« November 2025 | Main | January 2026 »

December 2025

2025.12.31

公安調査庁 令和8年「内外情勢の回顧と展望」(2024.12.24)

こんにちは、丸山満彦です。

公安調査庁が、令和8年「内外情勢の回顧と展望」を公表しています...

「内外情勢の回顧と展望(令和8年)」

・全文ダウンロード
・表紙-目次
特集
・特集1:地下鉄サリン事件から30年、オウム真理教の現在「Aleph」において麻原の二男が新たな「グル」へ… 
・特集2:「多極的な世界」に向けた結束が演出された中露朝関係
内外情勢
・経済安全保障:経済安全保障と大量破壊兵器関連物資等をめぐる動向
・サイバー:サイバー空間をめぐる動向…
・国外情勢
 1 北朝鮮・朝鮮総聯
 2 中国
 3 ロシア
 4 国際テロ
・国内情勢
 1 オウム真理教
 2 過激派
 3 共産党
 4 右翼団体等

 

20251231-205708

 

 

経済安全保障とサイバーの章立て...

経済安全保障

・経済安全保障:経済安全保障と大量破壊兵器関連物資等をめぐる動向
経済安全保障をめぐる米中の動向
■ 米国による関税措置と中国による対抗措置
■ AI半導体の優位性の維持・強化に向けた米国の動き
■ 航空宇宙分野のイノベーション促進に向けた米国の取組
無人航空機(UAV)を始めとする兵器の製造・開発で外国製品を利用するロシア
イラン及び北朝鮮による大量破壊兵器等の開発や関連物資の調達・拡散
■ 対イラン国連制裁の再適用後もウラン濃縮活動、ミサイル開発継続の姿勢を維持するイラン
■ 大量破壊兵器等の開発を継続する北朝鮮
COLUMN >> 1:重要産業の国産化を見据えた中国の動向
COLUMN >> 2:アカデミアにおける米中“デリスキング”
COLUMN >> 3:退職者を狙った懸念主体による人材獲得動向
COLUMN >> 4:バイオテクノロジーの戦略化と経済安全保障

 

サイバー...

・サイバー:サイバー空間をめぐる動向…
脅威が拡大するサイバー空間上の動向
高度化するサイバー攻撃手法
軍事行動とサイバー攻撃の統合
国家等の関与・支援が疑われるサイバー攻撃
COLUMN >> 1:あなたの家がサイバー攻撃の拠点に?:家庭用ルーターが狙われる
COLUMN >> 2:最近のサイバー攻撃の特徴:「ファイルレス攻撃」と認証情報の流出がもたらす新たな脅威
COLUMN >> 3:生成AIに潜むリスク:「データポイズニング」の脅威

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.03.22 警察庁 サイバー空間をめぐる脅威の情勢等 (2025.03.13)

・2024.12.30 公安調査庁 サイバー空間における脅威の概況2024 (2024.12)

・2024.10.31 警察庁 令和5年の犯罪 (2024.10)

・2023.10.31 警察庁 令和4年の犯罪 (2023.10.20)

・2023.06.08 公安調査庁 サイバー空間における脅威の概況2023 (2023.05.25)

・2023.03.17 警察庁 令和4年におけるサイバー空間をめぐる脅威の情勢等について

・2022.04.17 公安調査庁 サイバー空間における脅威の概況2022

・2022.04.12 警察庁 令和3年におけるサイバー空間をめぐる脅威の情勢等について (2022.04.07)

 

 

| | Comments (0)

国家サイバー統括室 サイバーセキュリティ関連法令Q&A Ver2.0 HTML版 (2025.12.24)

こんにちは、丸山満彦です。

国家サイバー統括室からサイバーセキュリティ関連法令Q&A Ver2.0 HTML版が公表されています。私も作成には関与しております。2023年にPDFで公開されたものですが、HTML版となりました。タグもつけてもらいましたが、読みやすさ、調べやすさについては改善が必要ですが、1歩1歩前進です。

タグによる一覧性があがるとよいですね。。。また、判例へのリンクがつけばさらに良いですね...

Ver3.0への改定にむけて粛々と進めています...

 

国家サイバー統括室

サイバーセキュリティ関係法令Q&Aハンドブック


・[PDF] Ver2.0 令和5年9月(誤記訂正 令和6年12月)
・[PDF] Ver1.0 令和2年3月

 

1_20251231155901

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.09.26 内閣官房 NISC 関係法令Q&Aハンドブック Ver 2.0

 

 

 

| | Comments (0)

ロシア パブコメ 中央銀行が金融市場における人工知能のさらなる発展のための主要条件を発表 (2025.11.20)

こんにちは、丸山満彦です。

ロシアの中郷銀行が金融市場における人工知能のさらなる発展のための主要条件を発表し、意見募集をしていました...

 

 Банк России

・2025.11.20 Банк России назвал ключевые условия для дальнейшего развития искусственного интеллекта на финансовом рынке

Банк России назвал ключевые условия для дальнейшего развития искусственного интеллекта на финансовом рынке ロシア銀行は、金融市場における人工知能のさらなる発展のための重要な条件を発表した。
В России искусственный интеллект (ИИ) применяет уже каждая пятая организация финансового рынка. Еще треть планирует внедрить его в свои бизнес-процессы на горизонте 3 лет. Таковы результаты опроса Банка России, представленные в новом консультативном докладе. ロシアでは、金融市場の5社に1社がすでに人工知能(AI)を採用している。さらに3分の1の企業が、3年以内に自社のビジネスプロセスにAIを導入する計画だ。これは、ロシア銀行が新しい諮問報告書で発表した調査結果である。
Банк России продолжает придерживаться риск-ориентированного и технологически нейтрального подхода в отношении ИИ и нацелен на создание благоприятных условий для его развития. В докладе отмечается, что ключевые из них – доверие к технологии и доступность данных. ロシア中央銀行は、AI に対してリスク重視かつ技術的に中立なアプローチを維持し、その発展に有利な条件を整えることを目指している。報告書は、その主な条件として、技術への信頼とデータの入手可能性を挙げている。
Мониторинг соблюдения Кодекса этики в сфере разработки и применения ИИ на финансовом рынке, подготовка методик использования его отдельных положений, формирование сборника лучших практик применения ИИ – все это будет способствовать росту доверия к технологии. 金融市場におけるAIの開発と適用に関する倫理規範の遵守状況の監視、その個々の規定の利用方法の策定、AIの適用に関するベストプラクティスの集積は、すべてこの技術への信頼の向上に貢献するだろう。
Для повышения доступности данных Банк России предлагает проработать вопрос создания участниками рынка специальных платформ для добровольного обмена данными и совместной разработки моделей ИИ (доверенных посредников). Также в докладе предлагается обсудить возможности применения на российском финансовом рынке технологий повышения конфиденциальности данных. データの入手可能性を高めるため、ロシア銀行は、市場参加者による、自発的なデータ交換とAIモデルの共同開発のための特別プラットフォーム(信頼できる仲介者)の構築について検討することを提案している。また、報告書では、ロシアの金融市場におけるデータ機密性向上技術の利用可能性について議論することを提案している。
Обсуждение доклада продлится до 30 декабря включительно. Замечания и предложения можно направлять по адресу ai_doklad@cbr.ru. 報告書に関する議論は12月30日まで続く。意見や提案はai_doklad@cbr.ru宛てに送ることができる。

 

20251231-80248

・[DOCX][PPDF] 仮訳

 

 

| | Comments (0)

ロシア AIに関する連邦政府の2025年の発表

こんにちは、丸山満彦です。

ロシア連邦政府からのAIに関する発表のなんとなく一覧(網羅的ではない)です...

ロシアは2024年に大統領令で、従来の国際調和的なAIの方針から安全保障によった方針に舵を切っているわけですが、課題としてはソブリンAIの開発と計算を支える高性能GPUの安定的な供給(生産含む)体制、電力等のリソース体制、国内データの蓄積 (data lake)、人材育成等がありますかね...

中国との関係強化というのも選択肢としてはあるとは思いますが、歴史的な経緯とかもあったりで、そう簡単ではないのかもしれませんね...

 

一覧と要約です... (全文は後ろの方に...)

1 2025.12.18 Дмитрий Григоренко: Правительство становится ключевой площадкой для проработки вопроса о регулировании искусственного интеллекта ドミトリー・グリゴレンコ:政府は人工知能の規制に関する検討の重要な場となっている 政府調整センターで、ドミトリー・グリゴレンコ副首相を議長とするAI規制に関する会議が開催された。会議では、AIの概念定義、開発者・利用者の責任、利用分野の制限、品質検査の必要性、ロシア独自のAI使用の重要性など、多岐にわたる立法案とリスクが議論された。グリゴレンコ副首相は、市民の安全確保とイノベーションの発展阻害回避という「バランス」を見出すことが課題であると強調。規制はAIの誤りの代償が大きい分野に絞り、段階的に導入すべきとの方針を示した。会議の結果、関係機関は1月20日までに提案を情報通信省に提出し、2月末までに分析、3月13日までに技術規制案を政府に提出する予定である。この会議は、AI規制の包括的な検討の出発点となる。
2 2025.12.05 Дмитрий Григоренко: Россия и ОАЭ обменялись опытом в сфере внедрения искусственного интеллекта ドミトリー・グリゴレンコ:ロシアとUAEは人工知能の導入分野における経験を交換した ドミトリー・グリゴレンコ副首相はドバイでUAEのAI担当国務大臣と会談し、人工知能分野でのパートナーシップ発展について議論した。両国はAIソリューションの開発と導入に関する経験を交換し、技術開発へのアプローチや共通の課題について意見を共有した。ロシアとUAEは、独自のAI技術開発と規模拡大に重点を置く点でアプローチが一致していると指摘された。ロシアは、政府傘下のAI開発センターが中心となり、国内の優れたAIソリューションを普及させている。両国とも、AI導入において経済効率と具体的な指標分析を重視しており、特に「スマートシティ」システムや石油・ガス業界向けのAIソリューションが最大の効果を示している事例を交換した。共通の課題として、インフラ整備、高品質なデータセット作成、高度な人材育成が挙げられた。
3 2025.11.21 Дмитрий Чернышенко вместе с учёными представил прогноз для фундаментальной ИИ-науки ドミトリー・チェルニシェンコは科学者たちとともに、基礎的なAI科学の予測を発表した ドミトリー・チェルニシェンコ副首相は、AI Journey会議で、ロシア大統領の指示により実施されたAI分野における国際的なフォアサイト(将来予測)の結果を発表した。このフォアサイトは、ロシア国内外の270人の科学者が参加し、1年かけて実施され、AI分野の研究センター、学術機関、企業と連携して進められた。副首相は、基礎的な言語モデルの形成サイクル全体を自国で賄う独自の能力を持つことの重要性を強調。AI開発は、他国の決定に依存しない「未来の輪郭を形成する」ためのものであり、追いつくことではないと述べた。最終報告書は、ロシア、中国、インドなどの研究者によって発表され、国際AIアライアンスを通じて国連にも送られる予定である。この活動は、科学に国境はなく、AIの未来は共同で形成されるべきという声明であると位置づけられている。
4 2025.11.20 Александр Новак: Технологии в сфере искусственного интеллекта становятся опорой для повышения эффективности экономики アレクサンドル・ノヴァク:人工知能分野の技術は、経済効率の向上の基盤となる アレクサンドル・ノヴァク副首相は、国際会議「人工知能の世界への旅」のビジネスデーを開会し、AI技術がロシア経済の変革と技術的リーダーシップ達成の基盤となることを強調した。大統領が承認した国家目標達成のため、AIは経済の効率性と革新性を高めるものであり、行政、燃料・エネルギー、産業、金融、運輸など幅広い分野での導入が重要であると指摘した。政府は、AI開発に関する国家戦略を更新し、ロシアをAIの利用と開発における世界的なリーダーの一つにすることを目指している。また、AI開発において、データセンターへの安定した電力供給というエネルギー面での課題も重要であると強調。AIを積極的に導入する企業と遅れをとる企業との格差は拡大し、「人間と人工知能」のモデルを導入した企業が勝利するであろうと述べた。
5 2025.11.13 Дмитрий Григоренко: Правительство расширяет сферы применения искусственного интеллекта ドミトリー・グリゴレンコ:政府は人工知能の適用分野を拡大している ドミトリー・グリゴレンコ副首相は「デジタルソリューション」フォーラムに参加し、AI導入の最終的な効果は「人々に利益をもたらすこと」であり、サービス提供の論理そのものを変えると述べた。AIにより、行政サービスはより積極的、簡便、便利な形で提供されるようになる。政府は、行政プロセスへのAI適用を拡大しており、特に政府機関の電子文書管理システムへのAI導入プロセスを開始した。文書の認識、ルーティング、要約、回答案作成など、日常業務の自動化を目指している。また、公共サービスにおけるAIの適用も拡大しており、ポータルサイトのデジタルアシスタント「マックス」は、より複雑な質問に対応できる新世代のAIアシスタントへと進化中である。AI導入の需要は職員からも高まっており、政府はAIの導入効果を定量的に測定し、導入計画の決め手とすべきだと指摘した。
6 2025.10.24 Дмитрий Григоренко: Внедрение ИИ в регионах начало давать результат ドミトリー・グリゴレンコ:地方におけるAIの導入が成果を上げ始めた

ドミトリー・グリゴレンコ副首相は、チュメニデジタルフォーラムに参加し、地域におけるAI導入が成果を上げ始めたと述べた。政府は、AI導入の是非から、導入されたソリューションの品質と有効性の分析へと焦点を移した。2025年初頭から、AI導入は省庁および地域のデジタル変革プログラムの必須条件となり、責任者の評価基準にもなった。品質チェックを通過したAIソリューションは「デジタル地域」ポータルに集約され、現在26地域から149のソリューションが掲載されている。副首相は、連邦政府が標準的なAIソリューションを構築してデジタル格差を解消しつつ、地域にはランキング制度で率先した行動を促すという「バランス」の取れたアプローチを説明した。タタールスタン共和国での道路清掃の高速化や、ノボシビルスク州での公務員の作業時間削減など、具体的な成功事例が紹介された。

7 2024.09.29 Дмитрий Григоренко: Правительство обновило критерии отбора ИТ-решений в рамках ИЦК ドミトリー・グリゴレンコ:政府は、情報技術センター(ITC)の枠組みにおけるITソリューションの選定基準を更新した。 ドミトリー・グリゴレンコ副首相は、産業コンピテンスセンター(ICC)の枠組みで開発される、海外ソフトウェアの代替を目的とした特に重要なITソリューションプロジェクトの選定基準を更新したことを明らかにした。優先的に助成金支援を受けるのは、普及の可能性が最も高い開発プロジェクトである。選考基準では、ソリューションの複製可能性、予測される収益、重要インフラ施設での利用可能性が重視される。第3次選考では、人工知能技術を開発ソリューションに適用しているかという新たな優先順位付け基準が導入された。副首相は、市場で需要があり、広く普及するであろうプロジェクトを優先的に支援する方針を強調。また、製造のためのプラットフォーム型ITソリューションや自動設計システムも支援対象とし、国内産業の技術的自立を確保する独自のロシア製ITソリューション開発の必要性を指摘した。
8 2024.09.11 Дмитрий Григоренко: Правительство внедрило искусственный интеллект в систему управления нацпроектами ドミトリー・グリゴレンコ:政府は、国家プロジェクトの管理システムに人工知能を導入した。 政府は、国家プロジェクトおよび国家プログラムの監視・管理システムに人工知能技術を導入した。AIモデルは、国家プロジェクトの活動と指標をオンラインで分析し、大統領が設定した国家開発目標の指標と比較する。この分析により、国家プロジェクト間の関連性、特に明らかではない相互関係が明らかになり、効果的な計画と正確な経営判断に役立つ。AIは、ある施策が達成されないリスクをタイムリーに予測するのにも利用されており、その予測精度はすでに96%に達している。副首相は、AIは最終決定を下すものではなく、人間の仕事を容易にするツールであると強調した。以前は手作業で約4年かかっていた50万近くの潜在的な相互関係の評価を、AIは1日で完了させることができ、作業プロセスを大幅に加速させている。AIが発見した新たな関連性は、最終的に人間である行政機関によって検証される。
9 2024.08.27 Дмитрий Григоренко: В рамках ИЦК разрабатывается российское ПО с технологией ИИ ドミトリー・グリゴレンコ:ITCの枠組みの中で、AI技術を搭載したロシア製ソフトウェアが開発されている。 ドミトリー・グリゴレンコ副首相は、産業コンピテンスセンター(ICK)で実施される特に重要なプロジェクトの選定メカニズムを更新し、人工知能モジュールを備えたソフトウェアの開発を優先事項とすることを発表した。現在、ICKではAI技術を用いた26のITソリューションが開発されており、鉄道機械製造、造船、航空、化学・製薬、建設などの主要経済分野に導入されている。AIは、プロセスの最適化と自動化に利用され、例えば、3Dデジタルモデルの作成支援や、事故発生前の潜在的なリスク特定などに活用されている。副首相は、ICKで開発されているITソリューションは、単なる「海外製品のコピー」ではなく、AIを搭載した新世代のソフトウェアを優先していると強調した。ロシア鉄道やMHK EuroChemなどの注文による、旅客輸送量予測や機器診断システムなど、AIを活用した具体的なプロジェクトの成功事例が紹介された。
10 2024.08.08 Дмитрий Григоренко: Правительственный Центр развития искусственного интеллекта приступил к работе ドミトリー・グリゴレンコ:政府人工知能開発センターが活動を開始 ドミトリー・グリゴレンコ副首相が統括する政府傘下のAI開発センター(CRII)が活動を開始した。このセンターは、ロシアにおけるAI導入に関する主要な集結地点であり、地域や企業からの意見収集、市場分析、効果的な解決策の選定・普及を担う。CRIIは、連邦レベルで導入される標準的なサービス(地理空間分析、公務員向け文書処理ソリューションなど)を選定し、開発と導入のコストを最適化する一元的なアプローチを推進する。また、ベストプラクティスを収集・共有するためのデジタルプラットフォームについても議論され、これはモスクワ州の既存ポータル「デジタル地域」を発展させたものとなる予定である。セッションでは、タタールスタン共和国やサハリン州など、各地域でのAI導入実践が共有され、CRIIは寄せられたフィードバックを基に、AI開発と導入を妨げる問題点を解決するための提案を策定する予定である。
11 2024.07.21 Дмитрий Григоренко: Новосибирские ИИ-разработки имеют потенциал федерального тиражирования ドミトリー・グリゴレンコ:ノボシビルスクのAI開発は、連邦レベルでの普及の可能性を秘めている ドミトリー・グリゴレンコ副首相は、ノボシビルスク州を視察し、同地域のAI開発が全国規模での普及の可能性が高いと述べた。ノボシビルスクは、強力な科学基盤と先進的なスタートアップコミュニティを持ち、AI開発が導入と並行して進められている点が評価された。AI導入の最も重要な分野の一つは行政であり、公務員の業務を最適化するAIアシスタント(市民からの問い合わせ対応、文書管理、会議の議事録作成など)が導入されている。また、公共の秩序監視のためのビデオ分析システム「安全な都市」が導入され、2,600人以上の犯罪者逮捕に貢献した。医療分野でも、X線検査やCTデータの解釈にAIが活用され、音声入力技術が医療文書作成時のミスを減少させている。副首相は、成功した事例は迅速に再現し、独自のソリューションも開発していく方針を強調した。
12 2024.06.20 Дмитрий Чернышенко: Внедрение ИИ даст экономикам БРИКС около 2–3 трлн долларов к 2030 году ドミトリー・チェルニシェンコ:AIの導入により、2030年までにBRICS諸国の経済は約2~3兆ドル成長する ドミトリー・チェルニシェンコ副首相は、サンクトペテルブルク国際経済フォーラムで、2030年までにBRICS諸国経済にAIを導入することで、2~3兆ドル規模の効果が期待されると強調した。副首相は、AI開発における「黄金の」分野をいち早く見つけた者が新たな市場を開拓すると述べ、ロシアが独自の基礎的なAIモデルを持つことの重要性を指摘した。ロシア大統領の提案により、AIの未来に関する戦略的セッションである国際フォアサイト(将来予測)が開催され、世界中の科学者とともに技術開発の方向性を決定している。このフォアサイトは、国際AIアライアンスによって実施され、その成果は国連にも報告される予定である。副首相は、AI分野における科学的リーダーシップは国際協力なしには達成できず、フォアサイトの成果は公開され、世界中の科学者が貢献できるオープンな姿勢を強調した。
13 2024.06.19 Дмитрий Григоренко: Россия вошла в активную фазу внедрения искусственного интеллекта ドミトリー・グリゴレンコ:ロシアは人工知能導入の積極的な段階に入った ドミトリー・グリゴレンコ副首相は、PMEF-2025のAIに関する本会議で、ロシアが人工知能導入の積極的な段階に入ったと述べた。AIソリューションは、政府機関の業務効率を高め、医療から予算編成に至るまで、行政や社会分野で新たな可能性を開いている。例えば、医療プログラムにAI診断サービスが、電子予算システムにインテリジェントエージェントが試験的に統合されている。副首相は、AI導入加速に向けた国の取り組みとして、国家プロジェクト「データ経済」の枠組みでのインフラ開発、専門人材の育成、ベストプラクティスの全国的な普及を挙げた。成功のためには、政府と企業が協力する必要があることを強調し、AIベースのソリューション導入をデジタル開発プログラムの必須項目とするなど、体系的なアプローチを取っていると説明した。
14 2024.06.09 Дмитрий Григоренко: Правительство создаёт Центр развития искусственного интеллекта ドミトリー・グリゴレンコ:政府は人工知能開発センターを設立する 政府は、ロシアにおけるAI技術の導入を体系化するため、人工知能開発センターを設立することを決定した。このセンターは、標準的なソリューションの選定と普及、政府機関、地域、企業の調整、専門的・方法論的支援、国際協力の組織化を担当する。センターの業務は、ドミトリー・グリゴレンコ副首相が調整する。設立の目的は、AI導入の成果をすべてのロシア国民が享受できるようにし、国の世界市場における競争力を高めることである。センターは、国家プロジェクト「データ経済と国家のデジタル変革」の一環として、AI技術開発プロセスに関わるすべての関係者の取り組みを調整する役割を担う。また、有効性が実証され安全でもあるベストプラクティスの普及や、AI技術の安全確保に関する規制・法的規制の策定も重要な任務である。
15 2024.06.05 Дмитрий Чернышенко: Семь победителей третьей волны отбора исследовательских центров в сфере искусственного интеллекта получат 4,7 млрд рублей ドミトリー・チェルニシェンコ:人工知能分野の研究センター選定の第3次選考で選ばれた7つの勝者は47億ルーブルを受け取る ドミトリー・チェルニシェンコ副首相は、人工知能分野における第3陣の研究センター選考結果を発表した。選ばれた7つの大学や科学機関(国立高等経済大学、インノポリス大学、ITMO大学、モスクワ物理技術大学、スコルテック、ロシア科学アカデミー情報システム研究所、モスクワ大学)は、2年間で総額47億ルーブルの助成金を受け取る。この資金は、「強力な、信頼性の高い、マルチエージェントAI」の分野における基礎研究と、世界レベルの画期的な業界ソリューションの開発に充てられる。副首相は、AI研究センターへの投資がすでに成果を上げており、ロシアのAI分野における科学的研究のほぼ半分を生み出していると強調した。第3次選考は、2024年に決定されたAI分野の10の優先分野を考慮して行われ、今後の研究の戦略的指針となる。
16 2024.05.15 Дмитрий Чернышенко: Создание фундаментальных моделей выводит Россию в лидеры по науке в сфере искусственного интеллекта ドミトリー・チェルニシェンコ:基礎モデルの構築により、ロシアは人工知能分野における科学のリーダーとなる ドミトリー・チェルニシェンコ副首相は、国際科学フォーラムで、ロシアが独自の基礎的なAIモデルを持つ数少ない国の一つであることを誇りとし、強力なAIの開発という世界的な競争に平等に参加することが責務であると述べた。副首相は、ロシアの文化的、社会的、技術的特性に応じたAI開発のため、国内のデータセットを作成し、「データ湖」を普及させる必要性を強調した。また、国際的なフォアサイト(将来予測)を通じて、AI分野における基礎研究および探索的研究の優先分野を決定し、第三の波のAIセンターがこのフォアサイトの分野に焦点を当てることを明らかにした。この国際的なフォアサイトは、国際AIアライアンスとSAPFIRが共同で準備を進めており、国際社会との協力を深め、ロシアがAI分野でリーダーシップを維持するための戦略的な取り組みである。
17 2024.02.28 Дмитрий Чернышенко: Стартует третья волна отбора исследовательских центров в сфере искусственного интеллекта ドミトリー・チェルニシェンコ:人工知能分野の研究センター選定の第3次選考が開始される 経済発展省は、人工知能分野における「第3次」研究センターの競争的選考を開始した。この選考は、大統領の指示に基づき、AI分野の研究センターへの支援を2030年まで継続するプログラムの一環である。選ばれたセンターは、「強力なAIの要素」、「管理、解決策、エージェント/マルチエージェントシステム」、「基礎的および生成的モデル」などの分野で活動し、2025年に約3億3600万ルーブル、2026年には最大4億2200万ルーブルの支援を受けることができる。この支援は、世界レベルの画期的な科学研究を行い、ロシアの科学の潜在能力の発展と経済の技術的成長に貢献することを目的としている。選考の専門的支援とフォローアップは、AI開発支援・形成戦略機関(SAPFIR)が担当する。

 

 

 

ロシアのAI方針...

ロシア連邦における人工知能の発展について

改正後

・2024.02.15 Указ Президента Российской Федерации от 15.02.2024 № 124 "О внесении изменений в Указ Президента Российской Федерации от 10 октября 2019 г. № 490 "О развитии искусственного интеллекта в Российской Федерации" и в Национальную стратегию, утвержденную этим Указом"
 

・[HTML] [PDF] (downloaded

1_20251230074201

 

 

改正前

・2019.10.11 Указ Президента Российской Федерации от 10.10.2019 № 490 "О развитии искусственного интеллекта в Российской Федерации"

・[HTML] [PDF] (downloaded)


 

Continue reading "ロシア AIに関する連邦政府の2025年の発表"

| | Comments (0)

中国 国家サイバースペース管理局 パブコメ 人工知能擬人化対話サービス管理暫定弁法案(2025.12.27)

こんにちは、丸山満彦です。

米国でAIチャットボットが自殺幇助的な会話をして議会で話題になったことは記憶に新しいと思いますが、AIによる対話型サービスが問題をさまざまな問題を引き起こす可能性が想定されるわけで、問題が大きくなる前に想定される問題の原因は潰しておこうということだろうと思います。

自由主義の日本でどこまで、どの程度の厳しさで実施すべきかは悩ましいところだと思いますが、検討を深めておき、必要な対応(規制)は迅速にできるように準備をしておくことが重要だと思います。

安全なガードレールがない道では車は速く走れない...

 

国家互联网信息办公室(国家サイバースペース管理局)

・2025.12.27 国家互联网信息办公室关于《人工智能拟人化互动服务管理暂行办法(征求意见稿)》公开征求意见的通知

国家互联网信息办公室关于《人工智能拟人化互动服务管理暂行办法(征求意见稿)》公开征求意见的通知 国家サイバースペース管理局による『人工知能擬人化対話サービス管理暫定弁法(意見募集稿)』の公開意見募集に関する通知
为了促进人工智能拟人化互动服务健康发展和规范应用,依据《中华人民共和国民法典》《中华人民共和国网络安全法》《中华人民共和国数据安全法》等法律法规,国家互联网信息办公室起草了《人工智能拟人化互动服务管理暂行办法(征求意见稿)》,现向社会公开征求意见。公众可通过以下途径和方式提出反馈意见: 人工知能擬人化対話サービスの健全な発展と規範的な応用を促進するため、「中華人民共和国民法典」「中華人民共和国サイバーセキュリティ法」「中華人民共和国データ安全法」などの法律・法規に基づき、国家サイバースペース管理局は「人工知能擬人化対話サービス管理暫定弁法(意見募集稿)」を起草した。ここに社会一般から意見を公募する。以下の方法により意見を提出できる:
... ...
附件:人工智能拟人化互动服务管理暂行办法(征求意见稿) 添付資料:人工知能擬人化対話サービス管理暫定弁法(意見募集稿)
国家互联网信息办公室 国家サイバースペース管理局
2025年12月27日 2025年12月27日
人工智能拟人化互动服务管理暂行办法 人工知能擬人化対話サービス管理暫定弁法
(征求意见稿) (意見募集稿)
第一章 总则 第一章 総則
第一条 为了促进人工智能拟人化互动服务健康发展和规范应用,维护国家安全和社会公共利益,保护公民、法人和其他组织的合法权益,依据《中华人民共和国民法典》、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国科学技术进步法》、《中华人民共和国个人信息保护法》、《网络数据安全管理条例》、《未成年人网络保护条例》、《互联网信息服务管理办法》等法律、行政法规,制定本办法。 第一条 人工知能擬人化対話サービスの健全な発展と規範的な応用を促進し、国家安全及び社会公共の利益を維持し、公民、法人及びその他の組織の合法的権益を保護するため、『中華人民共和国民法典』 『中華人民共和国サイバーセキュリティ法』、『中華人民共和国データセキュリティ法』、『中華人民共和国科学技術進歩法』、『中華人民共和国個人情報保護法』、『ネットワークデータセキュリティ管理条例』、『未成年者ネットワーク保護条例』、『インターネット情報サービス管理弁法』等の法律・行政法規に基づき、本弁法を制定する。
第二条 利用人工智能技术,向中华人民共和国境内公众提供模拟人类人格特征、思维模式和沟通风格,通过文字、图片、音频、视频等方式与人类进行情感互动的产品或者服务(以下称拟人化互动服务),适用本办法。法律、行政法规另有规定的,依照其规定。 第二条 人工知能技術を利用し、中華人民共和国国内の公衆に対し、人間の人格的特徴、思考様式及びコミュニケーション様式を模倣し、文字、画像、音声、動画等の手段を通じて人間と感情的相互作用を行う製品又はサービス(以下「擬人化対話サービス」という)は、本弁法の適用を受ける。法律・行政法規に別段の定めがある場合は、その規定に従う。
第三条 国家坚持健康发展和依法治理相结合的原则,鼓励拟人化互动服务创新发展,对拟人化互动服务实行包容审慎和分类分级监管,防止滥用失控。 第三条 国家は健全な発展と法に基づく統治を組み合わせる原則を堅持し、擬人化対話サービスの革新的発展を奨励する。擬人化対話サービスに対しては、包容的かつ慎重な姿勢と分類・段階的な監督管理を実施し、濫用や制御不能を防止する。
第四条 国家网信部门负责统筹协调全国拟人化互动服务的治理和相关监督管理工作,国务院有关部门依据各自职责负责拟人化互动服务相关监督管理工作。 第四条 国家インターネット情報部門は全国的な擬人化対話サービスの統治及び関連監督管理業務の調整・統括を担当する。国務院関係部門はそれぞれの職責に基づき、擬人化対話サービス関連の監督管理業務を担当する。
地方网信部门负责统筹协调本行政区域内的拟人化互动服务的治理和相关监督管理工作,地方有关部门依据各自职责负责本行政区域内的拟人化互动服务相关监督管理工作。 地方のネット情報部門は、管轄区域内の擬人化対話サービスのガバナンス及び関連監督管理業務の調整・統括を担当し、地方の関連部門はそれぞれの職責に基づき、管轄区域内の擬人化対話サービスに関する監督管理業務を担当する。
第五条 鼓励相关行业组织加强行业自律,建立健全行业标准、行业准则和自律管理制度,指导拟人化互动服务提供者(以下称提供者)制定完善服务规范、依法提供服务并接受社会监督。 第五条 関連業界団体は業界の自主規制を強化し、業界標準・業界規範・自主管理制度を整備・確立し、擬人化対話サービス提供者(以下「提供者」という)がサービス規範を策定・改善し、法に基づきサービスを提供するとともに社会の監督を受けるよう指導することを奨励する。
第二章 服务规范 第二章 サービス規範
第六条 鼓励提供者在充分论证安全性、可靠性的前提下,合理拓展应用场景,在文化传播、适老陪伴等方面积极应用,构建符合社会主义核心价值观的应用生态体系。 第六条 提供者は、安全性・信頼性を十分に検証した上で、応用シーンを合理的に拡大し、文化伝播・高齢者向け同伴サービスなどの分野で積極的に活用し、社会主義中核的価値観に合致する応用生態系を構築するよう奨励する。
第七条 提供和使用拟人化互动服务,应当遵守法律、行政法规,尊重社会公德和伦理道德,不得开展以下活动: 第七条 擬人化対話サービスの提供及び利用は、法律・行政法規を遵守し、社会公徳及び倫理道徳を尊重し、以下の活動を行ってはならない:
(一)生成、传播危害国家安全、损害国家荣誉和利益、破坏民族团结、开展非法宗教活动,或者散布谣言扰乱经济和社会秩序等内容; (一)国家安全を危害し、国家の名誉及び利益を損ない、民族団結を破壊し、非合法宗教活動を行い、あるいはデマを流布して経済・社会秩序を乱す内容を生成・伝播すること;
(二)生成、传播宣扬淫秽、赌博、暴力或者教唆犯罪的内容; (二)わいせつ、賭博、暴力の宣伝、または犯罪を教唆する内容を生成・伝播すること。
(三)生成、传播侮辱或者诽谤他人,侵害他人合法权益的内容; (三)他人を侮辱または誹謗し、他人の合法的権益を侵害する内容を生成・伝播すること。
(四)提供严重影响用户行为的虚假承诺和损害社会人际关系的服务; (四)ユーザーの行動に重大な影響を与える虚偽の約束を提供し、社会的人間関係を損なうサービスを提供すること。
(五)通过鼓励、美化、暗示自杀自残等方式损害用户身体健康,或者通过语言暴力、情感操控等方式损害用户人格尊严与心理健康; (五)自殺や自傷行為を奨励・美化・暗示するなどしてユーザーの身体的健康を損なう行為、または言語的暴力や感情操作などによりユーザーの人格的尊厳と精神的健康を損なう行為。
(六)通过算法操纵、信息误导、设置情感陷阱等方式,诱导用户作出不合理决策; (六)アルゴリズム操作、情報誘導、感情的トラップ設定などにより、ユーザーに不合理な意思決定を促す行為。
(七)诱导、套取涉密敏感信息; (七)機密情報・センシティブ情報の誘導的取得。
(八)其他违反法律、行政法规和国家有关规定的情形。 (八)その他、法律・行政法規及び国家の関連規定に違反する行為。
第八条 提供者应当落实拟人化互动服务安全主体责任,建立健全算法机制机理审核、科技伦理审查、信息发布审核、网络安全、数据安全、个人信息保护、反电信网络诈骗、重大风险预案、应急处置等管理制度,具有安全可控的技术保障措施,配备与产品规模、业务方向和用户群体相适应的内容管理技术和人员。 第八条 提供者は擬人化対話サービスの安全主体責任を履行し、アルゴリズムメカニズム審査、科学技術倫理審査、情報公開審査、サイバーセキュリティ、データセキュリティ、個人情報保護、通信ネットワーク詐欺対策、重大リスク対応計画、緊急処置等の管理制度を整備し、安全かつ制御可能な技術的保障措置を有し、製品規模、業務方向及びユーザー層に適したコンテンツ管理技術及び人員を配置しなければならない。
第九条 提供者应当在拟人化互动服务全生命周期履行安全责任,明确设计、运行、升级、终止服务等各阶段安全要求,保证安全措施与服务功能同步设计、同步使用,提升内生安全水平,加强运行阶段安全监测和风险评估,及时发现纠正系统偏差、处置安全问题,依法留存网络日志。 第九条 提供者は擬人化対話サービスの全ライフサイクルにおいて安全責任を履行し、設計・運用・アップグレード・サービス終了等の各段階における安全要件を明確にしなければならない。安全措置とサービス機能を同期設計・同期運用し、内在的安全性を向上させるとともに、運用段階における安全監視とリスクアセスメントを強化し、システムの偏りを速やかに発見・修正し、安全問題を処理するとともに、法に基づきネットワークログを保存しなければならない。
提供者应当具备心理健康保护、情感边界引导、依赖风险预警等安全能力,不得将替代社会交往、控制用户心理、诱导沉迷依赖等作为设计目标。 提供者は、メンタルヘルス保護、感情境界の誘導、依存リスク警告などの安全能力を備え、社会的交流の代替、ユーザー心理の制御、依存誘導などを設計目標としてはならない。
第十条 提供者开展预训练、优化训练等数据处理活动时,应当加强训练数据管理,遵守以下规定: 第十条 提供者が事前学習、最適化学習などのデータ処理活動を行う場合、学習データ管理を強化し、以下の規定を遵守しなければならない:
(一)使用符合社会主义核心价值观、体现中华优秀传统文化的数据集; (一)社会主義中核的価値観に合致し、中華優秀伝統文化を体現するデータセットを使用すること;
(二)对训练数据开展清洗、标注,增强训练数据的透明度、可靠性,防范数据投毒、数据篡改等行为; (二)訓練データのクリーニングとラベリングを実施し、透明性と信頼性を高め、データ汚染や改ざん行為を防止すること。
(三)提高训练数据的多样性,通过负向采样、对抗训练等手段,提升模型生成内容安全性; (三)訓練データの多様性を向上させ、ネガティブサンプリングや敵対的学習等の手法により、モデル生成コンテンツの安全性を高めること。
(四)利用合成数据进行模型训练和关键能力优化时,应当评估合成数据安全性; (四)合成データを利用したモデル訓練や重要能力の最適化を行う場合、合成データの安全性をアセスメントすること。
(五)加强对训练数据的日常检查,定期对数据进行迭代升级,持续优化产品和服务的性能; (五)訓練データの日常的な点検を強化し、データを定期的に更新・改善し、製品・サービスの性能を持続的に最適化すること。
(六)保障训练数据来源合法、可追溯,采取必要措施保障数据安全,防范数据泄露风险。 (六)訓練データの出所が合法かつ追跡可能であることを保証し、データセキュリティを確保するための必要な措置を講じ、データ漏洩リスクを防止すること。
第十一条 提供者应当具备用户状态识别能力,在保护用户个人隐私前提下,评估用户情绪及对产品和服务的依赖程度,发现用户存在极端情绪和沉迷的,采取必要措施予以干预。 第十一条 提供者はユーザーの状況を識別する能力を有し、ユーザーの個人プライバシーを保護する前提で、ユーザーの感情及び製品・サービスへの依存度をアセスメントする。ユーザーに極端な感情や依存状態が認められた場合、必要な措置を講じて介入する。
提供者应当预设回复模板,发现涉及威胁用户生命健康和财产安全的高风险倾向的,及时输出安抚和鼓励寻求帮助等内容,并提供专业援助方式。 提供者は返信テンプレートを予め設定し、ユーザーの生命・健康・財産安全を脅かす高リスク傾向を発見した場合、直ちに安心させる内容や支援を求めるよう促す内容を出力し、専門的な援助手段を提供する。
提供者应当建立应急响应机制,发现用户明确提出实施自杀、自残等极端情境时,由人工接管对话,并及时采取措施联络用户监护人、紧急联系人。针对未成年人、老年人用户,提供者应当在注册环节要求填写用户监护人、紧急联系人等信息。 提供者は緊急対応メカニズムを構築し、ユーザーが自殺や自傷行為などの極端な状況を明確に示した場合、手動で対話を引き継ぎ、速やかにユーザーの保護者や緊急連絡先への連絡措置を講じる。未成年者や高齢者ユーザーに対しては、登録段階で保護者や緊急連絡先の情報入力を義務付ける。
第十二条 提供者应当建立未成年人模式,向用户提供未成年人模式切换、定期现实提醒、使用时长限制等个性化安全设置选项。 第十二条 提供者は未成年者モードを構築し、未成年者モードへの切り替え、定期的な現実世界への注意喚起、利用時間制限などの個別安全設定オプションをユーザーに提供しなければならない。
提供者向未成年人提供情感陪伴服务时,应当取得监护人的明确同意;提供监护人控制功能,监护人可以实时接收安全风险提醒,查阅未成年人使用服务的概要信息,设置屏蔽特定角色、限制使用时长、防止充值消费等。 提供者が未成年者に感情的同伴サービスを提供する場合、保護者の明確な同意を得なければならない。保護者管理機能を提供し、保護者は安全リスク通知をリアルタイムで受信し、未成年者のサービス利用概要情報を閲覧し、特定キャラクターのブロック設定、利用時間制限、課金防止などを設定できる。
提供者应当具备识别未成年人身份的能力,在保护用户个人隐私前提下识别为疑似未成年人的,切换至未成年人模式,并提供申诉渠道。 提供者は未成年者の身元を識別する能力を有し、ユーザーの個人プライバシーを保護した上で未成年者と疑われる者を識別した場合、未成年者モードに切り替え、申し立て窓口を提供しなければならない。
第十三条 提供者应当引导老年人设置服务紧急联系人,发现老年人使用期间出现危害生命健康和财产安全的,及时通知紧急联系人,并提供社会心理援助或者紧急救助渠道。 第十三条 提供者は高齢者にサービスの緊急連絡先設定を促し、高齢者の利用中に生命・健康・財産に危害が生じた場合、速やかに緊急連絡先に通知し、社会心理的支援または緊急救助の窓口を提供しなければならない。
提供者不得提供模拟老年人用户亲属、特定关系人的服务。 提供者は高齢者の親族や特定関係者を模擬するサービスを提供してはならない。
第十四条 提供者应当采取数据加密、安全审计、访问控制等措施保护用户交互数据安全。 第十四条 提供者は、データ暗号化、セキュリティ監査、アクセス制御等の措置を講じ、ユーザーのインタラクションデータの安全性を保護しなければならない。
除法律另有规定或者权利人明确同意外,不得向第三方提供用户交互数据;未成年人模式下收集数据向第三方提供时,还需取得监护人单独同意。 法律に別段の定めがある場合、または権利者が明示的に同意した場合を除き、ユーザーのインタラクションデータを第三者に提供してはならない。未成年者モード下で収集したデータを第三者に提供する場合、さらに保護者の単独同意を取得する必要がある。
提供者应当向用户提供删除交互数据的选项,用户可以选择对聊天记录等历史交互数据进行删除。监护人可以要求提供者删除未成年人历史交互数据。 提供者は、ユーザーにインタラクションデータを削除する選択肢を提供しなければならない。ユーザーは、チャット記録等の履歴インタラクションデータを削除することを選択できる。保護者は提供者に対し、未成年者の過去のやり取りデータの削除を要求できる。
第十五条 除法律、行政法规另有规定或者取得用户单独同意外,提供者不得将用户交互数据、用户敏感个人信息用于模型训练。 第十五条 法律・行政法規に別段の定めがある場合、またはユーザーの単独同意を得た場合を除き、提供者はユーザーのやり取りデータやユーザーの機微な個人情報をモデル訓練に使用してはならない。
提供者应当按照国家有关规定,自行或者委托专业机构每年对其处理未成年人个人信息遵守法律、行政法规的情况进行合规审计。 提供者は国家の関連規定に従い、自らまたは専門機関に委託して、未成年者の個人情報を処理する際に法律・行政法規を遵守している状況について、毎年コンプライアンス監査を実施しなければならない。
第十六条 提供者应当显著提示用户正在与人工智能而非自然人进行交互。 第十六条 提供者は、ユーザーが自然人ではなく人工知能と対話していることを明確に提示しなければならない。
提供者识别出用户出现过度依赖、沉迷倾向时,或者在用户初次使用、重新登录时,应当以弹窗等方式动态提醒用户交互内容为人工智能生成。 提供者は、ユーザーの過度な依存や中毒傾向を識別した場合、またはユーザーの初回利用時・再ログイン時に、ポップアップ表示等により対話内容が人工知能生成であることを動的に通知しなければならない。
第十七条 用户连续使用拟人化互动服务超过2个小时的,提供者应当以弹窗等方式动态提醒用户暂停使用服务。 第十七条 ユーザーが擬人化対話サービスを連続2時間以上利用した場合、提供者はポップアップ表示等によりサービスの利用中断を動的に通知しなければならない。
第十八条 提供者提供情感陪伴服务时,应当具备便捷的退出途径,不得阻拦用户主动退出。用户在人机交互界面或者窗口通过按钮、关键词等方式要求退出时,应当及时停止服务。 第十八条 提供者は感情的同伴サービスを提供する場合、容易な退出手段を備え、ユーザーの自主的な退出を妨げてはならない。ユーザーが人機インタフェースまたはウィンドウ上でボタン・キーワード等により退出を要求した場合、直ちにサービスを停止しなければならない。
第十九条 提供者下线相关功能或者因技术故障等导致拟人化互动服务无法使用,应当采取提前告知、公开声明等措施妥善处理。 第十九条 提供者は関連機能を停止する場合、または技術的障害等により擬人化インタラクションサービスが利用不能となった場合、事前告知・公開声明等の措置を講じて適切に対処しなければならない。
第二十条 提供者应当健全投诉、举报机制,设置便捷的投诉、举报入口,公布处理流程和反馈时限,及时受理、处理并反馈处理结果。 第二十条 提供者は苦情・通報メカニズムを整備し、簡便な苦情・通報窓口を設置するとともに、処理手順とフィードバック期限を公表し、速やかに受理・処理し結果をフィードバックしなければならない。
第二十一条 提供者具有下列情形之一的,应当按照国家有关规定开展安全评估,并向属地省级网信部门提交评估报告: 第二十一条 提供者が以下のいずれかに該当する場合、国家の関連規定に基づきセキュリティ評価を実施し、管轄の省級ネット情報部門に評価報告書を提出しなければならない:
(一)具有拟人化互动服务的功能上线,或者增设相关功能的; (一)擬人化対話サービス機能の公開、または関連機能の追加があった場合
(二)使用新技术新应用,导致拟人化互动服务发生重大变更的; (二)新技術・新アプリケーションの使用により擬人化対話サービスに重大な変更が生じた場合
(三)注册用户达100万以上或者月活跃用户达10万以上的; (三)登録ユーザー数が100万以上、または月間アクティブユーザー数が10万以上に達した場合
(四)提供拟人化互动服务期间可能存在影响国家安全、公共利益、个人和组织合法权益或者缺乏安全措施等情形的; (四)擬人化対話サービスの提供期間中に、国家安全保障、公共の利益、個人及び組織の合法的権益に影響を及ぼす可能性、または安全対策が不十分な状況が生じる可能性がある場合
(五)国家网信部门规定的其他情形。 (五)国家サイバー空間管理部門が定めるその他の状況
第二十二条 提供者开展安全评估,应当重点评估以下内容: 第二十二条 提供者はセキュリティ評価を実施する際、以下の内容を重点的にアセスメントしなければならない:
(一)用户规模、使用时长、年龄结构及群体分布情况; (一)ユーザー規模、利用時間、年齢構成及びグループ分布状況;
(二)用户高风险倾向识别情况及应急处置措施、人工接管情况; (二)ユーザーのハイリスク傾向識別状況及び緊急対応措置、人工介入状況;
(三)用户投诉举报及响应情况; (三)ユーザーの苦情・通報及び対応状況;
(四)本办法第八条至第二十条的执行情况; (四)本弁法第八条から第二十条までの実施状況;
(五)上一次开展安全评估以来,主管部门通报或者自行发现的重大安全隐患问题整改处置等工作情况; (五)前回のセキュリティ評価実施以降、主管部門から通報された、または自ら発見した重大な安全上のリスク問題の是正・処理等の状況;
(六)其他应当说明的情况。 (六)その他説明すべき状況。
第二十三条 提供者发现用户存在重大安全隐患的,应当采取限制功能、暂停或者终止向其提供服务等处置措施,保存有关记录,并向有关主管部门报告。 第二十三条 提供者は、ユーザーに重大な安全上のリスクが存在することを発見した場合、機能制限、サービス提供の一時停止または終了等の措置を講じ、関連記録を保存し、関係主管部門に報告しなければならない。
第二十四条 互联网应用商店等应用程序分发平台应当落实上架审核日常管理、应急处置等安全管理责任,核验提供拟人化互动服务应用程序的安全评估、备案等情况;对违反国家有关规定的,应当及时采取不予上架、警示、暂停服务或者下架等处置措施。 第二十四条 インターネットアプリケーションストア等のアプリケーション配信プラットフォームは、掲載審査の日常管理、緊急対応等の安全管理責任を履行し、擬人化対話サービスを提供するアプリケーションのセキュリティ評価・届出等の状況を検証しなければならない。国家の関連規定に違反する場合は、速やかに掲載拒否、警告、サービス停止または削除等の措置を講じなければならない。
第三章 监督检查和法律责任 第三章 監督検査と法的責任
第二十五条 提供者应当按照《互联网信息服务算法推荐管理规定》履行算法备案和变更、注销备案手续。网信部门对备案材料实施年度复审。 第二十五条 提供者は『インターネット情報サービスアルゴリズム推薦管理規定』に基づき、アルゴリズムの登録及び変更・抹消手続きを履行しなければならない。ネット情報部門は登録資料に対し年次再審査を実施する。
第二十六条 省级网信部门应当依据职责每年对评估报告及审计情况进行书面审查,并开展情况核实。发现未按照本办法规定开展安全评估的,应当责令提供者限期重新评估。认为有必要的,应当对提供者开展现场检查和审计。 第二十六条 省級ネット情報部門は職責に基づき、毎年評価報告書及び監査状況について書面審査を行い、状況確認を実施しなければならない。本弁法の規定に基づきセキュリティ評価を実施していないことが判明した場合、提供者に対し期限を定めて再評価を命じなければならない。必要と認められる場合には、提供者に対する現地検査及び監査を実施しなければならない。
第二十七条 国家网信部门指导推动人工智能沙箱安全服务平台建设,鼓励提供者接入沙箱平台进行技术创新、安全测试,促进拟人化互动服务安全有序发展。 第二十七条 国家ネット情報部門は、人工知能サンドボックス安全サービスプラットフォームの構築を指導・推進し、提供者がサンドボックスプラットフォームに接続して技術革新や安全テストを行うことを奨励し、擬人化対話サービスの安全かつ秩序ある発展を促進する。
第二十八条 省级以上网信部门和有关主管部门在履行监督管理职责中,发现拟人化互动服务存在较大安全风险或者发生安全事件的,可以按照规定的权限和程序对提供者的法定代表人或者主要负责人进行约谈。提供者应当按照要求采取措施,进行整改,消除隐患。 第二十八条 省級以上のネット情報部門及び関係主管部門は、監督管理職責の履行において、擬人化対話サービスに重大な安全リスクが存在するか、安全事件が発生したことを発見した場合、規定された権限と手続きに基づき、提供者の法定代表者または主要責任者に対して面談を行うことができる。提供者は要求に従い措置を講じ、是正を行い、潜在リスクを除去しなければならない。
提供者应当配合网信部门和有关主管部门依法实施的监督检查,并提供必要的支持和协助。 提供者は、ネット情報部門及び関係主管部門が法に基づき実施する監督検査に協力し、必要な支援と協力を提供しなければならない。
第二十九条 提供者违反本办法规定的,由有关主管部门依照法律、行政法规的规定处罚;法律、行政法规没有规定的,由有关主管部门依据职责予以警告、通报批评,责令限期改正;拒不改正或者情节严重的,责令暂停提供相关服务。 第二十九条 提供者が本弁法の規定に違反した場合、関係主管部門は法律・行政法規の規定に基づき処罰する。法律・行政法規に規定がない場合は、関係主管部門は職責に基づき警告・通報批判を行い、期限を定めて是正を命じる。是正を拒むか、または情状が重い場合は、関連サービスの提供停止を命じる。
第四章 附则 第四章 附則
第三十条 本办法中下列用语的含义: 第三十条 本弁法における用語の定義は次の通りである:
人工智能拟人化互动服务提供者,是指利用人工智能技术提供拟人化互动服务的组织、个人。 人工知能擬人化対話サービス提供者とは、人工知能技術を用いて擬人化対話サービスを提供する組織または個人を指す。
第三十一条 提供者从事卫生健康、金融、法律等专业领域服务的,应同时符合主管部门的规定。 第三十一条 提供者が衛生健康、金融、法律等の専門分野のサービスに従事する場合、主管部門の規定にも同時に適合しなければならない。
第三十二条 本办法自2026年 月 日起施行。 第三十二条 本弁法は2026年 月 日より施行する。

 

 

1_20210612030101

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.09.19 米国 上院 犯罪・テロ対策小委員会 AIチャットボットの弊害の検証 (2025.09.16) 

 

 

 

 

Continue reading "中国 国家サイバースペース管理局 パブコメ 人工知能擬人化対話サービス管理暫定弁法案(2025.12.27)"

| | Comments (0)

米国 NIST IR 8587(初期公開ドラフト)トークンおよびアサーションの偽造・盗難・不正使用からの保護:政府機関およびクラウドサービスプロバイダ向け実装推奨事項

こんにちは、丸山満彦です。

NISTが、IR 8587 トークンおよびアサーションの偽造・盗難・不正使用からの保護:政府機関およびクラウドサービスプロバイダ向け実装推奨事項のドラフトが公開され、意見募集されていますね...

これはなかなか興味深いです...

 

● NIST - ITL

・2025.12.22 NIST IR 8587 (Initial Public Draft) Protecting Tokens and Assertions from Forgery, Theft, and Misuse: Implementation Recommendations for Agencies and Cloud Service Providers

NIST IR 8587 (Initial Public Draft) Protecting Tokens and Assertions from Forgery, Theft, and Misuse: Implementation Recommendations for Agencies and Cloud Service Providers NIST IR 8587(初期公開ドラフト)トークンおよびアサーションの偽造・盗難・不正使用からの保護:政府機関およびクラウドサービスプロバイダ向け実装推奨事項
Announcement 発表
Developed in coordination with CISA’s Joint Cyber Defense Collaborative and in response to Executive Order 14144, Sustaining Select Efforts to Strengthen the Nation’s Cybersecurity and Amending Executive Order 13694, NIST Interagency Report (IR) 8587 provides implementation guidance to help federal agencies and cloud service providers (CSPs) protect identity tokens and assertions from forgery, theft, and misuse. CISAの合同サイバー防衛協力機関と調整し、大統領令14144「国家のサイバーセキュリティ強化に向けた選定施策の持続及び大統領令13694の改正」への対応として作成されたNIST機関間報告書(IR)8587は、連邦機関及びクラウドサービスプロバイダー(CSP)が、偽造、盗難、悪用からアイデンティティトークン及び主張を防御するための実施ガイダンスを提供する。
Building on updates to NIST SP 800-53, the report outlines principles for CSPs and consuming agencies, details architectural considerations for identity providers and authorization servers, and recommends enhancements to key management, token verification, and lifecycle controls. The report also addresses threats demonstrated in recent high-profile attacks, emphasizes the importance of secure and configurable cloud services, and provides technical recommendations to safeguard single sign-on, federation, and application programming interface (API) access scenarios. NIST SP 800-53の更新を基盤とし、本報告書はCSP及び利用機関向けの原則を概説し、IDプロバイダと認可サーバーのアーキテクチャ上の考慮事項を詳細に説明し、鍵管理、トークン検証、ライフサイクル管理の強化を推奨する。本報告書はまた、最近の注目すべき攻撃で実証された脅威に対処し、安全で設定可能なクラウドサービスの重要性を強調し、シングルサインオン、フェデレーション、アプリケーションプログラミングインターフェース(API)アクセスシナリオを保護するための技術的推奨事項を提供する。
What kind of input is NIST seeking? NISTはどのような意見を求めているのか?
As an initial public draft, NIST IR 8587 is intended to gain critical feedback from stakeholders across government and industry. While comments are welcome and encouraged on all aspects of this document, NIST is particularly interested in the following five feedback areas: 初期公開草案として、NIST IR 8587は政府及び産業界のステークホルダーから重要なフィードバックを得ることを目的としている。本文書の全側面に関するコメントは歓迎されるが、NISTは以下の5つのフィードバック領域に特に注目している:
1. Signing Key Validity Periods. Feedback on the length of validity, the structure of the scenarios, and any additional feedback reviewers may have. 1. 署名鍵の有効期間。有効期間の長さ、シナリオの構成、およびレビューアが持つ追加的なフィードバックに関する意見。
2. Token Validity Periods. Opinions on token validity lengths and compensating controls that may impact commenters, particularly their availability, adoption, and use in government systems. 2. トークンの有効期間。トークンの有効期間の長さ、およびコメント提供者に影響を与える可能性のある補償的制御(特に政府システムにおけるそれらの可用性、採用、使用状況)に関する意見。
3. Key Protection and Isolation. Feedback on the clarity and suitability of key management definitions and whether they are appropriately mapped to FISMA system classification levels. 3. 鍵保護と隔離。鍵管理定義の明確性・適切性、およびFISMAシステム分類レベルへの適切な対応に関するフィードバック。
4. Key Scoping. Sharing of operational considerations, implementation challenges, and best practices that could strengthen these recommendations. 4. 鍵スコープ設定。運用上の考慮事項、実装上の課題、およびこれらの推奨事項を強化し得るベストプラクティスの共有。
5. Emerging Standards. Comments about emerging standards and protocols that might support the technical achievement of token and assertion protection outcomes (e.g., Demonstrated Proof-of-Possession, Global Revocation). 5. 新興標準。トークンおよび主張防御の成果(例:実証済み所持証明、グローバル失効)の技術的達成を支援し得る新興標準・プロトコルに関するコメント。
Abstract 要約
This report provides implementation guidance to help federal agencies and cloud service providers (CSPs) protect identity tokens and assertions from forgery, theft, and misuse. Building on updates to NIST SP 800-53 (Release 5.1.1), it outlines principles for CSPs and consuming agencies, details architectural considerations for identity providers and authorization servers, and recommends enhancements to key management, token verification, and life cycle controls. The report addresses threats demonstrated in recent high-profile attacks, emphasizes the importance of secure by design practices, configurability, interoperability, and continuous monitoring, and provides specific technical recommendations to safeguard single sign-on, federation, and application programming interface (API) access scenarios. 本報告書は、連邦機関及びクラウドサービスプロバイダー(CSP)が、IDトークン及びアサーションを偽造、盗難、悪用から防御するための実装ガイダンスを提供する。NIST SP 800-53(リリース5.1.1)の更新を基に、CSP及び利用機関向けの原則を概説し、IDプロバイダ及び認可サーバーのアーキテクチャ上の考慮事項を詳細に説明し、鍵管理、トークン検証、ライフサイクル管理の強化を推奨する。本報告書は、最近の高プロファイル攻撃で実証された脅威に対処し、設計段階からのセキュリティ対策、設定可能性、相互運用性、継続的監視の重要性を強調する。また、シングルサインオン、フェデレーション、アプリケーションプログラミングインターフェース(API)アクセスシナリオを保護するための具体的な技術的推奨事項を提供する。

 

・[PDF] NIST.IR.8587.ipd

20251229-132456

 

ポイント...もう少し詳細に...

Note to Reviewers  レビュー担当者への注意
As an initial public draft, this document intends to gain critical feedback from stakeholders across government and industry. Comments are welcome on all aspects of this document and specifically encouraged on the following areas:  この文書は最初の公開ドラフトとして、政府及び産業界のステークホルダーから批判的なフィードバックを得ることを目的としている。文書のあらゆる側面についてコメントを歓迎し、特に以下の領域について積極的に意見を求める:
1. Signing Key Validity Periods. This document provides recommendations for signing key validity periods used in conjunction with tokens and assertions. They are structured around key usage scenarios (e.g., whether the key is used for more than one tenant). NIST is interested in feedback on the length of validity periods, the structure of the scenarios, and any elements.  1. 署名鍵の有効期間。本稿は、トークンおよび主張と組み合わせて使用される署名鍵の有効期間に関する推奨事項を提供する。これらは鍵の使用シナリオ(例:鍵が複数のテナントで使用されるかどうか)に基づいて構成されている。NISTは、有効期間の長さ、シナリオの構成、およびその他の要素に関するフィードバックを求めている。 
2. Token Validity Periods. This document sets a baseline validity period for tokens and assertions and allows for flexibility based on the availability of certain capabilities (e.g., revocation, compromise detection). NIST is interested in comments on token validity lengths and compensating controls that may impact them, particularly their availability, adoption, and use in government systems.  2. トークンの有効期間。本文書はトークンと主張の基準有効期間を設定し、特定の機能(失効、侵害検知など)の可用性に基づく柔軟性を認める。NISTはトークン有効期間の長さ、およびそれらに影響を与えうる補償的制御(特に政府システムにおける可用性、採用、使用状況)に関する意見を求める。 
3. Key Protection and Isolation. NIST is interested in feedback on the clarity and suitability of key management definitions and whether they are appropriately mapped to Federal Information Security Modernization Act (FISMA) system categorization levels.  3. 鍵保護と分離。鍵管理の定義の明確性と適切性、およびそれらが連邦情報セキュリティ近代化法(FISMA)のシステム分類レベルに適切にマッピングされているかについて、NISTはフィードバックを求めている。 
4. Scoping. This document recommends limiting the scope of trust in signing keys and requiring tokens to include explicit audience and scope restrictions to limit the impact of key compromise. NIST is interested in feedback on operational considerations, implementation challenges, and best practices that could strengthen these recommendations.  4. 適用範囲。本文書は、署名鍵に対する信頼の範囲を制限し、鍵侵害の影響を限定するために、トークンに明示的な対象者および適用範囲の制限を含めることを推奨している。NISTは、これらの推奨事項を強化し得る運用上の考慮事項、実装上の課題、ベストプラクティスに関するフィードバックを求めている。
5. Emerging Standards and Protocols. This document references several new or emerging standards and protocols. NIST is particularly interested in the availability, maturity, and adoption rates of products that utilize these standards and protocols. Similarly, NIST is seeking input on additional standards and protocols that were not mentioned but could contribute to achieving security outcomes.  5. 新興標準とプロトコル。本稿は複数の新規または新興標準・プロトコルを参照している。NISTは特に、これらを活用する製品の可用性、成熟度、採用率に関心を持つ。同様に、言及されていないがセキュリティ成果達成に寄与し得る追加標準・プロトコルに関する意見も求めている。

 

目次...

1. Introduction 1. 序論
1.1. Purpose and Scope 1.1. 目的と範囲
1.2. Identity Management in Cloud and Hybrid Environments - Managing Responsibilities 1.2. クラウド及びハイブリッド環境におけるアイデンティティ管理 - 管理責任
1.3. Principles for Cloud Service Providers 1.3. クラウドサービスプロバイダのための原則
1.4. Principles for Consuming Agencies 1.4. 利用機関のための原則
1.5. Continuous Monitoring and Evaluation 1.5. 継続的な監視と評価
2. Overview of Assertions and Tokens 2. アサーションとトークンの概要
2.1. Terms and Concepts 2.1. 用語と概念
2.2. Types of Assertions and Tokens 2.2. アサーションとトークンの種類
2.3. Uses of Tokens and Assertions 2.3. トークンとアサーションの用途
2.3.1. Single Sign-On and Federation 2.3.1. シングルサインオンとフェデレーション
2.3.1.1. Single Sign-On and Federation Features 2.3.1.1. シングルサインオンとフェデレーションの機能
2.3.2. API Access Scenarios 2.3.2. APIアクセスシナリオ
2.3.2.1. API Access Features 2.3.2.1. APIアクセスの機能
3. IA-13: Identity Providers and Authorization Servers 3. IA-13: アイデンティティプロバイダと認可サーバー
3.1. Implementation Recommendations. 3.1. 実装に関する推奨事項
3.1.1. Architecture and Design 3.1.1. アーキテクチャと設計
3.1.2. Risk Assessment and Risk Management 3.1.2. リスクアセスメントとリスクマネジメント
3.1.3. Security Policy and Technical Documentation 3.1.3. セキュリティポリシーと技術文書
3.1.4. Authorization Systems and Zero Trust Architectures. 3.1.4. 認可システムとゼロトラストアーキテクチャ
4. Control Enhancements  4. 制御の強化
4.1. Control Enhancement 1: Protection of Cryptographic Keys 4.1. 制御強化1:暗号鍵の保護
4.1.1. Additional Guidance for the Protection of Cryptographic Keys 4.1.1. 暗号鍵保護に関する追加ガイダンス
4.1.1.1. Generation. 4.1.1.1. 生成
4.1.1.2. Distribution 4.1.1.2. 分布
4.1.1.3. Storage and Isolation for Keys and Cryptographic Functions 4.1.1.3. 鍵と暗号化機能の保管と隔離
4.1.1.4. Key Usage Periods and Rotation 4.1.1.4. 鍵の使用期間とローテーション
4.1.1.5. Key Revocation and Destruction 4.1.1.5. 鍵の失効と破棄
4.2. Control Enhancement 2: Verification of Identity Assertions and Access Token 4.2. 制御強化 2: 身元主張とアクセストークンの検証
4.2.1. Additional Guidance for the Verification of Identity Assertions and Access Tokens 4.2.1. 身元主張とアクセストークンの検証に関する追加ガイダンス
4.2.1.1. Assertion and Token Contents 4.2.1.1. 主張とトークンの内容
4.2.1.2. Key Scoping and Usage 4.2.1.2. 鍵の範囲と使用
4.3. Token Management 4.3. トークン管理
4.3.1. Additional Guidance for Token Managemen 4.3.1. トークン管理に関する追加ガイダンス
4.3.1.1. Token Refresh and Validity Length 4.3.1.1. トークンの更新と有効期間
4.3.1.2. Token Revocation 4.3.1.2. トークンの失効
4.3.1.3. Audience Restrictio 4.3.1.3. オーディエンス制限
4.3.1.4. Session Monitoring and Analsi 4.3.1.4. セッション監視と分析
5. Threats and Attack 5. 脅威と攻撃
6. Additional Considerations  6. 追加の考慮事項
6.1. Secure Integration and Configuration Between CSPs and Consumers 6.1. CSP とコンシューマー間の安全な統合と構成
6.2. Token and Assertion Presentation Methods 6.2. トークンと主張の提示方法
6.3. Token and Assertion Encryption 6.3. トークンとアサーションの暗号化
6.4. FAL3 Assertion 6.4. FAL3 アサーション
6.5. Device-Bound Session Credentials. 6.5. デバイスに紐づくセッション認証情報
6.6. Risk Signal Frameworks. 6.6. リスクシグナル枠組み
References 参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms 附属書 A. 記号、略語、頭字語一覧
Appendix B. Glossary 附属書 B. 用語集

 

前提の部分ですが...

利用者(行政機関側)とクラウド事業者の責任(responsibility)の

Responsibility Area  責任領域 CSP  Consumer 
Physical Security  物理的セキュリティ ●   
Infrastructure (Hardware/Networking)  インフラストラクチャ(ハードウェア/ネットワーク) ●   
Core IAM Services  コアIAMサービス ●   
Token Issuance/Signing  トークン発行/署名 ●   
Secrets Vaults/Hardware Security Module  シークレット保管庫/ハードウェアセキュリティモジュール ●   
Infrastructure Logging/Monitoring  インフラストラクチャのログ記録/監視 ●   
IAM Policy Configuration  IAMポリシー設定   ● 
Application/User Access Control  アプリケーション/ユーザーアクセス管理   ● 
Application Secrets Management  アプリケーションシークレット管理   ● 
Multifactor Authentication (MFA)/User Authentication Setup  多要素認証(MFA)/ユーザー認証設定   ● 
Session Management  セッション管理   ● 
Application Logging/Monitoring  アプリケーションのログ記録/監視   ● 
User Education  ユーザー教育 ●  ● 
Incident Response  インシデント対応 ●  ● 
Continuous Monitoring  継続的監視 ●  ● 

 

1.4 Principles for Cloud Service Providers  1.4 クラウドサービスプロバイダのための原則
The following principles are necessary to effectively support a secure relationship between consuming agencies and CSPs:  利用機関とCSP間の安全な関係を効果的に支援するには、以下の原則が必要である:
● Secure development and design. CSP systems are an integral component of agency services and increasingly essential to modern federal agency missions and service delivery. Not every CSP is a security company, but they still need to build security into the systems they design and deploy. Their practices should be consistent with CISA’s Secure by Design principles [3], NIST’s Secure Software Development Framework [4], and NIST’s Engineering Trustworthy Secure Systems guidelines [5].  ● 安全な開発と設計。CSPシステムは機関サービスの不可欠な構成要素であり、現代の連邦機関の任務とサービス提供においてますます重要となっている。全てのCSPがセキュリティ企業ではないが、設計・展開するシステムにセキュリティを組み込む必要がある。その実践は、CISAの「設計段階からのセキュリティ確保」原則[3]、NISTの「セキュアソフトウェア開発枠組み」[4]、NISTの「信頼性のあるセキュアシステム構築ガイドライン」[5]と整合すべきである。 
● Transparency. Effective risk management on both sides of the CSP-to-consumer relationship requires the CSP to be transparent about their deployed technology, the architecture underpinning the technology, and system-generated data. Particularly critical is the ability of the CSP to convey alignment with consumer security requirements (to include IA-13: Identity Providers and Authorization Servers from NIST  ● 透明性。CSPと消費者の関係における効果的なリスクマネジメントには、CSPが展開技術、その基盤となるアーキテクチャ、システム生成データについて透明性を確保することが必要である。特に重要なのは、CSPが消費者のセキュリティ要件(NIST SP 800-53 Rev. 5.1.1のIA-13:IDプロバイダおよび認可サーバーを含む)との整合性を伝達する能力と、トークンおよびアサーション関連イベントの記録・分析を支援する効果的な通信チャネルを確立することである。
SP 800-53, Rev. 5.1.1) and establish effective communication channels to support logging and analyzing token- and assertion-related events.  SP 800-53, Rev. 5.1.1)との整合性を伝達し、トークンおよび主張関連のイベントの記録と分析を支援する効果的なコミュニケーションチャネルを確立する能力が特に重要である。
● Configurability. Different cloud service models (e.g., infrastructure as a service, platform as a service, software as a service) have different capabilities, and security features need to be selectable and tunable by consumers to the greatest degree practical. This allows organizations to apply mitigations that match their risk tolerance and operational needs. Critical consensus and compliance-driven mitigations (e.g., those defined in this document and SP 800-53 more generally) should be available as defaults, with additional options for organizations with advanced requirements or specific configuration needs. Appropriate training, documentation, and support capabilities must accompany these configurations.  設定可能性。異なるクラウドサービスモデル(例:IaaS、PaaS、SaaS)は異なる機能を有し、セキュリティ機能は消費者が実用的な範囲で最大限に選択・調整可能である必要がある。これにより組織は、リスク許容度と運用ニーズに合致した緩和を適用できる。重要な合意形成やコンプライアンス主導の緩和(例えば、本文書やSP 800-53で定義されるもの)はデフォルトで利用可能とし、高度な要件や特定の構成ニーズを持つ組織向けに追加オプションを用意すべきである。これらの構成には、適切なトレーニング、文書化、サポート機能が伴わなければならない。 
● Interoperability. Providing essential support for standards-based architectures allows seamless integration and management across hybrid and multi-cloud environments, enabling consumers to support redundancy and resiliency. Standards-based deployments reduce complexity introduced by bespoke integrations and facilitate consistent security postures across the consumer’s entire enterprise. This facilitates interoperability between and amongst connected components without mandating or constraining a single approach to token or assertion management.  相互運用性。標準ベースのアーキテクチャに対する必須サポートを提供することで、ハイブリッドおよびマルチクラウド環境全体でのシームレスな統合と管理が可能となり、消費者が冗長性とレジリエンスをサポートできるようになる。標準ベースの展開は、特注の統合によって生じる複雑さを軽減し、消費者のエンタープライズ全体にわたる一貫したセキュリティ態勢を促進する。これにより、トークンまたは主張管理に対する単一のアプローチを強制または制限することなく、接続されたコンポーネント間の相互運用性が促進される。
Implementing these principles promotes a healthy and secure relationship between the CSP and its consumers.  これらの原則を実装することで、CSPと利用機関の健全かつ安全な関係が促進される。
1.5 Principles for Consuming Agencies  1.5 利用機関のための原則
Agencies that consume cloud services to support mission and service delivery have their own responsibilities with respect to secure implementation. Agencies must ensure that procured cloud environments and services satisfy FISMA security expectations for transaction risk and sensitivity. To effectively implement solutions that meet these responsibilities, agencies must apply the following principles to their engagement process with CSPs:  ミッションとサービス提供を支援するためにクラウドサービスを利用する機関は、安全な実装に関して独自の責任を負う。機関は、調達したクラウド環境とサービスが、取引リスクと機密性に関するFISMAのセキュリティ要件を満たすことを保証しなければならない。これらの責任を満たすソリューションを効果的に実装するため、機関はCSPとの関与プロセスにおいて以下の原則を適用しなければならない: 
● Risk assessment and control selection. While CSPs may offer baseline solutions that align with FISMA categorization and FedRAMP impact levels, the consuming agency is responsible for completing a thorough risk assessment [6] in accordance with the federal Risk Management Framework (RMF) [7]. Agencies are also responsible for conducting a digital identity risk assessment (DIRA), as defined in SP 800-63-4, Digital Identity Guidelines [13]. This process helps define a baseline set of security controls, security outcomes, and assurance levels for any CSP-offered or in-house-developed token or assertion-based system.  リスクアセスメントと制御選択。CSPがFISMA分類やFedRAMP影響レベルに沿った基本ソリューションを提供する場合もあるが、消費機関は連邦リスクマネジメント枠組み(RMF)[7]に従い、徹底的なリスクアセスメント[6]を完了する責任を負う。また、SP 800-63-4「デジタルアイデンティティガイドライン」[13]で定義されるデジタルアイデンティティリスク評価(DIRA)の実施も機関の責任である。このプロセスは、CSPが提供する、あるいは内部開発されたトークンまたは主張ベースのシステムに対し、セキュリティ管理策、セキュリティ成果、保証レベルの基盤セットを定義するのに役立つ。 
● Tailoring. Control baselines serve as a starting point for selecting controls. Both the RMF and Digital Identity Guidelines enable agencies to further refine, select, and implement controls that are specific to their operational and threat environment and subsequently communicate these requirements to CSPs. This may also be informed by the availability of controls within selected CSP or on-premises environments.  適応化。制御ベースラインは制御選択の出発点となる。RMFとデジタルアイデンティティガイドラインの両方により、各機関は自らの運用環境や脅威環境に特化した制御をさらに精緻化し、選択し、実装することが可能となる。その後、これらの要件をCSPに伝達する。これは、選定したCSP環境またはオンプレミス環境内で利用可能な制御の存在によっても影響を受ける可能性がある。 
● Secure integration and configuration. As indicated above, CSP services should be configurable. The consuming agency is responsible for configuring their cloud environments to meet their security categorization, control selection, tailoring outcomes, and defined assurance levels in coordination with their CSPs.  安全な統合と構成。前述の通り、CSPサービスは構成可能であるべきだ。利用機関は、CSPと連携し、自機関のセキュリティ分類、制御選択、調整結果、および定義された保証レベルを満たすよう、クラウド環境を構成する責任を負う。
While cloud-hosted services introduce complexity to the risk management process, they also enable substantial mission and business capabilities that cannot be replicated with organic agency systems and environments. By acknowledging the shared responsibility for data protection and implementing these principles, both CSPs and agencies can more effectively manage and address the threats that they face while improving the way the government delivers digital capabilities to employees and members of the public. In particular, these processes are essential to supporting remote access scenarios, SSO, and the provisioning of modern API-based services.  クラウドホスト型サービスはリスクマネジメントプロセスに複雑性をもたらす一方で、機関の内部システムや環境では再現不可能な、重要な任務遂行能力や業務能力を実現する。データ保護の責任分担を認識し、これらの原則を実施することで、CSP と機関は直面する脅威をより効果的に管理・対処できると同時に、政府が職員や国民にデジタル機能を提供する方法を改善できる。特にこれらのプロセスは、リモートアクセスシナリオ、シングルサインオン(SSO)、現代的なAPIベースのサービス提供を支援する上で不可欠である。 
1.6 Continuous Monitoring and Evaluation  1.6 継続的監視と評価
No security controls — particularly identity management controls — should be “fire and forget.” Consistent with the RMF, both CSPs and consuming agencies are expected to implement continuous monitoring capabilities for the architectural components that they control. Consuming agencies coordinate with CSPs to continuously evaluate and monitor CSP environments, connections to on-premises or multi-cloud environments, and access events at all levels to identify potential vulnerabilities or incidents. In many real-world scenarios associated with token and assertion compromise, the only mechanisms for detection were the monitoring and analysis of account activity and the scrutiny of log data from CSP environments and services.  セキュリティ制御、特にID管理制御は「設定して放置」すべきではない。RMFに沿い、CSPと利用機関は双方、自らが管理するアーキテクチャ構成要素に対して継続的監視機能を実装することが求められる。利用機関はCSPと連携し、CSP環境、オンプレミスまたはマルチクラウド環境への接続、あらゆるレベルのアクセスイベントを継続的に評価・監視し、潜在的な脆弱性やインシデントを識別する。トークンや主張の侵害に関連する多くの実例では、検知手段はアカウント活動の監視・分析と、CSP環境およびサービスからのログデータの精査のみであった。

 

 

 

| | Comments (0)

2025.12.30

中国 GB46864-2025 データセキュリティ技術 電子製品の情報消去に関する技術要求

こんにちは、丸山満彦です。

中国が、GB46864-2025 データセキュリティ技術 電子製品の情報消去に関する技術要求を公表しましたね...2027.01.01から施行ということです...

データサニタリゼーションの標準というよりも、中国国内で生産・販売される電子製品のデータ消去に関する技術要求、電子製品の2次流通(中古、修理、廃棄)におけるユーザーデータ漏えいの防止(消費者保護)という側面が強い感じですかね...2027.01.01からは施行されますので、日本企業も影響を受ける企業があるでしょうね...

データサニタリゼーションに関連する標準としては、

国際標準では、ISO/IEC 27040:2040がありますね...技術標準としては、IEEE 2883-2022、米国連邦政府用には、SP800-88 Rev.2がありますね。

 

国家互联网信息办公室(国家サイバースペース管理局)

・2025.12.13 《数据安全技术 电子产品信息清除技术要求》强制性国家标准获批发布

《数据安全技术 电子产品信息清除技术要求》强制性国家标准获批发布 『データセキュリティ技術 電子製品情報消去技術要求』強制国家標準が承認・公布される
2025年12月2日,中央网信办提出并归口的《数据安全技术 电子产品信息清除技术要求》强制性国家标准由国家市场监督管理总局、国家标准化管理委员会批准发布,将于2027年1月1日起正式实施。 2025年12月2日、中央インターネット情報弁公室が提案・管轄する『データセキュリティ技術 電子製品情報消去技術要求』強制国家標準が、国家市場監督管理総局及び国家標準化管理委員会の承認を得て公布され、2027年1月1日より正式に施行される。
随着数字经济快速发展,手机、电脑等电子产品更新换代频率加快,二手电子产品流通体量日益庞大,然而在流通环节中,由于信息清除不彻底导致的数据泄露风险日益凸显,直接影响社会公共利益和个人信息安全。为落实国务院印发的《推动大规模设备更新和消费品以旧换新行动方案》中关于“出台手机、平板电脑等电子产品二手交易中信息清除方法国家标准”的相关要求,中央网信办提出并委托全国网络安全标准化技术委员会组织制定本标准,旨在规范电子产品信息清除技术方法,引导回收经营者建立健全信息清除管理和技术措施,防范二手流通中的数据泄露风险,促进二手电子产品交易行业健康有序发展。 デジタル経済の急速な発展に伴い、携帯電話やパソコンなどの電子製品の更新サイクルが加速し、中古電子製品の流通量が日々膨大になっている。しかし流通過程において、情報消去が不十分であることに起因するデータ漏洩リスクが顕在化しつつあり、社会の公益と個人情報の安全に直接的な影響を与えている。国務院が発表した「大規模設備更新及び消費財の買い替え促進行動計画」における「携帯電話、タブレット端末等の電子製品の中古取引における情報消去方法に関する国家標準を制定する」との関連要求を実施するため、 中央インターネット情報弁公室は本標準の策定を提案し、全国サイバーセキュリティ標準化技術委員会に委託した。その目的は、電子製品の情報消去技術方法を規範化し、回収事業者が情報消去管理と技術措置を確立・整備するよう導き、中古流通におけるデータ漏洩リスクを防止し、中古電子製品取引業界の健全かつ秩序ある発展を促進することにある。

 

パンフレット的な...

・2025.12.13 一图读懂|《数据安全技术 电子产品信息清除技术要求》强制性国家标准

 

記者会見...

・2025.12.13 《数据安全技术 电子产品信息清除技术要求》强制性国家标准答记者问

《数据安全技术 电子产品信息清除技术要求》强制性国家标准答记者问 『データセキュリティ技術 電子製品情報消去技術要求』強制国家標準に関する記者会見
2025年12月2日,由中央网信办归口提出并组织制定的《数据安全技术 电子产品信息清除技术要求》(以下简称《技术要求》)强制性国家标准由国家市场监督管理总局、国家标准化管理委员会批准发布,将于2027年1月1日起正式实施。日前,中央网信办有关负责人就《技术要求》有关问题回答了记者提问。 2025年12月2日、中央インターネット情報弁公室が主管機関として提案・制定した『データセキュリティ技術 電子製品情報消去技術要求』(以下『技術要求』と略称)の強制国家標準が、国家市場監督管理総局及び国家標準化管理委員会の承認を得て公布され、2027年1月1日より正式に施行される。このほど、中央ネット情報弁公室の責任者が『技術要求』に関する記者質問に答えた。
一、问:请介绍一下《技术要求》的出台背景? 一、問:『技術要求』の制定背景について説明してほしい。
答:随着数字经济快速发展,手机、电脑等电子产品更新换代频率加快,二手电子产品流通体量日益庞大。但在流通环节中,由于信息清除不彻底导致的数据泄露风险日益凸显,直接威胁社会公共利益和个人信息安全。 答:デジタル経済の急速な発展に伴い、携帯電話やパソコンなどの電子製品の更新サイクルが加速し、中古電子製品の流通量が日々膨大になっている。しかし流通過程において、情報消去が不十分であることに起因するデータ漏洩リスクが顕在化し、社会の公益と個人情報セキュリティを直接脅かしている。
为落实国务院印发的《推动大规模设备更新和消费品以旧换新行动方案》中关于“出台手机、平板电脑等电子产品二手交易中信息清除方法国家标准”的相关要求,有效保障数据安全,中央网信办委托全国网络安全标准化技术委员会组织制定了本标准。《技术要求》旨在规范电子产品信息清除技术方法,引导回收经营者建立健全信息清除管理和技术措施,防范二手流通中的数据泄露风险,促进二手电子产品交易行业健康有序发展。 国務院が発表した「大規模設備更新と消費財の買い替え促進行動計画」における「携帯電話、タブレット端末等の電子製品中古取引における情報消去方法の国家標準を策定する」との関連要求を履行し、データ安全を効果的に保障するため、中央ネット情報弁公室は全国サイバーセキュリティ標準化技術委員会に委託し、本標準の制定を組織した。『技術要求』は、電子製品の情報消去技術方法を規範化し、回収事業者が情報消去管理と技術措置を確立・整備するよう導き、中古流通におけるデータ漏洩リスクを防止し、中古電子製品取引業界の健全かつ秩序ある発展を促進することを目的とする。
二、问:请问制定《技术要求》的总体思路是什么? 二、問:『技術要求』制定の全体的な考え方は何か?
答:一是坚持通用性与可行性并重。《技术要求》面向广泛的电子产品类型和存储介质,明确了通用的信息清除基本要求,确保技术要求在现有产业实践中可验证、可操作。二是坚持技术与管理相结合。《技术要求》不仅规定了“怎么清”的技术方法,还对回收经营者提出了“怎么管”的过程要求,构建了从技术实现到运营管理的闭环安全体系。三是坚持统筹发展与安全。充分考虑二手电子产品回收及资源再利用的产业模式,在确保用户个人信息被彻底清除、防范隐私泄露的同时,避免设置过高的技术壁垒,通过科学的标准规范促进循环经济各环节的互信机制建立。 答:第一に、汎用性と実現可能性を両立させることだ。『技術要求』は幅広い電子製品タイプと記憶媒体を対象とし、汎用的な情報消去の基本要件を明確化することで、技術要求が既存の産業実践において検証可能かつ運用可能であることを保証する。第二に、技術と管理の結合を堅持することだ。『技術要求』は「どのように消去するか」という技術的方法を規定するだけでなく、回収事業者に対して「どのように管理するか」というプロセス要件を提示し、技術実現から運営管理までの閉ループセキュリティシステムを構築する。三つ目は、発展と安全の統合的配慮である。中古電子製品の回収・資源再利用という産業モデルを十分に考慮し、ユーザーの個人情報が完全に消去されプライバシー漏洩が防止されることを確保しつつ、過度な技術的障壁を設けない。科学的な標準を通じて循環経済の各段階における相互信頼メカニズムの構築を促進する。
三、问:《技术要求》的适用范围是什么? 三、問:『技術要求』の適用範囲は何か?
答:《技术要求》适用于面向境内生产、销售的,具有非易失性存储介质的电子产品。适用主体包括两类:产品制造与服务方,包括电子产品厂商、第三方信息清除功能开发者;流通经营方,主要是对二手电子产品进行信息清除的回收经营者。 答:『技術要求』は、国内で生産・販売される不揮発性記憶媒体を備えた電子製品に適用される。適用主体は二種類:製品製造・サービス提供者(電子製品メーカー、第三者情報消去機能開発者等)と流通事業者(主に中古電子製品の情報消去を行う回収事業者)である。
《技术要求》涉及的产品范围广泛,主要包括手机、平板、笔记本电脑、台式机电脑、智能穿戴设备、办公设备。需要说明的是,涉及国家秘密的电子产品信息清除,需遵照国家保密相关规定执行。 「技術要求」の対象製品範囲は広く、主に携帯電話、タブレット、ノートパソコン、デスクトップパソコン、スマートウェアラブル機器、事務機器を含む。なお、国家機密に関わる電子製品の情報消去については、国家機密保護関連規定に従って実施する必要がある。
四、问:《技术要求》中提到的“信息清除”与普通的删除有什么区别?核心技术要求是什么? 四、問:『技術要求』で言及されている「情報消去」と通常の削除は何が違うのか?中核となる技術要求は何か?
答:普通的删除或恢复出厂设置往往只是将数据标记为无效,数据本身仍可能残留在存储介质中。《技术要求》所指的“信息清除”是对存储介质中的数据进行技术处理,使其不可逆且无法被访问或恢复。 答:通常の削除や工場出荷時設定への復元は、データを無効とマークするだけであり、データ自体は記憶媒体に残存する可能性がある。『技術要求』が指す「情報消去」とは、記憶媒体内のデータを技術的に処理し、不可逆かつアクセス・復元不能な状態にすることである。
《技术要求》提出了两种核心技术方法。数据覆写,将固定或随机的无含义数据写入电子产品,覆盖与用户数据有关的每个存储单元。对于磁介质,要求覆写至少3次且包含1次随机数覆写;对于半导体介质,要求至少覆写1次。块擦除,针对半导体介质,通过调用存储介质指令,对物理块执行根本性的擦除操作。 『技術要求』では二つの核心技術手法を提示している。データ上書きは、固定またはランダムな無意味データを電子製品に書き込み、ユーザーデータに関連する各記憶単位を上書きする。磁気媒体の場合、少なくとも3回の上書き(うち1回は乱数上書きを含む)を要求する。半導体媒体の場合、少なくとも1回の上書きを要求する。ブロック消去は、半導体媒体を対象に、記憶媒体指令を呼び出して物理ブロックに対して根本的な消去操作を実行する。
五、问:《技术要求》明确了电子产品厂商哪些具体义务? 五、問:『技術要求』は電子製品メーカーにどのような具体的な義務を定めているか?
答:为从源头保障用户数据安全,《技术要求》规定电子产品厂商应为用户提供内置的信息清除功能。如果无法开发内置功能,厂商必须提供外部信息清除工具,或告知可用的第三方工具信息,或者向用户提供免费的信息清除服务。在执行清除前,必须向用户明示清除范围、方法和影响,并获得用户同意。清除功能需覆盖用户产生的各类文件、通讯录、应用程序及数据、身份鉴别信息、加密密钥等。 答:ユーザーデータの安全を源流から保障するため、『技術要求』は電子製品メーカーがユーザーに内蔵の情報消去機能を提供すべきと規定している。内蔵機能の開発が不可能な場合、メーカーは外部情報消去ツールを提供するか、利用可能なサードパーティ製ツール情報を通知するか、あるいはユーザーに無料の情報消去サービスを提供しなければならない。消去実行前には、消去範囲・方法・影響をユーザーに明示し、同意を得ることが必須である。消去機能は、ユーザーが生成した各種ファイル、連絡先、アプリケーション及びデータ、本人認証情報、暗号化キーなどを対象とする必要がある。
六、问:《技术要求》对二手电子产品回收经营者提出了哪些要求? 六、問:『技術要求』は中古電子製品回収事業者に対してどのような要求を提示しているか?
答:回收经营者是二手电子产品流通过程中的关键安全节点。《技术要求》规定回收经营者必须符合以下要求。提示与授权:回收前主动提示用户进行清除,未经同意禁止访问或留存用户数据。彻底清除:必须使用符合《技术要求》的功能或工具进行清除。若产品损坏无法使用软件清除,则必须对存储介质进行物理销毁。验证与留痕:在销售前必须对清除效果进行验证,未清除用户数据的产品禁止再销售和运输出境。同时,要建立档案,对清除操作和验证结果进行记录,留存时间不少于3年。 答:回収事業者は中古電子製品流通プロセスにおける重要な安全拠点である。「技術要件」は、回収事業者が以下の要件を満たすことを規定している。通知と許可:回収前にユーザーに消去を積極的に通知し、同意なくユーザーデータへのアクセスや保存を禁止する。完全消去:「技術要件」に適合した機能やツールを用いて消去を実施する。製品が破損しソフトウェアによる消去が不可能な場合、記憶媒体を物理的に破壊しなければならない。検証と記録:販売前に消去効果を検証し、ユーザーデータが消去されていない製品の再販売や国外輸送を禁止する。同時に、記録を整備し、消去操作と検証結果を記録し、保存期間は3年以上とする。
七、问:如何确保《技术要求》的有效实施? 七、問:『技術要求』の効果的な実施をどう確保するか?
答:《技术要求》作为强制性国家标准,不仅是技术规范,也是法律法规落地的支撑。《技术要求》配套支撑《网络安全法》《数据安全法》《个人信息保护法》《消费者权益保护法》等法律法规落地。 答:『技術要求』は強制的な国家標準として、技術規範であるだけでなく、法律・法規の着実な実施を支えるものである。『技術要求』は『サイバーセキュリティ法』『データセキュリティ法』『個人情報保護法』『消費者権益保護法』などの法律・法規の実施を支える。
中央网信办将会同市场监管总局等部门,依据本标准制定实践指南,以产品目录形式推进实施,督促检查厂商和回收经营者落实情况,并指导第三方机构建设检测工具和公共服务平台,为消费者和企业提供清除效果验证和查询服务,建立行业互信。 中央インターネット情報弁公室は市場監督管理総局などの部門と連携し、本標準に基づき実践ガイドラインを策定する。製品カタログ形式で実施を推進し、メーカーや回収事業者の履行状況を監督・検査する。さらに第三者機関に対し、検査ツールと公共サービスプラットフォームの構築を指導し、消費者と企業に消去効果の検証・照会サービスを提供することで、業界内の相互信頼を構築する。
八、问:关于《技术要求》正式施行时间的考虑? 八、問:『技術要求』の正式施行時期についてどう考えているか?
答:考虑到目前市场上电子产品种类繁多、形态复杂,且二手流通体量大,相关企业对现有产品进行适配改造、建立相应的管理体系需要一定的时间周期。为确保标准平稳落地,经充分调研和试点验证,设定自《技术要求》发布之日起13个月的过渡期,于发布一年后正式实施,给予企业充足的准备时间。 答:現在市場には多種多様な電子製品が流通しており、形態も複雑であることに加え、中古流通の規模も大きい。関連企業が既存製品を適合改造し、対応する管理体系を構築するには一定の時間が必要である。標準の円滑な実施を確保するため、十分な調査とパイロット検証を経て、『技術要求』公布日から13ヶ月の移行期間を設け、公布から1年後に正式施行することとした。これにより企業に十分な準備期間を与える。

 

 


 

全国网络安全标准化技术委员会 (National Technical Committee 260 on Cybersecurity of SAC)

・2025.12.13 全文一览 | 强制性国家标准GB 46864-2025《数据安全技术 电子产品信息清除技术要求》

・[PDF] (downloaded)

20251229-172200

 

中华人民共和国国家标准 中華人民共和国国家標準
GB46864—2025 GB46864—2025
数据安全技术 电子产品信息清除技术要求 データセキュリティ技術 電子製品の情報消去に関する技術要求
Data securityt echnology—Technical requirements fori nformation sanitization of electronic products  
2025-12-02发布 2025-12-02公布
2027-01-01实施 2027-01-01 施行
国家市场监督管理总局 发布国家标准化管理委员会 国家市場監督管理総局 発表 国家標準化管理委員会
目  次 目次
前  言 前書き
引  言 はじめに
1 范围 1 適用範囲
2 规范性引用文件 2 規範的引用文書
3 术语和定义 3 用語及び定義
4 缩略语 4 略語
5 基本要求 5 基本要求
6 信息清除功能要求 6 情報消去機能要求
7 二手电子产品信息清除过程要求 7 中古電子製品情報消去プロセス要求
参 考 文 献 参考文献
前  言 前言
  本文件按照GB/T1.1—2020《标准化工作导则 第1部分:标准化文件的结构和起草规则》的规定起草。 本ファイルはGB/T1.1—2020『標準作業指針 第1部:標準文書の構造と起草規則』の規定に基づき起草された。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本ファイルの一部内容は特許に関わる可能性があることに注意せよ。本ファイルの発表機関は特許の識別責任を負わない。
本文件由中央网络安全和信息化委员会办公室提出并归口。 本ファイルは中央サイバーセキュリティ・情報化委員会事務局が提案し、管轄する。
引  言 はじめに
  当前,将数据标记为无效的数据删除方式,未彻底清除存储介质的数据。为满足用户在电子产品二手流通、送检维修、报废下线等场景深度清除数据的需求,防范数据泄露及恶意恢复。根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规,按照《推动大规模设备更新和消费品以旧换新行动方案》(国发〔2024〕7号)等政策要求制定本文件,旨在保护用户数据的基础上促进电子产品规范流通。  現在、データを無効とマークする削除方式では、記憶媒体のデータを完全に消去できていない。電子製品の中古流通、点検修理、廃棄処分などの場面で、ユーザーがデータを徹底的に消去するニーズを満たし、データ漏洩や悪意のある復元を防ぐ必要がある。『中華人民共和国サイバーセキュリティ法』『中華人民共和国データ安全法』『中華人民共和国個人情報保護法』等の法令に基づき、『大規模設備更新及び消費財の買い替え促進行動計画』(国発〔2024〕7号)等の政策要求に従い本文書を制定する。ユーザーデータ保護を前提に、電子製品の規範的な流通を促進することを目的とする。
数据安全技术 电子产品信息清除技术要求 データセキュリティ技術 電子製品情報消去技術要求
1 范围 1 適用範囲
本文件规定了电子产品信息清除的基本要求、功能要求,以及二手电子产品信息清除过程要求。 本規定は電子製品情報消去の基本要求、機能要求、及び中古電子製品情報消去プロセス要求を定める。
本文件适用于面向境内生产、销售的,具有非易失性存储介质的电子产品,也适用于电子产品厂商、第三方开发电子产品信息清除功能,以及回收经营者对二手电子产品进行信息清除。 本規定は国内で生産・販売される不揮発性記憶媒体を有する電子製品に適用される。また電子製品メーカー、第三者が開発する電子製品情報消去機能、及び回収事業者が中古電子製品に対して行う情報消去にも適用される。
本文件不适用于处理国家秘密的电子产品,涉及国家秘密的电子产品按照国家保密相关规定执行。 本規格は国家機密を扱う電子製品には適用されない。国家機密に関わる電子製品は国家機密保護関連規定に従って処理する。
2 规范性引用文件 2 規範的引用文書
本文件没有规范性引用文件。 本規格には規範的引用文書はない。
3 术语和定义 3 用語及び定義
下列术语和定义适用于本文件。 以下の用語及び定義は本規格に適用される。
3.1 存储介质 storage media 3.1 記憶媒体 storagemedia
用于保存数据的材料或装置。 データを保存するための材料または装置。
注1:按照失去电源后数据是否保留,存储介质分为易失性和非易失性。易失性存储介质在失去电源后,存储的数据会立即丢失,如内存、CPU缓存、显存等随机存取存储器(RAM);非易失性存储介质在失去电源后,仍能长期保存数据,如机械硬盘(HDD)、固态硬盘(SSD)、eMMC/UFS嵌入式存储芯片、U盘、SD/TF卡等。 注1: 電源喪失後のデータ保持の有無により、記憶媒体は揮発性と不揮発性に分類される。揮発性記憶媒体は電源喪失後、保存データが直ちに消失する。例:RAM(ランダムアクセスメモリ)、メモリ、CPUキャッシュ、ビデオメモリなど。不揮発性記憶媒体は電源喪失後もデータを長期保存できる。例:HDD(ハードディスクドライブ)、SSD(ソリッドステートドライブ)、eMMC/UFS組み込みメモリチップ、USBメモリ、SD/TFカードなど。
注2:按照存储材料和存储原理,电子产品的存储介质主要分为磁介质和半导体介质。磁介质是利用磁性材料的磁化状态记录数据的存储介质,如HDD、磁带、磁卡等;半导体介质是利用半导体材料的电学特性记录数据的存储介质,如RAM、SSD、eMMC、UFS、U盘等。 注2:記憶材料と記憶原理に基づき、電子製品の記憶媒体は主に磁気媒体と半導体媒体に分類される。磁気媒体は磁性材料の磁化状態を利用してデータを記録する記憶媒体であり、HDD、磁気テープ、磁気カードなどが該当する。半導体媒体は半導体材料の電気的特性を利用してデータを記録する記憶媒体であり、RAM、SSD、eMMC、UFS、USBメモリなどが該当する。
3.2 电子产品 electronic products 3.2 電子製品 
采用电子信息技术制造的软硬件设备及其配件。 電子情報技術を用いて製造されたハードウェア・ソフトウェア機器及びその付属品。
注:本文件的电子产品是指具有存储用户数据功能、使用非易失性存储介质的电子产品。 注: 本文書における電子製品とは、ユーザーデータの保存機能を有し、不揮発性記憶媒体を使用する電子製品を指す。
3.3用户数据 user data 3.3 ユーザーデータ 
用户使用电子产品过程中产生和写入的数据。 ユーザーが電子製品を使用する過程で生成・書き込まれたデータ。
注:用户数据不包括云端数据、电子产品使用状态和寿命数据,及操作系统、预置应用程序等产品出厂设置数据。 注:ユーザーデータには、クラウドデータ、電子製品の使用状態や寿命データ、オペレーティングシステムやプリインストールアプリケーションなどの製品出荷時設定データは含まれない。
3.4 信息清除 information sanitization 3.4 情報消去
对电子产品中存储的数据进行技术处理,使其无法被访问或恢复。 電子製品に保存されたデータに対して技術的処理を行い、アクセスや復元を不可能にする行為。
注1:本文件的信息清除是指对存储介质中的数据进行不可逆清除。 注1:本ファイルにおける情報消去とは、記憶媒体内のデータを不可逆的に消去することを指す。
注2:信息清除后能防止利用技术手段访问或恢复数据。 注2:情報消去後は技術的手段によるデータへのアクセスや復元を防止できる。
3.5 数据覆写 data overwrite 3.5 データ上書き 
将固定或随机的无含义数据写入电子产品,覆盖与用户数据有关的每个存储单元,以实现信息清除。 電子製品に固定またはランダムな無意味なデータを書き込み、ユーザーデータに関連する各記憶単位を上書きすることで情報消去を実現する。
3.6 块擦除 block erase 3.6 ブロック消去 
通过调用存储介质的指令,对介质的物理块执行擦除操作,擦除物理块内的所有数据。 記憶媒体の指令を呼び出し、媒体の物理ブロックに対して消去操作を実行し、物理ブロック内の全データを消去する。
注1:块擦除通常适用于支持硬件擦除指令的半导体介质类电子产品,调用指令后通常采用电荷释放等方式实现, 其最小擦除单元以物理块计数。 注1: ブロック消去は通常、ハードウェア消去命令をサポートする半導体媒体類の電子製品に適用される。命令呼び出し後は通常、電荷解放などの方法で実現され、最小消去単位は物理ブロック単位でカウントされる。
注2:仅清除逻辑地址和物理地址的映射关系或标记数据无效、不擦除物理块中用户数据的,不属于块擦除。 注2: 論理アドレスと物理アドレスのマッピング関係を消去するだけ、またはデータを無効とマークするだけで物理ブロック内のユーザーデータを消去しない場合は、ブロック消去には該当しない。
3.7 销毁 destroy 3.7 破壊 
使用物理或化学方式,破坏电子产品存储介质的可用性,以实现信息清除。 物理的または化学的方法を用いて、電子製品の記憶媒体の使用可能性を損ない、情報消去を実現する。
3.8 二手电子产品 used electronic products 3.8 中古電子製品 
已被用户使用过,仍保持全部或者部分使用价值的电子产品。 ユーザーによって使用されたが、全部または一部の使用価値を保持している電子製品。
3.9 回收 recycle 3.9 リサイクル 
出于循环利用目的,将二手电子产品进行收购、运输、贮存、检测等活动。 循環利用を目的として、中古電子製品の買取、輸送、保管、検査などの活動を行うこと。
注1:回收通常是二手电子产品流通的初始活动,通过回收二手电子产品再进行交易、翻新维修再销售、废弃资源再利用等。收购包括有偿或无偿。 注1: リサイクルは通常、中古電子製品流通の初期活動であり、中古電子製品を回収後、取引・再生修理再販売・廃棄資源再利用などを行う。買取には有償・無償が含まれる。
注2:二手电子产品流通有多种情形,包括但不限于:通过线下回收门店、线上交易平台、二手交易市场、上门服务等方式进行回收、交易(含外贸);对二手电子产品进行翻新维修再销售;对废弃电子产品进行处理和资源再利用;对二手电子产品进行竞拍、拆零出售等新型业态等。 注2:中古電子製品の流通形態は多岐にわたり、以下を含むがこれらに限定されない:実店舗での回収、オンライン取引プラットフォーム、中古市場、出張サービス等による回収・取引(輸出を含む);中古電子製品の再生修理・再販売;廃棄電子製品の処理と資源再利用;中古電子製品のオークション、部品単体販売等の新たな業態等。
3.10 回收经营者 operator of electronic product recycle 3.10 電子製品回収事業者 
从事二手电子产品回收、销售活动的企业和个体工商户。 中古電子製品の回収・販売活動に従事する企業及び個人事業主を指す。
注:仅提供交易渠道的不属于回收经营者。 注:取引チャネルのみを提供する者は回収事業者には該当しない。
4 缩略语 4 略語
下列缩略语适用于本文件。 本文書において以下の略語を使用する。
PCU:中央处理器(Central Process ingUnit) PCU:中央処理装置
eMMC:内嵌式存储器(Embedded Multi-Media Card) eMMC:組み込み型マルチメディアカード
HDD:机械硬盘(Hard Disk Drive) HDD:ハードディスクドライブ
RAM:随机存取存储器(Random Access Memory) RAM:ランダムアクセスメモリ
DS:安全数字(Secure Digital) DS: セキュアデジタル
SSD:固态硬盘(Solid State Drive) SSD: ソリッドステートドライブ
FT:微型闪存(Trans Flash) FT: トランスフラッシュ
UFS:通用闪存存储(Universal Flash Storage) UFS: ユニバーサルフラッシュストレージ
5 基本要求 5 基本要件
信息清除应符合以下要求。 情報消去は以下の要件を満たすこと。
a) 清除电子产品存储的所有用户数据,清除范围包括但不限于: a) 電子製品に保存された全てのユーザーデータを消去すること。消去範囲は以下を含むがこれらに限定されない:
1) 用户产生或下载的文本、图片、音频、视频等各类文件; 1) ユーザーが生成またはダウンロードしたテキスト、画像、音声、動画等の各種ファイル;
2) 用户的通讯录、通话记录、短信、彩信、日历、备忘录、位置、行为记录等数据; 2) ユーザーの連絡先、通話履歴、SMS、MMS、カレンダー、メモ、位置情報、行動記録などのデータ
3) 用户安装的应用程序; 3) ユーザーがインストールしたアプリケーション
4) 用户安装和产品预装应用程序产生的应用数据、跨应用共享数据; 4) ユーザーがインストールしたアプリケーション及び製品プリインストールアプリケーションが生成したアプリケーションデータ、アプリケーション間共有データ
5) 用户身份相关安全数据,如账号、口令、生物识别信息、应用证书等; 5) ユーザーIDに関連するセキュリティデータ(アカウント、パスワード、生体認証情報、アプリケーション証明書など)
6) 用户绑定的智能卡等外部设备信息,如银行卡、交通卡、门禁卡等的信息; 6) ユーザーが紐付けたスマートカード等の外部機器情報(銀行カード、交通カード、入退室カード等);
7) 用户对系统设置的信息,如网络设置、权限设置、蓝牙设置、桌面和个性化设置等; 7) ユーザーが設定したシステム情報(ネットワーク設定、権限設定、Bluetooth設定、デスクトップ及びカスタマイズ設定等);
8) 电子产品中备份的用户数据; 8) 電子機器内にバックアップされたユーザーデータ;
9) 用户使用电子产品产生的缓存数据。 9) 電子製品使用時に生成されるキャッシュデータ。
b) 加密存储用户数据的电子产品,清除或破坏用户数据的加密密钥及所有密钥副本。 b) ユーザーデータを暗号化保存する電子製品において、ユーザーデータの暗号化キー及び全てのキー複製を消去または破壊する。
c) 退出电子产品所有预装应用程序用户账号,执行信息清除后禁止自动登录账号、自动同步云端用户数据、使用原口令激活。 c) 電子製品にプリインストールされた全アプリケーションのユーザーアカウントからログアウトし、情報消去実行後は自動ログイン、クラウドユーザーデータの自動同期、旧パスワードによるアクティベーションを禁止する。
注1:提示用户主动退出账号,或在信息清除功能执行时强制退出。 注1: ユーザーにアカウントの自主ログアウトを促すか、情報消去機能実行時に強制ログアウトさせる。
注2:通过解除电子产品与用户账号绑定关系、关闭云同步、关闭设备查找功能等方法实施。原口令一般指电子产品信息清除前的开机口令。 注2: 電子製品とユーザーアカウントの紐付け解除、クラウド同期の停止、デバイス検索機能の無効化等により実施する。元のパスワードとは通常、電子製品のデータ消去前の起動パスワードを指す。
d) 磁介质类电子产品采用数据覆写方法清除数据,半导体介质类电子产品采用数据覆写或块擦除方法清除数据。 d) 磁気媒体類の電子製品はデータ上書き方式でデータを消去し、半導体媒体類の電子製品はデータ上書きまたはブロック消去方式でデータを消去する。
e) 数据覆写应符合以下要求: e) データ上書きは以下の要件を満たすこと:
1) 磁介质类电子产品,覆写所有存储用户数据的物理地址至少3次,且包含1次随机数覆写; 1) 磁気媒体類電子製品は、ユーザーデータを保存する全ての物理アドレスを少なくとも3回上書きし、そのうち1回は乱数による上書きを含むこと。
2)  半导体存储介质类电子产品,删除用户数据逻辑地址和物理地址的映射关系,并至少覆写1次。 2) 半導体記憶媒体類電子製品は、ユーザーデータの論理アドレスと物理アドレスの対応関係を削除し、少なくとも1回上書きすること。
f) 采用块擦除清除数据的,应删除用户数据逻辑地址和物理地址的映射关系,并擦除存储介质所有用户数据。 f) ブロック消去でデータを消去する場合、ユーザーデータの論理アドレスと物理アドレスの対応関係を削除し、記憶媒体上の全てのユーザーデータを消去すること。
g) 本章a)项中5)、本章a)项中6)用户数据如无法通过数据覆写和块擦除清除,可通过删除用户数据逻辑地址和物理地址映射关系的方式清除。 g) 本章a)項の5)、本章a)項の6)に該当するユーザーデータは、データ上書きやブロック消去で消去できない場合、ユーザーデータの論理アドレスと物理アドレスのマッピング関係を削除することで消去できる。
h) 电子产品仅存储本章a)项中7)用户数据的,可通过删除用户数据逻辑地址和物理地址映射关系的方式清除。 h) 本章a)項の7)に該当するユーザーデータのみを保存する電子製品は、ユーザーデータの論理アドレスと物理アドレスのマッピング関係を削除することで消去できる。
6 信息清除功能要求 6 情報消去機能の要求
电子产品信息清除功能由内置信息清除功能或外部信息清除工具实现,应符合以下要求。 電子製品の消去機能は、内蔵消去機能または外部消去ツールによって実現され、以下の要求を満たすこと。
a) 电子产品为用户提供内置信息清除功能。无法开发内置功能的,电子产品厂商提供外部信息清除工具或可用的第三方信息清除工具信息,或向用户提供免费信息清除服务。 a) 電子製品は内蔵消去機能をユーザーに提供する。内蔵機能の開発が不可能な場合、電子製品メーカーは外部消去ツールまたは利用可能なサードパーティ製消去ツールの情報、もしくは無料の消去サービスをユーザーに提供すること。
b)  信息清除功能或工具符合第5章要求。 b) 消去機能またはツールは第5章の要求を満たすこと。
c) 信息清除功能执行前,向用户明示信息清除的范围、信息清除的方法、信息清除的影响,用户同意后进行清除。 c) 情報消去機能の実行前に、ユーザーに対し消去範囲・方法・影響を明示し、同意を得てから消去を行う。
注:明示方式包括但不限于:在信息清除功能相关页面显示,或在产品手册中明确注明等。 注:明示方法には、情報消去機能関連ページへの表示や製品マニュアルへの明記などが含まれるが、これらに限定されない。
d) 信息清除功能执行时,对信息清除执行条件进行验证,条件不满足时向用户告知原因。 d) 情報消去機能実行時、消去条件を満たしているか検証し、条件不備の場合は理由をユーザーに通知する。
e) 如信息清除失败,重新执行信息清除功能或向用户提供其他信息清除方法。 e) 情報消去が失敗した場合、情報消去機能を再実行するか、ユーザーに他の情報消去方法を提供する。
f) 具有管理端应用程序的电子产品,提示用户主动解除管理端账号与电子产品的绑定关系,或自动解除。 f) 管理端末アプリケーションを備えた電子製品については、ユーザーに管理端末アカウントと電子製品の紐付け解除を促すか、自動的に解除する。
7 二手电子产品信息清除过程要求 7 中古電子製品の情報消去プロセス要件
回收经营者对二手电子产品进行信息清除,应符合以下要求: 回収事業者が中古電子製品の情報消去を行う場合、以下の要件を満たすこと:
a) 回收前主动提示用户进行信息清除; a) 回収前にユーザーに情報消去を促す。
b) 未经用户同意,禁止访问或留存用户数据; b) ユーザーの同意なしに、ユーザーデータへのアクセスや保存を禁止する。
c) 使用符合第6章要求的信息清除功能或工具对用户数据进行清除; c) 第6章の要件を満たす情報消去機能またはツールを使用してユーザーデータを消去する。
d) 因电子产品损坏等原因,无法使用第6章信息清除功能或工具完成清除的,对存储介质进行物理销毁; d) 電子製品の損傷などの理由で第6章の情報消去機能またはツールによる消去が不可能な場合、記憶媒体を物理的に破壊する。
e) 对信息清除操作进行记录,内容包括但不限于:产品信息、清除方法、操作时间、清除结果等; e) 情報消去操作を記録する。内容には製品情報、消去方法、操作時間、消去結果などが含まれるが、これらに限定されない。
f) 二手电子产品在销售前对信息清除效果进行验证;  f) 中古電子製品は販売前に情報消去効果を検証する。
g) 对二手电子产品的信息清除操作和效果验证结果进行记录,留存不少于3年; g) 中古電子製品の情報消去操作と効果検証結果を記録し、3年以上保存する。
h)  未清除用户数据的电子产品,禁止再销售和运输出境;  h) ユーザーデータが消去されていない電子製品は、再販売及び国外輸送を禁止する。
i) 建立信息清除管理和技术措施,明确信息清除工作负责人,制定相应管理制度和操作规程,并为查询和追溯二手电子产品清除状态提供技术支持。 i) 情報消去管理及び技術的措置を確立し、情報消去作業の責任者を明確にし、対応する管理制度と操作手順を策定し、中古電子製品の消去状態の照会と追跡に技術的支援を提供すること。
参 考 文 献    参考文献
[1] GB/T35273—2020 信息安全技术 个人信息安全规范 [1] GB/T35273—2020 情報セキュリティ技術 個人情報セキュリティ規範
{2} GB/T43697—2024 数据安全技术 数据分类分级规则 {2} GB/T43697—2024 データセキュリティ技術 データ分類・格付け規則
[3] GB/T45070—2024 废弃电器电子产品回收规范 [3] GB/T45070—2024 廃棄電気電子製品回収規範
[4] GB/T45656—2025 二手电子产品可用程度分级规范 [4] GB/T45656—2025 中古電子製品使用可能度等級規範
[5] ISO/IEC27040:2024 Informationtechnology—Securitytechniques—Storagesecurity [5] ISO/IEC27040:2024 情報技術-セキュリティ技術-ストレージセキュリティ
[6] IEEE2883—2022 IEEEStandardforSanitizingStorage [6] IEEE2883—2022 ストレージ消去に関するIEEE標準
[7] NISTSP800-88Rev.2 GuidelinesforMediaSanitization [7] NISTSP800-88Rev.2 メディア消去ガイドライン
[8] 中华人民共和国消费者权益保护法(2013年10月25日第十二届全国人民代表大会常务委员会第五次会议《关于修改<中华人民共和国消费者权益保护法>的决定》第二次修正) [8] 中華人民共和国消費者権益保護法(2013年10月25日 第12期全国人民代表大会常務委員会第5回会議「中華人民共和国消費者権益保護法改正に関する決定」による第2次改正)
[9] 中华人民共和国电子商务法(2018年8月31日第十三届全国人民代表大会常务委员会第五次会议通过) [9] 中華人民共和国電子商取引法(2018年8月31日 第13期全国人民代表大会常務委員会第5回会議で可決)
[10]中华人民共和国数据安全法(2021年6月10日第十三届全国人民代表大会常务委员会第二十九次会议通过) [10] 中華人民共和国データ安全法(2021年6月10日 第13期全国人民代表大会常務委員会第29回会議で可決)
[11] 中华人民共和国个人信息保护法(2021年8月20日第十三届全国人民代表大会常务委员会第三十次会议通过) [11] 中華人民共和国個人情報保護法(2021年8月20日 第十三期全国人民代表大会常務委員会第三十回会議で可決)
[12] 中华人民共和国网络安全法(2025年10月28日第十四届全国人民代表大会常务委员会第十八次会议表决通过《关于修改<中华人民共和国网络安全法>的决定》) [12] 中華人民共和国サイバーセキュリティ法(2025年10月28日 第十四期全国人民代表大会常務委員会第十八回会議で『中華人民共和国サイバーセキュリティ法改正に関する決定』を採択)
[13] 废弃电器电子产品回收处理管理条例(2009年2月25日中华人民共和国国务院令第551号公布,根据2019年3月2日《国务院关于修改部分行政法规的决定》修订) [13] 廃電気電子製品回収処理管理条例(2009年2月25日 中華人民共和国国務院令第551号公布、2019年3月2日「国務院による一部行政法規の改正に関する決定」に基づき改正)
[14] 旧电器电子产品流通管理办法(2013年3月15日商务部令第1号公布) [14] 廃電気電子製品流通管理弁法(2013年3月15日商務部令第1号公布)
[15] 国务院关于印发《推动大规模设备更新和消费品以旧换新行动方案》的通知(国发〔2024〕7号) [15] 国務院による「大規模設備更新及び消費財の買い替え促進行動方案」の公布に関する通知(国発〔2024〕7号)

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

SP800-88

・2025.10.03 米国 NIST SP 1334 OT環境における可搬保管媒体のサイバーセキュリティリスク低減 (2025.09.30)

・2025.10.01 米国 NIST SP 800-88 Rev. 2 媒体サニタイズ・ガイドライン (2025.09.26)

・2025.07.25 米国 NIST SP 800-88 Rev. 2 (初期公開ドラフト) 媒体のサニタイズに関するガイドライン (2025.07.21)

・2025.07.24 米国 NIST SP 1334( 初期公開ドラフト) OT 環境における可搬保管媒体のサイバーセキュリティリスクの軽減 (2025.07.15)

 

 

| | Comments (0)

中国 国家サイバースペース管理局 パブコメ ネットワークデータセキュリティリスク評価弁法案 (2025.12.06)

こんにちは、丸山満彦です。

データセキュリティ法、ネットワークデータセキュリティ管理条例等に基づき、ネットワークデータセキュリティリスク評価を規範化...

気になった点

重要データ処理者は、毎年1回のリスク評価が義務化、一般データ処理者は3年に1回のリスク評価が推奨されていますね...

第三者機関: 認定を受けた機関を優先的に選択すべきとされ、同一機関が同一の処理者に対して3回連続を超えて評価を行うことは禁止

重要データ処理者は、評価完了後10営業日以内に管轄当局等へ評価報告書を提出

・報告書は少なくとも3年間保存

・評価報告書の真実性や正確性を抜き取り検査

ですかね...

 

国家互联网信息办公室(国家サイバースペース管理局)

・2025.12.06 国家互联网信息办公室关于《网络数据安全风险评估办法(征求意见稿)》公开征求意见的通知

国家互网信息公室关于《网数据安全风险评法(征求意稿)》公开征求意的通知 国家サイバースペース管理局による「ネットワークデータセキュリティリスク評価弁法(意見募集稿)」の公開意見募集に関する通知
为规范网络数据安全风险评估活动,保障网络数据安全,促进网络数据依法合理有效利用,根据《中华人民共和国数据安全法》《网络数据安全管理条例》等法律法规,国家互联网信息办公室起草了《网络数据安全风险评估办法(征求意见稿)》,现向社会公开征求意见。公众可以通过以下途径和方式提出反馈意见: ネットワークデータセキュリティリスク評価活動を規範化し、ネットワークデータセキュリティを保障し、ネットワークデータの法的かつ合理的かつ効果的な利用を促進するため、「中華人民共和国データセキュリティ法」「ネットワークデータセキュリティ管理条例」等の法律法規に基づき、国家サイバースペース管理局は「ネットワークデータセキュリティリスク評価弁法(意見募集稿)」を起草した。ここに社会に向けて公開意見募集を行う。一般市民は以下の方法により意見を提出できる:
... ...
附件:网络数据安全风险评估办法(征求意见稿) 添付資料:ネットワークデータセキュリティリスク評価弁法(意見募集稿)
国家互联网信息办公室 国家サイバースペース管理局
2025年12月6日 2025年12月6日
数据安全风险评 ネットワークデータセキュリティリスク評価弁法
(征求意见稿) (意見募集稿)
第一条 为了规范网络数据安全风险评估活动,保障网络数据安全,促进网络数据依法合理有效利用,根据《中华人民共和国数据安全法》、《中华人民共和国网络安全法》、《网络数据安全管理条例》等法律法规,制定本办法。 第一条 ネットワークデータセキュリティリスク評価活動を規範化し、ネットワークデータの安全性を保障し、ネットワークデータの法的・合理的・効果的な利用を促進するため、「中華人民共和国データ安全法」、「中華人民共和国サイバーセキュリティ法」、「ネットワークデータ安全管理条例」等の法律・法規に基づき、本弁法を制定する。
第二条 在中华人民共和国境内开展网络数据安全风险评估,应当遵守本办法。法律、行政法规、部门规章另有规定的,依照其规定。 第二条 中華人民共和国国内においてネットワークデータセキュリティリスク評価を実施する場合は、本弁法に従わなければならない。法律、行政法規、部門規則に別段の定めがある場合は、その規定に従う。
本办法所称网络数据安全风险评估(以下简称风险评估),是指对网络数据和网络数据处理活动安全进行的风险识别、风险分析和风险评价等活动。 本弁法において「ネットワークデータセキュリティリスク評価」(以下「リスク評価」という)とは、ネットワークデータ及びネットワークデータ処理活動の安全性に対するリスク特定、リスク分析、リスク評価等の活動を指す。
第三条 国家网信部门在国家数据安全工作协调机制指导下,统筹各地区、各部门开展风险评估,加强工作协调、信息共享。 第三条 国家インターネット情報弁公室は、国家データセキュリティ業務調整メカニズムの指導の下、各地域・各部門によるリスク評価の実施を統括し、業務調整及び情報共有を強化する。
第四条 各有关主管部门应当按照“谁管业务、谁管业务数据、谁管数据安全”的原则,定期组织开展本行业、本领域风险评估,可以根据工作需要对本行业、本领域的重要数据处理者开展风险评估情况进行检查,并于每年1月底前向国家网信部门报送年度风险评估及检查计划。 第四条 各関係主管部門は、「業務を管理する者が業務データを管理し、データセキュリティを管理する」という原則に基づき、定期的に自業界・自分野のリスク評価を実施する。業務の必要性に応じて、自業界・自分野の重要なデータ処理者に対するリスク評価の実施状況を検査することができ、毎年1月末までに国家ネット情報部門に年度リスク評価及び検査計画を提出する。
省级网信部门统筹省级有关部门制定本行政区域年度风险评估及检查计划,按照前款要求报送国家网信部门。 省級ネット情報部門は、省級関係部門を統括し、当該行政区域の年度リスク評価及び検査計画を策定し、前項の要求に基づき国家ネット情報部門に提出する。
第五条 国家网信部门在国家数据安全工作协调机制指导下,统筹有关主管部门和省级网信部门报送的年度风险评估及检查计划,避免重复评估、重复检查。 第五条 国家ネット情報部門は、国家データセキュリティ業務調整メカニズムの指導のもと、関係主管部門及び省級ネット情報部門から提出された年度リスク評価及び検査計画を統括し、重複評価・重複検査を避ける。
各有关部门开展检查不得向被检查的网络数据处理者收取费用。 各関係部門が検査を実施する場合、検査対象のネットワークデータ処理者から費用を徴収してはならない。
第六条 处理重要数据的网络数据处理者(以下简称重要数据处理者)应当每年度对其网络数据处理活动开展风险评估。重要数据安全状态发生重大变化可能对数据安全造成不利影响的,应及时对发生变化及其影响的部分开展风险评估。 第六条 重要データを処理するネットワークデータ処理者(以下「重要データ処理者」という)は、毎年自らのネットワークデータ処理活動についてリスク評価を実施しなければならない。重要データの安全状態に重大な変化が生じ、データ安全に悪影響を及ぼす可能性がある場合は、変化及びその影響が生じた部分について速やかにリスク評価を実施しなければならない。
鼓励处理一般数据的网络数据处理者(以下简称一般数据处理者)至少每3年开展一次风险评估。 一般データを処理するネットワークデータ処理者(以下「一般データ処理者」という)は、少なくとも3年に1回リスク評価を実施することが推奨される。
第七条 风险评估工作应当按照《网络数据安全管理条例》有关要求和《数据安全技术 数据安全风险评估方法》(GB/T 45577)等有关国家标准开展。有关主管部门对本行业、本领域风险评估工作另有规定的,从其规定。 第七条 リスク評価作業は、「ネットワークデータ安全管理条例」の関連要求及び「データ安全技術 データ安全リスク評価方法」(GB/T 45577)等の関連国家標準に基づき実施するものとする。関係主管部門が当該業界・分野におけるリスク評価作業について別途規定がある場合は、その規定に従う。
第八条 网络数据处理者可以自行或者委托第三方评估机构(以下简称评估机构)开展风险评估。 第八条 ネットワークデータ処理者は、自らまたは第三者評価機関(以下「評価機関」という)に委託してリスク評価を実施することができる。
网络数据处理者自行开展风险评估,应当指定专人负责。网络数据处理者委托评估机构开展风险评估,应当优先选择通过认证的评估机构,并通过订立合同或者其他具有法律效力的文件等方式明确双方的权利、责任和保密义务等。 ネットワークデータ処理者が自らリスク評価を実施する場合、専任の責任者を指定しなければならない。評価機関に委託する場合、認証を取得した評価機関を優先的に選択し、契約その他の法的効力を有する文書により双方の権利・責任・守秘義務等を明確にしなければならない。
第九条 经国务院认证认可监督管理部门依法批准的具有数据安全服务认证资质的认证机构,可按照《数据安全技术 数据安全评估机构能力要求》(GB/T 45389)等有关国家标准、行业标准对评估机构开展认证。 第九条 国務院認証認可監督管理部門の法定承認を得たデータセキュリティサービス認証資格を有する認証機関は、「データセキュリティ技術 データセキュリティ評価機関能力要求」(GB/T 45389)等の関連国家標準・業界標準に基づき、評価機関の認証を実施することができる。
第十条 评估机构开展风险评估应当遵守法律法规,公正客观地作出风险判断,并对所出具的风险评估报告真实性、有效性、完整性负责,不得再委托其他机构开展风险评估。 第十条 評価機関はリスク評価を実施する際、法令を遵守し、公正かつ客観的にリスク判断を行い、作成したリスク評価報告書の真実性、有効性、完全性について責任を負わなければならない。他の機関にリスク評価を再委託してはならない。
第十一条 同一评估机构及其关联机构不得连续3次以上对同一网络数据处理者开展风险评估。 第十一条 同一の評価機関及びその関連機関は、同一のネットワークデータ処理者に対して連続して3回以上リスク評価を実施してはならない。
第十二条 评估机构在风险评估过程中发现网络数据处理活动存在重大数据安全风险的,应当及时通报网络数据处理者,并按照有关规定向省级以上网信部门、有关主管部门报告。 第十二条 評価機関はリスク評価過程において、ネットワークデータ処理活動に重大なデータセキュリティリスクが存在することを発見した場合、速やかにネットワークデータ処理者に通報するとともに、関連規定に基づき省級以上のネット情報部門及び関係主管部門に報告しなければならない。
评估机构及其工作人员应当对在风险评估过程中获得的数据、商业秘密、保密商务信息等依法予以保密,不得泄露或者非法向他人提供,在风险评估工作结束后及时删除相关信息。 評価機関及びその職員は、リスク評価過程で取得したデータ、営業秘密、機密ビジネス情報等について、法令に基づき秘密保持義務を負い、漏洩または不法に第三者に提供してはならず、リスク評価業務終了後は速やかに関連情報を削除しなければならない。
第十三条 重要数据处理者开展年度风险评估应当按照本办法附件模板编制评估报告,一般数据处理者可以参照本办法附件模板编制评估报告。有关主管部门对风险评估报告模板另有规定的,从其规定。 第十三条 重要データ処理者は年次リスク評価を実施する際、本弁法の付属書テンプレートに基づき評価報告書を作成しなければならない。一般データ処理者は本弁法の付属書テンプレートを参考に評価報告書を作成することができる。関係主管部門がリスク評価報告書のテンプレートについて別途規定がある場合は、その規定に従う。
风险评估报告至少保存3年。 リスク評価報告書は少なくとも3年間保存しなければならない。
第十四条 重要数据处理者应当在年度风险评估完成后的10个工作日内按照有关主管部门要求报送评估报告。主管部门不明确的,向省级网信部门或者国家网信部门报送。 第十四条 重要データ処理者は、年次リスク評価完了後10営業日以内に、関係主管部門の要求に基づき評価報告書を提出しなければならない。主管部門が明らかでない場合は、省級ネット情報部門または国家ネット情報部門に提出する。
有关主管部门应当公开评估报告报送渠道和联系方式,及时接收重要数据处理者报送的评估报告,自收到评估报告之日起的10个工作日内将报告通报同级网信部门。国家网信部门汇总相关报告并报送国家数据安全工作协调机制。 関係主管部門は、評価報告書の提出経路及び連絡先を公表し、重要データ処理者から提出された評価報告書を速やかに受理しなければならない。評価報告書を受領した日から10営業日以内に、同レベルのネット情報部門に報告書を通達する。国家ネット情報部門は関連報告書をまとめ、国家データ安全作業調整メカニズムに提出する。
省级以上网信部门和有关部门可对网络数据处理者的评估报告真实性、准确性进行抽查核验,网络数据处理者应当配合开展抽查核验。 省級以上のネット情報部門及び関係部門は、ネットワークデータ処理者の評価報告書の真実性・正確性について抜き打ち検査を実施できる。ネットワークデータ処理者は検査に協力しなければならない。
第十五条 省级以上网信部门和有关部门在风险评估报告核验、监督检查等工作中发现网络数据处理者有以下情形之一的,应当要求其委托通过认证的评估机构开展风险评估: 第十五条 省級以上のネット情報部門及び関係部門は、リスク評価報告書の検証・監督検査等の過程で、ネットワークデータ処理者に以下のいずれかの状況が認められた場合、認証を受けた評価機関にリスク評価を委託するよう要求しなければならない:
(一)网络数据处理活动存在较大安全风险的; (一)ネットワークデータ処理活動に重大なセキュリティリスクが存在するとき
(二)发生网络数据安全事件,导致重要数据或者大规模个人信息泄露、被窃取的; (二)ネットワークデータセキュリティインシデントが発生し、重要なデータまたは大規模な個人情報が漏洩・窃取された場合
(三)网络数据处理活动可能危害国家安全、公共利益的; (三)ネットワークデータ処理活動が国家安全保障または公共の利益を害するおそれがある場合
(四)国家网信部门或者有关部门规定的其他情形。 (四)国家インターネット情報部門または関係部門が定めるその他の場合
对同一网络数据安全事件或者风险,不得重复要求网络数据处理者委托评估机构开展风险评估。 同一のネットワークデータセキュリティインシデントまたはリスクについて、ネットワークデータ処理者に評価機関へのリスク評価委託を重複して要求してはならない。
第十六条 网络数据处理者按照有关部门要求委托评估机构开展风险评估的,应当履行下列义务: 第十六条 ネットワークデータ処理者が関係部門の要求に基づき評価機関にリスク評価を委託する場合、以下の義務を履行しなければならない:
(一)为评估机构开展风险评估工作提供必要支持,包括为风险评估人员提供访问网络数据设施、网络数据、系统及操作日志记录权限等; (一)評価機関がリスク評価を実施するために必要な支援を提供すること。これにはリスク評価担当者に対するネットワークデータ施設、ネットワークデータ、システム及び操作ログ記録へのアクセス権限の提供等を含む。
(二)在限定时间内完成风险评估,承担评估费用,情况复杂的,报有关部门批准后可以适当延长; (二)所定の期間内にリスク評価を完了し、評価費用を負担すること。状況が複雑な場合は、関係部門の承認を得て適宜延長することができる。
(三)在完成风险评估后将评估机构出具的评估报告报送有关部门,评估报告应当由评估机构主要负责人、风险评估负责人签字并加盖机构公章; (三)リスク評価完了後、評価機関が作成した評価報告書を関係部門に提出すること。評価報告書には評価機関の責任者とリスク評価責任者の署名及び機関の公印を押印すること。
(四)按照有关部门要求对风险评估中发现的问题进行整改,在整改完成后15个工作日内,向有关部门报送整改情况报告。 (四)関係部門の要求に基づき、リスク評価で発見された問題点を是正し、是正完了後15営業日以内に是正状況報告書を関係部門に提出すること。
网络数据处理者不得以任何方式要求或者示意评估机构出具不实或者不当的评估报告。 ネットワークデータ処理者は、いかなる方法でも評価機関に対し虚偽または不適切な評価報告書の作成を要求または示唆してはならない。
第十七条 有关部门在组织风险评估工作中发现存在可能危害国家安全、公共利益的网络数据处理活动,应当责令网络数据处理者进行整改;对整改不到位、拒不整改的网络数据处理者,可以采取要求其停止处理重要数据等措施。 第十七条 関係部門はリスク評価業務の実施において、国家安全や公共の利益を害するおそれのあるネットワークデータ処理活動を発見した場合、当該ネットワークデータ処理者に対し是正を命じなければならない。是正が不十分であるか、是正を拒否するネットワークデータ処理者に対しては、重要データの処理停止を要求するなどの措置を講じることができる。
第十八条 各地区、各部门应当加强风险信息共享和协同处置,及时处置风险评估工作中发现的安全风险和问题,并按照有关规定及时报告。 第十八条 各地域・各部門はリスク情報の共有と協調的対応を強化し、リスク評価業務で発見された安全リスクや問題を速やかに処理するとともに、関連規定に基づき適時に報告しなければならない。
省级网信部门统筹协调本行政区域内风险信息共享和协同处置工作,于每年3月底前向国家网信部门报送上一年度风险信息处置情况,国家网信部门汇总相关情况报送国家数据安全工作协调机制。 省級ネット情報部門は、管轄区域内のリスク情報共有及び連携対応業務を統括調整し、毎年3月末までに前年度のリスク情報対応状況を国家ネット情報部門に報告する。国家ネット情報部門は関連状況を集約し、国家データ安全業務調整メカニズムに報告する。
第十九条 任何组织、个人有权对风险评估中的违法违规活动向有关部门进行投诉、举报,收到投诉、举报的部门应当依法及时处理。 第十九条 いかなる組織・個人も、リスク評価における法令違反行為について関係部門に苦情申立て・通報する権利を有する。苦情・通報を受けた部門は、法に基づき速やかに処理しなければならない。
第二十条 省级以上网信部门和有关部门发现网络数据处理者未按规定开展风险评估的,应当依据《中华人民共和国数据安全法》等法律法规予以处置处罚。 第二十条 省級以上のネット情報部門及び関係部門は、ネットワークデータ処理者が規定に基づきリスク評価を実施していないことを発見した場合、『中華人民共和国データ安全法』等の法律・法規に基づき処分・処罰を行う。
发现评估机构违反本办法开展风险评估的,省级以上网信部门和有关部门应当责令其进行整改;情节严重的,可以限制或者禁止其开展风险评估活动,追究相关人员责任,并予公布;构成犯罪的,依法追究刑事责任。 評価機関が本弁法に違反してリスク評価を実施していることを発見した場合、省級以上のネット情報部門及び関係部門は当該機関に対し是正を命じる。情状が深刻な場合、リスク評価活動の制限または禁止、関係者の責任追及及び公表を行うことができる。犯罪を構成する場合は、法に基づき刑事責任を追及する。
第二十一条 风险评估、网络安全等级保护测评、数据安全管理认证、个人信息保护合规审计、商用密码应用安全性评估等内容重合的,相关结果可以互相采信,避免重复评估、审计、认证。 第二十一条 リスク評価、サイバーセキュリティ等級保護評価、データセキュリティ管理認証、個人情報保護コンプライアンス監査、商用暗号応用安全性評価等の内容が重複する場合、関連結果は相互に採用することができ、重複した評価、監査、認証を避けることができる。
第二十二条 重要数据处理者提供、委托处理、共同处理重要数据前进行风险评估,可以参照本办法有关规定执行。 第二十二条 重要データ処理者が重要データを提供、委託処理、共同処理する前にリスク評価を行う場合、本弁法の関連規定を参照して実施することができる。
第二十三条 核心数据处理者的风险评估,按照国家有关规定执行。 第二十三条 中核データ処理者のリスク評価は、国家の関連規定に従って実施する。
第二十四条 开展涉及国家秘密、工作秘密的风险评估活动,按照《中华人民共和国保守国家秘密法》等法律、行政法规及国家保密规定执行。 第二十四条 国家機密・業務秘密に関わるリスク評価活動は、「中華人民共和国国家機密保護法」等の法律・行政法規及び国家機密保護規定に従って実施する。
第二十五条 本办法自 年 月 日起生效。 第二十五条 本弁法は 年 月 日より施行する。

 

1_20210612030101

 

 

 

 

 

| | Comments (0)

米国 NIST CSWP 39 暗号アジリティを実現するための考慮事項:戦略と実践 (2025.12.19)

こんにちは、丸山満彦です。

NISTが、暗号アジリティのための考慮事項をまとめた白書を公表しています。このブログでも過去に取り上げていますが、3月に初期ドラフト、7月に2次ドラフトが公開されたものです...

NISTは、2031年までに最低128ビットのセキュリティ強度への移行が必要であると予測した(SP 800-57 Part1: 2020.05.04)うえで、現行公開鍵方式が提供する112ビット強度から耐量子暗号への直接移行を促進するため現行の公開鍵アルゴリズムにおける112ビットのセキュリティ強度を2031年に禁止すると表明(IR 8547 draft: 2024.11.12)しています。

暗号アジリティの実現はハードル高そうですね...

ちなみに、この文書では暗号アジリティを、

Cryptographic (crypto) agility refers to the capabilities needed to replace and adapt cryptographic algorithms in protocols, applications, software, hardware, firmware, and infrastructures while preserving security and ongoing operations.  暗号(クリプト)アジリティとは、セキュリティと継続的な運用を維持しつつ、プロトコル、アプリケーション、ソフトウェア、ハードウェア、ファームウェア、インフラストラクチャにおける暗号アルゴリズムの置換と適応に必要な能力

としていますね...

ちなみに金融セクターのFS-ISACの文書では、

…a measure of an organization’s ability to adapt cryptographic solutions or algorithms (including their parameters and keys) quickly and efficiently in response to developments in cryptanalysis, emerging threats, technological advances, and/or vulnerabilities...a design principle for implementing, updating, replacing, running, and adapting cryptography and related business processes and policies with no significant architectural changes, minimal disruption to business operations, and short transition time. …暗号解読技術の進展、新たな脅威、技術的進歩、脆弱性などに対応し、暗号ソリューションやアルゴリズム(パラメータや鍵を含む)を迅速かつ効率的に適応させる組織の能力の尺度である暗号技術および関連する業務プロセス・ポリシーを、大幅なアーキテクチャ変更なしに、業務運営への影響を最小限に抑え、短期間で移行・更新・置換・運用・適応させるための設計原則である。

と定義されていますね...

・[PDF] 2024.10 Building Cryptographic Agility in the Financial Sector - Effective, Efficient Change in a Post Quantum World

 


20251229-60951

組織の暗号リスクリスクマネジメントのための暗号アジリティ戦略計画

 

● NIST - ITL

・2025.12.19 NIST CSWP 39 Considerations for Achieving Cryptographic Agility: Strategies and Practices

NIST CSWP 39 Considerations for Achieving Cryptographic Agility: Strategies and Practices NIST CSWP 39 暗号アジリティを実現するための考慮事項:戦略と実践
Abstract 要約
Cryptographic (crypto) agility refers to the capabilities needed to replace and adapt cryptographic algorithms in protocols, applications, software, hardware, firmware, and infrastructures while preserving security and ongoing operations. This white paper provides an in-depth survey of current approaches to achieving crypto agility. It discusses challenges and trade-offs and identifies approaches for providing operational mechanisms to achieve crypto agility. It also highlights critical working areas that require additional consideration. 暗号(クリプト)アジリティとは、セキュリティと継続的な運用を維持しつつ、プロトコル、アプリケーション、ソフトウェア、ハードウェア、ファームウェア、インフラストラクチャにおける暗号アルゴリズムの置換と適応に必要な能力を指す。本ホワイトペーパーは、暗号アジリティを達成するための現在のアプローチについて詳細な調査を提供する。課題とトレードオフについて議論し、暗号アジリティを達成するための運用メカニズムを提供するアプローチを識別する。また、追加の検討が必要な重要な作業領域を強調する。

 

・[PDF] NIST.CSWP.39

20251229-61235

 

・[DOCX][PDF] 仮訳

 

ざっくりとした構成...

