ドイツ BSI 量子コンピュータ開発の現状 (Ver2.1) (2025.01.02)

こんにちは、丸山満彦です。

ドイツBSIの量子コンピュータ開発の現状についての報告書の紹介です...

現在のバージョンは2.1です...

● Bundesamt für Sicherheit in der Informationstechnik; BSI

・2025.01.02 Studie: Entwicklungsstand Quantencomputer Version 2.1

Studie: Entwicklungsstand Quantencomputer Version 2.1

研究：量子コンピュータ開発の現状 バージョン2.1

This study discusses the current state of affairs in the theoretical aspects and physical implementation of quantum computing, with a focus on applications in cryptanalysis. It is designed to be an orientation for scientists with a connection to one of the fields involved—such as mathematicians, computer scientists. These will find the treatment of their own field slightly superficial but benefit from the discussion in the other sections. The executive summary and the conclusions to each chapter provide actionable information to decision makers.

本研究では、暗号解読への応用に焦点を当て、量子コンピューティングの理論的側面と物理的実装における現状について論じている。本書は、数学者やコンピューター科学者など、関連分野に携わる科学者向けの入門書として作成されている。これらの科学者にとっては、自身の専門分野の取り扱いはやや表面的に感じられるかもしれないが、他のセクションの議論から有益な情報を得られるだろう。各章のエグゼクティブサマリーと結論は、意思決定者にとって実行可能な情報を提供している。

・[PDF] Status of quantum computer development - Entwicklungsstand Quantencomputer Ver.2.1

・The status of quantum computer development

The status of quantum computer development	量子コンピュータ開発の現状
The aim of this study is to assess the state of development of current technologies for the realisation of a cryptographically relevant quantum computer and cryptographically relevant quantum algorithms.	本研究の目的は、暗号に関連する量子コンピュータおよび暗号に関連する量子アルゴリズムを実現するための現在のテクノロジーの開発状況をアセスメントすることである。
Today, the security of digital infrastructures is largely based on public-key cryptography (also known as "asymmetric cryptography"). This in turn is essentially based on the assumed difficulty of certain mathematical problems, for example the factorisation problem or the discrete logarithm problem (on elliptic curves). According to the current state of knowledge, the common public-key cryptography used today cannot be broken with classical computers. However, the situation will change fundamentally when universal quantum computers of sufficient performance are available. Already in 1994, the mathematician Peter Shor published quantum algorithms, which can efficiently solve the mathematical problems mentioned above. Other quantum algorithms such as Grover's search algorithm and Simon's algorithm will have implications for symmetric cryptography, in particular for key lengths and operating modes. In recent years, a number of additional algorithms for the cryptanalysis of (asymmetric) protocols have been presented which can also be implemented on so-called NISQ (Noisy Intermediate-Scale Quantum) computers.	今日、デジタルインフラのセキュリティは、主に公開鍵暗号（非対称暗号とも呼ばれる）に基づいている。公開鍵暗号は、因数分解問題や離散対数問題（楕円曲線上の）などの特定の数学的問題の難しさを前提としている。現在の知識水準では、現在一般的に使用されている公開鍵暗号は、従来のコンピュータでは解読できない。しかし、十分な性能を備えた汎用量子コンピュータが利用可能になれば、状況は根本的に変化する。1994年には、数学者のピーター・ショアが、上述の数学的問題を効率的に解決できる量子アルゴリズムを発表している。 グーバーの探索アルゴリズムやサイモンのアルゴリズムなどの他の量子アルゴリズムは、対称暗号、特に鍵の長さや動作モードに影響を与えることになる。近年では、（非対称）プロトコルの暗号解読のためのアルゴリズムがいくつか発表されており、これらはいわゆるNISQ（ノイジー・インターミディエイト・スケール・クアンタム）コンピューターにも実装可能である。
The central challenge in the development of quantum computers is their susceptibility to errors. Quantum systems are very sensitive to disturbances and therefore require an elaborate error correction, which is called quantum error correction (QEC). Currently realized quantum computers, where errors are not corrected (and only mitigated by hardware-related methods if necessary) are called Noisy Intermediate Scale Quantum (NISQ) computers. These are considered an intermediate stage on the way to fault-tolerant and universally programmable quantum computers. Here, due to the error probability, only limited algorithmic depth is available. Creative possibilities stemming from the inherent degrees of freedom of the hardware and alternative programming paradigms arise when developing algorithms for NISQ computers. The resulting solutions are generally heuristic in nature and lack a mathematical proof of convergence or a resource analysis. This is in particular the case for algorithms in the context of cryptoanalysis of (asymmetric) schemes.	量子コンピュータの開発における最大の課題は、エラーに対する脆弱性である。量子システムは外乱に対して非常に敏感であるため、精巧なエラー訂正が必要であり、これは量子エラー訂正（QEC）と呼ばれる。現在実現されている量子コンピュータは、エラーが訂正されず（必要に応じてハードウェア関連の方法で緩和されるのみ）、ノイズ中規模量子（NISQ）コンピュータと呼ばれる。これらは、フォールトトレランスで汎用的なプログラミングが可能な量子コンピュータへの中間段階とみなされている。エラー確率があるため、利用可能なアルゴリズムの深さは限られている。NISQコンピュータ用のアルゴリズムを開発する際には、ハードウェアに固有の自由度と代替プログラミングパラダイムから生じる創造的な可能性が生まれる。その結果得られるソリューションは、一般的に発見的な性質のものであり、収束の数学的証明やリソース分析を欠いている。これは特に、（非対称）スキームの暗号解読に関するアルゴリズムの場合に当てはまる。
Evaluation schemes in the study	研究における評価スキーム
In the first version of the study, an evauation model was developed to categorise quantum computing technologies. It is shown in the following figure.	研究の最初のバージョンでは、量子コンピューティング技術を分類するための評価モデルが開発された。次の図に示されている。
Figure 1: Levels of development towards a fault-tolerant quantum computerSource: Federal Office for Information Security	図1：フォールトトレラント量子コンピューターの開発レベル出典：連邦情報セキュリティ局
In version 2.0 of the study, a separate evaluation scheme is introduced which allows further consideration of the field of NISQ algorithms. We find that these algorithms often belong to the leftmost branch of Figure 2 while, in contrast, the algorithms by Shor mentioned above fit into the rightmost branch.	この研究のバージョン2.0では、NISQアルゴリズムの分野をさらに検討するための、別の評価スキームが導入されている。これらのアルゴリズムは、図2の最も左側の枝に属することが多いことが分かった。一方、前述のショアによるアルゴリズムは、最も右側の枝に属する。
Figure 2: Layered evaluation scheme for quantum algorithms based on fault-tolerant quantum computing (right) and NISQ (left)Source: Federal Office for Information Security	図2：フォールトトレラント量子コンピューティングに基づく量子アルゴリズムの階層評価スキーム（右）とNISQ（左）出典：連邦情報セキュリティ局
To analyse the state of development of cyptographically relevant quantum computing requires the joint consideration of hardware and algorithms, as illustrated in the following figure.	暗号に関連する量子コンピューティングの開発状況を分析するには、次の図に示されているように、ハードウェアとアルゴリズムの両方を考慮する必要がある。
Figure 3: Quantum computing dependency graph between algorithms and hardwareSource: Federal Office for Information Security	図3：アルゴリズムとハードウェア間の量子コンピューティング依存グラフ出典：連邦情報セキュリティ局
Current state (Version 2.1)	現状（バージョン2.1
The current technologies identified in the study are categorised as follows according to the above evaluation scheme.	研究で識別された現在の技術は、上記の評価スキームに従って以下のように分類される。
Figure 4: Evaluation of the main platforms following the developed schemeSource: Federal Office for Information Security	図4：開発されたスキームに基づく主要プラットフォームの評価出典：連邦情報セキュリティ局
Looking ahead, the conclusion of the study is that quantum computing is making steady progress towards cryptanalytic relevance according to the reliable mainstream (fault-tolerant (improved) Shor algorithm, executed either on a superconducting system with the surface code or an ion-based system with the color code). Major roadblocks in this scenario were resolved in 2024, bringing us a lot closer to this goal even without large disruptions. Our conservative estimate is that cryptographically relevant quantum computers are likely to be available within 16 years.	今後の見通しとして、この研究の結論は、量子コンピューティングは、信頼性の高い主流（フォールトトレラント（改善された）ショア・アルゴリズム、表面コードを使用した超伝導システムまたはカラーコードを使用したイオンベースのシステム）に従って、暗号解読に関連するものとして着実に進歩しているということである。このシナリオにおける主な障害は2024年に解決され、大きな混乱がなくてもこの目標にかなり近づくことになる。 保守的な予測では、暗号解読に関連する量子コンピュータは16年以内に利用可能になる可能性が高い。
Moreover, there are now a plethora of new developments in error correction and mitigation as well as hardware with the large progress in neutral atoms. A lot more can move and surprise, and most of possible disruptive results in this context could accelerate the development to below a decade.	さらに、中性原子の分野では大きな進歩を遂げたハードウェアだけでなく、エラー修正や緩和に関する新たな開発も数多く行われている。今後、さらに多くのことが可能になり、驚くようなことが起こる可能性もある。この文脈における破壊的な結果のほとんどは、開発を10年未満に加速させる可能性がある。
Regarding NISQ algorithms, the study currently concludes that the limited evidence available does not yet permit a conclusive assessment. However, it makes a cautious assumption of low relevance for cryptanalysis.	NISQアルゴリズムに関しては、現在、入手可能な限られた証拠では、まだ決定的なアセスメントを行うことはできないという結論に達している。しかし、暗号解読との関連性は低いという慎重な想定は行っている。
Download the latest version	最新バージョンのダウンロード
Study: Status of quantum computer development V2.1	研究：量子コンピュータ開発の現状 V2.1
Study: Status of quantum computer development (executive summary in German) V2.1	研究：量子コンピュータ開発の現状（エグゼクティブサマリー（ドイツ語））V2.1
Download of older versions	旧バージョンのダウンロード
Study: Status of quantum computer development V2.0	研究：量子コンピュータ開発の現状 V2.0
Study: Status of quantum computer development (executive summary in German) V2.0	研究：量子コンピュータ開発の現状（エグゼクティブサマリー（ドイツ語））V2.0
Study: Status of quantum computer development V1.2	研究：量子コンピュータ開発の現状 V1.2
Study: Status of quantum computer development (executive summary in German) V1.2	研究：量子コンピュータ開発の現状（エグゼクティブサマリー（ドイツ語））V1.2
Study: Status of quantum computer development V1.1	研究：量子コンピュータ開発の現状 V1.1
Study: Status of quantum computer development (executive summary in German) V1.1	研究：量子コンピュータ開発の現状（エグゼクティブサマリー（ドイツ語））V1.1
Study: Status of quantum computer development V1.0	研究：量子コンピュータ開発の現状 V1.0
Study: Status of quantum computer development (executive summary in German) V1.0	研究：量子コンピュータ開発の現状（エグゼクティブサマリー（ドイツ語））V1.0

 目次...

