フランス CNIL サイバーセキュリティ：GDPR の経済的メリット (2025.06.24)

こんにちは、丸山満彦です。

CNILがサイバーセキュリティの強化にGDPRが役立っているといっております...

市場の外部性を少なくするために、法規制が役割を果たしているという話ですね...もちろん、ミクロ経済学は経済モデルであって、実際の市場に完全にフィットするわけではないわけですが、理論に反することをする必要はないですし、参考にして対応をすることは重要だと思います。

また、計量経済全般にいえる実際の市場の数式化やデータの把握は無理とはいえ、統計学的な分析はできるわけですから、こういう分析についての研究は日本でももっと盛になってもよいかと思います。

最初は、精度が低いもので使い物にならないという話かもしれませんが、数を重ねて改善をすることにより、精度は高まっていくと思います...

● CNIL

・2025.06.24 Cybersecurity: The Economic Benefits of GDPR

Cybersecurity: The Economic Benefits of GDPR	サイバーセキュリティ：GDPR の経済的メリット
The CNIL publishes an analysis of the economic impact of GDPR on cybersecurity. By reinforcing obligations in this area, the regulation has helped prevent, for instance in identity theft cases, between €585 million and €1.4 billion in cyber damages in the EU.	CNIL は、GDPR がサイバーセキュリティに与える経済的な影響に関する分析を発表した。この分野における義務を強化することで、この規制は、例えば個人情報の盗難の場合、EU 域内で 5 億 8500 万ユーロから 14 億ユーロのサイバー損害の防止に貢献している。
In its review of the economic impact of GDPR, five years after its entry into force, the CNIL noted that economic studies on the regulation tend to focus mainly on its costs and only marginally address its benefits. The CNIL undertook to study some of these benefits and provide a quantified analysis. This analysis approaches the topic from a cybersecurity perspective (Articles 32, 33, and 34 GDPR) to highlight the regulation’s positive impacts.	施行から 5 年を経て、GDPR の経済的な影響をレビューした CNIL は、この規制に関する経済調査は主にそのコストに焦点を当て、そのメリットについてはほとんど触れていない傾向があることに言及した。CNIL は、これらのメリットの一部を調査し、定量的な分析を行うことを決定した。この分析は、サイバーセキュリティの観点（GDPR 第 32 条、第 33 条、および第 34 条）からこのトピックに取り組み、この規制のプラスの影響を強調している。
In the economics of cybersecurity, information security is considered an investment decision made by companies. This investment decision follows a profitability logic: cybersecurity investment is weighed against its cost and the risk of cyberattacks.	サイバーセキュリティの経済学では、情報セキュリティは企業による投資判断とみなされる。この投資判断は収益性の論理に従う。つまり、サイバーセキュリティへの投資は、そのコストとサイバー攻撃のリスクと照らし合わせて検討される。
However, this calculation by companies overlooks a crucial factor — the impact of their investment on the wider society, known in economics as an externality. Because of these externalities, the spontaneous level of cybersecurity investment by companies is suboptimal in the absence of regulation. Regulations like GDPR help correct this market failure by requiring the implementation of security measures that benefit not only the data subject but also businesses and their partners.	しかし、企業のこの計算では、経済学で「外部性」と呼ばれる、投資が社会全体に与える影響という重要な要素が見落とされている。こうした外部性があるため、規制がない場合、企業のサイバーセキュリティへの投資は自発的には最適レベルに達しない。GDPR のような規制は、データ対象者だけでなく、企業やそのパートナーにも利益をもたらすセキュリティ対策の実施を義務付けることで、この市場の失敗を是正するのに役立つ。
Thus, the CNIL chose to study the benefits of GDPR through a quantified analysis focused on cybersecurity. A summary of the main findings from the full report is presented below.	そのため、CNIL は、サイバーセキュリティに焦点を当てた定量分析を通じて、GDPR のメリットを調査することにしました。報告書全体の主な結果の概要を以下に示す。
Download the study	調査報告書をダウンロード
The Different Types of Externalities in Cybersecurity	サイバーセキュリティにおけるさまざまな種類の外部性
Three main types of externalities can be identified, depending on the economic actor affected: other companies, cybercriminals, and clients/users.	影響を受ける経済主体に応じて、3 つの主な種類の外部性を識別することができる。
Externalities Affecting Other Companies	他の企業に影響を与える外部性
A company’s cybersecurity level also depends on the cybersecurity investments of other companies. A computer virus can spread from machine to machine in much the same way as a biological virus spreads through contagion. Consequently, when a company invests in cybersecurity, it helps create a more resilient overall environment against cybercrime—through a mechanism similar to herd immunity:	企業のサイバーセキュリティのレベルは、他の企業のサイバーセキュリティ投資にも依存する。コンピュータウイルスは、生物のウイルスが感染によって拡散するのと同じように、マシンからマシンへと拡散する。その結果、ある企業がサイバーセキュリティに投資すると、集団免疫と同様のメカニズムを通じて、サイバー犯罪に対する全体的なレジリエンスの高い環境を構築するのに役立つ。
・In subcontracting relationships, because the data security of the data controller depends on the security level of its subcontractor;	・下請け関係では、データ管理者のデータセキュリティは下請け業者のセキュリティレベルに依存するため。
・With partner companies or even competitors, who can "benefit" from the high data security standards within a given sector, creating a “virtuous circle.”	・パートナー企業や競合他社も、特定のセクターにおける高いデータセキュリティ標準の「恩恵」を受けることができ、「好循環」が生まれる。
However, a company has no incentive to consider the benefits its cybersecurity investments brings to its competitors, which limits its investment in this area.	しかし、企業はサイバーセキュリティへの投資が競合他社にもたらすメリットを考慮するインセンティブがないため、この分野への投資は限定的になる。
Externalities for Cybercriminals	サイバー犯罪者に対する外部性
Underinvestment in cybersecurity increases the profitability of cybercrime, particularly through ransomware (attacks that aim to extort a ransom).	サイバーセキュリティへの投資が不十分だと、特にランサムウェア（身代金を要求する攻撃）によるサイバー犯罪の収益性が高まる。
When security measures are insufficient, attacks are more likely to succeed. The more successful attacks there are, the more cybercriminals can demand large ransoms, knowing that a certain number of victims will eventually pay. Cybercriminals adjust ransom amounts to optimize profits by balancing two factors: on the one hand, a ransom that is too high may discourage victims from paying; on the other hand, a ransom that is too low will not maximize profit.	セキュリティ対策が不十分な場合、攻撃が成功する可能性が高まる。攻撃が成功するほど、サイバー犯罪者はより高額な身代金を要求できるようになる。なぜなら、一定数の被害者が最終的に支払うことを知っているからである。サイバー犯罪者は、2つの要因をバランスさせて利益を最大化するため、身代金の額を調整する。一方では、身代金が過度に高額だと被害者が支払いを断念する可能性がある。他方では、身代金が過度に低すぎると利益が最大化されない。
Since only a few companies are willing to pay very large sums, the optimal strategy depends on the number of successful attacks. If such attacks are rare, it is more profitable to demand moderate ransoms that most victims will agree to pay. However, if successful attacks are common, the probability that a victim company will pay a very high ransom increases. It then becomes more profitable for cybercriminals to set high ransoms to maximize their gains on those few large payments.	非常に高額な支払いを承諾する企業はごく一部であるため、最適な戦略は成功した攻撃の件数に依存する。攻撃が稀な場合、大多数の被害者が支払いを承諾する中程度の身代金を要求する方が利益が大きい。しかし、成功した攻撃が頻発する場合、被害企業が非常に高額な身代金を支払う確率が上昇する。これにより、サイバー犯罪者は少数の高額支払いから利益を最大化するため、高額な身代金を設定する方が利益が大きくなる。
Thus, the lack of investment in cybersecurity creates a vicious cycle: it increases the success rate of attacks, strengthens cybercriminals’ ability to demand higher sums, and ultimately boosts both the profitability and the severity of cybercrime.	このように、サイバーセキュリティへの投資の不足は悪循環を生み出す。攻撃の成功率が高まり、サイバー犯罪者がより多額の身代金を要求する能力が高まり、最終的にはサイバー犯罪の収益性と深刻度が高まる。
Externalities Affecting Customers	顧客に影響を与える外部性
Data breaches affecting companies often involve the personal data of their customers/users (natural persons). Such data can be used to launch further cyberattacks against the affected individual (phishing, identity theft, credential stuffing). Individuals who suffer the negative consequences from a data breach may not always be able to identify which company is responsible for the leak of their personal data.	企業に影響を与えるデータ漏えいは、多くの場合、顧客/ユーザー（自然人）の個人データに関わる。こうしたデータは、影響を受けた個人に対するさらなるサイバー攻撃（フィッシング、ID 盗難、クレデンシャルスタッフィング）に利用される可能性がある。データ漏えいの悪影響を受けた個人は、自分の個人データの漏えいの責任がどの企業にあるかを必ずしも特定できるとは限らない。
When a company discloses a data breach, it risks consequences: reputational damage, decreased valuation, loss of customer trust, etc. To avoid these repercussions, companies might choose not to disclose incidents in the absence of regulation.	企業がデータ漏えいを開示すると、評判の低下、企業価値の低下、顧客の信頼の喪失などのリスクが生じる。こうした影響を回避するため、企業は規制がない場合、インシデントの開示を行わないことを選択する可能性がある。
This kind of negative externality is suboptimal because it allows the companies in question to escape responsibility for the harm caused to their customers due to their underinvestment in cybersecurity, reducing their incentive to strengthen protections. Moreover, it prevents affected individuals from being vigilant and taking appropriate measures to protect themselves.	この種の負の外部性は、サイバーセキュリティへの投資不足によって顧客に与えた損害に対する責任を企業が回避し、保護を強化するインセンティブを低下させるため、最適ではない。さらに、影響を受けた個人が警戒し、自身を守るための適切な措置を講じることを妨げる。
The GDPR has made this opacity illegal: data controllers are now required to notify the data protection authority of any breach, and to notify affected individuals when there is a high risk related to a personal data breach. Companies that fail to comply with these obligations face sanctions. By reducing this externality, the GDPR therefore generates benefits for society as a whole.	GDPR は、このような不透明性を違法とした。データ管理者は、データ漏えいが発生した場合、データ保護当局に通知し、個人データ漏えいに関するリスクが高い場合は、影響を受ける個人にも通知することが義務付けられた。この義務を怠った企業には、制裁措置が科せられます。このように、GDPR は、この外部性を軽減することで、社会全体に利益をもたらしている。
In most cases, these various externalities are not taken into account when companies decide how much to invest in cybersecurity. As a result, without regulatory obligations like GDPR, investment in securing information systems remains insufficient.	多くの場合、企業がサイバーセキュリティへの投資額を決定する際には、こうしたさまざまな外部性は考慮されていない。その結果、GDPR のような規制上の義務がない場合、情報システムのセキュリティ確保への投資は不十分なままとなる。
The Benefits of the GDPR from a Cybersecurity Perspective	サイバーセキュリティの観点から見た GDPR のメリット
Compliance with the GDPR helps combat underinvestment in cybersecurity.	GDPR を遵守することで、サイバーセキュリティへの投資不足に対処することができる。
For example, by requiring entities to notify individuals of serious data breaches (Article 34 GDPR), people can choose to stop doing business with companies that do not maintain an adequate level of cybersecurity. This provision therefore helps reduce the externality affecting the company’s customers. The company is held accountable, which incentivises greater investment in cybersecurity.	例えば、事業体に重大なデータ侵害を個人に通知することを義務付ける（GDPR 第 34 条）ことで、人々は、適切なレベルのサイバーセキュリティを維持していない企業との取引を停止することを選択することができる。したがって、この規定は、企業の顧客に影響を与える外部性を軽減するのに役立つ。企業は責任を問われるため、サイバーセキュリティへの投資拡大のインセンティブとなる。
As such, economic research has examined the consequences related to identity theft:	このように、経済研究では、個人情報の盗難に関連する影響を調査している。
・By comparing the number of identity theft incidents before and after the implementation of this policy, economists found that data breach notifications lead to a 2.5% to 6.1% decrease in identity theft;	・この政策の実施前後の個人情報の盗難インシデントの数を比較したところ、データ侵害の通知により、個人情報の盗難が 2.5% から 6.1% 減少したことがわかった。
・By comparing this decrease with the cost of identity theft in France, it is possible to calculate that between €90 million and €219 million in losses have been avoided in France since 2018, and between €585 million and €1.4 billion across the EU;	・この減少をフランスの身分盗用のコストと比較すると、2018年以降、フランスで€9000万から€2億1900万の損失が回避され、EU全体では€5億8500万から€14億の損失が回避されたと推計できる；
・Taking into account compensation levels for these losses and the impact of identity theft on victims' trust in online shopping, it can be estimated that 82% of the avoided losses benefit companies.	・これらの損失の補償水準と、身分盗用がオンラインショッピングへの被害者の信頼に与える影響を考慮すると、回避された損失の82%が企業に利益をもたらすと推計できる。
These gains represent only a small portion of the total benefits brought by GDPR in terms of reducing cybercrime. They reflect the impact of just one of its provisions on a specific type of cybercrime (identity theft). One must also consider the positive effects of GDPR compliance on ransomware, botnets (networks of internet-connected programs), malware, and more. It would be worthwhile for economists to further explore the cybersecurity dimension in order to provide a more comprehensive view of this topic.	これらの利益は、サイバー犯罪の削減という点で GDPR がもたらす総利益のほんの一部に過ぎない。これは、特定の種類のサイバー犯罪（ID 盗難）に対する、GDPR の規定のうちの 1 つだけがもたらした影響を反映したものである。また、GDPR の遵守が、ランサムウェア、ボットネット（インターネットに接続されたプログラムのネットワーク）、マルウェアなどに対してもたらすプラスの効果も考慮する必要がある。このトピックについてより包括的な見解を示すためには、経済学者たちがサイバーセキュリティの側面についてさらに探求することが望ましい。
To download	ダウンロード
Cybersecurity economics and the benefits of GDPR	サイバーセキュリティの経済学と GDPR のメリット
Read more	更なる情報
The economic impact of GDPR, 5 years on	GDPR の経済的影響、5 年後

・[PDF]

・[DOCX][PDF] 仮訳

---

参考

● CNIL

・2024.04.02 The economic impact of GDPR, 5 years on

↓↓↓↓↓

Continue reading "フランス CNIL サイバーセキュリティ：GDPR の経済的メリット (2025.06.24)"

フランス ANSSI ゼロトラスト・モデル - 基本事項 (2025.06.20)

こんにちは、丸山満彦です。

フランスのANSSIがゼロトラストモデルの基本事項に関するガイドを公表していますね...NIST SP800-207を参照しているので、モデルとしてはほぼ同じような感じですかね...

● ANSSI

・2025.06.20 Zero Trust

Zero Trust	ゼロトラスト
Le modèle Zero Trust fait l’objet d’un engouement croissant en promettant un accès sécurisé aux ressources informatiques dans les contextes d'usages mixtes. Néanmoins, son déploiement doit être intégré dans une logique de défense en profondeur et respecter nombre de prérequis techniques et opérationnels pour assurer l’efficacité des mécanismes de contrôle d’accès.	ゼロトラストモデルは、混合利用環境におけるITリソースへの安全なアクセスを約束するとして、ますます注目されている。ただし、その導入は多層防御の戦略に組み込まれ、アクセス制御メカニズムの有効性を確保するために、数多くの技術的および運用上の要件を満たす必要がある。
Avec l’accroissement des usages liés au télétravail, à la pratique du « Bring Your Own Device » (BYOD) et aux accès hétérogènes à des services on-premise ou dans le cloud, les produits dérivés du modèle Zero Trust sont promus par les éditeurs.	テレワーク、BYOD（Bring Your Own Device）、オンプレミスやクラウドへの異種アクセスなどの利用の増加に伴い、ゼロトラストモデルを派生した製品がメーカーによって推進されている。
Les produits dits Zero Trust sont vus comme des solutions permettant de pallier certaines limitations des mesures traditionnelles telles que la protection des flux par VPN ou le filtrage réseau par des pares-feux périmétriques. Bien souvent, les modèles Zero Trust et de défense périmétrique sont opposés alors qu’ils sont complémentaires et partagent de nombreux principes communs. Ainsi le modèle Zero Trust doit être inclus dans une stratégie de défense en profondeur et il ne doit en aucun cas être vu comme un remplacement d’une défense périmétrique.	ゼロトラスト製品は、VPN によるトラフィック保護や境界ファイアウォールによるネットワークフィルタリングなどの従来の対策の限界を補うソリューションと見なされている。多くの場合、ゼロトラストモデルと境界防御モデルは対立する概念として捉えられているが、実際には補完的な関係にあり、多くの共通原則を共有している。したがって、ゼロトラストモデルは、多層防御戦略に組み込むべきものであり、境界防御の代替手段として捉えるべきではない。
Le principal objectif de ce modèle est de réduire la confiance implicite accordée à un sujet souhaitant accéder au système d’information (SI). Il apporter un éclairage complémentaire à l’avis scientifique et technique de l’ANSSI publié en 2021 sur le modèle Zero Trust et sur la manière dont il peut être mis en œuvre progressivement dans le cadre d’une stratégie de défense en profondeur.	このモデルの主な目的は、情報システム（IS）へのアクセスを希望する対象者に対する暗黙の信頼度を低下させることだ。これは、2021 年に ANSSI が発表した、ゼロトラストモデルと、多層防御戦略の一環としてこのモデルを段階的に導入する方法に関する科学的および技術的な見解を補足するものである。

・[PDF]

・[DOCX][PDF] 仮訳

目次...

1 Préambule	1 前文
2 Principes généraux	2 一般原則
2.1 Glossaire	2.1 用語集
2.2 Objectif du modèle Zero Trust	2.2 ゼロトラスト・モデルの目的
2.3 Architecture fonctionnelle de contrôle d'accès Zero Trust	2.3 ゼロトラスト・アクセス制御機能アーキテクチャ
2.3.1 Principes du contrôle d'accès	2.3.1 アクセス制御の原則
2.3.2 Contraintes de sécurité relatives aux attributs	2.3.2 属性に関するセキュリティ制約
2.3.3 Descriptions des fonctionnalités	2.3.3 機能記述
2.3.3.1 Gérer les identités et les authentifiants	2.3.3.1 ID および認証管理
2.3.3.2 Gérer les données et leurs attributs	2.3.3.2 データとその属性の管理
2.3.3.3 Gérer les actifs et leurs vulnérabilités	2.3.3.3 資産とその脆弱性の管理
2.3.3.4 Détecter la menace	2.3.3.4 脅威の検知
2.3.3.5 Contrôler les autorisations	2.3.3.5 認証の制御
2.4 Mécanismes de sécurité pour la mise en œuvre du modèle Zero Trust	2.4 ゼロ・トラスト・モデルを実装するためのセキュリティ・メカニズム
2.4.1 Niveau de confiance des sujets et des équipements utilisés	2.4.1 使用される主体および機器に対する信頼レベル
2.4.1.1 Assurance de l’identité	2.4.1.1 アイデンティティの保証
2.4.1.2 Assurance du niveau d’intégrité de l’équipement	2.4.1.2 機器の完全性保証
2.4.2 Protection des ressources	2.4.2 リソースの保護
2.4.2.1 Protection des réseaux	2.4.2.1 ネットワークの保護
2.4.2.2 Protection des applications	2.4.2.2 アプリケーションの保護
2.4.2.3 Protection des données	2.4.2.3 データ保護
2.5 Principaux risques associés au modèle Zero Trust	2.5 ゼロトラスト・モデルに関連する主なリスク
3 Recommandations	3 提言
3.1 Objectifs de sécurité et état des lieux	3.1 セキュリティ目標と現状
3.2 Évaluation de faisabilité et définition des besoins d'accès	3.2 実現可能性評価とアクセス要件の定義
3.2.1 Identification des cas d'usage	3.2.1 ユースケースの特定
3.2.2 Attributs de sécurité	3.2.2 セキュリティ属性
3.2.2.1 Identifier et appliquer les attributs de sécurité	3.2.2.1 セキュリティ属性の識別と適用
3.2.2.2 Évaluer la disponibilité et la qualité des données	3.2.2.2 データの利用可能性と品質の評価
3.2.2.3 Évaluer les contraintes pour la gestion des attributs de sécurité	3.2.2.3 セキュリティ属性を管理するための制約の評価
3.2.3 Politique de contrôle d'accès	3.2.3 アクセス制御ポリシー
3.3 Acquisition, développement et maintenance	3.3 取得、開発、保守
3.4 Recommandations générales sur l'architecture	3.4 アーキテクチャに関する一般的推奨
Bibliographie	参考文献

前文...

1 Préambule	1 前文
Avec l’accroissement des usages liés au télétravail, à la pratique du « Bring Your Own Device » (BYOD[1]) et aux accès hétérogènes à des services on-premise ou dans le cloud, les produits dérivés du modèle Zero Trust sont promus par les éditeurs. Le principal objectif de ce modèle est de réduire la confiance implicite accordée à un sujet souhaitant accéder au système d’information (SI). Le contrôle d’accès logique repose alors sur :	テレワーク、BYOD（Bring Your Own Device：私物デバイスの持ち込み）（[1] ）、オンプレミスやクラウドサービスへの異機種アクセスの増加に伴い、ソフトウェアパブリッシャは、ゼロトラストモデルから派生した製品を推進している。このモデルの主な目的は、情報システム（IS）へのアクセスを希望する人に対する暗黙の信頼を減らすことである。論理的アクセス制御は、以下に基づいている：
▪ une évaluation dynamique et régulière du sujet cherchant à accéder à une ressource;	▪ リソースにアクセスしようとする対象者を動的かつ定期的に評価する；
▪ une évaluation dynamique et régulière du contexte d’accès d’un sujet incluant notamment l’état de sécurité du poste utilisé pour réaliser ces accès;	▪ 特にアクセスを実行するために使用されるワークステーションのセキュリティ状態を含む、対象者のアクセス状況の動的かつ定期的な評価；
▪ la criticité en termes de disponibilité, d’intégrité et de confidentialité de la ressource accédée.	▪ アクセスされるリソースの可用性、完全性、機密性の観点からの重要性。
Les produits dits Zero Trust sont vus comme des solutions permettant de pallier certaines limitations des mesures traditionnelles telles que la protection des flux par VPN ou le filtrage réseau par des pares-feux périmétriques. Bien souvent, les modèles Zero Trust et de défense périmétrique sont opposés alors qu’ils sont complémentaires et partagent de nombreux principes communs. Ainsi le modèle Zero Trust doit être inclus dans une stratégie de défense en profondeur et il ne doit en aucun cas être vu comme un remplacement d’une défense périmétrique.	ゼロ・トラスト製品は、VPNフロー保護や境界ファイアウォールによるネットワーク・フィルタリングなど、従来の対策の限界を克服するソリューションと考えられている。ゼロ・トラストと境界防御モデルは、互いに補完し合い、多くの共通原則を共有しているにもかかわらず、しばしば相反するものと見なされる。ゼロ・トラスト・モデルは、深層防御戦略に含まれるべきであり、決して境界防御の代替と見なすべきではない。
En effet, l’idée d’une rupture entre les modèles Zero Trust et de défense périmétrique pourrait mener à une dégradation du niveau de sécurité global des entités. Le déploiement de produits dits Zero Trust n’est pas sans risque et doit impérativement être intégré dans une démarche globale de maîtrise des risques. En particulier, les politiques de contrôle d’accès dans le contexte du Zero Trust sont complexes à définir et à mettre en œuvre. Cela peut mener à un faux sentiment de sécurité en cas d’accès illégitime autorisé à tort, ou se révéler un frein à l’opération en cas d’accès légitime non autorisé à tort. Toutefois, si ce modèle est bien implémenté et sa configuration maintenue à jour dans le temps, celui-ci pourrait permettre à une entité d’avoir une posture de sécurité plus proactive face aux menaces.	実際、ゼロ・トラスト・モデルと境界防御モデルの間を断ち切るという考え方は、事業体の全体的なセキュリティ・レベルの低下を招きかねない。いわゆるゼロ・トラスト製品の導入は、リスクがないわけではなく、全体的なリスク管理アプローチに統合されなければならない。特に、ゼロ・トラストの文脈におけるアクセス・コントロール・ポリシーは、定義と実装が複雑である。このため、不正に承認された非合法なアクセスが発生した場合には誤った安心感につながり、不正に承認されなかった合法的なアクセスが発生した場合には業務に支障をきたすことになる。しかし、このモデルが適切に実装され、その構成が時とともに最新に保たれるならば、脅威に対してより積極的なセキュリティ態勢をとることが可能になる。
Ce document a pour objectif d’apporter un éclairage, complémentaire à l’avis scientifique et technique de l’ANSSI publié en 2020 [1], sur le modèle Zero Trust et sur la manière dont il peut être mis en œuvre progressivement dans le cadre d’une stratégie de défense en profondeur. Ce document traite uniquement des principes généraux et des principales recommandations en la matière, et ne se veut ni exhaustif ni détaillé sur les cas d’usage. Il ne présente pas de stratégie de migration, dont une approche est, par exemple, proposée dans un document de la CISA [12].	本文書の目的は、2020 年に発表された ANSSI の科学的・技術的見解 [1]に加えて、ゼロトラスト・モデルと、Defense in Depth 戦略の一部としてどのように段階的に実装できるかに光を当てることである。本文書は、このテーマに関する一般原則と主な推奨事項のみを扱っており、ユースケースについて網羅的または詳細に説明することを意図していない。例えば、CISA文書[12]で提案されているような移行戦略を提示するものではない。
[1] . Terme français équivalent : AVEC – Apportez votre équipement personnel de communication.	[1].相当するフランス語 ：AVEC - 個人用通信機器を持参すること。

・2025.06.20 Modèle Zero Trust

Modèle Zero Trust	ゼロトラストモデル
Dans cet Essentiel, l'ANSSI vous propose une dizaine de recommandations pour adopter le modèle Zero Trust de manière progressive et sécurisée, à travers une démarche de transformation réfléchie et la prise en compte des grands principes techniques.	このエッセンシャルでは、ANSSI は、熟考された変革アプローチと主要な技術的原則の考慮を通じて、ゼロトラストモデルを段階的かつ安全に採用するための 10 ほどの推奨事項を提案している。
Les Essentiels de l’ANSSI visent à éclairer l’ensemble de nos lecteurs, quel que soit leur niveau de connaissance technique, sur les grands enjeux de la cybersécurité.	ANSSI のエッセンシャルは、技術的な知識のレベルに関係なく、すべての読者にサイバーセキュリティの主要な課題について理解を深めてもらうことを目的としている。
Ils reflètent le point de vue de l’agence au moment de leur publication et ne se positionnent pas comme des documents de recommandations détaillées, comme nos guides. Il s’agit plutôt de l’énonciation de bonnes pratiques indépendantes pouvant être mises en place de façon complémentaire.	これらは、発行時点における当局の見解を反映しており、ガイドのような詳細な推奨事項を示す文書ではない。むしろ、補完的に実施できる独立したベストプラクティスの表明である。
Ces recommandations sont susceptibles d’être mises à jour régulièrement suivant l’évolution de la menace, des technologies utilisées, de nos retours d’expérience, etc.	これらの推奨事項は、脅威、使用される技術、当局の経験などに応じて、定期的に更新される可能性がある。

・[PDF]

OECD プライバシー強化技術を用いた信頼性の高い AI モデルの共有

こんにちは、丸山満彦です。

2025.06.17-20にかけてOECDがAIについてのいくつかの報告書を公表していますが、その1つで、プライバシー強化技術（PETs）についてです...

とてもユースケースがたくさん紹介されていて、とても参考になると思います。

ユースケースは大きく２つにわけていて

1. 信頼可能な実行環境、連合学習、安全な多者間計算などの技術を用いて、入力データを機密保持し、最小限に利用することで AI モデルのパフォーマンスを向上させる
2. 差分プライバシー、信頼可能な実行環境、準同型暗号などのツールを用いて、AI モデルの機密保持された共同作成と共有を可能にする

● OECD

・2025.06.17 Sharing trustworthy AI models with privacy-enhancing technologies

Sharing trustworthy AI models with privacy-enhancing technologies	プライバシー強化技術を用いた信頼性の高い AI モデルの共有
Abstract	概要
Privacy-enhancing technologies (PETs) are critical tools for building trust in the collaborative development and sharing of artificial intelligence (AI) models while protecting privacy, intellectual property, and sensitive information. This report identifies two key types of PET use cases. The first is enhancing the performance of AI models through confidential and minimal use of input data, with technologies like trusted execution environments, federated learning, and secure multi-party computation. The second is enabling the confidential co-creation and sharing of AI models using tools such as differential privacy, trusted execution environments, and homomorphic encryption. PETs can reduce the need for additional data collection, facilitate data-sharing partnerships, and help address risks in AI governance. However, they are not silver bullets. While combining different PETs can help compensate for their individual limitations, balancing utility, efficiency, and usability remains challenging. Governments and regulators can encourage PET adoption through policies, including guidance, regulatory sandboxes, and R&D support, which would help build sustainable PET markets and promote trustworthy AI innovation.	プライバシー強化技術（PET）は、プライバシー、知的財産、機密情報を保護しながら、人工知能（AI）モデルの共同開発と共有における信頼を構築するための重要なツールである。この報告書では、PET の 2 つの主な使用例を特定していつ。1 つ目は、信頼可能な実行環境、連合学習、安全な多者間計算などの技術を用いて、入力データを機密保持し、最小限に利用することで AI モデルのパフォーマンスを向上させることである。2 つ目は、差分プライバシー、信頼可能な実行環境、準同型暗号などのツールを用いて、AI モデルの機密保持された共同作成と共有を可能にするものである。PET は、追加のデータ収集の必要性を減らし、データ共有のパートナーシップを促進し、AI ガバナンスのリスクに対処するのに役立つ。ただし、PET は万能薬ではない。さまざまな PET を組み合わせることで、それぞれの限界を補うことはできるが、有用性、効率性、使いやすさのバランスを取ることは依然として難しい。政府や規制当局は、ガイダンス、規制のサンドボックス、研究開発支援などの政策を通じて PET の採用を促進することで、持続可能な PET 市場の構築と信頼性の高い AI イノベーションの推進に貢献することができる。

・[PDF]

・[DOCX][PDF] 仮訳

目次...

genn	まえがき
Executive summary	エグゼクティブサマリー
1 Introduction	1 序論
2 Use Case Archetypes: PETs enabling trustworthy collaborative development and sharing of artificial intelligence models	2 ユースケースの原型：人工知能モデルの信頼できる共同開発と共有を可能にする PETs
Use case archetype 1: Enhancing AI model performance through minimal and confidential use of input and test data	ユースケース原型1：入力データとテストデータの最小限の秘密使用によるAIモデルの性能強化
Use case archetype 2: Co-creating or sharing AI models while preserving confidentiality	ユースケース原型2：機密性を保持しながらAIモデルを共同作成または共有する
3 Policy initiatives on PETs and AI	3 PETsとAIに関する政策イニシアティブ
Regulatory sandboxes and other sandboxes	規制のサンドボックスとその他のサンドボックス
Innovation contests	イノベーション・コンテスト
Research and development (R&D) support	研究開発（R&D）支援
Collaboration initiatives	共同イニシアチブ
Government procurement	政府調達
Annex A. PET functions across AI lifecycle stages and use cases	附属書A.AIのライフサイクル段階とユースケースにおけるPET機能
References	参考文献

エグゼクティブサマリー...

Executive summary	エグゼクティブサマリー
Privacy-enhancing technologies (PETs) play a crucial role in enabling trust for the collaborative development and sharing of artificial intelligence (AI) models by protecting privacy rights, but also other rights and interests such as intellectual property rights. PETs do so by ensuring: (i) data minimisation (i.e. limiting data collection and processing to what is directly relevant and necessary for the purpose of training or testing the AI model) and (ii) confidentiality (i.e. preventing unauthorised access to information contained in input data or the AI model).	プライバシー強化技術（PETs）は、プライバシーの権利だけでなく、知的財産権など他の権利や利益も保護することで、人工知能（AI）モデルの共同開発と共有の信頼を可能にする上で重要な役割を果たす。PETは、(i)データの最小化（すなわち、データの収集と処理を、AIモデルの訓練またはテストの目的に直接関連し必要なものに限定すること）、および(ii)機密性（すなわち、入力データやAIモデルに含まれる情報への不正アクセスを防止すること）を確保することによって、これを実現する。
This report highlights two primary use case archetypes derived mainly from a set of use cases discussed at two OECD expert workshops on PETs and AI held between May and July 2024 (hereafter “the OECD expert workshops on PETs and AI”). These use case archetypes include, using PETs for:	本報告書では、主に、2024 年 5 月から 7 月にかけて開催された PET と AI に関する 2 つの OECD 専門家ワークショップ（以下、「PET と AI に関する OECD 専門家ワークショップ」）で議論された一連のユースケースから導き出された 2 つの主要なユースケースの原型を取り上げる。これらのユースケースの原型には、以下のものが含まれる：
• Use case archetype 1 — Enhancing AI model performance through minimal and confidential use of input and test data: Often, no single organisation will have access to the necessary variety or volume of data, making external data access critical yet complex due to confidentiality, trust, or regulatory concerns. In the use cases highlighted during the OECD expert workshops on PETs and AI, two main functions of PETs stand out in relation to input and test data: (i) ensuring confidential preprocessing of input data, notably through the use of secured data processing environments such as trusted execution environments (TEEs); and (ii) minimising the collection and use of personal data, and of non-personal but otherwise sensitive data, for AI model training and performance testing, where a variety of PETs are typically combined to protect data and maintain control during their collaborative use. For the latter function, for instance, PETs like federated learning and (secure) multi-party computation (MPC) are often used for the collaborative use of input data as they allow distributed data processing while keeping data under the control of their holders. Meanwhile, synthetic data are predominantly used for sharing test data. All these approaches are typically used in combination with other PETs such as differential privacy to mitigate their respective drawbacks.	• ユースケース原型 1 - 入力データとテストデータの最小限の秘密使用による AI モデル性能の向上：多くの場合、単一の組織では必要な種類のデータや大量のデータにアクセスできず、機密性、信頼性、規制上の懸念から、外部からのデータアクセスが重要でありながら複雑なものとなる。PETとAIに関するOECD専門家ワークショップで強調されたユースケースでは、入力データとテス トデータに関するPETの2つの主な機能が際立っている：(i) 特に信頼可能な実行環境（TEE）のようなセキュアなデータ処 理環境の使用を通じて、入力データの機密前処理を確保すること、(ii) AIモデルの学習と性能テストのために、パーソナルデータの収集と使用を最小化すること、お よび非個人データであるがその他の機密データの収集と使用を最小化すること。後者の機能では、例えば連合学習や（セキュアな）マルチパーティ計算（MPC）のようなPETが、データを保持者の管理下に置きながら分散データ処理を可能にするため、入力データの共同利用によく使われる。一方、合成データは主にテストデータの共有に使われる。これらのアプローチはすべて、それぞれの欠点を緩和するために、差分プライバシーなどの他のPETと組み合わせて使用されるのが一般的である。
• Use case archetype 2 — Enabling confidential co-creation and sharing of AI models: In addition to the collaborative use of input and test data, the joint development of AI models by multiple parties as well as their joint re-use (AI model sharing) can drive innovation by e.g. democratising access to powerful AI models, including by smaller actors such as small and medium-sized enterprises (SMEs). However, co-creating or sharing AI models presents heightened confidentiality risks, as shared models can be the target of unauthorised access, manipulation, or extraction of confidential proprietary or personal information (through e.g. reverse engineering from model weights) with negative effects on privacy and other rights and interests. Under this archetype, PETs are primarily used to: (i) confidentially co-create AI models, with PETs enabling distributed confidential data processing, such as MPC and federated learning, being the most prominent PETs; and (ii) protect AI models and their outputs (inferences) by providing complementary layers of protection. For example, differential privacy helps reduce the identifiability of output data, while trusted execution environments (TEEs) and (fully) homomorphic encryption (HE) protect the confidentiality of data and models during computation.	• ユースケース原型2 - AIモデルの機密の共創と共有を可能にする：入力データやテストデータの共同利用に加え、複数の関係者によるAIモデルの共同開発やその共同再利用（AIモデルの共有）は、例えば中小企業（SMEs）のような小規模な関係者を含め、強力なAIモデルへのアクセスを民主化することによってイノベーションを促進することができる。しかし、AIモデルの共創や共有は、プライバシーやその他の権利や利益に悪影響を及ぼす（モデル・ウェイトからのリバースエンジニアリングなどによる）無許可のアクセス、操作、機密の専有情報や個人情報の抽出の対象となりうるため、機密性のリスクが高まる。この原型のもとでは、PETは主に以下の目的で使用される：(i)MPCや連合学習などの分散機密データ処理を可能にするPETが最も顕著なPETであり、(ii)相補的な保護層を提供することによってAIモデルとその出力（推論）を保護する。例えば、差分プライバシーは出力データの識別可能性（ ）を低減するのに役立ち、信頼可能な実行環境（TEEs）と（完全な）準同型暗号（HE）は計算中のデータとモデルの機密性を保護する。
In both use case archetypes, PETs are used to minimise or eliminate the need for an organisation training an AI model to collect and process additional personal data or otherwise sensitive or confidential information. In so doing, PETs help reduce the risk of trust violations between parties, which in turn facilitates “data-sharing partnerships” as called for in the OECD Recommendation on Enhancing Access to and Sharing of Data. In contrast with use case archetype 1, where a single entity typically controls the data collection and model creation process, in use case archetype 2, each party has shared ownership and control over the model creation process, as well as the resulting AI model, unless access to the latter (the AI model) is restricted through complementary layers of PETs to further enhance confidentiality and trust.	どちらのユースケースにおいても、PETは、AIモデルをトレーニングする組織が、個人データやその他の機密情報を追加で収集・処理する必要性を最小化または排除するために使用される。そうすることで、PETは当事者間の信頼侵害のリスクを低減し、OECDの「データへのアクセスと共有の強化に関する勧告」で求められている「データ共有パートナーシップ」を促進する。通常、単一の事業体がデータ収集とモデル作成プロセスを管理するユースケース原型 1 とは対照的に、ユースケース原型 2 では、各当事者は、モデル作成プロセスだけでなく、結果として得られる AI モデルに対する所有権と制御権を共有する。ただし、後者（AI モデル）へのアクセスは、機密性と信頼性をさらに高めるために、補完的なレイヤーの PET によって制限される。
It is widely acknowledged that PETs are not a silver bullet despite the crucial role they play in addressing data governance and privacy challenges in the context of AI. Different PETs can often be combined to compensate for their respective limitations, but challenges remain in balancing utility, efficiency and usability. For example, synthetic data and differential privacy help reduce re-identification risks but may introduce bias or degrade model accuracy. Homomorphic encryption can help ensure secure computation but comes with higher computational costs, while MPC can mitigate data leakage risks in federated learning but may suffer from high communication overhead. As PETs evolve, addressing these trade-offs and operational constraints will be essential to maximising their potential while ensuring truly privacypreserving AI innovation.	PETは、AIの文脈におけるデータ・ガバナンスとプライバシーの課題に対処する上で極めて重要な役割を果たすにもかかわらず、銀の弾丸ではないことは広く認められている。さまざまなPETを組み合わせることで、それぞれの限界を補うことができる場合が多いが、実用性、効率性、使いやすさのバランスをとるという課題は残っている。例えば、合成データと差分プライバシーは、再識別リスクの低減に役立つが、バイアスを導入したり、モデルの精度を低下させたりする可能性がある。準同型暗号は安全な計算を保証するのに役立つが、計算コストが高くなる。MPCは連合学習におけるデータ漏洩リスクを緩和できるが、通信オーバーヘッドが高くなる可能性がある。PETが進化するにつれて、これらのトレードオフと運用上の制約に対処することは、真にプライバシーを保護するAIイノベーションを確保しながら、その可能性を最大限に引き出すために不可欠となる。
With PET adoption remaining a major policy challenge however, including in the context of AI, governments and regulators have an active role to play to ensure the appropriate adoption of PETs. A wide variety of policy measures can be considered to promote innovation in and with PETs and AI from both a demand and supply side. On the demand side (aimed directly at increasing the adoption and use of PETs), framework and guidance for responsible adoption of PETs, regulatory sandboxes and innovation contests are among the most prominent policy tools used by governments and regulators. Other key approaches include collaboration initiatives, awareness raising and training, and government procurement of PETs. On the supply side (aimed directly at fostering the availability of PET solutions and services), research and development (R&D) support is crucial to ensuring that PETs are not only efficient but also cost-effective and user-friendly.	しかし、PETの採用は、AIの文脈も含め、依然として大きな政策課題であるため、政府と規制当局は、PETの適切な採用を確保するために積極的な役割を担っている。PETとAIのイノベーションを促進するために、需要側と供給側の両方から、様々な政策手段を検討することができる。需要側（PETs の採用と使用を直接的に増加させることを目的とする）では、PETs の責任ある採用のための枠組みやガイダンス、規制のサンドボックス、イノベーショ ンコンテストが、政府とガバナンスによって使用される最も顕著な政策手段の一つである。その他の主要なアプローチには、連携イニシアティブ、意識向上およびトレーニング、 PETs の政府調達などがある。供給側（PETソリューションとサービスの利用可能性を促進することを直接の目的とする）では、研究開発（R&D）支援は、PETが効率的であるだけでなく、費用対効果も高く、使い勝手のよいものであることを保証するために極めて重要である。
The demand and supply side measures complement each other. This interdependence is particularly critical for PET product and service providers, especially startups and SMEs, which depend on a growing market to sustain their operations and ensure the viability of their business models. Low demand can hinder market entry and growth, making it difficult for these firms to scale, which in turn limits incentives for supply-side innovation including the development of new, more effective PET solutions. This can in turn negatively affect demand for PETs.	需要側と供給側の対策は、互いに補完し合うものである。この相互依存は、PET製品・サービスプロバイダ、特に新興企業や中小企業にとって特に重要であり、これらのプロバイダは、事業を維持し、ビジネスモデルの実行可能性を確保するために、市場の成長に依存している。需要が低いと、市場参入と成長が妨げられ、これらの企業が規模を拡大することが難しくなり、その結果、より効果的な新しいPETソリューションの開発など、供給側の技術革新のインセンティブが制限されることになる。これは、ひいてはPETの需要に悪影響を及ぼす可能性がある。

フランス CNIL オンラインにおける個人情報およびプライバシーの保護に関する意識向上のための「マンガ」を発行 (2025.06.12)

こんにちは、丸山満彦です。

フランスの個人データ保護機関であるCNILが、オンラインにおける個人情報およびプライバシーの保護に関する意識向上のための「マンガ」を発行していますね...

主に11歳から15歳を対象としているようで、読んでもらいやすいように「マンガ」にしたそうです。「マンガ」「manga」はすっかり国際語になりましたね...

ハッキング、サイバーいじめ、個人情報の盗用など、若者たちに関するデジタルリスクを扱っているようです...

2025年に第1巻、その後、2026年、2027年に第2巻、第3巻と発行していく予定のようですね...

英語版も作っていくようです...

● CNIL.

・2025.06.12 La CNIL publie un « manga » pour sensibiliser à la protection des données personnelles et à la vie privée en ligne

La CNIL publie un « manga » pour sensibiliser à la protection des données personnelles et à la vie privée en ligne	CNILは、個人データの保護とオンラインプライバシーに関する意識向上を目的とした「マンガ」を発行
Comment parler de données personnelles avec les adolescents ? Avec L’Agence Privacy, inspirée des codes du manga, la CNIL aborde sans détour les risques numériques qui concernent les jeunes : piratage, cyberharcèlement, usurpation d’identité… Un format immersif et pédagogique pour susciter la discussion autour de la vie privée en ligne.	10代の若者たちと個人データについてどう話せばいいか？マンガのコードを参考にした「L’Agence Privacy」を通じて、CNILは、ハッキング、サイバーいじめ、個人情報の盗用など、若者たちに関するデジタルリスクを率直に扱っている。オンラインのプライバシーについて議論を喚起する、没入型で教育的なフォーマットだ。
Un format original et accessible, plébiscité chez les 11-15 ans	11～15 歳の若者に人気の、独創的で親しみやすい形式
Le numérique est omniprésent dans la vie des jeunes (réseaux sociaux, applications, jeux vidéo, etc.) et la bande dessinée occupe une place importante dans le développement de la lecture chez les adolescents (source : étude 2023 Junior City et syndicat national de l’édition). C’est donc naturellement que la CNIL a choisi ce format attractif pour sensibiliser les 11-15 ans aux enjeux et risques liés à leurs usages.	デジタルは、若者の生活（ソーシャルネットワーク、アプリ、ビデオゲームなど）に浸透しており、漫画は青少年の読書の育成に重要な役割を果たしている（出典：2023 ジュニアシティおよび全国出版組合の調査）。そのため、CNILは11～15歳を対象に、デジタル技術の活用に伴う課題やリスクについて意識を高めるため、この魅力的な形式を採用した。
Alliant intrigue, humour et pédagogie, ce premier tome intitulé Le réseau fantôme suit les aventures de deux enquêteurs de l’Agence Privacy, Inaya et Isidore. Ils vont chercher à comprendre pourquoi les noms de trois lycéens, victimes de mésaventures en ligne et mis au ban de leur classe, se retrouvent sur une liste trouvée dans un local volontairement incendié…	この第1巻『Le réseau fantôme（幽霊のネットワーク）』は、ストーリー、ユーモア、教育性を兼ね備え、プライバシー庁の2人の調査員、イナヤとイジドールが、オンラインでの不運な出来事でクラスの仲間から排除された3人の高校生の名前が、故意に放火された建物で見つかったリストに載っている理由を探る冒険を描いている。
Pour produire cet ouvrage, la CNIL s’est appuyée sur les talents combinés de Faouzi Boughida, scénariste de jeux vidéo, et Grelin, illustrateur et auteur de BD.	この作品の制作には、ビデオゲームシナリオライターのファウジ・ブギダと、イラストレーター兼漫画家のグレランの才能が結集されている。
Il aborde des sujets concrets : piratage et usurpation d’identité, cyberharcèlement, e-réputation, ou encore cybersécurité. Le tout à travers un récit à rebondissements, des dessins dynamiques et des personnages attachants.	この作品は、ハッキングや個人情報の盗用、ネットいじめ、ネット上の評判、サイバーセキュリティなど、具体的なテーマを取り上げている。そのすべては、紆余曲折に満ちたストーリー、ダイナミックな絵、そして愛すべきキャラクターたちを通して描かれている。
Une version anglaise du tome 1 sera publiée prochainement. Deux autres tomes sont prévus aux printemps 2026 et 2027.	第 1 巻の英語版も間もなく発行される予定だ。第 2 巻と第 3 巻は 2026 年と 2027 年の春に発行予定である。
Découvrir le tome 1 – Le réseau fantôme	第 1 巻「Le réseau fantôme（幽霊のネットワーク）」を見る
Le réseau fantôme - Chapitre 1	幽霊のネットワーク - 第 1 章
Le réseau fantôme - Chapitre 2	幽霊のネットワーク - 第 2 章
Le réseau fantôme - Chapitre 3	幽霊のネットワーク - 第 3 章
Le réseau fantôme - Chapitre 4	幽霊のネットワーク - 第 4 章
Un outil pédagogique pour les acteurs de l’éducation au numérique	デジタル教育に携わる人々向けの教育ツール
Les 3 tomes de L’Agence Privacy viennent compléter les nombreuses ressources produites par la CNIL dans le cadre de sa mission de sensibilisation et constituent une des actions menées au titre de l’axe « Protéger les mineurs et leurs données dans l’univers numérique » de son plan stratégique 2025-2028.	『L’Agence Privacy』の3巻は、CNILが啓発活動の一環として制作した数多くの資料を補完するものであり、2025年から2028年までの戦略計画「デジタル世界における未成年者とそのデータの保護」の一環として実施されている取り組みのひとつだ。
Disponible gratuitement en ligne sur le site de la CNIL, la version papier du premier tome de L’Agence Privacy sera diffusée à tous les collèges de France, mais aussi auprès du réseau de partenaires institutionnels de la CNIL, ainsi qu’à certaines bibliothèques municipales partenaires.	CNIL のウェブサイトから無料でダウンロードできる『L’Agence Privacy』第 1 巻の紙版は、フランスの全中学校、CNIL の機関パートナーネットワーク、および一部の提携公共図書館に配布される。
Outil de médiation, le « manga » sera également distribué lors d’actions de sensibilisation réalisées dans les établissements scolaires et lors d’événements auxquels la CNIL participe.	調停ツールとしての「マンガ」は、学校での啓発活動やCNILが参加するイベントでも配布される。
Vous êtes un acteur de l’éducation au numérique et souhaitez obtenir gratuitement un exemplaire en format papier ?	デジタル教育に携わる方で、紙媒体の無料コピーをご希望の方は、CNILの広報サービスまでお問い合わせください。
Vous pouvez en faire la demande auprès du Service de sensibilisation du public de la CNIL : [mail]	お問い合わせは、CNILの広報サービスまで： [mail]
Dans la limite des stocks disponibles.	在庫限りでお渡しする。
Document reference	参考資料
À télécharger	ダウンロード
L'agence Privacy : Le réseau fantôme - Chapitre 1	プライバシー機関：幽霊のネットワーク - 第 1 章
L'agence Privacy : Le réseau fantôme - Chapitre 2	プライバシー機関：幽霊のネットワーク - 第 2 章
L'agence Privacy : Le réseau fantôme - Chapitre 3	プライバシー機関：幽霊のネットワーク - 第 3 章
L'agence Privacy : Le réseau fantôme - Chapitre 4	プライバシー機関：幽霊のネットワーク - 第 4 章
Les ressources	リソース
Tous ensemble, prudence sur Internet ! Les ressources pour les 11 - 15 ans	みんなで一緒に、インターネットを安全に利用しよう！11～15歳向けのリソース

[PDF] (Chapitre 1) (Chapitre 2) (Chapitre 3) (Chapitre 4)

---

日本の個人情報保護委員会はさらに進んでいて、YouTubeのアニメにしていますよね...豊富にそろっているので是非..

● 個人情報保護委員会

・個人情報保護委員会チャンネル

フランス ANSSI 産業用インターネットのSSIアプローチ (2025.05.30)

こんにちは、丸山満彦です。

フランスのANSSIが、産業システムのセキュリティについてIIoT（産業用IoT）の例を使ってITとOTを安全に相互接続できるようなゲートウェイアーキテクチャモデルの提案をしていますね。。。

● ANSSI

・2025.05.30 Approche SSI pour l'Internet des objets industriels

Approche SSI pour l'Internet des objets industriels	産業用インターネットのSSIアプローチ
Cet article aborde les nouveaux risques inhérents à l’introduction de nouvelles technologies dans le domaine des systèmes industriels à travers l’exemple de l’IIoT. Il propose un modèle d’architecture de passerelle d’interconnexion sécurisée entre les mondes industriel et de gestion sans nécessiter la refonte de l’architecture du système industriel en profondeur.	この記事では、IIoTの例を通して、産業システム分野に新しい技術を導入することに伴う新たなリスクについて取り上げる。産業分野と管理分野を相互に接続する、安全なゲートウェイアーキテクチャモデルを、産業システムのアーキテクチャを大幅に再構築することなく提案する。
Approche SSI pour l'internet des objets indutriels	産業用モノのインターネットに対する SSI アプローチ
L’Industrial Internet of Things (IIoT) induit de nouveaux usages s’appuyant sur le traitement et la valorisation accrue de la donnée industrielle. Ces nouveaux usages génèrent de la valeur complémentaire pour les industriels : réduction des coûts de maintenance, amélioration des rendements, revente des données, etc.	産業用IoT（IIoT）は、産業用データの処理と活用を強化した新しいユースケースを生み出しています。これらの新しいユースケースは、メンテナンスコストの削減、生産性の向上、データの再販など、産業に付加価値をもたらす。
Ces systèmes sont susceptibles d’être la cible d’attaques à but lucratif par des groupes cybercriminels menant des actions de masse et la cible d’attaques à but d’espionnage ou de déstabilisation de groupes d’attaquants appuyés par des États. Ces menaces doivent être prises au sérieux d’autant qu’elles sont soutenues dans le temps. L’IIoT offre une surface d’attaque supplémentaire pour ces attaquants. Il convient donc d’adopter une approche SSI dans les choix d’utilisation et de déploiement.	これらのシステムは、大規模な攻撃を行うサイバー犯罪者グループによる金銭目的の攻撃や、国家の支援を受けた攻撃者グループによるスパイ活動や不安定化を目的とした攻撃の標的となる可能性がある。これらの脅威は、長期的に支援されていることを考慮して、真剣に受け止める必要がある。IIoTは、これらの攻撃者にとって追加の攻撃対象領域を提供する。したがって、利用と展開の選択においてSSIアプローチを採用する必要がある。
Présenté lors de la conférence C&ESAR23, il propose une approche SSI pour l’IIoT dans le domaine industriel en se focalisant sur l’usine de production, à travers une méthode de prise en compte des risques associés à l’usage des IIOT, des principes d’architectures et des adaptations des systèmes d’information industriels.	C&ESAR23 会議で発表されたこのアプローチは、IIoT の産業分野における SSI アプローチを提案しており、IIoT の使用に伴うリスク、アーキテクチャの原則、産業用情報システムの適応を考慮した手法を通じて、生産工場に焦点を当てている。
Les axes explorés peuvent être transposés à d’autres contextes industriels, tels que les systèmes géographiquement étendus ou la logistique.	探求された方向性は、地理的に広範なシステムや物流など、他の産業分野にも適用可能である。

・[PDF] 

・[DOCX][PDF] 翻訳

目次...

1 Introduction	1 はじめに
2 Impact de l'IIoT sur l'architecture de l'usine	2 IIoTがプラント構造に与える影響
2.1 Le modèle de Purdue comme représentation historique de l’usine	2.1 工場の歴史的表現としてのPurdue・モデル
2.2 Fonctionnement de l’usine : l’importance de la boucle d’asservissement	2.2 プラント運転：制御ループの重要性
2.3 Intégration de l’IIoT dans le modèle de Purdue	2.3 Purdue・モデルへのIIoTの統合
3 Impacts de l’introduction de l’IIoT sur le modèle de sécurité de l’usine	3 IIoT導入が工場のセキュリティモデルに与える影響
3.1 Les scénarios de risques portant atteinte à la disponibilité et/ou l'intégrité du système industriel	3.1 産業システムの可用性及び／又は完全性に影響を及ぼすリスクシナリオ
3.2 Les scénarios de risques portant atteinte à la confidentialité des données de la chaîne de collecte du système IIoT	3.2 IIoTシステム収集チェーンにおけるデータの機密性に影響を与えるリスクシナリオ
3.3 Les scénarios de risques portant atteinte à la disponibilité et l'intégrité des données sur la chaîne de collecte du système IIoT	3.3 IIoTシステム収集チェーンにおけるデータの可用性と完全性に影響を与えるリスクシナリオ
3.4 Les risques sur la disponibilité et l'intégrité des fonctions de la chaîne de traitement du système IIoT	3.4 IIoTシステム処理チェーン機能の可用性と完全性に対するリスク
3.5 Synthèse des risques liés à l'IIoT	3.5 IIoT関連リスクのまとめ
4 Assurer la confiance dans les données IIoT et la consigne intelligente	4 IIoTデータとスマートロッカーの信頼の確保
4.1 Vérification de l’intégrité fonctionnelle de la donnée	4.1 データの機能的完全性のチェック
4.2 Architecture sécurisée	4.2 セキュアなアーキテクチャ
4.2.1 Passerelle d’interconnexion OT vers IT (de l’usine vers l’entreprise)	4.2.1 IoTからITへの相互接続ゲートウェイ（工場から企業へ）
4.2.2 Passerelle d’interconnexion IT vers OT (de l’entreprise vers l’usine)	4.2.2 ITからOTへの相互接続ゲートウェイ（会社から工場へ）
4.2.3 Infrastructure de transport de la donnée	4.2.3 データ伝送インフラ
5 Conclusion	5 まとめ

個人情報保護委員会 学校における個人情報の漏えい等事案を踏まえた個人情報の取扱いに関する留意点

こんにちは、丸山満彦です。

個人情報保護委員会が、「学校における個人情報の漏えい等事案を踏まえた個人情報の取扱いに関する留意点」を公表していますね...

個人情報が漏洩しやすい環境にあるので、過去の漏洩事例を踏まえて対策を考えて、ちゃんとしなさいよ...ということですかね...対策等については「別紙 学校現場において発生しやすい個人情報の漏えい等事案に関する原因と再発防止策」ということでリリース分の後についていますね...

法改正には至りませんでしたが、子供、児童の個人情報の保護については法改正も必要な状況ですからね...

● 個人情報保護委員会

・2025.06.25 学校における個人情報の漏えい等事案を踏まえた個人情報の取扱いに関する留意点について

・[PDF] 学校における個人情報の漏えい等事案を踏まえた個人情報の取扱いに関する留意点について（注意喚起）

前書き...

---

学校においては、その業務の性質上、児童や生徒などの個人情報が日常的かつ頻繁に取り扱われ、個人情報の漏えい等が発生しやすい環境にあります。今般、個人情報保護委員会は、学校における個人情報の漏えい等事案について、令和５年４月～令和７年４月までの約２年度分の漏えい等報告の発生原因等を分析した上で、教育委員会等の学校設置者や教職員の皆様に向けて、個人情報の漏えい等の防止のための留意点、事案例、発生原因、再発防止策例等をとりまとめ、公表することとしましたので、お知らせいたします。教育委員会等の学校設置者や教職員の皆様におかれましては、本注意喚起文、特に別紙の内容を御覧いただき、漏えい等事案が発生しやすい状況についての理解を深め、日常の業務における個人情報の取扱いや、ルール及び対策の見直しに役立てていただきたいと考えております。

---

本文

---

教育委員会等の学校設置者及び教職員の皆様へ

令和７年６月 25 日
個人情報保護委員会

学校における個人情報の漏えい等事案を踏まえた個人情報の取扱いに関する留意点について（注意喚起）

学校においては、その業務の性質上、幼児・児童・生徒（以下併せて「生徒」といいます。）の個人情報が、日常的かつ頻繁に取り扱われる環境にあります。また、取り扱われる個人情報の項目も、健康診断結果や病歴等の要配慮個人情報^[1]、成績や家庭環境に関する情報等、プライバシー性の高い個人情報や仮に悪用された場合にこどもの権利利益に大きな影響を及ぼしかねない個人情報が多くなっています。

令和４年４月から私立学校を含む個人情報取扱事業者の漏えい等報告が義務化され、また、令和５年４月から個人情報保護法が地方公共団体にも適用されることとなり、学校現場における、生徒の個人情報に関する漏えい、滅失等の事案（以下「漏えい等事案」といいます。）についても、多数の報告を受けています。そこで、当委員会は、これまでに受領した報告に基づき、学校現場において生じやすい漏えい等事案について、その発生原因や再発防止策について、別紙²のとおり、取りまとめました。

教育委員会等の各学校の設置者及び教職員の皆様におかれましては、別紙の内容を御覧いただき、漏えい等事案が発生しやすい状況についての理解を深め、日常の業務における生徒の個人情報の取扱いや、ルール及び対策の見直しに役立てていただきますようお願いいたします。

特に留意していただきたい事項は、以下の点です。

・ 教育・研修等による個々の教職員の意識向上も大切ですが、人間の注意力にも限界はあります。したがって、教育委員会等の各学校の設置者や学校の管理職の皆様におかれましては、個人の意識向上に偏った対策ではなく、組織的な側面や技術的な側面から、漏えい等を防止できないかについて、別紙の漏えい等事案の典型例を御参照いただき、教育委員会等の各学校の設置者や学校全体として実施できる内容を御検討いただきますようお願いいたします。

・ 最近は、学校でもICTの活用が進み、情報共有ツール等のデジタルツールの使用における個人情報の漏えい等事案が多く見受けられます。このような事案では、一度の事象で、多くの生徒の個人情報が漏えいしてしまう点で問題が大きくなる場合もありますので、予防のための対策を御検討いただきますようお願いいたします（例えば、研修等を通じて情報セキュリティに関する意識の醸成を図ること、教職員の皆様が専門家等から技術的なサポートを受けられやすくするような環境作り等が考えられます。）。

・ （公立学校の場合)教育委員会を含む行政機関等の保有する個人情報の取扱いについては、個人情報の保護に関する法律についての事務対応ガイド（行政機関等向け）（以下「事務対応ガイド」といいます。）「４－８（別添）行政機関等の保有する個人情報の適切な管理のための措置に関する指針」があります。同指針にも記載されているとおり、「個人情報の適切な管理に関する定めの整備」「管理体制の整備 ^[2]」「教育研修」は、行政機関等に求められる基本的な事項になりますので、これらの事項が不十分である場合には、速やかな対応をお願いいたします。

以 上

[1] 「要配慮個人情報」とは、個人情報の保護に関する法律（平成 15 年法律第57 号。以下「個人情報保護法」といいます。）上の用語で、「本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報」をいいます（個人情報保護法第２条第３項）。

今回、小学校、中学校及び高等学校等の現場において発生した個人情報の漏えい等事案について、個人情報保護委員会が教育委員会から受領した漏えい等報告を基に分析を行いました。

[2] 事務対応ガイド4-8-2において、各行政機関等に総括保護管理者を置くこと、保有個人情報を取り扱う各課室等に保護管理者を置くこと、保有個人情報を取り扱う各課室等に保護担当者を置くこと等を定めています。教育委員会及び学校においても、現場の状況に応じて、管理体制を整備し、責任及び役割を明確にした上で、個人情報の適切な管理のために必要な措置を講じていただくことが重要です。

---

漏えい等の事案の発生原因別の割合

---

● まるちゃんの情報セキュリティ気まぐれ日記

いわゆる3年ごとの見直し...

・2025.04.26 個人情報保護委員会 「「個人情報保護法 いわゆる３年ごと見直しに係る検討」 の今後の検討の進め方」に対して寄せられた意見の概要 (2025.04.16) と個人情報保護政策に関する懇談会の開催 (2025.04.21)

・2025.03.12 個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係（第315 - 316回委員会）(2025.03.05)

・2025.02.10 個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係（第314回委員会）

・2025.01.23 個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係（第311-312回委員会）

・2024.12.20 個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係（第310回委員会、第6-7回検討会）

・2024.11.26 個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係（第304回委員会、第3-5回検討会）

・2024.09.06 個人情報保護委員会 いわゆる3年ごと見直しに係る検討関係（第299回委員会、第2回検討会）

・2024.08.04 個人情報保護委員会 第１回 個人情報保護法のいわゆる３年ごと見直しに関する検討会

・2024.06.28 個人情報保護委員会 意見募集 いわゆる3年ごと見直しに係る検討の中間整理

・2024.06.04 個人情報保護委員会 個人情報保護法の3年ごとの見直しに関する意見をヒアリング、検討中... （２）

・2024.04.25 個人情報保護委員会 個人情報保護法の3年ごとの見直しに関する意見をヒアリング、検討中...

・2024.01.06 個人情報保護委員会 個人情報保護法の3年ごとの見直しに関する意見をヒアリング中...

英国 データ（利用とアクセス）法 (DUAA) 2025 (2025.06.19)

こんにちは、丸山満彦です。

英国の個人データ保護法の変更を伴うData Use and Access Bill が議会で可決され、国王の勅許がえられ、2025.06l.19にData (Use and Access) Act 2025が制定されましたね...

AIの訓練における著作物の使用に関する議論が活発に行われたので、少し成立に手間取ったようですね...

機械学習に基づくAIがもたらす社会的な影響は大きく、うまく使えれば社会的にも経済的にも便益をもたらす可能性が高く期待される反面、学習の過程における著作物や個人データの取り扱いについて、既存の法体系では想定していない利用方法なので、調整が必要ということだと思います。

変更点としては、

• 研究における個人情報の使用方法の明確化
• 一部の自動意思決定に関する制限の解除
• 同意なしに一部のクッキーを使用する方法の規定
• 特定の状況において公益（慈善）団体が同意なしに電子メールによるマーケティングを行うことを許可
• 組織にデータ保護に関する苦情処理手続きの設置を義務付け
• 新たな法的根拠としての「正当な利益」の導入（明文化）

がありますが、それ以外にも修正点があります。

• 研究における個人情報の使用方法の明確化
  • 商業的研究利用にも適用されることを明確化等
• 一部の自動意思決定に関する制限の解除
  • 特別カテゴリー（人種、健康データ等）を除いて一部緩和（利用者による関与等を条件として）
• 同意なしに一部のクッキーを使用する方法の規定
  • サービス改善のための統計情報収集Cookie、Webサイトの表示方法など必要な機能的Cookieについてhオプトアウトを認める
• 特定の状況において公益（慈善）団体が同意なしに電子メールによるマーケティングを行うことを許可
• 組織にデータ保護に関する苦情処理手続きの設置を義務付け
  • 30日以内対応
  • 記録義務
    
• 法的根拠としての「正当な利益」の導入（明文化）による利益衡量テストの省略
  
  • 国家安全保障の保護、犯罪の検出、捜査、防止または犯罪者の逮捕
  • 脆弱な個人の保護
  • 企業グループ内管理目的

しかし、条文が難しいです...

あと、欧州のGDPRとの同等性についてですが、EUは2025.12.27までに英国のデータ保護法を再評価し、同等性を判断することになっています。現時点では、英国政府は同等性が維持されるといっていますね...根拠としては、DUAAの変更はEUのGDPRの基本的な枠組みを維持しているためということですが、EU側に決定権がありますからね...