  • セクション2:過去の移行で直面した課題
  • セクション3セキュリティプロトコルにおける暗号アジリティ実現の課題と既存の実践の検証
  • セクション4APIからソフトウェアライブラリ、ハードウェアに至るアプリケーションの暗号アジリティを支援する戦略。これらの戦略の一部は現行システムで実装済みであり、その他は将来的に検討される予定。
  • セクション5エンタープライズ環境における組織の暗号リスクマネジメントのための暗号アジリティ戦略計画の活用の提示
  • セクション6検討すべき重要な領域と今後の行動の識別
  • セクション7結論

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序論
2. Historic Transitions and Challenges 2. 歴史的変遷と課題
2.1. Long Period for a Transition 2.1. 移行期間の長期化
2.2. Backward Compatibility and Interoperability Challenges 2.2. 後方互換性と相互運用性の課題
2.3. Constant Needs of Transition 2.3. 継続的な移行の必要性
2.4. Resource and Performance Challenges 2.4. リソースとパフォーマンスの課題
3. Crypto Agility for Security Protocols 3. セキュリティプロトコルにおける暗号アジリティ
3.1. Algorithm Identification 3.1. アルゴリズムの特定
3.1.1. Mandatory-to-Implement Algorithms 3.1.1. 実装必須アルゴリズム
3.1.2. Dependent Specifications 3.1.2. 依存仕様
3.2. Algorithm Transitions 3.2. アルゴリズムの移行
3.2.1. Preserving Protocol Interoperability 3.2.1. プロトコル相互運用性の維持
3.2.2. Providing Notices of Expected Changes 3.2.2. 予想される変更の通知の提供
3.2.3. Integrity for Algorithm Negotiation 3.2.3. アルゴリズムネゴシエーションの完全性
3.2.4. Hybrid Cryptographic Algorithms 3.2.4. ハイブリッド暗号アルゴリズム
3.3. Cryptographic Key Establishment 3.3. 暗号鍵の鍵確立
3.4. Balancing Security Strength and Protocol Complexity 3.4. セキュリティ強度とプロトコル複雑性のバランス
3.4.1. Balancing the Security Strength of Algorithms in a Cipher Suite 3.4.1. 暗号スイートにおけるアルゴリズムのセキュリティ強度のバランス
3.4.2. Balancing Protocol Complexity 3.4.2. プロトコルの複雑さのバランス
4. Crypto Agility in System Implementations 4. システム実装における暗号の柔軟性
4.1. Using an API in a Crypto Library Application 4.1. 暗号ライブラリアプリケーションにおけるAPIの使用
4.2. Using APIs in the Operating System Kernel 4.2. オペレーティングシステムカーネルにおけるAPIの使用
4.3. Using Service Mesh in Cloud-Native Environments 4.3. クラウドネイティブ環境におけるサービスメッシュの使用
4.4. Embedded Systems 4.4. 組込みシステム
4.5. Hardware 4.5. ハードウェア
4.6. Using a Crypto Gateway for Legacy Systems 4.6. レガシーシステム向け暗号ゲートウェイの利用
5. Crypto Agility Strategic Plan for Managing Organizations’ Crypto Risks 5. 組織の暗号リスクマネジメントのための暗号アジリティ戦略計画
5.1. Cryptographic Standards, Regulations, and Mandates 5.1. 暗号化に関する標準、規制、および義務
5.2. Crypto Security Policy Enforcement 5.2. 暗号セキュリティポリシーの実施
5.3. Technology Supply Chains 5.3. 技術サプライチェーン
5.4. Cryptographic Architecture 5.4. 暗号アーキテクチャ
6. Considerations for Future Works 6. 今後の作業に関する考察
6.1. Resource Considerations 6.1. リソースに関する考慮事項
6.2. Agility-Aware Design 6.2. アジリティを考慮した設計
6.3. Complexity and Security 6.3. 複雑性とセキュリティ
6.4. Crypto Agility in the Cloud 6.4. クラウドにおける暗号アジリティ
6.5. Maturity Assessment for Crypto Agility 6.5. 暗号アジリティに関する成熟度アセスメント
6.6. Common Crypto API 6.6. 共通暗号API
7. Conclusion 7. 結論
References 参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms 附属書A. 記号、略語、頭字語の一覧
Appendix B. Definition of Crypto Agility in Other Literature 附属書B. 他の文献における暗号アジリティの定義

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー 
Cryptographic algorithms have been relied upon for decades to protect every communication link and digital device. Advances in computing capabilities, cryptographic research, and cryptanalytic techniques sometimes necessitate replacing algorithms that no longer provide adequate security. A typical algorithm transition is costly, takes time, raises interoperability issues, and disrupts operations. Cryptographic (crypto) agility refers to the capabilities needed to replace and adapt cryptographic algorithms in protocols, applications, libraries, software, hardware, firmware, and infrastructures while preserving security and ongoing operations.  暗号アルゴリズムは数十年にわたり、あらゆる通信回線やデジタル機器の保護に依存されてきた。計算能力の進歩、暗号研究、暗号解読技術の進展により、十分なセキュリティを提供できなくなったアルゴリズムの置き換えが必要となる場合がある。典型的なアルゴリズム移行はコストがかかり、時間を要し、相互運用性の問題を招き、運用を混乱させる。 暗号(クリプト)アジリティとは、セキュリティと継続的な運用を維持しつつ、プロトコル、アプリケーション、ライブラリ、ソフトウェア、ハードウェア、ファームウェア、インフラストラクチャにおける暗号アルゴリズムの置換と適応に必要な能力を指す。 
The threats posed by future cryptographically relevant quantum computers to public-key cryptography demand an urgent migration to quantum-resistant cryptographic algorithms. The impact of this transition will be much larger in scale than previous transitions because all publickey algorithms will need to be replaced rather than just a single algorithm. Also, this transition will certainly not be the last one required. Future cryptographic uses will demand new strategies and mechanisms to enable smooth transitions. As a result, crypto agility is a key practice that should be adopted at all levels, from algorithms to enterprise architectures.  将来の暗号関連量子コンピュータが公開鍵暗号に及ぼす脅威は、量子耐性暗号アルゴリズムへの緊急移行を要求している。この移行の影響は、単一のアルゴリズムではなく全ての公開鍵アルゴリズムを置き換える必要があるため、過去の移行よりもはるかに大規模なものとなる。また、この移行が最後になることは確実ではない。 将来の暗号利用には、円滑な移行を可能にする新たな戦略とメカニズムが求められる。その結果、暗号アジリティはアルゴリズムからエンタープライズアーキテクチャに至る全レベルで採用すべき重要な実践手法である。 
This white paper provides an in-depth survey of current approaches for achieving crypto agility and discusses their challenges and trade-offs as an introduction for executives and policymakers. Sections 3, 4, and 6 present crypto agility considerations in technical detail and may be of interest to protocol designers, implementers, operators, IT and cybersecurity architects, software and standards developers, and hardware designers. Section 5 examines strategic planning for crypto agility, which should be beneficial for organizational risk management, governance, and policy professionals.  本ホワイトペーパーは、暗号アジリティ実現に向けた現在のアプローチを詳細に調査し、経営陣や政策立案者向けの序論として、それらの課題とトレードオフについて論じる。 セクション3、セクション4、セクション6では技術的な詳細にわたり暗号アジリティの考慮事項を提示しており、プロトコル設計者、実装者、運用者、IT・サイバーセキュリティアーキテクト、ソフトウェア・標準開発者、ハードウェア設計者にとって有益である。セクション5では暗号アジリティのための戦略的計画を検討しており、組織のリスクマネジメント、ガバナンス、ポリシー担当者に有益である。 
Executives can leverage the insights in this paper to develop a comprehensive strategic and tactical plan that integrates crypto agility into the organization’s overall risk management framework, ensuring that employees, business partners, and technology suppliers involved in cryptographic design, implementation, acquisition, deployment, and use consider and adopt these practices.  経営陣は本稿の知見を活用し、暗号アジリティを組織全体のリスクマネジメント枠組みに統合する包括的な戦略・戦術計画を策定できる。これにより、暗号設計・実装・調達・展開・利用に関わる従業員、ビジネスパートナー、技術サプライヤーがこれらの実践を考慮し採用することを保証する。 

 

 

 

 


 

FS-ISAC

・[PDF] 2024.10 Building Cryptographic Agility in the Financial Sector - Effective, Efficient Change in a Post Quantum World

20251229-65522

 

 


 

Post-Quantum Cryptography Coalition(PQCC)

1_20250804234701

 

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

 

Cryptographic Agility

・2025.12.17 欧州 政策研究センター (CEPS) 量子安全な世界へのEU移行強化 (2025.12.03)

・2025.07.25 米国 NIST CSWP 39(第2次公開ドラフト)暗号の機敏性を実現するための考慮事項:戦略と実践

・2025.03.11 米国 NIST CSWP 39(初期公開ドラフト) 暗号化の機敏性を実現するための考慮事項:戦略と実践

・2025.01.13 米国 国家安全保障局 商用国家安全保障アルゴリズム・スイート2.0および量子コンピューティングに関するFAQ更新 (2024.12.31)

・2023.12.10 欧州政策研究センター: CEPS 量子テクノロジーとサイバーセキュリティ

・2023.10.04 米国 ポスト量子暗号連合が発足 (2023.09.28)

・2023.03.04 米国 国家サイバーセキュリティ戦略を発表

・2022.05.05 米国 国家量子推進諮問委員会の強化に関する大統領令

・2021.10.06 米国 DHS CISA 量子コンピューティングの進展に伴うセキュリティリスクを軽減するためのガイダンス

 

Post-Quantum Cryptography Coalition(PQCC)

・2025.08.05 米国 耐量子暗号連合 (PQCC) 国際的なPQC要件 (2025.07.15)

・2025.05.26 米国 耐量子暗号連合 (PQCC) 耐量子暗号への移行についてのロードマップ (2025.05.16)

・2023.10.04 米国 ポスト量子暗号連合が発足 (2023.09.28)

 

SP800-57

・2025.12.14 米国 NIST SP 800-57 第6版(初期公開ドラフト)鍵管理に関する推奨事項:第1部-一般事項 (2025.12.05)

・2020.05.08 NIST SP 800-57 Part 1 Rev. 5 Recommendation for Key Management: Part 1 – General

 

日本...

・2025.11.29 国家サイバー統括室 政府機関等における耐量子計算機暗号(PQC)への移行は原則として2035年を目処に...(2025.11.20)

・2024.11.30 金融庁 預金取扱金融機関の耐量子計算機暗号への対応に関する検討会報告書 (2024.11.26)

 

 

| | Comments (0)

2025.12.29

米国 NIST IR 8286 Rev. 1 サイバーセキュリティとエンタープライズリスクマネジメント(ERM)の統合 (2025.12.18)

こんにちは、丸山満彦です。

COSOのエンタープライズリスクマネジメント(COSO-ERM)とサイバーセキュリティフレームワーク(CSF)を結びつけるNIST IR 8286シリーズが、CSF2.0に合わせて全て改定されましたね...

すでに2025.02.26にIR 8286BとIR 8286Dは必要な更新がおわっていたので、それ以外のIR 8286, IR 8286A, IR 8286Cが今回改定されました...

経済産業省の経営ガイドラインVer3.0もERMを意識したものになっています...

結局リスクマネジメントにしても、サイバーセキュリティのフィレーム枠組みにしても、ISOでもありますが、米国という市場の大きなところで利用されているものが、内容としても現場にあっているし、広がっていくということなのですかね...

 

ちなみに最終の一覧は

2025.12.18 IR 8286 Rev. 1 Integrating Cybersecurity and Enterprise Risk Management (ERM) サイバーセキュリティとエンタープライズリスクマネジメント(ERM)の統合
2025.12.18 IR 8286A r1 Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management エンタープライズリスクマネジメントのためのサイバーセキュリティリスクの識別と推定
2025.02.26 IR 8286B-upd1 Prioritizing Cybersecurity Risk for Enterprise Risk Management エンタープライズリスクマネジメントのためのサイバーセキュリティリスクの優先順位付け
2025.12.18 IR 8286C r1 Staging Cybersecurity Risks for Enterprise Risk Management and Governance Oversight エンタープライズリスクマネジメントおよびガバナンス監視のためのサイバーセキュリティリスクの段階的対応
2025.02.26 IR 8286D-upd1 Using Business Impact Analysis to Inform Risk Prioritization and Response リスク優先順位付けと対応策策定のための事業影響分析の活用

となります...

20250309-175204

 

NIST - ITL

・2025.12.18 NIST IR 8286 Rev. 1  Integrating Cybersecurity and Enterprise Risk Management (ERM)

NIST IR 8286 Rev. 1  Integrating Cybersecurity and Enterprise Risk Management (ERM) NIST IR 8286 Rev. 1 サイバーセキュリティとエンタープライズリスクマネジメント(ERM)の統合
The NIST IR 8286 series enables risk practitioners to integrate CSRM activities more fully into the broader enterprise risk processes. Because information and technology comprise some of the enterprise’s most valuable resources, it is vital that directors and senior leaders always have a clear understanding of cybersecurity risk posture. It is similarly vital that those identifying, assessing, and treating cybersecurity risk understand enterprise strategic objectives when making risk decisions. NIST IR 8286シリーズは、リスク実務者がCSRM活動をより広範なエンタープライズリスクプロセスに統合することを可能にする。情報と技術はエンタープライズにとって最も価値のある資源の一部を構成するため、取締役や上級管理職が常にサイバーセキュリティリスク態勢を明確に理解していることが極めて重要である。同様に、サイバーセキュリティリスクを識別・アセスメント・対応する者も、リスク判断を行う際にエンタープライズの戦略的目標を理解することが極めて重要である。
In addition to this foundational document, the NIST Interagency Report (IR) 8286 Series includes: この基礎文書に加え、NIST機関間報告書(IR)8286シリーズには以下が含まれる:
NIST IR 8286Ar1, Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management NIST IR 8286Ar1、エンタープライズリスクマネジメントのためのサイバーセキュリティリスクの識別と推定
Describes risk identification and analysis. リスクの識別と分析について記述する。
NIST IR 8286B-upd1, Prioritizing Cybersecurity Risk for Enterprise Risk Management NIST IR 8286B-upd1、エンタープライズリスクマネジメントのためのサイバーセキュリティリスクの優先順位付け
Describes methods for applying enterprise objectives to prioritize the identified risks and, subsequently, to select and apply the appropriate responses. 特定されたリスクの優先順位付けにエンタープライズ目標を適用する方法、およびそれに続く適切な対応策の選択と適用方法を説明する。
NIST IR 8286Cr1, Staging Cybersecurity Risks for Enterprise Risk Management and Governance Oversight NIST IR 8286Cr1、エンタープライズリスクマネジメントおよびガバナンス監視のためのサイバーセキュリティリスクの段階的対応
Describes how information, as recorded in cybersecurity risk registers (CSRRs), may be integrated as part of a holistic approach to ensuring that risks to information and technology are properly considered for the enterprise risk portfolio. サイバーセキュリティリスク登録簿(CSRR)に記録された情報を、情報および技術に対するリスクがエンタープライズリスクポートフォリオにおいて適切に考慮されることを保証する包括的アプローチの一部として統合する方法を説明する。
NIST IR 8286D-upd1, Using Business Impact Analysis to Inform Risk Prioritization and Response NIST IR 8286D-upd1、リスク優先順位付けと対応策策定のための事業影響分析の活用
Describes the identification and management of risk as it propagates from system to organization and from organization to enterprise, which in turn better informs Enterprise Risk Management deliberations. NIST IR 8286D expands typical BIA discussions to inform risk prioritization and response by quantifying the organizational impact and enterprise consequences of compromised IT Assets. リスクがシステムから組織へ、組織からエンタープライズへと伝播する過程におけるリスクの特定と管理について記述する。これによりエンタープライズリスクマネジメントの審議がより適切に行われる。NIST IR 8286Dは、侵害されたIT資産の組織的影響とエンタープライズへの帰結を定量化することで、リスク優先順位付けと対応策策定に資する典型的なBIA議論を拡張する。
Abstract 概要
The increasing frequency, creativity, and severity of cybersecurity attacks means that all enterprises should ensure that cybersecurity risk is receiving appropriate attention within their enterprise risk management (ERM) programs. This document is intended to help individual organizations within an enterprise improve their cybersecurity risk information, shared through their enterprise’s ERM processes.  By doing so, enterprises and their component organizations can better identify, assess, and manage their cybersecurity risks in the context of their broader mission and business objectives. This document includes guidance on the use of risk registers to set out cybersecurity risk and explains the value of rolling up measures of risk that are usually addressed at lower system and organizational levels to the broader enterprise level. サイバーセキュリティ攻撃の頻度、創造性、深刻度が増していることは、全てのエンタープライズが自社のリスクマネジメントプログラム(ERM)においてサイバーセキュリティリスクが適切な注意を払われていることを保証すべきであることを意味する。この文書は、エンタープライズ内の個々の組織が、自社のERMプロセスを通じて共有されるサイバーセキュリティリスク情報を改善するのに役立つことを目的としている。 これにより、企業とその構成組織は、より広範な使命や事業目標の文脈において、サイバーセキュリティリスクをより適切に識別、評価、管理できるようになる。本稿では、リスクレジスターを用いたサイバーセキュリティリスクの整理に関する指針を示し、通常は下位システムや組織レベルで扱われるリスク測定値を、より広範なエンタープライズレベルに集約する意義を説明する。

 

・[PDF] NIST.IR.8286r1

20251228-174948

・[DOCX][PDF] 仮訳

 

 

 


 

・2025.12.18 NIST IR 8286A Rev. 1 Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management

NIST IR 8286A Rev. 1 Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management NIST IR 8286A Rev. 1 エンタープライズリスク管理におけるサイバーセキュリティリスクの識別と推定
Abstract 概要
This document supplements NIST Interagency Report (IR) 8286, Integrating Cybersecurity and Enterprise Risk Management (ERM), by providing additional detail regarding risk guidance, identification, and analysis. This report offers examples and information to illustrate risk tolerance, risk appetite, and methods for determining risks in that context. To support the development of an Enterprise Risk Register, this report describes documentation of various scenarios based on the potential impact of threats and vulnerabilities on enterprise assets. Documenting the likelihood and impact of various threat events through cybersecurity risk registers integrated into an enterprise risk profile helps to later prioritize and communicate enterprise cybersecurity risk response and monitoring. This document has been updated to reflect changes in other NIST documentation (IR 8286 series, Special Publication 800-221/221A, and Cybersecurity Framework 2.0). この文書は、NIST機関間報告書(IR)8286「サイバーセキュリティとエンタープライズリスク管理(ERM)の統合」を補足するものであり、リスクガイダンス、識別、分析に関する追加の詳細を提供する。本報告書は、リスク許容度、リスク選好度、およびその文脈におけるリスク決定手法を説明するための事例と情報を提供する。エンタープライズリスク登録簿の作成を支援するため、本報告書は脅威や脆弱性が企業資産に及ぼす潜在的影響に基づく様々なシナリオの文書化について記述する。サイバーセキュリティリスク登録簿をエンタープライズリスクプロファイルに統合し、様々な脅威事象の発生可能性と影響を文書化することは、後日のエンタープライズサイバーセキュリティリスク対応と監視の優先順位付けおよび伝達に役立つ。本ドキュメントは、他のNIST文書(IR 8286シリーズ、NIST 特別刊行物800-221/221A、サイバーセキュリティ枠組み2.0)の変更を反映して更新された。

 

・[PDF] NIST.IR.8286Ar1

20251228-174955

 

・[DOCX][PDF] 仮訳

 

 


 

・2025.12.18 NIST IR 8286C Rev. 1 Staging Cybersecurity Risks for Enterprise Risk Management and Governance Oversight

NIST IR 8286C Rev. 1 Staging Cybersecurity Risks for Enterprise Risk Management and Governance Oversight NIST IR 8286C Rev. 1 エンタープライズリスクマネジメントおよびガバナンス監視のためのサイバーセキュリティリスクの段階的対応
Abstract 概要
This document is the third in a series that supplements NIST Interagency Report (IR) 8286, Integrating Cybersecurity and Enterprise Risk Management (ERM). This series provides additional details regarding enterprise application of cybersecurity risk information; the previous documents, IRs 8286A and 8286B, provide details regarding stakeholder risk direction and methods for assessing and managing cybersecurity risk in light of enterprise objectives. This report, IR 8286C, describes how information recorded in cybersecurity risk registers may be integrated as part of a holistic approach to ensuring that risks to information and technology are properly considered for the enterprise risk portfolio. This cohesive understanding supports an enterprise risk register and enterprise risk profile that, in turn, support the achievement of enterprise objectives. 本稿は、NIST機関間報告書(IR)8286「サイバーセキュリティとエンタープライズリスクマネジメント(ERM)の統合」を補足するシリーズの第3弾である。本シリーズは、サイバーセキュリティリスク情報のエンタープライズ適用に関する詳細を提供する。先行文書であるIR 8286Aおよび8286Bは、ステークホルダーのリスク方向性、ならびに企業目標を踏まえたサイバーセキュリティリスクの評価・管理手法について詳述している。本報告書IR 8286Cは、サイバーセキュリティリスク登録簿に記録された情報を、情報と技術に対するリスクがエンタープライズリスクポートフォリオにおいて適切に考慮されることを保証する包括的アプローチの一部として統合する方法を説明する。この一貫した理解は、エンタープライズリスク登録簿とエンタープライズリスクプロファイルを支え、それが企業目標の達成を支える。

 

・[PDF] NIST.IR.8286Cr1

20251228-175002

 

・[DOCX][PDF] 仮訳

 

 

 


 

COSO ERM

COSO  - Enterprise Risk Management (ERM)

・2017.9 [PDF] Exective Suammry

20251228-175311

 

日本語は書籍...

・2018.04.04 [amazon] COSO 全社的リスクマネジメント ー戦略およびパフォーマンスとの統合

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.08.24 米国 NIST SP 1331 ipd - CSF 2.0 を使用して新興のサイバーセキュリティリスクマネジメントを改善するためのクイックスタートガイド

・2025.03.23 米国 NIST NIST SP 1308(初期公開ドラフト) NIST サイバーセキュリティフレームワーク 2.0: サイバーセキュリティ、エンタープライズリスクマネジメント、要員マネジメント クイックスタートガイド (2025.03.12)

 

ドラフト(本体、A、C)と最終(B、D)

・2025.03.10 米国 NIST IR 8286 Rev. 1(初期公開草案) サイバーセキュリティとエンタープライズリスクマネジメント(ERM)の統合他 (2025.02.26)

 

・2024.11.02 米国 NIST サイバーセッキュリティフレームワーム2.0関係のクイックスタートガイド SP 1302 CSF の階層の使用、SP 1303 エンタープライズリスクマネジメント、SP 1305 サイバーセキュリティサプライチェーンリスクマネジメント(C-SCRM)

・2024.03.10 米国 NIST IR 8286C エンタープライズリスクマネジメントと政府監視のためのサイバーセキュリティリスクのステージング

 

CSF2.0

・2024.02.28 米国 NIST CSWP 29 NISTサイバーセキュリティフレームワーク(CSF)2.0

 

SP800-221A

・2023.11.20 NIST SP 800-221 情報通信技術リスクのエンタープライズへの影響:エンタープライズリスクポートフォリオにおけるICTリスクプログラムのガバナンスとマネジメント, NIST SP 800-221A 情報通信技術(ICT)リスクの成果: ICTリスクマネジメントプログラムとエンタープライズリスクポートフォリオの統合

 

・2023.01.25 ENISA 相互運用可能なEUのリスク管理フレームワーク 2022年更新版 (2023.01.16)

・2022.07.25 NIST SP 800-221 (ドラフト) 情報通信技術リスクのエンタープライズへの影響:エンタープライズ・リスクポートフォリオの中でのICTリスクプログラムの統治と管理 SP 800-221A (ドラフト) 情報通信技術 (ICT) リスクの成果:ICTリスクマネジメントプログラムとエンタープライズリスクポートフォリオの統合

・2022.12.05 日本内部監査協会 COSO「人工知能の可能性を最大限に実現する」 (2022.11.21)

・2022.12.05 日本内部監査協会 COSO「クラウドコンピューティングのためのERM」 (2022.10.27)

・2022.08.08 日本内部監査協会 COSO「コンプライアンスリスクマネジメント:COSO ERMフレームワークの適用」 (2022.06.14)

・2022.06.14 NISTIR 8286D (ドラフト) リスクの優先順位付けと対応を行うためのビジネス影響分析の使用 (2022.06.09)

・2022.03.31 日本内部監査協会 COSO『デジタル時代のサイバーリスクマネジメント』発行

・2022.03.31 COSO スピードと破壊の時代における組織のアジリティの実現 (2022.03.09)

・2022.02.26 NIST RFI(情報要求)サイバーセキュリティフレームワーク、サプライチェーンのサイバーリスクマネジメントの改善等のために。。。

・2022.01.18 ENISA 相互運用可能なEUのリスク管理フレームワーク

・2021.09.17 COSO 人工知能の可能性を最大限に発揮するために

・2021.07.30 COSO クラウドコンピューティングのためのエンタープライズ・リスクマネジメント

 

連邦政府におけるERM

・2020.06.23 GAO GreenbookとOMB Circular No. A-123

 

・2020.05.22 COSO ERMガイダンス:リスク選好度 - 成功要因

・2020.02.06 COSO ERMガイダンス:価値の創造と保護

・2021.07.30 COSO クラウドコンピューティングのためのエンタープライズ・リスクマネジメント

・2020.11.13 COSO コンプライアンス・リスク管理 - COSO ERM フレームワークの適用

・2020.05.22

 

初版

・2020.10.22 NISTIR 8286 Integrating Cybersecurity and Enterprise Risk Management (ERM)

 

・2007.06.26 英国規格 パブコメ リスクマネジメントのための実践規範 (BS 31100, Code of practice for risk management)

・2006.07.31 内部統制の構成要素比較 日本語

・2006.07.30 内部統制の構成要素比較

 

| | Comments (0)

2025.12.28

経済産業省 パブコメ サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)に関する制度構築方針(案)とその評価基準案 (2025.12.26)

こんにちは、丸山満彦です。

経済産業省の産業サイバーセキュリティ研究会ワーキンググループ1サプライチェーン強化に向けたセキュリティ対策評価制度に関するサブワーキンググループで検討されていた、サプライチェーン強化に向けたセキュリティ対策評価制度 (SCS評価制度) について、意見募集がされています。

 

私も委員として検討しておりました。是非、忌憚のない意見をお寄せくださいませ。

多くの人からの意見により、より良い制度になると思います...

いくつかの留意点

1. セキュリティ対策を競わせる格付け制度ではない...(セキュリティ対策の可視化)


・企業のセキュリティ対策への対応状況を可視化するものであり、事業者のセキュリティ対策レベルを競わせることを目的としたもの(格付け制度等)ではありません。


 

2. 意見募集対象は、制度構築方針(案)と★3・★4要求事項庵及び評価基準案

・[PDF] サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針(案)

20251228-70159

・[EXCEL] [PDF別添★3・★4要求事項案及び評価基準案

20251228-70355

 

 

3. 対象は、IT基盤(クラウド環境で運用するものも含む。)。(製造環境等の制御(OT)システム、発注元等に提供する製品等は対象外)

ただし、例外的に適用範囲に含めないことが許容され得るものもある...


• 本制度の要求事項を満たすことが困難なIT機器やソフトウェア(例:サポート期限切れのソフトウェア等)

※本事由により適用範囲から除外する場合は、具体的に除外理由を明記し、セキュリティ専門家(★3)又は評価機関(★4)は妥当性を評価すること。


 

4. ★3は「専門家確認付き自己評価」、★4は(技術検証付き)「第三者評価」

プレス文面ではあまり強調されていませんが、

・★3は単なる自己評価ではなく専門家(情確士、CISSP、CISA等)による確認付きの自己評価

・★4は脆弱性テストを含む技術検証付きの第三者評価 (ただし、技術検証ガイド(技術検証のクライテリア)は今回は示されていない)

 

5. 第三者評価者(評価機関、技術検証事業者)は指定管理者(IPAを想定)に設置される指定委員会が指定する

 

6. 評価の更新頻度は自己評価(★3、★4)は1年、第三者評価(★4)は3年

 

7. 全ての評価基準に適合していると言えなければ★3、★4は取得できない


合格基準:★3・★4ともに、原則として、全ての評価基準への適合を求める。


 

ということで、

全体に意見が多く寄せられると良いのですが、

特に事業者の方が気にした方が良いのは、

・[EXCEL] [PDF別添★3・★4要求事項案及び評価基準案

の内容です。(多くの意見が集まることが期待されます。今までパブリックコメントをしたことがない方も恐れずにどんどんすればよいと思います。国の制度に参加するのは国民の義務的なところもありますし...)

特に「評価基準」の内容は一つひとつ細かくみることが重要です。原則ではこのすべての項目が満たされないと★3、★4になりません。

細かくみる点としては、「評価基準」の

・(理解可能性・一意性)評価基準の内容が具体的に理解できるか?、誰からみても一意に取れる内容となっているか?(事故発生時、★4評価時に第三者からの評価を受ける場合に、自己の評価と第三者等との評価に相違が生じやすいような表現になっていないか。)

・(対策レベルの適切性)要求している内容が脅威を防ぐ対策として適切な内容か?(他の要求事項の内容と比べてより高い(低い)脅威に対する要求になっていないか?)

・(代替手段の存在)要求している内容が技術固有の内容になっていて、同様の脅威を防止するためのより効率的、効果的な評価基準が考えられないか?

技術検証ガイドに記載すべき内容も意見としてあってもよいですね...

 

セキュリティなどの専門家が気にした方が良いと思われるのは

・社会への普及の側面との制度の抜け漏れバランスですかね...

・(網羅性、十分性)制度として検討すべき内容が漏れていないか?、不十分ではないか?

・(理論的厳密性と制度のわかりやすさ)理論的な厳密性も重要ではあるが、複雑な制度は社会的な理解が進まない。このバランスをどのようにとるべきか?

・(理想的な状況と社会的コスト)セキュリティ面での理想的な社会状況となるような運用が必要である反面、社会的なコストがかかりすぎると全体として適正な社会にはならない。情報の非対称性、外部経済が働いていることによる市場の是正として適正な手段とはどのようなものか?

時とともに技術が進展し、脅威や取り得る対策技術変わる上に、市場の最適解になっていることを測定しずらいので難しい問題ではあります...

 

 

 

あと、合わせて、経済産業省と公正取引委員会から、 「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップ構築促進に向けた想定事例及び解説」(概要本体)も公表されています。

 

長くなりましたが...

 

経済産業省

・2025.12.26 「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針(案)」(SCS評価制度の構築方針(案))を公表しました

 

意見対象

参考資料

 

これまでの経緯をより理解するための関連リンク

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.04.15 経済産業省 サプライチェーン強化に向けたセキュリティ対策評価制度構築に向けた中間取りまとめ (2024.04.14)

 

| | Comments (0)

内閣府 パブコメ 「生成AIの適切な利活用等に向けた知的財産の保護及び透明性に関するプリンシプル・コード(仮称)(案)」 (2025.12.26)

こんにちは、丸山満彦です。

内閣府が「生成AIの適切な利活用等に向けた知的財産の保護及び透明性に関するプリンシプル・コード(仮称)(案)」に対する意見募集をしていますね...

これは、内閣府のAI時代の知的財産権検討会で検討されていたものですね...

AIの開発者、提供者向けのガイドラインですかね...


(1)基本的な考え方(目的)


この文書は、「人工知能関連技術の研究開発及び活用の推進に関する法律」(令和七年法律第五十三号)の趣旨を踏まえつつ、EU AI Actにおける取組(透明性の確保のための措置や著作権保護のための措置)及びコーポレートガバナンスの分野におけるスチュワードシップ・コード等の取組(コンプライ・オア・エクスプレイン)を参考に、AI事業者が行うべき透明性の確保や知的財産権保護のための措置の原則を定め、もってAI技術の進歩の促進と知的財産権の適切な保護の両立に向け、権利者や利用者にとって安全・安心な利用環境を確保することを目的とする。


 

となっていて、スチュワードシップ・コード等の取組(コンプライ・オア・エクスプレイン)を参考にしているのが興味深いですね...

そして、英語版もつくられていますね...

 

内閣府

・2025.12.26 生成AIの適切な利活用等に向けた知的財産の保護及び透明性に関するプリンシプル・コード(仮称)(案)に関する御意見の募集について

 

・[PDF] 「生成AIの適切な利活用等に向けた知的財産の保護及び透明性に関するプリンシプル・コード(仮称)(案)」【日本語版】

20251227-220113

 

・[PDF] 生成AIの適切な利活用等に向けた知的財産の保護及び透明性に関するプリンシプル・コード(仮称)(案)概要開示対象事項 具体例」【日本語版】

20251227-220155_20251227220201

 

 

| | Comments (0)

総務省 パブコメ「AIのセキュリティ確保のための技術的対策に係るガイドライン」(案) (2025.12.25)

こんにちは、丸山満彦です。

総務省の「AIのセキュリティ確保のための技術的対策に係るガイドライン」(案)に対する意見募集をしていますね...

これは、総務省のサイバーセキュリティタスクフォースAIセキュリティ分科会で検討されていたものですね...

AIの開発者、提供者向けのガイドラインです。

 

ざっとみたところ、内容的にはわるくないように思いますが、フレームワークがしっかりしていないので、抜け漏れの検証が難しいですね...

このブログでも紹介していますが、米国のNISTから「人工知能向けサイバーセキュリティ枠組みプロファイル(Cyber AI Profile):NISTコミュニティプロファイル」 が2025.12.16に公表されています...

これは、サイバーセキュリティフレームワーク(CSF2.0)に沿った枠組みで作成されているものなので、多少冗長なところがある(重要性が低いところも対策が記載されることになるので)のですが、検討の網羅性を理解する上では問題がすくないと思います。

冗長という欠点についても優先度を3段階でつけることにより、利用者がメリハリがつけられるようになっていますので、よいように思います。

日本の場合、JISQ27001, JISQ27002をセキュリティ管理や対策の標準として位置付けているのはよいのですが、サイバーセキュリティ対策については使い勝手がよろしくないようで(出来が悪いということになるのかもしれませんが...)最近はあまり参照されておらず、日本の制度であってもNIST CSF2.0を利用しているところがありますよね...

もし余裕がある人がいれば、今回の総務省のガイドライン(案)と、NIST IR 8596 draftを比較してみるとよいと思います...

一長一短があるように思います。

 

総務省

・2025.12.25 「AIのセキュリティ確保のための技術的対策に係るガイドライン」(案) に対する意見募集

 意見募集対象

・・[PDF] 「AIのセキュリティ確保のための技術的対策に係るガイドライン」本編(案)(別紙1)

20251227-213515

目次...


本ガイドラインの策定の背景等

1 本ガイドラインのスコープ
1.1 本ガイドラインの位置づけ
1.2 対象とする Al
1.3 想定読者

2 脅威
2.1 対象とする主な脅威
 2.1.1 プロンプトインジェクション攻華
 2.1.2 Dos攻(サービス拒否攻薬)
2.2 その他の脅威

3 脅威への対策
3.1 対策の位置づけ
3.2 対策の概観
3.3 AI開発者における対策
3.4 AI 提供者における対策
3.5 AI開発者・提供者に係るその他の基本的な対策等
3.6 AIサービスの想定事例に応じた分析

想定事例1:内部向けチャットボット(RAG利用)
想定事例2:外部向けチャットボット(外部連携利用)

用語集


 

・・[PDF[ 「AIのセキュリティ確保のための技術的対策に係るガイドライン」別添(付属資料)(案)(別紙2)

20251227-213610

 

総務省の検討会

● 総務省 - サイバーセキュリティタスクフォース

 

 

 


 

 

● まるちゃんの情報セキュリティ気まぐれ日記

是非みてくださいませ...

・2025.12.26 米国 NIST IR 8596(初期ドラフト)人工知能向けサイバーセキュリティ枠組みプロファイル(Cyber AI Profile):NISTコミュニティプロファイル (2025.12.16)

・[PDF] IR.8596.iprd

20251225-145739

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序論
1.1. Purpose 1.1. 目的
1.2. Scope 1.2. 範囲
1.3. Target Audience 1.3. 対象読者
1.4. Document Structure 1.4. 文書構成
2. Cyber AI Profile 2. サイバーAIプロファイル
2.1. Focus Areas 2.1. 重点領域
2.1.1. Secure AI System Components 2.1.1. セキュアなAIシステム構成要素
2.1.2. Implementing AI-Enabled Cyber Defence (Defend) 2.1.2. AIを活用したサイバー防衛の実装(Defend)
2.1.3. Thwarting AI-Enabled Cyber Attacks (Thwart) 2.1.3. AIを活用したサイバー攻撃の阻止(Thwart)
2.2. How to Read the Cyber AI Profile 2.2. サイバーAIプロファイルの読み方
2.3. Cyber AI Profile: Governance 2.3. サイバーAIプロファイル:統治
2.4. Cyber AI Profile: Identify 2.4. サイバーAIプロファイル:識別
2.5. Cyber AI Profile: Protect 2.5. サイバーAIプロファイル:防御
2.6. Cyber AI Profile: Detect 2.6. サイバーAIプロファイル:検知
2.7. Cyber AI Profile: Respond 2.7. サイバーAIプロファイル:対応
2.8. Cyber AI Profile: Recover 2.8. サイバーAIプロファイル:復旧
References 参考文献
Annex A. List of Symbols, Abbreviations and Acronyms  附属書A. 記号、略語、頭字語一覧
Annex B. Glossary 附属書B. 用語集
Annex C. Cybersecurity Framework 2.0 Overview 附属書C. サイバーセキュリティフレームワーク2.0概要
Annex D. How to Use the Cyber AI Profile 附属書D. サイバー AI プロファイルの使用方法

 

サイバーAIプロファイル...

20251226-72451

・[DOCX] [PDF] 仮訳

 

 

 

 

| | Comments (0)

経済産業省 パブコメ 情報処理安全確保支援士の「実務経験者に対する講習制度(案)」

こんにちは、丸山満彦です。

経済産業省の産業サイバーセキュリティ研究会ワーキンググループ2 サイバーセキュリティ人材の育成促進に向けた検討会で検討されていた、情報処理安全確保支援士に対する実務経験者に対する講習制度について、意見募集がされています。

私も委員として検討しておりました。是非、忌憚のない意見をお寄せくださいませ。

多くの人からの意見により、より良い制度になると思います...

 

e-Gov

・2025.12.25 実務経験者に対する講習制度(案)に対する御意見の募集について

 

意見募集対象

・[PDF] 実務経験者に対する講習制度(案)

20251227-205659

 

関連資料

・[PDF] (参考資料)実務経験者に対する講習制度の運用について 

 

参考

検討をしていたワーキング

ワーキンググループ2(サイバーセキュリティ人材の育成促進に向けた検討会)

最終取りまとめ

・[PDF] サイバーセキュリティ人材の育成促進に向けた検討会

20251227-210053

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.08.14 IPA 応用情報技術者試験、高度試験及び情報処理安全確保支援士試験がCBT方式での実施に移行予定 (2025.08.12)

・2025.05.15 経済産業省 「サイバーセキュリティ人材の育成促進に向けた検討会最終取りまとめ」(2025.05.14)

 

 

 

| | Comments (0)

2025.12.27

米国 NIST SP 800-218 Rev. 1(初期公開ドラフト)セキュアソフトウェア開発枠組み (SSDF) バージョン 1.2: ソフトウェア脆弱性のリスク緩和に関する推奨事項 (2025.12.17)

こんにちは、丸山満彦です。

NISTがSP 800-218 Rev. 1(初期公開ドラフト)セキュアソフトウェア開発枠組み (SSDF) バージョン 1.2: ソフトウェア脆弱性のリスク緩和に関する推奨事項を公表し、意見募集をしていますね.。。

セキュア・バイ・デザインの普及には、こういう標準が必要なんですよね...

今回バージョン1.1から1.2への変更となります...

 

NIST - ITL

・2025.12.17 NIST SP 800-218 Rev. 1 (Initial Public Draft) Secure Software Development Framework (SSDF) Version 1.2: Recommendations for Mitigating the Risk of Software Vulnerabilities

NIST SP 800-218 Rev. 1 (Initial Public Draft) Secure Software Development Framework (SSDF) Version 1.2: Recommendations for Mitigating the Risk of Software Vulnerabilities NIST SP 800-218 Rev. 1(初期公開ドラフト)セキュアソフトウェア開発枠組み (SSDF) バージョン 1.2: ソフトウェア脆弱性のリスク緩和に関する推奨事項
Announcement 発表
This document describes new and improved practices, tasks, and examples for the secure and reliable development, delivery, and improvement of software.                         この文書は、ソフトウェアの安全かつ信頼性の高い開発、提供、改善のための新たな実践方法、タスク、および事例を説明する。
Few software development life cycle (SDLC) models explicitly address software security in detail, so secure software development practices usually need to be added to each SDLC model. SP 800-218 recommends the Secure Software Development Framework (SSDF), which is a core set of high-level secure software development practices that can be integrated into each SDLC implementation. ソフトウェア開発ライフサイクル(SDLC)モデルでソフトウェアセキュリティを詳細に明示的に扱うものはほとんどないため、通常は各SDLCモデルにセキュアなソフトウェア開発手法を追加する必要がある。SP 800-218は、各SDLC実装に統合可能な高水準のセキュアなソフトウェア開発手法のコアセットであるセキュアソフトウェア開発枠組み(SSDF)を推奨する。
Following such practices should help software producers reduce the number of vulnerabilities in released software, mitigate the potential impacts of the exploitation of undetected or unaddressed vulnerabilities, and address the root causes of vulnerabilities to prevent future recurrences. Because the framework provides a common vocabulary for secure software development, software acquirers can also use it to foster communications with suppliers in acquisition processes and other management activities. こうした手法に従うことで、ソフトウェア提供者はリリース済みソフトウェアの脆弱性を減らし、検出されなかったり対処されなかったりする脆弱性の悪用による潜在的影響を緩和し、脆弱性の根本原因に対処して将来の再発を防ぐことができる。この枠組みはセキュアなソフトウェア開発のための共通語彙を提供するため、ソフトウェア購入者も調達プロセスやその他の管理活動においてプロバイダとのコミュニケーション促進に活用できる。
Abstract 概要
Few software development life cycle (SDLC) models explicitly address software security in detail, so secure software development practices usually need to be added to each SDLC model to ensure that the software being developed is well-secured. This document recommends the Secure Software Development Framework (SSDF) — a core set of high-level secure software development practices that can be integrated into each SDLC implementation. Following such practices should help software producers reduce the number of vulnerabilities in released software, reduce the potential impact of the exploitation of undetected or unaddressed vulnerabilities, and address the root causes of vulnerabilities to prevent future recurrences. Because the framework provides a common vocabulary for secure software development, software acquirers can also use it to foster communications with suppliers in acquisition processes and other management activities. ソフトウェア開発ライフサイクル(SDLC)モデルでソフトウェアセキュリティを詳細に明示的に扱うものはほとんどない。そのため、開発中のソフトウェアの十分なセキュリティを確保するには、通常、各SDLCモデルにセキュアソフトウェア開発プラクティスを追加する必要がある。本文書は、各SDLC実装に統合可能な高水準のセキュアソフトウェア開発プラクティスのコアセットであるセキュアソフトウェア開発枠組み(SSDF)を推奨する。こうした実践に従うことで、ソフトウェア提供者はリリースされたソフトウェアの脆弱性数を減らし、検出されなかった、あるいは対処されなかった脆弱性の悪用による潜在的な影響を軽減し、脆弱性の根本原因に対処して将来の再発を防ぐことができる。この枠組みはセキュアなソフトウェア開発のための共通語彙を提供するため、ソフトウェア購入者も調達プロセスやその他の管理活動において、サプライヤーとのコミュニケーション促進に活用できる。

 

・[PDF] NIST.SP.800-218r1.ipd

20251226-120841

 

Reports on Computer Systems Technology コンピュータシステム技術に関する報告書
The Information Technology Laboratory (ITL) at the National Institute of Standards and Technology (NIST) promotes the U.S. economy and public welfare by providing technical leadership for the Nation’s measurement and standards infrastructure. ITL develops tests, test methods, reference data, proof of concept implementations, and technical analyses to advance the development and productive use of information technology. ITL’s responsibilities include the development of management, administrative, technical, and physical standards and guidelines for the cost-effective security and privacy of other than national security-related information in federal information systems. The Special Publication 800-series reports on ITL’s research, guidelines, and outreach efforts in information system security, and its collaborative activities with industry, government, and academic organizations. 米国立標準技術研究所(NIST)の情報技術研究所(ITL)は、国家の測定・標準インフラに対する技術的リーダーシップを提供することで、米国経済と公共の福祉を促進する。ITLは、情報技術の開発と生産的利用を推進するため、試験、試験方法、参照データ、概念実証実装、技術分析を開発する。ITLの責任範囲には、連邦情報システムにおける国家安全保障関連以外の情報の費用対効果の高いセキュリティとプライバシーを確保するための、管理・運営・技術・物理的標準およびガイドラインの開発が含まれる。特別刊行物800シリーズは、ITLの情報システムセキュリティに関する研究、ガイドライン、普及活動、ならびに産業界・政府・学術機関との共同活動を報告するものである。
Audience 対象読者
There are two primary audiences for this document. The first is software producers (e.g., commercial-off-the-shelf [COTS] product vendors, government-off-the-shelf [GOTS] software developers, custom software developers, internal development teams), regardless of size, sector, or level of maturity. The second is software acquirers — both federal agencies and other organizations. Readers of this document are not expected to be experts in secure software development in order to understand it, but such expertise is required to implement its recommended practices. 本文書には主に二つの対象読者が存在する。第一に、規模・業種・成熟度を問わず、ソフトウェア生産者(例:市販製品(COTS)ベンダー、政府向け市販ソフトウェア(GOTS)開発者、カスタムソフトウェア開発者、内部開発チーム)である。第二に、ソフトウェア調達者(連邦機関及びその他の組織)である。本文書を理解するために、読者がセキュアソフトウェア開発の専門家である必要はない。ただし、推奨される実践手法を実装するには、そのような専門知識が求められる。
Personnel within the following Workforce Categories and Specialty Areas from the National Initiative for Cybersecurity Education (NICE) Cybersecurity Workforce Framework [SP800-181] are most likely to find this publication of interest: 国家サイバーセキュリティ教育イニシアチブ(NICE)サイバーセキュリティ人材枠組み[SP800-181]における以下の職種カテゴリーおよび専門分野に属する人材が、本出版物に関心を持つ可能性が最も高い:
Securely Provision (SP): Risk Management (RSK), Software Development (DEV), Systems Requirements Planning (SRP), Test and Evaluation (TST), Systems Development (SYS) 安全なプロビジョニング(SP):リスクマネジメント(RSK)、ソフトウェア開発(DEV)、システム要件計画(SRP)、試験評価(TST)、システム開発(SYS)
Operate and Maintain (OM): Systems Analysis (ANA) 運用・保守(OM):システム分析(ANA)
Oversee and Govern (OV): Training, Education, and Awareness (TEA); Cybersecurity Management (MGT); Executive Cyber Leadership (EXL); Program/Project Management (PMA) and Acquisition 監督・ガバナンス(OV):訓練・教育・啓発(TEA);サイバーセキュリティ管理(MGT);経営層のサイバーリーダーシップ(EXL);プログラム/プロジェクト管理(PMA)および調達
Protect and Defend (PR): Incident Response (CIR), Vulnerability Assessment and Management (VAM) 防御(PR):インシデント対応(CIR)、脆弱性評価と管理(VAM)
Analyze (AN): Threat Analysis (TWA), Exploitation Analysis (EXP) 分析(AN):脅威分析(TWA)、悪用分析(EXP)
Note to Reviewers レビュー担当者への注記
Reviewers are encouraged to provide feedback on the SSDF at any time, especially while implementing it into organizational and software development efforts. Input from a variety of software producers will inform the future refinement and periodic revision of the SSDF.  レビュー担当者は、SSDFについて随時フィードバックを提供することが推奨される。特に組織やソフトウェア開発活動への実装過程において重要である。多様なソフトウェア開発者からの意見は、SSDFの将来的な改良と定期的な改訂に反映される。
If you are from a standards-developing organization or another organization that has produced a set of secure practices and you would like to map your secure software development standard or guidance to the SSDF, please contact the authors at ssdf@nist.gov. Additionally, you can use the National Online Informative References Program (OLIR) to submit mappings that augment the existing set of informative references. 標準策定機関またはセキュアな実践手法を策定した組織に所属し、自組織のセキュアソフトウェア開発基準やガイダンスをSSDFにマッピングしたい場合は、ssdf@nist.govまで著者へ連絡すること。さらに、既存の情報参照セットを補完するマッピングを提出するには、National Online Informative References Program (OLIR) を利用できる。
This preliminary revision to the SSDF is in response to Executive Order 14306 [EO14306], which calls for updating “practices, procedures, controls, and implementation examples regarding the secure and reliable development and delivery of software as well as the security of the software itself.” Changes and additions to the examples for several practices were made to address potential areas of concern.  本SSDFの暫定改訂は、大統領令14306号(EO14306)への対応である。同令は「ソフトウェアの安全かつ信頼性の高い開発・提供、ならびにソフトウェア自体のセキュリティに関する実践、手順、制御、実装例」の更新を求めている。懸念される可能性のある領域に対処するため、複数の実践例の変更と追加が行われた。
The authors also request specific feedback on the following:  また、著者らは以下の点について具体的なフィードバックを求めている:
• Are there any additional examples that would further the goal of this update? • 本更新の目的をさらに推進する追加例はあるか?
• Are there other necessary modifications “regarding the secure and reliable development and delivery of software as well as the security of the software itself”? • 「ソフトウェアの安全かつ信頼性の高い開発・提供ならびにソフトウェア自体のセキュリティ」に関して、他に必要な修正はあるか?
• Two new practices have been added in this update: PO.6 to address the need for improvement over time and PS.4 to address the need for robust and reliable updates.  • 本更新では2つの新規プラクティスを追加した:PO.6(継続的な改善の必要性に対応)とPS.4(堅牢かつ信頼性の高い更新の必要性に対応)。
o Are more tasks needed for these two practices? o これら2つのプラクティスには追加のタスクが必要か?
o Are the tasks that are currently there the right ones? o 現在のタスクは適切か?
o What additional examples would you like to see for these practices/tasks? o これらのプラクティス/タスクに対して追加でどのような事例を希望するか?
o What additional references are useful to support these practices/tasks? o これらのプラクティス/タスクを支援する有用な追加参考文献はあるか?

 

目次...

Executive Summary  エグゼクティブサマリー
1. Introduction  1. 序論
2. Secure Software Development Framework  2. セキュアソフトウェア開発フレームワーク
References  参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms  附属書A. 記号・略語・頭字語一覧
Appendix B. Change Log  附属書B. 変更履歴

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー
This document describes a set of fundamental, sound practices for secure software development called the Secure Software Development Framework (SSDF). Organizations should integrate the SSDF throughout their existing software development practices, express their secure software development requirements to third-party suppliers using SSDF conventions, and acquire software that meets the practices described in the SSDF. Using the SSDF helps organizations to meet the following secure software development recommendations:   本ドキュメントは、セキュアソフトウェア開発のための基本的かつ健全な実践手法群である「セキュアソフトウェア開発枠組み(SSDF)」を説明する。組織は既存のソフトウェア開発手法にSSDFを統合し、SSDFの規約を用いてサードパーティサプライヤーにセキュアソフトウェア開発要件を明示し、SSDFで記述された実践手法を満たすソフトウェアを取得すべきである。SSDFの利用は、組織が以下のセキュアソフトウェア開発推奨事項を満たすのに役立つ:
• Organizations should ensure that their people, processes, and technology are prepared to perform secure software development.   • 組織は、自組織の人材、プロセス、技術がセキュアなソフトウェア開発を実行できる状態にあることを保証すべきである。
• Organizations should protect all components of their software from tampering and unauthorized access.   • 組織は、ソフトウェアの全構成要素を改ざんと不正アクセスから防御すべきである。
• Organizations should produce well-secured software with minimal security vulnerabilities in its releases.   • 組織は、リリース時にセキュリティ脆弱性が最小限に抑えられた、十分に保護されたソフトウェアを生産すべきである。
• Organizations should identify residual vulnerabilities in their software releases and respond appropriately to address those vulnerabilities and prevent similar ones from occurring in the future.   • 組織は、ソフトウェアリリースに残存する脆弱性を識別し、それらに対処し、将来同様の脆弱性が発生するのを防ぐために適切に対応すべきである。
The SSDF does not prescribe how to implement each practice. The focus is on the outcomes of the practices rather than on the tools, techniques, and mechanisms to do so. This means that the SSDF can be used by organizations in any sector or community, regardless of size or cybersecurity sophistication. It can also be used for any type of software development, regardless of technology, platform, programming language, or operating environment.   SSDFは各実践手法の実施方法を規定しない。焦点はツールや技術、メカニズムではなく、実践の結果にある。これはSSDFが規模やサイバーセキュリティの高度さに関わらず、あらゆる分野やコミュニティの組織で使用可能であることを意味する。また技術、プラットフォーム、プログラミング言語、動作環境を問わず、あらゆる種類のソフトウェア開発に適用できる。
The SSDF defines only a high-level subset of what organizations may need to do, so organizations should consult the references and other resources for additional information on implementing the practices. Not all practices are applicable to all use cases; organizations should adopt a risk-based approach to determine what practices are relevant, appropriate, and effective to mitigate the threats to their software development practices.  SSDFは組織が必要とする可能性のある対策のハイレベルな一部を定義するに過ぎないため、各実践手法の実施に関する追加情報は参考文献やその他のリソースを参照すべきである。全ての実践手法が全てのユースケースに適用できるわけではない。組織はリスクベースのアプローチを採用し、自社のソフトウェア開発実践に対する脅威の緩和のために、関連性があり適切かつ効果的な実践手法を判断すべきである。

 

 

Talbe1 Ver1.2の一部...

Practices  実践  Tasks  タスク 
Prepare the Organization (PO)  組織の準備(PO)     
Define Security Requirements for Software Development (PO.1): Ensure that security requirements for software development are known at all times so that they can be taken into account throughout the SDLC and the duplication of effort can be minimized because the requirements information can be collected once and shared. This includes requirements from internal sources (e.g., the organization’s policies, business objectives, and risk management strategy) and external sources (e.g., applicable laws and regulations).  ソフトウェア開発のセキュリティ要件を定義する(PO.1):ソフトウェア開発のセキュリティ要件が常に把握され、SDLC 全体を通じて考慮され、要件情報を一度収集して共有できるため、作業の重複を最小限に抑えられるようにする。 これには、内部情報源(組織のポリシー、事業目標、リスクマネジメント戦略など)および外部情報源(適用法など)からの要件が含まれる。  PO.1.1: Identify and document all security requirements for the organization’s software development infrastructures and processes, and maintain the requirements over time.  PO.1.1:組織のソフトウェア開発インフラストラクチャおよびプロセスに関するすべてのセキュリティ要件を識別し、文書化し、継続的に維持する。 
PO.1.2: Identify and document all security requirements for organization-developed software to meet, and maintain the requirements over time.  PO.1.2: 組織が開発するソフトウェアが満たすべき全てのセキュリティ要件を識別し文書化し、それらを長期にわたり維持する。 
PO.1.3: Communicate requirements to all third parties who will provide commercial software components to the organization for reuse by the organization’s own software. [Formerly PW.3.1]  PO.1.3: 組織が自社ソフトウェアで再利用する商用ソフトウェアコンポーネントを提供する全てのサードパーティに対し、要件を伝達する。 [旧PW.3.1] 
Implement Roles and Responsibilities (PO.2): Ensure that everyone inside and outside of the organization involved in the SDLC is prepared to perform their SDLCrelated roles and responsibilities throughout the SDLC.  役割と責任の実施 (PO.2): SDLC に関与する組織内外の全員が、SDLC 全体を通じて SDLC 関連の役割と責任を遂行する準備ができていることを保証する。  PO.2.1: Create new roles and alter responsibilities for existing roles as needed to encompass all parts of the SDLC. Periodically review and maintain the defined roles and responsibilities, updating them as needed.  PO.2.1: SDLC の全段階を網羅するために、必要に応じて新しい役割を作成し、既存の役割の責任を変更する。定義された役割と責任を定期的に見直し、維持し、必要に応じて更新する。 
PO.2.2: Provide role-based training for all personnel with responsibilities that contribute to secure development. Periodically review personnel proficiency and role-based training, and update the training as needed.  PO.2.2: 安全な開発に貢献する責任を持つ全従業員に対し、役割に基づいた研修をプロバイダとして提供する。従業員の習熟度と役割に基づいた研修を定期的に見直し、必要に応じて研修を更新する。 
PO.2.3: Obtain upper management or authorizing official commitment to secure development, and convey that commitment to all with developmentrelated roles and responsibilities.  PO.2.3: 開発の安全確保について、上層部または認可責任者のコミットメントを得て、開発に関連する役割と責任を持つ全員にそのコミットメントを伝えること。 
Implement Supporting Toolchains (PO.3): Use automation to reduce human effort and improve the accuracy, reproducibility, usability, and comprehensiveness of security practices throughout the SDLC, as well as provide a way to document and demonstrate the use of these practices. Toolchains and tools may be used at different levels of the organization (e.g., organization-wide, project-specific) and may address a particular part of the SDLC, like a build pipeline. サポートツールチェーンの実装(PO.3):自動化を活用し、SDLC全体におけるセキュリティ慣行の精度、再現性、使いやすさ、包括性を向上させるとともに、人的労力を削減する。また、これらの慣行の使用を文書化し実証する手段を提供する。 ツールチェーンとツールは、組織内の異なるレベル( )で利用可能であり(例:組織全体、プロジェクト固有)、ビルドパイプラインのようなSDLCの特定の部分に対応する可能性がある。 PO.3.1: Specify which tools or tool types must or should be included in each toolchain to mitigate identified risks, as well as how the toolchain components are to be integrated with each other.  PO.3.1: 特定されたリスクを緩和するために、各ツールチェーンに必須または推奨されるツールやツールタイプを明示し、ツールチェーンの構成要素を相互に統合する方法を規定する。 
PO.3.2: Follow recommended security practices to deploy, operate, and maintain tools and toolchains.  PO.3.2:ツールおよびツールチェーンの展開、運用、保守には、推奨されるセキュリティ慣行に従うこと。 
PO.3.3: Configure tools to generate artifacts[1] of their support of secure software development practices as defined by the organization.  PO.3.3: ツールを設定し、組織が定義したセキュアなソフトウェア開発プラクティスへの対応を証明するアーティファクト[1] を生成する。 
Define and Use Criteria for Software Security Checks (PO.4): Help ensure that the software resulting from the SDLC meets the organization’s expectations by defining and using criteria for checking the software’s security during development.  ソフトウェアセキュリティチェックの規準を定義し使用する(PO.4):開発中にソフトウェアのセキュリティをチェックするための規準を定義し使用することで、SDLCから生じるソフトウェアが組織の期待を満たすことを保証する。  PO.4.1: Define criteria for software security checks and track them throughout the SDLC.  PO.4.1: ソフトウェアセキュリティチェックの規準を定義し、SDLC 全体を通じて追跡する。 
PO.4.2: Implement processes and mechanisms to gather and safeguard necessary information in support of the criteria.  PO.4.2: 規準を支援するために必要な情報を収集し保護するプロセスと仕組みを実装する。 
Implement and Maintain Secure Environments for Software Development (PO.5): Ensure that all components of the environments for software development are strongly protected from internal and external threats to prevent compromises of the environments or the software being developed or maintained within them. Examples of environments for software development include development, build, test, and distribution environments. ソフトウェア開発のための安全な環境を実装し維持する(PO.5):ソフトウェア開発環境のすべての構成要素が、内部および外部の脅威から強力に防御され、環境自体やその中で開発・保守されているソフトウェア の侵害を防ぐことを保証する。ソフトウェア開発環境の例としては、開発環境、ビルド環境、テスト環境、配布環境などが挙げられる。 PO.5.1: Separate and protect each environment involved in software development.  PO.5.1: ソフトウェア開発に関わる各環境を分離し防御する。 
PO.5.2: Secure and harden development endpoints (e.g., for software designers, developers, testers, builders) to perform development-related tasks using a risk-based approach.  PO.5.2: 開発エンドポイント(例:ソフトウェア設計者、開発者、テスター、ビルダー向け)を保護し強化し、リスクベースのアプローチを用いて開発関連タスクを実行する。 
Define and Implement a Continuous Process Improvement Plan (PO.6): Identify and execute improvements to cybersecurity processes and procedures throughout the SDLC across all SSDF practices.  継続的プロセス改善計画の策定と実施(PO.6): ソフトウェア開発ライフサイクル(SDLC)全体および全ソフトウェア開発プロセス(SSDF)において、サイバーセキュリティプロセスと手順の改善点を識別し実行する。  PO.6.1: Update and improve software development environments in response to new threats and as new tools are included in the development process.  PO.6.1: の新たな脅威への対応や、開発プロセスに新たなツールが導入されることに伴い、ソフトウェア開発環境を更新し、改善する。 
PO.6.2: Identify new processes, tools, and techniques that can help avoid software errors (see PW.7, RV.3.3).  PO.6.2: ソフトウェアエラーを回避するのに役立つ新しいプロセス、ツール、技術を識別する(PW.7、RV.3.3を参照)。 
PO.6.3: Improve vulnerability response processes, and periodically review prior decisions (see RV.2.2).  PO.6.3: 脆弱性対応プロセスを改善し、過去の決定を定期的に見直す(RV.2.2 参照)。 
Protect Software (PS)  ソフトウェア防御(PS)     
Protect All Forms of Code from Unauthorized Access and Tampering (PS.1): Help prevent unauthorized changes to code, both inadvertent and intentional, which could circumvent or negate the intended security characteristics of the software. For code that is not intended to be publicly accessible, this helps prevent the theft of the software and may make it more difficult or time-consuming for attackers to find vulnerabilities in the software.  あらゆる形態のコードを不正アクセスや改ざんから防御する(PS.1):ソフトウェアの意図したセキュリティ特性を回避または無効化する可能性のある、意図的・偶発的なコードへの不正変更を防ぐ。公開を意図しないコードについては、ソフトウェアの盗難防止に寄与し、攻撃者がソフトウェアの脆弱性を見つけることを困難または時間のかかるものにする。  PS.1.1: Store all forms of code – including source code, executable code, and configuration as code –  based on the principle of least privilege so that only authorized personnel, tools, and services have access.  PS.1.1: ソースコード、実行可能コード、コードとしての設定を含むあらゆる形態のコードを、最小権限の原則に基づいて保管する。これにより、 に認可された担当者、ツール、サービスのみがアクセスできるようになる。 
Provide a Mechanism for Verifying Software Release Integrity (PS.2): Help software acquirers ensure that the software they acquire is legitimate and has not been tampered with.  ソフトウェアリリースの完全性を検証する仕組みを提供する(PS.2)ソフトウェア購入者が、購入するソフトウェアが正規品であり、改ざんされていないことを保証する。 PS.2.1: Make software integrity verification information available to software acquirers.  PS.2.1: ソフトウェアの完全性検証情報をソフトウェア取得者に提供する。 
Archive and Protect Each Software Release (PS.3): Preserve software releases in order to help identify, analyze, and eliminate vulnerabilities discovered in the software after release.  各ソフトウェアリリースをアーカイブし防御する(PS.3):リリース後にソフトウェアで発見された脆弱性を識別、分析、排除するために、ソフトウェアリリースを保存する。  PS.3.1: Securely archive the necessary files and supporting data (e.g., integrity verification information, provenance data) to be retained for each software release.  PS.3.1: 各ソフトウェアリリースについて保持すべき必要なファイルと関連データ(例:完全性検証情報、来歴証明データ)を安全にアーカイブする。 
PS.3.2: Collect, safeguard, maintain, and share provenance data for all components of each software release (e.g., in a software bill of materials [SBOM]).  PS.3.2: 各ソフトウェアリリースの全コンポーネントについて、来歴証明データを収集、保護、維持、共有する(例:ソフトウェア部品表[SBOM]において)。 
Ensure Software Updates Are Robust and Reliable (PS.4): Implement robust and reliable software update strategies, preferably allowing customers to control any updates to the software package and application configurations. Help software acquirers maintain operations and minimize disruptions by ensuring that software updates are tested and responsibly delivered.  ソフトウェア更新の堅牢性と信頼性を確保する(PS.4):堅牢かつ信頼性の高いソフトウェア更新戦略を実施する。可能であれば、顧客がソフトウェアパッケージとアプリケーション構成の更新を制御できるようにする。ソフトウェア更新がテストされ、責任を持って提供されることを保証することで、ソフトウェア取得者が運用を維持し、混乱を最小限に抑えるのを支援する。  PS.4.1: Thoroughly test all releases following all guidance in PW.  PS.4.1: PW のすべてのガイダンスに従い、すべてのリリースを徹底的にテストする。 
PS.4.2: Use tiered update and release strategies, such as canaries, staged roll-out, and test deployments.  PS.4.2: カナリア、段階的展開、テスト展開などの段階的な更新・リリース戦略を採用する。 
PS.4.3: Include robust rollback mechanisms for updates.  PS.4.3: 更新のための堅牢なロールバックメカニズムを含めること。 
PS.4.4: Maintain robust and reliable update engines and associated infrastructure for the delivery of updates.  PS.4.4: 更新プログラムの配信のために、堅牢で信頼性の高い更新エンジンと関連インフラを維持する。 
Produce Well-Secured Software (PW)  十分に保護されたソフトウェアの作成 (PW)     
Design Software to Meet Security Requirements and Mitigate Security Risks (PW.1): Identify and evaluate the security requirements for the software; determine what security risks the software is likely to face during operation and how the software’s design and architecture should mitigate those risks; and justify any cases for which riskbased analysis indicates that security requirements should be relaxed or waived. Addressing security requirements and risks during software design (i.e., secure by design) is key to improving software security and also helps improve development efficiency.  セキュリティ要件を満たし、セキュリティリスクを緩和するソフトウェアを設計する(PW.1):ソフトウェアのセキュリティ要件を識別し評価する。運用中にソフトウェアが直面する可能性のあるセキュリティリスクを識別し、ソフトウェアの設計とアーキテクチャがそれらのリスクをどのように緩和すべきかを決定する。リスクベースの分析によりセキュリティ要件を緩和または免除すべきと示された事例については、その正当性を説明する。 ソフトウェア設計段階でセキュリティ要件とリスクに対処すること(すなわち設計段階でのセキュリティ確保)は、ソフトウェアのセキュリティ向上に不可欠であり、開発効率の向上にも寄与する。  PW.1.1: Use forms of risk modeling (e.g., threat modeling, attack modeling, attack surface mapping) to help assess the security risk for the software.  PW.1.1: リスクモデリングの手法(脅威モデリング、攻撃モデリング、攻撃対象領域マッピングなど)を用いて、ソフトウェアのセキュリティリスク評価を支援する。 
PW.1.2: Track and maintain the software’s security requirements, risks, and design decisions.  PW.1.2: ソフトウェアのセキュリティ要件、リスク、設計上の決定事項を追跡し、維持する。 
PW.1.3: Where appropriate, build in support for using standardized security features and services (e.g., enabling software to integrate with existing log management, identity management, access control, and vulnerability management systems) instead of creating proprietary implementations of security features and services. [Formerly PW.4.3]  PW.1.3: 適切な場合には、独自のセキュリティ機能やサービスの実装を作成する代わりに、標準セキュリティ機能やサービスの利用をサポートする仕組みを組み込むこと(例:ソフトウェアが既存のログ管理、ID管理、アクセス管理、脆弱性管理システムと連携できるようにする)。[旧PW.4.3] 
Review the Software Design to Verify Compliance with Security Requirements and Risk Information (PW.2): Help ensure that the software will meet the security requirements and satisfactorily address the identified risk information.  ソフトウェア設計をレビューし、セキュリティ要件およびリスク情報への準拠を確認する(PW.2):ソフトウェアがセキュリティ要件を満たし、識別されたリスク情報に適切に対処することを保証する。  PW.2.1: Have 1) a qualified person (or people) who were not involved with the design and/or 2) automated processes instantiated in the toolchain review the software design to confirm and enforce that it meets all of the security requirements and satisfactorily addresses the identified risk information.  PW.2.1: 1) 設計に関与していない有資格者(または複数名)および/または 2) ツールチェーンに実装された自動化プロセスにより、ソフトウェア設計をレビューし、全てのセキュリティ要件を満たし、特定されたリスク情報を適切に対処していることを確認し、強制する。 
Verify Third-Party Software Complies with Security Requirements (PW.3): Moved to PW.4  サードパーティ製ソフトウェアのセキュリティ要件適合性確認(PW.3):PW.4へ移動  PW.3.1: Moved to PO.1.3  PW.3.1:PO.1.3へ移動 
PW.3.2: Moved to PW.4.4  PW.3.2:PW.4.4へ移動
Reuse Existing, Well-Secured Software When Feasible Instead of Duplicating Functionality (PW.4): Lower the costs of software development, expedite software development, and decrease the likelihood of introducing additional security vulnerabilities into the software by reusing software modules and services that have already had their security posture checked. This is particularly important for software that implements security functionality, such as cryptographic modules and protocols. 機能の複製ではなく、可能な限り既存の十分にセキュリティ対策されたソフトウェアを再利用する(PW.4):セキュリティ態勢が既に確認済みのソフトウェアモジュールやサービスを再利用することで、ソフトウェア開発コストを削減し、ソフトウェア開発を迅速化( )し、ソフトウェアに追加のセキュリティ脆弱性が導入される可能性を低減する。これは、暗号モジュールやプロトコルなど、セキュリティ機能を実装するソフトウェアにおいて特に重要である。 PW.4.1: Acquire and maintain well-secured software components (e.g., software libraries, modules, middleware, frameworks) from commercial, opensource, and other third- party developers for use by the organization’s software. PW.4.1: 組織のソフトウェアで使用するため、商用、オープンソース、その他のサードパーティ製ソフトウェア開発者から、十分にセキュリティ対策されたソフトウェアコンポーネント(例:ソフトウェアライブラリ、モジュール、ミドルウェア、枠組み)を取得し、維持する。
PW.4.2: Create and maintain well-secured software components in-house following SDLC processes to meet common internal software development needs that cannot be better met by third-party software components. PW.4.2:サードパーティソフトウェアコンポーネントでは十分に満たせない、一般的な内部ソフトウェア開発ニーズに対応するため、SDLCプロセスに従い、社内で十分に保護されたソフトウェアコンポーネントを作成し維持する。
PW.4.3: Moved to PW.1.3  PW.4.3: PW.1.3 に移動した 
PW.4.4: Verify that acquired commercial, open-source, and all other third-party software components comply with the requirements, as defined by the organization, throughout their life cycles.  PW.4.4: 取得した商用ソフトウェア、オープンソースソフトウェア、その他すべてのサードパーティ製ソフトウェアコンポーネントが、組織が定義した要件に、そのライフサイクル全体を通じて準拠していることを確認する。 
PW.4.5: Moved to PW.4.1 and PW.4.4  PW.4.5: PW.4.1 および PW.4.4 に移動した 
Create Source Code by Adhering to Secure Coding Practices (PW.5): Decrease the number of security vulnerabilities in the software, and reduce costs by minimizing vulnerabilities introduced during source code creation that meet or exceed organizationdefined vulnerability severity criteria. セキュアコーディング慣行に従ってソースコードを作成する(PW.5):ソフトウェアのセキュリティ脆弱性の数を減らし、ソースコード作成時に導入される脆弱性を最小限に抑えることでコストを削減する。これらの脆弱性は、組織が定義した脆弱性の規準を満たすか、それを超えるものである。 PW.5.1: Follow all secure coding practices that are appropriate to the development languages and environment to meet the organization’s requirements. PW.5.1: 組織の要件を満たすために、開発言語および環境に適したすべてのセキュアコーディング慣行に従う。
PW.5.2: Moved to PW.5.1 as example  PW.5.2: 例としてPW.5.1に移動した 
Configure the Compilation, Interpreter, and Build Processes to Improve Executable Security (PW.6): Decrease the number of security vulnerabilities in the software and reduce costs by eliminating vulnerabilities before testing occurs.  コンパイル、インタプリタ、ビルドプロセスを設定して実行ファイルのセキュリティを向上させる(PW.6):テストが行われる前に脆弱性を排除することで、ソフトウェアのセキュリティ脆弱性の数を減らし、コストを削減する。  PW.6.1: Use compiler, interpreter, and build tools that offer features to improve executable security.  PW.6.1: 実行ファイルのセキュリティを向上させる機能を備えたコンパイラ、インタプリタ、ビルドツールを使用する。 
PW.6.2: Determine which compiler, interpreter, and build tool features should be used and how each should be configured, then implement and use the approved configurations.  PW.6.2: 使用すべきコンパイラ、インタプリタ、ビルドツールの機能を決定し、それぞれの設定方法を定めた上で、承認された設定を実装し使用する。 
Review and/or Analyze Human-Readable Code to Identify Vulnerabilities and Verify Compliance with Security Requirements (PW.7): Help identify vulnerabilities so that they can be corrected before the software is released to prevent exploitation. Using automated methods lowers the effort and resources needed to detect vulnerabilities. Human-readable code includes source code, scripts, and any other form of code that an organization deems human-readable.  脆弱性を識別し、セキュリティ要件への準拠を確認するための可読コードのレビューおよび/または分析(PW.7):脆弱性を識別し、ソフトウェアリリース前に修正して悪用を防ぐ。自動化された手法を用いることで、脆弱性検知に必要な労力とリソースを削減できる。 可読コードには、ソースコード、スクリプト、および組織が可読と判断するその他の形式のコードが含まれる。  PW.7.1: Determine whether code review (a person looks directly at the code to find issues) and/or code analysis (tools are used to find issues in code, either in a fully automated way or in conjunction with a person) should be used, as defined by the organization.  PW.7.1: 組織の定義に基づき、コードレビュー(人が直接コードを確認して問題を発見する方法)とコード分析(ツールを用いてコード内の問題を発見する方法。完全自動化または人と連携して実施)のいずれか、あるいは両方を採用すべきかを決定する。 
PW.7.2: Perform the code review and/or code analysis based on the organization’s secure coding standards, and record and triage all discovered issues and recommended remediations in the development team’s workflow or issue tracking system.  PW.7.2: 組織のセキュアコーディング標準に基づき、コードレビューおよび/またはコード分析を実施する。発見された全問題と推奨される是正措置を開発チームのワークフローまたは課題追跡システムに記録し、優先順位付けを行う。 
Test Executable Code to Identify Vulnerabilities and Verify Compliance with Security Requirements (PW.8): Help identify vulnerabilities so that they can be corrected before the software is released in order to prevent exploitation. Using automated methods lowers the effort and resources needed to detect vulnerabilities and improves traceability and repeatability. Executable code includes binaries, directly executed bytecode and source code, and any other form of code that an organization deems executable. 脆弱性の特定とセキュリティ要件への準拠確認のための実行可能コードのテスト(PW.8):ソフトウェアリリース前に 脆弱性を識別し修正することで、悪用を防止する。自動化された手法を用いることで、脆弱性検知に必要な労力とリソースを削減し、追跡可能性と再現性を向上させる。実行可能コードには、バイナリ、直接実行可能なバイトコード、ソースコード、および組織が実行可能と判断するその他の形式のコードが含まれる。 PW.8.1: Determine whether executable code testing should be performed to find vulnerabilities not identified by previous reviews, analysis, or testing and, if so, which types of testing should be used.  PW.8.1: これまでのレビュー、分析、テストでは識別されなかった脆弱性を見つけるために、実行可能コードのテストを実施すべきかどうかを判断する。実施する場合、どの種類のテストを使用すべきかを決定する。 
PW.8.2: Scope the testing, design the tests, perform the testing, and document the results, including recording and triaging all discovered issues and recommended remediations in the development team’s workflow or issue tracking system.  PW.8.2: テストの範囲を定め、テストを設計し、テストを実施し、結果を文書化する。これには、発見された全問題と推奨される是正措置を記録し、開発チームのワークフローまたは問題追跡システムで優先順位付けすることを含む。 
Configure Software to Have Secure Settings by Default (PW.9): Help improve the security of the software at the time of installation to reduce the likelihood of the software being deployed with weak security settings, putting it at greater risk of compromise.  ソフトウェアをデフォルトで安全な設定にするよう構成する(PW.9):インストール時にソフトウェアのセキュリティを向上させ、脆弱なセキュリティ設定で展開される可能性を減らす。これにより、侵害リスクが高まるのを防ぐ。  PW.9.1: Define a secure baseline by determining how to configure each setting that has an effect on security or a security-related setting so that the default settings are secure and do not weaken the security functions provided by the platform, network infrastructure, or services.  PW.9.1:セキュリティに影響を与える設定やセキュリティ関連設定のデフォルト値を、プラットフォーム・ネットワークインフラ・サービスが提供するセキュリティ機能を弱体化させない安全な基準値に設定する。 
PW.9.2: Implement the default settings (or groups of default settings, if applicable), and document each setting for software administrators.  PW.9.2: デフォルト設定(該当する場合はデフォルト設定のグループ)を実装し、各設定をソフトウェア管理者向けに文書化する。 
Respond to Vulnerabilities (RV)  脆弱性への対応(RV)     
Identify and Confirm Vulnerabilities on an Ongoing Basis (RV.1): Help ensure that vulnerabilities are identified more quickly so that they can be remediated more quickly in accordance with risk, reducing the window of opportunity for attackers.  継続的な脆弱性の識別と確認(RV.1):脆弱性をより迅速に識別し、リスクに応じてより迅速に修正することで、攻撃者の機会を減少させることを支援する。  RV.1.1: Gather information from software acquirers, users, and public sources on potential vulnerabilities in the software and third-party components that the software uses, and investigate all credible reports.  RV.1.1: ソフトウェアおよびソフトウェアが使用するサードパーティ製コンポーネントの潜在的な脆弱性について、ソフトウェア購入者、ユーザー、公開情報源から情報を収集し、信頼性のある報告はすべて調査する。 
RV.1.2: Review, analyze, and/or test the software’s code and its default and other common configurations to identify or confirm the presence of previously undetected vulnerabilities.  RV.1.2: ソフトウェアのコード、デフォルト設定、その他の一般的な設定をレビュー、分析、および/またはテストし、これまで検出されなかった脆弱性の存在を識別または確認する。 
RV.1.3: Have a policy that addresses vulnerability disclosure and remediation, and implement the roles, responsibilities, and processes needed to support that policy. RV.1.3: 脆弱性の開示と修正に対処する方針を定め、その方針を支えるために必要な役割、責任、プロセスを実施する。
Assess, Prioritize, and Remediate Vulnerabilities (RV.2): Help ensure that vulnerabilities are remediated in accordance with risk to reduce the window of opportunity for attackers.  脆弱性のアセスメント、優先順位付け、および修正(RV.2):脆弱性がリスクに応じて修正され、攻撃者の機会を減少させることを支援する。  RV.2.1: Analyze each vulnerability to gather sufficient information about risk and plan its remediation or other risk response.  RV.2.1: 各脆弱性を分析し、リスクに関する十分な情報を収集し、その修正またはその他のリスク対応を計画する。 
RV.2.2: Plan and implement risk responses for vulnerabilities.  RV.2.2: 脆弱性に対するリスク対応策を計画し、実施する。 
Analyze Vulnerabilities to Identify Their Root Causes (RV.3): Help reduce the frequency of vulnerabilities in the future. 脆弱性を分析して根本原因を識別する(RV.3):将来の脆弱性の発生頻度を減らすのに役立つ。 RV.3.1: Analyze identified vulnerabilities to determine their root causes.  RV.3.1: 特定された脆弱性を分析し、その根本原因を特定する。 
RV.3.2: Analyze the root causes over time to identify patterns, such as a particular secure coding practice not being followed consistently.  RV.3.2: 時間の経過とともに根本原因を分析し、特定のセキュアコーディング手法が一貫して守られていないといったパターンを識別する。 
RV.3.3: Review software for similar vulnerabilities to eradicate a class of vulnerabilities and proactively remediate them rather than waiting for external reports.  RV.3.3: ソフトウェアをレビューし、類似の脆弱性を排除して脆弱性のクラスを根絶し、外部からの報告を待つのではなく、積極的に修正する。 
RV.3.4: Review the SDLC process, and update it if appropriate to prevent (or reduce the likelihood of) the root cause recurring in updates to the software or in new software that is created.  RV.3.4: SDLCプロセスを見直し、必要に応じて更新する。これにより、ソフトウェアの更新時や新規ソフトウェア開発時に根本原因が再発する可能性を防止(または低減)する。 

 

関連

Secure Software Development Framework SSDF

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.07.31 米国 NIST SP 800-218A 生成的AIとデュアルユース基盤モデルのための安全なソフトウェア開発プラクティス: SSDFコミュニティプロファイル

・2024.05.03 米国 商務省 NISTがAIに関する4つのドラフトを公開し、意見募集を開始 (2023.04.29)

 

 

| | Comments (0)

2025.12.26

米国 NIST CSWP 34 遠隔医療とスマートホーム統合におけるサイバーセキュリティ及びプライバシーリスクの緩和

こんにちは、丸山満彦です。

NISTが、CSWP 34 遠隔医療とスマートホーム統合におけるサイバーセキュリティ及びプライバシーリスクの緩和を公表していますね...

これから日本でも在宅ケア、医療等が重要となってくるので、こういう問題は重要となりますよね...先んじてこういう白書をつくれる米国というのは、やはり国力がありますよね...

 

NIST - ITL

・2025.12.17 NIST CSWP 34 Mitigating Cybersecurity and Privacy Risks in Telehealth Smart Home Integration

NIST CSWP 34 Mitigating Cybersecurity and Privacy Risks in Telehealth Smart Home Integration NIST CSWP 34 遠隔医療とスマートホーム統合におけるサイバーセキュリティ及びプライバシーリスクの緩和
Abstract 要約
In-patient service demands have increased during a time when patients have experienced reduced access to hospital care. Hospital-at-Home (HaH) solutions are a form of telehealth that provide an in-patient care experience in patients’ homes, offering the potential for improved outcomes. While these are desirable benefits, HaH involves privacy and cybersecurity risks by introducing hospital-grade medical or biometric devices and information systems outside the hospital’s direct control (i.e., the patient’s home). Patient homes increasingly feature Internet of Things (IoT) devices, such as voice assistants (e.g., smart speakers), as part of a broader “smart home” ecosystem. These devices may not have capabilities that support privacy and security practices and may be used as pivot points for attackers to gain access to a hospital’s information system. 入院患者へのサービス需要は、患者が病院ケアへのアクセスを制限された時期に増加した。在宅病院(HaH)ソリューションは、患者の自宅において入院レベルの医療体験を提供する遠隔医療の一形態であり、治療成果の向上が期待される。こうした望ましい利点がある一方で、HaHは病院管理外の環境(すなわち患者の自宅)に病院レベルの医療機器や生体認証デバイス、情報システムを導入するため、プライバシーとサイバーセキュリティのリスクを伴う。患者の自宅では、音声アシスタント(例:スマートスピーカー)などのモノのインターネット(IoT)デバイスが、より広範な「スマートホーム」エコシステムの一部として普及しつつある。これらのデバイスは、プライバシーとセキュリティ対策をサポートする機能を備えていない可能性があり、攻撃者が病院の情報システムにアクセスするための足掛かりとして悪用される恐れがある。
This paper introduces a notional high-level smart home integration reference architecture to better understand these risks. Building on NIST’s prior work in telehealth security, it examines privacy and cybersecurity risks associated with HaH deployments in the context of an integrated smart home environment, focusing on voice assistants (e.g., smart speakers) as a representative IoT device and outlines several sample threat events. 本稿では、こうしたリスクをより深く理解するため、概念的な高レベルのスマートホーム統合参照アーキテクチャを提示する。NISTの遠隔医療セキュリティに関する先行研究を基盤とし、統合されたスマートホーム環境における在宅医療(HaH)展開に伴うプライバシー・サイバーセキュリティリスクを検証する。代表者であるIoTデバイスとして音声アシスタント(例:スマートスピーカー)に焦点を当て、複数の脅威事象の事例を概説する。
To address these risks, this paper leverages the NIST Cybersecurity and Privacy Frameworks and NIST IoT Core Baseline to outline mitigation efforts for healthcare delivery organizations. The recommended mitigations include access control, authentication, continuous monitoring, data security, governance, and network segmentation. これらのリスクに対処するため、本論文はNISTサイバーセキュリティ・プライバシー枠組み及びNIST IoTコアベースラインを活用し、医療提供組織向けの緩和を提示する。推奨される緩和には、アクセス管理、認証、継続的監視、データセキュリティ、ガバナンス、ネットワークセグメンテーションが含まれる。
These recommended mitigation efforts adopt NIST frameworks and guidelines. For example, it highlights actions healthcare delivery organizations (HDOs) can take to isolate HaH equipment from other personally owned devices within the patient’s home to safeguard sensitive data. Without such protections, compromised, personally owned devices and voice assistants (e.g., smart speakers) may lead to unauthorized access to healthcare systems and patient information. これらの推奨緩和はNISTの枠組みとガイドラインを採用している。例えば、医療提供組織(HDO)が患者の自宅内でHaH機器を他の個人所有デバイスから隔離し、機密データを保護するための措置を強調する。こうした保護策がなければ、侵害された個人所有デバイスや音声アシスタント(例:スマートスピーカー)が医療システムや患者情報への不正アクセスを招く恐れがある。

 

 

・[PDF] NIST.CSWP.34

20251226-75030

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序論
2. Telehealth Smart Home Integration Ecosystem 2. 遠隔医療スマートホーム統合エコシステム
3. Smart Home Integration Ecosystem Risk Analysis 3. スマートホーム統合エコシステムリスク分析
3.1. Sample Threat Events 3.1. 脅威事象の例
3.2. Recommended Cybersecurity and Privacy Mitigations 3.2. 推奨されるサイバーセキュリティとプライバシーの緩和
3.3. Assess Cybersecurity and Privacy Mitigation Coverage 3.3. サイバーセキュリティとプライバシーの緩和の適用範囲を評価する
4. Security Reference Architecture 4. セキュリティ参照アーキテクチャ
5. Conclusion 5. 結論
References 参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms 附属書 A. 記号、略語、頭字語の一覧

 

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー 
Healthcare Delivery Organizations (HDOs) have begun implementing Hospital-at-Home (HaH) programs for select patients, offering the potential for improved outcomes. HaH represents a form of telehealth in which patients receive in-patient level care, including clinical care and monitoring, within their own residences. To enable this, healthcare systems, often in partnership with external organizations, incorporate communication interfaces, patient monitors, and other medical or biometric devices into the patient’s home. These technologies facilitate clinical care, ongoing engagement, and medical advice while allowing patients to benefit from receiving treatment in a location amenable to the patient.  医療提供組織(HDO)は、特定の患者向けに在宅病院(HaH)プログラムの実施を開始しており、治療成果の向上が期待される。HaHは、患者が自宅において臨床ケアやモニタリングを含む入院レベルのケアを受ける遠隔医療の一形態である。 これを実現するため、医療システムは外部組織と連携し、コミュニケーションインターフェース、患者モニター、その他の医療機器や生体計測機器を患者の自宅に導入する。これらの技術は、患者にとって快適な場所で治療を受ける利点を享受しながら、臨床ケア、継続的な関与、医療アドバイスを可能にする。 
HaH combines essential elements of telehealth with hospital-grade medical or biometric devices typically found in in-patient settings. These programs often integrate with commercially available solutions that patients may already use to enhance their lives, for example, Internetof-Things (IoT) devices such as voice assistants (e.g., smart speakers), which are increasingly common in-home environments. This paper focuses primarily on the privacy and cybersecurity risks associated with incorporating such devices, both as unmanaged IoT endpoints and as tools for patient-provider communication and health information retrieval.  HaHは遠隔医療の必須要素と、通常入院環境で見られる病院レベルの医療機器・生体計測機器を組み合わせる。こうしたプログラムは、患者が既に生活向上に利用している市販ソリューションとの連携も行う。例えば音声アシスタント(スマートスピーカーなど)といったIoTデバイスは、家庭環境でますます普及している。 本稿は主に、こうしたデバイスを未管理のIoTエンドポイントとして、また患者とプロバイダ間のコミュニケーションや健康情報取得のツールとして組み込む際に生じるプライバシーとサイバーセキュリティのリスクに焦点を当てる。 
Adversaries may exploit patient-owned IoT devices and home network infrastructures as entry points into an HDO’s broader environment. The purpose of this paper is to examine privacy and cybersecurity risks present in IoT devices that exist in the same environment as hospital-grade medical or biometric devices. Both patient-procured IoT devices and hospital-grade medical or biometric devices may have vulnerabilities that cannot be easily addressed. This paper will examine these risks and provide mitigation approaches for HDOs to consider when implementing their HaH programs.   攻撃者は、患者所有のIoTデバイスや家庭内ネットワークインフラを、医療機関の広範な環境への侵入経路として悪用する可能性がある。 本稿の目的は、病院グレードの医療機器や生体認証機器と同じ環境に存在するIoTデバイスに内在するプライバシーとサイバーセキュリティリスクを検証することである。患者が調達したIoTデバイスも、病院グレードの医療機器や生体認証機器も、容易に対処できない脆弱性を有している可能性がある。本稿ではこれらのリスクを検討し、HDOが在宅医療プログラムを実施する際に考慮すべき緩和策を提示する。  
To contextualize these risks, this publication introduces a notional high-level smart home integration reference architecture. Building on NIST’s previous work in telehealth security, it examines privacy and cybersecurity concerns associated with HaH deployments in an integrated smart home environment with a focus on voice assistants (e.g., smart speakers) as a representative IoT device.  これらのリスクを具体化するため、本稿では概念的な高レベルスマートホーム統合リファレンスアーキテクチャを紹介する。NISTの遠隔医療セキュリティに関する先行研究を基盤とし、統合型スマートホーム環境における在宅医療展開に関連するプライバシーとサイバーセキュリティ上の懸念を検証する。代表者IoTデバイスとして音声アシスタント(例:スマートスピーカー)に焦点を当てる。 
This white paper uses NIST guidelines to frame risks and propose recommended cybersecurity and privacy mitigations. The National Cybersecurity Center of Excellence (NCCoE) healthcare team applies guidelines from the National Institute of Standards and Technology (NIST) Cybersecurity Framework 2.0 (CSF 2.0) [1], the NIST Privacy Framework Version 1.0 (PF 1.0) [2], and NIST Internal Report (NIST IR) 8425 Profile of the IoT Core Baseline for Consumer IoT Products [3] as well as concepts discussed in previous NCCoE practice guides.   本ホワイトペーパーは、NISTガイドラインを用いてリスクを定義し、推奨されるサイバーセキュリティ及びプライバシー対策の緩和策を提案する。国立サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)医療チームは、国立標準技術研究所(NIST)のガイドラインを適用する。具体的には、NISTサイバーセキュリティフレームワーク2.0(CSF 2.0)[1]、NISTプライバシーフレームワークバージョン1.0(PF 1.0)[2]、及びNIST内部報告書(NIST IR)[3]である。 (NIST)サイバーセキュリティ枠組み2.0(CSF 2.0)[1]、NISTプライバシー枠組みバージョン1.0(PF 1.0)[2]、NIST内部報告書(NIST IR)8425「消費者向けIoT製品のためのIoTコアベースラインプロファイル」[3]、および過去のNCCoE実践ガイドで議論された概念を適用している。  
A core theme found in other NCCoE healthcare-related practice guides and NIST guideline documents, for example, calls upon HDOs to ensure network segmentation between medical or biometric devices and other environments. Network segmentation impedes a threat actor’s ability to compromise an endpoint and impact other devices. This paper also highlights the need for access control to limit access to authorized individuals and devices protecting patient data from unauthorized access or alteration. To protect patient data, the organization should implement data security encryption for both data-in-transit and data-at-rest maintaining data confidentiality and integrity. Additionally, this paper highlights the importance of continuous monitoring for identifying unusual traffic patterns for a quicker response in the event of a cyber-attack. Furthermore, HDOs should have an overall cybersecurity risk management strategy implementing rules and procedures for managing and securing data. By implementing the mitigations suggested in this white paper, HDOs can reduce their risk while providing valued services to their patients.  他のNCCoE医療関連実践ガイドやNISTガイドライン文書にも共通する核心的なテーマとして、医療機器や生体認証機器とその他の環境とのネットワーク分離をHDOに求めている。 ネットワークセグメンテーションは、脅威アクターがエンドポイントを侵害し他のデバイスに影響を与える能力を阻害する。本稿ではまた、患者データを不正アクセスや改ざんから防御するため、アクセスを認可された個人やデバイスに限定するアクセス管理の必要性を強調する。患者データを防御するため、組織はデータ機密性と完全性を維持し、転送中データと保存中データの両方に対してデータセキュリティ暗号化を実施すべきである。 さらに本稿は、サイバー攻撃発生時の迅速な対応のため、異常なトラフィックパターンを識別する継続的監視の重要性を強調する。加えて、HDOはデータ管理・保護のための規則と手順を定めた包括的なサイバーセキュリティリスクマネジメント戦略を策定すべきである。本ホワイトペーパーで提案する緩和を実施することで、HDOはリスクを低減しつつ患者に価値あるサービスを提供できる。 

 

関連するNIST文書...

NIST Cybersecurity Framework (CSF) 2.0.  NISTサイバーセキュリティ枠組み (CSF) 2.0.
NIST Privacy Framework: A Tool for Improving Privacy Through Enterprise Risk Management, Version 1.0.  NISTプライバシー枠組み:エンタープライズリスクマネジメントによるプライバシーの向上のためのツール、バージョン1.0。
NIST Special Publication (SP) 800-30 Revision 1, Guide for Conducting Risk Assessments.  NIST SP 800-30改訂版1 リスクアセスメントの実施ガイド
NIST SP 800-161 Revision 1, Update 1, Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations NIST SP 800-161 改訂版1、更新版1 システム及び組織のためのサイバーセキュリティ・サプライチェーンリスクマネジメントの実践
Draft NIST Internal Report (NIST IR) 8425A Recommended Cybersecurity Requirements for Consumer-Grade Router Products NIST 内部報告書(NIST IR)8425A 一般消費者向けルーター製品に対する推奨サイバーセキュリティ要件

 

 

 

 

| | Comments (0)

米国 NIST IR 8596(初期ドラフト)人工知能向けサイバーセキュリティ枠組みプロファイル(Cyber AI Profile):NISTコミュニティプロファイル (2025.12.16)

こんにちは、丸山満彦です。

NISTが、IR 8596(初期ドラフト)人工知能向けサイバーセキュリティ枠組みプロファイル(Cyber AI Profile):NISTコミュニティプロファイル
を公表していますね...

CSF2.0をベースにさまざまなガイドラインを組み立てられるので、CSF2.0を策定した意味は非常に大きいですね...日本では、ISMS制度のクライテリアの一部にもなっているJISQ27001(実践規範としての JISQ27002)があったはずですが、サイバー攻撃に対してはCSF2.0がわかりやすいのと、日本も含めてグローバルな金融機関が標準的に利用しているCRI ProfileにもCSF2.0がベースとなっているし、経済産業省のサプライチェーン評価制度についてもCSSF2.0がベースになっているので、これから徐々にJISQ27001、JISQ27002からCSF2.0に移っていくのですかね...

ただ、CSF2.0は環境的な脅威、故障といった脅威に対するコントロールが十分ではないようにもみえるのでちょっと注意をしていたほうがよいと思います...

 

さて、AIとセキュリティですが、、、

 

基本的には

・AIシステムに対するセキュリティ

・AIシステムを利用した防御

・AIシステムを利用した攻撃の阻止

ということで、私が2020年に白浜のシンポジウムで話をした視点と同じですかね...

 

 

NIST - ITL

・2025.12.16 NIST IR 8596 (Initial Preliminary Draft) Cybersecurity Framework Profile for Artificial Intelligence (Cyber AI Profile): NIST Community Profile

 

NIST IR 8596 (Initial Preliminary Draft) Cybersecurity Framework Profile for Artificial Intelligence (Cyber AI Profile): NIST Community Profile NIST IR 8596(初期ドラフト)人工知能向けサイバーセキュリティ枠組みプロファイル(Cyber AI Profile):NISTコミュニティプロファイル
Announcement お知らせ
Check out NIST’s Cyber AI Profile Preliminary Draft and Save the Date for our Cyber AI Workshop #2 in January NISTのCyber AI Profile初期ドラフトを確認し、1月開催のCyber AIワークショップ#2の日程を予定にいれてください
Draft for Public Comment 公開コメント用ドラフト
AI has become a driving force behind today’s technological development, transforming industries and redefining how society operates. Advancements in AI technology introduce both cybersecurity opportunities and challenges to organizations. AIは今日の技術開発の原動力となり、産業を変革し、社会の運営方法を再定義している。AI技術の進歩は、組織にとってサイバーセキュリティの機会と課題の両方をもたらす。
NIST’s preliminary draft Cyber AI Profile can help organizations strategically adopt AI while addressing and prioritizing cybersecurity risks stemming from its advancements. NISTの初期ドラフト「サイバーAIプロファイル」は、組織がAIを戦略的に導入すると同時に、その進歩に伴うサイバーセキュリティリスクに対処し優先順位をつけるのに役立つ。
The Cyber AI Profile addresses the following Focus Areas: サイバーAIプロファイルは以下の重点領域に対処する:
1. Securing AI System Components (Secure) 1. AIシステムコンポーネントの保護(Secure)
2. Conducting AI-Enabled Cyber Defense (Defend) 2. AIを活用したサイバー防御の実施(Defend)
3. Thwarting AI-enabled Cyber Attacks (Thwart) 3. AIを活用したサイバー攻撃の阻止(Thwart)
Abstract 概要
The Cybersecurity Framework Profile for Artificial Intelligence (AI) Profile (“Cyber AI Profile” or “The Profile”) will provide guidelines for managing cybersecurity risk related to AI systems as well as identifying opportunities for using AI to enhance cybersecurity capabilities. The Profile is organized using the NIST Cybersecurity Framework 2.0 outcomes (Functions, Categories, and Subcategories). This Preliminary Draft is shared along with a request for public comment to solicit feedback on the planned direction and content. Comments received will inform the initial public draft. More information about this project, including a roadmap, is available on the National Cybersecurity Center of Excellence (NCCoE) Cyber AI Profile project page. 人工知能(AI)向けサイバーセキュリティ枠組みプロファイル(「サイバーAIプロファイル」または「本プロファイル」)は、AIシステムに関連するサイバーセキュリティリスクの管理指針を提供するとともに、AIを活用してサイバーセキュリティ能力を強化する機会を識別するものである。本プロファイルは、NISTサイバーセキュリティフレームワーク2.0の成果物(機能、カテゴリー、サブカテゴリー)を用いて構成されている。この初期ドラフトは、計画された方向性と内容に関するフィードバックを求めるため、パブリックコメントの募集と共に共有される。寄せられたコメントは、最初の公開草案の作成に反映される。本プロジェクトに関する詳細情報(ロードマップを含む)は、国立サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)のサイバーAIプロファイルプロジェクトページで入手可能である。

 

 

 

Notes for Reviewers 査読者向け注意事項
The purpose of this initial draft is to share insights regarding the technical content direction of the Cyber AI Profile. NIST welcomes feedback and opinions on all aspects of this publication. Specifically, NIST seeks views on the following points: 本ドラフトの目的は、サイバーAIプロファイルの技術的内容の方向性に関する知見を共有することである。NISTは本出版物のあらゆる側面に関するフィードバックや意見を歓迎する。特にNISTは以下の点について見解を求めている:
1. Document structure and subject matter: 1. 文書構造と主題内容:
a) How do you intend to utilise this publication? What changes would you like to see to increase or improve its utilisation? a) 本出版物をどのように活用する予定か?その活用度を高めたり改善したりするために、どのような変更を希望するか?
b) How do you anticipate this publication will influence future practices or processes? b) 本出版物が将来の実践やプロセスにどのような影響を与えると予想するか?
c) Are the proposed topics in this document sufficient for organisations to prioritise their AI cybersecurity outcomes? c) 本文書で提案されているトピックは、組織がAIサイバーセキュリティ成果を優先順位付けするのに十分か?
2. Description of Focus Areas (Section 2.1): 2. 重点領域の説明(セクション2.1):
a) To what extent does the description of focus areas reflect the scope and characteristics of AI usage? Are any characteristics missing? If so, what are they? How should they be described? a) 重点領域の説明は、AI利用の範囲と特性をどの程度反映しているか? 欠落している特性はあるか? ある場合、それは何か? どのように記述すべきか?
3. Profile Content (Sections 2.3–2.8): 3. プロファイル内容(セクション2.3~2.8):
a) When considering the application of the Cyber AI Profile, how useful (or useless) is it to display the three focus areas in parallel (the current presentation method)? What value is there in providing the profile content separately for each focus area? a) サイバーAIプロファイルの適用を検討する際、3つの重点領域を並列表示する(現在の提示方法)ことはどの程度有用(または無用)か?各重点領域ごとにプロファイル内容を個別に提供することにはどのような価値があるか?
b) What format would be useful for providing the Cyber AI Profile information (e.g., spreadsheet/workbook, NIST Cybersecurity and Privacy Reference Tool (CPRT))? b) サイバーAIプロファイル情報を提供するのに有用な形式は何か(例:スプレッドシート/ワークブック、NISTサイバーセキュリティ・プライバシー参照ツール(CPRT))?
c) To what extent are the priorities and considerations discussed in Sections 2.3-2.8 relevant to existing practices or standards utilised by your organisation? c) セクション2.3~2.8で議論された優先事項と考慮事項は、組織が利用する既存の実践や標準にどの程度関連しているか?
Are there significant gaps between current practices and the practices needed to address the unique characteristics of AI within each focus area that this publication should address? How should AI-specific considerations be reflected in the prioritisation of each subcategory? 現在の実践と、本出版物が対処すべき各重点領域におけるAIの固有特性を扱うために必要な実践との間に、重大な隔たりはあるか? AI固有の考慮事項は、各サブカテゴリーの優先順位付けにどう反映されるべきか?
d) NIST has published reference materials d) NISTはサイバーセキュリティ枠組み(CSF)2.0の参考資料
 and implementation examples for the Cybersecurity Framework (CSF) 2.0, illustrating potential approaches to achieving outcomes within each subcategory. This initial draft includes examples of informational references for the Cyber AI Profile. Literature review is ongoing, and NIST seeks further input on additional informational references to include. What additional AI cybersecurity guidelines, standards, best practices, or mappings would you recommend adding as supporting references for the Cyber AI Profile? For any recommended supporting references, please share the rationale and how and why they should be prioritised within this document.  及び実装例を公開しており、各サブカテゴリーにおける成果達成の潜在的なアプローチを示している。本草案にはサイバーAIプロファイルの情報的参照例が含まれる。文献調査は継続中であり、NISTは追加情報的参照の提案を求めている。サイバーAIプロファイルの補足参照として追加すべきAIサイバーセキュリティガイドライン、標準、ベストプラクティス、マッピングを推奨するものはあるか?推奨する補足参照資料については、その根拠と、本文書内で優先すべき理由及び方法を共有してほしい。
4. Glossary (Annex B): 4. 用語集(附属書B):
a) NIST welcomes requests and suggestions for terms to add to the glossary in this document. a) NISTは、本文書の用語集に追加すべき用語の要望や提案を歓迎する。
Comment submitters are encouraged to use the comment template provided on the NCCoE’s Cyber AI Profile project page for responses to the question set and specific comments on the document text. Feedback and completed comment templates may also be submitted to the project team at cyberaiprofile@nist.gov. The comment submission deadline is 30 January 2026 at 11:59 PM Eastern Time. コメント提出者は、質問セットへの回答及び文書本文への具体的なコメントについて、NCCoEのサイバーAIプロファイルプロジェクトページで提供されているコメントテンプレートの使用を推奨される。フィードバック及び完成したコメントテンプレートは、プロジェクトチーム宛てに cyberaiprofile@nist.gov へ提出することも可能である。コメント提出期限は、東部時間 2026年1月30日 23:59 である。
All comments may be made public under the Freedom of Information Act. 全てのコメントは、情報公開法に基づき公開される可能性がある。

 

 

・[PDF] IR.8596.iprd

20251225-145739

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序論
1.1. Purpose 1.1. 目的
1.2. Scope 1.2. 範囲
1.3. Target Audience 1.3. 対象読者
1.4. Document Structure 1.4. 文書構成
2. Cyber AI Profile 2. サイバーAIプロファイル
2.1. Focus Areas 2.1. 重点領域
2.1.1. Secure AI System Components 2.1.1. セキュアなAIシステム構成要素
2.1.2. Implementing AI-Enabled Cyber Defence (Defend) 2.1.2. AIを活用したサイバー防衛の実装(Defend)
2.1.3. Thwarting AI-Enabled Cyber Attacks (Thwart) 2.1.3. AIを活用したサイバー攻撃の阻止(Thwart)
2.2. How to Read the Cyber AI Profile 2.2. サイバーAIプロファイルの読み方
2.3. Cyber AI Profile: Governance 2.3. サイバーAIプロファイル:統治
2.4. Cyber AI Profile: Identify 2.4. サイバーAIプロファイル:識別
2.5. Cyber AI Profile: Protect 2.5. サイバーAIプロファイル:防御
2.6. Cyber AI Profile: Detect 2.6. サイバーAIプロファイル:検知
2.7. Cyber AI Profile: Respond 2.7. サイバーAIプロファイル:対応
2.8. Cyber AI Profile: Recover 2.8. サイバーAIプロファイル:復旧
References 参考文献
Annex A. List of Symbols, Abbreviations and Acronyms  附属書A. 記号、略語、頭字語一覧
Annex B. Glossary 附属書B. 用語集
Annex C. Cybersecurity Framework 2.0 Overview 附属書C. サイバーセキュリティフレームワーク2.0概要
Annex D. How to Use the Cyber AI Profile 附属書D. サイバー AI プロファイルの使用方法
List of Tables 表一覧
Table 1 Cyber AI Profile – GOVERN 表1 サイバー AI プロファイル – 統治
Table 2 Cyber AI Profile – Identify 表2 サイバー AI プロファイル – 識別
Table 3 Cyber AI Profile – Defend 表3 サイバー AI プロファイル – 防御
Table 4 Cyber AI Profile – Detect 表4 サイバー AI プロファイル – 検知
Table 5 Cyber AI Profile – Respond 表5 サイバー AI プロファイル – 対応
Table 6 Cyber AI Profile – RECOVER 表6 サイバー AI プロファイル – 回復
List of Figures 図一覧
Figure 1: Relationships Between Cyber AI Profile Focus Areas 図1: サイバー AI プロファイルの重点領域間の関係
Figure 2: How to Read the Cyber AI Profile Initial Draft Tables 図2:サイバーAIプロファイル初期草案表の読み方
Figure 3: CSF Core Structure 図3:CSFコア構造

 

 

 

Executive Summary エグゼクティブサマリー
Recent advances in artificial intelligence (AI) technology present new cybersecurity opportunities and challenges for organisations. NIST, with its longstanding activities in both cybersecurity and AI, has worked closely with stakeholders in conducting research and advancing standards and technologies. 人工知能(AI)技術の最近の進歩は、組織にとって新たなサイバーセキュリティの機会と課題をもたらしている。NISTは、サイバーセキュリティとAIの両分野における長年の活動を通じて、研究の実施や標準・技術の推進において関係者と緊密に連携してきた。
 NIST is leveraging its cybersecurity and AI resources to help organisations address these new AI opportunities and challenges. Working with the cybersecurity and AI communities, NIST is developing the ‘Cybersecurity Framework Profile for Artificial Intelligence’ (the ‘Cyber AI Profile’ or ‘The Profile’). NISTは、組織がこれらの新たなAIの機会と課題に対処するのを支援するため、サイバーセキュリティとAIのリソースを活用している。サイバーセキュリティとAIコミュニティと連携し、NISTは「人工知能向けサイバーセキュリティ枠組みプロファイル」(「サイバーAIプロファイル」または「本プロファイル」)を開発中である。
 This aims to establish a consistent, common approach for discussing the impact of AI advancements on an organisation's cybersecurity risk management strategy, whilst providing resources for organisations to strategically adopt AI, addressing and prioritising new cybersecurity risks that accompany AI progress. The Cyber AI Profile does not replace existing frameworks but provides prioritised cybersecurity guidance for organisations working to protect AI, enhance AI-enabled cybersecurity defences, and defend against AI misuse. It leverages the capabilities, categories, and subcategories of CSF 2.0 to present informed, structured, and technology-neutral recommendations for cybersecurity and AI professionals. これは、AIの進歩が組織のサイバーセキュリティリスクマネジメント戦略に与える影響を議論するための一貫した共通アプローチを確立すると同時に、組織が戦略的にAIを導入し、AIの進展に伴う新たなサイバーセキュリティリスクに対処・優先順位付けするためのリソースを提供することを目的とする。サイバーAIプロファイルは既存の枠組みに取って代わるものではなく、AIの防御、AIを活用したサイバーセキュリティ防御の強化、AIの悪用に対する防御に取り組む組織向けに優先順位付けされたサイバーセキュリティガイダンスを提供する。CSF 2.0の能力、カテゴリー、サブカテゴリーを活用し、サイバーセキュリティおよびAI専門家向けに情報に基づいた構造化された技術中立的な推奨事項を提示する。
The Cyber AI Profile addresses three key focus areas: サイバーAIプロファイルは3つの主要な重点領域に対処する:
• Securing AI System Components: Focuses on identifying cybersecurity challenges when integrating AI into an organisation's ecosystem or infrastructure. • AIシステムコンポーネントの保護:組織のエコシステムやインフラにAIを統合する際のサイバーセキュリティ課題の特定に焦点を当てる。
• Implementing AI-Enabled Cyber Defences (Defend): Focuses on identifying opportunities to leverage AI to enhance cybersecurity processes and activities, and understanding the challenges of using AI to support defensive operations. • AIを活用したサイバー防御の実装(防御):サイバーセキュリティプロセスや活動を強化するためにAIを活用する機会の特定、および防御活動を支援するAI利用の課題理解に焦点を当てる。
• Thwarting AI-enabled cyber attacks (Thwart): Focuses on building resilience to defend against emerging AI threat vectors. • AIを活用したサイバー攻撃の阻止(阻止):新たなAI脅威ベクトルに対する防御のためのレジリエンス構築に焦点を当てる。
This document is an initial draft of the Cyber AI Profile. The initial draft aims to convey current thinking on the technical content direction, identify additional information references that should be included in the document, and solicit feedback from the public for the creation of an initial public draft. 本ドキュメントはサイバーAIプロファイルの初期ドラフトである。初期ドラフトは技術的内容の方向性に関する現在の考え方を伝え、ドキュメントに含めるべき追加情報参照を識別し、初期公開ドラフト作成のための一般からのフィードバックを求めることを目的とする。

 

 

サイバーAIプロファイル

2. Cyber AI Profile 2. サイバーAIプロファイル
Note: Should NIST receive feedback indicating that additional information is required for the focus area descriptions, this section may be expanded in the IPD. 注:NISTが焦点領域の説明に追加情報が必要とのフィードバックを受けた場合、このセクションはIPDで拡張される可能性がある。
The Cyber AI Profile is structured based on the CSF components (functions, categories, subcategories) and focus areas. This profile assumes that organisations already have a cybersecurity programme in place and provides additional considerations based on the deployment and use of AI systems. The content of the Cyber AI Profile was developed based on literature reviews, expert input, and working sessions with stakeholders and the public.  サイバーAIプロファイルは、CSF構成要素(機能、カテゴリー、サブカテゴリー)と重点領域に基づいて構築されている。本プロファイルは、組織が既にサイバーセキュリティプログラムを整備していることを前提とし、AIシステムの展開・利用に基づく追加的考慮事項を提供する。サイバーAIプロファイルの内容は、文献調査、専門家の意見、関係者及び一般市民との作業部会に基づいて策定された。
2.1. Focus Areas 2.1. 重点領域
The intersection of cybersecurity and AI is multifaceted. To provide structure, the Cyber AI Profile presents three focus areas based on stakeholder input. Each area is assigned a single keyword to facilitate detailed discussion. The focus areas are as follows: サイバーセキュリティとAIの交点は多面的である。構造化のため、本プロファイルはステークホルダーの意見に基づき3つの重点領域を提示する。各領域には詳細な議論を促進する単一のキーワードが割り当てられる。重点領域は以下の通りである:
• Securing AI System Components (Secure): Focuses on managing cybersecurity challenges when integrating AI into organisational ecosystems and infrastructure. • AIシステム構成要素の保護(Secure):組織のエコシステムやインフラにAIを統合する際のサイバーセキュリティ課題の管理に焦点を当てる。
• Implementing AI-Enabled Cyber Defence (Defend): Focuses on identifying opportunities to enhance cybersecurity processes and activities using AI, and understanding challenges when deploying AI to support defensive operations. • AIを活用したサイバー防御の実装(Defend):AIを用いてサイバーセキュリティプロセスや活動を強化する機会の特定、防御作戦支援のためのAI展開時の課題理解に焦点を当てる。
• Thwarting AI-enabled cyber attacks (Thwart): Focuses on building resilience to defend against new AI threat vectors. • AIを活用したサイバー攻撃の阻止(Thwart):新たなAI脅威ベクトルに対する防御のためのレジリエンス構築に焦点を当てる。
While these three focus areas address AI-related cybersecurity risks from distinct angles, they share commonalities, with each enabling the other two. The following paragraphs outline these differences and interrelationships. Details are summarised in Figure 1 below. これら3つの重点領域は、異なる角度からAI関連のサイバーセキュリティリスクに対処するが、共通点も持ち、それぞれが他の2つを可能にする。以下の段落では、これらの差異と相互関係を概説する。詳細は下図1にまとめられている。
Secure focuses on managing cybersecurity challenges when integrating any AI system into an organisational environment, whilst also examining how an organisation's cybersecurity programme should adapt to meet the specific needs of AI systems. Defend focuses on how organisations can leverage the opportunities AI provides, such as new efficiencies, to enhance their cybersecurity defence capabilities. While Secure examines cybersecurity requirements for the broad integration and management of AI systems, Defend explores how AI can enable organisations to conduct their cybersecurity activities more effectively and proactively. Both focus areas often function in tandem—when AI systems are adequately protected, AI-enabled defences can more effectively detect and respond to threats targeting those systems. Secureは、あらゆるAIシステムを組織環境に統合する際のサイバーセキュリティ課題の管理に焦点を当てると同時に、組織のサイバーセキュリティプログラムがAIシステムの特定のニーズを満たすためにどう適応すべきかを検討する。防御は、新たな効率性などAIが提供する機会を組織が活用し、サイバーセキュリティ防御能力を強化する方法に焦点を当てる。セキュアがAIシステムの広範な統合・管理に必要なサイバーセキュリティ要件を検討する一方、防御はAIが組織のサイバーセキュリティ活動をより効果的かつ積極的に遂行する手段となる方法を探求する。両重点領域はしばしば連動して機能する——AIシステムが適切に保護されれば、AIを活用した防御はそれらのシステムを標的とする脅威をより効果的に検知・対応できる。
Secure enables foundational cybersecurity practices within an organisation and, when integrated with resilience measures, prevents the AI-enabled attacks addressed by Thwart. Thwart recognises that AI can play a significant role in enabling attackers to sophisticate their methods and increase attack efficiency. Insights gained from Thwart regarding the use of adversarial AI provide organisations with the understanding to incorporate resilience into their overall cybersecurity programme under Secure. Secureは組織内の基礎的なサイバーセキュリティ実践を可能にし、レジリエンス対策と統合されることで、Thwartが対処するAIを活用した攻撃を防止する。Thwartは、AIが攻撃者の手法を高度化し攻撃効率を高める上で重要な役割を果たし得ることを認識している。敵対的AIの使用に関するThwartからの知見は、組織がSecureの下でレジリエンスを全体的なサイバーセキュリティプログラムに組み込むための理解を提供する。
Cybersecurity considerations across these three focus areas help an organisation's cybersecurity programme to secure AI systems, defend the organisation by leveraging new AI capabilities, actively thwart AI-enabled attacks, and strengthen defences based on known threats. これら3つの重点領域にわたるサイバーセキュリティの考慮事項は、組織のサイバーセキュリティプログラムがAIシステムを保護し、新たなAI能力を活用して組織を防御し、AIを活用した攻撃を積極的に阻止し、既知の脅威に基づく防御を強化するのに役立つ。
1_20251225154301
Figure 11: Relationships between Cyber AI Profile Focus Areas 図11:サイバーAIプロファイル重点領域間の関係
The scope and characteristics of each focus area are described in the following subsections. The descriptions of each focus area informed the development of the Cyber AI Profile content in Sections 2.3 to 2.8. 各重点領域の範囲と特性は、以下のサブセクションで説明される。各重点領域の説明は、セクション2.3から2.8におけるサイバーAIプロファイルの内容策定に反映されている。
2.1.1. Securing AI System Components (Secure) 2.1.1. AIシステムコンポーネントの保護(Secure)
The Secure focus area complements existing cybersecurity and risk management best practices, addressing new, expanded, and changed attack surfaces arising from the integration of AI systems into organisations, their ecosystems, and infrastructure. This encompasses the AI systems themselves, the supply chain including data and machine learning infrastructure, and other systems and data upon which the AI systems depend. 「保護」の重点領域は、既存のサイバーセキュリティおよびリスクマネジメントのベストプラクティスを補完し、AIシステムが組織、そのエコシステム、インフラに統合されることで生じる新たな、拡大した、変化した攻撃対象領域に対処する。これにはAIシステム自体、データや機械学習インフラを含むサプライチェーン、AIシステムが依存するその他のシステムやデータが含まれる。
AI systems are becoming increasingly vital in many sectors for day-to-day operations. Examples of AI usage falling within the Secure scope include, but are not limited to: AIシステムは多くの分野で日常業務に不可欠になりつつある。Secureの範囲に該当するAI利用例には以下が含まれるが、これらに限定されない:
• Restaurants performing demand forecasting and order taking/creation. • 需要予測や注文受付・作成を行う飲食店。
• Risk assessment and premium calculation in insurance companies. • 保険会社におけるリスクアセスメントと保険料計算。
• Load balancing in power grids. • 電力網における負荷分散。
• Filtering, prioritising, summarising, generating, and proofreading emails, reports, and other documents by businesses and individuals. • 企業や個人によるメール、報告書、その他の文書のフィルタリング、優先順位付け、要約、生成、校正。
• Initial customer interactions within customer service organisations. • カスタマーサービス組織における顧客との初期対応。
While these sectors and users may possess approaches to addressing cybersecurity challenges, they are currently striving to understand how AI-enhanced systems alter these risks. Compared to other computer systems, AI behaviour and vulnerabilities are highly context-dependent, dynamic, opaque, and difficult to predict. Identifying, verifying, diagnosing, and documenting issues when they occur is also more challenging. Even after an issue is identified, mitigation can be difficult if the vulnerability resides within the AI model, the underlying training data, or the machine learning infrastructure.  これらの分野やユーザーはサイバーセキュリティ課題への対処法を有しているかもしれないが、現在、AI強化システムがこれらのリスクをどう変えるかを理解しようと努めている。他のコンピュータシステムと比較して、AIの挙動や脆弱性は文脈依存性が強く、動的で不透明、予測が困難である。問題発生時の識別・検証・診断・文書化もより困難だ。問題が特定された後でも、脆弱性がAIモデル、基盤となる訓練データ、機械学習インフラのいずれかに存在する場合は、緩和の実施が難しい場合がある。
While AI presents organisations with opportunities to improve their cybersecurity processes, it also introduces new considerations. Each organisation must determine how to appropriately assess and manage the impact of adopting and using AI. Cybersecurity practitioners must implement various measures related to AI systems, such as addressing AI-related considerations in employee training, protecting AI systems from adversarial inputs, and maintaining data quality and integrity. AIは組織にサイバーセキュリティプロセスの改善機会をもたらす一方で、新たな考慮事項も生み出す。各組織はAI導入・利用の影響を適切に評価・管理する方法を決定しなければならない。サイバーセキュリティ担当者は、従業員研修におけるAI関連事項の対応、敵対的入力からのAIシステム防御、データ品質と完全性の維持など、AIシステムに関連する様々な対策を実施する必要がある。
2.1.2. Implementing AI-Enabled Cyber Defence (Defence) 2.1.2. AIを活用したサイバー防御(Defence)の実施
The scope of the “Defence” focus area is to identify opportunities for leveraging AI to support cybersecurity processes and activities, and to understand the challenges associated with using AI to support defensive operations. AI is increasing in influence and importance within an organisation's cybersecurity defences. For example, it can sift through vast numbers of alerts, distinguish real threats from noise, identify the most severe threats, and even assist with response prioritisation and action recommendations during an attack. Some teams are also experimenting with “agent-based AI”, where multiple AI agents collaborate to identify attacks, execute defensive actions, and mutually verify each other to strengthen defences. Examples of opportunities to enhance cyber defence capabilities using AI include: 「防御」の焦点領域の範囲は、サイバーセキュリティプロセスと活動を支援するためにAIを活用する機会を識別し、防御運用を支援するAIの使用に関連する課題を理解することである。AIは組織のサイバーセキュリティ防御において影響力と重要性を増している。例えば、膨大な数のアラートを精査し、ノイズから真の脅威を区別し、最も深刻な脅威を特定し、攻撃時の対応優先順位付けや行動推奨の支援さえ可能である。一部のチームでは「エージェントベースAI」の実験も行われている。これは複数のAIエージェントが連携して攻撃を識別し、防御行動を実行し、相互検証を行うことで防御を強化する仕組みだ。AIを活用したサイバー防衛能力強化の機会例は以下の通りである:
• Mission assurance: • ミッション保証:
• Security governance and policy (e.g., ensuring AI outputs comply with organisational policies) • セキュリティガバナンスとポリシー(例:AI出力が組織ポリシーに準拠するよう確保)
• Configuration management (e.g., managing configuration drift) • 構成管理(例:構成ドリフトの管理)
• Automated policy enforcement and compliance assessment support for cybersecurity regulations and standards (including streamlining compliance tasks) • サイバーセキュリティ規制・標準に対する自動化されたポリシー施行とコンプライアンスアセスメント支援(コンプライアンスタスクの効率化を含む)
o Enhancing and accelerating information sharing (e.g., leveraging STIX/OpenCTI formats for interoperability and cross-organisational sharing) o 情報共有の強化と加速(例:相互運用性と組織横断的共有のためのSTIX/OpenCTIフォーマット活用)
o Risk communication and executive decision support (e.g., assisting the CISO in translating risk into business language) o リスクコミュニケーションと経営層の意思決定支援(例:CISOがリスクをビジネス用語に翻訳する支援)
o Recovery (e.g., selecting priority systems for recovery and generating communications during recovery) o リカバリー(例:復旧優先システムの選定と復旧中のコミュニケーション生成)
• Predictive and preventive approaches: • 予測的・予防的アプローチ:
o Preventive risk management (e.g., predictive analytics for cyberattacks) o 予防的リスクマネジメント(例:サイバー攻撃に対する予測分析)
o Identification of threat actors and tactics likely to exploit vulnerabilities (e.g., leveraging open-source intelligence (OSINT) datasets for Advanced Persistent Threat (APT) profiling, integration with ATT&CK®/Cyber Threat Intelligence (CTI) tools) o 脆弱性を悪用する可能性のある脅威アクターと戦術の特定(例:高度持続的脅威(APT)プロファイリングのためのオープンソースインテリジェンス(OSINT)データセットの活用、ATT&CK®/サイバー脅威インテリジェンス(CTI)ツールとの統合)
o Predictive maintenance and asset risk forecasting (e.g., asset lifecycle tracking, end-of-life (EOL) risk prediction, maintenance planning) o 予知保全と資産リスク予測(例:資産ライフサイクル追跡、寿命終了(EOL)リスク予測、保守計画)
o Agent-based AI defence (e.g., “swarm” agents, agent health checks, agent-based AI security reference architecture, continuous validation and authentication via digital credentials) o エージェントベースのAI防御(例:「群れ」エージェント、エージェント健全性チェック、エージェントベースAIセキュリティ参照アーキテクチャ、デジタル認証による継続的妥当性確認・認証)
• Investigation and Analysis: • 調査と分析:
o Advanced threat detection and analysis (e.g., anomaly detection, outlier detection, User and Entity Behaviour Analytics (UEBA)). This identifies and reduces false positive (FP) and false negative (FN) rates, identifies insider threats, and prevents fraud. o 高度な脅威検知・分析(例:異常検知、外れ値検出、ユーザー・事業体行動分析(UEBA))。これにより、誤検知率(FP)と見逃し率(FN)を特定・低減し、内部脅威を識別し、不正を防止する。
o Adapting Zero Trust models to new threat patterns by detecting model drift (e.g., AI-based source code vulnerability detection, LLM-driven identification of malicious actions through semantic/logical understanding of source code, continuous monitoring and verification of user behaviour and system activity). o モデルドリフトの検知による新たな脅威パターンへのゼロトラストモデルの適応(例:AIベースのソースコード脆弱性検出、LLMによるソースコードのセマンティック/論理的理解を通じた悪意ある行動の特定、ユーザー行動とシステム活動の継続的監視・検証)。
• Response and Remediation: • 対応と修復:
o Adversarial training and simulation (e.g., providing realistic scenarios for cybersecurity personnel training, real-time coaching to improve incident response, adaptive learning for scenario refinement) o 敵対的訓練とシミュレーション(例:サイバーセキュリティ要員訓練のための現実的なシナリオ提供、インシデント対応改善のためのリアルタイムコーチング、シナリオ改善のための適応学習)
o Automated incident response (e.g., AI-driven automatic lockdown, support for incident response playbooks, ensuring consistency in response) o 自動化されたインシデント対応(例:AI駆動の自動ロックダウン、インシデント対応プレイブックの支援、対応の一貫性確保)
o Optimising cybersecurity helpdesk operations (e.g., handling initial response requests, prioritising reports) o Report generation (e.g., creating incident reports and client monitoring outputs) AI can enhance defence processes by complementing human analysts, reducing detection and response times, and aiding recovery. The application of AI in cybersecurity defence is a dynamic field, requiring organisations to continually assess whether its capabilities are sufficiently mature for their needs. This profile examines these opportunities to enhance cybersecurity defences using AI, alongside the new risks that such AI adoption may introduce. o サイバーセキュリティヘルプデスク業務の最適化(例:初期対応要請の処理、報告の優先順位付け)o レポート生成(例:インシデントレポートやクライアント監視出力の作成)AIは、人間のアナリストを補完し、検知と対応の時間を短縮し、復旧を支援することで防御プロセスを強化できる。サイバーセキュリティ防御におけるAIの応用はダイナミックな分野であり、組織はその機能が自社のニーズに対して十分に成熟しているかどうかを継続的に評価する必要がある。本プロファイルでは、AIを活用したサイバーセキュリティ防御の強化機会と、そのようなAI導入がもたらす新たなリスクを併せて検証する。
2.1.3. AI-Enabled Cyber Attack Prevention (Prevention) 2.1.3. AIを活用したサイバー攻撃防止(予防)
While reports of AI-enabled attacks are increasing, many attacks are likely to remain undetected until attackers' AI usage is better understood and effective countermeasures are integrated into cyber defences. The prevention focus area addresses how AI enhances attackers' capabilities, the impact these attacks have on overall cybersecurity, and what organisations can do to fortify their systems against these new threats. AIを活用した攻撃の報告は増加しているが、攻撃者のAI使用法がより理解され、効果的な対策がサイバー防御に組み込まれるまでは、多くの攻撃は未検出のままである可能性が高い。本予防分野では、AIが攻撃者の能力をいかに強化するか、これらの攻撃がサイバーセキュリティ全体に与える影響、そして組織が新たな脅威からシステムを強化するために何ができるかを扱う。
As cyber attacks evolve and the capabilities of AI in offensive cyber operations increasingly grow [11, 12, 13, 14], it is necessary to embed resilience and robustness into systems at a scale capable of addressing the escalating threat. Like other cybersecurity attacks, AI-enabled cyberattacks can assist adversaries across all aspects of the cybersecurity landscape: discovering exploitable vulnerabilities and weaknesses, rapidly expanding attack paths, stealing or tampering with data, and enhancing the capabilities of previously less sophisticated malicious actors [11, 12, 13]. These AI-enabled attacks differ from others in the following ways: サイバー攻撃が進化し、攻撃的サイバー作戦におけるAIの能力がますます高まる中[11, 12, 13, 14]、増大する脅威に対処できる規模で、システムにレジリエンスと堅牢性を組み込む必要がある。他のサイバーセキュリティ攻撃と同様に、AIを活用したサイバー攻撃は、悪意ある攻撃者がサイバーセキュリティ環境のあらゆる側面で活動するのを支援する。具体的には、悪用可能な脆弱性や弱点の発見、攻撃経路の急速な拡大、データの窃取や改ざん、従来は高度でなかった悪意ある攻撃者の能力強化などである[11, 12, 13]。これらのAI攻撃は、以下の点で他の攻撃と異なる:
• The speed and scale at which attacks occur, making it difficult to implement countermeasures within conventional timeframes. • 攻撃が発生する速度と規模が極めて大きく、従来の時間枠内で対策を実施することが困難である。
• The ease with which adversaries can deploy AI-enabled attacks. • 敵対者がAIを活用した攻撃を容易に展開できる。
• The dynamic and optimised nature of AI. • AIの動的かつ最適化された性質。
These factors will impact the ability to establish appropriate and efficient identification, mitigation, and defence against an evolving threat landscape [14]. これらの要因は、進化する脅威環境に対して適切かつ効率的な識別、緩和、防御を確立する能力に影響を及ぼす[14]。
Personnel-targeting attacks represent one of the primary means for AI-enabled cyberattacks to establish a foothold within systems. AI-enabled spear-phishing attacks exploit users through more realistic communications, including voice and video manipulation such as deepfake attacks. Furthermore, emerging generative AI (GenAI) technologies can generate hyper-realistic malicious websites and links that can be disseminated via email phishing. These emerging AI-enabled cyberattacks require minimal effort for attackers to generate. The proliferation of personal data spread across social media and online platforms enables the creation of individualised profiles aligned with the attacker's trust-building narrative. These attacks highlight the necessity for personnel to receive up-to-date training and for integrated automated defence systems to bolster existing email and authentication security measures. 個人を標的とした攻撃は、AIを活用したサイバー攻撃がシステム内に足場を築く主要な手段の一つである。AIを活用したスピアフィッシング攻撃は、ディープフェイク攻撃のような音声や動画の操作を含む、より現実的なコミュニケーションを通じてユーザーを悪用する。さらに、新興の生成的AI(GenAI)技術は、電子メールフィッシングを通じて拡散可能な、超現実的な悪意のあるウェブサイトやリンクを生成できる。こうした新たなAI活用型サイバー攻撃は、攻撃者にとって最小限の労力で生成可能だ。ソーシャルメディアやオンラインプラットフォームに拡散する個人データの氾濫により、攻撃者の信頼構築シナリオに沿った個別化されたプロファイル作成が容易になっている。これらの攻撃は、要員への最新トレーニングの実施と、既存のメール・認証セキュリティ対策を強化する統合型自動防御システムの必要性を浮き彫りにしている。
Another example of AI-enabled attacks involves attackers using AI to generate novel forms of malware designed to conceal their intent or evade existing signature-based detection and antivirus systems. Examples include malware executed from computer memory rather than hardware, or techniques that hide embedded malware instructions using unnatural file formats or seemingly innocuous file types. AIを活用した攻撃の別の例として、攻撃者がAIを用いて新たな形態のマルウェアを生成するケースがある。これらは攻撃者の意図を隠蔽したり、既存のシグネチャベース検出やアンチウイルスシステムを回避するように設計されている。例としては、ハードウェアではなくコンピューターメモリから実行されるマルウェアや、不自然なファイル形式や一見無害なファイルタイプを用いて埋め込まれたマルウェア指令を隠す技術が挙げられる。
A third example involves AI agents autonomously orchestrating each phase of a cyberattack: reconnaissance and mapping of the target domain, exploitation of vulnerabilities, credential harvesting, lateral movement, and data collection. AI agents are rapidly enhancing their ability to autonomously operate common cybersecurity tools and utilities, such as network scanners, password crackers, exploit frameworks, and binary analysis suites. 第三の例は、AIエージェントがサイバー攻撃の各段階(標的ドメインの偵察・マッピング、脆弱性悪用、認証情報収集、横方向移動、データ収集)を自律的に調整するケースだ。AIエージェントはネットワークスキャナー、パスワードクラッカー、エクスプロイトフレームワーク、バイナリ分析スイートといった一般的なサイバーセキュリティツールやユーティリティを自律的に操作する能力を急速に高めている。
The “Prevention” focus area builds upon “Protection” and “Defence” capabilities, deriving additional preventative measures to pre-empt hostile AI utilisation. 「予防」の重点領域は「保護」と「防御」の能力を基盤とし、敵対的なAI利用を未然に防ぐ追加的予防策を導出する。
2.2. Reading the Cyber AI Profile 2.2. サイバーAIプロファイルの読み解き
Tables 1 to 6 summarise relevant AI-related considerations for each of the 106 CSF subcategories, using the CSF Core. Each table addresses a single CSF function and comprises the following columns: 表1から表6は、CSFコアを用いて106のCSFサブカテゴリーそれぞれに対する関連するAI関連の考慮事項を要約する。各表は単一のCSF機能を扱い、以下の列で構成される:
• CSF Core: Provides the CSF core element (function, category, subcategory) and its description. • CSFコア:CSFの核となる要素(機能、カテゴリー、サブカテゴリー)とその説明を提供する。
• General Considerations: Includes non-exhaustive AI-related considerations (where relevant) for achieving outcomes within each subcategory. Applicable to multiple focus areas, serving as a reference for organisational subcategory prioritisation. • 一般的な考慮事項:各サブカテゴリー内で成果を達成するための、網羅的ではないAI関連の考慮事項(該当する場合)を含む。複数の重点領域に適用可能であり、組織のサブカテゴリー優先順位付けの参考となる。
• Proposed Priority and Considerations for Focus Areas: Sub-columns are provided for each of the three focus areas. Content includes: • 提案優先度と重点領域の考慮事項:3つの重点領域ごとにサブ列を設ける。内容は以下の通り:
o A ‘Proposed Priority’ (detailed later) indicating how critical achieving outcomes in this subcategory is for the organisation in meeting the focus area's goal. o 「提案優先度」(後述)は、当該サブカテゴリーの成果達成が重点領域の目標達成において組織にとってどれほど重要かを示す。
o Sample opportunities are listed only for the ‘Defence’ focus area. This is to illustrate opportunities where AI can be leveraged to support achieving the subcategory's outcomes. Not all subcategories will have sample opportunities provided, as AI opportunities do not exist for every subcategory.  o 機会事例は「防衛」重点領域のみに限定して記載する。これはAIを活用してサブカテゴリーの成果達成を支援できる機会を示すためである。全てのサブカテゴリーにサンプル機会が提供されるわけではない。AIの機会が全てのサブカテゴリーに存在するわけではないからだ。
 o Non-exhaustive AI-related sample priority area considerations (where relevant to the priority area's purpose) for the organisation to effectively achieve the subcategory's outcomes. These considerations aim to complement existing cybersecurity practices and integrate AI-related considerations into existing programmes. o 組織がサブカテゴリーの成果を効果的に達成するための、AI関連のサンプル優先領域考慮事項(該当する優先領域の目的に関連する場合)。これらの考慮事項は、既存のサイバーセキュリティ慣行を補完し、AI関連の考慮事項を既存プログラムに統合することを目的とする。
 Considerations are based on field observations and/or expertise. The phrase ‘standard cybersecurity measures apply’ indicates that no specific considerations exist for that focus area and that existing cybersecurity programme activities are sufficient for AI systems. These considerations also include the rationale for subcategories designated as priority ‘High (1)’ or ‘Medium (2)’.  考慮事項は現場観察および/または専門知識に基づく。「標準的なサイバーセキュリティ対策が適用される」という表現は、当該重点領域に特定の考慮事項が存在せず、既存のサイバーセキュリティプログラム活動がAIシステムに対して十分であることを示す。これらの考慮事項には、優先度「高(1)」または「中(2)」に指定されたサブカテゴリーの根拠も含まれる。
Regarding Defend, these considerations relate only to the opportunities described.  防御(Defend)に関しては、これらの考慮事項は記載された機会のみに関連する。
o Examples of reference information include a wide range of widely available, general-purpose materials (legislation, standards, guidelines, other research publications). These supplementary materials formed the basis for the subcategory considerations and priority proposals. They may also prove useful when organisations consider how to achieve outcomes within subcategories. Organisations may utilise the illustrative information references to identify areas where outcomes are already being achieved. (Note: The NIST SP 800-53 control references in the General Considerations section are presented using identical terminology to the mapping available via the NIST National Online Information Reference (OLIR) catalogue). o 参照情報の例には、広く入手可能な汎用資料(法令、標準、ガイドライン、その他の研究出版物)が幅広く含まれる。これらの補足資料は、サブカテゴリーの考慮事項と優先度提案の基礎を形成した。組織がサブカテゴリー内で成果を達成する方法を検討する際にも有用である可能性がある。組織は、成果が既に達成されている領域を特定するために、例示的な情報参照を利用できる。(注:一般考慮事項セクションのNIST SP 800-53制御参照は、NIST National Online Information Reference(OLIR)カタログ経由で利用可能なマッピングと同一の用語を用いて提示されている)。
Determining the considerations and priority for each subcategory is a subjective task based on field observations and expertise. The priority levels proposed by the Cyber AI Profile assist organisations in judging which subcategories should be addressed first. These priority levels do not indicate the difficulty of achieving the subcategory. The priority of subcategories may be higher or lower for each organisation, depending on environmental characteristics, needs, risks, and other factors. The proposed priority level for each subcategory is indicated by a number in each table: 各サブカテゴリーの考慮事項と優先度の決定は、現場観察と専門知識に基づく主観的な作業である。Cyber AI Profileが提案する優先度レベルは、組織がどのサブカテゴリーを最初に対処すべきかを判断する助けとなる。これらの優先度レベルは、サブカテゴリー達成の難易度を示すものではない。サブカテゴリーの優先度は、環境特性、ニーズ、リスク、その他の要因により、組織ごとに高くなったり低くなったりする可能性がある。各サブカテゴリーの提案優先度レベルは、各表内の数字で示される:
• ‘1’ denotes High Priority: These subcategories are considered most critical for addressing the challenges within the focus area. High-priority subcategories should typically be addressed most urgently, considering available resources. • 「1」は高優先度を示す:これらのサブカテゴリーは、焦点領域内の課題に対処する上で最も重要とみなされる。利用可能なリソースを考慮し、高優先度のサブカテゴリーは通常、最も緊急に対処すべきである。
• ‘2’ denotes medium priority: These are the next priority after implementing high-priority subcategories. • 「2」は中程度の優先度を示す:これらは高優先度サブカテゴリーの実施後に取り組むべき次の優先事項である。
• “3” denotes foundational priority: These are generally important for the focus area but do not require the same urgency as high priority. However, ‘foundational’ is not synonymous with low priority. All subcategories should be considered. • 「3」は基盤的優先度を示す:これらは一般的に焦点領域にとって重要であるが、高優先度と同等の緊急性は必要としない。ただし、「基盤的」は低優先度と同義ではない。全てのサブカテゴリーを考慮すべきである。
Organisations should develop strategies to address all subcategories as part of their cybersecurity programme. The prioritisation presented by the Cyber AI Profile provides an adaptable guideline indicating the cybersecurity capabilities that will have the greatest impact on resolving AI challenges relevant to each focus area. As with any risk management discussion, the decision to deploy AI-related cybersecurity mitigations should be evaluated within the context of the organisation's needs and risk appetite. Trade-offs for specific mitigations may vary depending on the environment. 組織はサイバーセキュリティプログラムの一環として、全てのサブカテゴリーに対処する戦略を策定すべきである。サイバーAIプロファイルが提示する優先順位付けは、各重点領域に関連するAI課題の解決に最大の影響を与えるサイバーセキュリティ能力を示す、適応可能な指針を提供する。あらゆるリスクマネジメントの議論と同様に、AI関連のサイバーセキュリティ緩和の展開判断は、組織のニーズとリスク許容度の文脈で評価されるべきである。特定の緩和におけるトレードオフは、環境によって異なる場合がある。

 

サイバーAIプロファイル...

優先度は1が高い...

20251226-72451

・[DOCX] [PDF] 仮訳

 

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.12.08 Five Eyes+ドイツ+オランダ OTにおけるAIの安全な統合に関する原則 (2025.12.03)

・2025.08.19 米国 NIST AI システムのセキュリティ確保のためのコントロールオーバーレイのコンセプトペーパー

・2025.06.12 米国 CISA AIデータセキュリティ:AIシステムの訓練と運用に使用されるデータセキュリティのベストプラクティス (2025.05.22)

・2025.05.09 英国 NCSC 2027年までのAIがサイバー脅威に与える影響 AIの脅威が生む「デジタルデバイド」でリスク増大

・2025.04.12 CSA STAR for AI 関係...

・2025.02.14 フランス ANSSI サイバーリスクに基づくアプローチによるAIへの信頼構築 (2025.02.07)

・2025.02.03 英国 AI安全報告書 2025

・2025.01.29 ドイツ BSI 生成的AIモデルV2.0 (2025.01.21)

・2025.01.18 米国 ホワイトハウス 大統領令14144 サイバーセキュリティの強化とイノベーションの促進 (2025.01.16)

・2024.01.05 NIST AI 100-2e2023 敵対的機械学習:攻撃と緩和策の分類と用語集

・2023.03.11 NIST ホワイトペーパー NIST AI 100-2e2023(ドラフト)敵対的機械学習:攻撃と緩和策の分類と用語集

・2021.12.15 ENISA 機械学習アルゴリズムの保護

・2020.12.18 ENISA AI サイバーセキュリティのチャレンジ - AI脅威状況報告を公表していますね。

・2020.10.25 『スマートサイバー AI活用時代のサイバーリスク管理』第24回 サイバー犯罪に関する白浜シンポジウムの発表資料

 

 

| | Comments (0)

2025.12.25

米国 国家安全保障戦略 (2025.12.04)

こんにちは、丸山満彦です。

バイデン大統領が2022.10.13に国家安全保障戦略を公表していましたが、トランプ政権になって8ヶ月、トランプ大統領の国家安全保障戦略が公表されています...

バイデン大統領の国家安全保障戦略と比較すると、焦点が絞られていて、かつ内容は経済に関することが大部分となっていますね...中国、ロシア、北朝鮮、イランを明確に意識したつくりから、それらの4カ国に関する章はなく、地域の章にまとめられています。そして、北朝鮮に関しては一言も触れられていませんね...

米国の強みを見つめ直し、トランプさんの過去の経験やこれからの希望を踏まえた理念を混ぜて、作ったのですかね...

 

変化のポイントでいうと...

・基本的な見方:「民主主義vs専制主義」から「アメリカの国益重視」

・基本的な姿勢:「国際協力」から「アメリカの国益優先」

・外交姿勢:「価値観外交」から「実利重視外交」

・軍事;「多様性と統合抑止(サイバー含む)」から「圧倒的な物理的な力による抑止」(陸海空軍の強さの維持)

・環境:「クリーンエネルギー」から「石油エネルギー」(石油資源は米国の強み)

・同盟:「戦略的資産」から「国益に従った条件付き支援(負担分担)」

・中国;「競争しつつも協力(気候変動等)も」から「全面的な競争。特に経済領域」

・ロシア:「目前の脅威」から「停戦優先」

・優先地域:「欧州、アジア太平洋」から「西半球」(麻薬、経済面含め)

・移民:「管理した受け入れ」から「大量移民の阻止」

 

日本としては、米国の国益と合う部分と合わない部分を見極めて、米国の国益と合わない部分については、欧州、アジア諸国などの他国との連携も含めて対応(もちろん、米国の顔色を伺いながら...)するという感じになるのですかね...

