欧州 EDPB GDPR第6条(1)(f)に基づくパーソナルデータの処理に関するガイドライン1/2024 (2024.10.09)

こんにちは、丸山満彦です。

欧州データ保護理事会（EDPB）が、2024.10.09 の本会議において、「データ処理者および再処理者への依存に伴う一定の義務に関する意見」、「正当な利益に関するガイドライン」、「GDPR施行のための追加的な手続き規則の策定に関する声明」、および「EDPB作業プログラム2024-2025」を採択していますね。

で、今回は2番目の「GDPR第6条(1)(f)に基づくパーソナルデータの処理に関するガイドライン1/2024」の話...

昨日に続きプレスから...

● EDPB

・2024.10.09 EDPB adopts Opinion on processors, Guidelines on legitimate interest, Statement on draft regulation for GDPR enforcement, and work programme 2024-2025

EDPB adopts Opinion on processors, Guidelines on legitimate interest, Statement on draft regulation for GDPR enforcement, and work programme 2024-2025	EDPB、処理者に関する意見書、正当な利益に関するガイドライン、GDPR執行のための規則草案に関する声明、および作業計画2024-2025を採択
Brussels, 09 October - During its latest plenary, the European Data Protection Board (EDPB) adopted an Opinion on certain obligations following from the reliance on processor(s) and sub-processor(s), Guidelines on legitimate interest, a Statement on laying down additional procedural rules for GDPR enforcement and the EDPB work programme 2024-2025.	ブリュッセル、10月9日 - 欧州データ保護理事会（EDPB）は、最新の本会議において、処理者およびサブ処理者への依存に伴う一定の義務に関する意見書、正当な利益に関するガイドライン、GDPR執行のための追加的な手続き規則の制定に関する声明、およびEDPB作業計画2024-2025を採択した。
First, the EDPB adopted an Opinion on certain obligations following from the reliance on processor(s) and sub-processor(s) following an Art. 64(2) GDPR request to the Board by the Danish Data Protection Authority (DPA). Art. 64(2) GDPR provides that any DPA can ask the Board to issue an opinion on matters of general application or producing effects in more than one Member State.	まず、EDPBは、GDPR第64条(2)の要請を受けた処理者および再処理者への依存から生じる一定の義務に関する意見を採択した。64(2)デンマークのデータ保護局（DPA）による理事会への要請を受けた。第64条(2)GDPRは、データ保護機関（DPA）が理事会に要請したデータ処理者（複数可）および再処理者（複数可）に依存することを規定している。64(2)GDPRは、どのDPAも理事会に対し、一般的な適用事項または複数の加盟国に影響を及ぼす事項に関する意見書の発行を求めることができると規定している。
The Opinion is about situations where controllers rely on one or more processors and sub-processors. In particular, it addresses eight questions on the interpretation of certain duties of controllers relying on processors and sub-processors, as well as the wording of controller-processor contracts, arising in particular from Art. 28 GDPR.	本意見書は、管理者が1つまたは複数の処理者および再処理者に依存している状況に関するものである。特に、GDPR第28条に起因する、処理者およびサブ処理者に依存する管理者の特定の義務の解釈や、管理者と処理者の契約の文言に関する8つの質問を取り上げている。28 GDPRに起因する。
The Opinion explains that controllers should have the information on the identity (i.e. name, address, contact person) of all processors, sub-processors etc. readily available at all times so that they can best fulfil their obligations under Art. 28 GDPR. Besides, the controller’s obligation to verify whether the (sub-)processors present ‘sufficient guarantees’ should apply regardless of the risk to the rights and freedoms of data subjects, although the extent of such verification may vary, notably on the basis of the risks associated with the processing.	本意見書は、管理者は、GDPR第28条に基づく義務を最大限に果たすことができるよう、すべての処理者、再処理者等の身元に関する情報（すなわち、氏名、住所、連絡先）を常に容易に入手できるようにしておく必要があると説明している。28 GDPRに基づく義務を最大限に果たすことができる。また、（再）処理者が「十分な保証」を提供しているかどうかを検証する管理者の義務は、データ対象者の権利と自由に対するリスクに関係なく適用されるべきであるが、その検証の程度は、特に処理に関連するリスクに基づいて異なる可能性がある。
The Opinion also states that while the initial processor should ensure that it proposes sub-processors with sufficient guarantees, the ultimate decision and responsibility on engaging a specific sub-processor remains with the controller.	また、本意見書では、最初の処理者は、十分な保証のある再処理者を提案することを保証すべきであるが、特定の再処理者との契約に関する最終的な決定と責任は管理者にあるとしている。
The EDPB considers that under the GDPR the controller does not have a duty to systematically ask for the sub-processing contracts to check if data protection obligations have been passed down the processing chain. The controller should assess whether requesting a copy of such contracts or reviewing them is necessary for it to be able to demonstrate compliance with the GDPR.	EDPBは、GDPRの下では、管理者は、データ保護義務が処理連鎖の下流に受け継がれているかどうかを確認するために、体系的に再処理契約を求める義務はないと考えている。管理者は、GDPRの遵守を証明するために、そのような契約書のコピーを要求したり、契約書を見直したりすることが必要かどうかをアセスメントすべきである。
In addition, where transfers of personal data outside of the European Economic Area take place between two (sub-)processors, the processor as data exporter should prepare the relevant documentation, such as relating to the ground of transfer used, the transfer impact assessment and the possible supplementary measures. However, as the controller is still subject to the duties stemming from Art. 28(1) GDPR on ‘sufficient guarantees’, besides the ones under Art. 44 to ensure that the level of protection is not undermined by transfers of personal data, it should assess this documentation and be able to show it to the competent Data Protection Authority.	さらに、欧州経済地域外への個人データの移転が2つの（再）処理者間で行われる場合、データ移転者としての処理者は、使用される移転理由、移転影響アセスメント、可能な補足措置などに関する関連文書を準備する必要がある。ただし、管理者は依然としてGDPR第28条第1項に基づく義務を負う。第28条(1)の「十分な保証」に起因する義務に従う。第44条に基づき、個人データの移転によって保護水準が損なわれないことを保証する義務を負うため、管理者はこの文書を評価し、管轄のデータ保護当局に提示できるようにしなければならない。
Next, the Board adopted Guidelines on the processing of personal data based on legitimate interest.	次に、理事会は正当な利益に基づくパーソナルデータの処理に関するガイドラインを採択した。
Data controllers need a legal basis to process personal data lawfully. Legitimate interest is one of the six possible legal bases.	データ管理者が個人データを合法的に処理するには法的根拠が必要である。正当な利益は6つの法的根拠のうちの1つである。
These Guidelines analyse the criteria set down in Art. 6(1) (f) GDPR that controllers must meet to lawfully process personal data on the basis of legitimate interest. It also takes into consideration the recent ECJ ruling on this matter (C-621/22, 4 October 2024).	本ガイドラインは、GDPR第6条1項(f)の規準を分析するものである。6(1)(f)GDPRに規定された基準を分析し、管理者が正当な利益に基づいて個人データを合法的に処理するために満たさなければならない基準を示す。また、この件に関する最近のECJ判決（C-621/22、2024年10月4日）も考慮している。
In order to rely on legitimate interest, the controller needs to fulfil three cumulative conditions:	正当な利益に依拠するためには、管理者は3つの累積的条件を満たす必要がある：
The pursuit of a legitimate interest by the controller or by a third party;	管理者または第三者による正当な利益の追求、
The necessity to process personal data for the purposes of  pursuing the legitimate interest;	正当な利益の追求を目的としたパーソナルデータの処理の必要性、
The interests or fundamental freedoms and rights of individuals do not take precedence over the legitimate interest(s) of the controller or of a third party (balancing exercise).	個人の利益または基本的自由および権利が、管理者または第三者の正当な利益（複数可）に優先しないこと（均衡行使）。
First of all, only the interests that are lawful, clearly and precisely articulated, real and present may be considered legitimate. For example, such legitimate interests could exist in a situation where the individual is a client or in the service of the controller.	第一に、合法的で、明確かつ正確に明示され、現実に存在する利益のみが正当な利益とみなされる。例えば、そのような正当な利益は、個人が顧客である状況や、管理者にサービスを提供している状況において存在する可能性がある。
Second, if there are reasonable, just as effective, but less intrusive alternatives for achieving the interests pursued, the processing may not be considered to be necessary. The necessity of a processing should also be examined with the principle of data minimisation.	第二に、追求される利益を達成するために、合理的で、同等の効果があるが、より侵入的でない代替手段がある場合、その処理は必要であるとはみなされない。処理の必要性は、データ最小化の原則とも照らし合わせて検討されなければならない。
Third, the controller must ensure that its legitimate interest is not overridden by the individual's interests, fundamental rights or freedoms. In this balancing exercise, the controller needs to take into account the interests of the individuals, the impact of the processing and their reasonable expectations, as well as the existence of additional safeguards which could limit the impact on the individual.	第三に、管理者は、その正当な利益が個人の利益、基本的権利または自由によって優先されないことを保証しなければならない。この均衡をとるために、管理者は、個人の利益、処理の影響および合理的な期待、さらに個人への影響を制限しうる追加的な保護措置の存在を考慮する必要がある。
In addition, these Guidelines explain how this assessment should be carried out in practice, including in a number of specific contexts such as fraud prevention, direct marketing and information security. The document also explains the relationship between this legal basis and a number of data subject rights under the GDPR.	さらに、本ガイドラインでは、詐欺防止、ダイレクトマーケティング、情報セキュリティなど、多くの具体的な状況を含め、このアセスメントを実際にどのように実施すべきかを説明している。また、この文書は、この法的根拠とGDPRに基づく多くのデータ対象者の権利との関係についても説明している。
The Guidelines will be subject to public consultation until 20 November 2024.	ガイドラインは、2024年11月20日までパブリックコンサルテーションの対象となる。
Next, the Board adopted a Statement following the amendments made by the European Parliament and the Council to the European Commission’s proposal for a Regulation laying down additional procedural rules relating to the enforcement of the GDPR.	次に、GDPRの施行に関する追加的な手続き規則を定めた欧州委員会の規則案に対して欧州議会と理事会が修正を加えたことを受け、理事会は声明を採択した。
The Statement generally welcomes the modifications introduced by the European Parliament and the Council, and recommends further addressing specific elements in order for the new regulation to achieve the objectives of streamlining cooperation between authorities and improving the enforcement of the GDPR.	声明は、欧州議会と欧州理事会により導入された修正を概ね歓迎し、新規則が当局間の協力を合理化し、GDPRの執行を改善するという目的を達成するために、特定の要素にさらに対処することを推奨している。
The Statement makes practical recommendations that may be used in the context of the upcoming trilogues. In particular, the EDPB reiterates the need for a legal basis and harmonised procedure for amicable settlements and it makes recommendations in view of ensuring that consensus on the summary of key issues is reached in the most efficient manner. The Board also welcomes the inclusion of additional deadlines while recalling that they need to be realistic and urges the co-legislators to remove the provisions related to the relevant and reasoned objections and the ‘statement of reasons’ in the dispute resolution procedure.	本ステートメントは、今後予定されている3カ国協議の文脈で使用される可能性のある実践的な提言を行っている。特に、EDPBは、友好的解決のための法的根拠と調和された手続きの必要性を再確認し、重要事項の要約に関するコンセンサスが最も効率的な方法で得られるようにする観点から提言を行っている。理事会はまた、追加的な期限を盛り込んだことを歓迎するが、その期限は現実的なものである必要があることを想起し、共同立法者に対し、紛争解決手続きにおける関連性のある理由付き異議申し立てと「理由書」に関連する規定を削除するよう求める。
While the Statement welcomes the objective of achieving increased transparency, the introduction of a joint case file, as proposed by the European Parliament, would require complex changes to the document management and communication systems used at European and national levels. The technical solutions for its implementation should be carefully assessed, and the modalities for granting access to it should be further clarified.	序文は、透明性の向上を達成するという目的を歓迎するが、欧州議会が提案する共同事件ファイルの導入は、欧州および各国レベルで使用されている文書管理およびコミュニケーションシステムに複雑な変更を必要とする。その導入のための技術的な解決策を慎重に評価し、アクセス許可の方法をさらに明確にすべきである。
The EDPB welcomes the Council’s amendment allowing the lead DPA to opt-out from the so-called enhanced cooperation in simple and straightforward cases, but it highlights the need to clarify further the scope of this opt-out.	EDPBは、単純で分かりやすいケースにおいて、主管DPAがいわゆる強化された協力からオプトアウトすることを認める理事会の修正を歓迎するが、このオプトアウトの範囲をさらに明確にする必要性を強調する。
EDPB Chair Anu Talus said: “The draft regulation has the potential to greatly streamline GDPR enforcement by increasing the efficiency of case handling. More harmonisation is needed at EU level, in order to maximise the full effectiveness of the GDPR’s cooperation and consistency mechanisms.”	EDPBのアヌ・タルス委員長は次のように述べた： 「ドラフト規則は、ケース処理の効率性を高めることにより、GDPRの執行を大幅に合理化する可能性を秘めている。GDPRの協力と一貫性のメカニズムの効果を最大化するためには、EUレベルでさらなる調和が必要である。
During its latest plenary, the Board adopted its work programme for 2024-2025. This is the first one of two work programmes which will implement the EDPB strategy for 2024-2027 adopted in April 2024. It is based on the priorities set in the EDPB strategy and it also takes into account the needs identified as most important for stakeholders .	最新の本会議で、理事会は2024-2025年の作業計画を採択した。これは、2024年4月に採択された2024-2027年のEDPB戦略を実施するための2つの作業計画のうち、最初のものである。これは、EDPB戦略で設定された優先事項に基づいており、また、ステークホルダーにとって最も重要であると特定されたニーズも考慮されている。
Finally, the EDPB members agreed to grant the status of observer to the EDPB’s activities to the Kosovan Information and Privacy Agency (Kosovan DPA), in line with Art. 8 EDPB Rules of Procedure.	最後に、EDPBメンバーは、コソボ情報・プライバシー庁（Kosovan DPA）に対し、EDPBの活動に対するオブザーバーの地位を付与することに合意した。第8条 EDPB手続規則に基づき、コソボのDPAにEDPB活動のオブザーバーの地位を与えることに合意した。

2番目の話は、

GDPR第6条第1項第f号は、個人データの取り扱いが適法であることを定めた条件の一つで、

• データ処理が管理者または第三者の正当な利益のために行われる場合、その処理が合法とみなされる

とするものです...ただし、

• その第三者の利益がデータ主体の利益や基本的権利および自由によって優先される場合

は、合法となりません（当たり前ですが...ただ、この比較をどのようにするかは検討が必要となります...）。

• 特に、データ主体が子供である場合には、データ主体の権利がより重視されるべき

と定めていますね...

で、その判断についてのガイドライン案が今回公表されたものですかね...

話題となっているGDPR第6条第1項（第6条(1)）は次のようになっています...

訳は個人情報保護委員会の[PDF]仮訳...

Article 6 Lawfulness of processing	第6 条 取扱いの適法性
1. Processing shall be lawful only if and to the extent that at least one of the following applies:	1. 取扱いは、以下の少なくとも一つが適用される場合においてのみ、その範囲内で、適法である：
(a) the data subject has given consent to the processing of his or her personal data for one or more specific purposes;	(a) データ主体が、一つ又は複数の特定の目的のための自己の個人データの取扱いに関し、同意を与えた場合。
(b) processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract;	(b) データ主体が契約当事者となっている契約の履行のために取扱いが必要となる場合、又は、契約締結の前に、データ主体の要求に際して手段を講ずるために取扱いが必要となる場合。
(c) processing is necessary for compliance with a legal obligation to which the controller is subject;	(c) 管理者が服する法的義務を遵守するために取扱いが必要となる場合。
(d) processing is necessary in order to protect the vital interests of the data subject or of another natural person;	(d) データ主体又は他の自然人の生命に関する利益を保護するために取扱いが必要となる場合。
(e) processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller;	(e) 公共の利益において、又は、管理者に与えられた公的な権限の行使において行われる職務の遂行のために取扱いが必要となる場合。
(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by a third party, except where such interests are overridden by the interests or fundamental rights and freedoms of the data subject which require protection of personal data, in particular where the data subject is a child.	(f) 管理者によって、又は、第三者によって求められる正当な利益の目的のために取扱いが必要となる場合。ただし、その利益よりも、個人データの保護を求めるデータ主体の利益並びに基本的な権利及び自由のほうが優先する場合、特に、そのデータ主体が子どもである場合を除く。
Point (f) of the first subparagraph shall not apply to processing carried out by public authorities in the performance of their tasks.	第1 項(f)は、公的機関によってその職務の遂行のために行われる取扱いには適用されない。

GDPR第6条(1)(f) ガイドラインは...

・2024.10.09 Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR

・[PDF]

・[DOCX][PDF] 仮訳

エグゼクティブサマリー...

EXECUTIVE SUMMARY	エグゼクティブサマリー
These guidelines analyse the criteria set down in Article 6(1)(f) GDPR that controllers must meet to lawfully engage in the processing of personal data that is “necessary for the purposes of the legitimate interests pursued by the controller or by a third party”.	本ガイドラインは、管理者が「管理者または第三者が追求する正当な利益の目的のために必要な」個人データの処理に合法的に関与するために満たさなければならないGDPR第6条1項(f)に定められた基準を分析するものである。
Article 6(1)(f) GDPR is one of the six legal bases for the lawful processing of personal data envisaged by the GDPR. Article 6(1)(f) GDPR should neither be treated as a “last resort” for rare or unexpected situations where other legal bases are deemed not to apply nor should it be automatically chosen or its use unduly extended on the basis of a perception that Article 6(1)(f) GDPR is less constraining than other legal bases.	GDPR第6条(1)(f)は、GDPRが想定する個人データの合法的処理に関する6つの法的根拠のひとつである。GDPR第6条1項f号は、他の法的根拠が適用されないとみなされる稀な状況や予期せぬ状況に対する「最後の手段」として扱われるべきではなく、また、GDPR第6条1項f号が他の法的根拠よりも制約が少ないという認識に基づいて自動的に選択されたり、その使用が過度に拡大されるべきではない。
For processing to be based on Article 6(1)(f) GDPR, three cumulative conditions must be fulfilled:	処理がGDPR第6条1項（f）に基づくものであるためには、3つの累積的条件が満たされなければならない：
• First, the pursuit of a legitimate interest by the controller or by a third party;	• 第一に、管理者または第三者による正当な利益の追求である；
• Second, the need to process personal data for the purposes of the legitimate interest(s) pursued; and	• 第二に、追求される正当な利益の目的のために個人データを処理する必要性、
• Third, the interests or fundamental freedoms and rights of the concerned data subjects do not take precedence over the legitimate interest(s) of the controller or of a third party.	• 第三に、関係するデータ主体の利益または基本的自由および権利が、管理者または 第三者の正当な利益に優先しないことである。
In order to determine whether a given processing of personal data may be based on Article 6(1)(f) GDPR, controllers should carefully assess and document whether these three cumulative conditions are met. This assessment should be done before carrying out the relevant processing operations.	ある個人データの処理がGDPR第6条1項（f）に基づく可能性があるかどうかを判断するために、管理者はこれら3つの累積的条件が満たされているかどうかを慎重に評価し、文書化すべきである。この評価は、関連する処理作業を実施する前に行うべきである。
With regard to the condition relating to the pursuit of a legitimate interest, not all interests of the controller or a third party may be deemed legitimate; only those interests that are lawful, precisely articulated and present may be validly invoked to rely on Article 6(1)(f) GDPR as a legal basis. It is also the responsibility of the controller to inform the data subject of the legitimate interests pursued where that processing is based on Article 6(1)(f) GDPR.	合法的な利益の追求に関する条件については、管理者または第三者のすべての利益が合法的であるとみなされるわけではなく、合法的で、正確に明示され、存在する利益のみが、法的根拠としてGDPR第6条1項（f）に依拠するために有効に発動される。その処理がGDPR第6条第1項（f）に基づく場合、追求される正当な利益をデータ主体に通知することも管理者の責任である。
With regard to the condition that the processing of personal data be necessary for the purposes of the legitimate interests pursued, it should be ascertained whether the legitimate interests pursued cannot reasonably be achieved just as effectively by other means less restrictive of the fundamental rights and freedoms of data subjects, also taking into account the principles enshrined in Article 5(1) GDPR. If such other means exist, the processing may not be based on Article 6(1)(f) GDPR.	個人データの処理が、追求される正当な利益の目的のために必要であるという条件については、GDPR第5条1項に謳われている原則も考慮に入れつつ、追求される正当な利益が、データ主体の基本的権利および自由をより制限しない他の手段によって、合理的に同等に効果的に達成できないかどうかを確認しなければならない。そのような他の手段が存在する場合、処理はGDPR第6条第1項(f)に基づいてはならない。
With regard to the condition that the interests or fundamental rights and freedoms of the person concerned by the data processing do not take precedence over the legitimate interests of the controller or of a third party, that condition entails a balancing of the opposing rights and interests at issue which depends in principle on the specific circumstances of the relevant processing. The processing may take place only if the outcome of this balancing exercise is that the legitimate interests being pursued are not overridden by the data subjects’ interests, rights and freedoms.	データ処理による関係者の利益または基本的権利および自由が、管理者または第三者の正当な利益に優先しないという条件に関しては、その条件は、問題となる対立する権利および利益の衡量を伴うものであり、原則として、関連する処理の具体的状況に依存する。この衡量の結果、追求される正当な利益がデータ主体の利益、権利および自由に優先しない場合に限り、処理を行うことができる。
A proper Article 6(1)(f) GDPR assessment is not a straightforward exercise. Rather, the assessment — and in particular the balancing of opposing interests and rights — requires full consideration of a number of factors, such as the nature and source of the relevant legitimate interest(s), the impact of the processing on the data subject and their reasonable expectations about the processing, and the existence of additional safeguards which could limit undue impact on the data subject. The present guidelines provide guidance on how such an assessment should be carried out in practice, including in a number of specific contexts (e.g., fraud prevention, direct marketing, information security, etc.) where this legal basis may be considered.	GDPR第6条1項(f)の適切な評価は一筋縄ではいかない。むしろ、アセスメント（特に、相反する利益と権利のバランス）には、関連する正当な利益の性質および源泉、データ主体に対する処理の影響および処理に関するデータ主体の合理的な期待、データ主体への不当な影響を制限し得る追加的な保護措置の存在など、多くの要素を十分に考慮する必要がある。本ガイドラインは、この法的根拠が考慮される可能性のある多くの具体的な状況（詐欺防止、ダイレクト・マーケティング、情報セキュリティなど）を含め、このような評価が実際にどのように実施されるべきかについてのガイダンスを提供するものである。
The guidelines also explain the relationship that exists between Article 6(1)(f) GDPR and a number of data subject rights under the GDPR.	ガイドラインはまた、GDPR第6条1項（f）とGDPRに基づく多くのデータ主体の権利との間に存在する関係についても説明している。

話題となっているGDPR第24条（管理者の責任）と第28条（処理者）は次のようになっています...