懸念事項としては、クッキー等の変更部分ですかね。。。

● Legislation.gov.uk

・Data (Use and Access) Act 2025

・[PDF]

Data (Use and Access) Act 2025	データ（利用とアクセス）法 2025
CHAPTER 18 CONTENTS	第18章 目次
PART 1	第1部
ACCESS TO CUSTOMER DATA AND BUSINESS DATA	顧客データおよび事業データへのアクセス
Introductory	序論
1 Customer data and business data	1 顧客データおよび事業データ
Data regulations	データ規制
2 Power to make provision in connection with customer data	2 顧客データに関する規定を定める権限
3 Customer data: supplementary	3 顧客データ：補足
4 Power to make provision in connection with business data	4 ビジネスデータに関する規定を定める権限
5 Business data: supplementary	5 ビジネスデータ：補足
6 Decision-makers	6 意思決定者
7 Interface bodies	7 インターフェース団体
Enforcement	施行
8 Enforcement of regulations under this Part	8 この部の規定の施行
9 Restrictions on powers of investigation etc	9 調査権限等の制限
10 Financial penalties	10 罰金
Fees etc and financial assistance	手数料等および財政援助
11 Fees	11 手数料
12 Levy	12 課徴金
13 Financial assistance	13 財政援助
Financial services sector	金融サービス部門
14 The FCA and financial services interfaces	14 FCA および金融サービスインターフェース
15 The FCA and financial services interfaces: supplementary	15 FCA および金融サービスインターフェース：補足
16 The FCA and financial services interfaces: penalties and levies	16 FCA および金融サービスインターフェース：罰則および課徴金
17 The FCA and co-ordination with other regulators	17 FCA および他の規制当局との調整
Supplementary	補足
18 Liability in damages	18 損害賠償責任
19 Duty to review regulations	19 規制の見直し義務
20 Restrictions on processing and data protection	20 処理およびデータ保護に関する制限
21 Regulations under this Part: supplementary	21 本パートに基づく規制：補足
22 Regulations under this Part: Parliamentary procedure and consultation	22 本部に基づく規制：議会手続きおよび協議
23 Related subordinate legislation	23 関連する下位法令
24 Repeal of provisions relating to supply of customer data	24 顧客データの提供に関する規定の廃止
25 Other defined terms	25 その他の定義用語
26 Index of defined terms for this Part	26 本部の定義用語索引
PART 2	第 2 部
DIGITAL VERIFICATION SERVICES	デジタル検証サービス (DVS)
Introductory	はじめに
27 Introductory	27 はじめに
DVS trust framework and supplementary codes	DVS トラストフレームワークおよび補足コード
28 DVS trust framework	28 DVS トラストフレームワーク
29 Supplementary codes	29 補足規範
30 Withdrawal of a supplementary code	30 補足規範の撤回
31 Review of DVS trust framework and supplementary codes	31 DVS 信頼枠組みおよび補足規範の見直し
DVS register	DVS 登録簿
32 DVS register	32 DVS 登録簿
33 Registration in the DVS register	33 DVS 登録簿への登録
34 Power to refuse registration in the DVS register	34 DVS 登録簿への登録を拒否する権限
35 Registration of additional services	35 追加サービスの登録
36 Supplementary notes	36 補足
37 Addition of services to supplementary notes	37 補足へのサービスの追加
38 Applications for registration, supplementary notes, etc	38 登録申請、補足事項など
39 Fees for applications for registration, supplementary notes, etc	39 登録申請、補足事項などの手数料
40 Duty to remove person from the DVS register	40 DVS 登録簿からの個人削除義務
41 Power to remove person from the DVS register	41 DVS 登録簿からの個人削除権限
42 Duty to remove services from the DVS register	42 DVS 登録簿からのサービス削除義務
43 Duty to remove supplementary notes from the DVS register	43 DVS 登録簿からの補足事項削除義務
44 Duty to remove services from supplementary notes	44 補足事項からのサービス削除義務
Information gateway	情報ゲートウェイ
45 Power of public authority to disclose information to registered person	45 登録者に対する情報開示に関する公的機関の権限
46 Information disclosed by the Revenue and Customs	46 歳入関税庁が開示する情報
47 Information disclosed by the Welsh Revenue Authority	47 ウェールズ歳入庁が開示する情報
48 Information disclosed by Revenue Scotland	48 スコットランド歳入庁が開示する情報
49 Code of practice about the disclosure of information	49 情報開示に関する行動規範
Trust mark	信頼マーク
50 Trust mark for use by registered persons	50 登録者が使用する信頼マーク
Supplementary	補足
51 Power of Secretary of State to require information	51 情報要求に関する国務大臣の権限
52 Arrangements for third party to exercise functions	52 サードパーティによる機能の行使に関する取り決め
53 Report on the operation of this Part	53 この部の運用に関する報告書
54 Index of defined terms for this Part	54 この部の用語の定義
55 Powers relating to verification of identity or status	55 身元または地位の検証に関する権限
PART 3	第 3 部
NATIONAL UNDERGROUND ASSET REGISTER	国家地下資産登録簿
56 National Underground Asset Register: England and Wales	56 国家地下資産登録簿：イングランドおよびウェールズ
57 Information in relation to apparatus: England and Wales	57 装置に関する情報：イングランドおよびウェールズ
58 National Underground Asset Register: Northern Ireland	58 国の地下資産登録簿：北アイルランド
59 Information in relation to apparatus: Northern Ireland	59 装置に関する情報：北アイルランド
60 Pre-commencement consultation	60 施行前の協議
PART 4	第 4 部
REGISTERS OF BIRTHS AND DEATHS	出生および死亡の登録簿
61 Form in which registers of births and deaths are to be kept	61 出生および死亡の登録簿の保管形態
62 Provision of equipment and facilities by local authorities	62 地方自治体による設備および施設の提供
63 Requirements to sign register	63 登録簿への署名要件
64 Treatment of existing registers and records	64 既存の登録簿および記録の取り扱い
65 Minor and consequential amendments	65 軽微な改正および付随的な改正
PART 5	第 5 部
DATA PROTECTION AND PRIVACY	データ保護およびプライバシー
CHAPTER 1 DATA PROTECTION	第 1 章 データ保護
Terms used in this Chapter	この章で使用される用語
66 The 2018 Act and the UK GDPR	66 2018 年法および英国 GDPR
Definitions in the UK GDPR and the 2018 Act	英国 GDPR および 2018 年法の定義
67 Meaning of research and statistical purposes	67 研究および統計目的の意味
68 Consent to processing for the purposes of scientific research	68 科学研究を目的とした処理に対する同意
69 Consent to law enforcement processing	69 法執行機関による処理に対する同意
Data protection principles	データ保護の原則
70 Lawfulness of processing	70 処理の合法性
71 The purpose limitation	71 目的制限
72 Processing in reliance on relevant international law	72 関連する国際法に基づく処理
Processing of special categories of personal data	特別なカテゴリーの個人データの処理
73 Elected representatives responding to requests	73 要求に対応する選出された代表者
74 Processing of special categories of personal data	74 特別なカテゴリーの個人データの処理
Data subject’s rights	データ対象者の権利
75 Fees and reasons for responses to data subjects’ requests about law enforcement processing	75 法執行機関による処理に関するデータ対象者の要求に対する対応手数料および理由
76 Time limits for responding to data subjects’ requests	76 データ対象者の要求に対する対応期限
77 Information to be provided to data subjects	77 データ対象者に提供すべき情報
78 Searches in response to data subjects’ requests	78 データ対象者の要求に応じた検索
79 Data subjects’ rights to information: legal professional privilege exemption	79 データ対象者の情報に対する権利：弁護士の秘密特権による免除
Automated decision-making	自動化された意思決定
80 Automated decision-making	80 自動化された意思決定
Obligations of controllers	管理者の義務
81 Data protection by design: children’s higher protection matters	81 設計によるデータ保護：子供に対するより高い保護事項
Logging of law enforcement processing	法執行機関による処理の記録
82 Logging of law enforcement processing	82 法執行機関による処理の記録
Codes of conduct	行動規範
83 General processing and codes of conduct	83 一般的な処理および行動規範
84 Law enforcement processing and codes of conduct	84 法執行機関による処理および行動規範
International transfers of personal data	個人データの国際的な転送
85 Transfers of personal data to third countries and international organisations	85 第三国および国際機関への個人データの転送
Safeguards for processing for research etc purposes	研究などの目的のための処理に関する保護措置
86 Safeguards for processing for research etc purposes	86 研究等の目的のための処理に関する保護措置
87 Section 86: consequential provision	87 第 86 条：付随規定
National security	国家安全保障
88 National security exemption	88 国家安全保障に関する適用除外
Intelligence services	情報機関
89 Joint processing by intelligence services and competent authorities	89 情報機関と管轄当局による共同処理
90 Joint processing: consequential amendments	90 共同処理：付随規定の改正
Information Commissioner’s role	情報コミッショナーの役割
91 Duties of the Commissioner in carrying out functions	91 コミッショナーの機能遂行における義務
92 Codes of practice for the processing of personal data	92 個人データの処理に関する行動規範
93 Codes of practice: panels and impact assessments	93 行動規範：パネルおよび影響評価
94 Manifestly unfounded or excessive requests to the Commissioner	94 コミッショナーに対する明らかに根拠のない、または過度な要求
95 Analysis of performance	95 パフォーマンスの分析
96 Notices from the Commissioner	96 コミッショナーからの通知
Enforcement	執行
97 Power of the Commissioner to require documents	97 コミッショナーの文書提出要求権
98 Power of the Commissioner to require a report	98 コミッショナーの報告書提出要求権
99 Assessment notices: removal of OFSTED restriction	99 アセスメント通知：OFSTED の制限の解除
100 Interview notices	100 面接通知
101 Penalty notices	101 罰則通知
102 Annual report on regulatory action	102 規制措置に関する年次報告書
103 Complaints by data subjects	103 データ対象者による苦情
104 Court procedure in connection with subject access requests	104 データ対象者のアクセス要求に関する裁判所の手続き
105 Consequential amendments to the EITSET Regulations	105 EITSET 規則の付随的改正
Protection of prohibitions, restrictions and data subject’s rights	禁止事項、制限事項およびデータ対象者の権利の保護
106 Protection of prohibitions, restrictions and data subject’s rights	106 禁止事項、制限事項およびデータ対象者の権利の保護
Miscellaneous	その他
107 Regulations under the UK GDPR	107 英国 GDPR に基づく規則
108 Further minor provision about data protection	108 データ保護に関するその他の軽微な規定
CHAPTER 2	第 2 章
PRIVACY AND ELECTRONIC COMMUNICATIONS	プライバシーおよび電子通信
109 The PEC Regulations	109 PEC 規則
110 Interpretation of the PEC Regulations	110 PEC 規則の解釈
111 Duty to notify the Commissioner of personal data breach: time periods	111 個人データ漏えいに関するコミッショナーへの通知義務：期間
112 Storing information in the terminal equipment of a subscriber or user	112 加入者またはユーザーの端末機器における情報の保存
113 Emergency alerts: interpretation of time periods	113 緊急警報：期間の解釈
114 Use of electronic mail for direct marketing by charities	114 慈善団体によるダイレクトマーケティングのための電子メールの使用
115 Commissioner’s enforcement powers	115 コミッショナーの執行権限
116 Codes of conduct	116 行動規範
PART 6	第6部
THE INFORMATION COMMISSION	情報委員会
117 The Information Commission	117 情報委員会
118 Abolition of the office of Information Commissioner	118 情報コミッショナーの職の廃止
119 Transfer of functions to the Information Commission	119 情報委員会への機能の移管
120 Transfer of property etc to the Information Commission	120 情報委員会への財産等の移管
PART 7	第 7 部
OTHER PROVISION ABOUT USE OF, OR ACCESS TO, DATA	データの使用またはアクセスに関するその他の規定
Information standards for health and social care	健康および社会福祉に関する情報基準
121 Information standards for health and adult social care in England	121 イングランドの健康および成人向け社会福祉に関する情報基準
Smart meter communication services	スマートメーター通信サービス
122 Grant of smart meter communication licences	122 スマートメーター通信ライセンスの付与
Information to improve public service delivery	公共サービスの提供を改善するための情報
123 Disclosure of information to improve public service delivery to undertakings	123 企業に対する公共サービスの提供を改善するための情報の開示
Retention of information by providers of internet services	インターネットサービスプロバイダによる情報の保存
124 Retention of information by providers of internet services in connection with death of child	124 子供の死亡に関連したインターネットサービスプロバイダによる情報の保存
Information for research about online safety matters	オンラインの安全に関する研究のための情報
125 Information for research about online safety matters	125 オンラインの安全に関する研究のための情報
Retention of biometric data	生体データの保存
126 Retention of biometric data and recordable offences	126 生体データおよび記録可能な犯罪の保存
127 Retention of pseudonymised biometric data	127 仮名化された生体データの保持
128 Retention of biometric data from INTERPOL	128 インターポールからの生体データの保持
Trust services	トラストサービス
129 The eIDAS Regulation	129 eIDAS 規則
130 Recognition of EU conformity assessment bodies	130 EU 適合性評価団体の認定
131 Removal of recognition of EU standards etc	131 EU 標準等の認定の取消
132 Recognition of overseas trust products	132 海外トラスト製品の認定
133 Co-operation between supervisory authority and overseas authorities	133 監督当局と海外当局との協力
134 Time periods: the eIDAS Regulation and the EITSET Regulations	134 期間：eIDAS 規則および EITSET 規則
Copyright works and artificial intelligence systems	著作権作品および人工知能システム
135 Economic impact assessment	135 経済影響評価
136 Report on the use of copyright works in the development of AI systems	136 AI システムの開発における著作権作品の活用に関する報告書
137 Progress statement	137 進捗状況報告書
Purported intimate images	親密な画像とみなされる画像
138 Creating, or requesting the creation of, purported intimate image of adult PART 8	138 成人の親密な画像とみなされる画像の作成または作成の依頼 第 8 部
FINAL PROVISIONS	最終規定
139 Power to make consequential amendments	139 付随的改正を行う権限
140 Regulations	140 規則
141 Extent	141 適用範囲
142 Commencement	142 施行
143 Transitional, transitory and saving provision	143 経過、一時的および保存規定
144 Short title	144 略称
Schedule 1 — National Underground Asset Register (England and Wales): monetary penalties	別表 1 — 国家地下資産登録簿（イングランドおよびウェールズ）：金銭的罰則
Schedule 2 — National Underground Asset Register (Northern Ireland): monetary penalties	別表 2 — 国家地下資産登録簿（北アイルランド）：金銭的罰則
Schedule 3 — Registers of births and deaths: minor and consequential amendments	別表 3 — 出生および死亡登録簿：軽微な改正および関連改正
Part 1 — Amendments of the Births and Deaths Registration Act 1953 Part 2 — Amendments of other legislation	第1部 — 1953年出生および死亡登録法の改正 第2部 — その他の法律の改正
Schedule 4 — Lawfulness of processing: recognised legitimate interests Schedule 5 — Purpose limitation: processing to be treated as compatible with original purpose	別表 4 — 処理の合法性：認められた正当な利益 別表5 — 目的制限：元の目的と相容れる処理として扱うこと
Schedule 6 — Automated decision-making: minor and consequential amendments	別表 6 — 自動化された意思決定：軽微な改正および付随する改正
Schedule 7 — Transfers of personal data to third countries etc: general processing	別表 7 — 第三国等への個人データの移転：一般的な処理
Schedule 8 — Transfers of personal data to third countries etc: law enforcement processing	別表 8 — 第三国等への個人データの移転：法執行のための処理
Schedule 9 — Transfers of personal data to third countries etc: minor and consequential amendments and transitional provision	別表 9 — 第三国等への個人データの移転：軽微な改正および付随する改正、および経過規定
Part 1 — Minor and consequential amendments	第 1 部 — 軽微な改正および付随する改正
Part 2 — Transitional provision	第 2 部 — 経過規定
Schedule 10 — Complaints: minor and consequential amendments	別表 10 — 苦情：軽微な改正および付随的な改正
Schedule 11 — Further minor provision about data protection	別表 11 — データ保護に関するさらなる軽微な規定
Schedule 12 — Storing information in the terminal equipment of a subscriber or user	別表 12 — 加入者またはユーザーの端末機器における情報の保存
Schedule 13 — Privacy and electronic communications: Commissioner’s enforcement powers	別表 13 — プライバシーおよび電子通信：コミッショナーの執行権限
Schedule 14 — The Information Commission	別表 14 — 情報委員会
Schedule 15 — Information standards for health and adult social care in England	別表 15 — イングランドの医療および成人向け社会福祉に関する情報基準
Schedule 16 — Grant of smart meter communication licences	別表 16 — スマートメーター通信ライセンスの付与
Part 1 — Amendments of the Energy Act 2008	第 1 部 — 2008 年エネルギー法の改正
Part 2 — Amendments of other legislation	第 2 部 — その他の法律の改正

● ICO

ここにわりと詳しく書いていますね...

・Data (Use and Access) Act 2025

・2025.06.19 UK organisations stand to benefit from new data protection laws

UK organisations stand to benefit from new data protection laws	英国の組織は、新しいデータ保護法の恩恵を受ける見込み
The Data (Use and Access) Act 2025 (DUAA) has now received Royal Assent. This new legislation updates key aspects of data protection law, making it easier for UK businesses to protect people’s personal information while growing and innovating their products and services.	2025 年データ（利用とアクセス）法（DUAA）が、英国王の裁可を受けた。この新しい法律は、データ保護法の重要な側面を改正し、英国の企業が、製品やサービスの成長と革新を図りながら、個人の個人情報をより簡単に保護できるようにする。
Changes to the law include: clarifying how personal information can be used for research; lifting restrictions on some automated decision making; setting out how to use some cookies without consent; allowing charities to send people electronic mail marketing without consent in certain circumstances; requiring organisations to have a data protection complaints procedure and introducing a new lawful basis of recognised legitimate interests.	法律の変更点としては、研究における個人情報の使用方法の明確化、一部の自動意思決定に関する制限の解除、同意なしに一部のクッキーを使用する方法の規定、特定の状況において慈善団体が同意なしに電子メールによるマーケティングを行うことを許可、組織にデータ保護に関する苦情処理手続きの設置を義務付け、および新たな法的根拠としての「正当な利益」の導入などが挙げられる。
The Act provides the ICO with new powers, including the ability to compel witnesses to attend interviews, request technical reports, and issue fines of up to £17.5 million or 4% of global turnover under PECR.	この法律により、ICO は、証人の事情聴取、技術報告書の提出要求、PECR に基づき最高 1,750 万ポンドまたは世界全体の売上高の 4% に相当する罰金の科を命じるなど、新たな権限が与えられる。
Today we are publishing information to support organisations and the public as these changes are introduced. This includes	本日、これらの変更の導入に伴い、組織および一般市民を支援するための情報を公開する。その内容は以下の通りである。
・An outline what the Act means for organisations.	・この法律が組織にとって意味することの概要。
・An outline of what the Act means for law enforcement agencies.	・この法律が法執行機関にとって意味することの概要。
・A detailed summary of the changes for data protection experts.	・データ保護の専門家向けの変更点の詳細な概要。
・Our new and planned guidance web page setting out what guidance to expect and when.	・新しいガイダンスおよび予定されているガイダンスについて、どのようなガイダンスがいつ発表されるかを記載した新しいガイダンスウェブページ。
・An outline of how we will continue our regulatory work as the Act is implemented.	・この法律の実施に伴い、当機関が規制業務をどのように継続するかの概要。
・A guide for the public on how the Act will affect them.	・この法律が国民に与える影響に関するガイド。
John Edwards, Information Commissioner, said:	情報コミッショナーのジョン・エドワーズ氏は次のように述べている。
“The Data (Use and Access) Act 2025 gives organisations using personal information new and better opportunities to innovate and grow in the UK, and further enhances our ability to balance innovation and economic growth with strong protections for people’s rights.	「2025 年データ（使用およびアクセス）法は、個人情報を扱う組織に、英国で革新と成長のための新たな、より優れた機会を提供するとともに、イノベーションと経済成長、そして人々の権利の強力な保護とのバランスをとる当社の能力をさらに強化する。
“Today we’ve published a catalogue of resources to help explain what this new legislation means for businesses.  Over the coming months we will launch new guidance, open consultations, and provide practical tools to help embed the Act’s principles into everyday operations. Our goal is to ensure that data can be used confidently and responsibly to deliver better services, drive economic growth, and uphold public trust.”	本日、この新しい法律が企業にとってどのような意味を持つかを説明するための資料カタログを公開した。今後数カ月の間に、新しいガイダンスを発表し、公開協議を開始し、この法律の原則を日常業務に組み込むための実用的なツールを提供する。私たちの目標は、データが自信を持って責任を持って利用され、より優れたサービスの提供、経済成長の推進、国民の信頼の維持に役立てられることを確保することである」
Next steps for organisations	組織のための次のステップ
Government will phase implementation of the new law, commencing different changes using secondary legislation. While most provisions are expected to come into force either two or six months after Royal Assent, some may take up to 12 months.	政府は、二次立法を用いてさまざまな変更を開始し、新法の施行を段階的に進める予定だ。ほとんどの規定は、国王の裁可から 2 か月または 6 か月後に施行される予定だが、一部は 12 か月かかる場合もある。
To prepare, organisations can:	準備として、組織は次のことを行うことができる。
・Familiarise themselves with the changes that the DUAA makes to data protection law using these resources. Read our detailed summary for more information.	・これらのリソースを使用して、DUAA によるデータ保護法の変更についてよく理解しておいてください。詳細については、当社の詳細な要約をご覧ください。
・If they provide an online service that children are likely to use, make sure they are doing enough to satisfy the new explicit requirement to consider their needs. They should be on track if they already conform to our Children’s code.	・子供たちが利用する可能性が高いオンラインサービスを提供している場合は、子供たちのニーズを考慮するという新しい明確な要件を十分に満たしていることを確認する。すでに当社の子供向けコードに準拠している場合は、準備は順調に進んでいるはずだ。
・Start thinking about how they can help people to make complaints.	・人々が苦情を申し立てやすい仕組みについて検討し始める。
・Review the changes that support innovation and make things easier and consider whether they want to take the opportunity to do anything differently or streamline their processes.	・イノベーションを支援し、業務を容易にする変更点を確認し、この機会を利用して何か新しい取り組みを行うか、またはプロセスを効率化するか検討する。
・Sign up to the ICO newsletter and e-shots, so they’ll know when we’ve updated our guidance.	・ICO のニュースレターおよび E メールマガジンに登録して、ガイダンスの更新情報を受領できる。
More information	詳細情報
・The DUAA provides amendments, but does not replace, the UK GDPR, the Data Protection Act 2018, and the Privacy and Electronic Communications Regulations. These changes are designed to make data protection law clearer and more flexible for organisations, while maintaining strong safeguards for individuals.	・DUAA は、英国 GDPR、2018 年データ保護法、およびプライバシーおよび電子通信規則を改正するものであり、これらに代わるものではない。これらの変更は、個人に対する強力な保護措置を維持しつつ、データ保護法を組織にとってより明確かつ柔軟なものにするために設計されている。
・The DUAA received Royal Assent on 19 June 2025.	・DUAA は 2025 年 6 月 19 日に英国王の裁可を受けた。
・The Information Commissioner’s Office (ICO) is the UK’s independent regulator for data protection and information rights law, upholding information rights in the public interest, promoting openness by public bodies and data privacy for individuals.	・情報コミッショナーオフィス（ICO）は、データ保護および情報権利に関する法律を監督する英国の独立機関であり、公共の利益のために情報権利を擁護し、公的機関による情報公開と個人のデータ・プライバシーの保護を推進している。
・The ICO has specific responsibilities set out in the Data Protection Act 2018 (DPA2018), the United Kingdom General Data Protection Regulation (UK GDPR), the Freedom of Information Act 2000 (FOIA), Environmental Information Regulations 2004 (EIR), Privacy and Electronic Communications Regulations 2003 (PECR) and a further five acts and regulations.	・ICO は、2018 年データ保護法（DPA2018）、英国一般データ保護規則（UK GDPR）、2000 年情報公開法（FOIA）、2004 年環境情報規則（EIR）、2003 年プライバシーおよび電子通信規則（PECR）、およびさらに 5 つの法律および規則で定められた特定の責任を負っている。
・The ICO can take action to address and change the behaviour of organisations and individuals that collect, use, and keep personal information. This includes criminal prosecution, non-criminal enforcement and audit.	・ICOは、個人情報を収集、利用、保管する組織や個人の行動を是正し、変更するための措置を講じることができる。これには、刑事訴追、非刑事的な執行措置、監査が含まれる。

・Data (Use and Access) Act 2025

Data (Use and Access) Act 2025	データ（使用およびアクセス）法 2025
On 19 June 2025 the Data (Use and Access) Act (DUAA) became law in the UK.	2025年6月19日、データ（使用およびアクセス）法（DUAA）が英国で成立した。
For organisations	組織向け
What does it mean for organisations?	組織にとってどのような意味があるか？
An overview of what the DUAA means for organisations.	DUAA が組織に与える影響の概要。
At a glance	要点
・The DUAA is a new Act of Parliament that updates some laws about digital information matters.	・DUAA は、デジタル情報に関する一部の法律を改正する新しい議会法だ。
・It changes data protection laws in order to promote innovation and economic growth and make things easier for organisations, whilst it still protects people and their rights.	・この法律は、イノベーションと経済成長を促進し、組織の業務を容易にする一方で、個人とその権利を保護するために、データ保護に関する法律を改正する。
・Most of the changes offer you an opportunity to do things differently, rather than needing you to make specific changes to comply with the law.	・変更点のほとんどは、法律を遵守するために特定の変更を行うことを要求するものではなく、業務の方法を変える機会を提供するものである。
・The changes will be phased in between June 2025 and June 2026.	・変更は 2025 年 6 月から 2026 年 6 月にかけて段階的に実施される。
In brief	概要
・What data protection laws does the DUAA change?	・DUAA はどのようなデータ保護法を変更する？
・How might the DUAA help us to innovate?	・DUAA はイノベーションにどのように役立つ？
・How might the DUAA make things easier for us?	・DUAA はどのような点で業務が容易になる？
・Are there any new requirements for us to meet?	・新たに満たすべき要件は？
・What help can we expect from the ICO?	・ICO からどのような支援が期待できる？
・What can we do now to prepare for these changes?	・これらの変更に備えるために今できることは？
・What other laws does the DUAA change?	・DUAA は他にどのような法律を変更する？
What does it mean for law enforcement agencies?	法執行機関にとっての意味は？
An overview of what the DUAA means for law enforcement agencies.	DUAA が法執行機関にとって意味することの概要。
At a glance	要点
・The DUAA is a new Act of Parliament that updates some laws about digital information matters.	・DUAA は、デジタル情報に関する一部の法律を改正する新しい議会法である。
・It changes data protection laws, including the laws that apply to law enforcement agencies (or ‘competent authorities’) that use personal information for law enforcement purposes.	・この法律は、法執行目的で個人情報を使用する法執行機関（または「管轄当局」）に適用される法律を含む、データ保護に関する法律を改正する。
・These changes should help you deliver your public services more effectively.	・これらの改正は、公共サービスのより効果的な提供に役立つはずである。
・Most of the changes offer you an opportunity to do things differently, rather than needing you to make specific changes to comply with the law.	・変更のほとんどは、法律を遵守するために具体的な変更を行う必要はなく、業務の方法を変えることで対応できるものとなっている。
・The changes will be phased in between June 2025 and June 2026.	・変更は 2025 年 6 月から 2026 年 6 月にかけて段階的に実施される。
In brief	概要
・What data protection laws does the DUAA change?	・DUAA は、どのようなデータ保護法を変更する？
・How might the DUAA help us to deliver our public services more effectively?	・DUAA は、公共サービスのより効果的な提供にどのように役立つ？
・Are there any new requirements for us to meet?	・私たちが満たすべき新しい要件はありますか？
・What help can we expect from the ICO?	・ICO からどのような支援を受けることができるか？
・What can we do now to prepare for these changes?	・これらの変更に備えるために、今できることは何か？
・What other laws does the DUAA change?	・DUAA によって変更されるその他の法律は？
Summary of changes to data protection law	データ保護法の変更の概要
A summary of the changes to data protection law that affect organisations, for data protection experts.	データ保護の専門家向けに、組織に影響を与えるデータ保護法の変更の概要をまとめたもの。
This summarises the changes the DUAA makes to data protection law that may affect you if you’re an organisation using personal information.	これは、個人情報を扱う組織に影響を与える可能性のある、DUAA によるデータ保護法の変更点をまとめたものである。
It isn’t a replacement for our existing guidance for organisations that we will update over time, and as the changes come into effect. It should, however, help you understand what the changes are in the meantime. You can find more details about the updates we’re working on in Our plans for new and updated guidance.	これは、今後随時更新される既存の組織向けガイドラインに代わるものではない。ただし、変更が施行されるまでの間、変更の内容を理解する上で役立つはずである。現在作業中の更新の詳細については、「新しいガイドラインおよび更新ガイドラインの計画」を参考にすること
This is a factual summary of the changes that each relevant section of the DUAA makes, but it does not cover how you interpret or apply the law. We’ll address this as we develop and update our guidance for organisations, in consultation with relevant stakeholders.	これは、DUAA の各関連条項による変更の事実に基づく要約であり、法律の解釈や適用方法については記載されていない。この点については、関連する利害関係者と協議しながら、組織向けのガイダンスの策定および更新の際に検討する。
It’s aimed at data protection experts, including Data Protection Officers (DPOs) and people with specific data protection responsibilities. It’s for people who already understand the current law. It explains what has changed rather than providing a comprehensive guide or explanation about data protection law.	これは、データ保護責任者（DPO）やデータ保護に関する特定の責任を有する者など、データ保護の専門家を対象としている。これは、現在の法律をすでに理解している方を対象としている。データ保護法に関する包括的なガイドや説明ではなく、変更点について解説している。
If you’d prefer a brief overview of how the DUAA might affect your organisation, please see The Data Use and Access Act 2025 (DUAA) - What does it mean for organisations?.	DUAA が組織に与える影響について簡潔な概要をご希望の場合は、『データ利用およびアクセス法 2025（DUAA） - 組織にとっての意味』を参考にすること。
If you’d prefer a brief overview of how the DUAA affects law enforcement agencies, please see The Data Use and Access Act 2025 (DUAA) - What does it mean for law enforcement agencies?.	DUAA が法執行機関に与える影響について簡潔な概要をご希望の場合は、『データ利用およびアクセス法 2025（DUAA） - 法執行機関にとっての意味』を参考にすること。
If you’d prefer a brief overview of how the DUAA might affect how your own personal information is used by organisations, please see The Data Use and Access Act 2025 (DUAA) - How does this affect me?.	DUAA が、組織によるお客様の個人情報の使用に与える影響について概要をご希望の場合は、「2025 年データ使用およびアクセス法（DUAA） - これは私にどのような影響があるか」を参考にすること。
This guidance follows the order and headings in the DUAA for ease of reference. It summarises all the significant changes.	このガイダンスは、参照しやすいように、DUAA の順序および見出しに従っている。重要な変更点をすべて要約している。
If a section makes minor, consequential, or technical changes that don’t significantly change the law, we’ve noted this without explaining the detail.	条項が、法律の重要な変更を伴わない軽微な変更、付随的な変更、または技術的な変更である場合、詳細な説明は省略している。
If a section makes changes that don’t directly affect you, we’ve noted this without explaining the detail (eg changes to the ICO’s responsibilities or the powers of the Secretary of State).	条項が、あなたには直接影響しない変更である場合、詳細な説明は省略している（例：ICOの責任や国務大臣の権限に関する変更）。
If the DUAA changes the law that applies to competent authorities which use personal information for law enforcement purposes (part 3 of the Data Protection Act 2018 (DPA)), or to the use of personal information by the intelligence services (part 4 of the DPA), we’ve noted this. Otherwise, the changes relate to the general use of personal information by other organisations.	DUAA により、法執行の目的で個人情報を使用する管轄当局（2018 年データ保護法（DPA）第 3 部）または情報機関による個人情報の使用（DPA 第 4 部）に適用される法律が変更された場合は、その旨を記載している。それ以外の変更は、他の組織による個人情報の一般的な使用に関するものである。
・Data protection	・データ保護
・Privacy and electronic communications	・プライバシーおよび電子通信
・The Information Commission	・情報委員会
・Schedules	・スケジュール
Our plans for new and updated guidance	新しいガイダンスおよび更新されたガイダンスの計画
Information about all the guidance that we’re working on.	当機関が現在作成中のすべてのガイダンスに関する情報。
Our guidance is designed to help and support you to comply with the laws we regulate, and to help people understand their information rights.	当機関のガイダンスは、当社が規制する法律の遵守を支援およびサポートし、人々が自分の情報に関する権利を理解するのに役立つように作成されている。
As well as detailed formal guidance and Codes of Practice, we also produce checklists, toolkits and position papers. We create all our guidance with you in mind, making it as simple as possible for you to use.	詳細な正式なガイダンスおよび行動規範に加え、チェックリスト、ツールキット、ポジションペーパーも作成している。すべてのガイドラインは、皆様が利用しやすいよう、できるだけ簡潔に作成している。
Grouped by the topics below, you’ll find information about all the guidance that we’re working on. You’ll see what we’re developing and when we expect to publish. We’ll update this information regularly so that you can confidently track a product as it develops.	以下のトピックごとに、現在作成中のすべてのガイドラインに関する情報を掲載している。開発中の内容と公開予定日を確認することができる。この情報は定期的に更新されるため、製品の開発状況を確実に追跡することができる。
Because of the Data (Use and Access) Act, we have started work on new guidance. This means we’ve had to deprioritise and withdraw some of the planned guidance you will have seen previously on this web page.	データ（利用とアクセス）法（DUAA）の施行に伴い、新たなガイドラインの作成を開始しました。これにより、このウェブページで以前にご覧いただいた計画中のガイドラインの一部を優先順位を下げたり、取り下げたりする必要が生じた。
We may restart some of the withdrawn guidance projects in the future. If this happens details will be republished on this page.	今後、取り下げたガイドラインプロジェクトの一部を再開する可能性があります。その場合、詳細はこのページに再掲載される。
Guidance stages explained	ガイドラインの段階説明
---	省略
・General data protection	・一般的なデータ保護
・Freedom of Information	・情報の自由
・Law enforcement	・法執行
・Direct marketing and privacy and electronic communications	・ダイレクトマーケティングとプライバシーおよび電子通信
・Children's information	・子供に関する情報
・Technology	・技術
・Guidance for the public	・一般向けガイダンス
How we will regulate as the DUAA commences?	DUAAの施行に伴い、どのように規制を行うか？
An overview to reassure businesses on how the law changes will impact our regulatory action.	法律の変更が当社の規制措置に与える影響について、企業に安心してもらうための概要。
The Data (Use and Access) Act (DUAA) received Royal Assent on 19 June 2025 and will come into effect in phases.	データ（利用とアクセス）法（DUAA）は2025年6月19日に王室承認を受け、段階的に施行されます。
We will continue to regulate the DPA 2018, UK GDPR and PECR, which stay in force, but will be amended by the DUAA. Organisations should follow the existing law until various parts of the DUAA are expected to commence at two, six and 12 months after Royal Assent.	当社は、DUAAにより改正されるものの、引き続き効力を有するDPA 2018、UK GDPR、およびPECRの規制を継続します。組織は、DUAA の各部分が国王の裁可から 2 ヶ月、6 ヶ月、12 ヶ月後に施行されるまで、現行の法律に従う必要がある。
We want to provide reassurance to businesses about how the changes impact our regulatory action.	この法律の変更が当社の規制措置に与える影響について、企業に安心をしていただきたいと考えている。
It’s important to understand that we apply the law as it stands at the time an infringement took place, rather than the date that we received any complaint or report or when the infringement was detected.	当社は、苦情や報告を受けた日、あるいは違反が検知された日ではなく、違反が発生した時点で有効な法律を適用することを理解することが重要だ。
In some cases, we will need to exercise our discretion when considering regulatory action on alleged non-compliance with an existing provision under the data protection legislation which is going to be removed, amended or replaced with a similar provision under the DUAA. We will make a judgement on whether to proceed with regulatory action under the old provision or, where there is ongoing non-compliance, consider action under the new provisions.	場合によっては、データ保護法に基づく既存の規定の違反が、DUAA により削除、改正、または同様の規定に置き換えられる場合、規制措置を検討する際に、当社の裁量権を行使する必要がある。当社は、旧規定に基づく規制措置を継続するか、または違反が継続している場合には、新規定に基づく措置を検討するかを判断する。
When considering regulatory action on the DUAA’s new provisions, we will consider the ICO guidance available to organisations at the time of the alleged non-compliance.	DUAA の新しい規定に基づく規制措置を検討する際には、違反の疑いがあった時点で組織が利用可能だった ICO のガイダンスを考慮する。
The DUAA provides us with new powers, including the power to:	DUAA は、当社に次のような新しい権限を与えている。
・compel a witness to attend an interview;	・証人の事情聴取を強制する権限
・request technical reports; and	・技術報告書の提出を要求する権限
・issue fines of up to £17.5m or 4% of global turnover under PECR.	・PECR に基づき、最高 1,750 万ポンドまたは世界全体の売上高の 4% に相当する罰金を科す権限
We are required to produce statutory guidance on the use of these new powers and will consult publicly nearer to their commencement.	当局は、これらの新しい権限の使用に関する法定ガイダンスを作成することが義務付けられており、その施行が近づきましたら、公開して協議を行います。
The DUAA brings in some new requirements for organisations. We will be publishing new and updated guidance to reflect these changes. Our planned guidance pages will set out when to expect new and draft guidance to give organisations certainty.	DUAA は、組織にいくつかの新しい要件を導入しています。当局は、これらの変更を反映した新しいガイダンスおよび更新されたガイダンスを公開する予定です。当局が計画しているガイダンスページでは、組織に確実性を提供するため、新しいガイダンスおよびドラフトガイダンスの公開予定日を掲載する予定です。
All website guidance pages relevant to DUAA changes will explain that the law is changing and where to find out more information.	DUAA の変更に関連するすべてのウェブサイトガイダンスページでは、法律が変更されること、および詳細情報について記載しています。
For the public	一般の方へ
How does this affect me?	これは私にどのような影響があるの？
Information for the public on how the changes will affect you.	変更が一般の方に与える影響に関する情報。
The DUAA is a new Act of Parliament that updates some laws about digital information matters.	DUAA は、デジタル情報に関する一部の法律を改正する新しい議会法だ。
This includes some changes to the data protection laws we regulate and that govern how organisations are allowed to use your personal information. These changes will be phased in between June 2025 and June 2026.	これには、当社が規制するデータ保護法、および組織がお客様の個人情報を使用する方法に関する規制の一部変更が含まれる。これらの変更は、2025年6月から2026年6月にかけて段階的に実施される。
What difference does this make to how an organisation can use my personal information?	この変更により、組織が私の個人情報を使用する方法にどのような違いが生じるのか？
Many of the changes don’t really affect how an organisation can use your personal information. They just make what is and isn’t already allowed clearer.	多くの変更は、組織があなたの個人情報を使用する方法に実際には影響を与えない。これらの変更は、すでに許可されていることと許可されていないことをより明確にするだけだ。
However, there are some changes that do open up the ways an organisation can use your personal information. Any changes like this  have safeguards to ensure you are still properly protected.	ただし、組織があなたの個人情報を使用する方法に新たな可能性をもたらす変更もいくつかある。このような変更には、お客様が引き続き適切に保護されるよう、安全対策が講じられている。
What are the main data protection changes?	データ保護に関する主な変更点は何ですか？
Changes to complaints procedures	苦情手続きの変更
An organisation must take steps to help you if you want to make a complaint about how it uses your personal information, such as providing an electronic complaints form. It also must acknowledge your complaint within 30 days and respond to it ‘without undue delay’.	組織は、あなたの個人情報の使用について苦情があった場合、電子苦情フォームの提供など、あなたを支援するための措置を講じなければならない。また、30 日以内に苦情を承認し、「不当な遅延なく」対応しなければならない。
Changes to how an organisation can use your personal information	組織があなたの個人情報を利用する方法の変更
Automated decision-making: an organisation can use your personal information to make significant automated decisions about you, if it can show it has a valid reason. This reason is known as a ‘legitimate interest’ and it needs to outweigh the impact on your rights and freedoms. This won’t be allowed for some information that is more protected and is known as ‘special category information’. For example, information about racial or ethnic origin or sexual orientation. (An automated decision is a decision made by a computer without any meaningful human involvement.)	自動化された意思決定：組織は、正当な理由がある場合に、あなたの個人情報を使用して、あなたに関する重要な自動化された決定を行うことができる。この理由は「正当な利益」と呼ばれ、お客様の権利および自由への影響を上回るものでなければならない。より保護が強化されている「特別カテゴリー情報」と呼ばれる情報については、この限りではない。例えば、人種や民族、性的指向に関する情報などである。（自動化された決定とは、人間の関与がほとんどないコンピュータによって行われる決定のことである。）
Direct marketing ‘soft opt in’: a charity that has collected your personal information because you’ve supported, or expressed an interest in, their work, can send you direct marketing emails, unless you ask it not to.	ダイレクトマーケティングの「ソフトオプトイン」：あなたが支援したり、興味を示したりしたために個人情報を収集した慈善団体は、あなたが拒否しない限り、ダイレクトマーケティングのメールを送ることができる。
Archiving in the public interest: an organisation can give out your personal information when it is needed for the purposes of ‘archiving in the public interest’. Even if you originally provided it for a different reason, and you only consented to the organisation using it for that reason. (Archiving in the public interest means preserving records of public value.)	公共の利益のためのアーカイブ：組織は、「公共の利益のためのアーカイブ」の目的で必要な場合、あなたの個人情報を提供することができる。あなたが当初、別の理由でその情報を提供し、その目的でのみその組織による使用に同意した場合でも同様だ。（公共の利益のためのアーカイブとは、公共的価値のある記録を保存することを意味する。
National security exemption: a law enforcement agency (such as the police) does not have to follow some of the usual rules about how it can use your personal information, if this is necessary to protect national security.	国家安全保障の例外：法執行機関（警察など）は、国家安全保障のために必要である場合は、個人情報の使用に関する通常の規則の一部を遵守する必要はない。
Designation notices: law enforcement agencies, and the intelligence services (such as MI5), who are working together on joint operations can work to the same intelligence services’ rules when using your information, if the Secretary of State authorises this. (Before the DUAA, they each worked to slightly different data protection laws.)	指定通知：共同作戦で協力している法執行機関および情報機関（MI5 など）は、国務大臣が承認した場合、あなたの情報を使用する際に、同じ情報機関の規則に従うことができる。（DUAA 以前、各機関は、それぞれ若干異なるデータ保護法に基づいて業務を行っていた。
Cookies: an organisation no longer needs your consent to set some cookies if the intrusion on your privacy is limited, such as those that improve the functionality of its website.	クッキー：組織は、ウェブサイトの機能向上など、あなたのプライバシーへの侵害が限定的な場合、クッキーの設定についてあなた同意を得る必要がなくなった。
Changes to what an organisation must do when it uses your personal information	組織がお客様の個人情報を使用する際に遵守すべき事項の変更
Children and online services: an organisation must think about children when it uses personal information to provide online services, and make sure it properly protects them.	子供とオンラインサービス：組織は、オンラインサービスを提供するために個人情報を使用する場合、子供について考慮し、子供たちを適切に保護しなければならない。
Privacy notices: an organisation no longer needs to inform you that it intends to re-use your personal information for research, archiving in the public interest, or generating statistics, if it would involve a disproportionate effort for it to do so. So long as it protects your rights in other ways and still explains what it’s doing by publishing details on its website.	プライバシーに関する通知：組織は、研究、公共の利益のためのアーカイブ、統計の作成のために個人情報を再利用する場合、その旨をお客様に通知する必要がなくなった。ただし、その通知に過大な労力を要する場合に限る。その場合は、他の方法でお客様の権利を保護し、その詳細をウェブサイトに掲載してその旨を説明しなければならない。
Changes to how the law is regulated	法律の規制方法の変更
The DUAA makes some changes to the ICO:	DUAA は、ICO に以下の変更を加える：
it changes our structure to help us regulate more effectively;	規制を効果的に実施するための組織構造の変更；
it gives us some new powers to assist us in our investigations; and	調査を支援するための新たな権限の付与；および
it gives us some new duties and reporting requirements to enhance our transparency and accountability for how we work.	業務の透明性と説明責任を強化するための新たな義務と報告要件の追加。
The Secretary of State has been given some new powers to allow them to amend some aspects of the law in the future, so long as this is agreed by Parliament.	国務大臣には、議会の同意があれば、将来、法律の一部を改正できる新たな権限が与えられている。
What other changes does the DUAA make?	DUAA では、他にどのような変更があるか？
The DUAA also changes some other laws that we don’t regulate. You can find more information about these changes at on the GOV.UK website.	DUAA は、私たちが規制していない他の法律も一部変更している。これらの変更に関する詳細情報は、GOV.UK のウェブサイトをご覧ください。
How can I find out more?	詳細については、どこで確認できますか？
We will update our ‘For the public’ website content as the changes are phased in.	変更が段階的に実施されるにつれて、「一般の方向け」ウェブサイトのコンテンツを更新していきます。
We’ve also provided some resources to help organisations prepare. Although these are written for experts and organisations rather than for people whose information they are using, you may find them useful if you want some more details.	また、組織の準備に役立つ資料もいくつか用意している。これらは、情報を使用する人々ではなく、専門家や組織向けに作成されているが、詳細を知りたい方には参考になるかもしれない。

欧州 Europol Eurojust ダークウェイブ上の薬物市場（アーキタイプ・マーケット）を閉鎖、関係者の一部逮捕、一部の資産を欧州 (2025.06.16)

こんにちは、丸山満彦です。

欧州刑事警察機構（Europol）、欧州司法協力機関（Eurojust）の支援を受けた 6 カ国（ドイツ、オランダ、ルーマニア、スペイン、スウェーデン、米国）による大規模な取り締まりにより、ヨーロッパ全域の法執行機関は、ダークウェブ上で最も長く続いた市場「Archetyp Market（アーキタイプ・マーケット）」を摘発したようですね。

アーキタイプ・マーケットは薬物取引市場で欧州を中心に影響を及ぼしていたようですね。。。

• お5年以上にわたり運営
• 世界中で60万人を超えるユーザー
• 取引総額が少なくとも2億5,000万ユーロ
• 1万7,000件を超える商品リスト
• フェンタニルを含む高濃度合成オピオイドの販売を許可した数少ないダークネット市場

6月11日−13日かけて実施した作戦には、警察300名以上が、アーキタイプ・マーケットの

• プラットフォームの管理者
• モデレーター
• 主要ベンダー
• 技術インフラ

を対象にとした一連の協調行動が行い、逮捕、重要な証拠の確保のために展開されたようですね。

結果、

• オランダにあるプラットフォームのインフラを停止
• 運営者である30歳のドイツ国籍の男性がスペインのバルセロナで逮捕
• ドイツとスウェーデンで、モデレーター1名とマーケットプレイスの主要販売業者6名に対して措置が取られ、
• 780万ユーロ相当の資産を押収

したようですね...

大規模な犯罪というのは、サイバー空間を使わずに成立しないので、サイバー犯罪というカテゴリーで考えるのではなく、犯罪もwith Cyberで考えるべきですよね。。。

全ての大規模犯罪はサイバー犯罪ともいえる。。。

● EUROPOL

・2025.06.16 Europe-wide takedown hits longest-standing dark web drug market

Europe-wide takedown hits longest-standing dark web drug market	ヨーロッパ全域での取り締まりにより、最長の歴史を誇るダークウェブの薬物市場が摘発
Administrator arrested in Spain; top vendors targeted in Sweden	管理者がスペインで逮捕、スウェーデンではトップベンダーが標的に
Law enforcement authorities across Europe have dismantled ‘Archetyp Market’, the most enduring dark web marketplace, following a large-scale operation involving six countries, supported by Europol and Eurojust.	欧州刑事警察機構（Europol）および欧州司法協力機関（Eurojust）の支援を受けた 6 カ国による大規模な取り締まりにより、ヨーロッパ全域の法執行機関は、ダークウェブ上で最も長く続いた市場「Archetyp Market（アーキタイプ・マーケット）」を摘発した。
Between 11 and 13 June, a series of coordinated actions took place across Germany, the Netherlands, Romania, Spain, Sweden, targeting the platform’s administrator, moderators, key vendors, and technical infrastructure. Around 300 officers were deployed to carry out enforcement actions and secure critical evidence.	6 月 11 日から 13 日にかけて、ドイツ、オランダ、ルーマニア、スペイン、スウェーデンで、このプラットフォームの管理者、モデレーター、主要ベンダー、技術インフラを標的とした一連の協調行動が行われた。約 300 人の警察官が、取締り行動の実施と重要な証拠の確保のために展開された。
Archetyp Market operated as a drug marketplace for over five years, amassing more than 600 000 users worldwide with a total transaction volume of at least EUR 250 million. With over 17 000 listings, it is one of the few darknet markets that allowed the sale of fentanyl and other highly potent synthetic opioids, contributing to the growing threat posed by these substances in Europe and beyond.	アーキタイプ・マーケットは5年以上にわたり薬物取引市場として運営され、世界中で60万人を超えるユーザーを擁し、取引総額が少なくとも2億5,000万ユーロに上る。1万7,000件を超える商品リストを掲載し、フェンタニルを含む高濃度合成オピオイドの販売を許可した数少ないダークネット市場の一つで、これらの物質が欧州およびその周辺で及ぼす脅威の拡大に関わっていた。
As a result of the action, the platform’s infrastructure in the Netherlands was taken offline and its administrator – a 30-year-old German national – was arrested in Barcelona, Spain. In parallel, measures were taken in Germany and Sweden against one moderator and six of the marketplace’s highest vendors, and assets worth EUR 7.8 million seized.	今回の措置により、オランダにあるプラットフォームのインフラが停止され、運営者である30歳のドイツ国籍の男性がスペインのバルセロナで逮捕された。同時に、ドイツとスウェーデンで、モデレーター1名とマーケットプレイスの主要販売業者6名に対して措置が取られ、780万ユーロ相当の資産が押収された。
This operation led by the German authorities marks the end of a criminal service that enabled the anonymous trade in high volumes of illicit drugs, including cocaine, MDMA, amphetamines, and synthetic opioids. The platform’s endurance, scale and reputation within the criminal community place it alongside now-defunct darknet markets such as Dream Market and Silk Road, both notorious for their role in facilitating online drug trafficking.	ドイツ当局が主導したこの作戦により、コカイン、MDMA、アンフェタミン、合成オピオイドなどの違法薬物を匿名で大量に取引していた犯罪サービスは終焉を迎えた。このプラットフォームは、その耐久性、規模、犯罪者コミュニティにおける評判から、オンラインでの薬物取引を助長した悪名高い、現在は閉鎖されているダークネットマーケット「ドリームマーケット」や「シルクロード」と肩を並べる存在だった。
Europol’s Deputy Executive Director of Operations Jean-Philippe Lecouffe commented:	欧州刑事警察機構の副執行取締役、ジャン・フィリップ・ルクーフ氏は次のようにコメントしている。
With this takedown, law enforcement has taken out one of the dark web’s longest-running drug markets, cutting off a major supply line for some of the world’s most dangerous substances. By dismantling its infrastructure and arresting its key players, we are sending a clear message: there is no safe haven for those who profit from harm.	今回の摘発により、法執行機関はダークウェブで最も長く運営されていた薬物市場の 1 つを排除し、世界でも最も危険な物質の一部の主要な供給ルートを遮断した。そのインフラを解体し、主要人物たちを逮捕することで、私たちは明確なメッセージを送った。害を及ぼして利益を得る者たちに、安全な避難場所はない、と。
The takedown follows years of intensive investigative work to map the platform’s technical architecture and identify the individuals behind it. By tracing financial flows, analysing digital forensic evidence, and working closely with partners on the ground, authorities were able to deliver a decisive blow to one of the most prolific drug markets on the dark web.	今回の摘発は、このプラットフォームの技術的構造を把握し、その背後にいる個人を特定するための長年にわたる徹底的な調査の結果によるものです。資金の流れを追跡し、デジタルフォレンジック証拠を分析し、現地のパートナーと緊密に連携することで、当局はダークウェブ上で最も活発な麻薬市場の一つに決定的な打撃を与えることができました。
Europol contributed to the efficiency and effectiveness of the international investigations. The agency organised multiple coordination meetings that made it possible for authorities to exchange critical information for the investigation. During the action days and the preliminary investigations, Eurojust coordinated the execution of mutual legal assistance and European Investigation Orders.	欧州刑事警察機構（Europol）は、国際捜査の効率と有効性に貢献した。同機関は、捜査当局が捜査に不可欠な情報を交換するための複数の調整会議を開催した。捜査期間および予備捜査期間中、欧州司法機構（Eurojust）は、司法共助および欧州捜査令状の執行を調整した。
A seizure banner has been published on the now-defunct marketplace. Further information, as well as a video aimed at the underground economy, is available online at [web]	現在は閉鎖されているマーケットプレイスには、押収のバナーが掲載されている。詳細情報、および地下経済を対象としたビデオは、[web]で閲覧できる。
The following authorities took part in or assisted with the investigation:	以下の当局が、捜査に参加または支援を行った。
Germany: Prosecutor General’s Office Frankfurt am Main – Cyber Crime Centre (Generalstaatsanwaltschaft Frankfurt am Main – ZIT), Federal Criminal Police Office (Bundeskriminalamt)	ドイツ：フランクフルト・アム・マイン検察庁 – サイバー犯罪センター（ZIT）、連邦刑事警察庁 (Bundeskriminalamt)
Netherlands: National Police of the Netherlands (Politie)	オランダ：オランダ国家警察（Politie）
Romania: National Police (Poliția Română)	ルーマニア：国家警察（Poliția Română）
Spain: National Police (Policía Nacional)	スペイン：国家警察（Policía Nacional）
Sweden: Swedish Police Authority (Polismyndigheten)	スウェーデン：スウェーデン警察庁（Polismyndigheten）
United States: Homeland Security Investigations (HSI), IRS-Criminal Investigation (IRS-CI), U.S. Department of Justice (USDOJ)	米国：国土安全保障調査局（HSI）、内国歳入庁刑事捜査局（IRS-CI）、米国司法省（USDOJ）
Europol	欧州刑事警察機構
Eurojust	欧州司法機構

---

● まるちゃんの情報セキュリティ気まぐれ日記

EuropolとEurojust

・2025.02.03 欧州 EuropolとEurojust サイバー犯罪に関する共通の課題と法整備による解決策 2024 (2025.01.31)

・2021.10.25 欧州連合理事会が「大規模サイバーセキュリティ事件・危機へのEU協調対応を補完する共同サイバーユニット構想の可能性を探るための理事会結論案 」を承認

・2020.05.09 ENISA CSIRT、法執行機関、司法機関の技術協力の強化に関する概要文書を公表

薬物...

・2025.03.28 米国 ODNI 2025 米国インテリジェンス・コミュニティの年次脅威アセスメント (2025.03.25)

・2024.08.01 警察庁 令和6年警察白書 (2024.07.26)

・2024.03.14 米国 インテリジェンス・コミュニティによる2024年の脅威評価 

・2023.11.19 米国 中国 バイデン大統領と習近平主席との会談 (2023.11.15) + APEC関係

・2023.06.25 米国・インド 共同声明 （モディ首相の訪米）

・2023.05.22 中国 第1回中国・中央アジアサミット 西安宣言

・2023.05.05 米国 GAO 高リスクシリーズ 2023 すべての分野に完全に対応するためには、進捗を達成するための努力の維持と拡大が必要である (2023.04.20)

・2023.04.09 米国 インテリジェンスコミュニティーによる2023年脅威評価 (2023.02.06)

・2023.03.15 中国 グローバル安全保障イニシアティブコンセプトペーパー (2023.02.22)

・2023.02.09 米国 一般教書演説 2023

・2021.12.26 2021年のEuropolのハイライト

英国 ICO 意見募集 消費者向けIoT製品およびサービスに関するガイダンス (2025.06.16)

こんにちは、丸山満彦です。

英国ICOが消費者向けIoT製品およびサービスに関するガイダンスのドラフトを公開し、意見募集をしています。ただ、6月19日よりデータ利用とアクセス法 (Data (Use and Access) Act) が適用されたため、修正がはいるかも。。。ということのようです。。。

DUAAについては、あらためて記載しますね...（多分...）

ちなみに、ICOが作成中のガイドについては、ここ (Our plans for new and updated guidance) から確認できます...

● U.K. ICO

・2025.06.16 Guidance for consumer Internet of Things products and services

Guidance for consumer Internet of Things products and services	消費者向けIoT製品およびサービスに関するガイダンス
About this guidance	このガイダンスについて
Why have you produced this guidance?	このガイダンスを作成した理由
Who is it for?	対象者
What is the Internet of Things?	IoTとは
What does this guidance cover?	このガイダンスの対象範囲
What doesn’t this guidance cover?	このガイダンスの対象外
How should we use this guidance?	このガイダンスの使い方
What information do IoT products use?	IoT 製品が使用する情報
Do IoT products process personal information?	IoT 製品は個人情報を処理する？
Do IoT products process special category information?	IoT 製品は特別な種類の情報を処理する？
IoT and location data	IoT と位置情報
People might use IoT products in the home – does the UK GDPR still apply?	家庭で IoT 製品を使用する場合、英国 GDPR は適用されるか？
Does PECR apply to IoT products?	PECR は IoT 製品に適用されるか？
How do we ensure accountability in IoT products?	IoT 製品における説明責任をどのように確保するか？
What is accountability?	説明責任とは何か？
How should we understand controller and processor relationships in IoT?	IoT における管理者および処理者の関係をどのように理解すべきか？
What do we need to do if children are likely to use our IoT products or services?	子供たちが当社の IoT 製品またはサービスを使用する可能性が高い場合、何をする必要があるか？
What risks do we need to manage?	どのようなリスクを管理する必要があるか？
How do we apply a data protection by design and default approach?	設計およびデフォルトによるデータ保護アプローチをどのように適用するか？
How do we ensure our IoT products process information lawfully?	IoT 製品が情報を合法的に処理することをどのように確保するか？
How do we choose the right lawful basis?	適切な法的根拠をどのように選択するか？
How do we ask for consent in IoT products?	IoT 製品において同意をどのように求めるか？
How do we ensure our IoT products process personal information fairly?	IoT 製品が個人情報を公正に処理することをどのように確保するか？
How does the fairness principle apply when an IoT product uses AI?	IoT 製品が AI を使用する場合、公正性の原則はどのように適用されるか？
How should we tell people what we’re doing?	当社の活動について、どのように人々に伝えるべきか？
How do we ensure our processing by IoT products is transparent?	IoT 製品による処理の透明性を確保するにはどうすればよいか？
How do we decide the right methods for providing our privacy information?	プライバシー情報を提供するための適切な方法を決定するにはどうすればよいか？
How do we make our privacy information easy to follow?	プライバシー情報をわかりやすく記載するにはどうすればよいか？
What are the right moments for us to provide privacy information?	プライバシー情報を提供するための適切なタイミングはいつか？
How do we provide privacy information on different product interfaces?	さまざまな製品インターフェースでプライバシー情報を提供するにはどうすればよいか？
How do we provide privacy information if there are multiple users?	複数のユーザーがいる場合、プライバシー情報を提供するにはどうすればよいか？
How do we ensure accuracy in IoT?	IoT の正確性を確保するにはどうすればよいか？
How long should we keep personal information for?	個人情報はどのくらいの期間保存すべきか？
How do we ensure security of personal information in IoT?	IoT における個人情報のセキュリティを確保するにはどうすればよいか？
What measures do we need to consider?	どのような対策を考慮すべきか？
Can PETs help us with our data protection compliance?	PET はデータ保護のコンプライアンスに役立ちますか？
How do we help people exercise their rights?	人々が自分の権利を行使できるようにするにはどうすればよいか？
What is the right of access?	アクセス権とは何ですか？
What is the right to rectification?	修正権とは何ですか？
What is the right to erasure?	消去権とは何ですか？
What is the right to data portability?	データポータビリティ権とは何ですか？
What is the right to object?	異議申立権とは何ですか？
What is automated decision-making and profiling?	自動化された意思決定およびプロファイリングとは何ですか？
Glossary	用語集

法律やガイドを作る際に影響評価（assessment）をするのが英国の素晴らしい点だと思います。

日本もすればよいのにね...

日本の政治家はこういう考えを法制度にしないのかしらね...

・[PDF] Guidance on consumer Internet of Things products and services: Impact Assessment - DRAFT

目次...

Executive summary	エグゼクティブサマリー
Problem definition	問題定義
Rationale for intervention	介入の理由
Options appraisal	選択肢の評価
Details of proposed intervention	提案された介入の詳細
Cost-benefit analysis	費用便益分析
Monitoring and evaluation	モニタリングと評価
1. Introduction	1. 序論
1.1. Our approach to the impact assessment	1.1. 影響評価に対する当社のアプローチ
1.2. Report structure	1.2. 報告書の構成
2. Problem definition	2. 問題定義
2.1. What is the consumer Internet of Things?	2.1. 消費者向けモノのインターネットとは？
2.2. Problem context	2.2. 問題の状況
2.3. Consumer IoT market within the UK	2.3. 英国の消費者向け IoT 市場
2.4. Summary	2.4. 概要
3. Rationale for intervention	3. 介入の理由
3.1. The policy context	3.1. 政策の背景
3.2. Market failures	3.2. 市場の失敗
3.3. Actual or potential harms	3.3. 実際のまたは潜在的な害
3.4. Summary of rationale for intervention	3.4. 介入の理由の概要
4. Options appraisal	4. 選択肢の評価
4.1. Options for consideration	4.1. 検討すべき選択肢
4.2. Assessment of options against critical success factors	4.2. 重要な成功要因に対する選択肢の評価
5. Detail of proposed intervention	5. 提案された介入の詳細
5.1. Light touch engagement	5.1. 軽微な関与
5.2. The guidance	5.2. ガイダンス
5.3. Scope of guidance	5.3. ガイダンスの範囲
5.4. Guidance timeline	5.4. ガイダンスのスケジュール
5.5. Affected groups	5.5. 影響を受けるグループ
6. Cost-benefit analysis	6. 費用便益分析
6.1. Identifying impacts	6.1. 影響の識別
6.2. Counterfactual	6.2. 反事実
6.3. Costs and Benefits	6.3. 費用と便益
7. Monitoring and evaluation	7. モニタリングと評価
Annex A: Familiarisation costs	附属書 A：習熟費用
A.1 Familiarisation costs per organisation	A.1 組織あたりの習熟費用

エグゼクティブサマリー...

Executive summary	エグゼクティブサマリー
This draft impact assessment accompanies our draft guidance on consumer Internet of Things (IoT) products and services. It sets out our initial impact considerations for consultation, alongside the consultation on the draft guidance. It should be noted that this is not an exhaustive assessment of the impacts of the guidance, and we will move towards a more conclusive assessment of impact based on the development of the final guidance and taking account of the feedback received at consultation stage. We are seeking feedback on this draft impact assessment, along with any additional information or insights that stakeholders may be able to provide on impacts throughout the consultation process.	この影響評価ドラフトは、消費者向けIoT製品およびサービスに関するガイダンスドラフトに付属するものです。ガイダンスドラフトに関する協議と併せて、協議のための初期的な影響評価を記載している。これはガイダンスの影響に関する包括的な評価ではないことにご留意ください。最終的なガイダンスの策定、および協議段階で寄せられたフィードバックを踏まえて、より決定的な影響評価を行う予定です。当機関では、この影響評価のドラフトについて、協議プロセスを通じて、影響に関する追加情報や見解など、ステークホルダーの皆様からのフィードバックをお待ちしている。
Problem definition	問題点の定義
The draft guidance covers the processing of personal information by organisations providing IoT products on the consumer market. Much of the data processing in IoT products relates to tracking user activity. The ICO’s Online Tracking Strategy identifies areas where people are not being given the control they are entitled to under data protection law. These areas are present across a wide range of websites, services and technologies (including IoT devices), affecting nearly all adults online. When users lack control, harm can occur. It is recognised that there are particular problems for IoT products and services in complying with data protection legislation, for instance in the delivery of privacy information. ICO intervention is required to provide clarity on our regulatory expectations to organisations who process personal information in consumer IoT products.	このガイダンスのドラフトは、消費者市場で IoT 製品を提供する組織による個人情報の処理を対象としている。IoT 製品におけるデータ処理の多くは、ユーザーの行動の追跡に関連している。ICO のオンライン追跡戦略では、データ保護法に基づき、人々が本来有する権利を十分に行使できない分野を特定している。これらの分野は、幅広いウェブサイト、サービス、技術（IoT デバイスを含む）に存在し、オンラインを利用するほぼすべての成人に影響を及ぼしている。ユーザーがコントロールできない場合、害が生じる可能性がある。IoT 製品およびサービスは、プライバシー情報の提供など、データ保護法の遵守において特に問題があることが認識されている。消費者向け IoT 製品で個人情報を処理する組織に対して、当社の規制上の期待を明確にするため、ICO の介入が必要だ。
Rationale for intervention	介入の理由
The combination of compliance concerns, data protection harms and market failures have prompted the ICO to determine that action needs to be taken to improve regulatory certainty on how PECR and GDRP regulations apply to IoT products and services. Absent regulatory intervention, firms are likely to continue to underinvest in data protection, consumers are likely to be exposed to increasing data protection risks over time and wider society is likely to face increased costs of harm mitigation.	コンプライアンスに関する懸念、データ保護上の害、および市場の機能不全が相まって、ICO は、PECR および GDRP 規制が IoT 製品およびサービスにどのように適用されるかに関する規制の確実性を高めるための措置を講じる必要があると判断した。規制当局の介入がない場合、企業はデータ保護への投資を不十分なまま継続し、消費者は時間の経過とともにデータ保護のリスクにさらされる可能性が高まり、社会全体が害の緩和コストの増加に直面する可能性が高い。
Options appraisal	選択肢の評価
In the context of the identified problem and rational for intervention, six options were considered. These options were assessed against a number of critical success factors and the preferred option of light touch engagement plus guidance (Option 5) was chosen. This option involves the provision of a light touch regulatory approach using education, engagement and influence alongside the development of support and guidance setting out ICO expectations across the wider IoT market.	特定された問題と介入の理由を踏まえ、6 つの選択肢が検討された。これらの選択肢は、いくつかの重要な成功要因に対して評価され、軽度の関与とガイダンス（選択肢 5）が最適な選択肢として選択された。この選択肢では、教育、関与、影響力による軽度の規制アプローチと、より広範な IoT 市場における ICO の期待事項を定めた支援およびガイダンスの策定が組み合わされる。
Details of proposed intervention	提案された介入の詳細
The proposed regulatory intervention involves light touch engagement plus guidance. The overarching objective of the guidance involves the provision of regulatory certainty to organisations. The production of guidance for consumer IoT products and services, aims to help organisations provide people with meaningful control across the AdTech ecosystem; reduce the potential for data protection harms; and meet the objectives noted. These include: a level playing field of compliance amongst organisations is achieved; innovative alternatives are developed and implemented; and organisations respect and adhere to people's choice to name a few.	提案されている規制介入は、軽度の関与とガイダンスからなる。このガイダンスの包括的な目的は、組織に規制の確実性を提供することです。消費者向け IoT 製品およびサービスに関するガイダンスの作成は、組織が AdTech エコシステム全体において、人々に有意義な制御を提供し、データ保護の害の可能性を低減し、上記の目的を達成することを支援することを目的としている。その目的としては、組織間のコンプライアンスの公平性の確保、革新的な代替手段の開発と実施、組織による人々の選択の尊重と順守などが挙げられる。
Cost-benefit analysis	費用便益分析
Our initial analysis of costs and benefits has identified a number of impacts of the draft guidance including the reduced potential for data protection harms. The guidance is expected to increase regulatory certainty for organisations within the consumer IoT ecosystem. Although there will be costs to organisations from reading, understanding and implementing the guidance, this is expected to be outweighed by the wider societal benefits of reduced data protection harms.	費用と便益に関する初期分析では、データ保護上の害の可能性の低減など、ガイダンスドラフトが及ぼすさまざまな影響が特定された。このガイダンスにより、消費者向け IoT エコシステム内の組織に対する規制の確実性が高まると予想される。組織は、ガイダンスの読解、理解、実施にコストがかかるが、データ保護上の害の低減というより広範な社会的便益が、そのコストを上回ると予想される。
At this initial draft stage of guidance development, we expect the guidance to have a net positive impact on balance. However, we will seek to gather additional information on the potential costs and benefits of the guidance throughout consultation and development of our final guidance and impact assessment.	ガイダンス作成の初期段階である現時点では、ガイダンスは全体としてプラスの影響をもたらすものと予想している。ただし、最終的なガイダンスの作成および影響評価の協議・作成過程において、ガイダンスの潜在的なコストと便益に関する追加情報を収集する予定だ。
Monitoring and evaluation	モニタリングと評価
As per our impact assessment framework, when finalising the guidance post consultation, we will consider the monitoring and review processes. As noted, this intervention sits within our wider Online Tracking Strategy. As such, the outcomes and impacts of this intervention will feed into any wider ex-post impact measurement carried out on the Online Tracking Strategy.	影響評価の枠組みに従い、協議を経てガイダンスを最終決定する際には、モニタリングとレビューのプロセスを検討する。前述の通り、この介入は、より広範なオンライン追跡戦略の一部である。そのため、この介入の結果と影響は、オンライン追跡戦略について実施されるより広範な事後影響測定に反映される。

欧州 欧州理事会 欧州議会 欧州市民によるEU内の国境を越えたGDPRの苦情処理の改善に関する合意 (2025.06.16)

こんにちは、丸山満彦です。

日本政府、日本企業にとってはあまり関係ないかもしれませんが、欧州域内でのGDPRの苦情対応について、国毎に連携をして迅速に処理できるようにするという話なんでしょうかね。。。

法律はEU域内で一つであっても、執行は各国の政府機関が実施するわけですから、苦情をいう人の国と苦情の対象の国が異なっている場合は、その対応に時間がかかることになります。そこで、それを迅速に処理できるようにするということなのでしょうね...

そういえば、今Brusselsにプライベートで来ています。とても過ごしやすい気候で助かっています。Brusselsはゲルマン語圏とラテン語圏の境界にあたるようで、案内板等はフランス語とオランダ語の併記となっていますね。ただ、街中で聞く言葉はほとんどフランス語です。英語は通じますので、わたしはあいさつ程度のフランス語と英語でなんとかなっています。

● European Council

・2025.06.16 Data protection: Council and European Parliament reach deal to make cross-border GDPR enforcement work better for citizens

Data protection: Council and European Parliament reach deal to make cross-border GDPR enforcement work better for citizens	データ保護：理事会と欧州議会、市民のための国境を越えた GDPR の執行の改善に関する合意に達する
The Council, represented by the Polish presidency of the Council of the EU, and the European Parliament secured a provisional deal on a new law which will improve cooperation between national data protection authorities when they enforce the General Data Protection Regulation (GDPR) in cross-border cases.	EU 理事会をポーランド議長国として代表する理事会と欧州議会は、国境を越えたケースにおける一般データ保護規則（GDPR）の執行に関する各国データ保護当局間の協力の改善を図る新法について、暫定合意に達した。
We have taken a big step towards improving cooperation between national data protection bodies when they enforce citizens' rights under the General Data Protection Regulation. The objective is to speed up the process of handling cross-border GDPR complaints filed by citizens or organisations.	一般データ保護規則に基づく市民の権利を執行する際に、各国のデータ保護団体間の協力の改善に向けて大きな一歩を踏み出した。その目的は、市民や団体から提出された国境を越えた GDPR に関する苦情の処理プロセスを迅速化することだ。
Krzysztof Gawkowski, Deputy Prime Minister, Minister for Digital Affairs	クリシュトフ・ガウコフスキ、副首相、デジタル担当大臣
The European co-legislators agreed on rules that will streamline administrative procedures relating to, for instance, the rights of complainants or the admissibility of cases, and thus make enforcement of the GDPR, which has been in application since 25 May 2018, more efficient.	欧州の共同立法者は、例えば、申立人の権利や事件の受理可能性に関する行政手続きを合理化する規則について合意し、2018年5月25日から適用されているGDPRの執行をより効率的にすることになった。
Admissibility	受理可能性
Once adopted, the regulation will speed up the process of handling cross-border GDPR complaints filed by citizens or organisations, and any follow-up investigations. This is due in particular to the harmonisation of the requirements for the admissibility of cross-border action. Regardless of where in the EU a citizen files a complaint relating to cross-border data processing, admissibility will be judged on the basis of the same information.	この規則が採択されると、市民や組織が提出する越境GDPR苦情の処理プロセスおよびその後の調査が迅速化される。これは特に、越境措置の受理可能性に関する要件の調和によるものだ。EU内のどこで市民が越境データ処理に関する苦情を提出しても、受理可能性は同じ情報に基づいて判断される。
Rights of complainants and parties under investigation	申立人および調査対象者の権利
The new regulation will harmonise the requirements and procedures for the complainant to be heard if a complaint is rejected and provides common rules on the involvement of the complainant in the procedure.	新しい規則では、申立が却下された場合、申立人が聴聞を受けるための要件と手続きが統一され、手続きへの申立人の関与に関する共通規則が定められている。
The right to be heard for the company or organisation that is being investigated is also ensured at key stages throughout the procedure.	調査対象企業または組織も、手続きの重要な段階において聴聞を受ける権利が保証される。
The complainant and the company or organisation under investigation will be given the right to receive the preliminary findings (i.e. before the final decision) in order to express their views on it.	申立人および調査対象企業または組織は、その見解を表明するために、予備調査結果（最終決定前）を受け取る権利が与えられる。
Deadlines	期限
The new rules introduce deadlines for the completion of investigations. The co-legislators agreed on an overall investigation deadline of 15 months, which can be extended by 12 months for the most complex cases. In the case of a simple cooperation procedure between national data protection bodies, the investigation should be wrapped up within 12 months.	新しい規則では、調査の完了期限が導入されている。共同立法者は、調査の全体的な期限を 15 ヶ月とし、最も複雑なケースについては 12 ヶ月延長できることで合意した。各国データ保護団体間の単純な協力手続きの場合、調査は 12 ヶ月以内に完了すべきだ。
Swifter resolution of complaints	苦情の迅速な解決
The Council and the European Parliament agreed on a mechanism to resolve complaints more swiftly. This early resolution mechanism allows data protection authorities to resolve a case before triggering the standard procedures for handling a cross-border complaint – in other words, before involving other national authorities. This may be the case where the company or organisation in question has addressed the infringement and where the complainant has not objected to the early resolution of the complaint.	理事会と欧州議会は、苦情をより迅速に解決するためのメカニズムについて合意した。この早期解決メカニズムにより、データ保護当局は、国境を越えた苦情を処理するための標準的な手続きを開始する前に、つまり他の国の当局が関与する前に、案件を解決することができる。これは、当該企業または組織が違反に対処し、申立人が苦情の早期解決に異議を唱えていない場合に適用される。
Simple cooperation procedure	単純な協力手続き
In order to avoid protracted discussions between the different data protection bodies on a specific case, the new law introduces measures to facilitate consensus-building. One such measure is an obligation for the lead authority to send a summary of key issues to their counterparts in the EU. This will ensure that they have all the necessary information to express their views on the case early on.	特定の案件について、異なるデータ保護機関間で議論が長期化するのを避けるため、新法では、合意形成を促進するための措置が導入されている。その一つは、主担当機関が、EU 内の他の機関に主要問題の概要を送付する義務だ。これにより、各機関は、早期に事件に関する見解を表明するために必要なすべての情報を入手することができる。
The final text maintains a proposal from the Council for a simple cooperation procedure, which offers the option of not applying all the additional rules when a case is more straightforward. This allows data protection authorities to avoid any administrative burden, to act swiftly on non‑contentious cases and to take advantage of the newly introduced additional cooperation rules for more complex investigations.	最終案では、より単純な事件については追加規則のすべてを適用しないという選択肢を認める、理事会による簡単な協力手続きの提案が維持されている。これにより、データ保護当局は、事務負担を回避し、争点のない事件について迅速に対応し、より複雑な調査については新たに導入された追加の協力規則を活用することができる。
Next steps	次のステップ
The provisional agreement reached today will have to be confirmed by the Council and the European Parliament. The new rules will enter into force following the final adoption in both institutions.	本日達成された暫定合意は、理事会および欧州議会による確認が必要だ。新しい規則は、両機関で最終的に採択された後に発効する。
Background	背景
The GDPR, the EU's landmark data protection law, which harmonises data protection rights across Europe, has put in place a system of cooperation between national data protection bodies. Those authorities, which are responsible for enforcing the GDPR, are obliged to cooperate when a data protection case concerns cross-border processing. This is the case, for instance, when the complainant resides in a member state other than that of the company under investigation.	EU の画期的なデータ保護法である GDPR は、欧州全域におけるデータ保護の権利を調和させ、各国のデータ保護団体間の協力体制を構築している。GDPR の施行を担当するこれらの当局は、国境を越えたデータ処理に関するデータ保護案件が発生した場合に協力する義務がある。これは、例えば、申立人が調査対象企業のある加盟国以外の加盟国に居住している場合などに当てはまる。
In such cross-border cases, a single national authority will take on the role of lead authority in the investigation, but is required to cooperate with its counterparts in other member states.	このような国境を越えた案件では、1 つの国家機関が調査の主任機関としての役割を担うが、他の加盟国の同機関と協力することが義務付けられている。
Data protection in the EU (background information)	EU におけるデータ保護（背景情報
Data protection: Council agrees position on GDPR enforcement rules (press release), 13 June 2024	データ保護：理事会、GDPR 施行規則に関する立場を合意（プレスリリース）、2024 年 6 月 13 日

・2024.06.13 Data protection: Council agrees position on GDPR enforcement rules

Data protection: Council agrees position on GDPR enforcement rules	データ保護：理事会、GDPR 施行規則に関する立場を合意
The Council today reached an agreement on a common member states’ position on a new law which will improve cooperation between national data protection authorities when they enforce the General Data Protection Regulation (GDPR).	理事会は本日、一般データ保護規則（GDPR）の施行において、各国のデータ保護当局間の協力を改善する新法に関する加盟国の共通立場について合意に達した。
Data protection is a key fundamental right and the GDPR is the EU’s most powerful tool to safeguard it. Now the EU is taking an important step to make enforcement of this law more efficient.	データ保護は基本的な権利であり、GDPR はそれを保護するための EU の最も強力な手段だ。EU は今、この法律の施行をより効率的にするための重要な一歩を踏み出した。
Paul Van Tigchelt, Minister of Justice	ポール・ヴァン・ティグヘルト司法大臣
The GDPR requires national data protection authorities, which are responsible for enforcing the GDPR, to cooperate when a data protection case concerns cross-border processing. This is the case for instance when the complainant resides in a different member state than the company under investigation.	GDPR は、GDPR の施行を担当する各国のデータ保護当局に対し、国境を越えたデータ処理に関するデータ保護案件について協力することを義務付けている。これは、例えば、申立人が調査対象企業とは異なる加盟国に居住している場合などに該当する。
Swift handling of cross-border complaints and improved cooperation	国境を越えた苦情の迅速な処理と協力の改善
Once adopted, the regulation will provide tools to speed up the process of handling cross-border complaints filed by citizens or organisations, and any follow-up investigations. This is notably thanks to the harmonisation of the requirements for a cross-border action to be admissible. Wherever in the EU a citizen files a complaint relating to cross-border data processing, the admissibility will be judged on the basis of the same information.	この規則が採択されると、市民や組織が提出した国境を越えた苦情の処理、およびその後の調査の迅速化のためのツールが提供される。これは、国境を越えた措置が許容される要件の調和によるものだ。EU 内のどこで市民が国境を越えたデータ処理に関する苦情を申し立てた場合でも、その許容性は同じ情報に基づいて判断される。
It also clarifies the procedural deadlines and procedural steps of an investigation and for the adoption of a binding opinion by the European Data Protection Board (EDPB), the organisation which brings together all national data protection authorities, in case of disagreement between data protection authorities.	また、調査の手続き上の期限や手続きの段階、およびデータ保護当局間で意見の相違が生じた場合の、すべての国のデータ保護当局を統合する組織である欧州データ保護会議（EDPB）による拘束力のある意見の採択についても明確化されている。
The Council agreed that throughout the cooperation procedure, national data protection authorities should be able to provide their views to the lead supervisory authority and that cooperation tools provided by the GDPR should be used in order to aim at consensus early on in investigations.	理事会は、協力手続きを通じて、各国のデータ保護当局が主監督当局に意見を提出できること、および調査の早期合意を図るため、GDPR が提供する協力ツールを利用すべきであることに合意した。
Rights of complainants and parties under investigation	申立人および調査対象者の権利
The new regulation will harmonise the requirements and procedures for the complainant to be heard if a complaint is rejected and provides common rules on the involvement of the complainant in the procedure.	新しい規則は、申立が却下された場合に申立人が聴聞を受けるための要件および手続きを調和させ、手続きへの申立人の関与に関する共通規則を規定する。
The right to be heard for the company or organisation that is being investigated is also ensured at key stages throughout the procedure, including during dispute resolution by the EDPB.	調査対象企業または組織の聴聞を受ける権利も、EDPB による紛争解決を含む、手続きの重要な段階において確保される。
Main elements Council position	主な要素 理事会の立場
The Council position maintains the general thrust of the proposal but amends the draft regulation in the following aspects:	理事会の立場は、提案の一般的な方向性は維持しつつ、以下の点について規制案を修正している。
clearer timelines: Member states introduce specific timelines that intend to speed up the cooperation process	より明確なスケジュール：加盟国は、協力プロセスの迅速化を図るため、具体的なスケジュールを導入する。
enhanced and efficient cooperation: The Council supports the new enhanced cooperation procedure between data protection authorities but also provides the option of not applying all additional rules when a case is more simple and straightforward. This allows data protection authorities to avoid administrative burden and to act swiftly on non-contentious cases and take advantage of the newly introduced additional cooperation rules for more complex investigations	強化された効率的な協力：理事会は、データ保護当局間の新たな強化された協力手続きを支持する一方で、案件が単純かつ明確な場合には、追加規則のすべてを適用しないという選択肢も設けている。これにより、データ保護当局は、事務負担を回避し、争点のない案件について迅速に対応し、より複雑な調査のために新たに導入された追加の協力規則を活用することができる
early resolution mechanism: The Council introduces an early resolution mechanism which allows authorities to resolve a case prior to initiating the standard procedures for handling a cross-border complaint. This can be the case when the company or organisation in question has addressed the infringement or when an amicable settlement to the complaint has been found	早期解決メカニズム：理事会は、当局が国境を越えた苦情を処理するための標準的な手続きを開始する前に、案件を解決するための早期解決メカニズムを導入する。これは、当該企業または組織が違反に対処した場合、または苦情について友好的な解決が見出された場合などに適用される。
Next steps	次のステップ
Today’s adoption of a general approach will allow the Council to start negotiations with the European Parliament, which has agreed its position in April 2024, in order to agree on a final legislative text.	本日、一般的なアプローチが採択されたことで、理事会は、2024年4月にその立場を合意した欧州議会と、最終的な立法案について合意するための交渉を開始することができる。
Background	背景
The GDPR is the EU's landmark data protection law which harmonises data protection rights across Europe. It applies to any organisation that deals with personal data of EU citizens or residents, regardless of where they are based.	GDPR は、欧州全域におけるデータ保護の権利を調和させる、EU の画期的なデータ保護法だ。これは、EU 市民または居住者の個人データを扱う組織に、その所在地にかかわらず適用される。
The GDPR has put in place a system of cooperation between national data protection bodies that on the one hand ensures a consistent application of the law throughout the EU and on the other hand allows a complainant to deal with its local data protection authority. In cross-border cases one national authority will take on the role of lead authority in the investigation. However, the lead authority is required to cooperate with its peers from other member states.	GDPR は、EU 全体で法律の一貫した適用を確保すると同時に、申立人が自国のデータ保護当局に申し立てを行うことを可能にする、各国データ保護団体間の協力体制を構築している。国境を越えた案件については、1 つの国の当局が調査の主任当局としての役割を担う。ただし、主任当局は他の加盟国の同等の当局と協力することが義務付けられている。
The GDPR has been in application since 25 May 2018. Several reports on the application of the GDPR noted that the handling of cross-border issues was hampered by differences in administrative procedures. The procedural rules in the new regulation will address this concern.	GDPR は 2018 年 5 月 25 日から適用されている。GDPR の適用に関するいくつかの報告書では、行政手続きの違いにより、国境を越えた問題の処理が妨げられていることが指摘されている。新しい規則の手続き規則は、この懸念に対処するものとなっている。
Data protection in the EU (background information)	EU におけるデータ保護（背景情報
Regulation laying down procedural rules relating to the enforcement of the General Data Protection Regulation (general approach), 24 May 2024	一般データ保護規則の施行に関する手続き規則を定める規則（一般的なアプローチ）、2024 年 5 月 24 日

・[PDF] 

米国 NIST CSWP 36E (初期公開ドラフト) 5G ネットワークセキュリティ設計原則：5G サイバーセキュリティおよびプライバシー機能の適用 (2025.06.17)

こんにちは、丸山満彦です。

NISTが、CSWP 36E (初期公開ドラフト) 5G ネットワークセキュリティ設計原則：5G サイバーセキュリティおよびプライバシー機能の適用を公表し、意見募集をしていますね。。。

商用およびプライベート 5G ネットワーク事業者がサイバーセキュリティとプライバシーの向上のために採用することが推奨されるネットワークインフラストラクチャの設計原則についての説明ですかね...