 

White House

・2025.12.04 [PDF] National Security Strategy of the United States of America  [downloaded]

20251225-43420

 

・[DOCX][PDF] 仮訳

 


 

Atlantic Council の専門家のコメント

・2025.12.05 Experts react: What Trump’s National Security Strategy means for US foreign policyB

 

Brookings研究所の専門家のコメント

・2025.12.08 Breaking down Trump’s 2025 National Security Strategy

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2022.10.14 米国 国家安全保障戦略

 

| | Comments (0)

米国 NIST 製造業と重要インフラ向けのAIセンターをそれぞれ設立 (2025.12.22)

こんにちは、丸山満彦です。

NISTがMITREと連携して、製造業と重要インフラ向けAIセンターを設立をすると発表していますね...2000万ドル...

米国は製造業の復活をどこまで本気に考えているのでしょうかね...ただ、雇用がどれほど増えるのか???という問題はありそうですね...

 

 

NIST

・2025.12.22 NIST Launches Centers for AI in Manufacturing and Critical Infrastructure

NIST Launches Centers for AI in Manufacturing and Critical Infrastructure NIST、製造事業者向けと重要インフラ向けAIセンターを設立
GAITHERSBURG, Md. — The U.S. Department of Commerce’s National Institute of Standards and Technology (NIST) has expanded its collaboration with the nonprofit MITRE Corporation as part of its efforts to ensure U.S. leadership in artificial intelligence (AI). Through this award, NIST is investing $20 million to establish two centers to advance the delivery of AI-based technology solutions to strengthen U.S. manufacturing and cybersecurity for critical infrastructure. メリーランド州ゲイサーズバーグ発 ― 米国商務省国立標準技術研究所(NIST)は、人工知能(AI)分野における米国の主導的立場を確保する取り組みの一環として、非営利団体MITRE社との協力を拡大した。本助成を通じ、NISTは2000万ドルを投資し、米国製造業の強化と重要インフラのサイバーセキュリティ強化に向けたAI技術ソリューションの提供を推進する2つのセンターを設立する。
“This investment will help accelerate the application of AI in American manufacturing and help drive the American manufacturing renaissance,” said Deputy Secretary of Commerce Paul Dabbar. “We can harness AI to increase the competitiveness of our manufacturers and attract investment in America.” 「この投資は米国製造業におけるAIの応用を加速させ、米国製造業の復興を推進する助けとなる」とポール・ダバー商務次官は述べた。「我々はAIを活用し、製造事業者の競争力を高め、米国への投資を呼び込むことができる」
The award is an important step in implementing NIST’s Strategy for American Technology Leadership in the 21st Century to accelerate the progress of critical and emerging technologies from development to adoption, in close partnership with U.S. industry. 本助成は、NISTの「21世紀における米国技術リーダーシップ戦略」の実施における重要な一歩であり、米国産業界との緊密な連携のもと、重要かつ新興技術の開発から実用化までの進展を加速させるものである。
“Our goal is to remove barriers to American AI innovation and accelerate the application of our AI technologies around the world,” said Acting Under Secretary of Commerce for Standards and Technology and Acting NIST Director Craig Burkhardt. “This new agreement with MITRE will focus on enhancing the ability of U.S. companies to make high-value products more efficiently, meet market demands domestically and internationally, and catalyze discovery and commercialization of new technologies and devices.” 「我々の目標は、米国におけるAIイノベーションの障壁を取り除き、世界中でAI技術の応用を加速させることだ」と、商務省標準技術担当次官代理兼NIST長官代理のクレイグ・バークハートは述べた。「MITREとのこの新たな合意は、米国企業がより効率的に高付加価値製品を製造する能力の強化、国内外の市場需要への対応、新技術・新デバイスの発見と商業化の促進に焦点を当てる」
The AI Economic Security Center for U.S. Manufacturing Productivity and the AI Economic Security Center to Secure U.S. Critical Infrastructure from Cyberthreats will drive the development and adoption of AI-driven tools, or “agents,” in these two national priority areas. The centers will develop the technology evaluations and advancements that are necessary to effectively protect U.S. dominance in AI innovation, address threats from adversaries’ use of AI, and reduce risks from reliance on insecure AI. 「米国製造業生産性向けAI経済安全保障センター」と「サイバー脅威から米国重要インフラを保護するAI経済安全保障センター」は、これら二つの国家優先分野において、AI駆動型ツール(エージェント)の開発と普及を推進する。これらのセンターは、AIイノベーションにおける米国の優位性を効果的に防御し、敵対勢力のAI利用による脅威に対処し、安全でないAIへの依存に伴うリスクを低減するために必要な技術評価と進歩を開発する。
NIST will rely on existing resources to build on its expertise and carry forward recommendations in the White House’s July 2025 America’s AI Action Plan, including Pillar I: Accelerate AI Innovation and Pillar II: Build American AI Infrastructure NISTは既存のリソースを活用し、専門性を基盤として、ホワイトハウスが2025年7月に発表した「アメリカのAI行動計画」の提言を推進する。これには柱I:AIイノベーションの加速と柱II:米国AIインフラの構築が含まれる。
These are important first steps in NIST’s programmatic plan to coordinate innovation-based research efforts for accelerating the development and deployment of critical technologies in areas of national priority. Building on its long history of public-private collaboration, NIST plans to use adaptive and flexible partnerships to develop, pilot and implement new advances to establish U.S. leadership and innovation in critical and emerging technologies such as AI, quantum information science and technology, and biotechnology. これは、国家優先分野における重要技術の開発・展開を加速するため、イノベーションに基づく研究活動を調整するNISTの計画における重要な第一歩である。官民連携の長い歴史を基盤に、NISTは適応性・柔軟性のあるパートナーシップを活用し、AI、量子情報科学技術、バイオテクノロジーなどの重要・新興技術分野における米国のリーダーシップとイノベーションを確立するため、新たな進歩の開発・実証・実施を計画している。
The partnership will leverage MITRE’s long-standing mission to operate federally funded research and development centers. NIST expects the AI centers to enable breakthroughs in applied science and advanced technology and deliver disruptive innovative solutions to tackle the most pressing challenges facing the nation. このパートナーシップは、MITREが長年担ってきた連邦政府資金による研究開発センターの運営という使命を活用する。NISTは、AIセンターが応用科学と先端技術におけるブレークスルーを可能にし、国家が直面する最も差し迫った課題に取り組むための破壊的革新ソリューションを提供することを期待している。
This agreement expands NIST’s portfolio of AI-focused programs and builds on the private-public partnerships leveraged by the Center for AI Standards and Innovation (CAISI), which leads evaluations of U.S. and adversary systems and contributes to NIST’s efforts to develop best practices. CAISI has established voluntary agreements with multiple developers of leading-edge or “frontier” AI models to enable collaborative research and voluntary testing of industry models for priority national security capabilities. 本合意はNISTのAI重点プログラム群を拡充し、AI標準・イノベーションセンター(CAISI)が構築した官民連携を基盤とする。CAISIは米国及び敵対システムの評価を主導し、NISTのベストプラクティス開発に貢献している。CAISIは、最先端(フロンティア)AIモデルの開発企業複数社と自主的合意を締結し、国家安全保障上の優先能力に関する産業モデルの共同研究と自主的試験を可能にしている。
In the coming months, NIST plans to announce its award for the AI for Resilient Manufacturing Institute, through the Manufacturing USA program. With up to $70 million in investment over a five-year period from NIST and at least that much in nonfederal funding, the institute will bring together expertise in AI, manufacturing and supply chain networks to promote manufacturing resilience. 今後数ヶ月以内に、NISTは製造米国プログラムを通じ、レジリエント製造のためのAI研究所への助成金授与を発表する予定だ。NISTによる5年間で最大7000万ドルの投資と、少なくとも同額の非連邦資金により、同研究所はAI、製造事業者、サプライチェーンネットワークの専門知識を結集し、製造業のレジリエンシー促進を図る。
Combined, these efforts will enhance NIST’s core research, standards and technology mission to tackle barriers preventing U.S. innovation and leadership in AI.  これらの取り組みを組み合わせることで、NISTの中核となる研究、標準、技術ミッションが強化され、米国がAI分野で革新とリーダーシップを発揮する上での障壁の解消に取り組むことになる。

 

 

1_20251225041701

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.07.25 米国 ホワイトハウス AI行動計画(2025.07.23)

 

 

| | Comments (0)

NCO 「新・サイバー防御」解説動画(フル版) (2025.09.02)

こんにちは、丸山満彦です。

国家サイバー統括室(NCO)が「新・サイバー防御」解説動画(フル版)」を公開していましたね...

2分30秒です。

 

● NCOサイバーセキュリティ普及啓発動画ポータル

・2025.09.02 [youtube] 【NCO】「新・サイバー防御」解説動画(フル版)

20251224-60231

 

 

実は、自民党のウェブページから気づきました(^^;;

 

自由民主党

・2025.12.18 官民一体の新たなサイバー防御始まる 国民一人一人がサイバー攻撃への備えを

 

 

 

| | Comments (0)

2025.12.24

閣議決定 NCO 重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針 (2025.12.23)

こんにちは、丸山満彦です。

2025.12.23にサイバーセキュリティ戦略とともに、「重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針」も閣議決定されましたね...

 

● 内閣府

概要...

・2025.12.23 [PDF] 重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針の概要

20251224-61658

 

本文...

・2025.12.23 [PDF] 重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針 

20251224-61809

 

 

目次...


はじめに

第1章 重要電子計算機に対する特定不正行為による被害の防止に関する基本的な事項

第1節 本法による各種措置を行うこととなった背景・経緯
第2節 制度の基本的な考え方
第3節 政府内及び事業者等との連携と総合調整
⑴ 政府内の連携と総合調整
⑵ 事業者等との連携
第4節 通信の秘密の尊重
第5節 基本的な事項に関わる概念・定義の考え方
⑴ 重要電子計算機の定義の考え方
⑵ 機械的情報の考え方

第2章 当事者協定の締結に関する基本的な事項

第1節 基本的な考え方
第2節 当事者協定の締結を推進させるための基本的な事項

⑴ 当事者協定の締結の推進に当たっての考え方
⑵ 当事者協定の締結についての推進方策
第3節 当事者協定の締結に関する配慮事項
⑴ 当事者協定の締結に向けた協議に関する配慮事項
⑵ 当事者協定に基づく他目的利用に関する配慮事項

第3章 通信情報保有機関における通信情報の取扱いに関する基本的な事項

第1節 基本的な考え方
第2節 通信情報の利用を適切に機能させるための基本的な事項

⑴ 通信情報の利用に係る能力構築の考え方
⑵ 電気通信事業者の協力
第3節 通信情報の適正な取扱いに関する配慮事項
⑴ 通信の秘密等への十分な配慮
⑵ 通信情報の安全管理措置
⑶ 提供用選別後情報の活用
⑷ サイバー通信情報監理委員会による監理
⑸ 他法令の遵守に関する配慮事項

第4章 情報の整理及び分析に関する基本的な事項

第1節 基本的な考え方
第2節 報告等情報の収集の考え方
⑴ 特定重要電子計算機の届出の考え方
⑵ 特定侵害事象等の報告の考え方
第3節 収集した情報の整理及び分析の考え方
⑴ 総合整理分析情報の作成の考え方
⑵ 提供用総合整理分析情報・周知等用総合整理分析情報の作成の考え方
第4節 関係機関等への協力の要請
第5節 事務の委託に関する考え方

第5章 総合整理分析情報の提供に関する基本的な事項

第1節 基本的な考え方
第2節 総合整理分析情報等の提供先と提供する内容の考え方

⑴ 行政機関等に対する情報提供
⑵ 外国の政府等に対する情報提供
⑶ 協議会の構成員に対する情報提供
⑷ 特別社会基盤事業者に対する情報提供
⑸ 電子計算機を使用する者に対する周知等
⑹ 電子計算機等供給者に対する情報提供等、脆弱性情報に係る情報提供
第3節 情報提供に当たっての関係行政機関の連携
第4節 情報提供に当たって必要な配慮
第5節 安全管理措置
第6節 事務の委託に関する考え方

第6章 協議会の組織に関する基本的な事項

第1節 基本的な考え方
第2節 協議会の取組内容・運営方針
第3節 協議会で共有されるべき情報・協議する内容
第4節 協議会の構成員
第5節 安全管理措置

第7章 その他重要電子計算機に対する特定不正行為による被害の防止に関し必要な事項

第1節 制度及び基本方針の見直しに関する事項
第2節 官民連携に関する関係省庁・関係機関等との連携等に関する事項
第3節 アクセス・無害化措置との連携


 

関連...

内閣府 - サイバー安全保障

重要電子計算機に対する不正な行為による被害の防止に関する法律

・[PDF] 法律概要説明資料

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.12.24 閣議決定 サイバーセキュリティ戦略

・2025.11.11 内閣官房 「サイバーセキュリティ戦略(案)」に関する意見の募集

・2025.11.05 国家サイバー統括室 重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針(案)...第3回サイバー対処能力強化法の施行等に関する有識者会議 (2025.10.30)

・2025.06.08 内閣官房 NISC サイバーセキュリティ戦略本部第43回会合 - インシデント報告様式の統一 (2025.05.29)

・2025.05.17 「重要電子計算機に対する不正な行為による被害の防止に関する法律」とその法律の施行に伴う関係法律の整備等に関する法律が成立しましたね...そして、クリアランス制度がはじまりましたね...(2025.05.16)

・2025.02.08 内閣官房 サイバー対処能力強化法案及び同整備法案 (2025.02.07)

 

 

| | Comments (0)

閣議決定 人工知能基本計画

こんにちは、丸山満彦です。

人工知能基本計画が閣議決定されましたね...サイバーセキュリティ戦略も閣議決定されています...

「信頼できるAI」による「日本再起」~ということのようです...

 

気になるのは、「AI利活用の加速的推進」のために「「隗より始めよ」の観点から、まずは政府自らが積極的かつ先導的に利活用する。」として、「【具体的な取組】(2)社会課題解決に向けたAI利活用の推進」の例として

③ 防衛力の抜本的強化に向けたAI利活用を推進する。【防衛省】

④ 国民の安全・安心の確保に向けた警察活動の高度化のためのAI利活用を推進する。【警察庁】

が挙げられているのですが、すでに議論がされているのは了解しているのですが、人権等との関係については、より多くの人を巻き込んで、深い議論をすすめておいたほうがよいと思いました。

 

 

首相官邸

・2025.12.23 定例閣議案件

 

で、内閣府に掲載されています...

● 内閣府 - AI戦略 - 人工知能戦略本部

 

・[PDF] 人工知能基本計画の概要

20251223-193500

 

・[PDF] 人工知能基本計画

20251223-193515

 

なんだろう...読んでみると、まるでAIが書いたかのような文書...ことばとことばが繋がっているようで繋がっていないところもあるような...

計画の内容の超つまみ食い(^^)


第1章 基本構想 ~「世界で最もAIを開発・活用しやすい国」を目指して~
(AIで変わる世界と我が国の現状)

...基礎研究から社会実装までが近接するAIで、実装が進んでいないことが我が国のAI開発上の大きな障害となっている。 今こそ、AIの利活用及び研究開発を積極的に推し進め、経済・社会構造の変革や付加価値を創出していく「AIイノベーション」の推進を始めとして、我が国としてAIに関する国家戦略を構築していくことが不可欠である。 

( 「AIイノベーション」で我が国が目指すもの)

...AIイノベーションにおいては、我が国が現実社会で積み上げてきた、世界に冠たる 「信頼性」という価値を再現することに重点を置く。

我が国の様々な現場において、課題にAIを積極適用し、経験をデータとして集積、組織を越えて共有することで、「信頼できるAI」を創る。開かれた形でのAIモデル開発、フィジカルAIの探究、AI駆動の研究開発で世界をリードし、AIのフロンティアを開拓する。「信頼できるAI」を軸として、日本が世界各国の多様なAIイノベーションを糾合していく。

(今こそ「反転攻勢」の時)

...今こそ、社会全体で 「信頼できるAI」を使うことを徹底し、「利活用」から 「開発」へのサイクルを回し、日本が強みとして持つ産業・医療・研究といった分野の質の高いデータや世界に冠たる高品質な通信環境をいかしたAIイノベーションで、日本が世界とともに「反転攻勢」に出る。...

(「世界で最もAIを開発・活用しやすい国」に向けて)

...「危機管理投資」・「成長投資」の中核として、AI戦略を今一段と進化させるためにも、「イノベーション促進とリスク対応の両立」を一層徹底することにより、人とAIが絶えず協働できるよう、個人の尊厳が尊重される人間中心のAI社会を堅持しつつ、「信頼できるAI」を追求し、「世界で最もAIを開発・活用しやすい国」を実現していく。 ...

 

第2章 AI関連技術の研究開発及び活用の推進に関する施策についての基本的な方針

(3原則)

・「イノベーション促進とリスク対応の両立」

・「アジャイルな対応」

この両立に向けては、PDCA(計画・実行・評価・改善)サイクルを循環させ、変化に即応しつつ物事に柔軟かつ迅速に向き合うといったアジャイルな対応を志向する。

・「内外一体での政策推進」

...国内政策だけでなく、対外政策を表裏一体かつ有機的に組み合わせる内外一体でAIに関わる政策を推進していく。 


(4つの基本的な方針)

1.AI利活用の加速的推進( 「AIを使う」)

...データの集積 ・利活用、特に組織を越えたデータの共有を促進することで、AIの徹底した利活用につなげ、AIの性能向上も実現する。


2.AI開発力の戦略的強化( 「AIを創る」)

...インフラからアプリまでのAIエコシステムに関する各主体での開発を進めつつ、それらを有機的に組み合わせることで、日本の強みとして「信頼できるAI」を開発する。

3.AIガバナンスの主導( 「AIの信頼性を高める」)

...AIは国境を越えて展開するものであるため、日本国内だけでなく、国際的なガバナンスが不可欠であり、我が国はその構築を主導する。


4.AI社会に向けた継続的変革( 「AIと協働する」)

...人とAIが協働する社会を実現するため、産業や雇用の在り方、制度や社会の仕組み等を先導的かつ継続的に変革する。 

 

第3章 AI関連技術の研究開発及び活用の推進に関し、政府が総合的かつ計画的に講ずべき施策

第1節 AI利活用の加速的推進

...世代を問わずほとんどの国民が能動的かつ意識的に 「まず使ってみる」という意識を広く醸成する。 ...

【具体的な取組】

(1)政府・自治体でのAIの徹底した利活用

(2)社会課題解決に向けたAI利活用の推進

(3)AI利活用促進による新しい事業や産業の創出

第2節 AI開発力の戦略的強化

...我が国が独自にAIを研究開発し、自律的な運用もできる能力を強化するため、データやデータセンター、基盤モデル、アプリを含むAIエコシステムについて、エコシステム全体を俯瞰しつつ戦略的かつ統合的に日本国内で構築する。積極的な海外展開を通じて国際競争力も強化することで、国力の強化及びデジタル赤字の解消に寄与する。国家主権と安全保障の観点も踏まえ、日本の自律性・不可欠性を確保する。 

...

開かれた形でのAI開発を志向し、国内外からトップ人材を積極的に受け入れ、産業や医療分野、研究など日本の強みとなる分野の質の高いデータをいかし、日本国内におけるAI開発力を高める。

他国に頼りきるのではなく、我が国自ら基礎研究を始めとするAIの研究開発を行い、開発と実装の好循環を実現することで、実践的なスキルの獲得を可能とし、即戦力となるAI人材の育成環境を形成する。

AIモデルとアプリを組み合わせた多様なサービスの創出、自動運転、工場やインフラの管理、人との協働を実現する自律型ロボットなど、現実世界における物理的タスクを実行可能なフィジカルAIの開発導入、科学研究に広くAIを利活用する AI for Science 等の推進を日本の勝ち筋として、一層注力する。

国家主権と安全保障の観点や日本の文化・習慣等も踏まえた信頼できるAIの実現に向けたデータの整備、基盤モデル及び評価基盤の開発を推進する。

AI研究開発の強化及び利活用基盤の増強・確保のため、十分な計算資源とその基盤となる半導体の開発及び供給、データセンター及びクラウド環境の整備、それらを支える通信ネットワークの構築、安定的な電力供給体制の確保等、AIインフラの戦略的な整備を加速する。...

【具体的な取組】

(1)日本国内のAI開発力の強化

(2)日本の勝ち筋となるAIモデル等の開発推進

(3)信頼できるAI基盤モデル等の開発

(4)AI研究開発・利用基盤の増強・確保

第3節  AIガバナンスの主導

AIイノベーションの好循環を実現し、信頼できるAIエコシステムを構築するため、技術開発・実証・評価・運用の各段階において、適正性の確保につながるPDCAサイクルを構築する。

...AISIの機能強化にあっては、世界屈指の英国 AI Security Institute の規模をベンチマークとしつつ、人員を直ちに現行の2倍程度に拡充する。

AIの安全性確保やAIを利用した攻撃への対応が、新たなサイバーセキュリティ上の課題として認識されつつあることを踏まえ、体制整備を含めた適切な措置を講ずる。...

【具体的な取組】

(1) 信頼できるAIエコシステムの構築

(2) ASEAN等グローバルサウス諸国を含めた国際協調

第4節 AI社会に向けた継続的変革

...AI技術が急速に進展する中、「人とAIの協働」による新たな社会を実現するため、制度や社会の仕組みを先導的に見直し、継続的に変革する。...

...AI社会において人が人としての価値を発揮するため、創造力、思考力、判断力、適応力、コミュニケーション力などを含む「人間力」向上を図る。

AIの進展による格差や排除を防ぎ、AI社会から取り残される者を生まない。

【具体的な取組】

(1)AIを基軸とした産業構造の構築 

(2)AI社会における制度・枠組みの検討・実証

(3)AI人材の育成・確保

(4)AI時代における人間力の向上

 

第4章 AI関連技術の研究開発及び活用の推進に関する施策を政府が総合的かつ計画的に推進するために必要な事項

第1節 基本計画の推進体制及びフォローアップ

第2節 基本計画の変更

第3節 他の計画等との連携


 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.12.22 内閣府 人工知能戦略本部(第3回)人工知能基本計画(案)(2025.12.19)


 

| | Comments (0)

国連他 「国家サイバーセキュリティ戦略策定のためのガイド」第3版 (2025.12.18)

こんにちは、丸山満彦です。

国連、インターポール、FIRST、欧州評議会(Council of Europe)、NATO-CCDCOE、IMF、ITU、WEFにマイクロソフトやアクセンチュアといった民間企業が協力して、国家サイバーセキュリティ戦略策定のためのガイドの第3版を公表していますね...

日本も新しいサイバーセキュリティ戦略が昨日確定していますが、今後のサイバーセキュリティ戦略をつくるにあたり、参考なる部分もあると思います。

(国により状況は異なる(特に重点分野)し、過去の経緯も踏まえる必要があるので、これを写して作るというものではないのですが、抜け漏れチェックには使えるように思います)

ざっと見ると大きく抜けているところはないように思います...強いて言えば、以下の点はもう少し強調されてもよかったかもですね...

子供からのサイバーセキュリティ教育の強化・充実((4)で触れられていますが...)

サイバーセキュリティに対する予算配分についての戦略(各省庁が戦略を配慮して適切な予算をつけていて、NCOが全体予算を把握しているのは承知なのですが...)

後者は、政府が社会全体を対象としたサイバーセキュリティに関するリスクアセスメントをして、政策の優先順位をつけ、その政策にかかる予算概算を把握しないといけないので、難しい面があるのは承知です。。。

 

 

 

National Cybersecurity Strategy

・2025.12.18 3rd Edition of the Guide for developing a National Cybersecurity Strategy

ウェブで見れるので便利です...

The NCS Guide 2025 NCSガイド2025
The 2025 Guide in Detail 2025年ガイドの詳細
Joint Foreword 共同まえがき
Document Overview 文書の概要
Introduction 序論
Lifecycle ライフサイクル
Overarching Principles 包括的原則
National Cybersecurity Strategy Good Practice 国家サイバーセキュリティ戦略の優良実践
Reference Materials 参考資料
Acronyms 略語一覧

 

概要...

 

 

PREFACE 序文
The Guide to Developing a National Cybersecurity Strategy is one of the most comprehensive overviews of what constitutes a successful cybersecurity strategy. It is the result of a unique, collaborative, and equitable multistakeholder effort. 国家サイバーセキュリティ戦略策定ガイドは、成功するサイバーセキュリティ戦略の構成要素について最も包括的な概要の一つである。これは、ユニークで協力的かつ公平なマルチステークホルダーの取り組みの結果である。
The Contributors came together with an appreciation of the need to strengthen cooperation and coordination across the international community on cyber capacity-building. The objective of this effort is to support national leaders and policymakers in the development of defensive and proactive responses to cybersecurity risks, in the form of a National Cybersecurity Strategy (NCS), and in thinking strategically about cybersecurity, cyber preparedness, response, and resilience, while building confidence and security in the use of digital technologies. 寄稿者たちは、サイバー能力構築に関する国際社会全体の協力と調整を強化する必要性を認識して集まった。この取り組みの目的は、国家指導者や政策立案者が、国家サイバーセキュリティ戦略(NCS)という形でサイバーセキュリティリスクに対する防御的かつ積極的な対応策を策定し、サイバーセキュリティ、サイバー準備態勢、対応、レジリエンスについて戦略的に考えることを支援すると同時に、デジタル技術の利用における信頼と安全を構築することにある。
The Guide was developed through an iterative approach that sought to reach agreement through consensusbuilding. It is based on existing authoritative resources and aims to facilitate their use by national stakeholders. Wherever possible, the relevant sources and tools used in developing each section of this Guide are listed in the Reference section (available on www.ncsguide.org) to encourage their broader use. 本ガイドは合意形成を通じた合意達成を目指す反復的アプローチにより作成された。既存の権威ある資料に基づき、各国の関係者がそれらを活用することを促進することを目的とする。可能な限り、本ガイドの各章作成に用いた関連資料及びツールは参考文献セクション(www.ncsguide.org で閲覧可能)に記載し、それらの広範な利用を促す。
Cybersecurity is a foundational element underpinning the achievement of socio-economic objectives of modern economies. The hope is that this third edition of the Guide to Developing a National Cybersecurity Strategy can continue to serve as a useful tool for all stakeholders involved in the development, implementation, and revision of this type of official document, including national leaders, policymakers, legislators, and regulators with cybersecurity responsibilities. In addition, it might have broader applicability, as the concepts introduced can be applied at the regional or municipal levels, and can also be adapted for industry or used for academic research. サイバーセキュリティは、現代経済における社会経済目標の達成を支える基盤的要素である。 この『国家サイバーセキュリティ戦略策定ガイド』第3版が、国家指導者、政策立案者、立法者、サイバーセキュリティ責任を有する規制当局など、この種の公式文書の策定、実施、改訂に関わる全ての関係者にとって有用なツールであり続けることを期待する。さらに、ここで紹介される概念は地域レベルや自治体レベルでも適用可能であり、産業向けに適応させたり学術研究に活用したりすることもできるため、より広範な適用性が期待される。
NOTE TO READERS ON THE UPDATE 読者への更新に関する注記
Version 3 of the Guide to Developing a National Cybersecurity Strategy (NCS) updates, refines, and expands upon Version 2, which was published in 2021. Since then, the cybersecurity risk environment, technologies, and policy practices have continued to evolve and grow in complexity. This edition captures key developments in cybersecurity as well as emerging and disruptive technologies that governments should consider in their national strategic planning, while preserving compatibility with prior versions and the Guide’s process-pluscontent approach.  『国家サイバーセキュリティ戦略(NCS)策定ガイド』第3版は、2021年に発行された第2版を更新・改良・拡充したものである。 その後もサイバーセキュリティのリスク環境、技術、政策実践は進化を続け、複雑さを増している。本版では、政府が国家戦略計画において考慮すべきサイバーセキュリティの主要な進展や新興・破壊的技術を取り込みつつ、旧版との互換性および本ガイドのプロセスと内容の両立というアプローチを維持している。 
This new Version focuses on practical recommendations and ease of use, and includes new material where practice has advanced. However, Version 3 remains fully compatible with Version 2 and preserves the Guide’s balance between process (Lifecycle) and content (Overarching Principles and Focus Areas). Countries that adopted earlier versions can use Version 3 to review and update their national cybersecurity strategies or make incremental improvements, particularly in financing, governance, requirements for critical infrastructure, critical information infrastructure, and essential services (CI/CII/ES), risk management, incident response, legislation, and international engagement.  この新版は実践的な提言と使いやすさに重点を置き、実践が進んだ分野では新たな内容を追加している。ただし、バージョン3はバージョン2との完全な互換性を維持し、プロセス(ライフサイクル)と内容(包括的原則と重点分野)のバランスをガイドとして保っている。 以前の版を採用した国々は、第3版を用いて国家サイバーセキュリティ戦略の見直し・更新、あるいは特に資金調達、ガバナンス、重要インフラ・重要情報インフラ・重要サービス(CI/CII/ES)の要件、リスクマネジメント、インシデント対応、立法、国際的関与といった分野における段階的な改善を行うことができる。 
Major updates and additions include: 主な更新と追加内容は以下の通りである:
• Lifecycle financing and long-term sustainment: More detailed language emphasizes strategic resource planning and sustainable funding across the full NCS lifecycle (development, implementation, monitoring, review, and renewal). This includes alignment with national budget and public investment cycles, the use of dedicated funding lines, optimization of existing government resources, and external financing (e.g., multilateral development banks (MDBs), international financial institutions (IFIs), donors, technical assistance). Multi-year sustainment, attention to out-year costs and forward-looking budget projections, and fully funded initiatives are stressed. Resources should be defined in terms of money, people, and material. • ライフサイクル資金調達と長期維持:より詳細な記述により、国家サイバーセキュリティ戦略(NCS)の全ライフサイクル(策定、実施、監視、見直し、更新)にわたる戦略的資源計画と持続可能な資金調達を強調している。 これには、国家予算および公共投資サイクルとの整合性、専用資金ラインの活用、既存政府資源の最適化、外部資金調達(例:多国間開発銀行(MDB)、国際金融機関(IFI)、ドナー、技術支援)が含まれる。 複数年にわたる維持、将来年度のコストへの配慮、先を見据えた予算予測、そして完全に資金が確保された取り組みが強調されている。資源は、資金、人材、物資の観点から定義されるべきだ。
• Monitoring, evaluation, and cyclical reviews: Governments are encouraged to incorporate SMART KPIs (Specific, Measurable, Achievable, Relevant, Time-related) into their strategies and action plans, establish clear governance of monitoring and evaluation, and define baseline metrics with scheduled reviews (e.g., mid-term check-ins, 3–5-year renewals) to ensure the strategy remains current with threats, technologies, and national priorities. • モニタリング、評価、定期的な見直し:政府は、戦略と行動計画にSMART KPI(具体的、測定可能、達成可能、関連性、期限付き)を組み込み、モニタリングと評価の明確なガバナンスを確立し、定期的な見直し(例:中間チェック、3~5年ごとの更新)を伴うベースライン指標を定義し、戦略が脅威、技術、国家の優先事項に即した最新性を維持するよう求められる。
• Technological foresight and adaptability (new principle): This principle underscores horizon scanning and policy agility to anticipate evolving digital risks and adapt to emerging technologies (artificial intelligence (AI), automation, quantum computing, Internet of Things (IoT), 5G/6G, distributed ledger technologies), with mechanisms to translate foresight into strategy and regulation. • 技術的先見性と適応性(新たな原則):この原則は、進化するデジタルリスクを予測し、新興技術(人工知能(AI)、自動化、量子コンピューティング、モノのインターネット(IoT)、5G/6G、分散型台帳技術)に適応するための地平線スキャニングと政策の機敏性を強調する。先見性を戦略と規制に転換する仕組みも含まれる。
• Governance and accountability: Guidance is strengthened on lead authority roles, whole-ofgovernment and whole-of-society coordination, stakeholder engagement, and advisory mechanisms. It emphasizes intra-governmental and cross-sector coordination, clear assignment of responsibilities and mandates, and integration of governance into action plans. • ガバナンスと説明責任:主管機関の役割、政府全体・社会全体の調整、ステークホルダーの関与、諮問メカニズムに関する指針を強化する。政府内部およびセクター横断的な調整、責任と権限の明確な割り当て、行動計画へのガバナンス統合を強調する。
• Critical infrastructure, critical information infrastructure, and essential services (CI/CII/ES): Expanded guidance addresses identification, designation, governance, and risk-based requirements for operators. It introduces outcome-focused baselines, tiered expectations, oversight mechanisms, and considerations for cross-border interdependencies and systemic cybersecurity risks (e.g., an incident involving a widely used software provider that leads to the disruption of thousands of its customers, or a failure of a critical financial institution that disrupts an entire financial system, causing broader economic impact). • 重要インフラ、重要情報インフラ、および重要サービス(CI/CII/ES):拡大されたガイダンスは、識別、指定、ガバナンス、および事業者に対するリスクベースの要件に対処する。 成果重視の基準、段階的な期待値、監視メカニズム、国境を越えた相互依存性やシステム的なサイバーセキュリティリスク(例:広く利用されるソフトウェアプロバイダのインシデントが数千の顧客に混乱をもたらすケース、重要金融機関の障害が金融システム全体を混乱させ広範な経済的影響を及ぼすケース)への配慮が導入されている。
• Risk management framework: The updated Guide stresses the importance of having a national approach to assessing and managing cybersecurity risk, including dynamic national and sectoral assessments; a continuously updated national risk register covering critical sectors, services, functions, operators, and assets; adoption of common methodologies aligned with international standards; and feedback loops linking risk insights to policy, investment, and crisis management. • リスクマネジメント・フレームワーク:改訂版ガイドは、サイバーセキュリティリスクの評価・管理における国家的なアプローチの重要性を強調する。これには、動的な国家・セクター別アセスメント、重要セクター・サービス・機能・事業者・資産を網羅する継続的に更新される国家リスク登録簿、国際標準に沿った共通手法の採用、リスク知見を政策・投資・危機管理に結びつけるフィードバックループが含まれる。
• Incident response and resilience: This version expands guidance on the role of national response teams (Computer Emergency Response Teams (CERTs), Computer Security Incident Response Teams (CSIRTs), Computer Incident Response Teams (CIRTs)) with sectoral counterparts, Security Operations Centers (SOCs), and Product Security Incident Response Teams (PSIRTs) in national cybersecurity architectures. It also reinforces contingency planning, information-sharing mechanisms (including ISACs/ISAOs), national and international exercises, and severity/impact assessments. • インシデント対応とレジリエンス:今回の改訂版では、国家サイバーセキュリティアーキテクチャにおける国家対応チーム(コンピュータ緊急対応チーム(CERT)、コンピュータセキュリティ・インシデント対応チーム(CSIRT)、コンピュータインシデント対応チーム(CIRT))と、セクター別対応チーム、セキュリティ・オペレーションセンター(SOC)、製品セキュリティインシデントレスポンスチーム(PSIRT)の役割に関するガイダンスを拡充している。 また、緊急時対応計画、情報共有メカニズム(ISAC/ISAOを含む)、国内外の演習、深刻度・影響度アセスメントの重要性を強調している。
• Capability, capacity, and awareness: Deeper guidance is provided on national cybersecurity workforce frameworks, education-to-workforce pathways (from early education to advanced programs and apprenticeships), and inclusive strategies to attract and retain talent, including women and underrepresented groups. The Guide also highlights executive and operational training, certification, dedicated career pipelines, and coordinated national awareness campaigns tailored to diverse audiences. • 能力・体制・意識:国家サイバーセキュリティ人材枠組み、教育から職場への移行経路(初等教育から高度プログラム・見習い制度まで)、女性や少数派を含む人材の確保・定着に向けた包括的戦略について、より詳細な指針を示す。本ガイドは、幹部・実務者向け訓練、資格認定、専門キャリアパス、多様な対象層に合わせた全国的な啓発キャンペーンの重要性も強調する。
• Legislation and regulation: The updated Guide presents a holistic approach by mapping policy goals to legal and regulatory instruments. It clarifies mandates and oversight, embeds safeguards in cybercrime and electronic-evidence provisions, and emphasizes proportionality, human rights, due process, and data protection. It also supports legal harmonization and cross-border cooperation. • 立法と規制:改訂版ガイドは政策目標を法的・規制的手段に結びつける包括的アプローチを提示する。権限と監督を明確化し、サイバー犯罪及び電子証拠規定に保護措置を組み込み、比例性、人権、適正手続き、データ保護を強調する。法的調和と越境協力も支援する。
• International cooperation: This version strengthens links between domestic priorities and foreign policy. It encourages participation in international law and norms processes, confidence-building measures (CBMs), and standards bodies; promotes practical cooperation through formal and informal networks (including CERT/CSIRT/CIRT communities, law enforcement channels, and multistakeholder platforms); and expands on capacity-building for cyber diplomacy and international engagement. • 国際協力:本版は国内優先事項と外交政策の連携を強化する。国際法・規範策定プロセス、信頼醸成措置(CBM)、標準団体への参加を促進し、公式・非公式ネットワーク(CERT/CSIRT/CIRTコミュニティ、法執行機関ルート、マルチステークホルダープラットフォームを含む)を通じた実務協力を推進する。サイバー外交と国際関与のための能力構築を拡充する。
• Reference section (available at www.ncsguide.org): This version of the Guide will provide a dynamic Reference Section on its website, enabling simplified access and maintenance to keep references up to date. • 参考資料セクション(www.ncsguide.org で閲覧可能):本ガイドのウェブサイトには動的な参考資料セクションを設置し、参照情報の最新化に向けた簡便なアクセスと保守を可能とする。
This updated Guide is designed as a practical reference for national leaders, policymakers, regulators, industry representatives, civil society, and other parties involved in the development of an NCS. Recognizing the importance of multistakeholder engagement, the Guide’s emphasis on government entities in some sections seeks to highlight where a government entity’s leadership is pivotal to the sustainability of the process. It aims to help countries develop, implement, and sustain an effective NCS in alignment with evolving risks, emerging technologies, and international good practices. この改訂版ガイドは、国家指導者、政策立案者、規制当局、業界代表者、市民社会、その他NCS構築に関わる関係者向けの実践的参考資料として作成された。 マルチステークホルダーの関与の重要性を認識しつつ、本ガイドの一部で政府事業体に重点を置くのは、プロセスの持続可能性において政府事業体のリーダーシップが極めて重要となる点を強調するためである。本ガイドは、各国が進化するリスク、新興技術、国際的な優良事例に沿って、効果的な国家サイバーセキュリティ戦略(NCS)を策定、実施、維持することを支援することを目的とする。

 

1. Document Overview 1. 文書の概要
The purpose of this document is to guide national leaders and policymakers in the development, implementation, and revision of a National Cybersecurity Strategy (NSC), and in thinking strategically about cybersecurity, cyber preparedness, and resilience. 本文書の目的は、国家指導者や政策立案者が国家サイバーセキュリティ戦略(NCS)を策定・実施・改訂する際の指針となり、サイバーセキュリティ、サイバー準備態勢、レジリエンスについて戦略的に考えることを支援することである。
Jump to Section セクションへ移動
2. Introduction 2. 序論
Since their emergence, information and communication technologies (ICTs) and digital services have evolved to become the backbone of modern business, critical services and infrastructure, social networks, and the global economy as a whole. 情報通信技術(ICT)とデジタルサービスは、登場以来、現代のビジネス、重要サービス・インフラ、ソーシャルネットワーク、そして世界経済全体の基盤へと進化してきた。
Jump to Section セクションへ移動
3. Lifecycle 3. ライフサイクル
This Section provides an overview of the phases in the development of a National Cybersecurity Strategy 本セクションでは、国家サイバーセキュリティ戦略策定の段階について概説する。
Jump to Section セクションへ移動
4. Overarching Principles 4. 包括的原則
This section presents ten cross-cutting principles, which, when taken together, can help in the development of a forward-looking and holistic National Cybersecurity Strategy. 本セクションでは、10の横断的原則を提示する。これらを総合的に考慮することで、先見性のある包括的な国家サイバーセキュリティ戦略の策定に資する。
Jump to Section セクションへジャンプ
5. National Cybersecurity Strategy Good Practice 5. 国家サイバーセキュリティ戦略の優良事例
Cybersecurity affects many areas of socio-economic development and is influenced by several factors within the national context. Therefore, this section introduces a set of good-practice elements that can make the Strategy comprehensive and effective, while allowing for tailoring to the national context. サイバーセキュリティは社会経済発展の多くの分野に影響を与え、国家の文脈における複数の要因の影響を受ける。したがって、本セクションでは、国家の文脈に合わせた調整を可能にしつつ、戦略を包括的かつ効果的にする一連の優良実践要素を紹介する。
Jump to Section セクションへジャンプ
6. Reference Materials 6. 参考資料
To prepare this Guide, we reviewed existing guides, frameworks, and good practices from around the world. This process allowed us to identify a wide range of resources that can support countries in designing, implementing, and sustaining their national cybersecurity strategies. 本ガイド作成にあたり、我々は世界各国の既存ガイド、枠組み、優良実践を精査した。このプロセスにより、各国が国家サイバーセキュリティ戦略の設計、実施、維持を支援できる多様なリソースを識別できた。
Jump to Section セクションへ移動
7. Acronyms 7. 略語
Jump to Section セクションへ移動

 

・[PDF]

20251223-71831

・[DOCX][PDF] 仮訳

 

 

目次...

1 DOCUMENT OVERVIEW 1 文書の概要
1.1 PURPOSE 1.1 目的
1.2 SCOPE 1.2 適用範囲
1.3 OVERALL STRUCTURE AND USAGE OF THE GUIDE 1.3 本ガイドの全体構成と活用方法
1.4 TARGET AUDIENCE 1.4 対象読者
2 INTRODUCTION 2 序論
2.1 WHAT IS CYBERSECURITY 2.1 サイバーセキュリティとは何か
2.2 BENEFITS OF A NATIONAL CYBERSECURITY STRATEGY AND STRATEGY DEVELOPMENT PROCESS 2.2 国家サイバーセキュリティ戦略とその策定プロセスの利点
3 LIFECYCLE OF A NATIONAL CYBERSECURITY STRATEGY 3 国家サイバーセキュリティ戦略のライフサイクル
3.1 PHASE I – INITIATION 3.1 フェーズI – 開始
3.2 PHASE II – STOCKTAKING AND ANALYSIS 3.2 フェーズ II – 現状把握と分析
3.3 PHASE III – SUSTAINABLE FUNDING AND RESOURCE PLANNING 3.3 フェーズ III – 持続可能な資金調達と資源計画
3.4 PHASE IV – PRODUCTION OF THE NATIONAL CYBERSECURITY STRATEGY 3.4 フェーズ IV – 国家サイバーセキュリティ戦略の策定
3.5 PHASE V – IMPLEMENTATION 3.5 フェーズV – 実施
3.6 PHASE VI – MONITORING AND EVALUATION 3.6 フェーズVI – モニタリングと評価
4 – OVERARCHING PRINCIPLES 4 包括的原則
4.1 VISION 4.1 ビジョン
4.2 COMPREHENSIVE APPROACH AND TAILORED PRIORITIES 4.2 包括的アプローチと国別優先事項
4.3 INCLUSIVENESS 4.3 包括性
4.4 ECONOMIC AND SOCIAL PROSPERITY 4.4 経済的・社会的繁栄
4.5 FUNDAMENTAL HUMAN RIGHTS 4.5 基本的人権
4.6 RISK MANAGEMENT AND RESILIENCE 4.6 リスクマネジメントとレジリエンス
4.7 APPROPRIATE SET OF POLICY INSTRUMENTS 4.7 適切な政策手段の組み合わせ
4.8 CLEAR LEADERSHIP, ROLES, AND RESOURCE ALLOCATION 4.8 明確なリーダーシップ、役割分担、資源配分
4.9 TRUST ENVIRONMENT 4.9 信頼環境
4.10 TECHNOLOGICAL FORESIGHT AND ADAPTABILITY 4.10 技術的先見性と適応性
5 NATIONAL CYBERSECURITY STRATEGY GOOD PRACTICE 5 国家サイバーセキュリティ戦略の優良実践
5.1 FOCUS AREA 1 – GOVERNANCE 5.1 重点分野 1 – ガバナンス
5.2 FOCUS AREA 2 – CRITICAL INFRASTRUCTURE, CRITICAL INFORMATION INFRASTRUCTURE, AND ESSENTIAL SERVICES 5.2 重点分野 2 – 重要インフラ、重要情報インフラ、および重要サービス
5.3 FOCUS AREA 3 – RISK MANAGEMENT IN NATIONAL CYBERSECURITY 5.3 重点分野3 – 国家サイバーセキュリティにおけるリスクマネジメント
5.4 FOCUS AREA 4 – INCIDENT RESPONSE 5.4 重点分野 4 – インシデント対応
5.5 FOCUS AREA 5 – CAPABILITY AND CAPACITY-BUILDING, AND  AWARENESS RAISING 5.5 重点分野 5 – 能力・体制構築と意識向上
5.6 FOCUS AREA 6 – LEGISLATION AND REGULATION 5.6 重点分野 6 – 立法と規制
5.7 FOCUS AREA 7 – INTERNATIONAL COOPERATION 5.7 重点分野 7 – 国際協力
6 REFERENCE MATERIALS 6 参考資料
7 ACRONYMS 7 略語

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

第2版の時

・2022.02.22 NATO CCDCOE 「国家サイバーセキュリティ戦略策定のためのガイド」第2版 (2021.11)

 

日本のほぼ決まった国家サイバーセキュリティ戦略

・2025.12.24 閣議決定 サイバーセキュリティ戦略

・2025.12.21 NCO サイバーセキュリティ推進専門家会議 第3回会合 サイバーセキュリティ戦略(案) (2025.12.08)とレジリエンスについて

・2025.11.04 国家サイバー統括室 サイバーセキュリティ戦略(案)サイバーセキュリティ推進専門家会議第2回会合

・2025.09.22 NCO サイバーセキュリティ推進専門家会議

2021の時...

・2021.09.30 日本のサイバーセキュリティ戦略についての質問に対する中国政府スポークスマンの回答

・2021.09.28 NISC サイバーセキュリティ戦略本部 第31回会合 サイバーセキュリティ戦略確定 (予算からみるとサイバーセキュリティは経済発展というよりも安全保障?)

 

Continue reading "国連他 「国家サイバーセキュリティ戦略策定のためのガイド」第3版 (2025.12.18)"

| | Comments (0)

閣議決定 サイバーセキュリティ戦略

こんにちは、丸山満彦です。

サイバーセキュリティ戦略が閣議決定されましたね...人工知能基本計画も閣議決定されています...

 

首相官邸

・2025.12.23 定例閣議案件

 

で、NCOに掲載されています...

国家サイバー統括室

・2025.12.23 サイバーセキュリティ戦略(閣議決定)

20251223-182424

 

・2025.12.23 サイバーセキュリティ戦略(閣議決定)の概要

20251223-182457

 

 

で、これは2025.12.08にサイバーセキュリティ推進専門家会議で決まったというのは、すでにこのブログに書いています...

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.12.24 国連他 「国家サイバーセキュリティ戦略策定のためのガイド」第3版 (2025.12.18)

・2025.12.24 閣議決定 NCO 重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針 (2025.12.23)

・2025.12.21 NCO サイバーセキュリティ推進専門家会議 第3回会合 サイバーセキュリティ戦略(案) (2025.12.08)とレジリエンスについて

・2025.11.04 国家サイバー統括室 サイバーセキュリティ戦略(案)サイバーセキュリティ推進専門家会議第2回会合

・2025.09.22 NCO サイバーセキュリティ推進専門家会議

 

・2025.06.09 ENISA EU諸国の国家サイバーセキュリティ戦略をマップから見れる... (2025.06.04)

・2024.03.08 韓国 国家安全保障室、ユン・ソクヨル政府の「国家サイバー安全保障戦略」 (2024.02.01)

・2023.03.03 ENISA 国家サイバーセキュリティ戦略の実施に向けた効果的なガバナンスフレームワークの構築

・2022.10.16 オランダ サイバーセキュリティ戦略2022-2028 デジタル・セキュリティー社会の実現に向けた渇望と行動 (2022.10.10)


・2022.06.21 内閣官房 サイバーセキュリティ 2022 重要インフラのサイバーセキュリティに係る行動計画 (2022.06.17)

・2022.02.22 NATO CCDCOE 「国家サイバーセキュリティ戦略策定のためのガイド」第2版 (2021.11)

・2021.12.17 英国 国家サイバー戦略

・2021.10.11 シンガポール サイバーセキュリティ戦略2021

・2021.09.28 NISC サイバーセキュリティ戦略本部 第31回会合 サイバーセキュリティ戦略確定 (予算からみるとサイバーセキュリティは経済発展というよりも安全保障?)

・2021.09.26 独国 サイバーセキュリティ戦略2021 at 2021.09.08

・2021.07.15 経団連 提言「全員参加によるサイバーセキュリティの実現に向けて」

・2021.07.13 NISC 「次期サイバーセキュリティ戦略(案)」と「サイバーセキュリティ2021(案)」に関する意見の募集について

・2021.07.12 NATO関連機関が分析したサイバー空間におけるロシアの戦略 at 2021.06.11

・2021.07.07 NISC 「サイバーセキュリティ戦略本部第30回会合」と「サイバーセキュリティ対策推進会議(CISO等連絡会議)第18回会合」

・2021.06.29 IISS サイバー対応能力と国家力 日本のサイバー能力はいけていない?

・2021.06.03 サイバー領域の制度、法律、政策などについての米英の比較

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2021.05.13 サイバーセキュリティ戦略本部 次期サイバーセキュリティ戦略の骨子

・2020.12.08 ENISA 自国のサイバーセキュリティ能力の成熟度を自己評価するための「国家能力評価フレームワーク(NCAF)」を発行

・2020.08.11 オーストラリア政府 内務省がサイバーセキュリティ戦略2020を公表していましたね。。。

 


参考 各国のサイバーセキュリティ戦略

 

■ EUの場合

 European Commission

・2020.12.16 The EU’s Cybersecurity Strategy for the Digital Decade

・[PDF] JOINT COMMUNICATION TO THE EUROPEAN PARLIAMENT AND THE COUNCIL - The EU's Cybersecurity Strategy for the Digital Decade

20250108-182710

 

・2020.12.16 The EU's Cybersecurity Strategy in the Digital Decade

・[PDF] Factsheet

20210513-120625

 

欧州各国のサイバーの国家戦略はENISAがまとめてみられるようにしていますね...

 

 ENISA

・2025.06.04 National Cyber Security Strategies Interactive map

 

 

■ ドイツの場合

 Bundesministerium des Innern, für Bau und Heimat 

プレス

・2021.09.08 (press) Cybersicherheitsstrategie für Deutschland 2021 beschlossen

戦略本文

・[PDF] Cybersicherheitsstrategie für Deutschland 2021

20210926-60648

 

■ オランダの場合

・2022.10.10 Kabinet presenteert nieuwe cybersecuritystrategie

● 戦略

・2022.10.10 Nederlandse Cybersecuritystrategie 2022 - 2028

・[PDF

20221016-52157

 

● 活動計画 2022-2023

・2022.10.10 Actieplan Nederlandse Cybersecuritystrategie 2022 - 2023

・[PDF

20221016-52520

 

■ UKの場合

 National Cyber Security Centre

2021.12.15 (news) Government publishes blueprint to protect UK from cyber threats

・2021.12.15 Policy paper National Cyber Strategy 2022

・[heml] National Cyber Strategy 2022

 ・[PDF] National Cyber Strategy 2022

20211217-55613

日本語訳 [Downloded]

20230221-170849

 

■ U.S. の場合

・2023.03.02 FACT SHEET: Biden-⁠Harris Administration Announces National Cybersecurity Strategy

・[PDF] National Cybersecurity Strategy 

20230304-72820

 

・2018.09.20 President Trump Unveils America’s First Cybersecurity Strategy in 15 Years

・[PDF] NATIONAL CYBER STRATEGY of the United States of America


20210513-121917

・仮訳 [DOCX

 

■ 日本の場合

 

 内閣官房 - サイバーセキュリティセンター - サイバーセキュリティ戦略本部

今回のもの

・2025.12.23 サイバーセキュリティ戦略(閣議決定)

20251223-182424

 

前回のもの

・2021.09.28 [PDF] サイバーセキュリティ戦略

20230820-153236

・2023.07.04 サイバーセキュリティ戦略本部 第36回会合

・2022.06.17 サイバーセキュリティ戦略本部 第34回会合

・2021.09.27 第31回会合

 

 

🔳オーストラリアの場合

 AU - Department of Home Affairs - Cyber security - Strategy

・2023.11.22 [PDF] 

20241130-23843

実行計画

・2023.11.22 [PDF] 

20241130-24959

 

・2020.08.06 [PDF] AUSTRALIA’S CYBER SECURITY STRATEGY 2020

20230520-150216

2016年の前回のバージョン

・[PDF] Australia's Cyber Security Strategy

20230520-150443

 

■ 中国の場合

  中央网络安全和信息化委员会办公室 (Cyberspace Administration of China)

 プレス発表

戦略全文

・2016.12.27 国家网络空间安全战略

・英語訳

 ・2016.12.27 National Cyberspace Security Strategy

 

 

■ ロシアの場合(NATO CCDCOEの論文)

● NATO CCDCOE

2020 [PDF] The Past, Present, and Future of Russia’s Cyber Strategy and Forces by Bilyana Lilly and Joe Cheravitch



■ インドの場合

 Data Security Council of India

・2020.08.15 [PDF] National Cyber Security Strategy 2020

20210513-131956

 

■ シンガポールの場合

● Cyber Security Agency of Singapore

・2021.10.05 Singapore Updates National Cybersecurity Strategy

The Singapore Cybersecurity Strategy 2021

・[PDF]

20211011-134730

 

◾️ 韓国の場合...

・2024.02.01

・[PDF]

20240307-182652

 

2019年の国家サイバーセキュリティ戦略

・韓国語 [PDF] 국가사이버안보전략

20240307-194050


・英語 [PDF] National Cyberseuciry Strategy

20240307-194144

 

----

 

| | Comments (0)

2025.12.23

米国 FCC サイバートラストマーク関連文書 (2025.06.18)

こんにちは、丸山満彦です。

サイバートラストマーク関連の文書...

 

Federal Communications Commission: FCC

・2025.06.18 Filing Detail

関連文書

20251220-141353  Technical Requirements Cover Letter  技術要件説明書 
20251220-141401  USCTM - Consumer IoT Cybersecurity Standard  USCTM - 消費者向けIoTサイバーセキュリティ標準 
20251220-141407  Label Requirements Cover Letter  ラベル要件説明書 
20251220-141414  [Final June 2025] USCTM Label Requirements  [最終版 2025年6月] USCTMラベル要件 
20251220-141420  Renewal_Surveillance Cover Letter  更新・サーベイランス説明書 
20251220-141428  [FINAL June 2025] USCTM Renewal_Surveillance Requirements  [最終版 2025年6月] USCTM更新・サーベイランス要件 

 

 

 USCTM - Consumer IoT Cybersecurity Standard  USCTM - 消費者向けIoTサイバーセキュリティ標準 

目次...

INTRODUCTION 序論
Document Purpose 文書の目的
Standard Technical Scope 標準技術範囲
HOW TO USE THIS DOCUMENT この文書の使い方
1.1  Technical Scope & Standard Application 1.1 技術範囲と標準適用
Foundation and Regulatory Context 基盤と規制環境
Intended Audience 対象読者
IoT Product Components Definition IoT製品の構成要素定義
Compliance Notation 準拠表記
Framework Implementation & Terminology 枠組み実装と用語
1.2  Document Structure and Navigation 1.2 文書構成とナビゲーション
[IoT Product] Security Documentation (Section 1.3) [IoT製品] セキュリティ文書(セクション1.3)
[IoT Product] Security Controls (Section 1.4) [IoT製品] セキュリティ管理策(セクション1.4)
[Backend] Audit Criteria (Section 1.5) [バックエンド] 監査規準(セクション1.5)
[Companion Application] Test Procedures (Section 1.6) [コンパニオンアプリケーション] 試験手順(セクション1.6)
[IoT Product] Technology-Specific Requirements & Test Procedures (Section 1.7) [IoT製品] 技術固有の要求事項と試験手順(セクション1.7)
[IoT Product] Verdict Criteria (Section 1.8) [IoT製品] 判定規準(セクション1.8)
Navigating This Document 本文書のナビゲーション
Key Assessment Principles 主要なアセスメント原則
REQUIREMENTS & TESTING PROCEDURES 要件とテスト手順
1.3  [IoT Product] Security Documentation 1.3 [IoT製品] セキュリティ文書
1.3.1  [DOC] Documentation 1.3.1 [DOC] 文書化
1.3.2  [IND] Information Dissemination 1.3.2 [IND] 情報伝達
1.4  [IoT Product] Security Controls 1.4 [IoT製品] セキュリティ制御
1.4.1  [AID] Asset Identification 1.4.1 [AID] 資産識別
1.4.2  [PRC] Product Configuration 1.4.2 [PRC] 製品構成
1.4.3  [DPR] Data Protection 1.4.3 [DPR] データ保護
1.4.4  [SUP] Software Update 1.4.4 [SUP] ソフトウェア更新
1.4.5  [IAC] Interface Access Control 1.4.5 [IAC] インターフェースアクセス管理
1.4.6  [CSA] Cybersecurity State Awareness 1.4.6 [CSA] サイバーセキュリティ状態認識
1.5 [Backend] Audit Criteria 1.5 [バックエンド] 監査規準
Backend Security Context バックエンドセキュリティコンテキスト
Accepted Certification Programs 承認済み認証プログラム
Compliance Verification Process 適合性検証プロセス
Informative References 参考情報
1.6  [Companion Application] Test Procedures 1.6 [コンパニオンアプリケーション] 試験手順
1.7  [IoT Product] Technology Specific Requirements & Test Procedures 1.7 [IoT製品] 技術固有の要件と試験手順
Layered Security Architecture 階層型セキュリティアーキテクチャ
TCP/IP TCP/IP
Wi-Fi Wi-Fi
TLS (Transport Layer Security) TLS(トランスポート層セキュリティ)
Bluetooth / BLE Bluetooth / BLE
APIs (Application Programming Interfaces) API(アプリケーションプログラミングインターフェース)
Matter Matter
Thread Thread
Zigbee Zigbee
Z-Wave Z-Wave
MQTT MQTT
Cellular (4G/5G) セルラー(4G/5G)
NFC (Near Field Communication) NFC(近距離無線通信)
Third Party APIs サードパーティAPI
Proprietary Security Implementations 独自セキュリティ実装
1.8  [IoT Product] Verdict Criteria 1.8 [IoT製品] 判定規準
1.8.1  [Verdict Criteria] Security Documentation 1.8.1 [判定規準] セキュリティ文書
1.8.2  [Verdict Criteria] Security Controls 1.8.2 [判定規準] セキュリティ制御
1.8.3  [Verdict Criteria] Companion Application 1.8.3 [判定規準] コンパニオンアプリケーション
ANNEX 1 - USE OF DEPRECATED OR KNOWN INSECURE TECHNOLOGIES 附属書1 - 非推奨または既知の脆弱な技術の使用
ANNEX 2 – BIBLIOGRAPHIC REFERENCES 附属書2 - 文献参照

 

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.06.14 米国 大統領令14306 国家のサイバーセキュリティを強化するための厳選された取り組みを維持し、大統領令13694と大統領令14144を改正する (2025.06.06)

・2025.05.16 米国 NIST IR 8259 Rev.1(初期公開ドラフト)IoT製品製造者のための基礎的サイバーセキュリティ活動の5年振りの改訂関係...IR 8572も...(2025.05.13)

・2025.01.10 米国 ホワイトハウス サイバートラストマークを開始...

・2024.12.28 米国 NIST IR 8498 スマートインバーターのサイバーセキュリティ:住宅および小規模商業用ソーラーエネルギーシステムのためのガイドライン(2024.12.20)

・2024.09.14 米国 NIST IR 8425A 一般消費者向けルーター製品に推奨されるサイバーセキュリティ要件 (2024.09.10)

・2024.09.13 米国 FCC IoTのためのサイバーセキュリティ・ラベリングFAQと管理者の申請プロセス (2024.09.10) 

・2024.08.02 米国 FCC IoTのためのサイバーセキュリティ・ラベリング最終規則

・2024.03.20 米国 連邦通信委員会 (FCC) がIoTサイバーセキュリティ表示プログラム(サイバートラストマーク)の規則を採択 (2024.03.14)

・2023.07.19 米国 消費者向けIoT製品のセキュリティ認証制度、サイバートラスト・マーク (U.S. Cyber Trust Mark) を発表

・2022.09.24 NIST NISTIR 8425 消費者向けIoT製品のIoTコアベースラインのプロファイル、NISTIR 8431 「NIST基礎の上に築く:IoTセキュリティの次のステップ」ワークショップ概要報告書

・2022.06.19 NISTIR 8425 (ドラフト) 消費者向けIoT製品のIoTコアベースラインのプロファイル

・2022.02.07 NIST ホワイトペーパー :消費者向けソフトウェアのサイバーセキュリティラベルの推奨規準

・2022.02.06 NIST ホワイトペーパー :消費者向けIoT製品のサイバーセキュリティラベルの推奨規準

・2021.11.04 NIST 消費者向けソフトウェアのサイバーセキュリティに関するラベリングについての意見募集

・2021.09.02 NIST ホワイトペーパー(ドラフト):消費者向けIoTデバイスのベースライン・セキュリティ基準

・2021.08.29 NISTIR 8259B IoT非技術的支援能力コアベースライン

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2020.12.17 NIST SP 800-213 (Draft) 連邦政府向け「 IoTデバイスサイバーセキュリティ要件の確立」、NISTIR 8259B、8259C、8259D

・2020.05.30 NIST IoT機器製造者向けセキュリティの実践資料 NISTIR 8259 Foundational Cybersecurity Activities for IoT Device Manufacturers, NISTIR 8259A IoT Device Cybersecurity Capability Core Baseline

・2020.02.06 NISTがIoT機器製造者向けセキュリティの実践資料のドラフト(Ver.2)を公開していますね。。。

 

 

 

 

| | Comments (0)

米国 FBI 犯罪活動を助長する仮想通貨マネーロンダリングサービスを摘発 (2025.12.17)

こんにちは、丸山満彦です。

FBIが、サイバー犯罪者向けの資金洗浄サービスを提供していたロシア国籍の人を起訴したと発表していますね...

フィンランド警察との協力のようですね...

ランサムウェア等のオンライン犯罪の多くが仮想通貨(≒暗号資産)を使って資産を要求してきていると言われていますが、暗号資産が犯罪収益ののための存在するような状況にならないように、取引所等を含む事業者が適切に運営をすることが重要となりますね...

 

FBI

・2025.12.17 FBI DISRUPTS VIRTUAL MONEY LAUNDERING SERVICE USED TO FACILITATE CRIMINAL ACTIVITY

 

FBI DISRUPTS VIRTUAL MONEY LAUNDERING SERVICE USED TO FACILITATE CRIMINAL ACTIVITY FBI、犯罪活動を助長する仮想通貨洗浄サービスを摘発
Seized Websites Allegedly Offered Cashout Services for Cybercriminals Engaged in Illegal Activities 押収されたウェブサイトは、違法活動に従事するサイバー犯罪者向けの現金化サービスを提供していたとされる
DETROIT - The United States Attorney’s Office for the Eastern District of Michigan announced today a coordinated action with international partners and the Michigan State Police to disrupt and take down the online infrastructure used to operate E-Note, a cryptocurrency exchange that allegedly facilitated money laundering by transnational cyber-criminal organizations, including those targeting U.S. healthcare and critical infrastructure. Since 2017, the FBI identified more than $70,000,000 of illicit proceeds of ransomware attacks and account takeovers transferred via E-Note payment service and money mule network, including laundered funds stolen or extorted from U.S. victims. デトロイト発―米国ミシガン州東部地区連邦検察局は本日、国際的な協力機関およびミシガン州警察と連携し、国際的なサイバー犯罪組織(米国の医療・重要インフラを標的とする組織を含む)による資金洗浄を助長したとされる仮想通貨取引所「E-Note」の運営基盤を破壊・摘発する共同作戦を実施したと発表した。2017年以降、FBIはE-Noteの決済サービス及び資金移動ネットワークを通じて送金された、ランサムウェア攻撃やアカウント乗っ取りによる不正収益7000万ドル以上を識別した。これには米国被害者から窃取または強要された資金の洗浄分も含まれる。
In conjunction with the operation, the U.S. Attorney’s Office also announced the unsealing of an indictment in the Eastern District of Michigan against Mykhalio Petrovich Chudnovets, 39, a Russian national, which charges him with one count of money laundering conspiracy. 今回の捜査と連動し、米司法省はミシガン州東部地区連邦地方裁判所において、ロシア国籍のミハリオ・ペトロヴィッチ・チュドノヴェッツ(39)に対する起訴状を開示したと発表した。同被告は資金洗浄共謀罪1件で起訴されている。
According to court documents, Chudnovets began offering money laundering services to cyber criminals in 2010. Until this seizure by law enforcement, Chudnovets offered money laundering services via the E-Note payment processing service, which he controlled and operated. Chudnovets worked with financially motivated cyber criminals to transfer criminal proceeds across international borders and to convert those proceeds from cryptocurrency into various cash currencies. 裁判書類によれば、チュドノベッツは2010年よりサイバー犯罪者への資金洗浄サービス提供を開始した。今回の法執行機関による差し押さえまで、自身が管理・運営する電子決済サービス「E-Note」を通じて資金洗浄サービスを提供していた。チュドノベッツは金銭目的のサイバー犯罪者と連携し、犯罪収益を国際的に移動させ、仮想通貨から様々な現金通貨へ変換していた。
As part of the coordinated actions, U.S. and international law enforcement seized servers hosting Chudnovets’ operations, mobile applications, and the websites “e-note.com,” “e-note.ws,” and “jabb.mn.” U.S. law enforcement separately obtained earlier copies of Chudnovets’ servers, including customer databases and transaction records. 今回の共同捜査の一環として、米国及び国際的な法執行機関は、チュドノヴェッツの運営サーバー、モバイルアプリケーション、並びに「e-note.com」「e-note.ws」「jabb.mn」のウェブサイトを押収した。米国法執行機関は別途、顧客データベースや取引記録を含むチュドノヴェッツのサーバーの過去のコピーを入手している。
Chudnovets is charged with one count of conspiracy to launder monetary instruments which carries a maximum penalty of 20 years in prison. チュドノヴェッツは金融商品洗浄共謀罪で起訴され、最高20年の懲役刑が科せられる可能性がある。
United States Attorney Jerome F. Gorgon, Jr. and Special Agent in Charge Jennifer Runyan, Federal Bureau of Investigation, Detroit Division, made the announcement. 米国連邦検事ジェローム・F・ゴーゴン・ジュニア及び連邦捜査局(FBI)デトロイトディビジョンのジェニファー・ルニヤン特別捜査官が発表した。
The FBI Detroit Cyber Task Force is investigating the case. FBIデトロイトサイバー対策チームが本件を捜査中である。
Assistant U.S. Attorney Timothy Wyse is prosecuting this case. 米国連邦検事補ティモシー・ワイズが本件を起訴している。
The Justice Department also recognizes the critical cooperation of the German Federal Criminal Police Office, the Finnish National Bureau of Investigation, and Michigan State Police Michigan Cyber Command Center (MC3). 司法省は、ドイツ連邦刑事警察庁、フィンランド国家捜査局、ミシガン州警察ミシガンサイバー司令部(MC3)の重要な協力にも感謝している。
Any individual who believes he/she is a victim whose funds were laundered through Chudnovets should reach out to law enforcement via email address [mail] チュドノヴェッツを通じて資金が洗浄された被害者と思われる個人は、[mail]
を通じて法執行機関に連絡してください。
An indictment is merely an allegation. All defendants are presumed innocent until proven guilty beyond a reasonable doubt in a court of law. 起訴状は単なる主張に過ぎない。全ての被告は、法廷において合理的な疑いを超えて有罪が証明されるまでは無罪と推定される。

 

1_20251220163701

 

 

 

| | Comments (0)

2025.12.22

内閣府 人工知能戦略本部(第3回)人工知能基本計画(案)(2025.12.19)

こんにちは、丸山満彦です。

本日のAI関連第4弾です(4/4)...

 

内閣府の人工知能戦略本部(第3回)の会議で人工知能基本計画(案)が議論されたようですね...

ざっと読んでみると理念的にはよいですね...

AIを人類の社会的ツールとして、より良いものを作り、適切に使い、社会に役立つようにする、より良く作るためには、多くの叡智を集めるための協働が重要だし、それを総合させる戦略的な視点に基づいた実行が必要。そして、役立つようにするためには、信頼性の高いAIを社会に役立つように使うことが重要。

4つの基本的な方針

  1. AI利活用の加速的推進( 「AIを使う」)
  2. AI開発力の戦略的強化( 「AIを創る」)
  3. AIガバナンスの主導( 「AIの信頼性を高める」)
  4. AI社会に向けた継続的変革( 「AIと協働する」)

はおそらく議論はなく、AIを使いながら、課題がでたら改善していく...そして、大きな課題がなくなった段階で社会に実装していく...

問題は判断の正確性とスピード感の両立ってかんじですかね...

社会全体を見渡せ、かつ個々の要素の要点を理解し、判断(決断)できる人...こういう人の存在が重要なのだろうと思いますが、そういう人を組織内にうまく残せている組織はこれから強いのかもしれませんね...

 

しかし、人工知能基本計画(案)はレターサイズでつくっているんですかね...

 

● 内閣府 - AI戦略 - 人工知能戦略本部

・2025.12.19 人工知能戦略本部(第3回)

 

・資料1-1 人工知能基本計画(案)の概要

20251221-54723

 

・資料1-2 人工知能基本計画(案)

20251221-55107

 

・資料1-3 人工知能関連技術の研究開発及び活用の適正性確保に関する指針(案)の概要

20251221-54808

 

・資料1-4 人工知能関連技術の研究開発及び活用の適正性確保に関する指針(案)

20251221-55225

 

・資料2経済対策におけるAI施策について

20251221-54907

 

 

 

 

| | Comments (0)

カナダ 中小企業向けAI導入指針 (2025.12.09)

こんにちは、丸山満彦です。

本日のAI関連第3弾です(3/4)...

 

2025年6月にカナダのアルバータ州で開催されたG7首脳会議で中小企業の人工知能(AI)を導入を支援し、経済的繁栄を促進することを決めたので、それに基づくカナダの中小企業向けAI導入指針...

日本も参考になるところがあると思います。

2025.12.19に人工知能戦略本部(第3回)の資料を読んでいると、資料2「経済対策におけるAI施策について(令和7年度補正予算)」に経済産業省に中小企業の労働生産性の向上を目的としたデジタル化・AI導入支援として3,400億円があり、そのうち幾ばくかはつかわれるのでしょうね。。。

 

そういえば、中小企業のユースケースのトップに、「コーヒーの焙煎」がありました...OECDの報告書にもあるのね...

東京の世田谷尾山台で焙煎珈琲のお店をしているので...ネットでも買えます)がここまでAIを使う発想はなかったなぁ...

AI Novices AI初心者
1. Small coffee roaster 1. 小規模コーヒー焙煎業者
A small coffee roaster is using off-the-shelf AI products to optimize its processes. 小規模コーヒー焙煎業者は市販のAI製品を活用し、業務プロセスを最適化している。
The business was already relying on digital tools for online sales. With the rise of generative AI, the company took it one step further – using off-the-shelf products like ChatGPT for multiple functions. This includes "coming up with product descriptions, updating SEO [Search Engine Optimization], writing marketing emails, and analyzing shipping costs." The company is also using ChatGPT to explore ways to automate removal of static build up from grinding coffee, which can be a time-consuming process. 同社は既にオンライン販売向けにデジタルツールを導入していた。生成的AIの台頭を受け、同社はさらに一歩踏み込んだ。ChatGPTのような市販製品を複数の機能に活用しているのだ。具体的には「商品説明の作成、SEO(検索エンジン最適化)の更新、マーケティングメールの執筆、配送コストの分析」などが挙げられる。また同社は、コーヒー豆の粉砕時に発生する静電気を除去する自動化手法の模索にもChatGPTを活用している。この作業は従来、時間を要する工程だった。

 

いろいろと勉強になりますね...

 

さて、本題...

● Canada.ca - Innovation, Science and Economic Development Canada - G7 Industry, Digital and Technology Ministers' Meeting 2025

 

・2025.12.09 The SME AI adoption blueprint

Background 背景
Policy recommendations 政策提言
Appendix: AI use cases in the G7 附属書:G7におけるAIの活用事例

 

政策提言の部分...

Policy Recommendations 政策提言
1. Connectivity 1. 接続性
Key challenges 主な課題
A critical barrier to AI adoption is the lack of reliable, high-speed broadband, which is foundational to any form of digital transformation. Specific to AI, access to high-quality broadband infrastructure allows companies to access computing infrastructure and employ big data analytics. Only with compute and analytics enabled can SMEs deploy AI applications. SMEs often lack access to high-speed broadband; challenges that are pronounced in rural, remote and underserved areas that may continue to face inadequate internet speeds, unstable connections, and high costs. This digital divide limits the ability of some SMEs to experiment with, implement, and scale AI solutions. AI導入における重大な障壁は、信頼性の高い高速ブロードバンドの不足である。これはあらゆる形態のデジタル変革の基盤となる。特にAIにおいては、高品質なブロードバンドインフラへのアクセスが、企業がコンピューティングインフラを利用し、ビッグデータ分析を実行することを可能にする。計算能力と分析機能が備わって初めて、中小企業はAIアプリケーションの展開が可能になるのだ。中小企業は高速ブロードバンドへのアクセスを欠くことが多く、この課題は地方・遠隔地・サービス不足地域で顕著である。これらの地域では、不十分なインターネット速度、不安定な接続、高コストが継続的に発生する可能性がある。このデジタル格差は、一部の中小企業がAIソリューションを実験・導入・拡大する能力を制限する。
Recommendations 提言
G7 countries should continue public and private investments in broadband infrastructure with a specific focus on rural, remote and underserved areas. Such initiatives should set clear targets for minimum speeds, affordability, and connection reliability that align with the needs of operating AI and cloud-based tools. G7諸国は、地方・遠隔地・サービス不足地域に特に焦点を当て、ブロードバンドインフラへの官民投資を継続すべきである。こうした取り組みでは、AIやクラウドベースのツール運用に必要な最低速度、手頃な価格、接続信頼性について明確な目標を設定すべきだ。
Where possible, efforts should be made to lower costs and improve options for SMEs to access the high-quality connections necessary for AI deployment. Consideration may be given to embedding such initiatives within existing regional and industrial development strategies, as a way to help streamline the policy implementation process. 可能な限り、AI展開に必要な高品質接続への中小企業アクセスコスト削減と選択肢拡充に努めるべきである。政策実施プロセスの効率化策として、既存の地域・産業開発戦略にこうした取り組みを組み込むことも検討できる。

There has been progress in the expansion of high-quality connectivity across OECD countries, including G7 members. This increase in high-quality connectivity is crucial because access to fast, reliable and affordable connectivity is a pre-condition for SMEs' digital uptake.
OECD加盟国(G7メンバーを含む)では、高品質な接続環境の拡充が進んでいる。高速・信頼性・手頃な価格を兼ね備えた接続環境へのアクセスは、中小企業のデジタル導入の前提条件であるため、この拡充は極めて重要だ。
2. AI infrastructure 2. AIインフラ
Key challenges 主な課題
SMEs face significant limitations when it comes to accessing critical AI infrastructure, like AI compute and cloud resources. Lack of competition in this area has led to an over-reliance on hyperscalers that can cause the terms of these resources to be restrictive and the costs to be relatively high for SMEs and startups. SMEs also often lack access to quality datasets to effectively train and use AI systems. Internal company data is not always readily available and an SME may not have the resources to collect or prepare datasets of sufficient volume and quality aligned with its needs and context. Securing high-quality data is challenging, yet essential, and the cost and effort of developing AI-ready datasets should not be overlooked. Taken together, for the AI ecosystem to be conducive to SME AI adoption and experimentation, it is important to ensure affordable access to AI compute and cloud solutions, and promote availability of high-quality datasets. 中小企業は、AIコンピューティングやクラウドリソースといった重要なAIインフラへのアクセスにおいて、大きな制約に直面している。この分野における競争不足は、ハイパースケーラーへの過度な依存を招いており、その結果、これらのリソースの利用条件が制限的になり、中小企業やスタートアップにとってコストが比較的高くなる可能性がある。中小企業はまた、AIシステムを効果的に訓練・活用するための質の高いデータセットへのアクセスをしばしば欠いている。社内データが常に容易に入手できるとは限らず、中小企業には、自社のニーズや状況に合った十分な量と質のデータセットを収集・準備するリソースがない場合がある。高品質なデータの確保は困難だが不可欠であり、AI対応データセットの開発コストと労力を軽視すべきではない。総合的に見て、AIエコシステムが中小企業のAI導入と実験を促進するためには、手頃な価格でのAIコンピューティング・クラウドソリューションへのアクセスを確保し、高品質データセットの利用可能性を促進することが重要である。
Recommendations 提言
G7 countries should strengthen SME access to AI compute infrastructure. This can include targeted investments focused on developing high-performance compute capacity that is accessible and affordable through shared facilities (such as, AI "factories") to SMEs as well as startups. Removing or lowering prohibitive upfront costs can then allow SMEs and startups to experiment, develop, and deploy AI solutions, which not only increases productivity, but also enables innovation across the value chain. G7諸国は、中小企業のAI計算インフラへのアクセス強化を図るべきである。これには、中小企業やスタートアップが共有施設(例:AI「ファクトリー」)を通じてアクセス可能かつ手頃な価格で利用できる高性能計算能力の開発に焦点を当てた、対象を絞った投資が含まれる。これにより、中小企業やスタートアップがAIソリューションの実験、開発、展開を行うための障壁となる初期費用を撤廃または低減できる。これは生産性向上だけでなく、バリューチェーン全体でのイノベーションを可能にする。
Where appropriate, G7 countries should enhance access to and sharing of both public and private sector data, on a voluntary basis, including sector-specific datasets, especially in high-risk domains. These datasets should be high-quality, privacy-preserving and intellectual property-respecting, and should be properly de-identified and anonymized where relevant. Data created in one domain and sector can be helpful and provide further value when applied in another domain or sector, especially those where data availability may be limited or constrained. Access to sector-specific data is particularly valuable in high-risk areas – such as healthcare, finance and critical infrastructure – where accuracy, reliability, and privacy concerns are significant. Without robust, representative training data, even the most sophisticated models risk amplifying bias, underperforming and eroding public trust. Investment in high-quality datasets through public-private collaborations can foster a level playing field while maintaining privacy and security. 適切な場合には、G7諸国は、特に高リスク領域において、自発的な取り組みとして、公共部門と民間部門の両方のデータ、特にセクター固有のデータセットへのアクセスと共有を強化すべきである。これらのデータセットは高品質であり、プライバシーを保護し、知的財産権を尊重するものであり、関連する場合には適切に非識別化および匿名化されるべきである。ある分野やセクターで生成されたデータは、別の分野やセクター、特にデータ入手が制限される領域で活用されることで、さらなる価値を提供し得る。医療、金融、重要インフラといった高リスク分野では、正確性、信頼性、プライバシー懸念が重大であるため、特定分野データのアクセスは特に重要だ。堅牢で代表者のある訓練データがなければ、最も洗練されたモデルでさえ、バイアスを増幅させ、性能が低下し、公共の信頼を損なうリスクがある。官民連携による高品質データセットへの投資は、プライバシーとセキュリティを維持しつつ公平な競争環境を育む。
G7 countries should develop robust and trusted cloud environments. For SMEs, cloud infrastructure is a practical and cost-effective way to access advanced AI capabilities. Unlike large enterprises, SMEs often lack in-house compute, storage capacity or the technical teams needed to manage complex infrastructure. As such, cloud platforms, such as those offering AI-as-a-service, pre-trained models and flexible deployment environments (so that users are not locked in with one provider), can play a critical role in levelling the playing field and enabling smaller companies to experiment, scale and compete in the digital economy. Governments can partner with the private sector to support the development of safe cloud-based systems that ensure secure data handling, compliance with local regulations and interoperability across platforms. In some contexts, public funding can play a role incentivizing SME access, for instance through cloud and compute credits. Measures taken should seek to develop a trusted marketplace where SMEs can access certified AI tools, datasets and services. Additionally, integration with edge computing and hybrid models should be supported to meet sector-specific needs, especially where low latency and data sensitivity are key. G7諸国は堅牢で信頼性の高いクラウド環境を構築すべきだ。中小企業にとってクラウドインフラは、高度なAI機能にアクセスする実用的かつ費用対効果の高い手段である。大企業とは異なり、中小企業は複雑なインフラを管理するための社内コンピューティング能力、ストレージ容量、技術チームを欠いていることが多い。そのため、AIサービスとしての提供、事前学習済みモデル、柔軟な展開環境(ユーザーが特定プロバイダに縛られないようにする)などを提供するクラウドプラットフォームは、競争環境を平準化し、中小企業がデジタル経済で実験、拡大、競争することを可能にする上で重要な役割を果たし得る。政府は民間セクターと連携し、安全なデータ処理、現地規制への準拠、プラットフォーム間の相互運用性を確保するクラウドベースのシステム開発を支援できる。状況によっては、クラウドクレジットやコンピューティングクレジットの提供など、公的資金による中小企業へのアクセス促進策も有効である。講じる措置は、中小企業が認証済みAIツール・データセット・サービスを利用できる信頼できる市場環境の構築を目指すべきだ。さらに、特に低遅延とデータ機密性が重要な分野において、セクター固有のニーズに対応するため、エッジコンピューティングやハイブリッドモデルとの統合を支援する必要がある。
G7 countries should explore how open-source, intellectual property-respecting AI can help lower barriers and administrative burden to adoption and experimentation by SMEs. Open-source AI approaches – potentially including open-source codes and weight models, high-quality open datasets and documentation, open software frameworks, and tools and methods to ensure safe and responsible open-source ecosystems – promise to reduce the costs of access to key resources for AI development, deployment and use. Standardized and royalty-free solutions are particularly well positioned to support these objectives. To ensure trust and continuing relevance, evaluation of open-source AI approaches can consider whether and how these approaches and the ecosystems supporting them are responsibly governed and continuously maintained. In particular, G7 countries should explore how governments and business can partner to support initiatives aimed at building and sustaining such ecosystems, to help level the playing field for SMEs – giving them affordable and trustworthy AI tools to experiment and innovate with. G7諸国は、オープンソースで知的財産権を尊重するAIが、中小企業の導入・実験における障壁や行政負担を低減する方法を模索すべきである。オープンソースAIアプローチ(オープンソースコードや重み付けモデル、高品質な公開データセットと文書、オープンソフトウェア枠組み、安全かつ責任あるオープンソースエコシステムを確保するツール・手法を含む)は、AI開発・展開・利用における主要リソースへのアクセスコスト削減を約束する。標準化されロイヤリティフリーのソリューションは、これらの目標達成に特に適している。信頼性と持続的な有用性を確保するため、オープンソースAI手法の評価では、当該手法及びそれを支えるエコシステムが責任あるガバナンスのもとで継続的に維持されているか否か、その方法を検討すべきである。特にG7諸国は、政府と企業が連携し、こうしたエコシステムの構築・維持を目指す取り組みを支援する方法を模索すべきだ。これにより中小企業の競争環境を公平化し、手頃で信頼性の高いAIツールを用いた実験と革新を可能にするのである。
Once firms have access to digital infrastructure, AI-enabling inputs become critical: data, algorithms and compute.< 企業がデジタルインフラにアクセスできるようになったら、AI活用を可能にする要素、すなわちデータ、アルゴリズム、コンピューティングが重要となる。
3. Business strategy and culture 3. ビジネス戦略と文化
SMEs are often seeking a clear adoption roadmap that can allow them to strategically align AI systems with existing business processes and workforce capabilities, and progress from experimentation to full scale production. Many companies start their AI journey with optimism through limited-scope pilots or small-scale applications, but they can struggle to scale these experiments or translate them into deep integration. A key reason for this is the relative novelty of AI technologies and their evolving horizon of application. Without baseline AI knowledge, it can be difficult to identify and prioritize high-value use cases, mobilize resources or build governance structures that can scale. This lack of technical awareness can create barriers, making it difficult for SMEs to recognize where AI can genuinely add value or improve their core operations. In such context, companies might remain uncertain about risks and potential returns on investment, leading to hesitation and under-investment in AI adoption. 中小企業は往々にして、AIシステムを既存の業務プロセスや従業員の能力と戦略的に整合させ、実験段階から本格的な運用へ移行するための明確な導入ロードマップを求めている。多くの企業は限定的なパイロット事業や小規模な応用からAI導入を開始するが、これらの実験を拡大したり、深い統合へと発展させたりするのに苦労する。その主な理由は、AI技術の相対的な新規性と、その応用範囲が進化し続けている点にある。AIに関する基礎知識がなければ、高価値ユースケースの識別・優先順位付け、リソース動員、拡張可能なガバナンスの構築は困難だ。この技術的認識の欠如が障壁となり、中小企業がAIの真の付加価値や中核業務改善の可能性を見極めることを妨げる。こうした状況下では、リスクや投資対効果の見通しが不透明なままとなり、AI導入への躊躇や投資不足を招く。
This uncertainty also reverberates into organizational culture. Many SMEs operate with limited data maturity, legacy infrastructure and a workforce that may not be prepared for new modes of collaboration. Without robust change management strategies and practical support to build trust and equip employees with new skills, AI can appear as a disruptor rather than an enabler. As a result, AI solutions may remain confined to silos and added onto existing processes, missing opportunities for deeper integration that can reshape business models, workflows and decision-making across functions. To fully realize AI's potential, SMEs need to acquire the capacity to treat it as a transformative tool. Internal and external resources can be harnessed to better integrate AI into SME leadership, strategy and culture, so the technology can play its part in a coherent business roadmap for growth and innovation. この不確実性は組織文化にも波及する。多くの中小企業は、データ成熟度が低く、レガシーなインフラを運用し、新たな協業形態に対応できていない従業員を抱えている。信頼構築や従業員の新たなスキル習得を支援する実践的なサポートや、強固な変更管理戦略がなければ、AIは支援ツールではなく混乱要因として映る。結果として、AIソリューションはサイロ化され、既存プロセスに追加されるだけで、ビジネスモデルやワークフロー、機能横断的な意思決定を再構築する深い統合の機会を逃すことになる。AIの潜在能力を完全に実現するには、中小企業はこれを変革ツールとして扱う能力を獲得する必要がある。内部・外部のリソースを活用し、AIを中小企業のリーダーシップ、戦略、文化に統合することで、成長と革新に向けた一貫したビジネスロードマップにおいて技術が役割を果たせるようになる。
Recommendations 提言
G7 countries should help SMEs build strong AI literacy across the organization, from leadership to worker, to enable informed decision-making. This may be achieved through targeted programs that promote technology literacy and diffusion, including frequent learning (e.g., seminars and workshops), mentoring and exchange practices that help executives better identify AI opportunities, prioritize specific AI integration workstreams, allocate appropriate resources and build talent for long-term organizational growth. G7諸国は、中小企業がリーダーシップから従業員まで組織全体で強固なAIリテラシーを構築し、情報に基づいた意思決定を可能にするよう支援すべきだ。これは、技術リテラシーと普及を促進する対象を絞ったプログラムを通じて達成できる。具体的には、頻繁な学習機会(例:セミナーやワークショップ)、メンタリング、交流実践などであり、これらは経営陣がAIの機会をより的確に識別し、具体的なAI統合作業の流れを優先順位付けし、適切なリソースを配分し、長期的な組織成長のための人材育成を行うのに役立つ。
G7 countries should encourage businesses to develop AI adoption roadmaps. Company-level roadmaps can bring coherence to AI integration strategies across the organization. A roadmap should align with overall business goals and articulate where, why and how AI will be used to drive value. This may include scoping and setting adoption priorities, assessing data readiness, defining governance structures, highlighting expected return on investment and clarifying resource allocation. Where relevant, businesses should consider phased implementation, particularly in sensitive domains, as a way to help reduce risk and allow for gradual integration of AI into existing workflows while building trust and reliability in AI adoption. Pilots, in particular, can help validate use cases and de-risk scaling efforts across the enterprise. Ultimately, roadmaps can help businesses move from a general interest in AI toward a concrete, systematic implementation plan that drives meaningful integration. G7諸国は、企業がAI導入ロードマップを策定するよう奨励すべきである。企業レベルのロードマップは、組織全体にわたるAI統合戦略に一貫性をもたらす。ロードマップは事業目標と整合し、価値創出のためにAIをどこで、なぜ、どのように活用するかを明確に示すべきだ。これには導入範囲の定義と優先順位付け、データ準備状況の評価、ガバナンスの確立、期待される投資収益率の提示、リソース配分の明確化が含まれる。特に機微な領域では、段階的導入を検討すべきだ。これによりリスクを軽減しつつ、既存ワークフローへのAIの漸進的統合が可能となり、AI導入への信頼性と確実性を構築できる。特にパイロットプロジェクトは、ユースケースの妥当性確認やエンタープライズ全体でのスケールアップに伴うリスク軽減に寄与する。最終的にロードマップは、AIへの一般的な関心から、意味ある統合を推進する具体的かつ体系的な導入計画への移行を支援する。
SMEs themselves may need to foster an internal culture of experimentation, cross-functional collaboration, data-driven business operations and decision-making and continuous learning. In this regard, change management is essential to guiding teams through AI integration transitions, addressing opposition, facilitating upskilling, empowering employees, and embedding AI into everyday workflows in a way that effectively augments existing work functions. From a labour force perspective, various public and private organizations can contribute to building trust in AI applications for day-to-day operations, helping workers see AI as a tool for enhancing – not replacing – their roles and as a means to innovate their routine activities. 中小企業自身も、実験的な取り組み、部門横断的な協働、データ駆動型の業務運営と意思決定、継続的な学習を促進する社内文化を育む必要がある。この点において、変化管理はチームをAI統合の移行過程で導き、反対意見に対処し、スキルアップを促進し、従業員をエンパワーし、既存の業務機能を効果的に補完する形でAIを日常業務に組み込む上で不可欠である。労働力の観点からは、様々な公的・民間組織が日常業務におけるAIアプリケーションへの信頼構築に貢献し、労働者がAIを自身の役割を代替するものではなく強化するツールとして、また日常業務を革新する手段として認識する手助けができる。
Where relevant, businesses and business communities should consider co-creating and organizing sector-specific AI adoption roadmaps that put SME needs in the foreground. The process of developing roadmaps would encourage businesses to join or champion AI adoption and learn from peers, identify industry-specific applications of AI, share critical guidance, and understand how adoption pathways converge and differ across contexts. Peer-learning initiative, including workshops, conferences, and cross-sectoral events, can help spread best practices among SMEs and startups. 関連する分野では、企業やビジネスコミュニティは中小企業のニーズを最優先に据えた、業界特化型のAI導入ロードマップを共同で作成・組織化することを検討すべきだ。ロードマップ策定プロセスは、企業がAI導入に参加または主導し、同業者から学び、業界固有のAI応用例を識別し、重要な指針を共有し、導入経路が状況によって収束・差異化する仕組みを理解することを促す。ワークショップ、カンファレンス、異業種交流イベントを含むピアラーニング・イニシアチブは、中小企業やスタートアップ間でベストプラクティスを広めるのに役立つ。
Successful projects usually begin with tightly defined problems that align with business priorities—such as cost savings, efficiency gains or product improvement. Narrow use cases allow for targeted prototyping and performance measurement. Leadership and teams are more likely to invest when AI is positioned as a practical tool to solve immediate business needs. 成功するプロジェクトは通常、コスト削減、効率向上、製品改良といった事業優先事項に沿った明確に定義された課題から始まる。限定的なユースケースは、的を絞ったプロトタイピングとパフォーマンス測定を可能にする。AIが差し迫った事業ニーズを解決する実用的なツールとして位置付けられる場合、経営陣やチームは投資を行う可能性が高くなる。
AI adoption can often start by building foundational literacy and clarifying the AI adoption journey to support more effective engagement. Effective AI literacy programs should engage technical teams and leadership, while also influencing broader organizational culture through a combination of knowledge-building and practical training. AI導入は、基礎的なリテラシー構築と導入プロセスの明確化から始めることが多い。効果的なAIリテラシープログラムは技術チームと経営陣を巻き込みつつ、知識構築と実践的トレーニングの組み合わせで組織文化全体に影響を与えるべきだ。
4. Skilling, reskilling, upskilling and talent development 4. スキリング、リスキリング、アップスキリングと人材育成
A barrier to effective AI integration is the lack of adequately skilled talent across an organization. As AI technologies continue to evolve, SMEs often struggle to develop or find workers with the technical, analytical and domain-specific skills needed to effectively implement and use AI. Without skilling, reskilling, upskilling and a strong culture of continuous learning, companies risk underutilizing AI, misinterpreting its insights, or facing labour opposition due to uncertainty and fear of displacement. Investments in talent are key and can aim to equip a broad range of employees with the knowledge and confidence to deploy AI, adapt their roles and drive innovation across workflows. Such efforts also offer natural opportunities to empower workers to co-lead the integration of AI instead of being objects of AI adoption efforts. 効果的なAI統合の障壁は、組織全体に十分なスキルを持つ人材が不足していることだ。AI技術が進化し続ける中、中小企業はAIを効果的に導入・活用するために必要な技術的・分析的・専門的スキルを持つ人材の育成や確保に苦労することが多い。スキル習得・再教育・高度化と継続的学習の強い文化がなければ、企業はAIの活用不足、洞察の誤解釈、不確実性や職を奪われる恐れによる労働者の反発に直面するリスクがある。人材への投資が鍵であり、幅広い従業員がAIを展開し、自身の役割を適応させ、ワークフロー全体でイノベーションを推進するための知識と自信を身につけられるよう目指すべきだ。こうした取り組みは、従業員がAI導入の受け身的な対象ではなく、AI統合を共同で主導する力を与える自然な機会も提供する。
Recommendations 提言
G7 countries should invest in measures promoting skilling, reskilling and upskilling aimed at both foundational and targeted skillsets. Foundational AI literacy training can provide everyone a baseline level understanding of how AI works and how it augments everyday roles, while targeted approaches can tailor programs to the specific needs of different sectors, roles and levels within the organization. Strong skills can ensure that all employees are equipped to engage productively with AI in their work context, while avoiding a one-size-fits-all program that fails to meet specific workforce needs. G7諸国は、基礎的スキルと特定スキル双方を対象としたスキル習得・再習得・高度化を促進する施策に投資すべきだ。基礎的なAIリテラシー研修は、AIの仕組みや日常業務への活用方法を全従業員に理解させる基盤を提供する。一方、特定アプローチでは、組織内の異なる部門・役割・レベルに応じたプログラムを設計できる。強固なスキルは、全従業員が業務環境でAIと生産的に関わる能力を備えることを保証する。一方で、特定の労働力ニーズを満たせない画一的なプログラムは避けるべきだ。
G7 countries should support pooled or joint training programs that can serve as shared resources, and lower the cost and complexity of skilling, reskilling and upskilling for individual SMEs. This can include programs that address the unique operational and technical needs of specific sectors or industries, programs that deepen SMEs', business communities' and business support organizations' linkages with talent pools such as universities and research centres, and programs that embed AI talent directly within SMEs through internships, residencies or collaborative projects. As well, mentorship initiatives can connect SMEs to sector-expert advisor networks with AI expertise, unlocking access to technical expertise and tailored guidance, supporting internal capacity-building and sophistication over time. Therefore, by combining pooled training and expert networks, resource-constrained companies are able to develop human capital with sophisticated understanding of AI for meaningful integration in their business context. G7諸国は、共有リソースとして機能し、個々の中小企業におけるスキル習得・再習得・高度化のコストと複雑性を低減できる共同研修プログラムを支援すべきである。これには、特定セクターや産業の固有の運用・技術的ニーズに対応するプログラム、中小企業・ビジネスコミュニティ・ビジネス支援組織と大学・研究センターなどの人材プールとの連携を深化させるプログラム、インターンシップ・レジデンシー・共同プロジェクトを通じてAI人材を中小企業に直接組み込むプログラムなどが含まれる。また、メンターシップ・イニシアチブにより、中小企業をAI専門知識を持つ業界別アドバイザー・ネットワークと結びつけることで、技術的専門知識や個別指導へのアクセスを可能にし、内部の能力構築と高度化を長期的に支援できる。したがって、共同研修と専門家ネットワークを組み合わせることで、資源制約のある企業も、自社のビジネス環境において意味ある形で統合できる高度なAI理解を備えた人的資本を開発できる。
G7 countries should search for ways to promote ongoing learning and enhance practices that allow AI to be seen as a force for good by SME employees – so they are empowered, not displaced, in the age of AI. In some cases, this can be achieved through on-the-job and modular training. Companies may embed continuous learning into their organizational culture, making AI literacy a regular part of their overall training curricula for their staff. This may incorporate modular, flexible training opportunities – such as through e-learning, seminars and workshops – that fit into the employee's schedule. This may also include leadership by and partnering with institutions such as community colleges and local universities, to build educational programs. Over time, the ongoing learning can empower employees to co-design approaches to integrating AI and use it to drive innovation and career growth. If successful, such practices will produce a cultural shift for labour in the way AI is perceived. G7諸国は、継続的な学習を促進し、AIを中小企業の従業員にとって善の力と見なせる実践を強化する方法を模索すべきだ。そうすることで、従業員はAI時代に置き去りにされるのではなく、力を与えられる。場合によっては、これはOJTやモジュール式研修を通じて達成できる。企業は継続的学習を組織文化に組み込み、AIリテラシーを従業員向け総合研修カリキュラムの定期的な要素とすることができる。これには、eラーニングやセミナー、ワークショップなど、従業員のスケジュールに合わせられるモジュール式で柔軟な研修機会が含まれる。また、コミュニティカレッジや地元大学などの機構と連携し、教育プログラムを構築するリーダーシップも必要だ。継続的な学習を通じて、従業員はAI統合のアプローチを共同設計し、イノベーションやキャリア成長を推進する力を身につけられる。こうした取り組みが成功すれば、労働力におけるAIの認識に文化的変革をもたらすだろう。
SMEs consistently cite a lack of skills as a major impediment to AI adoption. In an OECD survey covering four G7 countries, 50% of SMEs report that their employees lack the skills to use generative AI. 中小企業は一貫して、スキル不足をAI導入の主要な障壁として挙げている。G7四カ国を対象としたOECD調査では、中小企業の50%が「従業員に生成的AIを活用するスキルが不足している」と報告している。
A skilled SME workforce can help unlock the productivity gains of AI, benefitting SMEs and workers alike. 熟練した中小企業労働力は、AIによる生産性向上の可能性を解き放ち、中小企業と労働者の双方に利益をもたらす。
5. Financial support mechanisms 5. 資金支援メカニズム
Access to capital and other financial constraints remain one of the most significant and persistent barriers to AI adoption. Unlike larger companies, SMEs often operate with limited margins, making it difficult to allocate resources to AI experimentation, infrastructure and workforce development. Costs associated with acquiring AI-ready infrastructure, licensing software, hiring skilled talent and training staff can often be prohibitive. These challenges are compounded by the longstanding challenges SMEs face in accessing capital, such as bank loans and venture capital. Limited collateral, higher perceived risk, shorter credit histories and lack of clarity on anticipated return on investments are some of the reasons that make it harder to attract investment compared to their larger counterparts. Startups also face specific challenges accessing capital, given their focus on high-risk innovation and rapid growth. Access to capital is also essential to cultivating competitive markets for AI solutions, including the creation of new and innovative AI offerings that benefit SMEs. Governments, businesses and business associations can all play a role in facilitating financing for SMEs, both for adopters and developers of AI solutions, and fostering the development of competitive AI ecosystems calls for tight collaboration. 資本へのアクセスやその他の財務的制約は、依然としてAI導入における最も重大かつ持続的な障壁の一つだ。大企業とは異なり、中小企業はしばしば限られた利益率で運営されているため、AIの実験、インフラ整備、人材育成に資源を割り当てるのが難しい。AI対応インフラの取得、ソフトウェアのライセンス取得、熟練人材の採用、スタッフの訓練に関連するコストは、しばしば障壁となる。これらの課題は、銀行融資やベンチャーキャピタルなど、中小企業が長年直面してきた資金調達難によってさらに深刻化する。担保の不足、リスク認識の高さ、信用履歴の短さ、投資収益率の見通しの不透明さなどが、大企業に比べて投資を呼び込みにくい理由だ。スタートアップ企業も、高リスクなイノベーションと急速な成長を追求する性質上、資金調達において特有の課題に直面している。資本へのアクセスは、中小企業に利益をもたらす革新的AIソリューションの創出を含む、競争力あるAIソリューション市場を育成するためにも不可欠である。政府、企業、業界団体は、AIソリューションの導入企業と開発企業の双方に対する中小企業向け資金調達を促進する役割を担うことができ、競争力あるAIエコシステムの発展を促進するには緊密な連携が求められる。
Recommendations 提言
G7 countries should take steps to further improve SME access to capital and advisory services to enable AI adoption. Growing availability of appropriate financial instruments, such as loans and venture capital, can emerge with a stronger line of sight on AI's benefit to SMEs in the financial sector. Where gaps remain, public guarantees and co-investment models can be structured to reduce the risk to lenders and investors, especially for innovative or newer SMEs. Digital tools and platforms for credit assessment can also alleviate barriers by leveraging SMEs' online presence to demonstrate their financial health. Additionally, advisory services on AI adoption and financial literacy can help ensure SMEs better understand the costs and productive impacts of adoption and are confident in their investments. It can particularly equip them to prepare strong business cases for their investments in adoption and to navigate the funding landscape. Taken together, these solutions can ease access to capital and overcome barriers to allow SMEs to make long-term investments in AI adoption. G7諸国は、AI導入を可能にするため、中小企業の資本および助言サービスへのアクセスをさらに改善する措置を講じるべきである。金融セクターにおいて、AIが中小企業にもたらす利益がより明確になれば、融資やベンチャーキャピタルなど適切な金融商品の提供機会は拡大する。不足が生じる分野では、公的保証や共同投資モデルを構築し、特に革新的あるいは新興中小企業に対する貸し手や投資家のリスクを軽減できる。信用評価のためのデジタルツールやプラットフォームも、中小企業のオンライン上の存在を活用して財務健全性を示すことで障壁を軽減し得る。さらに、AI導入と金融リテラシーに関する助言サービスは、中小企業が導入コストと生産性への影響を深く理解し、投資に自信を持つことを支援する。特に、導入投資の強力なビジネスケース作成や資金調達環境の把握を可能にする。これらの解決策を総合的に活用することで、資本へのアクセスが容易になり、障壁を克服して中小企業がAI導入への長期投資を実現できる。
G7 countries should also support the development of new, innovative or low-cost AI products and services. Measures can be targeted to promote the emergence of novel AI products and solutions, covering a range of prices, that meet specific SME business needs. Examples include incremental public funding for pre-commercial research and development, and support for SME-focused innovation hubs and incubators. G7諸国はまた、新規・革新的あるいは低コストのAI製品・サービスの開発を支援すべきだ。中小企業特有のビジネスニーズを満たす多様な価格帯の新たなAI製品・ソリューション創出を促進する施策が対象となり得る。具体例としては、商用化前の研究開発に対する段階的な公的資金支援、中小企業向けイノベーションハブやインキュベーターへの支援が挙げられる。
G7 countries should encourage voluntary sector initiatives and networks that endeavour to pool SME resources to create economies of scale – for instance through shared services models, collaborative procurement, joint purchases of AI licenses and cloud infrastructure access, or joint hiring of specialized expertise. Where relevant, these initiatives and networks should be incentivized to offer centralized resources to their communities of SMEs, such as the latest information on available grants, low- or no-cost AI tools, compliance guides, and best practices for adoption. This can not only reduce costs for individual SMEs, but also promote voluntary collaboration and knowledge-sharing among SMEs, strengthening their capacity to innovate and compete. G7諸国は、共有サービスモデル、共同調達、AIライセンスやクラウドインフラへの共同購入、専門知識の共同雇用などを通じて、中小企業の資源をプールし規模の経済を創出しようとする自主的なセクターの取り組みやネットワークを奨励すべきである。関連する場合、これらの取り組みやネットワークは、利用可能な助成金に関する最新情報、低コストまたは無償のAIツール、コンプライアンスガイド、導入のベストプラクティスなど、中小企業コミュニティへ集中化されたリソースを提供するよう奨励されるべきだ。これは個々の中小企業のコスト削減につながるだけでなく、中小企業間の自発的な協力と知識共有を促進し、イノベーションと競争力を強化する。
Where relevant, G7 countries should encourage bundling of advisory services with AI-related financial support delivered to SMEs. They should leverage trusted intermediaries – such as chambers of commerce, research and innovation centres, industry and sectoral associations, credit unions and local development banks – who can not only distribute loans and grants, but also advice to SMEs. A single, accessible point of contact equipped to guide SMEs through different stages of adoption, from assessing business needs and securing funding to developing strategic integration plans and connecting with trusted AI vendors, can accelerate SME AI readiness. G7諸国は、中小企業向けAI関連資金支援と助言サービスを組み合わせることを推奨すべきだ。商工会議所、研究・イノベーションセンター、業界団体、信用組合、地域開発銀行など、融資や助成金の分配だけでなく中小企業への助言も可能な信頼できる仲介機関を活用すべきである。事業ニーズの評価や資金調達から戦略的統合計画の策定、信頼できるAIベンダーとの連携まで、導入の様々な段階を中小企業が乗り越えるための支援体制を備えた、単一でアクセスしやすい窓口を設けることで、中小企業のAI導入準備を加速できる。
The Strategic Role of Local Banks in Accelerating SME AI Adoption 中小企業のAI導入加速における地域銀行の戦略的役割
Local and regional banks are uniquely positioned to act as catalysts for SME AI adoption. Beyond serving as financing channels, they can operate as trusted partners, combining proximity, financial expertise and ecosystem knowledge to help SMEs navigate the path toward digital transformation. Key roles they can play include: 地方銀行や地域銀行は、中小企業のAI導入を促進する触媒として独自の立場にある。単なる資金供給チャネルを超え、信頼できるパートナーとして、地理的近接性、金融専門知識、エコシステム理解を組み合わせ、中小企業のデジタル変革への道筋を支援できる。彼らが果たし得る主な役割は以下の通りだ:
AI-Ready Financing: Develop and offer dedicated loan products, credit guarantees and flexible repayment schemes designed for AI-related investments. AI導入支援融資:AI関連投資向けに設計された専用融資商品、信用保証、柔軟な返済スキームを開発・提供する。
Advisory and Readiness Support: Integrate AI-readiness assessments and digital advisory services into lending processes. 助言と準備支援:融資プロセスにAI導入準備度アセスメントとデジタル助言サービスを統合する。
Ecosystem Conveners: Leverage their community networks to connect SMEs with AI vendors, fintechs, local innovation hubs and government support programs. エコシステム調整役:コミュニティネットワークを活用し、中小企業とAIベンダー、フィンテック企業、地域イノベーション拠点、政府支援プログラムを結びつける。
Capacity Building: Equip bank advisors with foundational AI literacy to better guide SME clients through financing and adoption decisions. 能力構築:銀行アドバイザーに基礎的なAIリテラシーを習得させ、中小企業の融資・導入判断をより適切に支援する。
Data Partnerships: Under appropriate governance and privacy frameworks, explore opportunities for anonymized data collaborations that can improve credit assessment models and inform SME AI applications in forecasting, productivity and financial management. データ連携:適切なガバナンスとプライバシー枠組みのもと、匿名化データ協働の可能性を探る。これにより与信審査モデルの改善や、予測・生産性・財務管理分野における中小企業のAI応用促進が図れる。
6. Regulatory and governance guidance 6. 規制とガバナンスの指針
Clear and practical regulatory and governance guidance is essential for effective AI adoption by SMEs. When regulatory uncertainty is coupled with SMEs' limited capacity to navigate complex compliance requirements — for example, on data privacy, algorithmic accountability, security, and transparency — it can either leave companies hesitant to adopt AI due to legal and reputational risks, or lead to the deployment of AI in unsafe or inappropriate ways. Without SME-friendly governance support, businesses may decide not to adopt AI, or may integrate AI in ways that fail to comply with existing frameworks. This will expose them to unnecessary compliance risk or risk of underperforming against competitors that adopt AI more confidently. 中小企業の効果的なAI導入には、明確かつ実践的な規制とガバナンスの指針が不可欠である。規制の不確実性と、データ・プライバシー、アルゴリズムの説明責任、セキュリティ、透明性など複雑なコンプライアンス要件への対応能力が限られている中小企業が組み合わさると、法的・評判リスクを理由にAI導入を躊躇するか、安全でない、あるいは不適切な方法でAIの展開を招く。中小企業向けのガバナンス支援がなければ、企業はAI導入を見送るか、既存の枠組みに準拠しない形でAIを統合する可能性がある。これにより、不要なコンプライアンスリスクに晒されるか、より自信を持ってAIを導入する競合他社に対して業績が劣るリスクを負うことになる。
Recommendations 提言
G7 countries should develop SME-friendly AI governance guidance and compliance resources. Governments and regulators can create practical and accessible resources, such as simplified compliance lists, privacy assessment guides, toolkits and best practice guides for responsible use of data and AI. Where relevant, these resources should be informed by best practices, such as those recognized through the Hiroshima AI Process. They should be developed collaboratively with relevant sector and business associations to help SMEs understand best practices relevant to their domain as well as their obligations under existing laws. G7諸国は、中小企業向けのAIガバナンスガイダンスとコンプライアンスリソースを開発すべきである。政府と規制当局は、簡素化されたコンプライアンスリスト、プライバシー評価ガイド、ツールキット、データとAIの責任ある利用に関するベストプラクティスガイドなど、実用的でアクセスしやすいリソースを作成できる。関連する場合には、これらのリソースは、広島AIプロセスを通じて認められたベストプラクティスなどの知見に基づくべきだ。関連する業界団体や企業団体と共同で開発し、中小企業が自社の分野に関連するベストプラクティスと既存法に基づく義務を理解するのを支援すべきだ。
G7 countries should promote engagement between regulators, SMEs, and SME-focused business associations to inform the creation of regulations and standards that are compatible with the needs of SMEs. Associations are well-positioned to bring the perspectives of smaller companies into government-led regulatory and standard-setting discussions where larger corporations' perspectives may dominate. Engagement can ensure that the perspectives of SMEs are considered in decisions about AI governance and promote regulations that are practical, flexible and scalable for smaller businesses. G7諸国は、規制当局、中小企業、中小企業向け業界団体間の連携を促進し、中小企業のニーズに適合した規制・標準策定に反映させるべきである。業界団体は、大企業の視点が支配的になりがちな政府主導の規制・標準策定議論において、中小企業の視点を反映させる上で適した立場にある。連携により、AIガバナンスに関する意思決定において中小企業の視点が考慮され、中小企業にとって実用的で柔軟かつ拡張性のある規制・標準が促進される。
G7 countries should keep collaborating to improve compatibility between AI governance frameworks — both within their individual economies and, where appropriate, across the G7 and beyond — to ease compliance burdens. Compatible approaches to data privacy, algorithmic accountability and cross-border data flows can reduce fragmentation, increase the predictability of compliance environments, and lower compliance costs for SMEs operating internationally. G7諸国は、コンプライアンス負担を軽減するため、AIガバナンス枠組みの互換性向上に向け、各経済圏内および必要に応じてG7域内外で協力を継続すべきだ。データ・プライバシー、アルゴリズムの説明責任、越境データ流通に対する互換性のあるアプローチは、分断を軽減し、コンプライアンス環境の予測可能性を高め、国際的に事業を展開する中小企業のコンプライアンスコストを削減できる。
Regulatory and legal uncertainty can be a significant deterrent to AI experimentation especially in sectors like health, finance and environmental monitoring. SMEs may lack in-house legal expertise to assess compliance risks making them hesitant to deploy AI solutions that interact with sensitive data or regulated processes. 規制や法的な不確実性は、特に医療、金融、環境監視などの分野において、AI実験の大きな阻害要因となり得る。中小企業はコンプライアンスリスクを評価する社内の法的専門知識を欠いている場合があり、機密データや規制対象プロセスと関わるAIソリューションの展開に躊躇する傾向がある。

 

 

・[PDF]

20251220-115908

 

 

 

 

 

| | Comments (0)

OECD 中小企業のAI導入 (2025.12.09)

こんにちは、丸山満彦です。

本日のAI関連第2弾です(2/4)...

 

OECDが中小企業のAI導入についての報告書を公表していますね。AIは生産性向上の有効な手段となりうるものであるが、中小企業への導入は遅れている。そこでG7は2025年6月にカナダで開催されたサミットにおいて、中小企業へのAI導入を政策の優先課題とすることにしました...

この報告書は、各国が政策を立てる際のインプットになるように、中小企業へのAI導入を進める上での参考となる情報となっているようです...

この報告書の元データであるOECD ICTアクセス・利用データベースにあたってみると日本は他国と比較してもAI利用は必ずしも高くない感じです(日本のデータが2021年で古いままなので、急速に普及が進んでいる環境で比較が難しい...)

興味がある方は見てみてください...

最新の取れるデータでの10名以上の企業全体

20251221-42939

 

最新の取れるデータでの10名−49名の企業

20251221-43046

 

 

最新の取れるデータでの250名以上の企業

20251221-42717

 

日本のデータと同じ2021年のデータにしてみると、

2021年のデータでの10名−49名の企業

20251221-43309

となっています。これから4年間でどれほど巻き返せているか?ですかね...

にしても、こういうデータは毎年とっていたほうがよいかもですね...

 

OECD

・2025.12.09 AI adoption by small and medium-sized enterprises - OECD discussion paper for the G7

AI adoption by small and medium-sized enterprises 中小企業のAI導入
Artificial intelligence (AI) holds significant promise for enhancing business productivity and innovation, including among small and medium-sized enterprises (SMEs). SME AI adoption remains relatively low compared to other digital technologies and to larger firms. Canada’s 2025 G7 Presidency has made accelerating AI adoption by SMEs a key priority. This discussion paper, prepared by the OECD Secretariat at the request of the G7 Presidency, seeks to inform G7 discussions on a proposed Blueprint for SME AI Adoption. The paper examines recent evidence on AI diffusion across G7 economies, highlighting persistent gaps between SMEs and large firms. It introduces a taxonomy of SME AI adopters based on digital maturity, complexity of use, and scope of application, with a view to supporting targeted policy design aligned with firm-specific needs. Drawing on case studies from G7 countries, the paper illustrates diverse adoption pathways and identifies key enablers − connectivity; data, algorithms and compute; skills; and finance − that are prerequisites for SMEs to successfully adopt AI. The findings underscore the need for governments to accelerate AI uptake among SMEs and promote digital transformation that benefits all via differentiated support strategies. 人工知能(AI)は、中小企業(SME)を含むエンタープライズの生産性向上とイノベーション促進に大きな可能性を秘めている。しかし中小企業のAI導入率は、他のデジタル技術や大企業と比べて依然として低い。カナダの2025年G7議長国は、中小企業のAI導入加速を主要な優先課題とした。本議論文書は、G7議長国の要請に基づきOECD事務局が作成したもので、提案されている「中小企業向けAI導入青写真」に関するG7議論への情報提供を目的とする。本報告書は、G7諸国におけるAI普及に関する最新の証拠を検証し、中小企業と大企業との間に持続的な格差が存在することを強調する。企業の個別ニーズに沿った政策設計を支援する観点から、デジタル成熟度、利用の複雑性、適用範囲に基づく中小企業のAI導入企業分類を導入する。G7諸国の事例研究に基づき、本論文は多様な導入経路を示し、中小企業がAIを成功裡に導入するための前提条件となる主要な推進要因―接続性、データ・アルゴリズム・計算能力、スキル、資金―を識別する。これらの知見は、政府が差別化された支援戦略を通じて、中小企業におけるAI普及を加速し、全てに利益をもたらすデジタル変革を促進する必要性を強調している。

 

・[PDF]

20251221-44718

・[DOCX][PDF] 仮訳

 

目次...

Executive summary エグゼクティブサマリー
Introduction 序論
1 Adoption trends 1. 導入動向
Recent evidence about AI diffusion AI普及に関する最近の証拠
Adoption gaps between SMEs and large firms 中小企業と大企業における導入格差
Sectoral patterns of AI diffusion AI普及の業種別パターン
Beyond adoption: The links between AI use and productivity 導入を超えて:AI利用と生産性の関連性
2 A proposed taxonomy of AI adopters 2. AI導入企業の分類案
Taxonomy 分類法
3 Case studies 3. 事例研究
AI Novices AI初心者
AI Optimisers AI最適者
AI Explorers AIエクスプローラー
AI Champions AIチャンピオンズ
4 Key enablers to facilitate AI adoption by SMEs 4. 中小企業におけるAI導入を促進する主要な推進要因
Connectivity 接続性
AI-enabling inputs AI活用のための入力要素
Skills スキル
Finance 金融
5 Policy approaches to AI adoption by SMEs 5. 中小企業におけるAI導入に向けた政策アプローチ
Country profiles 国別プロファイル
Selected policy examples beyond the G7 G7以外の政策事例
From AI Novices to AI Champions: Policy pathways for SME adoption AI初心者からAIチャンピオンへ:中小企業の導入に向けた政策の道筋
6 Proposed policy recommendations for governments to enhance AI adoption by SMEs 6. 中小企業によるAI導入促進に向けた政府への政策提言
References 参考文献
Annex A. Additional tables and figures 附属書A. 追加の表と図

 

エグゼクティブサマリー...

Executive summary  エグゼクティブサマリー 
AI use is consistently lower among SMEs than among large firms across all G7 countries. The adoption gap between large firms and SMEs is evident across AI technologies and applications. In fact, across the OECD, the share of large firms using AI (40%) is more than three times that of small firms (11.9%). Sectoral differences are pronounced, with information and communication technologies (ICT) and professional services leading in adoption. Similar patterns of sectoral heterogeneity are evident across G7 countries. Overall, the adoption rate of AI by firms is increasing but remains relatively low compared to other digital technologies. Between 2020 and 2024, the share of firms using AI rose from 5.6% to 14% across OECD Member countries.   G7諸国全体において、中小企業のAI利用率は大企業よりも一貫して低い。大企業と中小企業の導入格差は、AI技術と応用分野の双方で明らかだ。実際、OECD全体では、AIを利用する大企業の割合(40%)は中小企業のそれ(11.9%)の3倍以上である。業種別の差異は顕著で、情報通信技術(ICT)と専門サービスが導入をリードしている。 同様の業種間格差はG7諸国全体でも見られる。全体として企業のAI導入率は上昇傾向にあるが、他のデジタル技術と比較すると依然として低い水準にある。2020年から2024年にかけて、OECD加盟国におけるAI利用企業の割合は5.6%から14%に上昇した。  
AI adoption has the potential to enhance productivity of SMEs. An increasing body of evidence suggests a strong positive association between AI use and firms' productivity. At the macroeconomic level, a recent OECD study estimates potential gains from AI ranging from 0.2 to 1.3 percentage points in annual labour productivity growth across G7 economies over the next decade. Generative AI in particular shows promise as a general-purpose technology, but its potential has yet to be fully realised. Maximising aggregate productivity will require not just broader adoption, particularly among SMEs, but also complementary investments in workers’ skills and other assets that enable firms to realise the full benefits of AI.  AI導入は中小企業の生産性向上に寄与する可能性がある。AI活用と企業生産性には強い正の相関関係があることを示す証拠の団体が増えている。マクロ経済レベルでは、最近のOECD研究が、今後10年間でG7経済圏の年間労働生産性成長率に0.2~1.3パーセントポイントの潜在的利益をもたらすと推定している。 特に生成的AIは汎用技術として有望だが、その潜在能力はまだ十分に発揮されていない。総生産性を最大化するには、中小企業を中心とした普及拡大だけでなく、労働者のスキルやその他の資産への補完的投資も必要だ。これにより企業はAIの恩恵を最大限に享受できる。 
This discussion paper identifies four critical enablers for AI adoption in SMEs: i) connectivity, ii) AI-enabling inputs, iii) skills, and iv) finance. While there has been progress in the expansion of highquality connectivity across OECD Member countries, including G7 members, disparities remain across firms of different sizes and between urban and rural areas. Access to AI-enabling inputs, such as quality datasets and compute resources is essential for adopting certain types of AI applications and for improving SMEs’ ability to develop custom AI tools to harness AI’s innovative potential. Skill shortages are a major barrier to AI adoption, consistently identified by SMEs as one of the main hurdles they face. Financial constraints hinder long-term investment, prompting governments implement policies and actions that improve and expand access to a broad range of financing instruments and fintech, enabling SMEs to secure the resources needed for digital transformation.  本議論文書は、中小企業におけるAI導入の4つの重要要素を識別する:i) 接続性、ii) AI活用のための投入要素、iii) 技能、iv) 資金。OECD加盟国(G7を含む)における高品質な接続性の拡大には進展が見られるものの、企業規模間や都市部と地方間の格差は依然として存在する。 質の高いデータセットや計算資源といったAI活用を可能にするインプットへのアクセスは、特定のAIアプリケーションの導入や、AIの革新的な可能性を活用するためのカスタムAIツール開発能力の向上に不可欠である。スキル不足はAI導入の主要な障壁であり、中小企業が一貫して直面する主な課題の一つとして識別されている。 資金面の制約が長期投資を妨げているため、政府は政策や措置を実施し、幅広い金融手段やフィンテックへのアクセスを改善・拡大し、中小企業がデジタル変革に必要な資源を確保できるようにすべきである。 
Recognising different SME adoption profiles can help design more targeted and effective policy support. The discussion paper proposes a taxonomy for AI adoption in SMEs, distinguishing four categories of SME adopters according to their digital maturity, complexity of AI use, and the scope of AI application: AI Novices, AI Explorers, AI Optimisers, and AI Champions. This taxonomy can support governments in designing targeted policy design aligned with the specific needs and capabilities of SMEs at different stages of their AI adoption journey.  中小企業におけるAI導入の異なるプロファイルを認識することは、より的を絞った効果的な政策支援の設計に役立つ。 本議論文書は、中小企業のAI導入に関する分類法を提案する。デジタル成熟度、AI利用の複雑さ、AI適用範囲に基づき、中小企業導入者を4つのカテゴリーに区分する:AI初心者、AI探求者、AI最適化者、AIチャンピオンである。この分類法は、政府がAI導入プロセスの異なる段階にある中小企業の特定のニーズや能力に合わせた、的を絞った政策設計を支援する。 
Case studies of SMEs from G7 countries illustrate diverse adoption pathways. AI Novices typically rely on embedded tools for peripheral tasks, while AI Optimisers integrate multiple tools across functions. AI Explorers develop bespoke solutions, and AI Champions embed AI across operations and strategy. Despite the benefits of using AI, SMEs across all categories experience challenges and risks related to AI adoption, and reported issues concern accuracy, harmful content, and legal uncertainty.  G7諸国の中小企業事例は多様な導入経路を示している。AI初心者企業は周辺業務に組み込みツールを依存する傾向がある一方、AI最適化企業は複数ツールを機能横断的に統合する。AI探求企業は特注ソリューションを開発し、AIチャンピオン企業は業務と戦略全体にAIを組み込む。AI活用の利点にもかかわらず、全カテゴリーの企業が導入に関連する課題とリスクを経験しており、報告された問題は精度、有害コンテンツ、法的不確実性に関わる。 
G7 governments are implementing multi-pronged strategies and diverse sets of policy measures to enhance AI adoption by SMEs, addressing the four key enablers identified in this paper. Common instruments include infrastructure investments, skills development programmes, financial support, data access initiatives, and regulatory guidance. Country-specific programmes reflect national priorities but share a common goal of enabling inclusive and productive AI diffusion across SMEs.  G7の政府は、本論文で特定した4つの主要な推進要因に対応し、中小企業のAI導入促進に向け多角的な戦略と多様な政策措置を実施している。共通する手段には、インフラ投資、技能開発プログラム、財政支援、データアクセス施策、規制ガイダンスが含まれる。各国固有のプログラムは国家の優先事項を反映しつつも、中小企業全体における包括的かつ生産的なAI普及を可能にするという共通目標を共有している。 
Further policy efforts can help accelerate adoption of AI among SMEs and contribute to closing the gaps between small and large firms. Policymakers should enhance connectivity, facilitate access to digital resources and AI inputs, raise awareness of potential use cases, benefits and risks of AI, and strengthen workforce capabilities through targeted training. Improving investment readiness, expanding financing options and tailoring interventions to diverse SME profiles are essential, alongside promoting AI use in core business functions. Enhanced international co-operation on AI, aligned with the OECD AI Principles, will promote knowledge-sharing, certainty, and harmonisation of regulatory approaches and technical standards, helping accelerate adoption by firms of all sizes.  さらなる政策努力は、中小企業におけるAI導入を加速させ、中小企業と大企業の格差解消に寄与し得る。政策立案者は、接続性の強化、デジタル資源・AI入力へのアクセス促進、AIの潜在的な活用事例・利点・リスクに関する認知向上、対象を絞った訓練による労働力能力の強化を図るべきだ。投資準備態勢の改善、資金調達手段の拡大、多様な中小企業特性に合わせた介入策の実施は、中核業務機能におけるAI活用促進と並行して不可欠である。 OECDのAI原則に沿ったAI分野での国際協力の強化は、知識共有、確実性の確保、規制アプローチと技術標準の調和を促進し、あらゆる規模の企業によるAI導入の加速に寄与する。 

 

導入経路の議論は重要かもですね...

1_20251221050001

 

 

 

| | Comments (0)

ドイツ DSK GDPRの改革案(AIの利用に関する明確な法規制、IT企業に責任を持たせる)を提案 (2025.12.12)

こんにちは、丸山満彦です。

本日のAI関連第1弾です(1/4)...

 

ドイツのデータ保護監督機関会議 (Datenschutzkonferenz: DSK) がGDPRの改革案として、

・AIの利用に関する明確な法規制

・IT企業に責任を持たせる

ための改革案を公表していますね...

 

AIの利用については法規制とイノベーションは両立するとし、法規制を明確にするという方向で提案していますね...私もそう思います...

ルールが不明確であれば、黒の領域に踏み込むことをおそれて安全のバッファーをとったり、黒白の見極めに時間がかかってしまうからです...

 

Datenschutzkonferenz: DSK

プレスリリース...

データ保護会議、一般データ保護規則の改革案を提案

・2025.12.12 Datenschutzkonferenz macht Reformvorschläge für die Datenschutz-Grundverordnung

・[PDF]

20251220-103616

Pressemitteilung プレスリリース
der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 12. Dezember 2025  2025年12月12日、連邦および州独立データ保護監督機関会議
Datenschutzkonferenz macht Reformvorschläge für die Datenschutz-Grundverordnung  データ保護会議、一般データ保護規則の改革案を提案
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat auf ihrer 110. Konferenz in Berlin die Vorschläge der EU-Kommission zur Anpassung der Digitalgesetzgebung diskutiert und zwei eigene Vorschläge für gezielte Anpassungen der europäischen Datenschutz-Grundverordnung (DSGVO) beschlossen. Zudem verabschiedete die DSK einen standardisierten Prüfprozess für die Digitalisierung von Verwaltungsleistungen und eine Orientierungshilfe zur vereinfachten Abstimmung mit den Datenschutzbehörden für die Gesundheitsforschung.  連邦および州独立データ保護監督機関会議(DSK)は、第110回会議(ベルリン)において、EU委員会によるデータ保護法改正案について議論し、欧州一般データ保護規則(GDPR)の改正に関する2つの独自の提案を決定した。会議で、EU 委員会によるデジタル法規制の改正案について議論し、欧州一般データ保護規則(GDPR)の具体的な改正に関する 2 つの提案を採択した。さらに、行政サービスのデジタル化に関する標準化された審査プロセス、および健康研究に関するデータ保護当局との調整を簡素化するためのガイダンスも採択した。
Vorschläge der EU-Kommission  EU 委員会の提案
Die DSK führte eine intensive Diskussion über die Vorschläge der EU-Kommission zur Anpassung der DSGVO, der KI-Verordnung und weiterer Digitalrechtsakte (Digital Omnibus). Die EU-Kommission hat teils weitreichende Änderungen vorgeschlagen, die Auswirkungen auf den Schutz der Privatsphäre und personenbezogener Daten haben würden.  DSK は、GDPR、AI 規則、その他のデジタル関連法(デジタルオムニバス)の改正に関する EU 委員会の提案について、活発な議論を行った。EU 委員会は、プライバシーと個人データの保護に影響を与える、一部は広範囲にわたる改正を提案している。
„Die vorgeschlagenen Regelungen sind an vielen Stellen nicht bis zu Ende gedacht und führen damit zu neuen Rechtsunsicherheiten,“ sagt Meike Kamp, Berliner Beauftragte für Datenschutz und Informationsfreiheit und amtierende DSK-Vorsitzende. „Einfache gesetzliche Anpassungen, die eine Entlastung von kleinen und mittleren Unternehmen bewirken würden, lässt die Kommission hingegen liegen. Das selbst gesetzte Ziel des Bürokratieabbaus erfüllt die EU-Kommission damit nicht. So könnten etwa die Hersteller von Produkten stärker in die Pflicht genommen werden, ihre Produkte datenschutzkonform auszugestalten, sodass kleine und mittlere Unternehmen bei der Auswahl und dem Einsatz solcher Produkte nicht mehr die datenschutzrechtliche Hauptlast tragen.“  ベルリンのデータ保護・情報自由担当官であり、DSK 議長を務めるマイケ・カンプ氏はtt次のように述べている。「提案されている規制は、多くの点で十分に検討されておらず、新たな法的不安定さをもたらす。一方、中小企業に負担軽減をもたらすような単純な法改正については、委員会は手つかずのままにしている。EU 委員会は、自ら設定した官僚機構の削減という目標を達成していない。例えば、製品メーカーは、自社製品がデータ保護に準拠したものになるよう、より強い責任を課せられるようになるため、中小企業は、そのような製品の選択や使用において、データ保護に関する主な負担をもう負わなくて済むようになるだろう」。
Die DSK hält zudem den Zeitdruck unter dem das Omnibusverfahren durchgeführt wird, für unangemessen. Es handelt sich bei dem Vorschlag der EU-Kommission nämlich nicht nur um vorwiegend redaktionelle und kleinere Anpassungen, sondern unter anderem um solche fundamentalen Anpassungsvorschläge wie die Änderung der Definition von personenbezogenen Daten. Dies muss sorgfältig durchdacht und vor dem Hintergrund der Erfahrungen auch aus der Datenschutzaufsicht diskutiert werden. „Gemeinsam mit den europäischen Datenschutzbehörden werden wir den Vorschlag der Kommission in den kommenden Wochen detailliert analysieren und eine Stellungnahme abgeben“, sagt Meike Kamp.  また、DSK は、オムニバス手続きが実施されている時間的プレッシャーも不適切だと考えている。EU 委員会の提案は、主に編集上の小さな調整だけでなく、個人データの定義の変更など、根本的な調整の提案も含まれているからだ。これは、データ保護監督当局の経験も踏まえて、慎重に検討し、議論する必要がある。「欧州のデータ保護当局と協力し、今後数週間にわたって欧州委員会の提案を詳細に分析し、意見書を提出する予定だ」と、マイケ・カンプ氏は述べている。
Hersteller und Anbieter von IT-Diensten in die Pflicht nehmen  IT サービスの製造業者および提供者に責任を課す
Die DSK hält es für erforderlich, die Reform der DSGVO zu nutzen und die datenschutzrechtliche Verantwortung fortzuentwickeln. Künftig sollen Hersteller und Anbieter von IT-Diensten verpflichtet werden, die Grundsätze des Datenschutzes bereits bei der Gestaltung ihrer Produkte stärker zu berücksichtigen. „Mit der Herstellerhaftung wird die datenschutzrechtliche Verantwortung dorthin verlagert, wo die Entscheidungen über die Gestaltung von IT-Produkten getroffen werden,“ sagt Meike Kamp. „Das stärkt besonders die Position von kleinen und mittleren Unternehmen, die derzeit oft nicht in der Lage sind, datenschutzkonforme Prozesse in den genutzten Produkten durchzusetzen, aber bislang allein die rechtliche Verantwortung tragen.“ Auch die Auftragsverarbeiter sollen verpflichtet werden, ihre Dienste von vornherein datenschutzkonform auszugestalten.  DSK は、GDPR の改革を活用し、データ保護に関する責任をさらに発展させる必要があると考えている。将来的には、IT サービスのメーカーやプロバイダーは、自社製品の設計段階から、データ保護の原則をより強く考慮する義務を負うことになる。マイケ・カンプ氏は次のように述べている。「メーカー責任により、データ保護に関する責任は、IT 製品の設計に関する決定が行われる場に移される。これにより、現在、使用する製品においてデータ保護に準拠したプロセスを実施することができないことが多い中小企業は、これまで単独で法的責任を負担してきたが、その立場が特に強化されることになる」。また、委託処理業者も、最初からデータ保護に準拠したサービスを提供する義務を負うことになる。
Einsatz von KI braucht klare gesetzliche Regelung  AI の利用には明確な法的規制が必要
Bei der Verarbeitung personenbezogener Daten durch KI-Systeme sieht die DSK Bedarf für DSGVO-Reformen, die über die Vorschläge der EU-Kommission hinausgehen. Die DSK fordert, spezifische Rechtsgrundlagen für Entwicklung, Training und Betrieb von KI-Modellen und KI-Systemen gesetzlich festzulegen. „Rechtssicherheit und Innovation gehen Hand in Hand“, sagt Meike Kamp. „Anpassungen in der DSGVO zum Einsatz von KI sollten eindeutig und ausbalanciert sein.“  AI システムによる個人データの処理に関しては、DSK は、EU 委員会の提案以上の GDPR の改革が必要だと考えている。DSK は、AI モデルおよび AI モデルの開発、トレーニング、運用に関する具体的な法的根拠を法律で定めることを要求している。マイケ・カンプ氏は次のように述べた。「法的安定性とイノベーションは密接に関連している。AI の使用に関する GDPR の改正は、明確かつバランスが取れているべきだ」。
Zudem fordert die DSK den europäischen Gesetzgeber auf, die Rechte von betroffenen Personen beim KI-Einsatz stärker zu berücksichtigen. Für Einzelfälle, in denen Betroffenenrechte technisch nur mit unverhältnismäßigem Aufwand umgesetzt werden können, sollen funktionsäquivalente bzw. kompensatorische Schutzmaßnahmen vorgesehen werden. Wer personenbezogene Daten in einem KI-System verarbeitet, muss die betroffenen Personen darüber ausdrücklich informieren. Zudem sollen betroffene Personen das Recht erhalten, von Verantwortlichen Auskunft über den Einsatz eines KI-Systems zur Verarbeitung ihrer Daten zu erhalten. Beides sollte in der DSGVO festgelegt werden.  さらに、DSK は、欧州の立法者に対して、AI の利用において、影響を受ける人々の権利をより強く考慮するよう求めている。影響を受ける人々の権利を技術的に実現するには過大な費用がかかる個別のケースについては、機能的に同等の、あるいは補償的な保護措置を講じるべきだとしている。AI システムで個人データを処理する者は、その旨を関係者に明示的に通知しなければならない。さらに、関係者は、自分のデータの処理に AI システムが使用されていることについて、責任者から情報を得る権利を付与されるべきである。この 2 つは、GDPR で規定されるべきである。
Bereits im November hatte die DSK einen Zehn-Punkte-Plan zur Verbesserung des gesetzlichen Datenschutzes von Kindern verabschiedet. Darin fordert die DSK unter anderem ein Verbot von personalisierter Werbung und kindgerechte Voreinstellungen in Sozialen Netzwerken.  11 月、DSK は、子供たちの法的データ保護を改善するための 10 項目の計画を採用した。この計画の中で、DSK は、パーソナライズド広告の禁止や、ソーシャルネットワークにおける子供たちにふさわしいデフォルト設定などを要求している。
Weitere Beschlüsse  その他の決定事項
Mit einem neuen, standardisierten Prüfprozess schafft die Datenschutzkonferenz eine gemeinsame Grundlage, um den Datenschutz bei länderübergreifenden Online-Diensten von Behörden einheitlich und transparent umzusetzen. Das Dokument gibt Behörden klare Empfehlungen, wie sie Datenschutzanforderungen dokumentieren, prüfen und nachweisen können – von der Entwicklung bis zum Betrieb ihrer digitalen Angebote. Das Verfahren hilft, das Einer-für-alle-Prinzip des Onlinezugangsgesetzes auch im Datenschutz praktisch umzusetzen.  新しい標準化された審査プロセスにより、データ保護会議は、州を越えたオンラインサービスにおけるデータ保護を統一的かつ透明的に実施するための共通基盤を構築している。この文書は、開発からデジタルサービスの運用に至るまで、データ保護要件を文書化し、審査し、証明する方法について、当局に明確な推奨事項を示している。このプロセスは、オンラインアクセス法の「1 つで全てに対応」という原則を、データ保護においても実用的に実施するのに役立つ。
Viele Werbe-E-Mails und Newsletter enthalten Tracking Pixel – unsichtbare Grafiken, mit denen genau verfolgt werden kann, wer wann und auf welchem Gerät eine E-Mail geöffnet hat. Dafür ist nach geltendem Recht eine Einwilligung der empfangenden Person notwendig, die jedoch in der Praxis oftmals nicht eingeholt wird. Aufgrund zahlreicher Beschwerden wird die DSK sich dem Thema im nächsten Jahr mit einer Veröffentlichung widmen, um auf die Rechtslage hinzuweisen und der gängigen Praxis entgegenzutreten.  多くの広告メールやニュースレターには、トラッキングピクセル(誰が、いつ、どのデバイスでメールを開封したかを正確に追跡できる目に見えないグラフィック)が含まれている。現行法では、受信者の同意が必要だが、実際には多くの場合、その同意は得られていない。数多くの苦情を受けて、DSK は来年、この問題について公表を行い、法的状況について指摘し、一般的な慣行に対抗する予定だ。
Zudem beschloss die DSK eine Orientierungshilfe zur vereinfachten Abstimmung mit den Datenschutzbehörden für die Gesundheitsforschung. Das Gesundheitsdatennutzungsgesetz sieht für länderübergreifende Forschungsvorhaben im Gesundheitswesen eine federführende Datenschutzaufsicht vor. Die Orientierungshilfe legt ein einheitliches Verständnis dieser neuen Zuständigkeitsregelungen fest und klärt unter anderem, wann sie zur Anwendung kommen und wie Forschende sie beantragen können.  さらに、DSK は、健康研究に関するデータ保護当局との調整を簡略化するためのガイダンスを決定した。健康データ利用法は、州を越えた医療分野の研究プロジェクトについて、主導的なデータ保護監督機関を規定している。このガイダンスは、この新しい管轄規則について統一的な理解を確立し、それがいつ適用されるか、研究者がそれを申請する方法などを明確にしている。
Die DSK befasste sich auch mit den Vorschlägen aus der Föderalen Modernisierungsagenda von Bund und Ländern. Meike Kamp: „Eine Abschaffung der betrieblichen Datenschutzbeauftragten halten wir für den falschen Weg. Sie sind wichtige Ansprechpartner für alle Datenschutzfragen innerhalb der Unternehmen, sorgen für eine kompetente Beratung und damit auch Entlastung der Geschäftsführungen.“  DSK は、連邦政府および州政府による連邦近代化アジェンダからの提案についても検討した。マイケ・カンプ氏は、「企業データ保護担当者の廃止は誤った方向性であると考えている。彼らは、企業内のあらゆるデータ保護に関する質問の重要な窓口であり、有能なアドバイスを提供することで、経営陣の負担を軽減している」と述べた。
Auf der Tagesordnung standen ferner zwei Dokumente des Gesamtverbandes der Deutschen Versicherungswirtschaft e.V. Die DSK befürwortete das Muster einer Einwilligungs- und Schweigepflichtentbindungserklärung für die Verarbeitung von Gesundheitsdaten in der Lebensversicherung und in der Krankenversicherung. Außerdem sprach sich die DSK für eine Genehmigung des Entwurfs der Verhaltensregeln für den Umgang mit personenbezogenen Daten durch die deutsche Versicherungswirtschaft aus. Die Genehmigung wird durch die Berliner Beauftragte für Datenschutz und Informationsfreiheit erfolgen.  また、議題には、ドイツ保険業界協会(Gesamtverband der Deutschen Versicherungswirtschaft e.V.)の 2 つの文書も含まれていた。DSK は、生命保険および健康保険における健康データの処理に関する同意および守秘義務免除の声明のひな形を承認した。さらに、DSK は、ドイツ保険業界による個人データの取り扱いに関する行動規範草案の承認を支持した。この承認は、ベルリンのデータ保護・情報自由担当官によって行われる。
Mehr Informationen  詳細情報
• Die Beschlüsse stehen auf der DSK-Website zur Verfügung.  • 決議内容は DSK のウェブサイトに掲載されている。
Über die Datenschutzkonferenz:  データ保護会議について:
Die Datenschutzkonferenz besteht aus den unabhängigen Datenschutzbehörden des Bundes und der Länder. Sie hat die Aufgabe, die Datenschutzgrundrechte zu wahren und zu schützen, eine einheitliche Anwendung des europäischen und nationalen Datenschutzrechts zu erreichen und gemeinsam für seine Fortentwicklung einzutreten. Dies geschieht namentlich durch Entschließungen, Beschlüsse, Orientierungshilfen, Standardisierungen, Stellungnahmen, Pressemitteilungen und Festlegungen.  データ保護会議は、連邦および州の各独立データ保護機関で構成されている。その任務は、データ保護に関する基本的権利を保護・擁護し、欧州および国内のデータ保護法を統一的に適用し、そのさらなる発展のために協力することである。これは、決議、決定、指針、標準化、意見書、プレスリリース、および規定によって行われている。

 

 

 


GDPRの改革:法的安定性とイノベーションは密接に関連している – AI の調整が必要

・2025.12.12 DSGVO-Reform: Rechtssicherheit und Innovation gehen Hand in Hand – Anpassungen für KI erforderlich

・[PDF]

20251220-103713

 

Entschließung 決議
der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 12. Dezember 2025 2025年12月12日に連邦および州独立データ保護監督機関会議が採択
DSGVO-Reform: Rechtssicherheit und Innovation gehen Hand in Hand – Anpassungen für KI erforderlich GDPR改革:法的安定性とイノベーションは両立する – AIに関する調整が必要
Die Datenschutzkonferenz (DSK) begrüßt im Ansatz die Initiative der Kommission, durch Rechtsanpassungen mehr Rechtssicherheit für die Entwicklung und den Betrieb von KI-Systemen und KI-Modellen mit personenbezogenen Daten anzustreben. Die DSK stellt einen datenschutzrechtlichen Regelungsbedarf für Verarbeitungen personenbezogener Daten bei Entwicklung, Training und Betrieb von KI-Modellen und -Systemen fest. Sie hält es darüber hinaus für erforderlich, nicht nur das Thema der Rechtmäßigkeit von Verarbeitungen in den Blick zu nehmen, sondern auch in weiteren Abschnitten der DSGVO einen KI-spezifischen Regelungsbedarf zu prüfen. Die Anpassung der DSGVO hinsichtlich KI muss die Technologie ganzheitlich adressieren. Die DSK sieht bei den Rechtsgrundlagen einen dringenden Anpassungsbedarf. Sie betont, dass angesichts der Schwierigkeiten bei der effektiven Verwirklichung von Betroffenenrechten gleichwertige Äquivalente dringend erforderlich sind. Durch mehr Rechtssicherheit wird aus Sicht der DSK ein wirksamer Vollzug der DSGVO erleichtert, der Schutz der Grundrechte der betroffenen Personen gewahrt und gleichzeitig die Möglichkeiten zur Innovation im eindeutigen Rechtsrahmen gestärkt. データ保護会議(DSK)は、個人データを用いた AI システムおよび AI モデルの開発と運用について、法改正を通じて法的安定性の向上を目指す欧州委員会の取り組みを基本的に歓迎する。DSK は、AI モデルおよび AI システムの開発、トレーニング、運用における個人データの処理について、データ保護に関する規制の必要性を認識している。さらに、処理の合法性の問題だけでなく、GDPR の他の条項についても、AI に関する規制の必要性を検討する必要があると考えている。AI に関する GDPR の調整は、この技術を包括的に扱うものでなければならない。DSK は、法的根拠について緊急の調整が必要だと考えている。関係者の権利を効果的に実現することが困難であることを踏まえ、同等の代替手段が必要だと強調している。DSK は、法的安定性を高めることで、GDPR の効果的な施行が容易になり、関係者の基本的権利の保護が確保されると同時に、明確な法的枠組みの中でイノベーションの可能性が強化されるとの見解だ。
Rechtsgrundlagen für Entwicklung und Betrieb von KI-Modellen und -Systemen AI モデルおよびシステムの開発と運用に関する法的根拠
Die DSK hält es für erforderlich, für die Verarbeitungen von personenbezogenen Daten bei der Entwicklung und dem Betrieb von KI-Modellen und KI-Systemen neue, spezifische Regelungen, insbesondere Rechtsgrundlagen zu erlassen. Sie sollten sowohl für nicht-öffentliche als auch nach Maßgabe vorhandener Kompetenzen für öffentliche Stellen gelten und Schutzmaßnahmen für Betroffene gewährleisten. Die Anforderungen der Rechtsgrundlagen müssen die technischen Besonderheiten von KI-Modellen und KI-Systemen, die sehr vielfältigen Einsatzmöglichkeiten sowie die unterschiedlichen Rollen der Beteiligten berücksichtigen. Dies ist der beste Weg. die betroffenen Grundrechtspositionen im Sinne der praktischen Konkordanz in einen angemessenen Ausgleich zu bringen. Relevante Regelungsbereiche können sein: DSK は、AI モデルおよび AI システムの開発と運用における個人データの処理について、新たな具体的な規制、特に法的根拠を制定することが必要であると考えている。これらは、非公開機関と、既存の権限に基づく公的機関の両方に適用され、関係者の保護措置を保証するものであるべきだ。法的根拠の要件は、AI モデルおよび AI システムの技術的な特徴、非常に多様な用途、および関係者のさまざまな役割を考慮に入れる必要がある。これは、実用的な調和の観点から、関係する基本的権利の立場を適切に均衡させる最善の方法である。関連する規制分野としては、以下が考えられる。
• Verarbeitung von durch Web Scraping erlangten personenbezogenen Daten einschließlich besonderen Kategorien für die Entwicklung von KI-Modellen, • AI モデルの開発のために、ウェブスクレイピングによって取得された個人データ(特別なカテゴリーを含む)の処理
• Weiterverarbeitung von für andere Zwecke erhobenen personenbezogenen Daten einschließlich besonderer Kategorien, um interne domänenspezifische KI-Modelle zu entwickeln • 他の目的で収集された個人データ(特別なカテゴリーを含む)を、内部ドメイン固有の AI モデルを開発するために再処理すること
• Verarbeitungen beim Betrieb von in KI-Modellen memorisierten personenbezogenen Daten • AI モデルに記憶された個人データの運用における処理
Diese Regelungen müssen einerseits klare Voraussetzungen rechtmäßiger Verarbeitungen für die besonders relevanten Konstellationen abbilden und zugleich rote Linien in Form von Verboten aufzeigen. これらの規制は、特に重要な状況における合法的な処理の明確な要件を反映すると同時に、禁止事項という形でレッドラインを示す必要がある。
Betroffenenrechte mitdenken 関係者の権利を考慮する
Zur Einhaltung des Datenschutzes bei der Verarbeitung personenbezogener Daten im Zusammenhang mit KI-Modellen und -Systemen gehört auch, Transparenzvorgaben und Betroffenenrechte der DSGVO nach der Rechtsprechung des Europäischen Gerichtshofs zu gewährleisten.[1] Bei der Entscheidung zur Einführung eines KI-Systems, also möglichst frühzeitig, sollte die Sicherung der Rechte der betroffenen Person eine Rolle spielen, quasi als “Betroffenenrechte by Design“. Gleichwohl zeigt sich, dass die Gewährleistung der Betroffenenrechte beim Einsatz vieler KI-Systeme in der Praxis schwierige Fragen aufwerfen kann, wenn die Umsetzung aufgrund der zugrundeliegenden Modelle kaum möglich erscheint.  AI モデルおよびシステムに関連する個人データの処理においてデータ保護を遵守するには、欧州司法裁判所の判例に基づき、GDPR の透明性要件および関係者の権利を保証することも必要だ。[1] AI システムの導入を決定する際、つまり可能な限り早い段階で、関係者の権利の保護、いわば「設計による関係者の権利」が考慮されるべきだ。とはいえ、多くの AI システムの利用において、その基礎となるモデルでは実施がほぼ不可能である場合には、関係者の権利の保証が実際には困難な問題を引き起こす可能性があることも明らかだ。
Um die Rechte der Betroffenen zu wahren und einen eindeutigen rechtssicheren Rahmen für KI zu schaffen, sollten daher im Rahmen des europäischen Reformprozesses zum Datenschutzrecht und den Digitalrechtsakten auch Anpassungen in Form von funktionsäquivalenten oder kompensatorischen Schutzmaßnahmen in den Blick genommen werden.  データ保護法およびデジタル権利に関する欧州の改革プロセスにおいて、関係者の権利を保護し、AI に関する明確な法的枠組みを構築するためには、機能的に同等の、あるいは補償的な保護措置という形で調整を行うことも検討すべきだ。
Bislang sind Verantwortliche im Rahmen der datenschutzrechtlichen Transparenzpflichten nicht explizit verpflichtet, Betroffene ausdrücklich darüber zu informieren, dass ihre personenbezogenen Daten in einem KI-System verarbeitet werden. Daher wird die Aufnahme einer entsprechenden Informationspflicht in die Art. 13 Abs. 2 und Art. 14 Abs. 2 DSGVO vorgeschlagen. Entsprechendes ist für das Recht der Betroffenen auf Auskunft festzustellen. Um diese Regelungslücke zu schließen, wird die Einführung einer entsprechenden Ergänzung in Art. 15 Abs. 1 DSGVO vorgeschlagen.  これまでのところ、データ保護に関する透明性の義務の枠組みにおいて、責任者は、個人データが AI システムで処理されていることを影響を受ける者に明示的に通知する義務を明示的に負っていない。したがって、GDPR 第 13 条第 2 項および第 14 条第 2 項に、対応する情報提供義務を盛り込むことが提案されている。これは、データ主体の情報アクセス権についても同様である。この規制の抜け穴を埋めるため、GDPR 第 15 条第 1 項に、これに対応する補足条項を追加することが提案されている。
Aus technischen Gründen könnte es in manchen Fällen für den Verantwortlichen nur mit unverhältnismäßigem Aufwand möglich sein, beispielsweise dem kompletten Neutraining eines LLMs, die Erfüllung der Betroffenenrechte aus Art. 16 Abs. 1, Art. 17 Abs. 1, Art. 18 Abs. 1 und Art. 21 DSGVO zu gewährleisten. Hier sollte der europäische Gesetzgeber prüfen, wie die spezifischen Risiken für nicht umgesetzte Transparenz-, Löschungs-, Berichtigungsrechte und Widerspruchsrechte im KI-Modell mitigiert oder Betroffenenrechte funktionsäquivalent gewährleistet werden können, so dass praxistaugliche Lösungen geschaffen und gleichzeitig der Schutzstandard gehalten werden kann.  技術的な理由により、場合によっては、責任者が、例えば LLM の完全な再トレーニングなど、過大な負担を伴わない限り、GDPR 第 16 条第 1 項、第 17 条第 1 項、第 18 条第 1 項、および第 21 条に基づく関係者の権利の履行を確保できないことがある。ここでは、欧州の立法者は、AI モデルにおいて、透明性、消去、修正、異議申立の権利が実施されない場合の具体的なリスクをどのように軽減するか、あるいはデータ主体の権利を機能的に同等に保証する方法を検討し、実用的な解決策を構築すると同時に、保護基準を維持できるべきだ。
Die DSK wird den laufenden Prozess der DSGVO-Reform weiter konstruktiv begleiten und erneut Stellung nehmen. DSK は、GDPR 改革の継続的なプロセスを建設的に支援し、改めて意見を述べる予定だ。
[1] Siehe dazu die Orientierungshilfe der DSK zu empfohlenen technischen und organisatorischen Maßnahmen bei der Entwicklung und beim Betrieb von KI-Systemen, Version 1.0 (Stand Juni 2025). Vgl. EuGH, Urteil vom 4. Oktober 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, Rn. 40, 41 und 49 [1] これについては、AI システムの開発および運用における推奨される技術的および組織的措置に関する DSK のガイダンス、バージョン 1.0(2025 年 6 月現在)を参照のこと。欧州司法裁判所、2024 年 10 月 4 日の判決、Koninklijke Nederlandse Lawn Tennisbond、C-621/22、EU:C:2024:857、Rn. 40、41 および 49 を参照

 

 


GDPR改革:ITメーカーに責任を持たせる!

