米国 NIST SP 800-236 2024会計年度サイバーセキュリティ・プライバシー年次報告書 (2025.04.28)

こんにちは、丸山満彦です。

米国のNISTのサイバー＆プライバシー分野の年次報告です...

予算獲得のためかもしれませんが...年度(2023.10.01-2024.09.30) の出来事を振り返る上で参考になりますね。。。もう少し早くだせばよいのにね...

● NIST - ITL

・2025.04.28 NIST SP 800-236 Fiscal Year 2024 Cybersecurity and Privacy Annual Report

NIST SP 800-236 Fiscal Year 2024 Annual Report for NIST Cybersecurity and Privacy Program	NIST SP 800-236 2024 年度 NIST サイバーセキュリティ・プライバシープログラム年次報告書
Abstract	概要
Throughout Fiscal Year 2024 (FY 2024) — from October 1, 2023, through September 30, 2024 — the NIST Information Technology Laboratory (ITL) Cybersecurity and Privacy Program successfully responded to numerous challenges and opportunities in security and privacy. This Annual Report highlights the ITL Cybersecurity and Privacy Program’s FY 2024 research activities, including the ongoing participation and development of international standards, research, and practical applications in several key priority areas (e.g., post-quantum cryptography, NIST Cybersecurity Framework [CSF 2.0], and new CSF profiles), improved software and supply chain cybersecurity, work on IoT cybersecurity guidelines, National Cybersecurity Center of Excellence (NCCoE) projects, a new comment site for NIST’s Risk Management Framework, the release of a Phish scale, progress in the Identity and Access Management program, and Strategic and Emerging Research Initiatives (SERI) for autonomous vehicles.	2023 年 10 月 1 日から 2024 年 9 月 30 日までの 2024 会計年度（FY2024）を通して、NIST 情報技術研究所（ITL）のサイバーセキュリティ・プライバシープログラムは、セキュリティとプライバシーにおける数多くの課題と機会に成功裏に対応した。本年次報告書では、ITLサイバーセキュリティ・プライバシープログラムの2024年度の研究活動に焦点を当て、いくつかの重要な優先分野（例．耐量子暗号、NISTサイバーセキュリティ・フレームワーク[CSF 2.0]、新しいCSFプロファイル）、ソフトウェアとサプライチェーンのサイバーセキュリティの改善、IoTサイバーセキュリティ・ガイドラインの作成、国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）プロジェクト、NISTのリスクマネジメント・フレームワークの新しいコメントサイト、フィッシュ・スケールのリリース、アイデンティティ・アンド・アクセス・マネジメント・プログラムの進展、自律走行車の戦略的・新興研究イニシアチブ（SERI）などである。

・[PDF] NIST.SP.800-236

目次...

Foreword	まえがき
PRIORITY AREAS	重点分野
Cryptography	暗号
Education & Workforce	教育・人材
Emerging Technology	新興技術
Human-Centered Cybersecurity	人間中心のサイバーセキュリティ
Identity & Access Management	アイデンティティとアクセス管理
Privacy	プライバシー
Risk Management	リスクマネジメント
Trusted Networks & Platforms	信頼されるネットワークとプラットフォーム
National Cybersecurity Center of Excellence (NCCoE)	国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）
Stakeholder Engagement & Events	ステークホルダー・エンゲージメントとイベント

過去分を含めた目次...

2024	2023	2022	2021	2020	2019	2018	2017
SP800-236	SP 800-229	SP 800-225	SP 800-220	SP 800-214	SP 800-211	SP 800-206	SP 800-203
暗号	暗号	暗号	暗号の標準と検証	サイバーセキュリティの啓発と教育	サイバーセキュリティとプライバシーの標準化の進化	サイバーセキュリティとプライバシー基準の推進	国際ITセキュリティ標準へのITLの関与
教育・人材	教育、トレーニング、人材開発	教育、トレーニング、人材開発	サイバーセキュリティの測定	アイデンティティとアクセス管理	リスク管理の強化	リスクマネジメントの強化	リスク管理
新興技術	新興技術	アイデンティティとアクセス管理	教育と労働力	測定基準と測定	暗号標準と検証の強化	暗号の標準と検証の強化	バイオメトリクス標準と関連する適合性評価試験ツール
人間中心のサイバーセキュリティ	人間中心のサイバーセキュリティ	プライバシー	アイデンティティとアクセス管理	リスクマネジメント	先端サイバーセキュリティ研究・応用開発	サイバーセキュリティの研究・応用開発の推進	サイバーセキュリティアプリケーション
アイデンティティとアクセス管理	アイデンティティとアクセス管理	リスクマネジメントと計測	プライバシーエンジニアリング	プライバシーエンジニアリング	サイバーセキュリティについての意識向上、トレーニング、教育、人材育成	サイバーセキュリティの意識向上、トレーニング、教育、人材開発	ソフトウェアの保証と品質
プライバシー	プライバシー	信頼できるネットワークとプラットフォーム	リスクマネジメント	新規技術	アイデンティティとアクセス管理の強化	アイデンティティとアクセス管理の強化	連邦サイバーセキュリティ調査研究
リスクマネジメント	リスクマネジメント	利用可能なサイバーセキュリティ	信頼できるネットワーク	暗号の標準化と検証	通信・インフラ保護の強化	必インフラストラクチャの保護強化	コンピュータ・フォレンジック
信頼されるネットワークとプラットフォーム	信頼できるネットワークとプラットフォーム		信頼できるプラットフォーム	信頼性の高いネットワーク	新技術の確保	新規技術の保護	サイバーセキュリティに関する知識・訓練・教育・アウトリーチ
国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）	NIST 国立サイバーセキュリティ・センター・オブ・エクセレンス			信頼性の高いプラットフォーム	セキュリティテストと測定ツールの進化	セキュリティのテストと測定ツールの推進	暗号標準化プログラム
							バリデーションプログラム
							ID ・アクセス管理
							新規技術の研究
							ナショナル・サイバーセキュリティ・センター・オブ・エクセレンス (NCCoE)
							インターネットインフラ保護
							高度なセキュリティ試験と測定
							技術的な安全性の指標
							利便性とセキュリティ

本文部分...

