まるちゃんの情報セキュリティ気まぐれ日記: August 2025

January 2026
Sun	Mon	Tue	Wed	Thu	Fri	Sat
				1	2	3
4	5	6	7	8	9	10
11	12	13	14	15	16	17
18	19	20	21	22	23	24
25	26	27	28	29	30	31

August 2025

2025.08.31

オーストラリア他暗号鍵とシークレットの管理 (2025.08.26)

こんにちは、丸山満彦です。

オーストラリア、カナダ、英国、ニュージーランド、日本が共同で、暗号鍵とシークレットについての報告書を公表していますね...

米国ではなくて、日本...

日本といえば、国家サイバー統括室（NCO）とJPCERT/CC...

しかし、このタイミングでなぜこれ？日本までまきこんで、、、

● Australian Signals Directorate

・2025.08.26 Managing cryptographic keys and secrets

Managing cryptographic keys and secrets	暗号鍵とシークレットの管理
Introduction	序論
Understanding the threat environment	脅威環境の理解
Key and secret management	鍵と秘密情報の管理
Appendix	附属書
Introduction	序論
The world is increasingly relying on online services, digitalisation of data and interconnected systems, cyber security is a vital way in which we protect critical sectors. Good security hygiene keeps participants from making mistakes and makes it harder for malicious cyber actors to cause damage. One important aspect of cyber security is cryptographic keys and secrets management systems. Cryptographic keys and secrets are required for services that secure data, provide integrity, confidentiality, non-repudiation and access control. Cryptographic keys and secrets are a critical asset of many organisations and a core component of cyber security, which must be carefully managed and protected throughout their life cycle.	世界はますますオンラインサービス、データのデジタル化、相互接続されたシステムに依存している。サイバーセキュリティは、重要な分野を保護する上で不可欠な手段である。適切なセキュリティ対策は、関係者のミスを防ぎ、悪意のあるサイバー攻撃者による被害を困難にする。サイバーセキュリティの重要な側面の一つが、暗号鍵と秘密情報の管理システムである。暗号鍵と秘密情報は、データの保護、完全性、機密性、否認防止、アクセス管理を提供するサービスに必要である。暗号鍵と秘密情報は多くの組織にとって重要な資産であり、サイバーセキュリティの中核をなす要素であるため、そのライフサイクル全体を通じて慎重に管理・防御されなければならない。
The Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC) and the Department of Industry Science and Resources (DISR) have developed this guide to help organisational personnel in understanding the threat environment and the value of implementing secure keys and secrets management to make better informed decisions.	オーストラリア信号局（ASD）傘下のオーストラリアサイバーセキュリティセンター（ACSC）と産業科学資源省（DISR）は、組織の担当者が脅威環境を理解し、安全な鍵・秘密管理の実施価値を認識して適切な判断を下せるよう、本ガイドを作成した。
The compromise of any private key or secret can have significant, or even severe, negative operational, financial and reputational impacts on an organisation. Organisations must seek to implement mitigations to ensure their organisational keys and secrets are protected and so they are positioned to respond quickly and effectively in the case of a security incident.	秘密鍵や機密情報の侵害は、組織に対して重大あるいは深刻な業務的・財務的・評判上の悪影響をもたらす可能性がある。組織は、自組織の鍵と機密情報を防御し、セキュリティインシデント発生時に迅速かつ効果的に対応できる態勢を整えるため、緩和の実施を追求しなければならない。
Organisations should have a comprehensive understanding of the threat environment which will enable them to build a strong Key Management Plan (KMP) to address their own unique environment and all cryptographic material management, enabling positive security outcomes. A KMP should be prepared in the context of both internal and external threats, how compromise can occur, and what can be done to mitigate and respond to any potential threats.	組織は脅威環境を包括的に理解し、自組織固有の環境と全ての暗号材料管理に対応する強固な鍵管理計画（KMP）を構築することで、積極的なセキュリティ成果を実現できる。KMPは内部脅威と外部脅威の両面、侵害発生の経路、潜在脅威への緩和策と対応策を考慮して策定すべきである。
The advice in this publication has considered threats to the following types of cryptographic keys and secrets:	本出版物の助言は、以下の種類の暗号鍵とシークレットに対する脅威を想定している：
・Asymmetric keys - Two mathematically related keys – a public and a private key – that are used to perform complementary operations, such as encryption, decryption, signature generation and signature verification.	・非対称鍵 - 暗号化、復号化、署名生成、署名検証といった補完的な操作を実行するために使用される、数学的に関連する2つの鍵（公開鍵と秘密鍵）。
・Digital certificate – An electronic document used to identify an individual, a system, a server, a company, or some other entity, and to associate a public key with the entity. A digital certificate is issued by a certification authority and is digitally signed by that authority.	・デジタル証明書 - 個人、システム、サーバー、企業、その他の事業体を識別し、公開鍵をその事業体に関連付けるために使用される電子文書。デジタル証明書は認証機関によって発行され、その機関によってデジタル署名される。
・Symmetric key - A cryptographic key that is used to perform both the cryptographic operations and its inverse: that is, encryption and decryption, or to create a message authentication code or verify a message authentication code.	・対称鍵 - 暗号化操作とその逆操作（暗号化と復号化）の両方、あるいはメッセージ認証コードの作成・検証を実行するために使用される暗号鍵。
・Secret - A confidential and controlled piece of data shared between multiple entities to gain or grant access to a resource, typically used for machine-to-machine access or authorisation, such as an Application Programming Interface (API) key.	・シークレット - リソースへのアクセス権の取得または付与のために複数の事業体間で共有される、機密性が高く管理されたデータ。通常、アプリケーションプログラミングインターフェース（API）キーなど、マシン間アクセスや認証に使用される。
The ASD’s ACSC, the Department of Industry Science and Resources (DISR) and the following international partners provide the recommendations in this guide:	本ガイドの推奨事項は、ASD傘下のACSC、産業科学資源省（DISR）、および以下の国際パートナーがプロバイダとして提供している：
・Canadian Centre for Cyber Security (Cyber Centre)	・カナダサイバーセキュリティセンター（Cyber Centre）
・United Kingdom’s National Cyber Security Centre (NCSC-UK)	・英国国家サイバーセキュリティセンター（NCSC-UK）
・New Zealand’s National Cyber Security Centre (NCSC-NZ)	・ニュージーランド国家サイバーセキュリティセンター（NCSC-NZ）
・Japan Computer Emergency Response Team Coordination Center (JPCERT/CC)	・日本JPCERTコーディネーションセンター（JPCERT/CC）
・Japan National Cybersecurity Office (NCO)	・日本国家サイバーセキュリティ室（NCO）
Audience	対象読者
This paper is written for organisational security personnel – including architects, IT security, crypto custodians and managers – whose organisations rely on, use or manage cryptographic keys and secrets. This advice applies to Cloud Service Providers and enterprise organisations with on-premises or hybrid environments.	本資料は、暗号鍵や秘密情報を依存・使用・管理する組織のセキュリティ担当者（アーキテクト、ITセキュリティ担当者、暗号管理責任者、管理者を含む）向けに作成されている。この助言は、クラウドサービスプロバイダーおよびオンプレミス環境やハイブリッド環境を有するエンタープライズ組織に適用される。
This document assumes a moderate level of computing and cyber security knowledge on the part of the reader.	本文書は、読者に中程度のコンピューティングおよびサイバーセキュリティ知識があることを前提としている。
Secure by Design	設計段階からのセキュリティ確保
This guidance is part of the broader Secure by Design initiative by the authoring agencies.	本ガイダンスは、作成機関による広範な「設計段階からのセキュリティ確保」イニシアチブの一環である。
・ASD - Secure by Design	・ASD - セキュア・バイ・デザイン
A KMP sets out organisational practices and procedures that aim to ensure secure life cycle management for keys and secrets. Secure key and secret management is a key pillar of ASD’s ACSC Secure by Design Foundation 2 - Early and Sustained Security – ‘Following an early and sustained security-first approach when developing and procuring products is an investment that facilitates both technology manufacturers and technology consumers to be resilient to cyber risks.	鍵・秘密管理計画（KMP）は、鍵と秘密情報のライフサイクル管理を安全に確保するための組織的実践と手順を定める。鍵と秘密情報の安全な管理は、ASDのACSCセキュア・バイ・デザイン基盤2「早期かつ持続的なセキュリティ」の主要な柱である。「製品の開発・調達において早期かつ持続的なセキュリティ優先アプローチを採用することは、技術製造事業者および技術消費者の双方がサイバーリスクに対するレジリエンスを持つことを可能にする投資である」。
In their most fundamental form, keys and secrets support the following functions:	鍵と秘密情報はその最も基本的な形態において、以下の機能を支える：
・Confidentiality: they allow data to be transmitted or stored securely allowing only authorised entities access.	・機密性：データが安全に伝送または保存され、許可された事業体のみがアクセスできるようにする。
・Integrity: they ensure that data is authentic and has not been changed.	・完全性：データが真正であり、改変されていないことを保証する。
・Authentication and non-repudiation: they allow the key holder to provide an identity for authentication.	・認証と否認防止：鍵保持者が認証のための身元情報を提供できるようにする。

・[PDF] Managing Cryptographic Keys and Secrets

2025.08.31 00:00 in 情報セキュリティ / サイバーセキュリティ, in 暗号 / 電子署名 / ブロックチェーン | Permalink | Comments (0)
Tweet

2025.08.30

Interpol アフリカ当局がサイバー犯罪・詐欺ネットワークを摘発約1億ドルを回収し、1209人を逮捕 (2025.08.22)

こんにちは、丸山満彦です。

インターポールが、アフリカにおいてサイバー犯罪・詐欺ネットワークを摘発し、約1億ドルを回収し、1209人を逮捕したと発表していますね...

この作戦には英国とアフリカ18カ国の捜査当局が協力したようですね...また、民間企業の協力者として、カスペルスキー、トレンドマイクロ、フォーティネット等の名前も上がっていますね...

2021年に英国はインタポールに資金提供をし、アフリカのサイバー犯罪と戦うイニシアティブを始めていましたよね...

● Interpol

・2025.08.22 African authorities dismantle massive cybercrime and fraud networks, recover millions

African authorities dismantle massive cybercrime and fraud networks, recover millions	アフリカ当局がサイバー犯罪・詐欺ネットワークを摘発、数百万ドルを回収
INTERPOL-coordinated operation leads to 1,209 arrests	インターポール主導の作戦で1,209人を逮捕
LYON, France – In a sweeping INTERPOL-coordinated operation, authorities across Africa have arrested 1,209 cybercriminals targeting nearly 88,000 victims.	フランス・リヨン発 – インターポールが調整した大規模作戦により、アフリカ各国の当局は8万8,000人近くの被害者を狙ったサイバー犯罪者1,209人を逮捕した。
The crackdown recovered USD 97.4 million and dismantled 11,432 malicious infrastructures, underscoring the global reach of cybercrime and the urgent need for cross-border cooperation.	今回の取り締まりで9740万米ドルが回収され、11,432の悪意あるインフラが解体された。これはサイバー犯罪のグローバルな広がりと、国境を越えた協力の緊急性を浮き彫りにしている。
Operation Serengeti 2.0 (June to August 2025) brought together investigators from 18 African countries and the United Kingdom to tackle high-harm and high-impact cybercrimes including ransomware, online scams and business email compromise (BEC). These were all identified as prominent threats in the recent INTERPOL Africa Cyberthreat Assessment Report.	「オペレーション・セレンゲティ2.0」（2025年6月～8月）では、18のアフリカ諸国と英国の捜査官が連携し、ランサムウェア、オンライン詐欺、ビジネスメール詐欺（BEC）など、被害規模が大きく影響力の強いサイバー犯罪に対処した。これらは全て、最近のインターポール・アフリカサイバー脅威アセスメント報告書で顕著な脅威として識別されていた。
The operation was strengthened by private sector collaboration, with partners providing intelligence, guidance and training to help investigators act on intelligence and identify offenders effectively.	民間セクターとの連携により作戦は強化され、パートナー企業は情報提供、指導、訓練を通じて捜査官が情報に基づいて行動し、効果的に犯人を識別するのを支援した。
This intelligence was shared with participating countries ahead of the operation, providing critical information on specific threats as well as suspicious IP addresses, domains and C2 servers.	作戦実施前に参加国と共有された情報には、特定の脅威に関する重要情報に加え、不審なIPアドレス、ドメイン、C2サーバーが含まれていた。
Operational highlights: From crypto mining to inheritance scams	作戦の主な成果：暗号通貨マイニングから相続詐欺まで
Authorities in Angola dismantled 25 cryptocurrency mining centres, where 60 Chinese nationals were illegally validating blockchain transactions to generate cryptocurrency. The crackdown identified 45 illicit power stations which were confiscated, along with mining and IT equipment worth more than USD 37 million, now earmarked by the government to support power distribution in vulnerable areas.	アンゴラ当局は25か所の暗号通貨マイニングセンターを摘発した。60人の中国人がブロックチェーン取引の違法な妥当性確認を行い、暗号通貨を生成していた。この取り締まりで45か所の違法発電所が識別され、押収された。マイニング機器やIT機器の価値は3700万米ドル以上に上り、政府はこれを脆弱地域への電力供給支援に充てる方針だ。
Zambian authorities dismantled a large-scale online investment fraud scheme, identifying 65,000 victims who lost an estimated USD 300 million. The scammers lured victims into investing in cryptocurrency through extensive advertising campaigns promising high-yield returns. Victims were then instructed to download multiple apps to participate. Authorities arrested 15 individuals and seized key evidence including domains, mobile numbers and bank accounts. Investigations are ongoing with efforts focused on tracking down overseas collaborators.	ザンビア当局は大規模なオンライン投資詐欺を摘発し、被害者65,000人が推定3億ドルを失ったと識別した。詐欺師は高利回りを約束する大規模な広告キャンペーンで被害者を仮想通貨投資に誘導。参加には複数のアプリダウンロードを指示していた。当局は15名を逮捕し、ドメイン・携帯番号・銀行口座などの重要証拠を押収した。海外の共犯者追跡に焦点を当てた捜査は継続中だ。
Also in Zambia, authorities identified a scam centre and, in joint operations with the Immigration Department in Lusaka, disrupted a suspected human trafficking network. They confiscated 372 forged passports from seven countries.	ザンビアではさらに、当局が詐欺拠点を識別し、ルサカ入国管理局との合同作戦で人身売買ネットワークを摘発した。7カ国分の偽造パスポート372冊を押収した。
Despite being one of the oldest-running internet frauds, inheritance scams continue to generate significant funds for criminal organizations. Officers in Côte d'Ivoire dismantled a transnational inheritance scam originating in Germany, arresting the primary suspect and seizing assets including electronics, jewellery, cash, vehicles and documents. With victims tricked into paying fees to claim fake inheritances, the scam caused an estimated USD 1.6 million in losses.	最も古いインターネット詐欺の一つである相続詐欺は、今も犯罪組織に巨額の資金を生み続けている。コートジボワールの捜査官は、ドイツ発の国際的な相続詐欺を摘発し、主犯格の容疑者を逮捕した。電子機器、宝石、現金、車両、書類などの資産を押収した。被害者は偽の相続金を受け取るための手数料を騙し取られ、被害総額は推定160万米ドルに上った。
Valdecy Urquiza, Secretary General of INTERPOL, said:	インターポールのバルセシ・ウルキサ事務総長は次のように述べた：
"Each INTERPOL-coordinated operation builds on the last, deepening cooperation, increasing information sharing and developing investigative skills across member countries. With more contributions and shared expertise, the results keep growing in scale and impact. This global network is stronger than ever, delivering real outcomes and safeguarding victims."	「インターポールが調整する各作戦は、前回の実績を基盤に、加盟国間の協力深化、情報共有の拡大、捜査能力の向上をもたらす。貢献と専門知識の共有が増えるほど、成果の規模と影響力は拡大し続ける。このグローバルネットワークはかつてない強固さを持ち、具体的な成果を上げ、被害者を保護している」
Prior to the operation, investigators participated in a series of hands-on workshops covering open-source intelligence tools and techniques, cryptocurrency investigations and ransomware analysis. This focused training strengthened their skills and expertise, directly contributing to the effectiveness of the investigations and operational successes.	作戦に先立ち、捜査官らはオープンソース情報収集ツール・技術、仮想通貨捜査、ランサムウェア分析を扱う実践的ワークショップシリーズに参加した。この集中訓練により技能と専門性が強化され、捜査の有効性と作戦の成功に直接寄与した。
The operation also focused on prevention through a partnership with the International Cyber Offender Prevention Network (InterCOP), a consortium of law enforcement agencies from 36 countries dedicated to identifying and mitigating potential cybercriminal activity before it occurs. The InterCOP project is led by the Netherlands and aims to promote a proactive approach to tackling cybercrime.	本作戦では、36カ国の法執行機関で構成される「国際サイバー犯罪者予防ネットワーク（InterCOP）」との連携を通じた予防対策にも重点を置いた。InterCOPは犯罪発生前の潜在的なサイバー犯罪活動を識別・緩和することを目的としており、オランダが主導するプロジェクトとしてサイバー犯罪対策への積極的アプローチを推進している。
Operation Serengeti 2.0 was held under the umbrella of the African Joint Operation against Cybercrime, funded by the United Kingdom’s Foreign, Commonwealth and Development Office.	「オペレーション・セレンゲティ2.0」は、英国外務・英連邦・開発省（FCDO）の資金提供による「アフリカサイバー犯罪合同作戦」の枠組み下で実施された。
Operational partners:	作戦パートナー：
Cybercrime Atlas, Fortinet, Group-IB, Kaspersky, The Shadowserver Foundation, Team Cymru, Trend Micro, TRM Labs and Uppsala Security.	サイバー犯罪アトラス、フォーティネット、グループIB、カスペルスキー、シャドウサーバー財団、チーム・カムリ、トレンドマイクロ、TRMラボ、ウプサラ・セキュリティ。
Participating countries:	参加国：
Angola, Benin, Cameroon, Chad, Côte D’Ivoire, Democratic Republic of Congo, Gabon, Ghana, Kenya, Mauritius, Nigeria, Rwanda, Senegal, South Africa, Seychelles, Tanzania, United Kingdom, Zambia and Zimbabwe.	アンゴラ、ベナン、カメルーン、チャド、コートジボワール、コンゴ民主共和国、ガボン、ガーナ、ケニア、モーリシャス、ナイジェリア、ルワンダ、セネガル、南アフリカ、セイシェル、タンザニア、英国、ザンビア、ジンバブエ。

これ、このブログで取り上げていなかったが...ここにつながりましたね...

・2025.06.23 New INTERPOL report warns of sharp rise in cybercrime in Africa

New INTERPOL report warns of sharp rise in cybercrime in Africa	インターポールの新報告書、アフリカにおけるサイバー犯罪の急増を警告
Two-thirds of African member countries said cyber-related offences accounted for a medium-to-high share of all crimes	アフリカ加盟国の3分の2が、サイバー関連犯罪が全犯罪に占める割合が中程度から高いと回答
・Cybercrime accounts for more than 30 per cent of all reported crime in Western and Eastern Africa.	・西アフリカおよび東アフリカでは、報告された全犯罪の30％以上がサイバー犯罪によるもの
・Online scams, ransomware, business email compromise and digital sextortion are the most reported cyberthreats.	・オンライン詐欺、ランサムウェア、ビジネスメール詐欺、デジタル性的脅迫が最も多く報告されるサイバー脅威
・90 per cent of African countries report needing ‘significant improvement’ in law enforcement or prosecution capacity.	・アフリカ諸国の90％が、法執行または起訴能力において「大幅な改善」が必要と報告
LYON, France: A growing share of reported crimes in Africa is cyber-related, according to INTERPOL’s 2025 Africa Cyberthreat Assessment Report.	フランス・リヨン発：インターポールの「2025年アフリカサイバー脅威アセスメント報告書」によると、アフリカで報告される犯罪のうちサイバー関連犯罪の割合が増加している。
Two-thirds of the Organization’s African member countries surveyed said that cyber-related crimes accounted for a medium-to-high share of all crimes, rising to 30 per cent in Western and Eastern Africa.	調査対象となったアフリカ加盟国の3分の2が、サイバー関連犯罪が全犯罪に占める割合が中程度から高いと回答し、西・東アフリカでは30％に達した。
Online scams, particularly through phishing, were the most frequently reported cybercrimes in Africa, while ransomware, business email compromise (BEC) and digital sextortion also remain widespread.	オンライン詐欺（特にフィッシング）がアフリカで最も頻繁に報告されるサイバー犯罪であり、ランサムウェア、ビジネスメール詐欺（BEC）、デジタル性的脅迫も依然として広範に蔓延している。
Neal Jetton, INTERPOL Cybercrime Director, said:	インターポールサイバー犯罪部長ニール・ジェットン氏は次のように述べた：
“This fourth edition of the INTERPOL African Cyberthreat Assessment provides a vital snapshot of the current situation, informed by operational intelligence, extensive law enforcement engagement and strategic private-sector collaboration. It paints a clear picture of a threat landscape in flux, with emerging dangers like AI-driven fraud that demand urgent attention. No single agency or country can face these challenges alone.”	「本報告書は、運用情報、広範な法執行機関の関与、戦略的な民間セクターとの連携に基づき、現状を捉えた重要なスナップショットを提供する。AI駆動型詐欺といった新たな脅威が差し迫った対応を必要とする中、流動的な脅威環境の明確な全体像を示している。これらの課題に単独の機関や国が単独で対処することは不可能だ」
Ambassador Jalel Chelba, Acting Executive Director of AFRIPOL, said:	AFRIPOL（アフリカ警察機構）のジャレル・シェルバ暫定事務局長は次のように述べた：
“Cybersecurity is not merely a technical issue; it has become a fundamental pillar of stability, peace, and sustainable development in Africa. It directly concerns the digital sovereignty of states, the resilience of our institutions, citizen trust and the proper functioning of our economies.”	「サイバーセキュリティは単なる技術的問題ではない。アフリカにおける安定、平和、持続可能な開発の基盤的支柱となった。これは国家のデジタル主権、機構のレジリエンシー、市民の信頼、経済の適正な機能に直接関わる問題である」

Africa’s top cyberthreats	アフリカの主要サイバー脅威
In the past year, suspected scam notifications rose by up to 3,000 per cent in some African countries, according to data from Kaspersky – one of several private sector partners that works with INTERPOL’s cybercrime directorate.	カスペルスキー（INTERPOLサイバー犯罪対策局と連携する民間セクターパートナーの一つ）のデータによると、過去1年間でアフリカ諸国の一部では詐欺被害の疑いのある通報が最大3,000％増加した。
Ransomware detections in Africa also rose in 2024, with South Africa and Egypt suffering the highest number, at 17,849 and 12,281 detections respectively according to data from Trend Micro, followed by other highly digitized economies such as Nigeria (3,459) and Kenya (3,030).	2024年にはアフリカのランサムウェア検知件数も増加し、トレンドマイクロのデータによれば南アフリカ（17,849件）とエジプト（12,281件）が最多を記録。次いでナイジェリア（3,459件）、ケニア（3,030件）など高度にデジタル化された経済圏が続いた。
Incidents included attacks on critical infrastructure, such as a breach at Kenya’s Urban Roads Authority (KURA), and on government databases, such as hacks of Nigeria’s National Bureau of Statistics (NBS).	インシデントには、ケニア都市道路局（KURA）への侵害といった重要インフラ攻撃や、ナイジェリア国家統計局（NBS）へのハッキングといった政府データベースへの攻撃が含まれた。
BEC-related incidents also rose significantly, with 11 African nations accounting for the majority of BEC activity originating on the continent. In West Africa, BEC fraud has driven highly organized, multi-million-dollar criminal enterprises, such as transnational syndicate Black Axe.	BEC関連のインシデントも大幅に増加し、アフリカ大陸で発生したBEC活動の大部分は11カ国に集中している。西アフリカでは、BEC詐欺が「ブラック・アックス」のような多国籍犯罪エンタープライズによる高度に組織化された数百万ドル規模の犯罪事業を推進している。
Sixty per cent of African member countries reported an increase in reports of digital sextortion, where threat actors use sexually explicit images to blackmail their targets. The images can be authentic – shared voluntarily or obtained through coercion or deception – or they can be generated by artificial intelligence.	アフリカ加盟国の60％が、脅威アクターが性的画像を用いて標的を脅迫するデジタル性的脅迫（セクストーション）の報告増加を報告した。これらの画像は、自発的に共有されたもの、強制や欺瞞によって入手された本物である場合もあれば、人工知能によって生成されたものである場合もある。

Law enforcement challenges	法執行上の課題
Cybercrime continues to outpace the legal systems designed to stop it, according to African law enforcement. Seventy-five per cent of countries surveyed said their legal frameworks and prosecution capacity needed improvement.	アフリカの法執行機関によれば、サイバー犯罪はそれを阻止するために設計された法制度を依然として凌駕している。調査対象国の75％が、自国の法的枠組みと起訴能力の改善が必要であると回答した。
At the same time, countries also reported struggling to enforce the existing laws on cybercrime, with 95 per cent of respondents reported inadequate training, resource constraints and a lack of access to specialized tools.	同時に、各国は既存のサイバー犯罪関連法の執行にも苦戦しており、回答国の95％が訓練の不十分さ、資源制約、専門ツールへのアクセス不足を報告した。
Despite rising caseloads, most African member countries surveyed still lack essential IT infrastructure to combat cybercrime. Just 30 per cent of countries reported having an incident reporting system, 29 per cent a digital evidence repository and 19 per cent a cyberthreat intelligence database.	事件数の増加にもかかわらず、調査対象のアフリカ加盟国の大半は、サイバー犯罪対策に不可欠なITインフラを依然として欠いている。インシデント報告システムを有すると回答した国はわずか30％、デジタル証拠保管庫は29％、サイバー脅威インテリジェンスデータベースは19％だった。
While cybercrime routinely crosses national borders, 86 per cent of African member countries surveyed said their international cooperation capacity needs improvement due to slow, formal processes, a lack of operational networks, and limited access to platforms and foreign-hosted data.	サイバー犯罪は常時国境を越えるにもかかわらず、調査対象のアフリカ加盟国の86％が、遅延する正式手続き、運用ネットワークの欠如、プラットフォームや海外ホストデータへのアクセス制限を理由に、国際協力能力の改善が必要だと回答した。
Cybercrime investigations increasingly rely on cooperation from private sector partners, yet 89 per cent of African countries said their cooperation with the private sector needed ‘significant’ or ‘some’ improvement due to unclear channels for engagement, low institutional readiness and other barriers.	サイバー犯罪捜査は民間セクターとの連携に依存する度合いが高まっているが、アフリカ諸国の89％が、連携チャネルの不透明さ、機構の制度的準備不足その他の障壁により、民間セクターとの協力には「大幅な」または「ある程度の」改善が必要だと回答した。
Strengthening cyber resilience	サイバーレジリエンスの強化
Nevertheless, the INTERPOL report also details positive steps that many African member countries have made to strengthen their cyber resilience.	しかしながら、インターポールの報告書は、多くのアフリカ加盟国がサイバーレジリエンス強化に向けて踏み出した前向きな取り組みについても詳述している。
Several African countries advanced their legal frameworks, harmonizing cybersecurity laws with international standards. Many countries also enhanced their cybercrime response capabilities, investing in specialized units and digital forensics infrastructure.	複数のアフリカ諸国は法枠組みを進め、サイバーセキュリティ法を国際標準に整合させた。多くの国が専門部署やデジタルフォレンジック基盤への投資を通じ、サイバー犯罪対応能力も強化している。
This increased operational capacity was demonstrated in two high-impact international cybercrime operations coordinated by INTERPOL – Operation Serengeti and Operation Red Card – which collectively led to more than 1,000 arrests and the dismantling of hundreds of thousands of malicious networks.	この運用能力の向上は、インターポールが調整した2つの国際サイバー犯罪作戦「オペレーション・セレンゲティ」と「オペレーション・レッドカード」で実証された。これらにより延べ1,000人以上の逮捕と数十万の悪意あるネットワークの解体が実現した。
To further improve Africa’s cybercrime response capabilities, the INTERPOL report proposes six strategic recommendations, including improving regional and international cooperation, expanding prevention and public awareness, and leveraging emerging technologies.	アフリカのサイバー犯罪対応能力をさらに改善するため、インターポールの報告書は6つの戦略的提言を提示している。これには、地域・国際協力の強化、予防策と市民意識の拡大、新興技術の活用などが含まれる。
INTERPOL’s Africa Cyberthreat Assessment is part of the Organization’s African Joint Operation against Cybercrime (AFJOC) initiative, which is aimed at strengthening the capability of African law enforcement to prevent, detect, investigate and disrupt cybercrime. The AFJOC initiative is supported by the United Kingdom’s Foreign, Commonwealth and Development Office.	インターポールの「アフリカサイバー脅威アセスメント」は、アフリカの法執行機関がサイバー犯罪を予防・検知・捜査・阻止する能力強化を目的とした「アフリカサイバー犯罪対策共同作戦（AFJOC）」イニシアチブの一環である。AFJOCイニシアチブは英国外務・英連邦・開発省（FCDO）の支援を受けている。
In addition to information gathered from INTERPOL member countries in Africa, the Assessment benefits from data contributed by private sector partners Bi.Zone, Group-IB, Kaspersky and Trend Micro.	本アセスメントは、アフリカ地域のインターポール加盟国から収集した情報に加え、民間セクターパートナーであるBi.Zone、Group-IB、カスペルスキー、トレンドマイクロが提供したデータを活用している。
Download the INTERPOL’s 2025 Africa Cyberthreat Assessment Report via the link below.	下記リンクよりインターポール「2025年アフリカサイバー脅威評価報告書」をダウンロード。

・・[PDF] Interpol Africa Cyberthreat Assessment Report 2025 4th Edition

プロジェクト...

・AFJOC - African Joint Operation against Cybercrime

AFJOC - African Joint Operation against Cybercrime	AFJOC - アフリカサイバー犯罪対策合同作戦
Reinforcing cybersecurity in Africa	アフリカのサイバーセキュリティ強化
Timeframe: 2024 to 2025	実施期間：2024年～2025年
Budget: GBP 2.68 million	予算：268万ポンド
Donor: United Kingdom - Foreign, Commonwealth & Development Office (UK FCDO)	資金提供元：英国外務・英連邦・開発省（UK FCDO）
The situation	現状
The African region is seeing unprecedented growth and development in the digital technology sector, particularly in financial technology and e-commerce.	アフリカ地域では、特に金融技術（フィンテック）と電子商取引（eコマース）において、デジタル技術分野で前例のない成長と発展が見られています。
However, this rapid digitalization has also brought with it a variety of security threats that can have a severe impact. Leveraging the increased reliance on technology, attackers employ various techniques to steal personal data and execute fraudulent activities. Prominent cyber threats in the region include digital extortion, ransomware deployments, sophisticated online scams (like phishing), and business email compromise (BEC) schemes.	しかし、この急速なデジタル化は、深刻な影響をもたらす可能性のある様々なセキュリティ脅威も伴っています。攻撃者は、技術への依存度の高まりを利用し、個人データを盗み、不正行為を実行するために様々な手法を採用しています。この地域における顕著なサイバー脅威としては、デジタル恐喝、ランサムウェアの展開、洗練されたオンライン詐欺（フィッシングなど）、ビジネスメール詐欺（BEC）などが挙げられます。
The absence of robust cybersecurity standards creates a critical gap in protecting online services. This exposes critical infrastructure like banks and government institutions to cyberattacks, potentially leading to data breaches, financial losses, and disruptions in trade. Addressing this gap through stronger cybersecurity standards is essential.	堅牢なサイバーセキュリティ標準の欠如は、オンラインサービスの防御において重大なギャップを生み出しています。これにより銀行や政府機構などの重要インフラがサイバー攻撃に晒され、データ侵害、金銭的損失、貿易の混乱を招く恐れがある。より強固なサイバーセキュリティ標準によるこの格差の解消が不可欠である。
Project aims	プロジェクトの目的
Building upon the achievements of the AFJOC initiative (2021-2023), the AFJOC II project aims to further enhance the capabilities of national law enforcement agencies in Africa. This will be achieved through continued focus on preventing, detecting, investigating, and disrupting cybercrime activities. This is achieved by:	AFJOCイニシアチブ（2021-2023年）の成果を基盤とし、AFJOC IIプロジェクトはアフリカ各国法執行機関の能力をさらに強化することを目指す。これは、サイバー犯罪活動の防止、検知、捜査、阻止に継続的に焦点を当てることで達成される。具体的には以下の方法による：
・gathering and analysing information on cybercriminal activity;	・サイバー犯罪活動に関する情報の収集・分析
・carrying out intelligence-led, coordinated action;	・情報主導型の協調行動の実施
・promoting cooperation and best practice amongst African member countries.	・アフリカ加盟国間の協力とベストプラクティスの促進
Project activities	プロジェクト活動
・Analytical support and intelligence – timely and accurate intelligence is vital in any effective law enforcement response to cybercrime. Our Cyber Activity Reports are important resources, providing insight on cyber threats targeting specific countries or regions;	・分析支援と情報提供 – サイバー犯罪への効果的な法執行対応には、タイムリーかつ正確な情報が不可欠だ。当機関のサイバー活動報告書は重要な情報源であり、特定の国や地域を標的としたサイバー脅威に関する知見を提供する。
・Developing regional capacity and capabilities to combat cybercrime – collaborative platforms such as the Cybercrime Collaborative Platform and Cyber Fusion Platform allow for secure communications and exchange of data on operations;	・サイバー犯罪対策のための地域能力構築 – サイバー犯罪共同プラットフォームやサイバーフュージョン・プラットフォームといった協働プラットフォームは、作戦に関する安全なコミュニケーションとデータ交換を可能にする。
・Joint Operational Framework – this addresses cybercrime threats through collaboration between law-enforcement agencies, private sector and other international/intergovernmental organizations;	・共同作戦枠組み – これは法執行機関、民間セクター、その他の国際機関・政府間組織間の連携を通じてサイバー脅威に対処するものである。
・Operational support and coordination – our operations help dismantle the criminal networks behind cybercrime;	・作戦支援と調整 – 当社の作戦はサイバー犯罪の背後に潜む犯罪ネットワークの解体に貢献する。
・Awareness-raising campaigns – promoting good cyber practices for individuals and businesses in Africa.	・啓発キャンペーン – アフリカの個人や企業に対し、適切なサイバー慣行を促進する。
Our African Cybercrime Operations Desk is responsible for implementing AFJOC. It works in close partnership with key regional stakeholders, in particular the African Union and AFRIPOL, law enforcement communities and the private sector.	アフリカサイバー犯罪対策デスクはAFJOCの実施を担当する。主要な地域関係者、特にアフリカ連合（AU）とアフリカ警察機構（AFRIPOL）、法執行機関、民間セクターと緊密に連携して活動する。
Project updates	プロジェクト更新情報
May-24	2024年5月
African Cyberthreat Assessment Report – 2024	アフリカサイバー脅威アセスメント報告書 – 2024年
The third edition of this report by INTERPOL provides a comprehensive analysis of the prominent cyber threats impacting the African continent, drawing upon internal intelligence, operational insights, surveys, and contributions from private sector partners. Key findings highlight a continent-wide surge in cybercrime, with ransomware, business email compromise, and online scams emerging as rapidly expanding threats in 2023. The report underscores the critical nature of ransomware attacks targeting essential infrastructure and the prevalence of online scams affecting individuals and companies with significant financial implications. Moreover, it details the evolving tactics of threat actors, including the exploitation of social media and advanced social engineering techniques. While African countries have made strides in legislative development and enhancing law enforcement capabilities, the report identifies challenges to achieving a comprehensive approach to countering cybercrime. The report concludes with strategic recommendations from INTERPOL, emphasizing the importance of unified cybersecurity measures, investment in law enforcement capacities, public awareness, and international cooperation to strengthen cybersecurity across the continent.	国際刑事警察機構（INTERPOL）による本報告書の第3版は、内部情報、運用上の知見、調査、民間セクターパートナーからの貢献を基に、アフリカ大陸に影響を与える顕著なサイバー脅威を包括的に分析している。主な調査結果では、大陸全体でサイバー犯罪が急増しており、2023年にはランサムウェア、ビジネスメール詐欺、オンライン詐欺が急速に拡大する脅威として浮上していることが強調されている。本報告書は、重要インフラを標的とするランサムウェア攻撃の重大性と、個人や企業に深刻な経済的影響をもたらすオンライン詐欺の蔓延を強調している。さらに、ソーシャルメディアの悪用や高度なソーシャルエンジニアリング技術など、脅威アクターの進化する戦術を詳述している。アフリカ諸国は立法整備や法執行能力の強化で進展を見せているものの、サイバー犯罪対策の包括的アプローチ実現に向けた課題も識別されている。報告書は、大陸全体のサイバーセキュリティ強化に向け、統一された対策の重要性、法執行能力への投資、国民啓発、国際協力の必要性を強調するインターポールの戦略的提言をもって締めくくられている。

● まるちゃんの情報セキュリティ気まぐれ日記

・2021.11.12 Interpol 最近のサイバー関係の発表（７つ）

・2021.05.17 Interpol 英国の資金でアフリカのサイバー犯罪と戦うためのイニシアティブを始めた

2025.08.30 00:00 in 情報セキュリティ / サイバーセキュリティ, in 法律 / 犯罪 | Permalink | Comments (0)
Tweet

2025.08.29

英国 ICO 意見募集データ保護に関する苦情処理方法の変更案 (2025.08.22)

こんにちは、丸山満彦です。

英国のデータ保護局がデータ保護に関する苦情が大幅に増えていることから、苦情処理をより効率的に実施するための苦情処理方法の変更案についての意見募集をしていますね...

苦情の件数

・2023/24年には39,721件

・2024/25年には42,881件（８％増）

・2025/26年予想45,000件から55,000件

ということで、このままでは現在のプロセスがパンクするということですね。

あらゆる苦情を検討し、適切に対応し、得られた知見をデータ保護慣行の改善に役立てるという考え方のもと、

・すべての苦情が組織の情報権利慣行の理解に貢献することを保証する

・最も重大なリスクにリソースを集中させることを可能にする

・体系的な問題を早期に特定する能力も強化される

ということのようです。

日本の個人情報保護委員会でも参考になるかもしれませんね。。。ところで、日本の個人情報保護委員会を含めて日本での苦情総件数はどのくらいなのでしょうかね...

● U.K. Information Communication's Office

・2025.08.22 ICO consultation on draft changes to how we handle data protection complaints

ICO consultation on draft changes to how we handle data protection complaints	情報コミッショナー事務局（ICO）によるデータ保護苦情処理方法の変更案に関するドラフト意見募集
Introduction	序論
The Information Commissioner’s Office (ICO) is consulting on draft changes to how we handle data protection complaints. It sets out our proposed framework to assess and determine the extent to which it is appropriate to investigate each complaint. This will allow us to focus on cases where we can have the most impact and improve data protection compliance.	情報コミッショナー事務局（ICO）は、データ保護苦情の処理方法に関するドラフト変更案について意見募集を行っている。本案は、各苦情を調査する適切性の程度をアセスメント・判断するための枠組みを提案するものである。これにより、最も効果的な対応が可能でデータ保護コンプライアンスの向上に寄与する事案に注力できるようになる。
People have a statutory right to lodge a data protection complaint with the ICO if they think there has been an infringement of their data protection rights under the UK GDPR.	英国GDPRに基づくデータ保護権利が侵害されたと考える場合、個人はICOにデータ保護苦情を申し立てる法的権利を有する。
In recent years we have seen a significant increase in data protection complaints. In 2023/24, we received 39,721 complaints. In 2024/25 this rose to 42,881 and current forecasts indicate that this could increase to somewhere between 45,000 and 55,000 if the current trend continues.	近年、データ保護苦情は大幅に増加している。2023/24年度には39,721件の苦情を受理した。2024/25年度には42,881件に増加し、現在の傾向が続けば45,000件から55,000件に増加する可能性があるとの予測が出ている。
The ever-increasing demand for our services is impacting our ability to respond quickly and effectively. We want to consider new ways of handling data protection complaints.	当機関へのサービス需要の急増は、迅速かつ効果的な対応能力に影響を与えている。データ保護苦情の新たな処理方法を検討する必要がある。
The Data (Use and Access) Act (DUAA) places new requirements on organisations to have a complaints process specifically for data protection related issues. Once the provision comes into force, we would expect that more complaints will be resolved by organisations without the involvement of the ICO.	データ（利用とアクセス）法（DUAA）は、組織に対しデータ保護関連問題専用の苦情処理プロセスを設ける新たな義務を課す。この規定が発効すれば、ICOを介さず組織内で解決される苦情が増えると予想される。
If people do bring their complaint to the ICO, we want to provide the most effective service given the finite resources we have. That means looking at our own approach to handling complaints.	万が一ICOに苦情が持ち込まれた場合、限られた資源の中で最も効果的なサービスを提供したい。そのためには苦情処理の取り組み自体を見直す必要がある。
We are proposing changes to our processes to better support people who have experienced harm and focus our resources on those cases where we can have the biggest impact. Organisations will also benefit from reduced routine engagement on lower-risk cases, enabling them to focus on the most significant concerns. Our goal is not just to manage demand, but to raise standards around customer experience and regulatory effectiveness.	我々は、被害を受けた人々をより良く支援し、最大の効果を発揮できる事例に資源を集中させるため、手続きの変更を提案している。組織側も、リスクの低い事例に関する日常的な関与が減ることで、最も重要な懸念事項に集中できるようになる。我々の目標は単に需要を管理することではなく、顧客体験と規制効果の標準を高めることにある。
We have developed a draft framework that we propose to use to determine the extent to which it is appropriate to investigate each complaint. We are also proposing new reporting mechanisms to enable us to monitor complaint volumes across specific organisations and sectors. This will allow us to identify trends or themes which may benefit from other types of regulatory action.	我々は、各苦情の調査の適否を判断するためのドラフト枠組みを策定した。また、特定の組織や分野における苦情件数を監視するための新たな報告メカニズムも提案している。これにより、他の種類の規制措置が有効となる可能性のある傾向やテーマを識別できるようになる。
The approach outlined in this consultation would ensure that every complaint contributes towards our understanding of an organisation’s information rights practices, while allowing us to focus our resources on the most significant risks. It also strengthens our ability to identify systemic issues earlier.	本協議で提示するアプローチは、全ての苦情が組織の情報権利実践の理解に寄与すると同時に、我々が最も重大なリスクに資源を集中させることを可能にする。また、体系的な問題を早期に識別する能力も強化する。
It reflects our ambition to be a strategic regulator – one that considers every complaint, responds proportionately and uses the insight gained to drive improvements in data protection practices.	これは戦略的規制機関となる我々の志を反映している。すなわち、全ての苦情を検討し、比例した対応を行い、得られた知見を活用してデータ保護実践の改善を推進する機関である。
We need to do things differently and transforming our processes will enable us to target our resources to support people’s information rights in a way that has a positive impact and addresses the areas that cause the greatest harm.	我々は従来とは異なる手法を必要としており、プロセス変革により、人々の情報権利を支援する資源を、最も大きな害をもたらす領域に対処し、積極的な影響を与える形で集中させることが可能となる。
Please respond to the ideas in our consultation to help shape the process. You can respond to the consultation via our survey on Citizen Space.	本協議の構想に対するご意見をいただき、プロセス形成にご協力いただきたい。Citizen Space上の調査を通じて協議に対応可能である。
The questions are split into the following sections:	質問は以下のセクションに分かれている：
Section 1: About you.	セクション1：あなたについて
Section 2: Your views on our approach.	セクション2：当機関のアプローチに対する見解
Section 3: Questions to assess the impact of our proposed approach.	セクション3：提案アプローチの影響評価に関する質問
Section 4: Any additional comments about the framework.	セクション4：枠組みに関する追加コメント
The consultation will remain open until 23:59 on Friday 31 October 2025. We may not consider responses received after this deadline.	本協議は2025年10月31日（金）23時59分まで実施する。締切後の回答は考慮しない場合がある。

・[PDF] Consultation document with proposed changes

・[PDF] Proposed framework

・[PDF] Scale of harm

・Data protection complaint handling approach – draft impact assessment

・・[PDF] Data protection complaint handling approach – Draft Impact Assessment

・[PDF] Equality Impact Assessment (Eqia) For Data Protection Transformation consultation

・[PDF] Proposed framework

Proposed data protection complaint handling framework	提案されるデータ保護苦情処理枠組み
How we handle data protection complaints	データ保護苦情の処理方法
Data protection law requires us to investigate a data protection complaint to the extent we consider appropriate and to inform the complainant of the outcome. We assess each complaint individually and decide how far we’ll investigate it using the criteria below. Handling cases proportionately allows us to allocate our resources effectively, ensuring that we focus on the most significant issues and provide timely outcomes.	データ保護法は、我々が適切と判断する範囲でデータ保護苦情を調査し、結果を苦情申立者に通知することを義務付けている。我々は各苦情を個別にアセスメントし、以下の規準を用いて調査範囲を決定する。ケースを比例的に処理することで、資源を効果的に配分し、最も重要な問題に焦点を当て、タイムリーな結果を提供できる。
We ask complainants for the information we need to do this on our complaint form, including any details they may wish to share of any harm they may experience because of the data protection issue.	苦情申立者には、苦情申立書で必要な情報を提供するよう求めている。これには、データ保護問題により被った可能性のある被害の詳細も含まれる。
Checking whether we can handle a complaint	苦情の受理可否の確認
We check whether we can handle a complaint. As we are the independent regulator for data protection law, we don’t handle complaints which:	当機構は苦情の受理可否を確認する。データ保護法の独立規制機関として、以下の苦情は取り扱わない：
• aren’t about data protection issues;	• データ保護問題に該当しないもの
• are solely about an organisation’s customer service; or	• 組織の顧客サービスのみに関するもの
• should have gone to another organisation or regulator for them to deal with.	• 他組織または規制機関が対応すべきもの
We let the complainant know promptly if we can’t handle their complaint.	苦情を受理できない場合は、速やかに申立人に通知する。
Determining the extent to which we will investigate a complaint	苦情調査の範囲決定
We look into each complaint carefully and use the criteria below to decide whether we can provide an outcome at this stage. If we need to investigate further before providing an outcome, we will allocate the complaint to a case officer.	各苦情を慎重に検討し、以下の規準に基づき現段階で結論を出せるか判断する。結論を出す前に追加調査が必要な場合、担当官に案件を割り当てる。
Criteria	規準
Criteria which may increase the need to investigate further	追加調査の必要性を高める可能性のある規準
• Has the data protection issue caused, or is it likely to cause, a high level of harm to anyone?	• データ保護問題が誰かに重大な危害をもたらしたか、またはその可能性があるか？
• Has the data protection issue significantly affected, or is it likely to affect, people, including those who are currently in a vulnerable situation?	• データ保護上の問題が、現在脆弱な状況にある人々を含む多くの人々に重大な影響を与えているか、または与える可能性があるか？
• Has the data protection issue significantly affected a substantial number of people or is it likely to?	• データ保護上の問題が、相当数の人々に重大な影響を与えているか、または与える可能性があるか？
• Will investigating the data protection complaint further help us to significantly improve the way the organisation uses personal information or enhance data protection rights?	• データ保護苦情を調査することで、組織の個人情報利用方法やデータ保護権利を大幅に改善できるか？
• Does the data protection issue relate to our strategic priorities?	• データ保護上の問題が、我々の戦略的優先事項に関連するか？
• Is it in the public interest for us to make enquiries? For example, does it raise a new or high-profile data protection issue?	• 調査を行うことが公共の利益になるか？例えば、新たなまたは注目度の高いデータ保護問題を提起するか？
Criteria which may reduce the need to investigate further	調査の必要性を減らす可能性のある規準
• Are we already aware of the data protection issue?	• 当該データ保護問題を既に把握しているか？
• Is the organisation currently taking steps to respond to the complaint? Do those steps seem adequate?	• 組織は現在、苦情に対応する措置を講じているか？それらの措置は適切と思われるか？
• Do we think the organisation has complied with data protection law?	• 組織がデータ保護法に準拠していると考えるか？
• Has the organisation already addressed the data protection issue and taken appropriate action?	• 組織は既にデータ保護問題に対処し、適切な措置を講じているか？
This list is not exhaustive. We will keep the criteria under review.	このリストは網羅的なものではない。我々は規準を継続的に見直す。
What happens if we don’t need to investigate a complaint further	苦情をさらに調査する必要がない場合の対応
We may conclude we don’t need to make further enquiries or contact the organisation when we assess a complaint. We may instead record the complaint for information purposes. Some examples of where we’re likely to record complaints for information purposes are:	苦情を評価した結果、追加調査や組織への連絡が不要と判断する場合がある。その代わりに情報目的で苦情を記録することがある。情報目的で苦情を記録する可能性が高い事例は以下の通りである：
• we’re already aware of the issue and there isn’t a significant adverse impact on the complainant or others;	• 当該問題について既に認識しており、申立人や他者への重大な悪影響がない場合；
• the organisation is currently taking steps to respond to the complaint and hasn’t yet told the complainant of the outcome;	• 組織が現在苦情対応を進めており、結果を申立人に通知していない場合；
• we think the organisation has complied with data protection law; and	• 組織がデータ保護法を遵守していると判断した場合；および
• the organisation has already addressed the data protection issue and taken appropriate action.	• 組織が既にデータ保護問題に対処し適切な措置を講じている場合。
We will monitor complaints which are recorded for information purposes to identify trends. We will use this information to help us assist organisations with the way they use personal information or to help determine our strategic priorities.	情報提供目的で記録された苦情は、傾向を識別するため監視する。この情報は、組織の個人情報利用方法の改善支援や、我々の戦略的優先事項の決定に活用する。

・[PDF] Scale of harm

Proposed data protection harms scale	提案されるデータ保護上の危害の尺度
Data protection harms	データ保護上の危害
These are harms caused by the way an organisation uses personal information if they don’t comply with data protection law.	これは、組織がデータ保護法に準拠しない方法で個人情報を利用することにより生じる危害である。
Case officers will use the information provided in the complaint to understand the impact on people when considering the level of any harm.	担当官は、危害の程度を検討する際、苦情で提供された情報に基づき、人々に与える影響を理解する。
We understand that the same data protection issue may have different impacts on different people, particularly when the harm is intangible, such as causing someone distress or anxiety. We recognise that harm can vary because of individual circumstances, such as whether someone is currently in a vulnerable situation or has a pre-existing illness.	同じデータ保護問題でも、特に精神的苦痛や不安といった無形の損害の場合、個人によって影響が異なることを認識している。脆弱性にあるか、既存の疾患があるかといった個人の状況によって損害の程度が変化することも理解している。
We assess data protection harm as low or relatively low, moderate or high-level impact.	データ保護上の損害は、低レベルまたは比較的低レベル、中程度、高レベルのインパクトとしてアセスメントする。
Low or relatively low level of harm	低または比較的低いレベルの危害
We consider the data protection harm the person affected experiences is of low or relatively low impact – such as being annoyed, frustrated, worried, inconvenienced or mildly distressed. This is usually when:	影響を受けた者が経験するデータ保護上の危害は、低または比較的低い影響度とみなす。具体的には、不快感、苛立ち、不安、不便、軽度の苦痛などが該当する。これは通常、以下の条件が揃う場合である：
• something happens once;	• 事象が一度限りで発生した場合
• the effect lasts a short time; and	• 影響が短期間で終了した場合
• there are no other adverse effects or ongoing wider impact.	• その他の悪影響や継続的な広範な影響が存在しない場合
Example	例
Someone receives a promotional email from a retailer. They have previously unsubscribed from emails and are mildly annoyed that they have received another.	小売業者からプロモーションメールが届いた。以前メール配信を停止していたため、再度受信したことに多少の苛立ちを感じた。
This could also include instances where the impact is more serious but only takes place once or is of short duration.	影響がより深刻でも、一度限りまたは短期間に留まる事例も含まれる。
Example	例
An organisation circulates a staff rota including a note about an employee’s recent mental health absence to a small team. They quickly replaced the document but the employee felt exposed and embarrassed.	組織が小規模チームに、従業員の最近のメンタルヘルス関連の欠勤に関する注記を含む勤務表を回覧した。文書はすぐに差し替えられたが、当該従業員は暴露されたような感覚と恥ずかしさを感じた。
Moderate level of harm	中レベルの危害
The impact is greater than low or relatively low harm and is usually experienced over a longer period.	影響は低レベルまたは比較的低い危害よりも大きく、通常はより長い期間にわたって経験される。
Harm may also be moderate if the impact on the person affected is substantial but is only sustained for a short time and it is unlikely to continue or happen again.	影響を受けた個人への影響が相当程度あるが、短期間しか持続せず、継続または再発の可能性が低い場合も、危害は中程度とみなされることがある。
Example	例
A small company inappropriately shares an internal email discussing underperformance of named junior staff with a wider distribution list. The affected employees are embarrassed and one raises a grievance.	ある小規模企業が、名指しされた若手社員の業績不振について議論した社内メールを、不適切に広範な配布リストで共有した。影響を受けた従業員は恥ずかしい思いをし、そのうちの一人が苦情を申し立てた。
Example	例
An organisation held incorrect information about someone’s criminal history on file and disclosed it during a job vetting process. They corrected it within a month, but the employee experienced significant stress and was concerned about their reputation.	ある組織が、ある人物の犯罪歴に関する誤った情報を記録に残し、採用審査の過程でそれを開示した。1か月以内に訂正したが、従業員は大きなストレスを感じ、自身の評判を懸念した。
High level of harm	高いレベルの危害
The person affected experiences a significant or lasting impact, or both, because the organisation did not comply with data protection law.	組織がデータ保護法に準拠しなかったため、影響を受けた人物は重大な影響、あるいは持続的な影響、あるいはその両方を経験する。
In these cases the impact goes beyond ordinary distress or anxiety, even where it lasts for an extended period.	こうしたケースでは、影響は通常の苦痛や不安を超え、長期に及ぶ場合もある。
A high level of harm will include the most serious cases we see where the effect of the data protection issue cannot be reversed and it causes a very substantial, ongoing impact on the person affected.	重大な被害には、データ保護問題の影響が取り返しのつかないものであり、影響を受けた者に非常に重大かつ継続的な影響をもたらす、我々が目にする最も深刻な事例が含まれる。
Example	例
A school sends an email to all parents but attaches the wrong document. They send information containing special category data about a child, including medical information. The child’s family is concerned that the school shared information about their child’s medical record with all parents.	学校が全保護者宛てにメールを送信したが、誤った文書を添付した。児童に関する特別カテゴリーデータ（医療情報を含む）を含む情報を送信した。児童の家族は、学校が子供の医療記録に関する情報を全保護者と共有したことを懸念している。
Example	例
A charity mistakenly sends a letter intended for a domestic abuse survivor to their previous address, which is still occupied by their abusive expartner. The letter contains details of the survivor’s new address. The survivor is forced to move again and requires additional police protection.	慈善団体が、家庭内暴力被害者宛ての手紙を誤って以前の住所に送付した。その住所には依然として虐待的な元パートナーが居住していた。手紙には被害者の新しい住所の詳細が含まれていた。被害者は再び引っ越すことを余儀なくされ、追加の警察保護を必要とした。

2025.08.29 00:00 in 個人情報保護 / プライバシー, in 法律 / 犯罪 | Permalink | Comments (0)
Tweet

2025.08.28

欧州 2024年 NIS 指令関連インシデント年次報告書 (2024.08)

こんにちは、丸山満彦です。

2024年NIS指令関連インシデント年次報告書が公表されていますね...

インシデント報告数は18％増加し、1276件となっている。
多くのインシデントは、保健、交通、エネルギーセクターである。
インシデントの過半数（51％）の根本原因はシステム障害（この数年この傾向は変わらない）
医療セクターのインシデントが多い（この数年この傾向はかわらない）
サービス停止はDDoS攻撃等によるものが多かった。

● EU

・2025.08 [PDF] Annual report NIS Directive incidents 2024

・[DOCX][PDF] 仮訳

目次...

Executive summary	エグゼクティブサマリー
1. Introduction	1. 序論
1.1. Methodology	1.1. 方法論
1.2. Structure of this document	1.2. 本文書の構成
2. Examples of reported incidents with very large impact	2. 非常に大きな影響を与えた報告されたインシデント
2.1. Root cause: malicious actions	2.1. 根本原因：悪意のある行為
2.2. Root cause: system failures	2.2. 根本原因：システム障害
2.3. Root cause: Human error	2.3. 根本原因：人的ミス
3. Overview of reported incidents	3. 報告されたインシデントの概要
3.1. General overview	3.1. 概要
3.2. Incidents per sector	3.2. セクター別インシデント数
3.3. Root cause categories	3.3. 根本原因のカテゴリー
3.4. Comparison of 2024 with 2023, 2022 and 2021	3.4. 2024年と2023年、2022年、2021年の比較
4. Sectorial information	4. セクター別情報
4.1. Detailed technical causes	4.1. 詳細な技術的要因
4.2. Technical assets affected	4.2. 影響を受けた技術資産
4.3. Detailed overview of incidents with outages caused	4.3. 障害を引き起こしたインシデントの詳細な概要
5. Detailed overview of the sectorial data	5. セクター別データの詳細な概要
5.1. Health sector	5.1. 医療セクター
5.2. Energy sector	5.2. エネルギーセクター
5.3. Transport sector	5.3. 交通セクター
5.4. Digital infrastructure sector	5.4. デジタルインフラセクター
5.5. Banking sector	5.5. 金融セクター
5.6. Government services sector	5.6. 政府サービスセクター
5.7. Drinking water supply and distribution sector	5.7. 飲料水供給・配水セクター
6. Multiannual trends	6. 多年度動向
6.1. Summary	6.1. 概要
6.2. Root cause multiannual trends	6.2. 根本原因の複数年度にわたる動向
6.3. Service impact multiannual trends	6.3. サービスへの影響の複数年動向
6.4. Severity of impact of incidents - multiannual trends	6.4. インシデントの影響の深刻度 - 多年度動向
7. Key takeaways	7. 重要なポイント

エグゼクティブサマリー...

Executive summary	エグゼクティブサマリー
Under the NIS Directive (NISD)[1], operators of essential services in critical sectors (Article 14), as well as digital service providers (Article 16), have to report cybersecurity incidents to their designated national authorities. This process of mandatory cybersecurity incident reporting is an important enabler for supervision and policy-making, both at national and at EU level.	NIS 指令（NISD）[1] に基づき、重要セクターの重要なサービス事業者（第 14 条）およびデジタルサービスプロバイダー（第 16 条）は、サイバーセキュリティインシデントを指定の国内当局に報告する義務がある。このサイバーセキュリティインシデントの報告義務は、国内および EU レベルでの監督と政策立案のための重要な要素となっている。
Member States send annual summaries about the national incident reporting to the NIS Cooperation Group (NIS CG). This document provides an aggregated overview of the annual summary for the incidents that were reported in 2024.	加盟国は、国のインシデント報告に関する年次要約を NIS 協力グループ（NIS CG）に提出する。本文書は、2024 年に報告されたインシデントに関する年次要約の集計概要を記載したものだ。
The figure below shows the incident reports submitted per sector, comparing 2021, 2022, 2023 and 2024.	以下の図は、2021 年、2022 年、2023 年、2024 年に提出されたインシデント報告をセクターごとに比較したものである。

Member States set the national criteria and thresholds for reporting cybersecurity incidents affecting operators of essential services. These criteria may be different for each country and often depend on the sector.	加盟国は、重要サービス事業者に影響を与えるサイバーセキュリティインシデントの報告に関する国内規準および閾値を設定する。これらの規準は各国によって異なり、多くの場合、セクターによって異なる。
The NIS Cooperation Group’s Work Stream on Incident Reporting works on the formats and procedures for this process and aggregates this information in an annual report.	NIS 協力グループのインシデント報告に関する作業部会は、このプロセスの形式と手順について検討し、その情報を年次報告書にまとめている。
The key takeaways regarding the incidents reported for the year 2024 are as follows:	2024 年に報告されたインシデントに関する主なポイントは次のとおりだ。
• The number of reported incidents has increased by 18 % compared to previous year. In this round, covering the year 2024, summary information about 1276[2] cybersecurity incidents was submitted, compared to 1077 for the previous year.	• 報告されたインシデントの数は、前年と比較して 18% 増加した。2024 年を対象とする今回の報告では、1276 件の[2] サイバーセキュリティインシデントに関する概要情報が提出された。
• Most incident reports in 2024 regard the health, energy and transport sectors, accounting for 50% of the total number of reports. The health sector had the most incident reports in 2020, 2021, 2022, 2023 as well.	• 2024年のインシデント報告の大部分は、医療、エネルギー、輸送セクターに関するもので、報告総数の50％を占めている。医療セクターは、2020年、2021年、2022年、2023年においても最も多くのインシデント報告がありました。
• System failures are the most frequent root cause (51%) of reported incidents. The detailed causes for these incidents are most often software bugs, faulty software changes/updates and hardware failures, similar to 2020, 2021, 2022 and 2023.	• 報告されたインシデントの最も一般的な根本原因はシステム障害（51%）である。これらのインシデントの詳細な原因は、ソフトウェアのバグ、ソフトウェアの変更/更新の不備、ハードウェアの故障が最も多く、2020年、2021年、2022年、2023年と類似している。
• Incidents with cross-border impact. There were only 2 incident reports with possible cross-border impact submitted through CIRAS.	• 国境を越える影響を及ぼすインシデント。CIRASを通じて提出された国境を越える影響を及ぼす可能性のあるインシデントの報告は2件のみだった。
• The detailed technical causes for a 12% of incidents were defined as 'other', which is the similar level as 2023.	• インシデントの12％の具体的な技術的原因は「その他」と定義され、これは2023年と同水準である。
• Malicious actions (in particular DDoS attacks) caused the most outages and the respective lost hours. System failures was the second cause of incidents and the respective outages and lost hours.	• 悪意のある行動（特にDDoS攻撃）が最も多くのサービス停止とそれに伴う損失時間を引き起こした。システム障害が2番目のインシデント原因であり、それに伴うサービス停止と損失時間も多かった。
Some caveats which should be considered in the contextual and quantitative analysis of the reported incidents and give grounds to further improvement of the process in the future:	• 報告されたインシデントの文脈的・定量的な分析において考慮すべき注意点と、今後のプロセス改善の根拠となる点：
• Incidents are categorised in 4 broad root cause categories and too often the generic category “Other” is being used for reporting. Lack of information makes analysis of information and extrapolation of trends and patterns challenging and skewed.	• インシデントは4つの広範な根本原因カテゴリーに分類されており、報告において「その他」という一般的なカテゴリーが頻繁に使用されている。情報の不足は、情報の分析や傾向・パターンの抽出を困難にし、偏りを生じさせる。
• Cross-border incident reporting remains challenging – This should be further considered in the NIS CG Work Stream on incident reporting.	• 国境を越えたインシデント報告は依然として課題となっている – これは、NIS CGのインシデント報告に関する作業ストリームでさらに検討すべきだ。
Cybersecurity incident reporting under the NIS Directive is finalizing with year 2024^[3]. 2025 will be covered by NIS2 Directive (NIS2)^[4] and incident reporting process is continuously improving and maturing. In 2025 Member States will submit summary of incidents on quarterly basis and ENISA will prepare reports to CSIRTs network and NIS CG every six months. In terms of processes, there are still more synergies to be explored with reporting in other sectors, under other pieces of legislation, such as DORA^[5], the Network Code on Cybersecurity (NCCS)^[6] and the CER Directive^[7].	NIS指令に基づくサイバーセキュリティインシデント報告は2024年に最終化される予定だ。^[3] 。2025年以降はNIS2指令（NIS2）^[4] が適用され、インシデント報告プロセスは継続的に改善・成熟化が進む。2025年には加盟国が四半期ごとにインシデントの要約を提出し、ENISAがCSIRTネットワークおよびNIS CG向けに報告書を6ヶ月ごとに作成する。プロセス面では、他のセクターにおける報告や、他の法令（DORA^[5] 、ネットワークサイバーセキュリティコード（NCCS）^[6] 、CER指令^[7] など）との連携可能性がさらに探求される必要がある。
1]https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32016L1148&qid=1697127825732
[2] The reported incidents are for 24 Member States compared to 26 for year 2023.	[2]報告されたインシデントは、2023年の26件に対し、24の加盟国で発生している。
[3] Report indeed covers the entire calendar year 2024 (even though NIS2 Directive transposition deadline was 17 October 2024)	[3]報告書は、NIS2指令の移行期限が2024年10月17日であったにもかかわらず、2024年暦年全体をカバーしている。
^[4] EUR-Lex - 32022L2555 - EN - EUR-Lex (europa.eu)	^[4]EUR-Lex - 32022L2555 - EN - EUR-Lex (europa.eu)
^[5] EUR-Lex - 52020PC0595 - EN - EUR-Lex (europa.eu)	^[5]EUR-Lex - 52020PC0595 - EN - EUR-Lex (europa.eu)
^[6] Delegated regulation - EU - 2024/1366 - EN - EUR-Lex	^[6]委任規則 - EU - 2024/1366 - EN - EUR-Lex
^[7] Directive - 2022/2557 - EN - CER - EUR-Lex	^[7]指令 - 2022/2557 - EN - CER - EUR-Lex

重要なポイント...

7. Key takeaways	7. 重要なポイント
The key takeaways regarding the incidents reported for the year 2024 are as follows:	2024年に報告されたインシデントに関する主なポイントは次のとおりだ。
• The number of reported incidents has increased in total. In this round, covering the year 2024, Member States submitted 1276 cybersecurity incident reports, compared to 1077 for the previous year.	• 報告されたインシデントの総数は増加した。2024年を対象とする今回の報告では、加盟国から1,276件のサイバーセキュリティインシデント報告が提出されたのに対し、前年度は1,077件だった。
• Number of Member States reporting incidents has decreased most likely due to shorter timeline and preparations for NIS2 in 2024 reports from 3 Member States are missing compared to 1 missing in 2023.	• 報告を行った加盟国の数は減少した。これは、報告期間の短縮とNIS2への対応準備のためと考えられる。2024年の報告では、3つの加盟国からの報告が欠落しているのに対し、2023年は1つの欠落だった。
• Most incident reports regard the health, transport and energy sectors – by comparison ENISA Threat landscape of 2024 shows among most targeted public administration, transport and finance sectors.	• ほとんどのインシデント報告は、医療、交通、エネルギーセクターに関するものである。これに対し、ENISAの2024年脅威動向では、最も標的とされたセクターとして公共行政、交通、金融セクターが挙げられている。
• System failures are the still most frequent root cause of reported incidents. The root cause for the majority of the incidents (51%) is defined as system failure.	• システム障害は、報告されたインシデントの最も一般的な根本原因である。インシデントの過半数（51％）の根本原因はシステム障害と定義されている。
• Incidents with cross-border impact. There were 2 incident reports with possible cross-border impact. Due to the limited information reported through CIRAS for the incidents with potential cross-border impact, it is not possible to do any relevant assessments.	• 国境を越える影響を有するインシデント。国境を越える影響が可能なインシデントに関する報告は2件あった。CIRASを通じて報告された国境を越える影響が可能なインシデントに関する情報が限られているため、関連するアセスメントを行うことはできない。
• The health sector is the most affected for the fifth year in a row (2020-2024).	• 医療分野は、5年連続で最も影響を受けた分野となっている（2020年～2024年）。
• The detailed technical causes for a 12% of incidents were defined as 'other', which could be attributed to limitations of the current taxonomy and definitions. The majority of the incidents with 'other' impact are in the health, drinking water supply and distribution, and energy sectors.	• インシデントの12％の詳しい技術的原因は「その他」と定義されており、これは現在の分類体系と定義の限界に起因する可能性がある。影響が「その他」と分類されたインシデントの大部分は、医療、飲料水供給・配水、エネルギーセクターに集中している。
• Similarly, more detailed information about technical causes is not reported or not know for more than 2 thirds of the incidents.	• 同様に、インシデントの3分の2以上について、技術的な原因に関する詳細な情報は報告されていないか、または不明である。
• DDoS attacks were the leading cause for incidents which is consistent with observations of ENISA Threat Landscape 2024, and caused the most outages and the respective lost hours.	• DDoS攻撃がインシデントの主な原因であり、これはENISA脅威動向2024の観察結果と一致しており、最も多くのサービス中断とそれに伴う損失時間を引き起こした。

2025.08.28 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in 安全保障 | Permalink | Comments (0)
Tweet

2025.08.27

マイクロソフト量子安全セキュリティ：次世代暗号への進展 (2025.08.20)

こんにちは、丸山満彦です。

耐量子計算機暗号への移行について、米国、英国、欧州は概ね重要インフラ分野については2030年くらい、全体としては2035年くらいを目途としているような感じですよね...

日本はまだ確定はしていないように思いますが、概ね米国、英国、欧州と同じスケジュールがでてくるでしょうかね。金融庁の昨年の報告書は、2030年代半ばを目安に耐量子計算機暗号を利用できる状況にすることにするとは書いていますが...

重要インフラの移行計画を実現するためには、実装するものがないとですよね...なので、ベンダーの対応計画が重要となりますよね...

● Microsoft - Security - blog

・2025.08.20 Quantum-safe security: Progress towards next-generation cryptography

マイクロソフトの検討全体像...

マイクロソフトの戦略とタイムライン...

耐量子暗号関係...

● まるちゃんの情報セキュリティ気まぐれ日記

日本...

・2025.04.08 日本銀行金融高度化センター設立20周年記念ワークショップ「デジタル化とわが国の金融の未来」 (2025.02.13)

株式会社みずほフィナンシャルグループグループ執行役員（CISO）の寺井さんが、「耐量子計算機暗号（PQC）と金融機関の対応について」を発表しています...

・2025.04.03 CRYPTREC 暗号技術ガイドライン（耐量子計算機暗号）2024年度版、耐量子計算機暗号の研究動向調査報告書 (2025.04.02)

・2024.11.30 金融庁預金取扱金融機関の耐量子計算機暗号への対応に関する検討会報告書 (2024.11.26)

・2024.10.25 政府認証基盤 (GPKI) 政府認証基盤相互運用性仕様書（移行期間編）と移行完了編） (2024.10.11)

・2024.09.16 金融庁「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会」（第１回）議事要旨（会議は2024.07.18）

・2023.09.29 日本銀行金融研究所量子コンピュータが暗号に及ぼす影響にどう対処するか：海外における取組み

米国　NIST他

・2025.05.26 米国耐量子暗号連合 (PQCC) 耐量子暗号への移行についてのロードマップ (2025.05.16)

・2025.03.14 米国 NIST 第5の耐量子暗号化のアルゴリズムとしてHQCを選択 (2025.03.11)

・2025.03.14 米国 NIST IR 8545 NISTの耐量子暗号標準化プロセスの第4ラウンドに関する現状報告書

・2025.03.11 米国 NIST CSWP 39（初期公開ドラフト）暗号化の機敏性を実現するための考慮事項：戦略と実践

・2025.01.10 米国 NIST SP 800-227（初期公開ドラフト）キーカプセル化メカニズムに関する推奨事項

・2024.11.16 米国 NIST IR 8547（初期公開ドラフト）耐量子暗号標準への移行について

・2024.11.03 米国 NIST IR 8528 耐量子暗号標準化プロセスにおける追加デジタル署名スキームの第一ラウンドに関する状況報告書

・2024.08.14 米国 NIST 耐量子暗号化標準の最初の3つ (FIPS 203, 204, 205) を確定

・2023.12.22 NIST SP 1800-38（初期ドラフト）耐量子暗号への移行：量子安全暗号の実装と採用を検討するための準備

・2023.08.22 米国 CISA NSA NIST 量子対応：耐量子暗号への移行

・2022.10.02 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告（参考文献の追加）

・2022.07.07 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告

英国

・2025.03.21 英国 NSCS 耐量子暗号への移行スケジュールを発表 (2025.03.20)

ENISA

・2022.10.21 ENISA ポスト量子暗号 - 統合研究

2025.08.27 00:00 in 情報セキュリティ / サイバーセキュリティ, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in 暗号 / 電子署名 / ブロックチェーン, in 量子技術, in 安全保障 | Permalink | Comments (0)
Tweet

2025.08.26

中国国家発展改革委員会、市場監督管理総局、国家サイバースペース管理局パブコメ『インターネットプラットフォーム価格行為規則（意見募集案）』(2025.08.23)

こんにちは、丸山満彦です。

中国の国家発展改革委員会、市場監督管理総局、中国国家サイバースペース管理局が共同で、インターネットプラットフォーム価格行為規則案について意見募集をしていますね...

第一条によると、

インターネットプラットフォームの常態的な価格監督管理体制を整備し、関連する価格行為を規範化し、消費者と事業者の合法的な権利と利益を保護し、プラットフォーム経済の高品質な発展を促進するため、『中華人民共和国価格法』（以下「価格法」という）、『中華人民共和国電子商取引法』（以下「電子商取引法」という）、『中華人民共和国不正競争防止法』、『中華人民共和国消費者権利保護法』、『中華人民共和国ネットワークセキュリティ法』、『中華人民共和国個人情報保護法』等の法律法規に基づき、本規則を制定する。

とのことです...

自主的な価格設定
価格表示要件の明確化
価格競争行為の標準化
（官民）協調的なガバナンス機構の確立

ということが基本的なポイントのようです...

日本においても参考にできるところがあるかもですね...

● 中央网络安全和信息化委员会办公室 (Cyberspace Administration of China: CAC)

・2025.08.23 国家发展改革委市场监管总局国家网信办关于《互联网平台价格行为规则（征求意见稿）》公开征求意见的公告

国家发展改革委市场监管总局国家网信办关于《互联网平台价格行为规则（征求意见稿）》公开征求意见的公告	国家発展改革委員会、市場監督管理総局、国家サイバースペース管理局による『インターネットプラットフォーム価格行為規則（意見募集案）』の公開意見募集に関する公告
为深入贯彻党中央、国务院决策部署，促进平台经济健康发展，国家发展改革委、市场监管总局、国家网信办联合起草了《互联网平台价格行为规则（征求意见稿）》，现向社会公开征求意见。	党中央、国務院の決定・方針を深く貫徹し、プラットフォーム経済の健全な発展を促進するため、国家発展改革委員会、市場監督管理総局、国家サイバースペース管理局は共同で『インターネットプラットフォーム価格行為規則（意見募集案）』を起草した。現在、社会から広く意見を募集している。
此次公开征求意见时间为2025年8月23日至9月22日。欢迎社会各界人士通过网络等方式提出意见。公众可登录国家发展改革委门户网站（[web] ）首页“互动交流”板块，进入“意见征求”专栏，或者登录市场监管总局门户网站（[web] ）首页“互动”板块，进入“征集调查”专栏提出意见建议。	今回の意見募集期間は2025年8月23日から9月22日まで。社会各界の皆様は、インターネットその他の方法によりご意見を提出すること。一般の方は、国家発展改革委員会公式ウェブサイト（[web] ）のトップページ「相互交流」セクションから「意見募集」専用欄へ、または市場監督管理総局公式ウェブサイト（[web] ）のトップページ「相互交流」セクションから「意見募集」専用欄へアクセスし、意見を提出できる。
感谢您的参与和支持！	協力と支援に感謝する！
附件：	添付書類：
1.《互联网平台价格行为规则（征求意见稿）》	1.「インターネットプラットフォーム価格行為規則（意見募集案）」
2.关于《互联网平台价格行为规则（征求意见稿）》的起草说明	2.「インターネットプラットフォーム価格行為規則（意見募集案）」の起草説明

