英国 NCSC ネットワークの基礎 (2025.02.06)

こんにちは、丸山満彦です。

NCSCネットワークセキュリティの基礎という、ネットワークセキュリティについての入り口となる文書を公表しています...

どういう意図で、どういう位置付けでこの文書をこのタイミングで公表しているのでしょうかね...内容は本当に基本的なことが書いています。そして、技術的詳細については、参考となるリンクをつけています...

● U.K. National Cyber Security Centre; NCSC

・2024.02.06 Network security fundamentals

目次...

Network security fundamentals	ネットワークセキュリティの基礎
How to design, use, and maintain secure networks.	安全なネットワークを設計、使用、維持する方法。
IN THIS GUIDANCE	本ガイドライン
1. Identifying your Assets	1. 資産の識別
2. Understanding the threat	2. 脅威を理解する
3. Restricting access	3. アクセスを制限する
4. Designing network architecture	4. ネットワーク・アーキテクチャの設計
5. Protecting data in transit	5. 転送中のデータの防御
6. Securing network perimeters	6. ネットワーク境界の保護
7. Updating systems	7. システムの更新
8. Monitoring networks	8. ネットワークの監視

内容...

↓↓↓↓↓↓↓↓↓↓

Continue reading "英国 NCSC ネットワークの基礎 (2025.02.06)"

カナダ CCCS 政府のセキュリティに関する方針と「ネットワークプロトコルの安全な設定に関するガイダンス 第3版（ITSP.40.062）」

こんにちは、丸山満彦です。

日本の政府には、政府統一基準等についてNISCが一元的に管理するようになっていますが、カナダ政府も政府のセキュリティの基準を定めています。

政府のセキュリティに関する方針

・Policy on Government Security

さらにアイデンティティ管理に関する指令があります

・Directive on Identity Management

それらの補助文書として、位置付けられる「ネットワークプロトコルの安全な設定に関するガイダンス」の第3版が1月に発行されています...

ということで紹介です...

・2025.01 Guidance on securely configuring network protocols (ITSP.40.062)

PDFもありますが、HTMLのほうが読みやすいですよね...

・[PDF]

目次...

Table of contents	目次
Overview	概要
1 Introduction	1 序文
1.1 IT security risk management process	1.1 ITセキュリティリスクマネジメントプロセス
1.2 Recommendations	1.2 推奨
1.2.1 Recommended	1.2.1 推奨
1.2.2 Sufficient	1.2.2 十分
1.2.3 Phase out	1.2.3 段階的廃止
2 Public Key Infrastructure	2 公開鍵基盤
3 Transport Layer Security	3 トランスポート層セキュリティ
3.1 TLS cipher suites	3.1 TLS暗号スイート
3.2 TLS extensions	3.2 TLS拡張
3.3 Client and server authentication	3.3 クライアント認証とサーバ認証
3.4 Other TLS configuration guidelines	3.4 その他のTLS構成ガイドライン
4 Internet Protocol Security	4 インターネットプロトコルセキュリティ
4.1 Internet key exchange protocol version 2	4. 1 インターネット鍵交換プロトコルバージョン2
4.1.1 Authentication	4.1.1 認証
4.1.2 Message encryption	4.1.2 メッセージ暗号化
4.1.3 Key exchange	4.1.3 鍵交換
4.1.4 Pseudo-random functions for key generation	4.1.4 鍵生成のための疑似ランダム関数
4.1.5 Integrity protection	4.1.5 完全性保護
4.1.6 Extensible Authentication Protocol	4.1.6 拡張可能認証プロトコル
4.1.7 Distributed denial-of-service protection	4.1.7 分散型サービス拒否保護
4.1.8 Key and authentication lifetimes	4.1.8 鍵と認証の有効期間
4.1.9 Session resumption	4.1.9 セッション再開
4.2 Internet Protocol Security	4. 2 インターネットプロトコルセキュリティ
4.2.1 Key generation	4.2.1 鍵生成
4.2.2 Data and integrity protection	4.2.2 データと完全性の保護
4.2.3 Replay protection	4.2.3 リプレイ保護
5 Secure Shell	5 セキュアシェル
5.1 SSH authentication	5.1 SSH認証
5.2 SSH port forwarding	5.2 SSHポート転送
5.3 SSH root access	5.3 SSHルートアクセス
5.4 SSH parameter selection	5.4 SSHパラメータ選択
5.4.1 Encryption algorithm selection	5.4.1 暗号化アルゴリズム選択
5.4.2 MAC algorithm selection	5.4.2 MACアルゴリズム選択
5.4.3 Key exchange algorithm	5.4.3 鍵交換アルゴリズム
5.4.4 Public key algorithm	5.4.4 公開鍵アルゴリズム
6 Simple Network Management Protocol	6 簡易ネットワーク管理プロトコル
6.1 SNMPv3 interfaces and access control	6.1 SNMPv3 インターフェースとアクセス制御
6.2 SNMPv3 USM security model	6.2 SNMPv3 USM セキュリティモデル
6.2.1 SNMPv3 USM authentication algorithms	6.2.1 SNMPv3 USM 認証アルゴリズム
6.2.2 SNMPv3 USM privacy algorithms	6.2.2 SNMPv3 USM プライバシーアルゴリズム
6.2.3 USM authentication and privacy secrets	6.2.3 USM 認証とプライバシー秘密
6.3 TSM security model	6.3 TSM セキュリティモデル
6.3.1 SNMPv3 over TLS/DTLS	6.3.1 SNMPv3 over TLS/DTLS
6.3.2 SNMPv3 over SSH	6.3.2 SNMPv3 over SSH
6.4 SNMPv3 over an IPsec tunnel	6.4 SNMPv3 over an IPsec tunnel
6.5 SNMPv3 notifications: Traps and informs	6.5 SNMPv3 通知： Traps and informs
6.6 SNMPv3 discovery process	6.6 SNMPv3 検出プロセス
7 Secure/Multipurpose Internet Mail Extensions	7 セキュア/多目的インターネット メール拡張機能
7.1 Digest algorithms	7.1 ダイジェスト アルゴリズム
7.2 Signature algorithms	7.2 署名アルゴリズム
7.3 Key encryption algorithms	7.3 鍵暗号化アルゴリズム
7.3.1 Key wrap algorithms	7.3.1 鍵ラップ アルゴリズム
7.4 Content encryption algorithms	7.4 コンテンツ暗号化アルゴリズム
8 Commercial technologies assurance programs	8 商用技術保証プログラム
9 Preparing for post quantum cryptography	9 耐量子暗号への準備
10 Summary	10 まとめ
11 Supporting content	11 サポート コンテンツ
11.1 List of abbreviations	11.1 略語一覧
11.2 Glossary	11.2 用語集
11.3 References	11.3 参考文献

---

せっかくなので、カナダ政府のセキュリティの基準を...

・2019.07.01 Policy on Government Security

目次...

1. Effective date	1. 発効日
2. Authorities	2. 権限
3. Objectives and expected results	3. 目的および期待される結果
4. Requirements	4. 要件
5. Roles of other government organizations	5. 他の政府機関の役割
6. Application	6. 適用
7. Consequences of non-compliance	7. 不遵守の結果
8. References	8. 参考文献
9. Enquiries	9. 問い合わせ先
Appendix A: Security Controls	附属書A：セキュリティ・コントロール
Appendix B: Definitions	附属書B：定義

Continue reading "カナダ CCCS 政府のセキュリティに関する方針と「ネットワークプロトコルの安全な設定に関するガイダンス 第3版（ITSP.40.062）」"

米国 司法省 6,500万ドルの暗号通貨ハッキング・スキームでカナダ人男性を起訴

こんにちは、丸山満彦です。

スマートコントラクトのプロトコルの脆弱性？を悪用し、他人の暗号資産を騙し取った疑いということですかね...

起訴されたのは、22歳の方です。きっとその裏には、多くの人が関わっているのだろうと思いますが、なかなか全体を掴んで、起訴、逮捕していくのは難しいのでしょうね...

● U.S. Department of Justice - Office of Public Affairs

・2025.02.03 Canadian Man Charged in $65M Cryptocurrency Hacking Schemes

Canadian Man Charged in $65M Cryptocurrency Hacking Schemes	6,500万ドルの暗号通貨ハッキング・スキームでカナダ人男性を起訴
A five-count criminal indictment was unsealed today in federal court in New York charging a Canadian man with exploiting vulnerabilities in two decentralized finance protocols to fraudulently obtain about $65 million from the protocols’ investors.	2つの分散型金融プロトコルの脆弱性を悪用し、プロトコルの投資家から約6,500万ドルを詐取したとして、カナダ人男性を起訴する5件の刑事起訴状が本日、ニューヨークの連邦裁判所で公開された。
According to court documents, from 2021 to 2023, Andean Medjedovic, 22, allegedly exploited vulnerabilities in the automated smart contracts used by the KyberSwap and Indexed Finance decentralized finance protocols. Medjedovic borrowed hundreds of millions of dollars in digital tokens, which he used to engage in deceptive trading that he knew would cause the protocols’ smart contracts to falsely calculate key variables. Through his deceptive trades, Medjedovic was able to, and ultimately did, withdraw millions of dollars of investor funds from the protocols at artificial prices, rendering the victims’ investments essentially worthless.	法廷文書によると、2021年から2023年にかけて、アンデアン・メドジェドヴィッチ（22）は、分散型金融プロトコルであるKyberSwapとIndexed Financeで使用されている自動スマートコントラクトの脆弱性を悪用したとされている。メジェドビッチは数億ドルのデジタルトークンを借り、それを使ってプロトコルのスマートコントラクトが重要な変数を誤って計算することを知っていた欺瞞的な取引を行った。メジェドビッチは欺瞞的な取引を通じて、数百万ドルの投資家資金を人工的な価格でプロトコルから引き出すことができ、最終的にはそれを実行し、被害者の投資を実質的に無価値にした。
Medjedovic also allegedly laundered the proceeds of his fraudulent schemes through a series of transactions designed to conceal the source and ownership of the funds, including through swap transactions, “bridging transactions,” and the use of a digital assets “mixer.” With others, Medjedovic also allegedly schemed to open accounts with digital assets exchanges using false and borrowed identifying information to conceal the source and true ownership of the proceeds. In around November 2023, after executing the KyberSwap exploit, Medjedovic also allegedly attempted to extort the victims of the KyberSwap exploit through a sham settlement proposal, in which he demanded complete control of the KyberSwap protocol and the decentralized autonomous organization that oversaw the KyberSwap protocol in exchange for returning 50 percent of the digital assets that he fraudulently obtained through his scheme.	メジェドビッチはまた、スワップ取引、「ブリッジング取引」、デジタル資産「ミキサー」の使用など、資金の出所と所有権を隠すように設計された一連の取引を通じて、詐欺的スキームの収益を洗浄したとされる。メジェドビッチはまた、他の者とともに、資金の出所と真の所有権を隠すために、虚偽の借用識別情報を使ってデジタル資産取引所に口座を開設する計画を立てたとされる。2023年11月頃、KyberSwapエクスプロイトを実行した後、メジェドビッチは偽の和解案を通じてKyberSwapエクスプロイトの被害者を恐喝しようとしたとされ、その中で彼は、自身のスキームを通じて不正に入手したデジタル資産の50％を返還する代わりに、KyberSwapプロトコルとKyberSwapプロトコルを監督する分散型自律組織の完全な支配権を要求した。
Medjedovic is charged with one count of wire fraud, one count of unauthorized damage to a protected computer, one count of attempted Hobbs Act extortion, one count of money laundering conspiracy, and one count of money laundering. If convicted, he faces a maximum penalty of 10 years in prison on the unauthorized damage to a protected computer count and 20 years in prison on each of the other counts. A federal district court judge will determine any sentence after considering the U.S. Sentencing Guidelines and other statutory factors.	メジェドビッチは、電信詐欺1件、保護されたコンピューターへの不正な損害1件、ホッブス法恐喝未遂1件、マネーロンダリング共謀1件、マネーロンダリング1件で起訴されている。有罪判決を受けた場合、保護されたコンピューターへの無許可損傷については最高で禁固10年、その他の罪状についてはそれぞれ禁固20年の刑に処される。連邦地裁判事は、米国量刑ガイドラインおよびその他の法定要素を考慮した上で、判決を決定する。
Supervisory Official Antoinette T. Bacon of the Justice Department’s Criminal Division, U.S. Attorney John J. Durham for the Eastern District of New York, Chief Guy Ficco of IRS Criminal Investigation (IRS-CI), Special Agent in Charge William S. Walker of Homeland Security Investigations (HSI) New York, and Assistant Director in Charge James E. Dennehy of the FBI New York Field Office made the announcement.	司法省刑事局のアントワネット・T・ベーコン監督官、ニューヨーク東部地区ジョン・J・ダラム連邦検事、IRS犯罪捜査部（IRS-CI）のガイ・フィッコ部長、国土安全保障省（HSI）ニューヨーク事務所のウィリアム・S・ウォーカー特別捜査官、FBIニューヨーク支局のジェームズ・E・デネヒー次長補が発表した。
IRS-CI, HSI, and the FBI New York Field Office are investigating the case, with valuable assistance provided by U.S. Customs and Border Protection’s New York Field Office and the Justice Department’s Office of International Affairs. The Justice Department also thanks the Netherlands’ Public Prosecution Service and Cybercrime Unit — the Hague of the Dutch National Police for their significant assistance with the investigation.	IRS-CI、HSI、FBIニューヨーク支局は、米国税関・国境警備局ニューヨーク支局と司法省国際局から貴重な援助を受け、この事件を捜査している。司法省はまた、オランダ検察庁とオランダ国家警察ハーグ・サイバー犯罪捜査班の捜査への多大な協力に感謝する。
Trial Attorney Tian Huang of the Criminal Division’s Fraud Section, who is a member of the National Cryptocurrency Enforcement Team (NCET), and Assistant U.S. Attorneys Nicholas Axelrod and Andrew Reich for the Eastern District of New York are prosecuting the case. SEC Enforcement Attorney Daphna A. Waxman, formerly a member of the NCET, provided significant assistance.	全米暗号通貨執行チーム（NCET）のメンバーである刑事部詐欺課のティアン・ファン裁判弁護士とニューヨーク東部地区のニコラス・アクセルロッド、アンドリュー・ライヒ両米国弁護士補が本件を起訴している。NCETの元メンバーであるSEC執行弁護士のダフナ・A・ワックスマンが多大な支援を提供した。
An indictment is merely an allegation. All defendants are presumed innocent until proven guilty beyond a reasonable doubt in a court of law.	起訴は単なる申し立てに過ぎない。すべての被告は、法廷において合理的な疑いを超えて有罪が証明されるまでは、無罪と推定される。

IPA 「情報セキュリティ10大脅威 2025」を公開 (2025.01.30)

こんにちは、丸山満彦です。

IPAが「情報セキュリティ10大脅威 2025」を発表していますね。2006年から始まっていますので、長い間続いていますね。。。

ランサムウェアの脅威はこの5年間トップですね。。。サプライチェーン攻撃もこのところ上位で、この4年間で上昇していますね。。。標的型攻撃による情報漏洩については、5−8年前は連続トップでしたが、このところは2, 3位となっていましたが、今年は5位。

個人については、今年から順序付けせずに、あいうえお順...

ちなみに、組織にとっての情報セキュリティなので、サイバー空間を利用した脅威である、「偽情報等による〜」みたいなものは入っていないのかもしれませんね。。。ただ、個人の脅威にはいっている「偽警告によるインターネット詐欺」は、「偽情報による〜」ということのような気もする。。

● IPA

・2025.01.30 情報セキュリティ10大脅威 2025

「個人」向け脅威（五十音順）	2025		「組織」向け脅威	2024
インターネット上のサービスからの個人情報の窃取	＊	1位	ランサム攻撃による被害	1位
インターネット上のサービスへの不正ログイン	＊	2位	サプライチェーンや委託先を狙った攻撃	2位
クレジットカード情報の不正利用	＊	3位	システムの脆弱性を突いた攻撃	5位
スマホ決済の不正利用	＊	4位	内部不正による情報漏えい等	3位
偽警告によるインターネット詐欺	＊	5位	機密情報等を狙った標的型攻撃	4位
ネット上の誹謗・中傷・デマ	＊	6位	リモートワーク等の環境や仕組みを狙った攻撃	9位
フィッシングによる個人情報等の詐取	＊	7位	地政学的リスクに起因するサイバー攻撃	-
不正アプリによるスマートフォン利用者への被害	＊	8位	分散型サービス妨害攻撃（DDoS攻撃）	-
メールやSMS等を使った脅迫・詐欺の手口による金銭要求	＊	9位	ビジネスメール詐欺	8位
ワンクリック請求等の不当請求による金銭被害	＊	10位	不注意による情報漏えい等	6位

過去から（組織向け）...

