個人情報保護 / プライバシー: まるちゃんの情報セキュリティ気まぐれ日記

July 2022
Sun	Mon	Tue	Wed	Thu	Fri	Sat
					1	2
3	4	5	6	7	8	9
10	11	12	13	14	15	16
17	18	19	20	21	22	23
24	25	26	27	28	29	30
31

個人情報保護 / プライバシー

2022.07.03

米国 FBI-IC3が盗んだ個人情報とディープフェイクを利用してリモートワーク等に応募していると警告していますね。。。

こんにちは、丸山満彦です。

ディープフェイクが身近になってくると、こういう事件は起こってきますよね。。。

2020年の第24回サイバー犯罪に関する白浜シンポジウムのテーマが、「ＡＩはサイバーセキュリティの夢を見るか？」で私も『スマートサイバー　AI活用時代のサイバーリスク管理』という演題で講演しましたが、ここで、フェイク動画についてのなりすましについて簡単に紹介しました。。。

・[PDF] スマートサイバー AI活用時代のサイバーリスク管理

今回の場合は、リモート面接においての話ですが、特定の人の顔画像、音声情報、個人の履歴書等を盗み、その人になりすまし、AIを活用して本人になりすまし、機密情報に触れられる職に就き、必要な機密情報を盗むということが、これから日常的になるのでしょうかね。。。

懸念していたことが、現実社会においても広がってきているという状況ですね。。。そして、今後ますます広がっていくでしょうね。。。

● Federal Bureau of Investigation - Internet Crime Complaint Center: FBI-ICS3

・2022.06.28 Deepfakes and Stolen PII Utilized to Apply for Remote Work Positions

Deepfakes and Stolen PII Utilized to Apply for Remote Work Positions	リモートワークの応募にディープフェイクや盗まれた個人情報が利用される事例が発生
The FBI Internet Crime Complaint Center (IC3) warns of an increase in complaints reporting the use of deepfakes and stolen Personally Identifiable Information (PII) to apply for a variety of remote work and work-at-home positions. Deepfakes include a video, an image, or recording convincingly altered and manipulated to misrepresent someone as doing or saying something that was not actually done or said.	FBIインターネット犯罪苦情センター（IC3）は、様々なリモートワークや在宅勤務の職種に応募するために、ディープフェイクと盗まれた個人識別情報（PII）が使用されているという苦情が増加していることを警告する。ディープフェイクとは、ビデオ、画像、または録音を説得力を持って改変・操作し、実際には行われていないことを誰かが行った、または言ったと誤解させるようなものを指す。
The remote work or work-from-home positions identified in these reports include information technology and computer programming, database, and software related job functions. Notably, some reported positions include access to customer PII, financial data, corporate IT databases and/or proprietary information.	この報告書に記載されているリモートワークや在宅勤務の職種には、情報技術、コンピュータ・プログラミング、データベース、ソフトウェア関連の職務が含まれている。特に、顧客の個人情報、財務データ、企業のITデータベースおよび/または専有情報にアクセスする職種が含まれていることが報告されている。
Complaints report the use of voice spoofing, or potentially voice deepfakes, during online interviews of the potential applicants. In these interviews, the actions and lip movement of the person seen interviewed on-camera do not completely coordinate with the audio of the person speaking. At times, actions such as coughing, sneezing, or other auditory actions are not aligned with what is presented visually.	苦情では、応募者のオンライン面接において、音声スプーフィング、または潜在的な音声ディープフェイクが使用されていることが報告されている。これらの面接では、カメラで撮影された面接者の動作や唇の動きが、話している人の音声と完全に一致していない。咳やくしゃみなどの聴覚的な動作と、視覚的に提示された動作が一致しないことがある。
IC3 complaints also depict the use of stolen PII to apply for these remote positions. Victims have reported the use of their identities and pre-employment background checks discovered PII given by some of the applicants belonged to another individual.	また、IC3への苦情では、遠隔地のポジションに応募するために、盗まれた個人情報が使用されていることが指摘されている。被害者は、自分のIDが使用されたことを報告し、雇用前のバックグラウンド・チェックで、応募者の何人かが提供したPIIが別の個人のものであることを発見した。

● まるちゃんの情報セキュリティ気まぐれ日記

・2022.03.29 米国 GAO 政府・社会に影響を与えるトレンド (2022.03.15)

・2022.03.20 米国カーネギーメロン大学ソフトウェア工学研究所 Deep Fakeの作成と検出はどの程度簡単か？

・2022.01.26 英国王立学会オンライン情報環境（フェイク情報は削除すべき、削除すべきでない？）at 2022.01.19

・2022.01.21 ENISA デジタル・アイデンティティ攻撃に注意：あなたの顔が偽装される可能性があります

・2021.10.17 インターポール、国連地域間犯罪司法研究所、オランダ警察、世界経済会議が「顔認証を責任もって制限するためのポリシーフレームワーク　ユースケース：法執行機関の捜査」 at 2021.10.05

・2021.10.12 中国科学技術部新世代の人工知能倫理規定 at 2021.09.26

・2021.08.10 EU議会 STUDY ヨーロッパの政策におけるディープフェイクへの取り組み at 2021.07.30

・2021.06.22 欧州保険職業年金局 (EIOPA) 欧州保険セクターにおける倫理的で信頼できるAIガバナンス原則に関するレポートを公表

・2021.06.21 米国上院議員がデータ保護法案を再提出

・2021.06.04 欧州検査院特別報告書 EUに影響を与える偽情報：対処しても対処しきれない

・2021.01.26 RAND研究所真実の崩壊に対抗するためのメディアリテラシー標準についての報告

・2021.01.18 新聞紙学的（平和博さんのブログ） - ディープフェイクスにどれだけ騙される？　意外な実験結果とは

・2020.12.07 民主主義を守るための偽情報との戦い

・2020.11.23 Europol, UNICRI, Trendmicro 犯罪者もAIを活用！（ディープフェイクだけではない）

・2020.10.22 米国GAOのブログでDeepfakeが取り上げられていますね。。。

・2020.10.12 欧州議会は「人工知能、ロボットおよび関連技術の倫理的側面の枠組み」を採択しましたね。。。

・2020.09.04 マイクロソフトがDeepfake検出ツールを発表してました。。。

・2020.08.10 DeepfakeについてのNATO, CSET, Partnership on AI, GAOの報告書（少し前ですが・・・）

・2020.07.02 ディズニーがメガピクセルのディープフェイクで映画？

・2020.04.20 別人になりきってオンラインビデオ会議に参加できるオープンソースのディープフェイクツール「Avatarify」...

・2020.01.27 Deepfake

2022.07.03 04:47 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪, in AI/Deep Learning | Permalink | Comments (0)
Tweet