Introduction	序文
Index of Figures	図表一覧
Index of Tables	表一覧
PART I: Synopsis and introduction	第1部：概要と序文
1 Deutsche Zusammenfassung	1 ドイツ語要約
1.1 Was ist ein Quantencomputer?	1.1 量子コンピュータとは何か？
1.2 Relevanz von Quantencomputern für die Kryptoanalyse	1.2 暗号解読における量子コンピュータの重要性
1.3 Hardware und Algorithmen für Quantencomputer	1.3 量子コンピュータのハードウェアとアルゴリズム
1.4 Jüngste Entwicklungen	1.4 最新の進展
1.5 Fazit	1.5 結論
2 Synopsis	2 概要
2.1 Basic idea	2.1 基本概念
2.2 Hardware platforms	2.2 ハードウェアプラットフォーム
2.2.1 Global categories	2.2.1 グローバルカテゴリー
2.3 Algorithmic goals	2.3 アルゴリズムの目標
2.4 Computational models	2.4 計算モデル
2.5 Evaluation along computational models	2.5 計算モデルに沿った評価
2.6 Evaluation of platforms	2.6 プラットフォームの評価
2.6.1 Trapped ions	2.6.1 トラップイオン
2.6.2 Superconducting circuits	2.6.2 超伝導回路
2.6.3 Neural atoms	2.6.3 ニューラルアトム
2.6.4 Semiconductors	2.6.4 半導体
2.6.5 Photonic platforms	2.6.5 フォトニックプラットフォーム
2.6.6 State of the art	2.6.6 現在の技術水準
2.7 Global activities and potential for development	2.7 グローバルな活動と開発の可能性
2.8 Risks	2.8 リスク
2.9 Recent developments	2.9 最近の進展
2.10 Conclusions	2.10 結論
3 Evaluation systems for quantum hardware and quantum algorithms	3 量子ハードウェアと量子アルゴリズムの評価システム
3.1 Structure and requirements of an evaluation system	3.1 評価システムの構造と要件
3.1.1 Introduction	3.1.1 序文
3.1.2 Fault tolerant quantum computation vs NISQ computation	3.1.2 耐故障性量子計算 vs NISQ 計算
3.1.3 Gate-based vs adiabatic quantum computation	3.1.3 ゲート方式 vs 断熱的量子計算
3.1.4 Variational quantum computing	3.1.4 変分量子計算
3.2 Evaluation scheme for quantum algorithms	3.2 量子アルゴリズムの評価方式
3.3 Evaluation scheme for quantum hardware	3.3 量子ハードウェアの評価方式
3.3.1 Lowest level (A): Basic operation-do we have working qubits?	3.3.1 最低レベル（A）：基本操作 - 動作可能な量子ビットはあるか？
3.3.2 Intermediate level (B): Benchmarking-does our hardware meet fault tolerance criteria?	3.3.2 中間レベル（B）：ベンチマーク - ハードウェアは耐故障性の規準を満たしているか？
3.3.3 Central element (C): Fault tolerance analysis-how much quantum volume can we execute?	3.3.3 中心要素（C）：耐故障性分析 - どの程度の量子ボリュームを実行できるか？
3.3.4 Compiled level (D): Elementary fault-tolerant gates	3.3.4 コンパイルレベル（D）：基本的な耐故障性ゲート
3.3.5 Algorithmic level (E): Fault-tolerant algorithms	3.3.5 アルゴリズムレベル（E）：耐故障性アルゴリズム
3.3.6 Conclusions and application	3.3.6 結論と応用
3.4 Risks of our evaluation scheme	3.4 評価スキームのリスク
3.4.1 Risks that make quantum computers more reachable	3.4.1 量子コンピュータをより現実的なものにするリスク
3.4.2 Risks that make quantum computers less reachable	3.4.2 量子コンピュータをより現実的でないものにするリスク
PART II: Evaluation of algorithms	第II部：アルゴリズムの評価
4 Algorithms with proof of termination	4 終了証明付きアルゴリズム
4.1 Minimizing quantum circuits	4.1 最小化量子回路
4.2 Algorithmic innovations with relevance for symmetric cryptography	4.2 対称暗号に関連するアルゴリズムの革新
4.2.1 Grover's algorithm	4.2.1 グローバーのアルゴリズム
4.2.2 Quantum attacks on cryptographic hash functions	4.2.2 暗号ハッシュ関数に対する量子攻撃
4.2.3 Questions on quantum collision search and the case of SHA	4.2.3 量子衝突探索と SHA の場合に関する質問
4.2.4 Leveraging other quantum algorithms	4.2.4 他の量子アルゴリズムの活用
4.3 Algorithmic innovations with relevance for asymmetric cryptography	4.3 非対称暗号に関連するアルゴリズムの革新
Factoring integers	整数の因数分解
Discrete logarithms	離散対数
4.3.1 Factoring integers	4.3.1 整数の因数分解
4.3.2 Computing discrete logarithms	4.3.2 離散対数の計算
4.4 The quantum linear system algorithm (HHL)	4.4 量子線形システムアルゴリズム（HHL）
5 Cryptanalysis on NISQ computers including adiabatic quantum computers	5 断熱的量子コンピュータを含むNISQコンピュータでの暗号解読
5.1 Adiabatic quantum computation model	5.1 断熱的量子計算モデル
5.2 Prime factorization	5.2 素因数分解
5.2.1 Digitized adiabatic quantum computation	5.2.1 デジタル化された断熱的量子計算
5.2.2 Quantum annealing	5.2.2 量子アニーリング
5.2.3 Variational quantum factoring	5.2.3 変分量子因数分解
5.3 Discrete logarithm computation	5.3 離散対数計算
5.4 Quantum computing for the shortest vector problem	5.4 量子コンピューティングによる最短ベクトル問題
5.4.1 Approach via quantum annealing	5.4.1 量子アニーリングによるアプローチ
5.4.2 Quantum variational approaches	5.4.2 量子変分法によるアプローチ
5.5 Other linear algebra problems	5.5 その他の線形代数問題
5.6 Focus on algorithmic elements	5.6 アルゴリズム要素に焦点を当てる
PART III: Quantitative description of hardware evaluation scheme	第3部：ハードウェア評価スキームの定量的記述
6 Low-level analysis of qubit systems	6 キュービットシステムの低レベル分析
6.1 Initial remarks	6.1 はじめに
6.1.1 Scope and motivation	6.1.1 範囲と動機
6.1.2 Limitations	6.1.2 制限
6.2 Review of DiVincenzo criteria	6.2 DiVincenzoの規準の再検討
Well-characterized qubit array	十分に特性が明らかになっているキュービットアレイ
Initialization	初期化
Coherence	コヒーレンス
Coherent errors	コヒーレントエラー
Universal set of gates	汎用ゲートセット
Measurement	測定
Communication-related criteria	コミュニケーション関連の規準
6.3 Coherence time scales	6.3 コヒーレンス時間の尺度
6.3.1 Single-qubit level	6.3.1 単一キュービットレベル
6.3.2 Properties unique to multi-qubit noise	6.3.2 マルチキュービットノイズに特有の特性
6.3.3 Non-Markovian effects and other caveats	6.3.3 非マルコフ効果とその他の注意事項
6.3.4 Catastrophic events and noise of the noise	6.3.4 破局的な事象とノイズのノイズ
6.4 Qubit definition indicators	6.4 キュービットの定義指標
6.4.1 Qubit longevity	6.4.1 キュービットの寿命
6.4.2 Leakage	6.4.2 漏れ
6.5 Qubit initialization indicators	6.5 キュービット初期化指標
6.6 Readout indicators	6.6 読み出し指標
6.7 Final remarks	6.7 結語
7 Benchmarking qubits	7 キュービットのベンチマーク
7.1 Introduction	7.1 序文
7.2 Benchmarking and error mitigation techniques	7.2 ベンチマークとエラー緩和技術
7.3 Qualitative criteria beyond DiVincenzo	7.3 DiVincenzoの定性的規準を超えるもの
7.3.1 Connectivity	7.3.1 接続性
7.3.2 Parallel operations	7.3.2 並列操作
7.3.3 Supply of fresh qubits	7.3.3 新鮮な量子ビットの供給
7.4 Benchmarking operations	7.4 操作のベンチマーク
7.4.1 Gate fidelities	7.4.1 ゲートの忠実度
7.4.2 Process tomography-idea and pitfalls	7.4.2 プロセス断層撮影法のアイデアと落とし穴
7.4.3 Randomized benchmarking and interleaved randomized benchmarking	7.4.3 ランダム化ベンチマークとインターリーブ・ランダム化ベンチマーク
7.4.4 Gate set tomography	7.4.4 ゲートセット断層撮影
7.4.5 Cross-entropy benchmarking (XEB)	7.4.5 クロスエントロピーベンチマーク（XEB）
7.4.6 Risks at mid-level	7.4.6 中間レベルのリスク
7.4.7 Recommendation	7.4.7 推奨事項
7.5 Quantum supremacy experiments as indicators of component benchmarking	7.5 コンポーネントベンチマークの指標としての量子優越性実験
8 Quantum error correction	8 量子エラー訂正
8.1 General observations on the role of fault tolerance	8.1 耐故障性の役割に関する一般的な考察
8.1.1 Redundancy and measurement	8.1.1 冗長性と測定
8.1.2 Error detection, matching, and correction	8.1.2 エラー検知、照合、訂正
8.1.3 Concatenated codes and the threshold theorem	8.1.3 連結符号と閾値定理
8.1.4 Fault tolerant computation	8.1.4 耐故障性計算
8.1.5 Conclusions for the evaluation system	8.1.5 評価システムに関する結論
8.2 Quantum error correction codes	8.2 量子誤り訂正符号
8.2.1 Notation	8.2.1 表記
8.2.2 Surface code	8.2.2 表面符号
8.2.3 Color code	8.2.3 色符号
8.2.4 Other error correction codes	8.2.4 その他の誤り訂正符号
8.2.5 Current research goals	8.2.5 現在の研究目標
8.3 Basic requirements	8.3 基本要件
8.4 Performance discussion	8.4 性能に関する考察
8.4.1 Simplifications within stochastic errors	8.4.1 確率誤差における簡略化
8.4.2 Possible Trade-offs	8.4.2 考えられるトレードオフ
8.5 Experimental status of error correction	8.5 エラー訂正の実験状況
8.5.1 Resolution of evaluation levels C and D	8.5.1 評価レベルCおよびDの解決
8.5.2 Evaluation of the Google paper on 105-qubit QEC beyond break-even point	8.5.2 損益分岐点を越えた105量子ビットQECに関するGoogleの論文の評価
8.5.3 Global status of error correction experiments	8.5.3 エラー訂正実験の全体的な状況
8.5.4 Post-deadline achievements in quantum error correction	8.5.4 耐量子エラー訂正における締め切り後の成果
8.6 Summary	8.6 まとめ
8.7 Glossary for error correction	8.7 エラー訂正用語集
9 Benchmarking and fault-tolerance on non-standard architectures	9 非標準アーキテクチャにおけるベンチマークとフォールトトレランス
9.1 Quantum annealing	9.1 量子アニーリング
9.1.1 Coherence and control	9.1.1 コヒーレンスと制御
9.1.2 Benchmarking quantum annealing	9.1.2 量子アニーリングのベンチマーク
9.1.3 Fault tolerance for quantum annealing	9.1.3 量子アニーリングのフォールトトレランス
9.2 One-way quantum computing	9.2 一方向量子コンピューティング
9.2.1 Benchmarking one-way quantum computers	9.2.1 一方向量子コンピューティングのベンチマーク
9.2.2 Error correction in one-way quantum computing	9.2.2 単方向量子コンピューティングにおけるエラー訂正
9.2.3 Resource calculations	9.2.3 リソース計算
9.2.4 Topological cluster states	9.2.4 トポロジカル・クラスター状態
9.3 Quantum computing based on continuous variables	9.3 連続変数に基づく量子コンピューティング
9.3.1 Overview of error correction for continuous variables	9.3.1 連続変数におけるエラー訂正の概要
9.3.2 GKP codes	9.3.2 GKP コード
9.3.3 Cat codes	9.3.3 Cat コード
PART IV: Assessment of platforms	第 IV 部：プラットフォームのアセスメント
10 Global operational criteria for quantum computers	10 量子コンピューティングのグローバルな運用規準
10.1 Extensive parameters	10.1 広範なパラメータ
10.1.1 Scales of extensive parameters	10.1.1 拡張パラメータの規模
10.1.2 Size	10.1.2 サイズ
10.1.3 Power consumption	10.1.3 消費電力
10.1.4 Power dissipation and temperature stability	10.1.4 電力損失と温度安定性
10.1.5 Cycle time	10.1.5 サイクル時間
10.1.6 Classical data flow	10.1.6 古典的データフロー
10.1.7 Reliance on rare materials	10.1.7 希少材料への依存
10.1.8 Vacuum	10.1.8 真空
10.1.9 Production speed	10.1.9 生産速度
10.2 Critical parameters	10.2 重要なパラメータ
10.2.1 Stability	10.2.1 安定性
10.2.2 Yield and scatter	10.2.2 収量とばらつき
10.3 Further descriptors	10.3 その他の記述子
10.4 Articulated architectural extrapolations	10.4 アーキテクチャの推定
11 Quantum technology and computing platforms	11 量子技術およびコンピューティングプラットフォーム
11.1 Other measures	11.1 その他の尺度
11.2 Outdated and exotic qubit candidates	11.2 時代遅れで奇抜なキュービット候補
12 Solid state platforms	12 固体プラットフォーム
12.1 Quantum computing based on superconducting qubits	12.1 超伝導キュービットに基づく量子コンピューティング
12.1.1 Basic notions and terminology	12.1.1 基本概念と用語
12.1.2 Various types of superconducting qubits	12.1.2 様々な種類の超伝導量子ビット
12.1.3 Peripheral elements	12.1.3 周辺要素
12.1.4 Quantum annealing and its status with superconductors	12.1.4 量子アニーリングとその超伝導体における現状
12.1.5 Operational challenges for superconducting platforms	12.1.5 超伝導プラットフォームの運用上の課題
12.2 Quantum computing based on semiconductor qubits	12.2 半導体量子ビットに基づく量子コンピューティング
12.2.1 Basic notion and terminology	12.2.1 基本概念と用語
12.2.2 Various types of semiconducting qubits	12.2.2 半導体量子ビットの各種タイプ
12.2.3 Evaluation	12.2.3 評価
12.2.4 Operational challenges for semiconductor platforms	12.2.4 半導体プラットフォームの運用上の課題
13 Atomic and optical platforms	13 原子および光プラットフォーム
13.1 Quantum computing based on trapped ions	13.1 トラップされたイオンに基づく量子コンピューティング
13.1.1 Basic notion and terminology	13.1.1 基本概念と用語
13.1.2 Various types of ion-based qubits	13.1.2 イオンベースの量子ビットの各種タイプ
13.1.3 Evaluation: Ions	13.1.3 評価：イオン
13.2 Quantum computing based on trapped neutral atoms	13.2 捕捉中性原子に基づく量子コンピューティング
13.2.1 Basic notions and terminology	13.2.1 基本概念と用語
13.2.2 Platform designs: Rydberg atoms	13.2.2 プラットフォーム設計：リュードベリ原子
13.2.3 Evaluation: Rydberg atoms	13.2.3 評価：リュードベリ原子
13.3 Operational challenges for atomic and ionic platforms	13.3 原子およびイオンプラットフォームの運用上の課題
Size	サイズ
Power Consumption	消費電力
Power dissipation and temperature stability	電力損失と温度安定性
Cycle Time	サイクル時間
Classical data flow	古典的データフロー
Reliance on rare materials	希少材料への依存
Vacuum	真空
Stability	安定性
Yield and scatter	歩留まりとばらつき
Further Challenges	さらなる課題
Extrapolation to future devices	将来のデバイスへの外挿
13.4 Quantum computing based on photons	13.4 光子に基づく量子コンピューティング
13.4.1 Basic notions and terminology	13.4.1 基本概念と用語
13.4.2 Qubit encoding	13.4.2 キュービットのエンコーディング
13.4.3 Enhanced nonlinear optics, integrated optics	13.4.3 高度な非線形光学、集積光学
13.4.4 KLM proposal	13.4.4 KLM 提案
13.4.5 Cluster states, one-way quantum computing and fusion-based quantum computing	13.4.5 クラスター状態、一方向量子コンピューティング、融合に基づく量子コンピューティング
13.4.6 Continuous variables	13.4.6 連続変数
13.4.7 Evaluation	13.4.7 評価
13.4.8 Operational challenges for photonic platforms	13.4.8 光子プラットフォームの運用上の課題
Appendix	附属書
14 Example: Digitized adiabatic quantum computation for factoring	14 例：因数分解のためのデジタル断熱量子計算
15 Introduction to surface code quantum error correction	15 表面コード量子エラー訂正の序文
15.1 Error syndromes	15.1 エラー症候群
15.1.1 Single errors	15.1.1 単一エラー
15.1.2 Error chains	15.1.2 エラー連鎖
15.1.3 Measurement errors	15.1.3 測定エラー
15.1.4 Syndrome extraction	15.1.4 症候群抽出
15.2 Logical qubits and Pauli operations	15.2 論理キュービットとパウリの演算
15.2.1 Distance	15.2.1 距離
15.2.2 Logical initialization and readout	15.2.2 論理的な初期化と読み出し
15.3 Logical gates: H, T, CNOT	15.3 論理ゲート：H、T、CNOT
15.3.1 Multi-qubit gates	15.3.1 マルチキュービットゲート
15.3.2 Hadamard	15.3.2 ハダマード
15.3.3 S and T gate: Magic state distillation	15.3.3 SとTゲート：マジック状態の蒸留
15.3.4 Ancilla factories	15.3.4 補助ファクトリー
15.3.5 Magic state injection	15.3.5 魔法状態の注入
15.4 Lattice surgery	15.4 格子手術
Reference documentation	参考資料

米国 国家安全保障局 商用国家安全保障アルゴリズム・スイート2.0および量子コンピューティングに関するFAQ更新 (2024.12.31)

こんにちは、丸山満彦です。

米国の国家安全保障局が、商用国家安全保障アルゴリズム・スイート2.0および量子コンピューティングに関するFAQを公表していますね...

耐量子暗号への移行についても記載がありますね...

量子コンピュターを米国以外が実用化し、既存の暗号が危殆化することに対する警戒は高いように感じます...

● U.S. National Security Agency

・2024.12.31 [PDF] CSI: Commercial National Security Algorithm Suite 2.0 (CNSA 2.0) FAQ (December 2024 Update)

仮対訳...

商用国家安全保障アルゴリズム・スイート2.0

Algorithm	Function	Specification	Parameters
General Purpose Algorithms
Advanced Encryption Standard (AES)	Symmetric block cipher for information protection	FIPS PUB 197	Use 256-bit keys for all classification levels.
ML-KEM (previously CRYSTALS-Kyber)	Asymmetric algorithm for key establishment	FIPS PUB 203	ML-KEM-1024 for all classification levels.
ML-DSA (previously CRYSTALS-Dilithium)	Asymmetric algorithm for digital signatures in any use case, including signing firmware and software	FIPS PUB 204	ML-DSA-87 for all classification levels.
Secure Hash Algorithm (SHA)	Algorithm for computing a condensed representation of information	FIPS PUB 180-4	Use SHA-384 or SHA-512 for all classification levels.
Algorithms Allowed in Specific Applications
Leighton-Micali Signature (LMS)	Asymmetric algorithm for digitally signing firmware and software	NIST SP 800-208	All parameters approved for all classification levels. LMS SHA256/192 is recommended.
Xtended Merkle Signature Scheme (XMSS)	Asymmetric algorithm for digitally signing firmware and software	NIST SP 800-208	All parameters approved for all classification levels.
Secure Hash Algorithm 3 (SHA3)	Algorithm used for computing a condensed representation of information as part of hardware integrity	FIPS PUB 202	SHA3-384 or SHA3-512 allowed for internal hardware functionality only (e.g., boot-up integrity checks)

Continue reading "米国 国家安全保障局 商用国家安全保障アルゴリズム・スイート2.0および量子コンピューティングに関するFAQ更新 (2024.12.31)"

米国 NIST SP 800-227（初期公開ドラフト） キーカプセル化メカニズムに関する推奨事項

こんにちは、丸山満彦です。

NISTが、SP 800-227（初期公開草案） キーカプセル化メカニズムに関する推奨事項を公表し、意見募集をしていますね...

● NIST - ITL

・2025.01.07 NIST SP 800-227 (Initial Public Draft) Recommendations for Key-Encapsulation Mechanisms

NIST SP 800-227 (Initial Public Draft) Recommendations for Key-Encapsulation Mechanisms	NIST SP 800-227（初期公開草案） キーカプセル化メカニズムに関する推奨事項
Announcement	発表
NIST recently published FIPS 203, Module-Lattice-Based Key-Encapsulation Mechanism Standard, to update its cryptographic standards with an algorithm designed to provide protection from quantum attacks.  In addition, NIST will select one or two additional quantum-resistant key-encapsulation mechanisms (KEMs) for standardization. To provide guidance on using KEMs, NIST is introducing SP 800-227, Recommendations for Key Encapsulation Mechanisms.  This draft document describes the basic definitions, properties, and applications of KEMs. It also provides recommendations for implementing and using KEMs in a secure manner.	NISTは最近、量子攻撃からの防御を目的として設計されたアルゴリズムで暗号化標準を更新するために、FIPS 203（モジュール-格子ベースのキーカプセル化メカニズム標準）を発行した。 さらに、NISTは標準化のために、量子耐性のある鍵カプセル化メカニズム（KEM）を1つまたは2つ追加で選定する予定である。KEMの使用に関する指針を提供するため、NISTは「SP 800-227：鍵カプセル化メカニズムに関する推奨事項」を導入している。このドラフト文書では、KEMの基本的な定義、特性、および用途について説明している。また、KEMを安全に実装および使用するための推奨事項も提供している。
The public comment period is open through March 7, 2025.	パブリックコメントの受付期間は2025年3月7日までとなっている。
NIST will also hold a virtual Workshop on Guidance for KEMs on February 25-26, 2025, to gather additional feedback on SP 800-227.	また、NISTは2025年2月25日～26日に仮想ワークショップ「KEMに関するガイダンス」を開催し、SP 800-227に関する追加のフィードバックを収集する予定である。
Abstract	概要
A key-encapsulation mechanism (KEM) is a set of algorithms that can be used by two parties under certain conditions to securely establish a shared secret key over a public channel. A shared secret key that is established using a KEM can then be used with symmetric-key cryptographic algorithms to perform essential tasks in secure communications, such as encryption and authentication. This document describes the basic definitions, properties, and applications of KEMs. It also provides recommendations for implementing and using KEMs in a secure manner.	鍵カプセル化メカニズム（KEM）とは、特定の条件下で2つの当事者が使用し、公開チャネル上で安全に共有秘密鍵を確立できるアルゴリズムのセットである。KEMを使用して確立された共有秘密鍵は、その後、対称鍵暗号化アルゴリズムと併用して、暗号化や認証など、安全なコミュニケーションにおける重要なタスクを実行するために使用することができる。本書では、KEMの基本的な定義、特性、および用途について説明する。また、KEMを安全に実装および使用するための推奨事項も提供する。

・[PDF] SP.800-227.ipd

1. Introduction	1. 序文
1.1. Background	1.1. 背景
1.2. Scope and Purpose	1.2. 範囲と目的
2. Definitions and Requirements	2. 定義と要件
2.1. Definitions	2.1. 定義
2.2. Requirements	2.2. 要件
3. Overview of Key-Encapsulation Mechanisms	3. 鍵カプセル化メカニズムの概要
3.1. Introduction	3.1. 導入
3.2. Basic Definitions and Examples	3.2. 基本的な定義と例
3.3. Theoretical Security of KEMs	3.3. KEMの理論上の安全性
4. Requirements for Secure KEM Implementations	4. 安全なKEM実装の要件
4.1. Compliance to NIST Standards and Validation	4.1. NIST標準への準拠と妥当性確認
4.2. Managing Cryptographic Data	4.2. 暗号データの管理
4.3. Additional Requirements	4.3. 追加要件
5. Using KEMs Securely in Applications	5. アプリケーションにおけるKEMの安全な使用
5.1. How to Establish a Key With a KEM	5.1. KEMによる鍵確立方法
5.2. Conditions for Using KEMs Securely	5.2. KEMを安全に使用するための条件
5.3. Key Derivation	5.3. 鍵の導出
5.4. Key Confirmation	5.4. 鍵の確認
5.4.1. Creating the MAC Data	5.4.1. MACデータの作成
5.4.2. Obtaining the Key-Confirmation Key	5.4.2. 鍵確認鍵の取得
5.4.3. Key-Confirmation Example	5.4.3. 鍵確認の例
5.5. Multi-algorithm KEMs and PQ/T Hybrids	5.5. マルチアルゴリズムKEMとPQ/Tハイブリッド
5.5.1. Constructing a Composite KEM	5.5.1. 複合KEMの構築
5.5.2. Approved Key Combiners	5.5.2. 承認済み鍵結合器
5.5.3. Security Considerations for Composite Schemes	5.5.3. 複合スキームのセキュリティに関する考察
6. Examples	6. 例
6.1. Examples of KEMs	6.1. KEMの例
6.1.1. A KEM From Diffie-Hellman	6.1.1. ディフィー・ヘルマン法に基づくKEM
6.1.2. A KEM from RSA Secret-Value Encapsulation	6.1.2. RSA秘密値カプセル化に基づくKEM
6.1.3. ML-KEM	6.1.3. ML-KEM
6.2. Examples of Applications of KEMs	6.2. KEMの応用例
6.2.1. Hybrid Public-Key Encryption (HPKE)	6.2.1. ハイブリッド公開鍵暗号（HPKE）
6.2.2. Static-Ephemeral Key Establishment	6.2.2. 静的一時鍵確立
6.2.3. Ephemeral Authenticated Key Establishment	6.2.3. 使い捨て認証鍵確立
References	参考文献
Appendix A. Cryptographic Components	附属書 A. 暗号コンポーネント
A.1. Message Authentication Codes (MACs)	A.1. メッセージ認証コード（MAC）
A.2. Random Bit Generators	A.2. ランダムビット生成器
A.3. Nonces	A.3. ノンス

CSA パブリッククラウド移行のための鍵管理 (2024.12.17)

こんにちは、丸山満彦です。

2024年の宿題シリーズはまだまだ続く...(^^;;

Cloud Security Allianceがパブリッククラウド移行のための鍵管理のベストプラクティスについて説明した文書を公表していますね...