個人（五十音順）	2024		組織	2023
インターネット上のサービスからの個人情報の窃取	＊	1位	ランサムウェアによる被害	1位
インターネット上のサービスへの不正ログイン	＊	2位	サプライチェーンの弱点を悪用した攻撃	2位
クレジットカード情報の不正利用	＊	3位	内部不正による情報漏えい等の被害	4位
スマホ決済の不正利用	＊	4位	標的型攻撃による機密情報の窃取	3位
偽警告によるインターネット詐欺	＊	5位	修正前の公開前を狙う攻撃（ゼロデイ攻撃）	6位
ネット上の誹謗・中傷・デマ	＊	6位	不注意による情報漏えい等の被害	9位
フィッシングによる個人情報等の詐取	＊	7位	脆弱性対策情報の公開に伴う悪用増加	8位
不正アプリによるスマートフォン利用者への被害	＊	8位	ビジネスメール詐欺による金銭被害	7位
メールやSMS等を使った脅迫・詐欺の手口による金銭要求	＊	9位	テレワーク等のニューノーマルな働き方を狙った攻撃	5位
ワンクリック請求等の不当請求による金銭被害	＊	10位	犯罪のビジネス化（アンダーグラウンドサービス）	10位

2022	個人	2023	組織	2022
1位	フィッシングによる個人情報等の詐取	1位	ランサムウェアによる被害	1位
2位	ネット上の誹謗・中傷・デマ	2位	サプライチェーンの弱点を悪用した攻撃	3位
3位	メールやSMS等を使った脅迫・詐欺の手口による金銭要求	3位	標的型攻撃による機密情報の窃取	2位
4位	クレジットカード情報の不正利用	4位	内部不正による情報漏えい	5位
5位	スマホ決済の不正利用	5位	テレワーク等のニューノーマルな働き方を狙った攻撃	4位
7位	不正アプリによるスマートフォン利用者への被害	6位	修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）	7位
6位	偽警告によるインターネット詐欺	7位	ビジネスメール詐欺による金銭被害	8位
8位	インターネット上のサービスからの個人情報の窃取	8位	脆弱性対策情報の公開に伴う悪用増加	6位
10位	インターネット上のサービスへの不正ログイン	9位	不注意による情報漏えい等の被害	10位
New	ワンクリック請求等の不当請求による金銭被害	10位	犯罪のビジネス化（アンダーグラウンドサービス）	New

2021	個人	2022	組織	2021
2位	フィッシングによる個人情報等の詐取	1位	ランサムウェアによる被害	1位
3位	ネット上の誹謗・中傷・デマ	2位	標的型攻撃による機密情報の窃取	2位
4位	メールやSMS等を使った脅迫・詐欺の手口による金銭要求	3位	サプライチェーンの弱点を悪用した攻撃	4位
5位	クレジットカード情報の不正利用	4位	テレワーク等のニューノーマルな働き方を狙った攻撃	3位
1位	スマホ決済の不正利用	5位	内部不正による情報漏えい	6位
8位	偽警告によるインターネット詐欺	6位	脆弱性対策情報の公開に伴う悪用増加	10位
9位	不正アプリによるスマートフォン利用者への被害	7位	修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）	New
7位	インターネット上のサービスからの個人情報の窃取	8位	ビジネスメール詐欺による金銭被害	5位
6位	インターネットバンキングの不正利用	9位	予期せぬIT基盤の障害に伴う業務停止	7位
10位	インターネット上のサービスへの不正ログイン	10位	不注意による情報漏えい等の被害	9位

2020	個人	2021	組織	2020
1位	スマホ決済の不正利用	1位	ランサムウェアによる被害	5位
2位	フィッシングによる個人情報等の詐取	2位	標的型攻撃による機密情報の窃取	1位
7位	ネット上の誹謗・中傷・デマ	3位	テレワーク等のニューノーマルな働き方を狙った攻撃	NEW
5位	メールやSMS等を使った脅迫・詐欺の手口による金銭要求	4位	サプライチェーンの弱点を悪用した攻撃	4位
3位	クレジットカード情報の不正利用	5位	ビジネスメール詐欺による金銭被害	3位
4位	インターネットバンキングの不正利用	6位	内部不正による情報漏えい	2位
10位	インターネット上のサービスからの個人情報の窃取	7位	予期せぬIT基盤の障害に伴う業務停止	6位
9位	偽警告によるインターネット詐欺	8位	インターネット上のサービスへの不正ログイン	16位
6位	不正アプリによるスマートフォン利用者への被害	9位	不注意による情報漏えい等の被害	7位
8位	インターネット上のサービスへの不正ログイン	10位	脆弱性対策情報の公開に伴う悪用増加	14位
2019	個人	2020	組織	2019
NEW	スマホ決済の不正利用	1位	標的型攻撃による機密情報の窃取	1位
2位	フィッシングによる個人情報の詐取	2位	内部不正による情報漏えい	5位
1位	クレジットカード情報の不正利用	3位	ビジネスメール詐欺による金銭被害	2位
7位	インターネットバンキングの不正利用	4位	サプライチェーンの弱点を悪用した攻撃	4位
4位	メールやSMS等を使った脅迫・詐欺の手口による金銭要求	5位	ランサムウェアによる被害	3位
3位	不正アプリによるスマートフォン利用者への被害	6位	予期せぬIT基盤の障害に伴う業務停止	16位
5位	ネット上の誹謗・中傷・デマ	7位	不注意による情報漏えい（規則は遵守）	10位
8位	インターネット上のサービスへの不正ログイン	8位	インターネット上のサービスからの個人情報の窃取	7位
6位	偽警告によるインターネット詐欺	9位	IoT機器の不正利用	8位
12位	インターネット上のサービスからの個人情報の窃取	10位	サービス妨害攻撃によるサービスの停止	6位
2018	個人	2019	組織	2018
1位	クレジットカード情報の不正利用	1位	標的型攻撃による被害	1位
1位	フィッシングによる個人情報等の詐取	2位	ビジネスメール詐欺による被害	3位
4位	不正アプリによるスマートフォン利用者への被害	3位	ランサムウェアによる被害	2位
NEW	メール等を使った脅迫・詐欺の手口による金銭要求	4位	サプライチェーンの弱点を悪用した攻撃の高まり	NEW
3位	ネット上の誹謗・中傷・デマ	5位	内部不正による情報漏えい	8位
10位	偽警告によるインターネット詐欺	6位	サービス妨害攻撃によるサービスの停止	9位
1位	インターネットバンキングの不正利用	7位	インターネットサービスからの個人情報の窃取	6位
5位	インターネットサービスへの不正ログイン	8位	IoT機器の脆弱性の顕在化	7位
2位	ランサムウェアによる被害	9位	脆弱性対策情報の公開に伴う悪用増加	4位
9位	IoT 機器の不適切な管理	10位	不注意による情報漏えい	12位
2017	個人	2018	組織	2017
1位	インターネットバンキングやクレジットカード情報等の不正利用	1位	標的型攻撃による被害	1位
2位	ランサムウェアによる被害	2位	ランサムウェアによる被害	2位
7位	ネット上の誹謗・中傷	3位	ビジネスメール詐欺による被害	NEW
3位	スマートフォンやスマートフォンアプリを狙った攻撃	4位	脆弱性対策情報の公開に伴う悪用増加	NEW
4位	ウェブサービスへの不正ログイン	5位	脅威に対応するためのセキュリティ人材の不足	NEW
6位	ウェブサービスからの個人情報の窃取	6位	ウェブサービスからの個人情報の窃取	3位
8位	情報モラル欠如に伴う犯罪の低年齢化	7位	IoT機器の脆弱性の顕在化	8位
5位	ワンクリック請求等の不当請求	8位	内部不正による情報漏えい	5位
10位	IoT機器の不適切な管理	9位	サービス妨害攻撃によるサービスの停止	4位
NEW	偽警告によるインターネット詐欺	10位	犯罪のビジネス化（アンダーグラウンドサービス）	9位
2016	個人	2017	組織	2016
1位	インターネットバンキングやクレジットカード情報の不正利用	1位	標的型攻撃による情報流出	1位
2位	ランサムウェアによる被害	2位	ランサムウェアによる被害	7位
3位	スマートフォンやスマートフォンアプリを狙った攻撃	3位	ウェブサービスからの個人情報の窃取	3位
5位	ウェブサービスへの不正ログイン	4位	サービス妨害攻撃によるサービスの停止	4位
4位	ワンクリック請求等の不当請求	5位	内部不正による情報漏えいとそれに伴う業務停止	2位
7位	ウェブサービスからの個人情報の窃取	6位	ウェブサイトの改ざん	5位
6位	ネット上の誹謗・中傷	7位	ウェブサービスへの不正ログイン	9位
8位	情報モラル欠如に伴う犯罪の低年齢化	8位	IoT機器の脆弱性の顕在化	NEW
10位	インターネット上のサービスを悪用した攻撃	9位	攻撃のビジネス化（アンダーグラウンドサービス）	NEW
NEW	IoT機器の不適切な管理	10位	インターネットバンキングやクレジットカード情報の不正利用	8位

個人（カッコ内は総合順位）	2016	組織（カッコ内は総合順位）
インターネットバンキングやクレジットカード情報の不正利用（1位）	1位	標的型攻撃による情報流出（2位）
ランサムウェアを使った詐欺・恐喝（3位）	2位	内部不正による情報漏えいとそれに伴う業務停止（8位）
審査をすり抜け公式マーケットに紛れ込んだスマートフォンアプリ（7位）	3位	ウェブサービスからの個人情報の窃取（4位）
巧妙・悪質化するワンクリック請求（9位）	4位	サービス妨害攻撃によるサービスの停止（－）
ウェブサービスへの不正ログイン（5位）	5位	ウェブサイトの改ざん（6位）
匿名によるネット上の誹謗・中傷（－）	6位	脆弱性対策情報の公開に伴い公知となる脆弱性の悪用増加（10位）
ウェブサービスからの個人情報の窃取（4位）	7位	ランサムウェアを使った詐欺・恐喝（3位）
情報モラル不足に伴う犯罪の低年齢化（－）	8位	インターネットバンキングやクレジットカード情報の不正利用（1位）
職業倫理欠如による不適切な情報公開（－）	9位	ウェブサービスへの不正ログイン（5位）
インターネットの広告機能を悪用した攻撃（－）	10位	過失による情報漏えい（－）

	2015
1	インターネットバンキングやクレジットカード情報の不正利用	～個人口座だけではなく法人口座もターゲットに～
2	内部不正による情報漏えい	～内部不正が事業に多大な悪影響を及ぼす～
3	標的型攻撃による諜報活動	～標的組織への侵入手口が巧妙化～
4	ウェブサービスへの不正ログイン	～利用者は適切なパスワード管理を～
5	ウェブサービスからの顧客情報の窃取	～脆弱性や設定の不備を突かれ顧客情報が盗まれる～
6	ハッカー集団によるサイバーテロ	～破壊活動や内部情報の暴露を目的としたサイバー攻撃～
7	ウェブサイトの改ざん	～知らぬ間に、ウイルス感染サイトに仕立てられる～
8	インターネット基盤技術を悪用した攻撃	～インターネット事業者は厳重な警戒を～
9	脆弱性公表に伴う攻撃	～求められる迅速な脆弱性対策～
10	悪意のあるスマートフォンアプリ	～アプリのインストールで友人に被害が及ぶことも～
	2014
1	標的型メールを用いた組織へのスパイ・諜報活動 サイバー空間(領域)問題
2	不正ログイン・不正利用 ウイルス・ハッキングによるサイバー攻撃
3	ウェブサイトの改ざん ウイルス・ハッキングによるサイバー攻撃
4	ウェブサービスからのユーザー情報の漏えい ウイルス・ハッキングによるサイバー攻撃
5	オンラインバンキングからの不正送金 ウイルス・ハッキングによるサイバー攻撃
6	悪意あるスマートフォンアプリ ウイルス・ハッキングによるサイバー攻撃
7	SNS への軽率な情報公開 インターネットモラル
8	紛失や設定不備による情報漏えい 内部統制・セキュリティマネジメント
9	ウイルスを使った詐欺・恐喝 ウイルス・ハッキングによるサイバー攻撃
10	サービス妨害 ウイルス・ハッキングによるサイバー攻撃
	2013
1	クライアントソフトの脆弱性を突いた攻撃
2	標的型諜報攻撃
3	スマートデバイスを狙った悪意あるアプリの横行
4	ウイルスを使った遠隔操作
5	金銭窃取を目的としたウイルスの横行
6	予期せぬ業務停止
7	ウェブサイトを狙った攻撃
8	パスワード流出の脅威
9	内部犯行
10	フィッシング詐欺
	2012
1	機密情報が盗まれる！？新しいタイプの攻撃	～情報窃取を目的とする標的型の諜報攻撃（APT）～
2	予測不能の災害発生！引き起こされた業務停止	～自然災害や人為的災害による IT システムの故障、業務データの消失～
3	特定できぬ、共通思想集団による攻撃	～社会変革をめざす共通的な思想を持つ集団による暴露・妨害攻撃～
4	今もどこかで…更新忘れのクライアントソフトを狙った攻撃	～標的型攻撃にも悪用されるクライアントソフトの脆弱性～
5	止まらない！ウェブサイトを狙った攻撃	～狙われ続けるウェブサイトの脆弱性～
6	続々発覚、スマートフォンやタブレットを狙った攻撃	～狙われる小さなパソコン-スマートデバイス～
7	大丈夫!?電子証明書に思わぬ落し穴	～電子証明書の管理不備により、引き起こされた問題～
8	身近に潜む魔の手・・・あなたの職場は大丈夫？	～組織内部・関係者による業務妨害や情報漏えい～
9	危ない！アカウントの使いまわしが被害を拡大！	～アカウント情報の管理不備が原因で発生するなりすまし被害～
10	利用者情報の不適切な取扱いによる信用失墜	～利用者との結びつきが強い情報（利用者情報）の取扱いに関する問題～
	2011
1	「人」が起こしてしまう情報漏えい
2	止まらない！ウェブサイトを経由した攻撃
3	定番ソフトウェアの脆弱性を狙った攻撃
4	狙われだしたスマートフォン
5	複数の攻撃を組み合わせた新しいタイプの攻撃
6	セキュリティ対策丌備がもたらすトラブル
7	携帯電話向けウェブサイトのセキュリティ
8	攻撃に気づけない標的型攻撃
9	クラウド・コンピューティングのセキュリティ
10	ミニブログサービスや SNS の利用者を狙った攻撃
	2010
1	変化を続けるウェブサイト改ざんの手口
2	アップデートしていないクライアントソフト
3	悪質なウイルスやボットの多目的化
4	対策をしていないサーバ製品の脆弱性
5	あわせて事後対応を！情報漏えい事件
6	被害に気づけない標的型攻撃
7	深刻なDDoS攻撃
8	正規のアカウントを悪用される脅威
9	クラウド・コンピューティングのセキュリティ問題
10	インターネットインフラを支えるプロトコルの脆弱性
	2009
	■組織への脅威
1	DNS キャッシュポイズニングの脅威
2	巧妙化する標的型攻撃
3	恒常化する情報漏えい
	■利用者への脅威
1	多様化するウイルスやボットの感染経路
2	脆弱な無線 LAN 暗号方式における脅威
3	減らないスパムメール
4	ユーザ ID とパスワードの使いまわしによる危険性
	■システム管理者・開発者への脅威
1	正規のウェブサイトを経由した攻撃の猛威
2	誘導型攻撃の顕在化
3	組込み製品に潜む脆弱性
	2008
1	高まる「誘導型」攻撃の脅威
2	ウェブサイトを狙った攻撃の広まり
3	恒常化する情報漏えい
4	巧妙化する標的型攻撃
5	信用できなくなった正規サイト
6	検知されにくいボット、潜在化するコンピュータウイルス
7	検索エンジンからマルウェア配信サイトに誘導
8	国内製品の脆弱性が頻発
9	減らないスパムメール
10	組み込み製品の脆弱性の増加
	2007
1	漏えい情報のWinnyによる止まらない流通
2	表面化しづらい標的型（スピア型）攻撃
3	悪質化・潜在化するボット
4	深刻化するゼロデイ攻撃
5	ますます多様化するフィッシング詐欺
6	増え続けるスパムメール
7	減らない情報漏えい
8	狙われ続ける安易なパスワード
9	攻撃が急増するSQLインジェクション
10	不適切な設定のDNSサーバを狙う攻撃の発生
	2006
1	事件化するSQLインジェクション
2	Winnyを通じたウイルス感染による情報漏えいの多発
3	音楽CDに格納された「ルートキットに類似した機能」の事件化
4	悪質化するフィッシング詐欺
5	巧妙化するスパイウェア
6	流行が続くボット
7	ウェブサイトを狙うCSRFの流行
8	情報家電、携帯機器などの組込みソフトウェアにひそむ脆弱性
9	セキュリティ製品の持つ脆弱性
10	ゼロデイ攻撃
	2004
1	ボット(botnet)の脅威
2	変化し続けるコンピュータウイルスの脅威
3	フィッシング詐欺の脅威
4	サーバからの情報漏えいの脅威
5	複数製品にまたがる脅威の増加
6	ウェブサイトの改ざんの脅威