2022.07.02

中国国家サイバースペース管理局「個人情報の越境移転に関する標準契約条項（意見募集案）」

こんにちは、丸山満彦です。

中国の国家サイバースペース管理局が「個人情報の越境移転に関する標準契約条項（意見募集案）」を公表し、意見募集をしていますね。。。

● 国家互联网信息办公室（国家サイバースペース管理局）

2022.06.30

国家互联网信息办公室关于《个人信息出境标准合同规定（征求意见稿）》

国家サイバースペース管理局「個人情報の越境移転に関する標準契約条項（意見募集案）

内容は、、、

个人信息出境标准合同规定	個人情報の越境移転に関する標準的契約条項
（征求意见稿）	（意見募集案）
第一条为了规范个人信息出境活动，保护个人信息权益，促进个人信息跨境安全、自由流动，根据《中华人民共和国个人信息保护法》，制定本规定。	第1条個人情報の流出活動を規制し、個人情報の権益を保護し、国境を越えた個人情報の安全かつ自由な流通を促進するため、「中華人民共和国個人情報保護法」に基づき、本規定を制定する。
第二条个人信息处理者依据《中华人民共和国个人信息保护法》第三十八条第一款第（三）项，与境外接收方订立合同向中华人民共和国境外提供个人信息的，应当按照本规定签订个人信息出境标准合同（以下简称“标准合同”）。	第2条個人情報処理事業者は、中華人民共和国個人情報保護法第38条第1項第3号に基づき、海外の受取人に対し個人情報を提供する契約を締結する場合、これらの規定に基づき、個人情報の越境移転に関する標準契約（以下「標準契約」という）を締結するものとする。
个人信息处理者与境外接收方签订与个人信息出境活动相关的其他合同，不得与标准合同相冲突。	その他、個人情報の越境移転に関して、個人情報取扱事業者と海外の受取人との間で締結される契約は、本標準契約に抵触しないものとする。
第三条依据标准合同开展个人信息出境活动，应坚持自主缔约与备案管理相结合，防范个人信息出境安全风险，保障个人信息依法有序自由流动。	第3条標準契約に基づいて個人情報の越境移転を行う場合、独立した契約と記録管理の組み合わせを遵守し、個人情報の越境移転セキュリティリスクを防止し、法律に従って個人情報の秩序と自由な流れを確保しなければならない。
第四条个人信息处理者同时符合下列情形的，可以通过签订标准合同的方式向境外提供个人信息：	第4条個人情報取扱事業者は、次の各号にも該当する場合は、標準契約によって個人情報を国外に提供することができる。
（一）非关键信息基础设施运营者；	（一）非重要情報インフラ事業者。
（二）处理个人信息不满100万人的；	（二）100万人未満の個人情報を取り扱うもの
（三）自上年1月1日起累计向境外提供未达到10万人个人信息的；	（三）前年の1月1日からの国外への個人情報の提供の累計が10万人に達しないとき。
（四）自上年1月1日起累计向境外提供未达到1万人敏感个人信息的。	（四）前年の1月1日以降、外国への機微な個人情報の提供の累計が1万人に達しない場合。
第五条个人信息处理者向境外提供个人信息前，应当事前开展个人信息保护影响评估，重点评估以下内容：	第5条個人情報取扱事業者は、個人情報を国外に提供する前に、以下の要素に着目して、個人情報保護に与える影響について事前に評価を行うものとする。
（一）个人信息处理者和境外接收方处理个人信息的目的、范围、方式等的合法性、正当性、必要性；	（一）個人情報取扱事業者及び海外受取事業者の個人情報の取扱いの目的、範囲及び方法の適法性、正当性及び必要性について。
（二）出境个人信息的数量、范围、类型、敏感程度，个人信息出境可能对个人信息权益带来的风险；	（二）越境移転される個人情報の量、範囲、種類及び機密性、並びに個人情報の越境移転に起因する個人情報の権利及び利益に対する起こり得る危険性
（三）境外接收方承诺承担的责任义务，以及履行责任义务的管理和技术措施、能力等能否保障出境个人信息的安全；	（三）海外の受取人が負う責任及び義務並びにその責任及び義務を履行するための管理及び技術的な措置並びに能力が国外に持ち出される個人情報の安全を保障することができるかどうか。
（四）个人信息出境后泄露、损毁、篡改、滥用等的风险，个人维护个人信息权益的渠道是否通畅等；	（四）越境後の個人情報の漏えい、破壊、改ざん、不正使用等のリスク、個人が個人情報の権利・利益を守るための手段が開かれているか等
（五）境外接收方所在国家或者地区的个人信息保护政策法规对标准合同履行的影响；	（五）海外の受取人の国または地域における個人情報保護に関する政策や規制が標準契約の履行に与える影響。
（六）其他可能影响个人信息出境安全的事项。	（六）その他、個人情報の越境の安全性に影響を与える事項。
第六条标准合同包括以下主要内容：	第6条標準契約書の主な内容は次のとおりである。
（一）个人信息处理者和境外接收方的基本信息，包括但不限于名称、地址、联系人姓名、联系方式等；	（一）個人情報の処理者及び海外受取人の氏名、住所、連絡先等の基本情報。
（二）个人信息出境的目的、范围、类型、敏感程度、数量、方式、保存期限、存储地点等；	（二）越境する個人情報の目的、範囲、種類、機密性、数量、方法、保管期間、保管場所等
（三）个人信息处理者和境外接收方保护个人信息的责任与义务，以及为防范个人信息出境可能带来安全风险所采取的技术和管理措施等；	（三）個人情報取扱事業者及び海外受取事業者の個人情報保護に関する責任及び義務並びに個人情報等の持ち出しに伴い発生し得る安全上のリスクを防止するために講じた技術的及び管理的措置。
（四）境外接收方所在国家或者地区的个人信息保护政策法规对遵守本合同条款的影响；	（四）海外の受取人の国または地域における個人情報保護に関する政策や規制が、この契約条件の遵守に与える影響。
（五）个人信息主体的权利，以及保障个人信息主体权利的途径和方式；	（五）個人情報主体の権利、及び個人情報主体の権利を保護する方法・手段
（六）救济、合同解除、违约责任、争议解决等。	（六）救済措置、契約の解除、契約不履行責任、紛争解決等
第七条个人信息处理者应当在标准合同生效之日起10个工作日内，向所在地省级网信部门备案。备案应当提交以下材料：	第7条個人情報取扱事業者は、標準契約書の発効日から10営業日以内に、所在地の省内インターネット情報部門に契約書を提出しなければならない。記録のため、以下の資料を提出すること。
（一）标准合同；	（一）標準契約。
（二）个人信息保护影响评估报告。	（二）個人情報保護に関する影響評価報告書。
个人信息处理者对所备案材料的真实性负责。标准合同生效后个人信息处理者即可开展个人信息出境活动。	個人情報取扱事業者は、提出された資料の真偽について責任を負うものとする。個人情報処理事業者は、標準契約の効力発生後、個人情報の越境移転を行うことがでる。
第八条在标准合同有效期内出现下列情况之一的，个人信息处理者应当重新签订标准合同并备案：	第8条個人情報処理事業者は、標準契約の有効期間中に次の各号の一に該当する事由が生じたときは、標準契約を再締結し、これを届け出るものとする。
（一）向境外提供个人信息的目的、范围、类型、敏感程度、数量、方式、保存期限、存储地点和境外接收方处理个人信息的用途、方式发生变化，或者延长个人信息境外保存期限的；	（一）海外の受取人に提供する個人情報の利用目的、範囲、種類、機密性、数量、方法、保管場所及び海外受取人による個人情報の利用及び取扱いの変更、又は国外での個人情報の保管期間の延長。
（二）境外接收方所在国家或者地区的个人信息保护政策法规发生变化等可能影响个人信息权益的；	（二）海外の受取人の所在する国または地域の個人情報保護方針および規則の変更で、個人情報の権利・利益に影響を及ぼす可能性があるもの。
（三）可能影响个人信息权益的其他情况。	（三）その他個人情報の権利利益に影響を及ぼす可能性のある事情。
第九条参与标准合同备案的机构和人员对在履行职责中知悉的个人隐私、个人信息、商业秘密、保密商务信息等应当依法予以保密，不得泄露或者非法向他人提供、非法使用。	第9条標準契約書の提出に関わる機関および職員は、職務遂行上知り得た個人のプライバシー、個人情報、商業上の秘密および業務上の機密を法律に従い守秘し、他人に開示し、または違法に使用してはならない。
第十条任何组织和个人发现个人信息处理者违反本规定的，有权向省级以上网信部门投诉、举报。	第10条個人情報取扱事業者が本規定に違反していると認める組織または個人は、省レベル以上のインターネット情報部門に苦情または通報する権利を有する。
第十一条省级以上网信部门发现通过签订标准合同的个人信息出境活动在实际处理过程中不再符合个人信息出境安全管理要求的，应当书面通知个人信息处理者终止个人信息出境活动。个人信息处理者应当在收到通知后立即终止个人信息出境活动。	第11条省レベル以上のインターネット情報部門は、標準契約の締結による個人情報越境移転が、実際の処理過程で個人情報越境移転の安全管理のための要件を満たさなくなったと判断した場合、個人情報加工業者に書面により通知し、個人情報越境移転を中止させなければならない。個人情報処理事業者は、通知を受けた後、直ちに個人情報の越境移転を停止する。
第十二条个人信息处理者按照本规定与境外接收方签订标准合同向境外提供个人信息，出现以下情形之一的，由省级以上网信部门依照《中华人民共和国个人信息保护法》的规定，责令限期改正；拒不改正或者损害个人信息权益的，责令停止个人信息出境活动，依法予以处罚；构成犯罪的，依法追究刑事责任。	第12条個人情報取扱事業者が、本規定に基づき海外の受取人と標準契約を締結し、個人情報を国外に提供する場合、省レベル以上のインターネット情報部門は、「中華人民共和国個人情報保護法」の規定に基づき、一定期間内に是正を命ずる。また、是正せず個人情報の権利・利益を損害した場合は、個人情報越境移転行為の停止を命じ、法律に基づき処罰する。刑事責任は、法律に従って調査される。
（一）未履行备案程序或者提交虚假材料进行备案的；	（一）申告手続きに従わず、または虚偽の申告資料を提出した場合。
（二）未履行标准合同约定的责任义务，侵害个人信息权益造成损害的；	（二）標準契約で合意した責任義務を履行せず、個人情報の権利利益を侵害し、損害を与えた場合。
（三）出现影响个人信息权益的其他情形。	（三）その他個人情報の権利利益に影響を及ぼす場合。
第十三条本规定自___年___月___日起施行。	第13条この規定は、○月○日から施行する。

● まるちゃんの情報セキュリティ気まぐれ日記

・2022.02.20 中国「ネットワークセキュリティ審査弁法」についての2つの専門家の意見

・2022.01.05 中国ネットワークセキュリティ審査弁法

・2022.01.03 中国全国人民大会個人情報保護法についての記事

・2021.12.29 中国ネットワークセキュリティ・情報技術中央委員会が「第14次5ヵ年国家情報化計画」を発表していますね。。。

・2021.12.28 中国全国人民大会法の支配に向かうデータセキュリティ

・2021.12.27 中国通信院テレマティックス白書と量子情報技術の開発と応用に関する調査報告書

・2021.12.26 中国インターネット上の宗教情報サービスの管理に関する弁法

・2021.12.25 中国意見募集産業情報技術分野におけるデータセキュリティリスク情報の報告・共有に関するガイドライン（試行）

・2021.12.24 中国通信院グローバルデジタルガバナンス白書、ブロックチェーン白書、デジタルツインシティ白書、デジタルカーボンニュートラル白書、ビッグデータ白書、インターネット法白書

・2021.12.12 中国サイバースペース管理局が、CNCERTと中国サイバースペースセキュリティ協会が、アプリによる個人情報の違法・不正な収集・利用に関する監視・分析レポートを発表したと公表していますね。。。

・2021.11.20 中国インターネットの法の支配についての普及・教育計画

・2021.11.16 中国意見募集ネットワークデータセキュリティ管理条例

・2021.11.01 中国意見募集インターネットユーザアカウント名情報の管理に関する規則

・2021.11.01 中国意見募集データ域外移転のセキュリティ評価に関する弁法

・2021.10.22 中国意見募集国家標準案「情報セキュリティ技術自動車収集データに関するセキュリティ要件」

・2021.10.04 中国意見募集ネットワークセキュリティ基準実施要領-データ分類・等級付けガイドライン（案）

・2021.08.31 中国「個人情報保護法」についての専門家の解釈

・2021.08.30 中国「重要情報インフラのセキュリティ保護規制」についての専門家の解釈＋「データセキュリティ法」についての解釈

・2021.08.28 中国意見募集国家サイバースペース管理局「インターネット情報サービスのアルゴリズムによる推奨に関する管理規定」

・2021.08.24 中国全国人民代表大会常務委員会法制委員会経済法室の楊和慶副室長による個人情報保護法の説明

・2021.08.23 中国自動車データのセキュリティ管理に関する一定の規定（試行）が公表されていますね。。。at 2021.08.16

・2021.08.22 中国個人情報保護法は2021.11.01施行

・2021.08.18 中国国務院令第745号重要情報インフラのセキュリティ保護規制

・2021.08.15 中国個人情報保護法案が少し改訂されているようですね。。。

・2021.08.11 中国通信院プライバシーコンピューティング白書 (2021) at 2021.07.21

・2021.08.03 中国最高人民法院「民事案件における顔識別技術の使用に関する司法解釈」

・2021.07.14 中国工業情報化部意見募集「サイバーセキュリティ産業の質の高い発展のための3カ年行動計画（2021-2023）」

・2021.06.12 中国データセキュリティ法が承認され2021.09.01施行されますね。。。

・2021.05.20 中国意見募集自動車データセキュリティの管理に関する規定 at 2021.05.12

・2021.05.19 中国スパイ対策のセキュリティ作業を強化・標準化する等のための「スパイ活動のセキュリティ対策規定」を制定していました...