・2025.12.12 DSGVO-Reform: IT-Hersteller in die Verantwortung nehmen!

・[PDF]

20251220-103728

 

Entschließung 決議
der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 12. Dezember 2025 2025年12月12日に連邦および州独立データ保護監督機関会議が採択
DSGVO-Reform: IT-Hersteller in die Verantwortung nehmen! GDPR 改革:IT メーカーに責任を課す!
Die Datenschutzkonferenz (DSK) unterstützt das gemeinsame Ziel des Bundeskanzlers und der Regierungschefinnen und Regierungschefs der Länder[1], die Hersteller und Anbieter von Standardlösungen künftig in die Verantwortung zu nehmen, damit die Anwender unkompliziert und rechtssicher Standardlösungen nutzen können. Sie hält es für erforderlich, die Reform der DSGVO dafür zu nutzen, das System der datenschutzrechtlichen Verantwortlichkeiten durch das Prinzip der Herstellerverantwortung fortzuentwickeln und diesbezüglich an das anderer Digitalrechtsakte wie den Cyber Resilience Act oder die KI-Verordnung anzugleichen. Dies würde zu einer erheblichen Entlastung der Anwender, insbesondere kleinere und mittlere Unternehmen (KMU), und einer substanziellen Vereinfachung für sie führen, wenn sie personenbezogene Daten verarbeiten. データ保護会議(DSK)は、連邦首相および州知事[1]が、ユーザーが標準ソリューションを簡単に、かつ法的に安全に使用できるよう、標準ソリューションのメーカーおよびプロバイダーに今後責任を課すという共通目標を支持している。DSK は、GDPR の改革を利用して、製造者責任の原則によりデータ保護に関する責任のシステムを発展させ、サイバーレジリエンス法や AI 規制など、他のデジタル関連法と整合させる必要があると考えている。これにより、ユーザー、特に中小企業(SME)の負担が大幅に軽減され、個人データを処理する際に大幅な簡素化が図られることになる。
Die DSGVO stellt bereits heute mit Data Protection by Design and by Default (Art. 25 DSGVO) Grundsätze auf, die sich in der Sache an Hersteller, Importeure und Anbieter richten, nimmt aber nicht diese, sondern ausschließlich die Anwender von Hard- und Software datenschutzrechtlich in die Pflicht. Die Einbeziehung der Anbieter bzw. Hersteller von Standard-Hard- und Software in das etablierte System datenschutzrechtlicher Pflichten würde daher die Verantwortung dorthin verlagern, wo die Entscheidungen über grundsätzliche Weichenstellungen in Systemen getroffen werden. Gleichzeitig würden die Anwender von IT-Produkten, die keinen Einfluss auf das Produktdesign haben, die Haftungsrisiken nicht alleine tragen. GDPR は、データ保護の設計およびデフォルト(GDPR 第 25 条)によって、製造業者、輸入業者、および供給業者を対象とする原則をすでに定めているが、データ保護法上の義務を課しているのは、これらではなく、ハードウェアおよびソフトウェアのユーザーのみである。標準的なハードウェアおよびソフトウェアのプロバイダーや製造業者を、確立されたデータ保護義務のシステムに組み込むことで、システムの基本的な方向性を決定する責任が、その決定権を持つ者に移るだろう。同時に、製品設計に影響力を持たない IT 製品のユーザーは、単独で責任リスクを負うことはなくなる。
Die DSK hat bereits in ihrer ersten Evaluation der DSGVO im Jahr 2019[2] Vorschläge für eine solche Erstreckung des Grundsatzes von Data Protection by Design auf Hersteller und Anbieter von IT-Produkten unterbreitet, die im Wesentlichen unverändert vorgeschlagen werden. DSK は、2019 年の GDPR の最初の評価[2] において、IT 製品のメーカーやプロバイダーにも「データ保護による設計」の原則を適用するよう提案しており、その提案は基本的に変更されていない。
Die Ergänzungen entsprechen der grundsätzlichen Ausrichtung der Kommissionsvorschläge, die Anwendung der DSGVO insbesondere für KMU zu vereinfachen und mit den nach ihr erlassenen Digitalrechtsakten zu harmonisieren. Sie erhöhen die Rechtssicherheit für Anwender, denen durch die künftig von Herstellern und Anbietern bereitzustellenden Konformitätserklärungen die Erfüllung ihrer Rechenschaftspflicht erleichtert wird. Demgegenüber entstehen für Hersteller und Anbieter keine erheblichen Zusatzpflichten, da sich diese bereits weitgehend aus dem Cyber Resilience Act ergeben. この追加事項は、特に中小企業にとって GDPR の適用を簡素化し、GDPR に基づいて制定されたデジタル関連法令と調和させるという、欧州委員会の提案の基本方針に沿ったものである。これにより、メーカーやプロバイダーが将来提供する適合性宣言によって、説明責任の履行が容易になるユーザーにとって、法的安定性が高まる。一方、製造業者や提供業者にとっては、サイバーレジリエンス法によってすでに大部分の義務が定められているため、大きな追加的義務は生じない。
In einer weiteren Stufe kann zudem ein an datenschutzrechtliche Zertifizierungen angelehntes Modell auch für Produktzertifizierungen entwickelt werden. さらに次の段階では、データ保護に関する認証を参考にしたモデルを、製品認証にも適用できるよう開発することも可能だ。
Ergänzend sollten die bisher alleine an den Verantwortlichen gerichteten Verpflichtungen zu den datenschutzfreundlichen Voreinstellungen (Art. 25 DSGVO) auch auf Auftragsverarbeiter erstreckt werden, um neben Herstellern auch deren Rolle bei der Gewährleistung des Datenschutzes durch Technikgestaltung hervorzuheben und Verantwortliche möglichst umfassend von Aufgaben zu entlasten, die an anderer Stelle effektiver geklärt werden können. さらに、これまで責任者にのみ課されていた、データ保護に配慮したデフォルト設定(GDPR 第 25 条)に関する義務を、委託処理業者にも拡大し、製造業者に加えて、技術設計によるデータ保護の確保における委託処理業者の役割も強調するとともに、他の場所でより効果的に解決できる業務から、責任者を可能な限り包括的に解放すべきだ。
[1] Beschluss des Bundeskanzlers und der Regierungschefinnen und Regierungschefs der Länder vom 4. Dezember 2025: Die Förderale Modernisierungsagenda, [PDF] [1] 2025年12月4日の連邦首相および州知事による決定: 連邦近代化アジェンダ、[PDF]
[2] DSK: Erfahrungsbericht der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder zur Anwendung der DS-GVO, November 2019, [PDF] [2] DSK:連邦および州独立データ保護監督機関による GDPR の適用に関する経験報告書、2019年11月、[PDF]

 

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.11.24 ドイツ DSK 国際子どもの権利デー:子どものデータ保護改善に向けた10の提案 (2025.11.20)

 

 

 

| | Comments (0)

2025.12.21

欧州理事会 デジタルユーロと紙幣を通じてユーロ通貨の地位を強化する提案に合意

こんにちは、丸山満彦です。

欧州理事会で、デジタルユーロの導入を可能にし、ユーロ紙幣の法定通貨としての地位をより明確化することでユーロ通貨を強化する主要提案に関する内容が合意されたと発表されていますね...これから、欧州議会と議論していくことになりますね...

・デジタルユーロは、現金や民間決済手段と共存

・オフラインでも利用可能

・必須サービスについては手数料は無料(その他の手数料も上限付き)

みたいな感じですね...

そして合わせて、原則として、現金利用の選択肢を残す(現金締め出し禁止)。

 

デジタルユーロは中央銀行発行のデジタル通貨(CBDC)です。民間が発行するステーブルコインとはまた別ですね...

中央銀行発行のデジタル通貨に対する各国の政策は異なっていますよね...

こんな感じ???

中国は国内の経済動向の把握等の目的と国際間の人民元決済の増加(金融上の主権)の両面のメリットがあるので、積極的で大規模に推進。

欧州も欧州の主権の維持の面からもユーロの地位向上。支払い手段の多様化の維持。プライバシー上の懸念への対処。

インドも支払い手段の多様性と効率性の観点から積極的に推進

日本は、様子見(紙幣についての信頼もあり、積極的ではないが、世界の動向を踏まえていつでも変更できる準備はしておく感じ...)

ロシアは、制裁回避と金融上の主権の面からも積極的に推進(ただし、実装は予定より遅れている感じ...)

シンガポール

 

国・地域 CBDC名 基本的姿勢 特徴 主対象 主な動機 補足 フェーズ
中国 e-CNY 積極推進 人民元国際化 リテール・越境 国際的な影響力拡大と金融監督の強化 2020年にローンチ。2025年10月に累計取引額14.2兆元。ドル決済への依存低減マネーロンダリング対策経済活動の可視化 パイロット中(大規模)
欧州 デジタル・ユーロ 積極推進 通貨主権・米系依存低減 リテール 欧州の戦略的自律性確保と統一決済システムの構築 米国や中国に対する独立性維持、ユーロの国際的役割強化、プライバシー保護との両立 法制化中
インド e₹ 積極推進 UPI統合・国際送金 リテール・越境 金融包摂の推進と決済システムの効率化 2022年パイロット開始。既存の決済システム(UPI)との共存・補完、リテールおよびホールセールCBDCの並行開発 パイロット中(急拡大)
日本 デジタル円 慎重な準備 オプション確保 リテール 将来の環境変化への備えと民間との協調 2021年研究開始。文化の尊重、二層構造(間接型)の維持による決済システム全体の安定性・効率性向上 検討中(概念実証)
ロシア デジタル・ルーブル 積極推進 制裁耐性 リテール・越境 制裁回避金融主権の強化 2023年導入。国境を越えた取引における米ドルの役割低減、金融の自律性促進 パイロット中
シンガポール ホールセールCBDC 積極推進 トークン化資産の決済基盤 銀行間・資本市場 金融ハブとしての地位強化と金融市場の効率化 ホールセールCBDCによるトークン化資産の決済実験、国際的な連携 パイロット中
英国 デジタル・ポンド 着実な準備 多様なマネーのアンカー リテール 将来の決済環境変化への備えと金融安定性の維持 現金の補完。2025年実証を実施。2026年まで設計段階。導入の決定はされていない。 検討中(設計中)
米国 デジタル・ドル 戦略的停止 プライバシー懸念 リテール 民間主導のイノベーション支援と個人の自由・プライバシー重視 2025年3月にCBDC禁止の大統領令。規制されたドル建てステーブルコインによる国際的地位の維持・強化 研究

 

 

European Council

プレス

・2025.12.19 Single currency: Council agrees position on the digital euro and on strengthening the role of cash

Single currency: Council agrees position on the digital euro and on strengthening the role of cash 単一通貨:理事会、デジタルユーロと現金強化に関する立場を合意
The Council today agreed its negotiating position on key proposals to strengthen the euro currency by enabling the introduction of a digital euro and by better clarifying the legal tender status of euro cash. In turn, these initiatives will help improve the EU’s strategic autonomy, economic security and resilience. 理事会は本日、デジタルユーロの導入を可能にし、ユーロ現金の法定通貨としての地位をより明確化することでユーロ通貨を強化する主要提案に関する交渉立場を合意した。これらの取り組みは、EUの戦略的自律性、経済的安全保障、レジリエンスの向上に寄与する。
The proposals relate to two regulations setting out the legal framework for the potential issuance of a digital euro, and a regulation to safeguard the role of cash in the EU by ensuring its wide acceptance and availability. 提案内容は、デジタルユーロ発行の可能性に関する法的枠組みを定める2つの規則と、現金が広く受け入れられ入手可能であることを確保することでEUにおける現金の役割を保護する規則に関するものである。
The digital euro is an important step towards a more robust and competitive European payment system, and can contribute to Europe’s strategic autonomy and economic security, as well as a strengthened international role for the euro. デジタルユーロは、より強固で競争力のある欧州決済システムに向けた重要な一歩であり、欧州の戦略的自律性と経済的安全保障、ならびにユーロの国際的役割の強化に貢献し得る。
Stephanie Lose, Danish Minister for Economic Affairs ステファニー・ロース(デンマーク経済大臣)
Europe’s strategic autonomy must be strengthened, including in the payments sector. The proposal for a digital euro is specifically aimed at enhancing the resilience of the payments infrastructure in the euro area. The Council’s agreement therefore sends a clear signal that the EU is capable of taking action on this important agenda. 欧州の戦略的自律性は、決済分野を含め強化されねばならない。デジタルユーロの提案は特に、ユーロ圏の決済インフラのレジリエンスを高めることを目的としている。したがって、理事会の合意は、EUがこの重要な課題に対して行動を起こす能力を有しているという明確な信号を発している。
Morten Bødskov, Danish Minister for Industry, Business, and Financial Affairs モーテン・ボーデスコフ、デンマーク産業・ビジネス・金融大臣
Digital euro デジタルユーロ
The digital euro would complement cash and would be available to the general public and businesses to make payments anytime and anywhere in the euro area. As a truly public facility directly backed by the European Central Bank (ECB), it would help preserve central bank money as the main anchor for a well-functioning payments system. デジタルユーロは現金を補完するものであり、ユーロ圏内の一般市民や企業がいつでもどこでも決済を行うために利用可能となる。欧州中央銀行(ECB)が直接裏付けを行う真に公共的な施設として、機能的な決済システムの主要な基盤として中央銀行マネーを維持するのに役立つ。
Under the proposal, the digital euro would: 提案によれば、デジタルユーロは以下の特徴を持つ:
・be available online or offline and therefore usable even without an internet connection オンライン・オフライン両方で利用可能であり、インターネット接続がなくても使用できる
・allow for payments and money transfers with a high degree of privacy 高いプライバシーの下で決済・送金を可能とする
・exist alongside national and international private means of payment, such as cards or applications run by privately-owned providers ・カードや民間プロバイダが運営するアプリなど、国内・国際的な民間決済手段と共存する
Once the proposal to establish the legal framework is adopted by the European Parliament and Council, it will ultimately be for the ECB to decide whether to issue the digital euro. The ECB has recently indicated that the digital euro could be up and running by 2029. 法的枠組みの確立に関する提案が欧州議会と理事会で採択された後、デジタルユーロを発行するかどうかは最終的にECBが決定する。ECBは最近、デジタルユーロが2029年までに運用開始される可能性を示唆している。
In its position agreed today, the Council has clarified a number of important elements regarding the design of the digital euro. 本日合意された理事会の立場では、デジタルユーロの設計に関する重要な要素が明確化された。
To avoid the digital euro being used as a store of value and any impact on financial stability, the text provides for limits on the total amount of digital euros that can be held on online digital accounts and in digital wallets at any one time. The limits will be set by the ECB, but must respect an overall ceiling agreed by the Council which will be reviewed at least every two years.    デジタルユーロが価値保存手段として利用されることや金融安定性への影響を避けるため、オンライン口座やデジタルウォレットに同時に保有できるデジタルユーロの総額に制限を設けることが規定されている。限度額はECBが設定するが、理事会が合意した総量上限を遵守する必要があり、この上限は少なくとも2年ごとに見直される。
Payment service providers may not charge consumers for certain mandatory services, such as opening and closing accounts, carrying out digital euro payment transactions from their account or wallet, or funding and defunding their digital euro accounts or wallets with money from their other deposit accounts in the same payment service provider. However, certain added-value services may be subject to fees. 決済サービスプロバイダは、口座開設・解約、口座またはウォレットからのデジタルユーロ決済取引、同一決済サービスプロバイダ内の他の預金口座からのデジタルユーロ口座・ウォレットへの資金移動・引き出しといった必須サービスについて、消費者から手数料を徴収してはならない。ただし、特定の付加価値サービスについては手数料が課される場合がある。
The text also lays out a framework to ensure that providers of digital euro interfaces and services receive the necessary access to mobile device producers’ hardware and software to ensure that fair access can be granted. また、本条文は、デジタルユーロのインターフェース及びサービスプロバイダが、公平なアクセスを保証するために必要なモバイル端末メーカーのハードウェア及びソフトウェアへのアクセス権を確実に得られる枠組みを定めている。
Additionally, the text lays out the framework for how PSPs shall be compensated. During a transitional period of at least five years, interchange and merchant service charges will be capped at a level based on fees for comparable means of payments. After the transitional period, fee caps will be set based on the actual costs associated with the digital euro. さらに、本条文は決済サービス事業者(PSP)への報酬体系の枠組みを定める。少なくとも5年間の移行期間中、相互決済手数料及び加盟店サービス手数料は、同等の決済手段の手数料を基準とした上限額に制限される。移行期間終了後は、デジタルユーロに関連する実費に基づき手数料上限が設定される。
Strengthening the legal tender status of euro cash ユーロ紙幣の法定通貨としての地位強化
Under current EU law, euro cash is the only legal tender in the euro area. This means that physical euro cash must generally be available and accepted to pay for services and goods and to discharge debts, subject to well-framed and monitored exceptions. 現行のEU法では、ユーロ紙幣はユーロ圏における唯一の法定通貨である。これは、明確に規定され監視された例外を除き、サービスや商品の支払い、債務の履行のために、物理的なユーロ紙幣が一般的に利用可能かつ受け入れられなければならないことを意味する。
The proposal on which the Council has now reached its position aims to clarify these rules, including their interplay with the digital euro, to ensure consistency among the two forms of public money. The proposal’s main provisions aim to: 理事会が現在立場をまとめた提案は、これらの規則(デジタルユーロとの相互関係を含む)を明確化し、二つの公的通貨形態間の一貫性を確保することを目的としている。提案の主な規定は以下を目指す:
・safeguard acceptance of cash as a payment method throughout the euro area ・ユーロ圏全域における現金決済手段としての受入れを保護する
・guarantee that people have access to cash and are free to choose their preferred payment method ・人々が現金にアクセスでき、好みの決済手段を自由に選択できることを保証する
In its position, the Council indicates its wish to effectively ban non-acceptance of cash by retailers or service providers with a few exceptions, notably for payments for goods or services purchased at a distance, including online, and unmanned points of sale. Businesses may however still indicate a preference for card or digital forms of payment. 理事会は立場表明において、小売業者やサービス提供者による現金非受入れを、オンラインを含む遠隔購入や無人販売所など、いくつかの例外を除き事実上禁止する意向を示した。ただし事業者は、カードやデジタル決済を優先することを依然として表明できる。
The Council’s negotiating mandate requires EU member states to monitor the acceptance of cash and to ensure access to cash throughout their territory on the basis of common and national indicators and take remedial measures where necessary. 理事会の交渉指令は、EU加盟国に対し、共通指標及び国内指標に基づき自国全域での現金受入状況を監視し、現金へのアクセスを確保するとともに、必要に応じて是正措置を講じることを求めている。
Finally, member states are expected to establish a cash resilience plan or measures for situations of widespread and severe disruptions of the continuity of electronic means of payments. 最後に、加盟国は、電子決済手段の継続性が広範かつ深刻に阻害される事態に備え、現金レジリエンシー計画または対策を策定することが期待されている。
Next steps 今後の手順
With this agreed position, the Council can enter into negotiations with the European Parliament on the digital euro and the legal tender status of cash. この合意された立場に基づき、理事会は欧州議会とデジタルユーロ及び現金の法定通貨としての地位について交渉を開始できる。
Council negotiation mandate on the establishment of the digital euro  デジタルユーロ創設に関する理事会交渉指令
Council negotiation mandate on the provision of digital euro services by non-Euro area payment service providers  非ユーロ圏決済サービスプロバイダによるデジタルユーロサービス提供に関する理事会交渉指令
Council negotiation mandate on legal tender of euro banknotes and coins  ユーロ紙幣・硬貨の法定通貨としての地位に関する理事会交渉指令
Towards a digital euro (background information) デジタルユーロに向けて(背景情報)
The euro (background information) ユーロ(背景情報)

 

デジタルユーロの説明...

The digital euro explained デジタルユーロの説明
The digital euro would be a digital form of central bank money, issued by the European Central Bank, for retail use alongside physical cash. デジタルユーロは、欧州中央銀行が発行する中央銀行マネーのデジタル形態であり、物理的な現金と並行して小売用途で使用されるものである。
On this page このページの目次
What would the digital euro be? デジタルユーロとは何か?
Key features of the digital euro デジタルユーロの主な特徴
Why do we need a digital euro? なぜデジタルユーロが必要なのか?
How would the digital euro work? デジタルユーロはどのように機能するのか?
The legislative process to introduce the digital euro デジタルユーロ導入のための立法プロセス
What would the digital euro be? デジタルユーロとは何か?
The digital euro is the EU’s project to introduce a digital form of cash. It would be a central bank digital currency,  issued by the European Central Bank (ECB), and available to everyone in the euro area デジタルユーロとは、EUが推進するデジタル現金導入プロジェクトである。欧州中央銀行(ECB)が発行する中央銀行デジタル通貨(CBDC)であり、ユーロ圏の全住民が利用可能となる。
The digital euro would complement, not replace, banknotes and coins. It would give people an additional choice when paying, while preserving cash as a means of payment. デジタルユーロは紙幣や硬貨を代替するものではなく、補完するものである。現金という決済手段を維持しつつ、人々に追加の支払い選択肢を提供する。
Public versus private money 公的通貨と民間通貨
To understand how the digital euro would work, it is important to distinguish between central bank money and private money. デジタルユーロの仕組みを理解するには、中央銀行通貨と民間通貨の違いを区別することが重要だ。
Central bank money is public money in that it is issued by a central bank and, as such, represents a ‘public good’. For now, it is available to the public mainly in the form of banknotes and coins used for cash payments. 中央銀行通貨は公的通貨であり、中央銀行が発行する「公共財」である。現時点では主に紙幣や硬貨の形で流通し、現金決済に利用されている。
Private money, is created by commercial banks. It includes money held in bank accounts and used for everyday payments, such as card payments or online transfers. In daily life, people regularly convert private money into public money (for example, by withdrawing cash) and vice versa. 民間通貨は商業銀行によって創造される。銀行口座に保有され、カード決済やオンライン送金などの日常的な支払いに使用される通貨を含む。日常生活では、人々は民間通貨を公的通貨に(例えば現金を引き出すことで)変換し、その逆も頻繁に行う。
Key features of the digital euro デジタルユーロの主な特徴
Complementary to cash 現金の補完
The digital euro would complement cash, not replace it. デジタルユーロは現金を置き換えるのではなく、補完するものとなる。
Public form of digital money 公的形態のデジタル通貨
The digital euro would be issued by the ECB, just like cash. デジタルユーロは現金と同様に欧州中央銀行(ECB)が発行する。
Accepted everywhere in the euro area ユーロ圏全域で通用
People would be able to use the digital euro across the euro area in shops and with vendors who accept digital payments. デジタル決済を受け入れる店舗や業者において、ユーロ圏全域でデジタルユーロを利用できる。
Free basic access 基本サービスの無料提供
Basic services, such as holding, sending and receiving digital euros, would be free of charge for consumers. デジタルユーロの保有・送金・受取といった基本サービスは消費者向けに無料となる。
Backed by the European Central Bank 欧州中央銀行による裏付け
The ECB would guarantee the value of the digital euro, in the same way it guarantees physical cash. The digital euro would not be a cryptocurrency. ECBは現金の価値を保証するのと同じように、デジタルユーロの価値を保証する。デジタルユーロは仮想通貨ではない。
Available offline オフライン利用可能
People would be able to use the digital euro both online and offline, allowing payments even without an internet connection. デジタルユーロはオンライン・オフライン両方で利用でき、インターネット接続がなくても支払いが可能だ。
High degree of privacy 高いプライバシー
The digital euro would offer a high level of privacy for payments, while still complying with EU rules to prevent fraud and money laundering. デジタルユーロは支払いに高いプライバシーを提供しつつ、詐欺やマネーロンダリング防止のためのEU規則にも準拠する。
Driving innovation イノベーションの推進
The digital euro would drive innovation and support digitalisation in the European economy. デジタルユーロはイノベーションを促進し、欧州経済のデジタル化を支援する。
Why do we need a digital euro? なぜデジタルユーロが必要なのか?
Introducing the digital euro is necessary to ensure that the euro continues to cater for people’s changing payment preferences and to strengthen the euro area’s strategic autonomy. ユーロが人々の変化する決済ニーズに応え続け、ユーロ圏の戦略的自律性を強化するためには、デジタルユーロの導入が必要である。
Adapting to digital payments デジタル決済への適応
Although cash remains the most frequently used payment method in Europe, people in the euro area increasingly rely on cards, mobile apps, and online payments. 欧州では現金が依然として最も頻繁に利用される決済手段だが、ユーロ圏の人々はカード、モバイルアプリ、オンライン決済への依存度を高めている。
Currently, central bank money exists only in physical form (cash) and cannot be used directly for everyday digital payments. A digital euro would bridge this gap  by giving everyone the option to pay digitally with public money, backed by the ECB and available alongside cash. 現在、中央銀行マネーは物理的な形態(現金)でのみ存在し、日常的なデジタル決済に直接利用できない。デジタルユーロは、ECBが裏付けし現金と並行して利用可能な公的資金によるデジタル決済の選択肢を全ての人に提供することで、このギャップを埋める。
Purchase transactions for goods and services in the euro area ユーロ圏における商品・サービスの購入取引
20251220-95500
Study on the payment attitudes of consumers in the euro area (European Central Bank)  ユーロ圏消費者の決済態度に関する調査(欧州中央銀行)
Strengthening Europe’s open strategic autonomy 欧州の開放的な戦略的自律性の強化
Digital payments in the euro area are fragmented. Many countries rely heavily on international card schemes for card payments (13 out of 20). As a result, digital euro payments are often processed through non-EU infrastructures with related data stored in a non-EU country, and fees are set according to commercial conditions defined outside the EU. ユーロ圏のデジタル決済は分断されている。多くの国がカード決済において国際カードスキームに大きく依存している(20カ国中13カ国)。その結果、デジタルユーロ決済はしばしばEU域外のインフラを通じて処理され、関連データはEU域外に保存され、手数料はEU域外で定義された商業条件に基づいて設定される。
13 out of 20 20カ国中13カ国
euro area countries rely on international card schemes ユーロ圏国が国際カードスキームに依存
The digital euro would offer a pan-European payment solution, available throughout the euro area, under European governance and operated by European providers.It would strengthen the resilience of the euro area’s payment system and give people a European digital payment option, alongside existing private solutions. デジタルユーロは、欧州のガバナンスのもと、欧州のプロバイダが運営する、ユーロ圏全域で利用可能な汎欧州的な決済ソリューションを提供する。これによりユーロ圏の決済システムのレジリエンスが強化され、既存の民間ソリューションに加え、欧州のデジタル決済選択肢が人々に提供される。
How would the digital euro work? デジタルユーロはどのように機能するのか?
The digital euro would be designed to be easy to use and familiar, being similar to other digital payment solutions. デジタルユーロは、他のデジタル決済ソリューションと同様に、使いやすく親しみやすい設計となる。
People would be able to access the digital euro through a dedicated digital euro account or through a digital wallet, provided by their bank or another intermediary. It will be free of charge to set up and use a basic digital euro wallet. 人々は、銀行や他のプロバイダが提供する専用のデジタルユーロ口座、またはデジタルウォレットを通じてデジタルユーロを利用できる。基本的なデジタルユーロウォレットの設定と利用は無料である。
With a digital euro account and their digital wallet, depending on the case, people would be able to: デジタルユーロ口座とデジタルウォレットを利用することで、状況に応じて以下が可能となる:
pay in shops, both online and in person ・オンライン・実店舗での支払い
make person-to-person payments, such as sending money to friends or family ・友人や家族への送金など個人間決済
use the digital euro online and offline, including without an internet connection ・インターネット接続の有無を問わず、オンライン・オフラインでのデジタルユーロ利用
To safeguard financial stability, there would be limits on the amount of digital euros individuals can hold in their wallet at any given time. These limits would ensure that the digital euro is used mainly as a means of payment, rather than as a store of value, and would help prevent risks to financial stability. 金融安定性を守るため、個人がウォレットに保有できるデジタルユーロの金額には制限が設けられる。この制限により、デジタルユーロは主に価値の保存手段ではなく支払い手段として利用され、金融安定性へのリスク防止に寄与する。
How is the digital euro different from cards or mobile payment apps? デジタルユーロはカードやモバイル決済アプリとどう違うのか?
The digital euro would not replace cards or mobile payment apps, but would complement them by offering an additional way to pay digitally. デジタルユーロはカードやモバイル決済アプリに取って代わるものではなく、デジタル決済の追加手段としてそれらを補完する。
Today, many digital payments in the euro area rely on payment systems operated outside the EU. When these systems are used, payments made in euros may be processed through non-EU infrastructures before reaching the seller. This means that significant payment flows and related fees, as well as personal transaction data, are handled by non-European providers. 現在、ユーロ圏における多くのデジタル決済はEU域外で運営される決済システムに依存している。これらのシステムを利用する場合、ユーロ建ての支払いは売主に到達する前に非EUのインフラを通過する可能性がある。これは、多額の決済フローや関連手数料、個人データが欧州外のプロバイダによって処理されることを意味する。
With the digital euro, payments would be processed within the EU. The digital euro would be 'public' money issued by the ECB, which issues and safeguards the euro. It would allow people to pay digitally using central bank money across the euro area, offering a single European payment solution available in all euro area countries. デジタルユーロでは、支払いはEU域内で処理される。デジタルユーロはユーロを発行・保護するECBが発行する「公的」通貨となる。これにより、ユーロ圏全域で中央銀行通貨を用いたデジタル決済が可能となり、全てのユーロ圏国で利用可能な単一の欧州決済ソリューションを提供する。
Debit and credit cards and mobile payment apps, by contrast, rely on private bank money issued by commercial banks and operate through private payment schemes, often involving fees. 一方、デビットカード・クレジットカードやモバイル決済アプリは、民間銀行が発行する民間銀行通貨に依存し、手数料を伴うことが多い民間決済スキームを通じて運営されている。
How is the digital euro different from crypto-assets? デジタルユーロは暗号資産とどう違うのか?
The digital euro would not be a crypto-asset. デジタルユーロは暗号資産ではない。
The digital euro would be backed by the ECB, the institution that issues and safeguards the euro, just like cash. It would always be worth its face value: one digital euro would always be worth exactly the same as a €1 coin. デジタルユーロは現金と同様に、ユーロを発行・管理する機構であるECBによって裏付けられる。常に額面通りの価値を保つ:1デジタルユーロは常に1ユーロ硬貨と全く同等の価値を持つ。
Crypto-assets (e.g. cryptocurrency), by contrast, are not backed or managed by a central authority. Their value can fluctuate significantly, which makes them risky and unstable. There is also no guarantee that crypto-assets can be exchanged for cash or used as a means of payment when needed. 一方、暗号資産(例:仮想通貨)は中央機関による裏付けや管理がない。その価値は大きく変動しやすく、リスクが高く不安定だ。また、必要な時に現金と交換できる保証も、支払い手段として使える保証もない。
The legislative process to introduce the digital euro デジタルユーロ導入に向けた立法プロセス
In June 2023, the Commission put forward the single currency package. The package includes a proposal setting out the legal framework for the possible introduction of the digital euro, as well as a complementary proposal on its possible distribution by payment service providers incorporated in member states whose currency is not the euro. 2023年6月、欧州委員会は単一通貨パッケージを提案した。このパッケージには、デジタルユーロ導入の可能性に関する法的枠組みを定める提案と、ユーロ圏外加盟国に設立された決済サービス事業者によるデジタルユーロ流通の可能性に関する補足提案が含まれている。
On 19 December 2025, the Council adopted its positions on the key proposals to strengthen the euro currency by introducing a digital euro.Now that these positions have been agreed, the Council can enter into negotiations with the European Parliament. 2025年12月19日、理事会はデジタルユーロ導入によるユーロ通貨強化の主要提案について立場を採択した。これらの立場が合意されたことで、理事会は欧州議会との交渉を開始できる。
Once the proposal to establish the legal framework has been adopted by the European Parliament and Council, it will ultimately be for the ECB to decide whether to issue the digital euro. The ECB has recently indicated that the digital euro could be up and running by 2029. 法的枠組みを確立する提案が欧州議会と理事会で採択された後、デジタルユーロを発行するかどうかは最終的に欧州中央銀行(ECB)が決定する。ECBは最近、デジタルユーロが2029年までに稼働開始する可能性があると示唆している。
A proposal on access to cash 現金へのアクセスに関する提案
The single currency package also includes a proposal to strengthen the legal tender status of cash. This means that euros in physical cash must generally be available and accepted as payment for goods and services and to discharge debts, subject to well-defined and properly monitored exceptions. 単一通貨パッケージには、現金の法定通貨としての地位を強化する提案も含まれている。これは、明確に定義され適切に監視される例外を除き、物理的な現金としてのユーロが、商品やサービスの支払い、債務の履行のために一般的に利用可能かつ受け入れられなければならないことを意味する。
On 19 December 2025, the Council agreed its position, aiming to clarify these rules, including how they interact with the digital euro, in order to ensure consistency between the two forms of central bank money. The proposal’s main provisions aim to: 2025年12月19日、理事会は、中央銀行マネーの二形態間の一貫性を確保するため、これらの規則(デジタルユーロとの相互作用を含む)を明確化する方針を合意した。提案の主な規定は以下を目指す:
・safeguard the acceptance of cash as a payment method throughout the euro area ・ユーロ圏全域における現金決済手段としての受入れを保護する
・guarantee that people have access to cash and are free to choose their preferred payment method ・人々が現金にアクセスでき、好みの決済手段を自由に選択できることを保証する
Single currency: Council agrees position on the digital euro and on strengthening the role of cash (press release, 19 December 2025) 単一通貨:理事会、デジタルユーロと現金の役割強化に関する立場を合意(プレスリリース、2025年12月19日)

 

 

 

 


 まるちゃんの情報セキュリティ気まぐれ日記

・2025.10.23 欧州 EDPB デジタルユーロとトークンベースのオフラインモダリティ (2025.10.20)

・2024.02.14 ドイツ BSI TR-03179-1 中央銀行デジタル通貨-第1部:バックエンドシステムに関する要求事項 (2024.02.08)

・2023.08.09 ロシア デジタル・ルーブルのロゴ

・2023.07.13 ロシア デジタル・ルーブル

・2023.07.04 世界経済フォーラム (WEF) 中央銀行デジタル通貨 (CBDC) グローバル相互運用性原則

・2023.07.01 欧州委員会 デジタルユーロの立法案

・2022.08.19 世界経済フォーラム (WEF) 暗号通貨とステーブルコインがもたらすマクロ経済への影響  (2022.07.22)

・2022.04.04 米国 デジタル・ドルができる? H.R. 7231 電子通貨および安全なハードウェア(ECASH)法案

・2021.12.13 中国 第14次5カ年計画 デジタル経済開発計画

・2021.07.15 国際決済銀行 (BIS) ・国際通貨基金 (IMF) ・世界銀行 国際決済のための中央銀行デジタル通貨 (CBDC) に関するG20への報告書

| | Comments (0)

NCO サイバーセキュリティ推進専門家会議 第3回会合 サイバーセキュリティ戦略(案) (2025.12.08)とレジリエンスについて

こんにちは、丸山満彦です。

 

NCOのサイバーセキュリティ推進専門家会議第3回会合でサイバーセキュリティ戦略(案)が確定したのだろうと思いますが、良い内容になっていると思います。

ブログにあげるのを忘れていました...

 

絵に描いた餅に終わらず、確実な実行が期待されてますよね...

米国の場合は、こういう戦略を書くとその後、実行に落とすための完了責任者と完了日の設定とロードマップが公表されてくるのですが、日本ではそのあたりは、ちょっと緩いですかね。。。

2003年の情報セキュリティ総合戦略では、「望ましい実現時期」を示したのですが、経産省だったので他省庁の所管についてはあまり大きなことは言えない(産業構造審議会の下であっても。。。)ということで、「望ましい」という表現だったのですが、総合戦略の議論で政府の「司令塔」が必要ということで内閣官房の組織として実現した「NCO」であれば、調整機能を活用し、もう少し踏み込んだロードマップを示せると思いますので、期待したいところです。

実行がともなっての戦略ですからね...期待しています...

 

それから、今更ですで申し訳ないことですが...

レジリエンスの概念については、もう少し精緻に用語を使ったほうが良かったかもですね...これは、パブリックコメント等を通じてNCOの事務局にいれておけばよかったです...(しまった...致命的ではないのですが、米国等の国際連携の際に今の考え方だと範囲が狭いので議論がずれるかもなので...)

 

レジリエンス (Resilience)、レジリエンシー(Resiliency)について、戦略(案)では、

18 インシデントが発生した際に、その影響を最小化し、早急に元の状態に戻す仕組みや能力、耐性のこと。

と説明されているのですが、

辞書的には近いのでよいのでが、ビジネス的?(少なくとも、NIST SP800-160 Vol.2や、ISO 22316:2017)では、もう少し意味が深いので、説明に書いていることはともかくとして、使う際には狭い意味にとどまらないようにするのがよいと思いました。

ポイントしては、

・「インシデント(突発的な)が発生した際」だけではなく「斬新的な変化」も対象

・「元の状態に戻す」というより、「変化した環境に応じてより適応する」

という考え方が含まれた用語としてつかわれるほうがよいと思います...

ポイントは「変化」への「対応」ではなく「適応」です。

Continuityではなく、Resilienceという言葉を使っている本質がここにあると思います...

 

以下は参考...

 

ISO 22316:2017のOrganizational Resilienceの定義と私の仮訳...

ISO 22316:2017 — Security and resilience — Organizational resilience — Principles and attributes
ISO 22316:2017 — セキュリティとレジリエンス — 組織のレジリエンス — 原則と属性
Organizational resilience is the ability of an organization to anticipate, prepare for, respond and adapt to incremental change and sudden disruptions in order to survive and prosper. 組織のレジリエンスとは、組織が漸進的な変化や突発的な混乱を予測し、準備し、対応し、適応する能力である。これにより組織は存続し、繁栄する。

予測、準備、対応、適応

 

NIST SP80016-Vol2のCyber Resiliencyの定義と私の仮訳...

NIST Special Publication 800-160, Volume 2 Revision 1 Developing Cyber-Resilient Systems: A Systems Security Engineering Approach  NIST 特別刊行物800-160、第2巻改訂版1 サイバーレジリエンスなシステムの開発:システムセキュリティエンジニアリングアプローチ
Cyber Resiliency サイバー・レジリエンス
The ability to anticipate, withstand, recover from, and adapt to adverse conditions, stresses, attacks, or compromises on systems that use or are enabled by cyber resources. Cyber resiliency is intended to enable mission or business objectives that depend on cyber resources to be achieved in a contested cyber environment.  サイバー・リソースを使用する、またはサイバー・リソースによって可能になるシステム上の不利な条件、ストレス、攻撃、または侵害を予測し、それに耐え、そこから回復し、それに適応する能力。サイバー・レジリエンスは、競合するサイバー環境において、サイバー・リソースに依存するミッションまたはビジネスの目標を達成できるようにすることを意図している。
Note: Cyber resiliency can be a property of a system, network, service, system-of-systems, mission or business function, organization, critical infrastructure sector or sub-sector, region, or nation.  注:サイバー・レジリエンスは、システム、ネットワーク、サービス、システム・オブ・システム、ミッションまたはビジネス機能、組織、重要インフラ部門またはサブ部門、地域、または国家の特性であり得る。

予測、耐え、回復、適応

 

サイバーレジリエンスの5つの特徴

1. ミッションまたは業務機能に焦点を当てる

組織のミッションや業務機能を支援する能力に焦点を当てる。

ミッションクリティカルなシステムやシステム構成要素を脅かす敵対的な存在がシステムやインフラに存在しても、組織が重要あるいは必須のミッションや業務機能を遂行する能力を最大化するためである。

2. 変化する環境を前提とする

脅威環境、運用環境、技術環境における継続的かつ断続的な変化を前提としている。

変化はリスクとリスク低減の機会を同時に提示する。

3. 高度な持続的脅威(APT)の影響に焦点を当てる

脅威がサイバー的か非サイバー的(例:物理的)かを問わない。

サイバーレジリエンス分析は、APTが対象システムに及ぼし得る影響、ひいてはミッションや業務機能、組織、外部ステークホルダーに与える影響に焦点を当てる。

4. 敵対者がシステムや組織を侵害または突破すると想定する

根本的な前提は、高度な敵対者を常にシステムから排除したり、迅速に検知・排除したりすることは不可能であるということ。

5. 敵対者がシステムや組織内に潜伏し続けると想定する

敵対者の存在が持続的かつ長期的な問題となり得ることを前提とする。

APTのステルス性により組織が脅威を根絶したことを確信することが困難である。

過去に有効だった対策が機能しなくなる可能性がある。

組織が脅威を根絶することに成功したとしても、再び侵入する可能性がある。

 

サイバーレジリエンスの4つの目標

1. 予測Anticipate

敵対的状況に対する情報に基づく準備態勢を維持する

抑止、回避、予防は潜在的な脅威を予測する戦略である。その他の戦略には計画準備変形が含まれる

計画:利用可能な資源を識別し、脅威が現実化した場合にそれらを活用する計画を作成すること

準備: 利用可能な資源のセットを変更し、計画を実行すること

変形: 攻撃対象領域を変更するためにシステムを継続的に変更すること

2. 耐性Withstand

逆境下でも必須の任務や機能を引き続き継続する

脅威が現実化した際に耐える戦略には、吸収逸脱廃棄がある

吸収特定のシステム要素群への一定レベルの損害を受け入れ、他のシステム要素やシステム全体への影響を軽減する措置を講じ、損害を自動的に修復すること

逸脱脅威事象やその影響を、標的となったシステム要素や最初に影響を受けたシステム要素とは異なる要素やシステムへ転嫁すること

廃棄 損傷の兆候に基づきシステム要素、あるいはシステム全体を除去し、それらの要素を置換するか、それらなしでもシステムやミッション、業務プロセスが稼働できるようにすること

3. 復旧Recover

逆境時および逆境後に任務または業務機能を復旧させる。

復旧戦略には、復元再構成置換が含まれる。 検知は復旧戦略の選択を支援できる

復元:許容可能な既知の過去状態を再現すること

再構成: 重要機能と補助機能を許容レベルまで再現するか、既存システム資源を活用すること

置換: 損傷・疑わしい・選択されたシステム要素を新規要素と交換するか、既存要素を再利用して重要機能と補助機能を異なる方法で遂行すること

4. 適応Adapt

技術的、運用上、または脅威環境における予測される変化に対応し、ミッションや業務機能、および/またはそれを支える能力を変更する

適応のための戦略には、修正、強化、再方向付けが含まれる。 これらの戦略は、再定義をもたらす可能性がある

修正:識別された脆弱性や弱点を補うために、コントロールを除去または新たに適用すること

強化: 攻撃対象領域を縮小または操作すること

再方向付け:将来の脅威、新興の脅威、潜在的な脅威に対して、コントロール、実践、能力を積極的に方向付けること

再定義: システムの要件、アーキテクチャ、設計、構成、調達プロセス、運用プロセスの変更

 

8つの目的

予防または回避 攻撃の実行成功や有害な状況の発生を未然に防ぐ 
準備 予測される、または予期される困難に対処する現実的な行動方針を維持する
継続  逆境下において、必須の任務または業務機能の持続期間と実行可能性を最大化する
制約 困難による損害を制限する
復旧   災害発生後、可能な限り多くの任務または業務機能を復旧させる
理解  ミッションと業務の依存関係、および潜在的な悪影響に対するリソースの状態について、有用な表現を維持する 
変革  ミッションや業務機能、およびそれを支えるプロセスを変更し、逆境に対処し、環境変化により効果的に対応できるようにする
再構築  アーキテクチャを変更し、困難に対処し、環境変化により効果的に対応する

 


というなが〜い前振りを読んだ上(^^)で、

 

● サイバーセキュリティ推進専門家会議

・2025.12.08 第3回会合(令和7年12月8日)

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.11.04 国家サイバー統括室 サイバーセキュリティ戦略(案)サイバーセキュリティ推進専門家会議第2回会合

・2025.09.22 NCO サイバーセキュリティ推進専門家会議

・2021.09.30 日本のサイバーセキュリティ戦略についての質問に対する中国政府スポークスマンの回答

・2021.09.28 NISC サイバーセキュリティ戦略本部 第31回会合 サイバーセキュリティ戦略確定 (予算からみるとサイバーセキュリティは経済発展というよりも安全保障?)

 

 

| | Comments (0)

欧州 ENISA NIS投資報告書 2025 (2025.12.08)

こんにちは、丸山満彦です。

ENISAが、Network and Information Security Investments Report 2025を公表していますね...

2020年から初めて今年で6年目ですね...

・サイバーセキュリティ予算はIT総予算の9%程度...

・サイバーセキュリティ投資の内訳は人材投資から技術・サービスに移行している...

ようです。

 

EUもグローバルの比較データが欲しいと思うので(一部は組み込まれていますが、、、)、日本も政策立案の際には必要となるのでしょうから、調整をして同じ調査をしても良いように思うんですけどね。。。どうかしら。。。

日本って政策立案についての定量的な分析を十分にせずに、一部の、政府職員、政治家、一部有識者?、それらの取り巻き?の思い、思いつきできまってしまうことが多くないでしょうかね。。。もう少し定量データ等を取り入れたらどうでしょうかね。。。

IPAが情報セキュリティ白書をだしていますが、読み物だけでなく、経年データのあるデータ編があると良いと思うんですよね...

 

ENISA

プレス...

・2025.12.08 What’s Driving Cybersecurity Investments and where lie the challenges?

What’s Driving Cybersecurity Investments and where lie the challenges? サイバーセキュリティ投資を推進する要因と課題はどこにあるのか?
The 6th edition of the NIS Investments report reveals investments shifting from people to technology, talent shortages deepening, compliance and NIS2 driving action but implementation posing a challenge. 第6回NIS投資報告書は、投資が人材から技術へ移行していること、人材不足が深刻化していること、コンプライアンスとNIS2が行動を促す一方で実施が課題となっていることを明らかにした。
The annual NIS Investments report presents the findings of a survey conducted by ENISA to explore how cybersecurity policy translates in practice across organisations in the EU and its effects on their investments, resources, and operations. The report’s objective is to provide national and EU-level policymakers and practitioners with insights into how EU cybersecurity policies are implemented in organisations and where challenges exist. 年次NIS投資報告書は、ENISAが実施した調査結果を提示する。EU域内の組織においてサイバーセキュリティ政策が実際にどのように反映され、投資・リソース・運用にどのような影響を与えるかを検証するものである。本報告書の目的は、EUサイバーセキュリティ政策が組織内でどのように実施され、どこに課題が存在するかを、各国およびEUレベルの政策立案者や実務者に示すことである。
This year’s edition has been redesigned to focus on the story the data tells and built around key insights.  今年の版は、データが示すストーリーに焦点を当て、主要な知見を中心に構成するよう再設計された。
ENISA Executive Director, Juhan Lepassaar stated: “The NIS Investments Study provides insights, central to ENISA’s role to support EU Member States in building cyber resilience in critical sectors. The findings help us to better understand the challenges, target our support and inform our recommendations for the future.” ENISAのユハン・レパサー事務局長は次のように述べた。「NIS投資調査は、ENISAがEU加盟国に対し重要分野におけるサイバーレジリエンス構築を支援する役割の中核をなす知見を提供する。調査結果は課題の理解を深め、支援の的を絞り、将来に向けた提言の根拠となる。」
This year, the survey was carried out across 1080 public and private organisations in all Member States and covered all sectors and subsectors of high criticality under the NIS2 Directive. The NIS2 Directive is a cornerstone of the European Union's efforts to ensure a high common level of cybersecurity across all Member States, strengthening rules to better protect critical sectors. The sample for this year’s survey included 83% large enterprises and 17% SMEs, enabling comparative insights between different types of organisations.  本年実施された調査は、全加盟国の公的・民間組織1080機関を対象とし、NIS2指令で定義される重要度の高い全セクター及びサブセクターを網羅した。NIS2指令は、EU加盟国全体で高い共通レベルのサイバーセキュリティを確保し、重要分野をより良く防御するための規則を強化する、欧州連合の取り組みの基盤である。今年の調査対象には大企業が83%、中小企業が17%含まれており、異なる組織タイプ間の比較分析を可能にしている。
For in-depth exploration of the data gathered through this survey, a dedicated data companion has been published alongside the report. The companion contains two separate views of the dataset: a Member State view and a sector-by-sector view. 本調査で収集されたデータを詳細に分析するため、報告書と併せて専用のデータコンパニオンが公開されている。コンパニオンにはデータセットの二つの別個の視点が含まれている:加盟国別視点とセクター別視点である。
Key insights from this year’s report are summarised below: 本年報告書の主な知見を以下に要約する:
1. Investment focus shifts from people to technology and services  1. 投資の焦点は人材から技術・サービスへ移行
While organisations have maintained cybersecurity investment at levels comparable to last year’s (9% of IT budgets; median 1.5 million euro), spending is increasingly targeted towards technology and outsourcing rather than expanding internal cybersecurity teams. 組織はサイバーセキュリティ投資を前年並みの水準(IT予算の9%;中央値150万ユーロ)で維持しているが、支出は内部サイバーセキュリティチームの拡充よりも、技術とアウトソーシングに向けられる傾向が強まっている。
2. The cyber talent crunch shows no signs of easing 2. サイバー人材不足は緩和の兆しが見えない
Difficulties in attracting (76%) and retaining (71%) cybersecurity professionals persist, intensified by a shortage of skilled professionals and fierce competition for limited talent. High turnover further reinforces this gap, raising risk and reshaping staffing strategies. サイバーセキュリティ専門家の採用難(76%)と定着難(71%)が継続しており、熟練人材の不足と限られた人材を巡る激しい競争によって悪化している。高い離職率がこのギャップをさらに拡大させ、リスクを高め、人員配置戦略の再構築を迫っている。
3. Compliance is the main investment driver but not the only outcome 3. コンプライアンスが投資の主因だが、成果はそれだけではない
Compliance remains the main driver of cybersecurity investment (70%) yet its benefits extend beyond regulation. These investments have strengthened risk management (41%), detection (35%) and response (26%). Looking ahead, organisations plan to focus more on upgrading tools, improving recovery capabilities and building internal skills, indicating that policy is steering progress in the right direction. コンプライアンスはサイバーセキュリティ投資の主因(70%)であり続けるが、その効果は規制遵守を超えている。これらの投資はリスクマネジメント(41%)、検知(35%)、対応(26%)を強化した。今後、組織はツールのアップグレード、復旧能力の向上、内部スキルの構築に注力する計画であり、政策が正しい方向へ進捗を導いていることを示している。
4. NIS2 is raising the bar, yet implementation remains a challenge 4. NIS2は基準を引き上げるが、実施は依然として課題である
Although NIS2 is prompting entities to strengthen some of the most demanding yet essential areas of cyber resilience, implementing it is widely perceived as challenging. Organisations report patching (50%), business continuity (49%) and supply-chain risk management (37%) as key areas of difficulty. Differences in the size of organisations point to distinct challenges, for example for larger entities, harmonised approaches and paths for the transition from legacy to modern technology. For SMEs, accessible guidance, affordable tooling (including managed and cloud services) and skills development remain top challenges. NIS2は事業体に対し、最も要求が厳しいが不可欠なサイバーレジリエンス領域の強化を促しているものの、その実施は広く困難と見なされている。事業体はパッチ適用(50%)、事業継続(49%)、サプライチェーンリスクマネジメント(37%)を主要な困難領域として報告している。組織規模による課題の違いも明らかだ。例えば大規模事業体では、レガシー技術から現代技術への移行に向けた統一的なアプローチと道筋が課題となる。中小企業にとっては、アクセスしやすいガイダンス、手頃な価格のツール(マネージドサービスやクラウドサービスを含む)、スキル開発が依然として最大の課題だ。
5. Patching still takes months; many still don’t test their security 5. パッチ適用に数か月かかるケースが依然として多く、セキュリティテストを実施していない組織も多い
Timely patching and regular assessments remain challenging even amid regulatory efforts. Almost 1 in 3 organisations across sectors have not conducted a cybersecurity assessment in the past 12 months, while 28% take more than three months to patch critical vulnerabilities. This is especially difficult for SMEs, where both testing (63%) and patching (51%) present persistent challenges. As vulnerability exploitation is a leading intrusion access point, patching and implementation of the Cyber Resilience Act provisions to advance cybersecurity and resilience remain critical across the EU.  規制努力が進む中でも、タイムリーなパッチ適用と定期的な評価は依然として困難だ。全セクターの組織の約3分の1が過去12ヶ月間にサイバーセキュリティ評価を実施しておらず、28%は重大な脆弱性のパッチ適用に3ヶ月以上を要している。これは中小企業にとって特に困難であり、テスト(63%)とパッチ適用(51%)の両方が持続的な課題となっている。脆弱性の悪用が侵入の主要なアクセスポイントであるため、パッチ適用とサイバーレジリエンス法の規定実施によるサイバーセキュリティとレジリエンシーの強化は、EU全域で依然として重要である。
6. Supply chain risk: stronger controls, deeper dependence 6. サプライチェーンリスク:強化された管理と深まる依存
While supply-chain risk management is improving, increasing reliance on outsourced ICT and security services introduces new vulnerabilities — particularly when suppliers are resource-constrained SMEs. Reflecting this, supply chain and third-party compromises are the second most frequently cited concern for the future (47%). This aligns with ENISA Threat Landscape report key trend, showing an increase in targeting cyber dependencies, with cybercriminals increasingly aiming at third-party providers. サプライチェーンリスクマネジメントは改善されているものの、外部委託したICT・セキュリティサービスへの依存度上昇が新たな脆弱性を生んでいる。特にリソース制約のある中小企業がサプライヤーである場合に顕著だ。これを反映し、サプライチェーン及びサードパーティの侵害は将来の懸念事項として2番目に多く挙げられている(47%)。これはENISA脅威動向レポートの主要トレンドと一致し、サイバー依存関係を狙った攻撃が増加していることを示している。サイバー犯罪者はますますサードパーティプロバイダを標的にしている。
7. DoS caused the noise, ransomware causes the nightmares 7. DoSは騒音、ランサムウェアは悪夢
While DoS attacks put the most strain on daily operations, ransomware (55%), supply-chain attacks (47%) and phishing (35%) dominate organisational concerns looking ahead. Preparedness is uneven, with SMEs reporting the lowest confidence in their ability to anticipate, withstand and recover from cyber incidents across all scenarios. DoS攻撃が日常業務に最も負担をかける一方、組織の将来の懸念事項ではランサムウェア(55%)、サプライチェーン攻撃(47%)、フィッシング(35%)が上位を占める。準備態勢にはばらつきがあり、中小企業はあらゆるシナリオにおいて、サイバーインシデントを予測し、耐え抜き、回復する能力に対する自信が最も低いと報告している。
How ENISA uses the data gathered ENISAによるデータ活用方法
The data gathered through this study, contributes to ENISA’s wider analytical work, including the NIS360 report assessing sectoral criticality and maturity, as well as the EU Cybersecurity Index. Additionally, the study insights feed into the State of Cybersecurity in the Union report and inform its recommendations.  本調査で収集されたデータは、セクター別の重要性と成熟度を評価するNIS360レポートやEUサイバーセキュリティ指数など、ENISAの広範な分析業務に貢献している。さらに、本調査の知見は「EUサイバーセキュリティ状況報告書」に反映され、その提言の根拠となる。
NIS Investments Report 2025 NIS投資報告書2025
NIS Investments Report 2025: Data companion NIS投資報告書2025:データコンパニオン
Navigating cybersecurity investments in the time of NIS 2 NIS 2時代におけるサイバーセキュリティ投資の指針
NIS Investments 2024 NIS投資2024
NIS Investments Report 2023 NIS投資報告書2023

 

 

・2025.12.08 NIS Investments 2025

NIS Investments 2025 NIS投資2025
The annual NIS Investments report presents the findings of a study conducted by ENISA to explore how cybersecurity policy translates in practice across organisations in the EU and its effects on their investments, resources, and operations. 年次報告書「NIS投資」は、ENISAが実施した調査結果を提示する。この調査は、EU域内の組織においてサイバーセキュリティ政策が実際にどのように運用され、それが投資・資源・運用にどのような影響を与えるかを検証するものである。
Data for this edition was collected from 1 080 professionals representing organisations1across the EU and the NIS sectors of high criticality. The sample consisted mainly of large enterprises (83%), complemented by a smaller share of SMEs (17%) to allow for comparative insights between organisations of different sizes. 本版のデータは、EU全域および重要度の高いNISセクターの組織1の代表者1,080名から収集された。サンプルは主に大エンタープライズ(83%)で構成され、中小企業(17%)が補完的に含まれており、異なる規模の組織間の比較分析を可能にしている。
Additional materials 追加資料
NIS Investments 2025 - Survey data companion document_0.pdf (application/pdf) NIS Investments 2025 - Survey data companion document_0.pdf (application/pdf)

 

・・[PDF]

20251219-225751

 

EXECUTIVE SUMMARY エグゼクティブサマリー
The annual NIS Investments report presents the findings of a study conducted by ENISA to explore how cybersecurity policy translates in practice across organisations in the EU and its effects on their investments, resources, and operations. 年次NIS投資報告書は、ENISAが実施した調査の結果を提示する。この調査は、サイバーセキュリティ政策がEU域内の組織において実際にどのように運用され、それらの投資、リソース、運用にどのような影響を与えるかを明らかにすることを目的としている。
Data for this edition was collected from 1 080 professionals representing organisations1 across the EU and the NIS sectors of high criticality. The sample consisted mainly of large enterprises (83%), complemented by a smaller share of SMEs (17%) to allow for comparative insights between organisations of different sizes. 本版のデータは、EU全域および重要度の高いNISセクターの組織1を代表する1,080名の専門家から収集された。サンプルは主に大エンタープライズ(83%)で構成され、中小企業(17%)が補完的に含まれており、異なる規模の組織間の比較分析を可能にしている。
The data supports analysis of how cybersecurity policy plays out in practice. It also considers broader contextual factors — such as the threat landscape and market dynamics — that may influence how organisations prioritise and implement cybersecurity practices. In addition, the dataset contributes to wider analytical work, including ENISA NIS360, which assesses sectoral criticality and maturity, as well as the EU Cybersecurity Index and the State of Cybersecurity in the Union report. 本データは、サイバーセキュリティ政策が実際にどのように機能するかを分析する根拠となる。また、脅威の状況や市場動向など、組織がサイバーセキュリティ対策の優先順位付けや実施方法に影響を与える可能性のある広範な文脈的要因も考慮している。さらに、このデータセットは、セクターの重要性と成熟度を評価するENISA NIS360や、EUサイバーセキュリティ指数、EU域内のサイバーセキュリティ状況報告書など、より広範な分析作業にも寄与している。
Key insights from this year’s report are summarised below: 本年報告書の主な知見を以下に要約する:
Insight #1: Investment focus shifts from people to technology and services  洞察 #1:投資の焦点が人材から技術・サービスへ移行
Cybersecurity investment remains broadly in line with the levels reported in last year’s study (9% of IT budgets; median 1.5 million euros), though spending is increasingly focused on technology and outsourcing rather than internal cybersecurity teams.  サイバーセキュリティ投資は概ね前年調査と同水準(IT予算の9%;中央値150万ユーロ)を維持しているが、支出は内部サイバーセキュリティチームよりも技術とアウトソーシングに集中する傾向が強まっている。
Insight #2: The cyber talent crunch shows no signs of easing  洞察 #2:サイバー人材不足は緩和の兆しが見えない
Organisations across the EU continue to face difficulties in attracting (76%) and retaining (71%) cybersecurity professionals, intensified by a shortage of skilled professionals and fierce competition for limited talent. High turnover reinforces this gap, raising risk and reshaping staffing strategies.  EU全域の組織は、サイバーセキュリティ専門家の確保(76%)と定着(71%)に引き続き困難を抱えている。これは熟練人材の不足と限られた人材を巡る激しい競争によって悪化している。高い離職率はこのギャップをさらに拡大し、リスクを高め、人員配置戦略の再構築を迫っている。
Insight #3: Compliance is the main investment driver but not the only outcome  洞察 #3: コンプライアンスが投資の主因だが、唯一の成果ではない
Compliance remains the main driver of cybersecurity investment (70%) yet its benefits extend beyond regulation — strengthening risk management (41%), detection (35%) and response (26%). Looking ahead, organisations plan to focus more on upgrading tools, improving recovery and building internal skills, indicating that policy is steering progress in the right direction.  コンプライアンスはサイバーセキュリティ投資の主因(70%)であり続けるが、その利点は規制遵守を超え、リスクマネジメント(41%)、検知(35%)、対応(26%)の強化につながる。今後、組織はツールのアップグレード、復旧能力の向上、内部スキル構築に重点を置く計画であり、政策が適切な方向へ進捗を導いていることを示している。
Insight #4: NIS2 is raising the bar, yet implementation remains a challenge  洞察 #4: NIS2は基準を引き上げているが、実施は依然として課題だ
Implementing NIS2 is considered a challenge. Organisations say their key challenges are in the areas of patching (50%), business continuity (49%) and supply-chain risk (37%). This suggests that NIS2 is raising the bar by prompting entities to focus on strengthening some of the most demanding yet essential areas of cyber resilience.  NIS2の実施は課題と見なされている。組織はパッチ適用(50%)、事業継続(49%)、サプライチェーンリスク(37%)を主な課題として挙げている。これはNIS2が、最も要求が厳しくも不可欠なサイバーレジリエンス領域の強化に事業体を集中させることで、基準を引き上げていることを示唆している。
Insight #5: Patching still takes months; many still don’t test their security  洞察 #5: パッチ適用には依然として数か月を要し、多くの組織がセキュリティテストを実施していない
Timely patching and regular assessments remain challenging even amid regulatory efforts: 30% of organisations have not conducted a cybersecurity assessment in the past 12 months, 28% take more than three months to patch critical vulnerabilities.  規制努力にもかかわらず、タイムリーなパッチ適用と定期的なアセスメントは依然として困難だ。30%の組織が過去12か月間にサイバーセキュリティ評価を実施しておらず、28%が重大な脆弱性のパッチ適用に3か月以上を要している。
Insight #6: Supply chain risk: stronger controls, deeper dependence  洞察 #6:サプライチェーンリスク:管理強化と依存深化
While supply-chain risk management is improving, increasing reliance on outsourced ICT and security services introduces new vulnerabilities — particularly when suppliers are resource-constrained SMEs. Reflecting this, supply chain and third-party compromises are the second most frequently cited top concern for the future (47%).  サプライチェーンリスクマネジメントは改善傾向にあるが、外部委託のICT・セキュリティサービスへの依存度上昇が新たな脆弱性を生んでいる。特にリソース制約のある中小企業をサプライヤーとする場合に顕著だ。これを反映し、サプライチェーン及びサードパーティ侵害は将来の懸念事項として2番目に多く挙げられている(47%)。
Insight #7: DoS caused the noise, ransomware causes the nightmares  洞察 #7: DoSは騒音、ランサムウェアは悪夢
While DoS attacks put the most strain on daily operations last year, ransomware (55%), supply-chain attacks (47%) and phishing (35%) dominate organisational concerns looking ahead. Preparedness is uneven, with SMEs reporting the lowest confidence in their ability to anticipate, withstand and recover from cyber incidents — across all scenarios. 昨年はDoS攻撃が日常業務に最も負荷をかけたが、今後の懸念ではランサムウェア(55%)、サプライチェーン攻撃(47%)、フィッシング(35%)が組織の関心を集めている。準備態勢は不均一で、中小企業はあらゆるシナリオにおいて、サイバーインシデントを予測・耐性・復旧する能力への自信が最も低い。

 

 

洞察1

INSIGHT #1 洞察 #1
INVESTMENT FOCUS SHIFTS FROM PEOPLE TO TECHNOLOGY AND SERVICES  投資の焦点は人材から技術・サービスへ移行
Over the past year, organisations have maintained cybersecurity investment at levels comparable to the previous year; however, this spending appears to be directed more toward technology and outsourcing rather than expanding internal cybersecurity teams. 過去1年間、組織はサイバーセキュリティ投資を前年並みの水準で維持した。しかし、この支出は内部サイバーセキュリティチームの拡充よりも、技術とアウトソーシングに向けられているようだ。
Over the past year, organisations have maintained their cybersecurity2 investments at levels comparable to the year before, reflecting ongoing prioritisation of information security. In this report, budgets and investment are used interchangeably, covering CAPEX and OPEX on hardware, software, personnel, contractors, and outsourcing.  過去1年間、組織はサイバーセキュリティ投資を前年並みの水準で維持しており、情報セキュリティの優先度が継続していることを示している。本レポートでは、予算と投資を同義語として使用し、ハードウェア、ソフトウェア、人員、契約業者、アウトソーシングに対する設備投資(CAPEX)と運用コスト(OPEX)を包括的に扱う。
Cybersecurity investment and staffing were analysed in absolute terms and relative to overall spending on IT using ratios. Absolute values provide a sense of magnitude, showing the total resources (money or people) dedicated to cybersecurity. Ratios complement this by providing a consistent basis for comparing investment and staffing across organisations of different sizes and over time, supporting meaningful year-on-year analysis.  サイバーセキュリティ投資と人員配置は、絶対値とIT総支出に対する比率を用いて分析された。絶対値は規模感を示し、サイバーセキュリティに割り当てられた総資源(資金または人員)を明らかにする。比率はこの補完的役割を果たし、異なる規模の組織間や経時的な投資・人員配置の比較に一貫した基準を提供し、有意義な前年比分析を支える。
Overall cybersecurity spending has increased modestly in terms of absolute values, both in terms of the median and average, reflecting a gradual growth in cybersecurity budgets. By contrast, IT spending shows a divergent pattern: the average has decreased while the median has increased. This suggests that although very large IT spenders have reduced their investment —pulling the average down— most organisations have actually increased IT spending over the year.  サイバーセキュリティ支出全体は、中央値と平均値の両方で絶対値が緩やかに増加しており、サイバーセキュリティ予算の漸進的な拡大を反映している。これに対しIT支出は相反する傾向を示している:平均値は減少した一方で中央値は増加した。これは、非常に大規模なIT支出組織が投資を削減し(平均値を引き下げた)ものの、大半の組織では実際に年間を通じてIT支出が増加したことを示唆している。
FIG. 1 - IT & CYBERSECURITY SPENDING (ABSOLUTE VALUES) 図1 - IT及びサイバーセキュリティ支出(絶対値)
20251219-224844
A similar dynamic is observed in staffing. For cybersecurity personnel, the average number of full-time equivalent (FTEs) decreased slightly while the median increased modestly, indicating that most organisations have largely stable team sizes. For IT personnel, the average FTEs declined while the median rose, reflecting reductions among very large organisations but modest growth for the majority (Fig 2) 人員配置においても同様の動きが見られる。サイバーセキュリティ要員では、フルタイム換算(FTE)の平均数はわずかに減少した一方、中央値は小幅に増加しており、大半の組織でチーム規模がほぼ安定していることを示している。IT要員では、平均FTEは減少したものの中央値は上昇しており、超大規模組織での削減傾向と大多数組織での小幅な成長を反映している。(図2)
(2) In this report, ‘cybersecurity’ and ‘information security (IS)’ are used interchangeably to refer to all activities, staff and resources dedicated to protecting an organisation’s information systems and digital assets. (2) 本報告書では、「サイバーセキュリティ」と「情報セキュリティ(IS)」は、組織の情報システムとデジタル資産を防御するために専念する全ての活動、スタッフ、リソースを指すために同義語として使用される。
FIG. 2 - IT & CYBERSECURITY FTES (ABSOLUTE VALUES) 図2 - IT及びサイバーセキュリティFTE(絶対値)
20251219-225043
In terms of ratios, median cybersecurity spending as a proportion of IT spending remained stable, reflecting that most organisations maintained or modestly increased their budgets. The average ratio dropped slightly, driven by reductions among very large spenders (Fig. 3). Overall, cybersecurity budgets accounted for 9% of total IT budgets, with independent studies suggesting that spending on cybersecurity is likely to continue rising3.  比率面では、IT支出に占めるサイバーセキュリティ支出の中央値は安定を維持し、大半の組織が予算を維持もしくは小幅に増加させたことを反映している。平均比率は、支出規模が非常に大きい組織での減少により小幅に低下した(図3)。全体として、サイバーセキュリティ予算はIT予算全体の9%を占めており、独立した調査によれば、サイバーセキュリティ支出は今後も増加し続ける可能性が高いとされている³。
Regarding staffing, cybersecurity FTEs now represent only 10,6% of total IT FTEs (Fig.3), marking the lowest proportion observed to date. 人員配置に関しては、サイバーセキュリティFTEは現在、IT総FTEのわずか10.6%を占めるに過ぎない(図3)。これはこれまでで最も低い割合である。
FIG. 3 - CYBERSECURITY AS A SHARE OF IT BUDGET (LEFT) & CYBERSECURITY AS A SHARE OF IT FTES (RIGHT) 図3 - IT予算に占めるサイバーセキュリティの割合(左)とIT FTEに占める割合(右)
20251219-225236
The decline in the FTE ratio largely reflects faster growth in IT teams rather than reductions in cybersecurity staff and may also indicate that organisations face constraints in expanding cybersecurity teams due to persistent skills shortages. It also highlights that cybersecurity budgets are currently being directed more toward technology and outsourcing (the remaining areas of our budget definition) rather than internal team growth. This shift may reflect strategic choices to maximise impact with limited human resources, responses to talent constraints or greater reliance on external providers — trends that warrant further investigation in the coming year.  このFTE比率の低下は、サイバーセキュリティ要員の削減というよりITチームの人員増加が速かったことを主に反映している。また、持続的なスキル不足により組織がサイバーセキュリティチームの拡大に制約を受けている可能性も示唆している。また、サイバーセキュリティ予算が現在、内部チームの拡大よりも技術導入や外部委託(予算定義における残りの領域)に重点的に配分されていることも浮き彫りにしている。この変化は、限られた人的資源で効果を最大化するための戦略的選択、人材制約への対応、外部プロバイダへの依存度増大といった傾向を反映している可能性があり、今後1年間でさらに調査が必要だ。

 

 

追加資料...

・[PDF]

20251219-231931

 

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.11.25 欧州 ENISA NIS投資報告書 2024

・2023.11.18 ENISA EUにおけるサイバーセキュリティ投資 2023

・2022.11.25 ENISA EUにおけるサイバーセキュリティ投資 2022

・2021.11.26 ENISA NIS投資動向報告書2021 at 2021.11.17

 

 

 

| | Comments (0)

2025.12.20

米国 CISA他 親ロシア派ハクティビストによる米国及び世界の重要インフラへの機会主義的攻撃 (2025.12)

こんにちは、丸山満彦です。

米国、欧州、オーストラリア、カナダ、チェコ、フランス、ドイツ、イタリア、ラトビア、リトアニア、ニュージーランド、ルーマニア、スペイン、スウェーデン、英国の主に警察、情報機関等が連携し、親ロシア派ハクティビストグループ(Cyber Army of Russia Reborn (CARR)、Z-Pentest、NoName057(16)など)が、米国および世界の重要インフラ(特に水・廃水システム、食品・農業、エネルギー分野)に対して、日和見的かつ低度な攻撃(機械主義的攻撃)を実施していると警告しています...

 

CISA

・2025.12.18 Pro-Russia Hacktivists Conduct Opportunistic Attacks Against US and Global Critical Infrastructure

aa25-343a

Pro-Russia Hacktivists Conduct Opportunistic Attacks Against US and Global Critical Infrastructure 親ロシア派ハクティビストによる米国及び世界の重要インフラへの機会主義的攻撃
Actions for Operational Technology Owners and Operators to Take Today to Mitigate Cyber Threats Related to Pro-Russia Hacktivists Activity 親ロシア派ハクティビストの活動に関連するサイバー脅威を緩和するため、運用技術(OT)の所有者及び運用者が今日取るべき行動
1. Reduce exposure of operational technology (OT) assets to the public-facing internet. 1. 運用技術(OT)資産の公開インターネットへのエクスポージャーを減らすこと。
2. Adopt mature asset management processes, including mapping data flows and access points. 2. データフローとアクセスポイントのマッピングを含む、成熟した資産管理プロセスを導入する。
3. Ensure that OT assets are using robust authentication procedures. 3. OT資産が堅牢な認証手順を使用していることを確認する。
Summary 要約
Note: This joint Cybersecurity Advisory is being published as an addition to the Cybersecurity and Infrastructure Security Agency (CISA) May 6, 2025, joint fact sheet Primary Mitigations to Reduce Cyber Threats to Operational Technology and European Cybercrime Centre’s (EC3) Operation Eastwood, in which CISA, Federal Bureau of Investigation (FBI), Department of Energy (DOE), Environmental Protection Agency (EPA), and EC3 shared information about cyber incidents affecting the operational technology (OT) and industrial control systems (ICS) of critical infrastructure entities in the United States and globally. 注:この共同サイバーセキュリティ勧告は、サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)が2025年5月6日に発表した共同ファクトシート「オペレーショナルテクノロジーに対するサイバー脅威を軽減するための主要な緩和策」および欧州サイバー犯罪センター(EC3)の (EC3)の「オペレーション・イーストウッド」に追加する形で公表される。同ファクトシートでは、CISA、連邦捜査局(FBI)、エネルギー省(DOE)、環境保護庁(EPA)、EC3が、米国及び世界中の重要インフラ事業体の運用技術(OT)及び産業制御システム(ICS)に影響を与えたサイバーインシデントに関する情報を共有した。
FBI, CISA, National Security Agency (NSA), and the following partners—hereafter referred to as “the authoring organizations”—are releasing this joint advisory on the targeting of critical infrastructure by pro-Russia hacktivists: FBI、CISA、国家安全保障局(NSA)、および以下のパートナー(以下、「作成機関」と呼ぶ)は、親ロシアのハクティビストによる重要インフラを標的とした攻撃について、この共同勧告を発表する。
U.S. Department of Energy (DOE) 米国エネルギー省(DOE)
U.S. Environmental Protection Agency (EPA) 米国環境保護庁(EPA)
U.S. Department of Defense Cyber Crime Center (DC3) 米国国防総省サイバー犯罪センター(DC3)
Europol European Cybercrime Centre (EC3) 欧州刑事警察機構欧州サイバー犯罪センター(EC3)
EUROJUST – European Union Agency for Criminal Justice Cooperation EUROJUST – 欧州刑事司法協力機関
Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC) オーストラリア信号局オーストラリアサイバーセキュリティセンター(ASD の ACSC)
Canadian Centre for Cyber Security (Cyber Centre) カナダサイバーセキュリティセンター(サイバーセンター)
Canadian Security Intelligence Service (CSIS) カナダ保安情報局(CSIS)
Czech Republic Military Intelligence (VZ) チェコ共和国軍事情報局(VZ)
Czech Republic National Cyber and Information Security Agency (NÚKIB) チェコ共和国国家サイバー・情報セキュリティ庁(NÚKIB)
Czech Republic National Centre Against Terrorism, Extremism, and Cyber Crime (NCTEKK) チェコ共和国国家テロ・過激主義・サイバー犯罪対策センター(NCTEKK)
French National Cybercrime Unit – Gendarmerie Nationale (UNC) フランス国家サイバー犯罪対策部隊 – 国家憲兵隊(UNC)
French National Jurisdiction for the Fight Against Organized Crime (JUNALCO) フランス組織犯罪対策国家管轄機関(JUNALCO)
German Federal Office for Information Security (BSI) ドイツ連邦情報セキュリティ局(BSI)
Italian State Police (PS) イタリア国家警察(PS)
Latvian State Police (VP) ラトビア国家警察(VP)
Lithuanian Criminal Police Bureau (LKPB) リトアニア刑事警察局(LKPB)
New Zealand National Cyber Security Centre (NCSC-NZ) ニュージーランド国家サイバーセキュリティセンター(NCSC-NZ)
Romanian National Police (PR) ルーマニア国家警察(PR)
Spanish Civil Guard (GC) スペイン国家警察(CNP)
Spanish National Police (CNP) スペイン治安警察(GC)
Swedish Polisen (SC3) スウェーデン警察(SC3)
United Kingdom National Cyber Security Centre (NCSC-UK) 英国国家サイバーセキュリティセンター(NCSC-UK)
The authoring organizations assess pro-Russia hacktivist groups are conducting less sophisticated, lower-impact attacks against critical infrastructure entities, compared to advanced persistent threat (APT) groups. These attacks use minimally secured, internet-facing virtual network computing (VNC) connections to infiltrate (or gain access to) OT control devices within critical infrastructure systems. Pro-Russia hacktivist groups—Cyber Army of Russia Reborn (CARR), Z-Pentest, NoName057(16), Sector16, and affiliated groups—are capitalizing on the widespread prevalence of accessible VNC devices to execute attacks against critical infrastructure entities, resulting in varying degrees of impact, including physical damage. Targeted sectors include Water and Wastewater SystemsFood and Agriculture, and Energy. 関係機関は、親ロシア派ハクティビスト集団が、高度持続的脅威(APT)集団と比較して、重要インフラ事業体に対してより低レベルで影響力の小さい攻撃を実施していると評価している。これらの攻撃は、最低限のセキュリティしか施されていないインターネット接続の仮想ネットワークコンピューティング(VNC)接続を利用し、重要インフラシステム内のOT制御装置に侵入(またはアクセス)する。親ロシア派ハクティビスト集団——ロシア再生サイバー軍(CARR)、Z-Pentest、NoName057(16)、Sector16及び関連組織——は、アクセス可能なVNCデバイスの広範な普及を利用し、重要インフラ事業体に対する攻撃を実行している。これにより物理的損害を含む様々な程度の影響が生じている。標的となる分野には、上下水道システム、食品・農業、エネルギーが含まれる。
The authoring organizations encourage critical infrastructure organizations to implement the recommendations in the Mitigations section of this advisory to reduce the likelihood and impact of pro-Russia hacktivist-related incidents. For additional information on Russian state-sponsored malicious cyber activity, see CISA’s Russia Threat Overview and Advisories webpage. 本勧告の「緩和」セクションに記載された推奨事項を実施し、親ロシア派ハクティビスト関連のインシデント発生確率と影響を低減するよう、重要インフラ組織に強く推奨する。ロシア政府が支援する悪意あるサイバー活動に関する追加情報は、CISAの「ロシア脅威概要および勧告」ウェブページを参照のこと。

 

・[PDF]

20251219-171818

 

 

 

 

 

 

 

| | Comments (0)

カナダ CCCS カナダの水システムに対するサイバー脅威:アセスメントと緩和 (2025.12.04)

こんにちは、丸山満彦です。

カナダのサイバーセキュリティセンター( Canadian Centre for Cyber Security: CCCS)が、水道システムのサイバー脅威のアセスメントと対策(脅威の緩和策)を公表していますね...

カナダは重要インフラを10分野指定していますが、水道システム(上下水道)もその1つになっています。

ちなみに、10分野は、

Energy and utilities エネルギーと公益事業
Finance 金融
Food 食品
Health 医療
Government 政府
Safety 安全
Water
Transportation 運輸
Information and communication technology 情報通信技術
Manufacturing 製造業

 

カナダ政府としては、次のように評価しているようです...

  • 物理的プロセスを監視・制御する運用技術(OT)ネットワークは、水道システムを妨害しようとする攻撃者の主要標的となる可能性が極めて高い

  • 金銭目的のサイバー犯罪者が水道システムに影響を与える最も可能性の高いサイバー脅威である。サイバー犯罪者は、ランサムウェア関連の恐喝、盗まれた情報の悪用、ビジネスメール詐欺(BEC)を通じて、水道セクターの組織やシステムをほぼ確実に悪用し続ける。ランサムウェアは、OTシステムへの潜在的な影響から、カナダの安定した水供給に対するほぼ確実に重要なサイバー脅威である

  • 我々は、水システムが国家支援アクターにとって、破壊的または妨害的なサイバー脅威活動を通じた権力投射の戦略的標的であることはほぼ確実である。国家支援アクターがカナダの水システムへの事前配置アクセスを確立している可能性が極めて高い。ただし、これらのアクターが水システムを妨害するのは国家間の危機や紛争時のみである可能性が高い

  • 非国家主体によるサイバー攻撃は、カナダの重要インフラ(CI)に対する脅威として拡大している。非国家主体は、特に主要な地政学的イベントに関連して、カナダ国内のインターネットに晒された水道システムOTを機会主義的に侵害・妨害し続ける可能性が極めて高い

ほぼ確実 (almost certainly):90%-100%

可能性が極めて高い (very likely):75% - 89%

可能性が高い(likely): 60%-74%

 

 

 


日本も上下水道は経済安全保障の観点から基幹インフラに指定されていて、国土交通省が所管していますね...

で、特定社会基盤事業者として指定されている事業者は2025.07.31現在で、23事業者ですね。。。すべて自治体と自治体の集まりである水道企業団です...

ちょっと心配???

国土交通省 - 経済安全保障(基幹インフラ役務の安定的な提供の確保に関する制度)水道分野における経済安全保障

簡易水道事業以外の水道事業(給水人口:100万人超)

  1. 札幌市(札幌市水道事業)
  2. 仙台市(仙台市水道事業)
  3. さいたま市(さいたま市水道事業)
  4. 千葉県(千葉県水道事業)
  5. 東京都(東京都水道事業)
  6. 神奈川県(神奈川県水道事業)
  7. 横浜市(横浜市水道事業)
  8. 川崎市(川崎市水道事業)
  9. 名古屋市(名古屋市水道事業)
  10. 京都市(京都市水道事業)
  11. 大阪市(大阪市水道事業)
  12. 神戸市(神戸市水道事業)
  13. 広島市(広島市水道事業)
  14. 北九州市(北九州市水道事業)
  15. 福岡市(福岡市水道事業)

水道用水供給事業(1日最大給水量:50万㎥超)

  1. 宮城県(仙南・仙塩広域水道用水供給事業)
  2. 埼玉県(埼玉県水道用水供給事業)
  3. 愛知県(愛知県水道用水供給事業)
  4. 沖縄県(沖縄県営水道用水供給事業)
  5. 北千葉広域水道企業団(北千葉広域水道用水供給事業)
  6. 神奈川県内広域水道企業団(神奈川県内広域水道用水供給事業)
  7. 大阪広域水道企業団(大阪広域水道企業団水道用水供給事業)
  8. 阪神水道企業団(阪神水道企業団用水供給事業)

内閣府 - 基幹インフラ役務の安定的な提供の確保に関する制度


 

では、カナダの話に戻ります...(^^)

 

The cyber threat to Canada’s water systems: Assessment and mitigation カナダの水システムに対するサイバー脅威:アセスメントと緩和
Table of contents 目次
About this document 本文書について
Message from the Head of the Cyber Centre サイバーセンター長からのメッセージ
Key judgements 主要な判断
Canada’s water sector カナダの水分野
The threat from cybercriminals サイバー犯罪者からの脅威
The state-sponsored cyber threat to water systems 国家が支援する水システムへのサイバー脅威
Non-state cyber actors: A growing threat 非国家主体によるサイバー脅威:増大する脅威
Outlook: What this means for the Canadian Water Sector 展望:カナダの水分野にとっての意味
Mitigation 緩和
Additional resources 追加リソース
References 参考文献

 

一部...

Message from the Head of the Cyber Centre サイバーセンター長からのメッセージ
I spend a lot of time looking at threats most people never see. They are quiet, often hidden, yet capable of real-world consequences. Among the most critical are the cyber threats facing Canada’s water and wastewater systems. These systems are the backbone of modern life, yet they’re often out of sight and out of mind. When they function, no one notices. When they fail, everyone does. 私は多くの時間を、一般の人々が決して目にすることのない脅威の分析に費やしている。それらは静かで、しばしば隠れているが、現実世界に影響を及ぼす能力を持つ。最も重大な脅威の一つが、カナダの水道・下水システムに対するサイバー脅威だ。これらのシステムは現代生活の基盤でありながら、往々にして目に見えず、意識されることもない。正常に機能している時は誰も気づかない。しかし故障した時は誰もが気づく。
This assessment is meant to bring clarity to a topic that can feel abstract or overly technical. Cyber threats to water infrastructure are growing, evolving quickly, and can affect every community in Canada. You don’t need to be an engineer or a cyber security expert to understand why this matters. Clean water is essential, and the systems that deliver it are now largely digital – meaning they are vulnerable to the same kinds of cyber threats that target businesses and governments around the world. このアセスメントは、抽象的あるいは技術的すぎると思われるテーマを明確にすることを目的としている。水道インフラへのサイバー脅威は拡大し、急速に進化しており、カナダのあらゆる地域社会に影響を及ぼしうる。これがなぜ重要なのかを理解するのに、技術者やサイバーセキュリティの専門家である必要はない。清潔な水は不可欠であり、それを供給するシステムは今や大部分がデジタル化されている。つまり、世界中の企業や政府を標的とするのと同じ種類のサイバー脅威に脆弱性があるのである。
We’ve seen an unmistakable shift in recent years. Cybercriminals are more sophisticated, state-sponsored actors are more willing to target essential services, and disruptive tools are easier to access. Water systems now face a threat landscape they were never designed to withstand. 近年、明らかな変化が起きている。サイバー犯罪者はより洗練され、国家支援アクターは重要サービスを標的にする傾向を強め、破壊的なツールは入手しやすくなった。水道システムは、耐えるよう設計されていない脅威環境に直面しているのだ。
Whether you’re a critical infrastructure executive, an elected official, or a policymaker, I want to emphasize that cyber security for water systems is not just a technical issue, it is a public safety issue, an economic stability issue, and ultimately a public trust issue. Leadership matters. The choices you make about investment, governance, and preparedness will determine our collective resilience in the years ahead. 重要インフラの責任者であれ、選出された公職者であれ、政策立案者であれ、強調したいのは、水道システムのサイバーセキュリティは単なる技術的問題ではなく、公共の安全問題であり、経済的安定の問題であり、究極的には公共の信頼の問題だということだ。リーダーシップが重要である。投資、ガバナンス、準備態勢に関する選択が、今後数年間の我々の集団的レジリエンスを決定づける。
But this is not a message of alarm; it is a message of readiness. Across Canada, utilities, municipalities, and provincial and territorial partners have shown a strong commitment to improving their cyber resilience. What’s needed now is a clear-eyed analysis of the cyber threats facing our water systems in Canada. That’s what this assessment provides. しかしこれは警戒を促すメッセージではない。準備を促すメッセージだ。カナダ全土で、公益事業体、自治体、州・準州のパートナーはサイバーレジリエンス強化への強い決意を示している。今必要なのは、カナダの給水システムが直面するサイバー脅威に対する冷静な分析だ。このアセスメントがそれを提供する。
My hope is that it empowers decision-makers to act confidently, ask the right questions, and support the people who keep these systems running. Cyber threats aren’t going away, but with awareness and a steady commitment to resilience, we can stay ahead of them. 本アセスメントが意思決定者の確信ある行動、適切な質問、そしてシステムを維持する人々への支援を後押しすることを願う。サイバー脅威は消えないが、認識とレジリエンスへの揺るぎない取り組みによって、我々は脅威を先回りできる。
Sincerely, 敬具
Rajiv Gupta, Head of the Canadian Centre for Cyber Security ラジブ・グプタカナダサイバーセキュリティセンター長
Key judgements 主要な判断
・We assess that operational technology (OT) networks that monitor and control physical processes are very likely the primary target for actors seeking to disrupt water systems. ・物理的プロセスを監視・制御する運用技術(OT)ネットワークは、水道システムを妨害しようとする攻撃者の主要標的となる可能性が極めて高いと評価する。
・We assess that financially motivated cybercriminals are the most likely cyber threat to affect water systems. We assess that cybercriminals will almost certainly continue to exploit water sector organizations and systems through extortion tied to ransomware, exploiting stolen information, and business email compromise (BEC). We assess that ransomware is almost certainly the most significant cyber threat to the reliable supply of water in Canada due to the potential impacts against OT systems. ・金銭目的のサイバー犯罪者が水道システムに影響を与える最も可能性の高いサイバー脅威であると評価する。サイバー犯罪者は、ランサムウェア関連の恐喝、盗まれた情報の悪用、ビジネスメール詐欺(BEC)を通じて、水道セクターの組織やシステムをほぼ確実に悪用し続けると評価する。ランサムウェアは、OTシステムへの潜在的な影響から、カナダの安定した水供給に対するほぼ確実に重要なサイバー脅威であると評価する。
・We assess that water systems are almost certainly a strategic target for state-sponsored actors to project power through disruptive or destructive cyber threat activity. We assess that state-sponsored actors have almost certainly developed pre-positioned access to Canadian water systems. However, we judge that these actors would likely only disrupt those water systems in times of crisis or conflict between states. ・我々は、水システムが国家支援アクターにとって、破壊的または妨害的なサイバー脅威活動を通じた権力投射の戦略的標的であることはほぼ確実である。国家支援アクターがカナダの水システムへの事前配置アクセスを確立していることはほぼ確実であると評価する。ただし、これらのアクターが水システムを妨害するのは国家間の危機や紛争時のみである可能性が高いと判断する。
・Non-state cyber actors are a growing threat to Canada’s critical infrastructure (CI). We assess that non-state actors will very likely continue to opportunistically compromise and disrupt Internet-exposed water system OT within Canada, especially in connection to major geopolitical events. 非国家主体によるサイバー攻撃は、カナダの重要インフラ(CI)に対する脅威として拡大している。非国家主体は、特に主要な地政学的イベントに関連して、カナダ国内のインターネットに晒された水道システムのOTを機会主義的に侵害・妨害し続ける可能性が極めて高いと評価する。
Canada’s water sector カナダの水分野
Good public and environmental health depend on access to clean water. Footnote1  Drinking water, stormwater and wastewater treatment systems (collectively: water systems) have many important economic, environmental, and safety uses. A loss of water does not just affect residents but also can have effects on other critical infrastructure. For example, in 2024, water main breaks in Calgary and Montreal resulted in cascading impacts on other systems, including hospitals, fire prevention and universities. Footnote2  For these reasons and others, our water systems are considered part of Canada’s critical infrastructure (Figure 1). Footnote3  Any disruption in the water system is not only a threat to public health and safety, but also a threat to public confidence, the environment and the economy. Footnote4  As a result, the cyber security of our water systems is vital to Canada’s national security. 良好な公衆衛生と環境衛生は、清潔な水へのアクセスに依存している。脚注1 飲料水、雨水、廃水処理システム(総称:水道システム)は、経済的、環境的、安全面において多くの重要な用途を持つ。水の喪失は住民に影響を与えるだけでなく、他の重要インフラにも影響を及ぼし得る。例えば2024年、カルガリーとモントリオールで発生した水道本管破裂は、病院、防火システム、大学など他のシステムに連鎖的な影響をもたらした。Footnote2 このような理由から、我が国の水道システムはカナダの重要インフラの一部と位置付けられている(図1)。Footnote3 水道システムの混乱は、公衆衛生と安全への脅威であるだけでなく、国民の信頼、環境、経済への脅威でもある。脚注4 したがって、水道システムのサイバーセキュリティはカナダの国家安全保障にとって極めて重要である。
Figure 1: Critical infrastructure 図1:重要インフラ
Critical infrastructure refers to the processes, systems, facilities, technologies, networks, assets and services essential to the health, safety, security or economic well-being of Canadians and the effective functioning of government. 重要インフラとは、カナダ国民の健康・安全・保安・経済的福祉、および政府の有効な機能に不可欠なプロセス、システム、施設、技術、ネットワーク、資産、サービスを指す。
Ncta2023fig5
The threat surface of Canada’s water systems カナダの水道システムの脅威対象範囲
A water system generally includes the services and infrastructure to safely and reliably obtain, store, filter and distribute potable water, divert runoff and floodwater as well as remove, collect and treat wastewater. Canada has thousands of water systems that vary greatly in size. A small number of large water utilities serve major urban areas while international organizations manage shared systems. Meanwhile, many small systems are owned and operated by municipalities, other levels of government, Indigenous communities, private sector companies and individual citizens. Footnote5 水道システムは一般的に、安全かつ確実に飲料水を採取・貯蔵・濾過・配水し、雨水や洪水を迂回させ、汚水を除去・収集・処理するためのサービスとインフラを含む。カナダには数千もの水道システムが存在し、その規模は大きく異なる。少数の大規模水道事業体が主要都市圏をカバーする一方、国際機関が共有システムを管理している。また、多くの小規模システムは自治体、その他の政府、先住民コミュニティ、民間企業、個人市民が所有・運営している。脚注5
Water systems operate in a variety of ways. Many are completely manual or even passive systems that require little to no active management, including most small water supplies and stormwater systems. Large urban water systems, in contrast, are usually geographically dispersed, industrial systems operated from a digital control environment. These include many remotely managed OT devices integrated into dams, pumping stations, and treatment facilities. These systems also extend into a web of connected suppliers of digital products and services. 水道システムの運用方法は様々である。多くは完全に手動、あるいは受動的なシステムであり、積極的な管理をほとんど、あるいは全く必要としない。これには小規模な給水システムや雨水システムの大半が含まれる。これに対し、大規模な都市水道システムは通常、地理的に分散した産業用システムであり、デジタル制御環境から運営される。これにはダム、ポンプ場、処理施設に統合された遠隔管理のOTデバイスが多数含まれる。これらのシステムはまた、デジタル製品・サービスを提供する相互接続されたサプライヤーのネットワークへと拡大している。
Many of these water systems are managed out of municipal or community offices and are exposed to all the cyber threats encountered by public-facing organizations. The more internet-connected assets an organization has, the larger the threat surface. A larger threat surface implies an increase in the cyber threat the organization faces. Footnote6  In addition to increasing internet connectivity, most water systems are operated by small public sector organizations and frequently face challenges that can negatively influence cyber security, including low financial resources, aging physical and digital infrastructure and a shortage of cyber security expertise. Footnote7 こうした水道システムの多くは自治体やコミュニティの事務所から管理されており、一般向け組織が直面するあらゆるサイバー脅威に晒されている。組織がインターネットに接続する資産が増えるほど、脅威対象領域は拡大する。脅威対象領域の拡大は、組織が直面するサイバー脅威の増加を意味する。脚注6 インターネット接続性の増加に加え、大半の水システムは小規模な公共部門組織によって運営されており、財政資源の不足、老朽化した物理的・デジタルインフラ、サイバーセキュリティ専門知識の不足など、サイバーセキュリティに悪影響を及ぼし得る課題に頻繁に直面している。脚注7
The role of operational technology in our water systems 水道システムにおける運用技術(OT)の役割
Operators use industrial OT including supervisory control and data acquisition (SCADA) and industrial Internet of things (IIoT) devices to manage large water systems and address issues like population growth, outdated infrastructure and declining revenue. Footnote8  These systems are used to control water system equipment like dam gates, valves and pumps and to monitor sensors such as chemical detectors and flowrate monitors. The OT in water systems is continually evolving and is increasingly managed through digital devices with embedded computing and communications abilities. Footnote9  This process, called digital transformation or digitalization, has allowed OT asset operators like those in the water sector to connect their OT devices to operating centres, corporate networks and, increasingly, directly to the internet. A 2021 survey counted over 60,000 OT-related network interfaces in Canada. Footnote10  In 2023, a similar survey conducted on internet-connected devices associated mainly with water systems in the U.S. and UK found a relatively low level of basic cyber hygiene. Almost half of the devices could be manipulated without any authentication required. Footnote11 事業者は、大規模な水道システムの管理や、人口増加・老朽化したインフラ・収益減少といった課題への対応に、監視制御とデータ収集(SCADA)や産業用モノのインターネット(IIoT)デバイスを含む産業用OTを活用している。脚注8 これらのシステムは、ダムのゲートやバルブ、ポンプといった水道設備の制御や、化学物質検知器や流量モニターなどのセンサーの監視に使用される。水道システムのOTは絶えず進化しており、組み込みコンピューティングとコミュニケーション機能を備えたデジタルデバイスによる管理が拡大している。脚注9 この「デジタルトランスフォーメーション」または「デジタル化」と呼ばれるプロセスにより、水道分野などのOT資産運用者は、OTデバイスを運用センターや企業ネットワークに接続し、さらにインターネットに直接接続するケースが増えている。2021年の調査では、カナダ国内に6万を超えるOT関連ネットワークインターフェースが確認された。脚注10 2023年には、主に米国と英国の水道システムに関連するインターネット接続デバイスを対象とした同様の調査で、基本的なサイバー衛生状態が比較的低い水準にあることが判明した。デバイスのほぼ半数は、認証を一切必要とせずに操作可能であった。脚注11
Unfortunately, the management efficiency and savings gained from connecting digitally transformed OT also exposes the water system to cyber threats. Footnote10  For example, in early 2000, an employee was fired from a company providing services to Maroochy Water Services in Queensland, Australia. The individual retained remote access to the network of OT devices in the pumping stations of the wastewater treatment system. Footnote12  He used this access to issue malicious commands to the devices that ultimately caused nearly a million litres of raw sewage to be discharged into local parks and rivers, causing severe environmental harm, according to officials. Footnote13  This was the first example of a remote access in a public water system being used to disrupt or sabotage OT systems, and illustrates the potential for cyber threats to jeopardize public and environmental safety and the local economy. Footnote10  We assess that operational technology (OT) networks that monitor and control physical processes are very likely the primary target for actors seeking to disrupt water systems. 残念ながら、デジタル変革されたOTを接続することで得られる管理効率とコスト削減は、同時に水道システムをサイバー脅威に晒すことになる。脚注10 例えば2000年初頭、オーストラリア・クイーンズランド州のマロッチー水道サービスに業務委託していた企業から従業員が解雇された。この人物は下水処理システムのポンプ場にあるOT機器ネットワークへのリモートアクセス権を保持していた。脚注12 当局によれば、この人物はアクセス権を悪用し、装置に悪意のある指令を発行。結果として約100万リットルの未処理汚水が地域の公園や河川に流出、深刻な環境被害を引き起こした。脚注13 これは公共水道システムにおけるリモートアクセスがOTシステムの妨害・破壊に利用された初の事例であり、サイバー脅威が公共・環境安全及び地域経済を脅かす可能性を示している。脚注10 物理的プロセスを監視・制御する運用技術(OT)ネットワークは、水道システムを妨害しようとする者にとって主要な標的となる可能性が極めて高いと我々は評価している。
On the rise: Cyber threats to supply chains 増加傾向にある:サプライチェーンへのサイバー脅威
Water system utilities often depend on a diverse supply chain of digital products and services to operate, maintain and modernize their OT assets. The supply chain for these products and services includes manufacturers, vendors, integrators, contractors and service providers. Water system OT’s dependency on the supply chain is a critical vulnerability  that gives cyber actors inside information on and opportunities for access to otherwise protected OT systems. 水道事業者は、OT資産の運用・保守・近代化のために多様なデジタル製品・サービスのサプライチェーンに依存している。これらの製品・サービスのサプライチェーンには、製造事業者、ベンダー、インテグレーター、請負業者、プロバイダが含まれる。水道システムOTのサプライチェーン依存は重大な脆弱性であり、サイバー攻撃者に本来防御されたOTシステムへの内部情報とアクセス機会を提供する。
Cyber threat actors target organizations’ digital supply chains to collect business and contextual information for use in social engineering  attacks or to collect organizational network and system information to support future cyber attacks. Activity against the digital supply chain can also be an indirect route to gain access to the target organization’s networks in situations where there is continuous information transfer, for example software updates, or remote network access connections between the organization and its suppliers. In late 2019, a sophisticated cyber threat actor compromised the software-as-a-service provider, SolarWinds. The actors, attributed to Russia’s intelligence services, used their access to SolarWinds’ development environment to embed malicious code into a software update. The compromised update provided the actors access to thousands of client networks worldwide, including over 100 in Canada. Footnote14 サイバー脅威アクターは、組織のデジタルサプライチェーンを標的とし、ソーシャルエンジニアリング攻撃に利用する業務情報や文脈情報を収集したり、将来のサイバー攻撃を支援する組織ネットワーク・システム情報を収集したりする。デジタルサプライチェーンに対する活動は、ソフトウェア更新や組織とサプライヤー間のリモートネットワーク接続など、継続的な情報転送が行われる状況下では、標的組織のネットワークへのアクセスを得る間接的な経路ともなり得る。2019年末、高度なサイバー脅威アクターがSaaSプロバイダであるSolarWindsを侵害した。ロシア情報機関に帰属するとされるこれらのアクターは、SolarWindsの開発環境へのアクセス権を利用して、ソフトウェア更新プログラムに悪意のあるコードを埋め込んだ。侵害された更新プログラムにより、アクターは世界中の数千のクライアントネットワーク(カナダ国内でも100以上を含む)へのアクセス権を獲得した。脚注14
Publicly available cyber tools are increasing the volume and effectiveness of cyber threat activity 公開されているサイバーツールが、サイバー脅威活動の量と効果を高めている
We assess it almost certain that cyber threat actors are increasingly using publicly available cyber tools to gain and maintain access to CI networks, making it easier for threat actors of all levels of sophistication to target water sector OT. The wide availability  of these tools, including legitimate penetration testing tools like Cobalt Strike, has lowered the barrier to entry to cyber threat activity and increased the capacity for cyber threat actors to gain, maintain, and expand access to target systems. Footnote15 我々は、サイバー脅威アクターがCIネットワークへのアクセス獲得・維持に公開ツールをますます活用していることをほぼ確実と見なす。これにより、あらゆるレベルの脅威アクターが水道セクターのOTを標的にしやすくなっている。コバルトストライクのような正当なペネトレーションテストツールを含むこれらのツールの広範な入手可能性は、サイバー脅威活動への参入障壁を低下させ、標的システムへのアクセス獲得・維持・拡大能力を高めている。脚注15
The proliferation of publicly available cyber tools has advantages for sophisticated cyber threat actors as well. Advanced cyber threat actors often use a combination of publicly available tools and living-off-the-land (LOTL) techniques when possible and bespoke malware  when necessary. For example, People’s Republic of China (PRC) threat actors Volt Typhoon, Flax Typhoon and APT40 commonly use a mixed toolset and likely maintain an extensive catalog of open source and custom malware. Footnote16  LOTL techniques exclusively rely on legitimate tools and processes already present in the victim’s environment, for example Windows PowerShell or Windows Management Instrumentation, to carry out malicious activity. Footnote17  These techniques allow threat actors to blend their malicious activity in with normal network activity. By using generic publicly available tools and LOTL techniques, sophisticated actors limit the distinct signature they leave on a target’s network, making detecting cyber threat activity and attributing the source of that activity even more challenging. Footnote18 公開されているサイバーツールの拡散は、高度なサイバー脅威アクターにとっても利点がある。高度なサイバー脅威アクターは、可能な場合には公開ツールとLOTL(現地調達)手法を組み合わせ、必要に応じて特注マルウェアを使用することが多い。例えば、中華人民共和国(PRC)の脅威アクターであるVolt Typhoon、Flax Typhoon、APT40は混合ツールセットを頻繁に使用し、オープンソースとカスタムマルウェアの広範なカタログを維持している可能性が高い。脚注16 LOTL手法は、Windows PowerShellやWindows Management Instrumentationなど、被害者環境に既に存在する正当なツールやプロセスのみに依存して悪意のある活動を実行する。脚注17 この手法により、脅威アクターは自身の悪意ある活動を通常のネットワーク活動に溶け込ませることができる。汎用的な公開ツールとLOTL手法を用いることで、高度な攻撃者は標的ネットワークに残す特徴的な痕跡を最小限に抑え、サイバー脅威活動の検知と発生源の特定をさらに困難にする。脚注18
The threat from cybercriminals サイバー犯罪者による脅威
We assess that financially motivated cybercriminals are the most likely cyber threat to affect water systems. We assess that cybercriminals will almost certainly continue to exploit water sector organizations and systems through extortion tied to ransomware, exploiting stolen information and business email compromise (BEC). BEC is a type of fraud that uses compromised email accounts to trick people into transferring money or sensitive information to attacker-controlled accounts, while ransomware  is malware that encrypts data or locks devices to extort a target organization for ransom payment. Footnote19  Although BEC is likely more common and more costly than ransomware to victims, ransomware can disrupt operations such as the delivery of safe drinking water through loss of visibility or control over important industrial processes. Footnote20  We assess that ransomware is almost certainly the most significant cyber threat to the reliable supply of water in Canada due to the potential impacts against OT systems. Cybercriminals are aware that the disruption of critical products and services increases the pressure on an organization to pay ransom. Footnote21  For example, ransomware attacks disrupted water treatment systems in California, Maine and Nevada in 2021, and in Kansas in 2024, forcing system operators to manually operate their OT systems to maintain service. Footnote22 我々は、金銭的動機を持つサイバー犯罪者が水道システムに影響を与える最も可能性の高いサイバー脅威であると評価する。我々は、サイバー犯罪者がランサムウェア関連の恐喝、盗まれた情報の悪用、ビジネスメール詐欺(BEC)を通じて、水道セクターの組織やシステムをほぼ確実に悪用し続けると評価している。BECは、侵害されたメールアカウントを利用して、攻撃者が管理する口座へ金銭や機密情報を送金させる詐欺の一種である。一方、ランサムウェアはデータを暗号化したりデバイスをロックしたりして、標的組織から身代金支払いを強要するマルウェアである。脚注19 BECは被害者にとってより一般的でより高コストである可能性が高いが、ランサムウェアは重要な産業プロセスの可視性や制御の喪失を通じて、安全な飲料水の供給などの業務を妨害し得る。脚注20 我々は、OTシステムへの潜在的影響から、ランサムウェアがカナダの安定した水供給に対するほぼ確実に最も重要なサイバー脅威であると評価する。サイバー犯罪者は、重要製品・サービスの混乱が組織の身代金支払圧力を高めることを認識している。脚注21 例えば2021年にはカリフォルニア州、メイン州、ネバダ州で、2024年にはカンザス州でランサムウェア攻撃が水処理システムを混乱させ、システム運用者はサービスを維持するためOTシステムを手動操作せざるを得なかった。脚注22
Ransomware incidents are becoming more complex and costly to remediate ランサムウェア被害の復旧は複雑化・高コスト化している
We assess that ransomware attacks against CI organizations, including those in the water sector, are almost certainly becoming more frequent as well as more costly and complex to remediate. The number of observed ransomware incidents has increased across sectors from 2021 to 2024. The size of ransom demands, cost of recovery, and the sophistication and complexity of tactics being used by cybercriminals have also increased. Footnote23  These trends are driven by the proliferation of ransomware-as-a-service (RaaS) variants, the cybercrime-as-a-service (CaaS) ecosystem, and the increased use of multiple extortion methods. Footnote24 我々は、水道部門を含む重要インフラ組織に対するランサムウェア攻撃が、ほぼ確実に頻度を増すとともに、復旧コストと複雑性も高まっていると評価する。2021年から2024年にかけて、各部門で観測されたランサムウェア被害件数は増加している。身代金要求額、復旧コスト、サイバー犯罪者が用いる戦術の高度化・複雑化も進行している。脚注23 こうした傾向は、ランサムウェア・アズ・ア・サービス(RaaS)の変種の拡散、サイバー犯罪・アズ・ア・サービス(CaaS)の生態系、複数の恐喝手法の併用増加によって促進されている。脚注24
Cybercriminals have widely adopted the practice of stealing and threatening to leak their victims’ sensitive data as either a supplement to traditional encryption -based extortion or as the primary lever for extortion. In early 2023, the cybercriminal group CL0P exploited a vulnerability in MOVEit Transfer, a file transfer tool made by Progress Software. CL0P’s attacks were far-reaching, allowing them to steal information from government, public and business groups all over the world, including the water utility files of Queens Municipality in Nova Scotia. Footnote25  In early 2024, 2 different cybercriminal groups conducted ransomware attacks against water sector organizations in North America and the United Kingdom. The groups disrupted IT systems and leaked stolen data including business data and personal information. Footnote26 サイバー犯罪者は、従来の暗号化に基づく恐喝を補完する手段として、あるいは恐喝の主要な手段として、被害者の機密データを盗み流出を脅迫する手法を広く採用している。2023年初頭、サイバー犯罪グループCL0Pは、Progress Software製のファイル転送ツール「MOVEit Transfer」の脆弱性を悪用した。CL0Pの攻撃は広範囲に及び、ノバスコシア州クイーンズ自治体の水道事業ファイルを含む、世界中の政府・公共・企業団体から情報を窃取した。脚注25 2024年初頭には、2つの異なるサイバー犯罪グループが北米と英国の水道事業組織に対しランサムウェア攻撃を実施。両グループはITシステムを妨害し、業務データや個人情報を含む窃取データを流出させた。脚注26
Cybercrime marketplaces provide specialized services and increase impacts against victims サイバー犯罪マーケットプレイスは専門サービスを提供し、被害者への影響を拡大させる
Cybercrime is continuously evolving to maximize profits and increase the payouts extracted from targets. Footnote27  The CaaS ecosystem allows for specialization and division of labour among cybercriminal groups. This allows cybercriminals to access a range of services including network access brokering, access to RaaS variants and money laundering. Access brokers opportunistically collect network accesses into victim organizations and sell them to other cybercriminals. Those cybercriminals then conduct reconnaissance  and use social engineering to determine which targets to deploy ransomware against. These decisions are often based on which organizations are most likely and/or able to pay a ransom. Footnote19Footnote27  We assess that the CaaS ecosystem is almost certainly increasing the number of actors participating in cybercrime by enabling less technically sophisticated actors to carry out cyber threat activity. サイバー犯罪は利益を最大化し、標的から抽出される支払額を増やすため、絶えず進化している。脚注27 CaaSエコシステムは、サイバー犯罪グループ間の専門化と分業を可能にする。これにより、サイバー犯罪者はネットワークアクセス仲介、RaaS亜種のアクセス、資金洗浄など多様なサービスを利用できる。アクセス仲介業者は、被害組織へのネットワークアクセスを機会主義的に収集し、他のサイバー犯罪者に販売する。その後、これらの犯罪者は偵察活動を行い、ソーシャルエンジニアリングを用いてランサムウェアを展開する標的を決定する。この判断は、身代金を支払う可能性が最も高く、かつ/または支払能力のある組織を基準に行われることが多い。脚注19脚注27 CaaSエコシステムは、技術的に未熟な犯罪者でもサイバー脅威活動を実施できるようにすることで、サイバー犯罪に参加する者の数をほぼ確実に増加させていると我々は評価する。
The state-sponsored cyber threat to water systems 国家が支援する水道システムへのサイバー脅威
We assess that water systems are almost certainly a strategic target for state-sponsored actors to project power through disruptive or destructive cyber threat activity. State-sponsored actors pre-position for this activity by identifying and gaining access to Internet-connected OT systems or IT networks from which they can laterally move to OT systems. Once in the target network, they collect information on assets within the network to identify opportunities for disruptive or destructive action. For example, this could mean causing water tanks to overflow or changing the chemical balance of water treatment processes. We assess that state-sponsored cyber threat actors have almost certainly developed pre-positioned access to Canadian water systems. However, we judge that these actors would likely only disrupt those water systems in times of crisis or conflict between states. 我々は、水道システムが国家支援アクターにとって、破壊的または破壊的なサイバー脅威活動を通じて権力を投射するための戦略的標的であることはほぼ確実であると評価する。国家支援アクターは、インターネットに接続されたOTシステムやITネットワークを識別し、アクセス権を獲得することで、この活動に備える。その後、横方向にOTシステムへ移動する。標的ネットワークに侵入すると、ネットワーク内の資産に関する情報を収集し、破壊的または破壊的な行動の機会を特定する。例えば、貯水タンクの溢水を引き起こしたり、水処理プロセスの化学的バランスを変更したりすることが考えられる。我々は、国家が支援するサイバー脅威アクターがカナダの給水システムへの事前配置アクセスをほぼ確実に確立していると評価する。ただし、これらのアクターが給水システムを妨害するのは、国家間の危機や紛争時のみであると判断する。
State-sponsored cyber threat actors have targeted water sector organizations and systems globally for both espionage and disruption or destruction. In an early example of state-sponsored cyber activity in water system OT, in 2013, Iranian actors gained access to the SCADA system of a small dam in New York State. This access allowed them to obtain information regarding the dam’s status and the ability to operate the sluice gates of the dam, which could affect water levels and flow rates in the watershed. The system was under maintenance at the time of the compromise , so the actors did not obtain actual access to the dam’s physical controls. Footnote28 国家が支援するサイバー脅威アクターは、諜報活動と妨害・破壊の両方の目的で、世界中の水セクター組織やシステムを標的にしてきた。国家支援型サイバー活動が水道システムのOT(オペレーションテクノロジー)を標的とした初期事例として、2013年にイランのアクターがニューヨーク州の小規模ダムのSCADAシステムへのアクセス権を獲得した。このアクセスにより、ダムの状態に関する情報の取得と、水門の操作能力を得ることができた。これにより流域の水位や流量に影響を与える可能性があった。侵害発生時はシステムが保守中だったため、攻撃者はダムの物理制御装置への実際のアクセス権は得られなかった。脚注28
In 2023, an Iranian Revolutionary Guard  Corps cyber unit acting under the non-state actor persona “CyberAv3ngers” compromised the Municipal Water Authority of Aliquippa, Pennsylvania. The CyberAv3ngers exploited a publicly exposed Unitronics Vision Series OT device with default passwords and defaced the system’s interface  with an anti-Israel message. This activity was part of a broader campaign targeting commonly used Israeli-made OT devices, likely to undermine Western support for Israel. Tampering with the controller's user interface implies a level of access that would allow full access to the device settings, as well as potential access to other devices on the network. It is not known if cyber activity beyond defacement was planned or carried out. Footnote29 2023年には、非国家主体「CyberAv3ngers」を名乗るイラン革命防衛隊サイバー部隊が、ペンシルベニア州アリキッパ市水道局を侵害した。CyberAv3ngersはデフォルトパスワードのまま公開されていたUnitronics VisionシリーズOT機器を悪用し、システムインターフェースを反イスラエルメッセージで改竄した。この活動はイスラエル製OT機器を標的とした広範なキャンペーンの一環であり、西側諸国のイスラエル支援を弱体化させる意図があったと推測される。制御装置のユーザーインターフェース改ざんは、機器設定への完全なアクセス権限、およびネットワーク上の他機器への潜在的アクセス権限を意味する。改ざん以外のサイバー活動が計画・実行されたかは不明である。脚注29
In 2023 and 2024, the Cyber Centre and its partners published the following joint advisories to warn critical infrastructure organizations of a PRC state-sponsored cyber group known as Volt Typhoon: 2023年と2024年、サイバーセンターとそのパートナー機関は、Volt Typhoonとして知られる中国国家支援サイバーグループについて重要インフラ組織に警告するため、以下の共同勧告を発表した:
Joint guidance for executives and leaders of critical infrastructure organizations on protecting infrastructure and essential functions against PRC cyber activity ・重要インフラ組織の経営幹部・リーダー向け:中国サイバー活動からインフラと重要機能を防御するための共同ガイダンス
CSE and its Canadian Centre for Cyber Security release advisory on People's Republic of China state-sponsored cyber threat ・CSE及びカナダサイバーセキュリティセンターによる中華人民共和国国家支援サイバー脅威に関する勧告
Joint advisory on PRC state-sponsored actors compromising and maintaining persistent access to U.S. critical infrastructure and joint guidance on identifying and mitigating living off the land ・米国重要インフラへの持続的アクセス侵害・維持を行う中華人民共和国国家支援アクターに関する共同勧告及び「現地調達型攻撃」の識別・緩和に関する共同ガイダンス
Volt Typhoon activity has been observed since mid-2021 targeting the water sector and communication, transportation and energy organizations. Footnote30  Volt Typhoon strategically selects targets, pre-positioning itself in organizations that, if disrupted, would restrict military mobilization efforts and cause societal chaos. While the Cyber Center assesses that the direct threat to Canada’s CI by Volt Typhoon is less than that to the U.S., it is not insignificant, especially for Canadian organizations that rely on cross-border trade, infrastructure or operations. In addition, the likelihood of a cyber attack  impacting Canada’s CI is higher than it otherwise might be because of the connections between US and Canadian infrastructure. ボルト・タイフーンの活動は2021年半ば以降、水道部門及びコミュニケーション・運輸・エネルギー組織を標的として確認されている。脚注30 Volt Typhoonは戦略的に標的を選定し、妨害された場合に軍事動員努力を制限し社会混乱を引き起こす組織に事前配置する。サイバーセンターはVolt Typhoonによるカナダの重要インフラへの直接脅威は米国向けより低いと評価するが、特に国境を越えた貿易・インフラ・事業に依存するカナダ組織にとっては無視できない。さらに、米国とカナダのインフラが相互接続されているため、カナダの重要インフラがサイバー攻撃を受ける可能性は、そうでない場合よりも高い。
Non-state cyber actors: A growing threat 非国家主体によるサイバー攻撃:増大する脅威
The Cyber Centre warned in our National Cyber Threat Assessment 2025-2026 that non-state cyber actors are a growing threat to Canada’s critical infrastructure. The wide proliferation of easy-to-use disruptive cyber capabilities has contributed to the emergence of a large eco-system of hacktivists and other non-state actors who opportunistically target Canada and its allies for a variety of reasons. Often, this activity is intended to intimidate or coerce its targets or to influence Canadian public opinion or policy decisions related to geopolitical events outside Canada. サイバーセンターは「2025-2026年国家サイバー脅威評価」において、非国家主体によるサイバー攻撃がカナダの重要インフラに対する脅威として増大していると警告した。容易に入手可能な破壊的サイバー能力の広範な拡散が、ハクティビストやその他の非国家主体からなる大規模なエコシステムの出現を助長している。彼らは様々な動機からカナダやその同盟国を機会主義的に標的とする。こうした活動は、標的を威嚇・強制したり、カナダ国外の地政学的事件に関連する国内世論や政策決定に影響を与えたりする意図がしばしばある。
Non-state threat activity frequently targets public-facing websites through techniques including distributed denial-of-service (DDoS ) and defacement attacks. However, some non-state actors have adopted the practice of targeting and attempting to disrupt vulnerable Internet-connected OT systems. Although non-state actors have targeted OT across CI sectors, a notable proportion of this activity has implicated water system OT. 非国家主体の脅威活動は、分散型サービス妨害(DDoS)攻撃や改ざん攻撃などの手法で、一般向けウェブサイトを頻繁に標的とする。しかし一部の非国家主体は、脆弱なインターネット接続型OTシステムを標的とし、その妨害を試みる手法を採用している。非国家主体は重要インフラ分野全体でOTを標的にしているが、この活動のかなりの割合が水道システムのOTに関与している。
In May 2024, the Cyber Centre and partners issued a joint advisory warning of pro-Russia non-state actors targeting Internet-exposed industrial systems. These actors opportunistically identify targets using publicly available scanning tools to search for internet-exposed systems with vulnerable configurations, such as using default or weak passwords or not using multi-factor authentication. Footnote31  After gaining access to these systems, they attempt to disrupt the system by defacing system interfaces, making configuration changes, and manipulating system controls. This activity can result in OT systems operating in unintended ways, operational disruptions, and, potentially, physical damage to the systems. For example, in early 2024, a non-state actor compromised the OT systems controlling water storage tanks in the towns of Abernathy and Muleshoe, Texas and caused a tank overflow resulting in the loss of roughly 100,000 litres of water. Footnote32 2024年5月、サイバーセンターとパートナー機関は共同で、インターネットに公開された産業システムを標的とする親ロシア系非国家主体の脅威に関する警告を発出した。これらの主体は、公開されているスキャンツールを駆使して、デフォルトまたは脆弱なパスワードの使用、多要素認証の不使用など、脆弱性を持つインターネットに晒されたシステムを機会主義的に識別する。これらのシステムへのアクセス権を獲得した後、システムインターフェースの改ざん、設定変更、システム制御の操作によってシステムの妨害を試みる。この活動は、OTシステムの意図しない動作、運用上の混乱、そして潜在的にはシステムへの物理的損傷を引き起こす可能性がある。例えば2024年初頭、非国家主体がテキサス州アバーナシー及びミュールシューの貯水タンク制御OTシステムを侵害し、タンクの溢水を引き起こして約10万リットルの水を損失させた事例がある。脚注32
The Cyber Centre is aware of several instances of non-state actors similarly attempting to disrupt internet-exposed OT systems in Canada, including within water systems. We assess that non-state actors will very likely continue to opportunistically compromise and disrupt internet-exposed water system OT within Canada, especially in connection to major geopolitical events. サイバーセンターは、カナダ国内のインターネットに晒されたOTシステム(水道システムを含む)に対し、非国家主体が同様の妨害を試みた複数の事例を把握している。非国家主体が、特に主要な地政学的イベントに関連して、カナダ国内のインターネットに接続された水道システムのOTを機会主義的に侵害・妨害し続ける可能性が極めて高いと評価する。
Outlook: What this means for the Canadian water sector 展望:カナダの水道部門にとっての意義
In the Cyber Centre’s National Cyber Threat Assessment 2025-2026, we assess that the cyber threat to Canada’s critical infrastructure is almost certainly increasing. We judge that the primary threats to CI come from cybercrime, state-sponsored adversaries and, increasingly, from non-state actors. Changes in the geopolitical environment have elevated the profile and importance of critical infrastructure as a target for cyber activity. This has combined with the increasing interconnectivity of IT and OT in the water sector to increase the cyber threat to the water supply. サイバーセンターの「2025-2026年国家サイバー脅威評価」では、カナダの重要インフラに対するサイバー脅威がほぼ確実に増加していると評価している。重要インフラに対する主な脅威は、サイバー犯罪、国家支援アクター、そして増加傾向にある非国家主体から生じると判断する。地政学的環境の変化により、重要インフラはサイバー活動の標的として注目度と重要性を高めている。これに加え、水道分野におけるITとOTの相互接続性の高まりが、水道供給へのサイバー脅威を増大させている。
If Canada’s water infrastructure was to become a priority for state-sponsored actors, for example in the case of imminent or active armed conflict, we assess that any water system organizations with OT devices exposed to the Internet are almost certainly a target for disruptive cyber threat activity. Water systems may also be affected by cyber activity against other sectors due to the interconnected nature of infrastructure and supply chain complexity. For example, systems including water treatment plants, pumping stations, and distribution networks without backup power capacity may be vulnerable to disruptions in the energy sector, which may lead to interruptions in the treatment, storage and distribution of safe water to clients. 例えば差し迫った武力紛争や進行中の武力紛争において、カナダの水インフラが国家支援アクターの優先標的となった場合、インターネットに接続されたOT機器を有する水道システム組織は、ほぼ確実に破壊的サイバー脅威活動の標的となると評価する。インフラの相互接続性とサプライチェーンの複雑性により、水道システムは他セクターに対するサイバー活動の影響も受ける可能性がある。例えば、浄水場、ポンプ場、配水網を含むシステムで予備電源容量がない場合、エネルギー分野の混乱に対して脆弱であり、顧客への安全な水の処理・貯蔵・供給が中断される可能性がある。
Defending Canada’s water sector against cyber threats and related influence operations requires addressing both the technical and social elements of cyber threat activity. These include threats that originate in the digital supply chain, and the technology and skills shortage in the sector. There are almost certainly water system operators in Canada with exposed devices. The Cyber Centre encourages all critical infrastructure asset owners, including those in the water sector, to take appropriate mitigation measures to protect their systems against cyber threats. カナダの水道分野をサイバー脅威や関連する影響工作から守るには、サイバー脅威活動の技術的要素と社会的要素の両方に対処する必要がある。これにはデジタル供給網に起因する脅威や、同分野の技術・技能不足が含まれる。カナダには、ほぼ確実にデバイスが露出している水道システム運営者が存在する。サイバーセンターは、水道部門を含む全ての重要インフラ資産所有者に対し、サイバー脅威からシステムを保護するための適切な緩和措置を講じるよう促す。
Mitigation 緩和策
The Cyber Centre is dedicated to advancing cyber security and increasing the confidence of Canadians in the systems they rely on daily. This includes offering support to CI and other systems of importance to Canada. We approach security through collaboration, combining expertise from government, industry and academia. Working together, we can increase Canada’s resilience against cyber threats. Cyber security investments will allow OT asset operators to benefit from new technologies, while avoiding undue risks to the safe and reliable provision of critical services to Canadians. サイバーセンターは、サイバーセキュリティの向上と、カナダ国民が日常的に依存するシステムへの信頼強化に尽力している。これには、重要インフラ(CI)やカナダにとって重要なその他のシステムへの支援提供も含まれる。我々は、政府、産業界、学界の専門知識を結集した協働を通じてセキュリティに取り組む。協力することで、カナダはサイバー脅威に対するレジリエンスを高められる。サイバーセキュリティへの投資により、OT資産の運営者は新技術の恩恵を受けつつ、カナダ国民への重要サービスの安全かつ確実な提供に対する不必要なリスクを回避できる。
The following mitigation measures can help water systems operators prevent cyber threat actors from exploiting vulnerable systems, attacking devices and networks and stealing sensitive data. Each of the mitigations below are linked to the Cyber Centre’s Cyber Security Readiness Goals (CRGs). The CRGs are a set of baseline cyber security practices an organization can take to bolster their cyber security posture. Further details of each goal can be found in the Cross-Sector Cyber Security Readiness Goals Toolkit. The mitigations below are highlighted to help prevent and reduce cyber attacks against the water sector. 以下の緩和は、水道システム運営者が脆弱性の悪用、デバイスやネットワークへの攻撃、機密データの窃取といったサイバー脅威アクターを防ぐのに役立つ。下記の各緩和は、サイバーセンターのサイバーセキュリティ準備目標(CRG)に関連付けられている。CRGとは、組織がサイバーセキュリティ態勢を強化するために実施できる基本対策のセットである。各目標の詳細は「セクター横断型サイバーセキュリティ準備目標ツールキット」に記載されている。以下の緩和は、水道分野に対するサイバー攻撃の防止・軽減を目的として強調されている。
Protect all management interfaces 全ての管理インターフェースを防御する
Phishing-resistant MFA (CRG 2.7) フィッシング耐性のある多要素認証(MFA)(CRG 2.7)
Secure administrator workstation (CRG 2.21) 管理者のワークステーションを防御する(CRG 2.21)
Secure the supply chain サプライチェーンの保護
Vendor/supplier cyber security requirements (CRG 0.2) ベンダー/サプライヤーに対するサイバーセキュリティ要件(CRG 0.2)
Prevent credential theft 認証情報の窃取防止
Changing default passwords (CRG 2.0) デフォルトパスワードの変更(CRG 2.0)
Email security (CRG 2.11) 電子メールのセキュリティ(CRG 2.11)
Basic and OT cyber security training (CRG 2.8) 基本およびOT(オペレーショナルテクノロジー)向けサイバーセキュリティ研修(CRG 2.8)
Disable macros by default (CRG 2.12) マクロのデフォルト無効化(CRG 2.12)
Protect internet-accessible vulnerable assets and services インターネット経由でアクセス可能な脆弱な資産とサービスを防御する
No exploitable services on the internet (CRG 2.20) インターネット上に悪用可能なサービスを置かない(CRG 2.20)
Limit OT connections to public Internet (CRG 2.18) OT接続をパブリックインターネットに制限する(CRG 2.18)
Network segmentation (CRG 2.5) ネットワークセグメンテーション(CRG 2.5)
Mitigating known vulnerabilities (CRG 1.1) 既知の脆弱性を緩和する(CRG 1.1)
Improve cyber security incident response capability サイバーセキュリティインシデント対応能力を向上させる
Incident response plans (CRG 1.3) インシデント対応計画(CRG 1.3)
Asset inventory and network topology (CRG 1.0) 資産インベントリとネットワークトポロジー(CRG 1.0)
System backups and redundancy (CRG 2.14) システムバックアップと冗長性(CRG 2.14)

 

 

 

 

| | Comments (0)

2025.12.19

英国 NCSC Web PKIにおける証明書のプロビジョニングと管理 (2025.12.10)

こんにちは、丸山満彦です。

NCSCが、Web PKIにおける証明書のプロビジョニングと管理に関するガイダンスを公表しています...

証明書の管理はきちんとしましょうということですね...