---

● まるちゃんの情報セキュリティ気まぐれ日記

• 2024.01.25 IPA 「情報セキュリティ10大脅威 2024」を公開
• 2023.01.26 IPA 「情報セキュリティ10大脅威 2023」を公開
• 2022.01.28 IPA 情報セキュリティ10大脅威 2022 ～昨年と同じ脅威が引き続き上位に、日常的な備えが重要～
• 2021.03.26 IPA 「情報セキュリティ10大脅威 2021」簡易説明資料（組織編、個人編）揃いました。。。
• 2021.02.27 IPA 「情報セキュリティ10大脅威 2021」解説書を発表してますね。。。
• 2021.01.28 IPA 「情報セキュリティ10大脅威 2021」を発表してますね。。。
• 2021.01.27 情報セキュリティ10大脅威 2021
• 2020.08.28 2020年版 10大脅威 ～セキュリティ対策は一丸となって、Let's Try!!～
• 2019.08.07 2019年版 10大脅威 局面ごとにセキュリティ対策の最善手
• 2018.04.27 2018年版 10大脅威 引き続き行われるサイバー攻撃、あなたは守りきれますか？
• 2017.05.30 2017年版 10大脅威 職場に迫る脅威！　家庭に迫る脅威！？　急がば回れの心構えでセキュリティ対策を
• 2016.11.29 2016年版 10大脅威 個人と組織で異なる脅威、立場ごとに適切な対応を
• 2015.04.03 2015年版 10大脅威 被害に遭わないために実施すべき対策は？
• 2014.03.31 2014年版 10大脅威 複雑化する情報セキュリティ あなたが直面しているのは？
• 2013.03.12 2013年版 10大脅威 身近に忍び寄る脅威
• 2012.07.10 2012年版 10大脅威 変化・増大する脅威！
• 2011.03.24 2011年版 10大脅威 進化する攻撃．．．その対策で十分ですか？
• 2010.06.30 2010年版 10大脅威 あぶり出される組織の弱点！
• 2009.03.24 情報セキュリティ白書2009 第2部 10大脅威 攻撃手法の『多様化』が進む
• 2008.05.27 情報セキュリティ白書2008 第2部 10大脅威 ますます進む『見えない化』
• 2007.03.09 情報セキュリティ白書2007 - 10大脅威 「脅威の“見えない化”が加速する！」 -
• 2006.03.22 情報セキュリティ白書2006 - 10大脅威「加速する経済事件化」と今後の対策 -
• 2005.03.31 コンピュータ・セキュリティ ～2004年の傾向と今後の対策～

欧州委員会 規則（EU）2024/1689（AI法）が定める人工知能の禁止行為に関する欧州委員会ガイドライン

こんにちは、丸山満彦です。

欧州委員会からAIの禁止行為に関するガイドラインを発表していますね... 

● European Commission

・2025.02.04 Commission publishes the Guidelines on prohibited artificial intelligence (AI) practices, as defined by the AI Act.

Commission publishes the Guidelines on prohibited artificial intelligence (AI) practices, as defined by the AI Act.	欧州委員会は、AI法が定める人工知能（AI）の禁止行為に関するガイドラインを発表した。
These guidelines provide an overview of AI practices that are deemed unacceptable due to their potential risks to European values and fundamental rights.	本ガイドラインは、欧州の価値観や基本的権利に対する潜在的リスクのために容認できないと判断されるAI行為の概要を提供するものである。
The AI Act, which aims to promote innovation while ensuring high levels of health, safety, and fundamental rights protection, classifies AI systems into different risk categories, including prohibited, high-risk, and those subject to transparency obligations. The guidelines specifically address practices such as harmful manipulation, social scoring, and real-time remote biometric identification, among others.	高水準の健康、安全、基本的権利の保護を確保しながらイノベーションを促進することを目的とするAI法は、AIシステムを禁止、高リスク、透明性義務の対象など、さまざまなリスクカテゴリーに分類している。ガイドラインは特に、有害な操作、ソーシャルスコアリング、リアルタイムの遠隔生体認証などの慣行を取り上げている。
The guidelines are designed to ensure the consistent, effective, and uniform application of the AI Act across the European Union. While they offer valuable insights into the Commission's interpretation of the prohibitions, they are non-binding, with authoritative interpretations reserved for the Court of Justice of the European Union (CJEU). The guidelines provide legal explanations and practical examples to help stakeholders understand and comply with the AI Act's requirements. This initiative underscores the EU's commitment to fostering a safe and ethical AI landscape.	同ガイドラインは、欧州連合（EU）全体におけるAI法の一貫した効果的かつ統一的な適用を確保するためのものである。同ガイドラインは、禁止事項に関する欧州委員会の解釈に関する貴重な洞察を提供するものではあるが、拘束力はなく、権威ある解釈は欧州連合司法裁判所（CJEU）に委ねられている。本ガイドラインは、関係者がAI法の要件を理解し遵守できるよう、法的な説明と実践的な事例を提供している。この取り組みは、安全で倫理的なAIを育成するというEUのコミットメントを強調するものである。
Please note that the Commission has approved the draft guidelines, but not yet formally adopted them.	なお、欧州委員会はガイドラインのドラフトを承認したが、まだ正式には採択していない。
Approval of the content of the draft Communication from the Commission - Commission Guidelines on prohibited artificial intelligence practices established by Regulation (EU) 2024/1689 (AI Act)	欧州委員会からのコミュニケーション草案の内容の承認 - 規則（EU）2024/1689（AI法）が定める人工知能の禁止行為に関する欧州委員会ガイドライン
Commission Guidelines on prohibited artificial intelligence practices established by Regulation (EU) 2024/1689 (AI Act)	規則（EU）2024/1689（AI法）が定める人工知能の禁止行為に関する欧州委員会ガイドライン

欧州委員会からのコミュニケーション草案の内容の承認 - 規則（EU）2024/1689（AI法）が定める人工知能の禁止行為に関する欧州委員会ガイドライン

・[PDF] Approval of the content of the draft Communication from the Commission - Commission Guidelines on prohibited artificial intelligence practices established by Regulation (EU) 2024/1689 (AI Act)

COMMUNICATION TO THE COMMISSION	委員会へのコミュニケーション
Approval of the content of the draft Communication from the Commission – Commission Guidelines on prohibited artificial intelligence practices established by Regulation (EU) 2024/1689 (AI Act)	欧州委員会からのコミュニケーション草案-規則（EU）2024/1689（AI法）が定める禁止された人工知能行為に関する欧州委員会ガイドライン- の内容の承認
Regulation (EU) 2024/1689 of the European Parliament and the Council of 13 June 2024 laying down harmonised rules on artificial intelligence and amending certain regulations (‘the AI Act’)1 entered into force on 1 August 2024. The AI Act lays down harmonised rules for the placing on the market, putting into service, and use of artificial intelligence (‘AI’) in the Union. Its aim is to promote innovation in and the uptake of AI, while ensuring a high level of protection of health, safety and fundamental rights in the Union, including democracy and the rule of law.	人工知能に関する調和された規則を定め、特定の規則を改正する2024年6月13日の欧州議会および理事会規則（EU）2024/1689（「AI法」）1は、2024年8月1日に発効した。AI法は、欧州連合における人工知能（以下「AI」）の上市、実用化、使用に関する調和された規則を定めたものである。その目的は、民主主義や法の支配を含め、EUにおける健康、安全、基本的権利の高水準の保護を確保しつつ、AIの技術革新と普及を促進することにある。
The AI Act follows a risk-based approach, classifying AI systems into different risk categories, one of which consists of AI practices posing unacceptable risks to fundamental rights and Union values which are prohibited under Article 5 AI Act.	AI法はリスク・ベースのアプローチに従い、AIシステムをさまざまなリスク・カテゴリーに分類しており、そのうちのひとつは、基本的権利や連邦の価値観に許容できないリスクをもたらすAI行為で、AI法第5条で禁止されている。
Pursuant to Article 96(1)(b) AI Act, the Commission is to adopt guidelines on the practical implementation of the practices prohibited under Article 5 AI Act. The Draft Guidelines annexed to this Communication aim to increase legal clarity and to provide insights into the Commission’s interpretation of the prohibitions in Article 5 AI Act with a view to ensuring their consistent, effective and uniform application.	AI法第96条1項（b）に従い、欧州委員会は、AI法第5条で禁止されている慣行の実際の実施に関するガイドラインを採択することになっている。本コミュニケーションに附属するドラフトガイドラインは、法的明確性を高め、AI法第5条の禁止事項の一貫した効果的かつ統一的な適用を確保することを目的とした、欧州委員会の解釈に関する洞察を提供することを目的としている。
Such clarity is essential for providers and deployers of AI systems, since the prohibitions are directly applicable as from 2 February 2025. In view of this imminent entry into application and the time necessary for the translation of the guidelines into all languages, the Commission is called upon to approve the content of draft Communication from the Commission on Guidelines on prohibited artificial intelligence practices established by Regulation (EU) 2024/1689.	禁止事項は2025年2月2日から直接適用されるため、このような明確性はAIシステムのプロバイダや展開者にとって不可欠である。この適用開始が間近に迫っていること、およびガイドラインの全言語への翻訳に時間が必要であることを考慮し、欧州委員会は、規則（EU）2024/1689により制定された人工知能の禁止行為に関するガイドラインに関する欧州委員会からのコミュニケーション草案の内容を承認するよう求められている。
The Guidelines will be formally adopted by the Commission at a later date, when all language versions are available. It is only from that moment that these Guidelines will be applicable. The text of the draft Guidelines is enclosed as an Annex to this Communication.	同ガイドラインは、後日、すべての言語版が利用可能になった時点で、欧州委員会により正式に採択される。このガイドラインが適用されるのは、その時点からである。ガイドライン草案のテキストは、本コミュニケーションの附属書として同封されている。

規則（EU）2024/1689（AI法）が定める人工知能の禁止行為に関する欧州委員会ガイドライン

PDF140ページあります...

・[PDF] Commission Guidelines on prohibited artificial intelligence practices established by Regulation (EU) 2024/1689 (AI Act)

・[DOCX][PDF] 仮訳...

目次...

