« February 2025 | Main | April 2025 »

March 2025

2025.03.31

英国 NCSC ブログ 能動的サイバー防御2.0:外部攻撃サーフェス管理試験 (trial) からの洞察 (2025.03.06)

こんにちは、丸山満彦です。

NCSCのブログで、外部攻撃サーフェス管理(EASM)試験 (trial) の結果について言及されていますね...

(NCSCのActive Cyber Defence(能動的サイバー防御)は、積極的に守るという話で、攻撃的な要素はありません...

興味深い報告書です。今年度経済産業省でサイバーセキュリティ産業振興戦略を考える際にセキュリティベンダーの意見も聞いているのですが、サイバーセキュリティ製品の普及が難しい理由に、実績がないと普及しづらいという話がありました。

その際に、政府の導入実績があると助かるという話がありましたが、英国で同じように、政府のお墨付きのようなものがあると助かるという意見があるようですね。その背景には、利用者のサイバーセキュリティへの理解がサービス提供者ほどは高くないことから、どのような製品が自分の会社にあっているのか(機能面、費用面など)見極めが難しいということなのでしょうね...

 用語の定義もあいまいな部分もあり、利用者の理解の妨げになっているところはありそうですね...これは重要なポイントかもしれませんね...

日本の場合は英国とことなり、情報処理安全確保支援士の制度があるので、専門家を利用してうまくそこをサポートできればよいように感じます。日本は経済産業省、総務省ががんばっていろいろと制度を充実させてきているので、それをうまく市場で活用できるように普及・啓発に力をいれていけばよいようにも感じます...

 

U.K. National Cyber Security Centre: NCSC - blog

・2025.03.06 ACD 2.0: Insights from the external attack surface management trials

 

ACD 2.0: Insights from the external attack surface management trials ACD2.0: 外部攻撃サーフェス管理試験 (trial) からの洞察
We publish the results of our ACD 2.0 external attack surface management (EASM) trials ACD2.0外部攻撃サーフェス管理(EASM)試験の結果を発表する
We updated you in January about the first stage of the NCSC’s ACD2.0 experiments, thanking those who had taken part. 1月にNCSCのACD2.0実験の第一段階について報告し、参加してくれた人々に感謝した。
We said we would report more fully, and today we publish an account of what we have learned. より詳細な報告をすると述べたが、本日、私たちが学んだことについて発表する。
This experiment gave the NCSC many insights, including: この実験によって、NCSCは以下のような多くの洞察を得た:
・Providers were keen to collaborate with us, highlighting the industry's commitment to advancing cyber defence through innovative solutions. ・プロバイダは我々との協力に意欲的であり、革新的なソリューションを通じてサイバー防衛を推進するという業界のコミットメントを浮き彫りにした。
・Getting organisations to take part in trials as customers was more challenging, underscoring the need to have a better understanding of the risk to their external attack surface and how EASM products can help manage this. ・顧客として組織にトライアルに参加してもらうことはより困難であり、外部攻撃表面のリスクとEASM製品がその管理にどのように役立つかをよりよく理解する必要性が浮き彫りになった。
・Users gain significant cyber security benefits from a range of EASM features, not just from specific risks and issues data. Notably, features providing improved visibility of digital footprint allowed defenders to commission work to protect or decommission assets previously unknown to security teams. ・ユーザーは、特定のリスクや問題データからだけでなく、EASMのさまざまな機能から大きなサイバーセキュリティ上のメリットを得ている。特筆すべきは、デジタルフットプリントの可視性を向上させる機能によって、防御担当者は、これまでセキュリティチームが知らなかった資産の保護や廃止のための作業を依頼できるようになったことである。
・Automated discovery provides valuable visibility of an organisation's digital footprint, which is essential for effective cyber defence. ・自動化されたディスカバリーは、組織のデジタルフットプリントの貴重な可視性を提供し、これは効果的なサイバー防御に不可欠である。
・Guidance on what constitutes a good EASM product and how organisations should select one is lacking, and would be welcomed by both provider and customer organisations. ・何が優れたEASM製品を構成し、組織がどのようにEASM製品を選択すべきかについてのガイダンスは不足しており、プロバイダと顧客組織の双方から歓迎されるであろう。
・The commercial market for EASM is thriving, offering quality services at various price points – and there is no one-size-fits-all solution. ・EASMの商業市場は繁栄しており、様々な価格帯で質の高いサービスを提供しているが、万能なソリューションは存在しない。
・A wide variety of loosely defined language is used to describe scanning activities, leading to confusion and concern among customers. ・スキャン活動を説明するために、多様で緩く定義された言葉が使われており、顧客の混乱と懸念を招いている。
・Cost remains a crucial factor for organisations when selecting tools and solutions – where budget is limited they need confidence they are choosing the right solution to meet their needs. ・予算が限られている場合、ニーズを満たす適切なソリューションを選択しているという確信が必要となる。
The insights from our experiments highlight the importance of collaboration, clear communication, and authoritative guidance in the evolving field of attack surface management. 我々の実験から得られた洞察は、進化する攻撃対象領域管理の分野において、コラボレーション、明確なコミュニケーション、権威あるガイダンスの重要性を浮き彫りにしている。
The NCSC, as the UK’s National Technical Authority for cyber security, will look to address the identified gaps, and support organisations in making informed decisions about their cyber security strategies. NCSCは、英国のサイバーセキュリティ国家技術機関として、特定されたギャップに対処し、組織がサイバーセキュリティ戦略について十分な情報に基づいた意思決定を行うことを支援する。
By promoting a deeper understanding of EASM and its benefits, the NCSC will help UK organisations to enhance their cyber defences and navigate the complex landscape of digital threats. EASMとその利点について理解を深めることで、NCSCは英国の組織がサイバー防御を強化し、デジタル脅威の複雑な状況を乗り切るのを支援する。

 

・2025.03.05  [PDF] ACTIVE CYBER DEFENCE 2.0 Attack surface management experiments

20250331-60751

 

目次...

Introduction 序文
ACD2.0 ACD2.0
Experimental approach 実験的アプローチ
Why ASM? なぜASMなのか?
Objective 目的
Key findings 主な調査結果
Methodology 方法論
The trials 試行
Marketplace understanding 市場理解
General features 一般的特徴
Asset discovery 資産発見
Suppliers and 3rd party risk サプライヤとサードパーティリスク
Hierarchical access control 階層的アクセス制御
Product tailoring 製品調整
Risks and issues – identification and prioritisation リスクと問題-特定と優先順位付け
Summary まとめ
Further Analysis さらなる分析
The NCSC and the commercial market NCSCと商用市場
Risk understanding and appetite リスク理解と選好
The future of EASM EASMの将来

 

序文から方法論まで...

Introduction  序文
ACD2.0  ACD2.0
In August 2024 the NCSC’s CTO Ollie Whitehouse and Director of National Resilience Jonathon Ellison signalled the next stage of the NCSC’s Active Cyber Defence (ACD) services with the announcement of ACD2.0 . The core approach for ACD2.0 is that of partnership; across the NCSC, across the cyber security community in government, and crucially also with industry and academia. The journey started with the first series of experiments exploring attack surface management (ASM).  2024年8月、NCSCのCTOオリー・ホワイトハウスと国家レジリエンス部長ジョナソン・エリソンは、 NCSCのアクティブ・サイバー・ディフェンス(ACD)の次のステージを宣言した。ACD2.0の中核となるアプローチは、NCSC、政府内のサイバーセキュリティ・コミュニティ、そして産業界や学界とのパートナーシップである。この旅は、攻撃対象領域管理(ASM)を探求する最初の一連の実験から始まった。
Following that announcement, a small time-bounded team was formed to formulate and carry out the ACD2.0 ASM experiments over the following six months. In January, we shared our initial insights and thanked the ASM providers for their involvement in this work .  この発表を受けて、小規模の時間的制約のあるチームが結成され、その後6ヶ月間にわたってACD2.0のASM実験を策定・実施した。1月には、最初の洞察を共有し、ASMプロバイダのこの作業への参加に感謝した。
This report is a deeper dive into what we have learned. The project itself was a set of experiments, but we have focused this report primarily on the Commercial Trials of EASM Products & Services experiment, where we believe there is the most benefit to an external audience.  本レポートは、我々が学んだことをより深く掘り下げたものである。このプロジェクト自体は一連の実験であったが、本報告書では、外部の聴衆にとって最も有益であると考えられる「EASM製品・サービスの商業的試行」実験に主眼を置いた。
Experimental approach  実験的アプローチ
We have referred throughout this work to running experiments, or taking an experimental approach. This concept was a fundamental value in our approach to this work. We were robust (including with our internal stakeholders!) in defending our position that we would not pre-judge the outcomes of this work until reaching the final conclusions, and that any conclusions and recommendations would be grounded in evidence from our research.  我々はこの作業を通じて、実験を行うこと、あるいは実験的アプローチをとることに言及してきた。このコンセプトは、この仕事へのアプローチにおける基本的な価値観であった。私たちは、最終的な結論に達するまで、この仕事の結果を事前に判断することはなく、いかなる結論や提言も、私たちの調査から得られた証拠に基づくものであるという立場を守るために、(社内の利害関係者を含めて!)確固たる姿勢を貫いた。
Why ASM?  なぜASMなのか?
Attack surface management was chosen as the first of the ACD2.0 experiments for a variety of reasons. This was not least due to the NCSC’s years of experience running ASM or ASM-like services – namely Web Check, Mail Check, and Early Warning.  アタック・サーフェス・マネジメントがACD2.0の最初の実験として選ばれたのには、さまざまな理由がある。これは、NCSCが長年にわたってASMまたはASMに類似したサービス、すなわちウェブチェック、メールチェック、早期警戒を実施してきた経験があったからにほかならない。
The experiments were under the banner of ASM. However, the focus of this report is on our commercial trials specifically of external attack surface management (EASM) products. For the purposes of this experiment, we defined an EASM product as something that:  実験はASMの旗印の下で行われた。しかし、この報告書の焦点は、特に外部攻撃表面管理(EASM)製品の商業的実験にある。この実験では、EASM製品を次のように定義した: 
 “conducts or uses scanning data to identify assets or services that are publicly reachable online and highlights risks associated with the asset, its configuration, or maintenance”  「スキャンデータを実施または使用して、オンライン上で一般にアクセス可能な資産またはサービスを特定し、資産、その構成、または保守に関連するリスクを浮き彫りにする」
Objective  目的
The primary aim of this experiment was to gain better market understanding with a view to understanding the benefits of EASM products, market differentiators, approaches to risks and authorisations, and considering future commercial models.  この実験の主な目的は、EASM製品の利点、市場の差別化要因、リスクと認可に対するアプローチを理解し、将来の商業モデルを検討することを視野に入れて、市場理解を深めることであった。
We sought specifically to understand:  具体的には以下のことを理解しようとした: 
> the extent and maturity of the commercial market  > 商用市場の範囲と成熟度
> the cyber security benefits of using EASM products  > EASM製品を使用することによるサイバーセキュリティ上のメリット
> the types of solutions and features available  > 利用可能なソリューションの種類と機能
> where the NCSC’s role as the National Technical Authority (NTA) best fits Additionally, as the first of the ACD2.0 experiments, we aimed to:  > 国家技術局(NTA)としてのNCSCの役割が最も適合する場所 さらに、ACD2.0実験の第一弾として、以下を目指した: 
> understand the best way to carry out these partnership-led experiments  > パートナーシップ主導の実験を実施する最善の方法を理解する。
> challenge internal NCSC ways of working to allow the experiment to maintain independence  > 実験の独立性を維持するために、NCSC内部の作業方法に挑戦すること
> make recommendations for how we run the next ACD2.0 experiments  > 次回のACD2.0実験の実施方法について提言を行うこと
Key findings  主な調査結果
Throughout this report, we have highlighted where we have drawn specific conclusions used to inform our recommendations. Some of those are summarised here:  本報告書全体を通して、提言を行うための具体的な結論を導き出した箇所を強調した。その一部をここに要約する: 
> There is a clear established and thriving commercial market for EASM, providing quality services at a range of price points (including some free tiers).  > EASMの商用市場は明確に確立され、繁栄しており、さまざまな価格帯(無料のものも含む)で質の高いサービスを提供している。
> There is no concept of a one-size-fits-all EASM product.  > 万能のEASM製品という概念は存在しない。
> Users gain direct and/or indirect cyber security benefit from a range of EASM features.  > ユーザーはさまざまなEASMの機能から、直接的または間接的にサイバーセキュリティ上のメリットを得ている。
> Providers are very keen to work with the NCSC and will act quickly and flexibly to do so.  > プロバイダはNCSCと協力することを強く望んでおり、そのために迅速かつ柔軟に行動する。
> A wide variety of loosely defined language is being used to describe scanning activities.  > スキャン活動の説明には、多様で緩やかな定義が用いられている。
> Customer organisations routinely raise concerns about potential impact of EASM scanning activity.  > 顧客組織は日常的に、EASMのスキャン活動の潜在的影響について懸念を表明している。
Gaps and opportunities:  ギャップと機会 
> There is a gap for authoritative leadership in identifying what specific EASM-related risks and issues are most critical for organisations to resolve.  > 組織が解決すべき具体的なEASM関連のリスクや問題のうち、最も重要なものを特定する上で、権威あるリー ダーシップを発揮するためのギャップがある。
> There is a gap for authoritative leadership on what constitutes a good EASM product and how organisations should go about selecting one.  > 何が優れたEASM製品であり、組織はどのようにEASM製品を選択すべきかについて、権威あるリー ダーシップを発揮するためのギャップがある。
> There is a gap for thought leadership regarding responsible monitoring of 3rd parties using EASM and related tools and products.  > EASMや関連ツール・製品を使用した第三者に対する責任ある監視に関して、ソートリーダーシップのギャップがある。
> There is an opportunity to establish a better connection with the industry to share our leadership as an NTA, keep up to date with developments, and build a view of what is happening across sectors to ultimately serve end users better.  > NTAとしてのリーダーシップを共有し、最新の動向を把握し、最終的にエンドユーザーにより良いサービスを提供するために、セクターを超えて何が起きているのかを把握するために、業界とのより良いつながりを確立する機会がある。
We have made internal recommendations for the NCSC to address the key gaps identified.  我々は、特定された主要なギャップに対処するため、NCSCに対して内部提言を行った。
Subsequent announcements and publications will be made as appropriate.  その後の発表や公表は適宜行う予定である。
Methodology  方法論
To achieve the primary aim of better market understanding, the experiment involved the following activities:  市場理解を深めるという第一の目的を達成するため、実験では以下の活動を行った: 
• asking EASM providers to offer free trials and agree to help with our research  ・EASMプロバイダに無償トライアルを依頼し、研究への協力を承諾してもらう
• signing up a selection of customer organisations to the free trials  ・一部の顧客機関を無償トライアルに参加させる
• observing the use of the products  ・製品の使用状況を観察する
• interviewing providers  ・プロバイダへのインタビュー
• surveying and interviewing customer organisation users  ・顧客機関のユーザーへの調査とインタビュー
The trials  トライアル
In numbers, the commercial trials included:  数で言えば、商用トライアルには以下のものが含まれる: 
• 10 EASM products  ・10種類のEASM製品
• 27 customer organisations  ・27の顧客組織
• 35 trials (some organisations trialled multiple products)  ・35のトライアル(複数の製品をトライアルした組織もあった)
• Around 900 days’ worth of combined trial time  ・合わせて約900日分のトライアル期間
• Average of 25-30 days per product per organisation  ・1組織あたり1製品あたり平均25~30日
Working with providers  プロバイダとの協力
We published a public call to EASM providers to be involved in the experiment, asking for low- or zero-cost proposals. The response was very encouraging, with 20 companies making offers. Due to limited team bandwidth, a selection process was conducted to limit the trials to 10 products. This review included alignment with our definition of EASM, previous NCSC engagement, flexibility of the offer (noting any caveats), and primarily ensuring technical diversity of EASM solutions within the trial.  EASMプロバイダに対して、この実験に参加するよう公募を行い、低コストまたはゼロコストの提案を求めた。20社から申し出があり、非常に心強い反応だった。チームの帯域幅が限られていたため、選考プロセスを実施し、実験を10製品に絞った。この審査では、EASMの定義に合致していること、NCSCが過去に関与したことがあること、申し出の柔軟性(注意事項があれば指摘すること)、主に試験内のEASMソリューションの技術的多様性を確保することなどが考慮された。
Because this selection was not a rigorous formal commercial process, it must not be considered a reflection on the quality of products or services from the organisations. The NCSC publicly acknowledges and thanks all companies who offered to work with us on this experiment.  この選定は厳密な正式な商業プロセスではないため、各機関の製品やサービスの質を反映したものと考えてはならない。NCSCは、この実験への協力を申し出てくれたすべての企業に対し、公式に謝意を表する。
Throughout the experiment, the support and engagement offered by the EASM providers was excellent. They were keen to help us, made plenty of time available both directly to us and to the onboarded customers, provided insightful feedback in interviews, and were highly responsive to our requests. We felt that providers appreciated the opportunity to shape the NCSC’s direction, and provided valuable input – we recommend this approach be considered for other ACD2.0 experiments and wider.  実験を通して、EASMプロバイダが提供してくれたサポートと協力は素晴らしかった。プロバイダは私たちを熱心に支援し、私たちに直接、またオンボードされた顧客にも多くの時間を割いてくれ、面談では洞察に満ちたフィードバックを提供してくれた。プロバイダは、NCSC の方向性を形成する機会に感謝し、貴重な意見を提供してくれた。
Conclusion – Providers are very keen to work with the NCSC, and will act quickly and flexibly to do so, even incurring costs to support experiments.  結論:プロバイダはNCSCと協力することを非常に望んでおり、そのために迅速かつ柔軟に行動し、実験をサポートするために費用を負担することもある。
Working with customer organisations  顧客組織との協力
We recruited volunteer organisations through various methods to achieve a mix of public and private organisations of various sizes.  様々な規模の公共・民間組織が混在するよう、様々な方法でボランティア組織を募集した。
We will not publicly name the participating organisations, but would like to take this opportunity to thank all those who gave up their time and resources to support our experiment.  参加組織の名前は公表しないが、この場を借りて、我々の実験を支援するために時間とリソースを割いてくれたすべての人々に感謝したい。
One observation worth highlighting was that several organisations had concerns over scanning activities carried out by EASM products, with several requiring security sign-off or approval from change boards. This was more common in larger organisations. In contrast to the provider engagement, where we were concerned that asking for free product trials would be a blocker but had a very positive response, we found giving away those free product trials was a much bigger challenge. The time spent discussing concerns and resolving issues impacted our onboarding timelines and limited our experimental data collection. This is not a criticism of the participating organisations, but rather an observation of the challenges in understanding the risks of scanning, something we explore later in this report.  特筆すべき観察として、いくつかの組織がEASM製品によるスキャン活動に懸念を抱いており、セキュリティのサインオフや変更委員会の承認を必要とする組織がいくつかあった。これは、より大規模な組織でより一般的であった。プロバイダとの取り組みでは、製品の無料トライアルを求めることが障害になるのではないかと懸念したが、非常に前向きな反応が得られたのとは対照的に、製品の無料トライアルを提供することは、はるかに大きな課題であることがわかった。懸念事項を話し合い、問題を解決するために費やされた時間は、オンボーディングのスケジュールに影響を与え、実験データの収集に制限を与えた。これは、参加組織を批判しているのではなく、スキャニングのリスクを理解する上での課題を観察しているのである。
Conclusion – It was easier to get EASM providers to offer free trials to support the NCSC’s experiments, than it was for customer organisations to onboard onto those trials.  結論 ・NCSCの実験をサポートするために、EASMプロバイダに無料トライアルを提供してもらうのは、顧客組織がトライアルに参加するよりも簡単だった。
Matching providers and customers  プロバイダと顧客のマッチング
We made best efforts to match customer organisations to EASM products to achieve the following, often contradictory, principles:  私たちは、顧客組織とEASM製品のマッチングに最善の努力を払い、以下のような、しばしば矛盾する原則を達成した: 
• ensuring a mix of organisation types (public/private/charity) on each product  ・各製品において、組織のタイプ(公共/民間/慈善)を確実に混在させる
• ensuring a mix of organisation sizes on each product  ・各製品において、組織の規模を確実に混在させる
• managing the organisations’ risk appetites  ・組織のリスク選好度をマネジメントする
• making sure organisations got cyber security benefit from the work, by picking EASM products best suited to their current challenges ・各組織の現在の課題に最も適したEASM製品を選択することで、組織が作業からサイバーセキュリティ上の利益を得られるようにする。

 

 


 

参考...

 

U.K. National Cyber Security Centre: NCSC - blog

・2025.01.23 ACD 2.0 exploration into attack surface management completed

・2024.08.02 Introducing Active Cyber Defence 2.0

 

るちゃんの情報セキュリティ気まぐれ日記

・2024.11.27 英国 NCSC「Active Cyber Defence」 のウェブページ

 

| | Comments (0)

英国 ICO 匿名化ガイダンス (2025.03.28)

こんにちは、丸山満彦です。

GDPRと同等と評価されている、UK-GDPRの新しいガイダンスとして、匿名化ガイダンスが公表されていますね...

丁寧に説明されていてわかりやすいと思います...

 

ちなみに、ICOのUK-GDPRに関するガイダンスは、数多く発行されています...

Subject access requests (also known as SARs or right of access) 対象者アクセス要求(SARまたはアクセス権とも呼ばれる)
Individual rights - guidance and resources 個人の権利 - ガイダンスとリソース
Lawful basis 法的根拠
Controllers and processors 管理者と処理者
International transfers 国際的なデータ移転
Security, including cyber security サイバーセキュリティを含むセキュリティ
Employment information 雇用に関する情報
Artificial intelligence 人工知能
Research provisions 研究規定
Online safety and data protection オンライン安全とデータ保護
Personal information - what is it? 個人情報とは何か?
Data protection principles - guidance and resources データ保護の原則 - ガイダンスとリソース
CCTV and video surveillance CCTVとビデオ監視
Accountability and governance 説明責任とガバナンス
Exemptions 適用除外
Data sharing データ共有
Children's information 子供の情報
Designing products that protect privacy プライバシーを保護する製品を設計する

 

今回はデータ共有のガイドラインの一つとして公表されていますね...

 

U.K. Information Commissoner's Office: ICO

1_20250330211301

・2025.03.28 Anonymisation

Contents 目次
About this guidance 本ガイダンスについて
Why have you produced this guidance?  なぜ本ガイダンスを作成したのか?
What is this guidance about? 本ガイダンスは何についてのガイダンスか?
Who is this guidance for? このガイダンスは誰のためのものか?
How is this guidance structured? 本ガイダンスはどのように構成されているか?
Introduction to anonymisation 匿名化の序文
What is personal data? 個人データとは何か?
What is anonymous information? 匿名情報とは何か?
What is anonymisation? 匿名化とは何か?
Is anonymisation always necessary? 匿名化は常に必要か?
Is anonymisation always possible? 匿名化は常に可能か?
What are the benefits of anonymisation? 匿名化にはどのような利点があるのか?
If we anonymise personal data, does this count as processing? 個人データを匿名化した場合、これは処理とみなされるのか?
What is the difference between anonymisation and pseudonymisation? 匿名化と仮名化の違いは何か。
What about ‘de-identified’ personal data? 非識別」個人データについてはどうなのか?
How do we ensure anonymisation is effective? 匿名化が効果的であることを確認するにはどうすればよいか?
What should our anonymisation process achieve? 匿名化プロセスは何を達成すべきか?
What is identifiability? 識別可能性とは何か?
What are the key indicators of identifiability? 識別可能性の主な指標は何か。
What is the “spectrum of identifiability”? 識別可能性のスペクトル」とは何か?
What does data protection law say about assessing identifiability risk? 識別可能性のリスクアセスメントについて、データ保護法はどのように規定しているか?
How should we approach this assessment? アセスメントにはどのようにアプローチすべきか?
What factors should we include? どのような要素を含めるべきか?
Do we need to consider who else may be able to identify people from the data? データから個人を特定できる可能性のある人物を検討する必要があるか?
Can we anonymise within our organisation? 組織内で匿名化できるか?
What is the “motivated intruder” test? 動機付けされた侵入者」テストとは何か?
How do we apply the motivated intruder test? 動機付け侵入者テストをどのように適用するか?
When should we review our identifiability risk assessments? 識別可能性リスクアセスメントはいつ見直すべきか?
How do we decide when and how to release data? いつ、どのようにデータを公開するかをどのように決定するか?
What approaches can we take to anonymisation? 匿名化にはどのようなアプローチがあるか?
Psedonymisation 仮名化
What is pseudonymisation? 仮名化とは何か?
Is pseudonymised data still personal data? 仮名化されたデータも個人データなのか?
What are the benefits of pseudonymisation? 仮名化のメリットは何か?
How can pseudonymisation help us to reduce risk? 仮名化はリスク低減にどのように役立つのか?
Can pseudonymisation help us process data for other purposes? 仮名化は他の目的でのデータ処理に役立つか?
Are there any offences relating to pseudonymisation? 偽名処理に関する犯罪はあるか?
How should we approach pseudonymisation? どのように仮名化に取り組むべきか。
What pseudonymisation techniques should we use? どのような仮名化技術を使用すべきか。
How should we assess the risk of attackers reversing pseudonymisation? 攻撃者が仮名化を無効にするリスクをどのようにアセスメントすべきか。
What organisational measures should we consider for pseudonymisation? 仮名化のためにどのような組織的措置を考慮すべきか。
What accountability and governance measures do we need? どのような説明責任とガバナンス対策が必要か?
What governance approach should we take? どのようなガバナンスアプローチを取るべきか?
Who should be responsible for our anonymisation process? 誰が匿名化プロセスに責任を持つべきか?
Why do we want to anonymise personal data? なぜ個人データを匿名化したいのか。
How should we work with other organisations? 他の組織とどのように協力すべきか?
What type of disclosure is it? どのようなタイプの開示なのか?
How should we identify potentially difficult cases? 困難と思われるケースをどのように識別すべきか?
How should we ensure transparency? 透明性をどのように確保すべきか?
How should we ensure appropriate staff training? 適切なスタッフ研修をどのように確保すべきか?
How should we mitigate identification risk due to a security incident? セキュリティ・インシデントによる特定リスクをどのように緩和すべきか?
What other legal considerations apply?  その他どのような法的考慮事項が適用されるか?
Case studies ケーススタディ
pseudonymising employee data for recruitment analytics 採用分析のための従業員データの仮名化
trusted third parties for market insights 市場洞察のための信頼できるサードパーティ
Glossary 用語集

 

 

 

・2025.03.28 About this guidance

Anonymisation  匿名化 
About this guidance 本ガイダンスについて
At a glance 概要
・Anonymisation is a privacy-friendly way to harness the potential of data. ・匿名化は、データの可能性を活用するためのプライバシーに配慮した方法である。
・Anonymising personal data is possible in many circumstances. Whether you can effectively anonymise personal data depends on the techniques you use. You should reduce the risks of identifying people to a sufficiently remote level that the information is effectively anonymised. ・個人データの匿名化は多くの状況で可能である。個人データを効果的に匿名化できるかどうかは、使用する技術による。情報が効果的に匿名化されるように、個人を特定するリスクを十分に遠ざける必要がある。
・This guidance will help all organisations that want to anonymise personal data, for whatever purpose. ・このガイダンスは、どのような目的であれ、個人データの匿名化を望むすべての組織の助けとなる。
・It will help you identify the issues you should consider to use anonymisation techniques effectively.  ・匿名化技術を効果的に使用するために考慮すべき問題を特定するのに役立つ。
In detail 詳細
Why have you produced this guidance?  ・なぜこのガイダンスを作成したのか?
What is this guidance about? ・このガイダンスは何に関するものか?
Who is this guidance for? ・このガイダンスは誰のためのものか?
How is this guidance structured? ・このガイダンスはどのように構成されているか?
Why have you produced this guidance? なぜこのガイダンスを作成したのか?
We understand the benefits that sharing personal data can bring to organisations, people and society as a whole. But there are risks too. Effective anonymisation techniques provide a privacy-friendly alternative to sharing personal data.   我々は、個人データの共有が組織、人々、社会全体にもたらす利益を理解している。しかしリスクもある。効果的な匿名化技術は、個人データを共有する際にプライバシーに配慮した代替手段を提供する。
This guidance sits alongside our data sharing code of practice, which gives practical guidance on how to share personal data in line with data protection law. Anonymisation offers an alternative way to use or share data by making sure that people are not identifiable.  このガイダンスは、データ保護法に沿って個人データを共有する方法について実践的なガイダンスを提供する、我々のデータ共有実践規範と並ぶものである。匿名化は、個人を特定できないようにすることで、データを使用または共有する代替方法を提供する。
What is this guidance about?  このガイダンスはどのようなものか?
This guidance will help you develop your understanding of anonymisation techniques, their strengths and weaknesses, and the suitability of their use in particular situations. It:   本ガイダンスは、匿名化技術、その長所と短所、および特定の状況における使用の妥当性について理解を深めるのに役立つ。
・explains what we mean by anonymisation and pseudonymisation; ・匿名化および仮名化の意味について説明する。
・details how this affects your data protection obligations and responsibilities; ・これがデータ保護の義務と責任にどのように影響するかについて詳述する。
・discusses what you should consider when anonymising personal data; ・個人データを匿名化する際に考慮すべき点について説明する。
・provides good practice advice anonymising personal data; and ・個人データを匿名化する際のグッドプラクティス・アドバイスを提供する。
・discusses technical and organisational measures to mitigate the risks to people when you do so. ・匿名化する際の人々のリスクを緩和するための技術的および組織的対策について説明する。
This guidance deals with the role that anonymisation plays in the three regimes of data protection law:   本ガイダンスは、データ保護法の3つの制度において匿名化が果たす役割を扱う。
・general processing under Part 2 of the Data Protection Act 2018 (DPA 2018) and the UK General Data Protection Regulation (UK GDPR); ・データ保護法2018(DPA2018)第2部に基づく一般的処理と英国一般データ保護規則(英国GDPR)、
・law enforcement processing under Part 3 DPA 2018; and ・DPA2018第3部に基づく法執行処理、
・intelligence services processing under Part 4 DPA 2018. ・DPA2018第4部に基づく情報サービス処理。
Where relevant, the guidance highlights and explains any differences between the regimes. 関連する場合、本ガイダンスは、制度間の相違点を強調し説明する。
However, it is not intended as an exhaustive guide to data protection compliance and it is not prescriptive. It gives you the flexibility to implement anonymisation techniques in your own way, taking a proportionate and risk-based approach. しかし、このガイダンスは、データ保護コンプライアンスに関する網羅的なガイドとして意図されたものではなく、また防御的なものでもない。本ガイダンスは、匿名化技術を独自の方法で実施する柔軟性を提供し、比例的かつリスクベースのアプローチをとる。
This guidance does not generally consider the impacts of anonymisation on areas of ICO work outside data protection. However, if you are also a public authority or a public body, you should follow this guidance when considering disclosing or allowing re-use of anonymous datasets under the Freedom of Information Act 2000 (FOIA), Environmental Information Regulations 2004 (EIR), or the Re-use of Public Sector Information Regulations 2015 (RPSI).  本ガイダンスでは、匿名化がデータ保護以外の ICO の業務に与える影響については一般的に考慮し ていない。しかし、あなたが認可機関や公的団体でもある場合、2000年情報公開法(FOIA)、2004年環境情報規則(EIR)、2015年公共部門情報再利用規則(RPSI)に基づき匿名データセットの開示や再利用を検討する際には、このガイダンスに従うべきである。
This guidance is not a statutory code. It contains advice on how to interpret relevant law on anonymisation and pseudonymisation. It also contains good practice recommendations. 本ガイダンスは法的規範ではない。匿名化および仮名化に関する関連法の解釈方法に関する助言が含まれている。また、グッドプラクティスの推奨も含まれている。
There is no penalty if you don’t follow these recommendations. But you must find another way to comply with the law when you produce and disclose anonymous information. You may also find alternative methods that go beyond the good practice measures we set out. これらの勧告に従わなくとも罰則はない。しかし、匿名情報を作成し開示する際には、法律を遵守するための別の方法を見つけなければならない。また、私たちが定めたグッドプラクティスの対策を超える代替方法を見つけることもできる。
However, when we look into an issue about anonymisation, we will take this guidance into consideration. しかし、匿名化に関する問題を調査する際には、本ガイダンスを考慮する。
This guidance does not describe every possible anonymisation technique in detail but it includes case studies and good practice recommendations. It applies to all mediums, including tabular data, free text, video, images, and audio (including speech).   このガイダンスは、可能な限りの匿名化手法を詳細に説明するものではないが、ケーススタディとグッドプラクティスの推奨を含んでいる。表データ、フリーテキスト、ビデオ、画像、音声(音声を含む)など、あらゆる媒体に適用される。
Further reading outside this guidance 本ガイダンス以外の参考資料
Read the UK GDPR guidance and resources pages for more information for more information. 詳細については、英国のGDPRガイダンスとリソースのページを読むこと。
Who is this guidance for? このガイダンスは誰のためのものか?
You should use this guidance if you are considering turning personal data into anonymous information. For example, this guidance is relevant if you:  個人データを匿名情報にすることを検討している場合、本ガイダンスを使用すべきである。例えば、
・are required by law to publish anonymous information (eg some health service bodies); ・匿名情報を公表することが法律で義務付けられている場合(一部の医療サービス団体など)、
・are looking to use data in new and innovative ways (eg to improve services or design new products or collect large volumes of data to train AI models); ・新しく革新的な方法でデータを利用しようとしている場合(サービスの改善や新製品の設計、AIモデルを訓練するための大量のデータ収集など)、
・need to comply with a request for information under FOIA or EIR or a request for re-use under RPSI, and it includes personal data; ・FOIAまたはEIRに基づく情報要求、またはRPSIに基づく再利用要求に応じる必要があり、その中に個人データが含まれている場合、
・want to become more transparent and accountable to people; or ・人々に対してより透明性を高め、説明責任を果たしたい場合、
・want to provide anonymous information for research purposes, or to enable wider societal benefits. ・研究目的で匿名情報を提供したい場合、またはより広範な社会的利益を実現したい場合など。
How is this guidance structured? このガイダンスの構成は?
This guidance is divided into sections that cover different aspects of anonymisation in data protection law.   本ガイダンスは、データ保護法における匿名化の様々な側面をカバーするセクションに分かれている。 
The first section introduces the key concepts of anonymisation and pseudonymisation, places them in the context of the UK legal framework, and explains the role they play.  第1章では、匿名化と仮名化の主要概念を紹介し、英国の法的枠組みの中でそれらを位置づけ、それらが果たす役割について説明する。
The second section covers the concept of identifiability, including approaches such as the ‘spectrum of identifiability’ and how these can apply in data sharing scenarios. This section also looks at how you can manage identification risk, and covers established concepts like the ‘reasonably likely’ and ‘motivated intruder’ tests 第2章では、「識別可能性のスペクトラム」などのアプローチを含む識別可能性の概念と、これらがデータ共有のシナリオにどのように適用されるかを説明する。このセクションはまた、識別リスクをどのようにマネジメントできるかについても見ており、「合理的に可能性が高い」テストや「動機のある侵入者」テストなどの確立された概念についても取り上げている。
The third section looks at how pseudonymisation can help you achieve data protection compliance and which technologies can provide effective pseudonymisation. 第3章では、仮名化がデータ保護コンプライアンスの達成にどのように役立つのか、また、どのような技術が効果的な仮名化を提供できるのかについて考察する。
The fourth section considers accountability and governance requirements in the context of anonymisation, including data protection by design, data protection impact assessments (DPIAs) and the use of trusted third parties.   第4章では、設計によるデータ保護、データ保護影響評価(DPIA)、信頼できるサードパーティの利用など、匿名化の文脈における説明責任とガバナンスの要件について考察する。
The fifth and final section includes case studies providing practical examples of effective anonymisation 最後の第5章では、効果的な匿名化の実践例を提供するケーススタディを紹介する。
In each section, we discuss what you must do to comply with data protection law, as well as what you should do as good practice.   各章では、データ保護法を遵守するために何をしなければならないか、またグッドプラクティスとして何をすべきかを論じている。 
If you are a reader with a general interest in understanding the concepts of anonymisation and pseudonymisation: read the first section.
匿名化と仮名化の概念を理解することに一般的な関心をお持ちの読者の方は、最初のセクションをお読みいただきたい。
If you are a technical expert and want to understand whether the technology you use results in anonymous or pseudonymous data: read the second and third sections. 技術的な専門家であり、使用する技術によって匿名または仮名のデータが得られるかどうかを理解したい場合は、第2および第3のセクションを読む。
If you are a decision maker looking for information about the types of techniques available for anonymisation and pseudonymisation: read the first and fourth sections.   意思決定者であり、匿名化および仮名化のために利用可能な技術の種類に関する情報をお探しの場合は、第1章および第4章をお読みください。 

 

 


 

ガイドラインの全体像...

 

Subject access requests (also known as SARs or right of access) 対象者アクセス要求(SARまたはアクセス権とも呼ばれる)
What is a subject access request (SAR), how to recognise them and when and how to respond to them. 対象者アクセス要求(SAR)とは何か、それをどのように認識し、いつ、どのように対応すべきか。
The guidance on this page is suitable for large businesses in the public, private and third sectors. Small businesses should use the resources on our small business web hub. このページのガイダンスは、公共、民間および第三セクターの大企業に適している。中小企業は、中小企業ウェブハブのリソースを利用すること。
Help and support ヘルプおよびサポート
Subject access request self service 対象者アクセス要求セルフサービス
Use this tool to get answers to your questions about subject access requests (SARs). 対象者アクセス要求(SAR)に関する質問への回答を得るには、このツールを使用する。
Find the right subject access request resources 適切な対象者アクセス要求のリソースを見つける
A quick reference guide to help you find the content you need on each subject access request topic.  対象者アクセス要求の各トピックについて、必要なコンテンツを見つけるのに役立つクイック・リファレンス・ガイド。
Brief guidance 簡単なガイダンス
A guide to subject access requests  対象者へのアクセス要求の手引き 
Brief guidance about SARs including information about how to recognise and respond to a request, finding and providing the information and when you can withhold information or refuse a request. SARに関する簡単なガイダンス。要請を認識し対応する方法、情報を見つけ提供する方法、情報を差し控えたり要請を拒否できる場合などに関する情報を含む。
Detailed guidance  詳細ガイダンス
Subject access requests (SARs, right of access) 対象者アクセス要求(SAR、アクセス権)
What is a subject access request (SAR), how to recognise them, when and how to respond to them, when you can withhold information or refuse a request and how to manage health, social work and education information in relation to SARs 対象者アクセス要求(SAR)とは何か、対象者アクセス要求の認識方法、対象者アクセス要求 に対応する時期と方法、対象者アクセス要求に関して情報の提供の差し控えや要求の拒否 が可能な場合、SARに関連する医療、福祉、教育情報の管理方法
Resources リソース
Training videos: individual rights  トレーニングビデオ:個人の権利 
Recordings of ICO staff training on individual rights including subject access, available for you to reuse.  対象者アクセスなど個人の権利に関するICOスタッフトレーニングの記録。
Individual rights - guidance and resources 個人の権利 - ガイダンスとリソース
Writing a privacy notice, responding to a subject access request, and when to delete, change, move or stop processing people's information. プライバシー通知の作成、対象者へのアクセス要求への対応、および個人情報の削除、変更、移動、処理中止のタイミング。
The guidance on this page is suitable for large businesses in the public, private and third sectors. Small businesses should use the resources on our small business web hub. このページのガイダンスは、公共、民間および第三セクターの大企業に適している。中小企業は、中小企業ウェブハブのリソースを利用すること。
Brief guidance 簡単なガイダンス
A guide to individual rights 個人の権利に関する手引き
Brief guidance covering privacy notices, subject access requests, deleting and changing information, stopping and restricting processing, moving information and making automated decisions about people. プライバシー通知、対象者へのアクセス要求、情報の削除と変更、処理の停止と制限、情報の移動、および人に関する自動化された意思決定をカバーする簡単なガイダンス。
Detailed guidance  詳細ガイダンス
The right to be informed (privacy notices) 通知を受ける権利(プライバシー通知)
When, how and what should you tell people about how their information is used.  情報の使用方法について、いつ、どのように、何を伝えるべきか。
The right of access (subject access requests) アクセス権(対象者アクセス要求)
What is a subject access request (SAR), how to recognise them, when and how to respond to them and how to manage health, social work and education information in relation to SARs.  対象者アクセス要求(SAR)とは何か、それをどのように認識するか、いつ、どのように対応するか、SARに関連する医療、福祉、教育情報をどのように管理するか。
Automated decision-making and profiling 自動化された意思決定とプロファイリング
What is automated individual decision-making and profiling, what does the UK GDPR say about when and how you can carry out automated decision-making. 自動化された個人の意思決定とプロファイリングとは何か、いつ、どのように自動化された意思決定を行うことができるかについて、英国のGDPRは何を述べているか。
Resources リソース
Find Subject Access Request (SAR) resources 対象者アクセス要求(SAR)リソースの検索
A quick reference guide to help you find the content you need on each subject access request topic. 対象者アクセス要求の各トピックについて必要なコンテンツを見つけるのに役立つクイック・リファレンス・ガイド。
Training videos: individual rights  トレーニングビデオ: 個人の権利 
Recordings of ICO staff training on the data protection principles, available for you to reuse.  データ保護の原則に関するICOスタッフトレーニングの録画。
Lawful basis 法的根拠
Consent, contracts, legitimate interests, vital interests, public task, legal obligation, special category data, criminal offence data and biometrics. 同意、契約、正当な利益、重要な利益、公的任務、法的義務、特殊カテゴリーデータ、犯罪データ、生体データ。
The guidance on this page is suitable for large businesses in the public, private and third sectors. Small businesses should use the resources in our section containing advice for small organisations. このページのガイダンスは、公共、民間、第三セクターの大企業に適している。中小企業は、小規模組織向けのアドバイスを含むセクションのリソースを利用すべきである。
Brief guidance  簡単なガイダンス
A guide to lawful basis for using information 情報使用の合法的根拠に関するガイド
Guidance on the six reasons you can use for using personal information (known as lawful basis), how you can decide the right one for you, and the extra rules for more sensitive types of information (including special category and criminal offence data). 個人情報を使用する際に使用できる6つの理由(合法的根拠と呼ばれる)、自社に適切な理由を決定する方法、よりセンシティブなタイプの情報(特別カテゴリーおよび犯罪データを含む)に対する追加規則に関するガイダンス。
Detailed guidance  詳細ガイダンス
Consent  同意 
When you can (and can't) use consent, why it's important, and how to obtain, record and manage consent. 同意を使用できる(できない)場合、同意が重要な理由、同意を取得、記録、管理する方法。
Legitimate interest  正当な利益 
When you can use legitimate interests and how to apply it. 正当な利益を使用できる場合とその適用方法。
Special category data 特別カテゴリーデータ
What is special category data, what are the rules about using it and what are the extra conditions you need to meet. 特別カテゴリーデータとは何か、その使用に関する規則とは何か、満たすべき追加条件とは何か。
Criminal offence data 犯罪行為データ
What is criminal offence data, what are the rules for using it and what are extra conditions you need to meet. 犯罪行為データとは何か、それを使用する際の規則とは何か、満たす必要のある追加条件とは何か。
Biometric data guidance: Biometric recognition 生体データガイダンス: 生体認証
What is biometric data, what is meant by "biometric recognition", demonstrating compliance with data protection obligations and processing biometric data fairly and lawfully. 生体認証データとは何か、「生体認証」が意味するもの、データ保護義務の遵守を示すこと、生体認証データを公正かつ合法的に処理すること。
In your sector あなたのセクターでは
The lawful basis for the processing of vehicle keeper data by the Driver and Vehicle Licensing Agency (DVLA) 運転免許局(DVLA)による車両管理者データ処理の合法的根拠。
Commissioner’s Opinion primarily for the DVLA and the Department of Transport. It sets out the correct lawful basis for the DVLA to process vehicle keeper data when sharing it with car park management companies to recover unpaid parking charges. Commissioner's Opinion mainly for the DVLA and the Department of Transport. この見解は、DVLAが未払い駐車料金を回収するために駐車場管理会社と車両管理データを共有する際に、車両管理データを処理するための正しい合法的根拠を示している。
Resources  リソース 
Lawful basis interactive toolkit  合法的根拠インタラクティブツールキット 
Answer questions to help decide the lawful basis you can use. 使用できる合法的根拠を決定するのに役立つ質問に答える。
Training videos: handling more sensitive information トレーニングビデオ: よりセンシティブな情報の取り扱い
Recordings of ICO staff training special category and criminal offence data.  ICOスタッフによる特殊カテゴリーおよび犯罪データのトレーニングの記録。
Controllers and processors 管理者と処理者
Definitions of 'controllers' and 'processors', how to determine them and their responsibilities. 管理者」と「処理者」の定義、決定方法、責任。
The guidance on this page is suitable for large businesses in the public, private and third sectors. Small businesses should use the resources on our small business web hub. このページのガイダンスは、公共、民間、第三セクターの大企業に適している。中小企業は、中小企業ウェブハブのリソースを利用すること。
Brief guidance 簡単なガイダンス
Controllers and processors: a guide  管理者と処理者:ガイド 
The definitions of 'controllers' and 'processors', how to determine if you are a controller or processor and what the roles are.   「管理者」と「処理者」の定義、管理者または処理者であるかどうかの判断方法、および役割について。 
Detailed guidance  詳細ガイダンス
Controllers and processors  管理者と処理者
More detailed guidance on controllers and processors, including how to apply the roles in practice, your responsibilities under each role and joint controllers.   管理者と処理者に関するより詳細なガイダンス。実務における役割の適用方法、各役割における責任、共同管理者などを含む。 
Resources  リソース
Controllers self assessment 管理者の自己アセスメント
Assess your high level compliance with data protection legislation, as a data controller. データ管理者として、データ保護法を高レベルで遵守しているかをアセスメントする。
Processors self assessment  データ処理者の自己 防御
Assess your high level compliance with data protection legislation, as a data processor. データ処理者として、データ保護法を高レベルで遵守しているかを評価する。
International transfers 国際的なデータ移転
International data transfers, transfer agreements, transfer risk assessments and binding corporate rules. 国際的なデータ移転、移転契約、移転リスクアセスメントおよび拘束力のある企業規則。
The guidance on this page is suitable for large businesses in the public, private and third sectors. Small businesses should use the resources on our small business web hub. このページのガイダンスは、公共、民間および第三セクターの大企業に適している。中小企業は中小企業ウェブハブのリソースを利用すること。
Brief guidance  簡単なガイダンス
International transfers: A guide  国際的な移転:
The rules about transferring information to other countries, restricted transfers and how and when to use them.  他国への情報移転に関する規則、制限された移転、いつどのように使用するか。
Transfer mechanisms  移転メカニズム
International data transfer agreements (IDTAs) 国際データ移転協定(IDTA)
Guidance on IDTAs and how to use them. Includes transfer agreement templates, addendum templates and a risk assessment tool.   IDTAとその使用方法に関するガイダンス。譲渡契約書テンプレート、補遺テンプレート、リスクアセスメントツールを含む。 
Binding corporate rules (BCRs) 拘束力のある企業規則(BCR)
How to prepare and apply for the approval of a BCR and lists of currently approved BCRs.  BCRの準備と承認申請方法、現在承認されているBCRのリスト。
Security, including cyber security サイバーセキュリティを含むセキュリティ
The security principles, personal data breaches, and guidance on encryption, ransomware and passwords. セキュリティ原則、個人データ漏えい、暗号化、ランサムウェア、パスワードに関するガイダンス。
The guidance on this page is suitable for large businesses in the public, private and third sectors. Small businesses should use the resources on our small business web hub. このページのガイダンスは、公共、民間、第三セクターの大企業に適している。中小企業は、中小企業ウェブハブのリソースを利用すること。
Brief guidance  簡単なガイダンス
A guide to information security 情報セキュリティの手引き
Guidance on information security, passwords, security outcomes, encryption and ransomware.  情報セキュリティ、パスワード、セキュリティの成果、暗号化、ランサムウェアに関するガイダンス。
Detailed guidance 詳細ガイダンス
Encryption 暗号化
Types of encryption, implementing encryption, information storage and information transfers. 暗号化の種類、暗号化の導入、情報保管、情報転送。
Working from home 在宅勤務
Bring your own device (BYOD), working from home securely, video conferencing and a security checklist.  BYOD(Bring Your Own Device)、安全な在宅勤務、ビデオ会議、セキュリティ・チェックリスト。
Personal data breaches 個人データ漏えい
What is a personal data breach, when you need to report to the ICO, when you need to inform individuals and how to risk assess. 個人データ漏えいとは何か、ICOへの報告が必要な場合、個人への通知が必要な場合、リスクアセスメントの方法。
Email and security 電子メールとセキュリティ
Is an email address personal information, whether you should use BCC, and what other security measures to take. 電子メールアドレスは個人情報か、BCCを使用すべきか、その他どのようなセキュリティ対策を講じるべきか。
Resources リソース
Information security self-assessment  情報セキュリティ自己アセスメント 
Assess your compliance with data protection in information and cyber security, including policy and risk, mobile and home working, removable media, access controls and malware protection. ポリシーとリスク、モバイルおよび在宅勤務、リムーバブルメディア、アクセス制御、マルウェア保護など、情報およびサイバーセキュリティにおけるデータ保護へのコンプライアンスをアセスメントする。
Employment information 雇用に関する情報
Advice for employers and organisations involved in employment issues on how to use and look after your workers’ personal information, and guidance about working from home. 雇用問題に携わる雇用主や組織に対して、労働者の個人情報の使用方法や管理方法、在宅勤務に関するガイダンスなどのアドバイスを提供する。
Latest updates - last updated 5 February 2025  最新の更新情報 - 最終更新日:2025年2月5日
The guidance on this page is suitable for all organisations. However, small businesses may wish to also use the resources on our small business web hub. このページのガイダンスはすべての組織に適している。ただし、中小企業の場合は、中小企業ウェブハブのリソースも利用されたい。
Guidance ガイダンス
Information about workers’ health 労働者の健康に関する情報
Guidance on data protection considerations when handing workers’ health information, including practical advice on handling sickness and injury records, occupational health schemes, medical examinations and testing, genetic testing, health monitoring and sharing workers' information. 労働者の健康情報を渡す際のデータ保護に関する考慮事項に関するガイダンス。これには、病気と傷害の記録、産業保健制度、健康診断と検査、遺伝子検査、健康監視、および労働者情報の共有の取り扱いに関する実践的なアドバイスが含まれる。
Monitoring workers 労働者の監視
Guidance on monitoring of workers by employers and how this interacts with data protection, including monitoring tools, specific data protection considerations and use of biometric data. 使用者による労働者の監視およびこれがデータ保護とどのように相互作用するかについてのガイダンスで、監視ツール、特定のデータ保護の考慮事項、生体データの使用を含む。
Information sharing in mental health emergencies at work 職場におけるメンタルヘルス上の緊急事態における情報共有
Guidance for employers about sharing information about their workers in the event of a mental health emergency. メンタルヘルス上の緊急事態が発生した場合の労働者に関する情報共有に関する雇用主向けガイダンス。
Keeping employment records 雇用記録の保管
Guidance aimed at employers who keep employment records. It will help you understand your obligations under the UK GDPR and DPA 2018. 雇用記録を保管する雇用主を対象としたガイダンス。英国GDPRとDPA2018の下での義務を理解するのに役立つ。
Draft guidance - consultations closed ドラフトガイダンス-協議終了
Recruitment and selection 採用選考
Guidance on data protection compliance during recruitment, including automated decision-making and profiling, verifying candidate information and keeping recruitment records. 自動意思決定やプロファイリング、候補者情報の確認、採用記録の保管など、採用時のデータ保護遵守に関するガイダンス。
Resources リソース
Subject access request Q and As for employers Subject access request Q and As for employers
Answers to key questions on the right of access for employers, including what is the right of access, do people have to submit the request in a certain format, and whether you can clarify the request. アクセス権とは何か、人々は特定の形式で要請を提出しなければならないか、要請を明確にできるかなど、雇用主にとってのアクセス権に関する主な質問への回答。
Information about workers’ health checklists 労働者の健康に関する情報チェックリスト
Checklists for employers using workers’ health information. 労働者の健康情報を使用する雇用主のためのチェックリスト。
Monitoring workers checklists 労働者を監視するためのチェックリスト
Checklists for employers monitoring workers. 労働者を監視する雇用主のためのチェックリスト。
Working from home 在宅勤務
Guidance to help you remain compliant with data protection law when you have people working from home. 在宅勤務者がいる場合にデータ保護法を遵守し続けるためのガイダンス。
Artificial intelligence 人工知能
Artificial intelligence and data protection, AI risk assessment, explaining decisions made with AI and data analytics. 人工知能とデータ保護、AIリスクアセスメント、AIとデータ分析による意思決定の説明。
The guidance on this page is suitable for businesses in the public, private and third sectors.  このページのガイダンスは、公共、民間、第三セクターの企業に適している。
Detailed guidance 詳細ガイダンス
Artificial intelligence (AI) and data protection 人工知能(AI)とデータ保護
A detailed overview of how to apply the principles of the UK GDPR to the use of information in AI systems. AIシステムにおける情報利用に英国GDPRの原則を適用する方法の詳細な概要。
Explaining decisions made with AI  AI による意思決定の説明 
Practical advice to help explain the processes, services and decisions delivered or assisted by AI to the individuals affected.  AI によって提供または支援されるプロセス、サービス、意思決定を、影響を受ける個人に説明するのに役立つ実用的なアドバイス。
Biometric data guidance: Biometric recognition 生体データガイダンス: 生体認証
What is biometric data, what is meant by "biometric recognition", demonstrating compliance with data protection obligations and processing biometric data fairly and lawfully. 生体認証データとは何か、「生体認証」とは何か、データ保護義務の遵守を証明すること、生体認証データを公正かつ合法的に処理すること。
Resources  防御アセスメント
AI and data protection risk toolkit AIとデータ保護リスクツールキット
Practical support for organisations assessing the risks to individual rights and freedoms caused by their own AI systems. 自社のAIシステムによる個人の権利と自由へのリスクを評価する組織のための実践的サポート。
Data analytics toolkit データ分析ツールキット
Create tailored advice for your project to help you recognise some of the central risks to the rights and freedoms of individuals created by the use of data analytics. データ分析の使用によって生じる個人の権利と自由に対するいくつかの中心的なリスクを認識するのに役立つ、プロジェクトに合わせたアドバイスを作成する。
Research provisions 研究規定
Research provisions in the UK GDPR and the DPA 2018, the principles and grounds for processing, research exemptions and safeguards. 英国GDPRとDPA 2018における研究規定、処理の原則と根拠、研究の免除と保護措置。
Online safety and data protection オンライン安全とデータ保護
Resources for organisations that use online safety technologies and processes. オンライン安全技術とプロセスを使用する組織のためのリソース。
The guidance on this page is suitable for businesses who use online safety technologies and processes. このページのガイダンスは、オンライン安全技術とプロセスを使用する企業に適している。
Detailed guidance 詳細ガイダンス
Content moderation and data protection コンテンツモデレーションとデータ保護
A detailed overview of how data protection law applies when you use content moderation technologies and processes. コンテンツモデレーション技術とプロセスを使用する際にデータ保護法がどのように適用されるかについての詳細な概要。
Personal information - what is it? 個人情報とは何か?
Key definitions, what is considered personal information and what "identifiable" means. 主な定義、個人情報と見なされるもの、「識別できる情報」とは何か。
The guidance on this page is suitable for large businesses in the public, private and third sectors. Small businesses should use the resources on our small business web hub. このページのガイダンスは、公共、民間および第三セクターの大企業に適している。中小企業は、当社の中小企業ウェブハブのリソースを利用すべきである。
Brief guidance  簡単なガイダンス
Who does the UK GDPR apply to? 英国GDPRは誰に適用されるのか?
A brief overview of who the UK GDPR applies to and some key definitions. 英国GDPRが適用される対象者の簡単な概要といくつかの重要な定義。
What is personal information? 個人情報とは何か?
The definition of personal information and how to know whether the information you are using is personal information. 個人情報の定義と、使用している情報が個人情報であるかどうかを確認する方法。
Detailed guidance  詳細ガイダンス
What is personal information?  個人情報とは何か?
Detailed guidance about what personal information is, identifiers and related factors, directly identifying someone and the definition of "relates to". 個人情報とは何か、識別および関連する要素、個人を直接特定できる情報、および「関連する」の定義に関する詳細ガイダンス。
Anonymisation guidance 匿名化ガイダンス
Covering anonymisation techniques, the role that anonymisation plays in the three regimes of data protection law and accountability and governance measures. Includes case studies.  匿名化の技術、データ保護法の3つの制度において匿名化が果たす役割、説明責任とガバナンスの手段をカバーする。ケーススタディを含む。
Resources リソース
Training videos: What is personal data? トレーニングビデオ 個人データとは何か?
Recordings of ICO staff training on what personal information is and some key data protection definitions, available for you to reuse.  個人情報とは何か、データ保護の主な定義についてのICOスタッフトレーニングの録画。
Data protection principles - guidance and resources データ保護の原則 - ガイダンスとリソース
Fairness, transparency, purpose limitation, minimisation, accuracy, accountability, storage and security. 公平性、透明性、目的の限定、最小化、正確性、説明責任、保管、セキュリティ。
The guidance on this page is suitable for large businesses in the public, private and third sectors. Small businesses should use the resources on our small business web hub. このページのガイダンスは、公共、民間および第三セクターの大企業に適している。中小企業は、中小企業ウェブハブのリソースを利用すること。
Brief guidance  簡単なガイダンス
A guide to the data protection principles データ保護原則の手引き
The principles of the UK GDPR and how to apply them in your organisation. 英国GDPRの原則と組織での適用方法。
In your sector あなたのセクターでは
Transparency in health and social care 医療・社会的ケアにおける透明性
What is transparency, how to develop and provide transparency information and how to assess whether you are being transparent in the health and social care sector. 透明性とは何か、透明性情報の開発と提供の方法、医療・社会的ケアセクターで 透明性が確保されているかどうかのアセスメント方法。
Resources  リソース
Records management self-assessment checklist  記録マネジメント自己アセスメント・チェックリスト 
Assess your records management procedures and risks to people’s personal information. Includes record creation, storage and disposal, access, tracking and off-site storage. 記録マネジメントの手順と、人々の個人情報に対するリスクをアセスメントする。記録の作成、保管、廃棄、アクセス、追跡、オフサイト保管を含む。
Training videos: data protection principles  研修ビデオ:データ保護の原則 
Recordings of ICO staff training on the data protection principles, available for you to reuse.  データ保護の原則に関するICO職員研修の記録。
CCTV and video surveillance CCTVとビデオ監視
CCTV, video surveillance, body worn cameras and drones. CCTV、ビデオ監視、団体着用カメラ、ドローン。
The guidance on this page is suitable for large businesses in the public, private and third sectors. Small businesses should use the resources on our small business web hub. このページのガイダンスは、公共、民間、第三セクターの大企業に適している。中小企業は、中小企業ウェブハブのリソースを利用すべきである。
Detailed guidance 詳細ガイダンス
Video surveillance guidance (including information for organisations using CCTV) ビデオ監視ガイダンス(CCTVを使用する組織向けの情報を含む)
Handling personal information using video surveillance including CCTV, automatic number plate recognition (ANPR), body worn video (BWV), drones (UAVs), facial recognition technology (FRT), dashcams and smart doorbell cameras. CCTV、自動ナンバープレート認識(ANPR)、身体装着型ビデオ(BWV)、ドローン(UAV)、顔認識技術(FRT)、ダッシュカム、スマートドアベルカメラを含むビデオ監視を使用した個人情報の取り扱い。
Resources  防御
CCTV self-assessment checklist CCTV自己評価チェックリスト
Assess the compliance of your CCTV system with data protection law, including installation, management, operation, public awareness and signage. 設置、管理、運用、周知、標識など、CCTVシステムのデータ保護法への準拠をアセスメントする。
Accountability and governance 説明責任とガバナンス
DPIAs, accountability principle, internal governance, contracts, documentation, and data protection officers. DPIA、説明責任原則、内部ガバナンス、契約、文書化、データ保護責任者。
The guidance on this page is suitable for large businesses in the public, private and third sectors. Small businesses should use the resources on our small business web hub. このページのガイダンスは、公共、民間、第三セクターの大企業に適している。中小企業は、中小企業ウェブハブのリソースを利用されたい。
Brief guidance  簡単なガイダンス
Guide to accountability and governance 説明責任とガバナンスの手引き
Contracts, documentation, data protection by design and default, data protection impact assessments and data protection officers.  契約、文書化、設計およびデフォルトによるデータ保護、データ保護影響評価、 データ保護責任者。
Detailed guidance  詳細ガイダンス
Contracts and liabilities between controllers and processors 輸入事業者と処理者の間の契約と責任
When contracts are needed and why they are important, what needs to be included and responsibility and liability. 契約はいつ必要で、なぜ重要なのか、何を含める必要があるのか、責任と義務。
Documentation 文書化
What is documentation and who needs to document processing activities, what needs to be documented under article 30 and how to document processing activities. 文書化とは何か、誰が処理活動を文書化する必要があるのか、第30条に基づき何が文書化される必要があるのか、どのように処理活動を文書化するのか。
Data protection impact assessments (DPIA) データ保護影響アセスメント(DPIA)
What is a DPIA, when and how to conduct one, consulting the ICO and examples of 'likely to result in high risk'. DPIAとは何か、いつ、どのように実施するか、ICOに相談すること、「高リスクになる可能性が高い」の例。
Codes of conduct 行動規範
Data protection codes of conduct address sector specific data protection issues and support compliance with the UK GDPR’. We have detailed guidance and other resources for trade organisations and similar representative bodies who may create codes of conduct for their members. データ保護行動規範は、セクター特有のデータ保護問題に対処し、英国GDPRへの準拠をサポートする。私たちは、業界団体や同様の代表者団体がそのメンバーのために行動規範を作成するための詳細なガイダンスやその他のリソースを用意している。
Certification schemes 認証スキーム
Data protection certification can help demonstrate data protection in a practical way to businesses, individuals and regulators. We have detailed guidance and other resources about certifications schemes for organisations. データ保護認証は、企業、個人、規制当局にデータ保護を実践的に示すのに役立つ。組織向けの認証制度に関する詳細なガイダンスやその他のリソースがある。
Resources リソース
Accountability framework アカウンタビリティの枠組み
Assess your organisation’s accountability and governance. 組織のアカウンタビリティとガバナンスを評価する。
Exemptions 適用除外
When and how you can apply exemptions to the UK GDPR requirements. 英国のGDPR要求事項の適用除外を適用できる場合とその方法。
The guidance on this page is suitable for large businesses in the public, private and third sectors. Small businesses should use the resources on our small business web hub. このページのガイダンスは、公共、民間、第三セクターの大企業に適している。中小企業は、当社の中小企業ウェブハブのリソースを利用すべきである。
Brief guidance ブリーフ・ガイダンス
A guide to the data protection exemptions データ保護の免除に関するガイド
Data protection exemptions, how they work and a list of available exemptions. データ保護の免除、その仕組み、利用可能な免除のリスト。
Detailed guidance 詳細ガイダンス
Immigration exemption: a guide  移民免除:ガイド 
The immigration exemption, when and how to apply it, how it impacts individual rights and what happens when an immigration investigation becomes a criminal investigation.  移民免除、いつ、どのように適用するか、それが個人の権利にどのように影響するか、 移民捜査が犯罪捜査になったときに何が起こるか。
National security and defence: a guide 国家安全保障と防衛:ガイド
The national security and defence exemption, how the exemption works and when to apply it, ministerial certificates, special rules for special category data, security obligations and law enforcement processing. 国家安全保障と防衛の免除、免除の仕組みと適用時期、大臣証明書、特別カテゴリーデータの特別規則、安全保障義務、法執行処理。
Resources リソース
Training videos: Exemptions  トレーニングビデオ 免除 
Recordings of ICO staff training on data protection exemptions, available for you to reuse. データ保護の免除に関するICO職員研修の録画。
Data sharing データ共有
The data sharing code, case studies and examples, checklist, the sharing of personal information with and by law enforcement authorities, sharing information to prevent harm and for child safeguarding purposes. データ共有規範、ケーススタディと事例、チェックリスト、法執行機関との個人データの共有、危害防止と児童保護目的の情報共有。
The guidance on this page is suitable for medium and large businesses and organisations in the public, private and third sectors. Small businesses should use the resources on our small business web hub. このページのガイダンスは、公共、民間および第三セクターの中規模および大規模の企業および組織に適している。中小企業は、中小企業ウェブハブのリソースを利用すること。
Code of practice 実践規範
Data sharing: A code of practice  データ共有: 実践規範 
Practical guidance about when and how you can share personal information. It explains the law and promotes good practice and contains practical tools, case studies and examples that will help you.  個人情報をいつ、どのように共有できるかについての実践的な指針。法律を説明し、グッドプラクティスを促進し、実践的なツール、ケーススタディ、事例が含まれている。
Guidance ガイダンス
Anonymisation guidance 匿名化ガイダンス
Covering anonymisation techniques, the role that anonymisation plays in the three regimes of data protection law and accountability and governance measures. Includes case studies.  匿名化技術、データ保護法の3つの制度において匿名化が果たす役割、説明責任とガバナン ス対策についてカバーしている。ケーススタディを含む。
Sharing information to safeguard children 子どもを保護するための情報の共有
Practical advice on the data protection considerations when you need to share personal information for child safeguarding purposes 子どもを保護する目的で個人情報を共有する必要がある場合のデータ保護上の考慮事項に関する実践的なアドバイス
Sharing personal information with law enforcement authorities 法執行当局との個人情報の共有
When and how non-law enforcement authorities can share personal information with law enforcement authorities, such as the police. 法執行当局以外の機関が警察などの法執行当局と個人情報を共有できる場合とその方法。
Competent authorities - sharing and reuse of information for non-law enforcement purposes 権限のある当局-法の執行目的以外での情報の共有と再利用
How to share information collected for law enforcement purposes with another organisation, so it can be used for non-law enforcement purposes. 法の執行目的で収集された情報を別の組織と共有し、法の執行目的以外で使用できるようにする方法。
Universities and colleges - sharing personal information in an emergency  大学およびカレッジ-緊急事態における個人情報の共有 
Helping universities and colleges share people’s information lawfully in an urgent or emergency situation, such as preventing loss of life or serious physical, emotional or mental harm. 大学およびカレッジが、人命の損失や深刻な身体的、精神的、心理的危害の防止などの緊急事態において、人々の情報を合法的に共有できるよう支援する。
Information sharing in mental health emergencies at work 職場でのメンタルヘルス緊急事態における情報共有
Guidance for employers about sharing information about their workers in the event of a mental health emergency. メンタルヘルスの緊急事態が発生した場合に、雇用主が労働者に関する情報を共有するためのガイダンス。
Resources リソース
Sharing personal information when preventing, detecting and investigating scams and frauds 詐欺や詐欺を防止、検知、調査する際の個人情報の共有
Advice for private sector organisations across the digital economy such as financial services, telecommunications and digital platforms that want to share personal information with each other to support scam and fraud mitigation efforts.   詐欺や詐欺緩和の取り組みを支援するために個人情報を互いに共有したいと考える金融サービス、テレコミュニケーション、デジタルプラット フォームなどのデジタル経済全体の民間部門組織向けのアドバイス。 
Sharing information to safeguard children: Marketing materials 子どもを守るための情報共有 マーケティング資料
A toolkit of resources, including a video from the Information Commissioner, flyers, posters, newsletter articles, and images and text for social media posts. 情報コミッショナーのビデオ、チラシ、ポスター、ニュースレター記事、ソーシャルメディア投稿用の画像とテキストを含むリソースのツールキット。
Sharing information with law enforcement authorities toolkit 法執行機関との情報共有ツールキット
Use this toolkit to decide whether you can and how you should share personal information with a law enforcement authority. このツールキットを使って、法執行機関と個人情報を共有できるかどうか、またどのように共有すべきか判断しよう。
Data sharing myths busted Data sharing myths busted
Busting common myths and the misconceptions surrounding data sharing and data protection law. データ共有とデータ保護法をめぐる一般的な神話や誤解を解く。
Case studies and examples  ケース・スタディと事例 
Real world examples and case studies of different approaches to data sharing from the public, private and third sector. 公共、民間、サード・セクターのデータ共有に対する様々なアプローチの実例とケース・スタディ。
Checklist チェックリスト
A step-by-step guide to deciding whether to share personal information. 個人情報を共有するかどうかを決定するための段階的ガイド。
Data sharing request form template データ共有要請書式テンプレート
Template forms for requesting personal information and deciding whether to share information. 個人情報を要請し、情報を共有するかどうかを決定するための書式テンプレート。
Additional guidance 追加ガイダンス
Contractual liability in data sharing agreements データ共有契約における契約責任
The potential contractual liabilities of data sharing agreements and how can they be avoided. データ共有契約における潜在的な契約責任とその回避方法。
Privacy enhancing technologies (PETs) プライバシー強化技術(PETs)
How PETs can help organisations achieve compliance with data protection law. It gives a brief introduction to eight types of PETs and explains their risks and benefits. 組織がデータ保護法の遵守を達成するためにPETsがどのように役立つか。8種類のPETを簡単に序文し、そのリスクと利点を説明する。
Children's information 子供の情報
How to protect children's information, the Age Appropriate Design Code and resources for online service providers. 子どもの情報を保護する方法、「年齢に応じた適切なデザイン規範」、オンラインサービスプロバイダ向けのリソース。
The guidance on this page is suitable for organisations of all sizes and from all sectors. Small businesses can also use the resources on our small business web hub. このページのガイダンスは、あらゆる規模、あらゆる分野の組織に適している。中小企業は、中小企業ウェブハブのリソースも利用できる。
Brief guidance  簡単なガイダンス
Using children's information: a guide 子どもの情報の利用:ガイド
Marketing to children, automated decision making and profiling, sharing children's information and children's data protection rights. 子どもへのマーケティング、自動意思決定とプロファイリング、子どもの情報の共有、子どものデータ保護の権利。
Detailed guidance  詳細ガイダンス
Children's code: guidance and resources 子ども向けコード:ガイダンスとリソース
Read the Age Appropriate Design Code for providers of online services that are likely to be accessed by children in full (such as apps, online games, and web and social media sites). Includes guidance and resources about the 15 standards, frequently asked questions, DPIAs and resources for designers.  子どもがアクセスする可能性のあるオンラインサービス(アプリ、オンラインゲーム、ウェブやソーシャルメディアサイトなど)のプロバイダ向けの「年齢に応じた適切なデザインコード」を全文読む。15の標準、よくある質問、DPIA、デザイナー向けリソースに関するガイダンスとリソースを含む。
Children and the UK GDPR 子どもと英国GDPR
Information society services (online service) offered to children, marketing to children, automated decisions about children, sharing children's data, and children's data protection rights. 子どもに提供される情報社会サービス(オンラインサービス)、子どもへのマーケティング、子どもに関する自動化された決定、子どものデータの共有、子どものデータ保護権。
Resources リソース
Lesson plans and resources for schools and teachers 学校と教師のためのレッスンプランとリソース
We have produced school resources for teachers to use when discussing privacy issues and the value of personal information. The lesson plans cover what counts as personal information, why it is valuable and how to keep it safe when using social media.  プライバシー問題と個人情報の価値について話し合う際に教師が使用できる学校用リソースを作成した。授業計画では、何が個人情報としてカウントされるのか、なぜ個人情報は価値があるのか、ソーシャルメディアを使用する際に個人情報を安全に保つにはどうすればよいのかについて取り上げている。
Designing products that protect privacy プライバシーを保護する製品を設計する
Privacy in the product lifecycle and designing online services for children. 製品のライフサイクルにおけるプライバシーと、子どものためのオンラインサービスの設計。
The guidance on this page is for people designing digital products and services that involve processing personal information.  このページのガイダンスは、個人情報の処理を伴うデジタル製品やサービスを設計する人のためのものである。
Getting started  はじめに
How to think about privacy in product design 製品設計におけるプライバシーの考え方
Practical tools and guidance to design for privacy at all stages of the product design process, including kick-off, research, design, development, launch, and post-launch phases. 製品設計プロセスのすべての段階(キックオフ、調査、設計、開発、発売、発売後の段階を含む)においてプライバシーを設計するための実用的なツールとガイダンス。
In detail 詳細
Designing for children 子供のためのデザイン
Guidance and resources for designing online services likely to be accessed by children and applying the standards of the children's code in practice. 子どもがアクセスする可能性のあるオンラインサービスを設計し、子ども向けコードの標準を実際に適用するためのガイダンスとリソース。
Data protection by design and default Data protection by design and default
The UK GDPR requires you to integrate data protection concerns into every aspect of your processing activities. 英国GDPRは、データ保護への配慮を処理活動のあらゆる側面に統合することを求めている。
Resources リソース
Conference recordings - Privacy seriously? 2023 カンファレンスの記録 - プライバシーを真剣に考える?2023
Design and product leaders revealed how they put privacy at the heart of responsible innovation. Watch recordings of talks titled - 'Privacy is a product issue', 'Privacy in the real world of tech', 'Ditching deceptive design', and 'Designing for safety'. デザインと製品のリーダーが、責任あるイノベーションの中心にプライバシーを据える方法を明らかにした。プライバシーは製品の問題である」、「技術の現実世界におけるプライバシー」、「欺瞞的なデザインを捨てる」、「安全のためのデザイン」と題された講演の録画を見る。
Practical tool - Age-appropriate mindsets Miro template 実践的ツール - 年齢に応じたマインドセット Miroテンプレート
Practical tool - Data privacy moments Miro template 実践的ツール - データ・プライバシーの瞬間 Miroテンプレート
Data protection and journalism code of practice データ保護とジャーナリズムの実践規範
The data protection and journalism code, reference notes, consultation responses and impact assessment. データ保護とジャーナリズムの規範、参考資料、協議への回答、影響評価。
The Data protection and journalism code of practice (the code) is a statutory code of practice produced under section 124 of the Data Protection Act 2018 (DPA). It came into force on 22 February 2024. データ保護とジャーナリズムの実践規範(規範)は、2018年データ保護法(DPA)第124条に基づき作成された法定実践規範である。2024年2月22日に施行された。
The Reference notes support the code, but they are not part of the statutory code itself. They will help anyone who would like background information or more detail than is in the code. 参照ノートはコードをサポートするものであるが、法定コード自体の一部ではない。背景情報や規範に記載されている以上の詳細が必要な場合に役立つものである。
The notes refer to our wider guidance to help you to comply with the UK General Data Protection Regulation (UK GDPR) and the DPA 2018. この注記は、英国一般データ保護規則(UK GDPR)およびDPA 2018の遵守を支援するための、より広範なガイダンスを参照している。
If you are new to data protection or are a small organisation, you’ll find basic guidance and resources to support you on our dedicated SME web hub. データ保護が初めての場合や小規模な組織の場合は、基本的なガイダンスやリソースが中小企業専用のウェブハブに掲載されている。
Code of practice 実践規範
Data protection and journalism code of practice データ保護とジャーナリズムの実践規範
Practical guidance about what the legislation says and how to comply with it when using personal information for journalism. ジャーナリズムのために個人情報を使用する際に、法律が何を規定し、どのように遵守すべきかについての実践的なガイダンス。
Reference notes 参考資料
Guidance to support the code, containing more information about the legislation, good practice, case law examples, and further reading. 規範をサポートするガイダンスで、法律に関する詳細情報、グッドプラクティス、判例例、追加読み物を含む。
Additional guidance 追加ガイダンス
UK GDPR guidance and resources 英国GDPRガイダンスおよびリソース
A collection of our main guidance and resources about complying with the UK GDPR and DPA 2018. 英国GDPRおよびDPA 2018の遵守に関する当社の主なガイダンスおよびリソースのコレクション。
SME web hub – advice for all small organisations SME web hub - advice for all small organisations
Basic guidance and resources, including a quick run-through of the data protection basics and bite-sized advice for smaller organisations. データ保護の基本事項のクイックスルーや小規模組織向けの一口サイズのアドバイスなど、基本的なガイダンスとリソース。
Data protection and journalism: how to complain about media organisations データ保護とジャーナリズム:メディア組織に苦情を言う方法
This is statutory guidance to help the public understand how to complain about the media under section 177 of the DPA 2018. これは、DPA2018の第177条に基づき、一般市民がメディアに苦情を言う方法を理解するための法定ガイダンスである。
Training videos トレーニングビデオ
View the information governance and legislation training modules we provide to ICO staff as part of their internal training. 社内研修の一環としてICO職員に提供している情報ガバナンスと法規制のトレーニングモジュールを見る。
Everyone in your business is responsible for complying with information rights laws. We’re here to help. 企業の誰もが情報権利法を遵守する責任がある。私たちがお手伝いする。
We’ve taken the information governance and legislation training modules we provide to ICO staff as part of their internal training and made them available for you to reuse. This is a good place for your business to start. 私たちは、ICOスタッフが社内トレーニングの一環として提供している情報ガバナンスと法規制のトレーニングモジュールを、貴社が再利用できるようにした。これは、あなたのビジネスが始めるのに良い場所である。
You can select the modules that fit the needs of your business and add them to your existing training materials. You can also amend the modules to suit your business if you need to. あなたのビジネスのニーズに合ったモジュールを選択し、既存のトレーニング教材に追加することができる。また、必要であれば、あなたのビジネスに合わせてモジュールを修正することもできる。
Please note: there may be some terminology which needs updating in some of these modules, which we will update over time. However you should still find the content useful in training your staff in the key points of the relevant legislation. To make sure you're accessing the latest content, use the resources on our website rather than downloading them. 注意:これらのモジュールの中には、更新が必要な用語があるかもしれない。しかし、関連法規の重要なポイントについてスタッフをトレーニングする上で役立つ内容であることに変わりはない。最新のコンテンツに確実にアクセスするには、ダウンロードするのではなく、当ウェブサイトのリソースを利用すること。
Modules モジュール
1. What is personal data 1. 個人データとは
The first two modules look at the different data protection terms and what they mean. They provide a basic understanding of data protection and help you assess the types of data your business uses. 最初の2つのモジュールでは、さまざまなデータ保護用語とその意味について見ていく。データ保護の基本を理解し、ビジネスで使用するデータの種類をアセスメントするのに役立つ。
2. Handling more sensitive information 2. より機微な情報の取り扱い
These two modules take an in-depth look at special category and criminal offence data, and the measures you need to have in place if your business processes this type of information. この2つのモジュールでは、特殊カテゴリーおよび犯罪データについて詳しく説明し、業務でこの種の情報を処理する場合に必要な対策について説明する。
3. The principles  3. 原則 
These three modules look at the principles that underpin the UK’s data protection laws. Understanding the principles will help you take the right steps to make sure you’re handling people’s data correctly. これら3つのモジュールでは、英国のデータ保護法を支える原則について取り上げる。原則を理解することで、人々のデータを正しく取り扱うための正しい手順を踏むことができる。
4. Individual rights  4. 個人の権利 
These two modules look at the rights of the individual. Understanding the principles will help you take the right steps to make sure you’re enacting data protection rights requests correctly. これら2つのモジュールは個人の権利について見ている。原則を理解することで、データ保護の権利要求を正しく実行するための正しい手順を踏むことができる。
5. Exemptions  5. 適用除外 
These two modules look at the exemptions set out in the UK GDPR and the Data Protection Act 2018. Understanding the exemptions will help you apply them correctly, where relevant. これら2つのモジュールは、英国GDPRとデータ保護法2018に規定された適用除外について見ている。適用除外を理解することで、関連する場合に正しく適用することができる。
6. Role and powers of the commissioner  6. 情報コミッショナーの役割と権限 
This module explains the role of the Information Commissioner, and the responsibilities and powers held by their office. It will be useful if you want to know more about what the ICO does. このモジュールでは、情報コミッショナーの役割、およびその職責と権限について説明する。ICOが何を行っているのか詳しく知りたい場合に役立つだろう。
Online tracking オンライン追跡
Advice for organisations who want to track users and their activities online オンラインでユーザーとその活動を追跡したい組織のためのアドバイス
The guidance and resources on this page are suitable for businesses who want to track users and their activities online. このページのガイダンスとリソースは、オンラインでユーザーとその活動を追跡したい企業に適している。
Detailed guidance 詳細なガイダンス
Consent or pay 同意するか、支払うか
Guidance to provide clarity and advice for any organisation currently operating, or considering, a “consent or pay” model in the UK.  英国で「同意または支払い」モデルを現在運営している、または検討している組織に対して、明確性と助言を提供するガイダンス。
Storage and access technologies ストレージとアクセス技術
How the Privacy and Electronic Communications Regulations 2003 (as amended) (PECR) and where relevant, data protection law apply when you use technologies that store information, or access information stored, on someone’s device (eg a computer or mobile phone). 2003年プライバシー・電子コミュニケーション規則(改正)(PECR)および関連するデータ保護法が、誰かのデバイス(コンピュータや携帯電話など)に情報を保存したり、保存された情報にアクセスしたりする技術の使用時にどのように適用されるか。
Resources リソース制御
Taking control: our online tracking strategy オンライン・トラッキング戦略
This strategy sets out how we will promote compliance with the law in 2025 to obtain a fairer online tracking ecosystem for people and business. この戦略では、2025年にどのように法の遵守を促進し、人々とビジネスにとってより公平なオンライン追跡エコシステムを獲得するかを定めている。

 

 

 

 


 

 

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.11.20 英国 ICO 遺伝情報に関するプライバシーのガイドライン...

・2023.03.24 OECD 先進のプライバシー強化技術 - 現在の規制・政策アプローチ (2023.03.08)

・2023.01.26 英国王立学会 プライバシー向上技術 (PETs) (2023.01.23)

・2022.09.11 英国 ICO プライバシー強化技術に関するガイダンス案を発表

・2022.01.29 ENISA データ保護エンジニアリング

・2021.11.11 欧州評議会 プロファイリングに関する勧告を更新 at 2021.11.03

・2021.11.05 英国 デジタル・文化・メディア・スポーツ省の提案に対する、バイオメトリックスコミッショナーおよび監視カメラコミッショナーであるフィッシャー氏の回答

・2021.02.16 欧州委員会 健康データとGDPRに関する加盟国の規則についての調査結果を公開

・2021.02.07 EDPB 健康研究を中心としたGDPRの一貫した適用に関する欧州委員会からの明確化要請に対する回答

 

・2022.07.15 個人情報保護委員会 「個人情報保護法の基本」

・2022.04.06 個人情報保護委員会 仮名加工情報・匿名加工情報 信頼ある個人情報の利活用に向けて(制度編・事例編)

・2021.12.15 内閣府 意見募集「医療分野の研究開発に資するための匿名加工医療情報に関する法律についてのガイドライン」の改定(案)

・2021.11.02 個人情報保護委員会 令和3年改正個人情報保護法について、政令・規則・民間部門ガイドライン案の意見募集の結果を公示+公的部門ガイドライン案の意見募集を開始

・2021.08.06 個人情報保護委員会 意見募集 令和3年改正個人情報保護法 政令・規則・民間部門ガイドライン案について他

・2021.05.20 個人情報保護委員会の今後の取り組みと個人情報保護法ガイドラインの改正(パブコメ)

・2020.12.22 内閣官房 個人情報保護制度の見直しに関する最終報告案

・2020.06.07 改正個人情報保護法が成立

・2020.06.05 内閣官房 個人情報保護制度の見直しに関するタスクフォース 個人情報保護制度の見直しに関する検討会委員 第2回(個人情報保護制度見直しの基本的な方向性(案)について)

・2016.10.04 パブコメ 「個人情報の保護に関する法律についてのガイドライン(通則編、外国にある第三者への提供編、第三者提供時の確認・記録義務編及び匿名加工情報編)(案)」に関する意見募集について

 

 

 

 

 

| | Comments (0)

英国 ICO ランサムウェア被害にあったITサービス提供者に罰金約3百万ポンド(約6億円)を課す (2025.03.27)

こんにちは、丸山満彦です。

2022年8月に多要素認証をしていない顧客アカウントを経由して、医療・介護関連会社の特定システムにランサムウェア攻撃者(LockBit)にアクセスされ、National Health Service(NHS) [wikipedia] 等の約8万人の個人情報をリスクに晒したITサービス提供者(データ処理事業者)であるAdvanced Computer Sofrware Group [wikipedia] 等に個人データ保護法違反として、307万ポンド(約6億円)の罰金を課していますね...

事案発生当時は、英国では大きく話題になっていましたね... その後もいろいろな場面でランサムウェア被害の例として言及されています...

ICOがデータ処理事業者に罰金を課したのは初めてのようですね...

 

当初はこの倍の600万ポンドの罰金を課すことにしていたが、会社からの異議があり、ICOが検討した結果、

  • 国家サイバーセキュリティセンター(NCSC)、国家安全保障局(NCA)、NHSに積極的に協力したこと、
  • 影響を受けた人々のリスクを緩和するために他の措置をとったことなど、

により減額が認められ、最終的には、約半額の3,076,320ポンドで和解したようですね...

 

U.K. Information Commissoner's Office: ICO

・2025.03.27 Software provider fined £3m following 2022 ransomware attack

 

Software provider fined £3m following 2022 ransomware attack 2022年のランサムウェア攻撃を受けてソフトウェアプロバイダーに300万ポンドの罰金を課す
・ICO confirms that a subsidiary of Advanced broke data protection law by failing to fully implement appropriate security measures such as multi factor authentication coverage prior to 2022 attack  ・ICOは、Advanced社の子会社が2022年の攻撃前に多要素認証の適用範囲など適切なセキュリティ対策を十分に実施せず、データ保護法に違反したことを確認した。
・Voluntary settlement reached with Advanced acknowledging the regulator’s decision and agreeing to pay the reduced fine without an appeal  ・規制当局の決定を認め、控訴せずに減額された罰金を支払うことに同意することで、Advanced社と自主的な和解が成立
・Information Commissioner: “Today’s decision is a stark reminder that organisations risk becoming the next target without robust security measures in place.” ・情報コミッショナー: 「本日の決定は、組織が強固なセキュリティ対策を講じなければ、次の標的になるリスクがあることを痛感させるものである。」
We have fined Advanced Computer Software Group Ltd (Advanced) £3.07m for security failings that put the personal information of 79,404 people at risk.  我々は、アドバンスト・コンピューター・ソフトウェア・グループ・リミテッド(以下アドバンスト社)に対し、79,404人の個人情報をリスクにさらしたセキュリティの不備により、307万ポンドの罰金を科した。
Advanced provides IT and software services to organisations, including the NHS and other healthcare providers, and processes people’s personal information on behalf of these organisations.  アドバンストは、NHSやその他の医療プロバイダを含む組織にITおよびソフトウェアサービスを提供し、これらの組織に代わって人々の個人情報を処理している。
The fine relates to a ransomware incident in August 2022. Hackers accessed certain systems of Advanced’s health and care subsidiary via a customer account that did not have multi-factor authentication (MFA). The cyber attack was widely reported at the time, with reports of disruption to critical services such as NHS 111, and other healthcare staff unable to access patient records. 今回の罰金は、2022年8月に発生したランサムウェア・インシデントに関するものだ。ハッカーは、多要素認証(MFA)を導入していない顧客アカウントを経由して、アドバンストの医療・介護関連子会社の特定のシステムにアクセスした。このサイバー攻撃は当時広く報道され、NHS111などの重要なサービスが中断され、他の医療スタッフが患者の記録にアクセスできなくなったという報告があった。
The investigation found that personal information belonging to 79,404 people was taken, including details of how to gain entry into the homes of 890 people who were receiving care at home. 調査の結果、79,404人の個人情報が盗まれ、その中には在宅介護を受けていた890人の自宅への侵入方法の詳細も含まれていた。
Our investigation concluded that Advanced’s health and care subsidiary did not have the appropriate technical and organisational measures in place to keep its health and care systems fully secure prior to the 2022 incident – including gaps in the deployment of MFA, a lack of comprehensive vulnerability scanning and inadequate patch management.  我々の調査は、アドバンスト社の医療・介護子会社が、2022年のインシデント以前に、医療・介護システムを完全に安全な状態に保つための適切な技術的・組織的対策(MFAの展開におけるギャップ、包括的な脆弱性スキャンの欠如、不適切なパッチ管理など)を講じていなかったと結論づけた。
John Edwards, Information Commissioner, said: 情報コミッショナーのジョン・エドワーズは次のように述べた:
“The security measures of Advanced’s subsidiary fell seriously short of what we would expect from an organisation processing such a large volume of sensitive information. While Advanced had installed multi-factor authentication across many of its systems, the lack of complete coverage meant hackers could gain access, putting thousands of people’s sensitive personal information at risk.  「アドバンスト社の子会社のセキュリティ対策は、このような大量の機密情報を処理する組織として期待されるものに著しく欠けていた。アドバンスト社は多くのシステムに多要素認証を導入していたが、完全にはカバーされていなかったため、ハッカーがアクセスする可能性があり、何千人もの人々の機密個人情報をリスクにさらしていた。
"People should never have to think twice about whether their medical records are in safe hands. To use services with confidence, they must be able to trust that every organisation coming into contact with their personal information – whether that’s using it, sharing it or storing it on behalf of others – is meeting its legal obligations to protect it.  「人々は、自分の医療記録が安全な手に委ねられているかどうか、決して考え直す必要はないはずだ。安心してトラストサービスを利用するためには、自分の個人情報に接するすべての組織が、その使用、共有、保管のいずれにおいても、個人情報を保護する法的義務を果たしていることを信頼できなければならない。 
“With cyber incidents increasing across all sectors, my decision today is a stark reminder that organisations risk becoming the next target without robust security measures in place. I urge all organisations to ensure that every external connection is secured with MFA today to protect the public and their personal information - there is no excuse for leaving any part of your system vulnerable.”  「あらゆる分野でサイバーインシデントが増加する中、本日の私の決定は、組織が強固なセキュリティ対策を講じなければ、次の標的となるリスクがあることを痛感させるものである。国民とその個人情報を保護するため、すべての組織に対し、すべての外部接続をMFAで確実に保護するよう求める。 
We announced our provisional intention to fine Advanced £6.09m in August 2024. Advanced then submitted representations on the provisional decision, which have been carefully considered by the ICO.  我々は、2024年8月にアドバンスド社に609万ポンドの罰金を科す暫定的な意向を発表した。アドバンス社はその後、この仮決定に対する異議申し立てを提出し、ICOはこれを慎重に検討した。
Several factors from these representations led to a reduction in the fine, including Advanced’s proactive engagement with the National Cyber Security Centre (NCSC), the National Crime Agency (NCA) and the NHS in the wake of the attack and other steps taken to mitigate the risk to those impacted.  これらの申し立てから、アドバンスド社が攻撃を受けて国家サイバーセキュリティセンター(NCSC)、国家安全保障局(NCA)、NHSと積極的に関与したこと、影響を受けた人々のリスクを緩和するために他の措置をとったことなど、いくつかの要因が罰金の減額につながった。
The ICO and Advanced have now agreed a voluntary settlement. Advanced has acknowledged our decision to impose a reduced fine and agreed to pay a final penalty of £3,076,320 without appealing. ICOとアドバンストは現在、自主的な和解に合意している。アドバンストは、減額された罰金を科すという我々の決定を認め、控訴することなく最終的な罰金307万6320ポンドを支払うことに同意した。
John Edwards added: ジョン・エドワーズはこう付け加えた:
“I welcome the settlement with Advanced which concludes our investigation into this incident, providing regulatory certainty to organisations without the delay and cost of an appeals process.”  「アドバンスド社との和解により、このインシデントに関する我々の調査が終了し、不服申し立てプロセスの遅延やコストをかけることなく、組織に規制上の確実性を提供できることを歓迎する。
Organisations must be taking proactive steps to assess and mitigate risks, such as implementing comprehensive MFA (or an equivalent measure), regularly scanning for vulnerabilities and keeping systems up to date with the latest security patches.  組織は、包括的なMFA(または同等の対策)の導入、脆弱性の定期的なスキャン、最新のセキュリティパッチを適用したシステムの維持など、リスクを評価し緩和するための積極的な措置を講じる必要がある。
We have detailed guidance on protecting systems from ransomware attacks, as well as guidance on the responsibilities of data processors and controllers.  我々は、ランサムウェア攻撃からシステムを保護するための詳細なガイダンスや、データ処理者および管理者の責任に関するガイダンスを用意している。
Last year, we shared lessons learnt from common security mistakes and called on organisations to do more to combat the growing cyber threat.  昨年は、よくあるセキュリティ上の過ちから学んだ教訓を共有し、増大するサイバー脅威と闘うために組織に対してさらなる努力を呼びかけた。
The full monetary penalty notice can be found here. 罰金通知の全文はこちらで見ることができる。

 

Enforcement Action

・・2025.03.27 Advanced Computer Software Group Limited

Advanced Computer Software Group Limited アドバンスト・コンピュータ・ソフトウェア・グループ・リミテッド
The Information Commissioner’s Office (ICO) has fined Advanced Computer Software Group Ltd (Advanced) £3.07m for security failings that put the personal information of 79,404 people at risk.  情報コミッショナー事務局(ICO)は、79,404人の個人情報をリスクにさらしたセキュリティの不備に対し、Advanced Computer Software Group Ltd(Advanced社)に307万ポンドの罰金を科した。
Advanced provides IT and software services to organisations, including the NHS and other healthcare providers, and processes people’s personal information on behalf of these organisations.   アドバンストは、NHSやその他の医療プロバイダを含む組織にITおよびソフトウェアサービスを提供し、これらの組織に代わって人々の個人情報を処理している。
The fine relates to a ransomware incident in August 2022. Hackers accessed certain systems of Advanced’s health and care subsidiary via a customer account that did not have multi-factor authentication (MFA). The cyber attack was widely reported at the time, with reports of disruption to critical services such as NHS 111, and other healthcare staff unable to access patient records.   今回の罰金は、2022年8月に発生したランサムウェア・インシデントに関するものだ。ハッカーは、多要素認証(MFA)を導入していない顧客アカウントを経由して、アドバンストの医療・介護関連子会社の特定のシステムにアクセスした。このサイバー攻撃は当時広く報道され、NHS111などの重要なサービスが中断され、他の医療スタッフが患者の記録にアクセスできなくなったという報告があった。
Software provider fined £3m following 2022 ransomware attack 2022年のランサムウェア攻撃でソフトウェアプロバイダに300万ポンドの罰金
About the ICO ICOについて
Advanced Penalty Notice 20250327 上級罰金通知20250327

 

・[PDF] Advanced Penalty Notice 20250327

20250331-45041

 


 

当初の発表...

・2024.08.07 Provisional decision to impose £6m fine on software provider following 2022 ransomware attack that disrupted NHS and social care services

 

当時のニュース...

BBC

・2022.08.11 NHS IT supplier held to ransom by hackers

・2022.08.06 NHS 111 software outage confirmed as cyber-attack

 

関連して...

2017年5月にNHSがWannaCryの攻撃を受けた時...

・2018.04.18 NHS ransomware attack response criticised

・2017.10.27 NHS 'could have prevented' WannaCry ransomware attack

・2017.05.13 NHS cyber-attack: GPs and hospitals hit by ransomware

 

 

| | Comments (0)

2025.03.30

欧州ENISA 宇宙脅威状況 2025 (2025.03.26)

こんにちは、丸山満彦です。

ENISAが商業衛星のサイバーセキュリティ脅威状況を特定、評価する報告書を公表していますね...

衛星のライフサイクルのそれぞれの段階(開発、展開、運用、廃止)におけるサイバーセキュリティと、関係するステークホルダーに焦点を当てて記述していますね...

セグメントは地上、宇宙、ユーザー、人的リソース...

私も関わっていますが...日本でも経済産業省が2024.03.28に民間宇宙システムにおけるサイバーセキュリティ対策ガイドライン Ver2.0
を公表していますね...

 

ENISA

・2025.03.26 ENISA Space Threat Landscape 2025

・[PDF]

20250330-54036

・[DOCX][PDF] 仮訳

 

1. INTRODUCTION 1. 序文
1.1 BACKGROUND AND CONTEXT 1.1. 背景と文脈
1.2 POLICIES & STANDARDS 1.2. 方針と標準
1.3 SCOPE & OBJECTIVES 1.3. 範囲と目的
1.4 METHODOLOGY 1.4. 方法論
1.5 TARGET AUDIENCE 1.5. 想定読者
1.6 STRUCTURE OF THE REPORT 1.6. 報告書の構成
2. COMMERCIAL SATELLITES LIFECYCLE MODEL 2. 商業衛星のライフサイクルモデル
2.1. GENERIC LIFECYCLE MODEL AND ACTORS 2.1. 一般的なライフサイクルモデルとアクター
3. ASSET TAXONOMIES 3. 資産分類
3.1. GROUND SEGMENT 3.1. 地上セグメント
3.2. SPACE SEGMENT 3.2. 宇宙セグメント
3.3. USER SEGMENT 3.3. ユーザー・セグメント
3.4. HUMAN RESOURCES SEGMENT 3.4. 人的リソース・セグメント
4. SPACE THREATS 4. 宇宙の脅威
4.1. SPACE THREAT TRENDS 4.1. 宇宙脅威の傾向
4.2. THREAT ACTORS 4.2. 脅威アクター
4.3. THREAT TAXONOMY METHODOLOGY 4.3. 脅威分類法
4.4. THREAT TAXONOMY 4.4. 脅威分類
5. RISK ASSESSMENT 5. リスクアセスメント
5.1. SCENARIO 1: COMMUNICATIONS PROTOCOL COMPROMISE VIA SOCIAL ENGINEERING 5.1. シナリオ1:ソーシャル・エンジニアリングによるコミュニケーション・プロトコルの侵害
5.2. SCENARIO 2: EXPLOITING OBC/OBSW VULNERABILITIES VIA MALICIOUS CODE 5.2. シナリオ2:悪意のあるコードによる OBC/OBSW 脆弱性の悪用
5.3. SCENARIO 3: NETWORK INTRUSION DUE TO A LACK OF SECURITY PROTOCOLS AND MISCONFIGURATION 5.3. シナリオ3:セキュリティ・プロトコルの欠如と設定ミスによるネットワーク侵入
6. CYBERSECURITY CONTROL FRAMEWORK 6. サイバーセキュリティ・コントロール・フレームワーク
6.1. CONTROLS TO THREATS MAPPING 6.1.コントロールと脅威のマッピング
7. CONCLUSIONS AND RECOMMENDATIONS 7. 結論と提言
ANNEX A - LIST OF ACRONYMS AND ABBREVIATIONS 附属書A - 頭字語および略語のリスト
ANNEX B – DETAILED ASSET TAXONOMY 附属書B - 資産分類の詳細
ANNEX C – SPACE THREAT TAXONOMY 附属書C - 宇宙脅威分類法
ANNEX D – CYBERSECURITY CONTROL FRAMEWORK 附属書D - サイバーセキュリティ・コントロール・フレームワーク

 

エグゼクティブサマリー...

EXECUTIVE SUMMARY  エグゼクティブサマリー 
This report underlines the growing importance of cybersecurity considerations for the space industry, with an emphasis on commercial satellites. Previous years have witnessed several notable cyber-attacks aimed at the space industry, including large-scale satellite systems, with consequences being not only visible, but also potentially harmful for societies at large. At the same time, the growing body of EU frameworks regulating network and information security as well as resilience of critical and important sectors, recognises the space sector among essential entities, thus subjecting it to strict cybersecurity requirements that will be applicable from January 2025.  本報告書は、商業衛星に重点を置き、宇宙産業におけるサイバーセキュリティへの配慮の重要性が高まっていることを強調するものである。過去数年間、大規模衛星システムを含む宇宙産業を狙った注目すべきサイバー攻撃がいくつも発生しており、その結果は目に見えるものだけでなく、社会全体にとっても潜在的に有害なものであった。同時に、ネットワークや情報セキュリティ、重要事業体のレジリエンスを規制するEUのフレームワークが拡大しており、宇宙産業も重要事業体の1つとして認識されているため、2025年1月から適用されるサイバーセキュリティに関する厳しい要件が課されている。 
With this in mind, the primary objective of this report is to identify and assess the cybersecurity threat landscape for commercial satellites – exploring both existing and emerging challenges for the industry. This is achieved by focusing on cybersecurity aspects at each phase of the satellite lifecycle – development, deployment, operations, and decommissioning, and the stakeholders involved. The report defines a high-level reference architecture for commercial satellites presented in the form of a space assets taxonomy. The assets taxonomy is then matched against identified relevant threats and threat actors providing a space threat taxonomy, supplemented with possible risk scenarios and disruption models. Serving as a basic form of threat modelling, the scenarios, together with preceding sections, provide a baseline for designing a set of tailored cybersecurity controls derived from existing cybersecurity frameworks. The controls are aimed at providing guidance for strengthening resilience of commercial satellite operators.  このことを念頭に置いて、本報告書の主な目的は、商業衛星のサイバーセキュリティの脅威状況を特定・評価し、衛星業界にとっての既存の課題と新たな課題の両方を探ることである。これは、衛星のライフサイクルの各段階(開発、展開、運用、廃止)におけるサイバーセキュリティの側面と、関係するステークホルダーに焦点を当てることで達成される。本報告書では、商業衛星のハイレベルな参照アーキテクチャを宇宙資産分類法の形で定義している。次に、この資産分類法を、特定された関連脅威および脅威アクターと照合し、可能性のあるリスクシナリオと混乱モデルを補足した宇宙脅威分類法を提供する。脅威モデリングの基本的な形として機能するシナリオは、先行するセクションとともに、既存のサイバーセキュリティフレームワークから導き出された一連のサイバーセキュリティ制御を設計するためのベースラインを提供する。この管理策は、商業衛星事業者のレジリエンスを強化するためのガイダンスを提供することを目的としている。 
The report is aimed at a wide target audience – which includes representatives of the public/government sector and the space industry, technical and cybersecurity communities, as well as academia, standardisation bodies, civil society organisations, and the interested public.  この報告書は、官公庁、宇宙産業、技術コミュニティ、サイバーセキュリティコミュニティの代表者のほか、学界、標準化団体、市民社会組織、関心のある一般市民など、幅広い読者を対象としている。 
Among the key cybersecurity challenges faced by the commercial satellites industry, the report outlines:  商業衛星産業が直面するサイバーセキュリティの主要課題のうち、本報告書は次のように概説している
• Supply chain risks, with the space sector heavily dependent on complex global supply chains;  • サプライチェーンのリスク。宇宙分野は複雑なグローバルサプライチェーンに大きく依存している; 
• Use of third party Commercial Off-the-Shelf (COTS) components;  • サードパーティの商用オフザシェルフ(COTS)コンポーネントの使用
• Legacy systems, due to the remote nature and location of space systems;  • レガシー・システムは、宇宙システムの遠隔地という性質と場所に起因する
• Limited visibility, again related to the remote nature of the space systems;  • 視界が狭いのは、やはり宇宙システムの遠隔地という性質が関係している
• Weak configuration, primarily found in the lack of cryptographic technologies;  • コンフィギュレーションが弱く、主に暗号技術の欠如に見られる; 
• Human error, since space systems dependent on a high degree of human interaction in all phases of their lifecycle; and  • 宇宙システムは、そのライフサイクルのすべての段階において、高度な人的相互作用に依存しているため、ヒューマンエラーが発生する。 
• The threat of sophisticated cyber-attacks, launched by skilled and capable threat actors  • 熟練した有能な脅威アクターによる高度なサイバー攻撃の脅威。 
To address these, some of the most notable recommended actions identified by the report include:  これらに対処するため、報告書が推奨する最も注目すべき行動には以下のようなものがある
• Implementing security by default and by design principles;  • デフォルトと設計原則によるセキュリティを実装する; 
• Analysis, testing, and hardening of COTS before and after introducing them into the production environment (operations);  • COTSを本番環境(オペレーション)に導入する前後の分析、テスト、ハードニングを行う; 
• Strengthened physical security of all ground-based assets, as well as space assets prior to their launch;  • すべての地上資産および打ち上げ前の宇宙資産の物理的セキュリティを強化した; 
• Deployment of validated and tested cryptographic technologies measures into space systems;  • 妥当性を確認し、テストした暗号技術を宇宙システムに展開する; 
• Introduction of robust segmentation measures;  • ロバストセグメンテーションの序文; 
• Regular patching and hardening of space systems;  • 宇宙システムの定期的なパッチ適用とハードニング; 
• Adopting a zero-trust approach; and  • ゼロ・トラスト・アプローチを採用する
• Adopting sound and appropriate cyber hygiene practices. • 健全かつ適切なサイバー衛生慣行を採用する。

 

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.08.28 米国 国家安全保障局 (NSA) 商用超小型地球局(VSAT)ネットワークの保護

・2024.07.01 防衛省 防衛研究所 「商業宇宙戦争」の時代における防衛組織の課題 + 米国国防総省の商業宇宙統合戦略

・2024.04.24 ドイツ BSIが人工衛星の地上セグメント用のITベースライン保護プロファイルを公表

・2024.04.06 米国 国防総省 商業宇宙統合戦略2024 - 新宇宙戦略は国防総省と民間企業の努力の統合を目指す

・2024.03.29 経済産業省 民間宇宙システムにおけるサイバーセキュリティ対策ガイドライン Ver 2.0

・2024.02.19 ENISA 低軌道(LEO)衛星通信のサイバーセキュリティ評価

・2023.09.26 NIST IR 8441 ハイブリッド衛星ネットワーク(HSN)のサイバーセキュリティフレームワーク・プロファイル

・2023.08.01 NIST NIST IR 8270 商業衛星運用のためのサイバーセキュリティ入門

・2023.06.10 NIST NISTIR 8441(ドラフト)ハイブリッド衛星ネットワークのためのサイバーセキュリティフレームワークプロファイル (2023.06.06)

・2023.05.31 ENISA 海底ケーブルから低軌道衛星通信までのセキュリティの確保 (2023.05.24)

・2023.04.02 経済産業省 民間宇宙システムにおけるサイバーセキュリティ対策ガイドライン Ver1.1

・2023.03.08 欧州 安全な宇宙ベースの接続プログラムを欧州理事会が承認

・2023.01.08 NISTIR 8401 衛星地上セグメント:衛星の指揮・統制を保証するためのサイバーセキュリティフレームワークの適用 (2022.12.30)

・2022.11.06 NIST ホワイトペーパー NIST CSWP 27:ハイブリッド衛星ネットワーク (HSN) 用サイバーセキュリティフレームワーク・プロファイル:注釈付きアウトライン最終版

・2022.08.05 ドイツ BSI 宇宙インフラのためのサイバーセキュリティ

・2022.07.16 経済産業省 令和3年度委託調査報告書(サイバーセキュリティ関係) 2022.07.14現在

・2022.07.14 NIST NCCoE ハイブリッド衛星ネットワーク(HSN)サイバーセキュリティ(ドラフト)

・2022.07.06 NISTIR 8323 Rev. 1 (ドラフト) 基礎的な PNT プロファイル:測位・航法・計時(PNT)サービスの責任ある使用のためのサイバーセキュリティフレームワークの適用 (2022.06.29)

・2022.04.21 NISTIR 8401 (ドラフト) 衛星地上セグメント:衛星の指揮・統制を保証するためのサイバーセキュリティフレームワークの適用

・2022.02.28 NISTIR 8270(ドラフト)商用衛星運用のためのサイバーセキュリティ入門(第2稿)

・2022.02.27 経済産業省 意見募集 「民間宇宙システムにおけるサイバーセキュリティ対策ガイドラインβ版」

・2021.07.02 NISTIR 8270(ドラフト)商用衛星運用のためのサイバーセキュリティ入門

・2021.05.23 GPSの二重化は現在のところ経済効率的ではないようですね。。。

・2021.04.16 U.S. Rand研究所 衛星インターネットサービスは独裁者にとって吉?凶?

・2021.04.12 宇宙経済をサイバー攻撃から守り抜くために by The Center for Security Studies at ETH Zürich at 2021.01.07

・2021.02.13 NIST NISTIR 8323 基本的なPNTプロファイル:測位・航法・計時(PNT)サービスの責任ある使用のためのサイバーセキュリティフレームワークの適用

・2020.11.21 MITREがサイバーセキュリティを含む宇宙関連の5つの技術報告書を公開していますね。。。

・2020.10.23 NISTが測位・航法・計時(PNT)に関連するサービスに関連したセキュリティプロファイルに関する文書(NISTIR 8323)のパブコメを募集していますね。

・2020.09.21 イランのハッカー3名が衛星会社から知財を盗んだ理由等により起訴されていますね。。。

 

 

 

 

| | Comments (0)

2025.03.29

経済産業省 ウラノス・エコシステムにおける産業データ連携の促進に向けた「トラスト」のあり方に関する報告書 (2025.03.28)

こんにちは、丸山満彦です。

経済産業省が推進している「ウラノス・エコシステム(Ouranos Ecosystem)」...DFFT(Data Free Flow with Trust:信頼性のある自由なデータ流通)の実現に向け、複数のシステムを連携させ、企業・業界を横断したデータの利活用を促進することで、データ・システム・ビジネス連携を具体的に推進し、官民協調で企業・産業競争力強化を目指す取組...

・ウラノス・エコシステム

・・経済産業省

・・IPA

天王星(Uranus)もウラノスですが、ギリシャの神の名前からきているのでしょうね... ガイアの息子兼夫の...なんで日本人に馴染みがあまりない、ギリシャ神話から名前をもってきたんでしょうかね...普及を考えた時...偉い人のひとこと???(^^)

Wikipediaを読むとウラノスにまつわる神話はなかなかすごいです...(どこか、古事記にも通じるようなところが...)

さて、そんなデータやシステムの連携基盤を推進するイニシアティブともいえるウラノス・エコシステムですが、データ連携を促進するためには、主体、データ、連携基盤のトラストが必要ということで、そのトラストを実現するための論点を整理したというのが、今回の報告書ですかね...

ちなみに、Security、Safety、Trustですが、私の語感では、Securityというのは外部脅威に対して防御をすること、防御されている状態という感じですかね...Safetyは、その結果も含めて安全な状態になっている感じ...で、Trustは関係性に対する主観的な問題なので、安全な状態になっていることも含めて何かに信頼を寄せることができる状態という感じですかね...

Trustなので、主観的な心の問題...

 

経済産業省

・2025.03.28 ウラノス・エコシステムにおける産業データ連携の促進に向けた「トラスト」のあり方に関する報告書を取りまとめました

 

構成員が企業においてデータ利活用を推進する技術的な人、工学的な学者を中心にまとめたのですが、ガバナンスやマネジメントの知見がある人、法律に知見がある人を加えた方が、報告書に深みがでたかもですね...

 

ウラノス・エコシステムの拡大及び相互運用性確保に向けたトラスト研究会 報告書

・[PDF] 概要

20250329-54818

 

・[PDF] 本体

20250329-54800

 

 

目次...

エグゼクティブサマリー

1. はじめに
1.1 産業データ連携及びウラノス・エコシステムに係る経緯
1.2 本研究会開催の目的

2. ユースケースに基づくトラスト要求の整理方法
2.1 トラストの整理に当たっての基本的な方針
2.2 DMF の概要
 2.2.1 DMF 策定の経緯
 2.2.2 データマネジメントのモデル化
 2.2.3 リスク分析手順
2.3 DMF STEP に沿ったトラストの整理の方法

3. 各分野におけるユースケース
3.1 自動車・蓄電池のユースケース➀:蓄電池 CFP/DD,
 3.1.1 連携対象となるデータ
 3.1.2 データ連携の場
 3.1.3 データに関わるリスク・不確実性
 3.1.4 リスクに対する対応策
3.2 自動車・蓄電池のユースケース②:自動車 LCA
 ...
3.3 自動車・蓄電池のユースケース③:電池パスポート
 ...
3.4 化学物質管理のユースケース
 ...
3.5 鉄道のユースケース
 ...
3.6 電力データのユースケース
 ...
3.7 人流データのユースケース
 ...
3.8 スマートビルのユースケース
...

4. 諸外国における産業データ連携事例とトラスト
4.1 Catena-X における取組
 4.1.1 ガバナンス
 4.1.2 アーキテクチャ
4.2 諸外国におけるトラストフレームワークの事例
 4.2.1 シンガポールにおける取組(TDSF)
 4.2.2 カナダにおける取組(PCTF)
 4.2.3 英国における取組
4.3 総括

5. 産業データ連携におけるトラスト確保に向けた分析と進め方
5.1 データ連携の「場」に関する分析(Q1、Q2 関係)
5.2 データに対するリスクと対処に関する分析(Q3、Q4 関係)
5.3 各事例から得られた内容とその整理
 5.3.1 事業者(主体の真正性・実在性)に関するリスク
 5.3.2 データそのものに関するリスク
 5.3.3 連携基盤等に関するリスク
5.4 ウラノス・エコシステムにおけるトラストの考え方、あり方

6. 終わりに

構成員名簿
オブザーバー名簿

本研究会の開催実績


エグゼクティブサマリー

背景と目的

本報告書は、経済産業省が推進するウラノス・エコシステムにおいて、産業データ連携を安全で信頼できる形で推進するために必要な「トラスト」の考え方とあり方について整理したものである。産業データ連携に関わる幅広いステークホルダーを想定読者としている。

分析方法と対象ユースケース

本研究会では、産業データ連携の拡大に伴う、なりすましや参加権限を満たさない等による不正な事業者の参入や、データ改ざんや精度・品質の不十分なデータ等による不正確なデータの混入等のリスクに対し、「トラスト」を「相手が期待を裏切らないと思える状態」と定義した。その上で、国内の 8 つのユースケース(蓄電池、自動車 LCA、電池パスポート、化学物質管理、鉄道、電力、人流データ、スマートビル)を対象に、データマネジメント・フレームワーク(DMF)を用いて、要求されるトラスト等について分析を行った。また、国際的な企業間データ連携も視野に入れ、欧州、シンガポール、カナダ、英国の先行事例を整理した。

分析結果

分析の結果、データ連携に伴う主要なリスクを次の3つに整理した。

  1. 事業者(主体の真正性・実在性)に関するリスク
  2. データそのものに関するリスク
  3. 連携基盤等に関するリスク

「事業者に関するリスク」は、各ユースケースに共通するリスクであり、官の情報を基にしたトラスト確保が分野横断的に有効となる可能性があることが示された。他方で、「データそのものに関するリスク」、「連携基盤等に関するリスク」については、「場」1 から要請される要素や水準に個別に応えることが合理的であり、各ユースケースやその設計において議論・対処すべきとされた。

今後の課題・将来的論点

以上を踏まえ、産業データ連携におけるトラストについての将来的論点としては、ユースケース間連携におけるトラストの確立、相互運用性の確保やスケーラビリティのある有用なアーキテクチャ・共通コンポーネント等の整備、複数の海外データスペースとの連携等が考えられる。


 

おわりに...


6. 終わりに

企業・業界を横断したデータの利活用の促進を通じ、官民協調で企業・産業競争力強化を目指す「ウラノス・エコシステム」での産業データ連携におけるトラストについて、本研究会ではユースケースや国外の取組事例の収集・分析に基づいてトラストの考え方・在り方を整理した。データ連携の「場」の分析を通じてリスクや求められる対応を明らかにした上で、それぞれの「場」で求められる要素や水準に応じて必要な取組を推進するべきであると整理した。また、今回分析した事例において共通的な要求が存在するものとして、データ連携を行う主体(事業者)の真正性・実在性が挙げられ、官の情報を基にしたトラスト確保が分野横断的に有効となる可能性があることが示された。

各ユースケースの創出が今後蓄積されていく中で、データ連携におけるトラストについての将来的論点としては、ユースケース間連携におけるトラストの確立、相互運用性の確保やスケーラビリティのある拡大に有用なアーキテクチャ・共通コンポーネント等の整備、複数の海外データスペースとの連携等が考えられる。

また、データ連携のトラスト確立の推進に向けては、上述したリスクやその対処において、既存のトラストに関する取組や制度も含めた様々な手段や技術が存在する中で、官民それぞれの取組が求められると考えられる。

信頼できるデータ連携やエコシステムによって、より多くの事業者が産業データ連携の活用、それを通じた産業競争力の向上に貢献できるよう、今後も「ウラノス・エコシステム」の取組を推進していく。


 

 


こっちも併せて理解するとよりよいかもですね...

 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.02.01 経済産業省 産業データの越境データ管理等に関するマニュアル (2025.01.27)

 

 

| | Comments (0)

欧州委員会 汎用AI実践規範の第3ドラフトを発表 (2025.03.11)

こんにちは、丸山満彦です。

欧州委員会が、汎用AI実践規範の第3ドラフトを発表しています...

第2ドラフトで持ち込んだKPIをひっこめましたね...

そしてテーマごとに4分冊になりました...

最初のドラフトの発表が11.14、第2ドラフトの発表が12.19ですね...2025年5月までに、汎用AI実践規範を完成する必要がありますので、これから作業がどんどん進んでいくのでしょうね...

 

European Commission - General-Purpose AI Code of Practice

・2025.03.11 Third Draft of the General-Purpose AI Code of Practice published, written by independent experts

 

Third Draft of the General-Purpose AI Code of Practice published, written by independent experts 独立専門家による汎用AI実践規範の第3ドラフトが発表された
The Chairs and the Vice-Chairs of the General-Purpose AI Code of Practice present the third draft of the Code. 汎用AI実践規範の議長および副議長が、実践規範の第3ドラフトを発表した。
This kicks off the last drafting round as the Code will be finalised based on stakeholder feedback to this proposal. Compared to the previous two drafts, this version of the Code features a more streamlined structure with refined commitments and measures. このドラフトは、利害関係者からの本提案に対するフィードバックに基づいて実践規範が最終化されるため、最後のドラフト作成段階の開始となる。前2ドラフトと比較すると、今回の実践規範のバージョンでは、より洗練されたコミットメントと対策により、より合理化された構造となっている。
The draft is based on a concise list of high-level commitments and provides more detailed measures to implement each commitment. These are 2 Commitments related to transparency and copyright for all providers of general-purpose AI models, and further 16 Commitments related to safety and security only for providers of general-purpose AI models classified as general-purpose AI models with systemic risk. このドラフトは、簡潔なハイレベルのコミットメントのリストに基づいており、各コミットメントを実施するためのより詳細な手段が提示されている。これらは、汎用AIモデルのすべてのプロバイダを対象とした透明性と著作権に関する2つのコミットメント、および、システムリスクのある汎用AIモデルに分類された汎用AIモデルのプロバイダのみを対象とした安全性とセキュリティに関するさらに16のコミットメントである。
The improvements are based on the feedback received on the second draft published on 19 December 2024. Together with the third draft, the Chairs and Vice-Chairs also propose a dedicated executive summary and interactive website. This facilitates stakeholders to provide feedback to the draft in writing and in the upcoming discussions in working groups and dedicated workshops. The final Code should be ready in May, as a tool for general-purpose AI model providers to demonstrate compliance with the AI Act, incorporating state-of-the-art practices. 改善は、2024年12月19日に発表された第2次ドラフトに対するフィードバックに基づいている。第3ドラフトとともに、議長と副議長は、専用のエグゼクティブサマリーとインタラクティブなウェブサイトも提案している。これにより、利害関係者はドラフトに対するフィードバックを書面で提出し、今後のワーキンググループや専用のワークショップでの議論に貢献しやすくなる。最終的な規範は、汎用AIモデルプロバイダがAI法への準拠を実証するためのツールとして、5月までに完成する予定である。この規範は、最先端の慣行を取り入れたものとなる。
Details of the third draft 第3ドラフトの詳細
The first two sections of the draft Code detail transparency and copyright obligations for all providers of general-purpose AI models, with notable exemptions from the transparency obligations for providers of certain open-source models in line with the AI Act. Related to transparency, Chairs have included a user-friendly Model Documentation Form which allows signatories to easily document the necessary information in a single place. The section on copyright contains core measures from the second draft but in a simplified and clearer form. この規範の最初の2つのセクションでは、汎用AIモデルのすべてのプロバイダに対する透明性と著作権に関する義務について詳細に説明しており、AI法に沿って、特定のオープンソースモデルのプロバイダには透明性に関する義務の適用除外が認められている。透明性に関連して、議長は、署名者が必要な情報を1か所で簡単に文書化できる、ユーザーフレンドリーなモデル文書フォームを盛り込んだ。著作権に関するセクションには、第2ドラフトの主要な対策が盛り込まれているが、より簡潔でわかりやすい形になっている。
The third section of the Code is only relevant for a small number of providers of most advanced general-purpose AI models that could pose systemic risks, in accordance with the classification criteria in Article 51 of the AI Act. Here the Code outlines measures for systemic risk assessment and mitigation, including model evaluations, incident reporting, and cybersecurity obligations. 実践規範の第3章は、AI法第51条の分類規準に従い、システミック・リスクをもたらす可能性のある最も高度な汎用AIモデルを提供するプロバイダの少数のみに関連する。ここでは、実践規範は、モデル評価、インシデント報告、サイバーセキュリティ義務を含む、システミック・リスクのアセスメントと緩和のための措置を概説している。
In light of the evolving state of the art, Chair stress the need to balance clear commitments with the flexibility to adapt as technology evolves, next to the need for further development of ecosystems for AI governance and risk management. 技術の進化を踏まえ、議長は、明確なコミットメントと技術の進化に合わせて適応する柔軟性のバランスを取る必要性を強調し、AIのガバナンスとリスクマネジメントのためのエコシステムのさらなる開発の必要性についても言及した。
Complementary actions by the AI Office/the Commission AIオフィス/委員会による補完的な行動
In parallel and independently from the Code, regarding the template for an adequate public summary of the training data envisaged in Article 53(1)d) AI Act, the AI Office outlined earlier this year a preliminary approach for its possible content and structure. During the Code of Practice working group, the AI Office will report on the feedback received from stakeholders and outline next steps for the adoption of the template. 実践規範とは並行して独立して、AI法第53条(1)d)項で想定されている訓練データの適切な公開要約のテンプレートに関して、AIオフィスは今年初めにその内容と構造の予備的なアプローチを概説した。実践規範作業部会において、AIオフィスはステークホルダーから得たフィードバックを報告し、テンプレートの採択に向けた次のステップを概説する予定である。
Furthermore, the AI Office is dedicated to ensuring a holistic understanding of the AI Act rules for general-purpose AI, complementing the drawing-up of the Code. Therefore, the AI Office will publish guidance in due time, clarifying the scope of the rules. This can be expected to relate to the definitions of general-purpose AI model, placing of models on the market and provider, including clarifications to responsibilities along the value chain, such as to what extent rules apply to downstream actors modifying or fine-tuning a general-purpose AI model. In addition, the guidance will address the exemption for models provided under free and open-source license, the effects of the AI Act on models placed on the market before August 2025 and possibly other elements of importance for providers to obtain clarity necessary for the future implementation of the rules for general- purpose AI models. さらに、AIオフィスは、汎用AIに関するAI法の規則について包括的な理解を確保することに専念しており、実践規範の策定を補完する。そのため、AIオフィスは、規則の適用範囲を明確にするガイダンスを適時公表する予定である。これは、汎用AIモデルの定義、モデルの上市およびプロバイダ、バリューチェーンに沿った責任の明確化(汎用AIモデルを修正または微調整する下流の関係者にどの程度規則が適用されるかなど)に関連すると予想される。さらに、ガイダンスでは、フリーおよびオープンソースライセンスで提供されるモデルの適用除外、2025年8月以前に上市されたモデルに対するAI法の影響、および、プロバイダが汎用AIモデルの規則を将来的に実施するために必要な明確性を得るために重要なその他の要素についても取り扱う予定である。
For now, the AI Office provides clarifications in the dedicated Q&A, which has been updated with the third draft of the Code. 現時点では、AIオフィスは、実践規範の第3ドラフトとともに更新された専用Q&Aで明確化を行っている。
Background 背景
Each draft of the Code of Practice is a work in progress and reflects the views of stakeholders participating in the Code of Practice Working Groups and Provider Workshops, consisting of around 1000 stakeholders, including EU Member State representatives and European and international observers. 実践規範の各ドラフトは進行中の作業であり、実践規範ワーキンググループおよびプロバイダワークショップに参加する利害関係者の意見を反映している。実践規範ワーキンググループおよびプロバイダワークショップには、EU加盟国の代表者および欧州および国際的なオブザーバーを含む約1000人の利害関係者が参加している。
Next steps 今後のステップ
In addition to the written feedback received by Sunday, 30 March 2025, Chairs and Vice-Chairs will participate in further discussions in line with the tentative timeline published by the AI Office, which will be updated with specific dates as soon as possible. 2025年3月30日(日)までに受け取った書面によるフィードバックに加え、議長および副議長は、AI事務局が発表した暫定的なスケジュールに沿って、さらなる議論に参加する。このスケジュールは、具体的な日付が判明次第、できるだけ早く更新される予定である。
All stakeholders in the Code of Practice Plenary will have the opportunity to participate in the respective Working Group discussions. Dedicated workshops will be offered to general-purpose AI model providers and Member State representatives in the AI Board Steering Group 実践規範全体会議のすべての利害関係者は、それぞれの作業部会の議論に参加する機会を持つ。汎用AIモデルプロバイダおよびAI理事会運営グループの加盟国代表者向けに、専用のワークショップが提供される。
In addition, the Chairs plan to invite civil society organisations and downstream industry to additional workshops to allow for even more targeted interactions. さらに、議長らは、市民社会組織および下流産業を追加のワークショップに招待し、よりターゲットを絞った交流を行う予定である。

 

1 - Commitments (コミットメント)

20250328-111724

・[DOCX][PDF] 仮訳

 

2 - Transparency (透明性)

20250328-111716

・[DOCX][PDF] 仮訳

 

3 - Copyright (著作権)

20250328-60249_20250328111801

・[DOCX][PDF] 仮訳

 

4 - Safety and Security (安全性とセキュリティ)

20250328-53304_20250328111802

・[DOCX][PDF] 仮訳

 

 

 


 

 

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.03.13 欧州委員会 AI法における汎用AIモデル - Q&A (2025.03.10)

・2025.02.08 欧州委員会 規則(EU)2024/1689(AI法)が定める人工知能の禁止行為に関する欧州委員会ガイドライン

・2024.12.22 欧州委員会 汎用AI実践規範の第2ドラフトを発表 (2024.12.19)

・2024.12.06 欧州委員会 AI法における汎用AIモデル - Q&A (2024.11.20)

・2024.11.17 欧州委員会 汎用AI実践規範の最初のドラフトを発表 (2024.11.14)

・2024.10.30 欧州 AI法の調和標準の策定について...

・2024.09.08 欧州評議会 AI条約の署名開始... (2024.09.05)

・2024.08.05 欧州AI法が施行された... (2024.08.01)

・2024.07.19 ドイツ BfDI フランス CNIL オランダ AP EU AI法関連

・2024.07.16 EU 2024.07.12にAI法がEU官報に掲載された

・2024.05.22 EU 欧州理事会がAI法を承認...まもなく発効されますね...

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2023.12.10 欧州委員会、欧州議会がAI法について政治的合意

・2022.12.08 EU理事会 AI法に関する見解を採択

・2022.09.30 欧州委員会 AI責任指令案

・2021.12.05 欧州理事会 AI法改正案を欧州議会に提出

・2021.08.08 EU議会 BRIEFING 人工知能法 at 2021.07.26

・2021.04.24 欧州委員会がAIへの規制を提案 → 欧州データ保護官は歓迎するけど、公共空間での遠隔生体認証についての規制も入れてね

 

 

| | Comments (0)

2025.03.28

米国 ODNI 2025 米国インテリジェンス・コミュニティの年次脅威アセスメント (2025.03.25)

こんにちは、丸山満彦です。

米国の安全保障長官室が、米国インテリジェンス・コミュニティの年間脅威評価を公表していますね。。。

米国の公式な見解として見ておく必要はあるでしょうね。。。

昨年年度のNIPの予算要求額は、$73.4 billion (約11兆円)と発表されていましたが、2025年度の日本の防衛予算要求学は過去最大の8兆4,748億円(防衛省)ですから、いかに大きいか、、、ということがわかりますね...

ちなみに米国のインテリジェンスコミュニティの予算額は、NIP、MIP含めて

U.S. Intelligence Community Budget

で確認できますね...

 

Office of the Director of National Intelligence: ODNI

・2024.03.25 2025 Annual Threat Assessment of the U.S. Intelligence Community

・[PDF]

20250327-50726

 

内容...