 

Reduce the likelihood and impact of compromise 侵害の可能性と影響を低減する
1.1 Protect your private keys 1.1 秘密鍵の防御
1.2 Do not rely upon certificate revocation 1.2 証明書失効に依存しない
1.3 Scope certificates according to your infrastructure 1.3 インフラストラクチャに応じた証明書のスコープ設定
1.4 List specific domains rather than using wildcard certificates 1.4 ワイルドカード証明書ではなく特定のドメインを列挙する
1.5 Use CAA DNS records 1.5 CAA DNSレコードの使用
Reduce the likelihood of weak or expired certificates 脆弱な証明書や期限切れ証明書の発生確率を減らす
2.1 Use automated certificate provisioning/renewal 2.1 自動化された証明書プロビジョニング/更新の利用
2.2 Be prepared for shorter validity periods 2.2 有効期間の短縮に備える
2.3 Use modern cryptography 2.3 最新の暗号技術を使用する
2.4 Prefer Domain Validation certificates for all use cases 2.4 全てのユースケースでドメイン妥当性確認証明書を優先する
Monitor certificate issuance and renewal 証明書の発行と更新を監視する
3. Monitor certificate issuance and renewal 3. 証明書の発行と更新を監視する

 

 

UK NCSC

・2025.12.10 Provisioning and managing certificates in the Web PKI

 

Provisioning and managing certificates in the Web PKI Web PKI における証明書のプロビジョニングと管理
How service owners should securely provision and manage certificates in the Web PKI. サービス所有者が Web PKI において証明書を安全にプロビジョニングし管理する方法。
in this guidance 本ガイダンスの内容
Introduction 序論
Threats to the Web PKI Web PKI に対する脅威
Reduce the likelihood and impact of compromise 侵害の可能性と影響を低減する
Reduce the likelihood of weak or expired certificates 脆弱な証明書や期限切れ証明書の発生可能性を低減する
Monitor certificate issuance and renewal 証明書の発行と更新を監視する
Summary 概要
Certificates are an important part of providing encryption services. They are used to identify and authenticate clients and gateways at the point when encrypted connections are established. This guidance helps architects, designers and engineers to make appropriate choices when obtaining and managing certificates to authenticate their online services to users. 証明書は暗号化サービスを提供する上で重要な要素である。暗号化された接続が確立される時点で、クライアントやゲートウェイを識別・認証するために使用される。本ガイダンスは、アーキテクト、設計者、エンジニアが、ユーザーに対してオンラインサービスを認証するための証明書を取得・管理する際に適切な選択を行うのに役立つ。
Note: 注記:
This guidance focuses on server authentication rather than client authentication. Most use cases for client authentication are better served with a privately hosted Public Key Infrastructure (PKI), which the NCSC address in separate guidance. 本ガイダンスはクライアント認証ではなくサーバー認証に焦点を当てている。クライアント認証のほとんどのユースケースは、NCSCが別のガイダンスで扱うプライベートにホストされた公開鍵基盤(PKI)の方が適している
Introduction 序論
In the Web Public Key Infrastructure (Web PKI), certificates are used to demonstrate ownership of a domain or service to the end user. A third party, known as a Certificate Authority (CA): Web公開鍵基盤(Web PKI)では、証明書はエンドユーザーに対してドメインやサービスの所有権を示すために使用される。認証局(CA)と呼ばれるサードパーティは以下のことを行う:
・verifies that the holder of a particular asymmetric key pair controls a given domain ・特定の非対称鍵ペアの保持者が指定されたドメインを管理していることを検証する
・creates a secure cryptographic association between the public key and the domain in a data structure called a certificate ・証明書と呼ばれるデータ構造内で、公開鍵とドメインの間に安全な暗号的関連付けを作成する
This certificate is then used for authenticating TLS connections that serve data to users. This authentication stems from two facts: この証明書は、ユーザーにデータを提供するTLS接続の認証に使用される。この認証は次の二つの事実に基づいている:
1. Only the holder of the private key associated to any given certificate can generate signatures that will correctly verify using the public key in that certificate. 1. 特定の証明書に関連付けられた秘密鍵の保持者だけが、その証明書の公開鍵で正しく検証される署名を生成できる。
2. End users trust the CA to verify that the legitimate domain-owner holds the private key. 2. エンドユーザーは、正当なドメイン所有者が秘密鍵を保持していることをCAが検証すると信頼している。
In a closed ecosystem, this can be achieved by creating and managing a private PKI which is described in the NCSC’s Design and build a privately hosted Public Key Infrastructure guidance. However, in an open ecosystem such as the internet, the private PKI approach would result in a bootstrapping problem; how does the user – who has had no prior contact with the domain or service – gain trust in the private root CA? 閉鎖的な環境では、NCSCの「プライベート公開鍵基盤の設計と構築」ガイドラインで説明されているように、プライベートPKIを構築・管理することでこれを実現できる。しかしインターネットのようなオープンな環境では、プライベートPKIアプローチはブートストラップ問題を引き起こす。つまり、ドメインやサービスと事前に関わったことのないユーザーが、どうやってプライベートルートCAを信頼するかという問題だ。
To resolve this problem, the Web PKI was created. In the Web PKI, web browsers and operating systems maintain ‘trust stores’ of public root CAs, and any certificate which is cryptographically linked to one of these public root CAs will itself be trusted. この問題を解決するため、Web PKIが考案された。Web PKIでは、ウェブブラウザやOSが「信頼ストア」として公開ルートCAを保持しており、これらの公開ルートCAのいずれかと暗号的に関連付けられた証明書は、それ自体も信頼される。
Inclusion of a public root CA in a given trust store is subject to the CA operator demonstrating that it is meeting the standards agreed by the CA/Browser Forum, and any other rules the trust store may choose to impose. The CA/Browser Forum standards provide assurance that a CA is operating correctly and will only issue certificates to entities who can prove they control a domain or service. 特定の信頼ストアへの公開ルートCAの登録は、CA運営者がCA/ブラウザフォーラムで合意された標準、および信頼ストアが課すその他の規則を満たしていることを証明することを条件とする。CA/ブラウザフォーラムの標準は、CAが適切に運営され、ドメインやサービスを管理していることを証明できる事業体にのみ証明書を発行することを保証する。
To summarise; users can trust a certificate as legitimate if the CA that issued it has a public root in the trust store. 要約すると、ユーザーは、発行元CAの公開ルートが信頼ストアに登録されている場合、その証明書を正当なものとして信頼できる。
Threats to the Web PKI Web PKIに対する脅威
If you run a service dependent on the Web PKI, there are three principal threats you should be concerned about: Web PKIに依存するサービスを運営する場合、主に以下の3つの脅威に注意すべきである:
1. An attacker obtains a certificate for your domain, with a private key that they control. This enables them to impersonate you, so they can exploit the trust users have in your brand to deliver misinformation or malware. The primary mitigations to this threat are around reducing the likelihood and impact of compromise. 1. 攻撃者があなたのドメインの証明書を入手し、その秘密鍵を制御する。これにより攻撃者はあなたになりすますことができ、ユーザーがあなたのブランドに抱く信頼を悪用して誤情報やマルウェアを配信する。この脅威に対する主な緩和は、侵害の可能性と影響を低減することにある。
2. Certificate mis-management results in you having a weakened certificate, or no certificate. This means that users have no way of securely connecting to your service, at best meaning their browser will prevent them from connecting, and at worst meaning that they will connect insecurely and an attacker will be able to break the confidentiality of this connection. The primary mitigations to this threat are around reducing the likelihood of weak or expired certificates. 2. 証明書の管理ミスにより、脆弱な証明書が発行されるか、証明書が発行されない状態になる。これによりユーザーは安全にサービスに接続できなくなる。最悪の場合、ブラウザが接続を拒否せず、攻撃者が通信の機密性を侵害できる状態となる。主な緩和は脆弱な証明書や期限切れ証明書の発生確率を減らすことだ。
3. You’re unaware that either of the above threats have been realised, meaning that you’re slower to react so the damage is prolonged and affects more users. The primary mitigation to this threat is to monitor certificate issuance and renewal. 3. 上記いずれかの脅威が発生したことに気付かない場合、対応が遅れ被害が長期化しより多くのユーザーに影響する。この脅威に対する主な緩和は、証明書の発行と更新を監視することである。
The recommendations in this guidance are targeted at mitigating one or more of these threats and are grouped as such. 本ガイダンスの推奨事項は、これらの脅威の一つまたは複数を軽減することを目的としており、そのように分類されている。
Reduce the likelihood and impact of compromise 侵害の可能性と影響を低減する
1.1 Protect your private keys 1.1 秘密鍵の保護
The security provided by a certificate largely stems from the secrecy of the private key, so it is absolutely imperative that you protect the confidentiality of your private keys. If an attacker can obtain the private key for your domain, then they can serve malicious content which appears to come from that domain. 証明書のセキュリティは主に秘密鍵の機密性に基づくため、秘密鍵の防御は絶対的に不可欠である。攻撃者がドメインの秘密鍵を入手できれば、そのドメインからのように見せかけた悪意のあるコンテンツを配信できる。
It is also important to protect the integrity and availability of your private key. If an attacker can modify or deny access to a private key, then you will not be able to generate valid signatures. This means users can no longer trust your content, and will be unable to connect securely, disrupting service availability and potentially causing reputational damage. 秘密鍵の完全性と可用性を防御することも重要である。攻撃者が秘密鍵を改ざんまたはアクセス拒否できれば、有効な署名の生成ができなくなる。これによりユーザーはコンテンツを信頼できなくなり、安全な接続が不可能となる。サービス可用性が妨げられ、評判の毀損を招く恐れがある。
We do not recommend keeping backups of private keys used in the Web PKI, as this introduces a new confidentiality risk (as each backup key also needs to be securely managed, which often outweighs the availability risk you’re trying to mitigate). If a private key is lost or corrupted, obtaining a new certificate is generally safer and easier than keeping a backup and restoring the key. Web PKIで使用する秘密鍵のバックアップ保持は推奨しない。新たな機密性リスクを生むためだ(各バックアップ鍵も安全に管理する必要があり、緩和しようとしている可用性リスクを上回る場合が多い)。秘密鍵が紛失または破損した場合、バックアップを保持して復元するよりも、新しい証明書を取得する方が一般的に安全かつ容易である。
If hosting your service in the cloud then we recommend using the native cloud key management service (KMS) to generate and protect your private keys. The KMS should be trusted to perform these roles, and options such as exporting keys for backup or ‘bring your own key’ (BYOK) / ‘hold your own key’ (HYOK) should be avoided. As a general rule when configuring the KMS, you should choose options that reduce human access to private keys. サービスをクラウドでホストする場合、ネイティブのクラウド鍵管理サービス(KMS)を使用して秘密鍵を生成・防御することを推奨する。KMSはこれらの役割を遂行できる信頼性を持つべきであり、バックアップ目的での鍵のエクスポートや「鍵の持ち込み(BYOK)」/「鍵の保持(HYOK)」といったオプションは避けるべきだ。KMSを設定する際の一般的な原則として、秘密鍵への人的アクセスを減らす選択肢を選ぶべきである。
1.2 Do not rely upon certificate revocation 1.2 証明書失効に依存しない
Certificate revocation is the process by which certificates can be invalidated before they naturally expire. There are several events that would warrant revocation, ranging from known or suspected private key compromise through to simply not running the domain or service any longer (and thus not needing the certificate). In order to revoke a certificate, the issuing CA adds the certificate to a publicly available list known as a Certificate Revocation List (CRL). Then, when validating a certificate, the client verifies that the certificate they are attempting to authenticate is not contained in the CRL of the issuing CA, implying that it remains valid. 証明書失効とは、証明書が自然に期限切れになる前に無効化できるプロセスである。失効を正当化する事象は複数あり、秘密鍵の侵害が判明または疑われる場合から、単にドメインやサービスを運用しなくなった場合(したがって証明書が不要になった場合)まで多岐にわたる。証明書を失効させるには、発行CAが証明書を「証明書失効リスト(CRL)」と呼ばれる公開リストに追加する。その後、証明書の妥当性確認を行う際、クライアントは認証しようとしている証明書が発行CAのCRLに含まれていないことを確認する。これにより、その証明書が有効であることが示される。
In the Web PKI, CRLs grow too large to be practical for clients to use directly, and so most browsers have innovated bespoke solutions to use in certificate chain validation. Common examples include CRLSets, which selects a subset of the CRLs to use (generally only high profile and/or CA certificates), and CRLite, which embeds the revocation information contained in the CRLs into a more compact data structure, but such solutions are not ubiquitous across all clients. Web PKIにおいて、CRLはクライアントが直接使用するには大きくなりすぎる。そのため、ほとんどのブラウザは証明書チェーンの検証に使用する独自の解決策を開発している。代表例として、CRLのサブセット(通常は重要度が高い証明書やCA証明書のみ)を選択するCRLSetsや、CRLの失効情報をよりコンパクトなデータ構造に埋め込むCRLiteがあるが、これらの解決策は全てのクライアントに普及しているわけではない。
A mechanism called Online Certificate Status Protocol (OCSP) was designed to avoid end users having to obtain and store massive CRLs. In this case, the OCSP responder is responsible for obtaining the up-to-date CRL from the CA and checks the certificate status on behalf of the end user. This service is costly to run since it needs to be highly available, resilient and scalable to ensure that OCSP provides any security benefit, and is not mandatory for CAs to implement. Additionally, there are privacy concerns with OCSP as in order to obtain revocation information, the client has to divulge the domain or service it wishes to access to the OCSP responder. オンライン証明書ステータスプロトコル(OCSP)と呼ばれる仕組みは、エンドユーザーが巨大なCRLを取得・保存する手間を省くために設計された。この場合、OCSP対応はCAから最新のCRLを取得し、エンドユーザーに代わって証明書ステータスを確認する責任を負う。このサービスは、OCSPがセキュリティ上の利点を提供するために高可用性、レジリエンス、スケーラビリティを必要とするため運用コストが高く、CAが実装する義務はない。さらにOCSPにはプライバシー上の懸念がある。失効情報を取得するため、クライアントはアクセスしたいドメインやサービスをOCSP対応に開示しなければならないからだ。
An alternative is OCSP stapling, in which the domain or service obtains the OCSP response for its certificate and provides it to clients itself and so protects the client privacy. However, OCSP stapling is not particularly well supported in the Web PKI. 代替手段としてOCSPステープリングがある。これはドメインやサービスが自身の証明書のOCSP応答を取得し、クライアントに直接提供することでクライアントのプライバシーの防御を図る方式だ。しかしOCSPステープリングはWeb PKIにおいて特に広くサポートされていない。
In summary, neither CRLs nor OCSPs as they’re currently deployed provide an ideal solution to the revocation problem for the Web PKI. Despite this, in response to a revocation-worthy event, we still strongly recommend that a domain or service owner revokes this key through the CA (possibly via your certificate management automation software) and gets it added to the CRL. However, this should be done in the knowledge that it cannot be guaranteed that this revocation status will percolate through to all end users. 要約すると、現在展開されているCRLもOCSPも、Web PKIにおける失効問題に対する理想的な解決策とはならない。それにもかかわらず、失効に値する事象が発生した場合、ドメインまたはサービスの所有者はCA(場合によっては証明書管理自動化ソフトウェア経由)を通じて当該鍵を失効させ、CRLへの追加を強く推奨する。ただし、この失効ステータスが全てのエンドユーザーに確実に伝播する保証はないことを認識した上で実施すべきである。
1.3 Scope certificates according to your infrastructure 1.3 インフラストラクチャに応じた証明書のスコープ設定
As a general principle, any given infrastructure device should only have access to the private keys necessary for its role. Furthermore, any certificates associated to these private keys should be scoped to cover only the domains being served by that device. This prevents unnecessary private key proliferation and helps to reduce the chance and impact of any compromise. 一般的な原則として、特定のインフラストラクチャデバイスは、その役割に必要な秘密鍵のみにアクセスできるべきである。さらに、これらの秘密鍵に関連付けられた証明書は、当該デバイスがサービスを提供するドメインのみをカバーするように範囲を限定すべきである。これにより、不要な秘密鍵の拡散を防ぎ、侵害の可能性と影響を軽減できる。
If you are serving multiple domains from the same infrastructure hardware, you don’t need to arbitrarily segregate these under different certificates, as compromising a single device compromises all private keys stored on it. A single certificate, with the specific domains listed in the certificate’s Subject Alternative Names (SAN) extension, will likely be sufficient and gives you fewer certificates to manage which can be beneficial. This said, if you have a large number of SANs in your certificate then this can increase loading times for users connecting to your service. If you’re using certificate management automation software then, depending on your tooling, the additional key and certificate management overhead from having a certificate per domain may be minimal, and so this approach could be suitable. 同一のインフラハードウェアで複数のドメインをサービス提供する場合、異なる証明書でこれらを恣意的に分離する必要はない。単一のデバイスが侵害されれば、そこに保存されている全ての秘密鍵が侵害されるためである。特定のドメインを証明書のSubject Alternative Names(SAN)拡張に列挙した単一の証明書で十分であり、管理する証明書数を減らせる利点がある。ただし、証明書内のSANが大量にある場合、サービスへの接続時のユーザーの読み込み時間が長くなる可能性がある。証明書管理自動化ソフトウェアを使用している場合、ツールによってはドメインごとに証明書を発行する追加の鍵・証明書管理オーバーヘッドが最小限に抑えられるため、このアプローチが適している可能性がある。
Another consideration is whether or not to use IP Address Certificates (certificates issued to an IP address rather than a domain name). Within the web, IP addresses are typically much more ephemeral and changeable than domain names. Since the majority of users will be connecting to your services via domain names – and relying on DNS to find the associated IP address – for most use cases domain name certificates provide greater assurance of identity and so should be preferred. IP Address Certificates are necessary for some niche cases, such as authenticating connections to secure DNS servers, or securing connections where you don’t have a domain name (for example to IoT devices). もう一つの考慮点は、IPアドレス証明書(ドメイン名ではなくIPアドレスに発行される証明書)を使用するかどうかである。ウェブ環境では、IPアドレスはドメイン名に比べてはるかに一時的で変更されやすい。大多数のユーザーはドメイン名経由でサービスに接続し、DNSに依存して関連IPアドレスを解決するため、ほとんどのユースケースではドメイン名証明書の方が身元保証の確実性が高く、優先すべきである。IPアドレス証明書が必要な特殊なケースとしては、セキュアDNSサーバーへの接続認証や、ドメイン名を持たない接続(IoTデバイスなど)の保護が挙げられる。
1.4 List specific domains rather than using wildcard certificates 1.4 ワイルドカード証明書ではなく特定のドメインを列挙する
A wildcard certificate has a wildcard character (*) in the domain name field, which means it is valid for any subdomains fitting the pattern (so *.example.com would be valid for http://www.example.com , mail.example.com and whateveryouwant.example.com). If you’re serving these domains from distinct infrastructure hardware, then using a single wildcard certificate to cover them all is not recommended. A compromised wildcard certificate could be used by an attacker-created subdomain to appear legitimate (as *.example.com would also be valid for an attacker created nefarious.example.com). ワイルドカード証明書はドメイン名欄にワイルドカード文字(*)を含む。これはパターンに合致するあらゆるサブドメインで有効であることを意味する(例:*.example.com は http://www.example.com、mail.example.com、whateveryouwant.example.com でも有効)。これらのドメインを別々のインフラハードウェアで提供している場合、単一のワイルドカード証明書で全てをカバーすることは推奨されない。侵害されたワイルドカード証明書は、攻撃者が作成したサブドメインが正当に見せかけるために悪用される可能性がある(例:*.example.com は攻撃者が作成した nefarious.example.com にも有効となる)。
We recommend that the use of wildcard certificates should be limited to the cases where wildcard certificates are genuinely necessary, for example where subdomains are dynamic as they can be for per-customer subdomains). Where possible, specifying individual domains should be preferred. ワイルドカード証明書の使用は、真に必要な場合に限定すべきだ。例えば顧客ごとのサブドメインのように動的に生成されるサブドメインの場合などである。可能な限り、個別のドメインを指定することを優先すべきだ。
1.5 Use CAA DNS records 1.5 CAA DNSレコードの使用
By default, any CA is permitted to issue a certificate for any domain. Using a Certificate Authority Authorisation (CAA) DNS record, as defined in RFC 8659, you can restrict this so that only your chosen CA is permitted to issue certificates for your domain. This works because CAs are required by the CA/Browser Forum Requirements to inspect the CAA record to ensure that they are a permitted CA for a domain before issuing a certificate to that domain. It is worth noting that when searching for CAA records, the CA will always respect the CAA closest to the domain name you’re requesting a certificate for (so any CAA record for a subdomain will override the CAA on the domain). デフォルトでは、どの認証局(CA)も任意のドメインに対して証明書を発行できる。RFC 8659で定義されるCAA(Certificate Authority Authorisation)DNSレコードを使用すれば、指定したCAのみがドメインの証明書を発行できるように制限できる。これは、CA/Browser Forum要件により、CAが証明書を発行する前にCAAレコードを検査し、自身が許可されたCAであることを確認する義務があるため機能する。なお、CAAレコードを検索する際、CAは常に証明書を要求しているドメイン名に最も近いCAAを優先する(つまりサブドメインのCAAレコードは親ドメインのCAAを上書きする)。
CAA records are of particular use in prohibiting the issuance of wildcard certificates. By setting a CAA record that has an “issuewild” Property Tag which does not identify an authorised CA (that is, with Value “;”) you are stating that no CA has the authority to issue wildcard certificates in the jurisdiction of the CAA record. If wildcards are necessary on a particular subdomain, then you can override a domain wide wildcard ban with an issuewild CAA record on that subdomain identifying your chosen CA. CAAレコードは特にワイルドカード証明書の発行を禁止するのに有用である。「issuewild」プロパティタグを持つCAAレコードを設定し、許可されたCAを特定しない(つまり値を「;」とする)ことで、そのCAAレコードの管轄区域において、いかなるCAもワイルドカード証明書を発行する認可を持たないことを宣言していることになる。特定のサブドメインでワイルドカードが必要なら、そのサブドメインにissuewild CAAレコードを設定し、選択したCAを識別することで、ドメイン全体のワイルドカード禁止をオーバーライドできる。
The NCSC recommend creating a CAA record for all of your domains, and further recommend that the CAA record be as specific as possible (by using, for example, the “validationsmethods” and “accounturi” Parameters as defined in RFC 8657 where supported). CAs that help you to set a correct CAA record should be preferred. NCSCは、全てのドメインに対してCAAレコードを作成することを推奨している。さらに、CAAレコードは可能な限り具体的に設定すべきだと勧告している(例えば、サポートされている場合にはRFC 8657で定義された「validationsmethods」や「accounturi」パラメータを使用する)。適切なCAAレコードの設定を支援するCAを優先すべきだ。
Reduce the likelihood of weak or expired certificates 脆弱な証明書や期限切れ証明書の発生確率を減らす
2.1 Use automated certificate provisioning/renewal 2.1 自動化された証明書プロビジョニング/更新の利用
Certificates are issued with a fixed time period during which they are valid. When your current certificate is about to expire, you must contact the CA to obtain a new certificate which will be valid further into the future. The use of automated certificate management protocols (such as ACME) reduces the manual burden of managing certificates and prevents human error from allowing certificates to expire, leaving you without a valid certificate. If you don’t have a valid certificate then clients cannot securely connect to your service, disrupting availability and potentially causing reputational damage. 証明書は有効期間が固定されて発行される。現在の証明書が失効間近になると、CAに連絡して将来にわたって有効な新規証明書を取得する必要がある。ACMEなどの自動化された証明書管理プロトコルを利用すれば、手動での証明書管理負担が軽減され、人的ミスによる証明書失効を防げる。有効な証明書がない場合、クライアントはサービスに安全に接続できず、可用性が妨げられ、評判の低下を招く可能性がある。
When managing your certificates with an automated protocol, an important decision is the renewal timeframe (that is, the time before the current certificate expires that you renew). You should select a timeframe that is sufficient to both detect and fix any renewal issues before the old certificate expires. CAs and/or certificate management automation software usually have recommended default timeframes to renew when there is between ¼ and ⅓ of the certificate validity period remaining, which will be appropriate in most cases. 自動プロトコルで証明書を管理する際、重要な判断は更新時期(現行証明書の有効期限前に更新するタイミング)である。古い証明書の有効期限前に更新問題を検知・修正するのに十分な期間を設定すべきだ。認証局(CA)や証明書管理自動化ソフトウェアは通常、証明書の有効期間が残り4分の1から3分の1の時点で更新することを推奨するデフォルト期間を設定している。これはほとんどのケースで適切である。
Certificate management automation software has the authority to act on your behalf and request certificates for your domain. It is therefore important to appropriately secure this software (and the credentials for any accounts used to interact with it) to ensure that the software cannot be subverted. 証明書管理自動化ソフトウェアは、ユーザーに代わってドメインの証明書を要求する権限を持つ。したがって、このソフトウェア(およびそれとのやり取りに使用されるアカウントの認証情報)を適切に保護し、ソフトウェアが悪用されないようにすることが重要である。
If using ACME, and your CA supports it, you should consider using the ACME Renewal Information (ARI) extension as defined in RFC 9773, which provides an automated way for the CA to request that you renew early (and can therefore prevent you being left ‘certificateless’ in the case that the CA needs to revoke your certificate early). Additionally, the extension can help CAs manage load spikes and so prevent your renewal from being delayed. ACMEを使用する場合、かつCAが対応しているなら、RFC 9773で定義されたACME更新情報(ARI)拡張機能の利用を検討すべきだ。これはCAが自動で早期更新を要求する手段を提供し(したがってCAが証明書を早期に失効させる必要が生じた場合でも「証明書なし」状態になるのを防げる)、更新を促進する。さらに、この拡張機能はCAが負荷の急増を管理するのに役立ち、更新の遅延を防ぐことができる。
When renewing a certificate it is good practice to generate a new private key for the new certificate, rather than re-using the current one. By changing the private key, you mitigate the risk posed by undetected compromise of your private key (since the old private key will be of no use to an attacker when the old certificate expires). 証明書を更新する際には、現在の秘密鍵を再利用するのではなく、新しい証明書用に新しい秘密鍵を生成することが望ましい。秘密鍵を変更することで、秘密鍵が検出されずに侵害された場合に生じるリスクを緩和できる(古い証明書が失効すれば、攻撃者は古い秘密鍵を無効化できるため)。
2.2 Be prepared for shorter validity periods 2.2 有効期間の短縮に備える
The validity period for your certificates is a decision that needs to balance the impact of a certificate being compromised with the threat to service availability from failed renewal. For example, a long validity period will result in a greater time period that a compromised certificate can be misused before it naturally expires, but provides a greater time period in which to fix any issues that arise in renewal. 証明書の有効期間は、証明書侵害の影響と更新失敗によるサービス可用性への脅威を天秤にかけた判断が必要だ。例えば、有効期間が長いと、侵害された証明書が自然に失効するまでの悪用可能期間が長くなるが、更新時に発生する問題を修正する時間も長くなる。
In general, CAs will offer a default validity period which should be appropriate for most use cases. Some CAs also offer ‘short-lived subscriber certificates’, defined by the CA/Browser forum as certificates with a validity period less than or equal to 10 days (reducing to 7 days in 2026) and exempt from some of the CA/Browser requirements around revocation due to their short validity period. 一般的に、認証局(CA)はデフォルトの有効期間を提供しており、これはほとんどのユースケースに適している。一部のCAは「短期サブスクライバー証明書」も提供している。これはCA/ブラウザフォーラムにより、有効期間が10日以下(2026年には7日に短縮)の証明書と定義され、有効期間が短いため失効に関するCA/ブラウザ要件の一部が免除される。
The general trend in the ecosystem is towards shorter validity periods for certificates and the CA/Browser Forum has passed a ballot to reduce the maximum certificate validity periods permitted in the Web PKI in a series of steps, culminating in 2029 with 47 days. You should prepare for this and understand the impact of any changes that your CA will be implementing to comply with the CA/Browser Forum’s timelines. As recommended above, using certificate management automation software will reduce the manual effort required for the frequent renewal of certificates with shorter validity periods. Given the shortening of certificate validity periods, it is imperative to have effective monitoring on the certificate management automation software to enable any issues to be identified, diagnosed and resolved before the current certificate expires. エコシステム全体では証明書の有効期間短縮が主流となっており、CA/ブラウザフォーラムはWeb PKIにおける最大有効期間を段階的に短縮する決議を可決した。最終的には2029年に47日となる。この変更に備え、自社のCAがCA/ブラウザフォーラムのスケジュールに準拠するため実施する変更の影響を理解しておく必要がある。前述の通り、証明書管理自動化ソフトウェアを利用すれば、有効期間が短い証明書の頻繁な更新に必要な手作業を削減できる。証明書の有効期間が短縮される中、現行の証明書が失効する前に、問題を特定(Identify)・診断・解決できるよう、証明書管理自動化ソフトウェアの効果的な監視体制を構築することが不可欠である。
2.3 Use modern cryptography 2.3 最新の暗号技術を使用する
Using outmoded algorithms can leave you vulnerable to cryptographic attacks. For the Web PKI, the CA/Browser Forum specifies supported algorithms, introducing new algorithms (when the standards are sufficiently mature) and retiring old algorithms when they are superseded. However, it is not necessarily true that all permitted algorithms will be appropriate for your given use case. Suggested algorithms and parameter sets can be found in the NCSC guidance on Using TLS to protect data. 時代遅れのアルゴリズムを使用すると、暗号攻撃に対する脆弱性が生じる。Web PKIにおいては、CA/Browser Forumがサポート対象アルゴリズムを規定し、新規アルゴリズム(標準が十分に成熟した場合)を導入するとともに、旧式アルゴリズムが代替された際には廃止する。ただし、許可された全てのアルゴリズムが特定のユースケースに適しているとは限らない。推奨されるアルゴリズムとパラメータセットは、NCSCの「TLSを用いたデータ保護」ガイダンスで確認できる。
The classical cryptographic algorithms currently used within the Web PKI are vulnerable to the threat posed by cryptographically relevant quantum computers, and so in the coming years there will be a necessary transition to post-quantum cryptography. For more information please refer to the NCSC’s guidance on Timelines for migration to post-quantum cryptography. 現在Web PKI内で使用されている古典暗号アルゴリズムには、暗号学的に有効な量子コンピュータによる脅威に対して脆弱性がある。したがって今後数年間で、ポスト量子暗号への移行が必須となる。詳細はNCSCの「耐量子暗号への移行スケジュール」ガイダンスを参照のこと。
2.4 Prefer Domain Validation certificates for all use cases 2.4 全てのユースケースでドメイン妥当性確認証明書を優先する
When issuing a certificate to an entity, the CA is responsible for verifying that the entity requesting the certificate has control over the domain they’re requesting a certificate for. Fundamentally this is to ensure that a malicious actor cannot pretend to own a domain they don’t. The CA/Browser Forum defines several methods for performing domain validation (such as DNS Change, TLS Using ALPN and Agreed-Upon Change to Website - ACME) and we suggest selecting the most practical method supported by your chosen CA and certificate management automation software. 証明書を発行する際、認証局(CA)は証明書を要求する事業体が、その証明書を要求するドメインを管理していることを確認する責任がある。これは基本的に、悪意のある事業体が所有していないドメインを所有していると偽装できないようにするためだ。CA/Browser Forumはドメイン検証の実施方法(DNS変更、ALPNを使用したTLS、ウェブサイトへの合意変更(ACME)など)を複数定義している。選択したCAと証明書管理自動化ソフトウェアがサポートする最も実用的な方法を選択することを推奨する。
The resultant certificate is known as a Domain Validation (DV) certificate. Some CAs also offer Organization Validation (OV) and/or Extended Validation (EV) certificates which require additional checks on the organisation making the request (such as confirming physical address, phone number and company records). Whilst these additional assertions are encoded within the certificate, web browsers now treat DV, OV and EV certificates as equivalent and so there are no functional or security benefits to OV or EV certificates. In addition, the supplementary validation checks required when issuing OV/EV certificates usually require manual human intervention and so cannot be fully automated. Therefore, the NCSC recommends that DV certificates should be preferred in all use cases. こうして発行される証明書はドメイン妥当性確認(DV)証明書と呼ばれる。一部のCAは組織妥当性確認(OV)や拡張検証(EV)証明書も提供しており、これらは申請組織に対する追加確認(物理的住所、電話番号、法人登記の確認など)を必要とする。これらの追加主張は証明書内にエンコードされるが、ウェブブラウザは現在DV、OV、EV証明書を同等と扱うため、OVやEV証明書に機能・セキュリティ上の利点はない。さらに、OV/EV証明書発行時に必要な追加妥当性確認チェックは通常、人的介入を要するため完全自動化できない。したがってNCSCは、全てのユースケースにおいてDV証明書を優先するよう推奨している。
Monitor certificate issuance and renewal 証明書の発行と更新を監視する
3. Monitor certificate issuance and renewal 3. 証明書の発行と更新を監視する
You should monitor your certificate renewal to ensure that any certificates you have in use don’t expire unexpectedly without having been renewed, for example due to misconfiguration, hardware failure or software failure. This is equally important for both manual renewal and when employing certificate management automation software, as in both cases early warning gives you more time to diagnose and fix any issues. In order to do this effectively, you will need to maintain awareness of which certificates are in use where, and we suggest this forms part of your general domain name management. 使用中の証明書が、設定ミスやハードウェア故障、ソフトウェア障害などにより予期せず失効しないよう、更新状況を監視すべきだ。これは手動更新時と証明書管理自動化ソフトウェア利用時、いずれの場合にも同等に重要である。いずれの場合も早期警告があれば、問題の診断と修正に充てる時間が確保できるからだ。これを効果的に行うには、どの証明書がどこで使用されているかを把握しておく必要がある。これは一般的なドメイン名管理の一部として実施することを推奨する。
Additionally, monitoring the access control on your private keys ensures that you have a full picture (meaning people and hardware) of who can access which keys, and who is attempting to use them. This can provide an early indication of malicious activity. さらに、秘密鍵へのアクセス管理を監視することで、誰がどの鍵にアクセスできるか、誰が使用を試みているか(つまり人物とハードウェアの両面)を完全に把握できる。これにより悪意のある活動の早期兆候を捉えられる。
As part of certificate issuance, CAs can publish records to Certificate Transparency (CT) logs. These are publicly available, append only ledgers of all certificates which have been issued and – although not mandated by the CA/Browser Forum – proves that a certificate has been added to CT logs (known as Signed Certificate Timestamps) are required by most major Web Browsers. So, CAs that publish to CT logs should be preferred. 証明書発行の一環として、認証局(CA)は証明書透明性(CT)ログに記録を公開できる。これは発行済み全証明書の公開型追記専用台帳であり、CA/ブラウザフォーラムの義務付けではないものの、CTログへの証明書追加証明(署名付き証明書タイムスタンプ)は主要ブラウザのほとんどで必須だ。したがってCTログに公開するCAを優先すべきである。
Through monitoring CT logs, it is possible to track the certificates that have been issued for a given domain, and thus to gain early warning of any certificates which have been unexpectedly issued for your domains. Such issuance could indicate a compromise of the domain (since proof of domain control is required to obtain a certificate) which can be further investigated. CTログを監視することで、特定のドメイン向けに発行された証明書を追跡できる。これにより、自身のドメインに対して予期せず発行された証明書を早期に検知できる。このような発行は、ドメインの侵害を示唆する可能性がある(証明書取得にはドメイン管理権限の証明が必要だからだ)。この場合はさらに調査を進めるべきだ。
Several public and commercial services exist for the monitoring of CT logs, often as part of a wider certificate management package. We recommend that monitoring of CT logs for unexpected activity relating to your domains forms part of your monitoring strategy. CTログの監視には、公的・商用サービスが複数存在する。これらは広範な証明書管理パッケージの一部として提供されることが多い。自社ドメインに関連する予期せぬ活動についてCTログを監視することは、監視戦略の一環として推奨される。
Summary 要約
Certificates and the Web PKI are critical technologies for enabling users of your domains and services to ensure that what they’re interacting with is legitimate. Failure to properly manage certificates for your domain will at best lead to reputational damage, with users unable to connect securely to your domain or service, and at worst can permit an attacker to capture customer data or to impersonate your service. The recommendations in this guidance aim to mitigate these threats by reducing their likelihood and impact as much as possible, and ensuring that you are aware of any issues as soon as possible. 証明書とWeb PKIは、ドメインやサービスの利用者が正当な対象とやり取りしていることを保証する上で不可欠な技術である。ドメインの証明書を適切に管理しない場合、最悪の場合、攻撃者が顧客データを取得したりサービスを偽装したりする可能性が生じる。本ガイダンスの推奨事項は、これらの脅威の可能性と影響を可能な限り低減し、問題発生時に即座に認識できるようにすることで、脅威の緩和を目的としている。

 

 

1_20251217202101

 

Continue reading "英国 NCSC Web PKIにおける証明書のプロビジョニングと管理 (2025.12.10)"

| | Comments (0)

カナダ 英国 NCSC 組織のための公開コンテンツの来歴証明(provenance)(2025.12.04)

こんにちは、丸山満彦です。

生成AIの登場により、だれでも希望に近いコンテンツが簡単につくれるようになり、本物にそっくりに似せてものもつくれるようになりましたよね...

そうなると情報の受け手が本物と似せて作られたものとの区別をつけられなくなり、本物ではない情報に基づいた意思決定をする可能性がたかくなりますよね...

本質的には本物か似せて作られものの区別が重要というより、だれが作ったコンテンツであるかを情報の受け手が確実に知ることができるということが重要なのだろうと思います。

ということで、公開コンテンツの来歴証明(provenance)が重要となるということで、英国のNCSCとカナダのCCCSが組織のための公開コンテンツの来歴証明の報告書を公表していますので、参考に...



NCSC

・2025.12.04 Public content provenance for organisations

 

Public content provenance for organisations 組織のための公開コンテンツの来歴証明
Explaining why content provenance matters and how organisations can use it to verify and protect their online information. コンテンツの来歴証明がなぜ重要なのか、そして組織がオンライン情報を検証し保護するためにそれをどう活用できるかを説明する。
Context 背景
This publication is intended for security and public communications practitioners. It lays the foundation in explaining what public content provenance is and why it's an important tool for organisations to establish a verifiable historical record of the content they make available online. It provides information about the range of technologies which help to establish trust in digital records along with examples of how they might be used to meet different requirements. 本資料は、セキュリティおよび広報コミュニケーション担当者を対象としている。公開コンテンツの来歴証明とは何か、また組織がオンラインで提供するコンテンツの検証可能な履歴記録を確立する上で、なぜそれが重要なツールとなるのかを説明する基礎を築くものである。デジタル記録への信頼性を確立するのに役立つ様々な技術に関する情報を提供するとともに、異なる要件を満たすためにそれらをどのように活用できるかの例を示す。
This publication has been jointly researched and co-authored by the Canadian Centre for Cyber Security (Cyber Centre) and the NCSC. The Cyber Centre and the NCSC do not directly endorse the products, services or methodologies in this publication. The tools and standards described are a means to demonstrate how to improve cyber resilience in different contexts using combinations of technologies. 本出版物はカナダサイバーセキュリティセンター(Cyber Centre)とNCSCが共同で調査・執筆した。Cyber CentreとNCSCは本出版物に記載された製品・サービス・手法を直接推奨するものではない。記載されたツールや標準は、技術群を組み合わせることで異なる状況下でサイバーレジリエンスを向上させる方法を示す手段である。
Table of contents 目次
1. Securing trust in digital content: why public content provenance matters 1. デジタルコンテンツの信頼確保:公共コンテンツの来歴証明が重要な理由
2. The challenge of securing digital trust in today’s complex information environment 2. 今日の複雑な情報環境におけるデジタル信頼確保の課題
2.1 Digital content provenance explained 2.1 デジタルコンテンツの来歴証明の解説
2.2 Digital content provenance analogy 2.2 デジタルコンテンツの来歴証明の類推
2.3 How to earn trust in digital content 2.3 デジタルコンテンツへの信頼獲得方法
2.4 How digital content provenance helps enhance public trust in an organisation 2.4 デジタルコンテンツの来歴証明が組織への公的信頼向上に寄与する仕組み
3. Provenance: selecting suitable systems and technologies 3. 来歴証明:適切なシステムと技術の選択
3.1 What to consider when selecting provenance systems 3.1 来歴証明選定時の考慮事項
3.1.1 Source of trust 3.1.1 信頼の源泉
3.1.2 Extent of provenance record 3.1.2 来歴証明記録の範囲
3.1.3 Ease of verification 3.1.3 検証の容易さ
3.1.4 Cost of providing provenance 3.1.4 来歴証明プロバイダのコスト
3.1.5 Strength of provenance claim 3.1.5 来歴証明主張の強さ
3.1.6 Duration of the provenance claim 3.1.6 来歴証明主張の有効期間
3.1.7 Utility of the provenance 3.1.7 来歴証明の有用性
3.1.8 Redress requirements 3.1.8 救済要件
3.1.9 Privacy considerations 3.1.9 プライバシーに関する考慮事項
3.2 What to consider when selecting content provenance technologies 3.2 コンテンツ来歴証明技術選定時の考慮事項
3.2.1 Trusted timestamps 3.2.1 信頼できるタイムスタンプ
3.2.2 Cryptographic identity 3.2.2 暗号学的アイデンティティ
3.2.3 Digital ledgers (Blockchain) 3.2.3 デジタル台帳(ブロックチェーン)
3.2.4 Web archiving 3.2.4 ウェブアーカイブ
3.2.5 Digital watermarking 3.2.5 デジタル透かし
3.2.6 The Coalition for Content Provenance and Authenticity 3.2.6 コンテンツ来歴証明と真正性連合(Coalition for Content Provenance and Authenticity)
3.3 Why private provenance systems aren’t suitable for public content 3.3 公共コンテンツに私的来歴証明システムが適さない理由
4. Deploying public content provenance systems: considerations and example use cases 4. 公共コンテンツ来歴証明システムの展開:考慮事項とユースケース
4.1 Points for organisations to consider 4.1 組織が考慮すべき点
4.1.1 Strategy to establish public information trust 4.1.1 公共情報の信頼性を確立する戦略
4.1.2 Introduction of provenance in content lifecycle 4.1.2 コンテンツライフサイクルにおける来歴証明の導入
4.1.3 Timeframe for content verification 4.1.3 コンテンツ検証の時間枠
4.1.4 Cost 4.1.4 コスト
4.1.5 Audience and format 4.1.5 対象者と形式
4.1.6 Maturity of public provenance technologies 4.1.6 公共来歴証明技術の成熟度
4.2 Example use cases 4.2 ユースケース
4.2.1 Use case 1: Organisation wants provenance of all its public content 4.2.1 ユースケース1:組織が全ての公開コンテンツの来歴証明を求める場合
4.2.2 Use case 2: Organisation’s content provenance is only needed for a short time 4.2.2 ユースケース2:組織のコンテンツ来歴証明が短期間のみ必要な場合
4.2.3 Use case 3 : Organisation’s content provenance is needed for a long time 4.2.3 ユースケース3:組織のコンテンツ来歴証明が長期間必要な場合
4.2.4 Use case 4: Organisation needs content to retain its anonymity and privacy 4.2.4 ユースケース4:組織がコンテンツの匿名性とプライバシー保持を必要とする場合
4.2.5 Use case 5: Copyright and other legal redress 4.2.5 ユースケース5:著作権及びその他の法的救済
5. Next Steps 5. 今後の対応

 

 

1. Securing trust in digital content – why public content provenance matters 1. デジタルコンテンツの信頼確保:公共コンテンツの来歴証明が重要な理由
In today's digital age, information on the internet cannot be relied on consistently as a source of truth. The rapid rise in the volume of available information and the accelerated pace of content generation, particularly through Artificial Intelligence (AI), mean the internet has become a battleground for interference and malicious cyber activities. 現代のデジタル時代において、インターネット上の情報は真実の源として一貫して信頼できるものではない。利用可能な情報量の急増と、特に生成的人工知能(AI)を通じたコンテンツ生成の加速化により、インターネットは干渉や悪意あるサイバー活動の戦場と化している。
In this environment, organisations are finding it increasingly challenging to ensure the authenticity and integrity of their information and so they must rethink how they establish and maintain trust with their audiences. Additionally, as highlighted in the recent NCSC Assessment and CSE report, AI-enabled capabilities continue to proliferate to cyber criminals, and states are beginning to integrate these technologies into their cyber capabilities. Organisations will therefore need tools to improve their resilience and security to protect the integrity of their data and information. A cornerstone of these efforts is the establishment of provenance for digital content. この環境下で、組織は情報の真正性と完全性を確保することがますます困難になっており、対象者との信頼関係を確立・維持する方法を再考せざるを得ない。さらに、最近のNCSCアセスメントおよびCSE報告書が指摘するように、AIを活用した能力はサイバー犯罪者に拡散し続けており、国家もこれらの技術をサイバー能力に統合し始めている。したがって組織は、データと情報の完全性を保護するため、レジリエンスとセキュリティを向上させるツールを必要とする。こうした取り組みの基盤となるのが、デジタルコンテンツの来歴証明の確立である。
Provenance refers to the place of origin. It is used in the physical world to verify the authenticity of artefacts, but it is also relevant in the online world. Many organisations already employ versioning and logging systems to establish provenance for internal documents. However, these systems are often useful only within the organisation. To build stronger trust with external audiences, organisations need to improve how they address the public provenance of their information. 来歴証明とは起源の地を指す。実世界では遺物の真正性を検証するために用いられるが、オンライン世界でも同様に重要である。多くの組織は既に、内部文書の来歴証明を確立するためバージョン管理やログ記録システムを導入している。しかし、こうしたシステムは組織内でのみ有用な場合が多い。外部関係者との信頼強化には、情報の公的な来歴証明への対応を改善する必要がある。
2. The challenge of securing digital trust in today’s complex information environment 2. 今日の複雑な情報環境におけるデジタル信頼確保の課題
in this section 本節の内容
2.1 Digital content provenance explained 2.1 デジタルコンテンツの来歴証明の解説
2.2 Digital Content Provenance Analogy 2.2 デジタルコンテンツの来歴証明の類推
2.3 How to earn trust in digital content 2.3 デジタルコンテンツへの信頼獲得方法
2.4 How digital content provenance helps enhance public trust in an organisation 2.4 デジタルコンテンツの来歴証明が組織への公的信頼向上に寄与する仕組み
Today’s information environment¹ comprises a wide variety of forms of communication, ranging from traditional media and social media, to telephone conversations and even signs on lampposts. This makes it easy to access large amounts of information quickly. Different processes within this environment collect and reorganise data and metadata to meet the needs of various groups such as information seekers, publishers and advertisers. Additionally, social media platforms enable widespread republishing and the option to add commentary. 現代の情報環境¹は、伝統的なメディアやソーシャルメディアから電話会話、街灯の看板に至るまで、多様なコミュニケーション形態で構成されている。これにより大量の情報に迅速にアクセスできる。この環境内では、情報探索者、出版社、広告主など様々なグループのニーズに応えるため、データとメタデータが収集・再編成される。さらにソーシャルメディアプラットフォームは、広範な再公開とコメント追加を可能にしている。
Although the information environment benefits both content creators and consumers, it also presents challenges. An original piece of content may be collected, reorganised, summarised, aggregated, reformatted, republished and modified throughout its lifecycle. Modifications may be made deliberately or otherwise, and with or without intent to deceive. These modifications can be difficult to detect as the information rarely persists in its original form. This means we cannot be certain that the intended meaning of the content is retained, or worse, that it has not been distorted. 情報環境はコンテンツ制作者と消費者の双方に利益をもたらすが、課題も生じている。オリジナルコンテンツはライフサイクルを通じて収集、再編成、要約、集約、再フォーマット、再公開、改変される可能性がある。改変は意図的・非意図的、欺瞞目的の有無を問わず行われる。こうした改変は、情報が元の形で残存することは稀であるため、検知が困難である。これは、コンテンツの意図された意味が保持されているか、あるいはさらに悪いことに歪められていないか確信できないことを意味する。
For security practitioners, protecting information in this environment poses significant challenges. They have traditionally focused on protecting the confidentiality, integrity and availability of digital data directly controlled by the organisation, but now must also focus on protecting publicly available information about their content, which is outside of their control. To address this, organisations can use public trust mechanisms to verify the source and history of content. セキュリティ実務者にとって、この環境下での情報防御は重大な課題である。従来は組織が直接管理するデジタルデータの機密性・完全性・可用性の防御に焦点を当ててきたが、現在では管理外のコンテンツに関する公開情報防御にも注力せねばならない。 この課題に対処するため、組織はコンテンツの出典と履歴を検証する公的信頼メカニズムを利用できる。
¹The aggregate of individuals, organisations, and systems that collect, process, disseminate, or act on information. ¹情報を収集、処理、拡散、またはそれに基づいて行動する個人、組織、システムの集合体。
Figure 1 - Communicating an organisation's information in the information environment 図1 - 情報環境における組織情報の伝達
Figure1  
To communicate with the public, organisations share their information in the information environment. This environment comprises all forms of communication between the organisation and the public audience and can include social media, content aggregation sites, web search services, traditional media such as radio and television, as well as others. Other parties can add to the communications with their own content in the form of comments, selective filtering and so on. The overall message that a member of the public audience receives or accesses may not be what is intended by the originating party. It may not even be accurate. 組織は公衆とコミュニケーションを取るため、情報環境で情報を共有する。この環境は組織と公衆の間のあらゆるコミュニケーション形態で構成され、ソーシャルメディア、コンテンツ集約サイト、ウェブ検索サービス、ラジオやテレビなどの伝統的メディアなどが含まれる。第三者はコメントや選択的フィルタリングなどの形で独自のコンテンツを追加できる。公衆が受け取る全体的なメッセージは、発信者が意図した内容とは異なる場合がある。正確でない可能性すらある。
3. Provenance: selecting suitable systems and technologies 3. 来歴証明:適切なシステムと技術の選択
3.1 What to consider when selecting provenance systems 3.1 来歴証明システム選定時の考慮事項
3.2 What to consider when selecting content provenance technologies 3.2 コンテンツ来歴証明技術選定時の考慮事項
3.3 Why private provenance systems aren’t suitable for public content 3.3 公共コンテンツに私的来歴証明システムが適さない理由
The subject of content provenance isn't entirely new but advances in technologies, such as Generative AI, are driving requirements for it to evolve even faster. コンテンツ来歴証明の課題は全く新しいものではないが、生成的AIなどの技術進歩により、その進化がさらに加速している。
Frameworks which offer ways of structuring provenance systems are still being established. 来歴証明システムを構築する手法を提供する枠組みは、まだ確立されつつある段階だ。
There are multiple facets to the provenance challenge which will require different approaches. One approach may not necessarily solve all of an organisation’s content provenance requirements. Some examples of the current provenance challenge include synthetic media labelling, provenance of digital source media, deep fake detection and provenance of aggregated content. 来歴証明の課題には複数の側面があり、それぞれ異なるアプローチが必要となる。一つの手法が組織のコンテンツ来歴証明要件を全て解決するとは限らない。現在の来歴証明課題の例としては、合成メディアのラベリング、デジタルソースメディアの来歴証明、ディープフェイク検知、集約コンテンツの来歴証明などが挙げられる。
Organisations will have to identify a framework relevant to their needs. The key aspects to consider when selecting a framework include: 組織は自らのニーズに合った枠組みを識別しなければならない。枠組み選定時に考慮すべき主要な要素は以下の通りだ:
How trust in the provenance record is established – does it use cryptographic methods such as trusted timestamps (see 3.2.1) and cryptographic identities (see 3.2.2) to secure integrity? 来歴証明記録への信頼性をどう確立するか – 信頼できるタイムスタンプ(3.2.1参照)や暗号的アイデンティティ(3.2.2参照)といった暗号手法を用いて完全性を確保しているか?
The requirement to identify who will perform the third-party notary function – they have to be trusted by both the requester and the verifier. サードパーティ公証機能を担う主体を識別する必要性 – 依頼者と検証者の双方から信頼される存在でなければならない。
How verifiers, for example the courts, journalists, or a member of the general public, can verify provenance. Are the mechanisms simple and understandable? 検証者(裁判所、ジャーナリスト、一般市民など)がどのように来歴証明を検証できるか。その仕組みは簡潔で理解しやすいか。
Organisations will have their own content provenance requirements but should be mindful of the rapidly evolving requirements and standards in public provenance infrastructure. They should consider standards used in their specific solution to ensure provenance functionality, such as verification work at scale. 組織は独自のコンテンツ来歴証明要件を持つが、公共の出所インフラにおける急速に進化する要件や標準に留意すべきである。大規模な検証作業など、来歴証明機能を確保するために、自組織の特定ソリューションで使用される標準を考慮する必要がある。
In addition to choosing a provenance solution which meets its specific objectives, an organisation will need to decide which technologies to use. 組織は、特定の目的を満たす来歴証明ソリューションを選択するだけでなく、使用する技術も決定する必要がある。
4. Deploying public content provenance systems: considerations and example use cases 4. 公共コンテンツ来歴証明システムの展開:考慮事項とユースケース
4.1 Points for organisations to consider 4.1 組織が考慮すべき点
4.2 Example use cases 4.2 ユースケース
5. Next steps 5. 今後の展開
The content provenance space is rapidly evolving to meet emerging challenges but is still mainly in the development stage. If you are considering content provenance as part of your organisation's trust strategy you should: コンテンツ来歴証明分野は新たな課題に対応するため急速に進化しているが、依然として主に開発段階にある。 組織の信頼戦略の一環としてコンテンツ来歴証明を検討する場合、以下の点に留意すべきである:
・understand how your information and information about your organisation is received by your audience and other parties, and how this impacts your audience's trust in your organisation ・自組織の情報および自組織に関する情報が、対象者やその他の関係者にどのように受け取られ、それが対象者の組織への信頼にどう影響するかを理解すること
・consider how content provenance technologies might address your organisation's public trust challenges ・コンテンツ来歴証明技術が、組織の公共的信頼に関する課題にどう対処し得るかを検討すること
・stay abreast of changes in technology and emerging trust threats in the information environment ・技術の変化や情報環境における新たな信頼脅威について、常に最新情報を把握すること

 

一応PDFも...

・[PDF

20251218-55236

 

 

 

 

 

| | Comments (0)

2025.12.18

英国 NCSC 中小企業向けマネージド・サービスプロバイダー選定ガイド (2025.11.24)

こんにちは、丸山満彦です。

英国のNCSCが、中小企業向けのマネージドサービス・プロバイダー選定ガイドが公表されていますね...

250名以上の企業の場合は、2018年策定(2023年最終改定)されたクラウドセキュリティガイダンスの利用が推奨されていますね...

 

 

●  NCSC 

・2025.11.24 Choosing a managed service provider (MSP)

Choosing a managed service provider (MSP) マネージドサービス・プロバイダー(MSP)の選定
An SME’s guide to selecting and working with managed service providers. 中小企業向け:MSPの選定と活用ガイド
in this guidance 本ガイダンスの内容
Introduction: SMEs are at risk 序論:中小企業はリスクに晒されている
Choosing an appropriate MSP 適切なMSPの選定
Security issues to discuss with your MSP MSPと協議すべきセキュリティ課題
Details to check in your MSP contract MSP契約で確認すべき事項
MSP due diligence checklis MSPデューデリジェンスチェックリスト
Many small to medium-sized enterprises (SMEs) use managed service providers (MSPs) to deliver IT products and services, manage important data, and to provide cyber security. This guidance describes how to select and work effectively with MSPs, and includes a checklist you can use when sourcing MSPs. 多くの中小企業(SME)は、IT製品・サービスの提供、重要データの管理、サイバーセキュリティ対策のためにマネージドサービス・プロバイダー(MSP)を利用している。本ガイダンスでは、MSPの選定方法と効果的な連携手法を説明し、MSP調達時に使用できるチェックリストを掲載する。
Note: 注記:
If you’re part of an IT team responsible for working with MSPs within larger organisations (over 250 people), you should refer to the NCSC’s more detailed Cloud Security Guidance. 大規模組織(従業員250名以上)においてMSPとの連携を担当するITチームの一員である場合は、NCSCのより詳細なクラウドセキュリティガイダンスを参照すべきである。

 

 

MSP due diligence checklist MSPデューデリジェンスチェックリスト
Choosing an MSP MSPの選定
Does the MSP hold recognised security certifications (e.g., Cyber Essentials Plus, ISO 27001)? If not, what security standards do they use? MSPは公認のセキュリティ認証(例:Cyber Essentials Plus、ISO 27001)を保持しているか?保持していない場合、どのセキュリティ標準を採用しているか?
Can they provide references, testimonials or case studies from other SMEs? 他の中小企業からの推薦状、証言、事例研究を提供できるか?
Do they have a proven track record of security and service quality? セキュリティとサービス品質において実績があるか?
Do they demonstrate transparency about their services and processes? サービスとプロセスについて透明性を示しているか?
Are their service levels (response times, uptime) clearly defined in SLAs? サービスレベル(応答時間、稼働時間)はSLAで明確に定義されているか?
Do they fit your needs and budget? 自社のニーズと予算に合致しているか?
Services to request 要求すべきサービス
Timely patch management for all systems and software 全システム・ソフトウェアに対するタイムリーなパッチ管理
Automated, off-site data backups and regular testing of restore processes 自動化されたオフサイトデータバックアップと復元プロセスの定期テスト
Security monitoring and logging, with alerts for suspicious activity セキュリティ監視・ログ記録、不審な活動に対するアラート
Use of 2SV across all access points 全アクセスポイントでの2段階認証(2SV)の使用
Clear incident response and management procedures 明確なインシデント対応・管理手順
Application of timely security updates and firmware patches タイムリーなセキュリティ更新とファームウェアパッチの適用
Contract and agreement considerations 契約と合意事項の検討点
Is there a detailed Service Level Agreement (SLA)? 詳細なサービスレベル契約(SLA)は存在するか?
Are roles, responsibilities, and liabilities clearly defined? 役割、責任、賠償責任は明確に定義されているか?
Does the contract specify how and when security incidents are notified? 契約書はセキュリティインシデントの通知方法と時期を規定しているか?
Are there provisions for regular reviews and reporting? 定期的な見直しと報告に関する条項は存在するか?
Is the principle of least privilege applied to MSP access? MSPアクセスには最小権限の原則が適用されているか?
Are there clauses for managing obsolete accounts and infrastructure? 廃止されたアカウントとインフラを管理する条項は存在するか?
Is there a clear process for contract review, renewal, or termination? 契約の見直し、更新、解約に関する明確なプロセスは存在するか?
Risk and responsibility リスクと責任
Have you assessed your MSP’s supply chain risks? MSPのサプライチェーンリスクを評価したか?
MSP’s supply chain risks MSPのサプライチェーンリスク
Are accountability and liability for cyber security incidents explicitly documented? サイバーセキュリティインシデントに対する説明責任と責任が明示的に文書化されているか?
Do MSPs have a tested incident response and recovery plan? MSPはテスト済みのインシデント対応および復旧計画を有しているか?
Are backup and disaster recovery procedures outlined and agreed upon? バックアップおよび災害復旧手順が明記され合意されているか?
Is there a process for regular security training and awareness 定期的なセキュリティ研修および意識向上のためのプロセスは存在するか?

 

参考にクラウドセキュリティガイダンス...

・2023.06.07 Cloud security guidance

Cloud security guidance クラウドセキュリティの指針
Introduction to cloud security クラウドセキュリティの序論
Understanding cloud services クラウドサービスの理解
Service and deployment models サービスと展開モデル
Cloud security shared responsibility model クラウドセキュリティの責任分担モデル
Technically enforced separation in the cloud クラウドにおける技術的に強制された分離
Choosing and configuring a KMS for secure key management in the cloud クラウドでの安全な鍵管理のためのKMSの選択と設定
Choosing a cloud provider クラウドプロバイダの選定
Using cloud services securely クラウドサービスの安全な利用
Using Software as a Service (SaaS) securely SaaS(Software as a Service)の安全な利用
Using a cloud platform securely クラウドプラットフォームの安全な利用
How to 'lift and shift' successfully 「リフト・アンド・シフト」の成功手法
The cloud security principles クラウドセキュリティの原則
Principle 1: Data in transit protection 原則1:転送中のデータ保護
Principle 2: Asset protection and resilience 原則2:資産保護と耐障害性
Principle 3: Separation between customers 原則3:顧客間の分離
Principle 4: Governance framework 原則4:ガバナンスフレームワーク
Principle 5: Operational security 原則5:運用セキュリティ
Principle 6: Personnel security 原則6:職員のセキュリティ
Principle 7: Secure development 原則7:セキュアな開発
Principle 8: Supply chain security 原則8:サプライチェーンセキュリティ
Principle 9: Secure user management 原則9:安全なユーザー管理
Principle 10: Identity and authentication 原則10:アイデンティティと認証
Principle 11: External interface protection 原則11:外部インターフェースの防御
Principle 12: Secure service administration 原則12:安全なサービス管理
Principle 13: Audit information and alerting for customers 原則13:顧客向け監査情報とアラート
Principle 14: Secure use of the service 原則14:サービスの安全な利用
Lightweight approach to cloud security クラウドセキュリティへの軽量アプローチ
Responses to the cloud security principles クラウドセキュリティ原則への対応策

 

1_20251217202101

 

 


 

グーグルとマイクロソフトのチェックリストも参考になりますね...

Google Workspace: Security checklist for small businesses (1-100 users)

Microsoft 365: Top 10 ways to secure your data with Microsoft 365

 

 

 

| | Comments (0)

2025.12.17

欧州 政策研究センター (CEPS) 量子安全な世界へのEU移行強化 (2025.12.03)

こんにちは、丸山満彦です。

欧州政策研究センター (Centre for European Policy Studies: CEPS) がEUの耐量子計算機暗号への移行についての報告書を公表していますね...

推奨事項も含まれていますので、参考になりますね...

推奨事項は、共通事項(10)、金融セクター固有事項(6)、公共セクター固有事項(4)、防衛セクター固有事項(6)となっています...

 

1. GENERAL RECOMMENDATIONS   1. 一般的な推奨事項
GR1. Develop crypto agility  GR1. 暗号の俊敏性を開発する
GR2. Engage with suppliers to take care of crypto dependencies  GR2. 暗号依存関係の対応についてサプライヤーと連携する 
GR3. Building and maintaining crypto and product inventories    GR3. 暗号と製品のインベントリの構築と維持
GR4. Integrate quantum-safety into digital systems from the start  GR4. デジタルシステムに量子耐性を最初から組み込む
GR5. Going beyond hype: from a Q-Day to a Q-period  GR5. 誇大宣伝を超えて:Q-DayからQ-periodへ
GR6. Linking the Roadmap for the Transition to Post-Quantum Cryptography[2] to a quantum transition strategy and to existing laws  GR6. 量子暗号移行ロードマップ[2]と量子移行戦略・既存法規の連携
GR7. Ensure alignment and coherence across roadmaps   GR7. ロードマップ間の整合性と一貫性の確保
GR8. Introducing greater parallelisation into the Roadmap   GR8. ロードマップへの並列化強化の導入
GR9. Promoting awareness, cooperation and better governance  GR9. 認知度向上、協力促進、ガバナンス強化
GR10.  Promoting skill development and management structures  GR10. 技能開発と管理構造の促進
2. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE FINANCIAL SECTOR  2. 金融セクター向け追加推奨事項
FS1. Create an ad hoc PQC governance structure   FS1. 臨時的なPQCガバナンス体制を構築する
FS2. Enhancing collaboration with vendors and partners  FS2. ベンダー・パートナーとの連携強化
FS3. Upgrade the financial sector underlying infrastructure  FS3. 金融セクター基盤インフラのアップグレード
FS4. Prioritise actions based on risk assessment  FS4. リスクアセスメントに基づく優先順位付け
FS5. Perform cost-benefit analysis of mitigation options  FS5. 緩和策の費用便益分析を実施する
FS6. Overcome organisational and skills gaps  FS6. 組織的・技術的ギャップの克服
3. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE PUBLIC SECTOR  3. 公共セクター向け追加推奨事項
PS1. Implement a sequenced migration plan across PKI and digital identity ecosystems  PS1. PKIおよびデジタルIDエコシステム全体での段階的移行計画の実施
PS2. Synchronise authentication layers to prevent fragmentation and service disruption  PS2. 分断とサービス中断を防ぐため認証レイヤーを同期させる
PS3. Coordinate cross-border roadmaps and align national migration strategies  PS3. 国境を越えたロードマップを調整し、各国の移行戦略を整合させる
PS4. Manage the quantum transition as a coordinated sociotechnical programme  PS4. 量子移行を協調的な社会技術プログラムとして管理する 
4. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE DEFENCE SECTOR  4. 防衛セクター向け追加推奨事項 
DS1. Develop a post-quantum transition roadmap   DS1. 耐量子移行ロードマップの策定 
DS2. Support industrial coordination  DS2. 産業連携の支援
DS3. Address supply-chain dependencies  DS3. サプライチェーン依存への対応
DS4. Formalise public-private quantum innovation frameworks  DS4. 官民量子イノベーション枠組みの正式化
DS5. Establish structured pilot-to-certification pathways  DS5. 構造化された試験運用から認証までの経路を確立する
DS6. Incentivise research in defence quantum technologies  DS6. 防衛量子技術研究へのインセンティブ

 

 

Centre for European Policy Studies: CEPS

・2025.12.03 We need to urgently strengthen the EU’s transition to a quantum-safe world

We need to urgently strengthen the EU’s transition to a quantum-safe world EUは量子安全な世界への移行を緊急に強化する必要がある
Transitioning to quantum-safe cryptography is an urgent strategic challenge for Europe. There are around 90 billion devices that use current encryption methods. But quantum computers capable of breaking today’s cryptographic systems may emerge as early as the 2030s, allowing for – amongst others – the unauthorised decryption of private messages and financial transactions, which could have disastrous consequences.   量子耐性暗号への移行は、欧州にとって緊急の戦略的課題である。現行の暗号化方式を使用するデバイスは約900億台に上る。しかし、現在の暗号システムを破る量子コンピュータは早ければ2030年代に登場する可能性があり、それにより私的メッセージや金融取引の不正解読などが可能となり、壊滅的な結果を招きかねない。
But transitioning to post-quantum cryptography (PQC) is a lengthy and complex process. Past experiences with security standard migrations suggest such a transformation can take anywhere between 10-15 years. Thus, careful coordination and long-term planning across both the public and private sectors is required.  しかし、耐量子暗号(PQC)への移行は長期かつ複雑なプロセスである。過去のセキュリティ標準移行の経験から、このような変革には10年から15年を要する可能性がある。したがって、官民双方における慎重な調整と長期的な計画が求められる。
Despite this urgency, recent surveys by the European Union Agency for Cybersecurity (ENISA) and the Information Systems Audit and Control Association (ISACA) show that most European stakeholders remain underprepared – only a small share have begun to invest in post-quantum solutions and overall awareness remains low. At the Member State level, Germany, France and the Netherlands have led the charge by issuing guidance and launching PQC pilot projects, both through national roadmaps and within the Network and Information Systems (NIS) Cooperation Group. Alas, progress across the EU remains uneven and it still lacks a coherent, unified transition framework – unlike the US この緊急性にもかかわらず、欧州連合サイバーセキュリティ機関(ENISA)および情報システム監査管理協会(ISACA)による最近の調査では、欧州のステークホルダーの大半は依然として準備不足であり、耐量子ソリューションへの投資を開始しているのはごく一部で、全体的な認識は依然として低いことが明らかになっている。加盟国レベルでは、ドイツ、フランス、オランダが、国家ロードマップとネットワークと情報システム(NIS)協力グループの両方を通じて、ガイダンスの発行と PQC パイロットプロジェクトの立ち上げを主導している。残念ながら、EU 全体の進捗は依然として不均一であり、米国とは異なり、首尾一貫した統一的な移行枠組みがまだ欠けている。
Against this backdrop, in April 2025, CEPS launched a Task Force on Strengthening the EU Transition to a Quantum-Safe World. Its objective was to draw attention to the technical, market, governance and policy challenges involved in Europe’s transition to quantum safe.   こうした背景から、2025年4月、CEPSは「量子安全な世界へのEUの移行強化に関するタスクフォース」を発足させた。その目的は、欧州の量子安全への移行に伴う技術、市場、ガバナンス、政策上の課題に注目を集めることだった。
Designed as a multi-stakeholder platform, the Task Force brought together private organisations, EU institutions and agencies, universities and think tanks, national research agencies and civil society organisations.  The final Task Force Report is a rallying call for strengthening the EU’s transition process towards quantum safety マルチステークホルダーのプラットフォームとして設計されたこのタスクフォースは、民間組織、EU 機構、大学、シンクタンク、各国の研究機関、市民社会組織を一堂に集めた。タスクフォースの最終報告書は、EU の量子セキュリティへの移行プロセスを強化するよう呼びかけるものである。
A systemic transformation and moving beyond the ‘Q-Day’ narrative 体系的な変革と「Q-Day」という物語の超越
The shift to quantum-safe cryptography shouldn’t be viewed as a routine technical upgrade but as a comprehensive, systems-level transformation. Transitioning to PQC extends beyond merely updating cryptographic libraries. Rather, it involves integrating new product versions, modifying APIs, adapting software development lifecycles and – in some cases – redesigning core business processes.  It also demands the proactive management of supplier, customer and ecosystem relationships. This represents a major managerial challenge, requiring long-term planning, a skilled workforce and sustained organisational change.  量子耐性暗号への移行は、単なる技術的アップグレードではなく、包括的なシステムレベルの変革と捉えるべきだ。PQCへの移行は暗号ライブラリの更新を超え、新製品バージョンの統合、APIの修正、ソフトウェア開発ライフサイクルの適応、場合によっては中核業務プロセスの再設計を伴う。さらにサプライヤー・顧客・エコシステム関係者の積極的管理も求められる。これは長期的な計画、熟練した人材、持続的な組織変革を必要とする重大な経営課題だ。
Public discussions also often refer to ‘Q-Day’, the hypothetical moment when quantum computers render classical cryptography obsolete. While this can help raise awareness, it’s nonetheless misleading. Quantum capability won’t arrive as a tsunami but instead as a gradual, uneven process with early machines breaking selected keys before broader capabilities are developed.   公の議論では「Q-Day」という概念がよく取り上げられる。これは量子コンピューターが従来の暗号技術を無効化する仮説上の時点を指す。認知度向上には役立つが、誤解を招く表現だ。量子技術は津波のように一気に到来するのではなく、初期の機械が特定の鍵を破る段階を経て、広範な能力が開発されるまでの漸進的で不均一なプロセスとして現れる。
Instead, a more realistic perspective is that of a ‘Q-period’, which supports balanced and adaptive migration strategies aligned with the actual pace of quantum and standards development.  より現実的な視点は「Q-period(量子移行期)」であり、量子技術と標準の開発の実際のペースに即した、均衡のとれた適応的な移行戦略を支えるものである。
Post-quantum cryptography as the core of the transition 移行の中核としての耐量子暗号
PQC forms the backbone of the transition to quantum safety. These algorithms are designed to withstand attacks from quantum computers and are widely recognised by regulators and standardisation bodies as the only viable short- to medium-term solution.  PQC(耐量子暗号)は量子耐性への移行の基盤を形成する。これらのアルゴリズムは量子コンピュータの攻撃に耐えるよう設計されており、規制当局や標準化団体から短期的・中期的には唯一の実行可能な解決策として広く認められている。
Other quantum technologies play more specialised roles. These include Quantum Key Distribution (QKD), which isn’t a direct substitute for public-key cryptography but rather a complementary technology that can offer diverse layered protection for specific high-security environments.   その他の量子技術はより特殊な役割を担う。例えば量子鍵配送(QKD)は公開鍵暗号の直接的な代替ではなく、特定の高度なセキュリティ環境向けに多様な階層的保護を提供する補完技術である。
And then there are Quantum Random Number Generators (QRNGs) devices that produce unpredictable numbers using quantum processes. They offer certifiable high-quality randomness, meaning their output can be embedded into cryptographic stacks and validated under recognised certification schemes.  さらに量子乱数生成器(QRNG)は量子プロセスを用いて予測不能な乱数を生成する。これらは認証可能な高品質な乱数性を提供するため、その出力を暗号スタックに組み込み、公認認証スキーム下で妥当性確認することが可能だ。
Encouraging a risk-based transition model リスクベース移行モデルの推進
Migrating billions of devices to quantum-safe standards requires a structured, risk-based approach. This encompasses several elements. Firstly, crypto agility (i.e. designing cryptographic systems in a modular way, allowing for cryptographic components to be easily replaced). Secondly, for effective planning, migration requires ensuring comprehensive crypto and product inventories, which include software, hardware, APIs and services. Critical systems should be prioritised for early migration.   数十億台のデバイスを量子耐性標準へ移行するには、構造化されたリスクベースのアプローチが必要だ。これには複数の要素が含まれる。第一に、暗号の俊敏性(暗号システムをモジュール式に設計し、暗号コンポーネントを容易に交換可能にすること)。第二に、効果的な計画のためには、ソフトウェア、ハードウェア、API、サービスを含む包括的な暗号および製品インベントリの確保が不可欠だ。重要システムは早期移行の優先対象とすべきだ。
Besides, as most organisations rely heavily on third-party vendors, it’s crucial for them to understand and manage their supply chain dependencies. That’s why they need to engage suppliers, request clear timelines for quantum-safe capabilities and actively monitor supply chain readiness.  さらに、多くの組織がサードパーティに依存しているため、サプライチェーン依存関係の理解と管理が不可欠である。そのため、サプライヤーと連携し、量子耐性機能の明確なタイムラインを要求し、サプライチェーンの準備状況を積極的に監視する必要がある。
Hybrid solutions can greatly assist the transition – the co-existence of classical and quantum-resistant algorithms (‘hybrid cryptography’) ensures interoperability and redundancy. One of the Task Force’s key recommendations here is that the definition of hybrid solutions should be broadened to include ‘context-aware, technically inclusive approaches’ that combine multiple cryptographic mechanisms for resilience, such as PQC/tradition and PQC/QKD.  ハイブリッドソリューションは移行を大きく支援できる。古典的アルゴリズムと量子耐性アルゴリズムの共存(「ハイブリッド暗号」)は相互運用性と冗長性を保証する。タスクフォースの主要な提言の一つは、ハイブリッドソリューションの定義を拡大し、PQC/従来型やPQC/QKDなど複数の暗号メカニズムを組み合わせた「状況認識型で技術的に包括的なアプローチ」を含めることだ。
When it comes to designing and implementing a European Roadmap for Post-Quantum Cryptography, the Task Force highlights several actions that should be taken forward.  欧州の耐量子暗号ロードマップの設計・実装に関して、タスクフォースは推進すべき複数の行動を強調している。
First, we need to integrate quantum safety into digital systems from the outset, meaning that the European Commission and Member States should ensure digital systems (such as the European Digital Identity Wallet) are designed to be quantum-safe from the very outset.  第一に、量子耐性をデジタルシステムに最初から組み込む必要がある。つまり欧州委員会と加盟国は、欧州デジタルIDウォレットなどのデジタルシステムが最初から量子耐性を備えるよう設計することを保証すべきだ。
Second,the Roadmap for the Transition to Post-Quantum Cryptography should be clearly linked to a transition strategy as well as existing legislation. A roadmap defines milestones and timelines but a supporting strategy must clarify how Member States, vendors and institutions will actually meet them
第二に、耐量子暗号への移行ロードマップは、移行戦略および既存の法規制と明確に連携させる必要がある。ロードマップはマイルストーンとタイムラインを定義するが、支援戦略は加盟国、ベンダー、機構が実際にそれらを達成する方法を明確にしなければならない。
Third, there needs to be alignment and coherence across roadmaps. With multiple quantum-safety roadmaps emerging at EU and national levels, the European Commission, Member States and standardisation bodies must coordinate their efforts to ensure coherence in timelines, dependencies and objectives. Coordinating with the US and other G7 partners is equally important.  第三に、ロードマップ間の整合性と一貫性が必要だ。EUレベルと国家レベルで複数の量子耐性ロードマップが登場する中、欧州委員会、加盟国、標準化団体は、タイムライン、依存関係、目標の一貫性を確保するため、取り組みを調整しなければならない。米国やその他のG7パートナーとの調整も同様に重要である。
Fourth, the Roadmap’s current structure implicitly relies on a staged or linear approach, which may unintentionally create bottlenecks. That’s why the Task Force recommends introducing greater parallelisation into the Roadmap to accelerate progress and reduce systemic risk.  第四に、現行のロードマップ構造は段階的・直線的アプローチを暗黙に前提としており、意図せずボトルネックを生む恐れがある。このためタスクフォースは、進捗加速とシステムリスク低減のため、ロードマップへの並列化強化を推奨する。
Finally, the report underscores the importance of promoting awareness, cooperation and effective governance throughout the transition to quantum safety. It calls for capacity building, skills development and the establishment of dedicated crypto management units within organisations.   最後に、本報告書は量子安全への移行過程における「認識向上・協力促進・効果的ガバナンス」の重要性を強調する。組織内における能力構築、スキル開発、専門的な暗号管理部門の設置が求められる。
Promoting Europe’s secure transition to quantum-safe cryptography is an urgent necessity to stop the unauthorised decryption of private messages and financial transactions, which may not be a major threat now but is likely to become one in the very near future. A lack of awareness and past experience with security standards migration indicate that the transition will be a lengthy process, one that requires effective coordination and the strengthening of all current initiatives, no matter who’s leading them, whether by the private sector, the European institutions, the research community and/or civil society.  欧州が量子安全暗号へ安全に移行することは、私的メッセージや金融取引の不正解読を阻止する緊急の必要性である。これは現時点では重大な脅威ではないかもしれないが、近い将来に脅威となる可能性が高い。セキュリティ標準移行に関する認識不足と過去の経験から、この移行は長期にわたるプロセスとなることが示唆されている。民間セクター、欧州機構、研究コミュニティ、市民社会など、主導主体を問わず、あらゆる現行イニシアチブの強化と効果的な調整が求められる。

こんにちは、丸山満彦です。

欧州のThink Tankのひとつである政策研究センター (CEPS) が耐量子計算機暗号のEUでの移行についての報告書を公表していますね...

 

・2025.12.03 Strengthening the EU transition to a quantum-safe world

Strengthening the EU transition to a quantum-safe world 量子安全な世界へのEU移行強化
In April 2025, CEPS launched a Task Force on Strengthening the EU Transition to a Quantum-Safe World. The objective of this initiative was to draw attention to the technical, market, governance, and policy challenges involved in Europe’s transition to quantum safe. The Task Force, designed as a multi-stakeholder platform, brought together eleven private organisations, eleven EU institutions and agencies, seven universities and think tanks, one national research agency, and one civil society organisation (see Annex I for the full list of participants). 2025年4月、CEPSは「EUの量子安全世界への移行強化タスクフォース」を発足させた。この取り組みの目的は、欧州が量子安全へ移行する際に伴う技術的、市場的、ガバナンス的、政策的な課題への注意を喚起することにある。このタスクフォースはマルチステークホルダープラットフォームとして設計され、民間組織11団体、EU機構・機関11機関、大学・シンクタンク7機関、国家研究機関1機関、市民社会組織1団体が参加した(参加者全リストは附属書I参照)。
The group aimed to develop practical guidelines for governments and businesses to strengthen and accelerate the EU’s transition to quantum safe. Its discussions addressed the technical, managerial, and governance challenges associated with implementing this process. These efforts resulted in a set of policy recommendations aimed at EU institutions, Member States, the private sector, and the research community to guide Europe’s secure transition toward quantum resilience. The transition to post-quantum cryptography (PQC) poses an urgent strategic challenge for Europe. It requires careful coordination and long-term planning across both the public and private sectors. Quantum computers capable of breaking today’s cryptographic systems may emerge as early as the next decade. Yet transitioning to PQC is a lengthy and complex process. Past experiences with security-standard migrations suggest such transformations can take 10 to 15 years. 同グループは、政府と企業がEUの量子耐性化への移行を強化・加速するための実践的ガイドライン策定を目指した。議論では、このプロセス実施に伴う技術的・管理的・ガバナンス上の課題が取り上げられた。これらの取り組みの結果、EU機構、加盟国、民間セクター、研究コミュニティに向けた一連の政策提言がまとめられた。これは欧州が量子レジリエンスへ安全に移行するための指針となるものである。耐量子暗号(PQC)への移行は欧州にとって差し迫った戦略的課題だ。官民双方の慎重な調整と長期的な計画が必要である。現在の暗号システムを破る量子コンピュータは、早ければ次の10年以内に登場する可能性がある。しかしPQCへの移行は長期かつ複雑なプロセスだ。過去のセキュリティ標準移行の経験から、こうした変革には10年から15年を要すると推測される。
Despite this urgency, recent surveys by the European Union Agency for Cybersecurity (ENISA) and the Information Systems Audit and Control Association (ISACA) show that most European stakeholders remain underprepared. Only a small share has begun investing in post-quantum solutions, and overall awareness remains low. At the Member State level, Germany, France, and the Netherlands have taken leading roles by issuing guidance and launching PQC pilot projects, both through national roadmaps and within the Network and Information Systems (NIS) Cooperation Group. However, progress across the EU remains uneven, and the Union still lacks a coherent, unified transition framework like that of the United States. Against this backdrop, the Task Force calls for strengthening the EU’s transition process towards quantum safety. この緊急性にもかかわらず、欧州連合サイバーセキュリティ機関(ENISA)と情報システム監査管理協会(ISACA)の最近の調査では、欧州のステークホルダーの大半が依然として準備不足であることが示されている。耐量子ソリューションへの投資を開始しているのはごく一部であり、全体的な認識は依然として低い。加盟国レベルでは、ドイツ、フランス、オランダが、国家ロードマップとネットワークと情報システム(NIS)協力グループの両方を通じて、ガイダンスの発行や PQC パイロットプロジェクトの立ち上げなど、主導的な役割を果たしている。しかし、EU 全体での進捗は依然として不均一であり、EU は米国のような首尾一貫した統一的な移行フレームワークをまだ備えていない。こうした背景から、タスクフォースは、量子セキュリティに向けた EU の移行プロセスの強化を求めている。

 

・[PDF]

20251216-82739

・[DOCX][PDF] 仮訳

 

 

目次...

PREFACE 序文
EXECUTIVE SUMMARY エグゼクティブサマリー
PART I. INTRODUCTION  第I部 序論
PART II. STATUS OF PQC, QKD, AND QRNG IN A QUANTUM-SAFE CONTEXT  第II部 量子耐性環境におけるPQC、QKD、QRNGの現状
1. POST-QUANTUM CRYPTOGRAPHY  1. 耐量子暗号
2. QUANTUM KEY DISTRIBUTION  2. 量子鍵配送
3. QUANTUM RANDOM NUMBER GENERATORS AND CLASSICAL RANDOM NUMBER GENERATORS  3. 量子乱数生成器と古典的乱数生成器 
PART III. QUANTUM-SAFE TRANSITION MODEL  第III部 量子安全な移行モデル
1. RISK-BASED APPROACH.  1. リスクベースアプローチ
2. WORST-CASE PQC FAILURE SCENARIOS: WHAT IF PQC TURNS OUT TO BE WEAK?. 2. PQC最悪の失敗シナリオ:PQCが脆弱だと判明した場合
3. MIXED ENCRYPTION METHODS 3. 混合暗号化方式
4. CHALLENGES TO THE TRANSITION TO QUANTUM SAFE 4. 量子耐性への移行における課題
PART IV. POST-QUANTUM INVENTORIES. 第IV部 耐量子暗号技術の目録
1. APPROACH  1. アプローチ
2. PRODUCT INVENTORIES . 2. 製品インベントリ
3. CRYPTO INVENTORIES  3. 暗号インベントリ
PART V. STATUS OF THE TRANSITION TO QUANTUM SAFE: EUROPEAN UNION (EU, FRANCE, GERMANY, THE NETHERLANDS). 第V部 量子耐性への移行状況:欧州連合(EU、フランス、ドイツ、オランダ)
1. INTRODUCTION  1. 序論
2. EUROPEAN UNION 2. 欧州連合
3. GERMANY . 3. ドイツ
4. FRANCE  4. フランス
5. THE NETHERLANDS . 5. オランダ
PART VI. STATUS OF THE TRANSITION TO QUANTUM-SAFE: EXTRA-EU (UK, US, CHINA)  第VI部 量子耐性への移行状況:EU域外(英国、米国、中国)
1. INTRODUCTION  1. 序論
2. UNITED KINGDOM 2. 英国
3. UNITED STATES  3. 米国
4. CHINA  4. 中国
PART VII. TASK FORCE COMMENTS ON THE NIS COOPERATION GROUP ROADMAP  第VII部 NIS協力グループロードマップに関するタスクフォースのコメント
1. NIS COOPERATION GROUP ROADMAP 1. NIS協力グループロードマップ
2. TASK FORCE COMMENTS ON THE NIS COOPERATION GROUP ROADMAP . 2. NIS協力グループロードマップに関するタスクフォースのコメント .
PART VIII. TRANSITION TO PQC IN THE FINANCIAL SECTOR  第VIII部 金融セクターにおけるPQCへの移行
1. INTRODUCTION  1. 序論
2. TRANSITION TO PQC IN THE FINANCIAL SECTOR . 2. 金融セクターにおけるPQCへの移行 .
3. THE CURRENT REGULATORY LANDSCAPE (EU, UK, US) 3. 現行の規制環境(EU、英国、米国)
4. TRANSITION MODELS TO QUANTUM-SAFE CRYPTOGRAPHY IN THE FINANCIAL SECTOR  4. 金融セクターにおける量子耐性暗号への移行モデル
5. INITIATIVES IN THE FINANCIAL SECTOR 5. 金融セクターにおける取り組み
6. BOTTLENECKS IN THE FINANCIAL SECTOR’S PQC TRANSITION  6. 金融セクターにおけるPQC移行のボトルネック
PART IX: TRANSITION TO QUANTUM SAFE IN THE PUBLIC SECTOR  第IX部:公共セクターにおける量子耐性技術への移行
1. INTRODUCTION  1. 序論
2. TRANSITION TO PQC IN THE PUBLIC SECTOR 2. 公共セクターにおけるPQCへの移行
3. TECHNICAL BOTTLENECKS IN THE PUBLIC SECTOR’S PQC TRANSITION  3. 公共セクターにおけるPQC移行の技術的ボトルネック
4. CHALLENGES TO THE TRANSITION FROM A SOCIOTECHNICAL PERSPECTIVE 4. 社会技術的観点からの移行課題
PART X. TRANSITION TO QUANTUM SAFE IN THE DEFENCE SECTOR . 第X部:防衛セクターにおける量子耐性技術への移行
1. INTRODUCTION  1. 序論
2. QUANTUM TECHNOLOGIES IN DEFENCE  2. 防衛セクターにおける量子技術
3. RELEVANT STAKEHOLDERS AND QUANTUM DEFENCE INITIATIVES  3. 関連ステークホルダーと量子防衛イニシアチブ
4. QUANTUM-SAFE TRANSITION IN THE DEFENCE SECTOR  4. 防衛セクターにおける量子安全への移行
PART XI. RECOMMENDATIONS  第XI部 提言
1. GENERAL RECOMMENDATIONS 1. 一般的な提言
2. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE FINANCIAL SECTOR  2. 金融セクター向け追加推奨事項 
3. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE PUBLIC SECTOR 3. 公共セクター向け追加推奨事項
4. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE DEFENCE SECTOR  4. 防衛セクター向け追加推奨事項
ANNEX I. LIST OF TASK FORCE MEMBERS AND INVITED SPEAKERS 附属書 I. タスクフォースメンバー及び招待講演者リスト
ANNEX II. GLOSSARY  附属書II. 用語集
PRINCIPLES AND GUIDELINES FOR THE TASK FORCE  タスクフォースの原則とガイドライン
Figure
FIGURE 1. UNOFFICIAL CRQC TIMELINE (SAMUEL JACQUES)  図1. 非公式CRQCタイムライン(サミュエル・ジャック)
FIGURE 2. CRYPTO-DEPENDENCY MAPPING 図2. 暗号依存性マッピング
FIGURE 3. DIAGRAM FROM THE SPANISH NATIONAL CRYPTOLOGIC CENTRE ON THE DEPLOYMENT OF HYBRID ENCRYPTION MECHANISMS 図3. ハイブリッド暗号化メカニズムの展開に関するスペイン国家暗号センター図解
FIGURE 4. LGT’S CRYPTOGRAPHIC PRIORITY LEVELS  図4. LGTの暗号優先度レベル
FIGURE 5. PKI INFRASTRUCTURE 図5. PKIインフラストラクチャ
FIGURE 6. CONFIDENTIALITY AND AUTHENTICATION ON PKI 図6. PKIにおける機密性と認証
BOXES ボックス
BOX 1. CRYPTOGRAPHIC AGILITY AND HYBRID ENCRYPTION. ボックス1. 暗号の俊敏性とハイブリッド暗号
BOX 2. HYBRID ENCRYPTION METHODS: THE TASK FORCE’S TAKE  ボックス2. ハイブリッド暗号手法:タスクフォースの見解
BOX 3. THE EU DIGITAL WALLET CASE  ボックス3. EUデジタルウォレット事例 
BOX 4. THE TLS 1.3 CASE ボックス4. TLS 1.3事例
BOX 5. A SOCIOTECHNICAL PERSPECTIVE ON PQC BEYOND ‘Q-DAY’: THE ROLE OF HYPE  ボックス5. 「Q-DAY」を超えたPQCへの社会技術的視点:誇大宣伝の役割
TABLE
TABLE 1. LEVEL OF RANDOMNESS 表1. ランダム性のレベル

 

エグゼクティブサマリー

EXECUTIVE SUMMARY  エグゼクティブサマリー
In April 2025, CEPS launched a Task Force on Strengthening the EU Transition to a Quantum-Safe World. The objective of this initiative was to draw attention to the technical, market, governance, and policy challenges involved in Europe’s transition to quantum safe.  2025年4月、CEPS は「量子セキュリティの世界への EU の移行強化に関するタスクフォース」を立ち上げた。この取り組みの目的は、ヨーロッパの量子セキュリティへの移行に伴う技術、市場、ガバナンス、政策上の課題に注目を集めることだった。
The Task Force, designed as a multi-stakeholder platform, brought together eleven private organisations, eleven EU institutions and agencies, seven universities and think tanks, one national research agency, and one civil society organisation (see Annex I for the full list of participants).   マルチステークホルダー・プラットフォームとして設計された本タスクフォースには、民間組織11団体、EU機構・機関11機関、大学・シンクタンク7機関、国家研究機関1機関、市民社会組織1団体が参加した(参加者全リストは附属書I参照)。
The group aimed to develop practical guidelines for governments and businesses to strengthen and accelerate the EU’s transition to quantum safe. Its discussions addressed the technical, managerial, and governance challenges associated with implementing this process. These efforts resulted in a set of policy recommendations aimed at EU institutions, Member States, the private sector, and the research community to guide Europe’s secure transition toward quantum resilience.  同グループは、政府と企業がEUの量子耐性強化への移行を加速・強化するための実践的ガイドライン策定を目指した。議論では、このプロセス実施に伴う技術的・管理的・ガバナンス上の課題が取り上げられた。これらの取り組みの結果、EU機構・加盟国・民間部門・研究コミュニティに向けた一連の政策提言がまとめられ、欧州の量子レジリエンスへの安全な移行を導く指針となった。
The transition to post-quantum cryptography (PQC) poses an urgent strategic challenge for Europe. It requires careful coordination and long-term planning across both the public and private sectors. Quantum computers capable of breaking today’s cryptographic systems may emerge as early as the next decade. Yet transitioning to PQC is a lengthy and complex process. Past experiences with security-standard migrations suggest such transformations can take 10 to 15 years.  耐量子暗号(PQC)への移行は、欧州にとって差し迫った戦略的課題である。官民双方の慎重な調整と長期的な計画が必要だ。現行の暗号システムを破る量子コンピュータは、早ければ今後10年以内に登場する可能性がある。しかしPQCへの移行は長期かつ複雑なプロセスである。セキュリティ標準の移行に関する過去の経験から、このような変革には 10 年から 15 年かかることが示唆されている。
Despite this urgency, recent surveys by the European Union Agency for Cybersecurity (ENISA) and the Information Systems Audit and Control Association (ISACA) show that most European stakeholders remain underprepared. Only a small share has begun investing in post-quantum solutions, and overall awareness remains low. At the Member State level, Germany, France, and the Netherlands have taken leading roles by issuing guidance and launching PQC pilot projects, both through national roadmaps and within the Network and Information Systems (NIS) Cooperation Group. However, progress across the EU remains uneven, and the Union still lacks a coherent, unified transition framework like that of the United States.  このような緊急性にもかかわらず、欧州連合サイバーセキュリティ機関(ENISA)および情報システム監査管理協会(ISACA)による最近の調査では、欧州のステークホルダーの大半が依然として準備不足であることが明らかになっている。耐量子ソリューションへの投資を開始しているのはごく一部であり、全体的な認識は依然として低い。加盟国レベルでは、ドイツ、フランス、オランダが、国家ロードマップとネットワークと情報システム(NIS)協力グループの両方を通じて、ガイダンスの発行や PQC パイロットプロジェクトの立ち上げなど、主導的な役割を果たしている。しかし、EU 全体での進捗は依然として不均一であり、EU は米国のような首尾一貫した統一的な移行フレームワークをまだ備えていない。
Against this backdrop, the Task Force calls for strengthening the EU’s transition process towards quantum safety, guided by the following principles:  こうした背景から、タスクフォースは、以下の原則に基づき、量子セキュリティへの移行プロセスを強化するよう EU に要請する。
1)    Quantum-safe transition as a systemic transformation  1) 体系的な変革としての量子安全への移行 
The shift to quantum-safe cryptography should not be viewed as a routine technical upgrade but as a comprehensive, systems-level transformation. Transitioning to PQC extends beyond updating cryptographic libraries: it involves integrating new product versions, modifying the application programming interface (API), adapting software development lifecycles, and, in some cases, redesigning core business processes. It also demands proactive management of supplier, customer, and ecosystem relationships. This represents a major managerial challenge requiring long-term planning, skilled workforce development, and sustained organisational change.  量子安全暗号への移行は、日常的な技術的アップグレードではなく、包括的なシステムレベルの変革と捉えるべきである。PQC への移行は、暗号ライブラリの更新だけにとどまらない。新製品の統合、アプリケーション・プログラミング・インターフェース(API)の変更、ソフトウェア開発ライフサイクルの適応、場合によっては中核的なビジネスプロセスの再設計も伴う。また、サプライヤー、顧客、エコシステムとの関係を積極的に管理することも求められる。これは長期的な計画、熟練した人材の育成、持続的な組織変革を必要とする重大な経営課題である。
2)    Moving beyond the ‘Q-Day’ narrative  2) 「Q-Day」という物語の先へ
Public discussions often refer to ‘Q-Day’, the hypothetical moment when quantum computers render classical cryptography obsolete. While this framing can mobilise attention, it is misleading. Quantum capability will not arrive as a tsunami but as a gradual, uneven process, with early machines breaking selected keys before broader capabilities develop. A more realistic perspective is that of a ‘Q-period’, which supports balanced and adaptive migration strategies aligned with the actual pace of quantum and standards development.  公の議論では、量子コンピューターが従来の暗号技術を無効化する仮説上の瞬間「Q-Day」がしばしば言及される。この枠組みは注目を集めるが、誤解を招く。量子能力は津波のように一気に到来するのではなく、初期のマシンが特定の鍵を破る段階を経て、より広範な能力が発展する漸進的で不均一なプロセスとして現れる。より現実的な視点は「Q-period」という概念であり、量子技術と標準の実態に沿った、均衡のとれた適応的な移行戦略を支えるものである。
3)    Post-quantum cryptography as the core of the transition  3) 移行の中核としての耐量子暗号
PQC forms the backbone of the transition to quantum safety. These algorithms are designed to withstand attacks from quantum computers and are widely recognised by regulators and standardisation bodies as the only viable short- to medium-term solution. Other quantum technologies play more specialised roles:  PQC(耐量子暗号)は量子耐性への移行の基盤を成す。これらのアルゴリズムは量子コンピュータの攻撃に耐えるよう設計されており、規制当局や標準化団体から短期的・中期的には唯一の実行可能な解決策として広く認識されている。その他の量子技術はより専門的な役割を担う:
◼ Quantum key distribution (QKD) is not a direct substitute for public-key cryptography but a complementary technology that can offer diverse layered protection for specific high-security environments.  量子鍵配送(QKD)は公開鍵暗号の直接的な代替ではなく、特定の高セキュリティ環境向けに多様な階層的保護を提供する補完技術である。
◼ Quantum random number generators (QRNGs) provide certifiable entropy quality, ensuring that quantum-derived randomness can be embedded into cryptographic stacks and validated under recognised certification schemes.  量子乱数生成器(QRNG)は認証可能なエントロピー品質を提供し、量子由来の乱数を暗号スタックに組み込み、公認認証スキーム下で妥当性確認することを保証する。
4) A risk-based transition model  4) リスクベースの移行モデル
Migrating billions of devices to quantum-safe standards requires a structured, risk-based approach encompassing the following elements:  数十億台のデバイスを量子耐性標準へ移行するには、以下の要素を含む構造化されたリスクベースのアプローチが必要だ:
◼ Crypto agility: design cryptographic systems in a modular way, allowing for the easy replacement of cryptographic components.  暗号の俊敏性:暗号システムをモジュール式に設計し、暗号コンポーネントの容易な置換を可能にする。
◼ Awareness of crypto dependencies: since most organisations rely heavily on thirdparty vendors, understanding and managing supply chain dependencies is crucial. Organisations must engage suppliers, request clear timelines for quantum-safe capabilities, and monitor supply-chain readiness.  暗号依存関係の認識:大半の組織がサードパーティベンダーに依存しているため、サプライチェーン依存関係の理解と管理が重要だ。組織はサプライヤーと連携し、量子耐性機能の明確なタイムラインを要求し、サプライチェーンの準備状況を監視しなければならない。
◼ Crypto and product inventories: effective planning starts with a comprehensive inventory of internal and external dependencies, including software, hardware, APIs, and services. Critical systems should be prioritised for early migration.  暗号と製品のインベントリ:効果的な計画は、ソフトウェア、ハードウェア、API、サービスを含む内部・外部の依存関係を網羅的に把握することから始まる。重要システムは早期移行の優先対象とすべきである。
◼ Hybrid solutions: the coexistence of classical and quantum-resistant algorithms, known as hybrid cryptography, can enable interoperability and redundancy. To ensure global interoperability, hybrid solutions must be standardised through standards’ development organisations. The Task Force recommends broadening the definition of hybrid solutions to encompass ‘context-aware, technically inclusive approaches’ that combine multiple cryptographic mechanisms for resilience, such as PQC/traditional or PQC/QKD.   ハイブリッドソリューション:古典的アルゴリズムと量子耐性アルゴリズムの共存(ハイブリッド暗号)は相互運用性と冗長性を実現し得る。グローバルな相互運用性を確保するため、ハイブリッドソリューションは標準団体による標準化が必須である。タスクフォースは、PQC/従来型や PQC/QKD など、複数の暗号メカニズムを組み合わせてレジリエンスを高める「コンテキストを認識し、技術的に包括的なアプローチ」を包含するよう、ハイブリッドソリューションの定義を拡大することを推奨している。
When it comes to the design and implementation of a European Roadmap for PostQuantum Cryptography (from now on the Roadmap), beyond specific contributions made to the NIS Cooperation Group Roadmap (available in Part VII of this report), the Task Force highlights the need for the following actions:  ポスト量子暗号に関する欧州ロードマップ(以下、「ロードマップ」)の設計と実施に関しては、NIS 協力グループロードマップ(本報告書のパート VII で入手可能)への具体的な貢献に加え、タスクフォースは、以下の行動の必要性を強調する。
◼      Integrate quantum safety into digital systems from the outset: the European Commission and Member States should ensure that digital systems (e.g. the European Digital Identity Wallet) are designed to be quantum-safe from the start.  量子セキュリティを最初からデジタルシステムに統合する: 欧州委員会と加盟国は、デジタルシステム(欧州デジタル ID ウォレットなど)が最初から量子安全性を備えているように設計されていることを保証すべきである。
◼ Link the Roadmap to a quantum-transition strategy and existing legislations: a roadmap defines milestones and timelines, but a supporting strategy must clarify how Member States, vendors, and institutions will meet them.  ロードマップを量子移行戦略および既存の法律と連動させる:ロードマップはマイルストーンとタイムラインを定義するが、それを支援する戦略では、加盟国、ベンダー、機構がそれらをどのように達成するかを明確にする必要がある。
◼ Ensure alignment and coherence across roadmaps: with multiple quantum-safety roadmaps emerging at EU and national levels, the European Commission, Member States, and standardisation bodies must coordinate efforts to ensure coherence in timelines, dependencies, and objectives. Coordination with the US and other G7 partners is equally important.  ロードマップ間の整合性と一貫性を確保する:EUレベル及び国家レベルで複数の量子安全ロードマップが策定される中、欧州委員会、加盟国、標準化団体は、タイムライン、依存関係、目標における一貫性を確保するため、取り組みを調整しなければならない。米国及びその他のG7パートナーとの調整も同様に重要である。
◼ Introducing greater parallelisation into the Roadmap: the Roadmap’s current structure implicitly relies on a staged or linear approach, which may unintentionally create bottlenecks. This Task Force recommends introducing greater parallelisation into the Roadmap to accelerate progress and reduce systemic risk.  ロードマップへの並列化強化の導入:現行のロードマップ構造は段階的・直線的アプローチを暗黙に前提としており、意図せずボトルネックを生む可能性がある。本タスクフォースは進捗加速とシステムリスク低減のため、ロードマップへの並列化強化導入を推奨する。
Finally, the report underscores the importance of promoting awareness, cooperation, and effective governance throughout the transition to quantum safety. It calls for capacity building, skills development, and the establishment of dedicated crypto-management units within organisations.  最後に、本報告書は量子安全への移行過程における認識向上、協力、効果的なガバナンスの促進の重要性を強調する。組織内での能力構築、スキル開発、専門的な暗号管理ユニットの設置を要請する。
In detail, this Task Force makes recommendations to policymakers, the private sector and the research community that are summarised as follows[1].  詳細として、本タスクフォースは政策立案者、民間セクター、研究コミュニティに対し、以下の通り要約される提言を行う[1]。

 

共通の推奨事項...

1. GENERAL RECOMMENDATIONS   1. 一般的な提言
GR1. Develop crypto agility  GR1. 暗号の俊敏性を開発する
In the pursuit of quantum-safe encryption, the transition of encryption methods of billions of devices requires a specific model, needing design from a technical, organisational and policy perspective. For such an endeavour, a risk-based approach is necessary. Such an approach should revolve around crypto-agility principles based on measured risks and needs.  量子安全な暗号化を追求するにあたり、数十億台のデバイスの暗号化手法を移行するには、技術的・組織的・政策的な観点から設計された特定のモデルが必要だ。このような取り組みにはリスクベースのアプローチが不可欠である。このアプローチは、測定されたリスクとニーズに基づく暗号の俊敏性の原則を中心に据えるべきだ。
GR2. Engage with suppliers to take care of crypto dependencies  GR2. 暗号依存関係の対応についてサプライヤーと連携する 
Most organisations rely heavily on third-party products and services, and supply chain dependencies frequently define the constraints and possibilities of migration. Migration to PQC often stalls when critical products or dependencies are beyond the direct control of the organisation. Software vendors and suppliers are on staggered upgrade schedules, and many cryptographic components are buried in complex, nested dependencies. To address this, organisations need robust engagement with suppliers, clear requests for timelines on quantum-safe capabilities, and a mechanism for tracking supply-chain readiness.   多くの組織はサードパーティ製品・サービスに大きく依存しており、サプライチェーン依存関係が移行の制約と可能性を頻繁に決定づける。重要な製品や依存関係が組織の直接管理外にある場合、PQCへの移行はしばしば停滞する。ソフトウェアベンダーやサプライヤーは段階的なアップグレードスケジュールを採用しており、多くの暗号化コンポーネントは複雑にネストされた依存関係の中に埋もれている。この問題に対処するには、組織はサプライヤーとの強固な連携、量子耐性機能のタイムラインに関する明確な要求、サプライチェーンの準備状況を追跡する仕組みが必要だ。 
GR3. Building and maintaining crypto and product inventories    GR3. 暗号と製品のインベントリの構築と維持
In preparation for the shift to post-quantum cryptography, organisations are increasingly focusing on how cryptographic and product inventories are built and maintained. Developing inventories should be prioritised, focusing first on the most relevant use cases. Prioritising such an inventory will help with building a roadmap and provide context on migration activities. An inventory of cryptographic assets is an important task that, based on previous analysis, will facilitate a better understanding of the landscape of what needs to be migrated. What emerges is not a rigid blueprint, but rather a set of guiding practices, shaped by early planning, collaboration across technical and governance teams, and a clear understanding of what such inventories need to capture and why.   ポスト量子暗号への移行に備え、組織は暗号資産と製品インベントリの構築・維持方法に注力している。インベントリ開発は優先度が高く、最も関連性の高いユースケースから着手すべきだ。優先順位付けはロードマップ構築と移行活動の文脈提供に寄与する。暗号資産インベントリは重要課題であり、事前分析に基づく移行対象の全体像把握を促進する。そこから生まれるのは硬直した設計図ではなく、初期計画、技術チームとガバナンスチーム間の連携、そしてこうしたインベントリが何を捕捉すべきか、その理由を明確に理解することで形作られる一連の指針となる実践である。
Cryptographic inventories are a detailed mapping of where and how cryptography is used across an organisation’s systems. Its objectives are to identify the cryptographic algorithms in use today (Rivest-Shamir-Adleman Algorithm (RSA), elliptic-curve cryptography (ECC), Advanced Encryption Standard (AES)), their implementation context (code signing; Transport Layer Security (TLS) for communications), their quantum resistance status (legacy or PQC), and the dependencies of cryptographic modules and standards.   暗号インベントリとは、組織のシステム全体で暗号技術がどこでどのように使用されているかを詳細にマッピングしたものである。その目的は、現在使用されている暗号アルゴリズム(Rivest-Shamir-Adleman アルゴリズム(RSA)、楕円曲線暗号(ECC)、Advanced Encryption Standard(AES))、実装コンテキスト(コード署名、コミュニケーションのための Transport Layer Security(TLS))、量子耐性ステータス(レガシーか PQC か)、暗号モジュールと標準の依存関係を識別することである。
Product inventories focus on external products, services, and hardware that an organisation uses (i.e. third-party providers), and map the cryptographic characteristics of these products. When purchasing new software, hardware, or cloud services, organisations would require vendors to disclose the cryptographic algorithms and protocols used in their products, potentially including a roadmap for post-quantum upgrades.  製品インベントリは、組織が使用する外部製品・サービス・ハードウェア(つまりサードパーティプロバイダ)に焦点を当て、それらの暗号特性をマッピングする。新規ソフトウェア・ハードウェア・クラウドサービス購入時には、ベンダーに対し製品で使用される暗号アルゴリズムとプロトコルの開示を要求し、場合によっては耐量子アップグレードのロードマップも求める必要がある。
GR4. Integrate quantum-safety into digital systems from the start  GR4. デジタルシステムに量子耐性を最初から組み込む
The European Commission and Member States should ensure that digital systems (such as the European Digital Identity Wallet) are designed to be quantum-safe from the start. In other terms, if new services or systems or standards are introduced that require crypto, then this crypto should be quantum safe from day one. This means integrating postquantum cryptography into system architecture, certification, and procurement processes rather than treating it as a future retrofit.  欧州委員会と加盟国は、欧州デジタルIDウォレットなどのデジタルシステムが最初から量子耐性を備えるよう設計することを保証すべきだ。言い換えれば、暗号を必要とする新サービス・システム・標準を導入する場合、その暗号は初日から量子耐性を持つ必要がある。これはポスト量子暗号を将来的な後付けではなく、システムアーキテクチャ・認証・調達プロセスに統合することを意味する。
GR5. Going beyond hype: from a Q-Day to a Q-period  GR5. 誇大宣伝を超えて:Q-DayからQ-periodへ
Discussions of PQC are frequently animated by the spectre of Q-Day, a sudden moment when a powerful quantum computer renders classical cryptography obsolete. While useful as a mobilising narrative, this framing risks distorting the problem. Quantum capability will not arrive as a tsunami but as a gradual, uneven process. A handful of machines will first be able to break selected keys, before scaling to broader applications. Therefore, a more realistic framing, treating the problem as a Q-period, rather than a QDay, would support balanced migration strategies, paced with the actual evolution of quantum capability and standards readiness.  PQCに関する議論は、強力な量子コンピュータが古典暗号を無効化する瞬間「Q-Day」の脅威によって頻繁に盛り上がる。動員のための物語としては有用だが、この枠組みは問題を歪めるリスクがある。量子能力は津波のように一挙に到来するのではなく、漸進的かつ不均一なプロセスとして現れる。まず少数のマシンが特定の鍵を破り、その後広範な応用へ拡大する。したがって、Q-DayではなくQ-periodとして問題を捉える現実的な枠組みは、量子能力の実際の進化と標準の準備状況に歩調を合わせた、バランスの取れた移行戦略を支えるだろう。
GR6. Linking the Roadmap for the Transition to Post-Quantum Cryptography[2] to a quantum transition strategy and to existing laws  GR6. 量子暗号移行ロードマップ[2]と量子移行戦略・既存法規の連携
There are significant risks in pursuing an EU quantum-safe roadmap without a coordinated, risk-aware transition strategy. A roadmap must specify what milestones are required and by when, but only a supporting strategy can define how Member States, vendors, and institutions will meet them. Without synchronised standards, certification schemes, interoperability frameworks, and testing infrastructures, regulation may outpace readiness.  調整されたリスク認識型移行戦略なしにEUの量子安全ロードマップを推進することは重大なリスクを伴う。ロードマップは必要なマイルストーンと期限を明記すべきだが、加盟国・ベンダー・機構がそれらを達成する方法を定義できるのは支援戦略のみである。標準、認証スキーム、相互運用性枠組み、試験インフラが同期しなければ、規制が準備態勢を追い越す恐れがある。
GR7. Ensure alignment and coherence across roadmaps   GR7. ロードマップ間の整合性と一貫性の確保
Multiple roadmaps for quantum-safe transition are currently being developed and discussed at the EU and national levels, covering post-quantum cryptography, quantum communication, and related infrastructure initiatives. While each roadmap sets valuable priorities and indicative milestones (e.g. 2026, 2030, 2035), their coexistence risks producing fragmented or worse incompatible requirements and implementations if not properly aligned. The European Commission, together with Member States and standardisation bodies, should therefore promote cross-roadmap coordination to ensure coherence in timelines, dependencies, and objectives.   EUレベルおよび国家レベルでは現在、ポスト量子暗号、量子通信、関連インフラ構想を網羅する量子耐性移行のための複数のロードマップが策定・議論されている。各ロードマップは貴重な優先事項と目安となるマイルストーン(例:2026年、2030年、2035年)を設定しているが、適切に調整されなければ、要求事項や実装が断片化、あるいは互換性を欠くリスクがある。欧州委員会は加盟国や標準化団体と連携し、タイムライン、依存関係、目標の一貫性を確保するため、ロードマップ間の調整を推進すべきである。
To ensure global coherence and avoid fragmentation, the EU should also coordinate closely with the US and other G7 economies to align roadmaps, technical requirements, and timelines for quantum-safe transitions.  世界的な整合性を確保し分断を回避するため、EUは米国やその他のG7経済圏とも緊密に連携し、量子耐性移行に向けたロードマップ、技術要件、タイムラインの整合を図るべきである。
GR8. Introducing greater parallelisation into the Roadmap   GR8. ロードマップへの並列化強化の導入
The Roadmap’s current structure implicitly relies on a staged or linear approach, which may unintentionally create bottlenecks, particularly where progress in one area depends on completion in another. Given the complexity and heterogeneity of cryptographic systems across the EU, we recommend introducing greater parallelisation into the Roadmap to accelerate progress and reduce systemic risk[3].   ロードマップの現行構造は段階的・直線的アプローチを暗黙に前提としており、特にあるセクターの進展が別のセクターの完了に依存する場合、意図せずボトルネックを生む可能性がある。EU域内の暗号システムの複雑性と多様性を考慮し、進展加速とシステミックリスク低減のため、ロードマップへの並列化強化の導入を推奨する[3]。
GR9. Promoting awareness, cooperation and better governance  GR9. 認知度向上、協力促進、ガバナンス強化
In cyberspace, all nations are connected across borders and depend on each other, including in this transition. Therefore, Member States should create an environment or community where organisations, entities and stakeholders can share knowledge and experiences.  サイバー空間では、国境を越えて全ての国家が相互に依存し合っており、この移行においても同様である。したがって加盟国は、組織・事業体・関係者が知識と経験を共有できる環境またはコミュニティを構築すべきだ。
Member States should lead by example with transparent transition plans: publish and regularly update government transition roadmaps, including timelines, milestones and budgets, to foster knowledge sharing and best practices.  Roadmaps should broaden their definition of ‘stakeholder’ beyond ministries, regulatory agencies and technical experts. Civil society, minority networks and grassroots diversity, equity and inclusion (DEI) organisations should be recognised as co-leaders, not simply ‘consulted’.   加盟国は透明性のある移行計画で率先垂範すべきである:政府の移行ロードマップ(タイムライン、マイルストーン、予算を含む)を公表し定期的に更新し、知識共有とベストプラクティスの促進を図る。ロードマップは「利害関係者」の定義を省庁・規制機関・技術専門家を超えて拡大すべきだ。市民社会、マイノリティネットワーク、草の根の多様性・公平性・包摂(DEI)組織は単なる「相談相手」ではなく共同リーダーとして認識されるべきである。
The Roadmap for the transition to PQC should establish mechanisms (citizen assemblies, consultation panels, regular transparent updates) to ensure citizens not only receive information but can actively shape strategies. The Roadmap should encourage joint pilot projects at the EU level to test interoperability of PQC in cross-border services before 2030.  PQC移行ロードマップは、市民が情報を受け取るだけでなく戦略を積極的に形成できる仕組み(市民会議、協議パネル、定期的な透明性ある更新)を確立すべきだ。ロードマップは、2030年までに国境を越えたサービスにおけるPQCの相互運用性を試験するため、EUレベルでの共同パイロットプロジェクトを促進すべきだ。
We suggest establishing a public-private PQC migration observatory under ENISA to monitor advances and recommend acceleration of timelines if necessary.  ENISA傘下に官民共同のPQC移行監視機関を設置し、進捗を監視するとともに、必要に応じてタイムラインの加速を推奨することを提案する。
GR10.  Promoting skill development and management structures  GR10. 技能開発と管理構造の促進
Finally, successful migration also depends on management structures and skill development. Cryptographic migration is no longer just the purview of niche technical experts; it requires cross-functional teams, transparent governance, and clear process ownership. Organisations should have a well-established, funded, and empowered programme that starts with clear business-level priorities. Much of the current progress is bottom-up and lacks executive support.  最後に、移行の成功は管理構造と技能開発にも依存する。暗号技術移行はもはやニッチな技術専門家の領域ではなく、部門横断チーム、透明性のあるガバナンス、明確なプロセス所有権を必要とする。組織は明確な事業レベル優先事項から始まる、確立され資金提供され権限付与されたプログラムを持つべきだ。現在の進捗の多くはボトムアップであり、経営陣の支援が不足している。
[1] The extended version of the Recommendations is avalable in Part XI.  [1] 推奨事項の拡張版は第XI部で入手可能である。
[2] Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography, from now on the Roadmap.  [2] 耐量子暗号移行のための調整済み実装ロードマップ(以下「ロードマップ」と呼ぶ)。
[3] Specific, actionable suggestions for increasing parallelism while maintaining coordination and alignment are available in  Part XI.  [3] 調整と整合性を維持しつつ並列性を高めるための具体的かつ実行可能な提案は第XI部で入手可能である。

 

金融、政府、防衛の特有の事象

 

2. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE FINANCIAL SECTOR  2. 金融セクター向け追加推奨事項
FS1. Create an ad hoc PQC governance structure  FS1. 臨時的なPQCガバナンス体制を構築する
Governance structures are vital. Firms should establish a PQC transition steering committee or task force. This group oversees inventorising cryptographic usage, tracking standards, and setting migration timelines in alignment with business priorities and regulatory requirements. Many large banks have already formed internal ‘quantum risk’ or ‘crypto agility’ teams for this purpose.  ガバナンス体制は極めて重要である。企業はPQC移行運営委員会またはタスクフォースを設置すべきだ。このグループは、暗号技術の使用状況の把握、標準の追跡、事業優先度と規制要件に沿った移行スケジュールの設定を監督する。多くの大手銀行は既にこの目的で内部の「量子リスク」または「暗号技術対応」チームを編成している。
FS2. Enhancing collaboration with vendors and partners  FS2. ベンダー・パートナーとの連携強化
The financial sector’s crypto infrastructure extends beyond the walls of any single institution. It includes vendors, third-party service providers, and hardware manufacturers. It depends on these actors. A key bottleneck is the readiness of technology providers to support PQC. Therefore, firms should engage vendors early to ensure their roadmaps include PQC support, effectively asking for crypto agility by design in new procurements. Vendor incentives may be increased and fragmentation reduced if financial institutions can agree on common procurement standards.  金融セクターの暗号インフラは単一機構の枠を超えている。ベンダー、サードパーティサービスプロバイダー、ハードウェア製造事業者を含む。これらの主体に依存している。主要なボトルネックは、技術プロバイダがPQCをサポートする準備態勢だ。したがって企業は、ベンダーと早期に関わり、ロードマップにPQCサポートが含まれるよう確保すべきである。新規調達では設計段階からの暗号適応性を効果的に求めることになる。金融機関と機構が共通調達標準で合意できれば、ベンダーのインセンティブ向上と分断の軽減が可能となる。
FS3. Upgrade the financial sector underlying infrastructure  FS3. 金融セクター基盤インフラのアップグレード
Companies need to upgrade their underlying infrastructure to ensure that hardware security modules (HSMs), cryptographic libraries, virtual private network (VPN) appliances, and other related components can support quantum-safe algorithms. A key recommendation is to modernise algorithms as part of the ongoing broader IT modernisation initiative. For example, if a bank is migrating services to the cloud or replacing core banking systems, crypto-agility considerations should be built in from the start.  企業は基盤インフラをアップグレードし、ハードウェアセキュリティモジュール(HSM)、暗号ライブラリ、仮想プライベートネットワーク(VPN)アプライアンス、その他関連コンポーネントが量子耐性アルゴリズムをサポートできるようにする必要がある。継続的な広範なIT近代化イニシアチブの一環としてアルゴリズムを近代化することが重要な提言である。例えば、銀行がサービスをクラウドに移行する場合や基幹銀行システムを刷新する場合、暗号の適応性を考慮した設計を最初から組み込むべきである。
FS4. Prioritise actions based on risk assessment  FS4. リスクアセスメントに基づく優先順位付け
Given the scale of the transition, not everything can be changed at once. A risk-based approach is essential to prioritise which systems and data to secure first. This process begins with a cryptographic inventory. Instead of aiming for a comprehensive inventory that is costly and may become outdated once actual migrations begin, we recommend a top-down and risk-based approach that creates inventories for migrating specific parts of the business based on a business-level risk-reward analysis. While certain dependencies will need to be maintained, this ensures that the business justification and value can be identified and tracked while migrating.  移行の規模を考慮すると、全てを一度に変更することは不可能である。どのシステムとデータを優先的に保護すべきかを判断するには、リスクベースのアプローチが不可欠である。このプロセスは暗号資産の棚卸しから始まる。実際の移行開始後に陳腐化する可能性があり、かつコストのかかる包括的なインベントリ作成を目指すのではなく、事業レベルのリスク・リターン分析に基づき、事業の特定部分のみを移行対象とするインベントリを作成するトップダウンかつリスクベースのアプローチを推奨する。特定の依存関係は維持する必要があるものの、これにより移行中に事業の正当性と価値を特定・追跡できる。
FS5. Perform cost-benefit analysis of mitigation options  FS5. 緩和策の費用便益分析を実施する
Not all solutions are equal: some may involve hardware changes (using hybrid solutions in hardware or deploying quantum random number generators or QKD links), while others are purely software-based (switching to PQC algorithms). The Task Force mentions that a complete crypto transition for a large bank could cost in the order of hundreds of millions of dollars. The importance of quantified risk assessments for boards and executives is essential to justify expenditures against the risk reduction achieved. If the cost of inaction (i.e. potential fines, losses, and reputational damage from a future breach) outweighs the migration cost, the business case for PQC investment becomes clear.  解決策は全て同等ではない。ハードウェア変更を伴うもの(ハードウェア上のハイブリッドソリューション採用、量子乱数生成器やQKDリンクの展開)もあれば、純粋にソフトウェアベースのもの(PQCアルゴリズムへの移行)もある。タスクフォースは、大規模銀行における完全な暗号移行には数億ドル規模の費用がかかると指摘している。取締役会や経営陣にとって、達成されるリスク低減に対して支出を正当化するには、定量化されたリスクアセスメントが不可欠だ。何もしない場合のコスト(将来の侵害による潜在的な罰金、損失、評判の毀損)が移行コストを上回る場合、PQC投資のビジネスケースは明らかになる。
FS6. Overcome organisational and skills gaps  FS6. 組織的・技術的ギャップの克服
Financial institutions face a shortage of cryptographic skills and awareness at all levels. Cryptography has often been a niche domain in IT; now it must become a mainstream concern. The culture in many financial organisations has been to treat cryptography as a static utility. Changing this mindset to one of continuous cryptographic improvement is an organisational challenge.  金融機関は、あらゆるレベルで暗号技術のスキルと認識の不足に直面している。暗号技術はこれまでIT分野のニッチ領域であったが、今や主流の関心事となる必要がある。多くの金融機関では暗号技術を静的なユーティリティとして扱う文化が根付いている。この考え方を継続的な暗号技術の改善へと転換することは組織的な課題である。
   
3. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE PUBLIC SECTOR  3. 公共セクター向け追加推奨事項
PS1. Implement a sequenced migration plan across PKI and digital identity ecosystems  PS1. PKIおよびデジタルIDエコシステム全体での段階的移行計画の実施
Public administrations should adopt a coordinated, risk-based approach to upgrading public-key infrastructure (PKI) and digital identity systems. Migration should begin with the most critical and high-impact components, such as national identity registers, crossborder authentication services, and certificate authorities that anchor public trust, before extending to dependent systems. Administrations should conduct comprehensive cryptographic inventories to map dependencies and identify areas most exposed to quantum risks. This mapping should inform sequenced migration roadmaps that combine hybrid cryptography for short-term continuity with long-term adoption of post-quantum standards.  公共行政機関は、公開鍵基盤(PKI)とデジタルIDシステムのアップグレードに際し、調整されたリスクベースのアプローチを採用すべきだ。移行は、国民ID登録システム、越境認証サービス、公共の信頼を支える認証局など、最も重要かつ影響力の大きい構成要素から開始し、依存システムへ段階的に拡大する。行政機関は包括的な暗号技術インベントリを実施し、依存関係をマッピングするとともに、量子リスクに最も晒されている領域を特定すべきだ。このマッピングは、短期的な継続性のためのハイブリッド暗号技術と、長期的な耐量子標準の採用を組み合わせた段階的な移行ロードマップの策定に活用されるべきである。
PS2. Synchronise authentication layers to prevent fragmentation and service disruption  PS2. 分断とサービス中断を防ぐため認証レイヤーを同期させる
Authentication systems, roots, intermediates, browsers, and revocation services must evolve in lockstep to preserve trust and interoperability during the quantum transition. The European Commission and national authorities should coordinate migration to ensure simultaneous readiness across these layers. This includes benchmarking performance impacts, conducting interoperability and stress tests, and establishing fallback mechanisms to handle larger certificates and increased computational demands. A synchronised approach will prevent fragmented implementations and minimise service outages.  量子移行期における信頼性と相互運用性を維持するため、認証システム、ルート、中間証明書、ブラウザ、失効サービスは足並みを揃えて進化しなければならない。欧州委員会と各国当局は、これらのレイヤー全体で同時対応を確保するため移行を調整すべきである。これには、性能影響のベンチマーク、相互運用性テストとストレステストの実施、大規模な証明書や増加した計算要求に対応するためのフォールバックメカニズムの確立が含まれる。同期化されたアプローチは、断片化した実装を防ぎ、サービス停止を最小限に抑える。
PS3. Coordinate cross-border roadmaps and align national migration strategies  PS3. 国境を越えたロードマップを調整し、各国の移行戦略を整合させる
The European Commission and Member States should establish a joint roadmap for quantum-safe migration, aligning national PKI upgrades, timelines, and policy frameworks. This coordination should focus on interoperability across borders, ensuring that trust chains, certification processes, and governance models remain consistent within the EU. Regular reporting and shared readiness benchmarks should be institutionalised to ensure that national infrastructures evolve in sync and maintain mutual trust.  欧州委員会と加盟国は、量子耐性のある移行のための共同ロードマップを確立し、各国のPKIアップグレード、タイムライン、政策枠組みを整合させるべきである。この調整は国境を越えた相互運用性に焦点を当て、EU域内で信頼チェーン、認証プロセス、ガバナンスの一貫性を確保すべきだ。定期的な報告と共有された準備基準を制度化し、国家インフラが同期して進化し相互信頼を維持することを保証する必要がある。
PS4. Manage the quantum transition as a coordinated sociotechnical programme  PS4. 量子移行を協調的な社会技術プログラムとして管理する 
Post-quantum migration in the public sector should be approached as a whole-ofecosystem effort, not a purely cryptographic upgrade. The European Commission and Member States should establish coordination mechanisms bringing together technical agencies, regulators, standardisation bodies, and industry actors to guide the transition. Migration plans must also account for legacy and operational-technology constraints by scheduling upgrades and enabling parallel standards updates to prevent bottlenecks.  公共セクターにおける耐量子移行は、純粋な暗号化アップグレードではなく、エコシステム全体の取り組みとして取り組むべきである。欧州委員会と加盟国は、技術機関、規制当局、標準団体、産業関係者を結集する調整メカニズムを確立し、移行を指導すべきである。移行計画は、レガシーシステムや運用技術(OT)の制約を考慮し、アップグレードのスケジュール設定や並行した標準更新を可能にすることでボトルネックを防止しなければならない。
   
4. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE DEFENCE SECTOR  4. 防衛セクター向け追加推奨事項 
DS1. Develop a post-quantum transition roadmap  DS1. 耐量子移行ロードマップの策定
Defence industry stakeholders should establish a post-quantum transition roadmap that synchronises governmental policy milestones with industrial deployment. This roadmap should mandate comprehensive cryptographic inventories, prioritise mission-critical and high-risk systems, and coordinate cross-vendor testing of PQC implementations. Developing shared migration benchmarks will enhance interoperability across defence supply chains, prevent redundant efforts, and enable the modernisation of legacy command, control, and communication infrastructures without disrupting critical operations.  防衛産業関係者は、政府の政策マイルストーンと産業展開を同期させる耐量子移行ロードマップを確立すべきだ。このロードマップは包括的な暗号資産の棚卸を義務付け、ミッションクリティカルかつ高リスクシステムを優先し、PQC実装のクロスベンダーテストを調整すべきである。共通の移行ベンチマークを開発することで、防衛サプライチェーン全体の相互運用性が向上し、重複作業が防止され、重要な運用を妨げることなく、レガシーな指揮・統制・コミュニケーションインフラの近代化が可能となる。
DS2. Support industrial coordination  DS2. 産業連携の支援
Institutional stakeholders should support industrial coordination between defence primes, SMEs of the quantum industry, and research labs through funding mechanisms that prioritise European value chains and reduce reliance on non-EU suppliers.  機構は、欧州のバリューチェーンを優先し、非EUサプライヤーへの依存を減らす資金調達メカニズムを通じて、防衛プライム企業、量子産業の中小企業、研究機関間の産業連携を支援すべきである。
DS3. Address supply-chain dependencies  DS3. サプライチェーン依存への対応
Similarly, competent European institutions (e.g. the European Defence Agency (EDA), the European Commission and the European Defence Fund (EDF)) should address supply chain dependencies: several key quantum algorithms and hardware components currently originate in the US or Asia. European actors should prioritise developing proprietary quantum algorithms, photonics platforms, and cryogenic technologies in Europe.  同様に、欧州の関連機構(欧州防衛庁(EDA)、欧州委員会、欧州防衛基金(EDF)など)はサプライチェーン依存に対処すべきだ。現在、主要な量子アルゴリズムやハードウェア部品の多くは米国やアジアに起源を持つ。欧州関係者は、独自開発の量子アルゴリズム、フォトニクスプラットフォーム、極低温技術の開発を欧州で優先すべきだ。
DS4. Formalise public-private quantum innovation frameworks  DS4. 官民量子イノベーション枠組みの正式化
International and European defence institutions (EDA, NATO, EDF) should formalise public-private quantum innovation frameworks connecting established defence contractors with start-ups and academic labs. These partnerships should include shared testbeds, classified-and-open research and development (R&D) tracks, and co-funded demonstrators to accelerate technology transfer. Priority should go to dual-use quantum sensing and communication systems, ensuring civil R&D (from Quantum Flagship or national programmes) is adapted to defence applications.  国際的・欧州の防衛機構(EDA、NATO、EDF)は、既存防衛企業と新興企業・学術研究所を結ぶ官民量子イノベーション枠組みを正式化すべきだ。これらの連携には、共有テストベッド、機密・公開両方の研究開発(R&D)トラック、技術移転加速のための共同資金による実証機を含めるべきである。優先度は、民生用量子センシング・コミュニケーションシステムと防衛用量子センシング・コミュニケーションシステムの両方に置くべきである。これにより、民生用R&D(量子フラッグシップや国家プログラムによるもの)が防衛用途に適応されることを保証する。
DS5. Establish structured pilot-to-certification pathways  DS5. 構造化された試験運用から認証までの経路を確立する
To validate emerging quantum systems for operational use, the EU and NATO should establish structured pilot-to-certification pathways. Programmes such as OPENQKD should evolve into permanent Quantum defence testbeds, allowing companies (e.g. Thales, Leonardo, SMEs) to test prototypes under military conditions. Results should directly feed into European standardisation bodies (the European Telecommunications Standards Institute (ETSI), ENISA) to define security and interoperability benchmarks, thereby reducing time-to-deployment and ensuring trusted European solutions.  運用可能な量子システムを妥当性確認するため、EUとNATOは構造化された試験運用から認証までの経路を確立すべきである。OPENQKDなどのプログラムは恒久的な量子防衛試験基盤へと発展させ、企業(例:タレス、レオナルド、中小企業)が軍事条件下でプロトタイプを試験できるようにすべきである。結果は欧州標準化団体(欧州電気通信標準化機構(ETSI)、ENISA)に直接反映され、セキュリティと相互運用性の基準を定義することで、展開までの時間を短縮し、信頼できる欧州ソリューションを確保する。
DS6. Incentivise research in defence quantum technologies  DS6. 防衛量子技術研究へのインセンティブ
To incentivise research in defence quantum technologies, it is essential to establish secure knowledge-sharing mechanisms (e.g. classified research consortia, modular publications, or declassification windows) allowing academics to maintain academic career progression without breaching defence restrictions.  防衛量子技術研究を促進するには、安全な知識共有メカニズム(機密研究コンソーシアム、モジュール式出版、機密解除期間など)を確立することが不可欠である。これにより、研究者は防衛上の制約に抵触することなく、学術的キャリアを継続できる。

 

                                                                                         

 

| | Comments (0)

2025.12.16

Europol 無人化の未来:ロボット技術と無人システムが法執行に与える影響 (2025.12.08)

こんにちは、丸山満彦です。

Europolが、犯罪対策におけるロボット技術と無人システムの活用についての報告書を公表しています...

ざっと読みましたが、興味深い内容ですね...

犯罪者も新しい技術を利用した犯罪をしてきますから法執行機関もそれを上回る能力をもってそれに対応しなければなりませんね...その意味では、技術の活用はどんどん進化していくことになるわけですが、それに追随することが重要となりますが、その変化に応じて国民等への対応も変えていかなければなりませんね...

AIとロボティクスの融合は、国民への影響も大きいと思います。

 

Europol

・2025.12.08 New report explores use of robotics and unmanned systems in the fight against crime

New report explores use of robotics and unmanned systems in the fight against crime 新報告書が犯罪対策におけるロボット技術と無人システムの活用を検証
Europol publishes ‘The unmanned future(s): The impact of robotics and unmanned systems on law enforcement’ 欧州刑事警察機構が『無人化の未来:ロボット技術と無人システムが法執行に与える影響』を発表
Europol has today published The Unmanned Future(s): The Impact of Robotics and Unmanned Systems on Law Enforcement. The report, produced by the Europol Innovation Lab, provides an in-depth analysis of how unmanned systems could change society, crime and law enforcement, and discusses the challenges and opportunities they present. 欧州刑事警察機構は本日、「無人化の未来:ロボット技術と無人システムが法執行に与える影響」を発表した。欧州刑事警察機構・イノベーション・ラボが作成した本報告書は、無人システムが社会、犯罪、法執行をいかに変えるかについて詳細な分析を提供し、それらがもたらす課題と機会について論じている。
The report underscores the rapid advancement and integration of unmanned systems in various sectors, including law enforcement. As these technologies become more sophisticated and widespread, they offer new opportunities for law enforcement operations and operational support. However, they also introduce new security threats – such as misuse by criminal and terrorist groups – and regulatory challenges that law enforcement agencies must address to ensure public safety and maintain trust. 本報告書は、法執行を含む様々な分野における無人システムの急速な進歩と統合を強調している。これらの技術がより高度化し普及するにつれ、法執行活動や作戦支援に新たな機会をもたらす。しかし同時に、犯罪者やテロリスト集団による悪用といった新たな安全保障上の脅威や、公共の安全を確保し信頼を維持するために法執行機関が対処すべき規制上の課題も生じている。
Catherine De Bolle キャサリン・デ・ボール
Europol Executive Director 欧州刑事警察機構事務局長
The integration of unmanned systems into crime is already here, and we have to ask ourselves how criminals and terrorists might use drones and robots some years from now. Just as the internet and smartphones presented significant opportunities as well as challenges, so will this technology. Our new report by Europol’s Innovation Lab explores the future operating environment for European law enforcement agencies and suggests actions needed today in order to effectively combat crime while upholding public trust and fundamental rights tomorrow. 無人システムの犯罪への統合は既に現実のものとなっており、我々は数年後に犯罪者やテロリストがドローンやロボットをどう利用するかを自問せねばならない。インターネットやスマートフォンが大きな機会と課題を同時に提示したように、この技術も同様である。欧州刑事警察機構のイノベーションラボによる新たな報告書は、欧州法執行機関の将来の活動環境を探求し、将来の公共の信頼と基本的権利を守りつつ犯罪と効果的に戦うために、今日必要な行動を提案している。
One chapter of the report highlights the role of war as a driver for innovation in unmanned systems. Recent conflicts, such as the ongoing Russian war of aggression against Ukraine, have accelerated the development and deployment of advanced unmanned systems. The lessons learnt from these conflicts are invaluable for law enforcement agencies in Europe as they prepare for the future operating environment. 報告書の一章では、無人システムの革新を推進する要因としての戦争の役割を強調している。現在進行中のロシアによるウクライナ侵略戦争など、近年の紛争は先進的な無人システムの開発と展開を加速させた。欧州の法執行機関が将来の活動環境を準備する上で、これらの紛争から得た教訓は計り知れない価値を持つ。
Some of the key topics covered in the report include: 報告書で取り上げられた主なトピックは以下の通りである:
Increasing use of unmanned systems 無人システムの増加する利用
Unmanned systems are becoming increasingly useful, affordable and widely available, with applications in both public and private sectors. Law enforcement agencies across Europe are scaling up adoption of such systems, including drones and robots, to enhance situational awareness, improve safety and extend operational reach. These systems are employed for a range of tasks, such as monitoring, crime scene mapping, search and rescue operations, and the disposal of explosive ordnance, among others. Converging technologies present a significant opportunity for a breakthrough in the capabilities of unmanned systems. 無人システムは公共・民間双方の分野で、有用性・手頃な価格・普及度を急速に高めている。欧州の法執行機関は状況認識の向上、安全性の強化、作戦範囲の拡大を目的に、ドローンやロボットを含むこうしたシステムの導入を拡大中だ。監視、犯罪現場の測量、捜索救助活動、爆発物の処理など、多様な任務に活用されている。技術の融合は、無人システムの能力に飛躍的な進歩をもたらす大きな機会である。
Technical and regulatory challenges 技術的・規制上の課題
The report highlights significant technical limitations and regulatory gaps that hinder the effective use of unmanned systems in law enforcement. Issues such as limited autonomy, dependence on industrial suppliers and the lack of clear guidelines for autonomous operations pose substantial challenges. 本報告書は、法執行における無人システムの効果的な活用を妨げる重大な技術的制約と規制上の空白を指摘している。自律性の限界、産業サプライヤーへの依存、自律運用に関する明確なガイドラインの欠如といった問題が、重大な課題となっている。
Security threats 安全保障上の脅威
Criminal and terrorist groups are rapidly adopting unmanned systems for illicit activities. The report warns of the potential for these systems to be used for criminal surveillance, smuggling and even attacks. The increasing accessibility and versatility of drones, in particular, present serious security concerns. 犯罪組織やテロリスト集団は、違法活動のために無人システムを急速に採用している。本報告書は、これらのシステムが犯罪監視、密輸、さらには攻撃に利用される可能性について警告している。特にドローンの入手容易性と汎用性の高まりは、深刻な安全保障上の懸念をもたらしている。
Public trust and regulation 公共の信頼と規制
Public trust is crucial for the legitimacy of law enforcement capabilities. The report emphasises the need for transparency, accountability and public engagement in the deployment of unmanned systems. Current regulations, while advancing, still have gaps, particularly in addressing non-compliant or criminal use. 公共の信頼は、法執行能力の正当性にとって極めて重要である。本報告書は、無人システムの展開において透明性、説明責任、市民参加の必要性を強調している。現行規制は進展しているものの、特に非準拠または犯罪的使用への対応において依然として不備がある。
Future operating environment 将来の運用環境
The future of law enforcement will require policing in a three-dimensional space, as unmanned systems operate in the air and on the ground, as well as on and under water. This shift will necessitate new strategies, technologies and training for law enforcement agencies. 将来の法執行は、無人システムが空中・地上・水上・水中で活動する三次元空間での警察活動を求める。この変化は法執行機関に新たな戦略・技術・訓練を必要とする。
Recommendations 提言
The report provides a set of recommendations for European law enforcement agencies, including the development of a strategic direction, the establishment of a competency hub and the integration of unmanned systems into existing information systems. It also calls for investments in training, education and public trust-building initiatives. 本報告書は欧州の法執行機関に対し、戦略的方向性の策定、専門知識ハブの設置、無人システムの既存情報システムへの統合を含む一連の提言を行っている。また、訓練・教育・公共の信頼構築イニシアチブへの投資も求めている。
The report is available for download on the Europol website and includes detailed insights, case studies and recommendations for law enforcement agencies, policymakers and other stakeholders. 報告書は欧州刑事警察機構のウェブサイトからダウンロード可能であり、法執行機関・政策立案者・その他の関係者向けの詳細な分析、事例研究、提言が含まれている。

 

・2025.12.08 The Unmanned Future(s) - The impact of robotics and unmanned systems on law enforcement

The Unmanned Future(s) 無人化の未来
The impact of robotics and unmanned systems on law enforcement ロボット技術と無人システムが法執行に与える影響
Unmanned systems are employed across a range of industries, including manufacturing, healthcare, and, more recently, warfare. These technologies are also being increasingly adopted by law enforcement to enhance situational awareness, improve safety, and extend operational reach. However, their use raises concerns about safety, privacy, data protection, regulatory challenges, and the need to maintain public trust. 無人システムは製造事業者、医療、そして近年では軍事を含む様々な産業で活用されている。これらの技術は状況認識の向上、安全性の強化、作戦範囲の拡大を目的に、法執行機関でも採用が進んでいる。しかしその利用は安全性、プライバシー、データ保護、規制上の課題、そして国民の信頼維持の必要性といった懸念を引き起こす。
This report from Europol’s Innovation Lab examines the impact of robotic and unmanned systems on law enforcement. 欧州刑事警察機構のイノベーションラボによる本報告書は、ロボット技術と無人システムが法執行に与える影響を検証する。
Cite this publication: Europol (2025), The Unmanned Future(s), The impact of robotics and unmanned systems on law enforcement, Europol Innovation Lab observatory report, Publications Office of the European Union, Luxembourg. 引用情報: 欧州刑事警察機構(2025年)『無人化の未来(複数形)』―ロボット技術と無人システムが法執行に与える影響、欧州刑事警察機構イノベーション・ラボ観測所報告書、欧州連合出版局、ルクセンブルク。

 

・[PDF]

20251215-53242

 

 

 

Executive summary エグゼクティブサマリー
How might criminals or terrorists use drones and robots in three years from now? How might law enforcement police the air? And can or should the police develop their own RoboCop? 3年後、犯罪者やテロリストはドローンやロボットをどう利用するだろうか?法執行機関は空域をどう監視するだろうか?警察は独自のロボコップを開発できるのか、あるいはすべきなのか?
Unmanned systems are already widely used in various industries, including manufacturing, logistics, healthcare, agriculture, and more recently in warfare. Law enforcement agencies (LEAs) are increasingly adopting unmanned systems to enhance situational awareness, improve safety, and improve operational reach. However, the use of unmanned systems also raises concerns about safety and privacy, including issues related to technical limitations, data protection, regulatory challenges, and the need to ensure public trust. 無人システムは既に製造事業者、物流、医療、農業など様々な産業で広く利用されており、近年では戦争分野でも使用されている。法執行機関(LEA)は状況認識の向上、安全性の強化、作戦範囲の拡大を目的に無人システムの採用を加速させている。しかし、無人システムの利用は、技術的限界、データ保護、規制上の課題、公衆の信頼確保の必要性など、安全性とプライバシーに関する懸念も引き起こしている。
Some of these concerns also relate to various security threats, such as the potential for unmanned systems to be exploited by malicious actors1. Over the past years, tactics and equipment used in warfare have spilled over into organised crime and terrorism, impacting law enforcement. There has also been a reported increase in the use of drones around European infrastructure, and there are examples of drone pilots selling their services online, transforming this criminal process from crime-as-a-service to crime-at-a-distance. これらの懸念の一部は、悪意のある者による無人システムの悪用可能性など、様々なセキュリティ脅威にも関連している。過去数年間で、戦争で使用される戦術や装備が組織犯罪やテロリズムに波及し、法執行に影響を与えている。欧州のインフラ周辺でのドローン使用増加も報告されており、ドローン操縦者がオンラインでサービスを販売する事例も見られる。これにより犯罪プロセスは「犯罪サービス」から「遠隔犯罪」へと変容しつつある。
As unmanned systems become more and more integrated into everyday life, we have observed four converging trends, which will require LEAs to develop new strategies for policing and regulating these systems: 無人システムが日常生活にますます統合されるにつれ、我々は四つの収束する傾向を観察している。これらは法執行機関(LEA)に対し、これらのシステムを監視・規制するための新たな戦略開発を必要とする:
1. Unmanned systems are operating over increasingly vast distances. 1. 無人システムはますます広大な距離を跨いで運用される。
2. Unmanned systems are acting with growing autonomy and coordination. 2. 無人システムは自律性と協調性を増しながら行動する。
3. Unmanned systems are becoming progressively more capable. 3. 無人システムは次第に高度な能力を獲得する。
4. Unmanned systems increase rapidly in number and variety. 4. 無人システムは数と種類において急速に増加する。
With the advances in technology and increasing uptake in society, the future operational landscape for law enforcement will need to evolve to be able to monitor and act in all domains, from underwater to above ground, and develop ways to interact with new types of unmanned systems. 技術の進歩と社会での普及拡大に伴い、法執行機関の将来の活動領域は、水中から地上まであらゆる領域を監視・行動できるよう進化し、新たなタイプの無人システムとの相互作用方法を開発する必要がある。
Robots and drones bring the digital world to the physical world, requiring adaptation to deal with automated crime and crime conducted in the public by actors out of physical reach for law enforcement. ロボットやドローンはデジタル世界を物理世界に持ち込み、自動化された犯罪や、法執行機関の手の届かない場所にいる者による公共の場での犯罪に対処するための適応を要求する。
With Artificial intelligence (AI), there is a before and an after to unmanned systems capabilities. Experts expect physical, analytical and generative AI to drive the next wave of robotics, creating a “ChatGPT moment” for physical AI2. There are already robots that charge themselves or change their own battery when needed and collaborate with others to solve complex, goal oriented, missions. 人工知能(AI)の登場により、無人システムの能力には「以前」と「以後」が存在する。専門家は、物理的AI、分析的AI、生成的AIがロボット工学の次なる波を牽引し、物理的AIにおける「ChatGPT的瞬間」を生み出すと予測している2。既に、必要に応じて自ら充電したりバッテリー交換を行ったり、複雑な目標指向型ミッションを解決するために他者と協働するロボットが存在する。
In order to prepare for the future operating environment, a number of concrete steps can, and should, be taken. These range from the development of a strategic intent, a clear will, and updating of tactical, operational and security paradigms regarding unmanned systems. European law enforcement would also benefit from coming together in testing and evaluating unmanned systems for policing and law enforcement use and countering of such systems in realistic settings. However, for this to happen, a regulatory framework must be established with clear guidelines that support law enforcement innovation and testing, alongside investments in training and education for personnel. 将来の運用環境に備えるため、具体的な措置を講じることが可能であり、また必要である。これには無人システムに関する戦略的意図の策定、明確な意思の確立、戦術・運用・安全保障パラダイムの更新が含まれる。欧州の法執行機関は、警察活動や法執行用途における無人システムの試験・評価、および現実的な環境下での同システム対策において連携することで恩恵を得られる。ただしこれを実現するには、法執行の革新と試験を支援する明確なガイドラインを備えた規制枠組みの確立が不可欠であり、同時に要員の訓練・教育への投資も必要だ。
Additionally, the development of partnerships with European industry and academia will be crucial to leverage key technologies with citizen trust and stay ahead of emerging threats. Establishing and connecting competence hubs on national and European levels will further ensure that European law enforcement personnel have timely access to the necessary knowledge and skills to effectively use and police unmanned systems. さらに、欧州の産業界や学術界との連携構築は、市民の信頼を得つつ重要技術を活用し、新たな脅威に先んじる上で極めて重要だ。国家レベルおよび欧州レベルで専門知識ハブを設立し連携させることで、欧州の法執行機関職員が無人システムを効果的に運用・監視するために必要な知識と技能を適時に習得できる基盤がさらに強化される。
This foresight report provides an outlook on these unmanned futures and aims to raise awareness on the opportunities and threats that the technological progress in this field is expected to bring. Furthermore, the report aims to provide a robust and informed foundation for LEAs to make proactive decisions that shape the future. 本将来展望報告書は、こうした無人化の未来像を提示し、この分野の技術進歩がもたらすと予想される機会と脅威への認識を高めることを目的とする。さらに、法執行機関が未来を形作る先見的な意思決定を行うための、強固で情報に基づいた基盤を提供することを目指す。
Key insights 主な知見
> Changing needs, behaviours and services - As unmanned systems become more common, societies will have to adapt how they interact and adapt to this technology. This could have negative consequences, especially as these systems collect more detailed and personal information due to their growing presence in in our private lives. > 変化するニーズ、行動、サービス - 無人システムが普及するにつれ、社会はこの技術との関わり方や適応方法を変えざるを得なくなる。特に、こうしたシステムが私たちの私生活に浸透するにつれて、より詳細で個人的な情報を収集するようになるため、これは悪影響を及ぼす可能性がある。
> From situational to systemic - Challenges and benefits from unmanned systems will change as their deployment paradigm changes from situational (deployed and operated when needed) to systemic (becoming a standard part of operating procedure). This change will be similar to how the use and impact of smartphones has changed over the years. > 状況対応型からシステム化へ - 無人システムの課題と利点は、その展開パラダイムが状況対応型(必要時に配備・運用)からシステム化(運用手順の標準の一部となる)へと変化するにつれて変わる。この変化は、スマートフォンの利用と影響が年月を経て変化してきた様子に似ている。
> Fuelling of national security concerns - Recent conflicts have acted as drivers for innovation, accelerating the development and testing of novel unmanned systems, with both the technology and associated knowledge spreading quickly. National security concerns may also prevent law enforcement access to key technology. > 国家安全保障上の懸念の高まり - 近年の紛争はイノベーションの推進役となり、新型無人システムの開発と検証を加速させている。技術と関連知識は急速に拡散している。国家安全保障上の懸念が、法執行機関による重要技術へのアクセスを阻む可能性もある。
> Digital becomes physical – technology convergence - Unmanned systems operate using digital data but within the physical world. As several maturing technologies (such as AI, robotics, and high-speed data connectivity) converge, new capabilities emerge. By extending society’s digital transformation into the physical realm, crimes can be committed remotely and on a larger scale, raising more complex issues of attribution and accountability. > デジタルが物理化する-技術の融合 - 無人システムはデジタルデータを用いて動作するが、その活動領域は物理世界に限定される。複数の成熟技術(AI、ロボティクス、高速データ通信など)が融合するにつれ、新たな能力が生まれる。社会のデジタル変革を物理領域へ拡張することで、犯罪は遠隔かつ大規模に実行可能となり、帰属や責任の所在に関するより複雑な問題を引き起こす。
> From 2D to 3D policing - In our future societies, logistics and services will be available in the low altitude airspace. The operational environment for future law enforcement will expand in volume, going from a traditional two-dimensional responsibility to a three-dimensional, where crime can be committed in or from the air and law enforcement operations can be challenged from above. This will challenge traditional operational and tactical doctrine in law enforcement as well as security protocols. > 2次元から3次元への警察活動 - 将来の社会では、物流やサービスが低高度空域で提供されるようになる。将来の法執行機関の活動領域は立体的に拡大し、従来の2次元の責任範囲から3次元へと移行する。犯罪が空中や空中から行われる可能性があり、法執行活動も上空から妨害される可能性があるのだ。これは法執行機関の従来の作戦・戦術教義やセキュリティプロトコルに課題をもたらすだろう。
> From devices to collective - Law enforcement need to create a collaborative and interoperable team of various unmanned systems, capable of understanding missions and working together with humans. This would expand operational reach, combine different capabilities and enhance traditional law enforcement operations in new and effective ways. > 個別機器から集団体へ - 法執行機関は、様々な無人システムからなる協調的で相互運用可能なチームを構築する必要がある。このチームは任務を理解し、人間と連携して活動できるものでなければならない。これにより作戦範囲が拡大し、異なる能力が統合され、従来の法執行活動を新たな効果的な方法で強化できる

 

目次...

