展開において同様のインシデントが発生しないようにするための是正措置を講じるべきである。「ニアミス」は、このステップにおいて重要な価値を提供することができる。 
Customer and Partner Notification Plan  顧客およびパートナーへの通知計画 
Ensure there is a plan in place for notifying customers and partners in the event of a critical issue. This includes determining the appropriate communication channels (email, social media, in-app notifications) and message timing and providing clear information on the issue, its impact, and expected resolution time. Revalidating customer and partner contact information can prevent costly delays in communication. See below for more detail.  重大な問題が発生した場合に、顧客およびパートナーに通知するための計画があることを確認する。これには、適切なコミュニケーションチャネル(電子メール、ソーシャルメディア、アプリ内通知)とメッセージのタイミングを決定すること、問題、その影響、予想される解決時間に関する明確な情報を提供することが含まれる。顧客やパートナーの連絡先情報を再検証することで、コストのかかるコミュニケーションの遅れを防ぐことができる。詳細は以下を参照のこと。 
Note: The safe software deployment process should be referenced in the larger incident response plan (IRP). Integrating the deployment process into the incident response plan allows for a seamless transition from deployment management to incident handling. It also helps ensure that all relevant stakeholders—developers, operations teams, security personnel, external communications, and customer support—are aligned and equipped to minimize downtime, address security vulnerabilities, and maintain business continuity.  注:安全なソフトウェア展開プロセスは、より大きなインシデント対応計画(IRP)の中で参照されるべきである。展開プロセスをインシデント対応計画に統合することで、展開管理からインシデントハンドリングへのシームレスな移行が可能になる。また、開発者、運用チーム、セキュリティ職員、社外コミュニケーション、顧 客サポートなど、関係するすべての利害関係者が、ダウンタイムを最小化し、セキュリ ティの脆弱性に対処し、事業継続性を維持するための足並みをそろえ、体制を整え ることができる。 
Customer Notification Plan  顧客への通知計画 
Even with a safe software deployment process, incidents may still occur. To maintain transparency and trust, software manufacturers should have structured plans for notifying customers. The following elements should be considered in the notification plan:  安全なソフトウエア展開プロセスであっても、インシデントが発生する可能性はある。透明性と信頼を維持するために、ソフトウエア製造事業者は、顧客に通知するための体系的な計画を持つべきである。通知計画では、以下の要素を考慮する必要がある: 
1. Pre-deployment notifications: Before any major update, notify customers about upcoming deployments, including the expected timeline, potential impact, and any planned downtime.  1. 展開前の通知: 主要なアップデートの前に、予定されるスケジュール、潜在的な影響、予定されるダウンタイムを含め、今後の展開について顧客に通知する。 
Note: This element needs to be calibrated to avoid alert fatigue.  注:この要素は、アラート疲労を避けるために調整する必要がある。 
2. Support customer controlled deployment: Allow customers control over the deployment schedule and how they receive updates.  2. 顧客がコントロールできる展開をサポートする: 顧客が展開スケジュールやアップデートの受信方法を制御できるようにする。 
3. Rollout status update: During the deployment process, provide real-time or frequent updates on the rollout status via an appropriate channel, such as a well-known and continuously updated public web portal.  3. 展開状況の更新:展開プロセス中、よく知られた継続的に更新される公開ウェブポータルな どの適切なチャネルを通じて、展開状況に関するリアルタイムまたは頻繁な更新を提供 する。 
4. Incident and outage reporting: If an issue arises during deployment, quickly inform customers about the nature of the incident, its impact on their systems, and the steps being taken to resolve it.  4. インシデントおよび障害報告: 展開中に問題が発生した場合は、インシデントの内容、システムに対する影響、および解決に向けた措置について、顧客に迅速に報告する。 
5. Post-deployment notification: Once the deployment is complete, send a follow-up communication to confirm the successful rollout. Include details of any new features, bug fixes, or changes and provide a channel for customers to report any post-deployment issues they may encounter.  5. 展開後の通知: 展開が完了したら、フォローアップコミュニケーションを送信し、展開の成功を確認する。新機能、バグ修正、変更点の詳細を記載し、顧客が展開後に発生した問題を報告するためのチャネルを提供する。 
Additional Consideration: N-1 Releases  追加の考慮事項: N-1リリース 
Some customers prefer to stay on older versions of software or configurations—often referred to as N-1 (the previous release) or N-2 (two releases back)—to avoid potential risks associated with new updates. These risks may include bugs, compatibility issues, or disruptions that could affect their systems or operations.  顧客によっては、新しいアップデートに伴う潜在的なリスクを避けるために、古いバージョンのソフトウェアや構成(しばしばN-1(1つ前のリリース)またはN-2(2つ前のリリース)と呼ばれる)を使い続けることを好む。こうしたリスクには、バグや互換性の問題、システムや業務に影響を与えかねない混乱などがある。 
However, while staying on older versions may seem safer, delaying updates can introduce unmanaged risks, particularly when updates include critical security enhancements or vulnerability patches. Software manufacturers should focus on improving their deployment practices and demonstrating their reliability to customers. Rather than slowing down deployments, software manufacturing leaders should prioritize enhancing deployment processes to ensure both security and stability.  しかし、旧バージョンを使い続けることは安全なように思えるかもしれないが、アップデートを遅らせることは、特にアップデートに重要なセキュリティ強化や脆弱性パッチが含まれている場合、管理しきれないリスクをもたらす可能性がある。ソフトウェア事業者は、展開方法を改善し、顧客に信頼性を示すことに注力すべきである。ソフトウェア製造事業者のリーダーは、展開を遅らせるのではなく、セキュリティと安定性の両方を確保するために展開プロセスを強化することを優先すべきである。 