Foreword	まえがき
Back to the future. As we look back on our past fiscal year’s work in cybersecurity and privacy, we can see the fruition of many long-standing efforts that will position us well in the changing times ahead.	未来に戻る。サイバーセキュリティとプライバシーの分野における昨年度の取り組みを振り返ると、これからの変化する時代に対応するための長年の取り組みが結実したことがわかる。
NIST has set foundations to ensure our security and privacy now and into the future with new quantum- resistant encryption algorithms, updates to the NIST Cybersecurity Framework, and the establishment of Artificial Intelligence programs, testbeds, and research agendas. Our research has also demonstrated practical applications of our work that spans several key priority areas that are outlined in this report with hyperlinked pointers to help you dig deeper and learn more.	NISTは、新しい量子耐性暗号アルゴリズム、NISTサイバーセキュリティ枠組みの更新、人工知能プログラム、テストベッド、研究課題の確立など、現在そして将来にわたって私たちのセキュリティとプライバシーを確保するための基盤を整えてきた。また、NISTの研究は、いくつかの重要な優先分野にわたって、その実用的な応用を実証してきた。この報告書では、さらに深く掘り下げて学ぶのに役立つハイパーリンク付きのポインタとともに、その概要を紹介している。
NIST’s work aligns with and supports many national initiatives to protect our Nation, including the National Cybersecurity Strategy and its related Implementation Plan, new policies for federal agencies from the Office of Management and Budget, initiatives from the Office of the National Cyber Director, and response actions directed by the National Security Council. NIST leads many standards- setting organizations around the world and ensures that U.S. priorities, requirements, and technologies are at the forefront of standards activities. This enables the development of products and services that meet our needs and are unquestionably secure. We are proud of and excited about the relevance and impact of our work as we continue to protect our information, economy, and way of life.	NIST の業務は、国家サイバーセキュリティ戦略とそれに関連する実施計画、行政管理予算局による連邦政府機関向けの新政策、国家サイバー長官室によるイニシアティブ、国家安全保障会議が指示する対応措置など、国家を保護するための多くの国家的イニシアティブと連携し、これを支援している。NISTは世界中の多くの標準策定組織をリードし、米国の優先事項、要件、技術が標準化活動の最前線にあることを保証している。これにより、我々のニーズを満たし、疑いなく安全な製品やサービスの開発が可能になる。われわれは、情報、経済、生活様式を守り続けているわれわれの活動の妥当性と影響力に誇りを持ち、また興奮している。
We hope that you will take the time to review some of the key highlights of our cybersecurity and privacy accomplishments from FY 2024 and to explore some of our priorities, programs, and projects. You can learn about the many conferences and workshops we had in the last fiscal year by viewing the recordings or reading the event proceedings, and we invite you to participate directly with us in our upcoming events.	2024 年度のサイバーセキュリティとプライバシーの成果の主なハイライトをご覧いただき、私たちの優先事項、プログラム、プロジェクトのいくつかを探っていただければ幸いである。昨年度に開催された多くの会議やワークショップについては、録画をご覧になるか、イベントの議事録をお読みになればお分かりになると思う。
Most importantly, we look forward to learning more from you as we work together to address the challenges of today and journey into the future. As ever, we appreciate your support and hope that you are making the best possible use of NIST’s work.	最も重要なことは、私たちが協力して今日の課題に取り組み、未来に向かって歩んでいく中で、皆さんからさらに多くのことを学べることを楽しみにしているということだ。これまで同様、皆様のご支援に感謝するとともに、皆様がNISTの活動を最大限に活用されることを願っている。
Matthew Scholl	Matthew Scholl
Chief, Computer Security Division, NIST	Chief, Computer Security Division, NIST
Rodney Petersen	Rodney Petersen
Interim Chief, Applied Cybersecurity Division, NIST	Interim Chief, Applied Cybersecurity Division, NIST
Cryptography	暗号
Cryptography is foundational to our security and data protection needs. The standards, guidelines, recommendations, and tools provided by NIST’s Cryptography priority area enable the trustworthy assurance of integrity and confidentiality in all types of information and technology — now and in the future.	暗号は我々のセキュリティとデータ保護のニーズにとって基礎となるものである。NISTの暗号技術優先領域が提供する標準、ガイドライン、勧告、およびツールは、現在および将来のあらゆる種類の情報と技術における完全性と機密性の信頼できる保証を可能にする。
Major Accomplishments in FY 2024:	2024年度の主な成果
• NIST published the first three Federal Information Processing Standards (FIPS) for postquantum cryptography. These standards specify key-establishment and digital signature schemes that are designed to resist future attacks by quantum computers, which threaten the security of current standards. The three algorithms specified in these standards are each derived from different submissions to the NIST Post-Quantum Cryptography (PQC) Standardization Project.	・NIST は、ポスト量子暗号に関する最初の 3 つの連邦情報処理標準（FIPS）を発行した。これらの標準は、現在の標準の安全性を脅かす量子コンピュータによる将来的な攻撃に耐えるように設計された鍵確立およびデジタル署名方式を規定している。これらの標準に規定されている3つのアルゴリズムは、それぞれNISTの耐量子暗号（PQC）標準化プロジェクトに提出された異なるアルゴリズムから派生したものである。
• The PQC team hosted the Fifth PQC Standardization Conference in April 2024. This conference discussed the finalization of the initial PQC FIPS and the ongoing evaluation of the Round 4 Public-Key Encryption and Key-Establishment Algorithms and the Additional Digital Signature Schemes that are being considered for future standardization.	・PQCチームは2024年4月に第5回PQC標準化会議を開催した。この会議では、初期 PQC FIPS の最終化、および将来の標準化を検討しているラウンド 4 公開鍵暗号化アルゴリズムと鍵確立アルゴリズム、および追加電子署名方式の進行中の評価について議論された。
• The Multi-Party Threshold Cryptography (MPTC) and Privacy-Enhancing Cryptography (PEC) projects jointly released the initial public draft of NIST Internal Report (IR) 8214C, NIST First Call for Multi-Party Threshold Schemes (MPTS). The document’s scope includes advanced techniques, such as fully homomorphic encryption, zero-knowledge proofs, and the building blocks of secure multi-party computation. As part of an effort to obtain public comments, NIST hosted the MPTS 2023 workshop and three events of the Special Topics on Privacy and Public Auditability (STPPA).	・マルチパーティ閾値暗号（MPTC）プロジェクトとプライバシー拡張暗号（PEC）プロジェクトは共同で、NIST内部報告書（IR）8214C「NIST First Call for Multi-Party Threshold Schemes（MPTS）」の初公開ドラフトを発表した。この文書の範囲には、準同型暗号、ゼロ知識証明、安全なマルチパーティ計算の構成要素などの高度な技術が含まれている。パブリックコメントを得るための取り組みの一環として、NISTはMPTS 2023ワークショップと、プライバシーと公開監査可能性に関する特別刊行物（STPPA）の3つのイベントを開催した。
• NIST’s Crypto Publication Review Board completed seven publication reviews, and five reviews are in progress to update and modernize the portfolio of cryptographic standards.	・NISTの暗号出版審査委員会は7件の出版審査を完了し、5件の審査が暗号標準のポートフォリオの更新と近代化のために進行中である。
Learn more about this priority area	この優先分野の詳細
Education & Workforce	教育・人材
The Education and Workforce priority area energizes, promotes, and coordinates a robust community that works together to advance an integrated ecosystem of cybersecurity education, training, and workforce development.	教育・人材優先分野は、サイバーセキュリティの教育、訓練、労働力開発の統合されたエコシステムを推進するために協働する強固なコミュニティを活性化、促進、調整する。
Major Accomplishments in FY 2024:	2024 年度の主な成果
• A major update to the NICE Framework was released as the Version 1.0.0 Components, which incorporated changes to almost every level of the NICE Framework’s structure and includes a list of 11 learner-focused Competency Areas. The new Components were released in multiple data formats, including as part of NIST’s Cybersecurity and Privacy Reference Tool.	・NICE フレームワークの大幅な更新が行われ、バージョン 1.0.0 コンポーネントが発表された。新しいコンポーネントは、NISTのサイバーセキュリティ及びプライバシー・リファレンス・ツールの一部など、複数のデータ形式でリリースされた。
• NIST released two new resources in support of the NICE Strategic Plan Goal 4.6: “Expand international outreach to promote the NICE Framework and document approaches being used in other countries.” The new NICE Framework components have been translated into five languages, and a list of international Cybersecurity Skills and Workforce Frameworks is now available. The list includes a representative sample of cybersecurity, cyber-related, digital literacy skills, and workforce frameworks from countries around the world.	・NICE戦略計画の目標4.6 「NICEフレームワークを普及させるために国際的なアウトリーチを拡大し、他国で使用されているアプローチを文書化する 」を支援するために、NISTは2つの新しいリソースをリリースした。新しい NICE フレームワークの構成要素は 5 つの言語に翻訳され、国際的なサイバーセキュリティ技能・人材フレームワークのリストが利用可能になった。このリストには、世界各国のサイバーセキュリティ、サイバー関連、デジタルリテラシースキル、労働力の枠組みの代表例が含まれている。
• The NICE Community Coordinating Council’s Promote Career Discovery Working Group launched the Cybersecurity Career Ambassador Program. The Transform Learning Process Working Group published the Landscape of Performance-Based Assessments in Cybersecurity.	・NICE コミュニティー調整カウンシルの「サイバーセキュリティキャリア大使プログラム」を開始した。学習プロセス変革作業部会は、「サイバーセキュリティにおけるパフォーマンスベースのアセスメントの展望」を発表した。
• The Cybersecurity Education and Workforce Group published an update to NIST Special Publication (SP) 800-50r1 (Revision 1), Building a Cybersecurity and Privacy Learning Program.	・サイバーセキュリティ教育・人材育成グループは、NIST 特別刊行物（SP）800-50r1（改訂 1）「サイバーセキュリティおよびプライバシー学習プログラムの構築」の最新版を発表した。
• The Regional Alliances and Multistakeholder Partnerships to Stimulate (RAMPS) Cybersecurity Education and Workforce Development Program awarded cooperative agreements totaling nearly $6.6 million aimed at building the workforce needed to safeguard enterprises from cybersecurity risks. The grants of roughly $200,000 apiece were distributed to 33 education and community organizations in 22 states that are working to address the nation’s shortage of skilled cybersecurity employees. Learn more about the RAMPS Communities.	・サイバーセキュリティ教育・人材育成プログラム（RAMPS）を活性化するための地域連合とマルチステークホルダー・パートナーシップは、サイバーセキュリティリスクからエンタープライズを守るために必要な人材育成を目的とした、総額約660万ドルの協力協定を締結した。1件あたり約20万ドルの助成金は、サイバーセキュリティの熟練従業員不足に取り組む22州の33の教育および地域団体に配布された。RAMPSコミュニティについての詳細はこちら。
• Several events were held throughout FY 2024, including the NICE Conference, K12 Conference, RICET, webinars, and FISSEA.	・2024年度を通して、NICE会議、K12会議、RICET、ウェビナー、FISSEAなど、いくつかのイベントが開催された。
Learn more about this priority area	この優先分野についての詳細はこちら
Emerging Technology	新興技術
The rapid evolution of technology brings extraordinary opportunities and unavoidable challenges. NIST’s cybersecurity researchers study these emerging technologies to understand their security and privacy capabilities, vulnerabilities, configurations, and overall structures to develop standards, guidelines, and references for improving their approaches before they are deployed.	テクノロジーの急速な進化は、並外れた機会と避けられない課題をもたらす。NISTのサイバーセキュリティ研究者は、これらの新技術を研究し、そのセキュリティとプライバシーの能力、脆弱性、構成、全体的な構造を理解することで、それらが展開される前にそのアプローチを改善するための標準、ガイドライン、リファレンスを開発している。
Major Accomplishments in FY 2024:	2024 年度の主な成果
• NIST released the final version of AI 100-2 E2023, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations.	・NIST は、AI 100-2 E2023 の最終版である「敵対的機械学習」を公表した。
• SP 800-218A, Secure Software Development Practices for Generative AI and Dual-Use Foundation Models: An SSDF Profile, augments the secure software development practices identified in SP 800-218, Secure Software Development Framework (SSDF) with recommendations, considerations, notes, and informative references that are specific to generative AI and dual-use foundation model development.	・SP 800-218A「生成的AIとデュアルユース基盤モデルのための安全なソフトウェア開発プラクティス」を発表した： An SSDF Profile」は、SP 800-218「安全なソフトウェア開発枠組み（SSDF）」で特定された安全なソフトウェア開発プラクティスを、生成的AIとデュアルユースファウンデーションモデル開発に特化した推奨事項、考慮事項、注釈、参考文献で補強したものである。
• NIST launched a project to investigate immersive technologies and their potential cybersecurity and privacy considerations. The findings will inform a possible roadmap for NIST competencies around these technologies, focusing on cybersecurity and privacy risk management.	・NISTは、没入型技術とその潜在的なサイバーセキュリティおよびプライバシーに関する検討事項を調査するプロジェクトを開始した。調査結果は、サイバーセキュリティとプライバシーのリスクマネジメントに焦点を当てた、これらの技術に関するNISTコンピテンシーのロードマップとなる可能性がある。
• NIST IR 8425A, Recommended Cybersecurity Requirements for Consumer-Grade Router Products, comprehensively maps router cybersecurity standards provisions to the NIST baseline.	・NIST IR 8425A「一般消費者向けルータ製品に対する推奨サイバーセキュリティ要件」は、ルータのサイバーセキュリティ標準規定をNISTのベースラインに包括的にマッピングしたものである。
• NIST held an open discussion forum and released the initial public draft of Cybersecurity White Paper (CSWP) 33, Product Development Cybersecurity Handbook for IoT Product Manufacturers, which describes considerations for developing and deploying secure IoT products across sectors and use cases and extends NIST’s work to consider the cybersecurity of IoT product component configurations.	・NISTはオープンディスカッションフォーラムを開催し、サイバーセキュリティ白書（CSWP）33「IoT製品製造者のための製品開発サイバーセキュリティハンドブック」の初期公開草案を発表した。このハンドブックは、セクターやユースケースを超えて安全なIoT製品を開発・展開するための考慮事項を記述し、IoT製品のコンポーネント構成のサイバーセキュリティを考慮するためにNISTの作業を拡張したものである。
•NIST led the IoT Interagency Federal Working Group and collaborated with the IoT Advisory Board as it developed findings and recommendations on how the U.S. can reduce barriers to adopting IoT technologies. The findings were documented in a September 2024 report.	・NISTは、IoT省庁間連邦作業部会を主導し、IoT諮問委員会と協力して、米国がIoT技術を採用する際の障壁を低減する方法に関する調査結果と勧告を作成した。調査結果は2024年9月の報告書にまとめられている。
Learn more about this priority area	この優先分野についての詳細はこちら
Human-Centered Cybersecurity	人間中心のサイバーセキュリティ
The mission of the Human-Centered Cybersecurity priority area is to “champion the human in cybersecurity.” Through research and other human-centered projects, the program team seeks to better understand and improve people’s cybersecurity interactions, perceptions, and behaviors to empower them to be active, informed participants in cybersecurity.	人間中心のサイバーセキュリティ優先分野の使命は、「サイバーセキュリティにおいて人間を支持する」ことである。研究およびその他の人間中心のプロジェクトを通じて、プログラム・チームは、サイバーセキュリティにおける人々の相互作用、認識、行動をよりよく理解し、改善することで、サイバーセキュリティに積極的かつ十分な情報を得た上で参加できるようにすることを目指している。
Major Accomplishments in FY 2024:	2024 年度の主な成果
• The phishing project team published theNIST Phish Scale User Guide handbook on applying the Phish Scale — a novel method for measuring socially engineered email attacks. The guide has been downloaded over 20,000 times since its release. The Phish Scale is used in public- and private-sector organizations around the world to aid those who manage phishing awareness training programs in enhancing training effectiveness and strengthening organizations’ security postures.	・フィッシング・プロジェクト・チームは、社会的に操作された電子メール攻撃を測定する新しい手法であるフィッシュ・スケールの適用に関するハンドブック「NISTフィッシュ・スケール・ユーザー・ガイド」を発行した。このガイドブックは公開以来20,000回以上ダウンロードされている。フィッシング・スケールは世界中の公共および民間の組織で使用されており、フィッシング意識向上およびトレーニング・プログラムを管理する人々がトレーニングの効果を高め、組織のセキュリティ体制を強化するのに役立っている。
• The youth security and privacy project team continued participation in the White House Kids Online Health and Safety (KOHS) Task Force. NIST provided technical expertise and worked with multi-agency colleagues in three task force working groups to deliver a first-of-its-kind report, Best Practices for Families and Guiddlines for Industry. This report includes: (1) best practices for parents and caregivers to promote youth online health, safety, and privacy; (2) recommended industry practices; (3) a research agenda that identifies domains of further inquiry; and (4) recommended next steps for policymakers.	・青少年のセキュリティとプライバシー・プロジェクト・チームは、ホワイトハウスのKids Online Health and Safety（KOHS）タスクフォースへの参加を継続した。NISTは技術的な専門知識を提供し、3つのタスクフォース・ワーキンググループで複数の省庁の同僚と協力して、これまでにない報告書「家族のためのベストプラクティスと産業界のためのガイドライン」を作成した。この報告書には以下の内容が含まれている： (1)青少年のオンライン上の健康、安全、プライバシーを促進するための保護者や介護者のためのベストプラクティス、(2)推奨される産業界のプラクティス、(3)さらなる調査の必要性を特定する研究課題、(4)政策立案者のための推奨される次のステップ。
• NIST published results from practitioner and researcher survey studies that explored how human-centered cybersecurity concepts can be better integrated into practice and how practitioners can better inform human-centered cybersecurity research. To address some of the challenges identified in the studies, NIST launched the Human-Centered Cybersecurity Community of Interest, an online forum that brings practitioners and researchers together to share perspectives and facilitate collaboration. NIST also co-sponsored and served on the organizing committee for ConnectCon, an interactive workshop that brings together cybersecurity experts from academia, industry, and government to identify and discuss the most pressing human-centered cybersecurity challenges that organizations face today.	・NIST は、人間中心のサイバーセキュリティの概念をどのように実践にうまく取り入れることができるか、また、人間中心のサイバーセキュリティの研究をどのように実践者にうまく伝えることができるかについて調査した、実務者および研究者の調査研究の結果を発表した。この調査で明らかになった課題のいくつかに対処するため、NISTは「人間中心のサイバーセキュリティ・コミュニティ・オブ・インタレスト」を立ち上げ、実務者と研究者が一堂に会して視点を共有し、協力を促進するオンラインフォーラムを開設した。NISTはまた、学術界、産業界、政府からサイバーセキュリティの専門家を集め、組織が今日直面している最も差し迫った人間中心のサイバーセキュリティの課題を特定し、議論する対話型ワークショップであるConnectConを共催し、組織委員会のメンバーも務めた。
Learn more about this priority area	この優先分野の詳細
Identity & Access Management	アイデンティティとアクセス管理
Identity and Access Management (IAM) is the cornerstone of data protection, privacy, and security. NIST’s IAM priority area provides research, guidelines, and technology transition activities to help ensure that the right humans, devices, data, and processes have the right access to the right resources at the right time.	ID & アクセス管理（IAM）は、データ保護、プライバシー、セキュリティの要である。NISTのIAM優先分野は、適切な人、デバイス、データ、プロセスが適切なリソースに適切なタイミングでアクセスできるようにするための研究、ガイドライン、技術移行活動を提供する。
Major Accomplishments in FY 2024:	2024年度の主な成果
• After adjudicating nearly 4,000 comments, NIST published a second public draft of all four volumes of SP 800-63-4, Digital Identity Guidelines, which provide a foundation for the inclusion of new techniques and technologies into federal IAM programs.	・NIST は、4,000 件近いコメントを審査した後、SP 800-63-4「デジタル・アイデンティティ・ ガイドライン」全 4 巻の第 2 次公開ドラフトを公表した。
• NIST’s IAM team published updates to the suite of SP 800-73-5 documents, which specify the Interfaces of Personal Identity Verification (PIV) Credentials (Part 1), (Part 2), and (Part 3), and completed updates to SP 800-78-5, Cryptographic Algorithms and Key Sizes for Personal Identity Verification.	・NIST の IAM チームは、個人 ID 検証（PIV）クレデンシャルのインタフェース（パート 1）、（パート 2）、（パート 3）を規定する一連の SP 800-73-5 文書の更新を発表し、SP 800-78-5 「個人 ID 検証の暗号アルゴリズムおよび鍵サイズ」の更新を完了した。
• NIST continuously updates the Face Recognition/Analysis Technology Evaluation (FRTE/FATE) to provide critical benchmarking for emerging applications of facial recognition and analysis. NIST IR 8525: Face Analysis Technology Evaluation: Age Estimation and Verification, was also released to evaluate the ability of face analysis to estimate age based on a subject’s face image, which is something essential to emerging age verification schemes.	・NISTは顔認識/分析技術評価（FRTE/FATE）を継続的に更新し、顔認識と分析の新たなアプリケーションに重要なベンチマークを提供している。NIST IR 8525：顔分析技術評価： 年齢推定と検証」もまた、新しい年齢検証スキームに不可欠な、被験者の顔画像に基づいて年齢を推定する顔分析の能力を評価するためにリリースされた。
• NIST established an NCCoE project and Cooperative Research and Development Agreement (CRADA) consortium comprised of over 20 commercial and government partners to focus on creating implementation guidelines for the use of Cryptographically Verifiable Digital Credentials for online services.	・NIST は、NCCoE プロジェクトと、20 を超える商業および政府のパートナーで構成される CRADA（Cooperative Research and Development Agreement）コンソーシアムを設立し、オンラインサービスにおける暗号的に検証可能なデジタル・クレデンシャルの使用に関する実装ガイドラインの作成に注力した。
• NIST’s IAM team contributed to the final version of the Mobile Driving License Application standard (ISO/IEC 18013-7) and updated their reference implementation for the standard to facilitate testing and the certification of products.	・NISTのIAMチームは、モバイル運転免許証アプリケーション標準（ISO/IEC 18013-7）の最終版に貢献し、標準のリファレンス実装を更新して、テストと製品の認証を容易にした。
Learn more about this priority area	この優先分野の詳細
PRIVACY	プライバシー
Privacy is integral to the trust that supports the growth of the digital economy and improves our quality of life. NIST has prioritized Privacy Engineering to support measurement science and system engineering principles through frameworks, risk models, and guidelines that protect privacy and civil liberties.	プライバシーは、デジタル経済の成長を支え、私たちの生活の質を改善する信頼に不可欠である。NISTは、プライバシーと市民的自由を保護する枠組み、リスクモデル、ガイドラインを通じて、計測科学とシステム工学の原則をサポートするために、プライバシー工学を優先している。
Major Accomplishments in FY 2024:	2024年度の主な成果
• NIST released the initial public draft of SP 800-226, Guidelines for Evaluating Differential Privacy Guarantees. This publication focuses on differential privacy — a privacy-enhancing technology that quantifies privacy risks to individuals when their information appears in a dataset.	・NISTは、SP800-226「差分プライバシー保証の評価のためのガイドライン」の最初の公開草案を公表した。この出版物は、差分プライバシーに焦点を当てたものである。差分プライバシーとは、個人情報がデータセットに含まれる場合に、個人に対するプライバシーリスクを定量化するプライバシー強化技術である。
• NIST held the Ready, Set, Update! Privacy Framework 1.1 + Data Governance and Management (DGM) Profile Workshop to inform an update of the NIST Privacy Framework to Version 1.1 and the development of the DGM Profile. NIST also released concept papers for the Privacy Framework, Version 1.1 and the DGM Profile in advance of the workshop.	・NISTはReady, Set, Updateを開催した！Privacy Framework 1.1 + Data Governance and Management (DGM) Profile Workshopを開催し、NISTプライバシー・フレームワークのバージョン1.1への更新とDGMプロファイルの開発に関する情報を提供した。NISTはワークショップに先立ち、プライバシーフレームワークバージョン1.1とDGMプロファイルのコンセプトペーパーも発表した。
• NIST published Diverse Community Data for Benchmarking Data Privacy Algorithms to disseminate major findings from the Collaborative Research Cycle (CRC) — a community challenge to evaluate de-identification algorithms.	・NISTは、データ・プライバシー・アルゴリズムのベンチマークのための多様なコミュニティ・データを公表し、共同研究サイクル（CRC）から得られた主要な知見を広めた。
• NIST released the Collaborative Research Cycle (CRC) Data and Metrics Archive, which is the largest global synthetic data evaluation ever performed—and an ongoing program that leads advancements in synthetic data technology. The program has over a dozen citations and has been featured in multiple conferences and workshops.	・NISTは、これまでに実施された世界最大の合成データ評価であり、合成データ技術の進歩をリードする継続的なプログラムであるCollaborative Research Cycle (CRC) Data and Metrics Archiveをリリースした。このプログラムは十数件の引用を受け、複数の会議やワークショップで取り上げられている。
62,214 NIST Privacy Framework downloads in FY24 (Approx 29% increase from FY23) Top 10 Countries – Privacy Framework Total Downloads	NIST プライバシーフレームワークの 24 年度ダウンロード数 62,214 件（23 年度比約 29%増） 上位 10 カ国 ・プライバシーフレームワーク 総ダウンロード数
Learn more about this priority area	この優先分野の詳細
Risk Management	リスクマネジメント
Enabling effective risk management is the foundation and goal of the entire NIST cybersecurity and privacy portfolio — from cryptographic algorithm standards to enterprise risk management guidelines. Using NIST risk management resources, organizations can better understand risks, select and implement appropriate countermeasures, measure effectiveness, and implement continuous monitoring and improvement.	効果的なリスクマネジメントを可能にすることは、暗号アルゴリズム標準からエンタープライズリスクマネジメントガイドラインに至るまで、NIST のサイバーセキュリティとプライバシーのポートフォリオ全体の基盤であり目標である。NISTのリスクマネジメントリソースを利用することで、組織はリスクをよりよく理解し、適切な対策を選択・実施し、有効性を測定し、継続的な監視と改善を実施することができる。
Major Accomplishments in FY 2024:	2024 年度の主な成果
• NIST published the Cybersecurity Framework (CSF) Version 2.0 in February 2024 after a process of extensive stakeholder collaboration. New implementation resources were published to accompany the Framework, including profiles, quick start guides, and informative references. NIST also worked with stakeholders around the world to translate and verify international translations of the CSF and associated resources.	・NIST は、広範な関係者の協力のプロセスを経て、2024 年 2 月にサイバーセキュリティ枠組み（CSF）バージョン 2.0 を公表した。枠組みに合わせて、プロファイル、クイックスタートガイド、参考文献など、新たな実装リソースが公表された。NIST はまた、世界中の利害関係者と協力して、CSF と関連リソースの国際的な翻訳と検証を行った。
• NIST used the SP 800-53 Public Comment Site to propose new controls, hold a public comment period, and issue revised controls and assessment procedures within 30 days in response to a gap in the control catalog.	・NIST は、SP800-53 パブリックコメントサイトを利用して、新たな管理策を提案し、パブリックコメント期間を設け、管理策カタログのギャップに対応して、30 日以内に改訂された管理策とアセスメント手順を発行した。
• Additional resources for implementers were released, including a series of free, self-paced online introductory courses on security and privacy controls, assessment procedures, control baselines, and the NIST Risk Management Framework for Small Enterprises Quick Start Guide (QSG).	・セキュリティとプライバシーのコントロール、アセスメント手順、コントロール・ベースライン、小規模企業向けNISTリスクマネジメントフレームワーク・クイックスタートガイド（QSG）に関する一連の無料オンライン入門コースなど、実装者向けの追加リソースがリリースされた。
• NIST continued to lead and support community engagement on cybersecurity supply chain risk management (C-SCRM) through the Software and Supply Chain Assurance (SSCA) Forum and Engineering Biology Research Consortium Workshops, support the Federal Acquisition Security Council, and issued two QSGs on establishing a C-SCRM capability using the CSF 2.0 and conducting due diligence on potential suppliers before procurement.	・NIST は、ソフトウェアとサプライチェーン保証（SSCA）フォーラム や エンジニアリング・バイオロジー・リサーチ・コンソーシアム・ワークショップを通じて、サイバーセキュリティ・サプライチェーン・リスクマネジメント（C-SCRM）に関するコミュニティ参画を主導・支援し、連邦調達安全評議会を支援し、CSF 2.0 を用いた C-SCRM 能力の確立と調達前の潜在的サプライヤに対するデューデリジェンスの実施に関する 2 つの QSG を発行した。
• NIST released beta prototypes of the Cyber Incident Data Analysis Repository and Cyber Supply Chain Survey Tool for stakeholder feedback and improvement. The prototypes are designed to anonymously collect and share cybersecurity incident and supply chain data for measurement and metrics analytics and to provide users with educational and informative resources to improve their C-SCRM.	・NIST は、関係者のフィードバックと改善のために、サイバーインシデントデータ分析レポジトリとサイ バーサプライチェーン調査ツールのベータ版プロトタイプを公開した。このプロトタイプは、サイバーセキュリティインシデントとサプライチェーンデータを匿名で収集・共有し、測定とメトリクス分析を行うとともに、C-SCRMを改善するための教育的・有益なリソースをユーザに提供することを目的としている。
Learn more about this priority area	この優先分野の詳細
TRUSTED NETWORKS & PLATFORMS	信頼されるネットワークとプラットフォーム
We all rely on the hardware, software, and networks that form the fabric of our digital ecosystems. NIST’s Trusted Networks and Platforms priority area supports foundational and applied research and practical implementation guidelines and standards to ensure secure, reliable, and resilient technology across industry sectors.	私たちは皆、デジタル・エコシステムの基盤を形成するハードウェア、ソフトウェア、ネットワークに依存している。NISTのTrusted Networks and Platforms優先分野は、産業部門全体で安全で信頼性が高く、レジリエンスに優れた技術を確保するための基礎研究、応用研究、実用的な実装ガイドラインと標準を支援している。
Major Accomplishments in FY 2024:	2024 年度の主な成果
• NIST launched the hardware security program to identify existing and emerging cybersecurity threats and develop mitigation techniques for semiconductors, including cybersecurity and supply chain standards, guidelines, and recommended practices in collaboration with the semiconductor community. NIST also hosted a Supply Chain workshop and published NIST IR 8540, Report on Secure Hardware Assurance Reference Dataset Program.	・NIST は、半導体コミュニティと協力して、サイバーセキュリティとサプライチェーンの標準、ガイドライン、推奨プラクティスなど、既存および新たなサイバーセキュリティの脅威を特定し、半導体の緩和技術を開発するハードウェアセキュリティプログラムを開始した。NIST はまた、サプライチェーンワークショップを開催し、NIST IR 8540「安全なハードウェア保証参照データセットプログラムに関する報告書」を発行した。
• To support data safeguarding, NIST released NIST IR 8432, Cybersecurity of Genomic Data; SP 1800-28, Data Confidentiality: Identifying and Protecting Assets Against Data Breaches; SP 180029, Data Confidentiality: Detect, Respond to, and Recover from Data Breaches; and NIST IR 8496, Data Classification Concepts and Considerations for Improving Data Protection.	・データ保護を支援するため、NISTはNIST IR 8432「ゲノムデータのサイバーセキュリティ」、SP1800-28「データの機密性」を発表した： SP 1800-28「データの機密性：データ侵害に対する資産の識別と防御」、SP 180029「データの機密性」である： NIST IR 8496「データ保護を改善するためのデータ分類の概念と考察」である。
• NIST published SP 1800-38B, Migration to Post-Quantum Cryptography (PQC) Quantum Readiness: Cryptographic Discovery, and SP 1800-38C, Migration to PQC Quantum Readiness: Testing Draft Standards.	・NISTは、SP1800-38B「ポスト量子暗号（PQC）量子対応への移行：暗号発見」とSP1800-38C「ポスト量子暗号（PQC）量子対応への移行」を発表した。
• NIST published SP 800-231, Bugs Framework (BF): Formalizing Cybersecurity Weaknesses and Vulnerabilities; SP 800-204D, Strategies for the Integration of Software Supply Chain Security in DevSecOps CI/CD Pipelines; SP 800-218A, Secure Software Development Practices for Generative AI and Dual-Use Foundation Models: An SSDF Community Profile; and enhanced the Software Assurance Reference Dataset (SARD) with four test suites from the Static Analysis Tool Exposition (SATE) VI. NIST also improved the AI Bug Finder, and the National Software Reference Database added data from 10,000+ new or updated applications (totaling over 42 million files) to assist with computer security and digital forensics analysis.	・NISTは、SP 800-231「Bugs Framework（BF）」を発表した： SP 800-204D「DevSecOps CI/CDパイプラインにおけるソフトウェアサプライチェーンセキュリティの統合のための戦略」、SP 800-218A「生成的AIおよびデュアルユース基盤モデルのための安全なソフトウェア開発の実践」を発表した： SSDF コミュニティプロファイル）、ソフトウェア保証リファレンスデータセット（SARD）を静的分析ツール解説（SATE）VIの4つのテスト・スイートで強化した。NISTはまた、AIバグファインダーを改善し、ナショナルソフトウェアリファレンスデータベースには、コンピュータセキュリティとデジタルフォレンジック分析を支援するために、10,000以上の新規または更新されたアプリケーション（合計4,200万ファイル以上）のデータを追加した。
• NIST published CSWP 36, Applying 5G Cybersecurity and Privacy Capabilities: Introduction to the White Paper Series; CSWP 36A, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI): Applying 5G Cybersecurity and Privacy Capabilities; CSWP 36B, Using Hardware-Enabled Security to Ensure 5G System Platform Integrity: Applying 5G Cybersecurity and Privacy Capabilities; and CSWP 36C, Reallocation of Temporary Identities: Applying 5G Cybersecurity and Privacy Capabilities.	・ NIST は、CSWP 36「5G サイバーセキュリティおよびプライバシー機能の適用：ホワイトペーパーシリーズ序文」、CSWP 36A「加入者識別情報を加入者非公開識別情報（SUCI）で保護:5G サイバーセキュリティおよびプライバシー機能の適用」、CSWP 36B「ハードウェアによるセキュリティを使用して 5G システムプラットフォームの整合性を確保： 5G サイバーセキュリティおよびプライバシー機能の適用」、および「CSWP 36C、一時的な ID の再割り当て:5G サイバーセキュリティおよびプライバシー機能の適用」を発表した。
Learn more about this priority area	この優先分野の詳細
NATIONAL CYBERSECURITY CENTER OF EXCELLENCE ACTIVITIES	国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE
The mission of the National Cybersecurity Center of Excellence (NCCoE) is to accelerate the adoption of secure technologies. The NCCoE works collaboratively with industry and other government agencies to address cybersecurity challenges facing the nation by demonstrating the use of commercial technologies and standards.	国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）の使命は、安全な技術の採用を加速することである。NCCoE は産業界や他の政府機関と協力し、商用技術や標準の利用を実証することで、国家が直面するサイバーセキュリティの課題に取り組んでいる。
Major Accomplishments in FY 2024:	2024 年度の主な成果
• NIST received approval to continue sponsorship of the National Cybersecurity Federally Funded Research and Development Center (FFRDC), which is now in its tenth year.	・NIST は、10 年目を迎える国立サイバーセキュリティ連邦資金研究開発センター（FFRDC）のスポンサー継続の承認を得た。
• The NCCoE held 167 active Cooperative Research and Development Agreements (CRADAs) in 2024 with industry, government, and academic organizations to provide in-kind contributions of technology and expertise toward NCCoE projects. New consortia were established for water cybersecurity and mobile driver’s license projects, and the migration to postquantum cryptography consortium grew to over 40 organizations. The NCCoE announced new collaborations with SEMI on semiconductor manufacturing cybersecurity and Hudson Alpha and the University of Alabama in Huntsville on the cybersecurity and privacy of genomic data. NCCoE had a cumulative total of 758 collaborators working on NCCoE projects, with 26,714 companies and organizations producing cybersecurity guides and other products.	・NCCoE は、NCCoE のプロジェクトに技術や専門知識を現物で提供するため、産業界、政府、学術機関との間で、2024 年に 167 件の有効な協力研究開発契約（CRADA）を締結した。水サイバーセキュリティとモバイル運転免許証プロジェクトのために新しいコンソーシアムが設立され、ポスト量子暗号への移行コンソーシアムは40以上の組織に成長した。NCCoEは、半導体製造のサイバーセキュリティに関するSEMI、ゲノムデータのサイバーセキュリティとプライバシーに関するハドソンアルファとアラバマ大学ハンツビル校との新たな協力関係を発表した。NCCoEのプロジェクトに携わる協力者は累計758人で、26,714の企業や組織がサイバーセキュリティガイドやその他の製品を作成した。
• The NCCoE partnered with 39 National Cybersecurity Excellence Partners (NCEPs) and led U.S. organizations to provide insights into emerging cybersecurity and privacy technology issues. Joint meetings of the NCEPs were hosted by the NCCoE, Dell, and Cloudflare. The NCCoE also held Interagency Agreements with the Department of State, the U.S. Navy, and the U.S. Space Force.	・NCCoEは、39の全米サイバーセキュリティ・エクセレンス・パートナー（NCEPs）と提携し、米国の組織を率いて、サイバーセキュリティとプライバシー技術の新たな問題についての洞察を提供した。NCEPの合同会議は、NCCoE、デル、クラウドフレアが主催した。NCCoEはまた、国務省、米海軍、米宇宙軍とも省庁間協定を結んだ。
• The NCCoE released 25 publications — including NIST 1800-Series Special Publications, Interagency Reports, Cybersecurity White Papers, and new GitHub publications — to provide guidelines for data security, genomic data cybersecurity and privacy, zero trust architectures, 5G cybersecurity, post-quantum cryptography migration, data classification practices, supply chain traceability, smart inverters, water cybersecurity, and more.	・NCCoEは、NIST 1800シリーズ特別刊行物、省庁間報告書、サイバーセキュリティ白書、および新しいGitHub刊行物を含む25の刊行物を発表し、データセキュリティ、ゲノムデータのサイバーセキュリティとプライバシー、ゼロトラストアーキテクチャ、5Gサイバーセキュリティ、ポスト量子暗号移行、データ格付実務、サプライチェーントレーサビリティ、スマートインバータ、水サイバーセキュリティなどのガイドラインを提供した。
• The NCCoE introduced a new series of 5G Cybersecurity White Papers to offer short-form content that is easy to digest for a broader audience. Other outputs included the NIST Dioptra AI open-source test platform and GitHub Pages for several projects.	・NCCoEは、5Gサイバーセキュリティ・ホワイトペーパーの新シリーズを導入し、幅広い読者に向けて消化しやすい短編コンテンツを提供した。その他の成果としては、NIST Dioptra AIオープンソース・テスト・プラットフォームや、いくつかのプロジェクトのGitHubページがある。
• The NCCoE increased its efforts on CSF 2.0 Community Profiles to help organizations implement the new CSF.	・NCCoE は、組織が新しい CSF を実施するのを支援するために、CSF 2.0 Community Profiles への取り組みを強化した。
• The NCCoE held 17 events and webinars in FY 2024, including CSF 2.0 Community Profile webinars, and continued to host quarterly Cybersecurity Connections networking events for the small business community in partnership with the State of Maryland (MD) and Montgomery County, MD. The NCCoE also launched a new LinkedIn page and the NCCoE Speakers Corner to increase awareness of the Center.	・NCCoE は、2024 年度に、CSF 2.0 コミュニティ・プロファイルのウェビナーを含む 17 のイベントとウェビナーを開催し、メリーランド州（MD）およびメリーランド州モントゴメリー郡と連携して、中小企業コミュニティ向けのネットワーキング・イベント「サイバーセキュリティ・コネクションズ」を四半期ごとに継続して開催した。NCCoEはまた、LinkedInの新しいページとNCCoEスピーカー・コーナーを開設し、センターの認知度を高めた。
• The NCCoE continued its summer internship program for undergraduate and graduate students for the 14th year. The NCCoE also participated in NIST’s Summer Institute to provide cybersecurity resources to middle school teachers.	・NCCoEは、学部生および大学院生を対象とした夏季インターンシップ・プログラムを14年目も継続した。NCCoEはまた、NISTのサマー・インスティテュートに参加し、中学校の教師にサイバーセキュリティのリソースを提供した。
• The NCCoE continued to expand its cybersecurity and privacy topics, including post-quantum cryptography, natural language processing, trusted IoT, resilience for critical infrastructure and supply chains, and NIST Framework resources and tools.	・NCCoEは、ポスト量子暗号、自然言語処理、信頼されるIoT、重要インフラとサプライチェーンのレジリエンス、NISTフレームワークのリソースとツールなど、サイバーセキュリティとプライバシーに関するトピックの拡大を継続した。
Learn more about this priority area	この優先分野についての詳細はこちら
Events & Stakeholder Engagement	イベント＆ステークホルダー・エンゲージメント
NIST cybersecurity and privacy events are rooted in collaboration, information sharing, and transparency. By hosting events, NIST can directly interact with broad audiences and share information about a wide range of topics on a continuous basis.	NISTのサイバーセキュリティとプライバシーのイベントは、コラボレーション、情報共有、透明性に根ざしている。イベントを開催することで、NISTは幅広い聴衆と直接交流し、幅広いトピックに関する情報を継続的に共有することができる。
• The NIST Cybersecurity and Privacy Program hosted over 80 events in FY 2024, including conferences, workshops, collaborative meetings, webinars, panel discussions, forums, and working groups.	・NISTサイバーセキュリティ・プライバシープログラムは、2024年度に、会議、ワークショップ、共同会議、ウェビナー、パネルディスカッション、フォーラム、ワーキンググループなど、80以上のイベントを開催した。
• NIST worked closely with event attendees to share information, collaborate with the public, and hold active discussions with cybersecurity and privacy experts across sectors and industries. These open discussions and collaborative interactions helped inform NIST’s work, and the events streamlined NIST’s information-sharing abilities with key audiences.	・NISTはイベント参加者と緊密に連携し、情報を共有し、一般市民と協力し、セクターや業界を超えたサイバーセキュリティやプライバシーの専門家と活発な議論を行った。こうしたオープンな議論や協力的な交流はNISTの業務に情報を提供するのに役立ち、イベントはNISTの主要な聴衆との情報共有能力を効率化した。
• NIST’s cybersecurity and privacy event details are located on websites across our NCCoE events page, CSRC events Page, and our NIST events overview page.	・NISTのサイバーセキュリティとプライバシーに関するイベントの詳細は、NCCoEイベントページ、CSRCイベントページ、NISTイベント概要ページに掲載されている。
FY 2024 event topics included:	2024年度のイベントのトピックは以下の通りである：
Cryptography	暗号技術
Education and Workforce	教育と人材
Identity and Access Management	アイデンティティとアクセスマネジメント
Internet of Things	モノのインターネット
NIST Frameworks	NISTの枠組み
Privacy	プライバシー
Risk Management	リスクマネジメント
Securing Emerging Technologies	新興技術のセキュリティ
Small Businesses	中小企業
Software	ソフトウェア
Learn more about this priority area	この優先分野の詳細
OPPORTUNITIES TO ENGAGE WITH NIST ON CYBERSECURITY & PRIVACY	サイバーセキュリティとプライバシーに関してNISTと関わる機会
NIST depends on developers, researchers, and everyday users of technologies and information to guide cybersecurity and privacy focus areas.	NISTは、サイバーセキュリティとプライバシーの重点分野を導くために、技術や情報の開発者、研究者、日常的な利用者に依存している。
• Details on engaging with NIST are available here.	・NISTとの関わり方についての詳細はこちらをご覧いただきたい。
• Many NIST projects are supported by guest researchers, both foreign and domestic.	・NISTのプロジェクトの多くは、国内外のゲスト研究者によって支えられている。
• The Pathways Program supports Federal Government internships for students and recent graduates.	・パスウェイ・プログラムは、学生や新卒者を対象とした連邦政府インターンシップを支援している。
• NIST funds industrial and academic research in several ways:	・NISTはいくつかの方法で産業および学術研究に資金を提供している：
• The Small Business Innovation Research Program (SBIR) funds research and development proposal.	・中小企業技術革新研究プログラム（SBIR）は、研究開発提案に資金を提供する。
• NIST offers grants to encourage work in the fields of precision measurement, fire research, and materials science. For general information on NIST’s grant programs, please contact Christopher Hunton at grants@nist.gov.	・NISTは精密測定、火災研究、材料科学の分野での研究を奨励する助成金を提供している。NISTの助成金プログラムに関する一般的な情報については、クリストファー・ハントン（grants@nist.gov）までお問い合わせいただきたい。
• The Information Technology Laboratory (ITL) Speakers Bureau enables engagement with universities and colleges to raise student and faculty awareness about the exciting work going on at NIST and motivate them to consider pursuing opportunities to work with IT.	・情報技術研究所（ITL）スピーカー・ビューローは、大学やカレッジとの連携を可能にし、NISTで行われているエキサイティングな研究に対する学生や教員の認識を高め、ITLとの共同研究の機会を追求することを検討する意欲を高める。
• More information about NIST’s research, projects, publications, and events can be found on the NIST Computer Security Resource Center (CSRC) website and the NIST Cybersecurity website.	・NISTの研究、プロジェクト、出版物、イベントに関する詳細は、NISTコンピュータセキュリティリソースセンター（CSRC）のウェブサイトおよびNISTサイバーセキュリティのウェブサイトを参照のこと。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.05.24 米国 NIST SP 800-229 2023会計年度サイバーセキュリティ・プライバシー年次報告書