● Cluod Security Alliance

・2024.12.17 Key Management for Public Cloud Migration

移行プロセスのさまざまな段階（アセスメント、計画、準備、移行、および移行後）における考慮事項を取り上げていますね。

主な要点は、

• 現在のデータランドスケープと主要なマネジメントプラクティスを評価し、ギャップと潜在的リスクを特定する方法
• 包括的なデータ移行アプローチの要素
• データと暗号化鍵を安全に移行する方法
• シームレスな移行を保証するためのテストと妥当性確認戦略
• 移行期間中、データと鍵の整合性と機能を維持するためのベストプラクティス
• 移行後のベストプラクティス
• 利用可能な移行ツールとその主な機能

目次...

Acknowledgments	謝辞
Table of Contents	目次
1. Introduction	1. 序文
1.1 Purpose	1.1 目的
1.2 Scope	1.2 適用範囲
1.3 Target Audience	1.3 対象読者
2. Assessment, Planning, and Data Preparation	2. アセスメント、計画、およびデータ準備
2.1 Assessment	2.1 アセスメント
2.1.1 Data Classification	2.1.1 データ格付
2.1.2 Understanding Current (On-prem) and Future (Cloud) Key Management Practices	2.1.2 現在の（オンプレミス）および将来の（クラウド）主要管理手法の理解
2.1.3 Assess and Identify Access Control Requirements	2.1.3 アクセス管理要件のアセスメントと識別
2.1.4 Privacy, Security, and Compliance	2.1.4 プライバシー、セキュリティ、およびコンプライアンス
2.1.5 Version Control Tracking	2.1.5 バージョン管理の追跡
2.1.6 Backup Key Management Plan	2.1.6 バックアップ鍵管理計画
2.1.7 Cost/Financial Considerations	2.1.7 コスト/財務上の懸念
2.1.8 Training	2.1.8 学習
2.2 Planning	2.2 計画
2.3 Data Cleansing and Transformation/Preparation	2.3 データのクレンジングと変換/準備
2.3.1 Deduplication, Error Correction, and Format Standardization	2.3.1 重複排除、エラー訂正、フォーマット標準化
2.3.2 Cloud Database and Storage Compatibility Considerations	2.3.2 クラウドデータベースとストレージの互換性に関する考慮事項
2.4 Data Security and Key Management	2.4 データセキュリティと鍵管理
3. Migration Execution and Management	3. 移行の実行と管理
3.1 Tools and Techniques for Data and Key Transfer	3.1 データおよびキーの転送のためのツールとテクニック
3.1.1 Various Techniques for Data and Key Transfer	3.1.1 データおよびキーの転送のためのさまざまなテクニック
3.1.2 Cloud-Native Approach	3.1.2 クラウドネイティブなアプローチ
3.1.3 Secure Transfer and Storage Options	3.1.3 安全な転送とストレージのオプション
3.1.4 Third-Party Migration Services	3.1.4 サードパーティの移行サービス
3.1.5 Batch Transfer vs. Continuous Data Replication (CDR)	3.1.5 バッチ転送と連続データレプリケーション（CDR）の比較
3.1.6 Monitoring and Managing Data and Key Integrity During the Transfer	3.1.6 転送中のデータおよびキーの整合性のモニタリングと管理
3.1.7 Real-Time Monitoring	3.1.7 リアルタイムモニタリング
3.1.8 Integrity Checks	3.1.8 整合性チェック
3.2 Securing Migration Tools and Processes	3.2 移行ツールとプロセスのセキュリティ確保
3.3 Testing and Validation	3.3 テストと妥当性確認
3.3.1 Conduct Unit, Integration, and End-to-End Testing	3.3.1 ユニット、統合、エンドツーエンドのテストの実施
4. Transition and Optimization	4. 移行と最適化
4.1 Post-Migration Monitoring, Optimization, and Incident Response	4.1 移行後のモニタリング、最適化、インシデント対応
4.1.1 Performance Monitoring and Cost Optimization	4.1.1 パフォーマンスモニタリングとコストの最適化
4.1.2 Continuous improvement and adaptation	4.1.2 継続的な改善と適応
5. Conclusion and Future Outlook	5. 結論と今後の見通し
5.1 Conclusion	5.1 結論
5.1.1 Key Takeaways	5.1.1 主な要点
5.2 Future Outlook	5.2 今後の見通し
6. References	6. 参考文献
Glossary	用語集
Cloud Providers Migration Tools	クラウドプロバイダ 移行ツール
Third-Party Providers Migration Tools	サードパーティプロバイダ 移行ツール

紹介するのを忘れていたようですが、昨年に公表した文書...

・2023.12.19 Key Management Lifecycle Best Practices

金融庁 「北朝鮮を背景とするサイバー攻撃グループTraderTraitorによるサイバー攻撃について（注意喚起）」に伴う「暗号資産の流出リスクへの対応等に関する再度の自主点検要請」

こんにちは、丸山満彦です。

金融庁が、「暗号資産の流出リスクへの対応等に関する再度の自主点検要請」を日本暗号資産等取引業協会の会長宛に出していますね...

これは、警察庁、NISC、金融庁が合同で発表した、「北朝鮮を背景とするサイバー攻撃グループTraderTraitorによるサイバー攻撃について（注意喚起）」に伴うものですね...

● 金融庁

・2024.12.24 暗号資産の流出リスクへの対応等に関する再度の自主点検要請について

・[PDF]  暗号資産の流出リスクへの対応等に関する再度の自主点検要請について

---

令和６年12月24日

一般社団法人 日本暗号資産等取引業協会 会長 殿

金融庁総合政策局長
屋敷 利紀

暗号資産の流出リスクへの対応等に関する再度の自主点検要請について本日、警察庁・内閣サイバーセキュリティセンター・金融庁の連名で、「北朝鮮を背景とするサイバー攻撃グループ TraderTratior によるサイバー攻撃について（注意喚起）」が出されたところですが、当該注意喚起は、本年５月に発生した暗号資産交換業者における暗号資産の不正流出事案に関する具体的なソーシャルエンジニアリングの手法が判明したことを踏まえ、参考となる手口例や緩和策を示しつつ、事業者に適切なセキュリティ対策を講じることを要請する内容となっています。

先般（9 月 26 日）、当庁から、貴協会を通じ、貴協会会員に対して、暗号資産の流出リスクへの対応及びシステムリスク管理態勢に関し、事務ガイドライン第三分冊（金融会社関係16．暗号資産交換業者関係）等に記載している内容が適切に実施されているかに関して自主点検を行うことを要請したところですが、今回の注意喚起の内容を踏まえ、ウォレットに関する管理態勢を含めて、改めて速やかに自主点検を行うことを貴協会会員に対して求めるとともに、その結果を取りまとめてご連絡いただくようにお願いします。

（参考添付）「北朝鮮を背景とするサイバー攻撃グループ TraderTraitor によるサイバー攻撃について（注意喚起）」

以上

---

命令ではなく、要請です...(^^)

---

で肝心の日米の協力によるアトリビューション...

まずは、日本側（警察庁、金融庁、NISC）の発表

● 警察庁

・2024.12.24 北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について

---

　警察庁は、関東管区警察局サイバー特別捜査部及び警視庁による捜査・分析の結果を総合的に評価し、米国連邦捜査局（FBI）及び米国国防省サイバー犯罪センター（DC3）とともに、令和６年５月に北朝鮮を背景とするサイバー攻撃グループ「TraderTraitor」（トレイダートレイター）が、我が国の暗号資産関連事業者「株式会社DMM Bitcoin」から約482億円相当の暗号資産を窃取したことを特定し、合同で文書を公表しました。

　また、今回の公表を受け、NISC及び金融庁と連名で、同グループの手口例及び緩和策に関する文書を公表しました。

---

・[PDF] 北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について

---

（前略）

TraderTraitor は、北朝鮮当局の下部組織とされる「Lazarus Group」（ラザルスグループ）の一部とされており、手法の特徴として、同時に同じ会社の複数の従業員に対して実施される、標的型ソーシャルエンジニアリングが挙げられます。

⚫ 令和６年３月下旬、TraderTraitor は、LinkedIn 上で、リクルーターになりすまし、日本に所在する企業向け暗号資産ウォレットソフトウェア会社「株式会社 Ginco」（以下「Ginco」という。）の従業員に接触しました。同サイバー攻撃グループは、Ginco のウォレット管理システムへのアクセス権を保有する従業員に、GitHub 上に保管された採用前試験を装った悪意ある Python スクリプトへの URL を送付しました。被害者は、この Python コードを自身の GitHub ページにコピーし、その後、侵害されました。

⚫ 令和６年５月中旬以降、TraderTraitor は、侵害を受けた従業員になりすますためにセッションクッキーの情報を悪用し、Ginco の暗号化されていない通信システムへのアクセスに成功しました。同月下旬、同サイバー攻撃グループは、同アクセスを利用して、DMM 従業員による正規取引のリクエストを改ざんしたものと認められます。その結果、4,502.9BTC（攻撃当時約 482億円相当）が喪失しました。最終的に、窃取された資産は TraderTraitor が管理するウォレットに移動されました。

（後略）

---

・ FBI,DC3 and NPA Identification of North Korean Cyber Actors, tracked as TraderTraitor, Responsible for Theft of $308 Million from Bitocoin.DMM.COM

・[PDF] （仮訳）FBI、DC3 及び警察庁は、Bitcoin.DMM.Comから3億800万ドルを窃取したとして、北朝鮮のサイバーアクターTraderTraitorを特定

・[PDF] 北朝鮮を背景とするサイバー攻撃グループTraderTraitorによるサイバー攻撃について

金融庁...

・2024.12.24 「北朝鮮を背景とするサイバー攻撃グループTraderTraitorによるサイバー攻撃について（注意喚起）」の公表について

・[PDF] 北朝鮮を背景とするサイバー攻撃グループTraderTraitorによるサイバー攻撃について（注意喚起）

内閣官房(NISC) ...

・2024.12.24 [PDF] 北朝鮮を背景とするサイバー攻撃グループTraderTraitor によるサイバー攻撃について

---

米国側...　

・2024.12.24 FBI, DC3, and NPA Identification of North Korean Cyber Actors, Tracked as TraderTraitor, Responsible for Theft of $308 Million USD from Bitcoin.DMM.com

日本銀行金融研究所 検証可能クレデンシャルにおける本人紐づけを巡る論点：適用事例にみる対応方法と金融分野への含意（佐古和恵先生）

こんにちは、丸山満彦です。

大山永昭先生がなくなったというニュースに触れました。大山先生とは、厚生労働省の保健医療福祉分野における公開鍵基盤（HPKI）認証局の整備と運営に関する専門家会議において、私とも関係がありました。2005年から2023年3月まで委員長としてその任にあたって頂いていました。ご冥福をお祈りいたします。

2023年4月からは、松本勉先生が委員長としてその任を引き継いでおられます。そして、この委員会の委員として、これから紹介する論文の著者の佐古先生も参画されています。

で、佐古先生の属性証明に関わる論文の紹介...

著者の佐古先生は、会議の席でも本当に論理だった適切な議論をされる方です。

 今回紹介する日本銀行金融研究所の論文は、まさにHPKIともかかわってくる属性情報の正しさを発行者が保証する電子的な証明書（検証可能クレデンシャル（Verifiable Credential: VC））の話です...

業務を進めていく上で、社会的に必要なプロセスをデジタル上で実装する上で必要不可欠となってくる話です。HPKIではすでに運用されていますが、さまざまな国家資格を含む属性の証明をする上で重要となってくる話ですね。

そして、この論文、とてもわかりやすく書かれています。（さすが佐古先生です...）

● 日本銀行金融研究所 

・2024.12.20 ディスカッションペーパーシリーズ（日本語版） 2024-J-22

・[PDF] 検証可能クレデンシャルにおける本人紐づけを巡る論点：適用事例にみる対応方法と金融分野への含意 

要旨...

---

検証可能クレデンシャルにおける本人紐づけを巡る論点：適用事例にみる対応方法と金融分野への含意

佐古和恵

検証可能クレデンシャル（Verifiable Credential: VC）とは、ある対象（人、モノ、組織など）の属性情報の正しさを発行者が保証する電子的な証明書であり、その技術的な中核はデジタル署名である。VCは属性証明の汎用的なツールとして、社会で流通する情報の信頼性を向上させる潜在能力を持ち、金融をはじめとするさまざまな産業分野において活用が期待される。他方、VCはデジタル・データゆえに、従来の紙の証明書と異なり、実活用にあたり注意すべき点がある。例えば、ある人物から「自分の証明書」として「〇山A子」と記載された証明書が送られてきたが、相手は本当に〇山A子なのだろうか。あるいはその証明書をB県が発行したと記載されているが、本当にB県が発行したものなのだろうか。このような、（1）証明書の提示者実体が証明書に記載された提示者と同一人物であることの紐づけと、（2）証明書の発行者実体が証明書に付与されたデジタル署名の発行者と同一であることの紐づけにおける正確性確保は、技術のみでは解決できない課題である。そこで本稿では、エンティティ（実体）とVCに記載された情報との紐づけにおける正確性確保の論点を解説したうえで、VCの適用事例としてワクチン証明書と資格証明書を紹介し、金融分野などの産業応用におけるVCの有用性と運用上の留意点について考察する。

キーワード：検証可能クレデンシャル、デジタル・アイデンティティ、認証、公開鍵

---

図表...

図１：２つの紐付け

性別が女性であり、住所が B 県であると記述された VC

図２：VCの構成要素

Google Cybersecurity Forecast 2025 (2024.11.14)

こんにちは、丸山満彦です。

Googleが、2025年のサイバーセキュリティに関する予測を簡潔にまとめた報告書を公表していますね...

いくつかのトピックスはありますが

• 攻撃者がAIを利用することにより、攻撃がより巧妙かつ大量に行われるようになる
• 情報操作のためのコンテンツもより説得力のあるものが大量に使われるようになる
• ロシア、中国、イラン、北朝鮮はそれぞれの国の引き続きスパイ活動、サイバー犯罪、情報工作を続ける
• ランサムウェアはさらに高度かつ広範囲に利用されるようになる
• 情報窃盗を目的としたマルウェアは引き続き主要な脅威である
• サイバー攻撃ツールやサービスへのアクセスが容易となり多くの犯罪者が使うようになる
• 暗号通貨等は引き続きターゲットとなる
• 国家による組織的な脆弱性収集等が行われ、脆弱性を悪用するまでの時間は短くなる
• 耐量子暗号への移行の備えも忘れずに
• クラウドのセキュリティ設定でミスがないように

といったところでしょうか？

わりとコンパクトで短いので、原文を読むのもそれほど苦にならないように思います。

● Google

・2024.11.14 Emerging Threats: Cybersecurity Forecast 2025

ダウンロードは

・2024.11.14 Cybersecurity Forecast 2025 Report

欧州 EUROPOL 「SIRIUS EU電子証拠状況レポート 2024年」 (2024.11.28)

こんにちは、丸山満彦です。

EUROPOLが、「SIRIUS EU電子証拠状況レポート 2024年」を公表していますね。。。

犯罪捜査、起訴等にために、証拠としてデジタルデータを利用することは重要となってくるが、それが国境を超えていたり、サービスプロバイダーの協力なしには、アクセスできなかったりという状況の中、どうすれば社会全体が適切な状況に保てるのかというのは、なかなか難しい問題ではあります。

日本ではNPOデジタルフォレンジック研究会が20年前の2004年に設立されたわけですので、新しい話ではないが、世の中が変わってきてるが、状況はあまり変わっていないような気もします。これからAIが大量にデジタルデータを作成し始めると、ますます、多くのデータの中に紛れ込む犯罪に関連するデータをどのように入手し、証拠として採用できるようにするのか？というのは重要なんですよね...