訳は個人情報保護委員会の[PDF]仮訳...

Article 24 Responsibility of the controller	第24 条 管理者の責任
1. Taking into account the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons, the controller shall implement appropriate technical and organizational measures to ensure and to be able to demonstrate that processing is performed in accordance with this Regulation. Those measures shall be reviewed and updated where necessary.	1. 取扱いの性質、範囲、過程及び目的並びに自然人の権利及び自由に対する様々な蓋然性と深刻度のリスクを考慮に入れた上で、管理者は、本規則に従って取扱いが遂行されることを確保し、かつ、そのことを説明できるようにするための適切な技術上及び組織上の措置を実装するものとする。それらの措置は、レビューされ、また、必要があるときは、最新のものに改められるものとする。
2. Where proportionate in relation to processing activities, the measures referred to in paragraph 1 shall include the implementation of appropriate data protection policies by the controller.	2. 取扱活動と関連して比例的である場合、第1 項に規定する措置は、管理者による適切なデータ保護方針の実装を含むものとする。
3. Adherence to approved codes of conduct as referred to in Article 40 or approved certification mechanisms as referred to in Article 42 may be used as an element by which to demonstrate compliance with the obligations of the controller.	3. 第 40 条に規定する承認された行動規範及び第 42 条に規定する承認された認証方法の遵守は、管理者の義務が履行されていることを証明するための要素として用いることができる。
Article 28 Processor	第28 条 処理者
1. Where processing is to be carried out on behalf of a controller, the controller shall use only processors providing sufficient guarantees to implement appropriate technical and organisational measures in such a manner that processing will meet the requirements of this Regulation and ensure the protection of the rights of the data subject.	1. 管理者の代わりの者によって取扱いが行われる場合、その管理者は、当該取扱いが本規則に定める義務に適合するような態様で適切な技術上及び組織上の保護措置を実装することについて十分な保証を提供する処理者のみを用いるものとし、かつ、データ主体の権利の保護を確保するものとする。
2. The processor shall not engage another processor without prior specific or general written authorisation of the controller. In the case of general written authorisation, the processor shall inform the controller of any intended changes concerning the addition or replacement of other processors, thereby giving the controller the opportunity to object to such changes.	2. 処理者は、管理者から事前に個別的又は一般的な書面による承認を得ないで、別の処理者を業務に従事させてはならない。一般的な書面による承認の場合、処理者は、管理者に対し、別の処理者の追加又は交代に関る変更の予定を通知し、それによって、管理者に、そのような変更に対して異議を述べる機会を与えるものとする。
3. Processing by a processor shall be governed by a contract or other legal act under Union or Member State law, that is binding on the processor with regard to the controller and that sets out the subject-matter and duration of the processing, the nature and purpose of the processing, the type of personal data and categories of data subjects and the obligations and rights of the controller. That contract or other legal act shall stipulate, in particular, that the processor:	3. 処理者による取扱いは、管理者との関係に関して処理者を拘束し、かつ、取扱いの対象及び期間、取扱いの性質及び目的、個人データの種類及びデータ主体の類型、並びに、管理者の義務及び権利を定める、契約又はその他のEU法若しくは加盟国の国内法に基づく法律行為によって規律される。契約又はその他の法律行為は、特に、処理者が、以下のとおり行うことを定める：
(a) processes the personal data only on documented instructions from the controller, including with regard to transfers of personal data to a third country or an international organisation, unless required to do so by Union or Member State law to which the processor is subject; in such a case, the processor shall inform the controller of that legal requirement before processing, unless that law prohibits such information on important grounds of public interest;	(a) 処理者が服する EU 又は加盟国の国内法がそのようにすることを要求する場合を除き、個人データの第三国又は国際機関に対する移転と関連するものを含め、管理者からの文書化された指示のみに基づいて個人データを取扱うこと。そのような場合、当該の法律がそのような公共の利益上の重要な法的根拠に関する情報提供を禁止しない限り、処理者は、管理者に対し、取扱いの前に、当該法律上の要件について情報提供するものとする。
(b) ensures that persons authorised to process the personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality;	(b) 個人データの取扱いを承認された者が自ら守秘義務を課し、又は、適切な法律上の守秘義務の下にあることを確保すること。
(c) takes all measures required pursuant to Article 32;	(c) 第32 条によって求められる全ての措置を講ずること。
(d) respects the conditions referred to in paragraphs 2 and 4 for engaging another processor;	(d) 別の処理者を業務に従事させるために、第2 項及び第4 項に規定する要件を尊重すること。
(e) taking into account the nature of the processing, assists the controller by appropriate technical and organizational measures, insofar as this is possible, for the fulfilment of the controller's obligation to respond to requests for exercising the data subject's rights laid down in Chapter III;	(e) 第 3 章に定めるデータ主体の権利を行使するための要求に対処すべき管理者の義務を充足させるために、それが可能な範囲内で、取扱いの性質を考慮に入れた上で、適切な技術上及び組織上の措置によって、管理者を支援すること。
(f) assists the controller in ensuring compliance with the obligations pursuant to Articles 32 to 36 taking into account the nature of processing and the information available to the processor;	(f) 取扱いの性質及び処理者が利用可能な情報を考慮に入れた上で、第 32 条から第 36 条による義務の遵守の確保において、管理者を支援すること。
(g) at the choice of the controller, deletes or returns all the personal data to the controller after the end of the provision of services relating to processing, and deletes existing copies unless Union or Member State law requires storage of the personal data;	(g) 取扱いと関係するサービスの提供が終了した後、EU 法又は加盟国の国内法が個人データの記録保存を要求していない限り、管理者の選択により、全ての個人データを消去し、又は、これを管理者に返却すること、並びに、存在している複製物を消去すること。
(h) makes available to the controller all information necessary to demonstrate compliance with the obligations laid down in this Article and allow for and contribute to audits, including inspections, conducted by the controller or another auditor mandated by the controller.	(h) 本条に定める義務の遵守を説明するため、及び、管理者によって行われる検査若しくは管理者から委任された別の監査人によって行われる検査を含め、監査を受け入れ、若しくは、監査に資するようにするために必要な全ての情報を、管理者が利用できるようにすること。
With regard to point (h) of the first subparagraph, the processor shall immediately inform the controller if, in its opinion, an instruction infringes this Regulation or other Union or Member State data protection provisions.	第1 副項(h)に関し、処理者は、その見解において、指示が本規則又はその他のEU 又は加盟国のデータ保護の条項に違反する場合、直ちに、そのことを管理者に通知するものとする。
4. Where a processor engages another processor for carrying out specific processing activities on behalf of the controller, the same data protection obligations as set out in the contract or other legal act between the controller and the processor as referred to in paragraph 3 shall be imposed on that other processor by way of a contract or other legal act under Union or Member State law, in particular providing sufficient guarantees to implement appropriate technical and organisational measures in such a manner that the processing will meet the requirements of this Regulation. Where that other processor fails to fulfil its data protection obligations, the initial processor shall remain fully liable to the controller for the performance of that other processor's obligations.	4. 管理者の代わりの特定の取扱活動を行うために、処理者が別の処理者を業務に従事させる場合、当該別の処理者に対し、契約によって、又は、EU 法若しくは加盟国の国内法に基づくその他の法律行為によって、特に、その取扱いが本規則の要件に適合するような態様で適切な技術上及び組織上の措置を実装する十分な保証を提供することによって、第3 項に規定する管理者及び処理者間の契約又はその他の法律行為に定めるのと同じデータ保護上の義務が課されなければならない。当該別の処理者がそのデータ保護の義務を充足しない場合、当初の処理者は、当該別の処理者の義務の履行について、その管理者に対する法的責任を全面的に負うものとする。
5. Adherence of a processor to an approved code of conduct as referred to in Article 40 or an approved certification mechanism as referred to in Article 42 may be used as an element by which to demonstrate sufficient guarantees as referred to in paragraphs 1 and 4 of this Article.	5. 第 40 条に規定する承認された行動規範又は第 42 条に規定する承認された認証方法を処理者が遵守することは、本条の第1 項及び第4 項に規定する十分な保証を証明するための要素として用いることができる。
6. Without prejudice to an individual contract between the controller and the processor, the contract or the other legal act referred to in paragraphs 3 and 4 of this Article may be based, in whole or in part, on standard contractual clauses referred to in paragraphs 7 and 8 of this Article, including when they are part of a certification granted to the controller or processor pursuant to Articles 42 and 43.	6. 管理者と処理者との間の個別の契約を妨げることなく、第 3 項若しくは第 4 項に規定する契約又はその他の法律行為は、それが第42 条及び第43 条により管理者又は処理者に対して与えられる認証の一部分である場合を含め、その全部又は一部について、本条の第7 項及び第8 項に規定する標準契約条項に基づくものとすることができる。
7. The Commission may lay down standard contractual clauses for the matters referred to in paragraph 3 and 4 of this Article and in accordance with the examination procedure referred to in Article 93(2).	7. 欧州委員会は、本条の第3 項及び第4 項に規定する事項に関して、第93 条第2 項に規定する審議手続に従い、標準契約条項を定めることができる。
8. A supervisory authority may adopt standard contractual clauses for the matters referred to in paragraph 3 and 4 of this Article and in accordance with the consistency mechanism referred to in Article 63.	8. 監督機関は、本条の第3 項及び第4 項に規定する事項に関して、第63 条に規定する一貫性メカニズムに従い、標準契約条項を採択できる。
9. The contract or the other legal act referred to in paragraphs 3 and 4 shall be in writing, including in electronic form.	9. 第3 項及び第4 項に規定する契約その他の法律行為は、電子的な方式による場合を含め、書面によるものとする。
10. Without prejudice to Articles 82, 83 and 84, if a processor infringes this Regulation by determining the purposes and means of processing, the processor shall be considered to be a controller in respect of that processing.	10. 第 82 条、第 83 条及び第 84 条を妨げることなく、処理者が取扱いの目的及び方法を決定することにより本規則に違反する場合、その処理者は、当該取扱いとの関係においては、管理者として扱われる。

欧州 EDPB データ処理者および再処理者への依存に伴う一定の義務に関する意見

こんにちは、丸山満彦です。

欧州データ保護理事会（EDPB）が、2024.10.09 の本会議において、「データ処理者および再処理者への依存に伴う一定の義務に関する意見」、「正当な利益に関するガイドライン」、「GDPR施行のための追加的な手続き規則の策定に関する声明」、および「EDPB作業プログラム2024-2025」を採択していますね。

で、今回は最初の「データ処理者および再処理者への依存に伴う一定の義務に関する意見」の話...

まずは、プレス...

● EDPB

・2024.10.09 EDPB adopts Opinion on processors, Guidelines on legitimate interest, Statement on draft regulation for GDPR enforcement, and work programme 2024-2025

EDPB adopts Opinion on processors, Guidelines on legitimate interest, Statement on draft regulation for GDPR enforcement, and work programme 2024-2025	EDPB、処理者に関する意見書、正当な利益に関するガイドライン、GDPR執行のための規則草案に関する声明、および作業計画2024-2025を採択
Brussels, 09 October - During its latest plenary, the European Data Protection Board (EDPB) adopted an Opinion on certain obligations following from the reliance on processor(s) and sub-processor(s), Guidelines on legitimate interest, a Statement on laying down additional procedural rules for GDPR enforcement and the EDPB work programme 2024-2025.	ブリュッセル、10月9日 - 欧州データ保護理事会（EDPB）は、最新の本会議において、処理者およびサブ処理者への依存に伴う一定の義務に関する意見書、正当な利益に関するガイドライン、GDPR執行のための追加的な手続き規則の制定に関する声明、およびEDPB作業計画2024-2025を採択した。
First, the EDPB adopted an Opinion on certain obligations following from the reliance on processor(s) and sub-processor(s) following an Art. 64(2) GDPR request to the Board by the Danish Data Protection Authority (DPA). Art. 64(2) GDPR provides that any DPA can ask the Board to issue an opinion on matters of general application or producing effects in more than one Member State.	まず、EDPBは、GDPR第64条(2)の要請を受けた処理者および再処理者への依存から生じる一定の義務に関する意見を採択した。64(2)デンマークのデータ保護局（DPA）による理事会への要請を受けた。第64条(2)GDPRは、データ保護機関（DPA）が理事会に要請したデータ処理者（複数可）および再処理者（複数可）に依存することを規定している。64(2)GDPRは、どのDPAも理事会に対し、一般的な適用事項または複数の加盟国に影響を及ぼす事項に関する意見書の発行を求めることができると規定している。
The Opinion is about situations where controllers rely on one or more processors and sub-processors. In particular, it addresses eight questions on the interpretation of certain duties of controllers relying on processors and sub-processors, as well as the wording of controller-processor contracts, arising in particular from Art. 28 GDPR.	本意見書は、管理者が1つまたは複数の処理者および再処理者に依存している状況に関するものである。特に、GDPR第28条に起因する、処理者およびサブ処理者に依存する管理者の特定の義務の解釈や、管理者と処理者の契約の文言に関する8つの質問を取り上げている。28 GDPRに起因する。
The Opinion explains that controllers should have the information on the identity (i.e. name, address, contact person) of all processors, sub-processors etc. readily available at all times so that they can best fulfil their obligations under Art. 28 GDPR. Besides, the controller’s obligation to verify whether the (sub-)processors present ‘sufficient guarantees’ should apply regardless of the risk to the rights and freedoms of data subjects, although the extent of such verification may vary, notably on the basis of the risks associated with the processing.	本意見書は、管理者は、GDPR第28条に基づく義務を最大限に果たすことができるよう、すべての処理者、再処理者等の身元に関する情報（すなわち、氏名、住所、連絡先）を常に容易に入手できるようにしておく必要があると説明している。28 GDPRに基づく義務を最大限に果たすことができる。また、（再）処理者が「十分な保証」を提供しているかどうかを検証する管理者の義務は、データ対象者の権利と自由に対するリスクに関係なく適用されるべきであるが、その検証の程度は、特に処理に関連するリスクに基づいて異なる可能性がある。
The Opinion also states that while the initial processor should ensure that it proposes sub-processors with sufficient guarantees, the ultimate decision and responsibility on engaging a specific sub-processor remains with the controller.	また、本意見書では、最初の処理者は、十分な保証のある再処理者を提案することを保証すべきであるが、特定の再処理者との契約に関する最終的な決定と責任は管理者にあるとしている。
The EDPB considers that under the GDPR the controller does not have a duty to systematically ask for the sub-processing contracts to check if data protection obligations have been passed down the processing chain. The controller should assess whether requesting a copy of such contracts or reviewing them is necessary for it to be able to demonstrate compliance with the GDPR.	EDPBは、GDPRの下では、管理者は、データ保護義務が処理連鎖の下流に受け継がれているかどうかを確認するために、体系的に再処理契約を求める義務はないと考えている。管理者は、GDPRの遵守を証明するために、そのような契約書のコピーを要求したり、契約書を見直したりすることが必要かどうかをアセスメントすべきである。
In addition, where transfers of personal data outside of the European Economic Area take place between two (sub-)processors, the processor as data exporter should prepare the relevant documentation, such as relating to the ground of transfer used, the transfer impact assessment and the possible supplementary measures. However, as the controller is still subject to the duties stemming from Art. 28(1) GDPR on ‘sufficient guarantees’, besides the ones under Art. 44 to ensure that the level of protection is not undermined by transfers of personal data, it should assess this documentation and be able to show it to the competent Data Protection Authority.	さらに、欧州経済地域外への個人データの移転が2つの（再）処理者間で行われる場合、データ移転者としての処理者は、使用される移転理由、移転影響アセスメント、可能な補足措置などに関する関連文書を準備する必要がある。ただし、管理者は依然としてGDPR第28条第1項に基づく義務を負う。第28条(1)の「十分な保証」に起因する義務に従う。第44条に基づき、個人データの移転によって保護水準が損なわれないことを保証する義務を負うため、管理者はこの文書を評価し、管轄のデータ保護当局に提示できるようにしなければならない。
Next, the Board adopted Guidelines on the processing of personal data based on legitimate interest.	次に、理事会は正当な利益に基づくパーソナルデータの処理に関するガイドラインを採択した。
Data controllers need a legal basis to process personal data lawfully. Legitimate interest is one of the six possible legal bases.	データ管理者が個人データを合法的に処理するには法的根拠が必要である。正当な利益は6つの法的根拠のうちの1つである。
These Guidelines analyse the criteria set down in Art. 6(1) (f) GDPR that controllers must meet to lawfully process personal data on the basis of legitimate interest. It also takes into consideration the recent ECJ ruling on this matter (C-621/22, 4 October 2024).	本ガイドラインは、GDPR第6条1項(f)の規準を分析するものである。6(1)(f)GDPRに規定された基準を分析し、管理者が正当な利益に基づいて個人データを合法的に処理するために満たさなければならない基準を示す。また、この件に関する最近のECJ判決（C-621/22、2024年10月4日）も考慮している。
In order to rely on legitimate interest, the controller needs to fulfil three cumulative conditions:	正当な利益に依拠するためには、管理者は3つの累積的条件を満たす必要がある：
The pursuit of a legitimate interest by the controller or by a third party;	管理者または第三者による正当な利益の追求、
The necessity to process personal data for the purposes of  pursuing the legitimate interest;	正当な利益の追求を目的としたパーソナルデータの処理の必要性、
The interests or fundamental freedoms and rights of individuals do not take precedence over the legitimate interest(s) of the controller or of a third party (balancing exercise).	個人の利益または基本的自由および権利が、管理者または第三者の正当な利益（複数可）に優先しないこと（均衡行使）。
First of all, only the interests that are lawful, clearly and precisely articulated, real and present may be considered legitimate. For example, such legitimate interests could exist in a situation where the individual is a client or in the service of the controller.	第一に、合法的で、明確かつ正確に明示され、現実に存在する利益のみが正当な利益とみなされる。例えば、そのような正当な利益は、個人が顧客である状況や、管理者にサービスを提供している状況において存在する可能性がある。
Second, if there are reasonable, just as effective, but less intrusive alternatives for achieving the interests pursued, the processing may not be considered to be necessary. The necessity of a processing should also be examined with the principle of data minimisation.	第二に、追求される利益を達成するために、合理的で、同等の効果があるが、より侵入的でない代替手段がある場合、その処理は必要であるとはみなされない。処理の必要性は、データ最小化の原則とも照らし合わせて検討されなければならない。
Third, the controller must ensure that its legitimate interest is not overridden by the individual's interests, fundamental rights or freedoms. In this balancing exercise, the controller needs to take into account the interests of the individuals, the impact of the processing and their reasonable expectations, as well as the existence of additional safeguards which could limit the impact on the individual.	第三に、管理者は、その正当な利益が個人の利益、基本的権利または自由によって優先されないことを保証しなければならない。この均衡をとるために、管理者は、個人の利益、処理の影響および合理的な期待、さらに個人への影響を制限しうる追加的な保護措置の存在を考慮する必要がある。
In addition, these Guidelines explain how this assessment should be carried out in practice, including in a number of specific contexts such as fraud prevention, direct marketing and information security. The document also explains the relationship between this legal basis and a number of data subject rights under the GDPR.	さらに、本ガイドラインでは、詐欺防止、ダイレクトマーケティング、情報セキュリティなど、多くの具体的な状況を含め、このアセスメントを実際にどのように実施すべきかを説明している。また、この文書は、この法的根拠とGDPRに基づく多くのデータ対象者の権利との関係についても説明している。
The Guidelines will be subject to public consultation until 20 November 2024.	ガイドラインは、2024年11月20日までパブリックコンサルテーションの対象となる。
Next, the Board adopted a Statement following the amendments made by the European Parliament and the Council to the European Commission’s proposal for a Regulation laying down additional procedural rules relating to the enforcement of the GDPR.	次に、GDPRの施行に関する追加的な手続き規則を定めた欧州委員会の規則案に対して欧州議会と理事会が修正を加えたことを受け、理事会は声明を採択した。
The Statement generally welcomes the modifications introduced by the European Parliament and the Council, and recommends further addressing specific elements in order for the new regulation to achieve the objectives of streamlining cooperation between authorities and improving the enforcement of the GDPR.	声明は、欧州議会と欧州理事会により導入された修正を概ね歓迎し、新規則が当局間の協力を合理化し、GDPRの執行を改善するという目的を達成するために、特定の要素にさらに対処することを推奨している。
The Statement makes practical recommendations that may be used in the context of the upcoming trilogues. In particular, the EDPB reiterates the need for a legal basis and harmonised procedure for amicable settlements and it makes recommendations in view of ensuring that consensus on the summary of key issues is reached in the most efficient manner. The Board also welcomes the inclusion of additional deadlines while recalling that they need to be realistic and urges the co-legislators to remove the provisions related to the relevant and reasoned objections and the ‘statement of reasons’ in the dispute resolution procedure.	本ステートメントは、今後予定されている3カ国協議の文脈で使用される可能性のある実践的な提言を行っている。特に、EDPBは、友好的解決のための法的根拠と調和された手続きの必要性を再確認し、重要事項の要約に関するコンセンサスが最も効率的な方法で得られるようにする観点から提言を行っている。理事会はまた、追加的な期限を盛り込んだことを歓迎するが、その期限は現実的なものである必要があることを想起し、共同立法者に対し、紛争解決手続きにおける関連性のある理由付き異議申し立てと「理由書」に関連する規定を削除するよう求める。
While the Statement welcomes the objective of achieving increased transparency, the introduction of a joint case file, as proposed by the European Parliament, would require complex changes to the document management and communication systems used at European and national levels. The technical solutions for its implementation should be carefully assessed, and the modalities for granting access to it should be further clarified.	序文は、透明性の向上を達成するという目的を歓迎するが、欧州議会が提案する共同事件ファイルの導入は、欧州および各国レベルで使用されている文書管理およびコミュニケーションシステムに複雑な変更を必要とする。その導入のための技術的な解決策を慎重に評価し、アクセス許可の方法をさらに明確にすべきである。
The EDPB welcomes the Council’s amendment allowing the lead DPA to opt-out from the so-called enhanced cooperation in simple and straightforward cases, but it highlights the need to clarify further the scope of this opt-out.	EDPBは、単純で分かりやすいケースにおいて、主管DPAがいわゆる強化された協力からオプトアウトすることを認める理事会の修正を歓迎するが、このオプトアウトの範囲をさらに明確にする必要性を強調する。
EDPB Chair Anu Talus said: “The draft regulation has the potential to greatly streamline GDPR enforcement by increasing the efficiency of case handling. More harmonisation is needed at EU level, in order to maximise the full effectiveness of the GDPR’s cooperation and consistency mechanisms.”	EDPBのアヌ・タルス委員長は次のように述べた： 「ドラフト規則は、ケース処理の効率性を高めることにより、GDPRの執行を大幅に合理化する可能性を秘めている。GDPRの協力と一貫性のメカニズムの効果を最大化するためには、EUレベルでさらなる調和が必要である。
During its latest plenary, the Board adopted its work programme for 2024-2025. This is the first one of two work programmes which will implement the EDPB strategy for 2024-2027 adopted in April 2024. It is based on the priorities set in the EDPB strategy and it also takes into account the needs identified as most important for stakeholders .	最新の本会議で、理事会は2024-2025年の作業計画を採択した。これは、2024年4月に採択された2024-2027年のEDPB戦略を実施するための2つの作業計画のうち、最初のものである。これは、EDPB戦略で設定された優先事項に基づいており、また、ステークホルダーにとって最も重要であると特定されたニーズも考慮されている。
Finally, the EDPB members agreed to grant the status of observer to the EDPB’s activities to the Kosovan Information and Privacy Agency (Kosovan DPA), in line with Art. 8 EDPB Rules of Procedure.	最後に、EDPBメンバーは、コソボ情報・プライバシー庁（Kosovan DPA）に対し、EDPBの活動に対するオブザーバーの地位を付与することに合意した。第8条 EDPB手続規則に基づき、コソボのDPAにEDPB活動のオブザーバーの地位を与えることに合意した。

最初の話は、管理者と（再）処理者（日本風にいうと（再）委託先ですかね...）との関係の話ですね...