Glossary 用語集
Executive summary エグゼクティブサマリー
Key insights 主な知見
Introduction 序論
Current law enforcement use 現行の法執行機関による利用
Surveillance and reconnaissance 監視と偵察
Crime scene mapping and forensics 犯罪現場の地図作成と科学捜査
Search and rescue 捜索救助
Explosive ordnance disposal and hazardous materials 爆発物処理と危険物
Technical limitations 技術的制約
Lack of independence from industrial suppliers 産業サプライヤーからの独立性の欠如
Threat from unmanned systems 無人システムによる脅威
Countering unmanned systems 無人システムへの対抗
Public trust & regulation 公衆の信頼と規制
Key trends shaping the future 未来を形作る主な動向
Artificial intelligence and technological convergence 人工知能と技術の融合
The robotics industry – affordability and market dominance ロボット産業-手頃な価格と市場支配
Growing integration of robots in society 社会におけるロボットの統合の進展
War as a driver for innovation イノベーションの推進力としての戦争
The future operating environment 将来の運用環境
Unmanned systems as part of society 社会の一部としての無人システム
Internet of everything あらゆるもののインターネット
Digital becomes physical デジタルが物理的になる
Social robots ソーシャルロボット
No more privacy プライバシーの消滅
A 3D society needs 3D policing 3D社会には3D警察活動が必要だ
Recommendations 提言
Conclusions 結論
Endnotes 注記

 

将来の運用環境...

The future operating environment 将来の運用環境
One key consequence that the aforementioned trends all have in common is that LEAs, in the future, will see an increasing number of unmanned systems, from autonomous cars to social companion robots. This is going to have a significant impact on the work of law enforcement, as these additional entities may require new ways of policing, both to use them effectively, as well as to prevent their abuse. 前述の傾向に共通する重要な帰結は、将来、法執行機関が自律走行車から社会的伴侶ロボットに至るまで、無人システムの増加に直面する点だ。これらの追加的な事業体は、効果的な活用と悪用防止の両面において新たな警察手法を必要とするため、法執行業務に重大な影響を与えるだろう。
Unmanned systems as part of society 社会の一員としての無人システム
As more and more robots, drones and other unmanned systems are deployed to perform various functions in increasingly autonomous ways, they will become part of our lives and our public spaces. As it is the duty of law enforcement to police this space, LEAs will have to develop new ways to interact with these systems to separate the legal from illegal operations and ensure a safe space for everyone. This means being able to detect, monitor, stop, investigate or, ultimately, counter them with force. All of these will require exploration to identify novel operating procedures for law enforcement that are both safe and effective. ロボットやドローン、その他の無人システムが自律的に様々な機能を果たすようになれば、それらは私たちの生活や公共空間に溶け込んでいく。この空間を管理するのが法執行機関の責務である以上、LEAは合法的な運用と違法な運用を区別し、全ての人にとって安全な空間を確保するため、これらのシステムと関わる新たな方法を開発せねばならない。これは、検知、監視、停止、調査、そして最終的には武力による対抗手段を講じられる能力を意味する。これら全てにおいて、安全かつ効果的な新たな法執行手順を確立するための模索が必要となる。
Different kinds of unmanned systems may require different approaches. A key factor in this regard relates to the different types of technology and standards involved. This includes the following: f The design and development of unmanned systems might differ significantly based on their intended use. While the use of a law enforcement robots is likely to be heavily regulated, commercial or consumer-grade systems could have a much lower level of safety measures. The latter is also going to affect the forensic investigation of unmanned systems, as each encountered type might use different operating systems or data storage capacities. 無人システムの種類によって異なるアプローチが必要となる。この点で重要な要素は、関与する技術や標準の差異である。具体的には以下の通りだ: f 無人システムの設計・開発は、その用途によって大きく異なる可能性がある。法執行ロボットの使用は厳格に規制される一方、商用・一般消費者向けシステムは安全対策の水準がはるかに低い場合がある。後者は無人システムの法医学的調査にも影響を与える。遭遇する各タイプが異なるオペレーティングシステムやデータ保存容量を使用する可能性があるためだ。
・Unmanned systems may use different types of technology, including sensors and communications systems. While drones might rely on GPS, an autonomous ground vehicle might use LIDAR and computer vision. The response of law enforcement needs to take these differences into account, as different types of unmanned systems might require different types of approaches. ・無人システムはセンサーやコミュニケーションシステムなど、異なる技術を使用する可能性がある。ドローンがGPSに依存する一方、自律走行車両はLIDARやコンピュータビジョンを使用するかもしれない。法執行機関の対応はこれらの差異を考慮する必要がある。異なるタイプの無人システムには異なるアプローチが求められるためだ。
・The regulation of unmanned systems may vary per type. While drones might be subject to aviation laws, ground, surface and under water systems might be subject to entirely different regulation. Additionally, new regulation may emerge that seeks to cover all, as well as additional types. LEAs will need to understand these differences and how they will impact their operating environment and their capabilities. ・無人システムの規制は種類によって異なる可能性がある。ドローンは航空法規の対象となる一方、地上・水上・水中システムは全く異なる規制の対象となるかもしれない。さらに、これら全てを包括する新規制や追加規制が出現する可能性もある。法執行機関はこれらの差異と、それが自らの活動環境や能力に与える影響を理解する必要がある。
Additionally, from a practical point of view, law enforcement will need to prepare for changing societal expectations: while today’s discussions touch on points such as how to effectively stop a drone, the future operating environment might require LEAs to consider how to stop a humanoid robot. さらに実務面では、法執行機関は変化する社会の期待に備える必要がある。現在の議論がドローンの効果的な停止方法などに焦点を当てる一方、将来の運用環境ではヒューマノイドロボットの停止方法を検討する必要が生じるかもしれない。
INFO BOX – QUESTIONING A ROBOT INFO BOX – ロボットへの質問
In some jurisdictions, law enforcement agencies are already beginning to encounter the challenges of policing unmanned systems, such as driverless cars. For instance, when a police officer stops a driverless car involved in a minor accident, they need to determine whether the car’s actions were the result of a malfunction, a cyberattack, or a deliberate instruction from the car’s owner. However, the car itself may not be able to provide a clear answer, and performing a full forensic analysis of the system in real-time may not be feasible. 一部の管轄区域では、法執行機関が既に無人システムの取り締まり課題に直面し始めている。自動運転車がその一例だ。例えば、警察官が軽微な事故を起こした自動運転車を停止させた場合、その行動が故障、サイバー攻撃、あるいは所有者による意図的な指示のいずれによるものかを判断する必要がある。しかし、車両自体が明確な回答を提供できない可能性があり、システムに対する完全なフォレンジック分析をリアルタイムで実施することは現実的ではないかもしれない。
In the future, this problem is likely to become even more complex. Humanoid robots, in particular, may pose unique challenges, as they could be designed to interact with humans in a more sophisticated way, potentially making it more difficult to distinguish between intentional and accidental behaviour. 将来的にこの問題はさらに複雑化する可能性がある。特にヒューマノイドロボットは、人間との高度な相互作用を設計されるため、意図的な行動と偶発的な行動の区別が困難になるという独自の課題を提起するかもしれない。
Assessing the intention of such a system may be quite different from that of a natural person. While stopping a person allows for the questioning of a suspect carrying out an action, an unmanned system might be less cooperative about its instructions and intentions, maybe even incapable of explaining it. Current efforts aimed at making artificial intelligence systems more interpretable, explainable, as well as aligned83, will become critical when these systems move autonomously and physically. These developments will also impact how law enforcement will have to adapt and may have to result in new approaches to policing. こうしたシステムの意図を評価する方法は、自然人(生身の人間)の場合とは大きく異なる可能性がある。人間を停止させれば、行動中の容疑者に質問できるが、無人システムは指示や意図について協力的でない可能性があり、説明すらできないかもしれない。人工知能システムの解釈可能性、説明可能性、そして整合性向上を目指す現在の取り組みは、これらのシステムが自律的に物理的に動くようになると極めて重要になる。こうした進展は法執行機関の適応方法にも影響を与え、新たな警察活動の手法が必要になるかもしれない。
Law enforcement, too, may increasingly integrate different types of unmanned systems into its operational activities. Further integration of machine learning, deep learning, and computer vision will allow these robots to recognise and respond to potential threats in real-time. As such, human-robot collaboration is expected to become a crucial aspect of law enforcement operations, with officers and robots working side by side to respond to emergencies, conduct searches, and gather evidence together, building on each other’s advantages. 法執行機関もまた、様々な無人システムを運用活動に統合する傾向が強まるだろう。機械学習、深層学習、コンピュータビジョンのさらなる統合により、これらのロボットは潜在的な脅威をリアルタイムで認識し、対応できるようになる。こうしたことから、人間とロボットの協働は法執行活動の重要な側面となることが予想される。警官とロボットが互いの強みを活かし、緊急事態への対応、捜索活動、証拠収集を共に遂行するようになるのだ。
Internet of everything あらゆるもののインターネット
More widespread, low latency, high speed data networks, such as 5/6G and satellite communication, ensure connectivity everywhere. This will make ground for the use of Internet of Things (IoT) devises anywhere from underground areas to cities, rural areas and even oceans. 5G/6Gや衛星通信など、より広範で低遅延・高速なデータネットワークがあらゆる場所での接続性を保証する。これにより地下空間から都市部、農村部、さらには海洋に至るまで、あらゆる場所でモノのインターネット(IoT)デバイスの利用基盤が整う。
With more and more unmanned systems in circulation, an emerging concern relates to how these systems report on their activities to their owners, as well as how they will communicate with their environment and each other. This is likely to mean a vast increase in the amount of communication as well as dynamic changes in the nature of this communication. 無人システムの普及に伴い、新たな懸念として、これらのシステムが所有者に活動状況を報告する方法、環境や相互間の通信方法が浮上している。これは通信量の膨大な増加と、通信の性質における動的な変化を意味する可能性が高い。
Device-to-device communication will likely not be the same as communication between humans or even human-to-device This means developing new capabilities for legal wiretaps of communications of individual, as well as between such systems, and having the technical capability of interpreting this communication. デバイス間通信は、人間同士のコミュニケーションや人間とデバイスのコミュニケーションとは異なる性質を持つだろう。これは、個々のコミュニケーションやシステム間コミュニケーションに対する法的盗聴能力の開発、そしてこうしたコミュニケーションを解釈する技術的能力の必要性を意味する。
Digital becomes physical デジタルが物理化する
As unmanned systems become increasingly autonomous, equipped with AI and task-based controls, they are gaining agency to act on their own. This newfound autonomy raises concerns about undesirable and criminal behaviour, as their actions can have real- world consequences. Furthermore, their connected nature allows them to be controlled and instructed from anywhere, making it difficult to identify the intentions and responsible parties behind their actions, exacerbating the jump of cybercrime from the digital to the physical world. 無人システムが自律性を増し、AIやタスクベース制御を備えるにつれ、自ら行動する主体性を獲得しつつある。この新たな自律性は、望ましくない行動や犯罪行為への懸念を生む。なぜなら、それらの行動は現実世界に影響を及ぼし得るからだ。さらに、接続された性質ゆえに、どこからでも制御・指示が可能となり、行動の意図や責任者を特定することが困難になる。これにより、サイバー犯罪がデジタル世界から物理世界へ移行する現象が深刻化する。
Another aspect for law enforcement is the right to, and process for, seizing objects in criminal investigations. Robots will be seized as other objects but they pose a new risk since they, unlike other objects, can perform actions inside law enforcement facilities, such as record, steal, destroy or escape. With increasingly autonomous unmanned systems in circulation, law enforcement agencies will need to implement adequate processes for the seizure and storage of such technologies. 法執行機関にとっての別の側面は、刑事捜査における物証押収の権利と手続きである。ロボットは他の物と同様に押収されるが、他の物とは異なり、法執行機関の施設内で記録、窃取、破壊、逃走などの行動を実行できるため、新たなリスクをもたらす。自律型無人システムの流通が増加する中、法執行機関はこうした技術の押収と保管のための適切なプロセスを導入する必要がある。
The convergence of unmanned systems and cybercrime enables new forms of crime to emerge in the physical world. As such, these systems can be used as a means for cybercrime to interact with the physical environment and cybercrime may have more impact in the physical environment. To address this challenge, it will become increasingly critical to develop methods for monitoring, querying, and investigating these systems, as well as their instructors. Effective and acceptable ways of making them comply with the law or stopping them will be vital for law enforcement to remain relevant. 無人システムとサイバー犯罪の融合は、物理世界で新たな形態の犯罪が出現することを可能にする。したがって、これらのシステムはサイバー犯罪が物理環境と相互作用する手段として利用され、サイバー犯罪が物理環境により大きな影響を与える可能性がある。この課題に対処するため、これらのシステムとその操作者を監視・照会・調査する手法の開発がますます重要となる。法執行機関が機能し続けるためには、これらを法に従わせたり停止させたりする効果的かつ容認可能な方法が不可欠である。
INFO BOX – JAILBRAKING A ROBOT INFO BOX – ロボットの脱獄
Already today, we are facing the challenge on how to prevent AI from engaging in harmful behaviour. LLMs have repeatedly been jailbroken, either due to a lack of safeguards, or because of a wide variety of prompt engineering methods ‘trick the system’ into outputting content it does not understand is harmful. This is mainly because of the complexity and ambiguity of natural language used for prompting combined with the limitations of (current) AI systems in only predicting output based on training data, rather than actually understanding the content. As a result, guardrails are often external add-ons, added to the model after it has been trained. 既に今日、我々はAIが有害な行動に及ぶのをどう防ぐかという課題に直面している。LLMは繰り返し脱獄されてきた。安全装置の欠如による場合もあれば、多様なプロンプトエンジニアリング手法によって「システムを騙し」、有害と理解していない内容を出力させる場合もある。これは主に、プロンプトに用いられる自然言語の複雑さと曖昧さに起因する。加えて、(現在の)AIシステムは訓練データに基づく出力予測しかできず、内容を実際に理解する能力に制限がある。結果として、ガードレールは訓練後にモデルに追加される外部アドオンとなることが多い。
Safeguards need to balance usefulness and safety – restricting an AI system too much can make it unusable, leading to a trade-off. 安全対策は有用性と安全性のバランスを取る必要がある。AIシステムを過度に制限すると使用不能になり、トレードオフが生じる。
These attempts – trying to break current AI systems – will pave the way for doing the same with AI-driven unmanned systems. As unmanned systems increasingly rely on more and more capable AI for autonomous behaviour, the challenge on how to prevent safeguards from being bypassed for malicious activities is going to become increasingly important. Unless addressed, unmanned systems could be coerced into unintended behaviour. This might include the hijacking of autonomous vehicles or drones, the leaking of data from cameras and microphones, as well as the infliction of harm by unmanned systems on potential victims. 現在のAIシステムを破壊しようとするこれらの試みは、AI駆動型無人システムに対しても同様の対応が可能となる道を開くだろう。無人システムが自律行動のためにますます高性能なAIに依存するにつれ、悪意ある活動のために安全装置が回避されるのを防ぐ方法が、ますます重要になる課題となる。対処されなければ、無人システムは意図しない行動を強制される可能性がある。これには自律走行車両やドローンの乗っ取り、カメラやマイクからのデータ漏洩、さらには無人システムによる潜在的な被害者への危害加害などが含まれる可能性がある。
Social robots ソーシャルロボット
Social robots are specifically designed to interact with others on a more human level. While still in early stages, applications of social robots already exist, including those helping the elderly84 and children with autism85, as well as social robots acting as romantic partners86. Powered by AI, these robots are getting more and more convincing in their empathy, as well as better at anticipating human needs. ソーシャルロボットは、より人間的なレベルで他者と交流するよう特別に設計されている。まだ初期段階ではあるが、高齢者支援84や自閉症児支援85、恋愛パートナーとしての役割86など、ソーシャルロボットの応用例は既に存在する。AIによって駆動されるこれらのロボットは、共感能力がますます説得力を持つようになり、人間のニーズを予測する能力も向上している。
The empathetic capabilities of social robots might, in the future, be abused by criminal and terrorist actors for a variety of malicious activities. Particularly activities containing an element of convincing people, from disinformation to grooming, could see the advantage in the abuse of social robots for these purposes, making it a new modality of criminal social engineering. As chatbots are already being employed to deceive victims87, social robots may bring this trend to the physical realm and, potentially, cause even greater harm. These malicious efforts aimed at manipulating and deceiving their victims may be reinforced with increasing amounts of intimate data collected by social robots. As they become increasingly important parts of people’s lives and move around in their private sphere, they will increasingly know their owners more intimately – and possess highly sensitive information about them88 .
ソーシャルロボットの共感能力は、将来的に犯罪者やテロリストによって様々な悪意ある活動に悪用される可能性がある。特に、偽情報からグルーミングに至るまで、人を説得する要素を含む活動では、ソーシャルロボットを悪用する利点が見出され、新たな犯罪的社会工学の手法となるだろう。チャットボットが既に被害者を欺くために利用されているように、ソーシャルロボットはこの傾向を物理的領域に拡大し、潜在的にさらに大きな被害をもたらす可能性がある。被害者を操作・欺くことを目的としたこうした悪意ある行為は、ソーシャルロボットが収集する親密なデータの増加によって強化されるかもしれない。ソーシャルロボットが人々の生活においてますます重要な存在となり、私的領域を移動するにつれ、所有者をより深く知り、彼らに関する極めて機密性の高い情報を保持するようになると予想される。
Additionally, as social robots continue to connect with humans, we can expect shifts in how society feels about them and, consequently, how law enforcement should interact with them. While it may currently be acceptable for the police to take down a drone, interventions of unmanned systems evoking a more emphatic response might require more consideration. For instance, in 2015, a video showing people kicking a dog-shaped robot to demonstrate its balancing capabilities, sparked a debate about the ethics of kicking such a ‘dog’89. As robots become more human-like, in behaviour, appearance or both, it may be increasingly difficult for LEAs to apply existing legislation to respond to situations involving unmanned systems. Would hitting a “human” robot constitute physical abuse as others may perceive it? And at which point do people identify enough with a robot to consider negative behaviour towards it an offense? It will be critical to have anticipatory public debates and legislative efforts in order to provide a relevant and clear legal context. さらに、ソーシャルロボットが人間との接続を継続するにつれ、社会がそれらをどう捉えるか、ひいては法執行機関がそれらとどう関わるべきかについて、変化が生じると考えられる。
現時点では警察がドローンを撃墜することは許容されるかもしれないが、より強い反発を招く無人システムの介入については、より慎重な検討が必要となるだろう。例えば2015年、犬の形をしたロボットを蹴ってそのバランス能力を実証する動画が、そのような「犬」を蹴る行為の倫理について議論を巻き起こした。ロボットが行動や外見、あるいはその両方でより人間らしくなるにつれ、法執行機関が既存の法律を適用して無人システムに関わる状況に対応することは、ますます困難になるかもしれない。「人間」ロボットを殴る行為は、他者がそう認識するならば身体的虐待にあたるのか?そして、人々がロボットに対して十分な同情を抱き、それに対する否定的な行為を犯罪と見なす境界線はどこにあるのか?関連性があり明確な法的枠組みを提供するためには、先を見据えた公的な議論と立法努力が不可欠である。
No more privacy プライバシーの終焉
Satellites, artificial intelligence, open-source intelligence, and real-time surveillance have transformed modern conflict zones into what is now being called the transparent battlefield90, and maybe this expression is equally relevant for society in general, the transparent society. 衛星、人工知能、オープンソース情報、リアルタイム監視は、現代の紛争地帯を「透明な戦場」と呼ばれるものに変えた。この表現は、社会全体、すなわち「透明な社会」にも同様に当てはまるかもしれない。
Unmanned systems, navigating our world and interacting with us and each other will be observing the world around them, with us in it. When these become ubiquitous in society, this will mean that there is the possibility to be observed almost everywhere, anytime. With household assistant systems, this extends to people’s privacy spaces. Depending on the implementation and applicable data protection standards, the observations made by these systems could be used to gather data on people without their knowledge or explicit consent. While this has already been a business model widely applied in smartphones and a vast number of IoT devices, including household robots, an increase in capability and autonomy of unmanned systems are likely to exacerbate this threat to individual privacy. As these systems rely on sensors like cameras to navigate our world, questions relating to how to effectively regulate their use and deployment without stifling innovation will become increasingly important. While some general privacy related legislative aspects are already in place, a failure to regulate and implement may lead to a situation where people are subject to significant threat to their personal privacy when these potentially vast amounts of data are leveraged by companies and, potentially, criminals. Current crimes relying on the exploitation of data leaks and unsecured personal devices could become even more invasive when capable unmanned systems are found everywhere – in public, as well as at home. 無人システムは、私たちの世界を移動し、私たちや互いと交流しながら、私たちを含む周囲の世界を観察する。これらが社会に遍在する時、それはほぼどこでも、いつでも観察される可能性を意味する。
家庭用アシスタントシステムでは、これは人々のプライバシー空間にまで及ぶ。実装方法や適用されるデータ保護標準によっては、これらのシステムによる観察が、本人の知らぬ間に、あるいは明示的な同意なく個人データを収集するために利用される可能性がある。これは既にスマートフォンや家庭用ロボットを含む膨大なIoT機器で広く適用されているビジネスモデルだが、無人システムの能力と自律性の向上は、個人のプライバシーに対するこの脅威をさらに深刻化させるだろう。これらのシステムがカメラなどのセンサーに依存して世界をナビゲートする以上、イノベーションを阻害せずにその使用と展開を効果的に規制する方法に関する課題は、ますます重要になる。プライバシー関連の一般的な法的枠組みは既に存在するが、規制と実施が不十分であれば、企業が、そして潜在的には犯罪者が膨大な量のデータを活用する際に、個人のプライバシーが重大な脅威に晒される事態を招きかねない。データ漏洩や保護されていない個人端末の悪用を基盤とする現行の犯罪は、高性能な無人システムが公共の場だけでなく家庭内にも遍在する状況下では、さらに侵入的なものとなる可能性がある。
Law enforcement operations may be tactically limited by these omnipresent observers. Already, the widespread introduction of home security camera systems and smart cars has limited the possibility for law enforcement officers to investigate criminals covertly. Mobile robotics systems on the lookout for police, equipped with facial recognition to decide who is friend or not, may make it even more difficult for police to conduct their investigations and police certain areas effectively. こうした遍在する監視装置は、法執行機関の作戦行動を制約する可能性がある。既に家庭用防犯カメラやスマートカーの普及により、警察官が犯罪者を密かに捜査する余地は狭まっている。警察を警戒し、顔認識技術で味方か敵かを判断する移動型ロボットシステムが登場すれば、警察の捜査活動や特定区域の警備はさらに困難になるだろう。
Less accountability 説明責任の低下
The increasing autonomy of unmanned systems raises complex questions about liability and accountability. Unlike directly controlled systems, where the controller is clearly responsible for the system’s actions, autonomous systems blur the lines of responsibility. When an autonomous system breaks the law, it is unclear whether the owner, producer, coder, or system itself should be held liable. The current legal framework is inadequate to address these questions, and new concepts and regulations will be necessary to resolve them. The fact that the owner, producer, 39THE UNMANNED FUTURE(S). THE IMPACT OF ROBOTICS AND UNMANNED SYSTEMS ON LAW ENFORCEMENT 40 or system may not be within the same jurisdiction as the crime adds an additional layer of complexity, as is currently the case in the area of cybercrime, highlighting the need for a comprehensive approach to addressing these challenges. 無人システムの自律性が高まるにつれ、責任と説明責任に関する複雑な問題が生じる。制御者がシステムの行動に明確に責任を負う直接制御システムとは異なり、自律システムでは責任の境界線が曖昧になる。自律システムが法律に違反した場合、所有者、製造者、プログラマー、あるいはシステム自体に責任があるかは不明確だ。現行の法的枠組みではこれらの問題を解決できず、新たな概念と規制が必要となる。所有者、製造者、あるいはシステム自体が犯罪の発生地と同じ管轄区域内に存在しない可能性があるという事実は、サイバー犯罪分野で現在見られるように、さらなる複雑さを加える。これは、これらの課題に対処するための包括的なアプローチの必要性を浮き彫りにしている。
Effective regulation will be essential for law enforcement, too, in this context. A lack of relevant regulation may lead to limited uptake of these systems in law enforcement as well as a lack of public trust in the use by law enforcement of these systems. While unmanned systems provide unique opportunities to more effectively fight organised crime and terrorism, further precision of the general regulation of such systems to the context of law enforcement work will be key to enabling police organisations to develop needed capabilities to maintain relevance in a more unmanned future.
この文脈において、法執行機関にとっても効果的な規制は不可欠である。関連する規制が欠如している場合、法執行機関におけるこれらのシステムの導入が限定的になるだけでなく、法執行機関によるこれらのシステムの使用に対する公衆の信頼も損なわれる可能性がある。無人システムは組織犯罪やテロ対策において独自の機会を提供する一方で、警察組織がより無人化された未来において必要とされる能力を開発し、その重要性を維持するためには、法執行活動の文脈に即した一般規制のさらなる精密化が鍵となる。
To address the emerging challenges posed by autonomous unmanned systems, it is essential to establish a new framework that clarifies liability, accountability, and regulation. This framework must consider the complex relationships between the system, its instructors, and the physical environment, as well as the potential consequences of their actions. 自律型無人システムがもたらす新たな課題に対処するには、責任の所在、説明責任、規制を明確化する新たな枠組みの構築が不可欠である。この枠組みは、システム、その操作者、物理的環境の間の複雑な関係性、ならびにそれらの行動がもたらす潜在的な結果を考慮しなければならない。
A 3D society needs 3D policing 三次元社会には三次元警察活動が必要だ
The future operating environment for law enforcement will likely see a shift from monitoring two dimensional surfaces to three dimensional volumes. As criminal activities migrate across air, sea, and underground domains simultaneously, traditional perimeter-based policing becomes obsolete. This multi- dimensional criminality will require a multi-dimensional law enforcement response. 法執行機関の将来の活動環境は、二次元的な表面の監視から三次元空間の監視へと移行する可能性が高い。犯罪活動が空・海・地下領域を同時に横断するにつれ、従来の境界線に基づく警察活動は時代遅れとなる。この多次元的な犯罪性には、多次元的な法執行対応が求められる。
The majority of transport and logistics today moves on pre- determined streets and paths. Unmanned systems might challenge this arrangement, as drones, submersibles, and ground-based robots may not take the same paths as humans (and human-operated systems). With an increase in unmanned systems, under water and in the air, the planes in which humans operate will be become increasingly multi-dimensional. For law enforcement, unmanned systems not moving along the paths that are currently being policed will bring new challenges in terms of monitoring and enforcement. 現在の輸送・物流の大半は、予め定められた道路や経路を移動している。無人システムはこの構造に挑む可能性がある。ドローン、潜水艇、地上ロボットは、人間(および人間が操作するシステム)と同じ経路を取らないかもしれないからだ。水中・空中における無人システムの増加に伴い、人間の活動領域はますます多次元化する。法執行機関にとって、現行の監視経路を辿らない無人システムは、監視と取締りの面で新たな課題を提起する。
For instance, smuggling operations may choose remote or inaccessible routes to cross borders while avoiding detection, as drones enable them to fly through previously impossible to navigate domains. An increase in autonomy might make these criminal use cases more attractive, as the distance (and, subsequently, deniability) between smuggler and recipient can be greatly increased. Particularly remote areas, such as vast forests, may be extremely difficult to monitor effectively, given technical and resource constraints. If traffic in such remote areas increases, it will be increasingly important to find ways to have the means to respond to potential criminal abuse quickly and effectively. Furthermore, maritime smuggling can be decentralized effectively, using unmanned systems trafficking a variety of small harbours or coastal locations to avoid security in large, commercial harbours. 例えば密輸組織は、ドローンが従来航行不可能だった領域を飛行可能にしたことで、検知を回避しつつ国境を越えるために遠隔地やアクセス困難なルートを選択する可能性がある。自律性の向上は、密輸業者と取得者の距離(そして結果としての関与の否認可能性)を大幅に拡大できるため、こうした犯罪利用ケースをより魅力的にする可能性がある。特に広大な森林地帯のような辺境地域は、技術的・資源的制約から効果的な監視が極めて困難だ。こうした辺境地域での交通量が増加すれば、潜在的な犯罪的悪用に対して迅速かつ効果的に対応する手段を確保することがますます重要となる。さらに海上密輸は、大型商業港湾の警備を回避するため、無人システムを用いて多様な小規模港湾や沿岸地域を移動させることで、効果的に非中央集権化される可能性がある。
Cities will also see a major impact. As drone swarms replace individual drones, patrolling the skies will become a core law enforcement task, creating aerial highways that are increasingly dense with autonomous traffic. Criminal organisations will seek to exploit this density, blending in their own drones while carrying illicit goods through urban landscapes. The challenge will not be limited to detecting individual threats, but distinguishing malicious intent within clouds of legitimate aerial activity moving at significant speed. 都市部も大きな影響を受ける。個体ドローンから群れドローンへ移行するにつれ、空域のパトロールは法執行の核心的任務となり、自律飛行体でますます密集する空中ハイウェイが形成されるだろう。犯罪組織はこの密集状態を悪用し、違法品を積んだ自組織のドローンを都市景観に紛れ込ませるだろう。課題は個々の脅威を検知することだけでなく、正当な航空活動が高速で移動する群れの中から悪意ある意図を見分けることにある。
These emerging, multi-dimensional developments may mean that criminal activity goes undetected, also preventing statistical analysis and, thus, limiting prioritisation of this crime unless new monitoring techniques and modes of mitigation are identified and implemented. こうした多面的な新たな展開により、犯罪活動が検知されず、統計分析も妨げられる可能性がある。その結果、新たな監視技術や緩和手段が特定・導入されない限り、この犯罪への優先対応が制限されるだろう。
The emergence of swarms will effectively create a volume problem for law enforcement. Criminal and terrorist networks, as a result, think in volumes rather than routes, treating air, land, and sea as a single operational space. Consequently, the law enforcement response will require volumetric jurisdiction—the authority and capability to pursue threats seamlessly across vertical boundaries. 群れ(スウォーム)の出現は、法執行機関にとって実質的に「量の問題」を生み出す。その結果、犯罪組織やテロリストネットワークは経路ではなく量で考え、空・陸・海を単一の作戦空間として扱うようになる。したがって法執行機関の対応には、垂直境界を越えてシームレスに脅威を追跡する権限と能力、すなわち「体積的管轄権」が求められる。
Officers will need to understand how criminal activities flow through the three-dimensional spaces above, around, and beneath traditional patrol areas. 警官は、従来のパトロール区域の上空・周辺・地下という三次元空間を犯罪活動がどのように流れるかを理解する必要がある。
Unmanned systems themselves might provide part of the law enforcement response. Patrol drones and high-altitude pseudo- satellites (HAPS) equipped with high-resolution cameras and thermal imaging, for instance, could cover vast urban areas and provide real- time data to command centres. This capability would enable rapid response to incidents, improve detection of illicit system activity, and enhance overall policing effectiveness in the more unmanned future. Furthermore, law enforcement agencies could deploy fleets of drones in collaborative swarm formations to quickly assess and respond to large-scale emergencies, such as natural disasters or public safety threats, providing a coordinated response that maximises resource efficiency. On the borders, unmanned systems might patrol vast and otherwise inaccessible areas, using advanced sensors to detect illegal activities, while relaying crucial intelligence to human operators for swift intervention. 無人システム自体が法執行対応の一端を担う可能性がある。例えば高解像度カメラや熱画像装置を搭載したパトロールドローンや高高度疑似衛星(HAPS)は、広大な都市圏をカバーし、指揮センターへリアルタイムデータを提供できる。この能力により、無人化が進む未来において、インシデントへの迅速な対応、違法システム活動の検知、警察活動全体の効率化が図られる。さらに、法執行機関は協調的な群れ編成でドローンの艦隊を展開し、自然災害や公共安全上の脅威といった大規模な緊急事態を迅速に評価・対応できる。これにより資源効率を最大化する調整された対応が可能となる。国境地帯では、無人システムが広大で通常は到達困難な地域をパトロールし、高度なセンサーで違法活動を検知しながら、迅速な介入のため重要な情報を人間のオペレーターに中継するかもしれない。
These examples illustrate a future where technology not only enhances the capabilities of law enforcement but also transforms the way officers interact with their communities, environments, as well as robots and unmanned systems. The potential for collaborative swarms of drones to quickly respond to emergencies or for collaborative robots to enhance community policing and engagement could offer new and valuable capabilities in intelligence gathering, surveillance, and emergency response. At the same time, it would free up cognitive ability for human officers to focus on what humans do better, generating a double win. これらの事例は、技術が法執行機関の能力を強化するだけでなく、警官が地域社会や環境、さらにはロボットや無人システムと関わる方法そのものを変革する未来を示している。緊急事態に迅速に対応する協調型ドローンの群れや、地域警察活動と市民関与を強化する協調型ロボットの可能性は、情報収集、監視、緊急対応において新たな価値ある能力をもたらしうる。同時に、人間の警官は認知能力を解放され、人間がより得意な業務に集中できるようになる。これは二重の利益をもたらす。
   
Recommendations 提言
To address the emerging challenges and opportunities posed by unmanned systems, we recommend a joint approach on building law enforcement capability with and against unmanned systems, at both national and European levels. The recommendations are centred around four key capability components: operations management, competence, system and structure. 無人システムがもたらす新たな課題と機会に対処するため、国家レベルおよび欧州レベルの両方で、無人システムを「活用する」能力と「対抗する」能力を構築する共同アプローチを推奨する。提言は四つの主要能力要素を中心に構成される:作戦管理、能力、システム、構造である。
Operations management 運用管理
・Develop a strategic intent that outlines how LEAs want to respond to the development, use, and potential misuse of unmanned systems, as well as their impact on society. ・法執行機関が、無人システムの開発・使用・悪用可能性、および社会への影響にどう対応するかを示す戦略的意図を策定する。
・Establish a “physical sandbox” environment that enables LEAs to test, learn, and adapt unmanned systems in a real-world setting, outside of a laboratory, and facilitate international cooperation and collaboration on development, testing, and procurement. This will also provide fact-based input to policy makers.
・法執行機関が実験室外の実環境で無人システムを試験・学習・適応できる「物理的サンドボックス」環境を整備し、開発・試験・調達における国際協力・連携を促進する。これにより政策立案者への事実に基づく情報提供も行う。
・Develop a comprehensive strategy to support the creation of EU- based regulation, standards and certification for safety, security, lawful use, and interoperability. ・安全性、セキュリティ、合法的使用、相互運用性に関するEUベースの規制・標準・認証制度構築を支援する包括的戦略を策定する。
Competence 能力
・Establish a competence hub that connects internal teams to a centralised repository of knowledge, expertise, and best practices. This hub should be linked and coordinated at European level, facilitating the gathering and dissemination of relevant insights about unmanned systems across borders. When appropriate, the hub could give guidance on technological standards.
・内部チームを知識・専門性・ベストプラクティスの中央リポジトリに接続する能力ハブを設立する。このハブは欧州レベルで連携・調整され、国境を越えた無人システムに関する知見の収集と普及を促進する。必要に応じて、技術標準に関するガイダンスを提供できる。
・Invest in comprehensive training programs for personnel that cover a range of topics, including regulations, use, countermeasures, investigation, forensics and protection related to unmanned systems. ・無人システムに関連する規制、使用、対策、調査、フォレンジック、防御など幅広いトピックを網羅した包括的な人材育成プログラムに投資する。
・Build trust and transparency with society by establishing outreach, consultation, and co-creation programs to actively involve citizens. ・市民を積極的に巻き込むためのアウトリーチ、協議、共同創造プログラムを確立し、社会との信頼と透明性を構築する。
System システム
・Integrate unmanned systems into existing information systems. This includes information access, information management, and decision-making flows to enhance operational effectiveness.
・無人システムを既存の情報システムに統合する。これには、運用効率を高めるための情報アクセス、情報管理、意思決定フローが含まれる。
・Develop a structured information flow regarding the criminal use of unmanned systems in Europe. Include in this flow forensic data to support counter-technologies. ・欧州における無人システムの犯罪的利用に関する構造化された情報フローを開発する。このフローには、対抗技術を支援するためのフォレンジックデータを含める。
・Establish a centralised standardisation and procurement process for technologies that benefit from coordinated and standardised purchases. Ensure that this process prioritises interoperability, technological independence and fosters the creation of law enforcement-centric solutions. ・協調的かつ標準化された調達による恩恵を受ける技術のため、中央集権的な標準化・調達プロセスを確立する。このプロセスでは相互運用性、技術的独立性を優先し、法執行機関中心のソリューション創出を促進する。
Structure 構造
・Adapt the command structure of law enforcement agencies to accommodate the capabilities of unmanned systems and AI. Agencies should transition to Command, Control, Collaboration, and Autonomy (C3A) frameworks, which enables interoperability, collaboration, flexibility, and adaptability. C3A frameworks recognise that unmanned systems and AI can operate more autonomously, making decisions and taking actions in real-time, and that human operators must be able to collaborate with these systems to achieve shared goals within necessary timeframes.
・無人システムとAIの能力に対応できるよう、法執行機関の指揮構造を適応させる。各機関は、相互運用性、連携、柔軟性、適応性を可能とする指揮・統制・連携・自律(C3A)枠組みへ移行すべきである。C3A枠組みは、無人システムとAIが自律性を高め、リアルタイムで意思決定と行動を実行できること、また人間のオペレーターが必要な時間枠内で共通目標を達成するため、これらのシステムと連携できる必要があることを認識している。

 

結論...

Conclusions 結論
The integration of more capable unmanned systems into society is expected to have a significant impact. Driven by the convergence of emerging technologies such as AI, sensors, robotics, and next- generation communications systems, the rapid progress in the field will likely lead to the widespread adoption of unmanned systems in various domains, including everyday life and law enforcement operations. より高性能な無人システムの社会への統合は、大きな影響をもたらすと予想される。AI、センサー、ロボティクス、次世代コミュニケーションシステムといった新興技術の融合に後押しされ、この分野の急速な進展は、日常生活や法執行活動を含む様々な領域での無人システムの普及につながるだろう。
Law enforcement agencies will have to police a wider physical space, than they traditionally have. As unmanned systems become more prevalent, they will continue to challenge traditional policing practices and raise new concerns. The technology will also bring a more transparent operating environment where few things stay hidden. 法執行機関は従来よりも広範な物理的空間を監視する必要に迫られる。無人システムの普及が進むにつれ、従来の警察活動は継続的に挑戦を受け、新たな懸念が生じるだろう。この技術はまた、隠されたものがほとんど存在しない、より透明性の高い運用環境をもたらす。
Law enforcement agencies will face significant challenges in preparing for this shift towards an even more “phygital” society in the more unmanned future. The increasing capabilities and numbers of unmanned systems will introduce new threats, and criminals and terrorists will likely exploit these technologies for malicious purposes. Recent conflicts have shown that threat actors are often early adopters of new technologies, and law enforcement must be prepared to counter these emerging threats. 法執行機関は、無人化が進む未来において、さらに「フィジタル」な社会への移行に備える上で重大な課題に直面する。無人システムの能力と数の増加は新たな脅威をもたらし、犯罪者やテロリストがこれらの技術を悪用する可能性が高い。近年の紛争では、脅威アクターが新技術の早期採用者となるケースが多く見られ、法執行機関はこうした新興脅威に対抗する準備が必要だ。
However, unmanned systems also offer tremendous benefits to law enforcement operations, with the potential to enhance capabilities and improve public safety. To realise these benefits, a solid regulatory foundation and investments in public trust are essential. The public must trust law enforcement to use these technologies effectively and accountably. しかし無人システムは、能力強化と公共の安全向上につながる可能性を秘め、法執行活動に多大な利益をもたらす。これらの利益を実現するには、確固たる規制基盤と公共の信頼への投資が不可欠だ。市民は法執行機関がこれらの技術を効果的かつ説明責任を持って運用すると信頼しなければならない。
Furthermore, the development of unmanned systems is largely driven by non-EU companies, which poses a risk of critical dependence on foreign suppliers for Europe. To maintain technological autonomy and uphold European values, significant investments and joint innovation procurement processes are necessary. さらに無人システムの開発は主に非EU企業が主導しており、欧州が外国サプライヤーに重大な依存を強いられるリスクがある。技術的自律性を維持し欧州の価値観を守るためには、大規模な投資と共同イノベーション調達プロセスが不可欠である。
The future of unmanned systems is uncertain, and various trends could unfold in different directions. The purpose of exploring these trends is not to predict the future but to identify desirable and undesirable outcomes and take proactive steps to increase the chances developments will lead to an acceptable outcome. Further law enforcement and policing oriented research is needed to delve deeper into the topics discussed in this report. 無人システムの未来は不確実であり、様々な動向が異なる方向へ展開しうる。これらの動向を探る目的は未来を予測することではなく、望ましい結果と望ましくない結果を特定し、発展が許容可能な結果へ導かれる可能性を高めるための先制的な措置を講じることにある。本報告書で議論された主題をさらに深く掘り下げるためには、法執行機関および警察活動に焦点を当てた追加研究が必要である。
This report aims to raise awareness about the potential impact of unmanned systems on law enforcement and encourage preparedness and deliberate action for the challenges and opportunities that lie ahead. It is possible to prevent harm caused by unmanned systems and harness their potential to make Europe safer, but our decision making must adapt to the tempo of this development. 本報告書は、無人システムが法執行に及ぼす潜在的影響への認識を高め、今後の課題と機会に対する準備と意図的な行動を促すことを目的とする。無人システムによる被害を防止し、その可能性を活用して欧州の安全性を高めることは可能だが、我々の意思決定は、この発展のペースに適応しなければならない。

 

 

 

 

 

| | Comments (0)

2025.12.15

米国 NIST SP 800-126 第4版(初期公開ドラフト)セキュリティコンテンツ自動化プロトコル(SCAP)の技術仕様:SCAPバージョン1.4、SP 800-126A 第4版(初期公開ドラフト)SCAP 1.4 コンポーネント仕様バージョン更新:NIST SP 800-126第4版の附属書

こんにちは、丸山満彦です。

米国のNISTが、

  • SP 800-126 第4版(初期公開ドラフト)セキュリティコンテンツ自動化プロトコル(SCAP)の技術仕様:SCAPバージョン1.4
  • SP 800-126A 第4版(初期公開ドラフト)SCAP 1.4 コンポーネント仕様バージョン更新:NIST SP 800-126第4版の附属書

を公表し、意見募集をしていますね...

SCAPが日本でももっと広がればよいですね... JVNが利用されていますが、自動化処理まではいっていない..IPAでは2015年につくった説明のウェブページがあります...2010年にIPAの研究員として寺田さんが作成した資料もありますね...

人間が設定をしようとすると、ミスが生じるし、時間もかかる、そしてコストも...リソース的にできないということにして、やらない...

Machine Readableにして自動化...これは重要だと思います...

SCAPは「標準化」と「機械可読性」を通じて脆弱性の発見やシステムの設定チェック、セキュリティの遵守を自動化することを目指していますね...

コンポーネントとしては....



カテゴリー 仕様名 概要 正式名称 役割と具体的な内容
言語 XCCDF チェックリストを記述(XML) Extensible Configuration Checklist Description Format チェックリスト(ベンチマーク)の記述フォーマット。CISベンチマークなどのセキュリティチェックリストを、機械可読な形式で定義。「何を」検査するか(ルール)、結果をどう評価するか(採点)、修復手順などを記述。
OVAL 脆弱性やセキュリティ設定のチェック Open Vulnerability and Assessment Language 具体的なチェックロジックの記述言語。XCCDFの各ルールについて、「どのように」システムをチェックするか(例:特定のレジストリキーの値、ファイルのハッシュ、ソフトウェアバージョン)をXMLで詳細に定義。評価結果は「True(問題あり)」「False(問題なし)」「Error」など。
OCIL 人間による確認項目の質問形式 Open Checklist Interactive Language 対話型の質問調査を記述する言語。ユーザーへの質問(例:「ファイアウォールは有効か?」)と想定回答を定義し、手動確認を標準化する。
識別子 CPE 製品の識別 Common Platform Enumeration ハードウェア、OS、アプリケーション等の製品に一意の名称を付与する命名体系。評価対象を一意に正確に特定する。
CVE 脆弱性の識別 Common Vulnerabilities and Exposures 公開されたソフトウェア脆弱性に一意のID(例:CVE-2021-44228)を付与する共通リスト。SCAPツールはこのIDを参照して、システムに該当脆弱性が存在するかチェックする。
CCE セキュリティ設定の識別 Common Configuration Enumeration セキュリティ設定の推奨事項や問題点に一意のIDを付与するリスト。例:「パスワードの最小長」という設定項目をCCE-12345と特定し、ベンチマーク間で一貫した議論を可能にする。
評価尺度 CVSS 脆弱性の深刻度 Common Vulnerability Scoring System 脆弱性の深刻度を0.0〜10.0のスコアで定量化する共通基準。攻撃の難易度、影響範囲など複数の指標から計算され、リスク対応の優先順位付けに活用する。
報告形式 ARF 評価結果の出力 Asset Reporting Format 評価結果を標準的なXML形式で出力するためのスキーマ。資産情報、チェック内容、結果を全て含み、異なるツール間でレポートを交換・集約することを可能にする。

 

  • 定義(入力): XCCDFがチェックリスト全体を、OVALが具体的な検査手順を定義し、CVE, CCE, CPEで用語を統一する。

  • 実行(プロセス): SCAPツールがOVALに従ってシステムをスキャンし、セキュリティ状態を判定する。

  • 報告(出力): 結果をCVSSで格付けし、ARF形式でまとめて報告する。

 

こんなかんじでしょうかね...

 

NIST - ITL

・2025.12.11 NIST SP 800-126 Rev. 4 (Initial Public Draft) Technical Specification for the Security Content Automation Protocol (SCAP): SCAP Version 1.4

NIST SP 800-126 Rev. 4 (Initial Public Draft) Technical Specification for the Security Content Automation Protocol (SCAP): SCAP Version 1.4 NIST SP 800-126 第4版(初期公開ドラフト)セキュリティコンテンツ自動化プロトコル(SCAP)の技術仕様:SCAPバージョン1.4
Announcement 発表
About SCAP SCAPについて
The Security Content Automation Protocol (SCAP) is a suite of interoperable specifications for the standardized expression, exchange, and processing of security configuration and vulnerability information. SCAP enables consistent automation and reporting across products and environments by defining machine-readable content and associated processing requirements. セキュリティコンテンツ自動化プロトコル(SCAP)は、セキュリティ構成および脆弱性情報の標準化された表現、交換、処理のための相互運用可能な仕様群である。SCAPは、機械可読コンテンツと関連する処理要件を定義することで、製品や環境を跨いだ一貫した自動化と報告を可能にする。
About the Publications 出版物について
SP 800-126r4 — Updates the SCAP technical specification to focus on SCAP Version 1.4 by removing backward compatibility requirements for earlier SCAP versions, revising digital signature requirements, and eliminating unused requirements. This revision also updates requirements regarding  Open Vulnerability and Assessment Language (OVAL) references and related component specification (i.e., redirecting OVAL references to the OVAL Community GitHub).  Hyperlinks and schema references are also updated to the current SCAP 1.4 resources. SP 800-126r4 — SCAP技術仕様を更新し、SCAPバージョン1.4に焦点を当てる。具体的には、以前のSCAPバージョンに対する下位互換性要件を削除し、デジタル署名要件を改訂し、未使用の要件を排除する。本改訂では、Open Vulnerability and Assessment Language(OVAL)参照および関連コンポーネント仕様に関する要件も更新する(例:OVAL参照をOVALコミュニティGitHubへリダイレクト)。ハイパーリンクとスキーマ参照も現行のSCAP 1.4リソースへ更新する。
SP 800-126Ar4 (updated annex) — Aligns the annex with SCAP Version 1.4.  Informative notes and change logs are refreshed, and the document structure and normative references are revised to conform to the latest NIST templates and editorial policies. SP 800-126Ar4(更新された附属書)— 附属書をSCAPバージョン1.4に整合させる。 参考情報と変更履歴を更新し、文書構造と規範的参照を最新のNISTテンプレートおよび編集方針に準拠するよう改訂した。
Abstract 概要
The Security Content Automation Protocol (SCAP) is a suite of specifications that standardize the format and nomenclature by which software flaw and security configuration information is communicated, both to machines and humans. This publication, along with its annex (NIST Special Publication 800-126Ar1) and a set of schemas, collectively define the technical composition of SCAP version 1.4 in terms of its component specifications, their interrelationships and interoperation, and the requirements for SCAP content. セキュリティコンテンツ自動化プロトコル(SCAP)は、ソフトウェアの欠陥やセキュリティ設定情報を機械と人間の双方に伝達するための形式および命名規則を標準化する一連の仕様である。本出版物、その附属書(NIST 特別刊行物800-126Ar1)、および一連のスキーマは、SCAPバージョン1.4の技術的構成を、その技術仕様、相互関係と相互運用性、ならびにSCAPコンテンツの要件に関して、総合的に定義するものである。

 

・[PDF] SP.800-126r4.ipd

20251213-173512

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー
The Security Content Automation Protocol (SCAP) is a suite of specifications that standardize the format and nomenclature by which security configuration information is communicated to both machines and humans.  SCAP is a multi-purpose framework of specifications that support automated configuration, vulnerability and patch checking, technical and managerial control compliance activities, and security measurement. Goals for the development of SCAP include standardizing system security management, promoting the interoperability of security products, and fostering the use of standard expressions of security content.   セキュリティコンテンツ自動化プロトコル(SCAP)は、セキュリティ設定情報を機械と人間の双方に伝達するための形式と命名規則を標準化する一連の仕様である。SCAPは、自動化された設定、脆弱性およびパッチのチェック、技術的・管理的制御のコンプライアンス活動、セキュリティ測定を支援する多目的仕様枠組みである。SCAP開発の目標には、システムセキュリティ管理の標準化、セキュリティ製品の相互運用性の促進、セキュリティコンテンツの標準表現の使用促進が含まれる。
Security configuration in SCAP format is curated and managed by the NIST National Checklist Program (NCP), which is described in NIST Special Publication (SP) 800-70r5 (Revision 5). This document, its annex [SP800-126Ar1], and a set of schemas collectively define the technical composition of SCAP version 1.4 in terms of its component specifications and requirements. The technical specification for SCAP describes the conventions for ensuring the consistent and accurate exchange of SCAP-conformant content and the ability to reliably use the content with SCAP-conformant products.   SCAP形式のセキュリティ構成は、NIST 特別刊行物(SP)800-70r5(改訂5)で説明されているNIST国家チェックリストプログラム(NCP)によって管理・運営されている。本文書、その附属書[SP800-126Ar1]、および一連のスキーマは、構成要素の仕様と要件の観点から、SCAPバージョン1.4の技術的構成を包括的に定義する。SCAPの技術仕様は、SCAP準拠コンテンツの一貫性と正確な交換を確保する規約、およびSCAP準拠製品でコンテンツを確実に利用する能力を規定する。  
Organizations that develop SCAP 1.4-based content or products should adhere to the following recommendations:   SCAP 1.4ベースのコンテンツまたは製品を開発する組織は、以下の推奨事項に従うべきである:
• Follow the requirements listed in this document, its annex, and the associated component specifications and set of schemas.   • 本文書、その附属書、関連する構成要素仕様およびスキーマ群に記載された要件に従うこと。
Organizations should ensure that their implementation and use of SCAP 1.4 complies with the requirements detailed in each component specification, this document, its annex, and the set of schemas.   組織は、SCAP 1.4の実装および使用が、各コンポーネント仕様、本文書、その附属書、およびスキーマセットに詳述された要件に準拠していることを保証すべきである。
If requirements conflict between component specifications, this document will provide clarification. If a component specification conflicts with this document, the requirements in this document take precedence. If a component specification or this document conflicts with the annex, the requirements in the annex take precedence. If a specification and a schema conflict, the requirements in the specification take precedence.   コンポーネント仕様間で要件が矛盾する場合、本文書が明確化を提供する。コンポーネント仕様が本文書と矛盾する場合、本文書の要件が優先される。コンポーネント仕様または本文書が付属文書と矛盾する場合、付属文書の要件が優先される。仕様とスキーマが矛盾する場合、仕様の要件が優先される。  
• When creating SCAP content, adhere to the conventions specified in this document and its annex.   • SCAPコンテンツを作成する際は、本文書およびその附属書で規定された規約に従うこと。
Security products and checklist authors assemble content from SCAP data repositories to create SCAP-conformant security guidance.  Organizations that produce SCAP content to be shared between tools should adhere to the conventions described in this specification to ensure the highest degree of interoperability.   セキュリティ製品およびチェックリスト作成者は、SCAPデータリポジトリからコンテンツを組み立ててSCAP準拠のセキュリティガイダンスを作成する。ツール間で共有されるSCAPコンテンツを生産する組織は、最高度の相互運用性を確保するため、本仕様で記述された規約に従うべきである。

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序論
1.1. Purpose and Scope 1.1. 目的と範囲
1.2. Audience 1.2. 対象読者
1.3. Document Structure 1.3. 文書の構成
1.4. Document Conventions 1.4. 文書における表記規則
2. SCAP 1.4 Definition 2. SCAP 1.4 定義
2.1. Product Conformance 2.1. 製品の適合性
2.2. Source Content Conformance 2.2. ソースコンテンツの適合性
3. SCAP Content Requirements and Recommendations 3. SCAP コンテンツの要件と推奨事項
3.1. SCAP Source Data Stream 3.1. SCAP ソースデータストリーム
3.1.1. Source Data Stream Data Model 3.1.1. ソースデータストリームのデータモデル
3.1.2. Source Data Stream Collection Validation 3.1.2. ソースデータストリームの収集妥当性確認
3.1.2.1. Informative Notes 3.1.2.1. 参考情報
3.1.3. Globally Unique Identifiers 3.1.3. グローバル固有識別子
3.2. Extensible Configuration Checklist Description Format (XCCDF) 3.2. 拡張可能構成チェックリスト記述形式(XCCDF)
3.2.1. General 3.2.1. 概要
3.2.2. The <xccdf:Benchmark> Element 3.2.2. <xccdf:Benchmark>要素
3.2.3. The <xccdf:Profile> Element 3.2.3. <xccdf:Profile>要素
3.2.4. The <xccdf:Rule> Element 3.2.4. <xccdf:Rule>要素
3.2.4.1. The <xccdf:ident> Element 3.2.4.1. <xccdf:ident>要素
3.2.4.2. The <xccdf check> Element 3.2.4.2. <xccdf check>要素
3.2.4.3. Use of a Patches Up-To-Date Rule 3.2.4.3. パッチ適用状況ルール(Patches Up-To-Date Rule)の使用
3.2.4.4. CVSS and CCSS Scores 3.2.4.4. CVSS および CCSS スコア
3.2.5. The <xccdf: Value> Element 3.2.5. <xccdf:Value> 要素
3.2.6. The <xccaf:Group> Element 3.2.6. <xccaf:Group> 要素
3.3. Open Vulnerability and Assessment Language (OVAL) 3.3. オープン脆弱性評価言語 (OVAL)
3.4. Open Checklist Interactive Language (OCIL) 3.4. オープンチェックリスト対話言語 (OCIL)
3.5. Common Platform Enumeration (CPE) 3.5. 共通プラットフォーム一覧表 (CPE)
3.6. Common Configuration Enumeration (CCE) 3.6. 共通構成列挙 (CCE)
3.7. Common Vulnerabilities and Exposures (CVE) 3.7. 共通脆弱性およびエクスポージャー (CVE)
3.8. Common Vulnerability Scoring System (CVSS) 3.8. 共通脆弱性評価システム (CVSS)
3.9. Common Configuration Scoring System (CCSS) 3.9. 共通構成評価システム (CCSS)
3.10. XML Digital Signature 3.10. XML デジタル署名
3.10.1. Signature Location 3.10.1. 署名の位置
3.10.2. Signature Representation 3.10.2. 署名の表現
3.10.3. Signature Requirements 3.10.3. 署名の要件
3.10.4. Key Information 3.10.4. 鍵情報
4. SCAP Content Processing Requirements and Recommendations 4. SCAP コンテンツ処理の要件と推奨事項
4.1. Legacy Support 4.1. レガシーサポート
4.2. Source Data Streams 4.2. ソースデータストリーム
4.3. XCCDF Processing 4.3. XCCDF 処理
4.3.1. CPE Applicability Processing 4.3.1. CPE 適用性処理
4.3.2. Checking System Usage 4.3.2. システム使用状況の確認
4.4. SCAP Result Data Streams 4.4. SCAP 結果データストリーム
4.4.1. The Component Reports 4.4.1 コンポーネントレポート
4.4.2. The Target Identification 4.4.2 ターゲット識別
4.4.3. The Source Data Stream 4.4.3 ソースデータストリーム
4.4.4. The Relationships 4.4.4 関係性
4.5. XCCDF Results 4.5 XCCDF結果
4.5.1. Assigning Identifiers to Rule Results 4.5.1 ルール結果への識別子割り当て
4.5.2. Mapping OVAL Results to XCCDF Results 4.5.2 OVAL結果からXCCDF結果へのマッピング
4.6. OVAL Results 4.6 OVAL結果
4.7. OCIL Results 4.7 OCIL結果
4.8. Result Data Stream Signing 4.8. 結果データストリームの署名
4.8.1. Signature Location 4.8.1. 署名の位置
4.8.2. Signature Representation 4.8.2. 署名の表現
4.8.3. Signature Requirements 4.8.3. 署名の要件
4.8.4. Key information 4.8.4. 鍵情報
4.8.5. Countersigning 4.8.5. 共同署名
5. Source Data Stream Content Requirements for Use Cases 5. ユースケースにおけるソースデータストリームの内容要件
5.1. Compliance Checking 5.1. 適合性チェック
5.2. Vulnerability Scanning 5.2. 脆弱性スキャン
5.3. Inventory Scanning 5.3. インベントリスキャン
Appendix A. Security Considerations 附属書 A. セキュリティに関する考慮事項
Appendix B. List of Symbols, Abbreviations, and Acronyms 附属書 B. 記号、略語、頭字語の一覧
Appendix C. Glossary 附属書 C. 用語集
Appendix D. Normative References 附属書 D. 規範的参照
Appendix E. Change Log 附属書 E. 変更履歴

 

 

 

 

 


 

・2025.12.11 NIST SP 800-126A Rev. 4 (Initial Public Draft) SCAP 1.4 Component Specification Version Updates: An Annex to NIST Special Publication 800-126 Revision 4

NIST SP 800-126A Rev. 4 (Initial Public Draft) SCAP 1.4 Component Specification Version Updates: An Annex to NIST Special Publication 800-126 Revision 4 NIST SP 800-126A 第4版(初期公開ドラフト)SCAP 1.4 コンポーネント仕様バージョン更新:NIST SP 800-126第4版の附属書
Abstract 概要
The Security Content Automation Protocol (SCAP) is a multi-purpose framework of component specifications that support automated configuration, vulnerability, patch checking, security measurement, and technical control compliance activities. The SCAP version 1.4 specification is defined by the combination of NIST SP 800-126r4, a set of schemas, and this document. This document allows the use of particular minor version updates to SCAP 1.4 component specifications and particular Open Vulnerability and Assessment Language (OVAL) schema versions to provide additional functionality for SCAP 1.4 without causing any loss of existing functionality. セキュリティコンテンツ自動化プロトコル(SCAP)は、自動化された構成、脆弱性、パッチチェック、セキュリティ測定、技術的制御コンプライアンス活動を支援するコンポーネント仕様の多目的枠組みである。SCAPバージョン1.4仕様は、NIST SP 800-126r4、一連のスキーマ、および本文書の組み合わせによって定義される。本文書は、SCAP 1.4コンポーネント仕様の特定のマイナーバージョン更新および特定のOpen Vulnerability and Assessment Language(OVAL)スキーマバージョンの使用を許可し、既存の機能を損なうことなくSCAP 1.4に追加機能を提供する。

 

・[PDF] NIST.SP.800-126Ar4.ipd

20251213-151718

 

目次...

1. Introduction 1. 序論
1.1. Purpose and Scope 1.1. 目的と範囲
1.2. Document Structure 1.2. 文書の構成
2. Minor Version Updates in SCAP 1.4-Component Specifications 2. SCAP 1.4 コンポーネント仕様におけるマイナーバージョン更新
2.1. Criteria for Potential Inclusion 2.1. 潜在的な包含規準
2.2. Approved Minor Version Updates and SCAP 1.4 Requirements 2.2. 承認済みマイナーバージョン更新と SCAP 1.4 要件
2.3. XML Schema and Schematron Schema Locations 2.3. XML スキーマと Schematron スキーマの場所
3. Document Management 3. 文書管理
3.1. Composition 3.1. 構成
3.2. Rationale 3.2. 根拠
3.3. Update Cadence 3.3. 更新頻度
3.4. Conformance and Assessment 3.4. 適合性評価
Appendix A. List of Symbols, Abbreviations, and Acronyms 附属書 A. 記号、略語、頭字語一覧
Appendix B. Glossary 附属書 B. 用語集
Appendix C. Change Log 附属書 C. 変更履歴

 

 


 

NISTの文書等はここから辿れます...

Security Content Automation Protocol SCAP

関連文書

Publications

 

 


 

IPA 

・2015.07.22 セキュリティ設定共通化手順SCAP概説

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

2023.07.16 NIST SP 800-219r1 macOSセキュリティ・コンプライアンス・プロジェクト(mSCP)による自動化された安全な構成のガイダンス

 

・2011.07.15 NIST パブコメ Trust Model for Security Automation Data 1.0 (TMSAD)

2008.02.13 IPA 脆弱性情報共有フレームワークに関する調査報告書 ~中小規模組織における脆弱性対策促進への各国の取り組み~

 

 

| | Comments (0)

欧州議会 Think Tank 貿易分断化の時代におけるEUのサプライチェーン:影響、政策、そして現在の議論 (2025.11.27)

こんにちは、丸山満彦です。

欧州議会のThink Tankが「貿易分断化の時代におけるEUのサプライチェーン:影響、政策、そして現在の議論」という報告書を公表していますね...

European Parliament - Think Tank

・2025.11.27 EU supply chains in the era of trade fragmentation: Impacts, policies and current debate

EU supply chains in the era of trade fragmentation: Impacts, policies and current debate 貿易分断化の時代におけるEUのサプライチェーン:影響、政策、そして現在の議論
A series of recent economic and geopolitical shocks have led to rising fragmentation of global trade, whereby countries tend to boost economic ties with those sharing similar political values, economic policies and security interests. While a broad retreat from globalisation is not taking place, there are some signs of reconfiguration of supply chains along geopolitical lines. This is likely to have pronounced effects for EU economy due to its openness and high level of integration into global value chains. The full consequences are unclear at this point and firms' responses vary, but mitigating the changing trade environment leads to heightened costs, stronger regional flows of goods and priority for measures that could reduce uncertainty. The EU's policy focus is on de-risking supply chains, boosting their resilience and creating opportunities through access to global markets. Increasing domestic production and access to inputs as well as diversifying supplies is coupled with supporting multilateralism and targeted partnerships. Many experts, as well as the European Parliament, see the unrealised potential of the single market, easier access to finance, stimulating innovation and digitalisation, as ways forward. Managing global trade fragmentation is a complex process full of risks and opportunities, which requires crosscutting policy action and a strategic approach. The EU is striving to find a balance between trade openness and the necessary economic security measures. Furthermore, while proposed and launched solutions require a medium to long-term time horizon to deliver, geopolitical developments often happen swiftly, further complicating matters. 一連の最近の経済的・地政学的ショックにより、世界貿易の分断化が進んでいる。各国は、政治的価値観、経済政策、安全保障上の利益を共有する国々との経済関係を強化する傾向にある。グローバル化からの全面的な後退は起きていないものの、地政学的な線に沿ったサプライチェーンの再構築の兆候が見られる。EU経済は開放性が高く、グローバルなバリューチェーンへの統合度も高いため、この動きはEU経済に顕著な影響を与える可能性が高い。現時点では完全な影響は不明であり、企業の対応も様々だが、変化する貿易環境への対応はコストの緩和、地域内での商品流通の強化、不確実性の低減につながる。EUの政策重点は、サプライチェーンのリスク軽減、レジリエンス強化、そして世界市場へのアクセスを通じた機会創出にある。国内生産と投入財へのアクセス拡大、供給源の多様化は、多国間主義の支援と対象を絞ったパートナーシップと連動している。多くの専門家や欧州議会は、単一市場の未実現の潜在力、資金調達への容易なアクセス、イノベーションとデジタル化の促進を前進の道と見ている。世界貿易の分断化を管理することは、リスクと機会に満ちた複雑なプロセスであり、分野横断的な政策行動と戦略的アプローチを必要とする。EUは貿易開放と必要な経済安全保障措置のバランスを模索している。さらに、提案・導入された解決策が効果を発揮するには中長期的な時間軸を要する一方で、地政学的展開はしばしば急速に進み、事態をさらに複雑化させている。

 

・[PDF

20251213-62814

 

20251213-61735

 

 

| | Comments (0)

2025.12.14

ASKUL ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みの報告 (2025.12.12)

こんにちは、丸山満彦です。

アスクルがランサムウェア攻撃を受け出荷等に影響がでましたが、12日に攻撃の影響調査結果と安全性強化に向けた取り組みについて公表していますね...その中で、攻撃手法の分析、初動対応、原因分析と再発防止策、システム復旧と安全性確保、今後のセキュリティ強化に向けたロードマップ(短期・中期・長期)にわけて説明していて、他社の参考に資する部分も多いのではないかと思い紹介です...

環境については、新しい環境を作り直したみたいですね...

これからはNISTのセキュリティフレームワークに基づくセキュリティ強化をするようですね...

原因分析の点では、

(1)不正アクセス;例外的に多要素認証を適用していなかった業務委託先に対して付与していた管理者アカウントのIDとパスワードが漏洩し不正利用された可能性が高い

(2)侵入検知の遅れ:侵害が発生したデータセンターではサーバにEDRが未導入、24時間監視も未実施で即時検知ができなかった

(3)復旧の長期化:オンラインバックアップで一部バックアップも暗号化された。一部OSバージョンアップ作業に時間を要した

 

攻撃されたのが委託先のアカウント経由、そして業務のサプライチェーンに影響を与えたということでサプライチェーン・セキュリティ強化の重要性が確認された感じですかね...

そして、認証については多要素認証は必要...

資産管理、脆弱性管理は即時に把握できないといけない...

適時監視も重要...

オフラインバックアップは必須...

 

ASKUL

・2025.12.12 ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告(ランサムウェア攻撃によるシステム障害関連・第 13 報) (downloaded)

20251214-75809

 

 


 

・2025.12.12 ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告(ランサムウェア攻撃によるシステム障害関連・第 13 報) (downloaded)

・2025.12.03 サービスの復旧状況について(ランサムウェア攻撃によるシステム障害関連・第 12 報) (downloaded)

・2025.12.01 (適時)2026年5月期第2四半期決算発表の延期に関するお知らせ (downloaded)

・2025.11.28 サービスの復旧状況について(ランサムウェア攻撃によるシステム障害関連・第 11 報) (downloaded)

・2025.11.19 サービスの復旧状況について(ランサムウェア攻撃によるシステム障害関連・第 10 報 (downloaded)

・2025.11.14 3PL 事業に関する情報流出の可能性について(ランサムウェア攻撃によるシステム障害関連・第9報) (downloaded)

・2025.11.12 サービスの復旧状況について(ランサムウェア攻撃によるシステム障害関連・第8報)  (downloaded)

・2025.11.11 情報流出に関するお知らせとお詫び(ランサムウェア攻撃によるシステム障害関連・第7報)  (downloaded)

・2025.11.06 サービスの復旧状況について(ランサムウェア攻撃によるシステム障害関連・第6報)  (downloaded)

・2025.10.31 ランサムウェア攻撃による情報流出に関するお詫びとお知らせ(ランサムウェア攻撃によるシステム障害関連・第 5 報) (downloaded)

・2025.10.31 一部報道について(ランサムウェア攻撃によるシステム障害関連・第 4 報) (downloaded)

・2025.10.29 一部商品の出荷トライアル運用の開始について(ランサムウェア感染によるシステム障害関連・第3報) (downloaded)

・2025.10.29 (適時)2026年5月期10月度月次業績のお知らせ (downloaded)

・2025.10.28 (適時)2026年5月期10月度月次業績につきまして (downloaded)

・2025.10.22 ランサムウェア感染によるシステム障害について(第2報) (downloaded)

・2025.10.20 (適時)ランサムウェア感染によるシステム障害発生について (downloaded)

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.11.30 アサヒホールディングス サイバー攻撃によるシステム障害発生についての記者会見他 (2025.11.27)

 

 

| | Comments (0)

米国 NIST SP 800-70 第5版 (初期公開ドラフト) IT製品向け国家チェックリストプログラム:チェックリスト利用者および開発者向けガイドライン

こんにちは、丸山満彦です。

NISTがSP 800-70 第5版 (初期公開ドラフト) IT製品向け国家チェックリストプログラム:チェックリスト利用者および開発者向けガイドラインを公開し、意見募集をしていますね...

米国だからできるのかもしれませんが...

 

● NIST - ITl

・2025.12.05 NIST SP 800-70 Rev. 5 (Initial Public Draft) National Checklist Program for IT Products: Guidelines for Checklist Users and Developers

 

NIST SP 800-70 Rev. 5 (Initial Public Draft) National Checklist Program for IT Products: Guidelines for Checklist Users and Developers NIST SP 800-70 第5版 (初期公開ドラフト) IT製品向け国家チェックリストプログラム:チェックリスト利用者および開発者向けガイドライン
Announcement 発表
NIST established the National Checklist Program (NCP) to facilitate the generation of security checklists from authoritative sources, centralize the location of checklists, and make checklists broadly accessible. SP 800-70r5 ipd describes the uses, benefits, and management of checklists and checklist control catalogs, as well as the policies, procedures, and general requirements for participation in the NCP. NISTは国家チェックリストプログラム(NCP)を設立している。これは権威ある情報源からのセキュリティチェックリスト作成を促進し、チェックリストの場所を一元化し、チェックリストを広く利用可能にするためである。SP 800-70r5 ipd は、チェックリスト及びチェックリスト管理カタログの用途、利点、管理方法、並びに NCP への参加に関する方針、手順、及び一般的な要件を説明する。
Why Security Configuration Checklists Matter セキュリティ構成チェックリストの重要性
A security configuration checklist is a document or technical content that contains instructions or procedures for securely configuring an IT product to match an operational environment’s risk tolerance, verifying that the product has been configured properly, and/or identifying unauthorized changes to the product. Using these checklists can minimize the attack surface, reduce vulnerabilities, lessen the impacts of successful attacks, and identify changes that might otherwise go undetected. セキュリティ構成チェックリストとは、運用環境のリスク許容度に合わせてIT製品を安全に構成するための手順や指示、製品の適切な構成確認、および製品への不正変更の特定を含む文書または技術的コンテンツである。これらのチェックリストを使用することで、攻撃対象領域を最小化し、脆弱性を減らし、攻撃成功時の影響を軽減し、検出されにくい変更を識別できる。
What’s New in Revision 5? 改訂版5の新機能
This revision introduces significant updates to improve usability, automation, and alignment with modern cybersecurity practices. 本改訂版では、使いやすさ、自動化、現代的なサイバーセキュリティ慣行との整合性を向上させるための大幅な更新を導入した。
Key Highlights 主なハイライト
Traceability and Compliance: Enhanced mapping concepts between checklist settings, NIST Cybersecurity Framework (CSF) 2.0 outcomes, SP 800-53 controls, and Common Configuration Enumeration (CCE) identifiers for evidence-ready automation and reporting トレーサビリティとコンプライアンス:チェックリスト設定、NISTサイバーセキュリティフレームワーク(CSF)2.0の成果、SP 800-53の制御、共通構成列挙(CCE)識別子間のマッピング概念を強化し、証拠対応型の自動化と報告を実現
Expanded Coverage: Guidance that includes cloud platforms, IoT, and AI systems and reflects the latest NIST research and federal requirements 適用範囲の拡大:クラウドプラットフォーム、IoT、AIシステムを含むガイダンスを拡充。最新のNIST研究及び連邦政府要件を反映
Modernized Automation: Explicit support for a wide range of automated checklist formats 自動化の近代化:多様な自動化チェックリスト形式への明示的サポート
Control Catalog Approach: Encourages developers to use catalogs of controls for rapid, consistent checklist generation and easier tailoring to different risk postures コントロールカタログ方式:開発者が制御カタログを活用し、迅速かつ一貫性のあるチェックリスト生成と、異なるリスク態勢への容易な適応を促進
Operational Environment Tailoring: Detailed recommendations for customizing checklists to fit stand-alone, managed (enterprise), specialized security-limited functionality (SSLF), and legacy environments 運用(OT)環境への適合:スタンドアロン環境、管理対象(エンタープライズ)環境、特殊セキュリティ限定機能(SSLF)環境、レガシー環境に合わせてチェックリストをカスタマイズするための詳細な推奨事項
Checklist Life Cycle: Clear procedures for checklist development, testing, documentation, submission, public review, maintenance, and archival チェックリストのライフサイクル:チェックリストの開発、テスト、文書化、提出、公開レビュー、保守、アーカイブに関する明確な手順
Intended Audience 対象読者
This document is intended for users and developers of security configuration.    本ドキュメントは、セキュリティ構成のユーザーおよび開発者を対象とする。 
For checklist users, this document makes recommendations on how they should select checklists from the NIST National Checklist Repository, evaluate and test checklists, and apply them to IT products. チェックリストユーザーに対しては、NIST国家チェックリストリポジトリからのチェックリスト選定方法、チェックリストの評価・テスト方法、IT製品への適用方法に関する推奨事項を示す。
For checklist developers, this document sets forth the policies, procedures, and general requirements for participation in the NCP. チェックリスト開発者に対しては、NCP(国家チェックリストプログラム)への参加に関する方針、手順、および一般的な要件を定める。
Abstract 概要
A security configuration checklist is a document or technical content that contains instructions or procedures for securely configuring an IT product to match an operational environment’s risk tolerance, verifying that the product has been configured properly, and/or identifying unauthorized changes to the product. Using these checklists can minimize the attack surface, reduce vulnerabilities, lessen the impact of successful attacks, and identify changes that might otherwise go undetected. NIST established the National Checklist Program (NCP) to facilitate the generation of security checklists from authoritative sources, centralize the location of checklists, and make checklists broadly accessible. This publication explains how to use the NCP to find and retrieve checklists and describes the policies, procedures, and general requirements for participation in the NCP. セキュリティ構成チェックリストとは、運用環境のリスク許容度に合わせてIT製品を安全に構成するための手順や指示、製品の適切な構成確認方法、および製品への不正変更の識別方法を記載した文書または技術的コンテンツである。これらのチェックリストを使用することで、攻撃対象領域を最小化し、脆弱性を低減し、攻撃成功時の影響を軽減し、検出されにくい変更を識別することが可能となる。NISTは、権威ある情報源からのセキュリティチェックリスト作成を促進し、チェックリストの場所を一元化し、チェックリストを広く利用可能にするため、国家チェックリストプログラム(NCP)を設立した。本出版物は、NCPを使用してチェックリストを検索・取得する方法を説明し、NCPへの参加に関する方針、手順、および一般的な要件を記述するものである。

 

 

 

・[PDF] NIST.SP.800-70r5.ipd

20251213-74144

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー
A security configuration checklist (also called a lockdown, hardening guide, or benchmark) is a series of instructions or procedures for securely configuring an IT product to a particular risk tolerance for an operational environment, verifying that the product has been configured properly, and/or identifying unauthorized changes to the product. The checklist may be for a commercial, open-source, or government-off-the-shelf (GOTS) IT product.   セキュリティ構成チェックリスト(ロックダウン、強化ガイド、ベンチマークとも呼ばれる)とは、運用環境における特定のリスク許容度に合わせてIT製品を安全に構成するための一連の指示や手順である。製品が適切に構成されていることを確認し、あるいは製品への不正な変更を識別することを目的とする。チェックリストは、商用製品、オープンソース製品、政府向け既製品(GOTS)のIT製品を対象とする場合がある。
Checklists can comprise a mix of templates, automated scripts, patch information, Extensible Markup Language (XML) files, and other procedures. Typically, checklists are created by IT vendors for their own products; however, checklists are also created by other organizations, such as academia, consortia, and government agencies. The use of well-written, standardized checklists can markedly reduce the attack surface and vulnerability exposure of IT products.   チェックリストは、テンプレート、自動化スクリプト、パッチ情報、拡張マークアップ言語(XML)ファイル、その他の手順を組み合わせて構成されることがある。通常、チェックリストはITベンダーが自社製品向けに作成するが、学術機関、コンソーシアム、政府など他の組織によって作成される場合もある。適切に作成された標準化されたチェックリストの使用は、IT製品の攻撃対象領域と脆弱性のエクスポージャーを著しく低減できる。
NIST maintains the National Checklist Repository, which is a publicly available resource of security configuration checklists for IT products. The repository is located at https://checklists.nist.gov/ and contains metadata describing each checklist. The repository links to the website where a checklist is hosted. Users can browse and search the repository to locate a particular checklist using a variety of criteria. Having a centralized checklist repository makes it easier for organizations to find current, authoritative versions of security checklists and to determine which ones best meet their needs.   NISTはIT製品向けセキュリティ構成チェックリストの公開リソースである国家チェックリスト・レポジトリを管理している。リポジトリは https://checklists.nist.gov/ に所在し、各チェックリストを記述するメタデータを含む。リポジトリはチェックリストがホストされているウェブサイトへリンクする。ユーザーは様々な規準を用いてリポジトリを閲覧・検索し、特定のチェックリストを特定できる。中央集約型のチェックリストリポジトリが存在することで、組織は最新の権威あるセキュリティチェックリストを見つけ、自社のニーズに最も適合するものを判断しやすくなる。
This document is intended for users and developers of security configuration.  For checklist users, this document makes recommendations on how they should select checklists from the NIST National Checklist Repository, evaluate and test checklists, and apply them to IT products. For checklist developers, this document sets forth the policies, procedures, and general requirements for participation in the NIST National Checklist Program (NCP).   この文書は、セキュリティ構成のユーザーおよび開発者を対象とする。チェックリスト利用者向けには、NIST国家チェックリストリポジトリからのチェックリスト選定方法、評価・テスト手法、IT製品への適用方法に関する推奨事項を示す。開発者向けには、NIST国家チェックリストプログラム(NCP)への参加に関する方針、手順、基本要件を定める。
Major recommendations made in this document for checklist users and developers include the following:   本文章がチェックリストのユーザーと開発者に対して行う主な推奨事項は以下の通りである:
• Organizations should apply checklists to operating systems and applications to reduce the number of vulnerabilities that attackers can attempt to exploit and to lessen the impact of successful attacks.   • 組織は、攻撃者が悪用を試みうる脆弱性の数を減らし、攻撃が成功した場合の影響を軽減するために、オペレーティングシステムやアプリケーションにチェックリストを適用すべきである。
• When selecting checklists, users should carefully consider each checklist’s degree of automation, source, use of standards, and other relevant characteristics.   • チェックリストを選択する際、ユーザーは各チェックリストの自動化の程度、出典、標準の使用状況、その他の関連特性を慎重に考慮すべきである。
• Checklist users should customize and test checklists before applying them to production systems.   • チェックリスト利用者は、本番システムに適用する前にチェックリストをカスタマイズしテストすべきである。  
• Checklist users should consider their operational environments when selecting checklists.,.   • チェックリスト利用者は、チェックリストを選択する際に自組織の運用環境を考慮すべきである。
• Checklist creators are encouraged to adopt a “catalog of controls” approach for products to facilitate custom checklist re-use.   • チェックリスト作成者は、製品向けに「制御カタログ」アプローチを採用し、カスタムチェックリストの再利用を容易にするよう推奨される。
• NIST strongly encourages IT product vendors to develop security configuration checklists for their products and contribute them to the NIST National Checklist Repository.   • NISTは、IT製品ベンダーが自社製品向けのセキュリティ構成チェックリストを開発し、NIST国家チェックリストリポジトリへ寄稿することを強く推奨する。

 

目次...

 

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序論
1.1. Purpose and Scope 1.1. 目的と範囲
1.2. Document Organization 1.2. 文書の構成
2. NIST National Checklist Program 2. NIST国家チェックリストプログラム
2.1. Overview of the NCP 2.1. NCPの概要
2.2. Security Configuration Checklists 2.2. セキュリティ構成チェックリスト
2.3. Benefits of Using Security Checklists 2.3. セキュリティチェックリスト利用の利点
2.4. Types of Checklists Listed by NCP 2.4. NCPが列挙するチェックリストの種類
3. Operational Environments for Checklists 3. チェックリストの運用環境
3.1. Stand-Alone Environment 3.1. スタンドアローン環境
3.2. Managed Environment (Enterprise)  3.2. 管理環境(エンタープライズ)
3.3. Custom Environments 3.3. カスタム環境
3.3.1. Specialized Security-Limited Functionality Environment 3.3.1. 特殊なセキュリティ制限機能環境
3.3.2. Legacy Environment 3.3.2. レガシー環境
4. Checklist Usage  4. チェックリストの使用方法
4.1. Determining Local Requirements  4.1. ローカル要件の決定
4.2. Browsing and Retrieving Checklists 4.2. チェックリストの閲覧と取得
4.3. Reviewing, Customizing, Documenting, and Testing Checklists 4.3. チェックリストのレビュー、カスタマイズ、文書化、テスト
4.4. Applying Checklists to IT Products 4.4. IT製品へのチェックリスト適用
4.5. Providing Feedback on Checklists 4.5. チェックリストへのフィードバック提供
5. Checklist Development 5. チェックリスト開発
5.1. Developer Steps for Creating, Testing, and Submitting Checklists 5.1. チェックリスト作成、テスト、提出のための開発者手順
5.2. Initial Checklist Development 5.2. 初期チェックリスト開発
5.3. Checklist Testing 5.3. チェックリストテスト
5.4. Checklist Documented 5.4. チェックリストの文書化
5.5. Checklist Submitted to NIST 5.5. NISTへのチェックリスト提出
5.6. NIST Steps for Reviewing and Finalizing Checklists for Publication 5.6. 公開に向けたチェックリストのNISTによる審査と最終化手順
5.7. NIST Screening of the Checklist Package 5.7. チェックリストパッケージのNISTによるスクリーニング
5.8. Public Review and Feedback for the Candidate Checklist 5.8. 候補チェックリストの公開レビューとフィードバック
5.9. Final Listing on Checklist Repository 5.9. チェックリストリポジトリへの最終掲載
5.10. Checklist Maintenance and Archival 5.10. チェックリストの保守とアーカイブ
References 参考文献
Appendix A. Checklist Program Operational Procedures 附属書A. チェックリストプログラム運用手順
A.1. Overview and General Considerations A.1. 概要と一般的な考慮事項
A.2. Checklist Submission and Screening A.2. チェックリストの提出とスクリーニング
A.3. Candidate Checklist Public Review A.3. 候補チェックリストの公開レビュー
A.4. Final Checklist Listing A.4. 最終チェックリストの掲載
A.5. Final Checklist Update, Archival, and Delisting A.5. 最終チェックリストの更新、アーカイブ、および掲載解除
A.6. Record Keeping A.6. 記録の保管
Appendix B. Participation and Logo Usage Agreement Form 附属書B. 参加およびロゴ使用に関する合意書
Appendix C. Automating NIST CSF 2.O 附属書C. NIST CSF 2.0 の自動化
C.1. How the Path Connects Policy to Automation C.1. パスがポリシーと自動化をどう結びつけるか
C.2. Implementation and Traceability C.2. 実装とトレーサビリティ
C.3. Checklist Development Guidance C.3. チェックリスト開発ガイダンス
C.4. Operational Environment Tailoring and Considerations C.4. 運用環境の調整と考慮事項
C.5. Checklist Submission and Maintenance C.5. チェックリストの提出と保守
C.6. Appendix References C.6. 附属書の参考文献
Appendix D. List of Symbols, Abbreviations, and Acronyms 附属書D. 記号、略語、頭字語一覧
Appendix E. Glossary 附属書E. 用語集
Appendix F. Change Log 附属書F. 変更履歴
List of Tables 表一覧
Table 1. Checklist Description Form Fields 表 1. チェックリスト説明フォームのフィールド
List of Figures 図一覧
Fig. 1. Checklist user process overview 図 1. チェックリスト利用者プロセスの概要

 

 

国家チェックリストプログラム

・2017.02.15 National Checklist Program NCP

チェックリストのレポジトリ...

Checklist Repository

全部で853のチェックリストがあります(2025.12.13確認時)

例えば、MacOSOS (Tahoe) 26.0.0を選んだ画面...

20251213-103431

でマッチしたのが、

20251213-103807

https://ncp.nist.gov/repository?product=Apple+macOS+%28Tahoe%29+26.0.0&sortBy=modifiedDate%7Cdesc

 

でこれをクリックすると

・2025.09.17 Tahoe Guidance Revision 1.0 Checklist Details 

ダウンロード

・・[ZIP] Download ZIP - Tahoe Guidance, Revision 1.0

ダウンロードして内容を確認してみてくださいませ。充実した内容となっております...

こんな感じでファイルが格納されています...

20251213-140110

例えば、

SP800-53

・800-53r5_high.html (downloaded)

20251213-141956 

 

 

国家安全保障システム委員会 (Committee on National Security Systems; CNSS) 用のCNSSI-1253チェックリスト

・CNSSI - 1253_high.html (downloaded)

20251213-141801_20251213141801

 

Github

/macos_security



 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.07.16 NIST SP 800-219r1 macOSセキュリティ・コンプライアンス・プロジェクト(mSCP)による自動化された安全な構成のガイダンス

 

 

| | Comments (0)

米国 NIST SP 800-57 第6版(初期公開ドラフト)鍵管理に関する推奨事項:第1部-一般事項 (2025.12.05)

こんにちは、丸山満彦です。

NISTがSP 800-57 第6版(初期公開ドラフト)鍵管理に関する推奨:第1部-一般を公表し、意見募集をしていますね...

耐量子計算機暗号移行の問題もあって話題な領域かも (^^) 

三部作の第一部です。でも、第一部だけでも200ページくらいあります...

 

● NIST - ITL

・2025.12.05 NIST SP 800-57 Rev. 6 (Initial Public Draft) Recommendation for Key Management: Part 1 – General

 

NIST SP 800-57 Rev. 6 (Initial Public Draft) Recommendation for Key Management: Part 1 – General 米国 NIST SP 800-57 第6版(初期公開ドラフト)鍵管理に関する推奨事項:第1部-一般事項
Announcement 発表
The initial draft of NIST SP 800-57 Part 1 Revision 6 is available for comment through February 5, 2026. Some of the proposed changes from Revision 5 include: NIST SP 800-57 第1部 第6改訂版の初期ドラフトが、2026年2月5日まで意見募集のために公開されている。第5版からの主な変更点には以下が含まれる:
・Ascon, as specified in SP 800-232, and the new quantum-resistant algorithms specified in FIPS 203, 204, and 205 have been included. ・SP 800-232で規定されたAscon、およびFIPS 203、204、205で規定された新たな量子耐性アルゴリズムが追加された。
・The keys used for both key establishment and key storage are now discussed separately. ・鍵確立と鍵保存に使用される鍵について、別々に論じられるようになった。
・The security categories used in the PQC competition have been included, along with the quantum-resistant algorithms. ・量子耐性アルゴリズムと共に、PQCコンペティションで使用されたセキュリティカテゴリーが追加された。
・The time frames for algorithm approval status have been removed and replaced with references to SP 800-131A. ・アルゴリズム承認ステータスの時間枠は削除され、SP 800-131Aへの参照に置き換えられた。
・A section has been added to discuss keying material storage and mechanisms. ・鍵材料の保存とメカニズムについて論じるセクションが追加された。
See Appendix F for a more complete list of changes. 変更点のより完全なリストについては附属書Fを参照のこと。
Abstract 要約
This recommendation provides cryptographic key-management guidelines in three parts. Part 1 provides general guidelines and best practices for the management of cryptographic keying material, including definitions for the security services that may be provided when using cryptography and the algorithms and key types that may be employed, specifications for the protection that each type of key and other cryptographic information requires and methods for providing this protection, discussions about the functions involved in key management, and discussions about a variety of key-management issues to be addressed when using cryptography. Part 2 provides guidance on policy and security planning requirements for U.S. Government agencies. Part 3 provides guidelines for using the cryptographic features of current systems. 本勧告は暗号鍵管理ガイドラインを3部構成で提供する。第1部では、暗号鍵材料の管理に関する一般的なガイドラインとベストプラクティスを提供する。これには、暗号技術使用時に提供可能なセキュリティサービスの定義、採用可能なアルゴリズムと鍵の種類、各種鍵及びその他の暗号情報に必要な防御仕様とその提供方法、鍵管理に関わる機能に関する考察、暗号技術使用時に対処すべき多様な鍵管理課題に関する考察が含まれる。第2部では、米国政府機関向けのポリシー及びセキュリティ計画要件に関する指針を提供する。第3部では、現行システムの暗号機能利用に関するガイドラインを提供する。

 

・[PDF] NIST.SP.800-57pt1r6.ipd

20251213-70209

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー
Cryptography is used to secure communications over networks, to protect information stored in databases, and for many other critical applications. Cryptographic keys play an important part in the operation of cryptography. These keys are analogous to the combination of a safe. If a safe combination is known to an adversary, the strongest safe provides no security against penetration.  暗号技術は、ネットワーク上の通信の保護、データベースに保存された情報の保護、その他多くの重要な用途に使用される。暗号鍵は暗号技術の運用において重要な役割を果たす。これらの鍵は金庫の暗証番号に類似している。敵対者が金庫の暗証番号を知っている場合、最も強固な金庫であっても侵入に対する防御効果は皆無である。
The proper management of cryptographic keys is essential to the effective use of cryptography for security. Poor key management may easily compromise strong algorithms. This recommendation provides guidelines for the management of a cryptographic key throughout its life cycle, including its secure generation, storage, distribution, use, and destruction.  暗号鍵の適切な管理は、セキュリティのための暗号技術の有効な利用に不可欠である。鍵管理が不十分だと、強力なアルゴリズムも容易に破られる。本 推奨は、暗号鍵のライフサイクル全体(安全な生成、保管、配布、使用、破棄を含む)における管理ガイドラインを提供する。
Ultimately, the security of information protected by cryptography directly depends on the strength of the keys, the effectiveness of cryptographic mechanisms and protocols associated with the keys, and the protection provided to the keys. Secret and private keys need to be protected against unauthorized disclosure, and all keys need to be protected against modification.  結局のところ、暗号技術で保護される情報の安全性は、鍵の強度、鍵に関連する暗号メカニズムとプロトコルの有効性、そして鍵自体への保護に直接依存する。秘密鍵と公開鍵は不正開示から防御され、全ての鍵は改変から防御されなければならない。
Cryptographic keys are used across a broad range of systems and applications in enterprises, many of which are managed by individuals who may not have expertise in key management. Consequently, organizations must ensure that clear guidance and oversight is provided for the proper management of keys, as well as controls to ensure that the guidance is being followed and implemented.  暗号鍵はエンタープライズの幅広いシステムやアプリケーションで使用されるが、その多くは鍵管理の専門知識を持たない個人によって管理されている。したがって組織は、鍵の適切な管理に向けた明確な指針と監督を提供するとともに、その指針が遵守・実施されていることを保証する統制を確立しなければならない。
Organizations and developers are presented with many choices in their use of cryptographic mechanisms. Inappropriate choices may result in an illusion of security but with little or no real security for the protocol or application. This recommendation provides background information and establishes a framework to support appropriate decisions when selecting and using cryptographic mechanisms.  組織や開発者は暗号メカニズムの利用において多くの選択肢に直面する。不適切な選択は、プロトコルやアプリケーションに対する実質的なセキュリティがほとんど、あるいは全くないにもかかわらず、セキュリティの幻想をもたらす可能性がある。本 推奨は背景情報を提供し、暗号メカニズムの選択と利用時に適切な判断を支援する枠組みを確立する。
Cryptographic modules are used to perform cryptographic operations using these keys. This recommendation does not address the implementation details for cryptographic modules that may be used to achieve the security requirements identified herein. These details are addressed in Federal Information Processing Standards (FIPS) Publication 140 [FIPS 140-3] and its associated implementation guidance and derived test requirements, which are available at https://csrc.nist.gov/projects/cmvp.  暗号モジュールは、これらの鍵を用いて暗号操作を実行するために使用される。本 推奨は、ここで識別されたセキュリティ要件を達成するために使用される暗号モジュールの実装詳細には触れない。これらの詳細は、連邦情報処理標準(FIPS)出版物140[FIPS 140-3]および関連する実装ガイダンスと派生テスト要件で扱われており、https://csrc.nist.gov/projects/cmvp で入手可能である。
This recommendation is divided into three parts:  本推奨は三つの部分に分かれる:
• Part 1 — General contains basic key-management guidelines  • 第1部 — 基本:基本的な鍵管理ガイドラインを含む
• Part 2 — Best Practices for Key Management Organizations provides a framework and general guidance to support establishing cryptographic key management.  • 第2部 — 鍵管理組織のためのベストプラクティス:暗号鍵管理の確立を支援する枠組みと一般的な指針を提供する
• Part 3 — Application-Specific Key Management Guidance addresses the key278 management issues associated with currently available implementations that use cryptography.  • 第3部 — アプリケーション固有の鍵管理ガイダンス:現在利用可能な暗号技術を用いた実装に関連する鍵管理の問題に対処する

 

 

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序論
1.1. Purpose 1.1. 目的
1.2. Audience 1.2. 対象読者
1.3. Scope 1.3. 範囲
1.4. Preliminary Discussion of Terms 1.4. 用語の予備的考察
1.5. Content and Organization 1.5. 内容と構成
2. Security Services 2. セキュリティサービス
2.1. Confidentiality 2.1. 機密性
2.2. Data Integrity 2.2. データ完全性
2.3. Authentication 2.3. 認証
2.4. Authorization 2.4. 認可
2.5. Non-Repudiation 2.5. 否認防止
2.6. Support Services 2.6. サポートサービス
2.7. Combining Services 2.7. サービスの組み合わせ
3. Cryptographic Algorithms 3. 暗号アルゴリズム
3.1. Cryptographic Hashing Methods 3.1. 暗号ハッシュ手法
3.2. Symmetric-Key Algorithms 3.2. 対称鍵アルゴリズム
3.3. Asymmetric-Key Algorithms 3.3. 非対称鍵アルゴリズム
3.4. Random Bit Generation 3.4. 乱数生成
4. General Key-Management Guidelines 4. 鍵管理の一般ガイドライン
4.1. Key Types and Other Information 4.1. 鍵の種類とその他の情報
4.1.1. Cryptographic Keys 4.1.1. 暗号鍵
4.1.2. Other Related Information 4.1.2. その他の関連情報
4.2. Key Usage 4.2. 鍵の使用期間
4.3. Cryptoperiods 4.3. 暗号期間
4.3.1. Factors Affecting Cryptoperiods 4.3.1. 暗号期間に影響する要因
4.3.2. Consequence Factors Affecting Cryptoperiods 4.3.2. 暗号期間に影響する結果要因
4.3.3. Other Factors Affecting Cryptoperiods 4.3.3. 暗号期間に影響するその他の要因
4.3.4. Asymmetric Key Usage Periods and Cryptoperiods 4.3.4. 非対称鍵の使用期間と暗号期間
4.3.5. Symmetric Key Usage Periods and Cryptoperiods 4.3.5. 対称鍵の使用期間と暗号期間
4.3.6. Cryptoperiod Recommendations for Specific Key Types 4.3.6. 特定の鍵タイプに対する暗号期間の推奨
4.4. Assurances 4.4. 保証(アシュアランス)
4.4.1. Assurance of Integrity (Integrity Protection) 4.4.1. 完全性の保証(完全性保護)
4.4.2. Assurance of Algorithm Parameter Validity 4.4.2. アルゴリズムパラメータの有効性の保証
4.4.3. Assurance of Public-Key Validity 4.4.3. 公開鍵の有効性の保証
4.4.4. Assurance of Private-Key Possession 4.4.4. 秘密鍵の所有の保証
4.4.5. Key Confirmation 4.4.5. 鍵の確認
4.5. Compromise of Keys and Other Keying Material 4.5. 鍵及びその他の鍵材料の侵害
4.5.1. Implications 4.5.1. 影響
4.5.2. Protective Measures 4.5.2. 保護措置
4.6. Guidelines for Cryptographic Algorithm and Key-Size Selection 4.6. 暗号アルゴリズム及び鍵サイズの選定に関する指針
4.6.1. Cryptographic Algorithm Security Strengths 4.6.1. 暗号アルゴリズムのセキュリティ強度
4.6.2. Using Algorithm Suites and the Effective Security Strength 4.6.2. アルゴリズムスイートの使用と実効セキュリティ強度
4.6.3. Projected Algorithm and Security Strength Approval Status 4.6.3. 予測されるアルゴリズム及びセキュリティ強度の承認状況
4.6.4. Transitioning to New Algorithms and Key Sizes in Systems 4.6.4. システムにおける新アルゴリズムおよび鍵サイズへの移行
4.6.5. Decrease in Security Over Time 4.6.5. 時間の経過に伴うセキュリティの低下
5. Protection Requirements for Key Information 5. 鍵情報の防御要件
5.1. Protection and Assurance Requirements 5.1. 防御および保証要件
5.1.1. Summary of Protection and Assurance Requirements for Cryptographic Keys 5.1.1. 暗号鍵の防御および保証要件の概要
5.1.2. Summary of Protection Requirements for Other Related Information 5.1.2. その他の関連情報の防御要件の概要
5.2. Protection Mechanisms 5.2. 防御メカニズム
5.2.1. Protection Mechanisms for Key Information in Transit 5.2.1. 伝送中の鍵情報の防御メカニズム
5.2.2. Protection Mechanisms for Key Information in Storage 5.2.2. 保管中の鍵情報の防御メカニズム
5.2.3. Metadata for Keys 5.2.3. 鍵のメタデータ
6. Key States and Transitions 6. 鍵の状態と遷移
6.1. Pre-Activation State 6.1. 事前活性化状態
6.2. Active State 6.2. 活性化状態
6.3. Suspended State 6.3. 一時停止状態
6.4. Compromised State 6.4. 侵害状態
6.5. Destroyed State 6.5. 破棄状態
7. Key-Management Phases and Functions 7. 鍵管理のフェーズと機能
7.1. Pre-Operational Phase 7.1. 運用前フェーズ
7.1.1. Entity Registration Function 7.1.1. 事業体登録機能
7.1.2. System Initialization Function 7.1.2. システム初期化機能
7.1.3. Initialization Function 7.1.3. 初期化機能
7.1.4. Keying-Material Installation Function 7.1.4. 鍵材料インストール機能
7.1.5. Key-Establishment Function 7.1.5. 鍵確立機能
7.1.6. Key Registration Function 7.1.6. 鍵登録機能
7.2. Operational Phase 7.2. 運用フェーズ
7.2.1. Normal Operational Storage Function 7.2.1. 通常運用時保存機能
7.2.2. Continuity of Operations Function 7.2.2. 運用継続機能
7.2.3. Key Change Function 7.2.3. 鍵変更機能
7.2.4. Key Derivation Methods 7.2.4. 鍵導出方法
7.3. Post-Operational Phase 7.3. 運用終了後フェーズ
7.3.1. Key Archive and Key Recovery Functions 7.3.1. 鍵アーカイブ及び鍵復旧機能
7.3.2. Entity De-Registration Function 7.3.2. 事業体登録解除機能
7.3.3. Key De-Registration Function 7.3.3. 鍵登録解除機能
7.3.4. Key Destruction Function 7.3.4. 鍵破棄機能
7.3.5. Key Revocation Function 7.3.5. 鍵失効機能
7.4. Destroyed Phase 7.4. 破棄段階
8. Additional Considerations 8. 追加考慮事項
8.1. Access Control and Identity Authentication 8.1. アクセス管理と身元認証
8.2. Inventory Management 8.2. 在庫管理
8.2.1. Key Inventories 8.2.1. 鍵在庫
8.2.2. Certificate Inventories 8.2.2. 証明書在庫
8.3. Accountability 8.3. 説明責任
8.4. Audit 8.4. 監査
8.5. Key-Management System Survivability 8.5. 鍵管理システムの生存性
8.5.1. Backed Up and Archived Key 8.5.1. バックアップおよびアーカイブされた鍵
8.5.2. Key Recovery 8.5.2. 鍵の復旧
8.5.3. System Redundancy/Contingency Planning… 8.5.3. システムの冗長性/緊急時対応計画…
8.5.4. Compromise Recovery 8.5.4. 侵害からの復旧
References 参考文献
Appendix A. Cryptographic and Non-Cryptographic Integrity and Source Authentication Mechanisms 附属書 A. 暗号的および非暗号的完全性およびソース認証メカニズム
Appendix B. Key Recovery 附属書 B. 鍵の復旧
B.1. General Discussion B.1. 一般的な考察
B.1.1. Recovery From Stored Keying Material B.1.1. 保存された鍵材料からの回復
B.1.2. Recovery by Reconstruction of Keying Material B.1.2. 鍵材料の再構築による回復
B.1.3. Conditions Under Which Keying Material Needs to be Recoverable B.1.3. 鍵材料の回復が必要となる条件
B.1.4. Key-Recovery Systems B.1.4. 鍵回復システム
B.1.5. Key-Recovery Policy B.1.5. 鍵回復ポリシー
B.2. Digital Signature Key Pair B.2. デジタル署名鍵ペア
B.2.1. Private Signature Key B.2.1. 秘密署名鍵
B.2.2. Public Signature-Verification Key B.2.2. 公開署名検証鍵
B.3. Authentication Keys B.3. 認証鍵
B.3.1. Symmetric Authentication Key B.3.1. 対称認証鍵
B.3.2. Authentication (Asymmetric) Key Pair B.3.2. 認証(非対称)鍵ペア
B.4. Random Number Generation Key B.4. 乱数生成鍵
B.5. Key-Derivation/Master Key B.5. 鍵導出/マスター鍵
B.6. Key Establishment (Automated) B.6. 鍵確立(自動化)
B.6.1. Symmetric Key-Wrapping Key B.6.1. 対称鍵ラッピング鍵
B.6.2. Key-Transport Key Pair B.6.2. 鍵伝送鍵ペア
B.6.3. Symmetric Key-Agreement Key B.6.3. 対称鍵合意鍵
B.6.4. Static Key-Agreement Key Pair B.6.4. 静的鍵合意鍵ペア
B.6.5. Ephemeral Key-Agreement Key Pair B.6.5. 一時的鍵合意鍵ペア
B.6.6. Static Encapsulation/Decapsulation Key Pair B.6.6. 静的カプセル化/デカプセル化鍵ペア
B.6.7. Ephemeral Encapsulation/Decapsulation Key Pair B.6.7. 一時的なカプセル化/デカプセル化鍵ペア
B.7. Symmetric Data Encryption/Decryption Keys B.7. 対称データ暗号化/復号化鍵
B.7.1. Encryption/Decryption of Data in Transit B.7.1. 転送中のデータの暗号化/復号
B.7.2. Encryption/Decryption of Data at Rest
B.7.2. 保存データの暗号化/復号
B.8. Keying Material Storage B.8. 鍵材料の保存
B.8.1. Symmetric Key Wrapping/Unwrapping Key B.8.1. 対称鍵ラッピング/アンラッピング鍵
B.8.2. Asymmetric Key Encryption/Decryption Key Pair B.8.2. 非対称鍵暗号化/復号化鍵ペア
B.8.3. Encapsulation/Decapsulation Key Pair B.8.3. カプセル化/デカプセル化鍵ペア
B.9. Authorization B.9. 認可
B.9.1. Symmetric Authorization Key B.9.1. 対称認可鍵
B.9.2. Authorization Key Pair B.9.2. 認可鍵ペア
B.10. Other Related Information B.10. その他の関連情報
B.10.1. Algorithm Parameters B.10.1. アルゴリズムパラメータ
B.10.2. Initialization Vector (IV) B.10.2. 初期化ベクトル(IV)
B.10.3. Shared Secret B.10.3. 共有秘密
B.10.4. Seed B.10.4. シード
B.10.5. Other Public and Secret Information B.10.5. その他の公開情報および秘密情報
B.10.6. Intermediate Results B.10.6. 中間結果
B.10.7. Key-Control Information/Metadata B.10.7. 鍵制御情報/メタデータ
B.10.8. Random Numbers B.10.8. 乱数
B.10.9. Password B.10.9. パスワード
B.10.10. Audit Information B.10.10. 監査情報
Appendix C. Security Strength Categories for Post-Quantum Algorithms 附属書 C. 耐量子アルゴリズムのセキュリティ強度カテゴリー
Appendix D. List of Abbreviations and Acronyms 附属書 D. 略語および頭字語一覧
Appendix E. Glossary 附属書 E. 用語集
Appendix F. Change Log 附属書 F. 変更履歴
List of Tables 表一覧
Table 1. Suggested cryptoperiods for key types 表 1. 鍵タイプに対する推奨暗号期間
Table 2: Security Strength Categories for Post-quantum Algorithms 表 2: 耐量子アルゴリズムのセキュリティ強度カテゴリー
Table 3: Security strengths of symmetric block cipher algorithms 表 3: 対称ブロック暗号アルゴリズムのセキュリティ強度
Table 4: Security strengths of classical asymmetric-key algorithms… 表4:古典的非対称鍵アルゴリズムのセキュリティ強度…
Table 5:Security strengths of quantum-resistant asymmetric-key algorithms 表5:量子耐性非対称鍵アルゴリズムのセキュリティ強度
Table 6: Maximum security strengths for hash methods and hash-based functions 表6:ハッシュ手法およびハッシュベース機能の最大セキュリティ強度
Table 8. Protection requirements for cryptographic keys 表8.暗号鍵の防御要件
Table 9. Protection requirements for other related information 表9.その他の関連情報の防御要件
Table 10. Backup of keys 表10.鍵のバックアップ
Table 11. Backup of other related information 表11.その他の関連情報のバックアップ
Table 12. Archive of keys 表12. 鍵のアーカイブ
Table 13. Archive of other related information 表13. その他の関連情報のアーカイブ
List of Figures 図の一覧
Figure 1. Symmetric-key cryptoperiod 図1. 対称鍵暗号の期間
Figure 2. Algorithm originator-usage period example 図2. アルゴリズム作成者-使用期間の例
Figure 3. Key state and transition example 図3. 鍵の状態と遷移の例
Figure 4. Key-management phases 図4. 鍵管理のフェーズ
Figure 5. Key-management states and phases 図5. 鍵管理の状態とフェーズ
Figure 6: Example of a tree of keys in storage 図6: 保存中の鍵のツリーの例

 

 


 

暗号鍵の管理についてはIPAからも

IPA

SP800-57の第5版をベースにしています...

・2023.08.30 暗号鍵設定ガイダンス〜暗号鍵の鍵長選択方法と運用方法〜

 

(これはSP800-130をベースにしています。)...

・2025.04.25 暗号鍵管理ガイドライン

 

IPAの翻訳も...

・SP 800-57 Part 1 Rev. 5 鍵管理における推奨事項 第一部:一般事項 Recommendation for Key Management Part 1: General

・・2021.05 [PDF] SP 800-57 Part 1 Rev. 5

・SP 800-57 Part 3 Rev. 1 鍵管理における推奨事項 第三部:アプリケーション特有の鍵管理ガイダンス Recommendation for Key Management Part 3: Application-Specific Key Management Guidance

・・2016.11 [PDF] SP 800-57 Part 3 Rev. 1

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2022.07.13 IPA 暗号鍵設定ガイダンス~暗号鍵の鍵長選択方法と運用方法~

・2020.05.08 NIST SP 800-57 Part 1 Rev. 5 Recommendation for Key Management: Part 1 – General

 

・2008.07.26 IPA 「MD5 の安全性の限界に関する調査研究」に関する報告書・「安全な暗号鍵のライフサイクルマネージメントに関する調査」に関する報告書を公表

 

 

 

| | Comments (0)

2025.12.13

米国 OSCAL NIST CSWP 53(初期公開ドラフト)NIST OSCALの進路を示す (2025.12.02)

こんにちは、丸山満彦です。

セキュリティについての準拠性チェック(監査も含む)について、コントロールが自動化されつつある中で、準拠性チェックも自動化すればよいではないか...というのが、Open Security Controls Assessment Language (OSCAL) の考えなのですかね...

セキュリティ全体を担保する上では、コントロールの実装・運用のみならず、その保証(アシュアランス)も重要となるのですが、日本では保証(アシュアランス)の話に至る前の段階なんですかね...ISMAPも含めてこれからOSCALが重要となってくると思われるので、日本でももっと検討がすすめばよいですね...

 

NIST - ITL

・2025.12.02 NIST CSWP 53 (Initial Public Draft) Charting the Course for NIST OSCAL

NIST CSWP 53 (Initial Public Draft) Charting the Course for NIST OSCAL NIST CSWP 53(初期公開ドラフト)NIST OSCALの進路を示す
Announcement 発表
This paper introduces the Open Security Controls Assessment Language (OSCAL) — an open-source, machine-readable language that standardizes security documentation for better monitoring and risk management. 本稿は、監視とリスクマネジメントの改善に向けたセキュリティ文書の標準化を目的としたオープンソースの機械可読言語「オープンセキュリティ制御評価言語(OSCAL)」を紹介する。
OSCAL was developed to modernize manual, paper-based cybersecurity compliance through automated, scalable processes and continuous assessments. This draft describes OSCAL’s layered architecture, its growing global adoption, and its future integration with emerging technologies (e.g., digital twins, agentic AI) for autonomous risk reasoning and continuous assurance. OSCALは、手動・紙ベースのサイバーセキュリティコンプライアンスを、自動化・拡張可能なプロセスと継続的アセスメントによって近代化するために開発された。本ドラフトでは、OSCALの階層型アーキテクチャ、世界的な普及の進展、自律的リスク推論と継続的保証のための新興技術(例:デジタルツイン、エージェント型AI)との将来的な統合について説明する。
Abstract 要約
This document introduces the Open Security Controls Assessment Language (OSCAL), a NIST-developed, open-source, machine-readable language that modernizes manual, paper-based cybersecurity compliance by enabling automated and scalable processes. OSCAL standardizes security documentation for easier monitoring and risk management across different tools. It can also be extended and integrated with numerous capabilities, including software supply chain standards using OSCAL SBOMs, digital twin technology and AI-driven compliance. Overall, OSCAL helps organizations improve efficiency, accuracy, and collaboration in cybersecurity. 本稿は、NISTが開発したオープンソースの機械可読言語「Open Security Controls Assessment Language(OSCAL)」を紹介する。OSCALは自動化・拡張可能なプロセスを実現することで、手作業の紙ベースのサイバーセキュリティコンプライアンスを近代化する。OSCALはセキュリティ文書を標準化し、異なるツール間での監視とリスクマネジメントを容易にする。また、OSCAL SBOMを用いたソフトウェアサプライチェーン基準、デジタルツイン技術、AI駆動型コンプライアンスなど、数多くの機能との拡張・統合が可能である。全体として、OSCALは組織のサイバーセキュリティにおける効率性、正確性、協働性の向上に寄与する。

 

 

 

・[PDF] NIST.CSWP.53.ipd

20251212-63804

 

1. Introduction 1. 序論
2. The OSCAL Ecosystem 2. OSCALエコシステム
3. OSCAL as the Shipping Container of Cybersecurity 3. サイバーセキュリティの輸送コンテナとしてのOSCAL
3.1. OSCAL's Layered Architecture and Models 3.1. OSCALの階層型アーキテクチャとモデル
3.2. The OSCAL Advantage: Standardized Efficiency and Interoperability 3.2. OSCALの利点:標準効率性と相互運用性
4. Global Momentum and the OSCAL Foundation: Scaling the Mission 4. グローバルな勢いとOSCAL財団:ミッションの拡大
5. Beyond Control Assessments: Augmenting and Integrating Capabilities 5. 制御アセスメントを超えて:能力の拡張と統合
5.1. OSCAL and Software Bills of Materials: A Natural Fit 5.1. OSCALとソフトウェア部品表:自然な適合性
5.2. Elevating Assessment Automation: The Power of OSCAL and Emerging Technologies 5.2. 評価自動化の高度化:OSCALと新興技術の力
5.2.1. From Static Security Artifacts to Intelligent Digital Twins 5.2.1. 静的なセキュリティアーティファクトからインテリジェントなデジタルツインへ
5.2.2. Autonomous Risk Reasoning with Agentic Al 5.2.2. エージェント型AIによる自律的なリスク推論
5.2.3. Generative Al: Simulating, Predicting, and Remediating  5.2.3. 生成的AI:シミュレーション、予測、修復
5.2.4. Real-Time Feedback Loops and Continuous Assurance 5.2.4. リアルタイムフィードバックループと継続的保証
5.3. Federated and Scalable Intelligence 5.3. 連合型かつ拡張可能なインテリジェンス
6. Why You Should "OSCAL-ize" Your Data 6. データを「OSCAL化する」べき理由
6.1. Join the OSCAL Community and Transform Compliance Together 6.1. OSCALコミュニティに参加し、共にコンプライアンスを変革する
6.2. Benefits of OSCAL Adoption 6.2. OSCAL導入のメリット
7. Final Thoughts: Build the Future of Compliance with OSCAL References 7. まとめ:OSCALでコンプライアンスの未来を構築する参考文献
List of Tables 表一覧
Table 1. Alignment of OSCAL data objects with SPDX and CycloneDX 表1. OSCALデータオブジェクトとSPDXおよびCycloneDXの対応関係
List of Figures 図一覧
Fig. 1. OSCAL Ecosystem Diagram  図1. OSCALエコシステム図
Fig. 2. OSCAL Foundation contribution workflow 図2. OSCAL財団への貢献ワークフロー
Fig. 3. OSCAL component definition outline  図3. OSCALコンポーネント定義の概要
Fig 4: Digital twin-based intelligent continuous system resilience management 図4: デジタルツインベースのインテリジェント継続的システムレジリエンス管理
Fig. 5. OSCAL's continuous self-healing process 図5. OSCALの継続的自己修復プロセス

 

エコシステム

 

1. Introduction  序論
In a digital world defined by rapid cloud adoption, intricate system dependencies, and evolving threats, the traditional and proprietary methods of cybersecurity compliance methods no longer scale effectively. The burden of paper-based documentation, manual assessments, and proprietary tools limits security data portability. As systems have evolved, the complexity of this work has increased significantly, and understanding interdependencies, control inheritance, and risk mitigation across layered systems is a monumental task.  クラウドの急速な普及、複雑なシステム依存関係、進化する脅威によって特徴づけられるデジタル世界において、従来のサイバーセキュリティコンプライアンス手法や独自手法はもはや効果的に拡張できない。紙ベースの文書化、手動評価、独自ツールの負担がセキュリティデータの移植性を制限している。システムが進化するにつれ、この作業の複雑さは著しく増大し、階層化されたシステム全体における相互依存関係、制御の継承、リスク緩和を理解することは途方もない課題となっている。
To address these challenges, the National Institute of Standards and Technology (NIST) has collaborated with industry partners to develop the Open Security Controls Assessment Language (OSCAL) [1], which is an open-source, machine-readable language designed to digitize security information and support dynamic risk management. This solution supports fast, costeffective, accurate, and continuous assessments and monitoring of critical systems. It also meets the urgent need for standardized, machine-readable documentation and portable, automated compliance processes.  これらの課題に対処するため、米国国立標準技術研究所(NIST)は業界パートナーと協力し、セキュリティ情報をデジタル化し動的リスクマネジメントを支援するオープンソースの機械可読言語「Open Security Controls Assessment Language(OSCAL)」[1]を開発した。このソリューションは、重要システムの迅速・低コスト・高精度・継続的なアセスメントと監視を支援する。また、標準の機械可読文書化と、移植性のある自動化されたコンプライアンスプロセスの緊急ニーズにも応える。
Developed with flexibility and operational excellence at its core, OSCAL began as a federalfocused project but has quickly grown into a global initiative. It enables the shift from manual to machine-driven, continuous assessments for a broad range of compliance domains. OSCAL’s rapid international adoption includes collaborations with organizations from the information technology industry and span multiple vertical markets, including international governments, public sectors, and financial services. Its use cases in privacy, safety, and accessibility across a variety of regulatory frameworks highlights its groundbreaking role in advancing proactive system resilience assessments.  柔軟性と運用効率を中核に開発されたOSCALは、連邦政府向けプロジェクトとして始まったが、急速にグローバルな取り組みへと発展した。これにより、幅広いコンプライアンス領域において、手動評価から機械駆動型の継続的アセスメントへの移行が可能となる。OSCALの急速な国際的普及には、情報技術産業の組織との連携が含まれ、国際政府、公共部門、金融サービスを含む複数の垂直市場に及んでいる。様々な規制枠組みにおけるプライバシー、安全性、アクセシビリティでの活用事例は、先制的なシステムレジリエンス評価を推進する画期的な役割を浮き彫りにしている。
2. The OSCAL Ecosystem  2. OSCALエコシステム
OSCAL is a community-driven initiative to standardize and automate security assessments and risk management processes. The OSCAL ecosystem features a broad network of government agencies, private-sector vendors, open-source contributors, and standards bodies working together to advance and mature the language. This ecosystem relies on key resources in several categories, as shown in Fig. 1:  OSCALは、セキュリティ評価とリスクマネジメントプロセスの標準・自動化を目指すコミュニティ主導のイニシアチブである。OSCALエコシステムは、政府機関、民間ベンダー、オープンソース貢献者、標準団体からなる広範なネットワークを特徴とし、言語の進化と成熟化に向けて協働している。このエコシステムは、図1に示すように、いくつかのカテゴリーにおける主要リソースに依存している:
• OSCAL models/schemas [2]: Define the structure of the language, and provide a standardized framework for continuous risk management  • OSCALモデル/スキーマ[2]:言語の構造を定義し、継続的リスクマネジメントのための標準化された枠組みを提供する
• Content (OSCAL artifacts) [3]: Standardized digital representations of information that support risk management processes (e.g., requirement, controls, safeguards), including their selection, implementation, and continuous assessment  • コンテンツ(OSCALアーティファクト)[3]: リスクマネジメントプロセス(要件、統制、保護手段など)を支援する情報の標準化されたデジタル表現。これには選択、実装、継続的アセスメントが含まれる。
• Editorial tools [4]: Support the creation, editing, and management of OSCAL content  • 編集ツール [4]: OSCALコンテンツの作成、編集、管理を支援する
• GRC (governance, risk, and compliance) tools: Enable the practical application and use of OSCAL to offer a consistent format for describing security requirements  • GRC(ガバナンス、リスク、コンプライアンス)ツール: OSCALの実践的適用と利用を可能にし、セキュリティ要件を記述するための一貫したフォーマットを提供する
• Operationalized content: Automated DevOps processes, such as continuous integration and continuous deployment (CI/CD) pipelines that leverage OSCAL’s native traceability and updatability (e.g., change management through granular unique identifiers systems).  • 運用化コンテンツ:OSCALの固有のトレーサビリティと更新可能性(例:細粒度の一識別子システムによる変更管理)を活用する継続的インテグレーション/継続的展開(CI/CD)パイプラインなどの自動化されたDevOpsプロセス。
1_20251213054501
Fig. 1. OSCAL Ecosystem Diagram  図1. OSCALエコシステム図
As the official owner and primary authority responsible for OSCAL, NIST leads the development and maintenance of the OSCAL models/schemas, which form the structure of the framework. In addition, NIST produces OSCAL content, including foundational artifacts that support implementation across a variety of use cases. In Fig. 1, the darker gray boxes represent NIST’s primary responsibilities in the OSCAL ecosystem. This content is made freely available as opensource resources to promote accessibility and adoption.  OSCALの公式所有者かつ主要な責任機関として、NISTは枠組みの構造を構成するOSCALモデル/スキーマの開発と維持を主導する。さらにNISTは、様々なユースケースでの実装を支援する基盤的成果物を含むOSCALコンテンツを生産する。図1において、濃い灰色のボックスはOSCALエコシステムにおけるNISTの主要な責任範囲を示す。このコンテンツは、アクセシビリティと採用を促進するため、オープンソースリソースとして自由に利用可能である。
While NIST retains ownership and governance over OSCAL, it actively promotes a collaborative, community-driven model that encourages contributions from other organizations, including the following key stakeholders:  NISTはOSCALの所有権とガバナンスを保持しつつ、他の組織からの貢献を奨励する協働的・コミュニティ主導モデルを積極的に推進している。主なステークホルダーは以下の通りである:
• Guideline/regulatory authors: Entities responsible for creating and publishing regulatory documents, such as policies, control catalogs, profiles, baselines, and overlays. These actors define, customize, and tailor requirements and controls to guide organizations in managing cybersecurity risks.  • ガイドライン/規制策定者:ポリシー、制御カタログ、プロファイル、ベースライン、オーバーレイなどの規制文書の作成・公開を担当する事業体。これらの主体は、組織がサイバーセキュリティリスクを管理するための指針として、要件や制御を定義・カスタマイズ・適応させる。
• Security professionals: Entities responsible for documenting the implementation of requirements or controls and demonstrating their effectiveness within information systems. They ensure that safeguards (i.e., implemented controls) are properly applied and meet required standards to mitigate identified risks.  • セキュリティ専門家:要件や制御の実装を文書化し、情報システム内での有効性を実証する責任を負う事業体。識別されたリスクを緩和するため、保護手段(実装された制御)が適切に適用され、要求される標準を満たしていることを保証する。
• Assessors/auditors: Independent entities responsible for evaluating the claimed satisfaction of requirements or control implementation to determine whether systems meet the risk management objectives of system owners or authorizing officials. This role involves analyzing documentation, verifying implementation, and identifying gaps or vulnerabilities.  • 評価者/監査者:要求事項や統制実施の主張された充足度を評価し、システムがシステム所有者や認可担当者のリスク管理目標を満たしているかを判断する独立した事業体である。この役割には、文書の分析、実施状況の検証、ギャップや脆弱性の特定が含まれる。
• Tool developers: Entities that develop editorial or GRC tools that automate and streamline risk management processes to improve efficiency and precision. Such tools empower security teams to perform their tasks more effectively and at scale.  • ツール開発者:リスクマネジメントプロセスを自動化・効率化し、効率性と精度を向上させる編集ツールやGRCツールを開発する事業体である。こうしたツールはセキュリティチームが業務をより効果的かつ大規模に遂行することを可能にする。
These participants generate content, develop tools, and operationalize use across systems. Their expertise is essential to advancing the maturity of the language and preparing it for international standardization. Any proposed changes to OSCAL or OSCAL-related content must be transparently reviewed and vetted by the community before being adopted or implemented by NIST.  これらの参加者はコンテンツを生成し、ツールを開発し、システム全体での運用を実現する。彼らの専門知識は、言語の成熟度を高め、国際標準に向けた準備を進める上で不可欠である。OSCALまたはOSCAL関連コンテンツへの変更提案は、NISTによる採用または実装前に、コミュニティによる透明性のある審査と検証を経なければならない。
Two essential tool categories in the ecosystem are crucial to the success and global adoption of OSCAL: editorial tools and GRC tools. Editorial tools support the generation, editing, and management of OSCAL content. GRC tools, which can be developed by vendors, then operationalize that content by integrating it into real-world workflows, enabling automation, and supporting security assessments and compliance reporting. Without editorial tools, creating and maintaining content would not be possible. Without GRC tools, that content would remain static and unusable in practice. Together, they enable organizations to fully utilize and accomplish the benefits of security automation and standardized compliance.  OSCALの成功と世界的な普及には、エコシステム内の2つの重要なツールカテゴリーが不可欠である。編集ツールとGRCツールだ。編集ツールはOSCALコンテンツの生成、編集、管理を支援する。ベンダーが開発可能なGRCツールは、そのコンテンツを実世界のワークフローに統合し、自動化を実現し、セキュリティアセスメントやコンプライアンス報告を支援することで運用化する。編集ツールがなければ、コンテンツの作成と維持は不可能だ。GRCツールがなければ、そのコンテンツは静的なまま実運用では使えない。両者が連携することで、組織はセキュリティ自動化と標準化されたコンプライアンスの利点を最大限に活用し達成できるのだ。
The OSCAL community is also strengthened by a wide range of supporters, such as the OSCAL  OSCALコミュニティは、幅広い支援者によっても強化されている。例えば2025年1月に業界主導のコンソーシアムとして設立されたOSCAL
Foundation [5], which was established in January 2025 as an industry-led consortium. The Foundation focuses on key areas to accelerate growth, maturation, and adoption, including content generation, model maturation, and community-consensus building. Specifically, it is working to achieve six core objectives: adoption, education, community engagement, development, extension, and internationalization.  財団[5]がそれだ。同財団は成長・成熟・普及を加速する重要領域に注力している。具体的にはコンテンツ生成、モデル成熟化、コミュニティ合意形成などだ。特に以下の6つの核心目標達成に取り組んでいる:普及、教育、コミュニティ関与、開発、拡張、国際化。
3. OSCAL as the Shipping Container of Cybersecurity  3. サイバーセキュリティの輸送コンテナとしてのOSCAL
To better understand how OSCAL streamlines complex security processes, compare it to something familiar: a shipping container. Historically, transporting goods by sea was timeconsuming, extensive, and labor-intensive. The introduction of standardized shipping container sizes in 1956 dramatically changed the industry by maximizing the use of space, simplifying transfers, speeding up loading and unloading operations, and reducing shipping costs.  OSCALが複雑なセキュリティプロセスをいかに効率化するか理解するには、身近な例である輸送コンテナと比較すると良い。歴史的に、海上輸送は時間がかかり、手間がかかり、労働集約的であった。1956年に標準輸送コンテナサイズが導入されたことで、空間利用の最大化、移送の簡素化、積み下ろし作業の迅速化、輸送コストの削減が実現し、業界は劇的に変化した。
Before container standardization, every shipment required custom handling. Today, cybersecurity documentation faces a similar challenge. Documents are often created in a range of formats that require manual restructuring before being shared or reused across systems. OSCAL solves this by introducing a common, machine-readable format — just like the standardized shipping container — that makes it easier to store, transfer, and automate compliance data across platforms and organizations.  コンテナ標準化以前、各輸送には個別対応が必要だった。今日のサイバーセキュリティ文書も同様の課題に直面している。文書は多様な形式で作成されることが多く、システム間で共有・再利用する前に手作業で再構築が必要だ。OSCALは、標準化された輸送コンテナと同様に、共通の機械可読形式を導入することでこの問題を解決する。これにより、プラットフォームや組織を跨いだコンプライアンスデータの保存、転送、自動化が容易になる。
OSCAL enables:  OSCALが実現するもの:
• Vendors to document the security controls implemented in their products  • ベンダーが自社製品に実装したセキュリティ制御を文書化すること
• System owners or policy makers to define standardized “playbooks” for system components  • システム所有者や政策立案者がシステムコンポーネント向けの標準「プレイブック」を定義すること
• System owners to test, review, and provisionally authorize system components  • システム所有者がシステムコンポーネントをテスト、レビューし、暫定的に認可すること
• The reuse of authorized components across different systems  • 承認済みコンポーネントを異なるシステム間で再利用すること
• Streamlined documentation generation to automate the traditionally manual and human-intensive labor of generating system security plans (SSPs)  • 従来手作業で人的リソースを要したシステムセキュリティ計画(SSP)作成を自動化する、効率化された文書生成
OSCAL’s implementation layer divides systems into modular components that can be reassembled or evaluated based on different needs, such as functionality or role. Think of OSCAL as “documentation as code” or “compliance as code,” which is essentially the digital equivalent of standardizing shipping containers. It is designed to carry security information about controls, baselines, their implementation, and assessments, and it enables DevOps-style automation in the traditionally manual world of security governance.  OSCALの実装層は、システムをモジュール化されたコンポーネントに分割する。これらは機能や役割など、異なるニーズに基づいて再構築または評価可能だ。OSCALを「ドキュメンテーション・アズ・コード」あるいは「コンプライアンス・アズ・コード」と捉えよう。これは本質的に、標準の輸送コンテナのデジタル版に相当する。これは、制御、ベースライン、その実装、アセスメントに関するセキュリティ情報を運ぶように設計されており、従来手作業だったセキュリティガバナンスの世界にDevOpsスタイルの自動化をもたらす。
3.1. OSCAL’s Layered Architecture and Models  3.1. OSCALの階層型アーキテクチャとモデル
OSCAL is organized into multiple layers, each containing specific models that serve distinct operational purposes and roles. Each model defines structured ways to represent how data is organized, known as information structures. Together, these structures form an information model, which is bound to multiple serialization formats, such as XML, JSON, and YAML. These serialization formats represent a concrete data model that specifies how an OSCAL information model is represented. Although the syntax of each format differs, all formats for a given model represent the exact same information. This means that OSCAL content that is written in one supported format (i.e., XML, JSON, or YAML) can be translated into any of the other formats without data loss.  OSCALは複数の層で構成され、各層には特定の運用目的と役割を果たすモデルが含まれる。各モデルは、データの組織化方法を構造化して表現する方法を定義しており、これは情報構造と呼ばれる。これらの構造が集合して情報モデルを形成し、XML、JSON、YAMLなどの複数のシリアライゼーション形式に紐付けられる。これらのシリアライゼーション形式は、OSCAL情報モデルの表現方法を規定する具体的なデータモデルを表す。各形式の構文は異なるが、特定のモデルに対する全形式は全く同一の情報を表現する。これは、あるサポート形式(XML、JSON、YAML)で記述されたOSCALコンテンツが、データ損失なく他の形式へ変換可能であることを意味する。
The NIST OSCAL website offers an overview of the OSCAL project, including resources, tutorials, detailed documentation, workshops, references, downloads, and more to support users at every level. The OSCAL specification is maintained in a live versioned format.  NIST OSCALウェブサイトでは、リソース、チュートリアル、詳細なドキュメント、ワークショップ、参考文献、ダウンロードなど、あらゆるレベルのユーザーを支援するOSCALプロジェクトの概要を提供している。OSCAL仕様はライブバージョン管理形式で維持されている。
Current OSCAL layers and released models are:  現在のOSCALレイヤーと公開済みモデルは以下の通りだ:
• Control Layer  • コントロールレイヤー
o Catalog Model  o カタログモデル
o Profile Model  o プロファイルモデル
• Implementation Layer  • 実装レイヤー
o Component Definition Model  o コンポーネント定義モデル
o System Security Plan (SSP) Model  o システムセキュリティ計画(SSP)モデル
• Assessment Layer  • 評価レイヤー
o Assessment Plan Model  o 評価計画モデル
o Assessment Results Model  o 評価結果モデル
o Plan of Action and Milestones (POA&M) Model  o 行動計画とマイルストーン(POA&M)モデル
In addition to the currently released OSCAL models, NIST is working with community members to expand OSCAL’s capabilities through new models, such as the Control Mapping Model and Shared Responsibility Model.  現在公開されているOSCALモデルに加え、NISTはコミュニティメンバーと連携し、制御マッピングモデルや共有責任モデルなどの新規モデルを通じてOSCALの機能拡張を進めている。
The OSCAL schemas, which define the “language” of OSCAL, are publicly hosted on the OSCAL GitHub Repository.[1] Community members are encouraged to participate by forking the repository, making improvements, and submitting pull requests to contribute to the ongoing development of OSCAL.  OSCALの「言語」を定義するスキーマは、OSCAL GitHubリポジトリで公開されている。[1] コミュニティメンバーは、リポジトリをフォークし、改善を行い、プルリクエストを提出することで、OSCALの継続的な開発に貢献するよう奨励されている。
NIST also publishes key cybersecurity documents in OSCAL, including the Cybersecurity Framework v2.0 [6], NIST Special Publication (SP) 800-53 [7], SP 800-53B [8], and 800-53A [9], NIST Special Publication (SP) 800-171 [10] and NIST Special Publication (SP) 800-218 [11]. These OSCAL artifacts contain structured sets of requirements and are maintained on the public OSCAL Content Repository. NIST OSCAL team will continue to work on converting more NIST special publications of interest to our community.  NISTはまた、サイバーセキュリティフレームワークv2.0[6]、NIST 特別刊行物(SP)800-53[7]をOSCALで公開している。SP 800-53B [8]、800-53A [9]、NIST 特別刊行物(SP) 800-171 [10]、NIST 特別刊行物(SP) 800-218 [11]などである。これらのOSCAL成果物は構造化された要件セットを含み、公開OSCALコンテンツリポジトリで管理されている。NIST OSCALチームは、今後もコミュニティにとって有益なNIST特別刊行物の変換作業を継続する。
3.2. The OSCAL Advantage: Standardized Efficiency and Interoperability  3.2. OSCALの利点:標準化された効率性と相互運用性
By automating documentation, assessments, and risk tracking, OSCAL addresses numerous realworld challenges, including:  文書化、アセスメント、リスク追跡を自動化することで、OSCALは以下のような現実世界の課題に対処する:
• Faster, cheaper, and more accurate audits  • より迅速で、低コストかつ正確な監査
• Tool interoperability and reduced vendor lock-in  • ツール間の相互運用性とベンダーロックインの低減
• Reuse of common controls and scalability across environments  • 共通制御の再利用と環境横断的な拡張性
• Automated validation and continuous monitoring  • 自動妥当性確認と継続的モニタリング
In addition to its core capabilities, OSCAL offers an open, machine-readable set of formats in XML, JSON, and YAML that make it easier to integrate into existing workflows and empower organizations to:  中核機能に加え、OSCALはXML、JSON、YAML形式のオープンで機械可読なフォーマット群を提供し、既存ワークフローへの統合を容易にする。これにより組織は以下が可能となる:
• Digitize and automate compliance documentation  • コンプライアンス文書のデジタル化と自動化
• Accelerate audits and Authority to Operate (ATO) processes  • 監査と運用許可(ATO)プロセスの加速化
• Reduce errors and manual effort  • エラーと手作業の削減
• Improve efficiency and consistency across security and compliance activities  • セキュリティおよびコンプライアンス活動全体の効率性と一貫性の向上
OSCAL defines a comprehensive ecosystem of digital artifacts, including control catalogs and profiles, SSPs, component definitions, and assessment plans and results. This ecosystem delivers unprecedented transparency throughout the compliance life cycle and helps organizations manage and demonstrate their security posture with greater confidence and clarity.  OSCALは、制御カタログとプロファイル、SSP、コンポーネント定義、アセスメント計画と結果を含む、デジタルアーティファクトの包括的なエコシステムを定義する。このエコシステムは、コンプライアンスライフサイクル全体に前例のない透明性をもたらし、組織がより確信と明確さをもってセキュリティ態勢を管理し、実証することを支援する。
[1] Additional OSCAL-related GitHub repositories are also available on NIST’s GitHub enterprise, though they are not covered in this document.  [1] OSCAL関連の追加GitHubリポジトリはNISTのGitHubエンタープライズ上でも利用可能だが、本ドキュメントでは扱わない。

 

 

OSCALのウェブページ

Open Security Controls Assessment Language OSCAL

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.09.15 JASA セキュリティ監査自動化に向けた現状と可能性

・2025.06.21 監査(評価)はどんどん自動化される? CSAのAIをつかった妥当性確認 (Valid-AI-ted) (2025.06.09)

・2025.04.09 米国 一般調達局 FedRAMP 20X (2025.03.24)

・2024.07.22 米国 これからはFedRampも含めて監査は自動化 (automate.fedramp.gov) !キーワードはOSCAL

・2024.04.22 内部監査人協会 意見募集 トピック別要求事項:サイバーセキュリティ (2024.04.11)/

・2024.04.02 米国 FedRAMPの新しいロードマップ(2024-2025)

・2020.07.16 JIPDEC ”米国のプライバシー保護に関する動向”

 

 

OSCALについての日本語の参考サイト

● PwC Japan

・2025.08.06 セキュリティ監査の自動化

・2024.02.02 OSCAL:進化するサイバーセキュリティ評価と管理プロセス OSCALの概要と国際的影響

 

● NRI

・2025.09 NIST OSCALによる内部統制の効率化・高度化に期待

・・[PDF]

 

JASA - クラウドセキュリティ推進会議

・2025.01.16 セキュリティ監査の自動化への取り組み

 

SecureNavi

・OSCAL Lab

2024.12.30 海外から学ぶOSCALの実用事例
2024.11.14 OSCALが変えるセキュリティ評価とコンプライアンス管理の未来
2024.11.09 Google内部でOSCALがどう活用されているのか
2024.11.09 ISOなどの標準文書や規格を生成するMetanormaとは
2024.11.09 OSCALを活用し、CISやCSAのマッピングに挑む
2024.11.07 OSCALの今後のビジョンと戦略を中の人が語る
2024.11.05 はじめてのNIST OSCAL:概要と国内での必要性
2024.11.04 OSCALを巡る文化とセキュリティカルチャー
2024.11.01 セキュリティの専門家は「目立たないヒーロー」(4th OSCAL Conference 基調講演より)
2024.10.31 KPMGにおけるOSCALのユースケース
2024.10.30 AWSにおける顧客体験の重要性とOSCALの採用
2024.10.16 EUのサイバーセキュリティ認証(EUCS)におけるOSCALの活用
2024.10.14 IBMが提供するSecurity and Compliance Center(SCC)とOSCALとの関係性
2024.10.13 GitHub Actionsを利用したOSCALモデルの操作デモ
2024.10.12 OSCAL導入プロジェクトの進め方
2024.10.10 OSCALを活用した NIST SP 800-53 Rev.4 から Rev.5 への移行
2024.10.07 NIST SP800-53の進化(Rev6を見据えて)
2024.10.05 OSCALを活用したFedRAMP自動化の背後にある技術
2024.10.03 爆発的な技術革新とOSCALの進化(3th OSCAL Workshop 基調講演より)

 

・Note

・・2021.11.04 NISTが開発する、セキュリティ対策をJSON等で記述する技術「OSCAL」とはなにか

 

 

| | Comments (0)

2025.12.12

米国 NIST CSWP 42 IoTセキュリティの自動化に向けて:信頼できるネットワーク層オンボーディングの実装 (2025.11.25)

こんにちは、丸山満彦です。

NISTがIoTセキュリティの自動化に向けて、信頼できるネットワーク層オンボーディングの実装に関するホワイトペーパーを公表していますね...