● EUROPOL

・2024.11.28 SIRIUS EU Electronic Evidence Situation Report 2024

SIRIUS EU Electronic Evidence Situation Report 2024	SIRIUS EU 電子証拠状況報告書 2024
The SIRIUS EU Electronic Evidence Situation Report 2024 provides a comprehensive status update based on direct exchange with public and private stakeholders in the field. It also sheds light on some of the challenges – and advantages – offered by the current situation, and looks at possible future developments shaping cross-border access to digital evidence by law enforcement authorities.	SIRIUS EU Electronic Evidence Situation Report 2024は、この分野における官民の利害関係者との直接的な意見交換に基づく包括的な最新状況を提供する。また、現在の状況によってもたらされる課題と利点のいくつかに光を当て、法執行当局によるデジタル証拠への国境を越えたアクセスを形成する、将来起こりうる展開についても考察している。
As legislation regulating the EU digital sphere evolves, the needs of law enforcement remain unchanged; to take speedy action and keep communities safe. For EU law enforcement authorities, the criminal investigations and prosecutions of today cannot be disconnected from the need to access digital data and electronic evidence.	EUのデジタル領域を規制する法律が進化しても、法執行当局のニーズは変わらない。EU法執行当局にとって、今日の犯罪捜査と訴追は、デジタルデータと電子証拠へのアクセスの必要性と切り離すことはできない。
Sirius Electronic Evidence Situation Report 2024	SIRIUS電子証拠状況報告書2024
2024 Sirius Report factsheet from perspective of judicial authorities	SIRIUS報告書2024 ファクトシート：司法当局の視点から
2024 Sirius Report factsheet from perspective of service providers	SIRIUS報告書2024 ファクトシート：サービスプロバイダーの視点から
2024 Sirius Report factsheet from perspective of EU law enforcement	SIRIUS報告書2024 ファクトシート：EU法執行機関の視点から

報告書...

・[PDF] Sirius Electronic Evidence Situation Report 2024

・[DOCX][PDF] 仮訳

EXECUTIVE SUMMARY	エグゼクティブサマリー
For EU competent authorities, the investigation and prosecution of crime in the current EU landscape cannot be disconnected from the need to access digital data and reliance on electronic evidence. As legislation regulating the EU digital sphere evolves, the panorama of cross-border access to electronic evidence remains largely unchanged compared to previous years, as emerging from the annual editions of this report.	EUの管轄当局にとって、現在のEUの状況における犯罪の捜査と訴追は、デジタルデータへのアクセスや電子証拠への依存の必要性と切り離すことはできない。EUのデジタル領域を規制する法律が進化するにつれ、本報告書の年次版から浮かび上がるように、電子証拠への国境を越えたアクセスのパノラマは、以前と比較してほとんど変わっていない。
Despite significant advancements, such as the EU Digital Services Act, the EU Electronic Evidence legislative package, and the Second Additional Protocol to the Budapest Convention on Cybercrime, the approach of EU competent authorities towards current instruments of judicial cooperation and voluntary cooperation with foreign service providers remains unchanged. Both channels, despite their advantages, face ongoing challenges. While judicial cooperation proves inadequate due to its cumbersome and lengthy procedures, the immediacy of voluntary cooperation exchanges lacks legal certainty for the entities affected. It may, for example, put service providers in a position where complying with data requests from foreign authorities could conflict with their home jurisdiction’s laws. Operating within a fragmented national and international legal framework, EU competent authorities involved in criminal investigations requiring access to cross-border digital data do not yet see their duties simplified.	EUデジタルサービス法、EU電子証拠法パッケージ、サイバー犯罪に関するブダペスト条約第2追加議定書といった重要な進歩にもかかわらず、司法協力や外国のプロバイダとの自主的協力といった現行の手段に対するEUの管轄当局のアプローチは変わっていない。どちらの手段も、その利点にもかかわらず、現在進行中の課題に直面している。司法協力はその煩雑で長い手続きのために不十分であることが判明しているが、自主的な協力交換の即時性は、影響を受ける事業体にとって法的確実性に欠ける。例えば、プロバイダが外国当局からのデータ要求に応じることで、自国の司法管轄区域の法律に抵触する可能性がある。断片化された国内および国際的な法的枠組みの中で活動するEUの認可当局は、国境を越えたデジタルデータへのアクセスを必要とする犯罪捜査に関与しているが、その義務はまだ簡素化されていない。
Pooling together strengths and weaknesses, and threats and opportunities affecting the wide field of cross-border access to electronic evidence for the purpose of EU criminal investigations, this report is based on direct exchange with main stakeholders in the field.	本報告書は、EUの犯罪捜査のために、国境を越えて電子証拠にアクセスするという広い分野に影響を与える強みと弱み、脅威と機会をまとめ、この分野の主要な利害関係者との直接の意見交換に基づいている。
From the perspective of EU law enforcement, the report highlights that direct requests under voluntary cooperation remain the primary tool for acquiring data in electronic format from social media platforms, messaging apps and cryptocurrency exchanges. Confirmed as the most relevant service providers in criminal investigations in 2023, they were mainly targeted for the disclosure of non-content data – such as connection logs, user names and IP addresses. While the relevance of Single Points of Contact (SPoCs) (1) in all aspects of cross-border engagement with the industry remains significant in guaranteeing higher compliance rates of requests, EU law enforcement also benefits from a steady increase in the level of training received, year after year, on electronic evidence matters. Challenges, however, persist, particularly in the form of lengthy judicial cooperation procedures as well as fragmentation of companies’ policies for cross-border cooperation. The new legislative instruments in the EU Electronic Evidence legislative package, though not yet known in detail by authorities, appear to be met with a mixture of positive expectations, as well as some concerns. The lack of clarity over key concepts, the exact scope or providers covered, as well as the potential transformation of the roles of law enforcement authorities, are some of the issues highlighted by the direct feedback of the EU law enforcement surveyed. From a more general point of view, although not yet a concrete issue, the potential abuse of AI-related technological developments is expected to present new challenges for investigating authorities.	EU法執行機関の視点から、報告書は、自主的な協力に基づく直接請求が、ソーシャルメディア・プラットフォーム、メッセージングアプリ、暗号通貨取引所から電子形式のデータを取得するための主要な手段であり続けていることを強調している。2023年の犯罪捜査において最も関連性の高いプロバイダとして確認されたこれらのプロバイダは、主に非コンテンツデータ（接続ログ、ユーザー名、IPアドレスなど）の開示を対象としていた。この業界との国境を越えた関与のあらゆる側面において、シングル・コンタクト・ポイント（SPoC）(1) の関連性は、より高い要求遵守率を保証する上で依然として重要であるが、EUの法執行機関もまた、電子証拠に関する研修のレベルが年々着実に向上している恩恵を受けている。しかし、特に司法協力手続きに時間がかかることや、国境を越えた協力に対する企業の方針が断片的であることなど、課題も残っている。EUの電子証拠法パッケージにおける新たな立法措置は、当局によってまだ詳細に知られていないものの、肯定的な期待といくつかの懸念が混在しているように思われる。重要な概念、対象となる正確な範囲やプロバイダ、法執行当局の役割の変容の可能性などが明確になっていないことは、調査対象となったEU法執行当局の直接のフィードバックによって強調された問題点の一部である。より一般的な視点からは、まだ具体的な問題ではないが、AI関連の技術開発の潜在的な悪用は、捜査当局に新たな課題をもたらすと予想される。
From the perspective of judicial authorities, judicial cooperation channels remain the preferred method for obtaining electronic data from service providers located abroad. However, these channels often prove inadequate due to their slow processes, which can lead to the loss of crucial data. To mitigate these delays, some EU Member States’ authorities have resorted to direct voluntary cooperation with foreign service providers.	司法当局の視点からは、海外にあるサービス・プロバイダから電子データを入手する方法として、司法協力ルートが依然として好まれている。しかし、このような手段は、そのプロセスの遅さゆえに不十分であることがしばしば判明し、重要なデータの喪失につながりかねない。こうした遅れを軽減するため、EU加盟国の当局の中には、海外のサービスプロバイダーとの直接的な自発的協力に頼っているところもある。
Significant advancements are anticipated with the introduction of the EU Electronic Evidence legislative package and the Second Additional Protocol to the Budapest Convention on Cybercrime. Designed to be more efficient and flexible than existing judicial cooperation tools, these instruments will significantly enhance the toolkit available to EU judicial authorities, providing more robust and streamlined mechanisms for accessing electronic evidence across borders. However, these new legal frameworks will not address one of the key challenges identified by EU judicial authorities: the absence of a data retention framework for law enforcement purposes.	EU電子証拠法パッケージおよびサイバー犯罪に関するブダペスト条約第2追加議定書の序文により、大きな進展が期待される。既存の司法協力ツールよりも効率的で柔軟なものに設計されたこれらの文書は、EU司法当局が利用できるツールキットを大幅に強化し、国境を越えて電子証拠にアクセスするための、より強固で合理的なメカニズムを提供する。しかし、これらの新しい法的枠組みは、EU司法当局が指摘する重要な課題のひとつ、法執行目的のデータ保持の枠組みの欠如には対処できない。
Additionally, the report underscores the importance of continuous capacity building on both existing and forthcoming data acquisition modalities. This is crucial for enabling EU judicial authorities to navigate the complexities of the legal landscape and maximise the benefits of the new instruments for effective cross-border access to electronic evidence.	さらに報告書は、既存のデータ取得方法と今後導入されるデータ取得方法の両方について、継続的に能力開発を行うことの重要性を強調している。これは、EUの司法当局が複雑な法的状況を乗り切り、電子証拠への効果的な国境を越えたアクセスを可能にする新たな手段の利点を最大化するために極めて重要である。
From the perspective of service providers, the volume of requests for data disclosure has increased, but the processes for direct and voluntary cooperation have not recorded additional challenges as reported in the past, as this report shows. Conversely, as public-private cooperation improves, the challenges reported – such as overly broad requests, lack of contextual information or misunderstandings of services and policies provided, appear solvable through better communication and more targeted educational effort. SPoCs remain, also in the eyes of the industry, an efficient model to be multiplied and expanded within the current legislative framework and maintained in the future framework following the implementation of the EU Electronic Evidence legislative package.	サービス・プロバイダの視点から見ると、データ開示請求の量は増加しているが、本報告書が示すように、直接協力や自発的協力のプロセスは、過去に報告されたような新たな課題を記録していない。逆に、官民協力が改善されるにつれて、報告された課題-過度に広範な要求、文脈に沿った情報の欠如、提供されるサービスや政策に対する誤解など-は、より良いコミュニケーションと、より的を絞った教育努力によって解決可能であるように思われる。SPoCは、業界の目から見ても、現行の法的枠組みの中で増殖・拡大されるべき効率的なモデルであり、EU電子証拠法パッケージの実施後の将来の枠組みにおいても維持されるべきものである。
On legislative developments affecting the electronic evidence field, while feedback remains varied, providers are more vocal about their expectations for improved quality and frequency of efforts by main EU Institutions responsible for policy implementation. Recognising the substantial changes the new framework will introduce, providers regard the envisaged decentralised IT system for secure digital communication and data exchange as raising the biggest concerns.	電子証拠分野に影響を及ぼす法整備については、依然として様々な意見があるが、プロバイダは、政策実施を担当する主要なEU機構による取り組みの質と頻度の改善に対する期待について、より大きな声を上げている。プロバイダは、新しい枠組みが導入する大幅な変化を認識しつつ、安全なデジタルコミュニケーションとデータ交換のために想定される分散型ITシステムが最大の懸念を引き起こしていると考えている。
Finally, all public and private stakeholders involved in the preparation of this report view the SIRIUS Project, with its knowledge acquired and developed thus far, and its pivotal role as a centre of excellence in the EU on electronic evidence matters, as an essential actor in the present and future of the electronic evidence field.	最後に、本報告書の作成に関わったすべての官民の利害関係者は、SIRIUSプロジェクトが、これまでに獲得・開発された知識、および電子証拠に関するEUにおける卓越したセンターとしての極めて重要な役割を持つことから、電子証拠分野の現在および将来において不可欠なアクターであると考えている。

欧州 ENISA NIS投資報告書 2024

こんにちは、丸山満彦です。

ENISAが、Network and Information Security Investments Report 2024を公表していますね...

2020年から初めて今年で5年目ですね...

NIS2の施行も始まりましたし、サイバーセキュリティがますます注目されますね...今年の調査からNIS2であらたに規制対象となる産業分野も調査しているようですね...

情報セキュリティ支出は増加ている一方、IT部門の従業員に占める情報っセキュリティ専任者の割合は4年連続で低下しているようですね...特に技術的な専門知識を必要とする職務の充足に苦労しているとのこと...特に中小企業...

日本もそうですが、欧州も同じですね...きっと米国も...

事業体の90％が、来年はサイバー攻撃の量、コストが増加すると予想しているようです...

EU及びその諸国が政策を立案する際の参考にするために、行なっているようです。今年で5年目!

EUもグローバルの比較データが欲しいと思うので（一部は組み込まれていますが、、、）、日本も政策立案の際には必要となるのでしょうから、調整をして同じ調査をしても良いように思うんですけどね。。。どうかしら。。。

日本って政策立案についての定量的な分析を十分にせずに、一部の、政府職員、政治家、一部有識者？、それらの取り巻き？の思い、思いつきできまってしまうことが多くないでしょうかね。。。もう少し定量データ等を取り入れたらどうでしょうかね。。。

IPAが情報セキュリティ白書をだしていますが、読み物だけでなく、経年データのあるデータ編があると良いと思うんですよね...

● ENISA

プレス...