ANNUAL THREAT ASSESSMENT OF THE U.S. INTELLIGENCE COMMUNITY  米国インテリジェンス・コミュニティの年次脅威アセスメント 
INTRODUCTION  序文 
This annual report of worldwide threats to the national security of the United States responds to Section 617 of the FY21 Intelligence Authorization Act (Pub. L. No. 116-260). This report reflects the collective insights of the Intelligence Community (IC), which is committed to providing the nuanced, independent, and unvarnished intelligence that policymakers, warfighters, and domestic law enforcement personnel need to protect American lives and America’s interests anywhere in the world.  米国の国家安全保障に対する世界的な脅威に関するこの年次報告書は、2011会計年度情報機関認可法(公法第116-260号)第617条に対応するものである。本報告書は、インテリジェンス・コミュニティ(IC)の総合的な見識を反映したものであり、ICは、世界のどこであっても、米国人の生命と米国の利益を防御するために必要な、微妙なニュアンスを伴う、独自かつ飾り気のないインテリジェンスの提供に努めている。
This assessment focuses on the most direct, serious threats to the United States primarily during the next year. All these threats require a robust intelligence response, including those where a near-term focus may help head off greater threats in the future.  本アセスメントは、主に今後1年間にわたり米国に直接的な深刻な脅威をもたらす可能性に焦点を当てている。 これらの脅威には、短期的な対応が将来的に大きな脅威を回避することにつながる可能性があるものも含め、強固な情報対応が必要である。 
Information available as of 18 March was used in the preparation of this assessment.  本アセスメントの作成には、3月18日時点で入手可能な情報が使用された。 
CONTENTS  目次 
INTRODUCTION 序文
FOREWORD まえがき
NONSTATE TRANSNATIONAL CRIMINALS AND TERRORISTS 非国家主体の国際犯罪者およびテロリスト
Foreign Illicit Drug Actors 外国の違法薬物アクター
Transnational Islamic Extremists 国際的なイスラム過激派
Other Transnational Criminals その他の国際犯罪者
MAJOR STATE ACTORS 主要国家アクター
China 中国
Russia ロシア
Iran イラン
North Korea 北朝鮮
Adversarial Cooperation 敵対的協力
FOREWORD  まえがき 
The 2025 Annual Threat Assessment (ATA) is the Intelligence Community’s (IC) official, coordinated evaluation of an array of threats to U.S. citizens, the Homeland, and U.S. interests in the world. A diverse set of foreign actors are targeting U.S. health and safety, critical infrastructure, industries, wealth, and government. State adversaries and their proxies are also trying to weaken and displace U.S. economic and military power in their regions and across the globe.    2025 年の年次脅威アセスメント(ATA)は、米国市民、国土、および米国の国益に対するさまざまな脅威に関するインテリジェンス・コミュニティ(IC)の公式な調整評価である。多様な外国のアクターが、米国の健康と安全、重要なインフラ、産業、富、政府を標的にしている。国家の敵対者とその代理人も、その地域および世界中で米国の経済力と軍事力を弱体化させ、追い落とそうとしている。 
Both state and nonstate actors pose multiple immediate threats to the Homeland and U.S. national interests. Terrorist and transnational criminal organizations are directly threatening our citizens. Cartels are largely responsible for the more than 52,000 U.S. deaths from synthetic opioids in the 12 months ending in October 2024 and helped facilitate the nearly three million illegal migrant arrivals in 2024, straining resources and putting U.S. communities at risk. A range of cyber and intelligence actors are targeting our wealth, critical infrastructure, telecom, and media. Nonstate groups are often enabled, both directly and indirectly, by state actors, such as China and India as sources of precursors and equipment for drug traffickers. State adversaries have weapons that can strike U.S. territory, or disable vital U.S. systems in space, for coercive aims or actual war. These threats reinforce each other, creating a vastly more complex and dangerous security environment.  国家および非国家アクターの両方が、米国本土および米国の国益に複数の差し迫った脅威をもたらしている。テロリストおよび国際犯罪組織は、米国市民に直接的な脅威をもたらしている。カルテルは、2024年10月までの12か月間に合成オピオイドによって死亡した52,000人以上の米国人の死に大きな責任があり、2024年に300万人近くの不法移民の流入を容易にし、リソースを圧迫し、米国のコミュニティをリスクにさらした。さまざまなサイバーおよびインテリジェンスのアクターが、米国の富、重要なインフラ、通信、メディアを標的にしている。非国家グループは、麻薬密売人のための前駆物質や設備の供給源として、中国やインドなどの国家アクターから直接的・間接的に支援を受けていることが多い。国家の敵対者は、威嚇目的や実際の戦争のために、米国領土を攻撃したり、宇宙空間の米国の重要なシステムを無効化したりできる兵器を保有している。これらの脅威は互いに強化し合い、はるかに複雑で危険な安全保障環境を作り出している。
Russia, China, Iran and North Korea—individually and collectively—are challenging U.S. interests in the world by attacking or threatening others in their regions, with both asymmetric and conventional hard power tactics, and promoting alternative systems to compete with the United States, primarily in trade, finance, and security. They seek to challenge the United States and other countries through deliberate campaigns to gain an advantage, while also trying to avoid direct war. Growing cooperation between and among these adversaries is increasing their fortitude against the United States, the potential for hostilities with any one of them to draw in another, and pressure on other global actors to choose sides.  ロシア、中国、イラン、北朝鮮は、個別に、または集団として、非対称戦力および通常戦力の双方の強硬手段を用いて、それぞれの地域で他国を攻撃または威嚇し、また米国と競合する代替システムを主に貿易、金融、安全保障の分野で推進することにより、世界の米国の利益を脅かしている。彼らは、意図的なキャンペーンを通じて優位に立つことで米国やその他の国々を挑発しようとしているが、同時に直接的な戦争は回避しようとしている。これらの敵対勢力間の協力関係が深まるにつれ、米国に対する彼らの抵抗力が強まり、いずれかの勢力との敵対関係が他の勢力との敵対関係を引き起こす可能性が高まり、他の世界のアクターたちにどちらの側につくかを選択するよう圧力をかけることになる。
This 2025 ATA report supports the Office of the Director of National Intelligence’s commitment to keeping the U.S. Congress and American people informed of threats to the nation’s security, representing the IC’s dedication to monitoring, evaluating, and warning of threats of all types. In preparing this assessment, the National Intelligence Council worked closely with all IC components, the wider U.S. Government, and foreign and external partners and experts to provide the most timely, objective, and useful insights for strategic warning and U.S. decision advantage.  この2025年ATA報告書は、国家情報長官室が米国の 議会および米国国民に国家の安全保障に対する脅威を知らせるという国家情報長官室の取り組みを支援し、あらゆる種類の脅威の監視、評価、警告に対する情報コミュニティの献身を代表するものである。このアセスメントの作成にあたり、国家情報会議は情報コミュニティのすべての部門、より広範な米国政府、および外国および外部のパートナーや専門家と緊密に協力し、戦略的な警告と米国の意思決定の優位性のために、最もタイムリーで客観的かつ有益な洞察を提供した。
This 2025 Annual Threat Assessment details these myriad threats by actor or perpetrator, starting with nonstate actors and then presenting threats posed by major state actors. The National Intelligence Council stands ready to support policymakers with additional information in a classified setting.  この『2025年 年次脅威アセスメント』では、まず非国家主体による脅威を取り上げ、その後、主要国家主体による脅威を提示することで、アクターまたは加害者別に、これらの数多くの脅威を詳細に説明している。国家情報会議は、機密扱いの追加情報を政策立案者に提供する用意がある。 
NONSTATE TRANSNATIONAL CRIMINALS AND TERRORISTS   非国家主体の国際犯罪者およびテロリスト
Transnational criminals, terrorists, and other nonstate actors are threatening and impacting the lives of U.S. citizens, the security and prosperity of the Homeland, and U.S. strength at home and abroad. Some transnational criminal organizations (TCOs) are producing and trafficking large amounts of illicit drugs that are imperiling American lives and livelihoods. They are conducting other illegal activities that challenge U.S. security, such as human trafficking, cyber operations, money laundering, and inciting violence. U.S. citizens—at home and abroad—are also facing more diverse, complex, and decentralized terrorist threats. Actors, ranging from designated Foreign Terrorist Organizations—including the Islamic State of Iraq and ash-Sham (ISIS), al-Qa‘ida, other Islamist terrorist groups, and some drug cartels— to terrorists acting alone or in small cells, are likely to pursue, enable, or inspire attacks. Finally, large-scale illegal immigration has strained local and national infrastructure and resources and enabled known or suspected terrorists to cross into the United States.  国際犯罪者、テロリスト、その他の非国家主体は、米国市民の生活、米国本土の安全と繁栄、そして国内外における米国の強さに脅威を与え、影響を与えている。一部の国際犯罪組織(TCO)は、米国人の生命と生活を脅かす大量の違法薬物を製造・密売している。また、人身売買、サイバー作戦、資金洗浄、暴力扇動など、米国の安全保障を脅かすその他の違法行為も行っている。米国民は、国内外を問わず、より多様化、複雑化し、非中央集権化されたテロの脅威にも直面している。「イスラム国」(ISIS)、アルカイダ、その他のイスラム過激派テロ集団、一部の麻薬カルテルなど、指定された外国テロ組織から単独または小規模なグループで活動するテロリストに至るまで、さまざまな主体が攻撃を実行、幇助、または扇動する可能性が高い。最後に、大規模な不法移民は、地域および国家のインフラと資源に負担をかけ、既知または疑わしいテロリストが米国への入国を可能にしている。
Foreign Illicit Drug Actors  外国の違法薬物関係者 
Western Hemisphere-based TCOs and terrorists involved in illicit drug production and trafficking bound for the United States endanger the health and safety of millions of Americans and contribute to regional instability. Fentanyl and other synthetic opioids remain the most lethal drugs trafficked into the United States, causing more than 52,000 U.S. deaths in a 12-month period ending in October 2024. This represents a nearly 33 percent decrease in synthetic opioid-related overdose deaths compared to the same reporting time frame the previous year, according to CDC provisional data, and may be because of the availability and accessibility of naloxone.   米国を標的とした違法薬物の生産や密売に関与する西半球を拠点とするテロ組織やテロリストは、数百万人の米国人の健康と安全を脅かし、地域の不安定化に寄与している。フェンタニルやその他の合成オピオイドは、米国に密輸される最も致死性の高い薬物であり、2024年10月までの12か月間で52,000人以上の米国人の死亡原因となっている。これは、前年の同時期の報告期間と比較して、合成オピオイド関連の過剰摂取による死亡がほぼ33パーセント減少したことを意味し、これはナロキソンの入手可能性とアクセシビリティによるものかもしれない。
• Mexico-based TCOs—including the Sinaloa Cartel and the New Generation Jalisco Cartel—remain the dominant producers and suppliers of illicit drugs, including fentanyl, heroin, methamphetamine, and South American-sourced cocaine, for the U.S. market. Last year, official points of entry along the U.S.-Mexico border were the main entry point for illicit drugs, often concealed in passenger vehicles and tractor trailers. However, some TCOs likely will at least temporarily change their smuggling techniques and routes in response to increased U.S. security force presence at the border.  • メキシコを拠点とする麻薬カルテル(シナロア・カルテルや新世代ハリスコ・カルテルなど)は、フェンタニル、ヘロイン、メタンフェタミン、南米産コカインなど、米国市場向けの違法薬物の主要な生産者および供給者であり続けている。昨年、米国とメキシコの国境沿いの公式な出入国地点が、違法薬物の主な流入経路となり、それらの違法薬物は乗用車や大型トラックに隠匿されることが多かった。しかし、米国の国境警備部隊の増員に対応して、一部のTCOは少なくとも一時的に密輸の手法やルートを変更する可能性が高い。
• Since at least 2020, the growth of Mexico-based independent fentanyl producers—actors who are autonomous or semiautonomous from Mexican cartel control—has increasingly fragmented Mexico’s fentanyl trade. Independent fentanyl producers are attracted to the drug’s profitability and the low barriers to market entry, including the ease of synthesizing it using basic lab equipment and few personnel.  少なくとも2020年以降、メキシコを拠点とするフェンタニルの独立生産者(メキシコの麻薬カルテルの支配から自立または半自立している主体)の増加により、メキシコのフェンタニル取引はますます細分化されている。独立フェンタニル生産者は、この麻薬の収益性と、基本的な実験器具と少数のスタッフで合成が容易であるなど、市場参入の障壁が低いことに魅力を感じている。
• Colombia-based TCOs and illegal armed groups are responsible for producing and exporting the vast majority of cocaine that reaches the United States, some of which is transshipped through Ecuador, contributing to an uptick in violent criminal conflicts that spurs regional migration.  • コロンビアを拠点とする武装組織および非合法武装集団は、米国に流入するコカインの大半の生産と輸出に関与しており、その一部はエクアドルを経由して積み替えられ、地域的な移民を促す暴力犯罪の対立の激化の一因となっている。
• Mexico-based TCOs are ramping up lethal attacks in Mexico against rivals and Mexican security forces using IEDs, including landmines, mortars, and grenades. In 2024, there were nearly 1,600 attacks on Mexican security forces using IEDs, surging from only three reported attacks between 20202021. The sophistication of TCO tactics is reshaping Mexico’s security landscape and has heightened the risk to security forces.  • メキシコを拠点とする武装組織は、地雷、迫撃砲、手榴弾などの簡易爆発装置(IED)を使用して、メキシコ国内でライバルやメキシコ治安部隊に対する致死的な攻撃を増加させている。2024年には、IEDを使用したメキシコ治安部隊に対する攻撃は1,600件近くに達し、2020年から2021年の間に報告された攻撃はわずか3件であったことから急増した。TCOの戦術の高度化により、メキシコの治安情勢は変化し、治安部隊に対するリスクが高まっている。
China remains the primary source country for illicit fentanyl precursor chemicals and pill pressing equipment, followed by India.  Mexico-based chemical brokers circumvent international controls through mislabeled shipments and the purchase of unregulated dual-use chemicals.   違法なフェンタニル前駆物質および錠剤圧縮機材の主な供給国は依然として中国であり、次いでインドが続いている。メキシコを拠点とする化学仲介業者は、ラベルを偽装した出荷や規制対象外のデュアルユース化学物質の購入により、国際的な規制を回避している。 
Transnational Islamic Extremists   国際的なイスラム過激派
ISIS’s most aggressive branches, including ISIS-Khorasan (ISIS-K), and its entrepreneurial plotters will continue to seek to attack the West, including the United States, via online outreach and propaganda aimed at directing, enabling, or inspiring attacks, and could exploit vulnerable travel routes. ISIS has suffered major setbacks and is incapable of holding ground in Iraq and Syria. In recent years, ISIS saw the U.S. defeat of its physical caliphate in 2019, the loss of three overall leaders in 2022, 2023, and 2025, and renewed counterterrorism efforts this year removing leaders driving global operations. Nevertheless, ISIS remains the world’s largest Islamic terrorist organization, has sought to gain momentum from high-profile attacks, and continues to rely on its most capable branches and globally dispersed leadership to weather degradation.   ISIS-Khorasan(ISIS-K)を含むISISの最も攻撃的な支部や、起業家精神に富む陰謀者は、米国を含む西側諸国を攻撃しようと、攻撃の指示、実行、扇動を目的としたオンラインでの働きかけやプロパガンダを継続し、脆弱な旅行ルートを悪用する可能性がある。ISISは大きな後退を被り、イラクとシリアで地盤を維持することができなくなっている。近年、ISISは2019年に米国が物理的なカリフ制を打ち負かしたこと、2022年、2023年、2025年に3人の全体指導者を失ったこと、そして今年に入ってからのテロ対策の再強化により、世界的な活動を推進する指導者たちが排除されたことを見てきた。それでもなお、ISISは世界最大のイスラム過激派組織であり、注目度の高い攻撃から勢いを得ようとし、衰退を乗り切るために最も能力の高い支部と世界中に分散した指導者に頼り続けている。
The New Year’s Day attacker in New Orleans was influenced by ISIS propaganda, and separately, an Afghan national was arrested in October for planning an election day attack in the name of ISIS, highlighting ISIS’s ability to reach into the Homeland to both inspire and enable attacks.  ニューオーリンズの元日テロの実行犯はISISのプロパガンダに影響を受けており、また、10月にはアフガニスタン国籍の人物がISISの名のもとに投票日のテロを計画した容疑で逮捕されており、ISISが米国国内にまで手を伸ばし、攻撃を鼓舞し、実行させる能力を有していることを浮き彫りにしている。
• ISIS-K in South Asia is the group’s branch most capable of carrying out external terrorist attacks and maintains the intent to conduct attacks in South and Central Asia, and globally, although its capabilities vary. ISIS-K’s mass casualty attacks in Russia and Iran in 2024, as well as arrests of ISIS-K supporters in Europe and the United States, highlight the group’s expanding capability beyond South Asia and ability to inspire individuals to conduct attacks abroad.  南アジアのISIS-Kは、外部テロ攻撃を最も実行可能なグループの支部であり、能力には差があるものの、南アジアおよび中央アジア、さらには世界中で攻撃を行う意図を維持している。2024年のロシアとイランにおけるISIS-Kの大規模な死傷者が出る攻撃、および欧州と米国におけるISIS-Kの支援者の逮捕は、南アジアを越えて拡大する同グループの能力と、海外で攻撃を行うよう個人を扇動する能力を浮き彫りにしている。
• ISIS will seek to exploit the end of the Asad regime in Syria to reconstitute its attack capabilities, including external plotting, and to free prisoners to rebuild their ranks.   ISISは、シリアのアサド政権の崩壊に乗じて、外部からの謀略を含む攻撃能力を再構築し、捕虜を解放して戦力を立て直そうとするだろう。
• In 2024, the ISIS spokesman publicly hailed the group’s Africa expansion, highlighting the growing importance of the continent to the group. ISIS-Somalia has doubled in size during the past year, ISISWest Africa remains the largest branch and leads in numbers of claimed attacks, and ISIS-Sahel is expanding into coastal West Africa.   2024年、ISISのスポークスマンは、グループのアフリカ進出を公に歓迎し、グループにとってアフリカ大陸の重要性が増していることを強調した。ISIS-ソマリアは過去1年で規模が2倍に拡大し、ISIS西アフリカは依然として最大の支部であり、攻撃の主張件数が最も多く、ISIS-サヘルは西アフリカ沿岸地域に拡大している。
Al-Qa‘ida maintains its intent to target the United States and U.S. citizens across its global affiliates. Its leaders, some of whom remain in Iran, have tried to exploit anti-Israeli sentiment over the war in Gaza to unite Muslims and encourage attacks against Israel and the United States. Al-Qa‘ida’s media apparatus issued statements from leaders and the group’s affiliates supporting HAMAS and encouraging attacks against Israeli and U.S. targets.  アルカイダは、世界中の関連組織を通じて米国および米国市民を標的にする意図を維持している。指導者の中には現在もイランに滞在している者もおり、ガザ地区での戦争に対する反イスラエル感情を悪用してイスラム教徒を団結させ、イスラエルおよび米国に対する攻撃を奨励しようとしている。アルカイダのメディア機関は、指導者およびグループの関連組織による声明を発表し、ハマスを支援し、イスラエルおよび米国の標的に対する攻撃を奨励した。
• Al-Qa‘ida in the Arabian Peninsula (AQAP) relaunched its Inspire guide with videos and tweets that encouraged attacks against Jewish targets, the United States, and Europe. Inspire provided instructions for making bombs and placing explosive devices on civilian airliners and gave religious, ideological, historical, and moral justification for such attacks. In addition to trying to inspire attacks worldwide and in the United States, AQAP has the intent to conduct operations in the region and beyond.  ・アラビア半島アルカイダ(AQAP)は、ユダヤ人、米国、欧州を標的とした攻撃を奨励する動画やツイートを添付した『インスパイア』誌を再発行した。インスパイアは、爆弾の製造方法や民間航空機への爆発装置の設置方法を指南し、このような攻撃を宗教的、イデオロギー的、歴史的、道徳的に正当化している。世界および米国での攻撃を扇動しようとしていることに加え、AQAPは、この地域およびそれ以外の地域でも作戦を実行する意図を持っている。
• Al-Shabaab—al-Qa‘ida’s largest and wealthiest affiliate—remains focused on attacks in Somalia that further its regional objectives, provides funding to al-Qa‘ida efforts outside of Somalia, and has a burgeoning relationship with the Huthis that could provide access to a new source of more sophisticated weapons, increasing the threat to U.S. interests in the region.  アル・シャバブは、アルカイダ最大の系列組織であり、最も裕福な組織でもあるが、地域的な目標をさらに推進するためのソマリアでの攻撃に引き続き焦点を当て、ソマリア国外でのアルカイダの取り組みに資金を提供しており、より洗練された新たな武器の供給源へのアクセスを提供できる可能性があるフーシ派との関係を急速に深めている。これにより、この地域における米国の利益に対する脅威が高まっている。
• In West Africa, al-Qa‘ida is expanding its territorial control by gaining inroads with civilians through the provision of services and intimidation, and is threatening urban centers in Burkina Faso and Mali, where U.S. personnel are located.   西アフリカでは、アルカイダがサービス提供や脅迫を通じて民間人を取り込むことで、その支配地域を拡大しており、米国人が駐留するブルキナファソやマリの都市部が脅威にさらされている。
• Al-Qa‘ida’s affiliate in Syria, Hurras al-Din, probably is exploiting the end of the Asad regime in Syria to strengthen its position. Despite its public announcement that the group was ordered dissolved by alQa‘ida’s senior leaders in Iran, Hurras al-Din members were advised not to disarm and instead to prepare for a future conflict, noting their continued fight against the Jews and their supporters.  シリアにおけるアルカイダの関連組織であるフッラス・アルディンは、おそらくシリアのアサド政権の崩壊を自らの地位強化に利用している。このグループは、イランのアルカイダ上層部から解散を命じられたと公表しているが、フッラス・アルディンのメンバーは武装解除を求められることなく、むしろユダヤ人と彼らの支持者に対する戦いを継続するとして、将来の紛争に備えるよう助言されている。
Other Islamic terrorist groups—including some with historical ties to al-Qa‘ida—continue to pose a threat to the United States primarily in the regions where they operate. Most of these groups generally have targeted local governments in recent years, while Lebanese Hizballah has continued to pursue limited targeting of primarily Israeli and Jewish individuals in and outside of the Middle East. The U.S. Government works with partners worldwide to prevent attacks against U.S. citizens, while watching for indications that these groups may shift intent and build capabilities to pursue transnational attacks.   アルカイダと歴史的なつながりを持つものも含め、その他のイスラム過激派グループは、主に活動地域において米国への脅威を引き続きもたらしている。これらのグループの多くは近年、主に現地政府を標的にしているが、レバノンのヒズボラは中東内外の主にイスラエル人とユダヤ人を限定的に標的にする活動を継続している。米国政府は、米国市民に対する攻撃を防ぐために世界中のパートナーと協力しながら、これらのグループが意図を転換し、国境を越えた攻撃を行う能力を構築する兆候がないか注視している。
• In South Asia, Tehrik-e-Taliban (TTP) operations in recent years have focused exclusively on targeting the Government of Pakistan, probably to avoid drawing more counterterrorism pressure. However, TTP’s capabilities, historical ties to al-Qa‘ida, and previous support to operations targeting the United States keep us concerned about the potential future threat. Anti-India groups, including Lashkar-e Tayyiba, similarly concern us in part because of their historical links with al-Qa‘ida.  南アジアでは、テフリク・エ・タリバン(TTP)の最近の活動は、おそらくテロ対策の圧力をこれ以上高めないようにするため、パキスタン政府を標的にすることに専念している。しかし、TTPの能力、アルカイダとの歴史的なつながり、米国を標的とした過去の活動への支援は、将来の潜在的な脅威に対する懸念を払拭できない。ラシュカレ・タイーバなどの反インドグループも、アルカイダとの歴史的なつながりがあるため、同様に懸念の対象となっている。 
Other Transnational Criminals   その他の国際犯罪者
Profit-motivated transnational criminals are using corruption, intimidation, and enabling technologies to expand their illegal activities into new markets and to diversify their sources of income, which increase their resiliency to U.S. and international law enforcement and financial regulatory efforts. TCOs are defrauding U.S. citizens, businesses, and government programs, while laundering billions of dollars of illicit proceeds through U.S. and international financial institutions. TCOs sometimes outsource money laundering operations and investments to individuals and networks with legal and banking expertise to circumvent financial regulations.  利益追求を目的とする国際犯罪組織は、汚職、脅迫、および技術革新を活用して、違法活動を新たな市場へと拡大し、収入源を多様化させている。これにより、米国および国際的な法執行機関や金融規制当局の取り組みに対するレジリエンスが高まっている。TCOは、米国市民、企業、政府プログラムを欺き、数十億ドルに上る違法収益を米国および国際的な金融機構を通じて資金洗浄している。TCOは、金融規制を回避するために、マネーロンダリング業務や投資を、法律や銀行業務に精通した個人やネットワークに委託することもある。
• TCOs and their financial facilitators use a myriad of methods to launder and repatriate illicit proceeds and to evade law enforcement and regulatory pressures. Some TCOs use digital currencies for money laundering and sanctions evasion activities because of its perceived anonymity and weaker international regulations compared to fiat currencies.  • TCOおよびその資金調達者は、不正収益の洗浄と本国送金、および法執行や規制圧力の回避のために、無数の方法を使用している。一部のTCOは、デジタル通貨が不換通貨と比較して匿名性が高く、国際的な規制が緩いと考えられているため、マネーロンダリングや制裁逃れ活動にデジタル通貨を使用している。
Financially motivated cyber criminals continue to prey on inadequately defended U.S. targets, such as healthcare systems and municipal governments, that could have broad impact on the U.S. populace and economy. Others have conducted attacks on critical infrastructure, disrupting utility company business networks or manipulating poorly secured control systems.  金銭目的のサイバー犯罪者は、米国の医療システムや地方自治体など、防御が不十分な標的を狙い続けている。こうした標的は、米国の国民や経済に広範な影響を及ぼす可能性がある。また、公益事業会社の業務ネットワークを混乱させたり、セキュリティ対策が不十分な制御システムを操作したりするなど、重要なインフラに対する攻撃も行われている。
• Ransomware actors in mid-2024 attacked the largest payment processor for U.S. healthcare transactions, hampering prescriptions and causing extended delays in accessing electronic health records, patient communications, and medication ordering systems, and forcing some ambulances to divert patients to other hospitals.  2024年半ば、ランサムウェアの攻撃者が米国の医療取引における最大の決済処理業者を攻撃し、処方箋の発行を妨害し、電子医療記録、患者とのコミュニケーション、および薬剤発注システムへのアクセスに長期にわたる遅延が生じ、一部の救急車は患者を他の病院に搬送せざるを得なくなった。
• U.S. water infrastructure has become a more common target. In October 2024, criminal actors conducted cyber attacks against both large and small water utilities in the United States, possibly inspired by attacks against water infrastructure by Russian hacktivists and Iranian cyber actors in 2023 that had little effect but drew substantial publicity.  • 米国の水インフラは、より一般的な標的となっている。2024年10月、犯罪行為者が米国の大小の水道事業者に対してサイバー攻撃を行った。これは、2023年にロシアのハクティビストとイランのサイバー犯罪者によって水インフラに対して行われた攻撃に触発された可能性がある。この攻撃はほとんど影響を及ぼさなかったが、大きな注目を集めた。
Foreign and U.S.-based human traffickers exploit vulnerable individuals and groups by promising well-paying jobs, confiscating identification documents, coercing victims to engage in risky behaviors and to work in inhumane conditions. TCOs that engage in human trafficking may also engage in other criminal activity threatening the United States, including fraud scams, drug trafficking, and weapons and human smuggling.  外国および米国を拠点とする人身売買業者は、高額な報酬を提示し、身分証明書を没収し、被害者に危険な行動や非人道的な環境での労働を強制することで、脆弱な個人やグループを搾取している。人身売買に関与する犯罪組織は、詐欺、麻薬取引、武器や人間の密輸など、米国を脅かすその他の犯罪行為にも関与している可能性がある。
• Criminal actors, including Mexico-based TCOs, exploit migrants transiting the Western Hemisphere to the United States through kidnapping for ransom, forced labor, and sex trafficking operations. For example, some victims are forced to repay their smuggling fees through debt bondage once they arrive in the United States. These migrants are typically forced to become domestic servants, to work in the fishing, agriculture, and meat processing industries for low wages, or to work in illegal marijuana grow houses.  • メキシコを拠点とする犯罪組織を含む犯罪集団は、身代金目的の誘拐、強制労働、性的人身売買事業などを通じて、西半球から米国へ移動する移民を搾取している。例えば、米国に到着した後に債務奴隷として密入国費用を返済することを強制される被害者もいる。こうした移民は、一般的に家事使用人になることを強制されたり、低賃金で漁業、農業、食肉加工業に従事させられたり、違法なマリファナ栽培場で働かされたりする。
The total number of migrants trying to reach the United States has dropped significantly since January 2025 due to a surge in border security enforcement. While key drivers of migration in the Western Hemisphere, such as crime, poverty, and political repression, are likely to continue, heightened border security and mass deportation policies probably serve as a deterrent for migrants seeking to illegally cross U.S. borders.  国境警備の強化により、米国への移住を試みる移民の総数は2025年1月以来、大幅に減少している。犯罪、貧困、政治的弾圧など、西半球における主な移住の要因は今後も継続すると考えられるが、国境警備の強化と集団国外追放政策は、米国の国境を不法に越えようとする移民に対する抑止力となっている可能性が高い。
• Law enforcement encounters with migrants at the U.S.-Mexico border were 14 percent lower in 2024 when compared to the previous year, and U.S. Border Patrol apprehensions along the Southwest border in January 2025 dropped 85 percent from the same period in 2024. Guatemalan, Mexican, and Venezuelan nationals were the most frequently encountered nationals at the U.S.-Mexico border.  • 2024年には、米国とメキシコの国境における移民との法執行機関の接触件数は前年と比較して14%減少した。また、2025年1月の米国国境警備隊による南西部国境での検挙件数は、2024年の同時期と比較して85%減少した。米国とメキシコの国境で最も頻繁に接触のあった国籍は、グアテマラ、メキシコ、ベネズエラであった。
• Real or perceived changes to immigration laws or travel polices in transit countries can trigger unexpected spikes. Since 2021, for instance, Nicaragua has removed visa requirements for air travelers from third countries, triggering a surge in U.S.-bound migration from those countries through Nicaragua.    • 経由国の移民法や渡航政策の現実の変更または想定される変更が、予期せぬ急増の引き金となる可能性がある。例えば、2021年以降、ニカラグアは第三国からの航空機利用者のビザ要件を撤廃し、それらの国々からニカラグアを経由して米国に向かう移民が急増した。 
MAJOR STATE ACTORS  主要国家アクター
Several major state actors present proximate and enduring threats to the United States and its interests in the world, challenging U.S. military and economic strength, regionally and globally. China stands out as the actor most capable of threatening U.S. interests globally, though it is also more cautious than Russia, Iran, and North Korea about risking its economic and diplomatic image in the world by being too aggressive and disruptive. Growing cooperation among these actors expands the threat, increasing the risk that should hostilities with one occur,  it may draw in others.   米国とその世界における利益にとって、いくつかの主要な国家アクターが近接した持続的な脅威となっており、地域的にも世界的にも米国の軍事的・経済的強さに挑戦している。中国は、米国の世界における利益を脅かす能力が最も高いアクターとして際立っているが、あまりに攻撃的で破壊的になることで世界における自国の経済的・外交的イメージを損なうリスクについては、ロシア、イラン、北朝鮮よりも慎重である。これらのアクター間の協力関係が深まることで脅威は拡大し、あるアクターとの間で紛争が発生した場合、他のアクターが巻き込まれるリスクが高まる。 
CHINA  中国 
Strategic Overview  戦略概観
President Xi Jinping and the People’s Republic of China (PRC) want to achieve “the great rejuvenation of the Chinese nation” by 2049. The PRC will seek to increase its power and influence to shape world events to create an environment favorable to PRC interests, obtain greater U.S. deference to China’s interests, and fend off challenges to its reputation, legitimacy, and capabilities at home and abroad.  習近平国家主席と中華人民共和国(PRC)は、2049年までに「中華民族の偉大な復興」を達成することを目指している。中国は、自国の利益に有利な環境を作り、米国が中国の利益をより尊重し、国内外における中国の評判、正当性、能力に対する挑戦をかわすために、世界情勢を形作るための自国の力と影響力を増大させようとするだろう。
• Beijing is deeply suspicious of U.S. intentions and views Washington’s measures against China as part of a concerted, whole-of-government effort, working with U.S. allies and partners, to contain China’s development and rise, undermine CCP rule, and prevent the PRC from achieving its aims. PRC leaders are most concerned about strong unified opposition from the United States and its allies, and are responding, in part, by strengthening ties with partners like Russia and North Korea.   • 北京は米国の意図を強く疑っており、米国の対中措置は、米国の同盟国やパートナー国と協力し、政府全体で一致団結して、中国の成長と台頭を封じ込め、中国共産党の支配を弱体化させ、中国がその目的を達成するのを阻止しようとする取り組みの一環であると見ている。中国指導部は米国およびその同盟国からの強力な統一された反対に最も懸念しており、その対応策として、ロシアや北朝鮮のようなパートナーとの関係強化を図っている。
• At the same time, China’s leaders will seek opportunities to reduce tension with Washington when they believe it benefits Beijing, protects its core interests, and buys time to strengthen its position.  同時に、中国の指導部は、それが北京に利益をもたらし、その核心的利益を防御し、その立場を強化するための時間を稼ぐことができると考える場合には、米国との緊張を緩和する機会を模索するだろう。
The PRC will likely continue posturing to be in a position of advantage in a potential conflict with the United States. The PRC will continue trying to press Taiwan on unification and will continue conducting wide-ranging cyber operations against U.S. targets for both espionage and strategic advantage. China will likely struggle to sufficiently constrain the activities of PRC companies and criminal elements that enable the supply and trafficking of fentanyl precursors and synthetic opioids to the United States, absent greater law enforcement actions.  中国は米国との潜在的な紛争において優位に立つための姿勢を維持し続ける可能性が高い。中国は台湾の統一を迫り続け、米国を標的とした広範なサイバー作戦を、スパイ活動と戦略的優位性の両方を目的として継続するだろう。中国は、米国へのフェンタニル前駆物質や合成オピオイドの供給や密売を可能にしている中国企業や犯罪組織の活動を、より強力な法執行措置が取られない限り、十分に抑制することは困難であろう。
• China’s military operations to project power over Taiwan and its efforts to assert sovereignty claims in the South and East China Seas occur routinely with confrontations that increase concern of miscalculations potentially leading to conflict.    • 台湾に対する影響力行使を目的とした中国の軍事作戦や、南シナ海および東シナ海における主権主張の試みは、衝突を伴う形で日常的に行われており、誤算による紛争勃発の懸念が高まっている。 
• China has demonstrated the ability to compromise U.S. infrastructure through formidable cyber capabilities that it could employ during a conflict with the United States.  中国は、米国との紛争時に使用できる恐るべきサイバー能力によって、米国のインフラを危機に陥れる能力があることを示してきた。
Beijing will continue to strengthen its conventional military capabilities and strategic forces, intensify competition in space, and sustain its industrial- and technology-intensive economic strategy to compete with U.S. economic power and global leadership.  北京は、通常戦力の強化と戦略戦力の増強を継続し、宇宙での競争を激化させ、米国の経済力と世界的な指導力に対抗するための産業および技術集約型の経済戦略を維持していくであろう。
Military  軍事
China presents the most comprehensive and robust military threat to U.S. national security. The People’s Liberation Army (PLA) is fielding a joint force that is capable of full-spectrum warfare to challenge intervention by the United States in a regional contingency, projecting power globally, and securing what Beijing claims is its sovereign territory. A major portion of China’s military modernization efforts is focused on developing counter-intervention capabilities tailored against all aspects of U.S. and allied military operations in the Pacific. Beijing will focus on meeting key modernization milestones by 2027 and 2035, aimed at making the PLA a world-class military by 2049.  中国は、米国の国家安全保障にとって最も包括的で強固な軍事的脅威である。中国人民解放軍(PLA)は、米国による地域的な有事への介入に立ち向かい、世界中に影響力を及ぼし、北京が主張する主権領土を確保するための、あらゆる領域での戦争に対応できる統合軍を展開している。中国の軍事近代化努力の大部分は、米国および同盟国の太平洋地域における軍事作戦のあらゆる側面に対応する介入阻止能力の開発に重点的に取り組んでいる。北京は、2027年と2035年までに主要な近代化のマイルストーンを達成することに焦点を当て、2049年までに人民解放軍を世界トップクラスの軍隊にすることを目指している。
• Examples of PLA advances in 2024 include the PLA Navy’s third carrier (CV-18 Fujian) beginning sea trials and likely being ready to enter operational service in 2025. The PLA Rocket Force probably is fielding the DF-27 ballistic missile, with a hypersonic glide vehicle payload option and an estimated range of between 5,000 and 8,000 kilometers. The PLA ground forces are also fielding its most advanced multiple rocket launcher, the PCH191, increasing its long-range, precision strike capability.  2024年の人民解放軍の進歩の例としては、人民解放軍海軍の3隻目の空母(CV-18 福建省)が海上試験を開始し、2025年には運用サービスを開始できる可能性が高い。中国軍ロケット軍は、極超音速滑空体ペイロードオプション付きで、射程距離は5,000~8,000キロメートルと推定されるDF-27弾道ミサイルを配備している可能性が高い。中国軍地上部隊も、最も先進的な多連装ロケットランチャーであるPCH191を配備しており、長距離精密攻撃能力を高めている。
• The PLA has improved its force structure, readiness, and training. The PLA probably has made particular progress in critical areas, such as modernizing key ground forces, expanding its navy with more modern combatants, and fielding a wide variety of new missile systems; it has also improved its electronic warfare (EW) capabilities.  • 中国軍は、戦力体制、即応態勢、訓練を改善している。中国軍は、重要な分野において特に大きな進歩を遂げていると思われる。例えば、主要な地上部隊の近代化、より近代的な戦闘員を擁する海軍の拡大、多種多様な新型ミサイルシステムの配備などである。また、電子戦(EW)能力も改善している。
The PLA has the capability to conduct long-range precision-strikes with conventional weapons against the Homeland’s periphery in the Western Pacific, including Guam, Hawaii, and Alaska. China has developed a range of ballistic and cruise missiles with conventional payloads that can be delivered from its mainland as well as by air and sea, including by nuclear-powered submarines. China may be exploring development of conventionally-armed intercontinental range missile systems, which, if developed and fielded, would allow China to threaten conventional strikes against targets in the continental United States.  中国軍は、グアム、ハワイ、アラスカを含む西太平洋の自国周辺地域に対して、通常兵器による長距離精密攻撃を行う能力を有している。中国は、大陸からだけでなく、航空機や船舶、原子力潜水艦によっても発射可能な通常弾頭搭載の各種弾道ミサイルおよび巡航ミサイルを開発している。中国は通常弾頭搭載の超長距離ミサイルシステムの開発も模索している可能性があり、これが開発され実用化されれば、中国は米国本土の標的に対する通常攻撃の威嚇が可能になる。
The PLA will continue to pursue the establishment of overseas military installations and access agreements to project power and protect China’s interests abroad. Beijing may also pursue a mixture of military logistics models, including preferred access to commercial infrastructure abroad, exclusive PLA logistics facilities with pre-positioned supplies co-located with commercial infrastructure, and bases with stationed forces, to meet its overseas military logistics needs.  中国軍は、海外における影響力の発揮と自国の海外での利益の防御を目的として、海外における軍事施設の設置と利用協定の締結を今後も追求していくであろう。また、北京は、海外における軍事後方支援ニーズを満たすために、海外の商業インフラへの優先的なアクセス、商業インフラに隣接して物資を事前に配置した中国軍専用の後方支援施設、部隊が駐留する基地など、さまざまな軍事後方支援モデルを組み合わせる可能性もある。
China is using complex, whole-of-government campaigns featuring coercive military, economic, and influence operations short of war to assert its positions and strength against others, reserving more destructive tools for fullscale conflict. Beijing will likely expand these campaigns to advance unification with Taiwan, project power in East Asia, and reverse perceived U.S. hegemony.  中国は、他国に対して自国の立場と力を主張するために、戦争に至らない強制的な軍事、経済、影響力作戦を特徴とする複雑な政府全体を挙げたキャンペーンを実施しており、より破壊的な手段は全面的な紛争のために温存している。北京は、台湾との統一を進め、東アジアにおける影響力を誇示し、米国の覇権を覆すために、おそらくこれらのキャンペーンを拡大するだろう。
• Beijing has pushed back against U.S. military operations, such as reconnaissance and bomber flights, freedom of navigation operations, and exercises around PRC borders and maritime claims. The PLA regularly intercepts and shadows U.S. forces and sometimes conducts unsafe maneuvers in their vicinity.  • 北京は、偵察や爆撃機の飛行、航行の自由作戦、中華人民共和国の国境や領有権を主張する海域での演習など、米国の軍事作戦に反発している。中国人民解放軍は定期的に米軍の迎撃や監視を行い、時にはその周辺で危険な演習を行うこともある。 
Taiwan and Maritime Flashpoints  台湾と海上の火種
In 2025, Beijing will likely apply stronger coercive pressure against Taiwan and perceived increases in U.S. support to the island to further its goal of eventual unification. The PRC calls for a peaceful unification with Taiwan to resolve the Civil War that drove Taiwan’s separation, even as it threatens to use force to compel unification if necessary and counter what it sees as a U.S. attempt to use Taiwan to undermine China’s rise.  2025年には、中国は台湾に対する強制的な圧力を強め、米国の台湾への支援が増加していると認識されることで、最終的な統一という目標をさらに推し進める可能性が高い。中国は、台湾の分離を促した内戦を解決するために台湾との平和的統一を呼びかけているが、必要であれば武力行使も辞さないとし、米国が台湾を利用して中国の台頭を妨害しようとしていると見なしている。
A conflict between China and Taiwan would disrupt U.S. access to trade and semiconductor technology critical to the global economy. Even without U.S. involvement in such a conflict, there would likely be significant and costly consequences to U.S. and global economic and security interests.  中国と台湾の衝突は、世界経済にとって重要な貿易や半導体技術への米国のアクセスを妨げることになる。米国がそのような衝突に関与しなかったとしても、米国および世界経済と安全保障上の利益に重大かつ高額な影響が及ぶ可能性が高い。
Beijing is working to isolate Taipei by pressuring states to downgrade diplomatic ties and support China’s unification goal. Since 2016, Taiwan’s official diplomatic relationships have dropped from 22 to only 12, and several of the remaining ones are vulnerable to Chinese pressure.  中国は、各国に圧力をかけて外交関係を縮小させ、中国の統一目標を支援させることで、台湾を孤立させようとしている。2016年以降、台湾の正式な外交関係は22から12に減少しており、残りのいくつかの国も中国の圧力に脆弱性がある。
China is advancing military capabilities for a cross-Strait campaign while also using its armed forces to exert steady state pressure on Taiwan. The PLA probably is making steady but uneven progress on capabilities it would use in an attempt to seize Taiwan and deter—and if necessary, defeat—U.S. military intervention, and it is intensifying the scope, size, and pace of operations around Taiwan.  中国は台湾海峡キャンペーンのための軍事能力を向上させつつ、軍事力を用いて台湾に確実な国家圧力をかけている。中国軍は、台湾を占領し、米国の軍事介入を抑止し、必要であれば打ち負かすために使用する能力について、着実ではあるが不均一な進歩を遂げていると思われ、台湾周辺の作戦の範囲、規模、ペースを強化している。
Beijing will continue to pressure Taipei with economic coercion and probably will increase it if it sees Taiwan taking steps toward formal independence. It could suspend preferential tariff terms, selectively ban Taiwan imports to China, and arbitrarily enforce regulations.  北京は、台湾が正式に独立に向けた措置を取るのを目にすれば、経済的強要を強め、おそらくその圧力を強めるだろう。 優遇関税条件を停止し、中国への台湾からの輸入事業者を選択的に禁止し、恣意的に規制を施行する可能性もある。
Beijing’s aggressive efforts to assert sovereignty claims in the South and East China Seas are heightening tensions that could trigger a broader conflict.   南シナ海および東シナ海における主権主張を強める北京の積極的な取り組みは、より広範な紛争の引き金となりかねない緊張を高めている。
• In 2024, PRC tactics in the South China Sea led to the loss of the Philippines’ unilateral access to some disputed areas, and forced talks between Beijing and Manila in which the Philippines agreed to concessions in exchange for access. However, Manila is unlikely to relinquish its claims, creating potential for escalation by either side.   • 2024年、南シナ海における中国の戦術により、フィリピンが一部の係争地域に一方的にアクセスできなくなり、北京とマニラの間で協議が余儀なくされた。フィリピンはアクセス権と引き換えに譲歩することに合意した。しかし、マニラは自国の主張を放棄する可能性は低く、いずれかの側によるエスカレーションの可能性が生じている。
• Tension between China and Japan over the Senkaku Islands last flared up a decade ago. Since then, Chinese ships have remained in proximity of the disputed islands, occasionally entering the territorial zone, and driving responses from Japan’s Self-Defense Force to monitor the activity.  • 尖閣諸島を巡る日中間の緊張は、10年前にも高まったことがある。それ以来、中国の船は係争中の諸島付近に留まり、時折領海に侵入し、日本の自衛隊がその活動を監視する対応を引き起こしている。
Cyber  サイバー
The PRC remains the most active and persistent cyber threat to U.S. government, private-sector, and critical infrastructure networks. The PRC’s campaign to preposition access on critical infrastructure for attacks during crisis or conflict, tracked publicly as Volt Typhoon, and its more recently identified compromise of U.S.  中国は、米国政府、民間部門、および重要なインフラストラクチャのネットワークに対する最も活発で執拗なサイバー脅威であり続けている。中国による、危機や紛争時に重要なインフラストラクチャへの攻撃に先立ってアクセスを確保するキャンペーンは、一般に「ボルト・タイフーン」として追跡されており、また、最近になって識別された米国の
telecommunications infrastructure, also referred to as Salt Typhoon, demonstrates the growing breadth and depth of the PRC’s capabilities to compromise U.S. infrastructure.  通信インフラストラクチャへの侵入は、「ソルト・タイフーン」とも呼ばれており、米国のインフラストラクチャを侵害する中国の能力の広がりと深まりを示している。
• If Beijing believed that a major conflict with Washington was imminent, it could consider aggressive cyber operations against U.S. critical infrastructure and military assets. Such strikes would be designed to deter U.S. military action by impeding U.S. decision-making, inducing societal panic, and interfering with the deployment of U.S. forces.  • 北京がワシントンとの重大な衝突が差し迫っていると判断した場合、米国の重要インフラや軍事資産に対する積極的なサイバー作戦を検討する可能性がある。このような攻撃は、米国の意思決定を妨害し、社会にパニックを引き起こし、米軍の展開を妨害することで、米国の軍事行動を抑止することを目的としている。 
Economics  経済 
The PRC seeks to compete with the United States as the leading economic power in the world.  To do so, the strategy calls for a centralized, state-directed, and nationally resourced approach to dominating global markets and strategic supply chains, limiting foreign competitors, and making other nations dependent on China. PRC leaders are applying the same strategy to bolster China’s position and become more globally dominant in critical supply chains, both in upstream inputs it can provide more cheaply than others and in downstream production at wider scale.  中国は、世界をリードする経済大国として米国と肩を並べることを目指している。そのために、世界市場と戦略的サプライチェーンの支配、外国の競合企業の制限、および他国を中国に依存させることを目的とした、中央集権的で国家主導、国家資本によるアプローチを戦略として求めている。中国指導部は、中国の地位を強化し、重要なサプライチェーンにおいてよりグローバルに優位に立つために、同じ戦略を適用している。その戦略は、他国よりも安価に提供できる上流のインプットと、より大規模な下流の生産の両方においてである。
• China’s weak domestic demand, coupled with its industrial policies, such as manufacturing subsidies, have enabled a surge in cheap Chinese exports in sectors such as steel, harming U.S. competitors and fueling a record PRC trade surplus.   • 中国の弱い国内需要と、製造事業者への補助金支給などの産業政策が相まって、鉄鋼などの分野で中国からの安価な輸出が急増し、米国の競争相手に打撃を与え、中国は貿易黒字の記録を更新している。
• China’s dominance in key supply chains enables its use of economic coercion against countries that adopt policies Beijing opposes. Beijing is developing an institutionalized framework enabling more assertive and centrally controlled trade retaliation. PRC leaders are using ostensibly unofficial or technical trade and investment barriers, administrative regulations, logistics, and symbolic sanctions in a targeted way against individuals, firms, and sectors, in parallel with messages to warn and deter.  • 中国が主要なサプライチェーンで優位に立つことで、中国政府が反対する政策を採用する国々に対して経済的な圧力をかけることが可能になっている。中国政府は、より強硬で中央集権的な貿易報復を可能にする制度化された枠組みを構築している。中国指導部は、警告や抑止を目的としたメッセージを発信する一方で、個人、企業、産業を標的に、表向きは非公式または技術的な貿易・投資障壁、行政規制、物流、象徴的な制裁を、意図的に使用している。
• PRC leaders appear to be preparing for more economic friction with the United States, and probably are weighing options with the new U.S. administration while looking for leverage and other ways to prevent a major escalation and decoupling.  • 中国指導部は米国との経済摩擦の激化に備えているように見え、おそらくは米国の新政権とのオプションを検討しながら、大きなエスカレーションやデカップリングを防ぐための影響力やその他の方法を模索している。
China’s dominance in the mining and processing of several critical materials is a particular threat, providing it with the ability to restrict quantities and affect global prices. Beijing has shown a willingness to restrict global access to its mineral resources—sometimes in response to geopolitical disputes—as with its banning of exports to the United States of metals used in semiconductor manufacturing, such as gallium, germanium, and antimony in December 2024 in response to U.S. export controls on advanced semiconductors and chipmaking equipment. Other examples include when the PRC temporarily stopped rare earth element exports to Japan in 2010, and Beijing’s creation of new laws codifying its authority to restrict mineral exports. A prolonged cessation in supplies controlled by China could disrupt critical inputs needed for U.S. industry and technological advancements.   特に、いくつかの重要な材料の採掘と加工における中国の優位性は、数量を制限し、世界価格に影響を与える能力を中国に与えるという点で脅威である。北京は、地政学的な紛争への対応として、時には自国の鉱物資源への世界的なアクセスを制限する意思を示している。例えば、米国による先進的な半導体およびチップ製造装置の輸出規制を受けて、2024年12月にガリウム、ゲルマニウム、アンチモンなどの半導体製造に使用される金属の米国への輸出を禁止した。その他の例としては、2010年に中国がレアアースの対日輸出を一時的に停止したことや、北京が鉱物輸出を制限する権限を明文化した新たな法律を制定したことなどがある。中国が支配する供給の停止が長期化すれば、米国の産業や技術進歩に必要な重要な投入物が混乱する可能性がある。
China has similar aims in global shipping and resource access, including in the Arctic, where melting sea ice is creating opportunities for expanded maritime transport and energy exploitation, especially along the Northern Sea Route (NSR) off Russia’s coast. China seeks access to the Arctic’s potentially vast natural resources, including oil, gas, and minerals, even though China is not among the eight Arctic countries that control territory in the region. Beijing seeks to normalize more direct and efficient maritime shipping routes to Russia and other Northern Hemisphere areas, as a way to fuel its economic growth and energy security and reduce its dependence on Middle East energy. China has gradually increased engagement with Greenland mainly through mining projects, infrastructure development, and scientific research projects. Despite less active engagement right now, China’s long-term goal is to expand access to Greenland’s natural resources, as well as to use the same access as a key strategic foothold for advancing China’s broader and economic aims in the Arctic.  中国は、北極圏を含む世界の海運と資源へのアクセスにおいても同様の狙いを持っている。海氷の融解により、特にロシア沿岸の北東航路(NSR)沿いでは、海上輸送とエネルギー開発の拡大の機会が生まれている。中国は、同地域に領土を保有する8カ国の北極圏諸国には含まれていないものの、石油、ガス、鉱物など、北極圏の潜在的に広大な天然資源へのアクセスを求めている。北京は、経済成長とエネルギー安全保障を促進し、中東のエネルギーへの依存を軽減する方法として、ロシアやその他の北半球地域へのより直接的な効率的な海上輸送ルートの正常化を目指している。中国は、主に採掘プロジェクト、インフラ開発、科学調査プロジェクトを通じて、グリーンランドとの関与を徐々に高めてきた。現在はそれほど活発ではないものの、中国の長期目標は、グリーンランドの天然資源へのアクセスを拡大し、同じアクセスを、北極圏における中国のより広範な経済的目標を達成するための重要な戦略的足がかりとして利用することである。 
Technology  テクノロジー
China is using an aggressive, whole-of-government approach, combined with state direction of the private sector, to become a global S&T superpower, surpass the United States, promote self-reliance, and achieve further economic, political, and military gain. Beijing has prioritized technology sectors such as advanced power and energy, AI, biotechnology, quantum information science, and semiconductors, further challenging U.S. efforts to protect critical technologies by tailoring restrictions narrowly to address national security concerns. China is accelerating its S&T progress through a range of licit and illicit means, to include investments, intellectual property acquisition and theft, cyber operations, talent recruitment, international collaborations, and sanctions evasion.   中国は、米国を凌駕し、自立性を高め、経済、政治、軍事面でのさらなる利益を達成するために、世界的な科学技術大国となるべく、政府全体を挙げての積極的なアプローチと民間部門への国家指導を組み合わせた戦略を採用している。北京は、先進的な電力およびエネルギー、AI、バイオテクノロジー、量子情報科学、半導体などの技術分野を優先し、国家安全保障上の懸念に対処するために制限を厳密に調整することで、米国の重要な技術を防御する取り組みにさらに挑戦している。中国は、投資、知的財産の取得と盗用、サイバー作戦、人材採用、国際協力、制裁回避など、合法的および非合法的な手段を駆使して、科学技術の進歩を加速させている。
• Some forecasts indicate China’s technology sectors will account for as much as 23 percent of its gross domestic product by 2026, more than doubling since 2018. In addition to private funding, the PRC government is investing hundreds of billions of dollars in priority technologies, such as AI, microelectronics, and biotechnologies, in pursuit of its self-reliance goals.   • ある予測では、中国の技術部門は2026年までに国内総生産の23%を占めるようになり、2018年から倍以上に増加するとされている。民間資金に加えて、中国共産党政府は自立目標を追求するために、AI、マイクロエレクトロニクス、バイオテクノロジーなどの優先技術に数千億ドルを投資している。
China almost certainly has a multifaceted, national-level strategy designed to displace the United States as the world’s most influential AI power by 2030. China is experiencing a boom in generative AI with the rapid emergence of a large number of PRC-developed models, and is broadly pursuing AI for smart cities, mass surveillance, healthcare, S&T innovation, and intelligent weapons. Chinese AI firms are already world leaders in voice and image recognition, video analytics, and mass surveillance technologies. The PLA probably plans to use large language models (LLMs) to generate information deception attacks, create fake news, imitate personas, and enable attack networks. China has also announced initiatives to bolster international support for its vision of AI governance.  中国は、2030年までに米国を追い抜いて世界で最も影響力のあるAI大国となることを目指し、多面的な国家レベルの戦略をほぼ確実に策定している。中国は、中国開発のモデルが急速に多数登場している生成的AIの分野でブームを経験しており、スマートシティ、大規模監視、ヘルスケア、科学技術イノベーション、インテリジェント兵器などの分野でAIを幅広く追求している。中国のAI企業は、音声および画像認識、ビデオ分析、大規模な監視技術においてすでに世界をリードしている。中国軍は、おそらく大規模言語モデル(LLM)を使用して、情報欺瞞攻撃を生成し、フェイクニュースを作成し、ペルソナを模倣し、攻撃ネットワークを可能にすることを計画している。中国はまた、AIガバナンスのビジョンに対する国際的な支援を強化するための取り組みを発表している。
• China has stolen hundreds of gigabytes of intellectual property from companies in Asia, Europe, and North America in an effort to leapfrog over technological hurdles, with as much as 80 percent of U.S. economic espionage cases as of 2021 involving PRC entities.  • 中国は技術的ハードルを飛び越えるために、アジア、ヨーロッパ、北米の企業から数百ギガバイトの知的財産を盗み出しており、2021年時点での米国の経済スパイ事件の80パーセントは中国事業体が関与している。
China also sees biotechnology as critical to becoming a dominant economic power and intends to grow its domestic bioeconomy to $3.3 trillion this year. Beijing is investing heavily in collecting health and genetic data both at home and abroad in pursuit of these goals, and has shown it can be globally competitive in certain low-cost, high-volume commodities, such as biomanufacturing and genetic sequencing. Beijing has identified genetic data as a national strategic resource and is expanding state control over the country’s gene banks and other genetic repositories, positioning it to potentially lead in precision medicine and agricultural biotechnology applications.   中国はまた、バイオテクノロジーが経済大国となるために不可欠であると捉えており、国内のバイオ経済を今年3兆3000億ドルに成長させるつもりである。北京はこれらの目標を達成するために、国内外で健康および遺伝子データの収集に多額の投資を行っており、バイオ製造や遺伝子配列決定などの低コストで大量生産が可能な特定の製品において、世界的な競争力を持つことができることを示している。北京は遺伝子データを国家戦略上のリソースとして識別し、国内の遺伝子バンクやその他の遺伝子リポジトリに対する国家管理を拡大しており、精密医療や農業バイオテクノロジーの応用において主導的な立場を占める可能性がある。
China has made progress in producing advanced 7-nanometer (nm) semiconductor chips for cryptocurrency mining and cellular devices using previously acquired deep ultraviolet (DUV) lithography equipment, but will face challenges achieving high-quality, high-volume production of these chips without access to extreme ultraviolet lithography tools. PRC researchers also continue to explore applying advanced patterning techniques to DUV machines to produce semiconductor chips as small as 3nm. China leads the world in legacy logic semiconductor (28nm and up) production, accounting for 39.3 percent of global capacity, and is expected to add more capacity than the rest of the world combined through 2028. These legacy chips are vital to producing automobiles, consumer electronics, home appliances, factory automation, broadband, and many military and medical systems.  中国は、以前に取得した深紫外線(DUV)リソグラフィ装置を使用して、暗号通貨マイニングや携帯端末向けの高度な7ナノメートル(nm)半導体チップの生産で進展を遂げたが、極端紫外線リソグラフィツールへのアクセスなしにこれらのチップの高品質かつ大量生産を実現することは困難である。また、中国研究者は、3nmという極小の半導体チップを生産するために、DUV装置に高度なパターン形成技術を適用する研究を続けている。中国はレガシーロジック半導体(28nm以上)の生産で世界をリードしており、世界の生産能力の39.3%を占めている。また、2028年までに世界の他の地域を合わせた生産能力を上回る生産能力の増加が見込まれている。これらのレガシーチップは、自動車、家電製品、家庭用電化製品、工場自動化、ブロードバンド、および多くの軍事および医療システムの生産に不可欠である。
WMD  大量破壊兵器
China remains intent on modernizing, diversifying, and expanding its nuclear posture. China’s nuclear weapons and advanced delivery systems pose a direct threat to the Homeland and are capable of delivering catastrophic damage to the United States and threatening U.S. military forces here and abroad.   中国は依然として、核戦力の近代化、多様化、拡大に意欲的である。中国の核兵器および先進的な運搬システムは、米国本土に直接的な脅威をもたらし、米国および米軍部隊に壊滅的な被害を与え、米軍部隊を国内外で脅かす能力がある。
China most likely possesses capabilities relevant to chemical and biological warfare (CBW) that pose a threat to U.S., allied, and partner forces as well as civilian populations.  中国は、米国、同盟国、パートナー部隊、および一般市民に脅威をもたらす化学・生物兵器(CBW)に関連する能力を保有している可能性が高い。 
Biosecurity  バイオセキュリティ
China’s approach to and role in global biological, medical, and other health-related global priorities present unique challenges to the United States and the world  The COVID-19 pandemic that ultimately led to the death of more than one million Americans—and multiples more worldwide—began in China, which Beijing still refuses to acknowledge. China’s strict censorship and repression of free speech prevented doctors treating the earliest of patients in Wuhan from warning the world of a far more serious contagion than Beijing wanted told, slowing the world’s preparedness and response. To this day, Beijing refuses to fully cooperate with the rest of the international community trying to definitively pinpoint the precise cause of the disease so it can head off and prepare for any new disease.  中国が世界的な生物、医療、その他の保健関連の優先事項に対してとっているアプローチと果たしている役割は、米国と世界に独特な課題を突きつけている。最終的に100万人以上の米国人の死(世界ではさらに多数)につながった新型コロナウイルス(COVID-19)の大流行は中国で始まったが、中国政府はいまだにそれを認めようとしていない。中国による厳格な検閲と言論弾圧により、武漢で初期の患者を治療していた医師たちは、北京が伝えたがらなかったよりもはるかに深刻な伝染病について世界に警告することができず、世界の準備と対応が遅れることとなった。今日に至るまで、北京は、新たな伝染病を未然に防ぎ、その準備を行うために、その病気の正確な原因を特定しようとしている国際社会の他の国々との全面的な協力関係を拒否している。
Regarding COVID-19 origins, IC agencies have continued to evaluate new information from classified and open sources, revisit previous reporting, and consult with diverse technical experts to increase our understanding of the cause of the pandemic. These efforts have led CIA to assess that a research-related hypothesis is more likely than a natural origin hypothesis.   新型コロナウイルス感染症(COVID-19)の起源について、IC機関は機密情報源や公開情報源からの新たな情報を評価し続け、過去の報告を再検討し、パンデミックの原因に対する理解を深めるために多様な技術専門家と協議している。こうした努力により、CIAは研究関連の仮説が自然起源の仮説よりも可能性が高いと評価するに至った。
The other hypothesis for COVID-19—natural origin—includes many scenarios in which humans could have been infected with SARS-CoV-2—the virus that causes COVID-19—or a close progenitor through exposure to wild or domestic animals. China is home to a diverse body of naturally occurring coronaviruses found in a wide geographic area, and there is precedence for these viruses to emerge within human populations far from reservoir locations. For example, the coronavirus that is the closest known relative to SARS-CoV—the virus that causes severe acute respiratory syndrome (SARS)—probably originated in Yunnan Province, according to scientific studies, even though the first SARS outbreak detected in humans in 2003 occurred in Guangdong Province, hundreds of miles away.  COVID-19のもう一つの仮説である自然起源には、野生動物や家畜とのエクスポージャーを通じて、人間がCOVID-19の原因となるウイルスであるSARS-CoV-2、またはその近縁種に感染した可能性があるという多くのシナリオが含まれる。中国には広大な地理的範囲に自然発生する多様なコロナウイルスが存在しており、それらのウイルスが保有宿主から離れた場所でヒト集団内に発生した前例がある。例えば、重症急性呼吸器症候群(SARS)の原因となるウイルスであるSARSコロナウイルスに最も近い近縁種であるコロナウイルスは、2003年に広東省で初めてヒトへの感染が検知されたものの、科学的調査によると、おそらく雲南省で発生したと考えられている。
• The research-related incident hypothesis also considers a broad range of potential initial humaninfection scenarios from events in research facilities, such as government or university laboratories, to research-related activities in the field, such as collecting samples from wild animals.   • 研究関連インシデント仮説では、政府や大学の研究所などの研究施設での出来事から、野生動物のサンプル採取などの研究関連の現場での活動まで、幅広い範囲の初期ヒト感染シナリオが考えられる。
The PRC’s dominance in pharmaceutical and medical supply production combined with lower quality safety and environmental standards than those of the United States positions Beijing to potentially restrict such exports for leverage over Washington and others in trade or security disputes. The PRC plays an increasingly important role in supplying pharmaceuticals and related medical supplies to the United States, as well as the rest of the world.   医薬品および医療用品の生産における中国の優位性と、米国よりも低い品質安全および環境標準が組み合わさり、北京は貿易や安全保障上の紛争において米国やその他の国々に対して影響力を及ぼすために、そのような輸出を制限する可能性がある。中国は、米国およびその他の国々への医薬品および関連医療用品の供給において、ますます重要な役割を果たしている。
• U.S. imports of Chinese pharmaceuticals—defined as medicines, vaccines, blood, organic cultures, bandages, and organs—grew almost five-fold between 2020 and 2022 alone, from $2.1 billion to $10.3 billion.   • 米国の中国製医薬品(医薬品、ワクチン、血液、有機培養物、包帯、臓器と定義)の輸入は、2020年から2022年の間に、21億ドルから103億ドルへと、ほぼ5倍に増加した。
• The PRC also might look to uniquely provide such supplies and medical aid to countries, more cheaply and at scales competitors cannot match, as a way to boost its global influence at the expense of the United States. The PRC’s “vaccine diplomacy” during the COVID-19 pandemic—it provided vaccines to 83 countries—was driven at least in part by geopolitical considerations, such as currying favor for a new port in Burma.  • 中国はまた、米国を犠牲にして世界的な影響力を高める方法として、他国には真似できないほど安価で大規模な、そのような物資や医療支援を各国に提供することを検討している可能性もある。新型コロナウイルス感染症(COVID-19)のパンデミックにおける中国の「ワクチン外交」は、少なくとも部分的には、ビルマの新しい港の支持を取り付けるといった地政学的な考慮によって推進されたものであり、83カ国にワクチンを提供した。 
Space  宇宙開発
China has eclipsed Russia as a space leader and is poised to compete with the United States as the world’s leader in space by deploying increasingly capable interconnected multi-sensor systems and working toward ambitious scientific and strategic goals. China has achieved global coverage in some of its intelligence, surveillance, and reconnaissance (ISR) constellations and world-class status in all but a few space technologies.  中国は宇宙開発のリーダーとしてロシアを凌駕し、ますます高性能な相互接続型マルチセンサーシステムの展開や野心的な科学的・戦略的目標の達成に向けて取り組むことで、米国と肩を並べる世界的なリーダーとなる態勢を整えている。中国は、情報、監視、偵察(ISR)衛星群の一部で世界的なカバー範囲を達成し、一部の宇宙技術を除いて世界トップクラスの地位を確立している。
• China’s Beidou constellation is a world-class position, navigation, and timing capability that competes with U.S. GPS and Europe’s Galileo service. The PLA ISR architecture and satellite communications are areas the PLA continues to improve upon to close the perceived gap between itself and the U.S. military.  • 中国の北斗衛星群は、米国のGPSや欧州のガリレオサービスと競合する世界トップクラスの測位・航法・計時能力である。中国軍のISRアーキテクチャと衛星通信は、米軍との認識されているギャップを埋めるために、中国軍が継続的に改善している領域である。
• China’s successful lunar sample return mission in June 2024 contributes to Beijing’s technological prowess and national prestige while supporting its effort to land astronauts on the Moon by 2030 and establish the first lunar base by 2035.  • 2024年6月の中国の月面サンプルリターンミッションの成功は、北京の技術力と国家威信に貢献し、2030年までに宇宙飛行士を月に着陸させ、2035年までに最初の月面基地を建設するという取り組みを支援する。
• China’s commercial space sector is growing quickly with aspiration to be a major global competitor to U.S. and European space companies. For example, China launched the first set of satellites in its low Earth orbit (LEO) proliferated constellation last year for its own satellite Internet service to compete with Western commercial satellite Internet services.  • 中国の商業宇宙部門は、米国や欧州の宇宙企業と肩を並べる世界的な主要企業となることを目指し、急速に成長している。例えば、中国は昨年、欧米の商業衛星インターネットサービスに対抗する独自の衛星インターネットサービス用に、地球低軌道(LEO)に衛星群を初めて打ち上げた。
Counterspace operations will be integral to PLA military campaigns, and China has counterspace-weapons capabilities intended to target U.S. and allied satellites. China already has fielded ground-based counterspace capabilities, including EW systems, directed energy weapons (DEWs), and antisatellite (ASAT) missiles intended to disrupt, damage, and destroy target satellites.  宇宙空間での作戦は中国軍のキャンペーンに不可欠であり、中国は米国および同盟国の衛星を標的とする宇宙空間兵器の能力を有している。中国はすでに、電子戦システム、指向性エネルギー兵器(DEW)、標的衛星の機能停止、損傷、破壊を目的とした対衛星(ASAT)ミサイルを含む、地上からの宇宙空間での作戦能力を配備している。
• China also has conducted orbital technology demonstrations, which, while not counterspace weapons tests, prove its ability to operate future space-based counterspace weapons. China has also conducted on-orbit satellite inspections of other satellites, which probably would be representative of the tactics required for some counterspace attacks.  • また、中国は軌道上技術の実証実験も実施しており、これは宇宙空間での兵器実験ではないものの、将来の宇宙空間での宇宙空間での兵器運用能力を証明するものである。中国はまた、他の衛星の軌道上での検査も実施しており、これはおそらく、宇宙空間での攻撃に必要な戦術の代表者となるであろう。 
Malign Influence Activities   悪影響を及ぼす活動
Beijing will continue to expand its coercive and subversive malign influence activities to weaken the United States internally and globally, as well as counter what Beijing sees as a U.S.-led campaign to tarnish China’s global relations and overthrow the CCP. Through these efforts, the PRC seeks to suppress critical views and critics of China within the United States and worldwide, and sow doubts in U.S. leadership and strength. Beijing is likely to feel emboldened to use malign influence more regularly in coming years, particularly as it fields AI to improve its capabilities and avoid detection.  北京は、米国を内部および世界的に弱体化させるとともに、米国主導で中国の国際関係を傷つけ、中国共産党を転覆させようとするキャンペーンに対抗するため、今後も強圧的で破壊的な悪影響を及ぼす活動を拡大していくであろう。こうした取り組みを通じて、中国は米国および世界における中国に対する批判的な意見や批判を抑え、米国の指導力や強さに疑いを植え付けようとしている。特に、AIを活用して能力を改善し、検知を回避しようとしているため、北京は今後、悪影響を及ぼす活動をより定期的に行うようになる可能性が高い。
PRC actors have increased their capabilities to conduct covert influence operations and disseminate disinformation. For example, pro-China online actors in 2024 used AI-generated news anchors and fake social media accounts with AI-generated profile pictures to sow divisions on issues such as drug use, immigration, and abortion.  中国は、秘密裏に影響力を行使し、偽情報を拡散する能力を高めている。例えば、2024年の親中派のオンライン活動家は、AIで生成されたニュースキャスターや、AIで生成されたプロフィール画像を持つ偽のソーシャルメディアアカウントを使用して、薬物使用、移民、中絶などの問題に関するディビジョンを広めた。
China’s Challenges  中国の課題 
China faces daunting challenges that will impair CCP leaders’ strategic and political achievements.  China’s leaders probably are most concerned about corruption, demographic imbalances, and fiscal and economic struggles because they threaten the country’s economic performance and quality of life, two key factors underpinning CCP legitimacy. Despite an acute economic slowdown, China’s leaders probably will resist making needed structural reforms and instead maintain statist economic policies to steer capital toward priority sectors, reduce dependence on foreign technologies, and enable military modernization.   中国は、中国共産党指導者の戦略的・政治的成果を損なうような困難な課題に直面している。中国指導者が最も懸念しているのは、おそらく汚職、人口動態の不均衡、財政・経済の苦境であろう。なぜなら、これらは中国共産党の正当性を支える2つの重要な要因である、国の経済パフォーマンスと生活の質を脅かすからだ。深刻な景気減速にもかかわらず、中国の指導者たちは必要な構造改革を先延ばしにし、代わりに国家統制型の経済政策を維持して資本を優先分野に誘導し、外国技術への依存を減らし、軍の近代化を可能にするだろう。
•  China’s growth probably will continue to slow because of low consumer and investor confidence. China’s birth and marriage rates continue to decline, reinforcing negative population trends and a shrinking labor force.   • 消費者および投資家の信頼感の低さから、中国の成長は今後も減速するだろう。中国の出生率と婚姻率は引き続き低下しており、人口動態の悪化と労働力人口の減少に拍車をかけている。
Xi’s focus on security and stability for the CCP and securing other leaders’ personal loyalty to him is undermining China’s ability to solve complex domestic problems and will impede Beijing’s global leverage. Xi’s blending of domestic and foreign security threats is undermining China’s position and standing abroad, reducing Beijing’s ability to shape global perceptions and compete with U.S. leadership.  習近平が中国共産党の安全保障と安定、および他の指導者たちの個人的な忠誠心を確保することに重点を置いていることは、中国が国内の複雑な問題を解決する能力を損なうものであり、北京の世界的な影響力を妨げることになる。習近平が国内および国外の安全保障上の脅威を混同することは、中国の立場と海外での地位を損なうものであり、北京が世界的な認識を形成し、米国の指導力と競合する能力を低下させることになる。 
RUSSIA  ロシア 
Strategic Overview  戦略概観
Russia views its ongoing war in Ukraine as a proxy conflict with the West, and its objective to restore Russian strength and security in its near abroad against perceived U.S. and Western encroachment has increased the risks of unintended escalation between Russia and NATO. The resulting heightened and prolonged political-military tensions between Moscow and Washington, coupled with Russia’s growing confidence in its battlefield superiority and defense industrial base and increased risk of nuclear war, create both urgency and complications for U.S. efforts to bring the war to an acceptable close.  ロシアは、現在進行中のウクライナでの戦争を欧米との代理戦争と捉えており、米国および欧米諸国の進出に対する自国の近隣地域における強さと安全を回復するという目的から、ロシアとNATO間の予期せぬエスカレーションのリスクが高まっている。その結果、モスクワとワシントン間の政治的・軍事的緊張が高まり長期化し、戦場における優位性と防衛産業基盤に対するロシアの自信が高まり、核戦争のリスクも増大している。これは、この戦争を容認できる形で終結させるという米国の取り組みにとって、緊急性と複雑性を生み出すものである。
Regardless of how and when the war in Ukraine ends, Russia’s current geopolitical, economic, military, and domestic political trends underscore its resilience and enduring potential threat to U.S. power, presence, and global interests. Despite having paid enormous military and economic costs in its war with Ukraine, Russia has proven adaptable and resilient, in part because of the expanded backing of China, Iran, and North Korea. President Vladimir Putin appears resolved and prepared to pay a very high price to prevail in what he sees as a defining time in Russia’s strategic competition with the United States, world history, and his personal legacy. Most Russian people continue to passively accept the war, and the emergence of an alternative to Putin probably is less likely now than at any point in his quarter-century rule.  ウクライナでの戦争がいつどのように終結するにせよ、ロシアの現在の地政学的、経済的、軍事的、そして国内政治的な傾向は、そのレジリエンスと米国のパワー、プレゼンス、そしてグローバルな利益に対する潜在的な脅威が持続していることを浮き彫りにしている。ウクライナとの戦争で莫大な軍事的、経済的コストを支払ったにもかかわらず、ロシアは適応力とレジリエンスの高さを証明している。その背景には、中国、イラン、そして北朝鮮からの支援拡大がある。ウラジーミル・プーチン大統領は、米国との戦略的競争、世界史、そして自らの政治的遺産にとって決定的な時期と捉えているこの戦いに勝利するために、非常に大きな代償を払う覚悟ができているようだ。 ほとんどのロシア国民は依然としてこの戦争を静観しているが、プーチン大統領に代わる人物が現れる可能性は、おそらくプーチン大統領の四半世紀にわたる統治期間のどの時点よりも低くなっている。
Western efforts to isolate and sanction Russia have accelerated its investments in alternative partnerships and use of various tools of statecraft to offset U.S. power, with China’s backing and reinforcement. Russia’s relationship with China has helped Moscow circumvent sanctions and export controls to continue the war effort, maintain a strong market for energy products, and promote a global counterweight to the United States, even if at the cost of greater vulnerability to Chinese influence. Russia is also increasing military cooperation with Iran and North Korea, which will continue to help its war effort and enhance U.S. adversary cooperation and collective capacity. Finally, Moscow is increasingly willing to play spoiler in Western-centric forums such as the UN as well as use non-Western organizations like the Brazil, Russia, India, China, and South Africa (BRICS) group to press policies such as de-dollarization.  欧米諸国によるロシアの孤立化と制裁措置は、米国の力を相殺するための代替パートナーシップへの投資と、さまざまな外交手段の活用を加速させている。中国の後押しと強化を受け、ロシアは米国の力を相殺するための代替パートナーシップへの投資と、さまざまな外交手段の活用を加速させている。ロシアと中国の関係は、制裁措置や輸出規制を回避して戦争努力を継続し、エネルギー製品の強力な市場を維持し、米国に対する世界的な対抗勢力を推進する上で役立っている。たとえ、中国の影響力に対する脆弱性が高まるという代償を払うことになってもだ。また、ロシアはイランや北朝鮮との軍事協力も強化しており、これは今後もロシアの戦争努力を支援し、米国の敵対勢力の協力と集団的戦力を強化することになるだろう。最後に、モスクワは国連のような西側中心のフォーラムで妨害工作を行うことにますます意欲的になっているほか、ブラジル、ロシア、インド、中国、南アフリカ(BRICS)のような非西側諸国の組織を利用して、脱ドル化などの政策を推進しようとしている。
• Russia has shown it can navigate substantial economic challenges resulting from the ongoing drains of the war, Western cost imposition, and high inflation and interest rates, for at least the near term by using financial and import substitution workarounds, maintaining low debt, and continuing investments in the defense-industrial base. Russia’s economy remains the fourth largest in the world (based on GDP at purchasing power parity).  • ロシアは、戦争による継続的な消耗、欧米諸国による費用負担の押し付け、高インフレおよび高金利などによる深刻な経済的課題を、少なくとも当面の間は、金融および輸入代替による回避策、低債務の維持、防衛産業基盤への投資の継続によって乗り切ることができることを示している。ロシア経済は依然として世界第4位の規模を維持している(購買力平価ベースのGDPに基づく)。
• Russia’s sizable ground force losses in the war have done little to undermine the strategic pillars of its military power, to include its diverse and robust nuclear deterrent and asymmetric capabilities, particularly in counterspace and undersea warfare. Russia’s air and naval forces remain intact, with the former being more modern and capable than at the start of the invasion. Russia is developing a growing arsenal of conventional capabilities, such as theater strike weapons, to target the Homeland and deployed forces and assets abroad—and to hold U.S. allies at risk—during crisis and wartime. Russia’s advanced WMD and space programs threaten the Homeland, U.S. forces, and key warfighting advantages.   • 戦争によるロシアの陸軍の大幅な損失は、軍事力の戦略的支柱をほとんど損なうものではなく、多様で強固な核抑止力や非対称能力(特に宇宙空間や海底での戦闘能力)を含んでいる。ロシアの空軍と海軍は依然として健在であり、特に空軍は侵攻当初よりも近代化され、能力も向上している。ロシアは、危機的状況や戦時下において、米国本土や海外展開部隊および資産を標的とし、米国の同盟国をリスクにさらすために、地域攻撃兵器などの通常戦力の増強を進めている。ロシアの先進的な大量破壊兵器(WMD)および宇宙開発計画は、米国本土、米軍、および主要な戦闘優位性を脅かす。
• Russia will continue to be able to deploy anti-U.S. diplomacy, coercive energy tactics, disinformation, espionage, influence operations, military intimidation, cyberattacks, and gray zone tools to try to compete below the level of armed conflict and fashion opportunities to advance Russian interests.  • ロシアは、武力紛争のレベルを下回る競争を試み、ロシアの利益を促進する機会を模索するために、反米外交、強制的なエネルギー戦略、偽情報、スパイ活動、影響力工作、軍事的威嚇、サイバー攻撃、およびグレーゾーンの手段を今後も展開し続けることができるだろう。
• The war in Ukraine has afforded Moscow a wealth of lessons regarding combat against Western weapons and intelligence in a large-scale war. This experience probably will challenge future U.S. defense planning, including against other adversaries with whom Moscow is sharing those lessons learned.  • ウクライナでの戦争は、モスクワに西側の兵器や大規模戦争における情報戦に関する戦闘の教訓を数多くもたらした。この経験は、おそらくモスクワがその教訓を共有している他の敵対国に対するものも含め、今後の米国の防衛計画に影響を与えることになるだろう。
Russia and the Arctic  ロシアと北極圏 
Russia controls about half of all Arctic coastline and views the region as essential to its economic wellbeing and national security. Moscow wants to further develop its Arctic oil and gas reserves and position itself to reap benefits from expected increases in maritime trade. Russia has concerns about increasing economic and military competition with Western countries in the region, which compounded last year when NATO enlarged to include the last two previously nonaligned Arctic states, Finland and Sweden.   ロシアは北極圏の海岸線の約半分を支配しており、この地域を自国の経済と国家安全保障にとって不可欠なものと見なしている。モスクワは北極圏の石油と天然ガスの埋蔵量をさらに開発し、海上貿易の増加から利益を得るための体制を整えたいと考えている。ロシアは、この地域における西側諸国との経済および軍事競争の激化を懸念しており、昨年、NATOが最後の2つの非同盟国であるフィンランドとスウェーデンを加盟させたことで、この懸念はさらに高まった。
•  The war in Ukraine has sapped Russia’s finances and available military resources to fulfill its Arctic ambitions, prompting Russia to seek a closer partnership with China in the Arctic, and welcoming other non-Western countries’ increasing involvement, to offset NATO countries’ perceived advantages. • ウクライナでの戦争により、ロシアの財政と軍事資源が疲弊し、北極圏での野望を達成することが難しくなったため、ロシアは中国との北極圏での緊密なパートナーシップを模索し、NATO諸国の優位性を相殺するために、他の非西欧諸国の関与の増加を歓迎している。
•  Russia’s interest in Greenland is focused mainly on its proximity to strategically important naval routes between the Arctic and Atlantic Oceans—including for nuclear-armed submarines—and the fact that Greenland hosts a key U.S. military base.  • ロシアのグリーンランドに対する関心は、主に、核兵器搭載潜水艦を含む北極海と大西洋間の戦略的に重要な海上航路に近接していること、そしてグリーンランドに重要な米軍基地があることに向けられている。
Military  軍事面
Moscow’s massive investments in its defense sector will render the Russian military a continued threat to U.S. national security, despite Russia’s significant personnel and equipment losses—primarily in the ground forces— during the war with Ukraine. Russia’s air and naval forces, despite suffering some losses and expending substantial quantities of precision-guided munitions, remain capable of providing Moscow with regional and global power projection forces, while Russia’s nuclear and counterspace forces continue to provide it with strategic deterrence capability.  モスクワが国防部門に巨額の投資を行っているため、ウクライナとの戦争でロシアが地上軍を中心に多くの人員と装備を失ったにもかかわらず、ロシア軍は米国の国家安全保障に対する継続的な脅威となっている。ロシアの空軍および海軍は、一部の損失を被り、かなりの量の精密誘導兵器を消費したにもかかわらず、依然として地域およびグローバルな戦力投射能力をモスクワに提供できる状態にある。また、ロシアの核および宇宙戦力は、戦略的な抑止能力をモスクワに提供し続けている。
• The Ukraine conflict has led to improvements in some Russian military capabilities. For example, Russia’s initial use of EW and unmanned systems was lacking but it adapted and innovated using EW to more effectively interfere with Ukrainian use of radar and GPS and unmanned aerial vehicles (UAVs).  • ウクライナ紛争は、ロシア軍のいくつかの能力の改善につながった。例えば、ロシア軍の初期の電子戦(EW)や無人システムの使用には欠陥があったが、電子戦を活用してウクライナのレーダーやGPS、無人航空機(UAV)の使用をより効果的に妨害するよう適応し、革新した。
• Russia possesses long-range precision strike capability, most notably submarines and bombers equipped with LACMs and antiship cruise missiles, that can hold the Homeland at risk.  • ロシアは、特にLACMや対艦巡航ミサイルを装備した潜水艦や爆撃機といった、米国本土をリスクにさらすことができる長距離精密攻撃能力を保有している。
• Moscow has increased its defense budget to its heaviest burden level during Putin’s more than  two decades in power and taken measures to reduce the impact of sanctions on its military and  defense industry.  • モスクワは、プーチンが政権を握って20年以上が経過した中で、国防予算を最も負担の大きい水準に増額し、軍および防衛産業への制裁の影響を軽減するための措置を講じている。
• Russia has imported munitions such as UAVs from Iran and artillery shells from North Korea to mitigate to the impact of international sanctions, thereby sustaining its ability to wage war in Ukraine and enhancing the threat its military poses.  • ロシアは、国際制裁の影響を緩和するために、イランから無人機(UAV)などの軍需品を、また北朝鮮から砲弾を輸入しており、これによりウクライナでの戦争遂行能力を維持し、軍事的脅威を高めている。
Moscow will contend with long-term challenges such as troop quality and corruption, and a fertility rate below what is needed for replacements, but its investments in personnel recruitment and procurement should allow it to steadily reconstitute reserves and expand ground forces in particular during the next decade. Nevertheless, the war in Ukraine will be a drag on those efforts as long as it persists. Moscow will have to continually balance resource allocation between large-scale production of equipment to sustain the war with modernization and recapitalization efforts.  モスクワは、兵士の質や汚職、補充に必要な水準を下回る出生率といった長期的な課題に直面するだろうが、人材の採用と調達への投資により、今後10年間は予備役を徐々に再編成し、特に地上軍を拡大することが可能になるはずである。しかし、ウクライナでの戦争が続く限り、その努力は妨げられることになる。モスクワは、戦争を維持するための装備の大規模生産と、近代化および再資本化の取り組みとの間で、継続的に資源配分のバランスを取らなければならないだろう。
Russia and Ukraine  ロシアとウクライナ 
Russia in the past year has seized the upper hand in its full-scale invasion of Ukraine and is on a path to accrue greater leverage to press Kyiv and its Western backers to negotiate an end to the war that grants Moscow concessions it seeks. Continuing the Russia-Ukraine war perpetuates strategic risks to the United States of unintended escalation to large-scale war, the potential use of nuclear weapons, heightened insecurity among NATO Allies, particularly in Central, Eastern, and Northern Europe, and a more emboldened China and North Korea.  この1年で、ロシアはウクライナへの全面侵攻で優位に立ち、キエフとその西側支援国に圧力をかけてモスクワが求める譲歩を勝ち取るために、交渉による戦争終結を迫る力を強めている。ロシアとウクライナの戦争が続けば、米国にとって、意図せざる大規模戦争へのエスカレーション、核兵器の使用の可能性、NATO同盟国、特に中央・東・北ヨーロッパにおける安全保障の低下、そして中国と北朝鮮のより大胆な行動といった戦略的リスクが恒常化する。
Even though Russian President Putin will be unable to achieve the total victory he envisioned when initiating the large-scale invasion in February 2022, Russia retains momentum as a grinding war of attrition plays to Russia’s military advantages. This grinding war of attrition will lead to a gradual but steady erosion of Kyiv’s position on the battlefield, regardless of any U.S. or allied attempts to impose new and greater costs on Moscow.  2022年2月に大規模侵攻を開始した際、プーチン大統領が思い描いていたような完全勝利を収めることはできないとしても、消耗戦がロシア軍の優位に働くため、ロシアは勢いを保っている。この消耗戦により、米国や同盟国がモスクワに新たな、より大きな負担を課そうとするかどうかに関わらず、戦場におけるキエフの立場は徐々にではあるが着実に弱体化していくことになるだろう。
• Despite recruitment challenges, Russia has regularly generated sufficient personnel to replenish losses and create new units to sustain attacks on multiple frontline axes. While Ukraine has increased its overall personnel intake since new legislation on mobilization was passed in spring 2024, Kyiv has stretched its resources trying to launch new offensives—such as in Kursk, Russia— and build more brigades while defending on all fronts.  • 採用面での課題にもかかわらず、ロシアは複数の前線軸での攻撃を維持するために、損失を補い、新たな部隊を創設するのに十分な人員を定期的に生成している。ウクライナは2024年春に動員に関する新たな法律が可決されて以来、全体的な人員受け入れを増やしているが、キエフは、ロシアのクルスクなど新たな攻勢を展開し、すべての前線で防衛しながらより多くの旅団を創設しようとしており、そのリソースを最大限に活用している。
• Moscow’s rising defense spending and investments in defense-industrial capacity will continue to enable a high level of production of critical capabilities—such as artillery, long-range missiles, oneway attack UAVs, and glide bombs—and ensure Russia retains a firepower advantage over Ukraine.  • モスクワの防衛費の増加と防衛産業能力への投資により、砲兵、長距離ミサイル、単方向攻撃の無人機、滑空爆弾などの重要な能力の高度な生産が可能となり、ロシアがウクライナに対して戦力面で優位性を維持することが引き続き可能となる。
• Both Putin and Ukrainian President Volodymyr Zelenskyy are interested in continuing discussions with the United States on how to end the war and have shown a willingness to test partial ceasefires.  Nonetheless, Putin probably is attuned to the potential for protracted conflict to drag down the Russian economy and prompt undesired escalation with the West, and Zelenskyy probably understands that his position is weakening, the future of Western assistance is uncertain, and a ceasefire may ultimately become a necessary recourse. However, both leaders for now probably still see the risks of a longer war as less than those of an unsatisfying settlement. For Russia, positive battlefield trends allow for some strategic patience, and for Ukraine, conceding territory or neutrality to Russia without substantial security guarantees from the West could prompt domestic backlash and future insecurity.  • プーチン大統領とウクライナのウォロディミル・ゼレンスキー大統領は、いずれも米国との間で戦争終結に向けた話し合いを継続することに関心を示しており、部分的な停戦を試みる意思を示している。しかし、プーチン大統領は、長期化する紛争がロシア経済を低迷させ、欧米との望ましくないエスカレーションを招く可能性を認識しているだろう。また、ゼレンスキー大統領は、自身の立場が弱まり、欧米からの支援の先行きが不透明で、最終的には停戦が不可避になる可能性を理解しているだろう。しかし、両首脳は、現時点では、満足のいかない妥協案よりも長期化する戦争のリスクの方がまだ小さいと見ているだろう。ロシアにとっては、戦況が好転していることで戦略的な忍耐が多少なりとも可能であり、ウクライナにとっては、西側諸国から十分な安全保障の保証を得られないままロシアに領土や中立性を譲歩することは、国内で反発を招き、将来的な不安を煽る可能性がある。
Cyber  サイバー
Russia’s advanced cyber capabilities, its repeated success compromising sensitive targets for intelligence collection, and its past attempts to pre-position access on U.S. critical infrastructure make it a persistent counterintelligence and cyber attack threat. Moscow’s unique strength is the practical experience it has gained integrating cyber attacks and operations with wartime military action, almost certainly amplifying its potential to focus combined impact on U.S. targets in time of conflict.  ロシアの高度なサイバー能力、機密情報を収集する標的を繰り返し侵害することに成功していること、米国の重要インフラへのアクセスを事前に確保しようとした過去の試みなどから、ロシアは持続的な防諜およびサイバー攻撃の脅威となっている。モスクワの強みは、サイバー攻撃と作戦を戦時中の軍事行動と統合する実践的な経験を積んでいることであり、紛争時には米国の標的に対する複合的な影響力を確実に増大させる可能性がある。
• Russia has demonstrated real-world disruptive capabilities during the past decade, including gaining experience in attack execution by relentlessly targeting Ukraine’s networks with disruptive and destructive malware.  • ロシアは過去10年間にわたり、ウクライナのネットワークを破壊的かつ妨害的なマルウェアで執拗に標的にすることで攻撃実行の経験を積むなど、現実社会で混乱を引き起こす能力を示してきた。 
Malign Influence Activities  悪意のある影響活動 
Moscow uses influence activities to counter threats, including by stoking political discord in the West, sowing doubt in democratic processes and U.S. global leadership, degrading Western support for Ukraine, and amplifying preferred Russian narratives. Moscow’s malign influence activities will continue for the foreseeable future and will almost certainly increase in sophistication and volume.  モスクワは、欧米諸国の政治的対立を煽り、民主主義プロセスや米国の世界的なリーダーシップに疑念を植え付け、ウクライナに対する欧米の支援を低下させ、ロシアの望ましいストーリーを拡大するなど、影響活動を利用して脅威に対抗している。モスクワの悪意ある影響活動は当面の間継続し、その巧妙さや規模はほぼ確実に拡大するだろう。
• Moscow probably believes information operations efforts to influence U.S. elections are advantageous, regardless of whether they affect election outcomes, because reinforcing doubt in the integrity of the U.S. electoral system achieves one of its core objectives.   • モスクワは、米国の選挙結果に影響を与えるかどうかに関わらず、米国の選挙制度の信頼性に疑いを植え付けることが、その主要な目的のひとつを達成することにつながるため、米国の選挙に影響を与えるための情報工作活動は有益だと考えている可能性が高い。
• Russia uses a variety of entities such as the U.S.-sanctioned influence organizations Social Design Agency (SDA) and ANO Dialog and the state media outlet RT in its efforts to covertly shape public opinion in the United States, amplify and stoke domestic divisions, and discreetly engage Americans, while hiding Russia’s hand.   • ロシアは、米国が制裁を科した影響力組織であるソーシャル・デザイン・エージェンシー(SDA)やANOダイアログ、国営メディアのRTなど、さまざまな事業体を利用して、米国の世論を秘密裏に形成し、国内の分裂を拡大・煽り立て、米国国民を慎重に巻き込む努力を続けている。その一方で、ロシアの手口を隠している。
WMD  大量破壊兵器
Russia has the largest and most diverse nuclear weapons stockpile that, along with its deployed ground-, air-, and sea-based delivery systems, could inflict catastrophic damage to the Homeland. Russia has developed a more modernized, mobile, and survivable strategic nuclear force that is intended to circumvent or neutralize future augmented U.S. missile defense and ensure deterrence through reliable retaliatory strike potential. In addition, Russia’s vast arsenal of non-strategic nuclear weapons helps it to offset Western conventional superiority and provide formidable escalation management options in theater war scenarios.  ロシアは、世界最大かつ最も多様な核兵器の備蓄を保有しており、展開された地上、空中、海上の核兵器配備システムとともに、米国本土に壊滅的な被害をもたらす可能性がある。ロシアは、より近代化され、機動性が高く、生存能力の高い戦略核戦力を開発しており、それは将来強化されるであろう米国のミサイル防衛を回避または無力化し、確実な報復攻撃能力によって抑止力を確保することを目的としている。さらに、ロシアの膨大な非戦略核兵器の兵器庫は、西側の通常兵器の優位性を相殺し、局地戦争のシナリオにおいて強力なエスカレーション・マネジメントの選択肢を提供することにも役立っている。
Russia continues efforts to modernize its nuclear weapons capabilities in the face of multiple failed tests  of new systems.   ロシアは、新型システムの試験失敗が相次ぐ中、核兵器能力の近代化に向けた取り組みを継続している。
Russia’s CBW threat is expanding. Russian scientific institutes continue to research and develop CBW capabilities, including technologies to deliver CBW agents. Russia retains an undeclared chemical weapons program and has used chemical weapons at least twice during recent years in assassination attempts with Novichok nerve agents, also known as fourth-generation agents, against Russian opposition leader Aleksey  ロシアの化学・生物兵器(CBW)の脅威は拡大している。ロシアの科学研究所は、化学・生物兵器剤を運搬する技術を含む化学・生物兵器能力の研究開発を継続している。ロシアは未申告の化学兵器プログラムを保持しており、近年少なくとも2回、化学兵器を使用している。2020年には、ロシアの野党指導者アレクセイ・ナワルニー氏に対する暗殺未遂事件で、第4世代の化学兵器としても知られるノビチョク神経剤が使用された。
Navalny in 2020, and against U.K. citizen Sergey Skripal and his daughter Yuliya Skripal on U.K. soil in 2018. Russian forces almost certainly continue using chemicals against Ukrainian forces, with hundreds of reported attacks occurring since late 2022.  2020年にはロシアの野党指導者アレクセイ・ナワルニー氏に対して、また2018年には英国領内で英国市民セルゲイ・スクリパリ氏と娘のユリア・スクリパリ氏に対して、それぞれ使用した。ロシア軍はほぼ間違いなく、2022年後半以降、数百件の攻撃が報告されているウクライナ軍に対する化学兵器の使用を継続している。 
Space  宇宙
Russia continues to train its military space elements and field new antisatellite weapons to disrupt and degrade U.S. and allied space capabilities. It is expanding its arsenal of jamming systems, DEWs, on-orbit counterspace capabilities, and ASAT missiles designed to target U.S. and allied satellites.   ロシアは、軍の宇宙関連部門の訓練を継続し、米国および同盟国の宇宙能力を妨害・低下させる新型の対衛星兵器を実戦配備している。また、米国および同盟国の人工衛星を標的とする妨害システム、DEW、軌道上での対宇宙空間能力、およびASATミサイルの兵器庫を拡大している。
• Russia is using EW to counter Western on-orbit assets and continues to develop ASAT missiles capable of destroying space targets in LEO.  • ロシアは、欧米の軌道上資産に対抗するために電子戦を使用しており、LEOの宇宙標的を破壊できるASATミサイルの開発を継続している。
Despite its Soviet legacy, the war in Ukraine has revealed glaring deficiencies in Russia’s space-based architecture, which will continue to face difficulties from the effects of sanctions and export controls, domestic space-sector problems, and increasingly strained competition for program resources within Russia. However, Russia will remain a space competitor, probably by prioritizing assets critical to its national security and integrating military space services over civil space projects.  ソ連の遺産にもかかわらず、ウクライナでの戦争はロシアの宇宙基盤アーキテクチャの明白な欠陥を明らかにした。ロシアは今後も、制裁や輸出規制の影響、国内の宇宙部門の問題、ロシア国内におけるプログラムリソースをめぐる競争の激化といった困難に直面し続けるだろう。しかし、ロシアは宇宙開発競争のライバルであり続けるだろう。おそらく、国家安全保障に不可欠な資産を優先し、軍事宇宙サービスを民間宇宙プロジェクトに統合することで、その地位を維持するだろう。
• Moscow uses its and others’ civil and commercial remote-sensing satellites to supplement militarydedicated capabilities and has warned that other countries’ commercial infrastructure in outer space used for military purposes can become a legitimate target.  モスクワは、自国の民間および商業用リモートセンシング衛星を軍事専用能力の補完に利用しており、軍事目的で使用されている他国の商業用宇宙インフラは正当な標的となり得ると警告している。
Russian Antisatellite Capability  ロシアの衛星破壊能力
Russia is developing a new satellite meant to carry a nuclear weapon as an antisatellite capability. A nuclear detonation in outer space could cause devastating consequences for the United States, the global economy, and the world in general. It would harm all countries’ national security and commercial satellites and infrastructure, as well as impair U.S. use of space as a driver for economic development.   ロシアは、衛星破壊能力として核兵器を搭載する新型衛星の開発を進めている。宇宙空間での核爆発は、米国、世界経済、そして世界全体に壊滅的な影響を及ぼす可能性がある。それは、すべての国の国家安全保障および商業衛星やインフラに損害を与え、米国の経済発展の推進力としての宇宙利用を損なうことになる。
•  In February 2022, Russia launched a satellite, which its Ministry of Defense claimed at the time was for testing on-board instruments and systems under the influence of radiation and heavy charged particles.  • 2022年2月、ロシアは衛星を打ち上げた。ロシア国防省は当時、放射線や高電荷粒子の影響下における搭載機器やシステムの試験を目的としていると主張した。
Technology  技術
While Russia’s S&T ecosystem has been constrained in the wake of its invasion of Ukraine, Moscow continues to deploy nascent AI applications on and off the battlefield and has deepened technical cooperation with partners such as China in support of long-term R&D goals. Moscow’s use of AI to augment military operations probably will further hone Russian tactics and capabilities in the event of future conflicts with the United States or NATO allies.  ロシアの科学技術エコシステムはウクライナ侵攻の影響で制約を受けているが、モスクワは戦場内外で初期段階のAIアプリケーションの展開を継続しており、長期的な研究開発目標を支援するために中国などのパートナーとの技術協力も深めている。モスクワが軍事作戦を強化するためにAIを使用していることは、米国またはNATO同盟国との将来の紛争が発生した場合、おそらくロシアの戦術と能力をさらに磨くことになるだろう。
• Russia is using AI to create highly-capable deepfakes to spread misinformation, conduct malign influence operations, and stoke further fear. Russia has also demonstrated the use of AI-enabled antidrone equipment during its ongoing conflict with Ukraine.  • ロシアはAIを活用して、高度な能力を持つディープフェイクを作成し、誤情報の拡散、悪意のある影響工作、さらなる恐怖の煽りを行っている。また、ロシアは現在進行中のウクライナとの紛争において、AI搭載の対ドローン装備を使用している。
• Russia’s few domestic microelectronics manufacturers have only mastered production of chips down to the 65nm level and has goals of mass producing 28nm chips by 2030, significantly behind global leaders.  • ロシアの国内マイクロエレクトロニクス製造事業者は数社しかなく、65nmレベルのチップの製造しか習得しておらず、2030年までに28nmチップの量産を目標としているが、世界のリーダー企業に大幅に遅れをとっている。
• While largely cut-off from Western supply chains, Russia has significantly expanded and deepened cooperation in several technical sectors with international partners. Russia seeks to further align its S&T efforts with China and BRICS allies in areas such as AI development and governance and semiconductor production to advance its own capabilities as well as broadly decrease Western influence.  • 主に欧米のサプライチェーンから遮断されている一方で、ロシアはいくつかの技術分野において国際パートナーとの協力関係を大幅に拡大し、深化させている。ロシアは、AI開発やガバナンス、半導体生産などの分野において、科学技術への取り組みを中国やBRICS諸国とさらに連携させ、自国の能力を向上させるとともに、欧米の影響力を大幅に低下させようとしている。 
Russia’s Challenges  ロシアの課題
Even as Russia has proven resilient, it faces a myriad of challenges to remaining an indispensable global player, maintaining a sphere of influence, and upholding stability at home—its highest strategic aims— suggesting limits on its confidence dealing with the United States and the international community. Russia has paid a heavy price in blood, treasure, and loss of international reputation and foreign policy options because of its large-scale invasion of Ukraine. President Putin upended two decades of Russia’s geopolitical resurgence, created new threats to its external and internal security, and strained its economic and military potential, making it more reliant on China and other like-minded partners like North Korea.   ロシアはレジリエンスの高さを証明しているが、世界で不可欠なプレーヤーであり続けること、影響圏を維持すること、そして国内の安定を維持すること(ロシアの戦略的目標の最上位に位置づけられる)という無数の課題に直面しており、米国や国際社会との関係における自信の限界を示唆している。ロシアはウクライナへの大規模な侵攻により、血と財を犠牲にし、国際的な評価と外交政策の選択肢を失うという大きな代償を払った。プーチン大統領は、ロシアの地政学的な復活の20年を台無しにし、対外および対内的な安全保障に新たな脅威を生み出し、経済および軍事的な潜在能力を疲弊させ、中国や北朝鮮のような同様の考えを持つパートナーへの依存度を高めた。
• Russia’s military has suffered more casualties in Ukraine than in all of its other wars since World War II (750,000-plus dead and wounded), and its economy faces significant long-term macroeconomic headwinds and is increasingly dependent on China.  • ロシア軍はウクライナで第二次世界大戦以降の他のすべての戦争よりも多くの死傷者を出しており(死者と負傷者は75万人以上)、経済は長期的なマクロ経済の逆風に直面し、中国への依存度を高めている。
• Russia’s aggression has strengthened European unity and prompted Finland and Sweden to join NATO. Efforts by Armenia, Moldova, and some Central Asian states to seek alternative partners highlight how the war has hurt Moscow’s influence, even in the post-Soviet space, and derailed Putin’s vision of a greater Eurasian union.  ロシアの侵略により欧州の結束は強まり、フィンランドとスウェーデンはNATOへの加盟を決めた。アルメニア、モルドバ、および一部の中央アジア諸国が代替パートナーを模索する動きは、この戦争がソ連崩壊後の地域においてもモスクワの影響力を損ない、プーチンのユーラシア大連合構想を頓挫させたことを浮き彫りにしている。 
IRAN  イラン 
Strategic Overview  戦略概観
Tehran will try to leverage its robust missile capability and expanded nuclear program, and its diplomatic outreach to regional states and U.S. rivals to bolster its regional influence and ensure regime survival. However, regional and domestic challenges, most immediately tensions with Israel, are seriously testing Iran’s ambitions and capabilities.  A degraded Hizballah, the demise of the Asad regime in Syria, and Iran’s own failure to deter Israel have led leaders in Tehran to raise fundamental questions regarding Iran’s approach. Iran’s consistently underperforming economy and societal grievances will also continue to test the regime domestically.  テヘランは、強力なミサイル能力と拡大する核開発計画、そして周辺諸国や米国のライバル国への外交的働きかけを活用し、地域における影響力を強化し、体制の存続を確保しようとするだろう。しかし、地域および国内の課題、とりわけイスラエルとの緊張関係は、イランの野望と能力を深刻に試すものとなっている。ヒズボラの弱体化、シリアのアサド政権の崩壊、そしてイスラエルに対する抑止に失敗したことなどにより、テヘランの指導者たちはイランのアプローチについて根本的な疑問を抱くようになった。また、イラン経済の低迷と社会的不満も、国内で体制を試す要因であり続けるだろう。
Tehran will continue its efforts to counter Israel and press the United States to leave the region by aiding and arming its loose consortium of like-minded terrorist and militant actors, known as the “Axis of Resistance.” Although the demise of the Asad regime, a key ally of Tehran, is a blow to the Axis, these actors still represent a wide range of threats. These threats include some continued Israeli vulnerability to HAMAS and Hizballah; militia attacks against U.S. forces in Iraq and Syria; and the threat of Huthi missile and UAV attacks targeting Israel and maritime traffic transiting near Yemen. Supreme Leader Ali Khamenei continues to desire to avoid embroiling Iran in an expanded, direct conflict with the United States and its allies.  テヘランは、イスラエルに対抗し、米国にこの地域からの撤退を迫るため、同じ考えを持つテロリストや武装勢力の緩やかな連合(「抵抗の軸」として知られる)を支援し、武装させるという努力を続けるだろう。アサド政権の崩壊は、テヘランの重要な同盟国にとって打撃となるが、これらのアクターは依然として幅広い脅威をもたらす。こうした脅威には、イスラエルが依然としてハマスやヒズボラに対して脆弱であること、イラクやシリアにおける米軍に対する民兵組織の攻撃、イエメン近海を通過する海上交通やイスラエルを標的としたフーシ派のミサイルや無人機攻撃の脅威などが含まれる。最高指導者ハメネイは、米国とその同盟国との拡大した直接的な紛争にイランを巻き込むことを回避したいと考え続けている。
Iranian investment in its military has been a key plank of its efforts to confront diverse threats and try to deter and defend against an attack by the United States or Israel. Iran continues to bolster the lethality and precision of its domestically produced missile and UAV systems, and it has the largest stockpiles of these systems in the region. It considers them as critical to its deterrence strategy and power projection capability, and Iran uses their sales to deepen global military partnerships. Iran’s growing expertise and willingness to conduct aggressive cyber operations also make it a major threat to the security of U.S. and allied and partner networks and data.   軍事への投資は、多様な脅威に対処し、米国やイスラエルによる攻撃を抑止し、防御するための取り組みの重要な柱となっている。イランは、国産のミサイルおよび無人機システムの殺傷能力と精度を強化し続けており、この地域で最大の備蓄量を誇っている。イランは、これらの兵器を抑止戦略と軍事力投射能力にとって不可欠なものとみなしており、その販売を通じて世界的な軍事協力関係を深めている。また、イランの専門知識と積極的なサイバー作戦遂行への意欲の高まりは、米国および同盟国・パートナー国のネットワークとデータのセキュリティにとって大きな脅威となっている。
Iran also will continue to directly threaten U.S. persons globally and remains committed to its decade-long effort to develop surrogate networks inside the United States. Iran seeks to target former and current U.S. officials it believes were involved in the killing of Islamic Revolutionary Guard Corps (IRGC)-Qods Force Commander Qasem Soleimani in January 2020 and previously has tried to conduct lethal operations in the United States.  さらに、イランは今後も引き続き世界中の米国市民を直接的に脅かすとともに、米国国内で代理ネットワークを開発するという10年にわたる取り組みに引き続き専念するだろう。イランは、2020年1月にイスラム革命防衛隊(IRGC)のカセム・スレイマーニー司令官が殺害された事件に関与したとみられる元および現職の米国政府高官を標的にしようとしており、過去にも米国国内で殺害工作を試みてきた。
Tehran intends for its expanding relationships with other key U.S. adversaries and the Global South to mitigate U.S. efforts to isolate the regime and blunt the impact of Western sanctions. Tehran’s diplomatic efforts—including at times outreach to Europe—are likely to continue with varying degrees of success. In the past year, Iran has focused extensively on deepening ties with Russia—including through military cooperation for its war in Ukraine—and has relied on China as a key political and economic partner to help it mitigate economic and diplomatic pressure. Iran is also making progress developing closer diplomatic and defense ties to African states and other actors in the Global South and is trying to build on nascent improvements in its ties with other regional actors, such as Saudi Arabia, despite continued mutual suspicion over each other’s ultimate visions for the region.  テヘランは、米国の主要な敵対国である他の国々や南半球諸国との関係を拡大することで、米国によるイラン体制の孤立化の取り組みを緩和し、欧米諸国の制裁の影響を弱めようとしている。テヘランの外交努力は、時には欧州への働きかけも含め、今後もさまざまな成功度合いを伴いながら継続される可能性が高い。この1年、イランはウクライナでの戦争における軍事協力を含め、ロシアとの関係強化に重点的に取り組んできた。また、経済的・外交的圧力を緩和するために、中国を政治・経済面での重要なパートナーとして頼ってきた。また、イランはアフリカ諸国やその他のグローバル・サウス諸国との緊密な外交・防衛関係の構築を進めており、サウジアラビアなど他の地域アクターとの関係改善の芽を育もうとしている。ただし、地域に対する最終的なビジョンについては相互に疑念を抱き続けている。
The economic, political, and societal seeds of popular discontent could threaten further domestic strife akin to the widescale and prolonged protests inside Iran during late 2022 and early 2023. The economy is beset by low growth, exchange rate volatility, and high inflation. Absent sanctions relief, these trends probably will continue for the foreseeable future.  経済、政治、社会における不満の種は、2022年末から2023年初頭にかけてイラン国内で発生した大規模かつ長期にわたる抗議運動のようなさらなる国内紛争を引き起こす可能性がある。経済は低成長、為替レートの変動、高インフレに悩まされている。制裁緩和がなければ、これらの傾向は当面の間、おそらく継続するだろう。 
Syria  シリア
The fall of President Bashar al-Asad’s regime at the hands of opposition forces led by Hay'at Tahrir al-Sham (HTS)—a group formerly associated with al-Qa‘ida—has created conditions for extended instability in Syria and could contribute to a resurgence of ISIS and other Islamist terror groups. Even if the HTS–led interim government can bridge divergent objectives, governing Syria will remain a daunting challenge amid the country’s economic problems, humanitarian needs driven in part by millions of internally displaced Syrians, rampant insecurity, as well as ethnic, sectarian, and religious cleavages.  シリアでは、アルカイダと関連していたグループであるヘイアット・タハリール・アル・シャーム(HTS)が率いる反体制派勢力によってバッシャール・アル・アサド大統領の政権が崩壊したことにより、同国では不安定な状態が長期化する可能性が生じ、ISISやその他のイスラム過激派テロ組織の復活につながる可能性もある。HTSが主導する暫定政府が相容れない目標を橋渡しできたとしても、シリアの経済問題、国内避難民数百万人による人道上のニーズ、蔓延する治安の悪化、さらには民族、宗派、宗教の分裂など、シリアのガバナンスは依然として困難な課題である。
• The HTS-led interim government forces, along with elements of Hurras al-Din and other jihadist groups, engaged in violence and extrajudicial killings in northwestern Syria in early March 2025 primarily targeting religious minorities that resulted in the death of more than 1,000 people, including Alawi and Christian civilians.  • 2025年3月初旬、HTSが主導する暫定政府軍は、フッラス・アル・ディーンやその他のジハーディスト集団の構成員とともに、シリア北西部で暴力行為や超法規的殺害を行い、主に宗教的少数派を標的にした結果、アラウィ派やキリスト教徒の民間人を含む1,000人以上が死亡した。
• The leader of HTS claims to be willing to work with Syria’s array of ethnosectarian groups to develop an inclusive governance model. Many of these groups remain skeptical of HTS’s intentions, especially considering the leader’s past al-Qa‘ida association, suggesting protracted negotiations could devolve into violence. Israeli government officials are skeptical of HTS claims and intentions, expressing concern that historical HTS objectives against Israel persist.   • HTSの指導者は、シリアのさまざまな民族派閥グループと協力して包括的なガバナンスモデルを開発する意思があると主張している。これらのグループの多くは、特に指導者の過去のアルカイダとのつながりを考慮すると、HTSの意図に懐疑的なままであり、長引く交渉が暴力に発展する可能性を示唆している。イスラエルの政府高官は、HTSの主張と意図に懐疑的であり、イスラエルに対するHTSの歴史的な目標が依然として続いていることを懸念している。
• Some remaining jihadist groups refuse to merge into the HTS Ministry of Defense, and ISIS has already signaled opposition to HTS’s call for democracy and is plotting attacks to undermine its governance.  • 残存する一部のジハーディスト集団は、HTS国防省への統合を拒否しており、ISISはすでにHTSの民主化要求に反対の意を示し、そのガバナンスを弱体化させる攻撃を計画している。
Military  軍事
Iran’s conventional and unconventional capabilities will pose a threat to U.S. forces and partners in the region for the foreseeable future, despite the degradation to its proxies and air defenses during the Gaza conflict. Iran’s large conventional forces are capable of inflicting substantial damage to an attacker, executing regional strikes, and disrupting shipping, particularly energy supplies, through the Strait of Hormuz. Iran’s unconventional warfare operations and militant partners and proxies, such as Hizballah, have traditionally enabled Tehran to pursue its interests throughout the region and maintain strategic depth with a modicum of deniability. However, Iranian officials are grappling with how to slow and eventually reverse their and their proxies’ recent military losses  from the Israeli campaign against Iran and its regional allies, including strikes on Iranian military targets such as air defense systems in April and October 2024. The IC assesses Iran’s prospects for reconstituting force losses and posing a credible deterrent, particularly to Israeli actions, are dim in the near-term.  ガザ紛争中に代理勢力や防空能力が低下したにもかかわらず、イランの通常戦力および非通常戦力は、当面の間、米国軍および地域の同盟国にとって脅威となるだろう。イランの通常戦力は、攻撃者に対して相当な損害を与える能力があり、地域的な攻撃を実行し、ホルムズ海峡を通る船舶、特にエネルギー供給を混乱させることができる。イランの非通常戦力作戦と、ヒズボラのような過激派のパートナーや代理人は、伝統的にテヘランが地域全体で自国の利益を追求し、わずかな否定性をもって戦略的深みを維持することを可能にしてきた。しかし、イラン当局は、2024年4月と10月に実施されたイランの防空システムなどの軍事目標に対する攻撃を含む、イスラエルによるイランおよびその地域の同盟国に対するキャンペーンにより、自国および代理勢力が最近被った軍事的損失をいかにして減速させ、最終的には覆すかという問題に直面している。ICは、イランが軍事的損失を回復し、特にイスラエルの行動に対する信頼性の高い抑止力を構築できる見通しは、短期的には暗いとアセスメントしている。
Iran has fielded a large quantity of ballistic and cruise missiles as well as UAVs that can strike throughout the region and continues efforts to improve their accuracy, lethality, and reliability. Iran’s defense industry has a robust development and manufacturing capacity, especially for low-cost weapons such as small UAVs. However, the limited damage Iran’s strikes in April and October 2024 inflicted on Israel highlights the shortcomings of Iran’s conventional military options.  イランは、この地域全体を攻撃可能な大量の弾道ミサイルや巡航ミサイル、無人機を配備しており、それらの精度、殺傷能力、信頼性を改善するための努力を続けている。イランの防衛産業は、特に小型無人機のような低コスト兵器の開発・製造能力に優れている。しかし、2024年4月と10月のイランによる攻撃がイスラエルに与えた被害は限定的であり、これはイランの通常兵器による軍事的選択肢の限界を浮き彫りにしている。
Iran has also deployed small boats and submarines capable of disrupting shipping traffic through the Strait of Hormuz. Its ground and air forces, while among the largest in the region, suffer from outdated equipment and limited training.  また、イランはホルムズ海峡の船舶交通を妨害できる小型ボートや潜水艦も展開している。地上軍および空軍は、この地域では最大規模であるものの、装備は旧式で訓練も限られている。
Middle East Conflict  中東紛争
The Israel-HAMAS conflict sparked by the HAMAS October 7 attack against Israel derailed the unprecedented diplomacy and cooperation generated by the Abraham Accords and trajectory of growing stability in the Middle East. We expect the situation in Gaza, as well as Israel-Hizballah and Israel–Iran dynamics, to remain volatile.  10月7日のハマスによるイスラエル攻撃に端を発したイスラエルとハマスの紛争により、アブラハム合意によって生成され、中東の安定化の軌道に乗っていた前例のない外交と協力は頓挫した。ガザ地区の情勢、およびイスラエルとヒズボラ、イスラエルとイランの力学は、今後も不安定な状態が続くと予想される。
Even in degraded form, HAMAS continues to pose a threat to Israeli security. The group retains thousands of fighters and much of its underground infrastructure, and probably has used the ceasefire to reinforce and resupply its military and munitions stock so that it can fight again. HAMAS is capable of resuming a low-level guerilla resistance and to remain the dominant political action in Gaza for the foreseeable future. Low expectations on all sides that a ceasefire will endure and the absence of a credible postfighting political and reconstruction plan, portend years of instability.  形を変えてはいるものの、ハマスは依然としてイスラエルの安全保障に対する脅威であり続けている。同組織は数千人の戦闘員と地下インフラの大半を維持しており、おそらく停戦を利用して軍備と弾薬の備蓄を補強し、再供給することで、再び戦えるようにしている。ハマスは低レベルのゲリラ抵抗を再開する能力があり、当面はガザ地区で支配的な政治的行動であり続けるだろう。停戦が長続きするとの期待は各方面で低く、戦後の政治・再建計画に信頼性がないことから、今後何年にもわたって不安定な状態が続くことが予想される。
• While HAMAS’s popularity has declined among Gazans, its popularity remains high among West Bank Palestinians, especially relative to the Palestinian Authority (PA).  • ガザ地区住民の間ではHAMASの人気が低下しているが、ヨルダン川西岸地区のパレスチナ人、特にパレスチナ自治政府(PA)に対する人気は依然として高い。
The long-term Israeli-Palestinian relationship also hinges on the trajectory of an increasingly unstable West Bank. The PA’s weak and declining ability to provide security and other services in the West Bank, Israeli operations in the West Bank, violence from Israeli settlers and Palestinian militant groups including HAMAS, and a potential leadership transition in the PA are likely to exacerbate governance challenges in Ramallah. Much also will depend on how Israel deals with post-conflict Gaza and its operations in the West Bank that may weaken or undermine the PA During the Gaza conflict, Iran encouraged and enabled its various proxies and partners to conduct strikes against Israeli and at times U.S. forces and interests in the region.  イスラエルとパレスチナの長期的な関係も、不安定さを増すヨルダン川西岸地区の動向に大きく左右される。 PAのヨルダン川西岸地区における治安維持やその他のサービス提供能力の低下、イスラエルのヨルダン川西岸地区での活動、イスラエル入植者やハマスを含むパレスチナ武装勢力による暴力、そしてPAの指導部交代の可能性は、ラマラにおけるガバナンスの課題を悪化させる可能性が高い。また、イスラエルが紛争後のガザ地区とヨルダン川西岸地区での活動をどのように行うかによって、PAの弱体化や信頼の失墜につながる可能性もある。
During the Gaza conflict, Iran encouraged and enabled its various proxies and partners to conduct strikes against Israeli and at times U.S. forces and interests in the region. ガザ紛争中、イランは、そのさまざまな代理人やパートナーが、イスラエル軍および時には米国軍やその利益を標的とした攻撃を行うことを奨励し、それを可能にした。
• The Huthis have emerged as the most aggressive actor, attacking commercial shipping in the Red Sea and Indian Ocean, U.S. and European forces, and Israel. In addition to receiving Iranian assistance, the Huthis have expanded their reach by broadening partnerships with other actors, such as Russia and Russian arms brokers, PRC commercial defense companies, al-Shabaab, and Iraqi Shia militants.  • フーシ派は最も攻撃的な勢力として台頭し、紅海とインド洋における商業船舶、米欧軍、イスラエルを攻撃している。イランの支援を受けていることに加え、フーシ派は、ロシアやロシアの武器ブローカー、中国の民間防衛企業、アル・シャバブ、イラクのシーア派武装勢力など、他の勢力との連携を拡大することで、その影響力を拡大している。
• Iraqi Shia militias continue to try to compel a U.S. withdrawal from Iraq through political pressure on the Iraqi government and attacks on U.S. forces in Iraq and Syria.  • イラクのシーア派民兵組織は、イラク政府に対する政治的圧力やイラクおよびシリアにおける米軍への攻撃を通じて、米国のイラク撤退を強要しようとし続けている。
Further fighting between Hizballah and Israel would threaten Lebanon’s fragile stability and any political progress begun by the election of a president in January after years of trying. A resumption of protracted Israeli operations in Lebanon could trigger a sharp rise in sectarian tension, undermine Lebanese security forces, and dramatically worsen humanitarian conditions. Although weakened, Hizballah maintains the capability to target U.S. persons and interests in the region, worldwide, and—to a lesser extent—in the United States.  ヒズボラとイスラエルとのさらなる戦闘は、レバノンの脆弱な安定を脅かすことになり、長年の試行錯誤を経て1月に大統領が選出された後、ようやく始まった政治的進展を台無しにしてしまうだろう。イスラエルによるレバノンでの長期にわたる軍事作戦が再開されれば、宗派間の緊張が急激に高まり、レバノンの治安部隊が弱体化し、人道的状況が劇的に悪化する可能性がある。弱体化しているとはいえ、ヒズボラは、地域、世界、そして(程度は低いが)米国における米国人および米国の利益を標的にする能力を維持している。 
Cyber  サイバー
Iran’s growing expertise and willingness to conduct aggressive cyber operations make it a major threat to the security of U.S. networks and data. Guidance from Iranian leaders has incentivized cyber actors to become more aggressive in developing capabilities to conduct cyber attacks.   イランのサイバー攻撃に関する専門知識と積極的な攻撃実施の意欲の高まりは、米国のネットワークとデータのセキュリティにとって大きな脅威となっている。イラン指導者からの指示により、サイバー攻撃能力の開発において、サイバーアクターはより積極的な姿勢を取るようになった。 
Malign Influence Activities   悪意のある影響活動 
Iran often amplifies its influence operations with offensive cyber activities. During the Israel-HAMAS conflict, U.S. private industry tracked Iranian influence campaigns and cyber attacks.  イランは、攻撃的なサイバー活動により、影響活動の規模を拡大することが多い。イスラエルとハマスの紛争中、米国の民間企業はイランの影響キャンペーンとサイバー攻撃を追跡した。
•  In June 2024, an IRGC actor compromised an email account associated with an individual with informal ties to then-former President Trump’s campaign and used that account to send a targeted spear-phishing email to individuals inside the campaign itself. The IRGC subsequently tried to manipulate U.S. journalists into leaking information illicitly acquired from the campaign.   • 
2024年6月、革命防衛隊の工作員が、当時大統領であったトランプ氏の非公式な支援者と関係のある人物の電子メールアカウントを侵害し、そのアカウントを使用して、キャンペーン内部の関係者に標的を絞ったスピアフィッシングメールを送信した。その後、革命防衛隊は、キャンペーンから不正に入手した情報を漏洩するように米国のジャーナリストを操ろうとした。 
WMD  大量破壊兵器
We continue to assess Iran is not building a nuclear weapon and that Khamenei has not reauthorized the nuclear weapons program he suspended in 2003, though pressure has probably built on him to do so.  In the past year, there has been an erosion of a decades-long taboo on discussing nuclear weapons in public that has emboldened nuclear weapons advocates within Iran’s decisionmaking apparatus. Khamenei remains the final decisionmaker over Iran’s nuclear program, to include any decision to develop nuclear weapons.   我々は、イランが核兵器を製造していないこと、また、ハメネイ師が2003年に中断した核兵器開発計画を再開するよう圧力がかかっている可能性はあるものの、再開の指示を出していないというアセスメントを継続している。この1年で、核兵器について公に議論することに対する数十年にわたるタブーが崩れ、イランの意思決定機関内の核兵器推進派が勢いづいている。ハメネイは、核兵器開発の決定も含め、イランの核開発計画に関する最終的な決定権を依然として有している。
Iran very likely aims to continue R&D of chemical and biological agents for offensive purposes. Iranian military scientists have researched chemicals that have a wide range of sedation, dissociation, and amnestic incapacitating effects, and can also be lethal.  イランは、攻撃目的の化学・生物剤の研究開発を継続する意図を持っている可能性が高い。イランの軍事科学者は、広範囲の鎮静、解離、記憶喪失による無力化効果を持つ化学物質を研究しており、致死性もある。
Iran’s Challenges  イランの課題
Iranian leaders recognize the country is at one of its most fragile points since the Iran-Iraq war, which probably weighs on their strategic calculus and confidence in their approach toward the region, the United States, and U.S. partners. They face growing political, social, economic, and regional pressures, leaving Iran increasingly vulnerable to regime-threatening instability and external interference.   イランの指導者たちは、イランがイラン・イラク戦争以来最も脆弱な状況にあることを認識しており、それが戦略的計算や、地域、米国、米国の同盟国に対するアプローチへの自信を損なっている可能性がある。イランは、政治、社会、経済、地域的な圧力の高まりに直面しており、体制を脅かす不安定化や外部からの干渉に対してますます脆弱になっている。 
NORTH KOREA  北朝鮮
Strategic Overview  戦略概観
North Korean leader Kim Jong Un will continue to pursue strategic and conventional military capabilities that target the Homeland, threaten U.S. and allied armed forces and citizens, and enable Kim to undermine U.S. power and reshape the regional security environment in his favor. Kim’s newly cemented strategic partnership with Russia is yielding financial benefit, diplomatic support, and defense cooperation. The partnership with Moscow also helps reduce Pyongyang’s reliance on Beijing. North Korea’s advancing strategic weapons capabilities and increasing access to revenue are enabling Kim’s longstanding goals of securing international acceptance as a nuclear power, reducing U.S. military presence on the Korean Peninsula, expanding state control over the North’s economy, and blocking foreign influence.   北朝鮮の指導者である金正恩は、自国を標的とし、米国および同盟国の軍隊と国民を脅かす戦略および通常戦力の追求を継続し、それによって米国の力を弱体化させ、地域の安全保障環境を自国に有利なように再形成することを可能にする。 金正恩が新たに強化したロシアとの戦略的パートナーシップは、財政的利益、外交支援、および防衛協力をもたらしている。また、モスクワとのパートナーシップは、平壌の中国への依存度を低減させることにも役立っている。北朝鮮の戦略兵器能力の向上と収益へのアクセス拡大は、核保有国として国際的に認知されること、朝鮮半島における米国の軍事的プレゼンスを低減させること、北朝鮮経済に対する国家統制を拡大すること、そして外国の影響を排除することを長年の目標としてきた金委員長の目的を達成するのに役立っている。
• In June 2024, Kim and Putin signed a comprehensive strategic agreement for sweeping economic and technology partnerships. Kim also is using the agreement’s mutual defense clause, which commits each country to provide military assistance if either is invaded by a foreign power, to justify deploying combat troops to fight against Ukraine.  2024年6月、金委員長とプーチン大統領は、広範な経済および技術提携に関する包括的な戦略的合意に署名した。また、キムは、いずれかの国が外国勢力に侵略された場合、相互に軍事支援を行うことを定めた相互防衛条項を利用して、ウクライナと戦うための戦闘部隊の展開を正当化している。
• Kim has no intention of negotiating away his strategic weapons programs, which he perceives as a guarantor of regime security and national pride, because they threaten the Homeland, U.S. forces in the region, and U.S. allies like South Korea and Japan. He is increasing North Korea’s nuclear warhead stockpile and improving its ballistic missile technology; for example, North Korea conducted three launches in 2024 of what it claimed were IRBMs equipped with maneuverable, hypersonic payloads.  キムは、自国の安全と国家の誇りを保証するものとして認識している戦略兵器計画を放棄するつもりはない。なぜなら、それは祖国、同地域における米軍、そして韓国や日本といった米国の同盟国を脅かすものだからだ。例えば、北朝鮮は2024年に、機動性のある極超音速ペイロードを搭載したと主張する中距離弾道ミサイル(IRBM)の発射を3回実施した。
• Kim seeks to intimidate the United States and its allies into abandoning opposition to North Korea’s nuclear weapons and its aggression toward South Korea. For example, he responds to U.S. military planning with South Korea and trilateral cooperation with South Korea and Japan by ordering missile launches and threatening nuclear retaliation.  • 金委員長は、米国とその同盟国を威嚇し、北朝鮮の核兵器と韓国への侵略に対する反対を放棄させようとしている。例えば、米国による韓国との軍事計画や、韓国および日本との3か国間協力に対して、ミサイル発射を命じたり、核による報復をちらつかせることで対応している。
• North Korea will continue to defy international sanctions and engage in illicit activities, including stealing cryptocurrency, sending labor overseas, and trading UN-proscribed goods to resource and fund Kim’s priorities, including ballistic missiles and WMD.  • 北朝鮮は、国際的な制裁に引き続き抵抗し、暗号通貨の窃盗、労働者の海外派遣、国連が禁止する物資の取引など、弾道ミサイルや大量破壊兵器など、金正恩の優先事項である資源や資金の調達につながる違法行為を継続する。
Kim will act aggressively to counter activities he views as undermining the regime and threaten to use force when he perceives U.S. and allied actions as challenging North Korea’s sovereignty, undermining his power, or aiming to curb his nuclear and missile ambitions. Pyongyang is expanding its capacity for coercive operations and using new tactics as it becomes more confident in its nuclear deterrent. Since coming to power, Kim generally has relied on non-lethal coercive activities, including missile demonstrations and cross-border balloon launches of refuse, to win concessions and counter U.S. and South Korean military, diplomatic, and civilian activities.  金正恩は、体制を脅かすと見なす活動に対しては積極的に対抗し、米国および同盟国の行動が北朝鮮の主権を脅かし、権力を弱体化させ、あるいは核およびミサイル開発の野望を抑制しようとしていると認識した場合には、武力行使の威嚇を行うだろう。平壌は、核抑止力に対する自信を強めるにつれ、強制作戦能力を拡大し、新たな戦術を使用している。政権獲得以来、キムは、ミサイル発射実験や、廃棄物を載せた気球を国境を越えて飛ばすなど、非殺傷型の強制活動に主に頼り、譲歩を引き出すとともに、米国および韓国の軍事、外交、民間活動に対抗してきた。
• North Korea uses threats to try to stop South Korean efforts to disseminate information in the North, which he views as destabilizing his control. Kim in the past has challenged South Korea’s de facto maritime boundary claims and may do so again, raising the prospects of renewed clashes along the Northern Limit Line.  • 北朝鮮は、韓国が北朝鮮国内で情報を流そうとするのを阻止しようと脅しをかけている。韓国のこうした動きは、北朝鮮の支配を不安定化させるものだと北朝鮮は考えている。過去にも、金総書記は韓国の事実上の海上境界線主張に異議を唱えており、今後再びそうする可能性もある。そうなれば、北方限界線沿いで再び衝突が起こる可能性が高まる。
• Kim could escalate to more lethal asymmetric activities if he judged North Korea’s efforts at deterrence were not working and he needed to send a stronger message. He also could resort to these lethal activities if he believed doing so would intimidate South Korea or the United States into changing its policies to be more favorable to the North while minimizing the risk of retaliation.  • 抑止努力が功を奏していないと判断し、より強いメッセージを送る必要があると判断した場合、キムはより致命的な非対称活動にエスカレートする可能性がある。また、報復のリスクを最小限に抑えつつ、韓国や米国に政策変更を迫り、北朝鮮に有利な方向に導くことができると判断した場合にも、こうした致命的な活動に訴える可能性がある。 
WMD  大量破壊兵器
Kim remains committed to increasing the number of North Korea’s nuclear warheads and improving its missile capabilities to threaten the Homeland and U.S. forces, citizens, and allies, and to weaken U.S. power in the AsiaPacific region, as evidenced by the pace of the North’s missile flight tests and the regime’s public touting of its uranium enrichment capabilities. North Korea is probably prepared to conduct a nuclear test and continues to flight test ICBMs so Kim can threaten the Homeland. Russia is increasingly supporting North Korea’s nuclear status in exchange for Pyongyang’s support to Moscow’s war against Ukraine.  キムは、北朝鮮の核弾頭の数を増やし、ミサイル能力を改善して、米国本土や米軍、米国民、同盟国を脅威にさらし、アジア太平洋地域における米国の力を弱体化させることに依然として力を注いでいる。これは、北朝鮮によるミサイル発射実験のペースや、同政権によるウラン濃縮能力の公表からも明らかである。北朝鮮は、おそらく核実験を実施する用意があり、キムが米国本土を脅かすことができるよう、ICBMの発射実験を継続している。ロシアは、ウクライナに対するモスクワの戦争に対する平壌の支援と引き換えに、北朝鮮の核保有をますます支援している。
North Korea maintains its CBW capabilities and may use such weapons in a conflict or in an unconventional or clandestine attack against the United States or its allies.  北朝鮮は、生物化学兵器(CBW)の能力を維持しており、米国またはその同盟国に対する紛争または非通常型または秘密裏の攻撃において、そのような兵器を使用する可能性がある。
Military  軍事
North Korea’s military poses a lethal threat to U.S. forces and citizens in South Korea and the region by its ability to launch massive conventional strikes across the DMZ and continued investment in niche capabilities designed to deter outside intervention and offset enduring deficiencies in the country’s conventional forces. The North’s conventional military capabilities also provide Kim with options to advance his political objectives through coercion.   北朝鮮軍は、非対称戦能力への継続的な投資により、朝鮮半島全域にわたる大規模な通常攻撃能力を維持しており、米軍および韓国および地域の米国民に致命的な脅威をもたらしている。また、北朝鮮の通常戦力は、外部からの介入を抑止し、同国の通常戦力の恒常的な欠陥を相殺することを目的としたニッチ能力への投資も継続している。北朝鮮の通常戦力は、金委員長が威嚇により政治的目標を達成するための選択肢も提供している。
• The North Korean military would struggle to execute combined-arms maneuver warfare because its ground, air, and navy forces remain heavily reliant on Soviet-era equipment and lack adequate training, despite the investments to improve conventional capabilities.  • 北朝鮮軍は、通常戦力の改善に向けた投資にもかかわらず、陸軍、空軍、海軍が依然として旧ソ連時代の装備に大きく依存しており、また十分な訓練も不足しているため、統合機甲戦を遂行するのは困難である。
• Kim will continue to prioritize efforts to build a more capable missile force—from cruise missiles to ICBMs and hypersonic glide vehicles—designed to evade U.S. and regional missile defenses, improve the North’s precision strike capabilities, and put U.S. and allied forces at risk.  キムは、米国および地域のミサイル防衛を回避し、北朝鮮の精密攻撃能力を向上させ、米国および同盟軍をリスクにさらすことを目的とした、巡航ミサイルから大陸間弾道ミサイル(ICBM)や極超音速滑空機に至るまで、より強力なミサイル部隊の構築を優先する取り組みを継続するだろう。
Pyongyang is positioned to gain technical expertise for its weapons developments in exchange for its munitions sales to Moscow, which could accelerate North Korea’s testing and deployment efforts. Combat experience in the Russia-Ukraine war also could help Pyongyang strengthen its training and become more tactically proficient.   平壌は、兵器開発の技術的専門知識を得るために、モスクワへの兵器販売と引き換えに、その立場を利用している。これは、北朝鮮の試験および展開努力を加速させる可能性がある。また、ロシア・ウクライナ戦争での戦闘経験は、平壌の訓練を強化し、戦術的な熟練度を高めるのに役立つ可能性がある。 
Cyber  サイバー
North Korea is funding its military development—allowing it to pose greater risks to the United States—and economic initiatives by stealing hundreds of millions of dollars per year in cryptocurrency from the United States and other victims. Looking forward, the North may also expand its ongoing cyber espionage to fill gaps in the regime’s weapons programs, potentially targeting defense industrial base companies involved in aerospace, submarine, or hypersonic glide technologies.  北朝鮮は、米国やその他の犠牲者から年間数億ドル相当の暗号通貨を盗むことで、軍事開発や経済イニシアティブに資金を提供しており、米国に対するリスクをさらに高めている。今後、北朝鮮は、現在進行中のサイバースパイ活動を拡大し、政権の武器プログラムのギャップを埋める可能性もある。その場合、航空宇宙、潜水艦、極超音速滑空技術に関わる防衛産業基盤企業が標的となる可能性がある。 
North Korea’s Challenges  北朝鮮の課題
North Korea will continue to struggle overcoming the damage Kim’s need for absolute control and aggressive policies—and the isolation these create—does to the country’s economic strength and viability. Kim has so far been able to advance his WMD and missile programs and continue to threaten his neighbors and the United States, but this has come at the expense of his people and the country’s overall health. The regime’s recentralization campaign is meant to ensure the long-term survival of Kim family rule, but its periodic crackdowns restrict economic activity, threaten livelihoods, and promote inefficient state controls, contributing to food shortages and eroding civil order because of the violent crime they increasingly encourage.  北朝鮮は、金総書記の絶対的な支配欲と攻撃的な政策、そしてそれらがもたらす孤立が同国の経済力と存続能力に与える打撃を克服するのに苦闘し続けるだろう。金総書記はこれまで、大量破壊兵器とミサイル計画を進展させ、近隣諸国と米国への脅威を継続することができたが、それは自国民と国の健全性を犠牲にしてのことである。体制の再中心化キャンペーンは、金一族による支配の長期存続を確実にすることを目的としているが、その周期的な弾圧は経済活動を制限し、生計を脅かし、非効率な国家統制を促進し、食糧不足の一因となり、凶悪犯罪を助長することで市民の秩序を蝕んでいる。
Kim will struggle to reduce North Korea’s dependence on China—in particular, for access to international banking and imports of critical raw materials, consumer goods, food, and the regime’s crude oil supply—and withstand the influence this gives Beijing.  金総書記は、北朝鮮の中国への依存度を減らすこと、特に国際的な銀行業務へのアクセスや、重要な原材料、消費財、食料、そして政権の原油供給の輸入事業者への依存度を減らすこと、そして、中国が与える影響に耐えることに苦戦することになるだろう。 
ADVERSARIAL COOPERATION  敵対的協力
Cooperation among China, Russia, Iran, and North Korea has been growing more rapidly in recent years, reinforcing threats from each of them individually while also posing new challenges to U.S. strength and power globally. These primarily bilateral relationships, largely in security and defense fields, have strengthened their individual and collective capabilities to threaten and harm the United States, as well as improved their resilience against U.S. and Western efforts to constrain or deter their activities. Russia’s war in Ukraine has accelerated these ties, but the trend is likely to continue regardless of the war’s outcome. This alignment increases the chances of U.S. tensions or conflict with any one of these adversaries drawing in another. China is critical to this alignment and its global significance, given the PRC’s particularly ambitious goals, and powerful capabilities and influence in the world.  中国、ロシア、イラン、北朝鮮間の協力関係は近年急速に拡大しており、各国が単独で米国に脅威を与える能力を強化する一方で、米国の国際的な強さとパワーに新たな課題を突きつけている。主に二国間関係であるこれらの関係は、主に安全保障と防衛分野におけるもので、米国を脅威にさらし、損害を与えるための個々の能力と集団的な能力を強化するとともに、米国や西側諸国の活動抑制や阻止の取り組みに対するレジリエンシーを改善している。ロシアのウクライナ戦争は、これらの結びつきを加速させたが、この傾向は戦争の結果に関わらず継続する可能性が高い。この同盟関係は、米国がこれらの敵対国いずれかと緊張状態に陥る、あるいは紛争に発展する可能性を高める。中国は、その野心的な目標、世界における強力な能力と影響力を考慮すると、この同盟関係と世界的な重要性にとって極めて重要である。
U.S. adversaries’ cooperation has nevertheless been uneven and driven mostly by a shared interest in circumventing or undermining U.S. power, whether it be economic, diplomatic, or military. Concerns over escalation control and directly confronting the United States, as well as some divergent political interests, have tempered the pace and scope of these relationships. The leaders, though, are likely to continue to look for opportunities to collaborate, especially in areas in which there are mutual advantages and they lack other ways of achieving their aims toward or resisting the United States alone.  しかし、米国の敵対国間の協力関係は一様ではなく、主に米国の経済、外交、軍事力の回避または弱体化という共通の利害によって推進されてきた。エスカレーション・コントロールや米国との直接対決に対する懸念、そして政治的利益の相違もあって、これらの関係のペースや範囲は抑制されてきた。しかし、指導者たちは今後も協力の機会を模索し続ける可能性が高い。特に、相互に利益をもたらす分野や、米国に対して単独で目的を達成したり抵抗したりする他の手段を持たない分野においてである。
Russia has been a catalyst for the evolving ties, especially as it grows more reliant on other countries for its objectives and requirements including in but not limited to Ukraine. Moscow has strengthened its military cooperation with other states, especially Pyongyang and Tehran. Russia also has expanded its trade and financial ties, particularly with China and Iran, to mitigate the impact of sanctions and export controls.  特にウクライナに限らず、自国の目的や要求を他国に依存する度合いが高まるにつれ、ロシアは進化する関係の触媒となってきた。モスクワは、特に平壌やテヘランといった他国との軍事協力関係を強化している。また、ロシアは制裁や輸出規制の影響を緩和するために、特に中国やイランとの貿易や金融関係を拡大している。
• The PRC is providing economic and security assistance to Russia’s war in Ukraine through support to Moscow’s defense industrial base, including by providing dual-use material and components for weapons. China’s support has improved Russia’s ability to overcome material losses in the war and launch strikes into Ukraine. Trade between China and Russia has been increasing since the start of the war in Ukraine, helping Moscow to withstand U.S. sanctions.  • 中国は、兵器用のデュアルユース材料や部品の提供など、モスクワの防衛産業基盤への支援を通じて、ウクライナにおけるロシアの戦争に経済的および安全保障上の支援を提供している。中国の支援により、ロシアは戦争による物的損失を克服し、ウクライナへの攻撃を開始する能力が改善された。ウクライナでの戦争開始以来、中国とロシア間の貿易は増加しており、米国の制裁に耐えるモスクワを支援している。
• Iran has become a key military supplier to Russia, especially of UAVs, and in exchange, Moscow has offered Tehran military and technical support to advance Iranian weapons, intelligence, and cyber capabilities.  • イランはロシアにとって重要な軍事供給国となり、特に無人機を供給している。その見返りとして、モスクワはイランの兵器、情報、サイバー能力の向上を目的とした軍事・技術支援をテヘランに提供している。
• North Korea has sent munitions, missiles, and thousands of combat troops to Russia to support the latter’s war against Ukraine, justified as fulfilling commitments made in the Treaty on Comprehensive Strategic Partnership that Pyongyang and Moscow announced in June 2024.  • 北朝鮮は、ロシアがウクライナと戦うのを支援するために、軍需品、ミサイル、数千人の戦闘部隊をロシアに送った。これは、2024年6月に平壌とモスクワが発表した「包括的戦略的パートナーシップ条約」に基づく義務の履行であると正当化されている。
Cooperation between China and Russia has the greatest potential to pose enduring risks to U.S. interests. Their leaders probably believe they are more capable of countering perceived U.S. aggression together than alone, given a shared belief that the United States is seeking to constrain each adversary.  中国とロシアの協力関係は、米国の利益に持続的なリスクをもたらす可能性が最も高い。両国の指導者は、米国がそれぞれの敵対国を抑制しようとしているという共通認識があることから、単独よりも協力した方が米国の攻撃に対抗できると考えているだろう。
• For at least a decade, Beijing and Moscow have used high-profile, combined military activities primarily to signal the strength of the China–Russia defense ties. This relationship has deepened during the Russia-Ukraine war, with China providing Russia dual-use equipment and weapons components to sustain combat operations. 
少なくとも過去10年間、北京とモスクワは主に中国とロシアの防衛関係の強さを示すために、注目度の高い合同軍事活動を展開してきた。この関係は、ロシアがウクライナと戦争している間、深まった。中国は戦闘活動を維持するために、ロシアに多用途の装備や武器部品を提供している。
• Russia has increased its oil and liquefied natural gas (LNG) exports to China in an effort to maintain revenues in the face of sanctions by Western states. 
ロシアは、欧米諸国の制裁にもかかわらず、収益を維持するために、中国への石油と液化天然ガス(LNG)の輸出を増やしている。
• China is using its increased cooperation with Russia to attain a stronger presence in the Arctic and legitimize its influence there. One area of cooperation is China’s production of icebreaker ships that enable safe passage through Arctic waters. 
中国はロシアとの協力関係を強化し、北極圏での存在感を高め、影響力を正当化しようとしている。協力分野のひとつは、北極海の安全な航行を可能にする砕氷船の製造である。
• The two countries probably will expand combined bomber patrols and naval operations in the Arctic theater to signal their cooperation and make it more concrete. In November, they also agreed to expand their cooperation on developing the NSR for its economic potential and as an alternative to Western dominated routes.  • 両国は、協力関係を明確に示すため、北極圏における爆撃機による共同パトロールや海軍作戦を拡大する可能性が高い。また、11月には、経済的可能性と欧米諸国が支配する航路の代替案として、NSRの開発における協力関係を拡大することでも合意した。

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.03.14 米国 インテリジェンス・コミュニティによる2024年の脅威評価 

 

・2023.08.11 米国 国家情報戦略 2023

 

・2023.04.09 米国 インテリジェンスコミュニティーによる2023年脅威評価 (2023.02.06)

・2021.06.06 米国 インテリジェンスコミュニティーによる2021年脅威評価 by ODNI at 2021.04.09

 

 

Continue reading "米国 ODNI 2025 米国インテリジェンス・コミュニティの年次脅威アセスメント (2025.03.25)"

| | Comments (0)

2025.03.27

米国 ODNI 機密扱いのジョン・F・ケネディ大統領暗殺コレクションが公開される (2025.03.18)

こんにちは、丸山満彦です。

年度末は何かと追い込み、駆け込みがあり忙しくなり、ブログのストックが溜まっています...これより重要そうなものもありますが、話題なので遅ればせながら...

 

Office of the Director of National Intelligence: ODNI

プレスリリース...

・2025.03.18 Previously-Classified President John F. Kennedy Assassination Collection Records Now Released

Previously-Classified President John F. Kennedy Assassination Collection Records Now Released 機密扱いのジョン・F・ケネディ大統領暗殺コレクションが公開される
FOR IMMEDIATE RELEASE FOR IMMEDIATE RELEASE
ODNI News Release No. 03-25 ODNI ニュースリリース No.03-25
Previously-Classified President John F. Kennedy Assassination Collection Records Now Released 機密扱いのジョン・F・ケネディ大統領暗殺コレクションが公開される
President Trump ushers in a new era of maximum transparency トランプ大統領は最大限の透明性という新時代を切り開く
WASHINGTON, D.C. - President Donald J. Trump promised maximum transparency and a commitment to rebuild the trust of the American people in the Intelligence Community (IC) and federal agencies. Part of that promise was to fully release previously-classified records related to the assassinations of President John F. Kennedy, Senator Robert F. Kennedy, and the Rev. Dr. Martin Luther King Jr. WASHINGTON, D.C. - ドナルド・J・トランプ大統領は最大限の透明性を約束し、インテリジェンス・コミュニティ(IC)と連邦政府機関に対する米国民の信頼を再構築することを約束した。その約束の一部は、ジョン・F・ケネディ大統領、ロバート・F・ケネディ上院議員、マーティン・ルーサー・キング・ジュニア牧師の暗殺に関連する、これまで機密扱いだった記録を完全に公開することだった。
President Trump's Executive Order 14176 stated, "the continued redaction and withholding of information from records pertaining to the assassination of JFK is not consistent with the public interest and the release of these records is long overdue." The President announced that these records should be released without redactions on Tuesday, March 18. トランプ大統領の大統領令14176は、「JFK暗殺に関連する記録から情報を冗長化し、非公開にし続けることは公共の利益に合致せず、これらの記録の公開はずっと遅れている 」と述べている。大統領は3月18日(火)、これらの記録を冗長化することなく公開すべきであると発表した。
Upon receiving the President's decision, Director of National Intelligence (DNI) Tulsi Gabbard immediately sent out a directive across the IC conveying his directive to provide all unredacted records within the President John F. Kennedy Assassination Records Collection to the National Archives and Records Administration (NARA) for immediate release. 大統領の決定を受け、トゥルシー・ガバード国家情報長官(DNI)は直ちに、ジョン・F・ケネディ大統領暗殺記録コレクション内のすべての未修正記録を国立公文書記録管理局(NARA)に提供し、即時公開するようにとの指示をIC全体に伝達した。
Starting today, the records will be available to access either online at archives.gov/jfk, or in person, via hard copy or on analog media formats, accessible to the American people at National Archives at College Park, MD. Records that are currently only available for in-person viewing are being digitized and will be uploaded to the archives.gov/jfk repository in the coming days. DNI Gabbard will post updates on X (@DNIGabbard) and Truth Social (@DNlTulsiGabbard) as the files are released. The files will also be available on the White House’s website. 本日より、これらの記録はarchives.gov/jfkでオンライン閲覧が可能になるほか、メリーランド州カレッジパークにある国立公文書館で、米国民がアクセス可能なハードコピーやアナログメディア形式で直接閲覧できるようになる。現在、対面でのみ閲覧可能な記録はデジタル化されており、近日中にarchives.gov/jfkのリポジトリにアップロードされる予定である。ガバード国防長官は、ファイルが公開され次第、X(@DNIGabbard)とトゥルース・ソーシャル(@DNlTulsiGabbard)で最新情報を投稿する。ファイルはホワイトハウスのウェブサイトでも公開される。
This release consists of approximately 80,000 pages of previously-classified records that will be published with no redactions. Additional documents withheld under court seal or for grand jury secrecy, and records subject to section 6103 of the Internal Revenue Code, must be unsealed before release. NARA is working with the Department of Justice to expedite the unsealing of these records. Grand juries from many years ago have already seen them, so most of this information is already out, but regardless of this, this information will be immediately released upon the direction of the Court. 今回の公開は、約80,000ページに及ぶ機密文書で構成されており、朱書きなしで公開される。裁判所の封印や大陪審の秘匿のために保留されている追加文書、および内国歳入法第6103条の対象となる記録は、公開前に封印を解かなければならない。NARAは司法省と協力して、これらの記録の封印解除を急いでいる。何年も前の大陪審はすでにこれらの記録を見ているので、この情報のほとんどはすでに公開されているが、それにもかかわらず、裁判所の指示があれば、これらの情報は直ちに公開される。
Thank you for your attention to this matter. この件にご関心を持っていただき感謝する。

 

1_20250327060001

 


ファイルはこちらに...

国立アーカイブス

National Archives

JFK Assassination Records

 

すごい量...

 

 

 


 

1月のホワイトハウスの発表...

 

U.S. White House

大統領令...

・2025.01.23 Declassification of Records Concerning the Assassinations of President John F. Kennedy, Senator Robert F. Kennedy, and the Reverend Dr. Martin Luther King, Jr.