附件1	附属書1
互联网平台价格行为规则	インターネットプラットフォームの価格行動に関する規則
（征求意见稿）	（パブリックコメント募集ドラフト）
第一章总则	第1章一般規定
第一条为健全互联网平台常态化价格监管机制，规范相关价格行为，保护消费者和经营者合法权益，促进平台经济高质量发展，根据《中华人民共和国价格法》（以下简称《价格法》）、《中华人民共和国电子商务法》（以下简称《电子商务法》）、《中华人民共和国反不正当竞争法》、《中华人民共和国消费者权益保护法》、《中华人民共和国网络安全法》、《中华人民共和国个人信息保护法》等法律法规，制定本规则。	第1条インターネットプラットフォームの常態的な価格監督管理体制を整備し、関連する価格行為を規範化し、消費者と事業者の合法的な権利と利益を保護し、プラットフォーム経済の高品質な発展を促進するため、『中華人民共和国価格法』（以下「価格法」という）、『中華人民共和国電子商取引法』（以下「電子商取引法」という）、『中華人民共和国不正競争防止法』、『中華人民共和国消費者権利保護法』、『中華人民共和国ネットワークセキュリティ法』、『中華人民共和国個人情報保護法』等の法律法規に基づき、本規則を制定する。
第二条平台经营者、平台内经营者在中华人民共和国境内通过互联网平台等信息网络销售商品或者提供服务等经营活动中的价格行为，适用本规则。	第2条本規則は、中華人民共和国国内において、インターネットプラットフォームその他の情報ネットワークを通じて商品販売またはサービス提供を行う際に、プラットフォーム事業者およびプラットフォーム内事業者により行われる価格に関する事業活動に適用される。
本规则所称平台经营者，是指提供网络经营场所、交易撮合、信息发布等平台服务的法人或者非法人组织；平台内经营者，是指通过平台销售商品或者提供服务的经营者。	本規則において、「プラットフォーム事業者」とは、ネットワークビジネス会場の提供、取引マッチング、情報発信等のプラットフォームサービスを提供する法人または非法人をいう。「プラットフォーム内事業者」とは、プラットフォームを通じて商品販売またはサービス提供を行う事業者をいう。
本规则所称价格行为，是指平台经营者、平台内经营者在销售商品或者提供服务过程中与价格相关的经营行为，包括制定或者变更价格、价格标示、收取费用、实施补贴等行为。价格包括商品价格和服务价格。	本規則において「価格設定行為」とは、プラットフォーム運営者およびプラットフォーム内事業者が、商品販売またはサービス提供の過程において行う価格に関する事業活動を指し、価格の設定または変更、価格表示、料金の徴収、および補助金の提供を含む。価格は、商品およびサービスの価格を含む。
第三条平台经营者、平台内经营者实施价格行为应当遵循合法合规、公平诚信、规范透明、自愿平等的原则，充分维护交易相对人的知情权、自主选择权和公平交易权等合法权益。	第3条プラットフォーム事業者およびプラットフォーム内事業者は、合法性、遵守、公平性、誠実性、標準、透明性、自発性、および平等性の原則に従い、価格に関する事業活動を遂行し、取引相手方の正当な権利と利益（知の権利、選択の権利、公正な取引の権利を含む）を十分に保護しなければならない。
第二章经营者自主定价	第2章事業者の自主的な価格設定
第四条平台经营者、平台内经营者依法行使自主定价权，合理制定价格。平台经营者和平台内经营者之间，平台内经营者之间，平台经营者、平台内经营者与消费者之间应当通过合同、订单等方式约定、变更价格。	第4条プラットフォーム運営者およびプラットフォーム内の事業者は、法律に従い自主的な価格設定権を行使し、合理的に価格を設定しなければならない。プラットフォーム運営者およびプラットフォーム内の事業者、プラットフォーム内の事業者、プラットフォーム運営者、プラットフォーム内の事業者、および消費者は、契約、注文、その他の手段により価格を合意または変更しなければならない。
鼓励平台经营者、平台内经营者创新技术和商业模式，提升产品和服务质量，惠及广大消费者，并合法获得利润。	プラットフォーム運営者およびプラットフォーム内の事業者は、技術やビジネスモデルの革新、商品・サービスの品質向上、一般市民の利益に資し、法律に従い利益を正当に獲得するよう努めるものとする。
第五条平台内经营者在不同平台提供商品或者服务的，依法自主定价。平台经营者不得违反《电子商务法》第三十五条规定，采取提高收费标准、增加收费项目、扣除保证金、削减补贴或优惠、限制流量、屏蔽店铺、下架商品或者服务等措施，对平台内经营者的价格行为进行下列不合理限制或者附加不合理条件：	第5条異なるプラットフォーム上で商品またはサービスを提供するプラットフォームベースのプロバイダは、法律に従い、自主的に価格を設定しなければならない。プラットフォームプロバイダは、電子商取引法第35条の規定に違反して、料金標準の引き上げ、料金項目の追加、預金の減額、補助金の削減または割引の廃止、トラフィックの制限、店舗のブロック、またはプラットフォームからの商品またはサービスの削除などの措置を講じて、プラットフォームベースの事業者の価格設定行為に対して以下の不当な制限を課すか、不当な条件を付すことはできない：
（一）强制或者变相强制平台内经营者降价或者以让利、返现等方式进行促销；	(1) プラットフォーム運営者に価格の引き下げや割引、キャッシュバックなどのプロモーション活動を強制または間接的に強制すること；
（二）强制或者变相强制平台内经营者在该平台销售商品或者提供服务不得高于在其他平台的价格；	(2) プラットフォーム運営者に、他のプラットフォームでの価格よりも高い価格で商品を提供することを強制または間接的に強制すること；
（三）强制或者变相强制平台内经营者开通自动跟价、自动降价或者类似系统；	(3) プラットフォーム運営者に、自動価格一致、自動価格引き下げ、または類似のシステムを有効にすることを強制または間接的に強制すること；
（四）其他限制平台内经营者自主定价权的行为。	(4) プラットフォーム運営者の価格設定の自主性を制限するその他の行為。
基于平台商业模式由平台经营者实行统一定价的除外。	プラットフォーム事業者がプラットフォームの事業モデルに基づき統一価格を実施する場合、この例外が適用される。
第六条平台经营者向平台内经营者收费，应当遵循公平、合法和诚实信用的原则，根据经营成本，基于服务协议、交易规则等，充分考虑平台内经营者经营状况，合理制定收费标准并公示，不得违反相关法律法规规章。平台经营者不得对平台内经营者收取不合理费用。	第6条プラットフォーム内の事業者に対して料金を課す場合、プラットフォーム事業者は、公平性、合法性、信義則の原則を遵守し、運営コスト、サービス契約、取引ルールその他の要因を十分に考慮し、プラットフォーム内の事業者の運営状況を十分に考慮して、料金標準を合理的に設定しなければならない。これらの標準は公開され、関連する法律、規則、またはルールに違反してはならない。プラットフォーム運営者は、プラットフォーム内の事業者に対して不当な料金を課してはならない。
平台经营者新增或者变更收费项目、规则、标准等，应当在首页显著位置公开征求平台内经营者的意见，征求意见时间不少于七日。对平台内经营者有重大影响的，应当制定合理过渡措施。平台内经营者不接受修改内容，要求退出平台的，平台经营者不得阻止，平台经营者和平台内经营者按照修改前的协议承担相关责任。	プラットフォーム運営者が課金項目、ルール、標準等を追加または変更する場合、プラットフォーム内の事業者の意見をホームページの目立つ位置で募集し、募集期間は7日以上とする。プラットフォーム内の事業者に重大な影響を与える変更の場合、合理的な移行措置を策定しなければならない。プラットフォーム内の事業者が変更内容を受け入れず、プラットフォームからの退会を請求した場合、プラットフォーム運営者はこれを妨げてはならず、プラットフォーム運営者とプラットフォーム内の事業者は、変更前の合意に従い、関連する責任を負うものとする。
第三章经营者价格标示行为	第3章事業者の価格表示行為
第七条平台经营者、平台内经营者应当对提供的商品或者服务实行明码标价，遵守以下规定：	第7条プラットフォーム運営者およびプラットフォーム内の事業者は、提供する商品またはサービスの価格を明確に表示し、以下の規定を遵守しなければならない：
（一）在网站、应用程序软件（APP）、小程序等应用场景，通过网络页面、电子文档等方式明确标示价格或者收费标准；	(1) ウェブサイト、アプリケーションソフトウェア（APP）、ミニプログラムなどの利用場面において、価格または課金標準は、ネットワークページ、電子文書その他の手段により明確に表示しなければならない；
（二）销售商品应当标示商品的品名、价格和计价单位，同一品牌或者种类的商品，因规格、产地、等级等特征不同而实行不同价格的，应当分别标示品名，提供服务应当标示服务项目、服务内容以及价格或者计价方法；	(2) 商品を販売する場合、商品の名称、価格、および単位を明示しなければならない。同一ブランドまたは同一種類の商品で、仕様、原産地、等級その他の特性により価格が異なる場合、名称を別々に明示しなければならない。サービスを提供する場合、サービス項目、サービス内容、価格または価格設定方法を表示しなければならない；
（三）以显著方式标示商品的运输或者寄递费用、配送方式、配送时间、支付方式等与价格有关的内容，包括其他不可避免的收费。	(3) 輸送費または配達費、配達方法、配達時間、支払い方法、その他の価格に関する情報（不可避的な費用を含む）を明確に表示しなければならない。
平台经营者、平台内经营者不得违反《价格法》第十三条规定，在标价之外加价、收取任何未予标明的费用。	プラットフォーム運営者およびプラットフォーム内の事業者は、価格法第13条に違反して、表示された価格を超える料金を追加したり、未記載の料金を徴収したりしてはならない。
第八条平台经营者、平台内经营者对不同交易条件的消费者实行不同价格的，应当提前向社会公开相关规则，如有变动应当及时更新。	第8条　プラットフォーム運営者およびプラットフォーム内の事業者が、異なる取引条件下で消費者に対して異なる価格を適用する場合、関連する規則を事前に公開し、変更があった場合は速やかに更新しなければならない。
平台经营者、平台内经营者实施分时定价等动态定价的，应当提前向社会公开动态定价规则，对影响价格的因素进行明确说明。采取在固定价格基础上动态增加额外服务费形式的，应当区分标示价格和额外服务费。	プラットフォーム運営者およびプラットフォーム内の事業者が、時間ベースの価格設定など動的価格設定を実施する場合、動的価格設定の規則を事前に公開し、価格に影響を与える要因を明確に説明しなければならない。固定価格に追加で動的に追加されるサービス料金がある場合、価格とサービス料金は明確に区別されなければならない。
第九条平台经营者、平台内经营者销售商品，同时有偿提供搬运、安装、调试、延长保修期等附带服务的，应当在显著位置对附带服务进行明码标价。附带服务不由销售商品的经营者提供的，应当以显著方式区分标记或者说明。	第9条プラットフォーム運営者およびプラットフォーム内の事業者が、商品販売と併せて輸送、設置、調整、延長保証期間などの有料の付帯サービスを提供する場合には、当該付帯サービスの価格を目立つ場所に明確に表示しなければならない。付帯サービスが商品販売プロバイダによって提供されない場合、それらを明確に区別するか、目立つ方法で説明しなければならない。
第十条平台经营者、平台内经营者开展价格促销活动，应当以方便消费者认知的方式标明促销价格或者价格促销规则，并遵守以下规定：（一）在页面显著位置公示促销规则、活动期限、适用范围等；	第10条プラットフォーム運営者およびプラットフォーム内の事業者が価格プロモーション活動を行う場合、消費者が理解しやすい方法でプロモーション価格またはプロモーションルールを明確に表示し、以下の規定を遵守しなければならない： (1) プロモーションルール、活動期間、および適用範囲をページの目立つ場所に公開表示すること；
（二）真实标明折价、减价基准；	(2) 割引または価格引き下げの根拠を明確に表示すること；
（三）通过积分、礼券、兑换券、代金券、预付款等折抵价款的，应当以显著方式标明计算的具体办法。	(3) ポイント、クーポン、バウチャー、ギフトカード、または事前支払いにより割引が適用される場合、具体的な計算方法を明確に表示すること。
第十一条平台经营者应当公平公正开展补贴促销，不得虚假、夸大宣传补贴金额和力度。	第11条プラットフォーム事業者は、補助金プロモーションを公正かつ公平に実施し、補助金の金額または規模について虚偽または過大な主張を行ってはならない。
平台经营者开展补贴促销，应当在网站或者应用程序（APP）显著位置标示补贴及相关促销活动规则，明确补贴对象、补贴方式、参与条件、起止时间等信息。	補助金プロモーションを実施する場合、プラットフォーム運営者は、ウェブサイトまたはモバイルアプリケーション（APP）の目立つ場所に、補助金および関連するプロモーション活動規則を明示し、補助金取得者、補助金方法、参加条件、および開始日と終了日を明示しなければならない。
第十二条平台经营者、平台内经营者标示预估价格的，应当公开预估价格的构成，充分提示预估价格与最终结算价格之间可能存在差异；显示的预估价格有支付方式等限制条件的，应当以显著方式提前向消费者清晰提示。	第12条プラットフォーム運営者またはプラットフォーム内の運営者が推定価格を表示する場合、推定価格の構成を明示し、推定価格と最終決済価格の相違の可能性を消費者に明確に通知しなければならない。推定価格が支払い方法などの制限を受ける場合、当該制限は事前に消費者に目立つ方法で明確に開示しなければならない。
第十三条平台经营者应当根据商品或者服务的价格、销量、信用等以多种方式向消费者显示商品或者服务的搜索结果；对于竞价排名的商品或者服务，应当显著标明“广告”。	第13条プラットフォーム事業者は、価格、販売量、信用評価などの要因に基づき、消費者に対し商品またはサービスの検索結果を複数の方法で表示しなければならない。入札によりランキングされた商品またはサービスについては、明確に「広告」と表示しなければならない。
平台经营者开展竞价排名或者提供排名推荐服务的，应当向参与竞价的平台内经营者告知竞价排名、搜索排序和推荐规则。	入札に基づくランキングを実施する場合またはランキング推奨サービスを提供する場合には、プラットフォーム事業者は、入札に参加するプラットフォーム内プロバイダに、入札に基づくランキング、検索の並べ替え、および推奨に関する規則を通知しなければならない。
第四章经营者价格竞争行为	第4章事業者の価格競争行為
第十四条平台经营者、平台内经营者不得违反《价格法》第十四条第二项规定，以排挤竞争对手或者独占市场为目的，以低于成本的价格销售商品或者提供服务，扰乱正常的生产经营秩序，损害国家利益或者其他经营者合法权益。降价处理鲜活商品、季节性商品、积压商品、临期商品等商品，或者有正当理由降价提供服务的除外。	第14条プラットフォーム運営者は、プラットフォーム利用事業者と共同して、価格法の第14条第2項の規定に違反し、競合他社を排除したり市場を独占したりする目的で、原価を下回る価格で販売し、またはプロバイダとしてサービスを提供することにより、通常の生産・営業活動を妨害し、国家の利益または他の事業者の正当な権利・利益を害してはならない。ただし、腐敗しやすい商品、季節商品、過剰在庫商品、または有効期限が迫った商品における価格引き下げ、または正当な理由に基づくサービス提供における価格引き下げは、この限りではない。
平台经营者不得强制或者变相强制平台内经营者按照其定价规则，以低于成本的价格销售商品，扰乱市场竞争秩序。	プラットフォーム事業者は、価格設定ルールに基づき、プラットフォーム利用事業者に原価を下回る価格で商品を販売させることにより、市場競争秩序を乱してはならない。
平台经营者的商业模式系对用户长期免费的，且有利于推动创新进步、有利于提升经营者和消费者长远福利的，可以不认定为违反《价格法》第十四条第二项规定。	プラットフォーム事業者の事業モデルが、ユーザーに対し長期にわたり無償でサービスを提供し、当該モデルがイノベーションと進歩を促進し、事業者および消費者の長期的な福祉を向上させる場合、価格法第14条第2項の違反とはみなされない。
第十五条平台经营者、平台内经营者不得违反《中华人民共和国消费者权益保护法实施条例》第九条规定，没有正当理由，在消费者不知情的情况下，基于支付意愿、支付能力、消费偏好、消费习惯等信息，运用数据和算法、平台规则等手段，对同一商品或者服务在同等交易条件下设置不同的价格或者收费标准。	第15条プラットフォーム運営者およびプラットフォーム内の事業者は、正当な理由なく、支払い意向、支払い能力、消費嗜好、消費習慣などの情報を活用し、データ、アルゴリズム、またはプラットフォーム規則を用いて、同一の取引条件下で同一の商品またはサービスに対して異なる価格または課金標準を設定し、消費者の知らぬ間に差別的価格設定を行うことにより、中華人民共和国消費者権利保護法実施規則第9条に違反してはならない。
平台经营者不得违反《价格法》第十四条第五项规定，对平台内经营者实施价格歧视。	プラットフォーム運営者は、価格法第14条第5項に違反して、プラットフォーム内事業者に対して価格差別を行ってはならない。
第十六条平台经营者、平台内经营者不得违反《价格法》第十四条第一项规定，利用平台规则、数据和算法等手段，相互串通，操纵市场价格，损害其他经营者、消费者合法利益。	第16条プラットフォーム運営者およびプラットフォーム内事業者は、プラットフォーム規則、データ、アルゴリズム等の手段を通じて相互に共謀し、市場価格を操作し、他の事業者または消費者の正当な利益を害する行為により、価格法第14条第1項に違反してはならない。
第十七条平台经营者、平台内经营者不得违反《价格法》第十四条第三项规定，利用以下手段，捏造、散布涨价信息，哄抬价格，推动商品价格过高上涨：	第17条プラットフォーム運営者およびプラットフォーム内の事業者は、価格法第14条第3項の規定に違反して、以下の手段を用いて価格上昇情報を捏造または流布し、価格を操作し、商品価格を過剰に高騰させる行為を行ってはならない：
（一）捏造货源紧张或者市场需求激增信息并散布；	(1) 供給不足や市場需要の急増に関する情報を捏造し、流布すること；
（二）捏造其他经营者已经或者准备提价信息并散布；	(2) 他の事業者が既に価格を引き上げたか、または引き上げる計画があるとの情報を捏造し、これを流布すること；
（三）散布信息含有欺骗性用语或者诱导性用语，推高价格预期；	(3) 誤導的または誤解を招く表現を含む情報を流布し、価格期待を過度に高めること；
（四）无正当理由不及时将商品对外销售，超出正常的存储数量或者存储周期，大量囤积市场供应紧张、价格发生异常波动的商品，经告诫仍继续囤积；	(4) 正当な理由なく商品を販売用に供しないこと、通常の貯蔵量または期間を超過して貯蔵すること、または供給不足または異常な価格変動が発生している商品について貯蔵を継続し、警告にもかかわらず貯蔵を継続すること；
（五）强制搭售商品，变相大幅度提高商品价格；	(5) 商品の売却を強制する行為、または間接的に価格を著しく引き上げる行為；
（六）在成本未明显增加时大幅度提高商品价格，或者成本虽有增加但商品价格上涨幅度明显高于成本增长幅度；	(6) 費用の明確な増加なしに製品価格を著しく引き上げる行為、または費用の増加率を著しく上回るペースで価格を引き上げる行為；
（七）未提高商品价格，但不合理大幅度提高运输费用或者收取其他不合理费用；	(7) 製品価格を引き上げないものの、輸送コストを不当に引き上げる行為、またはその他の不当な手数料を課す行為；
（八）利用其他手段哄抬价格，推动商品价格过快、过高上涨。	(8) その他の手段を用いて価格を人為的に引き上げ、価格が過度に急激に上昇または過度に高くなる行為。
在突发事件发生期间，平台经营者、平台内经营者提	突発的な事態が発生した場合、プラットフォーム運営者およびプラットフォーム内の事業者は
供应急物资和重要民生商品服务，应当合理制定价格。	緊急物資および必需品・サービスの供給に際し、価格を合理的に設定しなければならない。
第十八条平台经营者、平台内经营者销售商品或者提供服务时，不得违反《价格法》第十四条第四项规定实施下列行为：	第18条プラットフォーム運営者およびプラットフォーム内の事業者は、商品販売またはサービス提供に際し、価格法第14条第4項の規定に違反してはならない：
（一）谎称商品和服务价格为政府定价或者政府指导价；	(1) 商品またはサービスの価格が政府が設定した価格または政府が指針とする価格であると虚偽の主張を行うこと；
（二）以低价诱骗消费者或者其他经营者，以高价进行结算；	(2) 低価格を餌に消費者または他の事業者を誘引し、その後高い価格で決済すること；
（三）通过虚假折价、减价或者价格比较等方式销售商品或者提供服务；	(3) 偽の割引、価格引き下げ、または価格比較を通じて商品を提供すること；
（四）销售商品或者提供服务时，使用欺骗性、误导性的语言、文字、数字、图片或者视频等标示价格以及其他价格信息；	(4) 商品の提供時に、価格またはその他の価格情報を表示する際に、欺瞞的または誤解を招く言語、文字、数値、画像、または動画を使用すること；
（五）无正当理由拒绝履行或者不完全履行价格承诺；	(5) 正当な理由なく、価格に関する約束を履行しないまたは完全に履行しないこと；
（六）不标示或者显著弱化标示对消费者或者其他经营者不利的价格条件，诱骗消费者或者其他经营者与其进行交易；	(6) 消費者または他の事業者の利益に不利な価格条件を表示しないまたは表示を著しく弱め、これにより消費者または他の事業者を取引に誘引すること；
（七）通过积分、礼券、兑换券、代金券等折抵价款时，拒不按约定折抵价款；	(7) ポイント、クーポン、バウチャーその他の割引形態を使用する際、合意された金額を差し引かないこと；
（八）其他价格欺诈行为。	(8) その他の価格詐欺行為。
第十九条平台经营者不得违反《价格法》第十四条第四项规定，实施下列行为，损害消费者和其他经营者的利益：	第19条プラットフォーム運営者は、価格法第14条第4項の規定に違反し、消費者の利益または他の事業者の利益を害する次の行為を行ってはならない：
（一）在平台首页或者其他显著位置标示的商品或者服务的价格低于在详情页面标示的价格；	(1) プラットフォームのトップページまたは目立つ場所に表示する商品またはサービスの価格が、詳細情報ページに表示される価格よりも低い場合；
（二）公布的促销活动范围和规则与实际促销活动范围和规则不一致；	(2) 公表したプロモーション活動の範囲およびルールが、実際のプロモーション活動の範囲およびルールと一致しないこと；
（三）利用技术手段等强制平台内经营者进行虚假的或者使人误解的价格标示；	(3) 技術的手段を用いてプラットフォーム内の事業者に虚偽または誤解を招く価格表示を強制すること；
（四）其他虚假或者使人误解的价格标示和价格促销行为。	(4) その他の虚偽または誤解を招く価格表示または価格プロモーション活動。
第二十条平台经营者、平台内经营者不得违反《价格法》第十四条第四项规定，虚构、篡改、删除网络交易实际成交价格记录，诱骗消费者或者其他经营者与平台经营者或者平台内经营者进行交易。	第20条プラットフォーム運営者およびプラットフォーム内の事業者は、価格法第14条第4項の規定に違反し、オンライン取引における実際の取引価格の記録を捏造、改変、または削除して、消費者または他の事業者を欺瞞し、プラットフォーム運営者またはプラットフォーム内の事業者との取引をさせる行為を行ってはならない。
第五章消费者价格权益保护	第 5 章消費者価格の権利の保護
第二十一条平台经营者、平台内经营者销售商品或者提供服务时，应当严格依照法律法规和合同约定向消费者收取相关费用。平台经营者、平台内经营者提供以下商品或者服务，应当以显著方式向消费者展示相关选项，并提供便捷的取消途径：	第 21 条プラットフォーム運営者およびプラットフォーム内の事業者は、商品販売またはサービス提供を行う場合、法律、規制、および契約上の合意に従って、消費者に適切な料金を厳格に請求しなければならない。プラットフォーム運営者およびプラットフォーム内の事業者は、以下の商品またはサービスを提供する場合、関連する選択肢を明確に表示し、消費者が簡単にキャンセルできる手段を提供しなければならない。
（一）提供免密支付服务；	(1) パスワード不要の決済サービスの提供
（二）搭售保险、交通服务、其他合作平台服务、退票服务、延误补偿等额外服务或者商品；	(2) 保険、輸送サービス、その他の協力プラットフォームサービス、チケットの払い戻しサービス、遅延補償、その他の追加サービスまたは商品の抱き合わせ販売
（三）设置自动续期、自动扣款。	(3) 自動更新または自動引き落としの設定
平台经营者、平台内经营者采取自动续期、自动扣款方式收费的，每次扣款应当提前将扣款时间、金额及价格变化情况以显著方式提醒并通知用户，允许消费者随时取消自动续期、自动扣款。	プラットフォーム運営者またはプラットフォーム内の事業者は、自動更新または自動引き落としにより料金を請求する場合、各引き落とし前に、引き落とし時期、金額、価格の変更など、その内容をユーザーに目立つように事前に通知し、消費者が自動更新または自動引き落としをいつでもキャンセルできることを明示しなければならない。
第二十二条平台经营者、平台内经营者不得违反《价格法》第十四条第六项规定，采取以次充好、掺杂使假、偷工减料、抬高等级、调整服务内容、虚假提高服务数量或者时长等手段，变相提高或者压低价格。	第22条プラットフォーム運営者およびプラットフォーム内の事業者は、優れた製品を劣った製品とすり替える、製品を偽造または偽装する、生産コストを削減する、製品のグレードを水増しする、サービス内容を調整する、サービス量またはサービス期間を偽って増やすなど、間接的に価格を引き上げたり引き下げたりする手段を用いて、価格法第14条第6項の規定に違反してはならない。
第二十三条鼓励平台经营者建立价格争议在线解决机制，制定并公示价格争议解决规则，公平公正解决价格争议。	第23条プラットフォーム運営者は、価格に関する紛争の解決のためのオンライン紛争解決メカニズムを確立し、価格紛争の解決に関する規則を策定し公表し、公正かつ中立的に紛争を解決するよう努めなければならない。
鼓励平台经营者建立商品质量承诺和担保制度，督促平台内经营者履行商品质量和服务义务，有效化解消费纠纷。	プラットフォーム運営者は、製品に関する品質保証システムを確立し、プラットフォーム内の事業者が製品品質およびサービスに関する義務を履行するよう監督し、消費者紛争を効果的に解決するよう努めなければならない。
第六章监督机制	第6章監督メカニズム
第二十四条发展改革、市场监管、网信部门依据相关法律法规规章和本规则对平台经济领域价格行为开展监管。	第24条開発改革部門、市場監督管理部門、およびサイバー空間管理部門は、関連する法律、規則、および本規則に従い、プラットフォーム経済分野における価格関連活動について監督を行う。
发展改革、市场监管、网信部门可以会同相关部门对平台经营者、平台内经营者进行提醒、告诫和约谈，必要时，省级以上发展改革、市场监管、网信部门可以调查了解平台经营者、平台内经营者的经营情况。市场监管部门对相关违法行为开展监督检查并依法处理。平台经营者、平台内经营者应当按照发展改革、市场监管、网信部门的要求，如实提供所需信息。	開発改革部門、市場監督管理部門、およびサイバー空間管理部門は、関連部門と協力して、プラットフォーム事業者およびプラットフォーム内の事業者に対し、注意喚起、警告、または面接を実施することができる。必要に応じて、省級以上の開発改革部門、市場監督管理部門、およびサイバー空間管理部門は、プラットフォーム事業者およびプラットフォーム内の事業者の業務運営状況を調査し、理解することができる。市場監督管理部門は、関連する違反行為を監督・検査し、法律に従って処理する。プラットフォーム運営者およびプラットフォーム内の運営者は、開発改革、市場監督、およびサイバー空間管理部門の要求に従い、必要な情報を真実かつ正確に提供しなければならない。
第二十五条平台经营者应当加强价格自律，按照以下要求建立健全价格行为合规管理制度：	第25条プラットフォーム運営者は、以下の要件に従い、価格自主規律を強化し、価格行為遵守管理システムを確立し、改善しなければならない：
（一）完善内部合规管理制度，规范自身价格行为；	(1) 内部遵守管理システムを改善し、自社の価格行為を標準化すること；
（二）健全平台管理规则，引导平台内经营者合规经营；	(2) プラットフォーム管理規則を改善し、プラットフォーム内事業者が法令遵守した営業を行うよう指導すること；
（三）设立价格问题投诉渠道，及时采取必要措施制止违规行为；	(3) 価格に関する問題に関する苦情受付窓口を設置し、違反行為を停止するための必要な措置を速やかに講じること；
（四）妥善保存平台内有关价格和交易信息，积极协助市场监管部门查处价格违法行为；	(4) プラットフォーム内の価格および取引情報を適切に保存し、市場監督部門の価格関連違反の調査・処理に積極的に協力すること；
（五）建立平台内商品质量管控制度，开展商品质量抽检，及时进行质量安全风险提示，处置质量违规等行为；	(5) プラットフォーム内の商品に関する品質管理システムを確立し、品質検査を実施し、品質安全リスク警告を速やかに発行し、品質関連違反を是正すること；
（六）建立价格监督员制度，对平台内价格行为进行内部监督；	(6) 価格監督責任者制度を確立し、プラットフォーム内の価格関連活動を内部監督する。
（七）加强网络数据安全管理，在价格行为中依法依规处理个人信息；	(7) 価格関連活動において、ネットワークデータセキュリティ管理を強化し、法令に従って個人情報を取り扱う。
（八）依法履行价格行为有关算法备案手续，配合网信等有关部门开展安全评估和监督检查工作。	(8) 価格関連活動に関するアルゴリズムの届出手続きを法令に従って遵守し、サイバー空間管理局およびその他の関連部門によるセキュリティアセスメントおよび監督検査に協力する。
第二十六条行业协会、商会应当积极发挥行业自律作用，依法引导平台经营者、平台内经营者自觉规范价格行为。鼓励行业协会、商会与平台经营者建立沟通协商机制，更好维护平台内经营者特别是中小微企业合法权益。	第26条業界団体および商工会議所は、業界の自主規制に積極的に関与し、プラットフォーム事業者およびプラットフォーム内の事業者に、法律に従って価格設定行動を自主的に規制するよう指導すべきだ。業界団体および商工会議所は、プラットフォーム内の事業者、特に中小企業、小規模事業者、零細事業者の正当な権利と利益をよりよく保護するため、プラットフォーム事業者とのコミュニケーションおよび協議の仕組みを構築することが奨励される。
第二十七条平台经营者、平台内经营者违法行为轻微并及时改正，没有造成危害后果的，根据《中华人民共和国行政处罚法》规定不予行政处罚。	第27条プラットフォーム運営者およびプラットフォーム内の事業者が軽微な違反を犯し、速やかに是正し、有害な結果を招かなかった場合、中華人民共和国行政処罰法に基づき、行政処分は課されない。
第七章附则	第7章附則
第二十八条自建网站经营者以及其他参与平台经济经营者的价格行为，参照适用本规则。	第28条自社ウェブサイトを運営する事業者およびプラットフォーム経済運営に参加するその他の事業体の価格関連行為は、本規則の規定を準用する。
第二十九条本规则由国家发展改革委、市场监管总局、国家网信办依职责负责解释。	第29条本規則の解釈は、国家発展改革委員会、国家市場監督管理総局、および中国サイバー空間管理局が、それぞれの職責に従って行う。
第三十条本规则自年月日起施行，有效期为5 年。	第30条本規則は[年/月/日]に施行され、5年間有効とする。

説明...

附件2	附属書2
关于《互联网平台价格行为规则（征求意见稿）》的起草说明	インターネットプラットフォームの価格行動に関するドラフト規則案に関する説明
为深入贯彻党中央、国务院决策部署，促进平台经济健康发展，国家发展改革委、市场监管总局、国家网信办联合起草了《互联网平台价格行为规则（征求意见稿）》（以下简称《行为规则》）。	党中央委員会と国務院の決定と計画を徹底的に実施し、プラットフォーム経済の健全な発展を促進するため、国家発展改革委員会、国家市場監督管理総局、および中国サイバー空間管理局は共同で「インターネットプラットフォームの価格行動に関する規則（ドラフト）」（以下「規則」という）を策定した。
一、起草背景	I. 背景
近年来，我国平台经济快速发展，在赋能实体经济、发展新质生产力、满足人民生活需要等方面发挥了积极作用。平台经济领域涉及的经营者众多，其价格行为关系消费者切身利益，特别是价格标示、大数据定价等受到广泛关注。为营造有序竞争、公平竞争的市场环境，保护经营者和消费者合法权益，现行法律法规对经营者价格行为作出一般性规定，但在平台经济领域如何更好落实，还需要进一步细化实化监管要求，引导经营者依法合规经营。为此，国家发展改革委、市场监管总局、国家网信办在征求有关部门、地方、平台经营者和平台内经营者、经济和法律领域专家、消费者、社会团体意见基础上，研究起草了《行为规则》。	近年、中国のプラットフォーム経済は急速に発展し、実体経済の活性化、新たな生産能力の育成、国民のニーズの充足において積極的な役割を果たしている。プラットフォーム経済には多数の事業者が参入しており、その価格設定行為は消費者の利益に直接影響を及ぼす。特に、価格表示やビッグデータを活用した価格設定などに関する問題は、大きな注目を集めている。秩序ある公正な競争市場環境を育成し、事業者および消費者の正当な権利と利益を保護するため、既存の法律・規制は事業者の価格設定行為に関する一般規定を定めている。しかし、プラットフォーム経済分野においては、規制要件の明確化と細分化がさらに必要であり、効果的な実施を確保し、事業者が法に従って事業を行うよう指導するため、本規則の制定が急務となっている。この目的のため、国家発展改革委員会、国家市場監督管理総局、および中国サイバー空間管理局は、関連部門、地方政府、プラットフォーム事業者、プラットフォーム内事業者、経済・法学の専門家、消費者、および社会団体から意見を募集し、「行動規範」のドラフトを策定した。
二、主要思路	II. 主なアプローチ
《行为规则》在保护经营者自主定价权的基础上，按照促进发展和监管规范并重，事前引导和事中事后监管相结合的思路，构建透明、可预期的常态化价格监管机制。《行为规则》根据价格法、反不正当竞争法、电子商务法、消费者权益保护法等法律法规的现行规定，结合平台经济领域价格行为特点，保持监管制度的稳定性，细化相关监管要求，从引导经营者依法自主定价、规范价格标示和价格竞争行为等方面，为经营者提供明确的行为指引，引导经营者自觉规范价格行为，维护公平竞争市场环境，保护经营者和消费者合法权益，促进平台经济健康发展。	「行動規範」は、事業者の価格設定の独立性を保護し、発展と規制を両立させる原則に基づき、事前の指導と事後の監督を組み合わせることで、透明で予測可能な日常的な価格監督メカニズムを確立する。「行動規範」は、価格法、不正競争防止法、電子商取引法、消費者権利保護法その他の関連法令の現行規定を基盤としつつ、プラットフォーム経済分野における価格行動の特性を考慮している。規制システムの安定性を維持し、関連する規制要件を明確化し、事業者が法に基づき自主的に価格を設定すること、価格表示と価格競争行為の標準化などに関する明確な指針を提供する。これにより、事業者が自主的に価格行為を標準化し、公正な競争市場環境を維持し、事業者および消費者の正当な権利と利益を保護し、プラットフォーム経済の健全な発展を促進することを目的としている。
三、主要内容	III. 主な内容
《行为规则》主要包括四方面内容：	「行動規範」は主に4つの側面から構成されている。
一是引导经营者依法自主定价。明确平台经营者、平台内经营者依法自主定价的基本要求。规范平台经营者收费行为。提出保护平台内经营者自主定价权的细化规定，特别是要求平台经营者不得采取限制流量、屏蔽店铺、下架商品或者服务等措施，对平台内经营者的价格行为进行不合理限制。	第一に、事業者が法律に従って自主的に価格を設定するよう指導する。プラットフォーム事業者およびプラットフォーム内の事業者が法律に従って自主的に価格を設定するための基本的な要件を明確化すること。プラットフォーム事業者の課金行為を標準化すること。プラットフォーム内の事業者の自主的な価格設定権を保護するための詳細な規定を導入し、特にプラットフォーム事業者が、プラットフォーム内の事業者の価格設定行為を不当に制限する措置（トラフィック制限、店舗ブロック、商品やサービスの削除など）を講じないよう求める。
二是明确经营者价格标示要求。细化平台经营者、平台内经营者明码标价的规定，明确销售商品、提供服务需要遵守的价格标示规范。要求平台经营者、平台内经营者做好价格促销、补贴、差别定价、动态定价、竞价排名等规则公开，接受社会监督。	第二に、事業者の価格表示要件を明確化する。プラットフォーム事業者およびプラットフォーム内の事業者が価格を明確に表示するための規定を詳細に定め、商品販売やサービス提供時に遵守すべき価格表示標準を明確化する。プラットフォーム運営者およびプラットフォーム内の運営者は、価格プロモーション、補助金、差別的価格設定、動的価格設定、競争入札ランキングに関する規則を公表し、社会的監督を受け入れることを義務付ける。
三是规范经营者价格竞争行为。围绕维护价格竞争秩序、明确价格诚信要求等方面，提出具体的认定标准和监管要求，为经营者价格竞争行为提供指引，引导经营者有序竞争、公平竞争。	第三に、運営者の価格競争行為を標準化する。価格競争の秩序の維持と価格の公正性に関する要件の明確化に焦点を当て、運営者の価格競争行為に関する具体的な規準と規制要件を提案し、運営者が秩序ある公正な競争を行うよう指導する。
四是构建协同共治机制。充分发挥各方作用，加强政府部门协同，形成监管合力；指导行业协会加强行业自律，依法引导平台经营者、平台内经营者自觉规范价格行为；推动平台经营者健全内部合规管理制度，构建良好平台生态。	第四に、協調的なガバナンスメカニズムを確立する。関係者の役割を十分に発揮させ、政府部門間の調整を強化し、共同規制力を形成する。業界団体に対し、業界の自主規制を強化し、プラットフォーム運営者およびプラットフォーム内の事業者が価格行為を自主的に標準化するよう法的に指導する。また、プラットフォーム運営者が内部コンプライアンス管理システムを改善し、健全なプラットフォームエコシステムを構築するよう促進する。
下一步，国家发展改革委、市场监管总局、国家网信办将根据本次公开征求意见情况，进一步修改完善《行为规则》，适时印发。《行为规则》出台时，将为经营者留出必要的适应调整期。	今後、国家発展改革委員会、国家市場監督管理総局、および国家サイバースペース管理局は、パブリックコメントの結果を踏まえて「行動規範」をさらに見直し、改善し、適切な時期に公表する。行動規範が公表された後、事業者は適応・調整のための必要な期間が与えられる。

2025.08.26 00:00 in 法律 / 犯罪 | Permalink | Comments (0)
Tweet

2025.08.25

米国 CISA パブコメ 2025 年ソフトウェア部品表（SBOM）の最小要素

こんにちは、丸山満彦です。

CISAが公表したガイド案は、米国連邦政府機関における SBOM の実装ガイドである2021 年版の国家電気通信情報局（NTIA）の SBOM 最小要素改訂に関するものです...

● CISA

・2025.08.22 CISA Requests Public Comment for Updated Guidance on Software Bill of Materials

CISA Requests Public Comment for Updated Guidance on Software Bill of Materials	CISA、ソフトウェア部品表に関する最新ガイダンスについてパブリックコメントを募集
CISA released updated guidance for the Minimum Elements for a Software Bill of Materials (SBOM) for public comment—comment period begins today and concludes on October 3, 2025. These updates build on the 2021 version of the National Telecommunications and Information Administration SBOM Minimum Elements to reflect advancements in tooling and implementation.	CISA は、ソフトウェア部品表（SBOM）の最小要素に関する最新ガイダンスをパブリックコメントのために公開した。コメントの受付期間は、本日より 2025 年 10 月 3 日まで。この更新は、ツールと実装の進歩を反映するため、2021 年版の国家電気通信情報局（NTIA）の SBOM 最小要素に基づいて作成されている。
An SBOM serves as a vital inventory of software components, enabling organizations to identify vulnerabilities, manage dependencies, and mitigate risks. The update refines data fields, automation support, and operational practices to ensure SBOMs are scalable, interoperable, and comprehensive.	SBOMは、ソフトウェアコンポーネントの重要な在庫リストとして機能し、組織が脆弱性を識別し、依存関係を管理し、リスクを緩和するのを支援する。今回の更新では、データフィールド、自動化支援、運用手順を精緻化し、SBOMがスケーラブル、相互運用可能、かつ包括的であることを確保する。
Stakeholders are encouraged to provide feedback via the Federal Register during the public comment period. This feedback will contribute to refining SBOM practices, enabling CISA to release an updated version of the minimum elements.	関係者は、公聴会期間中に連邦官報を通じてフィードバックを提供することを奨励されている。このフィードバックはSBOMの実践を精緻化し、CISAが最小要素の改訂版を公表する際に活用される。

・2025.08.22 2025 Minimum Elements for a Software Bill of Materials (SBOM)

2025 Minimum Elements for a Software Bill of Materials (SBOM)	2025 年ソフトウェア部品表（SBOM）の最小要素
CISA is requesting public comment on its updated guidance on Software Bill of Materials (SBOM) to reflect the current state of maturity in software transparency and supply chain security. Building on the 2021 NTIA SBOM Minimum Elements, this update aims to help agencies and organizations to manage software risk more effectively.	CISA は、ソフトウェアの透明性とサプライチェーンのセキュリティの現在の成熟度を反映するため、ソフトウェア部品表（SBOM）に関する更新されたガイダンスについてパブリックコメントを募集している。2021 年の NTIA SBOM 最小要素を基に、この更新は、政府機関や組織がソフトウェアのリスクをより効果的に管理することを目的としている。
SBOMs provide a detailed inventory of software components, enabling organizations to identify vulnerabilities, assess risk, and make informed decisions about the software they use and deploy. As adoption of SBOMs has grown across the public and private sectors, so too has the need for machine-processable formats that support scalable implementation and integration into broader cybersecurity practices.	SBOMは、ソフトウェアコンポーネントの詳細な一覧を提供し、組織が脆弱性を識別し、リスクを評価し、使用するソフトウェアに関する情報に基づいた意思決定を行うことを可能にする。公共部門と民間部門でSBOMの採用が拡大するにつれ、スケーラブルな実装と広範なサイバーセキュリティ実践への統合を支援する機械処理可能なフォーマットの必要性も高まっている。
The draft offers the public an opportunity to provide their knowledge to improve the guidance before it is finalized. The public comment period begins today and concludes on October 3, 2025. During the comment period, members of the public are asked to provide comments and feedback via the Federal Register.	このドラフトは、最終化前に一般から知見を提供し、指針の改善に役立てる機会を提供している。パブリックコメント期間は本日より開始され、2025年10月3日に終了する。コメント期間中、一般の方は連邦官報を通じてコメントやフィードバックを提出するよう求められている。

・[PDF]

・[DOCX][PDF] 仮訳

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.08.13 G7 人工知能のためのソフトウェア部品表に関する G7 の共通ビジョン (2025.06.12)

・2025.03.14 シンガポールオープンソースソフトウェアとサードパーティ依存のSBOMとリアルタイム脆弱性監視に関するアドバイザリー (2025.02.20)

・2024.11.25 欧州サイバーレジリエンス法、官報に掲載　(2024.11.20)

・2024.11.12 インド政府 CERT-In SBOM技術ガイド第１版 (2024.10.03)

・2024.11.09 ドイツ連邦セキュリティ室 (BSI) 意見募集 TR-03183：製造者及び製品に対するサイバーレジリエンス要件（一般要求事項、SBOM、脆弱性報告）

・2024.09.01 経済産業省ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引ver2.0 (2024.08.29)

・2024.01.08 米国 NSA SBOM管理のための推奨事項 (Ver. 1.1)

・2023.11.12 米国 NSA CISA ソフトウェアサプライチェーンの確保：ソフトウェア部品表の開示に関する推奨事項

・2023.10.13 米国 CISA FBI NSA DOT 運用技術 (OT) および産業制御システム (ICS) におけるオープンソースソフトウェアのセキュリティ向上

・2023.09.18 米国 CISA オープンソース・ソフトウェア・セキュリティ・ロードマップ

・2023.09.01 NIST SP 800-204D（初期公開ドラフト）DevSecOps CI/CDパイプラインにソフトウェアサプライチェーンセキュリティを統合するための戦略

・2023.08.30 日本ネットワークセキュリティ協会 (JNSA) 「日本におけるソフトウェアサプライチェーンとSBOMのこれから」「ゼロトラストと標準化」

・2023.08.15 ドイツ SBOMの要件...技術ガイドライン TR-03183：製造業者および製品に対するサイバーレジリエンス要件 (2023.08.04)

・2023.08.01 経済産業省ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引

・2023.07.09 米国 NSA CISA 継続的インテグレーション/継続的デリバリー（CI/CD）環境の防御に関する共同ガイダンス (2023.06.28)

・2023.07.03 OWASP SBOMガイダンス CycloneDX v1.5 (2023.06.23)

・2023.04.25 米国 CISA SBOM関連の二文書

・2022.11.17 CISA ステークホルダー別脆弱性分類 (SSVC) ガイド

・2021.05.13 米国国家のサイバーセキュリティ向上に関する大統領令

2025.08.25 00:00 in 情報セキュリティ / サイバーセキュリティ, in 内部統制 / リスクマネジメント, in パブコメ | Permalink | Comments (0)
Tweet

2025.08.24

米国 NIST SP 1331 ipd - CSF 2.0 を使用して新興のサイバーセキュリティリスクマネジメントを改善するためのクイックスタートガイド

こんにちは、丸山満彦です。

NISTがCSF 2.0 を使用して新興のサイバーセキュリティリスクマネジメントを改善するためのクイックスタートガイドのドラフトを公表し、意見募集をしていますね...

● NIST - ITL

・2025.08.21 NIST SP 1331 ipd - Quick-Start Guide for Using CSF 2.0 to Improve Management of Emerging Cybersecurity Risks

・2025.08.21 NIST SP 1331 (Initial Public Draft) Quick-Start Guide for Using CSF 2.0 to Improve Management of Emerging Cybersecurity Risks

NIST SP 1331 (Initial Public Draft) Quick-Start Guide for Using CSF 2.0 to Improve Management of Emerging Cybersecurity Risks	NIST SP 1331（公開ドラフト） CSF 2.0 を使用して新興のサイバーセキュリティリスクマネジメントを改善するためのクイックスタートガイド
Announcement	発表
This initial public draft highlights the topic of emerging cybersecurity risks and explains how organizations can improve their ability to address such risks through existing practices within the cyber risk discipline in conjunction with the NIST Cybersecurity Framework (CSF) 2.0. The guide also emphasizes the importance of integrating these practices with organizational enterprise risk management (ERM) to proactively address emerging risks before they occur.	この公開ドラフトでは、新興のサイバーセキュリティリスクというトピックに焦点を当て、組織がサイバーリスク分野における既存の慣行と NIST サイバーセキュリティ枠組み（CSF）2.0 を組み合わせて、このようなリスクに対処する能力を向上させる方法について説明している。また、このガイドでは、これらの実践を組織のエンタープライズリスクマネジメント（ERM）と統合し、新興リスクが発生する前に積極的に対応することの重要性も強調している。
…	…
This publication is the most recent in a portfolio of CSF 2.0 Quick-Start Guides released since February 26, 2024. These resources provide different audiences with tailored pathways into the CSF 2.0 and make the Framework easier to put into action.	この文書は、2024年2月26日から公開されている CSF 2.0 クイックスタートガイドのポートフォリオの最新刊である。これらのリソースは、さまざまな対象者に CSF 2.0 へのカスタマイズされた導入経路を提供し、枠組みの実践を容易にする。
View all of the CSF 2.0 quick start guides.	すべてのCSF 2.0クイックスタートガイドはこちら
Abstract	要約
This Quick-Start Guide introduces the topic of emerging cybersecurity risks and illustrates how organizations can improve their ability to address such risks through existing practices within the NIST Cybersecurity Framework (CSF) 2.0. The guide also emphasizes the importance of integrating these practices within the organization’s enterprise risk management (ERM) program.	このクイックスタートガイドは、新興のサイバーセキュリティリスクに関するトピックを紹介し、NISTサイバーセキュリティ枠組み（CSF）2.0内の既存の実践を通じて、組織がこのようなリスクに対処する能力を向上させる方法を示している。また、これらの実践を組織のエンタープライズリスクマネジメント（ERM）プログラムに統合することの重要性も強調している。

・[PDF] NIST.SP.1331.ipd

2025.08.23

米国 FBI 新興のオンライン脅威から子供を守る方法

こんにちは、丸山満彦です。

米国の小学校は今週水曜日くらいから新年度ですかね...FBIから、オンライン脅威から子供を守るためのヒント...

やるべきこと：

子どものオンラインサービスの利用状況を注意深く監視する。
子どもの情報を定期的にインターネットで検索し、その情報のエクスポージャーや拡散されていないか監視する。
子どもの身分を不正に使用されていないか確認するため、信用情報または身分盗用監視サービスを検討する。
子どもとのオープンなコミュニケーションを保ち、サイバー犯罪を予防する。子どものオンライン活動やプレイしているゲームについて話す。
ソフトウェア会社から定期的な更新を実施し、セキュリティ侵害を防止する。
テキスト、メール、その他のメッセージのやり取りを証拠として保存する。

やってはいけないこと：

加害者からのメッセージを削除しない。調査に不可欠だからだ。
ユーザープロファイルを作成する際、子どもの詳細な情報をプロバイダに提供しない（例：本名ではなくイニシャルを使用、正確な生年月日を避けて、写真を掲載しないなど）
オンラインに偽の脅迫を投稿しないでください。偽の脅迫は冗談ではなく、深刻な結果を招く可能性がある。学校を混乱させ、限られた警察の資源を無駄にし、初動対応者を不要な危険にさらすことになる。

● FBI

・2025.08.19 Staying One Step Ahead: How to Protect Kids from Emerging Online Threats

Staying One Step Ahead: How to Protect Kids from Emerging Online Threats	一歩先を行く：新興のオンライン脅威から子供を守る方法
With students back in school, FBI Jacksonville, the St. Johns County Sheriff’s Office, and Duval County Public School Police want to help parents and students build a digital defense to stay safe online. Predators don’t stop just because kids are in school.	学校が再開した今、FBIジャクソンビル、セントジョンズ郡保安官事務所、デュバル郡公立学校警察は、保護者や生徒がオンラインでの安全を確保するためのデジタル防御策を構築するお手伝いをしたいと考えている。子供たちが学校にいるからといって、犯罪者は活動を止めない。
“The internet is a powerful tool for education and connection, but criminals exploit its anonymity to target children,” said FBI Jacksonville Special Agent in Charge Jason Carley. “These predators are relentless and adapt quickly. By recognizing the warning signs, parents and caregivers can better protect their children. Taking action early can also stop a predator from harming another child.”	FBIジャクソンビル支局の特別捜査官ジェイソン・カーリー氏は次のように述べた。「インターネットは教育とつながりのための強力なツールであるが、犯罪者はその匿名性を悪用して子どもを標的としている。これらの加害者は執念深く、迅速に適応します。警告サインを認識することで、保護者や養育者は子どもをよりよく防御できる。早期に対策を講じることで、加害者が別の子どもを傷つけるのを防ぐことも可能である」
“Nothing is more important than the safety of our children and we will do everything in our power to hold offenders accountable,” said St. Johns County Sheriff Rob Hardwick. “I encourage parents and guardians to be proactive about monitoring online activities and educating yourself on Internet safety.”	サン・ジョンズ郡保安官ロブ・ハードウィック氏は次のように述べた。「子どもの安全以上に重要なものはない。私たちは、加害者を法の下に裁くために全力を尽くす。保護者や監護者は、オンライン活動を監視し、インターネット安全に関する知識を身につけるよう積極的に取り組むことを奨励する」
FBI Jacksonville has seen a 60% increase in sextortion complaints filed with our Internet Crime Complaint Center (IC3) across the state for the first 7 months of this year compared to last year, with losses close to $1 million. In North Florida, IC3 reports for the first 7 months of 2025 show the same number of complaints of sextortion compared to all of 2024. Sextortion can start on any site, app, messaging platform, or game where people meet and communicate and then ask children for explicit photos. After the criminals have one or more videos or pictures, they threaten to publish that content, or they threaten violence, to get the victim to produce more images. The shame, fear, and confusion children feel when they are caught in this cycle often prevents them from asking for help or reporting the abuse.	FBIジャクソンビルは、今年最初の7ヶ月間で、州内のインターネット犯罪通報センター（IC3）に寄せられたセクストーションの通報件数が、昨年同期比で60％増加し、被害額は約$100万ドルに上っている。北フロリダでは、2025年最初の7ヶ月間のIC3報告によると、セクストーションの通報件数は2024年全体と同一水準である。セクストーションは、人々がコミュニケーションするウェブサイト、アプリ、メッセージングプラットフォーム、ゲームなど、あらゆる場所で始まり、子どもに露骨な写真を要求する。犯罪者が1つ以上の動画や写真を取得すると、その内容を公開すると脅迫したり、暴力を行使すると脅迫したりして、被害者にさらに画像を送信させようとする。このサイクルに巻き込まれた子どもたちは、恥、恐怖、混乱を感じ、助けを求めたり、虐待を報告したりすることができないことが多い。
Violent online networks are also targeting vulnerable and underage populations across the United States and here in North Florida. These networks, which include 764 and others, target the most vulnerable members of society, our children and other at-risk individuals. They do this by connecting with them through online platforms commonly used by young people and then manipulating or coercing them into producing and sharing extreme gore content and child sexual abuse material (CSAM), or engaging in acts of animal cruelty, self-harm, or violence.	暴力的なオンラインネットワークは、米国全土および北フロリダ州でも、脆弱な未成年者を標的としている。これらのネットワークには764などがあり、社会で最も脆弱な層である子どもやリスクの高い個人を標的としている。彼らは、若者がよく利用するオンラインプラットフォームを通じて彼らと接触し、操作や強制により、過激な残虐コンテンツや児童性虐待素材（CSAM）の制作・共有、動物虐待、自傷行為、暴力行為などに加担させる。
We want to make sure parents and caregivers are armed with the information about red flags to watch for, including changes in behavior that could indicate online exploitation, cyberbullying or inappropriate content.	私たちは、保護者や養育者が、オンライン搾取、サイバーいじめ、不適切なコンテンツを示す行動の変化など、注意すべき兆候に関する情報を把握していることを確認したいと考えている。
Here’s a list of Do’s and Don’ts:	以下の「やるべきこと」と「やってはいけないこと」のリストをご確認ください：
Do:	やるべきこと：
・Closely monitor children’s use of online services.	・子どものオンラインサービスの利用状況を注意深く監視する。
・Conduct regular Internet searches of children’s information to monitor the exposure and spread of their information on the Internet.	・子どもの情報を定期的にインターネットで検索し、その情報のエクスポージャーや拡散されていないか監視する。
・Consider credit or identity theft monitoring to check for any fraudulent use of child’s identity.	・子どもの身分を不正に使用されていないか確認するため、信用情報または身分盗用監視サービスを検討する。
・Have open communication with your child/children to help prevent cybercrime. Talk about their online activities and what games they play.	・子どもとのオープンなコミュニケーションを保ち、サイバー犯罪を予防する。子どものオンライン活動やプレイしているゲームについて話す。
・Conduct regular updates from software companies to help stop security breaches.	・ソフトウェア会社から定期的な更新を実施し、セキュリティ侵害を防止する。
・Keep all text, email, and other message interactions as evidence.	・テキスト、メール、その他のメッセージのやり取りを証拠として保存する。
Don't:	やってはいけないこと：
・Don’t delete messages from the offenders. It’s crucial for investigations.	・加害者からのメッセージを削除しない。調査に不可欠だからだ。
・Don’t provide detailed information on children when creating user profiles (e.g., use initials instead of full names, avoid using exact dates of birth, avoid including photos, etc.)	・ユーザープロファイルを作成する際、子どもの詳細な情報をプロバイダに提供しない（例：本名ではなくイニシャルを使用、正確な生年月日を避けて、写真を掲載しないなど）
・Don't post hoax threats online. Hoax threats are not a joke, and they can have devastating consequences. It disrupts school, waste limited law enforcement resources, and puts first responders in unnecessary danger.	・オンラインに偽の脅迫を投稿しないでください。偽の脅迫は冗談ではなく、深刻な結果を招く可能性がある。学校を混乱させ、限られた警察の資源を無駄にし、初動対応者を不要な危険にさらすことになる。
Educators and parents are also encouraged to register students for the FBI Safe Online Surfing Internet Challenge (FBI SOS)—a free, interactive program that can be played at home or in the classroom. Lessons range from web terminology and password security, to safeguarding personal information, identifying online predators, good virtual citizenship and more. Although anyone can complete FBI SOS activities, the tests are designed for students in third through eighth grades.	教育者や保護者は、FBI Safe Online Surfing Internet Challenge（FBI SOS）に生徒を登録することを推奨されている。これは、自宅や教室でプレイできる無料のインタラクティブプログラムである。授業内容は、ウェブ用語やパスワードのセキュリティ、個人を特定できる情報の保護、オンラインの危険人物の識別、良いネット市民としての行動など多岐にわたる。FBI SOS の活動は誰でも参加できるが、テストは3年生から8年生を対象に設計されている。
Additional resources:	追加リソース：
・FBI Sextortion information	・FBI セクストーション情報
・PSA: Violent Online Networks Target Vulnerable and Underage Populations Across the United States and Around the Globe	・PSA：米国および世界中で、脆弱な未成年者を標的とした暴力的なオンラインネットワークが活動している
・FBI Jacksonville Be Smart	・FBI ジャクソンビル Be Smart
#ThinkBeforeYouPost Campaign	#ThinkBeforeYouPost キャンペーン
If you have evidence your child or someone else you know may be a victim of a crime, or if you want to report suspicious activity, please visit the FBI’s Internet Crime Complaint Center at www.ic3.gov. You can also contact FBI Jacksonville at (904)-248-7000 or your local police agency.	お子様や知り合いが犯罪の被害者である可能性のある証拠がある場合、または不審な活動を報告したい場合は、FBIのインターネット犯罪通報センター（www.ic3.gov）を参照のこと。また、FBIジャクソンビル（電話番号：(904)-248-7000）または最寄りの警察署まで連絡すること。

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.06.24 米国 GenCyber：第2空軍（キースラー基地）とミシシッピ州立大学はサイバーイニシアティブを通じて地元の幼稚園から高校（K-12）の教師を支援

・2023.09.20 英国 ICO 子供を守るための情報共有のための10ステップガイド (2023.09.14)

・2023.09.08 米国 CISA 幼稚園から高校まで (K-12) への教育ソフト開発会社とセキュア・バイ・デザインの誓約をかわす (2023.09.05)

・2023.08.14 米国 K-12（幼稚園から高校まで）の学校のサイバーセキュリティを強化する新たな取り組みを開始 (2023.08.07)

・2022.12.03 米国 GAO K-12（幼稚園から高校まで）の学校へのサイバー攻撃が増加している...その対応は？

・2022.10.22 米国 GAO 重要インフラの防御：K-12サイバーセキュリティを強化するためには、連邦政府のさらなる調整が必要である。

・2021.10.12 米国 K-12サイバーセキュリティ法2021

2025.08.23 00:00 in 情報セキュリティ / サイバーセキュリティ, in 法律 / 犯罪 | Permalink | Comments (0)
Tweet

2025.08.22

米国 NIST CSWP 51（初期公開ドラフト）交通機関のサイバーセキュリティフレームワークコミュニティプロファイルの開発：プロジェクトの最新情報

こんにちは、丸山満彦です。

NISTが、交通機関のサイバーセキュリティフレームワークコミュニティプロファイルの開発：プロジェクトの最新情報についてのホワイトペーパーのドラフトが公表され、意見募集されていますね...

● NIST - ITL

・2025.08.20 NIST CSWP 51 (Initial Public Draft) Developing a Transit Cybersecurity Framework Community Profile: Project Update

NIST CSWP 51 (Initial Public Draft) Developing a Transit Cybersecurity Framework Community Profile: Project Update	NIST CSWP 51（初期公開ドラフト）交通機関のサイバーセキュリティ枠組みコミュニティプロファイルの開発：プロジェクトの最新情報
Announcement	発表
This draft CSWP from the NIST National Cybersecurity Center of Excellence (NCCoE) presents cybersecurity challenges for owners and operators of public transportation services and describes the process for creating a Community Profile, set to publish later this year.	NIST 国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）によるこの CSWP ドラフトは、公共交通サービスの所有者および運営者が直面するサイバーセキュリティの課題を紹介し、今年後半に公開予定のコミュニティプロファイルの作成プロセスについて説明している。
Transit operators face increasing cybersecurity risks that can impact the delivery of safe and reliable services. They must manage IT and OT system risks while meeting strict safety and operating demands. This CSWP outlines the preliminary content of a Transit Cybersecurity Framework (CSF) Community Profile, a voluntary, risk-based approach to enhance cybersecurity, reduce risks, and improve the cybersecurity posture of the transit community.	交通機関の運営者は、安全で信頼性の高いサービスの提供に影響を与えるサイバーセキュリティのリスクの高まりに直面している。彼らは、厳格な安全および運用要件を満たしながら、IT および OT システムのリスクを管理しなければならない。この CSWP は、交通機関のサイバーセキュリティを強化し、リスクを軽減し、交通機関コミュニティのサイバーセキュリティ体制を改善するための、自主的なリスクベースのアプローチである「交通機関サイバーセキュリティフレームワーク（CSF）コミュニティプロファイル」の予備的な内容を概説している。
The Transit CSF Community Profile will suggest prioritization of cybersecurity outcomes to meet specific business/mission focus areas for the transit community and identify relevant security practices that can be implemented in support of those areas. This Profile is intended to complement, not replace, any existing cybersecurity programs, guidance, or policy that transit operators may already have in place.	Transit CSF Community Profile は、公共交通機関コミュニティの特定の事業/ミッションの重点分野に対応するためのサイバーセキュリティ成果の優先順位付けを提案し、それらの分野をサポートするために実施できる関連セキュリティプラクティスを識別している。このプロファイルは、公共交通機関事業者がすでに導入している既存のサイバーセキュリティプログラム、ガイダンス、ポリシーを補完するものであり、それらに代わるものではない。
...	...
Abstract	要約
Transit agencies face rising cybersecurity risks that can impact the delivery of safe and reliable transit services. This white paper outlines the preliminary content of a Transit Cybersecurity Framework (CSF) Community Profile that is intended to provide a mission-prioritized approach to identifying practical cybersecurity outcomes tailored to the sector’s cybersecurity challenges and priorities. It offers an update on the progress made to date, a preview of the priorities that the community shared that informs the Profile, and a general description of the essential features of a draft Profile. It is designed to engage public and private sector stakeholders in the transit community to inform a draft Transit CSF 2.0 Community Profile, set to publish later this year.	交通機関は、安全で信頼性の高い交通サービスの提供に影響を与える可能性のあるサイバーセキュリティリスクの高まりに直面している。このホワイトペーパーは、交通機関のサイバーセキュリティの課題と優先事項に合わせた、実用的なサイバーセキュリティの成果を識別するための、ミッション優先のアプローチを提供することを目的とした、交通機関のサイバーセキュリティ枠組み（CSF）コミュニティプロファイルの初期コンテンツの概要をまとめたものである。これまでの進捗状況、プロファイルの作成に反映されたコミュニティが共有した優先事項の概要、およびプロファイル草案の主な特徴について、最新情報をご提供している。これは、交通機関コミュニティの公共部門および民間部門のステークホルダーが、今年後半に公開予定の「交通機関 CSF 2.0 コミュニティプロファイル」のドラフト作成に参加することを目的としている。

・[PDF] NIST.CSWP.51.ipd

目次...

1. Introduction	1. 序論
2. Transit Stakeholder Engagement	2. 交通機関のステークホルダーの関与
3. Challenges to Securing Transit Systems	3. 交通システムのセキュリティ確保における課題
4. Community Profile Structure	4. コミュニティプロファイルの構造
5. The Role of Community Priorities in Profile Development	5. プロファイル策定におけるコミュニティの優先事項の役割
6. Community Profile Mapping	6. コミュニティプロファイルのマッピング
7. Applying the Transit CSF Community Profile	7. 交通機関 CSF コミュニティプロファイルの適用
8. Next steps	8. 次のステップ
References	参考文献

序論..

1. Introduction	1. 序論
The National Institute of Standards and Technology (NIST) Cybersecurity Framework (CSF) 2.0 introduced the concept of a Community Profile. A Community Profile is a baseline of CSF outcomes that is created and published to address shared interests and goals among a number of organizations. It is typically developed for a particular sector, subsector, technology, threat type, or other use case, and can be used by an organization as the basis for its own Organizational Target Profile [1].	米国国立標準技術研究所（NIST）のサイバーセキュリティフレームワーク（CSF）2.0 では、コミュニティプロファイルという概念が導入されました。コミュニティプロファイルは、複数の組織が共有する関心事や目標に対応するために作成され公開される、CSFの成果物の基準である。通常、特定の業界、サブ業界、技術、脅威の種類、またはその他の利用ケースを対象に開発され、組織が自社の組織目標プロファイル [1] の基盤として利用できる。
The National Institute of Standards and Technology is currently developing a Transit Community Profile to provide a voluntary, risk-based approach for managing cybersecurity activities, reducing cybersecurity risks, and improving the cybersecurity posture of the transit community.	米国国立標準技術研究所は現在、サイバーセキュリティ活動を管理し、サイバーセキュリティのリスクを軽減し、交通機関コミュニティのサイバーセキュリティ体制を改善するための、自主的なリスクベースのアプローチを提供するための交通機関コミュニティプロファイルを開発している。
The transit community, for the purposes of the Community Profile, includes public and private owners and operators of public transportation services. They operate a diverse mix of equipment and services that can include bus and rail (i.e., light rail, subway, and commuter rail), and also includes affiliated entities, such as county governments responsible for overseeing transit operations. However, it does not include national rail passenger or freight rail services.	コミュニティプロファイルの目的上、交通機関コミュニティには、公共交通サービスの公共および民間の所有者および運営者が含まれる。彼らは、バスや鉄道（ライトレール、地下鉄、通勤鉄道など）を含む多様な設備やサービスを運営しており、交通機関の運営を監督する郡政府などの関連事業体も含まれる。ただし、国の鉄道旅客輸送サービスや貨物輸送サービスは含まれない。
The Community Profile will suggest prioritization of cybersecurity outcomes to meet specific strategic business/mission focus areas for the transit community and identify relevant and actionable security practices that can be implemented in support of those areas. It is intended to complement, not replace, any existing cybersecurity programs, guidelines, or policy that transit operators may already have in place.	コミュニティプロファイルでは、交通機関コミュニティの特定の戦略的事業/ミッションの重点分野に対応するためのサイバーセキュリティ成果の優先順位付けを提案し、これらの分野を支援するために実施できる、関連性があり実行可能なセキュリティ対策の特定を行う。これは、交通機関事業者がすでに導入している既存のサイバーセキュリティプログラム、ガイドライン、またはポリシーを置き換えるものではなく、それらを補完するものである。
The Transit Community Profile will offer a variety of potential benefits, including but not limited to:	交通機関コミュニティプロファイルは、以下を含むがこれらに限定されない、さまざまな潜在的なメリットを提供する。
・Describe a shared taxonomy to support communication about cybersecurity risk management for transit owners/operators	・交通機関の所有者/運営者間のサイバーセキュリティリスクマネジメントに関するコミュニケーションを支援するための共通分類法を記述する
・Consolidate transit cybersecurity requirements, recommendations, and guidelines from multiple industry stakeholders under one framework	・複数の業界関係者の交通機関のサイバーセキュリティ要件、推奨事項、ガイドラインを 1 つの枠組みに統合する
・Develop common target outcomes that transit owners and operators can use to support strategic planning efforts and cybersecurity assessments	・交通機関の所有者および運営者が戦略的計画立案の取り組みやサイバーセキュリティアセスメントを支援するために使用できる、共通の目標成果を策定する
・Provide scalable and achievable cybersecurity recommendations and guidelines for transit owners/operators of all sizes	・あらゆる規模の交通機関の所有者/運営者に、拡張可能で達成可能なサイバーセキュリティに関する推奨事項およびガイドラインを提供する

交通システムのセキュリティ確保における課題...

3. Challenges to Securing Transit Systems	3. 交通システムのセキュリティ確保における課題
Transit owners and operators manage a complex network of business and operational systems in service to their mission. Examples can include:	交通機関の所有者や運営者は、その使命を果たすために、複雑なビジネスおよび運用システムのネットワークを管理している。その例としては、次のようなものが挙げられる。
• Rail signaling and train control systems	• 鉄道の信号および列車制御システム
• Bus fueling, battery-electric charging, and charge management systems	• バス用燃料供給、バッテリー充電、および充電管理システム
• Scheduling and dispatching	• スケジュール管理および配車
• Facility management systems	• 施設管理システム
• Emergency communications systems	• 緊急通信システム
• Control and communication systems	• 制御および通信システム
• Ticketing systems	• 発券システム
• Command centers	• コマンドセンター
• Revenue collection systems, including back office and fare payment systems	• バックオフィスおよび運賃収受システムを含む収入収受システム
• Public information systems, such as station-based electronic signage and web and mobile applications/systems	• 駅に設置された電子看板、ウェブおよびモバイルアプリケーション/システムなどの公共情報システム
Traditionally, many of these systems relied on direct connections for communications. Today, communication between and among these systems is digital and network-based, including through extensive use of wireless connectivity. This dependence on digital technology and interconnections to sustain daily operations has widened the cyber attack surface for transit agencies. Operators must now manage the cybersecurity risk of their IT and OT systems while meeting increasingly demanding safety and operating requirements.	従来、これらのシステムの多くは、通信に直接接続に依存していた。今日、これらのシステム間の通信は、ワイヤレス接続の広範な利用を含め、デジタル化およびネットワーク化されている。日常業務を維持するためのデジタル技術と相互接続への依存度が高まったことで、交通機関のサイバー攻撃の攻撃対象範囲は拡大している。事業者たちは、ますます厳しくなる安全および運用要件を満たしながら、IT および OT システムのサイバーセキュリティリスクを管理しなければならない。
Several aspects of the transit sector make it uniquely challenging to protect and requires a more tailored approach to prioritize and apply cybersecurity risk management measures. These include:	交通機関セクターには、その保護を特に困難にするいくつかの側面があり、サイバーセキュリティリスクマネジメント措置の優先順位付けと適用には、より個別化されたアプローチが必要だ。その例としては、次のようなものが挙げられる。
• Safety-critical control systems. Safety-critical control systems—such as signaling and train control for rail, and steering, acceleration, and brake control for buses—are governed by standards which may not fully account for cybersecurity risk. Cybersecurity risk mitigations for these systems must be carefully implemented to ensure they meet safety and industry standards without triggering the need for safety recertification.	• 安全上重要な制御システム。鉄道の信号や列車制御、バスの操舵、加速、ブレーキ制御など、安全上重要な制御システムは、サイバーセキュリティのリスクを十分に考慮していない標準によって管理されている。これらのシステムのサイバーセキュリティリスクを緩和するには、安全基準および業界標準を確実に満たし、安全の再認証の必要が生じないように、慎重に実施する必要がある。
• Legacy systems. Most transit agencies simultaneously manage both modern and legacy IT and OT infrastructure and systems. Legacy systems and assets in the transit sector have long lifecycles measured in decades, not years, and may not be able to accommodate modern cybersecurity controls (e.g., multifactor authentication, advanced encryption). Retrofitting these systems for cybersecurity purposes can be cost-prohibitive and disruptive, and compensating cybersecurity controls may be needed to meet the security outcomes.	• レガシーシステム。ほとんどの交通機関は、最新の IT および OT インフラストラクチャとシステムを同時に管理している。交通部門のレガシーシステムおよび資産は、そのライフサイクルが数年ではなく数十年と長く、最新のサイバーセキュリティ制御（多要素認証、高度な暗号化など）に対応できない場合がある。これらのシステムをサイバーセキュリティの目的で改造するには、多額の費用がかかり、業務に支障をきたすおそれがある。また、セキュリティの成果を達成するには、補完的なサイバーセキュリティ制御が必要になる場合がある。
• Communication systems. Communication systems (e.g., wireless, wired, radio) are the backbone of public transit operations, supporting coordination between buses, vehicles, trains, control centers, and infrastructure. They facilitate real-time updates, signaling, dispatching, and monitoring. Any disruption or compromise in these systems can lead to operational failures, delays, or even accidents, impacting the safety and reliability of transit systems.	• コミュニケーションシステム。コミュニケーションシステム（ワイヤレス、有線、無線など）は、バス、車両、電車、制御センター、インフラ間の連携をサポートする、公共交通機関の運営のバックボーンだ。リアルタイムの更新、信号、配車、監視を容易にする。これらのシステムに障害や侵害が発生すると、運用障害、遅延、さらには事故につながり、交通システムの安全性と信頼性に影響を与える可能性がある。
• Vendor supply chain. Rail and bus transportation systems and components are supplied by a large variety of domestic and global suppliers. Likewise, transit agencies rely heavily on vendor services and contractors to install, manage, and maintain their IT and OT systems and infrastructure. Cybersecurity supply chain risk management must be part of an organization-wide risk management strategy.	• ベンダーのサプライチェーン。鉄道およびバス輸送システムとそのコンポーネントは、国内外のさまざまなサプライヤーから供給されている。同様に、交通機関は、IT および OT システムとインフラストラクチャの設置、管理、保守をベンダーのサービスや請負業者に大きく依存している。サイバーセキュリティのサプライチェーンリスクマネジメントは、組織全体のリスクマネジメント戦略の一部として組み込む必要がある。
• Distributed and mobile operations. Transit operations and their support systems are geographically dispersed with mobile assets. Rail operators, for example, manage systems and sensors that encompass the rail network and associated facilities. Likewise, bus operators support moving assets, garages, and maintenance facilities deployed across a metropolitan region.	• 分散型およびモバイル型の業務。交通機関の運用およびそのサポートシステムは、地理的に分散しており、移動資産も伴います。たとえば、鉄道事業者は、鉄道網および関連施設を網羅するシステムやセンサーを管理しています。同様に、バス事業者は、大都市圏に展開されている移動資産、車庫、保守施設をサポートしています。
• Physical security concerns. Transit assets and infrastructure are both accessible to and used by the public. Many of the supporting systems are also distributed across a broad region, making physical security more challenging and exposing certain elements, such as telecommunications systems or wayside equipment, to potential unauthorized physical and logical access by malicious actors.	• 物理的なセキュリティ上の懸念。交通資産とインフラは、一般市民がアクセス可能であり、利用されている。多くの支援システムも広範な地域に分散しているため、物理的セキュリティがより困難になり、通信システムや沿線設備などの要素が、悪意のあるアクターによる不正な物理的・論理的アクセスにさらされるリスクがある。
• Safety-centric culture. A transit operator’s top responsibility is safety. Cybersecurity knowledge and awareness in many agencies is still maturing. The American Public Transportation Association, federal agencies, suppliers, and the operating agencies themselves have worked to develop and organize resources to advance cybersecurity awareness and protections specific to transit operations. Cybersecurity measures and training must continue to integrate into an agency’s overall safety framework to improve effectiveness.	• 安全中心の文化。交通機関の運営者の最大の責任は安全だ。多くの機関では、サイバーセキュリティに関する知識と意識はまだ成熟していない。米国公共交通協会、連邦政府機関、サプライヤー、および運営機関自身が、交通機関の運営に特化したサイバーセキュリティの意識向上と保護を推進するためのリソースの開発と整理に取り組んでいる。サイバーセキュリティ対策とトレーニングは、その有効性を高めるために、引き続き機関の全体的な安全枠組みに統合されなければならない。

2025.08.22 00:00 in 情報セキュリティ / サイバーセキュリティ, in 危機管理 / 事業継続, in IoT, in 安全保障 | Permalink | Comments (0)
Tweet

米国 NIST SP 1318 管理対象非機密情報（CUI）の保護：NIST 特別刊行物 800-171 第3版の中小企業向け入門書

こんにちは、丸山満彦です。

NISTが、NIST SP 1318 管理対象非機密情報（CUI）の保護：NIST 特別刊行物 800-171 第3版の中小企業向け入門書を公表していますね...

論理的には、SP800-53に基づいて運用されている連邦政府のCUI情報やシステムへのアクセスがある企業は、SP800-171に基づいて運用した上で、連邦政府のCUI情報やシステムにアクセスすることが必要となるわけでうがとはいえ、連邦政府を象とすれば、アリのような組織もあるわけですので、どうするのか？という話になります。。。

ということで、このようなガイドをつくり、理解を深めてもらいながら、適切な実装を促していくことになるのでしょうね...

● NIST - ITL

・2028.08.18 NIST SP 1318 Protecting Controlled Unclassified Information (CUI): NIST Special Publication 800-171, Revision 3. Small Business Primer

NIST SP 1318 Protecting Controlled Unclassified Information (CUI): NIST Special Publication 800-171, Revision 3. Small Business Primer	NIST SP 1318 管理対象非機密情報（CUI）の保護：NIST 特別刊行物 800-171 第3版の中小企業向け入門書
Abstract	概要
This introductory guide provides small businesses with a high level overview of NIST Special Publication (SP) 800-171 Revision 3, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations. The document is broken up into two separate sections. The first few pages provide a general overview tailored to business leaders or those new to SP 800-171 R3 The second section is written for those who are tasked with implementing the security requirements in SP 800-171 R3 (whether doing it themselves or engaging a vendor), or those who want to gain an introductory understanding of each of the control families. This primer is not all-encompassing and serves as a bridge to the larger SP 800-171 R3 publication. The guide includes an overview of SP 800-171 R3, frequently asked questions, tips for getting started, related resources, definitions and examples, and more.	この入門ガイドは、中小企業向けに、NIST 特別刊行物（SP）800-171 改訂 3「非連邦システムおよび組織における管理対象非機密情報の保護」の概要を説明している。この文書は 2 つのセクションに分かれています。最初の数ページは、ビジネスリーダーや SP 800-171 R3 を初めて使用する方を対象とした概要です。2 番目のセクションは、SP 800-171 R3 のセキュリティ要件の実施を担当する方（自社で実施する場合も、ベンダーに委託する場合も）、または各制御ファミリーの概要を理解したい方を対象としています。このガイドは包括的なものではなく、SP 800-171 R3の主要な出版物への橋渡し役として機能します。ガイドには、SP 800-171 R3の概要、よくある質問、開始時のヒント、関連リソース、定義と例などが含まれています。

・[PDF] NIST.SP.1318

2025.08.22 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 監査 / 認証, in 内部統制 / リスクマネジメント | Permalink | Comments (0)
Tweet

2025.08.21

NATO CCD COE タリンペーパー第15号欧州のサイバー防衛の最前線であるウクライナ：ロシアのサイバー攻撃に直面するレジリエンスの構築

こんにちは、丸山満彦です。

NATO CCD COEタリンペーパー第15号は、欧州のサイバー防衛の最前線であるウクライナ：ロシアのサイバー攻撃に直面するレジリエンスの構築というテーマで、ロシアのウクライナ侵攻に際して行われたサイバー戦を分析し、提言をまとめていますね...

提言には、

軍隊の正式な構成要素としてのサイバー部隊の設立、
民間部門の専門知識を統合するためのメカニズム、
平和時および紛争時の防御的および攻撃的なサイバー作戦を支援するための法的・組織的枠組みの構築
サイバー同盟の設立

を含む12の提言がありますね...

サイバー防衛を担当する正規の軍事組織としてのサイバー部隊の設立；
平時および戦時における防御的および攻撃的なサイバー作戦の実施に関する法的および組織的枠組みの明確化、および必要に応じてその確立
必要に応じて、サイバー防衛活動に民間専門家の緊急参加を行うための実証済みのメカニズム
軍事的脅威が発生した場合に、重要な情報システムの物理的保護（その移転の手順を含む）を行うための政策および組織的メカニズム
すべての重要な情報システムに対するデータバックアップの義務化；
国家機関、軍隊、重要インフラのサイバー保護の継続的な強化、およびその職員および軍人のサイバー衛生レベルの向上。
女性の役割の促進を含む、人的サイバー人材の持続的な育成；
官民パートナーシップの発展、国家安全保障に対する深刻な脅威や軍事侵略が発生した場合のサイバー防衛における大手民間 IT 企業の役割と責任の明確化
危機時における国家機関、民間部門、国際パートナー間の効果的な調整メカニズムの確保；
ロシア製ソフトウェア製品およびメッセンジャー（特にテレグラム）の使用制限；
国家 DNS の導入
ロシアのサイバー脅威を防止・対処するための共同の実践的メカニズムの構築を可能にする国際協力の発展。

● NATO CCDCOE

・2025.08.05 New Tallinn Paper analysis Russian cyber agression and proposes ways to strengthen Europe’s cyber defence

New Tallinn Paper analysis Russian cyber agression and proposes ways to strengthen Europe’s cyber defence	新しいタリンペーパーの分析ロシアのサイバー攻撃と欧州のサイバー防衛強化策
NATO Cooperative Cyber Defence Centre of Excellence has published a new analysis in the Tallinn Paper series. The article „Ukraine as the Frontline of European Cyber Defence: Building Resilience in the Face of Russian Cyber Aggression“ by Dr Nataliya Tkachuk explores Ukraine’s journey toward the development of its national cybersecurity system, building cyber resilience and cyber defence capabilities in countering Russian cyber aggression, and the lessons learned that may be valuable for other European nations.	NATO サイバー防衛協力センター・オブ・エクセレンスは、タリン・ペーパー・シリーズの新分析を発表した。ナタリア・トカチュク博士による記事「欧州のサイバー防衛の最前線であるウクライナ：ロシアのサイバー攻撃に直面したレジリエンスの構築」では、ウクライナの国家サイバーセキュリティシステムの開発、ロシアのサイバー攻撃に対抗するためのサイバーレジリエンスとサイバー防衛能力の構築、および他の欧州諸国にとって貴重な教訓となる教訓について考察している。
Russia’s launching its military aggression against Ukraine in 2014 can also be considered the beginning of the world’s first cyber war. The paper analyses Russia’s tactics in cyber warfare and their gradual transformation, and examines the growing Russian cyber threat to EU countries.	2014年にロシアがウクライナに対して軍事侵略を開始したことは、世界初のサイバー戦争の始まりとも考えられる。この論文では、サイバー戦におけるロシアの戦術とその段階的な変化を分析し、EU諸国に対するロシアのサイバー脅威の高まりについて考察している。
Ukraine has demonstrated a high level of cyber resilience and maturity in the face of Russian cyber aggression, setting an example for Western countries and offering valuable lessons for partner nations seeking to enhance their own cybersecurity postures.	ウクライナは、ロシアのサイバー攻撃に対して高いレベルのサイバーレジリエンスと成熟度を発揮し、欧米諸国にとって模範となり、自国のサイバーセキュリティ体制の強化を目指すパートナー諸国にとって貴重な教訓となっている。
Drawing on Ukraine’s experience, the article offers twelve recommendations for developing effective national cyber defence capabilities. These include the establishment of dedicated cyber forces as a formal component of the military, mechanisms for integrating private sector expertise, and the creation of legal and organizational frameworks to support both defensive and offensive cyber operations in times of peace and conflict. The paper also suggests to consider the formation of a Cyber Alliance comprising EU member states, the United Kingdom and Ukraine.	ウクライナの経験を踏まえ、本論文では、効果的な国家サイバー防衛能力の開発に関する 12 の提言を提示している。その中には、軍隊の正式な構成要素としてのサイバー部隊の設立、民間部門の専門知識を統合するためのメカニズム、平和時および紛争時の防御的および攻撃的なサイバー作戦を支援するための法的・組織的枠組みの構築などが含まれている。また、EU 加盟国、英国、ウクライナで構成されるサイバー同盟の設立も検討すべきであると提案している。
Read the full paper in CCDCOE Library.	CCDCOE ライブラリで論文全文を参照のこと。
The NATO CCD COE’s Tallinn Papers are designed to inform strategic dialogue regarding cyber security within the Alliance and beyond. They address cyber security from a multidisciplinary perspective by examining a wide range of issues, including cyber threat assessment, domestic and international legal dilemmas, governance matters, assignment of roles and responsibilities for the cyber domain, the militarization of cyberspace, and technical.	NATO CCD COE の「タリンペーパー」は、同盟内外のサイバーセキュリティに関する戦略的対話に情報を提供することを目的としている。これらのペーパーは、サイバー脅威のアセスメント、国内および国際的な法的ジレンマ、ガバナンスの問題、サイバー領域における役割と責任の割り当て、サイバー空間の軍事化、技術的な問題など、幅広い問題を検討し、学際的な観点からサイバーセキュリティを取り上げている。

・2025.08.05 Ukraine as the Frontline of European Cyber Defence: Building Resilience in the Face of Russian Cyber Aggression

Ukraine as the Frontline of European Cyber Defence: Building Resilience in the Face of Russian Cyber Aggression

欧州のサイバー防衛の最前線であるウクライナ：ロシアのサイバー攻撃に直面したレジリエンスの構築

The article explores Ukraine’s journey toward the development of its national cybersecurity system, building cyber resilience and cyber defence capabilities in countering Russian cyber aggression, and the lessons learned that may be valuable for other European nations. It analyses Russia’s tactics in cyber warfare and their gradual transformation, and examines the growing Russian cyber threat to EU countries. This Tallinn Paper aims to propose ways to strengthen Europe’s collective cyber defence based on Ukraine’s experience. The study is based on scientific articles, analytical materials and statistical data from open sources, as well as open public information created and used by the main entities of the national cybersecurity system of Ukraine when ensuring cybersecurity. It delivers twelve key and context-specific recommendations on building effective national cyber defence capabilities and proposes the creation of a Cyber Alliance to prevent and counter Russian cyber threats.

この記事では、ウクライナが、国家のサイバーセキュリティシステムの開発、サイバーレジリエンスの構築、ロシアのサイバー攻撃に対抗するためのサイバー防衛能力の構築に向けて歩んできた道のりと、他の欧州諸国にとって貴重な教訓となるであろう教訓について考察している。また、サイバー戦におけるロシアの戦術とその漸進的な変化を分析し、EU 諸国に対するロシアのサイバー脅威の高まりについて検証している。このタリンペーパーは、ウクライナの経験に基づいて、欧州の集団的サイバー防衛を強化する方法を提案することを目的としている。この研究は、公開情報源からの科学論文、分析資料、統計データ、およびウクライナの国家サイバーセキュリティシステムの主要事業体がサイバーセキュリティの確保のために作成・利用した公開情報に基づいている。効果的な国家サイバー防衛能力の構築に関する 12 の重要かつ状況に応じた提言を行い、ロシアのサイバー脅威を防止・対処するためのサイバー同盟の創設を提案している。

・[PDF]

・[DOCX][PDF] 仮訳

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.06.14 NATO CCDCOE タリンペーパー第14号は、サイバー外交とその実践に焦点を当てている

・2022.04.05 NATO CCDCOE タリンペーパー第13号：平時のサイバーアトリビューションに関する証明基準の開発

・2020.12.16 NATO CCDCOEがタリンマニュアル3.0の開発を進めるとアナウンスしていますね。。。

2025.08.21 00:00 in 情報セキュリティ / サイバーセキュリティ, in 法律 / 犯罪, in 安全保障 | Permalink | Comments (0)
Tweet

米国 NIST 超伝導ニューラルネットワークが自ら学習することを実証 (2025.08.18)

こんにちは、丸山満彦です。

NISTの研究者が超伝導ニューラルネットワークが自ら学習することを実証したと発表していますね...

詳細なシミュレーションを用いて、ニューラルネットワーク（人間の脳にヒントを得た電子回路）の一種をプログラムすることで、新しいタスクを強化学習を用いた自己学習できることを実証したということのようです。

学習速度が向上することになるので、開発の時間短縮、リアルタイム学習によるリアルタイム対応、環境負荷の低減等が考えられますかね...

人間の脳は、自分でいうのも何ですが(^^)、コンピュータに比べて非常にエネルギー効率の高い計算システムですよね...地球上に80億人の人がいるにも関わらず（食料不足で苦しんでいる人はいるものの）系全体としてはエネルギー不足にはなっていないように見えますからね...

その上、最小限の監視と不完全な訓練データでも新しいタスクを学習する能力があり、適応力が高く、耐障害性も高い。。。考えれば、すごい器官といえますよね...

それをコンピュータでどのように真似ようかというのは、当然の流れですが、NISTは、自己学習が可能で、エネルギー効率の高い、アーキテクチャを考えたようです...どこまでわかるかはありますが、内容を確認したいと思います...

● NIST - ITL

・2025.08.18 NIST Researchers Demonstrate that Superconducting Neural Networks Can Learn on Their Own

NIST Researchers Demonstrate that Superconducting Neural Networks Can Learn on Their Own	NIST の研究者、超伝導ニューラルネットワークが自ら学習できることを実証
Using detailed simulations, researchers at the National Institute of Standards and Technology (NIST) and their collaborators have demonstrated that a class of neural networks – electronic circuits inspired by the human brain – can be programmed to learn new tasks on their own. After initial training, the NIST superconducting neural networks were 100 times faster at learning new tasks than previous neural networks.	米国国立標準技術研究所（NIST）の研究者たちは、詳細なシミュレーションを用いて、人間の脳から着想を得た電子回路であるある種のニューラルネットワークが、自ら新しいタスクを学習するようにプログラムできることを実証した。初期トレーニングの後、NIST の超伝導ニューラルネットワークは、従来のニューラルネットワークよりも 100 倍も早く新しいタスクを学習することができた。
Neural networks make decisions by mimicking the way neurons in the human body work together. By adjusting the flow of information among neurons, the human brain identifies new phenomena, learns new skills, and weighs different options in making decisions.	ニューラルネットワークは、人体のニューロンが連携して機能する方法を模倣して意思決定を行う。ニューロン間の情報の流れを調整することで、人間の脳は新しい現象を識別し、新しいスキルを習得し、意思決定においてさまざまな選択肢を比較検討する。
The NIST scientists focused their efforts on superconducting neural networks, which transmit information at high speed--in part because they allow current to flow without resistance. Once cooled to just 4 degrees above absolute zero, they consume much less energy than other networks, including neurons in the human brain.	NISTの研究者は、超伝導神経ネットワークに焦点を当てた。これは、抵抗なしで電流を流すことができるため、情報を高速で伝達できるからである。絶対零度から4度まで冷却されると、他のネットワーク（人間の脳の神経細胞を含む）よりもはるかに少ないエネルギーを消費する。

(a) Biological neuron vs. NIST superconducting neuron design. In the NIST design, incoming pulses are split into two branches (green and red), each with an adjustable superconducting quantum interference device (SQUID) inductively coupled into a summation loop (soma); the soma combines the branch outputs and, when a threshold is crossed, launches an output pulse on a transmission line (axon) to the next neuron. A superconducting loop (blue) between the branches stores the neuron's weight as a persistent quantized current that can be varied.	(a) 生物学的神経細胞とNIST超伝導神経細胞の設計。NISTの設計では、入力パルスは2つの枝（緑と赤）に分割され、各枝には調整可能な超伝導量子干渉装置（SQUID）が誘導結合された合計ループ（ソマ）に接続されている。ソマは枝の出力を結合し、閾値を超えた際に伝送線（軸索）を介して次の神経細胞に出力パルスを送信する。分岐間の超伝導ループ（青）は、ニューロンの重みを持続的な量子化電流として蓄積し、調整可能である。
(b) Weighting the neuron. Increasing the positive current in the weight loop strengthens the coupling of the positive branch to the soma and weakens the negative branch, yielding a larger positive net pulse after integration. Conversely, increasing the negative current strengthens the negative branch and weakens the positive branch, producing a larger negative net pulse. The synapse stores and applies the weight of the pulse passing between neurons.	(b) ニューロンの重み付け。重みループの正の電流を増加させると、正の分岐とソマの結合が強化され、負の分岐が弱まり、統合後の正のネットパルスが拡大する。逆に、負の電流を増やすと負の枝が強化され、正の枝が弱まり、より大きな負のネットパルスが生成される。シナプスは、神経細胞間で伝達されるパルスの重みを保存し適用する。
(c) Example responses. With zero current in the weight loop, an input pulse produces no net signal in the soma. Adjusting the current positively or negatively produces, respectively, a positive or negative response in the soma to the same input.	(c) 応答の例。重みループに電流がゼロの場合、入力パルスは細胞体にネット信号を生じません。電流を正または負に調整すると、同じ入力に対してそれぞれ正または負の応答が細胞体で生じる。
Credit: S. Kelley/NIST	クレジット：S. Kelley/NIST
In their new design, NIST scientist Michael Schneider and his colleagues found a way to manipulate the building blocks of a superconducting neural network so that it could perform a type of self-learning known as reinforcement learning. Neural networks use reinforcement learning to learn new tasks such as acquiring a new language.	NIST の科学者 Michael Schneider 氏とその同僚たちは、新しい設計において、超伝導ニューラルネットワークの構成要素を操作して、強化学習と呼ばれる自己学習を行う方法を見出した。ニューラルネットワークは、強化学習を用いて、新しい言語の習得などの新しいタスクを学習する。
A key element in any neural network is how preferences, or weights, are assigned to pathways in the electrical circuitry, akin to the way the brain assigns weights to different neural pathways. Weights are adjusted in a neural network using the proverbial carrot and stick method – strengthening the weighting of pathways that provide the correct answer and weakening those that lead to incorrect answers. In the NIST system, self-learning is acquired because hardware that makes up the circuitry determines the size and direction of these weight changes, requiring no external control or additional computations to learn new tasks.	あらゆるニューラルネットワークの重要な要素は、脳がさまざまな神経経路に重みを割り当てるのと同じように、電気回路の経路に好み、つまり重みを割り当てる方法である。重みは、よく知られた「飴と鞭」の方法を用いてニューラルネットワークで調整される。つまり、正しい答えをもたらす経路の重みを強化し、間違った答えをもたらす経路の重みを弱めるのである。NISTのシステムでは、回路を構成するハードウェアがこれらの重みの変化の大きさや方向を決定するため、新しいタスクを学習するために外部制御や追加の計算が不要である。
The researchers reported their findings online March 4 in Unconventional Computing.	研究者は3月4日に『Unconventional Computing』でオンラインで研究結果を発表した。
The NIST design offers two advantages. First, it enables the network to learn continually as new data becomes available. Without that capability, the entire network would have to be retrained from scratch each time researchers add data or alter the desired outcome.	NISTの設計には2つの利点がある。まず、新しいデータが追加されるたびにネットワークが継続的に学習できる点である。この機能がない場合、研究者がデータを追加したり、望ましい結果を変更したりするたびに、ネットワーク全体を最初から再訓練する必要がある。
Secondly, the design automatically adjusts the weighting of different pathways in the network to accommodate slight variations in the size and electrical properties of the hardware components may happen during fabrication. That flexibility is a huge benefit for training neural networks, which ordinarily require precise programming of weighted values.	第二に、設計はネットワーク内の異なる経路の重みを自動的に調整し、製造時にハードウェアコンポーネントのサイズや電気的特性に生じる微小な変動に対応できる。この柔軟性は、通常は重み値の精密なプログラミングを必要とするニューラルネットワークの訓練において、大きな利点である。
The design also has the potential to dramatically speed up training of neural networks and use significantly less energy than training designs based on semiconductors or software, Schneider said. With simulations demonstrating the feasibility of the hardware approach, Schnieder and his colleagues now plan to build a small-scale self-learning superconducting neural network.	シュナイダー氏は、この設計は半導体やソフトウェアに基づく訓練設計に比べて、ニューラルネットワークの訓練を大幅に高速化し、エネルギー消費を大幅に削減する可能性があると述べている。シミュレーションでハードウェアアプローチの実現可能性が示されたため、シュナイダー氏と研究チームは現在、小規模な自己学習型超伝導ニューラルネットワークの構築を計画している。

論文はこちら...

● Nature - unconventional computing

・2025.03.04 A self-training spiking superconducting neuromorphic architecture

2025.08.21 00:00 in AI/Deep Learning | Permalink | Comments (0)
Tweet

2025.08.20

金融庁業界団体との意見交換会において金融庁が提起した主な論点（令和７年６月）(2025.08.15)

こんにちは、丸山満彦です。

金融庁が、6月に業界団体との意見交換会において提起した主な論点を公表していますね...

主要行等、全国地方銀行協会、第二地方銀行協会とは、毎月開催されているのですが、今回は昨年11月につづけて2回目の「日本暗号資産等取引業協会」との意見交換会が開催され、その内容が公表されいます...

セキュリティの話もあります、そして、PQCも。。。

● 金融庁

・2025.08.15 業界団体との意見交換会において金融庁が提起した主な論点（令和７年６月）

・・日本暗号資産等取引業協会（令和７年６月11日）

意見交換した内容は

１．国内外の情勢の動向を踏まえた対応について

２．暗号資産交換業等を取り巻く当面の課題等について
（１）暗号資産交換業等を取り巻く当面の課題等について
（２）金融庁 AI 官民フォーラム開催について
（３）Japan Fintech Week 2025 開催報告について

３．顧客口座・アカウントの不正アクセス等への対策の強化に関する要請等について
（１）顧客口座・アカウントの不正アクセス等への対策の強化に関する要請について
（２）耐量子計算機暗号（PQC）への移行対応について
（３）パスワード付きファイルの電子メールによる送付について

４．マネロン等対策の「有効性検証」の考え方・対話の進め方に関する文書の公表等について
（１）マネロン等対策の「有効性検証」の考え方・対話の進め方に関する文書の公表について
（２）「疑わしい取引の参考事例」の改訂について
（３）「国民を詐欺から守るための総合対策 2.0」について
（４）犯罪収益移転防止法施行規則の改正案の公表について（非対面の本人確認方法の見直し）

５．金融行政モニター制度について

2025.08.20 00:00 in 情報セキュリティ / サイバーセキュリティ, in 内部統制 / リスクマネジメント, in AI/Deep Learning, in 暗号 / 電子署名 / ブロックチェーン, in 量子技術 | Permalink | Comments (0)
Tweet

英国新興技術の組み合わせとそのサイバーセキュリティへの影響 (2025.08.08)

こんにちは、丸山満彦です。

英国の科学、イノベーション＆テクノロジー省が、新興技術の組み合わせとそのサイバーセキュリティへの影響についての報告書を公表していますが、興味深いですね...

新興技術としては、

人工知能（AI）、
ブロックチェーン、
IoT、
エッジコンピューティング、
量子コンピューティング、
ブレイン・コンピュータ・インターフェースなど

の技術間の相乗関係を考察し、それらの交点がサイバー脅威の状況をどのように変革するかを分析しているということのようです...