・2023.06.09 NIST SP 800-225 2022年度サイバーセキュリティ・プライバシー年次報告書 (2023.05.30)

・2022.10.02 NIST SP 800-220 2021年度サイバーセキュリティ・プライバシー年次報告書 (2022.09.26)

・2021.10.01 NIST SP 800-214 2020年度サイバーセキュリティ・プライバシー年次報告書

・2020.08.26 NIST/ITLのサイバーセキュリティプログラム年次報告書2019

・2020.03.15 NIST SP 800-206 Annual Report 2018: NIST/ITL Cybersecurity Program

Google Mandiantのレポート (M-Trends 2025 Report) (2025.04.24)

こんにちは、丸山満彦です。

Mandiantが2025年の脅威インテリジェンスレポートを公表していますね...ダウンロードをするためには、会社関係の登録が必要となります...

レポートは92ページあります。

・組織への侵入経路は

• 最も多いのは脆弱性の悪用で33%。攻撃者は特にセキュリティデバイスやネットワークエッジデバイスを標的にしている。
• 次に多いのは盗み出した認証情報（16%）とフィッシング（14%）。認証情報の窃取やソーシャルエンジニアリングの巧妙化が脅威を増大させている。認証情報の盗難は、地下フォーラムでの購入やインフォスティーラーによる収集を通じて増加している。多要素認証（MFA）の導入が急務。

・攻撃を受けている割合

• 金融セクター　全体の約18％。同期は価値高いデータの入手や金銭的利益。
• 続いて、専門職、ハイテク企業、政府、ヘルスケア

・攻撃者の滞在時間（検知するまでの時間）

• 11日
• 攻撃者による通知（14％）、内部検知（43％）、外部の検知（43％）

・新たな脅威

• 北朝鮮のITワーカーによる内部脅威。金融、通信、ハイテク業界で確認されている。初期侵入の5％
• Web3を標的した攻撃の増加

● Google

・2025.04.24 M-Trends 2025 Report is now available

M-Trends 2025 Report is now available	M-Trends 2025 レポートを発表
Stay ahead of the latest cyber threats with frontline insights from our incident response investigations.	インシデント対応調査から得た最前線の知見で、最新のサイバー脅威を先取りしよう。
In this 16th edition of M-Trends, we share our observations and analysis of the dynamic threat landscape, and aim to provide security professionals with actionable guidance to enhance their security posture.	M-Trendsの第16版である本レポートでは、ダイナミックな脅威の状況についての見解と分析を共有し、セキュリティ担当者にセキュリティ体制を強化するための実用的なガイダンスを提供することを目的としている。
Key trends explored in the report:	本レポートの主なトレンド
・Incident response metrics, including top detection sources and initial infection vectors	・インシデント対応の指標（上位の検知ソースや初期感染ベクトルなど
・Growing risk posed by infostealer malware	・情報窃取マルウェアがもたらすリスクの増大
・The Democratic People’s Republic of Korea IT worker threat	・朝鮮民主主義人民共和国のIT労働者の脅威
・The danger of unsecured data repositories	・安全でないデータ保管庫の危険性
・The Iranian threat landscape in 2024	・2024年におけるイランの脅威状況
・The evolution of data theft in cloud and software as a service environments	・クラウドおよびSaaS環境におけるデータ盗難の進化
・Common themes in cloud compromise investigations	・クラウド侵害の調査に共通するテーマ
・Threats to Web3 and cryptocurrency	・Web3と暗号通貨への脅威

登録するとファイルがダウンロードできます...

目次...

Introduction	序文
By the Numbers	数字で見る
Campaigns and Global Events	キャンペーンと世界的な出来事
Targeted Attacks	標的型攻撃
Ransomware	ランサムウェア
Cloud Compromises	クラウド侵害
Threat Techniques	脅威の手口
Regional Reports	地域別レポート
Americas	米州
EMEA	欧州・中東・アフリカ
JAPAC	日本
Articles	記事
Infostealer Malware Continues to Create a Threat to Enterprise Systems	エンタープライズシステムへの脅威を生み続けるインフォステアマルウェア
Democratic People’s Republic of Korea Insider Threats	朝鮮民主主義人民共和国 インサイダーの脅威
The 2024 Iranian Threat Landscape	2024年イランの脅威情勢
Evolution of Data Theft in Cloud and Software-as-a-Service Environments	クラウドおよびソフトウェア・アズ・ア・サービス環境におけるデータ盗難の進化 クラウドとSaaS環境におけるデータ盗難の進化
Common Themes in Cloud Compromise Investigations	クラウド侵害の調査における共通のテーマ
Security Recommendations for Diverse Cloud and Hybrid Environments	多様なクラウドおよびハイブリッド環境に対するセキュリティの推奨
Threats to Web3 and Cryptocurrency	Web3と暗号通貨への脅威
Unsecured Data Repositories	安全でないデータリポジトリ
Conclusion	結論
MITRE ATT&CK	MITRE ATT&CK
Bibliography	参考文献

欧州 EDPB ブロックチェーン技術によるパーソナルデータの処理に関するガイドライン02/2025 (2025.04.14)

こんにちは、丸山満彦です。

欧州データ保護会議（EDPB）がブロックチェーン技術によるパーソナルデータの処理に関するガイドライン Ver1.1を公表し、意見募集をしていますね...

16のRecomendationsがあり、参考になるかもです...