・2021.05.13 中国意見募集顔認識、歩行認識、音声認識に続けて、遺伝子認識のデータセキュリティ要件の国家標準案を発表し、意見募集していますね。。。

・2021.05.03 中国意見募集顔認識に続けて、歩行認識、音声認識のデータセキュリティ要件の国家標準案を発表し、意見募集していますね。。。

・2021.04.28 中国意見募集スマホアプリによる個人情報保護管理に関する暫定規定

・2021.01.09 中国互联网信息服务管理办法（インターネット情報サービスの運営に関する措置）の改訂案について意見募集中

・2021.01.05 2020年のプライバシー・データセキュリティ法関係のコンパクトなまとめ

・2020.10.29 中国が情報セキュリティに関連の国家標準のパブコメ (2020.03.20期日以降2020.11.29まで分)

・2020.10.29 パブコメ　中国の個人情報保護法案 (2020.10.22)

・2020.10.20 中国パブコメ商業銀行法改正　商業銀行に対し、個人情報の適正な取得、目的外利用の禁止、安全の確保等の義務付け

・2020.07.06 中国のデータセキュリティ法案

・2020.06.09 中国「サイバーセキュリティー審査弁法」が6月1日より施行されましたね。。。

・2020.05.02 中国サイバースペース管理局、他11局が共同で、サイバーセキュリティレビューのための措置を発行しましたね。。。

越境移転関係

・2022.06.23 個人情報保護委員会「個人情報保護委員会の国際戦略」の公表

・2022.04.23 米国フィリピンシンガポール台湾グローバル越境プライバシールール（CBPR）フォーラム設立関連..

・2022.04.22 個人情報保護委員会経済産業省グローバル越境プライバシールール（CBPR）フォーラム設立に向けた宣言

・2022.03.08 経済産業省データの越境移転に関する研究会報告書 (2022.02.28)

・2021.11.21 欧州データ保護委員会 (EDPB)　意見募集第三国または他の国への個人データの移転と認定する基準についてのガイド「GDPR第5章における第3条の適用と国際移転に関する規定との相互関係に関するガイドライン 05/2021」

・2021.07.04 ロシア通信・IT・マスメディア監督連邦サービス (Roskomnadzor) が「Google、Facebook、WhatsApp、Twitterは、ロシア人利用者のデータベースのロシアへのローカライズを確認していない」と発表

時代は少し遡り...

・2016.07.14 経済産業省越境データフローに係る制度等の調査研究の報告書

2022.07.02 04:37 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪, in 内部統制 / リスクマネジメント | Permalink | Comments (0)
Tweet

2022.07.01

ENISA 年次プライバシーフォーラム (APF) 2022 in Warsaw (2022.06.24)

こんにちは、丸山満彦です。

ENISAが2022.06.23-24にワルシャワで開催された第10回年次プライバシーフォーラム (APF) 2022 の概要を公表していますね。。。

● ENISA

・2022.06.24 The Annual Privacy Forum (APF) celebrates its first 10 years, as the links between privacy protection & cybersecurity continue to grow

パネルディスカッションでは、次の3つが議論されたようですね。。。

AI and privacy challenges	AIとプライバシーの課題
privacy preserving data sharing	プライバシー保護データ共有
Privacy by Design and cookies.	プライバシーバイデザインとCookie

Key take-aways	主な成果
What became clear from the discussion is that:	今回のディスカッションで明らかになったことは、以下の通りである。
The issues touched upon at the APF affect an ever-broader cross-sector of stakeholders and the open debate needs to continue.	APFで取り上げられた問題は、これまで以上に幅広いステークホルダーに影響を与えており、オープンな議論を継続する必要がある。
AI systems may process personal information independently without taking into account compliance with GDPR data protection principles such as: purpose limitation, data minimization, accountability, fairness or transparency. This may lead to unexpected consequences and negative impacts for individuals, demanding action in terms of adequate safeguards.	AIシステムは、目的の限定、データの最小化、説明責任、公平性、透明性といったGDPRデータ保護原則の遵守を考慮することなく、独自に個人情報を処理する可能性がある。これは、個人にとって予期せぬ結果や悪影響をもたらす可能性があり、適切な保護措置の観点からの対応を要求している。
The risks for privacy stemming from the rapid advancement of digital solutions and the use of multiple sources represent ever-moving targets. They require an approach which addresses the continuously evolving technological and legal challenges, such as:	デジタルソリューションの急速な発展と複数の情報源の利用から生じるプライバシーに関するリスクは、常に変化する標的である。それらは、以下のような継続的に進化する技術的・法的課題に対処するアプローチを必要とする。
・The rule-based use of large AI models in relation to how they may be combined and for what purposes they should be used;	・大規模なAIモデルをどのように組み合わせ、どのような目的で使用するかに関連するルールベースの使用。
・The definition of criteria for trustworthiness in the technologies used providing a sufficient, adequate and meaningful information to users of the technologies and the data subjects;	・技術の利用者とデータ対象者に十分で適切かつ意味のある情報を提供するために使用される技術の信頼性基準の定義。
・Drawing attention to the increasing power of large platforms to predict data subject behaviour and considering a rule-based approach on collective data protection in addition to data subject protection;	・データ主体の行動を予測する大規模なプラットフォームの力が増大していることに注意を喚起し、データ主体の保護に加えて、集団データ保護に関する規則に基づくアプローチを検討すること。
・A collaboration strategy between DPAs which fosters effective enforcement;	・効果的なエンフォースメントを促進するDPA間の連携戦略。
・Privacy preserving data sharing which remains a challenge in the current new EU legislative initiatives. This should take into account the technical aspects of secure date transfers, anti-money laundry and anti-terrorism enforcement, as well as the different roles and bodies that are involved in the supervision related to data sharing including which of these bodies acts as the coordinating authority; and finally	・現在のEUの新たな立法措置において課題となっているプライバシーを保護したデータ共有。これは、安全なデータ転送、アンチマネーロンダリング、アンチテロの実施に関する技術的側面と、データ共有に関連する監督に関与する様々な役割や機関（これらの機関のうち誰が調整当局として機能するかを含む）を考慮する必要がある。
・New tools to adequately respond to the new emerging EU Regulations like the Digital Services Act, Digital Markets Act, the AI Act and NIS2 Directive in order to better protect our fundamental rights.	・デジタルサービス法、デジタル市場法、AI法、NIS2指令などの新しいEU規制に適切に対応し、我々の基本的権利をよりよく保護するための新しいツール。
From a privacy regulator perspective, it is important to build bridges between scientific research and the practice in data protection to effectively deal with new technologies. The principles of transparency, interpretability, explainability and fairness are key.	プライバシー規制当局の立場からは、新しい技術に効果的に対処するために、科学的研究とデータ保護の実務の間に橋を架けることが重要である。透明性、解釈可能性、説明可能性、公平性の原則が重要である。
If privacy by design is applied in cookie banners, data subjects would not be required to define the settings, as they are set in a way that only the minimal settings are default. This especially should be the case for third party cookies. The attention of those parties using cookie banners should be placed on explaining the purpose of using cookies instead of technology-based explanations.	クッキーバナーにおいてプライバシー・バイ・デザインが適用されれば、最低限の設定のみがデフォルトとなるように設定されるため、データ主体が設定を定義する必要はなくなるはずである。特にサードパーティのクッキーについてはそうであるべきである。クッキーバナーを使用する側の注意としては、技術的な説明ではなく、クッキーを使用する目的を説明することに重点を置くべきである。
This 10^th version of the Annual Privacy Forum provided great points to consider for the challenges ahead and set the scene for future Annual Privacy Forums.	今回の第10回年次プライバシー・フォーラムは、今後の課題を考える上で大きなポイントを提供し、今後の年次プライバシー・フォーラムの舞台を整えた。
The next Annual Privacy Forum is planned in 1st and 2nd of June, 2023 in Lyon, France. The APF invites you to join us in	次回の年次プライバシーフォーラムは、2023年6月1日、2日にフランス・リヨンで開催する予定である。APFは、皆様の参加を待っている。

AFP自体のウェブページは、

● Annual Privacy Forum 2022

プログラムは、

・PROGRAMME

2022.07.01 03:42 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪, in AI/Deep Learning | Permalink | Comments (0)
Tweet

2022.06.30

日本公認会計士協会国際会計士倫理基準審議会公開草案「テクノロジー関連のIESBA倫理規程改訂案」に対する意見について

こんにちは、丸山満彦です。

日本公認会計士協会が国際会計士倫理基準審議会公開草案「テクノロジー関連のIESBA倫理規程改訂案」に対する意見を公表していますね。。。

監査法人系の会社によるコンサルティング業務のIT関連ビジネスについての独立性（自己レビュー等）に関係する内容も含まれていますね。。。米国のPCAOBはさらに厳しい規則を課しています。。。

● 日本公認会計士協会

・2022.06.27 国際会計士倫理基準審議会公開草案「テクノロジー関連のIESBA倫理規程改訂案」に対する意見について

・[PDF] 本文（日本語）

なお、元になったのは、、、

● International Ethics Standards Board for Accountants - TECHNOLOGY: ETHICS & INDEPENDENCE CONSIDERATIONS