Conclusion  結論 
Safety and security incidents often result from multiple contributing factors, including people, processes, and technology elements working together in a system that may become misaligned (sometimes in unexpected and unlikely ways). A safe software deployment process should be integrated with the organization’s SDLC, quality program, risk tolerance, and understanding of the customer’s environment and operations. By adopting a systems-thinking approach, teams may reduce the likelihood of their deployment process operating outside the safety boundary.  安全性とセキュリティのインシデントは、多くの場合、人、プロセ ス、技術要素がシステム内で連携し、(時には予期しない、ありそうもな い方法で)不整合になるなど、複数の要因から発生する。安全なソフトウェア展開プロセスは、組織の SDLC、品質プログラム、リスク許容度、顧客の環境と運用の理解と統合されるべきである。システム思考のアプローチを採用することで、チームは、展開プロセスが安全性の境界の外で動作する可能性を減らすことができる。 
Two approaches can help teams maintain this safety boundary. First, foster a blameless retrospective (also called “postmortem”) culture, where teams analyze both positive and negative outcomes by focusing on the processes that contributed to the result, rather than assigning blame to any individual. Individual actions should not lead to an incident if the environment and processes are resilient.  チームがこの安全境界を維持するには、2 つのアプローチが有効である。第一に、非を認めない回顧的な(「事後分析」とも呼ばれる)文化を醸成する。この文化では、チームは、個人に責任を負わせるのではなく、結果に貢献したプロセスに焦点を当てて、肯定的な結果も否定的な結果も分析する。環境とプロセスがレジリエンシーであれば、個人の行動がインシデントにつながることはないはずである。 
Second, treat “near misses” as real incidents. “Near misses” provide significant information to improve processes. They offer an opportunity to evolve programs without suffering the consequences of an actual incident. Analyzing “near misses” allows teams to uncover weak points in the system and address them proactively, reducing the likelihood of future failures. By studying these events, organizations can build a culture of continuous improvement that strengthens security and operational resilience.  第二に、「ニアミス」を実際のインシデントとして扱うことである。「ニアミス」は、プロセスを改善するための重要な情報を提供する。ニアミスは、実際のインシデントの結果を被ることなく、プログラムを進化させる機会を提供する。ニアミス」を分析することで、チームはシステムの弱点を発見し、プロアクティブに対処することができる。このような事象を研究することによって、組織は、セキュリティと運用のレジリエンスを強 化する継続的な改善の文化を構築することができる。 
Organizations should formally evaluate their software deployment processes based on the points outlined herein and develop a plan to address them through a continuous improvement program. A well-designed software deployment process can ensure that customers receive new features, security, and reliability in a timely manner, while minimizing unplanned outages.  組織は、ここで概説したポイントに基づいて自社のソフトウェア展開プロセスを正式に評価 し、継続的改善プログラムを通じてそれらに対処する計画を策定すべきである。適切に設計されたソフトウェア展開プロセスによって、顧客に新機能、セキュリ ティ、信頼性をタイムリーに提供することが可能になるとともに、計画外の停止を最小限に抑えることができる。 
Disclaimer  免責事項 
The information in this report is being provided “as is” for informational purposes only. CISA, the FBI, and ASD’s ACSC do not endorse any commercial entity, product, company, or service, including any entities, products, or services linked within this document. Any reference to specific commercial entities, products, processes, or services by service mark, trademark, manufacturer, or otherwise, does not constitute or imply endorsement, recommendation, or favoring by CISA and co-sealers.  本レポートの情報は、情報提供のみを目的として「現状のまま」提供されている。CISA、FBI、ASDのACSCは、本文書内でリンクされている事業体、製品、サービスを含め、いかなる営利団体、製品、企業、サービスも保証しない。サービスマーク、商標、製造事業者、その他による特定の事業体、製品、プロセス、サービスへの言及は、CISA及び共同シーラーによる推奨、推薦、支持を意味するものではない。 
Acknowledgements  謝辞 
This information includes input from the following Joint Cyber Defense Collaborative (JCDC) participants: Microsoft, CrowdStrike, and Google contributed to this guidance.  本情報には、以下のJoint Cyber Defense Collaborative(JCDC)参加者の意見が含まれている: Microsoft、CrowdStrike、Google が本ガイダンスに貢献した。 
Additional Resources  追加リソース
• National Institute of Standards and Technology (NIST) Special Publication (SP) 800-218: Secure Software Development Framework (SSDF) Version 1.1: Recommendations for Mitigating the Risk of Software Vulnerabilities - 国立標準技術研究所(NIST)特別刊行物(SP)800-218: セキュアソフトウェア開発フレームワーク(SSDF)バージョン 1.1: ソフトウェアの脆弱性リスクを低減するための推奨事項。
• Australian Signals Directorate – Australian Cyber Security Centre’s Secure-by-Design Foundations  - オーストラリア信号総局 - オーストラリアン・サイバー・セキュリティ・センターのセキュア・バイ・デザインの基礎