● GOV.UK

・2025.08.08 Emerging technology pairings and their effects on cyber security

Emerging technology pairings and their effects on cyber security	新興技術の組み合わせとそのサイバーセキュリティへの影響
Research on the convergence of emerging technologies and the implications for cyber security.	新興技術の融合に関する研究とそのサイバーセキュリティへの影響。
Details	詳細
The convergence of emerging technologies is transforming industries, introducing both opportunities and unprecedented cyber security challenges. This paper explores the synergistic relationships between technologies such as Artificial Intelligence (AI), Blockchain, the Internet of Things (IoT), Edge Computing, Quantum Computing, and Brain-Computer Interfaces, analysing how their intersections reshape the cyber threat landscape.	新興技術の融合は、産業を変革し、機会と前例のないサイバーセキュリティの課題の両方をもたらしている。本論文では、人工知能（AI）、ブロックチェーン、IoT、エッジコンピューティング、量子コンピューティング、ブレイン・コンピュータ・インターフェースなどの技術間の相乗関係を考察し、それらの交点がサイバー脅威の状況をどのように変革するかを分析している。
Through a comprehensive review of the literature and real-world case studies, this study identifies and highlights key vulnerabilities arising from these technological pairings.	文献の包括的なレビューと実例研究を通じて、この研究は、これらの技術の組み合わせから生じる主要な脆弱性を識別し、その重要性を強調している。
This research is part of the government’s wider work to ensure good cyber security in new and emerging technologies, and to improve cyber resilience across the UK economy.	この研究は、新しい技術や新興技術における優れたサイバーセキュリティを確保し、英国経済全体のサイバーレジリエンスを向上させるための、政府による広範な取り組みの一環である。

新興技術とそのサイバーセキュリティへの影響

・2025.08.08 Emerging technologies and their effect on cyber security

1. Executive summary	1. エグゼクティブサマリー
2. Introduction	2. 序論
3. Definitions of emerging technologies and pairings	3. 新興技術と組み合わせの定義
4. Methodology	4. 方法論
4.1 Research questions	4.1 研究質問
4.2 Stage 1: Construction of long list	4.2 段階1：長リストの構築
4.3 Stage 2: Initial prioritisation of Technologies, and technology pairings	4.3 段階2：技術の初期優先順位付けと技術組み合わせ
4.3.1 Pairings and groupings	4.3.1 組み合わせとグループ化
4.4 Stage 3: Systematic literature review	4.4 段階3：体系的な文献レビュー
4.5 Research Limitations	4.5 研究の制限
5. Literature review	5. 文献レビュー
5.1 Digital Twins and Artificial Intelligence	5.1 デジタルツインと人工知能
5.1.1 Identified Groupings	5.1.1 特定されたグループ
5.1.2 Summary of Digital Twins and AI	5.1.2 デジタルツインと AI の概要
5.1.3 Digital Twins and AI Cyber Implications	5.1.3 デジタルツインと AI のサイバーへの影響
5.1.4 Conclusions of Digital Twins and AI for convergence	5.1.4 融合に関するデジタルツインと AI の結論
5.2 Blockchain and Artificial Intelligence	5.2 ブロックチェーンと人工知能
5.2.1 Identified Groupings	5.2.1 特定されたグループ
5.2.2 Summary of Blockchain and AI	5.2.2 ブロックチェーンと AI の概要
5.2.3 Cyber Security Impacts of Blockchain and AI	5.2.3 ブロックチェーンと AI のサイバーセキュリティへの影響
5.2.4 Emerging Countermeasures	5.2.4 新たな対策
5.2.5 Case Study: AI-Blockchain Synergy for Secure Supply Chain Management	5.2.5 ケーススタディ：サプライチェーンマネジメントのセキュリティ強化のための AI とブロックチェーンの相乗効果
5.2.6 Conclusions	5.2.6 結論
5.3 Artificial Intelligence and IoT	5.3 人工知能と IoT
5.3.1 Identified Groupings	5.3.1 特定されたグループ
5.3.2 Summary of AI and IoT	5.3.2 AI と IoT の概要
5.3.3 Cyber Security Impacts of AI and IoT	5.3.3 AI と IoT のサイバーセキュリティへの影響
5.3.4 Emerging Countermeasures	5.3.4 新しい対策
5.3.5 Case Study: AI-Enhanced IoT for Smart Healthcare Systems	5.3.5 ケーススタディ：スマートヘルスケアシステムのための AI 強化型 IoT
5.3.6 Conclusions	5.3.6 結論
5.4 Personalised Medicine and Artificial Intelligence	5.4 個別化医療と人工知能
5.4.1 Identified Groupings	5.4.1 特定されたグループ
5.4.2 Summary of Personalised Medicine and AI	5.4.2 個別化医療と AI の概要
5.4.3 Personalised Medicine and AI Cyber Implications	5.4.3 個別化医療と AI のサイバーへの影響
5.4.4 Conclusions of Personalised Medicine and AI	5.4.4 個別化医療と AI の結論
5.5 Quantum Communications and IoT	5.5 量子通信と IoT
5.5.1 Identified Groupings	5.5.1 特定されたグループ
5.5.2 Summary of Quantum Communications + IoT	5.5.2 量子通信 + IoT の概要
5.5.3 Quantum Communications + IoT Cyber Implications	5.5.3 量子通信 + IoT のサイバーへの影響
5.5.4 Conclusions of Quantum Communications + IoT	5.5.4 量子通信 + IoT の結論
5.6 Low Earth Orbit Satellites and Quantum Communications	5.6 低軌道衛星と量子通信
5.6.1 Identified Groupings	5.6.1 特定されたグループ
5.6.2 Summary of Quantum Communications + Low-Earth Orbit Satellites	5.6.2 量子通信 + 低軌道衛星の概要
5.6.3 Quantum Communications + Low-Earth Orbit Satellites Cyber Implications	5.6.3 量子通信 + 低軌道衛星のサイバーへの影響
5.6.4 Case Study: Space Air Ground Integrated Networks	5.6.4 ケーススタディ：宇宙・航空・地上統合ネットワーク
5.6.5 Conclusions of Quantum Communications + Low-Earth Orbit Satellites	5.6.5 量子通信 + 低軌道衛星の結論
5.7 Edge Computing and IoT	5.7 エッジコンピューティングと IoT
5.7.1 Identified Groupings	5.7.1 特定されたグループ
5.7.2 Summary of Fog/Edge Computing and IoT	5.7.2 フォグ/エッジコンピューティングと IoT の概要
5.7.3 Cyber Security Impacts of Fog/Edge Computing and IoT	5.7.3 フォグ/エッジコンピューティングと IoT のサイバーセキュリティへの影響
5.7.4 Emerging Countermeasures	5.7.4 新たな対策
5.7.5 Case Study: Edge Computing and IoT Synergy for Smart Manufacturing Systems	5.7.5 事例：スマート製造システムにおけるエッジコンピューティングと IoT の相乗効果
5.7.6 Conclusions	5.7.6 結論
5.8 Brain-Computer Interfaces and Robotics	5.8 ブレイン・コンピュータ・インターフェースとロボット工学
5.8.1 Identified Groupings	5.8.1 特定されたグループ
5.8.2 Summary of Brain-Computer Interfaces + Robotics	5.8.2 ブレイン・コンピュータ・インターフェース + ロボット工学の概要
5.8.3 Brain-Computer Interfaces + Robotics Cyber Implications	5.8.3 ブレイン・コンピュータ・インターフェース + ロボット工学のサイバーへの影響
5.8.4 Conclusions of Brain-Computer Interfaces + Robotics	5.8.4 ブレイン・コンピュータ・インターフェース + ロボット工学の結論
5.9 Biological Computing and IoT	5.9 生物学的コンピューティングと IoT
5.9.1 Identified Groupings	5.9.1 特定されたグループ
5.9.2 Summary of Converged Pairing: Biomedical Computers and IoT	5.9.2 融合ペアの概要：生物医学コンピュータと IoT
5.9.3 Biomedical Computers and IoT Cyber Implications	5.9.3 生物医学コンピュータと IoT のサイバーへの影響
5.9.4 Conclusion of Biomedical Computers and IoT for convergence	5.9.4 融合に関する生物医学コンピュータと IoT の結論
5.10 Artificial Intelligence and Quantum Sensing	5.10 人工知能と量子センシング
5.11 Swarm and Neurotechnology	5.11 群知能と神経技術
6. Exploring technology synergies beyond academic publications	6. 学術論文を超えた技術の相乗効果を探る
7. Conclusion	7. 結論
7.1 Which groups or pairings of emerging technologies are likely to create novel or compounding cyber security risks?	7.1 新興技術のどのグループまたは組み合わせが、新規または複合的なサイバーセキュリティリスクを生み出す可能性が高いか？
7.2 Which industries will be affected by the compounding cyber security risks stemming from convergence of emerging technologies?	7.2 新興技術の融合によって生じる複合的なサイバーセキュリティリスクの影響を受ける業界はどれか？
7.3 Which applications of emerging technologies are most likely to be affected by technology convergence?	7.3 技術の融合によって最も影響を受ける新興技術の応用分野はどれか？
Appendix	附属書
References	参考文献

Emerging technologies and their effect on cyber security	新興技術とサイバーセキュリティへの影響
1. Executive summary	1. エグゼクティブサマリー
The convergence of emerging technologies is transforming industries, introducing both opportunities and unprecedented cyber security challenges. This paper explores the synergistic relationships between technologies such as Artificial Intelligence (AI), Blockchain, the Internet of Things (IoT), Edge Computing, Quantum Computing, and Brain-Computer Interfaces, analysing how their intersections reshape the cyber threat landscape.	新興技術の融合は、産業を変革し、チャンスと前例のないサイバーセキュリティの課題の両方をもたらしている。本論文では、人工知能（AI）、ブロックチェーン、IoT、エッジコンピューティング、量子コンピューティング、ブレイン・コンピュータ・インターフェースなどの技術間の相乗的関係を考察し、それらの交点がサイバー脅威の状況をどのように変革するかを分析している。
Through a comprehensive review of the literature and real-world case studies, the study also identifies and highlights key vulnerabilities arising from these technological pairings. For example, although AI’s integration with IoT and Blockchain enhances threat detection and automation, it also amplifies risks such as adversarial attacks and data privacy concerns. Equally, the fusion of Edge Computing with IoT improves real-time decision-making but expands the attack surface, making distributed systems more susceptible to cyber threats. Moreover, quantum computing, particularly in combination with Low Earth Orbit (LEO) satellites, promises enhanced security for communication networks but introduces novel risks, such as side-channel attacks and denial-of-service vulnerabilities.	文献の包括的なレビューと実例研究を通じて、この調査では、これらの技術の組み合わせから生じる主要な脆弱性も特定し、強調している。例えば、AI と IoT およびブロックチェーンの統合は、脅威の検知と自動化を強化する一方で、敵対的攻撃やデータ・プライバシーに関する懸念などのリスクも増幅する。同様に、エッジ・コンピューティングと IoT の融合は、リアルタイムの意思決定を改善する一方で、攻撃対象領域を拡大し、分散システムをサイバー脅威に対してより脆弱にする。さらに、量子コンピューティングは、特に低軌道衛星（LEO）と組み合わせることで、通信ネットワークのセキュリティ強化を約束するが、サイドチャンネル攻撃やサービス拒否の脆弱性などの新たなリスクも生じる。
Additionally, the application of AI and Digital Twins in personalised medicine, defence, and critical infrastructure presents new cyber security risks, including data manipulation, privacy breaches, and cyber-physical system exploitation. Subsequently, the findings underscore the urgency for proactive security strategies, interdisciplinary collaboration, and the development of robust frameworks to mitigate evolving cyber threats. The report herein underlines that addressing these cyber security risks becomes imperative, as technology convergence accelerates, to ensure the resilience and security of interconnected systems across industries.	さらに、個別化医療、防衛、重要インフラにおける AI やデジタルツインの適用は、データ操作、プライバシー侵害、サイバーフィジカルシステムの悪用など、新たなサイバーセキュリティリスクをもたらす。その結果、進化するサイバー脅威を緩和するための、積極的なセキュリティ戦略、学際的な連携、および強固な枠組みの開発が急務であることが明らかになった。本報告書は、技術の融合が加速する中、業界間の相互接続システムのレジリエンスとセキュリティを確保するためには、これらのサイバーセキュリティリスクへの対応が不可欠であることを強調している。
2. Introduction	2. 序論
In an era where technological advancements unfold at an unprecedented pace, the merging of once distinct technologies—known as technological convergence—is reshaping industries, driving innovation, and altering the cyber security landscape. As technologies like artificial intelligence, quantum computing, 6G networks, edge computing, nanotechnologies, and robotics increasingly intersect, they create both unprecedented opportunities and complex vulnerabilities.	技術革新がかつてないスピードで進む時代において、かつては別個だった技術が融合する「技術の融合」が、産業の変革、イノベーションの推進、サイバーセキュリティの展望の変化をもたらしている。人工知能、量子コンピューティング、6G ネットワーク、エッジコンピューティング、ナノテクノロジー、ロボット工学などの技術がますます交錯するにつれて、これまでにない機会と複雑な脆弱性の両方が生まれている。
Historical precedents highlight the significant impact of technological convergence on cyber security. For instance, the merging of mobile devices with the Internet of Things (IoT) expanded the attack surface dramatically. The proliferation of inexpensive, limited-processing devices that are often poorly managed and insecure by default led to events like the Mirai botnet attack in 2016. This large-scale distributed denial-of-service (DDoS) attack disrupted major platforms such as Dyn DNS, Twitter, and Netflix. This led to the need for policy interventions like the Product Security and Telecommunications Infrastructure Act 2022 to enhance the security of internet-connected products.	歴史的な事例は、技術融合がサイバーセキュリティに与える重大な影響を浮き彫りにしている。例えば、モバイルデバイスとインターネットオブシングス（IoT）の融合は、攻撃対象領域を劇的に拡大した。低コストで処理能力が限られ、デフォルトでセキュリティが不十分なデバイスが普及した結果、2016年のMiraiボットネット攻撃のような事件が発生した。この大規模な分散型サービス妨害（DDoS）攻撃は、Dyn DNS、Twitter、Netflix などの主要プラットフォームを混乱に陥れた。この事件を受けて、インターネットに接続された製品のセキュリティを強化するための、2022 年製品セキュリティおよび通信インフラ法などの政策介入の必要性が生じました。
Another example is the integration of Operational Technology (OT) with Information Technology (IT) systems in critical infrastructure like energy grids, transportation, and manufacturing. The Stuxnet worm in 2010, which targeted Iranian nuclear facilities, demonstrated how convergence could enable targeted attacks on critical systems. This incident introduced the world to cyber-kinetic warfare, where cyber-attacks have physical impacts, and highlighted that systems not originally designed to face IT-based threats are now vulnerable due to technological convergence.	もう 1 つの例は、エネルギーグリッド、輸送、製造などの重要インフラにおける、運用技術（OT）と情報技術（IT）システムの統合である。2010 年にイランの核施設を標的とした Stuxnet ワームは、融合によって重要なシステムに対する標的型攻撃が可能になることを実証した。このインシデントは、サイバー攻撃が物理的な影響をもたらすサイバーキネティック戦争という概念を世界に知らしめ、もともと IT ベースの脅威に対処するために設計されていないシステムは、技術の融合によって脆弱になっていることを浮き彫りにした。
However, we also see security benefits from convergence - the combination of Machine Learning (ML) and threat detection has significantly advanced cyber security capabilities. Tools such as CrowdStrike’s Falcon platform and Darktrace’s AI systems utilise ML to detect anomalies in real time, enabling proactive responses to emerging threats. These technologies go beyond traditional rule-based systems by identifying novel patterns of malicious activity, allowing organisations to respond dynamically.	しかし、融合にはセキュリティ上のメリットもある。機械学習（ML）と脅威の検知を組み合わせることで、サイバーセキュリティ機能が大幅に強化されている。CrowdStrike の Falcon プラットフォームや Darktrace の AI システムなどのツールは、ML を利用して異常をリアルタイムで検知し、新たな脅威にプロアクティブに対応する。これらのテクノロジーは、従来のルールベースのシステムを超えて、悪意のある活動の新しいパターンを識別し、組織が動的に対応することを可能にする。
More recently, the combination of social engineering techniques with AI-generated deep-fakes has heightened cyber security risks. Highly convincing phishing attacks now leverage AI to create realistic deep-fake media, such as voice impersonations, leading to significant financial losses in cases where executives were impersonated to authorise fraudulent transactions. These developments have prompted a focus on detecting synthetic media, developing authenticity verification tools, and educating users about social engineering resilience.	最近では、ソーシャルエンジニアリング手法と AI によって生成されたディープフェイクの組み合わせにより、サイバーセキュリティのリスクが高まっている。非常に説得力のあるフィッシング攻撃は、AI を活用して、声の偽装など、現実的なディープフェイクメディアを作成するようになり、経営幹部を装って不正な取引を承認させるなど、多額の金銭的損失につながるケースも発生している。こうした動向を受けて、合成メディアの検知、信頼性検証ツールの開発、ソーシャルエンジニアリングに対するレジリエンスに関するユーザー教育が注目されている。
Initiating research into the cyber security implications of technological convergence presents significant challenges. The vast scope of emerging technologies, coupled with a scarcity of documented information and the subtle nature of convergence—which often occurs without explicit recognition—complicates efforts to identify and assess potential risks. In this report we conduct a systematic review to illuminate the converged technology pairings and groupings most pertinent to cyber security concerns.	技術融合がサイバーセキュリティに与える影響に関する研究を開始するには、大きな課題がある。新興技術の広範な範囲、文書化された情報の不足、そして多くの場合、明確に認識されることなく進行する融合の微妙な性質により、潜在的なリスクの特定と評価は困難である。本報告書では、サイバーセキュリティの問題に最も関連性の高い融合技術の組み合わせとグループを明らかにするために、体系的なレビューを実施している。
This report aims to define emerging converged technologies relevant to cyber security over the next five to ten years and beyond. Focusing on literature published from 2021 onwards, it will identify key technology pairings that are poised to significantly influence the cyber security domain by shaping both the nature and scale of cyber threats, altering the prevalence of cyberattacks, introducing new attack vectors, and enhancing cyber defence mechanisms through novel detection and mitigation strategies.	このレポートは、今後 5 年から 10 年、そしてそれ以降において、サイバーセキュリティに関連する新たな融合技術を定義することを目的としている。2021 年以降に発行された文献に焦点を当て、サイバー脅威の性質と規模を形作り、サイバー攻撃の蔓延を変え、新たな攻撃ベクトルを導入し、斬新な検知および緩和戦略によってサイバー防御メカニズムを強化することにより、サイバーセキュリティ分野に大きな影響を与える可能性のある主要な技術の組み合わせを特定する。
By consolidating convergent technology pairings and groupings identified in recent literature, we provide an overview of the current landscape. We offer recommendations on technology convergences of particular interest, specifying the industries or sectors where these are likely to be most prevalent, and through detailed case studies of converged technologies in specific settings, we highlight where convergence is expected to produce novel or compounding cyber security risks.	最近の文献で特定された融合技術の組み合わせとグループを統合することで、現在の状況の概要を説明する。特に注目すべき技術の融合について、それが最も普及すると思われる業界や分野を特定して推奨事項を示し、特定の状況における融合技術の事例を詳しく紹介することで、融合によって新たなサイバーセキュリティリスクや複合的なリスクが生じる可能性のある分野を明らかにする。

最も多く組み合わせられている技術...（図２）

AI, IoT, ブロックチェーン, クラウドコンピューティング, ロボティクス, エッジコンピューティング...

組み合わせのヒートマップ...（図3）

AIに関連する技術を含む繋がり...（図5）

バブルの大きさは繋がりの多さ、色は技術のグループ

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.08.18 英国融合技術のセキュリティ確保：専門家による見解 (2025.08.08)

2025.08.20 00:00 in 情報セキュリティ / サイバーセキュリティ, in ロボット, in クラウド, in IoT, in AI/Deep Learning, in 暗号 / 電子署名 / ブロックチェーン | Permalink | Comments (0)
Tweet

2025.08.19

米国 NIST AI システムのセキュリティ確保のためのコントロールオーバーレイのコンセプトペーパー

こんにちは、丸山満彦です。

NISTが、SP800-53のコントロールをAIに合わせてカスタマイズするための枠組み（Control Oveerlays）を考えるようですね...政府機関のセキュリティコントロールははSP800-53に基づいていますので、これに合わせてAI特有のコントロールも整備するのは理にかなっていますね...

日本でいうと、政府統一基準に従ってAI向けの対策をカスタマイズして作る感じですかね...

どのようになりますやら...

● NIST - ITL

・2025.08.14 NIST Releases Control Overlays for Securing AI Systems Concept Paper

NIST Releases Control Overlays for Securing AI Systems Concept Paper	NIST AI システムのセキュリティ確保のためのコントロールオーバーレイのコンセプトペーパーを発表
NIST has released a concept paper and proposed action plan for developing a series of NIST SP 800-53 Control Overlays for Securing AI Systems, as well as a launching a Slack channel for this community of interest.	NIST は、AI システムのセキュリティ確保のための一連の NIST SP 800-53 コントロールオーバーレイの開発に関するコンセプトペーパーと行動計画案を発表するとともに、この分野に関心のあるコミュニティのための Slack チャンネルを開設した。
The concept paper outlines proposed AI use cases for the control overlays to manage cybersecurity risks in the use and development of AI systems, and next steps. The use cases address generative AI, predictive AI, single and multi-agent AI systems, and controls for AI developers. NIST is interested in feedback on the concept paper and proposed action plan, and invites all interested parties to join the NIST Overlays for Securing AI Slack channel. Through the Slack channel, stakeholders can contribute to the development of these overlays, get updates, engage in facilitated discussions with the NIST principal investigators and other subgroup members, and provide real-time feedback and comments.	このコンセプトペーパーでは、AI システムの使用および開発におけるサイバーセキュリティのリスクを管理するためのコントロールオーバーレイの AI 活用事例案と、今後の取り組みについて概要が述べられている。ユースケースでは、生成的 AI、予測 AI、単一およびマルチエージェント AI システム、AI 開発者向けのコントロールについて取り上げている。NIST は、このコンセプトペーパーおよび提案された行動計画に関するフィードバックを歓迎しており、関心のある方は、NIST Overlays for Securing AI Slack チャンネルに参加するよう呼びかけている。Slack チャンネルを通じて、関係者はこれらのオーバーレイの開発に貢献し、最新情報を入手し、NIST の主任研究員や他のサブグループメンバーとの議論に参加し、リアルタイムでフィードバックやコメントを提供することができる。

Slackのチャネル；#NIST-Overlays-Securing-AI

・[PDF] SP 800-53 Control Overlays for Securing AI Systems Concept Paper

・[DOCX][PDF] 仮訳

プロジェクトのページ

・2025.08.14 SP 800-53 Control Overlays for Securing AI Systems COSAiS

関連文書

● NIST - ITL

・AI Risk Management Framework

・2025.01 [PDF] NIST AI 800-1 2pd Second Public Draft Managing Misuse Risk for Dual-Use Foundation Models

・2025.03.24 Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations

・2020.09.23 NIST SP 800-53 Rev. 5 Security and Privacy Controls for Information Systems and Organizations

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.03.25 米国 NIST AI 100-2 E2025 敵対的機械学習：攻撃と緩和策の分類と用語

・2025.01.19 米国 NIST AI 800-1（第2ドラフト）デュアルユースの基盤モデルの悪用リスクの管理 (2025.01.15)

・2023.01.27 NIST AIリスクフレームワーク

2025.08.19 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 内部統制 / リスクマネジメント, in AI/Deep Learning | Permalink | Comments (0)
Tweet

英国商業的な攻撃的サイバー能力 (2025.08.08)

こんにちは、丸山満彦です。

英国の科学、イノベーション＆テクノロジー省が、民間のレッドチームサービスについての報告書を公表していますが、興味深いですね...

レッドーチームサービスを提供している実務家にヒアリングしたこともあるのでしょうか、わりと目先の課題にフォーカスが当たっている感じになっています。OT環境へのサービス提供、AIの活用について力を入れている感じですね。。。また、インテリジェンスの活用も進んでいる感じですね...

一方、量子コンピューティングはビジネスに使われているものがほとんどないので、これからという感じで手をつけることすらしていない感じですね...あと、ブロックチェーンについてはもう忘れてしまっているのか？というくらいの興味のなさです...

まあ、目の前でいろいろなことが起こっているので、そちらに注目がいくのは当然ですね...

英国と日本では社会、経済環境が違うところがありますが、参考になるところもあるので、レッドチームビジネスをしている方、しようとしている方には参考になるかもですね...

● GOV.UK

・2025.08.08 Commercial offensive cyber capabilities

Commercial offensive cyber capabilities	商業的な攻撃的サイバー能力
Research on how the commercial offensive cyber sector is integrating emerging technologies into its commercial offerings, and the implications.	商業的な攻撃的サイバー部門が、新興技術を商業的サービスにどのように統合しているかを調査し、その影響について考察する。
Details	詳細
The commercial offensive cyber sector consists of companies offering legal and ethical security testing (commercial red teams), developers who produce tools and capabilities for the industry, and groups which conduct offensive cyber operations on behalf of third parties as a service.	商業的な攻撃的サイバー部門は、合法かつ倫理的なセキュリティテスト（商業レッドチーム）を提供する企業、業界向けのツールや機能の開発者、サードパーティに代わって攻撃的サイバー作戦を行うグループで構成されている。
This research looks at how the commercial offensive cyber sector is integrating emerging technologies into their commercial offerings and what the implications of this integration are.	この調査では、商業的攻撃的サイバー部門が、新興技術を商業的サービスにどのように統合しているか、およびこの統合が及ぼす影響について検証している。
Prism Infosec identified and approached suitable entities to achieve this, interviewing 18 companies between December 2024 and March 2025. The key findings are set out in this report.	Prism Infosec は、この目的のために適切な事業体を特定し、2024 年 12 月から 2025 年 3 月にかけて 18 社の企業にインタビューを実施した。主な調査結果は、本報告書に記載されている。
This research is part of the government’s wider work to understand the threats and opportunities in cyber security, and to improve cyber resilience across the UK economy.	この調査は、サイバーセキュリティにおける脅威と機会を理解し、英国経済全体のサイバーレジリエンスを向上させるための、政府による広範な取り組みの一環である。

商業的な攻撃的サイバー能力：レッドチームサブセクターに焦点を当てて

・2025.08.08 Commercial offensive cyber capabilities: red team subsector focus

1. Introduction	1. 序論
2. Executive summary	2. エグゼクティブサマリー
3. Requirements	3. 要件
4. Limitations	4. 制限
5. Methodology	5. 方法
5.1 Semi-structured interviews	5.1 半構造化インタビュー
5.2 Pilot phase	5.2 パイロット段階
5.3 Main phase	5.3 メイン段階
5.4 Interviews	5.4 インタビュー
5.5 Coding	5.5 コーディング
5.6 Analysis & reporting	5.6 分析と報告
6. Thematic findings	6. テーマ別調査結果
6.1 Market dynamics & trend	6.1 市場の動向と傾向
6.2 Developing for alternative systems	6.2 代替システムの開発
6.3 Client’s attitudes to cyber security	6.3 サイバーセキュリティに対する顧客の態度
6.4 Automation & efficiencies	6.4 自動化と効率化
6.5 Changes in the sector	6.5 業界の変化
6.6 Competition vs. collaboration	6.6 競争と協力
6.7 Geopolitical impact	6.7 地政学的な影響
6.8 Changes to infrastructure	6.8 インフラストラクチャの変化
6.9 Outsourcing	6.9 アウトソーシング
6.10 Shift to continuous security models	6.10 継続的なセキュリティモデルへの移行
6.11 Regulatory & compliance influence	6.11 規制およびコンプライアンスの影響
6.12 Return on investment	6.12 投資収益率
6.13 Traditional markets	6.13 従来の市場
7. Emerging technologies	7. 新興技術
議論の量。グラフの上下と目次の上下は逆です...
7.1 Attack surface monitoring/mapping/management	7.1 攻撃面のモニタリング/マッピング/管理
7.2 Big data management	7.2 ビッグデータ管理
7.3 Blockchain/crypto	7.3 ブロックチェーン/暗号
7.4 Cloud adoption & infrastructure as code	7.4 クラウドの採用とインフラストラクチャ・アズ・コード
7.5 Defensive tooling capabilities	7.5 防御ツール機能
7.6 Generative AI impact	7.6 生成的 AI の影響
7.7 Internet connected technologies	7.7 インターネット接続技術
7.8 Mimicking real-world threat actors	7.8 現実世界の脅威アクターの模倣
7.9 Quantum computing	7.9 量子コンピューティング
7.10 Social engineering & AI	7.10 ソーシャルエンジニアリングと AI
7.11 Automated vehicles	7.11 自動運転車
8. Investments & acquisitions	8. 投資と買収
8.1 Adoption of technologies for the entire business	8.1 ビジネス全体へのテクノロジーの採用
8.2 Customer expectations for AI	8.2 AI に対する顧客の期待
8.3 Improving efficiency through investment	8.3 投資による効率の向上
8.4 R&D investment over acquisitions	8.4 買収に対する研究開発投資
9. Talent & recruitment	9. 人材と採用
9.1 Key skills wanted from recruitment	9.1 採用で求められる重要なスキル
9.2 Retention through innovation & culture	9.2 イノベーションと文化による人材の定着
9.3 Cross-skilling vs. direct hire	9.3 クロススキルと直接採用
10. Future implications & risks	10. 将来的な影響とリスク
10.1 Balancing innovation & security	10.1 イノベーションとセキュリティのバランス
10.2 AI commoditisation & market disruption	10.2 AI のコモディティ化と市場の混乱
10.3 Undefined expected innovation	10.3 予測不可能なイノベーション
10.4 Future regulation	10.4 将来の規制
10.5 Security risks & concerns	10.5 セキュリティリスクと懸念
10.6 Service delivery benefits	10.6 サービス提供のメリット
10.7 AI in vulnerability prioritisation	10.7 脆弱性の優先順位付けにおける AI
10.8 Workforce evolution with AI	10.8 AI による労働力の進化
11. Annex: interview & acronyms	11. 附属書：インタビューと略語
11.1 Semi-structured interview	11.1 半構造化インタビュー
11.2 Section 1 - Introduction (EST 5 Mins)	11.2 セクション1 - 序論（推定所要時間 5 分
11.3 Section 2 - Market dynamics & trends (EST 10 Mins)	11.3 セクション2 - 市場動向とトレンド（推定10分）
11.4 Section 3 - Integration of emerging technologies (EST 10 Mins)	11.4 セクション3 - 新興技術の統合（推定10分）
11.5 Section 4 - Investment and acquisitions (EST 10 Mins)	11.5 セクション4 - 投資と買収（推定10分）
11.6 Section 5 - Talent and expertise recruitment (EST 10 Mins)	11.6 セクション5 - 人才と専門知識の採用（推定10分）
11.7 Section 6 - Blurring of sector lines and future implications (EST 10 Mins)	11.7 セクション6 - 業界境界の曖昧化と今後の影響（推定10分）
11.8 Section 7 - Conclusion (EST 5 Mins)	11.8 セクション7 - 結論（推定5分）
11.9 Acronyms	11.9 略語

Commercial offensive cyber capabilities: red team subsector focus	商業的攻撃的サイバー能力：レッドチームサブセクターに焦点を当てて
1. Introduction	1. 序論
In December 2024, Prism Infosec were appointed on behalf of the Department for Science, Innovation and Technology (DSIT) to conduct research on how the commercial offensive cyber sector is integrating emerging technologies into their commercial offerings and what the implications are of this integration.	2024年12月、Prism Infosec は、科学技術革新省（DSIT）の委託を受け、商業的攻撃的サイバーセクターが、新興技術を商業的サービスにどのように統合しており、その統合がどのような意味を持つかを調査する研究を実施することになった。
The sector comprises of entities which deliver legal and ethical security testing (commercial red teams), developers who produce the tools and capabilities for the industry, groups who conduct offensive cyber operations on behalf of third parties as a service, usually without their target’s consent, and groups who are contracted by states, entities or individuals who conduct operations on their behalf. Identification and contact details of relevant individuals from each group that comprises the sector was not possible within the available timescales.	この分野は、合法的かつ倫理的なセキュリティテストを行う事業体（商業レッドチーム）、業界向けのツールや機能の開発者、通常、対象者の同意を得ずにサードパーティに代わって攻撃的なサイバー作戦を行うグループ、および国家、事業体、個人から委託を受けて作戦を行うグループで構成されている。この分野を構成する各グループの関係者の特定および連絡先情報の収集は、利用可能な期間内では不可能だった。
As a result, the decision was taken to focus the study on the most readily available segment of the sector for the study – the commercial red teams, who simulate threat actor attacks on clients using similar tools, tactics, methods and procedures. This report therefore is a reflection on how this segment of the sector is integrating and adapting their business models to emerging technologies.	その結果、この調査では、この分野の中で最も調査しやすいセグメント、つまり、同様のツール、戦術、手法、手順を用いて顧客に対する脅威アクターの攻撃をシミュレートする商業レッドチームに焦点を当てることにした。したがって、この報告書は、この分野のセグメントが、新しいテクノロジーにビジネスモデルを統合・適応させている状況を考察したものである。
Prism Infosec were tasked to identify and approach suitable entities to achieve this, with a goal of interviewing between 25 and 30 companies, and conclude reporting by 14 March 2025. 294 entities were approached, and 18 were willing and available to be interviewed within the available period. This paper documents the approach taken to conduct this research and the results obtained from it.	Prism Infosec は、この目的を達成するために、25 社から 30 社の企業をインタビューし、2025 年 3 月 14 日までに報告を完了することを目標として、適切な事業体を特定し、アプローチする任務を負った。294 事業体にアプローチし、そのうち 18 社が、利用可能な期間内にインタビューに応じる意思があり、インタビューが可能だった。本報告書は、この調査の実施方法と、その結果について記載したものである。
2. Executive summary	2. エグゼクティブサマリー
Whilst this study did not achieve the intended number or diversity of entities for desired coverage, it was still possible to obtain a number of valuable insights. This study identified a number of opinions, attitudes, predictions and insights into how the ‘red team’ element of the commercial offensive cyber sector and clients of interviewees are adapting and integrating recent and emerging technologies into their security offerings.	この調査では、対象とする事業体の数や多様性については目標を達成できなかったが、それでも多くの貴重な知見を得ることができた。この調査では、商業的な攻撃型サイバーセクターの「レッドチーム」要素と、インタビュー対象者の顧客が、最新および新興の技術を自社のセキュリティ製品にどのように適応・統合しているかについて、さまざまな意見、姿勢、予測、洞察を明らかにした。
This particular subsector of the commercial offensive cyber industry seeks to emulate what other threat actor groups are doing. They invest heavily in research and development, making use of threat intelligence to ensure that their tools and methods accurately reflect, as much as possible within commercial costs, the capabilities and methodologies of other actors in the sector. This is to help their clients defend against those other actors and threats. Therefore, whilst insights from the other groups are lacking, there will likely be strong parallels for the integration of new technologies into the business of these other segments of the sector.	商業的攻撃的サイバー業界のこの特定のサブセクターは、他の脅威アクターグループが行っていることを模倣しようとしている。彼らは研究開発に多額の投資を行い、脅威インテリジェンスを活用して、自社のツールや手法が、商業的コストの範囲内で可能な限り、このセクターの他のアクターの能力や手法を正確に反映するようにしている。これは、顧客が他のアクターや脅威から防御するのを支援するためのものである。したがって、他のグループに関する洞察が不足しているものの、このセクターの他のセグメントにおける新技術の導入に関する強い類似性が存在する可能性が高いからである。
Some of the more surprising results was the lack of discussion around technologies such as blockchain or cryptocurrencies. Whilst there was significant discussion around the adoption, use and hopes for AI in the industry, interviewees were keen to share insights not just into how their businesses were adapting but also the impact these technologies are having on recruitment, workforce attitudes and planned future expenditure. Regulation’s impact on this element of the sector for delivery of services also featured heavily in discussions with some focus also paid to how regulations will need to adapt to these emerging technologies.	最も意外な結果の一つは、ブロックチェーンや暗号資産に関する議論がほとんどなかった点である。業界におけるAIの採用、活用、将来への期待に関する議論は活発だったが、インタビュー対象者は、自社の適応方法だけでなく、これらの技術が採用、人材の態度、今後の支出計画に与える影響についても積極的に共有した。サービス提供におけるこの分野に対する規制の影響も議論で大きく取り上げられ、これらの新しいテクノロジーに規制がどのように適応すべきかについても注目が集まった。
Whilst AI has generated the most interest and has by far the most investment and expectation for future innovation, recent technology adoption and migration into cloud-based architecture has had a larger impact to services being offered by the commercial red teams. It has provided changes to traditional infrastructure, enforcing development of new tooling and practices as the sector has adapted to how client organisations have migrated into the cloud following the global coronavirus epidemic Covid-19, advancements in detection and response capabilities, changes in real-world threat actor behaviours. Examples include the increased use of ransomware attacks (such as the 2017 Wannacry ransomware attack), and attacks on digital supply chains by suspected nation states during espionage operations and military conflicts (such as the 2020 SolarWinds breach and the 2017 NotPetya attack).	AI が最も関心を呼び、将来のイノベーションに対する投資と期待が圧倒的に高い一方で、最近のテクノロジーの採用とクラウドベースのアーキテクチャへの移行は、商業レッドチームが提供するサービスに大きな影響を与えている。これは、従来のインフラストラクチャに変化をもたらし、世界的なコロナウイルス感染症（COVID-19）の流行、検知および対応能力の進歩、現実世界の脅威アクターの行動の変化に伴い、顧客組織がクラウドに移行する傾向に対応するため、新しいツールやプラクティスの開発を推進している。具体的な例としては、ランサムウェア攻撃の増加（2017年のWannaCryランサムウェア攻撃など）や、諜報活動や軍事衝突における国家が関与するとされるデジタルサプライチェーンへの攻撃（2020年のSolarWinds侵害や2017年のNotPetya攻撃など）が挙げられる。
Interestingly, topics such as quantum computing were still considered to be too abstract and only viable for laboratory settings, and therefore the impact to the industry has yet to be fully, or even partially, realised. Instead, more effort was being focused on exploring environments that were previously considered to be too risky to test, such as those containing operational technology or automated vehicles, which includes land, air and sea assets alongside unmanned drones.	興味深いことに、量子コンピューティングのようなテーマは依然として抽象的すぎるとされ、実験室環境以外での実用性は限定的とされ、業界への影響は未だに完全に、または部分的にも実現されていない。代わりに、従来はリスクが高すぎてテストできなかった環境、例えばOTや自動運転車両を含む陸上、空中、海上資産、無人ドローンなどへの取り組みが強化されている。
Another area of interest was the lack of capability for alternative operating system environments. It was felt that investment into developing offensive cyber tools and capabilities for MacOS, Linux, Unix, Android, iOS, etc. had lagged significantly behind Microsoft Windows estates, in part due to the prevalence of that operating system in wider society. As a result, the lack of published research and tools into these was seen as having a hampering effect for using technologies like AI to be used to help develop new capabilities.	もう一つの注目点は、代替オペレーティングシステム環境の能力不足だった。MacOS、Linux、Unix、Android、iOSなどに対する攻撃用サイバーツールや能力の開発投資が、マイクロソフトWindows環境に比べて大幅に遅れていると指摘された。これは、そのオペレーティングシステムが社会全体で広く普及していることが一因である。その結果、これらの分野に関する公開された研究やツールの不足が、AIを活用して新たな能力を開発する際に障害となっていると指摘された。
Overwhelmingly, our interviews demonstrated the sector remains deeply sceptical of the promises of AI, considering many of its capabilities overstated and overused in products, creating a confused environment as to its true potential and capabilities. It was perceived that the most common use by threat actors for AI at this time was to deliver more sophisticated social engineering attacks. Aside from the ethical issues of such use, interviewees highlighted risks of data privacy, large costs, and the security of public models as reasons for hampering widescale adoption of the technology in their current offerings.	インタビューでは、業界がAIの約束に対して深く懐疑的であることが圧倒的に示された。多くの能力が製品で過大評価され、過剰に使用されているため、その真の潜在能力と能力に関する混乱した環境が生まれていると指摘された。現時点では、脅威アクターが AI を最もよく利用しているのは、より洗練されたソーシャルエンジニアリング攻撃を行うためであると認識されていた。このような利用に関する倫理的な問題とは別に、インタビューの回答者は、データ・プライバシー、多額のコスト、および公開モデルのセキュリティを、現在の製品におけるこのテクノロジーの広範な採用を妨げる理由として挙げた。
There was optimism that in time these factors would be addressed by more accessible models which can be hosted and tuned privately by cyber security firms and then used for a variety of commercial offerings from attack surface monitoring through to vulnerability research and prioritisation. Until the technology reaches this level of maturity however, the red team element of the sector will continue to focus on the manual specialised human efforts for the delivery of commercial offensive cyber services.	しかし、サイバーセキュリティ企業が独自にホストおよび調整できる、よりアクセスしやすいモデルが開発され、攻撃面のモニタリングから脆弱性の調査および優先順位付けに至るまで、さまざまな商用サービスに活用されるようになれば、これらの要因は徐々に解消されるだろうという楽観的な見方も示された。しかし、この技術が成熟するまでは、この分野のレッドチームは、商用攻撃型サイバーサービスの提供において、手作業による専門的な人的作業に引き続き注力していくだろう。

2025.08.19 00:00 in 情報セキュリティ / サイバーセキュリティ, in 脆弱性, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in IoT, in AI/Deep Learning, in 安全保障 | Permalink | Comments (0)
Tweet

2025.08.18

IPA AISI AIシステムのセキュリティ既知の攻撃とその影響についてのガイド (2025.07.09)

こんにちは、丸山満彦です。

AIセーフティ・インスティテュートは、AIシステムに対する特有のセキュリティ攻撃を俯瞰すべく、学術論文等で発表されたAIやAIシステムに対する攻撃とその影響を「AIシステムに対する既知の攻撃と影響」としてまとめていますが（AIシステムに対する既知の攻撃と影響 Known Attacks and Their Impacts on AI Systems - AISI Japan）、この資料を深掘りした詳細レポートを学術論文として公開していますね...

NIST AI 100-2e2025を参考にしながらも、NISTがAIシステムの種類、攻撃者の奥的によって攻撃を分類しているのに対して、このガイドでは技術的面から分類を試みることにより、単純化し、MECEな分類がよりやすいと考えているようです...

● AISI

・2025.07.09 AIシステム特有のセキュリティ攻撃に関する詳細レポートの公開

● Cornell University - arxiv

・2025.06.29 Securing AI Systems: A Guide to Known Attacks and Impacts

・・[PDF][HTML]

攻撃の分類...

5.1 A: Model Extraction	5.1 A: モデル抽出
5.2 B: Training Data-related Information Gathering	5.2 B: トレーニングデータ関連情報の収集
5.2.1 B1: Membership Inference	5.2.1 B1: メンバーシップ推論
5.2.2 B2: Attribute Inference	5.2.2 B2: 属性推論
5.2.3 B3: Property Inference	5.2.3 B3: プロパティ推論
5.2.4 B4: Model Inversion	5.2.4 B4: モデル反転
5.2.5 B5: Data Reconstruction	5.2.5 B5: データ再構築
5.2.6 B6: Data Extraction	5.2.6 B6: データ抽出
5.3 C: Model Poisoning	5.3 C: モデル・ポイズニング
5.4 D: Data Poisoning	5.4 D: データ・ポイズニング
5.5 E: Evasion	5.5 E: 回避
5.6 F: Energy-latency	5.6 F: エネルギー・レイテンシー
5.7 G: Prompt Stealing	5.7 G: プロンプト・スティール
5.8 H: Prompt Injection	5.8 H: プロンプト・インジェクション
5.9 I: Code Injection	5.9 I: コード・インジェクション
5.10 J: Adversarial Fine-tuning	5.10 J: 敵対的微調整
5.11 K: Rowhammer	5.11 K: ロウハンマー

AI Red Teamingをする際に参考になりますね...

ちなみに、

もとのAIシステムに対する既知の攻撃と影響

・2025.03 [PDF] AIシステムに対する既知の攻撃と影響

AISIのレッドチーミング手法ガイド...

・2024.08.25 AIセーフティに関するレッドチーミング手法ガイド

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.03.25 米国 NIST AI 100-2 E2025 敵対的機械学習：攻撃と緩和策の分類と用語

・2024.10.17 IPA AIセーフティ・インスティテュート AIセーフティに関するレッドチーミング手法ガイド (2024.09.25)

2025.08.18 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪, in 内部統制 / リスクマネジメント, in AI/Deep Learning | Permalink | Comments (0)
Tweet

英国融合技術のセキュリティ確保：専門家による見解 (2025.08.08)

こんにちは、丸山満彦です。

英国の科学、イノベーション＆テクノロジー省が、技術の融合がもたらすサイバーセキュリティのリスクと機会という報告書を公表していますが、興味深いですね...

サイバーセキュリティの専門家へのインタビュー等により行われていますね...

新しい技術の開発段階からサイバーセキュリティの問題については検討することが重要で、普及が始まる前に大きな問題は解決され、（技術的にも社会的にも）システムに実装されていることが重要なのだろうと思います。

専門家が気にしている技術の融合は、大きく分けるとAI、量子技術に関するもののようでした...

以下が、専門家が特定したグルー...

AI and quantum technologies	AI と量子技術
AI and next generation networks	AI と次世代ネットワーク
AI and biotechnology	AI とバイオテクノロジー
AI and Operational Technology (OT)	AI とオペレーションテクノロジー (OT)
AI and weaponry	AI と兵器
Big data and blockchain	ビッグデータとブロックチェーン
Biotechnology and military processes	バイオテクノロジーと軍事プロセス
Novel materials and hardware	新素材とハードウェア
Quantum technologies and facial recognition	量子技術と顔認識

英国は政府がこのような調査を実施し、政策に反映していく姿勢というのがよいですね...

そういえば、今年から経済産業省の政策の一つであるセキュリティキャンプにセキュリティキャンプ・コネクトというものが加わりました。今年はプレ開催です...

　　- 法律×セキュリティ・クラス
　　- AIレッドチーミング・クラス
　　- デバイス×セキュリティ・クラス

セキュリティ以外の専門家にもセキュリティについての一定以上の知識と実務を理解してもらおうという取り組みです。。。融合です...

では、英国政府の報告書...

● GOV.UK

・2025.08.08 Securing converged technologies: insights from subject matter experts

Securing converged technologies: insights from subject matter experts	融合技術のセキュリティ確保：専門家による見解
Research setting out the cyber security risks and opportunities of technology convergence.	技術の融合がもたらすサイバーセキュリティのリスクと機会に関する調査。
Details	詳細
This report examines the role of technology convergence, its impact upon cyber security and potential policy responses.	この報告書は、技術の融合の役割、サイバーセキュリティへの影響、および潜在的な政策対応について検証している。
Based on research with 20 subject matter experts primarily from the cyber security sector, this report presents a series of findings on the challenges of identifying technology convergences for cyber security, how technology convergence operates across broader technology ecologies, and how engagement with a range of actors in order to build expert communities is essential to addressing and mitigating the impact of technology convergence for cyber security.	主にサイバーセキュリティ分野の 20 人の専門家による調査に基づき、この報告書は、サイバーセキュリティにおける技術の融合を識別する上での課題、より広範な技術エコシステムにおける技術の融合の仕組み、およびサイバーセキュリティに対する技術の融合の影響に対処し、緩和するために、専門家コミュニティを構築するためのさまざまな関係者との関わりがどのように不可欠であるかについて、一連の調査結果を提示している。
This research is part of the government’s wider work to ensure good cyber security in new and emerging technologies, and to improve cyber resilience across the UK economy.	この調査は、新しい技術や新興技術における優れたサイバーセキュリティを確保し、英国経済全体のサイバーレジリエンスを向上させるための、政府による幅広い取り組みの一環である。

融合技術のセキュリティ対策；専門家からの洞察

・2025.08.08 Securing converged technologies: insights from subject matter experts

1. Executive summary	1. エグゼクティブサマリー
1.1 Key findings	1.1 主な調査結果
2. Introduction	2. 序論
3. Methodology	3. 方法論
3.1 Research ethics	3.1 研究倫理
3.2 Participants	3.2 参加者
3.3 Subject matter expert interviews	3.3 対象分野の専門家へのインタビュー
3.4 Expert validation workshop	3.4 専門家による妥当性確認ワークショップ
3.5 Data analysis	3.5 データ分析
3.6 Study limitations	3.6 研究の限界
4. Convergence identification	4. 融合の特定
4.1 Technology types	4.1 技術の種類
4.2 Technology groups	4.2 技術グループ
5. Technology ecologies	5. 技術のエコシステム
5.1 Geopolitics	5.1 地政学
5.2 Markets and innovation	5.2 市場とイノベーション
5.3 Everyday practice	5.3 日常の実践
6. Cyber security convergence(s)	6. サイバーセキュリティの融合
6.1 Threats to cyber security	6.1 サイバーセキュリティに対する脅威
6.2 Capabilities	6.2 機能
6.3 Opportunities and risks	6.3 機会とリスク
7. Managing convergence	7. 融合の管理
7.1 Responding to convergence	7.1 融合の対応
7.2 Beyond “flat pack” futures	7.2 「フラットパック」の未来を超えて
7.3 Recommendations for addressing technology convergence for cyber security	7.3 サイバーセキュリティのための技術融合の対応に関する提言
7.4 Technology convergence and cyber security	7.4 技術融合のサイバーセキュリティ
8. Acknowledgements	8. 謝辞
9. Authors	9. 著者
10. Bibliography	10. 参考文献
11. Appendix	11. 附属書
11.1 Appendix A: participant background	11.1 附属書 A：参加者の経歴
11.2 Appendix B: thematic analysis	11.2 附属書 B：テーマ別分析

Securing converged technologies: insights from subject matter experts	融合技術のセキュリティ確保：専門家による見解
1. Executive summary	1. エグゼクティブサマリー
The convergence of existing and emerging technologies are increasingly reshaping contemporary capabilities of states, organisations, and society with significant risks and opportunities for cyber security. Based on research with 20 subject matter experts primarily from within the cyber security sector, this report examines the role of technology convergence, its impact upon cyber security, and potential policy responses to identifying and mitigating technology convergence in the domain. We present a series of findings on the challenges of identifying technology convergences for cyber security, how technology convergence operates across broader technology ecologies, and how engagement with a range of actors in order to build expert communities is essential to addressing and mitigating the impact of technology convergence for cyber security.	既存技術と新興技術の融合は、国家、組織、社会の現代的な能力をますます変化させ、サイバーセキュリティに重大なリスクと機会をもたらしている。主にサイバーセキュリティ分野における 20 人の専門家による調査に基づき、本報告書では、技術の融合の役割、サイバーセキュリティへの影響、およびこの分野における技術の融合を識別し緩和するための潜在的な政策対応について検証している。サイバーセキュリティにおける技術の融合を識別する上での課題、より広範な技術エコシステムにおける技術の融合のしくみ、そしてサイバーセキュリティに対する技術の融合の影響に対処し、緩和するために、専門家コミュニティを構築するためにさまざまな関係者と連携することがいかに重要かについて、一連の調査結果を報告する。
Report by Dr Andrew C Dwyer and Mikaela Brough.	アンドリュー・C・ドワイヤー博士およびミカエラ・ブラフによる報告書。
1.1 Key findings	1.1 主な調査結果
Identifying technology convergences and their cyber security impact is challenging: Across 16 interviews and an additional validation workshop, subject matter experts frequently focused on pre-existing strategic documents and well-known technologies (existing and emerging) to identify future convergences with impacts for cyber security. The experts struggled, and were often reluctant, to articulate novel technology convergences outside of those previously identified by others. This suggests that individuals do not have the confidence nor the wide-ranging and systematic knowledge required to identify new forms of technology convergence alone.	技術の融合とそのサイバーセキュリティへの影響の特定は困難である：16 件のインタビューと追加の妥当性確認ワークショップにおいて、この分野の専門家たちは、サイバーセキュリティに影響を与える将来の融合を特定するために、既存の戦略文書やよく知られた技術（既存および新興）に焦点を当てることが多かった。専門家たちは、他者が以前に特定した以外の新しい技術の融合を明確に表現することに苦労し、しばしば消極的だった。これは、個人が単独で新しい形態の技術の融合を識別するために必要な自信や、幅広く体系的な知識を持っていないことを示唆している。
Technology convergence emerges across technology ecologies: Technologies that reshape capability (e.g., artificial intelligence (AI) applications or quantum engineering) were regarded by experts as essential foundational components for convergence, but that technologies alone do not determine whether convergence will occur and be impactful. The impact of such convergences are shaped by geopolitics, markets and innovation, as well as everyday socio-technical adoption and use (which this report calls technology ecologies). Identifying individual ‘key’ technologies and their particular technical capabilities for convergence without understanding how they are integrated and adopted in broader social, economic, and political contexts, was considered unlikely to be beneficial.	技術の融合は、技術のエコシステム全体で発生する。能力を変革する技術（人工知能（AI）アプリケーションや量子工学など）は、専門家によって融合の不可欠な基盤要素とみなされているが、技術だけでは融合が発生し、影響力を持つかどうかは決定されない。このような融合の影響は、地政学、市場、イノベーション、そして日常的な社会技術的な採用と利用（本報告書では「技術エコシステム」と呼ぶ）によって形作られる。個々の「重要な」技術と、その融合のための特定の技術的能力を、より広範な社会的、経済的、政治的文脈の中でどのように統合され、採用されるかを理解せずに識別することは、有益ではないと考えられた。
Cyber security poses novel challenges for addressing and mitigating the impacts of technology convergence: Due to technology ecologies, adversarial behaviour, and the domain’s interdependent complexity, the impact of technology convergence for cyber security is often difficult to assess in advance. Experts disagreed over whether it may be easier in cases of national security and defence, where technology development can be more rigorously modelled, or for everyday socio-technical harms. Yet all agreed that the dynamism of the broader domain and context means that social and technical vulnerabilities, for instance, can manifest in unexpected ways with uneven impacts for cyber security response.	サイバーセキュリティは、技術の融合の影響に対処し、それを緩和する上で新たな課題をもたらしている。技術のエコシステム、敵対的な行動、およびこの分野の相互依存的な複雑さのために、技術の融合がサイバーセキュリティに与える影響を事前に評価することは、多くの場合困難である。技術の開発をより厳密にモデル化できる国家安全保障や防衛の場合、あるいは日常的な社会技術的な被害の場合、評価が容易になるかどうかについては、専門家の意見は分かれた。しかし、この分野と文脈のダイナミズムにより、例えば社会的・技術的な脆弱性が予期せぬ形で現れ、サイバーセキュリティ対応に不均衡な影響をもたらす可能性があるという点で、すべての専門家は一致した。
Active community engagement is required to manage technology convergence and cyber security for effective policy: Rather than a focus on early-stage research, experts suggested that the focus of managing cyber security risks and opportunities should focus on higher technology readiness levels (TRLs). This is because many cyber security impacts are only likely to be appropriately identified when technologies and processes are closer to deployment. However, to build an effective and cohesive picture at the tempo required, insights should derive from established relationships between experts from across multiple academic disciplines, industry, applied research and elsewhere; which may be achieved best by a long-term task force dedicated to technology convergence.	効果的な政策のために、技術の融合とサイバーセキュリティを管理するには、コミュニティの積極的な関与が必要である。専門家たちは、サイバーセキュリティのリスクと機会の管理については、初期段階の研究に焦点を当てるよりも、より高い技術準備レベル（TRL）に焦点を当てるべきだと提案した。これは、多くのサイバーセキュリティの影響は、技術やプロセスが展開に近づいた段階で初めて適切に識別できる可能性が高いからである。しかし、必要なスピードで効果的かつ一貫性のある全体像を構築するには、複数の学問分野、産業界、応用研究などの専門家間の確立された関係から得られた知見を活用する必要がある。これは、技術の融合に専念する長期的なタスクフォースによって最も効果的に達成できるだろう。
2. Introduction	2. 序論
Ongoing scientific advances, ranging from artificial intelligence (AI) applications to quantum engineering and biotechnology, promise to transform scientific and security capabilities for states, organisations, and societies. The integration of novel scientific capabilities with a range of existing technologies, infrastructures, and processes will lead to new forms of technology convergence – creating new threats and vulnerabilities, as well as opportunities to improve cyber security response. New convergences have the potential to perpetuate online harms, redefine national security and defence capabilities, establish innovative markets, as well as foster new forms of connectivity. This report engages with the complex domain of technology convergence by examining how subject matter experts expect It will shape the future of cyber security. We present research conducted with 20 experts primarily from the cyber security sector, funded by the Department for Science, Innovation and Technology (DSIT). The research was conducted with three objectives:	人工知能（AI）の応用から量子工学、バイオ技術に至るまで、科学の進歩は、国家、組織、社会の科学およびセキュリティの能力に変革をもたらすことを約束している。新しい科学的能力と、既存のさまざまな技術、インフラ、プロセスとの統合は、新しい形の技術の融合をもたらし、新たな脅威や脆弱性、そしてサイバーセキュリティ対応を改善する機会を生み出する。新たな融合は、オンライン上の危害を永続化させ、国家安全保障と防衛能力を再定義し、革新的な市場を確立する可能性があり、新たな接続形態を促進する可能性がある。本報告書は、サイバーセキュリティの専門家が技術の融合が未来をどのように形作るかについてどう見ているかを分析することで、技術の融合の複雑な領域に取り組んでいる。科学技術革新省（DSIT）の資金援助を受けて、主にサイバーセキュリティ分野の 20 人の専門家を対象に実施した調査結果を報告する。この調査は、3 つの目的のために実施された。
・To understand which factors shape technology convergence in cyber security.	・サイバーセキュリティにおける技術の融合を形作る要因を理解すること。
・To explore the risks and opportunities of technology convergences for cyber security.	・サイバーセキュリティにおける技術の融合がもたらすリスクと機会を探ること。
・To develop perspectives on how to respond to technology convergence in the cyber security domain.	・サイバーセキュリティ分野における技術の融合に対応するための視点を養う。
Findings from this research show that the impact of technology convergence upon cyber security is not driven by technology alone, but by a wide range of contextual factors, including geopolitics, economic markets, and everyday adoption. Subject matter experts found it difficult to engage with potential future technology convergences – apart from those already popular in the public domain – therefore limiting the identification and assessment of particular risks and opportunities for cyber security. However, through qualitative interviews and a validation workshop, the broader conditions for technology convergence and domain-specific considerations for cyber security were identified as well as how to address and mitigate technology convergence’s impacts upon the domain.	この調査の結果、技術の融合がサイバーセキュリティに与える影響は、技術だけによって決まるのではなく、地政学、経済市場、日常的な採用状況など、さまざまな状況要因によって左右されることが明らかになった。この分野の専門家たちは、すでに一般に普及しているものを除き、将来起こりうる技術の融合について検討することは困難であり、サイバーセキュリティに関する特定のリスクや機会の特定と評価は限定的であると指摘している。しかし、質的インタビューと妥当性確認ワークショップを通じて、技術の融合のより広範な条件とサイバーセキュリティに関する分野固有の考慮事項、および技術の融合がサイバーセキュリティ分野に与える影響に対処し、緩和する方法が特定された。
The remainder of this report 1) provides a methodological background to the research; 2) explores how technology convergence is identified by participants, by distinguishing between more easily understood technology types and fewer technology groups; 3) examines what this report calls technology ecologies to explain how subject matter experts consider broader contextual features of convergence; 4) assesses domain-specific aspects of convergence for cyber security; 5) examines how to manage convergence in organisations and public policy; and 6) suggests how to build futures research for technology convergence and recommendations for policy.	本報告書の残りの部分では、1) 研究の方法論的背景を説明し、2) 理解しやすい技術タイプとより少ない技術グループを区別して、参加者が技術の融合をどのように認識しているかを調査し、3) 本報告書で「技術エコシステム」と呼ぶものを検討し、専門家が融合のより広範な文脈的特徴をどのように認識しているかを説明し、4) サイバーセキュリティに関する融合の分野固有の側面を評価し、5) 組織および公共部門における融合の管理方法を検討している。3) 本報告書で「技術エコロジー」と呼ぶものを検証し、対象分野の専門家が融合のより広範な文脈的特徴をどのように捉えているかを説明する。4) サイバーセキュリティにおける融合の分野固有の側面を評価する。5) 組織および公共政策における融合の管理方法を検証する。6) 技術の融合に関する将来の研究の構築方法と政策提言を提案する。

2025.08.18 00:00 in 情報セキュリティ / サイバーセキュリティ, in AI/Deep Learning, in 量子技術 | Permalink | Comments (0)
Tweet

2025.08.17

イタリア国家サイバーセキュリティ庁中小企業向けサイバーリスクから身を守るための実用的なガイド等 (2025.08.11)

こんにちは、丸山満彦です。

イタリアの国会サイバーセキュリティ庁が、中小企業がサイバーリスクから身を守るための実用的なガイド、リーフレットを、管理者向け、従業員向け、ITベンダー向けにそれぞれ公表しています...

日本でも中小企業のセキュリティ対応についてはサイバーセキュリティお助け隊など、いろいろと手を尽くしていますが、なかなか難しいですよね...

そういえば、このブログで2025.07.23 に米国、日本、英国、欧州、ドイツ、フランス、オーストラリア、カナダの中小企業のセキュリティ対策のガイド等を紹介したけど、イタリアは入れていなかった...

● Agenzia per la cybersicurezza nazionale; ACN

・2025.08.11 Cybersicurezza: ACN diffonde guide pratiche per supportare le PMI nella protezione dai rischi informatici

Cybersicurezza: ACN diffonde guide pratiche per supportare le PMI nella protezione dai rischi informatici	サイバーセキュリティ：ACNが実践的なガイドラインを配布し、中小企業（SME）のサイバーリスク対策を支援
L’Agenzia per la cybersicurezza nazionale (ACN) conclude la campagna di sensibilizzazione “Accendiamo la cybersicurezza. Proteggiamo le nostre imprese.” rivolta alle piccole e medie imprese (PMI) italiane, con la pubblicazione e la distribuzione capillare di guide e pieghevoli informativi pensati per rafforzare la difesa digitale delle aziende.	国家サイバーセキュリティ機関（ACN）は、イタリアの中小企業（SME）を対象とした意識向上キャンペーン「サイバーセキュリティを強化しよう。私たちの企業を守ろう」を、企業向けのデジタル防御を強化するためのガイドと情報リーフレットの発行と広範な配布により終了した。
Le PMI italiane, spesso coinvolte in filiere produttive strategiche e in contesti ad alto rischio, si trovano oggi ad affrontare crescenti minacce informatiche, come attacchi ransomware, phishing e compromissioni di sistemi IT. La campagna di ACN punta a fornire indicazioni operative e facilmente applicabili, rivolgendosi sia ai dirigenti aziendali sia ai professionisti IT.	イタリアのSMEは、戦略的なサプライチェーンや高リスクな環境において活動するケースが多く、ランサムウェア攻撃、フィッシング、ITシステムへの不正アクセスなど、増加するサイバー脅威に直面している。ACNのキャンペーンは、経営者からIT専門家までを対象に、実践的で容易に適用可能な指針を提供することを目的としている。
Le guide affrontano i principali aspetti della cybersicurezza aziendale, tra cui:	ガイドでは、企業サイバーセキュリティの主要な側面を扱っている。具体的には：
・l’integrazione della sicurezza digitale nella strategia d’impresa;	・デジタルセキュリティを企業戦略に統合すること；
・l’importanza della formazione continua dei dipendenti;	・従業員の継続的な教育の重要性；
・la gestione degli incidenti e la business continuity;	・インシデント管理と事業継続；
・l’adozione di strumenti come autenticazione a più fattori (MFA), cifratura dei dati,	・多要素認証（MFA）、データ暗号化、
・backup sicuri e monitoraggio delle minacce;	・安全なバックアップ、脅威監視などのツールの採用；
・la selezione di fornitori qualificati e l’utilizzo consapevole di servizi cloud SaaS;	・資格のあるサプライヤーの選定とSaaSクラウドサービスの適切な利用；
・la necessità di limitare i privilegi utente e adottare approcci come lo Zero Trust.	・ユーザー権限の制限とゼロトラストアプローチの採用。
Particolare rilievo viene dato alla nominazione di un responsabile per la cybersicurezza e alla valutazione dei fornitori IT, elementi chiave per garantire un livello di protezione adeguato e sostenibile. Le indicazioni presenti nei materiali prodotti da ACN mirano a colmare il divario di competenze e risorse che spesso caratterizza le PMI, supportandole nel raggiungimento di un livello di resilienza digitale coerente con le nuove sfide normative (come la direttiva NIS2) e tecnologiche.	サイバーセキュリティ責任者の任命とITサプライヤーの評価に特に重点が置かれている。これらは、適切なレベルで持続可能な保護を確保するための重要な要素である。ACNが作成した資料に記載されている指針は、中小企業にしばしば見られるスキルとリソースのギャップを埋めることを目的としており、新たな規制上の課題（NIS2指令など）や技術的課題に対応したデジタルレジリエンスのレベルを達成するための支援を提供している。
La campagna, avviata a luglio 2024 insieme al Dipartimento per l’Informazione e l’Editoria della Presidenza del Consiglio dei ministri, attua la misura 71 della Strategia nazionale di cybersicurezza. L’iniziativa ha coinvolto centinaia di aziende sul territorio grazie ad un tour di otto tappe che ha attraversato tutta l’Italia e ha promosso i consigli di protezione dai rischi informatici attraverso una capillare campagna istituzionale che ha raggiunto oltre 113 milioni di telespettatori. Sui social, invece, è stato raggiunto quasi 1 milione di visualizzazioni per i video della campagna, mentre i contenuti digitali hanno avuto quasi 21 milioni di visualizzazioni.	このキャンペーンは、2024年7月に内閣府情報・出版局と共同で開始され、国家サイバーセキュリティ戦略の措置71を実施するものだ。この取り組みには、イタリア全土を回る8カ所でのツアーを通じて、数百社の企業が参加し、1億1,300万人以上のテレビ視聴者に、サイバーリスク対策に関するアドバイスを広く発信する政府キャンペーンが実施された。一方、ソーシャルメディアでは、キャンペーンの動画が100万回近く再生され、デジタルコンテンツは2,100万回近く閲覧された。
Maggiori informazioni e materiali informativi	詳細情報と資料

・Accendiamo la cybersicurezza

Accendiamo la cybersicurezza	サイバーセキュリティを点灯させよう
In Italia, molte piccole e medie imprese (PMI) subiscono attacchi informatici e spesso è un errore umano a permetterlo. Malware, ransomware e phishing sono tra le tecniche più diffuse tra i cyber criminali. Investi in misure adeguate, forma il personale, affidati a professionisti.	イタリアでは、多くの中小企業（SME）がサイバー攻撃を受けており、その多くは人的ミスが原因である。マルウェア、ランサムウェア、フィッシングは、サイバー犯罪者が最もよく使用する手法である。適切な対策に投資し、従業員を教育し、専門家に依頼しよう。
La campagna “Accendiamo la cybersicurezza. Proteggiamo le nostre imprese.” è realizzata dall’Agenzia per la cybersicurezza nazionale e dal Dipartimento per l’Informazione e l’Editoria della Presidenza del Consiglio dei ministri, per diffondere maggiore consapevolezza cyber nelle PMI italiane, nell'ambito della Strategia Nazionale di Cybersicurezza.	「サイバーセキュリティを点灯させよう。企業を守ろう」キャンペーンは、国家サイバーセキュリティ庁と内閣府情報・出版局が、イタリアの中小企業におけるサイバーセキュリティの意識向上を目的として、国家サイバーセキュリティ戦略の一環として実施している。
Sottovalutare la cybersicurezza "spegne" le imprese.	サイバーセキュリティを軽視することは、企業を「停止」させる。
Figure professionali	専門職
DIRIGENTI	経営者
La base della cybersicurezza aziendale inizia dal vertice	企業のサイバーセキュリティの基盤はトップから始まる
Includi la cybersicurezza tra le priorità aziendali, dedica risorse economiche e formative per accrescere la resilienza informatica e la consapevolezza nella tua azienda.	サイバーセキュリティを企業の優先事項に組み込み、経済的リソースと教育リソースを投入して、企業のサイバーレジリエンスと意識向上を促進すること。
Investire nella sicurezza informatica aziendale protegge il patrimonio informativo dell’azienda e ti aiuta a sostenere la resilienza e la continuità dei servizi che eroghi.	企業のサイバーセキュリティへの投資は、企業の情報資産を保護し、提供するサービスのレジリエンスと継続性を維持するのに役立つ。
Stabilisci obiettivi di cybersicurezza significativi, coerenti con gli obiettivi strategici della tua organizzazione	組織の戦略的目標と一致した意味のあるサイバーセキュリティ目標を設定すること
Definiscili nella fase di pianificazione strategica e aggiornali periodicamente	戦略的計画段階で定義し、定期的に更新すること
Esamina il quadro normativo e individua i requisiti e l vincoli di sicurezza applicabili alla tua organizzazione	規制枠組みを分析し、組織に適用されるセキュリティ要件と制約を特定すること
Definisci presidi di sicurezza informatica aziendale conformi al quadro normativo vigente	現在の規制枠組みに準拠した企業サイバーセキュリティ対策を実施すること
Acquisisci consapevolezza cyber sul processi, sistemi e dati vitali per il tuo business e supporta la loro protezione	ビジネスに不可欠なプロセス、システム、データに関するサイバーセキュリティ意識を高め、その保護を支援すること
Valuta anche opzioni di assicurazione o trasferimento del rischio cyber	サイバーリスクの保険やリスク移転のオプションも検討すること
Nomina un responsabile per la cybersicurezza che ti supporti nell'individuare gli obiettivi di cybersicurezza	サイバーセキュリティ責任者を任命し、サイバーセキュリティ目標の特定を支援させること
Pianifica allineamenti periodici e mettilo in condizione di sviluppare un solido programma di cybersicurezza	定期的な調整を計画し、堅固なサイバーセキュリティプログラムを構築するための環境を整えること
Diffondi la cultura della cybersicurezza tra i tuoi dipendenti, attraverso corsi di formazione e iniziative di sensibilizzazione	従業員にサイバーセキュリティの意識を浸透させるため、トレーニングコースや啓発キャンペーンを実施
Dopo aver erogato corsi, misura le competenze acquisite dai tuoi dipendenti	トレーニング実施後、従業員が習得したスキルを測定
Scegli fornitori che soddisfino adeguati livelli di cybersicurezza	適切なサイバーセキュリティレベルを満たすサプライヤーを選択
Definisci misure contrattuali e requisiti adeguati alla criticità di dati e servizi che affidi all'esterno, assicurandoti che includano clausole per la gestione degli incidenti informatici	外部に委託するデータやサービスの重要度に応じた契約上の措置と要件を定義し、サイバーインシデント対応条項を含むことを確認
Guida per Dirigenti	経営者向けガイド

Scarica I consigli utili	役立つアドバイスをダウンロード

DIPENDENTI	従業員
Una risorsa chiave per la cybersicurezza	サイバーセキュリティの鍵となるリソース
Acquisisci maggiore consapevolezza sulle buone pratiche aziendali di cybersicurezza.	企業のサイバーセキュリティのベストプラクティスに関する意識を高めよう。
Proteggiti dagli incidenti informatici durante diverse situazioni di lavoro, come il telelavoro o trasferte.	テレワークや出張など、さまざまな業務状況下でサイバーインシデントから身を守ろう。
Partecipa in maniera attiva alle inizlative di formazione sulla cybersicurezza e di consapevolezza organizzate dalla tua organizzazione	組織が実施するサイバーセキュリティの研修や啓発活動に積極的に参加しよう
La cybersicurezza è una responsabilità condivisa e ognuno ha un ruolo per garantire un ambiente sicuro. L'adozione delle precauzioni suggerite è fondamentale per proteggere te e la tua organizzazione	サイバーセキュリティは共有責任であり、誰もが安全な環境を確保する役割を担っている。推奨される予防措置を採用することは、あなたと組織を保護するために不可欠である
Fal attenzione al soclal engineering e in particolare al phishing	ソーシャルエンジニアリング、特にフィッシングに注意すること
Se ricevi e-mail, telefonate o sms che ritieni sospetti, segnala tempestivamente all'organizzazione, collabora per proteggere i dati e le risorse aziendali da potenziali violazioni	不審なメール、電話、SMSを受け取った場合は、速やかに組織に報告し、データと企業資産の潜在的な侵害から保護するために協力すること
Genera e gestisci le tue credenziali in modo sicuro, evitando di riutilizzarle	資格情報を安全に生成し管理し、再利用を避けること
Non usare informazioni personali facilmente reperibili per generare le password. Attiva, dove possibile, l'autenticazione a più fattori (MFA) e per i servizi aziendali segui le indicazioni della tua organizzazione	パスワードを生成する際は、容易に取得可能な個人情報を使用しないですること。可能な場合は多要素認証（MFA）を有効化し、企業サービスに関しては組織の指示に従うこと
Fal regolarmente Il back-up dei dati aziendali su supporti autorizzatl e, se prevista, sulla plattaforma cloud della tua organizzazione	定期的に実施すること企業データを承認されたメディアにバックアップし、組織のクラウドプラットフォームが利用可能な場合はそちらにもバックアップすること
Favorisci, dove possibile, un approccio multiplo che preveda sia back-up locali che in cloud, per un livello maggiore di resilienza contro la perdita di dati	可能な限り、ローカルとクラウドの両方のバックアップを組み合わせたマルチアプローチを採用し、データ損失に対する耐性を高めること
Seleziona sempre con chi condividere dati e stal attento a condivisioni involontarle sul social o su programmi e servizi disponibili sul web	データ共有相手を慎重に選択し、ソーシャルメディアやウェブ上のプログラム・サービスでの意図しない共有に注意すること
Per condividere documenti utilizza gli strumenti di messaggistica e file-sharing approvati dalla tua organizzazione	文書を共有する際は、組織で承認されたメッセージングツールやファイル共有ツールを使用すること
L'aggiornamento del software e dell'antivirus è un tassello fondamentale della cybersicurezza aziendale	ソフトウェアとアンチウイルスプログラムのアップデートは、企業サイバーセキュリティの重要な要素である
Mantieni aggiornati i dispositivi (come PC, smartphone o tablet) assicurandoti di scaricare gli aggiornamenti software solo dai siti web di fornitori affidabili	デバイス（PC、スマートフォン、タブレットなど）を常に最新状態に保ち、ソフトウェアのアップデートは信頼できるベンダーのウェブサイトからのみダウンロードすること
Su PC e smartphone aziendali Installa esclusivamente applicazioni attendibili e strettamente necessarie per il tuo lavoro	企業用のPCやスマートフォンには、業務に必要不可欠な信頼できるアプリケーションのみをインストールすること
Se non trovi l'applicazione che ti serve, non scaricare software dal web, ma rivolgiti ai responsabili interni all'organizzazione che gestiscono le tue dotazioni IT	必要なアプリケーションが見つからない場合は、ウェブからソフトウェアをダウンロードせず、組織内のIT機器管理担当者に連絡すること
Lavora in modo sicuro ovunque ti trovl (a casa, in ufficio o in vlaggio) con dispositivi azlendall	どこにいても（自宅、オフィス、出張先など）安全に作業を行うため、デバイスを適切に管理すること
Per le attività lavorative, prediligi sempre l'uso di dispositivi aziendali, piuttosto che personali, e non lasciarli incustoditi. Collegati ad Internet tramite reti sicure, evitando reti pubbliche aperte	業務では、個人用デバイスではなく企業用デバイスを優先し、放置しないようにすることインターネットには安全なネットワーク経由で接続し、公開されている公共のネットワークは使用しないですること
In caso di anomalie o situazioni sospette, contatta tempestivamente chi all'interno della tua organizzazione può alutarti a verificare ciò che sta accadendo	異常や不審な状況が発生した場合は、組織内の担当者に速やかに連絡し、状況を確認すること
Fai attenzione in particolare a bassa velocità di elaborazione, blocchi frequenti e popup imprevisti. Comunica con il personale di supporto per aiutarli a capire cosa è successo e di quale assistenza hai bisogno	特に、処理速度の低下、頻繁なフリーズ、予期しないポップアップなどに注意すること。サポート担当者と連絡を取り、何が起こったのか、どのような支援が必要かを伝えること
Guida per Dipendenti	従業員向けガイド

Scarica I consigli utili	役立つヒントをダウンロード

PROFESSIONISTI E FORNITORI IT	ITプロフェッショナルとサプライヤー
Il valore aggiunto per aziende cyber sicure	サイバーセキュリティ強化の付加価値
Sei un professionista ICT o un fornitore di servizi IT? Adotta soluzioni opportune per rafforzare l’infrastruttura digitale dell'impresa, aiutando a prevenire o ridurre l’impatto di incidenti informatici.	ICTプロフェッショナルまたはITサービスプロバイダーであるか？企業のデジタルインフラを強化し、サイバーインシデントの影響を予防または軽減するための適切なソリューションを採用すること。
Scopri consigli e indicazioni utili per la valutazione degli aspetti di cybersicurezza nel ciclo di vita dei sistemi dell’organizzazione, per sostenere l’impegno della dirigenza e realizzare soluzioni efficienti e resilienti, indirizzando le capacità di spesa in maniera mirata e più consapevole.	組織のシステムライフサイクルにおけるサイバーセキュリティの評価に関する役立つアドバイスとガイドラインを発見し、経営陣の取り組みを支援し、効率的で回復力のあるソリューションを実現するため、支出を適切かつ意識的に配分しよう。
Identifica, per ogni anno, gli interventi principali di potenziamento della cybersicurezza, con il supporto della dirigenza	経営陣の支援を受けて、毎年、サイバーセキュリティ強化の主要な措置を特定すること
Individua un numero di interventi in funzione delle capacità dell'organizzazione	組織の能力に応じて、実施すべき措置の数を特定すること
Attiva l'autenticazione a più fattori o Multi Factor Authentication (MFA)	多要素認証（MFA）を有効にする
In particolare, utilizzala per gli strumenti di office automation (come la posta elettronica), i servizi di cloud storage, le credenziali di accesso privilegiate a dati e piattaforme, i sistemi per accesso remoto	特に、オフィスオートメーションツール（メールなど）、クラウドストレージサービス、データやプラットフォームへの特権アクセス資格情報、リモートアクセスシステムなどに適用する
Prevedi, all'interno del processi di procurement, l'adozione di requisiti e criteri di sicurezza per la scelta e la gestione del fornitori	調達プロセスにおいて、サプライヤーの選択と管理のためのセキュリティ要件と基準の採用を計画する
Valuta le implicazioni di sicurezza di prodotti e servizi acquistati	購入する製品およびサービスのセキュリティ影響を評価する
Dove in linea con le esigenze della tua organizzazione, usa Il mondo cloud nella sua versione Application-as-a-Service (AaaS) come leva per ridurre le competenze e gli sforzi necessari al mantenimento della sicurezza del sistemi	組織のニーズに合致する場合、アプリケーション・アズ・ア・サービス（AaaS）形式のクラウドサービスを活用し、システムセキュリティ維持に必要なスキルと労力を削減する
Focalizza quali impostazioni di sicurezza delle soluzioni AaaS sono in capo al fornitore e quali rimangono sotto la tua responsabilità	AaaSソリューションのセキュリティ設定のうち、サプライヤーの責任範囲と自社の責任範囲を明確にする
Assicura l'aggiornamento del sistemi operativi e delle applicazioni, attivando gli agglornamenti automatici su tutti gli asset, oppure Identifica una linea guida per gestire le priorità delle attività di aggiornamento	オペレーティングシステムとアプリケーションのアップデートを確実に行い、すべての資産で自動アップデートを有効にするか、またはアップデート活動の優先順位を管理するためのガイドラインを策定する
Fai in modo di non avere PC o smartphone con sistemi operativi obsoleti non coperti da patching e dal servizio di assistenza.	パッチ適用やサポートサービスの対象外となっている古いオペレーティングシステムを搭載したPCやスマートフォンが存在しないようにする
Abilita le funzionalità di cifratura del dati su tutti gli asset possibili (come PC, server, smartphone, dispositivi removibili) dell'organizzazione	組織内の可能なすべての資産（PC、サーバー、スマートフォン、リムーバブルデバイスなど）でデータ暗号化機能を有効にする
Per gli smartphone e altri dispositivi mobili considera le modalità di cifratura native presenti sui diversi sistemi operativi	スマートフォンやその他のモバイルデバイスについては、各オペレーティングシステムに組み込まれたネイティブ暗号化方式を検討する
Esegui regolarmente I back-up su tutti gli asset possibill (come PC, server, smartphone, dispositivi removibili), dando priorità al dati critici per la tua organizzazione	可能なすべての資産（PC、サーバー、スマートフォン、リムーバブルデバイスなど）に対して定期的にバックアップを実施し、組織にとって重要なデータを優先する
Effettua test periodici di ripristino completo dei dati del back-up	バックアップデータの完全復元テストを定期的に実施する
Garantisci che gli utenti non abbiano diritti amministrativi sul proprio PC	ユーザーが自身のPCに対して管理者権限を持っていないことを確認する
Limita l'assegnazione di utenze con privilegi elevati al personale strettamente necessario, qualificato come "amministratore di sistema", vincolando questi ultimi a usare account con privilegi adatti alle operazioni quotidiane	高権限ユーザーを、必要最小限の「システム管理者」として資格を有する従業員に限定し、日常業務に適した権限を持つアカウントの使用を義務付ける
Garantisci l'Installazione e l'aggiornamento di una soluzione antivirus su tutti gli asset (come PC, server, smartphone) dell'organizzazione	組織内のすべての資産（PC、サーバー、スマートフォンなど）にアンチウイルスソリューションのインストールと更新を確実に行う
Prediligi, se possibile, l'adozione di una soluzione antivirus gestita a livello centrale, che permetta di monitorare tutti i dispositivi da un'unica console, centralizzando l'aggiornamento e massimizzando l'efficacia operativa	可能であれば、中央管理型のアンチウイルスソリューションを採用し、単一のコンソールからすべてのデバイスを監視し、更新を中央集約化し、運用効率を最大化すること
Definisci, implementa e mantieni agglornate le soluzioni tecniche per gestire adeguatamente l'accesso remoto di dipendenti e fornitori (come la VPN)	従業員やサプライヤーのリモートアクセスを適切に管理するための技術的ソリューション（例：VPN）を定義、実施し、常に最新状態に維持すること
Garantisci che tutte le tipologie di accesso remoto da parte dei tuoi fornitori siano concordate nei contratti di servizio e limitate ai requisiti di business	サプライヤーによるすべての種類のリモートアクセスがサービス契約で合意され、ビジネス要件に限定されていることを確認すること
Individua attivita, sistemi, servizi e dati critici per dare priorita agli Interventi di potenzlamento della cybersicurezza	サイバーセキュリティ強化措置の優先順位付けのため、重要な活動、システム、サービス、データを特定すること
Stabilisci opportune metodologie di identificazione e monitoraggio delle minacce di sicurezza che potrebbero impattare i tuoi asset. Limita il numero di piattaforme raggiungibili da Internet a quelle strettamente necessarie	資産に影響を与える可能性のあるセキュリティ脅威の特定と監視のための適切な手法を確立することインターネットからアクセス可能なプラットフォームを、必要最小限に制限する
Preparati a gestire gli incidenti di sicurezza Informatica Individuando le figure interne e I punti di contatto di fornitori o altri riferimenti per la gestione delle emergenze	情報セキュリティインシデントの対応準備を強化するため、社内担当者とサプライヤーの緊急連絡窓口を明確化する
Favorisci sessioni specifiche di formazione sul tema durante l'anno	年間を通じて、テーマ別の専門トレーニングセッションを実施する
Guida per Dipendenti	ITプロフェッショナル向けガイド

Scarica I consigli utili	役立つヒントをダウンロード

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.08.15 英国中小企業によるサイバー保険の採用 (2025.08.11)

・2025.07.23 各国の中小企業向けセキュリティガイダンス

・2025.05.04 米国 NIST IR 7621 Rev.2（初期公開ドラフト）中小企業のサイバーセキュリティ：非雇用企業

・2025.04.18 IPA 一般企業（中小企業）と医療機関向けセキュリティインシデント対応机上演習教材 (2025.04.15)

・2024.03.27 ドイツ CyberRisi　oCheck：中小企業向けITセキュリティ

・2023.04.30 IPA 「令和4年度中小企業等に対するサイバー攻撃の実態調査」調査実施報告書

・2022.08.27 日本商工会議所中小企業におけるサイバー攻撃の実態と対処能力の向上について（中小企業向け動画解説）

・2022.05.22 経済産業省「令和3年度中小企業サイバーセキュリティ対策促進事業（サイバーセキュリティ及び情報セキュリティに関する地域コミュニティ形成事業）」報告書

・2022.04.02 IPA 2021年度中小企業における情報セキュリティ対策の実態調査報告書

・2021.11.08 米国連邦取引委員会 (FTC) ランサムウェアのリスク：中小企業のための2つの予防ステップ

・2021.09.14 ENISA 中小企業のセキュリティのためのツール「SecureSMEツール」を発表していますね。。。

・2021.07.07 ENISA 中小企業のためのサイバーセキュリティの課題と推奨事項 at 2021.06.28

・2020.09.12 総務省が中小企業等担当者向けのテレワークセキュリティに関する手引き（チェックリスト）を公表していますね。。

・2020.06.16 IPA 中小企業向けサイバーセキュリティ関係報告書３つ！

ちょっとあいて...(^^)

・2011.04.28 IPA 中小企業向け「クラウドサービス安全利用の手引き」と「情報開示の参照ガイド」を作成・提供～

・2009.10.30 IPA 中小企業における情報セキュリティ対策の実施状況等調査

・2009.03.19 IPA 「中小企業の情報セキュリティ対策ガイドライン」公開

2025.08.17 00:00 in 情報セキュリティ / サイバーセキュリティ, in フィッシング, in ウイルス, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続 | Permalink | Comments (0)
Tweet

米国 NIST SP 800-232 制約のあるデバイス向けの Ascon ベースの軽量暗号標準：認証付き暗号化、ハッシュ、および拡張可能な出力機能

こんにちは、丸山満彦です。

NISTが、IoTなどでの利用を想定した軽量暗号アルゴリズムの標準として、Asconベースの暗号をNISTは採用していますが、標準としてSP 800-232を今回発表していますね...

● NIST - ITL

・2025.08.13 NIST SP 800-232 Ascon-Based Lightweight Cryptography Standards for Constrained Devices: Authenticated Encryption, Hash, and Extendable Output Functions

NIST SP 800-232 Ascon-Based Lightweight Cryptography Standards for Constrained Devices: Authenticated Encryption, Hash, and Extendable Output Functions	NIST SP 800-232 制約のあるデバイス向けの Ascon ベースの軽量暗号標準：認証付き暗号化、ハッシュ、および拡張可能な出力機能
Abstract	要約
In 2023, the National Institute of Standards and Technology (NIST) announced the selection of the Ascon family of algorithms designed by Dobraunig, Eichlseder, Mendel, and Schläffer to provide efficient cryptographic solutions for resource-constrained devices. This decision emerged from a rigorous, multi-round lightweight cryptography standardization process. The Ascon family includes a suite of cryptographic primitives that provide Authenticated Encryption with Associated Data (AEAD), hash function, and eXtendable Output Function (XOF) capabilities. The Ascon family is characterized by lightweight, permutation-based primitives and provides robust security, efficiency, and flexibility, making it ideal for resource-constrained environments, such as Internet of Things (IoT) devices, embedded systems, and low-power sensors. The family is developed to offer a viable alternative when the Advanced Encryption Standard (AES) may not perform optimally. This standard outlines the technical specifications and security properties of Ascon-AEAD128, Ascon-Hash256, Ascon-XOF128, and Ascon-CXOF128.	2023年、米国国立標準技術研究所（NIST）は、リソースに制約のあるデバイス向けに効率的な暗号ソリューションを提供するために、Dobraunig、Eichlseder、Mendel、およびSchläfferによって設計されたAsconファミリーのアルゴリズムの採用を発表した。この決定は、厳格な多段階の軽量暗号標準化プロセスを経て下された。Ascon ファミリーには、関連データ付き認証付き暗号化 (AEAD)、ハッシュ関数、および拡張出力関数 (XOF) 機能を提供する一連の暗号プリミティブが含まれている。Ascon ファミリーは、軽量で順列ベースのプリミティブを特徴とし、堅牢なセキュリティ、効率性、および柔軟性を提供するため、モノのインターネット (IoT) デバイス、組み込みシステム、低電力センサーなどのリソースに制約のある環境に最適である。このファミリーは、Advanced Encryption Standard (AES) が最適に機能しない場合に、実行可能な代替手段を提供するために開発された。この標準は、Ascon-AEAD128、Ascon-Hash256、Ascon-XOF128、および Ascon-CXOF128 の技術仕様とセキュリティ特性を概説している。

・[PDF] NIST.SP.800-232

目次...