Declassification of Records Concerning the Assassinations of President John F. Kennedy, Senator Robert F. Kennedy, and the Reverend Dr. Martin Luther King, Jr. ジョン・F・ケネディ大統領、ロバート・F・ケネディ上院議員、キング牧師の暗殺に関する記録の機密解除について
View the JFK Files here. ファイルはこちらから
By the authority vested in me as President by the Constitution and the laws of the United States of America, it is hereby ordered as follows: 米国憲法および米国法により大統領として私に与えられた認可により、ここに以下の通り命ずる:
Section 1.  Policy and Purpose.  More than 50 years after the assassinations of President John F. Kennedy, Senator Robert F. Kennedy, and the Reverend Dr. Martin Luther King, Jr., the Federal Government has not released to the public all of its records related to those events.  Their families and the American people deserve transparency and truth.  It is in the national interest to finally release all records related to these assassinations without delay. 第1条 政策と目的 ジョン・F・ケネディ大統領、ロバート・F・ケネディ上院議員、マーティン・ルーサー・キング・ジュニア牧師の暗殺から50年以上が経過したが、連邦政府はこれらの事件に関するすべての記録を公開していない。 彼らの遺族とアメリカ国民は、透明性と真実を知る権利がある。 これらの暗殺に関連するすべての記録を遅滞なく最終的に公開することは、国益にかなうことである。
The President John F. Kennedy Assassination Records Collection Act of 1992 required all records related to the assassination of President Kennedy to be publicly disclosed in full by October 26, 2017, unless the President certifies that:  (i) continued postponement is made necessary by an identifiable harm to the military defense, intelligence operations, law enforcement, or conduct of foreign relations; and (ii) the identifiable harm is of such gravity that it outweighs the public interest in disclosure.  President John F. Kennedy Assassination Records Collection Act of 1992, section 5(g)(2)(D), Public Law 102-526, 106 Stat. 3443, 3448–49, codified at 44 U.S.C. 2107 note. 1992年に制定されたジョン・F・ケネディ大統領暗殺記録収集法は、ケネディ大統領暗殺に関連するすべての記録を、大統領が次のように証明しない限り、2017年10月26日までに全面的に公開することを義務付けている: (i)軍事防衛、情報活動、法執行、外交関係の遂行に識別可能な弊害があるため、公開の延期が必要であり、(ii)識別可能な弊害は、公開の公益を上回るほど重大である。 1992年ジョン・F・ケネディ大統領暗殺記録収集法(President John F. Kennedy Assassination Records Collection Act of 1992)第5条(g)(2)(D)、公法102-526、106 Stat.
I previously accepted proposed redactions from executive departments and agencies (agencies) in 2017 and 2018, but ordered the continued re-evaluation of those remaining redactions.  See Temporary Certification for Certain Records Related to the Assassination of President John F. Kennedy, 82 Fed. Reg. 50,307–08 (Oct. 31, 2017); Certification for Certain Records Related to the Assassination of President John F. Kennedy, 83 Fed. Reg. 19, 157–58 (Apr. 26, 2018).  In the Presidential Memorandum of April 26, 2018, I also ordered agencies to re-review each of those redactions over the next 3 years and disclose information that no longer warrants continued withholding under the standard set forth in section 5(g)(2)(D) of the President John F. Kennedy Assassination Records Collection Act of 1992. 私は以前、2017年と2018年に行政省庁(エージェンシー)からの修正案を受け入れたが、残りの修正案について継続的な再評価を命じた。 ジョン・F・ケネディ大統領暗殺に関連する特定の記録に関する一時的認証、82 Fed. 50,307-08 (Oct. 31, 2017); Certification for Certain Records Related to the Assassination of President John F. Kennedy, 83 Fed. Reg. 19, 157-58 (Apr. 26, 2018)がある。 2018年4月26日の大統領覚書において、私はまた、各省庁に対し、今後3年間にわたりこれらの冗長化のそれぞれを再検討し、1992年ジョン・F・ケネディ大統領暗殺記録収集法第5条(g)(2)(D)に規定された標準のもとで、もはや非公開を継続する必要がない情報を開示するよう命じた。
President Biden issued subsequent certifications with respect to these records in 2021, 2022, and 2023, which gave agencies additional time to review the records and withhold information from public disclosure.  See Temporary Certification Regarding Disclosure of Information in Certain Records Related to the Assassination of President John F. Kennedy, 86 Fed. Reg. 59,599 (Oct. 22, 2021); Certifications Regarding Disclosure of Information in Certain Records Related to the Assassination of President John F. Kennedy, 87 Fed. Reg. 77,967 (Dec. 15, 2022); Certification Regarding Disclosure of Information in Certain Records Related to the Assassination of President John F. Kennedy, 88 Fed. Reg. 43,247 (June 30, 2023). バイデン大統領はその後、2021年、2022年、2023年にこれらの記録に関して認証を行い、各省庁に記録を見直し、情報公開を差し控えるための追加の時間を与えた。 ジョン・F・ケネディ大統領暗殺に関連する特定の記録の情報公開に関する一時的証明書、86 Fed. 59,599 (Oct. 22, 2021); Certifications Regarding Disclosure of Information in Certain Records Related to the Assassination of President John F. Kennedy, 87 Fed. 77,967(2022年12月15日);ジョン・F・ケネディ大統領暗殺に関連する特定の記録の情報開示に関する証明書、88 Fed. 43,247(2023年6月30日)である。
I have now determined that the continued redaction and withholding of information from records pertaining to the assassination of President John F. Kennedy is not consistent with the public interest and the release of these records is long overdue.  And although no Act of Congress directs the release of information pertaining to the assassinations of Senator Robert F. Kennedy and the Reverend Dr. Martin Luther King, Jr., I have determined that the release of all records in the Federal Government’s possession pertaining to each of those assassinations is also in the public interest. 私は今、ジョン・F・ケネディ大統領の暗殺に関連する記録から情報を墨消しし、非公開にし続けることは公共の利益に合致せず、これらの記録の公開はとうに過ぎていると判断した。 また、ロバート・F・ケネディ上院議員およびマーティン・ルーサー・キング・ジュニア牧師の暗殺に関連する情報の公開を指示する法律は議会には存在しないが、私は、これらの各暗殺に関連する連邦政府が保有するすべての記録の公開も公共の利益にかなうと判断した。
     Sec. 2.  Declassification and Disclosure.  (a)  Within 15 days of the date of this order, the Director of National Intelligence and the Attorney General shall, in coordination with the Assistant to the President for National Security Affairs and the Counsel to the President, present a plan to the President for the full and complete release of records relating to the assassination of President John F. Kennedy. 第2条 機密解除と開示 (a) 本命令の日付から15日以内に、国家情報長官および司法長官は、国家安全保障問題担当大統領補佐官および大統領顧問と連携して、ジョン・F・ケネディ大統領暗殺に関する記録の完全かつ完全な公開のための計画を大統領に提示する。
     (b)  Within 45 days of the date of this order, the Director of National Intelligence and the Attorney General shall, in coordination with the Assistant to the President for National Security Affairs and the Counsel to the President, review records related to the assassinations of Senator Robert F. Kennedy and the Reverend Dr. Martin Luther King, Jr., and present a plan to the President for the full and complete release of these records. (b) この命令の日付から45日以内に、国家情報長官および司法長官は、国家安全保障問題担当大統領補佐官および大統領顧問弁護士と連携して、ロバート・F・ケネディ上院議員およびマーティン・ルーサー・キング・ジュニア牧師の暗殺に関する記録を見直し、これらの記録の完全かつ完全な公開に関する計画を大統領に提示する。
     Sec. 3.  General Provisions.  (a)  Nothing in this order shall be construed to impair or otherwise affect: 第3条 一般規定。 (a) 本命令のいかなる規定も、
(i)   the authority granted by law to an executive department or agency, or the head thereof; or (i) 法律により行政部、行政機関、またはその長に与えられた認可、または
(ii)  the functions of the Director of the Office of Management and Budget relating to budgetary, administrative, or legislative proposals. (ii) 予算案、行政案、立法案に関する行政管理予算局局長の機能を損なう、またはその他の影響を与えるものと解釈されてはならない。
     (b)  This order shall be implemented consistent with applicable law and subject to the availability of appropriations. (b) 本命令は、適用法に従い、充当可能な予算に応じて実施されるものとする。
     (c)  This order is not intended to, and does not, create any right or benefit, substantive or procedural, enforceable at law or in equity by any party against the United States, its departments, agencies, or entities, its officers, employees, or agents, or any other person. (c) 本命令は、米国、その省庁、事業体、その役員、職員、代理人、またはその他の者に対し、いかなる当事者も法律上または衡平法上執行可能な、実質的または手続き上の権利または利益を創出することを意図したものではなく、また創出しない。
THE WHITE HOUSE, THE WHITE HOUSE,
    January 23, 2025. 2025年1月23日。

 

ファクトシート...

・2025.01.23 Fact Sheet: President Donald J. Trump Orders Declassification of JFK, RFK, and MLK Assassination Files

Fact Sheet: President Donald J. Trump Orders Declassification of JFK, RFK, and MLK Assassination Files ファクトシート:ドナルド・J・トランプ大統領、JFK、RFK、MLK暗殺ファイルの機密解除を命じる
PROVIDING AMERICANS THE TRUTH AFTER SIX DECADES OF SECRECY: Today, President Donald J. Trump signed an Executive Order entitled Declassification of Records Concerning the Assassinations of President John F. Kennedy, Senator Robert F. Kennedy, and the Reverend Doctor Martin Luther King Jr. 60年にわたる秘密主義の末、アメリカ国民に真実を伝える: 本日、ドナルド・J・トランプ大統領は「ジョン・F・ケネディ大統領、ロバート・F・ケネディ上院議員、 MLK暗殺に関する記録の機密解除」と題する大統領令に署名した。
The Executive Order establishes the policy that, more than 50 years after these assassinations, the victims’ families and the American people deserve the truth. この大統領令は、これらの暗殺から50年以上が経過し、犠牲者の遺族と米国民は真実を知るに値するという方針を確立するものである。
Specifically, the Order directs the Director of National Intelligence and other appropriate officials to: 具体的には、同大統領令は国家情報長官およびその他の適切な当局者に対し、
(1) Present a plan within 15 days for the full and complete release of all John F. Kennedy assassination records; and (1) ジョン・F・ケネディ暗殺の全記録の完全かつ完全な公開に向けた計画を15日以内に提示すること、
(2) Immediately review the records relating to the Robert F. Kennedy and Martin Luther King Jr. assassinations and present a plan for their full and complete release within 45 days. (2) ロバート・F・ケネディおよびマーティン・ルーサー・キング・ジュニア暗殺に関する記録を直ちに見直し、45日以内に完全かつ完全な公開に向けた計画を提示すること、を指示する。
PRESIDENT TRUMP IS ENDING THE ENDLESS DELAYS: In his first term, President Trump ordered agencies to move toward disclosing more information about the John F. Kennedy assassination, and now he is ordering that the work be completed. トランプ大統領は際限のない遅延に終止符を打つ:トランプ大統領はその最初の任期において、ジョン・F・ケネディ暗殺に関するより多くの情報を開示する方向で動くよう各機関に命じたが、現在はその作業を完了させるよう命じている。
The President John F. Kennedy Assassination Records Collection Act of 1992 required all records related to the assassination be released in 25 years, absent a presidential certification that: 1992年に制定されたジョン・F・ケネディ大統領暗殺記録収集法は、大統領による証明がない限り、暗殺に関連するすべての記録を25年以内に公開することを義務付けていた:
Continued postponement is necessary due to an identifiable harm to the military defense, intelligence operations, law enforcement, or conduct of foreign relations; and 軍事防衛、諜報活動、法執行、外交関係の遂行に識別可能な弊害があるため、継続的な延期が必要であり、
Such identifiable harm is of such gravity that it outweighs the public interest in disclosure. そのような識別可能な弊害は、開示における公共の利益を上回るほど重大なものである。
In October 2017 and April 2018 certifications, President Trump directed agencies to reevaluate redactions and disclose any information that no longer warranted withholding. 2017年10月と2018年4月の認証で、トランプ大統領は各省庁に対し、冗長性を再評価し、もはや非公開を正当化しない情報を開示するよう指示した。
President Biden delayed disclosure in 2021, 2022, and 2023. バイデン大統領は2021年、2022年、2023年の開示を延期した。
In this Order, President Trump finds that continued withholding of the John F. Kennedy records is not in the public interest and is long overdue. He also concludes that releasing the Robert F. Kennedy and Martin Luther King Jr. assassination records is in the public interest. 今回の命令でトランプ大統領は、ジョン・F・ケネディの記録の非公開を続けることは公共の利益に反すると判断し、その期限はとうに過ぎている。また、ロバート・F・ケネディとマーティン・ルーサー・キング・ジュニアの暗殺記録の公開は公共の利益にかなうと結論づけた。
PRESIDENT TRUMP DELIVERS ON PROMISE TO RELEASE ASSASSINATION RECORDS: President Trump promised during his campaign to release assassination records to give Americans the truth. トランプ大統領、暗殺記録公開の約束を果たす:トランプ大統領はキャンペーン中、アメリカ人に真実を伝えるために暗殺記録を公開すると約束した。
President Trump pledged on multiple occasions to release the JFK files, specifically stating in June 2024 that he would do so “early on.” トランプ大統領は何度もJFKのファイルを公開すると約束し、特に2024年6月には 「早期に 」公開すると述べた。
President Trump: “When I return to the White House, I will declassify and unseal all JFK assassination related documents. It’s been 60 years, time for the American people to know the TRUTH!” トランプ大統領 「ホワイトハウスに戻ったら、JFK暗殺関連文書の機密指定を解除し、封印を解く。60年ぶりだ。アメリカ国民が真実を知る時だ!」

 

JFK Files...

JFK Files

JFK Files JFKファイル
“A nation that is afraid to let its people judge the truth and falsehood in an open market is a nation that is afraid of its people.” – John F. Kennedy "国民に真実と虚偽を公開市場で判断させることを恐れる国家は、国民を恐れる国家である。」 - ジョン・F・ケネディ
Assassination Records 暗殺記録
Read online, search by keyword, or download. Promises made, promises kept. オンラインで読む、キーワードで検索する、ダウンロードする。約束は守られた

 

 

| | Comments (0)

米国 ODNI 中国共産党指導部の富と腐敗活動 (2025.03.10)

こんにちは、丸山満彦です。

米国の国家情報長官室()が中国共産党指導部の富と腐敗活動に関する報告書を公表していますね...公開されている情報は公開情報に基づく部分だけのようですが、いろいろと過去から調査はしているのでしょうね...

権力にからんだCorruption(汚職、腐敗)は中国のendemic(風土病)と評されていますね...古くから中国の影響を受けてきた日本を含む東南アジア共通の問題なのかもしれません...

習近平主席は汚職問題には積極的に取り組んできている印象ですが、なかなか根深い問題なのだろうと思います。汚職などで後ろめたいことをしている人は、敵国から見れば協力者となり得えますよね...

 

・2025.03.10 Wealth and Corrupt Activities of the Leadership of the Chinese Communist Party

・[PDF]

20250327-50152

 

 

Wealth and Corrupt Activities of the Leadership of the Chinese Communist Party  中国共産党指導部の富と腐敗活動
Contents  目次
Executive Summary  エグゼクティブ・サマリー
Wealth and Corrupt Activities of the Leadership of the Chinese Communist Party  中国共産党指導部の富と腐敗活動
Corruption and Anti-Corruption  腐敗と反腐敗
Senior-level Corruption  上級レベルの腐敗
Executive Summary  エグゼクティブ・サマリー
This report is provided by the Office of the Director of National Intelligence (ODNI) in response to section 6501 of the Intelligence Authorization Act for Fiscal Year 2023 (Pub.L. No. 117-263).  This unclassified report addresses the wealth and corrupt activities of the leadership of the Chinese Communist Party (CCP).   本報告書は、2023会計年度情報認可法(Pub.L. No.117-263)の第6501条に対応して、国家情報長官室(ODNI)が提供するものである。この非機密の報告書は、中国共産党(CCP)指導部の富と腐敗活動を取り上げている。 
This product was drafted by ODNI’s National Intelligence Council, National Intelligence Officer for China.  この製品はODNIの国家情報会議、中国担当国家情報官によって起草された。
Wealth and Corrupt Activities of the Leadership of the Chinese Communist Party  中国共産党指導部の富と汚職活動
Corruption is an endemic feature of and challenge for China, enabled by a political system with power highly centralized in the hands of the CCP, a CCP-centric concept of the rule of law, a lack of independent checks on public officials, and limited transparency.  President Xi Jinping launched a sweeping campaign to address persistent corruption in China in 2012, and in the ensuing years the campaign has investigated—and found guilty— nearly five million officials at all levels of government.  Corruption in China often involves money in the form of different types of bribery or graft, and open-source research has demonstrated that some officials and their families have amassed significant wealth due to their positions and connections.  However, Xi’s anti-corruption campaign more deeply reflects a party-directed securitization, or a targeting of political indiscipline and ideological impurity, particularly at the highest levels of government, in an effort to preserve the CCP’s domestic control and legitimacy.  汚職は中国の風土病であり、中国共産党に権力が高度に集中した政治システム、中国共産党中心の法治概念、公務員に対する独立したチェック機能の欠如、限られた透明性によって可能になった中国にとっての課題である。習近平国家主席は2012年、中国に根強く残る汚職に対処するための徹底的なキャンペーンを開始し、その後数年間で、このキャンペーンは政府のあらゆるレベルの約500万人の役人を調査し、有罪判決を下した。中国の腐敗には、さまざまな種類の贈収賄や接待という形で金銭が絡んでいることが多く、オープンソースの調査によると、一部の官僚やその家族は、その地位や人脈によって巨額の富を築いていることが明らかになっている。しかし、習近平の反腐敗キャンペーンは、中国共産党の国内支配と正当性を維持するために、党が指示した安全化、つまり、特に政府の最高レベルにおける政治的不規律とイデオロギー的不純物を標的としていることをより深く反映している。
A lack of transparency within China, pervasive government censorship, and the absence of rules regarding disclosures of leaders’ finances challenges public research on issues of corruption or leaders’ personal wealth.  The powerful Central and regional Commissions for Discipline Inspection (CDI) are the lead organizations for enforcing anticorruption in China and operate at all levels of government.  These organizations publish some data that helps to illuminate the scope of anti-corruption investigations in China and also provide indications of the extent of corruption overall.  中国国内における透明性の欠如、政府による検閲の蔓延、指導者の財政の開示に関するルールの不在は、汚職や指導者の個人的な富の問題に関する公的な調査を困難にしている。強力な中央および地方の規律検査委員会(CDI)は、中国の腐敗防止を執行する主要組織であり、政府のあらゆるレベルで活動している。これらの組織は、中国における反腐敗調査の範囲を明らかにするのに役立ついくつかのデータを公表しており、全体的な腐敗の程度を示す指標も提供している。
Corruption and Anti-Corruption  腐敗と反腐敗
Academic studies show corruption has been prevalent in China since its founding, with particular intensification over the years of sharp economic growth in the 1980s and 1990s.  Many academics and observers claim corruption since 2000 is so widespread that it undermines the regime’s legitimacy.  学術的な研究によれば、中国では建国以来腐敗が蔓延しており、1980年代から1990年代にかけての急激な経済成長期には特にその傾向が強まった。多くの学者やオブザーバーは、2000年以降の腐敗は政権の正当性を損なうほど蔓延していると主張している。
Consistent with this analysis, when Xi came to power in 2012, he launched a sweeping anti-corruption campaign, vowing to take a “zero tolerance” approach targeting “flies” (low-level cadres) and “tigers” (senior officials) alike.  His campaign has also targeted officials at department and bureau levels, as well as county and division levels.  From 2012 through 2022, the Central Commission for Discipline Inspection (CCDI) and the National Supervisory Commission investigated nearly five million people within the government and CCP, finding 4.7 million officials guilty.  In his words, Xi intended to make government officials “unable and unwilling to be corrupt.”   習近平は2012年に政権に就くと、「ハエ」(下級幹部)と「トラ」(上級幹部)の両方をターゲットにした「ゼロ・トレランス」アプローチを取ることを宣言し、徹底的な反腐敗キャンペーンを開始した。彼のキャンペーンは、県やディビジョンレベルだけでなく、部や局レベルの幹部も対象としている。2012年から2022年まで、中央紀律検査委員会(CCDI)と国家監督委員会は政府・中国共産党内の500万人近くを調査し、470万人の幹部を有罪とした。習近平の言葉を借りれば、政府高官を 「腐敗できない、腐敗したくない 」存在にするつもりだったのだ。 
Xi uses the anti-corruption campaign to eliminate rampant corruption that undermines Party legitimacy and control and, in select cases, to target his political rivals.  Xi has linked rooting out corruption with internal Party discipline and ideological commitment, viewed as critical to China’s stability and ability to achieve its long-term ambitions.  Corruption in China is framed as a political crime and a sign of disloyalty and ideological impurity, highlighting its importance to the Party and serving as a warning against any internal disobedience.  Government propaganda highlights the CCP’s commitment and self-sacrifice and promotes a narrative characterizing corrupt officials as political enemies of the state.  Purged officials, particularly at higher and more visible levels of government, are often first publicly accused of serious violations of Party discipline.  In 2021 the CCDI described anti-corruption as “a severe political struggle” that “undermined the Party’s leadership and unity.”  In 2024, the campaign targeted more than 50 senior government officials.  習近平は反腐敗キャンペーンを、党の正統性と統制を損なう横行する腐敗を排除するため、また一部のケースでは政敵を標的にするために利用している。習近平は腐敗の根絶を党内の規律やイデオロギー的なコミットメントと結びつけており、中国の安定と長期的な野望を達成する能力にとって極めて重要であるとみなしている。中国における汚職は政治犯罪であり、不忠とイデオロギー的不純の表れという枠組みでとらえられ、党にとっての重要性を強調し、党内のあらゆる不服従に対する警告となっている。政府のプロパガンダは中国共産党の献身と自己犠牲を強調し、汚職官僚を国家の政敵とする物語を推進する。粛清された官僚、特に政府高官や目立つレベルの官僚は、党の規律に対する重大な違反で最初に公に非難されることが多い。2021年、CCDIは反腐敗を「党の指導力と団結を損なう厳しい政治闘争」と表現した。2024年、キャンペーンは50人以上の政府高官を対象とした。
Although Xi has not used the campaign primarily to target his political rivals, a drive to eliminate competing power centers factored significantly into decisions made in the initial phases of the campaign.  Early in Xi’s tenure, senior officials with ties to his predecessors were targeted with investigations and arrests.  However, academic analysis of anti-corruption investigations over its 10-year span has not identified a focus on officials with specific factional ties or backgrounds, indicating that the campaign has broadly sought to root out corruption in all levels of government where it exists.  More significantly, political connections to high-ranking officials have not protected officials from prosecution, including those with close personal ties to Xi himself; the anti-corruption campaign has purged top officials considered loyal to Xi and who had risen under his patronage.   習近平はキャンペーンを主に政敵を標的にしたものではなかったが、キャンペーンの初期段階での決定には、競合する権力中枢を排除しようとする動きが大きく影響していた。習近平の就任初期には、習近平の前任者とつながりのある高官が捜査や逮捕の対象となった。しかし、10年間にわたる反腐敗調査の学術的分析によると、特定の派閥とのつながりや経歴を持つ官僚に焦点が当てられていることは確認されておらず、このキャンペーンは、腐敗が存在するあらゆるレベルの政府において、広く腐敗の根絶を目指してきたことを示している。反腐敗キャンペーンは、習近平に忠誠を誓い、習近平の庇護の下で出世した高官を粛清してきた。 
The level of corruption in China almost certainly varies based on the region and level of government.  One scholarly study focusing on one city found that 8- to 65-percent of officials—depending on the official’s rank—received an unofficial income from bribery or graft; a separate study and a survey of public perceptions both estimated that approximately half of Chinese officials have engaged in corruption, especially at the local levels.  These analyses of corruption concluded that bribery could increase an official’s legal earnings four to six times, with higher echelons able to earn more through graft and bribery than those at lower levels of the government, commensurate with their level of access and authority.  The studies collectively demonstrate the endemic nature and widespread perception of corruption within the party-state.  中国における腐敗の度合いは、地域や政府のレベルによってほぼ確実に異なる。ある都市に焦点を当てたある学術的研究によると、役人の8~65%が賄賂や接待から非公式な収入を得ていることがわかった。また、別の研究や国民の意識調査では、中国役人の約半数が、特に地方レベルで汚職に関与していると推定されている。これらの汚職に関する分析では、賄賂によって役人の合法的な収入が4倍から6倍になる可能性があり、政府高官ほど、その地位や権限に見合った、政府下層部の役人よりも多くの収入を接待や賄賂によって得ることができると結論づけている。これらの研究は総体的に、党内腐敗の風土的性質と広範な認識を示している。
Corruption within China is primarily due to structural features that centralize power, eschew independent checks or accountability—especially at the provincial level—and produce perverse incentives for political advancement and financial enrichment.  These features of China’s bureaucratic system entrench incentives for corruption or obstruct efforts to reform the system in numerous ways.  For example:  中国における腐敗の主な原因は、権力を中央集権化し、独立したチェックやアカウンタビリティ(特に地方レベル)を排除し、政治的出世と財政的富裕のための逆インセンティブを生み出す構造的特徴にある。中国の官僚制度のこうした特徴は、汚職のインセンティブを強固にし、制度改革の努力をさまざまな形で妨害している。例えば、次のようなものがある: 
• The CDI organizations primarily responsible for investigating misbehaviors are political organizations that work directly for their Party committees and lack independent external oversight, allowing them to pursue anti-corruption cases in often arbitrary ways.  The CCP is loath to allow external oversight and instead prioritizes self-rectification, probably fearing independent authorities would undermine central control, limiting accountability and any prospects for sweeping reforms.  ・不正行為の調査を主に担当するCDI組織は、党委員会のために直接働く政治組織であり、独立した外部監視がないため、しばしば恣意的な方法で反腐敗事件を追及することができる。中国共産党は外部からの監視を嫌がり、その代わりに自己是正を優先している。おそらく、独立した当局が中央の統制を弱めることを恐れ、説明責任を制限し、抜本的な改革の見通しを立てることを恐れているのだろう。
• Centrally directed economic growth targets for local governments—which must be achieved for career advancement—but decentralized decision-making at provincial and other local levels of government allow significant flexibility in policy implementation.  This structure effectively encourages provincial and local leaders to take illicit actions for personal and professional gain.  ・地方政府の経済成長目標は中央から指示され、出世のためにはそれを達成しなければならないが、省レベルやその他の地方レベルの政府における意思決定は非中央集権化されているため、政策実施には大きな柔軟性がある。このような構造は、州や地方の指導者が個人的・職業的利益のために不正な行動をとることを効果的に奨励している。
• Membership in elite organizations such as the National People’s Congress (NPC) is coveted as a symbol of power and authority, and provides access to sensitive government documents.  Potential benefits of NPC membership incentivize individuals to pay high costs to join, often through bribes, and to accept bribes while a member, or even upon completion of service, to facilitate business deals.  ・全国人民代表大会(NPC)のようなエリート組織への加入は、権力と認可の象徴として切望され、政府の機密文書へのアクセスを提供する。全国人民代表大会(全人代)の会員になることで、潜在的な利益を得ることができるため、多くの場合、賄賂によって高い費用を支払って会員になり、会員である間、あるいは会員を辞めた後でも、ビジネス取引を円滑にするために賄賂を受け取る動機付けとなっている。
Senior-level Corruption  上級レベルの汚職
Specific instances of corruption among more senior CCP leaders are particularly difficult to determine from the outside, despite indications that corruption remains widespread.  One academic study of criminal corruption cases in China found that corruption at the top of the bureaucratic hierarchy was very high and, of those charged with a crime, more than 80 percent of the charges involved bribery.  中国共産党の上級幹部の汚職の具体的な事例は、汚職が依然として蔓延しているという指摘があるにもかかわらず、外部からは特に判断が難しい。中国における汚職事件に関するある学術的研究によると、官僚階層のトップの汚職は非常に多く、罪に問われた者のうち80%以上が贈収賄に関与していた。
Pervasive government censorship and the absence of rules regarding public disclosures of leader finances contribute to a lack of transparency regarding personal wealth in China.  Even so, journalistic research published in 2012 identified that the families of senior leaders, including then-Premier Wen Jiabao and then-incoming President Xi Jinping, had amassed significant wealth.   政府による検閲が蔓延し、指導者の財政の公開に関する規則がないことが、中国における個人の富に関する透明性の欠如を招いている。それでも、2012年に発表されたジャーナリズムの調査によって、温家宝首相(当時)や習近平国家主席(当時)を含む上級指導者の家族が巨額の富を築いていることが明らかになった。 
• Wen’s family—such as his mother, wife, son, and siblings—controlled assets of at least $2.7 billion in 2012.  Similarly, Xi’s siblings, nieces, and nephews held assets worth over $1 billion in business investments and real estate.   ・温家宝首相の家族(母親、妻、息子、兄弟姉妹)は、2012年には少なくとも27億ドルの資産を所有していた。同様に、習近平の兄弟、姪、甥は事業投資や不動産で10億ドル以上の資産を保有していた。 
• This research did not identify investments specifically linked to the leaders themselves, nor did it uncover any direct influence from the leaders contributing to a growth in family investments.  However, their senior-level positions would have granted access to privileged information and both private and state-owned enterprise actions could have advantaged family holdings due to their connections to persons with political power.  Following publication of this research, China tightened information controls and limited access to many foreign news organizations, which continues to challenge public research on issues of senior leader corruption or personal wealth.  ・今回の調査では、習近平指導者自身に関連する投資は特定されなかった。また、習近平指導者が直接的な影響力を行使して、習近平ファミリーへの投資が増加した事実も確認されなかった。しかし、彼らの上級レベルの地位は、特権的な情報へのアクセスを可能にし、政治的権力を持つ人物とのつながりによって、民間企業や国有企業の行動が、一族の保有資産に有利に働いた可能性がある。この調査が発表された後、中国は情報管理を強化し、多くの外国の報道機関へのアクセスを制限したため、上級指導者の汚職や個人的な富の問題に関する公的な調査への挑戦が続いている。
• Xi may have urged family members to divest holdings as he came into power.  However, industry research provides evidence that, as of 2024, Xi’s family retains millions in business interests and financial investments.  While the available data does not link the investments directly to Xi, it is possible that these holdings are managed indirectly on Xi’s behalf.  ・習近平は政権を握るに当たって、一族に持ち株の売却を促したかもしれない。しかし、業界調査では、2024年現在、習近平の一族が数百万ドルの事業利益や金融投資を保持していることを示す証拠がある。入手可能なデータでは、これらの投資が習近平と直接結びついているわけではないが、これらの保有株が習近平に代わって間接的に管理されている可能性はある。
Open-source research shows corruption cases within the CCP Central Committee span leading officials overseeing a range of portfolios and projects.   オープンソースの調査によると、中国共産党中央委員会内の汚職事件は、さまざまなポートフォリオやプロジェクトを監督する主要幹部たちに及んでいる。 
• In 2020, Zhang Wei, a Chinese businessman, was arrested on charges of organizing, leading, and participating in organized crime; illegal detention; and illegal possession of firearms and ammunition.  He was also found guilty in 2021 of illegally absorbing public deposits.   ・2020年、中国の実業家である張偉は、組織犯罪の組織化、指導、参加、不法拘留、銃器・弾薬の不法所持の容疑で逮捕された。彼はまた、2021年に公的預金を不法に吸収した罪で有罪となった。 
• Chen Gang, a former member of the Leading Party Members Group of the China Association for Science and Technology, was accused in 2019 of accepting over $18 million in bribes—at least some of which was likely associated with his role in overseeing citywide construction projects for the 2008 Beijing Olympics.   ・中国科学技術協会指導党員グループの元メンバーである陳剛は2019年、1800万ドル以上の賄賂を受け取ったとして告発された。少なくともその一部は、2008年の北京オリンピックのために市全体の建設プロジェクトを監督する役割に関連していたと思われる。
• In April 2024, Yao Qian, Director of the China Securities Regulatory Commission (CRSC) Department of Technology Supervision, was investigated for “serious violations of discipline and law,” possibly for his role in China’s Central Bank Digital Currency initiative.  The CCDI has investigated at least 16 individuals within the CRSC, with six of those investigations occurring in 2024.   ・2024年4月、中国証券監督管理委員会(CRSC)技術監督部の姚淇部長は、中国の中央銀行デジタル通貨構想に関与したためか、「重大な規律・法律違反」で調査された。CCDIはCRSC内で少なくとも16人を調査しており、そのうち6人は2024年に調査が行われた。 
The anticorruption campaign has targeted rampant leadership corruption and has not shied away from purging high-level officials within the ranks of the People’s Liberation Army (PLA)—which have included a culture of pay-for-promotion that continues even a decade after the anticorruption campaign’s launch.  In 2024, Xi stressed during a speech to military commanders that “the barrels of guns must always be in the hands of those who are loyal and dependable to the Party,” further emphasizing his commitment to Party loyalty and expectations of the same from the military, especially.  His focus on corruption in the PLA may also reflect concerns that corrupt practices will prevent the military from acquiring the capabilities and readiness he has directed it to achieve by 2027, in preparation for a potential conflict over Taiwan.   反腐敗キャンペーンは、横行する指導部の腐敗を標的にし、人民解放軍内部の高官を粛清することから逃げなかった。その中には、反腐敗キャンペーン開始から10年経った今でも続いている昇進報酬の文化も含まれている。2024年、習近平は軍司令官を前にした演説で、「銃の銃身は常に党に忠実で頼りになる者の手に握られていなければならない」と強調し、党への忠誠と軍への期待を強調した。彼がPLAの腐敗に焦点を当てているのは、台湾をめぐる潜在的な紛争に備えて2027年までに達成するよう指示した能力と即応態勢の獲得が、腐敗した慣行によって妨げられることへの懸念も反映しているのかもしれない。
• In 2023, China removed General Li Shangfu, then-Minister of National Defense, investigating both Li and his predecessor after arresting the commander of the PLA Rocket Force (PLARF) and at least nine other current or former PLARF personnel.   ・2023年、中国はPLAロケット軍(PLARF)司令官と少なくとも9人のPLARFの現職または元職員を逮捕した後、李商福国防相(当時)を更迭し、李商福とその前任者を調査した。 
• In 2024, Beijing launched an investigation of Admiral Miao Hua, then-director of the Central Military Commission’s Political Work Department and in charge of political loyalty within China’s armed forces.   ・2024年、北京は当時中央軍事委員会政治工作部部長で中国軍内の政治的忠誠を担当していた苗華提督の調査を開始した。
• Both Li and Miao were accused of Party discipline violations, and both were considered protegees of Xi, demonstrating the seriousness of the CCP’s concerns regarding loyalty and effectiveness—particularly within the PLA—and the scope of the regime’s approach to corruption. ・李も苗も党の規律違反で告発され、ともに習近平の子分とみなされており、中国共産党の忠誠心と実効性に関する懸念の深刻さ、特に中国軍内部における懸念の深刻さ、そして腐敗に対する政権のアプローチの範囲の広さを示している。

| | Comments (0)

2025.03.26

米国 NIST SP 800-228(初期公開ドラフト)クラウドネイティブシステムのAPI防御ガイドライ

こんにちは、丸山満彦です。

NISTがSP 800-228(初期公開ドラフト)クラウドネイティブシステムのAPI保護ガイドライを公表し、意見募集をしていますね...

組織のシステムがクラウドに移行に、各システムの連携がAPIを通じて行われるようになると、APIをいかに守るかということは開発者にとっても、利用者にとっても重要となりますよね...

 

NIST - ITL

・2025.03.25 NIST SP 800-228 (Initial Public Draft) Guidelines for API Protection for Cloud-Native Systems

 

NIST SP 800-228 (Initial Public Draft) Guidelines for API Protection for Cloud-Native Systems NIST SP 800-228(初期公開ドラフト)クラウドネイティブシステムのAPI保護ガイドライ
Announcement 発表
Modern enterprise IT systems rely on a family of application programming interfaces (APIs) for integration to support organizational business processes. Hence, a secure development and deployment of APIs is critical for overall enterprise security. This, in turn, requires the identification of risk factors or vulnerabilities in various phases of the API life cycle and the development of controls or protection measures to prevent their exploits. 現代のエンタープライズITシステムは、組織のビジネスプロセスをサポートする統合のために、アプリケーション・プログラミング・インターフェース(API)ファミリーに依存している。したがって、APIの安全な開発と展開は、エンタープライズ全体のセキュリティにとって極めて重要である。そのためには、APIのライフサイクルの様々な段階におけるリスク要因や脆弱性を特定し、その悪用を防ぐための管理策や防御策を開発する必要がある。
This document addresses the following aspects for achieving that goal: この文書では、その目標を達成するために、次の側面を取り上げる:
a. The identification and analysis of risk factors or vulnerabilities introduced during various activities of API development and runtime, a. API の開発と実行時の様々な活動中に導入されるリスク要因や脆弱性の特定と分析、
b. Recommended basic and advanced controls and protection measures during the pre-runtime and runtime stages of APIs, and b. API の実行前と実行時の段階における、推奨される基本的で高度な制御と保護対策、
c. An analysis of the advantages and disadvantages of various implementation options (i.e., patterns) for those controls to enable security practitioners to adopt an incremental, risk-based approach to securing their APIs. c. セキュリティ担当者が、API の安全性を確保するために、段階的でリスクに基づいたアプローチを採用できるようにするための、 これらの制御の様々な実装オプション(すなわち、パターン)の利点と欠点の分析。
Abstract 概要
Modern enterprise IT systems rely on a family of application programming interfaces (APIs) for integration to support organizational business processes. Hence, a secure deployment of APIs is critical for overall enterprise security. This, in turn, requires the identification of risk factors or vulnerabilities in various phases of the API life cycle and the development of controls or protection measures. This document addresses the following aspects of achieving that goal: (a) the identification and analysis of risk factors or vulnerabilities during various activities of API development and runtime, (b) recommended basic and advanced controls and protection measures during pre-runtime and runtime stages of APIs, and (c) an analysis of the advantages and disadvantages of various implementation options for those controls to enable security practitioners to adopt an incremental, risk-based approach to securing their APIs. 現代のエンタープライズITシステムは、組織のビジネスプロセスをサポートするために、アプリケーション・プログラミング・インターフェース(API)ファミリーの統合に依存している。したがって、APIの安全な展開は、エンタープライズ全体のセキュリティにとって極めて重要である。そのためには、API のライフサイクルの様々な段階におけるリスク要因や脆弱性を特定し、管理策や保護策を開発する必要がある。この文書では、その目標を達成するために、以下の側面を取り上げる:(a) API の開発及び実行時の様々な活動におけるリスク要因又は脆弱性の特定と分析、(b) API の実行前及び実行時の段階における、推奨される基本的及び高度な管理及び保護対策、(c) セキュリティ実務者が API の安全性を確保するために、段階的でリスクに基づいたアプローチを採用できるようにするための、これらの管理に関する様々な実装オプションの利点と欠点の分析。

 

・[PDF] NIST.SP.800-228.ipd

20250326-52859

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序文
1.1. Building Blocks and Structures 1.1. ビルディングブロックと構造
1.2. Zero Trust and APis: The Vanishing Perimeter 1.2. ゼロトラストとAPI: 
1.3. API Life Cycle 1.3. APIのライフサイクル
1.4. Document Goals… 1.4. 文書の目標...
1.5. Relationship to Other NIST Documents 1.5. 他の NIST 文書との関係
1.6. Document Structure 1.6. 文書構造
2. API Risks — Vulnerabilities and Exploits 2. API リスク - 脆弱性とエクスプロイト
2.1. Lack of Visibility of APis in the Enterprise Inventory 2.1. エンタープライズインベントリにおける API の可視性の欠如
2.2. Missing, Incorrect, or Insufficient Authorization 2.2. 認可の欠落、不正確、不十分
2.3. Broken Authentication 2.3. 破られた認証
2.4. Unrestricted Resource Consumption 2.4. 無制限のリソース消費
2.4.1. Unrestricted Compute Resource Consumption 2.4.1. 無制限の計算リソース消費
2.4.2. Unrestricted Physical Resource Consumption  2.4.2. 制限のない物理リソースの消費
2.5. Leaking Sensitive Information to Unauthorized Callers 2.5. 権限のない発信者への機密情報の漏洩
2.6. Insufficient Verification of Input Data 2.6. 入力データの不十分な検証
2.6.1. Input Validation 2.6.1. 入力妥当性確認
2.6.2. Malicious Input Protection 2.6.2. 悪意のある入力保護
2.7. Credential Canonicalization- Preparatory Step for Controls 2.7. クレデンシャルの正規化 - コントロールの準備ステップ
2.7.1. Gateways Straddle Boundaries 2.7.1. ゲートウェイは境界をまたぐ
2.7.2. Requests With a Service Identity but No User ldentity 2.7.2. サービスIDを持つがユーザ IDを持たないリクエスト
2.7.3. Requests With a User Identity But No Service Identity 2.7.3. ユーザーIDを持つがサービスIDを持たないリクエスト
2.7.4. Requests With Both User and Service Identities 2.7.4. ユーザーIDとサービスIDの両方を持つリクエスト
2.7.5. Reaching Out to Other Systems  2.7.5. 他のシステムへのリーチアウト
2.7.6. Mitigating the Confused Deputy 2.7.6. 混乱した代理の緩和
2.7.7. Identity Canonicalization 2.7.7. アイデンティティの正規化
3. Recommended Controls for APls 3. APls
3.1. Pre-Runtime Protections 3.1. 実行前の防御
3.1.1. Basic Pre-Runtime Protections 3.1.1. 基本的なプレランタイム防御
3.1.2. Advanced Pre-Runtime Protections 3.1.2. 高度なプレランタイム防御
3.2. Runtime Protections 3.2. ランタイム防御
3.2.1. Basic Runtime Protections 3.2.1. 基本的なランタイム防御
3.2.2. Advanced Runtime Protections 3.2.2. 高度なランタイム防御
4. Implementation Patterns and Trade-Offs for API Protections 4. API防御の実装パターンとトレードオフ
4.1. Centralized API Gateway 4.1. 集中型APIゲートウェイ
4.2. Hybrid Deployments 4.2. ハイブリッド展開
4.3. Decentralized Gateways 4.3. 非中央集権化ゲートウェイ
4.4. Related Technologies 4.4. 関連技術
4.4.1. Web Application Firewalls 4.4.1. ウェブアプリケーションファイアウォール
4.4.2. Bot Detection 4.4.2. ボット検知
4.4.3. Distributed Denial of Service (DDoS) Mitigation 4.4.3. 分散型サービス拒否(DDoS)緩和
4.4.4. API Endpoint Protection, 4.4.4. API エンドポイント防御、
4.4.5. Web Application and API Protection (WAAP) 4.4.5. ウェブアプリケーション・API防御(WAAP)
4.5. Summary of Implementation Patterns 4.5. 実装パターンのまとめ
5. Conclusions and Summary 5. 結論とまとめ
References 附属書
Appendix A. API Classification Taxonomy  附属書A. APIの分類分類法
A.1. API Classification Based on Degree of Exposure A.1. エクスポージャーの程度に基づくAPIの分類
A.2. API Classification Based on Communication Patterns A.2. コミュニケーションパターンに基づくAPI分類
A.3. API Classification Based on Architectural Style or Pattern (API Types) A.3. アーキテクチャスタイルまたはパターン(APIタイプ)に基づくAPI分類
Appendix B. DevSecOps Phase and Associated Class of API Controls 附属書B. DevSecOpsのフェーズとAPIコントロールの関連クラス

 

 

エグゼクティブサマリーと序文...

Executive Summary  エグゼクティブサマリー
Application programming interfaces (APIs) provide the means to integrate and communicate with the modern enterprise IT application systems that support business processes. However, a lack of due diligence can introduce vulnerabilities and risk factors that exploit the connectivity and accessibility features of APIs. If these vulnerabilities are not identified, analyzed and addressed through control measures, attack vectors could threaten the security posture of the application systems spanned by these APIs. A systematic and effective means of identifying and addressing these vulnerabilities is only possible by treating the development and deployment of APIs as an iterative life cycle using paradigms like DevSecOps. アプリケーションプログラミングインタフェース(API)は、ビジネスプロセスをサポートする最新のエンタープライズITアプリケーションシステムと統合し、コミュニ ケーションするための手段を提供する。しかし、デューディリジェンスの欠如は、APIの接続性とアクセシビリティ機能を悪用する脆弱性とリスク要因を導入する可能性がある。これらの脆弱性が特定され、分析され、管理策を通じて対処されない場合、攻撃ベクトルは、これらのAPIによってスパンされるアプリケーションシステムのセキュリティ体制を脅かす可能性がある。これらの脆弱性を特定し、対処する体系的で効果的な手段は、DevSecOps のようなパラダイムを使用して、 API の開発と展開を反復的なライフサイクルとして扱うことによってのみ可能である。 
This document provides guidance and recommendations on controls and protection measures for secure API deployments in the enterprise. In addition, an analysis of the advantages and disadvantages of various implementation options (called patterns) for those controls enable security practitioners to choose the most effective option for their IT ecosystem.  本文書は、エンタープライズにおける安全なAPI展開のためのコントロールと保護対策に関するガイダンスと推奨を提供する。加えて、これらの管理策の様々な実装オプション(パターンと呼ばれる)の長所と短所を分析することで、セキュリティ担当者が、ITエコシステムに最も効果的なオプションを選択できるようにする。
Developing these controls and analyzing their implementation options should be guided by several overarching principles: このような管理策の策定と実装オプションの分析は、いくつかの包括的な原則によって導 かれなければならない: 
The guidance for controls should cover all APIs, regardless of whether they are exposed to customers/partners or used internally within the enterprise.  管理策のガイダンスは、API が顧客/パートナーに公開されているか、エンタープライズ内部で使用されているかに関係なく、すべての API を対象とすべきである。
With the vanishing of perimeters in modern enterprise IT applications, all controls should incorporate the concept of zero trust.  現代のエンタープライズITアプリケーションでは境界がなくなりつつあるため、全ての管理はゼロトラストの概念を取り入れるべきである。
The controls should span the entire API life cycle and be classified into (a) pre-runtime protections and (b) runtime protections that are then subdivided into basic and advanced protections to enable incremental risk-based adoption.  コントロールはAPIのライフサイクル全体に及び、(a)実行前の防御と(b)実行時の防御に分類され、さらにリスクベースの段階的な導入を可能にするために、基本的な防御と高度な防御に細分化されるべきである。
1. Introduction 1. 序文
Application programming interfaces (APIs) represent an abstraction of the underlying implementation of a digital enterprise. Given the spatial (e.g., on-premises, multiple clouds) and logical (e.g., microservices) nature of current enterprise applications, APIs are needed to integrate and establish communication pathways between internal and third-party services and applications. Informally, APIs are the lingua franca of modern IT systems: they describe what actions users are allowed to take. They are also used in every type of application, including server-based monolithic, microservices-based, browser-based client, and IoT.  アプリケーション・プログラミング・インターフェース(API)は、デジタル・エ ンタープライズの基本的な実装を抽象化した代表者である。現在のエンタープライズ・アプリケーションの空間的(例:オンプレミス、複数のクラウド)かつ論理的(例:マイクロサービス)な性質を考慮すると、APIは内部とサードパーティ・サービスおよびアプリケーション間のコミュニケーション経路を統合し確立するために必要である。非公式に言えば、APIは現代のITシステムの共通語であり、ユーザーがどのようなアクションを取ることができるかを記述している。また、サーバーベースのモノリシック、マイクロサービスベース、ブラウザベースのクライアント、IoTなど、あらゆるタイプのアプリケーションで使用されている。
1.1. Building Blocks and Structures 1.1. ビルディング・ブロックと構造
An Application Programming Interface (API) defines how any two pieces of software communicate – they are ubiquitous in software. An API is a collection of commands or endpoints that operate on data or objects via some protocol. Network-based APIs are APIs built to be consumed by remote applications over the network. Because they’re exposed and consumed over the network, they present a unique set of challenges. The growth of (micro-) service-oriented architectures, coupled with Software-as-a-Service (SaaS) becoming commonplace – which are nearly always delivered via APIs – has resulted in an explosion in network-based APIs across organizations. This document focuses on controls for network-based APIs.  アプリケーション・プログラミング・インターフェース(API)は、2つのソフトウェアがどのようにコミュニケーションするかを定義する。APIは、何らかのプロトコルを介してデータやオブジェクトを操作するコマンドやエンドポイントの集合体である。ネットワークベースのAPIは、ネットワークを介してリモート・アプリケーションから消費されるように作られたAPIだ。ネットワーク上で公開され、消費されるため、APIには独特の課題がある。(マイクロ)サービス指向アーキテクチャの成長と、SaaS(Software-as-a-Service)の一般化(これらはほぼ常にAPI経由で提供される)が相まって、組織全体でネットワークベースのAPIが爆発的に増加した。この文書では、ネットワークベースの API のコントロールに焦点を当てる。
Before we can discuss API controls, we need a common understanding and language for the building blocks, and how they relate to each other. The taxonomy is: an API is composed of a set of API Endpoints; API Endpoints are implemented by Services; at runtime, Requests to a specific API Endpoint are served by Service Instances. An API Gateway hosts many APIs and is responsible for mapping each Request to its target API Endpoint, applying policy for that Endpoint (e.g. authentication and rate limiting), then routing that Request to a Service Instance which implements that API Endpoint.  APIのコントロールについて議論する前に、構成要素とそれらがどのように互いに関連しているかについての共通の理解と言語が必要である。APIはAPIエンドポイントのセットで構成され、APIエンドポイントはサービスによって実装され、実行時に特定のAPIエンドポイントへのリクエストはサービスインスタンスによって処理される。APIゲートウェイは多くのAPIをホストし、各リクエストをターゲットのAPIエンドポイントにマッピングし、そのエンドポイントのポリシー(認証やレート制限など)を適用し、そのAPIエンドポイントを実装するサービスインスタンスにそのリクエストをルーティングする。
20250326-53734
Fig. 1. API, API Endpoint, Service and Service Instance  Fig. API、APIエンドポイント、サービス、サービスインスタンス
Traditionally, we think of network-based APIs as being customer-oriented, partner-oriented, or internal – often called “third-party”, “second-party”, and “first-party” APIs, respectively. Second- and third-party APIs are typically exposed to callers outside of the organization via an API gateway. First-party APIs can be exposed to callers inside of the organization on the same API gateway, but they are also often consumed directly by internal callers without traversing a dedicated API serving stack.  伝統的に、我々はネットワークベースのAPIを顧客指向、パートナー指向、内部指向、それぞれ「サードパーティ」、「セカンドパーティ」、「ファーストパーティ」APIと呼ばれることが多いと考える。セカンドパーティとサードパーティのAPIは通常、APIゲートウェイを介して組織外の呼び出し元に公開される。ファーストパーティAPIは同じAPIゲートウェイ上で組織内部の呼び出し元に公開されることもあるが、専用のAPIサービングスタックを経由せずに内部の呼び出し元によって直接消費されることも多い。
An API is a set of API Endpoints, and a Service implements a set of API Endpoints – so every Service implements some API. We call these Service APIs. Most first-party API integrations happen via the Service API, i.e. they map to a single service. On the other hand, APIs hosted by the API gateway typically have Endpoints that map to many different Services. This is especially common for second- and third-party APIs. We call these Facade APIs, because they present a single facade to an outside caller over (potentially many) different Service APIs. Finally, it’s common that multiple Services are grouped together into an Application – typically along organizational lines (often an Application maps to a team). Schematic diagrams of a Service API, Façade API and an Application (Monolithic) API are given below:  APIはAPIエンドポイントの集合であり、サービスはAPIエンドポイントの集合を実装する。私たちはこれらをサービスAPIと呼んでいる。ほとんどのファーストパーティAPI統合はサービスAPIを介して行われる。一方、APIゲートウェイによってホストされるAPIは通常、多くの異なるサービスにマッピングされるエンドポイントを持っている。これは特にセカンドパーティやサードパーティのAPIによく見られる。このようなAPIをファサードAPIと呼ぶ。なぜなら、ファサードAPIは、(潜在的に多くの)異なるサービスAPI上の単一のファサードを外部の呼び出し元に提示するからである。最後に、複数のサービスがアプリケーションにグループ化されるのはよくあることで、通常は組織的な線に沿っている(多くの場合、アプリケーションはチームにマッピングされる)。サービスAPI、ファサードAPI、アプリケーション(モノリシック)APIの概略図を以下に示す: 
20250326-53845
Fig. 2. (Top to Bottom) Service API, Façade API, Service and Application (Monolithic)  図2(上から下へ)サービスAPI、ファサードAPI、サービス、アプリケーション(モノリシック)
Less formally: we can think of the APIs we expose outside the organization as a facade over a set of Services. Those Services implement internal APIs (Service APIs). Services in the organization communicate with each other via those internal APIs – sometimes directly, and sometimes via an API gateway. The API Gateway is responsible for some policies, like authentication and rate limiting, as well as being responsible for mapping the facade APIs for external clients to internal APIs. Then, to get a handle on things organizationally, we often group related Services into a bucket called an Application.  あまり形式的ではないが、組織の外部に公開するAPIは、一連のサービスを覆うファサードと考えることができる。これらのサービスは内部API(サービスAPI)を実装する。組織内のサービスは、これらの内部APIを介して、時には直接、時にはAPIゲートウェイを介して相互にコミュニケーションする。APIゲートウェイは、認証やレート制限のようなポリシーを担当し、外部クライアントのためのファサードAPIを内部APIにマッピングする役割も担っている。それから、組織的に物事を把握するために、関連するサービスをアプリケーションと呼ばれるバケットにグループ化することが多い。
While we tend to think of APIs in the context of exposing functionality to clients or partners, APIs don’t exist solely at the edge of our infrastructure. Any time systems communicate, there’s some API involved. Even if that API is something like CSV over FTP. The examples in SP focus primarily on “modern” APIs exposed via mechanisms like HTTP/REST, gRPC, or SOAP, but we believe the principals in this SP are universal and should be applied to all APIs.  APIというと、クライアントやパートナーに機能を公開するという文脈で考えがちだが、APIはインフラの端だけに存在するわけではない。システムがコミュニケーションするときには、必ずAPIが関係している。たとえそのAPIがFTP経由のCSVのようなものであってもだ。SPの例は、主にHTTP/REST、gRPC、SOAPのようなメカニズムで公開される 「最新の 」APIに焦点を当てているが、このSPの原則は普遍的であり、すべてのAPIに適用されるべきだと考えている。
1.2. Zero Trust and APIs: The Vanishing Perimeter  1.2. ゼロトラストとAPI 消滅する境界
APIs are built out of services that communicate with each other via APIs, similar to how the internet is a “network of networks.” One of the most important implications of zero trust is that there is no meaningful distinction between an “internal” and “external” caller because the perimeter is the service instance itself. Rather, all callers are trusted if they are authorized to be trusted. This contrasts with traditional approaches to API security in which the only “APIs” are those exposed to “external” callers, and API-oriented controls are only enforced at the perimeter, typically via an API gateway.  APIは、インターネットが 「ネットワークのネットワーク 」であるのと同様に、APIを介して相互にコミュニケーショ ンするサービスから構築される。ゼロトラストの最も重要な意味の1つは、境界がサービスインスタンスそのものであるため、「内部」と「外部」の呼び出し者の間に意味のある区別がないということである。むしろ、すべての呼び出し元は、信頼されることが認可されていれば信頼される。これは、「API」だけが「外部」呼び出し元に公開され、API指向の制御が境界でのみ、典型的にはAPIゲートウェイを介して実施される、APIセキュリティへの従来のアプローチとは対照的である。
NIST Special Publication (SP) 800-207A [6] discusses zero trust at runtime and the principle of shrinking the perimeter to the service instance using the five runtime controls of identity-based segmentation:  NIST 特別刊行物(SP)800-207A [6]は、実行時のゼロトラストと、ID ベースのセグメンテーションの 5 つの実行時コントロールを使用して、境界をサービスインスタンスに縮小する原則について論じている: 
1. Encryption in transit — To ensure message authenticity and prevent eavesdropping, thus preserving confidentiality  1. 転送中の暗号化 - メッセージの認証を保証し、盗聴を防止することで、機密性を保持する
2. Authenticate the calling service — Verify the identity of the software sending requests  2. 呼び出し元サービスの認証 - リクエストを送信するソフトウェアのIDを検証する
3. Authorize the service — Using that authenticated identity, check that the action or communication being performed by the service is allowed  3. サービスを認可する - 認証されたIDを使用して、サービスによって実行され るアクションまたはコミュニケーションが許可されていることを確認する
4. Authenticate the end user — Verify the identity of the entity triggering the software to send the request, often a non-person entity (NPE) (e.g., service account, system account)  4. エンドユーザーを認可する - リクエストを送信するソフトウェアのトリガーとなる事業体(多くの場 合、非人間事業体(NPE)(サービスアカウント、システムアカウントなど)のIDを検証する
5. Authorize the end user to resource access — Using the authenticated end-user identity, check that they are allowed to perform the requested action on the target resource  5. エンドユーザーをリソースアクセスに認可する - 認証されたエンドユーザーアイデンティティを使用して、ターゲッ トリソース上で要求されたアクションを実行することが許可されていることを確認する
Achieving a zero-trust runtime requires applying these five controls to all API communications. This guidance further describes additional controls that are necessary for safe and secure API operations beyond identity-based segmentation. These controls should be enforced on all APIs in a system, including those exposed to the outside world (i.e., public APIs) and those intended only for other applications in a given infrastructure (i.e., internal APIs).  ゼロトラストランタイムを達成するには、これら5つの制御をすべてのAPIコミュニケーションに適用する必要がある。本ガイダンスではさらに、ID ベースのセグメンテーションを超えた、安全でセキュアな API 操作に必要な追加のコントロールについて説明する。これらの管理は、外部に公開されるAPI(すなわち公開API)や、特定のインフラストラクチャー内の他のアプリケーショ ンだけを対象とするAPI(すなわち内部API)を含め、システム内のすべてのAPIに対して実施されるべきである。
1.3. API Life Cycle  1.3. APIのライフサイクル
Like all software, APIs grow and change over time as requirements drift and usage patterns change. They also go through a continuous, iterative life cycle, including:  すべてのソフトウェアと同様に、APIは、要求が変化し、使用パターンが変わるにつれて、時間とともに成長し、変化する。APIもまた、以下のような、継続的で反復的なライフサイクルを経る: 
• Plan, Develop, Build, Test, Release — These “pre-runtime” life cycle phases lead to a service that can be deployed in production.  - 計画、開発、ビルド、テスト、リリース - これらの 「プレランタイム 」ライフサイクルのフェーズは、本番環境に展開できるサービスにつながる。
• Deploy, Operate, Monitor, Feedback — These “runtime” life cycle phases involve running and operating a service in production.  - デプロイ、運用、監視、フィードバック - これらの「ランタイム」ライフサイクルフェーズでは、本番環境でのサービスの実行と運用を行う。
DoD Enterprise DevSecOps Fundamentals [1] provides a detailed description of each phase of the software development life cycle. Application of the DevSecOps paradigm in the context of cloud-native applications can be found in [4][5].  DoD Enterprise DevSecOps Fundamentals [1]は、ソフトウェア開発ライフサイクルの各フェーズの詳細な説明を提供する。クラウドネイティブアプリケーションのコンテキストにおける DevSecOps パラダイムの適用については、[4][5]を参照されたい。
20250326-53950
Fig. 3. DevSecOps life cycle phases  図3. DevSecOps ライフサイクルのフェーズ
1.4. Document Goals 1.4. 文書の目標
The goal of this document is to recommend guidance or controls for API protection. These controls are classified into two categories:  この文書の目標は、API 保護のためのガイダンスやコントロールを推奨することである。これらのコントロールは2つのカテゴリーに分類される: 
1. Pre-runtime API protections — These controls need to be applied when designing and building APIs.  1. ランタイム前のAPI防御 - これらの防御は、APIを設計・構築する際に適用する必要がある。
2. Runtime API protections — These controls need to be applied to every API request that an infrastructure serves, not just at the perimeter.  2. ランタイムAPI防御 - これらの防御は、インフラが提供する全てのAPIリクエストに適用される必要がある。
Each of these two categories is further divided into two subcategories based on organizational maturity (i.e., basic and advanced), which enables enterprises to adopt them based on an incremental risk-based approach. これら2つのカテゴリーはそれぞれ、組織の成熟度(ベーシックとアドバンス)に基づいてさらに2つのサブカテゴリーに分けられ、エンタープライズがリスクベースのアプローチに基づいて段階的に導入できるようになっている。 
A prerequisite for defining any API protection measure or policy irrespective of its category or sub-category is that the protections must be expressed in terms of nouns and verbs that pertain to API components, API endpoint components, API requests, and API responses that in turn contain references to resources/data and operations on those resources. These nouns and verbs form the fundamental surface that is exposed to the consumers of APIs and API endpoints. カテゴリーやサブカテゴリーに関係なく、API 保護対策やポリシーを定義するための前提条件は、保護が API コンポーネント、API エンドポイントコンポーネント、API リクエスト、API レスポンスに関連する名詞と動詞で表現されなければならないことである。これらの名詞と動詞は、APIとAPIエンドポイントの消費者に公開される基本的な表面を形成する。 
1.5. Relationship to Other NIST Documents 1.5. 他のNIST文書との関係
Today, most enterprise software development and integration are based on APIs. Section 1.3 articulated the close relationship between software and APIs, demonstrated that API development and deployment follow the same iterative life cycle as the software, and provided NIST guidance on DevSecOps. 今日、ほとんどのエンタープライズソフトウェアの開発と統合はAPIに基づいている。セクション1.3は、ソフトウェアとAPIの密接な関係を明確にし、APIの開発と展開がソフトウェアと同じ反復的なライフサイクルに従うことを示し、DevSecOpsに関するNISTのガイダンスを提供した。 
Another distinguishing feature of the controls recommended for protecting APIs is the capacity to provide assurance for conforming to the principles of zero trust. This is because there is no distinction between internal and external API requests/calls due to the absence of an identifiable network perimeter and the distributed nature of applications on-premises and multiple clouds. This security assurance can be achieved using authentication and authorization controls using identity-based segmentation [2]. Documents that provide recommendations on the configuration of authentication and authorization controls in the context of cloud-native applications (e.g., [2][3]) are also relevant in the context of configuring controls for API protection.  APIを保護するために推奨される防御のもう一つの特徴は、ゼロトラストの原則に適合する保証を提供する能力である。これは、識別可能なネットワーク境界が存在せず、オンプレミスや複数のクラウドに分散したアプリケーションの性質のため、内部と外部のAPIリクエスト/コールの区別がないためである。このセキュリティ保証は、ID ベースのセグメンテーションを使用した認証と認可のコントロールを使用して達成することができる [2]。クラウドネイティブアプリケーションの文脈における認証と認可の制御の構成に関する推奨を提供する文書(例えば、 [2][3])は、API 保護のための制御の構成の文脈にも関連する。
1.6. Document Structure  1.6. 文書構成
This document is organized as follows:  本文書の構成は以下の通りである: 
• Section 2 looks at the risk factors and vulnerabilities associated with APIs and the attack vectors that could exploit those vulnerabilities.  ・セクション 2 は、API に関連するリスク要因と脆弱性、及び、それらの脆弱性を悪用する攻撃ベクターについて見ている。
• Section 3 recommends controls to protect APIs and classifies them into basic and advanced categories that need to be applied prior to runtime or enforced during runtime.  ・セクション 3 は、API を保護するための防御策を推奨し、実行前に適用する必要がある、あるいは実行中に強制 する必要がある、基本的なカテゴリーと高度なカテゴリーに分類する。
• Section 4 provides a detailed analysis of implementation options or patterns for the controls described in Sec. 3 and outlines the advantages and disadvantages of each pattern.  ・セクション4は、セクション3で説明したコントロールの実装オプションやパターンを詳細に分析し,各パターンの長所と短所を概説する。
• Section 5 provides the summary and conclusions.  ・セクション5は、要約と結論を提供する。
• Appendix A provides the classification taxonomy for APIs.  ・附属書Aは、APIの分類分類法を提供する。
• Appendix B illustrates the API controls related to each DevSecOps phase  ・附属書Bは、DevSecOps の各フェーズに関連する API の管理方法を示している。

 

 

| | Comments (0)

2025.03.25

米国 NIST AI 100-2 E2025 敵対的機械学習:攻撃と緩和策の分類と用語

こんにちは、丸山満彦です、

NISTが、NIST AI 100-2 E2025 敵対的機械学習:攻撃と緩和策の分類と用語を公表していますね...

NIST - ITL

・2025.03.24 NIST AI 100-2 E2025 Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations

NIST AI 100-2 E2025 Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations NIST AI 100-2 E2025 敵対的機械学習:攻撃と緩和策の分類と用語
Abstract 概要
This NIST Trustworthy and Responsible AI report provides a taxonomy of concepts and defines terminology in the field of adversarial machine learning (AML). The taxonomy is arranged in a conceptual hierarchy that includes key types of ML methods, life cycle stages of attack, and attacker goals, objectives, capabilities, and knowledge. This report also identifies current challenges in the life cycle of AI systems and describes corresponding methods for mitigating and managing the consequences of those attacks. The terminology used in this report is consistent with the literature on AML and is complemented by a glossary of key terms associated with the security of AI systems. Taken together, the taxonomy and terminology are meant to inform other standards and future practice guides for assessing and managing the security of AI systems by establishing a common language for the rapidly developing AML landscape. このNISTの信頼性と責任あるAIに関する報告書では、敵対的機械学習(AML)の分野における概念の分類と用語の定義が提供されている。分類は、主要なML手法、攻撃のライフサイクルの段階、攻撃者の目標、目的、能力、知識を含む概念的な階層構造で構成されている。また、本レポートでは、AIシステムのライフサイクルにおける現在の課題を識別し、それらの攻撃の結果を緩和および管理するための対応方法についても説明している。本報告書で使用されている用語は、AMLに関する文献と一致しており、AIシステムのセキュリティに関連する主要用語の用語集によって補完されている。まとめると、この分類法と用語は、急速に発展するAMLの状況に共通言語を確立することで、AIシステムのセキュリティのアセスメントと管理のための他の標準や将来の実践ガイドに情報を提供することを目的としている。

 

・[PDF] NIST.AI.100-2e2025

20250325-53513

・[DOCX][PDF] 仮訳

 

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー 
This NIST Trustworthy and Responsible AI report describes a taxonomy and terminology for ADVERSARIAL MACHINE LEARNING (AML) that may aid in securing applications of artificial intelligence (AI) against adversarial manipulations and attacks.  このNIST Trustworthy and Responsible AIレポートでは、人工知能(AI)のアプリケーションを敵対的な操作や攻撃から保護するのに役立つ、敵対的機械学習(AML)の分類法と用語について説明する
The statistical, data-based nature of ML systems opens up new potential vectors for attacks against these systems’ security, privacy, and safety, beyond the threats faced by traditional software systems. These challenges span different phases of ML operations such as the potential for adversarial manipulation of training data; the provision of adversarial inputs to adversely affect the performance of the AI system; and even malicious manipulations, modifications, or interactions with models to exfiltrate sensitive information from the model’s training data or to which the model has access. Such attacks have been demonstrated under real-world conditions, and their sophistication and impacts have been increasing steadily.  MLシステムの統計的、データ・ベースの性質は、従来のソフトウェア・直面する脅威を越えて、これらのシステムのセキュリティ、プライバシー、安全性に対する攻撃の新たな潜在的ベクトルを開く。これらの課題は、学習データの敵対的な操作の可能性、AIシステムの性能に悪影響を与える敵対的な入力の提供、モデルの学習データやモデルがアクセスできる機密情報を流出させるための悪意ある操作、修正、モデルとの相互作用など、ML操作のさまざまな段階に及ぶ。このような攻撃は実世界の条件下で実証されており、その巧妙さと影響は着実に増大している
The field of AML is concerned with studying these attacks. It must consider the capabilities of attackers, the model or system properties that attackers might seek to violate in pursuit of their objectives, and the design of attack methods that exploit vulnerabilities during the development, training, and deployment phases of the ML life cycle. It is also concerned with the design of ML algorithms and systems that can withstand these security and privacy challenges, a property often known as robustness [274].  AMLの分野は、このような攻撃を研究することにある。この分野では、攻撃者の能力、攻撃者が目的を達成するために犯す可能性のあるモデルやシステムの特性、MLライフサイクルの開発、訓練、展開の各段階における脆弱性を突く攻撃手法の設計を考慮しなければならない。また、このようなセキュリティとプライバシーの課題に耐えることができるMLアルゴリズムとシステムの設計も重要であり、この特性はしばしば頑健性として知られている[274]。 
To taxonimize these attacks, this report differentiates between predictive and generative AI systems and the attacks relevant to each. It considers the components of an AI system including the data; the model itself; the processes for training, testing, and deploying the model; and the broader software and system contexts into which models may be embedded, such as cases where Generative Artificial Intelligence (GenAI) models are deployed with access to private data or equipped with tools to take actions with real-world consequences.  これらの攻撃を分類するために、本レポートでは予測的AIシステムと生成的AIシステムを区別し、それぞれに関連する攻撃を検討する。また、データ、モデル自体、モデルのトレーニング、テスト、展開のプロセス、生成的人工知能(GenAI)モデルが個人データにアクセスできる状態で展開されたり、実世界に影響を及ぼす行動を取るためのツールが装備されている場合など、モデルが組み込まれる可能性のある、より広範なソフトウェアやシステムのコンテキストなど、AIシステムの構成要素を考察する。 
Thus, the attacks within this taxonomy are classified relative to: (i) the AI system type, (ii) the stage of the ML life cycle process in which the attack is mounted, (iii) the attacker’s goals and objectives in terms of the system properties they seek to violate, (iv) the attacker’s capabilities and access, and (v) the attacker’s knowledge of the learning process and beyond.  したがって、この分類法における攻撃は、次のような観点から分類される:(i)AIシステムの種類、(ii)攻撃がれるMLライフサイクルプロセスの段階、(iii)侵害しようとするシステム特性の観点からの攻撃者の目標と目的、(iv)攻撃者の能力とアクセス、(v)学習プロセス以降の攻撃者の知識
This report adopts the concepts of security, resilience, and robustness of ML systems from the NIST AI Risk Management Framework. Security, resilience, and robustness are gauged by risk, which is a measure of the extent to which an entity (e.g., a system) is threatened by a potential circumstance or event (e.g., an attack) and the severity of the outcome should such an event occur. However, this report does not make recommendations on risk tolerance (i.e., the level of risk that is acceptable to organizations or society) because it is highly contextual and specific to applications and use cases.  本報告書では、NIST AIリスクマネジメントフレームワークから、MLシステムのセキュリティ、レジリエンス、ロバスト性の概念を採用している。セキュリティ、レジリエンス、ロバスト性は、事業体(例えばシステム)が潜在的な状況や事象(例えば攻撃)によって脅かされる程度と、そのような事象が発生した場合の結果の重大性を示す尺度であるリスクによって測られる。ただし、 リスク許容度(すなわち、組織や社会が許容できるリスクレベル)については、アプリケーションやユースケースに特有であり、文脈性が高いため、本報告書では提言していない。 
The spectrum of effective attacks against ML is wide, rapidly evolving, and covers all phases of the ML lifecycle — from design and implementation to training, testing, and deployment in the real world. The nature and power of these attacks are different and their impacts may depend not only on the vulnerabilities of the ML models but also the weaknesses of the infrastructure in which the AI systems are deployed. AI system components may also be adversely affected by design and implementation flaws that cause failures outside the context of adversarial use, such as inaccuracy. However, these kinds of flaws are not within the scope of the literature on AML or the attacks in this report.  MLに対する効果的な攻撃の範囲は広く、急速に進化しており、MLのライフサイクルのすべての段階(設計、実装から、訓練、テスト、展開まで)をカバーしている。これらの攻撃の性質と威力はそれぞれ異なり、その影響はMLモデルの脆弱性だけでなく、AIシステムが展開されるインフラの脆弱性にも依存する可能性がある。AIシステムのコンポーネントは、不正確さなど、敵対的な使用の文脈以外で不具合を引き起こす設計や実装の欠陥によっても悪影響を受ける可能性がある。しかし、この種の欠陥は、AMLに関する文献や本レポートの攻撃の範囲外である。
In addition to defining a taxonomy of attacks, this report provides corresponding methods for mitigating and managing the consequences of those attacks in the life cycle of AI systems, and outlines the limitations of widely used mitigation techniques to raise awareness and help organizations increase the efficacy of their AI risk-mitigation efforts. The terminology used in this report is consistent with the literature on AML and is complemented by a glossary that defines key terms associated with the field of AML in order to assist non-expert readers. Taken together, the taxonomy and terminology are meant to inform other standards and future practice guides for assessing and managing the security of AI systems by establishing a common language for the rapidly developing AML landscape. Like the taxonomy, the terminology and definitions are not intended to be exhaustive but rather to serve as a starting point for understanding and aligning on key concepts that have emerged in the AML literature.  本報告書では、攻撃の分類法を定義するだけでなく、AIシステムのライフサイクルにおけるこれらの攻撃の影響を緩和し、マネジメントするための対応する手法をプロバイダとして提供し、広く使用されている緩和手法の限界について概説することで、組織の認識を高め、AIリスク緩和の取り組みの有効性を高める一助としている。本レポートで使用されている用語はAMLに関する文献と一致しており、専門家でない読者を支援するために、AML分野に関連する主要な用語を定義した用語集によって補完されている。この分類法と用語集は、急速に発展しているAMLの状況について共通言語を確立することで、AIシステムのセキュリティをアセスメントし管理するための他の標準や将来の実践ガイドに情報を提供することを意図している。分類法と同様、用語と定義は網羅的なものではなく、AMLの文献に現れた重要な概念を理解し、整合させるための出発点となることを意図している。

 

予測AIシステムの攻撃分類

20250326-31042

 

生成的AIの攻撃分類

20250326-31819

 

| | Comments (0)

2025.03.24

金融庁 「責任ある機関投資家」の諸原則≪日本版スチュワードシップ・コード≫~投資と対話を通じて企業の持続的成長を促すために~(案)(2025.03.21)

こんにちは、丸山満彦です。

金融庁が、「責任ある機関投資家」の諸原則≪日本版スチュワードシップ・コード≫~投資と対話を通じて企業の持続的成長を促すために~(案)を公表し、意見募集をしていますね...

改訂案のポイントは次の3つですかね...

  • 協働エンゲージメント
  • 実質株主の透明性向上
  • コードのスリム化/プリンシプル化

形式より実質の重視...

 

金融庁

・2025.03.21 「責任ある機関投資家」の諸原則≪日本版スチュワードシップ・コード≫~投資と対話を通じて企業の持続的成長を促すために~(案)の公表について

 

 

・[PDF] (別紙1)「責任ある機関投資家」の諸原則≪日本版スチュワードシップ・コード≫~投資と対話を通じて企業の持続的成長を促すために~(案)

20250324-84155

 

 ・[PDF] (別紙2)スチュワードシップ・コードの改訂案について


スチュワードシップ・コードの改訂案について

    2025321日金融庁

一 経緯

  1. スチュワードシップ・コードが 2014 2 月に策定されて以来、2017 5月、20203月の2度の改訂を経て、約10年が経過した。コーポレートガバナンス・コードと合わせて、両コードの下で、コーポレートガバナンス改革には一定の進捗が見られる。他方、企業の持続的な成長と中長期的な企業価値向上のため、形式的な対応にとどまることなく、企業と投資家の双方における自律的な意識改革に基づくコーポレートガバナンス改革の実質化が重要である、との指摘がなされている。

  2. こうした中、202467日、「スチュワードシップ・コード及びコーポレートガバナンス・コードのフォローアップ会議」により、「コーポレートガバナンス改革の実践に向けたアクション・プログラム2024」(以下、「アクション・プログラム2024」という。)が公表された。同文書において、スチュワードシップ活動の実質化の観点から、建設的な目的を持った対話に資する協働エンゲージメントの促進や、実質株主の透明性向上に向け、スチュワードシップ・コードの更なる見直しが提言された。

  3. これを受け、202410月から計3回にわたり、「スチュワードシップ・コードに関する有識者会議」を開催し、コード改訂に向けた議論を重ねてきた。こうした議論を踏まえ、今般、スチュワードシップ・コード改訂案(以下、「改訂案」という。)を取りまとめたので、これを公表し、下記「三 意見公募項目」に沿って広く意見を求めることとした。

今後、寄せられた意見を検討し、改訂コードの最終版を公表する。 

二 改訂案の考え方

  1. 企業の持続的な成長と中長期的な企業価値向上を促進する観点からは、コーポレートガバナンス改革の趣旨に沿った実質的な対応をより一層進展させることが重要であり、形式的な体制を整備することのみによってその十分な成果を期待することはできない。また、コードの改訂については、形式的な体制整備に資する一方、同時に細則化により、コンプライ・オア・エクスプレインの本来の趣旨を損ない、コーポレートガバナンス改革の形骸化を招くおそれも指摘されている。「コーポレートガバナンス改革の実質化に向けたアクション・プログラム」(2023426日公表)においては、企業と投資家の自律的な意識改革を促進するための施策や企業と投資家との建設的な対話の実効性を向上させるための施策を基本とし、必要に応じ、その他の施策によりこれを補完していくことが適切との方向性の下、「各コードの改訂時期については、必ずしも従前の見直しサイクルにとらわれることなく、コーポレートガバナンス改革の実質化という観点から、その進捗状況を踏まえて適時に検討することが適切である。」とされた。これに基づき、2023年、2024年にはスチュワードシップ・コードの改訂が見送られた。

  2. 今般の改訂では、大量保有報告制度における「共同保有者」の範囲の明確化を含む金融商品取引法等の改正も踏まえつつ、アクション・プログラム2024 において改訂の必要性があるとの指摘があった、協働エンゲージメントの促進及び実質株主の透明性向上に向けた見直しを行った1。他方で、次に記すように、初の試みとして、本コードのスリム化/プリンシプル化のための見直しも行っている。このような、スチュワードシップ活動の実質化の観点からの見直しにより、署名機関の自律的な意識改革が促進され、企業と投資家との建設的な対話が更に深度ある実効的なものとなっていくことが期待される。今後も、企業と投資家の対話を取り巻く環境の変化やコーポレートガバナンス改革の進捗状況に応じて、改訂の要否を適時に検討していく。検討の際には、実務への浸透・定着の状況も踏まえて、必要に応じスリム化/プリンシプル化も図っていく。

  3. 本コードは、機関投資家が取るべき行動について詳細に規定する「ルールベース・アプローチ」(細則主義)ではなく、機関投資家が各々の置かれた状況に応じて、自らのスチュワードシップ責任をその実質において適切に果たすことができるよう、いわゆる「プリンシプルベース・アプローチ」(原則主義)を採用している。三度目の改訂となる今般の改訂案では、本コード本来の姿であるこの「プリンシプルベース・アプローチ」の原点に立ち返り、その趣旨を徹底する観点から、例えば、策定・改訂時から一定期間が経過し実務への浸透が進んだ箇所等を削除・統合・簡略化するなど、スリム化/プリンシプル化を図った。もっとも、削除・統合・簡略化された箇所についてその趣旨の重要性が否定されるものではないことに留意が必要である。

  4. 本コードは法令とは異なり、法的拘束力を有する規範ではない。その上で、いわゆる「コンプライ・オア・エクスプレイン」(原則を実施するか、実施しない場合には、その理由を説明するか)の手法を採用している。すなわち、本コードの原則の中に、自らの個別事情に照らして実施することが適切でないと考える原則があれば、それを「実施しない理由」を十分に説明することにより、一部の原則を実施しないことも想定している。今後、改訂コードの受入れ・実施に当たっては、この「コンプライ・オア・エクスプレイン」の手法の趣旨が、コードの署名機関である機関投資家等のみならず、顧客・受益者にあらためて再認識されることが重要である。また、コードの署名機関と投資先企業が継続的に対話を行うことで、この「コンプライ・オア・エクスプレイン」の手法の趣旨が、投資先企業を含めた幅広い関係者に浸透し、また全うされることにもつながると考えられる。

  5. アクション・プログラム2024においても、本コードの見直しにあたり、議決権行使と対話は点と線の関係にあり、議決権行使(点)に至るまでの対話の過程(線)で、どのような対話をすることが重要かという意識をもつことや、エンゲージメントの成果を意識し検証することが重要であるとの指摘がなされた。企業の持続的な成長と中長期的な企業価値向上に向けた、投資家と企業の「緊張感のある信頼関係」に基づいた対話が行われることが重要である。インベストメント・チェーンを構成する各主体に対して様々な取組が求められる中2、スチュワードシップ活動の実質化を後押しする本コードは、コーポレートガバナンス改革において引き続き重要な役割を担っている。改訂コードの活用により、対話がより一層実効的なものとなっていくことが期待される。

三 意見公募項目

(実質株主の透明性向上)【原則4】

問1-1. 現行コードの注15に「機関投資家が投資先企業との間で対話を行うに当たっては、自らがどの程度投資先企業の株式を保有しているかについて企業に対して説明することが望ましい場合もある」とある部分を、指針に格上げし、「機関投資家は、投資先企業との間で建設的に対話を行うために、投資先企業からの求めに応じて、自らがどの程度投資先企業の株式を保有しているかについて企業に対して説明すべき」(改訂案指針4-2)と記載することについてどう考えるか、及びその理由。

問1-2. 上記に加え、投資先企業から求めがあった場合の対応方針についてあらかじめ公表しておくべき旨を記載することについてどう考えるか、及びその理由。

2 なお、アセットオーナーについては、本コードとは別に、アセットオーナーが受益者等の最善の利益を勘案して、その資産を運用する責任(フィデューシャリー・デューティー)を果たしていく上で有用と考えられる共通の原則を定めた「アセットオーナー・プリンシプル」が策定されている(2024年8月28日公表)。

(協働エンゲージメントの促進)【原則4】

問2-1. 現行コード指針4-5における、「機関投資家が投資先企業との間で対話を行うに当たっては、単独でこうした対話を行うほか、必要に応じ、他の機関投資家と協働して対話を行うこと(協働エンゲージメント)が有益な場合もあり得る」との記載を、「機関投資家が投資先企業との間で対話を行うに当たっては、単独でこうした対話を行うほか、他の機関投資家と協働して対話を行うこと(協働エンゲージメント)も重要な選択肢である。対話のあり方を検討する際には、投資先企業の持続的成長に資する建設的な対話となるかを念頭に置くべきである」と改訂することについてどう考えるか、及びその理由。

問2-2. 機関投資家が協働エンゲージメントを行うに当たって留意すべき点はあるか、ある場合にはその理由。

(コードのスリム化/プリンシプル化)【全体】

問3. コード策定・改訂時から一定期間が経過し実務への浸透が進んだ箇所等を、改訂案の通り、削除・統合・簡略化することについてどのように考えるか、及びその理由。

(その他)【全体】

問4. 上記のほか、改訂案の改訂項目に対する意見及びその理由。

以 上


 

・[PDF] (参考1)「責任ある機関投資家」の諸原則≪日本版スチュワードシップ・コード≫~投資と対話を通じて企業の持続的成長を促すために~(案)(実質株主の透明性向上・協働エンゲージメント等に関する改訂案のみ抜粋)

・[PDF] (参考2)「責任ある機関投資家」の諸原則≪日本版スチュワードシップ・コード≫~投資と対話を通じて企業の持続的成長を促すために~(案)(スリム化/プリンシプル化の観点からの改訂案のみ抜粋)

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.06.29 経済産業省 「企業情報開示のあり方に関する懇談会 課題と今後の方向性(中間報告)」を取りまとめ (2024.06.25)

・2024.06.09 金融庁 コーポレートガバナンス改革の実践に向けたアクション・プログラム 2024

・2024.06.03 金融庁 スチュワードシップ・コード及びコーポレートガバナンス・コードのフォローアップ会議(第29回)議事録

・2024.01.18 金融庁 コーポレートガバナンス改革に向けた取組みに関するウェブページを開設 (2024.01.15)

・2021.06.13 金融庁 「コーポレートガバナンス・コードと投資家と企業の対話ガイドラインの改訂について」の公表について

・2021.04.05 コーポレートガバナンス・コード改訂(案)

 

・2021.03.30 英国 意見募集 監査とコーポレートガバナンスに対する信頼の回復:改革に対する提案 at 2021.03.18

 

 

| | Comments (0)

米国 「情報のサイロ化を解消し、無駄、不正、濫用を阻止するための大統領令 」(2025.03.20) とepic.orgによるホワイトハウスが個人データを溜め込むことについての懸念 (2025.03.21)

こんにちは、丸山満彦です。

トランプ大統領が連邦政府に対する改革を実行していますが、影響が大きいのと、進め方が急激かつ、大雑把?なので、いろいろと意見はあるようですが、丁寧にしなければならないところは、後からでも良いので、手当をしておいた方が良いのでしょうね...

 

U.S. White House

20250121-105054

・2025.03.20 Stopping Waste, Fraud, and Abuse by Eliminating Information Silos

Stopping Waste, Fraud, and Abuse by Eliminating Information Silos Stopping Waste, Fraud, and Abuse by Eliminating Information Silos
By the authority vested in me as President by the Constitution and the laws of the United States of America, it is hereby ordered: アメリカ合衆国憲法および法律により大統領として私に与えられた認可により、ここに命じる:
Section 1.  Purpose.  Removing unnecessary barriers to Federal employees accessing Government data and promoting inter‑agency data sharing are important steps toward eliminating bureaucratic duplication and inefficiency while enhancing the Government’s ability to detect overpayments and fraud. 第1条 目的:連邦職員が政府データにアクセスする際の不必要な障壁を取り除き、省庁間のデータ 共有を促進することは、官僚の重複や非効率を排除する重要なステップであると同時に、過 払いや不正を発見する政府の能力を強化するものである。
Sec. 2.  Definitions.  (a)  “Agency” has the meaning given to it in section 3502 of title 44, United States Code, except that such term does not include the Executive Office of the President or any components thereof. 第2条. 定義 :(a) 「政府機関」とは、米国法典第 44 編第 3502 条に規定される意味を有するが、大統領行政 機関またはその構成機関は含まれない。
(b)  “Agency Head” means the highest-ranking official of an agency, such as the Secretary, Administrator, or Director.  With respect to multimember agencies, “Agency Head” means the Chairman or equivalent official. (b) 「省庁の長」とは、長官、行政長官、局長など、省庁の最高位の役人を意味します。 複数メンバーで構成される省庁に関しては、「省庁長」とは、議長またはそれに相当する役人を意味します。
Sec. 3.  Eliminating Information Silos.  (a)  Agency Heads shall take all necessary steps, to the maximum extent consistent with law, to ensure Federal officials designated by the President or Agency Heads (or their designees) have full and prompt access to all unclassified agency records, data, software systems, and information technology systems — or their equivalents if providing access to an equivalent dataset does not delay access — for purposes of pursuing Administration priorities related to the identification and elimination of waste, fraud, and abuse.  This includes authorizing and facilitating both the intra- and inter-agency sharing and consolidation of unclassified agency records. 第3条 情報の縦割りの排除: (a) 省庁の長は、大統領または省庁の長(またはその被指名人)によって指名された連邦職員が、無駄、不正、および乱用の識別と排除に関連する行政の優先事項を追求する目的で、すべての機密扱いのない省庁の記録、データ、ソフトウェアシステム、および情報技術システム(または同等のデータセットへのアクセスを提供してもアクセスが遅れない場合は、これらに相当するもの)に完全かつ迅速にアクセスできるようにするため、法律と矛盾しない最大限の範囲で、必要なすべての措置を講じるものとします。 これには、省庁内および省庁間の非機密記録の共有と統合の認可と促進も含まれます。
(b)  Within 30 days of the date of this order, Agency Heads shall, to the maximum extent consistent with law, rescind or modify all agency guidance that serves as a barrier to the inter- or intra-agency sharing of unclassified information specified in subsection (a) of this section.  Agency Heads shall also review agency regulations governing unclassified data access, including system of records notices, and, within 30 days of the date of this order, submit a report to the Office of Management and Budget cataloging those regulations and recommending whether any should be eliminated or modified to achieve the goals set forth in this order.  Regulatory modifications pursuant to this order are exempt from Executive Order 14192. (b) 本命令の日付から30日以内に、各省庁の長は、法律と矛盾しない最大限の範囲において、本節の(a)項で指定された非機密情報の省庁間または省庁内での共有の障壁となっているすべての省庁ガイダンスを取り消すか、修正しなければなりません。 政府ガバナンスはまた、記録システム通知を含む、未分類のデータ・アクセスに関する政府規制を見直し、本命令の日付から30日以内に、これらの規制の目録を作成し、本命令に定める目標を達成するために撤廃または修正すべきものがあるかどうかを勧告する報告書を行政管理予算局に提出しなければなりません。 本命令に基づく規制の修正は、大統領令14192の適用除外となります。
(c)  Immediately upon execution of this order, Agency Heads shall take all necessary steps, to the maximum extent consistent with law, to ensure the Federal Government has unfettered access to comprehensive data from all State programs that receive Federal funding, including, as appropriate, data generated by those programs but maintained in third-party databases. (c) 本命令の施行後直ちに、各省庁の長は、連邦政府が、連邦資金を受けるすべての州プロ グラムの包括的データに自由にアクセスできるようにするため、法律と整合する最大限の範 囲で、必要なすべての措置を講じるものとし、これには、必要に応じて、これらのプログラ ムによって生成され、サードパーティ・データベースに保持されているデータも含まれるものとす る。
(d)  Immediately upon execution of this order and without limiting the above directives, the Secretary of Labor and the Secretary’s designees shall receive, to the maximum extent consistent with law, unfettered access to all unemployment data and related payment records, including all such data and records currently available to the Department of Labor’s Office of Inspector General. (d) 本命令の執行後直ちに、上記の指令を制限することなく、労働長官および労働長官の被指名人は、法律と整合する最大限の範囲において、労働省監察官室が現在入手可能なすべてのデータおよび記録を含む、すべての失業データおよび関連する支払い記録への自由なアクセスを受けるものとする。
(e)  This order supersedes any prior Executive Orders and rules or regulations subject to direct Presidential rulemaking authority to the extent they serve as a barrier to the inter- or intra-agency sharing of unclassified information as specified in this order. (e) 本命令は、本命令に明記された非機密情報の省庁間または省庁内共有の障害となる限りにおいて、以前の大統領令および大統領直属の認可権限に基づく規則または規制に優先する。
(f)  Agency Heads shall conduct a review of classified information policies to determine whether they result in the classification of materials beyond what is necessary to protect critical national security interests and, within 45 days of the date of this order, submit a report to the Office of Management and Budget cataloguing those classified information policies and recommending whether any should be eliminated or modified to achieve the goals set forth in this order. (f) 国家安全保障局長は、重要な国家安全保障上の利益を保護するために必要以上に資料を分類していないかどうかを判断するため、機密情報政策の見直しを行い、この命令の日付から45日以内に、これらの機密情報政策の目録を作成し、この命令で定められた目標を達成するために、廃止または修正すべきものがあるかどうかを勧告する報告書を行政管理予算局に提出しなければならない。
Sec. 4.  General Provisions.  (a)  Nothing in this order shall be construed to impair or otherwise affect: 第4条 一般規定: (a) 本命令のいかなる規定も、
(i)   the authority granted by law to an executive department or agency, or the head thereof; or (i) 法律により行政省庁またはその長に付与された認可、または
(ii)  the functions of the Director of the Office of Management and Budget relating to budgetary, administrative, or legislative proposals. (ii) 予算案、行政案、立法案に関する行政管理予算局局長の機能を損なう、またはその他の影響を及ぼすと解釈されるものではない。
(b)  This order shall be implemented consistent with applicable law and subject to the availability of appropriations. (b) 本命令は、適用法に従い、充当可能な予算に応じて実施される。
(c)  This order is not intended to, and does not, create any right or benefit, substantive or procedural, enforceable at law or in equity by any party against the United States, its departments, agencies, or entities, its officers, employees, or agents, or any other person. (c) 本命令は、米国、その省庁、事業体、その役員、職員、代理人、その他いかなる者に対しても、法律上または衡平法上執行可能な、実質的または手続き上の権利または利益を創出することを意図したものではなく、また創出するものでもない。

 

 


 

 

Electronic Privacy Information Center: EPIC

20250324-62803

・2024.03.21 PRESS RELEASE: Latest Executive Order Threatens to Shred Federal Privacy Protections, Hoard Personal Data for DOGE Use

PRESS RELEASE: Latest Executive Order Threatens to Shred Federal Privacy Protections, Hoard Personal Data for DOGE Use プレスリリース 最新の大統領令は、連邦政府のプライバシー防御を破砕し、DOGE の使用のために個人データをため込むおそれ
WASHINGTON, D.C. — An executive order issued by President Trump on Thursday signals the administration’s intent to further defy federal privacy safeguards, force states to hand over their own sensitive datasets, and potentially make legally protected statistical information available to the Elon Musk-led DOGE for its own ends. ワシントンD.C. - トランプ大統領が木曜日に発表した大統領令は、連邦政府のプライバシー保護をさらに無視し、各州に独自の機密データ・セットを引き渡すよう強制し、法的に保護された統計情報をイーロン・マスク率いる DOGE が独自の目的のために利用できるようにする可能性があるという政権の意図を示すものです。
The order, which makes no mention of privacy, would consolidate control over federal databases of personal records to an unprecedented degree and grant the “Department of Government Efficiency” (DOGE) sweeping access to nearly every American’s sensitive personal information. プライバシーについて一切言及されていないこの命令は、連邦政府の個人記録データベースをかつてないほど統合管理し、「政府効率化省」(DOGE)にほぼすべてのアメリカ人の機密個人情報への徹底的なアクセスを許可するものです。
“It’s clear the president and the DOGE think there’s no scrap of Americans’ personal data they shouldn’t have access to, no matter what the law says,” said EPIC Director of Litigation John Davisson. “The only ‘abuse’ here is coming from inside the White House. The president should immediately rescind this executive order.” 「大統領とDOGEが、法律がどうであれ、アメリカ人の個人データにアクセスすべきでないものはないと考えているのは明らかです。ここでの唯一の 「乱用 」は、ホワイトハウス内部からのものです。大統領は直ちにこの大統領令を撤回すべきです。
The order directs agencies to “take all necessary steps” to ensure that “Federal officials designated by the President . . . have full and prompt access to all unclassified agency records, data, software systems, and information technology systems[.]” Agencies are directed to identify regulations and documents—many of which are required by law—that “should be eliminated or modified” for this purpose. この大統領令は、「大統領によって指名された連邦政府職員が......完全かつ迅速に......アクセスできる」ようにするため、「必要なすべての措置をとる」よう各省庁に指示しています。......すべての機密扱いのない機関の記録、データ、ソフトウェアシステム、および情報技術システムに完全かつ迅速にアクセスできるようにするために[]必要なすべての措置を講じること[]」。各省庁は、この目的のために「廃止または修正されるべき」規制や文書(その多くは法律で義務付けられている)を特定するよう指示されています。
The order further requires agencies “to ensure the Federal Government has unfettered access to comprehensive data from all State programs that receive Federal funding,” including data that the federal government and the Musk-led DOGE do not currently have access to. This could give the DOGE access to health, social services, and other sensitive data held by states with no connection to supposed “fraud” or “abuse” at federal agencies.  この命令はさらに、「連邦政府が、連邦資金を受けるすべての州プログラムの包括的データに自由にアクセスできるようにすること」を各機関に求めています。これによりDOGEは、連邦政府機関の「不正」や「乱用」とは無関係に、州が保有する医療、福祉、その他の機密データにアクセスできるようになる可能性があります。
Agencies must also give the Secretary of Labor and his designees “unfettered access to all unemployment data and related payment records,” which may include personal unemployment insurance data and data that by law can only be used for anonymous statistical purposes (such as survey responses collected by the Bureau of Labor Statistics). 各省庁はまた、労働長官とその指名する者に「すべての失業データと関連する支払い記録への自由なアクセス権」を与えなければなりません。このデータには、個人の失業保険データや、法律により匿名の統計目的にのみ使用できるデータ(労働統計局が収集した調査回答など)も含まれます。
Although the order nominally states that agencies should only take actions “consistent with law,” the Elon Musk-led DOGE has already forced agencies to systematically violate the Privacy Act, the Federal Information Security Modernization Act, and other Congressionally-enacted data protection safeguards. この命令は名目上、各省庁は「法律に沿った」行動のみを取るべきとしていますが、イーロン・マスク率いるDOGEはすでに各省庁にプライバシー法、連邦情報セキュリティ近代化法、その他議会で制定されたデータ保護セーフガードに組織的に違反することを強要しています。
EPIC and an anonymous government worker, together with counsel at Democracy Forward, brought suit against the Treasury Department and the Office of Personnel Management last month over prior DOGE database incursions. Other organizations have brought similar cases over DOGE-directed privacy violations across the federal government. EPICと匿名の政府職員は、デモクラシー・フォワードの弁護士とともに、DOGEによる過去のデータベース侵害について先月、財務省および人事管理局を提訴した。他の組織も、連邦政府全体でDOGEによるプライバシー侵害について同様の訴訟を起こしている。
### ###
About EPIC EPICについて
EPIC (the Electronic Privacy Information Center) is a 501(c)(3) non-profit established in 1994 to protect privacy, freedom of expression, and democratic values in the information age through advocacy, research, and litigation. EPIC has long advocated for robust safeguards to protect Americans’ personal information. EPIC has called for greater  transparency in the government’s data collection and privacy practices and brings lawsuits against government entities that have threatened Americans’ civil liberties. EPIC(Electronic Privacy Information Center)は、1994年に設立された501(c)(3)の非営利団体で、アドボカシー活動、調査、訴訟を通じて、情報化時代におけるプライバシー、表現の自由、民主的価値を保護することを目的としています。EPICは長年にわたり、米国人の個人情報を保護するための強固なセーフガードを提唱してきました。EPICは、政府のデータ・コレクションとプライバシー慣行の透明性向上を求め、アメリカ人の市民的自由を脅かした事業体に対して訴訟を起こしています。

 

 

| | Comments (0)

2025.03.23

米国 NIST SP 1800-33(初期公開草案)5G サイバーセキュリティ (2025.03.18)

こんにちは、丸山満彦です。

NISTが5GのサイバーセキュリティについてのガイダンスのエグゼクティブサマリーSP1800-33Aを公表し、意見募集をしていますね...

2021年に最初の文書がでてきてからですから、時間かかっていますね...

 

NIST - ITL

・2025.03.18 NIST SP 1800-33 (Initial Public Draft) 5G Cybersecurity

 

NIST SP 1800-33 (Initial Public Draft) 5G Cybersecurity NIST SP 1800-33(初期公開草案)5G サイバーセキュリティ
Announcement 発表
As 5G rolls out more widely, we must safeguard the technology from cyberattacks since 5G development, deployment, and usage continuously evolves. The NIST National Cybersecurity Center of Excellence (NCCoE)—working with communications and cybersecurity collaborators—is addressing these challenges by developing example solution approaches for safeguarding 5G networks. Using our 5G testbed, the project is demonstrating cybersecurity and privacy measures drawn from 5G standards and cybersecurity practices. 5G がより広く展開されるにつれ、5G の開発、展開、利用が絶えず進化しているため、この技術をサイバー攻撃から保護する必要がある。NIST 国立サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)は、コミュニケーションおよびサイバーセキュリティの協力者と連携し、5G ネットワークを保護するためのソリューション・アプローチの例を開発することで、これらの課題に取り組んでいる。このプロジェクトでは、当社の5Gテストベッドを使用して、5G標準およびサイバーセキュリティの実践から導き出されたサイバーセキュリティおよびプライバシー対策を実証している。
Today, the NCCoE is releasing the draft Executive Summary, NIST SP 1800-33 5G Cybersecurity Volume A. 本日、NCCoEはドラフト版エグゼクティブサマリー「NIST SP 1800-33 5G Cybersecurity Volume A」を公開する。
As the first volume of the practice guide, this document summarizes the most significant cybersecurity and privacy recommendations identified thus far from our research on this project. For more information, project goals and implementation details are being documented in a second NIST Cybersecurity Practice Guide Volume B. In addition, detailed information on 5G cybersecurity and privacy capabilities is also being published as part of a white paper series. この文書は、実務ガイドの第1巻として、このプロジェクトの研究からこれまでに識別された最も重要なサイバーセキュリティおよびプライバシーに関する推奨事項を要約したものである。 詳細については、プロジェクトの目標と実施の詳細が第2巻のNISTサイバーセキュリティ実務ガイド(NIST Cybersecurity Practice Guide Volume B)に記載されている。 また、5Gのサイバーセキュリティおよびプライバシー機能に関する詳細な情報は、ホワイトペーパーシリーズの一部としても公開されている。
Abstract 要約
The National Cybersecurity Center of Excellence (NCCoE) is collaborating with technology providers and other companies on a project to develop example solution approaches for safeguarding 5G networks. These solutions use combinations of cybersecurity and privacy measures drawn from 5G capabilities and recommended practices. Details of the project’s goals and implementation, including its technologies and architectures, along with testbed observations and findings are being documented in a NIST Cybersecurity Practice Guide. As the first volume of the practice guide, this document summarizes the most significant cybersecurity and privacy recommendations from the other volumes. Detailed information on 5G cybersecurity and privacy capabilities is also being published as part of a white paper series. 国立サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)は、5Gネットワークの保護に向けたソリューションの例となるアプローチを開発するプロジェクトにおいて、テクノロジープロバイダやその他の企業と協力している。これらのソリューションは、5Gの機能と推奨されるプラクティスから導き出されたサイバーセキュリティとプライバシー対策の組み合わせを使用する。プロジェクトの目標と実装の詳細、技術やアーキテクチャ、テストベッドの観察結果や知見は、NISTサイバーセキュリティ・プラクティス・ガイドに記載されている。この文書は、実践ガイドの第1巻として、他の巻から最も重要なサイバーセキュリティおよびプライバシーに関する推奨事項をまとめたものである。5Gのサイバーセキュリティおよびプライバシー機能に関する詳細情報は、ホワイトペーパーシリーズの一部としても公開されている。

 

・[PDF] SP 1800-33A ipd

 

20250323-64807

 

5G Cybersecurity | Volume A: Executive Summary
5G サイバーセキュリティ A巻:エグゼクティブサマリー
Purpose and Scope 目的と範囲
The National Cybersecurity Center of Excellence (NCCoE) is collaborating with technology providers and other companies on a project to develop example solution approaches for safeguarding 5G networks. These solutions use combinations of cybersecurity and privacy measures drawn from 5G capabilities and recommended practices. Details of the project’s goals and implementation, including its technologies and architectures, along with testbed observations and findings are being documented in a NIST Cybersecurity Practice Guide. As the first volume of the practice guide, this document summarizes the most significant cybersecurity and privacy recommendations from the other volumes. Detailed information on 5G cybersecurity and privacy capabilities is also being published as part of a white paper series. 国立サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)は、5Gネットワークの保護に向けたソリューションアプローチの例を開発するプロジェクトにおいて、テクノロジープロバイダやその他の企業と協力している。これらのソリューションは、5Gの機能と推奨される慣行から導き出されたサイバーセキュリティとプライバシー対策の組み合わせを使用している。プロジェクトの目標と実施の詳細(技術やアーキテクチャを含む)は、テストベッドの観察結果とともに、NISTサイバーセキュリティ実務ガイドに文書化されている。実務ガイドの第1巻として、本書では他の巻から最も重要なサイバーセキュリティとプライバシーに関する推奨事項を要約している。5Gのサイバーセキュリティとプライバシー機能の詳細情報も、ホワイトペーパーシリーズの一部として公開されている。
Audience 対象
This volume is intended for technology, cybersecurity, and privacy professionals who are involved in using, managing, or providing 5G-enabled services and products. This includes commercial mobile network operators, potential private 5G network operators, and end-user organizations. 本編は、5G対応のサービスや製品の使用、管理、提供に携わるテクノロジー、サイバーセキュリティ、プライバシーの専門家を対象としている。これには、商業用モバイルネットワーク・オペレーター、潜在的なプライベート5Gネットワーク・オペレーター、エンドユーザー組織などが含まれる。
Project Approach Overview プロジェクト・アプローチ概要
The Challenge  課題 
Fifth-generation technology for broadband cellular networks – 5G – will significantly improve how humans and machines communicate, operate, and interact in the physical and virtual world. 5G provides increased bandwidth and capacity, and low latency, which will benefit organizations in all sectors as well as home consumers. However, professionals in the fields of technology, cybersecurity, and privacy are faced with safeguarding this technology while its development, deployment, and usage are still evolving. As 5G evolves, its capabilities are simultaneously being specified in standards bodies, implemented by equipment vendors, deployed by network operators, and adopted by consumers. ブロードバンドセルラーネットワークの第5世代技術である5Gは、人間と機械の物理的および仮想世界におけるコミュニケーション、操作、相互関係を大幅に改善する。5Gは、帯域幅と容量の拡大、および低遅延を実現し、あらゆる分野の組織や一般消費者にも恩恵をもたらす。しかし、技術、サイバーセキュリティ、プライバシーの各分野の専門家は、この技術の開発、展開、利用がまだ進化している段階であるため、その保護に直面している。5Gの進化に伴い、その能力は標準化団体で同時に仕様が策定され、機器ベンダーによって実装され、ネットワーク事業者によって展開され、そして消費者によって採用されている。
Current standards development primarily focuses on cybersecurity and privacy for the standards-based, interoperable interfaces between 5G components. The 5G standards do not specify protections to deploy on the underlying information technology (IT) components that support and operate the 5G system. This lack of specification increases the complexity for organizations planning to leverage 5G, who are challenged to determine what cybersecurity and privacy capabilities 5G can provide and how they can deploy these features, as well as what supplementary capabilities they may need to implement to safeguard data and communications. 現在の標準化開発は主に、5Gのコンポーネント間の標準ベースの相互運用可能なインターフェースのサイバーセキュリティとプライバシーに焦点を当てている。5Gの標準では、5Gシステムをサポートし運用する基盤となる情報技術(IT)コンポーネントに展開する防御策は規定されていない。この仕様不足により、5Gの活用を計画している組織にとっては、5Gが提供できるサイバーセキュリティおよびプライバシー機能がどのようなものか、また、それらの機能をどのように展開できるか、さらには、データやコミュニケーションを保護するために実装する必要がある追加機能がどのようなものかを判断することが難しくなり、複雑さが増している。
Addressing the Challenge 課題への対応
To address this challenge, the NCCoE is collaborating with technology providers to develop example solution approaches for safeguarding 5G networks through a combination of the following measures: この課題に対応するため、NCCoEはテクノロジープロバイダと協力し、以下の対策を組み合わせることで5Gネットワークを保護するためのソリューションアプローチの例を開発している。
・ strengthening the system’s architectural components; ・システムのアーキテクチャ構成要素の強化
・ providing a trusted and secure cloud-native hosting infrastructure to support the 5G Core Network functions, radio access network (RAN) components, and associated workloads; and ・5Gコアネットワーク機能、無線アクセスネットワーク(RAN)構成要素、および関連するワークロードをサポートする、信頼性が高くセキュアなクラウドネイティブのホスティングインフラの提供
・ enabling the cybersecurity and privacy features introduced in the 5G standards, including demonstrating how to continuously monitor 5G traffic on both signaling and data layers to detect and prevent cyber attacks and threats. ・サイバー攻撃や脅威を検知し、防止するためのシグナリングレイヤーとデータレイヤーの両方における5Gトラフィックの継続的なモニタリング方法の実証など、5G標準で導入されたサイバーセキュリティおよびプライバシー機能の実現
These measures support common use cases and meet industry sectors’ recommended cybersecurity and privacy practices and compliance requirements. If the project identifies gaps in 5G cybersecurity and privacy standards, the appropriate standards development organizations (SDOs) will be notified, and some of the project’s collaborators may contribute to SDO efforts to address the gaps. これらの対策は、一般的なユースケースをサポートし、業界セクターが推奨するサイバーセキュリティおよびプライバシーの実践とコンプライアンス要件を満たす。プロジェクトが5Gのサイバーセキュリティおよびプライバシー標準におけるギャップを識別した場合、適切な標準開発機関(SDO)に通知され、プロジェクトの協力者の一部が、そのギャップに対処するためのSDOの取り組みに貢献する可能性がある。
Given the evolution of the standards, the availability of commercial products, and the alignment with commercial networks, the project focuses on 5G standalone (SA) networks, which can support 3GPP standards- based 5G cybersecurity and privacy enhancements that 5G non-standalone (NSA) networks cannot. 標準の進化、商用製品の入手可能性、商用ネットワークとの整合性を考慮し、本プロジェクトでは、5G非スタンドアロン(NSA)ネットワークでは対応できない3GPP標準に基づく5Gサイバーセキュリティおよびプライバシー強化をサポートできる5Gスタンドアロン(SA)ネットワークに焦点を当てている。
Key Recommendations  主な提言 
Here are key recommendations based on observations and findings from the portions of the NCCoE project that have been performed so far. Additional key recommendations are expected to be added in subsequent drafts. 以下は、これまでに実施されたNCCoEプロジェクトの一部の観察結果および調査結果に基づく主な提言である。 今後のドラフトでは、さらに追加の主な提言が提示される予定である。
1.  Design and operate 5G systems’ complex cloud technology stacks so they support advanced cybersecurity and privacy capabilities and design principles. For example, including hardware roots of trust in the stacks can aid in assuring the integrity of the stacks’ hardware, firmware, and software configurations. Enabling such protections in the supporting infrastructure will help ensure that 5G networks are protected against advanced cyber attacks. Appropriate monitoring capabilities can provide visibility and useful information for prompt detection, response, and recovery from cyber attacks. The NCCoE project describes these cybersecurity and privacy capabilities, implements them in real-world commercial equipment, and demonstrates how they protect 5G networks and subscribers. 1. 5Gシステムの複雑なクラウド技術スタックを設計および運用し、高度なサイバーセキュリティおよびプライバシー機能と設計原則をサポートする。 例えば、スタックにハードウェアの信頼の基点を含めることで、スタックのハードウェア、ファームウェア、およびソフトウェア構成の整合性を確保しやすくなる。このような保護機能をサポートインフラで有効にすることで、5Gネットワークが高度なサイバー攻撃から防御されることが保証される。適切なモニタリング機能は、サイバー攻撃の迅速な検知、対応、回復に役立つ可視性と有益な情報を提供する。NCCoEプロジェクトでは、これらのサイバーセキュリティおよびプライバシー機能について説明し、実際の商業用機器に実装し、5Gネットワークと加入者をどのように防御するかを実証する。
2.  Enable and properly configure the optional, standardized 5G cybersecurity and privacy features specified by 3GPP. 5G networks are complex systems of systems often designed and deployed in a one-off fashion. Each 5G network will have unique attributes to meet requirements, make efficiencies, best leverage existing capabilities, and be shaped by spectrum resources. Simply speaking, no two public 5G networks are the same. However, many cybersecurity and privacy capabilities that protect 5G networks and their users are available to all 5G networks regardless of technical implementation specifics. Enabling these capabilities and configuring them properly will enhance the cybersecurity and privacy of systems and subscribers. NCCoE is publishing a white paper series to cover capability-specific configurations. 2. 3GPPが規定したオプションの標準5Gサイバーセキュリティおよびプライバシー機能を可能にし、適切に設定する。5Gネットワークは複雑なシステム・オブ・システムであり、多くの場合、単発的に設計および展開される。各5Gネットワークは、要件を満たし、効率性を高め、既存の能力を最大限に活用し、スペクトラムリソースによって形作られるため、それぞれ独自の属性を持つ。簡単に言えば、2つのパブリック5Gネットワークは同じものはない。しかし、5Gネットワークとそのユーザーを防御するサイバーセキュリティおよびプライバシー機能の多くは、技術的な実装の仕様に関わらず、すべての5Gネットワークで利用可能である。これらの機能を有効にし、適切に設定することで、システムと加入者のサイバーセキュリティとプライバシーが強化される。NCCoEは、機能別の設定をカバーするホワイトペーパーシリーズを発行している。
While the NCCoE is using a suite of commercial products to address this challenge, this guide does not endorse these particular products, nor does it guarantee compliance with any regulatory initiatives. Your organization’s information security experts should identify the products that will best fit your organization. Your organization can adopt this solution or one that adheres to these guidelines in whole, or you can use this guide as a starting point for tailoring and implementing parts of a solution. NCCoEは、この課題に対処するために一連の商用製品を使用しているが、このガイドではこれらの特定の製品を推奨するものではなく、また、いかなる規制イニシアティブへの準拠も保証するものではない。貴社の情報セキュリティ専門家は、貴社に最適な製品を識別すべきである。貴社は、このソリューション、またはこれらのガイドライン全体に準拠したソリューションを採用できる。あるいは、このガイドをソリューションの一部をカスタマイズして実装する際の出発点として使用することもできる。
Related Resources  関連リソース 
NCCoE 5G Cybersecurity Resources NCCoE 5G サイバーセキュリティ リソース
NCCoE 5G Cybersecurity Project Website ・ NCCoE 5G サイバーセキュリティ プロジェクトウェブサイト
・ Project Description (5G Cybersecurity: Preparing a Secure Evolution to 5G) ・ プロジェクトの説明(5G サイバーセキュリティ:5G への安全な進化の準備
December 2023 webinar on the project ・ 2023年12月のプロジェクトに関するウェビナー
・ 5G Cybersecurity Practice Guide Volume B: Approach, Architecture, and Security Characteristics (SP 180033B, preliminary draft) is for technology, cybersecurity, and privacy program managers and staff who are concerned with how to identify, understand, assess, and mitigate risk. It describes what we built and why, including the risk analysis performed and the security/privacy control mappings. It also explains the drivers for the guide, the cybersecurity challenge we address, our approach to solving this challenge, and how the solution could benefit your organization. ・ 5G サイバーセキュリティ実務ガイド ボリューム B:アプローチ、アーキテクチャ、およびセキュリティ特性(SP 180033B、初期ドラフト)は、リスクの識別、理解、アセスメント、および緩和の方法に関心のある、テクノロジー、サイバーセキュリティ、およびプライバシーのプログラムマネージャーやスタッフを対象としている。この文書では、当社が何を構築し、その理由について説明しており、実施したリスク分析やセキュリティ/プライバシー管理のマッピングなども記載している。また、このガイドの目的、当社が取り組むサイバーセキュリティの課題、この課題の解決に向けた当社のアプローチ、そしてこのソリューションが貴社にもたらすメリットについても説明している。
5G Cybersecurity white paper series: Each paper in the series includes information, guideline, and research findings for an individual technical cybersecurity- or privacy-supporting capability available in 5G systems or their supporting infrastructures. Each of the capabilities has been implemented in a testbed as part of the NCCoE project, and each white paper reflects the results of that implementation and its testing. ・ 5G サイバーセキュリティに関するホワイトペーパーシリーズ:このシリーズの各論文には、5Gシステムまたはその支援インフラで利用可能な個々の技術的サイバーセキュリティまたはプライバシー支援機能に関する情報、ガイドライン、および調査結果が記載されている。各機能は、NCCoEプロジェクトの一環としてテストベッドで実装されており、各ホワイトペーパーには、その実装とテストの結果が反映されている。
Other NIST Resources Used for the Project プロジェクトで使用されたその他のNISTリソース
Hardware-Enabled Security: Enabling a Layered Approach to Platform Security for Cloud and Edge Computing Use Cases (NIST IR 8320) ・ ハードウェアによるセキュリティ:クラウドおよびエッジコンピューティングのユースケースにおけるプラットフォームセキュリティへの階層的アプローチの実現(NIST IR 8320)
Hardware-Enabled Security: Container Platform Security Prototype (NIST IR 8320A) ・ ハードウェアによるセキュリティ:コンテナプラットフォームセキュリティプロトタイプ(NIST IR 8320A)
Hardware-Enabled Security: Policy-Based Governance in Trusted Container Platforms (NIST IR 8320B)・ ・ ハードウェアによるセキュリティ:信頼されたコンテナプラットフォームにおけるポリシーベースのガバナンス(NIST IR 8320B)・
Guide to LTE Security (SP 800-187) ・LTEセキュリティガイド(SP 800-187
Other 5G-Related Standards and Guideline Used for the Project プロジェクトで使用されたその他の5G関連標準およびガイドライン
3rd Generation Partnership Project (3GPP) specifications, including: ・第3世代パートナーシッププロジェクト(3GPP)仕様書、以下を含む
–   Security architecture and procedures for 5G System (Specification #33.501) – 5Gシステム向けセキュリティアーキテクチャおよび手順(仕様書#33.501
–   System architecture for the 5G System (Specification #23.501) – 5Gシステム向けシステムアーキテクチャ(仕様書#23.501)
–   Procedures for the 5G System (Specification #23.502) – 5Gシステムの手順(仕様書#23.502)
・ GSM Association (GSMA), Securing the 5G Era ・ GSM協会(GSMA)、5G時代のセキュリティ確保
・ Communications Security, Reliability, and Interoperability Council (CSRIC) VII, Report on Recommendations for Identifying Optional Security Features That Can Diminish the Effectiveness of 5G Security. ・ コミュニケーションセキュリティ、信頼性、相互運用性協議会(CSRIC)VII、5Gセキュリティの有効性を低下させるオプションのセキュリティ機能の識別に関する推奨事項に関する報告書・

 

 


 

 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.09 米国 NIST NIST CSWP 36B(初期公開草案) ハードウェア対応セキュリティによる5Gシステムプラットフォームの完全性の確保:5Gのサイバーセキュリティおよびプライバシー機能の適用

・2024.08.16 米国 NIST CSWP 36 5Gのサイバーセキュリティとプライバシー機能の適用:ホワイトペーパーシリーズ序文、36A Subscription Concealed Identifier(SUCI)による加入者識別子の保護

・2022.04.28 SP 1800-33 (ドラフト) 5G Cybersecurity (初期ドラフト)

・2021.02.03 NIST SP 1800-33 (Draft) 5G Cybersecurity (Preliminary Draft) - 本当に初期ドラフトです(^^)

 

 

| | Comments (0)

米国 NIST IR 8523(初期公開ドラフト) 刑事司法情報システムのための多要素認証: 刑事司法情報を保護するための実装上の考慮事項 (2025.03.13)

こんにちは、丸山満彦です。

NISTが、IR 8523(初期公開ドラフト) 刑事司法情報システムのための多要素認証: 刑事司法情報を保護するための実装上の考慮事項を公表し、意見募集をしていますね...

刑事司法情報システムには、多要素認証が義務付けられているということです...

米国は合衆国ですから、連邦政府、州政府、地方自治体でそれぞれ警察機構があり、指名手配犯、失踪者、盗難等の事件関係の情報や、顔写真、指紋といった情報が共有できる仕組みとなっていますから、データへのアクセス管理は重要ですよね...

日本ではこのあたりの情報の保護ってどのようになっているんでしょうね...

 

● NIST - ITL

・2025.03.13 NIST IR 8523 (Initial Public Draft) Multi-Factor Authentication for Criminal Justice Information Systems: Implementation Considerations for Protecting Criminal Justice Information

 

NIST IR 8523 (Initial Public Draft) Multi-Factor Authentication for Criminal Justice Information Systems: Implementation Considerations for Protecting Criminal Justice Information NIST IR 8523(初期公開ドラフト) 刑事司法情報システムのための多要素認証: 刑事司法情報を保護するための実装上の考慮事項
Announcement 発表
Criminal and non-criminal justice agencies in the U.S. require the use of multi-factor authentication (MFA) to protect access to criminal justice information (CJI). MFA is important for protecting against credential compromises and other cyber risks such as attacks by cybercriminals or other adversaries that threaten CJI. 米国の刑事司法機関および非刑事司法機関は、刑事司法情報(CJI)へのアクセスを保護するために多要素認証(MFA)の使用を義務付けている。MFA は、クレデンシャルの漏洩や、CJI を脅かすサイバー犯罪者やその他の敵による攻撃などのサイバーリスクから保護するために重要である。
CJI is commonly accessed using computer-aided dispatch (CAD) and record management system (RMS) software, which communicate with a state-level message switch application. MFA architectures will likely need to integrate with one or both technologies. As agencies around the country begin to implement MFA solutions, the approaches they use require careful consideration and planning. This document provides a general overview of MFA, outlines design principles and architecture considerations for implementing MFA to protect CJI, and offers specific examples of use cases that agencies face today. It also outlines how CAD/RMS and message switch technologies can support standards and best practices that provide agencies with maximum optionality to implement MFA in a way that promotes security, interoperability, usability, and cost savings. CJI は一般に、コンピュータ支援発送(CAD)および記録管理システム(RMS)ソフトウェアを使用してアクセスされ、これらは州レベルのメッセージ・スイッチ・アプリケーション と通信する。MFAアーキテクチャは、おそらくどちらか、あるいは両方の技術と統合する必要があるだろう。国内の各機関がMFAソリューションの実装を始めるにあたり、どのようなアプローチを用いるかについては、慎重な検討と計画が必要である。本文書は、MFA の一般的な概要を提供し、CJI を保護するために MFA を実装するための設計原則とアーキテ クチャの考慮事項を概説し、今日、各省庁が直面しているユースケースの具体例を提供する。また、CAD/RMSとメッセージ・スイッチ技術が、セキュリティ、相互運用性、ユーザビリティ、コスト削減を促進する方法でMFAを実装するために、機関に最大限の選択肢を提供する標準とベスト・プラクティスをどのようにサポートできるかを概説する。
Abstract 概要
Most recent cybersecurity breaches have involved compromised credentials. Migrating from single-factor to multi-factor authentication (MFA) reduces the risk of compromised credentials and unauthorized access. Both criminal and noncriminal justice agencies need to access criminal justice information (CJI); to reduce the risk of unauthorized access, the Criminal Justice Information Services (CJIS) Security Policy now requires the use of MFA when accessing CJI. This document provides practical guidance to agencies that are implementing MFA, reflecting on lessons learned from agencies around the country and from CJI-related technology vendors. 最近のサイバーセキュリティ侵害のほとんどは、漏洩した認証情報が関与している。単要素認証から多要素認証(MFA)への移行は、クレデンシャルの漏洩と不正アクセスのリスクを低減する。刑事司法機関と非刑事司法機関の両方が刑事司法情報(CJI)にアクセスする必要がある。不正アクセスのリスクを低減するため、刑事司法情報サービス(CJIS)セキュリティ・ポリシーは現在、CJIにアクセスする際にMFAを使用することを義務付けている。本書は、MFA を導入する機関に対し、全国の機関および CJI 関連技術ベンダ ーから学んだ教訓を反映した実践的なガイダンスを提供するものである。

 

IR.8523.ipd

20250323-62515

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序文
1.1. Approach 1.1. アプローチ
1.2. How to Use This Document 1.2. この文書の使い方
2. An Overview of MFA Technologies and Concepts 2. MFA の技術とコンセプトの概要
2.1. Introduction to MFA 2.1. MFA の序文
2.2. CJIS Requirements for MFA 2.2. MFA に対する CJIS 要件
2.3. Identity Providers 2.3. ID プロバイダ
2.4. Single Sign-On and Identity Federation 2.4. シングルサインオンと ID フェデレーション
2.4.1. Benefits of Identity Federation  2.4.1. ID フェデレーションの利点
2.4.2. Benefits of Single Sign-On  2.4.2. シングルサインオンの利点
2.5. The Importance of Phishing Resistance 2.5. フィッシング耐性の重要性
3. Choosing an MFA Implementation for Protecting CJ 3. CJを保護するためのMFA実装の選択
3.1. MFA Design Principles 3.1. MFA 設計原則
3.1.1. Principle 1: Authenticator Reusability 3.1.1. 原則 1:認証の再利用性
3.1.2. Principle 2: Authenticator Optionality 3.1.2. 原則 2:認証者のオプション性
3.1.3. Principle 3: Minimize the Passing of Memorized Secrets 3.1.3. 原則 3:記憶された秘密の受け渡しの最小化
3.1.4. Principle 4: Ensure MFA Is Integrated to Protect CJI 3.1.4. 原則 4:MFAの統合によるCJIの確実な保護
3.2. MFA Requirements Assessment 3.2. MFA 要件アセスメント
3.2.1. MFA Users 3.2.1. MFA ユーザ
3.2.2. IT Support Staff 3.2.2. IT サポートスタッフ
3.2.3. Other Agencies 3.2.3. 他の省庁
3.2.4. Procurement Teams 3.2.4. 調達チーム
3.2.5. Compliance Teams 3.2.5. コンプライアンスチーム
3.2.6. Legal Team 3.2.6. 法務チーム
3.2.7. Technology Vendors 3.2.7. 技術ベンダー
3.3. Phased MFA Deployment 3.3. 段階的 MFA 展開
3.4. Choosing Where to Deploy MFA 3.4. MFA を展開する場所の選択
3.4.1. Local Agency MFA Architectures 3.4.1. 地方機関の MFA アーキテクチャ
3.4.2. State MFA Deployments 3.4.2. 州の MFA 展開
3.4.3. Implementing MFA with VPNs 3.4.3. VPN による MFA の実装
4. Key Takeaways 4. キーポイント
References 参照文書
Appendix A. Technology Components Relevant to MA for CJIS Access 附属書 A. CJIS アクセスの MA に関連する技術要素
Appendix B. Federated Identity Architectures 附属書 B. フェデレーテッド ID アーキテクチャ
B. 1. Establishing Federation Trust B.1. フェデレーション信頼の確立
B.2. Challenges in Using Federation Technologies for Message Switch Use Cases  B.2. メッセージ交換ユースケースにフェデレーション技術を使用する際の課題
B.3. Meeting FAL Requirements in Complex Federation Scenarios B.3. 複雑なフェデレーションシナリオにおける FAL 要件の達成
B.4. Federated Architectures for Access to CJ B.4. CJへのアクセスのための統合アーキテクチャ
B.4.1. Both CAD/RMS Web App & IdP at the State Agency B.4.1. 州機関における CAD/RMS ウェブ・アプリと IdP の両方
B.4.2. CAD Thick Client at the County with the IdP at the State Agency B.4.2. 郡の CAD シッククライアントと州機関の IdP
B.4.3. Both the CAD/RMS Web App and IdP at a County Agency B.4.3. 郡庁における CAD/RMS ウェブ・アプリと IdP の両方
B.4.4. Integrations with Auth 2.0 and OIDC B.4.4. Auth 2.0 および OIDC
B.5. VPN Integration B.5. VPNの統合
B.5.1. VPN Integration with Kerberos but without Federation B.5.1. フェデレーションを使用しない、Kerberos との VPN 統合
B.5.2. VPN Integration with an Identity Provider B.5.2. ID プロバイダとの VPN 統合
Appendix C. Questions to Ask Your Technology Vendors 附属書 C. テクノロジベンダ向け質問票
C.1. Questionnaire for CAD/RMS Vendors C.1. CAD/RMS ベンダ向け質問票
C.2. Questionnaire for Identity Services Vendors C.2. アイデンティティサービスベンダ向け質問票
C.3. Questionnaire for Message Switch Vendors C.3. メッセージスイッチベンダ向け質問票
C.4. Questionnaire for VPN Vendors C.4. VPNベンダー向け質問票
Appendix D. List of Symbols, Abbreviations, and Acronyms 附属書D. 記号、略語、および頭字語のリスト

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー
The Criminal Justice Information Services (CJIS) Security Policy versions 5.9.2 and later [1] require the use of multi-factor authentication (MFA) to protect access to criminal justice information (CJI). MFA is important for protecting against credential compromises and other cyber risks that may threaten CJI. Criminal and non-criminal justice agencies around the country will need to work with their technology vendors to implement this CJIS requirement.   刑事司法情報サービス(CJIS)セキュリティポリシバージョン5.9.2以降[1]は、刑事司法情報 (CJI)へのアクセスを保護するために多要素認証(MFA)の使用を義務付けている。MFA は、CJI を脅かす可能性のあるクレデンシャルの漏洩およびその他のサイバー・リ スクから保護するために重要である。全国の刑事司法機関および非刑事司法機関は、この CJIS 要件を実装するために、テクノロジー・ベンダーと協力する必要がある。 
CJI is commonly accessed using computer-aided dispatch (CAD) and record management system (RMS) software, which communicate with a state-level message switch application. CJI MFA architectures will likely need to integrate with one or both of these technologies. As agencies around the country begin to implement MFA solutions, the approaches they use require careful consideration and planning. This document provides a general overview of MFA, outlines design principles and architecture considerations for implementing MFA to protect CJI, and offers specific examples of use cases that agencies face today. It also outlines how CAD/RMS and message switch technologies can support standards and best practices that provide agencies with maximum optionality to implement MFA in a way that promotes security, interoperability, usability, and cost savings.  CJIは一般に、コンピュータ支援派遣(CAD)と記録管理システム(RMS)ソフトウェアを使用してアクセスされ、これらのソフトウェアは州レベルのメッセージスイッチアプリケーションと通信する。CJI MFAアーキテクチャーは、おそらくこれらの技術の一方または両方と統合する必要があろう。国内の各機関がMFAソリューションの導入を始めるにあたり、どのようなアプローチを採用するかについては、慎重な検討と計画が必要である。本文書は、MFA の一般的な概要を提供し、CJI を保護するために MFA を実装するための設計原則とアーキテクチャの考慮事項を概説し、今日、各省庁が直面しているユースケースの具体例を提示している。また、CAD/RMS とメッセージ・スイッチ技術が、セキュリティ、相互運用性、使いやすさ、 およびコスト削減を促進する方法で MFA を実装するために、機関に最大限の選択肢を提供する標準とベスト・プラクティスをどのようにサポートできるかを概説する。

 

序文...

1. Introduction   1. 序文
Credential compromises represent a critical and pervasive cybersecurity threat, serving as a gateway for malicious actors to infiltrate networks and systems, thus gaining access to sensitive data. Whether through phishing, brute-force attacks, or exploiting vulnerabilities in authentication mechanisms, credential compromise poses a significant risk to organizations and individuals alike. To mitigate this threat, version 5.9.2 and subsequent versions of the Federal Bureau of Investigation (FBI) Criminal Justice Information Services (CJIS) Security Policy [1] require multi-factor authentication (MFA) for all users when accessing criminal justice information (CJI). Both criminal and noncriminal justice agencies that receive CJI are subject to this requirement. In this document, we refer to these organizations generically as agencies.  クレデンシャルの侵害は、サイバーセキュリティの重要かつ広範な脅威であり、悪意のあるアクター がネットワークやシステムに侵入し、機密データにアクセスするためのゲートウェイとなる。フィッシング、ブルートフォース攻撃、認証メカニズムの脆弱性の悪用のいずれにせよ、クレデンシャルの危殆化は、組織にとっても個人にとっても重大なリスクである。この脅威を緩和するために、連邦捜査局(FBI)刑事司法情報サービス(CJIS)セキュリティ・ポリシーのバージョン 5.9.2 およびそれ以降のバージョン [1]では、刑事司法情報(CJI)にアクセスするすべてのユーザに多要素認証(MFA)を要求している。CJI を受け取る刑事司法機関と非刑事司法機関の両方が、この要件の対象となる。本文書では、これらの機関を一般的に「機関」と呼ぶ。
As agencies around the country begin to implement this requirement, they face several challenges that require careful consideration and planning. The purpose of this document is to help agencies identify and address their MFA implementation needs by providing insight into MFA architectures and how they can be used to meet law enforcement-specific use cases.  全米の機関がこの要件を実施し始めると、慎重な検討と計画を必要とするいくつかの課題に直面する。本文書の目的は、MFA アーキテクチャと、それらが法執行機関特有のユースケースを満たすた めにどのように利用できるかについての洞察を提供することにより、MFA 実装のニーズを特定し、取 り組むことを支援することである。
1.1. Approach  1.1. アプローチ
To ensure the relevance of this document’s contents, the NIST and FBI CJIS team engaged with agencies around the country on their current and future MFA implementations, as well as law enforcement technology vendors on their current and future support for MFA standards and best practices. The architectures, use cases, technologies, and challenges in this document are heavily based on those discussions. Though this document will promote standards and best practices for MFA and identity federation, the overarching goal of this guidance is to meet agencies “where they are” by providing practical MFA implementation considerations that help agencies make sound risk decisions while also considering cost, functional requirements, and the potential for centralized and shared MFA services.    本文書の内容の妥当性を確保するため、NIST と FBI の CJIS チームは、現在お よび将来の MFA 実装について、また MFA 標準とベスト・プラクティスに対する現在お よび将来のサポートについて、法執行技術ベンダーと同様に、全米の機関と協力し た。本文書のアーキテクチャ、ユースケース、技術、および課題は、これらの議論に大きく基づい ている。本文書は MFA および ID フェデレーションの標準とベスト・プラクティスを促進するが、このガイダ ンスの包括的な目標は、コスト、機能要件、および集中型 MFA サービスと共有型 MFA サービスの可 能性も考慮しながら、機関が適切なリスクを決定するのに役立つ実用的な MFA 実装の考慮事項を提 供することによって、機関が「現在いる場所」に対応することである。 
1.2. How to Use This Document  1.2. 本文書の使用方法
The guidance in this document is intended to aid agencies in their MFA implementations but does not guarantee that their implementation will meet CJIS Security Policy requirements or will pass a CJIS audit. All questions about how a specific MFA implementation can meet the CJIS Security Policy should be directed to the CJIS Information Security Officer (ISO) team at iso@fbi.gov.  本文書のガイダンスは、機関が MFA を導入する際の助けとなることを意図してい るが、その導入が CJIS セキュリティポリシー要件を満たすこと、あるいは CJIS 監査に合格することを保証するものではない。特定の MFA の実装がどのように CJIS セキュ リティポリシーを満たすことができるかに関するすべての質問は、CJIS 情報セキュ リティオフィサー(ISO)チーム(iso@fbi.gov)に直接問い合わせること。
Many of the challenges discussed in this document require collaboration between state, local, tribal, and territorial (SLTT) agencies, as well as collaboration with law enforcement technology providers. Agencies should engage all relevant stakeholders to discuss MFA implementation plans to ensure this collaboration can occur.   この文書で議論されている課題の多くは、州、地方、部族、および準州(SLTT)機関間の協 力、ならびに法執行技術プロバイダとの協力を必要とする。各省庁は、関係するすべての利害関係者を巻き込んで MFA の実施計画を議論し、このような協力が確実に行えるようにする必要がある。 
Section 2 of this document provides an overview of MFA concepts and the importance of MFA as a cybersecurity control.   本文書のセクション 2 では、MFA の概念とサイバーセキュリティ管理としての MFA の重要性について概説する。 
Section 3 of this document details MFA design principles, agency stakeholders that should be part of MFA requirements development, considerations for a phased MFA rollout, and examples of where agencies might choose to implement MFA.  本文書のセクション3では、MFA の設計原則、MFA 要件策定に参加すべき省庁の利害関係者、段階的な MFA 導入のための考慮事項、および省庁が MFA の導入を選択する可能性のある場所の例について詳述する。
Section 4 collects the key considerations for agencies from throughout the document.  セクション4では、この文書全体から、各省庁が考慮すべき重要事項を集めている。
The Appendices of this document include detailed MFA architectures and questionnaires that agencies can use to engage their vendors.   この文書の附属書には、詳細なMFAアーキテクチャーと、各省庁がベンダーを関与させるた めに使用できる質問表が含まれている。 

 

 

 

| | Comments (0)

米国 NIST NIST SP 1308(初期公開ドラフト) NIST サイバーセキュリティフレームワーク 2.0: サイバーセキュリティ、エンタープライズリスクマネジメント、要員マネジメント クイックスタートガイド (2025.03.12)

こんにちは、丸山満彦です。

NISTが NIST サイバーセキュリティフレームワーク 2.0: サイバーセキュリティ、エンタープライズリスクマネジメント、要員マネジメント クイックスタートガイドのドラフトが公開され、意見募集がされています...

2023年3月に経産省から公表して、サイバーセキュリティ経営ガイドラインはVer3.0は、ERMとサイバーセキュリティの融合を意識しました。Cybersecurity Framework 2.0もERMとの連携を意識しています。加えて、Workforce Management(要員マネジメント)との融合を目指していますね...

 

NIST - ITL

・2025.03.12 NIST SP 1308 (Initial Public Draft) NIST Cybersecurity Framework 2.0: Cybersecurity, Enterprise Risk Management, and Workforce Management Quick Start Guide

NIST SP 1308 (Initial Public Draft) NIST Cybersecurity Framework 2.0: Cybersecurity, Enterprise Risk Management, and Workforce Management Quick Start Guide NIST SP 1308(初期公開ドラフト) NIST サイバーセキュリティフレームワーク 2.0: サイバーセキュリティ、エンタープライズリスクマネジメント、要員マネジメント クイックスタートガイド
Announcement 発表
This document shows how the Workforce Framework for Cybersecurity (NICE Framework) and the Cybersecurity Framework (CSF) 2.0 can be used together to address cybersecurity risk. It is the newest of the CSF 2.0 Quick Start Guides (QSG) released since February 26, 2024; these resources provide different audiences with tailored pathways into the CSF 2.0, making it easier to implement. この文書は、サイバーセキュリティのためのワークフォースフレームワーク(NICE フレームワーク)とサイバーセキュリティフレームワーク(CSF)2.0 をどのように併用してサイバーセキュリティリスクに対処できるかを示している。これは、2024 年 2 月 26 日以降にリリースされた CSF 2.0 クイックスタートガイド(QSG)の最新版である。これらのリソースは、CSF 2.0 の導入を容易にするために、様々な対象者に CSF 2.0 の導入方法を提供する。
This QSG draws on three key NIST resources to enable users to align their cybersecurity, ERM, and workforce management practices in a streamlined process: この QSG は、ユーザが合理的なプロセスでサイバーセキュリティ、ERM、および要員管理の実務を整 備できるように、NIST の 3 つの主要なリソースを活用している:
Cybersecurity Framework ・サイバーセキュリティフレームワーク
NICE Framework ・NICEフレームワーク
NIST IR 8286 series, Integrating Cybersecurity and Enterprise Risk Management (ERM) ・NISTIR 8286 シリーズ、サイバーセキュリティとエンタープライズリスクマネジメント(ERM)の統合
The public comment period is open through Friday, April 25, 2025. パブリックコメント募集期間は 2025 年 4 月 25 日(金)までである。
Abstract 概要
This Quick Start Guide (QSG) shows how the NICE Workforce Framework for Cybersecurity and the Cybersecurity Framework (CSF) can be used together to facilitate communication across business units and improve organizational processes where cybersecurity, enterprise risk management (ERM), and workforce management intersect. 本クイックスタートガイド(QSG)は、NICE のサイバーセキュリティのためのワークフォースフレームワークとサイバーセキュリティフレームワーク(CSF)を併用することで、事業部門間のコミュニケーションを促進し、サイバーセキュリティ、エンタープライズリスクマネジメント(ERM)、要員マネジメントが交差する組織プロセスを改善する方法を示す。

 

・[PDF] NIST.SP.1308.ipd

20250323-50450

 

 

序文...

INTRODUCTION 序文
Purpose of this Guide 本ガイドの目的
This Quick Start Guide (QSG) shows how the NICE Workforce Framework for Cybersecurity and the Cybersecurity Framework (CSF) can be used together to facilitate communication across business units and improve organizational processes where cybersecurity, enterprise risk management (ERM), and workforce management intersect. 本クイックスタートガイド(QSG)は、NICEサイバーセキュリティのためのワークフォースフレームワークとサイバーセキュリティフレームワーク(CSF)を併用することで、事業部門間のコミュニケーションを促進し、サイバーセキュリティ、エンタープライズリスクマネジメント(ERM)、要員マネジメントが交差する組織プロセスを改善する方法を示す。
Overview of Risk リスクの概要
Risk is the effect of uncertainty on business objectives. Cybersecurity risk is an important type of risk that all enterprises face, alongside others including financial, legal, reputational, and safety risks. Although cybersecurity risks frequently intersect with additional risk types — in the form of lost revenue or stakeholder trust, for example — some organizations do not conduct cybersecurity risk management with the same consistency and rigor that are applied to other types of risk. リスクとは、事業目標に対する不確実性の影響である。サイバーセキュリティリスクは、財務リスク、法的リスク、評判リスク、安全リスクなど他のリスクと並んで、すべてのエンタープライズが直面する重要なリスクの一種である。サイバーセキュリティリスクは、例えば、収益の損失や利害関係者の信頼といった形で、他のリスクタイプと交差することが多いが、一部の組織では、他のリスクタイプに適用されるのと同じような一貫性と厳格さでサイバーセキュリティリスクマネジメントを行っていない。
CSF Organizational Profiles CSF 組織プロファイル
An Organizational Profile describes an organization’s current and/or target cybersecurity posture in terms of cybersecurity outcomes from the CSF Core. Organizational Profiles are used to understand, tailor, assess, and prioritize cybersecurity risk based on an organization’s mission objectives, stakeholder expectations, threat landscape, and requirements. The organization can then act strategically to achieve those outcomes. Organizational Profiles can also be used to assess progress toward targeted outcomes and to communicate pertinent information to stakeholders. This QSG assumes that an Organizational Profile has been completed already. 組織プロファイルは、CSF コアのサイバーセキュリティの成果という観点から、組織の現 在のサイバーセキュリティ態勢および/または目標とするサイバーセキュリティ態勢を記述する。組織プロファイルは、組織のミッション目標、利害関係者の期待、脅威の状況、要件に基づいて、サイバーセキュリティリスクを理解し、調整し、アセスメントし、優先順位を付けるために使用される。そして、組織はこれらの成果を達成するために戦略的に行動することができる。組織プロファイルは、目標とする成果に対する進捗状況を評価し、利害関係者に適切な情報を伝達するためにも使用できる。この QSG では、組織プロファイルがすでに完成していることを前提としている。
Integrating Cybersecurity, ERM, and Workforce Management サイバーセキュリティ、ERM、および要員マネジメントの統合
Once current and/or target cybersecurity posture in terms of CSF cybersecurity outcomes is documented, you can then use the NICE Framework to dentify the people and skills needed to implement the outcomes. People, processes, and technology combine to achieve acceptable levels of enterprise and cybersecurity risk. The NICE Framework focuses on people, providing a common language for describing cybersecurity work, including the Work Roles an organization’s cybersecurity staff must perform. CSF のサイバーセキュリティ成果の観点から、現在および/または目標とするサイバーセキュリティ態勢が文書化されたら、次に NICE フレームワークを使用して、成果を実施するために必要な人材とスキルを明確にすることができる。エンタープライズリスクとサイバーセキュリティリスクの許容レベルを達成するためには、人材、プロセス、テクノロジを組み合わせる必要がある。NICE フレームワークは「人」に焦点を当て、組織のサイバーセキュリティ担当者が果たすべきワーク・ロールを含め、サイバーセキュリティ業務を記述するための共通言語を提供する。

 

 

クイックスタートのウェブページ...

SF 2.0 Quick Start Guides

利用可能なガイド:

IR8286

・2025.03.10 米国 NIST IR 8286 Rev. 1(初期公開草案) サイバーセキュリティとエンタープライズリスクマネジメント(ERM)の統合他 (2025.02.26)

・2024.03.10 米国 NIST IR 8286C エンタープライズリスクマネジメントと政府監視のためのサイバーセキュリティリスクのステージング

・2022.11.22 NISTIR 8286D リスクの優先順位付けと対応を行うためのビジネス影響分析の使用

・2022.09.16 NISTIR 8286C エンタープライズ・リスク・マネジメント (ERM) とガバナンスの監督のためのサイバーセキュリティ・リスクのステージング

・2022.06.14 NISTIR 8286D (ドラフト) リスクの優先順位付けと対応にビジネスインパクト分析を使用する方法 (2022.06.09)

・2022.02.13 NISTIR 8286B エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの優先順位付け

・2022.01.28 NISTIR 8286C (ドラフト)エンタープライズ・リスク・マネジメント (ERM) とガバナンスの監督のためのサイバーセキュリティ・リスクのステージング

・2021.11.15 NISTIR 8286A エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの識別と推定

・2021.09.03 NISTIR 8286B(ドラフト)エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの優先順位付け

・2021.07.08 NISTIR 8286A (ドラフト)エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの識別と推定(第2ドラフト)

・2020.10.22 NISTIR 8286 Integrating Cybersecurity and Enterprise Risk Management (ERM)

・2020.07.12 NISTIR 8286 (Draft) Integrating Cybersecurity and Enterprise Risk Management (ERM) (2nd Draft)

・2020.03.20 NISTIR 8286(Draft) Integrating Cybersecurity and Enterprise Risk Management (ERM)

 

SP800-221関係...

・2023.11.20 NIST SP 800-221 情報通信技術リスクのエンタープライズへの影響:エンタープライズリスクポートフォリオにおけるICTリスクプログラムのガバナンスとマネジメント, NIST SP 800-221A 情報通信技術(ICT)リスクの成果: ICTリスクマネジメントプログラムとエンタープライズリスクポートフォリオの統合

・2022.07.25 NIST SP 800-221 (ドラフト) 情報通信技術リスクのエンタープライズへの影響:エンタープライズ・リスクポートフォリオの中でのICTリスクプログラムの統治と管理 SP 800-221A (ドラフト) 情報通信技術 (ICT) リスクの成果:ICTリスクマネジメントプログラムとエンタープライズリスクポートフォリオの統合

 

経営ガイドライン Veer3.0

・2023.11.09 IPA サイバーセキュリティ経営ガイドライン Ver 3.0実践のためのプラクティス集 (2023.10.31)

・2023.03.26 経済産業省 サイバーセキュリティ経営ガイドラインVer 3.0

・2022.12.10 経団連 「サイバーセキュリティ経営ガイドライン Ver3.0 (案) 」に対する意見

 

 

| | Comments (0)

オーストラリア ACSC DoS攻撃への準備と対応 (2025.03.17)

こんにちは、丸山満彦です。

オーストラリアのサイバーセキュリティセンター(Australia Cyber Security Centre: ACSC)がDoS攻撃への準備と対応に関するガイドを改訂して公表していますね...

昨年年末に日本でも大規模なDDoS攻撃があり、話題になりました。DoS攻撃を受けてからできることは限られているので、何よりも事前の準備が重要となりますね...

それと自分たちがDoS攻撃用に乗っ取られないようにすることも併せて重要ですね...