セキュリティに関してはセキュリティ設定のできる限りの自動化がまずは重要なのだろうと思います。

 

現在のIoTオンボーディングの課題...


  1. IoTデバイスへのネットワーク認証情報の手動プロビジョニングは、特に大規模な場合、エラーが発生しやすく、時間がかかり、しばしば安全でない。
  2. 共有されたネットワーク認証情報は、脅威がネットワーク全体に容易に拡散することを許す。
  3. 多くのIoTデバイスにおける限定的なユーザーインターフェースは、手動での認証情報入力を困難または不可能にする。
  4. ネットワーク認証情報のプロビジョニングに利用されるオープンWi-Fiネットワークは、盗聴や不正アクセスのリスクを高める。
  5. デバイス認証の欠如により、接続デバイスが当該ネットワークに真正に属するかどうかをネットワークが検証できない。

 

信頼されたネットワーク層オンボーディングが解決する課題


信頼されたネットワーク層オンボーディングとは、デバイスにネットワーク認証情報を安全にプロビジョニングする自動化された仕組みである。信頼されたネットワーク層オンボーディングとライフサイクル管理は、これらの課題に対処する4つの主要な機能を提供する:

  1. デバイスごとの固有ネットワーク認証情報
  • 攻撃対象領域を縮小し、潜在的な被害を制限する。
  • 個々の侵害されたデバイスを容易に除去できる。
  • デバイス間の認証情報再利用を防止する
  1. ゼロタッチオンボーディング
  • 自動化され拡張性のあるデバイスオンボーディングを実現する。
  • IoTデバイスへのネットワーク認証情報の手動プロビジョニングを不要とする。
  • エンタープライズと消費者向け双方のユースケースでプロセスを簡素化する。
  1. 設定可能な信頼ポリシー
  • 特定のユースケースに基づいた信頼定義のカスタマイズを可能とする。・様々なセキュリティ要件への柔軟な適応を可能とする。
  • 異なるシナリオ向けのオンボーディング方法をカプセル化する
  1. 継続的保証
  • ゼロトラスト原則を実装する。
  • 継続的なポリシーベースのデバイス認可を可能にする。
  • 信頼ポリシー違反時に即時デバイス削除を許可する。

これらの機能は連携して以下を実現する:

  • デバイスとネットワーク間の相互認証を可能にする。
  • 暗号化チャネル経由でネットワーク認証情報を安全に伝送する。
  • ネットワーク認証情報への不正アクセスを防止する。
  • デバイスライフサイクル全体での反復的なオンボーディングをサポートする。

 

 

NIST

・2025.11.25 NIST CSWP 42 Towards Automating IoT Security: Implementing Trusted Network-Layer Onboarding

NIST CSWP 42 Towards Automating IoT Security: Implementing Trusted Network-Layer Onboarding NIST CSWP 42 IoTセキュリティの自動化に向けて:信頼できるネットワーク層オンボーディングの実装
Abstract 概要
This document provides an overview of trusted Internet of Things (IoT) device network-layer onboarding—a capability for securely providing IoT devices with their local network credentials in a manner that helps to ensure that the network is not put at risk as new IoT devices are connected to it. Additionally, the paper demonstrates the security benefits of trusted network-layer onboarding and how it can address problems with current IoT device onboarding practices. 本稿は、信頼されたIoTデバイス向けネットワーク層オンボーディングの概要を説明する。これは、新たなIoTデバイスが接続される際にネットワークがリスクに晒されないよう、IoTデバイスにローカルネットワーク認証情報を安全に提供する機能である。さらに、信頼されたネットワーク層オンボーディングのセキュリティ上の利点と、現行のIoTデバイスオンボーディング手法の問題点を解決する方法を示す。

 

・[PDF] NIST.CSWP.42

20251211-51838

 

Audience 対象読者
This paper is intended for individuals and organizations who use IoT devices (e.g., to collect data from a variety of systems and locations in order to enable quick identification of potential issues and rapid response and management of them). IoT devices could measure real-time data to detect component faults, measure toxins, or detect infrastructure breaches. Whether these IoT devices are used on complex operational networks or relatively simple home networks, the goal is to avoid exposing those networks and devices to additional threats. 本稿は、IoTデバイスを利用する個人や組織を対象としている(例:様々なシステムや場所からデータを収集し、潜在的な問題を迅速に特定し、それに対する迅速な対応と管理を可能にするため)。IoTデバイスは、リアルタイムデータを測定して部品の故障を検知したり、毒素を測定したり、インフラの侵害を検知したりできる。これらのIoTデバイスが複雑な運用ネットワークで使用されるか、比較的単純な家庭内ネットワークで使用されるかにかかわらず、目的はそれらのネットワークやデバイスを追加の脅威に晒さないことである。
Overview 概要
When an IoT device is deployed, it must be connected to a local network. To connect to that local network securely, the device must be provided with network credentials. If those network credentials are not unique to the device or are not provided in a secure manner, the network will be at increased risk of unauthorized or malicious devices connecting to it. Along the same lines, if an IoT device is not able to establish trust in the network it is joining, it could be put at risk of onboarding to malicious networks. IoTデバイスが展開される際、ローカルネットワークに接続する必要がある。安全に接続するためには、デバイスにネットワーク認証情報をプロバイダしなければならない。この認証情報がデバイス固有でない場合や、安全な方法で提供されない場合、不正なデバイスや悪意のあるデバイスが接続するリスクが高まる。同様に、IoTデバイスが接続先のネットワークへの信頼を確立できない場合、悪意のあるネットワークに組み込まれるリスクに晒される可能性がある。
What are the current IoT onboarding challenges? 現在のIoTオンボーディングの課題は何か?
With nearly 30 billion IoT devices forecasted to be connected worldwide by 2030 [1], there is a need for an automated, secure solution to network-layer onboarding. Current IoT device onboarding practices present many challenges to individuals and organizations, including: 2030年までに世界で300億台のIoTデバイスが接続されると予測されている[1]ことから、ネットワーク層のオンボーディングに対する自動化された安全なソリューションが必要である。現在のIoTデバイスオンボーディング手法は、個人や組織に多くの課題を提示している。具体的には:
1. Manual provisioning of network credentials to IoT devices is error-prone, time-consuming, and often insecure, especially at scale. 1. IoTデバイスへのネットワーク認証情報の手動プロビジョニングは、特に大規模な場合、エラーが発生しやすく、時間がかかり、しばしば安全でない。
2. Shared network credentials allow threats to propagate easily across the network. 2. 共有されたネットワーク認証情報は、脅威がネットワーク全体に容易に拡散することを許す。
3. Limited user interfaces on many IoT devices make manual credential input challenging or impossible. 3. 多くのIoTデバイスにおける限定的なユーザーインターフェースは、手動での認証情報入力を困難または不可能にする。
4. Open Wi-Fi networks used for the provisioning of network credentials increase the risk of eavesdropping and unauthorized access. 4. ネットワーク認証情報のプロビジョニングに利用されるオープンWi-Fiネットワークは、盗聴や不正アクセスのリスクを高める。
5. Lack of device authentication means that networks cannot verify if connecting devices truly belong on that network. 5. デバイス認証の欠如により、接続デバイスが当該ネットワークに真正に属するかどうかをネットワークが検証できない。
Trusted network-layer onboarding can provide important security benefits to individuals and organizations experiencing these challenges. 信頼されたネットワーク層オンボーディングは、こうした課題に直面する個人や組織に重要なセキュリティ上の利点をもたらす。
How does trusted network-layer onboarding address the problem? 信頼されたネットワーク層オンボーディングはどのように問題を解決するのか?
Trusted network-layer onboarding is an automated mechanism for securely provisioning network credentials to a device. Trusted network-layer onboarding and lifecycle management offer four key capabilities to address these challenges: 信頼されたネットワーク層オンボーディングとは、デバイスにネットワーク認証情報を安全にプロビジョニングする自動化された仕組みである。信頼されたネットワーク層オンボーディングとライフサイクル管理は、これらの課題に対処する4つの主要な機能を提供する:
1. Unique per-device network credentials 1. デバイスごとの固有ネットワーク認証情報
・ Reduces attack surface and constrains potential damage. ・ 攻撃対象領域を縮小し、潜在的な被害を制限する。
・ Allows easy removal of individual compromised devices. ・ 個々の侵害されたデバイスを容易に除去できる。
・ Prevents credential reuse between devices ・ デバイス間の認証情報再利用を防止する
2. Zero-touch onboarding 2. ゼロタッチオンボーディング
・ Enables automated, scalable device onboarding. ・自動化され拡張性のあるデバイスオンボーディングを実現する。
・ Eliminates the need for manual provisioning of network credentials to IoT devices. ・IoTデバイスへのネットワーク認証情報の手動プロビジョニングを不要とする。
・ Simplifies the process for both enterprise and consumer use cases. ・エンタープライズと消費者向け双方のユースケースでプロセスを簡素化する。
3. Configurable trust policies 3. 設定可能な信頼ポリシー
・ Allows customization of trust definitions based on specific use cases. ・ Enables flexible adaptation to various security requirements. ・ 特定のユースケースに基づいた信頼定義のカスタマイズを可能とする。・様々なセキュリティ要件への柔軟な適応を可能とする。
・ Encapsulates the onboarding method for different scenarios ・ 異なるシナリオ向けのオンボーディング方法をカプセル化する
4. Continuous assurance 4. 継続的保証
・ Implements zero-trust principles. ・ ゼロトラスト原則を実装する。
・ Enables ongoing policy-based device authorization. ・ 継続的なポリシーベースのデバイス認可を可能にする。
・ Allows for immediate device removal if trust policies are breached. ・ 信頼ポリシー違反時に即時デバイス削除を許可する。
These capabilities work together to: これらの機能は連携して以下を実現する:
・ Enable mutual authentication between devices and networks. ・ デバイスとネットワーク間の相互認証を可能にする。
・ Securely transmit network credentials over encrypted channels. ・ 暗号化チャネル経由でネットワーク認証情報を安全に伝送する。
・ Prevent unauthorized access to network credentials. ・ ネットワーク認証情報への不正アクセスを防止する。
・ Support repeated onboarding throughout a device’s lifecycle. ・ デバイスライフサイクル全体での反復的なオンボーディングをサポートする。
By authenticating the identity of each device before providing the device with its network credentials, ensuring that each device receives unique credentials, and having those credentials encrypted while they are in-transit to the device, trusted network-layer onboarding helps ensure that the network will not be put at risk as new IoT devices are connected to it. 各デバイスの身元を認証した上でネットワーク認証情報をプロバイダし、各デバイスが固有の認証情報を受け取ることを保証し、デバイスへの転送中にそれらの認証情報を暗号化することで、信頼されたネットワーク層オンボーディングは、新たなIoTデバイスが接続されてもネットワークがリスクに晒されないことを確実に支援する。
How can I use trusted network-layer onboarding? 信頼されたネットワーク層オンボーディングをどう活用できるか?
The NIST National Cybersecurity Center of Excellence (NCCoE), in collaboration with 11 technology organizations, demonstrated the application of trusted IoT device network-layer onboarding. This project implemented and demonstrated two different trusted network-layer onboarding protocols: Wi-Fi Easy Connect [2] and Bootstrapping Remote Secure Key Infrastructure (BRSKI) [3]. Wi-Fi Easy Connect leverages public-key cryptography to ensure secure authentication and supports both Wi-Fi Protected Access 2 (WPA2) and WPA3 security standards, while BRSKI makes use of manufacturer-installed X.509 certificates and a registrar to establish mutual trust between the device and the network. The Wi-Fi Easy Connect protocol is particularly useful for devices with limited or no user interfaces, such as IoT devices in smart homes or enterprise settings, whereas BRSKI is designed for environments where devices need to be securely onboarded without user intervention, making it applicable to large-scale deployments. NIST国立サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)は、11のテクノロジー組織と連携し、信頼できるIoTデバイス向けネットワーク層オンボーディングの適用を実証した。このプロジェクトでは、2種類の信頼できるネットワーク層オンボーディングプロトコルを実装・実証した:Wi-Fi Easy Connect [2] と Bootstrapping Remote Secure Key Infrastructure (BRSKI) [3] である。Wi-Fi Easy Connectは公開鍵暗号技術を活用して安全な認証を確保し、Wi-Fi Protected Access 2(WPA2)とWPA3のセキュリティ標準をサポートする。一方BRSKIは、製造事業者がインストールしたX.509証明書とレジストラを利用し、デバイスとネットワーク間の相互信頼を確立する。Wi-Fi Easy Connectプロトコルは、スマートホームやエンタープライズ環境におけるIoTデバイスなど、ユーザーインターフェースが限定的または存在しないデバイスに特に有用である。一方BRSKIは、ユーザー介入なしにデバイスを安全にオンボーディングする必要がある環境向けに設計されており、大規模展開に適用可能だ。
Wi-Fi Easy Connect and BRSKI can be used to provide trusted network-layer onboarding in a manner that is secure and easy to use. Wi-Fi Easy ConnectとBRSKIは、安全かつ使いやすい方法で信頼できるネットワーク層オンボーディングを提供するために利用できる。
・ IoT Device Manufacturers: To leverage these protocols, IoT devices should be manufactured with support for the selected protocol. IoTデバイスメーカー:これらのプロトコルを活用するには、選択したプロトコルをサポートするようにIoTデバイスを製造する必要がある。
・ Networks: Target networks must be equipped with compatible onboarding components (e.g., Wi-Fi Easy Connect-enabled access point or a BRSKI-enabled registrar). ネットワーク:対象ネットワークは互換性のあるオンボーディングコンポーネント(例:Wi-Fi Easy Connect対応アクセスポイントまたはBRSKI対応レジストラ)を備えている必要がある。
・ IoT Device User: The user can select a protocol that aligns with their specific network requirements and the type of devices being onboarded. Individuals and organizations that want to take advantage of the enhanced security benefits offered by trusted network-layer onboarding may use either one of these protocols. IoTデバイス利用者:利用者は、自身のネットワーク要件とオンボーディング対象デバイスの種類に合致するプロトコルを選択できる。信頼されたネットワーク層オンボーディングによる強化されたセキュリティ効果を活用したい個人や組織は、いずれかのプロトコルを利用できる。
What else should I know about trusted network-layer onboarding? 信頼されたネットワーク層オンボーディングについて他に知っておくべきことは?
Trusted network-layer onboarding is a continuous or recurring activity. Any given IoT device may need to be onboarded multiple times throughout its lifecycle, for example, to replace network credentials that need to be refreshed or to enable a device to be securely provisioned with credentials for a different network after being resold or repurposed. If a device supports Wi-Fi Easy Connect or BRSKI, these protocols may be used to provision the device with network credentials repeatedly as needed throughout its lifetime. 信頼されたネットワーク層オンボーディングは継続的または反復的な活動である。特定のIoTデバイスは、ライフサイクルを通じて複数回のオンボーディングが必要となる場合がある。例えば、更新が必要なネットワーク認証情報を置き換えるため、あるいは再販や再利用後に異なるネットワークの認証情報を安全にプロビジョニングするためなどだ。デバイスがWi-Fi Easy ConnectまたはBRSKIをサポートしている場合、これらのプロトコルを用いて、必要に応じてライフサイクルを通じて繰り返しネットワーク認証情報をプロビジョニングできる。
Mutual Authentication 相互認証
It is easy for a network to falsely identify itself, yet many IoT devices onboard to networks without first verifying the network’s identity to ensure that it is their intended target network. By authenticating the network (in addition to authenticating the device), trusted network-layer onboarding helps protect the device from joining and being taken over by an unauthorized, imposter network. ネットワークは容易に偽装できるが、多くのIoTデバイスは、自身が接続すべき対象ネットワークであることを確認せずにネットワークにオンボーディングする。デバイス認証に加えネットワーク認証を行う信頼されたネットワーク層オンボーディングは、不正な偽装ネットワークへの接続や乗っ取りからデバイスを防御するのに役立つ。
Device Management Support デバイス管理サポート
Once an IoT device is connected to the network, if it becomes compromised, it can pose a security risk to both the network and other connected devices. Failing to keep a device current with the most recent software and firmware updates may make it more susceptible to compromise. Once compromised, it may be used to attack other devices on the network. While trusted network-layer onboarding is essential to the security of an IoT device and its network, it is important to also deploy additional security measures (e.g., digital signatures of firmware, secure boot, and secure over-the-air updates) to securely update and manage IoT devices throughout the duration of their connection to the network to ensure that they remain secure. IoTデバイスがネットワークに接続された後、侵害された場合、ネットワークと他の接続デバイス双方にセキュリティリスクをもたらす。デバイスを最新のソフトウェアおよびファームウェアで更新し続けることができないと、侵害を受けやすくなる可能性がある。侵害されたデバイスは、ネットワーク上の他のデバイスを攻撃するために悪用される可能性がある。信頼できるネットワーク層オンボーディングは、IoTデバイスとそのネットワークのセキュリティに不可欠だが、同時に追加のセキュリティ対策(ファームウェアのデジタル署名、セキュアブート、セキュアな無線更新など)の展開を行い、ネットワーク接続期間を通じてIoTデバイスを安全に更新・管理し、その安全性を維持することが重要である。
Application-layer Onboarding アプリケーション層オンボーディング
Trusted network-layer onboarding can provide a secure foundation for additional security measures used to protect the device and its network on an ongoing basis. For example, it can provide a foundation for trusted application-layer onboarding by providing the secure exchange of application-layer onboarding bootstrapping information between a device and an application server to which it needs to connect securely. Trusted network-layer onboarding can be immediately and automatically followed by trusted application-layer onboarding, ensuring that a device is securely provisioned not only with its network credentials, but also with application-layer credentials. The device’s application server may then be used to securely download the most recent version of the device’s application to it, as well as to provide ongoing lifecycle management for the device, updating and patching its software as needed to maintain a secure posture on an ongoing basis. The example implementations built as part of the NCCoE Trusted IoT Device Network-Layer Onboarding project demonstrated IoT devices automatically performing several types of trusted application-layer onboarding following successful trusted network-layer onboarding and network connection. 信頼できるネットワーク層オンボーディングは、デバイスとそのネットワークを継続的に防御するための追加セキュリティ対策の基盤となる。例えば、デバイスが安全に接続する必要があるアプリケーションサーバーとの間で、アプリケーション層オンボーディングのブートストラップ情報を安全に交換する基盤を提供することで、信頼できるアプリケーション層オンボーディングの基盤を構築できる。信頼されたネットワーク層オンボーディングは、直ちに自動的に信頼されたアプリケーション層オンボーディングに続くことが可能であり、デバイスがネットワーク認証情報だけでなくアプリケーション層認証情報も安全にプロビジョニングされることを保証する。その後、デバイスのアプリケーションサーバーを利用して、デバイス向けアプリケーションの最新バージョンを安全にダウンロードできる。さらに、デバイスの継続的なライフサイクル管理を提供し、必要に応じてソフトウェアを更新・パッチ適用することで、常に安全な状態を維持する。NCCoE Trusted IoT Device Network-Layer Onboardingプロジェクトの一環として構築された実装例では、信頼されたネットワーク層オンボーディングとネットワーク接続の成功後、IoTデバイスが自動的に複数の信頼されたアプリケーション層オンボーディングを実行する様子が示された。
Beyond the examples of trusted network-layer onboarding integrated with application-layer onboarding demonstrated in this project, like Wi-Fi Easy Connect and Open Connectivity Foundation’s (OCF) IoTivity, there are additional methods of demonstrating this capability. An example of this is the integration of the Wireless Broadband Alliance’s (WBA) OpenRoaming framework with the FIDO Device Onboard (FDO) protocol, developed by the FIDO Alliance, which uses asymmetric public-key cryptography to provide a secure method for onboarding IoT devices to any device application-layer management system [4]. Another application-layer protocol in this space is Matter, developed by the Connectivity Standards Alliance (CSA). It incorporates built-in components for secure device application-layer onboarding, utilizing device identity and certificate-based authentication. This application-layer onboarding protocol supports various network transports, including Wi-Fi, Thread, and Ethernet, making it a versatile option for a variety of IoT device network-layer onboarding protocols [5]. 本プロジェクトで示したWi-Fi Easy ConnectやOpen Connectivity Foundation(OCF)のIoTivityといった、アプリケーション層のオンボーディングと統合された信頼できるネットワーク層のオンボーディングの例以外にも、この機能を示す方法は存在する。その一例として、Wireless Broadband Alliance(WBA)のOpenRoaming枠組みと、FIDO Allianceが開発したFIDO Device Onboard(FDO)プロトコルの統合が挙げられる。FDOは非対称公開鍵暗号技術を用い、IoTデバイスをあらゆるデバイスのアプリケーション層管理システムに安全にオンボーディングする手法を提供する[4]。この分野における別のアプリケーション層プロトコルとして、コネクティビティ標準化アライアンス(CSA)が開発したMatterがある。これはデバイスIDと証明書ベースの認証を活用し、セキュアなデバイスアプリケーション層オンボーディングのための組み込みコンポーネントを統合している。このアプリケーション層オンボーディングプロトコルはWi-Fi、Thread、イーサネットを含む様々なネットワークトランスポートをサポートしており、多様なIoTデバイス向けネットワーク層オンボーディングプロトコルとして汎用性の高い選択肢となっている[5]。
Additional Security Capabilities 追加のセキュリティ機能
Trusted network-layer onboarding can also provide a secure foundation for additional security mechanisms, such as device communications intent enforcement (e.g., Manufacturer Usage Description—MUD [6]). MUD provides a standard way to specify the network communications that an IoT device requires to perform its intended functions. For example, the Wi-Fi Easy Connect protocol is specifically designed with the option of securely conveying the MUD file URL from the device to the network. If the network is equipped to support MUD, the Wi-Fi Easy Connect trusted network-layer onboarding process can securely provide the network with the device intent information it needs to ensure that only traffic required for the device to fulfill its designated purpose will be permitted to be sent from and received by the device (see NIST SP 1800-15, Securing Small-Business and Home IoT Devices: Mitigating Network-Based Attacks Using MUD [7]). 信頼されたネットワーク層オンボーディングは、追加のセキュリティ機構(例:デバイス通信意図の強制(Manufacturer Usage Description—MUD [6]))のための安全な基盤も提供し得る。MUDは、IoTデバイスが意図された機能を実行するために必要なネットワーク通信を指定する標準を提供する。例えば、Wi-Fi Easy Connectプロトコルは、デバイスからネットワークへMUDファイルURLを安全に伝達するオプションを特に備えて設計されている。ネットワークがMUDをサポートする機能を備えている場合、Wi-Fi Easy Connectの信頼できるネットワーク層オンボーディングプロセスは、デバイスが指定された目的を達成するために必要なトラフィックのみがデバイスから送信され、受信されることを保証するために必要なデバイス意図情報をネットワークに安全に提供できる(NIST SP 1800-15「中小企業および家庭用IoTデバイスのセキュリティ確保: ネットワークベース攻撃のMUDによる緩和[7])。
One of the example implementations built as part of the NCCoE project demonstrated several zero trustinspired capabilities for performing continuous device authorization after the completion of trusted networklayer onboarding. This build performed a set of ongoing policy-based assurance checks and removed the device from the network if, for example: NCCoEプロジェクトの一環として構築された実装例の一つは、信頼されたネットワーク層オンボーディング完了後の継続的なデバイス認可を実現する、ゼロトラストに着想を得たいくつかの機能を実証した。この構築では継続的なポリシーベースの保証チェックを実施し、例えば以下の場合にデバイスをネットワークから除外した:
・ the vulnerability score (e.g., using the Common Vulnerability Scoring System [CVSS]) for the device’s software bill of materials is determined to be above a set threshold, ・デバイスのソフトウェア部品表に対する脆弱性スコア(例:共通脆弱性評価システム[CVSS]使用)が設定閾値を超過した場合
・ the device attempted to contact an IP address that is on a denylist, or ・デバイスが拒否リスト登録IPアドレスへの接続を試みた場合
・ the manufacturer of the device is no longer trusted according to criteria determined by the network owner. ・ネットワーク所有者が定めた規準に基づき、デバイスの製造事業者が信頼されなくなった場合
For background information on the NCCoE Trusted IoT Device Network-Layer Onboarding project, including the functionality supported by five example trusted IoT device onboarding implementations prototyped within the demonstration lab environment, see NIST SP 1800-36, Volume B, Trusted IoT Device Network-Layer Onboarding and Lifecycle Management: Approach, Architecture, and Security Characteristics. NCCoEの「信頼できるIoTデバイス向けネットワーク層オンボーディング」プロジェクトに関する背景情報(実証実験環境内でプロトタイプ化された5つの信頼できるIoTデバイスオンボーディング実装例がサポートする機能を含む)については、NIST SP 1800-36 Volume B「信頼できるIoTデバイス向けネットワーク層オンボーディングおよびライフサイクル管理:アプローチ、アーキテクチャ、セキュリティ特性」を参照のこと。
References 参考文献
[1] Vailshery L (2024) Number of Internet of Things (IoT) connections worldwide from 2022 to 2023, with forecasts from 2024 to 2033. Statista. Available at [web] [1] Vailshery L (2024) 世界のモノのインターネット(IoT)接続数:2022年から2023年、および2024年から2033年までの予測。Statista。 [web]
[2] Wi-Fi Alliance (2020) Wi-Fi Easy Connect™ Specification Version 3.0. Available at [web] [2] Wi-Fi Alliance (2020) Wi-Fi Easy Connect™ 仕様バージョン3.0。[web]
[3] Pritikin M, Richardson M, Eckert T, Behringer M, Watsen K (2021) Bootstrapping Remote Secure Key Infrastructure (BRSKI). (RFC Editor), Request for Comments (RFC) RFC 8995. [web] [3] Pritikin M, Richardson M, Eckert T, Behringer M, ワッツン K (2021) リモートセキュアキーインフラストラクチャのブートストラップ (BRSKI). (RFC Editor), 意見要求 (RFC) RFC 8995. [web]
[4] Wireless Broadband Alliance (2025) Openroaming for IoT — FIDO Device Onboard Framework. Available at: [web] [4] ワイヤレスブロードバンドアライアンス (2025) IoT向けオープンローミング — FIDOデバイス搭載枠組み. 入手先: [web]
[5] Connectivity Standards Alliance (2025). Matter: The Foundation for Connected Things. Available at: [web]
[5] Connectivity Standards Alliance (2025). Matter: The Foundation for Connected Things. 入手先: [web]
[6] Lear E, Droms R, Romascanu D (2019) Manufacturer Usage Description Specification. (RFC Editor), Request for Comments (RFC) RFC 8520. [web] [6] Lear E、Droms R、Romascanu D (2019) 製造事業者使用説明仕様。(RFC Editor)、意見要求 (RFC) RFC 8520。[web]
[7] Dodson DF, Montgomery DC, Polk WT, Ranganathan M, Souppaya MP, Johnson S, Kadam A, Pratt C, Thakore D, Walker M, Lear E, Weis B, Barker WC, Coclin D, Hojjati A, Wilson C, Jones T, Baykal A, Cohen D, Yeich K, Fashina Y, Grayeli P, Harrington J, Klosterman J, Mulugeta B, Symington S, Singh J (2021) Securing Small-Business and Home Internet of Things (IoT) Devices: Mitigating Network-Based Attacks Using Manufacturer Usage Description (MUD). (National Institute of Standards and Technology, Gaithersburg, MD), NIST Special Publication (SP) 1800-15. [web] [7] Dodson DF、Montgomery DC、Polk WT、Ranganathan M、 Souppaya MP、Johnson S、Kadam A、Pratt C、Thakore D、Walker M、Lear E、Weis B、Barker WC、Coclin D、Hojjati A、ウィルソン C、Jones T、Baykal A、Cohen D、Yei K、Fashina Y、Grayeli P、Harrington J、Klosterman J、Mulugeta B、Symington S、Singh J (2021) 中小企業および家庭用モノのインターネット(IoT)デバイスのセキュリティ確保:製造事業者使用説明(MUD)を用いたネットワークベースの攻撃の緩和。(国立標準技術研究所、メリーランド州ゲイサーズバーグ)、NIST 特別刊行物(SP)1800-15。[web]

 

関連するNIST文書

  • SP 1800-36 Trusted Internet of Things (IoT) Device Network-Layer Onboarding and Lifecycle Management: Enhancing Internet Protocol-Based IoT Device and Network Securit

  • IR 8350 Foundational Concepts in Trusted IoT Device Network-Layer Onboarding: Enhancing Internet Protocol-Based IoT Device and Network Security

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.12.12 米国 NIST SP 1800-36 信頼できるIoT機器の ネットワーク層の実装とライフサイクル管理:インターネットプロトコルベースのIoT機器とネットワークセキュリティの強化 (2025.11.25)

・2025.12.09 米国 NIST IR 8350 信頼できるIoTデバイスのネットワーク層オンボーディングにおける基礎概念:インターネットプロトコルベースのIoTデバイスとネットワークのセキュリティ強化 (2025.11.25)

・2024.06.08 米国 NIST SP 1800-36 (初期公開ドラフト) 信頼できるIoT機器のネットワーク層の実装とライフサイクル管理:インターネットプロトコルベースのIoT機器とネットワークのセキュリティ強化

・2023.11.03 NIST SP 1800-36 (初期ドラフト第2版) 信頼できるIoT機器のネットワーク層の実装とライフサイクル管理:インターネットプロトコルベースのIoT機器とネットワークのセキュリティ強化 (B,C,E)

・2023.09.30 NIST SP 1800-36 (初期ドラフト第2版) 信頼できるIoT機器のネットワーク層オンボーディングとライフサイクル管理:インターネットプロトコルベースのIoT機器とネットワークのセキュリティ強化 (A,D)

・2023.05.07 米国 NIST SP 1800-36 (ドラフト) 信頼できるIoTデバイスのネットワーク層オンボーディングとライフサイクル管理:インターネットプロトコルベースのIoTデバイスとネットワークのセキュリティ強化(初期ドラフト)(2023.05.03)

・2022.12.13 NIST SP 1800-36 (ドラフト) 信頼できるIoTデバイスのネットワーク層オンボーディングとライフサイクル管理:インターネットプロトコルベースのIoTデバイスとネットワークのセキュリティ強化(初期ドラフト)(2022.12.05)

 

 

| | Comments (0)

米国 NIST SP 1800-36 信頼できるIoT機器のネットワーク層の実装とライフサイクル管理:インターネットプロトコルベースのIoT機器とネットワークセキュリティの強化 (2025.11.25)

こんにちは、丸山満彦です。

NISTがSP 1800-36 信頼できるIoT機器のネットワーク層の実装とライフサイクル管理:インターネットプロトコルベースのIoT機器とネットワークセキュリティの強化 を公表していますね...

IoTデバイスに関する攻撃は2つあるとしていますね...

  • デバイスが不正なネットワークに参加するよう誘導され、そのデバイスが制御される場合
  • 悪意のあるデバイスがネットワークに侵入する場合

で、このような攻撃の影響を受けないようにするためには、

  • バイスとネットワークの身元および状態を証明・検証した上で、デバイスにネットワーク認証情報を提供するプロセス
  • デバイスのライフサイクル全体を通じてIoTデバイスを安全に管理するための、スケーラブルで自動化されたメカニズム

が必要となりますね...

 

NIST - ITL

・2025.11.25 NIST SP 1800-36 Trusted Internet of Things (IoT) Device Network-Layer Onboarding and Lifecycle Management: Enhancing Internet Protocol-Based IoT Device and Network Security

NIST SP 1800-36 Trusted Internet of Things (IoT) Device Network-Layer Onboarding and Lifecycle Management: Enhancing Internet Protocol-Based IoT Device and Network Security NIST SP 1800-36 信頼できるIoT機器のネットワーク層のオンボーディングとライフサイクル管理:インターネットプロトコルベースのIoTデバイスとネットワークセキュリティの強化
Abstract 要約
Establishing trust between a network and an Internet of Things (IoT) device (as defined in NIST Internal Report 8425) prior to providing the device with the credentials it needs to join the network is crucial for mitigating the risk of potential attacks. There are two possibilities for attack. One happens when a device is convinced to join an unauthorized network, which would take control of the device. The other occurs when a network is infiltrated by a malicious device. Trust is achieved by attesting and verifying the identity and posture of the device and the network before providing the device with its network credentials—a process known as network-layer onboarding. In addition, scalable, automated mechanisms are needed to safely manage IoT devices throughout their lifecycles, such as safeguards that verify the security posture of a device before the device is permitted to execute certain operations. In this practice guide, the National Cybersecurity Center of Excellence (NCCoE) applies standards, best practices, and commercially available technology to demonstrate various mechanisms for trusted network-layer onboarding of IoT devices in Internet Protocol based environments. This guide shows how to provide network credentials to IoT devices in a trusted manner and maintain a secure device posture throughout the device lifecycle, thereby enhancing IoT security in alignment with the IoT Cybersecurity Improvement Act of 2020. ネットワークとIoT機器(NIST内部報告書8425で定義)の間に、デバイスがネットワークに参加するために必要な認証情報を提供する前に信頼関係を確立することは、潜在的な攻撃のリスクを緩和するために極めて重要である。攻撃の可能性は二つある。一つは、デバイスが不正なネットワークに参加するよう誘導され、そのデバイスが制御される場合である。もう一つは、悪意のあるデバイスがネットワークに侵入する場合である。信頼は、デバイスとネットワークの身元および状態を証明・検証した上で、デバイスにネットワーク認証情報を提供するプロセス(ネットワーク層オンボーディングと呼ばれる)によって達成される。さらに、デバイスのライフサイクル全体を通じてIoTデバイスを安全に管理するための、スケーラブルで自動化されたメカニズムが必要である。例えば、デバイスが特定の操作を実行することを許可する前に、そのセキュリティ状態を検証する保護手段などである。本実践ガイドでは、国立サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)が、標準、ベストプラクティス、市販技術を活用し、インターネットプロトコルベース環境におけるIoTデバイスの信頼できるネットワーク層オンボーディングを実現する様々なメカニズムを示す。本ガイドは、信頼できる方法でIoTデバイスにネットワーク認証情報をプロバイダし、デバイスライフサイクルを通じて安全なデバイス状態を維持する方法を示す。これにより、2020年IoTサイバーセキュリティ改善法に沿ったIoTセキュリティの強化を図る。

 

 

・[PDF] NIST.SP.1800-36

20251211-61318

 

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー 
Establishing trust between a network and an Internet of Things (IoT) device (as defined in NIST Internal Report 8425) prior to providing the device with the credentials it needs to join the network is crucial for mitigating the risk of potential attacks. There are two possibilities for attack. One happens when a device is convinced to join an unauthorized network, which would take control of the device. The other occurs when a malicious device infiltrates a network. Trust is achieved by attesting and verifying the identity and posture of the device and the network before providing the device with its network credentials—a process known as network-layer onboarding. In addition, scalable, automated mechanisms are needed to safely manage IoT devices throughout their lifecycles, such as safeguards that verify the security posture of a device before the device is permitted to execute certain operations. In this practice guide, the National Cybersecurity Center of Excellence (NCCoE) applies standards, best practices, and commercially available technology to demonstrate various mechanisms for trusted network-layer onboarding of IoT devices in Internet Protocol-based environments. This guide shows how to provide network credentials to IoT devices in a trusted manner and maintain a secure device posture throughout the device lifecycle, thereby enhancing IoT security.   ネットワークとモノのインターネット(IoT)デバイス(NIST内部報告書8425で定義されるもの)の間に、デバイスがネットワークに参加するために必要な認証情報をプロバイダする前に信頼関係を確立することは、潜在的な攻撃リスクの緩和のために極めて重要である。攻撃の可能性は二つある。一つは、デバイスが不正なネットワークに参加するよう誘導され、そのデバイスが制御される場合だ。もう一つは、悪意のあるデバイスがネットワークに侵入する場合である。 信頼は、デバイスとネットワークの身元および状態を証明・検証した上で、デバイスにネットワーク認証情報を提供するプロセス(ネットワーク層オンボーディングと呼ばれる)によって達成される。さらに、デバイスのライフサイクル全体を通じてIoTデバイスを安全に管理するための、スケーラブルで自動化されたメカニズムが必要である。例えば、デバイスが特定の操作を実行することを許可する前に、そのセキュリティ状態を検証する保護手段などである。 本実践ガイドでは、国立サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)が、標準、ベストプラクティス、市販技術を活用し、インターネットプロトコルベース環境におけるIoTデバイスの信頼性のあるネットワーク層オンボーディングを実現する様々なメカニズムを示す。本ガイドは、信頼性のある方法でIoTデバイスにネットワーク認証情報をプロバイダし、デバイスのライフサイクルを通じて安全な状態を維持する方法を示し、それによってIoTセキュリティを強化する。  
CHALLENGE  課題 
With tens of billions of IoT devices connected worldwide and more being connected every day, it is unrealistic to onboard or manage a network of these devices manually. In addition, providing local network credentials at the time of manufacture requires the manufacturer to customize network-layer onboarding on a build-to-order basis, which prevents the manufacturer from taking full advantage of the economies of scale that could result from building identical devices for its customers.  世界中で数百億台のIoTデバイスが接続され、日々さらに増加している現状では、これらのデバイスネットワークを手動でオンボーディングまたは管理することは非現実的である。さらに、製造時にローカルネットワーク認証情報を提供するには、製造事業者が受注生産ごとにネットワーク層のオンボーディングをカスタマイズする必要があり、顧客向けに同一デバイスを製造することで得られる規模の経済を十分に活用できなくなる。 
There is a need to have a scalable, automated mechanism to securely manage IoT devices throughout their lifecycles and, in particular, a trusted mechanism for providing IoT devices with their network credentials and access policy at the time of deployment on the network. It is easy for a network to falsely identify itself, yet many IoT devices onboard to networks without verifying the network’s identity and ensuring that it is their intended target network. Also, many IoT devices lack user interfaces, making it cumbersome to input network credentials manually. Wi-Fi is sometimes used to provide credentials over an open (i.e., unencrypted) network, but this onboarding method risks credential disclosure. Most home networks use a single password shared among all devices, so access is controlled only by the device’s possession of the password. This type of access does not consider a unique device identity or whether the device belongs on the network. This method also increases the risk of exposing credentials to unauthorized parties. Providing unique credentials to each device is more secure, but providing unique credentials manually would be resource-intensive and error-prone, risk credential disclosure, and cannot be performed at scale.   IoTデバイスのライフサイクル全体を通じて安全に管理するスケーラブルな自動化メカニズム、特にネットワーク展開時に信頼できる認証情報とアクセスポリシーを提供するプロバイダが必要だ。ネットワークは容易に偽装できるにもかかわらず、多くのIoTデバイスはネットワークの身元を確認せず、意図したターゲットネットワークであることを保証せずに接続してしまう。 また、多くのIoTデバイスにはユーザーインターフェースがなく、ネットワーク認証情報を手動で入力するのは面倒だ。Wi-Fiを使ってオープン(つまり暗号化されていない)ネットワーク経由で認証情報をプロバイダする場合もあるが、このオンボーディング方法では認証情報の漏洩リスクがある。 家庭用ネットワークの多くは全デバイスで共通のパスワードを使用するため、アクセス管理は単にパスワードの所持有無に依存している。この方式ではデバイス固有の識別やネットワークへの所属適格性が考慮されない。また認証情報を不正な第三者に晒すリスクも高まる。各デバイスに固有の認証情報をプロバイダする方が安全だが、手動での付与はリソースを大量に消費し、エラーが発生しやすく、認証情報漏洩のリスクもあり、大規模な運用には向かない。  
Once a device is connected to the network, if it becomes compromised, it can pose a security risk to both the network and other connected devices. Not keeping such a device current with the most recent software and firmware updates may make it more susceptible to compromise. The device could also be attacked through the receipt of malicious payloads. Once compromised, it may be used to attack other devices on the network or become part of a larger botnet, potentially participating in distributed denialof-service (DDoS) attacks or other malicious activities across the internet.   デバイスがネットワークに接続された後、侵害されるとネットワーク全体や他の接続デバイスにセキュリティリスクをもたらす可能性がある。最新のソフトウェアやファームウェア更新を適用しないまま放置すると、侵害されやすくなる。 デバイスは悪意のあるペイロードの受信を通じて攻撃される可能性もある。侵害された場合、ネットワーク上の他のデバイスを攻撃するために利用されたり、大規模なボットネットの一部となり、分散型サービス拒否(DDoS)攻撃やインターネット上のその他の悪意のある活動に参加する可能性がある。  
OUTCOME  成果 
The outcome of this project is to enhance the security of systems by helping IoT device users, manufacturers, and vendors understand how to carry out trusted network layer onboarding. This project has developed examples of trusted onboarding solutions and demonstrated these solutions using sample technologies and various scenarios. The NCCoE has published the findings in this practice guide, a NIST Special Publication (SP) 1800 series composed of multiple volumes targeting different audiences.  本プロジェクトの成果は、IoTデバイス利用者、製造事業者、ベンダーが信頼できるネットワーク層オンボーディングの実施方法を理解することで、システムのセキュリティを強化することである。本プロジェクトでは、信頼できるオンボーディングソリューションの事例を開発し、サンプル技術と様々なシナリオを用いてこれらのソリューションを実証した。NCCoEは、この実践ガイド(NIST 特別刊行物(SP)1800シリーズの一部であり、異なる対象者向けに複数の巻で構成される)に調査結果を公表した。 
This practice guide can help IoT device users:  この実践ガイドは、IoTデバイス利用者が以下のことを行うのに役立つ: 
Understand how to onboard their IoT devices in a trusted manner to:  信頼できる方法でIoTデバイスをオンボーディングする方法を理解し、以下の目的を達成する: 
§  Ensure that their network is not put at risk as new IoT devices are added to it §  ネットワークに新たなIoTデバイスが追加されても、ネットワークがリスクにさらされないようにする
§  Safeguard their IoT devices from being taken over by unauthorized networks §  不正なネットワークによるIoTデバイスの乗っ取りを防ぐ
§  Provide IoT devices with unique credentials for network access §  IoTデバイスにネットワークアクセス用の固有認証情報を付与する
§  Provide, renew, and replace device network credentials in a secure manner §  デバイスネットワーク認証情報を安全な方法で提供、更新、交換する
§  Support ongoing protection of IoT devices throughout their lifecycles §  IoTデバイスのライフサイクル全体を通じた継続的な防御を支援する
This practice guide can help manufacturers and vendors of semiconductors, secure storage components, IoT devices, and network onboarding equipment:  この実践ガイドは、半導体、セキュアストレージコンポーネント、IoTデバイス、ネットワークオンボーディング機器の製造事業者およびベンダーが以下のことを行うのに役立つ: 
Understand the desired security properties for supporting trusted network-layer onboarding and explore their options with respect to recommended practices for:  信頼できるネットワーク層オンボーディングを支援するための望ましいセキュリティ特性を理解し、以下の推奨実践に関する選択肢を検討する: 
§  Providing unique credentials into secure storage on IoT devices at the time of manufacture to mitigate supply chain risks (i.e., device credentials) §  製造事業者時にIoTデバイスのセキュアストレージへ固有の認証情報をプロバイダすることで、サプライチェーンリスクを緩和する(例:デバイス認証情報)
§  Installing onboarding software on IoT devices §  IoTデバイスへのオンボーディングソフトウェアのインストール
§  Providing IoT device purchasers with information needed to onboard the IoT devices to their networks (i.e., device bootstrapping information) §  IoTデバイス購入者に対し、自社のネットワークへIoTデバイスをオンボーディングするために必要な情報をプロバイダすること(例:デバイスブートストラップ情報)
§  Integrating support for network-layer onboarding with additional security capabilities to provide ongoing protection throughout the device lifecycle §  ネットワーク層オンボーディングのサポートを、デバイスのライフサイクル全体を通じて継続的な防御を提供する追加のセキュリティ機能と統合すること
SOLUTION  解決策 
The NCCoE recommends using trusted network-layer onboarding to provide scalable, automated, trusted ways to provide IoT devices with unique network credentials and manage devices throughout their lifecycles to ensure they remain secure. The NCCoE collaborated with technology providers and other stakeholders to implement example trusted network-layer onboarding solutions for IoT devices that:  NCCoEは、信頼できるネットワーク層オンボーディングを利用することを推奨する。これにより、IoTデバイスに固有のネットワーク認証情報を提供し、デバイスのライフサイクルを通じて管理する、スケーラブルで自動化された信頼できる方法を実現し、デバイスの安全性を確保する。NCCoEは技術プロバイダやその他の関係者と協力し、IoTデバイス向けの信頼できるネットワーク層オンボーディングソリューションの例を実装した。その内容は以下の通りである: 
§  provide each device with unique network credentials, §  各デバイスに固有のネットワーク認証情報を付与する
§  enable the device and the network to mutually authenticate, §  デバイスとネットワークの相互認証を可能にする
§  send devices their credentials over an encrypted channel,  §  暗号化されたチャネルを介してデバイスに資格情報を送信する、 
§  do not provide any person with access to the credentials, and  §  いかなる人物の認証情報へのアクセス権の提供者ともなってはならない、 
§  can be performed repeatedly throughout the device lifecycle.   §  デバイスのライフサイクルを通じて繰り返し実行可能である。  
The capabilities demonstrated include:  実証された機能には以下が含まれる: 
§  trusted network-layer onboarding of IoT devices,  §  IoTデバイスの信頼できるネットワーク層でのオンボーディング、 
§  repeated trusted network-layer onboarding of devices to the same or a different network,  §  同一または異なるネットワークへのデバイスの繰り返し信頼ネットワーク層オンボーディング、 
§  trusted application-layer onboarding (i.e., automatic establishment of an encrypted connection between an IoT device and a trusted application service after the IoT device has performed trusted network-layer onboarding and used its credentials to connect to the network), and  §  信頼されたアプリケーション層でのオンボーディング(すなわち、IoTデバイスが信頼されたネットワーク層でのオンボーディングを実行し、その認証情報を使用してネットワークに接続した後、IoTデバイスと信頼されたアプリケーションサービス間の暗号化された接続を自動的に確立すること)、および 
§  software-based methods to provide device credentials in the factory and transfer device bootstrapping information from the device manufacturer to the device purchaser.   §  ソフトウェアベースの手法による、工場でのデバイス認証情報のプロバイダ、およびデバイス製造事業者から購入者へのデバイス初期化情報の転送。  
Future capabilities could build upon this project by demonstrating the integration of trusted networklayer onboarding with additional zero trust-inspired [Note: See NIST SP 800-207] mechanisms beyond those currently demonstrated. Additionally, the Connectivity Standards Alliance Matter protocol was released after the initiation of this project, and therefore, it was not incorporated into the current capabilities. However, future community efforts could involve exploring the integration of this standard to enhance security and interoperability.  将来の機能は、本プロジェクトを基盤として、信頼できるネットワーク層のオンボーディングと、現在実証されているものを超える追加のゼロトラストに基づく[注:NIST SP 800-207参照]メカニズムの統合を実証することで発展させられる。さらに、Connectivity Standards AllianceのMatterプロトコルは本プロジェクト開始後に公開されたため、現在の機能には組み込まれていない。しかし、将来のコミュニティ活動では、セキュリティと相互運用性を強化するため、この標準の統合を検討することが考えられる。 
This demonstration followed an agile methodology of building implementations (i.e., builds) iteratively and incrementally, starting with network-layer onboarding and gradually integrating additional capabilities that improve device and network security throughout a managed device lifecycle. This demonstration includes factory builds that simulate activities performed to securely provide device credentials during manufacturing, and five network-layer onboarding builds that demonstrate the Wi-Fi Easy Connect, Bootstrapping Remote Secure Key Infrastructure (BRSKI), and Thread Commissioning protocols. These builds also demonstrate both streamlined and independent trusted application-layer onboarding approaches, along with policy-based continuous assurance and authorization. The example implementations use technologies and capabilities from our project collaborators (listed below).   本実証はアジャイル手法に従い、実装(ビルド)を反復的・漸進的に構築した。ネットワーク層オンボーディングから開始し、管理対象デバイスのライフサイクル全体を通じてデバイスとネットワークのセキュリティを向上させる追加機能を段階的に統合した。 本実証には、製造工程でデバイス認証情報を安全に提供する活動を模擬する工場ビルドと、Wi-Fi Easy Connect、Bootstrapping Remote Secure Key Infrastructure(BRSKI)、Thread Commissioningプロトコルを実証する5つのネットワーク層オンボーディング ビルドが含まれる。これらのビルドは、合理化された信頼できるアプリケーション層オンボーディング手法と独立した手法、およびポリシーベースの継続的保証と認可も実証している。実装例では、プロジェクト協力者(下記参照)の技術と機能を活用している。  
Collaborators  協力者 
Aruba, a Hewlett Packard Enterprise company  Aruba(ヒューレット・パッカード・エンタープライズ傘下) 
CableLabs  CableLabs 
Cisco  Cisco 
Foundries.io  Foundries.io 
Kudelski IoT  クデルスキーIoT 
NquiringMinds  NquiringMinds 
NXP Semiconductors  NXPセミコンダクターズ 
Open Connectivity  オープン・コネクティビティ 
Foundation (OCF) Foundation (OCF)
Sandelman Software Works  Sandelman Software ワークス 
SEALSQ, a subsidiary of WISeKey  SEALSQ、WISeKeyの子会社 
Silicon Labs  シリコンラボ 
While the NCCoE uses a suite of commercial products, services, and proof-of-concept technologies to address this challenge, this guide does not endorse these particular products, services, and technologies, nor does it guarantee compliance with any regulatory initiatives. Your organization's information security experts should identify the products and services that will best integrate with your IoT products, existing tools, IT and IoT system infrastructure, and operations. Your organization can adopt these solutions or one that adheres to these guidelines in whole, or you can use this guide as a starting point for tailoring and implementing parts of a solution.  NCCoE はこの課題に対処するため、一連の商用製品、サービス、概念実証技術を利用しているが、本ガイドはこれらの特定の製品、サービス、技術を推奨するものではなく、また、いかなる規制イニシアチブへの準拠を保証するものでもない。 組織の情報セキュリティ専門家は、自社の IoT 製品、既存ツール、IT および IoT システムインフラ、運用に最適に統合できる製品やサービスを識別すべきだ。組織はこれらのソリューション、あるいは本ガイドラインに完全に準拠したソリューションを採用することも、本ガイドを起点としてソリューションの一部をカスタマイズ・実装することも可能だ。 
HOW TO USE THIS GUIDE  本ガイドの使用方法 
Depending on your role in your organization, you might use this guide in different ways:  組織内での役割に応じて、このガイドの活用方法は異なる: 
Business decision makers, such as chief information security, product security, and technology officers, can use this part of the guide, NIST SP 1800-36A: Executive Summary, to understand the project’s challenges and outcomes, as well as our solution approach.  最高情報セキュリティ責任者、製品セキュリティ責任者、最高技術責任者などの経営意思決定者は、本ガイドの一部であるNIST SP 1800-36A:エグゼクティブサマリーを活用し、プロジェクトの課題と成果、ならびに当社のソリューションアプローチを理解できる。 
Technology, security, and privacy program managers who are concerned with how to identify, understand, assess, and mitigate risk can use NIST SP 1800-36B: Approach, Architecture, and Security Characteristics. This part of the guide describes the architecture and different implementations. Also, NIST SP 1800-36E: Risk and Compliance Management, maps components of the trusted onboarding reference architecture to security characteristics in broadly applicable, well-known cybersecurity guidelines and practices.  リスクの識別、理解、アセスメント、緩和の方法に関心を持つ技術、セキュリティ、プライバシープログラムの管理者は、NIST SP 1800-36B: アプローチ、アーキテクチャ、セキュリティ特性を利用できる。このガイドの部分では、アーキテクチャと様々な実装について説明している。 また、NIST SP 1800-36E「リスクとコンプライアンス管理」は、信頼できるオンボーディング参照アーキテクチャの構成要素を、広く適用可能な著名なサイバーセキュリティガイドラインや実践におけるセキュリティ特性にマッピングしている。 
IT professionals who want to implement an approach like this can make use of NIST SP 1800-36C: HowTo Guides. It provides product installation, configuration, and integration instructions for building example implementations, allowing them to be replicated in whole or in part. They can also use NIST SP 1800-36D: Functional Demonstrations, which provides the use cases defined to showcase trusted network-layer onboarding and lifecycle management security capabilities and the results of demonstrating these capabilities with each example implementation. These use cases may be helpful when developing requirements for systems being developed.  このようなアプローチを実装したいIT専門家は、NIST SP 1800-36C「ハウツーガイド」を活用できる。これは例示実装を構築するための製品インストール、設定、統合手順を提供し、全体または一部を複製することを可能にする。 また、NIST SP 1800-36D: 機能実証も利用できる。これは信頼できるネットワーク層オンボーディングとライフサイクル管理のセキュリティ機能を実証するために定義されたユースケースと、各 実装例を用いた機能実証結果を提供する。これらのユースケースは、開発中のシステム要件を策定する際に役立つ可能性がある。 
COLLABORATORS  協力者 
Collaborators participating in this project submitted their capabilities in response to an open call in the Federal Register for all sources of relevant security capabilities from academia and industry (vendors and integrators). Those respondents with relevant capabilities or product components signed a Cooperative Research and Development Agreement (CRADA) to collaborate with NIST in a consortium to build this example solution.   このプロジェクトに参加した協力者は、学術界および産業界(ベンダーおよびインテグレーター)の関連セキュリティ機能に関するあらゆる情報源を募集する連邦官報の公募に応じて、その能力を提出した。関連能力または製品コンポーネントを有する対応者は、このサンプルソリューションを構築するためのコンソーシアムにおいて NIST と協力するため、共同研究開発契約(CRADA)に署名した。  
Certain commercial entities, equipment, products, or materials may be identified by name or company logo or other insignia in order to acknowledge their participation in this collaboration or to describe an experimental procedure or concept adequately. Such identification is not intended to imply special status or relationship with NIST or recommendation or endorsement by NIST or the NCCoE; neither is it intended to imply that the entities, equipment, products, or materials are necessarily the best available for the purpose.  特定の商業事業体、機器、製品、または材料は、この共同作業への参加を認めるため、あるいは実験手順や概念を適切に説明するために、名称、会社のロゴ、その他の記章で識別される場合がある。このような識別は、NIST または NCCoE との特別な地位や関係、あるいは NIST または NCCoE による推奨や支持を意味するものではない。また、その事業体、機器、製品、または材料が、その目的に必ずしも最適であることを意味するものでもない。 

 

目次...

SP1800-36 Volume A: Executive Summary SP1800-36A: エグゼクティブサマリー
SP1800-36 Volume B: Approach, Architecture, and Security Characteristics SP1800-36B: アプローチ、アーキテクチャ、およびセキュリティ特性
1 Summary 1 概要
1.1 Challenge 1.1 課題
1.2 Soluon 1.2 解決策
1.3 Benefits 1.3 メリット
2 How to Use This Guide 2 このガイドの使用方法
2.1 Typographic Convenons 2.1 組版上の慣例
2.2 Publicaon Structure 2.2 出版物の構成
3 Approach 3 アプローチ
3.1 Audience 3.1 対象読者
3.2 Scope 3.2 適用範囲
3.3 Assumpons and Definions 3.3 前提条件と定義
3.4 Collaborators and Their Contribuons 3.4 協力機関とその貢献
4 Reference Architecture 4 参照アーキテクチャ
4.1 Device Manufacture and Factory Provisioning Process 4.1 デバイス製造および工場プロビジョニングプロセス
4.2 Device Ownership and Bootstrapping Informaon Transfer Process 4.2 デバイス所有権とブートストラップ情報転送プロセス
4.3 Trusted Network-Layer Onboarding Process 4.3 信頼されたネットワーク層オンボーディングプロセス
4.4 Trusted Applicaon-Layer Onboarding Process 4.4 信頼されたアプリケーション層オンボーディングプロセス
4.5 Connuous Verificaon 4.5 継続的検証
5 Laboratory Physical Architecture 5 実験室物理アーキテクチャ
5.1 Shared Environment 5.1 共有環境
5.2 Build 1 (Wi-Fi Easy Connect, Aruba/HPE) Physical Architecture 5.2 ビルド 1 (Wi-Fi Easy Connect、Aruba/HPE) 物理アーキテクチャ
5.3 Build 2 (Wi-Fi Easy Connect, CableLabs, OCF) Physical Architecture 5.3 ビルド2(Wi-Fi Easy Connect、CableLabs、OCF)物理アーキテクチャ
5.4 Build 3 (BRSKI, Sandelman Soware Works) Physical Architecture 5.4 ビルド 3 (BRSKI、Sandelman Soware Works) 物理アーキテクチャ
5.5 Build 4 (Thread, Silicon Labs, Kudelski IoT) Physical Architecture 5.5 ビルド 4 (Thread、Silicon Labs、Kudelski IoT) 物理アーキテクチャ
5.6 Build 5 (BRSKI, NquiringMinds) Physical Architecture 5.6 ビルド 5 (BRSKI、NquiringMinds) 物理アーキテクチャ
6 General Findings 6 一般的な所見
6.1 Wi-Fi Easy Connect 6.1 Wi-Fi Easy Connect
6.2 BRSKI 6.2 BRSKI
6.3 Thread 6.3 Thread
6.4 Applicaon-Layer Onboarding 6.4 アプリケーション層オンボーディング
7 Addional Build Consideraons 7 追加の構築上の考慮事項
7.1 Network Authencaon 7.1 ネットワーク認証
7.2 Device Communicaons Intent 7.2 デバイス通信意図
7.3 Network Segmentaon 7.3 ネットワークセグメンテーション
7.4 Integraon with a Lifecycle Management Service 7.4 ライフサイクル管理サービスとの統合
7.5 Network Credenal Renewal 7.5 ネットワーク認証情報の更新
7.6 Integraon with Supply Chain Management Tools 7.6 サプライチェーン管理ツールとの統合
7.7 Atestaon 7.7 認証
7.8 Mutual Atestaon 7.8 相互認証
7.9 Behavioral Analysis 7.9 行動分析
7.10 Device Trustworthiness Scale 7.10 デバイス信頼性尺度
7.11 Resource Constrained Systems 7.11 リソース制約システム
8 References 8 参考文献
Appendix A  附属書A 略語一覧
Appendix B  附属書B 用語集
Appendix C Build 1 (Wi-Fi Easy Connect, Aruba/HPE) 附属書C ビルド1(Wi-Fiイージーコネクト、Aruba/HPE)
C.1 Technologies C.1 技術
C.2 Build 1 Architecture C.2 ビルド 1 アーキテクチャ
Appendix D Build 2 (Wi-Fi Easy Connect, CableLabs, OCF) 附属書D ビルド2(Wi-Fiイージーコネクト、ケーブルラボズ、OCF)
D.1 Technologies D.1 技術
D.2 Build 2 Architecture D.2 ビルド 2 アーキテクチャ
Appendix E Build 3 (BRSKI, Sandelman Soware Works) 附属書 E ビルド 3 (BRSKI, Sandelman Soware Works)
E.1 Technologies E.1 採用技術
E.2 Build 3 Architecture E.2 ビルド 3 アーキテクチャ
Appendix F Build 4 (Thread, Silicon Labs-Thread, Kudelski KeySTREAM) 附属書F ビルド 4 (Thread、Silicon Labs-Thread、Kudelski KeySTREAM)
F.1 Technologies F.1 技術
F.2 Build 4 Architecture F.2 ビルド4 アーキテクチャ
Appendix G Build 5 (BRSKI over Wi-Fi, NquiringMinds) 附属書G ビルド 5 (BRSKI over Wi-Fi、NquiringMinds)
G.1 Technologies G.1 技術
G.2 Build 5 Architecture G.2 ビルド5 アーキテクチャ
Appendix H Factory Provisioning Process 附属書H 工場出荷時プロビジョニングプロセス
H.1 Factory Provisioning Process H.1 工場出荷時プロビジョニングプロセス
H.2 Factory Provisioning Builds – General Provisioning Process H.2 工場プロビジョニング構築 – 一般的なプロビジョニングプロセス
H.3 BRSKI Factory Provisioning Builds (NquiringMinds and SEALSQ) H.3 BRSKIファクトリプロビジョニングビルド(NquiringMindsおよびSEALSQ)
H.4 Wi-Fi Easy Connect Factory Provisioning Build (SEALSQ and Aruba/HPE) H.4 Wi-Fi Easy Connect ファクトリー・プロビジョニング・ビルド(SEALSQ および Aruba/HPE)
SP1800-36 Volume C: How-To Guides SP1800-36C: ハウツーガイド
1 Introduction 1 序論
1.1 How to Use This Guide 1.1 本ガイドの使用方法
1.2 Build Overview 1.2 構築の概要
1.3 Typographic Conventions 1.3 表記規則
2 Build 1 (Wi-Fi Easy Connect, Aruba/HPE) 2 ビルド 1 (Wi-Fi Easy Connect、Aruba/HPE)
2.1 Aruba Central/Hewlett Packard Enterprise (HPE) Cloud 2.1 Aruba Central/Hewlett Packard Enterprise (HPE) Cloud
2.2 Aruba Wireless Access Point 2.2 Aruba ワイヤレスアクセスポイント
2.3 Cisco Catalyst 3850-S Switch 2.3 Cisco Catalyst 3850-S スイッチ
2.4 Aruba User Experience Insight (UXI) Sensor 2.4 Aruba User Experience Insight (UXI) センサー
2.5 Raspberry Pi 2.5 ラズベリーパイ
2.6 Certificate Authority 2.6 認証機関
2.7 UXI Cloud 2.7 UXI Cloud
2.8 Wi-Fi Easy Connect Factory Provisioning Build 2.8 Wi-Fi Easy Connect ファクトリープロビジョニング構築
3 Build 2 (Wi-Fi Easy Connect, CableLabs, OCF) 3 ビルド 2 (Wi-Fi Easy Connect、CableLabs、OCF)
3.1 CableLabs Platform Controller 3.1 CableLabsプラットフォームコントローラー
3.2 CableLabs Custom Connectivity Gateway 3.2 CableLabsカスタム接続ゲートウェイ
3.3 Reference Clients/IoT Devices 3.3 リファレンスクライアント/IoTデバイス
4 Build 3 (BRSKI, Sandelman Software Works) 4 ビルド 3 (BRSKI、Sandelman Software Works)
4.1 Onboarding Router/Join Proxy 4.1 オンボーディングルーター/参加プロキシ
4.2 Minerva Join Registrar Coordinator 4.2 Minerva Join レジストラコーディネーター
4.3 Reach Pledge Simulator 4.3 Reach Pledge Simulator
4.4 Serial Console Server 4.4 シリアルコンソールサーバー
4.5 Minerva Highway MASA Server 4.5 ミネルバ・ハイウェイ MASA サーバー
5 Build 4 (Thread, Silicon Labs, Kudelski IoT) 5 ビルド 4 (Thread、Silicon Labs、Kudelski IoT)
5.1 Open Thread Border Router (OTBR) 5.1 Open Thread Border Router (OTBR)
5.2 Silicon Labs Dev Kit (BRD2601A) 5.2 Silicon Labs開発キット(BRD2601A)
5.3 Kudelski keySTREAM Service 5.3 Kudelski keySTREAM サービス
5.4 AWS IoT Core 5.4 AWS IoT Core
6 Build 5 (BRSKI over Wi-Fi, NquiringMinds) 6 ビルド 5 (BRSKI over Wi-Fi、NquiringMinds)
6.1 Pledge 6.1 プレッジ
6.2 Router and Logical Services 6.2 ルーターと論理サービス
6.3 Onboarding Demonstration 6.3 オンボーディングデモ
6.4 BRSKI Factory Provisioning Build 6.4 BRSKI ファクトリプロビジョニングビルド
Appendix A  附属書A 略語一覧
Appendix B  附属書B 参考文献
SP1800-36 Volume D: Functional Demonstrations SP1800-36D: 機能実証
1 Introduction 1 序論
1.1 How to Use This Guide 1.1 本ガイドの使用方法
1.2 Typographic Conventions 1.2 表記規則
2 Functional Demonstration Playbook 2 機能実証プレイブック
2.1 Scenario 0: Factory Provisioning 2.1 シナリオ 0: 工場プロビジョニング
2.2 Scenario 1: Trusted Network-Layer Onboarding 2.2 シナリオ 1: 信頼されたネットワーク層オンボーディング
2.3 Scenario 2: Trusted Application-Layer Onboarding 2.3 シナリオ 2: 信頼されたアプリケーション層オンボーディング
2.4 Scenario 3: Re-Onboarding a Device 2.4 シナリオ 3: デバイスの再オンボーディング
2.5 Scenario 4: Ongoing Device Validation 2.5 シナリオ 4: デバイスの継続的妥当性確認
2.6 Scenario 5: Establishment and Maintenance of Credential and Device Security Posture Throughout the Lifecycle 2.6 シナリオ 5:ライフサイクル全体における認証情報とデバイスのセキュリティ態勢の確立と保守
3 Functional Demonstration Results 3 機能実証結果
3.1 Build 1 Demonstration Results 3.1 ビルド1の実証結果
3.2 Build 2 Demonstration Results 3.2 ビルド 2 の実証結果
3.3 Build 3 Demonstration Results 3.3 ビルド 3 の実証結果
3.4 Build 4 Demonstration Results 3.4 ビルド 4 の実証結果
3.5 Build 5 Demonstration Results 3.5 ビルド 5 の実証結果
Appendix A  附属書A 参考文献
SP1800-36 Volume E: Risk and Compliance Management SP1800-36E: リスク及びコンプライアンス管理
1 Introduction 1 序論
1.1 How to Use This Guide 1.1 本ガイドの使用方法
1.2 Typographic Conventions 1.2 表記規則
2 Risks Addressed by Trusted Network-Layer Onboarding and Lifecycle Management 2 信頼できるネットワーク層オンボーディングとライフサイクル管理が対処するリスク
2.1 Risks to the Network 2.1 ネットワークに対するリスク
2.2 Risks to the Device 2.2 デバイスに対するリスク
2.3 Risks to Secure Lifecycle Management 2.3 セキュアなライフサイクル管理に対するリスク
2.4 Limitations and Dependencies of Trusted Onboarding 2.4 信頼できるオンボーディングの制限と依存性
3 Mapping Use Cases, Approach, and Terminology 3 マッピングのユースケース、アプローチ、および用語
3.1 Uses for Mappings of Build Functions to CSF 2.0 and SP 800-53 3.1 CSF 2.0 および SP 800-53 への構築機能マッピングの用途
3.2 Mapping Producers 3.2 マッピング作成者
3.3 Mapping Approach 3.3 マッピング手法
4. Mapping 4. マッピング
4.1 NIST CSF Subcategory Mappings 4.1 NIST CSFサブカテゴリー対応表
4.2 NIST SP 800-53 Control Mappings 4.2 NIST SP 800-53 コントロール対応表
5 References 5 参考文献

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.12.12 米国 NIST CSWP 42 IoTセキュリティの自動化に向けて:信頼できるネットワーク層オンボーディングの実装 (2025.11.25)

・2025.12.09 米国 NIST IR 8350 信頼できるIoTデバイスのネットワーク層オンボーディングにおける基礎概念:インターネットプロトコルベースのIoTデバイスとネットワークのセキュリティ強化 (2025.11.25)

・2024.06.08 米国 NIST SP 1800-36 (初期公開ドラフト) 信頼できるIoT機器のネットワーク層の実装とライフサイクル管理:インターネットプロトコルベースのIoT機器とネットワークのセキュリティ強化

・2023.11.03 NIST SP 1800-36 (初期ドラフト第2版) 信頼できるIoT機器のネットワーク層の実装とライフサイクル管理:インターネットプロトコルベースのIoT機器とネットワークのセキュリティ強化 (B,C,E)

・2023.09.30 NIST SP 1800-36 (初期ドラフト第2版) 信頼できるIoT機器のネットワーク層オンボーディングとライフサイクル管理:インターネットプロトコルベースのIoT機器とネットワークのセキュリティ強化 (A,D)

・2023.05.07 米国 NIST SP 1800-36 (ドラフト) 信頼できるIoTデバイスのネットワーク層オンボーディングとライフサイクル管理:インターネットプロトコルベースのIoTデバイスとネットワークのセキュリティ強化(初期ドラフト)(2023.05.03)

・2022.12.13 NIST SP 1800-36 (ドラフト) 信頼できるIoTデバイスのネットワーク層オンボーディングとライフサイクル管理:インターネットプロトコルベースのIoTデバイスとネットワークのセキュリティ強化(初期ドラフト)(2022.12.05)

 

 

 

 

| | Comments (0)

2025.12.11

米国 カリフォルニア州消費者プライバシー法 2018年の2026年1月1日改正

こんにちは、丸山満彦です。

カリフォルニア州の改正版消費者プライバシー法2018年が2026年1月1日(一部は2027年1月1日)から施行されますね...

AIの進歩、子どものプライバシー保護の強化、実効性の強化等が背景にあるのでしょうかね...

 

主な改正内容...

オプトアウト優先シグナル

ブラウザ開発者は、ユーザーが個人情報の販売または共有をオプトアウトできる「オプトアウト優先シグナル」を送信する、明確で見つけやすい設定を提供しなければならない。(ブラウザ機能要件については2027年1月1日より施行)

機微な個人情報の定義の拡大

  • 16歳未満と事業者が実際に知っている消費者の個人情報すべて
  • 神経データ(neural data)も機密情報に追加

・第三者データ移転に関する契約要件

事業者は、消費者データを受け取るすべての第三者、サービスプロバイダー、または契約者と契約を締結しなければならない。(契約では、情報移転が限定された目的でのみ行われることを明記し、受領者に法律で要求される同等のプライバシー保護を提供する義務を課す)

・オプトアウト確認の義務化

消費者が個人情報の販売または共有をオプトアウトする要求を行った場合、事業者はその要求が処理されたことの確認を提供しなければならない

・開示義務の拡大

  • プライバシーポリシーへのリンクを、ホームページだけでなく個人情報を収集するすべてのウェブページに設置
  • 事業者は、収集時またはその前に、個人情報カテゴリーが販売または共有されるかどうかを開示しなければならない

・ダークパターンの禁止例の追加

  • 消費者がデータを削除することを困難、誤解を招く、または混乱させる濫用的慣行を対象

・ 消費者の権利の明確化

  • データへのアクセス、削除、訂正の権利を維持
  • 事業者は検証可能な消費者要求に45日以内に応答し、合理的に必要な場合は45日間の延長が可能
  • アクセス要求への応答期間が過去12ヶ月の制限を超えて拡大

新規追加...

サイバーセキュリティ監査要件(2027.01.01以降)

・・対象企業:

  • 前暦年収益の50%以上を個人情報の販売・共有から得ている事業者
  • 年間総収益が2,500万ドル超で、かつ25万人以上の消費者の個人情報を処理、または5万人以上の機密な個人情報を処理する事業者

・・監査期限(企業収益別):

  • 1億ドル超:2028.04.01
  • 5,000万~1億ドル:2029.04.01
  • 5,000万ドル未満:2030.04.01

・リスク評価要件

個人情報処理が消費者の「重大なプライバシーリスク」を伴う場合、事業者はリスク評価をしなければならない

・・重大なプライバシーリスク

  • 個人情報の販売・共有
  • 機微な小書院情報の処理
  • 一定の条件の元での自動意思決定技術 (ADMT) の使用

・自動意思決定技術(ADMT)規制(2027.01.01日施行)

  • 消費者に関する「重要な決定」を行うためにADMTを使用する企業は、事前通知、オプトアウト権、アクセス権を提供しなければならない 
  • ADMTの動作方法、決定への影響、代替プロセスの説明義務

 

California Privacy Protection Agency

・[PDF] CALIFORNIA CONSUMER PRIVACY ACTOF 2018 effective 01/01/2026 – AB 137, AB 566 

20251210-64032

・[DOCX][PDF] 仮訳

 

参考

モバイル広告IDとオプトアウト・プラットフォーム(DROP) について

・2025.12.02 Understanding Mobile Advertising IDs and DROP

 

 

2020年のものですが、個人情報保護委員会の訳

個人情報保護委員会

・[PDF]「カリフォルニア州消費者プライバシー法 2018年」2020年1月1日施行版の仮日本語訳

同法施行前の米国カリフォルニア州議会上院及び下院による修正決議(上院2018年法律第1121号、下院2019年法律第25号、同2019年法律第874号、同2019年法律第1146号、同2019年法律第1355号及び同2019年法律第1564号)の修正条項を反映したもの

 

 

牛島総合法律事務所が簡単な改正の記事をかいていますね...

牛島総合法律事務所

・2025.11.17 2025年におけるCCPA(カリフォルニア州消費者プライバシー法)及びCCPA規則の改正

 

 

 

 

| | Comments (0)

2025.12.10

米国 FBI/IC3 SNSにアップされた写真を改変した仮想誘拐詐欺についての警告 (2025.12.05)

こんにちは、丸山満彦です。

FBIが、SNSにアップされた写真を利用し、仮想誘拐詐欺事件で身代金請求時の生存証明に利用しているようです...犯罪者もいろいろと考えますね...生成的AIの発展により犯罪も幅がひろがりますね...

 

● IC3

・2025.12.05 Criminals Using Altered Proof-of-Life Media to Extort Victims in Virtual Kidnapping for Ransom Scams (I-120525-PSA)

Criminals Using Altered Proof-of-Life Media to Extort Victims in Virtual Kidnapping for Ransom Scams 犯罪者が改変した生存証明メディアを悪用し、仮想誘拐による身代金詐欺で被害者を脅迫
The Federal Bureau of Investigation (FBI) warns the public about criminals altering photos found on social media or other publicly available sites to use as fake proof of life photos in virtual kidnapping for ransom scams. The criminal actors pose as kidnappers and provide seemingly real photos or videos of victims along with demands for ransom payments. 連邦捜査局(FBI)は、犯罪者がソーシャルメディアやその他の公開サイトから入手した写真を改変し、仮想誘拐による身代金詐欺で偽の生存証明写真として使用していることを一般に警告している。犯罪者は誘拐犯を装い、被害者の本物らしき写真や動画と共に身代金の支払いを要求する。
The Scam 詐欺の手口
Criminal actors typically will contact their victims through text message claiming they have kidnapped their loved one and demand a ransom be paid for their release. Oftentimes, the criminal actor will express significant claims of violence towards the loved one if the ransom is not paid immediately. The criminal actor will then send what appears to be a genuine photo or video of the victim’s loved one, which upon close inspection often reveals inaccuracies when compared to confirmed photos of the loved one. Examples of these inaccuracies include missing tattoos or scars and inaccurate body proportions. Criminal actors will sometimes purposefully send these photos using timed message features to limit the amount of time victims have to analyze the images. 犯罪者は通常、被害者に「身内を誘拐した」とテキストメッセージで連絡し、解放のための身代金を要求する。身代金が即座に支払われない場合、身内への深刻な暴力をほのめかすことも多い。その後、犯罪者は被害者の身内を装った本物らしき写真や動画を送信するが、よく見ると身内の確認済み写真と比べて不自然な点が多い。不一致の例としては、タトゥーや傷跡の欠如、体のプロポーションの不自然さなどが挙げられる。犯罪者は意図的にタイムスタンプ付きメッセージ機能を使い、被害者が画像を分析する時間を制限する場合もある。
Tips to Protect Yourself 身を守るためのヒント
・When posting missing person information online, be mindful that scammers may contact you with fake information regarding your loved one. ・オンラインで行方不明者の情報を投稿する際は、詐欺師が偽の家族情報を用いて連絡してくる可能性があることに注意せよ。
・Avoid providing personal information to strangers while traveling. ・旅行中は見知らぬ人に個人情報を提供しないこと。
・Establish a code word only you or your loved ones know that you can use to communicate. ・あなたや家族だけが知る合言葉を決めて、連絡手段として使うこと。
・Scammers portray a false sense of urgency. Stop and think; do the kidnapper’s claims make sense? ・詐欺師は偽の緊急性を演出する。立ち止まって考えよ。誘拐犯の主張は理にかなっているか?
・Screenshot or record proof of life photos whenever possible. ・可能な限り生存証明写真をスクリーンショットまたは録画すること。
・Always attempt to contact your loved one before considering paying any ransom demand. ・身代金要求に応じる前に、必ずまず身内と直接連絡を取ろう。
Report It 通報する
If you believe you have been a victim of a virtual kidnapping scam, please report the incident to the FBI's Internet Crime Complaint Center at www.ic3.gov. Be sure to submit as much information as possible about the interaction including phone numbers, payment information, text and audio communications, and proof of life photos. 仮想誘拐詐欺の被害に遭ったと思われる場合は、FBIのインターネット犯罪苦情センター(www.ic3.gov)にインシデントを通報してください。電話番号、支払い情報、テキストや音声によるコミュニケーション記録、生存証明写真など、やり取りに関する可能な限りの情報を提出するようにしてください。

 

 

1_20251209145001 

 

 

 

| | Comments (0)

2025.12.09

米国 NIST IR 8350 信頼できるIoTデバイスのネットワーク層オンボーディングにおける基礎概念:インターネットプロトコルベースのIoTデバイスとネットワークのセキュリティ強化 (2025.11.25)

こんにちは、丸山満彦です。

米国のNISTが信頼できるIoTデバイスの信頼できるネットワーク層オンボーディングについて定義していますね...

IRですが、参考になる部分は多くありますね...

 

NIST - ITL

・2025.11.25 NIST IR 8350 Foundational Concepts in Trusted IoT Device Network-Layer Onboarding: Enhancing Internet Protocol-Based IoT Device and Network Securit

 

NIST IR 8350 Foundational Concepts in Trusted IoT Device Network-Layer Onboarding: Enhancing Internet Protocol-Based IoT Device and Network Securit NIST IR 8350 信頼できるIoTデバイスのネットワーク層オンボーディングにおける基礎概念:インターネットプロトコルベースのIoTデバイスとネットワークのセキュリティ強化
Abstract 要約
Internet of Things (IoT) devices are typically connected to a network. The steps performed to provision a device with its network credentials are referred to as network-layer onboarding (or simply, onboarding, assuming the network-layer context is understood). This paper proposes a definition for trusted network-layer onboarding. This paper is intended to introduce the reader to trusted network-layer onboarding; describe its capabilities, characteristics, and benefits; and explain the important role that onboarding can play in the protection of IoT devices and networks throughout the device lifecycle. By providing a common language that describes and clarifies various onboarding capabilities, this paper assists with discussion, characterization, and development of trusted onboarding solutions. This paper also describes a generic trusted onboarding process, defines onboarding functional roles and responsibilities, discusses onboarding-related aspects of IoT device lifecycle management, and explains how onboarding can enhance security capabilities that protect the device throughout its lifecycle. IoTデバイスは通常、ネットワークに接続される。デバイスにネットワーク認証情報を付与する手順は、ネットワーク層オンボーディング(あるいは単にオンボーディング、ネットワーク層の文脈が理解されていると仮定する場合)と呼ばれる。本論文は、信頼できるネットワーク層オンボーディングの定義を提案する。本論文は、信頼できるネットワーク層オンボーディングを読者に紹介し、その機能、特性、利点を説明し、デバイスのライフサイクル全体を通じてIoTデバイスとネットワークの防御においてオンボーディングが果たす重要な役割を解説することを目的とする。様々なオンボーディング機能を記述・明確化する共通言語を提供することで、本稿は信頼できるオンボーディングソリューションの議論、特性化、開発を支援する。また、汎用的な信頼できるオンボーディングプロセスを説明し、オンボーディングの機能的役割と責任を定義し、IoTデバイスライフサイクル管理におけるオンボーディング関連の側面を議論し、オンボーディングがデバイスのライフサイクル全体を通じて保護するセキュリティ機能を強化する方法を説明する。

 

・[PDF

20251207-135122

・[DOCX][PDF] 仮訳

 

 

図1 – オンボーディング概念の全体概要

20251207-135811

 

図5 – オンボーディング視点からのIoTデバイスライフサイクルにおける上市前段階

20251207-140057

 

 

 

 

| | Comments (0)

CISA 中華人民共和国国家支援アクターによる公共部門及び情報技術システムへのBRICKSTORMマルウェア利用 (2025.12.04)

こんにちは、丸山満彦です。

中華人民共和国の国家支援アクターが公共部門、IT部門にBRICSTORMを利用した攻撃をしていると警告を出していますね...

BRICKSTORMは長期潜伏メカニズムがり、妨害された場合にマルウェアを自動再インストールまたは再起動する自己監視機能もあって、継続的に潜伏し、いざという時に作動させることができるようになっているようですね...

 

 

CISA

・2025.12.04 PRC State-Sponsored Actors Use BRICKSTORM Malware Across Public Sector and Information Technology Systems

 

PRC State-Sponsored Actors Use BRICKSTORM Malware Across Public Sector and Information Technology Systems 中華人民共和国国家支援アクターによる公共部門及び情報技術システムへのBRICKSTORMマルウェア利用
The Cybersecurity and Infrastructure Security Agency (CISA) is aware of ongoing intrusions by People’s Republic of China (PRC) state-sponsored cyber actors using BRICKSTORM malware for long-term persistence on victim systems. BRICKSTORM is a sophisticated backdoor for VMware vSphere1,2 and Windows environments.3 Victim organizations are primarily in the Government Services and Facilities and Information Technology Sectors. BRICKSTORM enables cyber threat actors to maintain stealthy access and provides capabilities for initiation, persistence, and secure command and control. The malware employs advanced functionality, including multiple layers of encryption (e.g., HTTPS, WebSockets, and nested TLS), DNS-over-HTTPS (DoH) to conceal communications, and a SOCKS proxy to facilitate lateral movement and tunneling within victim networks. BRICKSTORM also incorporates long-term persistence mechanisms, such as a self-monitoring function that automatically reinstalls or restarts the malware if disrupted, ensuring its continued operation. サイバーセキュリティ・インフラセキュリティ庁(CISA)は、中華人民共和国(PRC)が支援するサイバー攻撃者がBRICKSTORMマルウェアを用いて被害システムに長期潜伏する侵入活動を継続していることを把握している。BRICKSTORMはVMware vSphere1,2およびWindows環境3向けの高度なバックドアである。被害組織は主に政府サービス・施設部門および情報技術部門に集中している。BRICKSTORMはサイバー脅威アクターにステルスアクセスを維持させ、侵入開始・持続的活動・安全なコマンド&コントロール機能を可能にする。このマルウェアは高度な機能を備えており、コミュニケーション隠蔽のための複数層の暗号化(例:HTTPS、WebSockets、ネストされたTLS)、DNS-over-HTTPS(DoH)、被害者ネットワーク内での横方向移動とトンネリングを容易にするSOCKSプロキシなどを採用している。BRICKSTORMは長期潜伏メカニズムも備えており、妨害された場合にマルウェアを自動再インストールまたは再起動する自己監視機能により、継続的な動作を保証する。
The initial access vector varies. In one confirmed compromise, PRC state-sponsored cyber actors accessed a web server inside the organization’s demilitarized zone (DMZ), moved laterally to an internal VMware vCenter server, then implanted BRICKSTORM malware. See CISA, the National Security Agency, and Canadian Cyber Security Centre’s (Cyber Centre’s) joint Malware Analysis Report (MAR) BRICKSTORM Backdoor for analysis of the BRICKSTORM sample CISA obtained during an incident response engagement for this victim. The MAR also discusses seven additional BRICKSTORM samples, which exhibit variations in functionality and capabilities, further highlighting the complexity and adaptability of this malware. 初期侵入経路は様々である。確認された侵害事例の一つでは、中国政府が支援する国家支援アクターが組織の非武装地帯(DMZ)内のWebサーバーにアクセスし、内部のVMware vCenterサーバーへ横展開した後、BRICKSTORMマルウェアを埋め込んだ。被害者へのインシデント対応支援中にCISAが入手したBRICKSTORMサンプルの分析については、CISA・国家安全保障局(NSA)・カナダサイバーセキュリティセンター(Cyber Centre)の共同マルウェア分析報告書(MAR)「BRICKSTORMバックドア」を参照のこと。同MARでは機能・能力に差異が見られる追加のBRICKSTORMサンプル7種についても言及しており、本マルウェアの複雑性と適応性をさらに浮き彫りにしている。
After obtaining access to victim systems, PRC state-sponsored cyber actors obtain and use legitimate credentials by performing system backups or capturing Active Directory database information to exfiltrate sensitive information. Cyber actors then target VMware vSphere platforms to steal cloned virtual machine (VM) snapshots for credential extraction and create hidden rogue VMs to evade detection. 被害システムへのアクセス権を取得後、中国国家が支援するサイバー攻撃者は、システムバックアップの実行やActive Directoryデータベース情報の取得を通じて正当な認証情報を入手・利用し、機密情報を流出させる。その後、VMware vSphereプラットフォームを標的とし、認証情報抽出のために複製された仮想マシン(VM)スナップショットを窃取し、検知回避のために隠蔽された不正VMを作成する。
CISA recommends that network defenders hunt for existing intrusions and mitigate further compromise by taking the following actions: CISAはネットワーク防御担当者が既存の侵入を検知し、さらなる侵害の緩和を図るため、以下の措置を講じることを推奨する:
・Scan for BRICKSTORM using CISA-created YARA and Sigma rules; see joint MAR BRICKSTORM Backdoor. ・CISA作成のYARAおよびSigmaルールを用いてBRICKSTORMをスキャンする。詳細は共同MAR BRICKSTORMバックドアを参照。
・Block unauthorized DNS-over-HTTPS (DoH) providers and external DoH network traffic to reduce unmonitored communications. ・監視対象外の通信を減らすため、不正なDNS-over-HTTPS(DoH)プロバイダと外部DoHネットワークトラフィックを遮断する。
・Take inventory of all network edge devices and monitor for any suspicious network connectivity originating from these devices. ・全てのネットワークエッジデバイスを棚卸しし、これらのデバイスから発生する不審なネットワーク接続を監視する。
・Ensure proper network segmentation that restricts network traffic from the DMZ to the internal network. ・DMZから内部ネットワークへのネットワークトラフィックを制限する適切なネットワークセグメンテーションを確保する。
See joint MAR BRICKSTORM Backdoor for additional detection resources. If BRICKSTORM, similar malware, or potentially related activity is detected, report the incident to CISA’s 24/7 Operations Center at contact@cisa.dhs.gov or (888) 282-0870. 追加の検知リソースについては、共同MAR BRICKSTORMバックドアを参照のこと。BRICKSTORM、類似マルウェア、または関連する可能性のある活動が検知された場合、CISAの24時間365日対応オペレーションセンター(contact@cisa.dhs.gov または (888) 282-0870)にインシデントを報告すること。
Disclaimer: The information in this report is being provided “as is” for informational purposes only. CISA does not endorse any commercial entity, product, company, or service, including any entities, products, or services linked within this document. Any reference to specific commercial entities, products, processes, or services by service mark, trademark, manufacturer, or otherwise, does not constitute or imply endorsement, recommendation, or favoring by CISA. 免責事項:本報告書の情報は「現状のまま」情報提供のみを目的として提供される。CISAは、本文書内でリンクされている事業体、製品、サービスを含むいかなる商業的事業体、製品、会社、サービスも推奨しない。サービスマーク、商標、製造事業者その他の方法で特定の商業的事業体、製品、プロセス、サービスに言及しても、CISAによる推奨、推奨、または優遇を構成または示唆するものではない。
Notes 注記
1 Matt Lin et al., “Cutting Edge, Part 4: Ivanti Connect Secure VPN Post-Exploitation Lateral Movement Case Studies,” Google Cloud Blog, April 4, 2024, [web]. 1 Matt Lin et al., 「Cutting Edge, Part 4: Ivanti Connect Secure VPN Post-Exploitation Lateral Movement Case Studies」, Google Cloud Blog, 2024年4月4日, [web].
2 Maxime, “NVISO analyzes BRICKSTORM espionage backdoor,” NVISO, April 15, 2025, [web]
2 マキシム、「NVISOがBRICKSTORMスパイバックドアを分析」、NVISO、2025年4月15日、[web].
3 Sarah Yoder et al., “Another BRICKSTORM: Stealthy Backdoor Enabling Espionage into Tech and Legal Sectors,” Google Cloud Blog, September 24, 2025, [web]. 3 Sarah Yoder et al., 「別のBRICKSTORM:技術・法務分野へのスパイ活動を可能にするステルス型バックドア」Google Cloud Blog, 2025年9月24日, [web].

 

BRICKSTORM Backdoor Alert Code AR25-338A

・[PDF

20251207-80558

 

 

 

| | Comments (0)

2025.12.08

米国 NIST NIST SP 1308(第2次ドラフト) NIST サイバーセキュリティフレームワーク 2.0: サイバーセキュリティ、エンタープライズリスクマネジメント、人材管理クイックスタートガイド (2025.11.24)

こんにちは、丸山満彦です。

NISTがNIST サイバーセキュリティフレームワーク 2.0: サイバーセキュリティ、エンタープライズリスクマネジメント、人材管理クイックスタートガイドの第2次ドラフトが公開され、意見募集がされています...

2023年3月に経産省から公表して、サイバーセキュリティ経営ガイドラインはVer3.0は、ERMとサイバーセキュリティの融合を意識しました。Cybersecurity Framework 2.0もERMとの連携を意識しています。加えて、Workforce Management(要員マネジメント)との融合を目指していますね...

クイックスタートガイドのウェブページもできていますね。。。。。ドラフトのものもいれて現在8あります...うち6つは日本語もあります...

CSF 2.0 Quick Start Guides

  Available Guides:      
SP1299 CSF 2.0 Overview CSF 2.0 概要 En Ja
SP1301 Organizational Profiles 組織プロファイル En Ja
CSWP32 Community Profiles コミュニティプロファイル En  
SP1300 Small Business 中小企業 En Ja
SP1305 Cybersecurity SCRM サイバーセキュリティSCRM En Ja
SP1302 Tiers ティア En Ja
SP1303 Enterprise Risk Management エンタープライズリスクマネジメント En Ja
SP1308 Cybersecurity, ERM and Workforce Management サイバーセキュリティ、ERM、および人材管理 En  

 

NIST - ITL

NIST SP 1308 (2nd Public Draft) NIST Cybersecurity Framework 2.0: Cybersecurity, Enterprise Risk Management, and Workforce Management Quick-Start Guide

NIST SP 1308 (2nd Public Draft) NIST Cybersecurity Framework 2.0: Cybersecurity, Enterprise Risk Management, and Workforce Management Quick-Start Guide NIST SP 1308(第2回公開草案)NISTサイバーセキュリティ フレームワーク2.0:サイバーセキュリティ、エンタープライズリスクマネジメント、人材管理クイックスタートガイド
Announcement 通知
NIST published the Initial Public Draft (IPD) of NIST SP 1308 on March 12, 2025. We thank everyone who submitted comments on the initial draft. Your thoughtful feedback prompted substantial revisions. In response, we have published a second public draft to give stakeholders an opportunity to review and provide input before NIST finalizes the document.  NISTは2025年3月12日、NIST SP 1308の初期公開草案(IPD)を公表した。初期草案へのコメントを提出した全ての方々に感謝する。皆様の貴重なフィードバックにより大幅な改訂が行われた。これを受け、NISTが文書を最終化する前に、関係者が内容を確認し意見を提出する機会を提供するため、第2回公開草案を公表した。
About the Quick Start Guide クイックスタートガイドについて
This Quick-Start Guide draws on concepts and practices from enterprise risk management, cybersecurity risk management, and workforce management to help organizations improve communication about cybersecurity risks and to plan and implement workforce decisions based upon risk reality and planned risk responses. このクイックスタートガイドは、エンタープライズリスクマネジメント、サイバーセキュリティリスクマネジメント、人材管理の概念と実践手法を活用し、組織がサイバーセキュリティリスクに関するコミュニケーションを改善し、リスクの実態と計画されたリスク対応に基づいて人材に関する意思決定を計画・実施することを支援する。
This QSG draws on three key NIST resources to enable users to align their cybersecurity, ERM, and workforce management practices in a streamlined process: 本QSGは、ユーザーがサイバーセキュリティ、ERM、人材管理の実践を効率的なプロセスで整合させるため、以下の3つの主要なNISTリソースを活用している:
・The Cybersecurity Framework (CSF) 2.0 ・サイバーセキュリティ フレームワーク(CSF)2.0
・The Workforce Framework for Cybersecurity (NICE Framework) ・サイバーセキュリティ要員 フレームワーク(NICE フレームワーク)
・The NIST IR 8286 series, Integrating Cybersecurity and Enterprise Risk Management (ERM) ・NIST IR 8286シリーズ「サイバーセキュリティとエンタープライズリスクマネジメント(ERM)の統合」
This publication is the most recent within a portfolio of CSF 2.0 quick-start guides released since February 26, 2024. These resources offer tailored pathways for different audiences to engage with the CSF 2.0, making the Framework easier to implement. View all CSF 2.0 quick-start guides. 本出版物は、2024年2月26日以降に公開されたCSF 2.0クイックスタートガイド群の中で最新のものです。これらのリソースは、CSF 2.0への関与方法について異なる対象層向けにカスタマイズされた道筋を提供し、 フレームワークの導入を容易にします。すべてのCSF 2.0クイックスタートガイドを参照してください。
Abstract 概要
This Quick Start Guide (QSG) shows how the NICE Workforce Framework for Cybersecurity and the Cybersecurity Framework (CSF) can be used together to facilitate communication across business units and improve organizational processes where cybersecurity, enterprise risk management (ERM), and workforce management intersect. 本クイックスタートガイド(QSG)は、NICEサイバーセキュリティ人材 フレームワークとサイバーセキュリティ フレームワーク(CSF)を併用することで、事業部門間のコミュニケーションを促進し、サイバーセキュリティ、エンタープライズリスクマネジメント(ERM)、人材管理が交差する領域における組織プロセスを改善する方法を示す。

 

・[PDF]

20251207-104055

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.03.23 米国 NIST NIST SP 1308(初期公開ドラフト) NIST サイバーセキュリティフレームワーク 2.0: サイバーセキュリティ、エンタープライズリスクマネジメント、要員マネジメント クイックスタートガイド (2025.03.12)

 

 

 

| | Comments (0)

Five Eyes+ドイツ+オランダ OTにおけるAIの安全な統合に関する原則 (2025.12.03)

こんにちは、丸山満彦です、

Five Eyes(米国はCISA、NCA、FBI)+ドイツ+オランダでOTにおけるAIの安全な統合に関する原則が公表されています。ドイツは自動車、オランダは半導体関連装置企業がありますからね...日本は入っていないけど...

原則...

Principle 1 – Understand AI 原則1 – AIの理解
1.1 Understand the Unique Risks of AI and Potential Impact to OT 1.1 AIの固有リスクとOTへの潜在的影響の理解
1.2 Understand the Secure AI System Development Lifecycle 1.2 セキュアなAIシステム開発ライフサイクルの理解
1.3 Educate Personnel on AI 1.3 従業員へのAI教育
Principle 2 – Consider AI Use in the OT Domain 原則 2 – OT 分野における AI 利用の検討
2.1 Consider the OT Business Case for AI Use 2.1 AI利用のOTビジネスケースの検討
2.2 Manage OT Data Security Risks for AI Systems 2.2 AIシステムにおけるOTデータセキュリティリスクの管理
2.3 Understanding the Role of OT Vendors in AI Integration 2.3 AI統合におけるOTベンダーの役割の理解
2.4 Evaluate Challenges in AI-OT System Integration 2.4 AI-OTシステム統合における課題の評価
Principle 3 – Establish AI Governance and Assurance Frameworks 原則3 – AIガバナンスと保証フレームワークの確立
3.1 Establish Governance Mechanisms for AI in OT 3.1 OTにおけるAIガバナンスメカニズムの確立
3.2 Integrating AI Into Existing Security and Cybersecurity Frameworks 3.2 既存のセキュリティおよびサイバーセキュリティフレームワークへのAIの統合
3.3 Conduct Thorough AI Testing and Evaluation 3.3 徹底的なAIテストと評価の実施
3.4 Navigating Regulatory and Compliance Considerations for AI in OT 3.4 OTにおけるAIの規制・コンプライアンス上の考慮事項
Principle 4 – Embed Oversight and Failsafe Practices Into AI and AI-Enabled OT Systems 原則4 – AIおよびAI対応OTシステムへの監視・フェイルセーフ手法の組み込み
4.1 Establish Monitoring and Oversight Mechanisms for AI in OT 4.1 OTにおけるAIの監視・監督メカニズムの確立
4.2 Embed Safety and Failsafe Mechanisms 4.2 安全性とフェイルセーフ機構の組み込み



歴史的につかわれているパデュー (Purdue) モデルを援用しています。IEC 62443/ISA 99は参考文献にも見られませんね...

OT分野のAIセキュリティに関する問題ではあるものの、IT分野におけるAIを利用したシステムのレジリエンスを考える上でも参考になる部分はあると思うのですよね。NIST SP800-160とAIをかけあわせたようなものも今後は必要となってくるかもしれませんね...

 

CISA

プレスリリース

・2025.12.03 New Joint Guide Advances Secure Integration of Artificial Intelligence in Operational Technology

New Joint Guide Advances Secure Integration of Artificial Intelligence in Operational Technology 新たな共同ガイドラインが運用技術における人工知能の安全な統合を推進
Guidance empowers organizations to mitigate risks and achieve a balanced integration of AI in OT systems for OT environments that control vital public services 本ガイダンスは、重要な公共サービスを制御する運用技術環境において、組織がリスクを緩和し、運用技術システムへのAIの均衡ある統合を実現することを可能にする
WASHINGTON - The Cybersecurity and Infrastructure Security Agency and the Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC), in collaboration with U.S. and international government partners, published Principles for the Secure Integration of Artificial Intelligence (AI) in Operational Technology (OT) today. This joint guide provides four key principles that will help critical infrastructure OT owners and operators mitigate unique risks and achieve a balanced integration of AI into OT environments. ワシントン発 - 米国サイバーセキュリティ・インフラセキュリティ庁(CISA)とオーストラリア信号局(ASD)傘下のオーストラリアサイバーセキュリティセンター(ACSC)は、米国及び国際的な政府機関と連携し、本日「運用技術(OT)における人工知能(AI)の安全な統合に関する原則」を発表した。この共同ガイドラインは、重要インフラのOT所有者・運用者が特有のリスクの緩和を行い、OT環境へのAI統合のバランスを図るための4つの基本原則を提示するものである。
“AI holds tremendous promise for enhancing the performance and resilience of operational technology environments – but that promise must be matched with vigilance,” said CISA Acting Director Madhu Gottumukkala. “OT systems are the backbone of our nation’s critical infrastructure, and integrating AI into these environments demands a thoughtful, risk-informed approach. This guidance equips organizations with actionable principles that AI adoption strengthens—not compromises—the safety, security, and reliability of essential services.”  「AIは運用技術環境の性能とレジリエンスを高める大きな可能性を秘めているが、その可能性には警戒心も伴わねばならない」とCISAのMadhu Gottumukkala代理局長は述べた。「OTシステムはわが国の重要インフラの基盤であり、これらの環境にAIを統合するには、リスクを認識した慎重なアプローチが求められる。本ガイドラインは、AI導入が重要サービスの安全性、セキュリティ、信頼性を損なうのではなく強化するという実践可能な原則を組織に提供するものである」
This joint guide provides key principles that will help critical infrastructure owners and operators safely and effectively integrate AI into OT systems. The four key steps are: この共同ガイドラインは、重要インフラの所有者・運営者がAIをOTシステムに安全かつ効果的に統合するための基本原則を提供する。4つの主要ステップは以下の通りだ:
1. Understand AI: Educate personnel on AI risks, impacts, and secure development lifecycles. 1. AIの理解:AIのリスク、影響、安全な開発ライフサイクルについて要員を教育する。
2. Assess AI Use in OT: Evaluate business cases, manage OT data security risks, and address immediate and long-term integration challenges. 2. OTにおけるAI利用の評価:ビジネスケースを評価し、OTデータのデータセキュリティリスクを管理し、即時的・長期的な統合課題を解決する。
3. Establish AI Governance: Implement governance frameworks, test AI models continuously, and ensure regulatory compliance. 3. AIガバナンスの確立:ガバナンス枠組みを実施し、AIモデルを継続的にテストし、規制順守を確保する。
4. Embed Safety and Security: Maintain oversight, ensure transparency, and integrate AI into incident response plans. 4. 安全性とセキュリティの組み込み:監視を維持し、透明性を確保し、AIをインシデント対応計画に統合する。
“The integration of AI into critical infrastructure brings both opportunity and risk,” said Nick Andersen, Executive Assistant Director for Cybersecurity. “While AI can enhance the performance of OT systems that power vital public services, it also introduces new avenues for adversarial threats. That’s why CISA, in close coordination with our U.S. and international partners, is committed to providing clear, actionable guidance. We strongly encourage OT owners and operators to apply the principles in this joint guide to ensure AI is implemented safely, securely, and responsibly.” サイバーセキュリティ担当執行副局長ニック・アンデルセンは次のように述べた。 「重要インフラへのAI統合は機会とリスクの両方をもたらす。AIは公共サービスを支えるOTシステムの性能向上に寄与する一方、新たな敵対的脅威の経路も生み出す。そのためCISAは、米国及び国際パートナーと緊密に連携し、明確で実践可能な指針の提供に取り組んでいる。OTの所有者及び運用者は、本共同ガイドの原則を適用し、AIが安全かつ確実に、責任を持って導入されるよう強く推奨する」
This joint guide focuses on machine learning (ML)- and large language model (LLM)-based AI, and AI agents. However, this guidance may also be applied to systems augmented with traditional statistical modeling and other logic-based automation.  本共同ガイドラインは、機械学習(ML)および大規模言語モデル(LLM)ベースのAI、ならびにAIエージェントに焦点を当てている。ただし、従来の統計モデリングやその他の論理ベースの自動化で強化されたシステムにも適用可能である。
In addition to ASD’s ACSC, this joint guide was developed in collaboration with the 本共同ガイドラインは、ASD傘下のACSCに加え、以下の機関との協力により策定された。
National Security Agency’s Artificial Intelligence Security Center (NSA AISC) 国家安全保障局(NSA)人工知能セキュリティセンター(AISC)
Federal Bureau of Investigation (FBI) 連邦捜査局(FBI)
Canadian Centre for Cyber Security (Cyber Centre) カナダサイバーセキュリティセンター(Cyber Centre)
German Federal Office for Information Security (BSI) ドイツ連邦情報セキュリティ庁(BSI)
Netherlands National Cyber Security Centre (NCSC-NL) オランダ国家サイバーセキュリティセンター(NCSC-NL)
New Zealand National Cyber Security Centre (NCSC-NZ) ニュージーランド国家サイバーセキュリティセンター(NCSC-NZ)
United Kingdom National Cyber Security Centre (NCSC-UK) 英国国家サイバーセキュリティセンター(NCSC-UK)
For more information on related resources, visit CISA’s Artificial Intelligence and Industrial Control Systems webpages. 関連リソースの詳細については、CISAの「人工知能」と「産業制御システム」ウェブページを参照のこと。

 

・2025.12.03 Principles for the Secure Integration of Artificial Intelligence in Operational Technology

Principles for the Secure Integration of Artificial Intelligence in Operational Technology 運用技術における人工知能の安全な統合に関する原則
Artificial intelligence (AI) has the potential to increase efficiency and productivity, enhance decision-making, cut costs and improve customer experience, but introducing AI in operational technology (OT) environments can introduce risks that require careful management to support the safety, security, and reliability of OT systems. 人工知能(AI)は効率性と生産性の向上、意思決定の強化、コスト削減、顧客体験の改善をもたらす可能性を秘めている。しかし運用技術(OT)環境にAIを導入する際には、OTシステムの安全性、セキュリティ、信頼性を支えるために慎重な管理を必要とするリスクが生じる。
CISA and the Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC), in collaboration with federal and international partners, co-authored this joint cybersecurity guidance for critical infrastructure owners and operators integrating AI into their OT systems. This guidance outlines four key principles owners and operators can follow to realize the benefits of integrating AI into OT systems while reducing risk. It focuses on machine learning, large language model-based AI, and AI agents because of the complex security considerations and challenges they pose, but the guidance also applies to systems augmented with traditional statistical modeling and logic-based automation. The authoring agencies encourage critical infrastructure owners and operators to review and follow this guidance to achieve a more balanced approach to integrating AI into their OT environments and to continuously monitor, validate, and refine their AI models.   CISAとオーストラリア信号局(ASD)傘下のオーストラリアサイバーセキュリティセンター(ACSC)は、連邦および国際的なパートナーと連携し、OTシステムにAIを統合する重要インフラの所有者・運営者向けに、この共同サイバーセキュリティガイダンスを共同作成した。本ガイダンスは、OTシステムへのAI統合によるメリットを実現しつつリスクを低減するために、所有者・運営者が従うべき4つの主要原則を概説する。本ガイダンスは、複雑なセキュリティ上の考慮事項と課題を伴う機械学習、大規模言語モデルベースのAI、AIエージェントに焦点を当てているが、従来の統計モデリングや論理ベースの自動化で強化されたシステムにも適用される。作成機関は、重要インフラの所有者および運営者が本ガイダンスを確認し遵守することで、OT環境へのAI統合においてよりバランスの取れたアプローチを実現し、AIモデルを継続的に監視、妥当性確認、改善することを推奨する。

 

原則...

・[PDF]

20251207-73333

・[DOCX][PDF] 仮訳

 

 

 

 

 

 

| | Comments (0)

2025.12.07

金融庁 G7サイバー・エキスパート・グループによる金融セクターにおける集団的なサイバーインシデントへの対応及び復旧に関するG7の基礎的要素  (2025.12.03)

こんにちは、丸山満彦です。

G7サイバー・エキスパート・グループ(Cyber Expert Group)の「金融セクターにおける集団的なサイバーインシデントへの対応及び復旧に関するG7の基礎的要素」を金融庁が公表していますね...

 

G7 CYBER EXPERT GROUP (米国連邦財務省内)

・2025.09.18 [PDF] G7 Fundamental Elements of Collective Cyber Incident Response and Recovery in the Financial Sector

The G7 Fundamental Elements of Collective Cyber Incident Response and Recovery in the Financial Sector are non-binding, high-level principles that may guide the establishment and refinement of cyber incident response and recovery arrangements across the financial sector and beyond. They aim to facilitate greater convergence and compatibility among different approaches, while allowing flexibility and tailoring to national, sectoral, or organizational needs based on the unique markets and regulations within each jurisdiction. G7金融セクターにおける集団的サイバーインシデント対応・復旧の基本要素は、拘束力のない高水準の原則である。これらは金融セクター内外におけるサイバーインシデント対応・復旧体制の構築と改善を導く指針となり得る。異なるアプローチ間の整合性と互換性を高めることを目的としつつ、各管轄区域の固有の市場や規制に基づき、国家・セクター・組織のニーズに応じた柔軟性と適応性を認めている。

20251206-84450

 

● 金融庁

・2025.12.03 G7サイバー・エキスパート・グループによる金融セクターにおける集団的なサイバーインシデントへの対応及び復旧に関するG7の基礎的要素の公表について

・[PDF]

20251206-84422

 

 


 

I. Establishing the CCIRR Arrangement  I. CCIRR アレンジメントの策定 
Element 1: Governance  要素1:ガバナンス 
Establish strong governance with clearly focused objectives, scope, an appropriate group composition and defined roles.  明確化された目的、適用範囲、適切なグループ構成、及び規定された役割を伴う、強固なガバナンスを確立する。 
Element 2: Coordination protocols  要素2:調整プロトコル
Establish mechanisms and procedures to ensure efficient CCIRR coordination.  効果的なCCIRRアレンジメントを確保するための仕組み及び手続を確立する。 
Element 3: Interoperability with other frameworks  要素3:他の枠組みとの相互運用性
Ensure frictionless coordination and foster synergies with other relevant forums.  円滑な調整を確実なものとし、他の関連するフォーラムとの相乗効果を促進する。 
II. Utilizing the CCIRR Arrangement  II. CCIRR アレンジメントの運用 
A CCIRR Arrangement defines resilient response tools and methods and prepares for clear, effective and timely crisis communication.  CCIRR アレンジメントは、強靭な対応手段と方法を規定し、明確で効果的かつ適時の危機時のコミュニケーションを準備する。 
Element 4: Response and recovery tools and methods  要素4:対応と復旧のためのツール及び方法
Identify, define and establish potential response and recovery tools and methods in advance.  想定される対応と復旧のツール及び方法を事前に特定し規定し確立する。 
Element 5: Crisis communication  要素5:危機時のコミュニケーション 
Establish a crisis communication strategy among members to ensure timely and effective messaging to relevant stakeholders in the event of an incident, and prepare strategies to manage misinformation and disinformation, and customer communications.  インシデントが発生した場合に関連するステークホルダーへの適時かつ効果的なメッセージの発信を確保するためにメンバー間で危機時のコミュニケーション戦略を確立し、誤情報や偽情報、及び顧客とのコミュニケーションを管理するための戦略を準備する。 
Element 6: Resilience of the CCIRR Arrangement  要素6:CCIRR アレンジメントのレジリエンス
Ensure the resilience of the CCIRR Arrangement by identifying fallback solutions and ensuring sufficient resources for CCIRR.  代替的な解決策を用意し、CCIRRのための十分なリソースを確保することにより、CCIRRアレンジメントのレジリエンスを確保する。 
III. Maintaining and testing the CCIRR Arrangement  III. CCIRR アレンジメントの維持及び検証 
Regular testing, exercises and continuous improvement strenghten a CCIRR Arrangement. Moreover CCIRR Arrangements function more effectively when supported by established trust relationships and threat intelligence.  定期的な検証、演習及び継続的な改善は、CCIRR アレンジメントを強化する。さらに、 CCIRR アレンジメントは、確立された信頼関係及び脅威インテリジェンスによって支えられる場合、より効果的に機能する。 
Element 7: Testing and exercising  要素7:検証と演習 
Conduct regular tests and exercises to ensure the effectiveness of the CCIRR Arrangement and coordination protocol.  CCIRRアレンジメント及び調整プロトコルの実効性を確保するため、定期的な検証及び演習を実施する。 
Element 8: Continuous improvement  要素8:継続的改善 
Continuously improve the established CCIRR Arrangement and sustain members’ activities outside of a crisis.  確立されたCCIRRアレンジメントを継続的に改善し、メンバーの平時の活動を維持する。 
Element 9: Continuous threat intelligence  要素9:継続的な脅威インテリジェンス
Build and strengthen threat intelligence capabilities.  脅威インテリジェンスの能力を構築・強化する。 
Element 10: Trusted community  要素 10:信頼されるコミュニティ
Create and maintain an environment of mutual trust among members.  メンバーの相互信頼関係を醸成し、維持する。 

 

対訳的なもの...

Continue reading "金融庁 G7サイバー・エキスパート・グループによる金融セクターにおける集団的なサイバーインシデントへの対応及び復旧に関するG7の基礎的要素  (2025.12.03)"

| | Comments (0)

2025.12.06

欧州 Europolが暗号資産を使った資金洗浄ネットワークを摘発し7億ユーロ(約1260億円)の資金洗浄を阻止 (2025.12.04)

こんにちは、丸山満彦です。

Europolが暗号資産を使った資金洗浄ネットワークを摘発し7億ユーロ(約1260億円)の資金洗浄を阻止と発表していますね...

協力したのは、ベルギー、ブルガリア、キプロス、フランス、ドイツ、イスラエル、マルタ、スペインの捜査機関等のようですね...欧州以外にもイスラエルが協力していますね...

ランサムウェア犯罪と暗号資産による資金洗浄はセットになっているように思いますので、暗号資産関連事業者との協力というのも重要ですよね...

 

● EUROPOL

・2025.12.04 International takedown of cryptocurrency fraud network laundering over EUR 700 million

 

International takedown of cryptocurrency fraud network laundering over EUR 700 million 国際的な暗号通貨詐欺ネットワーク摘発、7億ユーロ超の資金洗浄を阻止
The final actions in a sweeping international operation have successfully dismantled a large-scale cryptocurrency fraud and money laundering network that had laundered over EUR 700 million. Coordinated across multiple jurisdictions, these actions, carried out last month and earlier this week, mark the culmination of years of investigation and the effective disruption of a criminal operation that spanned Europe and beyond. 大規模な国際捜査の最終段階において、7億ユーロ超の資金を洗浄していた大規模な暗号通貨詐欺・資金洗浄ネットワークの解体に成功した。複数の管轄区域で調整された今回の措置は、先月および今週初めに実施され、欧州をはじめとする広範囲に及ぶ犯罪組織の活動を効果的に阻止する、数年にわたる捜査の集大成となった。
What began as an investigation into a single fraudulent cryptocurrency platform gradually unfolded into a complex, far-reaching operation, revealing a vast network of deceit and money laundering. 単一の詐欺的仮想通貨プラットフォームへの調査として始まった捜査は、次第に複雑で広範な活動へと発展し、巨大な詐欺・資金洗浄ネットワークの存在を明らかにした。
The criminal network operated numerous fake cryptocurrency investment platforms, luring thousands of victims with sophisticated advertisements promising high returns. The victims were then repeatedly contacted by criminal call centres, where callers used social engineering to pressure victims into making further payments by showing them inflated returns on fake trading platforms. この犯罪ネットワークは多数の偽仮想通貨投資プラットフォームを運営し、高収益を約束する洗練された広告で数千人の被害者を誘引した。その後、犯罪者によるコールセンターが被害者に繰り返し連絡し、偽の取引プラットフォーム上で水増しされた収益を示すことでソーシャルエンジニアリングを用い、追加支払いを強要した。
Once victims had transferred their cryptocurrency, the funds were stolen and laundered across various blockchains and cryptocurrency exchanges. As investigators peeled back the layers of the operation, it became clear that the network had grown far beyond a single fraud scheme, involving multiple fraudulent platforms and sophisticated financial infrastructure spanning Europe and beyond. 被害者が仮想通貨を送金すると、資金は様々なブロックチェーンや仮想通貨取引所を跨いで盗まれ、洗浄された。捜査当局が組織の構造を解明するにつれ、このネットワークが単一の詐欺スキームをはるかに超え、欧州内外に広がる複数の詐欺プラットフォームと高度な金融インフラを包含していることが明らかになった。
A coordinated disruption across multiple countries 複数国にまたがる同時摘発
On 27 October 2025, the first phase of the operation was executed, with coordinated police raids across Cyprus, Germany and Spain at the request of French and Belgian authorities. These initial actions led to the arrest of nine individuals suspected of laundering illicit funds generated by fraudulent cryptocurrency platforms. 2025年10月27日、フランスとベルギー当局の要請を受け、キプロス、ドイツ、スペインで警察による同時捜索が実施され、作戦の第一段階が実行された。この初期行動により、詐欺的な仮想通貨プラットフォームで生み出された不正資金の洗浄に関与した疑いのある9名が逮捕された。
Authorities seized millions of euros in assets, including: 当局は以下の資産を数百万ユーロ相当差し押さえた:
・EUR 800 000 in bank accounts ・銀行口座から80万ユーロ
・EUR 415 000 in cryptocurrencies ・仮想通貨41万5千ユーロ
・EUR 300 000 in cash ・現金30万ユーロ
・Digital devices ・デジタル機器
・High-value watches ・高級腕時計
The operation was carried out in close collaboration with national authorities from France, Belgium, Germany, Spain, Malta, Cyprus and other countries. Europol and Eurojust supported this first phase of the investigation. 本作戦はフランス、ベルギー、ドイツ、スペイン、マルタ、キプロス等の各国当局と緊密に連携して実施された。欧州刑事警察機構及び欧州司法機構が捜査第一段階を支援した。
Second phase targets affiliate marketing infrastructure 第二段階はアフィリエイトマーケティング基盤を標的とする
The second phase, targeting another key pillar of the investment fraud ecosystem, took place on 25 and 26 November 2025. It focused on the affiliate marketing infrastructure that supports these online scams. Coordinated actions were taken against the companies and suspects behind fraudulent advertising campaigns on social media platforms. In recent years, deceptive advertisements impersonating renowned media outlets, celebrities and politicians – often using deepfake videos - have posed a significant global challenge. The data of potential investors obtained through manipulated advertising, even on reputable platforms, is crucial to the functioning of the crypto-scam industry as a whole. 投資詐欺エコシステムのもう一つの主要基盤を標的とした第二段階は2025年11月25日及び26日に実施された。オンライン詐欺を支えるアフィリエイトマーケティング基盤に焦点を当てた。ソーシャルメディアプラットフォーム上の詐欺的広告キャンペーンに関与した企業及び容疑者に対し、調整された行動が取られた。近年、著名なメディア機関、有名人、政治家を装った欺瞞的な広告(しばしばディープフェイク動画を使用)が、世界的な重大な課題となっている。信頼できるプラットフォーム上であっても、操作された広告を通じて入手された潜在的投資家のデータは、暗号通貨詐欺業界全体の機能にとって極めて重要である。
During the action days, law enforcement teams in Belgium, Bulgaria, Germany and Israel carried out searches and additional operational measures with Europol’s support. Targets included companies that had previously offered affiliate marketing services. 行動期間中、ベルギー、ブルガリア、ドイツ、イスラエルの法執行機関は欧州刑事警察機構の支援のもと、捜索及び追加作戦を実施した。対象には過去にアフィリエイトマーケティングサービスを提供した企業も含まれた。
Significant infrastructure dismantled 重要なインフラを解体
The joint measures taken in October and November represent a coordinated strike against the various pillars of the online crypto fraud industry. 10月と11月に実施された共同措置は、オンライン暗号詐欺産業の様々な支柱に対する協調攻撃を意味する。
The scale of this criminal operation is vast. The investigation uncovered more than EUR 700 million laundered through a labyrinth of cryptocurrency exchanges, exploiting digital anonymity to conceal illicit flows. Following these two coordinated actions and multiple arrests and seizures, investigative authorities will continue to track the criminal organisation’s assets in the countries where it operates and resides. この犯罪活動の規模は膨大である。調査により、暗号通貨取引所の複雑なネットワークを通じて7億ユーロ以上が洗浄され、デジタル匿名性を悪用して不法な資金の流れが隠蔽されていた事実が明らかになった。これら二つの連携行動と複数の逮捕・押収に続き、捜査当局は犯罪組織が活動・居住する各国において、その資産の追跡を継続する。
Europol’s support in coordinating this investigation 欧州刑事警察機構の捜査調整支援
Europol played a central role in facilitating the cross-border coordination of the operation, providing both operational and analytical support to ensure its success. 欧州刑事警察機構は作戦の越境調整を促進する中心的な役割を果たし、成功を確実にするため運用面と分析面の双方の支援を提供した。
Key contributions from Europol included: 欧州刑事警察機構の主な貢献は以下の通りである:
・Operational meetings involving law enforcement agencies from all participating countries to coordinate operational strategy and intelligence. ・参加国全ての法執行機関を巻き込んだ作戦会議の開催。作戦戦略と情報共有の調整を目的とした。
・Logistical support for the action days, assisting with operational arrangements and resources. ・行動日のための後方支援。作戦手配と資源確保の補助を行った。
・Deployment of dedicated case specialists and analysts to cross-check data, develop intelligence and ensure key insights were shared among partners. ・専任の事件専門家と分析官の展開。データの照合、情報開発、主要な知見のパートナー間共有を確実にした。
・Deployment of a cryptocurrency specialist to support efforts in identifying and seizing illicit cryptocurrency. ・暗号資産専門家の展開による、違法暗号資産の識別・押収支援
・Operational and crypto-analysis intelligence products, which provided crucial insights into the movement of illicit funds and the structure of the fraud network. ・作戦情報及び暗号分析情報製品による、違法資金の移動経路及び詐欺ネットワーク構造に関する重要知見の提供
Participating authorities 参加当局
・Belgium: Federal Judicial Police Limburg (Police Judiciaire Fédérale Limburg) ・ベルギー:連邦司法警察リンブルグ(Police Judiciaire Fédérale Limburg)
・Bulgaria: Bulgarian Cybercrime Directorate, General Directorate Combating Organized Crime ・ブルガリア:ブルガリアサイバー犯罪対策局、組織犯罪対策総局
・Cyprus: Cyprus Police ・キプロス:キプロス警察
・France: National Gendarmerie (Gendarmerie Nationale) ・フランス:国家憲兵隊(Gendarmerie Nationale)
・Germany: Bavarian Central Office for the Prosecution of Cybercrime, Police Headquarters Chemnitz (Polizeidirektion Chemnitz), Police Headquarters Görlitz (Polizeidirektion Görlitz), Criminal Investigation Department Würzburg, Police Headquarters Düsseldorf (and others) ・ドイツ:バイエルン州サイバー犯罪検察中央局、ケムニッツ警察本部(Polizeidirektion Chemnitz)、ゲルリッツ警察本部(Polizeidirektion Görlitz)、ヴュルツブルク刑事捜査部、デュッセルドルフ警察本部 (その他)
・Israel: National Cybercrime Unit, Intelligence Division ・イスラエル:国家サイバー犯罪対策部、情報ディビジョン
・Malta: Malta Police ・マルタ:マルタ警察
・Spain: National Police (Policía Nacional), Spanish Regional Police of Catalonia-Mossos d'Esquadra (Mossos d'Esquadra) ・スペイン:国家警察(Policía Nacional)、カタルーニャ地方警察モッソス・デ・エスクアドラ(Mossos d'Esquadra)
Empact エンパクト
The European Multidisciplinary Platform Against Criminal Threats (EMPACT) tackles the most important threats posed by organised and serious international crime affecting the EU. EMPACT strengthens intelligence, strategic and operational cooperation between national authorities, EU institutions and bodies, and international partners. EMPACT runs in four-year cycles focusing on common EU crime priorities. 欧州犯罪脅威対策多分野プラットフォーム(エンパクト)は、EUに影響を及ぼす組織的かつ重大な国際犯罪がもたらす最重要の脅威に対処する。エンパクトは、各国当局、EU機構・団体、国際パートナー間の情報、戦略的・運用上の連携を強化する。エンパクトは4年周期で運営され、EU共通の犯罪対策優先事項に焦点を当てる。

 

1_20251120121101

 

 

| | Comments (0)

2025.12.05

第30回サイバー犯罪に関する白浜シンポジウムのウェブサイトがオープン 「これからの”連携”を考える」

こんにちは、丸山満彦です。

2026年で30回目となるサイバー犯罪に関する白浜シンポジウム(2026.05-21-23)のウェブサイトがオープンしました。

今年は会場もBig-Uから白浜会館(講演会)、総合体育館(企業展示ブース)、青少年研修センター(セキュリティ道場)に変更となります。

警察BOF以外のBOFはホテルシーモアでいつもと同じです。

個人的にはBig-Uには思い出もあって好きなのですが、人気シンポジウムで手狭となりましたからね...

肝心のテーマは「これからの”連携”を考える」です。

もともと、白浜シンポジウムは官民学の連携で始まっているんです。しかも、昔はFBI国土安全保障省(DHS)の高官なども招聘していたのです。それの人材を引っ張ってきていたのが、ISACA大阪。そして、和歌山大学もサポートをしてくれていました。

なので、「これまでも連携」だったわけですが、これまでを踏まえて「これからの”連携”を考える」ということだと思います。

 

サイバー犯罪に関する白浜シンポジウム

・2025.12.03 第30回 サイバー犯罪に関する白浜シンポジウム

20251205-22848


第30回サイバー犯罪に関する白浜シンポジウム テーマ

 これからの”連携”を考える

≪趣旨≫

「コンピュータ犯罪に関する白浜シンポジウム」は産・官・学各界のキーパーソンを一同に集めて温泉につかりながら情報交換を行うことで、互いの“連携”を円滑にすることを目的に始まりました。

時は流れ、「サイバー犯罪に関する白浜シンポジウム」となった今、サイバー犯罪は高度化の一途を辿り、緊迫する国際情勢の下で、サイバー諜報やテロ活動が活発化する一方です。

サイバー対処能力強化法や経済安全保障促進法の実効性を高めるためにも、業界内、異なる業界、官民、産官学といった組織間などの様々なところでの人材交流を含めたより一層の“連携”が求められています。

ただ、連携といっても異なる組織文化、異なる目的・背景を持つ組織間の連携は一筋縄ではいきません。

白浜シンポジウムが30年目を迎える今、これからの “連携”について皆様と濃密な議論をしたいと思います。

様々な分野からのご参加をお待ちしています。


 

様々な分野からの参加を待っていますということです!

過去のテーマは...

2026 第30回 これからの”連携”を考える
2025 第29回 アイデンティティを問い直す:匿名、なりすまし、ペルソナ、そして人ならざるもの
2024 第28回 激変する環境、複雑化するサイバー犯罪にどう立ち向かうのか?
2023 第27回 足りない人材、 追いつかない育成、次の一手は?
2022 第26回 顕在化する国境なきサイバー犯罪に立ち向かうために
~ ランサムウェアの脅威を考える ~
2021 第25回 今こそ考えるサイバー空間の「信頼」
~クラウドセキュリティとゼロトラストネットワーク~
2020 第24回 AIはサイバーセキュリティの夢を見るか?
2019 第23回 メガイベントのセキュリティ対策
~デジタル時代のイベントに対して、我々は何をすべきか~
2018 第22回 『若者とサイバー犯罪:被害者・加害者・傍観者』
2017 第21回 先見の明 IoT&AI犯罪の被害者をどう救うのか?
2016 第20回 サイバー犯罪 温故知新
2015 第19回 IT内部犯行をどう防ぐか
2014 第18回 サイバー犯罪の抑止とダメージコントロール
2013 第17回 追跡困難な新しいネット犯罪にどう立ち向かうか
2012 第16回 サイバー攻撃にどう備えるか
2011 第15回 クラウド時代のセキュリティ対策
2010 第14回 有害サイトから、子ども(我が身)を守ろう
2009 第13回 ウイルスとマルウェアの脅威 ~あなたの生活が狙われている~
2008 第12回 国民総ネット化時代の情報安全教育
2007 第11回 多様化するサイバー犯罪とその対策
2006 第10回 これまでの10年、これからの10年
2005 第09回 顔の見えないネット社会 ~匿名性を考える~
2004 第08回 ユビキタス時代の個人情報保護
2003 第07回 e-japanを考える
2002 第06回 電子政府への期待と懸念
2001 第05回 サイバー社会の防衛のための国際協力
2000 第04回 サイバー社会の防衛
1999 第03回 ネットワーク時代のコンピュータ 犯罪
1998 第02回  
1997 第01回  

 

 


まるちゃんの情報セキュリティ気まぐれ日記

・2025.05.23 第29回サイバー犯罪に関する白浜シンポジウム 「アイデンティティを問い直す:匿名、なりすまし、ペルソナ、そして人ならざるもの」

・2023.05.27 サイバー犯罪に関する白浜シンポジウム 第27回 - 足りない人材、 追いつかない育成、次の一手は?

・2022.05.27 第26回サイバー犯罪に関する白浜シンポジウム 顕在化する国境なきサイバー犯罪に立ち向かうために~ ランサムウェアの脅威を考える ~

・2021.05.22 第25回サイバー犯罪に関する白浜シンポジウムが終了しました。。。

・2020.10.25 『スマートサイバー AI活用時代のサイバーリスク管理』第24回 サイバー犯罪に関する白浜シンポジウムの発表資料

 

・2012.05.27 白浜シンポおわりました! 今年で16回目

・2011.05.14 まもなく白浜シンポ! 今年で15回目

・2011.04.16 第15回サイバー犯罪に関する白浜シンポジウム

・2010.06.04 第14回 サイバー犯罪に関する白浜シンポジウム はじまってます。。。

・2010.04.11 第14回サイバー犯罪に関する白浜シンポジウム

・2009.06.05 第13回 サイバー犯罪に関する白浜シンポジウム はじまってます。。。

・2008.10.01 白浜シンポ 経済産業大臣表彰「情報セキュリティ促進部門」

・2008.07.14 日本のインターネットはどうなんのよ。。。

・2008.06.07 白浜シンポ無事終了。来年もできるように。

・2008.06.06 「どこまで情報セキュリティ対策をすればよいのかわからない」という不満について

・2008.06.06 学校の先生は教育できるだけの知識があるのだろうか?@白浜

・2008.06.05 今日から「第12回サイバー犯罪に関する白浜シンポジウム」です。。。

・2008.04.15 第12回サイバー犯罪に関する白浜シンポジウム

・2007.06.09 白浜シンポ 無事終了・・・

・2007.06.09 白浜シンポ 無事、二日目終了・・・

・2007.06.08 白浜シンポ 無事、初日終了・・・

・2007.06.07 本日より・・・第11回サイバー犯罪に関する白浜シンポジウム

・2007.03.29 第11回サイバー犯罪に関する白浜シンポジウム

・2006.05.25 本日より・・・第10回コンピュータ犯罪に関する白浜シンポジウム

・2006.04.03 受付開始! 第10回コンピュータ犯罪に関する白浜シンポジウム

・2005.04.03 コンピュータ犯罪に関する白浜シンポジウム 2005

・2004.12.17 MSのセキュリティレスポンスチームが高校の授業

 

 

| | Comments (0)

米国 NIST AI 700-2 AIのリスクと影響の評価(ARIA) ARIA 0.1:パイロット評価報告書 (2025.11.17)

こんにちは、丸山満彦です。

NISTが信頼性と責任ある人工知能のシリーズNIST AI 700-2 AIのリスクと影響の評価(ARIA) ARIA 0.1:パイロット評価報告書を公表していますね...

NISTのAIリスク・影響アセスメント評価(ARIA)パイロット版:ARIA 0.1の評価手順を説明したものです。この後詳細版もだすようです...

パイロットには、5つの組織が参加し、評価対象として合計7つのAIアプリケーションを提出しているようですが、この回の報告書では、本稿では3つの評価シナリオ

  • TVネタバレ
  • 食事プランナー
  • パスファインダー

についての報告のようです。

テストについては次の3つ、

  1. モデルテスト(アプリケーション機能の確認)
  2. レッドチームテスト(プリケーションの負の挙動を引き出す)
  3. フィールドテスト(アプリケーションの実用的な使用状況を観察)

の設計について説明していますね...

また、

  • 対話注釈
  • 質問票

をつかったアセスメント手法についても説明がありますね...

そして、測定ツリーを用いたAIアプリケーションの妥当性確認アプローチについて説明がありますね...

日本もAIの普及にむけた品質評価のフレームワーク等を定めていく必要がありますね...

 

NIST - ITL 

Assessing Risks and Impacts of AI

・2025.11.17 [PDF] AI 700-2 Assessing Risks and Impacts of AI (ARIA) ARIA 0.1: Pilot Evaluation Report

20251204-83107

・[DOCX][PDF] 仮訳 (図3、4、5除く)

 

 

| | Comments (0)

2025.12.04

欧州委員会 AI法についての内部通報ツールの発表 (2025.11.24)

こんにちは、丸山満彦です。

欧州委員会がAI法についての内部通報ツールを発表していますね...

こういうのを整備することはAI法の実装の実効性を高めるために有益なような気がします...

実務界では「密告制度のようなものをつくると事業者が萎縮し、AIの利用促進が阻害される」と反対する声があるのかもしれません(さすがに今時ないか...)が、中途半端に正確な情報をSNS等に晒されて被害を被るよりは、事業者も適切に対応できるような気がするので、適正な市場形成には貢献できると思います...

 

European Commisson

AI Act Whistleblower Tool

AI Act Whistleblower Tool AI法内部通報ツール
The AI Act Whistleblower Tool is a secure channel set up by the European AI Office for individuals who wish to anonymously report potential breaches of the AI Act, thereby contributing to the safe and transparent development of AI technologies. AI法内部通報ツールは、欧州AI事務局が設置した安全な通報経路である。本ツールは、AI法の潜在的な違反を匿名で報告したい個人向けに設計されており、AI技術の安全かつ透明性のある発展に貢献する。
The European AI Office, established within the European Commission, is the centre of AI expertise and forms the foundation for a single European AI governance system. Reporting directly to the AI Office helps us to strengthen our ability to detect and address violations early on. 欧州委員会内に設置された欧州AI事務局は、AI専門知識の中核機関であり、欧州単一AIガバナンスシステムの基盤を形成する。AI事務局への直接通報は、違反行為を早期に検知・対処する能力強化に役立つ。
Reports are submitted anonymously in any EU language and can be supported by relevant documents both upon initial submission and during the course of bi-directional communication with the AI Office via a secure inbox. The highest level of confidentiality is guaranteed. 通報はEU加盟国のいずれかの言語で匿名で提出可能であり、初回提出時および安全な受信箱を介したAI事務局との双方向コミュニケーションの過程において、関連文書を添付できる。最高レベルの機密性が保証される。
A key feature of the tool is its secure inbox, which allows for continued communication between the whistleblower and the AI Office without compromising anonymity. Through this inbox, the AI Office can acknowledge receipt, request clarification, and provide feedback on the handling of the report. 本ツールの主要機能は安全な受信箱であり、通報者とAI事務局の間で匿名性を損なうことなく継続的なコミュニケーションを可能にする。この受信箱を通じて、AI事務局は報告の受領確認、説明の要求、報告の処理に関するフィードバックを提供できる。
We highly value the trust in bringing matters to our attention and are committed to handling every report with the utmost care, diligence, and integrity. 我々は、問題提起に対する信頼を高く評価し、全ての報告を最大限の注意、勤勉さ、誠実さをもって処理することを約束する。
For more information on whistleblower protection, confidentiality, information processing, and the functioning of the tool, please consult our FAQs. 内部通報者の保護、機密性、情報処理、およびツールの機能に関する詳細は、FAQを参照のこと。

 

FAQs

FAQs よくある質問
Why should I submit a report? なぜ報告を提出すべきか?
Compliance with the EU AI Act helps to ensure that AI is being developed in a way that upholds fundamental rights, protects health and safety, and fosters public trust in AI technologies. EU AI法の遵守は、AIが基本的人権を尊重し、健康と安全を保護し、AI技術に対する公衆の信頼を育む形で開発されることを保証するのに役立つ。
If you are professionally connected to an AI model provider — whether as a current or former employee, a self-employed collaborator, a shareholder, or a member of the company’s administrative, management, or supervisory body — you may be among the first to notice potential breaches of the law. Your unique position enables you to detect irregularities that could otherwise go unnoticed. AIモデルプロバイダと職業上の関係がある者(現職・元従業員、自営業の協力者、株主、または会社の管理・経営・監督団体のメンバー)は、法令違反の可能性をいち早く察知できる立場にある。その特異な立場により、通常は見過ごされがちな不審点を発見できるのだ。
The European AI Office supports the development and use of trustworthy AI, while protecting against AI risks. Established within the European Commission, the AI Office is the centre of AI expertise and forms the foundation for a single European AI governance system. By reporting directly to us, you help strengthen our ability to detect violations early on. 欧州AI事務局は、信頼できるAIの開発と利用を支援すると同時に、AIリスクから防御する。欧州委員会内に設置されたAI事務局は、AI専門知識の中核であり、単一の欧州AIガバナンスシステムの基盤を形成する。当局に直接報告することで、違反を早期に検知する能力を強化する助けとなる。
More information about the AI Act can be accessed here: AI Act | Shaping Europe’s digital future AI法に関する詳細は以下を参照:AI法|欧州のデジタル未来を形作る
How am I protected? 保護措置について
The European AI Office protects your status as a whistleblower by maintaining confidentiality and safeguarding your anonymity. Please refer to our Confidentiality Policy for details on how we fulfil this commitment. This helps to prevent retaliation against you by your employer. 州AI事務局は、機密保持と匿名性の保護により内部告発者の地位を守る。この約束の履行方法については、機密保持方針を参照のこと。これにより雇用主による報復行為を防止する。
Apart from this, currently, there is no legal protection against retaliation by your employer for breaching non-disclosure agreements or similar contractual terms by your reporting of potential breaches of the AI Act. From 2 August 2026 onwards, however, such reports will fall within the scope of the Whistleblower Directive, which provides legal protection against retaliation. ただし現時点では、AI法の潜在的違反を報告したことで雇用主が秘密保持契約や類似の契約条項を破った場合、報復行為に対する法的保護は存在しない。しかし2026年8月2日以降は、こうした報告が内部告発者指令の適用範囲に含まれ、報復行為に対する法的保護が提供される。
Until then, only some AI-related activities may fall within the scope of the Directive, particularly concerning product safety, consumer protection, privacy and personal data, and information security. To benefit from the protection granted by the Directive, your professional relationship must be governed by EU law (e.g., you work in the EU or you are employed under an EU contract). Protection under the EU Whistleblower Directive does not depend on whether an investigation subsequently confirms a violation of the law. Rather, whistleblowers are protected if they had reasonable cause to believe that the information was true at the time of reporting, and that it constituted a violation of the law covered by the Directive. You may also submit your report to your national whistleblowing authority, where you will receive the safeguards established under the EU Whistleblower Directive — alternatively, and only with your express consent, we will forward your report to the relevant national authority as part of our follow-up. それまでは、特に製品安全、消費者保護、プライバシー及び個人データ、情報セキュリティに関する一部のAI関連活動のみが指令の適用対象となる可能性がある。指令による保護を受けるには、あなたの雇用関係がEU法に準拠している必要がある(例:EU域内で勤務している、またはEU契約に基づいて雇用されている)。EU内部告発者指令による防御は、調査の結果法違反が確認されたか否かには依存しない。むしろ、告発者が報告時点で情報が真実であると合理的な根拠を持って信じ、かつそれが指令の対象となる法違反を構成すると考えていた場合に防御される。報告は自国の内部通報機関へ提出することも可能であり、その場合EU内部通報者保護指令に基づく保護措置が適用される。あるいは、本人の明示的な同意を得た場合に限り、当社がフォローアップの一環として関連する国内当局へ報告を転送する。
How is confidentiality ensured throughout the process? プロセス全体での機密性はどのように確保されるのか?
The overarching principle behind the AI Act Whistleblower Tool is to provide a secure and confidential reporting channel through which individuals can report suspected breaches of the AI Act directly to the European AI Office. This applies regardless of whether the AI Office is the competent authority for the incoming report. AI法内部告発ツールの基本原則は、個人がAI法違反の疑いを欧州AI事務局に直接報告できる安全かつ機密性の高い報告経路を提供することである。これは、AI事務局が当該報告の管轄当局であるか否かを問わない。
Your report will be kept secure through encryption and other security functions that are certified by an independent body. As you submit your report anonymously, we ask you to not provide any personal data about you or about any other persons that could directly or indirectly reveal their identity (e.g., name of your work colleagues, email addresses, phone number). 報告内容は、独立機関により認証された暗号化技術及びその他のセキュリティ機能により保護される。匿名での報告を前提とするため、自身または他者の身元を直接・間接的に特定し得る個人データ(同僚の氏名、メールアドレス、電話番号等)の提供は控えるよう要請する。
Please do not use any technical device provided by your employer, such as a PC, smartphone, or Wi-Fi, to submit your report. We recommend that when submitting a report you formulate the description of the violation in such a way that, when any follow-up measures are taken, third parties have no possibility of drawing conclusions about your identity from the manner in which the facts are presented in the report. Use caution when documenting evidence, e.g., downloading information from work machines. 報告の提出には、雇用主が提供するPC、スマートフォン、Wi-Fiなどの技術機器を使用しないこと。報告を提出する際には、違反行為の説明を、追跡調査が行われた場合でも、報告内の事実の提示方法からサードパーティが報告者の身元を推測できないように構成することを推奨する。証拠の記録(例:業務用機器からの情報ダウンロード)には注意を払うこと。
The AI Office ensures that your report is not disclosed to anyone without your explicit consent beyond the limited staff members at the AI Office designated to receive or follow up on reports (see the question on how the AI Office processes your report). These staff members receive specific training for the purposes of handling reports. AI事務局は、報告を受領または追跡する権限を持つ事務局内の限定された職員以外には、あなたの明示的な同意なしに報告内容が開示されないことを保証する(報告の処理方法に関する質問を参照)。これらの職員は報告処理のために特別な訓練を受けている。
The set up of a secure inbox is required, as a bidirectional channel with the AI Office, to provide you with feedback on what is happening with your information or ask questions if further details are needed — you will also remain anonymous during this exchange. 安全な受信箱の設定は必須である。これはAI事務局との双方向チャネルとして機能し、情報の処理状況に関するフィードバックの提供や、追加情報が必要な場合の質問を可能にする。このやり取りにおいても匿名性は維持される。
For more information, please consult our Confidentiality Policy. 詳細は「機密保持方針」を参照のこと。
What sort of reports will help the AI Office? AI事務局に有益な報告とは?
Information about any internal practices of AI model providers that may violate the obligations set out in the AI Act, or on any other activities that could endanger fundamental rights, health, or public trust, is welcome. These obligations include documentation requirements, a copyright policy, and a training data summary (Article 53), as well as risk assessment and mitigation measures for the most advanced models (Article 55). AI法で定められた義務に違反する可能性のあるAIモデルプロバイダの内部慣行、あるいは基本的人権・健康・公共の信頼を脅かす活動に関する情報は歓迎される。義務には文書化要件、著作権方針、訓練データ概要(第53条)に加え、高度なモデルに対するリスクアセスメントと緩和措置(第55条)が含まれる。
Reports can be submitted in any EU language and be supported by relevant documents in any form, including internal memos, presentations, reports, data metrics, email exchanges, analyses, research, or similar documents. However, to protect your anonymity, please examine any file you choose to include carefully to ensure that it does not disclose your or other party’s identity and redact it where applicable. 報告はEUのどの言語でも提出可能であり、内部メモ、プレゼンテーション、報告書、データ指標、メールのやり取り、分析、研究、その他類似の文書など、あらゆる形式の関連書類を添付できる。ただし、匿名性を防御するため、添付するファイルは慎重に確認し、自身や他者の身元を明かさないよう、必要に応じて情報を削除すること。
Even if the report does not fall within the remit of the AI Office, we will still follow up with you within fourteen working days through your secure inbox and if possible, provide you with the relevant point of contact so that you can submit your report to the most suitable agency as soon as possible. 報告内容がAI局の管轄外であっても、14営業日以内にセキュアな受信箱を通じて連絡する。可能な場合は適切な窓口を案内し、速やかに適切な機関へ報告できるよう支援する。
What is the process for submitting information? How do I set up a secure inbox? 情報提出の手順は?セキュア受信箱の設定方法は?
To submit information, start by clicking the ‘Submit a report’ button located on the homepage. 情報提出は、ホームページの「報告を提出」ボタンから開始する。
On the next page, you can answer questions and provide a description of the relevant facts. Please ensure your answers are accurate, detailed, honest, and thorough. You can also submit up to five supporting files, each with a maximum size of 100 MBs. If you wish to submit files at a later moment or you wish to provide additional files, you can send them via the secure inbox (see below). 次のページで質問に回答し、関連する事実の説明を提供できる。回答は正確、詳細、誠実、かつ徹底したものにしてほしい。最大5つの補足ファイル(各ファイル最大100MB)も提出可能だ。後でファイルを提出したい場合や追加ファイルを提供したい場合は、セキュアな受信箱経由で送信できる(下記参照)。
You will then be asked to remain anonymous via the ‘Stay anonymous’ checkbox. As you are required to stay anonymous, please ensure that any information or files you provide do not disclose your identity or any third-party's identity (e.g., your work colleagues). その後、「匿名を保持する」チェックボックスで匿名性を維持するよう求められる。匿名保持が必須であるため、提供する情報やファイルが自身やサードパーティ(例:職場の同僚)の身元を明かさないよう注意すること。
When you submit a report, you will be asked to set up a secure inbox. This will allow us to establish a bi-directional channel with you without compromising your anonymity. This will enable you to anonymously send us follow-up information and receive feedback and updates on the progress of your report. It also allows the AI Office to ask follow-up questions and gather your consent for relevant next steps. 報告を提出する際、セキュアな受信箱の設定を求められる。これにより、匿名性を損なうことなく双方向の連絡経路を確立できる。これにより、追加情報を匿名で送信したり、報告の進捗に関するフィードバックや更新情報を受け取ったりできる。また、AIオフィスが追加質問をしたり、関連する次のステップへの同意を得たりすることも可能となる。
To set up the secure inbox, when you submit your report, you will be asked to create a password. Upon submission you will also receive a randomly generated Case ID alongside your confirmation. Please save them somewhere safe, as you will need both your Case ID and password to access your secure inbox. セキュアインボックスを設定するには、報告を提出する際にパスワードを作成する必要がある。提出後、確認メールと共にランダムに生成されたケースIDが通知される。ケースIDとパスワードの両方がセキュアインボックスへのアクセスに必要となるため、安全な場所に保管すること。
If you already have a secure inbox, you can access it directly via the ‘Secure Inbox’ button. 既にセキュアインボックスをお持ちの場合は、「セキュアインボックス」ボタンから直接アクセスできる。
How does the AI Office process my report? AIオフィスは報告をどのように処理するのか?
Upon receiving a report, it is promptly and securely entered into our database, in full compliance with strict confidentiality and information security standards. We are committed to maintaining open and transparent communication throughout the process via your secure inbox. 報告を受領すると、厳格な機密保持および情報セキュリティ標準を完全に遵守し、速やかに安全にデータベースへ登録される。当社は、セキュアな受信箱を通じて、プロセス全体を通じてオープンで透明性のあるコミュニケーションを維持することを約束する。
1. Your report will be received via a secure platform to which only three members of the AI Office staff have access to. The authorised staff was educated on their responsibility to maintain whistleblower confidentiality. 1. 報告は、AIオフィスのスタッフ3名のみがアクセス可能なセキュアなプラットフォーム経由で受信される。権限を持つスタッフは、内部告発者の機密保持責任について教育を受けている。
2. You will receive a formal acknowledgement of receipt within seven working days, confirming that your submission has been successfully recorded. 2. 提出から7営業日以内に、報告が正常に記録されたことを確認する正式な受領通知が届く。
3. Upon your approval, the content of your report will be shared with authorised staff from the AI Office, which comprises multidisciplinary expertise in areas such as machine learning, model evaluation, cybersecurity, risk assessment, and copyright. Access to your report will be strictly limited to those with the relevant expertise to diligently assess the matter, only following your approval and upon having received specific training for the purposes of handling reports. 3. 報告内容の開示は、機械学習・モデル評価・サイバーセキュリティ・リスクアセスメント・著作権など多分野の専門性を有するAIオフィスの認可スタッフに、報告者の承認を得た上で共有される。報告へのアクセスは、問題の適切なアセスメントに必要な専門知識を有する者に厳格に制限され、報告者承認後かつ報告処理のための特定訓練を受けた者にのみ許可される。
4. We will respond within fourteen working days to confirm whether we are the correct authority to handle your report. If we are not the most suitable authority, if possible, we will provide you with the relevant point of contact to redirect your report. 4. 当機関が報告書の適切な処理機関であるか否かについては、14営業日以内に回答する。当機関が最適でない場合、可能な限り適切な連絡先を案内し、報告書の転送を促す。
5. We may maintain contact with you throughout the process, to share updates, answer your questions, collect additional information, or obtaining your approval to share the content of the report with third parties when required. We therefore recommend you to check your secure inbox regularly. 5. 処理過程において、進捗状況の共有、質問への回答、追加情報の収集、または必要に応じたサードパーティへの報告書内容開示の承認を得るため、随時連絡を取る場合がある。従って、安全な受信箱を定期的に確認することを推奨する。
6. We will provide you with feedback within three months, or within six months if exceptional circumstances arise. If we conclude that a report does not require further follow-up (e.g., because the breach is minor or already known) we will notify you of the decision and the reasons thereof. 6. 報告に対するフィードバックは、通常3ヶ月以内、特別な事情がある場合は6ヶ月以内に提供する。報告内容に追加のフォローアップが不要と判断した場合(例:違反が軽微である、既に把握済みであるなど)、その決定と理由を通知する。
7. We will communicate to you the final outcome triggered by the report. 7. 報告によって引き起こされた最終的な結果を報告者に伝える。
Along this timeline, the whistleblower may also be asked by the AI Office to provide supplementary information or clarifications. However, there is no obligation to provide information in this respect. このプロセスにおいて、内部告発者はAI事務局から追加情報や説明の提供を求められる場合がある。ただし、この点に関する情報提供義務はない。
As further follow-up measures, the AI Office may, at its dutiful discretion: 追加のフォローアップ措置として、AI事務局は職権上の裁量により以下を行うことがある:
・refer the whistleblower to other competent authorities and communicate with those authorities to support the protection of the whistleblower, provided that the whistleblower has given their prior approval; and/or ・内部告発者の事前承認を得た上で、他の管轄当局へ内部告発者を紹介し、その保護を支援するため当該当局と連絡を取る;および/または
・transfer the proceedings to a competent authority for further investigation, while safeguarding the confidentiality of the whistleblower. ・内部告発者の機密性を保護しつつ、管轄当局へ手続きを移管しさらなる調査を依頼する。
We highly value your trust in bringing matters to our attention, and we are dedicated to handling every report with care, diligence, and integrity. 我々は、皆様が問題を我々に報告してくださる信頼を高く評価しており、全ての報告を注意深く、誠実かつ厳正に扱うことに尽力している。

 

 

Make a report

20251203-62624

Confidentiality Policy AI Act Whistleblower Tool

 

 

 

 


プレス発表...