1. Introduction	1. 序論
2. Preliminaries	2. 予備知識
2.1. Auxiliary Functions	2.1. 補助機能
3. Ascon Permutations	3. Ascon 置換
3.1. Internal State	3.1. 内部状態
3.2. Constant-Addition Layer 𝑝𝐶	3.2. 定数加算層 𝑝𝐶
3.3. Substitution Layer 𝑝𝑆	3.3. 置換層 𝑝𝑆
3.4. Linear Diffusion Layer 𝑝𝐿	3.4. 線形拡散層 𝑝𝐿
4. Authenticated Encryption Scheme: Ascon-AEAD128	4. 認証付き暗号方式：Ascon-AEAD128
4.1. Specification of Ascon-AEAD128	4.1. Ascon-AEAD128 の仕様
4.1.1. Encryption	4.1.1. 暗号化
4.1.2. Decryption	4.1.2. 復号
4.2. Implementation Options	4.2. 実装オプション
4.2.1. Truncation	4.2.1. 切り捨て
4.2.2. Nonce Masking	4.2.2. ノンスのマスキング
4.3. AEAD Requirements	4.3. AEAD の要件
4.4. Security Properties	4.4. セキュリティ特性
4.4.1. Single-Key Setting	4.4.1. 単一鍵設定
4.4.2. Multi-Key Setting	4.4.2. 複数鍵設定
4.4.3. Nonce-Misuse Setting	4.4.3. ノンスの悪用設定
5. Hash and eXtendable-Output Functions (XOFs)	5. ハッシュおよび拡張出力関数 (XOF)
5.1. Specification of Ascon-Hash256	5.1. Ascon-Hash256 の仕様
5.2. Specification of Ascon-XOF128	5.2. Ascon-XOF128 の仕様
5.3. Specification of Ascon-CXOF128	5.3. Ascon-CXOF128 の仕様
5.4. Streaming API for XOF	5.4. XOF のストリーミング API
5.5. Security Strengths	5.5. セキュリティ強度
6. Conformance	6. 適合性
Appendix A. Implementation Notes	附属書 A. 実装に関する注記
A.1. Conversion Functions	A.1. 変換関数
A.2. Implementing with Integers	A.2. 整数による実装
A.3. Precomputation	A.3. 事前計算
Appendix B. Determination of the Initial Values	附属書 B. 初期値の決定

序論...

1. Introduction	1. 序論
This standard specifies the Ascon family of algorithms to provide Authenticated Encryption with Associated Data (AEAD), a hash function, and two eXtendable Output Functions (XOFs). The Ascon family is designed to be efficient in constrained environments. The algorithms included in this standard are as follows:	この標準は、関連データ付き認証付き暗号化（AEAD）、ハッシュ関数、および 2 つの拡張出力関数（XOF）を提供する Ascon ファミリのアルゴリズムを規定する。Ascon ファミリは、制約のある環境でも効率的に動作するように設計されている。この標準に含まれるアルゴリズムは、次のとおりである。
1. Ascon-AEAD128 is a nonce-based AEAD scheme, offering 128-bit security strength in the single-key setting.	1. Ascon-AEAD128 は、ノンスベースの AEAD スキームであり、単一鍵設定で 128 ビットのセキュリティ強度を提供する。
2. Ascon-Hash256 is a cryptographic hash function that produces a 256-bit hash of the input messages, offering a security strength of 128 bits.	2. Ascon-Hash256 は、入力メッセージの 256 ビットのハッシュを生成する暗号ハッシュ関数であり、128 ビットのセキュリティ強度を提供する。
3. Ascon-XOF128 is a XOF, where the output size of the hash of the message can be selected by the user, and the supported security strength is up to 128 bits.	3. Ascon-XOF128 は、メッセージのハッシュの出力サイズをユーザーが選択できる XOF です。サポートされるセキュリティ強度は最大 128 ビットである。
4. Ascon-CXOF128 is a customized XOF that allows users to specify a customization string and choose the output size of the message hash. It supports a security strength of up to 128 bits.	4. Ascon-CXOF128 は、ユーザーがカスタマイズ文字列を指定し、メッセージハッシュの出力サイズを選択できるカスタマイズ可能な XOF である。最大 128 ビットのセキュリティ強度をサポートする。
Development of the Ascon family. Ascon (version v1) [1] was first submitted to CAESAR (Competition for Authenticated Encryption: Security, Applicability, and Robustness) in 2014. The submission included two AEAD algorithms: a primary recommendation, Ascon-128, with a 128-bit key and the secondary recommendation, Ascon-96, with a 96-bit key. Updated versions v1.1 [2] for Round 2 and v1.2 [3] for Round 3 included minor tweaks, such as reordering the round constants, and the secondary recommendation was updated to Ascon-128a. In 2019, Ascon-128 and Ascon-128a were selected as the first choice for the lightweight authenticated encryption use case in the final portfolio of the CAESAR competition.	Ascon ファミリーの開発。Ascon (バージョン v1) [1] は、2014 年に CAESAR (認証付き暗号化コンペティション：セキュリティ、適用性、および堅牢性) に初めて提出された。提出には2つのAEADアルゴリズムが含まれていた：主要な推奨アルゴリズムであるAscon-128（128ビット鍵）と、二次推奨アルゴリズムであるAscon-96（96ビット鍵）である。第2ラウンド向けのバージョンv1.1 [2]と第3ラウンド向けのバージョンv1.2 [3]では、ラウンド定数の再配置など minor な変更が加えられ、二次推奨アルゴリズムはAscon-128aに更新された。2019 年、Ascon-128 および Ascon-128a は、CAESAR コンテストの最終ポートフォリオにおいて、軽量認証付き暗号化のユースケースの第一候補として選定された。
NIST Lightweight Cryptography Standardization Process. In 2015, the National Institute of Standards and Technology (NIST) initiated the Lightweight Cryptography Standardization Process to develop cryptographic standards that are suitable for constrained environments in which conventional cryptographic standards (e.g., AES-GCM [4, 5], SHA-2 [6] and SHA-3 [7] hash function families) may be resource-intensive. In February 2023, NIST announced the decision to standardize the Ascon family [8] for lightweight cryptography applications. For more information, refer to NIST Internal Report (IR) 8268 [9], IR 8369 [10], and IR 8454 [11].	NIST 軽量暗号標準化プロセス。2015 年、米国国立標準技術研究所（NIST）は、従来の暗号標準（AES-GCM [4、5]、SHA-2 [6]、SHA-3 [7] ハッシュ関数ファミリーなど）がリソースを大量に消費する制約のある環境に適した暗号標準を開発するため、軽量暗号標準の標準化プロセスを開始した。2023年2月、NIST は、軽量暗号アプリケーション用の Ascon ファミリ [8] を標準化することを決定した。詳細については、NIST 内部報告書 (IR) 8268 [9]、IR 8369 [10]、および IR 8454 [11] を参照のこと。
Differences from the Ascon submission v1.2. The technical differences between this standard and the Ascon submission [8] are provided below:	Ascon 提出版 v1.2 との相違点。この標準と Ascon 提出版 [8] との技術的な相違点は、以下の通りである。
1. Permutations. The Ascon submission defined three Ascon permutations with 6, 8, and 12 rounds. This standard specifies additional Ascon permutations by providing round constants for up to 16 rounds to accommodate potential functionality extensions in the future.	1. 順列。Ascon 提出版では、6、8、12 ラウンドの 3 つの Ascon 順列が定義されていた。この標準では、将来の機能拡張に対応するため、最大 16 ラウンドまでのラウンド定数を規定し、追加の Ascon 順列を規定している。
2. AEAD variants. The Ascon submission package defined AEAD variants ASCON-128, ASCON-128a, and ASCON-80pq. This standard specifies the Ascon-AEAD128 algorithm, which is based on ASCON-128a.	2. AEAD の変種。Ascon 提出パッケージでは、AEAD 変種 ASCON-128、ASCON-128a、および ASCON-80pq を定義してした。この標準では、ASCON-128a に基づく Ascon-AEAD128 アルゴリズムを規定している。
3. Hash function variants. The Ascon submission defined ASCON-HASH and ASCON-HASHA. This standard specifies Ascon-Hash256, which is based on ASCON-HASH.	3. ハッシュ関数の変種。Ascon 提出では、ASCON-HASH および ASCON-HASHA を定義してした。この標準は、ASCON-HASH に基づく Ascon-Hash256 を規定している。
4. XOF variants. The Ascon submission defined two XOFs, ASCON-XOF and ASCON-XOFA. This standard specifies Ascon-XOF128, which is based on ASCON-XOF, and a new customized XOF, Ascon-CXOF128.	4. XOF の変種。Ascon 提出文書では、ASCON-XOF および ASCON-XOFA の 2 つの XOF を定義していた。この標準は、ASCON-XOF に基づく Ascon-XOF128 および新しいカスタマイズされた XOF、Ascon-CXOF128 を規定している。
5. Initial values. The initial values of the algorithms have been updated to support a new format that accommodates potential functionality extensions.	5. 初期値。アルゴリズムの初期値が、機能拡張に対応するための新しい形式に対応するように更新された。
6. Endianness. The endianness has been switched from big endian to little endian to improve performance on little-endian microcontrollers.	6. エンディアン。リトルエンディアンマイクロコントローラのパフォーマンスを向上させるため、エンディアンがビッグエンディアンからリトルエンディアンに変更された。
7. Truncation and nonce masking. The implementation options of Ascon-AEAD128 with truncation and nonce masking have been added.	7. 切り捨ておよびノンスのマスキング。切り捨ておよびノンスのマスキング機能を備えた Ascon-AEAD128 の実装オプションが追加された。
Main features of Ascon. The main features of the Ascon family are:	Ascon の主な機能。Ascon ファミリの主な機能は次のとおりである。
• Multiple functionalities. The same permutations are used to construct multiple functionalities, which allows an implementation of AEAD, hash, and XOF functionalities to share logic and, therefore, have a more compact implementation than functions that were developed independently.	• 複数の機能。同じ順列を使用して複数の機能を構築できるため、AEAD、ハッシュ、および XOF 機能を実装する際にロジックを共有でき、個別に開発された機能よりも実装をコンパクトにすることができる。
• Online and single pass. Ascon-AEAD128 is online, meaning that the 𝑖-th ciphertext block is determined by the key, nonce, associated data, and first 𝑖 plaintext blocks. Ascon family members require only a single pass over the data.	• オンラインおよびシングルパス。Ascon-AEAD128 はオンラインであり、𝑖 番目の暗号文ブロックは、鍵、ノンス、関連データ、および最初の 𝑖 個の平文ブロックによって決定される。Ascon ファミリーのメンバーは、データを 1 回だけ通過するだけで済む。
• Inverse-free. Since all of the Ascon family members only use the underlying permutations in the forward direction, implementing the inverse permutations is not needed.	• 逆変換不要。Ascon ファミリーのメンバーはすべて、基礎となる順方向の順列のみを使用するため、逆順列を実装する必要はない。
Organization. Section 2 provides preliminaries, including the acronyms, terms, definitions, notation, basic operations, and auxiliary functions. Section 3 specifies the Ascon permutations for up to 16 rounds. Section 4 specifies the Ascon-AEAD128AEAD scheme, provides some implementation options for truncation and nonce masking, lists the requirements for validation, and provides security properties. Section 5 specifies the Ascon-Hash256 hash function, the Ascon-XOF128 XOF, and the Ascon-CXOF128 customized XOF and describes their security properties. Section 6 provides information about conformance. Appendix A provides additional notes and conversion functions for implementations. Appendix B provides additional information regarding the construction of initial values.	構成。セクション2では、頭字語、用語、定義、表記法、基本操作、および補助関数などの予備知識について説明する。セクション3では、最大 16 ラウンドの Ascon 置換を規定する。セクション4では、Ascon-AEAD128AEAD スキームを規定し、切り捨ておよびノンスのマスキングに関するいくつかの実装オプションを示し、妥当性確認の要件を列挙し、セキュリティ特性を示す。セクション5では、Ascon-Hash256 ハッシュ関数、Ascon-XOF128 XOF、および Ascon-CXOF128 カスタマイズ XOF を規定し、それらのセキュリティ特性を説明する。セクション6では、適合性に関する情報を提供する。附属書 Aでは、実装に関する追加情報および変換関数を規定する。附属書 Bでは、初期値の構築に関する追加情報を提供する。

● まるちゃんの情報セキュリティ気まぐれ日記

Asconファミリー...

・2024.11.14 米国 NIST NIST SP 800-232（初期公開ドラフト）制約されたデバイスのためのAsconベースの軽量暗号標準：認証された暗号化、ハッシュ、拡張可能な出力機能

・2024.05.24 米国 NIST SP 800-229 2023会計年度サイバーセキュリティとプライバシー年次報告書

・2023.06.24 NIST NISTIR 8454 NIST 軽量暗号標準化プロセスの最終ラウンドに関する状況報告書

・2023.02.12 NIST 標準軽量暗号はAsconファミリーから... (2023.02.07)

2025.08.17 00:00 in 情報セキュリティ / サイバーセキュリティ, in IoT, in 暗号 / 電子署名 / ブロックチェーン | Permalink | Comments (0)
Tweet

2025.08.16

米国 CISA他 OT所有者および運営者向け資産インベントリガイダンス (2025.08.13)

こんにちは、丸山満彦です。

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）
米国環境保護庁（EPA）
米国国家安全保障局（NSA）
米国連邦捜査局（FBI）
オーストラリア信号局オーストラリアサイバーセキュリティセンター（ASD ACSC）
カナダサイバーセキュリティセンター（Cyber Centre）
ドイツ連邦情報セキュリティ局（BSI）
オランダ国家サイバーセキュリティセンター（NCSC-NL）
ニュージーランド国家サイバーセキュリティセンター（NCSC-NZ）

が、共同で、OT所有者および運営社向け資産インベントリガイダンスを作成し、公表していますね。このガイダンスには、石油・ガス事業者、電力事業者、上下水道事業者向けの例示もついていますね...

経済安全保障もあって今後日本でも特定重要設備の重要維持管理等のためのシステムを含む資産の一覧の作成が重要となりますから、いろいろと参考になるところもあるかもですね...

● CISA

・2025.08.13 CISA and Partners Release Asset Inventory Guidance for Operational Technology Owners and Operators

CISA and Partners Release Asset Inventory Guidance for Operational Technology Owners and Operators	CISA とパートナーが、OT所有者および運営者向けの資産インベントリガイダンス
CISA, along with the National Security Agency, the Federal Bureau of Investigation, Environmental Protection Agency, and several international partners, released comprehensive guidance to help operational technology (OT) owners and operators across all critical infrastructure sectors create and maintain OT asset inventories and supplemental taxonomies.	CISA は、国家安全保障局、連邦捜査局、環境保護庁、および複数の国際パートナーと共同で、すべての重要インフラセクターの運用技術 (OT) 所有者および運営者が OT 資産インベントリおよび補足分類を作成・維持するための包括的なガイダンスを発表した。
An asset inventory is a regularly updated, structured list of an organization's systems, hardware, and software. It includes a categorization system—a taxonomy—that classifies assets based on their importance and function. This guidance explains how OT owners and operators can create, maintain, and use asset inventories and taxonomies to identify and safeguard their critical assets.	資産インベントリとは、組織のシステム、ハードウェア、およびソフトウェアを定期的に更新する構造化されたリストである。これには、資産をその重要度および機能に基づいて分類する分類体系（分類法）が含まれる。このガイダンスでは、OT の所有者および運営者が、重要な資産を識別および保護するために、資産インベントリおよび分類法を作成、維持、および使用する方法について説明している。
Following this guidance, organizations may gain deeper insights into their architecture, optimize their defenses, better assess and reduce cybersecurity risk in their environments, and enhance incident response planning to ensure service continuity.	このガイダンスに従うことで、組織は自社のアーキテクチャについてより深い洞察を得、防御を最適化し、自社の環境におけるサイバーセキュリティリスクをより適切に評価および軽減し、インシデント対応計画を強化してサービスの継続性を確保することができる。

・2025.08.13 Foundations for OT Cybersecurity: Asset Inventory Guidance for Owners and Operators

Foundations for OT Cybersecurity: Asset Inventory Guidance for Owners and Operators

OT サイバーセキュリティの基礎：所有者および運営者向け資産インベントリガイダンス

This guidance was developed to provide operational technology (OT) owners and operators across all critical infrastructure sectors with a systematic approach for creating and maintaining an OT asset inventory and supplemental taxonomy—essential for identifying and securing critical assets, reducing the risk of cybersecurity incidents, and ensuring the continuity of the organization's mission and services. By following the outlined process, organizations can enhance their overall security posture, improve maintenance and reliability, and ensure the safety and resilience of their OT environments.

このガイダンスは、すべての重要インフラセクターの OTの所有者とオペレータに、OT 資産インベントリおよび補足分類を作成および維持するための体系的なアプローチを提供するために作成された。これは、重要な資産を識別して保護し、サイバーセキュリティインシデントのリスクを軽減し、組織のミッションとサービスの継続性を確保するために不可欠である。このガイダンスで概説されているプロセスに従うことで、組織は全体的なセキュリティ体制を強化し、保守と信頼性を向上させ、OT 環境の安全性とレジリエンスを確保することができる。

・[PDF]

・[DOCX][PDF] 仮訳

目次...

Executive Summary	エグゼクティブサマリー
Introduction	序論
Acknowledgements	謝辞
OT Taxonomies	OT タクソノミー
Steps to Develop an OT Asset Inventory and Taxonomy	OT資産インベントリとタクソノミーの開発手順
Post Inventory and Taxonomy Development Actions	インベントリと分類体系の策定後のアクション
OT Cybersecurity and Risk Management	OT サイバーセキュリティおよびリスクマネジメント
Maintenance and Reliability	保守および信頼性
Performance Monitoring and Reporting	パフォーマンス監視と報告
Training and Awareness	トレーニングおよび意識向上
Continuous Improvement	継続的な改善
Additional Resources	追加リソース
Questions and Feedback	質問とフィードバック
Contact Information	連絡先情報
Disclaimer	免責事項
Version History	バージョン履歴
Appendix A: Asset Inventory Fields	附属書 A：資産インベントリフィールド
Appendix B: Taxonomy for Oil and Gas Organizations	附属書 B：石油・ガス組織のための分類
Exercise Steps	演習の手順
Appendix C: Taxonomy for Electricity Organizations	附属書 C：電力組織のための分類法
Exercise Steps	演習の手順
Appendix D: Water and Wastewater	附属書 D：上下水道
Exercise Steps	演習の手順
References	参考文献

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
When building a modern defensible architecture, it is essential for operational technology (OT) owners and operators across all critical infrastructure sectors to create an OT asset inventory supplemented by an OT taxonomy. Using these tools helps owners and operators identify which assets in their environment should be secured and protected, and structure their defenses accordingly to reduce the risk a cybersecurity incident poses to the organization’s mission and service continuity.	最新の防御可能なアーキテクチャを構築する場合、すべての重要インフラセクターの OT (オペレーショナルテクノロジー) 所有者と運営者は、OT 分類法を補足した OT 資産インベントリを作成することが不可欠である。これらのツールを使用することで、所有者と運営者は、環境内のどの資産をセキュリティで保護し、防御すべきかを識別し、それに応じて防御体制を構築して、サイバーセキュリティインシデントが組織のミッションとサービスの継続性に及ぼすリスクを軽減することができる。
An asset inventory is an organized, regularly updated list of an organization’s systems, hardware, and software. For OT environments, a key part of creating an asset inventory is developing an OT taxonomy: a categorization system that organizes and prioritizes OT assets, aids in risk identification, vulnerability management, and incident response by classifying assets based on function and criticality.	資産インベントリとは、組織のシステム、ハードウェア、およびソフトウェアを整理し、定期的に更新するリストのことである。OT 環境では、資産インベントリを作成するための重要な要素として、OT 分類体系の構築がある。これは、OT 資産を整理して優先順位付けし、機能や重要度に基づいて資産を格付けすることで、リスクの特定、脆弱性の管理、およびインシデントへの対応を支援する分類システムである。
This guidance outlines a process for OT owners and operators to create an asset inventory and OT taxonomy. This process includes defining scope and objectives for the inventory, identifying assets, collecting attributes, creating a taxonomy, managing data, and implementing asset life cycle management. These steps define a thorough and systematic approach to creating and maintaining an OT asset inventory and OT taxonomy, enabling organizations to maintain an accurate and up-to-date record of their OT assets.	このガイダンスでは、OT の所有者と運営者が資産インベントリと OT 分類法を作成するためのプロセスについて概要を説明する。このプロセスには、インベントリの適用範囲と目的の定義、資産の識別、属性の収集、分類法の作成、データの管理、および資産ライフサイクル管理の実施が含まれる。これらのステップは、OT 資産インベントリおよび OT 分類法を作成および維持するための徹底的かつ体系的なアプローチを定義し、組織が OT 資産に関する正確かつ最新の記録を維持することを可能にする。
Furthermore, this guidance outlines how OT owners and operators can maintain, improve, and use their asset inventory to protect their most vital assets. Steps include OT cybersecurity and risk management, maintenance and reliability, performance monitoring and reporting, training and awareness, and continuous improvement. By addressing these areas, organizations can enhance their overall security posture and ensure the reliability and safety of their OT environments.	さらに、このガイダンスでは、OT の所有者と運用者が、最も重要な資産を保護するために、資産インベントリを維持、改善、および活用する方法についても概要を説明している。その手順には、OT のサイバーセキュリティとリスクマネジメント、保守と信頼性、パフォーマンスのモニタリングと報告、トレーニングと意識向上、および継続的な改善が含まれる。これらの分野に取り組むことで、組織は全体的なセキュリティ体制を強化し、OT 環境の信頼性と安全性を確保することができる。
To illustrate real world examples of OT taxonomies, CISA developed conceptual taxonomies through working sessions with organizations in the 39_TUEnergy SectorU39_T and Water and Wastewater Sector (see Appendix B: Taxonomy for Oil and Gas Organizations, Appendix C: Taxonomy for Electricity Organizations, and Appendix D: Water and Wastewater). These are not authoritative taxonomies for these sectors but are meant to help guide sector-specific organizations develop their own asset classification systems.	OT 分類の実際の例を示すため、CISA は、39_TU エネルギーセクターU39_T および上下水道セクターの組織との作業セッションを通じて、概念的な分類を開発した（附属書 B：石油・ガス組織の分類、附属書 C：電力組織の分類、および附属書 D：上下水道）を参照）。これらは、これらのセクターの権威ある分類ではなく、セクター固有の組織が独自の資産分類システムを開発するための指針となることを意図したものである。

資産インベントリ手順...

上記の3番目...

OTタクソノミーの構築方法

2025.08.16 00:00 in 情報セキュリティ / サイバーセキュリティ, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in IoT, in 安全保障 | Permalink | Comments (0)
Tweet

2025.08.15

英国中小企業によるサイバー保険の採用 (2025.08.11)

こんにちは、丸山満彦です。

英国が、中小企業によるサイバー保険の採用状況についての調査をしていますね...

サイバー保険は中小企業のサイバーインシデントに伴う資金不足を補填する意味で効果的なリスク対応である反面、

サイバー保険市場には、次のような課題があるとしていますね...

市場自体が流動的である
細分化されている
リスクの定量化が難しい
保険契約が複雑である
中小企業にとってのとっつきにくい

つまり市場の失敗が存在している可能性がある。もし、そうであれば市場の失敗を是正するために政府が介入する必要があるのではないかということで、どのようなサイバー保険にどのような課題があるのかを調査した...

ということなのでしょうかね...

ということで、この文書の主目的は

中小企業がサイバー保険をどのように認識しているかを調査する。
中小企業がサイバー保険を採用または採用を見送る決定の背景にある理由を探り、サイバーセキュリティリスクマネジメントの実践を推進する要因に関する洞察を提供する。
中小企業におけるリスクマネジメントの意思決定プロセスにおいて、サイバー保険が果たすより広範な役割を探る。
政府による的を絞った介入が必要となる可能性のある市場のギャップや潜在的な問題点を識別する。

ということになっています...

調べてみると、

英国の場合はサイバー保険は普及していないといいながら、調査に回答した104社のうち68社、65％はなんらかのサイバー保険にはいっているようです...

英国の場合は保険ブローカーがいて、ブローカーが最適なサイバー保険を助言することによる導入促進効果もありそうですね...

参考になる部分もありますね...

● GOV.UK

・2025.08.11 Adoption of cyber insurance by UK small and medium sized enterprises

Adoption of cyber insurance by UK small and medium sized enterprises	英国の中小企業によるサイバー保険の採用
This research report explores how small and medium sized enterprises use cyber security insurance and what they think about it.	この調査レポートは、中小企業によるサイバーセキュリティ保険の利用状況と、その評価について探っています。
Insuring resilience - adoption of cyber insurance by UK small and medium sized enterprises	レジリエンスの保険 - 英国の中小企業によるサイバー保険の採用
Details	詳細
This study explores small and medium sized enterprises’ (SMEs) perceptions of cyber insurance, their adoption decisions, its role in risk management, and market gaps requiring potential government intervention. Using a mixed-methods research approach combining literature review, interviews, and a survey, it offers a thorough analysis of key challenges and opportunities.	この調査は、中小企業（SME）のサイバー保険に対する認識、導入の決定、リスクマネジメントにおけるサイバー保険の役割、および政府による介入が必要な市場のギャップについて調査したものである。文献レビュー、インタビュー、アンケートを組み合わせた混合調査手法を用いて、主要な課題と機会を徹底的に分析している。
This research is part of the government’s wider work to drive industry adoption of cyber security measures and improve cyber resilience across the UK economy.	この調査は、サイバーセキュリティ対策の業界導入を推進し、英国経済全体のサイバーレジリエンスを向上させるための、政府による広範な取り組みの一環である。

・[PDF]

・[DOCX][PDF] 仮訳

目次...

Executive summary	エグゼクティブサマリー
1. Introduction	1. 序論
1.1. Background to the research	1.1. 研究の背景
1.2. Research objectives	1.2. 研究目的
1.3. Overview of methodology	1.3. 方法論の概要
1.4. Limitations	1.4. 制限事項
1.5. Acknowledgements and feedback	1.5. 謝辞とフィードバック
2. The UK SME threat landscape	2. イギリスの中小企業（SME）の脅威状況
3. Challenges to Cyber Insurance Adoption	3. サイバー保険の導入における課題
3.1. Lack of awareness and perceived necessity	3.1. 認識不足と必要性の認識不足
3.2. Vulnerability and insurance uptake	3.2. 脆弱性と保険の利用
3.3.The challenges faced	3.3.直面する課題
4. Qualitative industry insights	4. 業界の定性的な洞察
5. Horizon scanning	5. 将来展望
5.1. Emerging cyber threats and their impact on insurance	5.1. 新たなサイバー脅威と保険への影響
6. Conclusion	6. 結論
7. Recommendations	7. 推奨事項
Annex A: Understanding cyber insurance for SMEs	附属書 A：中小企業のためのサイバー保険について
Bundled insurance and standalone insurance	パッケージ保険と単独保険
The role of brokers and managing general agents	ブローカーとマネージング・ジェネラル・エージェントの役割
Government and regulation	政府および規制
Annex B: Survey Questions	附属書 B：調査の質問
Annex C: Industry questions	附属書 C：業界に関する質問
References	参考文献

エグゼクティブサマリー...

Executive summary	エグゼクティブサマリー
This study explores small and medium sized enterprises’ (SMEs) perceptions of cyber insurance, their adoption decisions, its role in risk management, and market gaps requiring potential government intervention. Using a mixed-methods research approach combining literature review, interviews, and a survey, it offers a thorough analysis of key challenges and opportunities.	この調査は、中小企業（SME）のサイバー保険に対する認識、導入の決定、リスクマネジメントにおけるサイバー保険の役割、および政府による介入が必要な市場のギャップについて探ったもの。文献レビュー、インタビュー、アンケート調査を組み合わせた混合調査手法を用いて、主要な課題と機会を徹底的に分析している。
Key findings	主要な発見
• Growing threats and financial vulnerabilities: Many SMEs have minimal cyber security budgets and potentially face severe financial impacts, such as lost revenue and extended recovery times, if they suffer a cyber-attack. This vulnerability is further compounded by interconnected supply chains, where a breach in one SME can affect larger networks.	• 脅威の増大と財務上の脆弱性：多くの中小企業はサイバーセキュリティの予算がごくわずかであり、サイバー攻撃を受けた場合、収益の損失や復旧期間の延長など、深刻な財務的影響を受ける可能性がある。この脆弱性は、1 つの中小企業で侵害が発生すると、より大規模なネットワークに影響を及ぼす可能性のある、相互に接続したサプライチェーンによってさらに悪化している。
• Adoption challenges: Despite high awareness of cyber insurance (62%), many SMEs struggle with understanding insurance policy details. Complex policy language and a lack of clear, accessible guidance impede adoption. SMEs also often overestimate their ability to self-insure, which can contribute to a disconnect between risk recognition and the implementation of effective safeguards.	• 導入の課題：サイバー保険に対する認識は高い（62%）にもかかわらず、多くの中小企業は保険契約の詳細を理解するのに苦労している。複雑な保険契約用語や、明確で理解しやすいガイダンスの欠如が、導入の妨げとなっている。また、中小企業は自社の自己保険能力を過大評価していることが多く、リスク認識と効果的な保護対策の実施との乖離につながっている。
• Insurance coverage and cost: 59% of SMEs report coverage limits up to £1 million, with a median cost of £11,500 focused on business interruption and crisis management. For more extensive coverage including business interruption insurance, crisis management/PR services, cyber extortion/ransomware coverage, and data breach coverage, the median cost rises to £55,000. Additionally, 65% had to meet specific security requirements, with half of those spending between £5,000 and £25,000 to comply.	• 保険の補償範囲とコスト：59％の中小企業が補償限度額が£100万までと報告しており、ビジネス中断と危機管理に焦点を当てた保険の中央値のコストは£11,500となっている。事業中断保険、危機管理/PR サービス、サイバー恐喝/ランサムウェア保険、データ侵害保険など、より広範な補償範囲を含む場合、平均コストは 55,000 ポンドに上昇する。さらに、65% が特定のセキュリティ要件を満たす必要があり、そのうちの半数は、その要件に準拠するために 5,000 ポンドから 25,000 ポンドを費やしている。
• Market dynamics and emerging innovations: Innovations such as advanced risk assessments show promise in driving proactive risk management. These innovations are not yet widely integrated, but they signal a potential shift toward more sophisticated, data-driven approaches that could better align with the threat environment.	• 市場の動向と新たなイノベーション：高度なリスクアセスメントなどのイノベーションは、予防的なリスクマネジメントの推進に有望だ。これらのイノベーションはまだ広く統合されているわけではないが、脅威環境によりよく適合した、より洗練されたデータ駆動型のアプローチへの移行の可能性を示している。
Recommendations	推奨事項
• Elevate the role of cyber insurance in SME risk mitigation: Position cyber insurance as a key component of SME risk management by providing clear, accessible information, targeted training, and simplified policy details, supported by real-life case studies. This approach helps demystify cyber insurance for SMEs, ensuring they recognise its practical benefits as part of a broader risk mitigation strategy rather than viewing it as an optional extra.	• 中小企業におけるリスク緩和におけるサイバー保険の役割の向上：実際の事例研究を裏付けとして、明確でアクセスしやすい情報、対象を絞ったトレーニング、および簡潔な保険契約の詳細を提供することにより、サイバー保険を中小企業リスクマネジメントの重要な要素として位置付ける。このアプローチは、中小企業にとってサイバー保険をわかりやすく説明し、オプションの追加サービスとしてではなく、より広範なリスク緩和戦略の一部としてその実用的なメリットを認識してもらうのに役立つ。
• Accelerate adoption of innovative underwriting practices: Encourage insurers to pilot advanced analytics and AI-driven risk modelling to shift from reactive to proactive risk management, with coordinated support from regulatory bodies and industry associations. Embracing innovative underwriting practices could significantly improve risk assessment accuracy, reducing potential losses and aligning the insurance sector with rapidly evolving cyber threats.	• 革新的な引受慣行の採用を加速する：規制当局や業界団体との協調的な支援のもと、保険会社に、高度な分析や AI によるリスクモデリングの試験的導入を促進し、事後対応型のリスクマネジメントから事前対応型のリスクマネジメントへの移行を図る。革新的な引受慣行を採用することで、リスクアセスメントの精度が大幅に向上し、潜在的な損失が削減され、保険業界が急速に進化するサイバー脅威に対応できるようになる。
• Develop and promote specialist expertise in cyber insurance: Integrate specialised cyber knowledge into underwriting and brokerage through standardised communication and comprehensive training delivered by reputable industry associations, such as the Chartered Insurance Institute (CII) and the British Insurance Brokers' Association (BIBA), in collaboration with cyber security experts and academic institutions. This would ensure industry professionals can effectively communicate complex risks and tailor policies to meet the evolving cyber threat landscape, providing SMEs with more reliable and relevant coverage.	• サイバー保険に関する専門知識の開発と普及：サイバーセキュリティの専門家や学術機関と協力し、チャータード保険協会（CII）や英国保険ブローカー協会（BIBA）などの権威ある業界団体による標準化されたコミュニケーションと包括的な研修を通じて、サイバーに関する専門知識を保険引受や保険仲介業務に組み込む。これにより、業界の専門家は複雑なリスクを効果的に伝え、進化するサイバー脅威の状況に合わせて保険契約をカスタマイズすることができ、中小企業により信頼性が高く、適切な保険を提供することが可能になる。

サイバー保険...

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.02.27 英国 Oxford Academic サイバー保険市場における持続可能なリスク移転の障壁

・2024.02.23 ENISA サイバー保険 - モデルと手法、AIの活用

・2023.11.16 中国 TC260 国家標準「情報セキュリティ技術サイバーセキュリティ保険申込ガイド」公開草案 (2023.09.13)

・2023.09.07 EU 欧州保険・企業年金監督局 (EIOPA) サイバーリスクに関する保険ストレステストの方法論的原則に関する文書 (2023.07.11)

・2023.08.03 英国 RUSI サイバー保険とランサムウェア...身代金を払わないというのは最適解か？

・2023.03.03 ENISA EUにおけるサイバー保険の需要サイド (2023.02.23)

・2022.12.29 損保総研レポート国家の関与するサイバー攻撃とサイバー保険の戦争免責条項について

・2021.05.25 米国GAO サイバー保険の加入率も保険料率も上昇？

・2021.02.16 ニューヨーク州金融サービス局（NYDFS）サイバー保険リスクフレームワーク（保険通達2021年第2号）at 2021.02.04

2025.08.15 00:00 in 情報セキュリティ / サイバーセキュリティ, in 内部統制 / リスクマネジメント | Permalink | Comments (0)
Tweet

2025.08.14

カナダプライバシー・コミッショナーバイオメトリクス処理のガイダンス - 企業向け (2025.08.11)

こんにちは、丸山満彦です。

カナダのプライバシー・コミッショナーがバイオメトリクス処理のガイダンス - 企業向けを公表していますね...

● Office of the Praivacy COmmissioneer of Canada

・2025.08.11 Guidance for processing biometrics – for businesses

バイオメトリクス情報は

個人の身体と密接に結びついているので、
- 多くの場合ユニークで、
- 時間の経過とともに大きく変化する可能性は低く、
- その根本的な特徴を変えることは難しい...

という特徴があるので、バイオメトリクス情報は

監視の道具となり、

もし侵害されれば、

個人を詐欺やなりすましにさらす

可能性がある

また、

個人的特徴、
健康情報、
人種、
障害、
性別、
生物学的家族関係などの特徴

に関する情報など、個人の生活に関する機密情報を明らかにする可能性もある。

いくつかのバイオメトリクス技術の精度に関する問題は文書化されており、それが

個人に関する自動的な決定を行うために使用される

場合、さらに懸念される。

ということでガイドが作成されていますね...

このガイドでは、バイオメトリックス技術には次の２つがあると説明していますが、だからと言って利用についての区分には触れていないですね...

生理的 (Physiological) バイオメトリクス
行動 (Behavioural) バイオメトリクス

目次...

Overview	概要
Biometric technology	生体認証技術
Biometric information	生体認証情報
Guidance	指針
Identifying an appropriate purpose	適切な目的の特定
Consent	同意
Limiting collection	収集の制限
Limiting use, disclosure, and retention	利用、開示、および保持の制限
Safeguards	保護措置
Accuracy	正確性
Accountability	説明責任
Openness	公開性
Footnotes	脚注

2025.08.14 04:00 in 個人情報保護 / プライバシー, in 法律 / 犯罪, in AI/Deep Learning | Permalink | Comments (0)
Tweet

IPA 応用情報技術者試験、高度試験及び情報処理安全確保支援士試験がCBT方式での実施に移行予定 (2025.08.12)

こんにちは、丸山満彦です。

IPAがレベル3以上の以下の10試験区分も2026年からCBT（Computer Based Testing）方式で実施されるようになるようです...

応用情報技術者試験
高度試験（ITストラテジスト試験
システムアーキテクト試験
プロジェクトマネージャ試験
ネットワークスペシャリスト試験
データベーススペシャリスト試験
エンベデッドシステムスペシャリスト試験
ITサービスマネージャ試験
システム監査技術者試験
情報処理安全確保支援士試験

現在は、レベル2以下の以下の3試験区分がCBTで実施されています...

ITパスポート試験
情報セキュリティマネジメント試験
基本情報技術者試験

ちなみに、情報処理安全確保支援士については、経済産業省が2025.05.14に発表した￥「サイバーセキュリティ人材の育成促進に向けた検討会最終取りまとめ」も参考にしてください

● IPA

・2025.08.12 プレス発表応用情報技術者試験、高度試験及び情報処理安全確保支援士試験がCBT方式での実施に移行予定

2026年度実施予定

科目A試験、科目A-1試験及び科目A-2試験（「科目A群」という）と科目B試験、科目B-1試験及び科目B-2試験（「科目B群」という）は、実施期間を分けて複数日で実施予定です。

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.05.15 経済産業省「サイバーセキュリティ人材の育成促進に向けた検討会最終取りまとめ」(2025.05.14)

2025.08.14 00:00 in 情報セキュリティ / サイバーセキュリティ | Permalink | Comments (0)
Tweet

2025.08.13

G7 人工知能のためのソフトウェア部品表に関する G7 の共通ビジョン (2025.06.12)

こんにちは、丸山満彦です。

ドイツBSIと、イタリアのACNが共同で起草し、G7のサイバーセキュリティ作業部会でまとめたもののようですね...

サイバーセキュリティに対するメリット、その特性、および最小要素の例に関する初期提案など、AI 向け SBOM の概念に関する共通のビジョンと、その概要を紹介している。

AI 向け SBOM は、サイバーセキュリティツールとして明示的に設計されたものではないが、適切なツール（脆弱性管理ソフトウェアなど）と組み合わせて正しく設計・使用すれば、サプライチェーンのセキュリティ確保に必要な透明性の高いインベントリ構築に貢献する可能性がある。

ということのようです...

● Bundesamt für Sicherheit in der Informationstechnik; BSI

・2025.06.12 A shared G7 Vision on Software Bill of Materials for Artificial Intelligence

A shared G7 Vision on Software Bill of Materials for Artificial Intelligence

人工知能のためのソフトウェア部品表に関する G7 の共通ビジョン

This paper has been written under the work stream “Smarter Together: Artificial Intelligence” of the G7 Cybersecurity Working Group. In collaboration/coordination with cybersecurity agencies and centers from the G7 partners this paper represents a concept for improving cybersecurity by transparency along the AI supply chain through an "SBOM for AI". Beyond the properties and minimum elements an "SBOM for AI" should contain, the challenges as well as the next steps within the G7 workstream towards a practical implementation are depicted.

この文書は、G7 サイバーセキュリティ作業部会の「よりスマートな連携：人工知能」作業部会において作成された。G7 パートナーのサイバーセキュリティ機関およびセンターとの協力・連携のもと、この文書は、「AI 用の SBOM」を通じて AI サプライチェーンの透明性を高めることにより、サイバーセキュリティを改善するための概念を提示している。「AI向けSBOM」が含むべき特性と最小要素を超えて、G7作業部会における実践的な実施に向けた課題および今後のステップが示されている。

・[PDF]

目次的...

1. Introduction	1. 序論
2. Improving cybersecurity through transparency along the AI supply chain	2. AI サプライチェーンの透明性によるサイバーセキュリティの改善
3. Software Bill of Materials for AI	3. AI 向けソフトウェア部品表
Properties	特性
Example minimum elements	最低限必要な要素の例
4. The way forward	4. 今後の取り組み
Challenges	課題
Future G7 work	G7 の今後の取り組み
References	参考文献

本文...

A shared G7 Vision on Software bill of materials for AI	AI ソフトウェア部品表に関する G7 共通ビジョン
Transparency and Cybersecurity along the AI Supply Chain	AI サプライチェーンにおける透明性とサイバーセキュリティ
This paper has been written under the work stream “Smarter Together: Artificial Intelligence” of the G7 Cybersecurity Working Group. It serves as food for thought and does not intend to contradict work conducted in existing G7 groups such as the Hiroshima AI Process. In some jurisdictions a number of elements of SBOMs for AI proposed in this paper may be expected to be covered, for example, through legal requirements and obligations or existing or forthcoming standards. Due to the ongoing evolution of legal and policy frameworks within the G7 members, this paper is open for further evolution.	本文書は、G7 サイバーセキュリティ作業部会の「よりスマートに連携：人工知能」作業部会において作成された。本文書は、考えの糧となることを目的としており、広島 AI プロセスなど、既存の G7 グループにおける作業と矛盾する意図はない。一部の法域では、本文書で提案されている AI 向け SBOM の要素の一部が、法的要件や義務、あるいは既存または将来制定される標準によってカバーされることが予想される。G7 メンバー国内では、法的・政策的な枠組みが絶えず進化しているため、本文書は今後もさらに発展する可能性がある。
1. Introduction	1. 序論
Organizations, institutions and the general public all around the world are using AI systems for multiple purposes. Developing such systems is highly complex: it requires a vast amount of resources (e.g., energy, data), infrastructure (esp. GPUs), and human expertise. Many AI systems often rely on existing base models - either commercial or open source - and are adapted according to their application purpose.	世界中の組織、機関、一般市民は、さまざまな目的で AI システムを利用している。このようなシステムの開発は、膨大なリソース（エネルギー、データなど）、インフラ（特に GPU）、および人間の専門知識を必要とする、非常に複雑な作業である。多くの AI システムは、商用またはオープンソースの既存のベースモデルに依存しており、その用途に応じて適応されている。
Like most modern software systems, AI systems are complex. Complexity often leads to a lack of insights into how exactly an AI system works and which components and elements an AI system is based on.	最近のほとんどのソフトウェアシステムと同様、AI システムも複雑である。複雑さのために、AI システムがどのように機能しているか、AI システムがどのようなコンポーネントや要素に基づいているのかについて、十分な理解が得られない場合が多い。
As a result, key cybersecurity issues, such as potential weak points, vulnerabilities, manipulations or compromises, are difficult to detect. Indeed, aspects such as how an AI system has been trained, including the data used and the underlying base model, are key to ensure trustworthiness, security and safety of AI systems, whereas we note that safety and security of AI systems are related as described for example in G7 Leaders’ Statement on the Hiroshima AI Process.	その結果、潜在的な弱点、脆弱性、操作、侵害などの重要なサイバーセキュリティ上の問題の発見が困難になっている。実際、AI システムの信頼性、セキュリティ、安全性を確保するには、使用されたデータや基礎となるベースモデルなど、AI システムのトレーニング方法などの側面が鍵となる。一方、AI システムの安全性とセキュリティは、例えば G7 首脳による広島 AI プロセスに関する声明で述べられているように、相互に関連していることに留意する必要がある。
The G7 Cybersecurity Working Group suggests introducing a common concept for Software Bill of Materials for AI (SBOM for AI).[1] An SBOM for AI consists of a structured record of details and supply chain relationships for the various components used in building an AI system. The goal of an SBOM for AI is to contribute to fostering security of AI systems through AI supply chain transparency and traceability of its components and dependencies.	G7 サイバーセキュリティ作業部会は、AI 用のソフトウェア部品表（SBOM for AI）の共通概念の導入を提案している[1]。SBOM for AI は、AI システムの構築に使用されるさまざまなコンポーネントの詳細およびサプライチェーンの関係を構造化した記録で構成される。SBOM for AI の目的は、AI サプライチェーンの透明性と、そのコンポーネントおよび依存関係のトレーサビリティを通じて、AI システムのセキュリティの向上に貢献することである。
This paper presents a shared vision and a first high-level summary of the SBOM for AI concept, including its benefits for cybersecurity, its properties, and an initial proposal for its example minimum elements. While SBOMs for AI are not explicitly a cybersecurity tool, if designed and used correctly in conjunction with appropriate tools (e.g., vulnerability management software), they could foster the transparent inventory needed to help secure the supply chain. The paper concludes with an outlook on necessary next steps to further proceed with the technical implementation of an SBOM for AI framework.	本文書では、サイバーセキュリティに対するメリット、その特性、および最小要素の例に関する初期提案など、AI 向け SBOM の概念に関する共通のビジョンと、その概要を初めて紹介している。AI 向け SBOM は、サイバーセキュリティツールとして明示的に設計されたものではないが、適切なツール（脆弱性管理ソフトウェアなど）と組み合わせて正しく設計・使用すれば、サプライチェーンのセキュリティ確保に必要な透明性の高いインベントリ構築に貢献する可能性がある。本文書は、AI フレームワークの SBOM の技術的実装をさらに進めるために必要な次のステップの見通しで締めくくられている。
2. Improving cybersecurity through transparency along the AI supply chain	2. AI サプライチェーンの透明性によるサイバーセキュリティの向上
One of the key challenges of securing an AI system is the vulnerability of its supply chain to both traditional and novel attack vectors. The depth and complexity of AI supply chains, coupled with the evolving and dynamic AI lifecycle, represents a considerable attack surface. Successful cyber attacks often aim at compromising a product before it reaches the consumer/end-user, including also AI components. The goal of so-called supply chain attacks is often to gather/steal sensitive information, pre-positioning and more generally to cause damage, either in the relationships between the stakeholders and/or financially, e.g., by tampering or poisoning data, causing unproductivity, misinformation or pursuing own interests.	AI システムのセキュリティ確保における重要な課題のひとつは、そのサプライチェーンが、従来の攻撃ベクトルと新しい攻撃ベクトルの両方に脆弱であることである。AI サプライチェーンの深さと複雑さは、進化し続けるダイナミックな AI ライフサイクルと相まって、かなりの攻撃対象領域となっている。サイバー攻撃が成功する多くの場合、その目的は、AI コンポーネントを含む製品が消費者/エンドユーザーに届く前に、その製品を侵害することである。いわゆるサプライチェーン攻撃の目的は、多くの場合、機密情報を収集/盗み出し、事前に準備を整え、より一般的には、データ改ざんやポイズニング、生産性の低下、誤情報の流布、自己の利益の追求など、ステークホルダー間の関係や財務面に損害を与えることである。
Against this backdrop, improved cybersecurity along the AI supply chain can be achieved by increasing transparency, specifically with regard to accessing information on the creation process of the final AI system, as well as its individual components and dependencies. While for traditional software products the Software Bill of Materials (SBOM) concept may support mitigation to the above mentioned cybersecurity attacks, there is no internationally established and practically applicable common practice for systems using AI yet. In conjunction with other security tools, an SBOM for AI can increase transparency along the supply chain and thus contribute to cybersecurity.	このような状況において、AI サプライチェーン全体のサイバーセキュリティを向上するには、最終的な AI システム、およびその個々のコンポーネントや依存関係に関する情報の透明性を高めることが有効である。従来のソフトウェア製品では、ソフトウェア部品表（SBOM）の概念が、上記のサイバーセキュリティ攻撃の緩和に役立つ場合があるが、AI を使用するシステムについては、国際的に確立され、実用的な共通の実践例はまだない。他のセキュリティツールと組み合わせることで、AI 用の SBOM はサプライチェーン全体の透明性を高め、サイバーセキュリティの向上に貢献することができる。
An SBOM for AI may bring transparency and knowledge about AI system composition. It fosters vulnerability management and patching by minimizing the response time required to check if known vulnerabilities are deployed within the AI system components, supporting risk management.	AI 用の SBOM は、AI システムの構成に関する透明性と知識をもたらす。AI システムコンポーネント内に既知の脆弱性が展開されているかどうかを検証するために必要な対応時間を最小限に抑えることで、脆弱性の管理とパッチの適用を促進し、リスクマネジメントをサポートする。
Moreover, an SBOM for AI allows both AI model tracking, addressing issues related to performance while speeding up the entire security compliance verification process, simplifying auditing and keeping track of already existing compliance attestations. Furthermore, the usage of already proven components can reduce costs during the development phase of an AI system. As part of existing Secure by Design paradigms, a persistent use of an SBOM for AI can have positive effects on expensive and time consuming reworkings, such as model retraining, or damage repair. An SBOM for AI also facilitates license management. Most importantly, an SBOM for AI strengthens the autonomy and awareness of AI systems stakeholders by enabling them to make a carefully considered decision whether an AI system, an individual component or indeed a supplier is suitable for a particular purpose or not.	さらに、AI 用の SBOM を使用すると、AI モデルの追跡が可能になり、パフォーマンスに関連する問題に対処しながら、セキュリティコンプライアンスの検証プロセス全体を高速化し、監査を簡素化し、既存のコンプライアンス認証を追跡することができます。さらに、既に検証済みのコンポーネントの使用は、AIシステムの開発段階におけるコスト削減に役立ちます。Secure by Designパラダイムの一環として、AI用のSBOMの継続的な使用は、モデルの再トレーニングや損害修復などの高コストで時間のかかる再作業にポジティブな影響を与える可能性がある。AI用のSBOMはライセンス管理も容易にする。最も重要なことは、AI 用の SBOM により、AI システムのステークホルダーが、AI システム、個々のコンポーネント、あるいはサプライヤーが特定の目的に適しているかどうかを慎重に判断できるようになり、ステークホルダーの自律性と認識が強化されることである。
3. Software Bill of Materials for AI	3. AI 向けソフトウェア部品表
Properties	特性
To allow an SBOM for AI to be effective, it needs to ensure that the three following properties are satisfied:	AI 向け SBOM を効果的に活用するには、次の 3 つの特性を満たす必要がある。
• being able to capture the static and dynamic aspects of AI systems (e.g., datasets used for training, testing and validation during the lifecycle of the system or learning outcomes) that distinguish them from traditional software systems;	• 従来のソフトウェアシステムとは区別される AI システムの静的および動的な側面（システムのライフサイクルにおけるトレーニング、テスト、妥当性確認に使用されるデータセットや学習成果など）を把握できる。
• being able to be easily processed automatically and tool generated in a machine-readable format;	• 機械で読み取り可能な形式で、自動的に簡単に処理およびツール生成が可能であること。
• being able to leverage structured data formats as much as possible, to ensure that the relevant information is available transparently upon demand to all the stakeholders.	• 構造化されたデータ形式を可能な限り活用し、関連情報がすべての利害関係者に要求に応じて透明性をもって提供されることを保証すること。
Furthermore, it is equally important to clearly define the information set that an SBOM for AI should include, defined as its “minimum elements”.	さらに、AI の SBOM に含めるべき情報セットを「最小要素」として明確に定義することも同様に重要である。
Example minimum elements	最低限必要な要素の例
An SBOM for AI should be composed of a set of minimum elements to capture the distinctive features of an AI system, ensuring compatibility and providing an adequate level of transparency for all the stakeholders. It should automatically build upon information captured by each of the AI components, providing an understanding of the flow between the AI elements of the system. While some transparency mechanisms exist, this effort aims to highlight a core set of data fields that are machine-generatable and machineprocessable. It is important to highlight that these minimum elements represent recommendations to a reasonable extent and should be decided accordingly to the specific context of use. Here below is an exemplary set of high-level minimum elements for a G7 SBOM for AI framework, which may extend the information used for traditional software bill of materials (e.g., supplier name, component version)[2], listed as clusters that can embed more detailed information on:	AI の SBOM は、AI システムの特徴を捉える一連の最小要素で構成され、互換性を確保し、すべての利害関係者に適切なレベルの透明性を提供する必要がある。AI の各コンポーネントによって取得された情報に基づいて自動的に構築され、システムの AI 要素間のフローを理解できるようにする必要がある。いくつかの透明性メカニズムは存在するが、この取り組みは、機械で生成および処理可能なデータフィールドのコアセットを強調することを目的としている。これらの最低限の要素は、合理的な範囲での推奨事項であり、具体的な使用状況に応じて決定すべきであることに留意することが重要である。以下は、G7 AI ソフトウェア部品表の枠組みのための、高レベルの最低限の要素の例である。これは、従来のソフトウェア部品表（サプライヤー名、コンポーネントのバージョンなど）で使用される情報を拡張したもので、より詳細な情報を組み込むことができるクラスターとして挙げられている。
• Models used by the AI system, including basic information to identify the model, describe how the model was created, and spell out how the model is intended to be used.	• AI システムで使用されるモデル。モデルを識別するための基本情報、モデルの作成方法、およびモデルの使用目的を記載する。
• Learning, including the description of the training techniques and pipelines and information about training datasets in, e.g., datasheets for datasets.	• 学習。トレーニング手法およびパイプラインの説明、およびデータセットのデータシートなど、トレーニングデータセットに関する情報。
• Datasets used during the whole lifecycle of the model, including basic information that documents the identity, creation, use, and provenance of data.	• モデルのライフサイクル全体で使用されるデータセット。これには、データの識別、作成、使用、および出所に関する基本情報を含む。
• Safety and security characteristics, such as a link or reference to the safeguards or guardrail implementations, safety alignment, compliance attestations and cybersecurity best practices adopted during the AI lifecycle.	• AI のライフサイクルにおいて採用されている、セーフガードやガードレールの実施、安全基準への適合、コンプライアンスの証明、サイバーセキュリティのベストプラクティスなどに関するリンクや参照など、安全性とセキュリティに関する特性。
• System level characteristics, such as a link or reference to a description of the flow between the AI elements and how the model consumes input data.	• システムレベルの特徴、例えばAI要素間のフローの説明やモデルが入力データを消費する方法に関するリンクまたは参照。
• Key Performance Indicators of an AI system, including model benchmark evaluation results.	• AIシステムの主要なパフォーマンス指標（KPI）、モデルベンチマーク評価結果を含む。
• Licensing information about the components of an AI system.	• AIシステムのコンポーネントに関するライセンス情報。
• Infrastructure used by the AI system, including the software components specifically required to deliver an AI system.	• AIシステムが使用するインフラストラクチャ、AIシステムを提供するために特に必要なソフトウェアコンポーネントを含む。
The list is open for further expansion of the clusters in the future to keep pace with the rapid development of technology.	このリストは、技術の急速な発展に対応するため、将来的にクラスターの拡張が可能なオープンな形式である。
To increase trustworthiness and to avoid giving a false sense of security, an SBOM for AI should be verifiable as a whole. This implies not only the verification of its individual components - e.g., via cryptographic hashes or digital signatures from the corresponding manufacturers - but also of the entire SBOM for AI. In order to achieve this goal, a viable SBOM for AI should at least be digitally signed by its manufacturer. While individual components are signed within the SBOM for AI, the signature of the entire SBOM for AI has to be verifiable from the outside.	信頼性を高め、誤った安全性の認識を回避するため、AI用のSBOMは全体として検証可能である必要がある。これは、個々のコンポーネント（対応する製造事業者による暗号ハッシュやデジタル署名など）の検証だけでなく、AI 用 SBOM 全体の検証も意味する。この目標を達成するためには、実用的な AI 用 SBOM は、少なくとも製造事業者によってデジタル署名されている必要がある。個々のコンポーネントは AI 用 SBOM 内で署名されているが、AI 用 SBOM 全体の署名は外部から検証可能でなければなりません。
4. The way forward	4. 今後の展望
Challenges	課題
An SBOM for AI should include the unique features that distinguish an AI system, in addition to traditional software components. Before introducing an SBOM for AI, tools like system cards and model cards have been proposed both by private companies and by AI regulation as tools to offer increased transparency into AI models. Despite their effectiveness in some contexts, today these tools suffer from lack of harmonized and machine-readable formats, automation and interoperability with other tools. Data management is also an important consideration. SBOMs are not assumed to be publicly available today by regulation or market expectation, and intellectual property protection assumptions should hold for an SBOM for AI. Capturing the dynamic features of the AI model through adequate file formats and fields represents a challenge for building an SBOM for AI. At the same time, an SBOM for AI needs to be able to provide traceability of training pipelines and datasets, especially in the case of proprietary closed models, synthetic data and pre-training information, where a very large number of diverse data corpuses and sophisticated data processing pipelines are used for creating base models. Furthermore, it is critical to keep an SBOM for AI current with the speed at which AI technology develops, adding new information and relevant fields when needed, such as the case of model distillation, an emerging and meaningful technique that should be captured within an SBOM for AI. Indeed, this could easily lead to longer bills and redundant information, hence automation and harmonization of the format is essential for creating a meaningful and effective SBOM for AI. Moreover, it is essential to develop a framework to effectively track AI vulnerabilities and weaknesses, given the still largely experimental results in the field of AI model red teaming.	AI用のSBOMは、伝統的なソフトウェアコンポーネントに加え、AIシステムを特徴付ける独自の機能を含める必要がある。AI用のSBOMを導入する前に、システムカードやモデルカードなどのツールが、民間企業やAI規制によって、AIモデルの透明性を高めるツールとして提案されてきた。これらのツールは一部の文脈では有効であるが、現在、調和のとれた機械可読形式の欠如、自動化、他のツールとの相互運用性の課題を抱えている。データ管理も重要な考慮事項である。SBOM は、現在の規制や市場の期待では公開されることは想定されておらず、AI の SBOM についても知的財産保護の想定が維持されるべきである。適切なファイル形式とフィールドを用いて AI モデルの動的な特徴を捉えることは、AI の SBOM を構築する上で課題となっている。同時に、AI 用の SBOM は、トレーニングパイプラインおよびデータセットのトレーサビリティを提供できる必要がある。特に、ベースモデルの作成に非常に多くの多様なデータコーパスと高度なデータ処理パイプラインが使用される、独自のクローズドモデル、合成データ、事前学習情報の場合は、その必要性がより高まります。さらに、AI技術の発展速度に合わせてSBOMを最新に保つことは不可欠である。必要に応じて新しい情報や関連するフィールドを追加する必要がある。例えば、AIモデルディスティレーションのような新興で重要な技術は、AI用のSBOMに捕捉されるべきである。実際、これらは容易に長い文書や冗長な情報につながるため、意味のある効果的なAI用SBOMを作成するためには、フォーマットの自動化と調和が不可欠である。さらに、AI モデルのレッドチーム分野ではまだ実験的な結果が大半を占めていることを考えると、AI の脆弱性や弱点を効果的に追跡するための枠組みを構築することが不可欠である。
Future G7 work	今後の G7 の取り組み
This paper presented a shared G7 vision on SBOM for AI to increase transparency and cybersecurity along the full supply chain of AI systems and models. A trustworthy SBOM for AI:	本報告書では、AI システムおよびモデルのサプライチェーン全体の透明性とサイバーセキュリティを強化するための、AI 向け SBOM に関する G7 の共通ビジョンを紹介しました。信頼性の高い AI 向け SBOM は、以下の特徴を備えている。
• allows all the stakeholders involved in the AI supply chain to benefit from the improved transparency and knowledge of the system components;	• AIサプライチェーンに関わるすべての利害関係者が、システムコンポーネントの透明性と知識の向上から恩恵を受けることができる。
• reduces risks, improves insight and traceability of the core components of an AI system, including security guardrails, vulnerability management and compliance attestations;	• セキュリティガードレール、脆弱性管理、コンプライアンス認証など、AIシステムのコアコンポーネントのリスクを軽減し、洞察力とトレーサビリティを向上させる。
• can foster interoperability with or be integrated in already established safety, transparency and cybersecurity frameworks for traditional software, such as SBOM or security advisories and bulletins.	• SBOMやセキュリティアドバイザリ、セキュリティ速報など、従来のソフトウェア向けにすでに確立されている安全性、透明性、サイバーセキュリティの枠組みとの相互運用性を促進したり、それらに統合したりすることができる。
To fully harness the benefits and address the challenges of SBOM for AI, the next steps for the G7 Cybersecurity Working Group – Smarter Together: Artificial Intelligence will be to focus on providing a shared technical vision tackling these challenges, starting with a status quo analysis of existing frameworks to be carried out in the second half of 2025. This will be followed by further work on technical recommendations and guidelines, paving the way for the definition of a common G7 framework fostering adoption of SBOM for AI by public and private sector operators.	AI における SBOM のメリットを最大限に活用し、課題に対処するため、G7 サイバーセキュリティ作業部会「Smarter Together: Artificial Intelligence」は、2025 年後半に実施される既存の枠組みの現状分析から始め、これらの課題に取り組む共通の技術的ビジョンを提供することに重点を置いて、次のステップに進みます。その後、技術的な提言やガイドラインに関するさらなる作業を行い、公共部門および民間部門の事業者が AI 向けの SBOM の採用を促進する共通の G7 枠組みの定義に向けた道筋を整備する。
References	参考文献
Allen D. Householder, Vijay S. Sarvepalli, Jeff Havrilla, Matt Churilla, Lena Pons, Shing-hon Lau, Nathan M. VanHoudnos, Andrew Kompanek, and Lauren McIlvenny: Lessons Learned in Coordinated Disclosure for Artificial Intelligence and Machine Learning Systems. 2024.	Allen D. Householder、Vijay S. Sarvepalli、Jeff Havrilla、Matt Churilla、Lena Pons、Shing-hon Lau、Nathan M. VanHoudnos、Andrew Kompanek、Lauren McIlvenny：人工知能および機械学習システムに関する協調的開示から得た教訓。2024 年。
Federal Office for Information Security (BSI): Transparency of AI Systems, White Paper. 2024.	連邦情報セキュリティ局（BSI）：AI システムの透明性、ホワイトペーパー。2024年。
Federal Office for Information Security (BSI): Technical Guideline TR-03183: Cyber Resilience Requirements for Manufacturers and Products - Part 2: Software Bill of Materials (SBOM). 2024.	連邦情報セキュリティ局（BSI）：技術ガイドライン TR-03183：製造事業者および製品に対するサイバーレジリエンス要件 - 第 2 部：ソフトウェア部品表（SBOM）。2024年。
French National Cybersecurity Authority (ANSSI): Building trust in AI through a cyber risk-based approach. Joint high-level risk analysis on AI. Version 1.0, 2025.	フランス国家サイバーセキュリティ機関（ANSSI）：サイバーリスクに基づくアプローチによる AI に対する信頼の構築。AI に関する共同ハイレベルリスク分析。バージョン 1.0、2025 年。
Ministry of Economy, Trade and Industries (METI) of Japan: Revised Guide Formulated on Specific Methods for Managing Software Vulnerability Utilizing “Software Bill of Materials (SBOM),” a List of Software Components, as a Preparatory Guide for Cyberattacks.	経済産業省：サイバー攻撃対策準備ガイドとして、ソフトウェアの脆弱性管理に関する具体的な方法に関する改訂ガイドを策定。
National Cyber Security Center (NCSC): Guidelines for secure AI system development. 2023.	国家サイバーセキュリティセンター（NCSC）：安全な AI システム開発のためのガイドライン。2023年。
The United States Department of Commerce: The Minimum Elements For a Software Bill of Materials (SBOM), 2021.	米国商務省：ソフトウェア部品表（SBOM）の最低要件、2021年。

[1] The term SBOM for AI follows the already established concept of Software Bill of Material (SBOM) in the field of traditional software management.	[1] AI の SBOM という用語は、従来のソフトウェア管理分野であるでに確立されているソフトウェア部品表（SBOM）の概念に従っている。
[2] As an example we can consider the information included in the US Department of Commerce NTIA document found in reference.	[2] 例としては、参考文献にある米国商務省 NTIA の文書に記載されている情報がある。

2025.08.13 07:00 in 情報セキュリティ / サイバーセキュリティ, in AI/Deep Learning | Permalink | Comments (0)
Tweet

中国国家情報化発展報告 (2024年) (2025.07.30)

こんにちは、丸山満彦です。

中国の国家互联网信息办公室（国家サイバースペース管理局）が、国家情報化発展報告 (2024年) を公表しています。中国の通信白書的なものですかね...民事領域についての発表ですが、世界でも最もインターネットの活用が進んでいる国の一つである、中国の状況を理解する上で、これからのサイバー空間の活用に関して参考になると思います。

求める世界観がおそらく民主主義、自由主義国家とは異なる面もあるので、そのままというわけにはいかないとは思いますが...

あと、どこまで情報が現実を反映しているのか？という点も気になる点ではあります（できたことにしないといろいろと不味くなることもある？もうそういうことはない？）。

人口が多いだけに、普及等の絶対数は圧倒的に凄いですね...

● 中央网络安全和信息化委员会办公室 (Cyberspace Administration of China: CAC)

・2025.07.30 国家互联网信息办公室发布《国家信息化发展报告（2024年）》

国家互联网信息办公室发布《国家信息化发展报告（2024年）》	国家サイバースペース管理局、「国家情報化開発報告書（2024年）」を発表
7月30日，《国家信息化发展报告（2024年）》（以下简称《报告》）发布会在京召开。《报告》坚持以习近平总书记关于网络强国的重要思想为指导，深入贯彻落实党中央、国务院关于信息化发展的重要部署，系统总结我国信息化发展成就，分析面临的新形势新挑战，阐明下一步重点任务，为推进我国信息化发展凝聚理念共识、提供指引参考。	7月30日、「国家情報化発展報告（2024年）」（以下、「報告」という）の発表会が北京で開催された。報告は、習近平総書記のネットワーク強国に関する重要な思想を指針とし、党中央、国務院の重要な情報化発展の配置を深く実施し、中国の情報化発展の成果を体系的に総括し、直面する新たな情勢と課題について分析し、次の重点課題について明らかにし、中国の情報化発展を推進するための理念の共通認識の形成と指針の参考を提供している。
《报告》指出，2024年是网络强国战略目标提出10周年和我国全功能接入国际互联网30周年，党的二十届三中全会胜利召开，赋予信息化发展新使命新任务。深入推进信息化发展，是牢牢把握信息革命历史机遇、抢占国际竞争新优势的战略选择，是培育发展新质生产力、推动经济高质量发展的迫切需要，是保障和改善民生、满足人民群众美好生活新期待的内在要求，是推进国家治理体系和治理能力现代化的有力支撑。	報告書は、2024年はネットワーク強国戦略目標が提唱されてから10周年、中国が国際インターネットに全機能で接続してから30周年であり、中国共産党第20回中央委員会第3回全体会議が成功裏に開催され、情報化の発展に新たな使命と任務が課せられたと指摘している。情報化の発展を深く推進することは、情報革命の歴史的機会を確実に捉え、国際競争における新たな優位性を確保するための戦略的選択であり、新たな質の高い生産力を育成し、経済の高品質発展を推進するための緊急の必要性であり、民生を保障し改善し、国民の新たな生活への期待に応えるための内在的な要求であり、国家の統治体制と統治能力の現代化を推進するための強力な支えである。
《报告》显示，2024年，各地区、各部门深入贯彻落实党中央、国务院决策部署，积极谋划改革创新举措、凝聚政策资源合力，扎实推进《“十四五”国家信息化规划》重大任务、重点工程、优先行动实施，创新发展能力显著增强，赋能发展作用日益明显，普惠发展效应持续释放，安全发展基础不断夯实，开放发展成果更加丰硕，全国信息化发展水平迈上新台阶，为开创新时代新征程网络强国建设新局面提供强大动力和坚实支撑。	『報告』によると、2024年、各地域、各部門は党中央、国務院の決定・方針を深く貫徹し、改革・イノベーションの施策を積極的に立案し、政策資源の結集を図り、『「第14次5カ年計画」国家情報化計画』の重大任務、重点プロジェクト、優先行動の実施を着実に推進し、イノベーション・発展能力は著しく強化され、発展への貢献はますます顕著になった。普及発展の効果が持続的に発揮され、安全発展の基盤がさらに強化され、開放発展の成果がさらに充実し、全国の情報化の発展レベルが新たな段階に到達し、新時代におけるネットワーク強国建設の新たな局面を切り開くための強力な原動力と強固な基盤を提供した。
《报告》分析了2024年国家信息化发展情况网络问卷调查结果。调查结果显示，受访网民普遍认为，2024年信息化在创新学习工作方式、提升生活服务水平、增强公共治理能力等方面发挥了更加重要的作用，人民群众的获得感、幸福感、安全感更加明显；受访企业表示，2024年加强信息技术创新和人才培育，积极布局新产品、新应用、新业务，不断提升企业竞争力。	報告書は、2024年の国家情報化の発展状況に関するネットワークアンケート調査の結果を分析している。調査結果によると、回答したネットユーザーは、2024年に情報化が、学習・仕事の方法の革新、生活サービスの向上、公共の統治能力の強化などにおいて、より重要な役割を果たし、国民の獲得感、幸福感、安心感がより顕著になったと広く認識している。また、回答した企業は、2024年に情報技術の革新と人材の育成を強化し、新製品、新アプリケーション、新事業の展開を積極的に推進し、企業の競争力を継続的に強化すると回答している。
《报告》提出，2025年是“十四五”规划收官、“十五五”规划谋篇布局之年，也是全面深化网信领域改革、推进网络强国建设的关键一年。要坚持以习近平新时代中国特色社会主义思想特别是习近平总书记关于网络强国的重要思想为指导，深入贯彻党的二十届三中全会精神和2025年全国两会精神，以更大力度、更实举措推进信息化发展迈上新台阶。一是坚持自立自强，加快推动网络信息技术创新和产业生态发展；二是坚持驱动引领，加快推动信息化赋能新质生产力发展；三是坚持为民惠民，加快推动信息化发展成果更多更公平惠及全民；四是坚持系统观念，加快优化完善信息化健康可持续发展的环境；五是坚持全球视野，加快推进多层次网络空间国际交流合作。	報告書は、2025年は「第14次5カ年計画」の最終年であり、「第15次5カ年計画」の立案・策定の年であり、ネット情報分野における改革を全面的に深化させ、ネットワーク強国建設を推進する重要な年であると指摘している。習近平新時代中国特色社会主義思想、特に習近平総書記のネットワーク強国に関する重要な思想を指針とし、党第20回中央委員会第3回全体会議の精神と2025年の全国人民代表大会の精神を深く貫き、より大きな力、より実効的な措置をもって情報化の発展を新たな段階へと推進していく必要がある。一是自立自強を堅持し、ネットワーク情報技術の革新と産業生態系の発展を加速する。二是駆動と先導を堅持し、情報化が新質生産力の発展に資する役割を加速する。三是民衆に恩恵をもたらすことを堅持し、情報化の発展の成果がより公平に国民全体に及ぶよう加速する。四は体系的な考え方を堅持し、情報化の健全で持続可能な発展のための環境を最適化・整備する。五はグローバルな視野を堅持し、多層的なネットワーク空間の国際交流・協力を加速する。
会上，国家网信办信息化发展局负责同志介绍了《报告》主要内容和推动信息化发展工作情况，网络管理技术局负责同志介绍了生成式人工智能发展和管理有关工作情况。工业和信息化部信息通信发展司、农业农村部市场与信息化司以及北京市委网信办负责同志，围绕部门和地区推动信息化发展工作情况进行交流发言。	会議では、国家インターネット情報管理委員会情報化発展局担当者が「報告書」の主な内容と情報化推進の取り組みについて紹介し、ネットワーク管理技術局担当者が生成型人工知能の開発と管理に関する取り組みについて紹介しました。工業情報化部情報通信発展司、農業農村部市場情報化司、北京市委インターネット情報管理委員会担当者が、各部門や地域における情報化推進の取り組みについて発表した。
信息化发展相关研究机构专家学者、媒体单位代表和网信企业代表参加了发布会。	情報化推進に関する研究機関の研究者、メディア関係者、インターネット情報企業代表も発表会に参加した。

・[PDF] 国家信息化发展报告（2024年） [downloaded]

・[DOCX][PDF] 仮訳

目次...

摘要	要約
第一章进一步全面深化改革赋予信息化发展新使命	第1章改革をさらに全面的に深化させ、情報化の発展に新たな使命を課す
一、深刻认识推进信息化领域改革创新发展的重要意义	1. 情報化分野の改革とイノベーション発展の推進の重要性について深く認識する
二、准确把握推进信息化领域改革创新发展的丰富内涵	2. 情報化分野における改革と革新の発展の豊かな内容を正確に把握する
三、全面落实推进信息化领域改革创新发展的实践要求	3. 情報化分野における改革と革新の発展を全面的に推進するための実践的要件
第二章创新发展能力显著增强	第2章革新発展能力の著しい強化
一、网络信息技术创新加速突破	1. ネットワーク情報技術イノベーションの加速的突破
二、数字产业创新生态不断完善	2. デジタル産業のイノベーションエコシステムが不断に充実
三、信息化创新人才队伍持续壮大	3. 情報化イノベーション人材の継続的な拡充
第三章赋能发展作用日益明显	第3章能力強化の発展作用がますます顕著に
一、信息基础设施提档升级	1. 情報インフラのグレードアップ
二、数据资源开发利用提质扩面	2. データ資源の開発利用の質的向上と範囲の拡大
三、数字技术和实体经济深度融合	3. デジタル技術と実体経済の深い融合
第四章普惠发展效应持续释放	第4章普及発展効果が持続的に発揮される
一、数智生活服务加速普及	1. デジタル・スマートな生活サービスの普及が加速
二、数字文化动能更加强劲	2. デジタル文化の動力がさらに強化される
三、电子政务赋能减负增效	3. 電子政府が負担軽減と効率向上を支援
第五章安全发展基础不断夯实	第5章安全発展の基盤が不断に強化される
一、网络安全保障有力有序	1. サイバーセキュリティの保障が力強く秩序あるものとなっている
二、数据安全治理扎实推进	2. データセキュリティガバナンスの着実な推進
三、网络综合治理更加完善	3. ネットワーク総合治理のさらなる充実
第六章开放发展成果更加丰硕	第6章開放発展の成果がさらに豊かになる
一、理念主张凝聚国际广泛共识	1. 理念・主張が国際的な広範なコンセンサスを形成
二、网络空间交流合作深化拓展	2. サイバー空間における交流・協力の深化・拡大
三、数字贸易促进高水平对外开放	3. デジタル貿易が高度な対外開放を促進
第七章 2024年全国信息化发展水平迈上新台阶	第7章 2024年、全国の信息化発展水準が新たな段階へ
一、2024 年各地区信息化发展成效评价	1. 2024年の各地域の情報化推進成果の評価
二、2024 年国家信息化发展网络调查分析	2. 2024年国家情報化発展ネットワーク調査分析
第八章 2025年信息化发展形势与任务	第8章 2025年の情報化発展の情勢と任務
一、信息化发展面临新机遇新挑战	1. 情報化発展が直面する新たな機会と課題
二、2025 年我国信息化发展重点任务	2. 2025 年までの我が国の情報化発展の重点任務

要約...