● European Data Protection Board

・2025.04.14 EDPB adopts guidelines on processing personal data through blockchains and is ready to cooperate with AI office on guidelines on AI Act and EU data protection law

EDPB adopts guidelines on processing personal data through blockchains and is ready to cooperate with AI office on guidelines on AI Act and EU data protection law	EDPB、ブロックチェーンを通じた個人データの処理に関するガイドラインを採択 AI法とEUデータ保護法に関するガイドラインでAIオフィスと協力する用意も
Brussels, 14 April - During its April 2025 plenary, the European Data Protection Board (EDPB) has adopted guidelines on processing of personal data through blockchain technologies.  A blockchain is a distributed digital ledger system that can confirm transactions  and  establish  who  owned  a  digital  asset  (such  as cryptocurrency)  at  a  given  time. Blockchains can also support the secure handling and transfer of data, ensuring its integrity and traceability.	ブリュッセル、4月14日 - 欧州データ保護会議（EDPB）は2025年4月の本会議で、ブロックチェーン技術を通じたパーソナルデータの処理に関するガイドラインを採択した。 ブロックチェーンは分散型デジタル台帳システムであり、取引を確認し、ある時点におけるデジタル資産（暗号通貨など）の所有者を確定することができる。ブロックチェーンはまた、データの安全な取り扱いと転送をサポートし、その完全性とトレーサビリティを確保することができる。
As the use of blockchain technologies is expanding, the Board considers it important to help organisations using these technologies to comply with the GDPR.	ブロックチェーン技術の利用が拡大する中、理事会は、これらの技術を利用する輸入事業者がGDPRを遵守するのを支援することが重要であると考えている。
In its guidelines, the EDPB explains how blockchains work, assessing the different possible architectures and their implications for the processing of personal data.	EDPBはガイドラインの中で、ブロックチェーンがどのように機能するかを説明し、さまざまな可能性のあるアーキテクチャとパーソナルデータの処理に対するその意味をアセスメントしている。
The guidelines highlight the importance of implementing technical and organisational measures at the earliest stages of the design of the processing. The EDPB also clarifies that the roles and responsibilities of the different actors in a blockchain-related processing of personal data should be assessed during the design of the processing.	ガイドラインは、処理の設計の初期段階で技術的・組織的対策を実施することの重要性を強調している。EDPBはまた、ブロックチェーンに関連したパーソナルデータの処理における様々な関係者の役割と責任は、処理の設計中にアセスメントされるべきであると明確にしている。
In addition, organisations should carry out a Data Protection Impact Assessment (DPIA) before processing personal data through blockchain technologies, where the processing is likely to result in a high risk to the rights and freedoms of individuals.	さらに、組織は、ブロックチェーン技術による個人データの処理が個人の権利と自由に高いリスクをもたらす可能性がある場合、その処理の前にデータ保護インパクトアセスメント（DPIA）を実施すべきである。
According to the Board, organisations should also ensure the highest protection of individuals’ personal data during the processing so that they are not made accessible to an indefinite number of persons by default.	理事会によると、組織はまた、処理中に個人のパーソナルデータの最高の保護を確保し、デフォルトで不特定多数の人がアクセスできるようにならないようにすべきである。
The guidelines provide examples of different techniques for data minimisation, as well as for handling and storing personal data. As a general rule, storing personal data in a blockchain should be avoided if this conflicts with data protection principles.	同ガイドラインは、個人データの取り扱いや保管だけでなく、データ最小化のためのさまざまな手法の例を示している。原則として、ブロックチェーンに個人データを保存することは、データ保護の原則に抵触する場合は避けるべきである。
Finally, the Board highlights the importance of the rights of individuals especially regarding transparency, rectification and erasure of personal data.	最後に、理事会は、特に個人データの透明性、修正、消去に関する個人の権利の重要性を強調している。
The guidelines will be subject to public consultation until 9 June 2025, providing stakeholders with the opportunity to comment.	ガイドラインは2025年6月9日まで公開協議の対象となり、利害関係者にコメントする機会を提供する。
During its latest plenary, the EDPB also decided to closely cooperate with the AI Office in relation to the drafting of the guidelines on the interplay between the AI Act and EU data protection legislation.	EDPBはまた、最新の本会議において、AI法とEUデータ保護法との相互関係に関するガイドラインの起草に関して、AI事務局と緊密に協力することを決定した。

・2025.04.14 Guidelines 02/2025 on processing of personal data through blockchain technologies

Guidelines 02/2025 on processing of personal data through blockchain technologies	ブロックチェーン技術によるパーソナルデータの処理に関するガイドライン02/2025
The European Data Protection Board welcomes comments on the Guidelines 02/2025 on processing of personal data through blockchain technologies.	欧州データ保護会議は、ブロックチェーン技術によるパーソナルデータの処理に関するガイドライン02/2025に対するコメントを歓迎する。
Such comments should be sent 9th June 2025 at the latest using the provided form.	コメントは遅くとも2025年6月9日までに、プロバイダのフォームを利用して送付されたい。
Please note that, by submitting your comments, you acknowledge that your comments might be published on the EDPB website.	なお、コメントを提出することにより、あなたのコメントがEDPBのウェブサイトに掲載される可能性があることを了承したものとみなされる。
The EDPB Secretariat staff screens all replies provided before publication (only for the purpose of blocking unauthorised submissions, such as spam), after which the replies are made available to the public directly on the EDPB public consultations’ page. Unauthorised submissions are immediately deleted. The attached files are not altered in any way by the EDPB.	EDPB事務局スタッフは、公開前に提出されたすべての返信を審査し（スパムなど不正な投稿をブロックする目的のみ）、その後、返信はEDPB公開協議のページで直接一般に公開される。不正な投稿は直ちに削除される。添付されたファイルは、EDPBによって変更されることはない。
Please, note that regardless the option chosen, your contribution may be subject to a request for access to documents under Regulation 1049/2001 on public access to European Parliament, Council and Commission documents. In this case the request will be assessed against the conditions set out in the Regulation and in accordance with applicable data protection rules.	なお、いずれのオプションを選択した場合でも、欧州議会、理事会および欧州委員会の文書に対する一般公開に関する規則1049/2001に基づき、文書へのアクセス要求の対象となる場合がある。この場合、要請は同規則に定められた条件に照らし合わせ、適用されるデータ保護規則に従って評価される。
All legal details can be found in our Specific Privacy Statement (SPS)	すべての法的な詳細は、当社の特定プライバシー規約（SPS）に記載されている。

・[PDF] Guidelines 02/2025

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
The distributed nature of blockchain and the complex mathematical concepts involved imply a high degree of complexity and uncertainty that leads to specific challenges with respect to the processing of personal data. In this context, in order to ensure that the processing of personal data complies with the GDPR, risks for rights and freedoms of data subjects need to be carefully assessed. Some of these risks can be mitigated through technical measures upfront, while finding a solution for other risks of non-compliance might be more challenging at this stage. Furthermore, blockchains have certain properties that can lead to challenges when dealing with the requirements of the GDPR. Such properties require to reinforce data protection by design measures in order to implement principles and rights, for example/like the principle of storage limitation and data subjects’ rights such as the right to rectification and the right to be forgotten. Therefore, the controller should carefully assess the blockchain solution it intends to use to avoid non-compliance risks and specific risks to the rights and freedoms of data subjects.	ブロックチェーンの分散された性質と複雑な数学的概念は、高度な複雑性と不確実性を意味し、パーソナルデータの処理に関する特定の課題につながる。この文脈において、パーソナルデータの処理がGDPRに準拠していることを保証するためには、データ対象者の権利と自由に対するリスクを慎重にアセスメントする必要がある。これらのリスクの一部は、前もって技術的な対策を講じることで緩和することができるが、その他のコンプライアンス違反のリスクに対する解決策を見つけることは、現段階では難しいかもしれない。さらに、ブロックチェーンにはGDPRの要件に対処する際に課題となり得る特定の特性がある。このような特性は、例えば／保存制限の原則や、訂正権や忘れられる権利などのデータ対象者の権利など、原則や権利を実施するために、設計上の対策によってデータ保護を強化する必要がある。したがって、データ管理者は、コンプライアンス違反リスクやデータ対象者の権利と自由に対する特定のリスクを回避するために、使用しようとするブロックチェーン・ソリューションを慎重に評価する必要がある。
These guidelines provide a framework for organizations considering the use of blockchain technology, outlining key GDPR compliance considerations for planned processing activities. They provide an overview of the fundamental principles of blockchain technology, assessing the different possible architectures and their implications for the processing of personal data. Furthermore, they clarify that roles and responsibilities of different actors in a blockchain related processing need to be assessed during the design of a processing and what elements need to be considered in this respect.	本ガイドラインは、ブロックチェーン技術の利用を検討している組織に枠組みを提供し、計画されている処理活動に関するGDPRコンプライアンス上の主な検討事項を概説している。ブロックチェーン技術の基本原則の概要を提供し、さまざまな可能性のあるアーキテクチャとパーソナルデータの処理に対するその意味をアセスメントしている。さらに、ブロックチェーンに関連する処理における様々な関係者の役割と責任は、処理の設計中にアセスメントされる必要があり、この点に関してどのような要素を考慮する必要があるかを明らかにしている。
Depending on the purpose of processing for which blockchain technology is used, different categories of personal data may be processed. The guidelines highlight the need for Data Protection by Design and by Default and adequate organisational and technical measures. They also provide examples of different techniques for data minimisation and for handling and storing personal data.	ブロックチェーン技術が使用される処理目的によっては、異なるカテゴリーのパーソナルデータが処理される可能性がある。本ガイドラインは、Data Protection by Design and by Defaultと適切な組織的・技術的措置の必要性を強調している。また、データの最小化、個人データの取り扱いと保管に関するさまざまな技術の例も示している。
As a general rule, storing personal data on a blockchain should be avoided, if this conflicts with data protection principles. To assist with the compliance with data protection principles, one of several available advanced techniques, appropriate organisational measures and appropriate data protection policies[1] should be used when considering storage of personal data on-chain. The guidelines detail technical aspects and different ways of implementation for such techniques, highlighting their strengths and weaknesses in order to help organizations on choosing appropriate measures.	原則として、ブロックチェーン上に個人データを保存することは、データ保護の原則に抵触する場合は避けるべきである。データ保護原則の遵守を支援するため、個人データのオンチェーン保存を検討する際には、利用可能ないくつかの高度な技術のうちの1つ、適切な組織的措置、および適切なデータ保護方針（[1] ）を用いるべきである。本ガイドラインは、組織が適切な手段を選択する際の助けとなるよう、そのような技術の技術的側面とさまざまな実装方法を詳述し、その長所と短所を強調している。
Additionally, the guidelines discuss the interplay between the technical aspects of blockchain and the data protection principles of Article 5 GDPR. They emphasize the importance of the rights of data subjects especially regarding transparency, rectification and erasure. The guidelines also highlight the importance of carrying out a Data Protection Impact Assessment (DPIA) prior to implementing a processing using blockchain technology and provide key aspects to be considered in a structured way when conducting a DPIA.	さらにガイドラインは、ブロックチェーンの技術的側面とGDPR第5条のデータ保護原則との相互関係について論じている。特に透明性、修正、消去に関するデータ対象者の権利の重要性を強調している。ガイドラインはまた、ブロックチェーン技術を使用した処理を実施する前にデータ保護影響アセスメント（DPIA）を実施することの重要性を強調し、DPIAを実施する際に構造化された方法で考慮すべき主要な側面を提供している。
Finally, in Annex A the guidelines provide a set of concise recommendations for organizations planning to set up a blockchain based processing.	最後に、附属書Aでは、ブロックチェーン・ベースの処理を計画している組織に対する簡潔な推奨事項を示している。
[1] GDPR Art 24 (1) and (2)	[1]GDPR第24条(1)および(2)

目次...

1  Introduction	1  序文
2  Context and Scope of Application	2  文脈と適用範囲
3  Description of the technology of blockchains	3  ブロックチェーンの技術について
3.1  Different types of blockchains	3.1  ブロックチェーンの種類
3.2  Data inside a blockchain	3.2  ブロックチェーン内のデータ
3.3  Roles and responsibilities	3.3  役割と責任
4  Evaluating Blockchain-Based Processing	4  ブロックチェーン・ベースの処理を評価する
4.1  Introduction	4.1  序文
4.2  Processing of personal data	4.2  パーソナルデータの処理
4.3  Principles of Data Protection	4.3  データ保護の原則
4.4  Lawfulness of processing	4.4  処理の合法性
4.5  International transfers	4.5  国際送迎
4.6  Data protection by design and by default	4.6  設計とデフォルトによるデータ保護
4.7  Data retention periods	4.7  データ保持期間
4.8  Security	4.8  セキュリティ
4.9  Data Protection Impact Assessment	4.9  データ保護影響アセスメント
5  Data subject rights	5  データ対象者の権利
5.1  Information of data subjects, right of access and right to data portability	5.1  データ対象者の情報、アクセス権およびデータ・ポータビリティの権利
5.2  Right to erasure and right to object	5.2  消去権と異議申し立ての権利
5.3  Right to rectification	5.3  修正権
5.4  Right to object to a solely automated decision	5.4  もっぱら自動化された決定に対する異議申し立ての権利
ANNEX A – Recommendations	附属書A - 提言事項
ANNEX B – Glossary	附属書B - 用語集

附属書A - 推奨事項

ANNEX A – RECOMMENDATIONS	附属書A - 提言事項
Recommendation 1. Architecture – Documentation	提言 1. アーキテクチャ - ドキュメンテーション
The EDPB recommends to controller and processors to document:	EDPBは、コントローラーとプロセッサーに対し、文書化することを提言する：
i. Will the data on the blockchain contain personal data?	i. ブロックチェーン上のデータに個人データは含まれるのか？
ii. If so, why is a blockchain a necessary and proportionate means for this processing? (i.e. What is the rationale for this choice? What were the eventual alternatives?)	ii. もしそうなら、なぜブロックチェーンがこの処理に必要かつ適切な手段なのか？(つまり、この選択の根拠は何か？最終的にどのような選択肢があったのか？）
iii. What type of blockchain should be used? (i.e. Is a private blockchain sufficient? Can a permissioned blockchain be used? Is a “zero-knowledge” architecture possible?)	iii. どのようなブロックチェーンを使うべきか？(プライベート・ブロックチェーンで十分か？許可制のブロックチェーンは使えるか？ゼロ知識」アーキテクチャは可能か
iv. What technical and organisational measures are used? (i.e. Will personal data be stored offchain? Which privacy-preserving technologies are used?)	iv. どのような技術的・組織的手段を用いるのか。(例：個人データはオフチェーンで保存されるか？どのようなプライバシー保護技術が使われているか？）
Recommendation 2. Architecture – Off-chain storage	提言 2. アーキテクチャ - オフチェーン・ストレージ
The EDPB recommends controllers to store any additional personal data off-chain, beyond the identifiers already present on-chain in transaction metadata, to mitigate data protection risks.	EDPBは、データ管理者に対し、データ保護リスクを緩和するため、トランザクションメタデータに含まれる識別子を超えて、個人データをオフチェーンに保存することを提言する。
Recommendation 3. Information	提言 3. インフォメーション
Data controllers must inform data subjects in clear terms on the rationale of the processing, the existence of their rights and the modalities to exercise them. Suitable times to provide such information are when a data subject is about to commit data to the blockchain and on creation of the blockchain itself. The information should also be available for data subjects to find at other times, e.g. on the controller's website.	データ管理者は、データ対象者に対し、処理の根拠、権利の存在、権利行使の方法について明確な言葉で通知しなければならない。このような情報を提供する適切なタイミングは、データ対象者がブロックチェーンにデータをコミットしようとするときと、ブロックチェーン自体の作成時である。この情報は、データ管理者のウェブサイトなど、データ対象者が他のタイミングでも入手できるようにすべきである。
Recommendation 4. Minimisation	提言 4. 最小化
Controllers should assure that only data that is relevant and limited to what is necessary in relation to the purposes are processed. The amount of personal data stored on- and off-chain, the period of their storage and their accessibility should be minimised. Assessment in this regard should be documented for the metadata as well as for the payload of the transactions.	データ管理者は、目的に関連し、必要なものに限定されたデータのみが処理されることを保証すべきである。オン・チェーンおよびオフ・チェーンに保存される個人データの量、保存期間、およびアクセシビリティは最小化されるべきである。この点に関するアセスメントは、トランザクションのペイロードだけでなく、メタデータについても文書化されるべきである。
Recommendation 5. Trust	提言 5. 信頼
The choices of implementation should include mechanisms for assuring trust including in software and nodes’ identities. It might be done, for example, through certification by international standards and independent third parties.	実装の選択には、ソフトウェアやノードのIDを含む信頼を保証するメカニズムを含めるべきである。例えば、国際標準や独立したサードパーティによる認証などである。
Recommendation 6. Legal provisions if use of blockchain is mandated by law	提言6. ブロックチェーンの利用が法律で義務付けられる場合の法的規定
Where the use of a blockchain is mandated by Union or Member State law, legislators should include provisions regarding the acceptable level of publicity and discourage any breach of confidentiality.	ブロックチェーンの使用がEUや加盟国の法律で義務付けられている場合、立法者は許容される公表レベルに関する規定を盛り込み、守秘義務違反を阻止すべきである。
Recommendation 7. Software Vulnerabilities	提言 7. ソフトウェアの脆弱性
The EDPB recommends setting out technical and organisational procedures to disclose software vulnerabilities to all participants, including an emergency plan that allows algorithms to be changed when a vulnerability is identified and to notify security incidents and personal data breaches to the relevant SAs, and to communicate the incident to the involved data subjects	EDPBは、ソフトウェアの脆弱性を全参加者に開示するための技術的・組織的手順（脆弱性が特定された場合にアルゴリズムを変更できるようにする緊急プランを含む）を定め、セキュリティインシデントや個人データ漏えいを関連するSAに通知し、インシデントを関係するデータ対象者に伝えることを提言する。
Recommendation 8. Governance	提言 8. ガバナンス
The governance of changes to the software used to create transactions and to create and validate blocks should be documented and technical and organisational procedures should be set out to ensure an alignment between specification and implementation.	トランザクションの作成、およびブロックの作成と妥当性確認に使用されるソフトウエアの変更のガバナン スは文書化されるべきであり、また、仕様と実施との間の整合性を確保するための技術的・組織的手順が定められるべきである。
Recommendation 9. Consent	提言 9. 同意
If any use of the consent legal basis is made, it must be ensured that it is freely given and that the data subject is able to refuse or withdraw consent without detriment. Technical choices for the implementation of the processing should ensure these two points. In particular, this requires that no personal data is stored on the blockchain that cannot be rendered anonymous by the erasure of offchain data and an effective procedure for assuring such erasure in the case of withdrawal of consent is implemented. Consent should not be used for a processing which requires transactions with individuals if the blockchain architecture does not provide a way to delete the personal data regarding the parties in a transaction.	同意の法的根拠を使用する場合は、それが自由に与えられ、データ対象者が不利益を被ることなく同意を拒否または撤回できることを保証しなければならない。処理実施のための技術的選択は、この2点を保証するものでなければならない。特に、オフチェーンデータの消去によって匿名化できない個人データがブロックチェーン上に保存されないこと、および同意撤回時にそのような消去を保証する効果的な手順が実装されていることが必要である。ブロックチェーンアーキテクチャが取引当事者に関する個人データを消去する方法を提供しない場合、同意を個人との取引を必要とする処理に用いるべきではない。
Recommendation 10. Data protection by design and by default	提言10.デザインとデフォルトによるデータ保護
All data protection principles should be included by design and by default in any processing from the outset and throughout the processing life cycle. All processing operations need to be necessary and proportionate in relation to the purposes of processing.	すべてのデータ保護の原則は、当初から処理ライフサイクル全体を通じて、あらゆる 処理に設計上およびデフォルトで含まれるべきである。すべての処理業務は、処理の目的に照らして必要かつ適切でなければならない。
By default, personal data should not be made accessible on a public blockchain without the data subject’s intervention.	デフォルトでは、データ対象者の介入なしにパブリック・ブロックチェーン上で個人データにアクセスできるようにすべきではない。
Recommendation 11. Data retention – duration	提言 11.データ保持 - 期間
The data retention period of metadata, such as users’ identifiers, and payload should be established pursuant to Art. 17 in conjunction with Art. 25(1) GDPR and taken into account when deciding which kind of blockchain and which format to store those data to use.	ユーザの識別子やペイロードなどのメタデータのデータ保持期間は、GDPR第17条と第25条第1項に従って定められ、これらのデータを使用するためのブロックチェーンの種類および保存形式を決定する際に考慮されるべきです。
In cases where a data retention period is not as long as the lifetime of the blockchain, a technical solution should guarantee the appropriate data retention period. At the end of the retention period for personal data stored on the blockchain, this solution should either allow for data deletion or, if applicable, render the data anonymous. If such solution does not exist, then no personal data should be stored on the chain.	データ保持期間がブロックチェーンの寿命ほど長くない場合、技術的ソリューションは適切なデータ保持期間を保証すべきである。ブロックチェーンに保存された個人データの保存期間が終了した時点で、このソリューションはデータの削除を可能にするか、場合によってはデータの匿名化を行うべきである。そのようなソリューションが存在しない場合は、個人データをチェーン上に保存すべきではない。
Recommendation 12. Security – Evaluation	提言 12.セキュリティ - 評価
Carry out an evaluation of the security safeguards necessary to assure the security of the blockchain appropriate to the risks.	リスクに見合ったブロックチェーンのセキュリティを確保するために必要なセキュリティ保護措置の評価を実施する。
Recommendation 13. Security – Limit the impact of algorithm failure	提言13.セキュリティ - アルゴリズムの失敗による影響を抑える
Set out technical and organisational procedures to limit the impact of a potential algorithm failure (as an attack on one of the cryptographic primitives used in the blockchain).	ブロックチェーンで使用される暗号プリミティブの1つに対する攻撃として）潜在的なアルゴリズム障害の影響を抑えるための技術的・組織的手順を定める。
Recommendation 14. Security – Governance of evolution	提言 14.セキュリティ - 進化のガバナンス
The governance of software and protocol evolution should be documented.	ソフトウェアとプロトコルの進化のガバナンスは文書化されるべきである。
Recommendation 15. Security – Confidentiality	提言 15.セキュリティ - 機密保持
Whenever it is not necessary for the purposes of the processing, that a public blockchain is used for, then the measures need to be implemented to limit accessibility of the blockchain and ensure the blockchain’s confidentiality. Those measures should be documented and verified.	パブリック・ブロックチェーンが使用される処理の目的に必要でない場合は、ブロックチェーンへのアクセスを制限し、ブロックチェーンの機密性を確保するための措置を実施する必要がある。それらの措置は文書化され、検証されるべきである。
Recommendation 16. Data subjects’ rights	提言 16.データ対象者の権利
Data subjects’ rights cannot be restricted – neither by choice of technical implementation nor by the data subjects’ consent. They must be fulfilled in accordance with the GDPR. Technical choices for the implementation of the processing should ensure this. In particular, personal data needs to be erased or rendered anonymous in the event of an objection to processing pursuant to Art. 21 GDPR or a request for erasure pursuant to Art. 17 GDPR.	データ主体の権利は、技術的実装の選択やデータ主体の同意によって制限されることはない。これらはGDPRに従って履行されなければならない。処理の実装のための技術的選択は、これを確実にする必要がある。特に、GDPR第21条に基づく処理に対する異議申し立てや、GDPR第17条に基づく削除要求があった場合、個人データは削除されるか匿名化される必要がある。

米国 AI政策戦略研究所（IAPS）AIエージェントのガバナンス： フィールドガイド (2025.04.17)

こんにちは、丸山満彦です。

米国のAI政策戦略研究所（IAPS）が、AIエージェントのガバナンス： フィールドガイドを公表していますね...