 

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.07.31 米国 NIST SP 800-218A 生成的AIとデュアルユース基盤モデルのための安全なソフトウェア開発プラクティス: SSDFコミュニティプロファイル

・2023.10.18 Five Eyes、ドイツ、オランダ、ノルウェー、韓国、イスラエル、日本、シンガポール、チェコ他 セキュア・バイ・デザイン原則の改訂

・2023.04.15 CISA他 サイバーセキュリティリスクのバランスを変える:セキュリティ・バイ・デザインとセキュリティ・バイ・デフォルトの原則とアプローチ

・2023.02.05 ソフトウェアサプライチェーンリスクの軽減策について...

・2022.02.06 NIST SP 800-218 セキュアソフトウェア開発フレームワーク (SSDF) Version 1.1: ソフトウェアの脆弱性のリスクを軽減するための推奨事項

・2021.10.02 NIST SP 800-218 (ドラフト)セキュアソフトウェア開発フレームワーク (SSDF) Version 1.1: ソフトウェアの脆弱性のリスクを軽減するための推奨事項

 

 

 

 

 

| | Comments (0)

金融安定理事会 (FSB) 市中協議文書「インシデント報告交換フォーマット(FIRE)」の公表 (2024.10.17)

こんにちは、丸山満彦です。

G20カ国等が参加する金融機関の団体である金融安定理事会 (Financial Stability Board: FSB) [wikipedia
が、「インシデント報告交換フォーマット(FIRE)」の公開草案を公表し、意見募集をしておりますね...