デンマークの個人データ保護機関の依頼により、管理者と処理者に関するガイドラインが公表されていますね...

・2024.10.09 Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s)

・[PDF]

・[DOCX][PDF] 仮訳

エグゼクティブサマリー...

Executive summary	エグゼクティブ・サマリー
The Danish SA requested the EDPB to issue an opinion on matters of general application pursuant to Article 64(2) GDPR. The opinion contributes to a harmonised interpretation by the national supervisory authorities of certain aspects of Article 28 GDPR, where appropriate in conjunction with Chapter V GDPR. In particular, the opinion addresses questions on the interpretation of certain duties of controllers relying on processors and sub-processors, arising in particular from Article 28 GDPR, as well as the wording of controller-processor contracts. The questions address processing of personal data in the EEA as well processing following a transfer to a third country.	デンマークのSAはEDPBに対し、GDPR第64条 (2)に従い、一般的な適用事項に関する意見書の発行を要請した。本意見書は、GDPR第5章との関連で適切な場合、GDPR第28条の特定の側面について、各国の監督当局による調和のとれた解釈に資するものである。特に、本意見書は、特にGDPR第28条から生じる、処理者および再処理者に依存する管理者の特定の義務の解釈、ならびに管理者と処理者の契約の文言に関する問題を取り上げている。質問は、EEA内での個人データの処理と、第三国への移転後の処理に対応している。
The Board concludes in this opinion that controllers should have the information on the identity (i.e. name, address, contact person) of all processors, sub-processors etc. readily available at all times so that they can best fulfil their obligations under Article 28 GDPR, regardless of the risk associated with the processing activity. To this end, the processor should proactively provide to the controller all this information and should keep them up to date at all times.	管理者は、処理活動に関連するリスクにかかわらず、GDPR第28条に基づく義務を最大限に果たすことができるよう、すべての処理者、再処理者等の身元に関する情報（すなわち、氏名、住所、連絡先）を常に容易に入手できるようにしておくべきである、と当委員会は本意見書の中で結論付けている。このため、処理者は、管理者にこれらすべての情報を積極的に提供し、常に最新の状態に保つべきである。
Article 28(1) GDPR provides that controllers have the obligation to engage processors providing ‘sufficient guarantees’ to implement ‘appropriate’ measures in such a manner that the processing will meet the requirements of the GDPR and ensure the protection of the rights of data subjects. The EDPB considers, in its opinion, that when assessing compliance of controllers with this obligation and with the accountability principle (Article 24(1) GDPR), SAs should consider that the engagement of processors should not lower the level of protection for the rights of data subjects. The controller’s obligation to verify whether the (sub-)processors present ‘sufficient guarantees’ to implement the appropriate measures determined by the controller should apply regardless of the risk to the rights and freedoms of data subjects. However, the extent of such verification will in practice vary depending on the nature of these technical and organisational measures, which may be stricter or more extensive depending on the level of such risk.	GDPR第28条 (1)は、管理者は、処理がGDPRの要求事項を満たし、データ主体の権利保護を確実にするような「適切な」措置を実施する「十分な保証」を提供する処理者に委託する義務を負うと規定している。EDPBの見解では、管理者がこの義務および説明責任の原則（GDPR第24条 (1)）を遵守しているかどうかを評価する際、SAは、処理者の関与がデータ主体の権利保護のレベルを低下させるべきではないと考えるべきである。データ主体の権利および自由に対するリスクに関係なく、（再）処理者が管理者の決定した適切な措置を実施する「十分な保証」を提示しているかどうかを検証する管理者の義務は適用されるべきである。ただし、このような検証の程度は、実際には、これらの技術的および組織的措置の性質によって異なり、このようなリスクのレベルに応じて、より厳格になる場合もあれば、より広範囲になる場合もある。
The EDPB further specifies in the opinion that while the initial processor should ensure that it proposes sub-processors providing sufficient guarantees, the ultimate decision on whether to engage a specific sub-processor and the pertaining responsibility, including with respect to verifying the guarantees, remains with the controller. SAs should assess whether the controller is able to demonstrate that the verification of the sufficiency of the guarantees provided by its (sub-)processors has taken place to the controller’s satisfaction. The controller may choose to rely on the information received from its processor and build on it if needed (for example, where it seems incomplete, inaccurate or raises questions). More specifically, for processing presenting a high risk to the rights and freedoms of data subjects, the controller should increase its level of verification in terms of checking the information provided. In that regard, the EDPB considers that under the GDPR the controller does not have a duty to systematically ask for the sub-processing contracts to check whether the data protection obligations provided for in the initial contract have been passed down the processing chain. The controller should assess, on a case-by-case basis, whether requesting a copy of such contracts or reviewing them at any time is necessary for it to be able to demonstrate compliance in light of the principle of accountability.	EDPBはさらに、最初の処理者は、十分な保証を提供する再処理者を提案することを保証すべきであるが、特定の再処理者に従事させるかどうかの最終的な決定、および保証の検証を含む関連する責任は、管理者にあることを意見書に明記している。SAは、管理者が、（再）処理者が提供する保証の十分性の検証が、管理者が満足するように行われたことを証明できるかどうかを評価する必要がある。管理者は、処理者から受領した情報に依拠することを選択し、必要な場合（例えば、不完全、不正確、または疑問があると思われる場合）、その情報を基に構築することができる。より具体的には、データ主体の権利および自由に対するリスクが高い処理については、管理者は、提供された情報のチェックという点で、検証のレベルを高めるべきである。この点に関して、EDPBは、GDPRの下では、管理者は、最初の契約において規定されたデータ保護義務が処理連鎖の下層に受け継がれているかどうかを確認するために、サブ処理契約を体系的に求める義務はないと考えている。管理者は、説明責任の原則に照らして遵守を証明するために、そのような契約書のコピーを要求すること、またはそれらを随時確認することが必要かどうかを、ケースバイケースで評価すべきである。
Where transfers of personal data outside of the EEA take place between two (sub-)processors, in accordance with the controller’s instructions, the controller is still subject to the duties stemming from Article 28(1) GDPR on ‘sufficient guarantees’, besides the ones under Article 44 to ensure that the level of protection guaranteed by the GDPR is not undermined by transfers of personal data. The processor/exporter should prepare the relevant documentation, in line with the case-law and as explained in EDPB Recommendations 01/2020. The controller should assess and be able to show to the competent SA such documentation. The controller may rely on the documentation or information received from the processor/exporter and if necessary build on it. The extent and nature of the controller’s duty to assess this documentation may depend on the ground used for the transfer and whether the transfer constitutes an initial or onward transfer.	EEA域外への個人データの移転が、管理者の指示に従い、2つの（再）処理者間で行われる場合、管理者は、GDPRが保証する保護レベルが個人データの移転によって損なわれないことを保証するための第44条に基づく義務に加え、「十分な保証」に関するGDPR第28条第 (1)に由来する義務にも依然として服する。処理者／輸出者は、判例に従い、またEDPB勧告01/2020で説明されているように、関連文書を準備すべきである。管理者は、当該文書を評価し、管轄SAに提示できるようにしなければならない。管理者は、加工業者／輸出業者から受領した文書または情報に依拠し、必要に応じてそれを基にすることができる。この文書を評価する管理者の義務の範囲および性質は、移転に使用される根拠、および移転が初回移転にあたるか、またはオンワード移転にあたるかによって異なる場合がある。
The EDPB also addressed, in the opinion, a question on the wording of controller-processor contracts. In this respect, a basic element is the commitment for the processor to process personal data only on documented instructions from the controller, unless the processor is “required to [process] by Union or Member State law to which the processor is subject” (Article 28(3)(a) GDPR) - recalling the general principle that contracts cannot override the law. In light of the contractual freedom afforded to the parties to tailor their controller-processor contract to their circumstances, within the limits of Article 28(3) GDPR, the EDPB takes the view that including the words “unless required to do so by Union or Member State law to which the processor is subject” (either verbatim or in very similar terms) is highly recommended but not mandatory.	EDPBはまた、意見書の中で、管理者と処理者の契約の文言に関する問題にも言及している。この点に関して、基本的な要素は、処理者が「処理者が従う連合国または加盟国の法律により（処理を）要求された」場合を除き、処理者が管理者からの文書化された指示にのみ基づき個人データを処理することを約束することである（GDPR28条(3)（a））。EDPBは、GDPR第28条(3)の制限の範囲内で、管理者と処理者の契約をそれぞれの状況に合わせて調整する契約上の自由が当事者に与えられていることを考慮し、「処理者が従う連邦法または加盟国の法律によって要求されない限り」という文言（逐語的または非常に類似した表現）を含めることを強く推奨するが、強制ではないとの見解を示している。
As to variants similar to “unless required to do so by law or binding order of a governmental body” the EDPB takes the view that this remains within prerogative of the contractual freedom of the parties and does not infringe Article 28(3)(a) GDPR per se. At the same time the EDPB identifies a number of issues in its opinion, as such a clause does not exonerate the processor from complying with its obligations under the GDPR.	EDPBは、「法律または政府機関の拘束力のある命令によって要求されない限り」と類似した条項については、これは当事者の契約自由の特権の範囲内にとどまり、それ自体がGDPR第28条(3)(a)を侵害するものではないとの見解を示している。同時にEDPBは、このような条項がGDPRに基づく義務の遵守から処理者を免責するものではないとして、その意見において多くの問題点を指摘している。
For personal data transferred outside of the EEA, the EDPB considers it unlikely that the wording “unless required to do so by law or binding order of a governmental body”, in itself, suffice to achieve compliance with Article 28(3)(a) GDPR in conjunction with Chapter V. As is illustrated by the European Commission’s International Transfer SCCs and the BCR-C recommendations, Article 28(3)(a) GDPR does not prevent - on principle - the inclusion in the contract of provisions that address third country law requirements to process transferred personal data. However, as is the case in these documents, a distinction should be made between the third country law(s) which would undermine the level of protection guaranteed by the GDPR and those that would not. Finally, the EDPB recalls that the possibility of third country law impeding compliance with the GDPR should be a factor considered by the parties before entering into the contract (between controller and processor or between processor and sub-processor).	EEA域外に移転される個人データについて、EDPBは、「法律または政府機関の拘束力のある命令によって要求されない限り」という文言それ自体で、第5章と合わせてGDPR第28条(3)(a)の遵守を達成するのに十分であるとは考えにくいと考える。欧州委員会の国際移転SCCおよびBCR-C勧告に示されているように、GDPR第28条(3)(a)は、原則として、移転される個人データを処理するための第三国法の要件に対処する条項を契約に含めることを妨げるものではない。ただし、これらの文書にあるように、GDPRが保証する保護レベルを損なうことになる第三国の法律と、そうでない法律とを区別すべきである。最後に、EDPBは、第三国法がGDPRの遵守を阻害する可能性は、契約締結前（管理者と処理者間または処理者と再処理者間）に当事者が考慮すべき要素であることを想起する。
Where the processor is processing personal data within the EEA, it may still be faced with third country law, in certain circumstances. The EDPB underlines that the addition in the contract of wording similar to “unless required to do so by law or binding order of a governmental body” does not release the processor from its obligations under the GDPR.	処理者がEEA域内で個人データを処理している場合でも、状況によっては第三国の法律に直面する可能性がある。EDPBは、契約書に「法律または政府機関の拘束力のある命令によって要求されない限り」という文言を追加しても、GDPRに基づく義務から処理者が解放されるわけではないことを強調している。
Finally, the EDPB is of the opinion that following up the commitment of the processor to only process on documented instructions with “unless required to do so by law or binding order of a governmental body” (either verbatim or in very similar terms) cannot be construed as a documented instruction by the controller.	最後に、EDPBは、文書化された指示に基づく処理のみを行うという処理者のコミットメントを、「法律または政府機関の拘束力のある命令によって要求されない限り」（逐語的または非常に類似した表現）でフォローすることは、管理者による文書化された指示とは解釈できないという見解を持っている。

目次...

Executive summary	エグゼクティブ・サマリー
1 INTRODUCTION	1 はじめに
1.1 Summary of facts	1.1 事実の概要
1.2 Admissibility of the request for an Article 64(2) GDPR Opinion	1.2 GDPR第64条(2)意見書の請求の可否
2 ON THE MERITS OF THE REQUESTERROR	2 要求事項のメリット
2.1 On the interpretation of Articles 28(1), 28(2) and 28(4) GDPR combined with Article 5(2) and Article 24(1) (questions 1.1 and 1.3)	2.1 GDPR第28条 (1)、28条 (2)、28条4項と、第5条 (2)および第24条 (1)の組み合わせの解釈について（質問1.1および1.3）
2.1.1 Identification of the actors in the processing chain	2.1.1 処理チェーンの関係者の特定
2.1.2 Verification and documentation by the controller of the sufficiency of the guarantees provided by all the processors in the processing chain	2.1.2 管理者による、処理チェーン内のすべての処理者が提供する保証の十分性の検証と文書化
2.1.3 Verification of the contract between the initial processor and the additional processors	2.1.3 最初の処理者と追加処理者間の契約の検証
2.2 On the interpretation of Article 28(1) GDPR in conjunction with Article 44 GDPR (transfers in the processing chain - questions 1.2 and 1.3)	2.2 GDPR第28条 (1)とGDPR第44条（処理連鎖における移転-質問1.2および1.3）の解釈について
2.3 On the interpretation of Article 28(3)(a) GDPR (question 2)	2.3 GDPR第28条(3)(a)の解釈について（質問2）

---

話題となっているGDPR第24条（管理者の責任）と第28条（処理者）は次のようになっています...

訳は個人情報保護委員会の[PDF]仮訳...

Article 24 Responsibility of the controller	第24 条 管理者の責任
1. Taking into account the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons, the controller shall implement appropriate technical and organizational measures to ensure and to be able to demonstrate that processing is performed in accordance with this Regulation. Those measures shall be reviewed and updated where necessary.	1. 取扱いの性質、範囲、過程及び目的並びに自然人の権利及び自由に対する様々な蓋然性と深刻度のリスクを考慮に入れた上で、管理者は、本規則に従って取扱いが遂行されることを確保し、かつ、そのことを説明できるようにするための適切な技術上及び組織上の措置を実装するものとする。それらの措置は、レビューされ、また、必要があるときは、最新のものに改められるものとする。
2. Where proportionate in relation to processing activities, the measures referred to in paragraph 1 shall include the implementation of appropriate data protection policies by the controller.	2. 取扱活動と関連して比例的である場合、第1 項に規定する措置は、管理者による適切なデータ保護方針の実装を含むものとする。
3. Adherence to approved codes of conduct as referred to in Article 40 or approved certification mechanisms as referred to in Article 42 may be used as an element by which to demonstrate compliance with the obligations of the controller.	3. 第 40 条に規定する承認された行動規範及び第 42 条に規定する承認された認証方法の遵守は、管理者の義務が履行されていることを証明するための要素として用いることができる。
Article 28 Processor	第28 条 処理者
1. Where processing is to be carried out on behalf of a controller, the controller shall use only processors providing sufficient guarantees to implement appropriate technical and organisational measures in such a manner that processing will meet the requirements of this Regulation and ensure the protection of the rights of the data subject.	1. 管理者の代わりの者によって取扱いが行われる場合、その管理者は、当該取扱いが本規則に定める義務に適合するような態様で適切な技術上及び組織上の保護措置を実装することについて十分な保証を提供する処理者のみを用いるものとし、かつ、データ主体の権利の保護を確保するものとする。
2. The processor shall not engage another processor without prior specific or general written authorisation of the controller. In the case of general written authorisation, the processor shall inform the controller of any intended changes concerning the addition or replacement of other processors, thereby giving the controller the opportunity to object to such changes.	2. 処理者は、管理者から事前に個別的又は一般的な書面による承認を得ないで、別の処理者を業務に従事させてはならない。一般的な書面による承認の場合、処理者は、管理者に対し、別の処理者の追加又は交代に関る変更の予定を通知し、それによって、管理者に、そのような変更に対して異議を述べる機会を与えるものとする。
3. Processing by a processor shall be governed by a contract or other legal act under Union or Member State law, that is binding on the processor with regard to the controller and that sets out the subject-matter and duration of the processing, the nature and purpose of the processing, the type of personal data and categories of data subjects and the obligations and rights of the controller. That contract or other legal act shall stipulate, in particular, that the processor:	3. 処理者による取扱いは、管理者との関係に関して処理者を拘束し、かつ、取扱いの対象及び期間、取扱いの性質及び目的、個人データの種類及びデータ主体の類型、並びに、管理者の義務及び権利を定める、契約又はその他のEU法若しくは加盟国の国内法に基づく法律行為によって規律される。契約又はその他の法律行為は、特に、処理者が、以下のとおり行うことを定める：
(a) processes the personal data only on documented instructions from the controller, including with regard to transfers of personal data to a third country or an international organisation, unless required to do so by Union or Member State law to which the processor is subject; in such a case, the processor shall inform the controller of that legal requirement before processing, unless that law prohibits such information on important grounds of public interest;	(a) 処理者が服する EU 又は加盟国の国内法がそのようにすることを要求する場合を除き、個人データの第三国又は国際機関に対する移転と関連するものを含め、管理者からの文書化された指示のみに基づいて個人データを取扱うこと。そのような場合、当該の法律がそのような公共の利益上の重要な法的根拠に関する情報提供を禁止しない限り、処理者は、管理者に対し、取扱いの前に、当該法律上の要件について情報提供するものとする。
(b) ensures that persons authorised to process the personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality;	(b) 個人データの取扱いを承認された者が自ら守秘義務を課し、又は、適切な法律上の守秘義務の下にあることを確保すること。
(c) takes all measures required pursuant to Article 32;	(c) 第32 条によって求められる全ての措置を講ずること。
(d) respects the conditions referred to in paragraphs 2 and 4 for engaging another processor;	(d) 別の処理者を業務に従事させるために、第2 項及び第4 項に規定する要件を尊重すること。
(e) taking into account the nature of the processing, assists the controller by appropriate technical and organizational measures, insofar as this is possible, for the fulfilment of the controller's obligation to respond to requests for exercising the data subject's rights laid down in Chapter III;	(e) 第 3 章に定めるデータ主体の権利を行使するための要求に対処すべき管理者の義務を充足させるために、それが可能な範囲内で、取扱いの性質を考慮に入れた上で、適切な技術上及び組織上の措置によって、管理者を支援すること。
(f) assists the controller in ensuring compliance with the obligations pursuant to Articles 32 to 36 taking into account the nature of processing and the information available to the processor;	(f) 取扱いの性質及び処理者が利用可能な情報を考慮に入れた上で、第 32 条から第 36 条による義務の遵守の確保において、管理者を支援すること。
(g) at the choice of the controller, deletes or returns all the personal data to the controller after the end of the provision of services relating to processing, and deletes existing copies unless Union or Member State law requires storage of the personal data;	(g) 取扱いと関係するサービスの提供が終了した後、EU 法又は加盟国の国内法が個人データの記録保存を要求していない限り、管理者の選択により、全ての個人データを消去し、又は、これを管理者に返却すること、並びに、存在している複製物を消去すること。
(h) makes available to the controller all information necessary to demonstrate compliance with the obligations laid down in this Article and allow for and contribute to audits, including inspections, conducted by the controller or another auditor mandated by the controller.	(h) 本条に定める義務の遵守を説明するため、及び、管理者によって行われる検査若しくは管理者から委任された別の監査人によって行われる検査を含め、監査を受け入れ、若しくは、監査に資するようにするために必要な全ての情報を、管理者が利用できるようにすること。
With regard to point (h) of the first subparagraph, the processor shall immediately inform the controller if, in its opinion, an instruction infringes this Regulation or other Union or Member State data protection provisions.	第1 副項(h)に関し、処理者は、その見解において、指示が本規則又はその他のEU 又は加盟国のデータ保護の条項に違反する場合、直ちに、そのことを管理者に通知するものとする。
4. Where a processor engages another processor for carrying out specific processing activities on behalf of the controller, the same data protection obligations as set out in the contract or other legal act between the controller and the processor as referred to in paragraph 3 shall be imposed on that other processor by way of a contract or other legal act under Union or Member State law, in particular providing sufficient guarantees to implement appropriate technical and organisational measures in such a manner that the processing will meet the requirements of this Regulation. Where that other processor fails to fulfil its data protection obligations, the initial processor shall remain fully liable to the controller for the performance of that other processor's obligations.	4. 管理者の代わりの特定の取扱活動を行うために、処理者が別の処理者を業務に従事させる場合、当該別の処理者に対し、契約によって、又は、EU 法若しくは加盟国の国内法に基づくその他の法律行為によって、特に、その取扱いが本規則の要件に適合するような態様で適切な技術上及び組織上の措置を実装する十分な保証を提供することによって、第3 項に規定する管理者及び処理者間の契約又はその他の法律行為に定めるのと同じデータ保護上の義務が課されなければならない。当該別の処理者がそのデータ保護の義務を充足しない場合、当初の処理者は、当該別の処理者の義務の履行について、その管理者に対する法的責任を全面的に負うものとする。
5. Adherence of a processor to an approved code of conduct as referred to in Article 40 or an approved certification mechanism as referred to in Article 42 may be used as an element by which to demonstrate sufficient guarantees as referred to in paragraphs 1 and 4 of this Article.	5. 第 40 条に規定する承認された行動規範又は第 42 条に規定する承認された認証方法を処理者が遵守することは、本条の第1 項及び第4 項に規定する十分な保証を証明するための要素として用いることができる。
6. Without prejudice to an individual contract between the controller and the processor, the contract or the other legal act referred to in paragraphs 3 and 4 of this Article may be based, in whole or in part, on standard contractual clauses referred to in paragraphs 7 and 8 of this Article, including when they are part of a certification granted to the controller or processor pursuant to Articles 42 and 43.	6. 管理者と処理者との間の個別の契約を妨げることなく、第 3 項若しくは第 4 項に規定する契約又はその他の法律行為は、それが第42 条及び第43 条により管理者又は処理者に対して与えられる認証の一部分である場合を含め、その全部又は一部について、本条の第7 項及び第8 項に規定する標準契約条項に基づくものとすることができる。
7. The Commission may lay down standard contractual clauses for the matters referred to in paragraph 3 and 4 of this Article and in accordance with the examination procedure referred to in Article 93(2).	7. 欧州委員会は、本条の第3 項及び第4 項に規定する事項に関して、第93 条第2 項に規定する審議手続に従い、標準契約条項を定めることができる。
8. A supervisory authority may adopt standard contractual clauses for the matters referred to in paragraph 3 and 4 of this Article and in accordance with the consistency mechanism referred to in Article 63.	8. 監督機関は、本条の第3 項及び第4 項に規定する事項に関して、第63 条に規定する一貫性メカニズムに従い、標準契約条項を採択できる。
9. The contract or the other legal act referred to in paragraphs 3 and 4 shall be in writing, including in electronic form.	9. 第3 項及び第4 項に規定する契約その他の法律行為は、電子的な方式による場合を含め、書面によるものとする。
10. Without prejudice to Articles 82, 83 and 84, if a processor infringes this Regulation by determining the purposes and means of processing, the processor shall be considered to be a controller in respect of that processing.	10. 第 82 条、第 83 条及び第 84 条を妨げることなく、処理者が取扱いの目的及び方法を決定することにより本規則に違反する場合、その処理者は、当該取扱いとの関係においては、管理者として扱われる。