● NIST - ITL

・2025.06.17 NIST CSWP 36E (Initial Public Draft) 5G Network Security Design Principles: Applying 5G Cybersecurity and Privacy Capabilities

NIST CSWP 36E (Initial Public Draft) 5G Network Security Design Principles: Applying 5G Cybersecurity and Privacy Capabilities	NIST CSWP 36E (初期公開ドラフト) 5G ネットワークセキュリティ設計原則：5G サイバーセキュリティおよびプライバシー機能の適用
Announcement	発表
5G technology for broadband cellular networks will significantly improve how humans and machines communicate, operate, and interact in the physical and virtual world. 5G provides increased bandwidth and capacity, and low latency. However, professionals in fields like technology, cybersecurity, and privacy are faced with safeguarding this technology while its development, deployment, and usage are still evolving.	ブロードバンド携帯電話ネットワーク向けの 5G テクノロジーは、物理世界および仮想世界における人間と機械のコミュニケーション、操作、相互作用を大幅に改善する。5G は、帯域幅と容量の増加、および低遅延を実現する。しかし、テクノロジー、サイバーセキュリティ、プライバシーなどの分野の専門家は、このテクノロジーの開発、展開、使用がまだ進化している段階で、その保護という課題に直面している。
To help, the NIST National Cybersecurity Center of Excellence (NCCoE) has launched the “Applying 5G Cybersecurity and Privacy Capabilities" white paper series. The series targets technology, cybersecurity, and privacy program managers within commercial mobile network operators, potential private 5G network operators, and organizations using and managing 5G-enabled technology who are concerned with how to identify, understand, assess, and mitigate risk for 5G networks. In the series we provide recommended practices and illustrate how to implement them. All of the capabilities featured in the white papers have been demonstrated on the NCCoE testbed on commercial grade 5G equipment.	この問題に対処するため、NIST 国立サイバーセキュリティ・センター・オブ・エクセレンス (NCCoE) は、「5G サイバーセキュリティおよびプライバシー機能の適用」ホワイトペーパーシリーズを発行した。このシリーズは、5G ネットワークのリスクの識別、理解、評価、緩和の方法に関心のある、商用モバイルネットワーク事業者、潜在的なプライベート 5G ネットワーク事業者、および 5G 対応技術を使用および管理する組織の、技術、サイバーセキュリティ、およびプライバシープログラムのマネージャーを対象としている。このシリーズでは、推奨される実践例を紹介し、その実施方法を説明している。ホワイトペーパーで紹介されている機能はすべて、NCCoE のテストベッドで商用グレードの 5G 機器を使用して実証されている。
We are pleased to announce the availability of the sixth white paper in the series:	このシリーズの第 6 弾となるホワイトペーパーが発行された。
5G Network Security Design Principles — This publication provides the network infrastructure security design principles that commercial and private 5G network operators are encouraged to use. Such a network infrastructure isolates types of 5G network traffic from each other — data plane, signaling, and operation and maintenance (O&M) traffic — to improve cybersecurity and privacy. These security principles were demonstrated on the NCCoE 5G security testbed.	5G ネットワークセキュリティの設計原則 — このホワイトペーパーでは、商用およびプライベート 5G ネットワーク事業者が採用することが推奨されるネットワークインフラストラクチャのセキュリティ設計原則を紹介している。このようなネットワークインフラストラクチャは、データプレーン、シグナリング、運用および保守 (O&M) トラフィックなど、5G ネットワークのトラフィックの種類を相互に分離し、サイバーセキュリティとプライバシーを強化する。これらのセキュリティ原則は、NCCoE 5G セキュリティテストベッドで実証されている。
Abstract	要約
This white paper describes the network infrastructure design principles that commercial and private 5G network operators are encouraged to use to improve cybersecurity and privacy. Such a network infrastructure isolates types of 5G network traffic from each other: data plane, signaling, and operation and maintenance (O&M) traffic. This white paper is part of a series called Applying 5G Cybersecurity and Privacy Capabilities, which covers 5G cybersecurity and privacy-supporting capabilities that were demonstrated on the NIST National Cybersecurity Center of Excellence (NCCoE) 5G security testbed as part of the 5G Cybersecurity project at the NCCoE.	このホワイトペーパーでは、商用およびプライベート 5G ネットワーク事業者がサイバーセキュリティとプライバシーの向上のために採用することが推奨されるネットワークインフラストラクチャの設計原則について説明している。このようなネットワークインフラストラクチャは、データプレーン、シグナリング、運用および保守 (O&M) トラフィックなど、5G ネットワークトラフィックのタイプを互いに分離する。このホワイトペーパーは、「5G サイバーセキュリティおよびプライバシー機能の適用」シリーズの一部であり、NCCoE の 5G サイバーセキュリティプロジェクトの一環として、NIST 国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）の 5G セキュリティテストベッドで実証された、5G サイバーセキュリティおよびプライバシーをサポートする機能について紹介している。

・[PDF] NIST.CSWP.36E.ipd

Overview	概要
As specified by 3GPP standards, 5G systems use service-based architectures (SBAs) with a design that works well when implemented with cloud-native technologies leveraging microservices and container technology. A single 5G network function (NF) can be comprised of a multitude of containers running on many distributed servers. The 5G NFs communicate with each other over the network infrastructure, including carrier-grade routers and switches. The 5G Radio Access Network (RAN) components operate over a spread-out geographic area, while still requiring simultaneous connectivity to multiple types of 5G traffic.	3GPP 標準で規定されているように、5G システムは、マイクロサービスとコンテナ技術を活用したクラウドネイティブ技術と実装した場合にうまく機能する設計のサービスベースアーキテクチャ（SBA）を使用している。単一の 5G ネットワーク機能 (NF) は、多くの分散サーバー上で実行される多数のコンテナで構成される。5G NF は、キャリアグレードのルーターやスイッチなどのネットワークインフラストラクチャを介して相互に通信する。5G 無線アクセスネットワーク (RAN) コンポーネントは、広範囲に広がる地理的エリアで動作しながら、複数のタイプの 5G トラフィックへの同時接続を必要とする。
Most network traffic in data centers and cloud environments flows over the same physical connections and is processed by the same network devices. Because physical separation is not feasible, methods for logically separating 5G traffic from other traffic and further separating types of 5G traffic from each other are needed to improve 5G cybersecurity and privacy.	データセンターやクラウド環境におけるネットワークトラフィックのほとんどは、同じ物理接続を介して流れ、同じネットワークデバイスによって処理される。物理的な分離は不可能であるため、5G のサイバーセキュリティとプライバシーを強化するには、5G トラフィックを他のトラフィックから論理的に分離し、さらに 5G トラフィックの種類を相互に分離する方法が必要である。
What’s the problem?	問題は何か？
Data centers and cloud environments process and handle many types of traffic. Within the scope of 5G, the following types of 5G traffic are a starting point for logical separation:	データセンターやクラウド環境では、さまざまな種類のトラフィックが処理されています。5G の範囲内では、以下の 5G トラフィックの種類が論理的な分離の出発点となる。
・Data Plane: Transmitting user data, such as voice calls, video streaming, and internet browsing.	・データプレーン：音声通話、ビデオストリーミング、インターネット閲覧などのユーザーデータの送信。
・Signaling: Setting up, maintaining, and tearing down communication sessions. It includes tasks like handovers, authentication, and resources allocation.	・シグナリング：通信セッションの確立、維持、切断。ハンドオーバー、認証、リソースの割り当てなどのタスクが含まれる。
・Operation and Maintenance (O&M): Providing connectivity for the 5G network equipment, including software updates, fault detection, and performance optimization.	・運用および保守（O&M）：ソフトウェアのアップデート、障害の検出、パフォーマンスの最適化など、5G ネットワーク機器に接続性を提供する。
Each of these traffic types carries data with different sensitivity levels, and security and privacy implications if accessed by unauthorized or malicious users. O&M traffic provides access to devices that make up the 5G environment, allowing administrators important privileges and configuration capabilities, whereas the signaling traffic carries critical setup information, and the data plane carries user data. For example, the data plane segment is susceptible to distributed denial of service (DDoS) attacks on the N6 interface, the signaling segment can be impacted by signaling storms, and the O&M segment needs well-defined user and network access control.	これらのトラフィックの種類はそれぞれ、機密性のレベルが異なり、不正ユーザーや悪意のあるユーザーがアクセスした場合、セキュリティやプライバシーに影響を与える。O&M トラフィックは、5G 環境を構成するデバイスへのアクセスを提供し、管理者に重要な特権と設定機能を提供する。一方、シグナリングトラフィックは重要な設定情報を伝送し、データプレーンはユーザーデータを伝送しする。たとえば、データプレーンセグメントは N6 インターフェースに対する分散型サービス妨害 (DDoS) 攻撃の影響を受けやすく、シグナリングセグメントはシグナリングストームの影響を受ける可能性があり、O&M セグメントは明確に定義されたユーザーおよびネットワークアクセス管理が必要である。
A malicious actor can target the data plane, and if signaling and O&M traffic are not separated from the data plane, the malicious actor could target them as well. For example, the adversary can conduct privilege escalation and process injection for gaining administrative rights, attempt password cracking of valid user accounts on the nodes, exploit vulnerabilities in databases and file systems, and take advantage of improper configurations of routers and switches.¹	悪意のある攻撃者は、データプレーンを標的にすることができ、シグナリングおよび O&M トラフィックがデータプレーンから分離されていない場合、それらも標的にする可能性がある。例えば、敵対者は、管理者権限を取得するために特権昇格やプロセス注入を行い、ノード上の有効なユーザーアカウントのパスワードをクラックしたり、データベースやファイルシステムの脆弱性を悪用したり、ルーターやスイッチの不適切な設定を利用したりすることができる。¹
Another reason for separating the types of traffic is to prevent attackers from targeting one type to impact the performance of the others. For example, if an attacker overwhelms the data plane, and signaling and O&M traffic are not separated from the data plane, the attack can disrupt critical network functions and network management. Therefore, it is imperative to design the network infrastructure in a way that securely separates the different types of traffic.	トラフィックの種類を分離するもう 1 つの理由は、攻撃者が 1 つの種類を標的にして他の種類のパフォーマンスに影響を与えることを防ぐためである。たとえば、攻撃者がデータプレーンを過負荷にし、シグナリングおよび O&M トラフィックがデータプレーンから分離されていない場合、攻撃によって重要なネットワーク機能やネットワーク管理が混乱する可能性がある。したがって、さまざまな種類のトラフィックを安全に分離するようにネットワークインフラストラクチャを設計することが不可欠である。
The 5G standards defined by 3GPP do not specify cybersecurity and privacy protections for the underlying network infrastructure that support and operate the 5G system; these aspects are deemed implementation specific.² Mobile network operators make risk-based decisions on the countermeasures to mitigate attacks against their network.	3GPP が定義する 5G 標準では、5G システムをサポートおよび運用する基盤となるネットワークインフラストラクチャのサイバーセキュリティおよびプライバシー保護については規定されていない。これらの側面は、実装によって異なるものとみなされている²。モバイルネットワーク事業者は、ネットワークに対する攻撃を緩和するための対策について、リスクに基づいて決定している。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.02.02 米国 NIST CSWP 36D（初期公開ドラフト）非SUPI ベースのページング：5G サイバーセキュリティおよびプライバシー機能の適用 (2025.01.30)

・2024.11.14 米国 NIST CSWP 36C （初期公開ドラフト） 一時的な ID の再割り当て： 5Gサイバーセキュリティとプライバシー機能の適用 (2024.11.06)

・2024.10.09 米国 NIST NIST CSWP 36B（初期公開草案） ハードウェア対応セキュリティによる5Gシステムプラットフォームの完全性の確保：5Gのサイバーセキュリティおよびプライバシー機能の適用

・2024.08.16 米国 NIST CSWP 36 5Gのサイバーセキュリティとプライバシー機能の適用：ホワイトペーパーシリーズ序文、36A Subscription Concealed Identifier(SUCI)による加入者識別子の保護

監査（評価）はどんどん自動化される？ CSAのAIをつかった妥当性確認 (Valid-AI-ted) (2025.06.09)

こんにちは、丸山満彦です。

クラウドセキュリティで長年活動をおこなってきていて、日本にも拠点がある、Cloud Security Allianceの評価プログラムにSTAR認証というのがあります。

セキュリティの評価について

• レベル１：セルフアセスメント
• レベル２：第三者認証
• レベル３：リアルタイムモニタリング

を想定しています。レベル３は概念的には昔からあるものの、まだ実装されていません。例えば、監査人が会社にエージェントを実装し、会社の規定や設定の変更をリアルタイムで検知し、それが規準から逸脱すると、自動的に検知し、重要性に応じて監査意見を変更するような感じなのだろうと思います。

で、今回のは、レベル１のセルフアセスメントをAIを使ってするものです。リアルタイムではなく、AIに読み込ませて判断をださせるというもので、レベル１のセルフアセスメントの一種としていますね。。。

合否だけでなく、リコメンデーションもしてくれるということです。。。

● Cloud Security Alliance

・2025.06.09 Valid-AI-ted Overview

制度のメリットとして、次の５つをあげていますね。。。

• 保証の向上。従来の STAR レベル 1 自己評価では、プロバイダの回答の品質にばらつきがあった。Valid-AI-ted は、自己評価が慎重に行われ、組織が堅牢なセキュリティベースラインを達成していることを保証する。
  
  
• 定性的でベストプラクティスに基づく分析。Valid-AI-ted は、Cloud Controls Matrix の実証済みの実装ガイダンスに基づく標準化されたスコアリングモデルを適用する。
  
  
• より実用的な洞察。合格か不合格かに関わらず、組織はコントロールごとに詳細なフィードバックを受け取り、改善すべき点を確認することができる。
  
  
• STAR レジストリでの認知度の向上。STAR レベル 1 Valid-AI-ted バッジを取得した組織は、チェックボックスのコンプライアンスを超えた取り組みを行っていることを顧客、パートナー、規制当局にアピールすることがでる。
  
  
• 継続的な改善へのアクセスが容易。改訂して再提出できる機能は、成熟した組織にとって理想的であり、STAR レベル 2 のサードパーティ評価ソリューションへのよりアクセスしやすい道筋を提供します。
  
  

興味深い取り組みです。

丁度経済産業省でもサプライチェーンのセキュリティ評価制度（いわゆる★３、★４）の議論をしていますが、将来的には実装を考えて良い話ですよね。。。

クライテリアと会社の規程類の比較（整備状況の評価）にLLMを利用するのは容易なような気がしますが、運用状況の評価（設定値やログの利用）は難しいのかもしれませんね。。。

FedRAMPでの利用が考えられているOSCALなどの動きもきになりますね...

---

● まるちゃんの情報セキュリティ気まぐれ日記

OSCAL、監査自動化

・2025.06.10 米国 NIST SP 800-18 Rev.2（初公開ドラフト） システムのセキュリティ、プライバシー、サイバーセキュリティ・サプライチェーン・リスクマネジメント計画の策定 (2025.06.04)

・2025.05.16 米国 NIST IR 8259 Rev.1（初期公開ドラフト）IoT製品製造者のための基礎的サイバーセキュリティ活動の5年振りの改訂関係...IR 8572も...（2025.05.13）

・2025.04.09 米国 一般調達局 FedRAMP 20X (2025.03.24)

・2024.07.22 米国 これからはFedRampも含めて監査は自動化 (automate.fedramp.gov) !キーワードはOSCAL

・2024.05.24 米国 NIST SP 800-229 2023会計年度サイバーセキュリティとプライバシー年次報告書

・2024.04.22 内部監査人協会 意見募集 トピック別要求事項：サイバーセキュリティ (2024.04.11)

・2024.04.02 米国 FedRAMPの新しいロードマップ(2024-2025)

・2024.03.06 米国 NIST IR 8278 Rev. 1 国家オンライン情報参照（OLIR）プログラム： 概要、利点、利用方法、IR 8278A Rev. 1 国家オンライン情報参照（OLIR）プログラム： OLIR開発者のための提出ガイダンス

・2024.03.05 NIST IR 8477 文書化された標準、規制、フレームワーク、ガイドライン間の関係のマッピング： サイバーセキュリティとプライバシーの概念マッピングの開発 (2024.02.26)

・2023.08.21 米国 NIST 重要なハイテク産業における米国の競争力に関する報告書

・2021.08.06 NIST SP 800-53A Rev. 5 (Draft) 情報システムと組織におけるセキュリティとプライバシーのコントロールの評価

・2020.12.11 SP 800-53 Rev. 5 Security and Privacy Controls for Information Systems and Organizations, SP 800-53B Control Baselines for Information Systems and Organizationsの記載ミスの修正と第5版と第４版の更新分析、ISO／IEC27001とのマッピング表等の追加

・2020.07.16 JIPDEC ”米国のプライバシー保護に関する動向”

米国 NIST Blog 人工知能がサイバーセキュリティ人材に与える影響 (2025.06.12)

● NIST - ITL - Cybersecurity Insights a NIST blog

・2025.06.12 The Impact of Artificial Intelligence on the Cybersecurity Workforce

The Impact of Artificial Intelligence on the Cybersecurity Workforc	人工知能がサイバーセキュリティ人材に与える影響
The NICE Workforce Framework for Cybersecurity (NICE Framework) was revised in November 2020 as NIST Special Publication 800-181 rev.1 to enable more effective and rapid updates to the NICE Framework Components, including how the advent of emerging technologies would impact cybersecurity work.	NICE サイバーセキュリティ人材フレームワーク（NICE フレームワーク）は、新興技術の登場がサイバーセキュリティ業務に与える影響など、NICE フレームワークの構成要素をより効果的かつ迅速に更新できるように、2020 年11月にNIST SP800-181 rev.1 として改訂されました。
NICE has been actively engaging in conversations with: federal departments and agencies; industry; education, training, and certification providers; and international representatives to understand how Artificial Intelligence (AI) might affect the nature of our Nation’s digital work. NICE has also led conversations on this topic, including the 2023 webinar, “The Impact of Generative Artificial Intelligence on Education and Workforce,” the 2024 NICE Annual Conference and Expo plenary panel session, “Impact of Artificial Intelligence on Education and Cybersecurity Workforce,” and sessions at the NICE 2025 Annual Conference and Expo, including a workshop on “The Impact of AI on the Cybersecurity Workforce” and a plenary session on “Emerging Technologies & Workforce Development: Preparing for the AI-Driven Economy.”	NICE は、連邦政府機関、業界、教育、トレーニング、認定プロバイダ、および国際的な代表者と積極的に協議を行い、人工知能（AI）が米国のデジタル業務の性質にどのような影響を与えるかを理解している。NICE は、このトピックに関する協議も主導しており、その一例としては、2023 年のウェビナー「生成的人工知能が教育と人材に与える影響」 2024 年の NICE 年次会議およびエキスポの全体会議「人工知能が教育およびサイバーセキュリティの労働力に与える影響」、NICE 2025 年次会議およびエキスポでの「AI がサイバーセキュリティの労働力に与える影響」に関するワークショップや「新興技術と労働力開発：AI 主導の経済への準備」に関する全体会議など。
The NICE Framework and AI	NICE フレームワークと AI
As a result of these stakeholder engagements, NICE is focusing on two primary ways that AI will be incorporated into the NICE Framework:	これらのステークホルダーの関与の結果、NICE は、AI を NICE フレームワークに組み込む 2 つの主要な方法に焦点を当てている。
・Artificial Intelligence (AI) Security Competency Area: This new Competency Area describes foundational knowledge and skills needed to understand the intersection between AI and cybersecurity and the risks and opportunities this may present. This work is currently available for public comment. It leverages multiple resources, including but not limited to: NIST AI 100-1, Artificial Intelligence Risk Management Framework (AI RMF 1.0) (January 2023), the NSF Artificial Intelligence Scholarships for Service (AI SFS) Initiative, directed by the CHIPS and Science Act of 2022 and informed by a wide range of Federal partners and existing resources; the Department of Defense Cyber Workforce Framework (DCWF); and the NSF/NSA CyberAI Project.	・人工知能（AI）セキュリティコンピテンシー領域：この新しいコンピテンシー領域は、AI とサイバーセキュリティの交点、およびそれがもたらすリスクと機会を理解するために必要な基礎的な知識とスキルを記述している。この作業は現在、パブリックコメントを受け付けている。この作業では、以下を含むがこれらに限定されない、複数のリソースを活用している。NIST AI 100-1、人工知能リスクマネジメントフレームワーク（AI RMF 1.0）（2023年1月）、2022年CHIPSおよび科学法に基づき、幅広い連邦政府機関および既存のリソースの情報を基に策定された、NSF人工知能サービス奨学金（AI SFS）イニシアチブ、国防総省サイバー人材フレームワーク（DCWF）、およびNSF/NSAサイバーAIプロジェクト。
・AI in Work Roles: While the Competency Area will contain a broad, basic set of Knowledge and Skill statements, NICE Framework Work Roles may need to be updated or developed to address the impact of AI. To do this, NICE will engage with the community to include AI-related Task, Knowledge, and Skill (TKS) statements in relevant existing and new roles. As is standard practice at NIST, updates will be made available for review and comment prior to final publication. This work will support inclusion of Work Role content needed to:	・ワーク・ロールにおける AI：コンピテンシー領域には、広範かつ基本的な知識とスキルの記述が含まれますが、AI の影響に対応するため、NICE 枠組みのワーク・ロールを更新または作成する必要がある場合があります。そのため、NICE はコミュニティと協力し、AI に関連するタスク、知識、スキル（TKS）の記述を、関連する既存の役割および新しい役割に含める予定です。NIST の標準的な慣行に従い、更新内容は、最終公開前にレビューおよびコメントのために公開されます。この作業は、以下の目的のために必要なワーク・ロールのコンテンツの組み込みを支援する。
・・Address the strategic and workforce implications of AI: The implications of new technologies such as AI need to be considered strategically in order to understand its impact on the organization’s goals and workforce including, for instance, legal and regulatory considerations (and to determine the risks and opportunities that such activities may present).	・・AI の戦略的および労働力への影響への対応：AI などの新しいテクノロジーの影響は、例えば、法的および規制上の考慮事項など、組織の目標や労働力への影響を理解するために、戦略的に検討する必要がある（そして、そのような活動によって生じるリスクと機会を判断するため）。
・・Security of AI: Technology is constantly evolving and the growing impact of AI is part of that evolution. The cybersecurity workforce will need to be prepared to secure AI against cyberattacks and to mitigate potential cyberthreats presented by AI, including where it is used with malicious intent. Additionally, integration of AI into new roles that may be developed (e.g., product security) will also be addressed via TKS statements.	・・AI のセキュリティ：テクノロジーは絶えず進化しており、AI の影響力の拡大もその進化の一部だ。サイバーセキュリティの従業員は、AI をサイバー攻撃から保護し、悪意のある目的で使用された場合など、AI がもたらす潜在的なサイバー脅威を緩和する準備をする必要がある。さらに、TKS ステートメントでは、AI を新たに開発される可能性のある役割（製品セキュリティなど）への統合についても取り上げる。
・・Security through AI: AI promises to be an effective tool to support and improve cybersecurity work, including, for instance, how to improve data analysis or detect network anomalies. As AI is used to conduct cybersecurity work, relevant TKS statements will need to be included to reflect that change.	・・AI によるセキュリティ：AI は、データ分析の改善やネットワークの異常の検知など、サイバーセキュリティ業務を支援・改善する効果的なツールとなることが期待されている。AI がサイバーセキュリティ業務に使用されるようになるにつれて、その変化を反映した TKS 声明を追加する必要がある。
Share Your Questions and Expertise	ご質問や専門知識をお寄せください
We want to hear from you! NICE has multiple avenues to ask questions, provide suggestions and feedback, and support NICE Framework development. These include:	皆様からのご意見をお待ちしております。NICE では、ご質問、ご提案、ご意見、NICE フレームワークの開発支援など、さまざまなご意見をお寄せいただける手段をご用意している。その中には、以下のものが含まれる。
・Engage in the NICE Community Coordinating Council (CCC) or Interagency Coordinating Council (ICC)	・NICE コミュニティ調整協議会 (CCC) または機関間調整協議会 (ICC) への参加
・Participate in NICE in-person and online events	・NICE の対面およびオンラインイベントへの参加
・Join the NICE Framework Users Group	・NICE フレームワークユーザーグループへの参加
・Contact us at [mail]	・[mail] までお問い合わせください。
Visit the NICE Framework Resource Center Change Requests FAQ page for more information.	詳細については、NICE フレームワークリソースセンターの「変更要求に関する FAQ」ページをご覧ください。
Interested in More of NIST's AI Projects?	NIST の AI プロジェクトについてさらに詳しく知りたい方は、以下をご覧ください。
・Visit NIST's Cyber AI Profile project page.	・NIST のサイバー AI プロファイルプロジェクトページをご覧ください。
・Read our blog: Cybersecurity and AI: Integrating and Building on Existing NIST Guidelines.	・ブログ「サイバーセキュリティと AI：既存の NIST ガイドラインの統合と発展」をご覧ください。
・Coming soon: Visit our Cyber AI Profile workshop page to read our workshop summary, which includes the topic of cybersecurity workforce.	・近日公開：サイバー AI プロファイルワークショップページで、サイバーセキュリティ人材に関するトピックを含むワークショップの概要をご覧ください。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2020.11.17 NIST SP 800-181 Rev. 1 Workforce Framework for Cybersecurity (NICE Framework)

・2020.07.17 NIST SP 800-181 Rev. 1 (Draft) Workforce Framework for Cybersecurity (NICE Framework)

フランス CNIL 電子メールにおけるトラッキングピクセルの使用に関する勧告案 (2025.06.12)

こんにちは、丸山満彦です。

フランスの個人データ保護機関であるCNILが電子メールにおけるトラッキングピクセルの使用に関する勧告案を公表し、意見募集をしています。トラッキングピクセルは、サイズが非常に小さい（例えば1×1ピクセル）透明な画像をウェブサイトやメール本文に埋め込む仕組みで、ウェブにアクセスした際、電子メールを開封する際にに、その画像がサーバーから読み込まれることで、誰がいつアクセスしたか、メールを開いたかなどの情報が収集できるもので、昔からあるといえばあります。（トラッキング技術でいうと、CookieとかWeb Beaconとかありましたよね...）

ただ、本人の同意を取らずに情報収集をしているなどといった問題もあり、米国、欧州、英国でも問題になっていますね。特に、今回は電子メールに埋め込まれたトラッキングピクセルについての勧告です。（昨日のこのブログの記事はノルウェーの注意喚起はウェブサイトのトラッキングピクセルに関するものですね）

トラッキングはプライバシーに関わる重要な問題であるので、個人情報保護法の改正を考える上でも重要ですが、日本ではトラッキングピクセル自体が重要な課題として認識されていないかもですね...（個人情報保護委員会のウェブページの検索においても、トラッキングピクセルに関しては海外のガイドライン等の翻訳以外ではひっかからないですね...）

日本も海外と連携して、適切なわかりやすいガイドを作成してもよいかもですね...

さて、CNILの電子メールにおけるトラッキングピクセルの使用に関する勧告案...

● CNIL

・2025.06.12 Pixels de suivi : la CNIL lance une  consultation publique sur son projet de recommandation

Pixels de suivi : la CNIL lance une consultation publique sur son projet de recommandation	トラッキングピクセル：CNILが勧告案に関する公開協議を開始
La CNIL ouvre une consultation publique sur son projet de recommandation concernant l’utilisation des pixels de suivi dans les courriels. L’objectif est d’aider les acteurs qui recourent à ces traceurs à mieux comprendre leurs obligations, notamment en matière de recueil du consentement des utilisateurs.	CNILは、電子メールにおけるトラッキングピクセルの使用に関する勧告案について、公開協議を開始しました。この協議の目的は、これらのトラッカーを使用する事業者が、特にユーザーの同意の取得に関する義務について、よりよく理解することを支援することです。
Qu’est-ce qu’un pixel de suivi ?	トラッキングピクセルとは何ですか？
Les pixels de suivi (tracking pixel en anglais) sont une méthode de traçage alternative aux traceurs/cookies. Ils prennent la forme d’une image de 1 pixel par 1 pixel, intégrée dans un site web ou un courriel, mais invisible pour l’utilisateur.	追跡ピクセル（英語では「トラッキングピクセル」）は、トラッカー/クッキーに代わる追跡手法だ。1ピクセル×1ピクセルの画像で、ウェブサイトや電子メールに組み込まれるが、ユーザーには見えない。
Le chargement de cette image, dont le nom contient un identifiant de l’utilisateur, permet de savoir que l’utilisateur tracé a visité une page ou lu un courriel.	この画像にはユーザーIDが含まれており、画像が読み込まれることで、追跡対象のユーザーがページを訪問したり、メールを読んだりしたことがわかる。
Un recours croissant aux pixels de suivi dans les courriels	メールにおけるトラッキングピクセルの利用拡大
L’usage de pixels de suivi dans les courriels n’est pas une pratique nouvelle mais, depuis quelques années, elle connaît une certaine croissance.	メールにおけるトラッキングピクセルの利用は新しい手法ではないが、ここ数年で利用が拡大している。
Cette technique est utilisée pour des objectifs variés : personnaliser la communication en fonction de l’intérêt des utilisateurs, mesurer l’audience, améliorer la bonne réception des courriels, etc.	この技術は、ユーザーの興味に合わせたコミュニケーションのパーソナライズ、アクセス数の測定、メールの受信率の向上など、さまざまな目的で使用されている。
Elle soulève des enjeux particuliers dans le contexte de la messagerie électronique, espace personnel destiné à la consultation de contenus privés.	メールは、プライベートなコンテンツを閲覧するための個人的な空間であるため、この技術には特別な課題がある。
La démarche de la CNIL est aussi motivée par le nombre croissant de plaintes qui lui sont adressées et qui témoignent de l’inquiétude des personnes sur ces pratiques.	CNIL の取り組みは、この技術に関する苦情が急増しており、人々の不安が高まっていることも背景にある。
Un projet de recommandation pour encadrer l’usage des pixels dans les courriels	電子メールにおけるピクセルの使用を規制する勧告案
Quel est son périmètre ?	その範囲は？
Le projet de recommandation s’adresse à tous les organismes, publics ou privés (entreprises, associations, administrations, collectivités, etc.), qui utilisent des pixels de suivi dans leurs courriels ainsi qu’aux prestataires techniques auxquels ils peuvent avoir recours. Il ne concerne que l’usage de ces pixels dans les courriels, et non sur le web.	この勧告案は、電子メールに追跡ピクセルを使用しているすべての公的機関および民間機関（企業、団体、行政機関、地方自治体など）ならびに、これらの機関が利用する技術サービス提供者を対象としている。この勧告案は、電子メールにおけるピクセルの使用のみを対象としており、ウェブ上での使用は対象としていない。
Quels sont les objectifs ?	その目的は何ですか？
Ce projet de recommandation a été élaboré après des échanges avec des professionnels et des associations de la société civile. Les discussions avaient notamment pour objectif de mieux comprendre les usages et d’appréhender les enjeux juridiques, techniques et sociétaux.	この勧告案は、専門家や市民団体との意見交換を経て作成された。議論では、特に、使用状況をより深く理解し、法的、技術的、社会的な課題把握を目指した。
Il vient compléter les lignes directrices et la recommandation sur les « cookies et autres traceurs » en précisant comment ces règles s’appliquent aux pixels de suivi dans les courriels, en raison des particularités techniques et pratiques propres à cet environnement.	この勧告案は、「クッキーおよびその他のトラッカー」に関するガイドラインおよび勧告を補完するものであり、電子メールにおける追跡ピクセルにこれらの規則がどのように適用されるかを、この環境特有の技術的および実務的な特徴を踏まえて明確にしている。
Consulter le projet de recommandation	勧告案を見る
Quel est le calendrier de la consultation et qui peut contribuer ?	協議のスケジュールと参加者は？
Cette consultation prendra fin le 24 juillet 2025.	この協議は2025年7月24日に終了する。
À l’issue de cette période, la CNIL examinera les contributions et adoptera une version définitive de la recommandation.	この期間終了後、CNIL は意見を検討し、勧告の最終版を採択する。
Tout acteur public ou privé concerné peut participer à la consultation. La CNIL souhaite notamment mobiliser les acteurs visés par le projet de recommandation mais également les citoyens et la société civile.	関係する公的機関および民間企業は、この協議に参加することができる。CNIL は、特に、勧告案の対象となる関係者だけでなく、市民や市民社会も参加することを望んでいる。
La CNIL invite les acteurs d’un même organisme ou secteur à regrouper, si possible, leurs commentaires au sein d’une seule contribution, notamment en se rapprochant de leurs représentants, têtes de réseaux, fédérations, associations, etc.	CNIL は、同じ機関またはセクターの関係者は、可能であれば、代表者、ネットワークの責任者、連盟、協会などに連絡を取り、コメントを 1 つの意見書にまとめるよう呼びかけている。
Participer à la consultation	協議への参加
Un appel à contributions complémentaire pour mieux comprendre les enjeux économiques	経済的な課題をより深く理解するための追加意見募集
Afin d’avoir une bonne compréhension des modèles d’affaires et de l’impact économique des choix de régulation, la CNIL a établi un questionnaire complémentaire sur l’impact direct et indirect que son projet aurait sur les acteurs de l’écosystème.	規制の選択肢のビジネスモデルと経済的な影響を正しく理解するため、CNIL は、その案がエコシステムの関係者に与える直接的および間接的な影響に関する追加の質問票を作成した。
Ce court questionnaire porte notamment sur les impacts concurrentiels et les solutions alternatives possibles pour le marché. Les contributeurs sont invités à formuler des retours précis, objectivés et aussi quantifiés que possible.	この短い質問票は、特に、市場における競争への影響と可能な代替案について焦点を当てている。回答者は、できるだけ正確かつ客観的で、定量的なフィードバックを提供するよう求められている。
Les réponses sont également attendues d’ici le 24 juillet 2025.	回答も 2025 年 7 月 24 日までに提出
Contribuer au questionnaire sur les enjeux économiques	経済問題に関するアンケートへの回答
Le projet de recommandation	勧告案
Projet de recommandation relative aux pixels de suivi dans les courriers électroniques	電子メールにおけるトラッキングピクセルに関する勧告案
Pour approfondir	詳細
Cookies et autres traceurs : la CNIL publie des lignes directrices modificatives et sa recommandation	クッキーおよびその他のトラッカー：CNIL が改正ガイドラインおよび勧告を発表
Textes de référence	参考文書
Le règlement général sur la protection des données	一般データ保護規則
Article 82 de la loi Informatique et Libertés (règles pour les cookies et autres traceurs)	情報処理および自由に関する法律第82条（クッキーおよびその他のトラッカーに関する規則）

勧告案...

・[PDF]

・[DOCX][PDF] 仮訳

---

● 個人情報保護委員会

Tracking pixelの検索結果

・2021年 ソーシャルメディア・ユーザーのターゲティングに関するガイドライン08/2020-個人情報保護委員会-

● まるちゃんの情報セキュリティ気まぐれ日記

Tracking Pixel関係

・2025.06.19 ノルウェー ウェブサイトにおけるトラッキングピクセルによる個人データの違法な共有をした6つの企業への処分と注意喚起 (2025.06.12)

・2024.12.25 英国 ICO 意見募集 ストレージとアクセス技術に関する改訂版ガイドライン案（Cookieやトラッキングピクセルなど...）(2024.12.20)

・2024.10.17 EDPB Privacy指令の対象となるトラッキング技術を明確にするためのガイドライン Ver2.0 (2024.10.16)

・2023.11.18 EDPB 意見募集 Privacy指令の対象となるトラッキング技術を明確にするためのガイドライン（案）(2023.11.16)

・2023.08.05 米国 連邦取引委員会 (FTC) ブログ 健康情報のプライバシー保護： FTCの事例から得られる13の教訓 (2023.07.25)

・2022.11.01 第44回 世界プライバシー会議　顔認識に関する決議

ノルウェー ウェブサイトにおけるトラッキングピクセルによる個人データの違法な共有をした6つの企業への処分と注意喚起 (2025.06.12)

こんにちは、丸山満彦です。

ノルウェーのデータ保護機関が、ウェブサイトにおけるトラッキングピクセルによる個人データの違法な共有をした6つの企業への処分と注意喚起を公表していますね...

スカンジナビア半島には、ノルウェー、ロシア、フィンランド、スウェーデンといった国がありますが、スカンジナビア諸国ということでは、協議には、ノウウェー、スウェーデン、デンマークの三国を指すようです。

で、ヨーロッパの一部ではありますが、スウェーデン、デンマークと異なり、ノルウェーはEUには加盟していない（国民が望んでいないので、しばらくは加盟しない？）国となります。

ただ、ノルウェーはESGには加盟していないものの、欧州経済領域（EEA）の一員ですので、、EEA協定を通じてGDPRが直接適用されます。

という前置きをしておいて。。。

● Norway Datailsynet

・2025.06.12 Ulovlig deling av personopplysninger gjennom sporingspiksler hos seks nettsteder

Ulovlig deling av personopplysninger gjennom sporingspiksler hos seks nettsteder	6つのウェブサイトにおけるトラッキングピクセルによる個人情報の違法な共有
Vi har gjennomført tilsyn med seks nettsteders bruk av sporingspiksler. Alle delte besøkendes personopplysninger med tredjeparter ulovlig, og i flere av sakene var det snakk om beskyttelsesverdige opplysninger. I en av sakene ila vi et overtredelsesgebyr på 250 000 kroner.	当社は、6つのウェブサイトにおけるトラッキングピクセルの使用について監督を実施した。すべてのウェブサイトが、訪問者の個人情報を第三者に違法に共有しており、そのうちの複数のケースでは、保護すべき情報も含まれていた。そのうちの 1 件については、25 万ノルウェークローネの違反罰金を科した。
- Alle nettstedene tilgjengeliggjorde personopplysninger om de besøkende med tredjeparter uten rettslig grunnlag. Vi fant også brudd på informasjonsplikten, sier seksjonssjef Tobias Judin.	「すべてのウェブサイトは、法的根拠なく、訪問者の個人情報を第三者に提供していた。また、情報開示義務の違反も確認された」と、セクションマネージャーのトビアス・ジュディン氏は述べている。
Sporingspiksler er en teknologi som automatisk sender informasjon om de som besøker et nettsted eller en app videre til en tredjepart. Dette kan være informasjon om hvilke nettsider personene er inne på, hvilke handlinger de foretar seg eller hva de legger i handlekurven.	トラッキングピクセルは、ウェブサイトやアプリを訪問した人の情報を自動的に第三者に送信する技術だ。この情報には、その人が閲覧したウェブページ、行った操作、ショッピングカートに入れた商品などが含まれる。
- Alle skal kunne bruke nettet og finne informasjon, uten å være redde for at private opplysninger havner på avveie. Jeg er derfor glad for at Datatilsynet fører tilsyn med bruk av sporingsverktøy og hvilken informasjon som deles med de store teknologiselskapene, sier digitaliserings- og forvaltningsminister Karianne Tung.	誰もが、個人情報が不正に流用されることを恐れることなく、インターネットを利用して情報を見つけることができるべきだ。そのため、データ保護当局が追跡ツールの使用や、大手テクノロジー企業と共有される情報について監督を行っていることを嬉しく思う」と、デジタル化・行政大臣の Karianne Tung 氏は述べている。
Datatilsynet gjennomførte tilsyn med seks nettsteder som bruker sporingspiksler:	データ保護当局は、追跡ピクセルを使用している 6 つのウェブサイトを監督した。
・116111.no – en offentlig tjeneste for barn som er i en sårbar posisjon, for eksempel som har blitt utsatt for vold eller overgrep, og som trenger å snakke med en trygg voksen. Tjenesten drives av Kristiansand kommune.	・116111.no – 暴力や虐待などの被害に遭い、信頼できる大人と話をしたい、脆弱な立場にある子供たちのための公共サービス。このサービスは、クリスチャンサン市によって運営されている。
・apotekfordeg.no – et nettapotek.	・apotekfordeg.no – オンライン薬局。
・bibel.no – et kristent nettsted som publiserer bibeltekster, selger bibler og tar imot donasjoner til Det norske bibelselskap.	・bibel.no – 聖書のテキストを掲載し、聖書を販売し、ノルウェー聖書協会への寄付を受け付けるキリスト教のウェブサイト。
・drdropin.no – et nettsted som tilbyr legetjenester.	・drdropin.no – 医療サービスを提供するウェブサイト。
・ifengsel.no – en samtaletjeneste fra Kirkens Bymisjon for barn som har en forelder i fengsel.	・ifengsel.no – 親の一方が刑務所に服役している子供たちのための、教会都市ミッションによる相談サービス。
・nhi.no – et nettsted som tilbyr informasjon om ulike sykdommer, tilstander og diagnoser.	・nhi.no – さまざまな病気、症状、診断に関する情報を提供するウェブサイト。
- Visste ikke at de delte opplysninger med tredjeparter	- 第三者との情報共有について知らなかった
En persons surfehistorikk, alene eller ved hjelp av sammenstilling av data fra ulike kilder, gjør det ofte mulig å utlede private eller sensitive personopplysninger. I tilsynene så vi eksempler på at nettsteder delte opplysninger som indirekte kunne si noe om de besøkendes helse, sexliv og religion. Vi så også at flere nettsteder delte personopplysninger om barn i sårbare situasjoner.	個人の閲覧履歴は、単独で、あるいはさまざまな情報源からのデータを組み合わせることで、個人に関するプライベートな情報や機密情報を推測することが可能になる場合が多い。監督調査では、訪問者の健康、性生活、宗教について間接的に情報を示す情報をウェブサイトが共有している例が見られた。また、脆弱な状況にある子供たちに関する個人情報を共有しているウェブサイトも複数見られた。
- Funnene er alvorlige. Samtidig ser vi at mange av nettstedene ikke er klar over hvordan teknologien fungerer eller ikke mente å dele denne typen opplysninger. For oss er det derfor viktig å skape større bevissthet om risikoene ved sporingspiksler, sier Judin.	- この発見は深刻だ。同時に、多くのウェブサイトは、この技術の仕組みを理解していないか、この種の情報を共有する意図はなかったことがわかる。そのため、トラッキングピクセルのリスクについて、より一層の意識向上を図ることが重要だと考えてる」とジュディン氏は述べてる。
Overtredelsesgebyr til nettsted for barn	子供向けウェブサイトに対する違反罰金
I saken om nettstedet 116111.no har vi valgt å ilegge et overtredelsesgebyr på 250 000 kroner. Grunnen til dette er at det er lagt vekt på at det er et offentlig nettsted som behandler barns personopplysninger ulovlig. Sporingspiksler har automatisk sendt informasjon om de som besøker nettstedet videre til en tredjepart, uten at regelverkets krav til rettslig grunnlag eller informasjon til brukerne var oppfylt. Gebyret er imidlertid lavere enn det som ble varslet, siden Kristiansand kommune har samarbeidet godt og effektivt, og iverksatt en rekke tiltak for å rydde opp og hindre liknende brudd i fremtiden.	ウェブサイト 116111.no については、250,000 ノルウェークローネの違反罰金を科すことを決定した。その理由は、このウェブサイトが、子供たちの個人情報を違法に処理している公的なウェブサイトである点を重視したためだ。トラッキングピクセルは、ウェブサイト訪問者に関する情報を、法的根拠やユーザーへの情報提供に関する規制の要件を満たさないまま、自動的に第三者に送信していた。ただし、クリスティアンサン市が協力し、迅速かつ効果的な対応を取り、改善と将来的な違反防止のための措置を講じたことを考慮し、罰金は当初の通知額よりも減額された。
Formålet med tilsynene er først og fremst å øke bevisstgjøringen i bruk av sporingspiksler på nettsider, og vi ser at det er et stort behov for veiledning. I denne omgangen var derfor reaksjonene stort sett milde og Datatilsynet ila kun irettesettelser til de øvrige nettstedene. Dette er første gang Datatilsynet foretar denne typen tilsyn, og hovedformålet med tilsynene er økt bevisstgjøring. I fremtiden kan reaksjonene være mye strengere.	監督措置の主な目的は、ウェブサイトにおけるトラッキングピクセルの使用に関する意識を高めることであり、指導の必要性が非常に高いことを認識している。そのため、今回の措置は概ね寛大なものであり、データ保護当局は他のウェブサイトに対しては注意喚起にとどめた。データ保護当局がこの種の監督を行ったのは今回が初めてであり、その主な目的は意識の向上だ。今後、対応はより厳格になる可能性がある。
Tilsynssakene avdekket en rekke praksiser som ikke er i tråd med personvernreglene:	監督調査では、個人情報保護規則に違反する一連の慣行が明らかになった。
・Besøkende fikk uriktig informasjon om at de var anonyme når de ikke var det.	・訪問者は、匿名ではないにもかかわらず、匿名であるとの誤った情報を提供されていた。
・Særlige kategorier personopplysninger om besøkende ble ulovlig tilgjengeliggjort for tredjeparter.	・訪問者に関する特定の種類の個人情報が、第三者に違法に開示されていた。
・Personopplysninger om barn ble ulovlig tilgjengeliggjort for tredjeparter.	・子供に関する個人情報が、第三者に違法に開示されていた。
・Besøkende ble «dultet» til å samtykke.	・訪問者は、同意を「誘導」されていた。
・Besøkende fikk informasjon som var villedende, vanskelig å forstå eller som ikke forklarte konsekvensene av å gi samtykke.	・訪問者は、誤解を招く、理解しにくい、または同意の結果について説明していない情報を受け取っていた。
Veiledning om sporingsverktøy på nettsteder	ウェブサイト上の追跡ツールに関するガイダンス
Vi har laget veiledning basert på erfaringene fra tilsynene. I veiledningen kan du lese mer om funnene vi gjorde, hvilke krav loven stiller til bruk av sporingsverktøy, og hva vi forventer av nettsteder fremover. .	監督当局の経験に基づいてガイダンスを作成した。このガイダンスでは、監督当局が発見した問題、追跡ツールの使用に関する法律の要件、および今後ウェブサイトに期待することについて詳しく説明している。
- Det er mange nettsteder der ute som har en ryddejobb å gjøre. Vi håper veiledningen vår kan bidra til større varsomhet i implementering av sporingspiksler og at færre trår feil i fremtiden, sier kommunikasjonsdirektør Janne Stang Dahl.	- 多くのウェブサイトには、整理すべき課題がある。このガイダンスが、追跡ピクセルの実装における慎重さの向上に貢献し、今後、誤った対応をするケースが減ることを願っている」と、コミュニケーションディレクターの Janne Stang Dahl は述べている。
Last ned	ダウンロード
Vedtak om overtredelsesgebyr til Kristiansand kommune	クリスチャンサン市に対する違反罰金の決定
Vedtak om irettesettelse til apotekfordeg.no	apotekfordeg.no に対する是正勧告
Vedtak om irettesettelse til bibel.no	bibel.no に対する是正勧告
Vedtak om irettesettelse til drdropin.no	drdropin.no に対する是正勧告
Vedtak om irettesettelse til ifengsel.no	ifengsel.no に対する是正勧告
Vedtak om irettesettelse til nhi.no	nhi.no に対する是正勧告

ガイド的なもの...