 

Australia Cyber Security Centre: ACSC

・2025.03.17 Preparing for and responding to denial-of-service attacks

・[PDF

20250322-141052

 

Preparing for and responding to denial-of-service attacks DoS攻撃への準備と対応
Introduction 序文
This publication was developed by the Australian Signals Directorate (ASD) in cooperation with New Zealand’s National Cyber Security Centre (NCSC-NZ), Akamai Technologies Ltd and Cloudflare Pty Ltd, in response to an increased trend in denial-of-service (DoS) attacks in our region. It offers guidance to organisations on best practice mitigations based on contemporary threat tradecraft, to prepare for and respond to DoS attacks. 本書は、ニュージーランドの 国家サイバーセキュリティセンター(NCSC-NZ) 、 アカマイ、クラウドフレア の協力のもと、当地域で増加傾向にあるサービス妨害 (DoS) 攻撃に対応するため、オーストラリア信号総局 (ASD) が作成したものである。本書は、DoS 攻撃に備え、対応するために、最新の脅威対策に基づくベストプラクティスの緩和策について、組織へのガイダンスを提供するものである。
We recommend reading this advice in conjunction with ASD’s Internet of Things devices and Secure your Wi-Fi and router publications. These publications help individuals to avoid unintentionally contributing to DoS attacks that could impact others. ASDのIoTデバイスSecure your Wi-Fi and routerの出版物と合わせてこのアドバイスを読むことをお勧めする。これらの出版物は、他者に影響を与える可能性のあるDoS攻撃に個人が意図せず加担することを避けるのに役立つ。
DoS attacks are cyberattacks designed to disrupt or degrade online services such as websites, email and Domain Name System (DNS) services, to deny access to legitimate users. This is typically achieved by flooding an online service with data, connections or requests to overwhelm the service and degrade its functionality. DoS攻撃とは、ウェブサイト、Eメール、ドメインネームシステム(DNS)サービスなどのオンラインサービスを妨害したり、劣化させたりして、正当なユーザーからのアクセスを拒否することを目的としたサイバー攻撃である。これは通常、オンライン・サービスにデータ、接続、またはリクエストを殺到させてサービスを圧倒し、その機能を低下させることで達成される。
DoS attacks typically require a large amount of network traffic to be successful. They are becoming increasingly common, in part due to an increase in the number of easily compromised Internet of Things (IoT) devices. As IoT manufacturers often prioritise user experience over cybersecurity, vulnerable devices can include regular household items that connect to the internet such as smart TVs, kettles, vacuum cleaners and security systems. These devices can often be remotely compromised by malicious actors to create a ‘botnet’ of devices from which to generate this network traffic, which can result in households and organisations unintentionally contributing to the infrastructure that allows DoS attacks to occur. DoS攻撃は通常、大量のネットワーク・トラフィックを必要とする。DoS攻撃は、侵害されやすいモノのインターネット(IoT)デバイスの増加もあり、ますます一般的になりつつある。IoT製造事業者はサイバーセキュリティよりもユーザーエクスペリエンスを優先することが多いため、脆弱性デバイスには、スマートテレビ、ポット、掃除機、セキュリティシステムなど、インターネットに接続する一般家庭用品が含まれる。これらのデバイスは、悪意のある行為者によって遠隔操作で侵入され、ネットワーク・トラフィックを生成するデバイスの「ボットネット」を作成される可能性がある。
Recent activity indicates that once malicious actors have compromised a large number of IoT devices, they may rent or sell this infrastructure to cybercriminals and hacktivists, who are increasingly interested in performing DoS attacks against targets of their choosing. In most cases, DoS attacks are performed to cause an organisation productivity and financial loss, or to gain public attention for a cause. An example of this activity is described in ASD’s People’s Republic of China-linked actors compromise routers and IoT devices for botnet operations advisory. 最近の活動から、悪意のある行為者が多数のIoTデバイスを侵害すると、このインフラをサイバー犯罪者やハクティビストに貸与または売却する可能性があることがわかる。ほとんどの場合、DoS攻撃は、組織の生産性や経済的損失を引き起こしたり、ある目的のために世間の注目を集めたりするために実行される。この活動の例は、ASDの「中華人民共和国とつながりのあるアクターがボットネット運用のためにルーターやIoTデバイスを危険にさらす」という勧告に記載されている。
As our economy further digitises and the number of poorly secured IoT devices connected to the internet grows, DoS attacks are likely to continue to increase. 経済がさらにデジタル化され、インターネットに接続されるセキュリティが不十分なIoTデバイスの数が増えるにつれ、DoS攻撃は増加の一途をたどるだろう。
To disrupt or degrade an organisation’s online services, malicious actors use a number of approaches, including: 組織のオンライン・サービスを混乱させたり低下させたりするために、悪意のある行為者は以下を含む多くのアプローチを用いる:
・directing a large volume of unwanted network traffic at online services in an attempt to consume all available network bandwidth ・利用可能なネットワーク帯域幅をすべて消費しようとして、大量の不要なネットワーク・トラフィックをオンライン・サービスに向ける
・directing tailored network traffic at online services in an attempt to consume their computer processing resources ・オンライン・サービスのコンピュータ処理リソースを消費しようとして、カスタマイズされたネットワーク・トラフィックをオンライン・サービスに向ける
・using multiple computers, IoT devices or other internet-connected devices to direct network traffic at online services, from multiple directions and on a much larger scale, a common type of DoS attack referred to as a distributed DoS (DDoS) attack ・複数のコンピュータ、IoTデバイス、またはその他のインターネット接続デバイスを使用して、ネットワーク・トラフィックをオンライン・サービスに向け、多方向から、はるかに大規模に、分散型DoS(DDoS)攻撃と呼ばれる一般的なタイプのDoS攻撃を行う
・hijacking an organisation’s domain registration or DNS servers in an attempt to redirect legitimate users away from the organisation’s online services. ・組織のオンライン・サービスから正規ユーザーをリダイレクトしようとして、組織のドメイン登録またはDNSサーバーをハイジャックする。
Organisations cannot avoid being targeted by DoS attacks, but there are a number of measures that organisations can implement to prepare for and potentially reduce their impact. Preparing for DoS attacks before they occur is the best strategy, because without preparation, it is difficult and less effective to respond during a DoS attack. 組織がDoS攻撃の標的になることを避けることはできないが、組織がDoS攻撃に備え、その影響を軽減できる可能性のある対策はいくつかある。DoS攻撃は、発生する前に準備することが最善の戦略である。なぜなら、準備なしには、DoS攻撃中に対応することは困難であり、効果的ではないからである。
Although organisations primarily focus on protecting themselves from DoS attacks, they should also take steps to prevent their online services and internet-connected devices from being abused by malicious actors to target others. 組織は、主にDoS攻撃から自らを守ることに重点を置くが、オンラインサービスやインターネットに接続されたデバイスが、悪意のある行為者によって悪用され、他者を標的にすることを防ぐための対策も講じるべきである。
Preparing for DoS attacks DoS攻撃への備え
In the context of an increasing volume of DoS attacks across our region, before implementing any measures to prepare for DoS attacks, your organisation should first assess its business requirements to determine if each of your online services must remain operational during DoS attacks, or if temporary service interruptions are acceptable. 当地域でDoS攻撃の件数が増加している中、DoS攻撃への備えを実施する前に、まず組織のビジネス要件を評価し、DoS攻撃中も各オンラインサービスを稼動させ続けなければならないのか、それとも一時的なサービス中断は許容できるのかを判断する必要がある。
If your organisation wants to increase its ability to withstand DoS attacks, you should proactively implement the following measures, where appropriate and practical, prior to DoS attacks occurring. DoS攻撃への耐性を高めたい場合は、DoS攻撃が発生する前に、適切かつ実用的であれば、以下の対策を積極的に実施する。
・If your organisation is using a content delivery network (CDN), you should implement the following additional measures, where appropriate and practical.  コンテンツ・デリバリー・ネットワーク(CDN)を利用している場合は、適切かつ現実的な範囲で、以下の追加対策を実施する。
・・Consider using a CDN that includes functionality to protect your origin web server from a variety of application and network layer attacks – some CDNs might include these features as part of a web application firewall at the edge. オリジンのウェブサーバをアプリケーション層やネットワーク層のさまざまな攻撃から防御する機能を備えたCDNの利用を検討する。CDNによっては、エッジのウェブアプリケーションファイアウォールの一部としてこれらの機能を備えている場合もある。
・・Avoid unnecessary public disclosure of your origin web server’s Internet Protocol (IP) address, and ensure that any public exposures are protected from DoS attacks. オリジンウェブサーバーのインターネットプロトコル(IP)アドレスの不必要な公開を避け、公開されたエクスポージャーがDoS攻撃から保護されるようにする。
・・Avoid using an IP address for your origin web server which malicious actors could predict, for example, an IP address in the same network subnet of publicly disclosed IP addresses of your online services. オリジンウェブサーバーに悪意のあるアクターが予測できるIPアドレス(例えば、オンラインサービスの公開IPアドレスと同じネットワークサブネット内のIPアドレスなど)を使用しないようにする。
・・Use network access controls (such as a firewall) to ensure that only the CDN and your organisation’s authorised management networks can access your origin web server. ネットワークアクセス管理(ファイアウォールなど)を使用して、CDNと組織の管理ネットワークのみがオリジンウェブサーバーにアクセスできるようにする。
・・Consider using resilient diverse network connectivity, which might include private network connectivity, between your origin web server and your CDN provider, if you require a higher level of protection for your origin web server. オリジンウェブサーバーに対してより高いレベルの保護が必要な場合は、オリジンウェブサーバーとCDNプロバイダの間で、プライベートネットワーク接続を含むレジリエンス多様なネットワーク接続を使用することを検討する。
・・Configure the CDN, origin web server and client HTTP headers to optimise the amount of caching performed. CDN、オリジンウェブサーバー、クライアントのHTTPヘッダーを設定し、キャッシュの量を最適化する。
・・Consider partitioning origin web servers so that requests from lower risk IP addresses are handled separately to requests from higher risk IP addresses, if you require a higher level of availability. より高いレベルの可用性が必要な場合は、オリジンウェブサーバーのパーティショニングを検討し、リスクの低いIPアドレスからのリクエストとリスクの高いIPアドレスからのリクエストを別々に処理する。
・Determine what functionality and quality of service is acceptable for legitimate users of your online services, how to maintain that functionality, and what functionality is not required during DoS attacks. オンラインサービスの正当なユーザーにとって許容できる機能とサービス品質、その機能の維持方法、DoS攻撃時に不要な機能を決定する。
・Procure and use a cloud based DoS attack mitigation service. クラウドベースのDoS攻撃緩和サービスを調達し、利用する。
・Consider reducing your organisation’s attack surface by: 組織のアタック・サーフェスを減らすには、次のような方法がある:
・・outsourcing foundational online services (such as DNS) to reputable service providers who are able to withstand DoS attacks. 基本的なオンラインサービス(DNS など)を、DoS 攻撃に耐える信頼できるサービスプロバイダにアウトソーシングする。
・・partitioning critical online services (such as email) from other online services that are more likely to be targeted (such as websites) 重要なオンラインサービス(電子メールなど)を、標的にされやすい他のオンラインサービス(ウェブサイトなど)から分離する。
・・ensuring that the DoS attack mitigation service only permits network traffic associated with the online service’s network port(s). DoS 攻撃緩和サービスが、オンラインサービスのネットワークポートに関連するネットワークトラフィックのみを許可するようにする。
・Discuss with your service providers the details of their DoS attack prevention and mitigation strategies, specifically their: サービスプロバイダと、DoS 攻撃の防止および緩和戦略の詳細、特に以下の点について話し合う:
・・proven capability to withstand DoS attacks from around the world 世界中からの DoS 攻撃に耐える実証済みの能力
・・demonstrated history of handling both DoS attacks and comprehensive authorised DoS attack testing DoS 攻撃と包括的な認定 DoS 攻撃テストの両方に対応した実証済みの履歴
・・ability to automatically mitigate most types of DoS attacks without human involvement, such as manual analysis of network traffic ネットワークトラフィックの手動分析など、人手を介さずにほとんどのタイプの DoS 攻撃を自動的に緩和する能力
・・approach to pricing their services, such as whether the cost is fixed or it varies based on the amount of network traffic and computer processing resources used, and whether you can set a billing limit ネットワークトラフィックやコンピュータ処理リソースの使用量に応じて料金が固定か変動するか、課金上限を設定できるかなど、サービス料金の設定方法
・・thresholds for notifying you or turning off their online services during DoS attacks DoS 攻撃時にプロバイダに通知したりオンラインサービスを停止したりするためのしきい値
・・pre-approved actions that can be undertaken during DoS attacks DoS 攻撃時に実行できる事前承認済みのアクション
・DoS attack prevention arrangements with upstream providers. 上流プロバイダとの DoS 攻撃防止の取り決め。
・Implement measures to detect DoS attacks, such as real-time monitoring and alerting of system availability, network traffic, computer processing resources, and associated costs. システムの可用性、ネットワークトラフィック、コンピュータの処理リソース、関連コストをリアルタイムで監視・警告するなど、DoS攻撃を検知するための対策を実施する。
・Prepare a static version of your website that requires minimal processing and bandwidth to facilitate continuity of service during DoS attacks. DoS攻撃時のサービス継続を容易にするため、最小限の処理と帯域幅で済むウェブサイトの静的バージョンを用意する。
・Procure and use highly resilient online services with large bandwidth, adequate computer processing resources, geographically dispersed hosting locations and cloud-based traffic scrubbing to discard undesirable network traffic – this commonly includes using a reputable CDN to cache static website content and protect your origin web server from unwanted network traffic. 大容量の帯域幅、適切なコンピュータ処理リソース、地理的に分散したホスティング・ロケーション、望ましくないネットワーク・トラフィックを破棄するクラウドベースのトラフィック・スクラビングを備えたレジリエンスの高いオンライン・サービスを調達し、使用する - これには一般的に、評判の高いCDNを使用して静的なウェブサイト・コンテンツをキャッシュし、オリジンのウェブ・サーバーを望ましくないネットワーク・トラフィックから保護することが含まれる。
・Protect your organisation’s domain names by using registrar locking, confirming domain registration contact details and other details are correct, and following additional guidance outlined in ASD’s Domain Name System security for domain owners publication. レジストラロッキングを使用し、ドメイン登録の連絡先やその他の詳細が正しいことを確認し、ASDのドメイン所有者のためのドメインネームシステムセキュリティに記載されている追加ガイダンスに従うことで、組織のドメインネームを防御する。
・Maintain up-to-date contact details for your service providers and share your organisation’s contact details with them, ensuring all contacts are available based on your organisation’s requirements, for example, 24 hours a day, 7 days a week. サービスプロバイダの最新の連絡先詳細を維持し、組織の連絡先詳細をプロバイダと共有する。
・Provide your organisation’s out-of-band contact details for a trustworthy communication channel to your service providers, for when normal communication channels fail. 通常のコミュニケーション・チャネルが機能しなくなったときのために、サービス・プロバイダとの信頼できるコミュニケーション・チャネルとして、組織の帯域外の連絡先詳細を提供する。
・Develop, implement and maintain a cybersecurity incident response plan, covering various types of DoS attacks against each of your online services required to withstand DoS attacks, and exercise the plan at least annually. DoS攻撃に耐えるために必要な各オンラインサービスに対する様々なタイプのDoS攻撃を網羅したサイバーセキュリティインシデント対応計画を策定、実施、維持し、少なくとも年1回はその計画を実施する。
・Architect applications to protect commonly abused functionality that consumes increased computer processing resources or that incurs additional financial costs (such as sending SMS messages) 一般的に悪用され、コンピュータの処理リソースを消費したり、追加的な金銭的コストが発生する機能(SMS メッ セージの送信など)を防御するために、アプリケーションを設計する
・・Protections include rate limiting and verifying that requests are from a human. 防御には、レート制限や、リクエストが人間からのものであることの確認などが含まれる。
・・Perform DoS attack testing including targeting improper logic flows in application functionality. アプリケーション機能における不適切なロジックフローをターゲットとした DoS 攻撃テストを実施する。
・・Perform broader load testing to identify and remediate DoS vectors. より広範な負荷テストを実施し、DoS ベクターの識別と修正を行う。
Responding to DoS attacks DoS攻撃への対応
If your organisation has not prepared for DoS attacks, you can attempt to implement some of the above measures during DoS attacks, though they might be less effective and take time to implement, reducing your organisation’s ability to respond. 組織がDoS攻撃への備えをしていない場合、DoS攻撃中に上記の対策のいくつかを実施しようと試みることはできるが、その効果は低く、実施に時間がかかり、組織の対応能力が低下する可能性がある。
Your organisation should implement the following measures during DoS attacks, where appropriate and practical. DoS攻撃時には、適切かつ現実的であれば、以下の対策を実施すべきである。
・Enact your cybersecurity incident response plan. サイバーセキュリティ・インシデント対応計画を実施する。
・Ask your service providers if they are able to immediately implement responsive actions – if you have not previously discussed their ability to respond, you might discover that they are unable or unwilling to respond, or charge additional fees. サービスプロバイダに、即座に対応策を実施できるかどうかを問い合わせる。プロバイダの対応能力について事前に相談していない場合、プロバイダが対応できないか、対応する気がないことが判明したり、追加料金を請求されたりする可能性がある。
・Disable non-vital functionality or remove non-vital content from your online services that make the current DoS attack effective, for example, deploy a version of your website without search functionality, dynamic content or large files. 例えば、検索機能、動的コンテンツ、大容量ファイルのないバージョンのウェブサイトを展開する。
・Maintain communication with your customers and your service providers, including your DoS attack mitigation service provider, and continue monitoring the availability of your online services. 顧客およびDoS攻撃緩和サービスプロバイダを含むサービスプロバイダとのコミュニケーションを維持し、オンラインサービスの可用性攻撃を監視し続ける。
・Consider changing the IP address of your origin web server if it is being directly targeted, and avoid public disclosure of the new IP address without having protections in place. オリジンウェブサーバーが直接標的にされている場合は、IPアドレスの変更を検討し、防御を講じることなく新しいIPアドレスを公開することは避ける。
・Report the DoS attack to relevant parties, including ASD and NCSC-NZ as per the ‘Contact details’ section of this publication. 本書の「連絡先の詳細」に従い、ASDやNCSC-NZを含む関係者にDoS攻撃を報告すること。
Avoiding contributing to DoS attacks DoS攻撃への加担を避ける
Your organisation should implement the following measures to avoid unintentionally contributing to DoS attacks that could impact others. 他者に影響を与える可能性のあるDoS攻撃に意図せず加担しないよう、組織は以下の対策を実施すること。
・Avoid exposing services, IoT devices and other internet-connected devices to the internet which are unneeded, insecurely configured or inadequately maintained. 不要なサービス、IoTデバイス、その他のインターネット接続デバイスをインターネットに公開しない。
・Securely configure, maintain and monitor services, IoT devices and other internet-connected devices that are exposed to the internet. インターネットに公開されているサービス、IoTデバイス、その他のインターネット接続デバイスを安全に設定、保守、監視する。
・・Additional guidance for small businesses is available in ASD’s Internet of Things devices and Secure your Wi-Fi and router publications. 中小企業向けの追加ガイダンスは、ASDのInternet of Things devicesとSecure your Wi-Fi and router publicationsで入手できる。
If your organisation is running online services, you should implement the following additional measures. もしあなたの組織がオンラインサービスを運営しているのであれば、以下の追加対策を実施すべきである。
・Prioritise reviewing protocols outlined in the United States’ Cybersecurity and Infrastructure Security Agency’s (CISA) UDP-Based Amplification Attacks advice. 米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)のUDPベースの増幅攻撃に関するアドバイスに概説されているプロトコルの見直しを優先する。
・Monitor for new amplification vectors as they are identified and secure your online services against them. 新たな増幅ベクターが特定された場合はそれを監視し、オンライン・サービスをそれらから保護する。
Configure both inbound and outbound network access controls to limit access to authorised online services and organisations. インバウンドとアウトバウンドの両方のネットワークアクセス管理を設定し、認可されたオンラインサービスと組織へのアクセスを制限する。
・Block anonymous public access for amplification-prone online services if not required. 増幅しやすいオンラインサービスの匿名公開アクセスを、必要なければブロックする。
・Consider implementing a rate-limiting mechanism to reduce the consequences of abuse, if blocking or applying access controls is not possible or appropriate. ブロックやアクセス管理が不可能または適切でない場合は、不正利用の影響を軽減するために、レート制限メカニズムの導入を検討する。
Further information その他の情報
ASD’s Information security manual is a cybersecurity framework that organisations can apply to protect their systems and data from cyberthreats. The advice in the Strategies to mitigate cybersecurity incidents, along with the Essential Eight, complements this framework
.
ASDの情報セキュリティマニュアルは、組織がサイバー脅威からシステムやデータを保護するために適用できるサイバーセキュリティの枠組みである。サイバーセキュリティインシデントを緩和するための「戦略」のアドバイスは、「エッセンシャルエイト」とともに、この枠組みを補完するものである。
The New Zealand Information Security Manual is the New Zealand Government’s manual on information assurance and information systems security. It is a practitioner’s manual designed to meet the needs of agency information security executives as well as vendors, contractors and consultants who provide services to agencies. ニュージーランド情報セキュリティマニュアルは、情報保証と情報システムセキュリティに関するニュージーランド政府のマニュアルである。このマニュアルは、省庁の情報セキュリティ担当幹部、および省庁にサービスを提供するベンダー、請負業者、コンサルタントのニーズに応えるように設計された実務者向けのマニュアルである。
More information on various DoS attack types is available in CISA’s DDoS Quick Guide and Understanding and Responding to Distributed Denial-Of-Service Attacks publication. 様々なDoS攻撃タイプに関する詳細は、CISAの『DDoSクイック・ガイド』および『分散型サービス拒否攻撃の理解と対応」という刊行物に掲載されている

 

 


 

ちょうどオーストラリアの情報セキュリティマニュアルが改訂されているので、参考まで...(3ヶ月毎に改訂されます...)

 

Information security manual

20250323-31428

 


 

ニュージーランドの情報セキュリティマニュアル...

● Government Communications Security Bureau - New ZealandInformation Security Manual

最新のマニュアル(2025年3月現在では2024年9月に改訂されたVer.3.8が最新)

・・ISM Document

20250323-32048

 

 

 

 

| | Comments (0)

2025.03.22

警察庁 サイバー空間をめぐる脅威の情勢等 (2025.03.13)

こんにちは、丸山満彦です。

 

警察庁が「サイバー空間をめぐる脅威の情勢等」について公表していますね...

 

【図表4:ランサムウェア被害からの復旧期間と費用の関係性】

私のほうでグラフは作ったのですが...コストがどのくらいかかるのか???という話もよく聞くので...

1_20250322073301

 

「コラム:ランサムウェアに関するサイバー特別捜査部による分析」も興味深いです...

...アンケート結果によると、VPN やリモートデスクトップ用の機器からの侵入が、全体の感染経路の8割以上を占める状況である...

...原因としては、ID・パスワード等が非常に安易であったことや、不必要なアカウントがきちんと管理されずに存在していたことなが挙げられる...

...海外支社等の機器を管理できていなかったためにそこから侵入され、国内の本社が被害に遭う事例...

...試験的に作成したアカウントの安易な認証情報を利用されて侵入された事例...

...土日が休業日の企業を狙う場合に、金曜日の営業終了後にシステムに侵入して月曜日の朝までに暗号化を実行...

...被害企業に侵入口を閉じられた場合でも再侵入できるように遠隔操作可能なソフトウェアをバックドアとして設置...

...侵入時に被害企業のログやバックアップを消去...



警察庁

・2025.03.13 サイバー空間をめぐる脅威の情勢等

・・[PDF] 令和6年におけるサイバー空間をめぐる脅威の情勢等について

20250322-73933

 

 

各種統計...(2025.03.22更新)

  国家公安委員会・警察庁 法務省 公安調査庁
発行年 警察白書 統計書 サイバー空間をめぐる脅威の情勢等 不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況 不正アクセス行為対策等の実態調査・アクセス制御機能に関する技術の研究開発の状況等に関する調査 付録 犯罪白書 サイバー空間における脅威の概況 
  PDF HTML PDF PDF PDF PDF HTML PDF
2025     令和6年 令和6年        
2024 令和6年 令和5年の犯罪 令和5年 令和5年 令和6年   令和6年  2024
2023 令和5年 令和4年の犯罪 令和4年 令和4年 令和5年 令和5年 2023
2022 令和4年 令和3年の犯罪 令和3年 令和3年 令和4年 令和4年 2022
2021 令和3年 令和2年の犯罪 令和2年 令和2年 令和3年 令和3年 2021
2020 令和2年 令和元年の犯罪 令和元年 令和元年 令和2年 令和2年 2020
2019 令和元年 平成30年の犯罪 平成30年 平成30年 令和元年 令和元年  
2018 平成30年 平成29年の犯罪 平成29年 平成29年 平成30年 平成30年  
2017 平成29年 平成28年の犯罪 平成28年 平成28年 平成29年 平成29年  
2016 平成28年 平成27年の犯罪 平成27年 平成27年 平成28年   平成28年  
2015 平成27年 平成26年の犯罪 平成26年 平成26年 平成27年 平成27年  
2014 平成26年 平成25年の犯罪   平成25年 平成26年 平成26年  
2013 平成25年 平成24年の犯罪   平成24年 平成25年 平成25年  
2012 平成24年 平成23年の犯罪   平成23年 平成24年 平成24年  
2011 平成23年 平成22年の犯罪     平成23年   平成23年  
2010 平成22年 平成21年の犯罪     平成22年   平成22年  
2009 平成21年 平成20年の犯罪     平成21年   平成21年  
2008 平成20年 平成19年の犯罪     平成20年   平成20年  
2007 平成19年 平成18年の犯罪     平成19年   平成19年  
2006 平成18年 平成17年の犯罪     平成18年   平成18年  
2005 平成17年 平成16年の犯罪     平成17年   平成17年  
2004 平成16年 平成15年の犯罪     平成16年   平成16年  
2003 平成15年 平成14年の犯罪         平成15年  
2002 平成14年 平成13年の犯罪         平成14年  
2001 平成13年 平成12年の犯罪         平成13年  
2000 平成12年           平成12年  
1999 平成11年           平成11年  
1998 平成10年           平成10年  
1997 平成9年           平成9年  
1996 平成8年           平成8年  
1995 平成7年           平成7年  
1994 平成6年           平成6年  
1993 平成5年           平成5年  
1992 平成4年           平成4年  
1991 平成3年           平成3年  
1990 平成2年           平成2年  
1989 平成 元年           平成 元年  
1988 昭和63年           昭和63年  
1987 昭和62年           昭和62年  
1986 昭和61年           昭和61年  
1985 昭和60年           昭和60年  
1984 昭和59年           昭和59年  
1983 昭和58年           昭和58年  
1982 昭和57年           昭和57年  
1981 昭和56年           昭和56年  
1980 昭和55年           昭和55年  
1979 昭和54年           昭和54年  
1978 昭和53年           昭和53年  
1977 昭和52年           昭和52年  
1976 昭和51年           昭和51年  
1975 昭和50年           昭和50年  
1974 昭和49年           昭和49年  
1973 昭和48年           昭和48年  
1972             昭和47年  
1971             昭和46年  
1970             昭和45年  
1969             昭和44年  
1968             昭和43年  
1967             昭和42年  
1966             昭和41年  
1965             昭和40年  
1964             昭和39年  
1963             昭和38年  
1962             昭和37年  
1961             昭和36年  
1960             昭和35年  

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.12.30 公安調査庁 サイバー空間における脅威の概況2024 (2024.12)

・2024.10.31 警察庁 令和5年の犯罪 (2024.10)

・2023.10.31 警察庁 令和4年の犯罪 (2023.10.20)

・2023.06.08 公安調査庁 サイバー空間における脅威の概況2023 (2023.05.25)

・2023.03.17 警察庁 令和4年におけるサイバー空間をめぐる脅威の情勢等について

・2022.04.17 公安調査庁 サイバー空間における脅威の概況2022

・2022.04.12 警察庁 令和3年におけるサイバー空間をめぐる脅威の情勢等について (2022.04.07)

 

| | Comments (0)

国家公安委員会 総務省 経済産業省 不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況 (2025.03.13)

こんにちは、丸山満彦です。

不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況について今年も発表されています...

「インターネットバンキングでの不正送金等」が問題ということですよね...

20250322-64815

 

 

20250322-64914

 

年代別...

年次/区分 平成27年 平成28年 平成29年 平成30年 令和元年 令和2年 令和3年 令和4年 令和5年 令和6年
14~19歳 53 62 92 48 55 48 60 68 73 72
20~29歳 43 56 87 48 93 103 87 104 103 105
30~39歳 41 48 36 37 50 52 43 55 53 42
40~49歳 29 29 28 26 22 17 30 15 21 18
50~59歳 5 3 11 10 12 9 11 14 8 17
60歳以上 2 2 1 4 2 1 4 1 1 5
計(人) 173 200 255 173 234 230 235 257 259 259

 

年次/区分 平成27年 平成28年 平成29年 平成30年 令和元年 令和2年 令和3年 令和4年 令和5年 令和6年
14~19歳 31% 31% 36% 28% 24% 21% 26% 26% 28% 28%
20~29歳 25% 28% 34% 28% 40% 45% 37% 40% 40% 41%
30~39歳 24% 24% 14% 21% 21% 23% 18% 21% 20% 16%
40~49歳 17% 15% 11% 15% 9% 7% 13% 6% 8% 7%
50~59歳 3% 2% 4% 6% 5% 4% 5% 5% 3% 7%
60歳以上 1% 1% 0% 2% 1% 0% 2% 0% 0% 2%

 

20代までで概ね2/3...

 

警察庁

・2025.03.13 不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況

・・[PDF] 不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況

20250322-64507

 

総務省

・2025.03.13 不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況

・・[PDF] 別紙

 

 

経済産業省

見つけられない...

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2020.03.06 不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況

・2005.02.28 不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況



 

 

| | Comments (0)

デジタル庁 電子署名法認定基準のモダナイズ検討会報告書 (2025.03.21)

こんにちは、丸山満彦です。

デジタル庁で開催されていた電子署名法認定基準のモダナイズ検討会から、報告書が公表されていますね...

電子署名法に基づく特定認証業務の認定の基準が法施行(2000年成立、2001年施行)当初から改訂がされていないが、この間の変化を踏まえての改訂の検討ということですかね...

論点は次の6つ...

  1. 情報セキュリティに関するリスクマネジメントの国際基準に照らし合わせた規定
  2. 認証局の秘密鍵を管理する暗号装置の技術基準の更新
  3. 国際的な基準を満たしつつクラウドサービスへの拡張等が可能となるようなセキュリティ基準の検討
  4. 認証設備室の外からの遠隔操作パブリッククラウドサービスの利用の規定
  5. 利用者の真偽の確認における自動化の規定
  6. 公的個人認証法に基づいて署名検証者の認定を受ける特定認証業務を行う者の基準との差異の解消

 

委員...

漆嶌 賢二    GMO グローバルサイン株式会社事業企画部 フェロー
小田嶋 昭浩    電子認証局会議 理事
松本 泰    特定非営利活動法人日本ネットワークセキュリティ協会 フェロー
満塩 尚史    順天堂大学健康データサイエンス学部 准教授
宮内 宏    宮内・水町 IT 法律事務所 弁護士

 

検討結果...

1. 情報セキュリティに関するリスクマネジメントの国際基準に照らし合わせた規定

  • 情報セキュリティに係るリスクの評価と対応について、認定基準として新たに求めるべき(この際、非常時を念頭に置いた責任や権限の明確化等が改めて図られることは、円滑なリスクへの対応を行う観点で推奨される)

2. 認証局の秘密鍵を管理する暗号装置の技術基準の更新

  • 令和 10 年(2028 年)中を目途に FIPS140-3 のレベル3と同等以上の機器への移行を求めることが基本的な考え方
  • その上で、現時点では FIPS140-3 の基準に準拠した製品が限られていることも踏まえ、足下では FIPS140-2 のレベル3と同等以上とすることを認定基準として求めるべき

3. 国際的な基準を満たしつつクラウドサービスへの拡張等が可能となるようなセキュリティ基準の検討

  • 当面は現行の基準とし、クラウド HSM の利活用拡大や HSM に特化した監査に関する基準等の動向に注視しつつ、必要に応じて改めて検討を行うべき

4. 認証設備室の外からの遠隔操作やパブリッククラウドサービスの利用の規定

  • 認証局のリポジトリにおける公開情報の取り扱いについては、パブリッククラウドの利用が認められるべき
  • その他については、利用に係る諸課題について前向きに検討

5. 利用者の真偽の確認における自動化の規定

  • 引き続き自動化を認めるべく電子署名法関係法令等において改めて明確化すべき

6. 公的個人認証法に基づいて署名検証者の認定を受ける特定認証業務を行う者の基準との差異の解消

  • 利用の申込みに際して本人確認のためにマイナンバーカード署名用電子証明書等による電子署名が付される場合は、利用者が電子証明書の利用申込みと同時に利用者署名検証符号を送付する方式を認めるべき

 

 

デジタル庁

電子署名法認定基準のモダナイズ検討会

・・[PDF] 令和6年度電子署名法認定基準のモダナイズ検討会報告書

 

20250322-43303

 

 

通常考えられる論点に対する通常想定される回答... なので、具体的に動く感じですかね...

 

| | Comments (0)

2025.03.21

英国 NSCS 耐量子暗号への移行スケジュールを発表 (2025.03.20)

こんにちは、丸山満彦です。

英国のNCSC長官が耐量子暗号への移行スケジュールを発表していますね...

2028年までに移行計画を決め、重要なものについては2031年までに、それ以外も2035年までに移行を完了するというスケジュールのようです...

米国と同様のスケジュールですね...

EU各国も2026年までには移行計画を発表し、概ね同じスケジュール感で公表してくるのだろうと思います。日本から正式な移行計画が出されるのかはわかりませんが、このスケジュール感で移行を計画すれば問題ないのでしょうかね...

 

U.K. National Cyber Security Centre: NCSC

1_20250209050301

アナウンス...

・2025.03.20 Cyber chiefs unveil new roadmap for post-quantum cryptography migration

Cyber chiefs unveil new roadmap for post-quantum cryptography migration サイバーセキュリティ責任者が、耐量子暗号への移行に向けた新たなロードマップを発表
New guidance from the NCSC outlines a three-phase timeline for organisations to transition to quantum-resistant encryption methods by 2035. NCSCが新たに発表した指針では、2035年までに量子耐性暗号方式への移行を目指す組織向けの3段階のタイムラインが概説されている。
・NCSC issues new guidance to help protect against future quantum computing threats.  ・NCSCは、将来の量子コンピューティングの脅威に対する防御を支援する新たな指針を発表した。
・Advice outlines a three-phase timeline for key sectors and organisations to transition to quantum-resistant encryption methods by 2035.  ・この指針では、2035年までに量子耐性暗号方式への移行を目指す主要部門および組織向けの3段階のタイムラインが概説されている。
・Adoption of post-quantum cryptography (PQC) is encouraged, as current encryption standards – used to protect banking, secure communications and other sensitive data – are vulnerable to power of quantum computers.  ・現在の暗号化標準は、銀行業務や安全な通信、その他の機密データの保護に使用されているが、量子コンピュータの能力に対して脆弱性があるため、耐量子暗号(PQC)の採用が推奨されている。
The UK's cyber security agency has today issued new guidance to help the nation prepare for and protect against threats posed by future developments in quantum computing 英国のサイバーセキュリティ機関は本日、量子コンピュータの将来的な発展による脅威への備えと防御を支援するための新たな指針を発表した。
The guidance, published by the National Cyber Security Centre (NCSC) – part of GCHQ – emphasises the importance of post-quantum cryptography (PQC), which is a new type of encryption designed to safeguard sensitive information from the future risks posed by quantum computers.  GCHQの一部である国家サイバーセキュリティセンター(NCSC)が発表したこのガイドラインでは、量子コンピュータが将来的にもたらすリスクから機密情報を保護するために設計された新しい暗号化方式である耐量子暗号(PQC)の重要性が強調されている。
While today’s encryption methods – used to protect everything from banking to secure communications – rely on mathematical problems that current-generation computers struggle to solve, quantum computers have the potential to solve them much faster, making current encryption methods insecure.  今日の暗号化手法(銀行業務から安全なコミュニケーションまで、あらゆるものを防御するために使用されている)は、現行のコンピューターでは解決が困難な数学的問題に依存しているが、量子コンピューターはそれらをはるかに高速に解決できる可能性があり、現在の暗号化手法は安全ではなくなる。
Migrating to PQC will help organisations stay ahead of this threat by deploying quantum-resistant algorithms before would-be attackers have the chance to exploit vulnerabilities.    PQCへの移行は、攻撃者が脆弱性を悪用する前に量子耐性アルゴリズムを展開することで、組織がこの脅威に先手を打つのに役立つ。  
The new guidance encourages organisations to begin preparing for the transition now to allow for a smoother, more controlled migration that will reduce the risk of rushed implementations and related security gaps. It outlines three phases for migration:  この新しい指針では、組織が移行の準備を今から始めることを推奨しており、よりスムーズで管理された移行を実現することで、性急な実装や関連するセキュリティギャップのリスクを軽減できる。 移行には3つのフェーズがある。
To 2028 – identify cryptographic services needing upgrades and build a migration plan.  2028年まで – 移行が必要な暗号化サービスを識別し、移行計画を策定する。
From 2028 to 2031 – execute high-priority upgrades and refine plans as PQC evolves.  2028年から2031年 – 優先度の高い移行を実施し、PQCの進化に合わせて計画を修正する。
From 2031 to 2035 – complete migration to PQC for all systems, services and products.  2031年から2035年 – すべてのシステム、サービス、製品についてPQCへの移行を完了する。
NCSC Chief Technical Officer Ollie Whitehouse said:   NCSCの最高技術責任者であるオリー・ホワイトハウス氏は次のように述べた。
“Quantum computing is set to revolutionise technology, but it also poses significant risks to current encryption methods.  「量子コンピューティングはテクノロジーに革命をもたらすものだが、同時に現在の暗号化方式に重大なリスクをもたらす。
“Our new guidance on post-quantum cryptography provides a clear roadmap for organisations to safeguard their data against these future threats, helping to ensure that today's confidential information remains secure in years to come.  「私たちの新しい耐量子暗号化に関するガイダンスは、将来の脅威からデータを保護するための明確なロードマップを組織に提供し、今日の機密情報が将来も安全に保たれることを保証するのに役立つ。
“As quantum technology advances, upgrading our collective security is not just important – it’s essential.”  「量子技術が進歩するにつれ、私たちのセキュリティを向上させることは重要であるだけでなく、不可欠である。」 
For many small and medium-sized businesses and organisations, migration to PQC will be routine, as service and technology providers will deliver it as part of their normal upgrades. However, for some larger organisations, PQC will require planning and significant investment.  多くの中小企業や組織にとって、PQCへの移行は日常的なものとなるだろう。なぜなら、サービスプロバイダやテクノロジープロバイダが通常のアップグレードの一環として提供するからだ。しかし、一部の大規模な組織にとっては、PQCには計画と多額の投資が必要となる。
By taking proactive steps now, the UK can ensure its digital infrastructure remains robust and secure in the face of quantum advancements.  英国は今から積極的な対策を講じることで、量子技術の進歩にも耐えうる強固で安全なデジタルインフラを確保することができる。 

 

 

移行スケジュール...

Timelines for migration to post-quantum cryptography

 

Timelines for migration to post-quantum cryptography 耐量子暗号への移行スケジュール
Activities which organisations must carry out to migrate safely to post-quantum cryptography in the coming years. 今後数年間にわたって、組織が耐量子暗号化への安全な移行を行うために実施すべき活動。
in this guidance 本ガイダンスにおける
Executive summary エグゼクティブサマリー
Background 背景
Planning your PQC migration PQC移行の計画
PQC migration across different sectors さまざまな分野におけるPQC移行
Maturity of PQC technology PQC技術の成熟
Timelines for PQC migration PQC移行のスケジュール
Next steps 次のステップ
Executive summary エグゼクティブサマリー
The national migration to post-quantum cryptography (PQC), mitigating the threat from future quantum computers, is a mass technology change that will take a number of years. 将来の量子コンピュータの脅威を緩和する耐量子暗号(PQC)への国家的な移行は、数年にわたる大規模な技術的変化である。
The NCSC recognises the need both to offer guidance on some of the early-stage migration activities, and to set some indicative timelines that UK industry, government and regulators can follow. In this guidance, the NCSC sets out some key target dates for migration activities.  NCSCは、初期段階の移行活動に関する指針を提供する必要性と、英国の産業、政府、規制当局が従うべき指針となるスケジュールを設定する必要性を認識している。本ガイドラインでは、NCSCは移行活動に関するいくつかの重要な目標日を設定している。
Although the core timelines are relevant to all organisations, this guidance is primarily aimed at technical decision-makers and risk owners of large organisations, operators of critical national infrastructure systems including industrial control systems, and companies that have bespoke IT. Different sectors will have different current states of cryptographic maturity, and so the weight of activities might vary across the three periods, but a focus on those headline dates is important for investment decisions and broader cyber security planning. 中核となるスケジュールはすべての組織に関連するものであるが、このガイダンスは主に、大規模な組織の技術的決定者およびリスク管理者、産業用制御システムを含む重要な国家インフラシステムの運用者、および特注のITを導入している企業を対象としている。 暗号化の成熟度は各セクターによって異なるため、3つの期間における活動の比重は異なる可能性があるが、これらの主要な日付に焦点を当てることは、投資の決定やより広範なサイバーセキュリティ計画にとって重要である。
The key milestones are: 主なマイルストーンは以下の通りである。
By 2028 2028年までに
・Define your migration goals ・移行目標を定義する
・Carry out a full discovery exercise (assessing your estate to understand which services and infrastructure that depend on cryptography need to be upgraded to PQC) ・完全な調査を実施する(暗号化に依存するサービスやインフラを把握し、PQCへのアップグレードが必要かどうかをアセスメントする
・Build an initial plan for migration ・移行の初期計画を策定する
By 2031 2031年までに
Carry out your early, highest-priority PQC migration activities 優先度の高いPQC移行活動を早期に実施する
Refine your plan so that you have a thorough roadmap for completing migration 移行完了までの詳細なロードマップを作成するために計画を修正する
By 2035 2035年までに
・Complete migration to PQC of all your systems, services and products ・すべてのシステム、サービス、製品をPQCに移行する
There will be a small set of more rarely used technologies for which migration by 2035 may be more difficult. This may impact some sectors more than others, but all organisations should work towards these key dates
.
2035年までに移行が難しいと思われる、使用頻度の低いテクノロジーのセットも存在する。これは、一部のセクターにより大きな影響を与える可能性があるが、すべての組織はこれらの期限に向けて取り組むべきである。
Note: Most of the work needed to prepare for and deliver a successful migration involves activities that are central to good cyber security practice. Organisations should use migration as an opportunity to build broader cyber resilience into their systems. 注:移行を成功させるために必要な準備作業のほとんどは、優れたサイバーセキュリティ対策の実践に不可欠な活動である。組織は、移行を機に、より広範なサイバーレジリエンスをシステムに組み込むべきである。

 

 

⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

NISTの耐量子暗号

・2025.03.14 米国 NIST 第5の耐量子暗号化のアルゴリズムとしてHQCを選択 (2025.03.11)

・2025.03.14 米国 NIST IR 8545 NISTの耐量子暗号標準化プロセスの第4ラウンドに関する現状報告書

・2025.03.11 米国 NIST CSWP 39(初期公開ドラフト) 暗号化の機敏性を実現するための考慮事項:戦略と実践

・2025.01.10 米国 NIST SP 800-227(初期公開ドラフト) キーカプセル化メカニズムに関する推奨事項

・2024.11.16 米国 NIST IR 8547(初期公開ドラフト) 耐量子暗号標準への移行について

・2024.11.03 米国 NIST IR 8528 耐量子暗号標準化プロセスにおける追加デジタル署名スキームの第一ラウンドに関する状況報告書

 

・2024.08.14 米国 NIST 耐量子暗号化標準の最初の3つ (FIPS 203, 204, 205) を確定

 

・2023.12.22 NIST SP 1800-38(初期ドラフト)耐量子暗号への移行: 量子安全暗号の実装と採用を検討するための準備

・2023.08.22 米国 CISA NSA NIST 量子対応:耐量子暗号への移行

・2022.10.02 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告(参考文献の追加)

・2022.07.07 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告

 

英国

・2025.03.21 英国 NSCS 耐量子暗号への移行スケジュールを発表 (2025.03.20)

 

ENISA

・2022.10.21 ENISA ポスト量子暗号 - 統合研究

 

日本...

・2024.10.25 政府認証基盤 (GPKI) 政府認証基盤相互運用性仕様書(移行期間編)と移行完了編)  (2024.10.11)

・2024.09.16 金融庁 「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会」(第1回)議事要旨 (会議は2024.07.18)

・2023.09.29 日本銀行金融研究所 量子コンピュータが暗号に及ぼす影響にどう対処するか:海外における取組み

 

 

| | Comments (0)

欧州議会 シンクタンク 欧州の安全保障体制の将来:EUの戦略的自立性に対するジレンマ

こんにちは、丸山満彦です。

現在はEU全体としての安全保障についてはありますが、国防は各国が担うことになっており、EU軍というのはありませんね...そして、米国を含む欧州の国々がEUとは別にNATOを作り主に東の共産主義の脅威に備えていたというのが歴史というところでしょうかね...

ロシアによるウクライナ侵攻。それに伴い安全保障についての見直しが必要となったと思いますが、トランプ=ヴァンス政権の誕生により、欧州の安全保障のさらなる見直しが必要となるということで、少し複雑な分析が必要となっていますね。。。

EUではないがNATOで重要な位置を占める英国、トルコに対する考え方などをどうするのか???ということもありますね...

NATOの加盟国が多くあるEUですら検討をしているので、日本も安全保障について幾つかのシナリオを考えて考え直す必要があるのかもしれませんね...

 

・協調的(Cooperatice co-existence)ロシアとの関係が良好になるというシナリオ...

しかしこれは難しいということで他の4つのシナリオが考えられています...

しかし、これにトランプ=ヴァンス政権の誕生により、米国がNATOから離脱していくことを想定した3つのシナリオも検討されています...

・敵対(Antagonism)米国とNATO間の大西洋横断協力が強化される(ただし、欧州の貢献が大幅に拡大する)という、ますます敵対的な世界というシナリオ

・欧州NATO(European NATO)米国は事実上(必ずしも正式にではないが)NATOを脱退し、NATOは英仏の主導下に入り、ドイツ、ポーランド、イタリア、トルコなどの国々が重要な役割を担う

・欧州防衛連合(the European Defence Union)米国はヨーロッパから離脱し、英国が米国との安全保障協力関係を欧州大陸との関係深化よりも優先する。トルコは独自の地域安全保障アクターとして発展する。

・パッチワーク(patchwork) 欧州が強力な同盟関係を持たず、欧州が遊び場 (playground) と化す、最も破壊的なシナリオ

 

European Parliament - Think Tank

・2025.03.12 The future European security architecture: Dilemmas for EU strategic autonomy

 

The future European security architecture: Dilemmas for EU strategic autonomy 欧州の安全保障体制の将来:EUの戦略的自主性に関するジレンマ
This study first analyses the existing European security architecture, as it has emerged since World War II. It does so from an organisational perspective, looking at NATO, the OCSE and EU defence policy, as well as from a series of national country perspectives, trying to find underlying motives for national defence policies. After looking at recent policy responses to the Russian invasion of Ukraine in the pivotal years since 2022, five scenarios for a possible future European security architecture are presented and explored. These scenarios look in particular at the level of agency of EU Member States and the EU as a whole, also referred to as EU strategic autonomy, and the relationship between the EU and NATO. They also take into consideration the possible outcome of the war in Ukraine, EU-Russia relations and US foreign and defence policy. The scenarios were tested in interviews with 15 security experts. Conclusive remarks and policy considerations indicate markers for future policy actions. 本研究ではまず、第二次世界大戦以降に形成されてきた既存の欧州安全保障体制を分析する。 組織的な観点から、NATO、OCSE(欧州安全保障協力機構)、EUの防衛政策を分析するとともに、一連の各国の視点から、各国の防衛政策の根底にある動機を探る。 2022年以降の重要な年における、ロシアによるウクライナ侵攻に対する最近の政策対応を分析した後、欧州安全保障体制の将来像として考えられる5つのシナリオを提示し、検討する。これらのシナリオでは特に、EU加盟国およびEU全体としての行動レベル、すなわちEUの戦略的自律性、そしてEUとNATOの関係に注目している。また、ウクライナでの戦争の可能性のある結果、EUとロシアの関係、米国の外交および国防政策も考慮している。シナリオは、15人の安全保障専門家へのインタビューで検証された。結論と政策に関する考察は、今後の政策行動の指針を示している。

 

・[PDF]

20250321-51354

 

エグゼクティブサマリー...

Executive summary エグゼクティブサマリー
By waging war on Ukraine, Russia looked for a reset of the European security architecture as established at the end of the Cold War, for a new delimitation of spheres of influence, and a place at the table with the global powers, the US and China. This may come at the expense of the Europeans, as they continue to search for their geopolitical footprint and slowly build a European pillar in NATO. This pillar can benefit from the efforts undertaken in the European Union to build strategic autonomy by bolstering defence capabilities and stepping up industrial defence cooperation. ロシアは、ウクライナに戦争を仕掛けることで、冷戦終結時に構築された欧州の安全保障構造をリセットし、新たな勢力圏を画定し、世界の大国である米国や中国とのテーブルにつくことを期待した。欧州は地政学的な足跡を探し続け、NATOの中に徐々に欧州の柱を築こうとしている。この柱は、防衛力を強化し、産業防衛協力を強化することによって戦略的自律性を構築するために欧州連合(EU)で行われている努力から恩恵を受けることができる。
In this new and changing geopolitical context in which big powers are back, where transactionalism gains ground by the day, and where alliances are tested, Europeans need to rise to the task and the existential challenge ahead of them. Will they take up the challenge or will they suffer their fate? 大国主義が復活し、取引主義が日に日に台頭し、同盟関係が試される、この新たな地政学的状況の変化の中で、欧州人は、目の前の任務と存続の危機に立ち向かう必要がある。果たして欧州人はこの課題に挑戦するのか、それとも運命に翻弄されるのか。
To explore this question, this study started from the view that the future is plural, that there are multiple possible futures, and, hence, different outcomes for a new European security architecture. As the past informs the present and the future, this study looked at security and defence developments which have occurred since World War II, analysing the evolution of key security organisations in Europe - NATO, the CSCE/OSCE and the EU - and the defence policies of nine selected countries. この問いを探求するために、本研究は、未来は複数存在し、複数の可能性のある未来が存在し、それゆえ、新たな欧州の安全保障アーキテクチャには異なる結果がもたらされる、という見解から出発した。過去が現在と未来に影響を与えるように、本研究では、第二次世界大戦以降に起こった安全保障と防衛の進展に注目し、ヨーロッパの主要な安全保障組織(NATO、CSCE/OSCE、EU)の変遷と、選ばれた9カ国の防衛政策を分析した。
After exploring the past and examining the present, with the use of foresight methodology, including consultations with in-house defence experts and interviews with 15 external foreign and security policy experts, this study led to the development of five possible scenarios for a new European security architecture. Drivers of change, internal and external to the EU, were identified and tested. The horizon considered for four scenarios is 2035, while the scenario necessitating a more cooperative international environment is, based on the views of the consulted experts, more likely to happen over a longer period, possibly by 2045 or even 2050. 社内の防衛専門家との協議や社外の外交・安全保障政策の専門家15人とのインタビューを含む先見性の方法論を用いて、過去を探り、現在を検証した後、この研究は、新たな欧州の安全保障アーキテクチャーのための5つの可能なシナリオの策定につながった。EU内外の変化の要因が特定され、検証された。4つのシナリオは2035年を視野に入れたが、より協力的な国際環境を必要とするシナリオは、専門家の意見によれば、2045年、あるいは2050年といった、より長い期間をかけて実現する可能性が高い。
The expert interviews pointed to an increasingly antagonistic world in the next decade, which is reflected in four of the scenarios - Antagonism, European NATO, the European Defence Union and Patchwork. These scenarios take into consideration the degree of (dis)engagement of the US from Europe, EU-NATO relations, the possible outcome of the Ukraine war, and the actions of Russia and China. Whilst Antagonism can largely be seen as a continuation of the current state of play, with a solid transatlantic relationship anchored in NATO, the Patchwork scenario is the most disruptive, with no strong alliance and where Europe becomes a playground. Conversely, the study demonstrates that a new détente (relaxation of relations among global powers) leading to a more cooperative world needs a new triggering factor. This scenario, entitled Cooperative co-existence, would require beyond a decade possibly to happen. 専門家へのインタビューでは、今後10年間はますます敵対した世界になっていくことが指摘され、それは4つのシナリオ(敵対欧州NATO欧州防衛連合パッチワーク)に反映されている。これらのシナリオは、米国の欧州からの(非)関与の度合い、EUとNATOの関係、ウクライナ戦争の起こりうる結果、ロシアと中国の行動を考慮している。敵対シナリオは、NATOを軸とした強固な大西洋横断的関係という現状を継続するものであるが、パッチワークシナリオは、強力な同盟関係を持たず、欧州が遊び場と化す、最も破壊的なシナリオである。逆に、より協力的な世界へと導く新たなデタント(グローバル大国間の関係緩和)には、新たな誘発要因が必要であることを本研究は示している。協力的共存と題されたこのシナリオが実現するには、おそらく10年以上の時間が必要だろう。
The analysis shows that Europeans would need to compensate for further US disengagement from Europe, if this happens, either through a European NATO or a European Defence Union - if, in the long run, they wish to matter as a geopolitical actor both for their allies and for their competitors. 分析によれば、欧州諸国は、長期的に見て、同盟国にとっても競争相手にとっても重要な地政学的アクターとなることを望むのであれば、欧州NATOまたは欧州防衛連合を通じて、米国の欧州からのさらなる離脱を補う必要がある。
Otherwise, European nations and the EU are at risk of becoming irrelevant, an existential risk they face collectively and individually. To counter this risk, the study confirms that Europeans need to increase defence funding - in the case of further US disengagement possibly by above 5% of GDP - strengthen their capabilities, including nuclear and space capabilities, keep pace with the technological race and bolster the European defence industrial network. そうでなければ、欧州諸国とEUは無用の存在となるリスクを負うことになる。このリスクに対抗するためには、欧州は防衛資金を増額する必要があり、米国の離脱がさらに進んだ場合には、GDPの5%以上の増額が必要となる可能性があること、核および宇宙能力を含む能力を強化する必要があること、技術競争に後れを取らないようにする必要があること、欧州の防衛産業ネットワークを強化する必要があることを、本調査は確認している。
The study presents a number of policy considerations which may prove useful for policy-makers. They describe, for instance, how, by developing its strategic autonomy, the EU may enhance its agency in defence matters, preserve transatlantic ties and allow the European interest to prevail. この研究は、政策立案者にとって有用と思われる多くの政策的考察を提示している。例えば、戦略的自治を発展させることで、EUが防衛問題においてその主導権を強化し、大西洋を越えた結びつきを維持し、欧州の利益を優先させる方法について述べている。

 

目次...

1. ntroduction 1.はじめに
2. Organisational perspectives: Cold War and beyond 2. 組織の視点 冷戦とそれ以降
2.1. 1945-1989: Cold War and NATO primacy 2.1. 1945-1989: 冷戦とNATOの優位性
2.1.1. 1940s: Emergence and development of NATO 2.1.1. 1940s: NATO
2.1.2. 1950s: The failure of the European Defence Community の出現と発展 2.1.2. 1950s: 欧州防衛共同体の失敗
2.1.3. 1960s: Cold War peak and tensions inside the Warsaw Pact and NATO 2.1.3. 1960s: 冷戦のピークとワルシャワ条約機構内の緊張とNATO
2.1.4. 1970s: Détente, disarmament and the CSCE 2.1.4. 1970s: デタント、軍縮、CSCE
2.1.5. 1980s: Rearmament and disarmament 2.1.5. 1980s: 再軍備と軍縮
2.2. 1990-2021: The post-Cold War order 2.2. 1990-2021: 冷戦後の秩序
2.2.1. 1990s: Reshaping Europe's security architecture - NATO and the OSCE 2.2.1. 1990s: ヨーロッパの安全保障構造の再構築 - NATOとOSCE
2.2.2. 1990s: New EU defence initiatives 2.2.2. 1990s: EU の新たな防衛構想
2.2.3. 2000-2021: NATO's mission and enlargement, and the OSCE's role 2.2.3. 2000-2021: NATOの任務と拡大、およびOSCEの役割
2.2.4. 2000-2021: EU defence cooperation and neighbourhood stabilisation 2.2.4. 2000-2021: EU の防衛協力と近隣地域の安定化
3. Country perspectives from West to East 3. 西から東への国別展望
3.1. West: Three Atlantic views 3.1. 西側 大西洋の3つの視点
3.1.1. The US: The transatlantic view of Europe 3.1.1. 米国: 大西洋を越えた欧州観
3.1.2. The UK: Balancing between continents 3.1.2. イギリス 大陸間のバランス
3.1.3. France: Advocate of European solutions 3.1.3. フランス 欧州の解決策を提唱する
3.2. Middle: Three kinds of balancing act 3.2. 中間:3つのバランス
3.2.1. Germany: The difficult road from defeat to leadership 3.2.1. ドイツ:敗北からリーダーシップへの困難な道のり
3.2.2. Austria: Neutrality on the (former) East-West divide 3.2.2. オーストリア: かつての)東西分断における中立
3.2.3. Finland: From neutrality to NATO 3.2.3. フィンランド: 中立からNATOへ
3.3. East: Differing views from the continent 3.3. 東側: 大陸からの見解の違い
3.3.1. Poland: The voice of new NATO members 3.3.1. ポーランド NATO新加盟国の声
3.3.2. Türkiye: A Eurasian NATO ally 3.3.2. トルコ: ユーラシアのNATO盟主
3.3.3. Russia: From superpower to outsider 3.3.3. ロシア: 超大国からアウトサイダーへ
4. The European security environment since 2022 4. 2022年以降の欧州の安全保障環境
4.1. Effects of the war in Ukraine on security actors 4.1. ウクライナ戦争の安全保障関係者への影響
4.1.1. Repositioning NATO 4.1.1. NATOの再配置
4.1.2. Rethinking the OSCE 4.1.2. OSCEの再考
4.1.3. The European Political Community as a new format 4.1.3. 新しい枠組みとしての欧州政治共同体
4.2. Effects of the war in Ukraine on EU defence policies 4.2. ウクライナ紛争が EU の防衛政策に及ぼす影響
4.2.1. Measures focused on Ukraine 4.2.1. ウクライナに焦点を当てた対策
4.2.2. Measures focused on EU defence at large 4.2.2. EU 防衛全体に焦点を当てた措置
4.2.3. Strategic views on EU defence and financing 4.2.3. EU の防衛と資金調達に関する戦略的見解
5. Future perspectives for a European security architecture 5. 欧州安全保障体制の将来展望
5.1. Recent views on the future of Europe's security situation. 5.1. 欧州の安全保障状況の将来に関する最近の見解
5.2. Five scenarios for Europe's security 5.2. 欧州の安全保障に関する5つのシナリオ
5.2.1. Identifying drivers of change for a European security architecture 5.2.1. 欧州の安全保障アーキテクチャを変化させる要因の識別
5.2.2. Building five scenarios 5.2.2. 5つのシナリオの構築
5.2.3. Comparing the scenarios 5.2.3. シナリオの比較
6. Concluding remarks and policy considerations 6. 結語と政策に関する考察
6.1. Possible futures 6.1. あり得る未来
6.2. Policy considerations 6.2. 政策に関する考察

 

5つのシナリオ...

20250321-52555

 

結語と政策に関する考察...

6. Concluding remarks and policy considerations 6. 結語と政策に関する考察
Russia's full-scale invasion of Ukraine brought war back to the European continent, shaking Europes existing security architecture. This study has delved into history, considering the evolution of the European security architecture during the Cold War and in the post-Cold War period by examining the roles of key international organisations - NATO, the EU and the OSCE - and the security policies of nine selected countries - Austria, Finland, France, Germany, Poland, Russia, Türkiye, the UK and the US. This journey into history was complemented by an overview of the present debates sparked by Russia's invasion of Ukraine. The exploration of the past and the present allowed us to imagine - with the use of foresight methodology, including 15 in-depth interviews with experts - multiple possible futures for a European security architecture. These possible futures took the form of five scenarios. Four of these were developed with 2035 as a horizon in mind and one, which entails a new détente with Russia, with 2045 as a horizon, given that the consulted experts considered it unlikely to happen before. ロシアによるウクライナへの全面侵攻は、ヨーロッパ大陸に再び戦争をもたらし、ヨーロッパの既存の安全保障体制を揺るがした。本研究では、NATO、EU、OSCEという主要な国際機関の役割と、オーストリア、フィンランド、フランス、ドイツ、ポーランド、ロシア、トルコ、英国、米国の9か国の安全保障政策を検証することで、冷戦期と冷戦後の欧州安全保障体制の変遷について歴史を掘り下げて考察した。この歴史への旅は、ロシアによるウクライナ侵攻によって引き起こされた現在の論争の概観によって補完された。過去と現在を調査することで、専門家への15件の詳細なインタビューを含む予測手法を活用し、欧州安全保障体制の複数の可能な未来を想像することができた。これらの可能な未来は5つのシナリオの形を取った。そのうち4つは2035年を視野に入れて作成され、1つはロシアとの新たな緊張緩和を伴うもので、2045年を視野に入れている。これは、専門家へのヒアリングの結果、それ以前に起こる可能性は低いと判断されたためである。
6.1. Possible futures 6.1. 考えられる未来
The vast majority of experts interviewed agreed to take the scenario of an increasingly antagonistic world in which the transatlantic cooperation between the US and NATO will be strengthened - although with a much bigger European contribution - as the baseline scenario. This scenario was named Antagonism. Experts acknowledge the crucial role of deterrence through US nuclear weapons and the importance of strong US leadership. However, this assumes that the US is still willing and able to offer its leadership. Although most experts consider this pathway not only as most likely, but also as desirable, they acknowledge that consensual US leadership will be more challenging with Donald Trump as US President. Recent statements by Trump calling into question the integrity of Canada or Greenland are not helpful in fostering the necessary cooperation and consensus. Under this scenario, it will be necessary to define more clearly what the contribution of European allies to transatlantic security is or could be. This will include questions on the EU-NATO relationship. インタビューに応じた専門家の大多数は、米国とNATO間の大西洋横断協力が強化される(ただし、欧州の貢献が大幅に拡大する)という、ますます敵対的な世界というシナリオを基本シナリオとして採用することに同意した。このシナリオは「敵対」と名付けられた。専門家は、米国の核兵器による抑止力の重要な役割と、米国の強力なリーダーシップの重要性を認めている。ただし、これは米国が依然としてそのリーダーシップを発揮する意思と能力を有しているという前提である。ほとんどの専門家は、このシナリオが最も可能性が高いだけでなく、望ましいとも考えているが、ドナルド・トランプが米国大統領である限り、米国の合意に基づくリーダーシップはより困難になることを認めている。トランプが最近行った、カナダやグリーンランドの誠実さを疑うような発言は、必要な協力と合意を促進する上で有益ではない。このシナリオでは、欧州の同盟国が大西洋横断の安全保障にどのような貢献をしているか、または貢献できるかをより明確に定義する必要がある。これには、EUとNATOの関係に関する問題も含まれる。
When substantial differences of opinion between the US and its European partners cannot be bridged, European countries could take full responsibility for their own security. Based on the views of the experts, two scenarios were developed, named European NATO and European Defence Union. Under the European NATO scenario, the US would de facto (but not necessarily formally) leave NATO, which would come under Franco-Britishleadership, with important roles for countries like Germany, Poland, Italy or Türkiye. These European allies would have to develop their strategic enablers strongly, in particular air defence and intelligence, and may have to develop nuclear capabilities and strategies. 米国と欧州のパートナーとの間に大きな意見の相違が埋められない場合、欧州諸国は自国の安全保障に全責任を負うことになる。専門家の意見に基づき、2つのシナリオが考案された。欧州NATOと欧州防衛同盟である。欧州NATOシナリオでは、米国は事実上(必ずしも正式にではないが)NATOを脱退し、NATOは英仏の主導下に入り、ドイツ、ポーランド、イタリア、トルコなどの国々が重要な役割を担うことになる。これらのヨーロッパの同盟国は、特に防空と情報収集において、戦略的基盤を大幅に強化する必要があり、核戦力と核戦略を開発しなければならない可能性もある。
Under the European Defence Union (EDU) scenario, the US would equally disengage from Europe, but this time the UK would prefer security cooperation with the US to deepening ties with continental Europe. Türkiye would develop itself as a regional security actor on its own. The remaining European NATO allies that are members of the EU would develop their defence capacity in a much more federalised EU. Former European NATO allies that are not EU members, such as Norway, could enter into security cooperation agreements with the EDU. This scenario was considered very difficult to achieve and it would involve an even larger increase in defence spending by those countries in the EDU. ヨーロッパ防衛同盟(EDU)シナリオでは、米国は同様にヨーロッパから離脱するが、今回は英国が米国との安全保障協力関係を欧州大陸との関係深化よりも優先する。トルコは独自の地域安全保障アクターとして発展する。EU加盟国であるNATOの欧州諸国同盟国は、より連邦化されたEUにおいて防衛能力を発展させるだろう。EU非加盟国であるノルウェーなどのNATOの欧州諸国同盟国は、EDUと安全保障協力協定を結ぶ可能性がある。このシナリオは実現が非常に難しいと考えられており、EDU諸国による防衛費の増加はさらに拡大するだろう。
Experts agreed that détente between NATO countries and Russia will be difficult and rather unlikely in the coming decade, although some underlined the importance of dialogue to avoid escalation of the war in Ukraine. They considered that strategic competition between the US and China would likely continue, which would not be conducive to a reduction of tensions in the Pacific. The overall view of experts was therefore that détente, both in Europe and the Pacific, is not likely to happen before the mid-2030s. Only then, could the currently paralysed OSCE possibly reprise its role as a meaningful platform for dialogue with Russia and facilitator of a cooperative security architecture in Europe. This could include steps towards arms control and disarmament, which should be linked to global negotiations on arms control including all nuclear powers, in particular China. Future forms of cooperation on arms control should learn from the past and be stronger, based on transparency and mutual inspections. This will only be possible in a world with more mutual trust between countries. This scenario of détente in the long term was named Cooperative Co-existence. 専門家らは、NATO諸国とロシアの緊張緩和は今後10年間は困難であり、実現可能性も低いという点で意見が一致した。ただし、ウクライナでの戦争のエスカレートを回避するための対話の重要性は強調された。専門家らは、米国と中国の戦略的競争は今後も継続する可能性が高く、それは太平洋地域の緊張緩和にはつながらないだろうと見ている。したがって、専門家らの全体的な見解は、欧州と太平洋の両方において、緊張緩和は2030年代半ばまでは実現しないだろうというものだった。その時になって初めて、現在麻痺しているOSCEが、ロシアとの対話の有意義なプラットフォーム、そして欧州における協力的安全保障体制の促進役として、その役割を再び担うことができるだろう。これには、軍備管理および軍縮に向けた措置が含まれる可能性があるが、これは、すべての核保有国、特に中国を含む軍備管理に関する世界的な交渉と関連付けるべきである。軍備管理に関する今後の協力形態は、過去から学び、透明性と相互査察を基盤として、より強固なものでなければならない。これは、各国間の相互信頼がより深まった世界においてのみ可能となる。長期的な緊張緩和のシナリオは「協調的共存」と名付けられた。
Whereas continued antagonism between Russia (and Belarus) and its western European neighbours is most likely to lead to some form of alliance countering Russia - be it more American- or European led - experts did not exclude a scenario in which no strong alliance emerges. In such a Patchwork scenario, Europe would increasingly be divided into spheres of influence of non-European powers. Based on the views of our experts, none of the scenarios includes an escalation of the war in Ukraine possibly involving NATO directly in the conflict. However, even if this did occur, the five scenarios presented would probably largely cover the outcome in terms of a future European security architecture after such escalation. ロシア(およびベラルーシ)と西欧諸国との間の敵対関係が続けば、ロシアに対抗する何らかの同盟が結ばれる可能性が高いが、その同盟はアメリカ主導か欧州主導かという違いはあるだろう。専門家たちは、強力な同盟が結ばれないというシナリオも排除していない。このようなパッチワークのシナリオでは、ヨーロッパはますます非ヨーロッパ勢力の勢力圏に分割されていくことになるだろう。専門家たちの見解に基づけば、いずれのシナリオにおいても、ウクライナでの戦争がエスカレートし、NATOが直接的に紛争に関与する可能性は低い。しかし、そのような事態が発生したとしても、提示された5つのシナリオは、おそらくそのようなエスカレート後の将来のヨーロッパ安全保障体制の帰結をほぼ網羅しているだろう。
6.2. Policy considerations 6.2. 政策に関する考察
Although this study focused primarily on exploring possible futures for a European security architecture, it is possible to draw some policy considerations based on the five scenarios and the historical analysis. These policy considerations are not linked to one particular scenario, but span across the different scenarios. They represent a number of distinct but mutually reinforcing conclusions that need to be taken into account for policy-making in the short to medium term. We present them as a series of double statements, showing two sides of each issue, to do justice to the dilemmas and complexity involved in decision-making on the future of Europe's security. It will be up to policymakers to find the right balance and synthesis in moving these policies into the future. 本研究は、欧州の安全保障体制の将来像の可能性を探ることを主眼としているが、5つのシナリオと歴史的分析に基づいて、政策に関するいくつかの考察を導き出すことができる。これらの政策に関する考察は、特定のシナリオに限定されるものではなく、さまざまなシナリオにまたがるものである。これらは、短期的から中期的な政策立案を考える上で考慮すべき、いくつかの明確な結論であり、相互に補強し合うものである。欧州の安全保障の将来に関する意思決定に内在するジレンマと複雑性に相応しいものとするため、各問題の2つの側面を示す2文のセットとして提示する。これらの政策を将来に生かしていく上で、適切なバランスと総合性を導き出すのは政策立案者たちの役割である。
NATO is purposeful in an antagonistic world but is not a security architecture covering the whole of Europe NATOは敵対的な世界において意図的に作られたものであるが、欧州全体をカバーする安全保障機構ではない
NATO emerged as the main security organisation during the Cold War and was strongest in an antagonistic and bipolar environment, when it had a clear adversary in the Soviet Union and the Warsaw Pact. Similarly, the relevance and attractiveness of NATO has increased since Russia's aggression against Ukraine, in particular since the 2022 invasion, leading to Finland and Sweden joining the organisation. Germany relies currently for its defence against a possible Russian attack over land mostly on Poland to its east and partly on Finland in the Baltic area. Given the 'frontline position' of these countries, their voice and influence in NATO might increase. NATO might further enlarge, in particular to Ukraine. Although the Alliance has regularly reconfirmed Ukraines perspective for membership - without offering any specific time path - the current US government considers that this is not realistic for now. NATOは冷戦時代に主要な安全保障機構として台頭し、ソ連とワルシャワ条約機構という明確な敵対者が存在した敵対的かつ二極的な環境下で最も力を発揮した。同様に、ロシアによるウクライナ侵略、特に2022年の侵攻以降、フィンランドとスウェーデンがNATOに加盟したことで、NATOの重要性と魅力は高まっている。ドイツは、ロシアからの攻撃に備えて、陸地における防衛を主に東に位置するポーランド、そしてバルト海地域のフィンランドに頼っている。これらの国々の「最前線」という立場を考慮すると、NATOにおけるこれらの国々の発言力や影響力は今後高まる可能性がある。NATOはさらに拡大し、特にウクライナが加盟する可能性もある。NATOはこれまで定期的にウクライナの加盟見通しを再確認してきたが、具体的な時間軸は示していない。しかし、現行の米国政府は、現時点では現実的ではないと見ている。
However, although NATO has maintained its role as a defensive alliance against possible threats and aggression, NATO cannot be considered as a security architecture for the whole of Europe, unless it were to absorb its main adversary, Russia, in the future. This is highly unlikely with the current level of antagonism. The historical analysis has shown that, even during the period of closest rapprochement between NATO and Russia in the 1990s, Russian membership of the organisation or a substantial and equal geopolitical relationship was considered out of reach by both sides. Similar arguments could be applied to Belarus, at least under its present political constellation. To build a more inclusive security architecture for the whole of Europe, NATO would therefore have to develop some sort of relationship with its eastern neighbours or transform itself into a pan-continental organisation absorbing the role and mandate of the OSCE. This could, however, make NATO so diverse that it would be less resilient and stable. This has been the experience of the OSCE, which is very inclusive but has proven not to be resilient to the challenge of an attack on one of its members. しかし、NATOは潜在的な脅威や侵略に対する防衛同盟としての役割を維持してきたが、主要な敵対国であるロシアを将来的に吸収しない限り、NATOはヨーロッパ全体の安全保障機構とはみなされない。現在の敵対関係のレベルでは、それは非常に考えにくい。歴史的分析から、1990年代にNATOとロシアが最も緊密に接近した時期でさえ、ロシアのNATO加盟や実質的かつ対等な地政学的関係は双方にとって実現不可能と考えられていたことが明らかになっている。同様の議論は、少なくとも現在の政治情勢下ではベラルーシにも当てはまる。したがって、ヨーロッパ全体のためのより包括的な安全保障体制を構築するためには、NATOは東欧諸国と何らかの関係を築くか、あるいはOSCEの役割と権限を吸収するような大陸全体をカバーする組織へと変貌を遂げる必要がある。しかし、これはNATOをあまりにも多様化させ、レジリエンスと安定性を損なう可能性がある。これは、非常に包括的であるにもかかわらず、加盟国への攻撃という課題にレジリエンスを発揮できないことが証明されているOSCEの経験である。
NATO membership for parts of Ukraine is possible but comes at a cost ウクライナの一部がNATOに加盟することは可能だが、代償を伴う
During the Cold War, it was possible to integrate part of a divided Germany into NATO, but at the price of deepening the divide between West and East Germany - expressed by the Berlin Wall and the Iron Curtain - and a strengthened security posture by the adversary that founded the Warsaw Pact. Although integration of the free parts of Ukraine into NATO is unlikely with the current US position, the official NATO position still aims at future membership. Therefore, similarly to Germany in 1955, NATO membership or giving strong Western security guarantees to the free parts of Ukraine could be possible after a successfully negotiated ceasefire agreement. A combination of what happens on the battlefield and what can be negotiated would probably decide the location of the dividing line. 冷戦時代には、分裂したドイツの一部をNATOに統合することは可能だったが、その代償として、ベルリンの壁や鉄のカーテンに象徴される東西ドイツ間の分裂が深まり、ワルシャワ条約機構を設立した敵対国による安全保障体制が強化された。ウクライナの自由地域をNATOに統合することは、現在の米国の立場では考えにくいものの、NATOの公式見解は依然として将来的な加盟を目指している。したがって、1955年のドイツと同様に、停戦合意が成功裏に達成された後には、NATO加盟またはウクライナの自由地域に対する強力な西側の安全保障保証が実現する可能性がある。戦場での出来事と交渉可能な事項の組み合わせが、おそらく分断線の位置を決定することになるだろう。
However, such a divide may lead to deepening the gap between the free and occupied parts of Ukraine for a longer period. It could also lead to a strengthened security posture by Russia and one or more of its allies behind an emerging new Iron Curtain. In the case of West Germany during the Cold War, the US was willing to provide the backbone of security guarantees and troops. In the case of Ukraine, European countries are likely to have to provide most of the financial means, weapons and possibly troops to implement such security guarantees. How the security arrangements on the Western side would look, would be subject of political decisions in Europe and the US and would have a crucial influence on which security architecture materialises. しかし、そのような分割は、ウクライナの自由な地域と占領された地域との間の溝を長期にわたって深める可能性がある。また、それはロシアおよびその同盟国の1つ以上による安全保障体制の強化につながり、新たな鉄のカーテンが敷かれる可能性もある。冷戦時代の西ドイツの場合、米国は安全保障の保証と軍のバックボーンを提供することに前向きであった。ウクライナの場合、欧州諸国が安全保障の保証を実施するための資金、兵器、場合によっては軍の大部分を提供する必要がある可能性が高い。西側諸国の安全保障体制がどのようなものになるかは、欧州と米国の政治的決定に委ねられることになり、どのような安全保障体制が実現するかという点に重大な影響を与えることになる。
A complementary EU pillar in NATO enhances EU capacity but does not threaten NATO  NATOにおけるEUの補完的な柱はEUの能力を高めるが、NATOを脅かすものではない
NATO is best placed to decide on security-related matters, such as the necessary defence capacity or the kind of security guarantees for Ukraine. European NATO allies view US statements about a disengagement from its European commitments critically, but this situation presents Europeans with an opportunity to develop their own defence. So far, the EU has complemented NATO mainly through its specific competences in, for instance, cyber security or economic sanctions. Beyond a continuation of those practices, developing an 'EU pillar in NATO' could include strengthening the European defence industry and facilitating the financing of more defence capabilities. Whereas not all NATO allies are meeting the current defence spending target of 2% of GDP, the debate in the Alliance has rapidly shifted towards a spending target between 3% and 5 % of GDP. Although these are intended targets for individual countries national budgets, the EU could back them up by, for instance, European financial instruments. NATOは、必要な防衛能力やウクライナに対する安全保障の保証の種類など、安全保障関連事項を決定する上で最も適した立場にある。欧州のNATO同盟国は、米国による欧州での関与からの撤退に関する声明を批判的に見ているが、この状況は欧州に独自の防衛を発展させる機会をもたらしている。これまでのところ、EUは主にサイバーセキュリティや経済制裁など特定の権限を通じてNATOを補完してきた。こうした慣行を継続するだけでなく、「NATOにおけるEUの柱」を構築することで、欧州の防衛産業を強化し、防衛能力の向上に向けた資金調達を促進することも可能である。NATOの同盟国すべてが現在の防衛支出目標であるGDP比2%を達成しているわけではないが、同盟国間の議論は急速にGDP比3~5%の支出目標へとシフトしている。これらは各国の国家予算における目標値であるが、EUは欧州金融商品などによってこれを支援することができる。
Madeleine Albright's three Ds (no transatlantic decoupling, no duplication, no discrimination of non-EU NATO allies) could largely continue to guide the division of labour between the EU and NATO, but should not hamper the development of the EU's capacity to act. EU support to help Member States achieve a higher spending target or a more efficient defence industry - possibly involving coordination procedures or structures at EU level - do not threaten NATO. In this light, it is useful to recall that the European Defence Community of 1952, commonly perceived as a competitor to NATO, was closely linked to NATO, and was not perceived as a threat by NATO or the US at that time. This closeness to NATO was an important element for its rejection by the French Gaullists in 1954. Views have evolved, and nowadays France is advocating for a stronger EU pillar in NATO. In this vein, NATO should not fear a strong EU pillar in NATO and the EU could show ambition in defining its scope. マドレーン・オルブライトの3つのD(北大西洋のデカップリングなし、重複なし、EU非加盟のNATO同盟国に対する識別的対応なし)は、EUとNATO間のディビジョン・オブ・ワーク(役割分担)を今後も概ね導くことになるが、EUの行動能力の発展を妨げるものではない。加盟国がより高い支出目標を達成したり、より効率的な防衛産業を実現したりするためのEUの支援(EUレベルでの調整手続きや構造の構築を含む可能性もある)は、NATOにとって脅威とはならない。この観点から、一般的にNATOの競合相手と見なされている1952年の欧州防衛共同体(European Defence Community)は、NATOと密接な関係にあり、当時、NATOや米国から脅威とは見なされていなかったことを想起することは有益である。このNATOとの密接な関係は、1954年にフランスのド・ゴール主義者たちによって拒絶された際の重要な要素となった。考え方は変化し、今日ではフランスはNATOにおけるEUのより強固な柱を提唱している。この流れに沿って、NATOはNATOにおけるEUの強固な柱を恐れるべきではなく、EUは自らの範囲を定義する上で野心的な姿勢を示すことができる。
The EU should develop its defence industry but not exclude cooperation with non-EU countries  EUは防衛産業を発展させるべきだが、EU域外国との協力を排除すべきではない 
Acceptance of increased defence spending is growing rapidly in EU Member States, but they still differ in their views on the role of a European defence industry. The development of a European Defence Technology Industrial Base (EDTIB) and procurement rules need to be further agreed among Member States. The EU could overcome the fragmentation of its defence industry by better cooperation and developing 'European champions'. Increased 'buy European' policies may be useful to give sufficient economic perspective to a European defence industry. EU加盟国では防衛費の増加を容認する傾向が急速に高まっているが、欧州の防衛産業の役割については依然として意見が分かれている。欧州防衛技術産業基盤(EDTIB)の構築と調達規則については、加盟国間でさらなる合意が必要である。EUは、より緊密な協力と「欧州のチャンピオン」の育成により、防衛産業の分断を克服できる可能性がある。欧州製品の購入」政策を強化することは、欧州の防衛産業に十分な経済的展望を与える上で有益である可能性がある。
These policies need to be discussed with non-EU partners, in particular the UK and the US, to avoid economic frictions. As US defence procurement is guided by national preference, European countries could apply the same principle. Discussing a European preference policy is not likely to be easy with a US Administration that focuses on American interests, so cooperation rather than competition between European and US defence industries could be a more commonly beneficial way to go. The UK, as a non-EU NATO ally with a strong defence industry, may have a pivotal role in this process. Arrangements on future defence procurement and defence industry cooperation may be an important area to test the repositioning of the UK towards the EU, since a more pro-European Labour government has regained power after a series of anti-European Conservative governments. これらの政策は、経済摩擦を回避するために、EU以外のパートナー、特に英国および米国と協議する必要がある。米国の防衛調達は国内の好みに左右されるため、欧州諸国も同様の原則を適用できる可能性がある。米国の利益を重視する米国政府と欧州の好みに関する政策について協議することは容易ではないと思われるため、欧州と米国の防衛産業間の競争よりも協力を進める方が、より有益な方法である可能性が高い。EU非加盟国であり、強力な防衛産業を有するNATO同盟国である英国は、このプロセスにおいて重要な役割を担う可能性がある。反欧州的な保守党政権が相次いだ後、より親欧州的な労働党政権が再び政権を握ったことを踏まえると、今後の防衛調達や防衛産業協力に関する取り決めは、英国のEUに対する再位置づけを試す重要な分野となる可能性がある。
EU strategic autonomy could preserve transatlantic ties but let European interests prevail EUの戦略的自主性は大西洋間の関係を維持する一方で、ヨーロッパの利益を優先させることができる
The term 'EU strategic autonomy' has long been viewed critically by the US and those NATO allies who feared it would weaken the position of NATO. This perception is progressively changing, whereas the term 'EU pillar in NATO' has gained broad acceptance. European strength in the transatlantic alliance is key, both in the case where the US remains fully engaged in Europe and in the case where they are inclined to 'lead from behind'. This would also require a constructive approach from the US towards development of the EU as a strategically autonomous defence player. This development would require a shared transatlantic vision centred on means, capabilities, technology and industrial development, as well as the political will to implement it. EUの戦略的自主性という言葉は、NATOの地位が弱体化することを懸念する米国やNATOの同盟国から、長い間批判的に見られてきた。しかし、この認識は徐々に変化しており、一方で「EUのNATOにおける柱」という言葉は広く受け入れられるようになってきている。大西洋同盟における欧州の強さは、米国が欧州に完全に深く関与している場合も、米国が「陰に隠れて主導する」傾向にある場合も、いずれにおいても重要である。また、米国がEUを戦略的に自立した防衛プレイヤーとして発展させるための建設的なアプローチも必要となる。この発展には、手段、能力、技術、産業開発を中心とした共有の大西洋横断的ビジョン、およびそれを実行する政治的意思が必要となる。
European countries would be ill-advised to wait for guidance or 'permission' from the US to develop a greater degree of autonomy in their security and defence policies. In view of the changing international environment, which is increasingly characterised by conflict, lack of predictability and infringement of international law, European countries would have to take their own interests seriously, both as individual states and as a group. The role of individual states in defining and supporting EU strategic autonomy is crucial. While France has been the strongest advocate of the concept, acceptance in Poland is growing and hesitation in Germany may have to be reviewed in the light of changing US policies. Because economic constraints are high in France and Germany - two pillars of the Weimar triangle' - but also elsewhere in the EU, financing solutions at the Union's level could become increasingly desired, and in the overall European interest. 欧州諸国が、安全保障および防衛政策における自主性を高めるために、米国からの指針や「許可」を待つのは得策ではない。紛争、予測不能、国際法の侵害がますます顕著になっている国際環境の変化を踏まえ、欧州諸国は、個々の国家として、またグループとして、自国の利益を真剣に考慮しなければならない。EUの戦略的自主性を定義し、それを支援する個々の国家の役割は極めて重要である。フランスがこの概念の最も強力な提唱者である一方、ポーランドでの受け入れも拡大しており、ドイツの躊躇も米国の政策の変化を踏まえて見直す必要があるかもしれない。 フランスとドイツ(ワイマール・トライアングルの2つの柱)をはじめ、EUの他の地域でも経済的な制約が大きいことから、EUレベルでの資金調達による解決策がますます望まれるようになり、ヨーロッパ全体の利益につながる可能性がある。
Alternatives to NATO are more costly but further increase European agency NATOに代わる選択肢はよりコストがかかるが、ヨーロッパの機関をさらに増やす
Security architectures with no or low US engagement and high European responsibility (such as a European NATO and European Defence Union) will be even more costly, because Europeans will have to provide for their own strategic enablers and possibly nuclear capacity. Defence spending is in such cases likely to be well above 3% of GDP, possibly between 5% and 7 %. While such spending levels sound unrealistic in view of the current level, they were normal in several European countries during the Cold War. 欧州が戦略的イネーブラや核戦力を独自に用意しなければならないため、米国の関与が皆無または低く、欧州の責任が重い安全保障構造(欧州NATOや欧州防衛同盟など)は、さらにコストがかかることになる。防衛支出はGDPの3%を大きく上回り、おそらく5%から7%の間になるだろう。このような支出水準は、現在の水準から考えると非現実的に思えるが、冷戦期には欧州のいくつかの国々では通常のことだった。
In case of such a strong US disengagement from Europe, Europeans need to develop a European NATO or European Defence Union, as European strategic autonomy would no longer be a choice but a necessity. Although the costs of developing capacity and possibly new decision-making structures may be high, such alternatives will increase European agency. In this light, US disengagement from Europe is not only a risk, but potentially an opportunity, provided that Europeans succeed in reorganising themselves without US leadership and do not disintegrate under the centrifugal forces of national differences and geopolitical pressure from third countries. 米国がこれほどまでに欧州から離反する場合には、欧州は欧州戦略の自主性を選択ではなく必要不可欠なものとして、欧州NATOあるいは欧州防衛連合を構築する必要がある。能力開発や新たな意思決定構造の構築には多大なコストがかかるかもしれないが、そのような代替案は欧州の行動力を高めることになるだろう。この観点から見ると、米国の欧州離れはリスクであるだけでなく、欧州が米国のリーダーシップなしに再編成に成功し、国家間の相違や第三国からの地政学的圧力による遠心力に打ち負かされずに統合を維持できるのであれば、潜在的な機会ともなり得る。
Europe needs to focus on the future but acknowledge constraints and perceptions from the past  欧州は未来に目を向ける必要があるが、過去の制約や認識も認識しなければならない 
The 'cost of no action' in the area of security and defence is currently high, given the risks emanating from the international environment. European countries and the EU therefore need to focus on their future and actively develop new security policies and actions. They can do so primarily in the framework of the current NATO alliance and EU institutions. They should regularly review their threat analyses, both to identify new risks and to use opportunities for dialogue, adapting to fluctuating threat levels. 安全保障と防衛の分野における「行動しないことによるコスト」は、国際環境から生じるリスクを考慮すると、現在、非常に高い。そのため、欧州諸国とEUは、将来に焦点を当て、新たな安全保障政策と行動を積極的に展開する必要がある。その際、現在のNATO同盟とEU機構の枠組みを主に活用することが可能である。また、新たなリスクを識別し、対話の機会を活用し、変動する脅威レベルに適応するため、脅威分析を定期的に見直すべきである。
In doing so, they should acknowledge constraints and perceptions of other countries, both their allies and their adversaries, which are often rooted in history. Bridging differences in perception and policy will be increasingly important to make alliances work, develop new forms of cooperation, assess adversaries strategies and recognise opportunities for détente. Currently, the deepest difference in perception of what would be the most desirable European security architecture lies between Russia and the vast majority of NATO allies, rooted in differing views of the past. Whereas European NATO allies and EU countries may be united in addressing this challenge, they would also have to deepen understanding for each other's constraints and perceptions to be able to advance together. New challenges may arise between allies, in particular when they advance national interests and geographical claims that are difficult to reconcile with common action. その際には、同盟国および敵対国双方の制約や認識を認識する必要がある。認識や政策の相違を埋めることは、同盟関係を機能させ、新たな協力形態を開発し、敵対国の戦略をアセスメントし、緊張緩和の機会を認識するためにますます重要になる。現在、最も望ましい欧州の安全保障体制に関する認識の最も深い相違は、過去に対する見解の相違に根ざしており、ロシアとNATO同盟国の大多数との間に存在している。欧州のNATO加盟国とEU諸国は、この課題に取り組む上で団結しているかもしれないが、共に前進するためには、互いの制約や認識に対する理解を深める必要がある。特に、共通の行動と調和させるのが難しい国家利益や領土的権利を主張する場合には、同盟国間で新たな課題が生じる可能性がある。
The world needs détente but has to acknowledge that this needs a triggering factor 世界は緊張緩和を必要としているが、その実現には引き金となる要因が必要であることを認めなければならない
Although stepping up defence efforts seems needed in the years to come, the best guarantee for security and prosperity in the long term is détente. This truth is not limited to Europe or the Atlantic area, but equally applies to the Pacific and the world as a whole. Only cooperative co-existence between all countries in the security system, based on commonly agreed rules, can safeguard against war and increase common welfare for all. The human and economic loss of ongoing conflicts is not an acceptable perspective. 今後数年間は防衛努力の強化が必要と思われるが、長期的な安全保障と繁栄の最善の保証は緊張緩和である。この真実はヨーロッパや大西洋地域に限ったことではなく、太平洋や世界全体にも同様に当てはまる。共通の合意に基づくルールに基づく安全保障体制におけるすべての国々の協力による共存のみが、戦争を回避し、すべての人々の共通の福祉を増進することができる。現在進行中の紛争による人的・経済的損失は容認できるものではない。
Our analysis showed, however, that détente is triggered by a crisis (such as the 1962 Cuban missile crisis) or by increased costs of continuing actual or frozen conflict (such as the costs of the Cold War in the 1960s and 1980s). Such costs include economic costs, related to security or caused by lost trade opportunities, and societal costs, in the form of oppressed freedoms or casualties in the case of conflicts. Although nobody wants another crisis, and some experts underlined the importance of dialogue to avoid escalation of the current war in Ukraine, they all acknowledged that détente and new cooperation with Russia is more likely to happen when the costs of non-détente have increased. Furthermore, détente is more likely in a climate that is more inclined towards dialogue and cooperation - for instance, after a change of leadership in Russia and China - combined with the will to reduce tensions in Western countries. しかし、我々の分析では、緊張緩和は危機(1962年のキューバ危機など)や、現実の紛争や凍結された紛争の継続コストの増大(1960年代と1980年代の冷戦のコストなど)によって引き起こされることが示された。このようなコストには、安全保障に関連する、あるいは貿易機会の損失によって引き起こされる経済的コスト、そして紛争による自由の抑圧や死傷者という形での社会的コストが含まれる。誰も新たな危機を望んではいないが、一部の専門家は、ウクライナにおける現在の戦争のエスカレートを回避するための対話の重要性を強調している。しかし、誰もが、緊張緩和を回避することによるコストが増大すればするほど、ロシアとの緊張緩和と新たな協力関係が実現する可能性が高まると認めている。さらに、緊張緩和は、対話と協力に傾く傾向が強い環境下で実現する可能性が高まる。例えば、ロシアと中国で指導者が交代した後、欧米諸国が緊張緩和の意思を持つ場合などである。

 

 

 

| | Comments (0)

2025.03.20

欧州委員会 人間とAIの相互作用が差別に与える影響 (2025.01.10)

こんにちは、丸山満彦です。

欧州委員会のリサーチセンターが、AIと人間の相互作用が差別に与える影響を公表していますね...

AIがあたかも人間のような意思を持った存在と人間が錯覚してしまうので、いろいろと問題が出てくるのかもしれませんね...入力したデータに基づき統計的に計算した出力と考えると、出力されたデータを人間がどのように使うのか?というシンプルな問題だけになるのかもしれません。

そう考えると、データを慎重に使うという話とともに、出力されるデータをできるだけ修正せずに使えるようにするために、どのようなアルゴリズムにしていくべきか?ということにつながっていくのかもしれません。

 

European Commission

・2025.01.10 Understanding the impact of Human-AI interaction on discrimination

Understanding the impact of Human-AI interaction on discrimination 人間とAIの相互作用が識別に与える影響を理解する
Ensuring fairness by going beyond only “Human” checks for AI suggestions AIによる提案に対する「人間」によるチェックのみに留まらない公正性の確保
As AI systems are increasingly used to augment decision-making across high-stakes sectors like credit lending and recruitment, the EU Policy Lab's design and behavioural insights experts decided to explore the critical issue of human oversight in AI-supported decisions. With support from colleagues in the European Centre for Algorithmic Transparency (ECAT), we tried to better understand how humans interact with AI.   AIシステムが、融資や採用など重大な影響を伴う分野における意思決定の強化にますます活用されるようになる中、EU Policy Labのデザインおよび行動洞察の専門家たちは、AIによる支援を受けた意思決定における人間による監視という重要な問題を調査することを決定した。欧州アルゴリズム透明性センター(ECAT)の同僚たちの支援を受け、私たちは人間とAIの相互作用についてより深く理解しようとした。
Fairness in AI: more complex than we thought  AIにおける公平性:私たちが考えていたよりも複雑
One might intuitively believe that human oversight can serve as a check against AI biases. However, our comprehensive study which combines quantitative and qualitative research tells a different story.  人間による監視がAIのバイアスに対するチェック機能として役立つと直感的に考える人もいるかもしれない。しかし、定量的および定性的な調査を組み合わせた包括的な研究からは、異なる結果が示された。
We discovered that human overseers are just as likely to follow advice from AI systems, regardless of whether they are programmed for fairness or not. This suggests that human oversight alone is insufficient to prevent discrimination; in fact, it may even perpetuate it.  人間による監視者は、公平性を目的としてプログラムされているかどうかに関わらず、AIシステムからのアドバイスに従う可能性が高いことが分かった。このことは、人間による監視だけでは差別を防ぐには不十分であり、実際には差別を永続化させる可能性さえあることを示唆している。
Our quantitative experiment involved HR and banking professionals from Italy and Germany, who made hiring and lending decisions influenced by AI recommendations. The results were quite striking: the use of a "fair" AI reduced gender bias for instance, but did not eliminate the influence of pre-existing human biases in decision-making.  私たちの定量的な実験では、イタリアとドイツの人事および銀行の専門家が、AIの推奨に影響を受けながら採用や融資の決定を行った。その結果は非常に衝撃的だった。「公平」なAIを使用することで、例えば性別によるバイアスは減少したが、意思決定における既存の人間のバイアスの影響を排除することはできなかった。
Qualitative insights from interviews and workshops with participants and AI experts echoed these findings. Professionals often prioritised company interests over fairness, highlighting a need for clearer guidelines on when to override AI suggestions.  参加者とAI専門家とのインタビューやワークショップから得られた定性的な洞察も、これらの調査結果を裏付けるものであった。専門家は公平性よりも企業利益を優先することが多く、AIの提案を上書きすべき場合の明確なガイドラインの必要性を強調した。
Towards Systemic Fairness  システム的な公平性に向けて
Our conclusions point to the need for a shift from individual oversight to an integrated system designed to address both human and AI biases. True oversight involves more than just programming AI to be fair or relying on individual judgment. It requires a holistic approach such as:  私たちの結論は、個々の監視から、人間とAIのバイアスを両方に対処するように設計された統合システムへの移行の必要性を示している。真の監視には、AIを公平にプログラミングすることや個人の判断に頼る以上のことが必要である。
・Technical measures to ensure AI systems are designed and updated with fairness in mind.  ・AIシステムが公平性を念頭に置いて設計・更新されることを確実にする技術的対策。
・Organisational strategies to foster a culture that prioritises fairness and provides training on managing AI tools.  ・公平性を優先する文化を醸成し、AIツールの管理に関するトレーニングを提供する組織戦略。
・Policy interventions that establish clear guidelines for human-AI collaboratio ・人間とAIの協働に関する明確なガイドラインを確立する政策介入
1_20250320061201
Empowering Decision-Makers  意思決定者の権限強化 
To effectively mitigate biases, decision-makers need tools and guidelines to help them understand when and how to override AI recommendations. Continuous monitoring and evaluation of AI-assisted outcomes are essential to identify and address emerging biases.  バイアスを効果的に緩和するためには、意思決定者は、AIの推奨をいつ、どのように上書きすべきかを理解するためのツールやガイドラインを必要とする。AIが支援する結果を継続的に監視し評価することは、新たに生じるバイアスを識別し対処するために不可欠である。
Moreover, by giving decision-makers access to data on their performance and potential biases, we can foster a more reflective and responsible approach to AI-supported decision-making.  さらに、意思決定者が、そのパフォーマンスと潜在的なバイアスに関するデータにアクセスできるようにすることで、AIが支援する意思決定に対するより熟考された責任あるアプローチを促進することができる。
Informing the AI Act and Beyond  AI法とその先を見据えて 
Earlier last year the EU AI Act was adopted, setting the standards for AI regulation worldwide. Our findings are particularly relevant for making the AI Act operational, highlighting the implications of human oversight. By providing actionable insights, we aim to inform future standards and guidelines that will not only ensure compliance with the AI Act but also surface practical implementation considerations which are equally important.  昨年前半にはEUのAI法が採択され、世界的なAI規制の標準が定められた。 私たちの調査結果は、特にAI法を運用する上で関連性が高く、人間による監視の意義を浮き彫りにしている。 実行可能な洞察を提供することで、AI法へのコンプライアンスを確保するだけでなく、同様に重要な実用的な実装上の考慮事項を明らかにする、今後の標準やガイドラインに役立てていくことを目指している。
Dig deeper into the matter with our freshly published report, offering a more detailed account of our study and its implications for the future of AI governance.  私たちが新たに発表した報告書では、この問題についてさらに深く掘り下げ、私たちの研究の詳細と、AIガバナンスの未来への影響についてより詳しく説明している。 
Read the report 報告書を読む
Join us in rethinking the role of human oversight in AI. With appropriate regulations and guidelines, we can make sure that the EU can reap the benefits of new technologies while ensuring equitable and responsible decision-making in the digital era.  AIにおける人間による監視の役割について、私たちと一緒に考え直そう。適切な規制とガイドラインがあれば、EUはデジタル時代における公平で責任ある意思決定を確保しながら、新しいテクノロジーの恩恵を確実に享受することができる。
If you would like to find out more about this project, take a look at some methods we used here Fair decision-making: Can humans save us from biased AI? - European Commission このプロジェクトについてさらに詳しく知りたい方は、以下で使用した手法の一部をご覧ください。 公正な意思決定:人間はバイアスのかかったAIから私たちを救えるか? - 欧州委員会

 

 

・2025.01.10 The Impact of Human-AI Interaction on Discrimination

The Impact of Human-AI Interaction on Discrimination 人間とAIの相互作用が差別に与える影響
Subtitle: A large case study on human oversight of AI-based decision support systems in lending and hiring scenarios. 副題:融資と雇用におけるAIベースの意思決定支援システムに対する人間による監視に関する大規模なケーススタディ。
Abstract: This large-scale study assesses the impact of human oversight on countering discrimination in AI-aided decision-making for sensitive tasks. We use a mixed research method approach, in a sequential explanatory design whereby a quantitative experiment with HR and banking professionals in Italy and Germany (N=1411) is followed by qualitative analyses through interviews and workshops with volunteer participants in the experiment, fair AI experts and policymakers. We find that human overseers are equally likely to follow advice from a generic AI that is discriminatory as from an AI that is programmed to be fair. Human oversight does not prevent discrimination when the generic AI is used. Choice when a fair AI is used are less gender biased but are still affected by participants' biases. Interviews with participants show they prioritize their company's interests over fairness and highlights the need for guidance on overriding AI recommendations. Fair AI experts emphasize the need for a comprehensive systemic approach when designing oversight systems. 要約:この大規模な研究では、センシティブなタスクにおけるAI支援型意思決定における差別対策に対する人間による監視の影響をアセスメントする。 イタリアとドイツの人事および銀行業務の専門家(N=1411)を対象とした量的実験に続き、実験のボランティア参加者、公平なAI専門家、政策立案者とのインタビューやワークショップによる質的分析を行う逐次説明デザインという混合研究方法アプローチを使用する。その結果、人間による監督は、識別的な汎用AIからの助言と公平なAIからの助言を同程度に受け入れることが分かった。人間による監督は、汎用AIが使用される場合には差別を防止できない。公平なAIが使用される場合の選択は、性別によるバイアスは少ないが、参加者のバイアスには依然として影響を受ける。参加者へのインタビューでは、彼らが公平性よりも自社の利益を優先していることが示され、AIの推奨を上書きするガイダンスの必要性が浮き彫りになった。公平なAIの専門家は、監視システムの設計にあたっては包括的なシステム的アプローチが必要であると強調している。

 

 

The impact of human oversight on discrimination in AI-supported decision-making

・[PDF] downloaded

20250320-62428

 

 

目次...

Abstract 要旨
Acknowledgements 謝辞
Executive summary エグゼクティブサマリー
Policy Context 政策の背景
Key conclusions 主な結論
Main findings 主な調査結果
Related and future JRC work 関連するJRCの今後の業務
Quick guide クイックガイド
1 Introduction 1 序文
2 Context 2 背景
3 Research questions 3 研究課題
4 Methods 4 方法
4.1 A behavioural experiment: 4.1 行動実験:
4.2 Post-experimental qualitative studies 4.2 実験後の定性調査
5 Results of the experiment (Quant) 5 実験の結果(定量)
5.1 Descriptive statistics 5.1 記述統計
5.2 Analysis of choices 5.2 選択の分析
6 Results of the study’s qualitative part (Qual) 6 調査の定性部分の結果(定性)
6.1 Sample descriptive statistics. 6.1 サンプル記述統計
6.2 Analysis of results 6.2 結果の分析
7 Discussion 7 考察
7.1 Human and organisation biases (Overseer) 7.1 人間と組織のバイアス(監督者)
7.2 Oversight of the overriding (Overseer) 7.2 優先事項の監督(監督者)
7.3 Mutual checks (Human + AI) 7.3 相互チェック(人間+AI)
7.4 Outcome feedback and reinforcement learning (Human + AI) 7.4 結果フィードバックと強化学習(人間+AI)
7.5 Outcome monitoring and alignment (Decisions) 7.5 結果モニタリングと調整(意思決定)
8 Conclusion References 8 結論 参考文献
List of abbreviations and definitions 略語と定義の一覧
List of figures 図表一覧
List of tables 表一覧
Annexes 附属書
Annex 1. Sample characteristics vs. quotas 附属書 1. サンプルの特徴 vs. クォータ
Annex 2. Variables collected 附属書 2. 収集された変数
Annex 3. Preferences of the AI-based DSS 附属書 3. AI ベースの DSS の優先事項
Annex 4. Preferences and prejudices of the deciders 附属書 4. 意思決定者の優先事項と偏見
Annex 5. Regressions 附属書 5. 回帰

 

 

エグゼクティブサマリー...

Executive summary エグゼクティブサマリー
This study examines how human oversight can improve fairness in AI-assisted decisionmaking, particularly in sectors like human resources and credit lending. While AI is increasingly used to support decision-makers, humans still make the final decisions, which helps prevent harm but may also introduce unintended biases. Our findings highlight how human and AI interactions influence decision-making, especially regarding fairness and discrimination. 本研究では、AIによる意思決定支援、特に人事や融資などの分野における公平性を、人間の監視によってどのように改善できるかを検証する。意思決定者を支援するためにAIの利用が拡大する一方で、最終的な意思決定は依然として人間が行うため、被害を防ぐことができるが、意図しないバイアスが導入される可能性もある。本研究の成果は、特に公平性と識別性に関して、人間とAIの相互作用が意思決定にどのような影響を与えるかを明らかにする。
Method and Findings: 方法と成果:
We conducted experiments with professionals in human resources and credit lending to examine the potential for discrimination in AI-supported decision-making. We used an explanatory sequential design, following the below mixed-methods approach steps: AIによる意思決定における差別の可能性を検証するため、人事および融資の専門家を対象に実験を行った。 混合研究法のアプローチに従い、以下の手順で逐次的説明デザインを用いた。
We collected data measuring 500 people effort (real-effort task) and trustworthiness (trust game) in the lab and analysed their decisions using machine learning. 研究室で500人の努力(リアルエフォートタスク)と信頼性(信頼ゲーム)を測定するデータを収集し、機械学習を用いて彼らの意思決定を分析した。
With the data collected, we trained 2 AI-based Decision Support Systems (DSS): 収集したデータを用いて、AIベースの意思決定支援システム(DSS)2つを訓練した。
• One optimized for fairness (protecting inputs gender and nationality) 公平性(入力の性別と国籍を防御)に最適化されたもの
• One optimized for accuracy (a generic AI) 正確性(一般的なAI)に最適化されたもの
We recruited 1400 field professionals who chose who to hire and who to lend, and showed them either a model with or without AI recommendation. Professionals made decisions about candidates, rating attributes such as: interview performance, income and education. In the study, we gauged participants' preferences by asking them to choose and to rank the importance of various candidate characteristics. 1400人の現場専門家を募集し、採用する人、融資する人を選んでもらい、AIによる推奨の有無による2つのモデルを見せた。専門家は候補者について決定を下し、面接のパフォーマンス、収入、学歴などの属性を評価した。この研究では、参加者にさまざまな候補者の特性を選択し、重要度をランク付けしてもらうことで、参加者の好みを評価した。
Quantitative Results: showed that decision-makers were no more likely to follow the fair AI's recommendations than those of the 'unfair" generic Al. Gender discrimination against men disappeared when using the fair AI, whereas the generic Al introduced a bias against women. Similarly, the generic AI resulted in discrimination against Italian applicants. The generic AI, which favoured men and Germans, thus influenced choice against women and Italians. The fair AI for its part influences choice to be less discriminatory against men. Fair AI did thus appear to reduce gender discrimination, but decision makers' preferences also played a role. We confirm that the decider's preferences also have an impact, but that individual preferences do not have more of an influence on choice when there is an Al or none. This allays the concern that even fair AI may enable more precise discrimination based on the decider's preferences. 量的な結果:意思決定者は、公平なAIの推奨に従う可能性は、「不公平な」汎用AIの推奨に従う可能性と変わらないことが示された。公平なAIを使用した場合、男性に対する性差別は消滅したが、汎用AIは女性に対するバイアスをもたらした。同様に、汎用AIはイタリア人申請者に対する差別をもたらした。男性とドイツ人を好む汎用AIは、女性とイタリア人に対する選択に影響を与えた。公平なAIは、男性に対する差別を減らす選択に影響を与える。公平なAIは性差別を減らすように見えるが、意思決定者の好みも役割を果たしている。意思決定者の好みも影響を与えることを確認したが、AIがある場合とない場合では、個人の好みが選択に与える影響はそれほど大きくない。これにより、公平なAIであっても、意思決定者の好みに基づいてより正確な差別が可能になるのではないかという懸念が和らいだ
In the follow-up qualitative study, we conducted semi-structured interviews and small-group workshops with a subset of study participants. The interviews explored participants' real-life experiences with AI, their decision-making processes, perceptions of bias in candidate selection, and their reasoning in the experiments’ scenarios. その後の定性調査では、調査参加者の一部を対象に半構造化インタビューと小グループでのワークショップを実施した。インタビューでは、参加者のAIに関する実体験、意思決定プロセス、候補者選定におけるバイアスに対する認識、そして実験シナリオにおける推論について探った。
Qualitative Results: Overall, participants held a positive attitude towards AI for professional purposes. They discussed the distinctions between their personal biases, those of their organizations, and broader societal prejudices. They generally prioritized their employer's perspective over challenging organizational norms. Participants believed they were better at assessing situations on a case-by-case basis than AI and expressed hesitance about AI's ability to assess "soft" qualities, such as interview performance. Concerns were raised about the lack of feedback on both their and the AI’s performance, which limited their ability to evaluate final decisions. They also emphasized the need for clearer guidance on when to override AI recommendations. While they found the experimental setup relevant to real-life situations, they noted issues with the selected candidate characteristics, their assigned weights, and the format of AI recommendations. 性調査の結果:全体として、参加者は業務上の目的でAIを使用することに対して前向きな姿勢を示した。彼らは、個人のバイアス、所属組織のバイアス、そしてより広範な社会的な偏見の違いについて議論した。彼らは概して、組織の規範に異議を唱えるよりも雇用主の視点に重きを置いた。参加者は、AIよりも個別具体的な状況をアセスメントする能力に長けていると考え、面接でのパフォーマンスのような「ソフト」な資質をアセスメントするAIの能力には懐疑的であった。また、自分とAIのパフォーマンスに関するフィードバックが不足していることへの懸念が示され、最終的な意思決定を評価する能力が制限されていることが指摘された。さらに、AIの推奨を上書きすべきタイミングに関する明確なガイダンスの必要性も強調された。彼らは、この実験的な設定が現実の状況と関連していることは認めたものの、選定された候補者の特性、その割り当てられた重み、AIの推奨の形式に問題があることを指摘した。
Following the engagement with participants, we organised a participatory design workshop where experts generated ideas on fairness and bias in AI-supported decisionmaking, addressing six main themes: 参加者との関わりを経て、私たちは参加型デザインのワークショップを開催し、専門家がAIによる意思決定の公平性とバイアスに関するアイデアを出し合った。主なテーマは次の6つである。
• defining algorithmic and human fairness • アルゴリズムと人間の公平性の定義
• translating fairness into practical rules for human-AI collaboration • 公平性を人間とAIの協働のための実用的なルールに変換する
• regulatory requirements for oversight • 監督に関する規制要件
• mutual checks between human and AI • 人間とAIの相互チェック
• fostering awareness among users and developers  • ユーザーおよび開発者間の意識向上
• potential policy directions. • 政策の方向性
Finally, we invited policymakers to a workshop to reflect on our findings and discuss policy implications. This workshop aimed to examine how our findings could inform practical guidelines for human oversight in AI-supported decision-making. Outcomes included proposals for regulatory guidelines, stakeholder engagement and training initiatives, and methods to monitor and evaluate AI systems. 最後に、政策立案者をワークショップに招き、私たちの調査結果を振り返り、政策への影響について議論した。このワークショップでは、私たちの調査結果が、AIによる意思決定における人間による監視のための実用的なガイドラインにどのように役立つかを検討することを目的とした。その結果、規制ガイドライン、利害関係者の関与およびトレーニングイニシアティブ、AIシステムの監視および評価方法に関する提案が含まれた。
Main Conclusions: 主な結論:
Our study illustrates how human and algorithmic biases can intersect rather than cancel each other out. Human oversight, while essential, may not fully correct outcomes from biased AI and may introduce additional biases. 本研究は、人間とアルゴリズムのバイアスが互いに相殺するのではなく、むしろ交差する可能性があることを示している。人間による監視は不可欠ではあるが、バイアスのかかったAIによる結果を完全に修正できるわけではなく、さらなるバイアスをもたらす可能性もある。
These findings highlight the need for improvements in AI oversight systems, shifting from individual oversight to an integrated system designed to mitigate human bias. Oversight should go beyond individual reviewers or programming fair AI algorithms; it should encompass systemic fairness, involving stakeholders across the AI lifecycle to address both technical and social dimensions. Effective oversight requires guidelines to assist decision-makers in determining when to override AI recommendations, systems that monitor AI-assisted outcomes to identify emerging biases, and mechanisms allowing users to justify overrides. Decision-makers should have access to data on their performance and biases, and AI systems should be regularly evaluated based on user feedback. Experts and policymakers emphasized the need to assess realworld outcomes of AI-human interactions over mere rule compliance. These recommendations aim to enhance the performance, fairness, and acceptability of AI-assisted decision support systems. これらの知見は、AIの監視システムの改善の必要性を浮き彫りにしており、個々の監視から、人間のバイアスを緩和するように設計された統合システムへの移行が必要である。監視は、個々の審査員や公平なAIアルゴリズムのプログラミングにとどまらず、AIのライフサイクル全体にわたるステークホルダーを巻き込み、技術的および社会的側面の両方に対処する、システム的な公平性を包含すべきである。効果的な監視には、意思決定者がAIの推奨を上書きすべきタイミングを決定する際に役立つガイドライン、AIによる支援の結果を監視して新たに生じたバイアスを識別するシステム、およびユーザーが上書きを正当化できるメカニズムが必要である。意思決定者は、そのパフォーマンスとバイアスに関するデータにアクセスできなければならず、AIシステムはユーザーからのフィードバックに基づいて定期的に評価されるべきである。専門家や政策立案者は、単なる規則の順守にとどまらず、AIと人間の相互作用による現実世界の成果をアセスメントする必要性を強調した。これらの提言は、AIによる意思決定支援システムのパフォーマンス、公平性、受容性を向上させることを目的としている。
Policy Context 政策の背景
The rapid adoption of AI in decision support systems (DSS) has brought fairness and demographic bias concerns, particularly in high-risk areas such as credit lending and recruitment. These, along with other ethical challenges, have catalysed a regulatory response from EU policymakers, culminating in the adoption of the AI Act, which entered into force in August 2024. 意思決定支援システム(DSS)におけるAIの急速な導入は、特に信用供与や採用などのリスクの高い分野において、公平性と人口統計バイアスに関する懸念をもたらした。これらの懸念は、その他の倫理的課題とともに、EUの政策立案者による規制対応を促し、2024年8月に施行されたAI法の採択という結果に至った。
A cornerstone of the AI Act is its requirement to ensure effective human oversight mechanisms for high-risk AI systems an essential safeguard for promoting the responsible and ethical use of AI through human supervision. The issue of non-discrimination is also deeply embedded in the AI Act, reflecting EU’s commitment to protecting fundamental rights as per Article 21 on non-discrimination in the EU Charter of Fundamental Rights. This is evident in its Whereas 67, which highlights the risks of discrimination arising from AI systems, particularly for vulnerable groups such as ethnic minorities. It emphasizes the critical role of high-quality data governance in preventing discrimination, calling for training, validation and testing datasets that are relevant, representative, and as free of errors and biases as possible. It also warns against feedback loops in AI systems that may amplify existing inequalities. Furthermore, Article 10 obliges providers of high-risk AI systems to implement robust data governance practices, including the examination of datasets for biases and the adoption of measures to detect, prevent and mitigate such biases. These provisions underscore the policy relevance of transparency, human oversight and non-discrimination in AI development. AI法の要となるのは、リスクの高いAIシステムに対して効果的な人間による監視メカニズムを確保するという要件であり、これは人間による監視を通じてAIの責任ある倫理的な利用を促進するための不可欠な安全対策である。AI法には、EU基本権憲章の第21条に定められた非差別に関する条項に基づく基本的人権の保護に対するEUの取り組みを反映し、非差別に関する問題も深く組み込まれている。これは、AIシステムから生じる識別のリスク、特に少数民族などの脆弱なグループに焦点を当てた「ただし書67」に明確に示されている。 差別を防止するための高品質なデータガバナンスの重要な役割を強調し、関連性があり、代表者であり、可能な限りエラーやバイアスがないトレーニング、妥当性確認、およびテストデータセットを求めている。 また、AIシステムにおけるフィードバックループが既存の不平等を拡大する可能性があることにも警告を発している。さらに、第10条では、リスクの高いAIシステムのプロバイダに対して、バイアスに関するデータセットの検証や、そのようなバイアスの検知、防止、緩和策の採用など、強固なデータガバナンスの実践を義務付けている。これらの規定は、AI開発における透明性、人間による監視、非差別の政策上の関連性を強調している。
Building on these foundations, our study explores the concept of human oversight in AI decision-making. We define human oversight broadly, encompassing humans’ involvement in AI decision making, humans’ taking decisions using AI suggestions, and human interaction and collaboration review and influence on AI decisions. We emphasize the importance of continuous monitoring, postdeployment review, and the ability to override AI decisions when necessary. This dual-phase perspective is essential for ensuring oversight mechanisms are both proactive and responsive in addressing real-world challenges. これらの基礎を基に、本研究ではAIの意思決定における人間による監視の概念を検討する。人間による監視を広義に定義し、AIの意思決定への人間の関与、AIの提案に基づく人間の意思決定、人間同士の相互作用や共同作業によるAIの意思決定への影響などを含むものとする。また、継続的な監視、実装後のレビュー、必要に応じてAIの意思決定を上書きする能力の重要性を強調する。この2段階の視点は、現実世界の課題に対処する際に、監督メカニズムが先を見越した対応と迅速な対応の両方を可能にするために不可欠である。
In the context of the AI Act, our study is particularly relevant for addressing current gaps in implementation, especially concerning bias and discrimination. The provisions on human oversight (Article 14) are foundational but require further operationalization to translate their principles into actionable practices. Our work aims to guide this transition, providing insights that can inform future standards and guidelines for effective human oversight and bias mitigation. Additionally, our findings could play a pivotal role in the development of regulatory sandboxes for AI, as envisaged by the AI Act. Sandboxes offer controlled environments to test and refine AI systems under regulatory supervision, making them ideal platforms to explore the practicalities of human oversight, data governance and anti-discrimination measures. By framing oversight within realworld scenarios and promoting a holistic system-level approach that integrates technical and human considerations, we aim to contribute to the establishment of best practices that are both robust and adaptable. This is essential not only for compliance with the AI Act but also for fostering public trust in AI systems deployed in high-risk domains. AI法の観点では、特にバイアスと識別性に関する実装の現状のギャップに対処するために、我々の研究は特に重要である。人間による監督に関する規定(第14条)は基礎的なものであるが、その原則を行動可能な実践に変換するには、さらなる具体化が必要である。私たちの研究は、効果的な人間による監視とバイアス緩和のための将来の標準やガイドラインに役立つ洞察を提供することで、この移行を導くことを目的としている。さらに、私たちの研究結果は、AI法が想定しているAIの規制サンドボックスの開発において重要な役割を果たす可能性がある。サンドボックスは、規制当局の監督下でAIシステムをテストし、改良するための管理された環境を提供しており、人間による監視、データガバナンス、および差別防止策の実用性を検証する理想的なプラットフォームである。現実世界のシナリオ内で監督を構築し、技術的および人的な考慮事項を統合する包括的なシステムレベルのアプローチを推進することで、強固かつ適応性のあるベストプラクティスの確立に貢献することを目指している。これは、AI法への準拠だけでなく、リスクの高い領域で展開されるAIシステムに対する社会の信頼を醸成するためにも不可欠である。
Key conclusions 主な結論
The study reveals that AI-supported decision-making systems, when combined with human oversight, can both perpetuate and mitigate biases. Existing policies often assume that human oversight will automatically counteract AI biases. This study overturns that assumption, highlighting that human biases can also influence decision-making processes, especially outcomes, even when AI systems are designed to be fair. 本研究では、AIによる意思決定システムに人的監督を組み合わせることで、バイアスを永続化させると同時に緩和できることが明らかになった。既存の政策では、人間による監視が自動的にAIのバイアスを打ち消すものとして想定されていることが多い。本研究では、その想定を覆し、AIシステムが公平に設計されている場合でも、人間のバイアスが意思決定プロセス、特に結果に影響を与える可能性があることを強調している。
This study thus highlights the need for a multi-faceted approach to AI oversight, integrating technical, organizational, and policy measures. Policymakers must address the dual challenges of AI and human biases by ensuring the monitoring of the outcomes of AI-human collaboration. The existing policy options, when facing implementation, should be reassessed to account for the potential biases introduced by human overseers. This re-assessment should consider the effectiveness of current measures in addressing these biases and explore alternative options for improving oversight. したがって、本研究では、技術的、組織的、政策的な対策を統合した、多面的なAI監視アプローチが必要であることを強調している。政策立案者は、AIと人間のバイアスの2つの課題に対処するために、AIと人間の共同作業の結果を確実に監視する必要がある。既存の政策オプションは、導入に際しては、人間の監視者によってもたらされる潜在的なバイアスを考慮して再評価されるべきである。この再評価では、これらのバイアスに対処するための現在の措置の有効性を考慮し、監視を改善するための代替オプションを模索すべきである。
Potential interventions include intervening with enhanced feedback mechanisms for the combined decision making, improved bias detection tools that are not limited to simply testing the AI for bias, and more effective human-AI collaboration frameworks that allow for complementary human input. While this research improved our understanding some aspects of AI-human interaction, substantial work remains to refine policies and practices for effective oversight of AI systems. 介入の可能性としては、統合された意思決定のためのフィードバック・メカニズムの強化、AIのバイアスを単にテストするにとどまらない、より改善されたバイアス検知ツール、そして、人間の補完的なインプットを可能にする、より効果的な人間とAIの協働枠組みなどが考えられる。この研究により、AIと人間の相互作用のいくつかの側面についての理解が深まったが、AIシステムの効果的な監視のための政策や実践を洗練させるには、まだ多くの作業が残されている。
Main findings 主な調査結果
The integration of Artificial Intelligence (AI) in decision-making processes in sectors such as credit lending and recruitment presents both opportunities and significant challenges. This study underscores the complexities and risks associated with AI-supported human decision-making, focusing on biases from both AI and human overseers. The findings provide crucial insights for policymakers aimed at developing robust oversight frameworks to mitigate these risks and ensure fair and non-discriminatory outcomes. 信用供与や採用などの分野における意思決定プロセスへの人工知能(AI)の統合は、機会と重大な課題の両方をもたらす。本研究では、AIと人間の監督者双方のバイアスに焦点を当て、AIが支援する人間の意思決定に伴う複雑性とリスクを強調している。本研究の知見は、これらのリスクを緩和し、公平かつ差別のない結果を確保するための強固な監督枠組みを構築することを目指す政策立案者にとって重要な洞察を提供する。
a. Impact of Organizational Norms on AI Oversight: Overseers often conform to AI biases when these biases align with organizational norms and objectives. This conformity can perpetuate discriminatory practices. Policies could integrate AI oversight with broader antidiscrimination laws and initiatives, ensuring that organizational practices do not inadvertently support biased decision-making. Policymakers would need to create integrated frameworks that address both AI-specific and broader anti-discrimination policies. a. 組織規範がAIの監督に及ぼす影響:AIのバイアスが組織の規範や目的と一致している場合、監督者はそのバイアスに従うことが多い。この一致は差別的慣行を永続化させる可能性がある。政策は、AIの監督をより広範な反差別法やイニシアティブと統合し、組織の慣行が意図せず偏った意思決定を支援することがないようにすべきである。政策立案者は、AI特有の政策とより広範な反差別政策の両方に対応する統合的な枠組みを構築する必要がある。
b. Review and Monitoring of Override Decisions: Human overseers sometimes override AI decisions based on their own biases, which can counteract the benefits of fair AI systems. This suggests the need to implement mechanisms to review and monitor override decisions. The outcome of AI-assisted human decisions should be audited to detect and mitigate biases. AI systems should be regularly reviewed on that basis to improve their fairness and reliability. b. オーバーライド(上書き)決定のレビューとモニタリング:人間の監視者は、時に自身のバイアスに基づいてAIの決定を上書きすることがあり、これは公平なAIシステムの利点を損なう可能性がある。このため、オーバーライド(上書き)決定のレビューとモニタリングを行うメカニズムを導入する必要がある。AIが支援する人間の決定の結果は、バイアスを検知し緩和するために監査されるべきである。AIシステムは、その公平性と信頼性を改善するために、定期的にレビューされるべきである。
c. Critical and Complementary AI-Human Decision-Making: Human overseers value their ability to assess nuanced, context-specific attributes of candidates that AI may not fully capture. This suggests the need to foster complementary AI-human decision-making where AI assists with data processing and humans provide contextual judgment. Transparency in AI systems and explanations for decisions helps in fostering such complementary human input. The role of overseers should not be limited to approving AI decisions or not, but there should be clear guidelines to guide their input so as not to bias outcomes. c. 重要なAIと人間の補完的な意思決定:人間の監督者は、AIが十分に把握できない候補者の微妙な、文脈特有の属性をアセスメントする能力を重視している。これは、AIがデータ処理を支援し、人間が文脈判断を行う補完的なAIと人間の意思決定を促進する必要性を示唆している。AIシステムにおける透明性と意思決定の説明は、このような補完的な人間のインプットを促進するのに役立つ。監督者の役割は、AIの判断を承認するか否かに限定されるべきではなく、結果にバイアスがかからないよう、彼らの意見を導く明確なガイドラインが必要である。
d. Feedback Mechanisms for Continuous Learning: Overseers need feedback to understand whether AI-supported decisions are correct. There is a need for continuous feedback loops between AI systems and human overseers. This would encourage reinforcement learning that combines human and AI feedback to improve decision-making processes. d. 継続的な学習のためのフィードバックメカニズム:監督者は、AIが下した判断が正しいかどうかを理解するためにフィードバックを必要とする。AIシステムと人間の監督者との間で継続的なフィードバックループが必要である。これにより、意思決定プロセスを改善するために、人間とAIのフィードバックを組み合わせた強化学習が促進される。
e. Outcome Monitoring for Fairness: Human oversight can introduce biases in AI-supported decisions, necessitating robust outcome monitoring. Dynamic and continuous monitoring of AI outcomes would ensure they remain fair over time. Policies that mandate testing AI systems for fairness and reliability should also include testing the outcome of AI-supported decisions. This would ensure that AI systems are fair ex-post, after human intervention, not just ex-ante. e. 公平性に関する結果モニタリング:人間の監視は、AI支援の意思決定にバイアスをもたらす可能性があるため、強固な結果モニタリングが必要となる。AIの結果を動的かつ継続的にモニタリングすることで、長期的に公平性を維持できる。AIシステムの公平性と信頼性をテストすることを義務付ける政策には、AI支援の意思決定の結果をテストすることも含めるべきである。これにより、AIシステムが事前だけでなく、人間の介入後の事後においても公平であることを保証できる。
Related and future JRC work 関連する今後のJRCの取り組み
The EU Policy Lab, as S1, is engaged in the examination of artificial intelligence from a social sciences perspective. It aims to assess and comprehend AI's effects across diverse societal sectors by employing analytical methods that focus on human behaviour, predictive futures, and the interconnected nature of societal systems. Current and future work is focusing on three workstreams: EU Policy LabはS1として、社会科学の観点から人工知能の調査に取り組んでいる。人間の行動、予測される未来、社会システムの相互関連性に焦点を当てた分析手法を活用することで、多様な社会セクターにわたるAIの影響をアセスメントし、理解することを目指している。現在の取り組みと今後の作業は、次の3つの作業の流れに焦点を当てている。
1. Using AI as a research and communication tool, personalizing and tailoring use cases of AI and experimenting with how it can shape our research practices. For example, we design and establish research practices for Foresight analysis based on AI (Ai4Foresight). 1. 研究およびコミュニケーションのツールとしてAIを活用し、AIの利用事例をパーソナライズおよびカスタマイズし、それが研究手法にどのような影響を与えるかについて実験する。例えば、AIに基づくフォーサイト分析(Ai4Foresight)のための研究手法を設計し、確立する。
2. Behavioural analysis and experiments to understand the implications of the use of AI on people. Example of specific research questions: What are the potential issues with the use of AI in the short-run (hallucinations, misinformation) and in the long-run (human autonomy)? How do we ensure safe integration of AI into various fields from education to policymaking? 2. 人々に対するAIの使用の影響を理解するための行動分析と実験。具体的な研究課題の例:AIの短期的な使用(幻覚、誤情報)と長期的な使用(人間の自律性)における潜在的な問題とは何か?教育から政策立案まで、AIをさまざまな分野に安全に統合するにはどうすればよいか?
3. Exploring consequences across various areas of the rise in the use of AI, analysing their connections and future implications from a macro systemic point of view. For example: Understanding the contextual factors for further development of AI in research, and innovation; Researching the impact of human oversights on discrimination, linking this with wider considerations about human rights, and understanding the role of institutions and regulations in this respect. 3. AIの利用拡大がさまざまな分野に及ぼす影響を探り、それらのつながりとマクロシステム的な観点からの将来的な影響を分析する。例えば、研究やイノベーションにおけるAIのさらなる発展の背景にある要因を理解すること、人間の監視の欠如が識別性に及ぼす影響を調査し、これを人権に関するより広範な考察と結びつけ、この点における機構や規制の役割を理解することなどである。
This experiment is part of the workstreams 2 and 3. この実験は、ワークストリーム2と3の一部である。
Quick guide クイックガイド
This report offers critical insights for policymakers about the influence of Artificial Intelligence (AI) on human decision-making, particularly within credit lending and recruitment. It aims to provide policymakers with evidence-based recommendations on designing and implementing oversight mechanisms to ensure that AI systems uphold fairness and protect fundamental rights. 本レポートは、特に信用供与や採用活動における人間の意思決定に人工知能(AI)が及ぼす影響について、政策立案者にとって重要な洞察を提供する。また、AIシステムが公平性を維持し、基本的人権を防御することを確実にするための監視メカニズムの設計と実施に関する、根拠に基づく政策提言を政策立案者に提供することを目的としている。
Key topics: An analysis of how AI is used to enhance decision-making efficiency and consistency, with potential risks of perpetuating or amplifying human biases. 主なトピック:意思決定の効率性と一貫性を向上させるためにAIがどのように使用されているか、また人間のバイアスを永続化または増幅させる潜在的なリスクについての分析。
• AI in Decision Support Systems: Understanding AI’s role in improving decision processes and the associated risks. ・意思決定支援システムにおけるAI:意思決定プロセスの改善におけるAIの役割と関連リスクの理解
• Automation Bias: The issue of over-reliance on AI recommendations. ・自動化バイアス:AIの推奨への過剰な依存の問題
• Algorithm Aversion: Rejecting AI advice due to lack of trust, overconfidence, differences in preferences, and different ways to make and justify decisions. ・アルゴリズム嫌悪:信頼の欠如、過信、好みの相違、意思決定の方法や正当化の仕方の違いによるAIの助言の拒否
Research Methodology: Mixed methods research using a sequential explanatory design. In the first phase we collected and analysed quantitative data from an experiment involving a hybrid Human AI decision process. In the second phase we collected and analysed qualitative data from interviews and focus groups with participants in the experiment, to help explain and elaborate on the quantitative results. We led co-design workshops with fair AI experts and policymakers who deal with AI policy at the EC. This allowed us to further our qualitative research and make sense of our results. 研究方法:逐次的説明デザインを用いた混合研究法。第1段階では、人間とAIのハイブリッドな意思決定プロセスを伴う実験から量的データを収集し、分析した。第2段階では、量的結果の説明と詳細化を助けるために、実験の参加者とのインタビューとフォーカスグループから質的データを収集し、分析した。また、ECでAI政策を担当する公正なAI専門家と政策立案者との共同設計ワークショップを実施した。これにより、質的研究をさらに進め、結果を理解することができた。
Contributions: 貢献:
Evaluation of how AI impacts decision outcomes and of the effectiveness of human oversight in preventing discrimination, including priorities for considerations and potential interventions. AIが意思決定の結果に与える影響の評価、および差別を防止するための人間による監視の有効性(優先事項や潜在的な介入策を含む)の評価。

 

 

| | Comments (0)

2025.03.19

公認会計士協会 国際監査・保証基準審議会(IAASB)国際サステナビリティ保証基準(ISSA)5000 「サステナビリティ保証業務の一般的要求事項」の解説記事 (2025.03.17)

こんにちは、丸山満彦です。

公認会計士協会が、国際監査・保証基準審議会(IAASB)国際サステナビリティ保証基準(ISSA)5000 「サステナビリティ保証業務の一般的要求事項」の解説記事を公表していますね...

 

公認会計士協会

・2025.03.17 【解説記事】国際監査・保証基準審議会(IAASB)国際サステナビリティ保証基準(ISSA)5000 「サステナビリティ保証業務の一般的要求事項」

 

・[PDF] 【解説記事】国際監査・保証基準審議会(IAASB)国際サステナビリティ保証基準(ISSA)5000 「サステナビリティ保証業務の一般的要求事項」

20250319-150156

 

 

 


 まるちゃんの情報セキュリティ気まぐれ日記

保証基準側...IAASB 5000

・2025.01.29 IAASB サステナビリティ保証に関する国際標準5000のファクトシート、FAQ、導入ガイドなど... (2025.01.27)

・2024.11.15 IAASB サステナビリティ保証に関する国際標準5000「サステナビリティ保証業務に関する一般要求事項」 (2024.11.12)

2023.12.13 経団連 IAASB公開草案 国際サステナビリティ保証基準 (ISSA) 5000「サステナビリティ保証業務の一般的要求事項」へのコメント (2023.12.01)

・2023.09.25 日本公認会計士協会 IAASB公開草案 国際サステナビリティ保証基準(ISSA)5000「「サステナビリティ保証業務の一般的要求事項」

 

開示基準側...

・2025.03.19 サステナビリティ基準委員会 サステナビリティ開示基準を公表 (2025.03.05)

 

 

| | Comments (0)

サステナビリティ基準委員会 サステナビリティ開示基準を公表 (2025.03.05)

こんにちは、丸山満彦です。

国際財務報告基準(IFRS)財団 (IFRS Foundation) [wikipedia] の下に国際サステナビリティ基準審議会International Sustainability Standards Board: ISSB)[wikipeida] が設立されたことを受け、2022年7月に、我が国において適用されるサステナビリティ開示基準の開発及び国際的なサステナビリティ開示基準の開発への貢献を目的として日本益財団法人財務会計基準機構FASF」)[wikipedia] 内に設立されたサステナビリティ基準委員会 (Sustainability Standards Board of Japan: SSBJ) [wikipedia] が、サステナビリティ開示基準を公表していますね...

会計監査における会計基準に該当するものですね...

 

● サステナビリティ基準委員会 (Sustainability Standards Board of Japan: SSBJ)

・2025.03.05 サステナビリティ基準委員会がサステナビリティ開示基準を公表

・[PDF] サステナビリティ開示ユニバーサル基準「サステナビリティ開示基準の適用」

20250319-54402

 

・[PDF] サステナビリティ開示テーマ別基準第1号「一般開示基準」

20250319-54439 

 

・[PDF] サステナビリティ開示テーマ別基準第2号「気候関連開示基準」

20250319-54523

 

ステナビリティ開示基準の公表にあたって(2025年3月5日記者会見動画)

・2025.03.06 [YouTube]

 

 

ビデオで説明されている資料から...

20250319-42859

 

SSBJが公表した基準は3つあります。ISSBが公表した基準は2つでしたが、これは分け方の違いで、内容的には同等のものです...

20250319-53040

 

 

サステナビリティ開示基準検索システム

・2025.03.17 サステナビリティ開示基準検索システム「ASSET-SSBJ」の運用開始について

 

 

 


 

ISSBの基準(IFRS財団に登録すると読めます...)

IFRS

・2023 IFRS S1 General Requirements for Disclosure of Sustainability-related Financial Information

・2023 IFRS S2 Climate-related Disclosures

 


 

参考 金融庁によるサステナビリティ情報の開示と保証に関する検討...

 

金融庁 - 

2025.03.21 第2回 サステナビリティ情報の保証に関する専門グループ
開催通知  
2025.02.12 第1回 サステナビリティ情報の保証に関する専門グループ
開催通知  
資料  
資料1 「サステナビリティ情報の保証に関する専門グループ」メンバー名簿
資料2 事務局説明資料
資料3 日本公認会計士協会説明資料
資料4 日本適合性認定協会説明資料
2024.12.02 第5回 サステナビリティ情報の開示と保証のあり方に関するワーキング・グループ
開催通知  
資料  
資料1 事務局説明資料
資料2 参考資料
議事録  
2024.10.10 第4回 サステナビリティ情報の開示と保証のあり方に関するワーキング・グループ
開催通知  
資料  
資料1 事務局説明資料
資料2 参考資料
議事録  
2024.06.28 第3回 サステナビリティ情報の開示と保証のあり方に関するワーキング・グループ
開催通知  
資料  
資料1 事務局説明資料
資料2 参考資料
資料3 意見書(弥永委員)
議事録  
2024.05.14 第2回 サステナビリティ情報の開示と保証のあり方に関するワーキング・グループ
開催通知  
資料  
資料1 事務局説明資料
資料2 参考資料
資料3 意見書(吉元委員)
議事録  
2024.03.26 第1回 サステナビリティ情報の開示と保証のあり方に関するワーキング・グループ
開催通知  
資料  
資料1 諮問文
資料2 「サステナビリティ情報の開示と保証のあり方に関するワーキング・グループ」メンバー名簿
資料3 事務局説明資料
資料4 事務局参考資料
議事録  

 

 

 


 

 まるちゃんの情報セキュリティ気まぐれ日記

サステナビリティで検索...

・2025.03.05 公認会計士協会 「サステナビリティ報告に対する信頼の構築と保証への準備:サステナビリティ情報のためのガバナンスと内部統制」の翻訳(2025.02.27)

・2024.06.29 経済産業省 「企業情報開示のあり方に関する懇談会 課題と今後の方向性(中間報告)」を取りまとめ (2024.06.25)

・2024.06.09 金融庁 コーポレートガバナンス改革の実践に向けたアクション・プログラム 2024

・2024.05.14 金融庁 金融審議会「サステナビリティ情報の開示と保証のあり方に関するワーキング・グループ」

・2024.04.06 日本公認会計士協会 サステナビリティ報告・保証業務等に関するIESBA倫理規程改訂公開草案の翻訳

・2024.03.03 日本公認会計士協会 「サステナビリティ報告に対する信頼の構築:早急に求められる統合的内部統制」の翻訳 (2024.02.26)

・2023.12.13 経団連 IAASB公開草案 国際サステナビリティ保証基準 (ISSA) 5000「サステナビリティ保証業務の一般的要求事項」へのコメント (2023.12.01)

・2023.11.22 内部監査人協会 COSO『サステナビリティ報告に係る有効な内部統制(ICSR)の実現』の翻訳 (2023.10.04)

・2023.09.25 日本公認会計士協会 IAASB公開草案 国際サステナビリティ保証基準(ISSA)5000「「サステナビリティ保証業務の一般的要求事項」

・2023.06.15 IFAC サステナビリティ報告書の保証 (2023.05.31)

・2021.04.27 欧州委員会 非財務情報開示指令の改正案発表 対象企業が大幅に増加

・2021.04.05 コーポレートガバナンス・コード改訂(案)

・2020.11.26 英国生まれの国際統合報告委員会 (IIRC) と米国生まれのサステナビリティ会計基準審議会 (SASB) が合併に・・・

 

一気に10年以上遡りますが...(記録は残しておくものですね...リンクは切れていますが...)

・2009.03.27 KPMGあずさサステナビリティ株式会社(あずさ監査法人グループ)のCSR報告書に対する独立第三者の審査報告書

・2007.02.23 日興コーディアル 中央青山PwCサスティナビリティ研究所及び新日本監査法人によるサスティナビリティ報告書に対する保証意見

・2005.10.24 環境報告書審査・登録制度が始まる

| | Comments (0)

2025.03.18

米国 大統領令 戦略的ビットコイン準備と米国デジタル資産備蓄の設立 (2025.03.06)

こんにちは、丸山満彦です。

遅ればせながら...米国の戦略的ビットコイン準備と米国デジタル資産備蓄の設立に関する大統領令...

 

⚫︎ U.S. White House

20250121-105054

ファクトシート...