摘要	要約
2024 年是网络强国战略目标提出 10 周年和我国全功能接入国际互联网 30 周年。党的二十届三中全会胜利召开，系统擘画了进一步全面深化改革、以中国式现代化全面推进中华民族伟大复兴的宏伟蓝图。习近平主席向 2024 年世界互联网大会乌镇峰会开幕视频致贺，指出“我们应当把握数字化、网络化、智能化发展大势，把创新作为第一动力、把安全作为底线要求、把普惠作为价值追求，加快推动网络空间创新发展、安全发展、普惠发展，携手迈进更加美好的‘数字未来’”，为推动构建网络空间命运共同体指明了前进方向。	2024 年は、ネットワーク強国戦略目標が提唱されてから 10 周年、我が国が国際インターネットに全機能で接続してから 30 周年となる年である。中国共産党第 20 回中央委員会第 3 回全体会議が成功裏に開催され、改革をさらに全面的に深化させ、中国式現代化を全面的に推進して、中華民族の偉大な復興を実現するための壮大な青写真が描かれた。習近平国家主席は、2024年世界インターネット大会烏鎮サミットの開会式にビデオメッセージで祝辞を送り、「私たちは、デジタル化、ネットワーク化、インテリジェント化の大きな潮流を捉え、イノベーションを第一の原動力とし、安全を最低限の要件とし、普及を価値の追求とし、ネットワーク空間の革新的な発展、安全な発展、普及の発展を加速し、より素晴らしい『デジタル未来』に向けて共に前進すべきだ」と述べ、ネットワーク空間の運命共同体の構築を推進するための進むべき方向性を示した。
当前，新一轮科技革命和产业变革迅猛发展，人工智能等新技术方兴未艾，信息化迈向数字化、网络化、智能化全面跃升的新阶段。深入推进信息化发展，是牢牢把握信息革命历史机遇、抢占国际竞争新优势的战略选择，是培育发展新质生产力、推动经济高质量发展的迫切需要，是保障和改善民生、满足人民群众美好生活新期待的内在要求，是推进国家治理体系和治理能力现代化的有力支撑。	現在、新たな科学技術革命と産業変革が急速に進展し、人工知能などの新技術が台頭し、情報化はデジタル化、ネットワーク化、インテリジェント化という新たな段階へと飛躍的に発展している。情報化の進展を深く推進することは、情報革命の歴史的機会を確実に捉え、国際競争における新たな優位性を確保するための戦略的選択であり、新たな生産力を育成・発展させ、経済の高品質な発展を推進するための急務であり、国民生活の保障と改善、そして国民のより良い生活への新たな期待に応えるための内在的な要求であり、国家の統治体制と統治能力の現代化を推進するための強力な支えである。
2024 年，各地区各部门深入贯彻落实党中央、国务院决策部署，积极谋划改革创新举措，凝聚政策资源合力，扎实推进《“十四五”国家信息化规划》重大任务、重点工程、优先行动实施，创新发展能力显著增强，赋能发展作用日益明显，普惠发展效应持续释放，安全发展基础不断夯实，开放发展成果更加丰硕，全国信息化发展水平迈上新台阶，为开创新时代新征程网络强国建设新局面提供强大动力和坚实支撑。	2024 年、各地域、各部門は、党中央、国務院の決定・方針を深く貫徹し、改革・イノベーションの施策を積極的に立案し、政策資源の結集を図り、「第 14 次 5 カ年国家情報化計画」の主要任務、重点プロジェクト、優先行動の実施を着実に推進し、イノベーション開発能力が著しく強化され、開発への貢献がますます顕著になり、普及発展の効果が持続的に発揮され、安全発展の基盤がさらに強化され、開放発展の成果がさらに充実し、全国の情報化発展レベルが新たな段階に到達し、新時代におけるネットワーク強国建設の新たな局面を切り開くための強力な原動力と確固たる基盤を提供した。
一、2024 年国家信息化发展取得显著成效	1. 2024 年の国家情報化発展は顕著な成果を上げた
（一）创新发展能力显著增强。一是网络信息技术创新加速突破。集成电路研发制造能力不断增强，操作系统加速规模化应用，开源鸿蒙装机量超 10 亿台，量子信息、脑机接口、数字孪生等前沿技术创新成果不断涌现。生成式人工智能大模型技术能力持续跃升，截至 2024 年底，共 302 款生成式人工智能服务完成备案，注册用户总数超过 6 亿，多款大模型产品性能位于全球前列。区块链创新应用提质增效，加速融入货物运输、贸易、制造、能源、政务等重点领域，赋能实体经济发展。二是数字产业创新生态不断完善。2024 年，我国数字产业完成业务收入 35 万亿元，同比增长 5.5%。软件业务收入 13.73 万亿元，同比增长 10.0%。操作系统、数据库、人工智能等开源社区持续完善，产学研创新布局持续加强。信息化标准建设迈出新步伐，发布人工智能、物联网、数据等重点领域标准体系建设指南。三是信息化创新人才队伍持续壮大。信息化人才培养体系更加健全，全国数字经济本科专业达 227 个，教育科研模式变革加速演进，文献情报、化工、海洋、气象等重点领域大模型有效提升科研效率。国家教育数字化战略行动深入实施，建成世界最大的国家智慧教育公共服务平台。全民数字素养与技能持续提升，我国 60.61%的成年人和 64.69%的未成年人（12-17 周岁）具备初级及以上数字素养与技能。	（1）イノベーションと発展の能力が著しく強化された。第一に、ネットワーク情報技術のイノベーションが加速し、突破口を開いた。集積回路の研究開発・製造能力が不断に強化され、オペレーティングシステムの規模拡大が加速し、オープンソースの「鴻蒙」のインストール台数が10億台を超え、量子情報、脳機インターフェース、デジタルツインなどの先端技術イノベーションの成果が次々と現れている。生成型人工知能の大規模モデル技術能力は飛躍的に向上し、2024年末までに302件の生成型人工知能サービスが登録され、登録ユーザー数は6億人を超え、複数の大規模モデル製品の性能は世界トップクラスとなっている。ブロックチェーンの革新的な活用が効率と効果を向上させ、貨物輸送、貿易、製造、エネルギー、行政などの重点分野への統合が加速し、実体経済の発展に貢献している。第二に、デジタル産業のイノベーションエコシステムが継続的に整備された。2024 年、中国のデジタル産業の事業収入は 35 兆元、前年比 5.5% 増となる。ソフトウェア事業の収入は 13.73 兆元、前年比 10.0% 増となる。オペレーティングシステム、データベース、人工知能などのオープンソースコミュニティが継続的に整備され、産学連携のイノベーション体制が強化された。情報化標準の構築が新たな段階に入り、人工知能、モノのインターネット、データなどの重点分野における標準体系の構築指針が発表された。第三に、情報化イノベーション人材の育成が継続的に強化された。情報化人材の育成体制がさらに充実し、全国のデジタル経済関連学部学科は 227 学科に達し、教育研究モデルの変革が加速し、文献情報、化学、海洋、気象などの重点分野における大規模モデルが研究開発の効率を効果的に向上させている。国家教育デジタル化戦略行動が深く実施され、世界最大の国家スマート教育公共サービスプラットフォームが構築された。国民のデジタルリテラシーとスキルが継続的に向上し、中国の成人（60.61%）と未成年者（12～17歳、64.69%）の初級以上のデジタルリテラシーとスキルを有する割合が向上した。
（二）赋能发展作用日益明显。一是信息基础设施提档升级。截至 2024 年底，累计建成开通 5G 基站总数达 425.1 万个，5G 用户普及率超 71%，300 多个城市实现 5G-A 网络覆盖。建成 207 个千兆城市，千兆及以上速率光纤接入用户达到 2.07 亿户。IPv6 活跃用户数达 8.23 亿，移动网络和固定网络 IPv6 流量占比分别达到 65.60%和 24.95%。我国智能算力规模达 493EFLOPS（FP16）。移动物联网加快向“万物智联”发展，移动物联网（蜂窝）用户达 26.56 亿户。工业互联网加速规模化应用，实现 41 个工业大类全覆盖，车联网基础设施加速布局。北斗规模应用加速推进，北斗终端设备（不含消费类电子）应用数量超过 2800 万台（套）。二是数据资源开发利用提质扩面。数据基础制度体系初步建立，数据资源规模质量持续提升，2024 年我国年度数据生产量达 41.06ZB，同比增长 25%，累计数据存储量达 2.09ZB，同比增长 20.81%，数据标注成为新兴产业，7 个数据标注基地加快建设，数商企业数量超过 100 万家。三是数字技术和实体经济深度融合。智慧农业加快发展，实施《关于大力发展智慧农业的指导意见》。制造业数字化转型稳步推进，截至 2024 年底，重点工业企业数字化研发设计工具普及率、关键工序数控化率分别达到 82.7%、65.3%。服务业数字化有力拉动消费增长，全国网上零售额达 15.23 万亿元，数字消费规模超6 万亿元。数字化绿色化协同转型发展加快推进，印发《数字化绿色化协同转型发展实施指南》，累计建设 246 家国家绿色数据中心，产业数字化智能化同绿色化的融合程度持续深化。网信企业活力更加强劲，我国市值排名前 100 的互联网企业总市值、总营收、总利润和总研发投入均实现同比增长。	（2）発展への貢献がますます顕著になっている。第一に、情報インフラの高度化が進んだ。2024年末までに、5G基地局の累計設置数は425.1万基に達し、5Gユーザーの普及率は71%を超え、300以上の都市で5G-Aネットワークがカバーされる。207のギガビット都市が建設され、ギガビット以上の速度の光ファイバー接続ユーザー数は2億700万世帯に達した。IPv6のアクティブユーザー数は8億2300万に達し、モバイルネットワークと固定ネットワークのIPv6トラフィックの割合はそれぞれ65.60%と24.95%に達した。中国のスマートコンピューティング能力は493EFLOPS（FP16）に達した。モバイルIoTは「万物知能接続」への発展を加速し、モバイルIoT（セルラー）ユーザー数は26.56億に達した。産業用インターネットは規模拡大を加速し、41の主要産業分野をすべてカバーし、車載用インターネットインフラの整備が加速している。北斗の規模応用が加速し、北斗端末機器（消費電子製品を除く）の応用台数は2,800万台（セット）を超えた。第二に、データ資源の開発利用の質的向上と範囲が拡大した。データ基盤制度体系が概ね確立され、データ資源の規模と品質が継続的に向上し、2024年の中国の年間データ生産量はで41.06ZBに達し、前年比25%増加した。累計データ蓄積量は2.09ZBに達し、前年比20.81%増加した。データ注釈が新興産業として台頭し、7つのデータ注釈基地の建設が加速され、データ商社数は100万社を超えた。第三に、デジタル技術と実体経済の融合が深化した。スマート農業が急速に発展し、『スマート農業の積極的な発展に関する指導意見』が実施された。製造業のデジタル化転換が着実に進み、2024年末までに、重点工業企業のデジタル化研究開発設計ツール普及率、主要工程のNC化率はそれぞれ82.7%、65.3%に達した。サービス業のデジタル化が消費の伸びを強力に牽引し、全国のネット小売額は15.23兆元に達し、デジタル消費規模は6兆元を超えた。デジタル化とグリーン化の協調的発展が加速し、「デジタル化とグリーン化の協調的発展実施ガイドライン」が発行され、246 の国家グリーンデータセンターが建設され、産業のデジタル化、インテリジェント化、グリーン化の融合がさらに深まった。ネット情報企業の活力はさらに高まり、中国の上場企業時価総額トップ 100 社の総時価総額、総売上高、総利益、総研究開発費はいずれも前年比で増加した。
(三)普惠发展效应持续释放。一是数智生活服务加速普及。2024 年，我国网民规模达 11.08 亿人，互联网普及率升至 78.6%。数字健康服务资源扩容下沉，远程医疗覆盖全国所有市县，互联网医疗用户规模达 4.18 亿人，全国医保码用户超 12 亿人。电子社保卡领用人数达 10.7 亿人，提供线上服务 170.51 亿次。全国养老服务信息平台开通线上运营，累计访问量超 1800 万人次。全国就业信息资源库、就业公共服务平台加快建设，全国“一库一平台”初步建成。数字乡村建设向纵深推进，全面实现“县县通千兆、乡乡通 5G、村村通宽带”，乡村治理数字化水平不断提升。二是数字文化动能更加强劲。国家文化大数据体系建设稳步推进，公共文化数字化服务水平持续提升，推动优质文化资源直达基层。中央广播电视总台和 9 省市卫视超高清频道开播，带动超高清产业加速升级迭代。网络视听行业繁荣发展，用户规模达 10.91 亿人，成为群众文化生活的重要渠道。人工智能技术赋能网络文化传播，沉浸式数字演艺等文化新业态不断涌现。网络视频、网络游戏、网络新媒体平台蓬勃发展，网文、网剧、网游等数字内容加速出海，文化国际传播影响力不断提升。三是电子政务赋能减负增效。2024 年我国电子政务发展指数全球排名第 35 位，较 2022 年提升 8 位。各地依托政务服务平台推进“高效办成一件事”落地，重点事项覆盖范围逐步扩大，人工智能等新技术在政务服务部署应用。党政机关信息化建设深入推进，“数字人大”“数字政协”“数字纪检监察”建设取得新成效，数智化赋能司法公平正义。深化整治“指尖上的形式主义”，数字赋能基层工作取得积极成效。	(3) 普遍的な発展の効果が持続的に発揮された。第一に、デジタル・インテリジェントな生活サービスの普及が加速した。2024 年、中国のインターネットユーザー数は 11.08 億人に達し、インターネット普及率は 78.6% に上昇した。デジタル・ヘルスケアサービスの資源が拡大し、地方にも普及し、遠隔医療は全国のすべての市と県をカバーし、インターネット医療のユーザー数は 4.18 億人に達し、全国医療保険コードのユーザー数は 12 億人を超えた。電子社会保障カードの利用者数は10.7億人に達し、オンラインサービス提供回数は170.51億回に達した。全国高齢者サービス情報プラットフォームがオンライン運営を開始し、累計アクセス数は1,800万人を超えた。全国雇用情報資源庫、雇用公共サービスプラットフォームの構築が加速し、全国「一庫一プラットフォーム」が初步的に完成した。デジタル農村建設がさらに進展し、「県県千兆、郷郷5G、村村ブロードバンド」が全面的に実現し、農村統治のデジタル化レベルが不断に向上している。第二に、デジタル文化の動力がさらに強化された。国家文化ビッグデータ体系の構築が着実に進展し、公共文化のデジタル化サービスレベルが継続的に向上し、優良文化資源が基層に直接届くよう推進された。中央放送局と9つの省・直轄市の衛星放送局の超高精細チャンネルが放送を開始し、超高精細産業の急速なアップグレードと進化を推進している。ネットワーク視聴業界は繁栄し、ユーザー数は10億9,100万人に達し、国民文化生活の重要なチャネルとなっている。人工知能技術がネットワーク文化の伝播に力を与え、没入型デジタル芸能などの新しい文化産業が次々と登場している。ネット動画、ネットゲーム、ネット新メディアプラットフォームが活発に発展し、ネット小説、ネットドラマ、ネットゲームなどのデジタルコンテンツの海外進出が加速し、文化の国際的な発信力が不断に高まっている。第三に、電子政府が負担軽減と効率向上に貢献した。2024 年、中国の電子政府開発指数は世界ランキングで 35 位となり、2022 年から 8 位上昇した。各地は行政サービスプラットフォームを活用して「1 件の事務を効率的に処理」の実現を推進し、重点事項の対象範囲を徐々に拡大し、人工知能などの新技術を行政サービスに導入している。党政機関の情報化建設が深く推進され、「デジタル人民代表大会」「デジタル政治協商会議」「デジタル紀律検査」の構築が新たな成果を上げ、デジタル化による司法の公平・正義の実現に貢献している。指先での形式主義の是正を深め、デジタル化による草の根レベルの業務に積極的な成果を上げている。
（四）安全发展基础不断夯实。一是网络安全保障有力有序。网络安全顶层设计持续完善，《互联网政务应用安全管理规定》发布施行，《人工智能安全治理框架》1.0 版制定发布。组建全国网络安全标准化技术委员会，发布 36 项国家标准，推动 3 项强制性国家标准立项、3 项国际标准正式发布。网络安全教育、技术、产业融合发展，推进建设一流网络安全学院、网络安全专业院校，2024 年国家网络安全宣传周成功举办，宣传普及活动不断深入。二是数据安全治理扎实推进。数据跨境流动制度进一步优化完善，《促进和规范数据跨境流动规定》发布施行，截至 2024 年底，共完成数据出境安全评估项目 285 个，个人信息出境标准合同备案 1071 个。持续开展 APP 违法违规收集使用个人信息问题专项治理，累计受理群众投诉举报 9 万余条。三是网络综合治理更加完善。网络法治体系不断健全，我国已制定出台网络领域法律、行政法规、部门规章等 150 余部。开展“全国网络普法行”系列活动，网络普法工作取得明显成效。“清朗” 系列专项行动有力实施，着力整治打击涉企侵权信息、违法信息外链、“自媒体”无底线博流量、网络直播虚假和低俗信息等 10 类乱象。“净网 2024”专项行动持续推进，全年共侦办网络违法犯罪案件 11.9 万余起，有力维护网络空间秩序和公民合法权益。	（4）安全保障の基盤が着実に強化された。第一に、サイバーセキュリティの保障が強力かつ秩序正しく行われた。サイバーセキュリティのトップレベルの設計が継続的に改善され、「インターネット行政アプリケーションのセキュリティ管理規定」が公布・施行され、「人工知能のセキュリティガバナンスの枠組み」1.0版が策定・公表された。全国サイバーセキュリティ標準化技術委員会が設立され、36件の国家標準が公表され、3件の強制的な国家標準の制定と3件の国際標準の正式公表が進められた。ネットワークセキュリティ教育、技術、産業の融合発展を推進し、一流のネットワークセキュリティ学院、ネットワークセキュリティ専門学校の建設を推進し、2024年に国家ネットワークセキュリティ宣伝週間を成功裏に開催し、宣伝普及活動をさらに深化させた。第二に、データセキュリティのガバナンスが着実に推進された。データ越境流通制度がさらに最適化・整備され、「データ越境流通の促進と規範化に関する規定」が公布・施行され、2024年末までに、285件のデータ越境セキュリティアセスメントプロジェクトが完了し、1071件の個人情報越境に関する標準契約が登録された。APPによる個人情報の違法収集・使用に関する特別対策を引き続き実施し、9万件以上の国民からの苦情・通報を受け付けた。第三に、ネットワークの総合的な管理がさらに充実した。ネットワークの法治体制が継続的に整備され、中国はネットワーク分野に関する法律、行政法規、部門規則など150件以上を制定・公布した。「全国ネットワーク法普及運動」シリーズを展開し、ネットワークの法普及活動が顕著な成果を上げている。「清朗」シリーズ特別措置が強力に実施され、企業に関する権利侵害情報、違法情報への外部リンク、「自媒体」による無節操なアクセス数稼ぎ、ネットワーク生放送における虚偽や低俗な情報など、10種類の乱雑な現象の取締りに力を入れている。「ネット浄化2024」特別措置が継続的に推進され、年間で11万9,000件以上のネットワーク犯罪事件を捜査し、ネットワーク空間の秩序と市民の合法的な権利を強力に保護した。
（五）开放发展成果更加丰硕。一是理念主张凝聚国际广泛共识。主场外交深化网络空间国际合作，成功举办世界互联网大会乌镇峰会、中非互联网发展与合作论坛等重要国际会议活动，发布《全球数据跨境流动合作倡议》，积极搭建网络空间国际开放合作平台，深入参与人工智能全球治理，推动达成《全球数字契约》。二是网络空间交流合作深化拓展。在世贸组织达成《电子商务协定》，推动加入《全面与进步跨太平洋伙伴关系协定》（CPTPP）和《数字经济伙伴关系协定》（DEPA）相关进程。积极参与联合国、世贸组织、亚太经合组织、二十国集团、金砖国家、上海合作组织等机制下网络和数字议题交流。建立中欧数据跨境流动交流机制，与德国签署《关于中德数据跨境流动合作的谅解备忘录》。三是数字贸易促进高水平对外开放。出台《关于数字贸易改革创新发展的意见》，推动构建高水平对外开放的国际合作环境。2024 年，我国跨境电商进出口约 2.71 万亿元，同比增长 14%。“丝路电商”伙伴国数量增至 33 个，形成电子提单应用等制度创新成果。	（5）開放的な発展の成果がさらに充実した。第一に、理念と主張が国際的な幅広いコンセンサスを形成した。ホームグラウンド外交を通じて、サイバー空間における国際協力を深め、世界インターネット大会ウズベンサミット、中非インターネット開発・協力フォーラムなどの重要な国際会議を成功裏に開催し、「グローバルデータ越境流動協力イニシアチブ」を発表し、サイバー空間における国際的な開放的協力プラットフォームの構築に積極的に取り組み、人工知能のグローバルガバナンスに深く関与し、「グローバルデジタル契約」の締結を推進した。第二に、サイバー空間における交流と協力がさらに深まり、拡大した。世界貿易機関（WTO）で「電子商取引協定」が締結され、「包括的および先進的な環太平洋パートナーシップ協定」（CPTPP）および「デジタル経済パートナーシップ協定」（DEPA）への加盟プロセスが進められた。国連、WTO、アジア太平洋経済協力会議（APEC）、主要20カ国・地域（G20）、金砖諸国、上海協力機構などの枠組みにおけるネットワークとデジタルに関する議題の交流に積極的に参加した。中欧データ越境流動交流メカニズムを設立し、ドイツと「中独データ越境流動協力に関する覚書」に署名した。第三に、デジタル貿易は高度な対外開放を促進した。デジタル貿易の改革と革新的な発展に関する意見を発表し、高度な対外開放のための国際協力環境の構築を推進した。2024 年、中国の越境電子商取引の輸出入額は約 2.71 兆元となり、前年比 14% 増加する。「シルクロード電子商取引」パートナー国の数は 33 カ国に増加し、電子船荷証券の利用など制度面の革新的な成果が生まれた。
二、2024 年信息化发展成效评价	2. 2024年の情報化開発成果の評価
为扎实推进国家信息化发展战略规划实施，国家网信办组织有关部门和单位，开展了2024年国家信息化发展评价工作，重点分析31个省（自治区、直辖市）在关键能力、驱动引领、发展环境等方面的进展成效。评价结果显示，北京、浙江、上海、广东、江苏、山东、福建、四川、重庆、天津等10个地区信息化综合发展水平位居全国第一梯队。	国家情報化開発戦略計画の実行を確実に推進するため、国家インターネット情報通信局は関連部門および機関を組織し、2024年の国家情報化開発の評価作業を実施し、31の省（自治区、直轄市）の主要能力、推進力、開発環境などの分野における進展と成果を重点的に分析した。評価結果によると、北京、浙江、上海、広東、江蘇、山東、福建、四川、重慶、天津の10地域が、情報化の総合開発レベルで全国トップクラスに位置した。
同时，国家网信办开展了2024年国家信息化发展情况网络问卷调查活动。调查结果显示，受访网民普遍认为，2024 年信息化在创新学习工作方式、提升生活服务水平、增强公共治理能力等方面发挥了更加重要的作用，人民群众的获得感、幸福感、安全感更加明显；受访数字企业表示，2024年加强信息技术创新和人才培育，积极布局新产品、新应用、新业务，不断提升企业竞争力。	同時に、国家インターネット情報弁公室は、2024年国家情報化発展状況に関するインターネットアンケート調査を実施した。調査結果によると、回答したネットユーザーは、2024年に情報化が、学習・業務の方法の革新、生活サービスの向上、公共の統治能力の強化などにおいて、より重要な役割を果たし、国民の獲得感、幸福感、安心感がさらに高まったと広く認識している。また、回答したデジタル企業は、2024年に情報技術の革新と人材の育成を強化し、新製品、新アプリケーション、新事業の展開に積極的に取り組み、企業の競争力を継続的に向上させていくと回答した。
三、2025 年信息化发展形势与任务	3. 2025年の情報化発展の情勢と任務
当前，网络信息技术创新加速演进，以人工智能为代表的战略性新兴产业和未来产业蓬勃发展，信息化成为培育新质生产力、重塑世界发展格局的重要力量。从外部环境看，世界百年变局和信息革命浪潮叠加演进，国际形势复杂多变，不确定性、不稳定性因素增多。从技术趋势看，人工智能成为生产力发展新引擎，区块链带来生产关系新范式，要素内涵不断拓展，应用范式深入变革，数据、算法、算力成为重要战略资源。从自身发展看，网络信息技术产业生态有待加强，数据供给质量不高、流通机制不畅、应用潜力释放不够等问题依然存在，促进和规范新技术新应用发展面临新挑战。	現在、ネットワーク情報技術の革新が加速し、人工知能に代表される戦略的新興産業や未来産業が活発に発展しており、情報化は新しい生産力を育成し、世界の発展構造を再構築する重要な力となっている。外部環境を見ると、100年に1度の世界的な変化と情報革命の波が重なり合い、国際情勢は複雑かつ変化し、不確実性や不安定要素が増えている。技術動向を見ると、人工知能が生産力の発展の新たなエンジンとなり、ブロックチェーンが生産関係に新たなパラダイムをもたらし、要素の内包が拡大し、応用形態が深く変化し、データ、アルゴリズム、計算能力が重要な戦略的資源となっている。自体の発展を見ると、ネットワーク情報技術産業のエコシステムは強化が必要であり、データ供給の品質が低く、流通メカニズムが不十分、応用ポテンシャルが十分に発揮されていないなどの問題が依然として存在し、新技術・新応用の発展を促進・規範化するための新たな課題に直面している。
2025 年是“十四五”规划收官、“十五五”规划谋篇布局之年，也是全面深化网信领域改革、推进网络强国建设的关键一年。要坚持以习近平新时代中国特色社会主义思想特别是习近平总书记关于网络强国的重要思想为指导，深入贯彻党的二十届三中全会精神和 2025 年全国两会精神，以更大的力度、更实的举措推进信息化发展迈上新台阶。	2025 年は「第 14 次 5 カ年計画」の最終年であり、「第 15 次 5 カ年計画」の立案・策定の年であり、ネット情報分野における改革を全面的に深化させ、ネットワーク強国建設を推進する重要な年でもある。習近平新時代中国特色社会主義思想、特に習近平総書記のネットワーク強国に関する重要な思想を指針とし、第 20 回中国共産党中央委員会第 3 回全体会議の精神と 2025 年の全国人民代表大会の精神を深く貫き、より大きな力、より具体的な施策をもって、情報化の発展を新たな段階へと推進していく必要がある。
一是坚持自立自强，加快推动网络信息技术创新和产业生态发展。加快核心技术创新突破，强化集成电路、基础软件和工业软件、人工智能、量子信息等重点领域布局，全链条推进技术攻关、成果应用。推动人工智能、操作系统、数据库、第五代精简指令集（RISC-V）等生态建设，支持开源社区和开源基础设施发展，鼓励和规范发展新型研发机构。强化企业科技创新主体地位，推动建立健全投融资支持服务体系。推进数字产业创新发展，促进平台经济健康发展，打造具有国际竞争力的数字产业集群。培育量子科技、具身智能、6G等未来产业，积极推动“人工智能+”行动，深化人工智能大模型垂直领域应用，培育数智化新服务新产品。建强信息化创新人才队伍，加强信息化基础学科、新兴学科、交叉学科建设，培养多层次复合型人才队伍。	第一に、自立自強を堅持し、ネットワーク情報技術の革新と産業生態系の発展を加速する。コア技術の革新と突破を加速し、集積回路、基礎ソフトウェア、産業用ソフトウェア、人工知能、量子情報などの重点分野への取り組みを強化し、技術開発と成果の応用を全工程にわたって推進する。人工知能、オペレーティングシステム、データベース、第5世代簡略命令セット（RISC-V）などのエコシステムの構築を推進し、オープンソースコミュニティとオープンソースインフラストラクチャの発展を支援し、新しい研究開発機関の育成と規範化を促進する。企業の科学技術イノベーションの主体としての地位を強化し、投資・融資支援サービスの体系の確立を推進する。デジタル産業の革新的な発展を推進し、プラットフォーム経済の健全な発展を促進し、国際競争力のあるデジタル産業クラスターを構築する。量子技術、具身知能、6Gなどの未来産業を育成し、「人工知能+」の取り組みを積極的に推進し、人工知能の大規模モデルを垂直分野に応用し、デジタル化による新しいサービスや新製品を育成する。情報化イノベーション人材の育成を強化し、情報化基礎学、新興学、学際学の発展を推進し、多層的な複合型人材を育成する。
二是坚持驱动引领，加快推动信息化赋能新质生产力发展。建设泛在智联的信息基础设施，有序推进 5G-A 规模部署，加快 6G 技术研发和标准研制，持续提升“双千兆”网络覆盖广度和深度，适度超前建设移动物联网络，深化 IPv6 技术创新和融合应用，深入实施“东数西算”工程，推动卫星互联网发展。加快完善数据基础制度体系，扩大公共数据资源供给，提升数据资源开发利用水平，探索建立公共数据分类分级授权机制，分类施策开展公共数据、企业数据、个人数据开发利用，打造安全可信流通环境。推进数字技术与实体经济深度融合，加快发展智慧农业，深入实施制造业数字化转型发展行动、中小企业数字化赋能专项行动、智能制造工程，推动数字技术与现代服务业深度融合。加速数字化绿色化协同转型发展，促进网信企业高质量发展。	第二に、推進力を維持し、情報化による新しい生産力の開発を加速する。ユビキタスな情報インフラを構築し、5G-A の規模展開を順序よく推進し、6G 技術の研究開発と標準の策定を加速し、「双千兆」ネットワークのカバー範囲と深さを継続的に向上させ、モバイル IoT ネットワークを適度に先行して構築し、IPv6 技術の革新と融合アプリケーションを深め、「東数西算」プロジェクトを徹底的に実施し、衛星相互ネットワークの開発を推進する。データ基盤制度体系の整備を加速し、公共データ資源の供給を拡大し、データ資源の開発利用レベルを高め、公共データ、企業データ、個人データの分類・段階別認可メカニズムの構築を模索し、分類別施策を実施して公共データ、企業データ、個人データの開発利用を推進し、安全で信頼性の高い流通環境を構築する。デジタル技術と実体経済の融合を推進し、スマート農業の発展を加速し、製造業のデジタル化転換発展行動、中小企業デジタル化能力強化特別行動、スマート製造プロジェクトを深く実施し、デジタル技術と現代サービス業の融合を推進する。デジタル化とグリーン化の協調的転換発展を加速し、ネット情報企業の質の高い発展を促進する。
三是坚持为民惠民，加快推动信息化发展成果更多更公平惠及全民。深化信息为民惠民服务，深入实施国家教育数字化战略，建强用好国家智慧教育公共服务平台，推进智慧医疗建设，发展智慧养老服务，优化数字社保、就业和人力资源服务。实施数字乡村强农惠农富农专项行动，推动城乡信息化融合发展。深化全民数字素养与技能提升行动，加快弥合数字鸿沟、智能鸿沟。推进文化数字化创新发展，深入实施国家文化数字化战略，丰富优质数字文化产品供给，培育全景式沉浸体验文化新业态。以信息化推进国家治理体系和治理能力现代化，推动智能社会发展与治理，深化数字赋能政务服务，推进人工智能、区块链等新技术创新应用，推进“高效办成一件事”基本覆盖政务服务高频事项，深化整治“指尖上的形式主义”。深入推进公共安全和应急、国土空间、生态环境等领域治理信息化建设。	第三に、国民のために、国民に恩恵をもたらすことを堅持し、情報化の発展の成果をより公平に国民全体に迅速に還元する。国民に恩恵をもたらす情報化サービスを深め、国家教育デジタル化戦略を徹底的に実施し、国家のスマート教育公共サービスプラットフォームの構築と活用を強化し、スマート医療の構築を推進し、スマート介護サービスを育成し、デジタル社会保障、雇用、人材サービスを最適化する。デジタル農村強化、農業振興、農民の富の増大のための特別措置を実施し、都市と農村のデジタル化融合の発展を推進する。国民全体のデジタルリテラシーとスキルの向上策を深め、デジタル格差、スマート格差の解消を加速する。文化のデジタル化の革新的な発展を推進し、国家文化デジタル化戦略を深く実施し、質の高いデジタル文化製品の供給を充実させ、全景的な没入型体験という新しい文化産業を育成する。情報化により国家の統治体制と統治能力の近代化を推進し、スマート社会の発展と統治を推進し、デジタルによる行政サービスの強化を深め、人工知能、ブロックチェーンなどの新技術の革新的な活用を推進し、「1つのことを効率的に成し遂げる」ことを行政サービスの頻度の高い事項にほぼ適用し、「指先での形式主義」の是正を深める。公共の安全と緊急事態、国土空間、生態環境などの分野における統治の情報化建設を深く推進する。
四是坚持系统观念，加快优化完善信息化健康可持续发展的环境。筑牢网络和数据安全屏障，强化关键信息基础设施安全保护，深化网络安全教育技术产业融合发展，推进网络和数据安全产业发展，加快研制关键信息基础设施安全、网络安全产品互联互通、数据分类分级、数据安全风险评估等方面标准规范，进一步完善数据出境安全管理制度。健全信息化发展治理体系，加强网络空间法治建设，积极探索新兴领域立法，推进网络执法协调，严厉打击网络违法行为，加强网络法治宣传，保障网络空间主体合法权益。健全网络综合治理体系，规范网络信息内容和传播秩序，持续开展“清朗”系列专项行动，培育积极健康的网络环境。	第四に、システム概念を堅持し、情報化の健全かつ持続可能な発展のための環境の最適化と整備を加速する。ネットワークとデータのセキュリティのバリアを強化し、重要な情報インフラのセキュリティ保護を強化し、ネットワークセキュリティ教育と産業の融合を深め、ネットワークとデータセキュリティ産業の発展を推進し、重要な情報インフラのセキュリティ、ネットワークセキュリティ製品の相互接続、データの分類・格付け、データセキュリティリスクのアセスメントなどに関する標準・規範の策定を加速し、データ越境のセキュリティ管理体制をさらに整備する。情報化の発展に関する統治体制を整備し、ネットワーク空間の法治建設を強化し、新興分野における立法を積極的に模索し、ネットワーク法執行の調整を推進し、ネットワーク上の違法行為を厳しく取り締まり、ネットワークの法治に関する広報を強化し、ネットワーク空間の主体の合法的な権利と利益を確保する。ネットワークの総合的な統治体制を整備し、ネットワーク上の情報内容と伝播の秩序を規範化し、「清朗」シリーズ特別措置を継続的に実施し、積極的で健全なネットワーク環境を育成する。
五是坚持全球视野，加快推进多层次网络空间国际交流合作。加强世界互联网大会等国际组织建设，共同推进网络空间成果共享。积极参与构建网络空间国际规则和标准体系，提升贡献度和影响力。推动“数字丝绸之路”走深走实，深化同新兴市场国家、周边和发展中国家网络空间务实合作。积极推动制度型开放，主动对接国际高标准经贸规则，推进数字贸易高质量发展。支持网信企业出海，提升企业国际竞争力。	第五に、グローバルな視野を堅持し、多層的なサイバー空間の国際交流と協力を加速する。世界インターネット大会などの国際組織の構築を強化し、サイバー空間の成果の共有を共同で推進する。サイバー空間の国際的なルールや標準体系の構築に積極的に参加し、貢献度と影響力を高める。「デジタルシルクロード」の深化と実践を推進し、新興市場諸国、周辺諸国、開発途上諸国とのサイバー空間における実践的な協力を深める。制度面の開放を積極的に推進し、国際的な高水準の経済貿易ルールに自主的に対応し、デジタル貿易の高品質な発展を推進する。ネット情報企業の海外進出を支援し、企業の国際競争力を高める。

2025.08.13 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in ESG/CSR, in IoT, in AI/Deep Learning, in 量子技術 | Permalink | Comments (0)
Tweet

2025.08.12

中国インターネットニュース情報サービスの提供を承認された公式アカウントに統一的に赤い「V」マークを表示

こんにちは、丸山満彦です。

中国が、テンセント、抖音、快手、微博など、インターネットニュース情報配信プラットフォームサービスの提供資格を取得した15のウェブサイト・プラットフォームに対して、システム機能の最適化・改善、サービス資格の検証強化、インターネットニュース情報サービスの提供を承認された公式アカウントに統一的に赤い「V」マークを追加するよう促しているようですね...

2025年7月25日現在、13,516の公的アカウントが赤い「V」マークを付け、サービス主体名、免許番号、サービス種類を明示し、4,401のウェブサイト、プラットフォームなどのサービス形態が免許情報を明示している。

● 中央网络安全和信息化委员会办公室 (Cyberspace Administration of China: CAC)

・2025.08.01 国家网信办持续深入推进互联网新闻信息服务“持证亮牌”工程

国家网信办持续深入推进互联网新闻信息服务“持证亮牌”工程	国家インターネット情報弁公室は、インターネットニュース情報サービスの「免許証の提示」プロジェクトを継続的に推進
为进一步规范网络传播秩序，提升互联网新闻信息服务辨识度，今年以来，国家网信办深入推进互联网新闻信息服务“持证亮牌”工程，部署指导地方网信办提升审批质效，督促腾讯、抖音、快手、微博等15家获批提供互联网新闻信息传播平台服务资质的网站平台优化完善系统功能，加强服务资质核验，对获批提供互联网新闻信息服务的公众账号统一增加红“V”标识，基本实现图文、音频、直播、短视频等内容场景全覆盖。截至2025年7月25日，共有13516个公众账号加注红“V”标识并明示服务主体名称、许可证编号和服务类别，4401家网站、平台等服务形式明示许可信息。	ネットワーク上の情報伝達の秩序をさらに規範化し、インターネットニュース情報サービスの識別性を高めるため、今年に入ってから、国家インターネット情報弁公室は、インターネットニュース情報サービスの「免許証の提示」プロジェクトを推進し、地方インターネット情報弁公室に対して審査の効率と質の向上を指導し、テンセント、抖音、快手、微博など、インターネットニュース情報配信プラットフォームサービスの提供資格を取得した15のウェブサイト・プラットフォームに対して、システム機能の最適化・改善、サービス資格の検証強化、インターネットニュース情報サービスの提供を承認された公式アカウントに統一的に赤い「V」マークを追加するよう促し、テキスト、音声、ライブ配信、ショートビデオなどのコンテンツシーンをほぼすべてカバーする体制を構築した。2025年7月25日現在、13,516の公的アカウントが赤い「V」マークを付け、サービス主体名、免許番号、サービス種類を明示しており、4,401のウェブサイト、プラットフォームなどのサービス形態が免許情報を明示している。
下一步，国家网信办将制度化、程序化、动态化推进互联网新闻信息服务“持证亮牌”，同时将研究出台流量支持政策，助力提升红“V”账号影响力、传播力。此外，将大力整治编发虚假不实新闻信息、假冒仿冒新闻媒体、出租出借转让互联网新闻信息服务许可资质等问题，严厉打击借舆论监督之名谋取非法利益、破坏营商网络环境的行为，着力营造清朗网络空间。	今後、国家インターネット情報弁公室は、インターネットニュース情報サービスの「許可証の提示」を制度化、手続き化、動態化して推進するとともに、トラフィック支援政策を研究・策定し、赤い「V」マークのアカウントの影響力、発信力の向上を支援する。さらに、虚偽のニュース情報の編集中、偽装・模倣したニュースメディア、インターネットニュース情報サービス許可資格の貸与・譲渡などに関する問題の取り締まりを強化し、言論監視を名目にした不正利益の取得や事業環境を損なう行為を厳正に取締り、清らかなネット空間の形成に努める。

下記が例のようです。

Weiboではいくつかのサイトに赤いVマークがついていましね...（個人認証のアカウント）。青いVは企業アカウント...

この取り組みはどうなりますかね...

2025.08.12 00:00 in 法律 / 犯罪 | Permalink | Comments (0)
Tweet

2025.08.11

英国デジタあるIDサービス：インクルージョン・モニタリング報告書調査結果 2025 (2025.07.16)

こんにちは、丸山満彦です。

政府標準に照らして認証されたデジタル ID および属性サービスの包含モニタリング調査から得られた 2025 年の調査結果が報告されていますね...

昨年2024年にも実施していますが、この報告書は、英国のデジタルIDおよび属性信頼フレームワーク（最新は2025.06.26 Ver0.4）に照らして認証されたデジタル検証サービスに対する年次包括モニタリング調査の結果をまとめたものようですね...

主な結果...

調査対象組織の66%は、シングルユースのIDまたは属性チェックのみを提供。（認証サービスでは再利用可能なデジタルIDよりもシングルユースのIDが一般的）
調査対象組織の60%がウェブコンテンツアクセシビリティガイドライン（WCAG）2.0（AA）以上を遵守。（2024年の54%から増加）
調査対象組織の55％が、利用者の人口統計データを収集。これらのサービスのうち42％は、サービスの包括性を監視するためにこのデータを使用；
調査対象組織の47％が、利用者がサポートにアクセスするためのデジタル以外のルート（電話や対面）を提供。
調査対象組織の73％が、文字の拡大表示や支援技術との互換性など、少なくとも1つのアクセシビリティ機能を提供。
バイオメトリクス技術を提供している調査対象組織の52％が、利用者がバイオメトリクスの使用を希望しない場合、代替ルートを提供。これらのサービスのうち41％が、異なる人口統計グループに対するバイオメトリック技術の精度率に関する情報を記録。これは昨年の30％から増加。
2024年と同様、インクルージョンを向上させるための課題として最も多く挙げられたのは、コストと政府が保有するデータへのアクセス不足。

● GOV.UK

プレス...

・2025.0716 Digital identity services: inclusion monitoring report findings 2025

報告書...

・2025.07.16 Inclusion monitoring report findings 2025

目次...

1.Executive summary	1.エグゼクティブサマリー
2.Methodology	2.調査方法
3.Findings	3.調査結果
General (Q1-11)	全般 (Q1-11)
Documentation and evidence (Q12-14)	文書化および証拠 (Q12-14)
Accessibility (Q15-21)	アクセシビリティ (Q15-21)
Data (Q22-33)	データ (Q22-33)
Biometrics (Q34-39)	生体認証（Q34-39
Future improvements to inclusion (Q40-42)	インクルージョンの将来的な改善（Q40-42
4.Conclusion	4.結論
Annex A: Survey Limitations	附属書 A：調査の限界
Annex B: DSIT Inclusion Monitoring Report Questions 2025	附属書 B：DSIT インクルージョンモニタリング報告書 2025 年の質問

Inclusion monitoring report findings 2025	2025 年のインクルージョンモニタリング報告書の結果
1. Executive summary	1. エグゼクティブサマリー
Background	背景
The Office for Digital Identities and Attributes (OfDIA), part of the Department for Science, Innovation and Technology (DSIT), is working to enable the widespread use of secure digital verification services in the UK. Trusted digital identities can improve people’s lives by making transactions such as collecting a parcel, buying age-restricted items and starting a new job, simpler, quicker and more secure. The use of digital verification services will not be mandatory, but the Government is committed to ensuring that they are inclusive and accessible for anyone who chooses to use them.	科学技術革新省（DSIT）の一部であるデジタルアイデンティティ・属性局（OfDIA）は、英国における安全なデジタル検証サービスの普及に取り組んでいる。信頼できるデジタル ID は、小包の受け取り、年齢制限のある商品の購入、新しい仕事の開始などの取引をより簡単、迅速、かつ安全にすることで、人々の生活を向上させることができる。デジタル検証サービスの利用は義務化されるわけではないが、政府は、このサービスを利用することを選択したすべての人が、そのサービスを利用でき、アクセスできることを確保することに全力を尽くしている。
Standards for digital identity - the UK digital identity and attributes trust framework	デジタル ID の標準 - 英国のデジタル ID および属性信頼フレームワーク
The UK digital identity and attributes trust framework is a set of rules and standards that show what a good digital identity looks like. Digital verification services can get independently certified to demonstrate they are following these robust standards. The trust framework outlines how organisations can make their digital verification services more inclusive and accessible, such as by choosing technologies which have been tested with users from a variety of demographics. While the potential barriers to using a digital identity are complex, the trust framework aims to ensure that digital verification services are as inclusive and accessible as possible.	英国のデジタル ID および属性信頼フレームワークは、優れたデジタル ID の要件を示す一連の規則および標準だ。デジタル検証サービスは、これらの堅牢な標準に準拠していることを示すために、独立した認証を受けることができる。信頼フレームワークは、さまざまな人口統計学的特性を持つユーザーによってテストされた技術を選択するなど、組織がデジタル検証サービスをより包括的でアクセスしやすいものにする方法を概説している。デジタル ID の利用には複雑な障壁があるけど、このトラストフレームワークは、デジタル検証サービスができる限り包括的でアクセスしやすいものになることを目指してる。
Who completes an inclusion monitoring report?	インクルージョンモニタリングレポートは誰が作成する？
Digital verification services which are certified against the trust framework must complete an inclusion monitoring report. The inclusion monitoring reports are a mechanism for building a general picture of the inclusivity of the certified digital identity market. Providers with a certified service respond to a survey of around 40 questions on areas such as identity evidence, accessibility, data collection and biometrics. The results are anonymous and individual services are not being assessed. The anonymised and aggregated results will be used to inform inclusion policy and further development of the trust framework. This is the second year that the results have been published.	トラストフレームワークの認証を受けたデジタル検証サービスは、インクルージョンモニタリングレポートを作成しなければならない。インクルージョンモニタリングレポートは、認証を受けたデジタル ID 市場の包括性に関する全体像を把握するための仕組みだ。認定サービスを提供するプロバイダは、ID 証明、アクセシビリティ、データ収集、生体認証などの分野に関する約 40 問のアンケートに回答する。結果は匿名で、個々のサービスは評価されない。匿名化され、集計された結果は、包括性に関する政策やトラスト・フレームワークのさらなる開発に役立てられる。結果の公表は今年で 2 年目となる。
The survey was completed online and 54 organisations with a certified service completed a response by the deadline in mid-March. This represents an 100% completion rate amongst organisations with a certified service at the time of the survey. Whilst all certified services responded to the survey, base numbers per question will vary. This is because some questions were voluntary, some were not applicable to all organisations, and some responses were removed where answers were not appropriate for analysis.	調査はオンラインで実施され、3 月中旬の締め切りまでに、認定サービスを提供する 54 組織が回答を完了した。これは、調査時点で認定サービスを提供する組織の 100% が回答したことになる。認定サービスはすべて調査に回答したが、質問ごとの回答数は異なる。これは、一部の質問は任意回答であり、一部の質問はすべての組織に該当しないため、また、分析に不適切な回答は削除したためだ。
Key findings	主な調査結果
・66% of organisations surveyed offer only single-use identity or attribute checks, suggesting this is currently more common than reusable digital identities among certified services.	・調査対象組織の 66% は、1 回限りの ID または属性確認のみを提供しており、認定サービスでは、現在、再利用可能なデジタル ID よりもこの方式が一般的であることがわかる。
・60% of organisations surveyed adhere to the Web Content Accessibility Guidelines (WCAG) 2.0 (AA) or higher, up from 54% in 2024.	・調査対象組織の 60% は、Web コンテンツアクセシビリティガイドライン (WCAG) 2.0 (AA) 以上を遵守しており、2024 年の 54% から増加している。
・55% of organisations surveyed report that they collect demographic data about their users. Of these services, 42% are using this data to monitor the inclusivity of their service.	・調査対象組織の 55% は、利用者に関する人口統計データを収集していると回答している。このうち 42% は、このデータをサービスの包括性を監視するために利用している。
・47% of organisations surveyed report that they offer non-digital routes for users to access support (telephone or in-person).	・調査対象組織の 47% は、利用者がサポートにアクセスするための非デジタル手段（電話や対面）を提供していると回答している。
・73% of organisations surveyed offer at least one accessibility feature, such as text magnification or compatibility with assistive technologies, up from 65% in 2024.	・調査対象企業の 73% は、テキストの拡大表示や支援技術との互換性など、少なくとも 1 つのアクセシビリティ機能を提供しており、2024 年の 65% から増加している。
・Of the organisations surveyed offering biometric technology, 52% offer an alternative route if users do not wish to use biometrics. 41% of those services record information on the accuracy rates of their biometric technologies for different demographic groups. This has increased from 30% last year.	・生体認証技術を提供している調査対象組織の 52% は、利用者が生体認証を使用したくない場合に代替手段を提供している。これらのサービスの 41% は、さまざまな人口統計グループにおける生体認証技術の精度に関する情報を記録している。これは、昨年の 30% から増加している。
・As in 2024, cost and a lack of access to government-held data were the most commonly cited challenges to improving inclusion.	・2024 年と同様、インクルージョンの改善に関する課題として最も多く挙げられたのは、コストと政府保有データへのアクセス不足だった。

結論部分...

4. Conclusion	4. 結論
As the second year of this data collection, this is the first opportunity to observe the changes in the data from 2024 and where things have remained stable. There are areas of modest improvements, for example a higher proportion of services adhering to WCAG 2.2 and other accessibility standards, and a higher proportion of services conducting robust, accredited testing on their biometric technology. These are examples of positive changes that suggest the trust framework is contributing to raising standards in these areas. Accessibility standards and biometric testing are both areas with increased requirements in the next version of the trust framework (0.4).	データ収集 2 年目となる今回は、2024 年からのデータの変化と、安定している部分を確認する最初の機会となりました。WCAG 2.2 およびその他のアクセシビリティ基準に準拠しているサービスの割合の増加、生体認証技術について堅牢で認定されたテストを実施しているサービスの割合の増加など、若干の改善が見られる分野もあります。これらは、信頼の枠組みがこれらの分野の基準の向上に貢献していることを示す前向きな変化の例です。アクセシビリティ基準と生体認証のテストは、信頼の枠組みの次期バージョン（0.4）で要件が強化される分野です。
We were able to make improvements to last year’s survey and add new questions to increase the insights gathered. For example, the new question on white labelling reveals the prevalence of this in the certified market and suggests that considering the implications of this on the inclusivity and accessibility of services is a possible area for further exploration.	昨年の調査を改善し、新たな質問を追加して、収集する情報を充実させることができました。例えば、ホワイトレーベルに関する新しい質問では、認証市場におけるその普及率が明らかになり、サービスの包括性およびアクセシビリティへの影響を検討することが、さらに調査すべき分野である可能性が示唆された。
The Government remains committed to supporting an inclusive digital identity market and encouraging certified services to continue improving in this area. The findings from the report will continue to be used to inform our ongoing work on inclusion policy, including the development of the trust framework.	政府は、包括的なデジタル ID 市場を支援し、認証サービスがこの分野での改善を継続するよう奨励することに引き続き取り組んでいる。この報告書の調査結果は、信頼の枠組みの策定など、包括性に関する政策の継続的な取り組みに引き続き活用される予定だ。

（参考）フレームワーク

・2024.06.26 UK digital identity and attributes trust framework

現在はVer. 0.4

・2025.06.26 UK digital identity and attributes trust framework (0.4)

1_20241013055701

参考...

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.13 英国認定デジタル ID および属性サービスについて

・2022.06.15 英国デジタルIDと属性の信頼性フレームワーク - ベータ版

・2022.01.19 英国デジタル・文化・メディア・スポーツ省ガイダンス：就労権、賃借権、犯罪歴確認のためのデジタルID認証

・2021.02.17 英国デジタルID・属性のフレームワーク案の意見募集

2025.08.11 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー | Permalink | Comments (0)
Tweet

葬送のフリーレンの魔族とAI

こんにちは、丸山満彦です。

周りの先生方が、葬送のフリーレンの話をするので、頑張ってついていっていますよ(^^)

で、気になった言葉

「なのに、なんで”お母さん”なんて言葉を使うの？」

「...だって殺せなくなるでしょう...」

「...まるで魔法のような素敵な言葉...」

(山田鐘人アベツカサ『葬送のフリーレン』 2巻 p.136)

魔族にとっての言葉は、AIが生成する言葉と同じ...

ですかね...

こちらは、2020年のサイバー犯罪に関する白浜シンポジウムで話をした内容です。

AIはこれからどのように進化しているでしょうかね...

2025.08.11 00:00 in AI/Deep Learning | Permalink | Comments (0)
Tweet

2025.08.10

日本公認会計士協会委託研究「日本の監査実務の質を確保・向上させる新たな方法の探求の研究に関する共同研究」(2025.08.08)

こんにちは、丸山満彦です。

日本公認会計士協会は、2024年度より青山学院大学矢澤教授を中心とした研究チーム、監査実務の質の確保・向上に資する研究を委託していたようで、最初の報告書として、「日本の監査実務の質を確保・向上させる新たな方法の探求の研究に関する共同研究」成果報告書を受領し、公表していますね...

この報告書は、端的にいうと、

目的：日本における監査実務の現状を定量的に把握し、監査品質の確保・向上に向けた実証的知見を提供する

手法：日本公認会計士協会から提供された監査概要書データ（2017年から2022年）を用いて、監査報酬、監査時間、監査品質の関係を実証的に分析。

というもので、非常に興味深い内容となっています。

実証分析の結果からわかったこととしては、

（１）監査時間が長いほど、異常会計発生高が小さくなる傾向が確認された。

これは、監査努力が経営者の利益調整を抑止し、監査品質の向上に寄与していることを示唆している。

（２）期待される水準に比べて異常に低い監査報酬が設定された場合、監査品質の低下と有意な関連が認められた一方で、異常に高い報酬との関連は確認されなかった。

これにより、報酬水準の多寡そのものよりも、監査努力との整合性が品質の維持において重要であることが示唆された。

また、データの分析から、

Big4等の大手監査法人を中心に、監査補助者の投入が拡大している点が明らかになっています。

単なる私の印象論ですが、ITにかかる内部統制の評価等について公認会計士ではない監査補助者の活用が監査品質にも重要であることからそうなっていて、Big4は特にグローバルの大手企業の監査の割合が高いためよりその傾向が高くなっているのではないかと思っています。が、実際のところどうなのかはより詳細な実証データの分析が必要だと思います。監査時間についても監査計画、内部統制の評価、実証検証、開示項目の確認等の業務毎の分析があればより深い検討ができるかもしれません。

ただ、監査概要書のデータからだけでは分析できないですかね...

監査報酬が業種が規模でみて相対的に低い場合は、監査品質が低い可能性が高いと推定されるわけですから、公的機関によるチェックの場合にはより慎重にみることが重要だろうと思います。

また、監査の失敗が発見された場合にも、監査報酬の分析をし、監査の品質担保が十分であったのかを検討することも重要かもしれません。

いずれに興味深い報告書なので、目を通しておくのは良いかと思います。

付け足しですが...これからAIの利用がより進んでいくので、その変化の前に現状の分析をしておくのは重要かもしれないと思いました...

● 日本公認会計士協会

・2025.08.08 委託研究「日本の監査実務の質を確保・向上させる新たな方法の探求の研究に関する共同研究」の成果物の受領について

2025.08.10 00:00 in 監査 / 認証, in 内部統制 / リスクマネジメント | Permalink | Comments (0)
Tweet

英国 ICO 年度報告書 2024-2025 (2025.07)

こんにちは、丸山満彦です。

英国の個人データ保護機関 (Information commissioner's Office; ICO) が年度報告書を公表していますね...

2021-2022から公表していたのですね...

英国の場合は政府も複式簿記ですから、ちゃんと資本の部に該当する部分も明確にされていますね...

2025年3月31日現在

Taxpayers’ equity £7,682,000

となっていますね...

日本政府も複式簿記を取り入れたら良いのにね...

注記もそれなりに充実しています...

● ICO - Annual reports

・2025.07 [PDF] Annual report 2024-25

Performance report	業績報告書
Information Commissioner’s foreword	情報コミッショナーのまえがき
Senior Independent Director’s report	上級独立取締役の報告書
Our purpose and strategic enduring objectives	当社の目的と戦略的目標
Causes	原因
The legislation we oversee	当局が監督する法律
Our stakeholders	当局のステークホルダー
A year in review	1 年の振り返り
Milestones through the year	1 年の主な出来事
Performance overview	業績の概要
Key risks	主なリスク
Performance analysis	業績分析
Financial performance summary	財務実績の概要
Sustainability	持続可能性
Whistleblowing disclosures	内部通報の開示
Going concern	継続企業
Accountability report	説明責任報告書
Corporate governance report	コーポレートガバナンス報告書
Remuneration and staff report	報酬および従業員報告書
Parliamentary accountability	議会に対する説明責任
The Certificate and Report of the Comptroller and Auditor General to the Houses of Parliament	会計検査院長による議会への証明書および報告書
Financial statements	財務諸表
Statement of comprehensive net expenditure	包括純支出計算書
Statement of financial position	財務状況計算書
Statement of cash flows	キャッシュフロー計算書
Statement of changes in taxpayers’ equity	納税者資本変動計算書
Notes to the accounts	財務諸表の注記

主要財務諸表...

包括純支出計算書

財務状況計算書

キャッシュフロー計算書

納税者資本変動計算書

過去分

・Annual report 2023-24

過年度の訂正と補足

・2024 Annual Report Corrections And Clarifications

・Annual report 2022-23

・Annual report 2021-22

2025.08.10 00:00 in 個人情報保護 / プライバシー, in 監査 / 認証, in ESG/CSR, in 内部統制 / リスクマネジメント, in AI/Deep Learning | Permalink | Comments (0)
Tweet

警視庁国家賠償請求訴訟判決を受けた警察捜査の問題点と再発防止策について, 検察庁噴霧乾燥器の輸出に係る外国為替及び外国貿易法違反等事件における捜査・公判上の問題点等について(2025.08.07)

こんにちは、丸山満彦です。

警視庁が冤罪事件を受けて、国家賠償請求訴訟判決を受けた捜査の問題点と再発防止策を公表しましたね...ある意味冤罪事件の再発防止を含めた改革を行うというような内容。

また、警察庁もこの発表を受ける形で報告書を公表していますね...

警察庁の報告書はこの個別事案、公安・外事事案についての改善を行うというような内容ではあるものの、「おわりに」で「都道府県警察の各部門においても他山の石とすべき内容を含むものとなっている。」と記載して、組織全体で取り組んでほしいという思いが伝わるような内容となっていますね...

警察関係が冤罪事件に関して、このような報告書を取りまとめて公表し、記者会見まで開催するというのは異例といえると思います。報告書の内容に関しては当然のことしか書かれていないという評価もあるようですが、私としては、報告書の公表と記者会見をし、関係者に対して処分（または処分相当）としたことについては良い前例として評価できると思いました。

今後の改善に期待したいと思うとともに、警察庁の報告書にあるように、警視庁だけでなく、すべての都道府県警察に広がるとよいと思いました。そして、検察等にもこのような姿勢が広がるとよいなと思います。

● 警視庁

・2025.08.07 国家賠償請求訴訟判決を受けた警察捜査の問題点と再発防止策について

報告書

・[PDF] 国家賠償請求訴訟判決を受けた警察捜査の問題点と再発防止策について

[downloaded]

● 警察庁

・2025.08.08 [PDF] 国家賠償請求訴訟判決を受けた警察庁外事課における対応の反省事項と公安・外事部門の捜査における再発防止策について

[downloaded]

2025.08.10追記...

● 最高検察庁

・2025.08.07 [PDF] 噴霧乾燥器の輸出に係る外国為替及び外国貿易法違反等事件における捜査・公判上の問題点等について

・[downloaded]

・2025.08.07 [PDF]「噴霧乾燥器の輸出に係る外国為替及び外国貿易法違反等事件」に関する検証結果報告書の概要

・[downloaded]

2025.08.10 00:00 in フォレンジック, in 法律 / 犯罪 | Permalink | Comments (0)
Tweet

2025.08.09

英国司法分野におけるAI行動計画（2025.07.31）

こんにちは、丸山満彦です。

英国の司法省が司法分野におけるAI行動計画を公表しています。

司法サービス全体をより迅速に、より構成に、より利用しやすいように、AIを使って改革していこう！、でそのために私たちは何をする？という話なのですかね...

25年はQuick Winとテスト、26年にそれを踏まえて拡大、（スキャン、パイロット、スケール）という感じのようです...具体的にはインパクトの大きなユースケースに的を絞るようですが、

・テープ起こしなど、管理業務の負担削減（本来業務に時間を向ける）

・スケジューリング（刑務所の効率的運用）

・市民対応の司法アクセスの改善（コールセンターの改善）

・個人に合わせたトレーニング（職員、服役者に合わせたトレーニング）

・予測モデル、リスク評価モデルによる意思決定の支援（身柄拘束中の暴力リスクの予測）

などが例にあがっていますね...

日本の法務省でも参考になるかもしれませんね...もちろん、それ以外の省庁、民間企業でも考え方は参考になると思います。

● GOV.UK

・2025.07.31 AI action plan for justice

目次...

Contents	目次
Foreword by Lord Timpson	ティムソン卿によるまえがき
Executive summary	エグゼクティブサマリー
The opportunity	機会
Our AI Action Plan for Justice	司法分野における我々のAI行動計画
1.Strengthen our foundations	1.基盤の強化
2.Embed AI across the justice system	2.司法制度全体への AI の導入
3.Invest in our people and partners	3.人材とパートナーへの投資
Our roadmap for delivery	実現のための我々のロードマップ
Conclusion	結論

まえがき、エグゼクティブサマリーなど...

AI action plan for justice	司法分野におけるAI行動計画
Foreword by Lord Timpson	ティムソン卿によるまえがき
The Prime Minister, the Lord Chancellor, and I are committed to creating a more productive and agile state - one in which AI and technology drive better, faster, and more efficient public services.	首相、法務大臣、そして私は、より生産的で柔軟な国家の創造にコミットしている。その国家では、AIと技術がより良い、より速く、より効率的な公共サービスを実現する。
That is why I am delighted to introduce the AI Action Plan for Justice - a first-of-its-kind document outlining how we will harness the power of AI to transform the public’s experience, making their interactions with the justice system simpler, faster, and more tailored to their needs.	そのため、私は、AIの力を活用して国民の体験を変革し、司法システムとのやり取りをシンプルで迅速かつニーズに合ったものにするための、初の文書である「司法分野におけるAI行動計画」を発表できることを嬉しく思う。
This plan focuses on three priorities: strengthening our foundations, embedding AI across justice services, and investing in the people who will deliver this transformation. It aligns with the Prime Minister’s vision to build digital and AI capability across government and supports our departmental priority of delivering swift access to justice.	この計画は、基盤の強化、司法サービスへのAIの浸透、この変革を実現する人材への投資という3つの優先事項に焦点を当てている。これは、政府全体にデジタルおよび AI 能力を構築するという首相のビジョンと一致しており、司法への迅速なアクセスを実現するという当省の優先事項も支援するものです。
Since joining the Ministry of Justice (MOJ) in July 2024, I have seen real opportunities for AI to improve the working lives of our frontline staff and colleagues - and clear evidence of where it is already making a difference.	2024年7月に法務省（MOJ）に入省して以来、私は、AI が最前線で働くスタッフや同僚の業務改善に真の可能性を秘めていることを実感し、AI がすでに変化をもたらしている分野もはっきりと見てきました。
I am proud to represent a department that is fundamentally rethinking its use of technology to improve outcomes for the public and contribute to wider economic growth.	私は、国民のための成果の向上とより広範な経済成長に貢献するために、テクノロジーの利用を根本的に見直しているこの省を代表することを誇りに思う。
I will continue to champion our ambition for the MOJ to lead the way in responsible and impactful AI adoption across government.	私は、法務省が政府全体において、責任ある影響力のある AI の導入を先導するという目標を推進し続けていく。
This plan marks a crucial first step in delivering that ambition.	この計画は、その目標の実現に向けた重要な第一歩となる。
James Timpson	ジェームズ・ティンプソン
Minister for Prisons, Probation and Reducing Reoffending	刑務所・保護観察・再犯防止担当大臣
Lead Ministry of Justice (MOJ) Minister for AI	法務省（MOJ） AI 担当大臣
Executive summary	エグゼクティブサマリー
Artificial Intelligence (AI) has the potential to transform our justice system in England & Wales and deliver our ministerial priorities. AI shows great potential to help deliver swifter, fairer, and more accessible justice for all - reducing court backlogs, increasing prison capacity and improving rehabilitation outcomes as well as victim services. But this opportunity must be seized responsibly, ensuring that public trust, human rights, and the rule of law remain central and AI risks are carefully managed.	人工知能（AI）は、イングランドおよびウェールズの司法制度を変革し、当省の優先課題を実現する可能性を秘めている。AI は、裁判の滞積の解消、刑務所の収容能力の増強、更生成果の向上、被害者支援サービスの改善など、すべての人々に、より迅速、より公平、よりアクセスしやすい司法を提供するために大きな可能性を秘めている。しかし、この機会は、国民の信頼、人権、法の支配を依然として中心とし、AI のリスクを慎重に管理しながら、責任を持って活用しなければならない。
This AI Action Plan for Justice sets out the Ministry of Justice’s approach to responsible and proportionate AI adoption across courts, tribunals, prisons, probation and supporting services (referred to here as the justice system). It has been developed in consultation with the independent judiciary and legal services regulators and we will implement it in collaboration with our wider justice sector partners such as the Home Office, the Crown Prosecution Service and our trade unions. It complements wider government efforts to safely modernise public services and builds on the UK’s global strengths in legal services, data science, and AI innovation.	この「司法分野の AI 行動計画」は、裁判所、審判所、刑務所、保護観察、支援サービス（以下、「司法制度」という）全体における、責任ある、均衡のとれた AI の導入に関する司法省の取り組みを定めたものです。この行動計画は、独立した司法機関および法務サービス規制当局と協議して策定され、内務省、検察庁、労働組合など、司法分野における幅広いパートナーと協力して実施されます。この行動計画は、公共サービスを安全に近代化するための政府全体の取り組みを補完するものであり、法律サービス、データサイエンス、AI イノベーションにおける英国のグローバルな強みを活かしたものとなっている。
We will focus on three strategic priorities:	私たちは、3 つの戦略的優先事項に焦点を当てる。
1. Strengthen our foundations	1. 基盤の強化
We will enhance AI leadership, governance, ethics, data, digital infrastructure and commercial frameworks. A dedicated Justice AI Unit led by our Chief AI Officer will coordinate the delivery of the Plan, with critical input from our Data Science, Digital and Transformation teams. A cross-departmental AI Steering Group provides oversight and an AI and Data Ethics Framework, and communications plan will promote transparency and engagement.	AI のリーダーシップ、ガバナンス、倫理、データ、デジタルインフラ、および商業的枠組みを強化する。最高 AI 責任者が率いる司法 AI 専門部門が、データサイエンス、デジタル、および変革チームからの重要な意見を取り入れながら、この計画の実行を調整する。部門横断的な AI 運営委員会が監督を行い、AI およびデータ倫理の枠組みとコミュニケーション計画により、透明性と関与を促進する。
2. Embed AI across the justice system	2. 司法制度全体に AI を組み込む
We will deliver more effective services across citizen-facing, operational and enabling functions alike. By applying a “Scan, Pilot, Scale” approach, we will target high-impact use cases. These include:	市民対応、業務、支援の各機能において、より効果的なサービスを提供します。「スキャン、パイロット、スケール」というアプローチを採用し、影響力の大きいユースケースをターゲットにします。その例としては、以下のものが挙げられる。
・Reducing administrative burden with secure AI productivity tools including search, speech and document processing (e.g. transcription tools that allow probation officers to focus on higher-value work).	・検索、音声、文書処理などの安全な AI 生産性ツールにより、事務負担を軽減する（例えば、保護観察官がより価値の高い業務に集中できる文字起こしツール）。
・Increasing capacity through better scheduling (e.g. prison capacity).	・より適切なスケジュール設定によるキャパシティの増強（刑務所の収容能力など）。
・Improving access to justice with citizen-facing assistants (e.g. enhancing case handling and service delivery in our call centres).	・市民対応アシスタントによる司法へのアクセス改善（コールセンターでの案件処理およびサービス提供の強化など）。
・Enabling personalised education and rehabilitation (e.g. tailored training for our workforce and offenders).	・個別化された教育および更生支援（職員および犯罪者に対する個別化された研修など）。
・Supporting better decisions through predictive and risk-assessment models (e.g. predicting the risk of violence in custody).	・予測およびリスクアセスメントモデルによる意思決定の支援（拘置中の暴力リスクの予測など）。
3. Invest in our people and partners	3. 人材とパートナーへの投資
We will invest in talent, training and proactive workforce planning to accelerate AI adoption and transform how we work. We will also strengthen our partnerships with legal service providers and regulators to support AI-driven legal innovation and with our criminal justice partners on our collective response to AI-enabled criminality.	AI の導入を加速し、働き方を変革するために、人材、研修、および積極的な人材計画に投資する。また、AI による法的イノベーションを支援するため、法的サービスプロバイダや規制当局とのパートナーシップを強化するとともに、AI を活用した犯罪への対応について、刑事司法のパートナーと協力する。
We are ready to deliver. AI rollout is already underway with encouraging early results. Initial funding is secured, with additional backing anticipated as we demonstrate impact. As AI technologies mature, we will refine our approach and plan based on real-world outcomes, evaluation, and feedback from staff, trade unions, partners, and the public. We are committed to acting boldly, learning rapidly, and ensuring AI adoption delivers real improvements. Together, these priorities will ensure AI is embedded in our services and transformation programmes, supported by the right foundations, and driven by a productive and agile workforce.	私たちは実行に移す準備が整っている。AI の導入はすでに進んでおり、初期段階では有望な成果が挙げられている。初期資金は確保されており、その効果が見込めるようになれば、追加の支援も期待されている。AI テクノロジーが成熟するにつれて、現実の世界での成果、評価、およびスタッフ、労働組合、パートナー、一般市民からのフィードバックに基づいて、アプローチと計画を改良していく。私たちは、大胆に行動し、迅速に学び、AI の導入によって真の改善が確実に実現するよう努める。これらの優先事項が一体となって、AI が適切な基盤に支えられ、生産的で機敏な労働力によって推進され、当社のサービスおよび変革プログラムに確実に組み込まれるようになる。

Image description: the image summarises the AI Action Plan for Justice, setting out the goal, benefits, three strategic priorities, cross-cutting principles and core AI products.	画像説明：この画像は、AI 司法行動計画の目標、メリット、3 つの戦略的優先事項、横断的な原則、およびコア AI 製品をまとめたものである。
The opportunity	機会
AI holds tremendous promise for addressing longstanding challenges in the justice system. Despite being a cornerstone of democracy, the English & Welsh justice system faces mounting pressure from limited access to legal services, courts struggling with high caseloads, and persistent issues in our prisons. AI’s capacity to learn from data, handle complexity, scale effortlessly, and converse naturally presents an unprecedented opportunity to enhance human judgement and tackle these deep-rooted challenges. Through the thoughtful integration of AI solutions, we have the potential to:	AI は、司法制度が長年抱える課題の解決に大きな可能性を秘めています。民主主義の基盤であるにもかかわらず、イングランドおよびウェールズの司法制度は、法的サービスへのアクセス制限、裁判所の案件過多、刑務所における根深い問題など、さまざまな課題に直面しています。AI は、データから学習し、複雑さを処理し、容易に拡張し、自然に会話する能力により、人間の判断力を強化し、これらの根深い課題に取り組むための前例のない機会を提供しています。AI ソリューションを慎重に統合することで、以下のことが可能になる。
1. Free up professional time by automating routine tasks and paperwork, allowing staff to focus on meaningful interactions and deliver justice with greater empathy and care.	1. 日常的な業務や事務処理を自動化することで、専門家の時間を解放し、スタッフが有意義な対話に集中し、より共感と配慮のある司法を実現する。
2. Increase system capacity through smarter scheduling of people, spaces, and resources to support prison capacity planning and court backlog reduction.	2. 人、スペース、リソースのスマートなスケジュール管理によりシステム容量を拡大し、刑務所の収容能力計画や裁判所の案件遅延削減を支援する。
3. Enable a more personalised and preventative justice system by supporting tailored rehabilitation plans or personalising victim services.	3. 個別化された更生計画の支援や被害者サービスの個人化を通じて、より個人に寄り添った予防的な司法システムを実現する。
4. Enable more equitable legal pathways through citizen-facing AI tools that help people navigate legal processes, resolve disputes without going to court or tribunal, or claim compensation for criminal injuries.	4. 市民向けのAIツールを通じて、法的手続きのナビゲーション、裁判や裁定機関への出頭なしでの紛争解決、犯罪被害者への補償請求を支援し、より公平な法的手段を提供可能にする。
5. Improve decision making with advanced predictive tools for risk assessments, case prioritisation, and operational planning to protect the public.	5. リスクアセスメント、案件の優先順位付け、業務計画のための高度な予測ツールを用いて意思決定を改善し、国民を保護する。
6. Support economic growth by supporting the UK’s world-leading legal and LawTech sectors and creating high-value, future-ready jobs.	6. 英国が世界トップレベルの法曹界および法律テクノロジー分野を支援し、高付加価値で将来性のある雇用を創出することで、経済成長を支援する。
7. Build system resilience by helping justice agencies, regulators and wider stakeholders respond to emerging threats such as AI-enabled criminality.	7. 司法機関、規制当局、およびより幅広いステークホルダーが、AI を活用した犯罪などの新たな脅威に対応できるよう支援し、システムのレジリエンスを構築する。
We envision a justice system that personalises citizen engagement, equips humans to make timely, well-informed decisions for each individual, streamlines operations to match demand, and supports a workforce engaged in meaningful work. It requires strong principles and proactive risk management in relation to ethics, data and model quality, security, privacy, supplier oversight and unforeseen operational impact, but done well, AI has transformative potential for the sector.	私たちは、市民の参加を個別化し、人間が各個人に対してタイムリーで十分な情報に基づいた意思決定を行えるよう支援し、需要に合わせて業務を効率化し、有意義な仕事に従事する労働力を支援する司法制度を構想している。そのためには、倫理、データおよびモデルの品質、セキュリティ、プライバシー、サプライヤーの監督、予期せぬ業務への影響に関して、強固な原則と積極的なリスクマネジメントが必要だが、うまく実行すれば、AI はこの分野に変革をもたらす可能性を秘めている。
The Ministry of Justice (MOJ) is particularly well-placed to lead this transformation, with promising building blocks for success already in place:	法務省（MOJ）は、この変革をリードする上で特に有利な立場にあり、成功のための有望な基盤がすでに整っている。
・Maturing data capabilities: Our data teams have advanced significantly, delivering open-source tools like Splink and launching programmes such as BOLD and Data First, which link cross-government data to provide a fuller picture of individual journeys and richer sources for AI use.	・成熟したデータ能力：当社のデータチームは、Splink などのオープンソースツールを提供し、政府全体のデータを連携させて個人の移動履歴の全体像を把握し、AI 活用のためのより豊富な情報源を提供する BOLD や Data First などのプログラムを開始するなど、大きな進歩を遂げている。
・A thriving legal services sector: The UK is home to Europe’s largest legal services market, with 44% of Europe’s LawTech startups and a £37 billion contribution to the economy. This provides an opportunity to position us as a leader in AI-driven legal innovation.	・繁栄する法律サービス部門：英国は、ヨーロッパ最大の法律サービス市場であり、ヨーロッパの LawTech スタートアップ企業の 44% が拠点を置き、経済に 370 億ポンドの貢献をしている。これは、AI による法律のイノベーションのリーダーとしての地位を確立するチャンスである。
・A forward-thinking legal framework: The Online Procedure Rule Committee (OPRC), the MOJ and the judiciary are working to improve access to justice for all by harnessing the power of modern digital technology, such as AI, in the pre-action space, across the civil, family and tribunal jurisdictions.	・先進的な法的枠組み：オンライン手続き規則委員会（OPRC）、法務省、司法は、民事、家族、裁判所管轄の訴訟前段階において、AI などの最新のデジタル技術の力を活用し、すべての人の司法へのアクセスを改善するために取り組んでいる。
・Access to world-leading AI expertise: World-class AI organisations operate in the UK, including Google DeepMind, OpenAI, Anthropic, Microsoft, Scale AI and Meta AI, supported by a growing ecosystem of AI and legal technology companies. This allows the MOJ to collaborate with top-tier experts and resources to drive forward sector growth.	・世界トップクラスのAI専門知識へのアクセス：イギリスには、Google DeepMind、OpenAI、Anthropic、Microsoft、Scale AI、Meta AIなど、世界有数のAI企業が拠点を置き、AIと法技術企業からなる拡大するエコシステムによって支えられています。これにより、法務省はトップクラスの専門家とリソースと連携し、業界の成長を推進することができます。
Our AI Action Plan for Justice	司法分野における我々のAI 行動計画
To fully realise AI’s potential, this plan is structured around three strategic priorities, which we aim to deliver over a 3-year period subject to funding:	AI の可能性を最大限に発揮するため、この計画は 3 つの戦略的優先事項を中心に構成されており、資金調達次第では 3 年間で達成することを目指している。
1. Strengthen our foundations: We will strengthen AI leadership, governance & ethics, data & digital infrastructure and procurement to support AI adoption and proactively manage risks.	1. 基盤の強化：AI の導入を支援し、リスクを積極的に管理するために、AI のリーダーシップ、ガバナンスと倫理、データとデジタルインフラ、調達を強化する。
2. Embed AI across the justice system: We will apply AI to deliver our priority outcomes: protect the public, reduce reoffending, deliver swift access to justice and provide efficient enabling functions through a clear “Scan, Pilot, Scale” approach.	2. 司法制度全体に AI を組み込む：優先課題である、国民の保護、再犯の削減、司法への迅速なアクセス、および明確な「スキャン、パイロット、スケール」アプローチによる効率的な機能の提供を実現するために、AI を活用する。
3. Invest in our people and partners: We will invest in talent, training and workforce planning to accelerate AI adoption and transform how we work. We also plan to strengthen our partnerships to support AI-driven legal innovation, economic growth and our collective response to AI-enabled crime.	3. 人材とパートナーへの投資：AI の導入を加速し、働き方を変革するために、人材、研修、および人材計画に投資する。また、AI による法的イノベーション、経済成長、および AI を活用した犯罪に対する集団的対応を支援するために、パートナーシップの強化も計画している。
Across these priorities, we will align to cross-cutting principles:	これらの優先事項全体を通じて、私たちは、以下の横断的な原則に沿って行動する。
・Put safety and fairness first: AI in justice must work within the law, protect individual rights, and maintain public trust. This requires rigorous testing, clear accountability, and careful oversight, especially where decisions affect liberty, safety, or individual rights.	・安全と公平性を最優先する：司法における AI は、法律の範囲内で機能し、個人の権利を保護し、国民の信頼を維持しなければならない。そのためには、特に自由、安全、または個人の権利に影響を与える決定については、厳格なテスト、明確な説明責任、および慎重な監督が必要だ。
・Protect independence: AI should support, not substitute, human judgment. We will preserve the independence of judges, prosecutors, and oversight bodies, ensuring AI works within the law and reinforces public confidence.	・独立性の防御：AI は人間の判断を代替するものではなく、支援するものです。私たちは、裁判官、検察官、監督団体の独立性を維持し、AI が法律の範囲内で機能し、国民の信頼を強化するよう努めます。
・Start with the people who use the system: We will design AI tools around the needs of users, e.g. victims, offenders, staff, judges and citizens. That means solving real problems, co-developing solutions with users, and localising services to reflect the diverse realities of justice.	・システムを利用する人々から始める：私たちは、被害者、加害者、職員、裁判官、市民など、ユーザーのニーズを中心にAIツールを設計する。これは、現実の問題を解決し、ユーザーと共同で解決策を開発し、司法の多様な現実を反映したサービスを地域に適合させることを意味する。
・Build or buy once, use many times: Build common solutions that can be used across the system where possible, reducing cost and duplicated effort.	・一度構築または購入し、繰り返し使用する：可能な限りシステム全体で利用できる共通のソリューションを構築し、コストと重複した努力を削減する。
This Action Plan builds on the excellent work produced by government teams and partners in recent years. It complements and aligns with:	この行動計画は、政府チームやパートナーが近年行ってきた優れた成果に基づいています。以下の内容と補完し、整合しています。
・The AI Opportunities Action Plan and the government response to it which lay out a pro-innovation and pro-safety roadmap for AI across government.	・AI 機会行動計画およびそれに対する政府の対応。これは、政府全体の AI に関するイノベーションと安全を推進するロードマップを定めたものである。
・The AI Playbook (previously Generative AI Framework for Government) and existing guidelines on safe, responsible AI use in the public sector.	・AI プレイブック（旧「政府向け生成的 AI 枠組み」）および公共部門における安全で責任ある AI の利用に関する既存のガイドライン。
・The State of Digital Government Review and Blueprint for Digital Government, which acknowledge the technological and cultural foundations needed to modernise public services.	・公共サービスの近代化に必要な技術的および文化的基盤を認識した「デジタル政府レビュー」および「デジタル政府青写真」。
・Collaborations led by Incubator for Artificial Intelligence, 10DS (Number 10 Data Science), GDS, AI Security Institute, Sovereign AI Unit and other specialist teams exploring AI applications for public good.	・人工知能インキュベーター、10DS（ナンバー 10 データサイエンス）、GDS、AI セキュリティ研究所、ソブリン AI ユニット、および公共の利益のための AI アプリケーションを研究するその他の専門家チームによる協力。
It is important to define what we mean by AI to ensure a shared understanding of its role. Throughout this Action Plan, “AI” is used as an umbrella term for tools including machine-learning, large-language models and emerging agentic capabilities; tools that enable machines to process data, make inferences, learn and provide recommendations traditionally requiring human intelligence.	AI の役割について共通の理解を確保するためには、AI の意味を定義することが重要だ。この行動計画では、「AI」は、機械学習、大規模言語モデル、新興のエージェント機能など、従来は人間の知能を必要としていたデータの処理、推論、学習、推奨事項の提供を可能にするツールを総称する用語として使用している。

このブログでも紹介していますが...

AI機会行動計画とそれに対する政府の対応

・2025.01.13 [PDF] AI Opportunities Action Plan

・2025.01.13 AI Opportunities Action Plan: government response

AIプレイブック

・2025.02 [PDF] AI Playbook

デジタル政府レビュー宣言

・2025.01.21 State of digital government review

デジタル政府のための青写真

・2025.01 21 Blueprint for Digital Government

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.01.26 英国 AI機会行動計画 (2025.01.13)

2025.08.09 00:00 in 個人情報保護 / プライバシー, in 法律 / 犯罪, in 内部統制 / リスクマネジメント, in AI/Deep Learning | Permalink | Comments (0)
Tweet

2025.08.08

OXFORD JOURNAL of Cybersecurity 国際法におけるディープフェイク規制の必要性の高まり：ロシア・ウクライナ戦争を例に

こんにちは、丸山満彦です。

生成的AIの登場とともに、生成的AI作のディープフェイク脅威論が生じましたが、、、まぁ、認知戦において生成的AIは便利な道具として利用されていくだろうと思います。

で、この論文。AI技術によって生成されるディープフェイクが、戦時・平時の両方でどのような影響を及ぼすのか、ロシア・ウクライナ紛争における事例を通じて分析していますね...

この論文では、既存の法規制（刑事罰、透明性義務など）は、ディープフェイクの規制には不十分であり、かえって個人の権利や自由を侵害する可能性があるとしていますね...

そのため、ディープフェイクを効果的に規制するためには、個人の「認知の自由 (cognitive liberty)」を保護する国際的な権利を確立すべきだといっていますね...

なお、規制については、米国、中国、英国、EUについて分析していますね...

米国は犯罪防止、選挙への関与についての警戒がありますね...

中国はこのブログでも紹介していますが、AIを使って画像、音声等を作成する際に、そうわかるように印をいれるという規制をしていますね...

英国は、オンラインセーフティ法による児童保護の観点からの説明がありますね...

欧州は、拡散に注目しているのかもしれません。デジタルサービス法による規制です。そしてAI法による透明性の確保...

いずれも現在の規制では限界があるという感じですね...

興味深いので読んでみてくださいませ...

日本では早くから総務省がディープフェイクについては検討していますよね...

● 総務省 - インターネット上のフェイクニュースや偽情報への対策

● OXFORD - JOURNAL of Cybersecurity - Volume 11, Issue 1 2025

・Emerging need to regulate deepfakes in international law: the Russo–Ukrainian war as an example

目次...

Abstract	概要
Introduction	序論
Deepfakes as information operations	情報操作としてのディープフェイク
Deepfakes in the Russo–Ukrainian war	露・ウクライナ戦争におけるディープフェイク
Regulating deepfakes	ディープフェイクの規制
Discussion: protection through cognitive liberty	議論：認知的自由による防御
Conclusion	結論

概要...

Abstract

概要

Deepfakes are an increasingly recognized potent mean of disinformation, both in times of conflict and peace. This article examines their impact within the context of Russo–Ukrainian war and applicable legal frameworks. Given the profound societal and individual harms that deepfakes have the potential to cause, more thorough than traditional means of propaganda, we evaluate existing legal norms and propose new regulatory solutions centered on protecting cognitive liberty of individuals. Using various legal methodologies and purposive and extending legal interpretation, we argue that existing regulatory approaches—such as criminalization, transparency mandates, and obligations on service providers—are insufficient and under some circumstances may encroach upon other fundamental rights and freedoms. Therefore, we advocate for future efforts to regulate deepfakes through the establishment of an international or regional right to cognitive liberty, acknowledging the challenges in achieving consensus amid current geopolitical tensions. Our study aligns with the scope of Journal of Cybersecurity as it addresses emerging technical challenges from a multidisciplinary perspective, with a primary focus on the legal aspects of information security. It also briefly touches upon strategic, international relations, and policy perspectives.

ディープフェイクは、紛争時においても平和時においても、偽情報の有力な手段として認識されつつある。本稿では、露・ウクライナ戦争の文脈と適用可能な法的枠組みの中で、ディープフェイクの影響を検証する。ディープフェイクが伝統的なプロパガンダ手段よりも深刻な社会的・個人的被害をもたらす可能性があることを踏まえ、既存の法的規範を評価し、個人の認知的自由の保護を中心とした新たな規制的解決策を提案する。様々な法的方法論と合目的的かつ拡張的な法解釈を用いて、犯罪化、透明性の義務付け、サービスプロバイダーに対する義務といった既存の規制的アプローチは不十分であり、状況によっては他の基本的権利や自由を侵害する可能性があると主張する。したがって、現在の地政学的緊張の中でコンセンサスを得ることの難しさを認識しつつ、認知的自由に対する国際的または地域的な権利の確立を通じてディープフェイクを規制する今後の取り組みを提唱する。本研究は、情報セキュリティの法的側面に主眼を置きつつ、学際的な視点から新たな技術的課題に取り組むものであり、Journal of Cybersecurityのスコープに沿ったものである。また、戦略、国際関係、政策の観点についても簡単に触れている。

2025.08.08 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 監査 / 認証, in AI/Deep Learning, in 安全保障 | Permalink | Comments (0)
Tweet

米国 NIST SP 1800-43（初期公開ドラフト）ゲノムのプライバシー脅威モデル

こんにちは、丸山満彦です。

ゲノムデータのプライバシー脅威モデリングについて、

・A編：エグゼクティブサマリー

・C編：プライバシー

についての公開草案が公表され、意見募集が行われていますね。

・B編は、すでにCSWP 35として意見募集されている「ゲノムデータシーケンスおよび分析のための脅威モデル実装例」になるようですね。。。

● NIST - ITL

プレス...

・2025.08.05 NIST Draft Special Publication (SP) 1800-43, Genomic Data Threat Modeling. Volumes A (Executive Summary) and C (Privacy) are Available for Public Comment

NIST Draft Special Publication (SP) 1800-43, Genomic Data Threat Modeling. Volumes A (Executive Summary) and C (Privacy) are Available for Public Comment	NIST特別刊行物（SP）1800-43ドラフト、ゲノムデータ脅威モデリング。A巻（エグゼクティブサマリー）とC巻（プライバシー）はパブリックコメント募集中。
The NIST National Cybersecurity Center of Excellence (NCCoE) has just published draft Volumes A and C of NIST Special Publication (SP) 1800-43, Genomic Data Threat Modeling. Volumes A (Executive Summary) and C (Privacy) are open for public comment through September 4, 2025.	NIST国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）は、NIST特別刊行物（SP）1800-43「ゲノムデータ脅威モデリング」のドラフトA巻とC巻を公表した。A編（エグゼクティブサマリー）とC編（プライバシー）は2025年9月4日までパブリックコメントを受け付けている。
Cybersecurity and privacy attacks pose significant challenges to genomic data processing environments due to the potentially sensitive and highly personal nature of genomic information. Unauthorized access, data breaches, or malicious tampering can derail business operations, compromise patient privacy, and erode trust. This NIST publication series describes a threat modeling approach that includes a methodological analysis of cybersecurity and privacy risks to system components and data transfers on representative genomic data workflows.	サイバーセキュリティとプライバシー攻撃は、ゲノム情報の潜在的な機密性と高度に個人的な性質のために、ゲノムデータの処理環境に重大な課題をもたらす。不正アクセス、データ侵害、または悪意のある改ざんは、業務運営を狂わせ、患者のプライバシーを損ない、信頼を損なう可能性がある。この NIST 出版物シリーズでは、代表的なゲノムデータワークフローにおけるシステムコンポーネント及びデータ転送に対するサイバーセキュリティ及びプライバシーリスクの方法論的分析を含む脅威モデリングアプローチについて説明する。
Note: The Cybersecurity Threat Modeling for Genomic Data, previously released for public comment as a NIST Cybersecurity White Paper (CSWP) 35, will be published as Volume B of this special publication when finalized later this year.	注：「ゲノムデータのサイバーセキュリティ脅威モデリング」は、NISTサイバーセキュリティ白書（CSWP）35としてパブリックコメント用に発表されたものであるが、本年末に最終版が発行される際には、本特別刊行物の第B巻として発行される予定である。

文書...

・2025.08.05 NIST SP 1800-43 (Initial Public Draft) Genomics Privacy Threat Modeling

NIST SP 1800-43 (Initial Public Draft) Genomics Privacy Threat Modeling	NIST SP 1800-43（初期公開ドラフト）ゲノムのプライバシー脅威モデル
Announcement	発表
The NIST National Cybersecurity Center of Excellence (NCCoE) has just published draft Volumes A and C of NIST Special Publication (SP) 1800-43, Genomic Data Threat Modeling. Volumes A (Executive Summary) and C (Privacy) are open for public comment through September 4, 2025.	NIST国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）は、NIST特別刊行物（SP）1800-43「ゲノムのプライバシー脅威モデリング」のドラフトA巻とC巻を公表した。A編（エグゼクティブサマリー）とC編（プライバシー）は、2025年9月4日までパブリックコメントを受け付けている。
Cybersecurity and privacy attacks pose significant challenges to genomic data processing environments due to the potentially sensitive and highly personal nature of genomic information. Unauthorized access, data breaches, or malicious tampering can derail business operations, compromise patient privacy, and erode trust. This NIST publication series describes a threat modeling approach that includes a methodological analysis of cybersecurity and privacy risks to system components and data transfers on representative genomic data workflows.	サイバーセキュリティとプライバシー攻撃は、ゲノムデータの潜在的な機密性と高度に個人的な性質のために、ゲノムデータの処理環境に重大な課題をもたらす。不正アクセス、データ侵害、または悪意のある改ざんは、業務運営を狂わせ、患者のプライバシーを損ない、信頼を損なう可能性がある。この NIST 出版物シリーズでは、代表的なゲノムデータワークフローにおけるシステムコンポーネント及びデータ転送に対するサイバーセキュリティ及びプライバシーリスクの方法論的分析を含む脅威モデリングアプローチについて説明する。
Note: The Cybersecurity Threat Modeling for Genomic Data, previously released for public comment as a NIST Cybersecurity White Paper (CSWP) 35, will be published as Volume B of this special publication when finalized later this year.	注：「ゲノムデータのサイバーセキュリティ脅威モデリング」は、NISTサイバーセキュリティ白書（CSWP）35としてパブリックコメント用に発表されたものであるが、本年後半に最終版が発行される際には、本特別刊行物の第B巻として発行される予定である。
Abstract	要旨
This paper provides an example of how to conduct genomic data threat modeling for privacy on a data processing environment, including documenting the architecture, identifying threats, applying sample interventions, and iterating the process as needed. The paper complements the earlier NIST CSWP 35, Cybersecurity Threat Modeling the Genomic Data Sequencing Workflow.	本書は、データ・処理環境におけるプライバシーのためのゲノムデータ脅威モデリング（アーキテクチャの文書化、脅威の識別、介入サンプルの適用、および必要に応じてプロセスの反復を含む）の実施方法の例を示す。この論文は、先のNIST CSWP 35「ゲノムデータシーケンスワークフローのサイバーセキュリティ脅威モデリング」を補完するものである。

・ 1800-43A IPD

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
Genomic data is a digital representation of the DNA in a biological sample. DNA encodes hereditary information for cells to function, but this same information poses cybersecurity and privacy challenges as it can reveal potentially sensitive details about an individual’s kinship, traits, and health status. Genome sequencing refers to the laboratory process of converting a physical sample to digital format using purpose-built equipment. The data output for common sequencing experiments ranges from multiple gigabytes to terabytes, which is then analyzed for research or in clinical diagnostics. Genomic data processing systems can include proprietary sequencing equipment or utilization of genome sequencing service providers followed by genomic analysis computations occurring on premise or in a cloud environment. Given the varied landscape of genome data processing systems, this Special Publication (SP) 1800-series from the National Institute of Standards and Technology (NIST) National Cybersecurity Center of Excellence (NCCoE) describes a threat modeling exercise—methodical analysis of cybersecurity and privacy risks to system components and data transfers across a product or environment lifecycle—on an example genomic data workflow.	ゲノム・データとは、生体サンプル中のDNAをデジタル化したものである。DNAは細胞が機能するための遺伝情報をコード化しますが、この同じ情報は、個人の血縁関係、形質、健康状態に関する潜在的にセンシティブな詳細を明らかにする可能性があるため、サイバーセキュリティとプライバシーに関する課題を提起します。ゲノムシーケンスとは、専用の装置を用いて物理的なサンプルをデジタル形式に変換する実験室のプロセスを指す。一般的なシーケンス実験で出力されるデータは、数ギガバイトからテラバイトに及び、その後、研究用または臨床診断用に解析される。ゲノムデータ処理システムには、独自のシーケンシング機器やゲノムシーケンシング・サービス・プロバイダの利用があり、その後にゲノム解析の計算がオンプレミスまたはクラウド環境で行われる。国立標準技術研究所（NIST）の国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）のこの特別刊行物（SP）1800 シリーズでは、ゲノム・データ処理システムの多様な状況を踏まえ、脅威モデリング演習（製品や環境のライフサイクル全体にわたるシステム機構やデータ転送に対するサイバーセキュリティ・リスクとプライバシー・リスクの方法論的分析）について、ゲノム・データのワークフロー例を用いて説明している。
CHALLENGE	課題
From a cybersecurity perspective, the size and compute requirements for genomic data analysis make it difficult to ensure the confidentially, integrity, and availability of computing environments. Regarding privacy engineering, since genomic data represents immutable personal information, designing and maintaining data processing systems with the objectives of predictability, manageability, and disassociability is complex. These challenges are compounded by the involvement of multiple stakeholders which can include researchers, healthcare providers, and third-party vendors.	サイバーセキュリティの観点からは、ゲノムデータ解析の規模と計算要件により、コンピューティング環境の機密性、完全性、可用性を確保することが困難である。プライバシー・エンジニアリングの観点からは、ゲノムデータは不変の個人情報であるため、予測可能性、管理可能性、分離可能性を目的としたデータ処理システムの設計と維持は複雑である。このような課題は、研究者、医療プロバイダ、サードパーティベンダーなど、複数の利害関係者が関与することでさらに複雑化する。
This SP 1800-series can help your organization:	この SP 1800 シリーズは、以下の項目についてあなたの組織を支援する：
・Understand how to conduct threat modeling for cybersecurity and privacy	・サイバーセキュリティとプライバシーのための脅威モデリングの実施方法を理解する。
・Establish a cybersecurity and privacy baseline by leveraging the methodology and dataflows described in this guide	・このガイドに記載されている方法論とデータフローを活用して、サイバーセキュリティとプライバシーのベースラインを確立する。
・Identify and mitigate threats with security controls and privacy safeguards	・セキュリティ制御とプライバシー保護措置による脅威の識別と緩和
SOLUTION	解決策
To gain insights into actual processes and system designs, the NCCoE collaborated with stakeholders to solution illustrate how to perform threat modeling in a real-world genomic data processing scenario. The project used a multi-step approach to analyze system components and dataflows for possible threats, then map threats to taxonomies of tactics, techniques, and procedures. Privacy threat modeling analyses utilized the NIST Privacy Risk Assessment Methodology (PRAM) as well as LINDUNN. For cybersecurity threat modeling, the STRIDE technique identified threats to components and dataflows. These analysis findings were mapped to known taxonomies for cybersecurity and privacy resulting in a structured view of threats along with possible mitigations.	実際のプロセスとシステム設計に関する洞察を得るために、NCCoE は利害関係者と協力し、実世界のゲノムデータ処理シナリオにおける脅威モデリングの実行方法をソリューションで説明した。このプロジェクトでは、可能性のある脅威についてシステムコンポーネントとデータフローを分析し、脅威を戦術、技術、手順の分類にマッピングする多段階アプローチを使用した。プライバシーの脅威モデリング分析では、LINDUNN と同様に NIST のプライバシー・リスクアセスメント手法（PRAM）を利用した。サイバーセキュリティの脅威モデリングでは、STRIDE手法によりコンポーネントとデータフローに対する脅威を識別した。これらの分析結果は、サイバーセキュリティとプライバシーの既知の分類法にマッピングされ、可能な緩和策とともに脅威の構造化されたビューが得られた。
The approaches used in the solution support security and privacy standards and guidelines such as the NIST PRAM, NIST Privacy Framework, and NIST SP 800-53r5. This SP 1800-series uses technology and security capabilities (shown below) from our project partners.	このソリューションで使用されているアプローチは、NIST PRAM、NIST Privacy Framework、NIST SP 800-53r5などのセキュリティとプライバシーの標準とガイドラインをサポートしている。この SP 1800 シリーズは、プロジェクト・パートナーの技術とセキュリティ機能（以下に示す）を使用している。

・ 1800-43C IPD

目次と図表一覧

Summary	概要
1 Introduction to the Guide	1 ガイドの序論
1.1 Audience and Purpose	1.1 聴衆と目的
1.2 Scope and Use Cases	1.2 適用範囲と使用例
1.3 Genomic Data Characteristics	1.3 ゲノムデータの特徴
1.4 Privacy Landscape	1.4 プライバシーの状況
1.5 Risk Modeling	1.5 リスクのモデル化
1.6 Threat Modeling	1.6 脅威モデリング
2 Genomic Data Threat Modeling Example	2 ゲノムデータ脅威モデリングの例
2.1 Question 1: “What are we working on?”	2.1 質問1：「我々は何に取り組んでいるのか？」
2.1.1 Context	2.1.1 コンテクスト
2.1.2 Environmental Context	2.1.2 環境のコンテキスト
2.1.3 System Context	2.1.3 システムのコンテキスト
2.1.4 Operational Description	2.1.4 運営上の説明
2.2 Question 2: “What could go wrong?”	2.2 質問2：「何がうまくいかないのか？」
2.2.1 LINDDUN Analysis	2.2.1 LINDDUN分析
2.2.2 PANOPTIC Analysis	2.2.2 PANOPTIC分析
2.2.3 Threat Validation	2.2.3 脅威の妥当性確認
2.3 Question 3: “What are we going to do about it?”	2.3 質問3：「それに対してどうするか？」
2.3.1 Threat Prioritization	2.3.1 脅威の優先順位付け
2.3.2 Response Determination	2.3.2 対応の決定
2.4 Question 4: “Did we do a good job?”	2.4 質問4：「我々は良い仕事をしたか？」
2.4.1 Did We Do a Good Job Documenting the System and Its Data Actions?	2.4.1 システムとそのデータ・アクションの文書化はうまくできたか？
2.4.2 Did We Do a Good Job Identifying and Documenting Threats?	2.4.2 我々は脅威の識別と文書化を適切に行ったか？
2.4.3 Did We Do a Good Job Responding to the Threats?	2.4.3 脅威への対応は適切だったか？
2.4.4 Additional Activities	2.4.4 その他の活動
3 Conclusion	3 まとめ
Appendix	附属書
Appendix A List of Acronyms	附属書A 略語リスト
Appendix B References	附属書B 附属書
Appendix C Threat Modeling Approach	附属書C 脅威モデリングのアプローチ
Appendix D Methodology Overview	附属書D 方法論の概要
Appendix E System Description	附属書E システムの説明
Appendix F Dataflow Analysis	附属書F データフロー分析
Appendix G Threat Validation and Prioritization	附属書G 脅威の妥当性確認と優先順位付け
List of Figures	図一覧
Figure 1. Genomic Data Sequencing Workflow	図1. ゲノムデータのシーケンスワークフロー
Figure 2. Genomic Data Relationships	図2. ゲノムデータの関係
Figure 3. Overview of the NIST PRAM	図3. NIST PRAMの概要
Figure 4. Core Example Dataflow Diagram	図4. コア例のデータフロー図
List of Tables	表一覧
Table 1. PRAM Worksheet 1, Framing Business Objectives & Organizational Privacy Governance: Task 1 Questions and Responses	表1. PRAMワークシート1「ビジネス目標の策定と組織のプライバシー・ガバナンス」：タスク1の質問と回答
Table 2. PRAM Worksheet 1, Framing Business Objectives & Organizational Privacy Governance: Task 2 Questions and Responses	表2. PRAM ワークシート 1、事業目標と組織のプライバシーガバナンスの策定：タスク 2 の質問と回答
Table 3. PRAM Worksheet 2, Assessing System Design: Organizational Contextual Factors	表3. PRAMワークシート2「システム設計のアセスメント」：組織の状況要因
Table 4. Worksheet 2, Assessing System Design: Contextual Factors for Individuals	表4. ワークシート2「システム設計のアセスメント」：個人の文脈的要因
Table 5. PRAM Worksheet 2, Assessing System Design: System Privacy Capabilities for Clinical Use Case	表5. PRAMワークシート2「システム設計のアセスメント」：臨床ユースケースのシステムプライバシー能力
Table 6. PRAM Worksheet 2, Assessing System Design: System Privacy Capabilities for Research Use Case	表6. PRAMワークシート2「システム設計のアセスメント」：研究ユースケースのシステムプライバシー能力
Table 7. PRAM Worksheet 2, Assessing System Design: System Contextual Factors .	表7. PRAMワークシート2「システム設計のアセスメント」：システムコンテキスト要因 .
Table 8. PANOPTIC Contextual Mapping for Clinical Use Case	表8. 臨床ユースケースのPANOPTICコンテキストマッピング
Table 9. PANOPTIC Contextual Mapping for Research Use Case	表9. 研究ユースケースのPANOPTICコンテキストマッピング
Table 10. PRAM Data Action Types	表10. PRAMデータアクションタイプ
Table 11. LINDDUN Per Element Threat Mapping Heuristic	表11. LINDDUN 要素ごとの脅威マッピングヒューリスティック
Table 12. LINDDUN Dataflow Analysis for the Core Example	表12. コアの例のLINDDUNデータフロー分析
Table 13. Threat Actions Identified by the PANOPTIC Privacy Activity Mapping for the Core Example	表13. コアの例に対するPANOPTICプライバシーアクティビティマッピングによって識別された脅威アクション
Table 14. Attack Scenarios Relevant to the Core Example	表14. コアの例に関連する攻撃シナリオ
Table 15. Core Example Attack Validations	表15. コア例の攻撃妥当性確認

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.12.26 米国 NIST CSWP 35（初期公開ドラフト）ゲノムデータシーケンスワークフローのサイバーセキュリティ脅威モデリング：ゲノムデータシーケンスおよび分析のための脅威モデル実装例

2025.08.08 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー | Permalink | Comments (0)
Tweet

2025.08.07

ENISA サイバーセキュリティ脅威状況の評価方法 (2025.08.01)

こんにちは、丸山満彦です。

ENISAが脅威分析の方法論について説明をした資料を公表しています。これからは、機械可読データに基づく分析の効率化等を増やしていくようですね...