・2022.02.18 PROPOSED TECHNOLOGY-RELATED REVISIONS TO THE CODE

・[PDF] Proposed Technology-related Revisions to the Code

国際基準とPCAOBの独立性の比較も参考になりますね。。。

・2022.05.06 (press) IESBA STAFF RELEASES BENCHMARKING REPORT COMPARING THE INTERNATIONAL INDEPENDENCE STANDARDS WITH U.S. SEC AND PCAOB INDEPENDENCE RULES

・2022.05.06 SUMMARY: BENCHMARKING THE INTERNATIONAL INDEPENDENCE STANDARDS

2022.06.30 06:23 in 個人情報保護 / プライバシー, in 監査 / 認証, in 内部統制 / リスクマネジメント | Permalink | Comments (0)
Tweet

2022.06.29

メタバースのシステム構成論（佐藤一郎教授の資料 at 総務省情報通信法学研究会AI分科会（令和4年度第1回会合））

こんにちは、丸山満彦です。

昨日は、欧州議会のThink Tankによるメタバース：機会、リスク、政策への影響について載せましたが、今日は総務省情報通信法学研究会AI分科会（令和4年度第1回会合）の佐藤一郎教授（構成員）のメタバースのシステム構成論です。。。

技術進歩とともに、できることが増えることにより、その結果は良い面にも悪い面にも影響を及ぼす、だからどのような政策が必要かというのが昨日の話ですが、そもそも技術の限界はどのようなものかというのが、今回の佐藤先生の資料から見えてくる部分もあるように思います。

これは読む価値があると思います。。。

個人的には、技術進歩により変わってきている一つの要素に没入感があると思います。演算速度、通信速度が高まり、現実に近い画像解像度、音質を３D的に表現しつつ他人とインタラクティブにコミュニケーションができるようになったきたということですね。。。（と言っても、視覚と聴覚だけですが。。。）

それ以外は既に歴史を振り返って検証すればわかることが多いのではないかと思っています。。。（それも佐藤先生の資料にありますが、、、）

そういう意味では、健康や心理的な側面の検討をより進める必要があるのかもしれません。。。

そして当面は、仮想社会ができても、現実社会との紐付けからは逃れられないようにする必要があるようのではないかと思います。つまり、KYC的なものは必要ということになると思います。。。（人類が仮想空間で過ごす時間が現実空間で過ごす時間より増えても、KYC的なものが必要なのは変わらないのであれば、常に必要ということかもしれない。）

ということで、当面の利用は、少人数による管理された環境下（例えば企業内でのコミュニケーション、会員間でのゲームやシミュレーション等）で使われるのが現実的なのかもしれません。。。

とはいえ、プラットフォーマの手数料も含めたシステム開発費、運用費の負担に比した利用のメリットがどれだけあるのか？？？ということを現実的に突き詰めていく頃には、どのようなものが残っているのかというのは興味があります。。。（もちろん、技術進歩により、同じ性能における開発費や運用費も下がっていくでしょうし。。。）

● 総務省 - 情報通信法学研究会

・2022.06.29 情報通信法学研究会AI分科会（令和4年度第1回会合）

[PDF] 資料1 佐藤構成員発表資料

[PDF] 資料2 成原構成員解説資料
[PDF] 参考資料1　情報通信法学研究会開催要綱
[PDF] 参考資料2　情報通信法学研究会分科会構成
[PDF] 参考資料3　学術雑誌『情報通信政策研究』第6巻第1号の特集について

● まるちゃんの情報セキュリティ気まぐれ日記

・2022.06.28 欧州議会 Think Tank メタバース：機会、リスク、政策への影響

・2022.06.09 新しい資本主義のグランドデザイン及び実行計画経済財政運営と改革の基本方針２０２２

2022.06.29 05:02 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in クラウド, in IoT, in AI/Deep Learning | Permalink | Comments (0)
Tweet

2022.06.28

JIPDEC 将来の脅威に対応できるISMS構築のエッセンス～クラウドセキュリティに役立つISO規格～

こんにちは、丸山満彦です。

一般財団法人日本情報経済社会推進協会 (JIPDEC) が、情報セキュリティ対策を行うためのエッセンスを紹介したガイドブック「将来の脅威に対応できるISMS構築のエッセンス～クラウドセキュリティに役立つISO規格～」を新たにまとめ、発行していますね。。。

12ページでコンパクトにまとめられているということですかね。。。

主なポイントは以下のとおりとのことです。。。

■ テレワークによる職場環境やクラウドサービス活用を含むシステム変更等によって変化するリスクにどう対応するかを解説
■ 情報セキュリティにおけるガバナンスの重要性を解説
■ デジタルトランスフォーメーション（DX）推進に即したセキュリティ対策の考え方を紹介

● JIPDEC

・2022.06.27 JIPDEC クラウドサービス提供＆利用のリスク対応を解説したガイドブックを発行 - 今、そして将来の脅威にどう対応する？ISO規格をもとにISMS構築のエッセンスを解説！

・[PDF] 将来の脅威に対応できるISMS 構築のエッセンス～クラウドセキュリティに役立つISO 規格～

目次...

１はじめに
2 目的に沿った運用にするには
2.1 ガバナンス
2.2 リスクマネジメント
2.3 運用時の注意事項
3 効果的な仕組みづくりのために～ISMS 適合性評価制度の活用～
4 おわりに

2022.06.28 05:17 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 監査 / 認証, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in クラウド | Permalink | Comments (0)
Tweet

欧州議会 Think Tank メタバース：機会、リスク、政策への影響

こんにちは、丸山満彦です。

欧州議会のThink Tankが、メタバースをめぐる、機会、リスク、政策への影響について考察したレポートを公表していますね。。。

メタバースというか、仮想現実、拡張現実を利用し、没入感を高めたデジタル環境において、人間社会にどのようなチャンスとリスクがあるのか、それを踏まえてどのような政策が必要かを考察している資料ですね。。。

さすが欧州ですね。日本ではここまで踏み込んで検討していないでしょうね。。。

● European Parliament - Think Tank

・2022.06.24 Metaverse: Opportunities, risks and policy implications

Metaverse: Opportunities, risks and policy implications

メタバース：機会、リスク、政策への影響

One of the most talked about concepts in modern technology, the metaverse can be described as an immersive and constant virtual 3D world where people interact by means of an avatar to carry out a wide range of activities. Such activities can range from leisure and gaming to professional and commercial interactions, financial transactions or even health interventions such as surgery. While the exact scope and impact of the metaverse on society and on the economy is still unknown, it can already be seen that the metaverse will open up a range of opportunities but also a number of risks in a variety of policy areas. Major tech companies are scaling up their metaverse activities, including through mergers and acquisitions. This has given impetus to a debate on how merger regulations and antitrust law should apply. Business in the metaverse is expected to be underpinned largely by cryptocurrencies and non-fungible tokens, raising issues of ownership, misuse, interoperability and portability. Furthermore, the huge volume of data used in the metaverse raises a number of data protection and cybersecurity issues (e.g. how to collect user consent or protect avatars against identity theft). There is considerable scope for a wide range of illegal and harmful behaviours and practices in the metaverse environment. This makes it essential to consider how to attribute responsibility, inter alia, for fighting illegal and harmful practices and misleading advertising practices, and for protecting intellectual property rights. Moreover, digital immersion in the metaverse can have severe negative impacts on health, especially for vulnerable groups, such as minors, who may require special protection. Finally, the accessibility and inclusiveness of the metaverse remain areas where progress has still to be made in order to create an environment of equal opportunities.

現代技術で最も話題になっている概念の一つであるメタバースは、人々がアバターによって交流し、様々な活動を行う没入型かつ恒常的な仮想3D世界と表現することができる。このような活動は、レジャーやゲームから、専門家や商人との交流、金融取引、あるいは手術などの健康介入に至るまで、多岐にわたる。メタバースが社会や経済に及ぼす正確な範囲や影響はまだ不明だが、メタバースがさまざまな政策分野において、さまざまな機会をもたらすと同時に、多くのリスクをもたらすことはすでに確認されている。大手ハイテク企業は、M&Aを含め、メタバース活動を拡大している。このため、合併規制や独禁法の適用をどうするかという議論に弾みがついている。メタバースにおけるビジネスは、主に暗号通貨や非ファンジブルトークンに支えられ、所有権、不正使用、相互運用性、ポータビリティの問題が生じると予想される。さらに、メタバースで使用される膨大なデータは、多くのデータ保護とサイバーセキュリティの問題を提起する（例えば、利用者の同意を収集する方法、ID盗難からアバターを保護する方法など）。メタバース環境では、さまざまな違法・有害な行動や行為が行われる可能性がかなりある。このため、特に違法・有害な行為や誤解を招くような広告手法との戦い、および知的財産権の保護について、どのように責任を帰属させるかを検討することが不可欠である。さらに、メタバースにおけるデジタルへの没入は、特に特別な保護を必要とする未成年者などの脆弱な集団にとって、健康に深刻な悪影響を及ぼす可能性がある。最後に、メタバースのアクセシビリティと包摂性は、機会均等の環境を作るために、依然として進展が必要な領域である。

検討している内容は、次の７分野で、

o Competition	o 競争
o Data protection	o データ保護
o Liabilities	o 負債
o Financial transactions	o 金融取引
o Cybersecurity	o サイバーセキュリティ
o Health	o 健康
o Accessibility and inclusiveness	o アクセシビリティと包摂性

それぞれ、課題、考えられる政策的影響を分析しています。

非常に参考になると思います。

・2022.06.24 [PDF] Metaverse - Opportunities, risks and policy implications

内容は、、、

↓

Continue reading "欧州議会 Think Tank メタバース：機会、リスク、政策への影響"

2022.06.28 04:39 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in IoT, in AI/Deep Learning | Permalink | Comments (0)
Tweet

2022.06.27

ドイツ BSI TR-03161 ヘルスケア分野でのアプリケーション等に対するセキュリティ要求事項

こんにちは、丸山満彦です。

ドイツが、ヘルスケア分野のアプリケーションについてのセキュリティ要求事項を「モバイルアプリケーション (TR-03161-1)」、「ウェブアプリケーション (TR-03161-2)」、「バックグラウンドシステム (TR-03161-3)」に分けて公表していますね。。。

● Bundesamt für Sicherheit in der Informationstechnik: BSI

プレス...