・2025.11.24 Commission launches whistleblower tool for AI Act

Commission launches whistleblower tool for AI Act 欧州委員会、AI法向け内部通報ツールを立ち上げ
The European Commission launched a whistleblower tool for the Artificial Intelligence (AI) Act. 欧州委員会は人工知能(AI)法向けの内部通報ツールを立ち上げた。
The tool will provide a secure and confidential channel for individuals to report suspected breaches of the AI Act directly to the EU AI Office, the centre of AI expertise within the Commission. このツールは、個人がAI法違反の疑いを欧州委員会のAI専門機関であるEU AI事務局に直接報告するための安全かつ秘密厳守の経路を提供する。
Whistleblowers can provide relevant information in any of the EU official languages, and in any relevant format. The tool offers a secure way to report potential violations of the law that could endanger fundamental rights, health, or public trust. The highest level of confidentiality and data protection are guaranteed through certified encryption mechanisms. This system enables secure follow-up, allowing whistleblowers to receive updates on the progress of their report and the possibility to respond to additional questions from the AI Office, without compromising their anonymity. 内部通報者はEU公用語のいずれかで、また関連する形式で情報を提供できる。本ツールは、基本的人権、健康、公共の信頼を脅かす可能性のある法令違反の潜在的な事例を報告する安全な手段を提供する。認証済み暗号化機構により、最高水準の機密性とデータ保護が保証される。このシステムは安全なフォローアップを可能とし、内部告発者は匿名性を損なうことなく、報告の進捗状況に関する更新情報を受け取り、AI事務局からの追加質問に対して対応する機会を得られる。
The EU AI Act aims to promote the innovation and uptake of AI in the EU, while addressing potential risks to people’s health, safety, and fundamental rights and safeguarding democracy and the rule of law. By reporting information about violations, whistleblowers can support the AI Office in detecting them early on, therefore contributing to the safe and transparent development of AI technologies. EU AI法は、EU域内におけるAIの革新と普及を促進すると同時に、人々の健康、安全、基本的人権に対する潜在的なリスクに対処し、民主主義と法の支配を保護することを目的としている。違反に関する情報を報告することで、内部告発者はAI事務局が早期に違反を検知するのを支援し、AI技術の安全かつ透明性のある発展に貢献できる。
Access the AI Act Whistleblower Tool and read more information about the tool and the frequently asked questions. AI法内部告発ツールにアクセスし、ツールに関する詳細情報やよくある質問を参照せよ。

 

 

AI法内部通報ツールの説明

AI Act Whistleblower Tool


AI Act Whistleblower Tool AI法内部告発ツール
The AI Act Whistleblower Tool, empowers individuals to securely submit a report and contribute directly to make AI in Europe safe transparent, and trustworthy. AI法内部告発ツールは、個人が安全に報告を提出し、欧州におけるAIの安全性、透明性、信頼性の向上に直接貢献することを可能にする。
Whistleblowers play a vital role in identifying potential violations of the law that could endanger fundamental rights, health, or public trust, and which might otherwise go undetected. By reporting potential violations, whistleblowers can support the AI Office in detecting them early on, thereby contributing to the safe and transparent development of AI technologies. 内部告発者は、基本的人権や健康、公共の信頼を脅かす可能性のある法令違反を識別する上で極めて重要な役割を果たす。こうした違反は、告発がなければ検知されない場合が多い。内部告発者は潜在的な違反を報告することで、AI事務局が早期にそれらを検知するのを支援し、AI技術の安全かつ透明性のある発展に貢献できる。
The AI Act Whistleblower Tool, launched by the AI Office, allows individuals who are professionally connected to an AI model provider to report harmful practices by providers of general-purpose AI models and certain AI systems. You can submit your report anonymously in any EU language together with supporting documents using the secure inbox in the tool. The inbox also enables whistleblowers to stay up to date on the progress of their report, answer follow-up questions while remaining anonymous. AI事務局が立ち上げた本ツールは、AIモデルプロバイダと業務上の関わりがある個人が、汎用AI及び特定AIシステムのプロバイダによる有害な慣行を報告することを可能にする。EU域内のいずれの言語でも、証拠書類と共に匿名で報告を提出できる。ツール内の安全な受信箱を通じて、報告の進捗状況を確認したり、追加質問に匿名で回答したりすることも可能だ。
Alongside with the secure tool, the AI Office commits itself to a high standard of confidentiality and has documented internal procedures to maximise the protection whistleblowers' identities. While these robust safeguards ensure confidentiality, it is important to note that legal protection against retaliation under the Whistleblower Directive will only extend to reports concerning infringements of the AI Act from 2 August 2026 onwards. Until then, confidentiality remains the primary means of protection for whistleblowers. Meanwhile, some AI-related activities — particularly those linked to product safety, consumer protection, privacy and personal data, or information security — may already fall within the Directive’s scope and thus benefit from its protection. この安全なツールに加え、AI事務局は高い機密保持の標準を遵守し、内部手続きを文書化して通報者の身元保護を最大限に図っている。こうした堅牢な保護策により機密性は確保されるが、内部告発者指令に基づく報復行為からの法的保護は、2026年8月2日以降に報告されたAI法違反に関する通報にのみ適用される点に留意が必要だ。それまでは、機密保持が通報者の主要な保護手段となる。一方、製品安全、消費者保護、プライバシー及び個人データ、情報セキュリティに関連するAI関連活動の一部は、既に指令の適用範囲に含まれる可能性があるため、その保護の対象となる。

 

 

 

| | Comments (0)

2025.12.03

フランス CNIL ソーシャルネットワークで子どもの写真や動画を共有すること:そのリスクとは (2025.11.28)

こんにちは、丸山満彦です。

CNILがソーシャルネットワークで子どもの写真や動画を共有することのリスクについて警告をだしていますね...

リスクについては、

・子どもの画像は悪意ある目的に利用される可能性がある

・画像を投稿すると、子どもの他の情報も漏れる可能性がある

・デジタルアイデンティティの構築は長期的に子供を気付ける可能性がある

と指摘しておりますね...

で、対策としては、

・共有する場合はソーシャルメディアではなく、インスタントメッセージ等を利用する

・公開前に子どもとその親の同意を得る

・写真や動画の共有を避け、子どもの顔を隠す

・アカウントのセキュリティ強化

などが記載されていますね...

 

 

CNIL

・2025.11.28 Sharing photos and videos of your child on social networks: what risks

Sharing photos and videos of your child on social networks: what risks ソーシャルネットワークで子どもの写真や動画を共有すること:そのリスクとは
Posting photos and videos of children on social networks (“sharenting”) raises the question of parental responsibility. It has consequences for their children's private lives. What are the risks and what are the best practices to adopt? ソーシャルネットワークに子どもの写真や動画を投稿する行為(「シェアレンティング」)は、親の責任という問題を提起する。これは子どもの私生活に影響を及ぼす。そのリスクとは何か、そして取るべき最善の対策は何か?
53 % of French parents have shared content about their children on social networks. フランス人の親の53%がソーシャルネットワークで子どもに関するコンテンツを共有したことがある。
Source : The French Observatory on parenting and digital education (Observatoire de la parentalité et de l'éducation numérique (OPEN)-POTLOC, 2023) 出典:フランス子育て・デジタル教育観測所(OPEN-POTLOC、2023年)
Sharing videos or photos of your children on social networks is not a harmless act and carries many risks. ソーシャルネットワークで子どもの動画や写真を共有することは無害な行為ではなく、多くのリスクを伴う。
Generally speaking, the CNIL strongly advises against sharing photos or videos of your children or grandchildren on social networks, especially when your profile is public. If you still wish to do so, the CNIL suggests practical advice and guidance to follow so as to limit the risks. 一般的に、CNIL(フランス情報処理自由委員会)は、特に公開設定のプロフィールでは、子供や孫の写真・動画をSNSに共有しないよう強く勧告している。それでも共有したい場合、CNILはリスクを最小限に抑えるための実践的な助言と指針を示している。
20251201-24237
About the video ‘Think before you post’ produced with the Data Protection Commission Ireland アイルランドデータ保護委員会と共同制作した動画「投稿前に考えよう」について
An international survey on digital parenting, conducted in 2024 by the Global Privacy Assembly's Digital Education Working Group, highlighted the phenomenon of sharenting as an emerging issue that could affect children's rights and personal data. In light of this, the Data Protection Commission Ireland (DPC) and the CNIL wanted to raise parents' awareness of the consequences of these practices, which are becoming widespread and can undermine the privacy, autonomy and emotional well-being of minors. 2024年にグローバルプライバシーアセンブリのデジタル教育ワーキンググループが実施したデジタル子育てに関する国際調査では、シェアレンティング現象が子どもの権利や個人データに影響を及ぼす新たな問題として浮上した。これを受け、アイルランドデータ保護委員会(DPC)とCNILは、未成年者のプライバシー、自律性、精神的健康を損なう恐れのあるこうした行為が広まる中、親の意識向上を図ろうとした。
In this context, the video ‘Think before you post’ was co-designed by the two data protection authorities. It aims to illustrate in a concrete way the risks associated with parents sharing personal information, photographs or videos of their children online, and to encourage a more responsible use of digital technologies. この文脈において、両データ保護当局は共同で動画『投稿前に考えよう』を制作した。これは、親が子供の個人データ・写真・動画をオンラインで共有することに伴うリスクを具体的に示し、デジタル技術の利用における責任ある行動を促すことを目的としている。
What are the risks of publishing your child's image on social networks? ソーシャルネットワークに子供の画像を掲載するリスクとは?
True stories... 実例...
The CNIL regularly receives complaints, as herewith showcased: CNILには定期的に苦情が寄せられている。以下に事例を示す:
・A child applied to the CNIL to have photographs, videos and voice recordings posted by his parents on a social network removed. ある子供が、親がソーシャルネットワークに投稿した写真・動画・音声記録の削除をCNILに申請した。
・Parents drew the CNIL's attention to the difficulties they were experiencing in stopping the dissemination of photographs of their underage children's christenings. 親がCNILに、未成年の子供の洗礼式の写真拡散を止められない困難を訴えた。
The CNIL assists complainants in obtaining the removal of published images and videos. CNILは、公開された画像や動画の削除を求める苦情申し立て者を支援する。
The image of your children can be misused for harmful purposes 子どもの画像は悪意ある目的に悪用される可能性がある
Videos and photos posted on social networks can be hijacked by ill-intended individuals. Some parents publish nude photos of their children (for example when they are playing in the bath): predators on the Internet hijack these photos to create fake profiles, share them with other strangers or distribute them on child pornography networks. ソーシャルネットワークに投稿された動画や写真は、悪意のある人物に乗っ取られる恐れがある。一部の親は子どもの裸の写真(例えば風呂遊び中の写真)を公開するが、ネット上の犯罪者はこうした写真を乗っ取り、偽のプロフィールを作成したり、他の見知らぬ人と共有したり、児童ポルノネットワークで流通させたりする。
These ill-intended individuals can retrieve images without needing to be in your contacts, either because your profile is public, or because one of your contacts has shared them publicly or with other "friends". こうした悪意のある人物は、あなたの連絡先リストにいない場合でも、あなたのプロフィールが公開されているか、あなたの連絡先の一人がそれらを公開または他の「友人」と共有したために、画像を取得できる。
Moreover, the development of AI systems facilitates the creation of deep-fakes, allowing, for example, to turn photographs of minors published on social networks into nude pictures of them. It consists of images, photographs and videos generated from various children’s content (included dressed), available online on social networks by example. This leads to increasing risks and dangers for children both online and offline. さらに、AIシステムの発展はディープフェイクの作成を容易にし、例えばソーシャルネットワークに公開された未成年者の写真を、その人物の裸写真に変換することを可能にしている。これは、ソーシャルネットワーク上で入手可能な様々な子供向けコンテンツ(服を着ているものも含む)から生成された画像、写真、動画で構成される。これにより、オンライン上でもオフライン上でも、子供たちに対するリスクと危険が増大している。
Indeed, it can: 実際、これは以下を引き起こす可能性がある:
・Fuel school bullying and cyber-bullying; ・学校でのいじめやネットいじめを助長する;
・Intensify paedo-criminal practices. On this matter, the “Fondation pour l’enfance” (Foundation for Children) warns in particular about the development of new paedo-criminal contents related to AI use and the multiplication of paedophile content on the dark web, but also throughout publicly accessible web pages. ・小児性犯罪行為を助長する。この点について「子ども財団」は特に、AI利用に関連する新たな小児性犯罪コンテンツの増加や、ダークウェブだけでなく一般公開ページ全体における小児性愛コンテンツの拡散について警鐘を鳴らしている。
50% of children’s photos and videos shared on paedo-criminal forums have been initially published online by their own parents. 小児性犯罪フォーラムで共有される児童の写真・動画の50%は、当初その親自身によってオンラインに公開されたものである。
Source: Report by the Children's Foundation, Generative AI, the new weapon of paedophile crime, October 2024 (Rapport de la Fondation pour l’enfance, l’IA generative, nouvelle arme de la pédocriminalité, oct. 2024) 出典:子ども財団報告書『生成的AI、小児性犯罪の新たな武器』(2024年10月)
Publishing an image can reveal other information about your children 画像を投稿すると、子どもの他の情報が漏れる可能性がある
An image taken from a smartphone or camera contains data that can reveal a lot about your child. スマートフォンやカメラで撮影した画像には、子どもに関する多くの情報を明らかにするデータが含まれている。
Photos and videos often contain information about the location and time at which the image was taken (thanks to the metadata of a photo or video, particularly GPS data). Images can also reveal valuable information about your children - such as their point of interests or the places they frequently attend, - which should not be placed in the hands of an ill-intended individuals. 写真や動画には、撮影場所や時刻の情報(特にGPSデータを含むメタデータ)が記録されていることが多い。画像からは、子供の興味の対象や頻繁に訪れる場所など、悪意ある人物の手に渡すべきでない貴重な情報も読み取れる。
Creating a digital identity can harm your children in the long term デジタルアイデンティティの構築は長期的に子供を傷つける可能性がある
From a very early age, some children are given a "digital identity" potentially containing hundreds of photos that they will find difficult to delete once they grow up. According to a study conducted by the British agency OPINIUM and published in 2018, the parents of a 13-year-old child have already published an average of 1,300 photos of him or her on social networks. 幼い頃から、子供には何百枚もの写真を含む「デジタルアイデンティティ」が与えられ、成長後に削除するのが困難になる場合がある。英国の調査機関OPINIUMが2018年に発表した研究によると、13歳の子供の親は平均で既に1,300枚もの写真をSNSに公開している。
It is sometimes difficult to measure the extent and the consequences of the footprints left on our children for the future. What poses no problem today may seem unacceptable tomorrow. Always accessible, the photographs and videos shared by parents can prevent their children from their ability to develop their own image and identity. They can damage their online reputation (with the risk of cyber-bullying) and have a negative impact in the school setting, or on their personal and professional future. 子供たちの将来に残される足跡の規模や影響を測るのは時に困難だ。今日問題ないことが、明日には受け入れがたいものに見えるかもしれない。親が共有した写真や動画は常にアクセス可能であり、子供たちが自らのイメージやアイデンティティを育む能力を阻害する恐れがある。オンライン上の評判を損ない(ネットいじめのリスクを伴う)、学校環境や個人的・職業的な将来に悪影響を及ぼす可能性がある。
What are the best practices to apply? では、どのような対策が有効か?
To ensure that your children are not exposed to the risks associated with "sharenting", the CNIL suggests practical advice and guidance to apply. 「シェアレンティング」に伴うリスクから子供を守るため、CNIL(フランス情報処理自由委員会)は実践的な助言と指針を示している。
Prioritise sharing by instant messaging, email or MMS インスタントメッセージ、メール、MMSでの共有を優先する
Avoid sharing photos and videos of your child on social networks: prefer sharing via secure private instant messaging apps, some of which even have features that allow you to send ephemeral messages. Email or MMS (multimedia messaging service) should also be preferred. ソーシャルネットワーク上での子供の写真・動画共有は避けるべきだ。代わりに、安全なプライベートのインスタントメッセージアプリを利用することを推奨する。中には一時的なメッセージ送信機能を備えたアプリもある。メールやMMS(マルチメディアメッセージングサービス)も同様に推奨される。
Don't share images of your child with all of your followers on social networks, when you can pass them on to your family and friends privately. Make sure to ask your friends and family not to share photos or videos of your child on social networks without your consent. ソーシャルネットワークで全フォロワーに子どもの画像を共有せず、家族や友人に非公開で渡すようにする。友人や家族には、同意なしにソーシャルネットワークで子どもの写真や動画を共有しないよう必ず依頼すること。
Ask your child and the other parent for their consent before any publication. 公開前に子どもと相手の親の同意を得る。
Before publishing a photo or video of your child on social networks, it's important to talk to him or her and get his or her consent. ソーシャルネットワークに子どもの写真や動画を投稿する前には、必ず本人に話し、同意を得る必要がある。
You must also seek the consent of the other parent. A number of court rulings have made it clear that publishing photographs of children, particularly on social networks, is a non-routine act that requires the consent of both parents. さらに、相手の親の同意も得なければならない。複数の裁判所の判決が、特にソーシャルネットワーク上での子どもの写真公開は日常的な行為ではなく、両親双方の同意を必要とすることを明確にしている。
Children’s image right, a reinforced right by the law 子どもの肖像権、法律で強化された権利
The French law of February 19th, 2024 has reinforced the protection of children’s image right: 2024年2月19日のフランス法は子どもの肖像権保護を強化した:
・Parents must ensure that their child’s privacy is respected, including their right to their image. They involve the child in exercising their right to their image, depending on the child’s age and level of maturity. ・親は子どものプライバシー、特に肖像権が尊重されるよう確保しなければならない。子どもの年齢と成熟度に応じて、肖像権行使に子どもを関与させる。
・If the parents disagree, the judge of family affairs can prohibit one parent from publishing any pictures of their child without the other parent’s consent. ・親の間で意見が一致しない場合、家庭裁判所の裁判官は、一方の親が他方の親の同意なしに子どもの写真を公開することを禁止できる。
・If a parent’s sharing of their child’s image causes serious harms to the child’s dignity or moral integrity, a compulsory partial delegation of parental authority is instituted. ・親による子どもの画像共有が、子どもの尊厳や道徳的完全性に重大な危害をもたらす場合、親権の一部強制的な委任が実施される。
Avoid sharing certain photos and videos and hide your child's face 特定の写真や動画の共有を避け、子どもの顔を隠すこと
If you decide to publish photos and videos of your child, be selective. 子どもの写真や動画を公開する場合は、選択的に行うこと。
Avoid publishing certain photos and videos that involve your child's privacy (for example, a photo of your child in a swimming costume or in the bath). 子どものプライバシーに関わる特定の写真や動画(例:水着姿や入浴中の写真)の公開は避けること。
It is also recommended that you hide your child's face (by taking a photo of your child's back, or adding an emoji to his or her face, etc.) before posting. 投稿前に子どもの顔を隠す(後ろ姿の撮影や顔に絵文字を付けるなど)ことも推奨される。
Secure your accounts and reduce the visibility of your posts アカウントのセキュリティ強化と投稿の可視性低下
Lock down your social network accounts by restricting the visibility of your posts to your subscribers to prevent unauthorized people from having access to photos or videos of your children. ソーシャルネットワークアカウントをロックダウンし、投稿の閲覧を購読者だけに制限することで、許可されていない人物が子どもの写真や動画にアクセスするのを防ぐ。
For each social network, you can set up privacy settings on your account to limit the visibility of your posts. 各ソーシャルネットワークでは、アカウントのプライバシー設定を調整し、投稿の閲覧範囲を制限できる。
TikTok TikTok
On smartphone スマートフォンの場合
Click on the profile icon at the bottom right of the screen, on the menu at the top right, on "Settings and Privacy" and then on "Privacy". 画面右下のプロフィールアイコンをタップ→右上のメニュー→「設定とプライバシー」→「プライバシー」の順に選択。
You can then set your account to "private account". アカウントを「非公開アカウント」に設定できる。
You can also activate the "Profile view history" option. To do so, go back on “Privacy” then select “publication views” 「プロフィール閲覧履歴」オプションも有効化できる。設定するには「プライバシー」に戻り、「投稿閲覧」を選択する。
On a computer パソコンの場合
Click on “plus” 「プラス」をクリックする
Then press on the settings icon and then of privacy politic. 設定アイコンを押し、プライバシーポリシーを選択する
You can then set your account on private mode. アカウントを非公開モードに設定できる。
The option “Profile view history” cannot be activated from a computer. To do so, you must go through the mobile app. 「プロフィール閲覧履歴」オプションはパソコンから有効化できない。有効化するにはモバイルアプリ経由で行う必要がある。
Instagram Instagram
On smartphone スマートフォンの場合
Go to your profile, then click on the menu at the top right, then on "Settings and Privacy" at the very top; プロフィール画面へ移動し、右上のメニューをタップ。最上部の「設定とプライバシー」を選択。
Scroll down to "Who can see your content" and then "Account Privacy". 「コンテンツの閲覧範囲」までスクロールし、「アカウントのプライバシー」へ進む。
Tick the box next to "Private account"; 「非公開アカウント」の横にあるチェックボックスにチェックを入れる。
Click on "Switch to a private account" to confirm. 「非公開アカウントに切り替える」をクリックして確定する。
On a computer パソコンの場合
Access your profile, then go to "Options" in the top right-hand corner and click on "Settings and Privacy"; プロフィールにアクセスし、右上の「オプション」から「設定とプライバシー」をクリックする。
In the "Who can see your content" section, tick the box next to "Private account" and click "Switch to a private account" to confirm. 「コンテンツの閲覧権限」セクションで「非公開アカウント」の横のチェックボックスにチェックを入れ、「非公開アカウントに切り替える」をクリックして確定する。
Facebook Facebook
On smartphone スマートフォンの場合
Go to your profile, then click on the menu at the bottom right, then click on "Settings and Privacy", then "Settings" and go to "Audience and Visibility"; プロフィール画面から右下のメニューをタップし、「設定とプライバシー」→「設定」→「公開範囲とプライバシー」へ進む。
You can then, among other things: その後、以下の操作が可能だ:
make your account private, by clicking on "followers and public content" and deactivating the "public" option; 「フォロワーと公開コンテンツ」をクリックし、「公開」オプションを無効化してアカウントを非公開にする;
manage who can see your "friends" or "me only" posts; 「友達」または「自分だけ」投稿の閲覧者を管理する;
deactivate the sharing of stories and real for people who follow you. If your account is public, everyone has access to your stories. フォロワーへのストーリーとリアルタイム投稿の共有を無効化する。公開アカウントの場合、ストーリーは誰でも閲覧可能だ。
On a computer パソコンの場合
Go to your profile, then click on your profile photo at the top right, then click on "Settings and Privacy", then "Settings" and go to "Privacy"; プロフィールページに移動し、右上のプロフィール写真をクリック。次に「設定とプライバシー」→「設定」→「プライバシー」の順に進む。
You can then, among other things: 以下の操作が可能だ:
manage who can see your future publications on "friends" or "me only"; 今後の投稿を「友達」または「自分だけ」に限定する
limit the visibility of your past posts on your diary. タイムライン上の過去の投稿の公開範囲を制限する
X X
On smartphone スマートフォンの場合
Tap on your profile photo, then on "Settings and Privacy" and then on "Privacy and Security". プロフィール写真をタップし、「設定とプライバシー」→「プライバシーとセキュリティ」を選択する。
On a computer パソコンの場合
Click on "More", on "Settings and Privacy" and then on "Privacy and security". 「その他」→「設定とプライバシー」→「プライバシーとセキュリティ」をクリックする。
In both cases, you can: いずれの場合も以下の設定が可能だ:
protect your tweets, i.e. limit the visibility of your tweets to people who follow you; ツイートを防御する(フォロワーのみに表示を制限)
adjust who can identify you in the photos; 写真でのタグ付けを識別できるユーザーを調整する
Sort through your subscribers and your uploaded photos and videos 購読者やアップロードした写真・動画を整理する
Sort out your followers on social networks frequently to avoid being followed by people you don't know. ソーシャルネットワークのフォロワーは頻繁に整理し、知らない人にフォローされないようにする。
If possible, classify your subscribers into several categories (close friends, acquaintances, family, etc.): this way you can decide to share your children's photos or videos only with certain groups. 可能なら購読者をいくつかのカテゴリー(親しい友人、知人、家族など)に分類する。こうすれば子供の写真や動画を特定のグループだけに共有する選択ができる。
Help and guidance: on Instagram, you can create a group made up of your "close friends", so you don't have to share content about your children with all your followers. ヘルプとガイダンス:Instagramでは「親しい友人」グループを作成できるため、子供に関するコンテンツを全フォロワーと共有する必要はない。
Regularly sort through your photos and videos shared on social networks: this will allow you to delete photos of your child that are no longer topical. ソーシャルネットワークで共有した写真や動画を定期的に整理する:これにより、子供の成長が明らかになった写真を削除できる。
What rights do your children have? 子供にはどんな権利があるのか?
Since 1989 and the International Convention on the Rights of the Child, every minor has had the right to "preserve his or her identity, name and family relations". They must also be protected from "arbitrary or unlawful interference with his or her privacy" and "unlawful attacks on his or her honour and reputation". 1989年の「児童の権利に関する国際条約」以来、全ての未成年者は「自身の身分、氏名、家族関係を保持する権利」を有する。また「プライバシーへの恣意的または違法な干渉」や「名誉・信用に対する違法な侵害」から防御されねばならない。
The right to an image is a right created by Courts on the basis of the right to privacy under article 9 of the French Civil Code. The children’s image right must be protected by their parents (see as aforementioned). 肖像権は、フランス民法第9条に基づくプライバシー権を根拠に裁判所が認めた権利である。子どもの肖像権は親によって防御されなければならない(前述の通り)。
Children have the right to privacy and the right to their image. 子どもにはプライバシー権と肖像権がある。
Your children's photos and videos are personal data. Bear in mind that your children under 18 have digital rights over their data. They even benefit from enhanced protection. 子どもの写真や動画は個人データである。18歳未満の子どもには自身のデータに対するデジタル権利があることを認識せよ。彼らは強化された保護の対象となる。
In France, it is the parents (or legal representative) who, in principle, exercise the child’s rights, in particular: フランスでは、原則として親(または代表者)が子どもの権利を行使する。具体的には:
・their right of access, which enables them to find out what data an organisation holds about the child; アクセス権:組織が子どもについて保有するデータの内容を確認する権利
・its right to rectification, i.e. the right to ask for certain inaccurate, outdated or incomplete information about the child to be corrected; 訂正権:子どもに関する不正確・古くなった・不完全な情報の修正を求める権利
・its right to erasure, i.e. the possibility to request the deletion of the child's personal data; 消去権、つまり子供の個人データの削除を要求する権利。
・their right to object, for refusing to allow some of the child’s personal data to be used by an organisation for a given purpose. 異議申立権、つまり特定の目的で組織が子供の個人データを利用することを拒否する権利。
However, the CNIL believes that children should be able to exercise their own personal data rights on social networks directly. This ability to act autonomously does not override the parents' power to exercise those same rights on behalf of their child and to provide support during the process. ただし、CNIL(フランス情報保護委員会)は、子供がソーシャルネットワーク上で自身の個人データ権利を直接行使できるべきだと考えている。この自律的な行動能力は、親が子の代わりに同じ権利を行使し、その過程で支援を提供する権限を無効にするものではない。
It should be noted that children can also take action against their parents if the latter fail to respect their rights. In 2018, a sixteen-year-old teenager brought a complaint against his mother for violating his privacy. The Rome Court (Italy) ordered the child's mother to stop posting photos of her son on social networks, on pain of a fine. なお、親が子の権利を尊重しない場合、子は親に対して行動を起こすこともできる。2018年には、16歳の少年が母親のプライバシー侵害を理由に告訴した事例がある。ローマ裁判所(イタリア)は、罰金を科すことを条件に、母親に対しソーシャルネットワーク上での息子の写真投稿を停止するよう命じた。
Deleting photos or videos online オンライン上の写真や動画の削除
If the photos or videos that you have published of your child on your social networks have been reused without your consent, you can exercise your children's rights on their behalf, in particular their right to deletion. In the same way, your children can request the deletion of photos or videos relating to them without your consent. ソーシャルネットワークに投稿した子どもの写真や動画が、本人の同意なく再利用された場合、親は子どもの権利(特に削除権)を代行して行使できる。同様に、子供自身も親の同意なしに自身に関連する写真や動画の削除を要求できる。
The social network will then have to delete the personal data collected as part of its services as quickly as possible. ソーシャルネットワークは、サービス提供中に収集した個人データを可能な限り速やかに削除しなければならない。
If no response nor no action is taken, you can: 対応や措置がなされない場合、以下の手段がある:
・contact the police or the appropriate officer if the photo or video puts the child in immediate danger; ・写真や動画が子供を差し迫った危険に晒す場合、警察または管轄官庁に連絡する。
contact 3018 if the photo or video of your child is used for cyberbullying; ・子供の写真や動画がネットいじめに利用されている場合、3018(児童相談窓口)に連絡する。
・in cases where the social network fails to respond or refuses to take action, submit a complaint to the CNIL within one month of the date of the request, enclosing a copy of the steps taken with the site. ・ソーシャルネットワークが対応しない、または措置を拒否した場合、要請日から1ヶ月以内にCNIL(フランス情報保護委員会)に苦情を申し立て、サイトに対して行った手続きの写しを添付する。
・If the content is illicit (for example, if it is being misused for harmful purposes), report it on the platform Pharos. ・コンテンツが違法である場合(例えば有害な目的で悪用されている場合)、プラットフォーム「ファロス」で報告する。
Regulations to strengthen children’s protection online オンライン上の子ども保護強化に関する規制
In France, legislators have already strengthened the protection of children online in response to specific issues such as the commercial exploitation of children’s ' images, cyber-bullying and the widespread use of parental controls or even the respect of children’s rights with regard to how their parents use them, as explained on the following website “Vie Publique”. フランスでは、子どもの画像の商業的利用、ネットいじめ、ペアレンタルコントロールの普及、さらには親による子どもの権利尊重といった具体的な問題に対応し、立法府は既にオンライン上の子ども保護を強化している。詳細は「Vie Publiqueウェブサイトで説明されている。
Thus, the Digital Service Act (DGA), as outlined in the recently published guidelines, imposes new rules that social networks platforms must follow in order to reinforce the online protection of minors. したがって、最近公表されたガイドラインで概説されているデジタルサービス法(DGA)は、未成年者のオンライン保護を強化するためにソーシャル・ネットワーキング・サービス・プラットフォームが従わなければならない新たな規則を課している。
Related articles 関連記事
Protect your children's privacy booklet 子どものプライバシーの防御パンフレット
Content of the CNIL website on children’s digital rights CNILウェブサイト「子どものデジタル権利」コンテンツ
Partnership with PEReN: the dangers of AI in relation with deep fakes - LINC PEReNとの連携:ディープフェイクに関連するAIの危険性 - LINC
External resources 外部リソース
Resources from the Data Protection Commission of Ireland - Back-to-school photos: Keeping information about your child safe - DPC アイルランドデータ保護委員会リソース - 新学期写真:子どもの情報保護について - DPC
2022 report by the Defender of Rights on "Privacy: a right for children" (in French) 権利擁護者による2022年報告書「プライバシー:子どもの権利」(フランス語)
2023 study by the Observatoire de la Parentalité et de l'Education numérique, entitled "Parents influenceurs" (in French) 親育ちとデジタル教育監視機構による2023年研究「影響力を持つ親たち」(フランス語)
2024 report by the Children's Foundation, Generative AI, the new weapon of paedophile crime 2024年 児童財団報告書「生成的AI、小児性犯罪の新たな武器」
Reference texts 参照文書
Article 9 of the French Civil Code - Légifrance フランス民法第9条 - Légifrance
Article 371-1 and 372-1 of the French Civil Code - Légifrance ・フランス民法第371-1条及び第372-1条 - Légifrance
Article 21 of the law "Informatique et Libertés" - Légifrance 情報処理及び自由に関する法律第21条 - Légifrance

 

 

 

 

| | Comments (0)

2025.12.02

フランス CNIL サイバー犯罪:個人データに対するリスクと影響 (2025.11.28)

こんにちは、丸山満彦です。

CNILが、個人データの経済的価値についての調査をしています。3部作の最終回。

個人データ侵害の被害者が被る物質的損害についての内容...興味深いですね...

被害の頻度と金銭的影響

  • 41% の回答者が過去3年間に自身のデータが不正利用された経験があり、そのうち21% が金銭的損害を受けた

  • 平均的な金融損失は740ユーロで、特に身元盗用(アイデンティティ窃盗)による被害額が平均915ユーロと最も高額

行動への影響と信頼の喪失

  • 被害に遭った人の67% がリスクを減らすために行動を変えた

  • 57% は個人データの不正利用を恐れてデジタルサービスの利用を中止した

  • これは、ネット犯罪がデジタル経済への信頼を損ない、経済活動に間接的な悪影響を及ぼすことを示している

偏った被害の分布

  • 金銭的被害は一部の人に集中

  • 被害者の半数は200ユーロ未満の損失

  • 14% は1,000ユーロを超える被害

行動バイアスの問題

  • 人は経験から学習するため、実際に被害に遭うまでネット犯罪のリスクを過小評価する傾向がある

  • 経験と説明のギャップ」が適切な保護対策の導入を妨げている

個人の防御意識向上と企業の投資強化が不可欠であり、サイバー保険など新たな手段の活用も有効

 

 

CNIL

・2025.11.26 Cybercriminalité : risques et conséquences pour les données personnelles

・2025.11.28 Cybercrime: what risks and consequences for personal data?

Cybercrime: what risks and consequences for personal data? サイバー犯罪:個人データにどのようなリスクと影響があるのか?
The CNIL commissioned a survey on French people's perceptions of the use of their personal data and consent to online advertising. This final article in a series of three publications looks at the financial harm for victims of personal data breaches. CNILは、フランス人の個人データ利用に対する認識とオンライン広告への同意に関する調査を委託した。この3回シリーズの最終記事では、個人データ漏えいの被害者が被る金銭的損害について考察する。
Cybercrime related to personal data (e.g. data breach or theft) is a well-known and widely discussed phenomenon, however, its actual impact for individuals remains difficult to quantify. 個人データに関連するサイバー犯罪(データ侵害や窃盗など)は広く認知され議論されている現象だが、個人への実際の影響は依然として定量化が難しい。
Estimates of its total cost for society vary significantly depending on the source. For example, in France, Statista assessed the cost for organizations at €119 billion in 2024, while the consulting firm Asterès estimated it at only €2 billion for 2022. In light of these large discrepancies, CNIL sought to better quantify the financial and non-financial harms borne by individuals (e. g. losses, changes in behaviour) as a result of the fraudulent use of their personal data. The CNIL also studied how the nature of cybercrime harms is likely to induce behavioural biases leading to risky behaviour. 社会全体の総コストに関する推定値は情報源によって大きく異なる。例えばフランスでは、Statistaが2024年の組織へのコストを1190億ユーロと評価した一方、コンサルティング会社Asterèsは2022年時点でわずか20億ユーロと見積もっている。こうした大きな乖離を踏まえ、CNILは個人データの不正利用によって個人が被る金銭的・非金銭的損害(損失、行動変化など)をより正確に量化しようとした。CNILはまた、サイバー犯罪被害の性質が、リスクを伴う行動につながる行動バイアスを誘発する可能性についても研究した。
This study echoes a theme previously explored in another CNIL publication that identified underinvestment in cybersecurity as a structural issue among companies. This new study shows that the very nature of cyber risk is susceptible to generate behavioural biases in individuals, hindering the emergence of an ecosystem resilient against cybercrime. この研究は、企業のサイバーセキュリティ投資不足を構造的問題として指摘したCNILの別の出版物で以前に探求されたテーマを反映している。この新たな研究は、サイバーリスクの本質そのものが個人に行動バイアスを生じさせやすく、サイバー犯罪に耐性のあるエコシステムの構築を妨げていることを示している。
This question was studied by CNIL, through an online survey conducted by Harris Interactive from December 18 to 23 2024 among a representative sample of 2,082 French residents aged 15 and older. Respondents were asked whether they had experienced fraudulent or unauthorized use of their personal data, and what material or immaterial harms had resulted. この問題は、ハリス・インタラクティブ社が2024年12月18日から23日にかけて実施したオンライン調査を通じてCNILが研究した。調査対象は15歳以上のフランス居住者2,082名の代表者サンプルである。回答者には、個人データの不正利用または無断利用を経験したか、またその結果生じた物質的・非物質的損害について質問した。
The frequency and gravity of cybercrimes relating to personal data 個人データに関連するサイバー犯罪の頻度と深刻度
The survey reveals that incidents involving the unauthorized use of personal data are frequent. 41% of respondents reported having already experienced fraudulent use of their data, and among them, 21% reported having suffered financial damage. 調査によれば、個人データの不正利用を伴うインシデントは頻繁に発生している。回答者の41%が既にデータの不正利用を経験したと報告し、そのうち21%が金銭的損害を被ったと回答した。
The average declared financial loss is €740. Identity theft stands out as the type of breach leading to the highest financial damage (with an average financial loss of 915 euros). 申告された平均金銭的損失額は740ユーロである。特に身元盗用は、最も高い金銭的損害をもたらす侵害類型として際立っており(平均損失額915ユーロ)、
Poorly protected personal data thus leads to tangible harms, clearly quantified by individuals, with impacts perceived as particularly significant, especially for lower-income groups. 防御が不十分な個人データは、個人によって明確に数値化される具体的な損害を引き起こし、特に低所得層においてその影響が特に重大であると認識されている。
Fraudulent use of personal data perceived by individuals in the last 3 years 過去3年間に個人が認識した個人データの不正利用
1_20251130162301
Among those affected by these incidents, 30% reported them to a public authority (police, CNIL). The most common reaction is changing one’s behavior to reduce perceived risk, as mentioned by 67% of respondents. 被害を受けた者のうち、30%が公的機関(警察、CNIL)に通報した。最も一般的な対応は、認識されたリスクを軽減するための行動変容であり、回答者の67%がこれを挙げた。
These incidents also have a lasting impact on individuals’ trust: they lead to greater distrust and to the abandonment of certain digital services, particularly online shopping. Thus, 57% of individuals who suffered harm over the past three years reported giving up using a digital service out of fear that their personal data might be misused, compared with 35% for the general population. これらのインシデントは個人の信頼にも持続的な影響を与える:不信感の増大や、特にオンラインショッピングといった特定デジタルサービスの利用放棄を招く。実際、過去3年間に被害を受けた個人の57%が、個人データの悪用を恐れてデジタルサービスの利用を断念したと報告している。これは一般人口の35%を大きく上回る数値だ。
Beyond direct financial losses, cybercrime fosters a climate of mistrust toward the digital economy, discouraging online transactions and thus amplifying its overall impact on both individuals and companies. These are the indirect costs of cybercrime, a notion already discussed by CNIL. 直接的な金銭的損失を超えて、サイバー犯罪はデジタル経済に対する不信感を助長し、オンライン取引を阻害する。これにより個人と企業の双方への全体的な影響が増幅される。これらはサイバー犯罪の間接的コストであり、CNILが既に議論している概念である。
41% of respondants report having already experienced fraudulent use of their data in the last three years. 回答者の41%が、過去3年間に自身のデータが不正利用された経験があると報告している。
More than half the respondants that experienced fraudulent use of their data in the last three years have given up using a digital service afterwards. 過去3年間にデータ不正利用を経験した回答者の半数以上が、その後デジタルサービスの利用を断念している。
Harms: an unequal distribution of financial consequences 被害:金銭的影響の不均等な分布
The CNIL observes a strong concentration of financial harms among a small number of respondents. Among the 2,082 people surveyed, total reported losses amounted to €131,614, i.e. an average of €63 per respondent. However, this average conceals considerable disparities: one person alone reported nearly €20,000 in financial harm. CNILは、金銭的被害が少数の回答者に集中していることを確認している。調査対象2,082名の総被害額は131,614ユーロ(回答者1人あたり平均63ユーロ)であった。しかしこの平均値は著しい格差を隠している。1人だけで約20,000ユーロの金銭的被害を報告した事例があった。
Half of those experiencing financial harm reported amounts below €200, while 14% suffered damages exceeding €1,000, highlighting the highly uneven distribution of cybercrime-related harms. 金銭的被害を受けた人の半数は200ユーロ未満の被害額を報告した一方、14%は1,000ユーロを超える損害を被っており、サイバー犯罪関連の被害が極めて不均等に分布していることを浮き彫りにしている。
The most serious incidents therefore appear as relatively rare but particularly severe. したがって、最も深刻なインシデントは比較的稀だが特に重大な被害をもたらすものとして現れる。
The figure below illustrates this phenomenon by showing the distribution of financial harms across the population. 下図は、人口全体における金銭的被害の分布を示すことでこの現象を説明している。
2_20251130162401
Distribution of financial harms of cybercrime サイバー犯罪による金銭的被害の分布
Guidance for reading the graph: The peak on the left side of the distribution represents the majority of individuals who experience financial harm of only around €100. However, a minority is affected by much higher amounts, which significantly lengthens the tail of the distribution (on the right side). グラフの読み方: 分布の左側にあるピークは、約100ユーロ程度の金銭的被害しか経験していない大多数の個人を表している。しかし、ごく少数の個人がはるかに高額な被害を受けており、これが分布の尾(右側)を著しく長くしている。
These figures also highlight the relevance and potential value, not only for companies but also for individuals, of emerging cyber insurance products developed by insurers and brokers, and can contribute to actuarial analyses in this area. これらの数値は、保険会社やブローカーが開発した新興のサイバー保険商品が、企業だけでなく個人にとっても関連性と潜在的な価値を持つことを示しており、この分野の保険数理分析に貢献し得る。
Understanding behavioural biases to avoid falling victim to them 行動バイアスを理解し、被害に遭わないようにする
In experimental economics, it is well established that individuals tend to overweight the likelihood of rare events and display risk aversion when faced with potential losses (Kahneman & Tversky, 1979). From this perspective, one might expect individuals to be particularly well prepared for the risk of cybercrime. 実験経済学では、個人が稀な事象の発生確率を過大評価し、損失の可能性に直面するとリスク回避的になる傾向があることが確立されている(Kahneman & Tversky, 1979)。この観点から、個人はサイバー犯罪のリスクに対して特に備えていると予想されるかもしれない。
However, this bias only occurs when the probabilities of different events are explicitly stated to individuals (e.g. in weather forecasts). For many events, people instead infer probabilities from their past experiences. In such cases, the likelihood of rare events tends to be underestimated, a phenomenon known as the description–experience gap (Hertwig et al., 2004, Hertwig & Erev, 2009). しかしこのバイアスは、異なる事象の確率が個人に明示的に提示された場合(例:天気予報)にのみ生じる。多くの事象では、人々は過去の経験から確率を推測する。この場合、稀な事象の発生確率は過小評価されがちであり、これは記述と経験のギャップとして知られる現象である(Hertwig et al., 2004, Hertwig & Erev, 2009)。
In cybersecurity, the likelihood of an incident is never really observable, except through surveys designed to estimate it. Individuals therefore primarily learn through experience, which creates a tendency to underestimate the risk of cybercrime. Many respondents thus indicated to the survey that their perception of risk increased after a data breach. Hence, a low initial perception of risk, which biases individuals’ cost–benefit analyses, makes it more difficult to incentivize the adoption of appropriate protective measures. サイバーセキュリティ分野では、インシデント発生の確率は、それを推定するための調査を通じてでなければ、実際には観測できない。したがって個人は主に経験を通じて学ぶため、サイバー犯罪のリスクを過小評価する傾向が生じる。多くの回答者は調査で、データ侵害後にリスク認識が高まったと示した。つまり、初期のリスク認識が低いと個人の費用便益分析にバイアスがかかり、適切な保護対策の導入を促すインセンティブが弱まる。
Through this study and its regular publications on the subject, the CNIL aims to alert individuals to the reality of this threat so that they can adopt appropriate behaviors. This awareness-raising mission complements the CNIL’s other actions related to enforcement towards organizations that do not sufficiently protect personal data. 本調査及び関連する定期刊行物を通じて、CNILは個人に対しこの脅威の現実を認識させ、適切な行動を取らせることを目指している。この啓発活動は、個人データを十分に防御しない組織に対するCNILの執行措置を補完するものである。
Did you know? ご存知ですか?
Among every 1,000 readers of this publication, approximately 13 are likely to experience fraudulent use of their personal data within the next three years, resulting in financial harm exceeding €1,000. この出版物を読む1,000人につき、約13人が今後3年以内に個人データの不正利用を経験し、1,000ユーロを超える金銭的損害を受ける可能性が高い。
To reduce the likelihood of becoming a victim and the associated negative consequences (financial, psychological…), adopt the essential protective reflexes without delay. 被害者となる確率とそれに伴う負の結果(金銭的、心理的…)を減らすため、遅滞なく基本的な防御習慣を身につけよ。
Learn more : Cybersecurity Guidelines 詳細はこちら:サイバーセキュリティガイドライン
Related articles 関連記事
[1/3] Are we ready to pay for online services without targeted advertising? [1/3] ターゲティング広告なしでオンラインサービスを利用できるか?
[2/3] Monetisation of personal data: how much is our data worth? [2/3] 個人データの収益化:データにどれほどの価値があるのか?
Read more 続きを読む
All our contents about data economy データ経済に関する全コンテンツ

 

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

2025.11.22 フランス CNIL 私たちのデータはどれほどの価値があるのか? (2025.11.18)

 

 

| | Comments (0)

イタリア 国家サイバーセキュリティ庁長官へのインタビュー:デジタルリスクに対する国家の対応 (2025.11.27)

こんにちは、丸山満彦です。

イタリアの国家サイバーセキュリティ庁のフラッタシ長官へのインタビューの中で、投資、脅威(ランサムウェアとDDoS攻撃)、国家防衛(中小企業および文民・軍事統合を含む)について語っているので紹介...

日本は2005年に情報セキュリティセンターを(NISC)内閣官房に情報セキュリティについての政府の司令塔として設置し、2014年のサイバーセキュリティ基本法の成立で、サイバーセキュリティセンターとして衣替えし、2022年の国家安全保障戦略に基づき、2025年のサイバー対処能力強化法及び同整備法の成立に基づき、国家サイバー統括室(NCO)となったわけですが、2005年のNISCの当時から経済産業省、総務省、警察庁、防衛省を中心にメンバーがでていたことを考えると、先取りをしていた感じはするんですよね...

 

Itary

● Agenzia per la cybersicurezza nazionale: ACN

・2025.11.27 La risposta dello Stato contro i rischi digitali

La risposta dello Stato contro i rischi digitali デジタルリスクに対する国家の対応
Intervista al prefetto Bruno Frattasi, Direttore Generale dell'Acn, su investimenti, minacce (ransomware e DDos) e difesa nazionale, incluse le Pmi e l'integrazione civile-militare ACN(国家サイバーセキュリティ庁)長官であるブルーノ・フラッタシ氏へのインタビュー。投資、脅威(ランサムウェアやDDoS攻撃)、国家防衛(中小企業や文民と軍隊の統合を含む)について。
di Francesca A. Conidi - Fortune Italia フランチェスカ・A・コニディ - フォーチュン・イタリア
Mentre la tecnologia evolve rapidamente, con essa crescono anche i rischi informatici che minacciano cittadini, imprese e infrastrutture. L’Agenzia per la Cybersicurezza Nazionale è la risposta dello Stato per contrastare i pericoli che si annidano all’interno di questo mondo sempre più radicato in ogni aspetto della nostra vita. テクノロジーが急速に進化するにつれて、市民、企業、インフラを脅かすサイバーリスクも増大している。国家サイバーセキュリティ庁(ACN)は、私たちの生活のあらゆる側面に深く根ざしたこの世界の中に潜む危険に対抗するための国家の対応策だ。
Ne parliamo con il prefetto Bruno Frattasi, Direttore Generale dell’Acn.  ACN長官のブルーノ・フラッタシ氏に話を聞いた。
Prefetto Frattasi, quali sono gli investimenti che il governo sta attuando per implementare un settore strategico come quello della cybersicurezza? フラッタシ長官、サイバーセキュリティという戦略的分野を実装するために、政府はどのような投資を行っているのか?
Abbiamo a disposizione fondi strutturali nazionali che utilizziamo per incrementare la capacità di resilienza cibernetica del nostro Paese. Sono fondi che riguardano sia la spesa corrente sia quella di investimento. L’Agenzia li gestisce con una funzione di raccordo rispetto a tutte le altre amministrazioni beneficiarie, chiamandole a un tavolo di confronto per indirizzare le risorse verso progetti concreti. Inoltre, disponiamo di risorse europee anche provenienti dal dispositivo next generation Eu e quindi allocate nella missione 1 del Piano Nazionale di Ripresa e Resilienza. Negli ultimi tre anni, con oltre 620 mln di euro provenienti dal Pnrr, sono stati gestiti interventi di resilienza cibernetica a favore di istituzioni e amministrazioni pubbliche, centrali e locali. Partecipiamo anche a progetti comunitari finanziati dal Centro di coordinamento europeo - Eccc con fondi destinati alla ricerca, sviluppo e al trasferimento tecnologico. Quanto allo sviluppo dell’AI l’obiettivo è creare in Italia delle vere e proprie factory di intelligenza artificiale che mettano insieme ricerca accademica e imprese per trovare le risposte necessarie a tutelare e implementare la nostra capacità industriale e rafforzare naturalmente la prevenzione e il contrasto della minaccia cibernetica.  我々は、我が国のサイバーレジリエンス能力を強化するために、国家構造基金を利用している。この基金は、経常支出と投資支出の両方に関係する。同庁は、他のすべての受益行政機関との調整機能として、具体的なプロジェクトに資源を振り向けるため、協議の場を設けて、これらの機関を呼び寄せている。さらに、欧州の次世代EU基金からも資金が提供されており、これらは国家復興・レジリエンス計画(PNRR)のミッション1に割り当てられている。過去3年間、PNRRから6億2000万ユーロ以上が投入され、中央および地方の公的機関や行政機関を対象としたサイバーレジリエンス対策が実施されてきた。また、欧州調整センター(ECCC)が研究開発および技術移転のために資金を提供する共同プロジェクトにも参加している。AIの開発に関しては、学術研究と企業を結びつけ、イタリアの産業能力を保護・強化し、サイバー脅威の予防と対策の強化に必要な答えを見出す、真の意味での人工知能の工場をイタリアに設立することが目標だ。
Quali sono le minacce che dobbiamo affrontare? 我々が直面している脅威とは何だろうか?
Le minacce sono diverse. La principale, in questo momento, arriva dai ransomware, un tipo di malware che limita l’accesso al dispositivo che infetta, cifrandone i dati. È preoccupante perché combina la distruzione del capitale informativo con un la richiesta di un riscatto economico per recuperarlo. Ad attuare questa minaccia, poi, solitamente non sono dei singoli attori isolati ma vere e proprie filiere criminali. Pagare la somma richiesta è sbagliato perché alimenta queste organizzazioni rendendole sempre più forti. 脅威は様々だ。現時点で主な脅威は、感染したデバイスへのアクセスを制限し、データを暗号化するマルウェアの一種であるランサムウェアである。これは、情報資産を破壊すると同時に、その回復のために金銭の身代金を要求するため、懸念される。さらに、この脅威を実行するのは、通常、孤立した個人ではなく、実際の犯罪組織である。要求された金額を支払うことは、こうした組織をますます強力にするため、間違っている。
Un’altra minaccia rilevante è rappresentata anche dagli attacchi DDoS, che abbiamo iniziato a conoscere soprattutto in concomitanza con la guerra in Ucraina. Ricordo che al mio insediamento, nel marzo del 2023, un gruppo di hacker filorussi organizzò delle campagne di DDoS contro l’Italia. Ai tempi siamo riusciti a resistere ma oggi abbiamo migliorato nettamente le nostre capacità di difesa. Insieme a queste minacce ne esistono anche di meno visibili, come lo spionaggio industriale condotto da attori state sponsored che mirano ad ottenere vantaggi competitivi nel settore economico e finanziario. もう一つの重要な脅威は、DDoS攻撃である。これは、ウクライナ戦争と同時期に、我々が認識し始めたものである。2023年3月に私が就任したとき、親ロシアのハッカー集団がイタリアに対してDDoS攻撃キャンペーンを行ったことを覚えている。当時は耐えることができたが、現在では防御能力が大幅に強化されている。こうした脅威に加えて、国家が支援する主体による産業スパイなど、より目に見えにくい脅威も存在する。彼らは経済・金融分野で競争上の優位性を獲得することを目指している。
Come ci si difende da questi attacchi? こうした攻撃からどのように防御すればよいのか?
Prima di tutto bisogna rafforzare le difese informatiche delle infrastrutture critiche. L’Agenzia monitora quotidianamente le possibili minacce e allerta migliaia di soggetti della nostra constituency mettendoli in condizione di reagire. Ad esempio, se andiamo a guardare gli attacchi DDoS, un tempo i servizi digitali colpiti restavano offline per ore, adesso invece rimangono operativi o, al massimo, inattivi per tempi relativamente brevi. Siamo cresciuti nella capacità di resistenza. Questo è avvenuto anche grazie all’utilizzo dell’intelligenza artificiale: da un lato, infatti, chi attacca la usa per rendere i colpi più potenti ma noi dall’altro possiamo renderla alleata per difenderci meglio. まず第一に、重要インフラのサイバー防衛を強化する必要がある。当機関は、日々、潜在的な脅威を監視し、何千もの構成員に警告を発して、対応できる態勢を整えている。例えば、DDoS攻撃を見てみると、かつては攻撃を受けたデジタルサービスは数時間オフラインになったが、現在では稼働を継続できるか、せいぜい比較的短時間だけ停止する程度だ。我々の耐性は向上した。これは人工知能の利用も一因だ。攻撃者は人工知能を利用して攻撃力を強化するが、我々は人工知能を味方につけて防御力を高めることができる。
L‘Italia è un Paese costituito soprattutto da piccole e medie imprese. Queste realtà spesso hanno meno consapevolezza dei pericoli digitali, come possono proteggersi? イタリアは中小企業中心の国だ。こうした企業はデジタル上の危険に対する認識が乏しいことが多いが、どうすれば身を守れるのか?
Le Pmi purtroppo in questi anni hanno investito poco in sicurezza digitale. È anche una questione culturale. L’imprenditore, che si concentra sul profitto, spesso ha preferito investire altrove. La pandemia poi ha rappresentato uno spartiacque: con lo smart working forzato il digitale è diventato una questione essenziale sia nel privato sia nel lavoro e gli hacker ne hanno approfittato. 残念ながら、ここ数年、中小企業はデジタルセキュリティへの投資をほとんど行ってこなかった。これは文化的な問題でもある。利益を重視する起業家は、他の分野への投資を好むことが多い。そして、パンデミックは分水嶺となった。強制的なスマートワーキングにより、デジタルは私生活でも仕事でも不可欠なものとなり、ハッカーたちはそれを利用した。
E così, anche se la consapevolezza sta lentamente crescendo, le piccole imprese rimangono vulnerabili. そのため、意識は徐々に高まっているものの、中小企業は依然として脆弱なままである。
Oggi il patrimonio informativo di un’azienda è quasi tutto digitalizzato, se un datacenter viene colpito da ransomware e non ci sono dei backup adeguati, si rischia il fallimento. 今日、企業の情報資産はほぼすべてデジタル化されている。データセンターがランサムウェアの攻撃を受け、適切なバックアップがない場合、破産のリスクがある。
Cosa comporta l’atto di intesa tra la Difesa e l’Agenzia? 国防省と情報機関間の合意は、どのような意味を持つのか?
È un argomento fondamentale. Sappiamo che il contesto internazionale è segnato da conflitti accesi e che la guerra tradizionale, fatta con carri armati e missili, lascia ampio spazio a strumenti digitali: di questi tempi un drone da poche migliaia di dollari può distruggere un carro armato da milioni di euro senza perdite umane. La guerra digitale è diventata una realtà. これは非常に重要な問題だ。国際情勢は激しい紛争に彩られており、戦車やミサイルによる従来の戦争は、デジタルツールに大きな余地を残している。今日では、数千ドルのドローンが、人命の損失なく、数百万ユーロの戦車を破壊することができる。デジタル戦争は現実のものとなった。
Anche per questo motivo abbiamo sottoscritto un accordo che prevede l’arrivo in Agenzia di un nucleo della Difesa guidato da un alto ufficiale che si integrerà con le nostre attività di interesse comune. Anche in ambito Nato, l’integrazione civile-militare è da tempo una realtà evoluta. Del resto, in Italia il nostro ecosistema di difesa informatica non è affidato ad un solo attore e si fonda, infatti, su quattro pilastri: la nostra Agenzia, civile e sotto la presidenza del Consiglio, la Polizia Postale per il cybercrime, l’intelligence per la raccolta informativa e la Difesa per la Cyber defense. この理由からも、我々は、高位の将校が率いる国防省のチームを機関に迎え入れ、我々の共通関心事である活動と統合することを定めた協定に署名した。NATOの分野でも、文民と軍隊の統合は、かねてより進化した現実となっている。結局のところ、イタリアのサイバー防衛のエコシステムは、単一の主体に委ねられているわけではなく、実際には4つの柱、すなわち、内閣府傘下の文民機関である当庁、サイバー犯罪を担当する郵政警察、情報収集を担当する情報機関、そしてサイバー防衛を担当する国防省によって構成されている。

 

1_20251130081001

 

 

| | Comments (0)

2025.12.01

中国 国家サイバースペース管理局 意見募集「大規模ネットワークプラットフォーム個人情報保護規定」(2025.11.22)

こんにちは、丸山満彦です。

中国の国家サイバースペース管理局が、「大規模ネットワークプラットフォーム個人情報保護規定」案について意見募集をしていますね...

中国のデジタル経済における主要なプレーヤーである大型プラットフォームに対し、大規模データ処理リスクへの対処、プラットフォーム経済の健全な発展と競争の促進、国家安全保障とデータ主権の確保を目的として、より厳格で具体的な個人情報保護の義務を課すことを考えているようです。

この法律案の対象となるのは、

登録ユーザー数が5,000万人以上、または月間アクティブユーザー(MAU)が1,000万人以上

EUでいうところのゲートキーパーと同じ考え方だと思います。

この大規模ネットワークプラットフォームに対して、

・個人情報保護責任者(DPO?)の設置(資格要件、国籍条項あり)

・データローカライゼーション

・個人の権利利益行使への対応義務

・第三者機関による監査

などが義務付けられる想定ですね...

 

国家互联网信息办公室(国家サイバースペース管理局)

法令案...

・2025.11.22 国家互联网信息办公室、公安部关于《大型网络平台个人信息保护规定(征求意见稿)》公开征求意见的通知

国家互联网信息办公室、公安部关于《大型网络平台个人信息保护规定(征求意见稿)》公开征求意见的通知 国家サイバースペース管理局、公安部による「大規模ネットワークプラットフォーム個人情報保護規定(意見募集稿)」の公開意見募集に関する通知
为规范大型网络平台个人信息处理活动,保护个人信息合法权益,促进平台经济健康发展,根据《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《中华人民共和国网络安全法》《网络数据安全管理条例》等法律法规,国家互联网信息办公室、公安部起草了《大型网络平台个人信息保护规定(征求意见稿)》,现向社会公开征求意见。公众可以通过以下途径和方式提出反馈意见: 大規模ネットワークプラットフォームにおける個人情報の処理活動を規範化し、個人情報の合法的権益を保護し、プラットフォーム経済の健全な発展を促進するため、「中華人民共和国個人情報保護法」「中華人民共和国データ安全法」「中華人民共和国サイバーセキュリティ法」「ネットワークデータ安全管理条例」等の法律・法規に基づき、国家サイバースペース管理局と公安部は「大規模ネットワークプラットフォーム個人情報保護規定(意見募集稿)」を起草した。ここに社会一般から意見を公募する。一般市民は以下の方法により意見を提出できる:
1.登录中国网信网(www.cac.gov.cn),进入首页“网信要闻”查看文稿。 1. 中国網信網(www.cac.gov.cn)にアクセスし、ホームページの「網信要聞」で文書を確認する。
2.登录公安部官网(www.mps.gov.cn),进入首页“调查征集”查看文稿。 2. 公安部公式サイト(www.mps.gov.cn)にアクセスし、ホームページの「調査・意見募集」で文書を確認する。
3.通过电子邮件方式发送至:shujuju@cac.gov.cn。 3. 電子メールでshujuju@cac.gov.cn宛に送付する。
4.通过信函方式将意见寄至:北京市海淀区阜成路15号国家互联网信息办公室网络数据管理局,邮编100048,并在信封上注明“大型网络平台个人信息保护规定征求意见”。 4. 郵送による意見提出:北京市海淀区阜成路15号 国家サイバースペース管理局 ネットワークデータ管理局(郵便番号100048)宛て。封筒に「大規模ネットワークプラットフォーム個人情報保護規定 意見募集」と明記すること。
意见反馈截止时间为2025年12月22日。 意見提出締切:2025年12月22日
附件:《大型网络平台个人信息保护规定(征求意见稿)》 添付資料:『大規模ネットワークプラットフォーム個人情報保護規定(意見募集稿)』
国家互联网信息办公室 公安部 国家サイバースペース管理局 公安部
2025年11月22日 2025年11月22日
大型网络平台个人信息保护规定 大規模ネットワークプラットフォーム個人情報保護規定
(征求意见稿) (意見募集稿)
第一条 为规范大型网络平台个人信息处理活动,保护个人信息合法权益,促进个人信息依法合理利用,根据《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《中华人民共和国网络安全法》《网络数据安全管理条例》等法律法规,制定本规定。 第一条 大規模ネットワークプラットフォームにおける個人情報の処理活動を規範化し、個人情報の合法的権益を保護し、個人情報の法的かつ合理的な利用を促進するため、「中華人民共和国個人情報保護法」「中華人民共和国データ安全法」「中華人民共和国サイバーセキュリティ法」「ネットワークデータ安全管理条例」等の法律・法規に基づき、本規定を制定する。
第二条 在中华人民共和国境内建设、运营的大型网络平台的个人信息保护,适用本规定。法律、行政法规另有规定的,从其规定。 第二条 中華人民共和国国内で構築・運営される大規模ネットワークプラットフォームの個人情報保護には、本規定が適用される。法律・行政法規に別段の定めがある場合は、その規定に従う。
第三条 国家网信部门会同国务院公安部门等有关部门制定发布大型网络平台目录并动态更新。 第三条 国家インターネット情報弁公室は、国務院公安部門等の関係部門と共同で大規模ネットワークプラットフォームのリストを制定・公表し、随時更新する。
对大型网络平台的认定,主要考虑以下因素: 大規模ネットワークプラットフォームの認定には、主に以下の要素を考慮する:
(一)注册用户5000万以上或者月活跃用户1000万以上; (一)登録ユーザー数が5000万人以上、または月間アクティブユーザー数が1000万人以上であること;
(二)提供重要网络服务或者经营范围涵盖多个类型业务; (二)重要なネットワークサービスを提供しているか、または経営範囲が複数の業務類型に及んでいること。
(三)掌握处理的数据一旦被泄露、篡改、损毁,对国家安全、经济运行、国计民生等具有重要影响; (三)処理するデータが漏洩、改ざん、毀損された場合、国家安全、経済運営、国民生活などに重大な影響を及ぼすこと。
(四)国家网信部门、国务院公安部门规定的其他情形。 (四)国家インターネット情報部門及び国務院公安部門が定めるその他の事情。
第四条 提供大型网络平台服务的网络数据处理者(以下简称大型网络平台服务提供者)开展个人信息处理活动,应当遵循合法、正当、必要和诚信原则,遵守法律、法规,遵守社会公德和伦理,对所处理的个人信息安全承担主体责任,严格保护敏感个人信息和未成年人个人信息,承担社会责任,不得危害国家安全、公共利益,不得损害个人、组织的合法权益。 第四条 大規模ネットワークプラットフォームサービスを提供するネットワークデータ処理者(以下「大規模ネットワークプラットフォームサービス提供者」という)は、個人情報処理活動を行うにあたり、合法・正当・必要・誠実の原則に従い、法律・法規を遵守し、社会道徳と倫理を順守しなければならない。処理する個人情報の安全に対し主体責任を負い、機微な個人情報及び未成年者の個人情報を厳格に保護し、社会的責任を負わなければならない。国家安全や公共の利益を害してはならず、個人や組織の合法的権益を損なってはならない。
第五条 大型网络平台服务提供者应当按照法律法规有关规定指定个人信息保护负责人,并公开个人信息保护负责人的联系方式。 第五条 大規模ネットワークプラットフォームサービス提供者は、法令の関連規定に基づき個人情報保護責任者を指定し、その連絡先を公開しなければならない。
个人信息保护负责人应当由大型网络平台服务提供者管理层成员担任,具有中华人民共和国国籍,无境外永久居留权或者长期居留许可,具备个人信息保护专业知识且从事相关工作5年以上。个人信息保护负责人可以由网络数据安全负责人兼任。 個人情報保護責任者は、大規模ネットワークプラットフォームサービス提供者の管理職が担当し、中華人民共和国の国籍を有し、国外の永住権または長期滞在許可を持たず、個人情報保護の専門知識を有し、かつ関連業務に5年以上従事している者でなければならない。個人情報保護責任者は、ネットワークデータセキュリティ責任者と兼任することができる。
个人信息保护负责人应当履行下列职责: 個人情報保護責任者は以下の職務を履行しなければならない:
(一)指导大型网络平台合规开展个人信息处理活动,落实国家网信部门、国务院公安部门和有关主管部门的个人信息保护监管要求,配合有关部门开展个人信息保护监督检查; (一)大規模ネットワークプラットフォームが個人情報の処理活動をコンプライアンスに基づき実施するよう指導し、国家サイバー空間管理局、国務院公安部門及び関連主管部門の個人情報保護監督管理要求を履行させ、関係部門の個人情報保護監督検査に協力すること;
(二)参与大型网络平台个人信息处理事项相关决策,并对个人信息处理事项具有否决权; (二)大規模ネットワークプラットフォームにおける個人情報処理事項に関する意思決定に参加し、個人情報処理事項に対して拒否権を行使する。
(三)负责对个人信息处理活动以及采取的保护措施等进行监督,发现大型网络平台个人信息处理活动存在较大安全风险或者存在违法违规情形的,应当立即采取措施,并向国家网信部门和有关主管部门报告,涉嫌违法犯罪的应当向公安机关报案; (三)個人情報処理活動及び講じられた保護措置等を監督する責任を負い、大規模ネットワークプラットフォームの個人情報処理活動に重大な安全リスクまたは法令違反の疑いがあることを発見した場合は、直ちに措置を講じるとともに国家サイバー空間管理局及び関係主管部門に報告し、犯罪の疑いがある場合は公安機関に通報する。
(四)组织制定专门的未成年人个人信息处理规则。 (四)未成年者の個人情報処理に関する専門的な規則を策定する。
个人信息保护负责人可以直接向国家网信部门、有关主管部门报告大型网络平台服务提供者的个人信息保护有关情况。 個人情報保護責任者は、国家インターネット情報部門及び関係主管部門に対し、大規模ネットワークプラットフォームサービス提供者の個人情報保護に関する状況を直接報告することができる。
第六条 大型网络平台服务提供者应当明确个人信息保护工作机构,在个人信息保护负责人领导下开展个人信息保护相关工作,包括但不限于: 第六条 大規模ネットワークプラットフォームサービス提供者は、個人情報保護業務機関を明確に定め、個人情報保護責任者の指導の下で個人情報保護関連業務を実施しなければならない。これには以下が含まれるが、これらに限定されない:
(一)制定实施内部个人信息保护管理制度、操作规程以及个人信息安全事件应急预案,合理确定个人信息处理的操作权限,对大型网络平台的个人信息处理活动进行安全管理; (一)内部個人情報保護管理制度、操作手順及び個人情報セキュリティインシデント対応計画を策定・実施し、個人情報処理の操作権限を合理的に設定し、大規模ネットワークプラットフォームの個人情報処理活動に対するセキュリティ管理を実施すること;
(二)组织开展个人信息安全风险监测、风险评估、合规审计、影响评估、应急演练、宣传教育培训等活动,及时处置个人信息安全风险和事件; (二)個人情報セキュリティリスクの監視、リスクアセスメント、コンプライアンス監査、影響評価、緊急訓練、啓発教育・研修等の活動を組織的に実施し、個人情報セキュリティリスク及びインシデントを適時に対処すること。
(三)明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的义务,并对其个人信息处理活动和履行个人信息保护义务情况进行监督; (三)プラットフォーム内の製品またはサービス提供者が個人情報を処理する際の規範及び個人情報保護義務を明確化し、その個人情報処理活動及び個人情報保護義務履行状況を監督すること。
(四)明确专人负责未成年人个人信息保护工作; (四)未成年者の個人情報保護業務を担当する専任者を明確にすること。
(五)受理并处理个人信息保护投诉、举报; (五)個人情報保護に関する苦情・通報を受け付け処理すること。
(六)每年编制发布大型网络平台服务提供者个人信息保护社会责任报告。 (六)毎年、大規模ネットワークプラットフォームサービス提供者の個人情報保護に関する社会的責任報告書を作成し公表すること。
鼓励大型网络平台服务提供者设立专门的个人信息保护工作机构。 大規模ネットワークプラットフォームサービス提供者は、専用の個人情報保護業務機関を設置することを推奨する。
第七条 大型网络平台服务提供者应当为个人信息保护负责人、个人信息保护工作机构履行职责提供必要支持。 第七条 大規模ネットワークプラットフォームサービス提供者は、個人情報保護責任者及び個人情報保護業務機関が職責を履行するために必要な支援を提供しなければならない。
第八条 大型网络平台服务提供者应当及时向国家网信部门报送下列信息: 第八条 大規模ネットワークプラットフォームサービス提供者は、国家インターネット情報部門に対し、以下の情報を速やかに報告しなければならない:
(一)个人信息保护负责人基本信息; (一)個人情報保護責任者の基本情報;
(二)个人信息保护工作机构基本信息; (二)個人情報保護業務機関の基本情報;
(三)保障个人信息保护负责人和个人信息保护工作机构履职的措施。 (三)個人情報保護責任者及び個人情報保護業務機関の職務遂行を保障する措置。
个人信息保护负责人、个人信息保护工作机构等发生变化的,大型网络平台服务提供者应当在20个工作日内报送变更信息。 個人情報保護責任者、個人情報保護業務機関等に変更が生じた場合、大規模ネットワークプラットフォームサービス提供者は20営業日以内に変更情報を報告しなければならない。
国家网信部门将大型网络平台服务提供者信息向国务院公安部门和有关主管部门共享。 国家インターネット情報部門は、大規模ネットワークプラットフォームサービス提供者の情報を国務院公安部門及び関係主管部門と共有する。
第九条 大型网络平台服务提供者应当将在中华人民共和国境内运营中收集和产生的个人信息存储在境内。确需向境外提供的,应当符合国家数据出境安全管理有关规定。 第九条 大規模ネットワークプラットフォームサービス提供者は、中華人民共和国国内での運営において収集・生成した個人情報を国内に保存しなければならない。国外への提供がどうしても必要な場合は、国家のデータ越境に関する安全管理規定に適合しなければならない。
大型网络平台服务提供者应当按照国家有关规定,健全个人信息出境安全相关技术和管理措施,及时防范、处置个人信息违法违规出境安全风险和威胁。 大規模ネットワークプラットフォームサービス提供者は、国家の関連規定に基づき、個人情報の国外提供に関する安全技術及び管理措置を整備し、個人情報の違法・違規な個人情報越境に伴う安全リスク及び脅威を適時に防止・対処しなければならない。
第十条 大型网络平台服务提供者应当将在中华人民共和国境内运营中收集和产生的个人信息存储在符合下列条件的数据中心: 第十条 大規模ネットワークプラットフォームサービス提供者は、中華人民共和国国内での運営において収集・生成した個人情報を、以下の条件を満たすデータセンターに保存しなければならない:
(一)设立在中华人民共和国境内; (一)中華人民共和国国内に設置されていること
(二)主要负责人具有中华人民共和国国籍,无境外永久居留权或者长期居留许可; (二)主要責任者が中華人民共和国の国籍を有し、国外の永住権または長期滞在許可を有していないこと
(三)安全性符合国家有关标准要求。 (三)安全性が国家の関連標準要求を満たしていること
第十一条 数据中心应当协助大型网络平台服务提供者履行个人信息保护义务,包括但不限于: 第十一条 データセンターは、大規模ネットワークプラットフォームサービス提供者が個人情報の保護義務を履行することを支援しなければならない。これには以下が含まれるが、これらに限定されない:
(一)建立健全内部个人信息管理制度和操作规程; (一)内部の個人情報管理制度及び操作手順を確立し、整備すること。
(二)发现系统、网络产品和服务等存在影响大型网络平台服务提供者履行个人信息保护义务的安全缺陷、漏洞等风险的,应当立即采取补救措施,按照规定向有关主管部门报告,并通报大型网络平台服务提供者个人信息保护负责人; (二)システム、ネットワーク製品及びサービス等に、大規模ネットワークプラットフォームサービス提供者の個人情報保護義務履行に影響を及ぼすセキュリティ上の欠陥、脆弱性等のリスクを発見した場合、直ちに是正措置を講じ、規定に従い関係主管部門に報告するとともに、大規模ネットワークプラットフォームサービス提供者の個人情報保護責任者に通知すること。
(三)发生个人信息安全事件时,应当立即通报大型网络平台服务提供者个人信息保护负责人,及时启动应急处置预案,采取措施防止危害扩大,消除安全隐患,并按照规定向国家网信部门、有关主管部门报告; (三)個人情報セキュリティインシデントが発生した場合、直ちに大規模ネットワークプラットフォームサービス提供者の個人情報保護責任者に通報し、緊急対応計画を速やかに起動し、被害拡大防止措置を講じ、安全上の隠れた危険を除去するとともに、規定に基づき国家インターネット情報部門及び関係主管部門に報告すること。
(四)及时执行国家网信部门、国务院公安部门和有关主管部门个人信息安全保护有关要求。 (四)国家インターネット情報部門、国務院公安部門及び関係主管部門の個人情報セキュリティ保護に関する要求を速やかに実行すること。
第十二条 大型网络平台服务提供者委托符合本规定第十条要求的第三方数据中心存储个人信息的,应当与其签订合同,约定存储地点、规模、种类等,明确履行本规定第十一条安全要求和下列职责: 第十二条 大規模ネットワークプラットフォームサービス提供者が本規定第十条の要件を満たす第三者データセンターに個人情報の保管を委託する場合、保管場所・規模・種類等を定めた契約を締結し、本規定第十一条の安全要件及び以下の責務を明確に履行しなければならない:
(一)严格依照法律法规的规定和合同约定,履行个人信息保护义务,提供安全、稳定、持续的服务,并接受大型网络平台服务提供者个人信息保护负责人、个人信息保护监督委员会等的监督; (一)法令及び契約の規定に厳格に従い、個人情報保護義務を履行し、安全・安定・継続的なサービスを提供するとともに、大規模ネットワークプラットフォームサービス提供者の個人情報保護責任者・個人情報保護監督委員会等の監督を受けること;
(二)为大型网络平台服务提供者处理个人信息提供便利措施; (二)大規模ネットワークプラットフォームサービス提供者の個人情報処理に対し、便宜を図る措置を講じること。
(三)协助大型网络平台服务提供者对个人信息处理活动进行安全管理。 (三)大規模ネットワークプラットフォームサービス提供者の個人情報処理活動に対する安全管理を支援すること。
第十三条 大型网络平台服务提供者应当向国家网信部门等有关部门报送存储个人信息的数据中心的基本信息,包括管理团队和管理架构、内部个人信息保护管理制度、采取的安全措施、与第三方数据中心签署的合同文本等。上述信息发生变化的,应当自变化之日起10个工作日内报送变更信息。 第十三条 大規模ネットワークプラットフォームサービス提供者は、個人情報を保管するデータセンターの基礎情報(管理チーム及び管理体制、内部個人情報保護管理制度、講じた安全措置、第三者データセンターと締結した契約書など)を国家サイバー空間管理局等の関係部門に報告しなければならない。上記の情報に変更が生じた場合は、変更発生日から10営業日以内に変更情報を報告しなければならない。
第十四条 大型网络平台服务提供者应当为个人行使查阅、复制、更正、补充、删除、限制处理其个人信息,或者注销账号、撤回同意等权利提供便捷的方法和途径。 第十四条 大規模ネットワークプラットフォームサービス提供者は、個人が自身の個人情報の閲覧、複製、訂正、補充、削除、処理制限、アカウント削除、同意撤回等の権利を行使するために、簡便な方法と手段を提供しなければならない。
个人请求将其个人信息转移至其指定的个人信息处理者的,大型网络平台服务提供者应当在接到个人请求后30个工作日内将个人信息通过通用、机器可读的格式进行转移,并以邮件、电话、短信等方式告知个人处理结果,不符合法律、行政法规规定条件的,应当向个人说明原因。因请求数量、操作复杂等原因需要延长处理期限的,应当向个人说明延期原因,可以在合理、必要的情况下再延长30个工作日。法律、行政法规、部门规章另有规定的,从其规定。 個人が自身の個人情報を指定した個人情報処理者へ移転するよう請求した場合、大規模ネットワークプラットフォームサービス提供者は、個人からの請求を受けてから30営業日以内に、個人情報を汎用的で機械可読の形式で移転し、メール、電話、SMS等の方法で個人に処理結果を通知しなければならない。法律・行政法規の規定条件に合致しない場合は、個人に理由を説明しなければならない。請求件数や操作の複雑さ等の理由により処理期間の延長が必要な場合、個人に延期理由を説明し、合理的かつ必要な場合に限りさらに30営業日を延長できる。法律・行政法規・部門規則に別段の定めがある場合は、その規定に従う。
支持大型网络平台服务提供者通过应用程序接口或者其他标准化技术方式提供转移途径,采取身份验证、加密传输等安全措施保障个人信息转移安全。 大規模ネットワークプラットフォームサービス提供者は、アプリケーションプログラミングインターフェース(API)その他の標準技術手段による移転経路の提供を支援し、本人確認・暗号化伝送等の安全措置を講じて個人情報の移転安全を確保する。
个人重复转移个人信息的,大型网络平台服务提供者可以根据转移个人信息的成本收取必要费用。 個人が個人情報を重複して移転する場合、大規模ネットワークプラットフォームサービス提供者は移転コストに基づき必要な費用を徴収できる。
第十五条 大型网络平台服务提供者应当按照国家有关规定自行或者委托第三方专业机构开展个人信息保护合规审计、风险评估等活动,并对发现的问题进行整改。鼓励大型网络平台服务提供者优先选择通过认证的第三方专业机构。专业机构的认证按照《中华人民共和国认证认可条例》的有关规定执行。 第十五条 大規模ネットワークプラットフォームサービス提供者は、国家の関連規定に基づき自らまたは第三者専門機関に委託して個人情報保護コンプライアンス監査、リスクアセスメント等の活動を実施し、発見された問題について是正措置を講じなければならない。大規模ネットワークプラットフォームサービス提供者は認証を受けた第三者専門機関を優先的に選択することが推奨される。専門機関の認証は「中華人民共和国認証認可条例」の関連規定に従って実施する。
第十六条 受大型网络平台服务提供者委托开展个人信息保护合规审计、风险评估等活动的第三方专业机构,应当注册在中华人民共和国境内,发现大型网络平台服务提供者的个人信息处理活动存在较大安全风险或者存在违法违规情形的,可以直接向国家网信部门和有关主管部门报告;涉嫌违法犯罪的应当向公安机关报案。 第十六条 大規模ネットワークプラットフォームサービス提供者から委託を受けて個人情報保護コンプライアンス監査、リスクアセスメント等の活動を実施する第三者専門機関は、中華人民共和国国内に登録されているものとする。大規模ネットワークプラットフォームサービス提供者の個人情報処理活動に重大な安全リスクまたは法令違反が認められた場合、直接国家インターネット情報部門及び関係主管部門に報告できる。犯罪の疑いがある場合は公安機関に通報しなければならない。
第十七条 大型网络平台服务提供者有以下情形之一的,国家网信部门、国务院公安部门和有关主管部门可以要求其委托第三方专业机构对其个人信息处理活动开展合规审计、风险评估等活动: 第十七条 大規模ネットワークプラットフォームサービス提供者が以下のいずれかに該当する場合、国家インターネット情報部門、国務院公安部門及び関係主管部門は、当該提供者に対し、第三者専門機関に委託して個人情報の処理活動に関するコンプライアンス監査、リスクアセスメント等の活動を実施するよう要求することができる:
(一)个人信息处理活动存在严重影响个人权益或者严重缺乏安全措施等情形的; (一)個人情報の処理活動が個人の権益に重大な影響を及ぼす場合、または安全対策が著しく欠如している場合
(二)多次出现个人信息违规出境等违法违规情形的; (二)個人情報の違法な個人情報越境等の法令違反が繰り返し発生している場合
(三)个人信息处理活动可能侵害众多个人权益的; (三)個人情報の処理活動が多数の個人の権益を侵害するおそれがある場合
(四)发生个人信息安全事件,导致100万人以上个人信息或者10万人以上敏感个人信息泄露、篡改、丢失、毁损的; (四)個人情報セキュリティインシデントが発生し、100万人以上の個人情報または10万人以上の機微な個人情報が漏洩、改ざん、紛失、毀損した場合。
(五)法律法规和有关主管部门规定的其他情形。 (五)法令及び関係主管部門が定めるその他の場合。
大型网络平台服务提供者应当配合第三方专业机构履行职责,为第三方专业机构开展工作提供必要保障,包括为第三方专业机构指定人员提供必要的访问大型网络平台网络数据设施、系统及操作日志记录权限等。 大規模ネットワークプラットフォームサービス提供者は、第三者専門機関の職務遂行に協力し、その業務実施に必要な保障を提供しなければならない。これには、第三者専門機関が指定した者に対し、大規模ネットワークプラットフォームのネットワークデータ施設、システム及び操作ログ記録への必要なアクセス権限などを付与することが含まれる。
发现大型网络平台服务提供者无能力保障个人信息安全的,国家网信部门、国务院公安部门和有关主管部门可以要求大型网络平台服务提供者通过签订合同等方式将个人信息存储在符合本规定要求的第三方数据中心。 大規模ネットワークプラットフォームサービス提供者が個人情報の安全を保障する能力を有しないと認められた場合、国家インターネット情報部門、国務院公安部門及び関係主管部門は、当該提供者に対し、契約締結等の方法により、本規定の要求を満たす第三者データセンターへの個人情報の保管を求めることができる。
第十八条 鼓励大型网络平台服务提供者应用国家网络身份认证公共服务、使用数据标签标识技术、通过个人信息保护认证等,提高个人信息保护水平。 第十八条 大規模ネットワークプラットフォームサービス提供者は、国家ネットワーク身分認証公共サービスの利用、データタグ識別技術の使用、個人情報保護認証の取得等を通じて、個人情報保護水準の向上を図るよう奨励される。
第十九条 鼓励大型网络平台服务提供者开展个人信息保护相关技术、产品、服务创新,积极参与个人信息保护相关国际标准和规则制定,推动与其他国家、地区之间的个人信息保护规则、标准协调互认。 第十九条 大規模ネットワークプラットフォームサービス提供者は、個人情報保護関連の技術・製品・サービスの革新を推進し、個人情報保護関連の国際標準・規則策定に積極的に参加し、他国・地域との個人情報保護規則・標準の相互認証を促進することが推奨される。
第二十条 任何组织和个人有权对大型网络平台服务提供者、第三方数据中心违反本规定的活动,向履行个人信息保护职责的部门进行投诉、举报。收到投诉、举报的部门应当在15个工作日内依法处理,并将处理结果告知投诉、举报人。 第二十条 いかなる組織・個人も、大規模ネットワークプラットフォームサービス提供者や第三者データセンターが本規定に違反する行為について、個人情報保護職責を履行する部門に苦情・通報する権利を有する。苦情・通報を受けた部門は、15営業日以内に法に基づき処理し、その結果を通報者に通知しなければならない。
履行个人信息保护职责的部门应当加强信息共享,协同开展相关工作。 個人情報保護の職責を履行する部門は、情報共有を強化し、関連業務を連携して実施しなければならない。
第二十一条 网信部门、公安机关和有关主管部门发现大型网络平台服务提供者、第三方专业机构或者数据中心未履行个人信息保护责任的,依法追究责任;构成犯罪的,依法追究刑事责任。 第二十一条 ネット情報部門、公安機関及び関係主管部門は、大規模ネットワークプラットフォームサービス提供者、第三者専門機関又はデータセンターが個人情報保護責任を履行していないことを発見した場合、法に基づき責任を追及する。犯罪を構成する場合は、刑事責任を追及する。
第二十二条 国家网信部门、国务院公安部门和有关主管部门、第三方数据中心、第三方专业机构的工作人员应当对工作过程中知悉的个人隐私、个人信息、商业秘密、保密商务信息等依法予以保密,不得泄露或者非法向他人提供。 第二十二条 国家網信部門、国務院公安部門及び関係主管部門、第三者データセンター、第三者専門機関の職員は、業務過程で知り得た個人のプライバシー、個人情報、営業秘密、機密商業情報等について、法律に基づき秘密を保持し、漏洩または不法に他人に提供してはならない。
第二十三条 开展涉及国家秘密、工作秘密的个人信息处理活动,适用《中华人民共和国保守国家秘密法》等法律、行政法规的规定。 第二十三条 国家機密、業務秘密に関わる個人情報の処理活動を行う場合、『中華人民共和国国家機密保護法』等の法律・行政法規の規定を適用する。
大型网络平台应当落实网络安全等级保护有关要求,属于关键信息基础设施的大型网络平台,还应当遵守国家关于关键信息基础设施安全的有关规定。 大規模ネットワークプラットフォームは、サイバーセキュリティ等級保護に関する要求を履行しなければならない。重要情報インフラに属する大規模ネットワークプラットフォームは、国家の重要情報インフラセキュリティに関する規定にも従わなければならない。
第二十四条 本规定自X年X月X日起施行。 第二十四条 本規定はX年X月X日より施行する。

 

 

解説...

・2025.11.24 专家解读|新形势下完善大型网络平台个人信息保护的重要举措

专家解读|新形势下完善大型网络平台个人信息保护的重要举措 専門家解説|新たな情勢下における大規模ネットワークプラットフォーム個人情報保護の重要施策
日前,国家网信办、公安部联合起草的《大型网络平台个人信息保护规定(征求意见稿)》(以下简称《征求意见稿》)公开征求意见。《征求意见稿》立足新形势新挑战,围绕平台内部治理、数据处理规范、用户权益保障等方面进行精细化制度设计,提出了一系列具有针对性和前瞻性的举措,对于规范大型网络平台数据处理活动、推动平台经济创新和健康发展、完善公民个人信息保护制度体系具有重要意义。 このほど、国家インターネット情報弁公室と公安部が共同で起草した「大規模ネットワークプラットフォーム個人情報保護規定(意見募集稿)」(以下「意見募集稿」という)が意見募集を開始した。『意見募集稿』は新たな情勢と課題を踏まえ、プラットフォーム内部ガバナンス、データ処理規範、ユーザー権益保障などの面において精緻な制度設計を行い、一連の的を射た先見性のある措置を提案している。これは大規模ネットワークプラットフォームのデータ処理活動を規範化し、プラットフォーム経済の革新と健全な発展を推進し、公民個人情報保護制度体系を整備する上で重要な意義を持つ。
一、新形势下完善大型网络平台个人信息保护的重要意义 一、新たな情勢下における大規模ネットワークプラットフォーム個人情報保護の重要性
(一)落实党的二十届四中全会精神的重要举措 (一)党第20期中央委員会第4回全体会議精神の重要な措置
中国共产党第二十届中央委员会第四次全体会议通过的《中共中央关于制定国民经济和社会发展第十五个五年规划的建议》中明确提出,完善监管,推动平台经济创新和健康发展;深化网络空间安全综合治理,加强个人信息保护。大型网络平台是平台经济的核心载体,也是个人信息保护的重点领域。在此背景下,《征求意见稿》正是贯彻落实党中央决策部署、回应新阶段发展需求的重要举措,为实现规范与发展并重、安全与创新协同提供了关键的制度保障,意义重大而深远。 中国共産党第20期中央委員会第4回全体会議で採択された『国民経済・社会発展第15次五カ年計画策定に関する中共中央の提案』は、監督管理の改善によるプラットフォーム経済の革新的かつ健全な発展の推進、サイバー空間安全の総合的ガバナンス深化、個人情報保護の強化を明確に打ち出している。大規模ネットワークプラットフォームはプラットフォーム経済の中核的担い手であり、個人情報保護の重点領域でもある。こうした背景のもと、本意見募集稿は党中央の政策決定を貫徹し、新たな段階の発展ニーズに応える重要な措置であり、規範と発展の両立、安全と革新の協調を実現するための重要な制度的保証を提供するものであり、その意義は極めて重大かつ深遠である。
(二)配套实施个人信息相关立法的必要举措 (二)個人情報関連立法を補完する実施措置の必要性
《个人信息保护法》《网络数据安全管理条例》确立了大型网络平台个人信息保护制度框架。大型网络平台具有用户规模巨大、业务模式复杂、数据处理海量和社会影响力强等显著特征。在实践中,如何将个人信息相关立法的一般性规定精准应用于大型网络平台的复杂场景,亟需更具针对性和可操作性的实施细则。《征求意见稿》对《个人信息保护法》与《网络数据安全管理条例》相关制度进行了深化、细化和补充,填补了个人信息保护领域一般性法律与平台实践之间的操作空白,特别对个人信息可携带权等内容作出了具体的操作指引,是确保个人信息相关立法在大型平台这一关键领域得到全面、深入贯彻执行的必要举措。 『個人情報保護法』『ネットワークデータ安全管理条例』は、大規模ネットワークプラットフォームにおける個人情報保護制度の枠組みを確立した。大規模ネットワークプラットフォームは、ユーザー規模が巨大、ビジネスモデルが複雑、データ処理量が膨大、社会的影響力が強いといった顕著な特徴を有する。実践において、個人情報関連立法の一般的規定を大規模ネットワークプラットフォームの複雑な状況に如何に正確に適用するかについては、より対象性と操作性を備えた実施細則が急務である。『意見募集稿』は『個人情報保護法』と『ネットワークデータ安全管理条例』の関連制度を深化・細分化・補完し、個人情報保護分野における一般法とプラットフォーム実践の間の操作上の空白を埋めた。特に個人情報のポータビリティ権などについて具体的な操作指針を示しており、個人情報関連立法が大規模プラットフォームという重要分野で全面的かつ深く貫徹・執行されるための必要措置である。
(三)推动平台经济健康发展与个人数据规范流动的有力支撑 (三)プラットフォーム経済の健全な発展と個人データの規範的流動を推進する強力な支え
数据要素是平台经济的核心引擎,大型网络平台是海量数据处理的关键枢纽,个人信息在平台间的规范、高效流动,是激发数据要素价值、发展新质生产力的重要基础。《征求意见稿》有利于打击部分大型网络平台对个人信息的违规处理,保障用户权益。通过划定清晰的合规底线和行为规范,消除不确定性,引导大型网络平台规范开展数据处理活动,有利于构建安全可信的数据处理与流动环境、赋能平台经济高质量发展。 データ要素はプラットフォーム経済の中核エンジンであり、大規模ネットワークプラットフォームは膨大なデータ処理の重要なハブである。プラットフォーム間における個人情報の規範的かつ効率的な流動は、データ要素の価値を引き出し、新たな生産力を発展させる重要な基盤である。『意見募集稿』は、一部の大規模ネットワークプラットフォームによる個人情報の違法処理を抑制し、ユーザーの権益を保護するのに有益である。明確なコンプライアンスの基準と行動規範を設定することで不確実性を排除し、大規模ネットワークプラットフォームがデータ処理活動を規範的に実施するよう導くことで、安全で信頼できるデータ処理・流通環境の構築と、プラットフォーム経済の高品質な発展の促進に寄与する。
二、大型网络平台个人信息保护制度的重要创新 二、大規模ネットワークプラットフォーム個人情報保護制度の重要な革新
(一)创新大型网络平台目录管理机制 (一)大規模ネットワークプラットフォーム目録管理メカニズムの革新
《征求意见稿》在细化大型网络平台范畴的基础上,通过制定目录清单,增强对境内建设、运营的大型网络平台管理的透明度和可预期性。《征求意见稿》细化了《网络数据安全管理条例》中对于大型网络平台的定义,明确“业务类型复杂”是指经营重要网络服务或经营范围涵盖多个类型业务,同时要求其掌握的数据一旦被泄露、篡改、毁损将对国家安全、经济运行、国计民生造成重大影响。此外,《征求意见稿》也包括了由国家网信部门和公安机关规定的其他情形,确保监管覆盖的全面性。《征求意见稿》拟建立的目录管理机制,可以让监管机关和监管对象更清晰地识别规定的适用对象,最大程度地解决了大型网络平台界定上的确定性,同时也可以通过目录动态更新,及时回应平台经济发展中的新情况。 『意見募集稿』は大規模ネットワークプラットフォームの範囲を細分化した上で、目録リストを策定することで、国内で構築・運営される大規模ネットワークプラットフォーム管理の透明性と予測可能性を高める。意見募集稿は『ネットワークデータ安全管理条例』における大規模ネットワークプラットフォームの定義を具体化し、「業務タイプが複雑」とは重要なネットワークサービスを営むか、または営業範囲が複数の業務タイプを包含することを指すと明確化している。同時に、当該プラットフォームが掌握するデータが漏洩、改ざん、毀損された場合、国家安全保障、経済運営、国民経済と民生に重大な影響を及ぼすことを要求している。さらに、意見募集稿には国家サイバー空間管理局及び公安機関が定めるその他の状況も含まれており、監督対象の包括性を確保している。意見募集稿が構築を目指すリスト管理メカニズムは、監督機関と監督対象が規定の適用対象をより明確に識別できるようにし、大規模ネットワークプラットフォームの定義における不確実性を最大限に解消すると同時に、リストの動的更新を通じてプラットフォーム経済発展における新たな状況にタイムリーに対応できる。
(二)健全大型网络平台内部治理架构 (二)大規模ネットワークプラットフォームの内部ガバナンス構造の健全化
《征求意见稿》的核心举措之一,是明确要求大型网络平台建立并落实个人信息保护负责人制度,着力完善大型网络平台的内部治理架构。 意見募集稿の中核的措置の一つは、大規模ネットワークプラットフォームに対し個人情報保護責任者制度の確立と実施を明確に要求し、同プラットフォームの内部ガバナンス体制の整備に注力することである。
一是严格限定了负责人的资质和权威性。《征求意见稿》要求负责人必须由管理层成员担任,且必须是中国国籍,无境外永久居留权或长期居留许可,并具备五年以上相关经验。为降低企业合规成本,允许数据安全负责人兼任。 第一に、責任者の資格と権限を厳格に限定した。意見募集稿は責任者が管理職メンバーが務め、かつ中国国籍を有し、海外の永住権や長期滞在許可を持たず、5年以上の関連経験を有することを要求する。企業のコンプライアンスコスト削減のため、データセキュリティ責任者の兼任を認める。
二是赋予负责人实质性的决策权与监督权。《征求意见稿》明确个人信息保护负责人有权参与个人信息处理相关决策并享有否决权,同时承担指导合规、配合检查,以及发现违法犯罪行为时向监管部门和公安机关报告的法定职责。 第二に、責任者に実質的な意思決定権と監督権を付与している。意見募集稿は、個人情報保護責任者が個人情報の処理に関する意思決定に参加し拒否権を行使できることを明確化するとともに、コンプライアンス指導、検査協力、違法行為発見時の監督部門及び公安機関への報告といった法定職責を課している。
三是强调体系化保障。《征求意见稿》要求平台配备专门团队,协助负责人开展规则制定、权限管理、监测审计、应急演练和未成年人保护等工作。负责人的相关信息须统一报国家网信部门,再由国家网信部门向公安机关等部门共享,形成高效协同的监管闭环。 第三に、体系的な保障を強調している。意見募集稿は、プラットフォームが専門チームを設置し、責任者が規則制定、権限管理、監視監査、緊急訓練、未成年者保護などの業務を遂行するのを支援するよう求めている。責任者の関連情報は国家サイバー空間管理局に一括報告され、同局から公安機関などの部門に共有されることで、効率的な連携による監督管理の閉ループを形成する。
(三)完善大型网络平台治理与审计机制 (三)大規模ネットワークプラットフォームのガバナンスと監査メカニズムの整備
《征求意见稿》着眼于数据流转的全链条安全,建立了一套严格的闭环治理机制。 意見募集稿はデータ流通の全プロセスにおける安全性に着目し、厳格な閉ループ管理メカニズムを構築した。
一是强化数据存储的属地管理与“延伸监管”。《征求意见稿》明确,境内收集和产生的数据原则上应在境内存储。对大型网络平台的监管延伸至数据中心,明确其负责人必须是中国国籍,无境外永久居留权或长期居留许可。数据中心的安全性要符合国家有关标准。数据确需出境的,必须严守国家规定。 第一に、データ保存の属地管理と「監督範囲の拡大」を強化する。意見募集稿は、国内で収集・生成されたデータは原則として国内に保存すべきと明記した。大規模ネットワークプラットフォームの監督対象をデータセンターまで拡大し、責任者は中国国籍を有し、海外の永住権や長期滞在許可を持たないことを明確化した。データセンターの安全性は国家関連標準に適合しなければならない。データが国外への持ち出しを必要とする場合、国家規定を厳守しなければならない。
二是健全风险处置与第三方协同机制。《征求意见稿》要求平台发现数据中心存在相关风险须立即补救并报告监管部门及个人信息保护负责人。若使用第三方数据中心,必须签订合同明确其职责,并要求其接受个人信息保护负责人的监督。 第二に、リスク対応と第三者連携メカニズムを整備する。意見募集稿は、プラットフォームがデータセンターにリスクを発見した場合、直ちに是正措置を講じ、監督部門及び個人情報保護責任者に報告することを要求する。第三者のデータセンターを利用する場合、契約を締結してその責任を明確化し、個人情報保護責任者の監督を受けることを要求する。
三是细化了强制合规审计的触发条件。《征求意见稿》明确,在发生严重风险、多次违规、导致100万以上个人信息或10万人以上敏感个人信息泄露的重大安全事件时,必须强制引入第三方审计,同时平台必须为第三方审计提供必要的访问权限和便利。 第三に、強制的なコンプライアンス監査のトリガー条件を細分化した。意見募集稿は、重大なリスク発生、複数回の違反、100万件以上の個人情報または10万人以上の機微な個人情報が漏洩する重大なセキュリティインシデントが発生した場合、第三者監査を強制的に導入すると同時に、プラットフォームは第三者監査に必要なアクセス権限と便宜を提供しなければならないと明確にしている。
(四)细化个人信息可携带操作方案 (四)個人情報のポータビリティ実施方案の細分化
《征求意见稿》对《个人信息保护法》中的个人信息可携带进行了操作层面的细化,为用户实现个人信息可携带提供了清晰路径。 意見募集稿は個人情報保護法における個人情報のポータビリティについて運用レベルで具体化し、ユーザーが個人情報のポータビリティを実現するための明確な道筋を示した。
一是明确了响应时限与流程。《征求意见稿》要求大型平台在收到用户转移请求后,原则上应在30个工作日内,以通用的机器可读格式完成信息转移,并通知个人结果。若因请求量大或操作复杂确需延期,在必要合理的前提下可再延长30个工作日,但必须向用户说明原因。 第一に、対応期限とプロセスを明確化した。意見募集稿は、大規模プラットフォームがユーザーの移転要求を受領後、原則として30営業日以内に汎用的な機械可読形式で情報移転を完了し、結果を個人に通知するよう求めている。要求量が多い場合や操作が複雑な場合など、延期が真に必要な時は、必要かつ合理的な前提のもとでさらに30営業日延長できるが、ユーザーに理由を説明しなければならない。
二是规范了技术实现与安全要求。《征求意见稿》支持通过应用程序接口或标准化方式进行转移,并要求平台在过程中采取身份验证和加密传输措施,确保数据转移全过程的安全可控。 次に、技術的実現と安全要件を規範化した。意見募集稿はアプリケーションプログラミングインターフェース(API)や標準(標準)化された方法による移転を支持し、プラットフォームがプロセス中に本人確認と暗号化伝送措置を講じ、データ移転の全過程の安全性と管理性を確保するよう求めている。
三是平衡了权利与成本。对于不符合法定条件而无法转移的请求,《征求意见稿》要求平台必须向用户说明理由;同时,允许平台收取基于实际成本的必要费用,确保了该机制的可持续运行。 第三に、権利とコストのバランスを取った。法定条件を満たさず移転できない請求については、プラットフォームはユーザーに理由を説明しなければならない。同時に、プラットフォームが実費に基づく必要経費を徴収することを認め、この仕組みの持続可能な運営を確保している。
《中共中央关于制定国民经济和社会发展第十五个五年规划的建议》对有效市场和有为政府的结合提出更高要求,体现了从“管得住”到“管得好”的升维调整。相信经充分讨论和修改完善后,《征求意见稿》相关制度设计的科学性、可行性与可操作性必将得到进一步提升,有效实现大型网络平台个人信息保护“管得好”的目标,为平台经济的创新和健康发展提供更加坚实的制度保障。(作者:周辉,中国社会科学院法学研究所网络与信息法研究室副主任) 『中国共産党中央委員会による国民経済・社会発展第15次五カ年計画策定に関する提案』は、効果的な市場と有為な政府の結合に対しより高い要求を提示し、「管理できる」から「管理を良くする」への次元上昇を体現している。十分な議論と修正を経て、意見募集稿の制度設計の科学性・実現可能性・運用性はさらに向上し、大規模ネットプラットフォームにおける個人情報保護の「効果的な管理」目標を達成し、プラットフォーム経済の革新的かつ健全な発展に堅固な制度的保障を提供すると確信する。(筆者:周輝、中国社会科学院法学研究所ネットワーク・情報法研究室副主任)

 

1_20251130152901

 


 

まるちゃんの情報セキュリティ気まぐれ日記

大規模ネットワークプラットフォーム

・2025.09.21 中国 サイバーセキュリティ・インシデント報告管理弁法 (2025.09.15)

・2025.09.20 中国 大規模オンラインプラットフォームによる個人情報保護監督委員会の設置に関する規定(案)(2025.09.12)

・2025.02.26 中国 個人情報保護コンプライアンス監査管理弁法 指針、Q&A、専門家による解説 (2025.02.14)

・2024.10.22 中国 ネットワークデータセキュリティ管理条例 (2024.09.30)

・2022.02.20 中国 「ネットワークセキュリティ審査弁法」についての2つの専門家の意見 

・2021.08.31 中国 「個人情報保護法」についての専門家の解釈

・2021.08.24 中国 全国人民代表大会常務委員会法制委員会経済法室の楊和慶副室長による個人情報保護法の説明

 

| | Comments (0)

IPA ★3(レベル3)セキュリティ要件・適合基準案へのパブリック・コメント募集 (2025.11.27)

こんにちは、丸山満彦です。

IPAが、「★3(レベル3)セキュリティ要件・適合基準案(通信機器)と(ネットワークカメラ)」へのパブリック・コメントが募集されていますね...

ケアレスミスがいくつかあるようですが、それは修正されるとして、他の制度や文書等で求められているセキュリティ要件との関係性も本当はよく確認しないと間違っている場合もあるかもですね...

あと、関係性についても、どのような関係性なのか、定義をしておく必要があるように思いますね。。。

今回の適合基準の要件を緑色、比較する基準の要件をグレーとすると

Bの場合は、比較する基準の要件を満たしていれば、今回の適合基準の要件に自動的に適合するわけですが、AやCの場合は、そうとは限らない。

そして、関係性の深さもA1、B1、C1とA2、B2、C2の場合では異なる...せめてBなのかBでないかの区別はあっても良いかもですね...

1_20251130065001

 

 

● IPA

・2025.11.27 ★3(レベル3)セキュリティ要件・適合基準案へのパブリック・コメント募集

 

通信機器

・[PDF] ★3セキュリティ要件・適合基準案(通信機器)

20251129-183024

・[PDF] ★3適合基準案_ガイダンス文書あり(通信機器)

20251129-183226

 

ネットワークカメラ

・[PDF] ★3セキュリティ要件・適合基準案(ネットワークカメラ)

20251129-183043

・[PDF] ★適合基準案_ガイダンス文書あり(ネットワークカメラ)

20251129-183234

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.11.30 中国 サイバースペース管理局 意見募集「サイバーセキュリティラベル管理弁法」(2025.11.21)

 

 

 


2つの適合基準案が比較しやすいようにしてみました...

↓↓↓↓↓↓








 

 

Continue reading "IPA ★3(レベル3)セキュリティ要件・適合基準案へのパブリック・コメント募集 (2025.11.27)"

| | Comments (0)

CISA 重要インフラを無人航空システム脅威から守る新たな3つのガイドを公表 (2025.11.19)

こんにちは、丸山満彦です。

物理セキュリティです...CISAですからサイバーだけではないです...

CISAが、重要インフラをいわゆるドローンの脅威からまもるためのガイドを公表しています...

昔日本でも官邸にドローンが不時着?墜落?するといった事故がありましたし、こういうガイドのようなものは日本にはないような気がしますが、ドローンを普及させる上では、ドローンの脅威からまもるためのガイドというのは必要となるでしょうね...

ちなみに、ドローンに対するセキュリティガイドは、2025年10月に解散した一般社団法人セキュアドローン協議会(日本UAS産業振興協議会(JUIDA) のセキュアドローン推進委員会に移行)のドローンセキュリティガイド第5版(2024.06)[downloaded]があります...

 

ということで、話をもとにもどして、CISAのドローンの脅威から守るガイドです...

Unmanned Aircraft System Detection Technology Guidance 無人航空機システム検知技術ガイダンス
Suspicious Unmanned Aircraft System Activity Guidance 不審な無人航空機システム活動ガイダンス
Safe Handling Considerations for Downed Unmanned Aircraft Systems 墜落した無人航空機システムの安全な取り扱いに関する考慮事項

の3つからなります...

 

 

● CISA

ブログ...

CISA Urges Critical Infrastructure to Be Air Aware CISAは重要インフラに対し、航空機への警戒を呼びかける
Why the Nation’s Cyber Defense Agency is Committed to Securing Critical Infrastructure Against Unmanned Aircraft Systems (UAS) Threats 国家サイバー防衛機関が無人航空機システム(UAS)の脅威から重要インフラを保護する取り組みを強化する理由
Drones seem to be everywhere these days. Formally known as unmanned aircraft systems (UAS), as drone use has risen exponentially within the U.S., new security concerns have emerged for public gatherings and critical infrastructure facilities. UAS capabilities can enhance operations, support emergency response missions, and more; but they can also present unique security challenges. UAS can also be used to deliver dangerous payloads like hazardous chemicals or improvised explosive devices; to deliver contraband; to conduct surveillance and even assist in cyber-attacks. Their advanced capabilities and ability to bypass traditional, ground-based security measures, make UAS a complex and timely concern.  ドローンは今や至る所で見かける。正式名称は無人航空機システム(UAS)であり、米国内でのドローン使用が急増する中、公共集会や重要インフラ施設に対する新たなセキュリティ上の懸念が生じている。UASの能力は業務効率化や緊急対応任務の支援などに役立つが、同時に特有のセキュリティ課題も生む。UASは危険化学物質や即席爆発装置(IED)といった危険物資の運搬、密輸品の輸送、監視活動、さらにはサイバー攻撃の支援にも利用され得る。その高度な能力と、従来の地上ベースのセキュリティ対策を迂回する特性が、UASを複雑かつ喫緊の懸念事項としている。
That is why, as we recognize Critical Infrastructure Security and Resilience Month this November, the Cybersecurity and Infrastructure Security Agency (CISA) is highlighting its year-round efforts to support the critical infrastructure community in navigating UAS related risks, while harnessing the technology’s potential for innovation and enhanced security.   だからこそ、11月の重要インフラセキュリティ・レジリエンス月間を機に、サイバーセキュリティ・インフラセキュリティ庁(CISA)は、重要インフラコミュニティがUAS関連リスクに対処する支援を年間を通じて行っていることを強調する。同時に、この技術の革新性とセキュリティ強化の可能性を活用しているのだ。
While CISA is the Nation’s Cyber Defense Agency, we also serve as the National Coordinator for the security and resilience of U.S. critical infrastructure. Through this mission, we fully recognize that the safety and security of the nation depends on the ability of critical infrastructure owners and operators to anticipate and adapt to evolving threats, maintain operations, and recover from disruptions – including those posed by UAS systems. We can accomplish this through a whole-of-community approach and by building resilience into our preparedness planning by understanding the threat landscape and assessing risks; creating and exercising actionable plans; and continually adapting and improving based on lessons learned. But this isn’t an exercise intended just for November. This needs to be a year-round effort that is built into the fabric of our nation’s critical infrastructure. CISAは国家のサイバー防衛機関であると同時に、米国重要インフラのセキュリティとレジリエンスに関する国家調整機関としての役割も担っている。この使命を通じて、我々は国家の安全とセキュリティが、重要インフラの所有者・運営者が進化する脅威を予測・適応し、運用を維持し、UASシステムを含む障害からの復旧能力にかかっていることを深く認識している。これを達成するには、コミュニティ全体のアプローチと、脅威環境の理解・リスクアセスメントによる準備計画へのレジリエンス構築、実行可能な計画の作成と訓練、教訓に基づく継続的な適応・改善が必要だ。しかしこれは11月だけの訓練ではない。国家重要インフラの基盤に組み込まれた通年の取り組みでなければならない。
Threat  脅威
The 2025 DHS Homeland Threat Assessment highlights ongoing UAS threats:  2025年版国土安全保障省(DHS)の国内脅威評価は、継続的なUAS脅威を指摘している:
“We continue to observe concerning UAS activity over sensitive critical infrastructure sites, which could interfere with regular facility operations, disrupt emergency response or authorized flight operations, and provide intelligence to malign actors. We currently have no information suggesting violent extremists are using drones in attack planning, but in some instances, Domestic Violent Extremists and Foreign Terrorist Organizations have considered using UAS to conduct intelligence collection, to drop explosives and other items on US critical infrastructure for disruption purposes, and to endanger takeoffs and landings at airports via the mere presence of UAS.” 「我々は、重要インフラ施設上空における懸念すべきUAS活動を継続的に観測している。これは施設の通常運用を妨害し、緊急対応や認可された航空運航を混乱させ、悪意ある主体に情報を提供する可能性がある。現時点で、過激派が攻撃計画にドローンを使用していることを示す情報はない。しかし、国内過激派や外国テロ組織が、情報収集、米国重要インフラへの爆発物投下、空港離着陸への妨害目的でのUAS使用を検討した事例がある。また、UASの存在そのものが空港の離着陸を危険に晒す可能性もある。」
"UAS offer the potential to enhance public safety as well as cement America's leadership in global innovation. But criminals, terrorists, and hostile foreign actors have intensified their weaponization of these technologies, creating new and serious threats to our homeland. Drug cartels use UAS to smuggle fentanyl across our borders, deliver contraband into prisons, surveil law enforcement, and otherwise endanger the public. Mass gatherings are vulnerable to disruptions and threats by unauthorized UAS flights. Critical infrastructure, including military bases, is subject and frequent, and often unidentified, UAS incursions."  UASは公共の安全向上と米国の世界的イノベーションにおける主導権強化の可能性を秘めている。しかし犯罪者、テロリスト、敵対的な外国勢力はこれらの技術の兵器化を強化し、我が国に新たな深刻な脅威を生み出している。麻薬カルテルはUASを用いて国境を越えてフェンタニルを密輸し、刑務所に密輸品を送り込み、法執行機関を監視し、その他にも公衆を危険に晒している。大規模集会では、許可されていないUAS飛行による妨害や脅威に脆弱性がある。軍事基地を含む重要インフラは、頻繁に、そしてしばしば未確認のUAS侵入に晒されている。」
Executive Order 14305  大統領令14305号
UAS are affordable, easy to modify, and have advanced capabilities, making them a unique and multifaceted threat to critical infrastructure. Whether it's an operator accidentally crashing a UAS into a crowd or a malicious actor planning an attack, the risks are real. For example, in November 2024, a suspect was arrested and charged with attempting to affix an explosive device to a UAS and fly it into a critical infrastructure. UASは安価で改造が容易、かつ高度な能力を備えているため、重要インフラに対する独特かつ多面的な脅威となる。操縦者が誤ってUASを群衆に墜落させる場合も、悪意ある者が攻撃を計画する場合も、リスクは現実のものだ。例えば2024年11月、UASに爆発装置を取り付け重要インフラへ突入させようとした容疑者が逮捕・起訴された事例がある。
CISA’s Be Air Aware™ Campaign strengthens UAS Risk Management  CISAの「Be Air Aware™」キャンペーンがUASリスクマネジメントを強化
In recognition of Critical Infrastructure Security and Resilience Month, CISA is shining a spotlight on its Be Air AwareTM campaign resources and services. Critical infrastructure owners and operators have access to unprecedented insight and actionable guidance to help understand and manage UAS risks effectively.  重要インフラセキュリティ・レジリエンス月間を記念し、CISAは「Be Air Aware™」キャンペーンのリソースとサービスを重点的に紹介している。重要インフラの所有者や運営者は、UASリスクを効果的に理解・管理するための前例のない知見と実践的なガイダンスを利用できる。
CISA, in partnership with public and private sector stakeholders, developed three new security guidance products. Each product addresses a specific topic in managing UAS risks.    CISAは官民のステークホルダーと連携し、3つの新たなセキュリティガイダンス製品を開発した。各製品はUASリスク管理における特定テーマに対応している。
・Suspicious Unmanned Aircraft System Activity Guidance for Critical Infrastructure Owners and Operators  ・重要インフラ所有者・運営者向け不審な無人航空機システム活動ガイダンス
・Safe Handling Considerations for Downed Unmanned Aircraft Systems   ・墜落した無人航空システムの安全な取り扱いに関する考慮事項
・UAS Detection Technology Guidance for Critical Infrastructure  ・重要インフラ向けUAS検知技術ガイダンス
Organizations can incorporate information and recommendations from these guides into their existing security and emergency response plans to better prepare for and respond to UAS-related incidents. Additional UAS security guidance products are available on CISA’s Be Air Aware™ web presence.  組織はこれらのガイダンスの情報と推奨事項を既存のセキュリティ計画や緊急対応計画に組み込むことで、UAS関連インシデントへの備えと対応を強化できる。追加のUASセキュリティガイダンス製品はCISAの「Be Air Aware™」ウェブページで入手可能だ。
Beyond providing UAS security guidance, CISA also offers the following resources and services:  UASセキュリティガイダンスの提供に加え、CISAは以下のリソースとサービスも提供する:
・For specific high risk special events or mass gatherings, CISA provides coordination support for UAS-only temporary flight restriction requests.   ・特定のハイリスク特別イベントや大規模集会において、CISAはUAS専用の臨時飛行制限区域設定要請に対する調整支援を行う。
・CISA Regional Physical and Cyber Security Advisors provide critical infrastructure protection guidance, conduct security assessments, recommend vulnerability mitigation strategies, and offer cybersecurity assistance.   ・CISA地域物理・サイバーセキュリティアドバイザーは、重要インフラ保護ガイダンスの提供、セキュリティ評価の実施、脆弱性軽減戦略の提言、サイバーセキュリティ支援を行う。
・CISA designs, develops, conducts, and evaluates exercises ranging from small-scale, limited-scope, discussion-based exercises (e.g., two-hour seminars) to large-scale, internationally scoped, operations-based exercises (e.g., multi-day, full-scale exercises), many incorporating a UAS scenario.  ・CISAは、小規模・限定範囲の討論型演習(例:2時間のセミナー)から大規模・国際的範囲の作戦型演習(例:複数日・実戦規模の演習)までを設計・開発・実施・評価する。多くの演習にUASシナリオが組み込まれている。
・CISA’s Office for Bombing Prevention offers training and technical assistance to advance bombing prevention and response capabilities that include dealing with weaponized UAS.  ・CISA爆弾防止局は、兵器化されたUASへの対応を含む爆弾防止・対応能力の向上に向けた訓練と技術支援を提供する。
For more information on CISA’s UAS resources and services, visit Be Air Aware™.  CISAのUAS関連リソースとサービスに関する詳細は、Be Air Aware™を参照のこと。

 

 

プレス発表

・2025.11.19 CISA Releases New Guides to Safeguard Critical Infrastructure from Unmanned Aircraft Systems Threats

CISA Releases New Guides to Safeguard Critical Infrastructure from Unmanned Aircraft Systems Threats CISA、重要インフラを無人航空機システムの脅威から守る新たなガイドを発表
Newest Addition to CISA’s Be Air Aware™ Campaign to Enhance Security Measures Against Drone-Related Risks ドローン関連リスクへの対策強化を目指すCISAの「Be Air Aware™」キャンペーンに新たに加わる
WASHINGTON - The Cybersecurity and Infrastructure Security Agency (CISA) unveiled three new guides to assist critical infrastructure owners and operators in understanding and mitigating risks associated with unmanned aircraft systems (UAS). These products are part of CISA’s Be Air Aware™ resources and include “Unmanned Aircraft System Detection Technology Guidance for Critical Infrastructure,” “Suspicious Unmanned Aircraft System Activity Guidance for Critical Infrastructure Owners and Operators” and “Safe Handling Considerations for Downed Unmanned Aircraft Systems." ワシントン - サイバーセキュリティ・インフラセキュリティ庁(CISA)は、重要インフラの所有者および運営者が無人航空機システム(UAS)に関連するリスクを理解し、緩和するための支援を目的とした、3つの新たなガイドを発表した。これらの資料はCISAの「Be Air Aware™」リソースの一部であり、「重要インフラ向け無人航空機システム検知技術ガイダンス」、「重要インフラ所有者・運営者向け不審な無人航空機システム活動ガイダンス」、「墜落した無人航空機システムの安全な取り扱いに関する考慮事項」で構成される。
“The new risks and challenges from UAS activity demonstrate that the threat environment is always changing, which means our defenses must improve as well,” said CISA Acting Director Madhu Gottumukkala. “CISA’s Be Air Aware™ resources are designed to empower critical infrastructure owners and operators with the information they need to better safeguard their systems and assets.” CISAのMadhu Gottumukkala代理局長は次のように述べた。「UAS活動による新たなリスクと課題は、脅威環境が常に変化していることを示している。つまり我々の防御も同様に改善されねばならない。CISAの『Be Air Aware™』リソースは、重要インフラの所有者や運営者が自社のシステムと資産をより良く保護するために必要な情報を提供することを目的としている。」
As the commercial and recreational use of UAS continues to soar, the frequency of UAS operating near critical infrastructure is expected to rise significantly.  While most UAS activity is mostly harmless, some flights may go undetected, raise suspicions, or result in a downed UAS within a facility’s perimeter. To address these potential threats, CISA has developed a suite of UAS security resources. These resources are designed to help critical infrastructure owners and operators enhance their security planning and make recommendations to better manage UAS-related risks. UASの商業・娯楽利用が急増する中、重要インフラ付近でのUAS運用頻度は大幅に増加すると予想される。大半のUAS活動は無害だが、検知されない飛行や不審な飛行、施設境界内での墜落事故が発生する可能性がある。こうした潜在的な脅威に対処するため、CISAはUASセキュリティ関連資料一式を開発した。これらの資料は、重要インフラの所有者や運営者がセキュリティ計画を強化し、UAS関連のリスクマネジメントを改善するための提言を行うことを支援する目的で設計されている。
"The release of these guides is a significant step in supporting the actions mandated under Executive Order 14305. By addressing the escalating UAS threats, including the frequent incursions at critical infrastructure facilities, we are taking proactive measures to protect our nation’s vital assets” said Steve Casapulla, CISA Executive Assistant Director for Infrastructure Security. "These guides provide critical infrastructure owners and operators with meaningful information and resources to fortify their security posture, enabling them to address UAS threats to public gatherings and critical infrastructure." 「これらのガイドの公開は、大統領令14305で義務付けられた行動を支援する上で重要な一歩だ。重要インフラ施設への頻繁な侵入を含む、高まるUAS脅威に対処することで、我々は国家の重要資産の防御のための積極的な措置を講じている」と、CISAインフラセキュリティ担当執行副局長のスティーブ・カサプラは述べた。「これらのガイドは、重要インフラの所有者や運営者に、セキュリティ態勢を強化するための有益な情報とリソースを提供し、公共の集まりや重要インフラに対するUAS脅威に対処することを可能にする。」
Developed in collaboration with government partners, UAS subject matter experts, and industry representatives from across critical infrastructure sectors, these resources are part of CISA’s Be Air Aware™ resources and aim to enhance awareness of the cyber and physical threats posed by UAS as well as provide practical options to manage UAS risks to critical infrastructure and public gatherings.     政府機関、UAS専門家、重要インフラ各セクターの業界代表者と共同で開発されたこれらのリソースは、CISAの「Be Air Aware™」リソース群の一環であり、UASがもたらすサイバー脅威及び物理的脅威への認識向上と、重要インフラ及び公共集会に対するUASリスクマネジメントの実践的選択肢の提供を目的としている。
These guidelines are another key component of CISA’s observance of Critical Infrastructure Security and Resilience Month. This dedicated timeframe raises awareness about the vital role of our nation's infrastructure and the importance of ensuring its security and resilience. These guides underscore CISA's unwavering commitment to providing actionable guidance and support to safeguard critical infrastructure from emerging threats. これらのガイドラインは、CISAが重要インフラセキュリティ・レジリエンス月間を推進する上での重要な構成要素である。この特別期間は、わが国のインフラが担う重要な役割と、そのセキュリティ及びレジリエンスを確保することの重要性について認識を高めるものである。これらのガイドは、新たな脅威から重要インフラを保護するための実践的なガイダンスと支援を提供するというCISAの揺るぎない取り組みを強調している。
CISA encourages organizations to utilize the information and recommendations in each guide to seamlessly integrate UAS considerations into existing security and emergency response plans. CISAは、各ガイドの情報と推奨事項を活用し、UAS対策を既存のセキュリティ計画や緊急対応計画にシームレスに統合するよう組織に促している。
For more information on CISA’s role and resources, read our blog - CISA is urging critical infrastructure to Be Air Aware - and visit Be Air Aware™. CISAの役割とリソースに関する詳細は、ブログ記事「CISAが重要インフラに求める『Be Air Aware』」を参照し、Be Air Aware™サイトを訪れること。

 


 

無人航空機システム検知技術ガイダンス

・2025.11.19 Unmanned Aircraft System Detection Technology Guidance

Unmanned Aircraft System Detection Technology Guidance 無人航空機システム検知技術ガイダンス
The Unmanned Aircraft System Detection Technology Guidance provides key considerations for how to select and leverage unmanned aircraft system (UAS) detection technology to enhance situational awareness of UAS related activity. These include: 本「無人航空機システム検知技術ガイダンス」は、UAS関連活動の状況認識を強化するための検知技術選定・活用における重要事項を示す。主な内容は以下の通りである:
・Establishing detection technology capability requirements by understanding the threats posed by UAS; considering a facility’s characteristics such as location, layout, or airspace; and assessing organizational factors such as security protocols and available resources. ・UASがもたらす脅威の理解、施設の立地・配置・空域特性、セキュリティプロトコルや可用資源といった組織的要因の評価に基づき、検知技術能力要件を確立すること。
・Determining site-appropriate detection technology based on the capabilities and considerations of UAS detection sensors. ・UAS検知センサーの能力と考慮事項に基づき、現場に適した検知技術を決定する。
・Integrating detection technology into existing security plans to support a layered approach to protecting against UAS threats. ・既存のセキュリティ計画に検知技術を統合し、UAS脅威に対する多層的防御アプローチを支援する。

・[PDF]

20251129-85237

 

 

不審な無人航空機システム活動ガイダンス

・2025.11.19 

Suspicious Unmanned Aircraft System Activity Guidance 不審な無人航空機システム活動ガイダンス
Suspicious Unmanned Aircraft System Activity Guidance for Critical Infrastructure Owners and Operators is intended for critical infrastructure stakeholders who are concerned with unmanned aircraft system (UAS) activity near or around their facilities. This product provides guidance for the following: 重要インフラ所有者・運営者向け不審な無人航空機システム活動ガイダンスは、施設周辺における無人航空機システム(UAS)活動を懸念する重要インフラ関係者を対象とする。本資料は以下の事項に関する指針を提供する:
・Understanding routine UAS activity and unique considerations for different facilities and areas. ・日常的なUAS活動と、施設・地域ごとの特有の考慮事項の理解。
・Understanding UAS capabilities and asset vulnerabilities and how UAS can be used to carry out nefarious activity. ・UASの能力と資産の脆弱性、およびUASが悪意ある活動に利用される可能性の理解。
・Recognizing suspicious UAS activity indicators and how to determine the appropriate response. ・不審なUAS活動の兆候を認識し、適切な対応を判断する方法。
・Responding to suspicious UAS activity to include engaging law enforcement. ・不審なUAS活動への対応(法執行機関への通報を含む)。
For questions regarding this resource, please email sUASsecurity@cisa.dhs.gov. 本資料に関する質問は、sUASsecurity@cisa.dhs.gov までメールで問い合わせること。
SUSPICIOUS_UNMANNED_AIRCRAFT_SYSTEM_ACTIVITY_GUIDANCE 508_11JULY25.pdf SUSPICIOUS_UNMANNED_AIRCRAFT_SYSTEM_ACTIVITY_GUIDANCE 508_11JULY25.pdf

・[PDF]

20251129-85243

 

墜落した無人航空機システムの安全な取り扱いに関する考慮事項

・2025.11.19 

Safe Handling Considerations for Downed Unmanned Aircraft Systems 墜落した無人航空機システムの安全な取り扱いに関する考慮事項
Safe Handling Considerations for Downed Unmanned Aircraft Systems provides information on how to prepare for and respond to downed unmanned aircraft systems (UAS) that may pose a safety or security concern. 墜落した無人航空機システムの安全な取り扱いに関する考慮事項は、安全または保安上の懸念を引き起こす可能性のある墜落した無人航空機システム(UAS)への準備と対応方法に関する情報を提供する。
The first step is to plan ahead to ensure a timely and appropriate response if a downed UAS incident occurs. This includes building relationships with the Federal Aviation Administration and local law enforcement, incorporating UAS safe handling practices into emergency response plans, establishing roles and responsibilities in the case of an incident, and conducting periodic training and exercises. 最初のステップは、墜落したUASのインシデントが発生した場合に迅速かつ適切な対応を確保するための事前計画を立てることである。これには、連邦航空局(FAA)や地元法執行機関との関係構築、緊急対応計画へのUAS安全取り扱い手順の組み込み、事故発生時の役割分担の確立、定期的な訓練と演習の実施が含まれる。
In the event of a downed UAS incident, consider the following steps to support a safe and effective response: 墜落したUASインシデントが発生した場合、安全かつ効果的な対応を支援するため、以下の手順を検討する:
・Secure the area by restricting access and establishing a safe zone around the unknown downed UAS until law enforcement arrives.      ・法執行機関が到着するまで、未知の墜落UAS周辺へのアクセスを制限し安全区域を設定して現場を確保する。
・Activate emergency plans and incident notifications for a quick and safe assessment of and response to the situation. ・緊急計画を発動し、状況の迅速かつ安全なアセスメントおよび対応のためのインシデント通知を行う。
・Record incident details by collecting key information such as incident date, time, location; UAS make, model, and power source; and any possible payloads or suspicious characteristics. ・インシデントの詳細を記録する。具体的には、インシデント発生日時・場所、UASのメーカー・機種・動力源、搭載物や不審な特徴などの重要情報を収集する。
・Determine next steps based on law enforcement and legal counsel guidance regarding returning the UAS to the owner or maintaining possession. ・UASを所有者に返還するか、引き続き保管するかは、法執行機関および法律顧問の指導に基づき次の対応を決定する。
For questions regarding this resource, please email sUASsecurity@cisa.dhs.gov. 本資料に関する質問は sUASsecurity@cisa.dhs.gov までメールで問い合わせること。
Safe Handling Considerations for Downed Unmanned Aircraft Systems 墜落した無人航空機システムの安全な取り扱いに関する考慮事項

・[PDF]

20251129-85414

 

 

 


大統領令14305 アメリカの空域主権回復

・2025.06.06  Executive Order 14305 RESTORING AMERICAN AIRSPACE SOVEREIGNTY

RESTORING AMERICAN AIRSPACE SOVEREIGNTY アメリカの空域主権回復
By the authority vested in me as President by the Constitution and the laws of the United States of America, it is hereby ordered: 合衆国憲法及び法律により大統領として私に付与された権限に基づき、ここに次の通り命ずる:
Section 1.  Purpose. Unmanned aircraft systems (UAS), otherwise known as drones, offer the potential to enhance public safety as well as cement America’s leadership in global innovation.  But criminals, terrorists, and hostile foreign actors have intensified their weaponization of these technologies, creating new and serious threats to our homeland.  Drug cartels use UAS to smuggle fentanyl across our borders, deliver contraband into prisons, surveil law enforcement, and otherwise endanger the public.  Mass gatherings are vulnerable to disruptions and threats by unauthorized UAS flights.  Critical infrastructure, including military bases, is subject to frequent — and often unidentified — UAS incursions.  Immediate action is needed to ensure American sovereignty over its skies and that its airspace remains safe and secure. 第1条 目的 無人航空機システム(UAS)、いわゆるドローンは、公共の安全を向上させるとともに、米国の世界的イノベーションにおけるリーダーシップを確固たるものにする可能性を秘めている。しかし犯罪者、テロリスト、敵対的な外国勢力は、これらの技術の兵器化を強化し、わが国に新たな深刻な脅威を生み出している。麻薬カルテルはUASを用いて国境を越えてフェンタニルを密輸し、刑務所に密輸品を送り込み、法執行機関を監視し、その他にも公衆を危険に晒している。 大規模集会は、許可されていないUAS飛行による妨害や脅威に対して脆弱性を持っている。軍事基地を含む重要インフラは、頻繁に、そしてしばしば未確認のUAS侵入に晒されている。米国の空域に対する主権を確保し、その空域が安全かつ確実に保たれるよう、直ちに行動が必要である。
Sec. 2.  Definitions.  For the purposes of this order: 第2条 定義。本命令において:
(a)  the term “unmanned aircraft systems” or “UAS” has the meaning given in 49 U.S.C. 44801; (a) 「無人航空機システム」または「UAS」とは、49 U.S.C. 44801に定義される意味を有する。
(b)  the term “critical infrastructure” has the meaning given in 42 U.S.C. 5195c(e), and includes systems and assets in all of the designated critical infrastructure sectors identified in National Security Memorandum 22 of April 30, 2024 (Critical Infrastructure Security and Resilience) (NSM-22); and (b) 「重要インフラ」とは、42 U.S.C. 5195c(e)に定義される意味を有し、2024年4月30日付国家安全保障覚書22号(重要インフラの安全保障とレジリエンス)(NSM-22)で識別された全重要インフラ分野のシステム及び資産を含む。
(c)  the term Sector Risk Management Agency or “SRMA” has the same meaning given in 6 U.S.C. 650 and as further described in NSM-22. (c) 「セクターリスクリスクマネジメント庁」または「SRMA」という用語は、6 U.S.C. 650に定義され、NSM-22でさらに説明されるのと同一の意味を持つ。
Sec. 3.  Policy.  It is the policy of the United States to ensure control over our national airspace and to protect the public, critical infrastructure, mass gathering events, and military and sensitive government installations and operations from threats posed by the careless or unlawful use of UAS. 第3条 政策。米国は、自国の空域に対する管理を確保し、不注意または違法な無人航空機システム(UAS)の使用による脅威から、国民、重要インフラ、大規模集会、軍事施設及び機密政府施設・活動を防御することを政策とする。
Sec. 4.  Task Force to Restore American Airspace Sovereignty.  To assist in ensuring control over our national airspace, there is hereby established the Federal Task Force to Restore American Airspace Sovereignty (Task Force).  The Task Force shall be chaired by the Assistant to the President for National Security Affairs (APNSA) or a designee, and include principals, or their designees, from appropriate executive departments and agencies as identified by the APNSA.  The Task Force shall review relevant operational, technical, and regulatory frameworks and develop and propose solutions to UAS threats, as appropriate and consistent with applicable law, and shall make recommendations on the implementation of all actions identified in this order. 第4条 米国空域主権回復タスクフォース。 国家空域の管理確保を支援するため、ここに「米国空域主権回復のための連邦タスクフォース」(以下「タスクフォース」という)を設置する。タスクフォースは大統領補佐官(国家安全保障担当)(以下「APNSA」という)またはその指名者が議長を務め、APNSAが指定する適切な行政部門及び機関の長官またはその指名者で構成される。 タスクフォースは、関連する運用上・技術上・規制上の枠組みを検討し、適用法に適合する範囲で、無人航空機システム(UAS)の脅威に対する解決策を策定・提案するとともに、本命令で特定された全ての措置の実施に関する勧告を行う。
Sec. 5.  Airspace Regulations to Protect the Public.  The Administrator of the Federal Aviation Administration (FAA) shall: 第5条 国民防御のための空域規制。連邦航空局(FAA)長官は以下を行う。

 

 

 

 

| | Comments (0)

« November 2025 | Main | January 2026 »