英国 認定デジタル ID および属性サービスについて

こんにちは、丸山満彦です。

英国の「認定デジタル ID および属性サービス」について、ちょっと整理...

英国では、デジタルID及び属性サービスの認定制度があります。現在49のサービスが認定されていますね。

● GOV.UK

・認定デジタル ID および属性サービスのリスト（現在49社[downloaded XLSX]）　

・認定基準（UK digital identity and attributes trust framework - beta version）（現在は0.3）

・Identity profiles

↑はとても興味深い...

UKASが認定している団体は4社

• Kantara Initiative
• NQA 
• AVID Certification Services Ltd trading as Digital Identity Systems Certification (Accsheme)
• BSI

日本でも参考になることもあるかもですね...

---

ちなみに、

日本...

● デジタル庁 - ガイドライン

---

・DS-500 行政手続におけるオンラインによる本人確認の手法に関するガイドライン

本文（PDF／1,506KB）
統合版（PDF／Wordファイル）（ZIP／1,996KB）

• 最終改定：2019年2月25日
• ドキュメントの位置づけ：Normative
• 概要：各種行政手続をデジタル化する際に必要となる、オンラインによる本人確認の手法を示した標準ガイドラインの附属文書

参考資料_改定に向けた中間とりまとめ（令和4年度（2022年度））（PDF／3,580KB）（2023年6月29日掲載）
参考資料_改定に向けた中間とりまとめ（令和5年度（2023年度））（PDF／2,123KB）（2024年7月23日更新）
参考資料_「行政手続におけるオンラインによる本人確認の手法に関するガイドライン」Q&A（PDF／387KB）（2024年6月17日掲載）

---

米国...

● NIST - NIST Special Publication 800-63 Digital Identity Guidelines

Past updates

NIST held a virtual event, Digital Identity Guidelines – Kicking off Revision 4!, on January 12, 2023. Presentation slides are available here.

• SP 800-63-4 (Pre-Draft) Call for Comments: Digital Identity Guidelines
• Comments in Response to Request for Comments for SP 800-63-4
• NIST Special Publication 800-63-3 Frequently Asked Questions
• Roadmap: NIST Special Publication 800-63-3 Digital Identity Guideline
• NIST SP 800-63-3 Implementation Resources
• Conformance Criteria for SP 800-63A Enrollment and Identity Proofing
• Conformance Criteria for SP 800-63B Authentication and Lifecycle Management
• Conformance Criteria for SP 800-63C Federation and Assertions

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.10 米国 NIST IR 8480（初期公開ドラフト） アイデンティティ管理のための属性妥当性確認サービス：アーキテクチャ、セキュリティ、プライバシー、運用上の考慮事項

・2024.08.24 米国 NIST SP 800-63-4（第2次公開草案）デジタル・アイデンティティ・ガイドライン他...

・2024.04.25 米国 NIST SP 800-63B [補足 1] NIST SP 800-63B: デジタル・アイデンティティ・ガイドライン - 認証およびライフサイクル管理への同期可能な本人認証の組み込み

・2022.12.19 NIST SP 800-63-4 (ドラフト) デジタル・アイデンティティ・ガイドライン 、63A-4 (ドラフト) 登録と身元確認、63B-4 (ドラフト) 本人認証とライフサイクル管理、63C-4 (ドラフト) 連携とアサーション

・2020.06.11 NIST SP 800-63-4(Draft) PRE-DRAFT Call for Comments: Digital Identity Guidelines

・2020.03.07 NIST SP800-63-3 Digital Identity GuidelinesにEditorialな修正がありました

 欧州

・2024.09.27 ENISA EUデジタルID(EUDI)ウォレットの認証をサポート (2024.09.24)

・2024.07.09 欧州 ETSI 電子署名と信頼基盤（ESI）；属性の電子認証に適用される選択的開示とゼロ知識証明の分析

・2024.03.21 ENISA 遠隔身元証明 (Remote ID Proofing) の優れた実践

・2024.02.03 ENISA サイバーセキュリティ認証の市場

・2023.07.05 ENISA デジタルID標準

日本

・2024.07.11 デジタル庁 本人確認ガイドラインの改定に向けた有識者会議 本人確認ガイドライン改定方針令和5年度中間とりまとめ

・2023.06.30 デジタル庁 「DS-500 行政手続におけるオンラインによる本人確認の手法に関するガイドライン」の改定に向けた中間取りまとめ

・2022.07.02 デジタル庁 デジタル社会推進標準ガイドラインにセキュリティに関するドキュメントが追加されましたね。。。

・2022.07.02 デジタル庁 デジタル社会推進標準ガイドラインにセキュリティに関するドキュメントが追加されましたね。。。

・2022.07.02 デジタル庁 デジタル社会推進標準ガイドラインにセキュリティに関するドキュメントが追加されましたね。。。

イタリア GPDP G7プライバシー保護機関の会合(2024.10.09-11)

こんにちは、丸山満彦です。

G7のプライバシー保護機関が集まった会合が開催されていましたね...

「AIと子供、データ移動、国際協力に関する宣言」がだされたようですが、どこにあるのか？？？

● Granter Per La Protezione Dei Dati Personali

・G7 Garanti Privacy '24

AIと子供、データ移動、国際協力に関する宣言

・2024.10.11 G7 dei Garanti privacy: positivo bilancio dell’incontro mondiale. Approvate dichiarazioni su IA e minori, circolazione dei dati, cooperazione internazionale

G7 dei Garanti privacy: positivo bilancio dell’incontro mondiale. Approvate dichiarazioni su IA e minori, circolazione dei dati, cooperazione internazionale	G7プライバシー保護機関：世界的会合で前向きな成果。AIと子供、データ移動、国際協力に関する宣言が承認される
Si è concluso oggi a Roma il quarto appuntamento del G7 delle Autorità di protezione dati, coordinato quest’anno dal Garante italiano.  All’incontro – che si è svolto dal 9 all’11 ottobre – hanno partecipato il Collegio del Garante italiano e le Autorità competenti di Canada, Francia, Germania, Giappone, Regno Unito e Stati Uniti d’America, insieme al Comitato europeo della protezione dei dati (EDPB) e al Garante europeo della protezione dei dati (EDPS).	今年イタリアのプライバシー保護機関が議長を務めた第4回G7データ保護機関の会議が本日ローマで終了した。10月9日から11日にかけて開催された会議には、イタリアのプライバシー保護機関、およびカナダ、フランス、ドイツ、日本、英国、米国の各国当局が参加したほか、欧州データ保護委員会（EDPB）および欧州データ保護監察機関（EDPS）も参加した。
Sono stati affrontati vari temi, tutti di estrema rilevanza e attualità, e sono state approvate importanti dichiarazioni. Con l’invito alla prosecuzione del dialogo, le Autorità hanno convenuto sull’importanza di adottare garanzie adeguate per i minori nello sviluppo e nell’uso dell’intelligenza artificiale, una tecnologia che deve essere progettata in modo da assicurare la loro crescita libera e armonica.  Su questo tema, affrontato anche nell’ambito della riflessione sulle tecnologie emergenti, i Garanti hanno ribadito l’esigenza che la progettazione di tali tecnologie, ancor prima dell’uso, sia tale da porle davvero al servizio dell’uomo. Nel corso del dibattito è stata poi sottolineata la necessità di adottare politiche sull’innovazione che comprendano anche un’adeguata educazione digitale, fondamentale per la formazione soprattutto dei minori.	多くのトピックが取り上げられ、そのすべてが極めて関連性が高く、時事的なものであり、重要な声明が承認された。継続的な対話の呼びかけとともに、当局は、人工知能の開発と利用において、子どものための適切な保護策を採用することの重要性を合意した。人工知能は、子どもの自由で調和のとれた成長を確保するように設計されなければならない技術である。この問題は、新興技術に関する考察の一部としても取り上げられ、保護機関は、そうした技術の利用に先立って、そうした技術が真に人間の役に立つように設計する必要性を改めて強調した。特に未成年者の教育に不可欠な適切なデジタル教育も含むイノベーションに関する政策を採用する必要性も、討論の中で強調された。
Il ruolo delle Autorità nella regolamentazione dell’IA è stato ritenuto determinate proprio al fine di garantirne l’affidabilità. È stato, infatti, sottolineato come esse dispongano di competenze, oltre che dell’indipendenza necessarie ad assicurare garanzie indispensabili per governare un fenomeno così complesso. Si è, pertanto, concordato sull’opportunità di esprimere ai Governi l’auspicio del riconoscimento di un ruolo adeguato alle Autorità di protezione dei dati nel sistema complessivo di governance dell’IA.	AIを規制する当局の役割は、まさにその信頼性を確保するために決定されるべきであると考えられた。実際、このような複雑な現象を統治するために不可欠な保証を確保するために必要な専門知識と独立性を有していることが強調された。したがって、AIガバナンスの全体的なシステムにおいて、データ保護当局に適切な役割を認めることを政府に求めることが望ましいという意見で一致した。
I Garanti, inoltre, hanno deciso di svolgere un monitoraggio sugli sviluppi legislativi dell’IA e il ruolo delle Autorità privacy all’interno delle giurisdizioni coinvolte.	さらに、保護機関は、AIに関する法整備の進展と、関連する管轄区域におけるプライバシー当局の役割について監視を行うことで合意した。
Questo, come altri obiettivi, sono contenuti nell’Action Plan, il documento che guarda al futuro del G7 stabilendone i propositi e le aree tematiche che saranno oggetto dei lavori del prossimo anno. Molto utile si è rivelato anche il confronto tra gli ordinamenti dei diversi Paesi sul tema della libera circolazione dei dati, che rappresenta un importante elemento di sviluppo e progresso anche economico e sociale.	これらは、G7の今後の方向性を示す文書である行動計画に盛り込まれている。行動計画には、G7の意図や、今後1年間の作業の重点分野が定められている。また、経済や社会を含む開発と進歩の重要な要素であるデータの自由な流通に関する各国の制度の比較も非常に有益であった。
A conclusione dell’evento i Garanti si sono dati appuntamento al G7 Privacy 2025 che sarà ospitato dall’Autorità canadese.	イベントの最後に、保護機関はカナダ当局が主催するG7プライバシー2025で会うことに合意した。

・2024.10.09 Intelligenza artificiale: al via i lavori del G7 privacy

Intelligenza artificiale: al via i lavori del G7 privacy	人工知能：G7プライバシー作業が開始される
Con l’intervento del Presidente del Garante per la protezione dei dati, Pasquale Stanzione, si sono aperti oggi a Roma i lavori del G7 Privacy.  Il tema dell’incontro “La privacy nell’era dei dati” vedrà impegnati il Collegio del Garante italiano e le Autorità competenti di Canada, Francia, Germania, Giappone, Regno Unito e Stati Uniti d’America, insieme al Comitato europeo della protezione dei dati (EDPB) e al Garante europeo della protezione dei dati (EDPS).	G7プライバシーの会合はイタリアのプライバシー保護機関のパスクアーレ・スタンツィオーネ長官のスピーチにより、本日ローマで開幕した。 会議のテーマである「データ時代のプライバシー」には、イタリアのプライバシー保護機関、カナダ、フランス、ドイツ、日本、英国、米国の管轄当局、欧州データ保護委員会（EDPB）、欧州データ保護保護機関（EDPS）が参加する。
“La protezione dei dati - ha affermato Pasquale Stanzione - è sempre più anche pre-condizione di ogni altro diritto o libertà, perché in una realtà sempre più “datificata”, in cui siamo ciò che “internet dice che siamo”, la tutela dei dati è il fondamento dell’autodeterminazione, del libero sviluppo della propria personalità. Ma è anche presupposto di eguaglianza, perché incompatibile con ogni forma di discriminazione e reale garanzia di pari chances per ciascuno”.	パスクアーレ・スタンツィオーネ氏は次のように述べた。「データ保護は、ますます他のあらゆる権利や自由の前提条件となっている。なぜなら、ますます 「データドリブン 」になっていく現実の中で、私たちは 「インターネットが言うところの私たち 」であり、データ保護は自己決定、人格の自由な発展の基盤だからだ。しかし、データ保護は平等の前提でもある。なぜなら、データ保護はいかなる形態の差別とも相容れないものであり、すべての人に平等な機会を真に保証するものだからである。」
“E questo ancor più nell’era dell’i.a. e del dominio degli algoritmi – ha sottolineato Stanzione - che se da un lato offrono straordinarie possibilità di sviluppo e progresso anzitutto sociale, dall’altro esigono tuttavia una regolamentazione adeguata, per impedire che lo Stato di diritto sia sostituito dall’algocrazia”.	「このことは、情報技術とアルゴリズムが支配する時代においてはなおさらである」とスタンジオーネ氏は強調し、「このことは、何よりもまず社会的な発展と進歩のための特別な機会を提供する一方で、法の支配がアルゴクラシーに取って代わられるのを防ぐために、適切な規制を必要とする」と述べた。
“La protezione dei dati – ha continuato - è tra i diritti fondamentali, quello che maggiormente necessita di una vocazione internazionalista. La logica delle “piccole patrie” non si attaglia certo a un diritto che si esercita, più di altri, in una realtà aterritoriale come internet e che, come tale, esige regole e garanzie il più possibile omogenee tra i vari Paesi. Per questo bisogna promuovere il confronto tra ordinamenti e coltivare l’aspirazione, quantomai attuale, al riconoscimento universale della protezione dei dati come diritto umano fondamentale”.	「データ保護は基本的権利のひとつであり、国際主義的使命が最も必要とされるものである。データ保護は基本的権利のひとつであり、国際主義的な要請を最も必要とするものである。インターネットのような領土を超えた現実の中で行使される権利には、「小さな祖国」の論理は適していない。だからこそ、法制度間の比較を促進し、データ保護を基本的人権として普遍的に認めるという、まさに現在の願望を育むことが必要なのである」。
“Per questo siamo oggi qui - ha concluso Stanzione - per riflettere, confrontando le esperienze di ciascun Paese, sulle sfide che il diritto alla protezione dei dati incontra nella complessità del presente e nelle prospettive future”.	「だからこそ、私たちは今日ここに集まり、各国の経験を比較しながら、複雑な現在と将来の展望の中でデータ保護の権利が直面する課題について考えるのです」とスタンツィオーネ長官は締めくくった。

・2024.10.07 IA: il G7 dei Garanti privacy a Roma dal 9 all’11 ottobre

IA: il G7 dei Garanti privacy a Roma dal 9 all’11 ottobre	IA：10月9日から11日までローマでプライバシー保証に関するG7が開催される。
Si parlerà di intelligenza artificiale e tecnologie emergenti, libera circolazione dei dati, cooperazione internazionale al vertice delle Autorità di protezione dati dei 7 Grandi, organizzato dal Garante italiano a Roma dal 9 all’11 ottobre.	10月9日から11日までローマで開催されるイタリアプライバシー保護機関主催のビッグ7データ保護当局サミットでは、人工知能と新技術、データの自由な移動、国際協力について議論される。
I lavori dell’evento, dal titolo “La privacy nell’era dei dati”, si svolgeranno a porte chiuse dal pomeriggio del 9 ottobre presso la Galleria Borghese e proseguiranno nelle giornate del 10 e dell’11 a Palazzo Poli.	データ時代のプライバシー」と題されたこのイベントは、10月9日午後からガレリア・ボルゲーゼで非公開で開催され、10月10日と11日もパラッツォ・ポリで開催される。
Gli incontri, suddivisi in più sessioni, partiranno dalla “Dichiarazione sull’IA Generativa” adottata al G7 Privacy di Tokyo nel 2023 e vedranno riuniti: il Collegio del Garante italiano (Pasquale Stanzione, Ginevra Cerrina Feroni, Agostino Ghiglia, Guido Scorza) e le Autorità competenti di Canada, Francia, Germania, Giappone, Regno Unito e Stati Uniti d’America, insieme al Comitato europeo della protezione dei dati (EDPB) e al Garante europeo della protezione dei dati (EDPS).	いくつかのセッションに分かれた会議は、2023年に東京で開催されたG7プライバシーサミットで採択された「ジェネレーティブAIに関する宣言」から始まり、イタリアのギャランテ・カレッジ（Pasquale Stanzione、Ginevra Cerrina Feroni、Agostino Ghiglia、Guido Scorza）、カナダ、フランス、ドイツ、日本、英国、米国の管轄当局、欧州データ保護委員会（EDPB）、欧州データ保護保護機関（EDPS）が一堂に会する。
L’obiettivo è quello di definire una proposta comune per garantire una sicura e responsabile circolazione dei dati personali; per armonizzare le tecnologie emergenti e l’intelligenza artificiale con i diritti e le libertà delle persone; per promuovere una più stretta ed efficace azione di controllo sull’applicazione della normativa in materia di protezione dati.	その目的は、個人データの安全で責任ある流通を確保するための共通の提案を定義すること、新興のテクノロジーと人工知能を人々の権利と自由に調和させること、そしてデータ保護法のより緊密で効果的な執行を促進することである。
Nel corso del vertice il Garante italiano illustrerà la propria proposta su “Il ruolo delle Autorità di protezione dei dati nel quadro della governance dell’intelligenza artificiale”.	サミット期間中、イタリアのGaranteは「人工知能ガバナンスの枠組みにおけるデータ保護当局の役割」に関する提案を発表する。
A conclusione dell’evento, l’11 ottobre alle ore 13.00, si terrà una conferenza stampa nel corso della quale verranno presentati gli esiti dei lavori.	イベント終了後の10月11日午後1時からは、記者会見が開かれ、その中で作業の成果が発表される。

プレゼンテーション

- GUARDA IL VIDEO DI PRESENTAZIONE (su YouTube)

開幕

- GUARDA IL VIDEO DELLA CERIMONIA DI ACCOGLIENZA (su YouTube)

英国 ICO これからの技術：量子技術

こんにちは、丸山満彦です。

英国の情報保護委員会 (Information Commissioner Office; ICO) が量子技術時代に備えるためにICOが今後取り組むことが記載されていますね...

例えば次の３つ...

・continue to work with the National Cyber Security Centre to raise awareness of cyber security risks arising from quantum computing, updating our guidance on encryption in line with the transition to post-quantum cryptography;	・国家サイバーセキュリティセンターと協力して、量子コンピューティングから生じるサイバーセキュリティリスクに対する認識を高め、耐量子暗号への移行に合わせて暗号化に関するガイダンスを更新する；
・continue to engage with, learn from and share our perspective with industry, the National Quantum Computing Centre, the UK’s Quantum Hubs, the Office for Quantum and other regulators on developments in wider quantum technologies; and	・産業界、国立量子コンピューティングセンター、英国の量子ハブ、量子事務局、その他の規制当局と、より広範な量子技術の発展について関わり、そこから学び、展望を共有し続ける。
・consider sandbox applications for any quantum technology use cases likely to come to market in the next three years that may involve processing personal information.	・個人情報の取り扱いに関わる可能性のある、今後3年間に市場に出回る可能性のある量子技術のユースケースについて、サンドボックスの適用を検討する。

日本の個人情報保護委員会では、量子技術に備えるというようなことは、話題にあがっていないかもしれませんね...まぁ、他に検討すべきことが多くありそうですしね...