・2022.06.23 Bundesamt für Sicherheit in der Informationstechnik BSI veröffentlicht Technische Richtlinien zur Sicherheit von Digitalen Gesundheitsanwendungen

BSI veröffentlicht Technische Richtlinien zur Sicherheit von Digitalen Gesundheitsanwendungen	BSI、デジタルヘルス・アプリケーションのセキュリティに関する技術指針を発表
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Sicherheitsanforderungen an Anwendungen im Gesundheitswesen veröffentlicht. Im Rahmen unterschiedlicher explorativer Projekte konnte das BSI in den letzten Jahren Erkenntnisse über den aktuellen Stand der IT-Sicherheit im Gesundheitswesen gewinnen. Um Herstellern und Betreibern mit präventiven Maßnahmen weitere Hilfestellungen geben zu können, wurden Sicherheitsanforderungen für unterschiedliche Teilbereiche von Anwendungen im Gesundheitswesen verfasst. Die Technische Richtlinie (TR) umfasst in mehreren Teilen Anforderungen an mobile Anwendungen (TR-03161-1), Web-Anwendungen (TR-03161-2) und Hintergrundsysteme (TR-03161-3).	ドイツ連邦情報セキュリティ局 (BSI) は、ヘルスケア分野のアプリケーションに対するセキュリティ要件を発表しました。BSIは、さまざまな探索的プロジェクトの枠組みの中で、近年のヘルスケア分野におけるITセキュリティの現状について知見を得ることができました。メーカーやオペレーターに予防策を提供できるよう、ヘルスケア分野のさまざまなアプリケーションのサブエリアについて、セキュリティ要件が作成されています。本技術指針は、モバイルアプリケーション (TR-03161-1) 、ウェブアプリケーション (TR-03161-2) 、バックグラウンドシステム (TR-03161-3) の要件をいくつかのパートに分けて構成しています。
Die Anforderungen basieren auf dem aktuellen Stand der Technik im Gesundheitswesen und den Erkenntnissen aus unterschiedlichen Projekten des BSI. Darüber hinaus repräsentieren sie aus Sicht des BSI das Ergebnis eines regelmäßigen Austauschs mit der Industrie sowie der Beteiligung des Bundesinstituts für Arzneimittel und Medizinprodukte (BfArM) und dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI). Unter Berücksichtigung der stark fortschreitenden Digitalisierung im Gesundheitswesen und des sich wandelnden Standes der Technik, pflegt das BSI weiterhin einen regelmäßigen Austausch mit Vertretern der Industrie und den zuständigen Behörden. Die sich hieraus ergebenden Erkenntnisse werden im Rahmen einer jährlichen Evaluierung der TR berücksichtigt und in Form von Anpassungen und Erweiterungen mit aufgenommen.	要件は、ヘルスケアにおける現状と、BSIのさまざまなプロジェクトで得られた知見に基づいています。さらに、BSIの観点からは、産業界との定期的な交流や、連邦医薬品・医療機器研究所 (BfArM) 、連邦データ保護・情報自由委員会 (BfDI) の関与の結果であると言えるでしょう。BSIは、急速に進むヘルスケア分野のデジタル化とその状況の変化を考慮し、産業界や所轄官庁の代表者と定期的な交流を続けています。その結果得られた知見は、毎年行われるTRの評価で考慮され、適応や拡張の形で盛り込まれます。
Für den Nachweis der Konformität gegenüber den beschriebenen Sicherheitsanforderungen bietet das BSI jeweils ein Zertifizierungsverfahren nach TR an.	記載されたセキュリティ要件に適合していることを証明するために、BSI は TR に従った認証手続きを提供します。
Digitale Gesundheitsanwendungen (DiGA) nach § 33 a SGB V und digitale Pflegeanwendungen (DiPA) nach § 40 a SGB XI können grundsätzlich als Anwendungen im Gesundheitswesen gewertet werden. Eine Anerkennung der Zertifizierung nach TR für DiGA in Bezug auf § 139 e Absatz 10 SGB V und DiPA in Bezug auf § 78 a SGB XI Absatz 7 als Nachweis der einzuhaltenden Sicherheitsanforderungen obliegt dem BfArM.	33 a SGB Vによるデジタルヘルスアプリケーション (DiGA) と40 a SGB XIによるデジタルケアアプリケーション (DiPA) は、基本的にヘルスケア分野におけるアプリケーションとして評価することができる。満たすべき安全要件の証明として、SGB V §139 e 10 項に関する DiGA および SGB XI §78 a 7 項に関する DiPA の TR による認証の承認は、BfArM の責任です。