・2024.11.21 Navigating cybersecurity investments in the time of NIS 2

Navigating cybersecurity investments in the time of NIS 2	NIS 2の時代にサイバーセキュリティ投資をナビゲートする
The latest report of the European Union Agency for Cybersecurity (ENISA) aims to support policy makers in assessing the impact of the current EU cybersecurity framework, and particularly the NIS 2 Directive, on cybersecurity investments and the overall maturity of organisations in scope.	欧州連合サイバーセキュリティ機関（ENISA）の最新報告書は、現在のEUサイバーセキュリティの枠組み、特にNIS 2指令がサイバーセキュリティ投資と対象組織の全体的な成熟度に与える影響を評価し、政策立案者を支援することを目的としている。
The fifth iteration of the NIS Investments report provides key insights into how organisations in scope of the NIS 2 Directive allocate their cybersecurity budgets, build their capabilities, and mature in line with the Directive’s provisions, while also exploring global cybersecurity trends, workforce challenges, and the impact of AI.	NIS投資報告書の第5版では、NIS 2指令の適用範囲にある組織がどのようにサイバーセキュリティ予算を配分し、能力を構築し、指令の規定に沿って成熟しているかについて重要な洞察を提供するとともに、世界のサイバーセキュリティの動向、労働力の課題、AIの影響についても探求している。
The report further provides insights into the readiness of entities to comply with new requirements introduced by key horizontal (e.g. CRA) and sectorial (e.g. DORA, NCCS) legislation, while also exploring the challenges they face.	本報告書はさらに、事業体が直面する課題を探りながら、主要な水平法（CRAなど）や分野別法（DORA、NCCSなど）によって導入された新たな要件を遵守するための準備態勢についての洞察を提供している。
The EU Agency for Cybersecurity Executive Director, Juhan Lepassaar, highlighted: “The NIS 2 Directive signifies a turning point in Europe's approach to cybersecurity. Within a fast evolving and complex threat landscape, the proper implementation of the NIS 2 requires adequate investments and especially into the new sectors which fall under the scope of the updated Directive. The ENISA NIS Investments report provides evidence-based feedback to policymakers and stakeholders regarding NIS-driven investments. These insights are essential for informed decision-making and addressing potential hurdles and gaps in cybersecurity policy implementation.”	EUサイバーセキュリティ機関のジュハン・レパサー事務局長は、次のように強調した： 「NIS 2指令は、サイバーセキュリティに対する欧州のアプローチの転換点を意味する。急速に進化する複雑な脅威の状況の中で、NIS 2を適切に実施するためには、適切な投資が必要であり、特に更新された指令の範囲に含まれる新しいセクターへの投資が必要である。ENISA NIS投資報告書は、NIS主導の投資に関して、政策立案者や利害関係者にエビデンスに基づくフィードバックを提供する。これらの洞察は、十分な情報に基づいた意思決定や、サイバーセキュリティ政策の実施における潜在的なハードルやギャップに対処するために不可欠である」。
The 2024 edition features a significant enhancement compared to previous versions, as it extends the survey sample to include sectors and entities that are in scope of NIS 2. Through this approach, this report provides a pre-implementation snapshot of relevant metrics for the new sectors and entities under NIS 2, laying a foundation for future assessments of the impact of NIS 2. Additionally, it includes a sectorial deep dive in the Digital infrastructure and Space sectors.	2024年版の特徴は、NIS 2の対象となる事業体やセクターを調査対象に加えたことである。 このアプローチにより、本報告書は、NIS 2の対象となる新たなセクターや事業体に関する関連指標の導入前スナップショットを提供し、NIS 2の影響に関する将来のアセスメントの基礎を築く。 さらに、デジタルインフラと宇宙セクターのセクター別深堀り調査も含まれている。
Data were collected from 1350 organisations from all EU Member States covering all NIS2 sectors of high criticality, as well as the manufacturing sector.	データは、製造事業者だけでなく、重要度の高いNIS2の全分野をカバーする全EU加盟国の1350組織から収集された。
Key findings	主な調査結果
Information security now represents 9% of EU IT investments, a significant increase of 1.9 percentage points from 2022, marking the second consecutive year of growth in cybersecurity investment post-pandemic.	EUのIT投資に占める情報セキュリティの割合は9％となり、2022年から1.9ポイントの大幅な伸びを示し、パンデミック以降2年連続でサイバーセキュリティへの投資が増加している。
In 2023, median IT spending for organisations rose to EUR 15 million, with information security spending doubling from EUR 0.7 million to EUR 1.4 million.	2023年には、組織のIT支出の中央値は1,500万ユーロに上昇し、情報セキュリティ支出は0.7百万ユーロから1.4百万ユーロに倍増する。
For the fourth consecutive year, the percentage of IT  Full Time Equivalents (FTEs) dedicated to information security has declined, from 11.9% to 11.1%. This decrease may reflect recruitment challenges, with 32% of organisations—and 59% of SMEs—struggling to fill cybersecurity roles, particularly those requiring technical expertise. This trend is especially notable given that 89% of organisations expect to need additional cybersecurity staff to comply with NIS2.	IT部門のフルタイム従業員（FTE）に占める情報セキュリティ専任者の割合は4年連続で低下し、11.9％から11.1％になった。この減少は、サイバーセキュリティの職務、特に技術的な専門知識を必要とする職務の充足に苦労している組織が32％、中小企業が59％に上るという、採用上の課題を反映している可能性がある。89％の組織がNIS2に準拠するためにサイバーセキュリティ担当者の増員を必要としていることを考えると、この傾向は特に注目に値する。
New NIS2 sectors are comparable in cybersecurity spending to existing NIS Directive entities, with their investments largely focused on developing and maintaining baseline cybersecurity capabilities. Emerging areas, such as post-quantum cryptography, receive limited attention with only 4% of surveyed entities investing and 14% planning future investments.	新規のNIS2セクターは、既存のNIS指令事業体と同程度のサイバーセキュリティ支出を行っており、その投資は主に基本的なサイバーセキュリティ能力の開発と維持に集中している。耐量子暗号のような新分野への注目度は低く、調査対象事業体のわずか4％が投資し、14％が将来の投資を計画しているにすぎない。
The majority of organisations anticipate a one-off or permanent increase in their cybersecurity budgets for compliance with NIS 2. Notably, a substantial number of entities will not be able to ask for the required additional budget, a percentage that is especially high for SMEs (34%).	大半の事業体は、NIS 2に準拠するためにサイバーセキュリティ予算の単発的または恒久的な増加を見込んでいる。注目すべきは、相当数の事業体が必要な追加予算を要求できないことであり、その割合は特に中小企業（34％）で高い。
90% of entities expect an increase in cyberattacks next year, in terms of volume, costliness or both. Despite that, 74% focus their cybersecurity preparedness efforts internally, with much lower participation in national or EU-level initiatives. This gap underscores a critical area for improvement, as effective cross-border cooperation in managing large-scale incidents can only be achieved at these higher levels.	事業体の90％が、来年はサイバー攻撃の量、コスト、またはその両方が増加すると予想している。にもかかわらず、74%はサイバーセキュリティ対策に社内で注力しており、国やEUレベルのイニシアティブへの参加はかなり低い。このギャップは、大規模なインシデントに対処するための効果的な国境を越えた協力は、これらのより高いレベルでしか達成できないため、改善すべき重要な領域であることを強調している。
Overall awareness among in-scope entities is encouraging, with 92% being aware of the general scope or specific provisions of the NIS 2 Directive. However, a notable percentage of entities in certain new NIS 2 sectors remain unaware of the Directive, suggesting a potential need for increased awareness campaigns by the national competent authorities.	対象事業体の全体的な認知度は高く、92％がNIS 2指令の一般的な範囲または特定の規定を知っている。しかし、特定の新しいNIS 2セクターの事業体では、依然としてこの指令を知らない事業体の割合が目立っており、各国の所轄官庁による認知度向上キャンペーンの潜在的な必要性を示唆している。
Entities in sectors already covered by NIS outperform those newly included under NIS 2 across various cybersecurity governance, risk, and compliance metrics. Similarly, entities in new NIS 2 sectors show lower engagement and higher non-participation rates in cybersecurity preparedness activities. This highlights the positive impact the NIS Directive has had on the sectors already in scope; and creates anticipation for the impact NIS 2 will have on the new sectors.	すでにNISの対象となっているセクターの事業体は、さまざまなサイバーセキュリティガバナンス、リスク、コンプライアンスの指標において、新たにNIS 2の対象となったセクターを上回っている。同様に、新たにNIS 2の対象となった事業体では、サイバーセキュリティ対策活動への参加率が低く、不参加率が高い。このことは、NIS指令がすでに対象となっているセクターにプラスの影響を与えていることを浮き彫りにしており、NIS 2が新たなセクターに与える影響への期待を高めている。
Through the years, the series of the NIS Investments report provide a rich historical dataset which, building on this year’s foundation, will allow us to gain insights into the effect of NIS 2 on new entities within its scope.	長年にわたり、NIS投資報告書のシリーズは豊富な歴史的データセットを提供しており、今年の基礎の上に、NIS 2がその範囲内の新たな事業体に与える影響についての洞察を得ることができるだろう。
Further Information	詳細情報
NIS Investments Report 2024	NIS投資報告書2024
NIS Investments Report 2023 — ENISA	NIS投資報告書2023 - ENISA
NIS Investments 2022 — ENISA	NIS投資報告書2022 - ENISA
Cybersecurity Investment: Spotlight on Vulnerability Management — ENISA	サイバーセキュリティ投資： 脆弱性管理に注目 - ENISA

・2024.11.21 NIS Investments 2024

NIS Investments 2024

NIS投資 2024

This report aims at providing policy makers with evidence to assess the effectiveness of the existing EU cybersecurity framework specifically through data on how the NIS Directive has influenced cybersecurity investments and overall maturity of organisations in scope. As 2024 is the year of the transposition of NIS 2, this report also intends to capture a pre-implementation snapshot of the relevant metrics for new sectors and entities in scope of NIS 2 to help future assessments of the impact of NIS 2. This fifth iteration of the report presents data from 1350 organisations from all 27 EU Member States covering all NIS 2 sectors of high criticality, as well as the manufacturing sector.

本報告書の目的は、NIS指令が対象組織のサイバーセキュリティ投資と全体的な成熟度にどのような影響を与えたかに関するデータを通じて、特に政策立案者に既存のEUサイバーセキュリティの枠組みの有効性を評価するための証拠を提供することである。2024年はNIS 2の移行の年であるため、本レポートは、NIS 2の適用対象となる新たなセクターや事業体に関する関連指標の導入前のスナップショットを取得し、NIS 2の影響に関する将来のアセスメントに役立てることも意図している。 本報告書の第5版では、NIS 2のすべての重要度の高いセクターと製造事業者を対象に、EU全27加盟国の1350組織のデータを紹介している。

・[PDF]

目次...

EXECUTIVE SUMMARY	エグゼクティブサマリー
1. INTRODUCTION	1. 序文
2. INFORMATION SECURITY DYNAMICS AND OUTLOOK	2. 情報セキュリティの動態と展望
2.1 INFORMATION SECURITY SPENDING	2.1 情報セキュリティ支出
2.1.1 Forecast spending on information security and risk management	2.1.1 情報セキュリティとリスクマネジメントへの支出の見通し
2.1.2 Information security spending	2.1.2 情報セキュリティ支出
2.2 CYBERSECURITY PRIORITIES	2.2 サイバーセキュリティの優先事項
2.2.1 Investment Priorities	2.2.1 投資の優先順位
2.2.2 Third-Party Cyber Risk Management	2.2.2 サードパーティサイバーリスク管理
2.3 CYBERSECURITY WORKFORCE CHALLENGES	2.3 サイバーセキュリティ人材の課題
2.3.1 Information security staffing	2.3.1 情報セキュリティ人材の確保
2.3.2 Talent scarcity and impacts	2.3.2 人材不足とその影響
2.4 IMPACT OF ARTIFICIAL INTELLIGENCE (AI)	2.4 人工知能（AI）の影響
2.4.1 Cybersecurity of AI and AI for cybersecurity	2.4.1 AIのサイバーセキュリティとサイバーセキュリティのためのAI
2.5 CYBERSECURITY INCIDENTS AND VULNERABILITIES	2.5 サイバーセキュリティのインシデントと脆弱性
2.5.1 Cybersecurity incidents	2.5.1 サイバーセキュリティ事件
2.5.2 Vulnerabilities	2.5.2 脆弱性
3. INFORMATION SECURITY INVESTMENTS	3. 情報セキュリティ投資
3.1 METHODOLOGY	3.1 方法論
3.2 SPENDING ON INFORMATION SECURITY	3.2 情報セキュリティへの支出
3.2.1 IT spending	3.2.1 IT投資
3.2.2 IS spending	3.2.2 IS投資
3.2.3 IS spending as a share of IT spending	3.2.3 IT支出に占めるIS支出の割合
3.2.4 Investment in post-quantum cryptography (PQC)	3.2.4 耐量子暗号（PQC）への投資
3.3 INFORMATION SECURITY AND NIS STAFFING	3.3 情報セキュリティとNISの人員配置
3.3.1 IT FTEs	3.3.1 IT FTE
3.3.2 IS FTEs	3.3.2 IS FTE
3.3.3 IS FTEs as a share of IT FTEs	3.3.3 IT FTEに占めるIS FTEの割合
3.3.4 Security domains with difficulties in hiring	3.3.4 採用が困難なセキュリティ領域
3.3.5 Staffing evolution to comply with the DORA	3.3.5 DORAに対応するための人員配置の変遷
3.3.6 Staffing evolution to comply with the cybersecurity network code for electricity	3.3.6 電力のサイバーセキュリティネットワークコードに準拠するための人員配置の変遷
4. NIS 2 DIRECTIVE READINESS	4. NIS 2指令の準備
4.1 NIS 2 AWARENESS	4.1 NIS 2に対する認識
4.2 MOST CHALLENGING NIS 2 REQUIREMENTS	4.2 最も困難なNIS 2要件
4.3 NIS 2 BUDGET ARRANGEMENTS	4.3 NIS 2予算の取り決め
4.4 STAFFING EVOLUTION TO COMPLY WITH NIS2	4.4 NIS2に準拠するためのスタッフの進化
5. CYBERSECURITY GOVERNANCE AND RISK MANAGEMENT	5. サイバーセキュリティガバナンスとリスクマネジメント
5.1 LEADERSHIP INVOLVEMENT IN CYBERSECURITY	5.1 リーダーシップによるサイバーセキュリティへの関与
5.2 CYBERSECURITY RISK MANAGEMENT FOR THIRD PARTIES	5.2 サードパーティのサイバーセキュリティリスクマネジメント
5.3 IT/OT PRODUCTS SECURITY	5.3 IT/OT製品のセキュリティ
5.4 PERCEIVED CYBER-RISK MANAGEMENT MATURITY	5.4 認知されたサイバーリスクマネジメントの成熟度
5.5 PERCEIVED NETWORK AND INFORMATION SECURITY MATURITY	5.5 ネットワークと情報セキュリティの成熟度の認識
5.6 INFORMATION SHARING	5.6 情報共有
5.7 CYBER RESILIENCE ACT (CRA)	5.7 サイバーレジリエンス法（CRA）
5.8 EU CYBERSECURITY CERTIFICATION	5.8 EUサイバーセキュリティ認証
6. CYBER ATTACK EXPECTATIONS AND PREPAREDNESS	6. サイバー攻撃に対する期待と準備
6.1 CYBER ATTACK EXPECTIONS	6.1 サイバー攻撃への期待
6.2 PERCEIVED CYBER-ATTACK DETECTION AND RESPONCE CAPABILITY MATURITY	6.2 サイバー攻撃の検知と対応能力の成熟度の認識
6.3 PARTICIPATION TO CYBERSECURITY PREPAREDNESS INITIATIVES	6.3 サイバーセキュリティ対策への参加
7. SECTORAL ANALYSIS: DIGITAL INFRASTRUCTURE	7. セクター別分析：デジタルインフラ
7.1 DIGITAL INFRASTRUCTURE SERVICES	7.1 デジタルインフラサービス
7.2 TELECOMMUNICATION SERVICES	7.2 電気通信サービス
7.3 SCOPE OF OPERATIONS	7.3 業務範囲
7.4 INCIDENT NOTIFICATION OBLIGATIONS	7.4 インシデント通知義務
7.5 CYBERSECURITY FRAMEWORKS	7.5 サイバーセキュリティの枠組み
7.6 CYBERSECURITY SERVICES	7.6 サイバーセキュリティサービス
7.7 HIGH RISK VENDORS	7.7 リスクの高いベンダー
8. SECTORAL ANALYSIS: SPACE	8. セクター別分析：宇宙
8.1 SPACE ENTITIES PROFILE	8.1 宇宙事業体のプロフィール
8.2 COTS (COMMERCIAL OFF THE SHELF) USAGE	8.2 COT（市販品）の使用状況
8.3 SECURITY OF COTS PRODUCTS	8.3 市販製品のセキュリティ
8.4 USE OF CLOUD SERVICES	8.4 クラウドサービスの利用
8.5 USE OF 3RD PARTY SUPPLIERS	8.5 第三者サプライヤーの利用
8.6 CYBERSECURITY POSTURE STRENGTHENING	8.6 サイバーセキュリティ態勢の強化
9. COMPARING SMES AND LARGE ENTERPRISES	9. 中小企業と大企業の比較
10.CONCLUSIONS	10.結論
11.ANNEX A – DEMOGRAPHICS	11.附属書 A - 人口統計
12.ANNEX B – DEFINITIONS	12.附属書 B - 定義
12.1MEDIAN AND AVERAGE DEFINITIONS	12.1 中央値と平均値の定義
12.2CAGR DEFINITION	12.2 CAGRの定義
12.3SME DEFINITION	12.3 SMEの定義
12.4MAPPING OF ECSF PROFILES TO SECURITY DOMAINS	12.4 セキュリティ・ドメインへのECSFプロファイルのマッピング

エグゼクティブサマリーと序文...