・2025.03.06 Fact Sheet: President Donald J. Trump Establishes the Strategic Bitcoin Reserve and U.S. Digital Asset Stockpile

Fact Sheet: President Donald J. Trump Establishes the Strategic Bitcoin Reserve and U.S. Digital Asset Stockpile ファクトシート ドナルド・J・トランプ大統領、戦略的ビットコイン準備と米国のデジタル資産備蓄を設立する
CREATING A STRATEGIC BITCOIN RESERVE AND DIGITAL ASSET STOCKPILE: Today, President Donald J. Trump signed an Executive Order to establish a Strategic Bitcoin Reserve and a U.S. Digital Asset Stockpile, positioning the United States as a leader among nations in government digital asset strategy. 戦略的なビットコイン準備とデジタル資産の備蓄を行う: 本日、ドナルド・J・トランプ大統領は、戦略的ビットコイン準備と米国デジタル資産備蓄を設立する大統領令に署名し、米国を政府のデジタル資産戦略における国家間のリーダーとして位置づける。
・The Order creates a Strategic Bitcoin Reserve that will treat bitcoin as a reserve asset. ・同大統領令は、ビットコインを準備資産として扱う戦略的ビットコイン準備基金を創設する。
・・The Strategic Bitcoin Reserve will be capitalized with bitcoin owned by the Department of Treasury that was forfeited as part of criminal or civil asset forfeiture proceedings.  Other agencies will evaluate their legal authority to transfer any bitcoin owned by those agencies to the Strategic Bitcoin Reserve. ・・戦略的ビットコイン準備金は、財務省が所有し、刑事または民事資産没収手続きの一環として没収されたビットコインで資本化される。 他の機関は、それらの機関が所有するビットコインを戦略的ビットコイン準備に移転する法的認可を評価する。
・・The United States will not sell bitcoin deposited into this Strategic Bitcoin Reserve, which will be maintained as a store of reserve assets. ・・米国はこの戦略的ビットコイン準備に預けられたビットコインを売却しない。
・・The Secretaries of Treasury and Commerce are authorized to develop budget-neutral strategies for acquiring additional bitcoin, provided that those strategies impose no incremental costs on American taxpayers. ・・財務長官と商務長官は、追加的なビットコインを取得するための予算中立的な戦略を策定する認可を受ける。
・It also established a U.S. Digital Asset Stockpile, consisting of digital assets other than bitcoin owned by the Department of Treasury that was forfeited in criminal or civil asset forfeiture proceedings. ・また、財務省が所有するビットコイン以外のデジタル資産で、刑事・民事資産没収手続きで没収されたものからなる米国デジタル資産備蓄を設立した。
・・The government will not acquire additional assets for the U.S. Digital Asset Stockpile beyond those obtained through forfeiture proceedings. ・・政府は、米国デジタル資産備蓄のために、没収手続きで得た資産以上の資産を追加で取得することはない。
・・The Secretary of the Treasury may determine strategies for responsible stewardship, including potential sales from the U.S. Digital Asset Stockpile. ・・財務長官は、米国デジタル資産備蓄からの売却の可能性を含め、責任ある管理のための戦略を決定することができる。
・Agencies must provide a full accounting of their digital asset holdings to the Secretary of the Treasury and the President’s Working Group on Digital Asset Markets. ・各省庁は、財務長官およびデジタル資産市場に関する大統領作業部会に対し、保有するデジタル資産の全容を説明しなければならない。
・This Order ensures a strategic approach to managing digital assets under U.S. control. ・この命令は、米国の管理下にあるデジタル資産を管理するための戦略的アプローチを保証するものである。
ADDRESSING A CRYPTO MANAGEMENT GAP: 暗号管理のギャップに対処する:
・Bitcoin, the original cryptocurrency, is referred to as “digital gold” because of its scarcity and security, having never been hacked. ・暗号通貨の元祖であるビットコインは、その希少性とハッキングされたことのない安全性から「デジタル・ゴールド」と呼ばれている。
・・With a fixed supply of 21 million coins, there is a strategic advantage to being among the first nations to create a Strategic Bitcoin Reserve. ・・2,100万コインという固定供給量を持つビットコインは、戦略的ビットコイン準備金(Strategic Bitcoin Reserve)を創設した最初の国のひとつであり、戦略的メリットがある。
・・The United States currently holds a significant amount of bitcoin but has not maximized its strategic position as a unique store of value in the global financial system. ・・米国は現在、かなりの量のビットコインを保有しているが、世界の金融システムにおける独自の価値貯蔵としての戦略的地位を最大限に活用していない。
・・Premature sales of bitcoin have already cost U.S. taxpayers over $17 billion. ・・ビットコインの早すぎる売却により、米国の納税者はすでに170億ドル以上の損失を被っている。
・The Executive Order begins to resolve the current disjointed handling of cryptocurrencies seized through forfeiture by, and scattered across, various Federal agencies. ・大統領令は、没収によって押収された暗号通貨が様々な連邦機関に分散している現状を解決し始めるものである。
・Currently, no clear policy exists for managing these assets, leading to a lack of accountability and inadequate exploration of options to centralize, secure, or maximize their value. ・現在、これらの資産を管理するための明確な方針は存在せず、説明責任の欠如や、集中化、安全化、価値の最大化のための選択肢の検討が不十分である。
・Taking affirmative steps to centralize ownership, control, and management of these assets within the Federal government will ensure proper oversight, accurate tracking, and a cohesive approach to managing the government’s cryptocurrency holdings. ・連邦政府内でこれらの資産の所有、管理、運用を一元化するための積極的な措置を講じることで、政府の暗号通貨保有を管理するための適切な監督、正確な追跡、結束したアプローチを確保することができる。
・This move harnesses the power of digital assets for national prosperity, rather than letting them languish in limbo. ・この動きは、デジタル資産を宙ぶらりんにするのではなく、国家の繁栄のために活用するものである。
DELIVERING ON PLEDGE TO MAKE AMERICA THE CRYPTO CAPITAL OF THE WORLD: President Trump is fulfilling his promise to position America as the global leader in cryptocurrency. 米国を世界の暗号通貨首都にするという公約の実現:トランプ大統領は、米国を暗号通貨の世界的リーダーとして位置づけるという公約を実現しつつある。
・President Trump promised to make the United States the “crypto capital of the world,” emphasizing the need to embrace digital assets to drive economic growth and technological leadership. ・トランプ大統領は米国を「世界の暗号の首都」にすると約束し、経済成長と技術的リーダーシップを推進するためにデジタル資産を受け入れる必要性を強調した。
・In his first week in office, President Trump signed an Executive Order to promote United States leadership in digital assets such as cryptocurrency. ・トランプ大統領は就任1週目に、暗号通貨などのデジタル資産における米国のリーダーシップを促進する大統領令に署名した。
・President Trump has consistently advocated for a forward-thinking approach to crypto, stating: “I am very positive and open minded to cryptocurrency companies, and all things related to this new and burgeoning industry. Our country must be the leader in the field.” ・トランプ大統領は一貫して、暗号に対する先進的なアプローチを提唱しており、次のように述べている: 「私は、暗号通貨企業や、この新しく急成長している産業に関連するあらゆることに対して、非常に前向きでオープンマインドである。我が国はこの分野のリーダーになるべきだ。" と述べた。
・President Trump promised to create a Strategic Bitcoin Reserve and a Digital Assets Stockpile. ・トランプ大統領は、戦略的ビットコイン準備とデジタル資産備蓄の創設を約束した。
・President Trump appointed a “crypto czar” and is hosting the first-ever crypto summit at the White House, just a few of the many ways this Administration is demonstrating its strong commitment to this digital asset. ・トランプ大統領は「暗号担当長官」を任命し、ホワイトハウスで初の暗号サミットを開催する。これは、政権がこのデジタル資産に強いコミットメントを示している数多くの方法のほんの一部に過ぎない。

 

大統領令...

 

ESTABLISHMENT OF THE STRATEGIC BITCOIN RESERVE AND UNITED STATES DIGITAL ASSET STOCKPILE 戦略的ビットコイン準備と合衆国デジタル資産備蓄の設立
By the authority vested in me as President by the Constitution and the laws of the United States of America, it is hereby ordered: アメリカ合衆国憲法および法律により大統領として私に与えられた認可により、ここに命令する:
 Section 1. Background. Bitcoin is the original cryptocurrency. The Bitcoin protocol permanently caps the total supply of bitcoin (BTC) at 21 million coins, and has never been hacked. As a result of its scarcity and security, Bitcoin is often referred to as “digital gold”. Because there is a fixed supply of BTC, there is a strategic advantage to being among the first nations to create a strategic bitcoin reserve. The United States Government currently holds a significant amount of BTC, but has not implemented a policy to maximize BTC’s strategic position as a unique store of value in the global financial system. Just as it is in our country’s interest to thoughtfully manage national ownership and control of any other resource, our Nation must harness, not limit, the power of digital assets for our prosperity.  第1条 背景:ビットコインは暗号通貨の元祖である。 ビットコインのプロトコルは、ビットコイン(BTC)の総供給量を2,100万枚に恒久的に制限しており、一度もハッキングされたことがない。 その希少性と安全性から、ビットコインはしばしば「デジタル・ゴールド」と呼ばれる。 BTCには一定の供給量があるため、戦略的なビットコイン備蓄を最初に作った国のひとつであることには戦略的な利点がある。 米国政府は現在、相当量のBTCを保有しているが、世界の金融システムにおける独自の価値貯蔵機関としてのBTCの戦略的地位を最大化する政策を実施していない。 他のあらゆるリソースの国家所有と制御を思慮深く管理することが我が国の利益であるように、我が国はデジタル資産の力を制限するのではなく、我々の繁栄のために活用しなければならない。 
 Sec. 2. Policy. It is the policy of the United States to establish a Strategic Bitcoin Reserve. It is further the policy of the United States to establish a United States Digital Asset Stockpile that can serve as a secure account for orderly and strategic management of the United States’ other digital asset holdings. 第2条 方針:戦略的ビットコイン準備金を設立することは、米国の政策である。 さらに、米国の他のデジタル資産保有を秩序立てて戦略的に管理するための安全な口座として機能する米国デジタル資産備蓄を確立することは、米国の方針である。
 Sec. 3. Creation and Administration of the Strategic Bitcoin Reserve and United States Digital Asset Stockpile.  第3条 戦略的ビットコイン準備と米国デジタル資産備蓄の創設と管理。 
 (a) The Secretary of the Treasury shall establish an office to administer and maintain control of custodial accounts collectively known as the “Strategic Bitcoin Reserve,” capitalized with all BTC held by the Department of the Treasury that was finally forfeited as part of criminal or civil asset forfeiture proceedings or in satisfaction of any civil money penalty imposed by any executive department or agency (agency) and that is not needed to satisfy requirements under 31 U.S.C. 9705 or released pursuant to subsection (d) of this section (Government BTC). Within 30 days of the date of this order, each agency shall review its authorities to transfer any Government BTC held by it to the Strategic Bitcoin Reserve and shall submit a report reflecting the result of that review to the Secretary of the Treasury. Government BTC deposited into the Strategic Bitcoin Reserve shall not be sold and shall be maintained as reserve assets of the United States utilized to meet governmental objectives in accordance with applicable law.  (a) 財務長官は、「戦略的ビットコイン準備室」と総称される保管口座を管理・維持するための事務所を設置し、財務省が保有するすべてのBTCのうち、刑事上もしくは民事上の資産没収手続の一環として、または行政府もしくは政府機関(エージェンシー)が課した民事上の金銭的ペナルティを充足するために、最終的に没収されたものであって、合衆国法典第31編第9705条に基づく要件を満たすために必要とされないもの、または本条第(d)項(政府BTC)に従って放出されるものを資本とする。 本命令の日付から30日以内に、各機関は、保有する政府BTCを戦略的ビットコイン準備に移転する権限を見直し、その結果を反映した報告書を財務長官に提出しなければならない。 戦略的ビットコイン準備に預けられた政府BTCは売却されず、適用法に従って政府の目的を達成するために利用される米国の準備資産として維持されるものとする。 
 (b) The Secretary of the Treasury shall establish an office to administer and maintain control of custodial accounts collectively known as the “United States Digital Asset Stockpile,” capitalized with all digital assets owned by the Department of the Treasury, other than BTC, that were finally forfeited as part of criminal or civil asset forfeiture proceedings and that are not needed to satisfy requirements under 31 U.S.C. 9705 or released pursuant to subsection (d) of this section (Stockpile Assets). Within 30 days of the date of this order, each agency shall review its authorities to transfer any Stockpile Assets held by it to the United States Digital Asset Stockpile and shall submit a report reflecting the result of that review to the Secretary of the Treasury. The Secretary of the Treasury shall determine strategies for responsible stewardship of the United States Digital Asset Stockpile in accordance with applicable law. (b) 財務長官は、「米国デジタル資産備蓄」と総称される保管口座を管理・維持する事務所を設置し、BTC以外の財務省が所有するすべてのデジタル資産で、刑事上または民事上の資産没収手続の一環として最終的に没収され、合衆国法典第31編第9705条に基づく要件を満たすために必要とされないもの、または本条(d)項(備蓄資産)に従って放出されるものを資本とする。 本命令の日付から30日以内に、各機関は、保有する備蓄資産を米国デジタル資産備蓄に移転する権限を見直し、その結果を反映した報告書を財務長官に提出しなければならない。 財務長官は、適用法に従い、米国デジタル資産備蓄の責任ある管理のための戦略を決定するものとする。
 (c) The Secretary of the Treasury and the Secretary of Commerce shall develop strategies for acquiring additional Government BTC provided that such strategies are budget neutral and do not impose incremental costs on United States taxpayers. However, the United States Government shall not acquire additional Stockpile Assets other than in connection with criminal or civil asset forfeiture proceedings or in satisfaction of any civil money penalty imposed by any agency without further executive or legislative action.  (c)財務長官および商務長官は、政府BTCを追加取得するための戦略を策定するものとする。ただし、かかる戦略が予算中立的であり、米国の納税者に追加的なコストを課さないことを条件とする。 ただし、米国政府は、刑事上もしくは民事上の資産没収手続に関連する場合、または行政府もしくは立法府のさらなる措置なしに、いずれかの機関が課した民事上の金銭処罰を充足する場合を除き、追加の備蓄資産を取得してはならない。 
 (d) “Government Digital Assets” means all Government BTC and all Stockpile Assets. The head of each agency shall not sell or otherwise dispose of any Government Digital Assets, except in connection with the Secretary of the Treasury’s exercise of his lawful authority and responsible stewardship of the United States Digital Asset Stockpile pursuant to subsection (b) of this section, or pursuant to an order from a court of competent jurisdiction, as required by law, or in cases where the Attorney General or other relevant agency head determines that the Government Digital Assets (or the proceeds from the sale or disposition thereof) can and should:  (d) 「政府デジタル資産」とは、すべての政府BTCおよびすべての備蓄資産をいう。 ただし、財務長官が本条(b)項に基づき米国デジタル資産備蓄の合法的な権限と責任ある管理を行使する場合、または管轄裁判所の命令に従い、法律で義務付けられている場合、または司法長官もしくは他の関係省庁の長が政府デジタル資産(またはその売却もしくは処分による収益)が可能であり、かつそうすべきであると判断する場合を除く: 
 (i) be returned to identifiable and verifiable victims of crime;  (i) 識別可能かつ検証可能な犯罪被害者に返還される;
 (ii) be used for law enforcement operations;  (ii) 法執行活動に使用される;
 (iii) be equitably shared with State and local law enforcement partners; or  (iii) 州および地方の法執行パートナーと公平に共有される;または
 (iv) be released to satisfy requirements under 31 U.S.C. 9705, 28 U.S.C. 524(c), 18 U.S.C. 981, or 21 U.S.C. 881.  (iv) U.S.C. 31 9705、U.S.C. 28 524(c)、U.S.C. 18 981、または U.S.C. 21 881 に基づく要件を満たすために解放される。
 (e) Within 60 days of the date of this order, the Secretary of the Treasury shall deliver an evaluation of the legal and investment considerations for establishing and managing the Strategic Bitcoin Reserve and United States Digital Asset Stockpile going forward, including the accounts in which the Strategic Bitcoin Reserve and United States Digital Asset Stockpile should be located and the need for any legislation to operationalize any aspect of this order or the proper management and administration of such accounts. (e) 本命令の日付から 60 日以内に、財務長官は、戦略的ビットコイン準備金および米国デジタル資産備蓄が所在すべき口座、本命令のいずれかの側面を運用するための法律の必要性、またはかかる口座の適切な管理および運営を含む、戦略的ビットコイン準備金および米国デジタル資産備蓄を今後設立および管理するための法的および投資上の考慮事項の評価を提出するものとする。
 Sec. 4. Accounting. Within 30 days of the date of this order, the head of each agency shall provide the Secretary of the Treasury and the President’s Working Group on Digital Asset Markets with a full accounting of all Government Digital Assets in such agency’s possession, including any information regarding the custodial accounts in which such Government Digital Assets are currently held that would be necessary to facilitate a transfer of the Government Digital Assets to the Strategic Bitcoin Reserve or the United States Digital Asset Stockpile. If such agency holds no Government Digital Assets, such agency shall confirm such fact to the Secretary of the Treasury and the President’s Working Group on Digital Asset Markets within 30 days of the date of this order.  第4条 会計:本命令の日付から30日以内に、各省庁の長は、財務長官およびデジタル資産市場に関する大統領作業部会に対し、当該省庁が保有するすべての政府デジタル資産の完全な会計情報を提供するものとし、これには、戦略的ビットコイン準備または米国デジタル資産備蓄への政府デジタル資産の移転を促進するために必要となる、当該政府デジタル資産が現在保有されている保管口座に関するあらゆる情報を含む。当該機関が政府デジタル資産を保有していない場合、当該機関は、本命令の日付から30日以内に、財務長官およびデジタル資産市場に関する大統領作業部会に対してその事実を確認するものとする。 
 Sec. 5. General Provisions. (a) Nothing in this order shall be construed to impair or otherwise affect: 第5条 一般規定 (a) 本命令のいかなる規定も、以下を損なったり、その他の影響を及ぼすものと解釈されてはならない
 (i) the authority granted by law to an executive department or agency, or the head thereof; or (i) 行政部、行政機関、またはその長に法律で認められた認可、または、
 (ii) the functions of the Director of the Office of Management and Budget relating to budgetary, administrative, or legislative proposals. (ii) 予算案、行政案、立法案に関する行政管理予算局局長の機能。
 (b) This order shall be implemented consistent with applicable law and subject to the availability of appropriations. (b) 本命令は、適用法に合致し、充当可能な予算に応じて実施されるものとする。
 (c) This order is not intended to, and does not, create any right or benefit, substantive or procedural, enforceable at law or in equity by any party against the United States, its departments, agencies, or entities, its officers, employees, or agents, or any other person. (c) 本命令は、米国、その省庁、事業体、その役員、職員、代理人、またはその他の者に対し、いかなる当事者も法律上または衡平法上執行可能な、実質的または手続き上の権利または利益を創出することを意図しておらず、また創出しない。

 

 

 

| | Comments (0)

EDPB 航空会社が保管する旅客情報の取り扱いに関して(CJEU判決C-817/19を踏まえたPNR指令の実施に関する声明)(2025.03.14)

こんにちは、丸山満彦です。

EUは2016.04.27に安全保障上の観点から、テロ犯罪および重大犯罪の防止、検知、捜査および訴追のための旅客名記録(PNR)データの利用についての指令(PNR指令)を官報に公表しています。しかし、捜査機関等による行き過ぎた個人データの取り扱いは基本的人権の保護の観点から望ましくないことから、一定の歯止めが必要といえますね...特に技術進歩により、個人データを大量かつ高速に分析できるようになっていくので...

そういう観点もあって、CJEU判決C-817/192022.06.21に出されているわけですが、それを踏まえてEDPBが2022.05.21に声明を出したのに続いて、今回EDPBが声明を出したものです...

安全保障上、国民のプライバシーが一定制限されることがあるとは思います。犯罪捜査のために国民のプライバシーが制限される必要性があるかもしれません。

ただ、国家権力が国民の大量のデータにアクセスできるようになり、その意思さえあれば、国民を実質的に監視できるようになる世界というのを国民が望むのか、どこまでの安全と引き換えにそれを行うのか、国民による国家権力の暴走をどのように監視、止めることができるのか?ということも合わせて考えないと、将来取り返しがつかないことになってしまうかもしれません。そういうことを考えさせる話かもしれません...

 

⚫︎European Data Protection Board: EDPB

・2025.03.14 EDPB adopts statement on the implementation of the PNR directive

EDPB adopts statement on the implementation of the PNR directive EDPB、PNR指令の実施に関する声明を採択
Brussels, 14 March - During its March 2025 plenary meeting, the European Data Protection Board (EDPB) adopted a statement on the implementation of the Passenger Name Record Directive (PNR) in light of the Court of Justice of the EU (CJEU) judgment C-817/19*.  ブリュッセル、3月14日 - 欧州データ保護理事会(EDPB)は2025年3月の本会議で、EU司法裁判所(CJEU)のC-817/19判決*を踏まえた旅客名記録指令(PNR)の実施に関する声明を採択した。
In its second statement on the implementation of the PNR Directive, which follows the one of 15 December 2022, the Board gives further guidance to the Passenger Information  Units (PIUs)** on the necessary adaptions and limitations to the processing of PNR data, following the PNR judgment. PNR data is personal information provided by passengers, and collected and held by air carriers that includes the names of the passengers, travel dates, itineraries, seats, baggage, contact details and means of payment. 2022年12月15日の声明に続くPNR指令の実施に関する2回目の声明では、PNR判決を受けて、PNRデータの処理に必要な適応と制限について、旅客情報ユニット(PIU)**にさらなるガイダンスを示している。PNRデータとは、旅客が提供し、航空会社が収集・保有する個人情報で、旅客の氏名、旅行日、旅程、座席、手荷物、連絡先、支払手段などが含まれる。
The statement includes practical recommendations for the national laws transposing the PNR Directive in order to give effect to the findings of the CJEU in the PNR judgment. The recommendations cover some of the key aspects of the PNR judgement such as how European countries should select the flights from which PNR data is collected, or how long PNR data should be retained. According to the Board, the retention period of all PNR data should not exceed an initial period of six months. After this period, European countries may only store PNR data as long as needed and proportionate to the objectives of the PNR Directive. この声明には、PNR判決におけるCJEUの所見を実現するため、PNR指令を移管する国内法に対する実践的な勧告が含まれている。勧告は、PNRデータを収集するフライトを欧州各国がどのように選択すべきか、あるいはPNRデータをどの程度の期間保持すべきかなど、PNR判決の重要な側面のいくつかをカバーしている。理事会によると、すべてのPNRデータの保持期間は、当初6ヶ月を超えるべきではない。この期間経過後は、欧州各国はPNR指令の目的に見合った必要な期間のみPNRデータを保存することができる。
EDPB Chair Anu Talus said: “The EDPB recognises the importance of the PNR Directive in improving the security of passengers across Europe and in helping prevent, detect and prosecute terrorist offences and serious crime. The transfer of PNR data in Europe should take place in a harmonised way and in full respect of data protection principles.” EDPBのアヌ・タルス委員長は次のように述べた: 「EDPBは、欧州全域の旅客のセキュリティを改善し、テロ犯罪や重大犯罪の防止、検知、訴追に役立つPNR指令の重要性を認識している。欧州におけるPNRデータの移転は、データ保護の原則を完全に尊重し、調和された方法で行われるべきである。
The Board is aware that some European countries have already started the adaptation process, but there is still a substantial lack of implementation efforts throughout the Member States. Therefore, in its statement, the EDPB outlines the urgent need to implement the necessary changes and to amend national laws by taking into account the PNR judgment as soon as possible. 理事会は、一部の欧州諸国がすでに適応プロセスを開始していることを承知しているが、加盟国全体における実施努力がまだ大幅に不足している。そのため、EDPBは声明の中で、PNR判決を考慮した必要な変更を早急に実施し、国内法を改正する必要性を概説している。
Note to editors 編集後記
* On 21 June 2022, on a referral from the Belgian Constitutional Court, the CJEU rendered its judgment C-817/19 on the use of passenger name record (PNR) data for the prevention, detection, investigation and prosecution of terrorist offences and serious crime, under the PNR Directive 2016/681. While the Court found that the validity of the PNR Directive was not affected, it ruled that, in order to ensure compliance with the EU Charter of Fundamental Rights (the Charter), the PNR Directive needs to be interpreted as including important limitations to the processing of personal data. Some of these limitations are the application of the PNR system only to terrorist offences and serious crime, having an objective link with the carriage of passengers by air, and the non-indiscriminate application of the general retention period of five years to all passengers’ personal data. * 2022年6月21日、ベルギー憲法裁判所からの照会に基づき、欧州司法共同体(CJEU)は、PNR指令2016/681に基づき、テロ犯罪および重大犯罪の予防、検知、捜査、訴追のための旅客名記録(PNR)データの利用に関する判決C-817/19を下した。同裁判所は、PNR指令の妥当性確認に影響はないとしながらも、EU基本権憲章(the Charter of Fundamental Rights)の遵守を確実にするために、PNR指令はパーソナルデータの処理に重要な制限を含むものとして解釈される必要があるとの判決を下した。これらの制限の一部とは、PNRシステムをテロ犯罪および重大犯罪にのみ適用すること、航空機による旅客運送と客観的な関連性があること、すべての旅客の個人データに5年間という一般的な保存期間を無差別に適用することなどである。
** The PIUs are specific entities in European countries which are responsible for the collection, storage, and processing of PNR data. ** PIUは、PNRデータの収集、保管、処理に責任を負う欧州各国の特定の事業体である。

 

・[PDF]

20250318-64212

・[DOCX][PDF] 仮訳

 

2022年の声明

・2022.12.15 EDPB adopts statement on CJEU PNR judgment

・[PDF

20250318-65207

 


 

テロ犯罪および重大犯罪の防止、検知、捜査および訴追のための旅客名記録(PNR)データの利用についての指令 (PNR指令)

⚫︎Official Journal of the European Union

・2016.04.27 DIRECTIVE (EU) 2016/681 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on the use of passenger name record (PNR) data for the prevention, detection, investigation and prosecution of terrorist offences and serious crime

 


 

欧州司法裁判所の判決

⚫︎InfoCuria

・2022.06.21 C-817/19 - Ligue des droits humains

意見

・2022.01.27 OPINION OF ADVOCATE GENERAL PITRUZZELLA

判決

・2022.06.21 JUDGMENT OF THE COURT (Grand Chamber)

 

 


 

⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

PNR

・2023.04.19 EDPB 2022年活動報告書

 

| | Comments (0)

2025.03.17

欧州 AIファクトリーの第2波 (2025.03.12)

こんにちは、丸山満彦です。

AIで米国に出遅れたと感じている欧州は、その巻き返しに力を注いでいますね。その進め方は、やはり欧州的という感じはします。。。

EU27カ国の経済規模及びその可能性というのは米国と引けをとりません...

名目GDPでいえば、2023年の数字でEUは米国の2/3の18兆ドル。中国よりわずかに大きい(4%)。

人口は、米国の1.3倍の4.5億人...

潜在力はあると思います...さて、どうなりますか...

 

⚫︎ Europian Commission

・2025.03.12 Second wave of AI Factories set to drive EU-wide innovation

 

Second wave of AI Factories set to drive EU-wide innovation AIファクトリーの第2波がEU全域のイノベーションを推進する
The European High Performance Computing Joint Undertaking (EuroHPC JU) has selected six additional Artificial Intelligence (AI) Factories in the EU. 欧州高性能計算共同事業(EuroHPC JU)は、EU内の6つの人工知能(AI)ファクトリーを追加で選定した。
This follows the first selection of seven AI Factories in December 2024. これは、2024年12月に7つのAIファクトリーを初めて選定したことに続くものである。
Austria, Bulgaria, France, Germany, Poland, and Slovenia will host the newly selected AI Factories, supported by a combined national and EU investment of around €485 million. The factories will offer privileged access to AI startups and small-and-medium sized enterprises (SMEs), fostering growth and more effective scaling up. オーストリア、ブルガリア、フランス、ドイツ、ポーランド、スロベニアが、新たに選定されたAIファクトリーをホストし、各国およびEUの投資総額約4億8500万ユーロの支援を受ける。AIファクトリーは、AIスタートアップや中小企業(SME)に優先的なアクセスを提供し、成長とより効果的なスケールアップを促進する。
AI Factories are a core pillar of the Commission’s strategy for Europe to become a leader in AI, bringing together 17 Member States and two associated EuroHPC participating states. The infrastructure and services provided by AI Factories are essential for unlocking the full potential of the sector in Europe. Backed by the EU’s world-class network of supercomputers, these factories will bring together the key ingredients for AI innovation: computing power, data, and talent. This will enable AI companies, particularly SMEs and startups, as well as researchers, to enhance the training and development of large-scale, trustworthy and ethical AI models. AIファクトリーは、欧州委員会がAI分野におけるリーダーとなるための戦略の中核をなすものであり、17の加盟国と2つの関連ユーロHPC参加国が参加している。AIファクトリーが提供するインフラとサービスは、欧州におけるこの分野の潜在能力を最大限に引き出すために不可欠である。EUの世界トップクラスのスーパーコンピューターネットワークを基盤として、これらのAIファクトリーは、AIイノベーションの主要な要素であるコンピューティングパワー、データ、人材を集結させる。これにより、AI企業(特に中小企業や新興企業)や研究者は、大規模で信頼性が高く倫理的なAIモデルのトレーニングと開発を強化することが可能になる。
As announced by President von der Leyen at the AI Action Summit in Paris, the Invest AI initiative aims to mobilise up to €200 billion of European investments in AI. This will include the deployment of several AI Gigafactories across Europe, which will be massive high-performance computing facilities designed to develop and train next-generation AI models and applications. フォン・デア・ライエン委員長がパリで開催されたAIアクションサミットで発表したように、Invest AIイニシアティブは、AIへの欧州からの投資を最大2000億ユーロまで動員することを目指している。これには、次世代のAIモデルやアプリケーションの開発とトレーニングを目的とした大規模な高性能コンピューティング施設であるAIギガファクトリーの欧州全域への展開が含まれる。
Read the full press release ・プレスリリース全文を読む
Find more information about AI Factories ・AIファクトリーに関する詳細情報

 

1_20250317053801

 

・2025.03.12 The EuroHPC JU Selects Additional AI Factories to Strengthen Europe’s AI Leadership

The European High Performance Computing Joint Undertaking (EuroHPC JU) 欧州高性能計算ジョイント・アンダーテイキング(EuroHPC JU)
The EuroHPC JU Selects Additional AI Factories to Strengthen Europe’s AI Leadership 欧州のAIリーダーシップ強化に向け、EuroHPC JUがAIファクトリーを追加選定
The EuroHPC Joint Undertaking (EuroHPC JU) has selected six new sites across Europe to host additional AI Factories, which are set to be deployed next year in Austria, Bulgaria, France, Germany, Poland, and Slovenia.  欧州高性能計算ジョイント・アンダーテイキング(EuroHPC JU)は、欧州全域にわたる6つの新たな拠点をAIファクトリーの追加設置先として選定した。AIファクトリーは来年、オーストリア、ブルガリア、フランス、ドイツ、ポーランド、スロベニアに展開される予定である。
France and Germany will establish AI Factories, which operate alongside Europe’s first exascale supercomputers, Alice Recoque and JUPITER. Meanwhile, Austria, Bulgaria, Poland and Slovenia, will deploy new AI-optimised systems with AI Factories to further expand Europe’s AI infrastructure.  フランスとドイツでは、欧州初のエクサスケール・スーパーコンピューターである「Alice Recoque」と「JUPITER」と並行して稼働するAIファクトリーが設置される。一方、オーストリア、ブルガリア、ポーランド、スロベニアでは、AIファクトリーとAIに最適化された新しいシステムを展開し、欧州のAIインフラをさらに拡大する。
The AI Factory in Germany (Julich) will also include an experimental platform, which will serve as a cutting-edge infrastructure for developing and testing innovative AI models and applications, as well as promoting collaboration across Europe.  ドイツ(ユーリッヒ)のAIファクトリーには、実験用プラットフォームも設置され、革新的なAIモデルやアプリケーションの開発とテストを行う最先端のインフラとして、また欧州全域での協力を促進する役割も果たすことになる。 
These new six AI Factories will be added to the seven AI Factories previously selected, creating an interconnected network of AI hubs ready to accommodate AI innovation across Europe.  Each factory will be one-stop shop, offering AI startups, SMEs, and researchers with comprehensive support to develop their data-sets as well as to access to AI-optimised high-performance computing (HPC) resources, training, and technical expertise これら新たに6つのAIファクトリーが、すでに選定されている7つのAIファクトリーに加わり、欧州全域のAIイノベーションに対応できるAIハブの相互接続ネットワークが構築されることになる。 各AIファクトリーはワンストップショップとして、AIスタートアップ企業、中小企業、研究者に、データセットの開発やAIに最適化された高性能コンピューティング(HPC)リソース、トレーニング、技術的専門知識へのアクセスなど、包括的なサポートを提供する。
Austria (AI:AT) オーストリア(AI:AT)
The AI Factory Austria (AI:AT) aims to support ethical, practical and sustainable AI development, helping businesses, researchers, and policymakers turn ideas into useful solutions.  AIファクトリー・オーストリア(AI:AT)は、倫理的で実用的かつ持続可能なAI開発を支援し、企業、研究者、政策立案者がアイデアを有用なソリューションに変えることを支援することを目的としている。
It will serve as a critical enabler for the integration of AI technologies into Austria’s manufacturing industries, addressing key challenges and unlocking new opportunities for innovation and growth.   オーストリアの製造事業者にとって、AI技術の統合を可能にする重要な役割を担い、主要な課題に対処し、イノベーションと成長のための新たな機会を開拓する。
By providing access to high-quality datasets, advanced AI models, and scalable computing infrastructure, the AI Factory will empower companies to enhance and optimise production planning, and improve quality assurance.  高品質のデータセット、高度なAIモデル、拡張可能なコンピューティングインフラへのアクセスを提供することで、AIファクトリーは、企業の生産計画の改善と最適化、品質保証の改善を支援する。 
The AI Factory will be installed at TU Wien, Vienna AIファクトリーはウィーン工科大学に設置される。
The main entities driving the Austrian AI Factory forward are the Advanced Computing Austria (ACA) and the AIT Austrian Institute of Technology (AIT)
オーストリアAIファクトリーの推進を主導する事業体は、Advanced Computing Austria (ACA) とAITオーストリア工科大学 (AIT) である。
In addition, the AI Factory will also forge strong collaborations with the emerging EuroHPC AI Factories, ensuring that the different needs of the European AI communities are met.  さらに、AIファクトリーは、新たに設立されたEuroHPC AIファクトリーとも強力な連携を図り、欧州のAIコミュニティの多様なニーズに応えていく。 
Bulgaria (BRAIN++ [Bulgarian Robotics & AI Nexus])  ブルガリア(BRAIN++ [ブルガリア・ロボティクス&AI・ネクサス]) 
The Bulgarian AI Factory BRAIN++, will be located at  Sofia Tech Park, in Sofia, Bulgaria, and will comprise of two key components, which will operate in synergy: the Discoverer++, a next-generation supercomputer tailored for advanced AI workloads, and the Bulgarian AI Factory, a comprehensive AI hub offering one-stop shop governmental, education and private companies which will be able to adopt and responsibly innovate with AI.  ブルガリアAIファクトリーBRAIN++は、ブルガリアのソフィアにあるソフィア・テック・パークに設置され、2つの主要コンポーネントで構成される。高度なAIワークロード向けにカスタマイズされた次世代スーパーコンピューター「Discoverer++」と、政府、教育機関、民間企業がAIを導入し、責任を持って革新を行うことができるワンストップショップを提供する包括的なAIハブ「ブルガリアAIファクトリー」である。
BRAIN++ aims to position Bulgaria as a regional leader in AI innovation by fostering talent development, supporting startups/SMEs, and driving further development and deployment of Bulgarian Language LLMs, Robotics AI, Space Observation AI, product manufacturing (with an emphasis on consumer good products), Trustworthy AI Compliance Tools, Federated AI Data Lake, collaborative office and virtual AI workspaces (BulgAI Sandbox) and with AI skills and talent development and responsible AI entrepreneurship.    BRAIN++は、人材開発の促進、スタートアップ/中小企業の支援、ブルガリア語の言語処理ライブラリ(LLM)、ロボット工学AI、宇宙観測AI、製品製造(消費財に重点を置く)、信頼できるAIコンプライアンスツール、統合AIデータレイク、共同オフィス、仮想AIワークスペース(BulgAI Sandbox)の開発と展開を推進し、AIスキルと人材開発、責任あるAI起業家精神を育むことで、ブルガリアをAIイノベーションにおける地域リーダーとして位置づけることを目指している。 
By integrating with other EuroHPC AI Factories across Europe, BRAIN++ will contribute to a unified European AI ecosystem while promoting ethical and responsible AI practices  ヨーロッパ各地の他のEuroHPC AIファクトリーと統合することで、BRAIN++は倫理的かつ責任あるAIの実践を推進しながら、統一されたヨーロッパのAIエコシステムに貢献する
France (AI2F)  フランス(AI2F) 
The AI Factory France (AI2F) will build on an existing, decentralised AI French ecosystem, involving large companies, startups, research laboratories, data centres, universities and schools, venture capitalists  and incubators as well as AI think tanks and associations.   AIファクトリー・フランス(AI2F)は、大企業、スタートアップ、研究機関、データセンター、大学、学校、ベンチャーキャピタル、インキュベーター、AIシンクタンク、協会など、既存の分散型AIフランス・エコシステムを基盤として構築される。 
By leveraging state-of-the-art supercomputing infrastructure and support services, the AI2F will foster the use of AI in research, innovation and public services in France and in Europe.  最先端のスーパーコンピューティングインフラとサポートサービスを活用することで、AI2Fはフランスおよびヨーロッパにおける研究、イノベーション、公共サービスにおけるAIの利用を促進する。
The consortium of the AI2F is led by the French Hosting Entity GENCI, in collaboration with academic and innovation partners : AMIAD, CEA, Cines, CNRS, France Universités (FU) representing the 74 French universities, Inria, The French Tech, Station F, and HubFranceIA.
AI2Fのコンソーシアムは、学術機関およびイノベーションパートナーであるAMIAD、CEA、Cines、CNRS、フランス大学(FU)の代表であるフランス・ホスティング事業体GENCIが主導し、 AMIAD、CEA、Cines、CNRS、フランス大学(FU)の74のフランス大学代表者、Inria、The French Tech、Station F、HubFranceIAである。
The AI2F relies on Alice Recoque, the second EuroHPC Exascale supercomputer, which is an AI-ready EuroHPC supercomputer. As this system will start being deployed in 2026, the AI2F is committed to provide access to the existing French national infrastructures, owned by GENCI: Jean Zay at IDRIS (CNRS), Adastra at CINES (France Universités), and Joliot-Curie at TGCC (CEA) AI2Fは、AI対応のEuroHPCスーパーコンピューターである第2世代のEuroHPCエクサスケールスーパーコンピューター「Alice Recoque」に依存している。このシステムは2026年に展開が開始される予定であるため、AI2Fは、GENCIが所有する既存のフランス国立インフラへのアクセスを提供することに専念している。IDRIS(CNRS)のJean Zay、CINES(フランス大学)のAdastra、TGCC(CEA)のJoliot-Curieである。
AI2F will be open to all sectors, welcoming industry stakeholders to collaborate and develop initiatives that drive AI adoption and innovation within their domains.   AI2Fはあらゆる分野に門戸を開き、各分野におけるAIの採用とイノベーションを推進するイニシアティブの共同開発に産業界の関係者を歓迎する。 
In this context, AI2F aims to support key societal and industrial sectors, including defense, energy, aerospace, edtech, agriculture, finance, humanities, robotics, health, earth science, materials science, and mobility.  この文脈において、AI2Fは、防衛、エネルギー、航空宇宙、教育テクノロジー、農業、金融、人文科学、ロボティクス、健康、地球科学、材料科学、モビリティなどの主要な社会および産業分野を支援することを目指している。
As AI2F is part of a European infrastructure of AI factories within an AI Continent, it will collaborate with other AI Factories in Europe (especially with the JAIF German AI Factory led by Forschungszentrum Jülich) and many European stakeholders (including ALT_EDIC, BDVA, EOSC, Gaia-X, EDIHs and TEFs to name a few). AI2FはAI大陸における欧州のAIファクトリーのインフラの一部であるため、欧州の他のAIファクトリー(特にユーリッヒ研究センターが主導するJAIFドイツAIファクトリー)や多くの欧州のステークホルダー(ALT_EDIC、BDVA、EOSC、Gaia-X、EDIHs、TEFsなど)と協力していく。
Additional details can be found on the French Press Release.  追加の詳細は、フランスのプレスリリースを参照のこと。
Germany (JAIF)  ドイツ(JAIF)
JAIF, the JUPITER AI Factory, will contribute to Europe's AI innovation cluster by supporting the development and deployment of AI solutions using Europe's HPC infrastructure, particularly to address growing industry needs.  JUPITER AI FactoryであるJAIFは、特に高まりつつある産業ニーズに対応するため、欧州のHPCインフラストラクチャーを活用したAIソリューションの開発と展開を支援することで、欧州のAIイノベーションクラスターに貢献する。
The JAIF leverages the capabilities of Europe’s first exascale supercomputer JUPITER (Joint Undertaking Pioneer for Innovative and Transformative Exascale Research) to support European startups, SMEs, industries, the public sector, and the broader scientific and technological community.   JAIFは、欧州初のエクサスケール・スーパーコンピュータJUPITER(革新的なエクサスケール研究のための共同事業体)の能力を活用し、欧州のスタートアップ企業、中小企業、産業界、公共部門、およびより幅広い科学技術コミュニティを支援する。
Acting as a one-stop shop, it will provide a single point of contact for these stakeholders, facilitating innovation and collaboration. JAIF will also feature an experimental platform for developing and testing AI models: JARVIS (JUPITER Advanced Research Vehicle for Inference Services), an inference module designed to accelerate the execution and optimization of AI models.  ワンストップショップとして、これらのステークホルダーに単一の窓口を提供し、イノベーションとコラボレーションを促進する。JAIFは、AIモデルの開発とテストのための実験プラットフォームも提供する。JARVIS(JUPITER Advanced Research Vehicle for Inference Services)は、AIモデルの実行と最適化を加速させる推論モジュールである。
With a consortium of leading institutions and an ambitious service portfolio, JAIF addresses the growing demand for AI solutions, bridges gaps in expertise, fosters collaboration across Europe, and strengthens Europe's position as a leader in AI-driven prosperity and growth across the key sectors of healthcare, energy, climate change and the environment, education, media and culture, the public sector, finance and insurance.  JAIFは、主要機関のコンソーシアムと野心的なサービスポートフォリオにより、AIソリューションに対する高まる需要に対応し、専門知識のギャップを埋め、欧州全域での協力を促進し、AI主導の繁栄と成長のリーダーとしての欧州の地位を強化する。
JAIF’s partners include the Jülich Supercomputing Centre at Forschungszentrum Jülich, the Center for Artificial Intelligence at RWTH Aachen University, the Fraunhofer Institute for Applied Information Technology (FIT) and the Fraunhofer Institute for Intelligent Analysis and Information Systems (IAIS), as well as the Hessian Center for Artificial Intelligence (hessian.AI). Associated partners include KI BundesverbandWestAIhessian.AISC, and the Institute for Machine Learning and Artificial Intelligence (LAMARR) JAIFのパートナーには、ユーリッヒ研究センターのユーリッヒ・スーパーコンピューティング・センター、アーヘン工科大学の人工知能センター、フラウンホーファー応用情報技術研究所(FIT)、フラウンホーファー知能分析情報システム研究所(IAIS)、ヘッセン人工知能センター(hessian.AI)などが含まれる。提携パートナーには、KI Bundesverband、WestAI、hessian.AISC、機械学習・人工知能研究所(LAMARR)が含まれる。
In addition to its local stakeholders, JAIF will maintain a close partnership with the AI Factory France led by GENCI, where Alice Recoque, Europe’s second Exascale supercomputer, is being developed. Additionally, JAIF will establish links with key AI partners across Europe, including HammerHAI, IT4LIA, AIF Spain, MeluXina-AI, LUMI AIF, MIMER and Pharos.   JAIFは、地元の利害関係者だけでなく、欧州で2番目に高速なエクサスケール・スーパーコンピューター「Alice Recoque」の開発が進められているGENCIが主導するAI Factory Franceとも緊密なパートナーシップを維持する。さらに、JAIFはHammerHAI、IT4LIA、AIF Spain、MeluXina-AI、LUMI AIF、MIMER、Pharosなど、欧州全域の主要なAIパートナーとの連携も確立する。
Further details about JAIF can be found here.  JAIFに関する詳細はこちら。
Poland (PIAST) ポーランド(PIAST
The PIAST AI Factory is dedicated to advancing AI research, innovation, and application in Poland and across Europe. By bridging the gap between academia, industry, and government, the PIAST AI Factory fosters a dynamic ecosystem for knowledge exchange and AI innovation.   PIAST AI Factoryは、ポーランドおよびヨーロッパ全域におけるAIの研究、イノベーション、応用を推進することを目的としている。学術界、産業界、政府間のギャップを埋めることで、PIAST AI Factoryは知識の交換とAIのイノベーションのためのダイナミックなエコシステムを育成する。 
Led by the Poznan Supercomputing and Networking Center (PSNC), PIAST AI Factory collaborates with the Poznan University of Technology (PUT), the Adam Mickiewicz University (AMU), and the Nicolaus Copernicus University (NCU), along with regional industry clusters and innovation hubs, particularly the Wielkopolska IT & Telecommunication Cluster.   ポズナン・スーパーコンピューティング・アンド・ネットワーキング・センター(PSNC)が主導するPIAST AI Factoryは、ポズナン工科大学(PUT)、アダム・ミツキェヴィチ大学(AMU)、ニコラウス・コペルニクス大学(NCU)と協力し、また、特にヴィエルコポルスカIT&テレコミュニケーション・クラスターなどの地域産業クラスターやイノベーション・ハブとも連携している。 
The PIAST AIF seeks to accelerate the adoption of AI technologies across academia and industry sectors, in particular for Health & Life sciences, IT & Cybersecurity (including Quantum), Space & Robotics, Sustainability (Energy, Agriculture and Climate Change) and the public sector.   PIAST AIFは、特にヘルスケア&ライフサイエンス、IT&サイバーセキュリティ(量子を含む)、宇宙&ロボット工学、持続可能性(エネルギー、農業、気候変動)、公共部門において、学術界と産業界全体でのAI技術の採用を加速することを目指している。 
Leveraging PSNC’s advanced HPC infrastructure and the EuroHPC quantum computer, Piast, the PIAST AI Factory promises to drive innovation, foster collaboration, and strengthen Poland’s position within the European HPC, Quantum and AI ecosystem.  PSNCの先進的なHPCインフラとEuroHPCの量子コンピューターを活用し、PIAST AI Factoryは、イノベーションを推進し、協力を促進し、欧州のHPC、量子、AIエコシステムにおけるポーランドの地位を強化することを約束している。
The AI Factory will focus on accessibility, sustainability, and cross-border cooperation creating a platform for impactful AI applications that address pressing societal challenges while driving economic growth.  AI Factoryは、アクセシビリティ、持続可能性、国境を越えた協力に重点的に取り組み、経済成長を促進しながら、差し迫った社会問題に対処するインパクトのあるAIアプリケーションのためのプラットフォームを構築する。
Through these efforts, the PIAST AI Factory wishes to contribute to the realisation of a technologically sovereign and globally competitive European AI ecosystem.   これらの取り組みを通じて、PIAST AI Factoryは、技術的に自立し、グローバルに競争力のある欧州のAIエコシステムの実現に貢献することを目指している。 
Slovenia (SLAIF)   スロベニア(SLAIF) 
SLAIF, the Slovenian AIF, will provide companies and the public sector with AI tools to enhance competitiveness, improve services, and benefit citizens.   SLAIF(スロベニアAIF)は、企業や公共部門にAIツールを提供し、競争力を強化し、サービスを改善し、市民に利益をもたらす。
Through extensive collaboration with entities and countries in the region, SLAIF will also contribute to the wide uptake of AI tools and services to help develop the AI ecosystem in Europe.   また、SLAIFは、この地域の事業体や各国との広範な連携を通じて、AIツールやサービスの普及に貢献し、欧州におけるAIエコシステムの構築を支援する。 
SLAIF will provide a dedicated AI-optimised supercomputing facility, , located at IZUM in Maribor, that will support industrial AI applications and enable training of large-scale AI models, conducting inference at scale, and supporting AI-driven scientific discovery.  SLAIFは、マリボルにあるIZUMにAIに最適化された専用スーパーコンピューティング施設を提供し、産業用AIアプリケーションをサポートし、大規模なAIモデルのトレーニング、大規模な推論の実行、AI主導の科学的発見の支援を可能にする。
The Hosting Entity and overall coordinator of SLAIF will be IZUM, while the consortium will include the Jožef Stefan Institute (technical coordinator of the AI Factory part), ARNES, and five universities: the University of Ljubljana, the University of Maribor, the University of Nova Gorica, the University of Primorska, and the Faculty of Information Studies in Novo Mesto. All these institutions provide AI expertise, training, and talent. In addition, the Technology Park Ljubljana and the Chamber of Commerce and Industry of Slovenia will support knowledge transfer and business engagement.
SLAIFのホスティング事業体および全体的なコーディネーターはIZUMが務め、コンソーシアムには、ヨジェフ・シュテファン研究所(AIファクトリーの技術的コーディネーター)、アルネス、およびリュブリャナ大学、マリボル大学、ノヴァ・ゴリツァ大学、プリモルスカ大学、ノボメスト情報学部という5つの大学が参加する。これらのすべての機構がAIの専門知識、トレーニング、人材を提供している。さらに、リュブリャナ技術パークとスロベニア商工会議所が知識移転と事業提携を支援する。
Acting as a one-stop-shop, SLAIF's mission is to foster AI-driven innovation across various sectors, engaging with industry partners to provide businesses with AI-powered solutions, technical support, and infrastructure access.  ワンストップショップとして、SLAIFの使命は、さまざまな分野でAI主導のイノベーションを促進し、業界パートナーと連携してAIを活用したソリューション、技術サポート、インフラへのアクセスを企業に提供することである。
SLAIF's roadmap aligns with both national and European AI strategies, integrating with existing infrastructures like the petascale EuroHPC system VEGA and the SLING network. By seamlessly integrating national and European AI initiatives, SLAIF will crucially contribute to positioning Slovenia as a key AI hub in Europe.   SLAIFのロードマップは、国家および欧州のAI戦略と一致しており、ペタスケールEuroHPCシステムVEGAやSLINGネットワークなどの既存のインフラと統合されている。国家および欧州のAIイニシアティブをシームレスに統合することで、SLAIFはスロベニアを欧州におけるAIの主要ハブとして位置づけることに大きく貢献する。
Further details about SLAIF can be found at www.slaif.si.   SLAIFに関する詳細情報は、www.slaif.siを参照。
More Details   詳細 
As a result of the second cut-off on 1 February 2025, the EuroHPC JU Governing Board has approved the selection of six new AI Factories. This number comprises two successful submissions under EUROHPC-2024-CEI-AI-01 call and four under EUROHPC-2024-CEI-AI-02 call. The next cut-off deadline for additional proposals is 2nd May 2025.   2025年2月1日の第2回締め切りにより、EuroHPC JUガバナンス委員会は6つの新しいAIファクトリーの選定を承認した。この数は、EUROHPC-2024-CEI-AI-01の呼びかけに対する2つの成功した応募と、EUROHPC-2024-CEI-AI-02の呼びかけに対する4つの応募で構成されている。追加提案の次の締め切りは2025年5月2日である。 
So far, 13 sites across Europe have been selected to host AI Factories. From the first cut-off of 1 November 2024, seven countries were selected to deploy the first AI Factories: Finland, Germany, Italy, Luxembourg, and Sweden, hosting brand-new AI-optimised supercomputers, Spain establishing an AI Factory by upgrading existing EuroHPC systems and Greece operating an existing AI-ready system. In addition, Spain and Finland’s AI Factories will also include experimental platforms, serving as testbeds for AI model development これまでに、ヨーロッパ全土で13の拠点がAIファクトリーのホストとして選定されている。2024年11月1日の最初の締め切りでは、7か国が最初のAIファクトリーの展開先として選定された。フィンランド、ドイツ、イタリア、ルクセンブルク、スウェーデンは、AIに最適化された最新鋭のスーパーコンピューターをホスティングし、スペインは既存のEuroHPCシステムをアップグレードしてAIファクトリーを設立し、ギリシャは既存のAI対応システムを運用する。さらに、スペインとフィンランドのAIファクトリーには実験用プラットフォームも設置され、AIモデル開発のためのテストベッドとして機能する。
The hosting agreements with the first selected Hosting Entities have been signed, leading currently to the launch of the procurement process for the relevant systems, which is scheduled to take place in the first half of 2025.  The hosting agreements are contractual documents that define the roles, rights and obligations of each party. The procurement process for the AI Factories is managed by EuroHPC JU.  最初の選定されたホスティング事業体とのホスティング契約が締結され、現在、関連システムの調達プロセスの開始に向けた準備が進められている。調達プロセスは2025年前半に実施される予定である。ホスティング契約は、各当事者の役割、権利、義務を定義する契約文書である。AIファクトリーの調達プロセスは、EuroHPC JUが管理している。
By 2026, these AI Factories will be the backbone of Europe’s AI strategy, combining computing power, data, and talent to drive innovation and secure Europe’s leadership in AI.   2026年までに、これらのAIファクトリーは欧州のAI戦略の中核となり、コンピューティングパワー、データ、人材を結集してイノベーションを推進し、欧州のAIにおけるリーダーシップを確保する。 
Background   背景 
The EuroHPC JU is a legal and funding entity, created in 2018 and reviewed in 2021 by Council Regulation (EU) 2021/1173 to enable the European Union and participating countries to coordinate efforts and pool resources with the objective of making Europe a world leader in supercomputing.    EuroHPC JUは、欧州連合および参加国がスーパーコンピューティング分野で欧州を世界のリーダーにするという目標のもと、取り組みを調整し、リソースを共有することを可能にするために、2018年に設立され、2021年に理事会規則(EU)2021/1173によって見直された法的および資金的な事業体である。 
In order to equip Europe with a world-leading supercomputing infrastructure, the EuroHPC JU has already procured nine supercomputers, located across Europe. Regardless of their location in Europe, European scientists and users from the public sector and industry can benefit from these EuroHPC supercomputers via the EuroHPC Access Calls. This access enables them to advance science and support the development of a wide range of applications with industrial, scientific, and societal relevance for Europe.   欧州に世界トップクラスのスーパーコンピューティングインフラを整備するため、EuroHPC JUはすでに9台のスーパーコンピューターを調達し、欧州各地に配置している。欧州内の配置場所に関わらず、欧州の科学者や公共部門および産業界のユーザーは、EuroHPCアクセスコールを通じて、これらのEuroHPCスーパーコンピューターを利用することができる。このアクセスにより、科学の進歩や、欧州の産業、科学、社会に関連する幅広いアプリケーションの開発を支援することが可能となる。 
Recently reviewed by means of Council Regulation (EU) 2024/1732, the EuroHPC JU received a new mandate to develop and operate AI factories. These comprehensive open AI ecosystems located around EuroHPC supercomputing facilities will support the growth of a highly competitive and innovative AI ecosystem in Europe 最近、理事会規則(EU)2024/1732により見直されたユーロHPC JUは、AIファクトリーの開発と運用という新たな任務を受けた。ユーロHPCスーパーコンピューティング施設周辺に配置されたこれらの包括的なオープンAIエコシステムは、欧州における競争力と革新性の高いAIエコシステムの成長を支援する。

 

ヨーロッパについての情報...

20250317-51612

20250317-51632

20250317-51641

 

 


 

⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

・2025.02.02 欧州連合 競争力コンパス (2025.01.29)

・2024.09.26 欧州委員会 信頼できる安全なAI開発の推進を誓約するEUのAI協定に100社以上が署名

・2024.08.05 欧州AI法が施行された... (2024.08.01)

・2024.06.07 欧州委員会 安全で信頼できる人工知能におけるEUのリーダーシップを強化するため、AI事務局を設置 (2024.05.29)

 


 

 

| | Comments (0)

2025.03.16

中国 人工知能生成合成コンテンツ識別弁法 (2025.03.14)

こんにちは、丸山満彦です。

中国は生成AIで作成、合成した音声、画像、映像、文書等にマークをつけることになっていますね...欧米でもそういう方法がよいのではないかという議論がありますが、人口14億人の国でそれが行われます...

ちなみに、AIについても登録制度になっていますが、2025.03.12現在で約400、正確には397のAIが登録されています

 

 

● 中央网安全和信息化委公室 (Cyberspace Administration of China: CAC)

・2025.03.14 关于印发《人工智能生成合成内容标识办法》的通知

关于印发《人工智能生成合成内容标识办法》的通知 「人工知能生成合成コンテンツ識別弁法」の発行に関する通知
国信办通字〔2025〕2号 国新弁通字[2025]第2号
各省、自治区、直辖市互联网信息办公室、通信管理局、公安厅(局)、广播电视局,新疆生产建设兵团互联网信息办公室、工业和信息化局、公安局、文化体育广电和旅游局: 各省、自治区、直轄市のインターネット情報弁公室、通信管理局、公安局(局)、ラジオ・テレビ局、および新疆生産建設兵団のインターネット情報弁公室、工業・情報化局、公安局、文化・スポーツ・ラジオ・テレビ・観光局:
为了促进人工智能健康发展,规范人工智能生成合成内容标识,保护公民、法人和其他组织合法权益,维护社会公共利益,国家互联网信息办公室、工业和信息化部、公安部、国家广播电视总局制定了《人工智能生成合成内容标识办法》,现印发给你们,请认真遵照执行。 人工知能の健全な発展を促進し、人工知能により生成された合成コンテンツの表示を規範化し、公民、法人その他の組織の合法的な権益を保護し、公共の利益を保障するため、国家サイバースペース管理局、工業・情報化部、公安部、ラジオ・テレビ総局は「人工知能により生成された合成コンテンツの表示に関する弁法」を制定したので、これを公布し、実施する。
国家互联网信息办公室 国家サイバースペース管理局
工业和信息化部 工業情報化部
公安部 公安部
国家广播电视总局 国家ラジオ・テレビ総局
2025年3月7日 2025年3月7日
人工智能生成合成内容标识办法 人工知能生成合成コンテンツ識別弁法
第一条 为了促进人工智能健康发展,规范人工智能生成合成内容标识,保护公民、法人和其他组织合法权益,维护社会公共利益,根据《中华人民共和国网络安全法》、《互联网信息服务算法推荐管理规定》、《互联网信息服务深度合成管理规定》、《生成式人工智能服务管理暂行办法》等法律、行政法规和部门规章,制定本办法。 第1条 本弁法は、中華人民共和国サイバーセキュリティ法、インターネット情報サービスアルゴリズム推奨管理弁法、インターネット情報サービス深層合成管理弁法、生成的人工知能サービス管理暫定弁法、その他の法律、行政法規、部門規則に基づき、人工知能の健全な発展を促進し、人工知能生成合成コンテンツの識別を規範化し、公民、法人その他の組織の合法的権益を保護し、公共の利益を保障することを目的として制定される。
第二条 符合《互联网信息服务算法推荐管理规定》、《互联网信息服务深度合成管理规定》、《生成式人工智能服务管理暂行办法》规定情形的网络信息服务提供者(以下简称“服务提供者”)开展人工智能生成合成内容标识活动,适用本办法。 第2条 本弁法は、「インターネット情報サービスにおけるアルゴリズム推奨に関する管理規定」、「インターネット情報サービスにおける綿密な合成に関する管理規定」、および「生成的AIサービス管理に関する暫定措置」に規定された状況において、ネットワーク情報サービスプロバイダー(以下、「サービスプロバイダー」)が人工知能生成・合成コンテンツを識別する際に適用される。
第三条 人工智能生成合成内容是指利用人工智能技术生成、合成的文本、图片、音频、视频、虚拟场景等信息。 第3条 人工知能生成・合成コンテンツとは、人工知能技術を用いて生成・合成されたテキスト、画像、音声、動画、仮想シーンなどの情報を指す。
人工智能生成合成内容标识包括显式标识和隐式标识。 人工知能生成・合成コンテンツの識別には、明示的表示と暗示的表示が含まれる。
显式标识是指在生成合成内容或者交互场景界面中添加的,以文字、声音、图形等方式呈现并可以被用户明显感知到的标识。 明示的表示とは、生成された合成コンテンツまたはインタラクティブなシーンのインターフェースに追加されたものを指し、テキスト、音声、グラフィックなどの形式で表示され、ユーザーが明確に認識できる。
隐式标识是指采取技术措施在生成合成内容文件数据中添加的,不易被用户明显感知到的标识。 暗示的表示とは、技術的手段により生成された合成コンテンツファイルのデータに追加されたものを指し、ユーザーが容易に認識できない。
第四条 服务提供者提供的生成合成服务属于《互联网信息服务深度合成管理规定》第十七条第一款情形的,应当按照下列要求对生成合成内容添加显式标识: 第4条 サービスプロバイダーの生成合成サービスが「インターネット情報サービスにおけるディープ合成に関する管理規定」第17条第1項の状況に該当する場合、生成された合成コンテンツに明示的表示を追加するには、以下の要件に従うものとする。
(一)在文本的起始、末尾或者中间适当位置添加文字提示或者通用符号提示等标识,或者在交互场景界面、文字周边添加显著的提示标识; (1) テキストの冒頭、末尾、または途中にテキストプロンプトまたはユニバーサルシンボルプロンプトなどのプロンプトを追加するか、またはインタラクティブなシーンのインターフェース内またはテキストの周囲に目立つプロンプトを追加する。
(二)在音频的起始、末尾或者中间适当位置添加语音提示或者音频节奏提示等标识,或者在交互场景界面中添加显著的提示标识; (2) 音声の冒頭、末尾、または途中に音声プロンプトまたは音声リズムプロンプトなどのプロンプトを追加するか、またはインタラクティブなシーンのインターフェース内に目立つプロンプトを追加する。
(三)在图片的适当位置添加显著的提示标识; (3) 画像内の適切な場所に目立つプロンプトを追加する。
(四)在视频起始画面和视频播放周边的适当位置添加显著的提示标识,可以在视频末尾和中间适当位置添加显著的提示标识; (4) 動画の開始画面およびその周辺、動画の終了時および動画の中間部分の適切な位置に、目立つ合図を追加する。
(五)呈现虚拟场景时,在起始画面的适当位置添加显著的提示标识,可以在虚拟场景持续服务过程中的适当位置添加显著的提示标识; (5) 仮想シーンを表示する際、開始画面の適切な位置、および仮想シーンの連続サービス中の適切な位置に、目立つ合図を追加する。
(六)其他生成合成服务场景根据自身应用特点添加显著的提示标识。 (6) その他の生成された合成サービスシナリオは、そのアプリケーションの特性に応じて目立つ合図を追加する。
服务提供者提供生成合成内容下载、复制、导出等功能时,应当确保文件中含有满足要求的显式标识。 サービス提供者が生成合成コンテンツのダウンロード、コピー、エクスポートなどの機能を提供する場合は、ファイルに要件を満たす明示的表示が含まれるようにしなければならない。
第五条 服务提供者应当按照《互联网信息服务深度合成管理规定》第十六条的规定,在生成合成内容的文件元数据中添加隐式标识,隐式标识包含生成合成内容属性信息、服务提供者名称或者编码、内容编号等制作要素信息。 第5条 サービス提供者は、「インターネット情報サービスにおけるディープ・シンセシスに関する管理規定」第16条の規定に従い、生成合成コンテンツのファイルメタデータに暗示的表示を追加しなければならない。暗示的表示には、生成合成コンテンツの属性情報、サービス提供者の名称またはコード、コンテンツ番号などの制作要素情報を含めなければならない。
鼓励服务提供者在生成合成内容中添加数字水印等形式的隐式标识。 サービス提供者は、生成合成コンテンツに電子透かし形式の暗示的表示を追加することが推奨される。
文件元数据是指按照特定编码格式嵌入到文件头部的描述性信息,用于记录文件来源、属性、用途等信息内容。 ファイルのメタデータとは、特定の符号化形式のファイルのヘッダーに埋め込まれた記述情報を指し、ファイルのソース、属性、目的などの情報を記録するために使用される。
第六条 提供网络信息内容传播服务的服务提供者应当采取下列措施,规范生成合成内容传播活动: 第6条 オンライン情報内容配信サービスを提供するサービス提供者は、生成された合成コンテンツの配信を規制するために、以下の措置を講じなければならない。
(一)核验文件元数据中是否含有隐式标识,文件元数据明确标明为生成合成内容的,采取适当方式在发布内容周边添加显著的提示标识,明确提醒公众该内容属于生成合成内容; (1) 文書メタデータに暗示的表示があるかどうかを確認する。文書メタデータが明らかに生成合成コンテンツであることを示している場合、適切な措置を講じて、公開コンテンツの周囲に目立つプロンプトインジケータを追加し、コンテンツが生成合成コンテンツであることを一般ユーザーに明確に通知する。
(二)文件元数据中未核验到隐式标识,但用户声明为生成合成内容的,采取适当方式在发布内容周边添加显著的提示标识,提醒公众该内容可能为生成合成内容; (2) 文書メタデータに暗示的表示がないことが確認されたが、ユーザーがコンテンツが生成合成コンテンツであることを宣言した場合、適切な措置を講じて、公開コンテンツの周囲に目立つプロンプトインジケータを追加し、コンテンツが生成合成コンテンツである可能性があることを一般ユーザーに通知する。
(三)文件元数据中未核验到隐式标识,用户也未声明为生成合成内容,但提供网络信息内容传播服务的服务提供者检测到显式标识或者其他生成合成痕迹的,识别为疑似生成合成内容,采取适当方式在发布内容周边添加显著的提示标识,提醒公众该内容疑似生成合成内容; (3) ファイルのメタデータで暗示的表示が確認されず、かつ、ユーザーが生成合成コンテンツであることを宣言していないが、オンライン情報コンテンツ配信サービスを提供するサービスプロバイダーが生成合成コンテンツの明示的表示またはその他の痕跡を検出した場合、生成合成コンテンツの疑いがあるものとして識別し、公開コンテンツの周囲に適切な方法で目立つプロンプトを追加し、コンテンツが生成合成コンテンツの疑いがあることをユーザーに警告する。
(四)提供必要的标识功能,并提醒用户主动声明发布内容中是否包含生成合成内容。 (4) 必要な表示機能を提供し、公開コンテンツに生成合成コンテンツが含まれるかどうかについて、ユーザーに積極的に宣言するよう促す。
有前款第一项至第三项情形的,应当在文件元数据中添加生成合成内容属性信息、传播平台名称或者编码、内容编号等传播要素信息。 前項の第1から第3の状況が発生した場合、生成された合成コンテンツの情報、伝送プラットフォーム名またはコード、コンテンツ番号、その他の伝送要素情報をファイルのメタデータに追加する。
第七条 互联网应用程序分发平台在应用程序上架或者上线审核时,应当要求互联网应用程序服务提供者说明是否提供人工智能生成合成服务。互联网应用程序服务提供者提供人工智能生成合成服务的,互联网应用程序分发平台应当核验其生成合成内容标识相关材料。 第7条 インターネットアプリケーション配信プラットフォームが、掲載またはオンライン化の申請を審査する際には、インターネットアプリケーションサービス提供者に、人工知能による合成コンテンツサービスを提供しているかどうかを明らかにするよう求める。インターネットアプリケーションサービス提供者が人工知能による合成コンテンツサービスを提供している場合、インターネットアプリケーション配信プラットフォームは、生成された合成コンテンツを識別するための関連資料を検証する。
第八条 服务提供者应当在用户服务协议中明确说明生成合成内容标识的方法、样式等规范内容,并提示用户仔细阅读并理解相关的标识管理要求。 第8条 サービス提供者は、ユーザーサービス契約において、コンテンツ識別の方法と形式を明確に規定し、ユーザーにコンテンツ識別管理要求を注意深く読み、理解するよう促さなければならない。
第九条 用户申请服务提供者提供没有添加显式标识的生成合成内容的,服务提供者可以在通过用户协议明确用户的标识义务和使用责任后,提供不含显式标识的生成合成内容,并依法留存提供对象信息等相关日志不少于六个月。 第9条 ユーザーがサービス提供者に対して、明示的表示を含まない生成合成コンテンツを申請する場合、サービス提供者は、ユーザー契約において、ユーザーのコンテンツ識別義務と利用責任を明確にした上で、明示的表示を含まない生成合成コンテンツを提供することができ、また、コンテンツが提供された相手の情報を含む関連ログを、法律に基づき6か月以上保存しなければならない。
第十条 用户使用网络信息内容传播服务发布生成合成内容的,应当主动声明并使用服务提供者提供的标识功能进行标识。 第10条 ユーザーがオンライン情報内容発信サービスを利用して生成された合成コンテンツを公表する場合、サービス提供者が提供する識別機能を積極的に申告し、使用しなければならない。
任何组织和个人不得恶意删除、篡改、伪造、隐匿本办法规定的生成合成内容标识,不得为他人实施上述恶意行为提供工具或者服务,不得通过不正当标识手段损害他人合法权益。 いかなる組織または個人も、本弁法に規定された生成された合成コンテンツの識別情報を悪意を持って削除、改ざん、偽造、隠蔽してはならず、また、他者がこのような悪意のある行為を行うためのツールまたはサービスを提供したり、不正な識別手段により他者の合法的な権利と利益を損なってはならない。
第十一条 服务提供者开展标识活动的,还应当符合相关法律、行政法规、部门规章和强制性国家标准的要求。 第11条 サービス提供者が識別活動を行う場合、関連する法律、行政法規、部門規定および強制性国家標準の要求にも従わなければならない。
第十二条 服务提供者在履行算法备案、安全评估等手续时,应当按照本办法提供生成合成内容标识相关材料,并加强标识信息共享,为防范打击相关违法犯罪活动提供支持和帮助。 第12条 サービスプロバイダーは、アルゴリズム登録やセキュリティ評価などの手続きを行う際には、本弁法に従って総合的なコンテンツ識別を行うための関連資料を提供し、識別情報の共有を強化し、関連する違法・犯罪行為の防止と取締りへの支援と協力を提供しなければならない。
第十三条 违反本办法规定的,由网信、电信、公安和广播电视等有关主管部门依据职责,按照有关法律、行政法规、部门规章的规定予以处理。 第13条 本弁法に違反する行為は、サイバー空間管理局、工業・情報化省、公安部、ラジオ・テレビ総局などの関連主管部門が職責に基づき、関連する法律、行政法規、部門規則に従って処理する。
第十四条 本办法自2025年9月1日起施行。 第14条 本弁法は2025年9月1日に施行する。

 

 

・2024.03.14 四部门联合发布《人工智能生成合成内容标识办法》

四部门联合发布《人工智能生成合成内容标识办法》 4つの部門が共同で「人工知能生成合成コンテンツ識別弁法」を公布
近日,国家互联网信息办公室、工业和信息化部、公安部、国家广播电视总局联合发布《人工智能生成合成内容标识办法》(以下简称《标识办法》),自2025年9月1日起施行。国家互联网信息办公室有关负责人表示,《标识办法》旨在促进人工智能健康发展,规范人工智能生成合成内容标识,保护公民、法人和其他组织合法权益,维护社会公共利益。 このほど、国家サイバースペース管理局、工業・情報化部、公安部、国家ラジオ・テレビ総局が共同で「人工知能生成合成コンテンツ識別弁法」(以下、「識別弁法」と略す)を公布し、2025年9月1日より施行される。 国家サイバースペース管理局の関係者は、弁法は人工知能の健全な発展を促進し、人工知能生成合成コンテンツのラベル付けを標準化し、公民、法人その他の組織の合法的な権益を保護し、公益を保障することを目的としていると述べた。
近年来,生成式人工智能、深度合成等新技术快速发展,为生成合成文本、图片、音频、视频等信息提供了便利工具,在促进经济发展、丰富网上内容、便利公众生活的同时,也造成虚假信息传播、破坏网络生态等问题。社会广泛呼吁加快专门立法、强化技术监管、压实平台责任。为积极响应社会关切和群众关心,国家互联网信息办公室联合工业和信息化部、公安部、国家广播电视总局制定了《标识办法》。《标识办法》以内容标识为抓手,细化前期相关部门规章的标识相关要求,进一步发挥内容标识提醒提示和监督溯源的技术作用,着力构建开放、公正、有效的治理机制,营造公平有序发展环境,推动人工智能产业健康有序发展。 近年、生成的AIやディープシンセシスなどの新技術が急速に発展し、合成テキスト、画像、音声、動画などの生成に便利なツールを提供している。経済発展を促進し、オンラインコンテンツを充実させ、人々の生活を便利にする一方で、偽情報の拡散やオンライン生態系の破壊などの問題も引き起こしている。 このため、関連法規の早期制定、技術監督の強化、プラットフォームの責任強化を求める声が各方面から広がっている。社会の関心と公益に積極的に応えるため、国家サイバースペース管理局は工業・情報化部、公安部、国家ラジオ・テレビ総局と共同で「弁法」を制定した。「弁法」はコンテンツのマーキングに焦点を当て、初期の関連部門の規定におけるマーキング関連の要求を精緻化し、コンテンツのマーキングの技術的役割をさらに活用して、注意喚起と追跡可能性の向上を図り、開放的で公平かつ効果的なガバナンスメカニズムの確立に努め、公平かつ秩序ある発展環境を構築し、人工知能産業の健全かつ秩序ある発展を促進する。
《标识办法》明确,人工智能生成合成内容标识主要包括显式标识和隐式标识两种形式,显式标识是指在生成合成内容或者交互场景界面中添加的,以文字、声音、图形等方式呈现并可以被用户明显感知到的标识;隐式标识是指采取技术措施在生成合成内容文件数据中添加的,不易被用户明显感知到的标识。 「弁法」では、人工知能生成・合成コンテンツの表示には主に明示的表示と暗示的表示の2つの形式があることを明確にしている。明示的表示とは、生成・合成コンテンツまたはインタラクティブな場面インターフェースに追加された表示を指し、テキスト、音声、グラフィックなどの形式で表示され、ユーザーが明確に認識できる。暗示的表示とは、技術的手段により生成・合成コンテンツのファイルデータに追加された表示を指し、ユーザーが容易に認識できない。
《标识办法》提出,按照《互联网信息服务算法推荐管理规定》、《互联网信息服务深度合成管理规定》、《生成式人工智能服务管理暂行办法》相关要求开展人工智能生成合成内容标识活动的,应当符合《标识办法》相关要求。 「弁法」は、「インターネット情報サービス推奨アルゴリズム管理弁法」、「インターネット情報サービス深度合成管理弁法」、および「生成的AIサービス管理暫定措置」の関連規定に従って実施される人工知能生成合成コンテンツのマーキング活動は、「弁法」の関連規定を遵守しなければならないと規定している。
《标识办法》要求,服务提供者提供的生成合成服务属于《互联网信息服务深度合成管理规定》第十七条第一款情形的,应当按照要求对生成合成内容添加显式标识;服务提供者应当按照《互联网信息服务深度合成管理规定》第十六条的规定,在生成合成内容的文件元数据中添加隐式标识;提供网络信息内容传播服务的服务提供者应当采取技术措施,规范生成合成内容传播活动。 弁法は、サービス提供者の生成・合成サービスが「インターネット情報サービスの詳細な統合に関する管理規定」第17条第1項の状況に該当する場合、必要に応じて生成・合成されたコンテンツに明示的表示を追加すること、サービス提供者は「インターネット情報サービスの詳細な統合に関する管理規定」第16条に従い、生成・合成されたコンテンツのファイルメタデータに暗示的表示を追加すること、ネットワーク情報コンテンツ配信サービスを提供するサービス提供者は、生成・合成されたコンテンツの配信を規制する技術的措置を講じることなどを求めている。
《标识办法》强调,任何组织和个人不得恶意删除、篡改、伪造、隐匿本办法规定的生成合成内容标识,不得为他人实施上述恶意行为提供工具或者服务,不得通过不正当标识手段损害他人合法权益。 「識別弁法」では、いかなる組織または個人も、本弁法で規定された生成合成コンテンツの識別情報を悪意を持って削除、改ざん、偽造、隠蔽したり、他者がこのような悪意のある行為を行うためのツールやサービスを提供したり、不適切な識別手段によって他者の合法的な権益を損なってはならないと強調している。
配套《标识办法》,强制性国家标准《网络安全技术 人工智能生成合成内容标识方法》(以下简称《标识标准》),已由国家市场监督管理总局、国家标准化管理委员会正式批准发布(2025年第3号),2025年9月1日与《标识办法》同步实施。 この「弁法」を補完するために、国家市場監督管理総局と中国国家標準化管理委員会(2025年第3号)により、強制性国家標準「ネットワークセキュリティ技術-人工知能生成合成コンテンツの表示方法」(以下「標準」という)が正式に公布され、2025年9月1日に「弁法」と同時に実施される。
同时,全国网络安全标准化技术委员会针对生成合成服务提供者和内容传播服务提供者的平台编码,组织起草了配套实践指南《网络安全标准实践指南——人工智能生成合成内容标识 服务提供者编码规则》,已于3月14日正式获批发布(网安秘字〔2025〕29号),为相关主体开展文件元数据隐式标识提供了编码指引。此外,全国网络安全标准化技术委员会正在就各文件格式的元数据标识规范、各应用场景的标识方法等组织编制一系列推荐性标准、实践指南,将在《标识办法》发布后逐步推出。 同時に、国家ネットワークセキュリティ標準化技術委員会は、生成合成サービスプロバイダーおよびコンテンツ配信サービスプロバイダーのプラットフォームのエンコーディングをサポートする実用ガイド「ネットワークセキュリティ標準実用ガイド - 人工知能生成合成コンテンツ識別サービスプロバイダーのコーディング規則」を起草し、3月14日に正式に承認・発表された(ネットワークセキュリティシークレットワード[2025]第29号)。これは、関連事業者が文書メタデータの暗示的表示を行うためのコーディングガイドラインを提供するものである。 また、国家ネットワークセキュリティ標準化技術委員会は、各種ファイル形式のメタデータ識別仕様および各種アプリケーションシナリオの識別方法に関する一連の推奨標準および実用ガイドラインの編纂を進めており、これらは「識別弁法」の発表後に順次展開される予定である。
相关链接: 関連リンク:
《人工智能生成合成内容标识办法》 「人工知能生成合成コンテンツ識別弁法」
《网络安全技术 人工智能生成合成内容标识方法》 「ネットワークセキュリティ技術:人工知能生成合成コンテンツ識別方法」
《网络安全标准实践指南——人工智能生成合成内容标识 服务提供者编码规则》 「ネットワークセキュリティ標準実践ガイド:人工知能生成合成コンテンツ識別サービスプロバイダーのコーディング規則」

 

 

・2025.03.14 《人工智能生成合成内容标识办法》答记者问

《人工智能生成合成内容标识办法》答记者问 「人工知能生成合成コンテンツ識別弁法
」に関する質問への回答
近日,国家互联网信息办公室、工业和信息化部、公安部、国家广播电视总局联合发布《人工智能生成合成内容标识办法》(以下简称《标识办法》),自2025年9月1日起施行。日前,国家互联网信息办公室有关负责人就《标识办法》有关问题回答了记者提问。 先日、国家サイバースペース管理局、工業・情報化部、公安部、国家ラジオ・テレビ総局が共同で「人工知能生成合成内容識別弁法」(以下、「識別弁法」という)を公布し、2025年9月1日より施行される。先日、国家サイバースペース管理局の担当者が「識別弁法」に関する問題について、記者の質問に答えた。
一、问:请介绍一下《标识办法》的出台背景? 1.質問: 「識別弁法」を導入した背景について紹介してください。
答:近年来,人工智能技术快速发展,为生成合成文字、图片、音频、视频等信息提供了便利工具,海量信息得以快速生成合成并在网络平台传播,在促进经济社会发展的同时,也产生了生成合成技术滥用、虚假信息传播扩散加剧等问题,引发社会各界的关注关切。经深入开展调研、广泛征求意见、多轮技术论证试点,国家互联网信息办公室联合工业和信息化部、公安部、国家广播电视总局制定了《标识办法》,进一步规范人工智能生成合成内容标识活动。 回答:近年、人工知能技術の急速な発展により、テキスト、画像、音声、動画などの合成情報を生成する便利なツールが提供されている。オンラインプラットフォーム上で、大量の情報を迅速に生成・合成し、発信することが可能となっている。経済・社会の発展を促進する一方で、生成・合成技術の悪用や、虚偽情報の拡散などの問題も生じ、社会各層から懸念の声が上がっている。国家サイバースペース管理局は、工業・情報化部、公安部、国家ラジオ・テレビ総局と共同で、綿密な調査、広範な意見の募集、複数回にわたる技術的実証実験を経て、人工知能による合成コンテンツのマーク付けをさらに規範化するための「マーク付け弁法」を策定した。
《标识办法》聚焦人工智能“生成合成内容标识”关键点,通过标识提醒用户辨别虚假信息,明确相关服务主体的标识责任义务,规范内容制作、传播各环节标识行为,以合理成本提高安全性,促进人工智能在文本对话、内容制作、辅助设计等各应用场景加快落地,同时减轻人工智能生成合成技术滥用危害,防范利用人工智能技术制作传播虚假信息等风险行为,推动人工智能健康有序发展。 この弁法は、「人工知能が生成した合成コンテンツの表示」という要点に焦点を当て、ユーザーに表示を通じて偽情報を識別するよう促し、関連サービスプロバイダーの表示責任と義務を明確にし、コンテンツの制作と配信のあらゆる側面における表示行為を標準化し、合理的なコストでセキュリティを向上させ、テキスト対話、コンテンツ制作、支援設計など、さまざまな応用場面における人工知能の迅速な実装を促進しながら、人工知能が生成した合成技術の誤用による被害を軽減し、人工知能技術を使用して偽情報を制作・配信するなどのリスクの高い行為を防止し、人工知能の健全かつ秩序ある発展を促進することを目的としている。
二、问:请问制定《标识办法》的总体思路是什么? 2. 質問: 「識別弁法」の策定の背景にある全体的な考え方はどのようなものか?
答:一是细化已有规定。《互联网信息服务算法推荐管理规定》、《互联网信息服务深度合成管理规定》、《生成式人工智能服务管理暂行办法》中提出了标识有关要求,《标识办法》作为规范性文件,进一步细化标识的具体实施规范。二是解决关键问题。《标识办法》重点解决“哪些是生成的”“谁生成的”“从哪里生成的”等问题,推动由生成到传播各环节的全流程安全管理,力争打造可信赖的人工智能技术。三是统筹发展和安全。考虑人工智能技术发展需要,针对在文本内容中添加隐式标识,在多媒体文件中添加数字水印,仍是技术难点或可能增加企业成本,不作强制要求。为降低平台企业标识成本,提升落地实施的可操作、可执行性,创新提出文本符号标识、音频节奏标识、文件元数据标识等低成本实施的可行方法。四是管理要求与技术标准一体化考虑。为推动《标识办法》落地实施,强制性国家标准《网络安全技术 人工智能生成合成内容标识方法》同步发布,更好地指导相关主体规范开展标识活动。 回答: 第一に、既存の規定をさらに明確化する。「インターネット情報サービス推奨アルゴリズム管理弁法」、「インターネット情報サービス深層合成管理弁法」、「生成的人工知能サービス管理弁法(暫定)」では、関連するマーク付け要件が規定されている。「マーク付け弁法」は規範文書として、マーク付けの具体的な実施基準をさらに明確化する。第二に、重要な問題に対処する。 弁法は、「何が生成されるか」、「誰が生成するか」、「どこから生成されるか」といった問題の解決に重点を置き、生成から普及までの全過程の安全な管理を推進し、信頼性の高い人工知能技術の構築を目指している。第三に、開発とセキュリティの調整である。人工知能技術の開発ニーズを考慮すると、テキストコンテンツへの暗示的表示やマルチメディアファイルへの電子透かしの追加は依然として技術的な難題であり、あるいはビジネスコストの増加につながる可能性があり、義務化はされていない。 プラットフォーム企業の識別コストを削減し、実施の操作性と強制力を高めるため、テキストシンボル識別、音声リズム識別、ファイルメタデータ識別などの低コストで実施可能な方法が新たに提案されている。第四に、管理要件と技術標準が同時に考慮されている。「識別弁法」の実施を推進するため、関連主体が標準化された方法で識別活動を実施できるよう、同時に強制力のある国家標準「ネットワークセキュリティ技術-人工知能生成合成コンテンツ識別方法」が発表された。
三、问:《标识办法》适用范围是什么? 3. 質問:「識別弁法」の適用範囲は?
答:《标识办法》规定,符合《互联网信息服务算法推荐管理规定》、《互联网信息服务深度合成管理规定》、《生成式人工智能服务管理暂行办法》规定情形的网络信息服务提供者开展人工智能生成合成内容标识活动,适用本办法。 回答:本弁法は、「インターネット情報サービスにおけるアルゴリズム推薦に関する管理弁法」、「インターネット情報サービスにおけるディープ合成に関する管理弁法」、および「生成的AIサービス管理に関する暫定弁法」に規定された状況下で、ネットワーク情報サービス事業者が実施する人工生成合成コンテンツの識別行為に適用される。
同时,《互联网信息服务深度合成管理规定》第二条明确“法律、行政法规另有规定的,依照其规定”,《生成式人工智能服务管理暂行办法》第二条第二款明确“国家对利用生成式人工智能服务从事新闻出版、影视制作、文艺创作等活动另有规定的,从其规定”。《标识办法》同样遵照上述适用条款,开展特定活动对内容标识另有规定的,从其规定。 同時に、「インターネット情報サービスの詳細な統合に関する行政規定」の第二条では、「法律や行政法規に別段の規定がある場合は、その規定を適用する」と明確に規定されており、「生成的AIサービス管理に関する暫定措置」の第二条第二項では、「ニュースの出版、映画やテレビ番組の制作、文学や芸術の創作、その他の活動における生成的AIサービスの利用について、国家がその他の規定を定めている場合は、その規定を適用する」と明確に規定されている。 また、本弁法は、上記の関連規定にも準拠している。 特定の活動が行われ、コンテンツのマーキングに関するその他の規定がある場合は、その規定を適用する。
四、问:请说明一下《标识办法》与强制性国家标准《网络安全技术 人工智能生成合成内容标识方法》的关系? 4. 質問:識別弁法と強制性国家標準「ネットワークセキュリティ技術-人工知能生成合成コンテンツの表示方法」の関係について説明してほしい。
答:《标识办法》主要从立法层面提出管理要求,明确生成合成内容制作传播各主体的责任义务,为促进人工智能技术创新发展,对具体实施操作不做要求。《网络安全技术 人工智能生成合成内容标识方法》以强制性国家标准形式制定实施,主要提出强制执行部分的标识具体实施方式和操作方法,两者同步推出,于2025年9月1日同步实施,以更好地指导相关主体规范开展标识活动。 回答:弁法は主に立法レベルの管理要求を規定し、生成合成コンテンツの制作と伝播に関わる各主体の責任と義務を明確にしている。人工知能の技術革新と発展を促進するため、弁法は具体的な実施と運用に関する要求を規定していない。 「ネットワークセキュリティ技術-人工知能生成合成コンテンツのラベル付け方法」は、強制的な国家標準の形式で制定・実施され、主にラベル付けの強制部分の具体的な実施方法と運用方法を提案している。2つは2025年9月1日に同時に発効し、同時に実施され、関連主体が標準化された方法でラベル付け活動を行うことをより適切に導く。
五、问:强制性国家标准《网络安全技术 人工智能生成合成内容标识方法》的主要内容? 5. 質問: 強制的な国家標準「ネットワークセキュリティ技術-人工知能生成合成コンテンツのラベル付け方法」の主な内容は何か?
答:标准支撑《标识办法》,对人工智能生成合成内容服务提供者与网络信息传播服务提供者提出了内容标识方法的具体要求。一是明确人工智能生成合成内容服务提供者对文本、图片、音频、视频、虚拟场景等内容,添加文字、角标、语音、节奏等显式标识的方法,在内容生成合成环节提出了显著提示公众、防范混淆误认的方案。二是明确服务提供者在文件中添加元数据隐式标识的方法,为内容传播服务提供者有效识别生成合成内容提供便捷方案,也为内容传播服务提供者履行向公众提醒提示主体责任提供了依据。三是在元数据隐式标识设置了预留字段,可用于记录标识完整性、内容一致性等安全防护信息,为促进标识技术创新发展和保护标识安全性预留了空间。 回答:標準は「弁法」を支持し、人工知能生成合成コンテンツサービス提供者およびオンライン情報発信サービス提供者のコンテンツ識別方法について具体的な要求を提出している。まず、人工知能生成合成コンテンツサービス提供者が、テキスト、画像、音声、動画、仮想シーンなどのコンテンツに、テキスト、コーナー表記、音声、リズムなどの明示的表示を追加する方法を明確にし、コンテンツ生成・合成プロセスにおける解決策を提示し、公衆に明確に通知し、混乱や誤解を防ぐ。 第二に、サービスプロバイダーが暗示的表示として文書にメタデータを追加する方法を明確にし、コンテンツ配信サービスプロバイダーが生成および合成されたコンテンツを効果的に識別するための便利なソリューションを提供し、また、コンテンツ配信サービスプロバイダーが公衆に注意喚起するという主な責任を果たすための基盤を提供する。第三に、メタデータの暗示的表示に予約フィールドが設定され、表示の完全性やコンテンツの一貫性などのセキュリティ保護情報を記録するために使用することができ、表示技術の革新的な発展と表示セキュリティの保護のための余地を残している。
六、问:《标识办法》明确了服务提供者哪些具体要求? 6. 質問:「表示弁法」では、サービスプロバイダーの具体的な要件が明確にされているか?
答:《标识办法》明确服务提供者应当对文本、音频、图片、视频、虚拟场景等生成合成内容添加显式标识,在提供生成合成内容下载、复制、导出等功能时,应当确保文件中含有满足要求的显式标识;应当在生成合成内容的文件元数据中添加隐式标识,隐式标识包含生成合成内容属性信息、服务提供者名称或者编码、内容编号等制作要素信息;应当在用户服务协议中明确说明生成合成内容标识的方法、样式等规范内容,并提示用户仔细阅读并理解相关的标识管理要求。 回答:弁法では、サービスプロバイダーはテキスト、音声、画像、動画、仮想シーン、その他の生成された合成コンテンツに明示的表示を追加しなければならないと規定している。生成された合成コンテンツのダウンロード、コピー、エクスポートなどの機能を提供する場合は、ファイルに要件を満たす明示的表示を含めることを保証しなければならない。また、生成された合成コンテンツのファイルのメタデータに暗示的表示を追加しなければならない。暗示的表示には、生成された合成コンテンツの属性、サービスプロバイダーの名称またはコード、 生成された合成コンテンツの属性情報、サービスプロバイダーの名称またはコード、コンテンツ番号などの生成要素情報、合成コンテンツ識別子の生成方法と形式、その他の規定は、ユーザーサービス契約に明確に記載し、ユーザーに当該識別管理要求を注意深く読み理解するよう促すものとする。
七、问:《标识办法》明确互联网应用程序分发平台应当采取哪些措施规范人工智能生成合成服务? 7. 質問:「識別弁法」に規定されているAI生成合成サービスを規制するために、インターネットアプリケーション配信プラットフォームはどのような措置を取るべきか?
答:《标识办法》第七条明确,互联网应用程序分发平台在应用程序上架或者上线审核时,应当要求互联网应用程序服务提供者说明是否提供人工智能生成合成服务,并核验其生成合成内容标识相关材料。 回答:弁法第7条では、アプリ配信プラットフォームにアプリが掲載されたり、オンライン化の審査が行われたりする際に、アプリ配信プラットフォームはアプリサービス提供者にAI生成合成サービスを提供しているかどうかを明記させ、生成された合成コンテンツの識別に関する関連資料を検証することを明確に規定している。
八、问:如何合规获得没有添加显式标识的生成合成内容? 8. 質問:明示的表示のない合成コンテンツを適法に取得するにはどうすればよいか?
答:前期,国家互联网信息办公室出台的《互联网信息服务深度合成管理规定》第十七条针对“可能导致公众混淆或者误认的”深度合成服务情形提出显著标识要求。在此基础上,《标识办法》第四条进一步明确了针对文本、音频、图片、视频、虚拟拟真等具体场景的显式标识要求,确保生成合成内容在面向公众时具有满足要求的显式标识。 回答:初期段階では、国家サイバースペース管理局が公布した「インターネット情報サービスディープシンセシスに関する管理規定」第17条では、「一般大衆に混同や誤認を招く可能性がある」ディープシンセシスサービスについて、重大な表示要件を規定していた。これに基づき、「弁法」第4条では、テキスト、音声、画像、動画、仮想現実などの特定のシナリオにおける明示的表示要件をさらに明確化し、生成された合成コンテンツが一般大衆に公開される際に、必要な明示的表示が確実に付されるようにしている。
此外,充分考虑生成合成内容在实际场景中的落地应用,积极回应社会关切和产业需要,《标识办法》第九条提出,在用户主动要求提供未添加显式标识内容时,网站平台在不违反相关法律法规要求前提下,可通过在用户协议中明确责任义务并依法留存相关日志信息后,面向用户予以提供。同时,用户在后续使用过程中,需遵守《标识办法》第十条等相关要求,主动声明生成合成情况并添加显式标识后,方可面向公众发布和传播。 また、弁法は実際の状況における生成された合成コンテンツの実用化を十分に考慮し、社会の関心や業界のニーズに積極的に応えている。弁法第9条では、ユーザーが明示的表示のないコンテンツを積極的に要求した場合、ウェブサイトプラットフォームはユーザーにコンテンツを提供できるが、関連法規の要求に違反しないこと、ユーザー契約で明確な責任と義務を規定すること、関連ログ情報を法に基づき保存することを前提とする。 同時に、その後の利用に際しては、ユーザーは「情報識別弁法」第10条およびその他の関連規定を遵守し、コンテンツの生成と構成を積極的に申告し、公開・伝播の前に明示的表示を追加しなければならない。
九、问:《标识办法》对规范开展标识行为明确了哪些具体要求? 9. 質問: 弁法は、標準化されたマーキングの実施について、どのような具体的な要求を規定しているのか?
答:《标识办法》第十条明确任何组织和个人不得恶意删除、篡改、伪造、隐匿本办法规定的生成合成内容标识,不得为他人实施上述恶意行为提供工具或者服务,不得通过不正当标识手段损害他人合法权益。 回答: 弁法の第10条では、いかなる組織または個人も、本弁法で規定された生成された統合コンテンツ識別子を悪意を持って削除、改ざん、偽造、または隠蔽してはならないこと、また、他者がそのような悪意のある行為を行うためのツールやサービスを提供してはならないこと、不適切なマーキングによって他者の正当な権利や利益を損なってはならないことが明確に規定されている。
十、问:关于《标识办法》和配套强制性国家标准的正式施行时间的考虑? 10. 質問: 「マーキング弁法」および関連の強制国家規格の正式実施時期はいつか?
答:坚持循序渐进的治理原则,考虑到企业需要时间充分理解相关规定和标准规范,针对性地开展能力建设和功能研发,基于标识技术实施的复杂程度、试点试行的实践经验,设定《标识办法》和配套强制性国家标准6个月左右的施行过渡期。 回答: 段階的な管理という原則に則り、企業が関連の法規や標準、規範を十分に理解し、的を絞った能力の構築や機能の研究開発を行うために時間を要することを考慮し、また、マーキング技術の実施の複雑性やパイロット試験の実践経験を踏まえ、「マーキング弁法」および関連の強制国家規格の実施には約6か月の移行期間が設けられた。

 

・2025.03.14 专家解读|从技术规则到技术标准:人工智能治理的标识管理

专家解读|从技术规则到技术标准:人工智能治理的标识管理 専門家解説:技術規則から技術標準へ:人工知能のガバナンスにおける識別管理
国家互联网信息办公室等部门联合发布《人工智能生成合成内容标识办法》(以下简称《标识办法》)及配套强制性国家标准《网络安全技术 人工智能生成合成内容标识方法》(以下简称《标识标准》),旨在防范人工智能生成合成内容引发的信息安全风险,提升人工智能安全水平,规范人工智能行业应用和健康发展。从技术规则到技术标准的有机组合,是一种兼具灵活性和约束力的制度创新,符合全球人工智能治理通用做法,提出人工智能标识管理的中国方案,为全球人工智能治理规则形成和兼容协调提供更多基础共识。 国家サイバースペース管理局およびその他の部門は共同で、「人工知能生成合成コンテンツ識別弁法」(以下、「識別弁法」という)およびそれを補完する強制国家標準「ネットワークセキュリティ技術-人工知能生成合成コンテンツ識別方法」(以下、「識別標準」という)を公表した。その目的は、人工知能生成合成コンテンツによる情報セキュリティリスクを防止し、人工知能のセキュリティレベルを向上させ、人工知能産業の健全な発展と応用を規制することにある。 技術規則と技術標準の有機的な結合は、柔軟性と拘束力を兼ね備えた制度上の革新である。これはAIガバナンスにおける世界共通の慣行に沿ったものであり、AI識別管理における中国のソリューションを提案し、グローバルなAIガバナンス規則の形成と互換性および調整のためのより根本的なコンセンサスを提供する。
一、《标识办法》和《标识标准》的制定背景 1.「弁法」と「標準」の策定背景
当前以ChatGPT、Sora、DeepSeek等为代表的生成式人工智能迅猛发展,借助人工智能生成合成文本、图像、音频、视频、虚拟场景等,逐渐演变为重要的信息生产模式。然而,伴随技术门槛降低,虚假信息、深度伪造、恶意输出等安全问题突出,加剧传统信息安全风险的动态性、渗透性和全局性。联合国2024年《治理人工智能,助力造福人类》报告将“损害信息完整性”列为排名第一的风险。 現在、チャットGPT、Sora、DeepSeekなどに代表される生成的AIが急速に発展している。AIの力を借りて、テキスト、画像、音声、動画、仮想シーンなどを生成・合成し、徐々に重要な情報生産モードへと進化している。しかし、技術的敷居が下がるにつれ、偽情報、深層偽造、悪意ある出力などのセキュリティ問題が顕著になり、従来の動的、浸透的、グローバルな情報セキュリティリスクの性質を悪化させている。 国連の2024年報告書「人類の利益のための人工知能の管理」では、「情報の完全性を損なうこと」が最大のリスクとして挙げられている。
生成合成内容标识已成为国际惯例。无论是已施行的欧盟《人工智能法》、正式出台的澳大利亚《安全和负责任的人工智能咨询:澳大利亚政府的临时回应》,还是正在制定中的美国《编辑和深度伪造内容来源保护完整性法案》《数字内容溯源标识法案》、英国《人工智能(监管)法案》等提案,均对水印、标识义务有要求。在我国,2023年1月施行的《互联网信息服务深度合成管理规定》提出针对文本、图像、音频、视频、虚拟场景等信息内容的标识要求,2023年8月施行的《生成式人工智能服务管理暂行办法》承袭这一规定。尽管各国对数字水印、数字指纹、加密元数据等标识技术的具体要求存在不同,对平台标识义务的强度设定也存在差异,但在从事后内容审核转向生成端风险内嵌控制、提高人工智能治理技术能力的理念是一致的。 合成コンテンツマーカーを生成することは国際的な慣行となっている。すでに実施されているEUの人工知能法、公式に発表されたオーストラリアの「安全で責任ある人工知能に関する協議:オーストラリア政府の中間回答」、策定中の米国の「コンパイルおよびディープフェイクコンテンツの整合性保護法」、「デジタルコンテンツのトレーサビリティマーキング法」、英国の「人工知能(規制)法」のいずれも、透かしやマーキングの義務付けを求めている。 中国では、2023年1月に施行された「インターネット情報サービス深度合成に関する管理規定」において、文字、画像、音声、動画、仮想シーンなどの情報コンテンツの識別要件が定められ、この規定は2023年8月に施行された「生成的AIサービス管理弁法」にも引き継がれた。 電子透かし、デジタル指紋、暗号化されたメタデータなどのマーキング技術の具体的な要求や、プラットフォームのマーキング義務の強度については国ごとに差異があるものの、コンテンツの事後審査から生成段階でのリスク内包型管理への転換、AIガバナンスの技術能力の向上という概念は一致している。
二、《标识办法》和《标识标准》的核心内容与治理逻辑 2. マーキング弁法とマーキング標準の中核的内容とガバナンスの論理
作为网络信息内容治理制度体系的有机组成部分,《标识办法》和《标识标准》是我国人工智能法治建设进程中的重要一步,既与《中华人民共和国网络安全法》一脉相承,又与《互联网信息服务算法推荐管理规定》《互联网信息服务深度合成管理规定》《生成式人工智能服务管理暂行办法》等有效衔接,构建的人工智能标识管理要求具有体系性、技术性、协同性、融贯性、全流程、精细化等特点,在明确治理标准和落地机制、促成治理实效方面,具备可操作性、落实基础和前景。 オンライン情報コンテンツガバナンスシステムの不可欠な一部として、「弁法」と「標準」は、中国のAI法体系の発展における重要な一歩である。これらは中華人民共和国サイバーセキュリティ法と一致しており、インターネット情報サービスにおけるアルゴリズム推薦に関する管理規定、インターネット情報サービスにおけるディープシンセシスに関する管理規定、生成的AIサービス管理に関する暫定措置と効果的に噛み合っている。確立されたAIのマーキング管理要件は、体系的、技術的、協調的、首尾一貫しており、 全プロセス、精緻化などである。ガバナンスの標準と実施メカニズムを明確にし、ガバナンスの有効性を実現する上で、実行可能性、実施の基礎、見通しがある。
1.体系性、技术性:技治与法治互嵌运行,探索显隐双标识机制 1. システム的かつ技術的:技術的ガバナンスと法的ガバナンスが連携し、明示的および暗示的なマーカーの二重マーカーメカニズムを模索する
技治与法治彼此的内嵌、牵连、塑造在人工智能标识管理中尤为明显。《标识办法》援引的《互联网信息服务深度合成管理规定》涵盖人工智能输出的基本数据类型,并明确各类信息内容的可标识性。其中,显式标识能够对主体权利、义务进行明确提示;而元数据的隐式标识、基于技术中立性选择的内容隐式标识和加密,在不影响输出数据质量、用户感观的同时,其内容的完备性、唯一性要求,形式的强制性、规范性等共同构成结构化数据的一部分。《标识标准》中显式标识与隐式标识的有机结合、综合运用,使得通过技术检测机制识别人工智能生成合成内容成为可能,并在一定程度上具有确立主体行为性质的初步证据效力。 技術的ガバナンスと法的ガバナンスの相互埋め込み、相互絡み合い、相互形成は、AIマーカーの管理において特に顕著である。 「インターネット情報サービス深度統合弁法」で引用されている「インターネット情報サービス深度統合弁法」では、人工知能が出力する基本データタイプをカバーし、各種情報コンテンツの可視化を明確にしている。そのうち、明示的表示は、主体の権利義務を明確に示すことができる。暗示的表示は、技術的中立性を考慮して選択されたメタデータの暗示的表示とコンテンツの暗号化であり、出力データの品質やユーザーの知覚に影響を与えることなく、コンテンツの完全性と独自性、および形式の強制性と規範性の要件を満たすことで、構造化データの一部を形成する。 「標準」における明示的表示と暗示的表示の有機的な結合と総合的な利用により、技術的な検出メカニズムを通じて人工知能による生成・合成コンテンツを識別することが可能となり、ある程度、主体の行為の性質に関する一応の証拠を確立する効果がある。
2.协同性、融贯性:多部门监管统筹协调,多制度衔接资源整合 2. 整合性と一貫性:多部門による監督と調整、多システム統合とリソース共有
在人工智能标识监管执法中,厘清相关主管部门管理职责,明确标识违规行为法律责任,强化标识管理与算法备案、安全评估等制度的衔接和程序协调至关重要。《标识办法》规定,服务提供者在履行算法备案、安全评估等手续时,应当按照本办法提供生成合成内容标识相关材料,并加强标识信息共享。《标识办法》明确,违反本办法规定的,由网信、电信、公安、广播电视等有关主管部门依据职责,按照有关法律、行政法规、部门规章的规定予以处理。 人工知能による表示の監督と執行において、関連する主管部門の管理責任を明確にし、表示違反に対する法的責任を明確にし、アルゴリズムの届出やセキュリティ評価などの表示管理システムと手続きのインターフェースと調整を強化することが重要である。 人工知能のラベル付けに関する弁法では、サービス提供者がアルゴリズムの届出やセキュリティ評価などの手続きを行う際には、本弁法に従って総合的なコンテンツのラベル付けを行うための関連資料を提供し、ラベル付け情報の共有を強化すべきであると規定している。人工知能のラベル付けに関する弁法では、本弁法に違反した場合は、中国サイバー空間管理局、工業情報化部、公安部、国家ラジオ・テレビ総局などの関連主管部門が職責に基づき、関連法律、行政法規、部門規則の規定に従って処理すべきであると明確に規定している。
3.全流程、精细化:产业生态链治理,科学设定上下游主体义务 3. プロセス全体、精緻化:産業エコチェーンのガバナンス、上流および下流の主体の義務を科学的に設定
《标识办法》和《标识标准》从网络信息服务提供者这一整体视角切入,进一步明晰适用标识义务的主体。通过深入审视各主体在人工智能生态体系中的角色、定位、行为模式以及影响程度,精准区分为生成合成内容服务提供者、内容传播服务提供者这两大类主体。同时,针对其他关键参与方,如互联网应用程序分发平台主体的责任范畴等,也进行明确规定,基本实现对生成合成内容上下游主体的全覆盖。将行为主体作为抓手进行识别和义务分配,法律的追责机制和后果承担方得以落实。此外,《标识办法》体现出在数据内容创作与打击滥用间寻求平衡的考量,也表明在立法思路上对当前蓬勃发展的人工智能产业整体上的鼓励倾向,可理解为早期确立的平台避风港原则在新时代背景下的创新性发展。 「弁法」と「標準」は、オンライン情報サービス提供者を全体として捉える視点から問題にアプローチし、さらにマーキング義務の対象となる事業体を明確化している。人工知能エコシステムにおける各事業体の役割、位置付け、行動パターン、影響度を徹底的に調査し、生成された合成コンテンツサービスを提供する事業体と、コンテンツ配信サービスを提供する事業体の2つの主要な事業体カテゴリーを明確に区別している。同時に、インターネットアプリケーションを配信する事業体など、その他の主要な参加者の責任も明確に定義し、合成コンテンツを生成する上流および下流の事業体を基本的に網羅している。 行為者を識別し義務を割り当てることで、法的責任メカニズムと結果に対する責任を負う当事者を実行に移すことができる。また、「弁法」は、データ内容の創作と悪用への対処のバランスを取るという考慮を反映しており、現在活況を呈している人工知能産業を奨励するという立法思想の全体的な傾向も示している。これは、新時代の文脈におけるプラットフォームヘイブン原則の早期確立という革新的な発展と理解することができる。
三、《标识办法》和《标识标准》的制度意义 3. 弁法と標準の制度上の意義
从制度构建角度审视,《标识办法》和《标识标准》的制度化进程,本质是将人工智能标识产业实践经验升维为有约束力的治理范式。依托“立法确认-标准转化-产业传导”机制,我国构建起从技术共识迈向法律秩序的进阶之路。这一过程契合我国人工智能立法秉持的总体思路,即灵活运用既有规则,鼓励行业产业先行开展试点探索,同时针对痛点、难点问题精准发力,靶向施策,其产生的影响也将辐射至全球人工智能治理的理念层面以及标准实践领域。 制度的な観点から見ると、弁法と標準の制度化プロセスは、人工知能のラベリング業界における実務経験を、実質的に拘束力のあるガバナンス・パラダイムへと格上げするものである。「立法による確認、標準による転換、業界による伝達」というメカニズムに依拠することで、中国は技術的なコンセンサスから法的秩序への先進的な道筋を構築した。 このプロセスは、中国の人工知能関連法の制定における一般的な考え方と一致しており、既存の規則を柔軟に活用し、業界にまず試験的な模索を奨励し、同時に、痛みの伴う問題や困難な問題に的を絞った対策を講じるというものである。その影響は、世界的な人工知能のガバナンスの概念レベルや標準的な実践分野にも波及するだろう。
从规范协同角度审视,人工智能标识治理体系呈现“规则+技术”双轮驱动特征,覆盖从内容生产到传播的全链条治理。《标识办法》侧重构建“责任链闭环”,通过主体资质审查、过程性义务设定等形成行为约束。《标识标准》聚焦“技术锚点”建设,针对关键技术要件确立具备可验证性的实施基准。我国《中华人民共和国标准化法》规定,对保障人身健康和生命财产安全、国家安全、生态环境安全以及满足经济社会管理基本需要的技术要求,应当制定强制性国家标准。将生成合成内容标识的最低要求上升为国家强制性标准,不仅是对《标识办法》的具体落地,更是表明在社会应用全过程中,人工智能标识及活动已与人身健康和生命财产安全、国家安全等紧密相连。 規制の連携という観点から見ると、人工知能識別ガバナンスシステムは、「規則+技術」の二輪駆動を特徴とし、コンテンツの制作から配信までのガバナンスの全チェーンをカバーしている。 弁法は、主体の適格性審査と手続き上の義務設定を通じて行動上の制約を形成する「責任の閉ループ」の構築に重点を置いている。標準は「技術的アンカー」の構築に重点を置き、主要な技術的要素の検証可能な実施基準を確立している。中華人民共和国標準化法は、個人の健康と安全、財産の安全、国家安全、生態環境の安全を保護し、経済および社会管理の基本的なニーズを満たす技術的要件については、強制的な国家標準を策定しなければならないと規定している。 合成コンテンツ識別の最低要件を国家強制標準に引き上げることは、「弁法」の具体的な実施であるだけでなく、社会応用の全過程において、人工知能識別および活動が個人の健康と安全、国家安全保障などと密接に関連していることを示している。
从技术治理效能角度审视,人工智能标识制度并非颠覆人工智能既有的生产环境,而是致力于在现有生产基础之上,提升人类对相关内容的辨识度以及机械处理的准确性。《标识办法》和《标识标准》不仅及时响应了将人工智能的“海量、逼真”输出纳入监管视野的紧迫需求,标准化且有所区分的显式、隐式技术要求也为权利记载、算法备案、数据溯源、执法协助、安全评估等工作,提供具有普适性的、可量化度量与评价的操作方法及实用工具,同时通过建立“生成即标识”的技术规范推动产业内生合规,实现安全和发展之间的动态平衡。这一制度体系也切实回应在人机互动、人机融合的新一轮技术跨越式发展中,人类对真实与虚拟进行辨别,从而形成行为、决策依据的基本需求。 技術的ガバナンスの有効性の観点から、人工知能識別システムは確立された人工知能生産環境を覆すものではなく、既存の生産を基盤として、関連コンテンツに対する人間の認識と機械処理の精度の向上に努めている。 「大量かつリアルな」人工知能のアウトプットを規制の焦点に置くという緊急の必要性に迅速に対応するだけでなく、標準化された明示的および暗示的な技術的要件を通じて、普遍的かつ定量的な運用評価と、権利記録、アルゴリズム登録、データ追跡、法執行支援、セキュリティ評価、その他のタスクのための実用的なツールを提供する。同時に、「生成を弁法とする」という技術仕様を確立し、業界の内部コンプライアンスを促進し、セキュリティと発展の間の動的なバランスを実現する。 このシステムは、人間と機械の相互作用や人間と機械の統合が飛躍的に発展する中で、人間が現実と仮想を区別し、行動や意思決定の基礎を形成するという基本的ニーズにも効果的に対応している。
四、《标识办法》和《标识标准》的未来展望 4. 弁法と標準の将来展望
可以预见,我国人工智能安全执法将延续重点事项监管、促进产业有序发展的方向。伴随标识管理与算法备案、安全评估等机制逐步实现有机衔接,生成合成内容标识合规有望成为相关部门开展人工智能监督检查、专项行动的重点关注领域。在此进程中,一系列深层次问题亟待审慎思考与妥善解决——如何平衡发展与安全、创新与责任、公益与私益等多元目标的内在张力,怎样达成不同执法部门、不同层级、不同地域执法的一致性、协调性,又该通过何种路径提升执法的专业化、精细化、智慧化水平,从而培育出安全、开放、公平、符合国情的人工智能产业生态环境。这些都是标识管理中需要深入探究的重要课题。 中国の人工知能セキュリティ執行は、引き続き重点事項の監督に焦点を当て、業界の秩序ある発展を促進していくことが予想される。ロゴ管理、アルゴリズム登録、セキュリティ評価などのメカニズムが徐々に有機的に統合されるにつれ、総合的な内容のロゴへの準拠が、人工知能の監督・検査や特別作戦を実施する関連部門にとって、重点分野となることが予想される。 このプロセスでは、一連の根深い問題について慎重に検討し、適切な解決策を見出す必要がある。例えば、開発とセキュリティ、イノベーションと責任、公共の福祉と私的利益など、複数の目標間の本質的な緊張関係をどのようにバランスを取るか、異なるレベルや地域における異なる法執行部門間の整合性と協調性をどのように実現するか、AI産業にとって安全でオープンかつ公平で国に適した生態環境を育成するために、法執行の専門性、洗練性、知性を向上させるためにどのような道筋をたどるべきか、などである。これらはすべて、ラベル管理において深く掘り下げて検討する必要がある重要なトピックである。
此外,“人的因素”应融入人工智能标识管理的全过程,着重提升公众对于信息内容真实性、来源可追溯性的批判性评估能力,无疑是重中之重。积极培育公众人工智能素养,确保人工智能技术成果普惠共享,这也是应有之义。 さらに、「人間要素」をAIアイデンティティ管理の全プロセスに統合し、情報コンテンツの真実性とソースの追跡可能性に関する一般市民のアセスメント能力の向上に重点を置くべきである。これは間違いなく最も重要なことである。また、一般市民のAIリテラシーを積極的に育成し、AIの技術的成果がすべての人々の利益のために共有されるようにすることも適切である。
(作者:金波,公安部第三研究所副所长) (著者:金波、公安部第三研究所副所長)

 

 

・2025.03.14 专家解读|构建人工智能安全治理新格局,开创生成合成内容规范发展新路径

专家解读|构建人工智能安全治理新格局,开创生成合成内容规范发展新路径 専門家解説:AIの安全ガバナンスの新たなパターンを構築し、合成コンテンツの開発と規制の新たな道筋を切り開く
互联网、大数据与人工智能等信息技术的飞速发展,在过去半个世纪以来,已推动人类社会走向“人类-信息-物理”三元空间的智能融合,深度渗透至经济社会各领域。党的十八大以来,以习近平同志为核心的党中央高度重视我国新一代人工智能发展,提出了“人工智能是引领这一轮科技革命和产业变革的战略性技术,具有溢出带动性很强的‘头雁’效应”“加快发展新一代人工智能是事关我国能否抓住新一轮科技革命和产业变革机遇的战略问题”等一系列重要论述,深刻阐明了人工智能在国家发展战略中的核心地位和关键作用。近年来,ChatGPT、DeepSeek等生成式人工智能技术的颠覆性突破,正推动人类社会进入新阶段。回望人工智能发展历程,从未有过任何阶段,技术发展的触角从产业革新进一步延伸至人类价值重构,真正成为关系国家数字主权竞争的战略制高点,成为牵动国家兴衰与文明存续的核心变量。 インターネット、ビッグデータ、AIなどの情報技術の急速な発展は、過去半世紀にわたって人類社会を「人間-情報-物理」の3つの空間におけるインテリジェントな統合へと導き、経済と社会のあらゆる側面に深く浸透している。 中国共産党第18回全国代表大会以来、習近平同志を核心とする党中央は、中国における新世代人工知能の発展を非常に重視し、「人工知能は、この1回の技術革命と産業転換をリードする戦略技術であり、波及と牽引の『雁行先導』効果が強い。」「新世代人工知能の発展を加速することは、中国が新1回の技術革命と産業転換のチャンスをつかむことができるか否かにかかわる戦略的問題である。」など一連の重要な議論を打ち出している。これらの議論は、人工知能が国家発展戦略における中心的位置と重要な役割を深く明らかにした。 近年、ChatGPTやDeepSeekといった生成的AI技術における破壊的なブレークスルーが、人類社会を新たな段階へと導いている。AIの発展を振り返ると、技術発展の及ぶ範囲が産業革新から人類の価値観の再構築へとさらに拡大した段階はこれまで一度もなかった。AIはまさに、国家のデジタル主権をめぐる競争における戦略的優位点となり、国家の盛衰や文明の存続を左右する中核的な変数となっている。
然而,人工智能生成合成内容日益逼真,也催生虚假消息传播、身份信息冒充、恶意内容生成等新型安全风险,并削弱着公众对网络传播内容的信任根基。面对人工智能安全治理这一世界性难题,国家网信办适时出台《人工智能生成合成内容标识办法》(以下简称《标识办法》),在全球率先提出保障人工智能安全可信的“中国方案”,具有里程碑式的重要意义。《标识办法》作为互联网信息服务领域贯彻落实《互联网信息服务深度合成管理规定》《生成式人工智能服务管理暂行办法》的重要举措,配套强制性国家标准《网络安全技术 人工智能生成合成内容标识方法》(以下简称《标识标准》)同时发布,为人工智能发展奠定了重要基础,成为保障人工智能时代网络生态安全有序的关键手段。《标识办法》和《标识标准》的出台,共同聚焦人工智能生成合成内容服务安全风险,健全了人工智能生成合成内容标识规范,为人类驾驭智能文明提供了至关重要的制度性公共产品,为推动人工智能发展贡献了中国力量。 しかし、人工知能によって生成されるますます現実味を帯びた合成コンテンツは、誤情報の拡散、身元情報の偽装、悪意のあるコンテンツ生成などの新たなセキュリティリスクを生み出し、オンラインコンテンツに対する人々の信頼を損なっている。人工知能のセキュリティガバナンスというグローバルな課題に直面し、中国国家サイバー空間管理局(CAC)は、人工知能のセキュリティと信頼性を確保するための「中国式ソリューション」を率先して提案し、画期的な意義を持つ「人工知能生成合成コンテンツ識別弁法」(以下、「識別弁法」)をタイムリーに発表した。 弁法は、インターネット情報サービス分野における「ディープ・シンセティック・インターネット情報サービス管理規定」および「生成的AIサービス管理暫定規定」を実施するための重要な措置である。同時に発表された強制的な国家標準「网络安全技术 人工智能生成合成内容标识方法」(以下、「標準」)を伴い、人工知能の発展に重要な基礎を築いた。人工知能時代のネットワーク生態系の安全かつ秩序ある発展を確保するための重要な手段となっている。 「弁法」と「標準」の公布により、AI生成合成コンテンツサービスにおけるリスクが注目され、AI生成合成コンテンツの識別基準が改善され、人類がインテリジェント文明をうまく利用するための重要な制度上の公共財が提供され、AIの発展を推進する上で中国の強みが発揮された。
一、引领全球人工智能安全发展方向,树立生成合成式内容治理典范 1. AIの安全性に関する世界的な開発方向性を主導し、生成合成コンテンツのガバナンスの模範となる
当前,信息网络空间成为连接人类社会与物理世界的桥梁,在全球科技创新加速演进的过程中,人工智能已成为决定大国竞争力和未来影响力的核心领域之一。在此背景下,人工智能的规则制定权逐渐成为大国博弈的新焦点,其重要性不仅体现在技术层面,更延伸至国家安全、产业发展和国际秩序塑造等多个维度。 現在、情報ネットワーク空間は、人間社会と物理的世界を結ぶ架け橋となっている。世界的な科学技術イノベーションが加速する過程において、人工知能は大国の競争力と将来的な影響力を決定するコア領域の一つとなっている。こうした背景から、人工知能に関する規則を策定する権利は、次第に大国間の新たな争点となりつつある。その重要性は技術レベルに留まらず、国家安全保障、産業発展、国際秩序の形成など、さまざまな次元にまで及んでいる。
在此背景下,欧盟、美国、加拿大等国家出台了人工智能相关政策法规,条款涉及内容标识,但尚未发布专项法规明确标识形式和技术指标。我国恰逢其时地出台了《标识办法》和《标识标准》,全方位、多层次地规范人工智能内容标识要求和方法,这一举措不仅体现了我国在人工智能治理领域的前瞻性和责任感,也为全球范围内的人工智能安全治理树立了新的标杆,为维护全球数字生态安全与可持续健康发展贡献了中国智慧。 この状況下で、欧州連合(EU)、米国、カナダなどの国は、人工知能関連の政策や規制を導入し、内容識別に関する内容を取り扱っているが、形式や技術指標を明確に識別する具体的な規制は発行されていない。中国は、人工知能の内容識別の要求や方法を総合的かつ多角的に規範化する「弁法」と「標準」を適時に打ち出した。これは、人工知能のガバナンス分野における中国の進歩的かつ責任ある姿勢を反映しているだけでなく、グローバルな人工知能のセキュリティガバナンスの新たなベンチマークを設定し、グローバルなデジタル生態系のセキュリティ維持と持続可能かつ健全な発展に中国の知恵を貢献するものである。
我国正处于从网络大国向网络强国迈进的关键阶段,《标识办法》和《标识标准》的制定与实施,对于构建我国自主可控的人工智能治理体系具有历史性的意义。一方面,标志着我国在人工智能领域实现了从被动防御到主动规制的战略转变,为保障国家信息安全和社会稳定提供了坚实的制度支撑;另一方面,通过完善的治理体系,可最大限度地发挥人工智能的社会价值,维护网络空间清朗环境,最终实现科技服务于人的根本目标。 中国は現在、インターネット大国から強国へと発展する重要な段階にある。「弁法」と「標準」の策定と実施は、中国における自律的かつ制御可能な人工知能のガバナンスシステムの構築にとって歴史的な意義を持つ。一方では、人工知能の分野における受動的な防御から能動的な規制への戦略的転換を意味し、国家の情報セキュリティと社会の安定を確保するための強固な制度的基盤を提供する。他方では、健全なガバナンスシステムを通じて人工知能の社会的価値を最大限に引き出し、サイバー空間における明確で明るい環境を維持し、科学技術が人々に奉仕するという根本的な目標を最終的に達成することができる。
二、构建人工智能科学技术规范发展生态,推动智能科技产业持续创新 2. 人工知能科学技術の規範的な発展のための生態環境を構築し、インテリジェント技術産業の持続的なイノベーションを促進する
《标识办法》和《标识标准》的发布,标志着我国在生成式人工智能领域迈出了构建安全可信生态的关键一步,对构建规范健全的技术生态和健康可持续的智能科技产业产生了深远影响,其关键作用主要体现在以下三个方面。 「弁法」と「標準」の発表は、中国における生成的AI分野における安全で信頼性の高い生態環境の構築における重要な一歩であり、規範的で健全な技術生態系と、健全で持続可能なインテリジェント技術産業の構築に多大な影響をもたらした。その主な役割は主に以下の3つの側面に反映されている。
首先,为人工智能技术领域规范化发展奠定了坚实基础。《标识办法》和《标识标准》不仅为行业提供了明确的技术指导原则,极大地提升了技术的透明度和可追溯性,为生成式人工智能技术应用划定了红线,也为有效溯源和遏制虚假信息传播提供了技术抓手,维护了网络生态安全。依靠技术手段实现有效治理不仅关乎社会秩序的稳定,更成为了保障经济持续健康发展的关键所在。 第一に、人工知能技術分野の規範的な発展のための堅固な基盤を築いた。「弁法」と「標準」は、業界に明確な技術的指針を提供し、技術の透明性と追跡可能性を大幅に向上させただけでなく、生成的AI技術の応用におけるレッドラインを設定し、技術的な出発点を提供することで、偽情報の発信源を効果的に追跡し、その拡散を抑制し、オンライン生態系の安全を確保している。技術的手段に頼って効果的なガバナンスを実現することは、社会秩序の安定だけでなく、経済の持続的かつ健全な発展を確保する上でも重要である。
其次,为构建更完善的生成式人工智能产业链指明了正确方向。《标识办法》和《标识标准》通过细化生成合成内容管理规则,推动了人工智能产业标准化进程,构建了一个更加公平、透明且高效的市场环境,不仅增强了市场主体参与产业的积极性,助力传统产业转型升级,还促进了产业链上下游的协同创新,为产业规模化发展提供了内生动力,从而助力国产生成式人工智能生态的健康发展。 第二に、より完全な生成的AI産業チェーンの構築に向けた道筋を示している。生成合成コンテンツの管理規則を明確化することで、「弁法」と「標準」はAI産業の標準化を促進し、より公正で透明性が高く効率的な市場環境を作り出す。これにより、市場主体の産業への参加意欲が高まるだけでなく、伝統産業の転換とアップグレードも促進される。また、産業チェーンの上流と下流の協調的なイノベーションを促進し、産業の大規模な発展のための内発的動力を提供することで、国家の生成的AIエコシステムの健全な発展を促進する。
第三,为“人工智能+”赋能新质生产力发展提供了创新土壤。《标识办法》和《标识标准》有助于全社会建立对生成式人工智能的信任,进一步促进“人工智能+”与各行业的深度融合,催生一系列新业态和新模式,创造新的经济增长点,也有助于我国在全球范围内抢占人工智能发展的制高点,推动形成以技术创新为核心驱动力的新质生产力,从而在新一轮科技革命和产业变革中占据主动地位。 第三に、「AI+」の革新的な環境を提供し、新たな生産力の成長を促進する。「弁法」と「標準」は、社会全体が生成的AIに対する信頼を確立し、「AI+」と各産業の深い統合をさらに促進し、一連の新たなビジネス形態とモデルを生み出し、新たな経済成長の原動力を創出するのに役立つ。これにより、中国は世界規模でのAI開発における主導権を握ることができる。技術革新を中核的な原動力として新たな生産力の形成を促進し、新たな科学技術革命と産業転換を主導する。
三、以内容标识工作为基石助力人类文明稳步跃迁,谱写人工智能治理新纪元 3. コンテンツのラベリングを礎石として、人類文明の着実な飛躍とAIガバナンスの新時代の到来を促す
《标识办法》和《标识标准》的落地离不开全社会的凝心聚力和协同配合。地方主管部门、高校、科研机构、企业可共同参与,充分利用新媒体、新渠道面向全社会进行大力宣贯,形成标识工作先行的多点协同内容治理网络,推动标识工作行稳致远。此外,有必要建立全国性的内容标识公共服务平台,以可视可交互的实际操练形式,配合口头宣贯,促进公众和产业深入理解标识工作。以《标识办法》制度设计为纲领、《标识标准》技术实施规范为指导,浙江大学配合中国电子技术标准化研究院研发的服务平台——人工智能生成合成内容标识服务平台,日前已对外发布使用。通过大力宣贯内容标识政策标准与大力推广公共服务平台相结合的方式,建立全社会共同认知,确保内容标识政策标准的顺利推行、有效落实、持续夯实。 ラベリング弁法および標準の実施には、社会全体の努力と協力が必要である。地方自治体、大学、研究機関、企業は、新メディアやチャネルを最大限に活用し、ラベリング弁法を社会全体に積極的に周知し、ラベリング作業を優先する多角的協調型コンテンツガバナンスネットワークを形成し、ラベリング弁法の着実かつ長期的な実施を促進することができる。 さらに、コンテンツ識別のための国家公共サービスプラットフォームを構築する必要がある。これにより、視覚的かつインタラクティブな実践トレーニングを通じて、国民および業界におけるコンテンツ識別の理解を深めることができる。「コンテンツ識別弁法」の制度設計を指針とし、「標準」の技術的実施仕様をガイドとして、浙江大学が中国電子標準化研究所と共同開発した人工知能による総合コンテンツ識別サービスプラットフォームが、一般公開されている。 コンテンツ識別標準を積極的に宣伝し、公共サービスプラットフォームを積極的に推進することで、コンテンツ識別標準の円滑な実施、効果的な実施、継続的な強化を確保するための社会全体の共通認識が確立されている。
在“人类-信息-物理”三元空间融合、万物互联的智能时代,各类软硬件基础设施已经与经济社会发展的各领域全过程密不可分。作为新一代技术燃料,生成式人工智能驱动基础设施进行更深层次的智能化变革转换,促使信息技术从普通工具属性向“思维伙伴”型高智能化工具属性进化,为当下时代带来颠覆性的发展机遇,在未来势必成为我们必备的技能,与我们相伴相生。这要求我们在使用人工智能时切实正确理解并管理人工智能。人工智能安全框架体系以可控管理的人工智能应用为目标,是我们在智能时代必须完成的历史命题。它不是限制发展的枷锁,而是文明进步的助推器。只有在智能时代保持主导地位,才能实现三元空间中万物和谐共生、人类文明稳步跃迁的美好愿景。 「人・情報・物理」の3つの空間が統合され、あらゆるものが相互接続されるインテリジェントな時代において、あらゆる種類のソフトウェアおよびハードウェアインフラは、すでに経済および社会発展のあらゆる領域およびプロセスと切り離せないものとなっている。 新世代の技術的推進力として、生成的AIはインフラストラクチャのより深いインテリジェントな変革を推進し、情報技術を一般的なツールの属性から、高度にインテリジェントな「思考パートナー」型のツールへと進化させる。これは、現在の時代に破壊的な開発機会をもたらし、将来にわたって私たちとともに成長していくために必要なスキルとなるだろう。そのためには、人工知能を使用する際には、人工知能を真に正しく理解し、管理することが求められる。人工知能セキュリティフレームワークシステムは、制御可能で管理された人工知能アプリケーションを実現することを目的としており、インテリジェントな時代に私たちが達成しなければならない歴史的な命題である。 それは発展を制限する足かせではなく、文明の進歩を後押しするものだ。知能化時代において主導的地位を維持することによってのみ、三元空間における万物の調和共存と人類文明の着実な飛躍という美しいビジョンを実現できる。
面对有限预知的未来,立足于人类与人工智能共生的发展蓝图,标识工作将成为理解与管理人工智能的开路先锋,为构筑人工智能安全框架体系提供宝贵的实践指南。 予測可能性が限られている未来に直面し、人類と人工知能の共生という発展の青写真を基に、ラベリング作業は人工知能の理解と管理における先駆者となり、人工知能のセキュリティフレームワークの構築に貴重な実践的指針を提供する。
(作者:陈纯,中国工程院院士、浙江大学教授) (著者:陳春、中国工程院院士、浙江大学教授)

 

 

・2025.03.15 专家解读|技管结合引导构建人工智能安全治理新路径

专家解读|技管结合引导构建人工智能安全治理新路径 専門家の解説|技術と管理の融合がAIセキュリティガバナンスの新路線を導く
随着生成式人工智能技术在内容生产领域的广泛应用,既带来了效率革命,也引发了虚假信息传播等安全隐患。为应对这一挑战,国家互联网信息办公室联合多部门近期正式发布《人工智能生成合成内容标识办法》(以下简称《标识办法》)及配套强制性国家标准《网络安全技术 人工智能生成合成内容标识方法》(以下简称《标识标准》),开创了技术标准与管理制度配合实施的新型治理模式,标志着我国人工智能安全治理迈入“技管双强”的新阶段。 コンテンツ制作の分野で生成的AI技術が広く応用されるようになり、効率革命をもたらしたが、同時にデマの拡散などのセキュリティリスクも引き起こしている。 この課題に対処するため、国家サイバースペース管理局は複数の部門と連携し、このほど「人工知能生成合成コンテンツ識別弁法」(以下、「識別弁法」)と、それを補完する強制国家標準「ネットワークセキュリティ技術-人工知能生成合成コンテンツ識別方法」(以下、「識別標準」)を正式に発表した。これにより、技術標準と管理制度を併用する新たなガバナンスモデルが構築され、中国の人工知能セキュリティガバナンスが「技術力と管理能力がともに高い」という新たな段階に入ったことを示す。
此次《标识办法》《标识标准》的协同发布,破解了以往治理中管理规范与技术标准衔接不畅的问题,形成了“制度牵引技术落地,技术固化制度要求”的治理闭环。作为我国人工智能领域首部“办法+强标”组合拳,其创新性体现在三个维度:管理维度明确生成、传播、分发全链条主体责任;监管维度建立审核、监测、追责的闭环机制;技术维度规范显隐标识体系并预留创新空间。这种三位一体的治理架构,既通过管理机制明确责任边界,又依托监管举措筑牢安全防线,更以技术标准固化治理要求,为人工智能安全治理提供了清晰的实施路径。 今回の「弁法」と「標準」の同時発表は、これまでの管理規範と技術標準の収束性の低さを解決し、「システム牽引技術着陸、技術固めるシステム要求」という管理の閉ループを形成した。 これは、中国の人工知能分野における「弁法+強力な標準」の初の組み合わせであり、その革新性は3つの次元に反映されている。すなわち、管理次元では、生産、普及、流通の全チェーンにおける主な責任が明確に生み出され、監督次元では、審査、監視、説明責任のクローズドループメカニズムが確立され、技術次元では、可視および不可視の識別システムが標準化され、イノベーションの余地が確保されている。この3つの要素を組み合わせたガバナンス構造は、管理メカニズムを通じて責任の境界を明確にするだけでなく、規制措置に依存してセキュリティ防衛ラインを強化し、さらに技術標準によってガバナンス要件を強化し、人工知能の安全なガバナンスのための明確な実施パスを提供している。
一、强标支撑:夯实标识管理,激发协同创新 1. 強力な標準サポート:識別管理の強化と協同イノベーションの促進
《标识办法》《标识标准》的同步发布,标志着我国人工智能安全治理从“分散管理”向“系统协同”的跨越,为人工智能安全治理带来全新思路。二者通过管理要求与技术标准的深度融合,为内容标识的规范化实施提供了双重保障。 「弁法」と「標準」の同時発表は、中国におけるAI安全の管理において「分散管理」から「体系的な協同」への飛躍を意味し、AI安全の管理に新たなアプローチをもたらす。管理要件と技術標準の深い統合は、コンテンツ識別の標準化された実施に二重の保証を提供する。
(一)双管齐下:管理与技术紧密契合 (1)2つのアプローチ:管理と技術の緊密な連携
在人工智能驱动内容生态变革的过程中,《标识办法》与配套《标识标准》紧密结合,为内容标识管理勾勒出清晰路径。《标识办法》从宏观管理角度,明确了生成合成服务提供者、内容传播服务提供者等多元主体在内容标识中的主要责任,构建起内容标识管理的基本框架。例如,其规定生成合成服务提供者需精准识别所生成内容的属性并添加标识,内容传播服务提供者要确保标识在传播过程中的完整性,为后续技术实施指引方向。 人工知能がコンテンツの生態系に変化をもたらす過程において、「弁法」とそれを支える「標準」は密接に統合され、コンテンツのマーキング管理の明確な道筋を示している。マクロ的な管理の観点から、「弁法」はコンテンツのマーキングにおいて、生成・合成サービスプロバイダー、コンテンツ配信サービスプロバイダーなど、複数の主体の主な責任を明確に定義し、コンテンツのマーキング管理の基本的な枠組みを確立している。 例えば、コンテンツ生成・合成サービスを提供する事業者は生成したコンテンツの属性を正確に識別し、ラベルを付与しなければならないこと、また、コンテンツ発信サービスを提供する事業者は発信過程においてラベルの完全性を確保しなければならないことなどが規定されており、その後の技術的実装の方向性を示している。
《标识标准》从技术层面,针对文本内容,详细规定了文字形式的显式标识应包含“人工智能”或“AI”以及“生成”“合成”等要素,且在字型、颜色及位置上严格规定,确保用户能迅速识别;对于音频、视频等多媒体内容,分别设计了独特的显式标识方式,如音频的语音或节奏标识、视频画面特定位置的文字提示等,在不干扰用户体验的前提下实现有效标识。在隐式标识方面,构建文件元数据隐式标识的结构,涵盖生成合成标签、服务提供者信息等要素,并对其编码规则和存储方式进行规范,从技术底层保障内容的可追溯性与安全性,实现管理要求与技术手段的无缝对接。 「標準」では、テキストコンテンツに関する詳細な技術仕様が規定されている。明示的なテキストベースの表示には、「人工知能」や「AI」、「生成」や「構成」などの要素を含めるべきであると規定されており、また、ユーザーが素早く識別できるよう、これらの要素はフォント、色、位置に関して厳密に指定されるべきであると規定されている。音声や動画などのマルチメディアコンテンツについては、ユーザー体験を妨げることなく効果的なマーキングを実現するため、音声には音声やリズムによるマーキング、動画フレームの特定の位置にはテキストによるプロンプト表示など、独自の明示的マーキング方法が設計されている。暗示的表示に関しては、生成された合成タグやサービスプロバイダー情報などの要素をカバーする文書メタデータの暗示的表示構造が構築され、そのコーディング規則と保存方法が標準化されている。これにより、コンテンツの基礎技術からの追跡可能性と安全性が確保され、管理要件と技術的手段のシームレスな統合が実現される。
(二)管理协同:全方位深度融合 (2)管理協力:全方位の徹底的な統合
管理协同在内容标识管理中处于重要位置,是保障治理体系有效运行的关键,《标识标准》《标识办法》从多方面实现了紧密协同。一是责任主体的统一。二者明确生成合成服务提供者、内容传播服务提供者、应用分发平台等主体的标识义务,避免责任模糊导致的监管漏洞。二是全流程的覆盖。《标识办法》提出从内容生成、传播到分发的全流程管理,而《标识标准》通过元数据隐式标识技术,确保内容在流转过程中始终可追溯。三是与现有制度衔接。《标识标准》要求服务提供者在算法备案和安全评估时提交标识相关材料,与《生成式人工智能服务管理暂行办法》等法规形成制度闭环。 管理協力はコンテンツ識別管理において重要な役割を果たし、ガバナンスシステムの有効な運用を確保する鍵となる。標準と弁法は多くの面で緊密な協力関係にある。まず、責任主体の統一がある。両者は、総合サービスプロバイダー、コンテンツ配信サービスプロバイダー、アプリケーション配信プラットフォームなどの主体の義務を明確にし、責任の曖昧さによる規制の抜け穴を回避する。次に、全プロセスをカバーしている点である。 「識別弁法」は、コンテンツの生成から配信までの全プロセス管理を提案しており、「識別標準」は、暗示的表示技術により、流通プロセスにおけるコンテンツの追跡可能性を常に確保している。第三に、既存のシステムと連携している。「識別標準」は、サービスプロバイダーがアルゴリズムの申請とセキュリティ評価を行う際に、識別関連資料を提出することを義務づけており、「生成的AIサービス管理に関する暫定弁法」などの規制とシステムループを形成している。
(三)推动创新:激发行业内生动力 (3)イノベーションの促進:業界内の内発的動力の刺激
《标识标准》推动行业自律与技术创新,为行业持续发展注入强大动力。《标识标准》不仅通过强制性方式规范行业行为,还通过“柔性治理”理念激发企业主动性。例如,《标识标准》允许服务提供者根据业务场景选择显式标识的具体形式,并鼓励探索新型隐式标识技术。这种“底线约束+创新激励”的模式,既保障了治理刚性,又为技术升级预留空间,推动行业从被动合规转向主动创新。 標準は、業界の自主規制と技術革新を促進し、業界の持続可能な発展に強力な原動力を与える。標準は、業界の行動を強制的に規制するだけでなく、「柔軟なガバナンス」の概念を通じて企業のイニシアティブを刺激する。例えば、標準は、サービスプロバイダーがビジネスシナリオに応じて明示的表示の特定の形式を選択することを許可し、新しい暗示的表示技術の探求を奨励する。この「ボトムライン制約+イノベーションインセンティブ」のモデルは、ガバナンスの硬直性を確保するだけでなく、技術アップグレードのための余地を確保し、業界が受動的なコンプライアンスから積極的なイノベーションへと移行することを促進する。
二、强标决心:强化法治威慑,严守安全防线 2. 標準を強制する強い決意:法による規範の抑止効果を強化し、安全ラインを厳格に維持
《强制性国家标准管理办法》明确指出,强制性标准是“保障国家安全、人身健康和生命财产安全”的技术法规。《标识标准》作为我国人工智能安全领域首部强制性国家标准,以法律效力强化治理刚性,体现了国家对人工智能安全隐患零容忍的态度。 強制国家標準弁法では、強制標準とは「国家安全、個人の健康と安全、財産の安全を確保する」技術的規制であると明確に規定されている。 人工知能セキュリティ分野における中国初の強制国家標準である「標識標準」は、法的な効力によりガバナンスの硬直性を強化し、人工知能のセキュリティリスクに対する国のゼロ容認の姿勢を反映している。
(一)效力升级:强化法治保障力度 (1) 効果の向上:法による規範の保護を強化
法律效力的提升是《标识标准》的重要特征,与此前的推荐性标准不同,《标识标准》的强制性属性意味着相关服务提供者必须遵守标识要求。同时,通过强制规定标识技术的最低要求,如元数据字段格式,统一行业技术门槛,防止劣币驱逐良币,维护市场的公平公正。 強化された法的効果は、標準の重要な特徴である。 以前の推奨標準とは異なり、標準の義務的性質は、関連サービスプロバイダーがマーキング要件を遵守しなければならないことを意味する。 同時に、メタデータフィールドの形式など、マーキング技術の最低要件を義務付けることで、業界の技術的基準を統一し、悪貨が良貨を駆逐することを防ぎ、公正かつ公平な市場を維持する。
(二)监管闭环:全链条严密管控 (2) 規制のクローズドループ:チェーン全体の厳格な管理
《标识标准》构建的全方位监管体系是保障人工智能安全的重要防线,通过多环节协同实现全链条闭环管理。一是在事前审核环节,互联网应用程序分发平台需在上架审核时核验标识相关材料,从源头阻断未标识内容的传播,将风险遏制在萌芽状态。二是在事中监测环节,依靠隐式标识的元数据标签,监管部门可实时追踪内容传播路径,快速定位违规主体,及时发现并处理问题,确保监管的及时有效性。三是事后追责环节,对恶意篡改标识或伪造内容的行为绝不姑息,可依据有关法规进行处罚。 標準」によって確立された包括的な監督管理システムは、人工知能の安全を確保するための重要な防衛ラインであり、複数のリンクの連携により、チェーン全体のクローズドループ管理が実現される。まず、事前審査の段階では、インターネットアプリケーション配信プラットフォームが棚卸しの審査中に識別関連資料を検証し、無標識コンテンツの拡散をソースからブロックし、リスクを未然に防ぐ必要がある。 第二に、監視プロセスにおいて、暗示的表示のメタデータタグに頼り、監督管理当局はコンテンツの伝播経路をリアルタイムで追跡し、問題のある主体を迅速に特定し、問題を迅速に識別して処理することで、監督の適時性と有効性を確保することができる。第三に、事後責任プロセスにおいて、表示の悪意ある改ざんやコンテンツの偽造は許されず、関連規定に従って罰則を科すことができる。
(三)依法实施:发挥强制效力 (3) 法律に基づく実施:強制力の行使
《中华人民共和国标准化法》规定不符合强制性标准的产品、服务,不得生产、销售、进口或者提供。同时,规定了生产、销售、进口产品或者提供服务不符合强制性标准的,依法承担民事责任。这种“法律+标准”的组合拳,体现了内容标识治理的强制效力。 中華人民共和国標準化法では、強制標準に適合しない製品やサービスは生産、販売、輸入、提供してはならないと規定している。また、強制標準に適合しない製品を生産、販売、輸入したり、サービスを提供したりした者は、法律に基づき民事責任を負わなければならないとも規定している。この「法律+標準」の組み合わせは、コンテンツ識別管理の強制力を反映している。
三、技术规范:构建标识体系,推动安全升级 3. 技術仕様:安全向上を促す識別システムの構築
《标识标准》从显式标识的用户感知和隐式标识的技术追溯两个维度,构建了多层次、立体化的内容标识技术体系,既保障了用户知情权,又为监管溯源提供了支撑。 標準は、明示的表示に対するユーザーの認知と、暗示的表示の技術的追跡可能性という2つの次元から、多層的かつ3次元的なコンテンツ表示技術システムを構築している。これにより、ユーザーの知る権利が保護されるだけでなく、規制の追跡可能性も確保される。
(一)显式标识:优化用户体验平衡   (1) 明示的表示:ユーザー体験の最適化とバランス
作为内容标识体系的前端防线,显式标识通过直观可见的信息呈现,既保障用户知情权,又维护了内容可信度。 コンテンツ表示システムの最前線として、明示的表示は、直感的かつ視覚的な情報の提示を通じて、ユーザーの知る権利を保護し、コンテンツの信頼性を維持する。
一是要素统一性要求,显式标识必须包含“人工智能”“生成”“合成”等核心要素,确保用户一眼识别内容属性,减少信息误解与混淆。二是形态多样性要求,针对不同内容模态,《标识标准》设计了文本角标、音频节奏标识、交互界面水印等。例如,视频内容可在画面角落添加“AI生成”提示,音频内容可通过特定节奏提示用户,满足不同场景下的标识需求。三是干扰最小化考虑,标识位置和形式兼顾了提示效果与用户体验,例如允许在背景添加半透明水印,而非强制覆盖主要内容区域,在保障用户获取信息的同时,不影响其正常使用内容。 第一に、要素の統一性の要件とは、明示的表示には「人工知能」、「生成」、「合成」などの主要な要素を含める必要があることを意味し、これによりユーザーは一目でコンテンツの属性を識別でき、誤解や混乱を減らすことができる。第二に、形態的多様性の要件とは、「標準」がテキストコーナーマーク、オーディオリズムマーク、インタラクティブインターフェース透かしなどを異なるコンテンツ形態向けに設計することを意味する。例えば、ビデオコンテンツは「AI生成」というプロンプトを画面の隅に追加でき、オーディオコンテンツは特定のリズムでユーザーにプロンプトを表示し、異なるシナリオでのマーキングニーズに対応できる。 第三に、干渉を最小限に抑えるための考慮事項:表示の位置や形式は、表示効果とユーザー体験の両方を考慮して決定される。例えば、コンテンツの主要エリアを無理に覆い隠すのではなく、半透明の透かしを背景に追加することは許容される。これにより、ユーザーはコンテンツを通常通り利用しながら情報を取得できる。
(二)隐式标识:强化数据安全标准 (2) 暗示的表示:データセキュリティ標準の強化
隐式标识的规范重点在于强化元数据管理与安全防护,为内容追溯与安全保障奠定基础。一是在元数据字段规范上,隐式标识需包含生成合成标签要素、生成合成服务提供者要素、内容制作编号要素等五个核心要素,确保跨平台数据互通,实现信息的高效传递与共享。二是在安全防护预留方面,《标识标准》在元数据中预留两个字段,分别用于生成合成服务提供者和内容传播服务提供者自主开展安全防护,保护其内容和标识的完整性,抵御潜在的安全威胁。三是在技术兼容性上,鼓励添加数字水印作为补充标识,兼容现有技术生态。 暗示的表示の仕様は、メタデータ管理とセキュリティ保護の強化に重点を置いており、コンテンツの追跡可能性とセキュリティ保証の基盤を築く。まず、メタデータフィールドの仕様に関して、暗示的表示には、合成ラベル生成要素、合成サービスプロバイダー生成要素、コンテンツ制作番号生成要素という5つのコア要素が含まれており、クロスプラットフォームのデータ相互運用性を確保し、効率的な情報伝達と共有を実現する。 第二に、セキュリティ保護の観点では、標準はメタデータに2つのフィールドを確保し、合成サービスプロバイダーとコンテンツ配信サービスプロバイダーが独自にセキュリティ保護を行い、コンテンツと識別の完全性を保護し、潜在的なセキュリティ上の脅威から防御できるようにしている。第三に、技術的な互換性の観点では、既存の技術エコシステムとの互換性を確保するために、電子透かしを補足的な識別情報として追加することが推奨されている。
(三)技术引领:推动创新应用升级 (3) 技術的リーダーシップ:革新的なアプリケーションのアップグレードを促進
《标识标准》在技术领域不仅起到规范作用,更通过积极引导推动标识技术从合规迈向创新,提升行业技术水平。它不仅规范了技术底线,还通过附录中的示例(如在交互场景界面适当位置嵌入显示标识),引导企业探索更友好的标识形式。这种“标准引领+实践示范”的模式,激发企业创新思维,将标识技术从被动合规工具转变为提升用户信任的核心竞争力,助力行业技术升级与发展。  综上所述,《标识办法》《标识标准》的发布,标志着我国在人工智能安全治理领域迈出了重要的一步。通过“技管结合”的人工智能安全治理的新范式,实现了管理要求与技术标准的有机结合,从明确各主体责任、强化监管力度到规范标识要求,全方位构建起严密的内容标识治理体系,有效应对生成式人工智能带来的安全挑战,保障网络空间内容生态的稳定发展。 標準は技術分野における規制的な役割を果たすだけでなく、識別技術を積極的に指導し、推進することで、コンプライアンスからイノベーションへと移行させ、業界の技術レベルを向上させる。技術的な最低ラインを規制するだけでなく、付録の例(例えば、インタラクティブなシーンインターフェースの適切な位置に表示識別を埋め込むなど)を通じて、企業がよりユーザーフレンドリーな識別形式を模索するよう導く。この「標準による指導+実例による実証」というモデルは、企業の革新的な思考を刺激し、識別技術を受動的なコンプライアンスツールからユーザーの信頼を高めるコアコンピタンスへと転換させ、業界技術のアップグレードと発展を促進する。  まとめると、「弁法」と「標準」の公布は、中国がAI安全ガバナンスの分野において重要な一歩を踏み出したことを意味する。「技術と管理の融合」によるAI安全ガバナンスの新たなパラダイムは、管理要求と技術標準の有機的な統合を実現した。各主体の責任の明確化、監督の強化、ラベル付け要件の標準化など、あらゆる側面において厳格な内容のラベル付けガバナンスシステムが確立され、生成的AIがもたらすセキュリティ上の課題に効果的に対応し、サイバー空間におけるコンテンツ生態系の安定した発展を確保する。
(作者:范科峰,中国电子技术标准化研究院副院长) (著者:中国電子標準化研究院副院長 範克峰)