・2022.06.23 BSI TR-03161 Anforderungen an Anwendungen im Gesundheitswesen

BSI TR-03161 Anforderungen an Anwendungen im Gesundheitswesen	BSI TR-03161 ヘルスケア分野でのアプリケーションに対する要求事項
Gegenstand der Technischen Richtlinie	技術指針の対象
Nach Einschätzung des Bundesministeriums für Gesundheit stehen die Gesundheitssysteme der westlichen Welt vor großen Herausforderungen. Es gilt immer mehr ältere und chronisch kranke Menschen zu behandeln, teure medizinische Innovationen zu bezahlen und strukturschwache ländliche Gebiete medizinisch zu versorgen [BMG-EHI]. Anwendungen im Gesundheitswesen können helfen, solche und andere Herausforderungen besser zu lösen. Sie haben das allgemeine Ziel bei „der Behandlung und Betreuung von Patientinnen und Patienten“ zu unterstützen und ,,die Möglichkeiten [zu] nutzen, die moderne Informations- und Kommunikationstechnologien (IKT) bieten“ [BMG-EH].	連邦保健省によると、欧米の医療制度は大きな課題に直面しています。高齢者や慢性疾患患者が増え、高価な医療技術革新に費用がかかり、構造的に弱い地方に医療を提供しなければならないのです[BMG-EHI]。ヘルスケア・アプリケーションは、このような課題をよりよく解決するために役立ちます。これらは、「患者の治療とケア」を支援し、「現代の情報通信技術 (ICT) が提供する可能性を利用する」ことを一般的な目的としています[BMG-EH]。
Die Familie von Technische Richtlinien (TR) richtet sich an Hersteller von Anwendungen im Gesundheitswesen. Zusätzlich kann sie als Richtlinie für Anwendungen betrachtet werden, welche sensible Daten verarbeiten oder speichern.	技術ガイドライン (TR) ファミリーは、ヘルスケア分野のアプリケーションメーカーを対象としています。また、機密性の高いデータを処理・保管するアプリケーションのガイドラインとしても考慮できる。
Zielsetzung der Technischen Richtlinie	技術指針の目的
Die Digitalisierung aller Lebensbereiche, sei es im Beruf, in Heimumgebungen, im Individual- oder im öffentlichen Personenverkehr, schreitet stetig voran. Bereits im Jahr 2018 überschritt die Anzahl der Internetnutzer die Grenze von vier Milliarden Menschen. Zwei Drittel der zurzeit 7,6 Milliarden Menschen zählenden Weltbevölkerung nutzen ein Mobiltelefon. Mehr als drei Milliarden Menschen nutzen soziale Netzwerke und tun dies in neun von zehn Fällen über ihr Smartphone (vgl. [GDR18]). Diese Entwicklung setzt sich im Gesundheitswesen mit dem Trend zum „Self-Tracking“, aber auch mit der zunehmenden Forderung nach der effizienten Nutzung einmal erhobener medizinischer Daten fort. Insbesondere im Gesundheitswesen ist es dabei komfortabel, dass orts- und zeitunabhängig auf die eigenen medizinischen Daten zugegriffen werden kann. Anwendungen speichern in diesem Fall sensible und persönliche Daten - von der Pulsfrequenz, über Aufzeichnungen des Schlafrhythmus bis hin zu Medikationsplänen sowie ärztlichen Verordnungen und Bescheinigungen. Sie verbinden den Nutzer mit entsprechenden Services und fungieren als Kommunikations-Knotenpunkte. Ein kompromittiertes Endgerät kann somit das gesamte digitale Leben des Nutzers ungewollt offenlegen und zu hohem finanziellen Schaden führen. Das Einhalten von geeigneten Sicherheitsstandards kann dies wesentlich erschweren und möglicherweise sogar verhindern. Schon während der Entwicklungsphase sollten Hersteller sehr verantwortungsvoll planen, wie eine Anwendung personenbezogene und andere sensible Daten verarbeitet, speichert und schützt.	職場、家庭環境、個人、公共交通機関など、生活のあらゆる場面でデジタル化が着実に進行しています。すでに2018年には、インターネット利用者が40億人を突破しています。現在、世界の人口76億人のうち、3分の2が携帯電話を使用しています。30億人以上の人々がソーシャルネットワークを利用し、10件中9件はスマートフォンから利用しています ([GDR18]を参照) 。このような動きは、ヘルスケア分野でも続いており、「セルフトラッキング」の流れに加え、一度収集した医療データの効率的な活用が求められています。特に医療分野では、場所や時間に関係なく自分の医療データにアクセスできるのは便利なことです。この場合、アプリケーションには、脈拍や睡眠リズムの記録、投薬計画、医療処方箋や証明書など、機密性の高い個人情報が保存されます。ユーザーを対応するサービスに接続し、通信ノードとして機能する。エンドデバイスが危険にさらされると、意図せずユーザーのデジタルライフ全体が明らかになり、高額な金銭的損害につながる可能性があるのです。適切なセキュリティ基準を遵守することで、このような事態をより困難なものとし、場合によっては防ぐことができます。開発段階であっても、メーカーはアプリケーションが個人情報やその他の機密情報をどのように処理し、保存し、保護するかについて、非常に責任ある計画を立てる必要があります。
Die IT-Sicherheit verfolgt im Wesentlichen drei Schutzziele: Vertraulichkeit, Integrität und Verfügbarkeit.	ITセキュリティは、基本的に3つの保護目標を追求しています。機密性、完全性、可用性。
Gerade bei Anwendungen im Gesundheitswesen ist die Einhaltung dieser Anforderungen von besonderer Wichtigkeit. Insbesondere im Gesundheitswesen ist die Vertraulichkeit von Gesundheitsdaten, die unwillentlich offenbart werden, für immer verloren. Der Patient könnte hierfür zwar Schadensersatz erhalten, die unwillentliche Offenbarung kann allerdings nicht ungeschehen gemacht werden. Darüber hinaus können durch das ungewollte Bekanntwerden von Gesundheitsdaten unerwünschte Folgen mit erheblichen Auswirkungen im sozialen wie auch im beruflichen Umfeld entstehen. Sollte ein Angreifer in der Lage sein, sensible Daten eines Dritten zu manipulieren und damit deren Integrität zu verletzen, könnte er wesentlichen Einfluss auf Therapieentscheidungen und letztlich die Gesundheit des Betroffenen haben.	特に、ヘルスケア分野のアプリケーションでは、これらの要件への適合が重要です。特に医療分野では、意図せず公開された健康データの機密性は永遠に失われます。この場合、患者は補償を受けることができるが、強制的な開示は元に戻すことができません。また、意図せずして健康データが開示されると、社会的・職業的に大きな影響を及ぼし、好ましくない結果になることもあります。万が一、攻撃者が第三者の機密データを操作し、その完全性を侵害した場合、治療の意思決定、ひいては本人の健康に大きな影響を与える可能性があります。
Diese Familie von Technische Richtlinien soll als Leitfaden dienen, um Entwickler von Anwendungen bei der Erstellung sicherer Lösungen zu unterstützen.	この技術ガイドラインファミリーは、アプリケーション開発者が安全なソリューションを作成するためのガイドとして機能することを目的としています。
BSI TR-03161 Anforderungen an Anwendungen im Gesundheitswesen - Teil 1: Mobile Anwendungen	BSI TR-03161 ヘルスケアアプリケーションの要件 - パート1：モバイルアプリケーション
BSI TR-03161 Anforderungen an Anwendungen im Gesundheitswesen - Teil 2: Web-Anwendungen	BSI TR-03161 ヘルスケアアプリケーションの要件 - パート2：ウェブアプリケーション
BSI TR-03161 Anforderungen an Anwendungen im Gesundheitswesen - Teil 3: Hintergrundsysteme	BSI TR-03161 ヘルスケアアプリケーションの要件 - Part 3: バックグラウンドシステム
Biometrie bei mobilen Gesundheitsanwendungen	モバイルヘルスアプリケーションにおけるバイオメトリクス
Neue mobile Gesundheitsanwendungen sehen unter anderem auch eine biometrische Benutzerauthentisierung vor. Allerdings weist der Markt eine hohe Zahl an biometrischen Komponenten für mobile Endgeräte auf, welche sich in Performanz und Fälschungssicherheit deutlich unterscheiden. Um sicherzustellen, dass die biometrischen Authentifizierungsverfahren auf Smartphones für mobile Gesundheitsanwendungen ein ausreichendes Vertrauensniveau erreichen, will das BSI biometrische Authentifikationssysteme auf Smartphones prüfen und im Frühjahr 2022 eine initiale Whitelist geeigneter Geräte veröffentlichen, welche danach in regelmäßigen Abständen aktualisiert werden wird. Eine Verwendung biometrischer Authentisierungsmethoden wird nur für Geräte in dieser Whitelist zulässig sein, alle anderen werden sich auf die klassischen PIN/Passwort-Verfahren beschränken müssen.	モバイルヘルスの新しいアプリケーションには、バイオメトリクスによるユーザー認証が含まれます。しかし、市場にはモバイル機器用の生体認証部品が数多く存在し、その性能や偽造防止性能は大きく異なっているのが現状です。BSIは、モバイルヘルスアプリケーション用のスマートフォンにおける生体認証手順が十分な信頼性を達成できるよう、スマートフォンにおける生体認証システムのテストを行い、2022年春に適切なデバイスの初期ホワイトリストを公開し、その後定期的に更新する予定です。生体認証の使用は、このホワイトリストに登録された機器にのみ許可され、それ以外の機器では従来のPIN/パスワードによる認証に限定されます。
Die Anforderungen für diese Prüfung ergeben sich aus der - derzeit im Finalisierungs- und Veröffentlichungsprozess befindlichen - Technischen Richtlinie TR-03161-1 (Anhang C). Hersteller von Endgeräten, die an einer Listung ihrer Endgeräte in dieser Whitelist interessiert sind, werden gebeten, sich mit dem BSI in Verbindung zu setzen. In diesem Zuge werden die konkreten Prüfanforderungen sowie nähere Informationen zum Prüfprozess bereitgestellt. Die Prüfung besteht dabei im Wesentlichen aus zwei Komponenten. Zunächst benötigt das BSI eine Herstellererklärung, die dokumentiert, dass das jeweilige Endgerät die näher bezeichneten Anforderungen erfüllt und wie diese Prüfung seitens des Hersteller erfolgt ist. Diese Herstellererklärung wird dann im BSI auf Plausibilität geprüft. Darüber hinaus behält sich das BSI eine stichprobenartige praktische Kontrolle der Endgeräte vor.	本テストの要求事項は、現在最終版として発行されている技術指針 TR-03161-1 (Annex C) から導き出されたものです。このホワイトリストへの掲載を希望するエンドデバイスの製造者は、BSI に連絡することが望まれる。本講座では、具体的なテスト要件に加え、テストプロセスに関するより詳細な情報を提供します。このテストは、基本的に2つの要素で構成されています。まず、BSIは、それぞれのエンドデバイスが指定された要件を満たしていること、そしてこのテストが製造者によってどのように実施されたかを文書化した製造者の宣言を要求しています。この製造者の宣言は、BSIでもっともらしいかどうかチェックされる。さらに、BSI は、エンドデバイスのランダムな実地チェックを行う権利を留保します。
Endgeräte werden in die Whitelist aufgenommen, soweit die Angaben in der Herstellererklärung plausibel sind und - sofern einschlägig - eine etwaige stichprobenartige Prüfung des jeweiligen Endgeräts keine Zweifel an der Herstellererklärung aufgeworfen hat. Erfolgt die stichprobenartige Kontrolle nach der initialen Listung des Endgerätes in der Whitelist, kann ein negatives Prüfergebnis zur Entfernung dieses Gerätes von der Whitelist führen. Jeder Eintrag in der Whitelist beinhaltet die Hersteller- und Modellbezeichnung, die zugelassene biometrische Modalität und die ggf. notwendige Konfiguration für ein als geeignet eingestuftes Gerät. Weitere Informationen werden nicht veröffentlicht. Insbesondere ist nicht geplant, eine Art „Blacklist“ mit solchen Geräten, die die Anforderungen nicht erfüllen, zu veröffentlichen.	端末機器は、製造者の宣言に記載されている情報が妥当であり、かつ (該当する場合) 各端末機器のランダムチェックで製造者の宣言に疑義が生じない場合に、ホワイトリストに掲載されます。ホワイトリストにエンドデバイスを最初に登録した後にランダムチェックを実施した場合、テスト結果がよくなければ、このデバイスをホワイトリストから削除することができます。ホワイトリストの各項目には、メーカー名とモデル名、承認された生体認証モダリティ、適切と判断されたデバイスに必要な設定 (ある場合) が含まれています。それ以外の情報は公開されません。特に、要件を満たさないそのような機器の「ブラックリスト」のようなものを公表する予定はない。
Der gesamte Prüf- und Veröffentlichungsprozess erfolgt seitens des BSI unter Wahrung der Vertraulichkeit. Den Herstellern wird zudem - sowohl im Falle einer Aufnahme ihrer Endgeräte in die Whitelist als auch im Falle einer Ablehnung - unter angemessener Fristsetzung Gelegenheit zur Stellungnahme gegeben werden.	テストと公表の全プロセスは、BSIが機密を保持しながら実施します。さらに、製造者は、合理的な期間内に、ホワイトリストにエンドデバイスを含める場合と拒否する場合の両方について、意見を述べる機会を与えられます。
Aufgrund des dargestellten Prüfprozesses erhebt die Whitelist keinen Anspruch auf Vollständigkeit. Aus der fehlenden Listung eines Endgerätes in der Whitelist kann somit nicht zwingend der Schluss gezogen werden, dass dieses Gerät die Prüfanforderungen nicht erfüllt.	上記のような審査のため、ホワイトリストが完全であるとは言えません。ホワイトリストに含まれていないからといって、必ずしもテスト要件を満たしていないとは限りません。

モバイル版 T1

・[PDF] BSI TR-03161 Anforderungen an Anwendungen im Gesundheitswesen - Teil 1: Mobile Anwendungen

ウェブアプリケーション版 T2

・[PDF] BSI TR-03161 Anforderungen an Anwendungen im Gesundheitswesen - Teil 2: Web-Anwendungen

バックグラウンドシステム版 T3

・[PDF] BSI TR-03161 Anforderungen an Anwendungen im Gesundheitswesen - Teil 3: Hintergrundsysteme