EXECUTIVE SUMMARY	エグゼクティブサマリー
This report aims at providing policy makers with evidence to assess the effectiveness of the existing EU cybersecurity framework specifically through data on how the NIS Directive has influenced cybersecurity investments and overall maturity of organisations in scope. As 2024 is the year of the transposition of NIS 2, this report also intends to capture a pre-implementation snapshot of the relevant metrics for new sectors and entities in scope of NIS 2 to help future assessments of the impact of NIS 2.	本報告書の目的は、NIS指令が対象組織のサイバーセキュリティ投資と全体的な成熟度にどのような影響を与えたかに関するデータを通じて、特に政策立案者に既存のEUサイバーセキュリティフレームワークの有効性を評価するための証拠を提供することである。2024年はNIS 2の移行の年であるため、本報告書は、NIS 2の適用対象となる新たなセクターや事業体に関する関連指標の実施前スナップショットを取得し、NIS 2の影響に関する将来のアセスメントに役立てることも意図している。
This fifth iteration of the report presents data from 1350 organisations from all 27 EU Member States covering all NIS 2 sectors of high criticality, as well as the manufacturing sector. As the past couple of years have been characterised by a proliferation of the EU cybersecurity policy framework with the introduction of key horizontal (e.g. CRA) and sectorial (e.g. DORA, NCCS) legislation, the report provides insights into the readiness of entities to comply with these new requirements, as well as into the challenges they face. Moreover, a sectorial deep dive was conducted for entities in the Digital infrastructure and Space sectors. Key findings from the report include:	本報告書の5回目となる今回は、製造事業者に加え、重要度の高いNIS 2の全分野をカバーするEU加盟国全27カ国の1350組織のデータを紹介する。ここ数年、EUのサイバーセキュリティ政策の枠組みは、重要な水平法（CRAなど）および分野別法（DORA、NCCSなど）の序文が導入され、その拡散が特徴となっている、 本報告書は、事業体がこれらの新たな要件に準拠するための準備態勢や直面する課題についての洞察を提供している。さらに、デジタルインフラと宇宙分野の事業体について、分野別の深堀りを行った。本レポートの主な調査結果は以下の通りである：
• Organisations earmark 9,0% of their IT investments for Information Security, a significant increase of 1.9 percentage points compared to last year.	- 組織はIT投資の9.0％を情報セキュリティに充てており、昨年と比較して1.9ポイントの大幅増となった。
• Organisations allocate 11,1% of their IT FTEs for information security a decrease of 0,8% compared to last year, despite the overall increase in cybersecurity spending and the fourth year in a row where a decrease in this metric is observed.	- サイバーセキュリティへの支出が全体的に増加しているにもかかわらず、組織はIT FTE数の11.1％を情報セキュリティに割り当てており、昨年と比較して0.8％減少している。
• 89% of organisations will require more cybersecurity staff to comply with NIS 2, primarily in the cybersecurity architecture and engineering (46%) and cybersecurity operations (40%) domains.	- 組織の89%は、NIS 2に準拠するために、サイバーセキュリティ・アーキテクチャとエンジニアリング（46%）とサイバーセキュリティ・オペレーション（40%）を中心に、より多くのサイバーセキュリティ・スタッフを必要としている。
• Organisations will also need additional FTEs to comply with other horizontal (CRA - 85%) or vertical (DORA - 84%; NCCS - 81%) cybersecurity legislation.	- 組織はまた、他の水平的（CRA - 85％）または垂直的（DORA - 84％、NCCS - 81％）サイバーセキュリティ法制に準拠するために、FTEを追加する必要がある。
• Most organisations anticipate a one-off or permanent increase in their cybersecurity budgets for compliance with NIS 2 though a substantial number of entities will not be able to ask for the required additional budget, a percentage that is especially high for SMEs (34%).	- ほとんどの事業体は、NIS 2に準拠するためにサイバーセキュリティ予算が単発的または恒久的に増加すると見込んでいるが、必要な追加予算を要求できない事業体も相当数あり、その割合は特に中小企業で高い（34％）。
• 51% of surveyed organisations reported that their leadership participates in dedicated cybersecurity training a 2% increase compared to last year.	- 調査対象となった組織の51％が、自社のリーダーシップがサイバーセキュリティの専門トレーニングに参加していると回答した。
• Sectors previously covered by NIS reported higher perceived maturity in cyberrisk management (6.8 vs. 6.2), network and information security arrangements (7 vs. 6.3), and cyber-attack detection and response capability (7.1 vs. 6.3) compared to new sectors.	- 以前NISの対象であったセクターは、新しいセクターと比較して、サイバーリスク管理（6.8対6.2）、ネットワークと情報セキュリティの取り決め（7対6.3）、サイバー攻撃の検知と対応能力（7.1対6.3）において、より高い成熟度を認識していると報告した。
• Sectors newly covered by the NIS 2 Directive in most cases lag behind sectors already covered by it in areas such as participation in information-sharing initiatives (60% non-participation), participation in cybersecurity preparedness initiatives, controls to establish trust in supply chain (20% implicitly trust it).	- 情報共有イニシアティブへの参加（60％が不参加）、サイバーセキュリティ準備イニシアティブへの参加、サプライチェーンにおける信頼確立のための管理（20％が暗黙のうちに信頼している）といった分野では、ほとんどの場合、新たにNIS 2指令の対象となったセクターは、すでに対象となったセクターに遅れをとっている。
• Only 4% of organisations have already invested in Post-Quantum Cryptography, while 68% of respondents indicated that they will not invest in QSC.	- 耐量子暗号に投資済みの組織はわずか4％で、回答者の68％は耐量子暗号には投資しないと回答している。
• 90% of entities expect an increase in cyberattacks in the coming year. Despite this, participation in cybersecurity preparedness initiatives is predominantly internal, with 74% of organisations engaging in such activities within their own companies.	- 事業体の90％が、来年はサイバー攻撃が増加すると予想している。にもかかわらず、サイバーセキュリティ対策への参加は主に社内で行われており、74％の組織が社内でそのような活動に従事している。
1. INTRODUCTION	1. 序文
This report is the fifth edition of the NIS Investments study published by the ENISA to understand how the Directive concerning measures for a high common level of security of network and information systems across the Union (NIS Directive) 1 has impacted the cybersecurity investments, cybersecurity strategy and cybersecurity posture of organisations in scope, and what is the respective projected impact of the Directive on measures for a high common level of cybersecurity across the Union (NIS 2 Directive) 2 which replaced the NIS Directive as of October 2024.	本報告書は、ENISAが発表したNIS投資調査の第5版であり、欧州連合全体におけるネットワークと情報システムの高度な共通レベルのセキュリティ対策に関する指令（NIS指令）1が、対象組織のサイバーセキュリティ投資、サイバーセキュリティ戦略、サイバーセキュリティ態勢にどのような影響を与えたか、また、2024年10月時点でNIS指令に代わる欧州連合全体における高度な共通レベルのサイバーセキュリティ対策に関する指令（NIS 2指令）2が、それぞれどのような影響を及ぼすと予測されるかを把握することを目的としている。
The NIS 2 Directive which, during the time of this study, is being transposed across the EU (European Union), represents a significant update to the previous NIS Directive. It expands the scope of the NIS Directive to cover a wider range of organisations and imposes more stringent cybersecurity requirements. These changes are likely to have a significant impact on how entities in scope allocate their cybersecurity budgets and manage their risks.	本調査の期間中、EU（欧州連合）全域に適用されるNIS 2指令は、従来のNIS指令の大幅な更新を意味する。NIS指令の適用範囲が拡大され、より広範な組織が対象となり、より厳しいサイバーセキュリティ要件が課される。これらの変更は、対象事業体のサイバーセキュリティ予算の配分やリスクマネジメントに大きな影響を与える可能性が高い。
As the implementation of the NIS 2 Directive is under progress, it will be essential to monitor its effectiveness and assess its impact on the cybersecurity posture of organisations across the EU. The insights provided in this report can serve as a valuable baseline for future analysis and inform policy decisions related to cybersecurity.	NIS 2指令の施行は現在進行中であり、その有効性を監視し、EU全域の組織のサイバーセキュリティ態勢に与える影響を評価することが不可欠である。本報告書でプロバイダが提供する洞察は、今後の分析のための貴重なベースラインとして役立ち、サイバーセキュリティに関連する政策決定に情報を提供することができる。
To ensure representative results, a total of 1,350 organisations were surveyed across 27 EU Member States, hence 50 organisations per Member State. Additional information on the demographics of the survey is available in Annex A. This report collects data from entities already in scope of the NIS Directive as well as entities that will be in scope of NIS 2. The terms “organisations” or “entities” will be used throughout chapters 3 – 9 to refer to surveyed entities.	代表者を確実にするため、EU加盟国27カ国で合計1,350団体、つまり1加盟国あたり50団体を調査した。本報告書では、すでにNIS指令の適用範囲にある事業体およびNIS 2の適用範囲となる事業体からデータを収集している。第3章から第9章を通じて、調査対象事業体を指す場合は「組織」または「事業体」という用語を使用する。
For this study, entities from all sectors of high criticality (listed in Annex I of NIS 2 Directive) and the manufacturing sector (listed in Annex II of NIS 2 Directive) have been surveyed. This year’s report also provides a more in-depth analysis for entities in the Digital Infrastructure and Space sectors.	本調査では、臨界性の高いすべてのセクター（NIS 2指令の附属書Iに記載）と製造セクター（NIS 2指令の附属書IIに記載）の事業体を調査した。今年の報告書では、デジタルインフラと宇宙分野の事業体についても、より詳細な分析を行っている。
The target audience of this report is EU and national policymakers. It is part of a series designed to produce historical datasets to track the development of key indicators – such as information security (IS) budgets – over time. These reports also assess how policy influences these indicators, providing insights and evidence to inform policy decisions. This work is part of ENISA’s Cybersecurity Policy Observatory (CSPO) activities.	本報告書の対象読者はEUおよび各国の政策立案者である。本報告書は、情報セキュリティ（IS）予算などの主要指標の経年変化を追跡するためのヒストリカル・データセットを作成することを目的としたシリーズの一部である。また、これらの報告書では、政策がこれらの指標にどのような影響を与えるかをアセスメントし、政策決定に役立つ洞察とエビデンスを提供している。この作業は、ENISAのサイバーセキュリティ政策観測所（CSPO）活動の一環である。

・2023.11.16 NIS Investments Report 2023 [PDF]

・2022.11.23 NIS Investments 2022 [PDF]

・2021.11.17 NIS Investments Report 2021 [PDF]

・2020.11.11 NIS Investments Report 2020 [PDF]

NIS Investments 2024	NIS投資 2024
This report aims at providing policy makers with evidence to assess the effectiveness of the existing EU cybersecurity framework specifically through data on how the NIS Directive has influenced cybersecurity investments and overall maturity of organisations in scope. As 2024 is the year of the transposition of NIS 2, this report also intends to capture a pre-implementation snapshot of the relevant metrics for new sectors and entities in scope of NIS 2 to help future assessments of the impact of NIS 2. This fifth iteration of the report presents data from 1350 organisations from all 27 EU Member States covering all NIS 2 sectors of high criticality, as well as the manufacturing sector.	本報告書の目的は、NIS指令が対象組織のサイバーセキュリティ投資と全体的な成熟度にどのような影響を与えたかに関するデータを通じて、特に政策立案者に既存のEUサイバーセキュリティの枠組みの有効性を評価するための証拠を提供することである。2024年はNIS 2の移行の年であるため、本レポートは、NIS 2の適用対象となる新たなセクターや事業体に関する関連指標の導入前のスナップショットを取得し、NIS 2の影響に関する将来のアセスメントに役立てることも意図している。 本報告書の第5版では、NIS 2のすべての重要度の高いセクターと製造事業者を対象に、EU全27加盟国の1350組織のデータを紹介している。
NIS Investments Report 2023	NIS投資報告書2023
This report aims at providing policy makers with evidence to assess the effectiveness of the existing EU cybersecurity framework specifically through data on how Operators of Essential Services (OES) and Digital Service Providers (DSP) identified in the European Union’s directive on security of network and information systems (NIS Directive) invest their cybersecurity budgets and how the NIS Directive has influenced this investment. This fourth iteration of the report presents data from 1,080 OES/DSPs from all 27 EU Member States.	本報告書は、ネットワークと情報システムのセキュリティに関する欧州連合指令（NIS指令）で特定された Operators of Essential Services（OES）およびDigital Service Providers（DSP）がサイバーセキュリティ予算をどのように投資しているか、またNIS指令がこの投資にどのような影響を与えたかに関するデータを通じて、政策立案者に既存のEUサイバーセキュリティの枠組みの有効性を評価するためのエビデンスを提供することを目的としている。本報告書の第4版では、EU加盟国全27カ国の1,080のOES/DSPのデータを紹介している。
NIS Investments 2022	2022年のNIS投資
This report marks the third iteration of ENISA's NIS Investments report, which collects data on how Operators of Essential Services (OES) and Digital Service Providers (DSP) identified in the European Union’s directive on security of network and information systems (NIS Directive) invest their cybersecurity budgets and how this investment has been influenced by the NIS Directive. In addition, global cybersecurity market trends are presented through Gartner security data and insights observed globally and in the EU, in order to provide a better understanding of the relevant dynamics. This year's report presents data collected from 1080 OES/DSPs from all 27 EU Member States and can now provide a historical dataset that allows for year-on-year comparison and identification of trends. Moreover, sectorial deep dives were conducted for the Energy and Health sectors. Overall, a number of absolute values, such as IT and Information Security (IS) budgets or % of IT budgets spent on IS seem to be significantly lower compared to last year. This can be attributed to the composition of the survey sample and to the higher representation of OES from the Energy and Health sectors due to the sectorial deep dives, but also to the macroeconomic environment, such as the COVID-19 impact on the respective budgets.	本報告書は、欧州連合（EU）のネットワークと情報システムのセキュリティに関する指令（NIS指令）で特定されたOES（Operators of Essential Services）とDSP（Digital Service Providers）がサイバーセキュリティ予算をどのように投資しているか、またこの投資がNIS指令の影響をどのように受けているかに関するデータを収集したENISAのNIS投資報告書の3回目の改訂版である。さらに、関連するダイナミクスをより深く理解するために、ガートナーのセキュリティデータと世界およびEUで観察された洞察を通じて、世界のサイバーセキュリティ市場の動向を紹介している。今年の報告書では、EU全27加盟国の1080のOES/DSPから収集したデータを紹介しており、前年比やトレンドの特定を可能にする過去のデータセットを提供できるようになった。さらに、エネルギー分野と保健分野については、分野別の深堀りが行われた。全体として、ITおよび情報セキュリティ（IS）予算や、ISに費やされるIT予算の割合など、絶対的な数値の多くが、昨年と比較して大幅に減少しているようだ。これは、調査サンプルの構成や、部門別ディープダイブによりエネルギー部門と保健医療部門のOESの割合が高くなったことに起因すると考えられるが、COVID-19が各予算に与えた影響などマクロ経済環境も影響している。
NIS Investments Report 2021	2021年NIS投資報告書
Following the 2020 NIS Investment publication, this report covers all 27 EU Member States and offering additional insights into the allocation of NIS budgets of OES/DSP, the economic impact of cybersecurity incidents and the organisation of cybersecurity in these operators. In addition, global cybersecurity market trends are presented through Gartner security data and insights observed globally and in the EU, in order to provide a better understanding of the relevant dynamics. In this second edition, additional and complementary questions were asked to the surveyed organisations. Overall, 48.9 % of surveyed organisations acknowledge a very significant or significant impact of the NIS Directive on their information security (IS).	2020年のNIS投資報告書に続き、本報告書ではEU加盟国27カ国すべてをカバーし、OES/DSPのNIS予算の配分、サイバーセキュリティインシデントが及ぼす経済的影響、これらの事業者のサイバーセキュリティ組織に関するさらなる洞察を提供する。さらに、関連するダイナミクスをよりよく理解するために、ガートナーのセキュリティデータと世界およびEUで観察された洞察を通じて、世界のサイバーセキュリティ市場の動向を示している。この第2版では、調査対象組織に対して追加的・補足的な質問を行った。全体として、調査対象組織の48.9％が、NIS指令が自社の情報セキュリティ（IS）に与える影響が非常に大きい、または大きいと認識している。
NIS Investments Report 2020	NIS投資報告書2020
Four years after the NIS Directive entered into force and two years after the transposition by Member States into their national laws, this report presents the findings of a survey of 251 organisations across five EU Member States (France, Germany, Italy, Spain and Poland) with regards to NIS investments. The report depicts and analyses how OES and DSPs spend their information security budget and provides indications as to how this spending has been influenced by the introduction of the NIS Directive. The results of this NIS survey were correlated with Gartner security data and insights observed globally and in the EU in order to better understand the current NIS Directive adoption dynamics and impact on related investments.	NIS指令の発効から4年、加盟国による国内法への移管から2年を経て、本報告書はEU加盟5カ国（フランス、ドイツ、イタリア、スペイン、ポーランド）の251組織を対象に実施したNIS投資に関する調査結果をまとめたものである。報告書は、OESとDSPが情報セキュリティ予算をどのように使っているかを描き、分析し、この支出がNIS指令の序文によってどのような影響を受けたかを示している。このNIS調査の結果は、現在のNIS指令導入の動きと関連投資への影響をよりよく理解するために、ガートナーのセキュリティデータおよび世界とEUで観察された洞察と関連づけられた。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.11.18 ENISA EUにおけるサイバーセキュリティ投資 2023

・2022.11.25 ENISA EUにおけるサイバーセキュリティ投資 2022

・2021.11.26 ENISA NIS投資動向報告書2021 at 2021.11.17

英国 ICO&科学・革新・技術省 プライバシー強化技術 (PETs) の費用対効果認識ツール (2024.11.07)

こんにちは、丸山満彦です。

英国の情報コミッショナー事務局と科学・革新・技術省が、PETsの費用帯効果認識ツールを公表していますね...

 連合学習、入力プライバシー（準同型暗号(HE)、信頼可能な実行環境、マルチパーティ計算(MPC)）、出力プライバシー（合成データ、差分プライバシー）に分けて説明をしていますね...

Section 1: costs and benefits of federated learning	セクション1：連合学習のコストと利益
・federated analytics: processing data in a decentralised manner to produce analysis or carry out machine learning, often used alongside combinations of the technologies listed above.	・連合学習：データを分散的に処理して分析を行ったり、機械学習を行ったりすることで、多くの場合、上記の技術を組み合わせて使用される。
Section 2: input privacy considerations	セクション2：入力プライバシーに関する考察
・homomorphic encryption (HE): a method of encryption that enables computation directly on encrypted data.	・準同型暗号（HE）：暗号化されたデータ上で直接計算を可能にする暗号化手法。
・trusted execution environments (TEEs): a secure area within a processor that runs alongside the main operating system, isolated from the main processing environment. Also known as secure enclaves.	・信頼可能な実行環境：プロセッサ内のセキュアな領域で、メインのオペレーティング・システムと並行して実行され、メインの処理環境からは隔離されている。セキュア・エンクレーブとも呼ばれる。
・multi-party computation (MPC): cryptographic protocols that enable multiple parties to share or collaborate to process data without disclosing details of the information each party holds.	・マルチパーティ計算（MPC）：複数のパーティが、各パーティが保有する情報の詳細を開示することなく、データを共有または協力して処理できるようにする暗号プロトコル。
Section 3: output privacy considerations	セクション3：出力プライバシーに関する考察
・synthetic data: artificial data generated to preserve the patterns and statistical properties of an original dataset on which it is based.	・合成データ：元となるデータセットのパターンや統計的特性を保持するために生成された人工的なデータ。
・differential privacy: a formal mathematical approach to ensuring data privacy, which works by adding noise to either input data, or to the output it produces.	・差分プライバシー：データ・プライバシーを確保するための正式な数学的アプローチで、入力データまたは出力データにノイズを加えることで機能する。

いずれにしても、完璧な方法はないということで...