インテリジェンス活動というのは、全体のフレームワークについての論理的な整理は歴史があるのである程度されていますが、サイバー脅威といった個別の内容についての分析手法を整理したものは多くないように感じています。

これは参考になりそうですね...

● ENISA

・2025.08.01 ENISA Cybersecurity Threat Landscape Methodology

ENISA Cybersecurity Threat Landscape Methodology

ENISAサイバーセキュリティ脅威状況の評価方法

This publication outlines the updated ENISA Cybersecurity Threat Landscape (CTL) methodology, building on the 2021 Threat Landscape Report and the 2022 methodology. It aims to provide a more actionable and streamlined approach for producing horizontal, thematic, and sectorial threat landscapes. The methodology defines key processes, stakeholders, tools, and content elements, supporting ENISA’s commitment to transparency and systematic threat analysis across Europe.

本書は、2021年版の脅威ランドスケープレポートと2022年版の手法に基づき、更新されたENISAサイバーセキュリティ脅威状況の評価方法（CTL）の概要をまとめたものである。これは、水平的、テーマ別、分野別の脅威状況を作成するための、より実用的で合理的なアプローチを提供することを目的としている。本方法論は、主要なプロセス、関係者、ツール、コンテンツ要素を定義し、欧州全体の透明性と体系的な脅威分析に対するENISAのコミットメントを支援する。

・[PDF]

・[DOCX][PDF] 仮訳

目次...

1. INTRODUCTION	1.序論
1.1 CTL SCOPE AND DRIVING PRINCIPLES	1.1CTL の範囲と基本原則
2. CTL METHODOLOGY	2.CTL の方法論
2.1 OVERVIEW OF THE METHODOLOGICAL APPROACH	2.1方法論的アプローチの概要
2.2 DIRECTION	2.2方向性
2.2.1 Establish CTL Purpose	2.2.1CTL の目的を確立する
2.2.2 Define Audience	2.2.2対象者を定義する
2.2.3 Define Intelligence Requirements	2.2.3インテリジェンス要件の定義
2.3 COLLECTION	2.3収集
2.3.1 Define collection plan	2.3.1収集計画を定義する
2.3.2 Validate Sources	2.3.2情報源の妥当性確認
2.3.3 Input data collection	2.3.3収集データの入力
2.4 PROCESSING	2.4処理
2.4.1 Preparation for processing	2.4.1処理の準備
2.4.2 Language processing	2.4.2言語処理
2.4.3 Cyber threat taxonomy	2.4.3サイバー脅威の分類
2.4.4 CTI frameworks	2.4.4CTI 枠組み
2.4.5 Consolidate processed content	2.4.5処理済みコンテンツの統合
2.4.6 Correlate and enrich processed content	2.4.6処理済みコンテンツの相関付けと充実
2.5 ANALYSIS & PRODUCTION	2.5分析と作成
2.5.1 Analysis preparation	2.5.1分析の準備
2.5.2 Performing analysis	2.5.2分析の実施
2.5.3 Validate CTL	2.5.3CTL の妥当性確認
2.5.4 Validate dissemination medium	2.5.4配信媒体の妥当性確認
2.5.5 Deliverable production	2.5.5成果物の制作
2.6 DISSEMINATION	2.6配布
2.6.1 Prepare dissemination	2.6.1配布の準備
2.6.2 Disseminate CTL deliverable	2.6.2CTL 成果物の配布
2.7 FEEDBACK	2.7フィードバック
2.7.1 Receiving feedback	2.7.1フィードバックの受領
2.7.2 Actioning feedback	2.7.2フィードバックに基づく対応
3. FUTURE WORK	3.今後の作業
3.1 MOVING TOWARDS AUTOMATED INFORMATION PROCESSING	3.1自動化された情報処理への移行

序論...

1. INTRODUCTION	1. 序論
Policy makers, risk managers and information security practitioners need up to date and accurate information on the current threat landscape, supported by situational awareness and threat analysis. The EU Agency for Cybersecurity (ENISA) Cyber Threat Landscape (CTL) reports have been published on an annual basis since 2013. These reports use publicly available data and provides an independent view on observed threats agents, trends and attack vectors, with a focus on the EU threat landscape.	政策立案者、リスクマネージャー、情報セキュリティ実務者は、状況認識と脅威分析に裏打ちされた、現在の脅威の状況に関する最新かつ正確な情報を必要としている。EU サイバーセキュリティ機関（ENISA）のサイバー脅威の状況（CTL）報告書は、2013 年から毎年発行されている。この報告書は、公開されているデータを使用し、EU の脅威の状況に焦点を当て、観察された脅威エージェント、傾向、攻撃ベクトルに関する独立した見解を提供している。
ENISA aims at building on its expertise and enhancing this activity for its stakeholders to receive relevant information for policy-creation and decision-making, as well as in increasing knowledge and information for specialised cybersecurity communities or for establishing a solid understanding of the cybersecurity challenges. By providing a snapshot of the constantly shifting cyber threat landscape, ENISA's cyber threat analysis efforts add value. By identifying mid- to long-term trends, these initiatives foster situational awareness and the ability to anticipate future difficulties.	ENISA は、その専門知識を活用し、この活動を強化することで、政策立案や意思決定に必要な関連情報をステークホルダーに提供するとともに、サイバーセキュリティの専門コミュニティの知識と情報を増進し、サイバーセキュリティの課題について確固たる理解を確立することを目指している。絶えず変化し続けるサイバー脅威の状況を把握することで、ENISA のサイバー脅威分析活動は付加価値を生み出している。中長期的な傾向を識別することで、これらの取り組みは状況認識と将来の困難を予測する能力の向上に貢献している。
ENISA seeks to provide targeted as well as general reports, recommendations, analyses and other actions on threat landscapes, supported through a clear and publicly available methodology. By establishing the ENISA CTL methodology, the Agency aims at setting a baseline for the transparent and systematic delivery of horizontal, thematic, and sectorial cybersecurity threat landscapes. The overall focus of the methodological framework involves the identification and definition of the process, methods, stakeholders and tools as well as the various elements which, content-wise, constitute a CTL.	ENISA は、明確で公開されている方法論に基づいて、脅威の状況に関する的を絞った報告、勧告、分析、その他の措置を提供することを目指している。ENISA CTL 方法論の確立により、ENISA は、水平的、主題別、および分野別のサイバーセキュリティ脅威の状況に関する透明かつ体系的な情報の提供のための基準を設定することを目指している。この方法論的枠組みの全体的な焦点は、CTL を構成するプロセス、手法、利害関係者、ツール、および内容的な要素の特定と定義にある。
Following the revised form of the ENISA Threat Landscape Report 202^[1]1 and the ENISA Threat Landscape Report methodology 2022^[2], ENISA continues to further develop and document this initiative. This updated methodology aims at synthetizing the document to make it more actionable, and provide further details as to the different phases of the CTL production process.	ENISA 脅威状況報告書 2021^[1] の改訂版および ENISA 脅威状況報告書 2022 の方法論^[2] に従い、ENISA はこの取り組みのさらなる発展と文書化を進めている。この更新された方法論は、文書をより実用的なものにし、CTL 作成プロセスの各段階に関する詳細情報を提供することを目的としている。
1.1 CTL SCOPE AND DRIVING PRINCIPLES	1.1 CTL の範囲と基本原則
This methodology applies to ENISA’s annual (ENISA Threat Landscape, ETL), sectorial (STL), and other thematic (TTL) threat landscapes, as well as all other reports written by ENISA’s Threat Analysis Services (TAS) for situational awareness purposes.	この手法は、ENISA の年次（ENISA Threat Landscape、ETL）、セクター別（STL）、およびその他のテーマ別（TTL）の脅威状況、ならびに状況認識を目的として ENISA の脅威分析サービス（TAS）が作成するその他すべての報告書に適用される。
The following considerations and principles are considered critical when drafting a CTL:	CTL をドラフトする際には、以下の考慮事項および原則が重要であると考える。
• Accuracy: a report’s accuracy depends on the information collected, processed, correlated and analysed. The TAS team reflects on the information input strategy and scores the quality of sources based on their accuracy, relevancy and comprehensiveness, the types of presentation format (e.g., report or machine-readable formats) and focus areas (e.g., sector, EU victimology, adversary nexus, threat group, threat type). This is also of particular importance when ENISA publishes sectorial threat landscapes (STL) since their input strategy will need to be refined accordingly. In addition, the accuracy of the report is directly influenced by the quality of analysis and the inferences derived.	• 正確性：報告書の正確性は、収集、処理、相関分析、および分析された情報に依存する。TASチームは、情報入力戦略を検討し、情報源の正確性、関連性、網羅性、提示形式の種類（例：報告書または機械可読形式）、および重点分野（例：セクター、EU被害者分析、攻撃者関連性、脅威グループ、脅威の種類）に基づいて情報源の品質を評価する。これは、ENISA がセクター別脅威状況（STL）を公開する場合にも特に重要だ。その場合は、情報入力戦略を適宜改良する必要があるからだ。さらに、報告書の正確性は、分析の品質およびそこから導き出された推論に直接影響される。
• Timeliness: Time influences a report’s actionability, especially when a report also accounts for tactical or operational information. The periodicity of a report is influenced by its scope, criticality and the stakeholder requirements it addresses. Based on those criteria, reports can be published as it happens, monthly, quarterly, biannually or annually.	• 適時性：時間は、特に報告書が戦術的または運用上の情報も記載している場合、その実行可能性に影響を与える。報告書の発行頻度は、その範囲、重要度、および対応すべき利害関係者の要件によって決まる。これらの規準に基づき、報告書は、発生時、毎月、四半期、半年、または毎年発行することができる。
• Actionability: the CTL should increase stakeholders’ awareness of threats in the cyber domain, support their decision-making processes and improve their proactive, active defence, and retroactive postures against cyber threats. This can be achieved at both strategic and operational levels. ENISA focuses on this aspect of the CTL by providing cybersecurity recommendations for different categories of threats in its reports, at both operational level and at strategic level. The operational aspect is covered by delivering the basis for the development of a mitigation strategy for prevention against and response to a given threat. The strategic high-level aspect is covered in its annual review of the threat landscape. When delivering thematic or sectorial threat landscapes, the countermeasures proposed reflect the specificity of the sector or the thematic topic under analysis.	• 実行可能性：CTL は、サイバー領域における脅威に対するステークホルダーの認識を高め、意思決定プロセスを支援し、サイバー脅威に対する予防的、積極的、事後対応的な姿勢を改善すべきだ。これは、戦略レベルと運用レベルの両方で達成できる。ENISA は、運用レベルと戦略レベルの両方で、さまざまなカテゴリーの脅威に関するサイバーセキュリティの推奨事項を報告書に記載することで、CTL のこの側面に重点を置いている。運用面については、特定の脅威の予防および対応のための緩和戦略の策定の基礎を提供することでカバーしている。戦略的な高レベルな側面については、脅威の動向に関する年次レビューでカバーしている。テーマ別またはセクター別の脅威の動向を報告する場合、提案される対策は、分析対象のセクターまたはテーマの特性を反映したものとなる。

[1] https://www.enisa.europa.eu/topics/threat -risk -management/threats -and -trends

[2] https://www.enisa.europa.eu/publications/enisa -threat -landscape -methodology

全体像...

Figure 1: High level overview of ENISA CTL methodology

ENISA CTL作成プロセスの概要

1_20250804224501

Figure 2: Overview of ENISA CTL production process

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.03.30 欧州ENISA 宇宙脅威状況 2025 (2025.03.26)

・2025.02.23 欧州 ENISA 脅威状況 (2023.01-2024.06)：金融セクター

・2024.12.09 欧州 ENISA 欧州連合におけるサイバーセキュリティの状況に関する報告書（2024）(2024.12.03)

・2024.09.26 ENISA 脅威状況2024

・2023.10.26 ENISA 脅威状況2023 - AIによる情報操作の台頭でEUの選挙がリスクにさらされる

・2023.09.20 ENISA 2030の脅威の展望 (2023.09.13)

・2023.07.10 ENISA 健康分野のサイバーセキュリティ状況 (2023.07.05)

・2023.03.22 ENISA 輸送セクターのサイバー脅威状況

・2022.12.14 ENISA 外国人による情報操作と干渉（FIMI）とサイバーセキュリティ - 脅威状況

・2022.11.08 ENISA 脅威状況 2022：不安定な地政学がサイバーセキュリティ脅威状況の傾向を揺るがす

・2022.08.01 ENISA ランサムウェアについての脅威状況

・2022.07.29 ENISA サイバーセキュリティ脅威ランドスケープの方法論 (2022.07.06) ENISA流サイバーインテリジェンスの方法論?

・2021.10.29 ENISA Threat Landscape 2021：ランサムウェア、クリプトジャッキングを利用した金銭目的のサイバー犯罪が急増

・2020.12.18 ENISA AI サイバーセキュリティのチャレンジ - AI脅威状況報告を公表していますね。

・2020.12.15 ENISA 5Gネットワークの脅威状況報告書のアップデート

・2020.10.21 ENISA Threat Landscape 2020 : サイバー脅威トップ15 サイバー攻撃はより高度化し、標的化が進み、対象も広範囲になり、検知もされにくくなる。。。

2025.08.07 00:00 in 情報セキュリティ / サイバーセキュリティ, in 内部統制 / リスクマネジメント | Permalink | Comments (0)
Tweet

米国 NIST IR 8536(第2次公開ドラフト)サプライチェーンのトレーサビリティ:製造メタフレームワーク (2025.07.31)

こんにちは、丸山満彦です。

昨年の9月27日に公開され、意見募集をされていたIR 8536(初期公開ドラフト)サプライチェーンのトレーサビリティ:製造メタフレームワークの第二次公開草案が公開され、意見募集されています...

全体像を理解するのは、この図...

Figure 4. Value and Supply Chain Traceability Events Across Ecosystems（エコシステムをまたいだ価値とサプライチェーンのトレーサビリティイベント）

● NIST - ITL

・2025.07.31 NIST IR 8536 (2nd Public Draft) Supply Chain Traceability: Manufacturing Meta-Framework

NIST IR 8536 (2nd Public Draft) Supply Chain Traceability: Manufacturing Meta-Framework	NIST IR 8536 (2nd Public Draft) サプライチェーンのトレーサビリティ：製造メタフレームワーク
Announcement	発表
The NIST National Cybersecurity Center of Excellence (NCCoE) has released a second public draft of NIST Internal Report 8536, Supply Chain Traceability: Manufacturing Meta-Framework, for public comment.	NIST国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）は、NIST内部報告書8536「サプライチェーントレーサビリティ」の第2次パブリックドラフトを公表した：製造メタフレームワーク）」を公開し、パブリックコメントを募集した。
We thank everyone who submitted comments on the initial draft. Your thoughtful feedback prompted substantial revisions. In response, we are publishing this second draft to provide an opportunity for further review and input before finalizing the report.	初回ドラフトにコメントをお寄せいただいた皆様に感謝する。皆様からの丁寧なフィードバックにより、大幅な改訂が行われた。これを受けて、本報告書を最終化する前に、さらなる検討とご意見をいただく機会を提供するため、この第2ドラフトを公表するものである。
Background	背景
This paper presents a framework to improve traceability across complex and distributed manufacturing ecosystems. It enables structured recording, linking, and querying of traceability data across trusted repositories. This initial research is intended to explore approaches that may support stakeholders in verifying product provenance, meet contractual obligations, and assess supply chain integrity.	本稿は、複雑で分散した製造エコシステム全体にわたるトレーサビリティを改善する枠組みを提示する。このフレームワークは、信頼できるリポジトリ間でトレーサビリティ・データの構造化された記録、リンク、クエリを可能にする。この初期研究は、利害関係者が製品の出所を検証し、契約上の義務を果たし、サプライチェーンの完全性をアセスメントすることを支援するアプローチを探ることを目的としている。
This framework builds on previous NIST research (NIST IR 8419) and incorporates insights and feedback from industry, standards bodies, and academia. It is designed to enhance national security, economic resilience, and supply chain risk management, particularly across manufacturing and other critical infrastructure sectors.	この枠組みは、NIST の過去の研究（NIST IR 8419）を基礎とし、産業界、標準団体、学界からの見識やフィードバックを取り入れている。このフレームワークは、国家安全保障、経済レジリエンス、サプライチェーンリスクマネジメント、特に製造業やその他の重要インフラセクターの強化を目的としている。
We invite and encourage those interested to review and comment on this draft.	本ドラフトにご関心をお持ちの方は、ぜひご一読いただき、ご意見をお寄せいただきたい。
...	...
Abstract	概要
Manufacturing and critical infrastructure supply chains are vital to the security, resilience, and economic strength of the United States. However, increasing global complexity makes tracing product origins more difficult, exposing vulnerabilities to logistical disruptions, fraud, sabotage, and counterfeit materials.	製造事業者と重要インフラのサプライチェーンは、米国の安全保障、レジリエンス、経済力にとって不可欠である。しかし、世界的な複雑化により、製品の出所の追跡が困難になり、物流の途絶、詐欺、妨害行為、偽造品に対する脆弱性が露呈している。
This report introduces a meta-framework designed to enhance end-to-end supply chain traceability. The framework organizes, links, and queries traceability data across diverse manufacturing ecosystems, enabling stakeholders to verify product provenance, support fulfillment of external stakeholder obligations (e.g., legal, contractual, or operational requirements), and supply chain integrity.	本報告書では、エンド・ツー・エンドのサプライチェーントレーサビリティを強化するために設計されたメタ枠組みを紹介する。この枠組みは、多様な製造エコシステムにわたるトレーサビリティ・データを整理、リンク、照会し、利害関係者が製品の出所を検証し、外部利害関係者の義務（法的、契約上、または業務上の要件など）の履行、およびサプライチェーンの完全性をサポートできるようにする。
The Meta-Framework builds on previous NIST research (IR 8419) and reflects input from industry, standards organizations, and academic collaborators. By improving supply chain transparency and risk mitigation, this framework supports national security, economic stability, and resilience in U.S. manufacturing operations.	この枠組みは、これまでのNISTの研究（IR 8419）を基礎とし、産業界、標準化団体、学界の協力者からの意見を反映したものである。サプライチェーンの透明性とリスク緩和を改善することにより、この枠組みは米国の製造事業における国家安全保障、経済的安定、レジリエンスを支援する。

・[PDF] NIST.IR.8536.2pd

目次...

Executive Summary	エグゼクティブサマリー
1. Introduction	1. 序論
1.1. Supply Chain Traceability Needs and Challenges	1.1. サプライチェーントレーサビリティのニーズと課題
1.2. Approach	1.2. アプローチ
1.3. Goals	1.3. 目標
1.4. Audience	1.4. 想定読者
1.5. Considerations and Limitations	1.5. 考察と限界
2. Meta-Framework Overview	2. メタフレームワークの概要
2.1. Traceability Records and Core Components	2.1. トレーサビリティ記録とコア・コンポーネント
2.2. Trusted Data Repositories and Ecosystems	2.2. 信頼されるデータ・リポジトリとエコシステム
2.2.1. Controlled Access and Data Retention	2.2.1. アクセス管理とデータ保持
2.2.2. Ensuring Data Integrity	2.2.2. データの完全性の確保
2.2.3. Ecosystem Governance and Role in the Meta-Framework	2.2.3. エコシステムのガバナンスとメタフレームワークにおける役割
2.3. Traceability Chain Across Supply Chain Ecosystems	2.3. サプライチェーンのエコシステムを横断するトレーサビリティ・チェーン
2.4. Example Traceability Chain Across Ecosystem Boundaries	2.4. エコシステムの境界を越えたトレーサビリティ・チェーンの例
3. Meta-Framework Data Model	3. メタフレームワークのデータモデル
3.1. Traceability Records Overview	3.1. トレーサビリティ記録の概要
3.2. Traceability Record Structure	3.2. トレーサビリティ記録の構造
3.3. Traceability Record Subclasses	3.3. トレーサビリティ記録のサブクラス
3.4. Traceability Links and Supplemental Data References	3.4. トレーサビリティリンクと補足データ参照
3.5. Ensuring Data Integrity and Interoperability	3.5. データの完全性と相互運用性の確保
3.5.1. Common Data Models	3.5.1. 共通データモデル
3.5.2. Traceability Chain and Data Integrity Mechanisms	3.5.2. トレーサビリティ・チェーンとデータ完全性メカニズム
3.5.3. End-to-End Trust and Component Validation	3.5.3. エンド・ツー・エンドの信頼性とコンポーネントの妥当性確認
3.5.4. Notional Traceback Scenario	3.5.4. 想定されるトレースバックのシナリオ
3.5.5. Controlled Access and Authentication	3.5.5. アクセス管理と認証器
4. Meta-Framework Use Cases	4. メタフレームワークの使用例
4.1. Creating and Recording Traceability Data	4.1. トレーサビリティデータの作成と記録
4.1.1. Sequence Diagram 1: Manufacturer of Microelectronics Make Traceability Events	4.1.1. シーケンス図1：マイクロエレクトロニクスの製造事業者がトレーサビリティ・イベントを作成する
4.1.2. Sequence Diagram 2: Operational Tech with Receive, Make, Assemble, and Ship	4.1.2. シーケンス図2：受領、製造、組立、出荷を伴う操業技術者
4.1.3. Sequence Diagram 3: Critical Infrastructure Acquirer with Receive and Employ	4.1.3. シーケンス図 3：受領と雇用を伴う重要インフラの取得者
4.2. Querying and Retrieving Traceability Records	4.2. トレーサビリティ記録の照会と検索
4.2.1. Sequence Diagram 4: Operational Technology with Traceback to ME	4.2.1. シーケンス図 4：ME へのトレースバックを伴う運用技術
4.2.2. Sequence Diagram 5: Critical Infrastructure Acquirer with Traceback to ME and OT	4.2.2. シーケンス図 5：ME および OT へのトレースバックを持つ重要インフラ取得者
4.2.3. Sequence Diagram Summary	4.2.3. シーケンス図の概要
5. Conclusion	5. 結論
References	参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms	附属書A. 記号、略語、頭字語のリスト
Appendix B. Glossary	附属書B. 用語集
Appendix C. Security, Privacy, and Access Control Considerations	附属書C. セキュリティ、プライバシー、アクセス管理に関する考察
C.1. Identity, Authentication, and Access Control	C.1. アイデンティティ、認証器、アクセス管理
C.2. Privacy Measures	C.2. プライバシー対策
C.3. Balancing High-Assurance Identity and Privacy Risks	C.3. 高保証 ID とプライバシーリスクのバランス
C.4. Threat Modeling and Ecosystem Risk Posture	C.4. 脅威モデリングとエコシステムリスク態勢
C.5. Other Considerations	C.5. その他の考慮事項
Appendix D. Future Directions for the Meta-Framework	附属書 D. メタフレームワークの今後の方向性
D.1. Expanding Traceability to Sustainment and Lifecycle Phases	D.1. トレーサビリティの持続可能性とライフサイクル段階への拡大
D.2. Additional Supply Chain Traceability Record Subclasses	D.2. サプライチェーントレーサビリティ記録サブクラスの追加
Appendix E. Key Challenges in Achieving Interoperable Traceability	附属書 E．相互運用可能なトレーサビリティの実現における主要課題
E.1. Challenge #1: Information Stored in Disjointed and Isolated Repositories	E.1. 課題#1：バラバラで孤立した保管場所に保管されている情報
E.2. Challenge #2: Inconsistent semantic and data definitions	E.2. 課題#2：セマンティックとデータ定義の一貫性の欠如
E.3. Challenge #3: Ensuring Traceability Data Integrity	E.3. 課題#3：トレーサビリティ・データの完全性の確保
E.4. Challenge #4: Balancing Confidentiality and Privacy in Traceability	E.4. 課題#4：トレーサビリティにおける機密性とプライバシーのバランス
Appendix F. Technical Data Model and Class Structures	附属書F. 技術データモデルとクラス構造
F.1. UML Class Structure of Traceability Records	F.1. トレーサビリティ記録のUMLクラス構造
F.2. Traceability_Record Superclass	F.2. Traceability_Recordスーパークラス
F.3. Traceability Record Supporting Data Objects	F.3. トレーサビリティ記録をサポートするデータオブジェクト
F.3.1. Key-Value Pair Data Objects	F.3.1. キーと値のペアのデータ・オブジェクト
F.3.2. Traceability Link Data Object	F.3.2. トレーサビリティリンクデータオブジェクト
F.3.3. Supplemental Link Data Objects	F.3.3. 補足リンクデータ・オブジェクト
F.4. Event-Specific Subclasses	F.4. イベント固有のサブクラス
F.4.4. Make Record Subclass	F.4.4. Make レコード・サブクラス
F.4.5. Assemble Record Subclass	F.4.5. アセンブル・レコード・サブクラス
F.4.6. Ship Record Subclass	F.4.6. 出荷記録サブクラス
F.4.7. Receive Record Subclass	F.4.7. 受信記録サブクラス
F.4.8. Employ Record Subclass	F.4.8. 雇用記録サブクラス
F.5. Conclusion	F.5. 結論
Appendix G. Technical Details and Governance Considerations	附属書G. 技術的詳細とガバナンスに関する考察
G.1. Serialization and Data Formats	G.1. シリアライゼーションとデータフォーマット
G.2. Cryptographic Validation and Security	G.2. 暗号的妥当性確認とセキュリティ
G.3. Governance and Data Retention Policies	G.3. ガバナンスとデータ保持方針
G.4. Interoperability Mechanisms	G.4. 相互運用性メカニズム

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
This paper introduces a meta-framework designed to enhance traceability across diverse supply chains by enabling structured recording, linking, and retrieval of traceability data. Through trusted data repositories, stakeholders can access supply chain information needed to verify product provenance, demonstrate compliance with external stakeholder requirements and contractual obligations, and assess supply chain integrity. The framework establishes several key principles to ensure visibility, reliability, and integrity in supply chain traceability:	本稿では、トレーサビリティ・データの構造化された記録、リンク、検索を可能にすることで、多様なサプライチェーンにおけるトレーサビリティを強化するために設計されたメタ・フレームワークを紹介する。利害関係者は、信頼できるデータリポジトリを通じて、製品の出所を検証し、外部の利害関係者の要求事項や契約上の義務を遵守していることを証明し、サプライチェーンの完全性を評価するために必要なサプライチェーン情報にアクセスすることができる。このフレームワークは、サプライチェーントレーサビリティにおける可視性、信頼性、完全性を確保するために、いくつかの重要な原則を確立している：
• Common Data and Ontologies: Stakeholders are empowered to establish traceability consistency, ensuring that data remains structured, interoperable, and understandable across industries.	- 共通データとオントロジー：共通のデータとオントロジー：関係者は、トレーサビリティの一貫性を確立する権限を与えられ、データが構造化され、相互運用可能で、業界を超えて理解可能であることを保証する。
• Trusted Repositories and Ecosystems: The Meta-Framework supports the use of secure, trusted data repositories within industry ecosystems to manage traceability records.	- 信頼できるリポジトリとエコシステム：メタフレームワークは、トレーサビリティ記録を管理するために、業界のエコシステム内で安全で信頼できるデータリポジトリの使用をサポートする。
• Traceability Record Model: Traceability is built from records created from supply chain events (e.g., manufacturing, shipping, receiving). These are linked using cryptographically verifiable connections to form traceability chains—sequentially linked records that allow stakeholders to validate product history and movement across the supply network.	- トレーサビリティ記録モデル：トレーサビリティは、サプライチェーンのイベント（製造、出荷、入荷など）から作成された記録から構築される。これらは、暗号的に検証可能な接続を使用してリンクされ、トレーサビリティ・チェーンを形成する。これは、関係者がサプライ・ネットワーク全体にわたって製品の履歴と移動を妥当性確認できるようにする、逐次リンクされた記録である。
Offering a scalable solution for improving traceability across industry sectors, the MetaFramework enables organizations to exchange required supply chain data securely. As global supply chains grow more complex, this approach strengthens supply chain integrity, supports fulfillment of external obligations (e.g., legal, contractual, operational), and fosters stakeholder trust.	業種を問わずトレーサビリティを改善するスケーラブルなソリューションを提供するメタフレームワークは、組織が必要なサプライチェーンデータを安全に交換することを可能にする。グローバルなサプライチェーンが複雑化する中、このアプローチはサプライチェーンの完全性を強化し、対外的な義務（法的、契約上、業務上など）の履行をサポートし、利害関係者の信頼を醸成する。
Crucially, the design allows organizations to share only the traceability data necessary for external validation, while retaining control over sensitive intellectual property and proprietary information. This principle of controlled disclosure balances transparency with confidentiality, helping stakeholders mitigate business risk while promoting accountability.	極めて重要な点は、組織が機密性の高い知的財産や専有情報を管理しながら、外部からの妥当性確認に必要なトレーサビリティデータのみを共有できるように設計されていることである。この管理された情報開示の原則は、透明性と機密性のバランスを保ち、ステークホルダーが説明責任を促進しながらビジネスリスクを緩和するのに役立つ。
Successful implementation depends on effective ecosystem governance, risk-informed identity management, and data integrity safeguards. Readers are advised to consult Appendices C and G for additional guidelines and security considerations.	導入が成功するかどうかは、効果的なエコシステム・ガバナンス、リスク情報に基づくアイデンティティ・マネジメント、およびデータ完全性の保護措置にかかっている。読者は、追加のガイドラインおよびセキュリティに関する考慮事項については、附属書 C および G を参照することが推奨される。

結論...

5. Conclusion	5. 結論
Tracking products and components across the supply chain is essential for ensuring product integrity, building stakeholder trust, and supporting accountability throughout manufacturing ecosystems. However, collecting and verifying this data remains a significant challenge, especially in complex, multi-tiered supply chains with fragmented systems and inconsistent data practices.	サプライチェーン全体にわたって製品と部品を追跡することは、製品の完全性を確保し、利害関係者の信頼を構築し、製造エコシステム全体を通じて説明責任を支援するために不可欠である。しかし、このデータの収集と検証は、特に断片的なシステムと一貫性のないデータ運用を伴う複雑で多層的なサプライチェーンにおいては、依然として大きな課題である。
The Meta-Framework improves traceability by defining a structured, interoperable model for recording, linking, and retrieving supply chain event data. It enables stakeholders to:	メタフレームワークは、サプライチェーンのイベントデータを記録、リンク、検索するための構造化された相互運用可能なモデルを定義することにより、トレーサビリティを改善する。これにより、関係者は以下のことが可能になる：
• Sequence traceability records and relevant supply chain event data;	- トレーサビリティ記録と関連するサプライチェーンイベントデータを順序付ける；
• Interpret retrieved information in its appropriate ecosystem-defined context; and	- 検索された情報を適切なエコシステムで定義された文脈で解釈する。
• Rely on the integrity and authenticity of the data to validate product pedigree and provenance.	- 製品の血統と出所を妥当性確認するために、データの完全性と認証器に依拠する。
Traceability chains are formed by linking records created from supply chain events (e.g., manufacturing, shipping, receiving) using cryptographically verifiable connections. These links allow stakeholders to construct a coherent sequence of events that reflect product movement and transformation across the supply network.	トレーサビリティチェーンは、サプライチェーンイベント（製造、出荷、入荷など）から作成された記録を、暗号的に検証可能な接続を使用してリンクすることによって形成される。これらのリンクにより、関係者は、サプライ・ネットワーク全体にわたる製品の移動と変容を反映する首尾一貫した一連の事象を構築することができる。
Trust is supported by cryptographic validation mechanisms that allow participants to confirm the authenticity and integrity of traceability records. Hash-based traceability links ensure that each record is tamper-evident and verifiably connected to the previous one, enabling consistent validation over time.	信頼は、関係者がトレーサビリティ記録の認証性と完全性を確認できる暗号的妥当性確認メカニズムによってサポートされる。ハッシュベースのトレーサビリティリンクは、各レコードが改ざんされないことを保証し、前のレコードと検証可能に接続され、長期にわたる一貫した妥当性確認を可能にする。
The Meta-Framework supports verifiability through controlled disclosure to promote transparency without compromising sensitive information. Organizations can publish only the traceability data necessary for external validation while maintaining control over sensitive intellectual property, personally identifiable information (PII), and other sensitive or proprietary information.	Meta-Frameworkは、機密情報を損なうことなく透明性を促進するために、管理された情報公開を通じて検証可能性をサポートする。組織は、機密性の高い知的財産、個人を特定できる情報（PII）、その他の機密情報や専有情報の管理を維持しながら、外部の妥当性確認に必要なトレーサビリティデータのみを公開することができる。
Understanding is enhanced using ecosystem-specific data dictionaries and schema definitions, which constrain how data is structured and interpreted. By aligning with externally defined traceability requirements, such as those from industry groups or contractual agreements, the Meta-Framework ensures consistency and interoperability across diverse environments.	エコシステム固有のデータ辞書とスキーマ定義を使用することで、データの構造化と解釈方法を制限し、理解を深めることができる。メタフレームワークは、業界団体や契約上の合意など、外部で定義されたトレーサビリティ要件と整合させることで、多様な環境にわたる一貫性と相互運用性を保証する。
While this framework establishes a strong foundation for cross-ecosystem traceability, several areas require further development. Ongoing research will focus on expanding interoperability models, refining integrity validation methods, supporting privacy-enhanced mechanisms, and introducing new subclasses of traceability records and event types to reflect emerging operational needs. For additional discussion on future directions, see Appendix D.	このフレームワークは、エコシステム間のトレーサビリティのための強力な基盤を確立しているが、いくつかの分野ではさらなる開発が必要である。進行中の研究は、相互運用性モデルの拡大、妥当性確認方法の改良、プライバシー強化メカニズムのサポート、新たな運用ニーズを反映するためのトレーサビリティレコードとイベントタイプの新しいサブクラスの導入に焦点を当てる。将来の方向性については、附属書Dを参照のこと。

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.08 米国 NIST IR 8536(初期公開ドラフト)サプライチェーンのトレーサビリティ:製造メタフレームワーク (2024.09.27)

2025.08.07 00:00 in フィッシング, in 個人情報保護 / プライバシー, in 内部統制 / リスクマネジメント, in ロボット, in クラウド, in IoT | Permalink | Comments (0)
Tweet

米国 NIST IR 8579（初期公開ドラフト） NCCoE チャットボットの開発：初期導入から得た技術的およびセキュリティ上の教訓 (2025.07.31)

こんにちは、丸山満彦です。

ことしの6月18日に公開していた公開草案が若干改訂されて意見募集されていますね。

そもそも、どんなものかというと、NISTが、NCCoEの過去の出版物を含むサイバーセキュリティ知識のリポジトリを使った検索拡張生成（retrieval-augmented generation: RAG）ベースのLLM技術のAI ChatBotを開発しているのですが、その際の、ツール開発に対する NCCoE のアプローチと、特定のセキュリティ課題に対する NCCoE の対応について概説し、その時点における検証を行った教訓（ドラフト）を公表しているものです...

● NIST - ITL

・2025.07.31 NIST IR 8579 (Initial Public Draft) Developing the NCCoE Chatbot: Technical and Security Learnings from the Initial Implementation

NIST IR 8579 (Initial Public Draft) Developing the NCCoE Chatbot: Technical and Security Learnings from the Initial Implementation	NIST IR 8579（初期公開ドラフト） NCCoE チャットボットの開発：初期実装から得た技術的およびセキュリティ上の教訓
Announcement	発表
The NIST National Cybersecurity Center of Excellence (NCCoE) has re-issued the initial public draft of NIST IR 8579. Originally published in June, the document was revised to improve the document’s demonstration of the enhanced abilities of an RAG-based LLM tool over a generic LLM.	NIST 国立サイバーセキュリティ・センター・オブ・エクセレンス (NCCoE) は、NIST IR 8579 の最初の公開ドラフトを再発行した。6 月に最初に公開されたこの文書は、一般的な LLM に対する RAG ベースの LLM ツールの能力の向上を文書でより明確に示すために改訂された。
The public comment period for the publication has been extended and will close at 11:59 pm EDT on September 11, 2025.	この公開草案のパブリックコメントの受付期間は延長され、2025 年 9 月 11 日午後 11 時 59 分（米国東部時間）に終了する。
The NCCoE identified a potential application for a chatbot to support its mission and developed a secure, internal-use chatbot to assist NCCoE staff with discovering and summarizing cybersecurity guidelines tailored to specific audiences or use cases.	NCCoE は、その使命を支援するチャットボットの潜在的な用途を特定し、NCCoE スタッフが特定のユーザーやユースケースに合わせたサイバーセキュリティガイドラインを発見、要約するのを支援する、安全な社内用チャットボットを開発した。
The chatbot was built using retrieval-augmented generation (RAG)-based LLM technology. This approach combines techniques from information retrieval and natural language generation, enabling the chatbot to provide more focused, contextually relevant responses by leveraging a repository of cybersecurity knowledge, including previous NCCoE publications. Compared to search engines, LLM-based chatbots provide more contextually relevant and precise responses by understanding the nuances of natural language queries.	このチャットボットは、検索拡張生成（RAG）ベースの LLM 技術を使用して構築された。このアプローチは、情報検索と自然言語生成の技術を組み合わせたもので、チャットボットは、NCCoE の過去の出版物など、サイバーセキュリティに関する知識のレポジトリを活用することで、より的を絞った、文脈に即した応答を提供することができる。検索エンジンと比較すると、LLM ベースのチャットボットは、自然言語のクエリのニュアンスを理解することで、より文脈に即した、正確な応答を提供する。
This report provides a point in time examination of the NCCoE Chatbot, outlining the NCCoE’s approach to developing the tool, as well as the NCCoE’s response to specific security challenges. In addition, this report provides an overview of the chatbot and its supporting technologies so that other organizations might consider the benefits of their use.	このレポートでは、NCCoE チャットボットの現時点での検証結果、NCCoE によるツール開発のアプローチ、および特定のセキュリティ課題に対する NCCoE の対応について概要を説明する。さらに、他の組織がチャットボットの利用メリットを検討できるよう、チャットボットとその支援技術の概要も紹介している。
...	...
Abstract	要約
Chatbots are emerging as alternative interfaces for structured information retrieval and internal knowledge access. Chatbots can utilize the capabilities of large language models (LLMs) to help interpret user-provided input and provide responses to a variety of requests. This paper describes the development of an LLM chatbot by the National Cybersecurity Center of Excellence (NCCoE) at NIST to enable internal search across its published cybersecurity guidance. The paper provides a point-in-time examination of the tool’s development process, including the architecture, the system configuration, and the NCCoE’s approach to addressing cybersecurity challenges throughout the design and deployment lifecycle. Specific attention is given to threats such as prompt injection, hallucinations, data exposure, and unauthorized access. The paper also discusses the mitigations applied, including local deployment, access controls, and validation filters. This paper is not intended to serve as implementation guidance. Instead, it documents technical decisions, observed limitations, and risk-informed safeguards that shaped the prototype. It provides an overview of the chatbot and its supporting technologies so that other organizations might consider the benefits of their use.	チャットボットは、構造化された情報の検索や内部知識へのアクセスに代わるインターフェースとして注目されている。チャットボットは、大規模言語モデル（LLM）の機能を利用して、ユーザーからの入力を解釈し、さまざまな要求に対応することができる。この論文では、NIST の国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）が、公開しているサイバーセキュリティガイダンスの内部検索を可能にする LLM チャットボットの開発について紹介している。この論文では、アーキテクチャ、システム構成、設計および展開のライフサイクルを通じてサイバーセキュリティの課題に対処する NCCoE のアプローチなど、ツールの開発プロセスをその時点での状況に基づいて検証している。プロンプト・インジェクション、幻覚、データ・エクスポージャー、不正アクセスなどの脅威に特に注意が払われている。また、ローカル展開、アクセス管理、妥当性確認フィルタなど、適用された緩和策についても説明している。この文書は、実装ガイダンスを目的としたものではない。その代わりに、プロトタイプを形作った技術的な決定、観察された制限、およびリスク情報に基づく保護手段について記載している。他の組織がチャットボットとその支援技術の利用メリットを検討できるように、チャットボットとその支援技術の概要を紹介している。

・[PDF] NIST.IR.8579.ipd

目次...

1. Introduction	1. 序論
1.1. Project Overview	1.1. プロジェクトの概要
1.2. Related Work	1.2. 関連研究
2. Retrieval-Augmented Generation Technical Details	2. 検索拡張生成の技術的詳細
2.1. The Foundation Mode	2.1. 基礎モード
2.2. Preprocessing External Data	2.2. 外部データの事前処理
2.3. Creating an Index	2.3. インデックスの作成
2.4. Retrieving Relevant Information	2.4. 関連情報の検索
2.5. Querying the LLM	2.5. LLM へのクエリ
3. Implementation Details and Considerations	3. 実装の詳細と考慮事項
3.1. Chatbot Configuration	3.1. チャットボットの構成
3.1.1. Virtual/Physical Environment and Configuration	3.1.1. 仮想/物理環境と構成
3.1.2. Preprocessing and Page-Level Citations	3.1.2. 前処理とページレベルの引用
3.1.3. The Software Development Framework	3.1.3. ソフトウェア開発フレームワーク
3.1.4. The Embedding Function and Vector Database	3.1.4. 埋め込み機能とベクトルデータベース
3.1.5. The Foundation Model	3.1.5. 基礎モデル
3.2. Risk Mitigation and Discussion Around Threat Analysis	3.2. リスクの緩和と脅威分析に関する考察
3.2.1. Hallucinations	3.2.1. 幻覚
3.2.2. Threat Analysis	3.2.2. 脅威分析
3.3. Deployment	3.3. 展開
3.4. Testing and Evaluation	3.4. テストと評価
3.5. Risks and Limitations	3.5. リスクと制限
4. Comparison Against COTS Tools	4. COTS ツールとの比較
5. Future Considerations	5. 今後の検討事項
5.1. Future Considerations for Testing and Evaluation	5.1. テストと評価に関する今後の検討事項
References	参考文献
Appendix A. List of Symbols, Abbreviations, and Acronym	附属書 A. 記号、略語、頭字語の一覧

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.07.02 NIST IR 8579 (初期公開ドラフト) NCCoEチャットボットの開発：初期実装から得られた技術的およびセキュリティ上の教訓 (2025.06.18)

2025.08.07 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 内部統制 / リスクマネジメント, in AI/Deep Learning | Permalink | Comments (0)
Tweet

2025.08.06

ENISA テレコム・セキュリティ・インシデント 2024

こんにちは、丸山満彦です。

EUの26カ国と、2カ国のEFTAを含む28カ国から2024年に発生した主要な通信業界のセキュリティ・インシデント(188件)を集計、分析しまとめたもの...

2023年の156件に比べると増加していますね...

例年と同じように、サイバーインシデントというよりも、システム障害が中心です。

● ENISA

・2025.07.15 Telecom Security Incidents 2024

・[PDF]

・[DOCX][PDF] 仮訳

エグゼクティブサマリー...

EXECUTIVE SUMMARY	エグゼクティブサマリー
The present report provides anonymised and aggregated information about major telecom security incidents which occurred during 2024. Incident reporting is an important enabler of cybersecurity supervision and a support tool for policymaking at the national and EU levels.	本報告書は、2024年に発生した主要な通信セキュリティインシデントに関する匿名化および集約化された情報を提供する。インシデントの報告は、サイバーセキュリティの監督を可能にする重要な要素であり、各国および EU レベルでの政策立案を支援するツールである。
In the EU, telecom operators notify significant security incidents to their national authorities. The national authorities send summary reports to ENISA. Under Article 40, the European Electronic Communications Code (EECC 2018/1972) reinforces the provisions (^[1]) for reporting incidents, clarifying what incidents fall within its scope (^[2]), as well as the technical guidelines (^[3]) and the notification criteria. CIRAS is a platform that provides statistics, collects data from national authorities and provides a visual tool for displaying incidents through specific graphs (^[4]). The incident reporting period for 2024 was from January 1^st to February 24^th2025.	EU では、通信事業者は重大なセキュリティインシデントを自国の当局に報告する。各国当局は、その概要を ENISA に報告する。第 40 条に基づき、欧州電子通信コード（EECC 2018/1972）は、インシデントの報告に関する規定（^[1] ）を強化し、その適用範囲（^[2] ）および技術的ガイドライン（^[3] ）と報告規準を明確にしている。CIRAS は、統計情報を提供し、各国当局からデータを収集し、特定のグラフを用いてインシデントを表示する視覚的なツールを提供するプラットフォームだ（^[4] ）。2024 年のインシデント報告期間は、2024 年1 月 1 日から 2025年2 月 24 日までだった。
It is worth mentioning that as of 18 October 2024, the NIS2 Directive repeals Articles 40 – 41 of the EECC, which will consolidate the reporting of breaches of integrity and availability across multiple sectors including but not limited to providers of public electronic communications networks and providers of publicly available electronic communications services. The present report covers only 2024, where articles 40 - 41 of the ECCC are still valid.	なお、2024 年 10 月 18 日付で、NIS2 指令により EECC の第 40 条から第 41 条が廃止され、公衆電子通信網のプロバイダや公衆が利用可能な電子通信サービスのプロバイダなど、複数のセクターにおける完全性および可用性の侵害の報告が統合される予定である。本報告書は、ECCC の第 40 条から第 41 条がまだ有効である 2024 年のみを対象としている。
Key findings in 2024 summary report	2024年要約報告書の主要な発見事項
The 2024 annual summary contains reports of 188 incidents submitted by national authorities from 26 EU Member States and 2 European Free Trade Association (EFTA) countries. This is an increase of 20,5% over the 2023 with 156 incidents from 26 EU Member States and 1 EFTA country.	2024 年の年次要約には、EU 加盟 26 カ国および欧州自由貿易連合（EFTA）加盟 2 カ国の国家当局から提出された 188 件のインシデントの報告が掲載されている。これは、EU 加盟 26 カ国および EFTA 加盟 1 カ国から提出された 156 件のインシデント（2023 年）に比べ、20.5% の増加となっている。
Compared to 2022 and 2023, 2024 shows a significant drop in user hours lost.	2022年と2023年と比較して、2024年はユーザーが失った時間数が大幅に減少している。
A significant decrease of more than 50% of user hours lost was observed in 2024 compared to 2023. According to the data received, 1743 million user hours ([5]) were lost in 2024 while 3906 million user hours were lost in 2023. This is clearly a much lower number compared to last year, and returns at the levels of a decade ago, as we can see in Figure 1. A plausible hypothesis is that the trend may indicate the possibility of improved outage management, enhanced infrastructure, and increased system resilience.	2024年は2023年と比較して、ユーザーが失った時間数が50％以上減少した。受け取ったデータによると、2024年には17億4,300万時間（[5] ）のユーザー時間が失われたのに対し、2023年には39億600万時間のユーザー時間が失われた。これは明らかに昨年と比較して大幅に減少しており、図1に示すように10年前のレベルに戻っている。妥当な仮説としては、この傾向は、停止管理の改善、インフラの強化、システムのレジリエンスの向上を示している可能性がある。

Figure 1: Number of incidents submitted by countries and user hours lost (2023–2024)	図 1：各国から報告されたインシデント件数と損失ユーザー時間（2023 年～2024 年）
Additionally, the following findings can also be highlighted:	さらに、以下の点も注目すべきだ。
• Highest number of incidents to date (188) reported in electronic communications incident reporting to ENISA. Despite the rise in reported incidents, there was no corresponding increase in user hours lost.	• ENISA に報告された電子コミュニケーションのインシデントは、過去最多の 188 件に達した。報告されたインシデントは増加したものの、ユーザーの損失時間はそれに見合った増加は見られなかった。
• The distribution of incidents was as follows: service outage - 178, other impact on service - 4, Impact on other systems - 1, threat or vulnerability - 1, impact on redundancy - 2 and near miss - 1.	• インシデントの分布は、サービス停止 178 件、サービスへのその他の影響 4 件、他のシステムへの影響 1 件、脅威または脆弱性 1 件、冗長性への影響 2 件、ニアミス 1 件となっている。
• 19,5% Increase in incidents with very large impact from 77 (2023) to 92 (2024).	• 非常に大きな影響を与えたインシデントは、77 件（2023 年）から 92 件（2024 年）へと 19.5% 増加した。
• Root causes key statistics:	• 根本原因の主要統計：
o System failures continued to largely dominate in terms of impact, reaching 60% in 2024 with 113 incidents, which is a slight decrease from 2023 (61%). They accounted for 548 million user hours lost or almost a third of all the user hours lost for 2024.	o 影響の点では、システム障害が引き続き大部分を占め、2024 年には 113 件で 60% に達したが、2023 年（61%）からはわずかに減少した。これは 5 億 4,800 万時間のユーザー時間損失に相当し、2024 年のユーザー時間損失全体の 3 分の 1 近くを占めている。
o Human errors make a small decrease in percentage of incidents to 19% coming from 21% in 2023, however there is more than two times increase of user hours lost from 181 million to 402 million in 2024.	o 人為的ミスによるインシデントの割合は、2023年の21%から19%へとわずかに減少しましたが、2024年には失われたユーザー時間は1億8,100万時間から4億200万時間へと2倍以上に増加している。
o Incidents due to natural phenomena increased to 25 reaching a share of 13% leading to 605 million user hours lost, which is an increase of almost than 9 times the previous year (2023 - 72 million user hours lost).	o 自然現象によるインシデントは 25 件に増加し、その割合は 13% に達し、6 億 500 万時間のユーザー時間損失につながった。これは、前年の 7,200 万時間のユーザー時間損失の 9 倍近くの増加だ。
o Malicious actions accounted for 15 incidents representing 8% share of total incidents for 184 million user hours lost, which is lower than in 2023 with 16 incidents representing 10% and 214 million user hours lost.	o 悪意のある行為によるインシデントは 15 件で、全インシデントの 8% を占め、1 億 8,400 万時間のユーザー利用時間が失われました。これは、2023 年の 16 件（10%）および 2 億 1,400 万時間のユーザー利用時間の損失に比べ、減少している。
• Affected services key statistics	• 影響を受けたサービスの主要統計
o Mobile telephony and mobile internet were again the most impacted sectors, with respectively 100 and 86 incidents, for a share of 57% and 49% similar to 2023.	o 携帯電話およびモバイルインターネットは、それぞれ 100 件および 86 件のインシデントが発生し、2023 年と同様、57% および 49% の割合を占め、再び最も影響を受けたセクターとなった。
o Fhe fixed internet increased their share of incidents from 16% in 2023 to 26% in 2024.	o 固定インターネットのインシデントの割合は、2023年の16%から2024年には26%に増加した。
• Technical causes	• 技術的な原因
o In 2024, 41 incidents were marked as cable cuts (23%), which gives it a 10 % lead over the next two technical causes, such as faulty software change/update (14%) and software bugs (13%). The positions of cable cuts and faulty software change/update swap if we take into account the resulted user hours lost. Faulty software change/update incidents lead to 515 million user hours lost, while cable cuts to 331 million.	o 2024 年には、41 件のインシデントがケーブル切断（23%）と分類され、ソフトウェアの変更/更新の不具合（14%）およびソフトウェアのバグ（13%）という、次の 2 つの技術的な原因を 10% 上回った。ケーブルの切断とソフトウェアの変更/更新の不具合は、その結果として失われたユーザー時間数を考慮すると順位が逆転する。ソフトウェアの変更/更新の不具合によるインシデントでは 5 億 1,500 万時間のユーザー時間が失われたのに対し、ケーブルの切断では 3 億 3,100 万時間だった。
• In 2024, 65 incidents were flagged as failures by third parties which is a 25% increase compared to 2023 where 52 were reported.	• 2024 年には、65 件のインシデントがサードパーティによる障害として報告され、2023 年の 52 件から 25% 増加した。
• No cross-border incidents were reported.	• 国境を越えたインシデントは報告されていない。

Figure 2: Root cause category	図 2：根本原因のカテゴリー

Figure 3: Share of user hours lost for each root cause category	図 3：各根本原因カテゴリーにおけるユーザー時間の損失割合
Multiannual trends over the period 2012–2024	2012年から2024年までの複数年傾向
Over the 13 years, EU Member States reported 1 930 telecom security incidents, stored in the ENISA cybersecurity incident reporting and analysis system (CIRAS). The statistics are accessible online ([6]).	13 年間に、EU 加盟国は 1,930 件の通信セキュリティインシデントを ENISA サイバーセキュリティインシデント報告・分析システム（CIRAS）に報告した。この統計は、[6] でオンラインで閲覧できる。

Figure 4: Root cause categories for telecom security incidents in the EU reported over the 2012–2024 period	図 4：2012 年から 2024 年にかけて報告された EU における電気通信セキュリティインシデントの根本原因カテゴリー
An analysis of incident reports over the years suggests that European telecommunication networks may be becoming more robust and resilient, as the rising number of incidents has not resulted in an increase in user hours lost.	長年にわたるインシデント報告の分析によると、インシデントの件数が増加しても、ユーザーの損失時間は増加していないことから、欧州の通信ネットワークはより堅牢でレジリエンスが高まっていると考えられる。
The following trends, in particular, have emerged:	特に、以下の傾向が顕著になっている。
• System failures (Blue) remains the top root cause over the years.	• システム障害（青）は、長年を通じて最も多い根本原因となっている。
• Malicious actions (Red) remain relatively stable over time with minimal impact, suggesting they are not primary causes of major disruptions.	• 悪意のある行為（赤）は、時間経過とともに比較的安定しており、影響も最小限に留まっていることから、重大な障害の主要な原因ではないと考えられる。
• The most impacted services remain mobile telephony and mobile internet, which is valid for the last 8 years.	• 最も影響を受けたサービスは、過去 8 年間と同様、携帯電話およびモバイルインターネットである。
ENISA will continue to work with the national authorities responsible for telecom security and the NIS Cooperation Group to find and exploit synergies between various pieces of EU legislation, particularly when it comes to incident reporting, incl. cross-border incidents.	ENISA は、通信セキュリティを担当する各国当局および NIS 協力グループと引き続き協力し、特に国境を越えたインシデントを含むインシデントの報告に関して、EU のさまざまな法律間の相乗効果を見出し、活用していく。

[1] The reporting of security incidents has been part of the EU’s regulatory framework for telecoms since the 2009 reform of the telecoms package, in line with Article 13a of the framework directive (2009/140/EC) that came into force in 2011.	[1]セキュリティインシデントの報告は、2011 年に施行された枠組み指令（2009/140/EC）の第 13a 条に基づき、2009 年の電気通信パッケージの改正以来、EU の電気通信に関する規制の枠組みの一部となっている。
[2] It is worth noting that since 2016 security incident reporting is also mandatory for trust service providers in the EU under Article 19 of the eiDAS regulation. In 2018, under the NIS directive, security incident reporting became mandatory for operators of essential services in the EU and for digital service providers, under Article 14 and Article 16 of the NIS directive.	[2]2016 年以降、eiDAS 規則第 19 条に基づき、EU 内のトラストサービス・プロバイダもセキュリティインシデントの報告が義務付けられていることは注目に値する。2018 年、NIS 指令第 14 条および第 16 条に基づき、EU 内の重要サービス事業者およびデジタルサービス・プロバイダもセキュリティインシデントの報告が義務付けられた。
[3] ENISA technical guidelines on incident reporting under the EECC, including on thresholds and calculation of hours lost.	[3]EECC に基づくインシデント報告に関する ENISA 技術ガイドライン（しきい値や損失時間の計算方法など）。
^[4] available on https://ciras.enisa.europa.eu
[5] Derived by multiplying for each incident the number of users by the number of hours.	[5]各インシデントについて、ユーザー数に時間数を乗じて算出。
[6] Note that conclusions about trends and comparisons with previous years have to be made with caution, as national reporting thresholds change over the years. Indeed, reporting thresholds have been lowered in most countries in recent years, and reporting only covers the most significant incidents (not smaller incidents that may well be more frequent).	[6]各国における報告のしきい値は年ごとに変化するため、傾向や前年との比較については慎重な結論を下す必要があることにご留意ください。実際、近年、ほとんどの国で報告のしきい値が引き下げられており、報告の対象は最も重大なインシデントのみ（より頻発する可能性のある軽微なインシデントは対象外）となっている。

ダッシュボード

・CIRAS incident reporting

参考

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.07.08 欧州 ENISA 年次報告書 - 2024年トラストサービス・セキュリティ・インシデント (2025.06.23)

・2024.12.29 ENISA 年次報告書 - 2023年トラストサービス・セキュリティ・インシデント (2024.12.20)

・2024.03.18 ENISA テレコム・セキュリティ・インシデント 2022

・2023.12.09 ENISA トラストサービス・セキュリティインシデント 2022年 (2023.11.30)

・2023.05.31 ENISA 海底ケーブルから低軌道衛星通信までのセキュリティの確保 (2023.05.24)

・2022.03.17 ENISA テレコム業界における利用者へのサイバー脅威の支援活動 (2022.03.10)

・2020.06.12 ENISA サイバーセキュリティインシデントの原因を視覚的にわかりやすく表示するツールの公開

2025.08.06 00:00 in 情報セキュリティ / サイバーセキュリティ, in 法律 / 犯罪, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in 安全保障 | Permalink | Comments (0)
Tweet

米国 CISA USCG 脅威ハンティングを通して見えてきた米国の重要インフラ組織のサイバーハイジーンの改善ポイント (2025.07.31)

こんにちは、丸山満彦です。

CISAと米国沿岸警備隊（USCG）が共同で、重要インフラ組織のサイバー衛生の改善を支援することを目的としたサイバーセキュリティに関する共同勧告を発表しています...

IT環境だけでなく、OT環境でも同様に配慮することが重要という感じですかね...（環境に依存する部分がありますが...）

● CISA

・2025.07.31 CISA and USCG Identify Areas for Cyber Hygiene Improvement After Conducting Proactive Threat Hunt at US Critical Infrastructure Organization

CISA and USCG Issue Joint Advisory to Strengthen Cyber Hygiene in Critical Infrastructure	CISA と USCG、重要インフラのサイバー衛生強化に関する共同勧告を発表
CISA, in partnership with the U.S. Coast Guard (USCG), released a joint Cybersecurity Advisory aimed at helping critical infrastructure organizations improve their cyber hygiene. This follows a proactive threat hunt engagement conducted at a U.S. critical infrastructure facility.	CISA は、米国沿岸警備隊（USCG）と共同で、重要インフラ組織のサイバー衛生の改善を支援することを目的としたサイバーセキュリティに関する共同勧告を発表した。これは、米国の重要インフラ施設で実施された積極的な脅威の追跡活動を受けてのものである。
During this engagement, CISA and USCG did not find evidence of malicious cyber activity or actor presence on the organization’s network but did identify several cybersecurity risks. CISA and USCG are sharing their findings and associated mitigations to assist other critical infrastructure organizations identify potential similar issues and take proactive measures to improve their cybersecurity posture. The mitigations include best practices such as not storing passwords or credentials in plaintext, avoiding sharing local administrator account credentials, and implementing comprehensive logging.	この取り組みの中で、CISA と USCG は、この組織のネットワーク上で悪意のあるサイバー活動や攻撃者の存在を示す証拠は発見しなかったが、いくつかのサイバーセキュリティリスクを識別した。CISA と USCG は、他の重要インフラ組織が同様の問題の可能性を識別し、サイバーセキュリティ体制の改善に向けた積極的な対策を講じることを支援するため、調査結果と関連する緩和策を共有している。緩和策には、パスワードや認証情報を平文で保存しない、ローカル管理者アカウントの認証情報を共有しない、包括的なログ記録を実施するなど、ベストプラクティスが含まれている。
For more detailed mitigations addressing the identified cybersecurity risks, review joint Cybersecurity Advisory: CISA and USCG Identify Areas for Cyber Hygiene Improvement After Conducting Proactive Threat Hunt at US Critical Infrastructure Organization.	特定されたサイバーセキュリティリスクに対処するためのより詳細な緩和策については、共同サイバーセキュリティアドバイザリ「CISA と USCG、米国の重要インフラ組織で予防的な脅威ハンティングを実施し、サイバー衛生の改善領域を特定」を参照のこと。

・2025.07.31 CISA and USCG Identify Areas for Cyber Hygiene Improvement After Conducting Proactive Threat Hunt at US Critical Infrastructure Organization

CISA and USCG Identify Areas for Cyber Hygiene Improvement After Conducting Proactive Threat Hunt at US Critical Infrastructure Organization	CISA と USCG、米国の重要インフラ組織で予防的な脅威ハンティングを実施し、サイバー衛生の改善領域を特定
Summary	概要
The Cybersecurity and Infrastructure Security Agency (CISA) and U.S. Coast Guard (USCG) are issuing this Cybersecurity Advisory to present findings from a recent CISA and USCG hunt engagement. The purpose of this advisory is to highlight identified cybersecurity issues, thereby informing security defenders in other organizations of potential similar issues and encouraging them to take proactive measures to enhance their cybersecurity posture. This advisory has been coordinated with the organization involved in the hunt engagement.	サイバーセキュリティ・インフラセキュリティ庁（CISA）および米国沿岸警備隊（USCG）は、CISA および USCG が最近実施したハンティング活動の結果を発表するため、このサイバーセキュリティアドバイザリを発行している。このアドバイザリの目的は、特定されたサイバーセキュリティの問題を強調し、他の組織のセキュリティ防御担当者に同様の問題の可能性を知らせ、サイバーセキュリティ体制の強化に向けた積極的な対策を取るよう促すことである。このアドバイザリは、ハンティング活動に関与した組織と調整して作成されている。
CISA led a proactive hunt engagement at a U.S. critical infrastructure organization with the support of USCG analysts. During hunts, CISA proactively searches for evidence of malicious activity or malicious cyber actor presence on customer networks. The organization invited CISA to conduct a proactive hunt to determine if an actor had been present in the organization’s environment. (Note: Henceforth, unless otherwise defined, “CISA” is used in this advisory to refer to the hunt team as an umbrella for both CISA and USCG analysts).	CISAは、USCGのアナリストの支援を受けて、米国の重要インフラ組織においてプロアクティブなハンティング活動を実施した。ハンティング活動中、CISAは顧客のネットワーク上で悪意のある活動や悪意のあるサイバーアクターの存在を示す証拠を積極的に検索する。当該組織は、組織の環境内にアクターが存在したかどうかを判断するため、CISAにプロアクティブなハンティングを実施するよう依頼した。（注：以降、特に定義されていない限り、「CISA」はこのアドバイザリーにおいて、CISAとUSCGのアナリストを包括するハンティングチームを指す）
During this engagement, CISA did not identify evidence of malicious cyber activity or actor presence on the organization’s network, but did identify cybersecurity risks, including:	この取り組みの中で、CISA は、組織のネットワーク上で悪意のあるサイバー活動やアクターの存在を示す証拠は確認しなかったが、次のようなサイバーセキュリティのリスクを特定した。
・Insufficient logging;	・不十分なログ記録
・Insecurely stored credentials;	・安全でない認証情報の保存
・Shared local administrator (admin) credentials across many workstations;	・多くのワークステーションで共有されているローカル管理者 (admin) 認証情報
・Unrestricted remote access for local admin accounts;	・ローカル管理者アカウントの無制限のリモートアクセス
・Insufficient network segmentation configuration between IT and operational technology (OT) assets; and	・IT 資産と運用技術 (OT) 資産間のネットワーク分割設定の不備
・Several device misconfigurations.	・複数のデバイスの設定ミス
In coordination with the organization where the hunt was conducted, CISA and USCG are sharing cybersecurity risk findings and associated mitigations to assist other critical infrastructure organizations with improving their cybersecurity posture. Recommendations are listed for each of CISA’s findings, as well as general practices to strengthen cybersecurity for OT environments. These mitigations align with CISA and the National Institute for Standards and Technology’s (NIST) Cross-Sector Cybersecurity Performance Goals (CPGs), and with mitigations provided in the USCG Cyber Command’s (CGCYBER) 2024 Cyber Trends and Insights in the Marine Environment (CTIME) Report.	CISA と USCG は、調査を実施した組織と協力し、サイバーセキュリティリスクの調査結果と関連する緩和策を共有して、他の重要インフラ組織がサイバーセキュリティ体制の改善を支援している。CISA の調査結果ごとに、OT 環境のサイバーセキュリティを強化するための推奨事項と一般的な実践方法が記載されている。これらの緩和策は、CISA および国立標準技術研究所（NIST）の「セクター横断サイバーセキュリティパフォーマンス目標（CPG）」、および USCG サイバーコマンド（CGCYBER）の「2024 年海洋環境におけるサイバートレンドと洞察（CTIME）報告書」で提示されている緩和策と整合している。
Although no malicious activity was identified during this engagement, critical infrastructure organizations are advised to review and implement the mitigations listed in this advisory to prevent potential compromises and better protect our national infrastructure. These mitigations include the following (listed in order of importance):	今回の調査では悪意のある活動は確認されなかったが、重要なインフラストラクチャ組織は、潜在的な侵害を防止し、米国のインフラストラクチャをより確実に防御するために、このアドバイザリに記載されている緩和策を確認し、実施することを推奨する。これらの緩和策には、以下のものが含まれる（重要度の高い順に記載）。
・Do not store passwords or credentials in plaintext. Instead, use secure password and credential management solutions such as encrypted password vaults, managed service accounts, or built-in secure features of deployment tools.	・パスワードや認証情報を平文で保存しない。代わりに、暗号化されたパスワード保管庫、マネージドサービスアカウント、または展開ツールの組み込みのセキュリティ機能など、安全なパスワードおよび認証情報管理ソリューションを使用する。
・・Ensure that all credentials are encrypted both at rest and in transit. Implement strict access controls and regular audits to securely manage scripts or tools accessing credentials.	・・すべての認証情報は、保存時および転送時に暗号化されていることを確認する。厳格なアクセス管理と定期的な監査を実施し、認証情報にアクセスするスクリプトやツールを安全に管理する。
・・Use code reviews and automated scanning tools to detect and eliminate any instances of plaintext credentials on hosts or workstations.	・・コードレビューや自動スキャンツールを使用して、ホストやワークステーション上の平文の認証情報を検出して排除する。
・・Enforce the principle of least privilege, only granting users and processes the access necessary to perform their functions.	・・最小権限の原則を適用し、ユーザーやプロセスにはその機能の実行に必要なアクセス権のみ付与する。
・Avoid sharing local administrator account credentials. Instead, provision unique, complex passwords for each account using tools like Microsoft’s Local Administrator Password Solution (LAPS) that automate password management and rotation.	・ローカル管理者アカウントの認証情報の共有は避ける。代わりに、パスワードの管理と更新を自動化する Microsoft の Local Administrator Password Solution (LAPS) などのツールを使用して、各アカウントに固有の複雑なパスワードを設定する。
・Enforce multifactor authentication (MFA) for all administrative access, including local and domain accounts, and for remote access methods such as Remote Desktop Protocol (RDP) and virtual private network (VPN) connections.	・ローカルアカウントやドメインアカウントを含むすべての管理者アクセス、およびリモートであるクトッププロトコル (RDP) や仮想プライベートネットワーク (VPN) 接続などのリモートアクセス方法には、多要素認証 (MFA) を適用する。
・Implement and enforce strict policies to only use hardened bastion hosts isolated from IT networks equipped with phishing-resistant MFA to access industrial control systems (ICS)/OT networks, and ensure regular workstations (i.e., workstations used for accessing IT networks and applications) cannot be used to access ICS/OT networks.	・産業用制御システム (ICS)/OT ネットワークへのアクセスには、フィッシング対策 MFA を備えた IT ネットワークから隔離された、強化されたバスティオンホストのみを使用するという厳格なポリシーを実施および徹底し、通常のワークステーション (IT ネットワークおよびアプリケーションへのアクセスに使用されるワークステーション) が ICS/OT ネットワークへのアクセスに使用できないようにする。
・Implement comprehensive (i.e., large coverage) and detailed logging across all systems, including workstations, servers, network devices, and security appliances.	・ワークステーション、サーバー、ネットワークデバイス、セキュリティ機器など、すべてのシステムに包括的（つまり、広範囲をカバーする）かつ詳細なロギングを実施する。
・・Ensure logs capture information such as authentication attempts, command-line executions with arguments, and network connections.	・・ログには、認証の試行、引数付きコマンドラインの実行、ネットワーク接続などの情報が確実に記録されるようにする。
・・Retain logs for an appropriate period to enable thorough historical analysis (adhering to organizational policies and compliance requirements) and aggregate logs in an out-of-band, centralized location, such as a security information event management (SIEM) tool, to protect them from tampering and facilitate efficient analysis.	・・組織の方針およびコンプライアンス要件に従って、徹底的な履歴分析を可能にするために、ログを適切な期間保存し、セキュリティ情報イベント管理（SIEM）ツールなどの帯域外の一元化された場所にログを収集して、改ざんから保護し、効率的な分析を容易にする。
For more detailed mitigations addressing the identified cybersecurity risks, see the Mitigations section of this advisory.	特定されたサイバーセキュリティリスクに対処するためのより詳細な緩和策については、本アドバイザリ「緩和策」セクションを参照のこと。

・[PDF]

2025.08.06 00:00 in 情報セキュリティ / サイバーセキュリティ, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続 | Permalink | Comments (0)
Tweet

2025.08.05

米国耐量子暗号連合 (PQCC) 国際的なPQC要件 (2025.07.15)

こんにちは、丸山満彦です。

MITREの耐量子暗号連合 (PQCC) が、各国のPQC要件を紹介していますね...

韓国と中国が米国とは異なる独自のアルゴリズムを標準化しているようですね...

中国はわかるが...

2030年までは重要インフラ...というのが現実的...

しかし、日本も移行方針を早く示して（今のタイミングでは米国、英国などと同じスピード感でよいのでは...）、暗号を利用している製品やサービスを提供している企業に移行計画を示してもらうということを早めにすることが、まずもって良いのではないかなぁと思ったり...

紹介しそこねた、CRYPTOREC 2024の報告書も下に紹介しておきますね...

● Post-Quantum Cryptography Coalition（PQCC）

・2025.07.15 International PQC Requirements

International PQC Requirements	国際的な PQC 要件
This document analyzes international post-quantum cryptography (PQC) requirements.	本ドキュメントは、国際的な耐量子暗号（PQC）要件について分析したものである。
International government regulatory bodies are defining the quantum-resistance requirements to be followed by technology vendors used in national or government security systems. This document analyzes international post-quantum cryptography (PQC) requirements. It aims to identify alignment and misalignment areas which could pose challenges for international vendor compliance and interoperability.	国際的な政府規制団体は、国家や政府のセキュリティシステムで使用される技術ベンダーが従うべき量子耐性の要件を定義している。本文書は、国際的なポスト量子暗号（PQC）要件を分析するものである。その目的は、国際的なベンダーのコンプライアンスと相互運用性に課題をもたらす可能性のある、整合性と不整合領域を特定することである。
We surveyed PQC requirements laid out in various country cryptographic requirement documents in order to assess if they align or if their potential misalignments could pose challenges for international vendors that would need to comply with them. The country requirements we surveyed as of May 2025 were ones that had added PQC algorithms in their documents and included CNSA 2.0 (USA), NIST (USA), NCSC (UK), CCCS (Canada), BSI (Germany), NLNCSA (Netherlands), ANSSI (France), EU Commission, ASD (Australia), Norway, New Zealand, Japan, South Korea, UAE, Saudi Arabia, Singapore, and China. Some countries had defined transition plans and recommended quantum-resistant algorithms. Other countries were tracking the new algorithms without prescriptive recommendations. Others, like South Korea and China, had standardized their own algorithms which are not the same algorithms as US NIST’s. Korea’s second round competition resulted in selections of NTRU+ and SMAUG-T as KEMs and ALMer and HAETAE as signatures. China held its competition in 2019-2020 and in February 2025 ICCS called for proposals for commercial application.	様々な国の暗号要件文書に記載されている PQC 要件を調査し、それらの要件が整合しているかどうか、またそれらの要件に準拠する必要がある国際的なベンダーにとって、潜在的な不整合が課題をもたらす可能性があるかどうかを評価した。2025年5月時点で調査した国別要件は、文書にPQCアルゴリズムを追加しているもので、CNSA 2.0（米国）、NIST（米国）、NCSC（英国）、CCCS（カナダ）、BSI（ドイツ）、NLNCSA（オランダ）、ANSSI（フランス）、EU委員会、ASD（オーストラリア）、ノルウェー、ニュージーランド、日本、韓国、UAE、サウジアラビア、シンガポール、中国が含まれる。移行計画を定め、量子抵抗性アルゴリズムを推奨している国もあった。また、明確な推奨なしに新しいアルゴリズムを追跡している国もあった。韓国や中国のように、米国NISTのアルゴリズムとは異なる独自のアルゴリズムを標準化している国もあった。韓国の第2ラウンドでは、KEMとしてNTRU+とSMAUG-T、署名としてALMerとHAETAEが選ばれた。中国は2019-2020年にコンペを開催し、2025年2月にICCSは商用アプリケーションの提案を募集した。
Recently, there also have been some updates regarding migration timelines. NIST came up with their initial algorithm transition document draft which sets the deprecation of classical asymmetric algorithms in 2030 and disallows them after 2035. NCSC set the year for transitioning important use-cases as 2031 and 2035 for the others. Australia’s ASD set the transition year as 2030. EU member states, on the other hand, came up with their own roadmap which requires a transition for important use-cases before 2030 and as many as possible before 2035.	最近も、移行スケジュールに関するアップデートがあった。NISTは、古典的な非対称アルゴリズムを2030年に非推奨とし、2035年以降は非推奨とする最初のアルゴリズム移行文書ドラフトを発表した。NCSCは、重要なユースケースの移行時期を2031年とし、その他は2035年としている。オーストラリアのASDは2030年を移行年としている。一方、EU加盟国は独自のロードマップを策定し、重要なユースケースについては2030年以前、可能な限り多くのユースケースについては2035年以前に移行することを求めている。
In more detail, there were misalignments regarding approved quantum-resistant KEMs by various national requirements. NIST standardized ML-KEM and has announced they will standardize HQC from Round 4. CNSA 2.0 recommends ML-KEM’s Level 5 variant only (ML-KEM-1024) for use in US National Security Systems (NSS). NCSC UK recommends ML-KEM-768 (Level 3). BSI Germany recommends FrodoKEM-976 and FrodoKEM-1344, mceliece460896, mceliece6688128 and mceliece8192128. BSI also announced they will include ML-KEM-768 and ML-KEM-1024 in their recommendations after ML-KEM is standardized by NIST. ANSSI France recommends ML-KEM-768 or ML-KEM-1024 and FrodoKEM as a conservative option. NLNCSA Netherlands recommends ML-KEM-1024 and considers ML-KEM-768, and accepts Classic McEliece and FrodoKEM. Norway recommends ML-KEM-1024 and ML-KEM-768. Spain recommends ML-KEM and FrodoKEM. The Czech Republic recommends ML-KEM-1024 and ML-KEM-768, FrodoKEM, and Classic McEliece. Australia recommends ML-KEM-1024 (ML-KEM-768 is acceptable until 2030).	より詳細には、承認された耐量子KEMに関して、様々な国家要件による不整合があった。NIST は ML-KEM を標準化し、ラウンド 4 から HQC を標準化すると発表した。CNSA 2.0 は、ML-KEM のレベル 5 バリアント（ML-KEM-1024）のみを米国国家安全保障システム（NSS）での使用に推奨している。NCSC UK は ML-KEM-768 （レベル 3）を推奨している。BSIドイツは、FrodoKEM-976、FrodoKEM-1344、mceliece460896、mceliece6688128、mceliece8192128を推奨している。BSIはまた、ML-KEMがNISTによって標準化された後、ML-KEM-768とML-KEM-1024を推奨に含めると発表した。ANSSI France は、ML-KEM-768 または ML-KEM-1024 と FrodoKEM を保守的な選択肢として推奨している。NLNCSA オランダは、ML-KEM-1024 を推奨し、ML-KEM-768 を考慮、Classic McEliece と FrodoKEM を受け入れる。ノルウェーはML-KEM-1024とML-KEM-768を推奨する。スペインはML-KEMとFrodoKEMを推奨する。チェコ共和国は、ML-KEM-1024とML-KEM-768、FrodoKEM、Classic McElieceを推奨している。オーストラリアはML-KEM-1024を推奨する（2030年まではML-KEM-768も可）。
In summary, as of May 2025, some country PQC requirements endorse FrodoKEM and Classical McEliece whereas most endorse a parameter of ML-KEM. Requiring vendors to support and certify implementations of three or four KEMs to comply with certain requirements would introduce overhead for implementers. Fortunately, all surveyed country PQC requirements which align with NIST algorithms generally recommend some variant of ML-KEM which means that vendors have one KEM to implement as a common denominator. Note that a limited set of countries like China or South Korea ran their own PQC projects, which means they ended up requiring completely different KEMs.	まとめると、2025年5月現在、一部の国のPQC要件はFrodoKEMとClassical McElieceを推奨しているが、ほとんどの国はML-KEMのパラメータを推奨している。特定の要件に準拠するために、ベンダーに3つまたは4つのKEMの実装をサポートし認証することを要求することは、実装者にとってオーバーヘッドとなる。幸いなことに、NIST のアルゴリズムと整合する調査対象国の PQC 要件はすべて、一般的に ML-KEM の一種を推奨している。中国や韓国のような限られた国々は、独自の PQC プロジェクトを実施した。
There were less misalignments regarding general quantum-resistant signature algorithms, but there are more options. The IETF has already standardized Stateful Hash-Based Signatures (HBS) LMS and XMSS. NIST standardized ML-DSA, FN-DSA and SLH-DSA and will probably standardize one more signature after Round 4. CNSA 2.0 recommends the Level 5 parameter of ML-DSA, ML-DSA-87 as a general signature, and single-tree LMS/XMSS for firmware signing. It is not planning to recommend SLH-DSA. NCSC UK recommends ML-DSA-65, SLH-DSA and LMS/XMSS. BSI Germany recommends SLH-DSA or ML-DSA Levels 3 and 5 and LMS/XMSS in their multi-tree variants for long-term signatures. ANSSI France recommends ML-DSA, FN-DSA Level 3 and 5, SLH-DSA and LMS/XMSS. NLNCSA Netherlands recommends ML-DSA-87 (ML-DSA-65 is acceptable), SLH-DSA as well as LMS/XMSS and HSS. Norway recommends ML-DSA-65, ML-DSA-87, SLH-DSA as well as LMS/XMSS. Spain recommends ML-DSA and SLH-DSA, and XMSS. The Czech Republic approves the usage of ML-DSA-87, FN-DSA and SLH-DSA as well as LMS/XMSS. Australia recommends, ML-DSA-87 (ML-DSA-65 is acceptable until 2030).	一般的な量子耐性署名アルゴリズムに関しては、不整合は少なかったが、選択肢は多い。IETFはすでにステートフルハッシュベース署名（HBS）のLMSとXMSSを標準化している。NISTはML-DSA、FN-DSA、SLH-DSAを標準化し、ラウンド4の後にもう1つ標準化する予定である。CNSA 2.0は、ML-DSAのレベル5パラメータ、一般的な署名としてのML-DSA-87、ファームウェア署名用のシングルツリーLMS/XMSSを推奨している。SLH-DSA を推奨する予定はない。NCSC UK は、ML-DSA-65、SLH-DSA、LMS/XMSS を推奨している。BSIドイツは、長期署名用にSLH-DSA、MLH-DSAレベル3および5、LMS/XMSSのマルチツリーを推奨している。ANSSIフランスは、MLH-DSA、FN-DSAレベル3および5、SLH-DSA、LMS/XMSSを推奨する。NLNCSA オランダはML-DSA-87（ML-DSA-65も可）、SLH-DSA、LMS/XMSS、HSSを推奨する。ノルウェーはML-DSA-65、ML-DSA-87、SLH-DSA、LMS/XMSSを推奨する。スペインはML-DSA、SLH-DSA、XMSSを推奨している。チェコ共和国は、LMS/XMSSと同様に、ML-DSA-87、FN-DSA、SLH-DSAの使用を承認している。オーストラリアはML-DSA-87を推奨している（ML-DSA-65は2030年まで許容）。
In summary, international recommendations include some parameter of the NIST signatures and Stateful HBS. CNSA 2.0 and NCSC consider HBS signatures more appropriate for firmware/software signing; CNSA 2.0 recommends LMS/XMSS for software/firmware signing, but other international recommendations do not distinguish between firmware and general signing. ML-DSA, SLH-DSA and/or LMS/XMSS (single or multi-tree) are the common denominator from these recommendations (except for CNSA 2.0 not recommending SLH-DSA). Given that the options are three, endorsing all these schemes introduces flexibility and complexity for vendors who still need to converge on signature algorithms with their pros and cons for their use-cases and compliance requirements. For example, vendors compelled to support LMS/XMSS for CNSA 2.0 will have to deal with state management concerns of Stateful Signatures. As another example, a vendor wanting to avoid the state management risk could choose SLH-DSA, but then it would not be able to comply with CNSA 2.0. Another challenge is how regulating bodies are expecting to verify that the signer is not reusing state in stateful HBS. NIST SP 800-208 introduces requirements for ensuring these signatures are properly used but creates further challenges for signers that want to comply. Hardware Security Module vendors have brought up the issue with NIST in various fora. NIST is currently considering options, but generally managing state and providing flexibility for compliance is not trivial.	まとめると、国際的な勧告には、NIST署名とステートフルHBSのいくつかのパラメータが含まれている。CNSA 2.0とNCSCは、HBS署名がファームウェア/ソフトウェア署名に適していると考えている。CNSA 2.0は、ソフトウェア/ファームウェア署名にLMS/XMSSを推奨しているが、他の国際勧告はファームウェア署名と一般的な署名を区別していない。ML-DSA、SLH-DSAおよび/またはLMS/XMSS（シングルまたはマルチツリー）が、これらの勧告に共通するものである（CNSA 2.0がSLH-DSAを推奨していないことを除く）。選択肢が3つであることを考えると、これらすべての方式を推奨することは、ベンダーに柔軟性と複雑性をもたらす。ベンダーは、それぞれのユースケースとコンプライアンス要件に対して、長所と短所を備えた署名アルゴリズムに収束する必要がある。例えば、CNSA 2.0のためにLMS/XMSSをサポートせざるを得ないベンダーは、ステートフル署名の状態管理に関する懸念に対処しなければならない。別の例として、ステートマネジメントのリスクを回避したいベンダーはSLH-DSAを選択できるが、そうするとCNSA 2.0に準拠できなくなる。もう一つの課題は、ステートフルHBSで署名者がステートを再利用していないことを、規制団体がどのように検証することを期待しているかということである。NIST SP 800-208は、これらの署名が適切に使用されていることを保証するための要件を導入しているが、準拠を望む署名者にとってはさらなる課題が生じる。ハードウェア・セキュリティ・モジュールのベンダーは、さまざまな場でこの問題をNISTに提起した。NISTは現在、選択肢を検討しているが、一般的に状態を管理し、コンプライアンスに柔軟性を持たせることは容易ではない。
When it comes to PQ hybrid key exchange, there was mostly alignment in the surveyed country requirements. NIST approves it for FIPS in SP 800-56C (Section 2), with possible updates/clarifications coming with the finalization of NIST SP 800-227. CNSA 2.0 tolerates hybrid only for cases where the standard cannot support pure PQ. NCSC UK accepts PQ hybrids as an “interim measure” but recommends pure. BSI Germany and ANSSI France recommend hybrid key exchange as well. NLNCSA Netherlands also makes recommendations for hybrids. Similarly, for the European commission documentation. In summary, deploying hybrid key exchange is acceptable with requirements with the exception of CNSA 2.0.	PQハイブリッド鍵交換に関しては、調査対象国の要件はほぼ一致している。NISTは、SP 800-56C（セクション2）において、FIPS向けにこれを承認しているが、 NIST SP 800-227の最終化により、更新や明確化が行われる可能性がある。CNSA 2.0は、標準が純粋なPQをサポートできない場合に限り、ハイブリッドを容認する。NCSC UKはPQハイブリッドを「暫定措置」として容認しているが、純粋なものを推奨している。BSIドイツとANSSIフランスも同様にハイブリッド鍵交換を推奨している。オランダのNLNCSAもハイブリッドを推奨している。欧州委員会の文書も同様である。まとめると、ハイブリッド鍵交換の展開は、CNSA 2.0を除く要件で許容される。
Requirements did not fully align regarding PQ hybrid signatures. US NIST will standardized three PQ signatures and will standardize one more after Round 4, but has not recommended or rejected hybrid signatures. CNSA 2.0 recommends only pure PQ signing. NCSC UK “prefers” pure PQ signatures over an interim hybrid PQ approach and recommends a flexible transition if hybrid is chosen. BSI Germany requires hybrid signatures unless they are HBS which can be used on their own. The same applies to ANSSI France recommendations. NLNCSA Netherlands recommends hybridization in general. EU Commission recognizes there “may” be a need for hybridization. Thus, some countries (mostly in Europe) require hybrid signatures except for HBS, whereas NCSC and NSA recommend against hybrid signatures. They recognize that hybrid signatures would mean two PKI migrations which is not trivial.	PQハイブリッド署名に関しては、要件が完全に一致していない。米国NISTは3つのPQ署名を標準化し、ラウンド4後にさらに1つ標準化する予定だが、ハイブリッド署名を推奨も拒否もしていない。CNSA 2.0は純粋なPQ署名のみを推奨している。NCSC UKは、暫定的なハイブリッドPQ方式よりも純粋なPQ署名を「好み」、ハイブリッドが選択された場合は柔軟な移行を推奨している。BSIドイツは、単独で使用できるHBSでない限り、ハイブリッド署名を要求している。ANSSIフランスの勧告も同様である。NLNCSA オランダは一般的にハイブリッド化を推奨している。EU委員会は、ハイブリッド化の必要性が「あるかもしれない」と認識している。したがって、一部の国（主にヨーロッパ）はHBSを除いてハイブリッド署名を要求しているが、NCSCとNSAはハイブリッド署名を推奨していない。彼らは、ハイブリッド署名は2つのPKI移行を意味し、それは些細なことではないと認識している。
There were some misalignments regarding the quantum resistance of hash functions in the surveyed requirements. NIST still recommends SHA-256 or higher. CNSA 2.0 requires SHA-384 and SHA-512. ANSSI requires SHA-384. BSI Germany and NCSC UK consider SHA-256 secure. So, there is misalignment on the PQ security of hash functions. Some countries are more conservative than others. Generally, SHA-256 and SHA-384 are of the SHA2 family and are generally supported in implementations and standards. Thus, these requirements do not pose significant challenges for vendors that would need to comply except for some special use-cases.	調査された要求事項の中で、ハッシュ関数の量子耐性に関していくつかの不整合があった。NIST は依然として SHA-256 以上を推奨している。CNSA 2.0 は SHA-384 および SHA-512 を要求している。ANSSIはSHA-384を要求している。ドイツBSIと英国NCSCはSHA-256を安全と考えている。つまり、ハッシュ関数のPQ安全性にはズレがある。一部の国は他の国よりも保守的である。一般的に、SHA-256とSHA-384はSHA2ファミリーに属し、実装や標準では一般的にサポートされている。したがって、これらの要件は、一部の特殊なユースケースを除けば、準拠する必要のあるベンダーにとって大きな課題とはならない。
There were some misalignments regarding AES sizes as well. US NIST considers AES-128 secure for years to come even if a cryptanalytically-relevant quantum computer became a reality. CNSA 2.0 has been requiring AES-256 even before the quantum computing risk. NCSC UK considers AES-128 secure. BSI Germany recommends AES-128 as well. ANSSI France recommends AES-256. So, as in the previous cases, for AES some countries are more conservative than others. Although there is misalignment with requirements regarding symmetric encryption, AES-256 and AES-128 are available in almost all implementations and standards. Thus, these misalignments do not pose significant challenges for vendors that would need to comply except for some special use-cases.	AESのサイズに関しても、いくつかの不一致があった。米国NISTは、暗号解読に関連する量子コンピュータが現実のものとなったとしても、AES-128は今後数年間は安全であると考えている。CNSA 2.0は、量子コンピュータのリスク以前からAES-256を要求している。NCSC UKはAES-128を安全だと考えている。ドイツBSIもAES-128を推奨している。ANSSIフランスはAES-256を推奨している。つまり、これまでのケースと同様、AESに関しては、ある国の方が他の国よりも保守的なのである。対称暗号化に関する要件とのズレはあるが、AES-256とAES-128は、ほとんどすべての実装と標準において利用可能である。したがって、これらのズレは、一部の特殊なユースケースを除き、準拠する必要のあるベンダーにとって大きな課題とはならない。

CRYPTOREC

・2025.07.22 CRYPTREC Report 2024の公開

・・[PDF] CRYPTREC Report 2024 暗号技術評価委員会報告

・・[PDF] CRYPTREC Report 2024 暗号技術活用委員会報告

耐量子暗号関係...