目次は共通項目が多いので、、、

		-1	-2	-3
1 Einleitung	1 はじめに	●	●	●
1.1 Gegenstand der Technischen Richtlinie	1.1 技術指針の主題	●	●	●
1.2 Zielsetzung der Technischen Richtlinie	1.2 技術指針の目的	●	●	●
1.3 Übersicht der Technischen Richtlinie	1.3 技術指針の概要	●	●	●
1.3.1 Methodik	1.3.1 方法論	●	●	●
1.3.2 Begriffe	1.3.2 用語の説明	●	●	●
2 Überblick der Sicherheitsanforderungen an Anwendungen im Gesundheitswesen	2 ヘルスケアアプリケーションに求められるセキュリティ要件の概要	●	●	●
2.1 Anwendungskonzepte auf mobilen Endgeräten	2.1 モバイル端末におけるアプリケーションの概念	●	●	●
2.1.1 Native-Anwendungen	2.1.1 ネイティブアプリケーション	●	●	●
2.1.2 Hybride Ansätze	2.1.2 ハイブリッド・アプローチ	●	●	●
2.2 Web-Anwendungen	2.2 ウェブアプリケーション	●	●	●
2.3 Hintergrundsysteme	2.3 バックグラウンド・システム	●	●	●
2.3.1 Selbst gehostete Systeme	2.3.1 セルフホストシステム	●	●	●
2.3.2 Extern gehostete Systeme	2.3.2 外部からホストされるシステム	●	●	●
2.3.3 Cloud Computing	2.3.3 クラウドコンピューティング	●	●	●
2.4 Security Problem Definition	2.4 セキュリティ問題の定義	●	●	●
2.4.1 Annahmen	2.4.1 前提条件	●	●	●
2.4.2 Bedrohungen	2.4.2 脅威	●	●	●
2.4.3 Organisatorische Sicherheitspolitiken	2.4.3 組織的なセキュリティポリシー	●	●	●
2.4.4 Restrisiken	2.4.4 残留リスク	●	●	●
3 Prüfaspekte für Anwendungen im Gesundheitswesen	3 ヘルスケアアプリケーションのためのテストの側面	●	●	●
3.1 Prüfaspekte	3.1 テスト面	●	●	●
3.1.1 Prüfaspekt (1): Anwendungszweck	3.1.1 テスト側面 (1) ：適用目的	●	●	●
3.1.2 Prüfaspekt (2): Architektur	3.1.2 テスト側面 (2) ：アーキテクチャ	●	●	●
3.1.3 Prüfaspekt (3): Quellcode	3.1.3 テスト側面 (3) ：ソースコード	●	●	●
3.1.4 Prüfaspekt (4): Drittanbieter-Software	3.1.4 テスト側面 (4) ：サードパーティソフトウェア	●	●	●
3.1.5 Prüfaspekt (5): Kryptographische Umsetzung	3.1.5 テスト側面 (5) ：暗号化実装	●	●	●
3.1.6 Prüfaspekt (6): Authentifizierung	3.1.6 テスト側面 (6) ：認証	●	●	●
3.1.7 Prüfaspekt (7): Datensicherheit	3.1.7 テスト側面 (7) ：データセキュリティ	●	●	●
3.1.8 Prüfaspekt (8): Kostenpflichtige Ressourcen	3.1.8 テスト側面 (8) ：有償リソース	●	●	●
3.1.9 Prüfaspekt (9): Netzwerkkommunikation	3.1.9 テスト側面 (9) ：ネットワーク通信	●	●
3.1.10 Prüfaspekt (10): Plattformspezifische Interaktionen	3.1.10 テスト側面 (10) ：プラットフォーム固有のインタラクション	●	●
3.1.9 Prüfaspekt (9): Netzwerksicherheit	3.1.9 テスト側面 (9) ：ネットワークセキュリティ			●
3.1.10 Prüfaspekt (10): Organisatorische Sicherheit	3.1.10 テスト側面 (10) ：組織的なセキュリティ			●
3.1.11 Prüfaspekt (11): Resilienz	3.1.11 テスト側面 (11) ：回復力	●	●
4 Prüfschritte einer Anwendung im Gesundheitswesen	4. ヘルスケアアプリケーションのテストステップ	●	●	●
4.1 Anforderungen an die Prüfung	4.1 テスト要件	●	●	●
4.2 Protokollierung der Ergebnisse	4.2 結果の記録	●	●	●
4.3 Testcharakteristika	4.3 テスト特性	●	●	●
4.3.1 Testcharakteristik zu Prüfaspekt (1): Anwendungszweck	4.3.1 テスト側面 (1) に対するテスト特性：適用目的	●	●	●
4.3.2 Testcharakteristik zu Prüfaspekt (2): Architektur	4.3.2 テスト側面 (2) のテスト特性：アーキテクチャ	●	●	●
4.3.3 Testcharakteristik zu Prüfaspekt (3): Quellcode	4.3.3 テスト側面 (3) のテスト特性：ソースコード	●	●	●
4.3.4 Testcharakteristik zu Prüfaspekt (4): Drittanbieter-Software	4.3.4 テスト側面 (4) ：サードパーティソフトウェアに関するテスト特性	●	●	●
4.3.5 Testcharakteristik zu Prüfaspekt (5): Kryptographische Umsetzung	4.3.5 テスト側面 (5) のテスト特性：暗号化実装	●	●	●
4.3.6 Testcharakteristik zu Prüfaspekt (6): Authentifizierung	4.3.6 テスト側面 (6) のテスト特性：認証	●	●	●
4.3.7 Testcharakteristik zu Prüfaspekt (7): Datensicherheit	4.3.7 テスト側面 (7) に対するテスト特性：データセキュリティ	●	●	●
4.3.8 Testcharakteristik zu Prüfaspekt (8): Kostenpflichtige Ressourcen	4.3.8 テスト側面 (8) のテスト特性：有償リソース	●	●	●
4.3.9 Testcharakteristik zu Prüfaspekt (9): Netzwerkkommunikation	4.3.9 テスト側面 (9) のテスト特性：ネットワーク通信	●	●	●
4.3.10 Testcharakteristik zu Prüfaspekt (10): Plattformspezifische Interaktionen	4.3.10 テスト側面 (10) ：プラットフォーム固有のインタラクションに関するテスト特性	●	●	●
4.3.11 Testcharakteristik zu Prüfaspekt (11): Resilienz	4.3.11 テスト側面 (11) のテスト特性：弾力性 (Resilience	●	●
5 Sicherheitsstufen und Risikoanalyse	5 セキュリティレベルとリスク分析	●	●	●
Anhang A: Schutzbedarf sensibler Datenelemente	附属書A：機密データ要素の保護要件	●	●	●
Anhang B: Begutachtungsperspektive	附属書B：評価の視点	●	●	●
B.1. Primäres Designziel	B.1. 設計の主目的	●	●	●
B.2. Schutzmechanismen	B.2. 保護機構	●	●	●
B.3. Sichere Entwicklung	B.3. 安全な開発	●	●	●
B.4. Authentifizierung	B.4. 認証	●	●	●
B.5. Sicherheit der Kommunikation	B.5. 通信セキュリティ	●	●	●
B.6. Weitere Prüfthemen	B.6. その他のテストトピック	●	●	●
Anhang C: Anforderungen an biometrische Authentifizierungs- und Verifizierungsverfahren für Anwendungen im Gesundheitswesen	附属書C：ヘルスケアアプリケーションのためのバイオメトリクス認証および検証方法に関する要求事項	●
C.1. Anforderungen an die Leistung und an die Erkennung von Präsentationsangriffen biometrischer Systeme auf mobilen Endgeräten	C.1. モバイル機器上の生体認証システムの性能とプレゼンテーション攻撃検知の要件	●
C.1.1. Begriffe	C.1.1. 用語	●
C.1.2. [GEN] Allgemeine Anforderungen	C.1.2 [GEN] 一般要求事項	●
Abkürzungsverzeichnis	略語一覧	●	●	●
Literaturverzeichnis	参照情報	●	●	●

参考になるBSIのページ...