本日の13:00-15:00に第４回 個人情報保護法のいわゆる３年ごと見直しに関する検討会が開催されますね...

● Information Commissioner Office; ICO

・2024.10.09 Preparing for the quantum-enabled future

Preparing for the quantum-enabled future	量子が可能にする未来に備える
Quantum technologies are advancing at pace, offering huge potential to improve our lives. For example, researchers are already using the next generation of certain quantum sensors to collect highly granular information about people’s brain patterns to improve medical research and diagnostics, while there are ongoing efforts to test real world applications for early stage quantum computers.	量子技術は急速に進歩しており、我々の生活を改善する大きな可能性を秘めている。例えば、研究者たちはすでに次世代の量子センサーを使って、医学研究や診断の改善のために人々の脳のパターンに関する非常にきめ細かい情報を収集しようとしている。
As the UK’s data protection regulator, we are committed to supporting quantum technology innovation in a way that protects people’s personal information and fundamental rights. Through our emerging tech work, our priority has been to build our understanding of this new frontier and explore how these technologies may impact people’s privacy.	英国のデータ保護規制当局として、我々は、人々の個人情報と基本的権利を保護する方法で量子技術革新を支援することを約束する。私たちは、新たな技術への取り組みを通じて、この新たなフロンティアに対する理解を深め、これらの技術が人々のプライバシーにどのような影響を与える可能性があるのかを探ることを優先してきた。
Our new report explores emerging possibilities for quantum technology involving personal data and looks at everything from quantum computing and communications to quantum sensing, timing and imaging. By identifying the privacy and data protection implications of emerging technologies now, we are better placed to enable innovators to consider data protection in development.	我々の新しい報告書では、個人データに関わる量子技術の新たな可能性を探り、量子コンピューティングやコミュニケーションから量子センシング、量子タイミング、量子イメージングに至るまで、あらゆる量子技術について考察している。新たな技術のプライバシー・データ保護への影響を今明らかにすることで、イノベーターが開発においてデータ保護を考慮できるようにする。
It’s not just the ICO that needs to prepare for quantum: organisations processing personal data need to do so too. In particular, quantum computers could one day break widely used cryptographic algorithms that help protect everything from personal data to national security information. While quantum computers powerful enough to do this may be many years, or even decades away, the process of preparing for such a shift has already begun.	量子に備える必要があるのはICOだけではない。パーソナルデータの処理を行う組織も同様である。特に、量子コンピュータは、個人データから国家セキュリティ情報まで、あらゆるものの保護に役立っている、広く使われている暗号アルゴリズムを破る日が来るかもしれない。このようなことができるほど強力な量子コンピュータが登場するのは何年も、あるいは何十年も先のことかもしれないが、そのようなシフトに備えるプロセスはすでに始まっている。
The main proposed approach to addressing the risk is post-quantum cryptography (PQC), which is endorsed by the National Cyber Security Centre. The US National Institute of Standards and Technology (NIST) released the first three PQC standards in August this year. Transitioning to these new types of cryptography may take time and implementation is likely to be an ongoing process.	このリスクに対処するために提案されている主なアプローチは、耐量子暗号（PQC）であり、国家サイバーセキュリティセンターによって承認されている。米国国立標準技術研究所（NIST）は今年8月、最初の3つのPQC標準を発表した。これらの新しいタイプの暗号への移行には時間がかかる可能性があり、実装は継続的なプロセスとなる可能性が高い。
Large organisations, such as digital service providers and financial institutions, should start to prepare for the transition now, for example by identifying and reviewing at-risk information, systems and cryptography. All organisations must still ensure that their systems are secure against existing risks to personal information like phishing attacks, ransomware, and data breaches. Keeping cybersecurity policies up-to-date, practicing good “cyber hygiene” and ensuring software is updated will provide a strong foundation for the future.	デジタルサービスプロバイダーや金融機関などの大規模組織は、リスクのある情報、システム、暗号を特定し、見直すなどして、今すぐ移行準備を始めるべきである。すべての組織は、フィッシング攻撃、ランサムウェア、個人データ漏えいなど、個人情報に対する既存のリスクに対するシステムの安全性を確保しなければならない。サイバーセキュリティ・ポリシーを最新の状態に保ち、優れた「サイバー衛生」を実践し、ソフトウェアを確実にアップデートすることが、将来への強固な基盤となる。
At the ICO, we are eager to learn alongside organisations and developers as these technologies evolve. We are already working with the National Cyber Security Centre, the National Quantum Computing Centre and the Office for Quantum as well as our partners in the Digital Regulation Cooperation Forum. We also encourage organisations handling sensitive or personal information to engage with us early.	ICOでは、これらの技術が進化していく中で、組織や開発者と共に学んでいきたいと考えている。我々はすでに、国家サイバーセキュリティセンター、国家量子コンピューティングセンター、Office for Quantumや、デジタル規制協力フォーラムのパートナーと協力している。また、機密情報や個人情報を扱う組織には、早期に私たちと協力することを奨励している。
Whether organisations are developing quantum technology applications involving personal information or preparing for the transition to quantum-secure systems, the ICO is here to help. Should you be exploring a use case likely to involve personal information and to come to market in the next three years, you can apply to be part of our Regulatory Sandbox programme. You can also connect with our Emerging Technology team at [mail] to discuss our work in this area further.	組織が個人情報に関わる量子技術アプリケーションを開発中であれ、量子安全システムへの移行準備中であれ、ICOは支援する。個人情報に関わるユースケースを検討中で、今後3年以内に市場に出る可能性がある場合は、当社のRegulatory Sandboxプログラムに申請することができる。また、 新興技術チーム[mail] と連絡を取り、この分野での取り組みについてさらに話し合うこともできる。

・2024.10.09 ICO tech futures: quantum technologies

・[PDF] 

目次...

Executive summary	エグゼクティブサマリー
Introduction	序文
Technologies	技術
Future of information security and the transition to quantum secure systems	情報セキュリティの将来と量子セキュアシステムへの移行
Wider information rights issues	より広範な情報権利の問題
Future connections with other ICO priority technologies	他のICO優先技術との将来的なつながり
Next steps	次のステップ
Annex: Glossary	附属書：用語集
Annex: Acknowledgements	附属書：謝辞

エグゼクティブサマリー...

ICO tech futures: quantum technologies	ICOこれからの技術：量子技術
Quantum technologies harness the principles of quantum mechanics to offer revolutionary advances in computing, communications, sensing, timing and imaging. They encompass a broad range of enabling technologies, with potential applications across diverse fields from medicine to finance, defence, law enforcement, materials science and public infrastructure.	量子技術は、量子力学の原理を利用し、コンピューティング、コミュニケーション、センシング、タイミング、イメージングに革命的な進歩をもたらす。量子技術は、医療から金融、防衛、適用法、材料科学、公共インフラまで、様々な分野への応用が期待されている。
As the UK’s data protection regulator, we want to ensure that people’s personal information 1, privacy and information rights are protected in a quantum-enabled future. We also want to encourage the UK’s quantum industry to innovate responsibly, and consider any privacy implications at an early stage. This report examines what a quantum-enabled future could look like, through a data protection and information rights lens.	英国のデータ保護規制当局として、我々は、量子化が可能になる未来において、人々の個人情報1、プライバシー、情報の権利が確実に保護されるようにしたいと考えている。また、英国の量子産業が責任を持って技術革新を行い、プライバシーの影響を早い段階で考慮することを奨励したい。本報告書では、データ保護と情報権利のレンズを通して、量子が可能になる未来がどのようなものかを検証する。
This report spans the range of quantum technologies, from quantum sensing, timing and imaging to quantum computing and quantum communications. It considers use cases in domains such as medicine, finance, communications and law enforcement and explores when they may develop. While many applications that are relevant to us will not emerge until the medium to long term, some impacts are being felt now.	本報告書は、量子センシング、量子タイミング、量子イメージングから量子コンピューティング、量子コミュニケーションに至るまで、量子技術の範囲を網羅している。医療、金融、コミュニケーション、法執行などの領域におけるユースケースを考察し、それらがどのような形で発展していく可能性があるのかを探っている。私たちに関連するアプリケーションの多くは、中長期的にならないと出てこないだろうが、いくつかのインパクトは現在感じられつつある。
In particular, we are seeing the first steps towards the future “state of the art” in cyber security in response to the expected impact of quantum computing on cryptography. Larger organisations, such as digital service providers or financial service providers, should start to prepare for the transition to post-quantum cryptography 2. This could include identifying and reviewing their at-risk information and systems, while also maintaining good resilience against existing cyber risks. People and smaller organisations using standard operating systems should keep up-to-date with regular software updates. This will help to protect their devices and systems against current and future cyber risks.	特に、量子コンピューティングが暗号技術に与えると予想される影響を受けて、サイバーセキュリティにおける将来の「最先端技術」に向けた第一歩を踏み出しつつある。デジタルサービスプロバイダーや金融サービスプロバイダーなどの大規模組織は、耐量子暗号への移行に向けた準備を始めるべきである。これには、既存のサイバーリスクに対するレジリエンスを維持しつつ、リスクのある情報やシステムを特定し、見直すことが含まれる。標準オペレーティングシステムを使用している人々や小規模な組織は、定期的なソフトウェアアップデートで最新の状態を保つべきである。これにより、現在および将来のサイバーリスクからデバイスやシステムを保護することができる。
Beyond information security issues, the advanced capabilities and convergence of quantum and classical technologies may exacerbate some existing privacy risks in future. As well as enable new opportunities to protect personal information. Material risks to people’s privacy are more likely to arise if applications of these technologies are misused or not deployed lawfully, fairly and transparently, or without regard to people’s rights and freedoms.	情報セキュリティの問題にとどまらず、量子技術と従来の技術の高度な能力と融合は、将来、既存のプライバシーリスクを悪化させる可能性がある。また、個人情報を保護するための新たな機会を提供する可能性もある。人々のプライバシーに対する重大なリスクは、これらの技術の適用法が悪用されたり、合法的、公正かつ透明性をもって展開されなかったり、あるいは人々の権利や自由を無視して展開されたりした場合に発生する可能性が高い。
At this early stage, industry and the ICO have a promising window of opportunity to engage and learn from each other. To help work towards a quantum-enabled future, we will:	この初期段階において、産業界とICOは、互いに関わり合い、学び合う有望な機会を得ている。量子化可能な未来に向けた取り組みを支援するため、我々は以下を行う：
・continue to work with the National Cyber Security Centre to raise awareness of cyber security risks arising from quantum computing, updating our guidance on encryption in line with the transition to post-quantum cryptography;	・国家サイバーセキュリティセンターと協力して、量子コンピューティングから生じるサイバーセキュリティリスクに対する認識を高め、耐量子暗号への移行に合わせて暗号化に関するガイダンスを更新する；
・continue to engage with, learn from and share our perspective with industry, the National Quantum Computing Centre, the UK’s Quantum Hubs, the Office for Quantum and other regulators on developments in wider quantum technologies; and	・産業界、国立量子コンピューティングセンター、英国の量子ハブ、量子事務局、その他の規制当局と、より広範な量子技術の発展について関わり、そこから学び、展望を共有し続ける。
・consider sandbox applications for any quantum technology use cases likely to come to market in the next three years that may involve processing personal information.	・個人情報の取り扱いに関わる可能性のある、今後3年間に市場に出回る可能性のある量子技術のユースケースについて、サンドボックスの適用を検討する。
This report represents our early-stage thinking on the intersection of quantum technologies and data protection. We do not intend it as guidance. Should you wish to continue the conversation, please contact us at: [mail].	本レポートは、量子技術とデータ保護の交差点に関する我々の初期段階の考え方を示したものである。ガイダンスとして作成したものではない。引き続き話を聞きたい場合は、[mail] までご連絡いただきたい。
1 any information relating to an identifiable living individual.	1 生存する個人に関する識別可能な情報。
2 Post-quantum cryptography: what comes next? - NCSC.GOV.UK; Next steps in preparing for post-quantum cryptography - NCSC.GOV.UK. The NCSC defines a large organisation as one with more than 250 employees.	2 耐量子暗号：次に来るものは何か？- 耐量子暗号に備えるための次のステップ - NCSC.GOV.UK. NCSCは、従業員が250人を超える組織を大規模組織と定義している。

米国 商務省 人工知能安全研究所 ケムバイオAIモデルの責任ある開発と使用に関する情報提供要請 (2024.10.04)

こんにちは、丸山満彦です。

商務省NISTの人工知能安全研究所(AISI) が、化学・生物（ケムバイオ）AIモデルの責任ある開発と使用について情報提供要請を出していますね...

こういう検討を国民（企業）を巻き込んですぐにできるところもすごいですね...

● NIST

・2024.10.04 U.S. AI Safety Institute Issues Request for Information Related to Responsible Development and Use of Chem-Bio AI Models

U.S. AI Safety Institute Issues Request for Information Related to Responsible Development and Use of Chem-Bio AI Model	米国人工知能安全研究所がケムバイオAIモデルの責任ある開発と使用に関する情報提供要請を発表
The U.S. Artificial Intelligence Safety Institute (U.S. AISI), housed within the U.S. Department of Commerce’s National Institute of Standards and Technology (NIST), released a Request for Information seeking insight from stakeholders regarding the responsible development and use of chemical and biological (chem-bio) AI models.	米国商務省国立標準技術研究所（NIST）内の米国人工知能安全研究所（U.S. Artificial Intelligence Safety Institute: U.S. AISI）は、化学・生物（ケムバイオ）AIモデルの責任ある開発と使用に関する関係者の見識を求める情報提供要請書を発表した。
Input from a broad range of experts in this field will help the U.S. AISI to develop well-informed approaches to assess and mitigate the potential risks of chem-bio AI models, while enabling safe and responsible innovation.	この分野の広範な専門家からのアセスメントは、米国AISIがケムバイオAIモデルの潜在的リスクを評価・軽減し、安全で責任あるイノベーションを可能にするための十分な情報に基づいたアプローチを開発するのに役立つ。

● Federal Register

・2024.10.04 Safety Considerations for Chemical and/or Biological AI Models

Safety Considerations for Chemical and/or Biological AI Models	化学的および/または生物学的AIモデルの安全性に関する考察
Published Document: 2024-22974 (89 FR 80886)	公開文書：2024-22974 (89 FR 80886)
...	...
AGENCY:	行政機関:
U.S. Artificial Intelligence Safety Institute (AISI), National Institute of Standards and Technology (NIST), U.S. Department of Commerce.	米国商務省、国立標準技術研究所（NIST）、米国人工知能安全研究所（AISI）。
ACTION:	アクション：
Notice; Request for Information (RFI).	通知；情報提供要請（RFI）。
SUMMARY:	要約:
The U.S. Artificial Intelligence Safety Institute (AISI), housed within the National Institute of Standards and Technology (NIST) at the Department of Commerce, is seeking information and insights from stakeholders on current and future practices and methodologies for the responsible development and use of chemical and biological (chem-bio) AI models. Chem-bio AI models are AI models that can aid in the analysis, prediction, or generation of novel chemical or biological sequences, structures, or functions. We encourage respondents to provide concrete examples, best practices, case studies, and actionable recommendations where possible. Responses may inform AISI's overall approach to biosecurity evaluations and mitigations.	米国商務省国立標準技術研究所（NIST）内の米国人工知能安全研究所（AISI）は、化学・生物（ケムバイオ） AI モデルの責任ある開発と使用のための現在および将来の慣行と方法論について、関係者からの情報と洞察を求めている。ケムバイオAIモデルとは、新規の化学的・生物学的配列、構造、機能の分析、予測、生成的AIモデルである。回答者には、可能な限り具体例、ベストプラクティス、ケーススタディ、実行可能な推奨事項を提供することを推奨する。回答は、バイオセキュリティの評価と低減に対する AISI の全体的なアプローチに反映される可能性がある。
SUPPLEMENTARY INFORMATION:	補足情報：
The rapid advancement of the use of AI in the chemical and biological sciences has led to the development of increasingly powerful chemical and biological (chem-bio) AI models. By reducing the time and resources required for experimental testing and validation, chem-bio AI models can accelerate progress in areas such as drug discovery, medical countermeasure development, and precision medicine. However, as with other AI models, there is a need to understand and mitigate potential risks associated with misuse of chem-bio AI models. Examples of chem-bio AI models include but are not limited to foundation models trained using chemical and/or biological data, protein design tools, small biomolecule design tools, viral vector design tools, genome assembly tools, experimental simulation tools, and autonomous experimental platforms. The dual use nature of these tools presents unique challenges—while they can significantly advance beneficial research and development, they could also potentially be misused to cause harm, such as through the design of more virulent or toxic pathogens and toxins or biological agents that can evade existing biosecurity measures. The concept of dual use biological research is defined in the 2024 United States Government Policy for Oversight of Dual Use Research of Concern and Pathogens with Enhanced Pandemic Potential (USG DURC/PEPP Policy, [PDF]).	化学・生物科学における AI 利用の急速な進歩により、ますます強力な化学・生物（ケムバイオ） AI モデルの開発が進んでいる。実験的試験と妥当性確認に必要な時間と資源を削減することで、ケムバイオAIモデルは、創薬、医療対策開発、精密医療などの分野での進歩を加速することができる。しかし、他のAIモデルと同様に、ケムバイオAIモデルの誤用に伴う潜在的リスクを理解し、軽減する必要がある。ケムバイオAIモデルの例としては、化学的・生物学的データを用いて学習させた基礎モデル、タンパク質設計ツール、低分子生体分子設計ツール、ウイルスベクター設計ツール、ゲノムアセンブリーツール、実験シミュレーションツール、自律型実験プラットフォームなどが挙げられるが、これらに限定されるものではない。これらのツールの二重利用という性質は、有益な研究開発を大きく前進させることができる一方で、より強毒性や毒性の強い病原体や毒素、あるいは既存のバイオセキュリティ対策を回避できる生物製剤の設計など、危害をもたらすために悪用される可能性もあるという、ユニークな課題を提起している。生物学的デュアルユース研究の概念は、「懸念されるデュアルユース研究およびパンデミックの可能性が高まった病原体の監視に関する米国政府方針（2024年）」（USG DURC/PEPP Policy, [PDF]）で定義されている。
As chem-bio AI models become more capable and accessible, it is important to proactively address safety and security considerations. The scientific community has taken steps to address these issues, as demonstrated by a recent community statement outlining values and guiding principles for the responsible development of AI technologies for protein design. This statement articulated several voluntary commitments in support of such values and principles that were adopted by agreement by more than one hundred individual signatories [web]	ケムバイオAIモデルがより高性能になり、利用しやすくなるにつれて、安全性とセキュリティへの配慮に積極的に取り組むことが重要になる。科学界は、タンパク質設計のためのAI技術を責任を持って開発するための価値観と指導原則を概説した最近のコミュニティ声明で示されたように、これらの問題に対処するためのステップを踏んできた。この声明は、このような価値観と原則を支持するいくつかの自発的なコミットメントを明確にしたもので、100人以上の署名者の合意によって採択された[web]。
The following questions are not intended to limit the topics that may be addressed. Responses may include any topic believed to have implications for the responsible development and use of chem-bio AI models. Respondents need not address all statements in this RFI. All relevant responses that comply with the requirements listed in the DATES and ADDRESSES sections of this RFI and set forth below will be considered.	以下の質問は、取り上げるトピックを限定することを意図したものではない。回答には、ケムバイオAIモデルの責任ある開発および使用に影響すると思われるあらゆるトピックを含めることができる。対応者は本RFIのすべての記述に対応する必要はない。本RFIの「日付」と「住所」のセクションに記載され、以下に示す要件に準拠する関連する回答はすべて考慮される。
For your organization, or those you assist, represent, or are familiar with, please provide information on the topics below as specifically as possible. NIST has provided this non-exhaustive list of topics and accompanying questions to guide commenters, and the submission of any relevant information germane to the responsible development and use of chem-bio AI models, but that is not included in the list of topics below, is also encouraged.	貴組織、または貴組織が支援、代表者、もしくは貴組織と親交のある者については、以下のトピックについて可能な限り具体的に情報を提供していただきたい。NISTは、コメント提出者の指針となるよう、この非網羅的なトピックとそれに付随する質問のリストをプロバイダとして提供しており、以下のトピックリストに含まれていないものであっても、ケムバイオAIモデルの責任ある開発と使用に有益な関連情報の提出も奨励する。
1. Current and/or Possible Future Approaches for Assessing Dual-Use Capabilities and Risks of Chem-Bio AI Models	1. ケムバイオAIモデルのデュアルユース能力とリスクをアセスメントするための現在及び／又は将来 の可能性のあるアプローチ
a. What current and possible future evaluation methodologies, evaluation tools, and benchmarks exist for assessing the dual-use capabilities and risks of chem-bio AI models?	a. ケムバイオAIモデルのデュアルユース能力とリスクをアセスメントするために、現在及び将来 の可能性のある評価方法論、評価ツール、ベンチマークにはどのようなものがあるか？
b. How might existing AI safety evaluation methodologies ( e.g., benchmarking, automated evaluations, and red teaming) be applied to chem-bio AI models? How can these approaches be adapted to potentially specialized architectures of chem-bio AI models? What are the strengths and limitations of these approaches in this specific area?	b. 既存のAI安全性評価方法論（ベンチマーク、自動評価、レッドチームなど）をケムバイオAIモデル にどのように適用できるか？これらのアプローチは、ケムバイオAIモデルの潜在的に特殊なアーキテクチャにどのように適合させることができるか？
c. What new or emerging evaluation methodologies could be developed for evaluating chem-bio AI models that are intended for legitimate purposes but may output potentially harmful designs?	c. 合法的な目的であるが、潜在的に有害な設計を出力する可能性のあるケムバイオAIモデルを評価するために、どのような新しい評価方法論や新たな評価方法論が開発されうるか？
d. To what extent is it possible to have generalizable evaluation methodologies that apply across different types of chem-bio AI models? To what extent do evaluations have to be tailored to specific types of chem-bio AI models?	d. さまざまな種類のケムバイオAIモデルに適用できる一般化可能な評価方法論はどの程度可能か？評価はどの程度まで特定のタイプのケムバイオAIモデルに合わせる必要があるのか？
e. What are the most significant challenges in developing better evaluations for chem-bio AI models? How might these challenges be addressed?	e. ケムバイオAIモデルのより良い評価を開発する上で、最も重要な課題は何か？これらの課題にどのように対処できるだろうか？
f. How would you include stakeholders or experts in the risk assessment process? What feedback mechanisms would you employ for stakeholders to contribute to the assessment and ensure transparency in the assessment process?	f. リスクアセスメントプロセスに利害関係者や専門家をどのように参加させるか？利害関係者がアセスメントに貢献し、アセスメントプロセスの透明性を確保するために、どのようなフィードバックの仕組みを採用するか？
2. Current and/or Possible Future Approaches To Mitigate Risk of Misuse of Chem-Bio AI Models	2. ケムバイオAIモデルの誤用リスクを低減するための現在及び／又は将来の可能なアプローチ
a. What are current and possible future approaches to mitigating the risk of misuse of chem-bio AI models? How do these strategies address both intentional and unintentional misuse?	a. ケムバイオAIモデルの誤用リスクを低減するために、現在、そして将来可能性のあるアプローチは何か？これらの戦略は、意図的・非意図的な誤用の両方にどのように対処するのか？
b. What mitigations related to the risk of misuse of chem-bio AI models are currently used or could be applied throughout the AI lifecycle ( e.g., managing training data, securing model weights, setting distribution channels such as APIs, applying context window and output filters, etc.)?	b. ケムバイオAIモデルの誤用リスクに関して、現在どのような低減策が用いられているか、あるいはAIのライフサイクル全体を通じて適用されうるか？（例えば、学習データのマネジメント、モデルの重みの確保、APIなどの配布経路の設定、コンテキストウィンドウや出力フィルターの適用など）
c. How might safety mitigation approaches for other categories of AI models, or for other capabilities and risks, be applied to chem-bio AI models? What are the strengths and limitations of these approaches?	c. 他のカテゴリーのAIモデル、あるいは他の能力やリスクに対する安全性低減アプローチを、ケムバイオAIモデルにどのように適用できるか？
d. What new or emerging safety mitigations are being developed that could be used to mitigate the risk of misuse of chem-bio AI models? To what extent do mitigations have to be tailored to specific types of chem-bio AI models?	d. ケムバイオAIモデルの誤用リスクを軽減するために、どのような新しい安全低減策が開発されているか？低減策はどの程度まで特定のタイプのケムバイオAIモデルに合わせる必要があるのか？
e. How might the research community approach the development and use of public and/or proprietary chem-bio datasets that could enhance the potential harms of chem-bio AI models through fine tuning or other post-deployment adaptations? What types of datasets might pose the greatest dual use risks? What mechanisms exist to ensure the safe and responsible use of these kinds of datasets?	e. ケムバイオAIモデルの潜在的危害を微調整やその他の展開後の適応によって強化する可能性のある公開データセットや専有データセットの開発・利用について、研究コミュニティはどのように取り組むべきか。どのような種類のデータセットが最も大きな二重使用のリスクをもたらす可能性があるか？このようなデータセットを安全かつ責任を持って利用するために、どのようなメカニズムがあるのか？
3. Safety and Security Considerations When Chem-Bio AI Models Interact With One Another or Other AI Models	3. ケムバイオAIモデルが互いに、あるいは他のAIモデルと相互作用する際の安全性とセキュリティに関する考察
a. What areas of research are needed to better understand the risks associated with the interaction of multiple chem-bio AI models or a chem-bio AI model and other AI model into an end-to-end workflow or automated laboratory environments for synthesizing chem-bio materials independent of human intervention? ( e.g., research involving a large language model's use of a specialized chem-bio AI model or tool, research into the use of multiple chem-bio AI models or tools acting in concert, etc.)?	a. 複数のケムバイオAIモデル、あるいはケムバイオAIモデルと他のAIモデルが、人の介在なしにケムバイオ材料を合成するためのエンドツーエンドのワークフローや自動化された実験室環境の中で相互作用する際のリスクをよりよく理解するためには、どのような分野の研究が必要か？(例えば、大規模な言語モデルによる専門的なケムバイオAIモデルやツールの使用を含む研究、複数のケムバイオAIモデルやツールの協調的な使用に関する研究など）
b. What benefits are associated with such interactions among AI models?	b. AIモデル間のこのような相互作用にはどのような利点があるか？
c. What strategies exist to identify, assess, and mitigate risks associated with such interactions among AI models while maintaining the beneficial uses?	c. 有益な用途を維持しながら、このようなAIモデル間の相互作用に?連するリスクを特定、アセスメント、緩和するためにどのような戦略があるか？
4. Impact of Chem-Bio AI Models on Existing Biodefense and Biosecurity Measures	4. ケムバイオAIモデルが既存のバイオディフェンス及びバイオセキュリティ対策に与える影響
a. How might chem-bio AI models strengthen and/or weaken existing biodefense and biosecurity measures, such as nucleic acid synthesis screening?	a. ケムバイオAIモデルは、核酸合成スクリーニングのような既存のバイオディフェンス及びバイオセキュリティ対策をどのように強化及び／又は弱体化する可能性があるか？
b. What work has your organization done or is your organization currently conducting in this area to strengthen these existing measures? How can chem-bio AI models be used to strengthen these measures?	b. これらの既存の対策を強化するために、貴組織はこの分野でどのような研究を行ってきたか、又は現在行っているか？これらの対策を強化するために、ケムバイオAIモデルをどのように利用できるか？
c. What future research efforts toward enhancing, strengthening, refining, and/or developing new biodefense and biosecurity measures seem most important in the context of chem-bio AI models?	c. ケムバイオAIモデルの文脈において、バイオディフェンスおよびバイオセキュリティ対策の強化、強化、改良、および／または新たなバイオセキュリティ対策の開発に向けて、今後どのような研究努力が最も重要と思われるか？
5. Future Safety and Security of Chem-Bio AI Models	5. ケムバイオAIモデルの今後の安全性とセキュリティ
a. What are the specific areas where further research to enhance the safety and security of chem-bio AI models is most urgent?	a. ケムバイオAIモデルの安全性とセキュリティを強化するためのさらなる研究が最も急がれる具体的な分野は何か？
b. How should academia, industry, civil society, and government cooperate on the topic of safety and security of chem-bio AI models?	b. ケムバイオAIモデルの安全性とセキュリティというテーマについて、学界、産業界、市民社会、政府はどのように協力すべきか？
c. What are the primary ways in which the chem-bio AI model community currently cooperates on capabilities evaluation of chem-bio AI models and/or mitigation of safety and security risks of chem-bio AI models? How can these organizational structures play a role in ongoing efforts to further the responsible development and use of chem-bio AI models?	c. ケムバイオAIモデルの能力評価、および／またはケムバイオAIモデルの安全性とセキュリティリスクの低減について、ケムバイオAIモデルコミュニティが現在協力している主な方法は何か？これらの組織構造は、ケムバイオAIモデルの責任ある開発と利用を促進するための継続的な取り組みにおいて、どのような役割を果たすことができるのか？
d. What makes it challenging to develop and deploy chem-bio AI models safely and what collaborative approaches could make it easier?	d. ケムバイオAIモデルを安全に開発・展開することが困難な理由は何か。また、どのような協力的アプローチがそれを容易にするのか？
e. What opportunities exist for national AI safety institutes to advance safety and security of chem-bio AI models?	e. ケムバイオAIモデルの安全・安心を促進するために、国のAI安全機構にはどのような機会が存在するのか？
f. What opportunities exist for national AI safety institutes to create and diffuse best practices and “norms” related to AI safety in chemical and biological research and discovery?	f. 各国のAI安全機構が、化学・生物学研究および発見におけるAIの安全性に関するベストプラクティスや「規範」を作成し、普及させる機会にはどのようなものがあるか？
Alicia Chambers,	Alicia Chambers,
NIST Executive Secretariat.	NIST Executive Secretariat.
[FR Doc. 2024-22974 Filed 10-3-24; 8:45 am]	[FR Doc. 2024-22974 Filed 10-3-24; 8:45 am]
BILLING CODE 3510-13-P	BILLING CODE 3510-13-P