これは、このブログでも紹介していますがサイバーインシデント報告の更なる収斂に向けた提案」の一環として、2023年4月に公表した「インシデント報告交換フォーマット(FIRE):今後の展望」(Format for Incident Reporting Exchange (FIRE) - A possible way forward)を踏まえて、作成されたもののようですね...

人間が読める構造化されたフォーマットとともに、機械が読めるバージョンも例示されているようです...

 

● Financial Stability Board: FSB

・2024.10.17 Format for Incident Reporting Exchange (FIRE): Consultation report

Format for Incident Reporting Exchange (FIRE): Consultation report インシデント報告交換フォーマット(FIRE): 市中協議報告書
The FSB has developed FIRE to reduce fragmentation in the reporting of operational incidents, including cyber incidents, and enhance cross-border cooperation. FSBは、サイバーインシデントを含むオペレーショナルインシデント報告の分断を減らし、国境を越えた協力を強化するため、FIREを開発した。
This consultation report sets out a common format that financial firms can use for the reporting of operational incidents, including cyber incidents. The proposed Format for Incident Reporting Exchange (FIRE) provides a set of common information items and is designed in a way to maximise flexibility and interoperability. FIRE’s features support flexibility for authorities that adopt the format in full or in part. For instance, of the 99 information items defined, 51 are optional, allowing authorities to decide which to implement based on their needs. 本協議報告書は、金融機関がサイバーインシデントを含むオペレーショナルインシデントの報告に使用できる共通フォーマットを定めたものである。提案されているインシデント報告交換フォーマット(FIRE)は、一連の共通情報項目をプロバイダとして提供し、柔軟性と相互運用性を最大化するように設計されている。FIREの特徴は、フォーマットの全部または一部を採用する認可機関の柔軟性をサポートする。例えば、99の情報項目のうち、51項目は任意であり、認可当局はニーズに応じてどの項目を導入するかを決定することができる。
Incident reporting is a key mechanism for supervisors to monitor disruptions within financial firms. However, differences in reporting approaches across jurisdictions result in fragmented requirements and coordination challenges. FIRE aims to promote convergence, address operational challenges arising from reporting to multiple authorities and foster better communication within and across jurisdictions. インシデント報告は、監督当局が金融機関の混乱を監視するための重要なメカニズムである。しかし、国・地域によって報告方法が異なるため、要件が分断され、協調が困難になっている。FIREは、コンバージェンスを促進し、複数の当局への報告から生じる業務上の課題に対処し、法域内および法域を超えたより良いコミュニケーションを促進することを目的としている。
The consultation package consists of (i) a ‘human-readable’ format, (ii) a structured data model of FIRE using the reporting-language-agnostic Data Point Model method, and (iii) a taxonomy in eXtensible Business Reporting Language (XBRL) as a sample machine-readable version of FIRE. The taxonomy package is linked in the right-hand column of this page. 協議文書パッケージは、(i)「人間が読める」フォーマット、(ii)報告言語にとらわれないデータ・ポイント・モデル法を用いたFIREの構造化データ・モデル、(iii)FIREの機械可読バージョンのサンプルとしてのeXtensible Business Reporting Language(XBRL)によるタクソノミから構成されている。タクソノミ・パッケージは、このページの右欄にリンクされている。
FIRE has been developed by the FSB in consultation with private sector participants. The FSB invites comments on this consultation report and welcomes replies to the consultation questions by 19 December 2024. Responses will be published on the FSB’s website unless respondents expressly request otherwise. FIREは、FSBが民間セクターの参加者と協議して策定したものである。FSBは本協議報告書に対するコメントを募集し、2024年12月19日までに協議の質問に対する回答を歓迎する。回答は、回答者が明示的に別段の要請をしない限り、FSBのウェブサイトで公表される。

 

・[PDF]

20241031-65817

・[DOCX][PDF] 仮訳

 

目次...