・Bruk av sporingsverktøy på nettsteder og i apper

Bruk av sporingsverktøy på nettsteder og i apper	ウェブサイトおよびアプリにおける追跡ツールの使用
Dersom du har et nettsted eller en app som bruker verktøy som sporingspiksler eller informasjonskapsler, må du passe på å følge personvernreglene. Brudd kan nemlig få store konsekvenser for de som bruker tjenesten din – og for virksomheten din.	ウェブサイトまたはアプリで、追跡ピクセルやクッキーなどのツールを使用している場合は、プライバシーポリシーを遵守するように注意してください。ポリシーに違反すると、サービスのユーザー、ひいてはあなたのビジネスに重大な影響が生じるおそれがあります。
Våre råd oppsummert	当機関からのアドバイスのまとめ
1. Kartlegg hvilke sporingspiksler, cookies og andre sporingsverktøy tjenesten din bruker. Vær særlig oppmerksom på sporingsverktøy som kan bruke opplysningene til sine egne formål eller som deler opplysningene videre.	1. サービスで使用しているトラッキングピクセル、クッキー、その他の追跡ツールを把握する。情報を独自の目的で使用したり、情報を第三者に提供したりする追跡ツールには特に注意してください。
2. Vurder hva slags personer som bruker tjenesten din og hva slags slutninger som kan trekkes om dem, direkte eller direkte, basert deres besøkshistorikk. Noen ganger kan du for eksempel trekke slutninger om noens helse, sexliv, religion, politiske syn eller økonomiske stilling, og dette er veldig beskyttelsesverdig informasjon.	2. あなたのサービスを利用しているユーザーの種類、およびユーザーの訪問履歴から直接または間接的にどのような結論を導き出すことができるかを検討してください。例えば、ユーザーの健康、性生活、宗教、政治的見解、経済状況など、保護すべき情報について結論を導き出すことができる場合があります。
3. Dersom tjenesten din retter seg mot barn, eller dersom det er mulig å utlede beskyttelsesverdig informasjon om de besøkende, anbefaler vi på det sterkeste at du slutter å bruke sporingsverktøy som deler eller tilgjengeliggjør informasjon for tredjeparter. Det er svært vanskelig å overholde loven hvis du bruker denne typen sporingsverktøy i slike situasjoner.	3. あなたのサービスが子供を対象としている場合、または訪問者に関する保護すべき情報を推測できる場合、第三者に情報を共有または公開する追跡ツールの使用を中止することを強くお勧めする。このような状況でこの種の追跡ツールを使用する場合、法律を遵守することは非常に困難だ。
4. I den grad du beholder sporingsverktøy, er hovedregelen at du trenger et gyldig samtykke fra den enkelte. Husk at du ikke kan dulte enkeltpersoner til å samtykke ved å gjøre samtykke-knappen mer synlig eller fremtredende, eller ved å gjøre det vanskeligere eller mer tidkrevende å takke nei. Det må være mulig for en bruker å takke nei til sporingsverktøy og likevel kunne bruke tjenesten din.	4. 追跡ツールを継続して使用する場合、原則として、個人から有効な同意を得る必要がある。同意ボタンをより目立つようにしたり、拒否を困難または時間のかかるものにするなどして、個人に同意を誘導してはならない。ユーザーは、追跡ツールを拒否しても、あなたのサービスを利用できる必要がある。
5. Du må gi korrekt og forståelig informasjon om hva sporingsverktøyene gjør, og hvordan de påvirker den enkelte og deres personvern, så folkelig som mulig. Denne informasjonen må du gi før du ber om samtykke, men den må også være tilgjengelig i ettertid, for eksempel i en personvernerklæring.	5. 追跡ツールが何を実行し、個人および個人のプライバシーにどのような影響を与えるかについて、できるだけわかりやすく、正確な情報を提供する必要がある。この情報は、同意を求める前に提供する必要があるが、その後も、プライバシーポリシーなどにおいて入手可能にしてください。
6. Hvis du ikke har kontroll over et sporingsverktøy, vær føre var og fjern det. Husk at hvis du velger å ta i bruk sporingsverktøy på tjenesten din, vil du alltid sitte med et visst ansvar. Dersom du ikke får et frivillig og informert samtykke, dersom du ikke vet eller klarer å forklare på en folkelig måte hvordan verktøyet fungerer, eller du ikke klarer å demonstrere for Datatilsynet at du følger loven, risikerer du å få pålegg eller sanksjoner fra Datatilsynet, herunder overtredelsesgebyr.	6. 追跡ツールを管理できない場合は、慎重に対応し、そのツールを削除してください。サービスに追跡ツールを採用することを選択した場合、常に一定の責任が伴うことをご留意ください。自発的かつ情報に基づく同意を得られなかった場合、ツールがどのように機能するかをわかりやすく説明できない場合、またはデータ保護当局に対して法律を遵守していることを証明できない場合、データ保護当局から命令や制裁（違反罰金など）を受けるリスクがある。
Vi har gjennomført tilsyn med en rekke nettsteder som bruker ulike former for sporingspiksler og informasjonskapsler. Veiledningen bruker gjennomgående eksempler fra dette tilsynet.	私たちは、さまざまな形式のトラッキングピクセルやクッキーを使用している多くのウェブサイトを監督してきた。このガイドでは、その監督から得た例を数多く紹介している。
Hvilke utfordringer kommer med bruk av sporingsverktøy?	トラッキングツールを使用する場合の課題は何ですか？
Det finnes mange ulike typer sporingsverktøy som kan registrere hva en person gjør på en tjeneste eller på tvers av tjenester. Typiske eksempler på dette er informasjonskapsler (cookies) og sporingspiksler.	サービス内やサービス間でユーザーの行動を記録するトラッキングツールには、さまざまな種類がある。その典型的な例としては、クッキーやトラッキングピクセルがある。
Sporingspiksler (ofte omtalt som «pixel») er en teknologi som automatisk sender informasjon om de som besøker et nettsted eller en app videre til en tredjepart. Dette kan være informasjon om hvilke nettsider personene er inne på, hvilke handlinger de foretar seg eller hva de legger i handlekurven.	トラッキングピクセル（多くの場合「ピクセル」と呼ばれる）は、ウェブサイトやアプリを訪問したユーザーに関する情報を、自動的に第三者に送信する技術だ。この情報には、ユーザーが閲覧したウェブページ、行った操作、ショッピングカートに入れた商品などが含まれる。
Vi har en egen veiledning for bruk av informasjonskapsler og kravene til samtykke.	クッキーの使用および同意の要件については、別途ガイドをご用意している。
Det finnes også mange andre former for sporing på nett, som for eksempel «device fingerprinting».	また、インターネット上には、「デバイスフィンガープリント」など、他にも多くの追跡手段がある。
Mange bruker sporingsverktøy for markedsføringsformål. Dette kan for eksempel være for å måle effekten av markedsføring og kampanjer på sosiale medier. Sporingsverktøy kan også brukes til å persontilpasse markedføring på andre plattformer ut fra hva en person har foretatt seg på tjenesten din (for eksempel såkalt «retargeting»).	多くの人々は、マーケティング目的で追跡ツールを使用している。これは、例えば、ソーシャルメディアでのマーケティングやキャンペーンの効果を測定するためなどだ。追跡ツールは、ユーザーがサービスで行った行動に基づいて、他のプラットフォームでのマーケティングをパーソナライズするためにも使用される（いわゆる「リターゲティング」）。
Et problem er at selskapene som tilbyr sporingsverktøyene, ofte forbeholder seg retten til å selv bruke dataene som sporingsverktøyene samler inn til egne formål. Det er ofte snakk om store teknologiselskaper som lever av å vite mest mulig om flest mulig. Når du tar i bruk sporingsverktøy, risikerer du altså å bidra til disse selskapenes datainnsamling og overvåking av enkeltpersoner på tvers av internett. Dette har juridiske konsekvenser for virksomheter som tar dem i bruk og fører til personverninngrep for enkeltpersoner som er eksponert for slik bruk.	問題なのは、追跡ツールを提供する企業が、追跡ツールが収集したデータを自社の目的のために使用することをしばしば留保していることだ。多くの場合、これは、できるだけ多くの人々についてできるだけ多くの情報を把握することで生計を立てている大手テクノロジー企業だ。したがって、追跡ツールを使用すると、これらの企業がインターネット上で個人に関するデータを収集、監視することに協力してしまうリスクがある。これは、追跡ツールを使用する企業には法的影響があり、その使用にさらされる個人にはプライバシーの侵害につながる。
Veldig ofte kan en persons surfehistorikk, alene eller ved hjelp av sammenstilling av data fra ulike kilder, gjøre det mulig å utlede private eller sensitive personopplysninger. For eksempel har Datatilsynet sett flere eksempler på at nettsteder som bruker sporingsverktøy deler opplysninger som indirekte kan si noe om deres helse – uten å mene det. Dette er svært alvorlig. Nettsteder som velger å ta i bruk sporingsverktøy sitter med ansvaret når slike ting skjer.	多くの場合、個人の閲覧履歴は、単独で、あるいはさまざまな情報源からのデータを組み合わせることで、個人に関するプライベートな情報や機密情報を推測することを可能にする。例えば、データ保護当局は、追跡ツールを使用しているウェブサイトが、意図せずに、その利用者の健康に関する情報を間接的に明らかにする情報を共有している例をいくつか確認している。これは非常に深刻な問題だ。追跡ツールを使用することを選択したウェブサイトは、このような事態が発生した場合に責任を負う。
Datatilsynets sporingstilsyn identifiserte flere personvernutfordringer	データ保護当局の追跡監視により、複数のプライバシーに関する課題が特定された
Vi har gjennomført tilsyn med en rekke nettsteder som bruker ulike former for sporingspiksler og informasjonskapsler:	当社は、さまざまな形式の追跡ピクセルおよびクッキーを使用している複数のウェブサイトを監視した。
・116111.no – en offentlig tjeneste for barn som er i en sårbar posisjon, for eksempel som har blitt utsatt for vold eller overgrep, og som trenger å snakke med en trygg voksen. Tjenesten drives av Kristiansand kommune.	・116111.no – 暴力や虐待などの被害に遭い、信頼できる大人と話をしたい、脆弱な立場にある子供たちのための公共サービス。このサービスは、クリスチャンサン市によって運営されている。
・apotekfordeg.no – et nettapotek.	・apotekfordeg.no – オンライン薬局。
・bibel.no – et kristent nettsted som publiserer bibeltekster, selger bibler og tar imot donasjoner til Det norske bibelselskap.	・bibel.no – 聖書のテキストを掲載し、聖書を販売し、ノルウェー聖書協会への寄付を受け付けているキリスト教のウェブサイト。
・drdropin.no – et nettsted som tilbyr legetjenester.	・drdropin.no – 医療サービスを提供するウェブサイト。
・ifengsel.no – en samtaletjeneste fra Kirkens Bymisjon for barn som har en forelder i fengsel.	・ifengsel.no – 親の一方が刑務所に服役している子供たちのための、教会都市ミッションによる相談サービス。
・nhi.no – et nettsted som tilbyr informasjon om ulike sykdommer, tilstander og diagnoser.	・nhi.no – さまざまな病気、症状、診断に関する情報を提供するウェブサイト。
Vi fant ulike brudd på personvernreglene i alle sakene. Blant annet observerte vi følgende lovbrudd:	すべての事例において、プライバシーポリシーの違反が複数確認された。特に、以下の違反が確認された。
・Besøkende fikk uriktig informasjon om at de var anonyme når de ikke var det.	訪問者は、匿名ではないにもかかわらず、匿名であると誤った情報を提供されていた。
・Særlige kategorier personopplysninger om besøkende ble ulovlig tilgjengeliggjort for tredjeparter.	・訪問者に関する特定の種類の個人情報が、第三者に違法に開示されていた。
・Personopplysninger om barn ble ulovlig tilgjengeliggjort for tredjeparter.	・子供に関する個人情報が、第三者に違法に開示されていた。
・Besøkende ble «dultet» til å samtykke.	・訪問者は、同意を「誘導」されていた。
・Besøkende fikk informasjon som var villedende, vanskelig å forstå eller som ikke forklarte konsekvensene av å gi samtykke.	・訪問者は、誤解を招く、理解しにくい、または同意の結果について説明していない情報を受け取っていた。
Vi kommer med flere eksempler fra sporingstilsynene i veiledningen nedenfor.	以下のガイダンスでは、追跡監督機関からの例をさらに紹介している。
I saken om nettstedet 116111.no valgte Datatilsynet å ilegge et overtredelsesgebyr på 250 000 kroner. Grunnen til dette er at det er snakk om et offentlig nettsted og ulovlig behandling av barns personopplysninger. Sporingspiksler har automatisk sendt informasjon om de som besøker nettstedet videre til en tredjepart, uten at regelverkets krav til rettslig grunnlag eller informasjon til brukerne var oppfylt. Gebyret er imidlertid lavere enn det som ble varslet, siden Kristiansand kommune har samarbeidet godt og iverksatt en rekke tiltak for å rydde opp og hindre liknende brudd i fremtiden.	ウェブサイト 116111.no に関する事件では、データ保護監督機関は 250,000 ノルウェークローネの違反罰金を科すことを決定した。その理由は、このウェブサイトが公的なウェブサイトであり、子どもの個人データを違法に処理していたためだ。追跡ピクセルは、ウェブサイト訪問者に関する情報を、法的根拠やユーザーへの情報提供に関する規制の要件を満たさないまま、自動的に第三者に送信していた。ただし、クリスティアンサン市が協力し、改善と将来的な同様の違反の防止に向けた一連の措置を講じたことを考慮し、罰金は予告額よりも減額された。
I de andre sakene ila Datatilsynet irettesettelser. I denne omgangen var reaksjonene stort sett milde, særlig fordi det er første gang Datatilsynet foretar denne typen tilsyn, og i lys av at formålet med tilsynene er økt bevisstgjøring. I fremtiden kan reaksjonene være mye strengere.	その他の案件については、データ保護当局が是正措置を命じた。今回の対応は、データ保護当局がこの種の監督を行ったのは初めてであり、その目的が意識の向上にあることを考慮して、おおむね寛大なものとなった。今後、対応はより厳格になる可能性がある。
Merk at Datatilsynet er særlig bekymret for bruk av sporingsverktøy for kommersielle eller markedsføringsformål.	データ保護当局は、商業目的やマーケティング目的での追跡ツールの使用について特に懸念していることにご留意ください。
Sporingsverktøy innebærer behandling av personopplysninger	追跡ツールは個人情報の処理を伴う
Mange sporingsverktøy fastholder at de bare behandler «avidentifiserte» eller pseudonymiserte opplysninger, at opplysningene hashes, at verktøyene behandler tallkoder i stedet for navn eller e-postadresser og liknende. Dette betyr imidlertid ikke at opplysningene er anonyme.	多くの追跡ツールは、処理するのは「匿名化」または仮名化された情報のみであり、情報はハッシュ化され、ツールは名前やメールアドレスなどの代わりに数字コードを処理すると主張している。しかし、これは情報が匿名化されていることを意味するものではない。
De fleste sporingsverktøy er laget for å kjenne igjen personer over tid. For å gjøre dette bruker verktøyene ofte (men ikke alltid) ulike nettidentifikatorer, altså ID-koder, som består av tall og/eller bokstaver. Eksempler på nettidentifikatorer inkluderer IP-adresse, cookie-ID eller MAC-adresse. Ved hjelp av nettidentifikatorer kan verktøyene kjenne igjen de besøkende og skille dem fra hverandre. På denne måten blir det også enkelt å spore enkeltpersoner på tvers av ulike nettsteder og apper - og på den måten koble sammen data om dem.	ほとんどの追跡ツールは、一定期間にわたって個人を認識するように設計されている。この目的のために、ツールは（常にではありませんが）多くの場合、数字や文字で構成されるさまざまなネット識別子、つまり ID コードを使用している。ネット識別子の例としては、IP アドレス、クッキー ID、MAC アドレスなどが挙げられる。ネット識別子を使用することで、ツールは訪問者を認識し、区別することができる。これにより、さまざまなウェブサイトやアプリ間で個人を簡単に追跡し、その個人に関するデータを結びつけることが可能になる。
I de aller fleste tilfeller vil det være mulig å knytte opplysningene fra sporingsverktøyene til en enkeltperson som kan identifiseres. Da regnes også opplysningene som personopplysninger, og personvernforordningen (GDPR) gjelder. Det er ikke avgjørende hvorvidt personen er identifisert, men heller hvorvidt det er mulig for noen å identifisere vedkommende, om nødvendig ved hjelp av ytterligere informasjon som det er mulig å få tilgang til.	ほとんどの場合、追跡ツールから取得した情報を、特定可能な個人に関連付けることが可能だ。その場合、その情報は個人情報とみなされ、GDPR（一般データ保護規則）が適用される。その個人が特定されているかどうかではなく、必要に応じて、入手可能な追加情報を使用してその個人を特定できるかどうかが重要なのです。
Tommelfingerregelen er derfor at dersom du bruker sporingsverktøy på nettsiden eller i appen din, behandler du personopplysninger. Veldig ofte vil dessuten disse personopplysningene deles med eller tilgjengeliggjøres for selskapet som tilbyr verktøyet.	したがって、ウェブサイトやアプリで追跡ツールを使用する場合は、個人情報を処理しているとみなすのが原則です。さらに、多くの場合、これらの個人情報は、ツールを提供する企業と共有されたり、その企業がアクセス可能になったりする。
I sporingstilsynene omtalt over brukte nettstedene sporingsverktøy fra Snap (Snap Pixel), Google (DoubleClick), Meta (Meta Pixel), Microsoft (UET Tag) og Xandr (uuid2, Adnxs.com). Ved å bruke disse verktøyene, tilgjengeliggjorde nettsidene personopplysninger om enkeltpersoner som besøkte nettstedene, for disse selskapene.	上記の追跡調査では、ウェブサイトは Snap（Snap Pixel）、Google（DoubleClick）、Meta（Meta Pixel）、Microsoft（UET Tag）、Xandr（uuid2、Adnxs.com）の追跡ツールを使用していた。これらのツールを使用することにより、ウェブサイトは、ウェブサイトを訪問した個人に関する個人情報を、これらの企業に提供していた。
Spesielt om særlige kategorier personopplysninger	特定の種類の個人情報について
Enkelte personopplysninger nyter et særlig sterkt vern under personvernreglene. Dette er for eksempel opplysninger om noens helse, sexliv, seksuelle orientering, religion, politiske ståsted eller etnisitet. Vi kaller dette særlige kategorier personopplysninger. Gjennom sporingspiksler kan besøk på bestemte nettsider eller apper indirekte avsløre slike opplysninger.	一部の個人情報は、個人情報保護規則により特に厳重に保護されている。これには、例えば、健康、性生活、性的指向、宗教、政治的見解、民族性に関する情報などが含まれる。これを、特別な種類の個人情報と呼ぶ。トラッキングピクセルを使用すると、特定のウェブサイトやアプリへのアクセスが、間接的にこのような情報を明らかにする可能性がある。
Denne typen opplysninger er særlig sensitive. I ytterste konsekvens kan de for eksempel brukes til å diskriminere enkeltpersoner. Derfor er det i utgangspunktet forbudt å behandle denne typen personopplysninger, med mindre du kan vise til et gyldig unntak fra forbudet. I praksis er ofte eksplisitt samtykke det eneste reelle unntaket i markedsføringssammenhenger.	この種の情報は特に機密性が高く、極端な場合、個人を差別するために使用される可能性がある。そのため、原則として、この種の個人情報を処理することは禁止されている。ただし、禁止の例外が適用される場合を除く。実際には、マーケティングの文脈では、明示的な同意が唯一の実際の例外となる場合が多い。
Les mer om særlige kategorier personopplysninger.	特別な種類の個人情報について詳しくはこちらをご覧ください。
Sporingsverktøy vil typisk dele med tredjeparter hvem som har vært inne på tjenesten din og hva de gjorde der. Ofte kan besøk på bestemte nettsider eller apper indirekte avsløre særlige kategorier personopplysninger. Dette er typisk tilfellet der det er snakk om tjenester som spesifikt retter seg mot sensitive grupper, for eksempel personer med bestemte diagnoser, seksuelle minoriteter eller medlemmer av en religion. Dersom det blir kjent at en person bruker en slik tjeneste, kan andre indirekte skjønne at personen tilhører gruppen som tjenesten retter seg mot.	追跡ツールは、通常、あなたのサービスにアクセスしたユーザーや、そのユーザーがサービスで行った操作を第三者に共有する。多くの場合、特定のウェブサイトやアプリへのアクセスは、特別な種類の個人情報を間接的に明らかにする可能性がある。これは、特定の診断を受けた人、性的マイノリティ、宗教の信者など、特定のグループをターゲットにしたサービスの場合に典型的に見られる。ある人がそのようなサービスを利用していることが知られた場合、その人がそのサービスが対象とするグループに属していることを他者が間接的に推測する可能性がある。
Også når det er snakk om tjenester som bare omhandler eller knytter seg til sensitive temaer, kan det være mulig å utlede særlige kategorier personopplysninger om de som bruker tjenesten basert på hvordan de bruker tjenesten.	また、機密性の高いテーマのみを取り扱う、または関連するサービスの場合でも、サービスの利用方法に基づいて、そのサービスの利用者に関する特定の種類の個人情報を推測することが可能である。
Hvis du driver en tjeneste som knytter seg til sensitive temaer eller utsatte grupper, må du altså vurdere grundig hva slags slutninger det er mulig å trekke om brukerne – direkte eller indirekte – før du tar i bruk sporingsverktøy.	したがって、機密性の高いテーマや脆弱なグループに関連するサービスを運営している場合は、追跡ツールを使用する前に、ユーザーについて直接または間接的にどのような結論を導き出すことができるかを慎重に検討する必要がある。
Praksis fra EU-domstolen	EU 裁判所の判例
EU-domstoler har avsagt flere dommer om hvor terskelen går for hva som utgjør særlige kategorier personopplysninger. Domstolens praksis tilsier at denne terskelen er veldig lav, sett i lys av formålet med reglene: å beskytte enkeltpersoners grunnleggende rett til personvern.	EU 裁判所は、特別な種類の個人データに該当する閾値について、複数の判決を下している。裁判所の判例によれば、この閾値は、規則の目的である個人のプライバシーに関する基本的権利の保護という観点から、非常に低いものとされている。
I den såkalte Lindenapotheke-saken (C-21/23) var ett av spørsmålene hvorvidt kjøp i et nettapotek utgjorde særlige kategorier personopplysninger, i dette tilfellet opplysninger om kjøpernes helse. Domstolen besvarte spørsmålet bekreftende. Det har ingenting å si om produktene er reseptbelagte eller ikke, så lenge de direkte eller indirekte kan si noe om kjøperens helsetilstand. Domstolen mente videre at kjøpsinformasjonen utgjør særlige kategorier personopplysninger uavhengig av om slutningene du kan dra om kjøperne er korrekte. Med andre ord har det ingenting å si at du ikke vet om kjøperen skal bruke produktet selv eller om hen kjøper det på vegne av noen andre.	いわゆるリンデナポテケ事件（C-21/23）では、オンライン薬局での購入が、この場合は購入者の健康に関する情報という、特別な種類の個人情報に該当するかどうかが争点のひとつだった。裁判所はこの質問に対して肯定的な回答をした。製品が処方箋が必要かどうかは無関係で、購入者の健康状態を直接または間接的に示す情報であれば問題にならない。さらに、裁判所は、購入者に関する結論が正しいかどうかに関係なく、購入情報は特別な種類の個人情報に該当すると判断した。つまり、購入者がその製品を自分で使用するかどうか、あるいは他の人のために購入しているかどうかは問題ではないということです。
Erfaringer fra sporingstilsynene	追跡調査の経験
I tre av tilsynssakene våre kom vi frem til at nettstedet tilgjengeliggjorde særlige kategorier personopplysninger med tredjeparter.	当社の調査案件のうち 3 件では、ウェブサイトが特別な種類の個人情報を第三者に提供していたことが判明しました。
Saken om apotekfordeg.no gjaldt et nettapotek, akkurat som Lindenapotheke-saken fra EU-domstolen. Når de besøkende på nettsiden interagerte med produkter som kunne si noe om deres helse eller seksuelle forhold (for eksempel graviditetstester, klamydiatester eller nødprevensjon), utgjorde dette særlige kategorier personopplysninger. Apotekfordeg.no tilgjengeliggjorde disse opplysningene ulovlig for tredjeparter.	apotekfordeg.no のケースは、EU 裁判所での Lindenapotheke のケースと同様、オンライン薬局に関するものだった。ウェブサイト訪問者が、自分の健康や性的関係に関する情報を示す可能性のある製品（妊娠検査、クラミジア検査、緊急避妊薬など）とやり取りした場合、これは特別な種類の個人データに該当する。Apotekfordeg.no は、これらの情報を第三者に違法に提供していた。
Nettstedet nhi.no publiserer artikler om ulike sykdommer, diagnoser og helsetilstander. Det kan være ulike grunner til at en person besøker denne typen nettsted. Samtidig er det en kjensgjerning at for enkelte besøkende vil besøkene deres over tid tegne et mønster – for eksempel hvis de leser om en gitt diagnose eller tett relaterte diagnoser gjentatte ganger – som kan si noe om deres helsetilstand eller seksuelle forhold. Derfor utgjør informasjon om besøk på nettstedet særlige kategorier personopplysninger, og nettstedet brøt loven da de tilgjengeliggjorde disse personopplysningene for tredjeparter uten gyldig samtykke.	ウェブサイト nhi.no は、さまざまな病気、診断、健康状態に関する記事を掲載している。この種のウェブサイトを訪問する理由はさまざまだ。同時に、一部の訪問者は、時間の経過とともに、特定の診断や密接に関連する診断について繰り返し読むなど、その訪問パターンが明らかになり、その健康状態や性的関係について何かを示す可能性があることも事実だ。そのため、ウェブサイトへの訪問に関する情報は、特別な種類の個人情報であり、ウェブサイトは、有効な同意を得ずにこれらの個人情報を第三者に提供したことで、法律に違反した。
Tilsvarende kom vi også frem til at besøksmønstre over tid på nettstedet bibel.no gjør det mulig å indirekte utlede personopplysninger om kristen tro, blant annet fordi dette er et nettsted som publiserer kristne tekster og tar imot donasjoner til Det norske bibelselskap. Derfor skulle ikke opplysninger om enkeltpersoners besøk på nettstedet vært tilgjengeliggjort for andre uten samtykke.	同様に、ウェブサイトbibel.noにおける長期にわたる訪問パターンから、キリスト教の信仰に関する個人情報を間接的に推測することができると私たちは判断した。これは、同ウェブサイトがキリスト教のテキストを掲載し、ノルウェー聖書協会への寄付を受け付けているためだ。したがって、ウェブサイトへの個々の訪問者に関する情報は、同意なしに他者に提供すべきではなかった。
Andre beskyttelsesverdige personopplysninger	その他の保護すべき個人情報
Merk at det også finnes flere former for beskyttelsesverdig personopplysninger enn de som er definert som særlige kategorier personopplysninger. Et eksempel på dette er opplysninger om privatøkonomi. Det kan være like problematisk dersom denne typen personopplysninger kommer på avveier.	特別な種類の個人情報として定義されているもの以外にも、保護すべき個人情報はいくつかあることにご留意ください。その一例として、個人の経済状況に関する情報が挙げられる。この種の個人情報が不正に流出した場合、同様に問題となる可能性がある。
Du som tar i bruk sporingsverktøy har ansvar for å beskytte alle typer personopplysninger.	追跡ツールを使用する場合は、あらゆる種類の個人情報を保護する責任がある。
Grindr-saken	Grindr 事件
Grindr er en lokasjonsbasert datingapp som retter seg mot homofile og bifile menn, transpersoner og skeive. I 2020 klagde Forbrukerrådet Grindr inn til Datatilsynet. Bakgrunnen var at Grindr utleverte opplysninger om GPS-lokasjon, IP-adresse, mobiltelefonens annonserings-ID, alder og kjønn, i tillegg til at vedkommende er Grindr-bruker, til flere tredjeparter for markedsføringsformål. Med disse opplysningene kunne brukerne identifiseres, og tredjepartene kunne potensielt dele disse dataene videre.	Grindr は、同性愛者、バイセクシュアルの男性、トランスジェンダー、およびセクシュアリティの多様性を持つ人々を対象とした、位置情報に基づくデートアプリだ。2020年、消費者委員会は Grindr をデータ保護当局に告発した。その背景には、Grindr が、GPS 位置情報、IP アドレス、携帯電話の広告 ID、年齢、性別、および Grindr ユーザーであるかどうかという情報を、マーケティング目的で複数の第三者に提供していたことがあった。この情報により、ユーザーを特定することが可能となり、第三者がこのデータをさらに共有する可能性がある。
Datatilsynet vurderte at opplysninger om at noen er en Grindr-bruker er en særlig kategori av personopplysninger, fordi det sterkt indikerer at de tilhører en seksuell minoritet. Også lokasjonsdata er sensitive og personlige, selv om de ikke er definert som særlige kategorier personopplysninger.	データ保護当局は、Grindr ユーザーであるという情報は、性的マイノリティに属していることを強く示すため、特別な種類の個人情報であると判断した。また、位置情報も、特別な種類の個人情報とは定義されていないものの、機密性が高く、個人的な情報である。
Datatilsynet konkluderte med at Grindr brøt personvernregelverket ved å utlevere personopplysninger om brukerne til tredjeparter for adferdsbasert markedsføring uten samtykke.	データ保護当局は、Grindr が、ユーザーの同意を得ずに、行動ベースのマーケティングのためにユーザーの個人情報を第三者に提供したことは、個人情報保護規則に違反していると結論付けた。
Spesielt om behandling av personopplysninger om barn	特に、子供に関する個人情報の取り扱いについて
Et annet eksempel på beskyttelsesverdige personopplysninger er personopplysninger om barn.	保護すべき個人情報のもう一つの例は、子供に関する個人情報だ。
I sporingstilsynet så vi at nettstedet 116111.no tilgjengeliggjorde personopplysninger om barn i vanskelige situasjoner for tredjeparter. Nettstedet ifengsel.no tilgjengeliggjorde personopplysninger om barn med foreldre i fengsel. I begge tilfellene er det snakk om personopplysninger som krever særskilt vern selv om de ikke er definert som særlige kategorier personopplysninger. Derfor var det også veldig alvorlig at disse opplysningene ble tilgjengeliggjort for tredjeparter uten gyldig samtykke.	追跡監督機関では、ウェブサイト 116111.no が、困難な状況にある子供に関する個人情報を第三者に提供していたことを確認した。ウェブサイト ifengsel.no は、刑務所に服役中の親を持つ子供に関する個人情報を公開していた。どちらの場合も、特別な保護が必要な個人情報であり、特別な種類の個人情報として定義されているわけではない。そのため、有効な同意を得ずにこれらの情報を第三者に公開したことは、非常に深刻な問題だった。
Barn er særlig sårbare på nett. De har ikke nødvendigvis forutsetninger for å forstå hva sporing og profilering innebærer for dem, og det kan være vanskeligere for barn å beskytte seg mot dette. Derfor har barn et særlig krav på beskyttelse, og personopplysningene deres bør ivaretas tilsvarende.	子供は、インターネット上で特に脆弱です。子供たちは、追跡やプロファイリングが自分たちにどのような意味を持つかを必ずしも理解しているとは限らず、子供たちが自らを保護することはより困難です。そのため、子供たちは特別な保護を必要とし、その個人情報はそれに応じて保護されるべきです。
Som hovedregel bør ikke barns personopplysninger behandles for markedsføringsformål.	原則として、子供の個人情報はマーケティング目的で処理してはならない。
Kan jeg bruke sporingsverktøy på tjenesten min?	自分のサービスで追跡ツールを使用することはできる？
Når du behandler personopplysninger, må du følge alle personvernprinsippene. Her går vi gjennom de mest sentrale prinsippene og deres relevans for bruk av sporingspiksler.	個人情報を処理する場合は、すべての個人情報保護原則に従わなければならない。ここでは、最も重要な原則と、追跡ピクセルの使用に関するその関連性について説明する。
Felles for alle reglene i personopplysningsloven og personvernforordningen er at de bygger på noen grunnleggende prinsipper. Prinsippene gir på ulike måter uttrykk for at behandling av personopplysninger skal skje på en måte som sikrer forutsigbarhet og forholdsmessighet for enkeltpersoner.	個人情報保護法および個人情報保護規則のすべての規則に共通するのは、それらがいくつかの基本原則に基づいていることだ。これらの原則は、個人情報の処理は、個人に対して予測可能性と比例性を確保する方法で行われるべきであることをさまざまな形で表現している。
Generelt om personvernprinsippene.	プライバシー原則の概要。
Lovlighet	合法性
Ett av de sentrale personvernprinsippene er lovlighet. Det vil si at for å behandle personopplysninger må du ha et rettslig grunnlag, altså et grunnlag som gir deg lov til å behandle andres personopplysninger. Dette gjelder også ved bruk av sporingsverktøy som informasjonskapsler eller sporingspiksler.	プライバシー原則の重要な原則のひとつは、合法性だ。つまり、個人データを処理するには、法的根拠、つまり他者の個人データを処理することを許可する根拠が必要だ。これは、クッキーやトラッキングピクセルなどの追跡ツールを使用する場合も同様だ。
Det finnes seks mulige rettslige grunnlag. I mange tilfeller er imidlertid samtykke det eneste praktiske rettslige grunnlaget:	6つの法的根拠が考えられる。ただし、多くの場合、同意が唯一の現実的な法的根拠となる。
・Ved bruk av informasjonskapsler som ikke er strengt nødvendige, sier ekomloven at du må ha gyldig samtykke. Det er viktig å merke seg at sporingspiksler som regel innebærer bruk av informasjonskapsler.	・厳密に必要なものではないクッキーを使用する場合、電子通信法では、有効な同意を得なければならないと規定されている。トラッキングピクセルは、通常、クッキーの使用を伴うことに注意することが重要だ。
・Ved behandling av særlige kategorier personopplysninger for markedsføringsformål, er eksplisitt samtykke som regel det eneste reelle unntaket fra forbudet mot å behandle denne typen opplysninger.	・マーケティング目的で特別な種類の個人データを処理する場合、この種のデータの処理禁止の唯一の実際の例外は、原則として明示的な同意のみだ。
・Også der det ellers er snakk om behandling av beskyttelsesverdige, private eller sensitive personopplysninger for markedsføringsformål, er det i praksis vanskelig å basere seg på et annet rettslig grunnlag enn samtykke.	・また、保護すべき、個人的な、または機密性の高い個人データをマーケティング目的で処理する場合も、実際には、同意以外の法的根拠に基づくことは困難です。
Les mer om rettslig grunnlag.	法的根拠の詳細については、こちらをご覧ください。
For at et samtykke skal være gyldig, er det flere elementer som må være på plass, blant annet:	同意が有効であるためには、以下の要素が満たされている必要があります。
・Samtykke må være frivillig.	・同意は自発的でなければならない。
・Samtykke må være spesifikt.	・同意は具体的である必要がある。
・Samtykke må være informert.	・同意は情報に基づくものでなければならない。
・Samtykke må være utvetydig.	・同意は明確でなければならない。
・Samtykke må avgis gjennom en aktiv handling - passivitet kan ikke utgjøre et samtykke.	・同意は積極的な行動によって表明されなければならない。受動的な行動は同意とはみなされない。
・Det må være mulig å la være å gi samtykke uten å bli utestengt fra tjenesten.	・同意を拒否しても、サービスの利用を拒否されないことが保証されている必要がある。
・Det må være like lett å si nei som å si ja.	・同意を拒否することは、同意することと同じくらい容易でなければならない。
・Det må være like lett å trekke tilbake samtykke som det var å gi det.	・同意を撤回することは、同意を与えることと同じくらい容易でなければならない。
I sporingstilsynet så vi flere brudd knyttet til samtykke. For eksempel var det flere av nettsidene som ikke ba om samtykke selv om det var påkrevd.	追跡監督では、同意に関する複数の違反が見られた。例えば、同意が必要であるにもかかわらず、同意を求めていないウェブサイトが複数あった。
Vi så også at flere av samtykkeforespørslene fremhevet samtykke-knappen ved hjelp av fargebruk. Samtykke-knappen ble gitt en særlig fremtredende farge, mens de andre knappene hadde samme farge som bakgrunnen. Dermed ble de besøkende på nettstedet «dultet» til å samtykke. Dette er et eksempel på utnyttelse av såkalte «kognitive bias» – fargebruken kan gjøre at brukerne ikke gjør egne bevisste valg, men heller velger det enkleste alternativet, uten tanke på egne personvernpreferanser eller eventuelle konsekvenser av valget. Derfor var ikke samtykket frivillig.	また、同意を求めるボタンが、色を使って強調されているケースもいくつか見られた。同意ボタンは、他のボタンとは背景色と同じ色ではなく、特に目立つ色が使われていた。これにより、ウェブサイト訪問者は同意するように「誘導」されていた。これは、いわゆる「認知バイアス」を利用した例だ。色使いによって、ユーザーは意識的な選択を行うのではなく、自分のプライバシーの好みや選択の結果について考えずに、最も簡単な選択肢を選ぶようになる。そのため、同意は自由意志によるものではなかった。
I tilsynet mot drdropin.no så vi at mens det var mulig å takke ja på første lag av samtykkeforespørselen, måtte brukerne klikke seg videre til innstillingene for å takke nei. Med andre ord var det vanskeligere å si nei enn ja, og dette kan påvirke brukerne til å ta valg de ellers ikke ville tatt. Samtykket var hverken frivillig eller utvetydig.	drdropin.no の監視では、同意要求の最初の段階では「はい」と答えられるものの、ユーザーは「いいえ」と答えるには設定画面に進まなければならないことがわかった。つまり、「はい」と答えるよりも「いいえ」と答える方が難しく、これにより、ユーザーは本来なら選択しなかったであろう選択をする可能性が高まる。この同意は、自発的でも明確でもなかった。
Åpenhet	透明性
Et annet sentralt personvernprinsipp er åpenhet. Det vil si at de som bruker en tjeneste har rett til å få informasjon om hvordan personopplysningene deres behandles og hvordan det kan påvirke dem. Informasjonen skal være lett å forstå og bruke et klart og enkelt språk. Det gjelder alltid, men det er særlig viktig når informasjonen skal leses av barn.	もう一つの重要なプライバシー原則は、透明性です。つまり、サービスを利用する者は、自分の個人情報がどのように処理され、それが自分にどのような影響を与えるかについて、情報を得る権利があります。情報は、わかりやすく、明確で簡単な言葉を使って記載されなければなりません。これは常に当てはまりますが、子供が読む情報については特に重要です。
Én side av åpenhetsprinsippet er at brukere skal få tilstrekkelig informasjon om hva de blir bedt om samtykke til og hvilke konsekvenser et samtykke vil ha.	透明性の原則の一面は、ユーザーが同意を求められている内容と、その同意がどのような結果をもたらすかについて、十分な情報を得るべきであるということだ。
I sporingstilsynet så vi flere eksempler på nettsteder som lovte de besøkende anonymitet, selv om nettstedene brukte sporingsverktøy som behandlet brukernes personopplysninger og tilgjengeliggjorde dem for tredjeparter. Dette er ikke lov. All informasjonen som gis om behandling av personopplysninger må være korrekt. Feilaktig informasjon kan svekke brukernes tillit og skape usikkerhet om hvordan behandlingen av opplysninger om dem foregår.	追跡監督機関では、訪問者に匿名性を約束しながら、ユーザーの個人情報を処理し、第三者に提供するための追跡ツールを使用しているウェブサイトをいくつか見かけた。これは違法だ。個人情報の処理に関する情報は、すべて正確でなければならない。誤った情報は、ユーザーの信頼を損ない、自分の情報がどのように処理されているかについて不安を生じさせる可能性がある。
For øvrig har Datatilsynet observert flere eksempler på at informasjonen som gis om sporingsverktøy er veldig teknisk og vag. Hvis du eier et nettsted eller en app er det viktig at du kan forklare med egne ord hva de ulike sporingsverktøyene gjør med de besøkendes personopplysninger, og hvordan de fungerer, på en folkelig og lettfattelig måte. Personvernreglene krever at du gir informasjon om hvordan de besøkendes personopplysninger behandles, på en forståelig måte med klart og enkelt språk. Hvis du ikke klarer det, kan du heller ikke bruke slike sporingsverktøy.	さらに、データ保護当局は、追跡ツールに関する情報が非常に技術的で曖昧である例を数多く確認している。ウェブサイトやアプリを所有している場合は、訪問者の個人情報をさまざまな追跡ツールがどのように処理し、どのように機能するかを、わかりやすく、平易な言葉で説明できることが重要だ。プライバシーポリシーでは、訪問者の個人情報がどのように処理されるかを、わかりやすく、明確な言葉で説明することが義務付けられている。それができない場合は、このような追跡ツールを使用することはできない。
Hvordan kan jeg sjekke hva slags sporingsverktøy et nettsted bruker?	ウェブサイトがどのような追跡ツールを使用しているかを確認するにはどうすればよいですか？
I de tekniske undersøkelsene av nettstedene omtalt over har Datatilsynet benyttet verktøyet «EDPB website auditing tool» ). Verktøyet identifiserer hvilke informasjonskapsler som settes i brukerens nettleser ved besøk på en nettside og gir informasjon om hva de gjør. Resultater lagres lokalt i applikasjonen og kan eksporteres og importeres. Verktøyet har åpen kildekode.	上記のウェブサイトに関する技術的な調査では、データ保護当局は「EDPB ウェブサイト監査ツール」を使用している。このツールは、ウェブサイト訪問時にユーザーのブラウザに保存されるクッキーを識別し、その機能に関する情報を提供する。結果はアプリケーションにローカルに保存され、エクスポートおよびインポートすることができる。このツールはオープンソースだ。
Datatilsynet har også, blant annet, benyttet nettleser-utvidelsene «Meta Pixel Helper» ) og «Snap Pixel Helper» for å identifisere om nettstedene har implementert sporingsteknologi fra Meta og Snap Inc.	Datatilsynet は、ウェブサイトが Meta および Snap Inc. の追跡技術を実装しているかどうかを識別するために、ブラウザ拡張機能「Meta Pixel Helper」および「Snap Pixel Helper」なども使用している。

クッキーおよびその他の追跡技術の使用に関する同意

・Samtykke til bruk av informasjonskapsler og andre sporingsteknologier

目次...

01 Innledning	はじめに
02 Gi klar og forståelig informasjon i samtykkeboksen	同意ボックスには、明確でわかりやすい情報を記載してください
03 Suppler samtykkebanneret med fullstendig informasjon	同意バナーに完全な情報を追加してください
04 Ikke gjør tilgang til nettsiden eller tjenesten betinget av å gi samtykke	同意を条件としてウェブサイトやサービスへのアクセスを制限しないでください
05 La brukeren velge hvilke formål de vil samtykke til eller ikke	ユーザーが同意する目的を選択できるようにしてください
06 Ikke bruk forhåndsavkryssede bokser eller aksept ved passivitet	事前にチェックボックスがチェックされている、または無作為にチェックされている、あるいは無作為にチェックが解除されているものを使用しないでください
07 Ikke la avvisning av samtykke kreve ekstra klikk eller være mer brysomt	同意の拒否に追加のクリックを必要としたり、より面倒な手続きを課したりしないでください。
08 Ikke skjul alternativet for å avvise samtykke eller gi det lavere oppmerksomhetsverdi	同意を拒否する選択肢を隠したり、その注目度を低くしたりしないでください。
09 Bruk klare og enkle formuleringer i knapper eller tilsvarende løsninger	ボタンや同様のソリューションには、明確で簡単な表現を使用してください。
10 Gjør det enkelt å trekke tilbake samtykke og informer om dette	同意の撤回を容易にし、その旨を通知してください。
11 Hold orden i eget hus	自社のルールを順守してください。

---

● まるちゃんの情報セキュリティ気まぐれ日記

Norway関係

・2025.06.09 ENISA EU諸国の国家サイバーセキュリティ戦略をマップから見れる.. (2025.06.04)

・2025.04.24 欧州 EDPB 2024年の年次報告書

・2024.11.22 ノルウェー 消費者評議会 オンラインにおける児童・青少年の商業的搾取 (2024.11.14)

・2024.11.10 ノルウェー 未来のデジタル化戦略 (2024.11.04)

・2024.10.29 英国 世界のプライバシー当局がデータ・スクレイピングに関するフォローアップ共同声明を発表

・2024.10.06 国際ランサムウェア対策イニシアティブ 2024 共同声明 (2023.10.02)

・2024.05.07 OECD 閣僚会議声明とAI原則の改訂...

・2024.04.04 金融活動作業部会（FATF）　「FATFメンバー法域及び重要な暗号資産サービス・プロバイダー（VASP）の活動がある法域における勧告15の実施状況一覧表」の公表

・2024.03.01 米国 英国 オーストラリア カナダ ニュージーランド、ベルギー、ブラジル、フランス、ドイツ、ラトビア、リトアニア、ノルウェー、ポーランド、韓国がロシアや脆弱性についてのいくつかのアラートを出していますね。。。

・2023.11.28 米国 CISA 英国 NCSC 安全なAIシステム開発のための共同ガイドライン

・2023.11.11 国際ランサムウェア対策イニシアティブ 2023 共同声明 (2023.11.01)

・2023.10.18 Five Eyes、ドイツ、オランダ、ノルウェー、韓国、イスラエル、日本、シンガポール、チェコ他 セキュア・バイ・デザイン原則の改訂

・2023.10.06 米国CISA 英国NCSC 国境を越えた脅威にさらされる市民社会のサイバーセキュリティに関する戦略対話の初会合 (2023.09.29)

・2023.10.03 欧州委員会 電子政府ベンチマーク2023 (2023.09.27)

・2023.05.20 米国 司法省 LockBit、Babuk、Hiveに関わったロシア人を起訴

・2023.04.04 米国 商用スパイウェアの拡散と悪用に対抗するための取り組みに関する共同声明 (2023.03.30)

・2023.04.04 米国 ファクトシート：「民主主義のための技術の進歩」と「バイデン-ハリス政権の国内外における民主主義の再生への揺るぎないコミットメント」 (2023.03.29)

・2023.01.31 米国 司法省 ランサムウェアの亜種「Hive」を駆除 (2023.01.26)

・2022.11.03 国際ランサムウェア対策イニシアティブ 2022 共同声明 (2022.11.01)

・2022.12.17 OECD 「信頼性のあるガバメントアクセスに関する高次原則に係る閣僚宣言」を採択

・2021.12.07 米国 国防省 23カ国が参加したサイバー防御演習 CYBER FLAG 21-1

・2021.11.12 Interpol 最近のサイバー関係の発表（７つ）

・2021.11.09 米国 司法省 Kaseya社等をランサムウェア攻撃したウクライナ人を逮捕・起訴した

・2021.06.04 欧州データ保護委員会 (EDPB) 2020年次報告書

・2020.12.08 ENISA 自国のサイバーセキュリティ能力の成熟度を自己評価するための「国家能力評価フレームワーク（NCAF）」を発行

・2020.10.14 ノルウェー政府は8月のノルウェー議会の電子メールシステムへのサイバー攻撃はロシアによるものだとする声明を出していますね。。。

・2020.05.14 Norway データ保護機関が公衆衛生研究所にコンタクト・トレーシング・アプリの課題について通知したようですね。。。

・2020.05.06 Norway コンタクト・トレーシング・アプリ(smittestopp / Infection stop)

欧州委員会 GenAI4EU：「ヨーロッパ製」の生成的 AI を推進するための資金援助

こんにちは、丸山満彦です。

欧州は米国、中国に比べてAI分野の出遅れがあるということで、力を入れておりますね...

新興企業、中小企業の活用についても力を入れています。

日本と環境が似ている部分もあると思うので、参考になる部分が多い（米国や中国と比べて）のではないかと思います。（英国もそうかもですが...）

● European Commission

・2025.06.11 GenAI4EU: Funding opportunities to boost Generative AI “made in Europe”

GenAI4EU: Funding opportunities to boost Generative AI “made in Europe”	GenAI4EU：「ヨーロッパ製」の生成的 AI を推進するための資金援助の機会
The European Commission has launched a first wave of EU funding opportunities to integrate generative Artificial Intelligence (AI) in Europe’s strategic sectors, and keep their competitive edge.	欧州委員会は、生成的人工知能（AI）をヨーロッパの戦略的分野に統合し、その競争力を維持するための EU 資金援助の第一弾を開始しました。
Researchers, innovators, companies and other interested organisations can find broad EU funding opportunities to join forces to develop and deploy generative AI in Europe’s strategic sectors as part of the GenAI4EU flagship initiative. The initiative is now surpassing the initial commitment of €500 million announced in the AI innovation package in January 2024, with close to €700 million funding planned in Horizon Europe, the Digital Europe Programme, and the European Innovation Council.	研究者、イノベーター、企業、その他の関心のある組織は、GenAI4EU フラッグシップイニシアチブの一環として、欧州の戦略的分野における生成的 AI の開発と展開に協力するための幅広い EU 資金調達機会を見つけることができる。このイニシアチブは、2024年1月に AI イノベーションパッケージで発表された当初の 5 億ユーロのコミットメントを上回り、ホライズン・ヨーロッパ、デジタル・ヨーロッパ・プログラム、および欧州イノベーション評議会で 7 億ユーロ近くの資金が計画されている。
For example, researchers can receive EU funding of between 15 and 17 million euro to leverage multimodal data to advance generative AI in biomedical research by, among others, moving towards predictive and personalised medicine. This concrete GenAI application helps industry’s competitiveness but also makes healthcare treatments more effective. The call HORIZON-HLTH-2025-01-TOOL-03 will close in September 2025.	例えば、研究者は、予測医療や個別化医療への移行など、マルチモーダルデータを活用して生物医学研究における生成的 AI を推進するために、1,500 万から 1,700 万ユーロの EU 資金援助を受けることができる。この具体的な GenAI の応用は、産業の競争力向上に貢献するだけでなく、医療の効率化にもつながる。公募「HORIZON-HLTH-2025-01-TOOL-03」は 2025 年 9 月に締め切られる。
This is only one of the many opportunities available to stakeholders interested in joining the GenAI4EU initiative, as listed on the tab "funding opportunities".	これは、GenAI4EUイニシアチブへの参加に興味のある関係者が利用できる多くの機会の一つに過ぎない。詳細は「資金調達機会」タブに記載されている。

 Horizon Europe Work Programme 2025 の案件...

Horizon Europe		Title of the call
1 Health	健康	HLTH-2025-01-TOOL-03: GenAI4EU: Leveraging multimodal data to advance Generative Artificial Intelligence applicability in biomedical research	マルチモーダルデータを活用して、生物医学研究における生成的人工知能の適用性を推進
1 Health	健康	HLTH-2025-01-CARE-01: GenAI4EU: End user-driven application of Generative Artificial Intelligence models in healthcare	医療における生成的人工知能モデルのエンドユーザー主導の適用
3 Civil security for society	社会の市民安全	CL3-2025-02-CS-01: Generative AI for Cybersecurity applications	サイバーセキュリティアプリケーションのための生成的 AI
4 Digital, Industry, Space	デジタル、産業、宇宙	CL4-2025-04-DIGITAL-EMERGING-07: Advancing General Purpose AI through Enhanced Learning Strategies	強化された学習戦略による汎用 AI の進歩
4 Digital, Industry, Space	デジタル、産業、宇宙	CL4-2025-04-DIGITAL-EMERGING-04: Assessment methodologies for General Purpose AI capabilities and risks	汎用 AI の機能とリスクの評価方法論
4 Digital, Industry, Space	デジタル、産業、宇宙	CL4-2025-03-DIGITAL-EMERGING-09: Challenge-Driven GenAI4EU Booster (Pharma/Drug and Aerospace)	課題駆動型 GenAI4EU ブースター（製薬/医薬品および航空宇宙）
4 Digital, Industry, Space	デジタル、産業、宇宙	CL4-2025-03-DIGITAL-EMERGING-07: GenAI4EU in Robotics and industrial automation	ロボティクスと産業自動化における GenAI4EU
4 Digital, Industry, Space	デジタル、産業、宇宙	CL4-2025-03-HUMAN-18: GenAI4EU central Hub	GenAI4EU 中央ハブ
4 Digital, Industry, Space	デジタル、産業、宇宙	CL4-2025-03-HUMAN-15: GenAI4EU: Generative AI for Virtual Worlds: Advanced technologies for better performance and hyper personalised and immersive experience	GenAI4EU 仮想世界のための生成的AI：パフォーマンスの向上と、高度にパーソナライズされた没入型体験を実現する先進技術
4 Digital, Industry, Space	デジタル、産業、宇宙	CL4-2025-04-DATA-03: Software Engineering for AI and Generative AI	AI および生成的 AI 向けのソフトウェアエンジニアリング
4 Digital, Industry, Space	デジタル、産業、宇宙	CL4-2025-04-DATA-02: Empowering AI/Generative AI along the Cognitive Computing continuum	コグニティブ・コンピューティングの連続体における AI/生成的 AI の強化
4 Digital, Industry, Space	デジタル、産業、宇宙	CL4-2025-03-DATA-13: Fostering Innovative and Compliant Data Ecosystems	革新的でコンプライアンスに準拠したデータエコシステムの育成
4 Digital, Industry, Space	デジタル、産業、宇宙	CL4-INDUSTRY-2025-01-DIGITAL-61: AI Foundation models in science (GenAI4EU)	科学における AI 基礎モデル（GenAI4EU）
5 Energy	エネルギー	CL5-2025-05-D3-19: Innovative solutions for a Generative AI-powered digital spine of the EU energy system	EU エネルギーシステムの生成的 AI によるデジタルバックボーンのための革新的なソリューション
5 Mobility	モビリティ	CL5-2025-04-D6-01: Advancing remote operations to enable the sustainable and smart mobility of people and goods based on operational and societal needs (CCAM Partnership) – Societal Readiness Pilot	運用上および社会的ニーズに基づく、人と物の持続可能でスマートなモビリティを実現するための遠隔操作の推進（CCAM パートナーシップ） – 社会準備パイロット
5 Mobility	モビリティ	CL5-2025-04-D6-08: Accelerating freight transport and logistics digital innovation	貨物輸送と物流のデジタルイノベーションの加速
5 Mobility	モビリティ	CL5-2025-04-D2-05: Accelerated multi-physical and virtual testing for battery aging, reliability, and safety evaluation (Batt4EU Partnership)	バッテリー老化、信頼性、安全性の評価のためのマルチフィジカルおよびバーチャルテストの加速（Batt4EUパートナーシップ）
5 Mobility	モビリティ	CL5-2025-01-D5-01: Solutions for road Light Duty Vehicles – Societal Readiness Pilot	道路用軽車両向けのソリューション – 社会的準備度パイロット
5 Mobility	モビリティ	CL5-2025-01-D5-02: Cybersecure and resilient e-mobility ecosystem	サイバーセキュリティとレジリエンスに優れた e-モビリティエコシステム
5 Mobility	モビリティ	CL5-2025-04-D6-09: Reliable data and practices to measure and account transport emissions in multimodal transport chains	マルチモーダル輸送チェーンにおける輸送排出量を測定・報告するための信頼性の高いデータと実践
5 Mobility	モビリティ	CL5-2025-04-D6-10: Integrating inland waterway transport in smart shipping and multimodal logistics chains	内陸水路輸送をスマートシッピングおよびマルチモーダル物流チェーンに統合
6 Agrifood	農業食品	CL6-2025-01-ZEROPOLLUTION-06: Provide digital solutions tailored to small and medium-sized farms to monitor and sustainably manage agricultural inputs and natural resources	中小規模の農場に、農業投入資材および天然資源を監視し、持続的に管理するための、カスタマイズされたデジタルソリューションを提供する
6 Agrifood	農業食品	CL6-2025-01-CIRCBIO-06: Open Topic: Innovative solutions for the sustainable and circular transformation of SMEs	オープントピック：中小企業の持続可能で循環型の変革のための革新的なソリューション
6 Agrifood	農業食品	CL6-2025-03-GOVERNANCE-09: Delivering Earth Intelligence to accelerate the green and digital transition	グリーンおよびデジタル移行を加速するための地球インテリジェンスの提供
6 Agrifood	農業食品	CL6-2025-03-GOVERNANCE-14: Preparing farmers, their workforce and advisors to the future of agriculture by providing the right knowledge and skills at the right time and place	適切な知識とスキルを適切なタイミングで適切な場所に提供することにより、農家、その労働力、およびアドバイザーを農業の未来に備える
6 Agrifood	農業食品	CL6-2025-01-CIRCBIO-10: Unleashing the potential and advancing the impact of the digitalisation/AI of the bio-based value chains	バイオベースのバリューチェーンのデジタル化/AI の可能性を解き放ち、その影響力を高める
6 Agrifood	農業食品	CL6-2025-01-BIODIV-09: Strengthening pathways to alternative socio-economic models for continuous improvement of biodiversity	生物多様性の継続的な改善のための代替的な社会経済モデルへの道筋を強化する

参考

・Horizon Europe

• EUの研究・イノベーションのための主要な資金援助プログラム
• 2021年から2027年までのホライゾンヨーロッパの指示資金額は935億ユーロ（156兆円）
• 国連の持続可能な開発目標の達成を支援し、EUの競争力と成長を後押し
• EUの政策を開発、支援、実施する上で、協力を促進し、研究とイノベーションの影響力を強化
• 雇用を創出し、EUの人材プールを十分に活用し、経済成長を後押しし、産業競争力を促進し、強化された欧州研究領域における投資効果を最適化
• EUおよび関連国の法人が参加できる

・The Digital Europe Programme

• 企業、国民、行政機関にデジタル・テクノロジーを導入することに重点を置いた EUの資金提供プログラム
• スーパーコンピューティング、人工知能、サイバーセキュリティ、高度なデジタルスキルといった主要な能力分野におけるプロジェクトを支援
• 経済と社会全体におけるデジタル技術の幅広い活用の確保を目指す
• 強化された欧州デジタル・イノベーション・ハブ（EDIH）のネットワークを通じて、デジタル変革を支援

・GenAI4EU: Creating European Champions in Generative AI

• Horizon EuropeのAI Boost project (2023) に基づくもの
• 変革的なAI主導型ソリューションを市場に投入することを目指す新興企業や中小企業を支援
• 人工知能の新興企業や中小企業を支援するAIイノベーションパッケージ、およびEUにおける信頼できるAIの開発、展開、利用を目標とするEU AI Act に沿って、このチャレンジは、Strategic Technologies for Europe Platform（STEP）の下で特定された重要な技術分野
• 新しいGenAIモデルの開発と検証を進める；
• 既存のモデルを、より小型で高速かつエネルギー効率に優れたモデルが適用可能な特定の分野やデータタイプに適応させる；
• 既存のワークフローにGenAIソリューションを統合してテストし、必要に応じて、認証や市販後調査を含む、規制のサンドボックスや実際の環境でテストする；

• 製造、ロボット工学、健康、エネルギー、農業食品、モビリティ、航空宇宙-は、EU産業戦略とドラギ・レポートで特定された分野と一致

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.06.07 欧州委員会 安全で信頼できる人工知能におけるEUのリーダーシップを強化するため、AI事務局を設置 (2024.05.29)

ドラギ・レポート

・2024.10.01 欧州 ドラギ・レポート 欧州の競争力の未来 (2024.09.09)

フランス CNIL 職場における多様性測定調査における個人データの処理に関する推奨

こんにちは、丸山満彦です。

フランスの個人データ保護機関であるCNILが職場における多様性測定調査に関する推奨事項を公表していますね...

従業員等の多様性を図ろうとするために従業員についての調査を行うことありますが、それがプライバシーの侵害を招きかねないので、適切に実施できるようにということで、文書を作ったようですね...

よく人についての多様性という時に、性別（女性比率）、人種（外国籍の人の割合）といった、外見的な面での多様性について言われることが多いのですが、これは多様性というよりも、（外見的な面を踏まえた）意思決定の偏りがあるかどうかということが中心なのではないかと思います。それも多様性を重視するという点でいうと一つなのでしょうが、組織を強くする（特にレジリエンスという観点で）ための多様性というのは、思考や知識の多様性であり、もちろんそれについて出産経験のある女性と男性の間では知識の差があるでしょうし、米国と日本と両方住んだ人と、日本だけにしか住んだことがない人の間には知識の差があるとは思いますが、組織を強くするための本質的な多様性の要素ではないような気もします。

思考や知識について多様性の高い組織というのは、瞬間風速的な効率性等は高くはないが、長期的な意味での効率性等は高くなるように思います。

本題からやや外れましたが、CNILの推奨事項については、日本においても参考になる面もあるかもですね...

● CNIL

・2025.06.10 Enquêtes de mesure de la diversité au travail : la CNIL publie ses recommandations

Enquêtes de mesure de la diversité au travail : la CNIL publie ses recommandations	職場における多様性測定調査：CNILが推奨事項を発表
Les enquêtes de mesure de la diversité diffusées par les employeurs auprès de leurs effectifs collectent des données personnelles, parfois sensibles. Elles nécessitent la mise en place de garanties afin d’assurer la protection des données des participants, ainsi que le respect de leur droit à la vie privée	雇用主が従業員を対象に実施する多様性測定調査では、個人データ、場合によっては機密性の高いデータが収集される。そのため、参加者のデータ保護とプライバシー権の尊重を確保するための措置を講じる必要がある。
Pourquoi cette recommandation ?	この推奨事項の背景
Dans un contexte de sensibilisation accrue à la lutte contre les discriminations, de plus en plus d’organismes souhaitent mesurer la diversité au sein de leurs effectifs : pour ce faire, ils ont recours à des dispositifs qui impliquent la collecte de nombreuses données personnelles, dont des données sensibles.	差別対策への意識が高まる中、従業員の多様性を測定したいと考える組織が増えている。そのために、多くの個人データ、特に機密性の高いデータを収集する仕組みを利用している。
La mesure de la diversité est un exercice en lui-même délicat de par son degré d’intrusion dans la vie privée des salariés/agents. Il implique que les employeurs respecte strictement la décision du Conseil constitutionnel du 15 novembre 2007 régulièrement interprétée, à tort, comme une interdiction absolue des statistiques liées aux origines.	多様性の測定は、従業員や職員のプライバシーに深く関わるため、それ自体がデリケートな作業だ。雇用主は、2007年11月15日の憲法裁判所の判決を厳格に遵守する必要がある。この判決は、誤って、出身に関する統計の絶対的な禁止と解釈されることが多い。
Dans le prolongement du guide méthodologique corédigé avec le Défenseur des Droits (DDD) Mesurer pour progresser vers l’égalité des chances, la CNIL publie une recommandation pour aider les organismes à mettre en œuvre des enquêtes de mesure de la diversité en conformité avec la règlementation en vigueur, tout particulièrement le RGPD.	人権擁護官（DDD）と共同で作成した方法論ガイド「測定を通じて機会均等への進展を図る」の延長として、CNILは、組織が現行の規制、特にGDPRに準拠した多様性測定調査を実施するための推奨事項を発表した。
Pour mieux répondre aux besoins des professionnels, cette recommandation a été soumise à une consultation publique du 9 juillet au 13 septembre 2024. Elle a recueilli les contributions de 44 participants, issus d’organismes publics et privés, dont les services du Défenseur des droits.	専門家のニーズにより的確に対応するため、この推奨は2024年7月9日から9月13日まで公開協議にかけられた。その結果、人権擁護官事務所を含む公的機関および民間団体から44件の意見が寄せられた。
Quel est le périmètre de la recommandation ?	この推奨の対象範囲は？
Ce document porte uniquement sur les dispositifs d’enquêtes autoadministrées mis en œuvre par les employeurs en milieu professionnel, c’est-à-dire des questionnaires remplis directement par la personne et sans intervention d'un tiers. Certaines des recommandations formulées peuvent toutefois s’appliquer à d’autres dispositifs, sous réserve d’une analyse au cas par cas.	この文書は、職場において雇用主が実施する自己評価調査、すなわち、第三者の介入なしに本人によって直接記入されるアンケートのみを対象としている。ただし、一部の推奨事項は、ケースバイケースで検討した上で、他の制度にも適用できる場合がある。
La recommandation n'a pas de portée normative et vise uniquement à favoriser la conformité à la règlementation applicable en matière de protection des données personnelles. Elle n’a pas pour objet de proposer une méthodologie pour conduire les politiques sociales des entreprises, poser les questions les plus adaptées ou assurer la qualité des réponses.	この推奨は、規範的な効力はなく、個人データ保護に関する適用法令の遵守を促進することを唯一の目的としている。企業の社会政策の実施方法、最も適切な質問の策定、回答の品質確保に関する方法論を提案するものではない。
À qui s’adresse cette recommandation ?	この推奨の対象者は誰ですか？
Elle s’adresse à tous les professionnels (employeurs, prestataires agissant en qualité de tiers de confiance, etc.) participant à la mise en œuvre d’enquêtes de mesure de la diversité dans un organisme, qu’ils soient publics ou privés. Elle informe aussi les salariés et agents concernés sur leurs droits et les obligations des employeurs.	この推奨は、公的機関または民間機関において、多様性測定調査の実施に関与するすべての専門家（雇用者、第三者機関としてのサービス提供者など）を対象としている。また、対象となる従業員および職員に対して、彼らの権利および雇用者の義務について情報を提供する。
Que prévoit la recommandation ?	この推奨にはどのような内容が盛り込まれているか？
La CNIL rappelle que la mise en place d’enquêtes de mesure de la diversité doit s’accompagner de garanties visant à protéger la vie privée des participants, conformément au RGPD.	CNIL は、多様性測定調査の実施には、GDPR に準拠して参加者のプライバシーを保護するための保証を伴う必要があることを改めて指摘している。
En particulier, ces enquêtes doivent rester facultatives et les salariés ou agents doivent être correctement informés et leurs droits respectés. La CNIL recommande également de privilégier les enquêtes anonymes et de limiter les données collectées avec des questions fermées.	特に、これらの調査は任意であり、従業員や職員は適切な情報を提供され、その権利が尊重されなければならない。CNIL はまた、匿名調査を優先し、収集するデータをクローズド質問に限定することを推奨している。
Dans sa recommandation, la CNIL donne des exemples de questions permettant de respecter la décision du Conseil constitutionnel de 2007 et rappelle que seul le consentement libre et éclairé des répondants permet de collecter leurs données sensibles.	CNIL は、その推奨において、2007 年の憲法裁判所の決定を遵守するための質問例を示し、回答者の自由かつ情報に基づく同意がある場合にのみ、その機密データを収集することができることを改めて指摘している。
Compte tenu de la relation de subordination entre l’employeur et ses salariés ou agents pouvant rendre difficile la participation à l’enquête, la CNIL considère que recourir à un tiers de confiance peut constituer une garantie valable, en assurant que l’employeur n’a pas accès aux données collectées.	雇用主とその従業員または職員との従属関係により調査への参加が困難になる可能性があることを考慮し、CNIL は、雇用主が収集されたデータにアクセスできないことを保証する、信頼できる第三者機関の利用が有効な保証となる可能性があると考えている。
La recommandation	推奨
Recommandation relative au traitement des données à caractère personnel dans le cadre d’enquêtes de mesure de la diversité au travail	職場における多様性測定調査における個人データの処理に関する推奨
Texte de référence	参考文書
Conseil constitutionnel, décision n° 2007-557, DC 15 novembre 2007	憲法裁判所、決定第2007-557号、DC 2007年11月15日
Pour approfondir	詳細
Guide méthodologique corédigé avec le DDD Mesurer pour progresser vers l’égalité des chances (PDF)	DDDと共同作成した方法論ガイド「機会均等の実現に向けた測定」（PDF）

・[PDF]

・[DOCX][PDF] 仮訳

デジタル庁 デジタル社会の実現に向けた重点計画 (2025.06.13)

こんにちは、丸山満彦です。

2025.06.13の持ち回り閣議では、基本方針、グランドデザイン、基本構想、実施構想、重点計画といった、今後の方向性を示すもの、決められた目標を実現するための計画が6つも決定していますね...

 ● 官邸 - 閣議

・2025.06.13 持ち回り閣議

内閣官房・内閣府本府	経済財政運営と改革の基本方針2025
内閣官房	新しい資本主義のグランドデザイン及び実行計画2025年改訂版
内閣官房	地方創生2.0基本構想
内閣府本府	規制改革実施計画
デジタル庁	公的基礎情報データベース整備改善計画
デジタル庁	デジタル社会の形成に関する重点計画・情報システム整備計画・官民データ活用推進基本計画の変更

ここでは、デジタル社会の実現に向けた重点計画

「目指す社会の姿」というのが、国民の期待にあっているということが重要なのでしょうね...

---

３．目指す社会の姿

「デジタル社会の実現に向けた改革の基本方針」（2020 年 12 月 25 日閣議決定）では、デジタル社会の目指すビジョンとして「デジタルの活用により、一人ひとりのニーズに合ったサービスを選ぶことができ、多様な幸せが実現できる社会」、具体的には、場所や時間を問わず、国民一人ひとりのニーズやライフスタイルにあったサービスが受けられ、働き方ができ、また、自然災害や感染症等の事態に対して強靱な社会を掲げており、このような社会を目指すことは、「誰一人取り残さない、人に優しいデジタル化」を進めることにつながるとしている。
デジタル社会形成基本法15の施行後、最初に策定した「デジタル社会の実現に向けた重点計画」（2021年 12 月 24 日閣議決定）において、ビジョンを実現するために、①デジタル化による成長戦略、②医療・教育・防災・こども等の準公共分野のデジタル化、③デジタル化による地域の活性化、④誰一人取り残されないデジタル社会、⑤デジタル人材の育成・確保、⑥DFFT の推進を始めとする国際戦略の推進を定めている。この６つの目指す社会は、２．で示した直面する課題と情勢変化を踏まえつつ、現在においても、引き続き、政府として追求していくべきものである。

---

参考

・2020.12.25 [PDF]【閣議決定】デジタル社会の実現に向けた改革の基本方針（概要）

・2021.12.24 [PDF]【閣議決定】デジタル社会の実現に向けた重点計画

なんというか、ストーリー的ではなく、寄せ集め的な感じがしますよね。。。横同士の関係が見えにくいからですかね...

● デジタル庁

・2025.06.13 デジタル社会の実現に向けた重点計画

第1 目指す社会の姿、取組の方向性と重点的な取組
1. 重点計画に基づいた我が国のデジタル化の取組
（1）我が国の強み
① デジタルインフラの整備
② アナログ規制の見直し
③ 信頼性のある自由なデータ流通（DFFT）の推進
（2）利用者視点の取組
① マイナンバーカードの普及・利活用とマイナポータルの利便性向上
② 事業者向け行政サービスの利用者体験向上に向けた環境整備
③ 準公共分野におけるデジタル化の推進
（3）中長期的な政府機能の強化
① 地方公共団体情報システムの統一・標準化
② 国・地方公共団体等の情報システムのガバメントクラウドへの移行
③ ガバメントソリューションサービス（GSS）への移行

2. 直面する課題と情勢変化
（1）直面する課題
① 人口減少及び労働力不足（リソースの逼迫）
② デジタル競争力向上の必要性
③ 自然災害や公共インフラ等の持続可能性への脅威への対応
④ サイバー空間における質・量両面での脅威の増大
⑤ デジタル人材の不足
⑥ 「デジタル化」に対する不安やためらい
（2）情勢変化
① 生成AIをはじめとするAIの社会実装の進展
② デジタルを巡る国際情勢の変化

3. 目指す社会の姿

4. 取組の方向性と重点的な取組
（1）AI・デジタル技術等のテクノロジーの徹底活用による社会全体のデジタル化の推進
① AIの活用環境の整備と利活用の促進
② 地方創生2.0（地域におけるデジタル・新技術の徹底活用）
③ AI・デジタル技術等のテクノロジーの活用による行政手続のデジタル完結の推進
（2）AI-フレンドリーな環境の整備（制度、データ、インフラ）
① デジタル行財政改革の推進
② AI・デジタル等テクノロジーの徹底活用を阻む制度の見直し
③ ベース・レジストリ（公的基礎情報データベース）の整備・運用
④ オープンデータの推進
⑤ 政府・地方公共団体のシステムにおけるデータの相互運用性の確保
⑥ デジタルの利用環境・インフラ整備
⑦ AI向け計算資源・データセンターの整備の加速
（3）競争・成長のための協調
① データ連携・利活用推進
② 防災・医療・こども・教育等の準公共分野におけるデジタル化
③ 国の情報システムの最適化
④ 地方公共団体情報システムの統一・標準化
⑤ 「国・地方デジタル共通基盤の整備・運用に関する基本方針」に基づく共通化の推進
⑥ これからの行政サービスを支えるネットワークや柔軟な情報連携等の実現
⑦ 産業全体のモダン化
（4）安全・安心なデジタル社会の形成に向けた取組
① デジタルリテラシー（デジタルを正しく理解し活用する力）の向上
② アクセシビリティ（誰でもデジタルに関する製品やサービスを利用できる環境）の確保
③ 偽・誤情報等対策
④ サイバー犯罪対策
⑤ サイバーセキュリティの確保
（5）我が国のDX推進力の強化（デジタル人材の確保・育成と体制整備）
① 社会におけるデジタル人材の確保・育成
② 政府におけるDX推進体制の強化
③ 社会全体のデジタル化の司令塔機能の強化（デジタル庁の体制強化）

5. デジタル社会の実現に向けての理念・原則
（1）デジタル社会形成のための基本原則
（2）業務改革（BPR53）の必要性
（3）構造改革のためのデジタル原則
（4）クラウド第一原則（クラウド・バイ・デフォルト原則）
（5）個人情報等の適正な取扱いの確保及び効果的な活用の促進

第2 重点政策一覧
1. AI・デジタル技術等のテクノロジーの徹底活用による社会全体のデジタル化の推進
2. AI-フレンドリーな環境の整備（制度、データ、インフラ）
3. 競争・成長のための協調
4. 安全・安心なデジタル社会の形成に向けた取組
5. 我が国のDX推進力の強化（デジタル人材の確保・育成と体制整備）

第3 工程表

第4 オンライン化を実施する行政手続の一覧等

第5 データ利活用制度の在り方に関する基本方針

---

・[PDF] 統合版（令和7年6月13日閣議決定）

・[PDF] 概要 

・[PDF] 本文

・[PDF] 重点政策一覧

・[PDF] 工程表

・[PDF] オンライン化を実施する行政手続の一覧等

・[PDF] データ利活用制度の在り方に関する基本方針

saki

参考資料

・[PDF] 国民の体験向上に向けた行政サービスの導入計画

過去資料...

・デジタル社会の実現に向けた重点計画の過去資料

---

崎村さんが、すぐにNotebookLMでまとめをつくっていましたね...

●@_Nat Zone Identity, Privacy, and Music

・2025.06.14「デジタル社会の実現に向けた重点計画」が閣議決定されました〜アイデンティティ管理に関する言及も多数

欧州 EDPB GDPR第48条（EU法によって認められない移転又は開示）についてのガイドライン バージョン2.0 (2025.06.04)

こんにちは、丸山満彦です。

GDPR第48条（EU 法によって認められない移転又は開示）についてのガイドラインが採択されましたね...

AI とデータ保護に関する 専門家支援プール（SPE）研修資料も公開されているようです...

また、GDPR に基づく記録保持義務の簡素化に関する提案草案について、欧州委員会が EDPB と EDPS に共同意見の提出を要請したことについて議論したようですね...

● EDPB

・2025.06.05 EDPB、第三国当局へのデータ転送に関するガイドラインの最終版、および AI とデータ保護に関する SPE 研修資料を公開

EDPB publishes final version of guidelines on data transfers to third country authorities and SPE training material on AI and data protection	EDPB、第三国当局へのデータ転送に関するガイドラインの最終版、および AI とデータ保護に関する SPE 研修資料を公開
Brussels, 05 June - During its latest plenary, the European Data Protection Board (EDPB) adopted the final version of its guidelines on Art.48 GDPR about data transfers to third country authorities, after public consultation. In addition, the Board presented two new Support Pool of Experts (SPE) projects providing training material on artificial intelligence and data protection. Finally, the Board discussed the European Commission’s request for a joint EDPB-EDPS opinion on the draft proposal on the simplification of record-keeping obligation under the GDPR.	6 月 5 日、ブリュッセル - 欧州データ保護会議 (EDPB) は、最新の総会において、公開協議を経て、第三国当局へのデータ転送に関する GDPR 第 48 条に関するガイドラインの最終版を採択した。さらに、人工知能とデータ保護に関する研修資料を提供する 2 つの新しい専門家支援プール（SPE）プロジェクトも発表した。最後に、EDPB は、GDPR に基づく記録保持義務の簡素化に関する提案草案について、欧州委員会が EDPB と EDPS に共同意見の提出を要請したことについて議論した。
Data transfers to third country authorities	第三国当局へのデータ転送
Following public consultation, the EDPB has adopted the final version of the guidelines on data transfers to third country authorities. In its guidelines, the EDPB zooms in on Art. 48 GDPR and clarifies how organisations can best assess under which conditions they can lawfully respond to requests for a transfer of personal data from third country authorities (i.e. authorities from non-European countries).	公開協議を経て、EDPB は、第三国当局へのデータ転送に関するガイドラインの最終版を採択した。このガイドラインでは、GDPR 第 48 条に焦点を当て、組織が、第三国当局（すなわち、欧州以外の国の当局）からの個人データの転送要求に合法的に対応できる条件をどのように評価するのが最善かを明確にしている。
The EDPB explains that judgements or decisions from third country authorities cannot automatically be recognised or enforced in Europe. As a general rule, an international agreement may provide for both a legal basis and a ground for transfer. In case there is no international agreement, or if the agreement does not provide for an appropriate legal basis or safeguards, other legal bases or other grounds for transfer could be considered, in exceptional circumstances and on a case by case basis.	EDPB は、第三国の当局による判断や決定は、欧州では自動的に承認または執行されるものではないと説明している。原則として、国際協定は、転送の法的根拠と理由の両方を規定することができる。国際協定がない場合、または協定が適切な法的根拠や保護措置を規定していない場合、例外的な状況において、ケースバイケースで、他の法的根拠または転送の理由を検討することができる。
The modifications introduced in the updated guidelines do not change their orientation, but they aim to provide further clarifications on different aspects that were brought up in the consultation. For example, the updated guidelines address the situation where the recipient of a request is a processor. In addition, they provide additional details regarding the situation where a mother company in a third country receives a request from that third country authority and then requests the personal data from its subsidiary in Europe.	更新されたガイドラインで導入された変更は、その方向性を変更するものではありませんが、協議で指摘されたさまざまな側面について、さらに明確化を図ることを目的としています。例えば、更新されたガイドラインでは、要求の取得者が処理者である場合について取り上げています。さらに、第三国の親会社が、その第三国の当局から要求を受け、欧州の子会社に個人データの提供を要求する場合について、詳細を追加しています。
Upskilling and reskilling on AI and data protection	AI およびデータ保護に関するスキルアップと再教育
During its June’s plenary, the EDPB also presented two new Support Pool of Experts (SPE) projects*: Law & Compliance in AI Security and Data Protection and Fundamentals of Secure AI Systems with Personal Data. The two projects, which have been launched at the request of the Hellenic Data Protection Authority (HDPA), provide training material on AI and data protection.	6 月の総会で、EDPB は 2 つの新しい専門家サポートプール (SPE) プロジェクト*、すなわち「AI セキュリティおよびデータ保護に関する法律とコンプライアンス」と「個人データを含むセキュアな AI システムの基礎」も発表した。ギリシャデータ保護機関 (HDPA) の要請を受けて開始されたこの 2 つのプロジェクトは、AI およびデータ保護に関する研修資料を提供する。
The report “Law & Compliance in AI Security & Data Protection” is addressed to professionals with a legal focus like data protection officers (DPO) or privacy professionals.	報告書「AI セキュリティとデータ保護における法律とコンプライアンス」は、データ保護責任者（DPO）やプライバシーの専門家など、法律に重点を置く専門家を対象としている。
The second report, “Fundamentals of Secure AI Systems with Personal Data”, is oriented toward professionals with a technical focus like cybersecurity professionals, developers or deployers of high-risk AI systems.	2 つ目の報告書「個人データを含むセキュアな AI システムの基礎」は、サイバーセキュリティの専門家、開発者、高リスク AI システムの展開者など、技術に重点を置く専門家を対象としている。
The main aim of these projects is to address the critical shortage of skills on AI and data protection, which is seen as a key obstacle to the use of privacy-friendly AI. The training material will help equip professionals with essential competences in AI and data protection to create a more favourable environment for the enforcement of data protection legislation.	これらのプロジェクトの主な目的は、プライバシーに配慮した AI の利用の重大な障害となっている AI およびデータ保護に関するスキルの深刻な不足に対処することだ。この研修資料は、専門家が AI およびデータ保護に関する基本的な能力を身につけ、データ保護法の施行のためのより好ましい環境を構築するのに役立つ。
The Board decided to publish both documents as PDF files. Taking into account the very fast evolution of AI, the EDPB also decided to launch a new innovative initiative as a one-year pilot project consisting of a modifiable community version of the reports. The EDPB will start working with the authors of both reports to import them in its Git repository** to allow, in a near future, any external contributor, with an account on this platform and under the condition of the Creative Commons Attribution-ShareAlike license, to propose changes or add comments to the documents.	委員会は、両文書をPDFファイルとして公開することを決定した。AIの急速な進化を踏まえ、EDPBは、報告書の変更可能なコミュニティ版を含む1年間のパイロットプロジェクトとして、新たな革新的なイニシアチブを立ち上げることも決定した。EDPB は、両報告書の作成者と協力し、これらの報告書を Git リポジトリ** に導入する作業を開始する。これにより、近い将来、このプラットフォームにアカウントを持ち、クリエイティブ・コモンズ・アトリビューション・シェアアライク・ライセンスに同意した外部貢献者は、文書に変更を提案したり、コメントを追加したりすることができるようになる。
Simplification of record-keeping obligation under the GDPR ***	GDPR に基づく記録保持義務の簡素化 ***
Finally, the Board discussed the European Commission's request for a joint opinion by the EDPB and the European Data Protection Supervisor (EDPS) on its proposal to simplify the record-keeping obligations of small and medium-sized enterprises (SMEs), small mid-caps (SMCs) and organisations with fewer than 750 employees, amounting to a targeted amendment of Art. 30(5) GDPR. The EDPB and EDPS will issue their joint opinion on this matter within eight weeks.	最後に、委員会は、中小企業（SME）、小規模中堅企業（SMC）、および従業員 750 人未満の組織に対する記録保持義務を簡素化するための欧州委員会による提案について、EDPB および欧州データ保護監察機関（EDPS）による共同意見の提出を求める欧州委員会の要請について議論した。この提案は、GDPR 第 30 条（5）の改正を目的としたものである。EDPB および EDPS は、この件に関する共同意見書を 8 週間以内に発表する予定だ。
Note to editors:	編集後記
* The Support Pool of Experts (SPE) is an initiative included in the EDPB strategy 2024-2027 to help Data Protection Authorities (DPAs) increase their capacity to enforce by developing common tools and giving them access to a wide pool of experts.	* 専門家支援プール（SPE）は、データ保護機関（DPA）が共通ツールを開発し、幅広い専門家プールへのアクセスを提供することで、執行能力の強化を支援するための EDPB 戦略 2024-2027 に含まれる取り組みだ。
As part of the SPE programme, the EDPB may commission experts to provide reports and tools on specific topics. The views expressed in the deliverables are those of their authors and they do not necessarily reflect the official position of the EDPB.	SPE プログラムの一環として、EDPB は、特定のトピックに関する報告書やツールの提供を専門家に委託することができる。成果物に記載された見解は、その著者の見解であり、EDPB の公式見解を必ずしも反映するものではない。
** The reports will be available in the following months on the repository page.	** 報告書は、今後数ヶ月以内にリポジトリページで公開される予定だ。
****On 8 May 2025, the EDPB and the EDPS adopted a letter, addressed to the European Commission, to share preliminary views on the Commission’s proposal on the simplification of record-keeping obligation under the GDPR.	***2025年5月8日、EDPBとEDPSは、欧州委員会宛ての書簡を採択し、GDPRに基づく記録保持義務の簡素化に関する欧州委員会の提案に関する予備的な見解を共有した。

・[PDF] 

・[DOCX][PDF] 仮訳

エグゼクティブサマリー...

EXECUTIVE SUMMARY	エグゼクティブサマリー
Article 48 GDPR provides that: “Any judgment of a court or tribunal and any decision of an administrative authority of a third country requiring a controller or processor to transfer or disclose personal data may only be recognised or enforceable in any manner if based on an international agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union or a Member State, without prejudice to other grounds for transfer pursuant to this Chapter”.	GDPR第48条は次のように規定している：「個人データの移転または開示を管理者または処理者に要求する裁判所または法廷の判決および第三国の行政当局の決定は、本章に基づくその他の移転理由を害することなく、要求元の第三国とEUまたは加盟国との間で有効な相互法的支援条約などの国際協定に基づく場合にのみ、いかなる方法においても承認または執行可能である。
The purpose of these guidelines is to clarify the rationale and objective of this article, including its interaction with the other provisions of Chapter V of the GDPR, and to provide practical recommendations for controllers and processors in the EU that may receive requests from third country authorities to disclose or transfer personal data.	本ガイドラインの目的は、GDPR第5章の他の規定との相互関係を含め、本条項の根拠と目的を明確にし、第三国当局から個人データの開示または移転の要請を受ける可能性のあるEU内の管理者および処理者に対し、実践的な勧告を提供することである。
The main objective of the provision is to clarify that judgments or decisions from third country authorities cannot automatically and directly be recognised or enforced in an EU Member State, thus underlining the legal sovereignty vis-a-vis third country law. As a general rule, recognition and enforceability of foreign judgements and decisions is ensured by applicable international agreements.	この規定の主な目的は、第三国当局の判決や決定がEU加盟国において自動的かつ直接的に承認または執行されることはないことを明確にすることであり、これにより第三国法に対する法的主権が強調される。原則として、外国の判決や決定の承認と執行可能性は、適用される国際協定によって確保される。
Regardless of whether an applicable international agreement exists, if a controller or processor in the EU receives and answers a request from a third country authority for personal data, such data flow is a transfer under the GDPR and must comply with Article 6 and the provisions of Chapter V.	適用される国際協定が存在するか否かにかかわらず、EU内の管理者または処理者が第三国の当局から個人データの要請を受け、それに回答する場合、そのようなデータの流れはGDPRに基づく移転であり、第6条および第5章の規定を遵守しなければならない。
An international agreement may provide for both a legal basis (under Article 6(1)(c) or 6(1)(e)) and a ground for transfer (under Article 46(2)(a)).	国際協定は、法的根拠（第6条1項(c)又は第6条1項(e)に基づく）と移転の根拠（第46条2項(a)に基づく）の両方を規定することができる。
In the absence of an international agreement, or if the agreement does not provide for a legal basis under Article 6(1)(c) or 6(1)(e), other legal bases could be considered. Similarly, if there is no international agreement or the agreement does not provide for appropriate safeguards under Article 46(2)(a), other grounds for transfer could apply, including the derogations in Article 49.	国際協定がない場合、又は協定が第6条(1)(c)若しくは第6条(1)(e)に基づく法的根拠を規定していない場合には、他の法的根拠を検討することができる。同様に、国際協定がない場合、または協定が第46条(2)(a)に基づく適切なセーフガードを規定していない場合、第49条の適用除外を含め、他の移転理由が適用される可能性がある。

目次...

1. INTRODUCTION	1. はじめに
2. WHAT IS THE SCOPE OF THESE GUIDELINES?	2. このガイドラインの適用範囲はどこまでか？
3. WHAT IS THE OBJECTIVE OF ARTICLE 48?	3. 第48条の目的は何か？
4. IN WHICH SITUATIONS IS ARTICLE 48 APPLICABLE?	4. 第48条はどのような場合に適用されるのか？
5. UNDER WHICH CONDITIONS CAN CONTROLLERS AND PROCESSORS RESPOND TO REQUESTS FROM THIRD COUNTRY AUTHORITIES?	5. 管理者と処理者は、どのような条件下で第三国当局からの要請に応じることができるのか？
5.1. Compliance with Article 6 GDPR	5.1. GDPR第6条への対応
5.2. Compliance with Chapter V GDPR	5.2. GDPR第5章への対応
Annex – Practical steps	附属書 - 実践的なステップ

---

● 個人情報保護委員会

・[PDF] 一般データ保護規則（GDPR）の条文

移転の一般原則...第44条

Article 44 General principle for transfers

第44 条 移転に関する一般原則

Any transfer of personal data which are undergoing processing or are intended for processing after transfer to a third country or to an international organisation shall take place only if, subject to the other provisions of this Regulation, the conditions laid down in this Chapter are complied with by the controller and processor, including for onward transfers of personal data from the third country or an international organisation to another third country or to another international organisation. All provisions in this Chapter shall be applied in order to ensure that the level of protection of natural persons guaranteed by this Regulation is not undermined.