英国 ICO データ保護監査フレームワーク

こんにちは、丸山満彦です。

英国の情報保護委員会 (Information Commissioner Office; ICO) がデータ保護監査フレームワークを発表しています...

監査ガイドとしては、データ保護監査、AI監査、年齢適正設計規範の３つがありますね...

興味深い、保証水準（確認水準）を４段階つけていますね。。。

Colour code	Internal audit opinion	Definitions	定義
	High assurance	There is a high level of assurance that processes and procedures are in place and are delivering data protection compliance. The audit has identified only limited scope for improvement in existing arrangements and as such it is not anticipated that significant further action is required to reduce the risk of non-compliance with data protection legislation.	プロセスと手順が整備され、データ保護コンプライアンスを実現していることは高水準で保証される。監査により、既存の取り決めの改善余地は限定的であることが確認されたため、データ保護法違反のリスクを低減するために、大幅な追加措置が必要であるとは予想されない。
	Reasonable assurance	There is a reasonable level of assurance that processes and procedures are in place and are delivering data protection compliance. The audit has identified some scope for improvement in existing arrangements to reduce the risk of non-compliance with data protection legislation.	プロセスと手順が整備され、データ保護コンプライアンスを実現していることについては、妥当なレベルの保証がある。監査は、データ保護法違反のリスクを軽減するために、既存の取り決めに改善の余地があることを確認した。
	Limited assurance	There is a limited level of assurance that processes and procedures are in place and are delivering data protection compliance. The audit has identified considerable scope for improvement in existing arrangements to reduce the risk of non-compliance with data protection legislation.	プロセスと手順が整備され、データ保護コンプライアンスを実現しているという保証は限定的なレベルである。監査は、データ保護法違反のリスクを軽減するために、既存の取り決めにかなりの改善余地があることを確認した。
	Very limited assurance	There is a very limited level of assurance that processes and procedures are in place and are delivering data protection compliance. The audit has identified a substantial risk that the objective of data protection compliance will not be achieved. Immediate action is required to improve the control environment.	プロセスと手順が整備され、データ保護コンプライアンスを実現しているという保証は非常に限定的なレベルである。監査は、データ保護コンプライアンスの目的が達成されない重大なリスクを特定した。管理環境を改善するための早急な措置が必要である。

さて、、、

● U.K. Information Commissioner Office; ICO

・2024.10.07 New data protection audit framework launched to help organisations improve compliance

プレス...

New data protection audit framework launched to help organisations improve compliance	組織のコンプライアンス改善を支援する新しいデータ保護監査フレームワークを発表
We have today launched a new audit framework designed to help organisations assess their own compliance with key requirements under data protection law.	我々は本日、データ保護法における主要な要求事項に対する組織のコンプライアンスを評価するための新しい監査フレームワークを発表した。
The framework empowers organisations to identify necessary steps to improve their data protection practices and create a culture of compliance. It provides them with a starting point to evaluate how they handle and protect personal information.	このフレームワークは、組織がデータ保護の実践を改善し、コンプライアンス文化を構築するために必要なステップを特定できるようにするものである。このフレームワークは、組織が個人情報をどのように取り扱い、保護しているかを評価するための出発点となる。
Whether for senior management, data protection officers, compliance auditors or those responsible for records management or cybersecurity, the framework offers practical tools for building and maintaining strong privacy management.	経営幹部、データ保護責任者、コンプライアンス監査人、あるいは記録管理やサイバーセキュリティの責任者のいずれにとっても、このフレームワークは強力なプライバシー管理を構築し維持するための実践的なツールを提供する。
The framework is an extension of our existing Accountability Framework, and it has nine toolkits covering the following key areas:	このフレームワークは、既存のアカウンタビリティ・フレームワークを拡張したもので、以下の主要分野をカバーする9つのツールキットがある：
・Accountability	・アカウンタビリティ
・Records management	・記録管理
・Information & cyber security	・情報およびサイバーセキュリティ
・Training and awareness	・トレーニングおよび意識向上
・Data sharing	・データ共有
・Requests for data	・データ要求
・Personal data breach management	・個人データ漏えい管理
・Artificial intelligence	・人工知能
・Age-appropriate design	・年齢に応じた設計
Each toolkit has a downloadable data protection audit tracker that will help organisations conduct their own assessment of compliance, tracking actions that must be taken in areas needing improvement.	各ツールキットにはダウンロード可能なデータ保護監査トラッカーがあり、組織が独自のコンプライアンス評価を行う際に役立ち、改善が必要な分野で取るべき行動を追跡できる。
Ian Hulme, ICO Director of Regulatory Assurance, said:	ICOのイアン・ハルム規制保証部長は、次のように述べている：
"Transparency and accountability in data protection are essential, not just for regulatory compliance but for building trust with the public. Research shows us that people increasingly value the responsible use of their personal information, and want organisations to be able to demonstrate strong data protection practices.	「データ保護における透明性と説明責任は、規制遵守のためだけでなく、国民との信頼関係を構築するためにも不可欠である。研究機関の調査によれば、人々はますます個人情報の責任ある利用を重視するようになっており、組織が強固なデータ保護の実践を実証できることを望んでいる。
“Our new audit framework will help build trust and encourage a positive data protection culture, as well as being flexible in targeting the most pressing areas of compliance. We want to empower organisations to embrace data protection as an asset, not just a legal requirement."	「我々の新しい監査フレームワークは、信頼を築き、積極的なデータ保護文化を奨励するのに役立つ。我々は、組織がデータ保護を単なる法的要件ではなく、資産として受け入れる力を与えたいと考えている。
We are committed to helping organisations of all sizes understand their data protection obligations and improve their practices. By using this framework, they can enhance their compliance efforts, improve internal processes, and reassure customers that their personal information is being handled with care.	我々は、あらゆる規模の組織がデータ保護義務を理解し、その実践を改善できるよう支援することを約束する。このフレームワークを利用することで、コンプライアンスへの取り組みを強化し、内部プロセスを改善し、個人情報が慎重に取り扱われていることを顧客に安心させることができる。
Access our Data Protection Audit Framework.	データ保護監査フレームワークにアクセス

データ保護監査フレームワーク

・Data protection audit framework

Data protection audit framework	データ保護監査フレームワーク
This framework will help you assess your own compliance with some of the key requirements under data protection law. It covers a range of areas that we look at when we assess an organisation’s data protection compliance using our audit toolkits to conduct both consensual and compulsory audits.	このフレームワークは、データ保護法に基づく主要な要求事項の一部に対する自社のコンプライアンスを評価するのに役立つ。このフレームワークは、当社の監査ツールキットを使用して組織のデータ保護コンプライアンスをアセスメントする際に、同意に基づく監査と強制監査の両方を実施するために当社が見るさまざまな分野をカバーしている。
If you follow the approach suggested in the framework, it does not guarantee that your processing meets all the legal requirements that apply to you. You need to consider the specific circumstances of your organisation and what you are doing with personal information in order to manage the risks appropriately. As a general rule, the greater the risk, the more robust and comprehensive the measures you should put in place.	このフレームワークで提案されているアプローチに従ったとしても、あなたの処理があなたに適用されるすべての法的要件を満たしていることを保証するものではない。リスクを適切に管理するためには、組織の具体的な状況や個人情報の取り扱いについて検討する必要がある。一般的なルールとして、リスクが大きければ大きいほど、より強固で包括的な対策を講じるべきである。
This framework is an extension of our existing Accountability Framework.	このフレームワークは、当社の既存のアカウンタビリティ・フレームワークを拡張したものである。
Who can use the framework?	誰がこのフレームワークを利用できるのか？
The framework is designed to assist you if you already have some familiarity with the legal framework and are responsible for making sure your organisation complies with data protection law. You could be senior management, the data protection officer, an internal compliance auditor or have records management or information security responsibilities.	このフレームワークは、すでに法的枠組みをある程度理解し、組織がデータ保護法を遵守していることを確認する責任を負っている方を支援するために設計されている。上級管理職、データ保護責任者、内部コンプライアンス監査人、あるいは記録管理や情報セキュリティの責任者などが考えられる。
The framework is suitable for large businesses and organisations in the public, private and third sectors. It is not directly applicable to:	このフレームワークは、大企業や公共・民間・第三セクターの組織に適している。
・small businesses and organisations, who should use the resources on our web hub, such as the self-assessment toolkit; or	・自己アセスメント・ツールキットなどウェブハブのリソースを利用すべき中小企業や組織、
・organisations processing personal information subject to Part 4 of the DPA 2018.	・DPA 2018のPart 4の対象となる個人情報を処理する組織には直接適用されない。
How do you use the framework?	フレームワークはどのように利用するのか？
The framework provides a useful starting point for you to assess and audit your privacy management. It is important to note it is not exhaustive and you need to comply with all aspects of data protection law that apply to you. Compliance is not about ticking boxes and you need to exercise your own judgement and use other relevant guidance and materials, including our guidance.	このフレームワークは、プライバシー管理をアセスメントし、監査するための有用な出発点を提供する。このフレームワークは網羅的なものではなく、適用されるデータ保護法のすべての側面に準拠する必要があることに留意することが重要である。コンプライアンスとは、ボックスにチェックを入れることではなく、あなた自身の判断力を発揮し、当社のガイダンスを含む他の関連ガイダンスや資料を利用する必要がある。
You may decide to use the framework in different ways, for example:	例えば、
・use it as a basis for creating a privacy management programme;	・プライバシー管理プログラムを作成するための基礎として使用する、
・audit your existing practices against the ICO’s expectations;	・ICOの期待に照らして既存の慣行を監査する、
・consider whether you could improve existing practices, perhaps in specific areas;	・おそらく特定の分野において、既存の慣行を改善できるかどうかを検討する、
・record, track and report on progress; or	・進捗状況を記録、追跡、報告する、
・increase senior management engagement and privacy awareness across your organisation.	・組織全体の上級管理職の関与とプライバシー意識を高める、など。
The framework focusses on nine distinct toolkits that we are likely to look at during an audit.	このフレームワークは、監査中に我々が見る可能性のある9つのツールキットに焦点を当てている。
Each toolkit consists of:	各ツールキットは、以下から構成される：
・Some of our audit “control measures”. These are examples of measures that you should have in place to manage identified risks and ensure you are effectively complying with data protection law. While there are some measures that you must take, such as conducting a data protection impact assessment for high-risk processing, there isn’t a ‘one size fits all’ approach.	・監査の「管理策」の一部。これらは、特定されたリスクを管理し、データ保護法を効果的に遵守していることを確認するために実施すべき対策の例である。リスクの高い処理についてはデータ保護影響アセスメントを実施するなど、必ず実施しなければならない対策もあるが、「これひとつですべて対応できる」というものではない。
・A list of ways in which you can meet our expectations in relation to each of the “control measures”. The toolkit lists the most likely ways to meet ICO expectations, but they are not exhaustive. You may meet our expectations in slightly different or unique ways.	・各「管理策」に関する当社の期待に応えるための方法のリスト。ツールキットには、ICOの期待に応える最も可能性の高い方法が列挙されているが、網羅的なものではない。少し異なる、または独自の方法で当社の期待に応えることができるかもしれない。
・Additional options to consider based on examples of good practice we’ve seen during our audits.	・監査中に見受けられた優れた実践例に基づき、検討すべき追加的なオプションがある。
We suggest you start with the Accountability toolkit (formerly the Accountability framework) to assess your organisation’s accountability measures. This tookit supports the foundations of an effective privacy management programme. The other eight toolkits take a more in depth look into specific areas of data protection law and will allow you to audit your compliance in more detail.	組織のアカウンタビリティ対策を評価するために、アカウンタビリティ・ツールキット（旧アカウンタビリティ・フレームワーク）から始めることを推奨する。このツールキットは、効果的なプライバシー管理プログラムの基礎をサポートする。他の8つのツールキットは、データ保護法の特定の分野をより深く掘り下げており、コンプライアンスをより詳細に監査することができる。
To further help you audit, report and improve your data protection compliance, you can use our data protection audit trackers. The trackers are a downloadable version of each toolkit and they will help you conduct your own assessment of compliance, tracking actions you plan to take in areas needing improvement.	データ保護コンプライアンスの監査、報告、改善をさらに支援するために、当社のデータ保護監査トラッカーを使用することができる。このトラッカーは、各ツールキットのダウンロード可能なバージョンであり、コンプライアンスに関する独自のアセスメントを実施し、改善が必要な分野で実施する予定のアクションを追跡するのに役立つ。
View the data protection audit framework toolkits	データ保護監査フレームワークのツールキットを見る

ツールキット...