● まるちゃんの情報セキュリティ気まぐれ日記

日本...

・2025.04.08 日本銀行金融高度化センター設立20周年記念ワークショップ「デジタル化とわが国の金融の未来」 (2025.02.13)

・2025.04.03 CRYPTREC 暗号技術ガイドライン（耐量子計算機暗号）2024年度版、耐量子計算機暗号の研究動向調査報告書 (2025.04.02)

・2024.11.30 金融庁預金取扱金融機関の耐量子計算機暗号への対応に関する検討会報告書 (2024.11.26)

・2024.10.25 政府認証基盤 (GPKI) 政府認証基盤相互運用性仕様書（移行期間編）と移行完了編） (2024.10.11)

・2024.09.16 金融庁「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会」（第１回）議事要旨（会議は2024.07.18）

・2023.09.29 日本銀行金融研究所量子コンピュータが暗号に及ぼす影響にどう対処するか：海外における取組み

米国　NIST他

・2025.05.26 米国耐量子暗号連合 (PQCC) 耐量子暗号への移行についてのロードマップ (2025.05.16)

・2025.03.14 米国 NIST 第5の耐量子暗号化のアルゴリズムとしてHQCを選択 (2025.03.11)

・2025.03.14 米国 NIST IR 8545 NISTの耐量子暗号標準化プロセスの第4ラウンドに関する現状報告書

・2025.03.11 米国 NIST CSWP 39（初期公開ドラフト）暗号化の機敏性を実現するための考慮事項：戦略と実践

・2025.01.10 米国 NIST SP 800-227（初期公開ドラフト）キーカプセル化メカニズムに関する推奨事項

・2024.11.16 米国 NIST IR 8547（初期公開ドラフト）耐量子暗号標準への移行について

・2024.11.03 米国 NIST IR 8528 耐量子暗号標準化プロセスにおける追加デジタル署名スキームの第一ラウンドに関する状況報告書

・2024.08.14 米国 NIST 耐量子暗号化標準の最初の3つ (FIPS 203, 204, 205) を確定

・2023.12.22 NIST SP 1800-38（初期ドラフト）耐量子暗号への移行：量子安全暗号の実装と採用を検討するための準備

・2023.08.22 米国 CISA NSA NIST 量子対応：耐量子暗号への移行

・2022.10.02 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告（参考文献の追加）

・2022.07.07 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告

英国

・2025.03.21 英国 NSCS 耐量子暗号への移行スケジュールを発表 (2025.03.20)

ENISA

・2022.10.21 ENISA ポスト量子暗号 - 統合研究

2025.08.05 00:00 in 情報セキュリティ / サイバーセキュリティ, in 暗号 / 電子署名 / ブロックチェーン, in (temp)COVID-19, in 量子技術, in 安全保障 | Permalink | Comments (0)
Tweet

米国 NIST SP 1800-44 (初期ドラフト) 安全なソフトウェア開発、セキュリティ、および運用 (DevSecOps) のプラクティス (2025.07.30)

こんにちは、丸山満彦です。

NISTが、NIST SP 1800-44 (初期ドラフト) 安全なソフトウェア開発、セキュリティ、および運用 (DevSecOps) のプラクティスのドラフトが公開され、意見募集がされていますね...

● NIST - ITL

・2025.07.30 NIST SP 1800-44 (Initial Public Draft) Secure Software Development, Security, and Operations (DevSecOps) Practices

NIST SP 1800-44 (Initial Public Draft) Secure Software Development, Security, and Operations (DevSecOps) Practices	NIST SP 1800-44 (初期ドラフト) 安全なソフトウェア開発、セキュリティ、および運用 (DevSecOps) のプラクティス
Announcement	発表
The NIST NCCoE is excited to announce the release of the preliminary draft Volume A of NIST Special Publication (SP) 1800-44, Secure Software Development, Security, and Operations (DevSecOps) Practices, to provide a high-level overview of the guidance NIST is developing to increase the security of software	NIST NCCoEは、NIST特別刊行物（SP）1800-44「セキュアなソフトウェア開発、セキュリティ、および運用（DevSecOps）プラクティス」の初期ドラフトA巻を発表し、NISTがソフトウェアのセキュリティを高めるために開発しているガイダンスの概要を提供する。
The NCCoE is collaborating with 14 companies through the Software Supply Chain and DevOps Security Practices Consortium as part of NIST’s response to White House Executive Order (EO) 14306, Sustaining Select Efforts to Strengthen the Nation's Cybersecurity and Amending Executive Order 13694 and Executive Order 14144. As stipulated in the EO, NIST is directed to establish the consortium to develop guidance that demonstrates the implementation of best practices based on NIST’s Secure Software Development Framework (SSDF).	NCCoEは、ホワイトハウスの大統領令（EO）14306（Sustaining Select Efforts to Strengthen the Nation's Cybersecurity and Amending Executive Order 13694 and Executive Order 14144）へのNISTの対応の一環として、Software Supply Chain and DevOps Security Practices Consortiumを通じて14社と協力している。EOに規定されているように、NISTは、NISTのセキュアソフトウェア開発フレームワーク（SSDF）に基づくベストプラクティスの実施を実証するガイダンスを開発するコンソーシアムを設立するよう指示されている。
The NCCoE has just released the preliminary public draft Volume A of Secure Software Development, Security, and Operations (DevSecOps) Practices (NIST Special Publication (SP) 1800-44) for public comment. The current version provides a high-level overview of the project's scope; future guidance will include a detailed reference model and specific implementation guidance for each of the project’s planned use cases.	NCCoEは、セキュアソフトウェア開発、セキュリティ、および運用（DevSecOps）プラクティス（NIST特別刊行物（SP）1800-44）の初期公開草案A巻を公開し、パブリックコメントの募集を開始した。現在のバージョンは、プロジェクトのスコープのハイレベルな概要を提供するもので、今後のガイダンスには、詳細な参照モデルと、プロジェクトで計画されている各ユースケースの具体的な実装ガイダンスが含まれる予定である。
The NCCoE welcomes public comments on the preliminary draft guidance through September 12, 2025. The project team plans to release additional drafts of the guidance incrementally throughout the project, accompanied by public comment periods. Those interested can also join the NCCoE DevSecOps Community of Interest (COI) to stay up to date and collaborate on the project .	NCCoEは2025年9月12日まで、初期ドラフト・ガイダンスに対するパブリック・コメントを歓迎する。プロジェクト・チームは、プロジェクト期間中、パブリック・コメント期間を設けながら、ガイダンスの追加ドラフトを段階的に発表する予定である。興味のある方は、NCCoE DevSecOps Community of Interest (COI)に参加して、最新情報を入手し、プロジェクトに協力することもできる。

プロジェクトのウェブページ...

・Project homepage

・[PDF] SP 1800-44 (Draft)

目次...

1 Introduction..	1 序論
1.1 Background…	1.1 背景
1.1.1 Development, Security, and Operations (DevSecOps) .	1.1.1 開発、セキュリティ、運用（DevSecOps）
1.1.2 The Role of Al in Software Development	1.1.2 ソフトウェア開発におけるアルの役割
1.1.3 The Role of Zero Trust in Software Development	1.1.3 ソフトウェア開発におけるゼロ・トラストの役割
1.2 Audience..	1.2 聴衆...
1.3 Scope	1.3 スコープ
1.4 Challenges.	1.4 課題.
2 Methodology - A Notional Reference Model for DevSecOps.	2 方法論 - DevSecOpsの想定参照モデル.
3 Next Steps..	3 次のステップ
Appendix A List of Acronyms..	附属書 A 頭字語のリスト.
Appendix B Glossar	附属書 B 用語集
List of Figures	図の一覧
Figure 1 DevSecOps Notional Reference Model	図 1 DevSecOps の想定リファレンスモデル

エグゼクティブサマリー

Executive Summary	エグゼクティブサマリー
DevOps embodies a modern approach to software development by abolishing the traditional silos between development and operations teams. It emphasizes collaboration, automation, and continuous improvement by removing delays and inefficiencies while boosting efficiency and quality in the software development lifecycle. However, with the evolving cybersecurity risks and rising security breaches, most organizations that produce software have been increasingly integrating security into their DevOps environments, tools, and processes – a practice known as DevSecOps.	DevOpsは、開発チームと運用チームの間の従来のサイロを廃止することで、ソフトウェア開発に対する現代的なアプローチを具現化する。ソフトウェア開発ライフサイクルの効率と品質を高めながら、遅延や非効率を排除することで、コラボレーション、自動化、継続的改善を重視する。しかし、サイバーセキュリティのリスクが進化し、セキュリティ侵害が増加する中、ソフトウェアを製造するほとんどの組織では、DevOps環境、ツール、プロセスにセキュリティを統合する傾向が強まっている。
DevSecOps is a software development paradigm that prioritizes integration of security practices from the very beginning of the development process (a “before-thought” approach) rather than addressing them as a separate concern in later stages or post-deployment (an “after-thought” approach). There are various reasons for growing adoption of DevSecOps:	DevSecOpsはソフトウェア開発のパラダイムであり、セキュリティ対策を後工程や展開後の段階（「アフターソート」アプローチ）で別の問題として扱うのではなく、開発プロセスの初期段階（「ビフォアソート」アプローチ）からセキュリティ対策を統合することを優先する。DevSecOpsの採用が増加している理由は様々である：
• The growing complexity and volume of cyber threats have made software development environments prime targets for various forms of attacks and cybersecurity breaches. Bad actors are preying on overlooked security practices in software development infrastructures and tools, misconfigurations in cloud environments, and weak access controls that lead to vulnerabilities. DevSecOps practice can help organizations build more resilient systems to protect against these types of threats.	- サイバー脅威の複雑さと量の増大により、ソフトウェア開発環境は、さまざまな形態の攻撃やサイバーセキュリティ侵害の格好の標的となっている。悪質な行為者は、ソフトウェア開発インフラやツールの見落とされたセキュリティ慣行、クラウド環境の設定ミス、脆弱性につながる脆弱なアクセス管理などを食い物にしている。DevSecOpsの実践は、組織がこの種の脅威から保護するために、よりレジリエンスに優れたシステムを構築するのに役立つ。
• Most software today relies on one or more third-party components, yet organizations often have little or no visibility into or understanding of how these components are developed, integrated, deployed, and maintained, as well as the practices used to ensure the components’ security. DevSecOps tools can scan, identify, discover, and help eliminate vulnerabilities in third-party components early in the development lifecycle.	- 今日、ほとんどのソフトウェアは、1つ以上のサードパーティ製コンポーネントに依存しているが、組織は、これらのコンポーネントがどのように開発、統合、展開、保守されているか、また、コンポーネントのセキュリティを確保するために使用されているプラクティスについて、ほとんど可視化されていないか、まったく理解できていないことが多い。DevSecOpsツールは、開発ライフサイクルの早い段階でサードパーティ・コンポーネントの脆弱性をスキャン、識別、発見し、排除することができる。
• The growing adoption of artificial intelligence (AI) in DevSecOps is making significant impacts in enhancing threat detection and prevention, security testing and remediation, preserving proactive security posture while also enhancing efficiency, speed, and quality in the software development process by automating tasks such as code integration, testing, deployment and monitoring that lead to consistently reliable and quicker software production.	- DevSecOpsにおける人工知能（AI）の採用の拡大は、脅威の検知と予防、セキュリティテストと修復の強化、事前予防的なセキュリティ態勢の維持に大きな影響を与えると同時に、コード統合、テスト、展開、監視などの作業を自動化することによって、ソフトウェア開発プロセスの効率、スピード、品質を向上させ、一貫した信頼性と迅速なソフトウェア生産につながる。
The National Cybersecurity Center of Excellence (NCCoE) is demonstrating and documenting risk-based security practices for DevSecOps, aligning with the NIST Secure Software Development Framework [1][2] Initially, this project will focus on securing cloud-based environments that resemble typical closedsource software development settings, highlighting dynamic enforcement of least privileged access through a practical Zero Trust Architecture (ZTA) implementation. Moreover, the project will showcase a holistic approach to secure software development, embedding security considerations and best practices as well as leveraging AI throughout the phases of the secure software development process to automate builds, integrations, deliveries, and deployments that lead to trustworthy and faster software development.	国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）は、NISTのセキュアソフトウェア開発フレームワーク[1][2]に沿って、DevSecOpsのためのリスクベースのセキュリティプラクティスを実証し、文書化している。当初、このプロジェクトは、典型的なクローズドソースソフトウェア開発環境に似たクラウドベースの環境のセキュリティ確保に焦点を当て、実用的なゼロトラストアーキテクチャ（ZTA）の実装による最小特権アクセスの動的な実施に焦点を当てる。さらに、このプロジェクトでは、セキュアなソフトウェア開発への全体的なアプローチを紹介し、セキュアなソフトウェア開発プロセスの各フェーズを通じて、セキュリティの考慮事項やベストプラクティスを組み込むとともに、AIを活用して、ビルド、統合、納品、展開を自動化し、信頼性の高いより迅速なソフトウェア開発を実現する。
This project will result in vital and novel details concerning the possible implementations of DevSecOps that are often unavailable to the community as a whole. It will allow practitioners to evaluate, compare, and identify gaps in existing software factories, which enables and enhances cybersecurity for both software producers and consumers.	このプロジェクトは、DevSecOpsの可能な実装に関する重要かつ斬新な詳細をもたらすだろう。これにより、実務者は既存のソフトウェア工場のギャップを評価、比較、識別できるようになり、ソフトウェア生産者と消費者の両方にとってサイバーセキュリティが可能になり、強化される。

DevSecOpsの想定リファレンスモデル...

Figure 1 DevSecOps Notional Reference Model

2025.08.05 00:00 in 情報セキュリティ / サイバーセキュリティ, in 内部統制 / リスクマネジメント, in パブコメ | Permalink | Comments (0)
Tweet

2025.08.04

公正取引委員会「企業取引研究会」の開催 (2025.07.29)

こんにちは、丸山満彦です。

公正取引員会が、昨年度に続き開催されることになり、第1回が7月30日に開催されていますね...

今年度は、昨年度の検討の際に残された課題

・サプライチェーン全体での適切な価格転嫁の環境整備や支払条件の適正化、

・物流に関する商慣習の問題に対する更なる対応、

・知的財産・ノウハウの取引適正化など

に対応し、取引環境を整備する観点から、

・優越的地位の濫用規制の在り方を中心に検討する

ことになるようですね...

経済産業省でも、

・2025.04.14「サプライチェーン強化に向けたセキュリティ対策評価制度構築に向けた中間取りまとめ」を公表しました

で、サプライチェーンにおけるサイバーセキュリティの強化が重要となってきますので、連携するところは連携しながら進めるいうことも重要なんでしょうね...

● 公正取引委員会

プレス

・2025.07.29「企業取引研究会」の開催について

そして、その時の報告書がこちら

・[PDF] 2024.12 [PDF] 企業取引研究会報告書

企業取引研究会

・開催要領

・最近の開催状況

開催回数	開催日	議題	資料	議事要旨/議事録
第１回	2025.07.30	１企業取引研究会の進め方	・議事次第	準備中
		２研究会報告書とりまとめ後の対応についての御報告	【資料１】開催要領
		３研究会報告書で御提言いただいた課題への更なる対応	【資料２】事務局資料
		４知的財産取引適正化ワーキンググループの設置について	【参考資料１】下請法・下請振興法改正法の概要（下請代金支払遅延等防止法及び下請中小企業振興法の一部を改正する法律）
			【参考資料２】企業取引研究会報告書（概要）（令和６年12月公表）
			【参考資料３】優越的地位の濫用規制について（独占禁止法）
			【参考資料４】「経済財政運営と改革の基本方針2025」（抜粋）及び「新しい資本主義のグランドデザイン及び実行計画2025年改訂版」（抜粋）
			【参考資料５】「価格交渉促進月間（2025年３月）フォローアップ調査結果」

・過去の開催状況

・・開催要領

・・令和６年度の開催状況

・・報告書

・・・2025.02.21 「企業取引研究会報告書」に対する意見募集の結果について(110 KB)

・・・(別紙)意見一覧

・・・(別添１)企業取引研究会報告書

・・・(別添２)企業取引研究会報告書【資料編】

・・・(別添３)企業取引研究会報告書【概要】

2025.08.04 00:00 in 情報セキュリティ / サイバーセキュリティ, in 法律 / 犯罪, in 内部統制 / リスクマネジメント | Permalink | Comments (0)
Tweet

米国 CISA ゼロトラストへの道のりゼロトラストにおけるマイクロセグメンテーション第 1 部：序論と計画 (2025.07.29)

こんにちは、丸山満彦です。

CISAが、「ゼロトラスト・マイクロセグメンテーション・ガイダンスのパート1：序論と計画 ]を発表していますね...　連邦政府がゼロトラスト・アーキテクチャへの移行をすすめるためのガイドという感じですかね...

シリーズとして、続いていくような感じですね...

CISA Releases Part One of Zero Trust Microsegmentation Guidance	CISA、ゼロトラスト・マイクロセグメンテーション・ガイダンスのパート1を発表
CISA released Microsegmentation in Zero Trust, Part One: Introduction and Planning as part of its ongoing efforts to support Federal Civilian Executive Branch (FCEB) agencies implementing zero trust architectures (ZTAs).	CISAは、ゼロトラスト・アーキテクチャ（ZTA）を導入する連邦文民行政機関（FCEB）を支援する継続的な取り組みの一環として、「ゼロトラストにおけるマイクロセグメンテーション、パート1：序論と計画」を発表した。
This guidance provides a high-level overview of microsegmentation, focusing on its key concepts, associated challenges and potential benefits, and includes recommended actions to modernize network security and advance zero trust principles.	このガイダンスは、マイクロセグメンテーションの重要な概念、関連する課題、潜在的なメリットに焦点を当てながら、マイクロセグメンテーションのハイレベルな概要を提供し、ネットワークセキュリティを近代化し、ゼロトラストの原則を推進するための推奨事項を含んでいる。
Microsegmentation is a critical component of ZTA that reduces the attack surface, limits lateral movement, and enhances visibility for monitoring smaller, isolated groups of resources.	マイクロセグメンテーションは、ZTA の重要な構成要素であり、攻撃対象領域を縮小し、横の動きを制限し、小さく分離されたリソースのグループを監視するための可視性を強化する。
While the guidance focuses on FCEB references, its principles are applicable to any organization. As part of its Journey to Zero Trust series, CISA plans to release a subsequent technical guide to offer detailed implementation scenarios and technical considerations for implementation teams. Visit our Zero Trust webpage for more information and resources.	このガイダンスはFCEBに焦点を当てているが、その原則はどの組織にも適用可能である。ゼロ・トラストへの旅」シリーズの一環として、CISAは、詳細な実装シナリオと実装チームのための技術的な考慮事項を提供する後続のテクニカル・ガイドをリリースする予定である。詳細とリソースについては、ゼロトラストのウェブページを参照されたい。

・[PDF] The Journey to Zero Trust Microsegmentation in Zero Trust Part One: Introduction and Planning

・[DOCX][PDF] 仮訳

目次...

1. Introduction	1. 序論
1.1 Executive Summary	1.1 エグゼクティブサマリー
Figure 1: ZTMM - Network	図1：ZTMM - ネットワーク
1.2 Background	1.2 背景
Figure 2: Zero Trust Maturity Journey	図2：ゼロトラスト成熟度旅路
Figure 3: Threat Impacts and Segmentation	図3：脅威の影響とセグメンテーション
2. What is Segmentation?	2. セグメンテーションとは何であるか？
2.1 Key Concepts	2.1 主要な概念
Figure 4: Policy-Controlled Access	図 4：ポリシーによるアクセス制御
Figure 5: Evolution of TIC	図 5：TIC の推移
Figure 6: Traditional Network Segmentation	図6：伝統的なネットワークセグメンテーション
Figure 7: Microsegmentation	図7：マイクロセグメンテーション
Figure 8: Workflow-Based Microsegmentation	図 8: ワークフローベースのマイクロセグメンテーション
2.2 Segmentation Types	2.2 セグメンテーションの種類
Table 1: Segmentation Types and Features	表1：セグメンテーションの種類と機能
3. Phased Approach	3. 段階的なアプローチ
3.1 Phase 1: Identify Candidate Resources for Segmentation	3.1 フェーズ 1：セグメンテーションの候補リソースの識別
3.2 Phase 2: Identify Dependencies for Selected Candidate Resources	3.2 フェーズ 2：選択した候補リソースの依存関係を識別する
3.3 Phase 3: Determine Appropriate Segmentation Policies	3.3 フェーズ 3：適切なセグメンテーションポリシーの決定
3.4 Phase 4: Deploy Updated Segmentation Policies	3.4 フェーズ 4：更新されたセグメンテーションポリシーの展開
4. Planning Considerations	4. 計画上の考慮事項
4.1 User and Organizational Support	4.1 ユーザーと組織のサポート
4.2 Identifying Candidate Resources for Segmentation	4.2 セグメンテーションの対象となるリソースの識別
4.3 Identifying Dependent Resources	4.3 依存リソースの識別
4.4 Determining Appropriate Segmentation Policies	4.4 適切なセグメンテーションポリシーの決定
4.5 Deploying Updated Segmentation Policies	4.5 更新されたセグメンテーションポリシーの展開
4.6 Handling User Devices	4.6 ユーザーデバイスの取り扱い
4.7 Handling OT, IoT and Legacy Environments and Devices	4.7 OT、IoT、レガシー環境およびデバイスの取り扱い
4.8 Centralizing Control and Visibility	4.8 制御と可視化の集中化
4.9 Ongoing Maintenance and Evolution	4.9 継続的な保守と進化
5. EXAMPLE MICROSEGMENTATION SCENARIOS	5. マイクロセグメンテーションの例
5.1 Scenario #1: Rearchitecting an Existing On-Premises Enterprise	5.1 シナリオ 1：既存のオンプレミスエンタープライズの再構築
5.2 Scenario #2: Microsegmentation as Part of an Environment Transition	5.2 シナリオ #2: 環境移行の一部としてのマイクロセグメンテーション
5.3 Scenario #3: Microsegmentation of a Distributed Enterprise	5.3 シナリオ 3：分散型エンタープライズのマイクロセグメンテーション
6. Conclusion	6. 結論
APPENDIX A: Federal Guidelines	附属書 A：連邦ガイドライン
APPENDIX B: Acronyms	附属書 B：頭字語

エグゼクティブサマリー...

1.1 EXECUTIVE SUMMARY	1.1 エグゼクティブサマリー
Traditional perimeter-focused architecture is no longer effective in protecting enterprise resources from cyber intrusions and compromise. Microsegmentation works by protecting a smaller group of resources, thereby reducing the attack surface, limiting lateral movement and increasing visibility for better monitoring of the microsegmented environment. Microsegmentation does not replace defense-in-depth and the proper management of data, assets, configuration and vulnerabilities through various controls and cybersecurity tools. Rather, microsegmentation augments the organization’s ability to apply targeted risk- and threat-appropriate protections when it is used in conjunction with existing capabilities.	従来の境界重視のアーキテクチャでは、サイバー侵入や侵害からエンタープライズリソースを保護することはもはや困難である。マイクロセグメンテーションは、より小規模なリソースグループを保護することで、攻撃対象領域を縮小し、横方向の移動を制限し、可視性を高めて、マイクロセグメント化された環境の監視を強化する。マイクロセグメンテーションは、さまざまな制御やサイバーセキュリティツールによる多層防御や、データ、資産、構成、脆弱性の適切な管理に代わるものではない。むしろ、マイクロセグメンテーションは、既存の機能と組み合わせて使用することで、リスクや脅威に応じた保護を的を絞って適用する組織の能力を強化する。
Adoption of this cultural and Technical shift in system security and architecture depends on organizational leadership. The Journey to Zero Trust provides leaders with a high-level overview of microsegmentation concepts and a phased implementation approach. While this document has specific federal civilian executive branch (FCEB) references, any organization can apply the information provided to modernize its network and move toward zero trust architecture.	システムセキュリティとアーキテクチャにおけるこの文化的および技術的な変化の採用は、組織のリーダーシップに依存する。このゼロトラストへの道のりは、リーダーにマイクロセグメンテーションの概念と段階的な実装アプローチの概要をわかりやすく説明する。このドキュメントには、連邦文民行政機関（FCEB）に関する具体的な参照情報があるが、あらゆる組織が、ここで提供される情報を活用してネットワークを最新化し、ゼロトラストアーキテクチャへの移行を進めることができる。
Microsegmentation can be applied to any Technology environment, such as information Technology (IT), operational Technology (OT), industrial control system (ICS), internet of things (IoT), as well as any implementation model, including cloud, on premise and hybrid. Microsegmentation enables applying risk- and threat-appropriate protections and visibility capabilities for the specific system(s) or data within the microsegment. Microsegmentation can significantly enhance the security of systems and data and helps reduce the blast area that a compromised resource can impact.	マイクロセグメンテーションは、情報技術（IT）、運用技術（OT）、産業用制御システム（ICS）、モノのインターネット（IoT）などのあらゆるテクノロジー環境、およびクラウド、オンプレミス、ハイブリッドなどのあらゆる実装モデルに適用できる。マイクロセグメンテーションにより、マイクロセグメント内の特定のシステムやデータに、リスクと脅威に応じた保護機能と可視化機能を適用することができる。マイクロセグメンテーションは、システムやデータのセキュリティを大幅に強化し、侵害されたリソースが影響を与える範囲を縮小するのに役立つ。
When implemented as part of ZTAs, microsegmentation solutions utilize additional characteristics at the time of access to protect target resources instead of relying on implicit trust based on network location. PEPs use these characteristics to authorize initial access and validate that continued access remains necessary and authorized while the connection to the resource exists. The Cybersecurity and Infrastructure Security Agency (CISA) addresses microsegmentation in the Zero Trust Maturity Model (ZTMM) within the network pillar.4^[^5]	ZTAs の一部として実装された場合、マイクロセグメンテーションソリューションは、ネットワークの場所に基づく暗黙の信頼に依存するのではなく、アクセス時に追加の特性を利用して、ターゲットリソースを保護する。PEP は、これらの特性を使用して、初期アクセスを認可し、リソースへの接続が存在する間、継続的なアクセスが必要かつ認可されていることを妥当性確認する。サイバーセキュリティ・インフラセキュリティ庁（CISA）は、ネットワークの柱におけるゼロトラスト成熟度モデル（ZTMM）でマイクロセグメンテーションについて取り上げている。^[5]

Figure 1: ZTMM - Network	図1：ZTMM - ネットワーク
In the context of this document, microsegmentation is more than network segmentation. The solutions used to implement microsegmentation span multiple Technical capabilities and are implemented in multiple layers of the Open Systems Interconnection (OSI) model.5F[6]	この文書では、マイクロセグメンテーションはネットワークのセグメンテーション以上のものとして扱われている。マイクロセグメンテーションの実装に使用されるソリューションは、複数の技術的能力にまたがり、開放型システム間相互接続 (OSI) モデルの複数の層で実装される。[6]
Transitioning an organization from existing traditional segmentation, which relied on large-scale perimeters with limited Technical capabilities, to fine-tuned microsegmentation requires a paradigm shift that leaders must champion. Successful adoption of microsegmentation will improve enterprise cybersecurity and availability.	技術的能力が限られた大規模な境界に依存していた従来のセグメンテーションから、微調整されたマイクロセグメンテーションに移行するには、リーダーが主導するパラダイムシフトが必要だ。マイクロセグメンテーションの導入に成功すると、エンタープライズのサイバーセキュリティと可用性が向上する。
This document focuses on concepts, challenges and benefits of moving to microsegmentation and recommends high-level actions for successful adoption of this architectural initiative in support of advancing ZT. Referenced federal guidelines and acronyms are listed in Appendix A and Appendix B respectively.	この文書では、マイクロセグメンテーションへの移行に関する概念、課題、およびメリットに焦点を当て、ZT の推進を支援するこのアーキテクチャイニシアチブを成功裏に導入するための、高レベルのアクションを推奨する。参照した連邦ガイドラインおよび頭字語は、それぞれ附属書 A および附属書 B に記載している。
A subsequent Technical guide will be produced for Technical leaders and implementation teams. This Technical guide will provide implementation scenarios to illustrate the Technical considerations, recommendations, and challenges of this transition.	技術リーダーおよび実装チーム向けに、技術ガイドが別途作成される予定だ。この技術ガイドでは、この移行に関する技術的な考慮事項、推奨事項、および課題について、実装シナリオを用いて説明する。

[5] Cybersecurity and Infrastructure Security Agency, “Zero Trust Maturity Model Version 2.0,” Zero Trust Maturity Model Version 2.0, Section 4 and ZTMM pillars, April 2023, https://www.cisa.gov/sites/default/files/2023-04/zero_trust_maturity_model_v2_508.pdf.

[6] International Organization for Standardization/International Electrotechnical Commission, “Information technology–Open
Systems Interconnection–Basic Reference Model, 7498-1:1994,” June 1, 1996, https://www.iso.org/standard/20269.html.

ゼロトラストのページ...

・Zero Trust

2025.08.04 00:00 in 情報セキュリティ / サイバーセキュリティ | Permalink | Comments (0)
Tweet

2025.08.03

米国 NIST SP 800-63-4 デジタル ID ガイドライン (2025.07.31)

こんにちは、丸山満彦です。

NISTがSP 800-63-4 デジタル ID ガイドラインを公表していますね...2022年12月に最初のドラフトが公開されて3年弱ですね...

今回公開されたのは、

NIST SP 800-63-4 Digital Identity Guidelines	NIST SP 800-63-4 デジタル ID ガイドライン
NIST SP 800-63A-4 Digital Identity Guidelines: Identity Proofing and Enrollment	NIST SP 800-63A-4 デジタル ID ガイドライン：身元確認および登録
NIST SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management	NIST SP 800-63B-4 デジタル ID ガイドライン：認証器および認証器管理
NIST SP 800-63C-4 Digital Identity Guidelines: Federation and Assertions	NIST SP 800-63C-4 デジタル ID ガイドライン：フェデレーションおよびアサーション

の４つです。合わせると489ページとなります。。。

こういうのは、日本も含めていわゆる西側諸国はNIST頼りですね...デジタル庁もつくってますけどね...

ちなみに、63A-4 の "Table 6. Superior Evidence Examples"にJapan’s My Number Cardが書かれています...

● NIST - ITL

・2025.07.31 NIST SP 800-63-4 Digital Identity Guidelines

NIST SP 800-63-4 Digital Identity Guidelines	NIST SP 800-63-4 デジタル ID ガイドライン
Abstract	概要
These guidelines cover the identity proofing, authentication, and federation of users (e.g., employees, contractors, or private individuals) who interact with government information systems over networks. They define technical requirements in each of the areas of identity proofing, enrollment, authenticators, management processes, authentication protocols, federation, and related assertions. They also offer technical recommendations and other informative text as helpful suggestions. The guidelines are not intended to constrain the development or use of standards outside of this purpose. This publication supersedes NIST Special Publication (SP) 800-63-3.	このガイドラインは、ネットワークを介して政府の情報システムとやり取りを行うユーザ（従業員、契約者、個人など）の身元確認、認証、およびフェデレーションについて規定している。このガイドラインは、身元確認、登録、認証器、管理プロセス、認証プロトコル、フェデレーション、および関連するアサーションの各分野における技術要件を定義している。また、技術的な推奨事項やその他の参考となる情報も、役立つ提案として掲載している。このガイドラインは、この目的以外の標準の開発や使用を制限するものではない。この刊行物は、NIST 特別刊行物 (SP) 800-63-3を置き換える。

・[PDF] SP.800-63-4

４つまとめて...[DOCX][PDF] 仮訳

とりあえずって感じ (^^;;

1. Introduction	1. 序論
1.1. Scope and Applicability	1.1. 適用範囲と適用性
1.2. How to Use This Suite of SPs	1.2. このSPスイートの使用方法
1.3. Enterprise Risk Management Requirements and Considerations	1.3. エンタープライズリスクマネジメントの要件と考慮事項
1.3.1. Security, Fraud, and Threat Prevention	1.3.1. セキュリティ、詐欺、および脅威の防止
1.3.2. Privacy	1.3.2. プライバシー
1.3.3. Customer Experience	1.3.3. 顧客体験
1.4. Notations	1.4. 表記
1.5. Document Structure	1.5. 文書構造
2. Digital Identity Model	2. デジタル・アイデンティティモデル
2.1. Overview	2.1. 概要
2.2. Identity Proofing and Enrollment	2.2. 身元確認と登録
2.2.1. Subscriber Accounts	2.2.1. 契約者アカウント
2.3. Authentication and Authenticator Management	2.3. 認証および認証情報の管理
2.3.1. Authenticators	2.3.1. 認証器
2.3.2. Authentication Process	2.3.2. 認証プロセス
2.4. Federation and Assertions	2.4. フェデレーションおよびアサーション
2.5. Examples of Digital Identity Models	2.5. デジタル・アイデンティティモデルの例
2.5.1. Non-Federated Digital Identity Model	2.5.1. 非フェデレーション型デジタル・アイデンティティモデル
2.5.2. Federated Digital Identity Model With General-Purpose IdP	2.5.2. 汎用IdPを用いたフェデレーション型デジタル・アイデンティティモデル
2.5.3. Federated Digital Identity Model with Subscriber-Controlled Wallet	2.5.3. 加入者が管理するウォレットを使用したフェデレーションデジタル・アイデンティティモデル
3. Digital Identity Risk Management	3. デジタル・アイデンティティリスクマネジメント
3.1. Define the Online Service	3.1. オンラインサービスの定義
3.2. Conduct Initial Impact Assessment	3.2. 初期影響アセスメントの実施
3.2.1. Identify Impact Categories and Potential Harms	3.2.1. 影響のカテゴリーと潜在的な危害の識別
3.2.2. Identify Potential Impact Levels	3.2.2. 潜在的な影響レベルの識別
3.2.3. Impact Analysis	3.2.3. 影響分析
3.2.4. Determine the Combined Impact Level for Each User Group	3.2.4. 各ユーザグループに対する複合影響レベルの決定
3.3. Select Initial Assurance Levels and Baseline Controls	3.3. 初期保証レベルと基準コントロールの選択
3.3.1. Assurance Levels	3.3.1. 保証レベル
3.3.2. Assurance Level Descriptions	3.3.2. 保証レベルの説明
3.3.3. Initial Assurance Level Selection	3.3.3. 初期保証レベルの選択
3.3.4. Identify Baseline Controls	3.3.4. ベースラインコントロールの識別
3.4. Tailor and Document Assurance Levels	3.4.保証レベルの調整と文書化
3.4.1. Assess Privacy, Customer Experience, and Threat Resistance	3.4.1. プライバシー、顧客体験、および脅威に対する耐性の評価
3.4.2. Identify Compensating Controls	3.4.2. 補完的コントロールの識別
3.4.3. Identify Supplemental Controls	3.4.3. 補足的コントロールの識別
3.4.4. Digital Identity Acceptance Statement	3.4.4. デジタル・アイデンティティ受容声明
3.5. Continuously Evaluate and Improve	3.5. 継続的な評価と改善
3.5.1. Evaluation Inputs	3.5.1. 評価の入力
3.5.2. Performance Metrics	3.5.2. パフォーマンス指標
3.5.3. Measurement in Support of Customer Experience Outcomes	3.5.3. 顧客体験成果を支援するための測定
3.6. Redress	3.6. 救済
3.7. Cybersecurity, Fraud, and Identity Program Integrity	3.7. サイバーセキュリティ、不正、およびアイデンティティプログラムの完全性
3.8. Artificial Intelligence and Machine Learning in Identity Systems	3.8. アイデンティティ・システムにおける人工知能（AI）と機械学習（ML）
References	参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms	附属書 A. 記号、略語、および頭字語のリスト
Appendix B. Glossary	附属書 B. 用語集
Appendix C. Change Log	附属書 C. 変更履歴
C.1. SP 800-63-1	C.1. SP 800-63-1
C.2. SP 800-63-2	C.2. SP 800-63-2
C.3. SP 800-63-3	C.3. SP 800-63-3
C.4. SP 800-63-4	C.4. SP 800-63-4

・2025.07.31 NIST SP 800-63A-4 Digital Identity Guidelines: Identity Proofing and Enrollment

NIST SP 800-63A-4 Digital Identity Guidelines: Identity Proofing and Enrollment	NIST SP 800-63A-4 デジタル ID ガイドライン：身元確認および登録
Abstract	要約
This guideline focuses on identity proofing and enrollment for use in digital authentication. During the process of identity proofing, an applicant provides evidence to a credential service provider (CSP) reliably identifying themselves, thereby allowing the CSP to assert that identification at a useful identity assurance level. This document defines technical requirements for each of three identity assurance levels. The guidelines are not intended to constrain the development or use of standards outside of this purpose. This publication supersedes NIST Special Publication (SP) 800-63A.	このガイドラインは、デジタル認証で使用される身元確認および登録に焦点を当てている。身元確認のプロセスでは、申請者は、自身を確実に識別する証拠を認証サービスプロバイダ（CSP）に提供し、それによって CSP は、有用な ID 保証レベルでその識別をアサーションすることができる。この文書は、3 つの ID 保証レベルそれぞれの技術要件を定義している。このガイドラインは、この目的以外の標準の開発または使用を制限するものではない。この刊行物は、NIST 特別刊行物 (SP) 800-63A を置き換える。

・[PDF] SP.800-63a-4

1. Introduction	1. 序論
1.1. Expected Outcomes of Identity Proofing	1.1. 身元確認の期待される成果
1.2. Identity Assurance Levels	1.2. 身元保証レベル
1.3. Notations	1.3. 表記
1.4. Document Structure	1.4. 文書の構造
2. Identity Proofing Overview	2. 身元確認の概要
2.1. Identity Proofing and Enrollment	2.1. 身元確認および登録
2.1.1. Process Flow	2.1.1. プロセスフロー
2.1.2. Identity Proofing Roles	2.1.2. 身元確認の役割
2.1.3. Identity Proofing Types	2.1.3. 身元確認の種類
2.2. Core Attributes	2.2. 基本属性
2.3. Identity Resolution	2.3. 身元解決
2.4. Identity Evidence and Attributes	2.4. 身元確認と属性
2.4.1. Evidence Strength Requirements	2.4.1. 証拠の強度要件
2.4.2. Identity Evidence and Attribute Validation	2.4.2. 身元証拠および属性の妥当性確認
2.5. Identity Verification	2.5. 身元検証
2.5.1. Identity Verification Methods	2.5.1. 身元検証の方法
3. Identity Proofing Requirements	3. 身元確認の要件
3.1. Identity Service Documentation and Records	3.1. 身元確認サービスに関する文書化と記録
3.2. Fraud Management	3.2. 詐欺管理
3.2.1. CSP Fraud Management	3.2.1. CSPの不正管理
3.2.2. RP Fraud Management	3.2.2. RPの詐欺管理
3.2.3. Treatment of Fraud Check Failures	3.2.3. 詐欺チェックの失敗の取り扱い
3.3. General Privacy Requirements	3.3. 一般的なプライバシー要件
3.3.1. Privacy Risk Assessment	3.3.1. プライバシーリスクアセスメント
3.3.2. Additional Privacy Protective Measures	3.3.2. 追加のプライバシー保護措置
3.4. General Customer Experience Requirements	3.4. 一般的な顧客体験要件
3.5. General Security Requirements	3.5. 一般的なセキュリティ要件
3.6. Redress Requirements	3.6. 救済要件
3.7. Additional Requirements for Federal Agencies	3.7. 連邦機関に対する追加要件
3.8. Requirements for Confirmation Codes	3.8. 確認コードに関する要件
3.9. Requirements for Continuation Codes	3.9. 継続コードの要件
3.10. Requirements for Notifications of Identity Proofing	3.10. 身元確認の通知に関する要件
3.11. Requirements for the Use of Biometrics	3.11. 生体認証の使用に関する要件
3.12. Requirements for Visual Facial Image Comparison	3.12. 視覚的顔画像比較の要件
3.13. Requirements for the Validation of Physical Evidence	3.13. 物理的証拠の妥当性確認に関する要件
3.14. Digital Injection Prevention and Forged Media Detection	3.14. デジタル注入の防止および偽造メディアの検知
3.15. Exception and Error Handling	3.15. 例外とエラー処理
3.15.1. Requirements for Trusted Referees	3.15.1. 信頼できる推薦人の要件
3.15.2. Uses of Trusted Referees	3.15.2. 信頼できる審査員の用途
3.15.3. Requirements for Applicant References	3.15.3. 申請者参照の要件
3.15.4. Uses of Applicant References	3.15.4. 申請者参照情報の利用
3.15.5. Establishing Applicant Reference Relationships	3.15.5. 申請者参照関係の設定
3.15.6. Requirements for Interacting With Minors	3.15.6. 未成年者との取引に関する要件
3.16. Elevating Subscriber IALs	3.16. 契約者のIALの向上
4. Identity Assurance Level Requirements	4. 身元保証レベル要件
4.1. Identity Assurance Level 1 Requirements	4.1. 身元確認レベル1の要件
4.1.1. Proofing Types	4.1.1. 証明の種類
4.1.2. Evidence Collection	4.1.2. 証拠の収集
4.1.3. Attribute Collection	4.1.3. 属性の収集
4.1.4. Evidence Validation	4.1.4. 証拠の妥当性確認
4.1.5. Attribute Validation	4.1.5. 属性の妥当性確認
4.1.6. Verification Requirements	4.1.6. 検証要件
4.1.7. Remote Unattended Requirements	4.1.7. 遠隔無人要件
4.1.8. Remote Attended Requirements	4.1.8. リモート有人要件
4.1.9. On-Site Attended Requirements	4.1.9. 現場での立会い要件
4.1.10. On-Site Unattended Requirements	4.1.10. 現場での無人対応要件
4.1.11. Notification of Proofing	4.1.11. 確認通知
4.1.12. Initial Authenticator Binding	4.1.12. 初期認証器のバインディング
4.2. Identity Assurance Level 2 Requirements	4.2. 身元保証レベル 2 の要件
4.2.1. Proofing Types	4.2.1. 証明の種類
4.2.2. Evidence Collection	4.2.2. 証拠の収集
4.2.3. Attribute Collection	4.2.3. 属性の収集
4.2.4. Evidence Validation	4.2.4. 証拠の妥当性確認
4.2.5. Attribute Validation	4.2.5. 属性の妥当性確認
4.2.6. Verification Requirements	4.2.6. 検証要件
4.2.7. Remote Unattended Requirements	4.2.7. 遠隔無人要件
4.2.8. Remote Attended Requirements	4.2.8. 遠隔有人要件
4.2.9. On-Site Attended Requirements	4.2.9. 現場立会要件
4.2.10. On-Site Unattended Requirements	4.2.10. 現場での無人要件
4.2.11. Notification of Proofing	4.2.11. 確認の通知
4.2.12. Initial Authenticator Binding	4.2.12. 初期認証器のバインディング
4.3. Identity Assurance Level 3	4.3. 身元保証レベル 3
4.3.1. Proofing Types	4.3.1. 証明の種類
4.3.2. Evidence Collection	4.3.2. 証拠の収集
4.3.3. Attribute Requirements	4.3.3. 属性要件
4.3.4. Evidence Validation	4.3.4. 証拠の妥当性確認
4.3.5. Attribute Validation	4.3.5. 属性の妥当性確認
4.3.6. Verification Requirements	4.3.6. 検証要件
4.3.7. On-Site Attended Requirements — Colocated Agent	4.3.7. 現場での立会要件 — 同席エージェント
4.3.8. On-Site Attended Requirements — Kiosk-Based	4.3.8. 現場立会い要件 — キオスクベース
4.3.9. Notification of Proofing	4.3.9. 証明の通知
4.3.10. Initial Authenticator Binding	4.3.10. 初期認証情報のバインディング
4.4. Summary of Requirements	4.4. 要件の要約
5. Subscriber Accounts	5. 加入者アカウント
5.1. Subscriber Accounts	5.1. 加入者アカウント
5.2. Subscriber Account Access	5.2. 契約者アカウントへのアクセス
5.3. Subscriber Account Maintenance and Updates	5.3. 加入者アカウントの保守および更新
5.4. Subscriber Account Suspension or Termination	5.4. 契約者アカウントの停止または終了
5.5. Data Breach Notification	5.5. データ漏洩通知
5.6. Multiple Subscriber Account Scenarios	5.6. 複数の加入者アカウントのシナリオ
6. Threats and Security Considerations	6. 脅威とセキュリティ上の考慮事項
6.1. Threat Mitigation Strategies	6.1. 脅威の緩和戦略
6.2. Collaboration With Adjacent Programs	6.2.隣接プログラムとのフェデレーション
7. Privacy Considerations	7. プライバシーに関する考慮事項
7.1. Collection and Data Minimization	7.1. 収集とデータ最小化
7.1.1. Social Security Numbers	7.1.1. 社会保障番号
7.2. Notice and Consent	7.2. 通知と同意
7.3. Use Limitation	7.3. 利用制限
7.4. Redress	7.4. 救済
7.5. Privacy Risk Assessment	7.5. プライバシーリスクアセスメント
7.6. Agency-Specific Privacy Compliance	7.6. 機関固有のプライバシーコンプライアンス
8. Customer Experience Considerations	8. 顧客体験に関する考慮時国
8.1. Usability	8.1. 使いやすさ
8.1.1. General User Considerations During Identity Proofing and Enrollment	8.1.1. 身元確認および登録における一般的なユーザに関する考慮事項
8.1.2. Preparation	8.1.2. 準備
8.1.3. Identity Proofing and Enrollment	8.1.3. 身元確認と登録
8.1.4. Post-Enrollment	8.1.4. 登録後
8.2. Customer Success Considerations	8.2. 顧客成功の考慮事項
8.2.1. Support Multiple Types of Identity Proofing	8.2.1. 複数の種類の身元確認のサポート
8.2.2. Partner With Multiple Credible and Authoritative Sources	8.2.2. 信頼できる権威ある複数の情報源と提携する
8.2.3. Offer Robust and Responsive Exception Handling Processes	8.2.3. 堅牢で応答性の高い例外処理プロセスを提供する。
References	参考文献
Appendix A. Identity Evidence Examples by Strength	附属書 A. 強度の高い ID 証拠の例
A.1. Fair Evidence Examples	A.1. FAIR証拠の例
A.2. Strong Evidence Examples	A.2. STRONG証拠の例
A.3. Superior Evidence Examples	A.3. SUPERIOR証拠の例
Appendix B. Training Requirements	附属書 B. 研修要件
Appendix C. List of Symbols, Abbreviations, and Acronyms	附属書 C. 記号、略語、および頭字語のリスト
Appendix D. Glossary	附属書 D. 用語集
Appendix E. Change Log	附属書 E. 変更履歴

・2025.07.31 NIST SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management

NIST SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management	NIST SP 800-63B-4 デジタル ID ガイドライン：認証および認証器管理
Abstract	概要
This guideline focuses on the authentication of subjects who interact with government information systems over networks to establish that a given claimant is a subscriber who has been previously authenticated. The result of the authentication process may be used locally by the system performing the authentication or asserted elsewhere in a federated identity system. This document defines technical requirements for each of the three authenticator assurance levels. The guidelines are not intended to constrain the development or use of standards outside of this purpose. This publication supersedes NIST Special Publication (SP) 800-63B.	このガイドラインは、ネットワークを介して政府の情報システムと対話する主体の認証に焦点を当て、特定のアサーション者が以前に認証された加入者であることを確認することを目的としている。認証プロセスの結果は、認証を実行するシステムでローカルに使用したり、フェデレーション・アイデンティティシステムの他の場所でアサーションしたりすることができる。この文書は、3 つの認証保証レベルのそれぞれに関する技術要件を定義している。このガイドラインは、この目的以外の標準の開発または使用を制限するものではない。この刊行物は、NIST 特別刊行物 (SP) 800-63B を置き換える。

・[PDF] SP.800-63b-4

1. Introduction	1. 序論
1.1. Notations	1.1. 表記
1.2. Document Structure	1.2. 文書構造
2. Authentication Assurance Levels	2. 認証保証レベル
2.1. Authentication Assurance Level 1	2.1. 認証保証レベル 1
2.1.1. Permitted Authenticator Types	2.1.1. 許可される認証タイプ
2.1.2. Authenticator and Verifier Requirements	2.1.2. 認証器および検証者の要件
2.1.3. Reauthentication	2.1.3. 再認証
2.2. Authentication Assurance Level 2	2.2. 認証保証レベル 2
2.2.1. Permitted Authenticator Types	2.2.1. 許可される認証要素の種類
2.2.2. Authenticator and Verifier Requirements	2.2.2. 認証器および検証者の要件
2.2.3. Reauthentication	2.2.3. 再認証
2.3. Authentication Assurance Level 3	2.3. 認証保証レベル 3
2.3.1. Permitted Authenticator Types	2.3.1. 許可される認証要素の種類
2.3.2. Authenticator and Verifier Requirements	2.3.2. 認証器および検証者の要件
2.3.3. Reauthentication	2.3.3. 再認証
2.4. General Requirements	2.4. 一般要件
2.4.1. Security Controls	2.4.1. セキュリティコントロール
2.4.2. Records Retention Policy	2.4.2. 記録保持ポリシー
2.4.3. Privacy Requirements	2.4.3. プライバシー要件
2.4.4. Redress Requirements	2.4.4. 救済要件
2.5. Summary of Requirements	2.5. 要件の要約
3. Authenticator and Verifier Requirements	3. 認証器および検証者の要件
3.1. Requirements by Authenticator Type	3.1. 認証器タイプごとの要件
3.1.1. Passwords	3.1.1. パスワード
3.1.2. Look-Up Secrets	3.1.2. 参照秘密鍵
3.1.3. Out-of-Band Devices	3.1.3. 外部デバイス
3.1.4. Single-Factor OTP	3.1.4. 単一要因 OTP
3.1.5. Multi-Factor OTPs	3.1.5. 多要素OTP
3.1.6. Single-Factor Cryptographic Authentication	3.1.6. 単一要素暗号認証
3.1.7. Multi-Factor Cryptographic Authentication	3.1.7. 多要素暗号認証
3.2. General Authenticator Requirements	3.2. 認証器に関する一般的な要件
3.2.1. Physical Authenticators	3.2.1. 物理認証
3.2.2. Rate Limiting (Throttling)	3.2.2. レート制限（スロットリング）
3.2.3. Use of Biometrics	3.2.3. 生体認証の使用
3.2.4. Attestation	3.2.4. 認証
3.2.5. Phishing Resistance	3.2.5. フィッシング耐性
3.2.6. Verifier-CSP or IdP Communications	3.2.6. 検証者-CSP または IdP 間のコミュニケーション
3.2.7. Replay Resistance	3.2.7. リプレイ耐性
3.2.8. Authentication Intent	3.2.8. 認証の意図
3.2.9. Restricted Authenticators	3.2.9. 制限付き認証
3.2.10. Activation Secrets	3.2.10. アクティベーション秘密鍵
3.2.11. Connected Authenticators	3.2.11. 接続された認証器
3.2.12. Random Values	3.2.12. ランダム値
3.2.13. Exportability	3.2.13. 輸出可能性
4. Authenticator Event Management	4. 認証器イベント管理
4.1. Authenticator Binding	4.1. 認証器のバインディング
4.1.1. Binding at Enrollment	4.1.1. 登録時のバインディング
4.1.2. Post-Enrollment Binding	4.1.2. 登録後のバインディング
4.1.3. Binding to a Subscriber-Provided Authenticator	4.1.3. 加入者が提供する認証器へのバインディング
4.1.4. Renewal	4.1.4. 更新
4.2. Account Recovery	4.2. アカウントの回復
4.2.1. Account Recovery Methods	4.2.1. アカウント回復方法
4.2.2. Recovery Requirements by IAL/AAL	4.2.2. IAL/AAL による回復要件
4.2.3. Account Recovery Notification	4.2.3. アカウント回復通知
4.3. Loss, Theft, Damage, and Compromise	4.3. 紛失、盗難、損傷、および不正アクセス
4.4. Expiration	4.4. 有効期限
4.5. Invalidation	4.5. 無効化
4.6. Account Notifications	4.6. アカウント通知
5. Session Management	5. セッション管理
5.1. Session Bindings	5.1. セッションバインディング
5.1.1. Browser Cookies	5.1.1. ブラウザ Cookie
5.1.2. Access Tokens	5.1.2. アクセストークン
5.2. Reauthentication	5.2. 再認証
5.3. Session Monitoring	5.3. セッション監視
6. Threats and Security Considerations	6. 脅威とセキュリティ上の考慮事項
6.1. Authenticator Threats	6.1. 認証器に対する脅威
6.2. Threat Mitigation Strategies	6.2. 脅威の緩和戦略
6.3. Authenticator Recovery	6.3. 認証情報の回復
6.4. Session Attacks	6.4. セッション攻撃
7. Privacy Considerations	7. プライバシーに関する考慮事項
7.1. Privacy Risk Assessment	7.1. プライバシーリスクアセスメント
7.2. Privacy Controls	7.2. プライバシー管理
7.3. Use Limitation	7.3. 使用制限
7.4. Agency-Specific Privacy Compliance	7.4. 機関固有のプライバシーコンプライアンス
8. Customer Experience Considerations	8. 顧客体験に関する考慮時国
8.1. Usability	8.1. ユーザビリティ
8.1.1. Common Usability Considerations for Authenticators	8.1.1. 認証システムに関する一般的なユーザビリティの考慮事項
8.1.2. Usability Considerations by Authenticator Type	8.1.2. 認証手段の種類によるユーザビリティに関する考慮事項
8.1.3. Summary of Usability Considerations	8.1.3. 使いやすさの考慮事項の要約
8.1.4. Usability Considerations for Biometrics	8.1.4. 生体認証の使いやすさに関する考慮事項
8.2. Customer Success Considerations	8.2. 顧客成功の考慮事項
References	参考文献
Appendix A. Strength of Passwords	附属書 A. パスワードの強度
A.1. Introduction	A.1. 序論
A.2. Length	A.2. 長さ
A.3. Complexity	A.3. 複雑さ
A.4. Central vs. Local Verification	A.4. 中央検証とローカル検証
A.5. Summary	A.5. まとめ
Appendix B. Syncable Authenticators	附属書 B. 同期可能な認証情報
B.1. Introduction	B.1. 序論
B.2. Cloning Authentication Keys	B.2. 認証キーの複製
B.3. Implementation Requirements	B.3. 実装要件
B.4. Sharing	B.4. 共有
B.5. Example	B.5. 例
B.6. Security Considerations	B.6. セキュリティ上の考慮事項
Appendix C. List of Symbols, Abbreviations, and Acronyms	附属書 C. 記号、略語、頭字語一覧
Appendix D. Glossary	附属書 D. 用語集
Appendix E. Change Log	附属書 E. 変更履歴

・2025.07.31 NIST SP 800-63C-4 Digital Identity Guidelines: Federation and Assertions

NIST SP 800-63C-4 Digital Identity Guidelines: Federation and Assertions	NIST SP 800-63C-4 デジタル ID ガイドライン：フェデレーションおよびアサーション
Abstract	概要
This guideline focuses on identity federations and the use of assertions to implement them. Federation allows a given credential service provider to provide authentication attributes and (optionally) subscriber attributes to a number of separately administered relying parties. Similarly, relying parties may use more than one credential service provider. These guidelines are not intended to constrain the development or use of standards outside of this purpose. This publication supersedes NIST Special Publication (SP) 800-63C.	このガイドラインは、ID フェデレーションおよびそれを実装するためのアサーションの使用に焦点を当てている。フェデレーションにより、特定の認証サービスプロバイダは、認証属性および（オプションで）加入者属性を、個別に管理される複数の信頼当事者に提供することができる。同様に、信頼当事者は、複数の認証サービスプロバイダを使用することができる。このガイドラインは、この目的以外の標準の開発または使用を制限するものではない。この出版物は、NIST 特別刊行物 (SP) 800-63C を置き換える。

・[PDF] SP.800-63c-4

1. Introduction	1. 序論
1.1. Notations	1.1. 表記
1.1.1. Cryptographic Terminology	1.1.1. 暗号用語
1.2. Document Structure	1.2. 文書構造
2. Federation Assurance Level (FAL)	2. フェデレーション保証レベル（FAL）
2.1. Common FAL Requirements	2.1. 共通の FAL 要件
2.2. Federation Assurance Level 1 (FAL1)	2.2. フェデレーション保証レベル 1 (FAL1)
2.3. Federation Assurance Level 2 (FAL2)	2.3. フェデレーション保証レベル 2 (FAL2)
2.4. Federation Assurance Level 3 (FAL3)	2.4. フェデレーション保証レベル3（FAL3）
2.5. Requesting and Processing xALs	2.5. xAL の要求と処理
3. Common Federation Requirements	3. 共通フェデレーション要件
3.1. Federation Models	3.1. フェデレーションモデル
3.2. Roles	3.2. 役割
3.2.1. Credential Service Provider (CSP)	3.2.1. 認証サービスプロバイダ (CSP)
3.2.2. Identity Provider (IdP)	3.2.2. アイデンティティプロバイダ (IdP)
3.2.3. Relying Party (RP)	3.2.3. 依拠当事者（RP）
3.3. Functions	3.3. 機能
3.3.1. Trust Agreement Management	3.3.1. 信頼契約の管理
3.3.2. Authorized Party	3.3.2. 認可当事者
3.3.3. Proxied Federation	3.3.3. プロキシドフェデレーション
3.3.4. Fulfilling Roles and Functions of a Federation Model	3.3.4. フェデレーションモデルの役割と機能の果たし方
3.4. Federated Identifiers	3.4. フェデレーション識別子
3.4.1. Pairwise Pseudonymous Identifiers (PPI)	3.4.1. ペアワイズ仮名識別子 (PPI)
3.5. Trust Agreements	3.5. 信頼契約
3.5.1. Bilateral Trust Agreements	3.5.1. 二者間信頼契約
3.5.2. Multilateral Trust Agreements	3.5.2. 多国間信頼契約
3.5.3. Redress Requirements	3.5.3. 救済要件
3.6. Identifiers and Cryptographic Key Management for CSPs, IdPs, and RPs	3.6. CSP、IdP、および RP の識別子および暗号鍵の管理
3.6.1. Cryptographic Key Rotation	3.6.1. 暗号鍵の回転
3.6.2. Cryptographic Key Storage	3.6.2. 暗号鍵の保管
3.6.3. Software Attestations	3.6.3. ソフトウェアの認証
3.7. Authentication and Attribute Disclosure	3.7. 認証と属性の開示
3.8. RP Subscriber Accounts	3.8. RP 加入者アカウント
3.8.1. Account Linking	3.8.1. アカウントのリンク
3.8.2. Account Resolution	3.8.2. アカウント解決
3.8.3. Alternative Authentication Processes	3.8.3. 代替認証プロセス
3.9. Authenticated Sessions at the RP	3.9. RP での認証済みセッション
3.10. Privacy Requirements	3.10. プライバシー要件
3.10.1. Transmitting Subscriber Information	3.10.1. 加入者情報の送信
3.10.2. Sharing Information Between CSPs	3.10.2. CSP 間の情報共有
3.11. Security Controls	3.11. セキュリティコントロール
3.11.1. Protection From Assertion Injection Attacks	3.11.1. アサーション注入攻撃からの防御
3.11.2. Protecting Subscriber Information	3.11.2. 加入者情報の防御
3.11.3. Storing Subscriber Information	3.11.3. 加入者情報の保存
3.12. Identity Attributes	3.12. 身元属性
3.12.1. Attribute Bundles	3.12.1. 属性バンドル
3.12.2. Derived Attribute Values	3.12.2. 派生属性値
3.12.3. Identity APIs	3.12.3. 身元確認 API
3.13. Assertion Protection	3.13. アサーションの防御
3.13.1. Assertion Identifier	3.13.1. アサーション識別子
3.13.2. Signed Assertion	3.13.2. 署名付きアサーション
3.13.3. Encrypted Assertion	3.13.3. 暗号化されたアサーション
3.13.4. Audience Restriction	3.13.4. 対象者制限
3.14. Bearer Assertions	3.14. ベアラアサーション
3.15. Holder-of-Key Assertions	3.15. 鍵保有者によるアサーション
3.16. Bound Authenticators	3.16. バインド認証
3.16.1. RP-Provided Bound Authenticator Issuance	3.16.1. RP 提供のバインド認証情報の発行
3.16.2. Subscriber-Provided Bound Authenticator Binding Ceremony	3.16.2. 加入者提供のバインド認証情報のバインディングセレモニー
3.17. RP Processing of Holder-of-Key Assertions and Bound Authenticators	3.17. キーの所有者のアサーションおよびバインド認証情報の RP による処理
4. General-Purpose IdPs	4. 汎用 IdP
4.1. IdP Account Provisioning	4.1. IdP アカウントのプロビジョニング
4.2. Federation Transaction	4.2. フェデレーション取引
4.3. Trust Agreements	4.3. 信頼契約
4.3.1. Pre-Established Trust Agreements	4.3.1. 事前確立された信頼関係契約
4.3.2. Subscriber-Driven Trust Agreement Establishment	4.3.2. 参加者主導の信頼契約の確立
4.4. Discovery and Registration	4.4. 発見と登録
4.4.1. Manual Registration	4.4.1. 手動登録
4.4.2. Dynamic Registration	4.4.2. ダイナミック登録
4.5. Subscriber Authentication at the IdP	4.5. IdP における加入者の認証
4.6. Authentication and Attribute Disclosure	4.6. 認証および属性の開示
4.6.1. IdP-Controlled Decisions	4.6.1. IdP がコントロールする決定
4.6.2. RP-Controlled Decisions	4.6.2. RP コントロールの決定
4.6.3. Provisioning Models for RP Subscriber Accounts	4.6.3. RP 加入者アカウントのプロビジョニングモデル
4.6.4. Attribute Synchronization	4.6.4. 属性同期
4.6.5. Provisioning APIs	4.6.5. プロビジョニングAPI
4.6.6. Collection of Additional Attributes by the RP	4.6.6. RP による追加属性の収集
4.6.7. Time-Based Removal of RP Subscriber Accounts	4.6.7. RP加入者アカウントのタイムベース削除
4.7. Reauthentication and Session Requirements in Federated Environments	4.7. フェデレーション型環境における再認証とセッション要件
4.8. Shared Signaling	4.8. 共有シグナリング
4.9. Assertion Contents	4.9. アサーションの内容
4.10. Assertion Requests	4.10. アサーション要求
4.11. Assertion Presentation	4.11. アサーションの提示
4.11.1. Back-Channel Presentation	4.11.1. バックチャネルプレゼンテーション
4.11.2. Front-Channel Presentation	4.11.2. フロントチャネル提示
5. Subscriber-Controlled Wallets	5. 加入者コントロールウォレット
5.1. Issuing Attribute Bundles to the Subscriber-Controlled Wallet	5.1. 加入者管理ウォレットへの属性バンドルの発行
5.1.1. Invalidating Attribute Bundles for the Subscriber-Controlled Wallet	5.1.1. 加入者管理ウォレット向けの属性バンドルの無効化
5.2. Federation Transaction	5.2. フェデレーション取引
5.3. Trust Agreements	5.3. 信頼契約
5.3.1. CSPs and RPs	5.3.1. CSP と RP
5.3.2. CSPs and Subscriber-Controlled Wallets	5.3.2. CSP と加入者管理ウォレット
5.3.3. RPs and Subscriber-Controlled Wallets	5.3.3. RP と加入者管理ウォレット
5.3.4. FAL3 for Subscriber-Controlled Wallets	5.3.4. 加入者管理ウォレット向けのFAL3
5.4. Wallet Activation	5.4. ウォレットのアクティベーション
5.4.1. Key Storage	5.4.1. 鍵の保管
5.5. Discovery and Registration	5.5. 発見と登録
5.6. Authentication and Attribute Disclosure	5.6. 認証と属性の開示
5.7. Assertion Requests	5.7. アサーション要求
5.8. Assertion Contents	5.8. アサーションの内容
5.9. Assertion Presentation	5.9. アサーションの提示
5.10. Assertion Validation	5.10. アサーションの妥当性確認
5.11. RP Subscriber Accounts	5.11. RP 加入者アカウント
6. Threats and Security Considerations	6. 脅威とセキュリティ上の考慮事項
6.1. Federation Threats	6.1. フェデレーションの脅威
6.2. Federation Threat Mitigation Strategies	6.2. フェデレーションの脅威の緩和戦略
7. Privacy Considerations	7. プライバシーに関する考慮事項
7.1. Minimizing Tracking and Profiling	7.1. 追跡とプロファイリングの最小化
7.2. Notice and Consent	7.2. 通知と同意
7.3. Data Minimization	7.3. データ最小化
7.4. Agency-Specific Privacy Compliance	7.4. 機関固有のプライバシーコンプライアンス
7.5. Blinding in Proxied Federation	7.5. プロキシドフェデレーションにおけるブラインド処理
8. Customer Experience Considerations	8. 顧客体験に関する考慮事項
8.1. Usability	8.1. ユーザビリティ
8.1.1. General Usability Considerations	8.1.1. 一般的な使いやすさの考慮事項
8.1.2. Specific Usability Considerations	8.1.2. 特定のユーザビリティに関する考慮事項
8.2. Customer Success Considerations	8.2. 顧客成功の考慮事項
8.2.1. Provide a Clear Means for Selecting and Remembering IdPs	8.2.1. IdP を選択および記憶するための明確な手段の提供
8.2.2. Provide Clear Paths to Support and Assistance	8.2.2. サポートおよび支援への明確な経路の提供
9. Examples	9. 例
9.1. Mapping FALs to Common Federation Protocols	9.1. FAL を一般的なフェデレーションプロトコルにマッピング
9.2. Direct Connection to an Agency’s IdP	9.2. 機関のIdPへの直接接続
9.3. Multilateral Federation Network	9.3. 多国間フェデレーションネットワーク
9.4. Issuance of a Credential to a Digital Wallet	9.4. デジタルウォレットへの認証情報の発行
9.5. Enterprise Application Single-Sign-On	9.5. エンタープライズアプリケーションのシングルサインオン
9.6. Holder-of-Key FAL3 With a Smart Card	9.6. スマートカードを使用したホルダー・オブ・キー FAL3
9.7. FAL3 With a Non-PKI Bound Authenticator	9.7. PKI にバインドされていない認証器を使用した FAL3
9.8. Holder-of-Key FAL3 With Referred Token Binding	9.8. キー保持者 FAL3 と参照トークンバインディング
9.9. Ephemeral Federated Attribute Exchange	9.9. 一時的なフェデレーション型属性交換
9.10. Multiple Different Authorized Parties and Trust Agreements	9.10. 複数の異なる認可当事者および信頼契約
9.11. Shared Pairwise Pseudonymous Identifiers for Multiple RPs	9.11. 複数の RP 用の共有ペアワイズ仮名識別子
9.12. RP Authentication to an IdP	9.12. IdP に対する RP の認証
9.13. Cloud Wallet	9.13. クラウドウォレット
References	参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms	附属書 A. 記号、略語、および頭字語のリスト
Appendix B. Glossary	附属書 B. 用語集
Appendix C. Change Log	附属書 C. 変更履歴

ブログ...

・2025.08.01 Let’s get Digital! Updated Digital Identity Guidelines are Here!

Let’s get Digital! Updated Digital Identity Guidelines are Here!	デジタルになろう更新されたデジタル・アイデンティティ・ガイドラインがここにある！
Today is the day! Digital Identity Guidelines, Revision 4 is finally here...it’s been an exciting journey and NIST is honored to be a part of it.	今日がその日である！デジタル・アイデンティティ・ガイドライン改訂4版がついに登場した...それはエキサイティングな旅であり、NISTはその一部になれたことを光栄に思う。
What can we expect?	何が期待できるのか？
Serving as a culmination of a nearly four-year collaborative process that included foundational research, two public drafts, and about 6,000 individual comments from the public, Revision 4 of Special Publication 800-63, Digital Identity Guidelines, intends to respond to the changing digital landscape that has emerged since the last major revision of this suite, published in 2017.	基礎的な調査、2 回の公開ドラフト、一般からの約 6,000 件の個別コメントを含む約 4 年間の共同作業の集大成として、特別刊行物 800-63, デジタル・アイデンティティ・ガイドラインの改訂 4 は、2017 年に発行されたこのスイートの最後のメジャー改訂以降に現れた変化するデジタル環境に対応することを意図している。
The guidelines presented in Revision 4 explain the process and technical requirements for meeting digital identity assurance levels for identity proofing, authentication, and federation—including requirements for security and privacy, as well as considerations for improved customer experience of digital identity solutions and technology. The guidelines also establish identity management as a cross-functional process involving professionals representing cybersecurity, privacy, usability, program integrity, mission and business units, and other disciplines. Identity risk management in Revision 4 has continued its evolution towards a “team sport” that can more effectively address the needs of the organization and the individuals it seeks to serve.	改訂 4 で提示されたガイドラインは、身元確認、認証、およびフェデレーションのためのデジタル ID 保証レベルを満たすためのプロセスと技術的要件を説明している。これには、セキュリティとプライバシの要件だけでなく、デジタル ID ソリューションおよびテクノロジの顧客体験を改善するための考慮事項も含まれる。このガイドラインはまた、ID 管理を、サイバーセキュリティ、プライバシー、ユーザビリティ、プログラム・インテグリティ、任務および事業部門、および他の分野を代表する専門家が関与する部門横断的なプロセスとして確立している。改訂 4 における ID リスクマネジメントは、組織とその組織がサービスを提供しようとする個人のニーズにより効果的に対処できる「チーム・スポーツ」に向けて進化を続けている。
Revision 4 also includes many substantial content changes, including:	改訂 4 では、以下を含む多くの大幅な内容の変更も行われている：
・Updates to context setting for risk management, reframed risk management processes, and new expectations for greater cross-functional engagement.	・リスクマネジメントの文脈設定の機能、リスクマネジメントのプロセスの見直し、部門横断的な関与の強化に対する新たな期待。
・New recommended continuous evaluation metrics.	・新たに推奨される継続的評価指標・
・Expanded fraud requirements and recommendations for identity proofing processes.	・身元確認プロセスに関する不正行為の要件と推奨事項を拡大した。
・Restructured identity proofing controls to better define roles and types of identity proofing.	・身元証明の役割と種類をより明確にするため、身元証明の管理を再構築した。
・Added controls for addressing injection attacks and forged media (e.g., "deep fakes").	・インジェクション攻撃および偽造メディア（「ディープフェイク」など）に対処するための管理を追加した。
・Integration of syncable authenticators (e.g., synced passkeys).	・同期可能な認証器（同期パスキーなど）を統合した。
・Representation of subscriber-controlled wallets in the federation model.	・フェデレーション・モデルにおける加入者管理ウォレットの表現。
And…for those of you looking for it, since we know you are out there, changes to the password composition and rotation expectations are also included in the document. All these changes represent an extensive update from NIST SP 800-63 Revision 3—drawing heavily from real-world lessons and innovations.	そして......あなたがそこにいることを知っているので、それを探している人のために、パスワードの構成とローテーションの期待の変更も文書に含まれている。これらの変更はすべて、NIST SP 800-63 改訂第 3 版からの広範なアップデートを代表するものであり、実世界の教訓と革新から大きく引き出されたものである。
These guidelines are ultimately intended to make navigating the digital world more secure and convenient by providing a framework to understand online risks and controls that can better protect our critical online services.	これらのガイドラインは最終的に、オンライン上のリスクと、重要なオンラインサービスをより良く保護するための管理策を理解する枠組みを提供することで、デジタル世界をより安全かつ便利に利用できるようにすることを意図している。
Where will we go from here?	ここからどこへ向かうのか？
Our journey certainly does not end with Revision 4.	私たちの旅は、改訂4版で終わるわけではない。
As with previous revisions, implementation resources are already in development, and we are exploring concepts such as machine-readable conformance criteria and a Digital Identity Risk Management tool.	前回の改訂と同様、実装リソースはすでに開発中であり、機械可読規準やデジタル・アイデンティティ・リスク・マネジメント・ツールなどの概念を模索している。
While the comment period has closed, we always welcome engagement, feedback, and questions. Email us: [mail] .	意見募集は終了したが、意見、フィードバック、質問はいつでも歓迎する。電子メール：[mail]。

参考...

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.11.18 米国意見募集 NIST SP 800-157r1 派生個人アイデンティティ検証（PIV）クレデンシャル・ガイドラインと、SP 800-217 個人アイデンティティ検証（PIV）連携ガイドラインの最終ドラフト

・2024.10.10 米国 NIST IR 8480（初期公開ドラフト）アイデンティティ管理のための属性妥当性確認サービス：アーキテクチャ、セキュリティ、プライバシー、運用上の考慮事項

・2024.08.24 米国 NIST SP 800-63-4（第2次公開草案）デジタル・アイデンティティ・ガイドライン他...

・2024.04.25 米国 NIST SP 800-63B [補足 1] NIST SP 800-63B: デジタル・アイデンティティ・ガイドライン - 認証およびライフサイクル管理への同期可能な本人認証の組み込み

・2022.12.19 NIST SP 800-63-4 (ドラフト) デジタル・アイデンティティ・ガイドライン、63A-4 (ドラフト) 登録と身元確認、63B-4 (ドラフト) 本人認証とライフサイクル管理、63C-4 (ドラフト) 連携とアサーション

・2020.06.11 NIST SP 800-63-4(Draft) PRE-DRAFT Call for Comments: Digital Identity Guidelines

・2020.03.07 NIST SP800-63-3 Digital Identity GuidelinesにEditorialな修正がありました

欧州

・2024.09.27 ENISA EUデジタルID(EUDI)ウォレットの認証をサポート (2024.09.24)

・2024.07.09 欧州 ETSI 電子署名と信頼基盤（ESI）；属性の電子認証に適用される選択的開示とゼロ知識証明の分析

・2024.03.21 ENISA 遠隔身元証明 (Remote ID Proofing) の優れた実践

・2024.02.03 ENISA サイバーセキュリティ認証の市場

・2023.07.05 ENISA デジタルID標準

英国

・2024.10.13 英国認定デジタル ID および属性サービスについて

日本

・2025.04.02 デジタル庁本人確認ガイドライン改定方針令和6年度とりまとめ (2025.04.01)

・2024.07.11 デジタル庁本人確認ガイドラインの改定に向けた有識者会議本人確認ガイドライン改定方針令和5年度中間とりまとめ

・2023.06.30 デジタル庁「DS-500 行政手続におけるオンラインによる本人確認の手法に関するガイドライン」の改定に向けた中間取りまとめ

・2022.07.02 デジタル庁デジタル社会推進標準ガイドラインにセキュリティに関するドキュメントが追加されましたね。。。

2025.08.03 10:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 内部統制 / リスクマネジメント, in 暗号 / 電子署名 / ブロックチェーン | Permalink | Comments (0)
Tweet

米国 Five Eyes 脅威アクターScattered Spiderについての警告 (2025.07.29)

こんにちは、丸山満彦です。

Scattered Spiderは、北米、英国といった地理的に離れた場所に散在している若者からなる高度な技術をもった脅威アクターで、一部逮捕者がでているということのようですが、活動は今でも続いているようで、米国（CISA, FBI）、カナダ（CCCS, RCMP）、オーストラリア（ACSC, AFP）、英国（NCSC）が、警告を更新していますね。

● CISA

・2025.07.29 Scattered Spider

Alert Code AA23-320A

Scattered Spider	Scattered Spider
Actions for Organizations to Take Today to Mitigate Malicious Cyber Activity	悪意のあるサイバー活動を緩和するために組織が今すぐ取るべき措置
Maintain offline backups of data that are stored separately from the source systems and tested regularly.	ソースシステムとは別に保存し、定期的にテストするデータのオフラインバックアップを維持する。
Enable and enforce phishing-resistant multifactor authentication (MFA).	フィッシング対策の多要素認証（MFA）を有効にし、実施する。
Implementing application controls to manage and control software execution.	ソフトウェアの実行を管理および制御するためのアプリケーション制御を導入する。
Summary	要約
The Federal Bureau of Investigation (FBI), Cybersecurity and Infrastructure Security Agency (CISA), Royal Canadian Mounted Police (RCMP), Australian Signals Directorate’s (ASD’s) Australian Cyber Security Centre (ACSC), Australian Federal Police (AFP), Canadian Centre for Cyber Security (CCCS), and United Kingdom’s National Cyber Security Centre (NCSC-UK)—hereafter referred to as the authoring organizations—are releasing this joint Cybersecurity Advisory in response to recent activity by Scattered Spider threat actors against the commercial facilities sectors, subsectors, and other sectors. This advisory provides tactics, techniques, and procedures (TTPs) obtained through FBI investigations as recently as June 2025.	連邦捜査局（FBI）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、カナダ王立騎馬警察（RCMP）、オーストラリア信号局（ASD）オーストラリアサイバーセキュリティセンター（ACSC）、オーストラリア連邦警察（AFP）、カナダサイバーセキュリティセンター（CCCS）、および英国国家サイバーセキュリティセンター（NCSC-UK）（以下、作成機関）は、商業施設セクター、サブセクター、およびその他のセクターに対する Scattered Spider 脅威アクターの最近の活動に対応し、この共同サイバーセキュリティアドバイザリを発表します。このアドバイザリでは、2025 年 6 月までに FBI の調査によって得られた戦術、手法、手順 (TTP) について紹介しています。
Note: Originally published Nov. 16, 2023, this advisory has been updated through several iterations:	注：2023 年 11 月 16 日に最初に公開されたこのアドバイザリは、何度か更新されています。
Nov. 16, 2023: Initial version.	2023 年 11 月 16 日：初期バージョン。
Nov. 21, 2023: Updated password recommendation language on page 12.	2023 年 11 月 21 日：12 ページ目のパスワードに関する推奨事項の文言を更新。
July 29, 2025: U.S. and international federal organizations identified new TTPs associated with the Scattered Spider cybercriminal group. In addition to new TTPs that include more sophisticated social engineering techniques, the advisory describes additional malware and ransomware variants used to exfiltrate data and encrypt targeted organizations’ systems.	2025 年 7 月 29 日：米国および国際的な連邦機関は、Scattered Spider サイバー犯罪グループに関連する新たな TTP を特定しました。より洗練されたソーシャルエンジニアリング手法を含む新たな TTP に加え、このアドバイザリでは、データを盗み出し、標的となった組織のシステムを暗号化するために使用される追加のマルウェアおよびランサムウェアの亜種についても説明しています。
Scattered Spider is a cybercriminal group that targets large companies and their contracted information technology (IT) help desks.	Scattered Spider は、大企業およびその契約情報技術 (IT) ヘルプデスクを標的とするサイバー犯罪グループです。
Update July 29, 2025:	2025年7月29日更新
Per trusted third parties, Scattered Spider threat actors typically engage in data theft for extortion and also use several ransomware variants, most recently deploying DragonForce ransomware alongside their usual TTPs. While some TTPs remain consistent, Scattered Spider threat actors often change TTPs to remain undetected.	信頼できるサードパーティによると、Scattered Spider の脅威アクターは通常、恐喝を目的としたデータ盗難に関与しており、複数のランサムウェアの亜種も使用しています。最近では、通常の TTP と併せて DragonForce ランサムウェアを展開しています。一部の TTP は一貫していますが、Scattered Spider の脅威アクターは、検出されないように TTP を頻繁に変更しています。
Update End	更新終了
The authoring organizations encourage critical infrastructure organizations and commercial facilities to implement the recommendations in the Mitigations section of this advisory to reduce the likelihood and impact of Scattered Spider malicious activity.	作成機関は、重要インフラ組織および商業施設に対し、Scattered Spider の悪意のある活動の可能性と影響を軽減するため、本アドバイザリ「緩和策」に記載されている推奨事項を実施することを推奨します。

最新版

・2025.07.29 [PDF]

オリジナル

・2023.11.16 [PDF]

FS-ISAC他、ISACsからも警告がでていますね...

● FS-ISAC

・Cross-Sector Mitigations: Scattered Spider Guidance for Proactive Defense

2025.08.03 00:00 in 情報セキュリティ / サイバーセキュリティ, in 法律 / 犯罪 | Permalink | Comments (0)
Tweet

IPA 脆弱性診断内製化ガイド (2025.07.31)

こんにちは、丸山満彦です。

IPAが、脆弱性診断内製化ガイドを公表していますね...

ICSCoEということで、門林先生、満永先生... 上野さんとかも...

... 脆弱性診断については多くの企業が外部ベンダーへ発注するケースが一般的ですが、脆弱性の増加やリリースサイクルの高速化により対応しきれないケースが増えつつあり、内製化への関心も高まっています。

こうした背景を踏まえ、当プロジェクトでは「脆弱性診断内製化ガイド」を作成しました。...

ということのようです...

● IPA

・2025.07.31 脆弱性診断内製化ガイド

第1章　はじめに
脆弱性診断の重要性や内製化を取り巻く背景、本ガイドの目的と適用範囲を紹介します。	1.1 背景
	1.2 本ガイドの目的
	1.3 想定読者・適用範囲
	1.4 本ガイドの構成と読み方
	1.5 利用規約
第2章　脆弱性診断について
脆弱性の基本概念、診断の種類や手法、セキュリティ全体における診断の位置付けを整理します。	2.1 脆弱性とは
	2.2 脆弱性診断とは
	2.3 脆弱性診断の対象範囲と位置付け
	2.4 脆弱性診断の種類
	2.5 脆弱性診断の手法
	2.6 診断アプローチと選定のポイント
	2.7 セキュリティ全体における脆弱性診断の位置づけ
	2.8 本章のまとめ
第3章　外部発注と内製の違い
外部発注と内製それぞれの特徴・コスト構造・メリット・デメリットを比較し、検討材料を提示します。	3.1 本章の目的
	3.2 外部発注と内製を考えるうえでの基本的な視点
	3.3 内製化の特徴と考慮点
	3.4 外部発注の特徴と考慮点
	3.5 外部発注と内製のコスト構造の違い
	3.6 外部発注と内製のメリット・デメリット
	3.7 ハイブリッド運用という選択肢
	3.8 本章のまとめ
第4章　内製化に必要な組織体制と人材
経営層の関与、診断チームの役割・構成、関係組織との連携体制について解説します。	4.1 本章の目的
	4.2 経営層の関与と推進体制
	4.3 内製チームの役割とブランディング
	4.4 チーム構成と役割
	4.5 組織横断的なコミュニケーションと関係組織連携
	4.6 本章のまとめ
第5章　内製化の進め方と継続的改善プロセス
スモールスタートから全社展開までの段階的導入ステップと品質向上の取り組みを示します。	5.1 本章の目的
	5.2 事前に決めておくべきこと
	5.3 ステップ 1：スモールスタートによる段階的な運用開始
	5.4 ステップ 2：手動診断の段階的な導入
	5.5 ステップ 3：全社・グループ展開
	5.6 品質向上と継続的改善
	5.7 本章のまとめ
第6章　関係組織との連携とセキュリティ意識の醸成
システム開発時・運用時の診断プロセスにおける組織連携の在り方や、社内のセキュリティ意識向上施策を解説します。	6.1 本章の目的
	6.2 仮想企業における組織モデルの概要
	6.3 開発時のリリース前診断
	6.4 運用中の定期診断
	6.5 組織間セキュリティ意識の醸成
	6.6 本章のまとめ
第7章　人材確保・育成
脆弱性診断に必要な人材の採用戦略やスキル育成、モチベーション維持とキャリア設計など、人材面のアプローチを紹介します。	7.1 本章の目的
	7.2 人材確保の基本的な考え方
	7.3 新卒・中途採用のポイント
	7.4 人材育成
	7.5 モチベーション維持とキャリアパス
	7.6 本章のまとめ
第8章　ツール選定におけるポイント
脆弱性診断ツールの概要や選定基準、活用上の留意点を紹介します。	8.1 本章の目的
	8.2 有償ツールと無償ツール
	8.3 AI・自動化技術の動向
	8.4 本章のまとめ
第9章　謝辞
本ガイド作成にあたりご協力いただいた関係者への感謝を記載しています。
付録A 技術検証結果について
ガイド作成時に行った技術検証の概要と検証結果を補足資料として掲載しています。	A.1 概要
	A.2 VulnHub 環境１に対するプラットフォーム診断
	A.3 VulnHub 環境２に対するプラットフォーム診断
	A.4 BadTodo に対する Web アプリケーション診断
	A.5 検証で得られた知見

2025.08.03 00:00 in 情報セキュリティ / サイバーセキュリティ, in 脆弱性, in 内部統制 / リスクマネジメント | Permalink | Comments (0)
Tweet

2025.08.02

欧州委員会 AI法第 53 条(1)(d)で要求される汎用 AI モデルの訓練内容に関する公開要約の説明文書およびテンプレー(2025.07.24)

こんにちは、丸山満彦です。

AI法の施行に向けていろいろとガイドが公表されていますね。。。

AI 法第 53 条(1)(d)によれば、汎用 AI モデル提供者は、AI 事務局が提供するテンプレートに従って、汎用 AI モデルの訓練に使用される内容について、十分に詳細な概要を作成し、公開しなければならないことになっていますが、そのテンプレートと説明文が今回の公表です...