● Gov.UK

・2024.11.07 Cost-benefit awareness tool

Cost-benefit awareness tool	費用対効果認識ツール
Purpose of this tool	本ツールの目的
This toolkit is designed to support organisations considering adopting emerging privacy enhancing technologies (PETs). PETs can be adopted across different sectors and by organisations of different sizes. However, the potential of these technologies has not yet been fully realised, with adoption currently limited to a relatively small number of use cases.	このツールキットは、新たなプライバシー強化技術（PETs）の採用を検討している組織を支援するために設計されている。PETsは、さまざまな部門、さまざまな規模の組織で採用することができる。しかし、これらの技術の可能性はまだ十分に実現されておらず、現在のところ採用は比較的少数のユースケースに限られている。
This resource provides information about some of the costs and benefits associated with the adoption of these technologies. It is designed for use by individuals within organisations such as data officers, data architects, data scientists, as well as business unit owners assessing the opportunities that adopting these technologies may bring. It explores key areas that organisations looking to adopt PETs may wish to consider when assessing technical options or making a business case for a project. It does not attempt to quantify costs and benefits, as they are highly context and use case specific.	本資料は、これらの技術の採用に関連するコストと便益の一部に関する情報を提供する。データオフィサー、データアーキテクト、データサイエンティストといった組織内の個人、そしてこれらのテクノロジーを採用することでもたらされる可能性のある機会を評価するビジネスユニットオーナー向けに作成されている。PETの採用を検討している組織が、技術的なオプションをアセスメントしたり、プロジェクトのビジネスケースを作成したりする際に考慮するとよいであろう、主要な分野を探求している。コストと便益は、状況やユースケースに大きく依存するため、定量化を試みていない。
This resource has been created by the Responsible Technology Adoption Unit (RTA) in the UK government’s Department for Science Innovation and Technology (DSIT), in partnership with the Information Commissioners Office (ICO). It is intended to assist organisations to make well-informed decisions about the use of emerging PETs but is not a statement of formal government policy or regulatory guidance. This document is intended to offer suggestions as to how organisations can make use of emerging PETs. This document is not legal advice. Should you require legal advice, you should seek this from independent legal advisors.	本資料は、英国政府科学技術革新省（DSIT）の責任ある技術導入ユニット（RTA）が、情報監 視委員会事務局（ICO）と協力して作成したものである。本書は、組織が新興PETの使用について十分な情報に基づいた決定を行うことを支援することを意図 しているが、政府の正式な方針または規制ガイダンスを表明するものではない。本文書は、組織が新興PETをどのように利用できるかについて提案することを意図している。本書は法的助言ではない。法的助言が必要な場合は、独立した法律顧問に求めるべきである。
Introduction	序文
What are privacy enhancing technologies?	プライバシー強化技術とは何か？
A privacy enhancing technology (PET) is a technical method that protects the privacy or confidentiality of sensitive information. This term covers a broad range of technologies including more traditional PETs and more novel, emerging PETs.	プライバシー強化技術（PET）とは、機密情報のプライバシーまたは機密性を保護する技術的 方法である。この用語は、伝統的なPETや新奇なPETなど、広範な技術を含む。
Traditional PETs are more established privacy technologies, such as encryption schemes, which are constituted by methods that secure information during transmission and when stored; de-identification techniques such as tokenisation, which replaces sensitive data with unique identifiers; and generalisation, which removes specific details to reduce data sensitivity.	伝統的なPETは、より確立されたプライバシー技術であり、例えば、送信中および保存中に情報を保護する方法によって構成される暗号化スキーム、機密データを一意の識別子に置き換えるトークナイゼーションなどの非識別化技術、データの機密性を低減するために特定の詳細を削除する一般化などである。
This toolkit focuses on emerging PETs which are comparatively novel solutions to privacy challenges in data-driven systems. Whilst there is no fixed definition of emerging PETs, this toolkit primarily considers the following technologies:	このツールキットは、データ・ドリブン・システムにおけるプライバシーの課題に対する比較的新しい解決策である新興PETに焦点を当てている。新興PETの固定された定義はないが、本ツールキットは主に以下の技術を検討している：
・homomorphic encryption (HE): a method of encryption that enables computation directly on encrypted data.	・準同型暗号（HE）：暗号化されたデータ上で直接計算を可能にする暗号化手法。
・trusted execution environments (TEEs): a secure area within a processor that runs alongside the main operating system, isolated from the main processing environment. Also known as secure enclaves.	・信頼可能な実行環境：プロセッサ内のセキュアな領域で、メインのオペレーティング・システムと並行して実行され、メインの処理環境からは隔離されている。セキュア・エンクレーブとも呼ばれる。
・multi-party computation (MPC): cryptographic protocols that enable multiple parties to share or collaborate to process data without disclosing details of the information each party holds.	・マルチパーティ計算（MPC）：複数のパーティが、各パーティが保有する情報の詳細を開示することなく、データを共有または協力して処理できるようにする暗号プロトコル。
・synthetic data: artificial data generated to preserve the patterns and statistical properties of an original dataset on which it is based.	・合成データ：元となるデータセットのパターンや統計的特性を保持するために生成された人工的なデータ。
・differential privacy: a formal mathematical approach to ensuring data privacy, which works by adding noise to either input data, or to the output it produces.	・差分プライバシー：データ・プライバシーを確保するための正式な数学的アプローチで、入力データまたは出力データにノイズを加えることで機能する。
・federated analytics: processing data in a decentralised manner to produce analysis or carry out machine learning, often used alongside combinations of the technologies listed above.	・連合学習：データを分散的に処理して分析を行ったり、機械学習を行ったりすることで、多くの場合、上記の技術を組み合わせて使用される。
Background to this toolkit	このツールキットの背景
PETs can be utilised to support a wide and increasing range of use cases across many sectors (See our Repository of PETs use cases).	PETは、様々な分野にわたる広範かつ増加しつつあるユースケースをサポートするために利用することができる（PETのユースケースのリポジトリを参照）。
This toolkit is structured around a high-level use case: using privacy-preserving federated learning to enable the training of machine learning models without sharing data directly.	このツールキットは、高レベルのユースケースを中心に構成されている：連合学習を使用して、データを直接共有することなく機械学習モデルの学習を可能にする。
This use case focuses on a subset of federated analytics, known as federated learning, layered with other PETs to increase both input privacy (protecting raw data during the processing stage in training a machine learning model) and output privacy (protecting data that is shared or released after processing). The combination of federated learning with other PETs is often referred to as privacy-preserving federated learning (PPFL).	このユースケースは、入力プライバシー（機械学習モデルを訓練する際の処理段階における生データの防御）と出力プライバシー（処理後に共有または解放されるデータの防御）の両方を向上させるために、他のPETとレイヤー化された連合学習として知られる連合分析のサブセットに焦点を当てている。連合学習と他のPETの組み合わせは、しばしばプライバシー保護連合学習（PPFL）と呼ばれる。
We use this PPFL use case to structure this guide, as it involves a range of relevant PETs, and provides a concrete basis to frame potential costs and benefits against a clear baseline. This type of use case was the focus of the UK-US PETs Prize Challenges in 2022-23, and in our work designing those challenges we identified PPFL use cases as having potential to improve data collaboration between organisations and across borders, without compromising on privacy. However, the analysis of the document remains relevant to other deployments of the same emerging PETs in related contexts.	この PPFL のユースケースは、関連する様々な PET を含み、明確なベースラインに対して潜在的なコ ストと便益を枠付けする具体的な根拠を提供するため、本ガイドを構成するために使用する。この種のユースケースは、2022-23 年における英米 PETs Prize Challenge の焦点であり、その課題設計作業において、我々は PPFL ユースケースがプライバシーを損なうことなく、組織間や国境を越えたデータ協力を改善する可能性があることを確認した。しかし、この文書の分析は、同じ新興の PET の関連する文脈における他の展開にも引き続き関連するものである。
Alongside this tool we have produced a checklist to support organisations considering utilising PETs to ensure they have considered the impacts outlined in this document.	このツールと並行して、PETの利用を検討している組織が、本文書に概説されている影響を考慮したことを確認するためのチェックリストを作成した。
Navigating this toolkit	本ツールキットを活用する
Section 1 examines the costs and benefits of federation, i.e. training a model while the data remains distributed across different locations or organisations, which is integral to our PPFL use case.	セクション 1 では、PPFL のユースケースに不可欠なフェデレーション、すなわちデータを異なる場所や 組織に分散させたままモデルをトレーニングすることのコストとメリットについて検討する。
The following sections (Sections 2 and 3) discuss the costs and benefits incurred by layering other PETs at different points in this solution. They consider the deployment of additional PETs to two ends: improving input privacy (Section 2) and improving output privacy (Section 3). These terms are explained below.	次のセクション(セクション 2 と 3)では、このソリューションの様々なポイントにおいて、他の PET をレイヤー化することで発生するコストと便益について議論する。すなわち、入力プライバシーの改善(セクション 2)と出力プライバシーの改善(セクション 3)である。これらの用語を以下に説明する。
Different sections of this document may be more useful and relevant than others to certain readers depending on their intended use case.	本書の異なるセクションは、読者が意図するユースケースに応じて、他のセクションよりも有用で関連性が高いかもしれない。
・readers interested in federated analytics or federated learning (without additional input and output privacy techniques) should read this introduction and Section 1.	・連合分析または連合学習（入力と出力のプライバシー技術を追加しない）に興味のある読者は、この序文とセクション1を読むべきである。
・readers interested in PPFL should read this document in its entirety.	・PPFLに興味のある読者は、この文書全体を読むべきである。
・readers interested in approaches to improve input privacy (or any of homomorphic encryption, trusted execution environments, and multi-party computation) should read Section 2.	・入力プライバシーを改善するアプローチ（または準同型暗号、信頼可能な実行環境、マルチパーティ計算のいずれか）に興味のある読者はセクション2を読んでほしい。
・readers interested in approaches to improve output privacy (or either of differential privacy or synthetic data) should read Section 3.	・出力プライバシーを改善するアプローチ（あるいは差分プライバシー、合成データのいずれか）に興味のある読者はセクション3を読んでほしい。
The remainder of this section introduces federated analytics, federated learning and PPFL, technologies which enable the use case assessed throughout this document. This section then introduces a baseline solution, that uses more traditional methods, to provide a point of comparison to our PPFL solution throughout the rest of the document.	このセクションの残りの部分では、連合分析、連合学習、PPFLを紹介する。これらの技術は、本文書を通して評価されるユースケースを可能にする。そして、このセクションの残りの部分を通して我々のPPFLソリューションと比較するポイントを提供するために、より伝統的な方法を用いたベースラインソリューションを紹介する。
Input and output privacy	入力と出力のプライバシー
Input privacy focuses on protecting raw data throughout the processing stage. Effective input privacy ensures that no party can access or infer sensitive inputs at any point. This protection may involve:	入力プライバシーは、処理段階を通して生データを保護することに焦点を当てる。効果的な入力プライバシーは、いかなる時点においても、いかなる当事者も機密性の高い入力にアクセスしたり推測したりできないことを保証する。この保護には以下が含まれる：
・preventing unauthorised access: ensuring that all processing of data is conducted without any party being able to access or infer the original raw data. This involves a combination of access controls and protection against indirect inference attacks.	・不正アクセスの防止：データのすべての処理が、いかなる当事者も元の生データにアクセスまたは推論できない状態で行われるようにする。これには、アクセス管理と間接的推論攻撃に対する防御を組み合わせる。
・offensive security considerations: anticipating and countering potential offensive security techniques that adversaries could employ to gain unauthorised access to a system. This includes defending against attacks that leverage observable systemic changes such as timing or power usage.	・攻撃的セキュリティの考慮：敵対者がシステムに不正にアクセスするために用いる可能性のある攻撃的セキュリティ技術を予測し、それに対抗する。これには、タイミングや電力使用量などの観測可能なシステム的変化を利用する攻撃に対する防御も含まれる。
・proactive attack countermeasures: utilising robust defensive techniques and methodologies, including quality assurance cycles and rigorous red-teaming exercises (red-teaming, also used in the UK and US PETs Prize Challenge, 2022-2023, is a process in which participants known as ‘red teams’ deliberately simulate attacks that might occur in the real world to rigorously test the strength of solutions created by others), to proactively minimise attack vectors. These measures can help identify and mitigate potential vulnerabilities that could be exploited through the likes of side-channel attacks.	・プロアクティブな攻撃対策：品質保証サイクルや厳格なレッドチーム演習（2022～2023 年の英米 PETs Prize Challenge でも採用されたレッドチーム演習は、「レッドチーム」と呼ばれる参加者が、実世界で発生する可能性のある攻撃を意図的にシミュレートし、他者が作成したソリューションの強度を厳格にテストするプロセスである）など、強固な防御技術と方法論を活用し、攻撃ベクトルをプロアクティブに最小化する。これらの対策は、サイドチャンネル攻撃などで悪用される可能性のある脆弱性を特定し、軽減するのに役立つ。
Input privacy may be improved by stacking a range of PETs and techniques across a federated solution. The sort of PETs and techniques encompassed by such approaches can be hardware and/or cryptographic based and are often viewed as synonymous concepts to security itself. For more information on input privacy see Section 2: Input Privacy Considerations.	入力プライバシーは、連携ソリューション全体で様々なPETと技術を積み重ねることによって改善されるかもしれない。このようなアプローチに包含されるPETや技術には、ハードウェアベースや暗号ベースのものがあり、セキュリティそのものと同義の概念とみなされることが多い。入力プライバシーの詳細については、セクション2「入力プライバシーの考察」を参照のこと。
Output privacy is concerned with improving the privacy of outputted data or models. Protecting processed data is important to prevent potential privacy breaches after data has been analysed or used to train models. Key considerations include:	出力プライバシーは、出力されたデータ・モデルのプライバシーの改善に関係する。処理されたデータを防御することは、データが分析されたりモデルの学習に使われたりした後の潜在的なプライバシー侵害を防ぐために重要である。主な考慮事項は以下の通りである：
・implementing output-based techniques: techniques which add random noise to the training process of models, such as differential privacy can be particularly effective for ensuring that training data, or subsets thereof, cannot be extracted at a later stage. This approach can help to protect data even when a model is shared or deployed.	・出力ベースの技術の導入：差分プライバシーなど、モデルの訓練過程にランダムなノイズを加える技術は、訓練データまたはそのサブセットが後の段階で抽出できないようにするために特に効果的である。このアプローチは、モデルが共有されたり展開されたりする場合でも、データを保護するのに役立つ。
・balancing privacy with model performance: techniques like differential privacy can affect a model’s performance, including accuracy. The trade-offs between privacy and performance should be carefully examined, considering factors such as the size of the model and the significance of accuracy relative to the specific research question.	・プライバシーとモデル・パフォーマンスのバランス：差分プライバシーのようなテクニックは、精度を含むモデルのパフォーマンスに影響を与える可能性がある。プライバシと性能のトレードオフは、モデルのサイズや、特定の研究課題に対する精度の重要性などの要因を考慮し、慎重に検討する必要がある。
Output privacy may be improved by effectively implementing a range of PETs and techniques across a federated solution. For more information on output privacy see Section 3: Output Privacy Considerations.	出力プライバシーは、様々なPETと技術を連携ソリューションに効果的に実装することで 改善されるかもしれない。出力プライバシーの詳細については、セクション3「出力プライバシーの考察」を参照のこと。
Federated analytics and learning	連合分析と学習
Federated analytics is a technique for performing data analysis or computations across decentralised data sources. It enables organisations to use data that cannot be directly shared. Local data from multiple sources is used to inform a global model or perform complex analysis, using federated approaches without sharing the actual data itself. After data is processed locally, the results of this processing are aggregated (either at a global node or between local nodes).	フェデレーテッド・アナリティクスは、分散化されたデータソース間でデータ分析や計算を実行するための技術である。これにより、組織は直接共有できないデータを利用することができる。複数のソースからのローカルデータは、実際のデータ自体を共有することなく、連携アプローチを使用して、グローバルモデルに情報を提供したり、複雑な分析を実行するために使用される。データがローカルで処理された後、その処理結果は（グローバルノードまたはローカルノード間で）集約される。
In this toolkit we define federated learning as a subset of federated analytics. Federated learning involves training a machine learning model on datasets distributed across multiple nodes. This approach uses model updates from many local models to improve a central or global model. Nodes transfer updated model parameters based on training conducted on locally held data, rather than the actual data itself. This allows for the training of a model without the centralised collection of data.	このツールキットでは、連合学習を連合分析のサブセットとして定義する。連合学習では、複数のノードに分散したデータセットで機械学習モデルを学習する。このアプローチでは、中央またはグローバルモデルを改善するために、多くのローカルモデルからのモデル更新を使用する。ノードは、実際のデータそのものではなく、ローカルに保持されているデータで実施されたトレーニングに基づいて更新されたモデル・パラメータを転送する。これにより、集中的にデータを収集することなくモデルをトレーニングすることができる。
Example 1: Federated analytics for statistical analysis	例1： 統計分析のための統合分析
A healthcare organisation looks to collaborate with universities and counterparts across countries to analyse trends in disease outbreaks. The organisation develops data pipelines to partners’ locally stored data. Through these pipelines, the organisation can send requests for data analysis.	ある医療機関は、疾病の発生傾向を分析するために、各国の大学やカウンターパートと協力しようと考えている。この組織は、パートナーのローカルに保存されたデータへのデータパイプラインを開発する。これらのパイプラインを通じて、医療機関はデータ分析のリクエストを送ることができる。
The analysis is performed locally, without the healthcare organisation having access to the dataset. The output of this analysis is then returned to the organisation, which aggregates the results from all partners.	分析は、医療機関がデータセットにアクセスすることなく、ローカルで実行される。この分析のアウトプットは医療機関に返され、医療機関はすべてのパートナーからの結果を集約する。
Example 2: Federated learning for training a model	例2： モデル学習のための連合学習モデル
A technology organisation wants to improve the accuracy of a voice recognition system without collecting their users’ voice data centrally. The organisation creates an initial model trained on a readily available data set, which is then shared to users’ devices. This model is updated locally based on a user’s voice data.	ある技術組織が、ユーザーの音声データを一元的に収集することなく、音声認識システムの精度を改善したいと考えている。この組織は、すぐに利用可能なデータセットでトレーニングされた初期モデルを作成し、それをユーザーのデバイスに共有する。このモデルは、ユーザーの音声データに基づいてローカルに更新される。
With user consent, the local models are uploaded to a central server periodically, without any of the users’ individual voice data ever leaving their device. The central model is continually iterated using the local models collected from repeated rounds of localised training on users’ devices. This updated central model is then shared to users’ devices and this training loop continues.	ユーザーの同意のもと、ローカルモデルは定期的に中央サーバーにアップロードされ、ユーザーの個々の音声データがデバイスから離れることはない。中央のモデルは、ユーザーのデバイス上で繰り返し行われるローカライズされたトレーニングから収集されたローカルモデルを使用して、継続的に反復される。この更新された中央モデルは、ユーザーのデバイスに共有され、このトレーニングループが継続される。
Privacy preserving federated learning (PPFL)	プライバシー保持連合学習（PPFL）
Layering additional PETs on top of a federated learning architecture is often referred to as privacy-preserving federated learning (PPFL). Use of additional PETs on top of federated learning can improve input and/or output privacy.	連合学習アーキテクチャの上に追加のPETを重ねることは、しばしばプライバシー保持連合学習（PPFL）と呼ばれる。連合学習の上に追加のPETを使うことで、入力や出力のプライバシーを改善することができる。
Figure 1: shows an example of a PPFL solution and illustrates a multi-step process where PETs are strategically implemented to enhance privacy across a federated network.	図1：PPFLソリューションの例を示し、連合ネットワーク全体でプライバシーを強化するためにPETが戦略的に実装されるマルチステッププロセスを示している。
[1] Database structures at local nodes	[1] ローカルノードのデータベース構造
[2] Central Global node (aggregator for federated learning)	[2] 中央グローバルノード（連合学習のアグリゲーター）
[3] Connections between nodes	[3] ノード間の接続
[4] Federated learning network	[4] 連合学習ネットワーク
[5] End-user devices (Client-side)	[5] エンドユーザー・デバイス（クライアント側）
The mechanisms behind many of these approaches and combinations will be discussed in more detail at a later stage. This comprehensive approach ensures that from data input to model deployment, every step provides a degree of privacy protection, safeguarding against unauthorised data exposure and enhancing trust in the federated learning process.	これらの多くのアプローチや組み合わせの背後にあるメカニズムについては、後の段階で詳しく説明する。この包括的なアプローチにより、データ・インプットからモデル・モデルの展開に至るまで、すべてのステップがある程度のプライバシー保護を提供し、無許可のデータ・エクスポージャーから保護し、連合学習プロセスの信頼を高めることができる。
The accompanying explanations also serve as a reference point for technical options or considerations for how to deploy these technologies practically in a specific use case. This is intended to illustrate an indicative approach to how these technologies can be usefully deployed, not a definitive guide as to the only correct way of doing so, nor a specific endorsement of these techniques as better than other potential approaches.	また、付随する説明は、特定のユースケースにおいてこれらの技術を実用的に展開するための技術オプションや検討事項の参照点としても役立つ。これは、これらの技術がどのように有用に展開できるかについての示唆的なアプローチを示すことを意図しており、そうする唯一の正しい方法についての決定的なガイドではなく、またこれらの技術が他の可能性のあるアプローチよりも優れていることを具体的に支持するものでもない。
[1] Database structures at local nodes	[1] ローカルノードにおけるデータベース構造
1.a) Trusted execution environment (TEE) and federated learning:	1.a) 信頼可能な実行環境（TEE）と連合学習：
Implementation: TEEs can be used to create a secure local environment for each node participating in federated learning. This ensures that intermediate computations on local data are securely isolated within a server enclave. While federated learning inherently prevents other parties from accessing local raw training data by sharing only model weight updates, TEEs add an additional layer of security.	実装： TEEは、連合学習に参加する各ノードに対して、安全なローカル環境を作成するために使用することができる。これによって、ローカル・データに対する中間計算が、サーバ・エンクレーブ内で安全に分離されることが保証される。連合学習モデルは、モデル重みの更新のみを共有することで、他のパーティがローカルの生トレーニングデータにアクセスすることを本質的に防ぐが、TEEはさらにセキュリティのレイヤーを追加する。
TEEs can be used to create a secure local environment that further protects the computations and model updates from potential tampering or unauthorised access, even within the local device. This can be particularly useful in scenarios where there is a heightened risk of local attacks or when additional hardware-based security is required.	TEE は、ローカルデバイス内であっても、計算とモデル更新を改ざんや不正アクセスから保護する、安全なローカル環境を構築するために使用できる。これは、ローカル攻撃のリスクが高いシナリオや、追加のハードウェアベースのセキュリティが必要な場合に特に有用である。
Interaction: Local model training for federated learning can occur within TEEs. In such a process, only model updates (not raw data) are sent to the central/global node (node [2] connected to database structures). This provides an additional layer of security while benefiting from collective learning.	相互作用： 連合学習のためのローカルモデル学習は、TEE 内で行うことができる。このようなプロセスでは、モデルの更新のみが（生データではなく）中央/グローバルノード（データベース構造に接続されたノード [2]）に送信される。これにより、集合学習の利点を享受しつつ、さらなるセキュリティ層が提供される。
1.b) Homomorphic encryption (HE) and multi-party computation (MPC):	1.b) 準同型暗号（HE）とマルチ・パーティ計算（MPC）：
Implementation: HE enables computations to be performed directly on encrypted data, ensuring that sensitive data remains protected even during processing. This prevents any party from accessing the unencrypted data, thereby enhancing privacy.	実装： HEは、暗号化されたデータに対して直接計算を実行することを可能にし、処理中であっても機密データが保護されたままであることを保証する。これにより、暗号化されていないデータにアクセスすることができなくなり、プライバシーが強化される。
MPC allows multiple parties to collaboratively compute a function over their inputs while keeping those inputs private from each other.	MPCは、複数のパーティが、お互いの入力を秘密にしたまま、入力に対して共同で機能を計算することを可能にする。
By leveraging TEEs, HE, or MPC, organisations can carry out secure computations without revealing sensitive data, providing an additional layer of privacy that complements the inherent protections of federated learning.	TEE、HE、またはMPCを活用することで、組織は機密データを明かすことなく安全な計算を実行することができ、連合学習固有の保護を補完する追加のプライバシーレイヤーを提供することができる。
Interaction: HE ensures that data remains encrypted during transmission and computation, while MPC allows these encrypted results to be combined securely at the global node or between databases, enhancing both input and output privacy. This combination of techniques helps to protect against inference attacks, and is particularly applicable in scenarios requiring collaborative analytics, allowing for collective computations that are secure and private.	インタラクション： HEは、送信と計算の間、データが暗号化されたままであることを保証し、MPCは、これらの暗号化された結果をグローバルノードまたはデータベース間で安全に結合することを可能にし、入力と出力の両方のプライバシーを強化する。この技術の組み合わせは、推論攻撃から保護するのに役立ち、特に協調分析を必要とするシナリオに適用可能で、安全でプライベートな集団計算を可能にする。
1.c) Synthetic data generation:	1.c) 合成データの生成：
Implementation: Synthetic data generation involves creating artificial datasets that replicate the statistical properties of real datasets. This synthetic data can be used for initial model training and testing without exposing sensitive information, making it valuable for scenarios where data privacy is a specific concern due to the involvement of especially sensitive information. If the synthetic data is well-crafted and does not contain any identifiable information, it generally does not require additional privacy techniques. However, in cases where there is a concern that the synthetic data could be correlated with external data to infer sensitive information, techniques like differential privacy can be applied to add an extra layer of protection.	実装： 合成データ生成では、実際のデータセットの統計的特性を再現した人工データセットを作成する。この合成データは、センシティブな情報を公開することなく、最初のモデル・トレーニングやテストに使用することができるため、特にセンシティブな情報が含まれるためにデータ・プライバシーが懸念されるシナリオで有用である。合成データがうまく作成され、識別可能な情報を含んでいない場合、一般的にプライバシー技術を追加する必要はない。しかし、合成データが外部データと相関し、機密情報を推測される懸念がある場合には、差分プライバシーのような技術を適用することで、保護レイヤーを追加することができる。
Interaction: Synthetic data can be utilised to safely conduct experiments, validate models, or train machine learning systems without risking the exposure of real, sensitive data. The interaction between the synthetic dataset and the machine learning models or analytical tools remains similar to that of real data, allowing for accurate testing and development.	相互作用： 合成データは、実際の機密データのエクスポージャーをリスクにさらすことなく、実験、モデルの妥当性確認、機械学習システムの訓練を安全に行うために利用することができる。合成データと機械学習モデルや分析ツールとの相互作用は、実データと同様であり、正確なテストと開発が可能である。
In situations where sensitive information could be inferred, the use of differential privacy or other privacy-preserving techniques ensures that even if the synthetic data is accessed by unauthorised parties, the risk of re-identification remains minimal.	センシティブな情報が推測される可能性がある状況では、差分プライバシーやその他のプライバシー保護技術を使用することで、合成データが権限のない者によってアクセスされたとしても、再識別のリスクは最小限に抑えられる。
[2] Central Global node (aggregator for federated learning)	[2］セントラル・グローバル・ノード（連合学習のアグリゲーター）
2.a) Federated learning with differential privacy:	2.a) 差分プライバシーを用いた連合学習：
Implementation: Implementing differential privacy techniques at the aggregator, to add noise to the aggregated model updates, enhances the privacy of the model by making it harder to trace back to individual contributions.	実装： アグリゲータで差分プライバシー技術を実装し、集約されたモデルの更新にノイズを加えることで、個々の貢献へのトレースが困難になり、モデルのプライバシーが強化される。
Interaction: Combining federated learning with differential privacy ensures that even if the aggregated model is exposed, there is a lower risk of the privacy of individual data sources being compromised.	相互作用： 連合学習と差分プライバシーを組み合わせることで、集約モデルが公開されても、個々のデータ・ソースのプライバシーが侵害されるリスクが低くなる。
2.b) Federated learning with synthetic data:	2.b) 合成データによる連合学習：
Implementation: Synthetic data can be used to initially baseline and validate a machine learning model during the development phase. This approach allows for early testing and adjustment of model architecture using data that mimics real datasets without exposing sensitive information. Once the model is confirmed to be functioning as intended, it should then be trained further with real data to ensure accuracy and effectiveness before being deployed to local nodes for federated learning.	実装： 合成データは、開発段階における機械学習モデルの初期ベースラインと妥当性確認のために使用することができる。このアプローチにより、機密情報を公開することなく、実際のデータセットを模倣したデータを使用して、モデル・アーキテクチャの早期テストと調整が可能になる。モデルが意図したとおりに機能していることが確認されたら、連合学習のためにローカルノードに展開する前に、実データでさらに学習させ、精度と有効性を確保する必要がある。
Interaction: Federated learning can utilise synthetic data for calibration and testing under various conditions, ensuring robustness before deploying the model with real user data. During the interaction phase, the model can be tested and refined using synthetic data, which helps to establish a solid foundation whilst reducing privacy breaches. However, it is essential to note that the model should not be pushed to local nodes for final training if it has only been trained on synthetic data. Instead, the model should undergo additional training with real data to ensure it performs accurately in real-world scenarios before deployment across the federated network.	相互作用： 連合学習では、実際のユーザーデータでモデルを展開する前に、様々な条件下でのキャリブレーションとテストのために合成データを利用し、ロバスト性を確保することができる。インタラクションの段階では、合成データを使ってモデルをテストし、改良することができるため、プライバシー侵害を減らしつつ、強固な基盤を確立することができる。しかし、合成データで学習しただけのモデルは、最終的な学習のためにローカルノードにプッシュすべきではないことに注意する必要がある。その代わりに、モデルは、連携ネットワーク全体に展開する前に、実世界のシナリオで正確に機能することを保証するために、実データで追加のトレーニングを受けるべきである。
[3] Connections between nodes	[3] ノード間の接続
Federated learning and HE:	連合学習とHE：
Implementation: HE might be used to encrypt the model updates as they are transmitted between nodes. These updates, while originally derived from the data, are no longer the raw data itself but rather parameter updates that represent learned patterns. Encrypting these updates ensures that even as they are aggregated and processed, the underlying data patterns remain protected from potential inference attacks.	実装： HEは、ノード間で送信されるモデルの更新を暗号化するために使用される。これらの更新は、もともとはデータから得られたものであるが、もはや生データそのものではなく、学習されたパターンを表すパラメータの更新である。これらの更新を暗号化することで、更新が集約され処理されても、基礎となるデータパターンが潜在的な推論攻撃から保護されたままであることを保証する。
Interaction: During the interaction phase, model updates are securely transmitted between nodes using HE. These updates are no longer the raw data but encrypted representations of the model’s learned parameters. This encryption ensures that while the updates are aggregated to refine the global model, they remain secure and inaccessible, protecting the privacy of the underlying data.	相互作用： 相互作用フェーズでは、モデルの更新はHEを使用してノード間で安全に送信される。これらの更新はもはや生データではなく、モデルの学習されたパラメータを暗号化したものである。この暗号化により、更新がグローバル・モデルを改良するために集約される間、更新は安全でアクセスできないままであり、基礎となるデータのプライバシーが保護される。
[4] Federated learning network	[4] 連合学習ネットワーク
Model consolidation: Implementation: This section represents the consolidated output of a federated learning process a fully trained model that integrates insights derived from all participating nodes.	モデルの統合： 実装： このセクションは、連合学習プロセスの統合された出力、つまりすべての参加ノードから得られた洞察を統合した、完全に訓練されたモデルを表す。
Interaction: The model, now optimised and refined through aggregated updates, embodies the collective intelligence of the decentralised network while maintaining the privacy of the underlying data.	相互作用： 集約された更新によって最適化され洗練されたモデルは、基礎となるデータ・プライバシーを維持しながら、分散型ネットワークの集合的インテリジェンスを具現化する。
[5] End-user devices (Client-side)	[5] エンドユーザーデバイス（クライアントサイド）
TEE and synthetic data on client devices:	クライアント・デバイス上の TEE と合成データ：
Implementation: TEEs can be employed on client devices to securely process data and use synthetic data to simulate user interactions without risking exposure of real data. Synthetic data could be generated from real data or anonymised versions of a dataset.	実装： クライアントデバイス上で TEE を採用することで、データをセキュアに処理し、合成デー タを使用することで、実データのエクスポージャーをリスクにさらすことなく、ユーザ インタラクションをシミュレートすることができる。合成データは、実データや匿名化されたデータセットから生成することができる。
Interaction: TEEs ensure that even if a device is compromised, the processing of sensitive data (real or synthetic) remains secure.	インタラクション： TEE は、デバイスが侵害された場合でも、機密データ（実データまたは合成データ）の安全な処理を保証する。
Baseline for comparison	比較のためのベースライン
When assessing the costs and benefits of adopting PETs, it is useful to compare the costs and benefits to alternative methods.	PETを採用するコストと便益をアセスメントする場合、代替方法と比較することが有用である。
In this PPFL example, a useful baseline for comparison is the training of an equivalent model on centrally collated data. The data is assumed to be collected by the organisation, originating from different entities and containing personal or sensitive information.	この PPFL の例では、一元的に照合されたデータを用いて同等のモデルを訓練することが、比較 のためのベースラインとして有用である。データは組織が収集し、異なる事業体から発信され、個人情報や機微情報を含むと仮定する。
Figure 2: Example of baseline centralised data processing model	図 2：一元管理されたデータ処理モデルの例