・Toolkits

Toolkits	ツールキット
Accountability	説明責任
This toolkit will help you better understand what you need to put in place for good corporate governance and how to achieve accountability in your organisation.	このツールキットは、優れたコーポレート・ガバナンスのために何を導入する必要があるのか、また組織で説明責任を果たすにはどうすればよいのかをよりよく理解するのに役立つ。
Records management	記録管理
This toolkit will help you assess whether you have met the minimum standards for creating records and have effective mechanisms to locate and retrieve them.	このツールキットは、記録を作成するための最低標準を満たし、記録の所在を確認し、検索するための効果的な仕組みがあるかどうかを評価するのに役立つ。
Information & cyber security	情報およびサイバーセキュリティ
This toolkit provides you with a checklist that you can use, in addition to existing information and cyber security frameworks, to help when assessing the integrity, availability and security of your information.	このツールキットは、既存の情報およびサイバーセキュリティの枠組みに加えて、情報の完全性、可用性、およびセキュリティを評価する際に役立つチェックリストを提供する。
Training and awareness	トレーニングおよび意識向上
This toolkit sets out some of the issues to consider to ensure you deliver appropriate staff training throughout your organisation.	このツールキットは、組織全体で適切なスタッフ・トレーニングを実施するために考慮すべき事項をいくつか示している。
Data sharing	データ共有
This toolkit provides practical guidance about when and how you can share personal information. It complements our Data sharing code.	このツールキットは、個人情報をいつ、どのように共有できるかについての実践的なガイダンスを提供する。このツールキットは、データ共有規約を補完するものである。
Requests for data	データへの対応
This toolkit will help you understand what measures you should have in place to respond to requests for access, commonly referred to as subject access requests, effectively and in a timely manner.	このツールキットは、アクセス要求（一般にデータ対象者アクセス要求と呼ばれる） に効果的かつタイムリーに対応するために、どのような手段を講じるべきかを理解 するのに役立つ。
Personal data breach management	個人データ漏えい管理
This toolkit will help you put measures in place to detect and prevent a personal data breach.	このツールキットは、個人データ漏えいを検知し、防止するための対策を講じるのに役立つ。
Artificial intelligence	人工知能
This toolkit will help you understand and address the basic principles of data protection in the context of your AI, whether as a developer or deployer of the system. It complements our AI guidance and risk toolkit.	このツールキットは、システムの開発者であれ配備者であれ、AIの文脈におけるデータ保護の基本原則を理解し、対処するのに役立つ。当社のAIガイダンスおよびリスクツールキットを補完するものである。
Age appropriate design	Age appropriate design
This toolkit will help you assess whether you are complying with your obligations under data protection law to protect children’s information online. It complements our Age appropriate design code.	このツールキットは、データ保護法の下でオンライン上の子供の情報を保護する義務を遵守しているかどうかを評価するのに役立つ。このツールキットは、当社のAge appropriate design codeを補完するものである。

監査フレームワークトラッカー

・Data protection audit framework trackers

Data protection audit framework trackers	データ保護監査フレームワークトラッカー
Once you have read each toolkit, use our audit trackers to assess your procedures and the risks to people’s personal information. You can record more detail and create an action plan to track your progress over time.	各ツールキットを読んだら、監査トラッカーを使って、あなたの手順と人々の個人情報に対するリスクを評価しよう。より詳細な情報を記録し、行動計画を作成して、長期的な進捗状況を追跡することができる。
Click on the links below to download and save your own version.	以下のリンクをクリックし、自分のバージョンをダウンロードして保存する。
Accountability	説明責任
Accountability tracker	説明責任トラッカー
Records management	記録管理
Records management tracker	記録管理トラッカー
Information & cyber security	情報とサイバーセキュリティ
Information and cyber security checklist tracker	情報およびサイバーセキュリティのチェックリストトラッカー
Training and awareness	意識向上およびトレーニング
Training and awareness tracker	意識向上およびトレーニング tracker
Data sharing	データ共有
Data sharing tracker	データ共有トラッカー
Requests for data	データの要求
Requests for access tracker	アクセスの要求 トラッカー
Personal data breach management	個人データ漏えい管理
Personal data breach management tracker	個人データ漏えい管理トラッカー
Artificial intelligence	人工知能
Artificial intelligence tracker	人工知能トラッカー
Age appropriate design	年齢に応じた設計
Age appropriate design tracker	年齢に応じた設計トラッカー

ケーススタディー

・Case studies

関連資料

・Resources

Resources	リソース
Audits	監査
Read our guide to audits to learn more about what we do.	監査に関するガイドを読んで、私たちの業務についてもっと知る。
Data protection audit trackers	データ保護監査トラッカー
Use our audit trackers to assess your procedures and the risks to people’s personal information. You can record more detail and create an action plan to track your progress over time.	監査トラッカーを使って、貴社の手順と個人情報へのリスクを評価しよう。より詳細な情報を記録し、行動計画を作成して、長期的な進捗状況を追跡することができる。
UK GDPR guidance and resources	英国GDPRガイダンスとリソース
Read our guidance for organisations on the principles and requirements of the UK GDPR.	英国GDPRの原則と要件に関する組織向けガイダンスを読む。
Data protection self-assessment toolkit	データ保護セルフアセスメントツールキット
Use this self-assessment toolkit if you are a small organisation. It will be most helpful to small to medium sized organisations from the private, public and third sectors.	小規模組織の場合は、このセルフアセスメントツールキットを使用する。民間、公共、サードセクターの中小組織に最も役立つ。
AI risk toolkit	AIリスクツールキット
Use this toolkit for practical support when assessing the risks to people’s rights and freedoms caused by your AI systems.	AIシステムによる人々の権利と自由へのリスクをアセスメントする際の実践的サポートとして、このツールキットを使用する。

 監査ガイド...

・Audits

Data protection audits guide	データ保護監査ガイド
Artificial Intelligence Audits guide	人工知能監査ガイド
Age Appropriate Design Code audits guide	年齢適正設計規範監査ガイド

米国 NIST IR 8539 (初公開ドラフト）遷移モデルによるセキュリティ特性の検証

こんにちは、丸山満彦です。

NISTが、NIST IR 8539 (初公開ドラフト）遷移モデルによるセキュリティ特性の検証を公表し、意見募集をしていますね...

ちょっと力をいれて読まないと...

● NIST - ITL

・2024.10.08 NIST IR 8539 (Initial Public Draft) Security Property Verification by Transition Model

NIST IR 8539 (Initial Public Draft) Security Property Verification by Transition Model	NIST IR 8539 (初公開ドラフト）遷移モデルによるセキュリティ特性の検証
Announcement	発表
Verifying the security properties of access control policies is a complex and critical task. The policies and their implementation often do not explicitly express their underlying semantics, which may be implicitly embedded in the logic flows of policy rules, especially when policies are combined. Instead of evaluating and analyzing access control policies solely at the mechanism level, formal transition models are used to describe these policies and prove the system’s security properties. This approach ensures that access control mechanisms can be designed to meet security requirements.	アクセス制御ポリシーのセキュリティ特性の検証は、複雑かつ重要な作業である。ポリシーとその実装は、その根底にあるセマンティクスを明示的に表現していないことが多く、特にポリシーが組み合わされている場合は、ポリシールールの論理フローに暗黙的に埋め込まれていることがある。アクセス管理ポリシーをメカニズム・レベルでのみ評価・分析する代わりに、形式的な遷移モデルを用いてこれらのポリシーを記述し、システムのセキュリティ特性を証明する。このアプローチにより、アクセス管理メカニズムがセキュリティ要件を満たすように設計できることが保証される。
This document explains how to apply model-checking techniques to verify security properties in transition models of access control policies. It provides a brief introduction to the fundamentals of model checking and demonstrates how access control policies are converted into automata from their transition models. The document then focuses on discussing property specifications in terms of linear temporal logic (LTL) and computation tree logic (CTL) languages with comparisons between the two. Finally, the verification process and available tools are described and compared.	この文書では、アクセス制御ポリシーの遷移モデルにおけるセキュリティ特性を検証するために、どのようにモデル検査技法を適用するかを説明する。モデル検査の基礎を簡単に紹介し、アクセス制御ポリシーを遷移モデルからオートマトンに変換する方法を示す。次に、線形時相論理（LTL）と計算ツリー論理（CTL）言語の観点からの特性仕様について、両者の比較を交えて説明する。最後に、検証プロセスと利用可能なツールについて説明し、比較する。
Abstract	概要
Verifying the security properties of access control policies is a complex and critical task. The policies and their implementation often do not explicitly express their underlying semantics, which may be implicitly embedded in the logic flows of policy rules, especially when policies are combined. Instead of evaluating and analyzing access control policies solely at the mechanism level, formal transition models are used to describe these policies and prove the system’s security properties. This approach ensures that access control mechanisms can be designed to meet security requirements. This document explains how to apply model-checking techniques to verify security properties in transition models of access control policies. It provides a brief introduction to the fundamentals of model checking and demonstrates how access control policies are converted into automata from their transition models. The document then focuses on discussing property specifications in terms of linear temporal logic (LTL) and computation tree logic (CTL) languages with comparisons between the two. Finally, the verification process and available tools are described and compared.	アクセス管理ポリシーのセキュリティ特性を検証することは、複雑かつ重要なタスクである。ポリシーとその実装は、基本的なセマンティクスを明示的に表現していないことが多く、特にポリシーが組み合わされている場合には、ポリシールールの論理フローに暗黙的に埋め込まれていることがある。アクセス管理ポリシーをメカニズム・レベルでのみ評価・分析する代わりに、形式的な遷移モデルを用いてこれらのポリシーを記述し、システムのセキュリティ特性を証明する。このアプローチにより、アクセス管理メカニズムがセキュリティ要件を満たすように設計できることが保証される。この文書では、アクセス制御ポリシーの遷移モデルにおけるセキュリティ特性を検証するために、どのようにモデル検査技法を適用するかを説明する。モデル検査の基礎を簡単に紹介し、アクセス制御ポリシーを遷移モデルからオートマトンに変換する方法を示す。次に、線形時相論理（LTL）と計算ツリー論理（CTL）言語の観点からの特性仕様について、両者の比較を交えて説明する。最後に、検証プロセスと利用可能なツールについて説明し、比較する。

・[PDF] NIST.IR.8539.ipd

目次...

Executive Summary	エグゼクティブサマリー
1. Introduction	1. 序文
2. Formal Models and ACPs	2. 形式モデルと ACP
2.1. Model Fundamentals	2.1. モデルの基礎
2.2. ACP Automata	2.2. ACP オートマトン
2.2.1. Static ACPs	2.2.1. 静的ACP
2.2.2. Dynamic ACPs	2.2.2. 動的ACP
2.3. ACP combinations	2.3. ACP の組み合わせ
2.3.1. Nonconcurrent ACP Combinations	2.3.1. 非同期ACP組み合わせ
2.3.2. Concurrent ACP Combinations	2.3.2. コンカレントACPコンビネーション
3. Properties	3. プロパティ
3.1. Property Specifications	3.1. 特性仕様
3.1.1. Linear Temporal Logic (LT	3.1.1. 線形時間論理 (LT
3.1.2. Computation Tree Logic (CTL)	3.1.2. 計算ツリー論理（CTL）
3.1.3. Computation Tree Logic Star (CT)	3.1.3. Computation Tree Logic Star (CT)
3.1.4. LTL vs. CTL (and CTL*)	3.1.4. LTL vs. CTL（およびCTL*）
3.2. Security Properties	3.2. セキュリティ特性
3.2.1. Safety	3.2.1. 安全性
3.2.2. Liveness	3.2.2. 有効性
4. Verification Process	4. 検証プロセス
4.1. General Method	4.1. 一般的な方法
4.2. NuSMV Tool	4.2. NuSMVツール
4.3. Comparison With Other Model-Checking Methods	4.3. 他のモデル検査手法との比較
5. Conclusion	5. 結論
References	参考文献
List of Tables	表一覧
Table 1. CTL vs. CTL* formulae	表1. CTL対CTL*式
List of Figures	図一覧
Fig. 1. Example automaton of a random rules ACP	図1. ランダムルールACPのオートマトン例
Fig. 2. Example automaton of a Chinese Wall ACP	図2. チャイニーズウォールACPのオートマトン例
Fig. 3. Example automaton of a Workflow ACP	図3. ワークフローACPのオートマトン例
Fig. 4. Example automaton of an N-person Control ACP	図4. N人制御ACPのオートマトン例
Fig. 5. Intersection concept using an example of two automata	図5. 2つのオートマトンの例による交点の概念
Fis. 6. Union concept using an example of twoautoma	図6. 2つのオートマトンの例によるユニオンの概念
Fig. 7. Concatenation concept using an example of two automata	図7. 2つのオートマトンの例による連結概念
Fig. 8. Example of a combination of two interleaving automata	図8. 2つのインターリーブ・オートマトンの組み合わせの例
Fig. 9. Shared variables concept with an example of two automata	図9. 2つのオートマタの例による共有変数の概念
Fig. 10. Shared actions concept with an example of two automata	図10. 2つのオートマトンの例による共有作用の概念
Fig. 11. Example of E(EX p) U (AG q) in CT.	図11. CTにおけるE(EX p) U (AG q)の例。
Fig. 12. Relationships among LTL, CTL, and CTL	図12. LTL, CTL, CTLの関係
Fig. 13. Example of the ACP transition model that satisfies EG p but not AF q	図13. EG pは満たすがAF qは満たさないACP遷移モデルの例
Fig. 14. A mutual exclusion access system	図14. 相互排他アクセスシステム

エグゼクティブサマリーと序文

Executive Summary	エグゼクティブサマリー
Faults may be errors or weaknesses in the design or implementation of access control policies that can lead to serious vulnerabilities. This is particularly true when different access control policies are combined. The issue becomes increasingly critical as systems grow more complex, especially in distributed environments like the cloud and IoT, which manage large amounts of sensitive information and resources that are organized into sophisticated structures. Verifying the security properties of access control policies is a complex and critical task. The policies and their implementation often do not explicitly express their underlying semantics, which may be implicitly embedded in the logic flows of policy rules, especially when policies are combined.	フォールトは、アクセス管理ポリシーの設計や実装における誤りや弱点であり、深刻な脆弱性につながる可能性がある。これは特に、異なるアクセス管理ポリシーが組み合わされている場合に当てはまる。特にクラウドやIoTのような分散環境では、洗練された構造に組織化された大量の機密情報やリソースを管理するため、システムが複雑化するにつれて、この問題はますます重大になる。アクセス管理ポリシーのセキュリティ特性を検証することは、複雑かつ重要なタスクである。ポリシーとその実装は、その根底にあるセマンティクスを明示的に表現していないことが多く、特にポリシーが組み合わされている場合には、ポリシールールの論理フローに暗黙的に埋め込まれていることがある。
Formal transition models are used to prove the policy’s security properties and ensure that access control mechanisms are designed to meet security requirements. This report explains how to apply model-checking techniques to verify security properties in transition models of access control policies. It provides a brief introduction to the fundamentals of model checking and demonstrates how access control policies are converted into automata from their transition models. The report then focuses on discussing property specifications in terms of linear time logic (LTL) and computation tree logic (CTL) with comparisons between the two. Finally, the verification process and available tools are described and compared.	形式的な遷移モデルは、ポリシーのセキュリティ特性を証明し、アクセス管理メカニズムがセキュリティ要件を満たすように設計されていることを保証するために使用される。この文書では、モデル検査技術を適用して、アクセス制御ポリシーの遷移モデルにおけるセキュリティ特性を検証する方法を説明する。モデル検査の基礎を簡単に紹介し、アクセス制御ポリシーを遷移モデルからオートマトンに変換する方法を示す。続いて、線形時間論理（LTL）と計算ツリー論理（CTL）の観点から、両者の比較を交えながら特性仕様について論じる。最後に、検証プロセスと利用可能なツールについて説明し、比較する。
1. Introduction	1. 序文
Faults can lead to serious vulnerabilities, particularly when different access control policies (ACPs) are combined. This issue becomes increasingly critical as systems grow more complex, especially in distributed environments like the cloud and IoT, which manage large amounts of sensitive information and resources that are organized into sophisticated structures. NIST Special Publication (SP) 800-192 [SP192] provides an overview of ACP verification using the model-checking method. However, it does not formally define the automata of transition models and properties, nor does it detail the processes and considerations for verifying access control security properties.	障害は、特に異なるアクセス管理ポリシー（ACP）が組み合わされた場合に、深刻な脆弱性につながる可能性がある。この問題は、システムが複雑化するにつれて、特にクラウドやIoTのような分散環境で、洗練された構造に組織化された大量の機密情報やリソースを管理する場合に、ますます重要になる。NIST 特別刊行物（SP）800-192 [SP192]は、モデル検査法を用いた ACP 検証の概要を提供している。しかし、遷移モデルのオートマトンやプロパティを正式に定義しているわけではなく、アクセス管理セキュリ ティプロパティを検証するためのプロセスや考慮事項について詳述しているわけでもない。
Instead of evaluating and analyzing ACPs solely at the mechanism level, formal models are typically developed to describe their security properties. An ACP transition model is a formal representation of the ACP as enforced by the mechanism and is valuable for proving the system’s theoretical limitations. This ensures that access control mechanisms are designed to adhere to the properties of the model. Generally, transition models are effective for modeling non-discretionary ACPs.	ACP をメカニズム・レベルのみで評価・分析する代わりに、そのセキュリティ特性を記述するための形式モデルを開発するのが一般的である。ACP 遷移モデルは、機構によって強制される ACP の形式的表現であり、システムの理論的限界を証明するために価値がある。これにより、アクセス管理機構がモデルの特性を遵守するように設計されていることが保証される。一般に、遷移モデルは非裁量的な ACP をモデル化するのに有効である。
An automaton is an abstraction of a self-operating transition model that follows a predetermined sequence of operations or responses. To formally verify the properties of ACP transition models through model checking, these models need to be converted into automata. This allows the rules of the ACP to be represented as a predetermined set of instructions within the automaton.	オートマトンとは、あらかじめ決められた操作や応答のシーケンスに従う、自己動作型の遷移モデルを抽象化したものである。モデル検査によってACPの遷移モデルの特性を正式に検証するには、これらのモデルをオートマトンに変換する必要がある。これにより、ACP の規則をオートマトン内の所定の命令セットとして表現することができる。
This document explains model-checking techniques for verifying access control security properties using the automata of ACP transition models. It briefly introduces the fundamentals of model checking and demonstrates how access control policies are converted into automata from transition models. The document then delves into discussions of property specifications using linear temporal logic (LTL) and computation tree logic (CTL) languages with comparisons between the two. The process of verification and the available tools are also described and compared. This document is organized as follows:	本文書では、ACP 遷移モデルのオートマトンを用いてアクセス制御のセキュリティ特性を検証する ためのモデル検査技法について説明する。簡単にモデル検査の基礎を紹介し、アクセス制御ポリシーを遷移モデルからオートマトンに変換する方法を示す。その後、線形時相論理（LTL）言語と計算ツリー論理（CTL）言語を使用したプロパティ仕様について、両者の比較を交えて説明する。検証のプロセスと利用可能なツールについても説明し、比較する。本書の構成は以下の通りである：
• Section 1 is the introduction.	・セクション1は序文である。
• Section 2 provides an overview of formal models and ACPs.	・セクション2では形式モデルとACPの概要を説明する。
• Section 3 describes properties.	・セクション3ではプロパティを説明する。
• Section 4 explains the property verification process.	・セクション4ではプロパティの検証プロセスを説明する。
• Section 5 is the conclusion.	・セクション5は結論である。
• The References section lists cited publications and sources.	・参考文献の項では引用文献と出典を示す。

米国 NIST IR 8480（初期公開ドラフト） アイデンティティ管理のための属性妥当性確認サービス：アーキテクチャ、セキュリティ、プライバシー、運用上の考慮事項

こんにちは、丸山満彦です。

NISTが、NIST IR 8480（初期公開ドラフト） アイデンティティ管理のための属性妥当性確認サービス：アーキテクチャ、セキュリティ、プライバシー、運用上の考慮事項を公表し、意見募集をしていますね...

デジタル空間あるいは、サイバー空間でのトラストが重要というのであれば、こういうことをきっちりと詰める必要があるのですが、日本はもう米国の標準やガイドにのっかりますかね...

自国の力でこの辺りの基準をつくるのは難しいですかね...

● NIST - ITL

・2024.10.07 NIST IR 8480 (Initial Public Draft) Attribute Validation Services for Identity Management: Architecture, Security, Privacy, and Operational Considerations