Questions for consultation 市中協議に対する質問
Executive Summary エグゼクティブサマリー
Introduction 序文
Scope of FIRE FIREの範囲
Development of FIRE FIREの開発
Steps following public consultation 市中協議後のステップ
Organisation of this document 本文書の構成
Guidance for implementation 実施のためのガイダンス
Foundational elements for FIRE reports FIREレポートの基本要素
1. Institution-initiated reporting 1.機構主導の報告
1.1. Reporting Details 1.1.報告の詳細
1.2. Incident Details 1.2.インシデントの詳細
1.3. Impact Assessment 1.3.アセスメント
1.4. Incident Closure 1.4.インシデントの閉鎖
Annex A: Standardised Field Types 附属書A:標準化されたフィールドタイプ
Annex B: Reporting Phase Optionality for Institution-Initiated Reporting 附属書B:機関主導の報告における報告段階の選択性
Annex C Incident Type 附属書C:インシデントの種類
Annex D Incident Discovery Method 附属書D:インシデント発見方法
Annex E Standardised Severity 附属書E:標準化された重症度
Annex F Service Disruption Type 附属書F:サービス中断タイプ
Annex G ISO 20022 Business Areas 附属書G:ISO 20022 事業分野 
Annex H Resource Type 附属書H:リソースの種類
Annex I: Resource Properties 附属書I:資源特性 
Annex J Financial Impact Scale 附属書J:財務的影響尺度
Annex K: Operational Impact Scale 附属書K:事業インパクト尺度
Annex L Reputational Impact Scale 附属書L:風評影響尺度
Annex M Legal / Regulatory Impact Scale 附属書M:法的/規制的影響尺度
Annex N External Impact Scale 附属書N:外部影響尺度
Annex O Cause Type 附属書O:原因の種類
Annex P: Origin 附属書P:オリジン