AI政策戦略研究所 (the Institute for AI Policy and Strategy: IAPS) は、国家安全保障と国際安定の観点からAI政策を考える団体ですね...

多くの組織に影響を与えるという意味では、AIの開発に関するガバナンスも重要ですが、多くの組織が利用するという意味では、AIの利用に関するガバナンスも重要ですよね...

政策としてはAI開発、提供、利用と一体で考えるべきですが、細かい点では、開発、提供、利用をそれぞれ分けても良いかもですね...対象者が異なってくるケースが多いでしょうし...

AIエージェントのリスクについて次の４つをあげていますね...

1 Malicious use	1 悪意のある利用
2 Accidents and loss of control	2 事故と制御不能
3 Security risks	3 セキュリティリスク
4 Other systemic risks	4 その他のシステミックリスク

● the Institute for AI Policy and Strategy: IAPS

・2025.04.17 AI Agent Governance: A Field Guide

AI Agent Governance: A Field Guide	AIエージェントのガバナンス： フィールドガイド
This report serves as an accessible guide to the emerging field of AI agent governance. Agents—AI systems that can autonomously achieve goals in the world, with little to no explicit human instruction about how to do so—are a major focus of leading tech companies, AI start-ups, and investors. If these development efforts are successful, some industry leaders claim we could soon see a world where millions or billions of agents autonomously perform complex tasks across society. Society is largely unprepared for this development.	本レポートは、AIエージェント・ガバナンスという新たな分野についてわかりやすく解説したものである。エージェントとは、人間の明示的な指示をほとんど受けることなく、自律的に目標を達成するAIシステムのことで、大手ハイテク企業やAIベンチャー企業、投資家たちが大きな関心を寄せている。こうした開発努力が成功すれば、何百万、何十億というエージェントが社会全体で複雑なタスクを自律的にこなす世界がまもなく実現すると主張する業界リーダーもいる。社会はこのような発展に対する備えをほとんどしていない。
A future where capable agents are deployed en masse could see transformative benefits to society but also profound and novel risks. Currently, the exploration of agent governance questions and the development of associated interventions remain in their infancy. Only a few researchers, primarily in civil society organizations, public research institutes, and frontier AI companies, are actively working on these challenges.	有能なエージェントが大量に展開される未来は、社会に変革的な利益をもたらすかもしれないが、同時に重大で斬新なリスクもはらんでいる。現在、エージェント・ガバナンスに関する問題の探求と、それに関連する介入策の開発は、まだ初期段階にある。これらの課題に積極的に取り組んでいるのは、主に市民社会組織、公的研究機構、フロンティアAI企業など、ごく少数の研究者に限られている。
Highlights from the report include:	報告書のハイライトは以下の通りである：
What’s coming: Vivid scenarios show what life with millions of AI agents could look like.	これから起こること： 何百万ものAIエージェントがいる生活がどのようなものになるのか、生き生きとしたシナリオで示す。
The pace of change: Today’s AI agents struggle with tasks over an hour, but that limit has been doubling every few months.	変化のペース： 現在のAIエージェントは1時間以上のタスクに苦戦しているが、その限界は数カ月ごとに倍増している。
The governance gap: We map out the biggest unsolved challenges and introduce a new framework for understanding agent governance solutions.	ガバナンスのギャップ： 最大の未解決課題を明らかにし、エージェント・ガバナンス・ソリューションを理解するための新しい枠組みを紹介する。

・[PDF] AI Agent Governance: A Field Guide

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
Agents—AI systems that can autonomously achieve goals in the world, with little to no explicit human instruction about how to do so—are a major focus of leading tech companies, AI start-ups, and investors. If these development efforts are successful, some industry leaders claim we could soon see a world where millions or billions of agents are autonomously performing complex tasks across society. Society is largely unprepared for this development.[1]	エージェントとは、人間の明示的な指示をほとんど受けずに、自律的に目標を達成するAIシステムのことである。こうした開発努力が成功すれば、何百万、何十億ものエージェントが社会全体で複雑なタスクを自律的にこなす世界がまもなく実現すると主張する業界リーダーもいる。
Today, the leading approach for developing agents leverages recent advances in foundation models like ChatGPT and Claude. Scaffolding software is built around these models which allow them to interact with various tools and services—enabling them to have long-term memory, plan and interact with other agents, and take actions in the world.	今日、エージェントを開発するための主要なアプローチは、ChatGPTやClaudeのような基盤モデルの最近の進歩を活用している。スキャフォールディング・ソフトウェアは、エージェントが様々なツールやサービスと相互作用することを可能にするこれらのモデルを中心に構築され、長期記憶を持ち、計画を立て、他のエージェントと相互作用し、世界で行動を起こすことを可能にする。
While today’s agents can do a variety of things—from identifying critical vulnerabilities in software to ordering books on Amazon—they still face serious limitations in completing more complex, open-ended, longer time-horizon tasks.[2] Agents have major issues with reliability, as well as limitations in reasoning and digital tool use. There are also potential barriers to adoption if the processing power needed to run agents is cost-prohibitive. For example, newer AI systems that can 'think through' complex problems step-by-step (like the recently developed 'reasoning models') require much more processing power when answering questions or performing tasks, which can substantially drive up the energy and server costs needed to operate these systems.	今日のエージェントは、ソフトウェアの重大な脆弱性の特定からAmazonでの本の注文まで、様々なことができる一方で、より複雑で、オープンエンドで、時間軸の長いタスクを完了するには、まだ深刻な限界に直面している。また、エージェントを実行するために必要な処理能力がコスト高になる場合、採用の障壁となる可能性もある。例えば、最近開発された「推論モデル」のように、複雑な問題を段階的に「考え抜く」ことができる新しいAIシステムは、質問に答えたり、タスクを実行したりする際に、より多くの処理能力を必要とする。
Benchmarks designed to evaluate the performance of agents on real-world tasks consistently find that while current agents perform comparably to humans on shorter tasks, they tend to perform considerably worse than humans on tasks that would take an equivalent human one or more hours to complete.	実世界のタスクにおけるエージェントのパフォーマンスを評価するために設計されたベンチマークでは、現在のエージェントは、短時間のタスクでは人間と同等のパフォーマンスを発揮するものの、人間が同等のタスクを完了するのに1時間以上かかるようなタスクでは、人間よりもかなりパフォーマンスが低下する傾向があることが一貫して判明している。
Table 1: Agent performance on various benchmarks representing real-world tasks (as of December 2024)[3]	表1：実世界のタスクを表す様々なベンチマークにおけるエージェントのパフォーマンス（2024年12月現在）[3]
Agent benchmark	エージェントベンチマーク
Performance	パフォーマンス
General AI Assistants (GAIA)	一般的なAIアシスタント（GAIA）
Tests real-world assistant capabilities across personal tasks, science, and general knowledge. Human accuracy (92%) far exceeds best agent performance (15%), with agents completely failing on complex multi-step tasks.	個人タスク、科学、一般知識にわたる実世界のアシスタント能力をテスト。人間の精度（92％）はエージェントの最高性能（15％）をはるかに上回り、複雑な複数ステップのタスクではエージェントは完全に失敗する。
METR Autonomy	METR Autonomy
Evaluates skills in cybersecurity, software engineering, and machine learning.	サイバーセキュリティ、ソフトウェアエンジニアリング、機械学習のスキルを評価する。
Capability Evals	Capability Evals
Agents perform comparably to humans on tasks taking ~30 minutes, but complete less than 20% of tasks requiring 1+ hours of human time.	エージェントは、30分程度のタスクでは人間と同等のパフォーマンスを発揮するが、人間の時間を1時間以上必要とするタスクの完了率は20%未満である。
RE-Bench	RE-Bench
A benchmark for evaluating the AI agents' ability to automate the work of experienced AI R&D researchers. Agents outperform humans in 2-hour tasks (4× better scores), but humans excel with longer timeframes—slightly better at 8 hours and doubling agent performance when given 32 hours.	経験豊富なAI研究開発者の作業を自動化するAIエージェントの能力を評価するためのベンチマーク。エージェントは2時間のタスクでは人間を上回るが（スコアは4倍）、人間はより長い時間枠で優れており、8時間ではわずかに上回り、32時間ではエージェントのパフォーマンスは2倍になる。
CyBench	CyBench
Assesses cybersecurity capabilities through professional-level Capture the Flag challenges. Agents struggled with tasks that take human teams more than 11 minutes to complete.	プロレベルのCapture the Flag課題を通じてサイバーセキュリティ能力をアセスメントする。エージェントは、人間のチームが11分以上かかるタスクに苦戦した。
SWE-bench Verified	SWE-bench Verified
Features real-world software engineering problems from GitHub issues. Agent performance drops dramatically for problems taking humans 1+ hour to resolve (20.8% → 4.8% → 0% as task complexity increases).	GitHubの課題から実世界のソフトウェアエンジニアリングの問題を取り上げる。人間が解決するのに1時間以上かかる問題では、エージェントのパフォーマンスは劇的に低下する（タスクの複雑さが増すにつれ、20.8% → 4.8% → 0%）。
WebArena	WebArena
Evaluates how agents navigate and extract information from websites. The best agent achieved only 14.41% success rate compared to human performance of 78.24%.	エージェントがどのようにウェブサイトをナビゲートし、情報を抽出するかを評価。人間の78.24％の成功率に対し、最高のエージェントは14.41％の成功率しか達成できなかった。
However, despite these limitations, today's agents are already providing economic value in a variety of early-adoption fields such as customer service, AI R&D, and cybersecurity. For instance, a fintech company, Klarna, claims it has agents performing the customer service work of ~700 FTE human employees with no reduction in customer satisfaction (Klarna 2024), and Google's CEO has stated over a quarter of all new code at Google is now generated by coding assistants (Pichai 2024). Researchers found that for specific tasks that both humans and agents perform well at, “the average cost of using a foundation model-based agent is around 1/30th of the median hourly wage of a US bachelor’s degree holder” (METR 2024). Also, researchers have found that the length of tasks that AIs can complete is doubling every 7 months (Kwa et al. 2025).	しかし、このような限界にもかかわらず、今日のエージェントは、カスタマーサービス、AIの研究開発、サイバーセキュリティなど、さまざまな初期採用分野ですでに経済的価値を提供している。例えば、フィンテック企業のKlarnaは、顧客満足度を下げることなく、人間の従業員700人分のカスタマーサービスをエージェントが行っていると主張している（Klarna 2024）。研究者たちは、人間とエージェントの両方が得意とする特定のタスクについて、「基礎モデルベースのエージェントを使用する平均コストは、米国の学士号取得者の時給中央値の約30分の1」であることを発見した（METR 2024）。また、研究者たちは、AIがこなせるタスクの長さが7ヶ月ごとに倍増していることを発見している（Kwa et al.2025）。
Some researchers have claimed that widespread deployment of agents as digital workers could lead to ‘explosive economic growth,’ i.e., an acceleration of growth rates by an order of magnitude, similar to the impact of the Industrial Revolution (Erdil and Besiroglu 2024). However, skeptics argue that significant bottlenecks remain, including AI systems' limited ability to perform physical tasks, the challenges of integrating digital and physical production processes, and the possibility that AI capabilities might plateau before reaching the level needed to perform most if not all tasks currently performed by humans (Clancy and Besiroglu 2023).	一部の研究者は、デジタルワーカーとしてのエージェントの広範な展開は、「爆発的な経済成長」、すなわち産業革命の影響に似た、成長率の桁違いの加速につながる可能性があると主張している（Erdil and Besiroglu 2024）。しかし、懐疑論者たちは、AIシステムが物理的なタスクを実行する能力が限られていること、デジタルと物理的な生産プロセスを統合する際の課題、現在人間が行っているタスクのすべてではないにせよ、そのほとんどを実行するのに必要なレベルに達する前にAIの能力が頭打ちになる可能性など、重大なボトルネックが残っていると主張している（Clancy and Besiroglu 2023）。
Additionally, there are several promising pathways to improve agent performance and strengthen institutional capacity to deploy AI systems safely—which means that leading AI companies expect many of these limitations to be overcome over the coming months and years.[4] One promising development is the emergence of the “test-time compute” paradigm. These models, such as Open AI’s o1 and o3, are able to dynamically allocate compute during inference to essentially think longer and harder about any given task . An o3-based agent reportedly scored 71.7% on SWE-bench Verified, a widely used benchmark for testing software engineering capabilities (Franzen and David 2024). This far outperformed the next highest-ranking agent, which scored 48.9%.[5]	さらに、エージェントのパフォーマンスを改善し、AIシステムを安全に展開するための機構能力を強化するための有望な道筋がいくつかある。オープンAIのo1やo3のようなこれらのモデルは、推論中に動的に計算能力を割り当てることができ、基本的に与えられたタスクについてより長く、より難しく考えることができる。o3ベースのエージェントは、ソフトウェアエンジニアリング能力をテストするために広く使われているベンチマークであるSWE-bench Verifiedで71.7%のスコアを出したと報告されている（Franzen and David 2024）。これは、48.9%という次に高いスコアを出したエージェントをはるかに凌駕している[5]。
A future where capable agents are deployed en masse could see transformative benefits to society, but also profound and novel risks:	能力のあるエージェントが大量に展開される未来は、社会に変革的な利益をもたらす可能性がある一方で、重大で斬新なリスクもはらんでいる：
● Malicious use: AI agents can amplify malicious activities, such as spreading disinformation, automating cyberattacks, or advancing dual-use scientific research like bioweapon development. Their ability to execute multi-step plans autonomously heightens the potential for abuse by lowering barriers to entry and costs involved in these activities.	● 悪意のある利用：AIエージェントは、偽情報の拡散、サイバー攻撃の自動化、生物兵器開発のような二重使用の科学研究の推進など、悪意のある活動を増幅させる可能性がある。多段階の計画を自律的に実行できるAIエージェントは、こうした活動への参入障壁やコストを引き下げることで、悪用の可能性を高める。
● Accidents and loss of control: Failures in agent systems range from mundane errors (e.g., incorrect outputs or navigation mishaps) to severe “loss of control” scenarios, where humans lose visibility into the operation of agents, the ability to identify and redirect harmful behaviors, and the ability to re-implement control of AI-driven systems in society. This includes risks like rogue replication or agents pursuing goals that are not aligned with human values.	● 事故と制御不能： エージェント・システムにおける失敗は、ありふれたエラー（誤った出力やナビゲーションの誤作動など）から、深刻な「制御不能」シナリオにまで及ぶ。これには、不正な複製や、人間の価値観と一致しない目標を追求するエージェントなどのリスクが含まれる。
● Security risks: Agents, with their expanded access to tools and external systems, face vulnerabilities such as memory manipulation, exploitation through weak integrations, and cascading effects in multi-agent environments. These risks make them more susceptible to severe breaches compared to conventional AI.	● セキュリティリスク： ツールや外部システムへのアクセスが拡大したエージェントは、メモリ操作、脆弱な統合による搾取、マルチエージェント環境におけるカスケード効果などの脆弱性に直面する。これらのリスクは、従来のAIに比べて深刻な侵害を受けやすくする。
● Other systemic risks: Large-scale agent deployment could lead to labor displacement and extreme power concentration among technological and political elites, and potential erosion of democratic accountability. Agents could exacerbate inequality or be leveraged for societal control.	● その他のシステムリスク： その他のシステミック・リスク：大規模なエージェント展開は、技術的・政治的エリート層における労働力の移動と極端な権力集中を引き起こし、民主的説明責任を侵食する可能性がある。エージェントは不平等を悪化させたり、社会支配のために活用される可能性がある。
Agent governance is a nascent field focused on preparing for a world in which AI agents can carry out a wide array of tasks with human-level-or-above proficiency. Some of the major areas in agent governance include:	エージェント・ガバナンスは、AIエージェントが人間並みかそれ以上の熟練度で様々なタスクを遂行できる世界に備えることに焦点を当てた、まだ始まったばかりの分野である。エージェントガバナンスの主な分野には、以下のようなものがある：
● Monitoring and evaluating agent performance and risks: How can we effectively monitor and evaluate the performance and associated risks of increasingly autonomous and complex agents over time?	● エージェントのパフォーマンスとリスクのモニタリングと評価： エージェントのパフォーマンスとリスクの監視と評価：自律的で複雑さを増すエージェントのパフォーマンスと関連リスクを、どのように効果的に監視・評価できるか？
● Develop mechanisms and structures for managing risks from agents across their lifecycle: What technical, legal, and policy-based interventions should be implemented to ensure agents operate safely and transparently, while maintaining accountability? What are the systemic risks and consequences of widespread agent adoption on political and economic structures? The ‘Agent interventions taxonomy’ table below outlines governance outcomes interventions can help achieve.	● エージェントのライフサイクル全般にわたるリスクマネジメントの仕組みと構造を構築する： エージェントの安全性と透明性を確保し、説明責任を果たすために、どのような技術的、法的、政策的介入を行うべきか？エージェントの普及が政治・経済構造に及ぼすシステミックなリスクと影響とは何か？以下の「エージェント介入分類表」は、介入が達成するのに役立つガバナンスの成果を概説している。
● Incentivizing beneficial uses of agents: What beneficial use cases of agents should be prioritized and how?	● エージェントの有益な利用を奨励する： エージェントのどのような有益な利用事例を、どのように優先させるべきか？
● Adapting existing policy and legal frameworks and developing new instruments for agent governance: Anticipating what policy and legal instruments will be needed in a world with mass deployment of advanced agent systems.	● 既存の政策や法的枠組みを適応させ、エージェントガバナンスのための新たな手段を開発する： 高度なエージェントシステムが大量に展開する世界で、どのような政策や法的手段が必要になるかを予測する。
● Agents for governance: To what extent should agents themselves participate in governance tasks? Advanced agents could potentially act as monitors, mediators, or enforcers within governance frameworks.	● ガバナンスのためのエージェント： エージェント自身はどの程度までガバナンスに参加すべきか？先進的エージェントは、ガバナンスの枠組みの中で、監視者、調停者、執行者として機能する可能性がある。
One of the pressing needs in agent governance is to develop agent interventions, i.e., measures, practices, or mechanisms designed to prevent, mitigate, or manage the risks associated with agents. These aim to ensure that agents operate safely, ethically, and in alignment with human values and intentions. We have developed an outcomes-based taxonomy of agent interventions[6]:	エージェントガバナンスにおける緊急のニーズの一つは、エージェント介入、すなわちエージェントに関連するリスクを予防、緩和、管理するために設計された対策、実践、メカニズムを開発することである。これらの目的は、エージェントが安全に、倫理的に、人間の価値観や意図に沿った形で活動することを保証することである。我々は、エージェントの介入に関する成果ベースの分類法を開発した[6]：
Currently, exploration of agent governance questions and development of associated interventions remains in its infancy. Only a small number of researchers, primarily in civil society organizations, public research institutes, and frontier AI companies, are actively working on these challenges. Many proposed interventions exist primarily as theoretical concepts rather than tested solutions, and there are significant gaps in our understanding of how to implement them effectively. While some organizations have begun providing targeted funding for agent governance research, and the topic is gaining increased attention at academic conferences, the field remains relatively neglected compared to other areas of AI governance.	現在、エージェントのガバナンスに関する疑問の探求と、関連する介入の開発は、まだ初期段階にとどまっている。主に市民社会組織、公的研究機構、フロンティアAI企業など、少数の研究者だけがこれらの課題に積極的に取り組んでいる。提案されている介入策の多くは、検証された解決策ではなく、主に理論的な概念として存在しており、それらを効果的に実施する方法についての理解には大きなギャップがある。エージェント・ガバナンスの研究に的を絞った資金を提供する政府も出てきており、学会での注目度も高まっているが、AIガバナンスの他の分野と比べると、この分野は相対的に軽視されたままである。
The pace of progress in developing agent capabilities is rapidly outstripping our advancement in governance solutions—we lack robust answers to fundamental questions about how to ensure safe agents or manage their broader societal impacts. There is tremendous opportunity and need for researchers and technologists from civil, industry, and government to help progress the field, from fleshing out and testing theoretical proposals to creating solutions that can be implemented by AI developers and policymakers.	エージェントの能力開発の進歩のペースは、ガバナンス・ソリューションの進歩を急速に上回っており、エージェントの安全性をどのように確保し、より広範な社会的影響をどのように管理するかという基本的な疑問に対する確かな答えが得られていない。理論的な提案を具体化し、テストすることから、AI開発者や政策立案者が実行できる解決策を生み出すことまで、民間、産業、政府の研究者や技術者がこの分野の進展を支援する絶好の機会とニーズがある。
[1] Meta’s CEO, Mark Zuckerberg, told investors he wants to “introduce AI agents to billions of people” (Heath 2023) and Salesforce CEO Marc Benioff predicted there would be one billion AI agents in service by the end of FY2026 (Sozzi 2024).	[1] メタ社のCEOであるマーク・ザッカーバーグは、「AIエージェントを数十億の人々に紹介したい」と投資家たちに語っており（ヒース 2023年）、セールスフォース社のCEOであるマーク・ベニオフも、2026年度末までに10億のAIエージェントがサービスを開始すると予測している（ソッツィ 2024年）。
[2] For an example of an agent identifying critical vulnerabilities in real-world code, see Google’s Project Zero blog on Big Sleep (Project Zero 2024). For a visual demo of a browser agent being used to make an online shopping purchase, see this demo (AI Digest 2024).	[2] 実世界のコードに存在する重大な脆弱性を識別するエージェントの例については、Big Sleepに関するGoogleのProject Zeroブログを参照のこと（Project Zero 2024）。ブラウザ・エージェントがオンライン・ショッピングの購入に使われる視覚的なデモについては、このデモを参照のこと（AI Digest 2024）。
[3] See Appendix for more detailed breakdown of agent performance across various agentic benchmarks	[3] 様々なエージェントのベンチマークにおけるエージェントのパフォーマンスのより詳細な内訳については附属書を参照
[4] For example, the CEO of OpenAI, Sam Altman stated that “In 2025, we may see the first AI agents join the workforce and materially change the output of companies” (Altman 2025).	[4] 例えば、OpenAIのCEOであるサム・アルトマンは、「2025年には、最初のAIエージェントが労働力に加わり、企業のアウトプットを大きく変えるかもしれない」と述べている（Altman 2025）。
[5] SWE-bench Verified is an evaluation suite composed of realistic software engineering tasks (OpenAI 2024a).	[5] SWE-bench Verifiedは、現実的なソフトウェア工学タスクで構成された評価スイートである（OpenAI 2024a）。
[6] A majority of these interventions have been proposed by civil society or industry researchers, but many have not been developed or implemented at scale.	[6] こうした介入策の大半は、市民社会や産業界の研究者によって提案されてきたが、その多くは開発されておらず、大規模に実施されてもいない。