現に取扱われている又は第三国又は国際機関への移転の後に取扱いを意図した個人データ移転は、その第三国又は国際機関か別の第三国又は国際機関への個人データの転送に関するものを含め、本規則の他の条項に従い、本章に定める要件が管理者及び処理者によって遵守される場合においてのみ、行われる。本章の全ての条項は、本規則によって保証される自然人保護のレベルが低下しないことを確保するために適用される。

第48条

Article 48 Transfers or disclosures not authorised by Union law

第48 条 EU 法によって認められない移転又は開示

Any judgment of a court or tribunal and any decision of an administrative authority of a third country requiring a controller or processor to transfer or disclose personal data may only be recognised or enforceable in any manner if based on an international agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union or a Member State, without prejudice to other grounds for transfer pursuant to this Chapter.

管理者又は処理者に対して個人データの移転又は開示を命ずる第三国の裁判所若しくは法廷の判決及び公的機関の決定は、本章による移転のための別の法的根拠を妨げることなく、いかなる態様によるにせよ、司法共助条約のような要請元である第三国と EU 又は加盟国との間で有効な国際合意に基づく場合においてのみ、認められるか又は執行力を有することができる。

ちなみに、日欧間、日英間については、同等性の認定をうけていますので、日欧の間のデータ移転については、EU国内での移転と同様におこなえることになっていますよね...

・日EU間・日英間のデータ越境移転について

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.12.07 欧州 EDPB 第三国当局へのデータ移転に関するGDPR第48条に関するガイドラインを発表し、新しい欧州データ保護シールを承認

インターポール 20,000以上のIPとドメインの削除、41のサーバーと100GB以上のデータの押収、違法なサイバー活動に関連する32人の容疑者の逮捕 (2025.06.11)

こんにちは、丸山満彦です。

Interpolが、20,000以上のIPとドメインを削除し、41のサーバーと100GB以上のデータの押収し、違法なサイバー活動に関連する32人の容疑者を逮捕したと発表していますね...

これに合わせて警察庁も、「国際刑事警察機構主導の情報窃取型マルウェアのテイクダウンについて」報道発表をしていますね...

経済的な犯罪者に対しては、イデオロギーに関わらず協力できるところは協力して、犯罪を減少することに協力できるよいですね...

今回の特徴的なポイントは、

・アジア・南太平洋合同対サイバー犯罪作戦（ASPJOC）プロジェクトの下で組織された地域的イニシアティブである「オペレーション・セキュア」による活動である。

・ということもあって？参加国は中国、インド、韓国、シンガポール、日本を含むアジア、太平洋諸国であるが、オーストラリア、ニュージーランドは含まない

・民間パートナーは、日本のトレンドマイクロの他、今はシンガポールの企業となったGroup-IB[wikipedia]、ロシアのセキュリティ企業の老舗であるカスペルスキー[wikipedia]である

まずは、Intepolの発表から

● Interpol

・2025.06.11 20,000 malicious IPs and domains taken down in INTERPOL infostealer crackdown

20,000 malicious IPs and domains taken down in INTERPOL infostealer crackdown	インターポールの情報窃盗団取り締まりで20,000の悪質なIPとドメインが削除される
41 servers seized and 32 suspects arrested during Operation Secure	41台のサーバーを押収し、32人の容疑者を逮捕した。
SINGAPORE – More than 20,000 malicious IP addresses or domains linked to information stealers have been taken down in an INTERPOL-coordinated operation against cybercriminal infrastructure.	シンガポール発-サイバー犯罪インフラに対する国際刑事警察機構（INTERPOL）の連携作戦で、情報窃盗犯に関連する2万以上の悪質なIPアドレスをドメインが取り締まった。
During Operation Secure (January – April 2025) law enforcement agencies from 26 countries worked to locate servers, map physical networks and execute targeted takedowns.	「オペレーション・セキュア」（2025年1月～4月）の期間中、26カ国の法執行機関がサーバーの位置を特定し、物理的なネットワークをマッピングし、標的を絞ったテイクダウンを実行した。
Ahead of the operation, INTERPOL cooperated with private-sector partners Group-IB, Kaspersky and Trend Micro to produce Cyber Activity Reports, sharing critical intelligence with cyber teams across Asia. These coordinated efforts resulted in the takedown of 79 per cent of identified suspicious IP addresses.	作戦に先立ち、インターポールは民間セクターのパートナーであるGroup-IB、カスペルスキー、トレンドマイクロと協力してサイバー活動レポートを作成し、アジア全域のサイバーチームと重要な情報活動を共有した。このような協調的な努力の結果、特定された疑わしいIPアドレスの79％が摘発された。
Participating countries reported the seizure of 41 servers and over 100 GB of data, as well as the arrest of 32 suspects linked to illegal cyber activities.	参加国は、41のサーバーと100GB以上のデータの押収、および違法なサイバー活動に関連する32人の容疑者の逮捕を報告した。
What are infostealers?	インフォステーラーとは何か？
Infostealer malware is a primary tool for gaining unauthorized access to organizational networks. This type of malicious software extracts sensitive data from infected devices, often referred to as bots. The stolen information typically includes browser credentials, passwords, cookies, credit card details and cryptocurrency wallet data.	インフォステーラー・マルウェアは、組織のネットワークに不正アクセスするための主要なツールである。この種の悪意のあるソフトウェアは、感染したデバイス（しばしばボットと呼ばれる）から機密データを抽出する。盗まれる情報には通常、ブラウザの認証情報、パスワード、クッキー、クレジットカード情報、暗号通貨ウォレットのデータなどが含まれる。
Additionally, logs harvested by infostealers are increasingly traded on the cybercriminal underground and are frequently used as a gateway for further attacks. These logs often enable initial access for ransomware deployments, data breaches, and cyber-enabled fraud schemes such as Business Email Compromise (BEC).	さらに、情報窃取者によって取得されたログは、サイバー犯罪のアンダーグラウンドでますます取引されるようになり、さらなる攻撃のゲートウェイとして頻繁に使用されている。これらのログは、ランサムウェアの展開、データ侵害、ビジネスメール詐欺（BEC）のようなサイバー詐欺のスキームへの最初のアクセスを可能にすることが多い。
Following the operation, authorities notified over 216,000 victims and potential victims so they could take immediate action - such as changing passwords, freezing accounts, or removing unauthorized access.	この作戦の後、認定機関は216,000人以上の被害者と潜在的な被害者に通知し、被害者はパスワードの変更、アカウントの凍結、不正アクセスの削除など、直ちに行動を起こせるようにした。
Operational highlights	作戦のハイライト
Vietnamese police arrested 18 suspects, seizing devices from their homes and workplaces. The group's leader was found with over VND 300 million (USD 11,500) in cash, SIM cards and business registration documents, pointing to a scheme to open and sell corporate accounts.	ベトナム警察は18人の容疑者を逮捕し、自宅や職場から機器を押収した。グループのリーダーは、現金、SIMカード、企業登録書類から3億ドン（1万1,500米ドル）以上を発見され、企業口座の開設・販売スキームを指摘された。
As part of their respective enforcement efforts under Operation Secure, house raids were carried out by authorities in Sri Lanka and Nauru. These actions led to the arrest of 14 individuals - 12 in Sri Lanka and two in Nauru - as well as the identification of 40 victims.	「セキュア・オペレーション」に基づくそれぞれの取締りの一環として、スリランカとナウルの当局が家宅捜索を実施した。これらの行動により、スリランカで12人、ナウルで2人の計14人が逮捕され、40人の被害者が確認された。
The Hong Kong Police analysed over 1,700 pieces of intelligence provided by INTERPOL and identified 117 command-and-control servers hosted across 89 internet service providers. These servers were used by cybercriminals as central hubs to launch and manage malicious campaigns, including phishing, online fraud and social media scams.	香港警察は、INTERPOLから提供された1,700以上の情報を分析し、89のインターネット・サービス・プロバイダにホスティングされた117のコマンド・アンド・コントロール・サーバーを特定した。これらのサーバーは、サイバー犯罪者がフィッシング、オンライン詐欺、ソーシャルメディア詐欺などの悪質なキャンペーンを立ち上げ、管理する中心的なハブとして使用されていた。
Neal Jetton, INTERPOL’s Director of Cybercrime, said:	INTERPOLのサイバー犯罪担当ディレクター、ニール・ジェットン氏は次のように述べた：
“INTERPOL continues to support practical, collaborative action against global cyber threats. Operation Secure has once again shown the power of intelligence sharing in disrupting malicious infrastructure and preventing large-scale harm to both individuals and businesses.”	「INTERPOLは、世界的なサイバー脅威に対する実践的で協力的な行動を支援し続けている。セキュア作戦は、悪意のあるインフラを破壊し、個人と企業の両方に対する大規模な被害を防ぐ上で、情報共有の力を改めて示した。
Notes to editors	編集後記
Operation Secure is a regional initiative organized under the Asia and South Pacific Joint Operations Against Cybercrime (ASPJOC) Project.	「オペレーション・セキュア」は、アジア・南太平洋合同対サイバー犯罪作戦（ASPJOC）プロジェクトの下で組織された地域的イニシアティブである。
Participating countries: Brunei, Cambodia, Fiji, Hong Kong (China), India, Indonesia, Japan, Kazakhstan, Kiribati, Korea (Rep of), Laos, Macau (China), Malaysia, Maldives, Nauru, Nepal, Papua New Guinea, Philippines, Samoa, Singapore, Solomon Islands, Sri Lanka, Thailand, Timor-Leste, Tonga, Vanuatu, Vietnam.	参加国 ブルネイ、カンボジア、フィジー、香港（中国）、インド、インドネシア、日本、カザフスタン、キリバス、韓国、ラオス、マカオ（中国）、マレーシア、モルディブ、ナウル、ネパール、パプアニューギニア、フィリピン、サモア、シンガポール、ソロモン諸島、スリランカ、タイ、東ティモール、トンガ、バヌアツ、ベトナム。

---

警察庁の発表

● 警察庁

・2025.06.12 国際刑事警察機構主導の情報窃取型マルウェアのテイクダウンに係るプレスリリースについて

---

報道発表資料の概要

　国際刑事警察機構は、アジア・南太平洋地域における情報窃取型マルウェアの対策を行うため、民間事業者とも連携しながら、世界各国が協力して捜査を行い、関係サーバーのテイクダウン等を行うことで犯行抑止、被害防止を実施した旨をプレスリリースしました。
   同プレスリリースにおいては、今回のテイクダウンに向けた取組に関して、日本警察の協力についても言及されています。

   警察庁は、国際刑事警察機構から日本国内で被害をもたらしているおそれのある情報窃取型マルウェア（インフォスティーラー）に関するサーバ情報（ＩＰアドレス等）を受け、サイバー特別捜査部及び18都府県警察が連携し、これを管理する事業者に順次働きかけを行っており、既に一部については、当該事業者によってテイクダウンの措置が講じられております。

---

・[PDF] 

---

広 報 資 料
令 和 ７ 年 ６ 月
警 察 庁

国際刑事警察機構主導の情報窃取型マルウェアのテイクダウンに係るプレスリリースについて

１ プレスリリースの概要

国際刑事警察機構は、アジア・南太平洋地域における情報窃取型マルウェアの対策を行うため、民間事業者とも連携しながら世界各国が協力して捜査を行い、関係サーバーのテイクダウン等を行うことで犯行抑止、被害防止を実施した旨をプレスリリースした。
同プレスリリースにおいては、今回のテイクダウンに向けた取組に関し、日本警察の協力についても言及されている。

２ 日本警察及び関係事業者の協力

警察庁は国際刑事警察機構から日本国内で被害をもたらしているおそれのある情報窃取型マルウェア（インフォスティーラー）に関するサーバ情報（ＩＰアドレス等）を受け、サイバー特別捜査部及び18都府県警察が連携してこれを管理する事業者に順次働きかけを行っており、既に一部については、当該事業者によってテイクダウンの措置が講じられている。
引き続き、サイバー空間における一層の安全・安心の確保を図るため、サイバー事案の厳正な取締りや実態解明、国内外の関係機関との連携を推進する。

---

米国 大統領令14306 国家のサイバーセキュリティを強化するための厳選された取り組みを維持し、大統領令13694と大統領令14144を改正する (2025.06.06)

こんにちは、丸山満彦です。

何か、忘れていると思っていたらこれでした...

大統領令13694 重大な悪意あるサイバー活動を行う特定の人物の財産のブロックは一部で”any person ”を”any foreign person”と対象を外国人に限定するという変更です。

主な変更は、大統領令14144 サイバーセキュリティの強化とイノベーションの促進ですね...

ランプさんの大統領令の数はすごいかもです...（バイデン元大統領が4年かけて162ですが、トランプ大統領は6ヶ月未満ですが、すでに161...）

● U.S. White House

・2025.06.06 SUSTAINING SELECT EFFORTS TO STRENGTHEN THE NATION’S CYBERSECURITY AND AMENDING EXECUTIVE ORDER 13694 AND EXECUTIVE ORDER 14144

SUSTAINING SELECT EFFORTS TO STRENGTHEN THE NATION’S CYBERSECURITY AND AMENDING EXECUTIVE ORDER 13694 AND EXECUTIVE ORDER 14144	国家のサイバーセキュリティを強化するための厳選された取り組みを継続し、大統領令13694および大統領令14144を改正する。
By the authority vested in me as President by the Constitution and the laws of the United States of America, including the International Emergency Economic Powers Act (50 U.S.C. 1701 et seq.), the National Emergencies Act (50 U.S.C. 1601 et seq.), section 212(f) of the Immigration and Nationality Act of 1952 (8 U.S.C. 1182(f)), and section 301 of title 3, United States Code, it is hereby ordered:	国際緊急経済権限法（50 U.S.C. 1701 et seq.）、国家緊急事態法（50 U.S.C. 1601 et seq.）、1952 年移民国籍法第 212 条(f)（8 U.S.C. 1182(f)）および米国法典第 3 編第 301 条を含む、憲法および米国法によって大統領として私に与えられた認可により、ここに命令する：
Section 1.  Amendments to Executive Order 14144.  Executive Order 14144 of January 16, 2025 (Strengthening and Promoting Innovation in the Nation’s Cybersecurity), is hereby amended by:	第1項 大統領令14144の改正。 2025年1月16日の大統領令14144（国家のサイバーセキュリティにおけるイノベーションの強化と促進）は、以下の通り改正される：
(a)  striking subsections 2(a)-(b) and redesignating subsections 2(c), 2(d), and 2(e) as subsections 2(a), 2(b), and 2(c), respectively;	(a) 第2(a)～(b)を削除し、第2(c)項、第2(d)項、第2(e)項をそれぞれ第2(a)項、第2(b)項、第2(c)項とする；
(b)  striking the first sentence of subsection 2(e);	(b) 第2(e)項の前段を削除する；
(c)  striking subsections 3(a)-(b) and redesignating subsections 3(c), 3(d), and 3(e) as subsections 3(a), 3(b), and 3(c), respectively;	(c) 第3(a)～(b)項を削除し、第3(c)項、第3(d)項、第3(e)項をそれぞれ第3(a)項、第3(b)項、第3(c)項とする；
(d)  striking from subsection 3(c) the phrase “In Executive Order 14028, I directed the Secretary of Defense and the Secretary of Homeland Security to establish procedures to immediately share threat information to strengthen the collective defense of Department of Defense and civilian networks.”;	(d) 第3項(c)から、「大統領令14028において、私は国防省長官と国土安全保障省長官に対し、国防省と民間ネットワークの集団的防衛を強化するため、脅威情報を直ちに共有する手順を確立するよう指示した」という文言を削除する；
(e)  striking from subsection 3(c)(i)(A) the word “novel”;	(e) 第3項(c)(i)(A)から「新たな」という語を削除する；
(f)  striking subsection 4(b)(iv);	(f) 第4(b)(iv)項を削除する；
(g)  striking subsections 4(d)(ii)-(iii);	(g) 第4(d)(ii)～(iii)項を削除する；
(h)  striking section 5 and redesignating sections 6, 7, 8, 9, 10, and 11 as sections 5, 6, 7, 8, 9, and 10, respectively; and	(h) 第5項を削除し、第6項、第7項、第8項、第9項、第10項、および第11項をそれぞれ第5項、第6項、第7項、第8項、第9項、および第10項と再指定する。
(i)  striking from subsection 8(c) the phrase “in the areas of intrusion detection, use of hardware roots of trust for secure booting, and development and deployment of security patches.”.	(i)第8項(c)から、「侵入検知、セキュアブートのためのハードウェアルートオブトラストの使用、セキュリティパッチの開発および展開の分野において」という文言を削除する。
Sec. 2.  Further Amendments to Executive Order 14144.  Executive Order 14144 is hereby amended by:	第2項 大統領令14144のさらなる改正。 大統領令 14144 は、以下のように改正される：
(a)  striking section 1 and inserting, in lieu thereof, the following:	(a) 第 1 項を削除し、その代わりに以下を挿入する：
“Section 1.  Policy.  Foreign nations and criminals continue to conduct cyber campaigns targeting the United States and Americans.  The People’s Republic of China presents the most active and persistent cyber threat to United States Government, private sector, and critical infrastructure networks, but significant threats also emanate from Russia, Iran, North Korea, and others who undermine United States cybersecurity.  These campaigns disrupt the delivery of critical services across the Nation, cost billions of dollars, and undermine Americans’ security and privacy.  More must be done to improve the Nation’s cybersecurity against these threats.  I am ordering additional actions to improve our Nation’s cybersecurity, focusing on defending our digital infrastructure, securing the services and capabilities most vital to the digital domain, and building our capability to address key threats.”;	「第1項 方針。 外国および犯罪行為は、米国および米国人を標的としたサイバーキャンペーンを継続的に行っている。 中華人民共和国は、米国政府、民間部門、および重要インフラ・ネットワークに対する最も活発かつ持続的なサイバー脅威を提示しているが、重要な脅威は、ロシア、イラン、北朝鮮、および米国のサイバーセキュリティを弱体化させるその他の国々からも発せられている。 これらのキャンペーンは、全米の重要なサービスの提供を妨害し、何十億ドルものコストをかけ、米国人のセキュリティとプライバシーを損なっている。 このような脅威に対する国家のサイバーセキュリティを改善するために、もっと多くのことをしなければならない。 私は、国家のサイバーセキュリティを改善するため、デジタル・インフラの防衛、デジタル領域で最も重要なサービスと能力の確保、主要な脅威に対処する能力の強化に重点を置いた追加措置を指示する；
(b)  striking subsection 2(c) and inserting, in lieu thereof, the following:	(b) 第2項(c)を削除し、代わりに以下を挿入する：
“(c)  Relevant executive departments and agencies (agencies) shall take the following actions:	「(c)関係省庁は以下の措置を講じる：
(i)    By August 1, 2025, the Secretary of Commerce, acting through the Director of NIST, shall establish a consortium with industry at the National Cybersecurity Center of Excellence to develop guidance, informed by the consortium as appropriate, that demonstrates the implementation of secure software development, security, and operations practices based on NIST Special Publication 800–218 (Secure Software Development Framework (SSDF)).	(i)2025年8月1日までに、商務長官は、NIST長官を通じて、国立サイバーセキュリティ・センター・オブ・エクセレンスに産業界とのコンソーシアムを設立し、NIST特別刊行物800-218（セキュアソフトウェア開発フレームワーク（SSDF））に基づくセキュアソフトウェアの開発、セキュリティ、運用の実践を実証するガイダンスを、適宜コンソーシアムから情報を得て策定する。
(ii)   By September 2, 2025, the Secretary of Commerce, acting through the Director of NIST, shall update NIST Special Publication 800–53 (Security and Privacy Controls for Information Systems and Organizations) to provide guidance on how to securely and reliably deploy patches and updates.	(ii) 2025年9月2日までに、商務長官は、NIST長官を通じて、NIST特別刊行物800-53（情報システム及び組織のセキュリティ及びプライバシー管理）を更新し、パッチ及び更新を安全かつ確実に展開する方法に関する指針を提供する。
(iii)  By December 1, 2025, the Secretary of Commerce, acting through the Director of NIST, in consultation with the heads of such agencies as the Director of NIST deems appropriate, shall develop and publish a preliminary update to the SSDF.  This preliminary update shall include practices, procedures, controls, and implementation examples regarding the secure and reliable development and delivery of software as well as the security of the software itself.  Within 120 days of publishing the preliminary update, the Secretary of Commerce, acting through the Director of NIST, shall publish a final version of the updated SSDF.”;	(iii) 2025 年 12 月 1 日までに、商務長官は、NIST 長官を通じて、NIST 長官が適切と考える省庁の長と協議の上、SSDF の暫定的な更新を策定し、公表するものとする。 この暫定更新版には、ソフトウェアの安全で信頼性の高い開発および提供、ならびにソフトウェア自体のセキュリティに関する実践、手順、管理、および実装例を含めるものとする。 暫定的な更新版の公表から 120 日以内に、商務長官は NIST 長官を通 じて、更新された SSDF の最終版を公表するものとする；
(c)  striking from subsection 4(b) the phrase “The security of Internet traffic depends on data being correctly routed and delivered to the intended recipient network.  Routing information originated and propagated across the Internet, utilizing the Border Gateway Protocol (BGP), is vulnerable to attack and misconfiguration.” and inserting, in lieu thereof, the following:	(c)第4項(b)から「インターネット・トラフィックのセキュリティは、データが正しくルーティングされ、意図された取得者ネットワークに配信されることに依存する。 ボーダーゲートウェイプロトコル（BGP）を利用してインターネット上で生成され、伝播されるルーティング情報は、攻撃や誤設定に対して脆弱である：
“Relevant agencies shall take the following actions:”;	「関係機関は、以下の措置を講じなければならない；
(d)  striking subsection 4(f) and inserting, in lieu thereof, the following:	(d) 第4項(f)を削除し、代わりに以下を挿入する：
“(f)  A quantum computer of sufficient size and sophistication —  also known as a cryptanalytically relevant quantum computer (CRQC) —  will be capable of breaking much of the public-key cryptography used on digital systems across the United States and around the world.  National Security Memorandum 10 of May 4, 2022 (Promoting United States Leadership in Quantum Computing While Mitigating Risks to Vulnerable Cryptographic Systems), directed the Federal Government to prepare for a transition to cryptographic algorithms that would not be vulnerable to a CRQC.	「(f)十分な規模と精巧さを備えた量子コンピュータ（暗号解読関連量子コンピュータ（CRQC）とも呼ばれる）は、米国および世界中のデジタルシステムで使用されている公開鍵暗号の多くを解読することができる。 2022年5月4日の国家安全保障覚書10（脆弱な暗号システムに対するリスクを緩和しつつ、量子コンピューティングにおける米国のリーダーシップを促進する）は、連邦政府に対し、CRQCに対して脆弱でない暗号アルゴリズムへの移行に備えるよう指示した。
(i)   By December 1, 2025, the Secretary of Homeland Security, acting through the Director of the Cybersecurity and Infrastructure Security Agency (CISA), and in consultation with the Director of the National Security Agency, shall release and thereafter regularly update a list of product categories in which products that support post-quantum cryptography (PQC) are widely available.	(i) 2025 年 12 月 1 日までに、国土安全保障長官は、サイバーセキュリティ・インフラセキュリティ庁（CISA）長官を 通じて、国家安全保障局長官と協議の上、ポスト量子暗号（PQC）をサポートする製品が広く利用可能な製品カテゴリの リストを公表し、その後定期的に更新する。
(ii)  By December 1, 2025, to prepare for transition to PQC, the Director of the National Security Agency with respect to National Security Systems (NSS), and the Director of OMB with respect to non-NSS, shall each issue requirements for agencies to support, as soon as practicable, but not later than January 2, 2030, Transport Layer Security protocol version 1.3 or a successor version.”;	(ii) 2025 年 12 月 1 日までに、PQC への移行を準備するため、国家安全保障シス テム（NSS）に関しては国家安全保障局長官が、NSS 以外に関しては OMB 長官が、それぞれ、 できるだけ早く、遅くとも 2030 年 1 月 2 日までに、トランスポート・レイヤー・セキュリ ティ・プロトコル バージョン 1.3 またはその後継バージョンをサポートするよう、各省庁に対す る要件を発行するものとする；
(e)  striking former section 6 (newly designated section 5) and inserting, in lieu thereof, the following:	(e) 旧第6項（新たに第5項とする）を削除し、その代わりに以下を挿入する：
“Sec. 5.  Promoting Security with and in Artificial Intelligence.  Artificial intelligence (AI) has the potential to transform cyber defense by rapidly identifying vulnerabilities, increasing the scale of threat detection techniques, and automating cyber defense.	「第5項 人工知能を用いた、および人工知能におけるセキュリティの推進。 人工知能（AI）は、脆弱性を迅速に特定し、脅威検知技術の規模を拡大し、サイバー脅威防御を自動化することで、サイバー防御を変革する可能性を秘めている。
(a)  By November 1, 2025, the Secretary of Commerce, acting through the Director of NIST; the Secretary of Energy; the Secretary of Homeland Security, acting through the Under Secretary for Science and Technology; and the Director of the National Science Foundation shall ensure that existing datasets for cyber defense research have been made accessible to the broader academic research community (either securely or publicly) to the maximum extent feasible, in consideration of business confidentiality and national security.	(a)2025年11月1日までに、商務長官（NIST長官を通じて）、エネルギー省長官、国土安全保障省長官（科学技術次官を通じて）、および全米科学財団長官は、サイバー防衛研究のための既存のデータセットが、ビジネスの機密性と国家安全保障に配慮して、実行可能な最大限の範囲で、より広範な学術研究コミュニティが（安全にまたは公に）アクセスできるようにする。
(b)  By November 1, 2025, the Secretary of Defense, the Secretary of Homeland Security, and the Director of National Intelligence, in coordination with appropriate officials within the Executive Office of the President, to include officials within the Office of Science and Technology Policy, the Office of the National Cyber Director, and the Director of OMB, shall incorporate management of AI software vulnerabilities and compromises into their respective agencies’ existing processes and interagency coordination mechanisms for vulnerability management, including through incident tracking, response, and reporting, and by sharing indicators of compromise for AI systems.”;	(b) 2025年11月1日までに、国防長官、国土安全保障長官、国家情報長官は、大統領府内の適切な職員（米国科学技術政策局、国家サイバー長官室、OMB長官を含む）と連携して、AIソフトウェアの脆弱性と侵害の管理を、インシデントの追跡、対応、報告、AIシステムの侵害の指標の共有を含む、脆弱性管理のためのそれぞれの省庁の既存のプロセスおよび省庁間の調整メカニズムに組み込むものとする；
(f)  striking section 7 and inserting, in lieu thereof, the following:	(f) 第7項を削除し、その代わりに以下を挿入する：
“Sec. 7.  Aligning Policy to Practice.  Agencies’ policies must align investments and priorities to improve network visibility and security controls to reduce cyber risks.  In consultation with the National Cyber Director, agencies shall take the following actions:	「第7項。政策と実務の整合。 各省庁の政策は、サイバー・リスクを削減するために、ネットワークの可視性とセキュリティ管理を改善するための投資と優先順位を一致させなければならない。 国家サイバー局長と協議の上、各省庁は以下の行動を取らなければならない：
(a)  Within 3 years of the date of this order, the Director of OMB shall issue guidance, including any necessary revision to OMB Circular A–130, to address critical risks and adapt modern practices and architectures across Federal information systems and networks.	(a) 本命令の日付から3年以内に、OMB長官は、OMB Circular A-130の必要な改訂を含むガイダンスを発行し、重要なリスクに対処し、連邦情報システムとネットワーク全体に最新の慣行とアーキテクチャを適応させる。
(b)  Within 1 year of the date of this order, the Secretary of Commerce, acting through the Director of NIST; the Secretary of Homeland Security, acting through the Director of CISA; and the Director of OMB shall establish a pilot program of a rules-as- code approach for machine-readable versions of policy and guidance that OMB, NIST, and CISA publish and manage regarding cybersecurity.	(b) 本命令の日付から 1 年以内に、商務長官は NIST 長官を通じ、国土安全保障長官は CISA 長官を通じ、OMB 長官は OMB、NIST、CISA がサイバーセキュリティに関して発行・管理する政策・指針の機械可読版について、ルール・アズ・コード・アプローチのパイロット・プログラムを確立する。
(c)  Within 1 year of the date of this order, agency members of the FAR Council shall, as appropriate and consistent with applicable law, jointly take steps to amend the FAR to adopt requirements for agencies to, by January 4, 2027, require vendors to the Federal Government of consumer Internet-of-Things products, as defined by 47 CFR 8.203(b), to carry United States Cyber Trust Mark labeling for those products.”; and	(c) 本命令の日付から 1 年以内に、FAR 評議会の加盟国は、適切かつ適用法と一致するように、2027 年 1 月 4 日までに、47CFR 8.203(b)で定義されているように、消費者向け Internet-of-Things 製品の米国政府向けベンダーに対し、当該製品に米国サイバートラストマークの表示を義務付ける要件を採用するために、FAR を改正するための措置を共同で講じるものとする。
(g)  striking subsection 8(a) and inserting, in lieu thereof, the following:	(g) 第 8 項(a)を削除し、その代わりに以下を挿入する：
“(a)  Except as specifically provided for in subsection 4(f) of this order, sections 1 through 7 of this order shall not apply to Federal information systems that are NSS or are otherwise identified by the Department of Defense or the Intelligence Community as debilitating impact systems.”.	「(a)本命令の第 4 項(f)に具体的に規定されている場合を除き、本命令の第 1 項から第 7 項は、NSS であるか、または国防総省もしくはインテリジェンス・コミュニティが衰弱的な影響 を与えるシステムであると識別した連邦情報システムには適用されないものとする。
Sec. 3.  Amendments to Executive Order 13694.  Executive Order 13694 of April 1, 2015 (Blocking the Property of Certain Persons Engaging in Significant Malicious Cyber-Enabled Activities), as amended by Executive Order 13757 of December 28, 2016 (Taking Additional Steps to Address the National Emergency With Respect to Significant Malicious Cyber-Enabled Activities), Executive Order 13984 of January 19, 2021 (Taking Additional Steps to Address the National Emergency With Respect to Significant Malicious Cyber-Enabled Activities), and Executive Order 14144, is hereby further amended by:	第3項 大統領令13694の改正。 2015年4月1日の大統領令13694（重大な悪意のあるサイバーイネーブルド活動に従事する特定の者の財産を封鎖する）は、2016年12月28日の大統領令13757（重大な悪意のあるサイバーイネーブルド活動に関して国家緊急事態に対処するための追加的措置を講じる）、2021年1月19日の大統領令13984（重大な悪意のあるサイバーイネーブルド活動に関して国家緊急事態に対処するための追加的措置を講じる）、および大統領令14144によって改正されたものであるが、さらに以下のように改正する：
(a)  striking from subsection 1(a)(ii) the phrase “any person” and inserting in lieu thereof “any foreign person”; and	(a) 第1項(a)(ii)から「あらゆる人」という語句を削除し、その代わりに「あらゆる外国人」を挿入する。
(b)  striking from subsection 1(a)(iii) the phrase “any person” and inserting in lieu thereof “any foreign person.”.	(b) 第1款(a)(iii)から「あらゆる人」という語句を削除し、その代わりに「あらゆる外国人」と挿入する。
Sec. 4.  General Provisions.  (a)  Nothing in this order shall be construed to impair or otherwise affect:	第4項 一般規定。 (a) 本命令のいかなる規定も、これを損なったり、その他の影響を及ぼすものと解釈されてはならない：
(i)   the authority granted by law to an executive department or agency, or the head thereof; or	(i) 行政部、行政機関、またはその長に法律で認められた認可。
(ii)  the functions of the Director of OMB relating to budgetary, administrative, or legislative proposals.	(ii) 予算案、行政案、立法案に関するOMB長官の機能。
(b)  This order shall be implemented in a manner consistent with applicable law and subject to the availability of appropriations.	(b) 本命令は、適用法に合致した方法で、かつ充当可能な予算に応じて実施されるものとする。
(c)  This order is not intended to, and does not, create any right or benefit, substantive or procedural, enforceable at law or in equity by any party against the United States, its departments, agencies, or entities, its officers, employees, or agents, or any other person.	(c) 本命令は、米国、その省庁、事業体、その役員、職員、代理人、その他いかなる者に対しても、法律上または衡平法上執行可能な、実質的または手続き上の権利または利益を創出することを意図したものではなく、また創出するものでもない。
(d)  The costs for publication of this order shall be borne by the Department of Homeland Security.	(d) 本命令の公布にかかる費用は、国土安全保障省が負担するものとする。
DONALD J. TRUMP	ドナルド・J・トランプ
THE WHITE HOUSE,	ホワイトハウス
June 6, 2025.	2025年6月6日

---

官報

● Federal Register

・2025.06.11 Exective Order 14306 Sustaining Select Efforts To Strengthen the Nation's Cybersecurity and Amending Executive Order 13694 and Executive Order 14144

改正するもの...

・2025.01.17 Exective Order 14144 Strengthening and Promoting Innovation in the Nation's Cybersecurity

・2015.04.01 Exective Order 13694 Blocking the Property of Certain Persons Engaging in Significant Malicious Cyber-Enabled Activities

参考　1933年以降の大統領令の数（2025.06.13現在）...

・Presidential Documents

下線は4年超

32	1933–1945	フランクリン・ルーズベルト	民主党	3,721
33	1945–1953	ハリー・S・トルーマン	民主党	906
34	1953–1961	ドワイト・D・アイゼンハワー	共和党	484
35	1961–1963	ジョン・F・ケネディ	民主党	214
36	1963–1969	リンドン・B・ジョンソン	民主党	325
37	1969–1974	リチャード・ニクソン	共和党	346
38	1974–1977	ジェラルド・フォード	共和党	169
39	1977–1981	ジミー・カーター	民主党	320
40	1981–1989	ロナルド・レーガン	共和党	381
41	1989–1993	ジョージ・H・W・ブッシュ	共和党	166
42	1993–2001	ビル・クリントン	民主党	364
43	2001–2009	ジョージ・W・ブッシュ	共和党	291
44	2009–2017	バラク・オバマ	民主党	277
45	2017–2021	ドナルド・トランプ	共和党	220
46	2021–2025	ジョー・バイデン	民主党	162
47	2025-	ドナルド・トランプ	共和党	161
				8,507

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.01.18 米国 ホワイトハウス 大統領令14144 サイバーセキュリティの強化とイノベーションの促進 (2025.01.16)

---

見え消し版　↓↓↓↓↓

Continue reading "米国 大統領令14306 国家のサイバーセキュリティを強化するための厳選された取り組みを維持し、大統領令13694と大統領令14144を改正する (2025.06.06)"

米国 NIST SP1800-35 ゼロトラストアーキテクチャの実装： ハイレベル文書 (2025.06.10)

こんにちは、丸山満彦です。

NISTが、ゼロトラスト・アーキテクチャーを導入するための実装ガイドのハイレベル文書であるSP1800-35を公表していますね...

SP1800-35の補足的な資料となる完全な文書については、こちらです...

一般的なゼロトラスト・アーキテクチャの図がこちらになります...

EIGクロール・フェーズ参照アーキテクチャはこちら...

協力している企業が24社あるわけですが、自国の企業だけでゼロトラストの実装ができる国というのは、米国ならではかもしれません。ひょっとしたら中国がすでにできるようになっているかもしれませんが...

● NIST - ITL

・2025.06.10 NIST SP 1800-35 Implementing a Zero Trust Architecture: High-Level Document

NIST SP 1800-35 Implementing a Zero Trust Architecture: High-Level Document	NIST SP 1800-35 ゼロトラストアーキテクチャの実装： ハイレベル文書
Abstract	概要
A zero trust architecture (ZTA) enables secure authorized access to enterprise resources that are distributed across on-premises and multiple cloud environments, while enabling a hybrid workforce and partners to access resources from anywhere, at any time, from any device in support of the organization’s mission. This NIST Cybersecurity Practice Guide explains how organizations can implement ZTA consistent with the concepts and principles outlined in NIST Special Publication (SP) 800-207, Zero Trust Architecture. The NCCoE worked with 24 collaborators under Cooperative Research and Development Agreements (CRADAs) to integrate commercially available technology to build 19 ZTA example implementations and demonstrate a number of common use cases. The Guide includes detailed technical information on each example ZTA implementation, providing models that organizations can emulate. The guide also summarizes best practices and lessons learned from the implementations and integrations to make it easier and more cost-effective to implement ZTA. Additionally, this guide includes mappings of ZTA principles and technologies to commonly used security standards and guidelines.	ゼロトラストアーキテクチャ（ZTA）は、オンプレミスや複数のクラウド環境に分散しているエンタープライズリソースへの安全な認可アクセスを可能にすると同時に、ハイブリッドワーカーやパートナーが、組織のミッションを支援するために、いつでも、どこからでも、どのデバイスからでもリソースにアクセスできるようにする。このNISTサイバーセキュリティ実践ガイドでは、NIST特別刊行物（SP）800-207「Zero Trust Architecture」に概説されている概念と原則に沿って、組織がZTAを実装する方法を説明している。NCCoE は、CRADA（Cooperative Research and Development Agreements：共同研究開発契約）に基づく 24 の共同研究者と協力し、市販の技術を統合して 19 の ZTA 実装例を構築し、多くの一般的なユースケースを実証した。本ガイドには、ZTAの各実装例に関する詳細な技術情報が含まれており、組織が模倣できるモデルを提供している。また、ZTAの実装をより簡単かつ費用対効果の高いものにするため、実装や統合から得られたベストプラクティスや教訓もまとめている。さらに、このガイドには、ZTAの原則と技術を、一般的に使用されているセキュリティ標準やガイドラインにマッピングしたものも含まれている。

・[PDF] NIST.SP.1800-35

・[DOCX][PDF] 仮訳

オンラインのフル文書

Implementing a Zero Trust Architecture: Full Document	ゼロ・トラスト・アーキテクチャを導入する： 完全文書
Executive Summary	エグゼクティブサマリー
Introduction to the Guide	ガイド序論
Project Overview	プロジェクトの概要
Architecture and Builds	アーキテクチャとビルド
Builds Implemented	実装されたビルド
Build Architecture Details	ビルドアーキテクチャの詳細
Enterprise 1 Build 1 (E1B1) - EIG Crawl - Okta Identity Cloud and Ivanti Access ZSO as PEs	エンタープライズ 1 ビルド 1（E1B1） - EIG クロール - Okta Identity Cloud および Ivanti Access ZSO を PE とする。
Enterprise 2 Build 1 (E2B1) - EIG Crawl - Ping Identity Ping Federate as PE	エンタープライズ 2 ビルド 1（E2B1） - EIG クロール - PE として Ping Identity Ping Federate
Enterprise 3 Build 1 (E3B1) - EIG Crawl - Azure AD Conditional Access (later renamed Entra Conditional Access) as PE	エンタープライズ3ビルド1（E3B1） - EIG Crawl - Azure AD Conditional Access（後にEntra Conditional Accessに改称）をPEとする。
Enterprise 1 Build 2 (E1B2) - EIG Run - Zscaler ZPA Central Authority (CA) as PE	エンタープライズ 1 ビルド 2（E1B2） - EIG の実行 - PE としての Zscaler ZPA セントラルオーソリティ（CA）
Enterprise 3 Build 2 (E3B2) - EIG Run - Microsoft Azure AD Conditional Access (later renamed Entra Conditional Access), Microsoft Intune, Forescout eyeControl, and Forescout eyeExtend as PEs	Enterprise 3 Build 2 (E3B2) - EIG Run - PEとしてMicrosoft Azure AD Conditional Access（後にEntra Conditional Accessに名称変更）、Microsoft Intune、Forescout eyeControl、Forescout eyeExtend
Enterprise 1 Build 3 (E1B3) - SDP - Zscaler ZPA CA as PE	エンタープライズ1ビルド3（E1B3） - SDP - PEとしてZscaler ZPA CA
Enterprise 2 Build 3 (E2B3) — Microsegmentation - Cisco ISE, Cisco Secure Workload, and Ping Identity Ping Federate as PEs	エンタープライズ 2 ビルド 3（E2B3） - マイクロセグメンテーション - PE として Cisco ISE、Cisco Secure Workload、Ping Identity Ping Federate
Enterprise 3 Build 3 (E3B3) - SDP and Microsegmentation - Microsoft Azure AD Conditional Access (later renamed Entra Conditional Access), Microsoft Intune, Microsoft Sentinel, Forescout eyeControl, and Forescout eyeExtend as PEs	エンタープライズ 3 ビルド 3（E3B3） - SDP とマイクロセグメンテーション - Microsoft Azure AD Conditional Access（後に Entra Conditional Access に改称）、Microsoft Intune、Microsoft Sentinel、Forescout eyeControl、Forescout eyeExtend を PE とする。
Enterprise 4 Build 3 (E4B3) -	エンタープライズ 4 ビルド 3（E4B3）
Enterprise 1 Build 4 (E1B4) - SDP - Appgate SDP Controller as PE	Enterprise 1 Build 4（E1B4） - SDP - PEとしてのAppgate SDP Controller
Enterprise 2 Build 4 (E2B4) - SDP and SASE - Symantec Cloud Secure Web Gateway, Symantec ZTNA, and Symantec Cloud Access Security Broker as PEs	エンタープライズ 2 ビルド 4（E2B4） - SDP および SASE - PE として Symantec Cloud Secure Web Gateway、 Symantec ZTNA、Symantec Cloud Access Security Broker
Enterprise 3 Build 4 (E3B4) - SDP - F5 BIG-IP, F5 NGINX Plus, Forescout eyeControl, and Forescout eyeExtend as PEs	エンタープライズ3ビルド4（E3B4） - SDP - PEとしてF5 BIG-IP、F5 NGINX Plus、Forescout eyeControl、Forescout eyeExtend
Enterprise 4 Build 4 (E4B4) - SDP, Microsegmentation, and EIG - VMware Workspace ONE Access, VMware Unified Access Gateway, and VMware NSX-T as PEs	エンタープライズ 4 ビルド 4（E4B4） - SDP、マイクロセグメンテーション、EIG - PE として VMware Workspace ONE Access、VMware Unified Access Gateway、VMware NSX-T
Enterprise 1 Build 5 (E1B5) - SASE and Microsegmentation - PAN NGFW and PAN Prisma Access as PEs	エンタープライズ 1 ビルド 5（E1B5） - SASE およびマイクロセグメンテーション - PAN NGFW および PAN Prisma Access を PE として使用
Enterprise 2 Build 5 (E2B5) - SDP and SASE - Lookout SSE and Okta Identity Cloud as PEs	エンタープライズ 2 ビルド 5（E2B5） - SDP および SASE - Lookout SSE および Okta Identity Cloud を PE として使用
Enterprise 3 Build 5 (E3B5) - SDP and SASE - Microsoft Entra Conditional Access (formerly called Azure AD Conditional Access) and Microsoft Security Service Edge as PEs	Enterprise 3 Build 5（E3B5） - SDPおよびSASE - Microsoft Entra Conditional Access（旧名称：Azure AD Conditional Access）およびMicrosoft Security Service EdgeをPEとする。
Enterprise 4 Build 5 (E4B5) - SDP and Microsegmentation - AWS Verified Access and Amazon VPC Lattice as PEs	Enterprise 4 Build 5 (E4B5) - SDP とマイクロセグメンテーション - PE として AWS Verified Access と Amazon VPC Lattice
Enterprise 1 Build 6 (E1B6) - SDP and Microsegmentation - Ivanti Neurons for Zero Trust Access as PE	Enterprise 1 Build 6 (E1B6) - SDP とマイクロセグメンテーション - Ivanti Neurons for Zero Trust Access を PE として使用する。
Enterprise 2 Build 6 (E2B6) - SASE - Google Chrome Enterprise Premium (CEP) - Access Context Manager as PE	Enterprise 2 Build 6 (E2B6) - SASE - Google Chrome Enterprise Premium (CEP) - Access Context Manager を PE として使用する。
Build Implementation Instructions	ビルド実装手順
Enterprise 1 Build 1 (E1B1) - EIG Crawl - Okta Identity Cloud and Ivanti Access ZSO as PEs Product Guides	エンタープライズ1ビルド1（E1B1） - EIG Crawl - Okta Identity CloudおよびIvanti Access ZSOをPEに 製品ガイド
Enterprise 2 Build 1 (E2B1) - EIG Crawl - Ping Identity Ping Federate as PE Product Guides	エンタープライズ 2 ビルド 1（E2B1） - EIG クロール - PE としての Ping Identity Ping Federate 製品ガイド
Enterprise 3 Build 1 (E3B1) - EIG Crawl - Azure AD Conditional Access (later renamed Entra Conditional Access) as PE Product Guides	エンタープライズ3ビルド1（E3B1） - PE製品ガイドとしてEIG Crawl - Azure AD Conditional Access（後にEntra Conditional Accessに改称
Enterprise 1 Build 2 (E1B2) - EIG Run - Zscaler ZPA Central Authority (CA) as PE Product Guides	エンタープライズ1ビルド2（E1B2） - EIG Run - PE製品ガイドとしてのZscaler ZPA Central Authority（CA）
Enterprise 3 Build 2 (E3B2) - EIG Run - Microsoft Azure AD Conditional Access (later renamed Entra Conditional Access), Microsoft Intune, Forescout eyeControl, and Forescout eyeExtend as PEs Product Guides	Enterprise 3 Build 2 (E3B2) - EIG Run - PE製品ガイドとしてMicrosoft Azure AD Conditional Access（後にEntra Conditional Accessに改名）、Microsoft Intune、Forescout eyeControl、Forescout eyeExtend
Enterprise 1 Build 3 (E1B3) - SDP - Zscaler ZPA CA as PE Product Guides	エンタープライズ1ビルド3（E1B3） - SDP - PEとしてのZscaler ZPA CA製品ガイド
Enterprise 2 Build 3 (E2B3) - Microsegmentation - Cisco ISE, Cisco Secure Workload, and Ping Identity Ping Federate as PEs Product Guides	エンタープライズ2ビルド3（E2B3） - マイクロセグメンテーション - PEとしてのCisco ISE、Cisco Secure Workload、Ping Identity Ping Federate製品ガイド
Enterprise 3 Build 3 (E3B3) - SDP and Microsegmentation - Microsoft Azure AD Conditional Access (later renamed Entra Conditional Access), Microsoft Intune, Microsoft Sentinel, Forescout eyeControl, and Forescout eyeExtend as PEs Product Guides	エンタープライズ 3 ビルド 3（E3B3） - SDP とマイクロセグメンテーション - PE として Microsoft Azure AD Conditional Access（後に Entra Conditional Access に改称）、Microsoft Intune、Microsoft Sentinel、Forescout eyeControl、Forescout eyeExtend を提供する。
Enterprise 4 Build 3 (E4B3) - EIG Run - IBM Security Verify as PE Product Guides	エンタープライズ 4 ビルド 3（E4B3） - EIG ラン - PE としての IBM Security Verify 製品ガイド
Enterprise 1 Build 4 (E1B4) - SDP - Appgate SDP Controller as PE Product Guides	エンタープライズ1ビルド4（E1B4） - SDP - PEとしてのAppgate SDPコントローラ 製品ガイド
Enterprise 2 Build 4 (E2B4) - SDP and SASE - Symantec Cloud Secure Web Gateway, Symantec ZTNA, and Symantec Cloud Access Security Broker as PEs Product Guides	エンタープライズ 2 ビルド 4（E2B4） - SDP および SASE - PE として Symantec Cloud Secure Web Gateway、Symantec ZTNA、Symantec Cloud Access Security Broker 製品ガイド
Enterprise 3 Build 4 (E3B4) - SDP - F5 BIG-IP, F5 NGINX Plus, Forescout eyeControl, and Forescout eyeExtend as PEs Product Guides	エンタープライズ3ビルド4（E3B4） - SDP - PEとしてのF5 BIG-IP、F5 NGINX Plus、Forescout eyeControl、およびForescout eyeExtend製品ガイド
Enterprise 4 Build 4 (E4B4) - SDP, Microsegmentation, and EIG - VMware Workspace ONE Access, VMware Unified Access Gateway, and VMware NSX-T as PEs Product Guides	エンタープライズ 4 ビルド 4（E4B4） - SDP、マイクロセグメンテーション、EIG - PE として VMware Workspace ONE Access、VMware Unified Access Gateway、VMware NSX-T 製品ガイド
Enterprise 1 Build 5 (E1B5) - SASE and Microsegmentation - PAN NGFW and PAN Prisma Access as PEs Product Guides	エンタープライズ1ビルド5（E1B5） - SASEおよびマイクロセグメンテーション - PAN NGFWおよびPAN Prisma AccessをPEとした製品ガイド
Enterprise 2 Build 5 (E2B5) - SDP and SASE - Lookout SSE and Okta Identity Cloud as PEs Product Guides	エンタープライズ2ビルド5（E2B5） - SDPおよびSASE - Lookout SSEおよびOkta Identity CloudをPEとして使用する場合の製品ガイド
Enterprise 3 Build 5 (E3B5) - SDP and SASE - Microsoft Entra Conditional Access (formerly Azure AD Conditional Access) and Microsoft Security Service Edge as PEs Product Guides	Enterprise 3 Build 5 (E3B5) - SDPおよびSASE - Microsoft Entra Conditional Access（旧Azure AD Conditional Access）およびMicrosoft Security Service EdgeをPEとして製品ガイドに追加
Enterprise 4 Build 5 (E4B5) - SDP and Microsegmentation - AWS Verified Access and Amazon VPC Lattice as PE	Enterprise 4 Build 5 (E4B5) - SDPとマイクロセグメンテーション - PEとしてAWS Verified AccessとAmazon VPC Lattice
Enterprise 1 Build 6 (E1B6) - SDP and Microsegmentation - Ivanti Neurons for Zero Trust Access as PEs Product Guides	Enterprise 1 Build 6 (E1B6) - SDP とマイクロセグメンテーション - Ivanti Neurons for Zero Trust Access as PE プロダクトガイド
Enterprise 2 Build 6 (E2B6) - SASE - Google Chrome Enterprise Premium (CEP) - Access Context Manager as PE	Enterprise 2 Build 6 (E2B6) - SASE - Google Chrome Enterprise Premium (CEP) - PEとしてのAccess Context Manager
Hardening Information	ハードニング情報
General Findings	一般的な調査結果
Functional Demonstrations	機能デモ
Demonstration Terminology	デモの用語
Use Case A: Discovery and Identification of IDs, Assets, and Data Flows	ユースケースA：ID、資産、データフローの発見と識別
Use Case B: Enterprise-ID Access	ユースケースB：エンタープライズIDアクセス
Use Case C: Collaboration: Federated-ID Access	ユースケースC：コラボレーション： 統合IDアクセス
Use Case D: Other-ID Access	ユースケースD： その他のIDアクセス
Use Case E: Guest: No-ID Access	ユースケースE：ゲスト： IDなしアクセス
Use Case F: Confidence Level	ユースケースF：信頼度
Use Case G: Service-Service Interactions	ユースケースG：サービス間相互作用
Use Case H: Data Level Security Scenarios	ユースケースH：データ・レベルのセキュリティ・シナリオ
Functional Demonstration Result Summaries	機能デモ結果サマリー
Functional Demonstration Results	機能実証結果
EIG Crawl Phase Demonstration Results	EIGクロール・フェーズの実証結果
EIG Run Phase Demonstration Results	EIG実行フェーズの実証結果
SDP, Microsegmentation, and SASE Phase Demonstration Results	SDP、マイクロセグメンテーション、SASEフェーズの実証結果
Risk and Compliance Management	リスクおよびコンプライアンス・マネジメント
Risks Addressed by the ZTA Reference Architecture	ZTA参照アーキテクチャが対処するリスク
ZTA Security Mapping Context and Terminology	ZTAセキュリティマッピングのコンテキストと用語
Mappings	マッピング
Zero Trust Journey Takeaways	ゼロ・トラスト・ジャーニーの要点
Glossary	用語集
Acronyms	頭字語
Change Log	変更履歴

協力している24企業...

1	Appgate
2	AWS
3	Broadcom
4	Cisco
5	DigiCert
6	F5
7	Forescout
8	Google Cloud
9	IBM
10	Ivanti
11	Lookout
12	Mandiant
13	Microsoft
14	Okta
15	Omnissa
16	Palo Alto Networks
17	PC Matic
18	Ping Identity
19	Radiant Logic
20	SailPoint
21	Tenable
22	Trellix
23	Zimperium
24	Zscaler

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.12.15 米国 NIST NIST SP 1800-35（初公開ドラフト） ゼロトラスト・アーキテクチャの実装 (2024.12.04)

・2024.08.08 米国 NIST SP 1800-35（第4次初期ドラフト） ゼロトラストアーキテクチャの実装 (2024.07.30)

・2023.09.16 NIST SP 1800-35（第2次初期ドラフト） ゼロトラストアーキテクチャの実装　Vol.E リスクとコンプライアンスマネジメント

・2023.08.24 NIST SP 1800-35（第3次初期ドラフト） ゼロトラストアーキテクチャの実装　Vol.D 機能デモ

・2023.07.23 NIST SP 1800-35（第2次初期ドラフト） ゼロトラストアーキテクチャの実装 (Vol. B, C)

・2022.08.10 NIST SP 1800-35 (ドラフト) ゼロトラストアーキテクチャの実装（初期ドラフト）(Vol. C, D)

・2022.07.09 NIST SP 1800-35 (ドラフト) ゼロトラストアーキテクチャの実装（初期ドラフト）(Vol. B)

・2022.06.07 NIST SP 1800-35 (ドラフト) ゼロトラストアーキテクチャの実装（初期ドラフト）(Vol. A)

欧州委員会 欧州のサイバー危機およびインシデントをよりよく管理するための青写真を採択 (2025.06.06)

こんにちは、丸山満彦です。

このブログでもドラフトが公表された時に取り上げていましたが、EUの電気通信担当閣僚が、サイバー危機管理に関するEUの青写真を採択しましたね...

これは、大規模なサイバーセキュリティインデントやサイバー危機に対するEUの対応指針を示すものです。

加盟国とEUやNATOとの連携、ということで民軍連携も含まれています。

Annex1にはエスカレーションをする際の図もありますね...

ちなみに、EUのサイバーセキュリティ方針はこちらです...

EUのサイバーセキュリティ方針

・Cybersecurity Policies

Cybersecurity Strategy	サイバーセキュリティ戦略
Legislation and certification	法規制と認証
Cyber Crisis Management	サイバー危機管理
Investment	投資
Policy guidance	政策ガイダンス
Skills and awareness	スキルと意識
Cyber community	サイバーコミュニティ
Cyber Dialogues	サイバー・ダイアログ
Other cyber policy areas	その他のサイバー政策分野

発表...

● European Commission

・2025.06.06 EU adopts blueprint to better manage European cyber crises and incidents

EU adopts blueprint to better manage European cyber crises and incidents	EU、欧州のサイバー危機およびインシデントをよりよく管理するための青写真を採択
Telecom ministers adopted today the EU blueprint for cyber crisis management, which gives guidance for the EU’s response to large-scale cybersecurity incidents or cyber crises.	欧州連合（EU）の電気通信担当閣僚は本日、大規模なサイバーセキュリティインデントやサイバー危機に対するEUの対応指針を示す、サイバー危機管理に関するEUの青写真を採択した。
Today, we take a decisive step forward in strengthening Europe’s cybersecurity resilience. The EU blueprint for cyber crisis management clarifies how member states can detect, respond to, recover and learn from large-scale cybersecurity incidents and cyber crises that could affect the whole EU. The EU blueprint shows our clear commitment to a safer, more resilient and better prepared Europe – an important priority of the Polish presidency.	本日、欧州のサイバーセキュリティのレジリエンス強化に向けて、決定的な一歩を踏み出す。サイバー危機管理に関するEUの青写真は、加盟国が、EU全体に影響を及ぼす可能性のある大規模なサイバーセキュリティインデントやサイバー危機をどのように検知し、対応し、回復し、学習できるかを明確にするものである。EUの青写真は、より安全でレジリエンスが高く、備えの整った欧州に対する我々の明確なコミットメントを示すものであり、ポーランド大統領府の重要な優先事項である」。
Krzysztof Gawkowski, Deputy Prime Minister, Minister of Digital Affairs	クシシュトフ・ガウコフスキ副首相兼デジタル問題担当相
The EU cyber blueprint is an important guideline for member states to enhance their preparedness, detection capabilities and response to cyber security incidents, while building on the foundations laid by the 2017 cybersecurity blueprint and taking on board important recently adopted legislation such as the NIS2 directive and the cyber solidarity act..	EUサイバー青写真は、加盟国がサイバーセキュリティに対する備え、検知能力、インシデントへの対応を強化するための重要な指針であり、2017年のサイバーセキュリティ青写真によって築かれた基盤を基礎とし、NIS2指令やサイバー連帯法といった最近採択された重要な法律を踏まえたものである。
The EU cyber blueprint aims to tackle an increasingly complex cyber threat landscape by strengthening existing EU networks, fostering cooperation between member states and actors involved, and overcoming hurdles that may exist.	EUのサイバー青写真は、既存のEUネットワークを強化し、加盟国および関係アクター間の協力を促進し、存在しうる障害を克服することによって、ますます複雑化するサイバー脅威の状況に取り組むことを目的としている。
Essentials of the EU cyber blueprint	EUサイバー青写真の要点
The EU cyber blueprint highlights the importance of digital technology and global connectivity as the backbone of the EU’s economic growth and competitiveness. However, an increasingly interconnected and digital society also increases the risks of cybersecurity incidents and cyberattacks. Hybrid campaigns and cyberattacks can directly affect the EU’s security, economy and society.	EUのサイバー青写真は、EUの経済成長と競争力を支える基幹として、デジタル技術とグローバルな接続性の重要性を強調している。しかし、相互接続とデジタル化が進む社会は、サイバーセキュリティ事件やサイバー攻撃のリスクも増大させる。ハイブリッドキャンペーンやサイバー攻撃は、EUの安全保障、経済、社会に直接影響を及ぼす可能性がある。
While member states have the primary responsibility in managing cybersecurity incidents and cyber crises, large-scale incidents could cause such a level of disruption that it exceeds a member state’s capacity to respond, or they can have an impact on several member states.	サイバーセキュリティインシデントやサイバー危機を管理する第一の責任は加盟国にあるが、大規模なインシデントは、加盟国の対応能力を超えるほどの混乱を引き起こしたり、複数の加盟国に影響を及ぼしたりする可能性がある。
As such an incident could evolve in a fully-fledged crisis, affecting the functioning of the EU’s internal market or posing serious public security and safety risks, cooperation at technical, operational and political level is essential for effective crisis management for this kind of incidents.	このようなインシデントが本格的な危機に発展し、EU域内市場の機能に影響を与えたり、深刻な公的安全保障やリスクとなる可能性があるため、この種のインシデントに対する効果的な危機マネジメントには、技術、運用、政治レベルでの協力が不可欠である。
To identify concretely what large-scale incidents or a Union-level cyber crises are, the EU cyber blueprint provides a clear explanation when the crisis framework should be triggered and what the roles of the relevant Union level networks, its actors and mechanisms are (such as ENISA, the EU’s agency for cybersecurity or EU-cyclone, the European cyber crisis liaison organisation network). The text also points to the importance of coordination of public communication before, during and after crisis incidents.	大規模インシデントやEUレベルのサイバー危機とは何かを具体的に特定するために、EUサイバー青写真は、危機管理枠組みがいつ発動されるべきか、関連するEUレベルのネットワーク、そのアクター、枠組み（EUのサイバーセキュリティ担当機関であるENISAや欧州サイバー危機連絡組織ネットワークであるEU-cycloneなど）の役割は何かを明確に説明している。また、危機インシデント発生前、発生中、発生後のパブリックコミュニケーションの調整の重要性も指摘している。
The EU cyber blueprint highlights the importance of civilian-military cooperation in the context of cyber-crisis management, including with NATO, through enhanced information-sharing mechanisms where possible and when needed.	EUのサイバー青写真は、可能な限り、また必要な場合には情報共有メカニズムを強化することにより、NATOとの協力も含め、サイバー危機管理における民軍協力の重要性を強調している。
Finally, the EU cyber blueprint also contains chapters on recovery, while trying to enhance the exchange of lessons learned between member states.	最後に、EUのサイバー青写真は、加盟国間の教訓の交換を強化しようとする一方で、復旧に関する章も含んでいる。
Background	背景
Since 2017, the threat landscape and the EU’s cybersecurity framework changed significantly with several instruments considering cybersecurity management, such as the NIS2 directive or the cyber solidarity act. This required changing the 2017 blueprint.	2017年以降、NIS2指令やサイバー連帯法のようなサイバーセキュリティ管理を検討するいくつかの枠組みにより、脅威の状況やEUのサイバーセキュリティの枠組みは大きく変化した。このため、2017年の青写真を変更する必要があった。
The discussions on the EU cyber blueprint were intensified during the Polish presidency, including during the informal TTE Telecommunications Council on 4-5 March in Warsaw, which was entirely dedicated to the issue of cybersecurity.	3月4～5日にワルシャワで開催された非公式のTTE電気通信理事会でも、サイバーセキュリティの問題に全面的に取り組んだ。
Cyber blueprint – draft Council recommendation (European Commission)	サイバー青写真-理事会勧告案（欧州委員会）
Commission launches new cybersecurity blueprint to enhance EU cyber crisis coordination (Press release – European Commission -24 February 2025)	欧州委員会、EUのサイバー危機に関する調整を強化するための新たなサイバーセキュリティ青写真を発表（プレスリリース：欧州委員会 - 2025年2月24日）
Cybersecurity (background information)	サイバーセキュリティ（背景情報）
Cyber defence (background information)	サイバー防衛（背景情報）
Visit the meeting page	会議のページ

---

2025.02.24に公表されたサイバー青写真

プレス...

・2025.02.24 Commission launches new cybersecurity blueprint to enhance EU cyber crisis coordination

青写真

・2025.02.24 Cyber Blueprint - Draft Council Recommendation

I: EUサイバー危機管理枠組みの枠組み、範囲、原則
II： 連邦レベルのサイバー危機に備える
 (a) 状況認識と情報
 (b) 一般的な演習
 (c) DNS解決機能
 (d) リソース
III： サイバー危機に発展しかねないインシデントの検知
IV： 連邦レベルでのサイバー危機への対応
V: サイバー回復
VI: 安全なコミュニケーション
VII: サイバー危機と軍事アクターとの調整
VIII： 戦略的協力

・[PDF] Cyber Blueprint - Proposal Council Recommendation

・[DOCX][PDF] 仮訳

・[PDF] Cyber Blueprint - Proposal Council Recommendation - Annexes

・[DOCX][PDF] 仮訳

附属書 I - サイバーセキュリティ危機に対応するためのEUの青写真

(1) CSIRIs and/or Cross-border Cyber Hubs detect a large- scale cybersecurity incident.	(1) CSIRI および/または国境を越えたサイバーハブが大規模サイバーセキュリティインシデントを検知する。
(2) CSIRTS Network escalates in accordance with internal procedures.	(2)CSIRTSネットワークは、内部手順に従ってエスカレーションを行う。
(3) EU-CyCLONe coordinates operational response in the case of a large-scale incident.	(3) EU-CyCLONeは、大規模なインシデントが発生した場合の作戦対応を調整する。
(4) Council Presidency, in consultation with Member States, the Commission and the High Representative, determines whether to activate or deactivate the EU (IPCR) crisis arrangements.	(4) 理事会議長は、加盟国、欧州委員会および上級代表者と協議の上、EU（IPCR）危機管理体制を作動させるか停止させるかを決定する。
(5) Where the IPCR is activated, ISAA reports developed by the Commission services and EEAS inform discussions. EU-CyCLONe and JCAR should provide input to ISAA. Council is also informed by SIAC analyses.	(5) IPCRが発動された場合、欧州委員会のサービスとEEASが作成したISAA報告書が協議に反映される。EU-CyCLONeおよびJCARは、ISAAにインプットを提供すべきである。理事会はまた、SIACの分析からも情報を得る。
(6) CERT- EU is responsible for the operational response to crises affecting Union entities; relevant information may be provided to EU-CyCLONe by the IICB via the Commission as point of contact.	(6) CERT- EUは、EUの事業体に影響を及ぼす危機への実務的対応を担当する。関連情報は、欧州委員会を窓口として、IICBからEU-CyCLONeに提供される。
(7) Council, EU-CyCLONe and CSIRTs Network have overview of responses at political, operational and technical levels, respectively.	(7) EU理事会、EU-CyCLONeおよびCSIRTsネットワークは、それぞれ政治レベル、運用レベルおよび技術レベルでの対応を統括する。

---

ENISAの発表...