1. Background and objectives	1 背景と目的
2. Overview of prohibited AI practices	2 禁止されているAIの慣行の概要
2.1. Prohibitions listed in Article 5 AI Act	2.1. AI法第5条の禁止事項
2.2. Legal basis of the prohibitions	2.2. 禁止事項の法的根拠
2.3. Material scope: practices related to the ‘placing on the market’, ‘putting into service’ or ‘use’ of an AI system	2.3. 重要な範囲：AI システムの「上市」、「使用開始」または「使用」に関する慣行
2.4. Personal scope: responsible actors	2.4. 個人の範囲：責任ある行為者
2.5. Exclusion from the scope of the AI Act	2.5. AI法の適用除外
2.5.1. National security, defence and military purposes	2.5.1. 国家安全保障、防衛、軍事目的
2.5.2. Judicial and law enforcement cooperation with third countries	2.5.2. 第三国との司法・法執行協力
2.5.3. Research & Development	2.5.3. 研究開発
2.5.4. Personal non-professional activity	2.5.4. 個人的な非専門活動
2.5.5. AI systems released under free and open source licences	2.5.5. フリーおよびオープンソースライセンスでリリースされたAIシステム
2.6. Interplay of the prohibitions with the requirements for high-risk AI systems	2.6. 禁止事項と高リスクAIシステムの要件の相互関係
2.7. Application of the prohibitions to general-purpose AI systems and systems with intended purposes	2.7. 汎用AIシステムおよび目的別システムへの禁止事項の適用
2.8. Interplay between the prohibitions and other Union law	2.8. 禁止事項と他のEU法との相互関係
2.9. Enforcement of Article 5 AI Act	2.9. AI法第5条の施行
2.9.1. Market Surveillance Authorities	2.9.1. 市場監視認可機関
2.9.2. Penalties	2.9.2. 罰則
3. Article 5(1)(a) and (b) AI Act – harmful manipulation, deception and exploitation	3 AI法第5条(1)(a)および(b) - 有害な操作、欺瞞および搾取
3.1. Rationale and objectives	3.1. 根拠と目的
3.2. Main components of the prohibition in Article 5(1)(a) AI Act – harmful manipulation	3.2. AI法第5条(1)（a）における禁止事項の主な構成要素 - 有害な操作
3.2.1. Subliminal, purposefully manipulative or deceptive techniques	3.2.1. サブリミナル的、意図的に操作的または欺瞞的な手法
3.2.2. With the objective or the effect of materially distorting the behaviour of a person or a group of persons	3.2.2. 個人または集団の行動を実質的に歪める目的または効果を持つ。
3.2.3. (Reasonably likely to) cause significant harm	3.2.3. (合理的に)重大な損害をもたらす（可能性がある）
3.3. Main components of the prohibition in Article 5(1)(b) AI Act – harmful exploitation of vulnerabilities	3.3. AI法第5条(1)bの禁止事項の主な構成要素-脆弱性の有害な利用
3.3.1. Exploitation of vulnerabilities due to age, disability, or a specific socio-economic situation	3.3.1. 年齢、障害、特定の社会経済的状況による脆弱性を利用する。
3.3.2. With the objective or the effect of materially distorting behaviour	3.3.2. 行動を実質的に歪める目的または効果を持つ。
3.3.3. (Reasonably likely to) cause significant harm	3.3.3. (合理的に)重大な損害をもたらす（可能性がある）
3.4. Interplay between the prohibitions in Article 5(1)(a) and (b) AI Act	3.4. AI法第5条(1)(a)と(b)の禁止事項の相互関係
3.5. Out of scope	3.5. 範囲外
3.5.1. Lawful persuasion	3.5.1. 合法的な説得
3.5.2. Manipulative, deceptive and exploitative AI systems that are not likely to cause significant harm	3.5.2. 操作的、欺瞞的、搾取的なAIシステムで、重大な危害を引き起こす可能性のないもの
3.6. Interplay with other Union law	3.6. 他の連邦法との関係
4. Article 5(1)(c) AI Act - social scoring	4 AI法第5条(1)(c) - ソーシャル・スコアリング
4.1. Rationale and objectives	4.1. 根拠と目的
4.2. Main concepts and components of the ‘social scoring’ prohibition	4.2. ソーシャル・スコアリング」禁止の主な概念と構成要素
4.2.1. ‘Social scoring’: evaluation or classification based on social behaviour or personal or personality characteristics over a certain period of time	4.2.1. 「社会的スコアリング」：一定期間における社会的行動や個人的・性格的特徴に基づく評価や分類。
4.2.2. The social score must lead to detrimental or unfavourable treatment in unrelated social contexts and/or unjustified or disproportionate treatment to the gravity of the social behaviour	4.2.2. 社会的得点は、無関係な社会的文脈における不利益もしくは不利な扱い、および／または社会的行 動の重大性に不当もしくは不釣り合いな扱いをもたらすものでなければならない。
4.2.3. Regardless of whether provided or used by public or private persons	4.2.3. 公私の別を問わず、プロバイダが提供または使用する。
4.3. Out of scope	4.3. 範囲外
4.4. Interplay with other Union legal acts	4.4. 他の連邦法との関係
5. Article 5(1)(d) AI Act – individual risk assessment and prediction OF CRIMINAL OFFENCES	5 AI法第5条(1)(d) -個々のリスクアセスメントと犯罪の予測
5.1. Rationale and objectives	5.1. 根拠と目的
5.2. Main concepts and components of the prohibition	5.2. 禁止事項の主な概念と構成要素
5.2.1. Assessing the risk or predicting the likelihood of a person committing a crime	5.2.1. 人が犯罪を犯すリスクをアセスメントし、その可能性を予測する。
5.2.2. Solely based on profiling of a natural person or on assessing their personality traits and characteristics	5.2.2. 自然人のプロファイリング、または性格特性や特徴のアセスメントにのみ基づく。
5.2.3. Exclusion of AI systems to support the human assessment based on objective and verifiable facts directly linked to a criminal activity	5.2.3. 犯罪行為に直結する客観的かつ検証可能な事実に基づく人間のアセスメントを支援するためのAIシステムの除外
5.2.4. Extent to which private actors’ activities may fall within scope	5.2.4. 民間主体の活動が適用範囲に入る可能性のある範囲
5.3. Out of scope	5.3. 範囲外
5.3.1. Location-based or geospatial predictive or place-based crime predictions	5.3.1. 位置情報ベース、地理空間情報ベース、場所ベースの犯罪予測
5.3.2. AI systems that support human assessments based on objective and verifiable facts linked to a criminal activity	5.3.2. 犯罪行為に関連する客観的かつ検証可能な事実に基づく人間のアセスメントを支援するAIシステム
5.3.3. AI systems used for crime predictions and assessments in relation to legal entities	5.3.3. 事業体に関する犯罪予測やアセスメントに使用されるAIシステム
5.3.4. AI systems used for individual predictions of administrative offences	5.3.4. 行政犯罪の個別予測に使用されるAIシステム
5.4. Interplay with other Union legal acts	5.4. 他の連邦法との関係
6. Article 5(1)(e) AI Act - untargeted scraping of facial images	6 AI法第5条(1)(e) - 顔画像の非標的スクレイピング
6.1. Rationale and objectives	6.1. 根拠と目的
6.2. Main concepts and components of the prohibition	6.2. 禁止事項の主な概念と構成要素
6.2.1. Facial recognition databases	6.2.1. 顔認識データベース
6.2.2. Through untargeted scraping of facial images	6.2.2. 顔画像の非ターゲット・スクレイピングを通じて
6.2.3. From the Internet and CCTV footage	6.2.3. インターネットとCCTV映像から
6.3. Out of scope	6.3. 範囲外
6.4. Interplay with other Union legal acts	6.4. 他の連邦法との関係
7. Article 5(1)(f) AI Act emotion recognition	7 AI法第5条(1)(f) - 行為感情認識
7.1. Rationale and objectives	7.1. 根拠と目的
7.2. Main concepts and components of the prohibition	7.2. 禁止事項の主な概念と構成要素
7.2.1. AI systems to infer emotions	7.2.1. 感情を推測するAIシステム
7.2.2. Limitation of the prohibition to workplace and educational institutions	7.2.2. 職場および教育機構への禁止事項の限定
7.2.3. Exceptions for medical and safety reasons	7.2.3. 医療上および安全上の理由による例外
7.3. More favourable Member State law	7.3. より有利な加盟国法
7.4. Out of scope	7.4. 範囲外
8. Article 5(1)(g) AI Act: Biometric categorisation for certain ‘sensitive’ characteristics	8 AI法第5条(1)(g) - 特定の「機微な」特徴に関するバイオメトリクス分類
8.1. Rationale and objectives	8.1. 根拠と目的
8.2. Main concepts and components of the prohibition	8.2. 禁止事項の主な概念と構成要素
8.2.1. Biometric categorisation system	8.2.1. バイオメトリクス分類システム
8.2.2. Persons are individually categorised based on their biometric data	8.2.2. 個人は生体データに基づいて個別に分類される。
8.2.3. To deduce or infer their race, political opinions, trade union membership, religious or philosophical beliefs, sex life or sexual orientation	8.2.3. 人種、政治的意見、労働組合への加入、宗教的または哲学的信条、性生活、性的指向を推測または推論すること。
8.3. Out of scope	8.3. 範囲外
8.4. Interplay with other Union law	8.4. 他の連邦法との関係
9. Article 5(1)(h) AI Act - Real-time Remote Biometric Identification (RBI) Systems for Law Enforcement Purposes	9 AI法第5条(1)(h) - 法執行目的のリアルタイム遠隔バイオメトリクス識別（RBI）システム
9.1. Rationale and objectives	9.1. 根拠と目的
9.2. Main concepts and components of the prohibition	9.2. 禁止事項の主な概念と構成要素
9.2.1. The Notion of Remote Biometric Identification	9.2.1. 遠隔生体認証の概念
9.2.2. Real-time	9.2.2. リアルタイム
9.2.3. In publicly accessible spaces .	9.2.3. 公共のアクセス可能なスペースでは.
9.2.4. For law enforcement purposes	9.2.4. 法執行目的の場合
9.3. Exceptions to the prohibition	9.3. 禁止事項の例外
9.3.1. Rationale and objectives	9.3.1. 根拠と目的
9.3.2. Targeted search for the victims of three serious crimes and missing persons.	9.3.2. 重大犯罪の被害者と行方不明者を対象に捜索を行う。
9.3.3. Prevention of imminent threats to life or terrorist attacks	9.3.3. 生命に対する差し迫った脅威やテロ攻撃の防止
9.3.4. Localisation and identification of suspects of certain crimes	9.3.4. 特定の犯罪の容疑者の位置特定と識別
10. Safeguards and Conditions for the exceptions (Article 5(2)-(7) AI Act)	10 AI法第5条(2) (7) - 例外に関する保護措置と条件
10.1. Targeted individual and safeguards (Article 5(2) AI Act)	10.1 対象となる個人とセーフガード（AI法5条2項
10.1.1. Fundamental Rights Impact Assessment	10.1.1. 基本的人権の影響アセスメント
10.1.2. Registration of the authorized RBI systems	10.1.2. 認可RBIシステムの登録
10.2. Need for prior authorisation	10.2 事前承認の必要性
10.2.1. Objective	10.2.1. 目的
10.2.2. The main principle: Prior authorisation by a judicial authority or an independent administrative authority	10.2.2. 大原則司法当局または独立行政当局による事前認可
10.3. Notification to the authorities of each use of ‘real-time’ remote biometric identification systems in publicly accessible spaces for law enforcement	10.3. 法執行のために公共のアクセス可能な空間で「リアルタイム」遠隔バイオメトリクス識別システ ムを使用する場合は、その都度認可に通知する。
10.4. Need for national laws within the limits of the AI Act exceptions	10.4. AI法の例外の範囲内での国内法の必要性
10.4.1. Principle: national law required to provide the legal basis for the authorisation for all or some of the exceptions	10.4.1. 原則：例外のすべてまたは一部について、認可の法的根拠となる国内法が必要である。
10.4.2. National law shall respect the limits and conditions of Article 5(1)(h) AI Act	10.4.2. 国内法は、AI法第5条(1)(h)の制限と条件を尊重するものとする。
10.4.3. Detailed national law on the authorisation request, the issuance and the exercise	10.4.3. 認可申請、発行、行使に関する国内法の詳細
10.4.4. Detailed national law on the supervision and the reporting relating to the authorisation	10.4.4. 認可に関する監督と報告に関する詳細な国内法
10.5. Annual reports by the national market surveillance authorities and the national data protection authorities of Member States	10.5. 加盟国の市場監視当局およびデータ保護当局による年次報告書
10.6. Annual reports by the Commission	10.6. 委員会による年次報告
10.7. Out-of-Scope	10.7. 対象外
10.8. Examples of uses	10.8. 使用例
11. Entry into application	11 適用
12. Review and update of the Commission guidelines	12 委員会ガイドラインの見直しと更新

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.12.06 欧州委員会 AI法における汎用AIモデル - Q&A (2024.11.20)

・2024.12.04 欧州評議会 AIシステムの人権への影響を評価する新しいツールを発表 (2024.12.02)

・2024.10.30 欧州 AI法の調和標準の策定について...

・2024.10.18 オランダ AI利用ガイド (2024.10.16)

・2024.08.05 欧州AI法が施行された... (2024.08.01)

・2024.07.20 EU EDPB GDPRとEU-AI法関連

・2024.07.19 ドイツ BfDI フランス CNIL オランダ AP EU AI法関連

・2024.07.16 EU 2024.07.12にAI法がEU官報に掲載された

・2024.05.22 EU 欧州理事会がAI法を承認...まもなく発効されますね...

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2023.12.10 欧州委員会、欧州議会がAI法について政治的合意

・2022.12.08 EU理事会 AI法に関する見解を採択

・2022.09.30 欧州委員会 AI責任指令案

・2021.12.05 欧州理事会 AI法改正案を欧州議会に提出

・2021.08.08 EU議会 BRIEFING 人工知能法 at 2021.07.26

・2021.04.24 欧州委員会がAIへの規制を提案 → 欧州データ保護官は歓迎するけど、公共空間での遠隔生体認証についての規制も入れてね

内閣官房 サイバー対処能力強化法案及び同整備法案 (2025.02.07)

こんにちは、丸山満彦です。

サイバー対処能力強化法案及び同整備法案が閣議決定されましたね...

それぞれの法案の正式な名称は、

• 重要電子計算機に対する不正な行為による被害の防止に関する法律案（サイバー対処能力強化法案）
  
  
• 重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律案（サイバー対処能力強化法整備法案）

です。

法案の全体イメージ...

法案の全体像...

新法①【官⺠連携の強化】

新法②【通信情報の利⽤】

新法③【分析情報・脆弱性情報の提供等】(新法第８章関係）

整備法①【アクセス・無害化】

整備法②【組織・体制整備等】

その他（組織体制整備等）

役割、命令系統...

● 内閣官房 - サイバー安全保障に関する取組（能動的サイバー防御の実現に向けた検討など）

・法案の概要と説明資料

・・[PDF] 概要資料

・・[PDF] 説明資料

・重要電子計算機に対する不正な行為による被害の防止に関する法律案（サイバー対処能力強化法案）

・・[PDF] 要綱

・・[PDF] 法律案・理由

・・[PDF] 参照条文

・重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律案（サイバー対処能力強化法整備法案）

・・[PDF] 要綱

・・[PDF] 法律案・理由

・・[PDF] 新旧対照表

・・[PDF] 参照条文

内閣府 ＡＩ戦略会議 ＡＩ制度研究会 中間とりまとめ（案）(2025.02.04)

こんにちは、丸山満彦です。

2025.02.04 にＡＩ戦略会議（第13回）・ＡＩ制度研究会（第７回）※合同開催され、中間とりまとめ（案）が議論されたのですかね...

「中間取りまとめ（案）」にPwCやKPMGの調査をもとに作成したグラフがあるのですが、これが興味深い...

「AIのリスクや安全性に関する意識調査（国際比較）」

日本人はAIの規制にネガティブじゃない、というよりむしろ必要とかんがえているじゃないですか！！！

少数の声が大きな人（企業）を全体として捉えるとよくないかもですね...

既存の法律でカバーされている領域がある中で屋上屋を架すような法律を作る必要はないですけど...

AIを社内でも適切なルールとかを用いて利用させようとしない...

いけてない...

生成AIに関する意識調査（日本）

AI法による規制も内容によっては必要と考えているじゃないですか...

ただし...

● 内閣府 - AI戦略 - ＡＩ戦略会議

・2025.02.04 ＡＩ戦略会議（第13回）・ＡＩ制度研究会（第７回）※合同開催

・・[PDF] 資料1「中間とりまとめ（案）」に対する意⾒募集結果

・・[PDF] 資料2ＡＩ戦略会議　ＡＩ制度研究会　中間とりまとめ（案）

目次...

概要

I. はじめに

II. 制度の基本的な考え⽅
１. 近年の AI の発展
２. 関係主体
（１） 主な主体
（２） 国外事業者
３. イノベーション促進とリスクへの対応の両⽴
（１） イノベーションの促進
① 研究開発への⽀援
② 事業者による利⽤
（２） 法令の適⽤とソフトローの活⽤
（３） リスクへの対応
４. 国際協調の推進
（１） AI ガバナンスの形成
（２） 国際整合性・相互運⽤性の確保

III. 具体的な制度・施策の⽅向性
１. 全般的な事項
（１） 政府の司令塔機能の強化、戦略の策定
（２） 安全性の向上等
① AI ライフサイクル全体を通じた透明性と適正性の確保
② 国内外の組織が実践する安全性評価と認証に関する戦略的な促進
③ 重⼤インシデント等に関する政府による調査と情報発信
２. 政府による利⽤等
（１） 政府調達
（２） 政府等による利⽤
３. ⽣命・⾝体の安全、システミック・リスク、国の安全保障等に関わるもの

IV. おわりに

・・[PDF] 参考資料1ＡＩ戦略会議 構成員名簿

・・[PDF] 参考資料2ＡＩ制度研究会 構成員名簿

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.04.20 総務省 経済産業省 AI事業者ガイドライン（第1.0版）

・2024.03.18 総務省・経済産業省のAI事業者ガイドライン第1.0版はほぼきまりましたかね...

・2024.01.22 総務省 経済産業省 意見募集 「AI事業者ガイドライン案」

・2023.12.23 総務省 経済産業省 AI事業者ガイドライン案

・2023.12.22 自由民主党 AI の安全性確保と活用促進に関する緊急提言 (2023.12.14)

・2023.12.21 経済産業省 AI事業者ガイドライン検討会

・2022.01.29 経済産業省 AI原則実践のためのガバナンス・ガイドライン ver. 1.1

・2021.07.11 経済産業省 意見募集 AI原則実践のためのガバナンス・ガイドライン Ver1.0

---

・2025.02.08 欧州委員会 規則（EU）2024/1689（AI法）が定める人工知能の禁止行為に関する欧州委員会ガイドライン

・2024.12.06 欧州委員会 AI法における汎用AIモデル - Q&A (2024.11.20)

・2024.12.04 欧州評議会 AIシステムの人権への影響を評価する新しいツールを発表 (2024.12.02)

・2024.10.30 欧州 AI法の調和標準の策定について...

・2024.10.18 オランダ AI利用ガイド (2024.10.16)

・2024.08.05 欧州AI法が施行された... (2024.08.01)

・2024.07.20 EU EDPB GDPRとEU-AI法関連

・2024.07.19 ドイツ BfDI フランス CNIL オランダ AP EU AI法関連

・2024.07.16 EU 2024.07.12にAI法がEU官報に掲載された

米国 航空ISAC CISO調査報告書 2025

こんにちは、丸山満彦です。

Aviation-ISAC（航空ISAC）がCISO調査報告書2025を公表していますね...

航空ISACは、航空会社、空港、OEM/関連サービス会社から構成されているようですが、毎年発行していたんですね...

ISACは、1997年のクリントン政権の大統領決定指令63（Presidential Decision Directive 63: PDD63）に基づき重要インフラ業界毎に組成された組織で、現在米国では、25あります...

● Aviation ISAC

・2025 Ciso Survey Results

・[PDF] 

・[DOCX][PDF] 仮訳

過去分...

2024

[PDF]

2023

[PDF]

2022

[PDF]

2021

[PDF]

---

米国のISACとISAOについてまとめています...

● まるちゃんの情報セキュリティ気まぐれ日記

・2020.10.08 米国のISACとISAO （根拠指令、取りまとめ団体、ISAO標準文書など）

内閣府 重要経済安保情報の指定及びその解除、適性評価の実施並びに適合事業者の認定に関し、統一的な運用を図るための基準 (2025.01.31)

こんにちは、丸山満彦です。

経済安全保障推進法が策定されてから、いろいろと話題になっているものの一つである、セキュリティクリアランスの件、概ね内容が固まったようですね...

まずは、2024.12.24 にパブリックコメントにかけられていた、基準案が確定しましたね...

法の施行の日（令和７年５月16日）から施行することになるようです...

● 内閣府 - 重要経済安保情報の保護及び活用に関する法律（重要経済安保情報保護活用法）

概要・条文・施行令

• [PDF] 重要経済安保情報保護活用法の概要
  
  
• [e-Gov] 重要経済安保情報保護活用法の条文
  
  
• [PDF] 重要経済安保情報の保護及び活用に関する法律施行令の条文

運用基準

• [PDF] 重要経済安保情報保護活用法の運用基準 概要

• 2025.01.31 [PDF] 重要経済安保情報の指定及びその解除、適性評価の実施並びに適合事業者の認定に関し、統一的な運用を図るための基準の策定について

目次...