Section 1: costs and benefits of federated learning	セクション1：連合学習のコストと利益
Section 2: input privacy considerations	セクション2：入力プライバシーに関する考察
Section 3: output privacy considerations	セクション3：出力プライバシーに関する考察

Conclusion	結論
The use of PETs is not a silver bullet to ‘solve’ all privacy concerns your organisation may face, however, adopting these technologies correctly, where appropriate to the organisation’s context and intended use case, has the potential to introduce and/or unlock a range of benefits. Before adopting any PETs, it is important to weigh up the costs of your solution against these benefits to determine whether or not the technology is right for your organisation.	PETの使用は、組織が直面しうるプライバシーに関するすべての懸念を「解決」する特効薬ではないが、組織の状況や意図するユースケースに適切であれば、これらの技術を正しく採用することで、さまざまな利益を導入し、または引き出す可能性がある。PETを採用する前に、ソリューションのコストとこれらの利点を比較検討し、その技術が組織にとって適切かどうかを判断することが重要である。
For more information on legal compliance please see the ICO’s PETs guidance.	法令遵守に関する詳細は、ICOのPETsガイダンスを参照のこと。

PETのユースケース

● Department for Science, Innovation and Technology

・2024.11.07 Repository of Privacy Enhancing Technologies (PETs) Use Cases

• 
  
  Health and Social Care (14 Use Cases)
• 
  
  Digital and Social Media Research (10 Use Cases)
• 
  
  Finance and Insurance (8 Use Cases)
• 
  
  National Statistics, Education and Transport (6 Use Cases)
• 
  
  Other (8 Use Cases)

PETについての法的な説明

● ICO

・2023.06.19 Privacy-enhancing technologies (PETs)

---

PETs 関連...

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.01.27 米国 NIST Blog 連合学習におけるプライバシー攻撃

・2023.12.13 NIST SP 800-226（初期公開ドラフト） 差分プライバシー保証 (Guarantees) を評価するためのガイドライン

・2023.06.28 英国 ICO 金融、医療、研究、中央・地方政府で大規模な個人データセットを使用しているデータ保護担当者などを対象とした新しいPETsガイダンスを作成 (2023.06.19)

・2023.04.08 米国 プライバシーを保護した上でデータ共有と分析を推進する国家戦略 ・デジタル資産研究開発のための国家目標 (2023.03.29)

・2023.03.24 OECD 先進のプライバシー強化技術 - 現在の規制・政策アプローチ (2023.03.08)

・2023.01.26 英国王立学会 プライバシー向上技術 (PETs) (2023.01.23)

・2022.09.11 英国 ICO プライバシー強化技術に関するガイダンス案を発表

・2022.01.29 ENISA データ保護エンジニアリング

・2021.07.19 U.K. プライバシー強化技術：採用ガイド β版 by デジタル・文化・メディア・スポーツ省 データ倫理・イノベーションセンター

・2020.10.16 World Economic Forumからサイバーセキュリティの報告書（Cyber Information Sharing: Building Collective Security）が出ていましたね。。。

ここから10年遡ります...

・2010.07.27 London Economics "Study on the economic benefits of privacy-enhancing technologies (PETs) "

・・[PDF] Study on the economic benefits of privacy‐enhancing technologies (PETs)