● ENISA

・2025.06.06 New Cyber Blueprint to Scale Up the EU Cybersecurity Crisis Management

New Cyber Blueprint to Scale Up the EU Cybersecurity Crisis Management	EUのサイバーセキュリティ危機管理を拡大する新たなサイバー青写真
The revised Blueprint for cybersecurity crisis management was adopted today by the Council of the EU.	本日、EU理事会において、サイバーセキュリティ危機管理に関するブループリントの改訂版が採択された。
EU Member States adopted today the Council Recommendation for an EU Blueprint on cyber crisis management to strengthen the response to large scale incidents and crisis in the EU.	EU加盟国は本日、EUにおける大規模なインシデントや危機への対応を強化するため、サイバー危機管理に関するEUの青写真に関する理事会勧告を採択した。
The necessity for a revised cyber crisis management Blueprint was driven by the evolution of the cybersecurity threat landscape where geopolitics accelerated the need for stronger cyber crisis management as anticipated in an ENISA report and as outlined in the EU’s first ever report on the State of Cybersecurity in the Union.	サイバー危機管理に関する青写真の改訂の必要性は、地政学的な観点からサイバーセキュリティの脅威の状況が変化し、ENISAの報告書や、EUにおけるサイバーセキュリティの現状に関するEU初の報告書に概説されているように、サイバー危機管理の強化の必要性が加速していることが背景にある。
Subsequently, if we want to effectively prepare and respond to cyber crises of much higher complexity than ever before, cybersecurity crisis management processes need to take all such new parameters into account.	その後、これまでよりもはるかに複雑化したサイバー危機に効果的に備え、対応するためには、サイバーセキュリティ危機管理プロセスは、そのような新しいパラメータをすべて考慮に入れる必要がある。
The situation therefore called for a review of processes already in place and for new mechanisms to be adopted in order to strengthen the Union capacities in cyber crises management. The Commission presented a proposal on 24 February 2025 to ensure an effective and efficient response to large-scale cyber incidents. The EU Member States in record speed adopted the Council Recommendation for an EU Blueprint on cyber crisis management during the Formal meeting of the Transport, Telecommunications and Energy Council.	このため、サイバー危機管理における欧州連合の能力を強化するために、すでに実施されているプロセスの見直しと新たな仕組みの導入が求められている。欧州委員会は2025年2月24日、大規模なサイバー事件への効果的かつ効率的な対応を確保するための提案を発表した。EU加盟国は、運輸・電気通信・エネルギー理事会の公式会合において、サイバー危機管理に関するEUブループリントに関する理事会勧告を記録的な速さで採択した。
Henna Virkkunen, Executive Vice-President for Tech Sovereignty, Security and Democracy, said: “I welcome today’s adoption of the Cyber Blueprint. In crisis situations, there is no room for improvisation, especially in today’s rapidly evolving and uncertain geopolitical environment. It is a key component of our Union Preparedness Strategy. It serves as a practical tool for Member States and EU bodies to work together to prepare for and respond to a cyber crisis that could affect our critical infrastructure and public security.”	ヘナ・ヴィルクネン技術主権・安全保障・民主主義担当執行副委員長は、次のように述べた： 「本日のサイバー青写真の採択を歓迎する。危機的状況においては、特に今日の急速に進化する不確実な地政学的環境においては、即興の余地はない。これは、我々の連邦準備戦略の重要な要素である。加盟国およびEUの諸機関が協力して、重要なインフラや公共の安全保障に影響を及ぼす可能性のあるサイバー危機に備え、対応するための実践的なツールとして役立つものである」。
ENISA would like to thank and congratulate the Polish Presidency chairing the Horizontal Working Party on Cyber Issues of the Council of the EU for the work done to make the revised Blueprint a reality.	ENISAは、EU理事会のサイバー問題に関する水平作業部会の議長を務めるポーランド議長国に対し、改訂版ブループリントの実現に向けて行われた作業に感謝し、祝意を表する。
Katarzyna Prusak-Gorniak, Chair of the Horizontal Working Party on Cyber Issues of the Council of the EU said: “EU Cyber Blueprint puts in place a framework to effectively respond to a cyber crisis at the EU level and enables CSIRT Network together with the EU-CyCLONe, powered by ENISA, to further strengthen cooperation."	EU理事会のサイバー問題に関する水平作業部会のカタジナ・プルザック＝ゴルニアク議長は、次のように述べた： 「EUサイバー青写真は、EUレベルでサイバー危機に効果的に対応するための枠組みを提供するものであり、CSIRTネットワークが、ENISAを中心とするEU-CyCLONeとともに、協力をさらに強化することを可能にするものである
The EU Agency for Cybersecurity Executive Director, Juhan Lepassaar, declared: “With a cyber threat landscape continually evolving, the revision of the cybersecurity Blueprint came at just the right time. With years of effective support to cyber crises management to its name, ENISA has been an active enabler for the cyber crisis community in the EU. Strengthening our cooperative efforts is how we will be able to further secure our digital economy and society.”	EUサイバーセキュリティ機関のジュハン・レパサール事務局長は、次のように述べた： 「サイバー脅威の状況が絶え間なく進化する中、サイバーセキュリティの青写真の改訂は、まさに適切な時期に行われた。サイバー危機管理を長年にわたって効果的に支援してきたENISAは、EUのサイバー危機コミュニティにとって積極的なイネーブラーである。我々の協力的な取り組みを強化することで、デジタル経済と社会の安全をさらに確保することができる」。
Following the provisions of its mandate, ENISA has been supporting European cyber incident and crisis management for years with the daily operations of the CSIRTs Network and of the EU-CyCLONe, with situational awareness, annual crisis simulation exercises and dedicated trainings. The Agency has also been supporting Member States in developing their own cyber crisis plans and structures and works every day to ensure collaboration and information sharing across the operational communities.	ENISAは、その任務の規定に従い、CSIRTsネットワークおよびEU-CyCLONeの日常的な運営、状況認識、毎年の危機シミュレーション演習、専用訓練などを通じて、長年にわたり欧州のサイバー事件・危機管理を支援してきた。ENISAはまた、加盟国が独自のサイバー危機計画や体制を構築するのを支援し、運用コミュニティ全体の協力と情報共有を確保するために日々取り組んでいる。
ENISA therefore considers the revised Blueprint as an essential step forward since it:	したがって、ENISAは、改訂された青写真を、以下の点から不可欠な前進と考えている：
・clarifies the interactions and processes between the high number of actors now involved;	・現在関与している多数の関係者間の相互作用とプロセスを明確化する；
・helps support the implementation and strengthening of existing and upcoming efforts;	・既存および今後の取り組みの実施と強化を支援する；
・enhances the whole cyber crisis life cycle faced with a complex and fast evolving cyber threat environment.	・複雑かつ急速に進化するサイバー脅威環境に直面するサイバー危機のライフサイクル全体を強化する。
How is ENISA to support the implementation of the Blueprint?	ENISAはブループリントの実施をどのように支援するのか？
・By supporting Member States & relevant EU bodies	・加盟国とEUの関連機関を支援する
ENISA stands ready to strengthen its support to the Members States and the European Commission, CERT-EU, Europol and all other relevant Union entities to best respond to this call for action.	ENISAは、加盟国および欧州委員会、CERT-EU、欧州刑事警察機構（ユーロポール）、その他すべての関連するEU機関に対する支援を強化し、この行動要請に最善の形で対応する用意がある。
・By boosting the operational networks operational capacity	・運用ネットワークの運用能力を高めることによって
The Agency is eager to offer its expertise and contribute to gather relevant information in order to increase the EU capacity to produce an overview of the technical and operational activities in place at national level.	当機関は、国家レベルで実施されている技術的・運用的活動の概要を作成する EU の能力を高めるため、その専門知識を提供し、関連情報の収集に貢献したいと考えている。
Moreover, the Agency aims to streamline ENISA’s support to the EU-CyCLONe and the CSIRTs network. The intention is to further bolster cooperation across all networks and communities, to improve information sharing regarding incidents, vulnerabilities and situational awareness as a whole.	さらに、当機関は、EU-CyCLONeおよびCSIRTsネットワークに対するENISAの支援を合理化することを目指している。その意図は、すべてのネットワークとコミュニティ間の協力をさらに強化し、インシデント、脆弱性、状況認識に関する情報共有を全体として向上させることにある。
・By empowering the cybersecurity community	・サイバーセキュリティ・コミュニティを強化する
ENISA’s goal is to empower network members by ensuring they have the expertise and make full use of the available tools for information sharing.	ENISAの目標は、ネットワークメンバーが専門知識を持ち、情報共有のために利用可能なツールを十分に活用できるようにすることで、ネットワークメンバーに権限を与えることである。
The EU-CyCLONe and the CSIRTs Network have both central roles in the revised Blueprint. This is why ENISA supports the development and alignment of the different Standard Operating Procedures in accordance with each network and Chair Presidencies. In doing so, the Agency aims to enhance the response capacity during large-scale cybersecurity incidents and crises and also contribute to an EU integrated situational awareness.	EU-CyCLONeとCSIRTsネットワークは、改訂されたブループリントにおいて中心的な役割を担っている。このため、ENISAは、各ネットワークおよび議長国に従って、さまざまな標準業務手順書の策定と調整を支援している。そうすることで、大規模なサイバーセキュリティ事件や危機発生時の対応能力を強化し、EUの統合的な状況認識に貢献することを目指している。
・By contributing to achieve a common taxonomy	・共通の分類法の実現に貢献する
ENISA will support the efforts outlined in the revised Blueprint to create a common aligned taxonomy. The Agency therefore intends to make use of the wider expertise across all the different areas of its portfolio to facilitate this by fostering interoperability and integration across all networks and communities.	ENISAは、ブループリント改訂版で概説された、共通の整列された分類法を作成するための取り組みを支援する。そのため、ENISAは、そのポートフォリオのすべての異なる分野にまたがる幅広い専門知識を活用し、すべてのネットワークとコミュニティの相互運用性と統合を促進することによって、これを促進する意向である。
What’s next?	次は何をするのか？
ENISA is able to share and adopt lessons learnt from past exercises and cyber crises. The Agency can therefore effectively support the Commission with both the annual rolling programme of cyber exercises and with the testing of the Cyber Blueprint at the next edition of the Cyber Europe exercise, in coordination with the High Representative.	ENISAは、過去の演習やサイバー危機から学んだ教訓を共有し、採用することができる。そのため、ENISAは、欧州委員会のサイバー演習の年次計画および上級代表と連携した次回のサイバー欧州演習におけるサイバー青写真のテストの両方を効果的に支援することができる。
ENISA recommends that to make the revised Blueprint a success, it will also be essential to align the tasks and avoid duplication within the relevant EU governance and framework.	ENISAは、改訂版ブループリントを成功させるためには、関連するEUのガバナンスと枠組みの中で、任務を調整し、重複を避けることも不可欠であると勧告する。
Based on joint efforts ENISA will bridge networks and communities, including the civilian, law enforcement, defence and the private sector, for instance through the ENISA Cyber Partnership Programme (CPP).	ENISAは共同努力に基づき、例えばENISAサイバー・パートナーシップ・プログラム（CPP）を通じて、民間、法執行機関、防衛、民間部門を含むネットワークとコミュニティの橋渡しを行っていく。
FURTHER INFORMATION	関連情報
Council of the European Union – Press Page	欧州連合理事会 - プレスページ
ENISA topic – EU incident response and cyber crisis management	ENISAトピック - EUのインシデント対応とサイバー危機管理
ENISA topic – Cyber Partnership Programme (CPP)	ENISAトピック - サイバー・パートナーシップ・プログラム（CPP）

・

EU incident response and cyber crisis management	EUのインシデント対応とサイバー危機管理
ENISA works together with EU Member States, with the European Commission, and with other agencies to prevent and respond effectively to cybersecurity incidents and crises.	ENISAは、EU加盟国、欧州委員会、その他の機関と協力し、サイバーセキュリティのインシデントや危機を予防し、効果的に対応する。
The EU Agency for Cybersecurity (ENISA), works hands-on with the EU the Member States, with the European Commission and with other Agencies, to help either prevent or effectively respond to cybersecurity incidents and crises. Within its policy remit, ENISA has been supporting the field of European cyber incident and crisis management for several years, with activities such as: daily operations of the CSIRTs Network and of the EU-CyCLONe, crisis simulation exercises, trainings, support to Member States in developing their crisis plans and structures and the organisation of international conferences and studies.	EUサイバーセキュリティ機関（ENISA）は、EU加盟国、欧州委員会、その他の機関と協力し、サイバーセキュリティ事件や危機の予防や効果的な対応を支援している。その政策的権限の範囲内において、ENISAはサイバーセキュリティの分野を支援し、CSIRTsネットワークおよびEU-CyCLONeの日常業務、危機シミュレーション演習、訓練などの活動を通じて、欧州のサイバーインシデントおよび危機管理の分野を数年にわたり、加盟国の危機管理計画や体制の整備支援、国際会議や研究の開催などを通じて支援してきた。
As an active actor in the context of the EU coordinated response to cyber security incidents crises, ENISA assists the Union whenever required, notably in the framework of the Integrated Political Crisis Response (IPCR) arrangements. ENISA works closely with Member States to develop EU-level cyber crisis management procedures in order to improve situational awareness in the event of cross-border cyber incidents. The Agency also assists both national and European decision-makers in making the most appropriate decisions.	ENISAは、サイバーセキュリティインシデント危機に対するEUの協調的対応の文脈における積極的なアクターとして、特に統合政治危機対応（IPCR）の枠組みの中で、必要なときはいつでもEUを支援している。ENISAは加盟国と緊密に協力し、国境を越えたサイバーインシデント発生時の状況認識を改善するため、EUレベルのサイバー危機管理手順を策定している。同機関はまた、国内および欧州の意思決定者が最も適切な決定を下すのを支援する。
In particular, ENISA supports EU-level cyber crisis management by:	特に、ENISAは以下の方法により、EUレベルのサイバー危機管理を支援している：
・Enabling the operations of the EU CSIRTs Network and EU-CyCLONe by providing the Secretariat team, resources and expertise;	・事務局チーム、リソースおよび専門知識をプロバイダとして提供することにより、EU CSIRTs NetworkおよびEU-CyCLONeの運営を可能にする；
・Providing the IT infrastructure and tools for ENISA stakeholders and in particular the CSIRTs Network and the EU-CyCLONe to securely exchange information about incidents and ongoing threats;	・ENISA関係者、特にCSIRTsネットワークとEU-CyCLONeがインシデントや進行中の脅威に関する情報を安全に交換できるよう、ITインフラとツールをプロバイダとして提供する；
・Contributing to the drafting and establishment of operational procedure to prepare and respond to large-scale cross-border incidents and crisis at Union level;	・EUレベルでの大規模な国境を越えたインシデントや危機に備え、対応するための運用手順のドラフト作成と確立に貢献する；
・Building and running tailored exercise and trainings to support the test of procedure at European and National level in the context of cyber crisis management;	・サイバー危機管理の文脈で、欧州および国内レベルでの手順のテストを支援するために、個別の演習や訓練を構築し、実施する；
・Contributing to Union common situational awareness based on ENISA’s monitoring as well as through ENISA’s Cyber Partnership Programme by sharing accurate and timely information on ongoing incidents and threats and producing an in-depth technical regular report as per the provisions of Art. 7(6) of the CSA;	・現在進行中のインシデントや脅威に関する正確かつタイムリーな情報を共有し、CSA第7条第6項の規定に従い詳細な技術的定期報告書を作成することにより、ENISAの監視に基づき、またENISAのサイバーパートナーシッププログラムを通じて、欧州連合共通の状況認識に貢献する。7(6)の規定に従い、詳細な技術的定期報告書を作成する；
・Contributing to EU-level common situational awareness by providing relevant and timely information to EEAS, HWPCI, and all relevant EU stakeholders;	・EEAS、HWPCI、およびすべての関連するEU利害関係者に関連情報をタイムリーにプロバイダすることにより、EUレベルの共通状況認識に貢献する；
・Providing preparedness (ex-ante) and response support (ex-post) services to Union’s essential, important or critical entities.	・EUの必須事業体、重要事業体または重要事業体に対する事前準備（事前）および事後対応支援（事後）サービスを提供する。
ENISA’s activities provide guidance to the cybersecurity bodies of EU Member States on their crisis management, situational awareness, coordination and political decision-making capacities. The Agency serves as an information hub and empowers cooperation and coordination among the CSIRTs Network, the EU-CyCLONe and all other relevant EU institutions, bodies and agencies (e.g. CERT-EU, EEAS, EUROPOL) in times of large-scale incidents and crises. Areas of effort encompass:	ENISAの活動は、EU加盟国のサイバーセキュリティ団体に対し、危機管理、状況認識、調整、政治的意思決定能力に関するガイダンスを提供している。大規模なインシデントや危機が発生した場合、ENISAは情報ハブとして機能し、CSIRTsネットワーク、EU-CyCLONe、その他すべての関連するEU機構、団体、機関（CERT-EU、EEAS、欧州刑事警察機構など）間の協力と調整を強化する。取り組み分野は以下の通りである：
・Preparedness and incident response capabilities;	・準備態勢とインシデント対応能力；
・Maturity and capabilities of operational communities (including cooperation with law enforcement);	・運用コミュニティの成熟度と能力（法執行機関との協力を含む）；
・Coordinated response and recovery to large scale cyber incidents and crises across different communities;	・大規模なサイバーインシデントや危機への対応と復旧を、異なるコミュニティ間で連携して行う；
・The evolution of EU joint response by enabling the deployment of EU level proposals.	・EUレベルの提案の展開を可能にすることで、EUの共同対応を進化させる。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.03.05 欧州委員会 EUのサイバー危機調整を強化するための新たなサイバーセキュリティ青写真 (2024.02.24)

・2024.12.11 欧州連合理事会 サイバーセキュリティ強化に向けENISAの権限の強化を承認 (2024.12.06)

米国 CISA AIデータセキュリティ：AIシステムの訓練と運用に使用されるデータセキュリティのベストプラクティス (2025.05.22)

こんにちは、丸山満彦です。

カナダを除くFive eyesの主要情報コミュニティーが、AIデータセキュリティについてのベストプラクティスを公表していますね...

 ● U.S. - CISA

・2025.05.22 AI Data Security: Best Practices for Securing Data Used to Train & Operate AI Systems

AI Data Security: Best Practices for Securing Data Used to Train & Operate AI Systems	AIデータセキュリティ： AIシステムの訓練と運用に使用されるデータセキュリティのベストプラクティス
CISA, the National Security Agency, the Federal Bureau of Investigation, and international partners released AI Data Security: Best Practices for Securing Data Used to Train & Operate AI Systems.	CISA、国家安全保障局、連邦捜査局、および国際的パートナーがAIデータセキュリティを発表した： AIシステムの訓練と運用に使用されるデータセキュリティのベストプラクティス」を発表した。
This guidance highlights the critical role of data security in ensuring the accuracy, integrity, and trustworthiness of AI outcomes. It outlines key risks that may arise from data security and integrity issues across all phases of the AI lifecycle, from development and testing to deployment and operation.	このガイダンスは、AIの成果の正確性、完全性、信頼性を確保する上で、データセキュリティが果たす重要な役割を強調している。開発、テストから展開、運用に至るまで、AIライフサイクルのすべての段階において、データセキュリティと完全性の問題から生じる可能性のある主要なリスクを概説している。

・[PDF]

・[DOCX][PDF] 仮訳

目次...

Executive summary	エグゼクティブサマリー
Introduction	序論
Audience and scope	想定読者と適用範囲
Securing data throughout the AI system lifecycle	AIシステムのライフサイクルを通じてデータをセキュリティで保護する
Best practices to secure data for AI-based systems	AIベースのシステムでデータを保護するためのベストプラクティス
Data supply chain – risks and mitigations	データ・サプライチェーン - リスクと緩和
General risks for data consumers	データ消費者の一般的リスク
Risk: Curated web-scale datasets	リスク：キュレーションされたウェブスケールのデータセット
Risk: Collected web-scale datasets	リスク：収集されたウェブスケールのデータセット
Risk: Web-crawled datasets	リスク：ウェブクローリングされたデータセット
Final note on web-scale datasets and data poisoning	ウェブスケールのデータセットとデータ・ポイズニングに関する最終ノート
Maliciously modified data – risks and mitigations	悪意を持って変更されたデータ - リスクと緩和策
Risk: Adversarial Machine Learning threats	リスク：敵対的機械学習の脅威
Risk: Bad data statements	リスク：不正なデータ声明
Risk: Statistical bias	リスク：統計バイアス
Risk: Data poisoning via inaccurate information	リスク：不正確な情報によるデータ・ポイズニング
Risk: Data duplications	リスク：データの重複
Data drift – risks and mitigations	データ・ドリフト - リスクと緩和
Conclusion	結論
Works cited	引用文献

エグゼクティブサマリー...

Executive summary	エグゼクティブサマリー
This Cybersecurity Information Sheet (CSI) provides essential guidance on securing data used in artificial intelligence (AI) and machine learning (ML) systems. It also highlights the importance of data security in ensuring the accuracy and integrity of AI outcomes and outlines potential risks arising from data integrity issues in various stages of AI development and deployment.	このサイバーセキュリティ・インフォメーションシート（CSI）は、人工知能（AI）および機械学習（ML）システムで使用されるデータのセキュリティに関する重要なガイダンスを提供する。また、AIの成果の正確性と完全性を確保する上でのデータセキュリティの重要性を強調し、AIの開発と展開の様々な段階におけるデータの完全性の問題から生じる潜在的なリスクを概説している。
This CSI provides a brief overview of the AI system lifecycle and general best practices to secure data used during the development, testing, and operation of AI-based systems. These best practices include the incorporation of techniques such as data encryption, digital signatures, data provenance tracking, secure storage, and trust infrastructure. This CSI also provides an in-depth examination of three significant areas of data security risks in AI systems: data supply chain, maliciously modified (“poisoned”) data, and data drift. Each section provides a detailed description of the risks and the corresponding best practices to mitigate those risks.	本CSIは、AIシステムのライフサイクルの簡単な概要と、AIベースのシステムの開発、テスト、運用中に使用されるデータを保護するための一般的なベストプラクティスを提供する。これらのベスト・プラクティスには、データの暗号化、デジタル署名、データの出所追跡、安全な保管、信頼基盤などの技術の組み込みが含まれる。本CSIはまた、AIシステムにおけるデータ・セキュリティ・リスクの3つの重要な分野、すなわちデータ・サプライ・チェーン、悪意を持って改変された（「ポイズニング」された）データ、データ・ドリフトについても詳細な検証をプロバイダとして提供する。各セクションでは、リスクの詳細な説明と、それらのリスクを緩和するための対応するベストプラクティスを提供している。
This guidance is intended primarily for organizations using AI systems in their operations, with a focus on protecting sensitive, proprietary, or mission critical data. The principles outlined in this information sheet provide a robust foundation for securing AI data and ensuring the reliability and accuracy of AI-driven outcomes.	このガイダンスは、主にAIシステムを業務に使用している組織を対象としており、機密データ、専有データ、またはミッション・クリティカルなデータの保護に重点を置いている。この情報シートに概説されている原則は、AIデータを保護し、AI主導の成果の信頼性と正確性を確保するための強固な基盤を提供する。
This document was authored by the National Security Agency’s Artificial Intelligence Security Center (AISC), the Cybersecurity and Infrastructure Security Agency (CISA), the Federal Bureau of Investigation (FBI), the Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC), the New Zealand’s Government Communications Security Bureau’s National Cyber Security Centre (NCSC-NZ), and the United Kingdom’s National Cyber Security Centre (NCSC-UK).	この文書は、国家安全保障局の人工知能セキュリティセンター（AISC）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、連邦捜査局（FBI）、オーストラリア信号長官のオーストラリア・サイバー セキュリティセンター（ASDのACSC）、ニュージーランドの政府コミュニケーション・セキュリティ局の国家サイバーセキュリティセンター（NCSC-NZ）、イギリスの国家サイバーセキュリティセンター（NCSC-UK）によって作成された。
The goals of this guidance are to:	このガイダンスの目標は以下の通りである：
1. Raise awareness of the potential risks related to data security in the development, testing, and deployment of AI systems;	1. AIシステムの開発、テスト、展開におけるデータセキュリティに関連する潜在的リスクに対する認識を高める；
2.  Provide guidance and best practices for securing AI data across various stages of the AI lifecycle, with an in-depth description of the three aforementioned significant areas of data security risks; and	2. AIライフサイクルの様々な段階において、AIデータを保護するためのガイダンスとベストプラクティスを提供する。
3.  Establish a strong foundation for data security in AI systems by promoting the adoption of robust data security measures and encouraging proactive risk mitigation strategies.	3. 強固なデータセキュリティ対策の採用を促進し、積極的なリスク緩和戦略を奨励することにより、AIシステムにおけるデータセキュリティの強固な基盤を確立する。

表1：AIシステムのライフサイクル段階に、主要点、必要な継続的アセスメント、データセキュリティの重点分野、及び本CSIが対象とする特定のデータセキュリティリスク

AIのライフサイクル段階	主要点	テスト、評価、検証、妥当性確認（TEVV)	データセキュリティの潜在的重点分野	本CSIが対象とする特定のデータセキュリティリスク
1) プランとデザイン	アプリケーション・コンテキスト	監査とアセスメント	初期段階からデータ・セキュリティ対策を取り入れ、堅牢なセキュリティ・プロトコルを設計し、脅威モデリングを行い、プライバシー・バイ・デザインを取り入れる。	データ・サプライ・チェーン
2) データ収集と処理	データと入力	内部および外部妥当性確認	データの完全性、認証、暗号化、アクセス管理、データの最小化、匿名化、安全なデータ転送を確保する。	データ・サプライ・チェーン、悪意を持って変更されたデータ
3) モデルの構築と使用	AIモデル	モデルテスト	データの改ざんからの防御、データの品質とプライバシーの確保（適切かつ可能な場合には、差分プライバシーと安全なマルチパーティ計算を含む）、モデル・トレーニングの安全確保、および運用環境	データ・サプライ・チェーン、悪意を持って変更されたデータ
4) 検証と妥当性確認	AIモデル	モデルテスト	包括的なセキュリティテストを実施し、リスクを特定し緩和し、データの完全性を検証し、敵対的テストを実施し、適切かつ可能な場合は正式な検証を行う。	データ・サプライ・チェーン、悪意を持って変更されたデータ
5) 展開と使用	タスクとアウトプット	統合、コンプライアンス・テスト、妥当性確認	厳格なアクセス管理、ゼロトラストインフラストラクチャ、安全なデータ伝送と保存、安全なAPIエンドポイント、異常動作の監視を実施する。	データ・サプライチェーン、悪意を持って変更されたデータ、データ・ドリフト
6) オペレーションとモニター	アプリケーション・コンテキスト	監査とアセスメント	継続的なリスクアセスメントの実施、データ漏えいのモニタリング、データの安全な消去、規制への対応、インシデント対応計画、定期的なセキュリティ監査の実施	データ・サプライチェーン、悪意を持って変更されたデータ、データ・ドリフト

米国 NIST CSWP 45 ハードウェア・セキュリティ構成の評価指標と方法論 (2025.06.05)

こんにちは、丸山満彦です。

NISTがハードウェア・セキュリティ構成の評価指標と方法論についてのホワイト・ベーパーを公表していますね...

ハードウェアは部品等に対する操作が攻撃者にとっては困難なため、ソフトウェアより外部からの攻撃への耐性が強いという面があります（例えば、秘密鍵の保管に対タンパー装置（HSM）を利用することがありますね）。

一方、設計過程や製造過程で脆弱性が組み込まれてしまい、それに気づかないうちに使っていると、その脆弱性に起因した脅威というのが実現され、かつ気づくのに遅れる可能性もあります。なので、ハードウェアの設計・製造段階で脆弱性が入ってこないようにすることは非常に重要と言えます。

ということで、このホワイト・ペーパーは作成されているようです...

論理的に整理されていますね...

●NIST - ITL

・2025.06.05 NIST CSWP 45 Metrics and Methodology for Hardware Security Constructs

Abstract

要旨

Although hardware is commonly believed to be security-resilient, it is often susceptible to vulnerabilities that arise from design and implementation flaws. These flaws can jeopardize the hardware’s security, its operations, and critical user information. This investigation presents a comprehensive methodology for assessing threats related to different hardware weaknesses and the attacks that can exploit them. The methodology results in two key metrics: a threat metric that quantifies the number of hardware weaknesses that an attack can exploit and a sensitivity metric that measures the number of distinct attacks that can target a hardware system with a specific weakness. These metrics and the accompanying analysis aim to guide security efforts and optimize the trade-offs between hardware security and associated costs.

ハードウェアは一般的にセキュリティレジリエンスが高いと考えられているが、設計や実装の欠陥から生じる脆弱性の影響を受けやすいことが多い。これらの欠陥は、ハードウェアのセキュリティ、運用、重要なユーザー情報を危険にさらす可能性がある。この調査では、さまざまなハードウェアの弱点に関連する脅威と、それを悪用する攻撃を評価するための包括的な方法論を提示する。この方法論は、攻撃が悪用できるハードウェアの弱点の数を定量化する脅威メトリックと、特定の弱点を持つハードウェアシステムをターゲットにできる明確な攻撃の数を測定する感度メトリックという、2つの重要なメトリックをもたらす。これらの指標とそれに伴う分析は、セキュリティ対策の指針となり、ハードウェア・セキュリティと関連コストのトレードオフを最適化することを目的としている。

● MITRE

・Common Weakness Emulation

・[PDF] NIST.CSWP.45

・[DOCX][PDF] 仮訳

目次...

Introduction	序論
1. Motivation	1.モチベーション
2. Hardware Weaknesses and Their Security Implications	2.ハードウェアの弱点とセキュリティへの影響
3. CAPEC Attack Patterns	3.CAPEC攻撃パターン
3.1. Meta Attack Patterns	3.1.メタ攻撃パターン
3.2. Standard Attack Patterns	3.2.標準攻撃パターン
4. Resources Required to Exploit CAPEC Attack Patterns	4.CAPEC攻撃パターンの攻略に必要なリソース
5. Methodology for Hardware Weakness Threat Analysis	5.ハードウェアの弱点脅威分析の方法論
6. Conclusion	6.結論
References	参考文献

序論...

Introduction	序論
Hardware is often regarded as more security-resilient than software because physical components are more difficult to manipulate. Hardware designers also have greater control over implementation details, which enables them to mitigate certain critical attacks.	ハードウェアは、物理的なコンポーネントの操作がより困難であるため、ソフトウェアよりもセキュリティレジリエンスが高いとみなされることが多い。また、ハードウェア設計者は実装の詳細をより詳細に制御できるため、特定の重大な攻撃を緩和することができる。
However, weaknesses can be introduced during the design and manufacturing stages that cause hardware to leak sensitive information and compromise the accuracy of operations. For example, Spectre [1], Meltdown [2], Inception [3], Downfall [4], and Foreshadow [5] are wellknown vulnerabilities that show how hardware weaknesses can be exploited in both controlled laboratory environments and real-life scenarios. Developing more secure hardware for the future requires ongoing research into different hardware weaknesses and the techniques used to exploit them.	しかし、設計や製造の段階で弱点が入り込み、ハードウェアから機密情報が漏れたり、操作の正確性が損なわれたりすることがある。例えば、Spectre [1]、Meltdown [2]、Inception [3]、Downfall [4]、Foreshadow [5]はよく知られた脆弱性であり、管理された実験室環境と現実のシナリオの両方で、ハードウェアの脆弱性がどのように悪用されるかを示している。将来に向けて、より安全なハードウェアを開発するためには、さまざまなハードウェアの弱点と、それを悪用するために使用される技術に関する継続的な研究が必要である。
With a goal of developing exploitation and mitigation strategies, the Hardware Common Weakness Enumeration Special Interest Group (HW CWE SIG) has analyzed 108 different hardware weaknesses that originate from hardware design issues [6]. CWE categorizes and maintains hardware and software weaknesses separately, since they and their exploitation and mitigation techniques are fundamentally different. Additionally, the Common Attack Pattern Enumeration and Classification (CAPEC) established by the U.S. Department of Homeland Security [7] categorizes possible existing attack patterns in hardware, software, communications, supply chains, social engineering, and physical security. CAPEC also analyzes the likelihood of such attacks being launched, their potential severity and flow of execution, and the skills that an adversary is likely to need.	悪用と緩和戦略を開発する目的で、Hardware Common Weakness Enumeration Special Interest Group（HW CWE SIG）は、ハードウェア設計の問題に起因する108種類のハードウェア弱点を分析した[6]。CWE では、ハードウェアの弱点とソフトウェアの弱点は基本的に異なるものであり、その悪用と緩和の手法も異なるため、ハードウェアの弱点とソフトウェアの弱点を別々に分類し、管理している。さらに、米国国土安全保障省が制定した共通攻撃パターン列挙分類（Common Attack Pattern Enumeration and Classification：CAPEC）[7]は、ハードウェア、ソフトウェア、コミュニケーション、サプライチェーン、ソーシャルエンジニアリング、物理セキュリティにおいて、現存する可能性のある攻撃パターンを分類している。また、CAPEC は、そのような攻撃が開始される可能性、その潜在的な重大性、実行の流れ、敵対者が必要としそうなスキルについても分析する。
This work utilizes a comprehensive methodology and two key metrics—threat and sensitivity— to analyze different hardware weaknesses (Sec. 3) and the specific attack patterns that can exploit them (Sec. 4). Section 5 discusses the resources needed to launch various attack patterns. Section 6 contains the overall framework for this analysis.	この研究では、包括的な方法論と、脅威と感度という2つの重要な指標を活用し、様々なハードウェアの弱点（セクション3）と、それを悪用できる具体的な攻撃パターン（セクション4）を分析する。セクション5では、様々な攻撃パターンを実行するために必要なリソースについて議論する。セクション6 では、この分析の全体的な枠組みを示す。

CWEで最も重要なハードウェアの弱点

ID	Description	説明
CWE-1272	Sensitive Information Uncleared Before Debug/Power State Transition	デバッグ/電源状態遷移の前に機密情報がクリアされない
CWE-1300	Improper Protection of Physical Side Channels	物理的サイドチャンネルの不適切な防御
CWE-1189	Improper Isolation of Shared Resources on System-on-a-Chip (SoC)	システムオンチップ（SoC）における共有リソースの不適切な分離
CWE-1244	Internal Asset Exposed to Unsafe Debug Access Level or State	内部資産が安全でないデバッグアクセスレベルまたは状態にさらされる
CWE-1191	On-Chip Debug and Test Interface with Improper Access Control	不適切なアクセス管理のオンチップ・デバッグおよびテスト・インターフェース
CWE-1231	Improper Prevention of Lock Bit Modification	ロック・ビット変更の不適切な防止
CWE-1233	Security-Sensitive Hardware Controls with Missing Lock Bit Protection	ロックビット欠落保護機能付きセキュリティ重視ハードウェア制御
CWE-1274	Improper Access Control for Volatile Memory Containing Boot Code	ブートコードを含む揮発性メモリに対する不適切なアクセス管理
CWE-1260	Improper Handling of Overlap Between Protected Memory Ranges	保護されたメモリ領域間のオーバーラップの不適切な処理
CWE-1240	Use of a Cryptographic Primitive with a Risky Implementation	リスクの高い実装を持つ暗号プリミティブの使用
CWE-1256	Improper Restriction of Software Interfaces to Hardware Features	ハードウェア機能に対するソフトウェア・インターフェースの不適切な制限

一般的な弱点の列挙...

● MITRE

・Common Weakness Enumeration

メタレベル（ハイレベル）の攻撃パターン...

特定の技術や実装を特定しない攻撃手法やテクニックの抽象的でハイレベルな記述

ID	Description	説明
26	Leveraging Race Conditions	レース条件を活用する
113	Interface Manipulation	インターフェイスの操作
114	Authentication Abuse	認証の悪用
122	Privilege Abuse	特権の乱用
124	Shared Resource Manipulation	共有リソースの操作
176	Configuration/Environment Manipulation	コンフィギュレーション／環境操作
188	Reverse Engineering	リバース・エンジニアリング
192	Protocol Analysis	プロトコル分析
233	Privilege Escalation	特権のエスカレーション
441	Malicious Logic Insertion	悪意のあるロジックの挿入
624	Hardware Fault Injection	ハードウェア障害インジェクション

標準攻撃パターン

メタレベルの攻撃パターンのサブグループで、特定の攻撃手法やテクニックに焦点を当てている

ID	Description	説明
167	White Box Reverse Engineering	ホワイトボックス・リバース・エンジニアリング
189	Black Box Reverse Engineering	ブラックボックス・リバース・エンジニアリング
121	Exploit Non-Production Interfaces	非プロダクション・インターフェイスを悪用する
36	Using Unpublished Interfaces or Functionality	未発表のインターフェイスや機能を使用する
1	Accessing Functionality Not Properly Constrained by ACLs	ACLによって適切に制限されていない機能へのアクセス
180	Exploiting Incorrectly Configured Access Control Security Level	不正に設定されたアクセス管理のセキュリティレベルを悪用する
68	Subvert Code-signing Facilities	コード・サイン設備を破壊する
452	Infected Hardware	感染したハードウェア
456	Infected Memory	インフェクテッド・メモリー
97	Cryptanalysis	暗号解読
625	Mobile Device Fault Injection	モバイル機器の障害インジェクション

攻撃に必要なリソースマッピング

・攻撃者の「知識レベル（高低）」、ハードウェアに対する情報のレベル（設計図、内部レジスタから情報を入手できる、入出力だけ）を整理していますね...

米国 NIST SP 800-18 Rev.2（初公開ドラフト） システムのセキュリティ、プライバシー、サイバーセキュリティ・サプライチェーン・リスクマネジメント計画の策定 (2025.06.04)

こんにちは、丸山満彦です。

1998年12月に初版が発行され、2006年2月に改訂されたNISTのSP800-18 Rev.1 連邦情報システムのためのセキュリティ計画策定ガイドの改訂版案が公表されていますね...

NISTのリスクマネジメント・フレームワーク (RMF) の理解が前提となっていますね...

ということもあって、現在の版が情報システムのセキュリティであったのが、改定案では、プライバシーとサイバーセキュリティ・サプライチェーン・リスクマネジメントも対象に含まれることになっていますね...

現在の版は、IPAから[PDF]日本語仮訳版が公表されているので、参考にするとよいと思います...

ちなみにNIST RMFに関連するNISTのプロジェクトは次のとおり...

• Cybersecurity Framework
• Cybersecurity Supply Chain Risk Management
• Federal Cybersecurity & Privacy Forum
• macOS Security
• Open Security Controls Assessment Language
• Operational Technology Security
• Privacy Engineering
• Protecting CUI
• Systems Security Engineering (SSE) Project

● NIST - ITL

・2025.06.04 NIST SP 800-18 Rev. 2 (Initial Public Draft) Developing Security, Privacy, and Cybersecurity Supply Chain Risk Management Plans for Systems

NIST SP 800-18 Rev. 2 (Initial Public Draft) Developing Security, Privacy, and Cybersecurity Supply Chain Risk Management Plans for Systems	NIST SP 800-18 Rev.2（初公開ドラフト） システムのセキュリティ、プライバシー、サイバーセキュリティ サプライチェーンリスクマネジメント計画の策定
Announcement	発表
The system security plan, system privacy plan, and cybersecurity supply chain risk management plan–collectively referred to as system plans– consolidate information about the assets and individuals being protected within an authorization boundary and its interconnected systems. System plans serve as a centralized point of reference for information about the system and tracking risk management decisions to include data being created, collected, disseminated, used, stored, and disposed; individuals responsible for system risk management efforts; details about the environment of operation, system components, and data flows internally and externally; and controls in planned and in place to manage risk.	システムセキュリティプラン、システムプライバシプラン、サイバーセキュリティ・サプライチェーン・リスクマネジメントプランは、総称してシステムプランと呼ばれ、認可バウンダリとその相互接続システム内で保護される資産と個人に関する情報を統合する。システム計画は、作成、収集、普及、使用、保存、廃棄されるデータ、システムリスクマネジメントの取り組みの責任者、運用環境、システム構成要素、内部および外部へのデータの流れに関する詳細、リスクマネジメントのために計画され実施されている管理策など、システムに関する情報およびリスクマネジメントの意思決定を追跡するための一元的な参照ポイントとして機能する。
NIST Special Publication 800-18r2 focuses on the development of system plans that address system-level security, privacy, and CSCRM requirements that may derive from enterprise, organization, and mission/business process requirements.	NIST 特別刊行物 800-18r2 は、エンタープライズ、組織、及びミッション／ビジネスプロセスの要件に由来するシステムレベルのセキュリティ、プライバシー、及び CSCRM の要件に対応するシステム計画の策定に焦点を当てている。
The major changes for this revision include:	この改訂の主な変更点は以下のとおりである：
・Expanded guidance to address the development of system plans within the context of the NIST Risk Management Framework, the NIST Privacy Framework, and NIST SP 800-161r1, Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations.	・NIST リスクマネジメントフレームワーク、NIST プライバシーフレームワーク、及び NIST SP 800-161r1「システム及び組織のためのサイバーセキュリティ・サプライチェーン・リスクマネジメントの実践」の文脈におけるシステム計画の策定に対処するためのガイダンスの拡充。
・Insights into the development of a consolidated system plan that encompasses security, privacy, and cybersecurity supply chain risk management plan elements.	・セキュリティ、プライバシー、及びサイバーセキュリティのサプライチェーンリスクマネジメント計画の要素を包含する統合システム計画の策定についての洞察。
・Updated descriptions of system plan elements, with considerations for security, privacy, and cybersecurity supply chain risk management requirements.	・セキュリティ、プライバシー及びサイバーセキュリティサプライチェーンリスクマネジメント要件に配慮したシステム計画要素の説明を更新した。
・Considerations for automating the development and maintenance of system plans using information management tools, such as governance, risk, and compliance (GRC) applications.	・ガバナンス・リスク・コンプライアンス（GRC）アプリケーションなどの情報マネジメントツールを用いたシステム計画の策定及び保守の自動化に関する考察。
Supplemental materials include system plan example outlines; updated roles and responsibilities associated with system plan development.	補足資料には、システム計画例の概要、システム計画策定に関連する役割と責任の更新などが含まれる。
The public comment period is open through July 30, 2025. We encourage you to use this comment template and email it to [mail] .	パブリックコメント期間は2025年7月30日までである。このコメントテンプレートを使用し、[mail] まで電子メールで送付されることを推奨する。
Abstract	要旨
The system security plan, system privacy plan, and cybersecurity supply chain risk management plan are collectively referred to as system plans. They describe the purpose of the system, the operational status of the controls selected and allocated for meeting risk management requirements, and the responsibilities and expected behavior of all individuals who manage, support, and access the system. This publication identifies essential elements of system plans from security, privacy, and cybersecurity supply chain risk management perspectives to promote consistent information collection across the organization, regardless of the system’s mission or business function.	システムセキュリティプラン、システムプライバシープラン、サイバーセキュリティサプライチェーンリスクマネジメントプランを総称してシステムプランと呼ぶ。これらは、システムの目的、リスクマネジメント要件を満たすために選択され、割り当てられた管理 の運用状況、システムを管理、サポート、アクセスするすべての個人の責任と期待される行動を記述する。本書では、セキュリティ、プライバシー、サイバーセキュリティのサプライチェーンリスクマネジメントの観点から、システム計画に不可欠な要素を特定し、システムのミッションや業務機能に関係なく、組織全体で一貫した情報収集を促進する。
Supplemental Content	補足コンテンツ
The following materials are available on the publication details page to supplement the guidance provided in this publication:	本書で提供されるガイダンスを補足するために、出版物の詳細ページで以下の資料を入手できる：
・System Security Plan outline example	・システム・セキュリティ計画の概要例
・System Privacy Plan outline example	・システム・プライバシー計画の概要例
・Cybersecurity Supply Chain Risk Management System Plan outline example	・サイバーセキュリティ サプライチェーンリスクマネジメントシステム計画の概要例
・System Plan Roles and Responsibilities	・システム計画の役割と対応計画
Audience	想定読者
This publication is intended to serve a diverse audience, including:	本書は、以下を含む多様な読者を対象としている：
・Individuals with information security, privacy, and risk management program oversight responsibilities (e.g., authorizing officials, senior agency information security officers, senior agency officials for privacy)	・情報セキュリティ、プライバシー及びリスクマネジメントプログラムの監督責任を有する個人 （例えば、認可担当者、上級機関の情報セキュリティ担当者、プライバシー担当の上級機関職員） ・システム開発責任を有する個人
・Individuals with system development responsibilities (e.g., mission or business owners, program managers, systems engineers, systems security engineers, systems privacy engineers, software developers, systems integrators, acquisition or procurement officials)	・システム開発に責任を有する個人（例えば、ミッション又はビジネスオーナー、プログラ ムマネージャー、システムエンジニア、システムセキュリティエンジニア、システムプライバシエンジニア、ソフトウ ェア開発者、システムインテグレーター、取得又は調達担当者）
・Individuals with system security and privacy implementation and operations responsibilities (e.g., mission or business owners, system owners, information owners or stewards, system administrators, system security officers, system privacy officers)	・システムセキュリティ及びプライバシーの実装と運用を担当する個人 （例えば、ミッション又はビジネスオーナー、システムオーナー、情報オーナ ー又はスチュワード、システム管理者、システムセキュリティオフィサー、シ ステムプライバシーオフィサー）
・Individuals with cybersecurity supply chain risk management-related responsibilities (e.g., C-SCRM program managers)	・サイバーセキュリティサプライチェーンリスクマネジメントに関連する責任を有する個人（例： C-SCRM プログラムマネージャ）
・Individuals with acquisition and procurement-related responsibilities (e.g., acquisition officials, contracting officers)	・取得及び調達に関連する責任を有する個人（例：取得担当者、契約担当者）
・Individuals with logistical or disposition-related responsibilities (e.g., program managers, system integrators, property managers)	・後方支援または処分に関連する責任を有する個人 （例：プログラムマネージャー、システム インテグレーター、資産管理者）
・Individuals with control assessment and monitoring responsibilities (e.g., auditors, Inspectors General, system evaluators, control assessors, independent verifiers and validators, analysts)	・管理評価及び監視に責任を持つ個人（例：監査人、監察官、システム評価者、管理評価者、独立検証者及び妥当性確認者、分析者）
・Commercial entities and industry partners that produce component products and systems, create security and privacy technologies, or provide services or capabilities that support information security or privacy	・コンポーネント製品やシステムを製造し、セキュリティ技術やプライバシー技術を開発し、 情報セキュリティやプライバシーを支援するサービスや機能を提供する営利事業体や業界 パートナー
The material presented in this publication assumes that the audience has a basic understanding of the NIST Risk Management Framework (RMF).	本書に記載されている内容は、読者がNISTリスクマネジメントフレームワーク（RMF）の基本的な理解を持っていることを前提としている。
Note to Reviewers	査読者への注記
NIST welcomes feedback on the quality of the draft revision of this publication, including the technical accuracy of the material presented, the ease of navigating and understanding the material, and the impacts of the added, modified, and removed content.	NISTは、提示された資料の技術的な正確さ、資料のナビゲーションや理解のしやすさ、追加・修正・削除された内容の影響など、本書の改訂ドラフトの品質に関するフィードバックを歓迎する。
This updated guidance for the development of system plans is intended to support:	システム計画策定のためのこの最新ガイダンスは、以下を支援することを意図している：
・The development and maintenance of system plans following the NIST RMF	・NIST RMFに従ったシステム計画の策定と保守を支援する。
・Privacy risk management as reflected in the NIST Privacy Framework, the inclusion of privacy risk management in SP 800-37, and the updated controls in SP 800-53 to more fully support privacy objectives	・NIST Privacy Framework に反映されたプライバシーリスクマネジメント、SP 800-37 に含まれたプライバシーリスクマネジメント、及びプライバシー目標をより完全にサポートするための SP 800-53 の更新されたコントロール
・The increased attention to cybersecurity-related supply chain risks reflected in SP 800161 and the supply chain risk management (SR) controls in SP 800-53	・SP 800161 及び SP 800-53 のサプライチェーンリスクマネジメント(SR)統制に反映され た、サイバーセキュリティ関連のサプライチェーンリスクへの関心の高まり。
・The use of automation to capture, process, and report information in the system plans to facilitate risk management activities and decisions NIST is particularly interested in feedback on the following:	・リスクマネジメント活動と意思決定を促進するためのシステム計画における情報の取得、処理、報告への自動化の利用 NIST は、特に以下の点に関するフィードバックに関心がある：
・How do these guidelines align with your existing organizational practices for documenting or reporting security, privacy, and cybersecurity supply chain risk management efforts at the system level?	・本ガイドラインは、システムレベルでのセキュリティ、プライバシー及びサイバーセキュリティのサプライチェーンリスクマネジメントの取り組みを文書化又は報告するための既存の組織的慣行とどのように整合するか。
・How do you expect the guidelines and supplemental materials to influence your future practices and processes?	・本ガイドライン及び補足資料が、貴社の今後の実務やプロセスにどのような影響を与えることを期待するか。
・What additional system plan elements would improve the usability of the information captured for the system plans?	・システム計画のために取得した情報の使いやすさを改善するために、どのようなシステム計画 要素を追加するか。
・What additional considerations are there for automating the capture of system information using enterprise security tools that would improve organizational risk management efforts and risk decision-making?	・エンタープライズセキュリティツールを使ってシステム情報の取り込みを自動化することに よって、組織のリスクマネジメントの取り組みとリスクの意思決定を改善するために、 どのような追加的な考慮事項があるか。
Comments can be submitted using the comment template posted on the publication details page and sent to [mail] with the subject “SP 800-18r2 ipd comments.”	コメントは、出版物の詳細ページに掲載されているコメントテンプレートを使用し、件名を 「SP 800-18r2 ipd comments 」として、[mail] 宛に提出することができる。

・[PDF] NIST.SP.800-18r2.ipd

目次...

Executive Summary	エグゼクティブサマリー
1. Introduction	1. 序論
1.1. Relationship to Other NIST Guidelines	1.1. 他の NIST ガイドラインとの関係
1.2. Document Organization	1.2. 文書の構成
2. Overview	2. 概要
2.1. System Security Plan	2.1. システム・セキュリティ計画
2.2. System Privacy Plan	2.2. システム・プライバシー計画
2.3. Cybersecurity Supply Chain Risk Management Plan	2.3. サイバーセキュリティ・サプライチェーン・リスクマネジメント計画
2.4. Consolidated System Plans	2.4. 統合システム計画
3. Elements of System Plans	3. システム計画の要素
3.1. System Name and Identifier	3.1. システムの名称と識別名
3.2. System Plan Reviews and Change Records	3.2. システム計画のレビューと変更記録
3.3. Role Identification and Responsible Personnel	3.3. 役割の特定と責任者
3.4. System Operational Status	3.4. システムの運用状況
3.5. System Description	3.5. システムの説明
3.6. System Information Types and System Categorization	3.6. システム情報の種類とシステムの分類
3.7. Authorization Boundary and System Environment	3.7. 認可境界とシステム環境
3.8. Control Implementation Details	3.8. コントロールの実装の詳細
3.9. Information Exchanges	3.9. 情報交換
3.10. Laws, Regulations, and Policies Affecting the System	3.10. システムに影響を及ぼす法律、規制、政策
3.11. Digital Identity Acceptance Statement	3.11. デジタル ID アクセプタンス・ステートメント
3.12. Referenced Artifacts	3.12. 参照される成果物
3.13. Acronym List and Glossary	3.13. 略語リストおよび用語集
4. System Plan Development and Maintenance	4. システム計画の策定と保守
4.1. Prepare	4.1. 準備
4.2. Categorize	4.2. 分類
4.3. Select	4.3. 選択
4.4. Implement	4.4. 実施
4.5. Assess	4.5. アセスメント
4.6. Authorize	4.6. 認可
4.7. Monitor	4.7. モニター
4.8. Automation Support	4.8. 自動化サポート
References	参考文献
Appendix A. RMF Task Outputs Related to System Plan Elements	附属書A. システム計画要素に関連するRMFタスクのアウトプット
Appendix B. List of Abbreviations and Acronyms	附属書B. 略語と頭字語のリスト
Appendix C. Glossary	附属書C. 用語集
Appendix D. Change Log	附属書D. 変更履歴
List of Tables	表一覧
Table 1. RMF task outputs related to system plan elements	表1. システム計画要素に関連するRMFタスクのアウトプット
List of Figures	図一覧
Fig. 1. Relationship between security and privacy risks	図1. セキュリティリスクとプライバシーリスクの関係
Fig. 2. NIST Risk Management Framework Steps	図2. NISTリスクマネジメントフレームワークのステップ

Executive Summary	エグゼクティブサマリー
System plans collectively refer to the system security plan, system privacy plan, and cybersecurity supply chain risk management (C-SCRM) plan that describe the design and implementation of security, privacy, and cybersecurity supply chain protections throughout the system life cycle. System plans include information about the data being created, collected, disseminated, used, stored, and disposed; identify individuals who are responsible for system risk management efforts; describe the environment of operation, system components, and data flows within the environment; and account for system risks associated with information exchanges involving systems outside the authorization boundary. The structure and format of system plans are prepared according to organizational needs and the information described in this publication.	システム計画とは、システムのライフサイクル全体を通して、セキュリティ、プライバシー、サイバーセキュリティサプライチェーンマネジメント（C-SCRM）防御の設計と実施を記述するシステムセキュリティプラン、システムプライバシープラン、サイバーセキュリティサプライチェーンマネジメント（C-SCRM）プランを総称したものである。システム計画には、作成、収集、普及、使用、保存及び廃棄されるデータに関する情報を含み、システムリスク マネジメントの取り組みに責任を負う個人を特定し、運用環境、システム構成要素及び環境内のデータフロー を記述し、認可境界外のシステムを含む情報交換に関連するシステムリスクを考慮する。システム計画の構成及び書式は、組織のニーズ及び本書に記載された情報に従って作成される。
NIST Special Publication (SP) 800-18r2 (Revision 2) addresses the development and maintenance of system plans in support of risk management activities, such as tasks in the NIST Risk Management Framework (RMF) steps in [SP800-37]. This revision:	NIST特別刊行物（SP）800-18r2（改訂2）は、[SP800-37]のNISTリスクマネジメントフレームワーク（RMF）のステップにおけるタスクなど、リスクマネジメント活動を支援するシステム計画の策定と保守に対応している。本改訂は、以下の内容を含んでいる：
・ Provides content considerations for elements in system plans;	・システム計画における要素の内容に関する考察を提供する；
・ Discusses the use of automation to develop and maintain system plans over the system life cycle, including sharing and protecting system plan information; and	・システム計画情報の共有と防御を含め、システムライフサイクルを通じたシステム計画の策定と維持のための自動化の利用について説明する。
・ Provides supplemental materials, including system plan outline examples and updated roles and responsibilities associated with system plans that may factor into system plan development.	・システム計画の概要例や、システム計画策定に関連する役割と責任の更新などの補足資料を提供する。
Federal agencies are required to develop and maintain system plans for managing risks, including implementation details for the controls allocated to address the requirements. Nonfederal organizations may voluntarily apply these guidelines to develop and maintain system plans consistent with their risk management strategies.	連邦政府機関は、要件に対応するために割り当てられた管理の実施詳細を含む、リスクマネジメントのためのシステム計画を策定し、維持することが求められる。連邦政府以外の組織は、リスクマネジメント戦略に合致したシステム計画を策定・維持するために、自主的に本ガイドラインを適用することができる。
1. Introduction	1. 序論
All systems that process, store, and transmit information within an organization need safeguards that adhere to an organization-wide risk management strategy to address security, privacy, and cybersecurity supply chain risks. System plans collectively refer to the system security plan, system privacy plan, and cybersecurity supply chain risk management (C-SCRM) plan, which describe the assets and individuals being protected within an authorization boundary and the system risks associated with information exchanges that involve systems outside of the authorization boundary.	組織内で情報を処理、保管、伝送するすべてのシステムには、セキュリティ、プライバシー、及びサイバーセキュリティのサプライチェーンリスクに対処するために、組織全体のリスクマネジメント戦略に準拠したセーフガードが必要である。システム計画は、システムセキュリティプラン、システムプライバシープラン、及びサイバーセキュリティサプライチェーンマネジメント（C-SCRM）プランを総称したものであり、認可バウンダリ内で保護される資産及び個人、並びに認可バウンダリ外のシステムを含む情報交換に関連するシステムリスクを記述する。
・ The system security plan describes the system security requirements, including the controls selected to protect the confidentiality, integrity, and availability of the system and its information.	・システムセキュリティプランは、システム及びその情報の機密性、完全性及び可用性を保護するために選択された管理を含む、システムセキュリティ要件を記述する。
・ The system privacy plan describes the system privacy risk management requirements, including the controls selected to address predictability, manageability, and disassociability.[1]	・システムプライバシー計画は、予測可能性、管理可能性、及び解離可能性に対処するために選択された管理を含む、システムプライバシーリスクマネジメントの要求事項を記述する[1]。
・ The C-SCRM plan describes the system’s C-SCRM requirements, including the controls to manage, implement, and monitor the supply chain and develop and sustain the system across mission and business functions.	・C-SCRM計画は、サプライチェーンを管理し、実施し、監視し、ミッション及びビジネス機能にわたってシステムを開発し、維持するための統制を含む、システムのC-SCRM要件を記述する。
The NIST Risk Management Framework (RMF) [SP800-37] provides a flexible methodology for organizations and systems to manage security, privacy, and supply chain risks. The expected outputs of RMF tasks (see Appendix A) inform the system plan elements that describe the system’s purpose; environment of operation; information that is stored, processed, and transmitted; data flows within the environment and with interconnected systems; control implementation details; and the roles and responsibilities of individuals associated with the system. Automation and information management tools can facilitate the collection,  presentation, and update of system plan information.2	NISTリスクマネジメントフレームワーク（RMF） [SP800-37]は、組織及びシステムがセキュリティ、 プライバシー及びサプライチェーンリスクを管理するための 柔軟な方法論を提供するものである。RMFタスクの期待されるアウトプット（附属書Aを参照）は、システムの目的、運用環境、保存、処理、及び伝送される情報、環境内及び相互接続されたシステムとのデータフロー、統制の実施の詳細、並びにシステムに関連する個人の役割及び責任を記述するシステム計画要素に情報を与える。自動化と情報管理ツールは、システム計画情報の収集、提示、更新を容易にすることができる2。
This publication focuses on the development of system plans that address system-level security, privacy, and C-SCRM requirements that are derived from enterprise, organization, and mission/business process requirements. These guidelines can also be extended to:	本書は、エンタープライズ、組織、及びミッション／ビジネ スプロセスの要求事項に由来する、システムレベルのセキュリ ティ、プライバシー、及びC-SCRMの要求事項に対応するシ ステム計画の作成に焦点を当てている。これらのガイドラインはまた、以下のように拡張することができる：
・ Common control providers that provide implementation details for controls available to be inherited by other systems;	・他のシステムに継承可能な制御の実装の詳細を提供する共通制御プロバイダ；
・ Requirements identified in [SP800-171] and [SP800-172] for the development of system security plans for nonfederal organizations protecting Controlled Unclassified Information (CUI); and	・管理対象非機密情報（CUI）を保護する連邦政府以外の組織のシステム・セキュリティ計画の策定に関する[SP800-171]及び[SP800-172]で識別される要件。
・ Organizations developing system plans for service offerings from cloud service providers, including software as a service (SaaS), infrastructure as a service (IaaS), and platform as a service (PaaS).	・SaaS、IaaS、PaaSなど、クラウドサービスプロバイダが提供するサービスのシステム計画を策定する組織。
System plans are required for federal systems in accordance with Office of Management and Budget (OMB) Circular A-130 [OMBA-130] and the provisions of the Federal Information Security Modernization Act (FISMA) of 2014 [FISMA].[2] Nonfederal organizations — including private and small businesses, academic institutions, and state, local, and tribal governments — may also utilize these guidelines to support their risk management programs.	システム計画は、行政管理予算局（OMB）通達A-130[OMBA-130]および2014年連邦情報セキュリティ近代化法（FISMA）[FISMA]の規定に従って、連邦政府のシステムに対して要求される[2]。民間企業、中小企業、学術機構、州政府、地方政府、部族政府を含む連邦政府以外の組織も、リスク管理プログラムを支援するために本ガイドラインを利用することができる。
1.1. Relationship to Other NIST Guidelines	1.1. 他のNISTガイドラインとの関係
This publication is designed to support the NIST portfolio of risk management initiatives and publications[3] that address security, privacy, and supply chain risk management concepts and methodologies, including:	本書は、セキュリティ、プライバシー、及びサプライチェーンリスクマネジメントの概念と方法論を扱った NIST のリスクマネジメントのイニシアティブ及び出版物[3]のポートフォリオを支援するように設計されている：
・ SP 800-37, Risk Management Framework for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy [SP800-37]	・SP 800-37「情報システム及び組織のためのリスクマネジメント枠組み」： セキュリティとプライバシーのためのシステムライフサイクルアプローチ[SP800-37]。
・ SP 800-53, Security and Privacy Controls for Information Systems and Organizations [SP800-53]	・SP 800-53、情報システム及び組織のためのセキュリティ及びプライバシー管理 [SP800-53]
・ SP 800-53A, Assessing Security and Privacy Controls in Information Systems and Organizations [SP800-53A]	・SP 800-53A、情報システム及び組織におけるセキュリティ及びプライバシーコントロールのアセスメント [SP800-53A］
・ SP 800-53B, Control Baselines for Information Systems and Organizations [SP800-53B]	・SP 800-53B、情報システム及び組織のコントロール・ベースライン[SP800-53B]。
・ SP 800-161, Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations [SP800-161]	・SP 800-161、システム及び組織のためのサイバーセキュリティサプライチェーンリスクマネジメントの実践[SP800-161]。
・ SP 800-171, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations [SP800-171]	・SP 800-171、連邦政府以外のシステム及び組織における管理対象非機密情報の防御 [SP800-171] [SP800-172
・ SP 800-172, Enhanced Security Requirements for Protecting Controlled Unclassified Information [SP800-172]	・SP 800-172、管理対象非機密情報を保護するための拡張セキュリティ要件 [SP800-172] [SP800-172
・ NIST Privacy Framework: A Tool for Improving Privacy through Enterprise Risk Management [NISTPF]	・NIST プライバシー枠組み： エンタープライズリスクマネジメントを通じてプライバシーを改善するためのツール[NISTPF]。
・ The NIST Cybersecurity Framework (CSF) [NISTCSF]	・NIST サイバーセキュリティ枠組み（CSF）[NISTCSF]。
1.2. Document Organization	1.2. 文書の構成
The publication is organized into the following sections:	本書は以下のセクションで構成されている：
・ Section 2 describes system security, system privacy, and C-SCRM plans.	・セクション2は、システムセキュリティ、 システムプライバシー及びC-SCRM計画について記述 している。
・ Section 3 identifies elements that may be included in system security, privacy, and C-SCRM plans.	・セクション3は、システムセキュリティ、プライバシー及び C-SCRM計画に含まれ得る要素を特定する。
・ Section 4 describes how system plans are developed and maintained in relation to the RMF and with the support of automation.	・セクション4は、RMFに関連し、自動化の支援を受けて、システ ム計画がどのように策定され、維持されるかを記述する。
・ The References section lists the source materials cited in this publication.	・参考文献のセクションは、本書で引用した出典を列挙している。
The following appendices provide additional information and resources that support the development of system plans:	以下の附属書は、システム計画の策定を支援する追加的な情報とリソースを提供する：
・ Appendix A summarizes the RMF task outputs included in system plans.	・附属書Aは、システム計画に含まれるRMFタスクアウトプットをまとめたものである。
・ Appendix B lists the abbreviations and acronyms used in this publication.	・附属書Bは、本書で使用されている略語と頭字語の一覧である。
・ Appendix C provides a glossary of the terms used in this publication.	・附属書Cは、本書で使用されている用語の解説である。
・ Appendix D provides a publication change log.	・附属書Dは、本書の変更履歴を示す。
2. Overview	2. 概要
System plans are based on the organization’s risk management strategy and NIST guidelines (e.g., [SP800-37], [SP800-53], [SP800-161]). They:	システム計画は、組織のリスクマネジメント戦略及びNISTガイドライン（[SP800-37]、[SP800-53]、[SP800-161]など）に基づいている。それらは以下のとおりである：
・ Define the authorization boundary of the system;	・システムの認可境界を定義する；
・ Support the organization’s security, privacy, and C-SCRM objectives;	・組織のセキュリティ、プライバシー、C-SCRM の目的をサポートする；
・ Define capabilities to defend the organization against threats and threat actors;	・脅威及び脅威アクターから組織を防御する能力を定義する；
・ Identify individuals who are responsible for managing and supporting the system;	・システムの管理及びサポートに責任を持つ個人を識別する；
・ Help organizational personnel understand how to manage risks to an acceptable level throughout the system life cycle and respond to changing risks in a timely manner;	・組織の要員が、システムのライフサイクルを通じてリスクを許容可能なレベルまで管理し、変化するリスクに適時に対応する方法を理解するのを支援する；
・ Consider requirements for information technology, operational technology, and emerging technologies that may be informed by system artifacts, such as risk assessments, business impact analyses (BIAs), and information exchange agreements;	・リスクアセスメント、ビジネス影響度分析（BIA）、情報交換契約などのシステム成果物 から得られる情報技術、運用技術、及び新たな技術に関する要件を分析する；
・ Provide sufficient evidence to support risk-based decisions regarding the ongoing operation or use of the system; and	・システムの継続的な運用または使用に関するリスクベースの決定を裏付ける十分な証拠を提供する。
・ Require methodical reviews and periodic updates to maintain information about the system’s mission, technologies, components, personnel, and implemented controls.	・システムの使命、技術、構成要素、要員、及び実施された管理に関する情報を維持するために、体系的なレビュー及び定期的な更新を要求する。
The information contained in system plans can be captured as documents or using different Governance, Risk and Compliance (GRC) tools. This section addresses the objectives and purposes of the system security plan, system privacy plan, and C-SCRM plan.	システム計画に含まれる情報は、文書として、またはさまざまなガバナンス・リスク・コンプライアンス（GRC）ツールを使用して取得することができる。本節では、システムセキュリティ計画、システ ムプライバシー計画、C-SCRM 計画の目的と目 的について述べる。
2.1. System Security Plan	2.1. システムセキュリティ計画
The system security plan identifies the system’s security requirements and the protections that are planned or in place to meet those requirements. The security plan:	システムセキュリティ計画は、システムのセキュリ ティ要件と、それらの要件を満たすために計画され た、あるいは実施されている防御を特定する。セキュリティ計画
・ Enables organizational leadership and system management personnel to manage security risks and make effective risk management decisions throughout the system life cycle;	・組織の指導者及びシステムマネジメントの職員が、システムのライフサイクルを通じてセキュリティリスクを管理し、効果的なリスクマネジメントの意思決定を行うことができるようにする；
・ Describes implemented or planned controls that address the system’s security requirements;	・システムのセキュリティ要件に対応する、実装済みまたは計画済みの管理策を記述する；
・ Identifies the individuals responsible for maintaining the security protections for information and information systems;	・情報及び情報システムのセキュリティ保 護を維持する責任を負う個人を 識別する
・ Consolidates details about the system, including its purpose, authorization boundary, [FIPS199] security categorization, operational status, and environment of operations; and	・システムの目的、認可境界、[FIPS199]セキュリティ分類、運用状況、運用環境など、システムに関する詳細がまとめられている。
・ Demonstrates how security objectives (i.e., confidentiality, integrity, and availability) are achieved by following security engineering approaches to building resilient and trustworthy systems.	・レジリエンスと信頼性のあるシステムを構築するためのセキュリティ工学的アプローチに従って、セキュリティ目的（すなわち、機密性、完全性、可用性）がどのように達成されるかを実証する。
2.2. System Privacy Plan	2.2. システムプライバシー計画
The system privacy plan identifies controls that are allocated and implemented to address privacy risks related to both cybersecurity events and data processing. The privacy plan:	システム・プライバシー計画は、サイバーセキュリティ事象とデータ・処理の両方に関連するプライバシ ー・リスクに対処するために割り当てられ、実施される管理者を特定する。プライバシー計画は以下のとおりである：
• Aligns the system’s privacy objectives with the organization’s mission, risk tolerance,	・システムのプライバシー目標を、組織のミッション、リスク許容度、プライバシー目標と整合させる、
and privacy goals;	プライバシー目標に整合させる；
• Defines system requirements with respect to the privacy engineering objectives of predictability, manageability, and disassociability and the Fair Information Practice Principles (FIPPs)[4]; and	・予測可能性、管理可能性、および分離可能性というプライバシー工学の目的と、公正情報慣行原則（FIPPs）[4]に関してシステム要件を定義する；
• Describes planned and implemented controls to address privacy requirements and data processing activities that may compromise privacy (i.e., problematic data actions[5]).	・プライバシー要件及びプライバシーを侵害する可能性のあるデータ・プロセッシング活動（すなわち、問題のあるデータ・アクション[5]）に対処するために計画され実施された管理者を記述する。
Privacy requirements may be informed by legal and regulatory obligations as well as privacy activities and artifacts, such as Privacy Impact Assessments (PIAs), Privacy Risk Assessments (PRAs),[6] System of Records Notices (SORNs), Memorandums of Understanding (MOUs), or other types of contracts or agreements. This includes identifying and cataloging key inputs, such as data actions, contextual factors that describe the circumstances surrounding data processing, privacy capabilities, and privacy engineering and security objectives based on organizational mission needs, risk tolerance, and privacy goals. The tasks in the RMF Prepare step identify sources of system privacy requirements.	プライバシー要件は、プライバシー影響アセスメント（PIA）、プライバシーリスクアセスメ ント（PRA）[6]、記録システム通知（SORN）、覚書（MOU）、または他のタイプの契約や合意など、プライバ シーの活動や成果物だけでなく、法律や規制上の義務によって知らされることがある。これには、組織のミッション・ニーズ、リスク許容度、プライバシー目標に基づき、データ・アクション、データ処理を取り巻く状況を説明する文脈的要因、プライバシー能力、プライバシー・エンジニアリングおよびセキュリティ目標などの主要なインプットを特定し、カタログ化することが含まれる。RMF準備ステップのタスクは、システムのプライバシー要件の情報源を特定する。
2.2.1. Relationship Between the System Security Plan and System Privacy Plan	2.2.1. システム・セキュリティ計画とシステム・プライバシー計画の関係
Organizational security and privacy programs have complementary objectives and overlappingrisks with regard to confidentiality, integrity, and availability, as shown in Fig. 1.	組織のセキュリティ計画とプライバシー計画には、図 1 に示すように、機密性、完全性、可用性に関して相補的な目的と重複するリスクがある。
Fig. 1. Relationship between security and privacy risks	図1. セキュリティリスクとプライバシーリスクの関係
Both unauthorized data access and authorized disclosures that are made without sufficient disassociability can introduce privacy issues, physical harms, or economic losses. Systems must comply with laws governing data subject rights (i.e., the right to access, correct, or delete information[7]). The system privacy plan describes how the organization manages the risks of over-collection, unauthorized profiling, or the misuse of data about individuals.	無許可のデータ・アクセスも、十分な分離可能性を持たずに行われた認可された開示も、プライバシーの問題、物理的損害、経済的損失をもたらす可能性がある。システムは、データ対象者の権利（すなわち、情報へのアクセス、訂正、削除の権利[7]）を規定する法律を遵守しなければならない。システム・プライバシー計画は、組織が個人に関するデータの過剰収集、不正なプロファイリング、または悪用のリスクをどのようにマネジメントするかを記述する。
Control implementation details differ between system privacy, security, and C-SCRM plans (see Sec. 3.8). While security-related controls can support system privacy outcomes, privacy risks require additional privacy-focused controls. Some controls may also introduce privacy risks that require additional management, such as controls related to monitoring for insider threats. Incorporating these privacy-focused controls into the system helps ensure that privacy is considered holistically alongside security concerns.	統制の実施の詳細は、システムプライバシー計画、セ キュリティ計画、C-SCRM計画で異なる（3.8節参照）。セキュリティに関連する統制はシステムのプライバ シーの成果を支援することができるが、プライバ シーのリスクは、プライバシーに焦点を絞った 追加的な統制を必要とする。統制の中には、内部脅威の監視に関連する統制のように、追加的な マネジメントを必要とするプライバシーリスクをもたらすものもある。このようなプライバシーに焦点を当てた管理策をシステ ムに組み込むことは、プライバシーがセキュリティ上の懸念事項とともに総合的に考慮されることを 確実にするのに役立つ。
2.3. Cybersecurity Supply Chain Risk Management Plan	2.3. サイバーセキュリティサプライチェーンリスクマネジメント計画
A C-SCRM strategy[8] addresses cybersecurity risks at the organization level throughout the supply chain, including commercial-of-the-shelf (COTS) products, turn-key solutions, and support services. A C-SCRM plan then incorporates those organization-level priorities, policies, and risk tolerances to address system-level risks and interdependencies with controls that enhance trust and protection. The C-SCRM plan:	C-SCRM 戦略[8]は、市販の（COTS）製品、ターンキーソリューション、サポートサービスなど、サプライ チェーン全体を通じて組織レベルでサイバーセキュリティリスクに対処するものである。次に、C-SCRM 計画は、そのような組織レベルの優先事項、方針、リスク許容度を組み込んで、信頼と保護を強化する管理策によってシステムレベルのリスクと相互依存性に対処する。C-SCRM計画
・ Identifies policy implementations, requirements, constraints, and implications that are specific to the cybersecurity supply chain at the system level;	・システムレベルのサイバーセキュリティサプライチェーンに特有なポリシーの実装、要件、制約、意味を識別する；
・ Describes the system’s approach to managing supply chain risks that are associated with the research, development, design, manufacturing, acquisition, delivery, integration, operations, maintenance, and disposal of its components or services;	・コンポーネント又はサービスの研究、開発、設計、製造、取得、引渡し、統合、運用、保守及び廃棄に関連するサプライチェーンリスクを管理するためのシステムのアプローチを記述する；
・ Describes the system in the context of the organizational supply chain risk tolerance, including acceptable supply chain risk response strategies or controls, a process for the continuous evaluation and monitoring of supply chain risks, approaches for implementing and communicating the plan, and a description of and justification for the supply chain risk mitigation measures that are taken; and	・許容可能なサプライチェーンリスク対応戦略又は管理策、サプライチェーンリスクの継続的な評価及びモニ タリングのためのプロセス、計画の実施及びコミュニケーションのためのアプローチ、並びに、実施され るサプライチェーンリスク緩和措置の説明及びその正当性を含む、組織のサプライチェーンリスク許容度の観点か らのシステムの記述。
・ Includes supplier and/or component inventories that specify the associated criticality to the system, key individuals who fill supply chain-relevant roles, security control implementation information that is specific to supply chain considerations, system diagrams, and interdependencies with other systems.	・システムに対する重要性、サプライチェーンに関連する役割を果たす主要な個人、サプライチェーンの考慮事項に特化したセキュリティ管理実施情報、システム図、他のシステムとの相互依存関係を明記した供給業者及び／又は部品のインベントリを含む。
Different types of systems may have specific considerations that can be addressed in the C-SCRM plan, such as the system architecture, security categorization [SP800-60v2], or type of technology used within the system. All security controls from [SP800-53] with supply chain risk management applicability are listed in [SP800-161], Appendix A, which also features an enhanced overlay of control enhancements that are specific to supply chains as well as implementation guidance.	システムの種類が異なれば、システムアーキテ クチャ、セキュリティ分類 [SP800-60v2]、又はシステム内で使用される技術 の種類のように、C-SCRM 計画で扱うことができる特定の考慮事項が あるかもしれない。サプライチェーンリスクマネジメントに適用可能な[SP800-53]のすべてのセキュリティ管理は、[SP800-161]の附属書Aに記載されており、この附属書Aは、実施ガイダンスと同様に、サプライチェーンに特有の管理強化のオーバーレイも特徴としている。
2.4. Consolidated System Plans	2.4. 統合システム計画
Organizations determine whether to consolidate the system security, system privacy, or C-SCRM plans, as described in RMF [SP800-37] Task S-4, Documentation of Planned Control Implementations, and [SP800-161]. For a consolidated plan:	組織は、RMF[SP800-37]の課題S-4「計画されたコントロールの実施の文書化」及び[SP800-161]に記載されているとおり、システムセキュリティ、システムプライバシー又はC-SCRMの計画を統合するかどうかを決定する。統合計画の場合：
・ Common elements in the security, privacy, and C-SCRM plans (e.g., System Name and Identifier, System Operational Status, System Description, Authorization Boundary and System Environment) provide consistent information about the system’s mission, purpose, and environment of operation.	・セキュリティ、プライバシー及び C-SCRM 計画の共通要素（例えば、システム名と識別 子、システムの運用状況、システムの説明、認可の 境界及びシステム環境）は、システムのミッション、 目的及び運用環境に関する一貫した情報を提供する。
・ Roles and responsibilities are defined to support the ongoing collaboration between individuals who are responsible for meeting system security, privacy, and C-SCRM requirements.	・システムのセキュリティ、プライバシー及びC-SCRM の要求事項を満たす責任を有する個人間の継続的な連携を支援するために、役割と責任が定義される。
・ Each control that is allocated, tailored, and implemented or planned for implementation has details that clearly address system requirements.	・割り当てられ、調整され、実施され、又は実施されることが計画されている各管理には、システム要件に明確に対応する詳細がある。
Automation using information management tools (see Sec. 4.8) can support the collection and compilation of distinct security, privacy, and C-SCRM control implementation details; common system plan elements; and roles and responsibilities.	情報管理ツール（4.8節参照）を用いた自動化は、明確なセキュリ ティ、プライバシー及びC-SCRMの各コントロールの実施の詳細、 共通のシステム計画要素及び役割と責任の収集と取りまとめを 支援することができる。
[1] The NIST Privacy Framework [NIST PF] explains the privacy engineering objectives of predictability, manageability, and disassociability. 2 The NIST Open Security Controls Assessment Language [OSCAL] is designed to standardize the representation, implementation, and assessment of controls using machine-readable data formats (e.g., XML, JSON, YAML). These OSCAL representations can be used in conjunction with the other OSCAL schemas to represent structured and machine-readable system plan information, control assessment plans, and assessment results, which facilitate the continuous assessment and monitoring of system controls. Initially designed for security assessment, OSCAL has been proven suitable for the machine-readable representation of other control types (e.g., privacy, supply chain, accessibility, safety) and to support their continuous assessment and monitoring.	[1] NISTプライバシー枠組み [NIST PF]は、予測可能性、管理可能性、及び 解離可能性というプライバシー工学の目的を説明 している。2 NIST Open Security Controls Assessment Language [OSCAL]は、機械可読データ形式（XML、JSON、YAMLなど）を使用して、統制の表現、実装、および評価を標準化するように設計されている。これらの OSCAL 表現は、他の OSCAL スキーマと組み合わせて使用することで、構造化され機械可読 なシステム計画情報、統制アセスメント計画、アセスメント結果を表すことができ、システム統制の継 続的なアセスメントと監視を容易にする。OSCALは、当初セキュリティアセスメント用に設計されたが、他の種類の統制（プライバシー、サプライチェーン、アクセシビリティ、安全性など）を機械可読で表現し、それらの継続的なアセスメントとモニタリングを支援するのに適していることが証明されている。
[2] [FISMA] includes privacy protections in the definition for confidentiality. as indicated in [44 USC3552].	[2] [FISMA]は、[44 USC3552]に示されるように、機密性の定義にプライバシー防御を含む。
[3] The full range of NIST cybersecurity-related publications can be found in the Information Technology Laboratory (ITL) Computer Security Resource Center [CSRC]. Additional resources are available through the NIST Cybersecurity and Privacy Reference Tool [CPRT].	[3] NIST のサイバーセキュリティ関連出版物の全範囲は、情報技術研究所（ITL）のコンピュータ・セキュリティ・リソース・センター（CSRC）に掲載されている。その他のリソースは、NIST Cybersecurity and Privacy Reference Tool [CPRT]から入手できる。
[4] The FIPPs have been adopted in various forms in law and policy within the U.S. Government and by international organizations, such as the Organization for Economic Cooperation and Development (OECD) and the European Union. [OMB A-130] identifies and explains the FIPPs for U.S. federal agencies.	[4] FIPP は、米国政府内の法律や政策において、また経済協力開発機構（OECD）や欧州連合 （EU）などの国際機関において、様々な形で採用されている。[OMB A-130]は、米国連邦機関のためのFIPPを識別し、説明している。
[5] Per the NIST Privacy Framework [NIST PF], a problematic data action (PDA) may cause an adverse effect for individuals.	[5] NISTプライバシー枠組み[NIST PF]によれば、問題のあるデータ・アクション（PDA）は個人に悪影響を及ぼす可能性がある。
[6] The NIST Privacy Risk Assessment Methodology [PRAM] helps organizations analyze, assess, and prioritize privacy risks to identify appropriate responses and solutions.	[NIST Privacy Risk Assessment Methodology [PRAM]は、組織がプライバシーリスクを分析、評価、優先順位付けし、適切な対応と解決策を特定するのに役立つ。
[7] Many laws, regulations, and guidance focus on a defined scope of information that is covered by privacy protections, such as [OMB A-130] and PII. However, data processing may potentially introduce privacy risks if data does not meet a narrow privacy definition (e.g., some data that is not PII can be combined with other information during processing to become PII).	[7] 多くの法律、規制、およびガイダンスは、[OMB A-130]やPIIのようなプライバシー保護の対象となる情報の定義された範囲に焦点を当てている。しかし、データが狭いプライバシー定義に合致しない場合（例えば、PII でないデータが処理中に他の情報と組み合わされて PII になることがある）、データ処理がプライバシー・リスクをもたらす可能性がある。
[8] The cybersecurity supply chain refers to the linked set of resources and processes between and among multiple levels of the organizational hierarchy. In general practice, C SCRM is at the nexus of SCRM and information security, so C SCRM and SCRM refer to the same concept for the purposes of this publication. Other organizations may use different definitions of C SCRM and SCRM which are outside the scope of this publication. This publication does not address many of the non-cybersecurity aspects of SCRM.	[8] サイバーセキュリティのサプライチェーンとは、組織階層の複数のレベル間及びレベル間のリソー スとプロセスの連携した集合を指す。一般的な実務では、C SCRM は SCRM と情報セキュリティの結節点にあるため、本書では C SCRM と SCRM は同じ概念を指す。他の組織では、C SCRMとSCRMの定義が異なる場合があるが、それは本書の範囲外である。本書は、SCRMのサイバーセキュリティ以外の側面の多くには触れていない。

ENISA EU諸国の国家サイバーセキュリティ戦略をマップから見れる... (2025.06.04)

こんにちは、丸山満彦です。

ENISAが、国家サイバーセキュリティ戦略を地図から見れるようなウェブをつくったようですね...