---

第１章 基本的な考え方
１ 策定の趣旨
２ 法の運用に当たって留意すべき事項
(1) 拡張解釈の禁止並びに基本的人権及び報道・取材の自由の尊重
(2) 公文書管理法及び情報公開法の適正な運用
３ 重要経済安保情報を取り扱う者等の責務

第２章 重要経済安保情報の指定
第１節 指定の要件
１ 重要経済基盤保護情報該当性
(1) 重要経済基盤
(2) 重要経済基盤保護情報該当性
２ 非公知性
３ 秘匿の必要性
第２節 指定に当たって遵守すべき事項
１ 遵守すべき事項
２ 留意事項
第３節 指定の手続
１ 重要経済安保情報管理者の指名
２ 対象情報の認知
３ 要件該当性の判断及び有効期間の設定
４ 重要経済安保情報指定書の作成
５ 指定管理簿の作成及び記載又は記録
６ 重要経済安保情報の表示又は通知及び指定の周知
７ 指定の通知を書面の交付に代えて電磁的記録の電子情報処理組織を使用する方法による提供で行う場合の必要な措置の実施
第４節 その他
１ 指定した重要経済安保情報を適切に保護するための規程
２ 指定に関する関係行政機関の協力

第３章 重要経済安保情報の指定の有効期間の満了、延長、解除等
第１節 指定の有効期間の満了及び延長
１ 指定の有効期間が満了する場合の措置
(1) 指定の理由の点検
(2) 指定の一部延長
２ 指定の有効期間が満了した場合の措置
(1) 有効期間の満了の周知等
(2) 重要経済安保情報表示の抹消
(3) 指定有効期間満了表示
３ 指定の有効期間を延長した場合の措置
４ 指定の有効期間を通じて30年を超えて延長する場合の措置
第２節 指定の解除
１ 指定を解除する場合の措置
(1) 指定の理由の点検等
(2) 指定の一部解除
(3) 一定の条件が生じた場合の解除等
２ 指定を解除した場合の措置
(1) 解除の周知等
(2) 重要経済安保情報表示の抹消
(3) 指定解除表示
第３節 指定が解除され、又は指定の有効期間が満了した情報を記録する行政文書の保存期間が満了したものの取扱い
１ 指定の有効期間が通じて30年を超える重要経済安保情報
２ 指定の有効期間を延長することについて内閣の承認が得られなかった重要経済安保情報
３ その他の重要経済安保情報

第４章 適性評価
第１節 適性評価の実施に当たっての基本的な考え方
１ 基本的人権の尊重等
２ プライバシーの保護
３ 調査事項以外の調査の禁止
４ 適性評価の結果の目的外利用の禁止
第２節 適性評価の流れ
１ 責任者及び担当者の指名等
(1) 適性評価実施責任者の指名
(2) 適性評価実施担当者の指名
(3) 適性評価調査実施責任者の指名
(4) 適性評価調査実施担当者の指名
(5) 関与の制限
２ 評価対象者の選定
(1) 名簿の作成及び提出
(2) 行政機関の長の承認
(3) 留意事項
３ 適性評価の実施についての告知及び同意等
(1) 評価対象者に対する告知（法第 12 条第３項の告知）
(2) 評価対象者による同意等
(3) 留意事項
４ 内閣総理大臣に対する適性評価調査の請求等
５ 適性評価調査の実施
(1) 評価対象者による質問票の記載と提出
(2) 上司等に対する調査等
(3) 関係者に対する質問等
(4) 人事管理情報等による確認
(5) 評価対象者に対する面接等
(6) 公務所又は公私の団体に対する照会
(7) 内閣総理大臣による適性評価調査の結果の通知
(8) 留意事項
６ 評価
(1) 評価の基本的な考え方
(2) 評価の視点等
(3) 評価の際に考慮する要素
７ 適性評価の結果等の通知
(1) 評価対象者への結果及び理由の通知
(2) 重要経済安保情報管理者等への結果の通知
(3) 内閣総理大臣への結果の通知
(4) 適性評価の進捗状況の問合せ
(5) 留意事項
第３節 適性評価実施後の措置
１ 行政機関の職員の場合
(1) 上司等による報告
(2) 報告等に対する措置
２ 適合事業者の従業者の場合
(1) 契約の締結
(2) 報告等に対する措置
第４節 適性評価に関する個人情報等の管理
１ 行政機関における個人情報等の管理
(1) 個人情報等の管理
(2) 文書等の管理
２ 適合事業者等における個人情報等の管理
３ 適性評価に関する個人情報の利用及び提供の制限
第５節 苦情の申出とその処理
１ 責任者及び担当者の指名等
２ 苦情の申出
３ 苦情の処理
(1) 調査の実施
(2) 調査の結果及び処理の方針の承認
４ 苦情の処理の結果の通知
５ 苦情の処理の結果を踏まえた対応の実施
６ 苦情の申出をしたことを理由とする不利益取扱いの禁止
第６節 相談窓口の設置
第７節 警察本部長による適性評価

第５章 適合事業者に対する重要経済安保情報の提供等
第１節 適合事業者に重要経済安保情報を提供する場合の流れ
１ 事業者の選定
(1) 事業者への提供の必要性の判断
(2) 事業者への事前の情報提供
(3) 他の行政機関から提供を受けた重要経済安保情報を提供する場合
２ 適合事業者の認定
(1) 認定申請書の提出
(2) 適合事業者の認定
(3) 認定審査のための基本的な考え方・考慮要素
３ 結果の通知
４ 契約の締結
５ 適性評価の実施
第２節 適合事業者に対して重要経済安保情報を保有させる場合の流れ
１ 事業者の選定
(1) 調査又は研究その他の活動の必要性の判断
(2) 事業者への事前の情報提供
(3) 同意の取得
(4) 留意事項
２ 適合事業者の認定等
(1) 適合事業者の認定
(2) 重要経済安保情報の指定
３ 契約の締結
４ 適性評価の実施
５ 調査研究等の実施
第３節 適合事業者と認定した後の措置
１ 事業者からの報告
２ 変更部分に係る再審査
３ 結果の通知

第６章 重要経済安保情報保護活用法の実施の適正を確保するための措置
第１節 重要経済安保情報保護活用委員会
第２節 内閣府独立公文書管理監による検証・監察
１ 内閣府独立公文書管理監による検証・監察
２ 行政機関の長に対する資料の要求
３ 是正の求め
４ 行政機関の長による指定管理簿の写しの提出等
第３節 重要経済安保情報の指定及びその解除並びに重要経済安保情報行政文書ファイル等の管理の適正に関する通報
１ 通報窓口の設置
２ 通報の処理
(1) 行政機関に対する通報
(2) 内閣府独立公文書管理監に対する通報
(3) 通報者の保護等
第４節 重要経済安保情報の指定及びその解除、適性評価の実施並びに適合事業者の認定の状況に関する報告等
１ 行政機関の長による報告
２ 重要経済安保情報保護活用諮問会議への報告
３ 国会への報告及び公表
４ 内閣府独立公文書管理監による報告
第５節 関係行政機関の協力
第６節 研修
第７節 その他の遵守すべき事項
第７章 本運用基準の見直し
第８章 施行日

【別添様式】

別添１ 適性評価の実施に当たってのお知らせ（告知書）
別添２－１ 適性評価の実施についての同意書
別添２－２ 公務所又は公私の団体への照会等についての同意書
別添２－３ 適性評価の実施についての同意書（第12条第７項）
別添３－１ 適性評価の実施についての不同意書
別添３－２ 適性評価の実施についての不同意書（第12条第７項）
別添４－１ 適性評価の実施についての同意の取下書
別添４－２ 適性評価の実施についての同意の取下書(第12条第７項)
別添５ 質問票（適性評価）
別添６ 調査票（適性評価）
別添７ 適性評価のための照会書
別添８ 適性評価調査実施担当者証
別添９－１ 適性評価結果等通知書（本人用）
別添９－２ 適性評価結果等通知書（適合事業者用）
別添10 重要経済安保情報の保護に関する誓約書
別添11 苦情処理結果通知書
別添12 認定申請書

---

まず、当面重要となってくるのが...

・重要経済安保情報の指定

・適性評価

・適合事業者の認定

となりますが、重要経済安保情報の指定は国がするので、民間側はその結果を待つことになります。

適正評価（個人のクリアランス）については、個人の話ですが、雇用主等の民間事業者も関係してくるので、重要経済安保情報を取り扱う可能性がありそうな事業者は考えておく必要がありそうですね...

そもそも、重要経済安保情報を取り扱う可能性のある事業者は適合事業者の認定（組織のクリアランス）を受ける必要があります。

おさらいになりますが...

・[PDF] 重要経済安保情報の保護及び活用に関する法律の概要

---

4. 適性評価

● 行政機関の長は、本人の同意を得た上で、内閣総理大臣による調査の結果に基づき漏えいのおそれがないことについての評価（適性評価）を実施（適性評価の有効期間は10年）。

【調査内容】

　①重要経済基盤毀損活動との関係に関する事項
　②犯罪及び懲戒の経歴に関する事項
　③情報の取扱いに係る非違の経歴に関する事項
　④薬物の濫用及び影響に関する事項
　⑤精神疾患に関する事項
　⑥飲酒についての節度に関する事項
　⑦信用状態その他の経済的な状況に関する事項

● 評価対象者が、適性評価を実施する行政機関以外の行政機関の長が直近に実施した適性評価（10年を経過していないものに限る。）において重要経済安保情報を漏らすおそれがないと認められた者である場合には、改めて調査することなく（直近の適性評価における調査結果に基づき）適性評価を実施可能。

● 重要経済安保情報を取り扱う適合事業者の従業者についても同様の調査・評価を実施。

---

・重要経済安保情報の保護及び活用に関する法律

・・第六章　適性評価

第十二条（行政機関の長による適性評価の実施）
第十三条（適性評価の結果等の通知）
第十四条（行政機関の長に対する苦情の申出等）
第十五条（警察本部長による適性評価の実施等）
第十六条（適性評価に関する個人情報の利用及び提供の制限）
第十七条（権限又は事務の委任）

で、ここまで思い出したら基準にもどります...

関係するのが、評価者の選定

---

第４章 適性評価

...

第２節 適性評価の流れ

...

２ 評価対象者の選定

(1) 名簿の作成及び提出

...

② 適合事業者の従業者に対する適性評価の場合

重要経済安保情報管理者は、適合事業者との契約に基づき、その従業者として重要経済安保情報の取扱いの業務を行わせようとする者について、その者の氏名、生年月日、所属する部署、役職名その他の必要な情報を、当該適合事業者から提出させるものとする。

適合事業者は、当該契約に基づき、従業者の氏名その他の必要な情報を重要経済安保情報管理者に提供するに当たっては、当該従業者の同意を得る。

なお、当該従業者が派遣労働者である場合には、適合事業者は、その旨を、当該派遣労働者を雇用する事業主に対して通知する。

重要経済安保情報管理者は、適合事業者から提出された情報に基づき、重要経済安保情報の取扱いの業務を行うことが見込まれる適合事業者の従業者について、適性評価を実施するため、氏名、生年月日、所属する部署、役職名その他の必要な事項を記載し、又は記録した名簿を作成し、これを適性評価実施責任者に提出するものとする。

その際、当該適合事業者から情報が提出された従業者のうち名簿に記載又は記録をしない者があるときは、重要経済安保情報管理者は、その旨を適合事業者に通知するとともに、当該通知の内容を、当該従業者に通知するよう当該適合事業者に求めるものとする。当該従業者が派遣労働者であるときは、重要経済安保情報管理者は、当該通知の内容を、当該従業者を雇用する事業主に通知するよう当該適合事業者に求めるものとする。

適合事業者は、提出した情報に変更があるときは、当該契約に基づき、速やかにこれを重要経済安保情報管理者に通知するものとする。

重要経済安保情報管理者は、適性評価実施責任者に提出した名簿に記載し、又は記録した事項に変更があるときは、速やかにこれを適性評価実施責任者に通知するものとする。

(2) 行政機関の長の承認

適性評価実施責任者は、重要経済安保情報管理者から提出された名簿に記載され、又は記録された者について、法第12条第１項各号のいずれかに該当することを確認した上で、適性評価を実施することについて行政機関の長の承認を得るものとする。

...

当該通知が適合事業者の従業者に係るものであるときは、重要経済安保情報管理者は、適合事業者に対し、当該通知の内容を通知するとともに、当該通知に係る従業者が派遣労働者であるときは、当該通知の内容を、当該従業者を雇用する事業主に通知するよう当該適合事業者に求めるものとする。

---

従業員の同意が必要となるわけですが、行政機関の職員に実施する際の雛形等もあるので、適合事業者もこれらを参考にして整備する必要がありそうですね...

次に具体的にどのように評価されそうか？

ということですが...これは、事業者も気になりますが、当然に本人がもっとも気になるでしょうね...

---

６ 評価

(1) 評価の基本的な考え方

... 重要経済安保情報の取扱いの業務を行った場合にこれを漏らすおそれがないかどうかについて、評価対象者の個別具体的な事情を十分に考慮して、総合的に判断...

... 疑念が残る場合には...重要経済安保情報を漏らすおそれがないと認められないと判断するものとする。

(2) 評価の視点等

... 漏えいするおそれは、次の３つの類型に大分されると考えられる。

・ 自発的に重要経済安保情報を漏えいするおそれ

・ 働き掛けを受けた場合に影響を排除できずに重要経済安保情報を漏えいするおそれ

・ 過失により重要経済安保情報を漏えいするおそれ

...

それぞれの類型を意識し、以下の視点から、評価するものとする。

① 情報を適正に管理することができるか

② 規範を遵守して行動することができるか

③ 職務に対し、誠実に取り組むことができるか

④ 情報を自ら漏らすような活動に関わることがないか

⑤ 自己を律して行動することができるか

⑥ 情報を漏らすよう働き掛けを受けた場合に、これに応じるおそれが高い状態にないか

⑦ 職務の遂行に必要な注意力を有しているか

(3) 評価の際に考慮する要素

...調査により判明した事実について、以下の要素を考慮するものとする。

① 法第12条第２項各号に掲げる事項についての評価対象者の行動又は状態（以下「対象行動等」という。）の性質、程度及び重大性

② 対象行動等の背景及び理由

③ 対象行動等の頻度及び時期

④ 対象行動等があったときの評価対象者の年齢

⑤ 対象行動等に対する自発的な関与の程度

⑥ 対象行動等がなくなり、又は再び生ずる可能性

---

どのようなことが質問、調査されるかは、

・別添１ 適性評価の実施に当たってのお知らせ（告知書）

・別添５ 質問票（適性評価）

・別添６ 調査票（適性評価）

を見るとよりわかるように思います...

評価結果がもどってきたら...

---

第３節 適性評価実施後の措置

...

２ 適合事業者の従業者の場合

(1) 契約の締結

行政機関の長は、以下に掲げる事項について、契約で定めるものとする。

① 契約に基づき重要経済安保情報を保有し又は提供される適合事業者は、当該契約により重要経済安保情報の取扱いの業務を行う従業者について１(1)の事情があると認めた場合には、速やかにこれを契約先の行政機関における当該重要経済安保情報に係る重要経済安保情報管理者に報告すること。

② 従業者が派遣労働者である場合、適合事業者は、当該従業者について１(1)の事情があると認められたときに当該従業者を雇用する事業主から当該適合事業者に報告が行われるよう必要な措置を講ずること。

③ (2)の通知を受けた場合に、適合事業者は、当該通知に係る従業者が重要経済安保情報の取扱いの業務を行うことのないよう必要な措置を講ずること。

④ (2)の通知を受けた場合であって、当該通知に係る従業者が派遣労働者であるときは、当該通知の内容を当該派遣労働者を雇用する事業主に通知すること。

(2) 報告等に対する措置

重要経済安保情報管理者は、(1)による報告又は誓約書に基づき適合事業者の従業者から１(1)に掲げる事情がある旨の申出等に基づき、重要経済安保情報の取扱いの業務を行ったときにこれを漏らすおそれがないと認められた適合事業者の従業者に、法第 12 条第１項第３号に規定する事情があると認めるときは、その旨を適合事業者に通知するとともに、当該通知に係る従業者が派遣労働者であるときは、当該通知の内容を、当該従業者を雇用する事業主に通知するよう当該適合事業者に求めるものとする。

一方、当該報告又は申出に係る事情が、法第12条第１項第３号に規定する事情に該当しないと認めるときは、重要経済安保情報管理者は、その旨を当該報告又は申出をした者に通知するものとする。

---

で、個人情報の管理...