 

 

・2025.03.15 专家解读|深化生成合成内容标识治理,完善人工智能技术安全体系

专家解读|深化生成合成内容标识治理,完善人工智能技术安全体系 専門家解説:生成型合成コンテンツのラベル付けの管理を強化し、人工知能技術の安全性を向上させる
人工智能技术掀起的浪潮方兴未艾,新技术给人类带来了前所未有的生产力和体验的提升。我国重点关注人工智能领域,迄今已备案生成式人工智能产品300余款,生成合成服务3000余个,有力推动了人工智能行业的快速发展。与此同时,人工智能技术带来的虚假信息、技术滥用风险逐渐显露,给网络生态安全带来了新的风险挑战,各国陆续推出或完善法案加以应对。《人工智能生成合成内容标识办法》(以下简称《标识办法》)及其配套国家强制性标准《网络安全技术 人工智能生成合成内容标识方法》(以下简称《标识标准》),是对我国人工智能算法治理体系的进一步完善。《标识办法》是对《互联网信息服务算法推荐管理规定》、《互联网信息服务深度合成管理规定》、《生成式人工智能服务管理暂行办法》的继承和延伸,从人工智能技术特性出发,在生成合成标识这一人工智能安全治理关键上提出了针对性的管理思路,将成为我国建立健全人工智能新技术安全体系的重要推动力。《标识标准》作为《标识办法》的补充,明确了生成合成内容标识应当遵循的技术方法,为产业落地提供了参考依据。 人工知能技術が引き起こした波は始まったばかりであり、新技術は人類に前例のない生産性と体験の向上をもたらした。中国は人工知能分野に重点的に取り組み、これまでに生成的AI製品300件以上、生成的合成サービス3000件以上を申請しており、人工知能産業の急速な発展を効果的に促進している。 同時に、人工知能技術がもたらす偽情報のリスクや技術悪用のリスクが徐々に顕在化し、オンライン生態の安全に新たなリスクと課題をもたらしている。各国は相次いで関連法規を制定または改善し、それらに対処している。「人工知能生成合成コンテンツ識別弁法」(以下、「識別弁法」という)と、それを補完する国家強制標準「ネットワークセキュリティ技術-人工知能生成合成コンテンツ識別方法」(以下、「識別標準」という)は、中国の人工知能アルゴリズムのガバナンスシステムのさらなる改善である。 この「マーク付け弁法」は、「インターネット情報サービスにおけるアルゴリズム推奨に関する管理規定」、「インターネット情報サービスにおけるディープ・シンセシスに関する管理規定」、および「生成的AIサービス管理に関する暫定措置」の継続と拡張である。人工知能の技術的特性から出発し、生成およびシンセシス・マーク付けの観点から、人工知能の安全なガバナンスの鍵となる部分について、的を絞った管理の考え方を打ち出している。これは、中国が新しい人工知能技術の安全なシステムを確立し改善するための重要な推進力となる。「マーク付け弁法」の補足として、「マーク付け標準」は、生成およびシンセシス・コンテンツのマーク付けが遵守すべき技術的方法を明確にし、業界が実施するための参照基準を提供している。
一、衔接技术安全法规,扩展治理覆盖范畴 1. 技術的安全規制のリンクと管理範囲の拡大
《互联网信息服务算法推荐管理规定》等规章对生成合成类算法的标识做出了明确要求。《互联网信息服务算法推荐管理规定》中要求“发现未作显著标识的算法生成合成信息的,应当作出显著标识后,方可继续传输”。《互联网信息服务深度合成管理规定》在此基础上,进一步对标识的种类进行细分,要求“可能导致公众混淆或者误认的,应当在生成或者编辑的信息内容的合理位置、区域进行显著标识”,同时要求“深度合成服务提供者对使用其服务生成或者编辑的信息内容,应当采取技术措施添加不影响用户使用的标识”。《生成式人工智能服务管理暂行办法》中要求“提供者应当按照《互联网信息服务深度合成管理规定》对图片、视频等生成内容进行标识”。 インターネット情報サービス推奨アルゴリズム管理規定』などの規定では、生成合成アルゴリズムの識別を明確に要求している。インターネット情報サービス推奨アルゴリズム管理規定』では、「明確なマークのないアルゴリズムによる生成合成情報が発見された場合、送信を継続する前に明確なマークを付けるべきである」と規定している。 インターネット情報サービスの詳細な統合に関する管理規定は、この基準に基づいて識別方法をさらに細分化し、「一般の人々を混乱させたり誤認させたりする可能性のある情報は、生成または編集された情報コンテンツの適切な位置または領域に目立つように表示しなければならない」と規定している。また、「詳細な統合サービスを提供する事業者は、そのサービスを利用して生成または編集された情報コンテンツに、ユーザー体験に影響を与えない識別情報を追加する技術的措置を講じなければならない」とも規定している。生成的AIサービス管理弁法は、「事業者は、インターネット情報サービスの詳細な統合に関する管理規定に従って、画像や動画などの生成コンテンツにマークを付ける」ことを義務付けている。
《标识办法》重点关注人工智能生成合成内容传播环节的安全治理,有效衔接已有的备案评估、风险防范等管理措施,逐步完善面向人工智能全生命流程管理的新技术安全体系:一是明确了文本、图像、音频、视频等多模态的标识要求,将安全治理深入到内容模态层面;二是创新性地将传播平台纳入监管范畴,实现从生成到传播的全链条治理;三是明确了隐式标识的技术实现方式,通过元数据标识为安全追溯提供了可靠保障。 「表示弁法」は、AI生成合成コンテンツの伝播に関するセキュリティガバナンスに焦点を当て、記録のファイリングやアセスメント、リスク防止などの既存の管理措置と効果的に結びつけ、AIのライフサイクル全体を管理する新しい技術的セキュリティシステムを徐々に改善している。まず、テキスト、画像、音声、動画などの複数のモダリティに対する表示要件を明確にし、セキュリティガバナンスをコンテンツのモダリティレベルにまで拡大している。次に、革新的にコミュニケーションプラットフォームを監督の範囲に含め、生成から伝播までの完全なチェーンガバナンスを実現している。そして、暗示的表示の技術的実装を明確にしている。 メタデータ識別による安全性の追跡可能性に信頼性の高い保証を提供する。
二、适应生成合成特性,提炼务实科学方法 2. 生成と合成の特性に適応し、実用的かつ科学的な方法を洗練
人工智能生成合成技术发展已覆盖各个模态,生成合成内容渗透至互联网领域信息传播的各个环节,如何在当前互联网络环境下精准高效地对生成合成内容进行标识成为关键核心问题。要解决这一问题,一方面需要管理措施及方法落实得当,有效督促人工智能生成合成服务提供者及传播平台落实企业责任;另一方面,人工智能生成合成内容标识方法要符合技术发展规律,体现技术管理手段的科学性、可用性及高效性。 人工知能による生成と合成技術の発展は、さまざまな形態をカバーしており、生成および合成されたコンテンツは、インターネット上の情報発信のあらゆる側面に浸透している。現在のインターネット環境において、生成および合成されたコンテンツを正確かつ効率的にラベル付けする方法が、重要な課題となっている。 この問題を解決するには、一方では、人工知能生成合成サービスプロバイダーやコミュニケーションプラットフォームが企業責任を果たすよう、適切な管理措置や方法を導入する必要がある。他方では、人工知能生成合成コンテンツのラベル付け方法は、技術発展の法則に準拠し、技術管理方法の科学的、実用的、効率的な性質を反映しなければならない。
为促进《标识办法》的实施落地,《标识标准》中对照《标识办法》内容,对标识的方式方法进行了技术性阐述,对重点环节及关键要素进行了精细提炼,以科学性、技术性视角对管理要求进行更为落地的细化:一是《标识标准》中明确了每个模态生成合成内容显式标识的位置、样式、区域和大小的要求,同时结合各模态的特点,如针对视频模态,要求“在视频起始画面和视频播放周边的适当位置”,针对音频模态,要求“应采用语音标识或音频节奏标识”,在企业责任落实的同时减少对于用户浏览相关内容的干扰;二是明确了元数据隐式标识的字段要素,在尽量不影响元数据处理和传输的前提下,嵌入必要字段,记录生成合成内容的关键信息和关键环节,为互联网生成合成内容的可追溯性提供保障;三是提供了丰富的标识示例,给出了多个模态规范性标识方法,便于人工智能生成合成服务提供者及传播平台技术人员进行标识的技术实践落地,充分体现了《标识标准》的科学性。在《标识标准》的指引下,积极探索切实可行的标识实施路径,逐步构建支撑生成合成内容有序传播与安全治理的技术能力,不断丰富人工智能技术管理体系。 ラベル付け措置の実施を促進するため、「標準」はラベル付け方法とアプローチについて技術的な説明を行い、主要なリンクと要素を精査し、科学的かつ 科学的かつ技術的な観点から、管理要件はより現実的な方法で明確化されている。まず、「標準」では、統合コンテンツの明示的表示を生成するための各モーダルの位置、スタイル、面積、サイズの要件が明確に規定されている。同時に、各モーダルの特性も考慮されている。例えば、動画モーダルでは、「動画の開始画面の適切な位置および動画再生の周囲」に表示することが求められ、音声モーダルでは、「音声マークまたは音声リズムマークを使用する」ことが求められる。 第一に、企業の責任を果たしながら、関連コンテンツを閲覧するユーザーへの干渉を低減すること、第二に、メタデータの暗示的表示のためのフィールド要素を明確にし、メタデータの処理と伝送にできるだけ影響を与えないように、合成コンテンツの生成に必要な主要情報と主要リンクを記録するための必要なフィールドを埋め込み、インターネットで生成された合成コンテンツの追跡可能性を保証すること、第三に、豊富なマーキング例を提供し、複数のモダリティに対して規範的なマーキング方法を提示することで、人工知能による合成サービスを提供するプロバイダーや通信プラットフォームの技術担当者がマーキングを技術的に実装しやすくし、標準の科学的性質を十分に反映することである。 標準」の指導の下、我々は積極的に実用的な標識の実施方法を模索し、生成された合成コンテンツの秩序ある普及と安全なガバナンスを支える技術能力を徐々に構築し、人工知能技術の管理システムを絶えず充実させていく。
三、体现柔性管理思路,筑牢安全应用基础 3. 柔軟な管理アプローチを反映し、安全な応用のための強固な基盤を築く
《标识办法》的制定和出台,是我国推进人工智能领域安全治理、促进产业规范健康发展、引导技术向善的重要举措。《标识办法》充分彰显了监管理念的与时俱进,从传统的严格监管转向更加灵活的引导与规范,既尊重了技术创新的内在规律,又体现对潜在风险的有效防范。通过清晰、透明的内容标识,用户能够清楚识别人工智能生成的内容,一方面提高了信息透明度,增强了用户的知情权和选择权,另一方面也有助于培养公众对人工智能技术的理性认知,防止因误解或过度依赖人工智能而产生的负面影响。对于人工智能生成合成服务提供者及传播平台,内容标识制度既是责任,更是机遇,在鼓励企业追求技术能力提升的同时,推动企业提升对产品社会影响的关注度,主动承担起人工智能负责任发展的重任,这不仅有利于赢得用户信任,也能推动整个行业向更加规范、健康的方向发展。从长远来看,标识管理为构建人工智能治理体系提供了重要抓手,指引了未来人工智能安全治理的思路,也为后续更精细化、智能化的管理奠定了基础,有助于在保护创新活力与维护公共利益之间找到平衡点。 「標識弁法」の制定と公布は、中国が人工知能分野における安全なガバナンスを推進し、産業規範の健全な発展を促進し、技術を善導するための重要な措置である。 「識別弁法」は、時代に即した規制の概念を十分に示しており、従来の厳格な監督からより柔軟な指導・規制へと転換するもので、技術革新の固有の法則を尊重するだけでなく、潜在的なリスクの有効な予防にもつながる。明確かつ透明性の高いコンテンツのラベル付けにより、ユーザーは人工知能によって生成されたコンテンツを明確に識別でき、これにより、情報の透明性が向上し、ユーザーの知る権利と選択の権利が強化される。また、人工知能技術に対する国民の理性的な理解を促し、人工知能に対する誤解や過信による悪影響を防ぐことにもつながる。 AIが生成した総合サービスやコミュニケーションプラットフォームを提供する側にとって、コンテンツ識別システムは責任であると同時にチャンスでもある。企業の技術能力の向上を促す一方で、自社製品が社会に与える影響への注意を促し、責任あるAI開発という重要な任務を積極的に担うよう促す。これにより、ユーザーの信頼を獲得できるだけでなく、業界全体の健全な発展を促すことができる。 長期的には、ラベリング管理はAIガバナンスシステムの構築における重要な出発点となり、AIの安全ガバナンスに関する今後の思考を導き、将来的により洗練されたインテリジェントな管理の基礎を築く。イノベーションの活力を保護し、公益を守るというバランスを見出すのに役立つ。
《标识办法》为国际人工智能治理贡献了中国方案,展现了我国在全球人工智能发展中的责任与担当。《标识办法》既是对当前人工智能快速发展趋势的积极回应,也是对未来人工智能应用场景的安全保障。它通过构建信任、明确责任、保护权益等多重机制,体现了我国“以人为本、智能向善”的积极理念,为打造可审核、可监督、可追溯、可信赖的人工智能技术铺设了一条安全、可信、可持续的道路,助力技术创新与社会价值和谐共生,促进人工智能技术和数字经济的蓬勃发展。 ラベリング弁法は、国際的なAIガバナンスに対する中国のソリューションを提供し、グローバルなAIの発展における中国の責任とコミットメントを示す。ラベリング弁法は、現在のAIの急速な発展傾向に対する積極的な対応であると同時に、将来のAIの応用シナリオの安全性を確保するものである。 信頼、明確な責任、権利と利益の保護など、複数のメカニズムを構築することで、「人間中心、インテリジェント、博愛」という中国の積極的な理念を体現している。 監査可能、監視可能、追跡可能で信頼性の高い人工知能技術の創造に向け、安全で信頼性が高く持続可能な道筋を切り開き、技術革新と社会価値の調和のとれた共存を促進し、人工知能技術とデジタル経済の力強い発展を推進する。
(作者:张震,国家计算机网络应急技术处理协调中心正高级工程师) (著者:国家コンピュータネットワーク緊急対応技術チーム/調整センター上級エンジニア、張振)

 

 

・2025.03.15 一图读懂|强制性国家标准《网络安全技术 人工智能生成合成内容标识方法》

一图读懂|强制性国家标准《网络安全技术 人工智能生成合成内容标识方法》 1枚の図で理解する|国家強制標準「ネットワークセキュリティ技術:人工知能生成合成コンテンツのマーキング方法」

20250316-61319

 


 

 

標準

・2025.03.14 网络安全技术 人工智能生成合成内容标识方法

网络安全技术 人工智能生成合成内容标识方法 ネットワークセキュリティ技術 - 人工知能生成の合成コンテンツ識別方法
国家标准《网络安全技术 人工智能生成合成内容标识方法》 由252(中央网络安全和信息化委员会办公室)归口,委托TC260(全国网络安全标准化技术委员会)执行 。 国家標準「ネットワークセキュリティ技術 - 人工知能生成の合成コンテンツ識別方法」は、252(中央サイバーセキュリティ委員会事務局)が管理し、TC260(ネットワークセキュリティに関する国家技術委員会260)に実施を委託している。
主要起草单位 中国电子技术标准化研究院 、浙江大学 、国家计算机网络应急技术处理协调中心 、中国科学院软件研究所 、中央网信办(国家网信办)数据与技术保障中心 、中国科学院计算技术研究所 、行吟信息科技(上海)有限公司 、北京快手科技有限公司 、阿里云计算有限公司 、北京智谱华章科技有限公司 、厦门美图网科技有限公司 、科大讯飞股份有限公司 、上海稀宇科技有限公司 、上海喜马拉雅科技有限公司 、上海宽娱数码科技有限公司 、广州市动悦信息技术有限公司 、北京智者天下科技有限公司 、杭州中科睿鉴科技有限公司 、国投智能(厦门)信息股份有限公司 。 主な起草機関:中国電子標準化研究所、浙江大学、中国国家コンピュータネットワーク緊急対応技術チーム/調整センター、中国科学院ソフトウェア研究所、中国国家サイバー空間管理局データ・技術サポートセンター、中国科学院計算技術研究所、興銀信息技術(上海)有限公司、北京快手科技有限公司、阿里巴巴雲計算有限公司、北京智脈樺創科技有限公司、アモイ美図網絡科技有限公司、科大訊飛股份有限公司、上海西域科技有限公司、 上海喜馬拉雅科技有限公司、上海冠宇デジタル科技有限公司、広州東曄信息科技有限公司、北京智哲天下科技有限公司、杭州ZK研究技術有限公司、中国国新国際集団情報(アモイ)有限公司
GB 45438-2025 网络安全技术 人工智能生成合成内容标识方法 GB 45438-2025 ネットワークセキュリティ技術:人工知能生成の合成コンテンツ識別方法

標準は近日中に公表されるようです。

。。


 

ガイド

・2025.03.14 关于发布《网络安全标准实践指南——人工智能生成合成内容标识 服务提供者编码规则》的通知

关于发布《网络安全标准实践指南——人工智能生成合成内容标识 服务提供者编码规则》的通知 「サイバーセキュリティ標準実施ガイド - 人工知能生成合成コンテンツ識別サービスプロバイダーのコーディング規則」のリリースに関する通知      
网安秘字〔2025〕29号 サイバーセキュリティ秘密の言葉[2025]第29号      
各有关单位: 関連部門:      
根据《人工智能生成合成内容标识办法》和强制性国家标准《网络安全技术 人工智能生成合成内容标识方法》的要求,为指导人工智能生成合成内容服务提供者和网络信息内容传播服务提供者开展人工智能生成合成内容的文件元数据隐式标识工作,秘书处组织编制了《网络安全标准实践指南——人工智能生成合成内容标识 服务提供者编码规则》。 「人工知能生成合成コンテンツ識別弁法」および強制性国家標準「ネットワークセキュリティ技術-人工知能生成合成コンテンツ識別方法」に基づき、人工知能生成合成コンテンツサービス提供者およびオンライン情報コンテンツ発信サービス提供者が、人工知能生成合成コンテンツの文書メタデータの暗示的表示を行う際の指針として、事務局は「ネットワークセキュリティ標準実施ガイド-人工知能生成合成コンテンツ識別サービス提供者向けコーディング規則」をまとめた。      
本《实践指南》给出了人工智能生成合成内容服务提供者和网络信息内容传播服务提供者的编码结构和赋码规则,可为人工智能生成合成内容服务提供者和网络信息内容传播服务提供者开展人工智能生成合成内容的文件元数据隐式标识活动提供参考。 本実践ガイドは、AI生成の合成コンテンツおよびオンライン情報コンテンツ配信サービス事業者向けのコーディング構造およびコーディング規則を規定しており、AI生成の合成コンテンツのファイルメタデータの暗示的表示に関する活動において、AI生成の合成コンテンツおよびオンライン情報コンテンツ配信サービス事業者が参考にすることができる。      
附件: 添付資料:      
《网络安全标准实践指南——人工智能生成合成内容标识  服务提供者编码规则》.pdf 「サイバーセキュリティ標準実践ガイド - AI生成の合成コンテンツ識別サービス事業者のためのコーディング規則」.pdf      

20250316-62452

・[DOCX][PDF] 仮訳

 

 

 

 


 

⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

 

ドラフト...

・2024.09.23 中国 「人工知能生成の合成コンテンツ識別に関する措置(意見募集稿)」と国家標準 「人工知能が生成したコンテンツのラベル付け方法」に対する意見募集

 

・2023.09.11 中国 生成的AIについての専門家の解釈 (2023.08.29)

・2023.07.14 中国 国家サイバースペース管理局他 生成的AIサービス管理暫定弁法 施行は2023.08.15

・2023.04.12 中国 意見募集 生成的人工知能サービス管理弁法

・2023.01.18 中国 サイバー法制白書 2022 (2023.01.12)

・2022.12.23 中国 インターネット情報サービス深層合成管理規定についての専門家のコメント... (2022.12.12)

・2022.12.17 中国 インターネット情報サービス深層合成管理規定 (深層合成で作ったものにはマークを...)(2022.11.25)

・2022.01.30 中国 国家サイバースペース管理局 意見募集 インターネット情報サービスの深層合成の管理に関する規定(意見募集稿)

 

 

| | Comments (0)

米国 ロシアとイスラエルの二重国籍者、LockBitランサムウェアの共謀に関与したとして米国に引き渡される (2025.03.13)

こんにちは、丸山満彦です。

米国の司法省が、ロシアとイスラエルの二重国籍者が、LockBitランサムウェア共謀容疑により米国に引き渡されたと発表していますね。。。



⚫︎ U.S. Department of Justice - Attorney's office - District of New Jersey

・2025.03.13 Dual Russian And Israeli National Extradited To The United States For His Role In The LockBit Ransomware Conspiracy

 

1_20250315174901

 

Dual Russian And Israeli National Extradited To The United States For His Role In The LockBit Ransomware Conspiracy ロシアとイスラエルの二重国籍者、LockBitランサムウェアの共謀に関与したとして米国に送還
NEWARK, N.J. – A dual Russian and Israeli national was extradited to the United States on charges that he was a developer of the LockBit ransomware group, United States Attorney John Giordano announced. ニュージャージー州ニューアーク - ロシアとイスラエルの二重国籍者が、LockBitランサムウェア・グループの開発者であったという容疑で米国に送還されたと、ジョン・ジョルダーノ米国検事が発表した。
In August, Rostislav Panev, 51, was arrested in Israel pursuant to a U.S. provisional arrest request.  Today, Panev was extradited to the United States and had an initial appearance before U.S. Magistrate Judge André M. Espinosa where Panev was detained pending trial. 8月、ロスティスラフ・パネフ(51)は、米国の仮逮捕要請に従ってイスラエルで逮捕された。 本日、パネブは米国に送還され、アンドレ・M・エスピノーサ連邦判事の面前で初公判が開かれ、パネブは裁判が開かれるまで拘留された。
“Rostislav Panev’s extradition to the District of New Jersey makes it clear: if you are a member of the LockBit ransomware conspiracy, the United States will find you and bring you to justice,” said United States Attorney John Giordano. “Even as the means and methods of cybercriminals become more sophisticated, my Office and our FBI, Criminal Division, and international law enforcement partners are more committed than ever to prosecuting these criminals.” ジョン・ジョルダーノ米国弁護士は次のように述べた。 「ロスティスラフ・パネフのニュージャージー州への身柄引き渡しは、次のことを明確にしている:もしあなたがロックビット・ランサムウェアの陰謀のメンバーであれば、米国はあなたを見つけ出し、裁判にかける。サイバー犯罪者の手段や手法がより洗練されたとしても、私のオフィスとFBI、ディビジョン、そして国際的な法執行機関のパートナーは、これらの犯罪者を起訴することにこれまで以上に力を注いでいる。」
"No one is safe from ransomware attacks, from individuals to institutions. Along with our international partners, the FBI continues to leave no stone unturned when it comes to following LockBit's trail of destruction. We will continue to work tirelessly to prevent actors, such as Panev, from hacking their way to financial gain," said Acting Special Agent in Charge of the FBI Newark Division Terence G. Reilly. FBIニューアーク支部のテレンス・G・ライリー特別捜査官代理は次の様に述べた。 「個人から機構に至るまで、ランサムウェア攻撃から安全な人はいない。私たちの国際的なパートナーとともに、FBIはロックビットの破壊の痕跡を追うことに関して、手をこまねいているわけではない。我々は、パネブのような行為者が金銭的利益を得るためにハッキングするのを阻止するため、不断の努力を続ける」。
According to the superseding complaint, documents filed in this and related cases, and statements made in court, Panev acted as a developer of the LockBit ransomware group from its inception in or around 2019 through at least February 2024. During that time, Panev and his LockBit coconspirators grew LockBit into what was, at times, the most active and destructive ransomware group in the world. The LockBit group attacked more than 2,500 victims in at least 120 countries around the world, including 1,800 in the United States. Their victims ranged from individuals and small businesses to multinational corporations, including hospitals, schools, nonprofit organizations, critical infrastructure, and government and law-enforcement agencies. LockBit’s members extracted at least $500 million in ransom payments from their victims and caused billions of dollars in other losses, including lost revenue and costs from incident response and recovery. 上申書、この事件と関連する事件で提出された文書、および法廷での供述によると、パネブは2019年ごろから少なくとも2024年2月まで、ランサムウェア「LockBit」グループの開発者として活動していた。その間、パネブとLockBitの共謀者たちはLockBitを、時に世界で最も活発で破壊的なランサムウェア・グループへと成長させた。LockBitグループは、米国の1,800人を含む少なくとも世界120カ国で2,500人以上の被害者を攻撃した。その被害者は、病院、学校、非営利組織、重要インフラ、政府・法執行機関など、個人や中小企業から多国籍企業まで多岐にわたった。ロックビットのメンバーは、被害者から少なくとも5億ドルの身代金支払いを抽出し、収益の損失やインシデント対応と復旧にかかるコストなど、その他に数十億ドルの損失をもたらした。
LockBit’s members were comprised of “developers,” like Panev, who designed the LockBit malware code and maintained the infrastructure on which LockBit operated. LockBit’s other members, called “affiliates,” carried out LockBit attacks and extorted ransom payments from LockBit victims. LockBit’s developers and affiliates would then split the ransom payments which were extorted from victims. LockBitのメンバーは、パネブのような「開発者」で構成されており、LockBitのマルウェア・コードを設計し、LockBitが稼働するインフラを維持していた。LockBitの他のメンバーは「アフィリエイト」と呼ばれ、LockBitの攻撃を実行し、LockBitの被害者から身代金の支払いを強要した。そしてロックビットの開発者と関連会社は、被害者から強要された身代金の支払いを山分けしていた。
As alleged in the superseding complaint, at the time of Panev’s arrest in Israel in August, law enforcement discovered on Panev’s computer administrator credentials for an online repository that was hosted on the dark web and stored source code for multiple versions of the LockBit builder, which allowed LockBit’s affiliates to generate custom builds of the LockBit ransomware malware for particular victims. On that repository, law enforcement also discovered source code for LockBit’s StealBit tool, which helped LockBit affiliates exfiltrate data stolen through LockBit attacks. Law enforcement also discovered access credentials for the LockBit control panel, an online dashboard maintained by LockBit developers for LockBit’s affiliates and hosted by those developers on the dark web. 上申書で主張されているように、8月にイスラエルでパネフが逮捕された時点で、法執行機関はパネフのコンピューターから、ダークウェブ上でホストされ、LockBitビルダーの複数のバージョンのソースコードを保存しているオンラインリポジトリの管理者認証情報を発見した。法執行機関は、そのリポジトリで、LockBitの関連会社がLockBitの攻撃で盗んだデータを流出させるのに役立つ、LockBitのStealBitツールのソースコードも発見した。法執行機関はまた、LockBitの開発者がLockBitの関連会社のために管理し、それらの開発者がダークウェブ上でホストしているオンラインダッシュボードであるLockBitコントロールパネルのアクセス管理情報も発見した。
The superseding complaint also alleges that Panev exchanged direct messages through a cybercriminal forum with LockBit’s primary administrator, who, in an indictment unsealed in the District of New Jersey in May, the United States alleged to be Dimitry Yuryevich Khoroshev (Дмитрий Юрьевич Хорошев), also known as LockBitSupp, LockBit, and putinkrab. In those messages, Panev and the LockBit primary administrator discussed work that needed to be done on the LockBit builder and control panel. パネブは、5月にニュージャージー州で公開された起訴状で米国がLockBitSupp、LockBit、putinkrabとしても知られるDimitry Yuryevich Khoroshev(Дмитрий Юрьевич Хорошев)と主張したLockBitの主要管理者と、サイバー犯罪フォーラムを通じて直接メッセージを交換したとも主張している。これらのメッセージの中で、パネブとロックビットの主要管理者は、ロックビット・ビルダーとコントロール・パネルで行う必要がある作業について話し合った。
Court documents further indicate that, between June 2022 and February 2024, the primary LockBit administrator made a series of transfers of cryptocurrency, laundered through one or more illicit cryptocurrency mixing services, of approximately $10,000 per month to a cryptocurrency wallet owned by Panev. Those transfers amounted to over $230,000 during that period. さらに法廷文書によると、2022年6月から2024年2月にかけて、LockBitの主要管理者は、1つまたは複数の不正な暗号通貨混合サービスを通じて洗浄された暗号通貨を、パネブが所有する暗号通貨ウォレットに毎月約1万ドルずつ送金していた。これらの送金は、その期間中に23万ドル以上に達した。
In interviews with Israeli authorities following his arrest in August, Panev admitted to having performed coding, development, and consulting work for the LockBit group and to having received regular payments in cryptocurrency for that work, consistent with the transfers identified by U.S. authorities. Among the work that Panev admitted to having completed for the LockBit group was the development of code to disable antivirus software; to deploy malware to multiple computers connected to a victim network; and to print the LockBit ransom note to all printers connected to a victim network. Panev also admitted to having written and maintained LockBit malware code and to having provided technical guidance to the LockBit group. 8月に逮捕された後のイスラエル当局との面談で、パネブはロックビット・グループのためにコーディング、開発、コンサルティング業務を行っていたこと、その業務に対して暗号通貨で定期的に支払いを受けていたことを認めており、米国当局が特定した送金と一致している。パネブがロックビット・グループのために完了させたと認めた仕事の中には、アンチウイルス・ソフトウェアを無効にするコードの開発、被害者ネットワークに接続された複数のコンピューターへのマルウェア展開、被害者ネットワークに接続されたすべてのプリンターへのロックビット身代金請求書の印刷などがあった。パネブはまた、LockBitマルウェアのコードを書き、保守していたこと、LockBitグループに技術指導を行なっていたことも認めた。
The LockBit Investigation ロックビットの捜査
The superseding complaint against, and apprehension of, Panev follows a disruption of LockBit ransomware in February 2024 by the U.K. National Crime Agency (NCA)’s Cyber Division, which worked in cooperation with the Justice Department, FBI, and other international law enforcement partners. As previously announced by the Department, authorities disrupted LockBit by seizing numerous public-facing websites used by LockBit to connect to the organization’s infrastructure and by seizing control of servers used by LockBit administrators, thereby disrupting the ability of LockBit actors to attack and encrypt networks and extort victims by threatening to publish stolen data. That disruption succeeded in greatly diminishing LockBit’s reputation and its ability to attack further victims, as alleged by documents filed in this case. パネフに対する上申書と逮捕は、司法省、FBI、その他の国際的な法執行パートナーと協力した英国国家犯罪局(NCA)のサイバー部門による2024年2月のロックビット(LockBit)ランサムウェアの混乱に続くものである。同省が以前に発表したように、認可者は、LockBitが組織のインフラに接続するために使用していた多数の一般向けウェブサイトを押収し、LockBitの管理者が使用していたサーバーを掌握することで、LockBitの行為者がネットワークを攻撃して暗号化し、盗んだデータを公開すると脅して被害者を恐喝する能力を混乱させた。この混乱は、本訴訟で提出された文書が主張しているように、ロックビットの評判とさらなる被害者を攻撃する能力を大幅に低下させることに成功した。
The superseding complaint against Panev also follows charges brought in the District of New Jersey against other LockBit members, including its alleged primary creator, developer, and administrator, Dmitry Yuryevich Khoroshev. An indictment against Khoroshev unsealed in May alleges that Khoroshev began developing LockBit as early as September 2019, continued acting as the group’s administrator through 2024, a role in which Khoroshev recruited new affiliate members, spoke for the group publicly under the alias “LockBitSupp,” and developed and maintained the infrastructure used by affiliates to deploy LockBit attacks. Khoroshev is currently the subject of a reward of up to $10 million through the U.S. Department of State’s Transnational Organized Crime (TOC) Rewards Program, with information accepted through the FBI tip website at www.tips.fbi.gov/. パネフに対する上申書はまた、ニュージャージー州地区で、主要な作成者、開発者、管理者とされるドミトリー・ユリエヴィチ・ホロシェフを含む、ロックビットの他のメンバーに対して起こされた告発に続くものだ。5月に公開されたホロシェフに対する起訴状は、ホロシェフが2019年9月の時点でLockBitの開発を始め、2024年までグループの管理者として活動を続け、ホロシェフが新しいアフィリエイトメンバーを募集し、「LockBitSupp」という偽名でグループのために公に発言し、アフィリエイトがLockBit攻撃を展開するために使用するインフラを開発・維持したと主張している。ホロシェフは現在、米国務省の国際組織犯罪(TOC)報奨プログラムを通じて最高1000万ドルの報奨金の対象となっており、FBIの情報提供ウェブサイト(www.tips.fbi.gov/)で情報を受け付けている。
A total of seven LockBit members have now been charged in the District of New Jersey. Beyond Panev and Khoroshev, other previously charged LockBit defendants include: ニュージャージー州では現在、合計7人のロックビット・メンバーが起訴されている。パネフとホロシェフ以外にも、これまでに起訴されたロックビットの被告は以下の通りである:
In July, two LockBit affiliate members, Mikhail Vasiliev, also known as Ghostrider, Free, Digitalocean90, Digitalocean99, Digitalwaters99, and Newwave110, and Ruslan Astamirov, also known as BETTERPAY, offtitan, and Eastfarmer, pleaded guilty in the District of New Jersey for their participation in the LockBit ransomware group and admitted deploying multiple LockBit attacks against U.S. and foreign victims. Vasiliev and Astamirov are presently in custody awaiting sentencing. ・7月には、ロックビットのアフィリエイト・メンバー2人、Ghostrider、Free、Digitalocean90、Digitalocean99、Digitalwaters99、Newwave110としても知られるミハイル・ワシーリエフ、BETTERPAY、offtitan、Eastfarmerとしても知られるルスラン・アスタミロフが、ロックビット・ランサムウェア・グループへの参加についてニュージャージー地区で有罪を認め、米国および外国の被害者に対して複数のロックビット攻撃を展開したことを認めた。ワシーリエフとアスタミロフは現在拘留中で、判決を待っている。
In February 2024, in parallel with the disruption operation described above, an indictment was unsealed in the District of New Jersey charging Russian nationals Artur Sungatov and Ivan Kondratyev, also known as Bassterlord, with deploying LockBit against numerous victims throughout the United States, including businesses nationwide in the manufacturing and other industries, as well as victims around the world in the semiconductor and other industries. Sungatov and Kondratyev remain at large. ・2024年2月、上記の破壊工作と並行して、Bassterlordとしても知られるロシア人のArtur SungatovとIvan Kondratyevを、製造業やその他の業界の米国中の企業、および半導体やその他の業界の世界中の被害者を含む、米国中の多数の被害者に対してLockBitを展開したとして起訴する起訴状がニュージャージー州で封切られた。スンガトフとコンドラチエフは現在も逃走中である。
In May 2023, two indictments were unsealed in Washington, D.C., and the District of New Jersey charging Mikhail Matveev, also known as Wazawaka, m1x, Boriselcin, and Uhodiransomwar, with using different ransomware variants, including LockBit, to attack numerous victims throughout the United States, including the Washington, D.C., Metropolitan Police Department. Matveev remains at large and is currently the subject of a reward of up to $10 million through the U.S. Department of State’s TOC Rewards Program, with information accepted through the FBI tip website at www.tips.fbi.gov/. ・2023年5月、ワシントンD.C.とニュージャージー地区で、Wazawaka、m1x、Boriselcin、Uhodiransomwarとしても知られるミハイル・マトヴェエフを、LockBitを含むさまざまなランサムウェアの亜種を使用して、ワシントンD.C.メトロポリタン警察を含む米国中の多数の被害者を攻撃した罪で起訴する2件の起訴状が公開された。マトヴェーエフ容疑者は現在も逃走中で、米国務省のTOC報奨プログラムを通じて最高1,000万ドルの報奨金の対象となっており、FBIの情報提供ウェブサイト(www.tips.fbi.gov/)で情報を受け付けている。
The U.S. Department of State’s Transnational Organized Crime (TOC) Rewards Program is offering rewards of: 米国務省の国際組織犯罪(TOC)報奨プログラムは、以下の報奨金を提供している:
・Up to $10 million for information leading to the arrest and/or conviction in any country of Khoroshev; ・ホロシェフの逮捕および/または有罪判決につながる情報に対しては最高1,000万ドル、
・Up to $10 million for information leading to the arrest and/or conviction of Matveev; ・マトヴェエフの逮捕および/または有罪判決につながる情報に対しては最高1,000万ドル、
・Up to $10 million for information leading to the identification and location of any individuals who hold a key leadership position in LockBit; and ・ロックビットの重要な指導的立場にある個人の特定および所在につながる情報に対しては最高1,000万ドル、
・Up to $5 million for information leading to the arrest and/or conviction in any country of any individual participating or attempting to participate in LockBit. ・ロックビットに参加する、または参加しようとしている個人の逮捕および/または有罪判決につながる情報に対しては最高500万ドル。
Information is accepted through the FBI tip website at tips.fbi.gov. 情報はFBIのタレコミサイトtips.fbi.govで受け付けている。
Khoroshev, Matveev, Sungatov, and Kondratyev have also been designated for sanctions by the Department of the Treasury’s Office of Foreign Assets Control for their roles in launching cyberattacks. ホロシェフ、マトヴェエフ、スンガトフ、コンドラチエフはまた、サイバー攻撃を開始する役割を果たしたとして、財務省外国資産管理局から制裁対象に指定されている。
Victim Assistance 被害者支援
LockBit victims are encouraged to contact the FBI and submit information at www.ic3.gov. As announced by the Department in February, law enforcement, through its disruption efforts, has developed decryption capabilities that may enable hundreds of victims around the world to restore systems encrypted using the LockBit ransomware variant. Submitting information at the IC3 site will enable law enforcement to determine whether affected systems can be successfully decrypted. ロックビットの被害者は、FBI に連絡し、www.ic3.gov に情報を提出することが推奨される。同省が2月に発表したように、法執行機関は、その破壊活動を通じて、世界中の何百人もの被害者がLockBitランサムウェアの亜種を使って暗号化されたシステムを復元できる可能性のある復号化機能を開発した。IC3のサイトで情報を提出することで、法執行機関は感染したシステムの復号化に成功するかどうかを判断できるようになる。
LockBit victims are also encouraged to visit www.justice.gov/usao-nj/lockbit for case updates and information regarding their rights under U.S. law, including the right to submit victim impact statements and request restitution, in the criminal litigation against Panev, Astamirov, and Vasiliev. LockBitの被害者はまた、www.justice.gov/usao-nj/lockbit、事件の最新情報や、Panev、Astamirov、Vasilievに対する刑事訴訟において、被害者意見書を提出し、返還を要求する権利など、米国法に基づく権利に関する情報を入手することが推奨される。
The FBI Newark Field Office, under the supervision of Acting Special Agent in Charge Terence G. Reilly, is investigating the LockBit ransomware variant. Israel’s Office of the State Attorney, Department of International Affairs, and Israel National Police; France’s Gendarmerie Nationale Cyberspace Command, Paris Prosecution Office — Cyber Division, and judicial authorities at the Tribunal Judiciare of Paris; Europol; Eurojust; the United Kingdom’s National Crime Agency; Germany’s Landeskriminalamt Schleswig-Holstein, Bundeskriminalamt, and the Central Cybercrime Department North Rhine-Westphalia; Switzerland’s Federal Office of Justice, Public Prosecutor’s Office of the Canton of Zurich, and Zurich Cantonal Police; Spain’s Policia Nacional and Guardia Civil; authorities in Japan; Australian Federal Police; Sweden’s Polismyndighetens; Canada’s Royal Canadian Mounted Police; Politie Dienst Regionale Recherche Oost-Brabant of the Netherlands; and Finland’s National Bureau of Investigation have provided significant assistance and coordination in these matters and in the LockBit investigation generally. FBIニューアーク支局は、テレンス・G・ライリー特別捜査官代理の指揮の下、ロックビット型ランサムウェアの亜種を捜査している。イスラエルの国家検事局、国際問題局、イスラエル国家警察、フランスの国家サイバー空間憲兵隊司令部、パリ検察庁サイバー課、パリ司法裁判所の司法当局、欧州刑事警察機構、欧州司法機構、米国の国家犯罪局、ドイツのLandeskriminalamt Schleswig-Holstein、Bundeskriminalamt、Central Cybercrime Department North Rhine-Westphalia; スイスの連邦司法省、チューリッヒ州検察庁、チューリッヒ州警察、スペインのPolicia NacionalおよびGuardia Civil、日本の当局、オーストラリア連邦警察、スウェーデンのPolismyndighetens、カナダのRoyal Canadian Mounted Police、オランダのPolitie Dienst Regionale Recherche Oost-Brabant、フィンランドの連邦捜査局は、これらの問題およびロックビットの捜査全般において重要な支援と協調を提供した。
Assistant U.S. Attorneys Andrew M. Trombly, David E. Malagold, and Vinay Limbachia for the District of New Jersey and Trial Attorneys Debra Ireland and Jorge Gonzalez of the Criminal Division’s Computer Crime and Intellectual Property Section (CCIPS) are prosecuting the charges against Panev and the other previously charged LockBit defendants in the District of New Jersey. ニュージャージー州地区担当のアンドリュー・M・トロンブリー、デビッド・E・マラゴールド、ビナイ・リンバキア各米国弁護士補と、ディビジョン刑事部コンピュータ犯罪・知的財産課(CCIPS)のデブラ・アイルランド、ホルヘ・ゴンザレス両裁判官は、ニュージャージー州地区でパネフ被告と先に起訴された他のロックビット被告に対する起訴を担当している。
The Justice Department’s former Cybercrime Liaison Prosecutor to Eurojust, Office of International Affairs, and National Security Division also provided significant assistance. 司法省の欧州司法機構(Eurojust)、国際問題局(Office of International Affairs)、国家安全保障局(National Security Division)の元サイバー犯罪リエゾンプロスペクターも重要な支援を提供した。
Additional details on protecting networks against LockBit ransomware are available at StopRansomware.gov. These include Cybersecurity and Infrastructure Security Agency Advisories AA23-325A, AA23-165A, and AA23-075A.  LockBitランサムウェアからネットワークを保護するための詳細は、StopRansomware.govで入手できる。これには、サイバーセキュリティ・インフラセキュリティ庁の勧告AA23-325A、AA23-165A、AA23-075Aが含まれる。
The charges and allegations contained in the superseding complaint and above-named Indictments are merely accusations, and the defendants are presumed innocent unless and until proven guilty. 上申書および上記の起訴状に含まれる告発および主張は単なる告発であり、被告は有罪が証明されない限り、また有罪が証明されるまでは無罪と推定される。

 

 


 

⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

Lockbit...

・2024.12.30 米国 司法省 LockBitランサムウェアグループの開発者としてロシアおよびイスラエルの二重国籍者を起訴 (2024.12.20)

・2024.10.02 米国 英国 オーストラリア Evil Corpのメンバーを制裁

・2024.10.02 Europol Lockbit関係者を新たに逮捕し、経済制裁も加える

・2024.09.01 米国 CISA FBI MS-ISAC HHS RansomHubランサムウェアに対する警告 (2024.08.29)

・2024.08.17 英国国家犯罪庁、米国シークレットサービス、連邦捜査局が協力し、ランサムウェア等のサイバー犯罪グループのトップ容疑者を逮捕、身柄を引き渡す (2024.08.13)

・2024.05.08 英国 米国 オーストラリア LockBitの管理者に対する新たな一連の措置を発表

・2024.02.21 米国 英国 LockBitのネットワークに侵入し破壊

・2023.09.13 英国 NCSC ランサムウェア、恐喝、サイバー犯罪のエコシステムについての白書

・2023.07.26 Europol インターネット組織犯罪評価(IOCTA)2023 (2023.07.19)

・2023.06.16 Five Eyes ドイツ フランス LookBitに対する包括的なアドバイザリーを公表

・2023.05.20 米国 司法省 LockBit、Babuk、Hiveに関わったロシア人を起訴

・2023.03.29 米国 司法省 30億ドル以上の違法取引を処理したダークネット暗号通貨ミキサーのテイクダウンに成功 (2023.03.15)

 

| | Comments (0)

カナダ Global Cross-Boarder Privacy Rule(CBPR)Forum 認証の実施に関する協議

こんにちは、丸山満彦です。

カナダがCBPR認証に関する協議文書を公表しています。

⚫︎ Canada.caInnovation, Science and Economic Development Canada

1_20250315164601

 

・2025.03.11 Consultation on the implementation of the Global Cross-Border Privacy Rules (CBPR) Forum certifications in Canada

 

協議文書...

・2025.03.11 Consultation document: Consultation on the implementation of the Global Cross-Border Privacy Rules (CBPR) Forum certifications in Canada

 

CBPRとは、Cross-Boarder Privacy Rulesの略です。

Global CBPR Forum には、オーストラリア、カナダ、日本、韓国、メキシコ、フィリピン、シンガポール、台湾、米国の9カ国が参加しています。そして、バミューダ、ドバイ国際金融センター、モーリシャス、英国がアソシエイトとなっています...

Global CBPR Forumは、Global CBPR System認証と、Global PRP System認証の2つを行なっています。

PRPは、Privacy Reogition for Processorsの略で、プロセッサー向けの認証システムです。

日本企業では、

が、CBPR認証を取得しています。認証機関はプライバシーマークの認定・認証機関であるJIPDECが行なっています。

認証機関については、

  • 公的機関型:韓国(KISA)
  • 民間機関型:日本(JIPDEC)、米国(4つの審査機関)
  • ハイブリッド型:シンガポール(IMDAの下に7つの審査機関)

というパターンがあるようですね。。。

 

ということで、

グローバル・フォーラム認証の実施モデルの策定方法に関する意見を求めていますね。。。

  • グローバル・フォーラム認証の1つまたは両方を採用することの利点、
  • カナダの経済・規制状況に最も適した認証機関(または複数の機関)の種類、
  • 個人、企業、カナダ経済にとって認証をより有用なものにするための追加措置

さて、どうなるのでしょうかね...

 

 


 

⚫︎ 経済産業省

グローバル越境プライバシールール(CBPR)

・[PDF] APEC CBPR(越境プライバシールール)システムの概要

20250315-164844

 


 

⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

CBPR関係...

・2024.05.16 個人情報保護委員会 経済産業省 グローバルCBPRシステムの稼働に向けた文書等の公表 (2024.04.30)

・2024.01.25 米国 FTC プライバシーおよびデータ・セキュリティの法執行に関する協力強化のための多国間協定に署名 (2024.01.17)

・2023.11.19 APEC デジタルアジェンダ関係

・2023.07.17 英国 CBPRフォーラムのアソシエイトになる (2023.07.06)

・2023.06.22 個人情報保護委員会 「第3回G7データ保護・プライバシー機関ラウンドテーブル会合」共同コミュニケ、生成AIに関する生命、行動計画

・2022.04.23 米国 フィリピン シンガポール 台湾 グローバル越境プライバシールール(CBPR)フォーラム設立関連...

・2022.04.22 個人情報保護委員会 経済産業省 グローバル越境プライバシールール(CBPR)フォーラム設立に向けた宣言

・2016.07.14 経済産業省 越境データフローに係る制度等の調査研究の報告書

 

 

| | Comments (0)

2025.03.15

米国 司法省 中国の捜査当局、情報機関はフリーランスのハッカーや情報セキュリティ会社を活用し、世界中のコンピュータ・ネットワークを侵害している (2025.03.05)

こんにちは、丸山満彦です。

米国の司法省が、中国の捜査当局、情報機関はフリーランスのハッカーや情報セキュリティ会社を活用し、世界中のコンピュータ・ネットワークを侵害していると発表しています...

この捜査にはPwCも協力しているとありますね...

2件目の指名手配の件については、日本語によるポスターもありますね...

20250315-71939

 

U.S. Departmento fo Justice - Office of Public Affairs

・2025.03.05 Justice Department Charges 12 Chinese Contract Hackers and Law Enforcement Officers in Global Computer Intrusion Campaigns

 

Justice Department Charges 12 Chinese Contract Hackers and Law Enforcement Officers in Global Computer Intrusion Campaigns 中国の法執行機関および情報機関は、中国の無謀かつ無差別なハッカー傭兵エコシステムを活用し、世界中で言論の自由や反対意見を弾圧し、世界中の多数の組織からデータを盗んだ。
Chinese Law Enforcement and Intelligence Services Leveraged China’s Reckless and Indiscriminate Hacker-for-Hire Ecosystem, Including the ‘APT 27’ Group, to Suppress Free Speech and Dissent Globally and to Steal Data from Numerous Organizations Worldwide, 中国の法執行機関および情報機関は、中国の無謀かつ無差別なハッカー傭兵エコシステムを活用し、世界中で言論の自由や反対意見を弾圧し、世界中の多数の組織からデータを盗み出していた。その中には「APT 27」グループも含まれる。
Note: View the indictments in U.S. v. Wu Haibo et al., U.S. v. Yin Kecheng, U.S. v. Zhou Shuai et al. here. 注:米国対ウー・ハイボほか、米国対イン・ケチョン、米国対ゾウ・シュアイほかの起訴状は、こちらでご覧いただけます。
The Justice Department, FBI, Naval Criminal Investigative Service, and Departments of State and the Treasury announced today their coordinated efforts to disrupt and deter the malicious cyber activities of 12 Chinese nationals, including two officers of the People’s Republic of China’s (PRC) Ministry of Public Security (MPS), employees of an ostensibly private PRC company, Anxun Information Technology Co. Ltd. (安洵信息技术有限公司) also known as “i-Soon,” and members of Advanced Persistent Threat 27 (APT27). 司法省、FBI、海軍犯罪捜査局、および国務省と財務省は本日、中華人民共和国(PRC)公安部の2人の幹部、表向きは民間企業であるPRCのAnxun Information Technology Co. Ltd.(安洵信息技术有限公司)の従業員、(安洵信息技术有限公司)は、「i-Soon」とも呼ばれ、Advanced Persistent Threat 27(APT27)のメンバーでもある。
These malicious cyber actors, acting as freelancers or as employees of i-Soon, conducted computer intrusions at the direction of the PRC’s MPS and Ministry of State Security (MSS) and on their own initiative. The MPS and MSS paid handsomely for stolen data. Victims include U.S.-based critics and dissidents of the PRC, a large religious organization in the United States, the foreign ministries of multiple governments in Asia, and U.S. federal and state government agencies, including the U.S. Department of the Treasury (Treasury) in late 2024. これらの悪意あるサイバーアクターは、フリーランサーとして、またはi-Soonの従業員として、中国公安省および国家安全省(MSS)の指示と独自の判断に基づいてコンピューター侵入を行った。公安省および国家安全省は、盗まれたデータに対して多額の報酬を支払った。被害者には、米国を拠点とする中国批判者や反体制派、米国の大手宗教団体、アジアの複数の政府の外務省、および米国財務省(財務省)を含む米国連邦政府および州政府機関が含まれる。
“The Department of Justice will relentlessly pursue those who threaten our cybersecurity by stealing from our government and our people,” said Sue J. Bai, head of the Justice Department’s National Security Division. “Today, we are exposing the Chinese government agents directing and fostering indiscriminate and reckless attacks against computers and networks worldwide, as well as the enabling companies and individual hackers that they have unleashed. We will continue to fight to dismantle this ecosystem of cyber mercenaries and protect our national security.” 司法省の国家安全保障部門の責任者であるスー・J・バイ氏は次のように述べた。
「司法省は、政府や国民から情報を盗み、サイバーセキュリティを脅かす者たちを容赦なく追及していく。本日、私たちは、世界中のコンピューターやネットワークに対する無差別で無謀な攻撃を指示し、助長している中国政府の工作員、および彼らが放ったハッカー企業や個人を摘発した。我々は、このサイバー傭兵の生態系を解体し、国家の安全保障を防御するために戦い続けるつもりだ。」
“The FBI is committed to protecting Americans from foreign cyber-attacks,” said Assistant Director Bryan Vorndran of the FBI’s Cyber Division. “Today’s announcements reveal that the Chinese Ministry of Public Security has been paying hackers-for-hire to inflict digital harm on Americans who criticize the Chinese Communist Party (CCP). To those victims who bravely came forward with evidence of intrusions, we thank you for standing tall and defending our democracy. And to those who choose to aid the CCP in its unlawful cyber activities, these charges should demonstrate that we will use all available tools to identify you, indict you, and expose your malicious activity for all the world to see.” FBIのサイバー部門のブライアン・ヴォーンダン副部長は、次のように述べた。「FBIは、外国からのサイバー攻撃からアメリカ国民を防御することに全力を尽くしている。本日の発表により、中国公安部が、中国共産党(CCP)を批判するアメリカ国民にデジタル上の被害を与えるために、雇われたハッカーたちに報酬を支払っていたことが明らかになった。侵入の証拠を勇気をもって提出してくれた被害者の方々には、一歩踏み込んだ防衛により、民主主義を守ってくれたことに感謝する。そして、中国共産党の違法なサイバー活動に加担することを選んだ人々に対しては、これらの告発は、我々が利用可能なあらゆる手段を駆使して、あなた方を識別し、起訴し、そしてあなたの悪意ある活動を全世界に晒すことを示すものである。」
According to court documents, the MPS and MSS employed an extensive network of private companies and contractors in China to hack and steal information in a manner that obscured the PRC government’s involvement. In some cases, the MPS and MSS paid private hackers in China to exploit specific victims. In many other cases, the hackers targeted victims speculatively. Operating from their safe haven and motivated by profit, this network of private companies and contractors in China cast a wide net to identify vulnerable computers, exploit those computers, and then identify information that it could sell directly or indirectly to the PRC government. The result of this largely indiscriminate approach was more worldwide computer intrusion victims, more systems worldwide left vulnerable to future exploitation by third parties, and more stolen information, often of no interest to the PRC government and, therefore, sold to other third-parties. Additional information regarding the indictments and the PRC’s hacker-for-hire ecosystem is available in Public Service Announcements published by the FBI today. 裁判資料によると、MPSとMSSは、中国国内の民間企業や請負業者の広範なネットワークを活用し、中国政府の関与を隠蔽する方法でハッキングや情報窃取を行っていた。場合によっては、MPSとMSSは中国の民間ハッカーに報酬を支払い、特定の被害者を攻撃させた。多くの場合、ハッカーは投機的に被害者を標的にした。安全な場所から利益を動機として活動する、この中国の民間企業と請負業者のネットワークは、脆弱なコンピューターを特定し、それらのコンピューターを攻撃し、中国政府に直接または間接的に販売できる情報を識別するために、幅広い網を張った。この無差別的なアプローチの結果、世界中でコンピュータへの侵入被害が増え、世界中で多くのシステムがサードパーティによる将来的な悪用に対して脆弱な状態となり、また、多くの情報が盗まれたが、その多くは中国政府にとって興味のないものであり、そのため、他のサードパーティに売却された。起訴状および中国のハッカーを雇うエコシステムに関する追加情報は、本日FBIが発表した公共サービス広報で入手できる。
U.S. v. Wu Haibo et al., Southern District of New York 米国対ウー・ハイボほか、ニューヨーク南部地区
Today, a federal court in Manhattan unsealed an indictment charging eight i-Soon employees and two MPS officers for their involvement, from at least in or around 2016 through in or around 2023, in the numerous and widespread hacking of email accounts, cell phones, servers, and websites. The Department also announced today the court-authorized seizure of the primary internet domain used by i-Soon to advertise its business. 本日、マンハッタンの連邦裁判所は、少なくとも2016年から2023年にかけて、電子メールアカウント、携帯電話、サーバー、ウェブサイトに対する多数かつ広範囲にわたるハッキングに関与したとして、i-Soonの従業員8名とMPSの警察官2名を起訴する起訴状を非公開から公開した。また、司法省は本日、i-Soonが事業を宣伝するために使用していた主要なインターネットドメインの裁判所認可による押収を発表した。
“State-sponsored hacking is an acute threat to our community and national security,” said Acting U.S. Attorney Matthew Podolsky for the Southern District of New York. “For years, these 10 defendants — two of whom we allege are PRC officials — used sophisticated hacking techniques to target religious organizations, journalists, and government agencies, all to gather sensitive information for the use of the PRC. These charges will help stop these state-sponsored hackers and protect our national security. The career prosecutors of this office and our law enforcement partners will continue to uncover alleged state-sponsored hacking schemes, disrupt them, and bring those responsible to justice.” 「国家が支援するハッキングは、我々のコミュニティと国家安全保障に対する深刻な脅威である」と、ニューヨーク南部地区のマシュー・ポドルスキー代理連邦検事は述べた。「この10人の被告(うち2人は中国共産党の役人であると我々は主張している)は、長年にわたり、洗練されたハッキング技術を用いて、宗教団体、ジャーナリスト、政府機関を標的にし、すべては中国共産党が利用するための機密情報を収集することを目的としていた。これらの容疑は、国家が支援するハッカーを阻止し、我々の国家安全保障を防御するのに役立つだろう。この事務所のキャリア検察官と法執行機関のパートナーは、国家支援によるハッキングの容疑を解明し、それを阻止し、責任者を法の下で裁きにかける活動を継続していく。
The defendants remain at large and wanted by the FBI. Concurrent with today’s announcement,  the U.S. Department of State’s Rewards for Justice (RFJ) program, administered by the Diplomatic Security Service, announced a reward of up to $10 million for information leading to the identification or location of any person who, while acting at the direction or under the control of a foreign government, engages in certain malicious cyber activities against U.S. critical infrastructure in violation of the Computer Fraud and Abuse Act. The reward is offered for the following individuals who are alleged to have worked in various capacities to direct or carry out i-Soon’s malicious cyber activity: 被告らは依然として逃亡中で、FBIが指名手配している。本日の発表と同時に、米国国務省の司法のための報奨(Rewards for Justice: RFJ)プログラム(外交安全部が運営)は、外国政府の指示または管理下で活動し、コンピュータ詐欺・乱用防止法に違反して米国の重要インフラに対して特定の悪意あるサイバー活動に従事した人物の身元または居場所を特定する情報に対して、最高1000万ドルの報奨金を支払うことを発表した。i-Soonの悪質なサイバー活動を指揮または実行するために、さまざまな立場で働いたとされる以下の人物に対して、報奨金が提供される。
Wu Haibo (吴海波), Chief Executive Officer ウー・ハイボ(Wu Haibo)、最高経営責任者(CEO
Chen Cheng (陈诚), Chief Operating Officer チェン・チェン(Chen Cheng)、最高執行責任者(COO
Wang Zhe (王哲), Sales Director ワン・ゼ(Wang Zhe)、営業部長
Liang Guodong (梁国栋), Technical Staff リャン・グオドン(Liang Guodong)、技術スタッフ
Ma Li (马丽), Technical Staff マー・リー(Ma Li)、技術スタッフ
Wang Yan (王堰), Technical Staff ワン・イェン(Wang Yan)、技術スタッフ
Xu Liang (徐梁), Technical Staff 徐梁(Xu Liang)、技術スタッフ
Zhou Weiwei (周伟伟), Technical Staff 周伟伟(Zhou Weiwei)、技術スタッフ
Wang Liyu (王立宇), MPS Officer 王立宇(Wang Liyu)、MPS 職員
Sheng Jing (盛晶), MPS Officer 盛晶(Sheng Jing)、MPS 職員
i-Soon and its employees, to include the defendants, generated tens of millions of dollars in revenue as a key player in the PRC’s hacker-for-hire ecosystem. In some instances, i-Soon conducted computer intrusions at the request of the MSS or MPS, including cyber-enabled transnational repression at the direction of the MPS officer defendants. In other instances, i-Soon conducted computer intrusions on its own initiative and then sold, or attempted to sell, the stolen data to at least 43 different bureaus of the MSS or MPS in at least 31 separate provinces and municipalities in China. i-Soon charged the MSS and MPS between approximately $10,000 and $75,000 for each email inbox it successfully exploited. i-Soon also trained MPS employees how to hack independently of i-Soon and offered a variety of hacking methods for sale to its customers. i-Soon およびその従業員(被告を含む)は、中国におけるハッカーを雇うエコシステムにおける主要なプレイヤーとして、数千万ドルの収益を上げていた。i-Soonは、MSSまたはMPSの要請により、コンピュータへの侵入を行った。その中には、MPSの被告の指示によるサイバーを利用した国境を越えた弾圧も含まれている。また、i-Soonは独自の判断でコンピュータへの侵入を行い、その後、盗んだデータを少なくとも43の異なるMSSまたはMPSの部署に、少なくとも中国の31の異なる省や市で販売し、または販売しようとした。i-Soonは、成功裏にハッキングした各メール受信箱につき、国家安全局および公安部に約1万ドルから7万5千ドルを請求した。i-Soonはまた、公安部の職員にi-Soonとは独立してハッキングする方法を訓練し、顧客にさまざまなハッキング方法を販売していた。
The defendants’ U.S.-located targets included a large religious organization that previously sent missionaries to China and was openly critical of the PRC government and an organization focused on promoting human rights and religious freedom in China. In addition, the defendants targeted multiple news organizations in the United States, including those that have opposed the CCP or delivered uncensored news to audiences in Asia, including China and the New York State Assembly, one of whose representatives had communicated with members of a religious organization banned in China. 米国を標的としたものには、以前に宣教師を中国に派遣し、中国共産党政府を公然と批判していた大規模な宗教団体や、中国における人権と宗教の自由の促進に重点的に取り組む組織が含まれていた。さらに、被告らは、中国共産党に反対したり、中国を含むアジアの聴衆に検閲されていないニュースを配信したりしている米国の複数の報道機関、および中国で禁止されている宗教団体のメンバーとコミュニケーションを取っていた代表者もいたニューヨーク州議会も標的にしていた。
The defendants’ foreign-located targets included a religious leader and his office, and a Hong Kong newspaper that i-Soon considered as being opposed to the PRC government. The defendants also targeted the foreign ministries of Taiwan, India, South Korea, and Indonesia. 被告が標的とした外国の対象には、宗教指導者とその事務所、そしてi-Soonが中国政府に反対しているとみなした香港の新聞社が含まれていた。被告はまた、台湾、インド、韓国、インドネシアの外務省も標的とした。
Assistant U.S. Attorneys Ryan B. Finkel, Steven J. Kochevar, and Kevin Mead for the Southern District of New York and Trial Attorney Gregory J. Nicosia Jr. of the National Security Division’s National Security Cyber Section are prosecuting the case. ニューヨーク南部地区のライアン・B・フィンケル、スティーブン・J・コチェヴァー、ケヴィン・ミードの各副検事補と、国家安全保障局の国家安全保障サイバー部門のグレゴリー・J・ニコシア・ジュニア検察官が、この事件を起訴している。
U.S. v. Yin Kecheng and U.S. v. Zhou Shuai et al., District of Columbia 米国対尹可成および米国対周帅ほか、コロンビア特別区
Today, a federal court unsealed two indictments charging APT27 actors Yin Kecheng (尹可成) and Zhou Shuai (周帅) also known as “Coldface” for their involvement in the multi-year, for-profit computer intrusion campaigns dating back, in the case of Yin, to 2013. The Department also announced today court-authorized seizures of internet domains and computer server accounts used by Yin and Zhou to facilitate their hacking activity. 本日、連邦裁判所は、APT27のメンバーであるYin Kecheng(尹可成)とZhou Shuai(周帅)の2名を起訴する2件の起訴状を非公開扱いを解除した。2名は「Coldface」という別名でも知られており、Yinの場合は2013年まで遡る複数年にわたる営利目的のコンピューター侵入キャンペーンへの関与が指摘されている。また、司法省は本日、YinとZhouがハッキング活動に使用していたインターネットドメインとコンピューターサーバーアカウントが裁判所の認可を得て押収されたことを発表した。
The defendants remain at large. View the FBI’s Wanted posters for Shuai and Kecheng here. 被告人は依然として逃亡中である。シュアイとケチェンのFBI指名手配ポスターは、こちらでご覧いただけます。
Concurrent with today’s announcement, the Department of States State’s Bureau of International Narcotics and Law Enforcement Affairs is announcing two reward offers under the Transnational Organized Crime Rewards Program (TOCRP) of up to $2 million each for information leading to the arrests and convictions, in any country, of malicious cyber actors Yin Kecheng and Zhou Shuai, both Chinese nationals residing in China. 本日の発表と同時に、国務省国際麻薬・法執行局は、国際組織犯罪懸賞金プログラム(TOCRP)に基づき、中国在住の中国人である悪意あるサイバー犯罪者、イン・クーチェンとゾウ・シュアイの逮捕と有罪判決につながる情報に対して、最高200万ドルの2件の懸賞金オファーを発表した。
“These indictments and actions show this office’s long-standing commitment to vigorously investigate and hold accountable Chinese hackers and data brokers who endanger U.S. national security and other victims across the globe,” said Interim U.S. Attorney Edward R. Martin Jr. for the District of Columbia. “The defendants in these cases have been hacking for the Chinese government for years, and these indictments lay out the strong evidence showing their criminal wrongdoing. We again demand that the Chinese government to put a stop to these brazen cyber criminals who are targeting victims across the globe and then monetizing the data they have stolen by selling it across China.” 「これらの起訴および訴追は、米国の国家安全保障や世界中の他の被害者を危険にさらす中国のハッカーやデータブローカーを精力的に調査し、責任を問うという当室の長年にわたる取り組みを示すものです」と、コロンビア特別区のエドワード・R・マーティン・ジュニア米国連邦検事代行は述べた。「これらの事件の被告らは長年にわたり中国政府のためにハッキングを続けており、今回の起訴は、彼らの犯罪行為を示す強力な証拠を提示するものです。私たちは中国政府に対し、世界中の被害者を標的にし、盗んだデータを中国国内で販売して利益を得ているこれらの大胆なサイバー犯罪者たちを阻止するよう、改めて要求する」と述べた。
The APT27 group to which Yin and Zhou belong is also known to private sector security researchers as “Threat Group 3390,” “Bronze Union,” “Emissary Panda,” “Lucky Mouse,” “Iron Tiger,” “UTA0178,” “UNC 5221,” and “Silk Typhoon.” As alleged in court documents, between August 2013 and December 2024, Yin, Zhou, and their co-conspirators exploited vulnerabilities in victim networks, conducted reconnaissance once inside those networks, and installed malware, such as PlugX malware, that provided persistent access. The defendants and their co-conspirators then identified and stole data from the compromised networks by exfiltrating it to servers under their control. Next, they brokered stolen data for sale and provided it to various customers, only some of whom had connections to the PRC government and military. For example, Zhou sold data stolen by Yin through i-Soon, whose primary customers, as noted above, were PRC government agencies, including the MSS and the MPS. YinとZhouが所属するAPT27グループは、民間セキュリティ研究者たちからは「Threat Group 3390」、「Bronze Union」、「Emissary Panda」、「Lucky Mouse」、「Iron Tiger」、 「UTA0178」、「UNC 5221」、および「Silk Typhoon」としても知られている。 裁判資料で申し立てられているように、2013年8月から2024年12月の間、Yin、Zhou、および共謀者らは、被害者のネットワークの脆弱性を悪用し、ネットワーク内部に侵入した後、偵察活動を行い、持続的なアクセスを可能にするPlugXマルウェアなどのマルウェアをインストールした。その後、被告および共犯者らは、侵害されたネットワークからデータを識別し、自分たちが管理するサーバーにデータを転送することで盗み出した。次に、彼らは盗んだデータを仲介して販売し、さまざまな顧客に提供したが、その中には中国共産党政府および軍とつながりがある顧客もいた。例えば、周は、前述のとおり主な顧客が中国国家安全部および中国公安部を含む中国共産党政府機関であるi-Soonを通じて、尹が盗んだデータを販売した。
The defendants’ motivations were financial and, because they were profit-driven, they targeted broadly, rendering victim systems vulnerable well beyond their pilfering of data and other information that they could sell. Between them, Yin and Zhou sought to profit from the hacking of numerous U.S.-based technology companies, think tanks, law firms, defense contractors, local governments, health care systems, and universities, leaving behind them a wake of millions of dollars in damages. 被告の動機は金銭的なものであり、利益追求を目的としていたため、標的を広範囲に定め、データを盗み、販売可能なその他の情報を入手する以上の被害を被る可能性があるほど、被害者のシステムに脆弱性をもたらした。 陰と周は、米国を拠点とする多数のテクノロジー企業、シンクタンク、法律事務所、防衛請負業者、地方自治体、医療システム、大学に対するハッキングから利益を得ようとし、その結果、数百万ドルに上る損害を残した。
The documents related to the seizure warrants, also unsealed today, further allege that Yin and Zhou continued to engage in hacking activity, including Yin’s involvement in the recently announced hack of Treasury between approximately September and December 2024. Virtual private servers used to conduct the Treasury intrusion belonged to, and were controlled by, an account that Yin and his co-conspirators established. Yin and his co-conspirators used that same account and other linked accounts they controlled to lease servers used for additional malicious cyber activity. The seizure warrant unsealed today allowed the FBI to seize the virtual private servers and other infrastructure used by the defendants to perpetrate these crimes. また、本日公開された押収令状に関する書類では、インとゾウがハッキング活動を継続していたことがさらに指摘されており、その中には、2024年9月から12月頃に発生した財務省へのハッキング事件にインが関与していたことも含まれている。財務省への侵入に使用された仮想プライベートサーバーは、インと共犯者たちが開設したアカウントが所有し、管理していた。インと共犯者らは、同じアカウントと、彼らが管理するその他の関連アカウントを使用して、さらなる悪質なサイバー犯罪に使用されるサーバーをリースしていた。本日公開された差押令状により、FBIは被告らがこれらの犯罪を犯すために使用した仮想プライベートサーバーやその他のインフラを差し押さえることが可能となった。
On Jan. 17, Treasury’s Office of Foreign Assets Control (OFAC) announced sanctions against Yin for his role in hacking that agency between September and December 2024. Concurrent with today’s indictments, OFAC also announced sanctions on Zhou and Shanghai Heiying Information Technology Company Ltd., a company operated by Zhou for purposes of his hacking activity. 1月17日、財務省外国資産管理局(OFAC)は、2024年9月から12月にかけて同省に対するハッキングに関与したとして、インに対する制裁措置を発表した。本日の起訴と同時に、OFACは周と、周がハッキング活動のために運営する企業である上海黒影信息技術有限公司(Shanghai Heiying Information Technology Company Ltd.)に対する制裁措置も発表した。
Private sector partners are also taking voluntary actions to raise awareness and strengthen defenses against the PRC’s malicious cyber activity. Today, Microsoft published research that highlights its unique, updated insights into Silk Typhoon tactics, techniques, and procedures specifically its targeting of the IT supply chain. 民間部門のパートナー企業も、中国の悪意あるサイバー活動に対する認識を高め、防御を強化するための自主的な行動を取っている。本日、マイクロソフトは、シルクタイフーンの戦術、技術、手順、特にITサプライチェーンを標的にしたものに関する独自の最新見解を強調する研究結果を公表した。
Assistant U.S. Attorneys Jack F. Korba and Tejpal S. Chawla for the District of Columbia and Trial Attorney Tanner Kroeger of the National Security Division’s National Security Cyber Section are prosecuting the case. この訴訟は、コロンビア特別区のジャック F. コルバ(Jack F. Korba)およびテジャル S. チャウラ(Tejpal S. Chawla)両副検事、および国家安全保障局の国家安全保障サイバーセクションのタナー・クロエガー(Tanner Kroeger)検事が担当している。
*** ***
The above disruptive actions targeting PRC malicious cyber activities were the result of investigations conducted by FBI New York and Washington Field Offices, FBI Cyber Division, the Naval Criminal Investigative Service. The U.S. Attorney’s Offices for the Southern District of New York and District of Columbia and the National Security Division’s National Security Cyber Section are prosecuting the case. 中国による悪意のあるサイバー活動を標的とした上記の破壊的行為は、FBIニューヨークおよびワシントン支局、FBIサイバー犯罪対策部、海軍犯罪捜査局による捜査の結果、明らかになった。ニューヨーク南部地区およびコロンビア特別区の米国連邦検事局、および国家安全保障局の国家安全保障サイバーセクションがこの事件を起訴している。
The Department acknowledges the value of public-private partnerships in combating advanced cyber threats and recognizes Microsoft, Volexity, PwC, and Mandiant for their valuable assistance in these investigations. 司法省は、高度なサイバー脅威に対抗するための官民連携の価値を認め、これらの捜査における貴重な支援に対してマイクロソフト、Volexity、PwC、Mandiantを評価している。
The details in the above-described indictments and warrants are merely allegations. All defendants are presumed innocent until proven guilty beyond a reasonable doubt in a court of law. 上記起訴状および令状に記載された内容は、単なる申し立てである。すべての被告人は、法廷で合理的な疑いを超えて有罪と証明されるまでは無罪と推定される。

 

1件目:米国対ウー・ハイボほか、ニューヨーク南部地区

起訴状...

・[PDF

20250315-72215

 

・[PDF]

20250315-72227

 

2件目;指名手配書

AQUATIC PANDA CYBER THREAT ACTORS

 

 


 

 

IC3

・2025.03.05 Beijing Leveraging Freelance Hackers and Information Security Companies to Compromise Computer Networks Worldwide

Alert Number: I-030525-PSA

Beijing Leveraging Freelance Hackers and Information Security Companies to Compromise Computer Networks Worldwide 北京 フリーランスのハッカーと情報セキュリティ企業を活用し、世界中のコンピュータネットワークを侵害
FBI is releasing this Public Service Announcement to highlight that the Chinese government is using formal and informal connections with freelance hackers and information security (InfoSec) companies to compromise computer networks worldwide. FBIは、中国政府がフリーランスのハッカーや情報セキュリティ(InfoSec)企業との公式・非公式なつながりを利用して、世界中のコンピュータネットワークを侵害していることを強調するために、この公共サービスアナウンスメントを発表する。
China's InfoSec ecosystem flourishes because China's government agencies, including its primary intelligence service the Ministry of State Security (MSS) and its domestic police agency the Ministry of Public Security (MPS), weaponize InfoSec companies by tasking companies that advertise legitimate cybersecurity services to also use their expertise to gain unauthorized access to victim networks to collect for China's intelligence services. This ecosystem of InfoSec companies and freelance hackers enables and encourages indiscriminate global cyber activity, while providing the Chinese government with a layer of plausible deniability. 中国の主要情報機関である国家安全部(MSS)や国内警察機関である公安部(MPS)などの政府機関が、正規のサイバーセキュリティサービスを宣伝する企業に、中国の諜報機関のために被害者のネットワークに不正アクセスして情報を収集するよう専門知識を活用するよう命じているため、中国のインフォメーションセキュリティ(InfoSec)業界は繁栄している。この情報セキュリティ企業とフリーランスのハッカーたちによるエコシステムは、無差別なグローバルなサイバー活動を可能にし、奨励する一方で、中国政府に一見もっともらしい否認の余地を与えている。
Today, the Southern District of New York unsealed an indictment against eight employees of China-based InfoSec company Anxun Information Technology Co., Ltd., aka i-Soon, and two MPS officers who, at times, directed i-Soon activities in service of the Chinese government. i-Soon has been a key player in China's InfoSec ecosystem over the last decade, working with at least 43 separate MSS or MPS bureaus in 31 provinces and municipalities across China. The indicted i-Soon hackers sold stolen data to the MSS and MPS from a myriad of victims, to include US-based critics of the Chinese government and Chinese dissidents, a US news organization, a large US-based religious organization, multiple governments in Asia, and US federal and state government agencies. i-Soon sold information to China's intelligence and security services to suppress free speech and democratic processes worldwide, and target groups deemed a threat to the Chinese government. i-Soon also sold platforms to MSS and MPS customers for their own hacking efforts. i-Soon's activities are publicly tracked as Aquatic Panda, Red Alpha, Red Hotel, Charcoal Typhoon, Red Scylla, Hassium, Chromium, and TAG-22. 今日、ニューヨーク南部地区は、中国を拠点とする情報セキュリティ企業、安迅情報技術有限公司(Anxun Information Technology Co., Ltd.)の従業員8名と、中国政府のためにi-Soonの活動を指揮した公安省の警察官2名に対する起訴状を封印を解いた。アイサムは過去10年以上にわたり、中国のインフォセック・エコシステムにおける主要な役割を果たしており、中国全土の31の省や直轄市にある少なくとも43の別々の国家安全局(MSS)または公安部(MPS)と協力してきた。起訴されたi-Soonのハッカーたちは、無数の被害者から盗んだデータをMSSおよびMPSに販売しており、その中には、中国政府の批判者や中国反体制派、米国の報道機関、米国の大手宗教団体、アジアの複数の政府、米国連邦政府および州政府機関など、米国を拠点とする人々も含まれていた。i-Soonは、中国の情報機関および治安部隊に情報を売り、世界中の言論の自由や民主的プロセスを弾圧し、中国政府にとって脅威とみなされる標的グループを攻撃した。また、i-Soonは、MSSおよびMPSの顧客が独自にハッキングを行うためのプラットフォームも販売していた。i-Soonの活動は、Aquatic Panda、Red Alpha、Red Hotel、Charcoal Typhoon、Red Scylla、Hassium、Chromium、TAG-22として公に追跡されている。
Also today, the District Court for the District of Columbia unsealed two indictments of freelance Chinese hackers Yin KeCheng and Zhou Shuai, who maintained ties to i-Soon and the Chinese government. Since 2011, Yin and Zhou have operated in China's InfoSec ecosystem and enriched themselves by selling stolen US information to the Chinese government. Zhou served for a period of time in i-Soon's Strategic Consulting Division. Yin, known in Chinese hacking circles for his prolific targeting of US entities, explained to an associate in 2013 that he wanted to "mess with the American military" and "break into a big target," hoping the proceeds from selling the stolen US data would be enough to purchase a car. On at least one occasion, Yin compromised sensitive data which he turned over to Zhou, who partnered with an i-Soon employee to sell the stolen data. Yin and Zhou's activities are publicly tracked as APT27, Threat Group 3390, Bronze Union, Emissary Panda, Lucky Mouse, Iron Tiger, UTA0178, UNC 5221, and Silk Typhoon. また本日、コロンビア特別区連邦地方裁判所は、i-Soonおよび中国政府とつながりを持つフリーランスの中国人ハッカー、イン・ケチェン(Yin KeCheng)とゾウ・シュアイ(Zhou Shuai)の起訴状2件を非公開扱いを解除した。2011年以来、インとゾウは中国のインフォセック(情報セキュリティ)エコシステムで活動し、盗んだ米国の情報を中国政府に販売することで私腹を肥やしてきた。周はi-Soonの戦略コンサルティング部門で一定期間勤務していた。米国の事業体を標的にした数々の攻撃で知られる中国のハッカー集団のメンバーであるインは、2013年に「米軍を混乱させたい」と「大きな標的を攻撃したい」と仲間たちに語り、盗んだ米国のデータを売却して得た収益で車を一台購入できることを期待していた。少なくとも1度、Yinは機密データを漏洩し、それをZhouに引き渡した。Zhouはi-Soonの従業員と協力して盗んだデータを販売した。YinとZhouの活動は、APT27、脅威グループ3390、ブロンズユニオン、エミサリーパンダ、ラッキーマウス、アイアンタイガー、UTA0178、UNC 5221、シルクタイフーンとして公に追跡されている。

 

 

 


 

⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

APT27

・2023.02.17 欧州 ENISAとCERT-EUが共同で「脅威アクターによる持続的な活動」を公表

・2020.04.06 COVID-19をテーマにしたサイバー攻撃

 

| | Comments (0)

2025.03.14

米国 NIST 第5の耐量子暗号化のアルゴリズムとしてHQCを選択 (2025.03.11)

こんにちは、丸山満彦です。

NISTが、FIPS203として標準規格化された格子暗号をベースにした耐量子暗号アルゴリズムであるML-KEM(Module-Lattice-Based Key-Encapsulation Mechanism)のバックアップとして、誤り訂正符号にもとづいたHQC(Hamming Quasi-Cyclic)を選択したと発表していますね...

 

⚫︎ NIST - ITL

1_20250314064301

・2025.03.11 NIST Selects HQC as Fifth Algorithm for Post-Quantum Encryption

 

NIST Selects HQC as Fifth Algorithm for Post-Quantum Encryption NIST、第5の耐量子暗号化のアルゴリズムとしてHQCを選択
・NIST has chosen a new algorithm for post-quantum encryption called HQC, which will serve as a backup for ML-KEM, the main algorithm for general encryption. ・NISTは、一般暗号化の主要アルゴリズムであるML-KEMのバックアップとして、耐量子暗号化の新たなアルゴリズムとしてHQCを選択した。
・HQC is based on different math than ML-KEM, which could be important if a weakness were discovered in ML-KEM. ・HQCはML-KEMとは異なる数学をベースとしているため、ML-KEMに脆弱性が発見された場合、重要な役割を果たす可能性がある。
・NIST plans to issue a draft standard incorporating the HQC algorithm in about a year, with a finalized standard expected in 2027. ・NISTは、約1年後にHQCアルゴリズムを組み込んだ標準規格のドラフトを発行する予定であり、2027年には標準規格が最終決定される見込みである。
Last year, NIST standardized a set of encryption algorithms that can keep data secure from a cyberattack by a future quantum computer. Now, NIST has selected a backup algorithm that can provide a second line of defense for the task of general encryption, which safeguards internet traffic and stored data alike . 昨年、NISTは、将来の量子コンピュータによるサイバー攻撃からデータを保護できる暗号化アルゴリズムのセットを標準化した。そして今回、NISTは、インターネットトラフィックと保存データの両方を保護する一般的な暗号化のタスクに第二の防御ラインを提供できるバックアップアルゴリズムを選択した。
Encryption protects sensitive electronic information, including internet traffic and medical and financial records, as well as corporate and national security secrets. But a sufficiently powerful quantum computer, if one is ever built, would be able to break that defense. NIST has been working for more than eight years on encryption algorithms that even a quantum computer cannot break. 暗号化は、インターネットトラフィックや医療・財務記録、企業や国家の安全保障上の機密情報など、機密性の高い電子情報を防御する。しかし、もし十分な性能の量子コンピュータが開発された場合、その防御を破ることができる。NISTは8年以上にわたり、量子コンピュータでも破ることができない暗号化アルゴリズムの開発に取り組んできた。
Last year, NIST published an encryption standard based on a quantum-resistant algorithm called ML-KEM. The new algorithm, called HQC, will serve as a backup defense in case quantum computers are someday able to crack ML-KEM. Both these algorithms are designed to protect stored information as well as data that travels across public networks. 昨年、NISTは量子耐性アルゴリズムであるML-KEMに基づく暗号化標準を発表した。 HQCと呼ばれる新しいアルゴリズムは、万が一量子コンピュータがML-KEMを解読できるようになった場合のバックアップ防御策となる。 これらのアルゴリズムはいずれも、保存された情報だけでなく、公共ネットワーク上を移動するデータも防御できるように設計されている。
What is post-quantum cryptography? Read an explainer.  耐量子暗号化とは? 説明を読む。
HQC is not intended to take the place of ML-KEM, which will remain the recommended choice for general encryption, said Dustin Moody, a mathematician who heads NIST’s Post-Quantum Cryptography project.  HQCは、一般的な暗号化の推奨選択肢であり続けるML-KEMに取って代わることを意図したものではないと、NISTの耐量子暗号化プロジェクトを率いる数学者のダスティン・ムーディ氏は述べた。
“Organizations should continue to migrate their encryption systems to the standards we finalized in 2024,” he said. “We are announcing the selection of HQC because we want to have a backup standard that is based on a different math approach than ML-KEM. As we advance our understanding of future quantum computers and adapt to emerging cryptanalysis techniques, it’s essential to have a fallback in case ML-KEM proves to be vulnerable.” 「組織は、2024年に我々が最終決定した標準に暗号化システムを移行し続けるべきである」と彼は述べた。「我々がHQCの選択を発表するのは、ML-KEMとは異なる数学的アプローチに基づくバックアップ標準を確保したいからだ。将来の量子コンピュータに対する理解が進み、新たな暗号解読技術が現れる中で、ML-KEMに脆弱性が認められた場合に備えて、代替策を用意しておくことが不可欠である」
Encryption Based on Two Math Problems 2つの数学問題に基づく暗号化
Encryption systems rely on complex math problems that conventional computers find difficult or impossible to solve. A sufficiently capable quantum computer, though, would be able to sift through a vast number of potential solutions to these problems very quickly, thereby defeating current encryption. 暗号化システムは、従来のコンピュータでは解くのが困難または不可能な複雑な数学問題に依存している。しかし、十分な能力を持つ量子コンピュータであれば、これらの問題の膨大な数の潜在的な解決策を非常に迅速に洗い出すことができ、それによって現在の暗号化を破ることができる。
While the ML-KEM algorithm is built around a mathematical idea called structured lattices, the HQC algorithm is built around another concept called error-correcting codes, which have been used in information security for decades. Moody said that HQC is a lengthier algorithm than ML-KEM and therefore demands more computing resources. However its clean and secure operation convinced reviewers that it would make a worthy backup choice
ML-KEMアルゴリズムは「構造格子」と呼ばれる数学的アイデアに基づいて構築されているが、HQCアルゴリズムは「エラー訂正コード」と呼ばれる別の概念に基づいて構築されている。エラー訂正コードは、情報セキュリティ分野で数十年にわたって使用されてきた。ムーディ氏は、HQCはML-KEMよりもアルゴリズムが長く、そのためより多くのコンピューティングリソースを必要とすると述べた。しかし、そのクリーンで安全な動作により、HQCは有力な選択肢であると審査員を納得させた。
“Organizations should continue to migrate their encryption systems to the standards NIST finalized in 2024. We are announcing the selection of HQC because we want to have a backup standard that is based on a different math approach than ML-KEM.” —Dustin Moody, NIST mathematician and project head 「組織は、2024年にNISTが最終決定した標準規格に暗号化システムを移行し続けるべきである。我々は、ML-KEMとは異なる数学的アプローチに基づくバックアップ標準規格を確保したいと考え、HQCの採用を発表する。」—NISTの数学者でありプロジェクト責任者のダスティン・ムーディ氏
Present and Future Standards 現在および将来の標準規格
HQC is the latest algorithm chosen by NIST’s Post-Quantum Cryptography project, which has overseen efforts since 2016 to head off potential threats from quantum computers. HQC will take its place alongside the four algorithms NIST selected previously. Three of those algorithms have been incorporated into finished standards, including ML-KEM, which forms the core of the standard called FIPS 203.  HQCは、量子コンピュータによる潜在的な脅威を回避するための取り組みを2016年から監督してきたNISTの耐量子暗号化プロジェクトが選定した最新のアルゴリズムである。HQCは、NISTが以前に選定した4つのアルゴリズムと並んで採用されることになる。そのうちの3つのアルゴリズムは、完成した標準規格に組み込まれており、その中にはFIPS 203と呼ばれる標準規格の中核をなすML-KEMも含まれる。
The other two finished standards, FIPS 204 and FIPS 205, contain digital signature algorithms, a kind of “electronic fingerprint” that authenticates the identity of a sender, such as when remotely signing documents. The three finished standards are ready for use, and organizations have already started integrating them into their information systems to future-proof them. 他の2つの完成した標準規格であるFIPS 204とFIPS 205には、デジタル署名アルゴリズムが含まれている。これは、遠隔地から文書に署名する際に送信者の身元を認証する「電子指紋」のようなものである。 これら3つの完成した標準規格はすでに利用可能となっており、企業はすでに自社の情報システムにそれらを統合し、将来に備え始めている。
A draft of the fourth standard, built around the FALCON algorithm, also concerns digital signatures and will be released shortly as FIPS 206 FALCONアルゴリズムを基盤とする第4の標準のドラフトもデジタル署名に関するもので、FIPS 206としてまもなく発表される予定である。
HQC is the only algorithm to be standardized from NIST's fourth round of candidates, which initially included four algorithms meriting further study. NIST has released a report summarizing each of these four candidate algorithms and detailing why HQC was selected
.
HQCは、当初はさらなる研究に値する4つのアルゴリズムが含まれていたNISTの第4候補から標準化された唯一のアルゴリズムである。NISTは、これら4つの候補アルゴリズムのそれぞれを要約し、なぜHQCが選ばれたかを詳細に説明する報告書を公表している。
NIST plans to release a draft standard built around HQC for public comment in about a year. Following a 90-day comment period, NIST will address the comments and finalize the standard for release in 2027. NISTは、HQCを基盤とした標準規格の草案を約1年後に公開し、一般からの意見を募る予定である。90日間の意見募集期間を経て、NISTは寄せられた意見に対応し、2027年に標準規格を最終決定する。
Draft Guidance for KEM Algorithms KEMアルゴリズムのドラフトガイダンス
One thing HQC has in common with ML-KEM is that they are both what experts call “key encapsulation mechanisms,” or KEMs. A KEM is used over a public network as a sort of first handshake between two parties that want to exchange confidential information.  HQCとML-KEMの共通点は、両者とも専門家が「キーカプセル化メカニズム(KEM)」と呼ぶものであるということだ。 KEMは、機密情報を交換したい2つの当事者間の最初の握手のようなものとして、公開ネットワーク上で使用される。 
NIST has recently published draft guidance for implementing KEM algorithms. This guidance, Recommendations for Key Encapsulation Mechanisms (NIST Special Publication 800-227), describes the basic definitions, properties and applications of KEMs. It also provides recommendations for implementing and using KEMs in a secure manner. NIST hosted a virtual Workshop on Guidance for KEMs in February, and the draft was open for public comment until March 7, 2025. NISTは最近、KEMアルゴリズムの実装に関するドラフトガイダンスを公表した。このガイダンス「キーカプセル化メカニズムの推奨(NIST特別刊行物800-227)」では、KEMの基本的な定義、特性、用途について説明している。また、KEMを安全に実装および使用するための推奨事項も提供している。NISTは2月にKEMのガイダンスに関する仮想ワークショップを開催し、ドラフトは2025年3月7日まで一般からの意見を受け付けていた。

 

ちなみにすでに標準化されているものは、

2024.08.13 FIPS 203 Module-Lattice-Based Key-Encapsulation Mechanism Standard モジュール-格子ベースの鍵カプセル化メカニズム標準 鍵交換
2024.08.13 FIPS 204 Module-Lattice-Based Digital Signature Standard モジュール-格子ベースのデジタル署名標準 デジタル署名
2024.08.13 FIPS 205 Stateless Hash-Based Digital Signature Standard ステートレスハッシュベースのデジタル署名標準 デジタル署名

 

これから

2025? FIPS 206? Fast Fourier Lattice-based Compact Signatures over NTRU NTRUベース高速フーリエ格子ベースコンパクト署名 デジタル署名
2027? FIPS 207? HQC(Hamming Quasi-Cyclic) ハミング準巡回的 鍵交換

というかんじですかね...

 

 


 

⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

NISTの耐量子暗号

・2025.03.14 米国 NIST 第5の耐量子暗号化のアルゴリズムとしてHQCを選択 (2025.03.11)

・2025.03.14 米国 NIST IR 8545 NISTの耐量子暗号標準化プロセスの第4ラウンドに関する現状報告書

・2025.03.11 米国 NIST CSWP 39(初期公開ドラフト) 暗号化の機敏性を実現するための考慮事項:戦略と実践

・2025.01.10 米国 NIST SP 800-227(初期公開ドラフト) キーカプセル化メカニズムに関する推奨事項

・2024.11.16 米国 NIST IR 8547(初期公開ドラフト) 耐量子暗号標準への移行について

・2024.11.03 米国 NIST IR 8528 耐量子暗号標準化プロセスにおける追加デジタル署名スキームの第一ラウンドに関する状況報告書

 

・2024.08.14 米国 NIST 耐量子暗号化標準の最初の3つ (FIPS 203, 204, 205) を確定

 

・2023.12.22 NIST SP 1800-38(初期ドラフト)耐量子暗号への移行: 量子安全暗号の実装と採用を検討するための準備

・2023.08.22 米国 CISA NSA NIST 量子対応:耐量子暗号への移行

・2022.10.02 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告(参考文献の追加)

・2022.07.07 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告

 

ENISA

・2022.10.21 ENISA ポスト量子暗号 - 統合研究

 

日本...

・2024.10.25 政府認証基盤 (GPKI) 政府認証基盤相互運用性仕様書(移行期間編)と移行完了編)  (2024.10.11)

・2024.09.16 金融庁 「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会」(第1回)議事要旨 (会議は2024.07.18)

・2023.09.29 日本銀行金融研究所 量子コンピュータが暗号に及ぼす影響にどう対処するか:海外における取組み

 

 

| | Comments (0)

米国 NIST IR 8545 NISTの耐量子暗号標準化プロセスの第4ラウンドに関する現状報告書

こんにちは、丸山満彦です。

NISTが IR 8545 NISTの耐量子暗号標準化プロセスの第4ラウンドに関する現状報告書を公表していますね...

NISTは鍵確立ポートフォリオを拡充するためにHQCをベースとした標準を開発することにしたようですね...

 

 ⚫︎ NIST - ITL

・2025.03.11 NIST IR 8545 Status Report on the Fourth Round of the NIST Post-Quantum Cryptography Standardization Process

 

NIST IR 8545 Status Report on the Fourth Round of the NIST Post-Quantum Cryptography Standardization Process NIST IR 8545 NISTの耐量子暗号標準化プロセスの第4ラウンドに関する現状報告書
Abstract 要約
NIST is selecting public-key cryptographic algorithms through a public, competition-like process to specify additional digital signature, public-key encryption, and key-establishment algorithms to supplement FIPS 186-5, SP 800-56Ar3, and SP 800-56Br2. These algorithms are intended to protect sensitive information well into the foreseeable future, including after the advent of quantum computers. In the fourth round of the Post-Quantum Cryptography Standardization Process, NIST selected four candidate algorithms for key establishment to be studied: BIKE, Classic McEliece, HQC, and SIKE. This report describes the evaluation and selection process of these fourth-round candidates based on public feedback and internal review. The report summarizes each of the candidate algorithms and identifies those selected for standardization. The only key-establishment algorithm that will be standardized is HQC, and NIST will develop a standard based on HQC to augment its key-establishment portfolio. NISTは、FIPS 186-5、SP 800-56Ar3、およびSP 800-56Br2を補完するデジタル署名、公開鍵暗号、および鍵確立アルゴリズムを追加指定するために、公開の競争のようなプロセスを通じて公開鍵暗号アルゴリズムを選定している。これらのアルゴリズムは、量子コンピュータの出現後も含め、今後予測される将来にわたって機密情報を防御することを目的としている。NISTは、耐量子暗号標準化プロセスの第4ラウンドにおいて、研究対象となる鍵確立のための4つの候補アルゴリズム、BIKE、Classic McEliece、HQC、SIKEを選定した。本報告書では、公開フィードバックと内部レビューに基づく、この第4ラウンドの候補アルゴリズムの評価と選定プロセスについて説明している。また、各候補アルゴリズムを要約し、標準化に選定されたものを識別している。標準化される鍵確立アルゴリズムはHQCのみであり、NISTは鍵確立ポートフォリオを拡充するためにHQCをベースとした標準を開発する。

 

・[PDF] NIST.IR.8545

20250314-65208

 

 


⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

NISTの耐量子暗号

・2025.03.14 米国 NIST 第5の耐量子暗号化のアルゴリズムとしてHQCを選択 (2025.03.11)

・2025.03.14 米国 NIST IR 8545 NISTの耐量子暗号標準化プロセスの第4ラウンドに関する現状報告書

・2025.03.11 米国 NIST CSWP 39(初期公開ドラフト) 暗号化の機敏性を実現するための考慮事項:戦略と実践

・2025.01.10 米国 NIST SP 800-227(初期公開ドラフト) キーカプセル化メカニズムに関する推奨事項

・2024.11.16 米国 NIST IR 8547(初期公開ドラフト) 耐量子暗号標準への移行について

・2024.11.03 米国 NIST IR 8528 耐量子暗号標準化プロセスにおける追加デジタル署名スキームの第一ラウンドに関する状況報告書

 

・2024.08.14 米国 NIST 耐量子暗号化標準の最初の3つ (FIPS 203, 204, 205) を確定

 

・2023.12.22 NIST SP 1800-38(初期ドラフト)耐量子暗号への移行: 量子安全暗号の実装と採用を検討するための準備

・2023.08.22 米国 CISA NSA NIST 量子対応:耐量子暗号への移行

・2022.10.02 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告(参考文献の追加)

・2022.07.07 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告

 

ENISA

・2022.10.21 ENISA ポスト量子暗号 - 統合研究

 

日本...

・2024.10.25 政府認証基盤 (GPKI) 政府認証基盤相互運用性仕様書(移行期間編)と移行完了編)  (2024.10.11)

・2024.09.16 金融庁 「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会」(第1回)議事要旨 (会議は2024.07.18)

・2023.09.29 日本銀行金融研究所 量子コンピュータが暗号に及ぼす影響にどう対処するか:海外における取組み

 

 

 

| | Comments (0)

シンガポール オープンソースソフトウェアとサードパーティ依存のSBOMとリアルタイム脆弱性監視に関するアドバイザリー (2025.02.20)

こんにちは、丸山満彦です。

シンガポールのサイバーセキュリティ庁が、OWASPと協力してソフトウェア開発者に対し、脆弱性管理に対する持続可能で自動化されたアプローチを実装する方法についてのガイダンスを公表していましたね...

SBOMの必要性は理解はされているが、実装はなかなか難しいというのは、どこでも同じかもです。でも、必要ですよね...

 

⚫︎ Cyber Security Authority: CSA

・2025.02.20 Advisory on Software Bill of Materials and Real-time Vulnerability Monitoring for Open-Source Software and Third-Party Dependencies

 

・[PDF

20250314-42217

 

Advisory on Software Bill of Materials and Real-time Vulnerability Monitoring for Open-Source Software and Third Party Dependencies オープンソースソフトウェアとサードパーティ依存関係のソフトウェア部品表とリアルタイム脆弱性モニ タリングに関する助言
Introduction 序文
1. The integration of Open-Source Software (OSS) in software development introduces significant cybersecurity challenges, particularly regarding vulnerabilities in third-party dependencies. Notable incidents, such as Log4j and Heartbleed, underscore these risks. On Log4j, many organisations struggled to assess system compromises due to a lack of visibility into their software components and dependencies, with delayed responses to discovered vulnerabilities. On Heartbleed, it affected the widely used OpenSSL cryptography library, leading to the theft of 4.5 million medical records from a major overseas hospital chain. 1. ソフトウェア開発におけるオープンソースソフトウェア(OSS)の統合は、特にサードパーティ依存の脆弱性に関して、重大なサイバーセキュリティ上の課題をもたらす。Log4jやHeartbleedのような注目すべきインシデントが、こうしたリスクを浮き彫りにしている。Log4jでは、ソフトウェア・コンポーネントや依存関係の可視化が不十分であったため、多くの組織がシステム侵害のアセスメントに苦慮し、脆弱性の発見に対する対応が遅れた。Heartbleedについては、広く使われているOpenSSL暗号ライブラリに影響を及ぼし、海外の大手病院チェーンから450万件の医療記録が盗まれることになった。
2. These dependency threats are exacerbated by extent of third-party dependencies and critical vulnerabilities found in software development projects. According to studies, there are on average 68.8[1] dependencies per project and 5.1[2] critical vulnerabilities in an application. If developers are unaware of the full composition of their applications, the risks of cybersecurity breaches are significant. In the light of such trends, there is an impetus for developers to easily identify and address OSS dependencies to mitigate cybersecurity risks. 2. このような依存関係の脅威は、サードパーティーの依存性の広さと、ソフトウェア開発プロジェクトで発見された重大な脆弱性によって悪化している。調査によると、1つのプロジェクトあたり平均68.8[1]の依存性と5.1[2]の重大な脆弱性がアプリケーションに存在する。開発者が自分のアプリケーションの完全な構成を知らない場合、サイバーセキュリティ侵害のリスクは大きい。このような傾向を踏まえ、サイバーセキュリティリスクを緩和するために、開発者は OSS の依存関係を容易に識別し、対処することが求められている。
Intended audience of advisory 助言の対象読者
3. The advisory is intended for all software developers, especially those who incorporate OSS and third-party dependencies into their projects. While many developers are aware of cybersecurity risks, they may not have the resources and guidance to enforce cybersecurity during software development and implementation. To aid developers, the advisory offers guidance on a sustainable and automated approach to vulnerability management through Software Bill of Materials (SBOM) and real-time vulnerability monitoring. 3. この勧告は、すべてのソフトウェア開発者、特に OSS やサードパーティとの依存関係をプロジェクトに組み込んでい る開発者を対象としている。多くの開発者はサイバーセキュリティリスクを認識しているが、ソフトウ ェアの開発・実装時にサイバーセキュリティを実施するためのリソースやガイダンスを持っていない可能性がある。開発者を支援するために、この勧告では、ソフトウェア部品表(SBOM)とリアルタイムの脆弱性監視を通じた脆弱性管理の持続可能で自動化されたアプローチに関するガイダンスを提供している。
Value proposition of SBOM and real-time monitoring of vulnerabilities SBOMと脆弱性のリアルタイム・モニタリングの価値提案
4. The traditional way of manually managing OSS dependencies is inefficient and prone to errors. Furthermore, developers must sift through complex codebases to identify and fix vulnerable software components. 4. OSSの依存関係を手作業で管理する従来の方法は、非効率的でエラーが発生しやすい。さらに、開発者は脆弱性のあるソフトウェア・コンポーネントを特定し、修正するために、複雑なコードベースをふるいにかけなくてはならない。
5. Generating Software Bill of Materials (SBOM) ensures developers are not using known vulnerable dependencies and provide them full visibility into software components. SBOM provides a structured and formal record of components used to build software. It equips organisations with a clear view of their software environment, ensuring that vulnerabilities can be managed more effectively. Through the integration of SBOM tools into software development workflows, developers can automatically track each component from the start, reducing manual effort and human error. It enables them to significantly reduce technical debt by identifying outdated or vulnerable components much earlier, in turn decreasing future remediation workloads. 5. ソフトウェア部品表(SBOM)を生成することで、開発者が既知の脆弱な依存関係を使用していないことを保証し、ソフトウェア部品に対する完全な可視性を提供する。SBOMは、ソフトウェア構築に使用されるコンポーネントの構造化された正式な記録を提供する。これにより、組織はソフトウェア環境を明確に把握できるようになり、脆弱性をより効果的に管理できるようになる。SBOMツールをソフトウェア開発ワークフローに統合することで、開発者は各コンポーネントを最初から自動的に追跡できるようになり、手作業や人的ミスを減らすことができる。これにより、開発者は、古くなったコンポーネントや脆弱性のあるコンポーネントをより早い段階で特定し、技術的負債を大幅に削減することができる。
6. SBOM also improves response times by allowing developers to quickly identify and fix vulnerable components and collaborate across the organisation for holistic vulnerability management. This streamlined process not only minimises complexity but also fosters collaboration among developers and cybersecurity professionals, allowing cybersecurity risks to be addressed proactively without stifling innovation. If SBOM is integrated into CI/CD pipelines, it allows real-time monitoring of new vulnerabilities through automation of SBOM generation, signing and alerts. The SBOM can also be used to foster collaboration across teams, including SecOps, Incident Response (IR) and development teams for holistic vulnerability management and improved response times. 6. SBOMはまた、開発者が脆弱性コンポーネントを迅速に特定して修正し、組織全体で協力して全体的な脆弱性管理を行えるようにすることで、対応時間を改善する。この合理化されたプロセスは、複雑さを最小限に抑えるだけでなく、開発者とサイバーセキュリティ専門家のコラボレーションを促進し、イノベーションを阻害することなく、サイバーセキュリティリスクにプロアクティブに対処することを可能にする。SBOMをCI/CDパイプラインに統合すれば、SBOMの生成、署名、アラートの自動化を通じて、新しい脆弱性をリアルタイムで監視できる。SBOMはまた、SecOps、インシデントレスポンス(IR)、開発チームを含むチーム間のコラボレーションを促進し、全体的な脆弱性管理とレスポンスタイムの改善に利用できる。
Three step approach to managing vulnerabilities through SBOMs SBOMによる脆弱性管理の3ステップアプローチ
20250314-50930
Figure 1. Three step approach to managing vulnerabilities through SBOMs 図1. SBOMによる脆弱性管理の3ステップアプローチ
7. The three-step approach is as follows[3] : 7. 3段階のアプローチは以下のとおりである[3]:
• Select tool: The chosen tool should accurately identify and list components as well as direct[4] and indirect[5] dependencies of the software. The tool should also integrate seamlessly with continuous integration/continuous deployment (CI/CD)[6] pipelines such as GitHub Actions, GitLab CI/CD or equivalent software. - ツールを選択する: 選択したツールは、ソフトウェアの直接[4]および間接的[5]な依存関係だけでなく、コンポーネントを正確に識別してリスト化する必要がある。また、ツールは、GitHub Actions、GitLab CI/CD、または同等のソフトウェアなどの継続的インテグレーション/継続的展開(CI/CD)[6]パイプラインとシームレスに統合する必要がある。
• Generate and sign the SBOM: The tool should be used to generate an SBOM that complies with industry standards such as CycloneDX or SPDX[7] . Signing the SBOM after its generation ensures authenticity and provides assurance that it originates from a trusted source. Developers should leverage on available tools[8] to publish signed records into transparency logs, enhancing trust and verifiability through immutable records of signing events. - SBOM の生成と署名:ツールは、CycloneDX や SPDX[7]などの業界標準に準拠した SBOM を生成するために使用されるべきである。生成後に SBOM に署名することで、認証が保証され、信頼できるソースから生成されたことが保証される。開発者は利用可能なツール[8]を活用して、署名されたレコードを透明性ログに公開し、署名イベントの不変の記録を通じて信頼性と検証可能性を高めるべきである。
• Proactive vulnerability management: The generated SBOM should be published to a secure repository and automatically ingested by tools like OWASP Dependency-Track[9] for continuous vulnerability monitoring and Nday vulnerability identification. - プロアクティブな脆弱性管理: 生成された SBOM を安全なリポジトリに公開し、OWASP Dependency-Track[9]のようなツールに自動的に取り込ませて、脆弱性の継続的なモニタリングと Nday 脆弱性の特定を行う。
8. As the software development environment varies for each system, developers should also take note of the following practical considerations: 8. ソフトウェア開発環境はシステムごとに異なるため、開発者は以下の実用的な考慮事項にも留意すべきである:
• The SBOM is only as comprehensive as the manifest files generated. If the codebase includes obscure or less common programming languages, some dependencies may not be detected; - SBOM は、生成的なマニフェストファイルと同程度に包括的である。コードベースに不明瞭なプログラミング言語や一般的でないプログラミング言語が含まれている場合、一部の依存関係が検知されない可能性がある。
• For SaaS and closed-source software, developers should request the SBOMs from their third-party providers as these SBOMs provide the most comprehensive coverage of the software components and dependencies. If developers are unable to obtain SBOMs from their third-party providers, the selected SBOM generation tool need to be able to perform supplementary checks in the respective environments. In particular, SaaS software could use runtime SBOMs[10] , capturing dynamically loaded or run-time injected components during execution. For closed-source software, binary-based SBOM tools[11] could be used to create an inventory of the software components used. Such tools inspect the compiled binary code, which is the final product of the software. Once developers discover vulnerabilities through the SBOMs, they need to inform their third-party providers to remediate them; - SaaS およびクローズドソースソフトウェアの場合、開発者はサードパーティプロバイダに SBOM を要求すべきである。これらの SBOM はソフトウェアコンポーネントと依存関係を最も包括的にカバーしているからである。開発者がサードパーティプロバイダからSBOMを入手できない場合、選択したSBOM生成ツールは、それぞれの環境で補足的なチェックを実行できる必要がある。特にSaaSソフトウェアでは、実行時に動的にロードされるコンポーネントや実行時に注入されるコンポーネントをキャプチャする、ランタイムSBOM[10]を使用することができる。クローズドソースソフトウェアの場合、バイナリベースのSBOMツール[11]を使用して、使用されているソフトウェアコンポーネントのインベントリを作成することができる。このようなツールは、ソフトウェアの最終成果物であるコンパイル済みバイナリコードを検査する。開発者は、SBOMを通じて脆弱性を発見したら、その脆弱性を修正するようにサードパーティ・プロバイダに通知する必要がある。
• Developers need to verify identified vulnerabilities for exploitability as the vulnerabilities may not be relevant in their software development environments. Without appropriate verification, there could be a high volume of vulnerabilities surfaced through the SBOM and developers risk being overwhelmed with false positives and time spent on subsequent remediation. Developers should start the verification process by using industry filters such as CISA’s Known Exploited Vulnerabilities (KEV)[12] that only alerts on CVEs that are actively exploited. Once the vulnerabilities are filtered, vulnerabilities can be assessed for the likelihood of being exploited through the Exploit Prediction Scoring System (EPSS)[13] . After identifying vulnerabilities that are likely to be exploited, they can be prioritised for remediation using Common Vulnerability Scoring Systems (CVSS), which rates the severity of vulnerabilities. - 開発者は、特定された脆弱性の悪用可能性を検証する必要がある。脆弱性は、開発者のソフトウェア開発環境では関連性がない可能性があるからである。適切な検証を行わなければ、SBOMを通じて大量の脆弱性が表面化する可能性があり、開発者は誤検知に圧倒され、その後の修正に時間を費やすリスクがある。開発者は、CISAのKnown Exploited Vulnerabilities(KEV)[12]のような、活発に悪用されているCVEのみに警告を発する業界フィルタを使用して検証プロセスを開始すべきである。脆弱性のフィルタリングが完了したら、エクスプロイト予測スコアリングシステム(Exploit Prediction Scoring System:EPSS)[13]を用いて脆弱性が悪用される可能性を評価することができる。悪用される可能性の高い脆弱性を特定した後は、脆弱性の深刻度を評価する共通脆弱性スコアリングシステム(CVSS)を用いて、脆弱性を改善するための優先順位をつけることができる。
Automating capabilities in code repositories platforms to manage OSS vulnerabilities OSSの脆弱性を管理するために、コードリポジトリプラットフォームの機能を自動化する
9. Both commercial and Open-Source Software projects commonly rely on opensource dependencies, typically hosted on code repository platforms such as GitHub and GitLab. As central hubs for OSS development, GitHub and GitLab are used by developers who collaborate on projects of varying scope and complexity. Given the widespread use of such code repository platforms, managing vulnerabilities are even more critical for maintaining a secure software ecosystem. Such environments provide automated workflow functionalities on managing vulnerabilities, with automation enabling a seamless integration of security practices into the development process. 9. 商業プロジェクトもオープンソースソフトウェアプロジェクトも、一般的にオープンソースの依存関係に依存しており、GitHub や GitLab のようなコードリポジトリプラットフォームにホストされている。OSS開発の中心的なハブとして、GitHubとGitLabは、様々な範囲と複雑さのプロジェクトで共同作業する開発者によって使用されている。このようなコード・リポジトリ・プラットフォームが広く使用されていることを考えると、脆弱性の管理は、安全なソフトウェア・エコシステムを維持するためにさらに重要になっている。このような環境は、脆弱性の管理に関する自動化されたワークフロー機能を提供し、自動化によって、開発プロセスにセキュリティ対策をシームレスに統合することを可能にする。
10. Developers should use tools such as GitHub Actions and GitLab CI/CD that allow for the automated creation and vulnerability checking of SBOMs. While SBOM signing is not a native feature, external tools[14] can be integrated into the workflow. Refer to Annex A for the full script that automates these actions for GitHub Actions and a similar workflow can be implemented for GitLab CI/CD (Annex B). 10. 開発者は、GitHub Actions や GitLab CI/CD のような、SBOM の自動作成と脆弱性チェックを可能にするツールを使用すべきである。SBOM署名はネイティブな機能ではないが、外部ツール[14]をワークフローに統合することができる。GitHub Actionsのこれらのアクションを自動化するスクリプトの完全版については附属書Aを参照のこと。GitLab CI/CDについても同様のワークフローを実装することができる(附属書B)。
11. Developers should either remove vulnerable components if the functionalities provided through these components are not crucial or update these components to non-vulnerable versions. Developers should thoroughly test their applications to verify the application works as intended and update the SBOM documentation to record which components were removed and updated. This approach enhances the cybersecurity of the software and protects users from known exploits. 11. 開発者は、脆弱性のあるコンポーネントを通じて提供される機能が重要でない場合は、脆弱性のあるコンポーネントを削除するか、脆弱性のないバージョンに更新する。開発者は、アプリケーションが意図したとおりに動作することを検証するためにアプリケーションを徹底的にテストし、どのコンポーネントが削除され更新されたかを記録するために SBOM ドキュメントを更新するべきである。このアプローチは、ソフトウェアのサイバーセキュリティを強化し、既知の悪用からユーザを保護する。
12. Developers should publish SBOM, its signature and certificate alongside the digital files. This allows downstream users in the software development ecosystem to easily access and verify the SBOM, ensuring that they are working with a secure and authentic version of the software. Users can also leverage the SBOM to continuously monitor for new vulnerabilities. 12. 開発者は、SBOM、その署名、および証明書をデジタルファイルと一緒に公開する。これにより、ソフトウェア開発エコシステムの下流のユーザーは、SBOM に簡単にアクセスして検証することができ、安全で認証されたバージョンのソフトウェアを使用していることを確認できる。ユーザーはまた、SBOM を活用して、新しい脆弱性を継続的に監視することもできる。
Real-time monitoring of vulnerabilities through OWASP Dependency Track OWASP Dependency Track による脆弱性のリアルタイム監視
13. OWASP Dependency Track (DT) provides real-time vulnerability monitoring capabilities through SBOM ingestion and continual checking against current threat intelligence. OWASP Dependency Track (DT) goes beyond basic scanning by incorporating the Exploit Prediction Scoring System (EPSS), allowing developers to prioritise vulnerabilities based on their likelihood of exploitation. Refer to Annex C for more details on the deployment of OWASP DT. 13. OWASP Dependency Track(DT)は、SBOM の取り込みと、最新の脅威インテリジェンスとの継続的なチェッ クを通じて、リアルタイムの脆弱性監視機能を提供する。OWASP Dependency Track(DT)は、Exploit Prediction Scoring System(EPSS)を組み込むことで、基本的なスキャンを超え、開発者が悪用の可能性に基づいて脆弱性に優先順位をつけることを可能にする。OWASP DT の展開の詳細については、附属書 C を参照されたい。
14. Developers should integrate the OWASP DT tool into CI/CD pipelines for realtime monitoring, consistent automation of SBOM generation and signing, and alerts for new vulnerabilities. Developers should securely store signed SBOM into centralised repositories to support collaboration across teams, including SecOps, Incident Response (IR) and development teams. In addition, developers need to establish governance policies for SBOM storage, access control and lifecycle management in collaboration with their Chief Information Security Officers (CISOs). 14. 開発者は、リアルタイムの監視、SBOM 生成と署名の一貫した自動化、および新たな脆弱性に対する警告のために、OWASP DT ツールを CI/CD パイプラインに統合すること。開発者は、SecOps、インシデントレスポンス(IR)、開発チームを含むチーム間のコラボレーションをサポートするために、署名された SBOM を一元化されたリポジトリに安全に保管すべきである。さらに、開発者は、最高情報セキュリティ責任者(CISO)と協力して、SBOMの保管、アクセス管理、ライフサイクル管理に関するガバナンスポリシーを確立する必要がある。
Conclusion 結論
15. SBOMs and real-time monitoring of vulnerabilities provide developers a sustainable and automated approach to address risks posed by Open-Source Software (OSS) and third-party software components, in turn enhancing the cybersecurity posture of the software supply chain. Such an approach allows developers and system owners to have visibility on software components and dependencies and improve response times to address vulnerabilities. 15. SBOMと脆弱性のリアルタイムモニタリングは、オープンソースソフトウェア(OSS)とサードパーティ製ソフトウェアコンポーネントがもたらすリスクに対処するための持続可能で自動化されたアプローチを開発者に提供し、ひいてはソフトウェアサプライチェーンのサイバーセキュリティ態勢を強化する。このようなアプローチにより、開発者とシステムオーナーは、ソフトウェアコンポーネントと依存関係を可視化し、脆弱性に対処するためのレスポンスタイムを改善することができる。
Acknowledgement 謝辞
16. This advisory was jointly developed by the Cyber Security Agency of Singapore and OWASP Foundation. 16. この勧告は、シンガポールのサイバーセキュリティ庁と OWASP 財団が共同で作成した。
Disclaimer 免責事項
17. The information and advice contained in this document is provided "as is" without any warranties or guarantees. Reference herein to any specific commercial products, process, or service by trade name, trademark, manufacturer, or otherwise, does not constitute or imply its endorsement, recommendation, or favouring by the Cyber Security Agency of Singapore, OWASP Foundation or GitHub. This document shall not be used for advertising or product endorsement purposes. 17. 本文書に含まれる情報および助言は、いかなる保証もなく「現状のまま」プロバイダとして提供される。商号、商標、製造事業者、その他による特定の商用製品、プロセス、サービスへの言及は、Cyber Security Agency of Singapore、OWASP Foundation、GitHub による推奨、推薦、支持を意味するものではない。本文書は、広告や製品の推奨を目的として使用してはならない。
List of References 参考文献一覧
S/N Document Source Year of Publication S/N 文書出典 発行年
1 The Minimum Elements for a Software Bill of Materials (SBOM) NTIA 2021 1 The Minimum Elements for a Software Bill of Materials (SBOM) NTIA 2021
2 Addressing Cybersecurity Challenges in OpenSource Software OpenSSF 2022 2 Addressing Cybersecurity Challenges in OpenSource Software OpenSSF 2022
3 Guidance on Introduction of Software Bill of Materials (SBOM) for Software Management METI 2023 3 Guidance on Introduction of Software Bill of Materials (SBOM) for Software Management METI 2023
4 Recommendations for Software Bill of Materials (SBOM) Management NSA 2024 4 Recommendations for Software Bill of Materials (SBOM) Management NSA 2024
5 Documentation on OWASP Dependency-Track OWASP 2024, v4.11 5 Documentation on OWASP Dependency-Track OWASP 2024, v4. 
6 CycloneDX Authoritative Guide to SBOM OWASP 2024, 2nd edition 6 CycloneDX Authoritative Guide to SBOM OWASP 2024, 2nd edition
Annex A – Sample workflow. yaml script for GitHub Actions 附属書 A - サンプルワークフロー。GitHub Actions 用 yaml スクリプト
Annex B – Sample workflow. yaml script for GitLab CI/CD 附属書 B - サンプルワークフロー。GitLab CI/CD 用 yaml スクリプト
Annex C – Deploying and using Dependency-Track 附属書 C - Dependency-Track の展開と使用。

 

[1] PDF  
[2] [web]  
[3] The approach is adapted from existing best practices found in sources 1,3 to 6 of bibliography.  [3] このアプローチは、参考文献のソース1,3から6にある既存のベストプラクティスから採用されている。
[4] Direct refers to software components that are explicitly required by the code.  [4] 直接とは、コードによって明示的に必要とされるソフトウェアコンポーネントを指す。
[5] Indirect refers to software components required by the direct dependencies.  [5] 間接的とは、直接的な依存関係によって必要とされるソフトウェア・コンポーネントを指す。
[6] GitHub Actions and GitLab CI/CD are CI/CD tools to automate workflows like building, testing, and deploying code.  [6] GitHub ActionsとGitLab CI/CDは、コードのビルド、テスト、展開のようなワークフローを自動化するためのCI/CDツールである。
[7] These are industry standards for SBOM creation, distribution, and consumption, enabling interoperability and integration into existing workflows.  [7] これらはSBOMの作成、配布、消費のための業界標準であり、相互運用性と既存のワークフローへの統合を可能にしている。
[8] An example of such a tool is Sigstore, which provides signing, verification, and provenance checks to secure Open-Source Software distribution.  [8] このようなツールの例として、オープンソースソフトウェアの安全な配布のために、署名、検証、出所チェックを提供するSigstoreがある。
[9] OWASP Dependency-Track tracks and identify software vulnerabilities through SBOM analysis.  [9] OWASP Dependency-Trackは、SBOM分析を通じてソフトウェアの脆弱性を追跡し、特定する。
[10] Runtime SBOMs requires the system to be analysed when running. Some detailed information may be available only after the system has been run for a period of time until the complete functionality has been exercised. Example of runtime SBOM tools are Anchor Syft and Slim.AI.  [10] ランタイムSBOMは、実行時にシステムを分析することを要求する。一部の詳細情報は、完全な機能が発揮されるまで、システムが一定期間実行された後にのみ利用可能となる場合がある。実行時SBOMツールの例としては、Anchor SyftとSlim.AIがある。
[11] Example of binary-based SBOM tools are Black Duck Binary Analysis and Tern.  [11] バイナリベースの SBOM ツールの例としては、Black Duck Binary Analysis と Tern がある。
[12] CISA’s Known Exploited Vulnerabilities (KEV) is a catalogue of actively exploited vulnerabilities to help prioritise security remediation.  [12] CISAの既知の脆弱性(KEV:Known Exploited Vulnerabilities)は、積極的に悪用されている脆弱性のカタログであり、セキュリティ改善の優先順位付けに役立つ。
[13] Exploit Prediction Scoring System (EPSS) is a predictive model that scores the probability of a software vulnerability being exploited, aiding in prioritising security responses.  [13] Exploit Prediction Scoring System(EPSS)は、ソフトウェアの脆弱性が悪用される確率をスコア化する予測モデルであり、セキュリティ対応の優先順位付けに役立つ。
[14] An example is Cosign, which is a tool to sign, verify and attest software artifacts securely.  [14] Cosign は、ソフトウェア成果物に安全に署名、検証、証明するツールである。

 

 

| | Comments (0)

2025.03.13

英国 共有ワークスペース - ユーザーガイダンス第5版 (2025.03.10)

こんにちは、丸山満彦です。

英国の主に物理的なセキュリティに関わる国家防御安全局(National Protective Security Authority: NPSA)と主にサイバーセキュリティに関わる国家サイバーセキュリティセンター (National Cyber Security Centre: NCSC) が共同で共有ワークスペース - ユーザーガイダンス (Shared Workspaces - Users Guidance) を更新していますね...

丁寧な説明になっています...

 

⚫︎ National Protecrive Security Authority: NPSA

・2025.03.10 Shared Workspaces - Users Guidance

目次...

Introduction 序文
Types of Shared Workspaces 共有ワークスペースの種類
Who are you at risk from? 誰からリスクを受けるのか?
User Archetypes ユーザーの典型
Proportionate Security Measures 比例するセキュリティ対策
Security Culture セキュリティ文化
Privacy in the Workspace ワークスペースにおけるプライバシー
Access Management アクセス管理
Physical Security Systems 物理的セキュリティシステム
Cyber Security サイバーセキュリティ
References 参考文献

 

ウェブの方が読みやすいですが、一応PDFも...

・[PDF]

20250313-60819

 

 

 

| | Comments (0)

FIRST 戦略計画2025-2028と戦略を作るためのフレームワークを公表... (2025.03.03)

こんにちは、丸山満彦です。

サイバーセキュリティに関わっている方であれば、FIRSTという団体の名前を聞いたことがあると思います。2023年の第36回のAnnual Conferenceは福岡で開催されましたね。。。

 Red, Amber, GreenのTrafic Light Protocol: TLP (Ver2.0日本語版) を定めている団体というと親近感がわくかもです...

FIRSTは、Forum of Incident Response and Security Teams [wikipdeia] の略で、サイバーインシデント対応のためにお互いが協力し合えるような信頼できるメンバーによる団体という感じでしょうかね...

1990年に米国で始まった団体ですが、今では111カ国、165のリエゾン、762のチームが参加する団体です...1995年に法人化した時の本社はカリフォルニア州でしたが、2014年にノースカロライナ州に移転しています。

日本では山口英先生のおかげてJPCERT/CCが早期に加盟しています。それを足がかりに日本の主要な企業の多くもFIRSTに参加し、インシデントレスポンスの対応に協力していますね...そして、FIRSTには、Suguru Yamaguchi Fellowship Programがあります。FIRSTに入りたいけど十分な経験がないという国のメンバーを支えるための4年間のプログラムです。すでに終了したのは、15CERT、現在のフェローシップは、南アフリカ、セルビア、ペナン、フィリピン、モザンビーク、トリニダード・トバゴ、モーリタニア、ナミビア等16のCERTです。

JPCERT/CCの理事もしていた山口先生がFIRSTの設立時からの関与があったので、山口先生がFIRSTの理事もしていましたが、その後もJPCERT/CCから小宮山さん、そして現在では内田さんがFIRSTの理事として就任しています。

今回FIRSTの戦略が公開されたわけですが、その前にFIRSTのVisionとMissionsのおさらいからです...

1995年に初版ができて、2020年に改訂されたものです。

・2020.07 FIRST Vision and Mission Statement

Vision ビジョン
FIRST aspires to bring together incident response and security teams from every country across the world to ensure a safe internet for all. FIRSTは、すべての人にとって安全なインターネットを確保するために、世界各国のインシデント対応チームとセキュリティ・チームを結集することを目指している。
Effective response is a global task, mirroring the global nature of the internet. Based on a peer to peer network governance model, Computer Security Incident Response Teams (CSIRTs), Product Security Incident Response Teams (PSIRTs) and independent security researchers work together to limit the damage of security incidents. This requires a high level of trust; the fuel our members run on. FIRST fosters trust building among members through a variety of activities. Incidents are not confined to one cultural or political corner of the internet, nor do they respect borders or boundaries. FIRST thus promotes inclusiveness, inviting membership from all geographic and cultural regions. 効果的な対応は、インターネットのグローバルな性質を反映したグローバルなタスクである。ピア・ツー・ピアのネットワーク・ガバナンス・モデルに基づき、コンピュータ・セキュリティ・インシデント対応チーム(CSIRT)、製品セキュリティ・インシデント対応チーム(PSIRT)、独立系セキュリティ研究者が協力して、セキュリティ・インシデントの被害を抑える。そのためには、FIRSTのメンバーが燃料としている高いレベルの信頼が必要である。FIRSTは、さまざまな活動を通じて、メンバー間の信頼構築を促進する。インシデントは、インターネットの文化的、政治的な一角に限定されるものではなく、国境や境界を尊重するものでもない。そのためFIRSTは、あらゆる地理的・文化的地域から会員を募り、包括性を推進している。
Missions 任務(ミッション)
Global Coordination - You can always find the team and information you need. グローバル・コーディネーション - 必要なチームや情報をいつでも見つけることができる。
FIRST provides platforms, means and tools for incident responders to always find the right partner and to collaborate efficiently. This implies that FIRST’s reach is global. We aspire to have members from every country and culture. FIRSTは、インシデント対応者が常に適切なパートナーを見つけ、効率的に協力できるプラットフォーム、手段、ツールを提供する。このことは、FIRSTの活動範囲がグローバルであることを意味する。FIRSTは、あらゆる国や文化圏からメンバーが集まることを目指している。
Global Language - Incident responders around the world speak the same language and understand each other’s intents and methods. グローバル言語 - 世界中のインシデント対応者は同じ言語を話し、お互いの意図と方法を理解する。
During an incident it is important that people have a common understanding and enough maturity to react in a fast and efficient manner. FIRST supports teams through training opportunities to grow and mature. FIRST also supports initiatives to develop common means of data transfer to enable machine to machine communication. インシデント発生時には、人々が共通の理解を持ち、迅速かつ効率的に対応できるだけの成熟度を備えていることが重要である。FIRSTは、成長し成熟するためのトレーニングの機会を通じてチームをサポートする。FIRSTはまた、マシン・ツー・マシンのコミュニケーションを可能にする共通のデータ転送手段を開発する取り組みも支援している。
Policy and Governance - Make sure others understand what we do, and enable us rather than limit us. 方針とガバナンス - FIRSTの活動を理解し、制限するのではなく、可能にする。
FIRST members do not work in isolation, but are part of a larger system. FIRST engages with relevant stakeholders, in technical and non-technical communities, to ensure teams can work in an environment that is conducive to their goals. FIRSTのメンバーは孤立して活動するのではなく、より大きなシステムの一部である。FIRSTは、技術的および非技術的なコミュニティの関係者と連携し、チームが目標に適した環境で活動できるようにする。

 

さて、このVisionとMissionsを具体的な行動に移すためのFIRSTの戦略計画2025-2028ですが、こちらとなっています...

 

⚫︎ Forum of Incident Response and Security Teams: FIRST

・2025.03.03 FIRST Strategic Plan 2025-2028

 

この戦略は5つの戦略目標(objectives)10の戦略領域(area)、それぞれの戦略目標に紐づく3から7の戦略的目標(goals)期待される成果(outcome)リスクが設定されています。

人数も増えたので、組織だった活動ができるようにということでしょうね...

 

まずは、2025-2028の3年間にかかる、5つの戦略目標(objectives)

1. Global Recognition and Trust: This objective aims to solidify FIRST's position as the leading advocate for the incident response and security community worldwide by enhancing global visibility and building partnerships with key industry stakeholders and organizations and, most importantly, delivering value beyond its constituencies. This aligns with FIRST's vision to be globally recognized and trusted. 1. 世界的な認知と信頼:この目標は、世界的な認知度を高め、業界の主要なステークホルダーや組織とのパートナーシップを構築し、最も重要なこととして、その構成員を超えた価値を提供することにより、世界のインシデントレスポンスとセキュリティコミュニティの主要な支持者としてのFIRSTの地位を確固たるものにすることを目指す。これは、世界的に認知され、信頼されるというFIRSTのビジョンに沿ったものである。
2. Member Value Creation: This objective focuses on providing exceptional value to FIRST members, empowering them to excel in their incident response and cybersecurity endeavors by expanding and enhancing member services and benefits as well as strengthening member engagement and support. This aligns with FIRST's mission to support and empower the incident response community. 2. 会員価値の創造: この目標は、FIRST会員に卓越した価値を提供することに重点を置き、会員サービスと特典を拡大・強化するとともに、会員の参加とサポートを強化することによって、会員がインシデント対応とサイバーセキュリティの取り組みにおいて優れた力を発揮できるようにする。これは、インシデント対応コミュニティを支援し、力を与えるという FIRST の使命に沿うものである。
3. Development and Education: This objective aims to establish FIRST as the premier platform for industry newcomers and experienced professionals seeking to enhance their skills and knowledge in incident response and cybersecurity. This can be achieved by, for example, creating comprehensive training programs for new members, developing advanced modules and certification programs, and promoting continuous learning and professional development. 3. 開発と教育: この目的は、FIRST を、インシデントレスポンスとサイバーセキュリティのスキルと知識を高めようとする業界の新人や経験豊富な専門家のための最高のプラットフォームとして確立することである。これは、例えば、新メンバーのための包括的なトレーニング・プログラムの作成、高度なモジュールや認定プログラムの開発、継続的な学習と専門能力開発の促進によって達成することができる。
4. Trusted Venue for Standards and Information Sharing: This objective aims to position FIRST as the most trusted venue where its members define standards and best practices, as well as share insights and timely information on cybersecurity threats and trends. FIRST plans to achieve this by, for example, seeking enhanced information sharing from its members in its MISP instance, or increased member participation in discussions around standards development. 4. 標準と情報共有のための信頼される場: この目標は、FIRST を、会員が標準とベストプラクティスを定義し、サイバーセキュリティの 脅威と動向に関する洞察とタイムリーな情報を共有する、最も信頼される場として位置付けること を目指す。FIRST は、例えば、MISP のインスタンスにおいて会員からの情報共有の強化を求めたり、標準 策定に関する議論への会員の参加を増やしたりすることで、これを達成する計画である。
5. Effective Governance and Financial Resilience: This objective focuses on the long term strategy towards strengthening FIRST's governance structure, ensuring financial sustainability, and fostering organizational resilience to navigate evolving challenges effectively. This involves reviewing and updating governance policies, enhancing board and member engagement, diversifying funding sources, and maintaining rigorous financial management practices. 5. 効果的なガバナンスと財務レジリエンス: この目標は、FIRSTのガバナンス構造を強化し、財務の持続可能性を確保し、変化する課題に効果的に対処するための組織のレジリエンスを育成するための長期戦略に焦点を当てる。これには、ガバナンス方針の見直しと更新、理事会と会員の関与の強化、資金源の多様化、厳格な財務管理の維持が含まれる。

 

そして、10の戦略領域 (area)

1 - Chairship of the Board of Directors. 1 - 理事会の議長職
2 - Finance. 2 - 財務
3 - Membership. 3 - 会員(メンバーシップ)
4 - Events. 4 - イベント
5 - Education & Training. 5 - 教育・研修
6 - Community Engagement. 6 - 地域社会との関わり
7 - Governance. 7 - ガバナンス
8 - Policy. 8 - 政策
 9 - Community Capacity Building (CCB). 9 - コミュニティ能力開発(CCB)
10 - Communications and Brand Management. 10 - コミュニケーションとブランド管理

 

それぞれの戦略目標、期待される成果、リスクについてはウェブページを...

 

・[PDF

20250313-52835

 

 

FIRSTはこの政策の中でも言われているように、中立的な(neutral)オピニオンリーダーという地位を獲得しようとしています。しかし、地政学的な課題の中で、米国に本社を置くFIRSTというグローバル団体は影響を受けますよね...

日本においても、いわゆるサイバー対処能力強化法案が国会に提出され議論が始まります。そこで、基幹インフラ事業者と政府間での協議会(第45条)が設置され、脅威情報、脆弱性情報、インシデント情報が分析・共有される予定になっていますね...

もちろん、米国、英国等でも同様のことは長年やってきているので、新しい話ではないのですが、いろいろと工夫が必要となってくるところだろうと思います。

 

で、もう一つのテーマである、この戦略をつくるためのフレームワーク。。。

・2025.03.03 FIRST Strategy Framework

立案、更新...

FIRSTにおける戦略的計画    
  期間 更新頻度
戦略的計画 3年 3年
3カ年運営・財務計画 3年 1年
予算・運営計画 1年 1年
達成・進捗報告書 1年 1年

 

 

 


 

⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

・2024.11.12 FIRST デジタル初動対応者:発展途上国におけるコンピュータセキュリティ・インシデント対応チーム(CSIRT)の役割に関する実務者ノート (2024.06)

・2024.08.10 FIRST Conference 2024 @福岡 YouTube

・2022.09.16 FIRST The Traffic Light Protocol (TLP)  Version 2.0 の日本語版を公表

・2022.03.29 FIRST ロシアとベラルーシを拠点とする会員組織を一時的に停止 (2022.03.25)

 

 

| | Comments (0)

欧州委員会 AI法における汎用AIモデル - Q&A (2025.03.10)

こんにちは、丸山満彦です。

欧州委員会が、AI法における汎用AIモデルについてのQ&Aを公表していますね...

参考になると思います。。。

 

⚫︎ 欧州委員会

・2025.03.10 General-Purpose AI Models in the AI Act – Questions & Answers



とりあえず、Qを仮訳すると次のような感じ...

General-Purpose AI Models in the AI Act – Questions & Answers AI法における汎用AIモデル - Q&A
With this Q&A, the AI Office seeks to facilitate the interpretation of certain provisions of the AI Act. This Q&A does not constitute an official position of the Commission, and it is without prejudice to any decision or position of the Commission. Only the Court of Justice of the European Union is competent to authoritatively interpret the AI Act. このQ&Aは、AI事務局はAI法の特定の条項の解釈を容易にすることを目指すものである。本Q&Aは欧州委員会の公式見解を示すものではなく、欧州委員会のいかなる決定や見解をも損なうものではない。AI法を権威を持って解釈する権限を有するのは欧州連合司法裁判所のみである。
General FAQ 一般的なFAQ
Why do we need rules for general-purpose AI models?  なぜ汎用AIモデルのルールが必要なのか?
What are general-purpose AI models?  汎用AIモデルとは何か?
What are general-purpose AI models with systemic risk?  システミック・リスクを伴う汎用AIモデルとは何か?
What is a provider of a general-purpose AI model?  汎用AIモデルのプロバイダとは何か?
What are the obligations for providers of general-purpose AI models?  汎用AIモデルのプロバイダの義務は何か?
If someone open-sources a model, do they have to comply with the obligations for providers of general-purpose AI models?  誰かがモデルをオープンソース化した場合、その人は汎用AIモデルのプロバイダの義務を遵守しなければならないのか?
Do the obligations for providers of general-purpose AI models apply in the development phase?  汎用AIモデルのプロバイダの義務は、開発段階でも適用されるのか?
If someone fine-tunes or otherwise modifies a model, do they have to comply with the obligations for providers of general-purpose AI models?  モデルの微調整やその他の変更を行う場合、汎用AIモデルのプロバイダの義務を遵守しなければならないのか?
What is the General-Purpose AI Code of Practice?  汎用AI実施規範とは何か?
What is not part of the Code of Practice?  実践規範に含まれないものは何か?
Do AI systems play a role in the Code of Practice?  実践規範においてAIシステムは役割を果たすのか?
How does the Code of Practice take into account the needs of start-ups?  実践規範は新興企業のニーズをどのように考慮しているのか?
When will the Code of Practice be finalised?  実施規範の最終決定はいつになるのか?
What are the legal effects of the Code of Practice?  実施規範の法的効果は?
How will the Code of Practice be reviewed and updated?  実施規範はどのように見直され、更新されるのか?
Which enforcement powers does the AI Office have?  AI事務局はどのような執行権限を持つのか?