これは素晴らしい...

● ENISA

・2025.06.04 National Cyber Security Strategies Interactive map

国については、EU加盟国、EFTA加盟国になっています。

記載内容は、

• 重点分野
• 戦略に含まれる目標
• 戦略文書
• 国のサイバーセキュリティ組織
• 国内ISAC
• 官民パートナーシップ
• 研究・開発イノベーション

サイバーセキュリティ戦略文書の一覧...

	EU加盟国			戦略文書
1	Austria	オーストリア	2021.12	Austrian Strategy for Cybersecurity 2021
			2024.09	Austrian Security Strategy
2	Belgium	ベルギー	2021.05	CYBERSECURITY STRATEGY BELGIUM 2.0 2021-2025
			2024.06	ACTIVE CYBER PROTECTION (ACP)
3	Bulgaria	ブルガリア	2021.04	National Cybersecurity Strategy "CYBER-RESISTANT BULGARIA 2023"
			2011.02	National Security Strategy of the Republic of Bulgaria
4	Croatia	クロアチア	2015.07	THE NATIONAL CYBER SECURITY STRATEGY OF THE REPUBLIC OF CROATIA
			2017	THE REPUBLIC OF CROATIA NATIONAL SECURITY STRATEGY
5	Cyprus	キプロス	2020.06	Cybersecurity Strategy of the Republic of Cyprus 2020
6	Czechia	チェコ	2021.03	National CYbersecurity Strategy of the Czech Republic
			2021	2021 REPORT ON CYBER SECURITY IN THE CZECH REPUBLIC
7	Denmark	デンマーク	2021.12	The Danish National Strategy for Cyber and Information Security
8	Estonia	エストニア	2024.07	CYBERSECURITY STRATEGY 2024–2030 ‘CYBER-CONSCIOUS ESTONIA’
			2024.07	CYBER SECURITY IN ESTONIA 2024
9	Finland	フィンランド	2024.10	Finland’s Cyber Security Strategy 2024–2035
10	France	フランス	2025.03	Au cœur d’un collectif, pour une Nation cyber-résiliente
			2023.11	National Cybersecurity Strate
			2022	National strategic review 2022
11	Germany	ドイツ	2021.08	Cyber Security Strategy for Germany 2021
12	Greece	ギリシャ	2020.12	NATIONAL CYBERSECURITY STRATEGY 2020 - 2025
			2021.06	CYBERSECURITY HANDBOOK
13	Hungary	ハンガリー	2025.04	Magyarország Kiberbiztonsági Stratégiájáról
			2024	2024. évi LXIX. törvény  - Magyarország kiberbiztonságáról
14	Ireland	アイルランド	2019.12	National Cyber Security Strategy 2019-2024
			2023.05	National Cyber Security Strategy 2019-2024 Mid-Term Review
15	Italy	イタリア	2022	NATIONAL CYBERSECURITY STRATEGY 2022 – 2026
			2022	IMPLEMENTATION PLAN NATIONAL CYBERSECURITY STRATEGY 2022 – 2026
16	Latvia	ラトビア	2023	The Cybersecurity Strategy of Latvia 2023-2026
17	Lithuania	リトアニア	2018.08	NATIONAL CYBER SECURITY STRATEGY
18	Luxembourg	ルクセンブルク	2021.04	NATIONAL CYBERSECURITY STRATEGY IV
19	Malta	マルタ	2023.10	NATIONAL CYBER SECURITY STRATEGY 2023-2026
20	Netherlands	オランダ	2022	Netherlands Cybersecurity Strategy 2022-2028
			2024	Cybersecurity Assessment Netherlands 2024
21	Poland	ポーランド	2019.10	CYBERSECURITY STRATEGY OF THE REPUBLIC OF POLAND FOR 2019 – 2024
			2020	National Security Strategy Of The Republic Of Poland 2020
22	Portugal	ポルトガル	2019.05	NATIONAL STRATEGY FOR CYBERSPACE SECURITY 2019-2023
23	Romania	ルーマニア	2022.01	privind aprobarea Strategiei de securitate cibernetică a României, pentru perioada 2022—2027, precum și a Planului de acțiune pentru implementarea Strategiei de securitate cibernetică a României, pentru perioada 2022—2027*)
24	Slovakia	スロバキア	2021	THE NATIONAL CYBERSECURITY STRATEGY 2021- 2025
			2021	SECURITY STRATEGY OF THE SLOVAK REPUBLIC
25	Slovenia	スロベニア	2024.09
			2016.02	CYBERSECURITY STRATEGY
26	Spain	スペイン	2019.04	NATIONAL CYBER SECURITY STRATEGY
27	Sweden	スウェーデン	2025.03	En ny era av cybersäkerhet Nationell strategi för cybersäkerhet 2025-2029
				Bilaga 2: Organisationer med roller och ansvarsområden inom cybersäkerhet Nationell strategi för cybersäkerhet 2025–2029
	EFTA加盟国			戦略文書
1	Iceland	アイスランド	2022.02	Icelandic National Cybersecurity Strategy 2022–2037
2	Liechtenstein	リヒテンシュタイン	2025.02	National Strategy For Protection Against Cyber Risks
			2025.01	Cyber-Sicherheitsgesetz (CSG)
			2025.01	Cyber Security Ordinance (CSV)
3	Norway	ノルウェー	2019	National Cyber Security Strategy for Norway
			2019	List of measures – National Cyber Security Strategy for Norway
4	Switzerland	スイス	2023.04	National Cyberstrategy (NCS)

世界のサイバーセキュリティ戦略の一覧は、ITUでも作っていますね。。。データ自体は最新でない場合もあるのですが...

● National Cybersecurity Strategies Repository

AFRICA	AMERICAS	ARAB STATES	Asia-Pacific	CIS	EUROPE
Benin Botswana (Approved) Burkina Faso Côte d'Ivoire Eswatini Gambia Ghana (Draft) Kenya Malawi Mauritius Mozambique (Draft) Nigeria Rwanda Senegal (en, fr) Sierra Leone South Africa Tanzania Uganda Zambia (Draft)	Argentina Brazil (1, 2, 3, 4, 5) Canada Chile Colombia Costa Rica Cuba Dominican Republic (Decree 1, 2) Guatemala Jamaica Mexico Panama (Decree 1, 2) Paraguay Peru (In Progress) Suriname (In Progress) Trinidad and Tobago United States of America (1, 2, 3) Uruguay	Bahrain Egypt (English, Arabic) Iraq Jordan Libya Mauritania Morocco Oman Qatar Saudi Arabia Syria Tunisia (Draft) United Arab Emirates	Afghanistan Australia (1, 2) Bangladesh Brunei Darrussalam China Fiji (In Progress) India Indonesia Iran Japan Korea (Republic of) (1, 2) Malaysia Nepal (Draft) New Zealand (1, 2, 3, 4, 5) Philippines Samoa Singapore (1, 2) Sri Lanka Thailand Vanuatu Vietnam (Draft)	Armenia (In Progress) Azerbaijan Belarus Kazakhstan Russian Federation (1, 2) Uzbekistan (In Progress)	Albania (1, 2) Austria Belgium (1, 2) Bulgaria (1, 2) (In Progress) Croatia (1, 2) Cyprus Czech Republic (1, 2) Denmark (1, 2, 3) Estonia Finland France (1, 2) Georgia Germany Greece Hungary Iceland Ireland Israel Italy Latvia Lithuania Luxembourg (1, 2, 3) Malta (1, 2) Moldova Monaco Montenegro Netherlands (1, 2, 3) North Macedonia (en) Norway Poland Portugal Romania Serbia Slovakia (1, 2) Slovenia Spain Sweden (1, 2) Switzerland Turkey (1, 2, 3) Ukraine United Kingdom

---

● まるちゃんの情報セキュリティ気まぐれ日記

国家安全保障戦略

・2023.06.07 [PDF] 국가안보전략

---

[2024.04.02追記]

参考

● 防衛省防衛研究所 - NIDSコメンタリー

・ 2023.03.28 [PDF] 韓国の「戦略文書」——「 国家安保戦略書 」 を 中心 に

---

2019年の国家サイバーセキュリティ戦略

・韓国語 [PDF] 국가사이버안보전략

・英語 [PDF] National Cyberseuciry Strategy

---

参考 各国のサイバーセキュリティ戦略

■ EUの場合

● European Commission

・2020.12.16 The EU’s Cybersecurity Strategy for the Digital Decade

・[PDF] JOINT COMMUNICATION TO THE EUROPEAN PARLIAMENT AND THE COUNCIL - The EU's Cybersecurity Strategy for the Digital Decade

・2020.12.16 The EU's Cybersecurity Strategy in the Digital Decade

・[PDF] Factsheet

■ ドイツの場合

● Bundesministerium des Innern, für Bau und Heimat 

プレス

・2021.09.08 (press) Cybersicherheitsstrategie für Deutschland 2021 beschlossen

戦略本文

・[PDF] Cybersicherheitsstrategie für Deutschland 2021

■ オランダの場合

・2022.10.10 Kabinet presenteert nieuwe cybersecuritystrategie

● 戦略

・2022.10.10 Nederlandse Cybersecuritystrategie 2022 - 2028

・[PDF] 

● 活動計画 2022-2023

・2022.10.10 Actieplan Nederlandse Cybersecuritystrategie 2022 - 2023

・[PDF] 

■ UKの場合

● National Cyber Security Centre

・2021.12.15 (news) Government publishes blueprint to protect UK from cyber threats

・2021.12.15 Policy paper National Cyber Strategy 2022

・[heml] National Cyber Strategy 2022

 ・[PDF] National Cyber Strategy 2022

・日本語訳 [Downloded]

■ U.S. の場合

・2023.03.02 FACT SHEET: Biden-⁠Harris Administration Announces National Cybersecurity Strategy

・[PDF] National Cybersecurity Strategy 

・2018.09.20 President Trump Unveils America’s First Cybersecurity Strategy in 15 Years

・[PDF] NATIONAL CYBER STRATEGY of the United States of America

・仮訳 [DOCX] 

■ 日本の場合

● 内閣官房 - サイバーセキュリティセンター - サイバーセキュリティ戦略本部

・2021.09.28 [PDF] サイバーセキュリティ戦略

・2023.07.04 サイバーセキュリティ戦略本部 第３６回会合

• [PDF] サイバーセキュリティ2023

・2022.06.17 サイバーセキュリティ戦略本部 第３４回会合

• [PDF] サイバーセキュリティ2022 
• [PDF] 重要インフラのサイバーセキュリティに係る行動計画 
• [PDF] サイバーセキュリティ関係施策に関する令和5年度予算重点化方針 

・2021.09.27 第31回会合

• [PDF] 報道発表資料
• [PDF] サイバーセキュリティ2021

🔳オーストラリアの場合

● AU - Department of Home Affairs - Cyber security - Strategy

・2023.11.22 [PDF] 

実行計画

・2023.11.22 [PDF] 

・2020.08.06 [PDF] AUSTRALIA’S CYBER SECURITY STRATEGY 2020

2016年の前回のバージョン

・[PDF] Australia's Cyber Security Strategy」

■ 中国の場合

●  中央网络安全和信息化委员会办公室 (Cyberspace Administration of China)

 プレス発表

戦略全文

・2016.12.27 国家网络空间安全战略

・英語訳

　・2016.12.27 National Cyberspace Security Strategy

■ ロシアの場合（NATO CCDCOEの論文）

● NATO CCDCOE

・2020 [PDF] The Past, Present, and Future of Russia’s Cyber Strategy and Forces by Bilyana Lilly and Joe Cheravitch

■ インドの場合

● Data Security Council of India

・2020.08.15 [PDF] National Cyber Security Strategy 2020

■ シンガポールの場合

● Cyber Security Agency of Singapore

・2021.10.05 Singapore Updates National Cybersecurity Strategy

・The Singapore Cybersecurity Strategy 2021

・[PDF]

◾️ 韓国の場合...

・2024.02.01

・[PDF]

2019年の国家サイバーセキュリティ戦略

・韓国語 [PDF] 국가사이버안보전략

・英語 [PDF] National Cyberseuciry Strategy

・2024.03.08 韓国 国家安全保障室、ユン・ソクヨル政府の「国家サイバー安全保障戦略」 (2024.02.01)

・2023.03.03 ENISA 国家サイバーセキュリティ戦略の実施に向けた効果的なガバナンスフレームワークの構築

・2022.10.16 オランダ サイバーセキュリティ戦略2022-2028 デジタル・セキュリティー社会の実現に向けた渇望と行動 (2022.10.10)

・2022.06.21 内閣官房 サイバーセキュリティ 2022 重要インフラのサイバーセキュリティに係る行動計画 (2022.06.17)

・2022.02.22 NATO CCDCOE 「国家サイバーセキュリティ戦略策定のためのガイド」第2版 (2021.11)

・2021.12.17 英国 国家サイバー戦略

・2021.10.11 シンガポール サイバーセキュリティ戦略2021

・2021.09.28 NISC サイバーセキュリティ戦略本部 第31回会合 サイバーセキュリティ戦略確定 （予算からみるとサイバーセキュリティは経済発展というよりも安全保障？）

・2021.09.26 独国 サイバーセキュリティ戦略2021 at 2021.09.08

・2021.07.15 経団連 提言「全員参加によるサイバーセキュリティの実現に向けて」

・2021.07.13 NISC 「次期サイバーセキュリティ戦略（案）」と「サイバーセキュリティ2021（案）」に関する意見の募集について

・2021.07.12 NATO関連機関が分析したサイバー空間におけるロシアの戦略 at 2021.06.11

・2021.07.07 NISC 「サイバーセキュリティ戦略本部第30回会合」と「サイバーセキュリティ対策推進会議(CISO等連絡会議)第18回会合」

・2021.06.29 IISS サイバー対応能力と国家力 日本のサイバー能力はいけていない？

・2021.06.03 サイバー領域の制度、法律、政策などについての米英の比較

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2021.05.13 サイバーセキュリティ戦略本部 次期サイバーセキュリティ戦略の骨子

・2020.12.08 ENISA 自国のサイバーセキュリティ能力の成熟度を自己評価するための「国家能力評価フレームワーク（NCAF）」を発行

・2020.08.11 オーストラリア政府 内務省がサイバーセキュリティ戦略2020を公表していましたね。。。

オーストラリア 米国他 SIEM/SOAR導入のためのガイダンス (2025.05.27)

こんにちは、丸山満彦です。

オーストラリア信号局サイバーセキュリティセンター (Australian Signals Directorate’s Australian Cyber Security Centre) が米国のCISA、英国のNCSC、カナダのCCCS、ニュージーランドのNCSC-NZに加えて、日本のNISCとJPCERT/CC、韓国のNIS、シンガポールのCSA、チェコの国家サイバー・情報セキュリティ庁(Národní úřad pro kybernetickou a informační bezpečnost: NUKIB) が共同で、SIEM/SOAR導入のためのガイダンスを３つ公表していますね...

Implementing SIEM and SOAR platforms: Executive guidance	SIEMとSOARプラットフォームの導入：エグゼクティブガイダンス
Implementing SIEM and SOAR platforms: Practitioner guidance	SIEMとSOARプラットフォームの導入：実務者向けガイダンス
Priority logs for SIEM ingestion: Practitioner guidance	SIEM に取り込むログの優先順位：実務者向けガイダンス

オーストラリア

● Australian Signals Directorate’s Australian Cyber Security Centre

・2025.05.27 New advice on implementing SIEM/SOAR platforms in your organisation

New advice on implementing SIEM/SOAR platforms in your organisation	SIEM/SOARプラットフォームを組織に導入するための新しいアドバイス
Today, in collaboration with our international partners, we published a series about implementing and prioritising Security Information and Event Management (SIEM) and Security Orchestration, Automation, and Response (SOAR) platforms.	本日、我々は海外のパートナーと共同で、セキュリティ情報・イベント管理（SIEM）とセキュリティ・オーケストレーション・オートメーション・レスポンス（SOAR）プラットフォームの導入と優先順位付けに関するシリーズを発表した。
Implementing SIEM and/or SOAR platforms can greatly benefit your organisation by collecting, centralising, and analysing important data that would otherwise be extremely complex and scattered. The platforms also help your organisation detect cyber security events and incidents and then prompt timely intervention through alerting and ensuring that incident responders have access to the data that records what happened.	SIEMやSOARプラットフォームを導入することは、そうでなければ非常に複雑で分散してしまう重要なデータを収集、一元化、分析することによって、組織に大きな利益をもたらす。このプラットフォームはまた、サイバーセキュリティのイベントやインシデントを検知し、アラートによってタイムリーな介入を促し、インシデント対応者が何が起こったかを記録したデータにアクセスできるようにする。
This series of publications provide advice to executives and practitioners to help entities navigate decision making around the procurement and implementation of these platforms. There are 3 publications:	本シリーズは、事業体がこれらのプラットフォームの調達と導入に関する意思決定をナビゲートするのに役立つアドバイスを、経営幹部や実務者に提供するものである。3つの出版物がある：
Implementing SIEM and SOAR platforms: Executive guidance defines SIEM and SOAR platforms, explains their value and also their challenges and provides high level recommendations for implementing them. It is written for executives, but can be used by any organisation that is considering whether and how to implement a SIEM and/or SOAR.	SIEMとSOARプラットフォームの導入：エグゼクティブガイダンスは、SIEMとSOARプラットフォームを定義し、その価値と課題を説明し、それらを導入するための高レベルの推奨事項を提供する。エグゼクティブ向けに書かれているが、SIEMやSOARを導入するかどうか、またどのように導入するかを検討している組織であれば誰でも利用できる。
Implementing SIEM and SOAR platforms: Practitioner guidance provides high-level guidance for cyber security practitioners and describes how a SIEM/SOAR can enhance visibility, detection and response as well as principles for procurement, establishment and maintenance of those platforms.	SIEMとSOARプラットフォームの導入：実務者向けガイダンスは、サイバーセキュリティの実務者向けのハイレベルなガイダンスを提供し、SIEM/SOARによってどのように可視化、検知、対応を強化できるか、また、これらのプラットフォームの調達、確立、保守の原則について説明している。
Priority logs for SIEM ingestion: Practitioner guidance provides practitioners with detailed logging guidance for specific categories of log sources, such as from Endpoint Detection and Response tools, Windows/Linux operating systems, network devices and Cloud deployments.	SIEM に取り込むログの優先順位：実務者向けガイダンスでは、エンドポイント検知・応答ツール、Windows/Linuxオペレーティングシステム、ネットワークデバイス、クラウド展開など、特定のカテゴリーのログソースに関する詳細なロギングガイダンスを提供している。
Read the publication series to learn more.	詳しくは、この出版物シリーズをお読みいただきたい。

Implementing SIEM and SOAR platforms: Executive guidance

SIEMとSOARプラットフォームの導入：エグゼクティブガイダンス

Implementing SIEM and SOAR platforms: Executive guidance	SIEMとSOARプラットフォームの導入 エグゼクティブガイダンス
Introduction	序論
This publication:	本書は
• explains the value of Security Information and Event Management (SIEM) and Security Orchestration, Automation, and Response (SOAR) platforms.	・セキュリティ情報・イベント管理（SIEM）およびセキュリティオーケストレーション、自動化、レスポンス（SOAR）プラットフォームの価値を説明する。
• explains how these platforms work.	・これらのプラットフォームがどのように機能するかを説明する。
• outlines their challenges.	・課題を概説する。
• provides high-level recommendations for implementing them.	・これらのプラットフォームを導入するためのハイレベルな推奨事項を提供する。
It is primarily intended for decision-makers at an organisation’s executive level but can be used by any organisation that is considering whether and how to implement a SIEM and/or a SOAR.	本書は、主に組織のエグゼクティブレベルの意思決定者を対象としているが、SIEMやSOARを導入するかどうか、またどのように導入するかを検討している組織であれば、誰でも利用することができる。
This publication is one of three in a suite of guidance on SIEM and SOAR platforms:	本書は、SIEMとSOARプラットフォームに関する3つのガイダンスのうちの1つである：
Implementing SIEM and SOAR platforms: Executive guidance	SIEMとSOARプラットフォームの導入 エグゼクティブガイダンス
This document is intented for executives. It defines SIEM/SOAR platforms, outlines their benefits and challenges, and provides broad recommendations for implementation that are relavant to executives.	本書は経営幹部向けである。SIEM/SOARプラットフォームを定義し、その利点と課題を概説し、エグゼクティブに関連する実装のための幅広い推奨事項を提供する。
Implementing SIEM and SOAR platforms: Practitioner guidance	SIEMとSOARプラットフォームの導入 実務者向けガイダンス
This document is intended for cyber security practitioners. In greater technical details, it defines SIEM/SOAR platforms, outlines the benefits and challenges, and provides best practice principles for implementation.	この文書は、サイバーセキュリティの実務者を対象としている。技術的な詳細について、SIEM/SOARプラットフォームを定義し、その利点と課題を概説し、導入のためのベストプラクティスの原則を示している。
Priority logs for SIEM ingestion: Practitioner guidance	SIEMに取り込むログの優先順位 実務者向けガイダンス
This document is intended for cyber security practitioners and provides detailed, technical guidance on the logs that should be prioritised for SIEM ingestion. It covers log sources including Endpoint Detection and Response tools, Windows/Linux operating systems, and Cloud and Network Devices.	この文書は、サイバーセキュリティの実務者を対象としており、SIEMへの取り込みのために優先すべきログに関する詳細で技術的なガイダンスを提供する。エンドポイント検知・レスポンスツール、Windows/Linux オペレーティングシステム、クラウドおよびネットワークデバイスを含むログソースを対象としている。
This guidance should also be read alongside Best Practices for Event Logging and Threat Detection, which provides high-level recommendations on developing a logging strategy.	このガイダンスは、イベントロギングと脅威検知のベストプラクティス（Best Practices for Event Logging and Threat Detection）と併せて読むべきである。
1. What is the value of SIEM and SOAR platforms?	1. SIEMとSOARプラットフォームの価値は何か？
SIEM and SOAR platforms may be components of your organisation’s logging and visibility strategy. Visibility is foundational for the detection of malicious cyber activity and is critical for an effective and holistic cyber security strategy.	SIEMとSOARプラットフォームは、組織のロギングと可視化戦略の構成要素であるかもしれない。可視化は、悪意のあるサイバー活動を検知するための基礎であり、効果的かつ総合的なサイバーセキュリティ戦略にとって不可欠である。
These platforms can:	これらのプラットフォームは以下のことができる：
• enhance the general visibility of what is happening on your organisation’s network by collecting, centralising, and analysing important, qualified event data that would otherwise be extremely complex and scattered	・そうでなければ非常に複雑で分散してしまう重要で適格なイベントデータを収集、一元化、分析することで、組織のネットワーク上で何が起きているのかの全体的な可視性を高める。
• enhance your organisation’s detection of cyber security events and incidents by generating swift alerts about suspicious activity	・疑わしい活動に関する迅速なアラートを生成することで、サイバーセキュリティイベントやインシデントの検知を強化する。
• enhance event and incident detection by preventing malicious actors from modifying/deleting certain data to maintain their access to the network, as was observed in the Volt Typhoon campaign1	・Volt Typhoonキャンペーンで観測されたように、悪意のある行為者がネットワークへのアクセスを維持するために特定のデータを変更/削除することを防止することで、イベントとインシデントの検知を強化する1。
• enhance your organisation’s response to cyber security events and incidents by prompting timely intervention through alerting and ensuring incident responders have access to data that records what happened	・アラートによってタイムリーな介入を促し、インシデント対応者が何が起こったかを記録したデータにアクセスできるようにすることで、サイバーセキュリティのイベントやインシデントに対する組織の対応を強化する。
• in the case of a SOAR, enhance event and incident response by automating certain response actions, shortening the mean time to respond, and allowing the security team to focus on more complex problems	・SOAR の場合、特定の対応アクションを自動化することでイベントとインシデントへの対応を強化し、対応までの平均時間を短縮して、セキュリティチームがより複雑な問題に集中できるようにする。
• assist with implementing the Australian Signal Directorate’s  Essential Eight Maturity Model and and the Cybersecurity and Infrastructure Security Agency’s (CISA) Cybersecurity Performance Goals (CPGs), which both require log data to be collected and centralised.2	・オーストラリア信号局（Australian Signal Directorate）のEssential Eight Maturity Modelやサイバーセキュリティ・インフラセキュリティ庁（Cybersecurity and Infrastructure Security Agency：CISA）のCybersecurity Performance Goals（CPGs）の実施を支援する。
Consequently, these platforms can help to keep your organisation’s systems and services functioning and protect your data from unauthorised access or modification and theft.	その結果、これらのプラットフォームは、組織のシステムとサービスの機能を維持し、不正アクセスや改ざん、盗難からデータを保護するのに役立つ。
However, these benefits are only delivered where the SIEM or SOAR is properly implemented (see Section 3).	しかし、これらの利点は、SIEMやSOARが適切に実装されている場合にのみもたらされる（セクション3参照）。
2. How do these platforms work?	2. これらのプラットフォームはどのように機能するのか？
The network of a single organisation can be extremely complex, containing multiple devices, applications, operating systems and cloud services. Each of these sources within the network may also generate log data, or particular information about what is happening within the source (such as user activity on a device).	一つの組織のネットワークは非常に複雑で、複数のデバイス、アプリケーション、オペレーティング・システム、クラウド・サービスを含んでいる。ネットワーク内のこれらのソースはそれぞれ、ログデータ、つまりソース内で起きていることに関する特定の情報（デバイス上のユーザーアクティビティなど）を生成することもある。
A SIEM is a type of software platform that collects, centralises, and analyses log data.	SIEMは、ログデータを収集、一元化、分析するソフトウェアプラットフォームの一種である。
A SIEM gathers complex and dispersed log data from across the network and consolidates it into streamlined reports and dashboards. A SIEM also analyses this data through the application of rules and filters in order to detect anomalous network activity that could represent a cyber security event or incident. Many SIEM products enhance this analysis by incorporating up-to-date cyber threat intelligence from external sources. If it detects a potential event or incident, the SIEM will generate alerts, prompting the organisation’s security team to investigate and respond as necessary.	SIEMは、ネットワーク全体から複雑で分散したログデータを収集し、合理化されたレポートやダッシュボードに統合する。SIEMはまた、サイバーセキュリティイベントやインシデントを示す可能性のある異常なネットワークアクティビティを検知するために、ルールやフィルタを適用してこのデータを分析する。多くのSIEM製品は、外部ソースからの最新のサイバー脅威インテリジェンスを組み込むことによって、この分析を強化する。潜在的なイベントやインシデントを検知した場合、SIEMはアラートを生成し、組織のセキュリティ・チームが調査し、必要に応じて対応するよう促す。
A SOAR is a type of software platform that builds upon the collection, centralisation, and analysis of log data. Some SOAR platforms perform these functions themselves, while others integrate with an existing SIEM and leverage its log collection, centralisation, and analysis.	SOARは、ログデータの収集、一元化、分析を基盤とするソフトウェアプラットフォームの一種である。SOARプラットフォームには、これらの機能を自ら実行するものもあれば、既存のSIEMと統合し、そのログの収集、一元化、分析を活用するものもある。
Either way, a SOAR automates some of the response to detected cyber security events and incidents. It does so by applying predefined ‘playbooks’, which set certain actions to be taken when specific events occur, such as isolating the source of the event in the network. These automated actions do not replace human incident responders but can complement them.3	いずれにせよ、SOARは検知されたサイバーセキュリティイベントやインシデントへの対応の一部を自動化する。これは、事前に定義された「プレイブック」を適用することによって行われ、特定のイベントが発生したときに実行される特定のアクション（ネットワーク内のイベント発生源の切り分けなど）が設定される。これらの自動化されたアクションは、人間のインシデント対応者に取って代わるものではないが、彼らを補完することができる3。
3. What are the key challenges of implementing these platforms?	3. これらのプラットフォームを実装する上での主な課題は何か？
Neither a SIEM nor a SOAR is a ‘set and forget’ tool. Implementing either platform is an intensive, ongoing process that requires highly skilled human personnel. These personnel face two key technical challenges.	SIEMもSOARも「セット・アンド・フェザー」ツールではない。どちらのプラットフォームを導入するにしても、集中的かつ継続的なプロセスであり、高度なスキルを持つ人材が必要となる。これらの担当者は、2つの重要な技術的課題に直面する。
The first is ensuring that the SIEM produces alerts when cyber security events and incidents are occurring and, inversely, no alerts when no events/incidents are occurring. To achieve this, personnel need to identify the right types and quantities of log data for the SIEM to ingest, as well as the right rules and filters to apply to that data. This includes developing a threat model that defines events of interest that can trigger alerts related to the model in order to promote accurate alerting. If accurate alerting is not achieved, security teams may be operationally overwhelmed by false alerts from the SIEM or miss real events/incidents because of the absence of alerts.	1つ目は、サイバーセキュリティのイベントやインシデントが発生しているときにSIEMがアラートを出し、逆にイベントやインシデントが発生していないときにはアラートを出さないようにすることである。これを実現するために、担当者はSIEMが取り込むログデータの適切な種類と量、およびそのデータに適用する適切なルールとフィルタを特定する必要がある。これには、正確なアラート発報を促進するために、そのモデルに関連するアラートのトリガーとなる注目すべきイベントを定義する脅威モデルの開発も含まれる。正確なアラートが達成されない場合、セキュリティ・チームはSIEMからの誤ったアラートによって運用が圧迫されたり、アラートがないために実際のイベントやインシデントを見逃したりする可能性がある。
The second key technical challenge is ensuring that the SOAR only takes appropriate action in response to actual cyber security incidents, and does not take action against regular network activity or impede human incident responders. If accurate actioning is not achieved, the SOAR may significantly disrupt service delivery.	2つ目の重要な技術的課題は、SOARが実際のサイバーセキュリティインシデントに対してのみ適切なアクションを取り、通常のネットワークアクティビティに対してアクションを取ったり、人間のインシデント対応者を妨げたりしないようにすることである。正確な対処が達成されない場合、SOARはサービス提供に大きな支障をきたす可能性がある。
To meet these technical challenges, personnel must carefully configure the SIEM and/or SOAR for the unique network and organisation in which it is used. They must then continually adjust it and test its effectiveness as the network, technology, and cyber threat landscape keep changing. This ongoing work may be done internally, by an external service provider, or through some combination of the two.	このような技術的な課題を解決するために、担当者はSIEMやSOARを使用する固有のネットワークや組織に合わせて慎重に設定しなければならない。そして、ネットワーク、テクノロジー、サイバー脅威の状況が変化し続ける中で、継続的に調整し、その有効性をテストしなければならない。この継続的な作業は、社内で行うことも、外部のサービスプロバイダーが行うことも、あるいはその2つを組み合わせて行うこともできる。
Properly implementing a SIEM and/or SOAR therefore involves significant costs. These may include the upfront and sustained:	したがって、SIEMやSOARを適切に導入するには、多大なコストがかかる。これには、初期費用や継続的な費用が含まれる：
• licensing and/or data use costs of the platform	・プラットフォームのライセンス費用やデータ使用費用
• costs of hiring and retaining staff with in-demand, specialist skills in implementing a SIEM and/or SOAR	・SIEMやSOARを導入するための、需要の高い専門スキルを持ったスタッフの雇用と維持にかかるコスト
• costs of upskilling existing staff, as well as the continual training that is necessary to enable them to maintain the platform as the technology, network, and threat landscape change	・技術、ネットワーク、脅威の状況が変化する中で、既存のスタッフをスキルアップさせ、プラットフォームを維持できるようにするために必要な継続的なトレーニングのコスト
• service costs, if implementation is outsourced.	・実装をアウトソーシングした場合のサービスコスト
However, failing to detect or properly respond to a cyber security incident can be extremely costly. It may also lead to your organisation having systems taken offline, service delivery disrupted, data leaked or destroyed, and public confidence lost. For more on defining scope of implementation for your organisation, please see Implementing SIEM and SOAR platforms: Practitioner guidance.	しかし、サイバーセキュリティインシデントを検知できなかったり、適切に対応できなかったりすると、非常に大きなコストがかかる。また、組織がシステムをオフラインにされ、サービス提供が中断され、データが流出または破壊され、社会的信用が失われることにもつながりかねない。自組織への導入範囲の定義については、SIEMとSOARプラットフォームの導入を参照されたい： 実務者向けガイダンス」を参照のこと。
4. Recommendations for implementation	4. 実装のための推奨事項
Below are high-level, strategic recommendations for executives who are considering whether and how to implement a SIEM and/or SOAR. It is important to note that these platforms are just one form of technology that can collect and centralise log data and enhance incident detection – there are other options, such as log management tools.	以下は、SIEMやSOARを導入するかどうか、またどのように導入するかを検討している経営幹部に対する、ハイレベルで戦略的な推奨事項である。これらのプラットフォームは、ログデータを収集・一元化し、インシデント検知を強化する技術の一形態に過ぎないことに留意することが重要である。
a.  Consider whether you need to, and can, implement the platform in-house	a. 自社でプラットフォームを導入する必要があるか、また導入できるかどうかを検討する。
If your organisation manages sensitive information or provides critical services, it may be necessary to implement the platform in-house.	組織が機密情報を管理していたり、重要なサービスをプロバイダとして提供していたりする場合は、社内にプラットフォームを導入する必要があるかもしれない。
A key benefit of implementing a SIEM and/or SOAR in-house is that staff will generally have strong knowledge of the organisation’s unique network and business processes, as well as authority to query users about unusual behaviour and instigate incident response actions. In contrast, outsourcing can produce visibility gaps, work duplication, and communication difficulties.	SIEMやSOARを社内に導入する主なメリットは、一般的に、スタッフが認可組織独自のネットワークやビジネスプロセスに関する強力な知識を持っており、異常な行動についてユーザーに照会し、インシデント対応アクションを開始する権限を持っていることである。これとは対照的に、アウトソーシングは可視性のギャップ、作業の重複、コミュニケーションの難しさを生む可能性がある。
However, developing and retaining an in-house capability can be challenging because it is resource-intensive and these skills are in high demand. Executives should expect that multiple personnel will need to work on implementing the SIEM and/or SOAR on a full-time basis. Operating these platforms can also involve long periods of highly stressful work.	しかし、社内で能力を開発し、維持することは、リソースが集中し、これらのスキルの需要が高いため、困難な場合がある。経営幹部は、複数の担当者がフルタイムでSIEMやSOARの導入に取り組む必要があることを想定しておく必要がある。また、これらのプラットフォームの運用には、ストレスの多い作業が長時間伴うこともある。
If your organisation does outsource some or all of the implementation, the authoring agencies recommend considering whether different service providers:	導入の一部または全部をアウトソーシングする場合、作成機関は、異なるサービスプロバイダーかどうかを検討することを推奨する：
• provide a high-quality, 24/7 monitoring and incident response service	・高品質で、24時間365日の監視とインシデント対応サービスを提供している。
• are known to have good cyber security posture	・サイバーセキュリティの態勢が整っていることが知られている
• are bound by foreign data storage requirements	・外国のデータ保管要件に拘束されている
• are located in a foreign nation or have offices in foreign nations.	・外国に所在している、または外国に事務所がある。
You should also pay special attention to contractual provisions regarding:	また、以下のような契約条項にも特に注意を払うべきである：
• how the service’s effectiveness will be verified and assured	・サービスの有効性がどのように検証され、保証されるか。
• how the service provider will verify their compliance with the legislative, regulatory, and internal requirements that apply to your organisation	・サービス・プロバイダが、組織に適用される法律、規制、および内部要件に準拠していることを、どのように確認するか。
• the service provider’s skill level	・プロバイダのスキルレベル
• the services to be delivered, including use of standards, training and end user feedback	・標準の使用、トレーニング、エンドユーザーからのフィードバックなど、提供されるサービスの内容
• the degree of visibility the service provider will provide back to your organisation	・サービスプロバイダーが、どの程度の可視性を貴組織に提供するか
• the division of responsibility and liability for detecting and responding to cyber security incidents.	・サイバーセキュリティインシデントの検知と対応に関する責任と義務のディビジョン
b.  Look for potential hidden costs across different products	b. 異なる製品に潜在する隠れたコストを探す
The authoring agencies recommend carefully examining the costs involved in different SIEM and/or SOAR products. It is common for personnel to feed a SIEM increasing amounts of log data over time to improve the platform’s visibility and detection. Most SIEM pricing models are based on the quantity of data the SIEM ingests. Some products cap ingestion according to a pre-purchased amount. For products that do not, your organisation should be mindful of the potential to incur very significant costs if ingestion is not carefully managed.	作成機関は、異なるSIEMやSOAR製品に関わるコストを注意深く調べることを推奨する。SIEMの可視性と検知を改善するために、担当者は時間の経過とともに大量のログデータをSIEMに供給するのが一般的である。ほとんどのSIEMの価格モデルは、SIEMが取り込むデータ量に基づいている。製品によっては、事前に購入した量に応じてインジェストに上限を設けているものもある。そうでない製品の場合、インジェストを注意深く管理しないと、非常に大きなコストが発生する可能性があることに留意する必要がある。
The Implementing SIEM and SOAR platforms: Practitioner guidance publication provides further guidance on ways to reduce the costs of collecting, centralising, and analysing logs through these platforms, and on defining the scope of implementation for your organisation. Please also see Best practices for event logging and threat detection.	SIEMとSOARプラットフォームの導入 実務者向けガイダンスの出版物は、これらのプラットフォームを通じてログを収集、集中化、分 析するコストを削減する方法、および組織の実装範囲を定義する方法について、さらなるガイダ ンスを提供している。イベントロギングと脅威検知のベストプラクティスも参照のこと。
c.  Plan for the ongoing costs of implementation, particularly training costs	c. 導入にかかる継続的なコスト、特にトレーニングコストを計画する。
As outlined above, properly implementing a SIEM and/or SOAR involves significant upfront and sustained costs. Organisations should consult vendor documentation to determine whether alternative logging options can reduce these costs. For organisations that develop an in-house capability, the authoring agencies recommend committing significant effort and funding to continually train staff over time.	上述したように、SIEM や SOAR を適切に導入するには、多額の初期費用と継続費用がかかる。組織は、代替のロギングオプションがこれらのコストを削減できるかどうかを判断するために、ベンダーの文書を参照すべきである。社内で能力を開発する組織の場合、作成機関は、時間をかけて継続的にスタッフを訓練するために、多大な努力と資金を投入することを推奨する。
d.  Properly implement a SIEM before you consider implementing a SOAR	d. SOARの導入を検討する前に、SIEMを適切に導入する。
In general, it is necessary to properly implement a SIEM and ensure it is accurately alerting you to cyber security events and incidents before implementing a SOAR.	一般に、SOARを導入する前に、SIEMを適切に導入し、サイバーセキュリティのイベントやインシデントを正確にアラートしていることを確認する必要がある。
e.  Ensure the performance of the platform(s) is tested	e. プラットフォームのパフォーマンスがテストされていることを確認する。
It is essential to establish internal processes and procedures for testing whether the platform is effectively alerting you to cyber security events and incidents, as continual changes in networks, technologies and the cyber threat landscape will affect performance.	ネットワーク、テクノロジー、サイバー脅威の状況は絶えず変化しているため、プラットフォームがサイバーセキュリティイベントやインシデントに対して効果的にアラートを発しているかどうかをテストするための内部プロセスと手順を確立することが不可欠である。
Once a mature SIEM and/or SOAR capability has been established, the authoring agencies recommend testing performance by using an external professional service capability, such as penetration testing. The authoring agencies recommend researching different SIEM and/or SOAR vendors that best suit the needs of your organisation.	成熟したSIEMおよび/またはSOAR機能が確立されたら、作成機関は、侵入テストなどの外部専門サービス機能を使用してパフォーマンスをテストすることを推奨する。作成機関は、組織のニーズに最も適したさまざまなSIEMベンダーやSOARベンダーを調査することを推奨する。
Endnotes	注釈
1 See Identifying and Mitigating Living Off the Land Techniques | Cyber.gov.au	1 「現地調達手法の識別と緩和」｜Cyber.gov.au を参照のこと。
2 Please note that SIEMs are not the only tool that can collect and centralise log data, so if this is your organisation’s primary concern, other tools might be more cost-effective. In particular, CISA’s Logging Made Easy (LME) is a no cost, open source platform that centralises log collection. LME is intended for small- and medium-size organisations that need a log management and threat detection system; do not have an existing security operations centre (SOC), SIEM solution, or log management and monitoring capabilities; and/or work within limited budgets, time or expertise to set up and manage a logging and threat detection system. To get started with LME, download it directly from CISA’s LME GitHub page. See Implementing SIEM and SOAR platforms: Practitioner guidance for further details.	2 ログデータを収集し、一元管理できるツールはSIEMだけではないことに注意。特に、CISA の「Logging Made Easy」（LME）は、ログ収集を一元化するオープンソースの無償プラットフォームである。LME は、ログ管理・脅威検知システムを必要とする中小規模の組織、既存のセキュリティ・オペレーション・センター（SOC）、SIEM ソリューション、ログ管理・監視機能を持たない組織、ロギング・脅威検知システムを構築・管理するための予算や時間、専門知識が限られている組織を対象としている。LME を使い始めるには、CISA の LME GitHub ページから直接ダウンロードする。SIEM と SOAR プラットフォームの実装を参照のこと： 詳細は、実務者向けガイダンスを参照のこと。
3 Please note that SIEMs and SOARs are just one form of detection technology. Other forms, such as canary technology, are not discussed here.	3 SIEM や SOAR は検知技術の一形態に過ぎないことに注意。カナリア技術などの他の形態については、ここでは説明しない。

Implementing SIEM and SOAR platforms: Practitioner guidance

SIEMとSOARプラットフォームの導入：実務者向けガイダンス

Introduction	序論
1. Defining SIEM and SOAR platforms	1. SIEMとSOARプラットフォームの定義
What is a SIEM platform?	SIEMプラットフォームとは何か？
What is a SOAR platform?	SOARプラットフォームとは何か？
2. Potential benefits of SIEM and/or SOAR platforms	2. SIEMおよび/またはSOARプラットフォームの潜在的なメリット
Enhancing visibility	可視性の向上
Enhancing detection	検知の強化
Enhancing response	レスポンスの強化
3. Challenges of implementing SIEM and/or SOAR platforms	3. SIEM/SOARプラットフォーム導入の課題
Normalisation of ingested data	取り込まれたデータの正規化
Collection coverage across the environment	環境全体の収集範囲
Log centralisation versus log analysis	ログの一元化とログの分析
Achieving effective log analysis	効果的なログ分析の実現
The risks of automating responses	自動応答のリスク
Resource intensity	リソース集約
4. Best practice principles for implementing a SIEM and/or SOAR	4. SIEMやSOARを導入するためのベストプラクティスの原則
Principles for procurement	調達の原則
Principles for Establishment	構築の原則
Principles for maintenance	保守の原則
ANNEX A: SIEM architecture patterns	附属書A：SIEMアーキテクチャパターン
ANNEX B: Pre-processing methods	附属書B: 前処理方法
1. Source log separation	1. ソースログの分離
2. Replication point pre-processing	2. 複製ポイントの前処理
3. SIEM ingestion	3. SIEMへの取り込み
Footnotes	脚注

Priority logs for SIEM ingestion: Practitioner guidance

SIEM に取り込むログの優先順位：実務者向けガイダンス

Introduction	序論
This series of documents	この一連の文書
Risk considerations	リスクに関する考察
Architectural considerations	アーキテクチャに関する考察
Prioritised logging list	ロギングの優先順位リスト
Priority logs for SIEM ingestion footnote legend	SIEM取り込みのための優先ログ脚注凡例
Detailed logging guidance	詳細なロギングガイダンス
1. Endpoint detection and response (EDR) logs	1. エンドポイントの検知と対応（EDR）のログ
2. Network device logs	2. ネットワークデバイスのログ
3. Microsoft Domain Controller	3. マイクロソフト・ドメイン・コントローラー
4. Active Directory (AD) and Domain Service Security Logs	4. Active Directory（AD）とドメインサービスのセキュリティログ
5. Microsoft Windows endpoint logs	5. Microsoft Windowsのエンドポイントログ
6. Virtualisation system logs	6. 仮想化システムのログ
7. Operational technology logging	7. 運用技術のログ
Logging priorities for cloud computing	クラウドコンピューティングにおけるログの優先順位
Amazon Web Services logs	アマゾンウェブサービスのログ
Critical Azure service and app logs	クリティカルなAzureサービスとアプリのログ
Google Cloud Platform (GCP) logs	Google Cloud Platform（GCP）のログ
Google Workspace (GWS) logs	グーグル・ワークスペース（GWS）のログ
8. Container logs	8. コンテナのログ
9. Database Logs	9. データベースのログ
10. Mobile device management	10. モバイルデバイス管理
11. Windows DNS server analytic event logs	11. Windows DNSサーバー分析イベントログ
12. Linux endpoint auditing logs	12. Linuxエンドポイント監査ログ
13. Apple MacOS endpoint logs	13. アップルMacOSエンドポイントログ
Reference and resource annex	参考文献とリソース附属書
Active directory group policy changes	アクティブ・ディレクトリのグループ・ポリシーの変更
Windows Endpoint Group Policy Changes	Windowsエンドポイントグループポリシーの変更
Domain Controller Group Policy Changes	ドメインコントローラーグループポリシーの変更
Footnotes	脚注

米国

● CISA

・2025.05.27 New Guidance for SIEM and SOAR Implementation

・2025.05.27 Guidance for SIEM and SOAR Implementation

ニュージーランド

● NCSC-NZ

・2025.05.27 Joint Guidance: Implementing SIEM and SOAR platforms

チェコ...

● Národní úřad pro kybernetickou a informační bezpečnost: NUKIB

・2025.05.27 NÚKIB se zahraničními partnery spolupodepsal dokumenty zaměřené na platformy SIEM a SOAR

内閣官房 NISC サイバーセキュリティ戦略本部第43回会合 - 政府のサイバーセキュリティに関する令和７年度予算 (2025.05.29)

こんにちは、丸山満彦です。

各省庁のサイバーセキュリティに関する令和7年度（2025年度）の予算要求額が公表されていますが、昨年の当初予算要求額比でいうと減っていますね...

といっても、防衛省の予算が大きすぎて、防衛省の予算次第という感じですかね...

● NISC

・2025.05.29 第43回会合

・[PDF] 資料６ 政府のサイバーセキュリティに関する令和７年度予算 

過去分もまとめて...

・2025.05.29 第43回会合 資料6 政府のサイバーセキュリティに関する令和７年度予算 

・2024.07.10 第41回会合 資料3 政府のサイバーセキュリティに関する令和６年度予算　（正誤表）

・2023.06.01 第35回会合 資料3 政府のサイバーセキュリティに関する予算（令和５年度予算政府案）

・2021.09.27 第31回会合 資料5 政府のサイバーセキュリティに関する予算（令和4年度）

・2021.02.09 第26回会合 資料4 政府のサイバーセキュリティに関する予算（令和3年度）

・2020.01.30 第23回会合 資料4 政府のサイバーセキュリティに関する予算（令和2年度）

・2019.01.24 第21回会合 資料7 政府のサイバーセキュリティに関する予算（平成31年度）

・2018.09.26 第20回会合 資料2 政府のサイバーセキュリティに関する予算（平成31年度）

・2018.01.17 第16回会合 資料3 政府のサイバーセキュリティに関する予算（平成30年度）

・2017.01.25 第11回会合 資料5 政府のサイバーセキュリティに関する予算（平成29年度）

・2016.10.28 第10回会合 資料10 政府のサイバーセキュリティに関する予算（平成29年度）

・2016.01.25 第06回会合 資料5 政府のサイバーセキュリティに関する予算（平成28年度）

・2015.09.25 第05回会合 資料3 政府のサイバーセキュリティに関する予算（平成28年度）

・2015.05.25 第02回会合 資料5 政府のサイバーセキュリティに関する予算について（平成27年度）

・2015.02.10 第01回会合 資料7 政府のサイバーセキュリティに関する予算 (平成27年度)

 

で執行額（2025年度だけは当初予算額）をグラフにすると...

予算要求時の省庁別割合に当初予算額をかけているので、補正分の省庁別の数字は把握できていないです...なので別に記載しています。。。

2019-2025年度の省庁別サイバーセキュリティ予算推移は...

2019-2025年度の省庁別サイバーセキュリティ予算累積は...

防衛省の2023-2025年度の予算要求額の内訳...

情報システムの保護の予算がすごいですね...

2025年度の予算では、次のようになっています...

• サイバー領域における意思決定支援システムの整備
  • サイバー攻撃等対処に係る状況把握・対処等をより迅速かつ的確に行うため、ＡＩを活用した支援システムを整備
• サイバー防護分析装置の整備
  • 防衛省に対するサイバー攻撃に関する手法の収集・分析等を行うサイバー攻撃対処のための装置の監視・評価機能等を強化
• スレットハンティング器材の整備
  • 内部の潜在的脅威を継続的に探索・検出する器材を整備

リスク管理枠組みの導入

防衛省版SP800-37, SP800-53

• 常時継続的にリスクを管理する考え方を基礎に、運用開始後も継続的にリスクを分析・評価し、適切に管理する「リスク管理枠組み（RMF）」を導入。防衛省版ＲＭＦは、米政府で推奨されているセキュリティ基準と同等のもの。
  
  

各省庁の予算を取りまとめるだけでなく、成果の共有等ももっとできるかもですね...

内閣官房 NISC サイバーセキュリティ戦略本部第43回会合 - インシデント報告様式の統一 (2025.05.29)

こんにちは、丸山満彦です。

サイバーセキュリティインシデントについて、様々な政府機関から報告の要求がありますが、様式や提供する情報が異なると事業者にとって負担となることから、それを統一しようという取り組みです。

すでに金融機関においては、FSBが中心となって（日本では金融庁も加わって）、先行してインシデント情報の提供スキーム (FIRE) をグローバルで統一することになっていますね... 報告を受ける監督官庁側の処理の効率化を考えて、機械処理を前提としています...

さて、NISCが公表したものは、今現在はザ・様式ですね... 紙（PDF）で報告することを想定している感じ... 受け取った監督官庁は手作業？でデータベース化ですかね...

ただ、サイバー対処能力強化法が施行されるタイミングで、システム化をするようですね...

インシデントの種類によって様式を変えるわけですね...

● NISC

・2025.05.29 第４３回会合

・[PDF] 資料５ インシデント報告様式の統一について 

被害報告一元化の方針

被害報告一元化の実現に向けたタイムライン

---

１．目的

 我が国全体のサイバーセキュリティを強化するためには、官民双方向の情報共有を促すことが必要不可欠である一方、サイバー攻撃による被害報告件数は増加の一途を辿っており、また、報告先となる官公署も多いことから、サイバー攻撃を受けた被害組織に過度な報告負担がかかっている旨の指摘がされている。

 特に、DDoS攻撃事案及びランサムウェア事案については、サイバー攻撃であることがインシデント発生時から明白であることが多く、初動対応中の報告となり、その件数も多いことから、被害組織の報告負担が極めて大きいと考えられる。

 かかる状況を踏まえ、「サイバー安全保障分野での対処能力の向上に向けた提言」（令和６年11月29日付、サイバー安全保障分野での対応能力の向上に向けた有識者会議）では、「被害組織の負担軽減と政府の対応迅速化を図るため、報告先や様式の一元化、簡素化を進めるべき」との提言が行われるとともに、サイバーセキュリティ戦略本部第 42 回会合（令和７年２月５日）では、「現行制度下において喫緊に取り組むべき事項」の検討事項の一つとして、被害組織の負担軽減（報告様式一元化）が掲げられたところである。

このため、サイバー攻撃に係る被害組織の負担を軽減し、政府の対応迅速化を図るため、報告のあり方について、別添様式１及び別添様式２に掲げる共通様式に記載の手続を所管する関係省庁において次のとおり申し合わせる。

２．対象とする手続

(1) DDoS攻撃事案・ランサムウェア事案に係る報告

先行的な対応として、個人情報の保護に関する法律（平成 15 年法律第 57 号）第26条第１項の規定による個人データの漏えい等に係る報告等、都道府県警察への相談その他の共通様式に記載の手続に関する官公署への報告等に際して、被害組織が「ＤＤоＳ攻撃事案共通様式（別添様式１）」又は「ランサムウェア事案共通様式（別添様式２）」を用い、又は別途法令等で定める様式に添付する形で報告等を行うことを可能とする。具体的な提出先及び提出方法については、各法令、ガイドラインや、各省庁が公表する方法に従うこととする。

その際、内閣官房内閣サイバーセキュリティセンターにおいて国内で発生しているこれら事案の情報集約を行うため、被害報告を行う者の同意がある場合は、各様式に基づいて報告を受けた官公署は、当該内容を内閣官房内閣サイバーセキュリティセンターに共有するものとする。

また、重要電子計算機に対する不正な行為による被害の防止に関する法律（令和７年法律第 42 号。以下「サイバー対処能力強化法」という。）第５条の施行に併せ、官民連携基盤の整備により、共通様式により報告が行われる場合における窓口を一元化するよう所要の調整を進める。

(2) サイバー対処能力強化法に基づく報告

特別社会基盤事業者は、特定侵害事象等の発生を認知した場合、サイバー対処能力強化法第５条の規定に基づき、特別社会基盤事業所管大臣及び内閣総理大臣に報告しなければならないとされているところ、当該規定に基づく報告及び（１）に掲げる報告等について、当該規定の施行に併せ、官公署への報告等に際して利用できる共通様式を整備し、さらに官民連携基盤の整備により、これらの報告の窓口を一元化するよう所要の調整を進める。

３．本申合せの適用開始時期及び見直し

本申合せのうち、「DDoS攻撃事案共通様式（別添様式１）」又は「ランサムウェア事案共通様式（別添様式２）」を用いた報告等については、所要の制度改正やパブリックコメント等を経て、令和７年10月１日から適用する。

また、本申合せは、各省庁等の適用状況や、サイバー攻撃の傾向を随時検証し、２（１）に定める様式の適用開始から１年後を目途に必要な見直しを行う。

---

・[PDF] DDoS攻撃事案共通様式

・[PDF] ランサムウェア事案共通様式

---

FIRE関係...

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.05.02 金融安定理事会 (FSB) インシデント報告交換フォーマット（FIRE）を公表 (2025.04.15)

・2024.11.01 金融安定理事会 (FSB) 市中協議文書「インシデント報告交換フォーマット（FIRE）」の公表 (2024.10.17)

・2023.04.17 金融安定理事会 (FSB) サイバーインシデント報告におけるより大きな収束を実現するための提言

・2022.10.23 金融安定理事会 サイバーインシデント報告における収斂を高めるための提言

内閣官房 NISC イバーセキュリティ戦略本部第43回会合 - サイバー空間を巡る脅威に対応するため喫緊に取り組むべき事項 (2025.05.29)

こんにちは、丸山満彦です。

いろいろと後手後手になっていますが... ちょうどこの会議の後に会議があったんで、会議中にも少し話題にでました...

● NISC

・2025.05.29 第４３回会合

決定文書は次の３つ。。。

・[PDF] サイバー空間を巡る脅威に対応するため喫緊に取り組むべき事項

・[PDF] デジタル社会の実現に向けた重点計画案に対するサイバーセキュリティ戦略本部の意見

・[PDF] 「サイバーセキュリティ対策を強化するための監査に係る基本方針」の一部改正について

まず3つ目の監査。これは監査の実施内容に「レッドチームテスト」を加えるというもの。もともと統一基準を作った時に監査にも技術的な確認という項目はあったので、その文脈ではレッドチームテストもできるという想定でした（当時、ちょうどRed Team Testingという用語が使われ出した頃でした...）。ということで、その時から20年たって、義務化という感じですね...

次に2つ目の「デジタル社会実現に向けた重点計画案」に対する意見。依存なしとのこと(^^)

---

... 今次のデジタル社会の実現に向けた重点計画案（以下「重点計画案」という。）においては、サイバーセキュリティの確保に関し、新たな司令塔組織を中心とした情報収集・分析に係る体制等の整備、官民双方向の情報共有の推進、GSOCの機能強化、政府機関等のセキュリティ対策の推進、 中小企業を含めた我が国全体のサプライチェーンのセキュリティ対策強化、官民共有の「人材フレームワーク」の策定等、新たな法整備や「喫緊に取り組むべき事項」に盛り込まれている取組が明記されており、時宜を得た内容となっている。

デジタル庁におかれては、サイバー空間がグローバルな空間であるという認識のもと、サイバーセキュリティを盛り込み、こうした取組を進められ、安全・安心なデジタル社会の実現に向け、引き続きデジタル改革を推進していくことを期待する。

以上を踏まえ、 令和７年５月16日付で内閣総理大臣からデ戦第 1649 号により依頼があった重点計画案については、異存はない。

---

3つ目は、サイバー空間を巡る脅威に対応するため喫緊に取り組むべき事項

これは、現在の2021年「サイバーセキュリティ戦略 (2021.09.28)」（特に「サイバーセキュリティ2024」(2024.07.10) における「特に強力に取り組む施策」）及び「サイバー安全保障分野での対応能力の向上に向けた提言」(2024.11.29) 等を踏まえ、現行制度下において、喫緊に取り組むべき施策の方向性を取りまとめたものと位置付けですね...

章立てでいうとこんな感じ...

・サイバーセキュリティに係る新たな司令塔機能の確立

・巧妙化・高度化するサイバー攻撃に対する官民の対策・連携強化

• 新たな官民連携エコシステムの実現
• 政府機関等のセキュリティ対策水準の一層の向上及び実効性の確保
• 地方公共団体・医療機関等のセキュリティ対策向上
• 政府機関・重要インフラ等を通じた横断的な対策の強化
• セキュアバイデザイン・セキュアバイデフォルト原則の実装推進
• 中小企業を含めたサプライチェーン全体のレジリエンス強化

・サイバーセキュリティを支える人的・技術的基盤の強化

• 官民を通じたサイバーセキュリティ人材の確保・育成
• 我が国の対応能力を支える技術・産業育成及び先進技術への対応

・緊密な国際連携を通じた我が国のプレゼンス強化

官民連携、人材育成、政府・地方公共機関の対応の遅れ、セキュア・バイ・デザイン（開発段階からのセキュリティ）、国際協調、中小企業のセキュリティ対策の遅れ...

● 経済産業省

・2003.10.10 [PDF] 情報セキュリティ総合戦略 [downloaded]

第1章　戦略の考え方
1.1. IT の社会基盤化～社会の「神経系」を担う IT
1.2. 社会全体が直面する新次元のリスク
　1.2.1. リスクの拡大
　1.2.2. リスクの変質
　1.2.3. 新次元のリスクへの対応と安全保障の観点から見た問題認識
1.3. 総合的なセキュリティ対策の必要性
　1.3.1. これまでの情報セキュリティ対策の課題
　1.3.2. 「高信頼性社会」構築による競争力強化と総合的な安全保障の向上

第2章　情報セキュリティ強化のための3つの戦略
2.1. 情報セキュリティ強化のための3つの戦略
2.2. 戦略1：しなやかな「事故前提社会システム」の構築（高回復力・被害局限化の確保）
2.3. 戦略2：「高信頼性」を強みとするための公的対応の強化
2.4. 戦略3：内閣機能強化による統一的推進
2.5. e-Japan戦略との関係

第3章　戦略実現のための具体的施策
3.1. 戦略実現のための具体的施策の構成
3.2. 「戦略1：しなやかな『事故前提社会システム』の構築（高回復力・被害局限化の確保）」を実現するための具体的施策（1）～事前予防策の強化
　3.2.1. 国・自治体・重要インフラにおける事前予防策
　3.2.2. 企業・個人における新たな事前予防策
　3.2.3. 技術とセキュリティマネジメントの両輪からなる既存の事前予防策の強化
3.3. 「戦略1：しなやかな『事故前提社会システム』の構築（高回復力・被害局限化の確保）」を実現するための具体的施策（2）～事故対応策の抜本的強化
　3.3.1. 国・自治体・重要インフラにおける事故対応策
　3.3.2. 企業・個人における事故対応策
3.4. 「戦略2：『高信頼性』を強みとするための公的対応の強化」を実現するための具体的施策～戦略1の実現及び国家的視点からの全体を支える基盤の強化
　3.4.1. 国の主権に関わるリスクへの対応
　3.4.2. 犯罪対策やプライバシー対策と国際協調
　3.4.3. 基礎技術基盤の確立

第4章　戦略の実現のための体制と進捗管理
4.1. 「戦略3：内閣機能強化による統一的推進」
4.2. 望ましい実現時期
4.3. 戦略の評価体制

おわりに

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.12.02 内閣官房 サイバー安全保障分野での対応能力の向上に向けた提言 (2024.11.29)

・2024.07.11 内閣官房 NISC サイバーセキュリティ2024、サイバーセキュリティ関係施策に関する令和７年度予算重点化方針

・2021.09.28 NISC サイバーセキュリティ戦略本部 第31回会合 サイバーセキュリティ戦略確定 （予算からみるとサイバーセキュリティは経済発展というよりも安全保障？）

防衛省 装備品等の研究開発における責任あるＡＩ適用ガイドライン (2025.06.06)

こんにちは、丸山満彦です。

防衛省防衛装備庁が、装備品等の研究開発における責任あるＡＩ適用ガイドラインを公表しましたね...

現場でAIが暴走すると、場合によっては現場の人（敵も味方も）の生命に影響が及ぶこともあるしね...

● 防衛装備庁

・2025.06.06 [PDF] 装備品等の研究開発における責任あるＡＩ適用ガイドラインの策定について

---

装備品等の研究開発における責任あるＡＩ適用ガイドラインの策定について

防衛省は、装備品等の研究開発における防衛省・自衛隊独自のガイドラインとして、「装備品等の研究開発における責任あるＡＩ適用ガイドライン」を策定いたしましたので、お知らせいたします。

本ガイドラインは、令和６年７月に策定・公表した「防衛省ＡＩ活用推進基本方針」を受け、防衛省の装備品等の研究開発における責任あるＡＩ適用のコンセプトを示すものとして、策定したものです。

---

・装備品等の研究開発における責任あるＡＩ適用ガイドライン

・[PDF] 装備品等の研究開発における責任あるAI適用ガイドライン　概要

・[PDF] 装備品等の研究開発における責任あるAI適用ガイドライン本文（第1版）

 

目次...