---

第４節 適性評価に関する個人情報等の管理

１ 行政機関における個人情報等の管理

(1) 個人情報等の管理

適性評価に関する文書等に含まれる個人情報の管理については、個人情報の保護に関する法律（平成15年法律第57号）第66条の規定に基づき、保有個人情報（同法第 60条第１項に規定する保有個人情報をいう。）の安全管理のために必要かつ適切な措置を講じなければならない。

また、個人情報を保護するための情報セキュリティ対策については、サイバーセキュリティ戦略本部等が定める「政府機関等のサイバーセキュリティ対策のための統一基準群」に基づき、適切に行う。

(2) 文書等の管理

...

② 文書等の保存

...

イ 重要経済安保情報管理者

重要経済安保情報管理者が取得した適性評価の結果等に係る文書等の保存期間は、当該文書等を取得した日から１年未満とする。ただし、重要経済安保情報の取扱いの業務を行った場合にこれを漏らすおそれがないと認められた旨の通知に係る文書等の保存期間については、当該文書等を取得した日の属する年度の翌年度の４月１日から起算して10年間とする。

...

２ 適合事業者等における個人情報等の管理

行政機関の長は、適合事業者及び適合事業者の指揮命令の下に労働する派遣労働者を雇用する事業主が、行政機関の長又は適合事業者から通知された、評価対象者が適性評価の実施に同意をしなかった事実、同意を取り下げた事実及び評価対象者についての適性評価の結果に係る文書等について、これが適切に管理されるよう、１(1)及び１(2)② イに準じて必要な措置を講ずることについて、契約で定めるものとする。

---

規程等を作成する場合には、これ以外の部分も必要になりますが、当面気にしないといけない分野...

あと気になるのが、そもそも国から適合事業者になる必要があると言われたら、どうするのか？ということになると思うのですが...

 それを受けるということであれば、「別添12 認定申請書」を提出する必要があるということになりますね...

---

第５章 適合事業者に対する重要経済安保情報の提供等

第１節 適合事業者に重要経済安保情報を提供する場合の流れ

１ 事業者の選定

(1) 事業者への提供の必要性の判断

重要経済安保情報を保有する行政機関の長は、事業者からの相談なども踏まえながら、重要経済基盤の脆弱性の解消、重要経済基盤の脆弱性及び重要経済基盤に関する革新的な技術に関する調査及び研究の促進、重要経済基盤保護情報を保護するための措置の強化その他の我が国の安全保障の確保に資する活動の促進を図るために、特定の事業者に対して、重要経済安保情報を提供する必要があるか否かを判断するものとする。

(2) 事業者への事前の情報提供

行政機関の長は、重要経済安保情報の提供先である事業者を適切に選定するとともに、当該事業者において十分な検討が可能となるよう、できる限りの情報提供に努めるものとする。情報提供に当たっては、重要経済安保情報の概要やその性質などを提供するにとどめ、重要経済安保情報を提供することがないようにしなければならない。

また、重要経済安保情報の概要やその性質などを提供する場合であっても、その情報を保全するために必要性があると認めるときは、事業者との間で守秘義務契約を締結することができる。

...

２ 適合事業者の認定

(1) 認定申請書の提出

行政機関の長は、適合事業者としての認定のために、事業者に対し、必要事項を記載し、又は記録した別添12の「認定申請書」（当該申請書に記載すべき事項を記録した電磁的記録を含む。以下「申請書」という。）の提出を求めるものとする。

① 事業者において、重要経済安保情報の保護の全体の責任を有する者（以下「保護責任者」という。）の指名基準及び指名手続

② 重要経済安保情報を取り扱う場所において、当該重要経済安保情報の保護に関する業務を管理する者（以下「業務管理者」という。）の指名基準及び指名手続並びにその職務内容

③ 従業者に対する重要経済安保情報の保護に関する教育の実施内容及び方法

④ 重要経済安保情報の保護のために必要な施設設備の設置に係る手続

⑤ 重要経済安保情報の取扱いの業務を行う従業者の範囲の決定基準及び決定手続

⑥ 重要経済安保情報を取り扱うことができない者には重要経済安保情報を提供してはならないこと

⑦ 重要経済安保情報を取り扱うことができない者は、重要経済安保情報を提供することを求めてはならないこと

⑧ 重要経済安保情報を取り扱う場所への立入り及び機器の持込みの制限に係る手続及び方法

⑨ 重要経済安保情報を取り扱うために使用する電子計算機の使用の制限に係る手続及び方法

⑩ 重要経済安保情報文書等（施行令第４条に規定する重要経済安保情報文書等をいう。以下同じ。）の作成、運搬、交付、保管、廃棄その他の取扱いの方法の制限に係る手続及び方法

⑪ 重要経済安保情報の伝達の方法の制限に係る手続及び方法

⑫ 重要経済安保情報の取扱いの業務の状況の検査に係る手続及び方法

⑬ 重要経済安保情報文書等の奪取その他重要経済安保情報の漏えいのおそれがある緊急の事態に際し、その漏えいを防止するために他に適当な手段がないと認められる場合における重要経済安保情報文書等の廃棄に係る手続及び方法

⑭ 重要経済安保情報文書等の紛失その他の事故が生じた場合における被害の発生の防止その他の措置に係る手続及び方法

(3) 認定審査のための基本的な考え方・考慮要素

認定のための審査は、以下を踏まえて、総合的に判断するものとする。なお、認定のための審査を尽くしてもなお、事業者が以下に適合していると認めることについて疑念が残る場合には、重要経済安保情報の漏えいを防止し、もって我が国及び国民の安全を確保する法の目的に鑑み、適合事業者とは認定しないと判断するものとする。

① 事業者における株主や役員の状況に照らして、当該事業者の意思決定に関して外国の所有、支配又は影響がないと認められるかどうか。

② (2)①又は②に関して、保護責任者又は業務管理者として指名される者が、業務を適切に行うための必要な知識を有しており、その職責を全うできる地位にあると認められるかどうか。

③ (2)③に関して、従業者にとって重要経済安保情報を保護するために必要な知識を的確に習得できる内容となっており、適切な頻度で継続的に実施されることとなっているかどうか。

④ (2)④又は⑧～⑩に関して、現地で実際に確認した上で、重要経済安保情報の保護のために設置されることになる施設設備が、重要経済安保情報を保護するための必要な機能及び構造を有し、立入りの制限や持込みの制限に関して有効な機能及び構造を有しているかどうか。

行政機関の長は、認定審査のために必要な範囲内において、事業者から、申請書の記載事項のほか追加の資料の提出を求めることができる。

---

適合事業者に該当すると認定されると認定されたという通知が来て、認定されなかったら、認められなかった理由が通知されるようですね...

さて、適合事業者に該当すると認められた場合は、契約の締結に入ることになると思いますが、契約すべき内容のうち基準で決めているのは、以下の通りですので、最低限、この項目についての体制等は整備しておく必要がありそうですね...

---

４ 契約の締結

...

契約には、以下に関する事項を含めなければならない。

(1) ２(2)の規程に基づく重要経済安保情報の保護・管理に関すること

(2) 重要経済安保情報文書等であって当該適合事業者において作成したものについて法第３条第２項第１号に掲げる措置又は当該情報について講ずる同項第２号に掲げる措置に関すること

(3) 重要経済安保情報の指定の有効期間が満了した場合に講ずる措置に関すること

(4) 重要経済安保情報の指定の有効期間が延長された場合に講ずる措置に関すること

(5) 重要経済安保情報の指定が解除された場合に講ずる措置に関すること

(6) 第４章第４節２に規定する適性評価の実施に際して取得した個人情報を適切に管理すること

(7) 評価対象者が名簿への掲載や適性評価の実施に同意をしなかった事実、適性評価の結果が通知されていないこと、適性評価の結果その他適性評価の実施に当たって取得する個人情報を、第４章第４節３に規定する重要経済安保情報の保護以外の目的のために利用し又は提供してはならないこと

(8) 評価対象者に事情の変更があると認める場合には、速やかにこれを契約先の行政機関における重要経済安保情報に係る重要経済安保情報管理者に報告すること

(9) 申請書で提出した情報又は申請書に添付した規程若しくは規程案に関して変更が生じた場合には、速やかにこれを契約先の行政機関における重要経済安保情報に係る重要経済安保情報管理者に報告すること

(10) 適合事業者の認定後に行政機関により実施される定期的な検査の受入れに関すること

---

次に、適合事業者に対して重要経済安保情報を保有させる場合の流れになるわけですが...適合事業者であれば自動的に国から重要経済安保情報が提供されるわけではなく、是々非々の必要性判断により、必要と認められた場合だけとなりますね...

で、調査研究等のために、重要経済安保情報が適合事業者に提供され、その情報をうけて調査研究等をした場合、その事業者がその後保有することが見込まれる情報は、あらかじめ重要経済安保情報に指定することができるようですね...

---

２ 適合事業者の認定等

...

(2) 重要経済安保情報の指定

行政機関の長は、調査研究等の実施により事業者がこの後保有することが見込まれる情報に関して、あらかじめ重要経済安保情報に指定するものとする。

---

---

● まるちゃんの情報セキュリティ気まぐれ日記

日本...

・2024.05.11 日本でもセキュリティクリアランス制度が本格的に導入されることになりましたね...

・2024.02.28 内閣 重要経済安保情報の保護及び活用に関する法律案が閣議決定

・2024.02.20 経団連 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する提言 (2024.02.15)

・2024.01.30 内閣官房 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議 最終取りまとめ (2024.01.19)

・2023.12.22 内閣官房 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議（第9回）

・2023.10.12 内閣官房 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議（第7回）

・2023.08.27 参議院常任委員会調査室・特別調査室：セキュリティ・クリアランス制度導入の方向性と主な論点 ~技術流出の防止等による国力向上を目指した制度構築に向けて~

・2023.06.08 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議 中間論点整理

・2023.04.08 自民党 セキュリティ・クリアランスで法整備を経済安保推進本部・安全保障調査会・サイバーセキュリティ対策本部・デジタル社会推進本部が提言

・2023.02.27 内閣官房 経済安全保障分野におけるセキュリティ・クリアランス制度等に関する有識者会議

・2022.12.18 国家安全保障戦略が閣議決定されましたね。。。(2022.12.16) 対英訳付き...

・2022.10.19 自民党 わが国が目指すべき 経済安全保障の全体像について～新たな国家安全保障戦略策定に向けて～ (2022.10.04)

米国...

・2024.02.26 米国 GAO 国防総省インテリジェンス：プログラムの監督を強化しリスクを管理するために必要な行動

・2023.12.11 米国 国防総省 内部監察官室 請負業者ネットワーク上の国防総省管理対象非機密情報保護に関するサイバーセキュリティの共通の不備 (2023.12.04)

・2023.11.20 NIST 意見募集 IR8496 NIST IR 8496（初公開ドラフト） データ収集改善のためのデータ格付の概念と考察

・2023.11.05 RAND研究所 多様で信頼される労働力 - 国家安全保障担当者の審査における偏見の可能性と不公平の原因となりうる要素の検証

・2023.07.24 Rand研究所 セキュリティ・クリアランス・プロセスに関するネット上の誤解を評価する（＋米国セキュリティクリアランス関連リンク）

・2022.08.18 米国 国土安全保障省 内部監察官室 2015年サイバーセキュリティ情報共有法の下、情報共有の改善に向けてさらなる進展が必要

・2021.09.21 国務省OIG 国務省のセキュリティ・クリアランス・データを国家情報長官室に報告するプロセスには改善が必要

その他...

・2024.08.08 英国 政府のセキュリティ格付

・2024.07.30 オーストラリア会計検査院 (ANAO) 国防省によるマイクリアランス・システムの調達と導入 (2024.07.11)

・

Five Eyes + チェコ、日本、韓国、オランダ エッジ・デバイスの安全に関する報告書...

こんにちは、丸山満彦です。

オーストラリア通信総局 - オーストラリアサイバーセキュリティセンターから、エッジ・デバイスの安全に関する報告書が公表されていますね...

日本と、米国、英国、カナダ、ニュージーランド、韓国、オランダ及びチェコの９か国が共同署名をしていますね...

● Australian Signals Directorate - Australian Cyber Security Centre

・2024.02.04 Securing edge devices

Securing edge devices	エッジ・デバイスの安全
Edge devices explained	エッジ・デバイスの説明
Edge devices are critical network components that serve as security boundaries between internal enterprise networks and the internet. Edge devices perform essential functions such as:	エッジ・デバイスは、エンタープライズ内部ネットワークとインターネットのセキュリティ境界として機能する重要なネットワーク・コンポーネントである。エッジ・デバイスは次のような重要な機能を果たす。
・managing data traffic	・データ・トラフィックの管理
・enforcing security policies	・セキュリティ・ポリシーの適用
・enabling seamless communication across network boundaries.	・ネットワーク境界を越えたシームレスなコミュニケーションの実現。
Positioned at the network's periphery – often referred to as "the edge" – these devices interface between an internal, private network and a public, untrusted network like the internet.	しばしば「エッジ」と呼ばれるネットワークの周辺部に配置されるこれらのデバイスは、内部プライベート・ネットワークとインターネットのようなパブリックで信頼されていないネットワークとの間のインターフェイスである。
The most common edge devices across enterprise networks include enterprise routers, firewalls and VPN concentrators. They can access other assets on the network, providing an appealing ingress point and target to malicious actors.	エンタープライズ・ネットワークで最も一般的なエッジ・デバイスには、エンタープライズ・ルーター、ファイアウォール、VPNコンセントレーターなどがある。これらはネットワーク上の他の資産にアクセスすることができ、悪意のある行為者にとって魅力的な侵入ポイントでありターゲットとなる。
Why you should secure your edge devices	エッジ・デバイスのセキュリティを確保すべき理由
Failing to secure edge devices is like leaving a door open from the internet to internal networks, which could allow malicious actors to gain unauthorised access. From there, they can access sensitive data and disrupt business operations.	エッジ・デバイスのセキュリティを確保しないことは、インターネットから内部ネットワークへのドアを開けっ放しにしているようなものであり、悪意のある行為者が不正にアクセスすることを許してしまう可能性がある。そこから機密データにアクセスされ、業務を妨害される可能性がある。
Malicious actors are increasingly targeting internet-facing edge devices. Any organisations with a connection to the internet deploys at least one edge device, making it crucial to address their security.	悪意のある行為者は、インターネットに接続されたエッジ・デバイスを標的とするようになっている。インターネットに接続している組織は、少なくとも1つはエッジ・デバイスを展開しており、そのセキュリティ対策は極めて重要である。
Although edge devices can boost an organisation’s efficiency, it can be easy to overlook the security vulnerabilities that edge devices present. The more edge devices there are, the greater the potential threat surface, making it more challenging for operational staff and cyber security staff to secure.	エッジ・デバイスは組織の効率を向上させるが、エッジ・デバイスが持つセキュリティの脆弱性を見落としがちである。エッジ・デバイスの数が多ければ多いほど、潜在的な脅威の表面は大きくなり、運用スタッフやサイバー・セキュリティ・スタッフがセキュリティを確保するのは難しくなる。
It is important to secure these edge devices to minimise risks and ensure they don’t become a liability that could compromise the entire network. Compromised edge devices can lead to significant detriments to an organisation such as:	リスクを最小化し、ネットワーク全体を危険にさらす可能性のある負債にならないようにするためには、これらのエッジ・デバイスを保護することが重要である。エッジデバイスが侵害されると、
・data loss	・データ損失
・loss of intellectual property	・知的財産の損失
・disruption of business operations	・業務の中断
・financial loss	・財務上の損失
・reputational damage	・風評被害
・legal implications.	・法的影響など、組織に重大な不利益をもたらす可能性がある。
Feature publications	特集
Mitigation strategies for edge devices: Executive guidance	エッジデバイスの緩和戦略： エグゼクティブガイダンス
This publication provides a high-level summary of ASD’s existing guidance to manage and secure edge devices effectively.	本書は、エッジデバイスを効果的に管理し保護するためのASDの既存ガイダンスのハイレベルな要約を提供する。
Mitigation strategies for edge devices: Practitioner guidance	エッジデバイスの緩和戦略：実務者向けガイダンス
This publication provides a high-level summary of ASD’s existing guidance to manage and secure edge devices effectively.	本書は、エッジデバイスを効果的に管理し保護するためのASDの既存ガイダンスのハイレベルな要約を提供する。
Digital forensics and protective monitoring specifications for producers of network devices and appliances	ネットワーク機器やアプライアンスの生産者向けのデジタル・フォレンジックと保護監視の仕様
This publication outlines expectations on the minimum requirements for forensic visibility. It aims to help network defenders better secure organisational networks, both before and after a potential compromise.	本書は、フォレンジック可視化のための最低要件についての期待を概説している。潜在的な侵害の前と後の両方において、ネットワーク防御者が組織ネットワークをより安全に保護できるようにすることを目的としている。
Security considerations for edge devices	エッジデバイスのセキュリティに関する考慮事項
This publication provides guidance on securing VPNs, routers and firewalls in an organisational context. It is tailored for senior leaders in an IT decision-making role.	本書は、VPN、ルーター、ファイアウォールを組織的に保護するためのガイダンスを提供する。ITの意思決定を行うシニアリーダーを対象としている。