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー 
Since 2017, the Financial Stability Board (FSB) has underscored the threat of cyber incidents to the stability of the financial system. Effective incident response and recovery are crucial to mitigating financial stability risks. The FSB is working to identify and address weaknesses that could exacerbate such shocks.  2017年以降、金融安定理事会(FSB)は、金融システムの安定性に対するサイバーインシデントの脅威を強調してきた。効果的なインシデント対応と復旧は、金融安定リスクを低減する上で極めて重要である。FSBは、そのようなショックを悪化させる可能性のある弱点を特定し、対処するために取り組んでいる。 
Incident reporting is a key mechanism for financial authorities to monitor disruptions within regulated entities. Differences in reporting approaches across jurisdictions result in fragmented requirements and coordination challenges. Greater harmonisation of regulatory reporting supports firms’ efficient incident response and recovery, as well as effective supervision and cooperation among authorities. The Format for Incident Reporting Exchange (FIRE) aims to promote common information elements for incident reporting while allowing for flexible implementation practices. Authorities can choose the extent to which they adopt FIRE, and leverage its features and definitions to promote convergence and facilitate translation between existing frameworks.  インシデント報告は、金融当局が規制事業体内の混乱を監視するための重要なメカニズムである。国・地域によって報告アプローチが異なるため、要件が分断され、連携に課題がある。規制当局による報告のより一層の調和は、企業の効率的なインシデント対応と回復を支援し、効果的な監督と回復機関間の協力を促進する。FIRE(Format for Incident Reporting Exchange)は、インシデント報告のための共通の情報要素を促進する一方で、柔軟な実施方法を可能にすることを目的としている。認可当局は、FIREを採用する範囲を選択し、その特徴や定義を活用することで、コンバージェンスを促進し、既存の枠組み間の翻訳を容易にすることができる。 
FIRE is designed to cover operational incidents, including cyber incidents, and extends beyond the FSB’s previous work on cyber resilience. It provides a set of common information items for reporting incidents but does not define common reporting triggers, deadlines, or mitigation approaches. The design focuses on financial sector participants’ reporting to authorities and is flexible to enable regulated entities to leverage FIRE in their relationships with service providers. To maximise flexibility and interoperability, FIRE contains a data model using the Data Point Model (DPM) method, which allows for machine-readable versions of FIRE such as in eXtensible Business Reporting Language (XBRL).  FIREは、サイバーインシデントを含むオペレーショナルインシデントをカバーするよう設計されており、FSBのサイバーレジリエンスに関するこれまでの作業を超えるものである。FIREは、インシデントを報告するための一連の共通情報項目を提供するが、共通の報告トリガー、期限、低減アプローチについては定義していない。この設計は、金融セクター参加者の当局への報告に焦点を当て、規制対象事業体がサービス・プロバイダとの関係においてFIREを活用できるよう柔軟性を持たせている。柔軟性と相互運用性を最大化するため、FIRE はデータ・ポイント・モデル(DPM)方式による データ・モデルを含んでおり、eXtensible Business Reporting Language(XBRL)のような 機械可読バージョンの FIRE を可能にしている。 
FIRE was developed in consultation with private sector participants. The process included a Discovery Phase to identify commonalities in incident reporting needs and a Design Phase to develop the components of FIRE. A Testing Phase is underway to validate the design and robustness of FIRE using different incident types and scenarios. After the public consultation, the final version of FIRE is expected to be published by mid-2025, with a workshop planned for 2027 to review experiences and determine the need for revisions.  FIREは、民間セクターの参加者との協議により開発された。このプロセスには、インシデント報告ニーズの共通点を特定するための発見段階と、FIREの構成要素を開発するための設計段階が含まれていた。現在、さまざまなインシデントタイプやシナリオを用いてFIREの設計と堅牢性を確認するためのテスト段階が進行中である。公開協議の後、FIREの最終バージョンは2025年半ばまでに発表される予定であり、2027年にワークショップを開催し、経験をレビューし、改訂の必要性を判断する予定である。 
FIRE’s features support flexibility for authorities that adopt the format in full or in part. Of the 99 information items defined, 51 are optional, allowing authorities to decide which to implement based on their needs. Authorities can customise the baseline view of reporting phases, while remaining mindful not to compound operational challenges. They can choose to provide additional specifications for unstructured fields. Moreover, field names and permissible input can be adjusted to support local language needs while maintaining conceptual equivalence.  FIREの特徴は、フォーマットの全部または一部を採用する認可当局の柔軟性をサポートする。定義された99の情報項目のうち、51項目は任意であり、当局はニーズに応じてどれを導入するかを決めることができる。認可当局は、運用上の課題を複雑にしないよう配慮しつつ、報告フェーズのベースラインビューをカスタマイズすることができる。非構造化フィールドの追加仕様を提供することもできる。さらに、フィールド名と許容入力は、概念的な等価性を維持しつつ、現地の言語ニーズをサポートするように調整することができる。 
To achieve full alignment with FIRE, implementing jurisdictions must include all essential information items, meet baseline optionality requirements, use compatible field types, and adhere to enumerated lists. Partial implementation may still offer some coherence and interoperability benefits.  FIREとの完全な整合性を達成するために、実施する管轄区域は、すべての必須情報項目を含み、基本的な任意性要件を満たし、互換性のあるフィールドタイプを使用し、列挙されたリストを遵守しなければならない。部分的な実装であっても、一貫性と相互運用性の利点はある。 

 

 


 

金融庁

・2024.10.24 金融安定理事会による市中協議文書「インシデント報告交換フォーマット(FIRE)」の公表について

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.04.17 金融安定理事会 (FSB) サイバーインシデント報告におけるより大きな収束を実現するための提言

・2022.10.23 金融安定理事会 サイバーインシデント報告における収斂を高めるための提言

 

| | Comments (0)

« October 2024 | Main | December 2024 »