 

・[PDF

20250312-192416

 

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.02.08 欧州委員会 規則(EU)2024/1689(AI法)が定める人工知能の禁止行為に関する欧州委員会ガイドライン

・2024.12.22 欧州委員会 汎用AI実践規範の第2ドラフトを発表 (2024.12.19)

・2024.12.06 欧州委員会 AI法における汎用AIモデル - Q&A (2024.11.20)

・2024.11.17 欧州委員会 汎用AI実践規範の最初のドラフトを発表 (2024.11.14)

・2024.10.30 欧州 AI法の調和標準の策定について...

・2024.09.08 欧州評議会 AI条約の署名開始... (2024.09.05)

・2024.08.05 欧州AI法が施行された... (2024.08.01)

・2024.07.19 ドイツ BfDI フランス CNIL オランダ AP EU AI法関連

・2024.07.16 EU 2024.07.12にAI法がEU官報に掲載された

・2024.05.22 EU 欧州理事会がAI法を承認...まもなく発効されますね...

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2023.12.10 欧州委員会、欧州議会がAI法について政治的合意

・2022.12.08 EU理事会 AI法に関する見解を採択

・2022.09.30 欧州委員会 AI責任指令案

・2021.12.05 欧州理事会 AI法改正案を欧州議会に提出

・2021.08.08 EU議会 BRIEFING 人工知能法 at 2021.07.26

・2021.04.24 欧州委員会がAIへの規制を提案 → 欧州データ保護官は歓迎するけど、公共空間での遠隔生体認証についての規制も入れてね

 

 

 

 

| | Comments (0)

2025.03.12

個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係(第315 - 316回委員会)(2025.03.05)

こんにちは、丸山満彦です。

いろいろあって、このところ一週間おくれてますが...個人情報保護法のいわゆる3年ごとの見直しの件について、ちょっとアップデートです...

 

第315回では、[PDF]「個人データ等の取扱いの態様の多様化等に伴うリスクに適切に対応した規律の在り方」ということで、

 

1. 特定の個人に対する働きかけが可能となる個人関連情報に関する規律の在り方

2. 本人が関知しないうちに容易に取得することが可能であり、一意性・不変性が高いため、本人の行動を長期にわたり追跡することに利用できる身体的特徴に係るデータ(顔特徴データ等)に関する規律の在り方

3. 悪質な名簿屋への個人データの提供を防止するためのオプトアウト届出事業者に対する規律の在り方

が議論されたようです...

 

第316回では、「個人情報保護法の制度的課題に対する考え方(案)」について議論が進められれたようですね...

資料1−3「「個人情報保護法 いわゆる3年ごと見直しに係る検討」 の今後の検討の進め方」に対して寄せられた意見の概要 はとても興味深いですね...意見を提出した方の名前が...

 

資料1-1 個人情報保護法の制度的課題に対する考え方(案)について
資料1-2 個人情報保護法の制度的課題の再整理

 

20250312-132512

資料1-3 「「個人情報保護法 いわゆる3年ごと見直しに係る検討」 の今後の検討の進め方」に対して寄せられた意見の概要

 

 

⚫︎ 個人情報保護委員会

委員会開催状況

 

   
2025.03.05 第316回個人情報保護委員会
資料1-1 個人情報保護法の制度的課題に対する考え方(案)について
資料1-2 個人情報保護法の制度的課題の再整理
資料1-3 「「個人情報保護法 いわゆる3年ごと見直しに係る検討」 の今後の検討の進め方」に対して寄せられた意見の概要
  議事概要
  議事録
2025.02.09 第315回個人情報保護委員会
資料1 個人情報保護法の制度的課題に対する考え方(案)について(個人データ等の取扱いの態様の多様化等に伴うリスクに適切に対応した規律の在り方)
  議事概要
  議事録
2025.02.05 第314回 個人情報保護委員会
資料1 個人情報保護法の制度的課題に対する考え方(案)について
  議事概要
  議事録
2025.01.22 第312回 個人情報保護委員会
資料1-1 「個人情報保護法 いわゆる3年ごと見直しに係る検討」の今後の検討の進め方について(案)
資料1-2 個人情報保護法の制度的課題の再整理
  議事概要
  議事録
2024.12.25 第311回 個人情報保護委員会
資料1 個人情報保護法のいわゆる3年ごと見直しに関する検討会 報告書
  議事概要
  議事録
2024.12.18 第7回 個人情報保護法のいわゆる3年ごと見直しに関する検討会
  議事次第
資料1 現行制度と検討の方向性について(課徴金制度③)
資料2 検討会報告書(案)
参考資料1 これまでの主な論点及び関連御意見
参考資料2 第2回~第6回検討会における主な御意見
参考資料3 関係参考資料
参考資料4 「個人情報保護法のいわゆる3年ごと見直しの検討の充実に向けた視点」に関するヒアリングの概要について
議事録 第7回個人情報保護法のいわゆる3年ごと見直しに関する検討会
2024.12.17 第310回 個人情報保護委員会
資料1-1 「個人情報保護法のいわゆる3年ごと見直しの検討の充実に向けた視点」 に関するヒアリングの概要について
資料1-2 事務局ヒアリングにおける主な御意見
参考資料1-1  
参考資料1-2 事務局ヒアリングの各参加者提出資料
  議事概要
  議事録
2024.11.28 第6回 個人情報保護法のいわゆる3年ごと見直しに関する検討会
  議事次第
資料1 現行制度と検討の方向性について(課徴金制度②)
資料2 現行制度と検討の方向性について(団体による差止請求制度及び被害回復制度③)
資料3 これまでの主な論点及び関連御意見 (PDF : 2006KB)
参考資料1 第2回~第5回検討会における主な御意見
議事録 第6回個人情報保護法のいわゆる3年ごと見直しに関する検討会
2024.11.12 第5回 個人情報保護法のいわゆる3年ごと見直しに関する検討会
  議事次第
資料1 国内他法令における課徴金額の算定方法等について
資料2 現行制度と検討の方向性について(団体による差止請求制度及び被害回復制度②)
資料3 認定個人情報保護団体制度について
資料4 第4回までの主な論点及び関連意見 
資料5 個人情報保護法のいわゆる3年ごと見直しの検討の充実に向けた視点・今後の検討の進め方
参考資料1 第2回~第4回検討会における主な御意見
参考資料2 関係参考資料 
議事録 第5回個人情報保護法のいわゆる3年ごと見直しに関する検討会
2024.10.16 第304回 個人情報保護委員会
資料1-1 個人情報保護法のいわゆる3年ごと見直しの検討の充実に向けた視点(案) 
資料1-2 今後の検討の進め方
  議事概要
  議事録 
2024.10.11 第4回 個人情報保護法のいわゆる3年ごと見直しに関する検討会
  議事次第
資料1 全国消費生活相談員協会プレゼン資料 
資料2 中川構成員プレゼン資料 
資料3 第3回事務局資料に対する御質問と考え方
参考資料1 第2回及び第3回検討会における主な御意見 
参考資料2 関係参考資料
前回資料1ー1 総合的な案内所(個人情報保護法相談ダイヤル)における受付状況 
前回資料1ー2 名簿販売事業者に対する個人情報の保護に関する法律に基づく行政上の対応について
前回資料2 個人情報保護法の違反行為に係る事例等 
前回資料3 現行制度と検討の方向性について(課徴金制度)
前回資料4 現行制度と検討の方向性について(団体による差止請求制度及び被害回復制度)
議事録 第4回個人情報保護法のいわゆる3年ごと見直しに関する検討会 
2024.09.26 第3回 個人情報保護法のいわゆる3年ごと見直しに関する検討会
  議事次第 
資料1-1 総合的な案内所(個人情報保護法相談ダイヤル)における受付状況 
資料1-2 名簿販売事業者に対する個人情報の保護に関する法律に基づく行政上の対応について 
資料2 個人情報保護法の違反行為に係る事例等 
資料3 現行制度と検討の方向性について(課徴金制度)
資料4 現行制度と検討の方向性について(団体による差止請求制度及び被害回復制度)
参考資料1 第2回検討会における主な御意見 
参考資料2 個人情報の保護に関する基本方針
参考資料3 個人情報の保護に関する法律に基づく行政上の対応について(令和6年9月11日公表資料)
参考資料4 関係参考資料 
議事録 第3回個人情報保護法のいわゆる3年ごと見直しに関する検討会 
2024.09.05 第2回 個人情報保護法のいわゆる3年ごと見直しに関する検討会
資料1 「個人情報保護法 いわゆる3年ごと見直しに係る検討の中間整理」に関する意見募集結果
資料2 「個人情報保護法 いわゆる3年ごと見直しに係る検討の中間整理」に関する意見募集結果(概要)
資料3 今後の検討の進め方
資料4 監視・監督活動及び漏えい等報告に関する説明資料
参考資料1 第1回検討会における主な意見
参考資料2 第1回検討会における主な質問及び回答
参考資料3 関係参考資料 
 議事録  
 2024.09.04 第299回 個人情報保護委員会
資料1-1 「個人情報保護法 いわゆる3年ごと見直しに係る検討の中間整理」に関する意見募集結果
資料1-2 「個人情報保護法 いわゆる3年ごと見直しに係る検討の中間整理」に関する意見募集結果(概要)
 議事概要  
 議事録  
2024.07.31 第1回 個人情報保護法のいわゆる3年ごと見直しに関する検討会
資料1 開催要綱(案)
資料2 主婦連合会御提出資料
資料3 新経済連盟御提出資料
資料4 全国消費者団体連絡会御提出資料
資料5 全国消費生活相談員協会御提出資料
資料6 日本IT 団体連盟御提出資料
資料7 日本経済団体連合会御提出資料
参考資料1 「個人情報保護法 いわゆる3年ごと見直しに係る検討の中間整理」概要
参考資料2 「個人情報保護法 いわゆる3年ごと見直しに係る検討の中間整理」本文
議事録  
2024.07.24 第296回 個人情報保護委員会
資料1 個人情報保護法のいわゆる3年ごと見直しに関する検討会の設置について
議事概要  
議事録  
 2024.06.26  第292回 個人情報保護委員会
資料1 個人情報保護法 いわゆる3年ごと見直しに係る検討の中間整理(案)
【委員長預かりで会議後に修正した資料】 資料1 個人情報保護法 いわゆる3年ごと見直しに係る検討の中間整理
資料2−1 日EU相互認証の枠組みの拡大に向けた対応について
資料2−2 個人情報保護委員会藤原靜雄委員長と欧州委員会ベラ・ヨウロバー副委員長(価値・透明性担当)の会談に関する共同プレス・ステートメント(英語)
資料2−3 個人情報保護委員会藤原靜雄委員長と欧州委員会ベラ・ヨウロバー副委員長(価値・透明性担当)の会談に関する共同プレス・ステートメント(日本語仮訳)
資料3 一般送配電事業者及び関係小売電気事業者等における顧客情報の不適切な取扱事案に対する個人情報の保護に関する法律に基づく行政上の対応について
議事概要  
議事録  
2024.06.13 第290回 個人情報保護委員会
資料1-1 第二次いわゆる3年ごと見直しへのコメント(ひかり総合法律事務所 板倉弁護士)
資料1-2 デジタル社会の個人情報保護法(新潟大学 鈴木教授)
議事概要  
議事録  
2024.06.12 第289回 個人情報保護委員会
資料1-1 個人情報保護委員会「いわゆる3年ごと見直し」ヒアリング(国立情報学研究所 佐藤教授) 
資料1-2 個人情報保護法3年ごと見直し令和6年に対する意見(産業技術総合研究所 高木主任研究員)
議事概要  
議事録  
2024.06.03 第287回 個人情報保護委員会
資料1-1 個人情報保護法見直しに関するコメント(京都大学 曽我部教授)
資料1-2 いわゆる3年ごと見直しに関する意見(慶應義塾大学 山本教授) 
資料1-3 3年ごと見直しヒアリング2024(英知法律事務所 森弁護士) 
資料1-4-1 個人情報保護法のいわゆる3年ごと見直しに関する意見(東京大学 宍戸教授)
資料1-4-2 宍戸常寿氏御提出資料(令和元年5月21日提出)
議事概要  
議事録  
2024.05.29 第286回 個人情報保護委員会
資料1 個人情報保護法 いわゆる3年ごと見直し規定に基づく検討(実効性のある監視・監督の在り方③)
議事概要  
議事録  
2024.05.15 第284回 個人情報保護委員会
資料2 個人情報保護法 いわゆる3年ごと見直し規定に基づく検討(データ利活用に向けた取組に対する支援等の在り方)
資料3 個人情報保護法 いわゆる3年ごと見直し規定に基づく検討(実効性のある監視・監督の在り方②)
議事概要  
議事録  
2024.05.10 第283回 情報保護委員会
資料1-1 個人情報保護法における課徴金制度導入にかかる諸論点(名古屋大学 林教授)
資料1-2 個人情報保護法における法執行の強化について(神戸大学 中川教授)
議事概要  
議事録  
2024.04.24 第281回 個人情報保護委員会
資料1 個人情報保護法の3年ごと見直しに対する意見
資料2 個人情報保護法 いわゆる3年ごと見直し規定に基づく検討(個人の権利利益のより実質的な保護の在り方③)
議事概要  
議事録  
2024.04.10 第280回 個人情報保護委員会
資料1 個人情報保護法 いわゆる3年ごと見直し規定に基づく検討(個人の権利利益のより実質的な保護の在り方② )
議事概要  
議事録  
2024.04.03 第279回 個人情報保護委員会
資料1―1 AIと個人情報保護:欧州の状況を中心に(一橋大学 生貝教授) 
資料1―2 AI利用と個人情報の関係の考察(NTT社会情報研究所 高橋チーフセキュリティサイエンティスト)
資料1−3 医療情報の利活用の促進と個人情報保護(東京大学 森田名誉教授)
資料1―4 医療・医学系研究における個人情報の保護と利活用(早稲田大学 横野准教授)
議事概要  
議事録  
2024.03.22 第277回 個人情報保護委員会
資料1 個人情報保護法 いわゆる3年ごと見直し規定に基づく検討(実効性のある監視・監督の在り方①)
議事概要  
議事録  
2024.03.06 第275回 個人情報保護委員会
資料1 個人情報保護法 いわゆる3年ごと見直し規定に基づく検討(個人の権利利益のより実質的な保護の在り方①)
議事概要  
議事録  
2024.02.21 第273回 個人情報保護委員会
資料4 個人情報保護法 いわゆる3年ごと見直し規定に基づく検討項目
【委員長預かりで会議後に修正した資料】資料4 個人情報保護法 いわゆる3年ごと見直し規定に基づく検討項目
議事概要   
議事録   
2024.02.14 第272回 個人情報保護委員会
資料2-1 地方公共団体における個人情報保護法運用状況のヒアリング(京都府総務部政策法務課)
資料2-2 岡山市における個人情報保護法の運用状況(岡山市総務局行政事務管理課)
資料2-3 個人情報保護法運用状況について(都城市総務部総務課)
資料2-4 個人情報保護法運用状況について(上里町総務課)
議事概要  
議事録  
2024.02.07 第271回 個人情報保護委員会
資料1 インターネット広告における個人に関する情報の取扱いについての取組状況(日本インタラクティブ広告協会)
議事概要   
議事録  
2024.01.31 第270回 個人情報保護委員会
資料2 個人情報保護法の3 年ごと見直しに対する意見(日本経済団体連合会)
議事概要  
議事録   
2024.01.23 第268回 個人情報保護委員会
資料1―1 (特定)適格消費者団体の活動について(消費者支援機構関西)
資料1―2 個人情報保護委員会ヒアリング資料(日本商工会議所)
議事概要  
議事録  
2023.12.21 第266回 個人情報保護委員会
資料1―1 個人情報保護法の3年ごと見直しに関する意見(電子情報技術産業協会)
資料1―2 ヒアリング資料(全国商工会連合会)
議事概要  
議事録  
2023.12.20 第265回 個人情報保護委員会
資料1―1 ACCJ Comments for the Personal Information Protection Commission Public Hearing(在米国商工会議所)
資料1―2 公開ヒアリングに向けたACCJ意見(在米国商工会議所)
議事概要  
議事録  
2023.12.15 第264回 個人情報保護委員会
資料1―1 個人情報保護法の見直しについて(新経済連盟)
資料1―2 個人情報保護法見直しに関する意見(日本IT団体連盟) 
議事概要  
議事録  
2023.12.06 第263回 個人情報保護委員会
資料2 個人情報保護法に関する欧州企業の代表的な課題(欧州ビジネス協会)
議事概要  
議事録   
2023.11.29 第262回 個人情報保護委員会
資料1 ヒアリング資料(一般社団法人日本情報経済社会推進協会)
議事概要  
議事録   
2023.11.15 第261回 個人情報保護委員会
資料2-1 個人情報保護法 いわゆる3年ごと見直し規定に基づく検討 
資料2-2 個人情報保護に係る主要課題に関する海外・国内動向調査 概要資料
議事概要  
議事録  

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.02.10 個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係(第314回委員会)

・2025.01.23 個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係(第311-312回委員会)

・2024.12.20 個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係(第310回委員会、第6-7回検討会)

・2024.11.26 個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係(第304回委員会、第3-5回検討会)

・2024.09.06 個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係(第299回委員会、第2回検討会)

・2024.08.04 個人情報保護委員会 第1回 個人情報保護法のいわゆる3年ごと見直しに関する検討会

・2024.06.28 個人情報保護委員会 意見募集 いわゆる3年ごと見直しに係る検討の中間整理

・2024.06.04 個人情報保護委員会 個人情報保護法の3年ごとの見直しに関する意見をヒアリング、検討中... (2)

・2024.04.25 個人情報保護委員会 個人情報保護法の3年ごとの見直しに関する意見をヒアリング、検討中...

・2024.01.06 個人情報保護委員会 個人情報保護法の3年ごとの見直しに関する意見をヒアリング中...

 

 

| | Comments (0)

欧州 EDPB 忘れられる権利に関する協調行動 (2025.03.05)

こんにちは、丸山満彦です。

EDPBが忘れられる権利(right to erasure or the “right to be forgotten” (Art.17 GDPR))についての具体的な活動をEU27カ国32のデータ保護当局と一緒にやっていくと公表しています...

協調的に行動をしていくというのが、EDPB 2024-2027の戦略の一つですが、その一環ですね...

過去に行ってきたのは次の3つです...

the use of cloud-based services by the public sector ・公共部門によるクラウドベースのサービス利用
the designation and position of Data Protection Officers ・データ保護責任者の指定と地位
the implementation of the right of access by controllers ・データ管理者によるアクセス権の実施

 

⚫︎ European Data Protection Board: EDPB

・2025.03.05 CEF 2025: Launch of coordinated enforcement on the right to erasure

CEF 2025: Launch of coordinated enforcement on the right to erasure CEF 2025: 消去権に関する協調的執行の開始
Brussels, 05 March - The European Data Protection Board (EDPB) has launched its Coordinated Enforcement Framework (CEF) action for 2025. Following a year-long coordinated action on the right of access in 2024, the CEF's focus this year will shift to the implementation of another data protection right, namely the right to erasure or the “right to be forgotten” (Art.17 GDPR). ブリュッセル、3月5日 - 欧州データ保護委員会(EDPB)は、2025年の調整執行枠組み(CEF)行動を開始した。2024年のアクセス権に関する1年間の調整行動に続き、今年のCEFの焦点は別のデータ保護権、すなわち消去権または「忘れられる権利」(GDPR第17条)の実施に移る。
The Board selected this topic during its October 2024 plenary as it is one of the most frequently exercised GDPR rights and one about which DPAs frequently receive complaints from individuals. 2024年10月の理事会本会議でこのテーマが選ばれたのは、GDPRで最も頻繁に行使されている権利のひとつであり、DPAが個人から苦情を受けることが多い権利だからである。
Next steps 次のステップ
During 2025, 32 Data Protection Authorities (DPAs) across Europe will take part in this initiative. 2025年中に、欧州全域の32のデータ保護当局(DPA)がこのイニシアチブに参加する。
Participating DPAs will soon contact a number of controllers from different sectors across Europe, either by opening new formal investigations or doing fact-finding exercises. In the latter case, they might also decide to undertake additional follow-up actions if needed.  参加するDPAは間もなく、新たな正式調査を開始するか、事実調査を行うかして、欧州全域のさまざまな分野の管理者に接触する。後者の場合、必要に応じて追加的なフォローアップを行うことも決定される。
DPAs will check how controllers handle and respond to the requests for erasure that they receive and, in particular, how they apply the conditions and exceptions for the exercise of this right.  DPAは、管理者が受領した抹消要求をどのように処理し、対応しているか、特に、この権利を行使するための条件と例外をどのように適用しているかをチェックする。
DPAs will also stay in close contact to share and discuss their findings throughout this year. The results of these national actions will be aggregated and analysed together to generate deeper insight into the topic, allowing for targeted follow-ups on both national and EU levels. DPAはまた、今年1年を通じて、調査結果を共有し、議論するために緊密に連絡を取り合う。これらの国別措置の結果は、このテーマについてより深い洞察を得るために集約・分析され、国とEUの両レベルで的を絞ったフォローアップが可能となる。
Background 背景
The CEF is a key action of the EDPB under its 2024-2027 strategy, aimed at streamlining enforcement and cooperation among DPA. CEFは、EDPBの2024~2027年戦略における重要な活動であり、DPA間の執行と協力の合理化を目指している。
In the past three years, three previous CEF actions on different topics were carried out:  過去3年間で、異なるテーマに関するCEFのこれまでの3つの活動が実施された。
the use of cloud-based services by the public sector, ・公共部門によるクラウドベースのサービス利用、
the designation and position of Data Protection Officers, and ・データ保護責任者の指定と地位、
the implementation of the right of access by controllers. ・データ管理者によるアクセス権の実施
For further information: 詳細はこちら:
AT DPA: Coordinated Enforcement Framework 2025 (CEF 2025) - EDSA AT DPA: 協調執行枠組み2025(CEF2025) - EDSA
DA DPA: EDPB igangsætter koordineret indsats om retten til sletning DA DPA: EDPBが消去権に関する協調行動を開始
DE DPA (Baden-Wuerttemberg): Europaweite Aktion zum Recht auf Löschung DE DPA (バーデン=ヴュルテンベルク州): 削除権に関する欧州規模のキャンペーン
DE DPA (Berlin):  PRESSEMITTEILUNG der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 5. März 2025 DE DPA(ベルリン):  DE DPA(ベルリン): 2025年4月5日、連邦および各州の統一データ保護委員会会議のプレスリリース
DE DPA (Brandenburg): Brandenburgische Datenschutzaufsicht beteiligt sich an europaweiter Prüfung zum Recht auf Löschung mit Schwerpunkt Wohnungsunternehmen DE DPA(ブランデンブルク州): ブランデンブルク州のデータ保護当局、住宅会社に焦点を当てた欧州全域の消去権監査に参加
ES DPA: La AEPD participa en una acción europea para analizar la aplicación del derecho de supresión ES DPA: AEPDは、欧州における削除権の適用に関する分析活動に参加している。
EL DPA: Έναρξη συντονισμένης δράσης του ΕΣΠΔ 2025 σχετικά με το δικαίωμα διαγραφής EL DPA:2025年EAPCにおける対話の権利に関する協調行動の開始
FI DPA: Tietosuojavaltuutetun toimisto selvittää henkilötietojen poisto-oikeuden toteutumista osana EU:n laajuista toimenpidettä FI DPA:データ保護監督局、EU全域にわたる活動の一環として、個人データの消去権の実施状況を調査する。
HR DPA: Započela nova koordinirana akcija EDPB-a: pravo na brisanje HR DPA:EDPBが新たな協調行動を開始:削除権
IE DPA: Launch of coordinated enforcement action on the right to erasure IE DPA:消去権に関する協調的執行措置の開始
IT DPA: GDPR, il Garante italiano partecipa al CEF 2025 sul diritto alla cancellazione IT DPA:GDPR、イタリアデータ保護当局がCEF 2025の消去権に関するセッションに参加
LI DPA: Europäische Initiative zum Recht auf Löschung LI DPA: 忘れられる権利に関する欧州のイニシアティブ
MT DPA: Launch of Coordinated Enforcement Action on the Right to Erasure MT DPA:削除権に関する調整された執行措置の開始
SI DPA: Informacijski pooblaščenec bo v letu 2025 nadzoroval upoštevanje pravice do izbrisa SI DPA:情報コミッショナーは2025年の消去権の遵守を監視する

上記のリストにはないですがスウェーデンも...

 
SE DPA; Samordnad europeisk undersökning om rätten till radering SE DPA; 消去権に関する欧州共同調査

 

1_20250312060201

 


 

⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

・2024.04.20 欧州 EDPB Strategy 2024-2027 (2024.04.18)

・2023.04.19 EDPB データ主体の権利(アクセス権)に関するガイドライン(最終版)を採択 

・2023.01.20 EDPB 公共部門によるクラウドサービス利用のためのプライバシーに関する勧告を決定、クッキー バナータスクフォースの報告書を採択

 

| | Comments (0)

2025.03.11

フィッシング対策協議会 技術・制度検討 WG 報告会 (2025.02.25)

こんにちは、丸山満彦です。

2025.02.25 に開催されたフィッシング対策協議会 技術・制度検討 WG 報告会の資料が公開されています。

フィッシングによってID、パスワード等を搾取されたり、マルウェアを仕込まれたりと、被害の入り口となるわけですが、対応している団体は自分たちが悪いわけではないのに、いろいろと対応をし、お客様含め社会全体の被害が広がらないように努力されていますね...

国民生活全体に関わる話なので、事業者が実施している対策の一部でもよいので、国民の税金による対策というのも議員、政府の皆様は考えても良いのかも知れませんね...もちろん、NISC、総務省、警察庁、金融庁、消費者庁等が、情報提供や被害防止のための活動をしているのは承知していますが...

 

⚫︎ フィッシング対策協議会

・2025.02.25 技術・制度検討WG 報告会

2025年版フィッシングレポートの概要とポイント 加藤 孝浩 氏 TOPPANエッジ株式会社
フィッシング対策協議会運営委員長
フィッシング対策ガイドライン2025の概要と改訂ポイント 木村 泰司 氏 一般社団法人日本ネットワークインフォメーションセンター
技術・制度検討WG主査
フィッシングに対する意識調査の紹介  鈴木 伸吾 氏 NTTコムオンライン・マーケティング・ソリューション株式会社
DMARCの普及状況  加藤 孝浩 氏 TOPPANエッジ株式会社
フィッシング対策協議会 運営委員長
パスキーについて  松本 悦宜 氏 Capy株式会社
進化したワンタイムパスワード  藤井 治彦 氏 バンクガード株式会社

 

2025年版フィッシングレポートの概要とポイントから...

20250311-92511

20250311-92521

 

 


 

フィッシングに対する意識調査の紹介から...

20250311-93351

 

20250311-93615_20250311093601

 


 

 

Continue reading "フィッシング対策協議会 技術・制度検討 WG 報告会 (2025.02.25)"

| | Comments (0)

米国 NIST SP800-226 差分プライバシー保証の評価に関するガイドライン (2025.03.06)

こんにちは、丸山満彦です。

 

NISTが、プライバシー強化技術 (privacy enhancing technologies:PETs) の一つである差分プライプライバシー (Differential Privacy) についてのガイドラインである、「SP800-226 差分プライバシー保証(guarantees)の評価に関するガイドライン」を公表していますね...
データセットにデータが掲載された際に事業体が被るプライバシーの損失を定量化する数学的枠組みとういうことです...

保証と訳している言語はguaranteesです。assuranceではなく...

 

1_20231213045101

 

⚫︎ NIST - ITL

・2025.03.06 NIST SP 800-226 Guidelines for Evaluating Differential Privacy Guarantees

 

NIST SP 800-226 Guidelines for Evaluating Differential Privacy Guarantees NIST SP 800-226 差分プライバシー保証の評価に関するガイドライン
Abstract 概要
This publication describes differential privacy — a mathematical framework that quantifies privacy loss to entities when their data appears in a dataset. The primary goal of this publication is to help practitioners of all backgrounds better understand how to think about differentially private software solutions. Multiple factors for consideration are identified in a differential privacy pyramid along with several privacy hazards, which are common pitfalls that arise as the mathematical framework of differential privacy is realized in practice. 本書は、データセットにデータが掲載された際に事業体が被るプライバシーの損失を定量化する数学的枠組みである「差分プライバシー」について説明している。本書の主な目的は、あらゆる背景を持つ実務家が、差分プライバシーのソフトウェアソリューションについてどのように考えるべきかをより深く理解できるよう支援することである。差分プライバシーのピラミッドでは、考慮すべき複数の要因が識別されており、また、差分プライバシーの数学的枠組みが実際に適用される際に生じる一般的な落とし穴であるプライバシーの危険性についても言及している。

 

・[PDF] NIST.SP.800-226

20250311-63701

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1.序文
1.1. De-Identification and Re-Identification 1.1.識別解除と再識別
1.2. Unique Elements of Differential Privacy 1.2.差分プライバシーのユニークな要素
1.3. Differential Privacy and the U.S. Federal Regulatory Landscape 1.3.差分プライバシーと米国連邦規制の状況
2. The Differential Privacy Guarantee 2.差分プライバシー保証
2.1. The Promise of Differential Privacy 2.1.差分プライバシーの約束
2.1.1. The Math of Differential Privacy 2.1.1.差分プライバシーの数学
2.1.2. Properties of Differential Privacy 2.1.2.差分プライバシーの性質
2.2. The Privacy Parameter ε 2.2.プライバシー・パラメータε
2.3. Variants of Differential Privacy 2.3.差分プライバシーのバリエーション
2.4. The Unit of Privacy 2.4.プライバシーの単位
2.4.1. Bounded and Unbounded Differential Privacy 2.4.1.有界と無界の差分プライバシー
2.4.2. Defining One Person’s Data 2.4.2.個人データを定義する
2.5. Comparing Differential Privacy Guarantees 2.5.差分プライバシー保証の比較
2.6. Mixing Differential Privacy With Other Data Releases 2.6.差分プライバシーを他のデータ・リリースと混ぜる
2.7. Auditing and Empirical Measures of Privacy 2.7.監査とプライバシーの経験的尺度
3. Differentially Private Algorithms 3.微分プライベートアルゴリズム
3.1. Basic Mechanisms and Common Elements 3.1.基本メカニズムと共通要素
3.2. Utility and Accuracy 3.2.実用性と精度
3.3. Bias 3.3.バイアス
3.3.1. Systemic Bias 3.3.1.システミック・バイアス
3.3.2. Human Bias 3.3.2.人間のバイアス
3.3.3. Statistical Bias 3.3.3.統計バイアス
3.4. Analytics Queries 3.4.分析クエリー
3.4.1. Counting Queries 3.4.1.クエリーを数える
3.4.2. Summation Queries 3.4.2.合計クエリー
3.4.3. Average Queries 3.4.3.平均クエリー
3.4.4. Min/Max Queries 3.4.4.最小/最大クエリー
3.5. Machine Learning 3.5.機械学習
3.6. Synthetic Data 3.6.合成データ
3.7. Unstructured Data 3.7.非構造化データ
4. Deploying Differential Privacy 4.差分プライバシーを展開する
4.1. Query Models 4.1.クエリーモデル
4.2. Trust Models 4.2.信頼モデル
4.2.1. Central Model 4.2.1.セントラルモデル
4.2.2. Local Model 4.2.2.ローカルモデル
4.2.3. Future Directions: Shuffle and Secure Computation Models 4.2.3.今後の方向性シャッフルとセキュアな計算モデル
4.3. Mechanism Implementation Challenges 4.3.メカニズム導入の課題
4.4. Data Security and Access Control 4.4.データセキュリティとアクセス管理
4.5. Data Collection Exposure 4.5.データ収集エクスポージャー
4.6. Conclusion 4.6.結論
References 参考文献
Appendix A. Glossary 附属書A.用語集
Appendix B. Technical Details 附属書B.技術的詳細
Appendix B.1. Definition of (ε,δ )-Differential Privacy 附属書B.1.定義(ε,δ )-差分プライバシーの
Appendix B.2. Definitions of Sensitivity and Basic Mechanisms 附属書B.2.感度と基本的メカニズムの定義
Appendix B.3. Details: Counting Queries 附属書B.3.詳細カウントクエリー
Appendix B.4. Details: Summation Queries 附属書B.4.詳細合計クエリー
Appendix B.5. Details: Average Queries 附属書B.5.詳細平均クエリー
Appendix B.6. Details: Differentially Private Stochastic Gradient Descent 附属書B.6.詳細微分私的確率的勾配降下法
Appendix B.7. Evaluating Software Libraries for Differential Privacy 附属書B.7.差分プライバシーのためのソフトウェア・ライブラリの評価

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー 
Data analytics is an essential tool to help organizations make sense of the enormous volume of data being generated by information technologies. Many organizations — in government, industry, academia, or civil society — use data analytics to improve research, develop more effective services, combat fraud, and inform decision‐making to achieve mission or business objectives. However, privacy risks can arise when the data being analyzed relates to or affects individuals, which may limit or prevent organizations from realizing the full potential of data analysis. Privacy‐Enhancing Technologies (PETs) can help mitigate privacy risks while enabling more uses of data.  データ分析は、情報技術の使用によって生成される膨大な量のデータを理解する上で、組織にとって不可欠なツールである。政府、産業界、学術界、市民社会など、多くの組織が、研究の改善、より効果的なサービスの開発、不正行為の防止、意思決定の支援など、ミッションや事業目標の達成のためにデータ分析を使用している。しかし、分析対象のデータが個人に関係している場合や個人に影響を与える場合には、プライバシーに関するリスクが生じる可能性があり、それが原因で組織がデータ分析の潜在能力を十分に活用できない場合がある。プライバシー強化技術(PET)は、プライバシー・リスクを軽減しながら、データの利用を拡大することができる。
This publication describes differential privacy — a PET that quantifies privacy risk to individuals when their data appears in a dataset. Differential privacy was first defined in 2006 as a theoretical framework and is still making the transition from theory to practice. This publication is intended to help those who need to manage the risks of data analytics and data sharing — including business owners, product managers, privacy personnel, security personnel, software engineers, data scientists, and academics — understand, evaluate, and compare differential privacy guarantees. In particular, this publication highlights privacy hazards that practitioners should consider carefully.  本書では、データセットに個人のデータが含まれる場合の個人のプライバシー・リスクを定量化するプライバシー強化技術である差分プライバシーについて説明する。差分プライバシーは2006年に理論的な枠組みとして初めて定義され、現在も理論から実践への移行が進められている。本書は、データ分析やデータ共有に伴うリスクマネジメントを必要とする人々(事業主、製品管理者、プライバシー担当者、セキュリティ担当者、ソフトウェアエンジニア、データサイエンティスト、学術関係者など)が、差分プライバシーの保証を理解、評価、比較するのに役立つことを目的としている。特に、本書では実務家が慎重に考慮すべきプライバシー上の危険性について強調している。
This publication is organized into four sections. Sec. 2 defines differential privacy, Sec. 3 describes techniques for achieving differential privacy and its properties, and Sec. 4 covers important related concerns for deployments of differential privacy. A supplemental, interactive software archive is also included to increase understanding of differential privacy and techniques for achieving it.  本書は4つのセクションで構成されている。第2章では差分プライバシーを定義し、第3章では差分プライバシーを実現するための技術と特性について説明し、第4章では差分プライバシーの展開に関する重要な関連事項を取り上げる。補足として、差分プライバシーとそれを実現するための技術についての理解を深めるためのインタラクティブなソフトウェアアーカイブも含まれている。
The Differential Privacy Guarantee (Sec. 2)  差分プライバシー保証(セクション2) 
Differential privacy promises that a reduction in privacy caused by a data analysis or published dataset will be bounded for all individuals about whom data are found in the dataset. In other words, any privacy reduction to an individual that results from a differentially private analysis could have happened even if the individual had not contributed their data. This section introduces differential privacy, describes its properties, explains how to reason about and compare differential privacy guarantees, describes how the differential privacy guarantee can impact real‐world outcomes, and highlights potential hazards in defining and evaluating these guarantees.  差分プライバシーは、データ分析または公開されたデータセットによってプライバシーが侵害されることが、データセット内のデータが見つかったすべての個人に対して制限されることを保証する。言い換えれば、差分プライバシー分析によって個人のプライバシーが侵害されることは、その個人がデータを提出していなくても起こり得るということである。このセクションでは、差分プライバシーについて紹介し、その特性を説明し、差分プライバシーの保証についてどのように推論し比較するかを説明し、差分プライバシーの保証が現実の結果にどのような影響を与えるかを説明し、これらの保証を定義し評価する上での潜在的な危険性を指摘する。
Differentially Private Algorithms (Sec. 3)  微分的プライベートアルゴリズム (セクション3) 
Differential privacy is generally achieved by adding random noise to analysis results. More noise yields better privacy but degrades the utility of the result. This privacy‐utility tradeoff can make it difficult to achieve both high utility and strong privacy protection. Statistical disclosure control techniques, where records or features are redacted based on their perceived identifiability, can sometimes also create or magnify systemic, human, or statistical bias in results—as is generally true for statistical disclosure control—so care must be taken to understand and mitigate these impacts.  差分プライバシーは一般的に、分析結果にランダムノイズを追加することで実現される。ノイズを多くするとプライバシーはより保護されるが、結果の有用性は低下する。このプライバシーと有用性のトレードオフにより、高い有用性と強固なプライバシー保護の両立が困難になる場合がある。統計的開示制御技術では、識別可能性が認識されたレコードや特徴が削除されるが、その結果、システム的、人的、または統計的なバイアスが生じたり、拡大したりする場合がある。これは一般的に統計的開示制御に当てはまることであるため、これらの影響を理解し緩和するために注意が必要である。
This section describes algorithms for a wide range of data processing scenarios. Differentially private algorithms exist for analytics queries (e.g., counting, histograms, summation, and averages), regression tasks, machine learning tasks, synthetic data generation, and the analysis of unstructured data. Implementing differentially private algorithms requires significant expertise primarily due to a variety of factors which includes the use of random sampling. The randomized aspects of the algorithms can be difficult to get right and easy to get wrong, and—like implementing cryptography—it is best to use existing rigorously validated libraries when possible.  このセクションでは、幅広いデータ処理シナリオに対応するアルゴリズムについて説明する。差分プライバシーアルゴリズムは、分析クエリ(カウント、ヒストグラム、総和、平均など)、回帰タスク、機械学習タスク、合成データ生成、非構造化データの分析などに対応している。差分プライバシーアルゴリズムを実装するには、主にランダムサンプリングの使用を含むさまざまな要因により、高度な専門知識が必要となる。アルゴリズムのランダムな側面を正しく実装することは難しく、誤りやすい。暗号化の実装と同様に、可能な限り厳密に妥当性確認された既存のライブラリを使用するのが最善である。
Deploying Differential Privacy (Sec. 4)  差分プライバシーの展開(セクション4) 
Differential privacy protects privacy of data subjects in the context of intentional differentially private data releases, but does not protect data as it is collected, stored, and analyzed in raw form. This section describes practical concerns about deploying differentially private analysis techniques, including the trust model, which describes potential malicious parties and steps they might take; implementation challenges that can cause unexpected privacy failures; and additional security concerns and data collection exposure. For example, sensitive data must be stored securely with strong access control policies and mechanisms— following industry best practices—or not stored at all. A data breach that results in the unauthorized release of sensitive raw data records will nullify any differential privacy guarantee that has been established for the leaked records; however the differential privacy guarantee will still hold for all records that were not leaked.  差分プライバシーは、意図的な差分プライバシーデータ公開の文脈においてデータ対象者のプライバシーを保護するが、収集、保存、分析の生データとしてのデータは保護しない。このセクションでは、潜在的な悪意のある当事者とその行動を説明する信頼モデル、予期せぬプライバシー侵害を引き起こす可能性のある実装上の課題、追加のセキュリティ上の懸念事項とデータ収集のエクスポージャーなど、差分プライバシー分析技術の展開に関する実用的な懸念事項について説明する。例えば、機密データは、業界のベストプラクティスに従って、強力なアクセス管理ポリシーとメカニズムにより安全に保管するか、あるいは一切保管しない必要がある。機密の生データレコードが不正に公開された結果、データ侵害が発生した場合、漏洩したレコードに対して確立された差分プライバシーの保証は無効となる。しかし、漏洩していないすべてのレコードに対しては、差分プライバシーの保証は依然として有効である。
Toward Standardization, Certification, and Evaluation  標準化、認証、評価に向けて 
This publication is intended to be a first step toward building standards for differential privacy guarantees to ensure that deployments of differential privacy provide robust realworld privacy protections. In particular, a standard for differential privacy guarantees should prescribe a methodology for setting parameters that addresses all of the privacy hazards described in this publication, and that also balances the strength of privacy guarantees against the anticipated benefits of publishing the data. Such a standard would allow for the construction of tools to evaluate differential privacy guarantees and the systems that provide them as well as the certification of systems that conform with the standard. The certification of differential privacy guarantees is particularly important given the challenge of communicating these guarantees to non‐experts. A thorough certification process would provide non‐experts with an important signal that a particular system will provide robust guarantees without requiring them to understand the details of those guarantees.  本書は、差分プライバシーの実装が現実世界において強固なプライバシー保護を提供することを保証するための、差分プライバシー保証の標準構築に向けた第一歩となることを目的としている。特に、差分プライバシー保証の標準は、本書で説明されているプライバシー上の危険性をすべて考慮したパラメータ設定の方法論を規定し、プライバシー保証の強度とデータ公開による予想される利益とのバランスを取るものでなければならない。このような標準があれば、差分プライバシー保証を評価するツールや、それを提供するシステムの構築が可能になるだけでなく、標準に準拠するシステムの認証も可能になる。差分プライバシーの保証の認証は、専門家ではない人々に対してこれらの保証を伝えるという課題を考慮すると、特に重要である。徹底した認証プロセスは、専門家ではない人々に対して、特定のシステムが強固な保証を提供することを保証する重要なシグナルとなる。
Differential Privacy and Policy  差分プライバシーとポリシー 
Since differential privacy is the only rigorous mathematical definition of privacy at this time, it is likely to play an important role in the release of official statistics. This document is not intended to provide guidance to U.S. federal (and other government) agencies on navigating differential privacy’s interactions with law, regulation, and policy. U.S. federal agencies, especially statistical agencies, have important responsibilities to release accurate information with potentially differing definitions of accuracy.  差分プライバシーは現時点で唯一の厳密な数学的プライバシーの定義であるため、公式統計の公開において重要な役割を果たす可能性が高い。本書は、差分プライバシーと法律、規制、政策との関連性について、米国連邦政府(およびその他の政府)機関に指針を与えることを目的としたものではない。米国連邦政府機関、特に統計機関は、正確性の定義が異なる可能性がある中で、正確な情報を公開するという重要な責任を負っている。

 


 

⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

・2023.12.13 NIST SP 800-226(初期公開ドラフト) 差分プライバシー保証 (Guarantees) を評価するためのガイドライン

 

PETs

・2024.12.26 米国 NIST IR 8467 (第2次公開ドラフト) ゲノムデータのサイバーセキュリティとプライバシーフレームワーク コミュニティプロファイル (2024.12.16)

・2024.11.23 英国 ICO&科学・革新・技術省 プライバシー強化技術 (PETs) の費用対効果認識ツール (2024.11.07)

・2024.06.28 個人情報保護委員会 意見募集 いわゆる3年ごと見直しに係る検討の中間整理

・2024.04.11 インド データセキュリティ協議会 セキュリティとプライバシーリスクの低減: 生成的AIのエンタープライズ利用ガイド (2024.03.21)

・2024.04.10 欧州議会 欧州委員会が提出した「国境を越えたケースにおけるGDPRの執行強化を確保するための規則」案についての意見を公表していますね...

・2023.10.31 米国 人工知能の安全、安心、信頼できる開発と利用に関する大統領令

・2023.10.16 カナダ プライバシーコミッショナー 意見募集 バイオメトリクス指針案 (2023.10.11)

・2023.06.28 英国 ICO 金融、医療、研究、中央・地方政府で大規模な個人データセットを使用しているデータ保護担当者などを対象とした新しいPETsガイダンスを作成 (2023.06.19)

・2023.06.22 個人情報保護委員会 「第3回G7データ保護・プライバシー機関ラウンドテーブル会合」共同コミュニケ、生成AIに関する生命、行動計画

・2023.04.08 米国 プライバシーを保護した上でデータ共有と分析を推進する国家戦略 ・デジタル資産研究開発のための国家目標 (2023.03.29)

・2023.04.05 米国 政府による監視技術の使用に関する指導原則 権威主義的な政権に対抗するための民主主義を肯定する検閲防止技術を推進するための米国政府官民の呼びかけ (2023.03.30)

・2023.04.04 

・2023.03.31 ENISA 「クラウド・サイバーセキュリティ市場分析 2023」と「サイバーセキュリティ市場分析手法の更新」

・2023.03.24 OECD 先進のプライバシー強化技術 - 現在の規制・政策アプローチ (2023.03.08)

・2023.01.26 英国王立学会 プライバシー向上技術 (PETs) (2023.01.23)

・2022.11.01 第44回 世界プライバシー会議 顔認識に関する決議

・2022.09.11 英国 ICO プライバシー強化技術に関するガイダンス案を発表

・2022.01.29 ENISA データ保護エンジニアリング

・2021.07.19 U.K. プライバシー強化技術:採用ガイド β版 by デジタル・文化・メディア・スポーツ省 データ倫理・イノベーションセンター

・2021.02.11 NIST NISTIR 8301 Blockchain Networks: Token Design and Management Overview(ブロックチェーンネットワーク:トークンのデザインと管理の概要)

・2020.10.16 World Economic Forumからサイバーセキュリティの報告書(Cyber Information Sharing: Building Collective Security)が出ていましたね。。。

 

少し古いですが...

・2010.07.27 London Economics "Study on the economic benefits of privacy-enhancing technologies (PETs) "

 

| | Comments (0)

米国 NIST CSWP 39(初期公開ドラフト) 暗号化の機敏性を実現するための考慮事項:戦略と実践

こんにちは、丸山満彦です。

NISTが、暗号化の機敏性(アジリティ)を実現するための考慮事項:戦略と実践を公表していますね...

 

Fig3. 組織の暗号リスクを管理するための暗号アジリティ戦略計画

20250310-172747

 

⚫︎ NIST - ITL

・2025.03.05 NIST CSWP 39 (Initial Public Draft) Considerations for Achieving Cryptographic Agility: Strategies and Practices

NIST CSWP 39 (Initial Public Draft) Considerations for Achieving Cryptographic Agility: Strategies and Practices NIST CSWP 39(初期公開ドラフト) 暗号化の機敏性を実現するための考慮事項:戦略と実践
Announcement 発表
Advances in computing capabilities, cryptographic research, and cryptanalytic techniques periodically create the need to replace algorithms that no longer provide adequate security for their use cases. For example, the threats posed by future cryptographically-relevant quantum computers (CRQCs) to public-key cryptography are addressed by NIST post-quantum cryptography (PQC) standards.  Migrating to PQC in protocols, applications, software, hardware, and infrastructures presents an opportunity to explore capabilities that could allow this cryptographic algorithm migration and future migrations to be easier to achieve by adopting a cryptographic (crypto) agility approach. コンピューティング能力、暗号研究、暗号解読技術の進歩により、使用事例に対して十分なセキュリティを提供できなくなったアルゴリズムを定期的に置き換える必要性が生じる。例えば、公開鍵暗号に対する将来的な暗号関連量子コンピュータ(CRQC)の脅威は、NISTの耐量子暗号(PQC)標準によって対処される。 プロトコル、アプリケーション、ソフトウェア、ハードウェア、インフラストラクチャをPQCに移行することは、暗号(クリプト)アジリティのアプローチを採用することで、この暗号アルゴリズムの移行や将来の移行をより容易に実現できる可能性を探る機会となる。
Crypto agility describes the capabilities needed to replace and adapt cryptographic algorithms for protocols, applications, software, hardware, and infrastructures without interrupting the flow of a running system to achieve resiliency. This draft NIST Cybersecurity White Paper (CSWP) provides an in-depth survey of current approaches and considerations to achieving crypto agility. It discusses challenges, trade-offs, and some approaches to providing operational mechanisms for achieving crypto agility while maintaining interoperability. It also highlights some critical working areas that require additional discussion. クリプトアジリティとは、レジリエンシーを実現するために稼働中のシステムのフローを中断することなく、プロトコル、アプリケーション、ソフトウェア、ハードウェア、インフラストラクチャの暗号アルゴリズムを置き換え、適応させるために必要な能力を指す。このNISTサイバーセキュリティ白書(CSWP)ドラフトでは、暗号アジリティの達成に向けた現在のアプローチと考慮事項について詳細な調査を行っている。相互運用性を維持しながら暗号アジリティを達成するための運用メカニズムの提供に関する課題、トレードオフ、およびいくつかのアプローチについて論じている。また、さらなる議論が必要ないくつかの重要な作業領域についても強調している。
NIST also invites discussions among stakeholders to develop sector- and environment-specific strategies for pursuing crypto agility at a future NIST virtual workshop.  NISTは、今後のNIST仮想ワークショップにおいて、暗号アジリティを追求するためのセクターおよび環境に特化した戦略を策定するために、利害関係者間の議論を促している。
Abstract 概要
Crypto agility refers to the capabilities needed to replace and adapt cryptographic algorithms in protocols, applications, software, hardware, and infrastructures. This white paper provides an in-depth survey of current approaches to achieving crypto agility. It discusses challenges and tradeoffs and identifies some approaches for providing operational mechanisms to achieve crypto agility while maintaining interoperability. It also highlights some critical working areas that require additional discussion. 暗号アジリティとは、プロトコル、アプリケーション、ソフトウェア、ハードウェア、インフラにおける暗号アルゴリズムの置き換えや適応に必要な能力を指す。本ホワイトペーパーでは、暗号アジリティを実現するための現在のアプローチについて詳細な調査を行っている。課題やトレードオフについて論じ、相互運用性を維持しながら暗号アジリティを実現するための運用メカニズムを提供するアプローチをいくつか識別している。また、さらなる議論が必要な重要な作業分野についても強調している。

 

 

・[PDF] NIST.CSWP.39.ipd

20250310-171506

 

目次...

1. Introduction 1. 序文
2. Historic Transitions and Challenges 2. 歴史的な移行と課題
2.1. Long Period for a Transition 2.1. 移行に長い期間を要する
2.2. Backward Compatibility and Interoperability Challenges 2.2. 下位互換性と相互運用性の課題
2.3. Constant Needs of Transition 2.3. 常に求められる移行
2.4. Resource and Performance Challenges 2.4. リソースとパフォーマンスの課題
3. Crypto Agility for Security Protocols 3. セキュリティプロトコルにおける暗号の機敏性
3.1. Algorithm Identification 3.1. アルゴリズムの識別
3.1.1. Mandatory-to-Implement Algorithms 3.1.1. 実装が必須のアルゴリズム
3.1.2. Dependent Specifications 3.1.2. 依存する仕様
3.2. Algorithm Transitions 3.2. アルゴリズムの移行
3.2.1. Preserving Interoperability 3.2.1. 相互運用性の維持
3.2.2. Providing Notices of Expected Changes 3.2.2. 予定されている変更に関する通知の提供
3.2.3. Integrity for Algorithm Negotiation 3.2.3. アルゴリズムのネゴシエーションの整合性
3.2.4. Hybrid Cryptographic Algorithms 3.2.4. ハイブリッド暗号アルゴリズム
3.3. Cryptographic Key Establishment 3.3. 暗号鍵の確立
3.4. Balancing Security Strength and Protocol Complexity 3.4. セキュリティ強度とプロトコルの複雑さのバランス
3.4.1. Balancing the Security Strength of Algorithms in a Cipher Suite 3.4.1. 暗号スイートにおけるアルゴリズムのセキュリティ強度のバランス
3.4.2. Balancing Protocol Complexity 3.4.2. プロトコルの複雑さのバランス
4. Crypto Agility for Applications  4. アプリケーションの暗号アジリティ
4.1. Using an API in a Crypto Library Application, 4.1. 暗号ライブラリアプリケーションでのAPIの使用、
4.2. Using APls in the Operating System Kernel 4.2. オペレーティングシステムカーネルでのAPIの使用
4.3. Hardware 4.3. ハードウェア
5. Discussions  5. 考察 
5.1. Resource Considerations 5.1. リソースに関する考察
5.2. Agility Awareness Design 5.2. アジリティを意識した設計
5.3. Complexity and Security  5.3. 複雑さとセキュリティ 
5.4. Crypto Agility in the Cloud 5.4. クラウドにおける暗号の俊敏性
5.5. Maturity Assessment for Crypto Agility 5.5. 暗号の俊敏性に関する成熟度アセスメント
5.6. Crypto Agility Strategic Plan for Managing Organizations' Crypto Risks 5.6. 組織の暗号リスクマネジメントのための暗号の俊敏性戦略計画
5.6.1. Crypto Standards, Regulations, and Mandates 5.6.1. 暗号標準、規制、および義務
5.6.2. Crypto Security Policy Enforcement 5.6.2. 暗号セキュリティポリシーの施行
6. Conclusion  6. 結論 
Appendix A. List of Symbols, Abbreviations, and Acronyms 附属書A. シンボル、略語、および頭字語の一覧

 

 

 

| | Comments (0)

米国 NIST IR 8546(初期公開ドラフト)サイバーセキュリティフレームワーク2.0 半導体製造プロファイル (2025.02.27)

こんにちは、丸山満彦です。

NISTがサイバーセキュリティフレームワーク2.0にそった半導体製造プロファイルのドラフトを公表していますね...

PDFで136ページあります...

より一般の製造業のプロファイル(IR8183)をベースに開発をしているようです...

 

Fig.1 半導体製造エコシステム...

20250310-163602

 

⚫︎ NIST - ITL

・2025.02.27 NIST IR 8546 (Initial Public Draft) Cybersecurity Framework Version 2.0 Semiconductor Manufacturing Profile

 

NIST IR 8546 (Initial Public Draft) Cybersecurity Framework Version 2.0 Semiconductor Manufacturing Profile NIST IR 8546(初期公開ドラフト)サイバーセキュリティフレームワーク・バージョン 2.0 半導体製造プロファイル
Announcement 発表
This draft CSF 2.0 Profile provides a voluntary, risk-based approach for managing cybersecurity activities and reducing cybersecurity risk to semiconductor manufacturing. The semiconductor manufacturing environment is a complex ecosystem of device makers, equipment OEMs, suppliers and solution providers. This Profile focuses on desired cybersecurity outcomes and can be used as a guideline to improve the current cybersecurity posture of the semiconductor manufacturing ecosystem. この CSF 2.0 プロファイル草案は、サイバーセキュリティ活動をマネジメントし、半導体製造のサイバーセキュリティリスクを低減するための自主的なリスクベースのアプローチを提供する。半導体製造環境は、デバイスメーカー、装置 OEM、サプライヤ、ソリューションプロバイダからなる複雑なエコシステムである。このプロファイルは、望ましいサイバーセキュリティの成果に焦点を当て、半導体製造エコシステムの現在のサイバーセキュリティ態勢を改善するためのガイドラインとして利用できる。
The NCCoE is planning a virtual workshop on Thursday, March 13, 2025, to provide an overview of the draft NIST Internal Report (IR) 8546, Cybersecurity Framework 2.0 Semiconductor Manufacturing Community Profile, gather feedback on the Profile, identify additional resources to support the adoption of the profile, and share next steps.    NCCoEは2025年3月13日(木)にバーチャルワークショップを計画しており、NIST内部報告書(IR)8546「サイバーセキュリティフレームワーク2.0半導体製造コミュニティプロファイル」(ドラフト)の概要を説明し、プロファイルに関するフィードバックを集め、プロファイルの採用を支援するための追加リソースを特定し、次のステップを共有する。  
Abstract 概要
This document defines a Cybersecurity Framework (CSF) 2.0 Community Profile with a voluntary, risk-based approach to managing cybersecurity activities and reducing cyber risks for semiconductor development and manufacturing. Collaboratively developed in support of the National Cybersecurity Implementation Plan Version 2, the Semiconductor Manufacturing Profile can be used as a roadmap for reducing cybersecurity risks for semiconductor manufacturers in alignment with sector goals and industry best practices. It is built on top of the Manufacturing Profile documented in NIST IR 8183, Revision 1. The Profile is meant to enhance but not replace current cybersecurity standards and industry guidelines that the manufacturer is embracing. 本文書は、サイバーセキュリティ活動をマネジメントし、半導体開発・製造のサイバーリスクを低減するための自主的なリスクベースのアプローチを備えたサイバーセキュリティフレームワーク(CSF)2.0コミュニティプロファイルを定義する。National Cybersecurity Implementation Plan Version 2 を支援するために共同開発された半導体製造プロファイルは、半導体製造事業者のサイバーセキュリティリスクを削減するためのロードマップとして、この分野の目標や業界のベストプラクティスに沿って使用することができる。このプロファイルは、NIST IR 8183, Revision 1 に文書化された製造プロファイルの上に構築されている。このプロファイルは、製造事業者が採用している現行のサイバーセキュリティ標準や業界ガイドラインを強化するものであるが、取って代わるものではない。

 

・[PDF] NIST.IR.8546.ipd

20250310-163158

 

 

Fig.2 半導体製造エコシステムの機能領域

20250310-163849

 

 

Fig.3 半導体サイバーセキュリティの要素

20250310-164058

 

 

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序文
1.1. Purpose 1.1. 目的
1.2. Semiconductor Fabrication Ecosystem Functional Domains 1.2. 半導体製造エコシステム機能領域
1.2.1. Development of Secure Equipment and Tooling 1.2.1. セキュアな装置および工具の開発
1.2.2. Fab Environment 1.2.2. 製造環境
1.2.3. Enterprise IT Infrastructure in Semiconductor Manufacturing 1.2.3. 半導体製造におけるエンタープライズITインフラ
1.3. Security of Semiconductor Manufacturing 1.3. 半導体製造のセキュリティ
1.4. Relationship to CS Core and Manufacturing Profile 1.4. CSコアおよび製造プロファイルとの関係
1.5. Document Organization 1.5. 文書構成
2. Overview of Semiconductor Manufacturing and Operational Systems 2. 半導体製造および運用システムの概要
2.1. Importance of NIST CSF 2.0 in Semiconductor Manufacturing  2.1. 半導体製造におけるNIST CSF 2.0の重要性 
3. Overview of CSF 2.0 3. CSF 2.0の概要
3.1. The CSF Core  3.1. CSF コア 
3.2. Community Profiles 3.2. コミュニティ・プロファイル
3.3. Applying the NIST CS to Semiconductor Manufacturing 3.3. NIST CSの半導体製造への適用
4. Applying Business and Mission Objectives to Profile Creation 4. プロファイル作成への事業およびミッション目標の適用
4.1. Semiconductor Manufacturing Business and Mission Objectives  4.1. 半導体製造の事業およびミッション目標 
4.1.1. Objective 1: Maintain Environmental Safety 4.1.1. 目的 1:環境の安全性を維持する
4.1.2. Objective 2: Maintain Human Safety  4.1.2. 目的 2:人間の安全を維持する 
4.1.3. Objective 3: Maintain Production Goals  4.1.3. 目的 3:生産目標を維持する 
4.1.4. Objective 4: Maintain the Quality of Semiconductors 4.1.4. 目的 4:半導体の品質を維持する
4.1.5. Objective 5: Protect Sensitive Information  4.1.5. 目的 5:機密情報を保護する 
4.2. Aligning Subcategories to Meet Business and Mission Objectives 4.2. ビジネスおよびミッションの目的を達成するためのサブカテゴリーの調整
4.2.1. Govern 4.2.1. ガバナンス
4.2.2. Identify 4.2.2. 識別
4.2.3. Protect 4.2.3. 防御
4.2.4. Detect 4.2.4. 検知
4.2.5. Respond 4.2.5. 対応
4.2.6. Recover 4.2.6. 回復
5. Semiconductor Manufacturing Community Profile Subcategory Guidance 5. 半導体製造コミュニティのプロファイル サブカテゴリーのガイダンス
5.1. Govern 5.1. ガバナンス
5.2. Identify 5.2. 識別
5.3. Protect 5.3. 防御
5.4. Detect 5.4. 検知
5.5. Respond 5.5. 対応
5.6. Recover  5.6. 回復 
References 参考文献
Appendix A. Selected Bibliography 附属書 A. 主要参考資料
Appendix B. List of Symbols, Abbreviations, and Acronyms 附属書 B. 記号、略語、および頭字語の一覧
Appendix C. Glossary 附属書 C. 用語集
Appendix D. Figure Descriptions 附属書 D. 図の説明

 


 

⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

NIST IR 8183

・2020.10.13 NIST NISTIR 8183 Rev. 1 Cybersecurity Framework Version 1.1 Manufacturing Profile

・2020.03.05 NISTIR 8183 Rev. 1(Draft) Cybersecurity Framework Version 1.1 Manufacturing Profile

 

半導体関係...

・2022.02.24 半導体製造業界:SEMI E187 - ファブ装置のサイバーセキュリティに関する仕様 ・ SEMI E188 - マルウェアフリー機器統合のための仕様

・2021.06.11 U.S. White House サプライチェーンの途絶に対処するための取り組み...

 

| | Comments (0)

2025.03.10

公認会計士協会 「保証」と類似した用語 (2025.03.07)

こんにちは、丸山満彦です。

情報セキュリティ監査基準において、Assuranceの訳語を「保証」から「アシュアランス」というカタカナに変更する案が出ていますが、公認会計士協会からは、 サステナビリティ保証に関する理解向上に資する情報を集約して提供することを目的として発行されている「Sustainability Assurance Insights」のVol.10で「保証」と類似した用語」を公表していますので参考まで...

公認会計士の世界と、ISOの世界で比較しながらの紹介というところが興味深いです...

類似した用語として、

verification(検証)

Certification(認証)

Accreditation(認定)

の説明をしています。

参考として、保証という訳語に対する英語の言葉として、

Warranty(製品保証)

Guaranty(債務保証)

という言葉も紹介されていますね...

 

 

⚫︎ 公認会計士協会

・2025.03.07 【Sustainability Assurance Insights Vol.10】「保証」と類似した用語

・[PDF] Vol.10 「保証」と類似した用語

20250310-155633

 

過去の分も含めて興味深いですよ...不定期発行(^^)

 

2025.03.07 Vol.10 「保証」と類似した用語
2025.02.18 Vol.9 開示におけるインターオペラビリティ
2025.02.18 Vol.8 サステナビリティ保証業務を実施する者の倫理と独立性
2025.02.10 Vol.7 サステナビリティ情報の作成・保証に関して覚えておきたい登場人物
2024.12.26 Vol.6 限定的保証と合理的保証
(※)限定的保証と合理的保証については、サステナビリティ保証シンポジウム2025の「基調講演」及び「パネルディスカッション」もご参照ください。
2024.01.26 Vol.5 今さら聞けない!?サステナビリティ保証とは?
2023.08.10 Vol.4 包括的な保証基準策定の段階で取り組む優先度の高い課題
2023.04.28 Vol.3 国際サステナビリティ保証基準の開発
2023.12.13 Vol.2 国際的な保証業務基準
2023.4.28 Vol.1 保証業務とは?

 

 



⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

・2025.02.05 経済産業省 「情報セキュリティ監査基準改正案等」に対する意見募集

 

| | Comments (0)

NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 ものを分解すればわかるのか?「還元論的発想とシステム論的発想」

こんにちは、丸山満彦です。

デジタル・フォレンジック研究会にコラムを載せました。

 IDF - Column

・2025.03.10 コラム第864号:「ものを分解すればわかるのか?「還元論的発想とシステム論的発想」」

 

1_20250310131501

 

 

物事を理解しようとする時のアプローチの話といえますかね...

物事を浅く、早く理解するためには、還元論的アプローチというのは、効果的ですが、物事の本質を理解しようすると還元論的アプローチだけでは限界があるということですかね...

地球環境問題を解決しようとすると還元論的アプローチだけでは限界があるという話ですね。。。

Systemというのは、日本語では系と訳されることがあります。生態系 (Ecosystem) 、太陽系 (Solar System) 、神経系 (Nervous System) 、免疫系 (immune system) などの言葉がありますね...

IT Systemは系とは訳されませんが、同じ意味ですね...

身の回りのSystemを見つけてみてください。

 


 

私が書いた「NPO デジタル・フォレンジック研究会」の「コラム」の一覧

 

No Date Title
32 864 2025.03.10 ものを分解すればわかるのか?「還元論的発想とシステム論的発想」
31 841 2024.09.26 親分でまとまる集団とルールでまとまる集団とIDFに対するちょっとした提案
30 806 2024.01.25 気候風土と社会
29 780 2023.07.31 国家安全保障戦略 ― 何をだれから守るのか? 国益 (National Interests) とは何か?
28 754 2023.01.31 「木を見て森を見ず」にならず、「神は細部に宿る」を忘れない
27 731 2022.08.22 サイバー空間の安全に向けて: All for one, One for all
26 702 2022.01.31 サイバーセキュリティは空気のように社会全体に拡がる
25 678 2021.08.16 ティラノサウルスとスズメ
24 650 2021.02.01 データを科学的に分析する
23 627 2020.08.17 若者のサイバー犯罪を無くしたい。。。
22 600 2020.02.03 デジタルフォレンジックスと多様性
21 578 2019.08.26 未来を考えようと思うとき、人は過去を振り返る
20 551 2019.02.11 とらわれずに物事をみつめる
19 521 2018.07.09 AIは科学捜査を騙せるか?
18 493 2017.12.18 セキュリティ・デバイド?
17 474 2017.08.07 『デジタル・フォレンジック』という言葉を今更考える
16 451 2017.02.20 相手を知ることが重要
15 425 2016.08.15 本質を理解する
14 383 2015.10.12 名ばかりCSIRTで良いのか?
13 357 2015.04.13 IoT時代は明るいか暗いか
12 335 2014.11.03 頭を下げるのは社長です
11 308 2014.04.30 標的型攻撃には内部不正対応が重要?
10 286 2013.11.14 セキュリティガバナンスはできる範囲だけやればよいのか?
09 261 2013.05.23 セキュリティの基本はずっとかわっていない
08 240 2012.12.25 さらに組織化が進むサイバー攻撃集団
07 207 2012.05.10 外部から侵入されている想定で情報セキュリティを考える
06 173 2011.09.08 想定外に対応するのが危機管理ではないか
05 139 2011.01.13 データ分析を使った不正発見手法
04 131 2010.11.11 発見的統制の重要性
03 084 2009.12.10 クラウドコンピューティングがもたらす光と影
02 058 2009.06.11 不正をさせない
01 021 2008.09.25 ニーズとシーズ、目的と手段

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.03.10 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 ものを分解すればわかるのか?「還元論的発想とシステム論的発想」

・2024.09.30 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「親分でまとまる集団とルールでまとまる集団とIDFに対するちょっとした提案」

・2024.01.30 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「気候風土と社会」

・2023.08.01 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「「国家安全保障戦略 ― 何をだれから守るのか? 国益 (National Interests) とは何か?」

・2023.01.31 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「「木を見て森を見ず」にならず、「神は細部に宿る」を忘れない」

・2022.08.22 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「サイバー空間の安全に向けて: All for one, One for all」

・2022.01.31 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「サイバーセキュリティは空気のように社会全体に拡がる」

・2021.08.17 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「ティラノサウルスとスズメ」

・2021.02.03 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦 - 「データを科学的に分析する」

・2020.08.19 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦

・2020.06.11 NPO デジタル・フォレンジック研究会のコラム by 丸山満彦

 

 

 

 

 

 

 

| | Comments (0)

米国 NIST IR 8286 Rev. 1(初期公開草案) サイバーセキュリティとエンタープライズリスクマネジメント(ERM)の統合他 (2025.02.26)

こんにちは、丸山満彦です。

NISTのIR 8286といえば、サイバーセキュリティとERMを統合させる文書として有名ですが...

以下のように確定版と改訂ドラフトが公表されています...

CSF2.0への改訂に合わせて行われたものですね...

Draft IR 8286 Rev.1 Integrating Cybersecurity and Enterprise Risk Management (ERM) サイバーセキュリティとエンタープライズ・リスクマネジメント(ERM)の統合
Draft IR 8286A Rev.1 Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management エンタープライズ・リスクマネジメントのためのサイバーセキュリティリスクの識別と評価
Final IR 8286B Prioritizing Cybersecurity Risk for Enterprise Risk Management エンタープライズ・リスクマネジメントのためのサイバーセキュリティリスクの優先順位付け
Draft IR 8286C Rev.1 Staging Cybersecurity Risks for Enterprise Risk Management and Governance Oversight エンタープライズ・リスクマネジメントとガバナンスの監督のためのサイバーセキュリティリスクの段階的評価
Final IR 8286D Using Business Impact Analysis to Inform Risk Prioritization and Response ビジネスインパクト分析によるリスクの優先順位付けと対応策の策定

 

関係...

20250309-165607

 

経済産業省のサイバーセキュリティ経営ガイドライン Ver.3.0もこれを意識して策定されていますね...

 

⚫︎ NIST - ITL

まずは、本編のドラフト...

・2025.02.26 NIST IR 8286 Rev. 1 (Initial Public Draft) Integrating Cybersecurity and Enterprise Risk Management (ERM)


NIST IR 8286 Rev. 1 (Initial Publi% Draft) Integrating Cybersecurity and Enterprise Risk Management (ERM) NIST IR 8286 Rev. 1(初期公開草案) サイバーセキュリティとエンタープライズ・リスクマネジメント(ERM)の統合
Announcement 発表
The NIST Interagency Report (IR) 8286 series of publications helps practitioners better understand the close relationship between cybersecurity and enterprise risk management (ERM). All five publications in the series have been updated to align more closely with the Cybersecurity Framework (CSF) 2.0 and other updated NIST guidance. The updated series puts greater emphasis on cybersecurity governance to highlight the importance of ensuring cybersecurity capabilities support the broader mission through ERM. NISTの内部報告書(IR)8286シリーズは、サイバーセキュリティとエンタープライズ・リスクマネジメント(ERM)の密接な関係について、実務担当者がより深く理解するのに役立つ。このシリーズの全5刊は、サイバーセキュリティ枠組み(CSF)2.0およびその他の更新されたNISTガイダンスにさらに密接に整合するように更新された。更新されたシリーズでは、サイバーセキュリティ能力がERMを通じてより広範なミッションを確実にサポートすることの重要性を強調するために、サイバーセキュリティガバナンスがより重視されている。
The five updated IR 8286 series publications are: 更新されたIR 8286シリーズの5つの刊行物は以下の通りである。
NIST IR 8286r1 (Revision 1) initial public draft (ipd), Integrating Cybersecurity and Enterprise Risk Management (ERM) — This document is intended to help individual organizations within an enterprise improve their cybersecurity risk information, which they provide as inputs to their enterprise’s ERM processes through communications and risk information sharing.  NIST IR 8286r1(改訂1)初期公開草案(IPD)、サイバーセキュリティとエンタープライズ・リスクマネジメント(ERM)の統合 — この文書は、エンタープライズ内の個々の組織が、コミュニケーションやリスク情報の共有を通じて、エンタープライズのERMプロセスへの入力情報として提供するサイバーセキュリティリスク情報の改善に役立つことを目的としている。
View the publication and submit comments by April 14, 2025. この文書は2025年4月14日まで閲覧可能であり、意見を提出することができる。
NIST IR 8286Ar1 ipd, Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management  — This document details the context, scenario identification, and analysis of the likelihood and impacts of cybersecurity risk.   NIST IR 8286Ar1 ipd、エンタープライズ・リスクマネジメントのためのサイバーセキュリティリスクの識別と評価 — この文書では、サイバーセキュリティリスクの可能性と影響の文脈、シナリオの識別、分析について詳細に説明している。
View the publication and submit comments by April 14, 2025. この文書は2025年4月14日まで閲覧可能であり、意見を提出することができる。
NIST IR 8286B-upd1 (Update 1), Prioritizing Cybersecurity Risk for Enterprise Risk Management — This document describes ways to apply risk analysis to help prioritize cybersecurity risk, evaluate and select appropriate risk responses, and communicate risk activities as part of an enterprise cybersecurity risk management strategy. NIST IR 8286B-upd1 (Update 1)、エンタープライズ・リスクマネジメントのためのサイバーセキュリティリスクの優先順位付け — この文書では、エンタープライズサイバーセキュリティリスクマネジメント戦略の一環として、サイバーセキュリティリスクの優先順位付け、適切なリスク対応の評価と選択、リスク活動のコミュニケーションに役立つリスク分析の適用方法を説明している。
NIST IR 8286Cr1 ipdStaging Cybersecurity Risks for Enterprise Risk Management and Governance Oversight — This document describes processes for aggregating information from CSRM activities throughout the enterprise.  NIST IR 8286Cr1 ipd、エンタープライズ・リスクマネジメントおよびガバナンスの監督のためのサイバーセキュリティリスクの段階的評価 — この文書では、企業全体にわたるCSRM活動からの情報を集約するプロセスについて説明している。
View the publication and submit comments by April 14, 2025. この文書を表示し、2025年4月14日までにコメントを提出する。
NIST IR 8286D-upd1Using Business Impact Analysis to Inform Risk Prioritization and Response — This document describes considerations for documenting and analyzing business impacts that result in a full or partial loss of the confidentiality, integrity, or availability of a mission-essential resource. NIST IR 8286D-upd1、リスクの優先順位付けと対応策の決定におけるビジネスインパクト分析の利用 — この文書では、ミッションに不可欠なリソースの機密性、完全性、可用性の全部または一部の喪失につながるビジネスへの影響を文書化および分析する際の考慮事項について説明している。
Abstract 概要
The increasing frequency, creativity, and severity of cybersecurity attacks means that all enterprises should ensure that cybersecurity risk is receiving appropriate attention within their enterprise risk management (ERM) programs. This document is intended to help individual organizations within an enterprise improve their cybersecurity risk information, which they provide as inputs to their enterprise’s ERM processes through communications and risk information sharing. By doing so, enterprises and their component organizations can better identify, assess, and manage their cybersecurity risks in the context of their broader mission and business objectives. This document focuses on the use of risk registers to set out cybersecurity risk and explains the value of rolling up measures of risk that are usually addressed at lower system and organizational levels to the broader enterprise level. サイバーセキュリティ攻撃の頻度、巧妙さ、深刻さが増していることを踏まえ、すべての企業は、サイバーセキュリティリスクが自社のエンタープライズ・リスクマネジメント(ERM)プログラム内で適切な注意を払われていることを確認すべきである。本書は、コミュニケーションやリスク情報の共有を通じて、エンタープライズ・リスクマネジメント(ERM)プロセスにインプットとして提供されるサイバーセキュリティリスク情報の改善を、企業内の各組織が図ることを目的としている。これにより、企業とその構成組織は、より広範なミッションやビジネス目標の観点から、サイバーセキュリティリスクをより適切に識別、アセスメント、管理することが可能となる。本書では、サイバーセキュリティリスクを特定するためのリスクレジスターの利用に焦点を当て、通常はシステムや組織のより低いレベルで対処されるリスクの測定値を、より広範なエンタープライズレベルに集約することの価値について説明している。

 

・[PDF] NIST.IR.8286r1.ipd

20250309-164624

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序文
1.1. Purpose and Scope 1.1. 目的と範囲
1.2. Document Structure 1.2. 文書構成
2. Gaps in Managing Cybersecurity Risk as an ERM Input 2. ERM インプットとしてのサイバーセキュリティリスク管理におけるギャップ
2.1. Overview of ERM 2.1. ERM の概要
2.1.1. Common Use of ERM 2.1.1. ERM の一般的な利用
2.1.2. ERM Framework Steps 2.1.2. ERM の枠組みのステップ
2.2. The Gap Between CSRM Output and ERM Input 2.2. CSRM アウトプットと ERM インプットのギャップ
3. Cybersecurity Risk Considerations Throughout the ERM Process 3. ERM プロセス全体におけるサイバーセキュリティリスクの考慮事項
3.1. Identify the Context 3.1. 状況の識別
3.1.1. Notional Risk Management Roles 3.1.1. 概念上のリスクマネジメントの役割
3.1.2. Risk Management Strategy 3.1.2. リスクマネジメント戦略
3.2. Identify the Risks 3.2. リスクの識別
3.2.1. Inventory and Valuation of Assets 3.2.1. 資産の目録作成と評価
3.2.2. Determination of Potential Threats 3.2.2. 潜在的な脅威の特定
3.2.3. Determination of Exploitable and Susceptible Conditions 3.2.3. 悪用可能な状況および脆弱な状況の特定
3.2.4. Evaluation of Potential Consequences 3.2.4. 潜在的な結果の評価
3.3. Analyze the Risks 3.3. リスクの分析
3.3.1. Risk Analysis Types 3.3.1. リスク分析の種類
3.3.2. Techniques for Estimating Likelihood and Impact of Consequences 3.3.2. 結果の発生可能性と影響度を推定する手法
3.4. Prioritize Risks 3.4. リスクの優先順位付け
3.5. Plan and Execute Risk Response Strategies 3.5. リスク対応戦略の計画と実行
3.5.1. Applying Security Controls to Reduce Risk Exposure 3.5.1. リスクエクスポージャーを低減するためのセキュリティ管理策の適用
3.5.2. Responding to Residual Risk 3.5.2. 残留リスクへの対応
3.5.3. When a Risk Event Passes Without Triggering the Event 3.5.3. リスク事象が発生したが、事象がトリガーされることなく経過したずに過場合
3.6. Monitor, Evaluate, and Adjust 3.6. 監視、評価、および調整
3.6.1. Continuous Risk Monitoring 3.6.1. 継続的なリスク監視
3.6.2. Key Risk Indicators and Key Performance Indicators 3.6.2. 主なリスク指標および主な業績評価指標
3.6.3. Continuous Improvement 3.6.3. 継続的な改善
3.7. Considerations of Positive Risks as an Input to ERM 3.7. ERMへのインプットとしてのポジティブリスクの考慮
3.8. Creating and Maintaining an Enterprise-Level Cybersecurity Risk Register 3.8. エンタープライズレベルのサイバーセキュリティリスクレジスターの作成と維持
3.9. Cybersecurity Risk Data Conditioned for Enterprise Risk Roll-Up 3.9. エンタープライズ・リスクの集約に適したサイバーセキュリティリスクデータ
4. Cybersecurity Risk Management as Part of a Portfolio View 4. ポートフォリオの視点の一部としてのサイバーセキュリティ・リスクマネジメント
4.1. Applying the Enterprise Risk Register and Developing the Enterprise Risk Profile 4.1. エンタープライズ・リスクレジスターの適用とエンタープライズ・リスクプロファイルの策定
4.2. Translating the Risk Profile to Inform Leadership Decisions 4.2. リスクプロファイルを経営陣の意思決定に反映させる
4.3. Information and Decision Flows in Support of ERM 4.3. ERMをサポートする情報と意思決定の流れ
4.4. Conclusion 4.4. 結論
References 参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms 附属書 A. 記号、略語、および頭字語の一覧
Appendix B. Glossary 附属書 B. 用語集
Appendix C. Federal Government Sources for Identifying Risks 附属書 C. リスクを識別するための連邦政府の情報源
Appendix D. Notional Enterprise Risk Register 附属書 D. 想定エンタープライズ・リスクレジスター
Appendix E. Change Log 附属書 E. 変更履歴
List of Tables 表の一覧
Table 1. Descriptions of notional cybersecurity risk register template elements 表1. 想定サイバーセキュリティリスクレジスターテンプレートの要素の説明
Table 2. Response types for negative cybersecurity risks 表2. ネガティブなサイバーセキュリティリスクに対する対応の種類
Table 3. Examples of proactive risk management activities 表3. 積極的なリスクマネジメント活動の例
Table 4. Response types for positive cybersecurity risks 表4. ポジティブなサイバーセキュリティリスクへの対応の種類
Table 5. Excerpt from a notional enterprise risk register 表5. 想定エンタープライズ・リスクレジストリからの抜粋
Table 6. Descriptions of the notional enterprise risk register elements 表6. 想定エンタープライズ・リスクレジストリ要素の説明
Table 7. Illustrative example of a risk profile (derived from [3]) 表7. リスクプロファイルの例示 [3]
Table 8. Notional enterprise risk portfolio view for a private corporation 表8. 非公開企業の想定エンタープライズ・リスクポートフォリオビュー
Table 9. Notional enterprise risk register 表9. 想定エンタープライズ・リスクレジストリ
List of Figures 図の一覧
Fig. 1. Enterprise hierarchy for cybersecurity risk management 図1. サイバーセキュリティ・リスクマネジメントのためのエンタープライズ階層
Fig. 2. Notional risk management life cycle 図2. 想定リスクマネジメントライフサイクル
Fig. 3. Risk register information flow among system, organization, and enterprise levels 図3. システム、組織、エンタープライズレベル間のリスクレジスター情報フロー
Fig. 4. Notional cybersecurity risk register template 図4. 想定サイバーセキュリティ・リスクレジスター・テンプレート
Fig. 5. Likelihood and impact matrix derived [15] 図5. 発生可能性と影響度マトリックス[15]
Fig. 6. Example of a quantitative risk matrix 図6. 定量的リスクマトリックスの例
Fig. 7. Excerpt from a notional cybersecurity risk register 図7. 想定サイバーセキュリティ・リスクレジスターからの抜粋
Fig. 8. Integration of CRRs into enterprise risk profile 図8. エンタープライズ・リスクプロファイルへのCRRの統合
Fig. 9. Notional information and decision flows diagram from the CSF 図9. CSF からの想定情報および意思決定フロー図
Fig. 10. Notional information and decision flows diagram with numbered steps 図10. 番号付きステップによる想定情報および意思決定フロー図

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー
For federal agencies, the Office of Management and Budget (OMB) Circular A-11 defines risk as “the effect of uncertainty on objectives” [1]. The effect of uncertainty on enterprise mission and business objectives may then be considered an “enterprise risk” that must be similarly managed. An enterprise is an organization that exists at the top level of a hierarchy with unique risk management responsibilities. Managing risks at that level is known as enterprise risk management (ERM) and calls for understanding the core risks that an enterprise faces, determining how best to address those risks, and ensuring that the necessary actions are taken. In the Federal Government, ERM is considered “an effective agency-wide approach to addressing the full spectrum of the organization’s significant risks by understanding the combined impact of risks as an interrelated portfolio rather than addressing risks only within silos” [1].   連邦政府機関にとって、行政管理予算局(OMB)の通達A-11ではリスクを「目的に対する不確実性の影響」と定義している[1]。 企業ミッションや事業目的に対する不確実性の影響は、「エンタープライズ・リスク」とみなされ、同様に管理される必要がある。 エンタープライズとは、独自のリスクマネジメント責任を担う階層構造の最上位に位置する組織である。そのレベルでのリスクマネジメントはエンタープライズ・リスクマネジメント(ERM)と呼ばれ、企業が直面する主要なリスクを理解し、それらのリスクに最適に対処する方法を決定し、必要な措置が確実に講じられるようにすることが求められる。連邦政府では、ERMは「組織の重要なリスクの全領域に対処するための効果的な機関全体のアプローチであり、リスクをサイロの中でのみ対処するのではなく、相互に関連するポートフォリオとしてリスクの複合的な影響を理解する」ものとされている[1]。
Cybersecurity risk is an important type of risk for any enterprise. Other risks include but are not limited to financial, legal, legislative, operational, privacy, reputational, safety, strategic, and supply chain risks [2]. As part of an ERM program, senior leaders (e.g., corporate officers, government senior executive staff) often have fiduciary and reporting responsibilities that other organizational stakeholders do not, so they have a unique responsibility to holistically manage the combined set of risks, including cybersecurity risk. The individual organizations that comprise every enterprise are experiencing an increase in the frequency, creativity, and severity of cybersecurity attacks. All organizations and enterprises, regardless of size or type, should ensure that cybersecurity risks receive appropriate attention as they carry out their ERM functions. Since enterprises are at various degrees of maturity regarding the implementation of risk management, this document offers NIST’s cybersecurity risk management (CSRM) expertise to help organizations improve the cybersecurity risk information they provide as inputs to their enterprise’s ERM programs.   サイバーセキュリティリスクは、あらゆるエンタープライズにとって重要なリスクのひとつである。その他のリスクには、財務、法律、規制、業務、プライバシー、評判、安全、戦略、サプライチェーンリスクなどがあるが、これらに限定されるものではない。ERMプログラムの一環として、シニアリーダー(企業役員、政府高官など)は、他の組織のステークホルダーにはない受託者責任や報告義務を負うことが多いため、サイバーセキュリティリスクを含む複合的なリスクを総合的に管理する独自の責任を負っている。あらゆる企業を構成する個々の組織は、サイバーセキュリティ攻撃の頻度、巧妙さ、深刻さが増していることを経験している。規模や業種に関わらず、すべての組織や企業は、ERM機能を実行する際に、サイバーセキュリティリスクが適切に考慮されるようにすべきである。企業はリスクマネジメントの導入に関してさまざまな成熟度にあるため、本書では、NISTのサイバーセキュリティ・リスクマネジメント(CSRM)の専門知識を提供し、組織がエンタープライズERMプログラムへのインプットとして提供するサイバーセキュリティリスク情報の改善に役立ててもらう。
Many resources document ERM frameworks and processes, such as well-known frameworks from the Committee of Sponsoring Organizations (COSO), Office of Management and Budget (OMB) circulars, and the International Organization for Standardization (ISO). They generally include similar approaches: identify context, identify risks, analyze risks, estimate risk importance, determine and execute risk response, and identify and respond to changes over time. A critical risk document used to track and communicate risk information for all of these steps throughout the enterprise is called a risk register [1].[1] The risk register provides a formal communication vehicle for sharing and coordinating cybersecurity risk activities as an input to ERM decision-makers. For example, cybersecurity risk registers are key aspects of managing and communicating about those particular risks.[2]   ERMの枠組みやプロセスを文書化したリソースは数多くあり、その中には、委員会組織委員会(COSO)の有名な枠組み、行政管理予算局(OMB)の通達、国際標準化機構(ISO)などがある。これらは一般的に、状況の識別、リスクの識別、リスクの分析、リスクの重要度の推定、リスク対応の決定と実行、そして時間の経過に伴う変化の識別と対応といった、同様のアプローチを含んでいる。これらのステップすべてについて、エンタープライズ全体でリスク情報を追跡し、コミュニケーションを行うために使用される重要なリスク文書は、リスクレジスターと呼ばれる。[1] リスクレジスターは、ERMの意思決定者へのインプットとして、サイバーセキュリティリスク活動を共有し、調整するための正式なコミュニケーション手段を提供する。例えば、サイバーセキュリティリスクレジスターは、それらの特定のリスクを管理し、コミュニケーションを行う上での重要な要素である。[2]
At higher levels in the enterprise structure, those cybersecurity and other risk registers are aggregated, normalized, and prioritized into risk profiles. A risk profile is defined by OMB Circular A-123 as “a prioritized inventory of the most significant risks identified and assessed through the risk assessment process versus a complete inventory of risks” [3]. While it is critical that enterprises address potential negative impacts on mission and business objectives, it is equally critical (and required for federal agencies) that enterprises plan for success. OMB states in Circular A-123 that “the [Enterprise Risk] profile must identify sources of uncertainty, both positive (opportunities) and negative (threats).” Enterprise-level decision-makers use the risk profile to choose which enterprise risks to address, allocate resources, and delegate responsibilities to appropriate risk owners. ERM programs should define terminology, formats, criteria, and other guidance for risk inputs from lower levels of the enterprise.   エンタープライズ構造の上位レベルでは、それらのサイバーセキュリティおよびその他のリスクレジスターは集約され、標準化され、リスクプロファイルとして優先順位付けされる。リスクプロファイルは、OMB通達A-123により、「リスクアセスメントプロセスを通じて識別およびアセスメントされた最も重大なリスクの優先順位付きインベントリであり、リスクの完全なインベントリではない」と定義されている[3]。企業がミッションや事業目標に対する潜在的な悪影響に対処することは極めて重要であるが、企業が成功を計画することも同様に重要である(連邦政府機関には必須である)。OMBは通達A-123において、「(エンタープライズ・リスク)プロファイルは、ポジティブな(機会)側面とネガティブな(脅威)側面の両方における不確実性の原因を識別しなければならない」と述べている。 エンタープライズレベルの意思決定者は、リスクプロファイルを使用して、どのエンタープライズ・リスクに対処するかを決定し、リソースを割り当て、適切なリスクオーナーに責任を委任する。 ERMプログラムは、エンタープライズのより下位レベルからのリスクインプットに関する用語、フォーマット、規準、その他のガイダンスを定義すべきである。
Cybersecurity risk inputs to ERM programs should be documented and tracked in written cybersecurity risk registers[3] that comply with the ERM program guidance. However, many enterprises do not communicate their cybersecurity risk guidance or risk responses in consistent, repeatable ways. Methods such as quantifying cybersecurity risk in dollars and  aggregating cybersecurity risks are often ad hoc and are sometimes not performed with the same rigor as methods for quantifying other types of risk within the enterprise.   ERMプログラムへのサイバーセキュリティリスクのインプットは、ERMプログラムのガイダンスに準拠した書面によるサイバーセキュリティリスクレジスター[3]に記録し、追跡すべきである。しかし、多くの企業はサイバーセキュリティリスクのガイダンスやリスク対応について、一貫性のある再現可能な方法でコミュニケーションを行っていない。サイバーセキュリティリスクを金額で定量化したり、サイバーセキュリティリスクを集約したりする方法は、多くの場合、その場限りの対応であり、企業内の他のタイプのリスクを定量化する方法ほど厳密に実施されていないこともある。
In addition to widely using cybersecurity risk registers, improving the risk measurement and analysis methods used in CSRM will boost the quality of the risk information provided to ERM. In turn, this practice promotes better management of cybersecurity at the enterprise level and correlates directly with the enterprise’s objectives. サイバーセキュリティリスクレジストリを広く使用することに加え、CSRMで使用されるリスク測定および分析方法を改善することで、ERMに提供されるリスク情報の質が向上する。その結果、この手法はエンタープライズレベルでのサイバーセキュリティのより良い管理を促進し、企業の目標と直接相関する。
CSRM and ERM are concurrent cycles with many points of commonality and integration. NIST framework documents, specifically the Cybersecurity Framework (CSF) 2.0 and Special Publication (SP) 800-221A, provide methods for performing CSRM and integrating the results. The concepts detailed in this IR 8286 series are directly incorporated into both the CSF 2.0 (CSRM) and SP 800-221A (integrating with ERM) frameworks. Improving the measurement and communications methods used (e.g., using cybersecurity risk registers) can improve the quality of risk information, promote enterprise-wide CSRM, and support enterprise-level decision making in language that is already understood by senior executives. Improved communications will also help executives and corporate officers understand the challenges that cybersecurity professionals face when providing the information that they are accustomed to receiving for other types of risk.   CSRMおよびERMを改善することは、多くの共通点と統合点を持つ同時進行のサイクルである。NIST枠組み文書、特にサイバーセキュリティ枠組み(CSF)2.0および特別刊行物(SP)800-221Aは、CSRMの実行と結果の統合のための方法を提供している。IR 8286シリーズで詳細に説明されている概念は、CSF 2.0(CSRM)およびSP 800-221A(ERMとの統合)の両方の枠組みに直接組み込まれている。使用する測定およびコミュニケーションの方法(例えば、サイバーセキュリティリスクレジストリの使用)を改善することで、リスク情報の質が向上し、全社的なCSRMが促進され、経営幹部がすでに理解している言語で企業レベルの意思決定をサポートすることができる。また、コミュニケーションの改善は、経営陣や企業役員が、サイバーセキュリティの専門家が他の種類のリスクについて受け取ることになれている情報と同じものを入手する際に直面する課題を理解する上でも役立つ。
[1] OMB Circular A-11 defines a risk register as “a repository of risk information including the data understood about risks over time” [1].  [1] OMB通達A-11では、リスクレジストリを「リスクに関する経時的な理解データを含むリスク情報の保管場所」と定義している。[1]
[2] Organizations creating a risk management program for the first time should not wait until the risk register is completed before addressing obvious issues. However, over time, it should become the ordinary means of communicating risk information. [2] 初めてリスクマネジメントプログラムを作成する組織は、明らかな問題に対処する前にリスクレジストリが完成するのを待つべきではない。しかし、時が経つにつれ、リスク情報を伝達する通常の手段となるべきである。
[3] Formats include risk register data displayed on dashboards, GRC tools, and file formats for communicating risk register data, such as the spreadsheet (CSV) and JSON formats.    [3] フォーマットには、ダッシュボードに表示されるリスクレジストリデータ、GRCツール、リスクレジストリデータを伝達するためのファイルフォーマット(スプレッドシート(CSV)やJSONフォーマットなど)がある。

 

 

リスクマネジメントの全体像...

20250309-170022

 

 

システム、組織、エンタープライズの各レベルにおけるリスクレジストリの情報フロー

20250309-170302

 


 

・2025.02.25 NIST IR 8286A Rev. 1 (Initial Public Draft Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management

NIST IR 8286A Rev. 1 (Initial Public Draft) Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management NIST IR 8286A Rev. 1(初期公開草案) エンタープライズ・リスクマネジメントのためのサイバーセキュリティリスクの識別と評価
Abstract 概要
This document supplements NIST Interagency Report 8286, Integrating Cybersecurity and Enterprise Risk Management (ERM), by providing additional detail regarding risk guidance, identification, and analysis. This report offers examples and information to illustrate risk tolerance, risk appetite, and methods for determining risks in that context. To support the development of an Enterprise Risk Register, this report describes documentation of various scenarios based on the potential impact of threats and vulnerabilities on enterprise assets. Documenting the likelihood and impact of various threat events through cybersecurity risk registers integrated into an enterprise risk profile helps to later prioritize and communicate enterprise cybersecurity risk response and monitoring. This document has been updated to reflect changes in other NIST documentation (IR 8286 series, SP 800-221/221A, and Cybersecurity Framework 2.0). 本書は、NIST内部報告書8286「サイバーセキュリティとエンタープライズ・リスクマネジメント(ERM)の統合」を補足するものであり、リスクに関する指針、識別、分析に関する詳細情報を提供する。本報告書では、リスク許容度、リスク選好度、およびその文脈におけるリスクの決定方法を示すための例や情報を提供する。エンタープライズ・リスクレジストリの開発を支援するために、本報告書では、企業資産に対する脅威や脆弱性の潜在的な影響に基づくさまざまなシナリオの文書化について説明する。サイバーセキュリティリスクレジストリをエンタープライズ・リスクプロファイルに統合することで、さまざまな脅威事象の可能性と影響を文書化し、その後のエンタープライズサイバーセキュリティリスク対応とモニタリングの優先順位付けとコミュニケーションに役立てることができる。この文書は、他のNIST文書(IR 8286シリーズ、SP 800-221/221A、およびサイバーセキュリティフレームワーク2.0)の変更を反映して更新されている。

 

・[PDF] NIST.IR.8286Ar1.ipd

20250309-164630 

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序文
1.1. Supporting CSRM as an Integrated Component of ERM 1.1. ERMの統合要素としてのCSRMのサポート
1.2. Purpose and Scope 1.2. 目的と範囲
1.3. Document Structure 1.3. 文書構成
2. Cybersecurity Risk Considerations Throughout the ERM Process 2. ERMプロセス全体におけるサイバーセキュリティリスクの考慮事項
2.1. Risk Scope, Context, and Criteria 2.1. リスクの範囲、コンテクスト、規準
2.1.1. Risk Appetite and Risk Tolerance 2.1.1. リスク選好度とリスク許容度
2.1.2. Enterprise Strategy for Cybersecurity Risk Coordination 2.1.2. サイバーセキュリティリスク調整のためのエンタープライズ戦略
2.1.3. Detailed Risk Integration Strategy 2.1.3. 詳細なリスク統合戦略
2.1.4. Enterprise Strategy for Cybersecurity Risk Reporting 2.1.4. サイバーセキュリティリスク報告のためのエンタープライズ戦略
2.2. Risk Identification 2.2. リスクの識別
2.2.1. Inventory and Valuation of Assets 2.2.1. 資産の目録作成と評価
2.2.1.1. Business Impact Analysis 2.2.1.1. 事業への影響分析
2.2.1.2. Determination of High-Value Assets 2.2.1.2. 高価値資産の決定
2.2.1.3. Automation Support for Inventory Accuracy 2.2.1.3. 目録の正確性を確保するための自動化サポート
2.2.2. Determination of Potential Threats 2.2.2. 潜在的な脅威の特定
2.2.2.1. Threat Enumeration 2.2.2.1. 脅威の列挙
2.2.2.2. Reducing Unwanted Bias in Threat Considerations 2.2.2.2. 脅威の考慮における不要なバイアスの低減
2.2.2.3. Threat Enumeration Through SWOT Analysis 2.2.2.3. SWOT分析による脅威の列挙
2.2.2.4. Use of Gap Analysis to Identify Threats 2.2.2.4. ギャップ分析による脅威の識別
2.2.2.5. Technical Threat Enumeration 2.2.2.5. 技術的な脅威の列挙
2.2.3. Vulnerability Identification 2.2.3. 脆弱性の識別
2.2.3.1. Determination of Vulnerabilities and Predisposing Conditions 2.2.3.1. 脆弱性および素因状態の特定
2.2.3.2. System Complexity as a Vulnerability 2.2.3.2. 脆弱性としてのシステムの複雑性
2.2.3.3. Vulnerability Identification Automation 2.2.3.3. 脆弱性の自動識別
2.2.4. Determining Potential Impact 2.2.4. 潜在的な影響の特定
2.2.5. Recording Identified Risks 2.2.5. 識別されたリスクの記録
2.2.6. Risk Categorization 2.2.6. リスクの分類
2.3. Detailed Risk Analysis 2.3. 詳細なリスク分析
2.3.1. Selecting Risk Analysis Methodologies 2.3.1. リスク分析方法の選択
2.3.2. Techniques for Estimating Likelihood and Impact 2.3.2. 発生可能性と影響度の推定手法
2.3.2.1. Improving Estimation Based on Knowledge of Prior Events 2.3.2.1. 過去の事象に関する知識に基づく推定の改善
2.3.2.2. Three-Point Estimation 2.3.2.2. 三点推定
2.3.2.3. Event Tree Analysis 2.3.2.3. イベントツリー分析
2.3.2.4. Monte Carlo Simulation 2.3.2.4. モンテカルロ・シミュレーション
2.3.2.5. Bayesian Analysis 2.3.2.5. ベイズ分析
2.4. Determination and Documentation of Risk Exposure 2.4. リスクエクスポージャーの決定と文書化
3. Conclusion 3. 結論
References 参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms Appendix B. Notional Example of a Risk Detail Record (RDR) 附属書 A. 記号、略語、および頭字語の一覧 附属書 B. リスク詳細レコード(RDR)の想定例
Appendix C. Change Log 附属書 C. 変更履歴
List of Tables 表一覧
Table 1. Notional examples of risk appetite and risk tolerance 表1. リスク選好度とリスク許容度の想定例
Table 2. Inputs and outputs for ERM governance and integrated CSRM 表2. ERM ガバナンスと統合 CSRM の入力と出力
Table 3. Example threat modeling analysis 表3. 脅威モデリング分析の例
Table 4. Example bias issues to avoid in risk management 表4. リスクマネジメントで回避すべきバイアス問題の例
Table 5. Example SWOT analysis 表5. SWOT分析の例
Table 6. Cybersecurity Framework current state profiles help consider threats 表6. サイバーセキュリティ枠組みの現状プロファイルは脅威の検討に役立つ
Table 7. Example sources of threat information 表7. 脅威情報の情報源の例
Table 8. Example negative and positive impact scenarios 表8. ネガティブおよびポジティブな影響シナリオの例
Table 9. Example risk tolerance results assessment 表9. リスク許容度の結果アセスメントの例
Table 10. Notional risk detail record 表10. 想定リスク詳細レコード
List of Figures 図の一覧
Fig. 1. IR 8286 series publications describe detailed CSRM/ERM integration 図1. IR 8286シリーズの出版物は、詳細なCSRM/ERM統合について説明している
Fig. 2. IR 8286A activities as part of CSRM/ERM integration 図2. IR 8286Aの活動は、CSRM/ERM統合の一部である
Fig. 3. Integration of various risk management activities into the enterprise risk register and risk profile 図3. エンタープライズ・リスクレジスタおよびリスクプロファイルへの各種リスクマネジメント活動の統合
Fig. 4. Notional cybersecurity risk register template 図4. 想定されるサイバーセキュリティリスクレジスタのテンプレート
Fig. 5. Illustration of enterprise risk and coordination 図5. エンタープライズ・リスクと調整の説明
Fig. 6. Continuous interaction between ERM and CSRM using the risk register 図6:リスクレジストリを使用したERMとCSRMの継続的な相互作用
Fig. 7. CSRR highlighting risk description column 図7:リスク説明欄を強調したCSRR
Fig. 8. Inputs to risk scenario identification 図8:リスクシナリオの特定への入力
Fig. 9. Threats as an input to risk scenario identification (Part B) 図9:リスクシナリオの特定への入力としての脅威(パートB)
Fig. 10. Vulnerability inputs to risk scenario identification (Part C) 図10:リスクシナリオの特定への入力としての脆弱性(パートC)
Fig. 11. Adverse impact inclusion in risk scenario identification (Part D) 図11:リスクシナリオの特定への悪影響の包含(パートD)
Fig. 12. Example risk register with sample risk descriptions 図12:リスク記述のサンプルを含むリスクレジストリの例
Fig. 13. CSRR highlighting risk category and current assessment columns 図13:リスクカテゴリーと現在のアセスメント欄を強調したCSRR
Fig. 14. Example three-point estimate graph (triangle distribution) 図14:3点推定グラフの例(三角分布
Fig. 15. Example three-point estimate graph (normal distribution) 図15:3点推定グラフの例(正規分布
Fig. 16. Example event tree analysis 図16:イベントツリー分析の例
Fig. 17. Illustration of a histogram from a Monte Carlo estimation simulation 図17:モンテカルロ推定シミュレーションによるヒストグラムの例
Fig. 18. Example quantitative analysis results 図18. 定量的分析結果の例
Fig. 19. Example qualitative analysis results 図19. 定性的分析結果の例
Fig. 20. Use of a cybersecurity risk register improves risk communications 図20. サイバーセキュリティリスクレジストリの利用によるリスクコミュニケーションの改善

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー
All organizations face a broad array of risks, including cybersecurity risk. For federal agencies, the Office of Management and Budget (OMB) Circular A-11 defines risk as “the effect of uncertainty on objectives.” An organization’s mission and business objectives can be impacted by such effects and must be managed at various levels within the organization.  あらゆる組織は、サイバーセキュリティリスクを含むさまざまなリスクに直面している。連邦政府機関の場合、行政管理予算局(OMB)の通達A-11では、リスクを「目的に対する不確実性の影響」と定義している。組織のミッションや事業目標は、このような影響を受ける可能性があり、組織内のさまざまなレベルで管理する必要がある。
This report highlights aspects of cybersecurity risk management (CSRM) inherent to enterprises, organizations, and systems. The terms organization and enterprise are often used interchangeably; however, without an understanding of organizational structure, effective risk management is impossible. For the purposes of this document, an organization is defined as an entity of any size, complexity, or position within a larger organizational structure. The enterprise exists at the top level of the hierarchy where senior leaders have unique risk governance responsibilities. Each enterprise, such as a corporation or government agency, is comprised of organizations supported by systems. This report describes CSRM activities at each level.  本レポートでは、企業、組織、システムに内在するサイバーセキュリティ・リスクマネジメント(CSRM)の側面を強調する。組織とエンタープライズという用語は、しばしば互換的に使用されるが、組織構造を理解しなければ、効果的なリスクマネジメントは不可能である。本書では、組織を、より大きな組織構造内のあらゆる規模、複雑性、または位置付けの事業体と定義する。エンタープライズは、シニアリーダーが独自のリスクガバナンス責任を負う階層の最上位に存在する。企業や政府機関などの各エンタープライズは、システムによってサポートされる組織によって構成される。本報告書では、各レベルにおけるCSRMの活動を説明する。
Note that there may be iterative levels within the enterprise and that positions may be relative. For example, a given enterprise (e.g., a bureau or corporate division) may represent an organization to the overarching agency or corporation.  エンタープライズ内に反復的なレベルが存在する場合や、役職が相対的な場合があることに留意されたい。例えば、特定のエンタープライズ(局や企業ディビジョンなど)が、包括的な機関や企業に対する組織の代表者となる場合がある。
Enterprise risk management (ERM) calls for understanding the core (i.e., significant) risks that an organization faces, and this document provides supplemental guidance for aligning cyber security risks within an organization’s overall ERM program. Lessons learned from historical cybersecurity incidents demonstrate the importance of collaboration among CSRM and ERM. This document helps enterprises to apply, improve, and monitor the quality of that cooperation and communication.  エンタープライズ・リスクマネジメント(ERM)では、組織が直面する主要な(すなわち、重要な)リスクを理解することが求められる。本書では、組織の全体的なERMプログラム内でサイバーセキュリティリスクを調整するための補足的なガイダンスを提供する。過去のサイバーセキュリティインシデントから得られた教訓は、CSRMとERM間の連携の重要性を示している。本書は、企業が連携とコミュニケーションの質を適用、改善、監視するのに役立つ。
This NIST Interagency Report (IR) is part of a series of publications supporting IR 8286, Integrating Cybersecurity and Enterprise Risk Management (ERM) [1]. Each publication in the series, illustrated in Fig. 1, provides additional detail and guidance to supplement topics in that document:  このNIST機関間報告書(IR)は、IR 8286『サイバーセキュリティとエンタープライズ・リスクマネジメント(ERM)の統合』[1]をサポートする一連の出版物の一部である。図1に示されているように、このシリーズの各出版物は、その文書のトピックを補足する追加の詳細とガイダンスを提供している。
• IR 8286A (this report) provides additional detail regarding risk context, scenario identification, and analysis of likelihood and impact. It also includes methods to convey risk information, such as through cybersecurity risk registers (CSRRs) and risk detail records (RDRs). Similar processes, and the general use of risk registers, are helpful to identify and manage other types of risk, including those for Cyber Supply Chain and Privacy.  • IR 8286A(本書)では、リスクの背景、シナリオの識別、可能性と影響の分析に関する詳細が提供されている。また、サイバーセキュリティリスクレジストリ(CSRR)やリスク詳細レコード(RDR)などを通じたリスク情報の伝達方法も記載されている。同様のプロセスやリスクレジストリの一般的な使用は、サイバーサプライチェーンやプライバシーに関するリスクなど、他のタイプのリスクの識別や管理にも役立つ。
• IR 8286B [2] describes ways to apply risk analysis to prioritize cybersecurity risk, evaluate and select appropriate risk response, and communicate risk activities as part of an enterprise CSRM strategy.  • IR 8286B [2] では、企業 CSRM 戦略の一環として、リスク分析を適用してサイバーセキュリティリスクの優先順位付けを行い、適切なリスク対応を評価・選択し、リスク活動のコミュニケーションを行う方法を説明している。
• IR 8286C [3] describes processes for aggregating information from CSRM activities throughout the enterprise. As that information is integrated and harmonized, organizational and enterprise leaders monitor achievement of risk objectives, consider any changes to risk strategy, and use the combined information to maintain awareness of risk factors and positive risks (or opportunities).  • IR 8286C [3] では、企業全体における CSRM 活動からの情報を集約するプロセスを説明している。その情報が統合され、調整されると、組織およびエンタープライズのリーダーはリスク目標の達成状況を監視し、リスク戦略の変更を検討し、統合された情報を使用してリスク要因とポジティブリスク(または機会)に対する認識を維持する。
• IR 8286D [4] describes specific considerations for the documentation and analysis of business impacts that result in a full or partial loss of the confidentiality, integrity, or availability of a mission-essential resource.  • IR 8286D [4] は、ミッションに不可欠なリソースの機密性、完全性、または可用性の全部または一部の損失につながる事業への影響の文書化と分析に関する具体的な考慮事項を説明している。
20250309-175204
Fig. 1. IR 8286 series publications describe detailed CSRM/ERM integration  図1 IR 8286シリーズの刊行物は、CSRM/ERM統合の詳細を説明している
A key CSRM success factor is setting leadership expectations, such as through risk appetite and risk tolerance. Section 2.1 of this report provides examples of setting and communicating those expectations and provides input into Sec. 2.2, which describes methods for identifying CSRM scenarios. Each of the potential risk scenarios are analyzed, as described in Sec. 2.3, to consider specific likelihood and impact on the organization. Throughout these processes, risk data is developed and recorded in cybersecurity risk registers (and risk detail records) in support of ongoing risk communication. This information becomes the input to risk prioritization and response, which is described in IR 8286B.  CSRMの成功要因の鍵となるのは、リスク許容度やリスク許容度などを通じたリーダーシップの期待値の設定である。本報告書のセクション2.1では、これらの期待値の設定とコミュニケーションの例を示し、セクション2.2のCSRMシナリオの識別方法に関するインプットを提供する。各潜在的なリスクシナリオは、セクション2.3で説明されているように分析され、組織への具体的な可能性と影響を考慮する。これらのプロセス全体を通じて、リスクデータは、継続的なリスクコミュニケーションを支援するために、サイバーセキュリティリスクレジストリ(およびリスク詳細記録)に開発され、記録される。この情報は、リスクの優先順位付けと対応への入力となり、これはIR 8286Bで説明されている。

 

 

 

 


 

・2025.02.25 NIST IR 8286B Prioritizing Cybersecurity Risk for Enterprise Risk Management


NIST IR 8286B Prioritizing Cybersecurity Risk for Enterprise Risk Management NIST IR 8286B エンタープライズ・リスクマネジメントのためのサイバーセキュリティリスクの優先順位付け
Abstract 概要
This document is the second in a series that supplements NIST Interagency Report (IR) 8286, Integrating Cybersecurity and Enterprise Risk Management (ERM). This series provides additional detail regarding the enterprise application of cybersecurity risk information; the previous document, NIST IR 8286A, provided detail regarding stakeholder risk guidance and risk identification and analysis. This second publication describes the need for determining the priorities of each of those risks in light of their potential impact on enterprise objectives, as well as options for properly treating that risk. This report describes how risk priorities and risk response information are added to the cybersecurity risk register (CSRR) in support of an overall enterprise risk register. Information about the selection of and projected cost of risk response will be used to maintain a composite view of cybersecurity risks throughout the enterprise, as detailed in NIST IR 8286C. These composite views may be used to confirm and, if necessary, adjust risk strategy to ensure mission success. 本書は、NIST 内部報告書(IR)8286「サイバーセキュリティとエンタープライズ・リスクマネジメント(ERM)の統合」を補足するシリーズの第2巻である。このシリーズでは、サイバーセキュリティリスク情報のエンタープライズ・アプリケーションに関する詳細情報を提供する。前巻のNIST IR 8286Aでは、利害関係者のリスクガイダンスとリスクの識別および分析に関する詳細情報を提供した。この第2の文書では、エンタープライズの目標に対する潜在的な影響を考慮して、それらのリスクの優先順位を決定する必要性、およびリスクを適切に処理するための選択肢について説明している。この報告書では、エンタープライズ全体のリスクレジストリをサポートするために、リスクの優先順位とリスク対応情報がサイバーセキュリティリスクレジストリ(CSRR)に追加される方法について説明している。リスク対応の選択と予測コストに関する情報は、NIST IR 8286Cで詳細に説明されているように、エンタープライズ全体のサイバーセキュリティリスクの複合的な見解を維持するために使用される。これらの複合的な見解は、ミッションの成功を確実にするためにリスク戦略を確認し、必要に応じて調整するために使用される可能性がある。
20250309-164636
・[DOCX][PDF] 仮訳

目次...


Executive Summary エグゼクティブサマリー
1. Introduction 1. 序文
1.1. Purpose and Scope 1.1. 目的と範囲
1.2. Supporting the Risk Management Cycle 1.2. リスクマネジメント・サイクルの支援
1.3. Supporting the Enterprise Cybersecurity Risk Life Cycle 1.3. エンタープライズのサイバーセキュリティリスクライフサイクルの支援
1.4. Document Structure 1.4. 文書構造
2. Cybersecurity Risk Considerations 2. サイバーセキュリティリスクに関する考察
2.1. Assessment, Response, and Monitoring Across Enterprise Levels 2.1. エンタープライズ・レベルでのアセスメント、対応、モニタリング
2.2. Prioritizing Cybersecurity Risks 2.2. サイバーセキュリティリスクの優先順位付け
2.2.1. Factors Influencing Prioritization 2.2.1. 順位付けに影響を与える要因
2.2.2. Cybersecurity Risk Optimization 2.2.2. サイバーセキュリティリスクの最適化
2.2.3. Cybersecurity Risk Priorities at Each Enterprise Level 2.2.3. 各エンタープライズレベルにおけるサイバーセキュリティリスクの優先順位
2.2.4. Considerations of Positive Risks as an Input to ERM 2.2.4. ERMのインプットとしてのポジティブ・リスクの検討
2.2.5. Visualizing Risk Priority 2.2.5. リスクの優先順位を可視化する
2.3. Selection of Risk Response Types 2.3. リスク対応タイプの選択
2.3.1. Risk Acceptance 2.3.1. リスクの受容
2.3.2. Risk Avoidance 2.3.2. リスク回避
2.3.3. Risk Transfer 2.3.3. リスク移転
2.3.4. Risk Mitigation 2.3.4. リスク緩和
2.3.5. Relationship of Risk Response to Risk Strategy 2.3.5. リスク対応とリスク戦略の関係
2.3.6. Implicit Acceptance 2.3.6. 暗黙の受容
2.3.7. Responding to Positive Risk Scenarios 2.3.7. 積極的なリスクシナリオへの対応
2.4. Finalizing the Cybersecurity Risk Register 2.4. サイバーセキュリティリスク登録簿の最終化
2.4.1. Risk Response Cost 2.4.1. リスク対応コスト
2.4.2. Risk Response Description 2.4.2. リスク対応
2.4.3. Risk Owner 2.4.3. リスクオーナー
2.4.4. Status 2.4.4. ステータス
2.5. Conditioning Cybersecurity Risk Register for Enterprise Risk Rollup 2.5. エンタープライズリスクロールアップのためのサイバーセキュリティリスク登録の調整
3. Conclusion 3. 結論
References 参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms 附属書A. 記号、略語、頭字語のリスト
Appendix B. Change Log 附属書B. 変更履歴

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー 
All organizations face a broad array of risks, including cybersecurity risks. For U.S. Federal Government agencies, the Office of Management and Budget (OMB) Circular A-11 defines risk as “the effect of uncertainty on objectives” [1]. An organization’s business objectives can be impacted by such effects, so this uncertainty must be managed at various hierarchical levels.  すべての組織は、サイバーセキュリティリスクを含む広範なリスクに直面している。米国連邦政府機関の場合、行政管理予算局(OMB)の通達 Circular A-11 では、リスクを定義している 「性の影響」と目的に対する不確実[1]。組織の事業目標はこのような影響によって影響を受ける可能性があるため、この不確実性はさまざまな階層レベルで管理されなければならない
This report highlights Cybersecurity Risk Management (CSRM) aspects that are inherent to enterprises, organizations, and systems. The terms organization and enterprise are often used interchangeably; for the purposes of this document, both an organization and an enterprise are defined as an entity of any size, complexity, or positioning within a larger organizational structure. The term enterprise level refers to the top level of the hierarchy where senior leaders have unique risk governance responsibilities. Each enterprise, such as a corporation or government agency, is comprised of organizations supported by systems.[1] The term organizational level refers to the various middle levels of the hierarchy between the system level (lowest level) and the enterprise level (highest level).  本報告書では、エンタープライズ、組織、システムに固有のサイバーセキュリティリスクマネジメント(CSRM) の側面に焦点を当てる。用語は組織とエンタープライズという、しばしば互換的に使用される。本書では、両方を組織とエンター プライズの、より大きな組織構造の中でのあらゆる規模、複雑さ、位置づけの事業体として定義する。用語はエンタープライズレベルという、シニアリーダーが独自のリスクガバナンス責任を有する 階層の最上位レベルを指す。企業や政府機関などの各エンタープライズは、構成されている�システムに支えられた組織で[1]�組織レベルという用語は、間の階層の様々な中間レベルを指す。 システムレベル(最下位レベル)とエンタープライズレベル(最上位レ ベル)の階層の様々な中間レベルを指す。
Enterprise risk management (ERM) calls for understanding the key risks that an organization faces. This document provides supplemental guidance for aligning cybersecurity risks with an organization’s overall ERM program. To minimize the extent to which cybersecurity risks impede enterprise missions and objectives, there must be effective collaboration among CSRM and ERM managers. This document helps enterprises apply, improve, and monitor the quality of that cooperation and communication.  エンタープライズリスクマネジメント(ERM)では、組織が直面する主要なリスクを理解することが求められる。本文書は、サイバーセキュリティリスクを組織の ERM プログラム全体と整合させるための補足ガイダンスを提供する。サイバーセキュリティリスクがエンタープライズのミッションや目標を阻害する程度を最小化するためには、CSRM と ERM のマネジャーが効果的に連携する必要がある。本書は、エンタープライズがその協力とコミュニケーションの質を適用、改善、監視することを支援するものである。
This NIST Interagency Report (IR) is part two of a five-part series supporting NIST IR 8286, Integrating Cybersecurity and Enterprise Risk Management (ERM) [2].  このNIST Interagency Report(IR)は、NIST IR 8286「を支援する5部構成のシリーズの第2部である。 サイバーセキュリティとエンタープライズリスクマネジメント(ERM)の統合」[2]
20250309-175204
Fig. 1. NIST IR 8286 series publications describe detailed CSRM/ERM integration  図1. NIST IR 8286シリーズ刊行物には、CSRM/ERM統合の詳細が記載されている。 
Fig. 1 illustrates that additional detail and guidance are provided in each report: 図1は、各レポートに追加の詳細とガイダンスがプロバイダとして提供されていることを示している:
• NIST IR 8286A [3] provides detail regarding cybersecurity risk context, scenarios, and analysis of likelihood and impact. It includes methods to convey risk information, such as cybersecurity risk registers (CSRRs) and risk detail records (RDRs).  • NIST IR 8286A [3]は、サイバーセキュリティリスクの背景、シナリオ、可能性と影響の分析に関する詳細を提 供する。また、サイバーセキュリティリスクレジス タ(CSRR)やリスク詳細記録(RDR)など、リスク情報を伝達する方法も含まれている。 
• NIST IR 8286B (this report) describes ways to apply risk analysis to help prioritize cybersecurity risk, evaluate and select appropriate risk response, and communicate risk activities as part of an enterprise CSRM strategy.  • NIST IR 8286B(本報告書)では、エンタープライズ CSRM 戦略の一環として、サイバーセキュリティリスクの優先順位付け、適切なリスク対応の評価と選択、リスク活動のコミュニケーションに役立つリスク分析の適用方法を説明している。 
• The next document in this series, NIST IR 8286C [4], describes processes for aggregating information from CSRM activities throughout the enterprise. As that information is integrated and harmonized, organizational and enterprise leaders monitor the achievement of risk objectives, consider any changes to risk strategy, and use the  • 本シリーズの次の文書であるNIST IR 8286C [4]では、エンタープライズ全体のCSRM活動からの情報を集約するためのプロセスについて記述している。これらの情報が統合され調和されるにつれて、組織及びエンタープライズのリーダーは、リスク目標の達成状況を監視し、リスク戦略の変更を検討し、CSRM活動から得られた情報を活用する。 
combined information to maintain awareness of risk factors and positive risks (or opportunities).  リスク要因とポジティブなリスク(または機会)に対する認識を維持するために、情報を組み合わせる。 
• NIST IR 8286D [5] describes the identification and management of risk as it propagates from system to organization and from organization to enterprise, which in turn better informs ERM deliberations. It expands typical business impact analysis (BIA) discussions to inform risk prioritization and response by quantifying the organizational impact and enterprise consequences of compromised IT assets.  • NIST IR 8286D [5]では、システムから組織へ、組織からエンタープライズへと伝播するリスクの識別とマネジメントについて説明しており、ERMの検討によりよい情報を提供する。これは、典型的なビジネスインパクト分析(BIA)の議論を拡張し、危殆化したIT資産が組織に与える影響とエンタープライズに与える影響を定量化することによって、リスクの優先順位付けと対応に情報を提供するものである。 
All participants in the enterprise who play a role in CSRM and/or ERM should use consistent methods to prioritize and respond to risk, including methods for communicating results. This report provides guidance for applying a consistent risk strategy at all enterprise levels (Section 2.1). Based on the risk identification and risk analysis described in NIST IR 8286A and the BIA conducted in NIST IR 8286D, NIST IR 8286B provides recommendations for determining, responding to, and reporting the relative priorities of risks, as documented in the CSRR, in light of the enterprise’s risk strategy (Section 2.2), selecting risk response actions (Section 2.3), finalizing the CSRR (Section 2.4), and conditioning results in preparation for risk report aggregation (Section 2.5). These enriched CSRRs can be aggregated, normalized, analyzed, and optimized as detailed in NIST IR 8286C.  CSRM及び/又はERMの役割を果たすエンタープライズのすべての参加者は、結果のコミュニケーショ ン方法を含め、リスクの優先順位付けと対応に一貫した方法を用いるべきである。本報告書は、すべてのエンタープライズレベルで一貫したリスク戦略を適用するためのガイダンスを提供する(セクション2.1)。NIST IR 8286Aに記載されたリスク識別及びリスク分析、並びにNIST IR 8286Dで実施されたBIAに基づき、NIST IR 8286Bは、CSRRに文書化されたリスクの相対的な優先順位を、決定、対応及び報告するための推奨事項推奨事項ための推奨ための推奨)を提供している。エンタープライズのリスク戦略に照らして(セクション2.2)、選択するためのリスク対応アクションを(セクション2.3)、CSRRを最終化する事項(セクション2.4)、リスク報告書の集計に備えて結果を調整する事項(セクション2.5これらの強化された CSRR は、NIST IR 8286C に詳述されているように、集計、正規化、分析、及び最適化することができる。
[1] A system is defined as “a discrete set of information resources organized expressly for the collection, processing, maintenance, use, sharing, dissemination, or disposition of information.”  [1]システムとは、「定義される情報の収集、処理、保守、利用、共有、普及、処分のために明示的に組織された。 情報資源の個別集合

・2025.02.25 NIST IR 8286C Rev. 1 (Initial Public Draft) Staging Cybersecurity Risks for Enterprise Risk Management and Governance Oversight

NIST IR 8286C Rev. 1 (Initial Public Draft) Staging Cybersecurity Risks for Enterprise Risk Management and Governance Oversight NIST IR 8286C Rev. 1(初期公開ドラフト) エンタープライズ・リスクマネジメントおよびガバナンスの監督のためのサイバーセキュリティリスクの段階的評価
Abstract 概要
This document is the third in a series that supplements NIST Interagency Report (IR) 8286, Integrating Cybersecurity and Enterprise Risk Management (ERM). This series provides additional details regarding enterprise application of cybersecurity risk information; the previous documents, IRs 8286A and 8286B, provide details regarding stakeholder risk direction and methods for assessing and managing cybersecurity risk in light of enterprise objectives. This report, IR 8286C, describes how information recorded in cybersecurity risk registers (CSRRs) may be integrated as part of a holistic approach to ensuring that risks to information and technology are properly considered for the enterprise risk portfolio. This cohesive understanding supports an enterprise risk register and enterprise risk profile that, in turn, support the achievement of enterprise objectives. 本書は、NIST 内部報告書(IR)8286「サイバーセキュリティとエンタープライズ・リスクマネジメント(ERM)の統合」を補足するシリーズの第3巻である。このシリーズでは、サイバーセキュリティリスク情報のエンタープライズ・アプリケーションに関する追加情報を提供する。これに先立つIR 8286Aおよび8286Bでは、エンタープライズの目標に照らしたサイバーセキュリティリスクのアセスメントおよびマネジメントの方法と、利害関係者のリスク方針に関する詳細が提供されている。本報告書IR 8286Cでは、情報およびテクノロジーに対するリスクが企業リスクポートフォリオにおいて適切に考慮されることを保証するための包括的なアプローチの一環として、サイバーセキュリティリスクレジストリ(CSRR)に記録された情報を統合する方法について説明している。この統合的な理解は、企業リスクレジストリおよび企業リスクプロファイルを支え、ひいては企業目標の達成を支援する。

 

・[PDF] NIST.IR.8286Cr1.ipd

20250309-164642

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序文
1.1. Purpose and Scope 1.1. 目的と範囲
1.2. Document Structure 1.2. 文書構成
2. Aggregation, Normalization, and Analysis of Cybersecurity Risk Registers (CSRRs) 2. サイバーセキュリティリスクレジストリ(CSRR)の集約、標準化、分析
2.1. Aggregation of Cybersecurity Risk Information 2.1. サイバーセキュリティリスク情報の集約
2.2. Normalization of Cybersecurity Risk Registers 2.2. サイバーセキュリティリスクレジストリの標準化
2.3. Analysis of Cybersecurity Risk Registers 2.3. サイバーセキュリティリスクレジストリの分析
2.4. Integrating CSRR Details 2.4. CSRR 詳細の統合
3. Determining Top-Down Priority: Integration of Cybersecurity Risk into the ERR/ERP 3. トップダウンによる優先順位の決定:ERR/ERP へのサイバーセキュリティリスクの統合
3.1. Enterprise Value of Incorporating Enterprise CSRRs into the ERP 3.1. エンタープライズ CSRR を ERP に統合するエンタープライズバリュー
3.2. Considerations in Priority: Operational Objectives and Enterprise Impact of Cybersecurity 3.2. 優先順位を決定する際の考慮事項:サイバーセキュリティの運用目標とエンタープライズへの影響
3.3. Considerations in Priority: Dependencies Among Enterprise Functions and Technology Systems 3.3. 優先順位付けにおける考慮事項:企業機能とテクノロジーシステム間の依存関係
4. Risk Governance as the Basis for Cybersecurity Risk Management 4. サイバーセキュリティリスク管理の基礎としてのリスクガバナンス
4.1. Frameworks in Support of Risk Governance and Risk Management 4.1. リスクガバナンスとリスクマネジメントを支援する枠組み
4.2. Adjustments to Risk Direction 4.2. リスクの方向性の調整
4.2.1. Adjustments to Cybersecurity Program Budget Allocation 4.2.1. サイバーセキュリティプログラムの予算配分の調整
4.2.2. Adjustments to Risk Appetite and Risk Tolerance 4.2.2. リスク許容度とリスク耐性の調整
4.2.3. Reviewing Whether Constraints Are Overly Stringent 4.2.3. 制約が厳しすぎるかどうかの見直し
4.2.4. Adjustments to Priority 4.2.4. 優先順位の調整
5. Cybersecurity Risk Monitoring, Evaluation, and Adjustment 5. サイバーセキュリティリスクの監視、評価、調整
5.1. Key CSRM Mechanisms 5.1. CSRMの主なメカニズム
5.2. Monitoring Risks 5.2. リスクの監視
5.3. Evaluating Risks 5.3. リスクの評価
5.4. Adjusting Risk Responses 5.4. リスク対応の調整
5.5. Monitor, Evaluate, and Adjust Examples 5.5. 監視、評価、調整の例
References 参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms Appendix B. Change Log 附属書 A. シンボル、略語、および頭字語の一覧 附属書 B. 変更履歴
List of Tables 表の一覧
Table 1. Examples of cybersecurity risk analysis 表1. サイバーセキュリティリスク分析の例
Table 2. Examples of risk oversight functional roles and responsibilities 表2. リスク管理機能の役割と責任の例
Table 3. CSF steps as aligned with CSRM/ERM integration 表3. CSRM/ERM 統合に整合する CSF のステップ
Table 4. Examples of proactive risk management evaluation activities 表4. プロアクティブなリスクマネジメント評価活動の例
Table 5. Notional examples of MEA activities 表5. MEA 活動の概念例
List of Figures 図の一覧
Fig. 1. IR 8286 [6] series publications describe CSRM/ERM integration 図1. IR 8286 [6] シリーズの出版物は、CSRM/ERM統合について説明している
Fig. 2. IR 8286C activities as part of CSRM/ERM integration 図2. CSRM/ERM統合の一部としてのIR 8286Cの活動
Fig. 3. Moving CSRRs through the aggregation, normalization, and analysis phases 図3. 集約、標準化、分析の各段階におけるCSRRの移動
Fig. 4. OMB A-11 strategic planning concepts 図4. OMB A-11戦略計画の概念
Fig. 5. Bottom-up integration of risk registers to create E-CSRR, ERR, and ERP Fig. 6. Notional risk breakdown structure depicting enterprise risk impacts 図5:E-CSRR、ERR、ERPを作成するためのボトムアップ型リスクレジスター統合 図6:エンタープライズ・リスクの影響を示す概念上のリスクブレークダウン構造
Fig. 7. Notional ERP example 図7:概念上のERPの例
Fig. 8. CSF steps in support of CSRM integration 図8:CSRM統合を支援するCSFのステップ
Fig. 9. Illustration of enterprise CSRM and coordination 図9:エンタープライズCSRMと調整の説明図
Fig. 10. Monitor-Evaluate-Adjust cycle 図10:モニタリング、評価、調整サイクル

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー
This NIST Interagency Report (IR) explores methods for integrating disparate cybersecurity risk management (CSRM) information from throughout the enterprise to create a composite enterprise risk profile to inform company executives’ and agency officials’ enterprise risk management (ERM) deliberations, decisions, and actions. It describes the inclusion of cybersecurity risks as part of financial, valuation, mission, and reputation exposure. Figure 1 expands the enterprise risk cycle from previous reports to remind the reader that the input and sentiments of external stakeholders are a critical element of risk decisions.    このNIST機関間報告書(IR)では、企業全体にわたるサイバーセキュリティ・リスクマネジメント(CSRM)のさまざまな情報を統合し、複合的なエンタープライズ・リスクプロファイルを作成して、企業幹部および政府機関職員のエンタープライズ・リスクマネジメント(ERM)の審議、決定、行動に役立てるための方法を検討する。また、財務、評価、ミッション、および評判のエクスポージャーの一部としてサイバーセキュリティリスクを含めることについても説明する。図1は、以前の報告書からエンタープライズ・リスクサイクルを拡大し、外部利害関係者の意見や感情がリスク判断の重要な要素であることを読者に思い出させる。
20250309-175649
Fig. 1. IR 8286 [6] series publications describe CSRM/ERM integration  図1 IR 8286 [6] シリーズの出版物は、CSRM/ERMの統合について説明している
The importance of information and technology risks to the enterprise risk posture makes it critical to ensure broad visibility about risk-related activities to protect enterprise reputation, finances, and objectives. A comprehensive enterprise risk register (ERR) and enterprise risk profile (ERP) support communication and disclosure requirements. The integration of CSRM activities supports understanding of exposures related to corporate reporting (e.g., income statements, balance sheets, and cash flow) and similar requirements (e.g., reporting for appropriation and oversight authorities) for public-sector entities.   企業リスクの状況に対する情報および技術リスクの重要性から、企業評価、財務、目標を防御するために、リスク関連の活動について幅広い可視性を確保することが極めて重要となる。包括的なエンタープライズ・リスクレジスター(ERR)とエンタープライズ・リスクプロファイル(ERP)は、コミュニケーションと情報開示の要件をサポートする。 CSRM活動の統合は、企業報告(損益計算書、貸借対照表、キャッシュフローなど)に関連するエクスポージャーの理解をサポートし、公共部門の事業体に対する同様の要件(認可当局や監督当局への報告など)にも対応する。
This document explores the methods for integrating disparate CSRM information from throughout the enterprise to create a composite understanding of the various cyber risks that may have an impact on the enterprise’s objectives. The report continues the discussion where  IR 8286B [7] concluded by focusing on the integration of data points to create a comprehensive view of opportunities and threats to the enterprise’s information and technology.  Notably, because cybersecurity risk is only one of dozens of risk types in the enterprise risk universe, that risk understanding will itself be integrated with similar aggregate observations of other collective risk points.  本書では、企業の目的に影響を及ぼす可能性のあるさまざまなサイバーリスクを総合的に理解するために、企業全体から収集したさまざまなCSRM情報を統合する方法について検討する。本書では、IR 8286B [7] の議論を継続し、企業の情報およびテクノロジーに対する機会と脅威の包括的なビューを作成するために、データポイントの統合に焦点を当てる。 特に、サイバーセキュリティリスクは、企業リスクの全体像における数多くのリスクの1つにすぎないため、そのリスクの理解自体が、他の集合的なリスクポイントの類似した集約的な観察結果と統合されることになる。
This document discusses how risk governance elements such as enterprise risk strategy, appetite, tolerance, and capacity direct risk performance. By monitoring the results of CSRM activities at each hierarchical level, senior leaders can adjust various governance components (e.g., policy, procedures, workforce skills) to achieve risk objectives. This report describes how the CSRM Monitor, Evaluate, and Adjust (MEA) process supports ERM and a repeatable and consistent use of terms, including how the context of various terms can vary depending on the enterprise’s perspective. That understanding helps to ensure effective CSRM communication and coordination.   本書では、エンタープライズ・リスク戦略、リスク選好度、リスク許容度、リスク対応力などのリスクガバナンスの要素がリスクパフォーマンスにどのように影響するかを論じている。各階層レベルにおける CSRM 活動の結果をモニタリングすることで、シニアリーダーはリスク目標を達成するために、さまざまなガバナンス要素(ポリシー、手順、従業員のスキルなど)を調整することができる。本レポートでは、ERM をサポートする CSRM のモニタリング、評価、調整(MEA)プロセスについて説明し、企業の視点によってさまざまな用語のコンテクストがどのように異なる可能性があるかを含め、用語の反復可能かつ一貫した使用方法についても説明する。こうした理解は、効果的な CSRM コミュニケーションと調整を確実に行うのに役立つ。
While ERM is a well-established field, there is an opportunity to expand and improve the body of knowledge regarding coordination among cybersecurity risk managers and those managing risk at the most senior levels. This series is intended to introduce this integration while recognizing the need for additional research and collaboration. Further points of discussion include IR 8286D’s focus on business impact analysis (BIA), which is a foundation of understanding exposure and opportunity [8]. NIST also continues to perform extensive research and publication development regarding metrics, a topic that will certainly support ERM/CSRM performance measurement, monitoring, and communication.  ERMは確立された分野であるが、サイバーセキュリティリスク管理者と最高経営責任者レベルのリスク管理者の間の調整に関する知識体系を拡大し改善する余地がある。このシリーズは、さらなる研究と協力の必要性を認識しながら、この統合を紹介することを目的としている。さらに議論すべき点として、エクスポージャーと機会を理解するための基礎であるビジネスインパクト分析(BIA)にIR 8286Dが重点を置いていることが挙げられる[8]。また、NISTは、ERM/CSRMのパフォーマンス測定、モニタリング、コミュニケーションを確実にサポートするトピックであるメトリクスに関する広範な研究と出版物の開発も継続している。
This document continues the discussion regarding the inclusion of CSRM priorities and results in support of an improved understanding about organization and enterprise impacts of cybersecurity risks on financial, reputation, and mission considerations.  本書では、財務、評判、ミッション上の懸念に対するサイバーセキュリティリスクの組織およびエンタープライズへの影響に関する理解の改善を目的として、CSRMの優先事項と結果の組み込みに関する議論を継続している。

 

 

 


 

・2025.02.25 NIST IR 8286D Using Business Impact Analysis to Inform Risk Prioritization and Response

NIST IR 8286D Using Business Impact Analysis to Inform Risk Prioritization and Response NIST IR 8286D ビジネスインパクト分析によるリスクの優先順位付けと対応の決定
Abstract 概要
While business impact analysis (BIA) has historically been used to determine availability requirements for business continuity, the process can be extended to provide a broad understanding of the potential impacts of any type of loss on the enterprise mission. The management of enterprise risk requires a comprehensive understanding of mission-essential functions (i.e., what must go right) and the potential risk scenarios that jeopardize those functions (i.e., what might go wrong). The process described in this publication helps leaders determine which assets enable the achievement of mission objectives and evaluate the factors that render assets as critical and sensitive. Based on those factors, enterprise leaders provide risk directives (i.e., risk appetite and tolerance) as input to the BIA. System owners then apply the BIA to developing asset categorization, impact values, and requirements for the protection of critical or sensitive assets. The output of the BIA is the foundation for the Enterprise Risk Management (ERM)/Cybersecurity Risk Management (CSRM) integration process, as described in the NIST Interagency Report (IR) 8286 series, and enables consistent prioritization, response, and communication regarding information security risk. ビジネスインパクト分析(BIA)は、従来、事業継続のための可用性要件を決定するために使用されてきたが、このプロセスを拡張することで、あらゆる種類の損失が企業ミッションに及ぼす潜在的な影響について、より広範な理解を得ることができる。 エンタープライズ・リスクの管理には、ミッションに不可欠な機能(すなわち、何が正しく行われなければならないか)と、それらの機能を脅かす潜在的なリスクシナリオ(すなわち、何が間違って行われる可能性があるか)についての包括的な理解が必要である。本書で説明されているプロセスは、リーダーがミッション目標の達成を可能にする資産を特定し、資産を重要かつ機密性の高いものとする要因を評価するのに役立つ。エンタープライズリーダーは、それらの要因に基づいて、BIAへのインプットとしてリスク指令(リスク許容度やリスク許容範囲など)を提供する。システム所有者は、BIA を資産分類、影響値、および重要または機密資産の防御要件の策定に適用する。BIA の結果は、NIST 内部報告書(IR)8286 シリーズで説明されているように、エンタープライズ・リスクマネジメント(ERM)/サイバーセキュリティ・リスクマネジメント(CSRM)統合プロセスの基礎となり、情報セキュリティリスクに関する一貫した優先順位付け、対応、およびコミュニケーションを可能にする。

 

・[PDF] NIST.IR.8286D-upd1

20250309-164647 

 

・[DOCX][PDF] 仮訳

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序文
1.1. Benefits of Extending the BIA for Risk Types 1.1. リスクタイプのBIAを拡張するメリット
1.2. Foundational Practices for Business Impact Analysis 1.2. ビジネスインパクト分析のための基本的なプラクティス
1.3. Document Structure 1.3. 文書構造
2. Cataloging and Categorizing Assets Based on Enterprise Value 2. エンタープライズ価値に基づく資産のカタログ化と分類
2.1. Identification of Enterprise Business Asset Types 2.1. エンタープライズ・ビジネス資産タイプの特定
2.2. The Business Impact Analysis Process 2.2. ビジネスインパクト分析プロセス
2.3. Determining Asset Value to Support CSRM Activities 2.3. CSRM活動を支える資産価値の決定
2.4. Determining Loss Scenarios and Their Consequences 2.4. 損失シナリオとその結果の決定
2.5. Business Impact Analysis in Terms of Criticality and Sensitivity 2.5. 重要度と感度の観点からのビジネスインパクト分析
2.6. Using a BIA to Record Interdependencies 2.6. BIAを使った相互依存関係の記録
2.7. Consistent Business Impact Analysis Through an Enterprise Approach 2.7. エンタープライズ・アプローチによる一貫したビジネスインパクト分析
2.8. Using a BIA to Support an Enterprise Registry of System Assets 2.8. BIAを使用したシステム資産のエンタープライズレジストリの支援
3. Conclusion 3. 結論
References 参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms 附属書A. 記号、略語、頭字語のリスト
Appendix B. Change Log 附属書B. 変更履歴

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー 
Risk is measured in terms of impact on enterprise mission, so it is vital to understand the various information and technology (IT) assets whose functions enable that mission. Each asset has a value to the enterprise. For government enterprises, many of those IT assets are key components for supporting critical services provided to citizens. For corporations, IT assets directly influence enterprise capital and valuation, and IT risks can have a direct impact on the balance sheet or budget. For each type of enterprise, it is both vital and challenging to determine the conditions that will truly impact a mission. Government agencies must provide critical services while adhering to priority directives from senior leaders. In the commercial world, mission priority is often driven by long-term goals and factors that might impact the next quarter’s earnings call. Therefore, it is highly important to continually analyze and understand the enterprise resources that enable enterprise objectives and that can be jeopardized by cybersecurity risks.  リスクは、エンタープライズのミッションへの影響という観点から測定されるため、そのミッションを可能にする機能を持つ様々な情報・技術(IT)資産を理解することが不可欠である。各資産はエンタープライズにとって価値がある。ガバナンス・エンタープライズにとって、IT資産の多くは、市民に提供される重要なサービスを支える重要なコンポーネントである。企業にとっては、IT資産がエンタープライズの資本や評価に直接影響し、ITリスクは貸借対照表や予算に直接的な影響を与える可能性がある。それぞれのタイプのエンタープライズにとって、ミッションに真に影響を与える条件を見極めることは、極めて重要であると同時に困難でもある。ガバナンスの政府機関は、上級指導者からの優先的な指示を守りつつ、重要なサービスを提供しなければならない。商業の世界では、ミッションの優先順位は、長期的な目標や、次の影響するかもしれない要因によって左右されることが多い四半期の。したがって、企業の目標を実現し、サイバーセキュリティリスクによって危険にさらされる可能性のあるエンタープライズリソースを。 継続的に分析し、理解することが非常に重要である。
The NIST Interagency Report (IR) 8286 series has coalesced around the risk register as a construct for storing and a process for communicating risk data [NISTIR8286]. Another critical artifact of risk management that serves as both a construct and a means of communication with the risk register is the Business Impact Analysis (BIA) Register. The BIA examines the potential impacts associated with the loss or degradation of an enterprise’s technology-related assets based on a qualitative or quantitative assessment of the criticality and sensitivity of those assets and stores the results in the BIA Register. An asset criticality or resource dependency assessment identifies and prioritizes the information assets that support the enterprise’s critical missions. Similarly, assessments of asset sensitivity identify and prioritize information assets that store, process, or transmit information that must not be modified or disclosed to unauthorized parties. In the cybersecurity realm, the use of the BIA has historically been limited to calculations of quality-based and time-based objectives for incident handling (including continuity of operations and disaster recovery).  NISTの省庁間報告書(IR)8286シリーズは、リスクデータを保存し、コミュニケーションするための プロセスとして、リスク登録簿を中心にまとめられた[NISTIR8286]。リスクレジスターの構成要素とコミュニケーション手段の両方の役割を果たすリスクマネジメントのもう一つの重要な成果物は、ビジネスインパクト分析(BIA)レジスターである。BIAは損失又は関連する潜在的な影響を検討、エンタープライズの技術関連資産の、それらの資産の重要性及び感受性の定性的又は定量的な評価に基づいてし、その結果をBIA登録簿に保存する。資産の重要性または資源依存性のアセスメントは、支える情報資産を特定し、優先順位をつける劣化にエンタープライズの重要なミッションを。同様に、資産の機密性のアセスメントでは、無権限者に変更または開示されてはならない情報を保存、処理、または送信する情報資産を特定し、優先順位を付ける。サイバーセキュリティの領域では、BIAの使用は歴史的に、インシデントハンドリング(事業継続と災害復旧を含む)のための品質ベースと時間ベースの目標の計算に限られてきた。 
Because the BIA serves as a nexus for understanding risk (which is the measurement of uncertainty on the mission), it provides a basis for risk appetite and tolerance values as part of the enterprise risk strategy.[1] That guidance supports performance and risk metrics based on the relative value of enterprise assets to communicate and monitor Cybersecurity Risk Management[2] (CSRM) activities, including measures determined to be key performance indicators (KPIs) and key risk indicators (KRIs). The BIA supports asset classification that drives requirements, risk communications, and monitoring.  BIAはリスク(ミッション上の不確実性の測定である)を理解するための結節点として機能するため、エンタープライズリスク戦略の一部としてリスク選好度と許容値の基礎を提供する。[1]このガイダンスは、サイバーセキュリティリスクマネジメントコミュニケーションし監視するために、エンタープライズ資産の相対的価値に基づくパフォーマンスとリスクの指標を支援するもので[2] )活動をあり、これには主要業績評価指標(KPI)や主要リスク指標(KRI)として決定された指標も含まれる。BIA は、要件、リスクコミュニケーション、モニタリングを推進する資産分類を支援する。 
Expanding use of the BIA to include confidentiality and integrity considerations supports comprehensive risk analysis. The basis of asset valuation on enterprise impact helps to better align risk decisions to enterprise risk strategy. CSRM/ERM integration helps to complete the risk cycle by informing future iterations of impact analysis based on previous information gained through cybersecurity risk register (CSRR) aggregation, as detailed in NIST IR 8286C. As organizational and enterprise leaders gain an understanding of aggregate risk exposure and composite impact, that information helps adjust risk expectations (including business impact guidance to ensure an ongoing balance among asset value, resource optimization, and risk considerations).  BIAの利用を拡大し、機密性と完全性の検討を含めることで、包括的なリスク分析を支援する。エンタープライズに与える影響を資産評価の基礎とすることで、エンタープライズリスク戦略に対するリスク決定の整合性を高めることができる。CSRM/ERM の統合は、NIST IR 8286C に詳述されているように、サイバーセキュリティリスクレジス タ(CSRR)の集計を通じて得られた過去の情報に基づき、影響度分析の将来の反復に情報を提供することによって、リスクサイクルを完成させるのに役立つ。組織やエンタープライズのリーダーは、リスクエクスポージャーと複合的な影響の総和を理解するようになるため、その情報はリスクに対する期待値(資産価値、リソースの最適化、リスクへの配慮の間の継続的なバランスを確保するためのビジネス影響ガイダンスを含む)を調整するのに役立つ。
The BIA process enables system owners to record the benefits provided by an asset by considering the contribution to the enterprise, particularly in terms of mission, finance, and reputational aspects. Once informed about how each asset supports enterprise value, system owners can then work with risk managers to determine the implications of uncertainty on those assets.  BIAプロセスにより、システム所有者は、特にミッション、財務、評判の側面から、エンタープライズへの貢献を考慮することで、資産からプロバイダが提供される利益を記録することができる。各資産がどのようにエンタープライズの価値を支えているかを知ることができれば、システムオーナーはリスクマネジメントと協力して、それらの資産に不確実性がもたらす影響を判断することができる。 
It is more critical than ever to have centralized and reliable asset information recorded in the BIA Register since enterprises rely on various types of information and communications technology (ICT) resources, which are increasingly targeted by adversaries. The BIA process provides information that can be consistently recorded in a centralized registry of important asset management information, such as system ownership, contact information for key stakeholders, and characteristics of the physical devices (or services). Since asset management is an important element of cybersecurity risk management, this information is quite valuable for protecting the asset, detecting cyber events, responding quickly to potential issues, and recovering services when necessary.  エンタープライズがさまざまな種類の情報通信技術(ICT)リソースに依存しており、敵対勢力に狙われることが多くなっているため、BIA登録簿に記録される一元化された信頼できる資産情報がこれまで以上に重要になっている。BIAプロセスは、システムの所有権、主要な利害関係者の連絡先情報、物理的装置(またはサービス)の特性など、重要な資産管理情報を集中登録簿に一貫して記録できる情報を提供する。資産管理はサイバーセキュリティ・リスクマネジメントの重要な要素であるため、この情報は資産を保護し、サイバーイベントを検知し、潜在的な問題に迅速に対応し、必要な場合にはサービスを回復するために非常に価値がある。 
Public- and private-sector enterprises must maintain a continual understanding of potential business impacts, the risk conditions that might lead to those impacts, and the steps being taken to address those impacts (as recorded in various risk registers and, ultimately, in the Enterprise Risk Profile). In many cases, when a company or agency is asked about risks, they are actually being asked to describe potential impacts. Companies must describe the risk factors that could have a material adverse effect on the enterprise’s financial position, its ability to operate, or its corporate cash flow. Agencies must report to legislative and regulatory stakeholders about adverse impacts that could impair agency missions and funding. Use of the BIA methodology to categorize the criticality and sensitivity of enterprise assets enables effective risk management and the subsequent integration of reporting and monitoring at the enterprise level to ensure that risk and resource utilization are optimized in light of the value of those assets.  公共部門及び民間部門のエンタープライズは、潜在的な事業への影響、それらの影響につながる可 能性のあるリスク状況、及びそれらの影響に対処するための措置(様々なリスク登録簿に記 録され、最終的にはエンタープライズ・リスク・プロファイルに記録される)を継続的に理 解し続けなければならない。多くの場合、企業や機関がリスクについて問われるとき、実際には潜在的な影響について問われる。企業は、エンタープライズの財政状態、経営能力、または企業のキャッシュフローに重大な悪影響を及ぼす可能性のあるリスク要因を記述しなければならない。省庁は、省庁の使命や資金調達を損なう可能性のある悪影響について、立法・規制上の利害関係者に報告しなければならない。エンタープライズ資産の重要性と機密 性を分類するためにBIA手法を使用することにより、効果的なリスクマネジメントと、それに続くエンタープライズレベルでの報告とモニタリングの統合が可能となり、それらの資産の価値に照らしてリスクと資源利用が最適化されることが保証される。 
[1] Office of Management and Budget (OMB) Circular A-123 defines risk appetite as “the broad-based amount of risk an organization is willing to accept in pursuit of its mission/vision. It is established by the organization’s most senior level leadership and serves as the guidepost to set strategy and select objectives.” The same document defines risk tolerance as “the acceptable level of variance in performance relative to the achievement of objectives.”  [1]行政管理予算局(OMB)サーキュラーA-123は、リスク定義している選好度を組織が許容する広範なリスク量」とそのミッション/ビジョンを。リスク選好度は追求するために、組織の最上位レベルのリーダーシップによって設定され、戦略を設定し、目標を選択するための道標の」と定義している。役割を果たす同文書では、定義しているリスク許容度を「許容レベル目標達成に対する。 業績のばらつきの
[2] Cybersecurity Risk Management, or CSRM, is the process of managing uncertainty on or within information and technology.  [2]サイバーセキュリティ・リスクマネジメント(CSRM)とは、情報や技術に関する不確実性を管理するプロセスである。 

 

 

 

 

 


 

参考...