・eHealth – Cyber-Sicherheit im Gesundheitswesen

eHealth – Cyber-Sicherheit im Gesundheitswesen	eHealth - ヘルスケア分野でのサイバーセキュリティ
Der Bereich eHealth befasst sich mit der Digitalisierung im Gesundheitswesen. Er wird thematisch in verschiedene Abschnitte aufgeteilt. Zum einen geht es um die elektronische Gesundheitskarte (eGK) und die dazugehörige Telematikinfrastruktur (TI) und zum anderen um die Cyber-Sicherheit von in Deutschland eingesetzter Medizintechnik.	eHealthの分野では、ヘルスケア分野のデジタル化を扱っています。テーマ別に分かれています。一方では、電子健康保険証 (eGK) と関連するテレマティクスインフラ (TI) を扱い、他方では、ドイツで使用されている医療技術のサイバーセキュリティを扱っています。
Moderne Gesundheitsversorgung: digital und sicher	現代の医療：デジタルとセキュア
Medizinische Versorgung in Deutschland wird allen zu Teil. Sie ist ein Gradmesser für den Wohlstand, die Stärke und Solidarität in einer Gesellschaft. Das Gesundheitswesen in unserem Land gilt weltweit als eines der besten – auch, weil es in vielen Bereichen digitalisiert ist. Die elektronische Patientenakte, die Messung, Speicherung und Auswertung von Gesundheitsdaten per App oder die Video-Sprechstunde sind Beispiele für digitale Technologien, die derzeit die deutsche Gesundheitswirtschaft verändern. Von der Digitalisierung profitieren alle Akteure im Gesundheitswesen – von den Patientinnen und Patienten über die Kliniken und Arztpraxen bis hin zu den Krankenkassen. Digitale Gesundheitsfürsorge kann das Leben der Menschen erleichtern, lange Wege und Wartezeiten minimieren und im Krankheits- oder Notfall schnell helfen.	ドイツの医療は誰でも受けられます。社会の繁栄、力強さ、連帯感を測る尺度である。我が国の医療制度は世界でもトップクラスと言われていますが、それは多くの分野でデジタル化されているからです。電子患者ファイル、アプリによる健康データの測定・保存・評価、ビデオ診察などは、現在ドイツの医療業界を変えつつあるデジタル技術の一例です。患者から診療所、医師会、医療保険会社まで、医療システムのすべてのプレーヤーがデジタル化の恩恵を受けています。デジタルヘルスケアは、人々の生活をより快適にし、長時間の移動や待ち時間を最小限に抑え、病気や緊急事態の際には迅速に対応することができます。
Doch alle Vorteile von eHealth sind ohne Informationssicherheit nicht denkbar. Denn die Digitalisierung erhöht auch im Gesundheitswesen das Risiko von IT-Sicherheitsvorfällen und Cyber-Angriffen. Wozu das führen kann, belegen zahlreiche Vorfälle der letzten Monate und Jahre: Krankenhäuser mussten in den Notbetrieb gehen, Millionen sensibler Patientendaten wurden gestohlen oder waren über längere Zeiträume öffentlich ohne Passwortschutz im Internet zugänglich. Hinzu kommen immer wieder Berichte über Schwachstellen in vernetzten Medizingeräten wie Insulinpumpen, Patientenmonitoren oder Beatmungsgeräten. Deren Ausfall oder Manipulation durch unbefugte Dritte kann im Ernstfall unmittelbare Folgen für Gesundheit, Leib und Leben eines Patienten haben.	しかし、eヘルスがもたらすすべてのメリットは、情報セキュリティなしには考えられません。また、デジタル化により、医療分野におけるITセキュリティ事故やサイバー攻撃のリスクも高まっています。ここ数カ月、数年にわたる数々の事件は、このことが何をもたらすかを示しています。病院が緊急操業に入らなければならなくなったり、何百万という患者の機密データが盗まれたり、パスワード保護なしで長期間にわたってインターネット上で一般公開されたりしています。また、インスリンポンプ、患者用モニター、人工呼吸器など、ネットワーク接続された医療機器の脆弱性が繰り返し報告されています。その故障や権限のない第三者による操作は、緊急時に患者の健康、生命、身体に対して直ちに影響を与える可能性があります。
Sichere Digitalisierung gestalten	安全なデジタル化の設計
All diese Vorfälle kann sich eine moderne Gesellschaft nicht leisten. Auch deshalb gehören Einrichtungen des Gesundheitswesens zu den Kritischen Infrastrukturen in Deutschland. Als zentrales Kompetenzzentrum für Informationssicherheit in Deutschland übernimmt das BSI Verantwortung als Gestalter einer sicheren Digitalisierung in diesem für die Gesellschaft so wichtigen Bereich.	現代社会は、このような事件ばかりではいられない。ドイツで医療施設が重要インフラとされる理由のひとつがこれです。BSIは、ドイツにおける情報セキュリティの中央コンピテンスセンターとして、社会にとって重要なこの分野の安全なデジタル化の形成者としての責任を担っています。
Mit dem IT-Sicherheitsgesetz von 2015 hat das BSI die Zuständigkeit als Aufsichtsbehörde für Betreiber Kritischer Infrastrukturen (KRITIS) auch im Sektor Gesundheitswesen erhalten. Kritische Infrastrukturen im Gesundheitswesen sind beispielsweise Krankenhäuser und Kliniken mit mehr als 30.000 stationären Behandlungsfällen pro Jahr oder Pharmahersteller mit mehr als 4,65 Millionen in Verkehr gebrachte Packungen pro Jahr.	2015年のITセキュリティ法により、BSIは医療分野でも重要インフラ (CRITIS) の運用者の監督官庁としての責任を担うことになりました。ヘルスケア分野の重要インフラとは、例えば、年間3万件以上の入院患者を抱える病院や診療所、年間465万個以上の医薬品を上市している製薬会社などを指します。
Als Cyber-Sicherheitsbehörde des Bundes leistet das BSI einen wesentlichen Beitrag bei der Gestaltung der großen Digitalisierungsprojekte im Gesundheitswesen. Das BSI befasst sich mit der Weiterentwicklung der elektronischen Gesundheitskarte, mit dem Notfalldatenmanagement und dem elektronischen Medikationsplan im Zusammenhang mit der Arzneimitteltherapiesicherheit, mit der elektronischen Patientenakte, mit der Telematikinfrastruktur sowie der IT-Sicherheit von Medizinprodukten, beispielweise mit dem Projekt ManiMed - Manipulation von Medizinprodukten. Das BSI hat auch dafür gesorgt, dass die Corona-Warn-App des Bundes ein hohes Maß an Informationssicherheit bietet – nicht zuletzt ein wesentlicher Faktor für die hohe Akzeptanz der App in der Bevölkerung.	連邦政府のサイバーセキュリティ当局として、BSIはヘルスケア分野における主要なデジタル化プロジェクトの形成に大きく貢献しています。BSIは、電子健康カード、緊急時データ管理、薬物療法セキュリティに関連した電子投薬計画、電子患者ファイル、テレマティクス・インフラ、医療機器のITセキュリティのさらなる開発に取り組んでおり、例えば、ManiMedプロジェクト (医療機器の操作性) などがあります。BSIは、連邦政府のコロナ警報アプリが高いレベルの情報セキュリティを提供することを保証しており、このことが、同アプリが国民に高いレベルで受け入れられている重要な要因であることは言うまでもありません。
Das BSI leistet einen wesentlichen Beitrag zur sicheren Digitalisierung im Gesundheitswesen. Davon profitieren Kliniken, Ärztinnen und Ärzte ebenso wie die Patientinnen und Patienten.	BSIは、ヘルスケア分野における安全なデジタル化に大きく貢献しています。これは、クリニック、医師、患者さんのいずれにもメリットがあります。
ARNE SCHÖNBOHM, PRÄSIDENT DES BSI	アルネ・シェーンボーム (BSI会長）
Das BSI unterstützt in den IT-Anwendungsfeldern im Gesundheitsbereich mit Vorgaben, Sicherheitsstandards in Form von Technischen Richtlinien oder IT-Grundschutz-Bausteinen sowie konkreter Hilfestellung und Beratung für Behörden und Unternehmen, um schnell praktikable und zugleich sichere Anwendungen zu realisieren. Wichtig ist dabei die enge Zusammenarbeit des BSI mit Partnern wie der gematik, dem Bundesministerium für Gesundheit (BMG), dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI), dem Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM), der Kassenärztlichen Bundesvereinigung (KBV) sowie der Kassenzahnärztlichen Bundesvereinigung (KZBV).	BSIは、医療分野のITアプリケーション分野において、実用的であると同時に安全なアプリケーションを迅速に実装するために、仕様、技術ガイドラインやIT-Grundschutzビルディングブロックの形式によるセキュリティ標準、当局や企業に対する具体的な支援やアドバイスなどのサポートを提供しています。ここでは、BSIとgematik、連邦保健省 (BMG) 、連邦データ保護・情報自由委員会 (BfDI) 、連邦医薬品・医療機器研究所 (BfArM) 、全国法定保険医協会 (KBV) 、全国法定保険歯科医協会 (KZBV) といったパートナーとの密接な連携が重要な意味をもっています。

2022.06.27 15:02 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 監査 / 認証, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in クラウド, in IoT | Permalink | Comments (0)
Tweet

中国 TC260 個人情報の国際的な処理活動に関するセキュリティ認証仕様

こんにちは、丸山満彦です。

中国の全国信息安全标准化技术委员会 (National Information Security Standardization Technical Committee) （TC260）が、個人情報の国際的な処理活動に関するセキュリティ認証仕様を公表していますね。。。

● 全国信息安全标准化技术委员会 (National Information Security Standardization Technical Committee)

・2022.06.24 关于发布《网络安全标准实践指南—个人信息跨境处理活动安全认证规范》的通知

关于发布《网络安全标准实践指南—个人信息跨境处理活动安全认证规范》的通知	サイバーセキュリティ基準実務指針-個人情報の越境処理活動に関するセキュリティ認証仕様-」の公表に関する通知
为落实《个人信息保护法》关于建立个人信息保护认证制度的相关要求，指导个人信息处理者规范开展个人信息跨境处理活动，秘书处组织编制了《网络安全标准实践指南—个人信息跨境处理活动安全认证规范》。	個人情報保護法の個人情報保護認証制度の確立に関する関連要求事項を実施し、個人情報の国境を越えた処理活動を標準化するために、事務局は「サイバーセキュリティ基準-個人情報の国境を越えた処理活動のセキュリティ認証仕様に関する実践ガイダンス」を作成した。
本《实践指南》提出了个人信息跨境处理活动安全的基本原则，规定了个人信息跨境处理活动的基本要求和个人信息主体权益保障要求。	本実務指針は、個人情報の越境処理活動の安全に関する基本原則を提示し、個人情報の越境処理活動の基本要件及び個人情報主体の権益を保護するための要件を規定するものである。

・[PDF] 网络安全标准实践指南——个人信息跨境处理活动安全认证规范

概要...

摘要

概要

本实践指南依据有关政策法规要求，为落实《个人信息保护法》建立个人信息保护认证制度提供认证依据。申请个人信息保护认证的个人信息处理者应当符合GB/T 35273《信息安全技术个人信息安全规范》的要求;对于开展跨境处理活动的个人信息处理者，还必须符合本实践指南的要求。本实践指南从基本原则、个人信息处理者和境外接收方在跨境处理活动中应遵循的要求、个人信息主体权益保障等方面提出了要求，为认证机构实施个人信息保护认证提供跨境处理活动认证依据，也为个人信息处理者规范个人信息跨境处理活动提供参考。

本実務指針は、関連する政策や法規の要求事項に基づいて、個人情報保護法の施行と個人情報保護認証制度の確立のための認証根拠を提供するものである。個人情報保護認証を申請する個人情報処理者は、GB/T 35273「情報セキュリティ技術個人情報セキュリティ仕様」の要求を遵守しなければならず、国境を越えた処理活動を行う個人情報処理者は、本実務指針の要求も遵守しなければならない。本実務指針は、基本原則、越境処理活動において個人情報取扱事業者及び海外受取人が遵守すべき要件、個人情報主体の権益保護等の観点から要件を定めており、認証機関が越境処理活動に関する個人情報保護認証を実施するための基礎となり、また個人情報取扱事業者が個人情報の越境処理活動を規制するための参考となるものである。

目次...

摘要	概要
1 适用情形	1 該当する状況
2 认证主体	2 認証対象
3 基本原则	3 基本原則
4 基本要求	4 基本要件
4.1 有法律约束力的协议	4.1 法的拘束力のある契約
4.2 组织管理	4.2 組織管理
4.3 个人信息跨境处理规则	4.3 国境を越えた個人情報の取り扱いに関する規定
4.4 个人信息保护影响评估	4.4 個人情報保護影響評価
5 个人信息主体权益保障	5 個人情報主体の権利保護について
5.1 个人信息主体权利	5.1 個人情報の主体の権利
5.2 个人信息处理者和境外接收方的责任义务	5.2 個人情報の処理者およびオフショア受領者の責任と義務