● European Commission

・2025.07.24 Commission presents template for General-Purpose AI model providers to summarise the data used to train their model

Commission presents template for General-Purpose AI model providers to summarise the data used to train their model	欧州委員会、汎用 AI モデルプロバイダがモデルのトレーニングに使用したデータを要約するためのテンプレートを発表
The Commission has published a template to help General-Purpose AI (GPAI) providers summarise the content used to train their model.	欧州委員会は、汎用 AI (GPAI) プロバイダがモデルのトレーニングに使用したコンテンツを要約するためのテンプレートを公開した。
This template is a simple, uniform and effective manner for GPAI providers to increase transparency in line with the AI Act, including making such a summary publicly available.	このテンプレートは、GPAI プロバイダが AI 法に基づき、要約の公開など、透明性を高めるためのシンプルで統一された効果的な手段となる。
Henna Virkkunen, Executive Vice-President for Tech Sovereignty, Security and Democracy, said: “Today’s template adopted by the Commission is another important step towards trustworthy and transparent AI. By providing an easy-to-use document, we are supporting providers of general-purpose AI models to comply with the AI Act. This is how we can build trust in AI and unlock its full potential for the benefit of the economy and the society.”	技術主権、セキュリティ、民主主義担当執行副委員長であるヘナ・ヴィルクネン氏は、次のように述べている。「本日、欧州委員会が採択したテンプレートは、信頼性が高く透明性の高い AI 実現に向けたもう一つの重要な一歩だ。使いやすい文書を提供することで、汎用 AI モデルのプロバイダが AI 法を遵守することを支援する。そうすることで、AI に対する信頼を築き、経済と社会のために AI の潜在能力を最大限に引き出すことができるのだ。
General-purpose AI models are trained with large quantities of data but there is only limited information available regarding the origin of this data. The public summary will provide a comprehensive overview of the data used to train a model, list main data collections and explain other sources used. This template will also assist parties with legitimate interests, such as copyright holders, in exercising their rights under Union law.	汎用 AI モデルは、大量のデータを用いて訓練されますが、このデータの出所に関する情報は限られています。公開要約では、モデルの訓練に使用されたデータの包括的な概要、主なデータ収集源の一覧、およびその他の使用した情報源の説明が提供されます。このテンプレートは、著作権者などの正当な利益を有する当事者が、EU 法に基づく権利を行使する上でも役立つ。
The template is part of a broader initiative linked to the EU-wide rules for general-purpose AI models kicking in on 2 August 2025. It complements the guidelines on the scope of the rules for general-purpose AI models, published 18 July, and the General-Purpose AI Code of Practice released on 10 July.	このテンプレートは、2025年8月2日に施行されるEU全体の汎用AIモデルに関する規則と連動した広範なイニシアチブの一部だ。これは、7月18日に公表された汎用AIモデルに関する規則の適用範囲に関するガイドライン、および7月10日に公表された汎用AI行動規範を補完するものだ。
More information is available in the questions and answers online.	詳細情報は、オンラインの質問と回答で確認できる。
Download the Template for general-purpose AI model providers to summarise their training content.	汎用 AI モデルプロバイダがトレーニング内容を要約するためのテンプレート

・[PDF] Explanatory Notice and Template for the Public Summary of Training Content for general-purpose AI models

ANNEX	附属書
to the Communication to the Commission Approval of the content of the draft Communication from the Commission –Explanatory Notice and Template for the Public Summary of Training Content for general-purpose AI models required by Article 53 (1)(d) of Regulation (EU) 2024/1689 (AI Act)	委員会へのコミュニケーション委員会からのコミュニケーションの草案の内容の承認 – 規則 (EU) 2024/1689 (AI 法) 第 53 条 (1) (d) で要求される汎用 AI モデルの訓練内容に関する公開要約の説明文書およびテンプレート
1. Background	1. 背景
(1) Regulation (EU) 2024/1689 of the European Parliament and the Council of 13 June 2024 laying down harmonised rules on artificial intelligence and amending certain regulations^[1] (‘the AI Act’) entered into force on 1 August 2024. Section 2 of Chapter V AI Act lays down harmonised rules for providers of general-purpose AI models, including obligations applicable to all providers of general-purpose AI models^[2] and additional risk assessment and mitigation requirements for those of the most advanced general-purpose AI models posing systemic risks^[3]. Those rules will apply as of 2 August 2025.	(1) 2024年6月13日に欧州議会および理事会が採択した、人工知能に関する調和規則を定めるとともに、特定の規則を改正する規則（EU）2024/1689（以下「AI法」という）は、2024年8月1日に施行された。AI 法の第 V 章第 2 節では、汎用 AI モデル提供者に対する調和化された規則が定められており、これには、すべての汎用 AI モデル提供者に適用される義務[2]、および、システミックリスクをもたらす最先端の汎用 AI モデル提供者に対する追加的なリスクアセスメントおよび緩和要件[3] が含まれている。これらの規則は、2025 年 8 月 2 日から適用される。
(2) Article 53(1)(d) AI Act requires all providers of general-purpose AI models to draw up and make publicly available a sufficiently detailed public summary of the content used for the training of the model (the ‘Summary’), according to a template provided by the AI Office (the ‘Template’). Recital 107 AI Act contains additional clarifications on the objectives of the Summary and the Template which include transparency on the data that is used for the training of general-purpose AI models, including text and data protected by copyright law.	(2) AI 法第 53 条(1)(d) は、汎用 AI モデルのすべての提供者に対し、AI 事務局が提供するテンプレート（以下「テンプレート」という）に従って、モデルの訓練に使用した内容について、十分に詳細な公開要約（以下「要約」という）を作成し、公開することを義務付けています。前文 107 AI 法には、概要およびテンプレートの目的について、著作権法で保護されているテキストやデータを含む、汎用 AI モデルの訓練に使用されるデータの透明性など、追加の説明が記載されている。
(3) Providers of all general-purpose AI models placed on the Union market must fulfil the above obligation, including providers of general-purpose AI models released under free and open-source licenses^[4], in so far as the models fall within the scope of the AI Act^[5]. Recital 107 AI Act contains additional clarifications on the Summary and the Template.	(3) 連合市場に上市されるすべての汎用 AI モデル提供者は、そのモデルが AI 法[4] の適用範囲に該当する限り、無料かつオープンソースのライセンス[5] でリリースされる汎用 AI モデル提供者も含め、上記の義務を履行しなければならない。前文 107 AI 法には、概要およびテンプレートに関する追加の説明が含まれている。
RELEVANT LEGAL TEXT	関連法規
Article 53(1)(d) AI Act.	AI 法第 53 条(1)(d)
Providers of general-purpose AI models shall […] draw up and make publicly available a sufficiently detailed summary about the content used for training of the general-purpose AI model, according to a template provided by the AI Office.	汎用 AI モデル提供者は、AI 事務局が提供するテンプレートに従って、汎用 AI モデルの訓練に使用される内容について、十分に詳細な概要を作成し、公開しなければならない。
Recital 107 AI Act.	前文 107 AI 法
In order to increase transparency on the data that is used in the pre-training and training of general-purpose AI models, including text and data protected by copyright law, it is adequate that providers of such models draw up and make publicly available a sufficiently detailed summary of the content used for training the general-purpose AI model. While taking into due account the need to protect trade secrets and confidential business information, this summary should be generally comprehensive in its scope instead of technically detailed to facilitate parties with legitimate interests, including copyright holders, to exercise and enforce their rights under Union law, for example by listing the main data collections or sets that went into training the model, such as large private or public databases or data archives, and by providing a narrative explanation about other data sources used. It is appropriate for the AI Office to provide a template for the summary, which should be simple, effective, and allow the provider to provide the required summary in narrative form.	著作権法で保護されているテキストやデータなど、汎用 AI モデルの事前学習および学習に使用されるデータの透明性を高めるため、当該モデルの提供者は、汎用 AI モデルの学習に使用される内容について、十分に詳細な要約を作成し、公開することが適切である。この概要は、営業秘密や機密の事業情報を保護する必要性を十分に考慮しつつ、著作権者を含む正当な利益を有する当事者が、例えば、大規模な民間または公的データベースやデータアーカイブなど、モデルの訓練に使用された主なデータコレクションまたはデータセットを記載し、その他のデータソースについて説明文を記載するなどして、EU 法に基づく権利を行使および執行することを容易にするため、技術的な詳細ではなく、一般的に包括的な内容とするべきだ。AI 事務局は、要約のテンプレートを提供することが適切であり、そのテンプレートは、簡潔かつ効果的であり、提供者が必要な要約を記述形式で提供できるものでなければならない。
(4) Given that providers are obliged to draw up a Summary according to a Template provided by the Commission, the latter holds important legal value for the proper implementation of the AI Act. This Explanatory Notice and the Template annexed to it aim to help providers of general-purpose AI models comply with their obligation under Article 53(1)(d) of the AI Act in a simple, consistent and effective manner.	(4) 提供者は、欧州委員会が提供するテンプレートに従って要約を作成する義務を負っているため、このテンプレートは AI 法を適切に実施する上で重要な法的価値を有する。この説明文書およびこれに付属するテンプレートは、汎用 AI モデル提供者が AI 法第 53 条(1)(d) の義務を、簡潔、一貫性、かつ効果的な方法で遵守することを支援することを目的としている。
(5) The Template is based on the outcome of a multi-stakeholder consultation on general-purpose AI models, organised by the AI Office from 30 July to 18 September 2024^[6]. Over 430 responses were submitted from a wide range of stakeholders. Based on this input, the AI Office prepared and presented its preliminary approach to the Template and allowed participants involved in the drawing up of the Code of Practice on General-Purpose AI^[7] to provide additional written feedback. The current version of the Template annexed to this Explanatory Notice takes into account comments received from 111 stakeholders, including providers of general-purpose AI models, business associations, rightsholders organisations, academia, civil society and public authorities. The draft Template was also presented and discussed with the AI Board Steering subgroup on General-Purpose AI and with the European Parliament (IMCO-LIBE Committees) working group on AI.	(5) テンプレートは、AI事務局が2024年7月30日から9月18日まで開催した汎用AIモデルに関する多者間協議の結果を基に作成された。幅広い関係者から 430 件以上の意見が寄せられた。この意見を踏まえ、AI 事務局はテンプレートの暫定的なアプローチを策定し、汎用 AI 行動規範[7] の策定に関与した関係者に対して、追加の書面によるフィードバックを求めることを決定した。この説明文書に添付されているテンプレートの現在のバージョンは、汎用 AI モデル提供者、事業者団体、権利者団体、学界、市民社会、公的機関など、111 のステークホルダーから寄せられたコメントを反映したものとなっている。また、テンプレートのドラフトは、AI 理事会汎用 AI に関する運営小委員会および欧州議会（IMCO-LIBE 委員会）の AI に関する作業部会にも提出され、議論された。
2. Objective of the Summary	2. 要約の目的
(6) General-purpose AI models are trained with large quantities of data for which there is typically limited information available. Recital 107 AI Act explains that the objective of the Summary is to increase transparency on the content used for the training of general-purpose AI models, including text and data protected by law and to facilitate parties with legitimate interests, including rightsholders, to exercise and enforce their rights under Union law.	(6) 汎用 AI モデルは、通常、入手可能な情報が限られている大量のデータを用いて訓練される。前文 107 AI 法は、要約の目的は、法律で保護されているテキストやデータを含む、汎用 AI モデルの訓練に使用されるコンテンツの透明性を高め、権利者を含む正当な利益を有する当事者が、EU 法に基づく権利を行使および執行することを容易にするためであると説明している。
(7) Such legitimate interests relate to copyright and related rights and other intellectual property rights, but also to other rights protected by Union law that should benefit from increased transparency.	(7) このような正当な利益は、著作権および関連権利、その他の知的財産権だけでなく、透明性の向上によって恩恵を受けるべき、EU 法によって保護されるその他の権利にも関連している。
(8) First, in relation to intellectual property rights, including copyright and related rights, transparency of the data used for the model training should help rightsholders obtain relevant information on the content used in the training of general-purpose AI models. This information is needed to facilitate the exercise of their fundamental right to intellectual property^[8] and the fundamental right to an effective remedy in the enforcement of their rights, as provided for in Union law in the area of intellectual property rights. In the case of copyright and related rights, transparency of the training data will contribute to ensuring that general-purpose AI models providers comply with Union law on copyright and related rights^[9].	(8) まず、著作権および関連権利を含む知的財産権に関しては、モデル訓練に使用されるデータの透明性は、権利者が汎用 AI モデルの訓練に使用されるコンテンツに関する関連情報を入手するのに役立つはずだ。この情報は、知的財産権に関する EU 法で規定されている、知的財産に関する基本的権利[8] および権利の行使における効果的な救済に関する基本的権利の行使を促進するために必要である。著作権および関連権利の場合、訓練データの透明性は、汎用 AI モデル提供者が著作権および関連権利に関する EU 法を遵守することを確保するのに貢献する[9]。
(9) Second, transparency of the training data in the Summary may facilitate data subjects’ rights and more broadly support the enforcement of the Union data protection rules. In particular, this can be done by summarising all the relevant information together, such as information about the data scraped from the internet or collected by the provider through interactions with the model or other services and products. The information in the Summary is not meant to replace, nor affect the respective information the providers of general-purpose AI models should make available to data subjects under Union data protection law. In the context of the Summary, the interests of consumers and the protection of their consumer rights under Union law may also be relevant.	(9) 第二に、概要における訓練データの透明性は、データ対象者の権利の行使を促進し、より広く EU のデータ保護規則の執行を支援する可能性がある。これは、インターネットから収集したデータ、または提供者がモデルやその他のサービスおよび製品との相互作用を通じて収集したデータに関する情報など、関連するすべての情報をまとめて要約することで実現できる。概要に記載される情報は、汎用 AI モデル提供者が EU データ保護法に基づきデータ対象者に提供すべき情報を置き換えるものではなく、また、その情報に影響を与えるものでもない。概要に関しては、EU 法に基づく消費者の利益および消費者権利の保護も関連する場合がある。
(10) Third, transparency of the general characteristics of the content used for training may also assist providers integrating these models into downstream applications to assess the diversity of the data. This, in turn, will allow them to implement, where appropriate, mitigating measures to ensure that the fundamental rights to non-discrimination^[10] and language and cultural diversity^[11] are respected.	(10) 第三に、訓練に使用されるコンテンツの一般的な特性の透明性は、これらのモデルをダウンストリームアプリケーションに統合する提供者が、データの多様性を評価する上でも役立つ可能性がある。これにより、提供者は、必要に応じて、非差別[10] および言語および文化の多様性[11] に関する基本的権利が尊重されるように、緩和措置を実施することができる。
(11) Fourth, greater transparency of the training data may also facilitate the fundamental right to receive and impart information^[12] and allow researchers to exercise their freedom of science^[13] to conduct scientific research. It can allow academic institutions and organisations to critically evaluate the implications and limitations of a particuler general-purpose AI model and the potential risks and harms associated with the data used.	(11) 第四に、訓練データの透明性を高めることで、情報を受け取り、伝達する基本的権利[12] の行使が促進され、研究者が科学的研究を行うための科学的自由[13] の行使が可能になる。これにより、学術機関や学術団体は、特定の汎用 AI モデルの影響や限界、および使用されるデータに関連する潜在的なリスクや危害を批判的に評価することができる。
(12) Finally, transparency of the training data may also contribute to more transparent and competitive markets. For example, information about whether publicly available general-purpose AI models have been used to train other models, in particular through model distillation, or whether a model has been trained on user data collected from provider’s own products and services, may help users and companies better understand how their data and models have been used and avoid potential lock-in effects.	(12) 最後に、訓練データの透明性は、より透明で競争力のある市場にも貢献する可能性がある。例えば、公開されている汎用 AI モデルが、特にモデル蒸留によって他のモデルの訓練に使用されているかどうか、あるいはモデルが提供者の自社製品やサービスから収集したユーザーデータを用いて訓練されているかどうかに関する情報は、ユーザーや企業が自社のデータやモデルがどのように使用されているかをよりよく理解し、潜在的なロックイン効果を回避するのに役立つ。
3. Comprehensive scope of the training data and sufficient details	3. 訓練データの包括的な範囲と十分な詳細
(13) Information about the general-purpose AI model provided in the Summary should cover data used in all stages of the model training, from pre-training to post-training, including model alignment and finetuning. This covers all sources and types of data, regardless of whether the data are protected or not, including by an intellectual property right. Since Article 53(1)(d) AI Act mentions explicitly ‘training’, other input data used during the model’s operation (e.g. through retrieval augmented generation) are not required in the mandatory sections of the Template[14], unless the model actively learns from this input data.	(13) 概要で提供される汎用 AI モデルに関する情報は、事前学習から事後学習、モデルの調整や微調整に至るまで、モデルの訓練のすべての段階で使用されるデータについて網羅すべきだ。これには、知的財産権によって保護されているかどうかに関わらず、すべてのデータ源およびデータの種類が含まれる。AI 法第 53 条(1)(d) では「訓練」が明示的に記載されているため、モデルの運用中に使用されるその他の入力データ（検索拡張生成によるものなど）は、モデルが当該入力データから積極的に学習する場合を除き、テンプレートの必須項目には記載する必要はない[14]。
(14) Recital 107 AI Act explains that the information about the training content should be comprehensive in its scope and sufficiently detailed to achieve the objective of the Summary of providing meaningful public transparency and facilitating parties with legitimate interests to exercise and enforce their rights under Union law.	(14) AI 法前文 107 では、訓練の内容に関する情報は、要約の目的である、意味のある公開の透明性を確保し、正当な利益を有する当事者が EU 法に基づく権利を行使および執行することを容易にするために、その範囲が包括的かつ十分に詳細であるべきであると説明されている。
(15) The Template annexed to this Explanatory Notice aims to provide a common minimal baseline for the information to be made publicly available in the Summary. It consists of three main sections:	(15) この説明通知に添付のテンプレートは、概要で公開すべき情報の共通最低基準を提供することを目的としている。テンプレートは、主に 3 つのセクションで構成されている。
1. General information: this section requires information allowing identification of the provider and of the model, and information on modalities, the size of each modality within broad ranges, as well as general characteristics of the training data.	1. 一般的な情報：このセクションでは、提供者およびモデルを特定するための情報、モダリティ、広範な範囲における各モダリティの規模、および訓練データの一般的な特性に関する情報を記載する必要がある。
2. List of data sources: this section requires disclosure of the main datasets that were used to train the model, such as large private or public databases, and a comprehensive narrative description of the data scraped online by or on behalf of the provider (including a summary of the most relevant domain names scraped) and a narrative description of all other data sources used (e.g. user data or synthetic data) to ensure completeness of the summary regarding the content used for the model training[15].	2. データソースのリスト：このセクションでは、モデルの訓練に使用された主なデータセット（大規模な民間または公的データベースなど）の開示、および提供者またはその代理人がオンラインで収集したデータに関する包括的な説明（最も関連性の高いドメイン名の概要を含む）と、モデルの訓練に使用されたコンテンツに関する要約の完全性を確保するために使用されたその他のすべてのデータソース（ユーザーデータや合成データなど）に関する説明の開示が義務付けられている。[15]。
3. Relevant data processing aspects: this section of the Template requires disclosure of certain data processing aspects that are relevant for the exercise of the rights of parties with legitimate interests under Union law. This is especially important for compliance with Union law on copyright and related rights and for the removal of illegal content to mitigate the risk that such illegal content may be reproduced and disseminated at scale by the general-purpose AI model.	3. 関連するデータ処理の側面：テンプレートのこのセクションでは、EU 法に基づく正当な利益を有する当事者の権利の行使に関連する特定のデータ処理の側面を開示する必要がある。これは、著作権および関連権利に関する EU 法の遵守、および汎用 AI モデルによって違法なコンテンツが大規模に複製および拡散されるリスクを緩和するための違法コンテンツの削除にとって特に重要である。
(16) On the basis that the Summary aims to provide sufficient details and to facilitate parties with legitimate interests, including rightsholders, exercising their rights under Union law, the Template requires a disclosure of a summary of the list of top domain names crawled and scraped from online sources in a summarised narrative form^[16]. At the same time, it does not require disclosure of the details for the specific data and works used to train the model as this would go beyond the requirement in Article 53(1)(d) to provide just a ‘summary’, which in line with Recital 107 AI Act must be “generally comprehensive” but not “technically detailed”. Providers may nevertheless decide on a voluntary basis to go beyond the minimum requirements in the Template and disclose in the Summary more details than what is required by Article 53(1)(d) AI Act and the Template^[17]. Furthermore, for domain names scraped or crawled from the internet that are not listed in the Summary, it is recommended that providers act in good faith and on a voluntary basis enable parties with a legitimate interest including rightholders, upon requests, to obtain information whether the provider has scraped and used for training content which includes protected works and other subject matter that rightholders have made available on specific internet domains. This recommended and voluntary ‘upon request’ mechanism does not affect other available remedies for rightholders under Union law on enforcement of intellectual property rights (e.g. Article 8 of the Intellectual Property Rights Enforcement Directive)^[18].	(16) 概要は、十分な詳細情報を提供し、権利者を含む正当な利益を有する当事者が EU 法に基づく権利を行使することを容易にするものであることを踏まえ、テンプレートでは、オンラインソースからクロールおよびスクレイピングしたトップドメイン名のリストの概要を、要約した記述形式で[16]開示することを義務付けています。同時に、モデルを訓練するために使用された特定のデータおよび著作物の詳細を開示することは、AI 法前文 107 項に従い、「概要」のみを提供するという第 53 条(1)(d) の要件を超えるため、テンプレートでは開示を義務付けていない。ただし、提供者は、テンプレートの最低要件を超えて、AI 法第 53 条(1)(d) およびテンプレートで要求される情報よりも詳細な情報を概要で開示することを自主的に決定することができる[17]。さらに、要約に記載されていない、インターネットからスクレイピングまたはクロールされたドメイン名については、提供者は、権利者を含む正当な利益を有する当事者からの要請に応じて、提供者が、権利者が特定のインターネットドメインで公開した保護対象作品およびその他の対象物を含むコンテンツをスクレイピングし、訓練用に使用したかどうかに関する情報を、誠意をもって、かつ自主的に提供することが推奨される。この推奨される任意的な「要請に応じて」の仕組みは、知的財産権の執行に関する連合法（例えば、知的財産権執行指令の第8条）[18]に基づく権利者の他の利用可能な救済措置に影響を与えない。
4. Balance with trade secrets and confidential business information	4. 営業秘密および機密の事業情報とのバランス
(17) As explained in Recital 107 AI Act, the Template should seek to strike a balance between serving the interests of parties with legitimate interests and promoting increased transparency of the training content in a meaningful way, while respecting the rights of all parties concerned, in particular taking due account of the need to protect trade secrets and confidential business information.	(17) AI 法前文 107 で説明されているように、テンプレートは、正当な利益を有する当事者の利益と、訓練コンテンツの透明性の向上とのバランスを、すべての関係者の権利を尊重しつつ、特に営業秘密および機密の事業情報を保護する必要性を十分に考慮して、有意義な形で図るべきである。
(18) Since the Commission is bound by the Charter on fundamental rights, this careful balancing exercise has been implemented in relation to the information that the Template requires to be disclosed in order for providers to fulfil their obligation under Article 53(1)(d) AI Act and provide a ‘sufficiently detailed’ public summary of the training content. The provision of information regarding more specific details about the content used for the training of the general-purpose AI models is required in the Template only where it is necessary to enable the exercise of rights protected under Union law in a meaningful manner as required by Article 53(1)(d) and Recital 107 AI Act. Determining which details should be disclosed has been the result of a careful balancing exercise carried out by the Commission in drawing up the Template to ensure that relevant information on the training data is provided to meet the Template’s objectives, while confidential commercially sensitive information about the data sources and the precise manner in which providers curate the data and train their models is preserved.	(18) 委員会は基本権憲章に拘束されているため、テンプレートが、提供者が AI 法第 53 条(1)(d) の義務を履行し、訓練内容について「十分に詳細な」公開要約を提供するために開示を義務付けている情報について、この慎重なバランス調整を実施している。汎用 AI モデルの訓練に使用される内容に関するより具体的な詳細情報の提供は、AI 法第 53 条(1)(d) および前文 107 で要求される、EU 法で保護される権利を意味のある形で行使するために必要な場合にのみ、テンプレートで要求されている。開示すべき詳細を決定するには、テンプレートの作成において、テンプレートの目的を達成するために訓練データに関する関連情報を提供すると同時に、データソースや提供者がデータをキュレーションし、モデルを訓練する正確な方法に関する商業的に機密性の高い情報を保護するために、委員会が慎重なバランス調整を行った結果によるもの。
(19) To protect providers’ trade secrets, different levels of detail are required in the Template depending on the source of data considered. In particular, limited disclosure of information is required for licensed data given that the rightsholders concerned are parties to the licensing agreements (see Section 2.2.1 of the Template). Furthermore, private datasets not commercially licensed by rightsholders and obtained from other third parties have to be listed only if publicly known (or the provider wants to make them publicly known), and otherwise described in a general manner (see Section 2.2.2 of the Template). Considering the public nature of the information contained in publicly available datasets, more detail is required about those datasets, including the disclosure of ‘large’ datasets (defined in the Template), in line with Recital 107 AI Act (see Section 2.1 of the Template).	(19) 提供者の営業秘密を保護するため、テンプレートでは、検討対象のデータ源に応じて、詳細度の異なる情報開示が求められている。特に、ライセンス供与されたデータについては、権利者がライセンス契約当事者であることを考慮し、情報開示を制限している（テンプレートの 2.2.1 項を参照）。さらに、権利者によって商業的にライセンス供与されておらず、他のサードパーティから取得した非公開のデータセットは、公に知られている場合（または提供者が公に知らしめたい場合）にのみ記載し、それ以外の場合は一般的な方法で記述する必要がある（テンプレートの 2.2.2 項を参照）。公開データセットに含まれる情報の公共性を考慮し、AI 法前文 107 項（テンプレート 2.1 参照）に従い、テンプレートで定義される「大規模」データセットの開示を含め、これらのデータセットについてより詳細な情報が必要とされる。
(20) For data scraped from online sources, the Template requires disclosure of relevant information such as the crawlers used, their purpose and behaviour, the period of collection and a comprehensive description of the type of content and online sources scraped (see Section 2.3 of the Template). In addition, the Template requires disclosure of a summary list of most relevant domain names crawled and scraped from online sources by or on behalf of the provider in a summarized narrative form[19], in so far as their content has been used for the training of the general-purpose AI model. Such a summary of the domain names scraped from the internet aims to provide a meaningful information about the most relevant top domain names scraped, while striking a balance with the trade secrets ensuring the Summary remains non-technical and in a summarised narrative form, as required by Recital 107 AI Act.	(20) オンラインソースからスクレイピングされたデータについては、テンプレートは、使用されたクローラー、その目的と動作、収集期間、およびスクレイピングされたコンテンツの種類とオンラインソースの包括的な説明を含む関連情報の開示を要求している（テンプレートの第2.3節参照）。さらに、テンプレートでは、その内容が汎用 AI モデルの訓練に使用されている場合、提供者またはその代理人がオンラインソースからクロールおよびスクレイピングした最も関連性の高いドメイン名の要約リストを、要約した記述形式[19]で開示することを義務付けています。インターネットからスクレイピングしたドメイン名のこのような要約は、スクレイピングした最も関連性の高いトップドメイン名に関する有意義な情報を提供すると同時に、前文 107 AI 法で要求されているように、要約が技術的ではなく、要約された記述形式であることを確保し、営業秘密とのバランスを保つことを目的としている。
(21) Furthermore, the Template (see Section 2.4) requires minimal information about user data collected through user interactions with all services and products of the provider, including interactions with the providers’ AI models. This category excludes data licensed by users based on commercial transactional agreements already covered under Section 2.2.1, or customer data used for fine-tuning a model for specific purposes. For synthetic data generated by AI model(s) used for training purposes and in particular for model distillation (see Section 2.5 of the Template), the information is also limited to names of the general-purpose AI model(s) used if those models have been placed on the market or, if other AI models have been used, including models owned by the providers, information about the model (including a general description of the model training data if known and in so far as this may be needed for the exercise of the rights of parties with legitimate inetersts and to avoid circumvention of the disclosure obligations in the other Sections of the Template).	(21) さらに、テンプレート（2.4 節を参照）では、提供者の AI モデルとのやり取りを含め、提供者のすべてのサービスおよび製品とのユーザーのやり取りを通じて収集されるユーザーデータに関する最小限の情報のみを要求している。このカテゴリーには、2.2.1 節で既にカバーされている商業取引契約に基づいてユーザーからライセンス供与されたデータ、または特定の目的のためのモデルの微調整に使用される顧客データは含まれない。訓練目的、特にモデル蒸留（テンプレートセクション 2.5 を参照）に使用される AI モデルによって生成された合成データについては、そのモデルが上市されている場合は、使用された汎用 AI モデルの名称、または提供者が所有するモデルを含む他の AI モデルが使用されている場合は、そのモデルに関する情報（モデル訓練データに関する一般的な説明（既知の場合、および正当な利益を有する当事者の権利の行使のために必要であり、テンプレートの他のセクションにおける開示義務の回避を回避するために必要な場合）を含む）に限定される。（モデル訓練データの一般的な説明を含む。ただし、正当な利益を有する当事者の権利の行使や、テンプレートの他のセクションにおける開示義務の回避を避けるために必要とされる範囲に限定する）。
(22) The Template does not require disclosure of the exact mix and composition of data sources, but only high-level information about the training data size per modality (selection amongst three very broad ranges) and aggregated across all sources[20] (see Section 1.2 of the Template).	(22) テンプレートでは、データソースの正確な組み合わせや構成の開示は求められていないが、モダリティごとの訓練データサイズ（3つの非常に広範な範囲から選択）に関する高水準の情報と、すべてのソースを統合した情報[20]（テンプレートの第1.2節を参照）の開示が求められている。
5. Simple, uniform and effective reporting	5. シンプルで統一された効果的な報告
(23) The information requested by the Template is to be provided in a narrative, simple and effective form. The Template aims to ensure the reported information is useful and understandable to the public and to the parties concerned, while avoiding unnecessary burden on providers of general-purpose AI models, including SMEs.	(23) テンプレートで要求される情報は、説明的、簡潔かつ効果的な形で提供しなければならない。テンプレートは、中小企業を含む汎用 AI モデル提供者に不必要な負担をかけることを避けながら、報告された情報が一般市民および関係者に有用で理解しやすいものとなることを目指している。
(24) Each Section of the Template includes clear and short instructions to allow providers to report the required information in an easy and uniform manner. The Commission aims to provide the Template as an online form and to publish it on its website.	(24) テンプレートの各セクションには、提供者が要求される情報を簡単かつ統一的な方法で報告できるよう、明確かつ簡潔な指示が記載されている。欧州委員会は、テンプレートをオンラインフォームとして提供し、そのウェブサイトに掲載することを目指している。
(25) Providers should ensure that the information included in the Summary is reported in good faith and in an accurate and comprehensive manner. Flexibility is provided under specific sections, as indicated in the Template, to disclose only information that is relevant, necessary for the purpose of the Summary, and practicable to obtain (e.g. regarding the categorisation of some of the content or the characteristics of the training data, or the period of data collection).	(25) 提供者は、要約に含まれる情報が、誠実かつ正確かつ包括的に報告されていることを確保すべきだ。テンプレートに示されているように、要約の目的に関連し、必要かつ入手可能な情報（一部のコンテンツの分類、訓練データの特性、データ収集期間など）のみを開示するよう、特定のセクションでは柔軟性が認められている。
(26) The AI Office may verify whether the Template has been filled in correctly in order to assess if the provider has complied with Article 53(1)(d) AI Act. In this context, the AI Office has all enforcement powers under the AI Act and and may request corrective measures. Non-compliance may be sanctioned with fines of up to 3% of the provider’s annual total worldwide turnover in the preceding financial year or EUR 15 000 000, whichever is higher. The lawful collection and processing of the data remains the responsibility of the provider under other applicable Union law (e.g. copyright and data protection). The AI Office will supervise the implementation of the obligation to provide a compliant summary under Article 53(1)(d) AI Act without performing a work-by-work assessment or checks whether specific content has been used or not for the training of the general-purpose AI model (Recital 108 AI Act).	(26) AI 事務局は、提供者が AI 法第 53 条(1)(d) を遵守しているかどうかを評価するために、テンプレートが正しく記入されているかどうかを検証することができる。この文脈において、AI 事務局は AI 法に基づくすべての執行権限を有し、是正措置を要求することができる。違反した場合は、提供者の直前会計年度の全世界の年間総売上高の 3% または 15,000,000 ユーロのうち、いずれか高い方の罰金が科せられる。データの合法的な収集および処理は、その他の適用される EU 法（著作権法、データ保護法など）に基づき、提供者の責任とする。AI 事務局は、AI 法第 53 条(1)(d)に基づく準拠した要約の提供義務の履行を監督するが、作品ごとの評価や、汎用 AI モデルの訓練に特定のコンテンツが使用されたかどうかの確認は行わない（AI 法前文 108）。
(27) In case of disputes, providers and parties with a legitimate interest, including rightsholders, are encouraged to use alternative dispute resolution mechanisms available at national level (such as mediation) and other available remedies provided for by Union and national law (e.g. under Article 8 of the Intellectual Property Rights Enforcement Directive)[21].	(27) 紛争が生じた場合、提供者および権利者を含む正当な利益を有する当事者は、国内レベルで利用可能な代替的紛争解決メカニズム（調停など）および EU 法および国内法（知的財産権執行指令第 8 条など）で規定されているその他の救済手段を利用することが奨励される[21]。
6. Modifications of existing general-purpose AI models and updates	6. 既存の汎用 AI モデルの修正および更新
(28) An existing general-purpose AI model already placed on the Union market may be modified by a downstream entity in such a way that the downstream entity becomes the provider of the resulting general-purpose AI model, as specified in the Commission guidelines on General-Purpose AI models[22]. In such cases, the information reported by the modifying entity in the Template should be limited to the training content used for the model modification only[23], and the name of the model(s) that was modified should be clearly indicated in the Summary (see Section 1.2 of the Template).	(28) EU 市場にすでに上市されている既存の汎用 AI モデルは、欧州委員会による汎用 AI モデルに関するガイドライン[22] に規定されているように、下流事業体によって、その下流事業体が結果としての汎用 AI モデル提供者となるような方法で変更することができる。そのような場合、変更事業体がテンプレートで報告する情報は、モデル変更に使用された訓練内容のみに限定すべきであり[23]、変更されたモデル名は要約に明記すべきである（テンプレートの 1.2 節を参照）。
(29) The Summary should also be updated whenever the provider further trains its own general-purpose AI model placed on the market on additional data that requires an update of the content of the Summary. In those cases, the Summary should be updated at six-month intervanls or if in the meantime the additional data used to further train the model requires a materially significant update of the content of the Summary, whichever is sooner. In such cases, the Summary should be updated to reflect this additional data, as well as the date of the update. The updated Summary should be made publicly available alongside the modified model.	(29) 提供者が、上市した自社の汎用 AI モデルを、要約の内容の更新を必要とする追加データを用いてさらに訓練した場合も、要約を更新すべきだ。このような場合、要約は6ヶ月ごとに更新するか、またはその間にモデルをさらに訓練するために使用された追加データが要約の内容に重大な変更を要する場合、いずれか早い方の日付で更新する必要がある。このような場合、要約は追加データを反映し、更新日を表示するように更新する必要がある。更新された要約は、変更されたモデルと共に公開する必要がある。
(30) The same Summary may be used for different models or different model versions if the content of their respective Summaries is identical. In this case, the Summary should clearly specify the different models and model version to which it applies. In addition, if different models or model versions are based on the same general-purpose AI model that has already been placed on the Union market, and the Summaries for each model and model version are different so that they cannot be covered by a single Summary, the Summaries for each of those models or model versions only need to cover the training data specifically used to further modify (including fine-tune) them out of the original model. In this case, a clear reference should be made to the original model in the Summary for each relevant model or model version, and a link to the Summary of the original model included (see Section 1.2).	(30) 異なるモデルまたはモデルバージョンに対して同じ要約を使用することができる。ただし、それぞれの要約の内容が同一である場合に限る。この場合、要約は、適用される異なるモデルおよびモデルバージョンを明確に指定しなければならない。さらに、異なるモデルまたはモデルバージョンが、すでに EU 市場に上市されている同じ汎用 AI モデルに基づいており、各モデルおよびモデルバージョンの概要が 1 つの概要では網羅できないほど異なる場合、各モデルまたはモデルバージョンの概要は、元のモデルからさらに変更（微調整を含む）するために具体的に使用された訓練データのみを対象とすれば十分である。この場合、各関連するモデルまたはモデルバージョンの要約において、元のモデルへの明確な参照を記載し、元のモデルの要約へのリンクを含めること（第1.2項参照）。
(31) Where the same Summary is used for multiple models or model versions, in accordance with point (30), reference in the template to the ‘model’ should be understood as a reference to each model or model version covered by the Summary. Reference to ‘training data’ should be understood as a reference to the training data for each of these models or model versions.	(31) 同じ要約が複数のモデルまたはモデルバージョンに適用される場合、点 (30) に従い、テンプレート内の「モデル」への参照は、要約でカバーされる各モデルまたはモデルバージョンへの参照と解釈される。「訓練データ」への参照は、これらの各モデルまたはモデルバージョン用の訓練データへの参照と解釈される。
7. Publication of the Summary	7. 要約の公表
(32) The Summary should be made publicly available at the latest when the model is placed on the Union market. It should be published on the provider’s official website in a clearly visible and accessible manner, clearly indicating which model(s) (and possibly model version(s)) the Summary covers subject to the conditions specified in point (30) above. The Summary should also be made publicly available together with the model across all its public distribution channels (e.g. online platforms).	(32) 要約は、遅くともモデルが EU 市場に上市された時点で、一般に公開されるべきだ。要約は、提供者の公式ウェブサイトに、明確かつ目立ち、アクセスしやすい形で公表され、上記 (30) で規定された条件に従って、要約が対象とするモデル（およびモデルバージョンがある場合はそのモデルバージョン）を明確に示すべきだ。要約は、モデルと共に、すべての公開配布チャネル（例：オンラインプラットフォーム）を通じて公開する必要がある。
8. Entry into application of the obligation and special rules for models placed on the market before 2 August 2025	8. 2025 年 8 月 2 日より前に上市されたモデルに対する義務の適用開始および特別規則
(33) The obligation for making the Summaries publicly available becomes applicable as of 2 August 2025. For models placed on the market before 2 August 2025, providers should take the necessary steps to make the corresponding Summary publicly available no later than 2 August 2027. Where a provider of a model placed on the market before 2 August 2025 cannot, despite their best efforts, provide parts of the information required to prepare the Summary because the information is not available or its retrieval would impose a disproportionate burden on the provider, the provider should clearly state and justify the corresponding information gaps in its Summary[24]. The supervision and enforcement by the AI Office for compliance with the rules for general-purpose AI models will start as of 2 August 2026.	(33) 概要を一般に公開する義務は、2025 年 8 月 2 日から適用される。2025 年 8 月 2 日より前に上市されたモデルについては、提供者は、2027 年 8 月 2 日までに、対応する概要を一般に公開するために必要な措置を講じるべきだ。2025 年 8 月 2 日より前に上市されたモデルの提供者が、最善の努力にもかかわらず、要約の作成に必要な情報の一部を提供できない場合（その情報が利用できない、またはその情報の取得に提供者に過度の負担がかかる場合）、提供者は、要約において、その情報不足を明記し、その理由を明らかにすべきだ[24]。AI事務局による汎用AIモデルに関する規則の遵守状況の監督および執行は、2026年8月2日から開始される。
9. Review of the Explanatory Notice and the Template	9. 説明通知およびテンプレートの見直し
(34) The Commission will monitor the implementation of the Template annexed to this Explanatory Notice and where necessary review the Notice and the Template, in view of practical experience gained and of the pace of technological, societal and market developments in this area. If the Commission deems it necessary, such a review may take place before the entry into application of the enforcement powers of the AI Office on 2 August 2026.	(34) 委員会は、この説明通知に付属のテンプレートの実施状況を監視し、この分野における実務経験や技術、社会、市場の進展のペースを踏まえて、必要に応じて、この通知およびテンプレートを見直す。委員会が必要と認めた場合、このような見直しは、2026 年 8 月 2 日に AI 事務局の執行権限が適用される前に実施されることがある。

[1] Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence and amending Regulations (EC) No 300/2008, (EU) No 167/2013, (EU) No 168/2013, (EU) 2018/858, (EU) 2018/1139 and (EU) 2019/2144 and Directives 2014/90/EU, (EU) 2016/797 and (EU) 2020/1828 (Artificial Intelligence Act) (Text with EEA relevance), PE/24/2024/REV/1, OJ L, 2024/1689, 12.7.2024.	[1] 欧州議会および理事会の規則（EU）2024/1689（2024年6月13日）は、人工知能に関する調和された規則を定めるとともに、規則（EC）第300/2008号、規則（EU）第167/2013号、 (EU)第168/2013号、(EU)第2018/858号、(EU)第2018/1139号、(EU)第2019/2144号、および指令2014/90/EU、(EU)第2016/797号、(EU)第2020/1828号を改正するもの（人工知能法）（EEA関連テキスト）、PE/24/2024/REV/1、OJ L、2024/1689、2024年7月12日。
[2] Article 53 AI Act.	[2] AI法第53条。
[3] Article 55 AI Act	[3] AI法第55条
[4] The exception for free and open-source general-purpose AI model under Article 53(2) AI Act does not apply to the obligation to make publicly available the Summary.	[4] AI 法第 53 条(2) の、自由でオープンソースの汎用 AI モデルに関する例外は、概要の公開義務には適用されない。
[5] See Article 2 AI Act and Guidelines for providers of general-purpose AI models \| Shaping Europe’s digital future	[5] AI 法第 2 条および汎用 AI モデル提供者向けガイドライン \| ヨーロッパのデジタルの未来を形作る
[6] AI Act: Have Your Say on Trustworthy General-Purpose AI \| Shaping Europe’s digital future	[6] AI 法：信頼性の高い汎用 AI についてのご意見をお聞かせください \| ヨーロッパのデジタルの未来を形作る
[7] General-Purpose AI Code of Practice \| Shaping Europe’s digital future	[7] 汎用AI行動規範 \| ヨーロッパのデジタルの未来を形作る
[8] Article 17(2) of the EU Charter of Fundamental Rights of the European Union, OJ C 326, 26.10.2012, p. 391–407.	[8] 欧州連合基本権憲章第17条(2)、OJ C 326、2012年10月26日、391–407ページ。
[9] Directive (EU) 2019/790 of the European Parliament and of the Council of 17 April 2019 on copyright and related rights in the Digital Single Market and amending Directives 96/9/EC and 2001/29/EC (Text with EEA relevance.), PE/51/2019/REV/1, OJ L 130, 17.5.2019, p. 92–125.	[9] 欧州議会および理事会指令（EU）2019/790（2019年4月17日）デジタル単一市場における著作権および関連権利に関する指令、および指令96/9/ECおよび2001/29/ECの改正（EEA関連テキスト） PE/51/2019/REV/1、OJ L 130、2019年5月17日、92–125頁。
[10] Article 21 of the EU Charter of Fundamental Rights.	[10] 欧州連合基本権憲章第21条。
[11] Article 22 of the EU Charter of Fundamental Rights.	[11] 欧州連合基本権憲章第22条。
[12] Article 11(1) of the EU Charter of Fundamental Rights. 13	[12] 欧州連合基本権憲章第11条第1項。13
[13] Article 13 of the EU Charter of Fundamental Rights.	[13] 欧州連合基本権憲章第13条。
[14] Since such data is used as input for the generation process, its influence on the outputs of the model may be significant, and relevant for the exercise of the rights of parties with legitimate interests. For this reason it may be disclosed by the provider on a voluntary basis in the optional Sections in the Template which allow the provision of additional information.	[14] このようなデータは生成プロセスの入力として使用されるため、モデルの出力に大きな影響を与える可能性があり、正当な利益を有する当事者の権利の行使に関連する場合がある。このため、提供者は、追加情報の提供を認めるテンプレートの任意欄に、自主的に開示することができる。
[15] See in this context Recital 107 of the AI Act.	[15] この点については、AI 法の前文 107 項を参照のこと。
[16] See Section 2.3. of the Template that requires a list of the internet domain names (top and second-level domain, e.g. “example.com”) in the top 10 % of all domain names determined by the size of the content scraped (in a representative manner across modalities, where applicable). For small and medium-sized enterprises (SMEs), including start-ups, the Template requires the internet domain names in the top 5%, or the top 1000 domains to ensure proportionality of the burden on SMEs in line with recital 109 AI Act.	[16] テンプレートのセクション 2.3 を参照。このセクションでは、コンテンツのスクレイピングの規模（該当する場合、モダリティ全体で代表的な方法で）によって決定される、すべてのドメイン名のトップ 10% に属するインターネットドメイン名（トップレベルおよびセカンドレベルドメイン、例：「example.com」）のリストの提出が義務付けられている。スタートアップを含む中小企業（SME）については、AI 法前文 109 に基づき、SME への負担の均衡を確保するため、テンプレートでは、上位 5% のインターネットドメイン名、または上位 1000 ドメインの記載が義務付けられている。
[17] See in the end of each sub-section of the Template, optional part with possibilities to provide additional information.	[17] テンプレートの各サブセクションの末尾にある、追加情報を提供できる任意の部分を参照のこと。
[18] Directive 2004/48/EC of the European Parliament and of the Council of 29 April 2004 on the enforcement of intellectual property rights (OJ L 157, 30.4.2004), OJ L 195, 2.6.2004, p. 16–25.	[18] 欧州議会および理事会指令2004/48/EC（2004年4月29日）知的財産権の執行に関する指令（OJ L 157, 30.4.2004）、OJ L 195, 2.6.2004, p. 16–25。
[19] See footnote 16 above and Section 2.3. of the Template.	[19] 上記脚注16およびテンプレートの2.3節を参照。
[20] Ref to ECJ case-law aligned with this approach.	[20] このアプローチと一致する欧州司法裁判所（ECJ）の判例を参照。
[21] Directive 2004/48/EC of the European Parliament and of the Council of 29 April 2004 on the enforcement of intellectual property rights (OJ L 157, 30.4.2004), OJ L 195, 2.6.2004, p. 16–25.	[21] 欧州議会および理事会指令2004/48/EC（2004年4月29日）知的財産権の執行に関する指令（OJ L 157、2004年4月30日）、OJ L 195、2004年6月2日、16–25頁。
[22] Guidelines for providers of general-purpose AI models \| Shaping Europe’s digital future	[22]汎用 AI モデル提供者向けガイドライン \| ヨーロッパのデジタルの未来を形作る
[23] See also Recital 107 AI Act.	[23] AI 法前文 107 も参照のこと。
[24] See under each Section of the Template a box for possible additional information (optional).	[24] テンプレートの各セクションの下にある、追加情報（任意）を入力する欄を参照のこと。

テンプレート

・[DOCX] Template for the Public Summary of Training Content for General-Purpose AI models

Continue reading "欧州委員会 AI法第 53 条(1)(d)で要求される汎用 AI モデルの訓練内容に関する公開要約の説明文書およびテンプレー(2025.07.24)"

2025.08.02 00:00 in 個人情報保護 / プライバシー, in 法律 / 犯罪, in AI/Deep Learning | Permalink | Comments (0)
Tweet

英国 NCSC 英国のサイバー戦略の内部：リチャード・ホーンCEOがレジリエンス、リスク、AI について語る (2025.07.23)

こんにちは、丸山満彦です。

英国のサイバーセキュリティセンターである、National Cyber Security Centre: NCSCのリチャード・ホーンCEOがレジリエンス、リスク、AI について語っているのがYouTubeに上がっていますね...

40分弱です。

・官民連携

・国際連携（FiveEyes含む）

・アクティブサイバー防御

・中小企業対策（サシバーエッセンシャルズ）

・サプライチェーン

・AI

日本と同じテーマやね

興味深いですので、ぜひ。

● National Cyber Security Centre: NCSC

・2025.07.23 [Youtube] Inside the UK’s Cyber Strategy: Richard Horne on Resilience, Risk, and AI

Inside the UK’s Cyber Strategy: Richard Horne on Resilience, Risk, and AI	英国のサイバー戦略の内部：リチャード・ホーンがレジリエンス、リスク、AI について語る
McCrary Institute	マックレー研究所
How is the UK tackling rising cyber threats, ransomware, and the risks of AI? In this episode of Cyber Focus, Richard Horne—CEO of the UK’s National Cyber Security Centre (NCSC)—joins host Frank Cilluffo to explore how nations and organizations can build resilience in the face of rapidly evolving digital threats.	英国は、高まるサイバー脅威、ランサムウェア、AI のリスクにどのように取り組んでいるのでしょうか？今回の Cyber Focus では、英国国家サイバーセキュリティセンター（NCSC）の CEO、リチャード・ホーン氏がホストのフランク・チッルフォ氏とともに、急速に進化するデジタル脅威に直面する各国や組織がレジリエンスを構築する方法について考察します。
Drawing on his leadership across government and the private sector, Horne breaks down the UK’s national cybersecurity strategy, the growing gap between threat actors and defenses, and the global importance of partnerships like Five Eyes. He also shares sharp insights on the role of AI, software vulnerabilities, and the need for shared responsibility in cybersecurity.	政府および民間部門でのリーダーシップを活かし、ホーン氏は、英国の国家サイバーセキュリティ戦略、脅威アクターと防御のギャップの拡大、ファイブアイズのようなパートナーシップのグローバルな重要性について解説します。また、AI の役割、ソフトウェアの脆弱性、サイバーセキュリティにおける責任の共有の必要性について、鋭い洞察も紹介しています。
Key topics include:	主なトピックは以下の通りです。
・The UK’s approach to national cyber resilience	・英国の国家サイバーレジリエンスへの取り組み
・Zero-day vulnerabilities and software quality	・ゼロデイ脆弱性とソフトウェアの品質
・The NCSC’s collaboration with Five Eyes and international partners	・NCSC とファイブアイズおよび国際パートナーとの協力
・How AI is changing both cyber offense and defense	・AI がサイバー攻撃と防御の両方に与える影響
・Supply chain risk and third-party attacks	・サプライチェーンのリスクとサードパーティによる攻撃
・Preparing for a post-quantum world	・量子後への準備
Subscribe for more insights on cybersecurity, critical infrastructure, and emerging tech.	サイバーセキュリティ、重要インフラ、新興技術に関するさらなるインサイトをご覧になりたい方は、ぜひご登録ください。
00:00 Introduction	00:00 序論
01:33 What is the NCSC and How It Operates	01:33 NCSC とは何であり、どのように機能するのか
03:17 Public-Private Cyber Collaboration	03:17 官民のサイバー連携
06:15 The Evolving Threat and Resilience Gap	06:15 進化する脅威とレジリエンスのギャップ
08:24 Exposure, Defense, and Consequence Framework	08:24 エクスポージャー、防御、および結果の枠組み
10:25 Infrastructure, Supply Chains, and Risk	10:25 インフラストラクチャ、サプライチェーン、およびリスク
13:06 Active Cyber Defense and 'Share and Defend'	13:06 積極的なサイバー防衛と「共有と防御」
17:02 Small Business and Cyber Essentials	17:02 中小企業とサイバーエッセンシャルズ
19:42 Trust Groups and Real-Time Information Sharing	19:42 信頼グループとリアルタイムの情報共有
21:17 Five Eyes and Global Partnerships	21:17 ファイブアイズとグローバルパートナーシップ
24:00 AI, Zero-Days, and Code Quality	24:00 AI、ゼロデイ、およびコードの品質
25:29 AI as a Contest: The Tennis Analogy	25:29 AIとしての競争：テニスの類推
28:34 Quantum Threats and the 10-Year Transition	28:34 量子脅威と10年間の移行
30:41 Pragmatism, Cloud, and the Contest Mindset	30:41 現実主義、クラウド、および競争マインドセット
33:21 Final Reflections and Shared Responsibility	33:21 最終的な考察と共有責任

2025.08.02 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 脆弱性, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in AI/Deep Learning, in 暗号 / 電子署名 / ブロックチェーン, in 量子技術, in 安全保障 | Permalink | Comments (0)
Tweet

2025.08.01

米国 CISA ランサムウェアInterlockについての警告 (2025.07.22)

こんにちは、丸山満彦です。

連邦捜査局（FBI）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、保健福祉省（HHS）、州情報共有分析センター（MS-ISAC）がInterlockランサムウェアについて、警告をだしていますね...

WindowsとLinuxの両方の環境向けで、金目当てということのようです...

● CISA

・2025.07.22 #StopRansomware: Interlock

Alert Code aa25-203a

#StopRansomware: Interlock	#StopRansomware: インターロック
Actions for Organizations to Take Today to Mitigate Cyber Threats Related to Interlock Ransomware Activity	Interlockランサムウェアの活動に関するサイバー脅威を緩和するために、組織が今日取るべき行動
Prevent initial access by implementing domain name system (DNS) filtering and web access firewalls, and training users to spot social engineering attempts.	ドメインネームシステム（DNS）フィルタリングやウェブアクセス・ファイアウォールを導入し、ソーシャル・エンジニアリングの試みを見抜くようユーザーを訓練することで、初期アクセスを防止する。
Mitigate known vulnerabilities by ensuring operating systems, software, and firmware are patched and up to date.	オペレーティング・システム、ソフトウェア、ファームウェアにパッチを適用し、最新の状態にすることで、既知の脆弱性を緩和する。
Segment networks to restrict lateral movement from initial infected devices and other devices in the same organization.	ネットワークをセグメント化し、最初に感染したデバイスや同じ組織内の他のデバイスからの横の動きを制限する。
Implement identity, credential, and access management (ICAM) policies across the organization and then require multifactor authentication (MFA) for all services to the extent possible.	ID、クレデンシャル、アクセス管理（ICAM）ポリシーを組織全体に導入し、可能な限りすべてのサービスに多要素認証（MFA）を義務付ける。
Summary	要約
Note: This joint Cybersecurity Advisory is part of an ongoing #StopRansomware effort to publish advisories for network defenders that detail various ransomware variants and ransomware threat actors. These #StopRansomware advisories include recently and historically observed tactics, techniques, and procedures (TTPs) and indicators of compromise (IOCs) to help organizations protect against ransomware. Visit stopransomware.gov to see all #StopRansomware advisories and to learn more about other ransomware threats and no-cost resources.	注：この共同サイバーセキュリティ勧告は、さまざまなランサムウェアの亜種やランサムウェアの脅威アクターについて詳述した勧告をネットワーク防御者向けに公表する、#StopRansomwareの継続的な取り組みの一環である。これらの #StopRansomware アドバイザリには、組織がランサムウェアから保護するのに役立つ、最近および過去に観測された戦術、技術、手順（TTP）、および侵害の指標（IOC）が含まれている。stopransomware.govにアクセスして、すべての#StopRansomwareアドバイザリを参照し、その他のランサムウェアの脅威や無償のリソースについて詳しく知ることができる。
The Federal Bureau of Investigation (FBI), Cybersecurity and Infrastructure Security Agency (CISA), Department of Health and Human Services (HHS), and Multi-State Information Sharing and Analysis Center (MS-ISAC)—hereafter referred to as “the authoring organizations”—are releasing this joint advisory to disseminate known Interlock ransomware IOCs and TTPs identified through FBI investigations (as recently as June 2025) and trusted third-party reporting.	連邦捜査局（FBI）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、保健福祉省（HHS）、および複数州情報共有分析センター（MS-ISAC）（以下、「認可機関」と呼ぶ）は、FBIの調査（2025年6月現在）およびサードパーティからの信頼できる報告を通じて特定された既知のInterlockランサムウェアのIOCおよびTTPを広めるため、この共同勧告を発表する。
The Interlock ransomware variant was first observed in late September 2024, targeting various business, critical infrastructure, and other organizations in North America and Europe. FBI maintains these actors target their victims based on opportunity, and their activity is financially motivated. FBI is aware of Interlock ransomware encryptors designed for both Windows and Linux operating systems; these encryptors have been observed encrypting virtual machines (VMs) across both operating systems. FBI observed actors obtaining initial access via drive-by download from compromised legitimate websites, which is an uncommon method among ransomware groups. Actors were also observed using the ClickFix social engineering technique for initial access, in which victims are tricked into executing a malicious payload under the guise of fixing an issue on the victim’s system. Actors then use various methods for discovery, credential access, and lateral movement to spread to other systems on the network.	Interlockランサムウェアの亜種は、2024年9月下旬に初めて確認され、北米および欧州のさまざまな企業、重要インフラ、およびその他の組織を標的としていた。FBIは、これらの攻撃者は機会に基づいて被害者を標的にしており、その活動は金銭的な動機に基づくものであると主張している。FBIは、WindowsとLinuxの両OS向けに設計されたInterlockランサムウェアの暗号化プログラムを確認しており、これらの暗号化プログラムは、両OSの仮想マシン（VM）を暗号化することが確認されている。FBIは、ランサムウェアグループの間では珍しい方法である、侵害された正規のウェブサイトからのドライブバイダウンロードによって、行為者が最初のアクセスを取得することを確認した。この手法では、被害者は、被害者のシステム上の問題を修正するという名目で、悪意のあるペイロードを実行するよう騙される。行為者はその後、発見、クレデンシャルアクセス、およびネットワーク上の他のシステムに拡散するための横移動にさまざまな方法を使用する。
Interlock actors employ a double extortion model in which actors encrypt systems after exfiltrating data, which increases pressure on victims to pay the ransom to both get their data decrypted and prevent it from being leaked.	インターロックの行為者は、データを流出させた後にシステムを暗号化するという二重の恐喝モデルを採用しているため、被害者はデータの復号化と流出を防ぐために身代金の支払いを迫られることになる。
FBI, CISA, HHS, and MS-ISAC encourage organizations to implement the recommendations in the Mitigations section of this advisory to reduce the likelihood and impact of Interlock ransomware incidents.	FBI、CISA、HHS、および MS-ISAC は、Interlock ランサムウェアのインシデントの可能性と影響を低減するため、本アドバイザリの緩和策のセクションにある推奨事項を実施することを組織に推奨する。

・[PDF]

Continue reading "米国 CISA ランサムウェアInterlockについての警告 (2025.07.22)"

2025.08.01 00:00 in 情報セキュリティ / サイバーセキュリティ, in ウイルス, in 内部統制 / リスクマネジメント, in 暗号 / 電子署名 / ブロックチェーン | Permalink | Comments (0)
Tweet

オランダデータ保護庁アルゴリズムに基づく意思決定における意味のある人間の介入 (2025.07.23)

こんにちは、丸山満彦です。

オランダのデータ保護庁が、アルゴリズムに基づく意思決定における意味のある人間の介入に関するガイドを公表しています。

なかなか興味深い内容だと思います...

● Autoriteit Persoonsgegevens

・2025.07.23 Meaningful human intervention in algorithmic decision-making

Meaningful human intervention in algorithmic decision-making	アルゴリズムに基づく意思決定における意味のある人間の介入
The Autoriteit Persoonsgegevens (AP) has developed tools for meaningful human intervention in algorithmic decision-making. To this end, the AP recently sought input from companies, organisations, experts and stakeholders through a public consultation.	個人データ保護当局（AP）は、アルゴリズムに基づく意思決定における意味のある人間の介入を実現するためのツールを開発した。この目的のため、APは最近、企業、組織、専門家、利害関係者から意見を求める公開意見募集を実施した。
Organisations are increasingly using algorithms and artificial intelligence (AI) for algorithmic decision-making. Consider assessing a credit application or online job applications. If organisations want to use algorithmic decision-making, they must comply with certain rules. People have the right to human intervention in algorithmic decisions about them that affect them. The GDPR contains rules regarding this.	組織は、アルゴリズムによる意思決定のためにアルゴリズムや人工知能（AI）をますます活用している。クレジットの申し込みやオンラインでの求人応募を例に考えてみよう。組織がアルゴリズムによる意思決定を利用する場合、一定のルールを遵守しなければならない。人々は、自分に関係するアルゴリズムによる意思決定について、人間の介入を受ける権利を有している。GDPR には、この点に関するルールが規定されている。
Meaningful intervention	意味のある介入
Human intervention ensures that a decision is made carefully and aims to prevent, for example, people from being excluded or discriminated against, unintentionally or otherwise, by the outcome of an algorithm. This human intervention should not merely have a symbolic function; it should contribute meaningfully to decision-making.	人間の介入により、意思決定が慎重に行われることが保証され、アルゴリズムの結果によって、意図的であるかどうかに関わらず、人々が排除されたり差別されたりすることを防止することができる。この人間の介入は、単なる象徴的な機能ではなく、意思決定に有意義に貢献するものでなければならない。
The design is essential	設計が不可欠
The design of meaningful human intervention is essential. If an employee is hampered by time pressure or an ambiguous system, for example, this could impact the outcome of the decision.	意味のある人間の介入の設計は不可欠である。例えば、従業員が時間的制約や曖昧なシステムによって妨げられた場合、その判断の結果に影響を与える可能性がある。
Organisations often have questions about how to set this up. That is why the AP, the Dutch data protection authority, has developed tools for meaningful human intervention in algorithmic decision-making. These tools can help organisations and companies that intend to use algorithmic decision-making to guide the design of human intervention. For this reason, the document has been written to be as practical as possible to ensure it best addresses questions organisations have about the design.	組織は、これをどのように設定すべきかについて疑問を抱くことがよくある。そのため、オランダのデータ保護機関である AP は、アルゴリズムによる意思決定における意味のある人間による介入のためのツールを開発した。このツールは、アルゴリズムによる意思決定の利用を検討している組織や企業が、人間による介入の設計を行う際の指針となる。そのため、この文書は、組織が設計に関して抱く疑問に最善の回答を提供できるよう、できるだけ実用的な内容となっている。
The AP provides examples and an overview of questions that can help organisations guide the design of human intervention in a meaningful manner. These questions and examples address the relevant factors of humans, technology and design, process, and governance.	AP は、組織が意味のある方法で人間の介入の設計を指導するのに役立つ例や質問の概要を提供している。これらの質問と例は、人間、テクノロジー、設計、プロセス、ガバナンスに関連する要素を取り上げている。
Result of consultation	協議の結果
Responses to the consultation have been collected and included without reference to the organisation or individual. Government agencies, independent foundations, companies, sector organisations and academics have provided input. Responses to the consultation included suggestions for particular questions. See the summary of responses to the consultation (in Dutch) .	協議に対する回答は、組織や個人を特定することなく収集され、掲載されている。政府機関、独立財団、企業、業界団体、学者から意見が寄せられた。協議に対する回答には、特定の質問に関する提案も含まれている。協議への回答の概要（オランダ語）を参照のこと。
Document status	文書のステータス
With this document we aim to help organisations design meaningful human intervention in the most practical way possible. The document provides practical tools and is intended to guide organisations in designing meaningful human intervention in algorithmic decision-making.	この文書は、組織が意味のある人間の介入を可能な限り実用的な方法で設計するのを支援することを目的としている。この文書は、実用的なツールを提供し、アルゴリズムによる意思決定における意味のある人間の介入の設計において、組織を指導することを目的としている。
Scope	適用範囲
This document is about meaningful human intervention, which ensures that the decision-making is not solely automated as referred to in Article 22 (1) GDPR and Article 11 (1) LED. These articles relate to ‘decisions based solely on automated processing’. By this we mean a decision that is entirely based on automated processing and has legal consequences for data subjects or otherwise affects them to a significant extent. If this involves meaningful human intervention, it is not regarded as a decision based solely on automated processing. In that case, the decision is not covered by Article 22 of the GDPR.	本文書は、GDPR 第 22 条 (1) および LED 第 11 条 (1) で言及されている、意思決定が完全に自動化されていないことを保証する、意味のある人間の介入について記載している。これらの条項は、「自動化された処理のみに基づく決定」に関連している。ここでいう「自動化された処理のみに基づく決定」とは、完全に自動化された処理に基づいており、データ対象者に法的影響をもたらす、あるいはその他の方法でデータ対象者に著しい影響を与える決定を意味する。これには、意味のある人間の介入が含まれる場合、それは自動処理のみに基づく決定とはみなされない。その場合、その決定は GDPR 第 22 条の対象にはならない。
Besides the design of human intervention, there are other key concepts from the article that may raise questions. For instance: when is the outcome of the process considered a ‘decision’? When does a decision affect someone ‘to a significant extent’? The document provides no answer to these questions.	人間の介入の設計以外にも、この条項には疑問が生じる可能性のある重要な概念がいくつかある。例えば、プロセスの結果はいつ「決定」とみなされるのか？決定は、いつ「重要な影響」を誰かに与えるのか？この文書では、これらの質問に対する答えは示されていない。
Follow-up	フォローアップ
To help organisations on their way, the AP will get started with the practical implementation of other key concepts regarding automated decision-making in the GDPR this year, such as what it means to be ‘affected to a significant extent’, and what information a data subject must be provided with about the automated decision.	組織が対応を進める上で参考となるよう、AP は今年、GDPR における自動意思決定に関するその他の重要な概念、例えば「著しい影響」とは何を意味するのか、データ対象者に自動意思決定についてどのような情報を提供しなければならないのかなど、についての実践的な実施を開始する。

・2025.07.23 Tools meaningful human intervention

Tools meaningful human intervention	意味のある人的介入のためのツール
The Autoriteit Persoonsgegevens (AP) has developed tools for meaningful human intervention in algorithmic decision-making.	個人データ保護委員会 (AP) は、アルゴリズムによる意思決定において意味のある人的介入を行うためのツールを開発した。
Organisations are increasingly using algorithms and artificial intelligence (AI) for algorithmic decision-making. Consider assessing a credit application or online job applications. People have the right to human intervention in algorithmic decisions about them that affect them. The GDPR contains rules regarding this.	組織は、アルゴリズムによる意思決定にアルゴリズムや人工知能 (AI) をますます活用している。クレジットの申し込みやオンラインでの求人応募などを考えてみよう。人々は、自分に関するアルゴリズムによる意思決定について、その決定に影響を与える人的介入を受ける権利を有している。GDPR には、この点に関する規則が記載されている。
Organisations often have questions about how to set this up. The AP provides examples and an overview of questions that can help organisations guide the design of human intervention in a meaningful manner. These questions and examples address the relevant factors of humans, technology and design, process, and governance.	組織は、これをどのように設定すべきかについて、しばしば疑問を抱く。AP は、組織が意味のある形で人間の介入の設計を行う上で参考となる、質問の例と概要を提供している。これらの質問と例は、人間、テクノロジー、設計、プロセス、ガバナンスといった関連要因について取り上げている。

・[PDF]

Meaningful Human Intervention	意味のある人間の介入
A tool for shaping and implementing meaningful human intervention	意味のある人間の介入を形作り、実施するためのツール
Preface	序文
Automated decision-making is used a wide range of sectors. Crucial to the implementation of algorithms for automated individual decision-making and surrounding processes are a number of concepts from the General Data Protection Regulation (GDPR) and the Law Enforcement Directive (LED), including a decision that is based “solely on an automated processing”.¹ In other words: where there is no meaningful human intervention.	自動化された意思決定は、幅広い分野で使用されている。自動化された個別意思決定および関連プロセスにアルゴリズムを導入する上で重要なのは、一般データ保護規則（GDPR）および法執行指令（LED）に規定されている、「もっぱら自動化された処理に基づく」決定など、いくつかの概念である。1 つまり、意味のある人間の介入がない場合である。
In the Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679 (hereinafter: the guidelines), the European Data Protection Board (EDPB) has clarified what is meant by this: “Solely automated decision-making is the ability to make decisions by technological means without human involvement” and “the controller cannot avoid the Article 22 provisions by fabricating human involvement.”² Such human involvement is subject to requirements: “To qualify as human involvement, the controller must ensure that any oversight of the decision is meaningful, rather than just a token gesture.”³	欧州データ保護会議（EDPB）は、規則 2016/679 の目的のための自動化された個別意思決定およびプロファイリングに関するガイドライン（以下、「ガイドライン」という）において、この意味を次のように明確にしている。「単独の自動化された意思決定とは、人間の関与なしに技術的手段により意思決定を行う能力」であり、「データ管理者は、人間の関与を偽装することで第22条の規定を回避することはできない」2。このような人間の関与には要件が課せられる：「人間の関与と認められるためには、データ管理者は、意思決定の監督が単なる形式的なものではなく、意味のあるものであることを確保しなければならない」3。
What makes human intervention meaningful has not yet been fully defined. Researchers of the Brussels Privacy Hub looked at the ways in which people would have to check algorithms, and would have to take action if something goes wrong. They concluded that: “Determining what could be meant precisely by meaningful is indeed an even more complicated -but necessary- task. The scarce precedents in the CJUE and national courts do not make it any easier.” ⁴ Meaningful Human Intervention: a tool for shaping and implementing meaningful human intervention offers tools to data protection officers (DPOs), controllers and other parties involved to determine when human intervention could be meaningful. The guidelines, scientific literature, some court decisions and knowledge of AP employees who have dealt with automated decision-making form the basis for this document. In addition, this document was discussed with other European data protection authorities. The AI Act (Regulation (EU) 2024/1689) also offers clarification. In Article 14, in which the requirements for human oversight of high-risk AI systems have been formulated, we see human involvement defined as protection against negative effects of algorithmic decision-making: “Human oversight shall aim to prevent or minimise the risks to health, safety or fundamental rights.”⁵	人間の介入が意味のあるものとなる要件については、まだ完全には定義されていない。ブリュッセル・プライバシー・ハブの研究者は、人々がアルゴリズムをチェックし、問題が発生した場合に措置を講じる方法について検討した。その結果、彼らは次のように結論付けている。「意味のある」とは正確に何を意味するのかを決定することは、確かにさらに複雑な作業であるが、必要な作業である。CJUE や各国の裁判所における先例が乏しいことも、この作業を困難なものとしている。4 「意味のある人間の介入：意味のある人間の介入を形作り、実施するためのツール」は、データ保護責任者（DPO）、管理者、およびその他の関係者が、人間の介入が有意義であるかどうかを判断するためのツールを提供している。この文書は、ガイドライン、科学文献、一部の裁判所の判決、および自動意思決定を扱った AP 従業員の知識に基づいている。さらに、この文書は、他の欧州のデータ保護当局とも協議して作成されている。AI 法（規則（EU）2024/1689）も明確化を図っている。高リスク AI システムに対する人間の監督要件が規定されている第 14 条では、人間の関与は、アルゴリズムによる意思決定の悪影響に対する保護として定義されている。「人間の監督は、健康、安全、または基本的権利に対するリスクの防止または最小化を目的とするものとする。5
Scope	適用範囲
Article 22(1) GDPR and Article 11(1) UAVG establish a prohibition on a “decision based solely on automated processing.” This refers to a decision that is entirely based on automated processing and produces legal effects concerning data subjects or similarly significantly (in the UAVG: adversely) affects them. This document concerns meaningful human intervention, which ensures that the decision-making does not qualify as solely automated processing as referred to in Article 22 GDPR and Article 11 UAVG, and therefore does not fall under the prohibition set out in those articles. Other key concepts from the articles—such as when the outcome of a process constitutes a “decision,” or when a decision “significantly affects” someone—are not addressed in this document.	GDPR 第 22 条 (1) および UAVG 第 11 条 (1) は、「自動化された処理のみに基づく決定」を禁止している。これは、完全に自動化された処理のみに基づいており、データ対象者に法的効果をもたらす、あるいは同様に重大な（UAVG では「不利な」）影響をもたらす決定を指する。本文書は、GDPR第22条およびUAVG第11条で言及される「完全に自動化された処理」に該当しないことを確保する「意味のある人間の介入」に関するものである。したがって、これらの条項で定められた禁止規定の対象外となる。これらの条項における他の重要な概念（例えば、プロセスの結果が「決定」に該当するかどうか、または「決定」が誰かに「重大な影響」を与えるかどうか）は、本文書では扱われていない。
Additionally, “human intervention” is an appropriate measure under Article 22(3) of the GDPR to protect the rights, freedoms, and legitimate interests of the data subject. This applies in cases where a decision based solely on automated processing is permitted because an exception under Article 22(2)(a) or (c) of the GDPR applies. The components discussed in this document are also relevant for regulating human intervention when a data subject has the right to it after an automated decision has been made. However, this document is not written with that specific purpose in mind.	さらに、「人間の介入」は、データ対象者の権利、自由、および正当な利益を防御するための、GDPR 第 22 条 (3) に基づく適切な措置である。これは、GDPR 第 22 条 (2) (a) または (c) の例外が適用されるため、自動処理のみに基づく決定が許可される場合に適用される。本文書で説明する要素は、自動化された決定が行われた後にデータ対象者がその決定について異議を申し立てる権利を有する場合の人間の介入の規制にも関連する。ただし、本文書は、その特定の目的のために作成されたものではない。
This document is intended as a tool for those within an organization who design and implement human intervention. In this document, they are referred to as “designers.” It is also for those who carry out human intervention, referred to as “assessors” in this document. This document is not a checklist: not all questions and components will or can be applicable to every process. The context and individual circumstances of each case are, of course, relevant and decisive. At the end of this document, an index is included in which more terms are explained.	本文書は、組織内で人間の介入を設計および実施する者を対象としたツールである。本文書では、これらを「設計者」と呼びます。また、人間による介入を実施する者を「評価者」と呼びます。本文書はチェックリストではない。すべての質問や要素がすべてのプロセスに適用されるわけではない。各ケースの文脈と個々の状況は、当然ながら関連性があり決定的である。本文書の末尾には、追加の用語を説明した索引が収録されている。
Algorithms	アルゴリズム
The term ‘algorithms’ does not appear in the GDPR. Nevertheless, we use that term in this document. We refer to algorithms when discussing automated processing operations that lead to a particular outcome in the context of a decision to be made. It is also important to distinguish between so-called rule-based algorithms and machine learning algorithms. Rule-based algorithms follow a relatively simple decision tree (if X, then Y), a formula, or a step-by-step plan. With this type of algorithm, it is generally easier to understand how the outcome is produced. In the case of a machine learning algorithm, a computer determines the exact link between input and output. Machine learning is a subset of artificial intelligence (AI). The complexity of machine learning can make the decision-making process insufficiently transparent and difficult to explain. These types of algorithms are also referred to as a black box. This can pose a problem when data subjects are affected by the outcomes.⁶	「アルゴリズム」という用語は GDPR には登場しません。しかし、この文書ではこの用語を使用している。意思決定の文脈で、特定の結果をもたらす自動化された処理操作について論じる場合、アルゴリズムという用語を使用する。また、いわゆるルールベースのアルゴリズムと機械学習アルゴリズムを区別することも重要である。ルールベースのアルゴリズムは、比較的単純な決定木（X なら Y）、式、または段階的な計画に従いる。このタイプのアルゴリズムでは、結果がどのように生成されるかを一般的に理解しやすいである。機械学習アルゴリズムの場合、入力と出力の正確な関連性はコンピュータによって決定される。機械学習は、人工知能（AI）の一分野である。機械学習は複雑であるため、意思決定プロセスが十分に透明ではなく、説明が難しい場合がある。このタイプのアルゴリズムは、ブラックボックスとも呼ばれます。データ対象者が結果の影響を受ける場合、これは問題となる可能性がある。6
Use of algorithms	アルゴリズムの使用
We want to make a few comments in advance regarding the use of algorithms. For instance, this document does not address whether the use of an algorithm in a specific process is appropriate, or whether the data processed by an algorithm is suitable for assessment by an algorithm (e.g., evaluating driving skills). Additionally, the way a human arrives at a decision is not always better or more transparent. That being said: the more responsible decision-making relies on human insight, experience, customization or intuition, the less appropriate it may be to have the decision taken exclusively by an algorithm.⁷	アルゴリズムの使用について、あらかじめいくつかコメントしておきたいことがある。例えば、この文書では、特定のプロセスにおけるアルゴリズムの使用が適切であるかどうか、あるいはアルゴリズムによって処理されるデータがアルゴリズムによる評価に適しているかどうか（例えば、運転技能の評価）については扱っていない。さらに、人間が意思決定に至るプロセスが、必ずしもより優れていたり、より透明性が高いとは限りません。とはいえ、責任のある意思決定は、人間の洞察力、経験、カスタマイズ、直感に依存する部分が多いほど、アルゴリズムのみによって意思決定を行うことは適切ではないかもしれない。7
We also find it important to caution against tunnel vision when it comes to the process of human intervention. The many factors and questions mentioned above may mask a larger issue – namely, that the decision being made is inherently unethical. Or that the use of an algorithm is morally problematic. Therefore, it is important to consider the nature of the decision to be made as well, independent of whether human intervention is meaningful or not. Is the use of an algorithm in that decision desirable in the first place?	また、人間の介入のプロセスに関しては、視野の狭さにも注意する必要があると考えている。上記の多くの要因や疑問は、より大きな問題、すなわち、その意思決定自体が本質的に非倫理的である、あるいはアルゴリズムの使用が道徳的に問題である、という事実を覆い隠してしまう可能性があるからである。したがって、人間の介入が意味のあるものかどうかとは無関係に、下される決定の性質も考慮することが重要である。その決定においてアルゴリズムの使用はそもそも望ましいものなのか？
It is not necessary to implement human intervention for every process involving algorithmic decision-making. For example, when the decision does not significantly affect the data subject or does not produce legal effects concerning them, the prohibition does not apply. Likewise, when the processing falls under one of the exceptions set out in Article 22(2) GDPR, human intervention is not required. It is important to remember that meaningful human intervention is a requirement under the GDPR in certain cases of algorithmic decision-making. The mere fact that an algorithm is highly accurate does not mean that human intervention is no longer necessary.	アルゴリズムによる意思決定を含むすべてのプロセスに人間の介入を導入する必要はない。例えば、その決定がデータ対象者に大きな影響を与えない場合や、データ対象者に関する法的効果をもたらさない場合、この禁止は適用されない。同様に、処理が GDPR 第 22 条 (2) に規定される例外のいずれかに該当する場合も、人間の介入は必要ない。アルゴリズムによる意思決定の場合、特定の状況では、GDPR により、意味のある人間の介入が義務付けられていることを覚えておくことが重要である。アルゴリズムの精度が高いという事実だけでは、人間の介入が不要になるわけではない。
Example	例
The use of an algorithm can completely transform a decision-making process. In the past, a civil servant with a social background might have assessed a family’s financial situation through an in-person conversation at their home. Now, however, both parties must rely on an online form. However, a situation can be too complex for a form; in such cases, it is wise to allow the assessor the flexibility to provide a tailored approach.	アルゴリズムの使用により、意思決定プロセスが完全に変化する場合がある。これまで、社会的な背景を持つ公務員は、家庭を訪問して直接会話することで、その家族の経済状況を評価していました。しかし、現在では、双方はオンラインフォームに頼らざるを得ません。しかし、フォームでは対応しきれないほど複雑な状況もあるため、評価者に柔軟に対応できる余地を与えることが賢明である。
Reading guide	読み方
The components that make human intervention meaningful are divided into four chapters: human, technology and design, process, and governance. Each section consists of different subcomponents. Each section also includes questions that can help organizations guide the design of human intervention in a meaningful manner. This document is not a checklist: not all questions and components will or can be applicable to every process. The specific context and individual circumstances of each case must always be taken into account. With this document, the Dutch Data Protection Authority (AP) fulfills its informational duty under Article 57(1)(b) and (d) of the GDPR.	人間の介入を意味のあるものにする要素は、人間、テクノロジーとデザイン、プロセス、ガバナンスの 4 つの章に分かれている。各章は、さまざまなサブ要素で構成されている。また、各章には、組織が人間の介入を意味のある形で設計するための指針となる質問も掲載されている。この文書はチェックリストではない。すべての質問や要素が、すべてのプロセスに適用できるわけではない。それぞれのケースの具体的な状況や個々の事情を常に考慮に入れる必要がある。この文書により、オランダデータ保護機関（AP）は、GDPR 第 57 条 (1) (b) および (d) に基づく情報提供義務を履行する。

目次...

1. Human	1. 人間
What does an algorithm lack that a human does have?	人間にはあるがアルゴリズムには欠けているものは何であるか？
2. Technology and design	2. 技術と設計
How does the algorithm influence the human assessor?	アルゴリズムは、人間の評価者にどのような影響を与えるか？
Relevant concepts	関連概念
3. Process	3. プロセス
How do the organizational choices influence the human assessor?	組織の選択は、人間の評価者にどのような影響を与えるか？
4. Governance	4. ガバナンス
How does the organization maintain ultimate responsibility?	組織は最終的な責任をどのように維持しているか？
5. Conclusion	5. 結論

人間の部分の実施上の質問...

すべての関連要素

→ アセスメントはすべての関連情報をアセスメントに含めるか？

- アセスメントは、アルゴリズムでは考慮されない特定の状況を考慮できるか。

→ 評価者はアルゴリズムよりも多くの情報を自由に利用できるか。

- ない場合、評価者はその情報にアクセスできるか？

→ 評価者はどのような根拠に基づいて決定を評価すべきか、あるいはアルゴリズムに反する可能性はあるか？

→ 評価者はどのような方法でアルゴリズムに反することができるか？

→ 評価者はアルゴリズム内のデータを無視、補完、修正できるか？

- 例えば、情報が欠落している場合や、何かが間違って策定されたことが明らかな場合などである。

→ 評価者に期待されることは明確か？

人間の裁量

→ 査定者は、例えば決定の側面を自分なりに評価するなどして、あらゆるケースで人間的裁量を適用しているか？

→ 意思決定は、どの程度まで個々の要因のアセスメントを必要とするか？

→ どのような要件が査定者に課せられているか？

→ 意思決定プロセスにおいて、人間の判断がどのように考慮されうるか、査定者と事前に話し合われているか？

→ スタッフは（定期的に）バイアスや個人的偏見を認識し、結果を批判的に評価する訓練を受けているか？

→ 評価者はデータ対象者以外のどのような利益を考慮しているか？

→ 人間の裁量に十分な余地があるかどうかをテストするために、評価者はアルゴリズムが行う前、あるいはアルゴリズムがインプットを提供する前に、いくつかの決定を行うよう求められることがある。その後、評価者の決定をアルゴリズムの出力と比較することができる。このプロセスは認知的強制として知られている。

能力

→ 評価者は、アルゴリズムがどのように、またどのようなデータに基づいて結果を導き出すかを理解しているか？

→ 評価者は統計の基礎知識を持っているか？

→ 評価者はアルゴリズムの限界を理解しているか？

→ 評価者はアルゴリズムがどのような要素を考慮しているか知っているか？

- 評価者はアルゴリズムが使用するデータにアクセスできるか？

→ 評価者はアルゴリズムなしで決定を下せるか？

→ 評価者は独立して決定を下せるか、それとも様々な専門分野を代表者とするチームが必要か？

- そのチームはどのように協力するのか？

→ 使用されているアルゴリズムについて十分な洞察があるか？

→ 人間の判断と組織の利害という観点から、評価者に何が期待されているかは明確か？

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.07.28 オランダデータ保護庁「AI による感情認識は疑わしく、リスクが高い」(2025.07.15)

・2025.02.27 オランダデータ保護庁友情とメンタルヘルスのためのAIチャットbotアプリは時には不適切で有害 - AI及びアルゴリズム・リスクに関する報告書 (2025.02.12)

・2025.02.07 オランダデータ保護庁 AIリテラシーを持って始めよう (2025.01.30)

・2024.12.19 オランダデータ保護局意見募集社会的スコアリングのためのAIシステム + 操作および搾取的AIシステムに関する意見募集の概要と次のステップ

・2024.11.08 オランダデータ保護局意見募集職場や教育における感情認識のための特定のAIシステムの禁止 (2024.10.31)

・2024.10.30 オランダ会計検査院政府はAIのリスクアセスメントをほとんど実施していない...

・2024.10.18 オランダ AI利用ガイド (2024.10.16)

・2024.09.29 オランダデータ保護局意見募集「操作的欺瞞的、搾取的なAIシステム」

・2024.09.05 オランダデータ保護局顔認識のための違法なデータ収集でClearviewに3,050万ユーロ（48.5億円）

・2024.08.28 オランダデータ保護局ドライバーデータの米国への転送を理由にUberに2億9000万ユーロ（467億円）の罰金

・2024.08.12 オランダデータ保護局が注意喚起：AIチャットボットの使用はデータ漏洩につながる可能性がある

・2024.08.11 オランダ AI影響アセスメント (2023.03.02)

・2024.08.05 欧州AI法が施行された... (2024.08.01)

2025.08.01 00:00 in 個人情報保護 / プライバシー, in 法律 / 犯罪, in AI/Deep Learning | Permalink | Comments (0)
Tweet

• NIST SP 800-221: Enterprise Impact of Information and Communications Technology Risk: Governing and Managing ICT Risk Programs Within an Enterprise Risk Portfolio	• NIST SP 800-221: 情報通信技術（ICT）リスクのエンタープライズへの影響：エンタープライズリスクポートフォリオ内におけるICTリスク管理プログラムの統治と管理
• NIST SP 800-221A: Information and Communications Technology (ICT) Risk Outcomes: Integrating ICT Risk Management Programs with the Enterprise Risk Portfolio	• NIST SP 800-221A: 情報通信技術（ICT）リスクの結果：ICTリスク管理プログラムのエンタープライズリスクポートフォリオの統合
• NIST IR 8183r1: Cybersecurity Framework Version 1.1 Manufacturing Profile	• NIST IR 8183r1: サイバーセキュリティフレームワークバージョン1.1 製造プロファイル
• NIST AI 100-1: Artificial Intelligence Risk Management Framework (AI RMF 1.0)	• NIST AI 100-1: AIリスク管理フレームワーク（AI RMF 1.0）
• NIST SP 600-1: Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile	• NIST SP 600-1: AIリスク管理フレームワーク：生成型AIプロファイル

• IR 8286 Integrating Cybersecurity and Enterprise Risk Management (ERM)	• IR 8286 サイバーセキュリティと企業リスク管理（ERM）の統合
• IR 8286A Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management	• IR 8286A エンタープライズリスク管理のためのサイバーセキュリティリスクの特定と評価
• IR 8286B Prioritizing Cybersecurity Risk for Enterprise Risk Management	• IR 8286B エンタープライズリスク管理のためのサイバーセキュリティリスクの優先順位付け
• IR 8286C Staging Cybersecurity Risks for Enterprise Risk Management and Governance Oversight	• IR 8286C エンタープライズリスク管理とガバナンス監督のためのサイバーセキュリティリスクの段階分け
• IR 8286D Using Business Impact Analysis to Inform Risk Prioritization and Response	• IR 8286D ビジネス影響分析を活用したリスク優先順位付けと対応の決定

サイト内検索

Recent Posts

Recent Comments

Recent Trackbacks

連載 (ITmedia)

ウェブページ

August 2025

2025.08.31

2025.08.30

2025.08.29

2025.08.28

2025.08.27

2025.08.26

2025.08.25

2025.08.24

2025.08.23

2025.08.22

2025.08.21

2025.08.20

2025.08.19

2025.08.18

2025.08.17

2025.08.16

2025.08.15

2025.08.14

2026年度実施予定

2025.08.13

2025.08.12

2025.08.11

2025.08.10

2025.08.09

2025.08.08

2025.08.07

2025.08.06

2025.08.05

2025.08.04

2025.08.03

2025.08.02

2025.08.01

ココログ

まるちゃん

関連団体

情報法関連Blog

情報法 Web

セキュリティ Blog

セキュリティ web

内部統制