目次...

Executive Summary	エグゼクティブサマリー
Table of Contents	目次
1. Introduction	1. 序文
1.1 Two visions of an agent-filled future	1.1 エージェントに満ちた未来についての2つのビジョン
2. What are AI agents?	2. AIエージェントとは何か？
2.1 How capable are agents today?	2.1 現在のエージェントの能力は？
2.2 Pathways to better agents	2.2 より優れたエージェントへの道
2.3 AI agent adoption	2.3 AIエージェントの採用
3. Risks from AI agents	3. AIエージェントがもたらすリスク
3.1 Malicious use	3.1 悪意のある利用
3.2 Accidents and loss of control	3.2 事故と制御不能
3.3 Security risks	3.3 セキュリティリスク
3.4 Other systemic risks	3.4 その他のシステミックリスク
4. What is agent governance?	4. エージェントガバナンスとは何か？
5. Agent interventions	5. エージェントの介入
5.1 Alignment	5.1 アライメント
5.2 Control	5.2 コントロール
5.3 Visibility	5.3 可視性
5.4 Security and robustness	5.4 セキュリティと堅牢性
5.5 Societal integration	5.5 社会的統合
6. Conclusion	6. 結論
Acknowledgements	謝辞
Appendix	附属書
Bibliography	参考文献

米国 NIST IR 8552 暗号アコーディオンの要件

こんにちは、丸山満彦です。

NISTから暗号アコーディオンの要件が公表されています...

Cryptographic Accordionは、可変長の入力を処理できる暗号化方式で、ブロック暗号の動作モードとして機能し、これにより、異なるサイズのメッセージを効率的に処理することが可能となり、SP800-38シリーズのブロック暗号の利用モードよりもセキュリティ強度も増しているということですかね...

この報告書では、３つの方式が紹介されていますね...

● NIST - ITL

・2025.04.11 NIST IR 8552 Requirements for Cryptographic Accordions

NIST IR 8552 Requirements for Cryptographic Accordions	NIST IR 8552 暗号アコーディオンの要件
Abstract	概要
This report introduces the cryptographic accordion as a tweakable, variable-input-length strong pseudorandom permutation (VIL-SPRP) that is constructed from an underlying block cipher. An accordion facilitates the cryptographic processing of messages of various sizes while offering enhanced security compared to the approved block cipher modes of operation that are specified in the NIST SP 800-38 series. This report introduces associated terminology, outlines design requirements for accordions, and describes three categories of applications for them.	本報告書では、暗号アコーディオンについて紹介する。アコーディオンとは、ブロック暗号から構成される、可変入力長の強力な擬似ランダム並べ替え（VIL-SPRP）である。アコーディオンは、NIST SP 800-38 シリーズで規定されている認可されたブロック暗号の利用モードに比べ、セキュリティを強化しつつ、さまざまなサイズのメッセージの暗号処理を容易にする。本報告書では、関連する用語を紹介し、アコーディオンの設計要件を概説し、アコーディオンの 3 つのアプリケーション・カテゴリーについて説明する。

・[PDF] NIST.IR.8552

1. Introduction	1. 序文
1.1. Historical Background	1.1. 歴史的背景
1.2. Layers of Components	1.2. コンポーネントの層
2. The Accordion	2. アコーディオン
2.1. Notation	2.1. 表記
2.2. Security Targets	2.2. セキュリティターゲット
2.2.1. Formal Goal	2.2.1. 公式の目標
2.2.2. Beyond-Birthday-Bound Security	2.2.2. ビヨンド・バースデイ・バウンド・セキュリティ
2.2.3. Multi-User Security	2.2.3. マルチユーザー・セキュリティ
2.2.4. Key-Dependent-Input Security	2.2.4. キー依存入力セキュリティ
2.2.5. Post-Quantum Security	2.2.5. 耐量子セキュリティ
2.3. Performance Targets	2.3. 性能目標
3. Requirements for Accordion Parameters	3. アコーディオンパラメータの要件
3.1. Block Size	3.1. ブロックサイズ
3.2. Key Size	3.2. 鍵サイズ
3.3. Tweak Size	3.3. 調整サイズ
3.4. Message Lengths	3.4. メッセージ長
4. Derived Functions and Applications	4. 派生機能およびアプリケーション
4.1. Authenticated Encryption with Associated Data (AEAD)	4.1. 関連データ付き認証暗号（AEAD）
4.2. Tweakable Encryption	4.2. 調整可能な暗号
4.3. Deterministic Authenticated Encryption	4.3. 決定論的認証暗号化
4.4. Security Properties of the Derived Functions	4.4. 派生機能のセキュリティ特性
4.4.1. Authentication	4.4.1. 認証
4.4.2. Key and Context Commitment	4.4.2. 鍵およびコンテキストのコミットメント
4.4.3. Nonce Hiding	4.4.3. ノンスの隠蔽
4.4.4. Release of Unverified Plaintext	4.4.4. 未検証の平文の公開
5. Next Steps	5. 次のステップ

日本銀行金融研究所 第25回情報セキュリティ・シンポジウム - 金融分野におけるセキュリティの潮流：CITECS設立20周年記念

こんにちは、丸山満彦です。

日本銀行が日本銀行金融研究所・情報技術研究センター（CITECS：Center for Information Technology Studies）の設立20周年を記念して、3月6日にオンラインで開催したシンポジウムの内容を公表していますね...

テーマは、

• 耐量子計算機暗号
• AI
• デジタル決済

ということで、今後のセキュリティ対策について議論したとのことです...

● 日本銀行 - 日本銀行金融研究所

・2025.03.06 第25回情報セキュリティ・シンポジウム - 金融分野におけるセキュリティの潮流：CITECS設立20周年記念

基調講演情報技術研究センター（CITECS）20年のあゆみ	講演資料	金融研究所情報技術研究センター長 鈴木淳人
講演金融高度化センターの活動	講演資料	金融機構局金融高度化センター長 須藤直
講演量子耐性を有するシステムの実現に向けた金融分野での取組み	講演資料	金融研究所参事役 宇根正志
講演×対談 AIがもたらすリスクに対するセキュリティ
講演：	講演資料	金融研究所情報技術研究センター・企画役 菅和聖
対談：	講演資料	情報セキュリティ大学院大学 大塚玲 教授 ×  菅和聖
講演×対談 さまざまな決済スキームとそのセキュリティ
講演：	講演資料	金融研究所情報技術研究センター・企画役 田村裕子
対談：	講演資料	筑波大学システム情報系 面和成 教授 × 田村裕子
講演金融分野における今後のセキュリティ対策～シンポジウム総括を兼ねて～	講演資料	京都大学公共政策大学院 岩下直行 教授

日本銀行 金融高度化センター設立20周年記念ワークショップ「デジタル化とわが国の金融の未来」 (2025.02.13)

こんにちは、丸山満彦です。

日本銀行金融機構局金融高度化センターが2025年7月に設立20周年を迎えることを記念し、2025年1月31日に設立20周年記念のワークショップを日本銀行本店において、オンライン・ライブ配信も併用して、開催したのですが、その資料等が公開されています...

金融業界のビジネス、DX、セキュリティ（耐量子暗号の話もあります...）等について、いろいろと参考になる内容だと思います...

● 日本銀行 - 金融システム

・2025.02.13 金融高度化センター設立20周年記念ワークショップ「デジタル化とわが国の金融の未来」を開催

「デジタル化とわが国の金融の未来」プログラム
開会挨拶			日本銀行 金融機構局 参事役 金融高度化センター長 須藤直
【第１部】わが国の金融サービス・経済にとってのデジタル化の意義
基調講演：デジタル化はわが国の金融経済にどのような変化をもたらすのか	資料1	動画	日本銀行 理事 高口博英
【第２部】デジタル技術を活用した金融サービスの高度化・効率化について
（１）プレゼンテーション
① MUFGにおけるデジタル技術を活用した金融サービスの高度化・効率化	資料2		株式会社三菱UFJフィナンシャル・グループ 執行役常務 山本忠司
② SMBCグループがデジタルで作り出す新規事業	資料3	動画	株式会社三井住友フィナンシャルグループ 執行役員 白石直樹
③ FFGにおける企業変革のためのDX戦略	資料4		株式会社ふくおかフィナンシャルグループ 執行役員 藤井雅博
④ 信用金庫業界におけるデータ利活用を通じた業務高度化について	資料5	動画	信金中央金庫 常務理事 神野善則
⑤ 野村グループにおけるDXの取り組み	資料6	動画	野村ホールディングス株式会社 執行役員 池田肇
⑥ 生成AIからAIエージェントの時代へ	資料7		日本マイクロソフト株式会社 業務執行役員 金子暁
（２）パネルディスカッション
	パネリスト		山本忠司、白石直樹、藤井雅博、神野善則、池田肇、金子暁
	モデレータ		須藤直
【第３部】デジタル技術を活用した金融サービスの安定的な提供について
（１）プレゼンテーション
① 金融システムにおける暗号技術利用の変容とセキュリティ上の対応	資料8	動画	ジョージタウン大学 リサーチ・プロフェッサー松尾真一郎
② 耐量子計算機暗号（PQC）と金融機関の対応について	資料9	動画	株式会社みずほフィナンシャルグループ グループ執行役員 寺井理
③ 生成AI導入に向けた課題とリスク	資料10		株式会社NTTデータ 執行役員 細谷好志
④ 金融イノベーションと安定性の両立	資料11		アマゾンウェブサービスジャパン合同会社 常務執行役員 鶴田 規久
⑤ Fintech観点で考える安定化へのヒント	資料12	動画	株式会社マネーフォワード 執行役員 瀧俊雄
⑥ 金融分野におけるセキュリティの潮流	資料13		日本銀行 金融研究所 参事役 情報技術研究センター長 鈴木淳人
（２）パネルディスカッション
	パネリスト		松尾 真一郎、寺井理、細谷好志、鶴田規久、瀧俊雄、鈴木淳人
	モデレータ		日本銀行 金融機構局 参事役 兼 上席考査役 徳高康弘
【第４部】まとめ
コメント			東京大学 教授 柳川範之
閉会挨拶			日本銀行 須藤直

米国 NIST IR 8214C（第2次公開ドラフト） NISTがマルチパーティ閾値スキームを最初に募集 (2025.03.27)

こんにちは、丸山満彦です。

NISTが IR 8214C（第2次公開ドラフト）マルチパーティ閾値スキームを募集していますね...

● NIST - ITL

・2025.03.27 NIST IR 8214C (2nd Public Draft) NIST First Call for Multi-Party Threshold Schemes

NIST IR 8214C (2nd Public Draft) NIST First Call for Multi-Party Threshold Schemes	NIST IR 8214C（第2次公開ドラフト） NISTがマルチパーティ閾値スキームを最初に募集
Announcement	発表
This is a second public draft. Threshold schemes should NOT be submitted until the final version of this report is published. However, the present draft can be used as a baseline to prepare for future submissions.	これは第 2 次公開ドラフトである。この報告書の最終版が公表されるまでは、閾値スキームを提出すべきではない。しかし、本ドラフトは将来の提出に備えるためのベースラインとして使用することができる。
The scope of the call is organized into categories related to signing (Sign), public-key encryption (PKE), symmetric-key cryptography and hashing (Symm), key generation (KeyGen), fully homomorphic encryption (FHE), zero-knowledge proofs of knowledge (ZKP), and auxiliary gadgets. The categories are organized into two classes:	募集範囲は、署名（Sign）、公開鍵暗号（PKE）、共通鍵暗号とハッシュ（Symm）、鍵生成（KeyGen）、 完全準同型暗号（FHE）、ゼロ知識証明（ZKP）、補助ガジェットに関するカテゴリーに整理されている。カテゴリーは2つに分類される：
1. Class N (old Cat1): NIST-specified primitives (i.e., in Sign, PKE, Symmetric, KeyGen)	1. クラスN（旧 Cat1）： NIST 規定のプリミティブ（すなわち、Sign、PKE、Symmetric、KeyGen）
2. Class S (old Cat2): Special others (i.e., in Sign, PKE, Symmetric, KeyGen, FHE, ZKPoK, Gadgets)	2. クラスS（旧Cat2）： その他（Sign、PKE、Symmetric、KeyGen、FHE、ZKPoK、Gadgets）
The scope of some categories (old subcategories) has been updated:	一部のカテゴリー（旧サブカテゴリー）の範囲が更新された：
・The Class N categories (see Sections 2.1 and 9, and Appendix A) now also include primitives that have been selected by the NIST Post-Quantum Cryptography and Lightweight Cryptography standardization processes.	・クラス N のカテゴリー（2.1 節、9 節、附属書 A 参照）には、NIST の耐量子暗号と軽量暗号の標準化プロ セスで選定されたプリミティブも含まれるようになった。
・The old subcategory of primitives for ECC pair-wise key exchange is now considered within the KeyGen category N1.	・ECC ペアワイズ鍵交換プリミティブの旧サブカテゴリーは、現在、KeyGen カテゴリー N1 内で検討されている。
・In Class S (see Section 10.5 and Appendix B.1), the old “advanced” subcategory has been adapted to a category (S5) focused only on FHE.	・カテゴリーS（セクション10.5および附属書B.1参照）において、従来の「高度な」サブカテゴリーは、 FHEのみに焦点を当てたカテゴリー（S5）に適応された。
The submission logistics and explanation of requirements have also been updated. For example:	また、提出ロジスティクスと要求事項の説明も更新された。例えば
・Section 4.1 specifies an initial “Previews” phase, which encourages the submission of a “planning summary” of the future package submission.	・セクション4.1では、最初の「プレビュー」フェーズを規定し、将来提出するパッケージの「計画概要」の 提出を奨励している。
・Section 4.4 discusses implied agreements, licensing and patents disclosure.	・セクション4.4では、暗黙の合意、ライセンス、特許の開示について述べている。
・Section 5 refines the specification requirements, now allowing multiple crypto-systems.	・セクション5では仕様要件を絞り込み、複数の暗号システムを許容する。
・Section 6 clarifies the open-source implementation requirements, now allowing external dependencies.	・セクション6では、オープンソース実装要件を明確化し、外部依存を許容する。
All requirements (“shall” statements) are now included in the main matter (including in the new Sections 8, 9 and 10), whereas the appendices contain informative material.	すべての要件（「shall 」ステートメント）が本文（新しいセクション8、9、10を 含む）に含まれるようになり、附属書には参考資料が含まれるようになった。
Appendix D provides a detailed list of changes made since the initial public draft.	附属書Dには、最初の公開草案からの変更点の詳細なリストが記載されている。
For announcements and discussions related to the NIST Multi-Party Threshold Cryptography project, please join the MPTC-forum.	NIST Multi-Party Threshold Cryptographyプロジェクトに関する発表や議論については、MPTC-forumに参加されたい。
Abstract	概要
This document calls for public submissions of multi-party threshold schemes, and other related crypto-systems, to support the United States National Institute of Standards and Technology (NIST) in gathering a public body of reference material on advanced cryptography. In a threshold scheme, an underlying cryptographic primitive (e.g., signature, encryption, decryption, key generation) is computed in a distributed manner, while a private/secret key is or becomes secret shared across various parties. Threshold schemes submitted in reply to this “NIST Threshold Call” should produce outputs that are “interchangeable” with a reference conventional (non-threshold) primitive of interest, from various categories organized into two classes: Class N, for selected NIST-specified primitives; and Class S, for special primitives that are not specified by NIST but are threshold-friendlier or have useful functional features. The scope of Class S also includes fully-homomorphic encryption, zero-knowledge proofs, and auxiliary gadgets. This document specifies the requirements for submission (including specification, implementation, and evaluation), along with phases and deadlines. The ensuing public analysis will support the elaboration of a characterization report, which may help assess new interests beyond the cryptographic techniques currently standardized by NIST, and may include recommendations for subsequent processes.	本文書は、米国国立標準技術研究所(NIST)が先進的な暗号技術に関する公開資料を収集するのを支援するため、複数パーティの閾値方式およびその他の関連暗号システムの公募を行うものである。閾値スキームでは、基礎となる暗号プリミティブ（署名、暗号化、復号化、鍵生成など）が 分散方式で計算される一方で、秘密鍵/秘密鍵がさまざまな当事者間で共有される。この「NIST 閾値コール」への返信として提出される閾値スキームは、2 つのカテゴリーに整理された様々なカテゴ リーから、関心のある参照用従来型（非閾値）プリミティブと「交換可能」な出力を生成しなければならない： クラス N は、NIST が規定するプリミティブを対象とし、クラス S は、NIST が規定しないが、閾値と親和性がある、または有用な機能を持つ特殊なプリミティブを対象とする。Class S の範囲には、準同型暗号、ゼロ知識証明、補助ガジェットも含まれる。この文書では、提出要件（仕様、実装、評価を含む）、フェーズ、期限を規定する。続く公開分析は、特性評価報告書の精緻化をサポートし、NISTが現在標準化している暗号技術を超える新たな関心の評価に役立ち、その後のプロセスに対する推奨を含む可能性がある。