・2025.02.04 Mitigation strategies for edge devices: Executive guidance

Mitigation strategies for edge devices: Executive guidance	エッジデバイスの緩和戦略 エグゼクティブ・ガイダンス
Malicious actors are increasingly targeting internet-facing edge devices to gain unauthorised access to networks; therefore, it is vital that organisations prioritise securing edge devices in their environments. Edge devices are critical network components that serve as security boundaries between internal enterprise networks and the internet. The most commonly observed edge devices implemented across enterprise networks include enterprise routers, firewalls, and VPN concentrators. These devices perform essential functions such as managing data traffic, enforcing security policies, and enabling seamless communication across network boundaries. Positioned at the network's periphery - often referred to as "the edge" - these devices connect an internal, private network and a public, untrusted network like the internet.	悪意のある行為者は、ネットワークへの不正アクセスを得るために、インターネットに面したエッジ・デバイスを標的にすることが増えている。したがって、組織は、その環境においてエッジ・デバイスの安全確保を優先することが不可欠である。エッジデバイスは、エンタープライズの内部ネットワークとインターネットとのセキュリティ境界となる重要なネットワークコンポーネントである。エンタープライズ・ルーター、ファイアウォール、VPNコンセントレーターなど、企業ネットワークで最も一般的に導入されているエッジ・デバイスがある。これらのデバイスは、データ・トラフィックの管理、セキュリティ・ポリシーの実施、ネットワーク境界を越えたシームレスなコミュニケーションの実現など、必要不可欠な機能を果たす。ネットワークの周辺に位置し、しばしば「エッジ」と呼ばれるこれらのデバイスは、内部プライベート・ネットワークとインターネットのようなパブリックで信頼されていないネットワークを接続している。
Failing to secure edge devices is like leaving a door open from the internet to internal networks, potentially allowing malicious actors to gain access to networks from there, they can access sensitive data and disrupt operations.	エッジデバイスのセキュリティ確保を怠ることは、インターネットから内部ネットワークへのドアを開けっ放しにしているようなもので、悪意のある行為者がそこからネットワークにアクセスし、機密データにアクセスしたり、業務を妨害したりする可能性がある。
If organisations have not applied zero trust principles in their environments, malicious actors can use a range of techniques to gain access through network edge devices. This typically occurs through identifying and exploiting newly released vulnerabilities for edge devices, which have a poor track record for product security. Both skilled and unskilled malicious actors conduct reconnaissance against internet-accessible endpoints and services to identify and exploit vulnerable devices.	組織の環境にゼロトラスト原則が適用されていない場合、悪意のある行為者はネットワーク・エッジ・デバイスを通じてアクセスするために様々なテクニックを使うことができる。これは通常、製品セキュリティの実績が乏しいエッジ・デバイス向けに新たにリリースされた脆弱性を特定し、悪用することで発生する。熟練した悪意のある行為者もそうでない行為者も、インターネットにアクセス可能なエンドポイントやサービスに対して偵察を行い、脆弱性のあるデバイスを特定して悪用する。
Some examples of malicious actors exploiting edge devices include:	エッジ・デバイスを悪用する悪意のある行為者の例には、以下のようなものがある：
・PRC state-sponsored actors compromise and maintain persistent access to U.S. critical infrastructure (ASD)	・中華人民共和国の国家に支援された行為者が米国の重要インフラを侵害し、持続的なアクセスを維持する（ASD）
・People's Republic of China-Linked Cyber Actors Hide in Router Firmware (CISA)	・中華人民共和国関連のサイバー行為者がルータのファームウェアに潜む（CISA）
Scope	範囲
This publication offers a high-level summary of existing guidance for securing edge devices from the cybersecurity authorities of the following partnered countries: Australia, Canada, Czech Republic, Japan, Netherlands, New Zealand, South Korea, the United Kingdom, and the United States. It consolidates key practices for effectively managing and securing edge devices. This guidance is intended for executives within large organisations and critical infrastructure sectors responsible for the deployment, security, and maintenance of enterprise networks.	本書は、以下の提携国のサイバーセキュリティ当局によるエッジデバイスの安全確保に関する既存のガイダンスのハイレベルな要約を提供する： オーストラリア、カナダ、チェコ共和国、日本、オランダ、ニュージーランド、韓国、英国、米国である。このガイダンスは、エッジデバイスを効果的に管理し、セキュリティを確保するための重要な実践方法をまとめたものである。このガイダンスは、エンタープライズ・ネットワークの展開、セキュリティ、保守を担当する大規模組織や重要インフラ部門の幹部を対象としている。
Disclaimer: The information in this guide is being provided “as is” for informational purposes only. The authoring agencies do not endorse any commercial entity, product, company, or service, including any entities, products, or services linked within this document. Any reference to specific commercial entities, products, processes, or services by service mark, trademark, manufacturer, or otherwise, does not constitute or imply endorsement, recommendation, or favouring by the authoring agencies.	免責事項：本ガイドの情報は、情報提供のみを目的として「現状のまま」プロバイダとして提供される。認可機関は、本文書内でリンクされている事業体、製品、企業、サービスを含め、いかなる事業体、製品、企業、サービスも保証しない。サービスマーク、商標、製造事業者、その他による特定の事業体、製品、プロセス、またはサービスへの言及は、執筆機関による承認、推奨、または支持を意味するものではない。
Summary of mitigation strategies	緩和戦略の概要
The following table outlines key strategies for securing edge devices, aimed at enhancing network security and reducing vulnerabilities.	次の表は、ネットワークセキュリティを強化し、脆弱性を低減することを目的とした、エッジデバイスの安全性を確保するための主要な戦略の概要である。
Know the edge	エッジを知る
Endeavour to understand where the periphery of the network is, and audit which devices sit across that edge. Identify devices that have reached End-of-Life (EOL) and remove/replace them.	ネットワークの周辺がどこにあるかを理解し、どのデバイスがそのエッジを横切っているかを監査する。耐用年数（EOL）に達したデバイスを特定し、撤去／交換する。
Procure secure-by-design devices	セキュアバイデザインのデバイスを調達する
Prioritise procuring edge devices from manufacturers that follow secure-by-design principles during product development. Explicitly demand product security as part of the procurement process; for more guidance consider Secure by Demand Guide: How Software Customers Can Drive a Secure Technology Ecosystem. Track deliveries and maintain assurance that malicious actors have not tampered with edge devices.	製品開発時にセキュアバイデザインの原則に従う製造事業者からエッジデ バイスを調達することを優先する。調達プロセスの一環として、製品のセキュリティを明示的に要求する。詳細なガイダンスについては、「セキュア・バイ・デマンド・ガイド」を参照： 詳細は、「セキュア・バイ・デマンド・ガイド ソフトウェア顧客がセキュアなテクノロジー・エコシステムを推進する方法」を参照されたい。納入品を追跡し、悪意のある行為者がエッジデバイスを改ざんしていないことを保証する。
Apply hardening guidance, updates and patches	ハードニングガイダンス、アップデート、パッチの適用
Review and implement specific vendor hardening guidance. Ensure prompt application of patches and updates to edge devices to protect against known vulnerabilities.	特定のベンダーのハードニングガイダンスをレビューし、実施する。既知の脆弱性から保護するために、エッジデバイスにパッチとアップデートを迅速に適用する。
Implement strong authentication	強固な認証を導入する
Implement robust identity and access management practices to prevent unauthorised access with weak credentials or poor access controls. Implement phishing-resistant multi-factor authentication (MFA) across edge devices to protect against exploitation.	強固なアイデンティティ管理、認証／アクセス制御を導入し、脆弱な認証情報や不十分なアクセス制御による不正アクセスを防止する。フィッシングに強い多要素認証（MFA）をエッジデバイス全体に導入し、悪用から保護する。
Disable unneeded features and ports	不要な機能とポートを無効にする
Regularly audit and disable unused features and ports on edge devices to minimise the attack surface.	定期的に監査し、エッジデバイスの未使用の機能とポートを無効にすることで、攻撃対象領域を最小化する。
Secure management interfaces	管理インタフェースの保護
Limit exposure by ensuring management interfaces are not directly internet accessible.	管理インタフェースがインターネットから直接アクセスできないようにすることで、エクスポージャを制限する。
Centralise monitoring for threat detection	脅威検知のための集中監視
Ensure centralised visibility and log access to detect and investigate security incidents. Event logs should also be backed up and data redundancy practices should be implemented.	セキュリティ・インシデントを検知・調査するために、集中的な可視化とログ・アクセスを確保する。イベントログもバックアップし、データの冗長化を実施する。
Frameworks and controls	枠組みおよび管理
The authoring organisations provide the following publications for organisations to use that contain the best practice guidance on securing, hardening, and managing edge devices effectively. All organisations are encouraged to review and follow these policies, procedures, and publications to improve the security of their edge devices. Organisations should prioritise implementing the recommendations developed by their national cybersecurity authorities when developing a plan of action and implementation for securing their edge devices.	認可機関は、エッジデバイスのセキュリティ確保、堅牢化、および効果的な管理に関するベストプラクティスのガイダンスを含む、組織が使用するための以下の出版物を提供している。すべての組織は、エッジデバイスのセキュリティを改善するために、これらのポリシー、手順、および出版物を見直し、それらに従うことが推奨される。組織は、エッジデバイスのセキュリティを確保するための行動計画および実施計画を策定する際には、各国のサイバーセキュリティ当局が策定した勧告を優先的に実施すべきである。
The following publications have been sourced to build the mitigations within this guide:	本ガイドの緩和策を構築するために、以下の出版物を入手した：
Australian Signals Directorate (ASD)	Australian Signals Directorate (ASD)
Information Security Manual (ISM) and Essential Eight Maturity Model (E8MM)	Information Security Manual (ISM) and Essential Eight Maturity Model (E8MM)
ASD’s ISM provides a comprehensive set of guidelines for protecting IT and OT systems from cyberthreats. It includes standards for system hardening, networking and device procurement. The ISM aligns with the E8MM, which outlines strategies to protect against cybersecurity threats; each strategy has different maturity levels designed to support organisations in achieving progressively higher security standards.	ASD の ISM は、IT と OT システムをサイバー脅威から防御するための包括的なガイドラインを提供している。システムハードニング、ネットワーキング、デバイス調達の標準が含まれている。ISMは、サイバーセキュリティの脅威から保護するための戦略を概説するE8MMと整合している。各戦略には、組織が段階的に高いセキュリティ基準を達成するのをサポートするように設計された異なる成熟度がある。
Cybersecurity and Infrastructure Security Agency (CISA)	サイバーセキュリティ・インフラセキュリティ庁（CISA）
Cross-Sector Cybersecurity Performance Goals (CPGs)	クロスセクター・サイバーセキュリティ・パフォーマンス目標（CPG）
CISA’s CPGs, which align with the NIST CSF, offer a prioritised list of security outcomes, aimed at meaningfully reducing risks to both critical infrastructure operations and the American people. These goals are tailored to address sector-specific risks, providing organisations with concrete, outcome-focused objectives to improve their resilience against cyberthreats.	NIST CSFと整合するCISAのCPGは、重要インフラの運用と米国民の両方に対するリスクを有意に低減することを目的とした、セキュリティ成果の優先順位付けされたリストを提供する。これらの目標は、セクター固有のリスクに対処するように調整されており、サイバー脅威に対するレジリエンスを改善するための具体的で成果に焦点を当てた目標を組織に提供している。
Canadian Centre for Cyber Security (CCCS)	Canadian Centre for Cyber Security (CCCS)
Cross-Sector Cyber Security Readiness Goals (CRG) Toolkit	Cross-Sector Cyber Security Readiness Goals (CRG) Toolkit
CCCS’s CRGs offer a practical framework to protect organisations from common cyberthreats. Designed to align with CISA’s Cybersecurity Performance Goals (CPGs) and National Institute of Standards and Technology’s (NIST) Cyber Security Framework (CSF), these baseline controls emphasise foundational practices like secure configurations, incident response, and access management to guide organisations in managing and reducing cybersecurity risks.	CCCSのCRGは、一般的なサイバー脅威から組織を守るための実践的な枠組みを提供する。CISAのサイバーセキュリティ・パフォーマンス・ゴール（CPG）および国立標準技術研究所（NIST）のサイバーセキュリティ・フレームワーク（CSF）と整合するように設計されたこれらの基本管理は、安全な設定、インシデント対応、アクセス管理などの基本的なプラクティスに重点を置いており、組織がサイバーセキュリティ・リスクをマネジメントし、低減するための指針となる。
New Zealand National Cyber Security Centre (NCSC-NZ)	ニュージーランド国家サイバーセキュリティセンター（NCSC-NZ）
New Zealand Information Security Manual (NZISM) and Cyber Security Framework (CSF)	ニュージーランド情報セキュリティマニュアル（NZISM）およびサイバーセキュリティフレームワーク（CSF）
The NZISM and NCSC-NZ CSF provide a comprehensive set of controls and standards to secure information systems across New Zealand's government and critical infrastructure sectors. Covering aspects such as system hardening, network management, and incident response, the NZISM and CSF support organisations in implementing robust cybersecurity measures aligned with national security requirements.	NZISMおよびNCSC-NZ CSFは、ニュージーランドの政府および重要インフラ部門全体の情報システムを保護するための包括的な制御と標準のセットを提供する。システムの堅牢化、ネットワーク管理、インシデント対応などの側面をカバーするNZISMとCSFは、国家安全保障要件に沿った強固なサイバーセキュリティ対策を実施する組織を支援する。
National Cyber Security Centre (NCSC-UK)	National Cyber Security Centre (NCSC-UK)
Cyber Assessment Framework (CAF)	Cyber Assessment Framework (CAF)
The NCSC’s CAF provides a systematic and comprehensive approach to assessing the extent to which organisations are affected by cyberrisks based on the organisation’s essential functions and supports organisations in building their cyberresilience against these risks. Focusing on key principles such as governance, asset management, and system resilience, the CAF supports organisations in aligning their practices with the UK’s National Cyber Security Strategy, helping them mitigate risks to essential services.	NCSCのCAFは、組織がどの程度サイバーリスクの影響を受けるかを組織の必須機能に基づいて評価する体系的かつ包括的なアプローチを提供し、これらのリスクに対する組織のサイバー強靭性構築を支援する。ガバナンス、資産管理、システムレジリエンスなどの主要原則に重点を置き、CAFは英国の国家サイバーセキュリティ戦略と組織の実務を整合させ、必要不可欠なサービスへのリスク緩和を支援する。
Ministry of Economy, Trade and Industry (METI-JP)	経済産業省（METI-JP）
Cybersecurity Management Guidelines	サイバーセキュリティ経営ガイドライン
METI and Information-technology Promotion Agency (IPA) provide the Cybersecurity Management Guidelines for business executives to promote cybersecurity measures under the leadership of management. From the perspective of protecting companies from cyberattacks, the guidelines outline "three principles" that executives need to recognize, as well as "ten important items" that they should instruct the responsible executives (such as the CISO) to implement information security measures.	経済産業省と情報処理推進機構（IPA）は、経営者が主導してサイバーセキュリティ対策を推進するための「サイバーセキュリティ経営ガイドライン」を提供している。同ガイドラインでは、サイバー攻撃から企業を守るという観点から、経営者が認識すべき「3つの原則」と、情報セキュリティ対策を実施するために責任ある経営者（CISOなど）に指示すべき「10の重要項目」を示している。
Procuring edge devices that are secure by design	セキュア・バイ・デザインのエッジ・デバイスを調達する
Before procuring any edge device, organisations must evaluate the manufacturer - including its country of origin, and its product - to ensure all security concerns have been considered and addressed. Choosing technologies that have been developed following secure-by-design practices will assist organisations in building a resilient enterprise network that maintains confidentiality, integrity and availability and mitigates costly events.	組織は、エッジ・デバイスを調達する前に、製造事業者（原産国や製品を含む）を評価し、セキュリティ上の懸念事項がすべて考慮され、対処されていることを確認する必要がある。セキュア・バイ・デザインに従って開発された技術を選択することは、機密性、完全性、可用性を維持し、コストのかかる事象を緩和するレジリエンスに優れたエンタープライズ・ネットワークを構築する上で、組織を支援することになる。
The authoring organisations recommend the following publications for guidance when procuring edge devices:	認可組織は、エッジデバイスを調達する際の指針として、以下の出版物を推奨する：
・Choosing Secure and Verifiable Technologies: Secure-by-Design Foundations (ASD)	・セキュアで検証可能な技術を選択する： Secure-by-Design Foundations (ASD)
・Secure-by-Design Foundations (ASD)	・Secure-by-Design Foundations (ASD)
・Cyber supply chain: An approach to assessing risk (CCCS)	・サイバーサプライチェーン： リスクを評価するためのアプローチ（CCCS）
・Supply chain security guidance (NCSC-UK)	・サプライチェーンセキュリティガイダンス（NCSC-UK）
・Secure-by-Design(CISA)	・セキュアバイデザイン（CISA）
・Secure by Demand Guide: How Software Customers Can Drive a Secure Technology Ecosystem (CISA and Federal Bureau of Investigation [FBI])	・セキュアバイデマンドガイド：ソフトウェア顧客がセキュアなテクノロジー・エコシステムを推進するには（CISAと連邦捜査局[FBI]）。
Additionally, selecting labelled or certified products, such as products with the JC-STAR label in Japan, will help organisations to procure products with appropriate security measures in place.	さらに、日本のJC-STARラベル付き製品など、ラベル付きまたは認証済みの製品を選択することは、組織が適切なセキュリ ティ対策を講じた製品を調達するのに役立つ。
Furthermore, the authoring agencies encourage all edge device manufacturers to make their products secure by design. Manufacturers can review CISA’s Secure by Design Alert: Security Design Improvements for SOHO Device Manufacturers for guidance on how to implement secure features by default in their products and join CISA’s Secure by Design Pledge. This pledge outlines specific goals for manufacturers to meet to make their products more secure, including goals to reduce the presence of vulnerabilities in their products and transparently report on vulnerabilities.	さらに、認可事業者は、すべてのエッジ・デバイス・メーカーに対し、自社製品を設計によってセキュアにすることを奨励している。製造事業者は、CISAの「セキュア・バイ・デザイン・アラート：SOHOデバイス製造業者のためのセキュリティ設計改善」を参照し、製品にデフォルトでセキュアな機能を実装する方法に関するガイダンスを得るとともに、CISAの「セキュア・バイ・デザイン誓約」に参加することができる。この誓約には、製造事業者が製品の安全性を高めるために満たすべき具体的な目標が概説されており、これには、製品の脆弱性の存在を減らし、脆弱性について透明性をもって報告するという目標も含まれている。
Network segmentation and segregation	ネットワークのセグメンテーションと分離
Network segmentation and segregation are critical to safeguarding an organisation’s environment by limiting potential pathways for unauthorised access and lateral movement within their networks. By isolating sensitive systems, this approach strengthens defences against cyberthreats, minimises the impact of breaches, and ensures resilient operations across interconnected systems.	ネットワークのセグメンテーションと分離は、ネットワーク内の不正アクセスや横方向の移動の潜在的な経路を制限することで、組織の環境を保護するために不可欠である。機密性の高いシステムを隔離することで、このアプローチはサイバー脅威に対する防御を強化し、侵害の影響を最小限に抑え、相互接続されたシステム全体でレジリエンスを確保する。
The authoring organisations recommend the following publications for guidance on network segmentation and segregation:	認可機関は、ネットワークのセグメンテーションと分離に関するガイダンスとして、以下の出版物を推奨する：
・Implementing Network Segmentation and Segregation (ASD)	・ネットワークのセグメンテーションと分離の実装（ASD）
・A zero trust approach to security architecture (CCCS)	・セキュリティアーキテクチャへのゼロトラストアプローチ（CCCS）
・Baseline security requirements for network security zones (version 2.0) - ITSP.80.022 (CCCS)	・ネットワークセキュリティゾーンのベースラインセキュリティ要件（バージョン2.0） - ITSP.80 .022 (CCCS)
・Preventing Lateral Movement (NCSC-UK)	・横断的な移動の防止（NCSC-UK）
・Cross-Sector CPGs; Securing Network Infrastructure Devices; Zero Trust Maturity Model; Layering Network Security Through Segmentation Infographic (CISA)	・分野横断的な CPG；ネットワークインフラストラクチャデバイスの保護；ゼロトラスト成熟度モデル；セグメンテーションによるネットワークセキュリティの階層化 インフォグラフィック（CISA）
・Reducing the risk of network compromises (NSA)	・ネットワーク侵害のリスクの低減（NSA）
Gateway hardening	ゲートウェイハードニング
Gateway hardening aims to help organisations design, procure, operate, maintain, or dispose of gateway services. A gateway is a boundary system that separates different security domains and allows an organisation to enforce its security policy for data transfers between the different security domains. Partnered cybersecurity authorities strive to assist organisations in addressing cybersecurity challenges and making informed risk-based decisions to enhance gateway security.	ゲートウェイハードニングは、組織がゲートウェイサービスを設計、調達、運用、保守、廃棄するのを支援することを目的とする。ゲートウェイとは、異なるセキュリティドメインを分離する境界システムであり、異なるセキュリティドメイン間のデータ転送に対して、組織がセキュリティポリシーを実施できるようにするものである。提携するサイバーセキュリティ当局は、組織がサイバーセキュリティの課題に対処し、ゲートウェイのセキュリ ティを強化するために十分な情報に基づいたリスクベースの意思決定を行うことを支援するよう努め ている。
The authoring organisations recommend the following publications for guidance on gateway hardening:	認可機関は、ゲートウェイの堅牢化に関するガイダンスとして、以下の出版物を推奨する：
・Gateway Security Guidance Package (ASD)	・ゲートウェイセキュリティガイダンスパッケージ（ASD）
・Top 10 IT security actions to protect Internet connected networks and information (CCCS)	・インターネットに接続されたネットワークと情報を保護するための IT セキュリティアクショントップ 10（CCCS）
・Trusted Internet Connections (TIC) (CISA)	・信頼されたインターネット接続（TIC）（CISA）
・Network Infrastructure Security Guidance; Hardening Network Devices (NSA)	・ネットワークインフラストラクチャセキュリティガイダンス; ネットワークデバイスの堅牢化（NSA）
Securing edge devices in smart infrastructure	スマートインフラにおけるエッジデバイスの保護
Edge devices play a key role in modern smart infrastructure, where they serve as critical connection points that support data flow and communication across smart technologies.	エッジデバイスは、スマート技術間のデータフローとコミュニケーションをサポートする重要な接続ポイントとして、現代のスマートインフラストラクチャで重要な役割を果たす。
The authoring organisations recommend the following publications for guidance toward securing edge devices in smart infrastructure:	認可機関は、スマートインフラにおけるエッジデバイスのセキュリティ確保に向けた指針として、以下の出版物を推奨する：
・An Introduction to Securing Smart Places  (ASD)	・スマートプレイスのセキュリティ序文（ASD）
・VPNs (CCCS)	・VPN（CCCS）
・Connected Communities (CCCS)	・コネクテッドコミュニティ（CCCS）
・VPNs; Network Architectures (NCSC-UK)	・VPN ;ネットワークアーキテクチャ（NCSC-UK）
・Cybersecurity Best Practices for Smart Cities (CISA)	・スマートシティのためのサイバーセキュリティベストプラクティス（CISA）
Event logging and threat detection	Event logging and threat detection
Once malicious actors have established a foothold within a network, they can use living-off-the-land (LOTL) techniques, which involve leveraging built-in tools and system processes to achieve their objectives. This makes it difficult for network defenders to differentiate malicious activity from legitimate activity. To defend against these techniques, it is crucial to have comprehensive event logging and network telemetry to enable visibility and detect threats.	いったん悪意のあるアクターがネットワーク内に足がかりを築くと、その目的を達成するために組み込みのツールやシステムプロセスを活用するLOTL（Living-off-the-Land）テクニックを使うことができる。このため、ネットワーク防御側にとっては、悪意のある活動と正当な活動を区別することが難しくなる。このような手法から防御するためには、包括的なイベント・ロギングとネットワーク・テレメトリーを行い、脅威の可視化と検知を可能にすることが極めて重要である。
Where compromises occur, or are suspected to have occurred, robust logging will help organisations effectively monitor for threats and intrusions.	侵害が発生した場合、または発生した疑いがある場合、堅牢なロギングは、組織が脅威と侵入を効果的に監視するのに役立つ。
The authoring organisations recommend the following publications for guidance on monitoring for threats and intrusions:	認可組織は、脅威と侵入の監視に関するガイダンスとして、以下の出版物を推奨する：
・Best Practices for Event Logging and Threat Detection (ASD)	・イベントロギングと脅威検知のベストプラクティス（ASD）
・Introduction to logging for security purposes (NCSC-UK)	・セキュリティ目的のロギング序文（NCSC-UK）
・Cross-Sector CPGs (CISA)	・クロスセクター CPG（CISA）
・Network security logging and monitoring (CCCS)	・ネットワークセキュリティロギングとモニタリング（CCCS）
Legacy edge devices	レガシーエッジデバイス
Edge devices will eventually become legacy hardware, or End-of-Life (EOL), when software is no longer supported or updated by the manufacturer. Edge devices that have reached EOL, especially those no longer supported by manufacturers, can be more vulnerable to cyberthreats. It is crucial to upgrade software to supported versions or replace edge devices that have reached EOL to ensure that they remain secure against cyberthreats.	エッジデバイスは、製造事業者によってソフトウェアのサポートやアップデートが行われなくなると、いずれレガシーハードウェア、すなわちEOL（End-of-Life）となる。EOLに達したエッジデバイス、特に製造事業者のサポートが終了したエッジデバイスは、サイバー脅威に対してより脆弱性を持つ可能性がある。エッジデバイスがサイバー脅威に対して安全であり続けるためには、ソフトウェアをサポートされるバージョンにアップグレードするか、EOLに達したエッジデバイスを交換することが極めて重要である。
The authoring organisations recommend the following publications for guidance on understanding, assessing and managing the risks associated with legacy edge devices:	レガシーエッジデバイスに関連するリスクを理解し、アセスメントし、マネジメントするためのガイダンスとして、認可機関は以下の出版物を推奨する：
・Managing the Risk of Legacy IT: Executive Guidance (ASD)	・レガシーITのリスクマネジメント：エグゼクティブガイダンス (ASD)
・Obsolete products (CCCS)	・旧製品 (CCCS)
・Obsolete products (NCSC-UK)	・製造中止製品(NCSC-UK)
・Understanding Patches and Software Updates (CISA)	・パッチとソフトウェア・アップデートを理解する (CISA)