NIST IR 8480 (Initial Public Draft) Attribute Validation Services for Identity Management: Architecture, Security, Privacy, and Operational Considerations	NIST IR 8480（初期公開ドラフト） アイデンティティ管理のための属性妥当性確認サービス：アーキテクチャ、セキュリティ、プライバシー、運用上の考慮事項
Announcement	発表
In the digital age, the accurate identification of individuals is paramount to ensuring security, privacy, and trust in online interactions. Whether it's for accessing medical records, applying for benefits, or engaging in other high-stakes transactions, the need to confirm the identity and attributes of individuals is crucial. This draft report delves into the architecture, security, privacy, and operational considerations surrounding Attribute Validation Services (AVS), offering considerations for government agencies seeking to implement these critical services.	デジタル時代において、オンラインでのやり取りにおけるセキュリティ、プライバシー、信頼性を確保するには、個人の正確な識別が最も重要である。 医療記録へのアクセス、給付金の申請、その他の重大な取引など、どのような場合であっても、個人の身元および属性を確認する必要性は極めて重要である。本報告書ドラフトでは、属性妥当性確認サービス（AVS）を取り巻くアーキテクチャ、セキュリティ、プライバシー、運用上の考慮事項について掘り下げ、これらの重要なサービスの導入を検討している政府機関に考慮事項を提供している。
Background	背景
At its core, an attribute is a "quality or characteristic ascribed to someone or something" [NIST SP 800-63-3], such as a person's date of birth, residential address, or Social Security Number. Attributes are essential in confirming an individual’s identity or their eligibility to access certain services or information. An AVS validates these attributes against reliable data sources to confirm their accuracy. This validation process plays a pivotal role in secure identity proofing, access control, and fraud prevention.	属性とは、本質的には「個人または何かに帰属する品質または特性」[NIST SP 800-63-3] であり、例えば、個人の生年月日、居住地、社会保障番号などがこれに該当する。属性は、個人の身元または特定のサービスや情報へのアクセス権限を確認する上で不可欠である。AVSは、信頼できるデータソースに対してこれらの属性を妥当性確認し、その正確性を確認する。この妥当性確認プロセスは、安全な身元確認、アクセス管理、および詐欺防止において重要な役割を果たす。
For example, when an individual submits personal details during an online registration, an AVS can cross-reference these details with reliable government databases or other trusted sources to ensure their correctness. As the report suggests, government agencies, with their access to authoritative data, are particularly well-positioned to offer AVS solutions. By doing so, they can support identity verification processes for other organizations, reducing reliance on incomplete commercial data and promoting equitable access to services.	例えば、個人がオンライン登録時に個人データを提出する場合、AVSはこれらのデータを信頼性の高い政府データベースやその他の信頼できる情報源と照合し、その正確性を確認することができる。報告書が示唆しているように、信頼性の高いデータにアクセスできる政府機関は、AVSソリューションを提供する上で特に有利な立場にある。そうすることで、他の組織の身元確認プロセスを支援し、不完全な商用データへの依存を減らし、サービスへの公平なアクセスを促進することができる。
The Role of AVS in Modern Identity Management	最新のアイデンティティ管理におけるAVSの役割
An effective AVS allows organizations to not only validate identity attributes but also enhance access control by enabling granular and timely authorization decisions. For instance, a zero-trust model may require validation of user attributes such as location or clearance level to determine whether access to specific resources should be granted. By incorporating AVS into such models, organizations can enforce security policies more reliably.	効果的なAVSは、組織がアイデンティティ属性を検証するだけでなく、きめ細かくタイムリーな認可決定を可能にすることで、アクセス管理を強化することも可能にする。例えば、ゼロトラストモデルでは、特定のリソースへのアクセスを許可すべきかどうかを判断するために、ユーザーの所在地や機密保持レベルなどの属性の妥当性確認が必要になる場合がある。このようなモデルにAVSを組み込むことで、企業はセキュリティポリシーをより確実に実施することができる。
In addition to supporting identity proofing and access control, AVS plays a critical role in fraud prevention. Fraudsters often rely on synthetic identities or stolen credentials to bypass security systems. AVS, with its ability to validate identity evidence, such as identification numbers or addresses, helps to defeat the use of synthetic identities detect anomalies that could signal fraudulent activity. This makes AVS indispensable across sectors such as banking, healthcare, and government services.	AVSは、身元確認とアクセス管理をサポートするだけでなく、詐欺防止においても重要な役割を果たす。詐欺師は、合成IDや盗まれた認証情報を使用してセキュリティシステムを回避することが多い。AVSは、識別番号や住所などの身元情報の妥当性を確認する機能を備えており、合成IDの使用を阻止し、詐欺行為を示唆する異常を検知するのに役立つ。このため、AVSは銀行、医療、政府サービスなど、さまざまな分野で不可欠なものとなっている。
Additionally, one of the most significant societal benefits of AVS is its potential to promote equity. Traditional identity proofing systems can exclude individuals with limited financial or credit histories. By leveraging government data, a federal or state AVS can validate core identity attributes for these individuals, helping them gain access to essential resources that otherwise may have been excluded.	さらに、AVSのもたらす最も重要な社会的利益のひとつは、公平性の促進である。従来の身元確認システムでは、経済力や信用履歴が限られている個人を排除することがあった。連邦政府や州政府のAVSでは、政府データを活用することで、こうした個人に対して身元の主要属性を妥当性確認し、それによって、それまで排除されていたかもしれない重要なリソースへのアクセスを可能にすることができる。
Reviewing Focus Areas	検討して欲しい領域
While NIST is interested in all forms of public comment, we are particularly interested in the following areas of feedback:	NISTはあらゆる形式のパブリックコメントを歓迎するが、特に以下のフィードバックに注目している。
1. Are the considerations sufficiently complete and useful for agencies and government organizations who may wish to offer Attribute Validation Services?	1. 属性妥当性確認サービスを提供することを検討している政府機関にとって、考慮事項は十分に完全で有用なものとなっているか？
2. Are there other architectural models that should be explored and discussed in this document?	2. この文書で検討および議論すべき他のアーキテクチャモデルはあるか？
3. Are there other resources or standards that should be referenced in the document?	3. この文書で参照すべき他のリソースや標準はあるか？
4. Are there gaps in the standards environment that need to be considered for future work?	4. 今後の作業を検討する上で考慮すべき標準環境のギャップはあるか？
5. Are there additional security, privacy, or other considerations that should be represented within the context of this report?	5. この報告書の文脈の中で、追加すべきセキュリティ、プライバシー、その他の考慮事項はあるか？
6. What other constraints (organization, technical, policy) should be discussed and explored in the report?	6. 報告書の中で議論し、検討すべきその他の制約（組織、技術、政策）は何か？
Abstract	要約
Attributes provide information about an individual that can be used to confirm the individual’s identity or ability to access information or services. Attributes and the processes for validating and asserting them are essential for securely identifying individuals and can also be utilized for authorization and other purposes. This report provides a foundation upon which federal, state, and local government agencies can design and develop attribute validation services. Agencies with authoritative data are well-positioned to provide attribute validation services to other organizations that need to confirm the accuracy of self-asserted identity and authorization attributes. Ultimately, the intent is to facilitate greater use of government data in a manner that preserves user privacy while also enabling increased equity by decreasing reliance on incomplete commercial data.	属性は、個人の身元や情報またはサービスへのアクセス能力を確認するために使用できる個人に関する情報を提供する。属性およびその妥当性確認と主張のためのプロセスは、個人を安全に識別するために不可欠であり、また、認可やその他の目的にも利用できる。本報告書は、連邦、州、地方の各政府機関が属性妥当性確認サービスを設計・開発するための基盤を提供する。 権限のあるデータを有する機関は、自己主張されたアイデンティティおよび認可属性の正確性を確認する必要がある他の組織に対して、属性妥当性確認サービスを提供する上で有利な立場にある。 最終的には、不完全な商用データへの依存を減らすことで公平性を高めつつ、ユーザー・プライバシーを保護しながら政府データの利用を促進することが目的である。

・[PDF] NIST.IR.8480.ipd

目次...

1. Introduction	1. 序文
1.1. Purpose and Scope	1.1. 目的と範囲
1.2. Approach	1.2. アプローチ
2. Attribute Validation Service (AVS) Overview	2. 属性妥当性確認サービス（AVS）の概要
2.1. AVS Uses	2.1. AVS の用途
2.1.1. Identity Proofing	2.1.1. 身元確認
2.1.2. Authorization and Access Control	2.1.2. 認可とアクセス管理
2.1.3. Fraud Prevention	2.1.3. 不正行為防止
2.2. Current AVS Technologies and Standards	2.2. 現在の AVS 技術と標準
2.3. Emerging AVS Technologies and Standards	2.3. 新しい AVS 技術と標準
3. Validation Logic	3. 妥当性確認ロジック
3.1. Names	3.1. 名前
3.2. Dates	3.2. 日付
3.3. Addresses	3.3. 住所
3.4. Transparency, Risk, and Trust	3.4. 透明性、リスク、信頼
3.5. Responses	3.5. 対応
3.6. Derived Attribute Values	3.6. 派生属性値
4. Data Management	4. データ管理
4.1. Origination and Sources	4.1. 生成とソース
4.2. Quality	4.2. 品質
4.3. Refresh and Maintenance	4.3. 更新と保守
4.4. Storage and Security	4.4. 保存とセキュリティ
4.5. Metadata	4.5. メタデータ
5. Deciding Whether to Establish an AVS	5. AVSを構築するかどうかを決定する
5.1. Attribute Sources	5.1. 属性情報源
5.2. Mission, Authorities, and Legal Environment	5.2. ミッション、権限、法的環境
5.3. Governance, Buy-In, and Service Demand	5.3. ガバナンス、支持、サービス需要
5.4. Anticipated Impact	5.4. 予想される影響
5.5. Privacy, Notice, and Consent for End Users	5.5. エンドユーザーのプライバシー、通知、同意
5.6. Key Questions for Agencies	5.6. 政府機関のための主な質問
6. Considerations for Designing and Deploying an AVS	6. AVSの設計と展開に関する考慮事項
6.1. Existing Capabilities	6.1. 既存の能力
6.2. Direct or Brokered Service	6.2. 直接サービスまたは仲介サービス
6.3. Requirements	6.3. 要件
6.4. Access Control	6.4. アクセス管理
6.4.1. RP Registration and Enrollment	6.4.1. RPの登録と登録
6.4.2. Federated Authentication and Authorization	6.4.2. フェデレーション認証と認可
6.5. Budget Considerations	6.5. 予算に関する考慮事項
6.6. Development and Testing	6.6. 開発とテスト
6.7. Planning for Deployment and Post-Deployment,	6.7. 展開と展開後の計画
7. AVS Architectures and Deployment Models	7. AVSアーキテクチャと展開モデル
7.1. API Query-Based Validation Services	7.1. APIクエリーベースの妥当性確認サービス
7.1.1. Architectural Overview	7.1.1. アーキテクチャの概要
7.1.2. Standards Consideration	7.1.2. 標準に関する考慮事項
7.1.3. Security Considerations	7.1.3. セキュリティに関する考慮事項
7.1.4. Privacy Considerations	7.1.4. プライバシーに関する考慮事項
7.2. Shared Service Attribute Broker Model	7.2. 共有サービス属性ブローカー・モデル
7.2.1. Architectural Overview	7.2.1. アーキテクチャの概要
7.2.2. Standards Considerations	7.2.2. 標準に関する考慮事項
7.2.3. Security Considerations	7.2.3. セキュリティに関する考慮事項
7.2.4. Privacy Considerations	7.2.4. プライバシーに関する考慮事項
7.3. User-Controlled Verified Attributes (UCVAs)	7.3. ユーザー制御検証済み属性（UCVA）
7.3.1. Architectural Overview	7.3.1. アーキテクチャの概要
7.3.2. Usability Considerations	7.3.2. ユーザビリティに関する考慮事項
7.3.3. Standards Considerations	7.3.3. 標準に関する考慮事項
7.3.4. Security Considerations	7.3.4. セキュリティに関する考慮事項
7.3.5. Privacy Considerations	7.3.5. プライバシーに関する考慮事項
8. Conclusion and Next Steps	8. 結論および今後のステップ
References	参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms	附属書 A. 記号、略語、および頭字語の一覧
List of Tables	表の一覧
Table 1. Identity Proofing Attribute Examples	表 1. 身元証明属性の例
Table 2. Authorization and Access Control Attribute Examples	表 2. 認可およびアクセス管理属性の例
Table 3. Fraud Prevention Attribute Examples	表 3. 不正防止属性の例
Table 4. Operational Attribute Validation Services	表 4. 運用属性の妥当性確認サービス
Table 5. Key Questions for Agencies	表 5. 政府機関向け重要質問
List of Figures	図の一覧
Fig. 1. Typical API query-based architecture	図1. 典型的なAPIクエリベースのアーキテクチャ
Fig. 2. Typical shared service attribute broker model architecture	図2. 典型的な共有サービス属性ブローカーモデルのアーキテクチャ
Fig. 3. Typical UCVA (User-Controlled Verified Attributes) architecture	図3. 典型的なUCVA（ユーザー管理型検証済み属性）アーキテクチャ

序文...

1. Introduction	1. 序文
An attribute is a “quality or characteristic ascribed to someone or something.” [1] Attributes provide information about an individual that can be used to confirm the individual’s identity or ability to access information or services. Attributes and the processes for validating and asserting them are essential for securely identifying individuals. They can also be utilized for online transactions — for example, determining eligibility based on state of residence, enabling granular and more reliable access control decisions, and supporting timely authorization decisions. The uses are nearly endless — from supporting security architectures such as zero trust to enabling more accessible and secure online benefit services. As a result, the processes by which attributes are used, validated, stored, transferred, and managed are increasingly important for scaled digital identity models.	属性とは、「誰かまたは何かに帰属する性質または特徴」である。 [1] 属性は、個人を識別したり、情報やサービスへのアクセス権限を確認するために使用できる個人に関する情報を提供する。 個人を確実に識別するには、属性と、その妥当性確認および主張のためのプロセスが不可欠である。また、オンライン取引にも利用できる。例えば、居住地に基づいて適格性を判断したり、きめ細かく信頼性の高いアクセス管理の決定を可能にしたり、迅速な認可決定をサポートしたりすることができる。用途はほぼ無限であり、ゼロトラストなどのセキュリティアーキテクチャのサポートから、よりアクセスしやすく安全なオンラインベネフィットサービスの実現まで、さまざまな用途がある。その結果、属性が使用され、妥当性確認され、保存され、転送され、管理されるプロセスは、拡張されたデジタルアイデンティティモデルにとってますます重要になっている。
1.1. Purpose and Scope	1.1. 目的と範囲
In support of the CHIPS and Science Act [2], this report provides a foundation upon which federal, state, and local government agencies can design and develop attribute validation services. Agencies with authoritative data are well-positioned to provide attribute validation services to other organizations that need to confirm the accuracy of self-asserted identity and authorization attributes. Ultimately, the intent is to facilitate greater use of government data in a manner that preserves user privacy while also enabling increased equity by providing access to a broader array of authoritative data sets.	CHIPS and Science Act（チップ・科学法）[2]を支援する本報告書は、連邦、州、および地方の政府機関が属性妥当性確認サービスを設計および開発するための基盤を提供する。権限のあるデータを有する機関は、自己主張されたアイデンティティおよび認可属性の正確性を確認する必要がある他の組織に対して、属性妥当性確認サービスを提供する上で有利な立場にある。最終的には、ユーザーのプライバシーを保護しながら、より幅広い信頼性の高いデータセットへのアクセスを提供することで、公平性を高めることを目的としている。
The decision to build and enable attribute validation services is the responsibility of the agencies with data custodianship. While this report is intended to be helpful to agencies, it is not a comprehensive or normative document defining what must or must not be done. Instead, it provides a high-level overview of the space and its technologies and acts as a starting point for agency-specific implementation discussions, development, and business activities. Similarly, this report does not address all challenges that an agency may face. Legislative, regulatory, and other policy constraints may prevent an agency from providing the services as described, regardless of technical feasibility. Such challenges are organizational in nature, and they need to be addressed through non-technical means that are outside the purview of this report.	属性妥当性確認サービスの構築と利用の決定は、データ管理責任を有する政府機関の責任である。本報告書は政府機関の参考となることを目的としているが、実施すべきこと、実施すべきでないことを定義する包括的または規範的な文書ではない。その代わり、この分野とそのテクノロジーに関する概要を提示し、政府機関特有の実装に関する議論、開発、事業活動の出発点となることを目的としている。同様に、この報告書では、政府機関が直面する可能性のあるすべての課題を取り扱っているわけではない。技術的な実現可能性に関わらず、法律、規制、その他の政策上の制約により、政府機関が本報告書で説明されているようなサービスを提供できない可能性がある。このような課題は本質的に組織的なものであり、本報告書の対象外である技術以外の手段によって対処する必要がある。
This report focuses on applying attribute validation services and architectures to support identity use cases, specifically identity proofing (data validation) and support for authorization decisions. However, the principles and considerations contained herein can support use cases beyond those explicitly addressed and may be adapted by readers to support their own needs.	本報告書では、属性妥当性確認サービスとアーキテクチャを適用して、身元のユースケース、特に身元確認（データ妥当性確認）と認可決定のサポートを支援することに焦点を当てる。しかし、本書に記載されている原則と考慮事項は、明示的に取り上げられているユースケース以外にも適用でき、読者が各自のニーズに合わせて適応させることも可能である。
1.2. Approach	1.2. アプローチ
This report provides an overview of the current and emerging environment, explores operational considerations for deciding how to build and manage a service, discusses data management strategies, and details three archetypes for attribute validation services:	本報告書では、現在の環境と新たに登場しつつある環境の概要を説明し、サービスの構築と管理方法を決定するための運用上の考慮事項を検討し、データ管理戦略について議論し、属性妥当性確認サービスの3つの典型的なモデル、すなわち
query/API-based models, brokered attribute hubs, and verified attribute models. For each of these, this document presents a generalized architecture and set of components as well as a set of considerations for how to secure the service and preserve user privacy in a standards-based manner.	クエリ/APIベースのモデル、仲介型属性ハブ、検証済み属性モデルである。本書では、これらの各々について、標準ベースの方法でサービスを保護し、ユーザーのプライバシーを維持する方法についての考察とともに、一般的なアーキテクチャとコンポーネントのセットを提示する。
The information for this report was developed through a structured market research and technical evaluation process. This began by canvassing current technologies and standards, researching real-world implementations, and interviewing providers and consumers of attribute validation services both within and outside of government. These engagements with ecosystem participants focused on both the state of the present — covering successes, limitations, and challenges — as well as the art of the possible, including emerging models, technologies, and standards. To preserve the privacy and intellectual property of those who participated in the market research interviews, their input has been anonymized and aggregated into the considerations reflected in the report.	この報告書の情報は、体系的な市場調査と技術評価プロセスを通じて作成された。まず、現在の技術と標準の調査、実世界の導入事例の研究、政府内外の属性妥当性確認サービスのプロバイダと利用者のインタビューを行った。エコシステムの参加者とのこれらの取り組みでは、成功、限界、課題を網羅した現在の状況と、新興のモデル、技術、標準を含む実現可能な技術の両方に焦点を当てた。市場調査のインタビューに参加した人々のプライバシーと知的財産を保護するため、彼らの意見は匿名化され、報告書に反映された考察に集約された。

Fig. 1. Typical API query-based architecture

図1. 典型的なAPIクエリベースのアーキテクチャ

Fig. 2. Typical shared service attribute broker model architecture

図2. 典型的な共有サービス属性ブローカーモデルのアーキテクチャ

Fig. 3. Typical UCVA (User-Controlled Verified Attributes) architecture

図3. 典型的なUCVA（ユーザー管理型検証済み属性）アーキテクチャ

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.08.24 米国 NIST SP 800-63-4（第2次公開草案）デジタル・アイデンティティ・ガイドライン他...

・2024.04.25 米国 NIST SP 800-63B [補足 1] NIST SP 800-63B: デジタル・アイデンティティ・ガイドライン - 認証およびライフサイクル管理への同期可能な本人認証の組み込み

・2022.12.19 NIST SP 800-63-4 (ドラフト) デジタル・アイデンティティ・ガイドライン 、63A-4 (ドラフト) 登録と身元確認、63B-4 (ドラフト) 本人認証とライフサイクル管理、63C-4 (ドラフト) 連携とアサーション

・2020.06.11 NIST SP 800-63-4(Draft) PRE-DRAFT Call for Comments: Digital Identity Guidelines

・2020.03.07 NIST SP800-63-3 Digital Identity GuidelinesにEditorialな修正がありました

米国 NIST IR 8505 クラウドネイティブ・アプリケーションのためのデータ保護アプローチ (2024.09.30)

こんにちは、丸山満彦です。

NISTが、IR 8505 クラウドネイティブ・アプリケーションのためのデータ保護アプローチを公表していますね...

マルチクラウド環境、サービスメッシュネットワーク、ハイブリッドインフラなど、進化するクラウドサービスにおけるデータ保護アプローチを整理していますね...

● NIST - ITL

・2024.09.30 NIST IR 8505 A Data Protection Approach for Cloud-Native Applications

NIST IR 8505 A Data Protection Approach for Cloud-Native Applications	NIST IR 8505 クラウドネイティブ・アプリケーションのためのデータ保護アプローチ
Abstract	要旨
This document addresses the need for effective data protection strategies in the evolving realm of cloud-native network architectures, including multi-cloud environments, service mesh networks, and hybrid infrastructures. By extending foundational data classification concepts, it provides a framework for aligning data protection approaches with the unknowns of data in transit. Specifically, it explores service mesh architecture, leveraging and emphasizing the capabilities of WebAssembly (WASM) in ensuring robust data protection as sensitive data is transmitted through east-west and north-south communication paths.	本文書は、マルチクラウド環境、サービスメッシュネットワーク、ハイブリッドインフラなど、進化するクラウドネイティブネットワークアーキテクチャの領域における効果的なデータ保護戦略の必要性に取り組むものである。基本的なデータ分類の概念を拡張することで、データ保護アプローチを転送中の未知のデータと整合させるためのフレームワークを提供する。具体的には、WebAssembly（WASM）の機能を活用し、機密データが東西南北の通信経路を経由して伝送される際の強固なデータ保護を確保するためのサービスメッシュ・アーキテクチャを探求している。

・[PDF] NIST.IR.8505

・[DOCX][PDF] 仮訳

目次...

1. Introduction	1. 序文
1.1. Existing Approaches to Data Protection and Their Limitations	1.1. データ保護に対する既存のアプローチとその限界
1.2. In-Proxy Application for Data Protection	1.2. データ保護のためのインプロキシ・アプリケーション
1.3. Objective and Scope of This Document	1.3. 本文書の目的と範囲
1.4. Organization of This Document	1.4. 本文書の構成
2. Web Assembly Background	2. ウェブアセンブリの背景
2.1. Origin	2.1. オリジン
2.2. Progression Into Server-Side Environments	2.2. サーバーサイド環境への移行
2.2.1. Development and Deployment Process	2.2.1. 開発・展開プロセス
2.3. Proxies as WASM Platforms	2.3. WASMプラットフォームとしてのプロキシ
2.4. Proxy-WASM	2.4. Proxy-WASM
2.4.1. Role of WASM in Different Service Mesh Architectures	2.4.1. さまざまなサービス・メッシュ・アーキテクチャにおけるWASMの役割
2.5. WASI-HTTP	2.5. WASI-HTTP
2.6. eBPF	2.6. eBPF
3. Data Protection in Transit	3. 転送中のデータ保護
3.1. Data Categorization Techniques	3.1. データの分類技法
3.2. Techniques for Data Protection	3.2. データ保護のテクニック
3.2.1. Web Traffic Data Protection	3.2.1. ウェブ・トラフィック・データ保護
3.2.2. API Security	3.2.2. APIセキュリティ
3.2.3. Microsegmentation	3.2.3. マイクロセグメンテーション
3.2.4. Log Traffic Data Protection	3.2.4. ログ・トラフィック・データ保護
3.2.5. LLM Traffic Data Protection	3.2.5. LLM トラフィックデータ保護
3.2.6. Credit Card-Related Data Protection	3.2.6. クレジットカード関連データ保護
3.2.7. Monitoring Tools to Visualize Sensitive Data Flows	3.2.7. 機密データの流れを可視化する監視ツール
4. Security Analysis of WASM Modules	4. WASM モジュールのセキュリティ分析
4.1. WASM Security Goals and Security Feature Sets	4.1. WASMのセキュリティ目標とセキュリティ機能セット
4.1.1. User-Level Security Features	4.1.1. ユーザーレベルのセキュリティ機能
4.1.2. Security Primitives for Developers	4.1.2. 開発者のためのセキュリティ・プリミティブ
4.2. Memory Model and Memory Safety	4.2. メモリー・モデルとメモリー安全性
4.3. Execution Model and Control Flow Integrity	4.3. 実行モデルと制御フローの完全性
4.4. Security of API Access to OS and Host Resources	4.4. OSとホスト・リソースへのAPIアクセスのセキュリティ
4.5. Protection From Side-Channel Attacks	4.5. サイドチャンネル攻撃からの防御
4.6. Protection Against Code Injection and Other Attacks	4.6. コード・インジェクションやその他の攻撃に対する防御
4.7. Deployment and Operating Security	4.7. セキュリティの展開と運用
5. Summary and Conclusions	5. まとめと結論
References	参考文献
Appendix A. Execution Model for Web Assembly in Browsers	附属書A. ブラウザにおけるウェブアセンブリの実行モデル
Appendix B. Comparison of Execution Models for Containers and WASM Modules	附属書B. コンテナとWASMモジュールの実行モデルの比較

図1. WASMモジュールの生成とその実行

図2. WASMモジュールの開発とブラウザでの実行

図3. コンテナとWASMモジュールの実行スタックの比較

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.06.19 米国 NIST IR 8505（初期公開ドラフト） クラウドネイティブ・アプリケーションのためのデータ保護アプローチ (2024.06.14)