・[PDF] IR.8214C.2pd

Abstract	概要
Table of Contents	目次
List of Tables	表一覧
Preface	前文
Acknowledgments	謝辞
Note to the Reviewers	査読者への注記
1. Introduction	1. 序文
1.1. A Variety of Cryptographic Schemes and Primitives	1.1. 様々な暗号方式とプリミティブ
1.2. The NIST Threshold Call	1.2. NIST Threshold Call
2. Scope of the Call: Two Classes	2. 呼びかけの範囲： 2つのクラス
2.1. Class N: NIST-Specified Primitives	2.1. クラス N： NIST 指定のプリミティブ
2.2. Class S: Special Primitives Not Specified by NIST	2.2. クラス S：
3. Vision	3. ビジョン
3.1. Reliance on Contributions and Collaboration	3.1. 貢献とコラボレーションへの依存
3.2. Post-Quantum and Quantum-Vulnerable Cryptography	3.2. 耐量子および量子脆弱性暗号
3.3. Interchangeability	3.3. 互換性
3.4. Provable Security	3.4. 証明可能なセキュリティ
3.5. A Variety of Options	3.5. 多様な選択肢
4. Phases and Deadlines	4. フェーズと期限
4.1. Ph1: Previews	4.1. フェーズ1： プレビュー
4.2. Ph2: Packages	4.2. フェーズ2： パッケージ
4.3. Ph3: Public Analysis of Crypto-Systems	4.3. Ph3: 暗号システムの公開分析
4.4. Expectations about Submitted Material	4.4. 提出された資料への期待
5. Package Component: Written Specification	5. パッケージコンポーネント 仕様書
5.1. Covers and Verso	5.1. 表紙と裏表紙
5.2. Front Matter	5.2. フロントマター
5.3. Main Matter — Preliminaries	5.3. 本文 - 前提書類
5.4. Main Matter — Crypto-Systems	5.4. 本文 - 暗号システム
5.5. Back Matter	5.5. 裏表紙
6. Package Component: Reference Implementation	6. パッケージコンポーネント： 参考実装
6.1. Imp1. Crypto-system(s) Implementation	6.1. Imp1. 暗号システムの実装
6.2. Imp2. Code Availability	6.2. Imp2. コード可用性
6.3. Imp3. Code Licensing and Posting	6.3. Imp3. コードのライセンスと掲載
6.4. Imp4. Compatibility With a Baseline Platform	6.4. Imp4. ベースライン・プラットフォームとの互換性
6.5. Imp5. External dependencies	6.5. Imp5. 外部依存関係
6.6. Imp6. Clear Code	6.6. imp6. 明確なコード
6.7. Imp7. Useful Scripts (X)	6.7. Imp7. 有用なスクリプト (X)
6.8. Imp8. Useful Instructions (Inst)	6.8. Imp8. 便利な命令 (Inst)
7. Package Component: Experimental Evaluation	7. パッケージコンポーネント： 実験的評価
7.1. Experimental Setting	7.1. 実験設定
7.2. Measurements	7.2. 測定
7.3. Analysis	7.3. 分析
8. Security Requirements	8. セキュリティ要件
8.1. Security Strength Levels	8.1. セキュリティ強度レベル
8.1.1. Computational Security	8.1.1. 計算セキュリティ
8.1.2. Statistical Security	8.1.2. 統計的セキュリティ
8.2. Security of Threshold Schemes	8.2. 閾値スキームのセキュリティ
8.2.1. Threshold Profile	8.2.1. 閾値プロファイル
8.2.2. Type of Adversary	8.2.2. 逆境者のタイプ
8.2.3. Security Against an Adversary	8.2.3. 逆境に対する安全性
9. Requirements for Class N Schemes	9. クラスNスキームの要件
9.1. Category N1: Signing	9.1. カテゴリーN1：署名
9.2. Category N2: PKE (Encryption/Decryption)	9.2. カテゴリーN2：PKE（暗号化／復号化）
9.3. Category N3: Symmetric Primitives	9.3. カテゴリーN3：対称プリミティブ
9.4. Category N4: KeyGen for Class N schemes	9.4. カテゴリーN4：クラスNスキームの鍵生成
9.4.1. Subcategory N4.1: ECC KeyGen	9.4.1. サブカテゴリー N4.1： ECC 鍵生成
9.4.2. Subcategory N4.2: RSA KeyGen	9.4.2. サブカテゴリーN4.2： RSA 鍵生成
9.4.3. Subcategory N4.3: ML KeyGen	9.4.3. サブカテゴリー N4.3： ML 鍵生成
9.4.4. Subcategory N4.4: HBS KeyGen	9.4.4. サブカテゴリー N4.4： HBS 鍵生成
9.4.5. Subcategory N4.5: Secret RBG	9.4.5. サブカテゴリー N4.5: Secret RBG
10.Requirements for Class S Schemes	10.Class S スキームの要件
10.1. Category S1: Signing	10.1. カテゴリーS1：署名
10.2. Category S2: PKE	10.2. カテゴリーS2：PKE
10.3. Category S3: Symmetric	10.3. カテゴリーS3： 対称
10.4. Category S4: Keygen	10.4. カテゴリーS4： Keygen
10.5. Category S5: FHE	10.5. カテゴリーS5：FHE
10.6. Category S6: ZKPoK	10.6. カテゴリーS6： ZKPoK
10.7. Category S7: Gadgets	10.7. カテゴリーS7： ガジェット
References	附属書
Appendix A. Notes on Class N Categories	附属書A. クラスNカテゴリーに関する注記
A.1. Category N1: NIST-Specified Signing Primitives	A.1. カテゴリーN1：NIST指定の署名プリミティブ
A.1.1. Subcategory N1.1: EdDSA Signing	A.1.1. サブカテゴリーN1.1： EdDSA 署名
A.1.2. Subcategory N1.2: ECDSA Signing	A.1.2. サブカテゴリーN1.2: ECDSA署名
A.1.3. Subcategory N1.3: RSADSA Signing	A.1.3. サブカテゴリー N1.3： RSADSA 署名
A.1.4. Subcategory N1.4: ML-DSA Signing	A.1.4. サブカテゴリー N1.4： ML-DSA 署名
A.1.5. Subcategory N1.5: HBS Signing	A.1.5. サブカテゴリー N1.5: HBS 署名
A.1.5.1. Conventional SLH-DSA (stateless)	A.1.5.1. 従来のSLH-DSA（ステートレス）
A.1.5.2. Conventional Stateful HBS	A.1.5.2. 従来のステートフルHBS
A.1.5.3. Threshold Hash-Based Signatures	A.1.5.3. 閾値ハッシュベース署名
A.2. Category N2: NIST-Specified PKE Primitives	A.2. カテゴリーN2：NIST指定のPKEプリミティブ
A.2.1. Subcategory N2.1: RSA Encryption/Decryption	A.2.1. サブカテゴリー N2.1： RSA 暗号化/復号
A.2.1.1. Conventional RSA-PKE	A.2.1.1. 従来の RSA-PKE
A.2.1.2. Higher-Level Constructions (Based on RSAEP/ RSADP)	A.2.1.2. 上位レベルの構成（RSAEP/RSADP に基づく）
A.2.2. Subcategory N2.2: K-PKE Encryption/Decryption	A.2.2. サブカテゴリー N2.2： K-PKE 暗号化/復号
A.2.2.1. Conventional K-PKE	A.2.2.1. 従来の K-PKE
A.2.2.2. Higher-Level Constructions (Based on K-PKE)	A.2.2.2. より上位の構成（K-PKE に基づく）
A.3. Category N3: NIST-Specified Symmetric Primitives	A.3. カテゴリー N3: NIST-Specified Symmetric Primitives
A.3.1. Subcategory N3.1: AES Enciphering/Deciphering	A.3.1. サブカテゴリー N3.1： AES 暗号化/復号
A.3.2. Subcategory N3.2: Ascon-AEAD Encrypt/Decrypt	A.3.2. サブカテゴリー N3.2： Ascon-AEAD 暗号化/復号
A.3.3. Subcategory N3.3: Hash and XOF	A.3.3. サブカテゴリー N3.3: Hash and XOF
A.3.4. Subcategory N3.4: MAC	A.3.4. サブカテゴリー N3.4： MAC
A.4. Category N4: NIST-Specified KeyGen Primitives	A.4. カテゴリーN4：NIST指定の鍵生成プリミティブ
A.4.1. Subcategory N4.1: ECC KeyGen	A.4.1. サブカテゴリー N4.1： ECC 鍵生成
A.4.1.1. Conventional ECC KeyGen	A.4.1.1. 従来の ECC 鍵生成
A.4.1.2. Extension to CDH and MQV primitives for ECC-2KE	A.4.1.2. ECC-2KE のための CDH および MQV プリミティブの拡張
A.4.2. Subcategory N4.2: RSA KeyGen	A.4.2. サブカテゴリー N4.2： RSA 鍵生成
A.4.2.1. Size of RSA Modulus	A.4.2.1. RSAモジュラスのサイズ
A.4.2.2. Criteria for the Private Exponent and the Prime Factors	A.4.2.2. 非公開指数と素因数の規準
A.4.3. Subcategory N4.3: ML KeyGen	A.4.3. サブカテゴリー N4.3： ML 鍵生成
A.4.5. Subcategory N4.5: Secret RBG	A.4.5. サブカテゴリーN4.5: 秘密RBG
Appendix B. Notes on FHE and ZKPoK	附属書B. FHEとZKPoKに関するメモ
B.1. Category S5: Fully-Homomorphic Encryption (FHE)	B.1. カテゴリーS5：準同型暗号(FHE)
B.1.1. Use Case: FHE-Based AES Oblivious Enciphering	B.1.1. ユースケース FHE-Based AES Oblivious Enciphering
B.1.1.1. Non-Threshold FHE-Based AES Oblivious Enciphering	B.1.1.1. 非閾値FHEベースAESオブリビアス暗号化
B.1.1.2. Threshold FHE-Based AES Oblivious Enciphering	B.1.1.2. 閾値 FHE ベースの AES オブリビアス暗号化
B.2. Category S6: Zero-Knowledge Proof of Knowledge (ZKPoK)	B.2. カテゴリーS6： ゼロ知識証明(ZKPoK)
B.2.1. Example Proofs of Interest	B.2.1. 興味のある証明例
B.2.2. Distinguishing Features and Types of “Proof”	B.2.2. 証明」の特徴と種類の区別
B.2.3. Threshold Considerations	B.2.3. 閾値に関する考察
B.2.4. On computational soundness from statistical soundness	B.2.4. 統計的健全性と計算上の健全性について
B.2.5. Specialized versus generic ZKPoKs	B.2.5. 特殊なZKPoKと一般的なZKPoK
Appendix C. Notes on the Threshold Setting	附属書C．閾値設定に関するメモ
C.1. System Model	C.1. システムモデル
C.1.1. Participants	C.1.1. 参加者
C.1.2. Distributed Systems and Communication	C.1.2. 分散システムとコミュニケーション
C.1.3. Adversary	C.1.3. 敵
C.2. Security in the Threshold Setting	C.2. 閾値設定におけるセキュリティ
C.2.1. Security Analysis (Based on the Specification)	C.2.1. セキュリティ分析（仕様に基づく）
C.2.2. Practical Feasibility Versus Adaptive Security	C.2.2. 現実的な実現可能性と適応的なセキュリティの比較
C.2.3. Implementation and Deployment Security	C.2.3. 実装と展開セキュリティ
C.3. Threshold Profiles	C.3. 閾値プロファイル
C.4. Secret-Shared Input/Output (I/O) Interfaces	C.4. 秘密-共有入出力（I/O）インターフェース
Appendix D. Acronyms	附属書 D. 略語
Appendix E. Changes Between the IPD and the 2PD	附属書 E. IPDと2PD間の変更点
List of Tables	表のリスト
Table 1. Multiple categories per class	表1. クラスごとの複数のカテゴリー
Table 2. Families of specifications of interest in categories of Class N	表2. クラスNのカテゴリーにおける関心のある仕様のファミリー
Table 3. Examples of primitives in categories of Class S	表3. クラスSのカテゴリーにおけるプリミティブの例
Table 4. Submission phases and tentative deadlines	表4. 提出フェーズと暫定期限
Table 5. Security strength parameters	表5. セキュリティ強度パラメータ
Table 6. Signing primitives in category N1	表6. カテゴリーN1の署名プリミティブ
Table 7. PKE primitives in category N2	表7. カテゴリーN2のPKEプリミティブ
Table 8. “Symmetric” primitives in category N3	表8. カテゴリーN3の 「対称 」プリミティブ
Table 9. KeyGen in schemes of Class N	表9. クラスNのスキームにおける鍵生成
Table 10. Examples of KeyGen purposes	表10. 鍵生成の目的の例
Table 11. Notation of EdDSA versus ECDSA (in FIPS 186-5)	表11. FIPS186-5における）EdDSAとECDSAの表記
Table 12. RSA-based primitives per RSA-2KE scheme, per party	表12. RSA-2KEスキームごとのRSAベースのプリミティブ、パーティごと
Table 13. Non-KeyGen Primitives in ML-KEM and K-PKE	表13. ML-KEM および K-PKE における非鍵生成プリミティブ
Table 14. Criteria for the random primes of an RSA modulus	表14. RSAモジュラスのランダムプライムの規準
Table 15. Example ZKPoKs of interest related to Class N primitives	表15. クラスNプリミティブに関連するZKPoKの例
Table 16. Labels for some template threshold profiles	表16. いくつかのテンプレート閾値プロファイルのラベル

2025.03.27	IR 8214C	NIST First Call for Multi-Party Threshold Schemes	Draft
2022.08.12	IR 8214B	Notes on Threshold EdDSA/Schnorr Signatures	Draft
2020.07.07	IR 8214A	NIST Roadmap Toward Criteria for Threshold Schemes for Cryptographic Primitives	Final
2019.03.01	IR 8214	Threshold Schemes for Cryptographic Primitives: Challenges and Opportunities in Standardization and Validation of Threshold Cryptography	Final

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2020.07.09 NIST NISTIR 8214A「閾値暗号」開発の取り組みを開始

CRYPTREC 暗号技術ガイドライン（耐量子計算機暗号）2024年度版、耐量子計算機暗号の研究動向調査報告書 (2025.04.02)

こんにちは、丸山満彦です。

---

国立研究開発法人情報通信研究機構 (略称NICT) と独立行政法人情報処理推進機構 (略称IPA) が共同で運営する「暗号技術評価委員会」の2024年度の活動成果として、「CRYPTREC 暗号技術ガイドライン（耐量子計算機暗号）2024年度版」及び「耐量子計算機暗号の研究動向調査報告書」を作成しましたので、公開いたします。

---

とのことです...