 Committee of Sponsoring Organizations; COSO

Enterprise Risk Management; ERM

・[PDF] Exsecutive Summary

20240310-81645

 

 

 

⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

IR 8286

・2024.03.10 米国 NIST IR 8286C エンタープライズリスクマネジメントと政府監視のためのサイバーセキュリティリスクのステージング

・2022.11.22 NISTIR 8286D リスクの優先順位付けと対応を行うためのビジネス影響分析の使用

・2022.09.16 NISTIR 8286C エンタープライズ・リスク・マネジメント (ERM) とガバナンスの監督のためのサイバーセキュリティ・リスクのステージング

・2022.06.14 NISTIR 8286D (ドラフト) リスクの優先順位付けと対応にビジネスインパクト分析を使用する方法 (2022.06.09)

・2022.02.13 NISTIR 8286B エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの優先順位付け

・2022.01.28 NISTIR 8286C (ドラフト)エンタープライズ・リスク・マネジメント (ERM) とガバナンスの監督のためのサイバーセキュリティ・リスクのステージング

・2021.11.15 NISTIR 8286A エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの識別と推定

・2021.09.03 NISTIR 8286B(ドラフト)エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの優先順位付け

・2021.07.08 NISTIR 8286A (ドラフト)エンタープライズ・リスク・マネジメント (ERM) のためのサイバーセキュリティ・リスクの識別と推定(第2ドラフト)

・2020.10.22 NISTIR 8286 Integrating Cybersecurity and Enterprise Risk Management (ERM)

・2020.07.12 NISTIR 8286 (Draft) Integrating Cybersecurity and Enterprise Risk Management (ERM) (2nd Draft)

・2020.03.20 NISTIR 8286(Draft) Integrating Cybersecurity and Enterprise Risk Management (ERM)

 

SP800-221関係...

・2023.11.20 NIST SP 800-221 情報通信技術リスクのエンタープライズへの影響:エンタープライズリスクポートフォリオにおけるICTリスクプログラムのガバナンスとマネジメント, NIST SP 800-221A 情報通信技術(ICT)リスクの成果: ICTリスクマネジメントプログラムとエンタープライズリスクポートフォリオの統合

・2022.07.25 NIST SP 800-221 (ドラフト) 情報通信技術リスクのエンタープライズへの影響:エンタープライズ・リスクポートフォリオの中でのICTリスクプログラムの統治と管理 SP 800-221A (ドラフト) 情報通信技術 (ICT) リスクの成果:ICTリスクマネジメントプログラムとエンタープライズリスクポートフォリオの統合

 

経営ガイドライン Veer3.0

・2023.11.09 IPA サイバーセキュリティ経営ガイドライン Ver 3.0実践のためのプラクティス集 (2023.10.31)

・2023.03.26 経済産業省 サイバーセキュリティ経営ガイドラインVer 3.0

・2022.12.10 経団連 「サイバーセキュリティ経営ガイドライン Ver3.0 (案) 」に対する意見

 

 

 

| | Comments (0)

2025.03.09

欧州 ENISA NIS360 2024 (2025.03.05) 重要インフラのセキュリティの状況...

こんにちは、丸山満彦です。

ENISAが、NIS2の対象となる9つの重要インフラ分野(セクター)、22の下位分野(サブセクター)についてのサイバーセキュリティの成熟度と重大度の評価をまとめていますね...業界分野ごとの比較や、日本との比較をする上でも参考になるかもですね...

  • エネルギー:電気、ガス、地域冷暖房、水素、石油
  • 輸送:航空、海運、鉄道、道路
  • 金融:銀行、金融市場インフラ(FMI
  • 水:飲料水・廃水
  • デジタル・インフラ:中核的インターネット*、通信、クラウドサービス、データセンターサービス、トラストサービス
  • 健康**
  • ICTサービスマネジメント
  • 公共機関
  • 宇宙

 

*:インターネットエクスチェンジポイント(IXP)プロバイダ、ドメインネームシステム(DNS)サービス・プロバイダ(オペレータを除く)ルートネームサーバ、トップレベルドメイン(TLD)名レジストリの、コンテンツデリバリー・ネットワーク(CDN)プロバイダ。

**:医療提供者(病院)、検査機関、医薬品開発、製薬事業者、医療機器製造事業者

 

⚫︎ ENISA

・2025.03.05 ENISA NIS360 2024

20250309-61356

 

・[DOCX][PDF] 仮訳

 

目次...

EXECUTIVE SUMMARY エグゼクティブサマリー
1. INTRODUCTION 1. 序文
1.1 GOAL AND TARGET AUDIENCE 1.1 目標と対象読者
1.2 SCOPE AND METHODOLOGY 1.2 スコープと方法論
1.3 DISCLAIMER 1.3 免責事項
2. SECTOR MATURITY & CRITICALITY OVERVIEW 2.分野の成熟度と重大度の概要
2.1 MATURITY OVERVIEW 2.1 成熟度の概要
2.2 CRITICALITY OVERVIEW 2.2 重大度の概要
2.3 RECOMMENDATIONS 2.3 推奨事項
3. NEXT STEPS 3.次のステップ
ANNEX A THE NIS360 METHODOLOGY 附属書A NIS360の方法論
ANNEX B CRITICALITY BREAKDOWN BY SECTOR 附属書B 分野別重要度内訳
ANNEX C MATURITY BREAKDOWN BY SECTOR 附属書C 分野別成熟度内訳
ANNEX D SECTOR BY SECTOR ANALYSIS 附属書D 分野別分析
D.1 ENERGY SECTOR D.1 エネルギー分野
D.2 TRANSPORT SECTOR D.2 輸送分野
D.3 FINANCE SECTOR D.3 金融分野
D.4 HEALTH SECTOR D.4 健康分野
D.5 DRINKING & WASTE WATER SECTORS D.5 飲料水・廃水分野
D.6 DIGITAL INFRASTRUCTURE SECTOR D.6 デジタル・インフラ分野
D.7 ICT SERVICE MANAGEMENT SECTOR D.7 ICTサービスマネジメント分野
D.8 PUBLIC ADMINISTRATION SECTOR D.8 公共分野
D.9 SPACE SECTOR D.9 宇宙分野
ANNEX E SURVEY PARTICIPATION 附属書E アンケートへの参加状況
ANNEX F RISK ZONE 附属書F リスクゾーン

 

エグゼクティブサマリー...

EXECUTIVE SUMMARY エグゼクティブサマリー
The NIS360 is a new ENISA product that assesses the maturity and criticality of sectors of high criticality under the NIS2 Directive, providing both a comparative overview and a more in-depth analysis of each sector. The NIS360 is designed to assist Member States and national authorities in identifying gaps and prioritising resources. Our analysis is based on data from national authorities with a horizontal or sectorial mandate, data from companies within the in-scope sectors, and insights from EU-level sources such as Eurostat. Key findings include: NIS360はENISAの新しい報告で、NIS2指令に基づく重大度の高い分野の成熟度と重大度を評価し、各分野の比較概要とより詳細な分析の両方を提供する。NIS360は、加盟国や各国当局がギャップを特定し、リソースの優先順位を決定する際に役立つよう設計されている。我々の分析は、水平的または分野別の権限を持つ各国当局からのデータ、対象分野内の企業からのデータ、ユーロスタットなどのEUレベルの情報源からの洞察に基づいている。主な調査結果は以下の通りである: 
• Three sectors stand out above the rest in terms of overall maturity and criticality: electricity, telecoms, and banking. Over time, these sectors have benefited from significant regulatory oversight, global investments, political focus, and robust public-private partnerships. Their resilience is crucial for societal and economic stability. • 全体的な成熟度と重大度という点で、電力、通信、銀行の3分野が際立っている。これらの分野は、規制当局による監視、グローバルな投資、政治的焦点、強固な官民パートナーシップの恩恵を受けてきた。これらの分野のレジリエンスは、社会と経済の安定にとって極めて重要である。
• Digital infrastructures, including core internet services, trust services, data centres, and cloud services, are among the higher-ranking sectors in terms of maturity and criticality, however they still have challenges to navigate due to their inherent heterogeneity, cross-border nature and the inclusion of previously unregulated entities within their scope. • 中核的インターネット・サービス、トラスト・サービス、データ含むセンター・サービス、クラウド・サービスを含むデジタル・インフラは、成熟度と重大度の点で上位にランクされる分野のひとつであるが、固有の異質性、国境を越えた性質、これまで規制対象外であった事業体がその範囲に含まれることなどから、依然として課題を抱えている。
• Four sectors and two subsectors are in the ‘risk zone’: ICT service management, space, public administrations, maritime, health and gas. These sectors need extra attention to ensure their maturity gaps are addressed in a way that enables them to effectively deal with the added challenges posed by their respective criticality levels. • ICTサービスマネジメント、宇宙、行政、海運、保健、ガスの4つの分野と2つの下位分野が「リスクゾーン」にある。これらの分野は、成熟度のギャップに確実に対処し、それぞれの重大度がもたらす付加的な課題に効果的に対処できるようにするため、特に注意を払う必要がある。
• The ICT service management sector, faces key challenges due to its cross-border nature and diverse entities. Strengthening its resilience is vital and requires close cooperation between authorities, reduced burdens for entities subject to both NIS2 and DORA, and harmonised cross-border supervision. • ICTサービスマネジメント分野は、その国境を越えた性質と多様な事業体により、重要な課題に直面している。レジリエンスの強化は不可欠であり、認可当局間の緊密な協力、NIS2とDORAの両方が適用される事業体の負担軽減、必要である国境を越えた監督の調和が必要である。
• The space sector faces challenges due to stakeholders’ limited cybersecurity knowledge and its heavy reliance on commercial off-the-shelf components. Enhancing its resilience requires better cybersecurity awareness, clear guidelines for pre-integration testing of components, and stronger collaboration with other sectors e.g., telecoms due to the growing convergence of 5G and satellite communications. • 宇宙分野は、関係者のサイバーセキュリティに関する知識が乏しく、市販の部品に大きく依存しているため、課題に直面している。レジリエンスを高めるには、サイバーセキュリティに対する意識の向上、コンポーネントの統合前テストに関する明確なガイドライン、5Gと衛星コミュニケーションの融合が進む通信事業者など他分野との連携強化が必要である。
• The public administrations sector is still in the early days of developing its cybersecurity maturity, lacking the support and experience seen in more mature sectors. Being a prime target for hacktivism and state-nexus operations, it should aim to strengthen its cybersecurity capabilities leveraging the EU Cyber Solidarity Act and explore shared service models among sector entities on common areas e.g., digital wallets.  • 公共分野は、サイバーセキュリティの成熟度を高めるにはまだ日が浅く、より成熟した分野で見られるような支援や経験が不足している。ハクティビズムや国家ぐるみの作戦の格好の標的であることから、EUサイバー連帯法を活用してサイバーセキュリティ能力を強化し、デジタルウォレットなどの共通分野について事業体間の共有サービスモデルを模索することを目指すべきである。 
• The maritime sector continues to face challenges with OT and could benefit from tailored cybersecurity risk management guidance that focuses on minimising sector-specific risks, as well as an EU-level cybersecurity exercises to enhance coordination and preparedness in both sectorial and multi-modal crisis management. • 海運分野は、引き続きOTに関する課題に直面しており、分野固有のリスクを最小化することに重点を置いた個別のサイバーセキュリティ・リスクマネジメント・ガイダンスのほか、分野別および複数モダルの危機管理における調整と備えを強化するためのEUレベルのサイバーセキュリティ演習から恩恵を受けることができる。
• The health sector, with an expanded scope, that further decreases its homogeneity, continues to face challenges such as the reliance on complex supply chains, legacy systems, and poorly secured medical devices. Strengthening the sector's resilience across the board, requires the development of practical procurement guidelines to help organisations acquire secure services and products, tailored guidance to help overcome common issues e.g., gaps in basic cyber hygiene, and staff awareness campaigns. • 健康分野は、その範囲が拡大し、同質性がさらに低下しているため、複雑なサプライチェーン、レガシーシステム、セキュリティが不十分な医療機器への依存などの課題に引き続き直面している。この分野のレジリエンスを全面的に強化するには、するための実用的な調達ガイドラインの策定必要である。組織が安全なサービスや製品を入手できるように、基本的なサイバー衛生のギャップなど一般的な問題の克服を支援するための個別のガイダンス、職員の意識向上キャンペーンなどが必要である。
• The gas sector, needs to continue working towards developing its incident readiness and response capabilities, through the development and testing of incident response plans at national and EU levels but also through enhanced collaboration with the electricity and manufacturing sectors.  • ガス分野は、国やEUレベルでのインシデント対応計画の策定とテストを通じて、また電力分野や製造事業者との協力関係の強化を通じて、インシデントへの準備態勢と対応能力を発展させる努力を続ける必要がある。 
Overall, all sectors covered by the NIS360 face challenges in building their maturity and meeting NIS2 requirements. To better support them, stronger collaboration within and across sectors is recommended, along with sector-specific guidance on implementing cyber risk management measures. Upskilling and reskilling national authorities could be key to a more harmonised NIS2 implementation, while crossborder cybersecurity exercises could enhance crisis response and help mitigate the cascading effects of cyber incidents. 全体として、NIS360の対象となるすべての分野は、成熟度を高め、NIS2の要件を満たす上で課題に直面している。これらの分野をよりよく支援するためには、サイバーリスクマネジメント対策の実施に関する分野別のガイダンスとともに、分野内および分野間の協力の強化が推奨される。また、国境を越えたサイバーセキュリティ演習は、危機対応を強化し、サイバーインシデントの連鎖的影響を緩和するのに役立つだろう。

 

成熟度と重大度のマトリックス...

20250309-63100

重大度

20250309-101139

 

成熟度...

20250309-101300

 

リスクゾーン...

20250309-101517

 

 

| | Comments (0)

2025.03.08

自民党 治安・テロ・サイバー犯罪対策調査会 組織的な詐欺から国民の財産を守るための対策に関する緊急提言

こんにちは、丸山満彦です。

自民党の「治安・テロ・サイバー犯罪対策調査会」(会長:高市早苗議員 [wikipedia])が「情報通信戦略調査会」(会長:野田聖子議員[wikipedia])「金融調査会」(会長:片山さつき議員 [wikipedia]) との連携の下、「組織的な詐欺から国民の財産を守るための対策に関する緊急提言」を石破茂総理大臣に2025.03.03に申し入れましたね...

女性議員3名並びましたね...

 

⚫︎ 自由民主党

1_20250129184201

・2025.03.07 組織的な詐欺から国民の財産を守る 石破総理に緊急提言を申し入れ 治安・テロ・サイバー犯罪対策調査会

 

金融関係の提言

背景:最近の被害事例においてインターネットバンキングを利用した犯行が確認されていること

政府から金融機関に対し、インターネットバンキングの申し込みがあった際の審査強化や注意喚起等を求める

目的:犯行グループによる被害金の出金を防ぐため、

預金取扱金融機関間で取引情報を共有しつつ、不正取引を検知し速やかに口座凍結を行うことが可能となる枠組みの創設

背景他人名義の口座等が犯行に利用されている

金融機関と捜査機関が管理する「架空名義口座」を利用した捜査の有効性を強調。その上で関係法令の改正に向けた検討を早急に行うべき

 

通信関係の提言

背景:データ通信専用SIMについて、音声通話SIMと同様に通話等をすることができるにも関わらず、音声通話SIMと異なり、契約時の本人確認が法令で義務付けられていないことから悪用が行われている。

データ通信専用SIMの契約時の本人確認の義務付けの検討

背景:犯罪に悪用される通信アプリ等について被疑者の通信内容や登録者情報等を迅速に把握することは、犯行グループの壊滅に必須

犯罪に悪用される通信アプリ等の通信内容等を迅速に把握する効果的な手法を、諸外国の取り組みを参考にしつつ、技術的アプローチや新たな法制度の導入の可能性を含め検討すべき

 

 

 

 

 

 

 

 

| | Comments (0)

2025.03.07

経済産業省 我が国から有望なサイバーセキュリティ製品・サービスが次々に創出されるための包括的な政策パッケージ「サイバーセキュリティ産業振興戦略」

こんにちは、丸山満彦です。

経済産業省が、我が国から有望なサイバーセキュリティ製品・サービスが次々に創出されるための包括的な政策パッケージである「サイバーセキュリティ産業振興戦略」を公表していますね...

「遅い!!!」「遅すぎる!!!」という声があがるであろうことは十分に承知していますが、でも、始めよう...ということです。

 

サイバーセキュリティ分野のみならず、新興産業分野全般的に日本では新しい産業が起こりにくい状況であると思います。そして、起業家精神(Entrepreneurship)が十分に認知されていないという話もあります。

今回は、サイバーの分野ではありますが、経済産業省や総務省等の他の施策とも連携して、サイバーセキュリティ産業振興を図ろうという意気込みです。

10年で3倍超の3兆円という、私からしたら控えめ、でも政策の責任者である経済産業省としては野心的なKPIをセットしたので、是非成功できればと思います。10年後忘れないでね...

 

 


2.サイバーセキュリティ産業振興戦略の概要

本戦略では、我が国サイバーセキュリティ産業を振興する意義や我が国サイバーセキュリティ産業の現状を紹介した上で、上述した悪循環を打破するための包括的な政策対応を提示しています。

本戦略で掲げている主な政策対応は以下のとおりです。

(1)スタートアップ等が実績を作りやすくなる/有望な製品・サービスが認知されるための取組

  • スタートアップ技術提案評価方式」等の枠組みを活用し、政府機関等が有望なスタートアップ等の製品・サービスを試行的に活用
  • 有望な製品・サービス・企業の情報を集約・リスト化し、政府機関等へ情報展開する/業界団体とも連携して審査・表彰を実施

(2)有望な技術力・競争力を有する製品・サービスが創出され、発掘されやすくなるための取組

  • セキュリティ関連の技術・社会課題解決に貢献する技術・事業を発掘するための「コンテスト形式」による懸賞金事業等を実施
  • 約300億円の研究開発プロジェクトを推進し社会実装を後押し
  • 我が国商流の中心であるSI事業者と国産製品・サービスベンダーとのマッチングの場を創出

(3)供給力拡大を支える高度人材が充足し、国際市場展開が当たり前になるための取組

  • 高度専門人材の育成プログラムを拡充/セキュリティ人材のキャリア魅力を向上・発信
  • 海外展開を支援/標準化戦略を促進/関係国との企業・人材交流を促進

また、本戦略では、こうした政策対応の結果として期待される今後のロードマップ(来年度における取組の具体化を経た、3年以内、5年以内、10年以内の絵姿)も示しており、10年以内には安全保障の確保やデジタル赤字の解消への貢献を実現するとともに、「国内企業の売上高を足下(約0.9兆円)から3倍超(約3兆円超)とする」というKPIも掲げています。


 

 

 

経済産業省

・2025.03.05 我が国から有望なサイバーセキュリティ製品・サービスが次々に創出されるための包括的な政策パッケージ「サイバーセキュリティ産業振興戦略」を取りまとめました

 

・[PDF] 別紙1】サイバーセキュリティ産業振興戦略(概要)

20250307-65010

 

・[PDF] 【別紙2】サイバーセキュリティ産業振興戦略(本体)

20250307-90011

 

・[PDF] 【別紙3】サイバーセキュリティ産業のプレイヤーからのコメント

 

 

| | Comments (0)

経済産業省 クレジットカード・セキュリティガイドライン 6.0版 (2025.03.05)

こんにちは、丸山満彦です。

経済産業省のクレジットカード・セキュリティガイドラインが1年ぶりに改訂されていますね...

技術の普及に応じて適時に更新しているのは、素晴らしいと思います。

今はすっかりと当たり前に普及しているPCI-DSSをつくるときに、クレジットカードブランド会社(VISA、Master、Amex、JCB)の人たちと、当時普及を進めようとしていたISMSを連携されて普及を図ろうと一緒に取り組んでいたことを思いまします。

経産省のクレジットカード・セキュリティガイドラインも改訂を重ねて6.0版になっています...

 

経済産業省

・2025.03.05 「クレジットカード・セキュリティガイドライン」が改訂されました

 


2.主な改訂内容

(1)EC加盟店の取り組み

1 クレジットカード情報保護対策

EC加盟店は、これまで実施してきたセキュリティ対策に加え、システムやWebサイトの脆弱性対策を実施する。

2 不正利用対策

EC加盟店は、不正利用対策としてEMV‐3Dセキュア(カード決済時に本人認証を行うサービス)の導入と適切な不正ログイン対策(Webサイトへのログイン時の本人認証等の対策)を実施する。また不正利用の発生状況に応じて適切な不正利用対策を追加導入する。

(2)カード会社・PSPの取り組み

カード会社・PSPは、EC加盟店に対して、上記の脆弱性対策等のクレジットカード情報保護対策、EMV‐3Dセキュアの導入、適切な不正ログイン対策等の不正利用対策の導入及び運用に関して必要な助言や情報提供を行う。


 

 

クレジット取引セキュリティ対策協議会

・[PDF] クレジットカード・セキュリティガイドライン[6.0版](改訂ポイント)

20250307-62045

 

・[PDF] クレジットカード・セキュリティガイドライン[6.0版]

20250307-62020

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.03.16 経済産業省 クレジットカード・セキュリティガイドライン 5.0版 (2024.03.15)

・2023.03.16 経済産業省 クレジットカード・セキュリティガイドライン【4.0版】

・2022.04.01 PCI Data Security Standard v4.0

 

遡りますが...

・2011.03.26 経済産業省 国内外の電子決済のセキュリティに関する報告書

・2010.10.30 PCI Security Standards Council Releases PCI DSS 2.0 and PA-DSS 2.0

・2009.10.13 JIPDEC クレジット加盟店向け“情報セキュリティのためのガイド”(PCI DSS/ISMS準拠のためのガイド)を公開

・2009.03.31 [PDF] クレジット産業向け”PCI DSS”/ISMSユーザーズガイド

20240316-65205

・2009.03.28 「国際情報セキュリティ調査2008」報告 CIO Magazine + PwC

 

 

| | Comments (0)

米国 NIST IR 8475 Web3パラダイムのセキュリティの観点 (2025.02.25)

こんにちは、丸山満彦です。

NISTがWeb3のセキュリティに関する内部報告書公表していますね...

よく整理され、まとまっていると思います。

クラウドの時もそうでしたが、用語がNISTのような権威がある主体により定義され、統一的に使われ始めると普及が進みやすくなりますね...

 

Web3の技術に対する過剰?な期待も生成的AIの登場で後退してしまいましたが、できるところ、できないところ、対処しなければならないこと、等が見えやすくなり、社会に必要とされる部分で使われていくとよいですね...

 

● NIST - ITL

・2025.02.25 NIST IR 8475 A Security Perspective on the Web3 Paradigm

 

NIST IR 8475 A Security Perspective on the Web3 Paradigm NIST IR 8475 Web3パラダイムのセキュリティの観点
Abstract 概要
Web3 is a proposed vision for the future of the internet that is restructured to be more user-centric with an emphasis on decentralized data. Users would own and manage their personal data, and systems would be decentralized and distributed. Digital tokens would be used to represent assets, and web-native currencies (e.g., cryptocurrencies) would be used for payments. This document provides a high-level technical overview of Web3 and discusses proposed technologies to implement it. The integration of these developing technologies may present novel security challenges, so this paper presents security considerations that should be addressed when considering Web3 technology and adoption. Web3は、分散型データに重点を置き、よりユーザー中心に再構築されたインターネットの将来像として提案されているビジョンである。ユーザーは個人データを所有し管理し、システムは非中央集権化され、分散される。デジタルトークンが資産の代表者として使用され、ウェブネイティブ通貨(暗号通貨など)が支払いに使用される。本書では、Web3のハイレベルな技術概要を提供し、それを実装するための提案された技術について論じる。これらの開発中の技術の統合は、新たなセキュリティ上の課題をもたらす可能性があるため、本書では、Web3技術と導入を検討する際に考慮すべきセキュリティ上の考慮事項を提示する。

 

・[PDF] NIST.IR.8475

20250307-55329

・[DOCX][PDF] 仮訳

 


 

まるちゃんの情報セキュリティ気まぐれ日記

 

・2024.07.26 バーゼル銀行監督委員会 「暗号資産に係る基準の改訂」と「暗号資産エクスポージャーに係る開示」 (2024.07.17)

・2024.04.13 米国 NIST IR 8475(初期公開ドラフト) Web3パラダイムに関するセキュリティの視点

・2024.03.09 米国 NIST IR 8472 非代替性トークンのセキュリティ

・2023.09.08 NIST IR 8408 ステーブルコイン技術と関連するセキュリティ上の考慮事項の理解

・2023.09.04 NIST IR 8472(初期公開ドラフト) 非代替性トークン (NFT) のセキュリティ (2023.08.31)

・2023.06.21 世界経済フォーラム (WEF) 暗号資産規制への道筋: グローバルアプローチ (2023.05.25)

・2023.05.09 デジタル庁 Web3.0研究会(フォローアップ会議)資料等...

・2023.04.29 米国 NISTIR 8460 (ドラフト) 状態機械複製とビザンチン敵対者のコンセンサス

・2022.12.30 Belfer Center: Web3関連のイベント(構築、投資、政策立案)(2022.10.20-12.01)

・2022.10.12 金融安定理事会 (FSB) 暗号資産活動の国際的規制の枠組みの提案

・2022.09.14 米国 MITRE Web3のセキュリティ確保とインターネットの未来への挑戦

・2022.08.19 世界経済フォーラム (WEF) 暗号通貨とステーブルコインがもたらすマクロ経済への影響  (2022.07.22)

・2022.07.19 インド データセキュリティ評議会 Web 3.0 - The Internet of the New Era (2022.07.06)

・2022.07.08 バーゼル銀行監督委員会:(パブコメ)銀行の暗号資産エクスポージャーのプルデンシャルな取り扱いに関する第2回協議文書を公表 (2022.06.30)

・2022.06.28 欧州議会 Think Tank メタバース:機会、リスク、政策への影響

・2022.05.30 NISTIR 8403 アクセス制御システムのためのブロックチェーン

・2022.03.29 米国 GAO ブロックチェーン:新たな技術がもたらす利点と課題

・2022.03.01 欧州委員会 データ法の提案

・2022.02.24 Cloud Security Alliance ブロックチェーン/分散型台帳技術(DLT)のリスクとセキュリティに関する考察 (2022.02.16)

・2021.12.21 NIST 意見募集 NISTIR 8403(ドラフト)アクセス制御システムのためのブロックチェーン

・2021.07.20 Cloud Security Alliance ヘルスケアにおけるブロックチェーンの利用

・2021.05.04 ISACA, AICPA&CIMAが共同でブロックチェーンのリスクに関する白書を公開していますね。。。

・2021.02.11 NIST NISTIR 8301 Blockchain Networks: Token Design and Management Overview(ブロックチェーンネットワーク:トークンのデザインと管理の概要)

・2021.02.10 ENISA 暗号に関する2つの報告書 「ポスト量子暗号:現状と量子緩和」と「暗号資産:デジタル通貨と分散型台帳技術の概要」

・2020.09.30 NIST NISTIR 8301 (Draft) Blockchain Networks: Token Design and Management Overview

・2020.09.30 NIST NISTIR 8235 (Draft) Security Guidance for First Responder Mobile and Wearable Devices

 

 

 

 

 

| | Comments (0)

2025.03.06

米国 NIST (意見募集)IR 8011 Vol. 1 Rev. 1(初期公開草案) テスト可能な管理策および継続的なモニタリングのためのセキュリティ機能:第1巻 - 概要と方法論

こんにちは、丸山満彦です。

評価も含めたコントロールズ(統制手続、管理策)についての文書の改訂版のドラフトです。ただし、タイトルから変更するほどの大きな変更ですね...

これだけでも、100ページ超あります。

おそらくこれはこれから重要です。企業側でセキュリティのための管理策を設計する人にとっても、それを評価(管理部門、監査部門、外部監査人)する人にとっても重要な文書になると思われます。

そして、監査の研究者にとっても重要だと思います。本当は、監査研究者も理解してもらい、批判的に分析してもらいたいところではあります...

もちろん、ISMS等の認証に関わる監査人、これからの経産省のサプライチェーンリスクを低減するための星制度を考える人にも是非、目を通してもらいたい資料だと思うんですよね...

管理策(統制手続、controls)の評価を構造的に考えるというのは重要な観点だと思うんですよね...

なかなか野心的な文書だと思います...

 

 

NIST - ITL

・2025.02.20 NIST IR 8011 Vol. 1 Rev. 1 (Initial Public Draft) Testable Controls and Security Capabilities for Continuous Monitoring: Volume 1 — Overview and Methodology

 

20250305-191135

 

NIST IR 8011 Vol. 1 Rev. 1 (Initial Public Draft) Testable Controls and Security Capabilities for Continuous Monitoring: Volume 1 — Overview and Methodology NIST IR 8011 Vol. 1 Rev. 1(初期公開草案) テスト可能な管理策および継続的なモニタリングのためのセキュリティ機能:第1巻 - 概要と方法論
Announcement アナウンス
Summary 概要
The NIST Risk Management Framework (RMF) Team has released the initial public draft (ipd) version of NIST Internal Report (IR) 8011v1r1 (Volume 1, Revision 1), Testable Controls and Security Capabilities for Continuous Monitoring: Volume 1 — Overview and Methodology. NISTリスクマネジメント枠組み(RMF)チームは、NIST内部報告書(IR)8011v1r1(第1巻、改訂1)の最初の公開草案(ipd)バージョン「テスト可能な管理策および継続的なモニタリングのためのセキュリティ機能:第1巻 - 概要および方法論)」を公開した。
Details 詳細
IR 8011 provides a methodology for identifying testable controls – SP 800-53 controls that can be assessed and monitored using automatable tests – and for creating such tests in support of information security continuous monitoring. These testable controls are organized by continuous monitoring security capabilities which are sets of controls with a common defense purpose.  IR 8011は、テスト可能な管理策(自動化可能なテストを使用してアセスメントおよびモニタリングが可能なSP 800-53の管理策)を識別する方法と、情報セキュリティの継続的なモニタリングを支援するテストを作成する方法を規定している。これらのテスト可能な管理策は、共通の防御目的を持つ一連の統制であるセキュリティ能力の継続的なモニタリングによって体系化されている。
Using a six-step adversarial attack model, the methodology breaks down security capabilities into levels of abstraction towards the identification of smaller, targeted capabilities called sub-capabilities which offer optimal level of granularity for the development of control tests. These tests are created for controls that share common defense objectives and are grouped to support specific security capabilities for continuous monitoring. 6段階の敵対的攻撃モデルを使用して、この手法ではセキュリティ能力を抽象度のレベルに分解し、制御テストの開発に最適な粒度を提供する、より小さく、より対象を絞った能力であるサブ能力を特定する。これらのテストは、共通の防御目的を共有する管理策に対して作成され、継続的なモニタリングのための特定のセキュリティ能力をサポートするためにグループ化される。
Volume 1 introduces key terminology and foundational concepts, describes the methodology, and discusses conceptual operational considerations for a potential IR 8011 implementation. NIST uses these concepts and methodology to identify the sample control tests for security capabilities that are featured in subsequent volumes in the Series. 第1巻では、主要な用語と基礎となる概念を紹介し、その方法論を説明し、IR 8011の潜在的な実装に関する概念的な運用上の考慮事項について議論している。NISTは、これらの概念と方法論を使用して、シリーズのその後の巻で取り上げられるセキュリティ機能のためのサンプルの統制テストを識別する。
IR 8011v1r1 represents a major revision of the first and key volume in the multi-volume IR 8011 series. The NIST Risk Management Framework (RMF) Team welcomes feedback and input on any aspect of IR 8011v1r1 and additionally proposes a list of non-exhaustive questions and topics for consideration: IR 8011v1r1は、複数巻からなるIR 8011シリーズの第1巻および主要巻の大幅な改訂版である。NISTリスクマネジメント枠組み(RMF)チームは、IR 8011v1r1のあらゆる側面に関するフィードバックや意見を歓迎し、さらに、考慮すべき非網羅的な質問やトピックのリストを提案している。
・Have you or your organization ever implemented the IR 8011 methodology? If so, under what capacity (developer/adopter)? ・あなたまたはあなたの組織は、IR 8011の方法論を導入したことがあるか? もしある場合、どのような立場(開発者/採用者)で導入したか?
・Are you a developer of security or continuous monitoring tools that would be interested in incorporating the IR 8011 methodology into a solution? ・IR 8011の方法論をソリューションに組み込むことに興味がある、セキュリティまたは継続的なモニタリングツールの開発者か?
・Is the IR 8011 methodology sound, logical and actionable? ・IR 8011の方法論は、健全で論理的であり、実行可能か?
・Is the language in this revision clear or is there any specific content that requires clarification? ・この改訂版の表現は明確か、または明確化が必要な特定のコンテンツはあるか?
・Are there any additional conceptual implementation considerations that you would propose to be included in the final version of this guide? ・このガイドの最終版に含めるべき、追加の概念的な実装に関する考慮事項はありますか?
・If an IR 8011 community of interest is established in the future, would you be interested in participating? (If so, please leave a contact information). ・将来、IR 8011 に関心を持つコミュニティが設立された場合、参加することに興味がありますか?(参加する場合は、連絡先をご記入ください)。
・What are opportunities for improvement? ・改善の余地はありますか?
・Any other feedback on: ・その他、以下の点についてご意見はありますか?
・・Updates to the IR 8011 methodology ・・IR 8011 方法論の更新
・・Updates to the IR 8011 terminology and general language ・・IR 8011 用語および一般言語の更新
・・Typos and errors ・・誤字脱字
Following the feedback received on this call for comments, the NIST RMF Team plans to issue a final version of IR 8011v1r1. If major changes to the ipd are necessary, a final public draft may be issued for another round of public comment before the publication is finalized. The intent is to publish guidance that can help operationalize the IR 8011 methodology. 本意見募集で寄せられたフィードバックを踏まえ、NIST RMF チームは IR 8011v1r1 の最終版を発行する予定である。 IR 8011 の大幅な変更が必要な場合は、最終版を発行する前に、最終パブリックドラフトを発行して、再度パブリックコメントを募集する場合がある。 IR 8011 の手法を運用化する上で役立つ指針を発行することが目的である。
Abstract 要約
According to the NIST Risk Management Framework (RMF) methodology, SP 800-53 security and privacy controls are selected, implemented, assessed, and monitored to help achieve security and privacy objectives. Due to the sheer size, complexity, and scope of information technology footprints, the automation of control assessment and monitoring tasks is desired but not easily achieved. IR 8011 provides a method for identifying SP 800-53 controls that can be tested via automated means based on the assessment objectives and potential assessment methods in SP 800-53A. The IR 8011 methodology also includes a process for developing the actual tests for each testable control. This first volume in the IR 8011 multi-volume series introduces foundational concepts — including the concept of security capability for continuous monitoring — and describes each step of the IR 8011 methodology. This revision includes a new section on the envisioned operationalization of IR 8011 for the development and adoption of potential solutions. Subsequent volumes in the IR 8011 series provide a sample set of testable controls and automatable tests for specific security capabilities for continuous monitoring. NISTリスクマネジメント枠組み(RMF)の方法論に従い、セキュリティおよびプライバシーの目的を達成するために、SP 800-53のセキュリティおよびプライバシー管理策が選択、実装、アセスメント、および監視される。情報テクノロジーの規模、複雑性、および適用範囲の広さにより、コントロールの評価とモニタリングのタスクの自動化が望まれているが、容易に実現できるものではない。IR 8011は、SP 800-53Aのアセスメントの目的と潜在的なアセスメントの方法に基づいて、自動化された手段でテストできるSP 800-53のコントロールを識別する方法を提供する。IR 8011の方法論には、テスト可能な各管理策に対する実際のテストを開発するプロセスも含まれている。IR 8011の複数巻シリーズの第1巻では、基礎となる概念(継続的なモニタリングのためのセキュリティ能力の概念を含む)を紹介し、IR 8011の方法論の各ステップを説明している。今回の改訂では、潜在的なソリューションの開発と採用に向けたIR 8011の運用化構想に関する新しいセクションが追加されている。IR 8011シリーズの今後の刊行物では、継続的なモニタリングのための特定のセキュリティ能力について、テスト可能な管理策と自動化可能なテストのサンプルセットを提供する。

 

 

Executive Summary エグゼクティブサマリー
1. IR 8011 Overview  1. IR 8011の概要 
1.1. Background 1.1. 背景
1.2. Purpose and Scope 1.2. 目的と範囲
1.3. Target Audience 1.3. 対象読者
1.4. IR 8011 Series Organization 1.4. IR 8011シリーズの構成
2. IR 8011 Fundamentals 2. IR 8011の基本
2.1. How to Use IR 8011 2.1. IR 8011 の使用方法
2.2. When to Use IR 8011 2.2. IR 8011 の使用タイミング
2.3. Foundational Concepts 2.3. 基本概念
2.3.1. Boundaries 2.3.1. 境界
2.3.2. Security Capabilities for Continuous Monitoring 2.3.2. セキュリティの継続的なモニタリング機能
2.3.3. Sub-Capabilities 2.3.3. サブ機能
2.3.4. Adversarial Attack Step Model 2.3.4. 敵対的攻撃ステップモデル
2.3.4.1. Attack Step 2.3.4.1. 攻撃ステップ
2.3.4.2. Defend Step  2.3.4.2. 防衛ステップ 
2.3.5. Test Automation in IR 8011 2.3.5. IR 8011 におけるテスト自動化
2.3.5.1. Actual State 2.3.5.1. 現状
2.3.5.2. Desired State Specification 2.3.5.2. 望ましい状態の仕様
3. IR 8011 Methodology 3. IR 8011 メソッド
3.1. Objective #1: Sub-Capability Test Development 3.1. 目的 #1: サブ機能テストの開発
3.1.1. Identify Attack Steps  3.1.1. 攻撃ステップの識別 
3.1.2. Identify Defend Steps 3.1.2. 防衛手順の識別
3.1.3. Determine Sub-Capabilities 3.1.3. サブ能力の決定
3.1.4. Identify Control Items 3.1.4. 管理項目の識別
3.1.5. Identify Determination Statements 3.1.5. 決定文の識別
3.1.6. Create Sub-Capability Tests 3.1.6. サブ能力テストの作成
3.1.6.1. Sub-Capability Test Types 3.1.6.1. サブ能力テストの種類
3.1.6.2. Data Quality Measures 3.1.6.2. データ品質測定
3.1.6.3. Sub-Capability Test Creation 3.1.6.3. サブ能力テストの作成
3.1.6.4. Sub-Capability Test Non-Conformance 3.1.6.4. サブキャパシティテストの不適合
3.1.6.5. Root Cause Analysis 3.1.6.5. 根本原因分析
3.2. Objective #2: Capability Control Identification 3.2. 目標 #2:能力統制の識別
3.2.1. Identify Testable Controls 3.2.1. テスト可能な管理策の識別
3.2.2. Group Testable Controls 3.2.2. テスト可能な管理策のグループ化
3.3. Methodology Summary 3.3. 方法論のまとめ
4. Conceptual IR 8011 Implementation and Considerations 4. 概念的な IR 8011 の実装と考慮事項
4.1. IR 8011 Solution Developer's Perspective  4.1. IR 8011 ソリューション開発者の視点 
4.1.1. Build a Custom IR 8011 Solution  4.1.1. カスタムIR 8011ソリューションの構築 
4.1.1.1. Design for Automated Control Testing 4.1.1.1. 自動統制テストの設計
4.1.1.2. Determine Necessary Data Sources. 4.1.1.2. 必要なデータソースの決定。
4.1.1.3. Define Data Relationships. 4.1.1.3. データ関係の定義。
4.1.1.4. Define Solution Functionalities 4.1.1.4. ソリューション機能の定義
4.1.1.5. Analysis and Reporting  4.1.1.5. 分析とレポート 
4.1.1.6. Develop, Use, and Maintain an IR 8011 Database. 4.1.1.6. IR 8011 データベースの開発、使用、および維持
4.1.1.7. Control Search (via Keywords) 4.1.1.7. (キーワードによる)統制検索
4.1.2. Integrate IR 8011 Sub-Capability Tests into Existing Solutions 4.1.2. IR 8011 サブ機能テストを既存のソリューションに統合する
4.1.3. Derive Sub-Capability Tests Outside of IR 8011 Scope 4.1.3. IR 8011 の適用範囲外のサブ機能テストの導出
4.1.4. Control Testing as a Service 4.1.4. コントロール・テスト・アズ・ア・サービス
4.2. IR 8011 Solution Adopter's Perspective 4.2. IR 8011 ソリューション採用者の視点
4.2.1. Roles and Responsibilities 4.2.1. 役割と責任
4.2.2. Buy or Build Considerations  4.2.2. 購入または構築の検討事項 
4.2.3. Support for Internal Automated Control Testing 4.2.3. 内部自動コ統制テストの支援
4.2.4. Support for External Independent Automated Control Testing 4.2.4. 外部の独立した自動統制テストの支援
4.2.5. Integration Into Existing Continuous Monitoring Programs 4.2.5. 既存の継続的モニタリングプログラムへの統合
4.3. Understanding Limitations to IR 8011 Operationalization 4.3. IR 8011 の運用上の制限事項の理解
4.4. Implementation Validation 4.4. 実装の妥当性確認
References 参考文献
Appendix A. Glossary 附属書 A. 用語集
Appendix B. List of Abbreviations and Acronyms  附属書 B. 略語および頭字語の一覧 
Appendix C. NIST RMF-Related Publications and Their Relationships to IR 8011 附属書 C. NIST RMF 関連の出版物と IR 8011 との関係
Appendix D. Benefits of Breaking Down Security Capabilities Into Elements 附属書 D. セキュリティ機能を要素に分解することの利点
D.1. Supports the Strong Systems Engineering of Security Capabilities D.1. セキュリティ機能の強力なシステムエンジニアリングをサポートする
D.2. Supports Guidance for Control Selection  D.2. 統制の選択に関する指針をサポートする
D.3. Simplifies Understanding of the Overall Protection Process D.3. 全体的な防御プロセスの理解を単純化する
D.4. Enables Testing of Control Outcomes at a Higher Level Than Individual Controls D.4. 個々の統制よりも高いレベルで統制の結果をテストすることを可能にする
D.5. Improves Risk Management by Measuring Control Outcomes D.5. 統制の結果を測定することでリスクマネジメントを改善する
D.6. Helps Organizations Address Organizational, Mission, and Business Risks  D.6. 組織が組織、ミッション、およびビジネスリスクに対処するのを支援する
Appendix E. Considerations for IR 8011 Implementation Validation 附属書 E. IR 8011 実施妥当性確認に関する考慮事項
Appendix F. Change Log 附属書 F. 変更履歴

 

 

Executive Summary  エグゼクティブサマリー 
This NIST Internal Report (IR) provides a methodology for using automation to test the implementation of NIST Special Publication (SP) 800-53 security and privacy controls in support of security capabilities for continuous monitoring. Security capabilities represent foundational defense capabilities against potential cyber attacks to systems and organizations. The IR 8011 methodology explores these security capabilities using an attack step model for the purpose of identifying more detailed and specific capabilities, called sub-capabilities, that can be tested. Subsequent volumes in this multi-volume series, published separately, present a sample collection of sub-capabilities, sub-capability tests, and associated controls that support specific security capabilities, one capability per volume. All volumes in the IR 8011 series provide a blueprint for the development and adoption of a potential IR 8011 solution.  この NIST 内部報告書(IR)は、自動化を使用して NIST 特別刊行物(SP)800-53 のセキュリティおよびプライバシー管理策の実施をテストし、セキュリティ能力をサポートしてセキュリティの継続的なモニタリングを行うための方法論を提供する。セキュリティ機能は、システムや組織に対する潜在的なサイバー攻撃に対する基本的な防御機能である。IR 8011の方法論では、テスト可能なより詳細かつ具体的な機能(サブ機能と呼ばれる)を識別することを目的として、攻撃ステップモデルを使用してこれらのセキュリティ機能を調査する。この複数巻シリーズの続巻は、個別に発行され、特定のセキュリティ機能をサポートするサブ機能のサンプルコレクション、サブ機能テスト、および関連制御を、巻ごとに1つの機能ごとに提示する。IR 8011シリーズのすべてのボリュームは、潜在的なIR 8011ソリューションの開発と採用に向けた青写真を提供する。
The IR 8011 methodology was designed to be used with the NIST Risk Management Framework (RMF), specifically in support of the Assess and Monitor steps. Each control in the SP 800-53 control catalog has an associated assessment procedure in SP 800-53A, which is leveraged for the development of sub-capability tests. It is possible to apply the IR 8011 methodology using controls other than those from the SP 800-53 catalog following a different framework or methodology as long as controls have associated assessment procedures. The assessment procedures provide the necessary determination statements to support the development of sub-capabilities tests.  IR 8011の方法は、特に「評価」と「監視」のステップをサポートする目的で、NISTリスクマネジメント枠組み(RMF)と併用できるように設計されている。SP 800-53の管理カタログに記載されている各管理には、SP 800-53Aに関連するアセスメント手順が記載されており、これはサブ能力テストの開発に活用される。SP 800-53 カタログ以外のコントロールを使用して、異なる枠組みや方法論に従って IR 8011 の方法論を適用することも可能である。ただし、コントロールに関連するアセスメント手順が存在することが条件となる。アセスメント手順は、サブ能力テストの開発をサポートするのに必要な判定文を提供する。
This major revision to IR 8011, Volume 1, preserves the original methodology first introduced in 2017 and focuses on improving the way in which the methodology is presented to facilitate understanding of the foundational concepts and the purpose of the methodology. Key terms and visual aids, such as diagrams and other graphics, were updated to better describe IR 8011 processes and their elements. A dedicated section on an envisioned IR 8011 operationalization has been added to provide conceptual implementation examples and considerations for IR 8011 solution developers and adopters. These examples are intended to illustrate how IR 8011 concepts work to strengthen the understanding of the methodology and facilitate implementation. IR 8011 第1巻のこの大幅な改訂では、2017年に初めて導入された当初の方法論を維持し、方法論の基礎となる概念と目的の理解を促進するために、方法論の提示方法を改善することに重点が置かれている。 重要な用語や、図やその他のグラフィックなどの視覚資料は、IR 8011のプロセスとその要素をより適切に説明するために更新された。IR 8011 の運用化に関する想定される専用セクションが追加され、IR 8011 ソリューションの開発者および採用者向けに概念的な実装例と考慮事項が提供されている。これらの例は、IR 8011 の概念がどのように機能し、方法論の理解を深め、実装を促進するかを説明することを目的としている。

 

 

1. IR 8011 Overview  1. IR 8011 の概要 
1.1. Background  1.1. 背景 
The IR 8011 methodology was designed to work with the NIST Risk Management Framework (RMF) and supporting technical publications,9 including the [SP800-53] control catalog, [SP800-53A] control assessment guidance and procedures, [SP800-53B] control baselines, and [SP800-137] continuous monitoring concepts.  IR 8011 手法は、NIST リスクマネジメント枠組み(RMF)および、[SP800-53] 統制カタログ、[SP800-53A] 統制アセスメントの指針および手順、[SP800-53B] 統制ベースライン、[SP800-137] 継続的モニタリングの概念を含む技術文書9をサポートするものとして設計された。
9 See Appendix C for a listing of NIST RMF-related publications and their relationships to IR 8011. 9 NIST RMF 関連の出版物および IR 8011 との関係については、附属書 C を参照のこと。
An essential aspect of the NIST RMF is the use of security and privacy controls to safeguard information handled by an organizational system and ensure that security and privacy objectives are met. These controls are assessed and monitored periodically to verify that they are in place, operating as expected, and meeting security and privacy objectives.  NIST RMF の重要な要素は、組織のシステムが取り扱う情報を保護し、セキュリティおよびプライバシーの目標が確実に達成されるようにするためのセキュリティおよびプライバシー管理策の使用である。これらの管理策は、適切に導入され、期待通りに運用され、セキュリティおよびプライバシーの目標を達成していることを検証するために、定期的にアセスメントおよびモニタリングされる。
Monitoring all selected controls as frequently10 as needed using manual methods is impractical and unrealistic for most organizations due to the sheer size, complexity, and scope of their information technology footprint. The rapid deployment of new technologies may spawn new risks that make the manual or procedural monitoring of controls unattainable for many organizations.  ほとんどの組織では、情報技術の規模、複雑さ、範囲が大きすぎるため、手動の方法で必要な頻度10で選択したすべての統制を監視することは非現実的であり、不可能である。新しい技術の急速な展開により、多くの組織では手動または手順による統制の監視が不可能になるという新たなリスクが生じる可能性がある。
10 The frequency is enough to maintain ongoing awareness of control effectiveness. 10 この頻度は、統制の有効性に対する継続的な認識を維持するのに十分である。
Control assessment objectives for items in the base control and control enhancements, referred to as control items, are provided in [SP800-53A]. The potential assessment methods examine, interview, and/or test (see Table 1), are used to compare the actual state (i.e., what is in place; see Sec. 2.3.5.1) against the desired state specification (i.e., what is expected to be implemented; see Sec. 2.3.5.2). The organization uses the results of the assessments — regardless of the method used — to support the determination of control existence, functionality, correctness, and completeness, as well as the potential for improvement over time. 基本統制および統制強化の項目(統制項目と呼ばれる)の統制アセスメントの目的は、[SP800-53A]に記載されている。潜在的なアセスメント方法である調査、インタビュー、および/またはテスト(表1参照)は、実際の状態(すなわち、現状のもの、すなわち、セクション2.3.5.1参照)と望ましい状態の仕様(すなわち、実装が期待されるもの、すなわち、セクション2.3.5.2参照)を比較するために使用される。組織は、使用した方法に関わらず、アセスメントの結果を、統制の存在、機能性、正確性、完全性、および将来的な改善の可能性を判断する根拠として使用する。
Table 1. Potential assessment methods [SP800-53A]  表1. 潜在的なアセスメント方法 [SP800-53A] 
Method : Definition  方法:定義 
Examine : The process of checking, inspecting, reviewing, observing, studying, or analyzing one or more assessment objects to facilitate understanding, achieve clarification, or obtain evidence.  調査:理解を深め、明確化を図り、または証拠を入手するために、1つまたは複数のアセスメント対象を検査、点検、レビュー、観察、調査、または分析するプロセス。 
Interview : The process of conducting discussions with individuals or groups within an organization to facilitate understanding, achieve clarification, or lead to the location of evidence.   インタビュー:理解を深め、明確化を図り、または証拠の所在を突き止めるために、組織内の個人またはグループと話し合いを行うプロセス。 
Test 11: The process of exercising one or more assessment objects under specified conditions to compare actual with expected behavior.  テスト 11:特定の条件下で1つまたは複数のアセスメント対象を実行し、実際の動作と期待される動作を比較するプロセス。
11 The implementation of a continuous monitoring program considers the test assessment method whenever it is applicable. Use of the automated test method may provide more accurate and repeatable results when constructed and implemented correctly. It is more difficult to automate the examine and interview assessment methods, which require more complex systems to enable capture and accurate interpretation of the input (from examination of artifacts and interviews). Organizations might employ the examine and/or interview methods for root cause analysis (see Sec. 3.1.6) of other than satisfied controls or if greater assurance, depth, or coverage is needed. 11 継続的なモニタリングプログラムを実施する際には、適用可能な場合は常にテストアセスメント方法を考慮する。自動テスト方法を使用すると、正しく構築および実施された場合には、より正確で再現性のある結果が得られる可能性がある。 テストおよびインタビューによるアセスメント方法を自動化することはより難しく、入力(アーティファクトの調査やインタビューによる)の取得と正確な解釈を可能にするには、より複雑なシステムが必要となる。 組織は、満足のいく統制以外の根本原因分析(第3.1.6項参照)や、より高い保証、深度、または網羅性が必要な場合、テストおよび/またはインタビューによる方法を採用することがある。
1.2. Purpose and Scope  1.2. 目的と適用範囲
The IR 8011 series offers an approach for automating control testing to support continuous monitoring that focuses on the test assessment method [SP800-53A] as the method with most potential for automation in support of the RMF Assess and Monitor steps. IR 8011 supports the testing of controls using automation, which is beyond the scope of SP 800-53A.12 IR 8011 is not about automating the implementation of security and privacy controls (RMF Implement step). This volume introduces fundamental concepts and proposes a methodology for creating automatable tests for monitoring SP 800-53 controls by leveraging the determination statements in SP 800-53A13 assessment procedures as the basis for the tests. These tests are traced to specific continuous monitoring security capabilities14, which are groups of controls with a common defense purpose. The key elements of the IR 8011 methodology are illustrated in Fig. 1, from the development of sub-capability15 tests to the identification of testable controls with a shared common purpose for a specific security capability. IR 8011 シリーズは、RMF のアセスメントおよびモニタリング手順をサポートする自動化の可能性が最も高い方法として、テスト評価方法[SP800-53A]に焦点を当てた継続的なモニタリングをサポートする、統制テストの自動化アプローチを提供する。IR 8011 は、SP 800-53A の適用範囲を超える自動化による統制のテストをサポートする。IR 8011 は、セキュリティおよびプライバシー統制の実施(RMF 実施ステップ)の自動化に関するものではない。本書では、SP 800-53A13 のアセスメント手順における決定文をテストの基礎として活用し、SP 800-53 の管理策を監視するための自動化可能なテストを作成するための基本的な概念と方法論を提案している。これらのテストは、特定の継続的なセキュリティのモニタリング能力14、すなわち共通の防御目的を持つ管理策のグループにまで遡ることができる。IR 8011 方法論の主要な要素は、サブ能力15テストの開発から、特定のセキュリティ能力に対する共通の目的を持つテスト可能な統制の特定に至るまで、図1に示されている。
12 [SP800-53A] states that “detailed scripts may need to be developed for the specific operating system, network component, middleware, or application employed within the system to adequately assess certain characteristics of a particular security or privacy control. Such test scripts are at a lower level of detail than provided by the assessment procedures contained in SP 800-53A and are beyond the scope of SP 800-53A.” 12 [SP800-53A] では、「特定のセキュリティまたはプライバシー管理の特性を適切に評価するために、システム内で使用される特定のオペレーティングシステム、ネットワークコンポーネント、ミドルウェア、またはアプリケーションについて、詳細なスクリプトを開発する必要がある場合がある。このようなテストスクリプトは、SP 800-53A に記載されているアセスメント手順で提供されるものよりも詳細度が低く、SP 800-53A の適用範囲を超える」と述べている。
13 Although these tests derive from SP 800-53A assessment procedures that have been designed to assess SP 800-53 controls, IR 8011 is primarily a continuous monitoring initiative. 13 これらのテストは、SP 800-53 コントロールを評価するために設計された SP 800-53A アセスメント手順に由来するものであるが、IR 8011 は主に継続的なモニタリングのイニシアティブである。
14 Security capabilities are discussed in more detail in Sec. 2.3. 14 セキュリティ能力については、セクション 2.3 でさらに詳しく説明する。
15 Sub-capabilities are discussed in more detail in Sec. 2.3. 15 サブ能力については、セクション 2.3 でさらに詳しく説明する。
Section 3 describes each element in Fig. 1 and their contributions toward meeting the methodology’s two main objectives:  第3項では、図1の各要素と、方法論の2つの主要目的の達成に向けた貢献について説明する。
1. Sub-capability test development  1. サブ能力テストの開発 
2. Capability control identification  2. 能力統制の特定 
These objectives are highlighted by the arrows in Fig. 2 and described in detail in Sec. 3.1 and Sec. 3.2. これらの目的は図2の矢印で強調されており、セクション3.1およびセクション3.2で詳細に説明されている。

 

1_20250306061501

 

 

 

対象読者...

1.3. Target Audience  1.3. 対象読者 
The primary target audience for this publication are the two groups involved with the potential implementation of an automated control testing solution in support of an organization’s continuous monitoring program: solution developers/providers and adopters.   この文書の主な対象読者は、組織の継続的モニタリングプログラムを支援する自動統制テストソリューションの導入を検討している2つのグループ、すなわちソリューション開発者/プロバイダと採用者である。 
Solution developers/providers  ソリューション開発者/プロバイダ 
Solution developers or providers are the actual implementers of the IR 8011 methodology.  ソリューション開発者またはプロバイダは、IR 8011 方法論を実際に導入する立場にある。
They take the IR 8011 blueprints and package test functionalities into a product or solution. Solution providers are system integrators and/or service providers that offer solutions based on the methodology provided in this overview volume to solution adopters, whether as a stand-alone solution or integrated into another product. The automated control testing strategy used by the organization may leverage commercial off-the-shelf, community-built, in-house developed products, or any combination of the three. An IR 8011 solution could be, for instance, an add-on feature to an existing security management application, such as a Governance, Risk, and Compliance (GRC) application.  IR 8011 の設計図を基に、テスト機能を製品またはソリューションにパッケージ化する。ソリューションプロバイダは、システムインテグレータおよび/またはサービスプロバイダであり、この概要で提供されている方法論に基づくソリューションを、ソリューション採用者に単独ソリューションとして、または他の製品に統合した形で提供する。組織が使用する自動制御テスト戦略は、市販の既製品、コミュニティで構築された製品、社内開発製品、またはこれら3つの組み合わせを活用することができる。IR 8011ソリューションは、例えば、ガバナンス、リスク、コンプライアンス(GRC)アプリケーションなどの既存のセキュリティ管理アプリケーションへの追加機能として実装することができる。
Solution adopters  ソリューションの採用者
Solution adopters are the users or consumers of the product or service solution. Adopters may also be the entity that commissions custom IR 8011 solutions, whether developed inhouse or externally contracted. Within the solution-adopting organization, there are additional roles that are identified for a specific security capability, such as operational and managerial roles for a capability (e.g., Device Manager [DM]; Desired State Managers and Authorizers [DSM]; Risk Executive, System Owner, and/or Authorizing Official [RiskExec]). These roles complement existing SP 800-37-defined risk management responsibilities and continuous monitoring operational responsibilities. The capability-specific roles are identified in each capability-specific volume.  ソリューションの採用者は、製品またはサービスソリューションのユーザーまたは消費者である。採用者は、カスタム IR 8011 ソリューションを委託する事業体である可能性もあり、そのソリューションは社内開発または外部委託のいずれかである。ソリューションを採用する組織内には、特定のセキュリティ機能ごとに識別される追加の役割があり、例えば、機能の運用および管理の役割(例えば、デバイス管理者(DM)、望ましい状態管理者および認可者(DSM)、リスクエグゼクティブ、システム所有者、および/または認可当局者(RiskExec)など)がある。これらの役割は、SP 800-37で定義された既存のリスクマネジメント責任および継続的な監視の運用責任を補完するものである。能力に特化した役割は、各能力に特化したボリュームで識別される。
A potential third group may or may not be involved with the actual operationalization (implementation) of the IR 8011 methodology: cybersecurity researchers.   潜在的な第3のグループは、IR 8011の方法論の実際の運用化(実装)に関与する場合も、関与しない場合もある。サイバーセキュリティ研究者。 
Cybersecurity researchers  サイバーセキュリティ研究者 
Cybersecurity researchers16 constitute a potential third audience group due to the existence of opportunities for further research related to the IR 8011 methodology. Cybersecurity research can contribute to the growth and expansion of the IR 8011 methodology with increased speed and accuracy in mind. For example, research into the use of machine learning and natural language processing to identify control items17 based on context or description could improve the control search process by not relying on the developer to elaborate keywords and the logic behind the keyword search rules. Reliance on an individual’s knowledge of a control or a control catalog may result in inaccurate or incomplete identification of controls and limit the full potential of the IR 8011 methodology. This third audience group is not necessarily defined to support NIST’s research on improving the IR 8011 methodology, although comments on the methodology are always welcomed. Cybersecurity researchers can be embedded within solution development or adoption teams and contribute problem-solving and innovations that pertain to the development or implementation of an IR 8011 solution.   サイバーセキュリティ研究者16は、IR 8011 方法論に関連するさらなる研究の機会が存在するため、潜在的な第3の対象グループとなる。サイバーセキュリティ研究は、より迅速かつ正確なことを念頭に、IR 8011 方法論の成長と拡大に貢献できる。例えば、文脈や記述に基づいて統制項目を識別する機械学習や自然言語処理の使用に関する研究は、開発者がキーワードやキーワード検索規則の背後にあるロジックを詳しく説明することに頼らずに、統制の検索プロセスを改善できる可能性がある。統制に関する個人の知識や統制カタログに頼ることは、統制の識別が不正確または不完全になる可能性があり、IR 8011 方法論の潜在能力を十分に発揮できない可能性がある。この第3の対象グループは、必ずしもNISTによるIR 8011手法の改善に関する研究を支援するために定義されたものではないが、手法に関するコメントは常に歓迎される。 サイバーセキュリティの研究者は、ソリューションの開発または導入チームに組み込まれ、IR 8011ソリューションの開発または実装に関連する問題解決やイノベーションに貢献することができる。 
16  This refers to cybersecurity researchers outside of NIST.  16 これは、NIST以外のサイバーセキュリティ研究者に関するものである。 
17  The control item identification process is discussed in Sec. 3.1.4.  17 管理項目の識別プロセスについては、セクション3.1.4で説明されている。
All target audience groups are encouraged to collaborate and communicate requirements, requirement specifications, maintenance and support strategies, and other development and acquisition concerns to ensure adherence to any applicable organizational requirement for managing security and privacy risks. This may include determining how the solution developers or solution providers keep up with NIST updates to SP 800-53 controls and SP 800-53A assessment procedures and how the products or solutions are kept up to date.  セキュリティおよびプライバシーリスクの管理に関する組織の要件を確実に満たすため、すべての対象グループは、要件、要件仕様、保守およびサポート戦略、その他の開発および取得に関する懸念事項について、協力しコミュニケーションを図ることが推奨される。これには、ソリューション開発者またはソリューションプロバイダが、NISTによるSP 800-53管理およびSP 800-53Aアセスメント手順の更新にどのように対応しているか、また、製品またはソリューションがどのように最新の状態に保たれているかを判断することが含まれる。
Individuals who are responsible for the design, development, and implementation of continuous monitoring and control assessment processes may also find interest in the IR 8011 series, including those in the following roles:  継続的な監視および制御アセスメントプロセスの設計、開発、実装を担当する個人も、IR 8011シリーズに関心を持つ可能性がある。以下のような役割の個人も含まれる。
• Solution development and integration (e.g., software developers, service providers)  • ソリューションの開発および統合(例:ソフトウェア開発者、サービスプロバイダ) 
• System development and integration (e.g., program managers, system developers, system integrators, enterprise architects, security and privacy architects)  • システム開発および統合(例:プログラムマネージャー、システム開発者、システムインテグレーター、エンタープライズアーキテクト、セキュリティおよびプライバシーアーキテクト)
• System management (e.g., senior leaders, risk executives, authorizing officials, chief information officers, chief information security officers, chief privacy officers, system owners, security and privacy officers, data managers)  • システム管理(例:上級リーダー、リスク管理責任者、認可当局者、最高情報責任者、最高情報セキュリティ責任者、最高プライバシー責任者、システムオーナー、セキュリティおよびプライバシー担当責任者、データ管理者) 
• Control assessment and monitoring (e.g., system evaluators, control assessors, control assessment teams, independent verification and validation assessors, auditors, testers, security operations center personnel)  • 統制の評価およびモニタリング(例:システム評価者、統制アセスメント担当者、統制アセスメントチーム、独立検証および妥当性確認アセスメント担当者、監査人、テスター、セキュリティ・オペレーション・センター職員) 
• Security and privacy control implementation and operations (e.g., system owners; common control providers; information owners or stewards; mission and business process owners; security and privacy architects; security and privacy engineers; security and privacy officers; system, network, database, or application administrators)  • セキュリティおよびプライバシー管理の実施と運用(例:システム所有者、共通管理プロバイダ、情報所有者またはスチュワード、ミッションおよびビジネスプロセスの所有者、セキュリティおよびプライバシーアーキテクト、セキュリティおよびプライバシーエンジニア、セキュリティおよびプライバシーオフィサー、システム、ネットワーク、データベース、またはアプリケーションの管理者) 
• Information technology modernization (e.g., chief modernization officers, chief transformation officers, continuous process improvement managers or specialists)  • 情報技術の近代化(例:最高近代化責任者、最高変革責任者、継続的プロセス改善マネージャーまたは専門家) 

 

 

 

20250306-62515

 

 

20250306-64235

 

1_20250306065201

 

 

ちなみに現在のバージョンは...

IR 8011 Automation Support for Security Control Assessments セキュリティ管理策アセスメントの自動化サポート 発行日
  Vol. 1 Volume 1: Overview 第1巻:概要 2017.06.06
  Vol. 2 Volume 2: Hardware Asset Management 第2巻:ハードウェア資産管理 2017.06.06
  Vol. 3 Software Asset Management ソフトウェア資産管理 2018.12.06
  Vol. 4 Software Vulnerability Management ソフトウェア脆弱性管理 2020.04.28

 

 


 

 

まるちゃんの情報セキュリティ気まぐれ日記

IR 8011

・2023.12.11 NIST CSWP 30 コントロール・アセスメントの自動化支援プロジェクトの最新情報とビジョン

・2023.02.26 NIST 「NISTIR 8011 Vol.1. セキュリティコントロールアセスメントの自動化支援:第1巻:概要」についての意見募集

 

 

| | Comments (0)

2025.03.05

米国 NIST IR 8532 サプライチェーン全体におけるデバイスおよびコンポーネントのセキュリティ強化に関するワークショップ (2025.02.18)

こんにちは、丸山満彦です。

2024.02.27に開催されたサプライチェーン全体におけるデバイスおよびコンポーネントのセキュリティ強化に関するワークショップの要約です...

2024.08.14にドラフトが公表されていたものの、確定版です...

 

サプライチェーンセキュリティ。。。というと

(1) ソフトウェア・ハードウェアの製造過程で意図しないプログラム、部品を混入されるリスク

(2) ソフトウェア・ハードウェアに関する技術情報等を受託関係の中で窃取されるリスク(委託関係の中の技術情報保護)

(3) 事業における受託関係の中でサプライヤー等がシステム障害等により事業がとまり、サプライチェーン全体に影響が及ぶレジリエンス・リスク(委託関係の中のレジリエンス)

の3つがあるように感じているのですが、これは (1) に関する話です。

日本では、サプライチェーンリスクというと (2) (3) の話が多いように感じます。。。

 

● NIST - ITL

・2025.02.18 NIST IR 8532 Workshop on Enhancing Security of Devices and Components Across the Supply Chain

 

・[PDF] NIST.IR.8532

20250305-183318

 

図1. マイクロエレクトロニクスのセキュリティ確保のためのコンポーネント

1_20240816053601

 


 

ドラフト時...

まるちゃんの情報セキュリティ気まぐれ日記

・2024.08.16 米国 NIST IR 8532(初期公開ドラフト)サプライチェーン全体におけるデバイスおよびコンポーネントのセキュリティ強化に関するワークショップ

 

 

| | Comments (0)

スイス Cookie等を使用したデータ処理に関するガイドライン (2025.02.03)

こんにちは、丸山満彦です。

スイスの連邦データ保護・情報委員会が、Cookieやその類似技術を使用したデータ処理に関するガイドラインを発表していますね...

 

Swiss Federal Dataprotection and Information Commissioner

・2025.02.03 Guidelines published on data processing using cookies

Guidelines published on data processing using cookies Cookieを使用したデータ処理に関するガイドラインを発表
The FDPIC has published guidelines on data processing using cookies and similar technologies. The guidelines, which are aimed at a specialist audience, describe the data protection requirements for the use of cookies and similar technologies by private controllers, with specific references to the special provisions applicable to federal bodies. The Commissioner derives these requirements from the Federal Data Protection Act (FADP SR 235.1), the Data Protection Ordinance (DPO SR 235.11), the data protection provisions of special federal legislation, as well as from the case law of the Federal Supreme Court, the relevant schools of thought and his previous supervisory practice. FDPICは、Cookieおよび類似技術を使用したデータ処理に関するガイドラインを発表した。このガイドラインは専門家向けのもので、連邦団体に適用される特別規定を特に参照しながら、民間管理者によるクッキーおよび類似技術の使用に関するデータ保護要件を説明している。連邦データ保護委員は、これらの要件を連邦データ保護法(FADP SR 235.1)、データ保護条例(DPO SR 235.11)、連邦特別法のデータ保護規定、連邦最高裁判所の判例法、関連する学説、およびこれまでの監督業務から導き出している。
The guidelines are intended to explain to website operators and app providers how the FDPIC will continue his supervisory practice under the new law. このガイドラインは、FDPICが新法の下で監督業務をどのように継続していくかをウェブサイト運営者およびアプリプロバイダに説明することを目的としている。

 

・2925.02.26 [PDF

20250305-74655

・[DOCX][PDF] 仮訳

 

| | Comments (0)

公認会計士協会 「サステナビリティ報告に対する信頼の構築と保証への準備:サステナビリティ情報のためのガバナンスと内部統制」の翻訳(2025.02.27)

こんにちは、丸山満彦です。

公認会計士協会が、国際会計士連盟 (International Federation of Accountants:IFAC)が2024年12月に公表した”Building Trust in Sustainability Reporting and Preparing for Assurance: Governance and Controls for Sustainability Information”の翻訳
「サステナビリティ報告に対する信頼の構築と保証への準備:サステナビリティ情報のためのガバナンスと内部統制」を公表していますね...

公認会計士協会

・2025.02.27 サステナビリティ報告に対する信頼の構築と保証への準備:サステナビリティ情報のためのガバナンスと内部統制」の翻訳の公表について

・[PDF] サステナビリティ報告に対する信頼の構築と保証への準備:サステナビリティ情報のためのガバナンスと内部統制

20250304-231126

 

原文...

International Federation of Accountants:IFAC

・2024.12.19 Building Trust in Sustainability Reporting and Preparing for Assurance: Governance and Controls for Sustainability Information

 

・[PDF

IFAC-G~1.PDF

 

過去のサステナビリティ関係の記事...

・2024.05.14 金融庁 金融審議会「サステナビリティ情報の開示と保証のあり方に関するワーキング・グループ」

・2024.04.06 日本公認会計士協会 サステナビリティ報告・保証業務等に関するIESBA倫理規程改訂公開草案の翻訳

・2024.03.03 日本公認会計士協会 「サステナビリティ報告に対する信頼の構築:早急に求められる統合的内部統制」の翻訳 (2024.02.26)

・2023.12.13 経団連 IAASB公開草案 国際サステナビリティ保証基準 (ISSA) 5000「サステナビリティ保証業務の一般的要求事項」へのコメント (2023.12.01)

・2023.11.22 内部監査人協会 COSO『サステナビリティ報告に係る有効な内部統制(ICSR)の実現』の翻訳 (2023.10.04)

・2023.09.25 日本公認会計士協会 IAASB公開草案 国際サステナビリティ保証基準(ISSA)5000「「サステナビリティ保証業務の一般的要求事項」

・2023.06.15 IFAC サステナビリティ報告書の保証 (2023.05.31)

 

・2009.03.27 KPMGあずさサステナビリティ株式会社(あずさ監査法人グループ)のCSR報告書に対する独立第三者の審査報告書

・2007.02.23 日興コーディアル 中央青山PwCサスティナビリティ研究所及び新日本監査法人によるサスティナビリティ報告書に対する保証意見

・2005.10.24 環境報告書審査・登録制度が始まる

 

 

 

| | Comments (0)

欧州委員会 EUのサイバー危機調整を強化するための新たなサイバーセキュリティ青写真 (2024.02.24)

こんにちは、丸山満彦です。

欧州委員会が、EUのサイバー危機調整を強化するためのサイバーセキュリティ青写真を発表し、意見募集をしていますね。。。

提案の分野は...

I: EUサイバー危機管理枠組みの枠組み、範囲、原則
II: 連邦レベルのサイバー危機に備える
 (a) 状況認識と情報
 (b) 一般的な演習
 (c) DNS解決機能
 (d) リソース
III: サイバー危機に発展しかねないインシデントの検知
IV: 連邦レベルでのサイバー危機への対応
V: サイバー回復
VI: 安全なコミュニケーション
VII: サイバー危機と軍事アクターとの調整
VIII: 戦略的協力

 

European Commission

プレス...

Commission launches new cybersecurity blueprint to enhance EU cyber crisis coordination

Commission launches new cybersecurity blueprint to enhance EU cyber crisis coordination 欧州委員会、EUのサイバー危機調整を強化するための新たなサイバーセキュリティ青写真を発表
The Commission has presented a proposal to ensure an effective and efficient response to large-scale cyber incidents. 欧州委員会は、大規模サイバーセキュリティインシデントへの効果的かつ効率的な対応を確保するための提案を発表した。
The proposed blueprint updates the comprehensive EU framework for Cybersecurity Crisis Management and maps the relevant EU actors, outlining their roles throughout the entire crisis lifecycle. This includes preparedness and shared situational awareness to anticipate cyber incidents, and the necessary detection capabilities to identify them, including the response and recovery tools needed to mitigate, deter and contain those incidents. 提案された青写真は、サイバーセキュリティ危機管理のための包括的なEUの枠組みを更新し、EUの関係者をマッピングし、危機のライフサイクル全体を通してのそれぞれの役割を概説している。これには、サイバーインシデントを予期するための準備と状況認識の共有、インシデントを緩和、抑止、封じ込めるために必要な対応・復旧ツールを含む、インシデントを特定するために必要な検知能力が含まれる。
Henna Virkkunen, Executive Vice-President for Tech Sovereignty, Security and Democracy, said: ヘンナ・ヴィルクネン副総裁(技術主権・安全保障・民主主義担当)は、次のように述べた:
"In an increasingly interdependent Union economy, disruptions from cybersecurity incidents can have far-reaching impacts across various sectors. The proposed cybersecurity blueprint reflects our commitment to ensuring a coordinated approach, leveraging existing structures to protect the internal market and uphold vital societal functions. This Recommendation is a crucial step forward in reinforcing our collective cyber resilience." 「相互依存が高まる連合経済において、サイバーセキュリティインシデントによる混乱は、さまざまな部門に広範囲な影響を及ぼす可能性がある。提案されているサイバーセキュリティの青写真は、域内市場を保護し、重要な社会機能を維持するための既存の構造を活用し、協調的なアプローチを確保するという我々のコミットメントを反映している。この勧告は、我々の集団的なサイバーレジリエンスを強化する上で極めて重要な前進である。
The proposed plan builds on the existing frameworks, such as the Integrated Political Crisis Response and the EU Cyber Diplomacy Toolbox, while aligning with recently adopted initiatives, such as the Critical Infrastructure Blueprint and the network code on cybersecurity for the EU electricity sector. It proposes measures to strengthen collaboration between civilian and military entities, including NATO, while reflecting the objectives of the forthcoming EU preparedness strategy. Furthermore, this proposal promotes secure communication and strategic efforts to counter disinformation. 提案されている計画は、統合された政治的危機対応計画やEUサイバー外交ツールボックスといった既存の枠組みを基礎としつつ、重要インフラの青写真やEUの電力部門のサイバーセキュリティに関するネットワークコードといった最近採択されたイニシアティブとも整合している。また、NATOを含む文民と軍事の事業体間の協力を強化する方策を提案するとともに、EUの次期準備戦略の目標を反映させている。さらに、この提案は、安全なコミュニケーションと偽情報に対抗するための戦略的取り組みを促進するものである。
This also complements the Joint Communication of the Commission and the HRVP to strengthen the security and resilience of submarine cables, which Executive Vice-President Virkkunen presented in Helsinki on 21 February. この提案は、2月21日にヴィルクネン副委員長がヘルシンキで発表した、海底ケーブルの安全性とレジリエンスを強化するための欧州委員会とHRVPの共同コミュニケーションも補完するものである。
Read further information: 詳細はこちら:
The Cyber Blueprint - draft Council Recommendation サイバー青写真 - 欧州理事会勧告案
The EU Cybersecurity policies EUサイバーセキュリティ政策
Related topics 関連トピック
Cybersecurity サイバーセキュリティ
Related content 関連コンテンツ
Cyber Blueprint - Draft Council Recommendation サイバー青写真-理事会勧告ドラフト

 

・2025.02.24 Cyber Blueprint - Draft Council Recommendation

Cyber Blueprint - Draft Council Recommendation サイバー青写真-理事会勧告ドラフト
The objective of this draft Council Recommendation on the EU Blueprint for cybersecurity crisis management (Cyber Blueprint) is to present, in a clear, simple and accessible manner, the EU framework for cyber crisis management. サイバーセキュリティ危機管理のためのEU青写真(サイバー・青写真)に関するこの理事会勧告案の目的は、サイバー危機管理のためのEUの枠組みを明確かつシンプルで利用しやすい形で提示することである。
The Cyber Blueprint should enable relevant Union-actors (meaning Union-level individual entities and networks of entities) to understand how to interact and make the best use of available mechanisms across the full crisis management lifecycle. It aims to explain what a cyber crisis is and what triggers a cyber crisis mechanism at Union level. It explains the use of available mechanisms like the Cybersecurity Emergency Mechanism, including the EU Cybersecurity Reserve, in preparing how to manage, respond to and recover from a crisis arising from a large-scale cybersecurity incident. It furthermore aims to foster a more structured cooperation between civilian and military actors, including cooperation with North Atlantic Treaty Organisation (NATO), given that a large-scale cyber incident affecting Union civilian infrastructure on which the military rely may also activate NATO response mechanisms. サイバー青写真は、関連するEUの事業体(EUレベルの個々の事業体および事業体のネットワークを意味する)が、危機管理のライフサイクル全体にわたって、どのように相互作用し、利用可能なメカニズムを最大限に活用するかを理解できるようにすべきである。その目的は、サイバー危機とは何か、何が連邦レベルでのサイバー危機メカニズムの引き金となるのかを説明することである。大規模サイバーセキュリティインシデントから生じる危機をどのように管理し、対応し、回復するかを準備する上で、EUサイバーセキュリティリザーブを含むサイバーセキュリティ緊急メカニズムのような利用可能なメカニズムの利用について説明する。さらに、北大西洋条約機構(NATO)との協力を含め、文民と軍事の間のより構造的な協力関係を促進することも目的としている。これは、軍が依存しているEUの文民インフラに影響を及ぼす大規模なサイバーインシデントが、NATOの対応メカニズムも作動させる可能性があることを考慮したものである。
The Cyber Blueprint is a non-binding instrument which identifies specific actions for relevant actors in a cyber crisis and which can enhance the overall effectiveness of the cyber crisis management framework. It updates the blueprint set out in Commission Recommendation (EU) 2017/1584 on coordinated response to large-scale cybersecurity incidents and crises, and it is informed by the outcomes and lessons learned from Union-level exercises since that recommendation was adopted.  サイバー青写真は、サイバー危機における関連主体の具体的行動を特定し、サイバー危機管理枠組みの全体的有効性を高めることができる拘束力のない文書である。これは、大規模サイバーセキュリティインデントと危機への協調的対応に関する欧州委員会勧告(EU)2017/1584で定められた青写真を更新するものであり、同勧告が採択されて以来、欧州連合レベルの演習で得られた成果と教訓に基づくものである。

 

・[PDF] Cyber Blueprint - Proposal Council Recommendation

20250304-225849

・[DOCX][PDF] 仮訳

 

 

・[PDF] Cyber Blueprint - Proposal Council Recommendation - Annexes

20250304-230056

 

 

| | Comments (0)

2025.03.04

英国 サイバーエッセンシャルズ 小規模の弁護士事務所・新興技術企業への助成

こんにちは、丸山満彦です。

英国では、サイバーエッセンシャルズという英国政府((国家サイバーセキュリティセンター;NCSC)が主導するサイバーセキュリティの簡易な認証制度があります。これには2種類あって、自主宣言のものと、プラスといわれる第三者認証のあるものです。2014年から開始されています。。。

それぞれ、5万社弱、1万社弱の認証がおこなわれているようです。

現在、英国のNCSCが、小規模の弁護士事務所と新興技術企業に対して、サイバーエッセンシャル・プラスを達成するためのアドバイザーによる実践的なサポートを無料で提供すると公表していますね...(ただし、予算範囲内...)

この、無料支援サービスは、アドバイザーによる約20時間の遠隔サポートを受けることができるとのことです。組織の規模やニーズに合った改善を特定・実施し、サイバーエッセンシャルズの5つの技術的管理策の実施を支援してくれるようです。

日本のサプライチェーンのセキュリティ対策保護のための、認証制度を経産省で検討していますが、サイバーエッセンシャルズも参考にされていますが、普及啓発活動として、こういう活動も参考になりますね...

1_20240502191201

 

認証機関のウェブページ

IASME

1_20250304062801

Funded Cyber Essentials Programme

 

Funded Cyber Essentials Programme サイバー・エッセンシャル助成プログラム
What is the funded Cyber Essentials Programme? サイバー・エッセンシャル助成プログラムとは?
Small organisations from specific sectors in the UK are being invited to take part in the Funded Cyber Essentials Programme. 英国の特定分野の小規模組織は、資金提供付きサイバー・エッセンシャル・プログラムへの参加を呼びかけられている。
All modern businesses face a threat from cyber attack but some organisations have a particularly increased risk. This might be because they hold sensitive information about the people that they work with, or they are perceived as an easy target by cyber criminals. 現代の企業はすべてサイバー攻撃の脅威に直面しているが、特にリスクが高まっている組織もある。その理由としては、従業員に関する機密情報を保有していたり、サイバー犯罪者に狙われやすいと認識されていたりすることが挙げられる。
For those sectors most at risk, the NCSC is launching a Funded Cyber Essentials Programme. This scheme aims to provide vulnerable organisations with help to implement baseline security controls to prevent the most common types of cyber attack. NCSCは、最もリスクの高いセクターに対して、資金提供付きサイバー・エッセンシャルズ・プログラムを開始する。このスキームは、最も一般的なタイプのサイバー攻撃を防止するための基本的なセキュリティ対策を実施するための支援を脆弱性組織に提供することを目的としている。
Spaces on the programme are in high demand. このプログラムの参加枠は非常に需要が高い。
Please submit your expression of interest without delay as spaces will fill quickly and are not guaranteed. 参加枠はすぐに埋まり、保証はされないので、興味のある方はお早めに。
How does it work? プログラムはどのように行われるのか?
The programme will offer practical support from an Advisor to achieve Cyber Essentials Plus at no cost to the organisation. Please note, this does not include the cost of any additional software or hardware identified by the Advisor that is required to achieve Cyber Essential Plus. このプログラムでは、Cyber Essentials Plusを取得するためのアドバイザーによる実践的なサポートを、組織に対して無料で提供する。ただし、サイバー・エッセンシャル・プラスを達成するために必要な、アドバイザーによる追加のソフトウェアやハードウェアの費用は含まれない。
Qualifying organisations will receive around 20 hours of remote support with an Advisor. This time will be spent identifying and implementing improvements that are right for the size and needs of the organisation and supporting them in implementing the 5 Cyber Essentials technical controls. This will be followed by a hands-on technical verification that the controls have been put in place.  対象となる組織は、アドバイザーによる約20時間の遠隔サポートを受ける。この時間は、組織の規模やニーズに適した改善を特定・実施し、サイバー・エッセンシャル・テクニカル・コントロール5項目の実施をサポートするために費やされる。その後、技術的な検証が行われる。
If it is not possible for the organisation to achieve Cyber Essentials Plus, the Advisor will help organisations implement as many of the technical controls as possible and give the organisation a clear list of the additional actions they need to undertake to become compliant. The scheme is designed to lead an organisation through the technical controls required to achieve Cyber Essentials certification, followed by the audit for Cyber Essentials Plus. No previous cyber security certification or experience is necessary. 組織がサイバー・エッセンシャルズ・プラスを達成することが不可能な場合、アドバイザーは組織が可能な限り多くの技術的統制を実施するのを支援し、準拠するために実施すべき追加措置の明確なリストを組織に提供する。このスキームは、Cyber Essentials認証の取得に必要な技術的コントロールを通して組織を導き、その後Cyber Essentials Plusの審査を受けるように設計されている。サイバーセキュリティに関する資格や経験は必要ない。
Who is eligible for support? 誰がサポートの対象となるのか?
The Funded Cyber Essentials programme is open to all registered barristers or advocates and recognised barristers’ chambers or advocates’ stables that meet the below criteria; 資金提供によるサイバー・エッセンシャル・プログラムは、以下の規準を満たすすべての登録弁護士または弁護人、公認弁護士事務所または弁護人の厩舎に開かれている;
The applicant must be a practising barrister or advocate within the jurisdiction of the relevant governing authority (The Bar Council – England & Wales, Faculty of Advocates – Scotland and The Bar of Northern Ireland) 申請者は、関連する統治機関(The Bar Council - England & Wales, Faculty of Advocates - Scotland and The Bar of Northern Ireland)の管轄区域内で開業している法廷弁護士または擁護者でなければならない。
If the applicant is not a practising barrister or advocate, then they must be employed in a direct role within a chambers or a stable. The applicant must be in a role that provides support services to said chambers or stable (for example, practice manager, chambers manager, stable clerk, head of administration) 申請者が開業法廷弁護士または擁護者でない場合は、法廷または厩舎で直接雇用されていなければならない。申請者は、当該会議所または厩舎にサポートサービスを提供する職務(例えば、プラクティス・マネージャー、会議所マネージャー、厩舎事務員、管理責任者)
AND meet the following criteria: 以下の規準を満たす必要がある:
・must be a UK micro or small business (1 to 49 employees) ・英国の零細企業または中小企業(従業員数1~49名)であること
・has not previously participated in the NCSC Funded Cyber Essentials Programme ・NCSC Funded Cyber Essentials Programmeに過去に参加したことがないこと
・does not currently hold Cyber Essentials Plus (CE+) certification, has not been awarded CE+ certification since January 2024 and is not currently in the process of applying for CE+ certification ・現在Cyber Essentials Plus(CE+)認証を取得していないこと、2024年1月以降CE+認証を取得し ていないこと、現在CE+認証申請中でないこと
The Funded Cyber Essentials programme is also open to Emerging Technology organisations that meet the below criteria; Funded Cyber Essentialsプログラムは、以下の規準を満たすEmerging Technology組織にも開かれている。
To qualify for this scheme, companies must be a micro or small business (1 to 49 employees) registered in the UK and working on: このスキームの対象となるには、英国で登録された零細企業または中小企業(従業員数1~49名)であり、以下の業務に取り組んでいる必要がある:
Artificial Intelligence – The development of fundamental Artificial Intelligence (AI) technologies, OR the innovative application of Artificial Intelligence technologies in the following sectors: Public safety and health, Defence and security. 人工知能 - 基本的な人工知能(AI)技術の開発、または以下の分野における人工知能技術の革新的な応用: 公共の安全と健康、防衛と安全保障。
Quantum – The development of novel Quantum technologies. 量子 - 新規量子技術の開発。
Semiconductors – The design, development or manufacturing of semiconductors / semiconductor IP blocks. 半導体 - 半導体/半導体IPブロックの設計、開発、製造。
Engineering/Synthetic Biology – The development of Engineering Biology or Synthetic Biology. エンジニアリング/合成生物学 - エンジニアリング生物学または合成生物学の開発。
Advanced Materials – Companies involved in developing advanced materials that have enhanced properties and performance, often incorporating new compositions or structures to improve strength, durability, lightweight, or functionality for specific applications**. 先端材料 - 強度、耐久性、軽量性、機能性を向上させるための新しい組成や構造を特定の用途**に組み込むことで、特性や性能を向上させた先端材料の開発に携わる企業。
Advanced Robotics– Companies involved in the development of autonomous robotics that can perform complex tasks and adapt to novel environments using advanced technologies. 先進ロボット - 複雑な作業をこなし、先進技術を駆使して新しい環境に適応できる自律型ロボットの開発に携わる企業。
Fusion Energy – Companies involved in the development of methods and systems designed to harness the energy produced by nuclear fusion***. 核融合エネルギー - 核融合によって生み出されるエネルギーを利用するための方法やシステムの開発に携わる企業***。
Satellite and Space Technologies – Companies involved in the development, deployment, and utilisation of satellites and related systems for various applications, including communication, navigation, Earth observation, and scientific research. This may include satellite design, launch systems or ground control operations. 衛星・宇宙技術 - コミュニケーション、ナビゲーション、地球観測、科学研究など、さまざまな用途の衛星や関連システムの開発、展開、利用に携わる企業。これには、衛星の設計、打上げシステム、地上管制業務などが含まれる。
Specialist National Security Applications/Solutions – Companies must also be in one of the 17 defined sensitive areas of the economy covered by the Notifiable Acquisition Regulations under the National Security and Investment Act. Each application under this category will be considered on merit & a discretionary basis. 国家安全保障に特化したアプリケーション/ソリューション - 企業は、国家安全保障・投資法に基づく通知可能な取得規制の対象となる、17の定義された敏感な経済分野のいずれかに属していなければならない。このカテゴリーにおける各申請は、メリットと裁量に基づいて検討される。
Advanced Manufacturing – involves the use of innovative technologies (such as digital and automation tools), or advanced materials (such as composites), to enhance production processes and improve efficiencies. It may also involve the use of other technologies (AI, Robotics, Data Analytics) to provide improve manufacturing customisation processes and precision. 先進製造業 - 革新的な技術(デジタルツールや自動化ツールなど)や先進材料(複合材料など)を使用し、製造工程を強化し、効率を改善する。また、他の技術(AI、ロボット工学、データ分析)を使用して、製造工程のカスタマイズや精度の改善を行うこともある。
AND meet the following criteria: 以下の規準を満たすこと:
・Has not previously participated in the NCSC Funded Cyber Essentials Programme ・過去に NCSC Funded Cyber Essentials Programme に参加したことがない
・Does not currently hold Cyber Essentials Plus (CE+) certification, has not been awarded CE+ certification since January 2023 and is not currently in the process of applying for CE+ certification ・現在、Cyber Essentials Plus(CE+)認証を取得していない、2023 年 1 月以降に CE+認証を取得していない、現在 CE+認証申請中でない
** These may include: ** これには以下が含まれる:
Nanomaterials ナノ材料
Composites 複合材料
Advanced Metals and Alloys 先端金属・合金
Smart Materials スマート材料
Biomaterials 生体材料
*** These may include: *** これらには以下が含まれる:
Magnetic Confinement Fusion 磁場閉じ込め核融合
Inertial Confinement Fusion 慣性閉じ込め核融合
Stellarators ステラレータ
Hybrid Systems ハイブリッドシステム

 

 

Cyber Essentials

まるちゃんの情報セキュリティ気まぐれ日記

・2024.12.23 英国 Cyber Essentials 2025.04.28以降の要求事項等について...

・2024.08.20 英国 サイバーエッセンシャル発行数 (2023.07-2024.06)

・2023.08.17 英国 国家サイバー戦略 2022 の進捗報告 (2022-2023)

・2023.07.13 英国 小規模企業のサイバーセキュリティをサポート:サイバーアドバイザリー制度 (2023.04.17)

・2023.02.21 英国 NCSC サプライチェーン・マッピングのガイダンスを公表しています。。。(2023.02.16)

・2021.11.22 英国 サプライチェーンとマネージドサービスプロバイダーのサイバーセキュリティについての質問に対する回答 at 2021.11.15

・2020.10.11 UK National Cyber Security Centreがスモールビジネス向けサイバーセキュリティガイド改訂版を公開していますね。。。(Cyber Essentials認定も意識して

 

 

 

| | Comments (0)

2025.03.03

EU議会 シンクタンク AI法とGDPRにおけるアルゴリズム差別 (2025.02.26)

こんにちは、丸山満彦です。

EU議会のシンクタンクがAI法とGDPRにおけるアルゴリズ差別についての簡単な考察を公表していますね...

 

European Parliament - Think Tank

・2025.02.26 Algorithmic discrimination under the AI Act and the GDPR

 

Algorithmic discrimination under the AI Act and the GDPR AI法とGDPRにおけるアルゴリズム差別
After the entry into force of the Artificial Intelligence (AI) Act in August 2024, an open question is its interplay with the General Data Protection Regulation (GDPR). The AI Act aims to promote human-centric, trustworthy and sustainable AI, while respecting individuals' fundamental rights and freedoms, including their right to the protection of personal data. One of the AI Act's main objectives is to mitigate discrimination and bias in the development, deployment and use of 'high-risk AI systems'. To achieve this, the act allows 'special categories of personal data' to be processed, based on a set of conditions (e.g. privacy-preserving measures) designed to identify and to avoid discrimination that might occur when using such new technology. The GDPR, however, seems more restrictive in that respect. The legal uncertainty this creates might need to be addressed through legislative reform or further guidance. 2024年8月の人工知能(AI)法の施行後、未解決の問題は一般データ保護規則(GDPR)との絡みである。AI法は、個人データ保護の権利を含む個人の基本的権利と自由を尊重しつつ、人間中心で信頼できる持続可能なAIを推進することを目的としている。AI法の主な目的のひとつは、「リスクの高いAIシステム」の開発、展開、使用における識別的偏見を緩和することである。これを達成するため、同法は、そのような新技術を使用する際に発生する可能性のある識別的差別を特定し、回避するために設計された一連の条件(プライバシー保護措置など)に基づいて、「特別カテゴリーの個人データ」の処理を許可している。しかし、GDPRはその点でより制限的であるように思われる。これによって生じる法的不確実性については、法改正やさらなるガイダンスを通じて対処する必要があるかもしれない。

 

 

・[PDF

20250303-62913

 

Algorithmic discrimination under the AI Act and the GDPR  AI法とGDPRにおけるアルゴリズム差別
After the entry into force of the Artificial Intelligence (AI) Act in August 2024, an open question is its interplay with the General Data Protection Regulation (GDPR). The AI Act aims to promote human-centric, trustworthy and sustainable AI, while respecting individuals' fundamental rights and freedoms, including their right to the protection of personal data. One of the AI Act's main objectives is to mitigate discrimination and bias in the development, deployment and use of 'high-risk AI systems'. To achieve this, the act allows 'special categories of personal data' to be processed, based on a set of conditions (e.g. privacy-preserving measures) designed to identify and to avoid discrimination that might occur when using such new technology. The GDPR, however, seems more restrictive in that respect. The legal uncertainty this creates might need to be addressed through legislative reform or further guidance.  2024年8月の人工知能(AI)法の施行後、未解決の問題は一般データ保護規則(GDPR)との絡みである。AI法は、個人データ保護の権利を含む個人の基本的権利と自由を尊重しつつ、人間中心で信頼できる持続可能なAIを推進することを目的としている。AI法の主な目的のひとつは、「リスクの高いAIシステム」の開発、展開、使用における識別的偏見を緩和することである。これを達成するため、同法は、そのような新技術を使用する際に発生する可能性のある識別的差別を特定し、回避するために設計された一連の条件(プライバシー保護措置など)に基づいて、「特別カテゴリーの個人データ」の処理を許可している。しかし、GDPRはその点でより制限的であるように思われる。これによって生じる法的不確実性については、法改正やさらなるガイダンスを通じて対処する必要があるかもしれない。
AI systems and algorithmic discrimination: Some scenarios  AIシステムとアルゴリズムによる識別的差別: いくつかのシナリオ
Some AI systems may cause discrimination, and harm individuals' fundamental rights.  一部のAIシステムは差別を引き起こし、個人の基本的権利を害する可能性がある。
Generative AI systems: certain generative AI systems, such as chatbots, do not seem dangerous at first glance, but can still pose threats to fundamental rights and freedoms, for example when they generate hate speech. Generative AI is not classified as high-risk as such. However, some generative AI systems that harm fundamental rights might be included in the high-risk system list that regulators can update periodically, as laid down in the AI Act 生成的AIシステム:チャットボットなど特定の生成的AIシステムは,一見危険には見えないが,ヘイトスピーチを生成する場合など,基本的権利と自由を脅かす可能性がある。生成的AIは,そのようなハイリスクには分類されない。しかし,基本的人権を害する生成的AIシステムの一部は,AI法に定められているように,規制当局が定期的に更新できる高リスクシステムリストに含まれる可能性がある。
Autonomous cars: discrimination could also arise in insurance calculation or AI machine vision systems for instance, if autonomous cars are developed in a way that will detect more accurately pedestrians with lighter than those with darker skin.  自律走行車:保険計算やAIマシンビジョンシステムにおいても,識別的な差別が生じる可能性がある。例えば,自律走行車が,肌の色の濃い歩行者よりも色の薄い歩行者をより正確に検知するように開発された場合などである。
Job recruitment and employment: algorithms selecting job applicants might contain bias, for example with respect to gender or health.  求人と雇用:求職者を選ぶアルゴリズムに,例えば性別や健康状態に関するバイアスが含まれる可能性がある。
Credit scoring and banking: AI systems are increasingly used in the banking and credit sectors as a support tool to assess the granting of loans or mortgages. These systems may follow decisional processes that hide discrimination or mask bias based on factors such as clients' residence or ethnicity.  信用スコアリングと銀行業務: AIシステムは,融資や住宅ローンの実行を評価する支援ツールとして,銀行やクレジット分野でますます使用されるようになっている。これらのシステムは,顧客の居住地や民族性などの要因に基づく識別的な差別を隠したり,バイアスを覆い隠したりする決定プロセスに従っている可能性がある。
Algorithmic discrimination and special categories of personal data  アルゴリズムによる差別と特別カテゴリーの個人データ
The AI Act is meant to tackle the issues listed above. To ensure bias detection and correction in AI systems, Article 10(5) AI Act allows for the processing of special categories of personal data 'to the extent that … is strictly necessary for the purposes of ensuring bias monitoring, detection and correction in relation to the high-risk AI systems', conditional on appropriate safeguards for the respect of fundamental rights.  The concept of special categories of personal data is defined in Article 9 GDPR (racial or ethnic origin, political opinions, religious or philosophical beliefs, trade union membership, genetic data, biometric data, health data, sex life, or sexual orientation). Some academics have pointed out that, to detect if an algorithm used in the employment sector discriminates on the grounds of ethnicity, in principle, the organisation concerned needs to know the job applicants' ethnicity.  AI法は、上記の問題に取り組むことを意図している。AIシステムにおけるバイアスの検知と是正を確実にするため、AI法第10条5項は、基本的権利の尊重のための適切なセーフガードを条件として、「リスクの高いAIシステムに関して、バイアスの監視、検知、是正を確実にするために......厳密に必要な範囲で」特別カテゴリーのパーソナルデータの処理を認めている。GDPR第9条には、特別カテゴリーの個人データの概念が定義されている(人種または民族的出身、政治的意見、宗教的または哲学的信条、労働組合員、遺伝データ、生体データ、健康データ、性生活、または性的指向)。一部の学者は、雇用分野で使用されるアルゴリズムが民族性を理由に差別しているかどうかを検知するには、原則として、当該組織が求職者の民族性を知る必要があると指摘している。
Article 10(5) AI Act applies to high-risk systems only. The act adopts a 'risk-based approach', in that it classifies AI systems according to the degree of risk they pose to individuals' fundamental rights and freedoms. When determining whether a system is qualified as high-risk (Article 6 AI Act), the emphasis is on a given system's scope and the specific task it performed.  AI法第10条5項は、リスクの高いシステムにのみ適用される。同法は「リスクに基づくアプローチ」を採用しており、個人の基本的権利と自由に対するリスクの度合いに応じてAIシステムを分類している。システムが高リスク(AI法第6条)に該当するかどうかを判断する際には、システムの範囲と、そのシステムが実行する特定のタスクが重視される。
To process special categories of personal data, the specific grounds listed in Article 9 GDPR must be respected (e.g. the data subject's explicit consent). These grounds must also be respected when applying Article 10(5) AI Act, which falls within the scope of Article 9 GDPR. The act clarifies that, when the AI Act and the GDPR collide, the GDPR prevails, and states explicitly that its provisions must not affect the GDPR's application.  特別カテゴリーの個人データを処理するためには、GDPR第9条に記載されている特定の根拠(データ対象者の明示的な同意など)を尊重しなければならない。GDPR第9条に該当するAI法第10条第5項を適用する場合も、これらの根拠を尊重しなければならない。同法は、AI法とGDPRが衝突する場合はGDPRが優先することを明確にし、その規定がGDPRの適用に影響を及ぼしてはならないと明記している。
Some argue that the processing of personal data pursuant to Article 10 AI Act might also be allowed under the GDPR's 'substantial public interest ground'. Indeed, Article 9(2)(g) GDPR permits processing of special categories of data when  necessary for reasons of substantial public interest, on the basis of Union or Member State law which shall be proportionate to the aim pursued, respect the essence of the right to data protection and provide for suitable and specific measures to safeguard the fundamental rights and the interests of the data subject AI法第10条に基づくパーソナルデータの処理は、GDPRの「実質的な公益の根拠」の下でも認められるのではないかという意見もある。実際、GDPR第9条(2)(g)は、実質的な公益の理由で必要な場合、追求される目的に釣り合い、データ保護の権利の本質を尊重し、データ対象者の基本的権利および利益を保護するための適切かつ具体的な措置を規定する連合国または加盟国の法律に基づき、特別カテゴリーのデータ処理を許可している。
In this context, the AI Act would serve as the relevant Union law, and fighting discrimination would be the relevant public interest.  この文脈では、AI法が関連する連邦法として機能し、差別との闘いが関連する公共の利益となる。
Main challenges  主な課題
In its September 2024 report, the Belgian Supervisory Authority stressed how correcting bias in training data for AI systems is consistent with both the principle of 'fair processing' of data laid down in the GDPR and the need to ensure that the personal information collected by data processors is accurate.  ベルギー監督庁は2024年9月の報告書で、AIシステムの訓練データのバイアスを修正することが、GDPRが定めるデータの「公正な処理」の原則と、データ処理者が収集する個人情報の正確性を確保する必要性の両方にいかに合致するかを強調した。
For Article 10(5) AI Act to be interpreted fully in compliance with the GDPR, some conditions must be met:  AI法第10条5項がGDPRに完全に準拠して解釈されるためには、いくつかの条件が満たされなければならない: 
• the processing of special categories of personal data has to be carried out with robust cybersecurity measures in order to prevent data leaks, as requested by the GDPR;  ・特別カテゴリーのパーソナルデータの処理は、GDPRが要求しているように、データ漏洩を防ぐために強固なサイバーセキュリティ対策を施して実施されなければならない;
• AI systems processing personal data have to comply with such GDPR principles as data minimisation, purpose and storage limitation, integrity and confidentiality, and privacy by design and by default;  ・個人データを処理するAIシステムは、データの最小化、目的と保存の制限、完全性と機密性、設計とデフォルトによるプライバシーといったGDPRの原則を遵守しなければならない; 
• the necessity requirement, a key principle of the GDPR, has to be conceived as allowing entities to process special categories of data only when it is strictly necessary for protecting other fundamental rights, such as non-discrimination;  ・GDPRの重要な原則である必要性要件は,差別の禁止など他の基本的権利を保護するために厳密に必要な場合に限り,事業体が特別カテゴリーのデータを処理することを認めるものとして考えなければならない。
• the grounds set out in Article 9 GDPR for the processing of sensitive data should be present in order for the data processing to be lawful.  ・データ処理が合法的であるためには、GDPR第9条に定める機微(センシティブ)データの処理に関する根拠が存在しなければならない。
In addition to the special categories of data listed in Article 9 GDPR, discrimination may arise as a result of the processing of personal data revealing other factors, such as disability, age or gender. These are not special categories of data pursuant to EU law, but 'merely' personal data. Therefore, the legal grounds for processing these data will be those listed in Article 6 GDPR.  GDPR第9条に列挙された特別カテゴリーのデータに加えて、障害、年齢、性別など、その他の要因を明らかにするパーソナルデータの処理の結果、差別が生じる可能性がある。これらはEU法に基づく特別カテゴリーのデータではなく、「単なる」個人データである。したがって、これらのデータを処理する法的根拠は、GDPR第6条に記載されているものとなる。
Article 6 GDPR is broader in content than Article 9 GDPR, providing for a larger number of legal bases for the processing of personal data (e.g. legitimate interest). This means that, when discrimination arises with respect to factors that are not considered as special categories of personal data, the processing of data to mitigate bias can occur pursuant to the grounds of Article 6, which are more lenient and easier to prove than public interest or specific consent.  GDPR第6条はGDPR第9条よりも内容が広く、パーソナルデータの処理についてより多くの法的根拠(正当な利益など)を規定している。つまり、個人データの特別なカテゴリーとして考慮されない要因に関して識別的な差別が生じる場合、公共の利益や特定の同意よりも緩やかで証明しやすい第6条の根拠に従って、バイアスを緩和するためのデータ処理が行われる可能性がある。
In general terms, shared uncertainty appears to prevail as to how the AI Act's provision on the processing of special categories of personal data for avoiding discrimination should be interpreted. The GDPR, which imposes limits on the processing of special categories of personal data, might prove restrictive in a context dominated by the use of AI in many sectors of the economy, and faced with the mass processing of personal and non-personal data. A reform of the GDPR or further guidelines on its interplay with the AI Act might help address these issues.  一般規定では、差別回避のための特別カテゴリーのパーソナルデータの処理に関するAI法の規定がどのように解釈されるべきかについて、共通の不確実性が広がっているように見える。特別カテゴリーの個人データの処理に制限を課しているGDPRは、経済の多くの分野でAIが使用され、個人データおよび非個人データの大量処理に直面している状況では、制限的であることが証明されるかもしれない。GDPRの改革や、AI法との相互作用に関する更なるガイドラインが、こうした問題に対処する一助となるかもしれない。

 

 

 

| | Comments (0)

2025.03.02

EU議会 シンクタンク 子供と生成的AI(AIネイティブ?世代)(2025.02.18)

こんにちは、丸山満彦です。

EU議会のシンクタンクが子供と生成的AIについての簡単な考察を公表していますね...

日本では子供の個人情報の取扱いについて法制化の話がでてきています。そして、AI法案(活用のための基本法的なものですかね...)が国会に提出されています。

というタイミングですが、次のステップとしては、子供と生成的AIの議論を深めていく必要はありますよね...

ということで、これからの日本における議論においても、参考になりますかね...

このあたりの課題については、慶應大学の花田先生にも是非検討してもいたいですね...

 

European Parliament - Think Tank

・2025.02.18 Children and generative AI

 

Children and generative AI 子供と生成的AI
Children are intensive users of digital tools such as artificial intelligence (AI). Generative AI – AI that can create new content such as text, images, videos and music – is becoming increasingly sophisticated, making it difficult to distinguish user-generated content from AI-generated (synthetic) content. If not supervised properly, these tools might carry risks for children, whose cognitive capacities are still developing. The need to strengthen generative AI literacy for children, educators and parents is therefore growing increasingly important, along with greater efforts by industry and enhanced implementation of AI legislation, including monitoring indicators. 子どもたちは、人工知能(AI)などのデジタルツールの集中的なユーザーである。生成的AI(テキスト、画像、動画、音楽などの新しいコンテンツを生成できるAI)はますます洗練されてきており、ユーザーが生成したコンテンツとAIが生成した(合成)コンテンツを区別することが難しくなってきている。適切に管理されなければ、こうしたツールは、認知能力がまだ発達途上の子どもたちにとってリスクを伴うかもしれない。そのため、産業界による取り組み強化や、監視指標を含むAI法の施行強化とともに、子ども、教育者、保護者に対する生成的AIリテラシー強化の必要性がますます高まっている。

 

・[PDF

20250302-83229

 

Children and generative AI  子どもと生成的AI
Children are intensive users of digital tools such as artificial intelligence (AI). Generative AI – AI that can create new content such as text, images, videos and music – is becoming increasingly sophisticated, making it difficult to distinguish user-generated content from AI-generated (synthetic) content. If not supervised properly, these tools might carry risks for children, whose cognitive capacities are still developing. The need to strengthen generative AI literacy for children, educators and parents is therefore growing increasingly important, along with greater efforts by industry and enhanced implementation of AI legislation, including monitoring indicators.  子どもは、人工知能(AI)などのデジタルツールの集中的なユーザーである。生成的AI(テキスト、画像、動画、音楽などの新しいコンテンツを生成できるAI)はますます高度化しており、ユーザーが生成したコンテンツとAIが生成した(合成)コンテンツを区別することが難しくなっている。適切に管理されなければ、こうしたツールは、認知能力がまだ発達途上の子どもたちにとってリスクを伴うかもしれない。そのため、産業界による取り組み強化や、監視指標を含むAI法制の施行強化とともに、子ども、教育者、保護者に対する生成的AIリテラシー強化の必要性がますます高まっている。
The first generation of digital natives growing up with AI AIとともに成長するデジタルネイティブの第一世代
hildren and teenagers are avid internet users. Most children in the EU use their smartphones daily, and do so from a much younger age than a decade ago. Often, however, the online environments children access were not originally designed for them. Some countries such as Australia have passed laws to prevent children under the age of 16 from using social media platforms. At the same time, younger children have no problem bypassing the age requirements set by services such as social media. Likewise, children are already using AI embedded in apps, toys, virtual assistants, games, and/or learning software. A 2024 survey conducted in United Kingdom (UK) showed that 77.1 % of 13- to 18-year-olds had used generative AI, and findings suggest that they are twice as likely as adults to use it. The most common use is for helping with homework and seeking entertainment. The UK, under its AI opportunities action plan, favours the implementation of AI in school provided it is used under supervision.  子供やティーンエイジャーは熱心なインターネット・ユーザーである。EUでは、ほとんどの子どもたちが毎日スマートフォンを利用しており、10年前よりもはるかに低年齢化している。しかし、多くの場合、子どもたちがアクセスするオンライン環境は、もともと子どもたちのために設計されたものではない。オーストラリアなど 一部の国では、16歳未満の子どもがソーシャル・メディア・プラットフォームを利用できないようにする法律が制定されている。その一方で、より小さな子どもたちは、ソーシャルメディアなどのサービスが定める年齢条件を回避することに何の問題も感じていない 。同様に、子どもたちはすでにアプリ、玩具、バーチャルアシスタント、ゲーム、学習ソフトウェアに組み込まれた AIを利用している。2024年にイギリス(UK)で実施された調査に よると、13歳から18歳の77.1%が生成的AIを 使用したことがあり、大人の2倍の確率で 使用していることがわかった。最も一般的な用途は 、宿題の手伝いや娯楽を求めることである。英国はAI機会行動計画のもと、監督下で使用されることを条件に、学校でのAIの導入を支持している。
As with other digital technologies, the most popular AI tools are not adopting specific measures to adapt their features to under-age users – aside from a minimum age for use. Claude's Anthropic, for instance, does not allow users under the age of 18 to use its services. ChatGPT requests parental consent from users between 13 and 18 years old. Google has recently adapted its Gemini AI chatbot by lowering the minimum age requirement from 18 to 13 years (for their student accounts only), and adopting additional protection measures, such as excluding those young users' data from its AI model training. Brazil adopted a similar protection measure by banning social media platform X from training its AI using children's personal data.  他のデジタル技術と同様、最も普及しているAIツールは、最低 使用年齢を定める以外、未成年者に適応するための特別な措置を採っていない。例えば、クロードのAnthropicは、18歳未満のユーザーにサービスを利用させていない。ChatGPTは 、13歳から18歳のユーザーに保護者の同意を求めている。グーグルは最近、 AIチャットボット「ジェミニ」の最低年齢を18歳から13歳に引き下げ(学生アカウントに限る)、AIモデルのトレーニングからそのような若いユーザーのデータを除外するなどの追加保護措置を採用した。ブラジルは 、ソーシャルメディア・プラットフォームXが子どもの個人データを使ってAIを訓練することを禁止し、同様の保護措置を採用した。
Opportunities and challenges チャンスと課題
Opportunities 機会
Generative AI may bring many potential benefits, for instance in terms of integrating AI-driven tools into education – explaining how AI can help children develop a sense of curiosity and innovation; encouraging them to ask questions, to experiment, and to find solutions to real-world problems.  生成的AIは多くの潜在的利益をもたらす可能性がある。例えば、AI主導のツールを教育に取り入れるという 点では、AIが子どもたちの好奇心やイノベーションの感覚を育むのにどのように役立つかを説明し、子どもたちに質問し、実験し、現実世界の問題に対する解決策を見つけるよう促すことができる。
When designing AI tools for learning purposes, providers of generative AI may influence children's interactions positively; for example, guiding children in developing their writing skills rather than replacing them. Integrating AI into education could also enhance accessibility for students with disabilities by supporting diverse learning needs. 学習目的のAIツールを設計する 際、生成的AIを提供するプロバイダは、子どもたちの相互作用にポジティブな影響を与えるかもしれない。例えば、子どもたちが書くスキルを代替するのではなく、それを伸ばすよう導く。また、AIを教育に取り入れることで、多様な学習ニーズをサポートし、障害のある生徒のアクセシビリティを高めることもできる。
Challenges 課題
Conversely, if not implemented adequately, generative AI may interfere with a child's learning and school development. UNICEF highlights that the way children interact with AI has both physiological and psychological implications. The recently formed international Beneficial AI for Children Coalition, involving multiple stakeholders, has committed to put forward guidelines that evaluate impact and mitigate risk.  逆に、生成的AIが適切に導入されなければ、子どもの学習や学校での発達を妨げる可能性がある。ユニセフは 、子どもたちとAIとの関わり方には、生理的・心理的な影響があることを強調している。複数の利害関係者が参加し、最近結成された国際的な「子どものための有益なAI連合」は、影響を評価しリスクを緩和するガイドラインを提唱することにコミットしている。
The following are some key challenges associated with generative AI.  以下は、生成的AIに関連する主な課題である。
Synthetic reality 合成現実
The 2024 edition of the World Economic Forum's Global Risks Report ranks disinformation as the most serious risk the world may face in next 2 years – a risk likely to increase with the rise in synthetically generated content. In one survey, even expert linguists incorrectly perceived 62 % of AI-generated content as human-created. Children are particularly vulnerable to synthetic content such as deepfakes, and because of their still-developing cognitive abilities, can be manipulated more easily. A Massachusetts Institute of Technology Media Lab study has shown that 7-year-olds tend to attribute real feelings and personality to AI agents. Generative AI may also be used for malicious purposes towards children, including cyberbullying or online grooming. The increase in AI-generated online child sexual abuse is already a growing challenge for law enforcement. 
世界経済フォーラムの「グローバル・リスク・レポート」の2024年版では、偽情報が今後2年間に世界が直面する可能性のある最も深刻なリスクとして位置づけられている。ある調査では、専門の言語学者でさえ、AI生成的コンテンツの62%を人間が作成したものと誤って認識している。子どもたちはディープフェイクのような合成コンテンツに特に脆弱であり、認知能力がまだ未発達であるため、より簡単に操られる可能性がある。マサチューセッツ工科大学メディアラボの研究によると、7歳の子どもはAIエージェントに本物の感情や人格を与える傾向があるという。生成的AIはまた、ネットいじめやネット上でのグルーミングなど、子どもに対する悪意のある目的に使われる可能性もある。生成的AIによるオンライン児童性的虐待の増加は、すでに法執行機関にとって大きな課題となっている。
Reduced critical thinking 批判的思考の低下
Significant concerns focus on the potential consequences of AI-assisted learning for students' research, writing and argumentation skills, as generative AI's capability in data analysis and automation could reduce students' cognitive skills, in particular their critical thinking and problem solving. However, some research advocates integrating AI into learning tools to enhance critical thinking and problem solving, as this would help students develop the analytical skills needed for a technology-driven future.  生成的AIがデータ分析と自動化を可能にすることで、生徒の認知能力、特に批判的思考と問題解決能力が低下する可能性があるため、AI支援学習が生徒の研究、作文、論述能力に及ぼす潜在的影響に大きな懸念が集まって いる。しかし、AIを学習ツールに組み込んで、批判的思考や問題解決を強化することを提唱する研究も ある。これは、テクノロジー主導の未来に必要な分析スキルを学生が身につけるのに役立つからだ。
Digital divides and AI literacy デジタルデバイドとAIリテラシー
According to UNESCO, AI literacy entails the skills and knowledge required for effective use of AI tools in everyday life, with an awareness of the risks and opportunities associated with them. Incorporating AI literacy is therefore essential for building foundational understanding and skills to bridge the digital divide and foster inclusion. Despite the pivotal role of learning development, AI literacy is still more commonly implemented at secondary schools and universities than it is at primary schools. From a gender perspective, the Organisation for Economic Co-operation and Development (OECD) highlights that AI may exacerbate gender disparities if gender equality issues are not addressed adequately when the AI tools are trained. Moreover, AI tools are mainly trained on the world's three most spoken languages (Chinese, English and Spanish), thereby making AI less safe for people who speak low-resource languages (those for which limited linguistic data for training AI models are available), since AI tools are less precise in those languages. Educational stakeholders will likely have a key role to play in tackling these concerns by preparing teachers for an ethical use of AI and adapting curricula. ユネスコによると、AIリテラシーとは、日常生活でAIツールを効果的に使用するために必要なスキルと知識を含み、AIツールに関連するリスクと機会を認識することである。したがって、AIリテラシーを 取り入れることは、デジタルデバイドを解消し、インクルージョンを促進するための基礎的な理解とスキルを構築するために不可欠である。学習開発は極めて重要な役割を担っているにもかかわらず、AIリテラシーは小学校よりも中学校や大学で実施されることが まだ多い。ジェンダーの観点から、経済協力開発機構(OECD)は、AIツールのトレーニング時に男女平等の問題が十分に取り上げられない場合、AIが男女格差を悪化させる可能性があると強調している。さらに、AIツールは主に世界で最も話されている3つの言語(中国語、英語、スペイン語)で学習されるため、リソースの少ない言語 (AIモデルを学習するための言語データが限られている言語)を話す人々にとっては、AIツールの精度が低く、AIの安全性が低くなる。教育関係者は、AIの倫理的使用のために教師を準備し 、カリキュラムを適応させることによって、こうした懸念に取り組む上で重要な役割を果たすことになるだろう。
Current EU action and way forward EUの現在の取り組みと今後の方向性
The EU seeks to secure children's online rights. The Digital Services Act (DSA) requires digital platforms to prioritise children's safety and privacy and protect them from illegal content. Measures that have to be put in place include age verification and not showing ads based on profiling of minors. The EU's Better Internet for Kids (BIK+) strategy seeks to boost digital literacy, provide awareness raising material, information and educational resources, and create a safer internet environment for young people. Yet neither the Council recommendation on key competences for lifelong learning (last updated in 2018) nor the Digital Decade policy programme 2030 include AI literacy as a specific competence, and only few Member States have introduced AI competences in their school curricula. The European Commission's ethical guidelines on the use of AI and data in teaching are meant as a tool for educators.  EUは、子どもたちのオンライン上の権利を確保しようとしている。デジタルサービス法(DSA)は、デジタルプラットフォームに対し、子どもの安全とプライバシーを最優先し、違法コンテンツから保護することを求めている。年齢検証や、未成年者のプロファイリングに基づく広告を表示しないなどの対策を 講じる必要がある。EUの「Better Internet for Kids(BIK+)」戦略は、デジタルリテラシーを向上させ、啓発資料、情報、教育リソースを提供し、青少年にとってより安全なインターネット環境を作ろうとしている。しかし、生涯学習のための主要能力に関する理事会勧告 (最終更新は2018年)にも、「デジタルの10年」政策プログラム2030にも 、特定の能力としてAIリテラシーは含まれておらず、加盟国のうち 学校カリキュラムにAI能力を導入している国はわずかである。教育におけるAIとデータの利用に関する 欧州委員会の倫理指針は 、教育者のためのツールとして意図されている。
The EU's recently adopted AI Act is the world's first comprehensive AI law. It sets uniform rules to create a single market for trustworthy AI applications that fully respect fundamental rights, including children's rights. It has entered into force and will apply in full from 2 August 2027. The act classifies AI systems as high risk for some areas of education, such as access or admission to education, systems to evaluate learning outcomes, assessment of educational levels, and detection of students' prohibited behaviour. General provisions will also benefit children once implemented, such as a requirement to watermark deepfakes and other AI-generated materials, and to inform children when they are interacting with AI.  EUが最近採択したAI法は 、世界初の包括的なAI法である。これは、子どもの権利を含む基本的権利を完全に尊重 した、信頼できるAIアプリケーションの単一市場を創出するための統一ルールを定めたものである。この法律は発効し、2027年8月2日から全面的に適用される。同法は、教育へのアクセスや入学、学習成果を検知するシステム、教育レベルのアセスメント、生徒の禁止行為の検知など、一部の教育分野においてAIシステムを高リスクに分類している。一般規定は、ディープフェイクや その他のAIが生成した教材に電子透かしを入れる 義務や、AIと対話する際に子どもたちに情報を提供する義務など、実施されれば子どもたちにも恩恵がある。
The General Data Protection Regulation (GDPR) states that children merit specific protection, as they may not be fully aware of the risks and consequences that the disclosure of personal data in data processing may involve. In the context of the rise of AI, the need for more data literacy is therefore being proposed. 一般データ保護規則(GDPR)は、子どもはデータ処理におけるパーソナルデータの開示が伴うリスクや結果を十分に認識していない可能性があるため、特別な保護に値するとしている。したがって、AIの台頭を背景に、データリテラシーを 高める必要性が提唱されている。
Overall, a significant gap needs to be addressed to avoid AI digital divides, and additional research is necessary to fully understand the future implications of generative AI use by children. Under the Digital Decade compass and the digital economy and society index (DESI) dashboard, for instance, no common indicators or statistics at EU level are currently available. The next review of the Digital Decade policy programme, envisaged for June 2026, might offer an opportunity for the European Commission to introduce target indicators in this area.  全体として、AIのデジタルデバイドを回避するためには、大きなギャップに対処する必要があり、子どもたちによる生成的AI利用の将来的な意味を十分に理解するためには、さらなる研究が必要である。例えば、「デジタルの10年」 コンパスやデジタル経済社会指数(DESI)ダッシュボードでは、現在、EUレベルでの共通指標や統計はない。2026年6月に予定されている「デジタルの10年」政策プログラムの次回の見直しは、欧州委員会がこの分野の目標指標を導入する機会となるかもしれない。

 

 

リンクされているウェブ...

European Commission

・2024.07.02 Report on the state of the Digital Decade 2024

Europe’s Digital Decade: digital targets for 2030

・2024.05.27 AI for teaching and learning

・2022.05.11 New EU strategy to protect and empower children in the online world

・2022 Informatics education at school in Europe - Eurydice report

20250302-104941

 

・2022 Ethical guidelines on the use of artificial intelligence (AI) and data in teaching and learning for educators

20250302-105316

 

European Parliament

・2024.09.02 Artificial intelligence act

・2023.12.13 Generative AI and watermarking

・2023.02.15 Online age verification methods for children

・2022.09.28 The new European strategy for a better internet for kids (BIK+)

 

The New York Times

・2024.11.28 How Australia Will (or Won’t) Keep Children Off Social Media

 

OECD

Artificial Intelligence

国ごとのAI投資額とか、AIインシデントなどの経年変化も...

 

Ofcom

・2023.09.27 Children’s Media Use and Attitudes

 

U.K. Department for Science, Innovation & Technology

・2025.01.13 AI Opportunities Action Plan

 

JISC

・2025.01.02 Navigating the terms and conditions of generative AI

 

利用規約...

ANTHROP

Consumer Terms of Service

OpenAI

利用規約

 

ZDNET

・2024.06.24 Google's Gemini AI chatbot is now available to younger students in Workspace - how it's different

 

Human Rights Watch

・2024.12.20 Brazil Bans X from Using Children to Power Its AI

 

World Economic Forum; WEF

・2024.04.30 In a world of deepfakes, we must build a case for trustworthy synthetic AI content

・2024.04.28 Shaping the Future of Learning: The Role of AI in Education 4.0

・2024.01.10 Global Risks Report 2024

・2023.08.22 How will generative AI affect children? The need for answers has never been more urgent

 

HARVARD GRADUATE SHOOL OF EDUCATION

・2024.10.02 The Impact of AI on Children's Development

 

babl

・2024.11.14 Navigating the New Frontier: How the EU AI Act Will Impact the Education and Training Industry

 

UNICEF & WEF

・[PDF] Children and AI - Where are the opportunities and risks?

20250302-95948

 

Paris Peace Forum

Beneficial AI for Children Coalition

 

European Union

The digital decade

・2023 The Digital Services Act (DSA) explained - Measures to protect children adn young people online

 

20250302-103210

 

● Research Methods in Applied Linguistics

・2023.12 Can linguists distinguish between ChatGPT/AI and human writing?: A study of research ethics and academic publishing

 

MIT Media Lab

Kids, AI devices, and intelligent toys

 

PARKVIEW

・2024.10.10 Artificial Intelligence and online harassment

 

● About Safeguard

・2023.03.10 AI-assisted online grooming

 

Internet Watch Foundation

・2024.10.18 Public exposure to ‘chilling’ AI child sexual abuse images and videos increases


ResearchGate

・2024.08 Risks of AI-Assisted Learning on Student Critical Thinking:

 

UNESCO

・2021 AI and education: guidance for policy-makers

 

BIRMINGHAM CITY UNIVERSITY

・2021 AI literacy – the role of primary education

 

Computers and Education: Artificial Intelligence

・2024.12 A critical review of teaching and learning artificial intelligence (AI) literacy: Developing an intelligence-based AI literacy framework for primary school education

 

● OECD.AI

・2023.03.08 Artificially Inequitable? AI and closing the gender gap

 

● UNICEF

The State of the World's Children 2024

 

AIModels.fyi

・2023.10.06 Researchers: Low-Resource Languages Can Easily Jailbreak LLMs

 

● Computers in Human Behavior

・2023.11 Artificial intelligence and human behavioral development: A perspective on new skills and competences acquisition for the educational context

 

Common Sense Media

・2024.08 [PDF] Generative Ai in K-12 Education; Challenges and Opportunities

20250302-102721

 

EUR-Lex

・2022.10.27 Regulation (EU) 2022/2065 of the European Parliament and of the Council of 19 October 2022 on a Single Market For Digital Services and amending Directive 2000/31/EC (Digital Services Act) (Text with EEA relevance)

・2018.03.22 Council Recommendation of 22 May 2018 on key competences for lifelong learning (Text with EEA relevance.)

・2022.12.19 Decision (EU) 2022/2481 of the European Parliament and of the Council of 14 December 2022 establishing the Digital Decade Policy Programme 2030 (Text with EEA relevance)

・2022.05.11 COMMUNICATION FROM THE COMMISSION TO THE EUROPEAN PARLIAMENT, THE COUNCIL, THE EUROPEAN ECONOMIC AND SOCIAL COMMITTEE AND THE COMMITTEE OF THE REGIONS A Digital Decade for children and youth: the new European strategy for a better internet for kids (BIK+)

・2016.05.04 Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (Text with EEA relevance)

 

 

● Council of Europe

・2024.05.13 [PDF] Lack of Public Education and Awareness on AI Tools and AI generated content among people enrolled in High Schools and Universities courses

20250302-104623

 

● Datos.gob.es

・2024.09.13 The importance of data literacy in the context of digital rights and the rise of artificial intelligence

 

BERA

・2022.06.01 Conceptions and perspectives of data literacy in secondary education

 

 


 

 

 

| | Comments (0)

内閣府 人工知能関連技術の研究開発及び活用の推進に関する法律案

こんにちは、丸山満彦です。

内閣府科学技術・イノベーション推進事務局から、人工知能関連技術の研究開発及び活用の推進に関する法律案が国会に提出されたようですね...

まだ、衆議院のウェブには上がっていませんが、内閣府のウェブに法案があります...

 

内閣府

第217回 通常国会

人工知能関連技術の研究開発及び活用の推進に関する法律案

 

なんで、AIに関する法律が必要なのか???

ということなのですが、

  • 日本のAI開発・活用は遅れている。
  • 多くの国民がAIに対して不安。

ということのようです。

20250302-63428

2023年のデータなので全ての国でもう少しAIの利用は進んでいるとは思いますが...日本が開発と利用の両面で、他のG7や中国に遅れているのは変わっていないかもですね。。。

AIに規制が(新たに)必要かという点では、2023年のKPMGの調査の[PDF]Country insights on shiftingpublic perceptions of AI
を参考にデータをあげています。ざっと分析しているのですが、こんな感じですかね...

・AIに対する規制は概ね十分だが、新たな規制の必要性はある程度ある=>中国

・AIに対する規制がやや不足しているので、新たな規制の必要性はそれなりにある=>ドイツ、米国

・AIに対する規制が大きく不足しているので、新たな規制の必要性が大いにある=>日本

とわざわざ言っておいて...

法案の概要です...

20250302-62154

まずは、政府における体制整備についての話が中心ということになっていますね...

事業者に対しては、国、地方公共団体の政策(第4条、第5条)に事業者は協力しろと(第7条)...

「人工知能関連技術の研究開発及び活用の推進に関する基本的な計画」を進めることになるので、どういう計画が出てくるか次第で、今後の流れが決まってくると思います。

ちょっと、政府の委員等をしている関係で、自分でもいろいろと会社の同僚に聞いたり、調べて見ているのですが、「日本でイノベーションが起こっていない」、「イノベーションを掲げたベンチャー企業が成長しない」という原因を真面目に考えた方が良いのではないかという気がします。

「規制があるから、イノベーションができない」という声があります。主に、イノベーションをしようとしている人から...一方、新しい取り組みを始めている人に聞くと、「ルールがはっきりしないと思い切って投資ができない」という声もあります。

「日本でイノベーションが起こっていない」、「イノベーションを掲げたベンチャー企業が成長しない」のは、今に始まったことではないようにも思うので、規制の要素がゼロとは言わないとしても、もう少し、真の原因を突き止めることが重要なのではないですかね...

なんか、誤った前提に基づいて処方をしても、治らない...という状況のような気もしています...

 

さて、

・[PDF] 概要

・[PDF] 要綱

・[PDF] 法律案及び理由

20250302-65336

 

・[PDF] 新旧対照表

・[PDF] 参照条文

 


 

Continue reading "内閣府 人工知能関連技術の研究開発及び活用の推進に関する法律案"

| | Comments (0)

2025.03.01

欧州 ENISA 戦略指標 (2025.02.27)

こんにちは、丸山満彦です。

ENISAの戦略指標が追加で公表されていますね...

戦略は、2024.10に策定されています。内容は、私のブログのNISA単一計画文書 2025 - 2027の総合版と2025年の実行計画の中で記載しています。

 

ENISA

・2025.02.27 A Trusted and Cyber Secure Europe - ENISA Strategy

・[PDF] A Trusted and Cyber Secure Europe - ENISA Strategy

20250301-62744

 

指標...

・[PDF] A Trusted and Cyber Secure Europe - ENISA Strategy - Indicators

20250301-61957

 

How will ENISA measure the implementation of its new strategy? ENISAは新戦略の実施をどのように測定するのか?
Uptake of: 活用:
• ENISA’s recommendations by Member States and stakeholders to implement EU legislation. ・加盟国や利害関係者による、EU法の実施に向けたENISAの提言。
• Recommendations from the State of Cybersecurity in the Union (NIS2 Article 18 report). ・EUにおけるサイバーセキュリティの現状(NIS2 Article 18 レポート)からの提言。
• The European Cybersecurity Skills Framework within Member States (%). ・加盟国における欧州サイバーセキュリティ技能枠組み(%)。
• ENISA's secure infrastructure and tools. ・ENISAの安全なインフラとツール
Establishment and Deployment of: 確立と展開:
• The EU Cybersecurity Reserve of which administration and operation is to be entrusted fully or partly to ENISA and used by Member States and EUIBAs and on a case by case basis DEP associated third countries. ・EUサイバーセキュリティ・リザーブは、その管理及び運用の全部又は一部がENISAに委託され、加盟国及びEUIBAs、並びにケースバイケースでDEP関連第三国によって利用される。
• The EU Vulnerability Database operated by ENISA. ・ENISA が運営する EU 脆弱性データベース。
• The reporting platform under Cyber Resilience Act is established within 21 months of the entry into force of the Regulation and successfully operated. ・サイバーレジリエンス法に基づく報告プラットフォームは、同規則の発効から21カ月以内に確立され、順調に運用されている。
• The number of EU certification schemes developed and maintained, number EU regulations making reference to Cybersecurity Act, number of active National Cybersecurity Certification Authorities (e.g. issuing European certificates). ・開発・維持されている EU 認証スキームの数、サイバーセキュリティ法に言及している EU 規制の数、活動中の国家サイバーセキュリティ認証局の数(欧州の証明書の発行など)。
• The number of identified future and emerging areas reflected in the policy initiatives and interventions. ・政策イニシアティブや介入に反映された、識別された将来および新興分野の数。
Satisfaction Level of: 満足度:
• ENISA's capacity building activities (e,g, exercises, trainings). ・ENISAの能力構築活動(例:演習、研修)。
• ENISA's support to the implementation of the CRA (Market Surveillance Authorities) and the European Cybersecurity Certification Framework. ・CRA(市場監視当局)および欧州サイバーセキュリティ認証枠組みの実施に対するENISAの支援。
• ENISA ability to contribute to common situational awareness through accurate and timely analyses of incidents, vulnerabilities and threats. ・インシデント、脆弱性、脅威の正確かつタイムリーな分析を通じて、共通の状況認識に貢献するENISAの能力。
• The support to the operational cybersecurity networks. ・サイバーセキュリティ・ネットワークの運用支援。

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.02.20 欧州 ENISA ENISA単一計画文書 2025 - 2027 (2025.02.5, 18)

 

| | Comments (0)

« February 2025 | Main | April 2025 »