・2025.02.04 Mitigation strategies for edge devices: Practitioner guidance

目次...

Introduction: Living on the edge	序文 エッジに生きる
Overview of edge devices	エッジデバイスの概要
Risks and threats	リスクと脅威
Case study – Cutting Edge	ケーススタディ - エッジを切る
Frameworks and controls	枠組みと制御
Summarised list of mitigation strategies	緩和戦略の要約リスト
Mitigation strategies for edge devices	エッジデバイスの緩和戦略
Conclusion	結論
Further guidance	さらなる指針
Footnotes	脚注

・2025.02.04 Guidance on digital forensics and protective monitoring specifications for producers of network devices and appliances

目次...

Context to this guidance	本ガイダンスの背景
What and who is this guidance for?	このガイダンスは何のために、誰のためにあるのか？
Logging Requirements	ロギング要件
Forensic data acquisition requirements	フォレンジックデータ取得の要件
Further resources	その他のリソース

・2025.02.04 Security considerations for edge devices

目次...

Introduction	序文
Commonly used edge devices	一般的に使用されるエッジデバイス
Considerations for edge devices	エッジデバイスに関する考慮事項
Threats to edge devices	エッジデバイスへの脅威
Examples of edge device compromises	エッジデバイスの侵害例
Mitigating threats to edge devices	エッジデバイスへの脅威の緩和
Recommendations for edge device manufacturers	エッジデバイス製造事業者に対する推奨事項
Additional information	追加情報
Footnotes	脚注

---

NISC側でも公表されていますね...

● NISC

・2025.02.04 [PDF] 国際文書「エッジデバイスのための緩和戦略」への共同署名について

---

報道資料

令和７年２月４日内閣官房 内閣サイバーセキュリティセンター

 国際文書「エッジデバイスのための緩和戦略」への共同署名について 

１．概要

令和７年２月４日、内閣サイバーセキュリティセンター（NISC）は、豪州通信情報局（ASD）豪州サイバーセキュリティセンター（ACSC）が策定した文

書「エッジデバイスのための緩和戦略」（“Mitigation strategies for edge devices”）（以下「本件文書」という。）の共同署名に加わり、本件文書を公表しました。仮訳は追って公表予定です。

本件文書に共同署名し協力機関として組織名を列記した国は、豪州、日本の他、米国、英国、カナダ、ニュージーランド、韓国、オランダ及びチェコの９か国です。

本件文書は、エッジデバイスを標的とした攻撃が増加していることを踏まえ、リスク緩和のための7つの戦略を提供するものです。重要インフラ事業者を始めとした我が国企業等が、本件文書で記載されたエッジデバイスに対するリスク緩和策を参照することは、我が国サイバーセキュリティ強化に大いに資することから、共同署名に加わることとしました。

今後も、引き続き、サイバーセキュリティ分野での国際連携の強化に努めてまいります。 

２．本件文書の概要

（1） 背景・目的

多くの悪意のあるアクターは、インターネットからアクセス可能なネットワーク等に対してスキャン・偵察を行い、パッチが適用されていない脆弱なエッジデバイスを侵害している。本文書は、サイバー脅威に対するセキュリティとレジリエンスの向上を目的にリスク緩和のための 7 つの戦略を提供する。

（2） ７つの戦略の概要

ア エッジを知る：ネットワークの周辺がどこにあるかを理解し、その周辺に配置されているエッジデバイスを検査するよう努める。サポートが終了したデバイスを特定し、それらを取り外し、交換する。

イ セキュア・バイ・デザイン機器を調達する：製品開発中にセキュア・バイ・デザインの原則に従っているメーカーからの調達を優先し、調達プロセスの一環として、メーカーに対し製品のセキュリティを明示的に要求する。

ウ セキュリティ強化のガイダンス、更新及びパッチを適用する：特定のベンダーがセキュリティを強化するガイダンスを利用していることを検証して実装する。不正利用から保護するため、エッジデバイスに対するセキュリティパッチと更新の迅速な適用を確保する。

エ 強力な認証を実装する：不正利用から保護するため、エッジデバイス全体において、フィッシングに対する耐性のある多要素認証等の認証を実装する。

オ 不要な機能とポートを無効にする：組織において使用されていない、エッジデバイスで利用可能なオプション機能を検査し、これを無効とすることで、機器の攻撃対象範囲を減少させる。また、開かれたポート数を減らす。

カ 管理インターフェイスを安全にする：管理インターフェイスをインターネットに直接接続しない。

キ 脅威検出のための監視を一元化する：インシデントの検出のため、イベントログの保存と完全性を保護する。ログへのアクセスの一元化を確保する。

３．関連リンク

 【原文リンク】

【本報道発表に関する問い合わせ先】

内閣官房 内閣サイバーセキュリティセンター  国際ユニット国際戦略班
Tel: 03-6277-7071 

---

米国はCISAから発表されています...

● CISA

・2025.02.04 CISA Partners with ASD’s ACSC, CCCS, NCSC-UK, and Other International and US Organizations to Release Guidance on Edge Devices

---

英国は、NCSCから発表されています...

● U.K. National Cyber Security Centre; NCSC

・2025.02.03 Cyber agencies unveil new guidelines to secure edge devices from increasing threat

---

カナダは、CCCSから発表されています...

● Canadian Centre for Cyber Security

・2025.02.04 Five Eyes publish series to sound alarm on cyber security threats to edge devices