・[PDF] CRYPTREC 暗号技術ガイドライン（耐量子計算機暗号）2024年度版

第1章 はじめに
1.1 暗号の安全性に影響のある量子コンピュータの開発状況
1.1.1 量子コンピュータの分類
1.1.2 ハードウェアの進展とロードマップ
1.2 耐量子計算機暗号（PQC）の必要性について
1.2.1 量子コンピュータの影響による現代暗号の危殆化予測
1.2.2 量子コンピュータによる素因数分解・離散対数問題計算の現状
1.3 PQC の研究及び標準化等に関する動向
1.3.1 米国 NIST における標準化の動向
1.3.2 米国以外での動向
1.4 本調査で対象とした PQC の種類
1.5 耐量子計算機暗号調査報告書執筆者リスト

第2章 PQCの活用方法
2.1 公開鍵暗号の利用形態
2.1.1 署名用途での公開鍵暗号の利用
2.1.2 守秘用途での公開鍵暗号の利用
2.1.3 鍵共有用途での公開鍵暗号の利用
2.2 PQC の導入における課題
2.2.1 署名用途での課題
2.2.2 守秘用途での課題
2.2.3 鍵共有用途での課題
2.3 PQC 導入へのアプローチ
2.3.1 プライオリティ設定の重要性
2.3.2 クリプトグラフィック・アジリティの重要性
2.3.3 既存暗号方式とのハイブリッド構成
2.3.4 署名用途固有の対策
2.3.5 守秘及び鍵共有用途固有の対策
2.4 PQC の活用にむけて

第3章 格子に基づく暗号技術
3.1 格子に基づく暗号技術の安全性の根拠となる問題
3.1.1 LWE 問題の紹介
3.1.2 NTRU 問題の紹介
3.1.3 格子問題の公開チャレンジの求解状況
3.2 格子に基づく代表的な暗号方式
3.2.1 Hash-and-Sign に基づく署名方式の格子問題への拡張
3.2.2 Fiat-Shamir 署名方式の格子問題への拡張
3.3 格子に基づく主要な暗号方式
3.3.1 FIPS 203：Module-Lattice-Based Key-Encapsulation Mechanism Standard (ML-KEM)
 3.3.1.1 ML-KEM における数論変換
 3.3.1.2 ML-KEM の基本構成と処理概要
 3.3.1.3 暗号パラメータ
3.3.2 FIPS 204: Module-Lattice-Based Digital Signature Standard（ML-DSA）
 3.3.2.1 ML-DSA における数論変換
 3.3.2.2 ML-DSA の構成と処理概要
 3.3.2.3 暗号パラメータ
 3.3.2.4 CRYSTALS-Dilithium との違い
3.3.3 FALCON
3.4 格子に基づく暗号技術に関するまとめ

第4章 符号に基づく暗号技術
4.1 符号に基づく暗号技術の安全性の根拠となる問題
4.1.1 SD問題
4.1.2 SD問題に対する評価
4.1.3 LPN問題
4.1.4 LPN問題に対する評価
4.2 符号に基づく代表的な暗号方式
4.2.1 McEliece 公開鍵暗号方式
4.2.2 Niederreiter 公開鍵暗号方式
4.3 符号に基づく主要な暗号方式
4.3.1 Classic McEliece
4.3.2 BIKE
4.3.3 HQC
4.4 符号に基づく暗号技術に関するまとめ

第5章 多変数多項式に基づく暗号技術
5.1 多変数多項式に基づく暗号技術の安全性の根拠となる問題
5.1.1 MP 問題（MQ 問題）
5.1.2 MinRank 問題
5.1.3 IP 問題，EIP 問題
5.2 多変数多項式に基づく代表的な暗号方式
5.2.1 双極型システム
5.2.2 署名方式 UOV
 5.2.2.1 UOV の概要
 5.2.2.2 UOV の公開鍵長の削減
5.2.3 MPC-in-the-Head による署名方式の構成
 5.2.3.1 秘匿マルチパーティ計算
 5.2.3.2 ゼロ知識証明への変換
5.3 多変数多項式に基づく主要な暗号方式
5.3.1 署名方式 UOV
 5.3.1.1 UOV の概要
 5.3.1.2 UOV のパラメータ選択
5.3.2 署名方式 QR-UOV
 5.3.2.1 QR-UOV の概要
 5.3.2.2 QR-UOV のパラメータ選択
5.3.3 署名方式 MAYO
 5.3.3.1 MAYO の概要
 5.3.3.2 MAYO のパラメータ選択
5.3.4 署名方式 MQOM
 5.3.4.1 MQOM の概要
 5.3.4.2 MQOM のパラメータ選択
5.3.5 署名方式 MiRitH
 5.3.5.1 MiRitH の概要
 5.3.5.2 MiRitH のパラメータ選択
5.4 多変数多項式に基づく暗号技術に関するまとめ

第6章 同種写像に基づく暗号技術
6.1 同種写像に基づく暗号技術の安全性の根拠となる問題
6.1.1 同種写像問題の一般形
6.1.2 自己準同型環計算問題と SQIsign 署名方式の安全性に関する計算問題
 6.1.2.1 自己準同型環計算問題
 6.1.2.2 SQIsign 署名方式の安全性に関する計算問題
6.2 同種写像に基づく代表的な暗号方式
6.2.1 GPS 署名方式
6.3 同種写像に基づく主要な暗号方式
6.3.1 SQIsign 署名方式
 6.3.1.1 KLPT アルゴリズムに基づく SQIsign 署名方式
 6.3.1.2 SQIsign2D 署名方式
6.4 同種写像に基づく暗号技術に関するまとめ

第7章 ハッシュ関数に基づく署名技術
7.1 ハッシュ関数に基づく署名技術の安全性の根拠となる問題
7.2 ハッシュ関数に基づく代表的な署名方式
7.2.1 Winternitz One-Time Signature
7.2.2 マークル木を用いた署名方式
7.2.3 マークル木の階層構造による署名方式
7.2.4 プレフィクスとビットマスク
7.3 ハッシュ関数に基づく主要な署名方式
7.3.1 XMSS: eXtended Merkle Signature Scheme
 7.3.1.1 WOTS+
 7.3.1.2 XMSS
 7.3.1.3 XMSSMT
 7.3.1.4 パラメータの設定と安全性
7.3.2 SLH-DSA
 7.3.2.1 WOTS+
 7.3.2.2 XMSS
 7.3.2.3 Hypertree
 7.3.2.4 FORS
 7.3.2.5 SLH-DSA
 7.3.2.6 パラメータの設定と安全性
 7.3.2.7 ハッシュ関数の実現法
7.4 ハッシュ関数に基づく署名技術に関するまとめ

・[PDF] 耐量子計算機暗号の研究動向調査報告書

第1章 はじめに
1.1 暗号の安全性に影響のある量子コンピュータの開発状況
1.1.1 量子コンピュータの分類
1.1.2 ハードウェアの進展とロードマップ
1.2 耐量子計算機暗号（PQC）の必要性について
1.2.1 量子コンピュータの影響による現代暗号の危殆化予測
1.2.2 量子コンピュータによる素因数分解・離散対数問題計算の現状
1.3 PQC の研究及び標準化等に関する動向
1.3.1 米国 NIST における標準化の動向
1.3.2 米国以外での動向
1.4 本調査で対象とした PQC の種類
1.5 耐量子計算機暗号調査報告書執筆者リスト

第2章 PQCの活用方法
2.1 公開鍵暗号の利用形態
2.1.1 署名用途での公開鍵暗号の利用
2.1.2 守秘用途での公開鍵暗号の利用
2.1.3 鍵共有用途での公開鍵暗号の利用
2.2 PQC の導入における課題
2.2.1 署名用途での課題
2.2.2 守秘用途での課題
2.2.3 鍵共有用途での課題
2.3 PQC 導入へのアプローチ
2.3.1 プライオリティ設定の重要性
2.3.2 クリプトグラフィック・アジリティの重要性
2.3.3 既存暗号方式とのハイブリッド構成
2.3.4 署名用途固有の対策
2.3.5 守秘及び鍵共有用途固有の対策
2.4 PQC の活用にむけて

第3章 格子に基づく暗号技術
3.1 格子に基づく暗号技術の安全性の根拠となる問題
3.1.1 LWE 問題と代表的な求解法
 3.1.1.1 LWE 問題の紹介
 3.1.1.2 格子の基本事項とq-ary 格子の紹介
 3.1.1.3 LWE 問題の代表的な求解法
3.1.2 NTRU 問題と代表的な求解法
3.1.3 格子問題を解くアルゴリズムとその計算量について
 3.1.3.1 代表的な格子基底簡約アルゴリズムの紹介
 3.1.3.2 BKZ 基底簡約アルゴリズムの出力基底と計算量
 3.1.3.3 格子問題の公開チャレンジの求解状況
3.2 格子に基づく代表的な暗号方式
3.2.1 LWE に基づく Regev による公開鍵暗号方式
3.2.2 LWE に基づく Lindner, Peikert らによる公開鍵暗号方式
3.2.3 Ring-LWE に基づく Brakerski らによる公開鍵暗号方式
3.2.4 NTRU 問題に基づく Hoffstein らによる公開鍵暗号方式
3.2.5 Hash-and-Sign に基づく署名方式の格子問題への拡張
3.2.6 Fiat-Shamir 署名方式の格子問題への拡張
3.3 格子に基づく主要な暗号方式
3.3.1 FIPS 203：Module-Lattice-Based Key-Encapsulation Mechanism Standard (ML-KEM)
 3.3.1.1 ML-KEM における数論変換
 3.3.1.2 ML-KEM の基本構成と処理概要
 3.3.1.3 暗号パラメータ
 3.3.1.4 CRYSTALS-Kyber との違い
3.3.2 FIPS 204: Module-Lattice-Based Digital Signature Standard（ML-DSA）
 3.3.2.1 ML-DSA における数論変換
 3.3.2.2 ML-DSA の構成と処理概要
 3.3.2.3 暗号パラメータ
 3.3.2.4 CRYSTALS-Dilithium との違い
3.3.3 CRYSTALS-Kyber
3.3.4 CRYSTALS-Dilithium
3.3.5 FALCON
3.3.6 FrodoKEM
 3.3.6.1 NIST PQC 第 3 ラウンド版
 3.3.6.2 ISO 標準への予備提案版
3.3.7 NewHope
3.3.8 NTRU
3.3.9 SABER
3.4 格子に基づく暗号技術に関するまとめ

第4章 符号に基づく暗号技術
4.1 符号に基づく暗号技術の安全性の根拠となる問題
4.1.1 SD問題とその拡張
 4.1.1.1 SD問題
 4.1.1.2 SD問題の拡張
4.1.2 SD問題に対する評価
 4.1.2.1 Information Set Decoding
4.1.3 LPN問題とその拡張
 4.1.3.1 LPN問題
 4.1.3.2 LPN問題の拡張
4.1.4 LPN問題に対する評価
 4.1.4.1 ガウスの消去法に基づく手法
 4.1.4.2 Information Set Decoding に基づく手法
 4.1.4.3 BKW アルゴリズムに基づく手法
 4.1.4.4 Arora–Ge アルゴリズム
 4.1.4.5 Information Set Decoding と BKW を組み合わせたハイブリッド法
 4.1.4.6 量子アルゴリズム
4.2 符号に基づく代表的な暗号方式
4.2.1 McEliece 公開鍵暗号方式
4.2.2 Niederreiter 公開鍵暗号方式
4.2.3 符号版 Lyubashevsky-Peikert-Regev（LPR）公開鍵暗号方式
4.2.4 CFS 署名方式
4.3 符号に基づく主要な暗号方式
4.3.1 Classic McEliece
4.3.2 BIKE
4.3.3 HQC
4.4 符号に基づく暗号技術に関するまとめ

第5章 多変数多項式に基づく暗号技術
5.1 多変数多項式に基づく暗号技術の安全性の根拠となる問題
5.1.1 MP 問題（MQ 問題）
5.1.2 MP 問題を解く計算の計算量
5.1.3 MinRank 問題
5.1.4 IP 問題，EIP 問題
5.2 多変数多項式に基づく代表的な暗号方式
5.2.1 双極型システム
5.2.2 双極型システムの modifier
 5.2.2.1 マイナス手法 “ − ”
 5.2.2.2 プラス手法 “ + ”
 5.2.2.3 External Perturbation “v”
 5.2.2.4 Internal Perturbation “I”
5.2.3 公開鍵暗号方式 HFE，署名方式 HFEv−
 5.2.3.1 公開鍵暗号方式 HFE
 5.2.3.2 署名方式 HFE−v
5.2.4 署名方式 UOV
 5.2.4.1 UOV の概要
 5.2.4.2 UOV の公開鍵長の削減
 5.2.4.3 署名方式 Rainbow
5.2.5 MPC-in-the-Head による署名方式の構成
 5.2.5.1 秘匿マルチパーティ計算
 5.2.5.2 ゼロ知識証明への変換
5.3 多変数多項式に基づく主要な暗号方式
5.3.1 署名方式 UOV
 5.3.1.1 UOV の概要
 5.3.1.2 UOV のパラメータ選択
5.3.2 署名方式 QR-UOV
 5.3.2.1 QR-UOV の概要
 5.3.2.2 QR-UOV のパラメータ選択
5.3.3 署名方式 MAYO
 5.3.3.1 MAYO の概要
 5.3.3.2 MAYO のパラメータ選択
5.3.4 署名方式 MQOM
 5.3.4.1 MQOM の概要
 5.3.4.2 MQOM のパラメータ選択
5.3.5 署名方式 MiRitH
 5.3.5.1 MiRitH の概要
 5.3.5.2 MiRitH のパラメータ選択
5.4 多変数多項式に基づく暗号技術に関するまとめ

第6章 同種写像に基づく暗号技術
6.1 同種写像に基づく暗号技術の安全性の根拠となる問題
6.1.1 同種写像問題の一般形
6.1.2 SIDH 同種写像問題とその解法
6.1.3 レベル構造付き同種写像問題
6.1.4 同種写像に基づく一方向性群作用（暗号学的群作用）に関する計算問題
 6.1.4.1 2 種の一方向性群作用：REGA と EGA
 6.1.4.2 CSIDH-(R)EGA 上の計算問題
 6.1.4.3 イデアル類群作用に基づく量子マネーの安全性に関する計算問題
6.1.5 自己準同型環計算問題と SQIsign 署名方式の安全性に関する計算問題
 6.1.5.1 自己準同型環計算問題
 6.1.5.2 SQIsign 署名方式の安全性に関する計算問題
6.2 同種写像に基づく代表的な暗号方式
6.2.1 暗号学的群作用に基づく鍵共有方式
 6.2.1.1 CSIDH 鍵共有
 6.2.1.2 群作用に基づく CSIDH 以外の鍵共有方式
6.2.2 レベル構造付き同種写像問題に基づく鍵共有
 6.2.2.1 M-SIDH 鍵共有と MD-SIDH 鍵共有
 6.2.2.2 (Q)FESTA 鍵共有と binSIDH 鍵共有（terSIDH 鍵共有）
6.2.3 暗号学的群作用に基づく署名方式
 6.2.3.1 SeaSign 署名方式
 6.2.3.2 CSI-FiSh 署名方式
6.2.4 GPS 署名方式
6.3 同種写像に基づく主要な暗号方式
6.3.1 SQIsign 署名方式
 6.3.1.1 KLPT アルゴリズムに基づく SQIsign 署名方式
 6.3.1.2 SQIsign2D 署名方式
6.4 同種写像に基づく暗号技術に関するまとめ

第7章 ハッシュ関数に基づく署名技術
7.1 ハッシュ関数に基づく署名技術の安全性の根拠となる問題
7.2 ハッシュ関数に基づく代表的な署名方式
7.2.1 Winternitz One-Time Signature
7.2.2 マークル木を用いた署名方式
7.2.3 マークル木の階層構造による署名方式
7.2.4 プレフィクスとビットマスク
7.3 ハッシュ関数に基づく主要な署名方式
7.3.1 Lighton-Micali Hash-Based Signatures
 7.3.1.1 LM-OTS
 7.3.1.2 LMS
 7.3.1.3 HSS
 7.3.1.4 パラメータの設定と安全性
7.3.2 XMSS: eXtended Merkle Signature Scheme
 7.3.2.1 WOTS+
 7.3.2.2 XMSS
 7.3.2.3 XMSSMT
 7.3.2.4 パラメータの設定と安全性
7.3.3 SLH-DSA
 7.3.3.1 WOTS+
 7.3.3.2 XMSS
 7.3.3.3 Hypertree
 7.3.3.4 FORS
 7.3.3.5 SLH-DSA
 7.3.3.6 パラメータの設定と安全性
 7.3.3.7 ハッシュ関数の実現法
7.4 ハッシュ関数に基づく署名技術に関するまとめ

---

● まるちゃんの情報セキュリティ気まぐれ日記

NISTの耐量子暗号

・2025.03.14 米国 NIST 第5の耐量子暗号化のアルゴリズムとしてHQCを選択 (2025.03.11)

・2025.03.14 米国 NIST IR 8545 NISTの耐量子暗号標準化プロセスの第4ラウンドに関する現状報告書

・2025.03.11 米国 NIST CSWP 39（初期公開ドラフト） 暗号化の機敏性を実現するための考慮事項：戦略と実践

・2025.01.10 米国 NIST SP 800-227（初期公開ドラフト） キーカプセル化メカニズムに関する推奨事項

・2024.11.16 米国 NIST IR 8547（初期公開ドラフト） 耐量子暗号標準への移行について

・2024.11.03 米国 NIST IR 8528 耐量子暗号標準化プロセスにおける追加デジタル署名スキームの第一ラウンドに関する状況報告書

・2024.08.14 米国 NIST 耐量子暗号化標準の最初の3つ (FIPS 203, 204, 205) を確定

・2023.12.22 NIST SP 1800-38（初期ドラフト）耐量子暗号への移行： 量子安全暗号の実装と採用を検討するための準備

・2023.08.22 米国 CISA NSA NIST 量子対応：耐量子暗号への移行

・2022.10.02 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告（参考文献の追加）

・2022.07.07 NISTIR 8413 NIST耐量子暗号標準化プロセス第3ラウンドの現状報告

英国

・2025.03.21 英国 NSCS 耐量子暗号への移行スケジュールを発表 (2025.03.20)

ENISA

・2022.10.21 ENISA ポスト量子暗号 - 統合研究

日本...

・2025.04.03 CRYPTREC 暗号技術ガイドライン（耐量子計算機暗号）2024年度版、耐量子計算機暗号の研究動向調査報告書 (2025.04.02)

・2024.10.25 政府認証基盤 (GPKI) 政府認証基盤相互運用性仕様書（移行期間編）と移行完了編）  (2024.10.11)

・2024.09.16 金融庁 「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会」（第１回）議事要旨 （会議は2024.07.18）

・2023.09.29 日本銀行金融研究所 量子コンピュータが暗号に及ぼす影響にどう対処するか：海外における取組み

デジタル庁 電子署名法認定基準のモダナイズ検討会報告書 (2025.03.21)

こんにちは、丸山満彦です。

デジタル庁で開催されていた電子署名法認定基準のモダナイズ検討会から、報告書が公表されていますね...

電子署名法に基づく特定認証業務の認定の基準が法施行（2000年成立、2001年施行）当初から改訂がされていないが、この間の変化を踏まえての改訂の検討ということですかね...

論点は次の６つ...

1. 情報セキュリティに関するリスクマネジメントの国際基準に照らし合わせた規定
2. 認証局の秘密鍵を管理する暗号装置の技術基準の更新
3. 国際的な基準を満たしつつクラウドサービスへの拡張等が可能となるようなセキュリティ基準の検討
4. 認証設備室の外からの遠隔操作やパブリッククラウドサービスの利用の規定
5. 利用者の真偽の確認における自動化の規定
6. 公的個人認証法に基づいて署名検証者の認定を受ける特定認証業務を行う者の基準との差異の解消
   

委員...

漆嶌 賢二    GMO グローバルサイン株式会社事業企画部 フェロー
小田嶋 昭浩    電子認証局会議 理事
松本 泰    特定非営利活動法人日本ネットワークセキュリティ協会 フェロー
満塩 尚史    順天堂大学健康データサイエンス学部 准教授
宮内 宏    宮内・水町 IT 法律事務所 弁護士

検討結果...

１． 情報セキュリティに関するリスクマネジメントの国際基準に照らし合わせた規定

• 情報セキュリティに係るリスクの評価と対応について、認定基準として新たに求めるべき（この際、非常時を念頭に置いた責任や権限の明確化等が改めて図られることは、円滑なリスクへの対応を行う観点で推奨される）

２． 認証局の秘密鍵を管理する暗号装置の技術基準の更新

• 令和 10 年（2028 年）中を目途に FIPS140-3 のレベル３と同等以上の機器への移行を求めることが基本的な考え方
• その上で、現時点では FIPS140-3 の基準に準拠した製品が限られていることも踏まえ、足下では FIPS140-2 のレベル３と同等以上とすることを認定基準として求めるべき

３． 国際的な基準を満たしつつクラウドサービスへの拡張等が可能となるようなセキュリティ基準の検討

• 当面は現行の基準とし、クラウド HSM の利活用拡大や HSM に特化した監査に関する基準等の動向に注視しつつ、必要に応じて改めて検討を行うべき

４． 認証設備室の外からの遠隔操作やパブリッククラウドサービスの利用の規定

• 認証局のリポジトリにおける公開情報の取り扱いについては、パブリッククラウドの利用が認められるべき
• その他については、利用に係る諸課題について前向きに検討

５． 利用者の真偽の確認における自動化の規定

• 引き続き自動化を認めるべく電子署名法関係法令等において改めて明確化すべき

６． 公的個人認証法に基づいて署名検証者の認定を受ける特定認証業務を行う者の基準との差異の解消

• 利用の申込みに際して本人確認のためにマイナンバーカード署名用電子証明書等による電子署名が付される場合は、利用者が電子証明書の利用申込みと同時に利用者署名検証符号を送付する方式を認めるべき

● デジタル庁

・電子署名法認定基準のモダナイズ検討会

・・[PDF] 令和6年度電子署名法認定基準のモダナイズ検討会報告書

• 電子署名法認定基準のモダナイズ検討会（第4回）（2025年1月17日開催）
• 電子署名法認定基準のモダナイズ検討会（第3回）（2024年11月26日開催）
• 電子署名法認定基準のモダナイズ検討会（第2回）（2024年11月1日開催）
• 電子署名法認定基準のモダナイズ検討会（第1回）（2024年9月20日開催）

通常考えられる論点に対する通常想定される回答...　なので、具体的に動く感じですかね...