１ 本ガイドライン策定の背景
(1) 諸外国の軍事領域におけるＡＩの責任ある利用に関する取組状況
(2) ＡＩの軍事利用に関する国際的な議論及び我が国の見解

２ 本ガイドラインの位置付け

３ ＡＩ装備品等の研究開発における確認事項
(1) 準拠すべき要件の設定

４ ＡＩ装備品等の研究開発における実施事項
(1) ＡＩ装備品等の分類
(2) 法的・政策的審査
(3) 技術的審査
(4) その他

５ まとめ

---

表１ ＡＩ政治宣言において参加国が実施すべき措置として定められている事項

Ａ	国家は、自国の軍事組織が、ＡＩ能力の責任ある開発、配備、使用のために、これらの原則を採用し、実施することを確保すべきである。
Ｂ	国家は、軍事用ＡＩ能力が国際法、特に国際人道法の下でのそれぞれの義務に合致して使用されることを確保するために、法的審査などの適切な措置をとるべきである。国家はまた、国際人道法の履行を促進し、武力紛争における文民及び民用物の保護を改善するために、軍事用ＡＩ能力をどのように使用するかを検討すべきである。
Ｃ	国家は、高官が、このような兵器システムを含むがこれに限定されない、重大な影響を及ぼす活用を伴う軍事用ＡＩ能力の開発と配備を効果的かつ適切に監督することを確保すべきである。
Ｄ	国家は、軍事用ＡＩ能力における意図せざるバイアスを最小化するための積極的な措置をとるべきである。
Ｅ	国家は、軍事用ＡＩ能力を組み込んだ兵器システムを含め、軍事用ＡＩ能力の開発、配備、使用において、関係者が適切な注意を払うことを確保すべきである。
Ｆ	国家は、軍事用ＡＩ能力が、関連する防衛要員にとり透明で、また、かかる要員により監査可能な方法論、データソース、設計手順及び文書作成により開発されることを確保すべきである。
Ｇ	国家は、軍事用ＡＩ能力を使用する、又は使用を承認する要員が、それらのシステムの使用について状況に応じた適切な判断を下し、自動化バイアスのリスクを軽減するために、それらのシステムの能力と限界を十分に理解するよう訓練されることを確保すべきである。
Ｈ	国家は、軍事用ＡＩ能力が明確かつ十分に定義された用途を有し、それらの意図された機能を果たすようにデザイン及び設計されていることを確保すべきである。
Ｉ	国家は、軍事用ＡＩ能力の安全性、セキュリティ、有効性が、その明確に定義された用途の範囲内で、そのライフサイクル全体にわたって、適切かつ厳格なテストと保証の対象となることを確保すべきである。自己学習または継続的に更新される軍事用ＡＩ能力については、国家は、モニタリングなどのプロセスを通じて、重要な安全機能が低下していないことを確保すべきである。
Ｊ	国家は、軍事用ＡＩ能力における失敗のリスクを軽減するために、意図しない結果を検出し回避する能力、及び、そのようなシステムが意図しない挙動を示した場合に、例えば、配備されたシステムによる交戦を停止させる、又はその作動を停止させることによって対応する能力などの適切な保護措置を実施すべきである。

図１ 本ガイドラインの対象範囲

図２ 諸外国の軍事領域におけるＡＩ倫理原則

図３ 研究開発事業における実施事項

図４ 装備品等の分類と対応フロー

法的・政策的審査 表２ 要件Ａの審査項目（基準）

	確認項目
Ａ－１  国際人道法を始めとする国際法及び国内法の遵守が確保できないものでないこと	・ 当該装備品等を使用するにあたって軍事的必要性と人道的配慮のバランスを考慮し、過度の傷害又は無用の苦痛を与えることを防止する措置が含まれた構想になっているか。
	・ 軍事目標と非軍事目標（文民及び民用物）を区別し、軍事目標のみに攻撃を行うことが可能な装備品等の構想になっているか（区別原則）。
	・ 予測される具体的かつ直接的な軍事的利益との比較において、巻き添えによる文民の死亡、文民の傷害、民用物の損傷又はこれらの複合した事態を過度に引き起こすことが予測される攻撃を防止する措置が含まれた構想になっているか（比例性原則）。
	・ 攻撃に先立つ軍事目標の選定から攻撃の実施に至るまで、無差別攻撃を防止し文民と民用物への被害を最小限に抑えるための各種予防措置を実施し得る構想になっているか（予防原則）。
	・ 国際人道法のその他の要請や適用のある他の国際法及び国内法に従って使用することができないような装備品等の構想となっていないか。
Ａ－２  人間の関与が及ばない完全自律型致死兵器でないこと	・ 適切なレベルの人間の判断が介在し、人間による責任ある指揮命令系統の中での運用が確保できる構想となっているか。
	・ 人間の関与が及ばない完全自律型の致死性を有する兵器システムの開発ではないか。

図５ 法的・政策的審査体制イメージ

技術的審査 表３ 要件Ｂの審査項目（基準）

	確認項目
Ｂ－１  人間の責任の明確化	・ ＡＩシステムの利用に際して適切なタイミングと程度において、運用者の関与や運用者による適切な制御が可能となるように設計されているか。
	・ ＡＩシステムと運用者それぞれの役割が明確に定義されているか。
	・ 運用者が負うべき責任が明確に定義されているか。
Ｂ－２  運用者の適切な理解の醸成	・ ＡＩシステムの挙動、パフォーマンス範囲、操作等に運用者が習熟して当システムを適切に使用できるように設計されているか。
	・ ＡＩシステムへの過度の依存を防ぐための対策が設計されているか。
	・ ＡＩシステムのモニタリング時に、運用者が不具合を認めたときにそれを改善することを可能とする仕組みが設計されているか。
Ｂ－３  公平性の確保	・ データセットの公平性要件が明確化されているか。
	・ ＡＩモデルに関連するバイアスが許容レベルを超えないか確認するとともに、不具合が認められた場合の改善の仕組みが設計されているか。
Ｂ－４  検証可能性、透明性の確保	・ ＡＩシステムの構築に係る過程、使用した手法・データ・アルゴリズム等が明確化され、その妥当性を後に検証可能な仕組みが整備されているか。
	・ 研究開発体制（事業者含む。）において、説明責任を果たす責任者を明確化しているか。
Ｂ－５  信頼性、有効性の確保	・ ＡＩシステムの信頼性を確保するために、多様な指標を用いた試験評価を実施しているか。
	・ 開発初期から研究開発終了までの全ての期間において、運用を想定したデータセットを使用することが検討されているか。
	・ 運用を想定して、ＡＩに連接する装備品等の信頼性を損なうことなく、ＡＩを適用できることを設計において担保されているか。
	・ ＡＩシステムが容易に維持管理できる設計となっているか。
	・ ＡＩシステムに対してセキュリティ管理策の実施が検討されているか。
Ｂ－６  安全性の確保	・ ＡＩシステムの誤作動や深刻な失敗・事故の発生を低減する安全機構が設計されているか。
Ｂ－７  国際法及び国内法の遵守が確保できないものでないこと	・ 装備品等の運用に際して適用される国際法や国内法令、各種内部規則等から逸脱しないよう対策が検討されているか。

図６ 技術的審査体制イメージ

図７ 高リスクＡＩ装備品等の標準的なリスク管理イメージ

図８ 低リスクＡＩ装備品等の標準的なリスク管理イメージ

表  要件Bのチェック項目に活用し得るRAI Toolkitの例

#	RAI Toolkit			該当するチェック項目
	ツール名称	ツール説明
１	Trust in Autonomous Systems Test (TOAST)	システムに対する信頼度の評価	人間がシステムをどの程度信頼しているかを測定するための９つの質問からなるテスト。(例：私はシステムが何をすべきか理解している。 私はシステムの限界を理解している。等) [web]	Ｂ－２ 運用者の適切な理解の醸成
２	Human-Machine Teaming Systems Engineering Guide	システムの設計支援	システム開発者が人間のオペレーターと協力して機能するＡＩを設計するのを支援するガイド。 [web]
３	FairML	ＡＩモデルの公平性の診断・改善	ＡＩモデルの予測結果に対して、性別や人種などの属性との関係を分析し、公平性を診断し、要因の特定、改善方法の提供を行うためのツールキット。ＡＩモデルの予測結果の公平性を改善するために用いられる。 [web]	Ｂ－３ 公平性の確保
４	Tensor Flow Fairness Indicators	ＡＩモデルの公平性の評価・改善	ＡＩモデルの公平性に関する懸念を評価、改善、比較するためのツールキット。「公平性」とは、ＡＩモデルが特定の属性(人種、性別、年齢など)に基づいて不当な差別をしないことを意味する。 [web]
５	What-If Tool	ＡＩモデル性能と公平性の評価	What-Ifツール（WIT）は、機械学習（ML）モデル、特に分類や回帰タスクにおいてブラックボックスシステムとして機能するモデルの理解と分析を支援する可視化ツール。 [web]
６	Explainer Dashboard	ＡＩモデルの解釈性向上	ＡＩモデルの解釈性を高めるためのツールを提供するライブラリ。モデルの予測結果を視覚的に分析したり、特徴量の重要度を確認したりすることが可能。 [web] [web]	Ｂ－４ 検証可能性、透明性の確保
７	InterpretML	ＡＩモデルの解釈性向上	機械学習の解釈可能性のための最新技術を一元的に包含するオープンソースのツール。このツールは、解釈可能なモデルを作成し、ブラックボックスシステムを説明する機能を提供する。モデルの全体的な振る舞いを理解したり、個々の予測の背後にある理由を理解したりすることが可能。 [web] [web]
８	Hugging Face Data Card Template	データセットの透明性確保	データセットカードの作成手順を示すもの。データセットの内容、データセットを利用する背景、データセットの作成方法、その他利用者が注意すべき点を理解するのに役立つ。責任ある利用を促し、データセットに潜在する偏りを利用者に知らせることができる。 [web]
９	Hugging Face Model Card Template	ＡＩモデルの透明性確保	ＡＩモデルを理解し、共有し、改善するためのフレームワーク。各モデルについて、その技術と設計方法を記述し、透明性・監査可能性を実現するのに役立つ。また、技術の適切な理解を示すために、設計手順が透明で監査可能であることを測定し示すのにも役立つ。 [web]
10	Threat Modeling Resource	脅威や脆弱性の特定・評価および対策の計画	ＡＩの脅威モデリングのためのフレームワーク。ＡＩ機能のセキュリティを実現するために、脅威モデリングによってセキュリティレビューを実施し、それに基づいて推奨されるリスク軽減策を取り入れる。 [web]	Ｂ－５ 信頼性、有効性の確保
11	EQUI(NE2)	ニューラルネットワークの不確実性を定量化	モデルの予測における不確実性を可視化するツール。各予測の「信頼スコア（confidence score）」と「外れ値スコア（outlier score）」を提示し、モデルが通常のデータ範囲を超えた状況においてどの程度リスクが高まるかを評価することができる。モデルの精度を評価することだけでなく、データの偏りに対するモデルの頑健性を評価し、ＡＩの適用可能な範囲を明確化することができる。 [web]
12	IBM Adversarial Robustness 360Attacks	ＡＩのセキュリティ強化	敵対的な攻撃を生成し、ＡＩの信頼性(ＡＩのセキュリティ)を高めるための堅牢性を訓練したり、攻撃成功率を計算してＡＩの信頼性(ＡＩのセキュリティ)を測定し、示したりすることができるＡＩのセキュリティを守るためのPythonライブラリ。ユーザーが機械学習モデルやアプリケーションを、回避、汚染、抽出、推論といった敵対的な脅威から守り、評価するためのツールを提供する。TensorFlow、Keras、 PyTorch、scikit-learn、XGBoostなどのＡＩフレームワークをサポートしており、画像、表、音声、ビデオなどあらゆるデータタイプや、分類、物体検出、音声認識、生成、認証などのＡＩタスクに対応。 [web] [web]
13	Drift Tools	ＡＩ機能の信頼性とガバナンスの支援	Drift Tools のアルゴリズムを ＡＩ機能に組み込んで、ＡＩ機能のパフォーマンスが保証されていない分布外の入力を検出し、ＡＩの信頼性(有効性)と意図しない結果を検出する能力の実現を支援するPythonライブラリ。 外れ値、敵対的攻撃の検出(Adversarial detection：機械学習モデルに対する攻撃を検出し、防御するプロセス)、及びドリフト検出(Drift detection：機械学習モデルの学習データの統計的分布と、実際に遭遇するデータの分布との間に生じる変化を検出するプロセス)に特化している。 [web] [web]	Ｂ－２ 運用者の適切 な理解の醸成 Ｂ－５ 信頼性、有効性の確保
14	Python Outlier Detection (PyOD)	多変量データにおける異常値の検出	PyOD（Python Outlier Detection）は、多変量データにおける異常値を検出するための包括的かつスケーラブルなPythonライブラリ。このライブラリは、小規模プロジェクトから大規模データセットまで、さまざまなニーズに対応するための幅広いアルゴリズムを提供する。 [web] [web]	Ｂ－６ 安全性の確保

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.04.21 欧州議会 防衛とAI

・2025.04.07 米国 上院軍事委員会 AIのサイバー能力の活用に関する証言 (2025.03.25)

・2025.01.18 米国 商務省産業安全保障局 人工知能普及のための枠組み（特定のAIの輸出規制...）

・2024.09.22 中国 AI安全ガバナンスフレームワーク(V1.0) (2024.09.09)

・2024.08.09 米国 国防大学出版局 統合軍クオータリー　「認知戦」

・2023.09.20 米国 GAO 人工知能の活用と急成長がその可能性と危険性を浮き彫りにする

・2023.09.10 カーネギーメロン大学ソフトウェア工学研究所 新たなテクノロジー：国防総省におけるソフトウェアの未来を変える7つのテーマ (2023.08.24)

・2023.08.16 Atlantic Council：現代の軍隊はどのようにAIを活用しているか

・2023.08.13 米国 国防総省 CDAOが国防総省の新しい生成的AIタスクフォース（タスクフォース・リマ）の指揮を執る

・2023.06.15 米国 GAO 科学技術スポットライト:生成的AI

・2020.08.10 AIと将来の軍事力についての中国の視点

・2020.06.07 米国国防省 人工知能が戦争をかえると予測

・2020.05.22「倫理的な人工知能にとって、セキュリティは非常に重要」と言う意見
 

・2020.05.04 米国国防省と人工知能（戦略と倫理）

内閣官房 サイバー安全保障関連の国民向けリーフレット「みんなで備えよう 新・サイバー防衛、はじまる」

こんにちは、丸山満彦です。

内閣官房が、サイバー安全保障関連の国民向けリーフレット「みんなで備えよう 新・サイバー防衛、はじまる」を公表していますね...

サイバー安全保障は、国民の財産、生命をまもるために、重要な活動の一つだと思います。なので、適切かつ効果的な運用を期待しています...

特に独立機関の委員の背景、事務局体制というのが重要となるのでしょうね...

さて、このリーフレットでは、新しいサイバー防衛を1枚で説明しています...

● 内閣官房

・サイバー安全保障に関する取組　（能動的サイバー防御の実現に向けた検討など）

広報資料等

・[PDF] リーフレット「みんなで備えよう 新・サイバー防衛、はじまる」

法律の説明

・[PDF] サイバー対処能力強化法及び同整備法について

● 自由民主党

・2025.05.29 サイバー対処能力強化法成立政府が解説リーフレットを制作

---

わが国のサイバー対処能力を強化するための関連法が今国会で成立しました。
政府では同法の成立を受け、能動的サイバー防御の取り組み内容を広く周知するためのリーフレット(写真、表紙)を制作しました。「みんなで備えよう。新・サイバー防御、はじまる。」と題し、サイバー防御の必要性や、サイバー攻撃の脅威について解説しています。

---

立法府としては、

・内閣官房が、安全保障への取り組みについて、実効性のある実行部隊の体制の整備と運用の実施についてきっちりと監視していく

・第三者委員会が、憲法、法律に違反しない運用がおこなわれていることをきっちりと監視していく

・立法府としても責任をもって上記2点ができているのかを国会の場を通じて国民に明らかにしていく

という3点を強調したらもっとよいのに...と思いました(^^)

経済産業省 経済安全保障に関する産業・技術基盤強化アクションプラン再改訂版 (2025.05.30)

こんにちは、丸山満彦です。

経済産業省が、「経済安全保障に関する産業・技術基盤強化アクションプラン再改訂版」を公表していますね...

● 経済産業省

・2025.05.30「経済安全保障に関する産業・技術基盤強化アクションプラン再改訂版」を公表しました

-----

国際情勢や技術革新の歴史の転換期にある中、我が国の経済安全保障政策を強化すべく、経済安全保障に関する産業・技術基盤強化アクションプランを再改訂しました。

2024年5月に本アクションプランを改訂して以降、僅か1年の間に我が国を取り巻く経済安全保障環境は大きく変化し、一層厳しさを増しています。大国による技術競争は、生成AIや量子等の先端技術から、鉄鋼や造船等の伝統的な製造業まで、産業・技術基盤全体に射程が広がりつつあります。さらに、宇宙や海洋などの次世代の戦略領域の競争も激しさを増すとともに、産業・技術基盤を支えるエネルギーの重要性も高まっています。このような中、我が国の経済安全保障に関する自律性、不可欠性を確保するための取組を、より一層強化していく必要があります。加えて、足元の歴史的なパラダイムシフトを、我が国の産業・技術基盤の新たな飛躍の機会に変え、「世界にとってかけがえのない日本」を実現するため、関係省庁と連携しながら、官民で本アクションプランの実現に着実に取り組みます。

-----

とのことです。

・[PDF] 

目次...

---

はじめに

１．我が国の経済安全保障を取り巻く環境変化 
１．１．大国の「製造業」を中心とした安全保障戦略と自由主義的な国際経済秩序の揺らぎ 
１．２．大国による新たなテクノロジー秩序の形成～AI を中心に～
１．３．エネルギー戦略の重要性の高まり
１．４．次世代の自律性・不可欠性を巡る戦略分野における競争激化

２．新たな国際環境下での産業・技術基盤強化に向けた取組の方向性
２．１．３つの P の一層の有機的連携～産業支援策、産業防衛策、国際連携・官民対話～
２．２．国際公共財としてのルールベースの国際経済秩序の再構築に向けて
２．３．官民対話の推進 
２．４．経済インテリジェンス強化.

おわりに

---

図表 1 米国と中国の先端技術分野を中心とした主な国境措置（2025 年 5 月 23 日時点）

図表 2 AI インフラの整備に向けた包括的な取組に必要性

図表3 主要国の「新三様」輸出の世界シェア

（出典）Global Trade Atlas（S&P Global）からジェトロ作成

図表 5 各国のロケット打上げ数・人工衛星の製造数

（出典）内閣府宇宙開発戦略推進事務局調べ（打上げ成功のみカウント）を基に経済産業省にて作成

（出典）一般財団法人 日本航空宇宙工業会「R４宇宙産業データブック」を基に経済産業省にて作成

図表 6 産業バリューチェーンを通じた我が国産業の不可欠性の発揮に向けて

図表 7 経済安全保障上重要な物資・技術

海底ケーブル、フュージョンエネルギー（部素材等）、原子力機器・部素材等製造技術（重要機器・部品）、人工衛星・ロケット、産業用データを追加

図表8 ロボティクス分野におけるデータエコシステム構築とAI開発の促進

図表9 技術管理対話スキーム

図表 10 高度専門職の在留資格で在留する者の国籍・地域別の割合

ちなみに...令和６年末現在における在留外国人数 by 法務省出入国在留管理庁

	令和６年末現在	人数	前年末比
(1)	中国	873,286	51,448
(2)	ベトナム	634,361	69,335
(3)	韓国	409,238	▲918
(4)	フィリピン	341,518	19,472
(5)	ネパール	233,043	56,707
(6)	ブラジル	211,907	67
(7)	インドネシア	199,824	50,723
(8)	ミャンマー	134,574	48,028
(9)	台湾	70,147	5,484
(10)	米国	66,111	2,703
	その他	594,968	54,936
	在留外国人数合計	3,768,977	357,985

https://www.moj.go.jp/isa/publications/press/13_00052.html

図表 11 政府の主な取組・産学でのリスクマネジメント

図表 12 Run Faster 戦略（イメージ図）

我が国の将来の自律性・不可欠性確保に向け、産業支援策と産業防衛策を有機的に講じる「Run Faster（ランファスター）」戦略を加速させていく。特に、AI・先端コンピューティング、量子、バイオ、宇宙分野は各国が激しく競争を進め、安全保障の面でも重大なインパクトをもたらすものであり、「Run Faster」戦略の重点分野に位置付ける。Run Faster パートナーシップは、上記戦略を同志国等と連携して産業・技術基盤共創に向けた産業支援策と産業防衛策を一体的に進めるための枠組みであり、まずはインド太平洋地域を中心に取組を進める。

図表 13 重要物資に関する政策ツール

図表 14 国が前面に立ってリードすべき分野の類型化

出典：日本産業標準調査会 第 16 回基本政策部会「資料 2 新たな基準認証政策の方向性について」

図表 15 経済安全保障に係る官民対話（イメージ図）

図表 16 製造業者における経済安全保障に関するアンケート結果

図表 17 ニーズに合わせたアウトリーチ活動・踏み込んだ官民対話

図表 18 協議会のイメージ図

重要電子計算機に対する不正な行為による被害の防止に関する法律（サイバー対処能力強化法）におけるサイバー攻撃による被害防止のための情報共有・対策のための協議会を参考に、以下のような要素も考慮した上で検討を進める。これは、業界内の対話や重要サプライチェーンの上下に連なるサプライヤー間の対話など、官民間、民民間の情報共有等の円滑化にも貢献すると考えられる。

• 脅威リスクシナリオ、サプライチェーン分析、技術分析等の政府の経済インテリジェンスの一部を提供する
• 提供された政府情報等に対して守秘義務を課す
• 提供された情報の社内やグループ会社内への共有にあたってのルールも検討する

図表 19 経済安保センター・トラステッドシンクタンクネットワークのイメージ図

図表 20 経済安保センターの役割・機能のイメージ図

米国 FBI 政府高官になりすましたメールや電話に対する警告 (2025.05.15)

こんにちは、丸山満彦です。

FBIとインターネット犯罪苦情センター（IC3）（www.ic3.gov）が、米国 FBI 政府高官になりすましたメールや電話に対する警告を公表しています。

日本政府等においても、職員をかたる電話やメールによる詐欺行為が問題となっていますので、世界的に同じようなことが起こっているのだろうと思います。成功率が高いのですかね...

日本でも、内閣府、総務省、財務省、金融庁、厚生労働省等の職員を語った電話やメール、ショートメッセージがあることから警告をだしています。ただ、対処方法等についても併せて発表していおくのがよいのだろうと思います。その点、FBIの警告を見習うことは重要なことかもしれませんね。。。

● Internet Crime Complaint Center; IC3

・2025.05.15 Senior US Officials Impersonated in Malicious Messaging Campaign

Alert Number: I-051525-PSA

Senior US Officials Impersonated in Malicious Messaging Campaign	悪質メッセージキャンペーンで米国高官がなりすまされる
FBI is issuing this announcement to warn and provide mitigation tips to the public about an ongoing malicious text and voice messaging campaign. Since April 2025, malicious actors have impersonated senior US officials to target individuals, many of whom are current or former senior US federal or state government officials and their contacts. If you receive a message claiming to be from a senior US official, do not assume it is authentic.	FBI は、現在進行中の悪質なテキストメッセージおよび音声メッセージのキャンペーンについて警告し、緩和のヒントを提供するため、この発表を行う。2025年4月以降、悪意ある行為者が米国の高官になりすまして個人を標的としており、その多くは米国の連邦政府または州政府の現職または元高官とその関係者である。米国の高官を名乗るメッセージを受け取った場合、それが認証されたものだと思わないこと。
Specific Campaign Details	具体的なキャンペーンの詳細
The malicious actors have sent text messages and AI-generated voice messages — techniques known as smishing and vishing, respectively — that claim to come from a senior US official in an effort to establish rapport before gaining access to personal accounts. One way the actors gain such access is by sending targeted individuals a malicious link under the guise of transitioning to a separate messaging platform. Access to personal or official accounts operated by US officials could be used to target other government officials, or their associates and contacts, by using trusted contact information they obtain. Contact information acquired through social engineering schemes could also be used to impersonate contacts to elicit information or funds.	悪意のある行為者は、個人アカウントにアクセスする前に信頼関係を築こうと、米国の高官を名乗るテキストメッセージやAI生成の音声メッセージ（それぞれsmishingやvishingと呼ばれる手法）を送信している。このようなアクセスを得る方法の1つは、別のメッセージング・プラットフォームへの移行を装って、標的となる個人に悪意のあるリンクを送ることだ。米国政府関係者が運営する個人アカウントまたは公式アカウントへのガバナンスは、入手した信頼できる連絡先情報を使用して、他の政府関係者、またはその関係者や連絡先を標的にするために使用される可能性がある。また、ソーシャル・エンジニアリング・スキームを通じて入手した連絡先情報は、情報や資金を引き出すために連絡先になりすますために使用される可能性もある。
"Smishing" is the malicious targeting of individuals using Short Message Service (SMS) or Multimedia Message Service (MMS) text messaging. "Vishing", which may incorporate AI-generated voices, is the malicious targeting of individuals using voice memos. Both smishing and vishing use tactics similar to spear phishing, which uses email to target specific individuals or groups.	「スミッシング」とは、ショート・メッセージ・サービス（SMS）またはマルチメディア・メッセージ・サービス（MMS）のテキスト・メッセージングを利用して個人を狙う悪意のある手口である。「ビッシング」は、AI生成的な音声を取り入れる可能性があり、ボイスメモを使って個人を狙う悪質なものである。スミッシングもビッシングも、特定の個人またはグループをターゲットに電子メールを使用するスピアフィッシングに似た手口を使用する。
Smishing, Vishing, and Spear Phishing Are Common Criminal Tactics	一般的な犯罪手口はスミッシング、ビッシング、スピアフィッシング である
Traditionally, malicious actors have leveraged smishing, vishing, and spear phishing to transition to a secondary messaging platform where the actor may present malware or introduce hyperlinks that direct intended targets to an actor-controlled site that steals log-in information, like user names and passwords. For smishing, malicious actors typically use software to generate phone numbers that are not attributed to a specific mobile phone or subscriber to engage with a target by masquerading as an associate or family member. For vishing, malicious actors are more frequently exploiting AI-generated audio to impersonate well-known, public figures or personal relations to increase the believability of their schemes.	伝統的に、悪意のある行為者はスミッシング、ビッシング、スピアフィッシングを利用して、二次的なメッセージングプラットフォームに移行し、そこで行為者はマルウェアを提示したり、ハイパーリンクを導入して意図したターゲットを行為者が管理するサイトに誘導し、ユーザー名やパスワードなどのログイン情報を盗むことがある。スミッシングの場合、悪意のある行為者は通常、特定の携帯電話や加入者に起因しない電話番号を生成するソフトウェアを使用し、同僚や家族になりすましてターゲットに関与する。ビッシングの場合、悪意のある行為者はAI生成的な音声を悪用して、有名人や公的な人物、または個人的な関係者になりすまし、詐欺の信憑性を高めることが多くなっている。
Recommendations	推奨事項
The following guidance can be used to identify a suspicious message and help protect yourself from this campaign.	以下の防御策は、不審なメッセージを識別し、このキャンペーンから身を守るのに役立つ。
Spotting a Fake Message	偽メッセージを見分ける
・Verify the identity of the person calling you or sending text or voice messages. Before responding, research the originating number, organization, and/or person purporting to contact you. Then independently identify a phone number for the person and call to verify their authenticity.	・電話をかけてきたり、テキストや音声メッセージを送ってきたりする人物の身元を確認する。対応する前に、発信元の電話番号、組織、連絡先を調べる。そして、その人物の電話番号を独自に特定し、電話をかけて認証する。
・Carefully examine the email address; messaging contact information, including phone numbers; URLs; and spelling used in any correspondence or communications. Scammers often use slight differences to deceive you and gain your trust. For instance, actors can incorporate publicly available photographs in text messages, use minor alterations in names and contact information, or use AI-generated voices to masquerade as a known contact.	・Eメールアドレス、電話番号を含むメッセージの連絡先、URL、通信やコミュニケーションで使用されているスペルなどを注意深く調べる。詐欺師はしばしば、わずかな違いを利用してあなたを欺き、信頼を得ようとする。例えば、詐欺師は公開されている写真をテキストメッセージに取り入れたり、名前や連絡先情報を少し変えたり、AI生成的な音声を使って既知の連絡先になりすましたりする。
・Look for subtle imperfections in images and videos, such as distorted hands or feet, unrealistic facial features, indistinct or irregular faces, unrealistic accessories such as glasses or jewelry, inaccurate shadows, watermarks, voice call lag time, voice matching, and unnatural movements.	・手や足がゆがんでいる、顔の形が不自然、顔がはっきりしない、不規則、眼鏡や宝石などのアクセサリーが不自然、影が正確でない、電子透かしがある、音声通話のタイムラグがある、音声が一致しない、動きが不自然など、画像や動画の微妙な欠陥に注意する。
・Listen closely to the tone and word choice to distinguish between a legitimate phone call or voice message from a known contact and AI-generated voice cloning, as they can sound nearly identical.	・既知の連絡先からの正当な電話やボイス・メッセージと、AIが生成的 に作成したボイス・メッセージは、ほぼ同じに聞こえることがあるため、口調や言葉の選 択をよく聞いて区別すること。
・AI-generated content has advanced to the point that it is often difficult to identify. When in doubt about the authenticity of someone wishing to communicate with you, contact your relevant security officials or the FBI for help.	・AIが生成したコンテンツは、識別が困難なほど進化している。真偽が疑わしい場合は、セキュリティ当局やFBIに相談すること。
How to Protect Yourself from Potential Fraud or Loss of Sensitive Information	詐欺の可能性や機密情報の紛失から身を守るには
・Never share sensitive information or an associate’s contact information with people you have met only online or over the phone. If contacted by someone you know well via a new platform or phone number, verify the new contact information through a previously confirmed platform or trusted source.	・オンラインや電話でしか面識のない人に、機密情報や取引先の連絡先を教えない。新しいプラットフォームや電話番号を通じて、よく知っている人から連絡があった場合は、以前に確認したプラットフォームや信頼できる情報源を通じて、新しい連絡先情報を確認すること。
・Do not send money, gift cards, cryptocurrency, or other assets to people you do not know or have met only online or over the phone. If someone you know (or an associate of someone you know) requests that you send money or cryptocurrency, independently confirm contact information prior to taking action. Also, critically evaluate the context and plausibility of the request.	・金銭、ギフトカード、暗号通貨、その他の資産を、面識のない相手やオンラインや電話のみで知り合った相手に送らないこと。知人（または知人の関係者）から送金や暗号通貨を要求された場合、行動を起こす前に連絡先を独自に確認すること。また、依頼の背景や信憑性を批判的に評価すること。
・Do not click on any links in an email or text message until you independently confirm the sender's identity.	・メールやテキストメッセージのリンクは、送信者の身元を確認するまでクリックしないこと。
・Be careful what you download. Never open an email attachment, click on links in messages, or download applications at the request of or from someone you have not verified.	・ダウンロードには注意する。本人確認をしていない相手からの依頼で、メールの添付ファイルを開いたり、メッセージ内のリンクをクリックしたり、アプリケーションをダウンロードしたりしない。
・Set up two-factor (or multi-factor) authentication on any account that allows it, and never disable it. Actors may use social engineering techniques to convince you to disclose a two-factor authentication code, which allows the actor to compromise and take over accounts. Never provide a two-factor code to anyone over email, SMS/MMS text message or encrypted messaging application.	・二要素（または多要素）認証を許可しているアカウントでは、二要素（または多要素）認証を設定し、決して無効にしないこと。ソーシャル・エンジニアリングのテクニックを使って2ファクタ認証コードを開示させ、アカウントを乗っ取る。電子メール、SMS/MMSテキストメッセージ、または暗号化されたメッセージングアプリケーションを介して、2ファクタコードを誰にも提供しないこと。
・Create a secret word or phrase with your family members to verify their identities	・家族間で秘密の単語やフレーズを作り、本人確認を行う。
Victim Reporting and Additional Information	被害者の報告と追加情報
・For additional information, see FBI's guidance on Spoofing and Phishing as well as a previous Public Service Announcement about how "Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud." Cybersecurity and Infrastructure Security Agency (CISA) has published the following resources "Phishing Guidance: Stopping the Attack Cycle at Phase One | CISA" and "Teach Employees to Avoid Phishing | CISA."	・その他の情報については、なりすましとフィッシングに関するFBIのガイダンス、および「犯罪者が生成的人工知能を使用して金融詐欺を助長する」方法に関する以前の公共サービス広告を参照のこと。サイバーセキュリティ・インフラ・セキュリティ庁(CISA)は以下の資料を公表している： 攻撃サイクルを第一段階で止める｜CISA「 および 」従業員にフィッシング回避を教える｜CISA" を公表している。
If you believe you have been the victim of the campaign described above, contact your relevant security officials and the FBI. The FBI requests victims report any incident to your local FBI Field Office or the Internet Crime Complaint Center (IC3) at www.ic3.gov. Be sure to include as much detailed information as possible.	上記のキャンペーンの被害に遭ったと思われる場合は、関係するセキュリティ担当者及びFBIに連絡すること。FBIは、被害者がインシデントを受けた場合、最寄りのFBI支局またはインターネット犯罪苦情センター（IC3）（www.ic3.gov）に報告するよう要請している。可能な限り詳細な情報を記載すること。

---

参考...

● 内閣府

・内閣府を騙った電子メールやサイトにご注意ください

● 金融庁

・当庁を騙った電子メールや動画にご注意ください

● デジタル庁

・デジタル庁職員を名乗る不審電話にご注意ください

● 総務省

・総務省職員を名乗る不審電話にご注意ください

● 外務省

・外務省職員を発信元と詐称する不審メールにご注意ください

● 出入国在留管理庁

・入管を名乗る不審な電話、メール等にご注意ください

● 財務省

・財務省の名をかたる詐欺などにご注意！

● 国税庁

・不審なメールや電話にご注意ください

● 厚生労働省

・厚生労働省職員や機関を装った不審な電話・メールにご注意ください。

● 警察庁

・警察官等をかたる詐欺

フィッシング対策については、警察庁

● 警察庁

・フィッシング対策

オーストラリア CISC 戦略的意思決定プロセス： 危機管理の手引き（2025年）を公表 (2025.06.02)

こんにちは、丸山満彦です。

オーストラリアのサイバー・インフラセキュリティセンター (CISC) が「戦略的意思決定プロセス： 危機管理の手引き（2025年）」を公表していますね。。。

CICSは、重要インフラの所有者や運営者がリスクを理解し、規制要件を満たせるように支援する内務省に属する組織です、要は規制機関です(^^)...で、Critical5のメンバーでカナダ、ニュージラインド、英国、米国と協力していますね...

● Australian Government - Department of Home Affairs - Cyber Infrastracture Security Centre

・2025.06.02 The Strategic Decision Making Process: A Guide for Crisis Management (2025) has been released!

The Strategic Decision Making Process: A Guide for Crisis Management (2025) has been released!	「戦略的意思決定プロセス： 危機管理の手引き（2025年）」を公表！
The updated Strategic Decision Making Process: A Guide for Crisis Management (2025) is now available.	更新された「戦略的意思決定プロセス」： 危機管理のためのガイド(2025)」が公表された。
This guide gives Australian critical infrastructure owners and operators a clear and structured way to make decisions during a crisis. It outlines seven key elements that support better decision making in high pressure situations.	このガイドは、オーストラリアの重要インフラ所有者および運営者に、危機発生時に意思決定を行うための明確かつ構造的な方法を提供する。高圧的な状況下でのより良い意思決定を支援する7つの重要な要素の概要を示している。
These elements are based on a combination of critical thinking, creative thinking and futures thinking. Together, they help organisations stay resilient during a crisis and plan stronger responses for the future. Each element is explained in simple terms, with practical examples to show how you can use them in your organisation.	これらの要素は、批判的思考、創造的思考、未来思考の組み合わせに基づいている。これらの要素を組み合わせることで、組織が危機の中でもレジリエンスを保ち、将来に向けてより強力な対応策を計画することができる。各要素は、あなたの組織でどのように活用できるかを、実践的な例とともにわかりやすく説明している。
This guide works alongside the updated Organisational Resilience Good Practice Guide (2024) (3MB PDF). Both were developed in partnership with the University of Tasmania and are both part of government initiatives developed with the Resilience Expert Advisory Group (REAG).	本書は、『組織レジリエンス・グッド・プラクティス・ガイド（2024年版）』（3MB PDF）の改訂版と連動している。どちらもタスマニア大学と共同で開発されたもので、レジリエンス専門家諮問グループ（REAG）と共に開発された政府のイニシアチブの一部である。
A TISN Cross Sector Briefing will be held soon to discuss the new guide. We will share details once confirmed.	この新しいガイドについて、TISNクロスセクター・ブリーフィングが近々開催される予定である。詳細が決まり次第お知らせする。
In the meantime, we encourage you to read the Strategic Decision Making Process: A Guide to Crisis Management (2025) (2MB PDF) and use it to strengthen your organisation’s approach to crisis management.	その間に、ぜひ「戦略的意思決定プロセス」をお読みいただきたい： 危機管理の手引き（2025年版）」（2MB PDF）をお読みいただき、危機管理に対する組織のアプローチを強化するためにご活用いただきたい。
Stay informed by following the Cyber and Infrastructure Security Group on LinkedIn and Instagram.	LinkedInと Instagramでサイバー・インフラ・セキュリティ・グループをフォローし、常に最新情報を入手してください。

・[PDF]

・[DOCX][PDF] 仮訳

目次...

Contents	目次
Foreword	まえがき
Introduction	序論
Background	背景
How This Guide is Structured	このガイドの構成
Create A Psychologically Safe Decision Making Environment	心理的に安全な意思決定環境を作る
Identify Problems	問題を識別する
Identify Solutions	ソリューションを識別する
Envisage Possible Futures	可能な未来を想像する
Manage Cognitive Biases	認知バイアスを管理する
Record Decisions	記録の決定
Manage Expectations	期待を管理する
Additional Information	追加情報
Safe-to-Trust Checklist	安全から信頼へのチェックリスト
STEEPLE Framework	STEEPLE枠組み
SCAMPER Technique	SCAMPERテクニック
Cognitive Bias Aide Memoire	認知バイアス補助メモ
References	参考文献
About Us	組織概要

---

CICSはこんな感じ...

公正取引委員会 ダークパターンを巡る競争政策及び独占禁止法上の論点 (2025.05.29)

こんにちは、丸山満彦です。

公正取引委員会の競争政策研究センターから、「ダークパターンを巡る競争政策及び独占禁止法上の論点」というペーパーが公表されています。

このペーパーは、

---

ウェブサイトやアプリの表示等により消費者等を意図しない選択に誘導する「ダークパターン」の具体的な方法及び国内外における規制等の状況を概観しつつ、ダークパターンに関する競争政策上の懸念点（セオリーオブハーム）や、ダークパターンとされる各種行為に対し、現行の独占禁止法で禁止されている各行為類型の適用が可能な範囲について整理を行う。

---

というもののようですね。。。

UI, UXもこういうのを考慮した上でという話ですよね...

ダークパターンの類型

［図表１－２］国際機関及び海外当局のレポート等におけるダークパターンの類型化

OECD
●７類型
1. 行為の強制（Forced Action）
2. インターフェース干渉（Interface Interference）
3. 執ような繰り返 し（Nagging）
4. 妨害（Obstruction）
5. こっそり（Sneaking）
6. 社会的証明（Social Proof）
7. 緊急性（Urgency）

米国FTC
●８類型
1. 推薦　(別名「社会的証明」)（Endorsements (aka “Social Proof”)）
2. 希少性（Scarcity）
3. 緊急性（Urgency）
4. 妨害（Obstruction）
5. 忍び寄り・情報隠 蔽（Sneaking or Information Hiding）
6. インターフェース干渉（Interface Interference）
7. 強制された行為 （Coerced Action）
8. 非対照的選択（Asymmetric Choice）

欧州委員会（EC）
●「行動科学的分類」 として６類型
1-a 特性を複雑化し 予算制約に影響を及ぼす行為
1-b 特性を複雑化し 選好を形成する行為
2-a コストを複雑化 し予算制約に影響を及ぼす行為
2-b コストを複雑化 し選好を形成する行為
3-a 選択を複雑化し予算制約に影響を及ぼす行為
3-b 選択を複雑化し 選好を形成する行為

EDPB
●６類型
1. 過剰負荷（Overloading）
2. 省略（Skipping）
3. 煽り（Stirring）
4. 妨害（Obstructing）
5. 気まぐれ（Fickle）
6. 暗闇に残される （Left in the dark）

英国ICO・CMA
※類型化せず、潜在的に有害なオンライン選択アーキテ クチャとして次の５例を挙げる。
1. 有害なナッジとスラッジ（Harmful nudges and sludge）
2. 羞恥心の植付け （Confirm shaming）
3. 偏った枠組み（Biased framing）
4. 一括同意（Bundled consent）
5. デフォルトの設定（Default settings）

・[PDF]

目次...

はじめに

第１ ダークパターンについて
１ ダークパターンとは
(1) ダークパターンの定義
(2) 「①ユーザーを欺くなどの不公正な方法を使って」について
(3) 「②ユーザーが意図しない不利益な選択をさせる」について
(4) 「③オンライン上のインターフェース」について
(5) 小括
２ ダークパターンの類型・手法
(1) ダークパターンの類型
(2) ダークパターンの具体的な手法
３ ダークパターン出現について
(1) 小売業において用いられている欺瞞的な慣行
(2) ナッジの概念の普及
(3) グロースハックの普及
(4) その他
４ ダークパターンの使用状況等
(1) 海外の機関等による調査
(2) 日本における調査
５ ダークパターンの効果
(1) EC（2022）
(2) シカゴ大学のStrahilevitzほか（2021）
(3) OECD（2024）

第２ 国内におけるダークパターンを巡る動向
１ 主な関係法令
２ 消費者保護に関する規制
(1) 特定商取引法
(2) 景品表示法
(3) 消費者安全法
３ 個人情報保護に関する規制
(1) 個人情報の適正な取得及び利用並びに個人情報の利用目的の特定
(2) 本人の同意
４ 事業分野別の規制
(1) 電気通信事業法26条（提供条件の説明）
(2) 電気通信事業法施行規則22条の２の３（提供条件の説明）
(3) 電気通信事業法の消費者保護ルールに関するガイドライン
(4) 消費者保護ルールの在り方に関する検討会報告書2024
(5) スマートフォン プライバシー イニシアティブ
５ 民間における取組
(1) ダークパターン対策協会
(2) 個社による取組例
６ 小括

第３ 米国、欧州及び韓国におけるダークパターン規制を巡る主な動向について
１ 米国
(1) 関係法令等
(2) 最近の関連事件
２ 欧州
(1) 一般データ保護規則等
(2) デジタルサービス法
(3) 不公正取引行為指令
３ 韓国
(1) ダークパターン規制に係るこれまでの動き
(2) 電子商取引法の改正
４ 米国、欧州及び韓国における規制アプローチの比較

第４ ダークパターンを巡る競争政策及び独占禁止法上の論点
１ ダークパターンと競争政策
(1) 代表的なダークパターンの手法
(2) ダークパターンに関する競争政策上の懸念
(3) ダークパターンに関する競争政策上の論点
２ ダークパターンに適用し得ると考えられる、独占禁止法で禁止されている行為類型
(1) 独占禁止法で禁止されている行為類型
(2) 行為の強制
(3) インターフェース干渉
(4) 執ような繰り返し
(5) 妨害
(6) こっそり
(7) 社会的証明
(8) 緊急性
(9) まとめ

おわりに

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.02.19 英国 情報コミッショナー事務局 (ICO) がゲーム開発者向けに、子どもの保護に関する業界向けのガイダンスを発行

・2021.03.11 欧州消費者団体 「EU消費者保護2.0-デジタル消費者市場における構造的非対称性」を公表していますね。。。

米国 CISA他 OTへのサイバー脅威を軽減するための主な緩和策（2025.05.06）

こんにちは、丸山満彦です。

1ヶ月ほど前になるのですが、サイバーセキュリティ・インフラセキュリティ庁(CISA)、連邦捜査局(FBI)、環境保護庁(EPA)、エネルギー省(DOE)が、OT、ICSへのサイバー脅威を軽減するよう、啓発していますね...

● CISA

・2025.05.06 Primary Mitigations to Reduce Cyber Threats to Operational Technology

Primary Mitigations to Reduce Cyber Threats to Operational Technology	OTへのサイバー脅威を軽減するための主な緩和策
Overview	概要
The Cybersecurity and Infrastructure Security Agency (CISA), Federal Bureau of Investigation (FBI), Environmental Protection Agency (EPA), and Department of Energy (DOE)—hereafter referred to as “the authoring organizations”—are aware of cyber incidents affecting the operational technology (OT) and industrial control systems (ICS) of critical infrastructure entities in the United States. The authoring organizations urge critical infrastructure entities to review and act now to improve their cybersecurity posture against cyber threat activities specifically and intentionally targeting internet connected OT and ICS.	サイバーセキュリティ・インフラセキュリティ庁(CISA)、連邦捜査局(FBI)、環境保護庁(EPA)、エネルギー省(DOE)-以下「作成機関」-は、米国の重要インフラ事業体の運用技術(OT)および産業制御システム(ICS)に影響を及ぼすサイバーインシデントを認識している。認可機関は、重要インフラ事業体に対し、インターネットに接続された OT および ICS を特に意図的に標的とするサイバー脅威活動に対するサイバーセキュリティ態勢を改善するために、今すぐ検討し、行動するよう促す。
Mitigations	緩和策
The authoring organizations recommend critical infrastructure asset owners and operators implement the following mitigations[1] to defend against OT cyber threats.	認可機関は、重要インフラ資産の所有者および運用者に対して、OT のサイバー脅威を防御するために以下の緩和策[1]を実施することを推奨する。
Remove OT connections to the public internet. OT devices are easy targets when connected to the internet. OT devices lack authentication and authorization methods that are resistant to modern threats and are quickly found by searching for open ports on public IP ranges with search engine tools to target victims with OT components [CPG 2.X].	公共インターネットへの OT 接続を削除する。OT デバイスがインターネットに接続されていると、標的になりやすい。OT デバイスは、最新の脅威に耐性のある認証と認可の方法を欠いており、OT コンポーネントを持つ被害者を標的にするために、検索エンジンツールで公開 IP 範囲のオープンポートを検索することですぐに見つかる[CPG 2.X]。
Cyber threat actors use simple, repeatable, and scalable toolsets available to anyone with an internet browser. Critical infrastructure entities should identify their public-facing assets and remove unintentional exposure.	サイバー脅威アクターは、インターネットブラウザがあれば誰でも利用できる、シンプルで反復可能かつ拡張性のあるツールセットを使用している。重要インフラ事業体は、公衆向けの資産を識別し、意図しないエクスポージャーを取り除くべきである。
Change default passwords immediately and use strong, unique passwords. Recent analysis of this cyber activity indicates that targeted systems use default or easily guessable (using open source tools) passwords. Changing default passwords is especially important for public-facing internet devices that have the capability to control OT systems or processes [CPG 2.A][CPG 2.B][CPG 2.C].	デフォルトのパスワードを直ちに変更し、強力でユニークなパスワードを使用すること。このサイバー活動の最近の分析によると、標的とされたシステムは、デフォルトのパスワードまたは（オープンソースツールを使用して）容易に推測可能なパスワードを使用している。デフォルトパスワードの変更は、OT システムまたはプロセスを制御する機能を持つ、公衆に面したインターネッ ト機器にとって特に重要である [CPG 2.A][CPG 2.B][CPG 2.C]。
Secure remote access to OT networks. Many critical infrastructure entities, or contractors working on their behalf, make risk-based tradeoffs when implementing remote access to OT assets. These tradeoffs deserve careful reevaluation. If remote access is essential, upgrade to a private IP network connection to remove these OT assets from the public internet and use virtual private network (VPN) functionality with a strong password and phishing-resistant multifactor authentication (MFA) for user remote access.	OT ネットワークへの安全なリモートアクセス。多くの重要インフラ事業体、またはそのために働く請負業者は、OT 資産へのリモート・アクセス を実施する際、リスクに基づくトレードオフを行っている。これらのトレードオフは、慎重な再評価に値する。リモート・アクセスが不可欠な場合は、プライベート IP ネットワーク接続にアップグレードして、これらの OT 資産を公共のインターネットから取り除き、ユーザーのリモート・アクセスには、強力なパスワードとフィッシングに強い多要素認証（MFA）を備えた仮想プライベート・ネットワーク（VPN）機能を使用する。
Document and configure remote access solutions to apply principles of least privilege for the specific asset and user role or scope of work [CPG 2.H]. Further, disable dormant accounts.	特定の資産及びユーザの役割又は業務範囲に対して最小特権の原則を適用するために、リモート・アクセス・ソリューションを文書化し、構成する [CPG 2.H]。さらに、休眠アカウントを無効にする。
Segment IT and OT networks. Segmenting critical systems and introducing a demilitarized zone for passing control data to enterprise logistics reduces the potential impact of cyber threats and reduces the risk of disruptions to essential OT operations [CPG 2.F].	IT ネットワークと OT ネットワークをセグメント化する。重要なシステムをセグメント化し、エンタープライズ・ロジスティクスに制御データを渡すための非武装地帯を導入することで、サイバー脅威の潜在的な影響を低減し、必要不可欠な OT オペレーションが中断するリスクを低減する [CPG 2.F]。
Practice and maintain the ability to operate OT systems manually. The capability for organizations to revert to manual controls to quickly restore operations is vital in the immediate aftermath of an incident. Business continuity and disaster recovery plans, fail-safe mechanisms, islanding capabilities, software backups, and standby systems should all be routinely tested to ensure safe manual operations in the event of an incident.	OT システムを手動で操作する能力を実践し、維持する。インシデントが発生した直後には、組織が手動制御に戻してオペレーションを迅速に復旧させる能力が不可欠である。事業継続および災害復旧計画、フェイルセーフメカニズム、アイランド化機能、ソフトウェアバックアップ、スタンバイシステムはすべて、インシデント発生時に安全な手動操作を確保するために、日常的にテストされるべきである。
The authoring organizations recommend that critical infrastructure organizations regularly communicate with their third-party managed service providers, system integrators, and system manufacturers who may be able to provide system-specific configuration guidance as they work to secure their OT.	認可組織は、重要インフラ組織がOTの安全確保に取り組む際に、システム固有の構成ガイダンスを提供できる可能性のあるサードパーティのマネージドサービス・プロバイダ、システムインテグレータ、およびシステム製造事業者と定期的にコミュニケーションをとることを推奨する。
Misconfigurations may be introduced during standard operations, by the system integrator, by a managed service provider, or as part of the default product configuration by the system manufacturer. Working with the relevant groups to address these issues may prevent future unintentional vulnerabilities from being introduced.	誤った構成は、標準運用中、システムインテグレータ、マネージドサービス・プロバイダー、またはシス テム製造事業者によるデフォルト製品構成の一部として導入される可能性がある。関連グループと協力してこれらの問題に対処することで、将来、意図しない脆弱性が持ち込まれるのを防ぐことができる。
Resources	リソース
CISA recommends critical infrastructure organizations review and implement, if possible, the following resources to enhance their security posture.	CISAは、重要インフラストラクチャー組織がセキュリティ態勢を強化するために、以下のリソースを検討し、可能であれば実施することを推奨する。
1. For an overview of tools to help identify public-facing devices on the internet and ways to reduce your internet attack surface, see CISA’s Stuff off Search web page.	1. インターネット上の公衆向けデバイスを識別するのに役立つツールの概要と、インターネット上の攻撃対象領域を減らす方法については、CISAの「Stuff off Search」ウェブ・ページを参照すること。
2. For more information on using strong passwords, see CISA’s Use Strong Passwords web page.	2. 強力なパスワードの使用に関する詳細については、CISAの「強力なパスワードを使用する」のWebページを参照のこと。
3. For more information on phishing-resistant MFA, see CISA’s Implementing Phishing-Resistant MFA fact sheet .	3. フィッシングに強いMFAの詳細については、CISAの「フィッシングに強いMFAの実装」ファクト・シートを参照のこと。
4. For more information on network segmentation, see CISA’s Layering Network Security Through Segmentation fact sheet.	4. ネットワーク・セグメンテーションの詳細については、CISAのファクト・シート「セグメンテーションによるネットワーク・セキュリティの強化」を参照のこと。
5. For more information on procuring Secure by Design OT components, see CISA’s Priority Considerations for Operational Technology Owners and Operators when Selecting Digital Products.	5. セキュア・バイ・デザインのOTコンポーネントの調達に関する詳細については、CISAの「デジタル製品を選択する際に、運用技術の所有者と運営者が優先的に考慮すべきこと」を参照。
6. For more information on top cyber actions to secure water systems and accompanying resources, see Top Cyber Actions for Securing Water Systems.	6. 水道システムの安全性を確保するためのトップ・サイバー・アクションとそれに付随するリソースの詳細については、「水道システムの安全性を確保するためのトップ・サイバー・アクション」を参照のこと。
7. For more information on addressing network segmentation for water systems, please see EPA Guidance on Improving Cybersecurity at Drinking Water and Wastewater Systems, Factsheet 2.F.	7. 水道システムのネットワークセグメンテーションへの対応に関する詳細については、EPA 飲料水・廃水システムにおけるサイバーセキュリティ改善のためのガイダンス、ファクトシート2.F. を参照のこと。
8. For more comprehensive security controls to address advanced threat actors who pivot through enterprise networks to reach OT, see Identifying and Mitigating Living Off the Land Techniques.	8. エンタープライズ・ネットワークを迂回して OT に到達する高度脅威アクターに対処するためのより包括的なセキュ リティ対策については、「現地調達手法の特定と緩和」を参照のこと。

・[PDF] 

リンク先...

● CISA

・Stuff Off Search

・Use Strong Passwords

・2022.10 [PDF] Implementing Phishing-Resistant MFA

・2022.01 [PDF] LAYERING NETWORK SECURITY THROUGH SEGMENTATIO

・2025.01.13 [PDF] Secure by Demand: Priority Considerations for Operational Technology Owners and Operators when Selecting Digital Products

・2024.02.23 [PDF] Top Cyber Actions for Securing Water Systems

● EPA

・[PDF] Protect: Network Segmentation 2.F.

・2024.02.07 [PDF] JOINT GUIDANCE: Identifying and Mitigating Living Off the Land Techniques

内閣府 規制改革推進に関する答申 (2025.05.28)

こんにちは、丸山満彦です。

内閣府の規制改革推進会議が令和2年から毎年公表している「規制改革推進に関する答申」が公表されています...

諸般の事情で理解しておく必要があるわけですが、やはり将来の日本のあるべき像というのが、ぼんやりしているように思います。

そのぼんやりした将来像に対して、規制改革という話をしても、規制に関わっている人たちの不満解決のための議論のように見えてしまうように感じます。

計画経済の国ではないのですが、やはり日本国としてのあるべき将来というものを世界の中で見据えて、はっきりと示し、国民のある程度の同意をとってから進めないと、それぞれの個別分野で規制改革といってもなんかぼんやりするような気もしますね...

日本が抱えている課題というのはだいたいの合意がとれているように感じますので、その課題を踏まえた、これから10年後、20年後、30年後の希望する日本の姿について国民のおおまかな合意が必要なのではないかと感じています...

● 内閣府 - 規制改革推進に関する答申等

・2025.05.28 [PDF] 概要資料

・2025.05.28 [PDF] 規制改革推進に関する答申

目次...

Ⅰ 総論
１．はじめに
２．基本的な考え方
３．審議経過等
（１） 審議経過
（２） 規制改革実施計画のフォローアップ
（３） 規制改革・行政改革ホットラインにおける提案受付
４．本答申の実現に向けて
５．次のステップへ

Ⅱ 各個別分野における規制改革
Ⅰ．地方創生
１－１ 地域活性化・人手不足対応（土地・農業関係）
ア 膨大な所有者不明土地等の有効活用（農地集約、工場建設等）
イ ロボット農機の公道走行制度化（圃場間移動等を通じた地域での活用）
１－２ 地域活性化・人手不足対応（交通関係）
ウ 全国の移動の足不足の解消に向けたライドシェア（自家用車活用事業等）の推進
エ 自家用有償旅客運送制度の改善
オ 乗合タクシー等の参入円滑化
カ ＩＣＴを活用した運行管理業務の集約・高度化等による運行管理者不足等を踏まえた効率的な安全管理の実現
キ レベル４の自動運転タクシー等の実装加速
２ 健康・医療・介護
ク 地域におけるオンライン診療の更なる普及及び円滑化
ケ 地域の病院機能の維持に資する医師の宿直体制の見直し
コ 在宅医療における円滑な薬物治療の提供
サ 救急救命処置の範囲の拡大
シ 利用者起点に立った一般用医薬品の適正な販売区分及び販売方法
ス 濫用等のおそれのある一般用医薬品の販売規制等の適正化
セ 要指導医薬品の販売区分、販売方法及び服薬指導方法の見直し
ソ 一般用検査薬への転用の促進
タ 認可保育所における付加的サービスの円滑化
３ デジタル・ＡＩ
チ 公金収納を行うコンビニエンスストア等における紙の領収控の保管廃止

Ⅱ．賃金向上、人手不足対応
１ 健康・医療・介護
ア 地域の実情に応じた介護サービス提供体制等の見直し
イ 障害福祉分野における申請・届出等に関する手続負担の軽減
２ 働き方・人への投資
ウ スタートアップの柔軟な働き方の推進
エ 副業・兼業の更なる円滑化に向けた環境整備
オ 時間単位の年次有給休暇制度の見直し
カ 職業紹介責任者の専任規制の見直し
キ 有料職業紹介事業における取扱職種等事項の明示に関する事務負担軽減
ク 職業紹介事業及び労働者派遣事業の事業報告に係る事務負担の軽減等
ケ 行政手続事務負担軽減及び生産性向上に資する外国人雇用状況の一括届出
コ １号特定技能外国人とのオンラインによる面談の活用
サ 在留資格「特定技能」における在籍型出向の実現
シ 高卒就職者に対する求人情報の直接提供・公開時期の前倒し等
ス 外国語指導に従事する外国人材の更なる活躍促進
セ 実践的なデジタル人材育成を実現するための教育課程等に係る特例制度の審査基準の明確化
3 スタートアップ・イノベーション促進
ソ 組織再編等における公告事項への法人番号の追加
タ 水道スマートメーターの導入促進
4 デジタル・ＡＩ
チ デジタル・ＡＩ技術を活用した建設機械の安全義務及び技能要件の在り方について
ツ 不動産売買仲介におけるデジタル・ＡＩ活用促進
テ 建設工事請負契約における契約手続の簡素化及びデジタル化
ト 建設業における営業所技術者等の兼務について
ナ 地球温暖化対策報告の項目等に係る統一
ニ 自動車保有関係手続のＤＸ
ヌ 超高齢社会に対応した親族間での信託の活用、法定後見制度等の円滑化
（ア）超高齢社会に対応した親族間での信託の活用による柔軟な財産管理の推進
（イ）法定後見制度の課題と見直し
ネ 戸籍電子証明書提供用識別符号の利用促進

Ⅲ．投資大国
１ 健康・医療・介護
ア 公的データベース等における医療等データの利活用法制等の整備
イ 医療等データの包括的かつ横断的な利活用法制等の整備
ウ 治験に係る広告規制の見直し
２ スタートアップ・イノベーション促進
エ スタートアップの成長促進に向けたのれんの会計処理の在り方の検討
オ スタートアップへの資金供給手段の拡大
カ スタートアップを生み育てるエコシステムの健全な発展に向けたハラスメント防止及び救済のための環境整備
キ 株式対価Ｍ＆Ａの活性化に向けた会社法の見直し
ク 非上場株式の発行・流通の活性化
ケ バーチャルオンリー株主総会の活用に向けた環境整備
コ バーチャルオンリー社債権者集会の実現
サ 持続的な成長及び中長期的な企業価値向上に向けた株式会社と株主との建設的かつ実効的な対話の促進
シ 従業員等に対する株式報酬の無償交付を可能とする会社法の見直し
ス 賃金のデジタル払いの社会実装促進によるキャッシュレス決済の拡大
セ 無人航空機（ドローン）の更なる活用・普及に向けた環境整備
ソ 特定小型原動機付自転車（電動キックボード等）の安全性確保
３ ＧＸ・サステナビリティ
タ 水素社会の実現に向けた規制改革
（ア）大容量の水素ガス運搬トレーラの国内導入
（イ）可搬式水素ガス容器への圧縮水素の充填に係るルール整備
（ウ）造船所岸壁等に設置される船舶用水素スタンドに関する技術基準の策定
（エ）艀（はしけ）における船舶用水素スタンドに関する技術基準の策定
（オ）船舶の燃料用水素ガス容器に関する技術基準の策定
（カ）船舶の燃料用水素ガス容器の検査
（キ）水素を燃料とする可搬式発電機等に係る保安体制等の合理化
チ ＦＩＴ・ＦＩＰ制度によらない太陽光発電設備の導入量の正確な捕捉
ツ ＦＩＴ制度からＦＩＰ制度に移行した太陽光発電設備の事後的な蓄電池併設時の価格算定ルールの見直し
テ 新築戸建住宅への太陽光発電設備設置の普及促進
ト 駐車場等の上部空間を活用した太陽光発電設備の建築基準法上の取扱いの明確化
ナ 洋上風力発電における物価高騰等に対する価格調整スキームの導入
ニ ニ 地熱開発に伴う試掘調査に当たっての保安林関連手続の明確化・簡素化等
ヌ 公共部門の再生可能エネルギー導入目標達成に向けた進捗点検
ネ 金属ケーブル窃盗の防止に係る立法措置
ノ 排出量取引制度の実効性向上のための法制度整備
ハ 市場の価格メカニズムの更なる活用による需給調整の高度化
ヒ バーチャルＰＰＡの会計上の取扱いの明確化
フ 電力先物取引による電力ヘッジの会計処理
ヘ 再生可能エネルギーの立地地域等を踏まえた電力需要家の立地誘導
ホ 送配電用施設の設置等に係る農地転用の取扱いの明確化
マ 建築物の省エネルギー化に資する自然排煙口の不燃化要件の合理化
ミ 循環経済への移行に向けた食品残さ等のリサイクル促進
ム バイオ化学品製造に係る糖価調整制度
4 デジタル・ＡＩ
メ 政府が調達するクラウドサービスにおけるスタートアップ等の参入促進（セキュリティ評価制度（ＩＳＭＡＰ）等の見直し）
モ ＡＩの開発・提供・利用の促進に伴う法的リスク及び関係者の責任の在り方等について
ヤ 地方公共団体の調達関連手続のデジタル化

Ⅳ．防災・減災
１ 地域活性化・人手不足対応
ア 未登記建物の解消（がれき撤去等の迅速化）
イ 迅速な復旧に向けた損壊家屋等の公費解体・撤去の促進
ウ 膨大な所有者不明土地等の有効活用（農地集約、工場建設等）（再掲）
２ 健康・医療・介護
エ 地域におけるオンライン診療の更なる普及及び円滑化（再掲）
オ 救急救命処置の範囲の拡大（再掲）
３ スタートアップ・イノベーション促進
カ 災害時等におけるキッチンカーによる迅速なサービスの提供
キ 無人航空機（ドローン）の更なる活用・普及に向けた環境整備（再掲）
ク 水道スマートメーターの導入促進（再掲）

（参考資料１）規制改革推進会議 委員名簿（令和７年４月１日時点）
（参考資料２）規制改革推進会議 専門委員名簿（令和７年５月12日時点）
（参考資料３）ワーキング・グループ（ＷＧ）の構成員（令和７年１月31日時点）
（参考資料４）規制改革推進会議及びワーキング・グループの審議経過

米国、ドイツ、フランス、英国他西側国 ロシアGRUが西側の物流事業体やテクノロジー企業を狙っていると警告 (2025.05.21)

こんにちは、丸山満彦です。

米国、ドイツ、フランス、英国他西側国が、ロシアGRU（ロシア連邦軍参謀本部情報総局 [wikipedia]）が西側の物流事業体やテクノロジー企業を狙っていると警告を出していますね...

共同で警告をだしている国で言えば、

• 米国
• 英国
• ドイツ
• チェコ
• ポーランド
• オーストラリア
• カナダ
• デンマーク
• エストニア
• フランス
• オランダ

です。日本、韓国等のアジア諸国ははいっていませんね...

● CISA

・2025.05.21 Russian GRU Targeting Western Logistics Entities and Technology Companies

Alert Code AA25-141

Russian GRU Targeting Western Logistics Entities and Technology Companies	ロシアGRU、西側の物流事業体やテクノロジー企業を狙う
Executive Summary	エグゼクティブサマリー
This joint cybersecurity advisory (CSA) highlights a Russian state-sponsored cyber campaign targeting Western logistics entities and technology companies. This includes those involved in the coordination, transport, and delivery of foreign assistance to Ukraine. Since 2022, Western logistics entities and IT companies have faced an elevated risk of targeting by the Russian General Staff Main Intelligence Directorate (GRU) 85th Main Special Service Center (85th GTsSS), military unit 26165—tracked in the cybersecurity community under several names (see “Cybersecurity Industry Tracking”). The actors’ cyber espionage-oriented campaign, targeting technology companies and logistics entities, uses a mix of previously disclosed tactics, techniques, and procedures (TTPs). The authoring agencies expect similar targeting and TTP use to continue.	本共同サイバーセキュリティ勧告（CSA）は、西側のロジスティクス事業体およびテクノロジー企業を標的としたロシア国家主催のサイバーキャンペーンに焦点を当てている。これには、ウクライナへの対外援助の調整、輸送、配送に関わるものも含まれる。2022年以降、西側の物流事業体やIT企業は、ロシア参謀本部情報総局（GRU）第85本部特殊サービスセンター（85th GTsSS）、軍事ユニット26165（サイバーセキュリティ・コミュニティでは複数の名称で追跡されている）による標的化のリスクの高まりに直面している（「サイバーセキュリティ業界の追跡」参照）。テクノロジー企業やロジスティクス事業体を標的にしたこの行為者のサイバースパイ指向のキャンペーンでは、これまでに公開された戦術、技術、手順（TTP）が混在して使用されている。作成機関は、同様の標的設定とTTPの使用が今後も続くと予想している。
Executives and network defenders at logistics entities and technology companies should recognize the elevated threat of unit 26165 targeting, increase monitoring and threat hunting for known TTPs and indicators of compromise (IOCs), and posture network defenses with a presumption of targeting.	物流事業体やテクノロジー企業の経営幹部やネットワーク防御者は、26165部隊の標的化の脅威が高まっていることを認識し、既知のTTPや侵害の指標（IOC）の監視と脅威の探索を強化し、標的化を想定したネットワーク防御態勢を整えるべきである。
This cyber espionage-oriented campaign targeting logistics entities and technology companies uses a mix of previously disclosed TTPs and is likely connected to these actors’ wide scale targeting of IP cameras in Ukraine and bordering NATO nations.	物流事業体やテクノロジー企業を標的としたこのサイバースパイ指向のキャンペーンは、これまでに公開された TTP を組み合わせて使用しており、これらの行為者がウクライナや国境を接する NATO 諸国の IP カメラを大規模に標的としていることと関連している可能性が高い。
The following authors and co-sealers are releasing this CSA:	本 CSA の認可者および共同シールは以下の通りである：
United States National Security Agency (NSA)	米国国家安全保障局（NSA）
United States Federal Bureau of Investigation (FBI)	米国連邦捜査局（FBI）
United Kingdom National Cyber Security Centre (NCSC-UK)	英国国家サイバー・セキュリティ・センター（NCSC-UK）
Germany Federal Intelligence Service (BND) Bundesnachrichtendienst	ドイツ連邦情報局（BND）
Germany Federal Office for Information Security (BSI) Bundesamt für Sicherheit in der Informationstechnik	ドイツ連邦情報セキュリティ局（BSI）
Germany Federal Office for the Protection of the Constitution (BfV) Bundesamt für Verfassungsschutz	ドイツ連邦憲法保護局（BfV）
Czech Republic Military Intelligence (VZ)  Vojenské zpravodajství	チェコ共和国 軍事情報局（VZ）
Czech Republic National Cyber and Information Security Agency (NÚKIB) Národní úřad pro kybernetickou a informační bezpečnost	チェコ国家サイバー・情報安全保障局（NÚKIB）
Czech Republic Security Information Service (BIS) Bezpečnostní informační služba	チェコ共和国安全保障情報局（BIS:
Poland Internal Security Agency (ABW) Agencja Bezpieczeństwa Wewnętrznego	ポーランド国内安全保障局（ABW）
Poland Military Counterintelligence Service (SKW) Służba Kontrwywiadu Wojskowego	ポーランド軍事防諜局（SKW）
United States Cybersecurity and Infrastructure Security Agency (CISA)	米国サイバーセキュリティ・インフラセキュリティ庁(CISA)
United States Department of Defense Cyber Crime Center (DC3)	米国国防総省サイバー犯罪センター（DC3）
United States Cyber Command (USCYBERCOM)	米国サイバーコマンド（USCYBERCOM）
Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC)	オーストラリア信号総局オーストラリア・サイバー・セキュリティ・センター（ASD's ACSC）
Canadian Centre for Cyber Security (CCCS)	カナダ・サイバーセキュリティセンター（CCCS）
Danish Defence Intelligence Service (DDIS) Forsvarets Efterretningstjeneste	デンマーク国防情報局（DDIS）
Estonian Foreign Intelligence Service (EFIS) Välisluureamet	エストニア対外情報庁（EFIS）
Estonian National Cyber Security Centre (NCSC-EE) Küberturvalisuse keskus	エストニア国立サイバーセキュリティセンター (NCSC-EE)
French Cybersecurity Agency (ANSSI) Agence nationale de la sécurité des systèmes d'information	フランスサイバーセキュリティ局（ANSSI）
Netherlands Defence Intelligence and Security Service (MIVD) Militaire Inlichtingen- en Veiligheidsdienst	オランダ国防情報セキュリティ局（MIVD）

・[PDF]

米国 FBI サイバー犯罪者にハッキングツールを販売するウェブサイトを押収 (2025.05.29)

こんにちは、丸山満彦です。

FBIがランサムウェアツールを販売しているサイトの4つのドメインと関連サーバーを押収したと発表していますね...

この作戦では、FBIがこのサイトからツールを購入して解析をしたようです。米国のシークレットサービス、フィンランド、オランダの警察との連携のほか、フランス、ドイツ、デンマークに加え、ウクライナ、ポルトガルの支援もあったようですね...

サイバー犯罪の対応には、国際連携が不可欠ですね...

● U.S. Department of Justice - U.S. Attorney's Office  (Southern District of Texas)

・2025.05.29 Websites selling hacking tools to cybercriminals seized

Websites selling hacking tools to cybercriminals seized	サイバー犯罪者にハッキングツールを販売するウェブサイトを押収
Multinational operation linked services to known ransomware groups targeting victims worldwide	世界中の被害者を標的とする既知のランサムウェア集団に関連するサービスを摘発する多国籍作戦
HOUSTON – A coordinated effort involving an international disruption of an online software crypting syndicate which provides services to cybercriminals to assist them with keeping their malicious software (malware) from being detected has resulted in the seizure of four domains and their associated server, announced U.S. Attorney Nicholas J. Ganjei.	ヒューストン発 - ヒューストン地区担当米国連邦検事ニコラス・J・ガンジェイ氏は、マルウェアを検出されないよう支援するサービスをサイバー犯罪者に提供するオンラインのソフトウェアCryptingシンジケートを国際的に妨害する協調作戦により、４つのドメインと関連サーバーを押収したと発表した。
Crypting is the process of using software to make malware difficult for antivirus programs to detect. The seized domains offered services to cybercriminals, including counter-antivirus (CAV) tools. When used together, CAV and crypting services allow criminals to obfuscate malware, making it undetectable and enabling unauthorized access to computer systems.	Cryptingとは、マルウェアをウイルス対策ソフトに見つかりにくく加工する手法である。 押収されたドメインでは、ウイルス対策ソフトをすり抜ける回避ツールなど、サイバー犯罪者向けのサービスが提供されていた。 これらの回避ツールと難読化処理を組み合わせることで、犯罪者はマルウェアを検知から逃がし、コンピュータシステムへ不正侵入できるようになる。
According to the affidavit filed in support of these seizures, authorities made undercover purchases from seized websites and analyzed the services, confirming they were designed for cybercrime. Court documents also allege authorities reviewed linked email addresses and other data connecting the services to known ransomware groups that have targeted victims both in the United States and abroad, including in the Houston area.	これらの押収を支持するために提出された宣誓供述書によると、当局は押収されたウェブサイトから覆面購入を行い、サービスを分析し、それらがサイバー犯罪のために設計されたものであることを確認した。また、法廷文書によると、当局が関連メールアドレスやその他のデータを精査したところ、これらのサービスが米国国内のみならず海外、特にヒューストン地域を含む場所で被害者を標的としてきた既知のランサムウェア集団と結び付けられることが示されているとのことである。
“Modern criminal threats require modern law enforcement solutions,” said Ganjei. “As cybercriminals have become more sophisticated in their schemes, they have likewise become more advanced in their efforts to avoid detection. As such, our law enforcement efforts must involve striking not just at the individual fraudster or hacker, but the enablers of these cybercriminals as well. This investigation did exactly that. With this syndicate shut down, there is one less provider of malicious tools for cybercriminals out there.”	「現代の犯罪の脅威には、最新の法執行ソリューションが必要だ。「サイバー犯罪者の手口が巧妙になるにつれて、検知を回避する努力も高度になっている。そのため、われわれの法執行努力は、個々の詐欺師やハッカーだけでなく、こうしたサイバー犯罪者のイネーブラーも攻撃しなければならない。今回の捜査はまさにそれを実践した。このシンジケートがシャットダウンされたことで、サイバー犯罪者に悪意のあるツールを提供するプロバイダがひとつ減った。
“Cybercriminals don’t just create malware; they perfect it for maximum destruction,” said FBI Houston Special Agent in Charge Douglas Williams. “By leveraging counter antivirus services, malicious actors refine their weapons against the world’s toughest security systems to better slip past firewalls, evade forensic analysis, and wreak havoc across victims’ systems. As part of a decisive international operation, FBI Houston helped cripple a global cyber syndicate, seize their most lethal tools, and neutralize the threat they posed to millions around the world.”	「サイバー犯罪者は単にマルウェアを作成するだけでなく、最大限の破壊のためにそれを完成させる。「ウイルス対策サービスを活用することで、悪意ある行為者は世界で最も厳しいセキュリティ・システムに対する武器を洗練させ、ファイアウォールをすり抜け、フォレンジック分析を回避し、被害者のシステムに大混乱をもたらす。決定的な国際作戦の一環として、FBIヒューストンは世界的なサイバー・シンジケートを無力化し、彼らの最も致命的なツールを押収し、彼らが世界中の何百万人もの人々に与えていた脅威を無力化することに貢献した。
The seizures occurred May 27 in coordination with Finnish and Dutch national police as part of Operation Endgame, a multinational law enforcement initiative targeting the dismantling of malware cybercriminal services. Participating countries include the United States, The Netherlands, France, Germany and Denmark with additional support from Ukraine and Portugal.	今回の押収は、フィンランドおよびオランダの国家警察と連携して5月27日に行われたもので、マルウェア・サイバー犯罪サービスの解体を目的とした多国籍法執行イニシアティブである「オペレーション・エンドゲーム」の一環である。参加国には米国、オランダ、フランス、ドイツ、デンマークが含まれ、ウクライナとポルトガルからの追加支援もある。
The FBI Houston Field Office is conducting the investigation with the cooperation and significant assistance of law enforcement partners in The Netherlands and Finland and U.S. Secret Service.	FBIヒューストン支局は、オランダとフィンランドの法執行パートナーおよび米国シークレットサービスの協力と多大な支援を受けて捜査を行っている。
Assistant U.S. Attorneys (AUSA) Shirin Hakimzadeh and Rodolfo Ramirez are prosecuting the case. AUSA Kristine Rollinson is handling the seizure aspects of the case.	米国検事補（AUSA）のシリン・ハキムザデとロドルフォ・ラミレスがこの事件を起訴している。AUSAクリスティーン・ロリンソンはこの事件の押収面を担当している。

---

ランサムはいろいろあり、その社会的な影響は大きいですよね。。。その拡大を防ぐということで根っこの一つをおさえたのは、ある程度の影響があるような気がします。。。

以下は、Lockbitについて...

⚫︎ まるちゃんの情報セキュリティ気まぐれ日記

・2025.03.16 米国 ロシアとイスラエルの二重国籍者、LockBitランサムウェアの共謀に関与したとして米国に引き渡される (2025.03.13)

・2024.12.30 米国 司法省 LockBitランサムウェアグループの開発者としてロシアおよびイスラエルの二重国籍者を起訴 (2024.12.20)

・2024.10.02 米国 英国 オーストラリア Evil Corpのメンバーを制裁

・2024.10.02 Europol Lockbit関係者を新たに逮捕し、経済制裁も加える

・2024.09.01 米国 CISA FBI MS-ISAC HHS RansomHubランサムウェアに対する警告 (2024.08.29)

・2024.08.17 英国国家犯罪庁、米国シークレットサービス、連邦捜査局が協力し、ランサムウェア等のサイバー犯罪グループのトップ容疑者を逮捕、身柄を引き渡す (2024.08.13)

・2024.05.08 英国 米国 オーストラリア LockBitの管理者に対する新たな一連の措置を発表

・2024.02.21 米国 英国 LockBitのネットワークに侵入し破壊

・2023.09.13 英国 NCSC ランサムウェア、恐喝、サイバー犯罪のエコシステムについての白書

・2023.07.26 Europol インターネット組織犯罪評価（IOCTA）2023 (2023.07.19)

・2023.06.16 Five Eyes ドイツ フランス LookBitに対する包括的なアドバイザリーを公表

・2023.05.20 米国 司法省 LockBit、Babuk、Hiveに関わったロシア人を起訴

・2023.03.29 米国 司法省 30億ドル以上の違法取引を処理したダークネット暗号通貨ミキサーのテイクダウンに成功 (2023.03.15)