国家サイバー統括室 サイバーセキュリティ関連法令Q&A Ver2.0 HTML版 (2025.12.24)

こんにちは、丸山満彦です。

国家サイバー統括室からサイバーセキュリティ関連法令Q&A Ver2.0 HTML版が公表されています。私も作成には関与しております。2023年にPDFで公開されたものですが、HTML版となりました。タグもつけてもらいましたが、読みやすさ、調べやすさについては改善が必要ですが、１歩１歩前進です。

タグによる一覧性があがるとよいですね。。。また、判例へのリンクがつけばさらに良いですね...

Ver3.0への改定にむけて粛々と進めています...

● 国家サイバー統括室

・サイバーセキュリティ関係法令Q&Aハンドブック

・[PDF] Ver2.0	令和5年9月（誤記訂正 令和6年12月）
・[PDF] Ver1.0	令和2年3月

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.09.26 内閣官房 NISC 関係法令Q＆Aハンドブック Ver 2.0

米国 NIST CSWP 39 暗号アジリティを実現するための考慮事項：戦略と実践 (2025.12.19)

こんにちは、丸山満彦です。

NISTが、暗号アジリティのための考慮事項をまとめた白書を公表しています。このブログでも過去に取り上げていますが、3月に初期ドラフト、7月に２次ドラフトが公開されたものです...

NISTは、2031年までに最低128ビットのセキュリティ強度への移行が必要であると予測した（SP 800-57 Part1: 2020.05.04）うえで、現行公開鍵方式が提供する112ビット強度から耐量子暗号への直接移行を促進するため現行の公開鍵アルゴリズムにおける112ビットのセキュリティ強度を2031年に禁止すると表明（IR 8547 draft: 2024.11.12）しています。

暗号アジリティの実現はハードル高そうですね...

ちなみに、この文書では暗号アジリティを、

Cryptographic (crypto) agility refers to the capabilities needed to replace and adapt cryptographic algorithms in protocols, applications, software, hardware, firmware, and infrastructures while preserving security and ongoing operations.

暗号（クリプト）アジリティとは、セキュリティと継続的な運用を維持しつつ、プロトコル、アプリケーション、ソフトウェア、ハードウェア、ファームウェア、インフラストラクチャにおける暗号アルゴリズムの置換と適応に必要な能力

としていますね...

ちなみに金融セクターのFS-ISACの文書では、

…a measure of an organization’s ability to adapt cryptographic solutions or algorithms (including their parameters and keys) quickly and efficiently in response to developments in cryptanalysis, emerging threats, technological advances, and/or vulnerabilities...a design principle for implementing, updating, replacing, running, and adapting cryptography and related business processes and policies with no significant architectural changes, minimal disruption to business operations, and short transition time.

…暗号解読技術の進展、新たな脅威、技術的進歩、脆弱性などに対応し、暗号ソリューションやアルゴリズム（パラメータや鍵を含む）を迅速かつ効率的に適応させる組織の能力の尺度である…暗号技術および関連する業務プロセス・ポリシーを、大幅なアーキテクチャ変更なしに、業務運営への影響を最小限に抑え、短期間で移行・更新・置換・運用・適応させるための設計原則である。

と定義されていますね...

・[PDF] 2024.10 Building Cryptographic Agility in the Financial Sector - Effective, Efficient Change in a Post Quantum World

---

組織の暗号リスクリスクマネジメントのための暗号アジリティ戦略計画

---

● NIST - ITL

・2025.12.19 NIST CSWP 39 Considerations for Achieving Cryptographic Agility: Strategies and Practices

NIST CSWP 39 Considerations for Achieving Cryptographic Agility: Strategies and Practices	NIST CSWP 39 暗号アジリティを実現するための考慮事項：戦略と実践
Abstract	要約
Cryptographic (crypto) agility refers to the capabilities needed to replace and adapt cryptographic algorithms in protocols, applications, software, hardware, firmware, and infrastructures while preserving security and ongoing operations. This white paper provides an in-depth survey of current approaches to achieving crypto agility. It discusses challenges and trade-offs and identifies approaches for providing operational mechanisms to achieve crypto agility. It also highlights critical working areas that require additional consideration.	暗号（クリプト）アジリティとは、セキュリティと継続的な運用を維持しつつ、プロトコル、アプリケーション、ソフトウェア、ハードウェア、ファームウェア、インフラストラクチャにおける暗号アルゴリズムの置換と適応に必要な能力を指す。本ホワイトペーパーは、暗号アジリティを達成するための現在のアプローチについて詳細な調査を提供する。課題とトレードオフについて議論し、暗号アジリティを達成するための運用メカニズムを提供するアプローチを識別する。また、追加の検討が必要な重要な作業領域を強調する。

・[PDF] NIST.CSWP.39

・[DOCX][PDF] 仮訳

ざっくりとした構成...

• セクション2：過去の移行で直面した課題
• セクション3：セキュリティプロトコルにおける暗号アジリティ実現の課題と既存の実践の検証
• セクション4：APIからソフトウェアライブラリ、ハードウェアに至るアプリケーションの暗号アジリティを支援する戦略。これらの戦略の一部は現行システムで実装済みであり、その他は将来的に検討される予定。
• セクション5：エンタープライズ環境における組織の暗号リスクマネジメントのための暗号アジリティ戦略計画の活用の提示
• セクション6：検討すべき重要な領域と今後の行動の識別
• セクション7：結論

目次...

Executive Summary	エグゼクティブサマリー
1. Introduction	1. 序論
2. Historic Transitions and Challenges	2. 歴史的変遷と課題
2.1. Long Period for a Transition	2.1. 移行期間の長期化
2.2. Backward Compatibility and Interoperability Challenges	2.2. 後方互換性と相互運用性の課題
2.3. Constant Needs of Transition	2.3. 継続的な移行の必要性
2.4. Resource and Performance Challenges	2.4. リソースとパフォーマンスの課題
3. Crypto Agility for Security Protocols	3. セキュリティプロトコルにおける暗号アジリティ
3.1. Algorithm Identification	3.1. アルゴリズムの特定
3.1.1. Mandatory-to-Implement Algorithms	3.1.1. 実装必須アルゴリズム
3.1.2. Dependent Specifications	3.1.2. 依存仕様
3.2. Algorithm Transitions	3.2. アルゴリズムの移行
3.2.1. Preserving Protocol Interoperability	3.2.1. プロトコル相互運用性の維持
3.2.2. Providing Notices of Expected Changes	3.2.2. 予想される変更の通知の提供
3.2.3. Integrity for Algorithm Negotiation	3.2.3. アルゴリズムネゴシエーションの完全性
3.2.4. Hybrid Cryptographic Algorithms	3.2.4. ハイブリッド暗号アルゴリズム
3.3. Cryptographic Key Establishment	3.3. 暗号鍵の鍵確立
3.4. Balancing Security Strength and Protocol Complexity	3.4. セキュリティ強度とプロトコル複雑性のバランス
3.4.1. Balancing the Security Strength of Algorithms in a Cipher Suite	3.4.1. 暗号スイートにおけるアルゴリズムのセキュリティ強度のバランス
3.4.2. Balancing Protocol Complexity	3.4.2. プロトコルの複雑さのバランス
4. Crypto Agility in System Implementations	4. システム実装における暗号の柔軟性
4.1. Using an API in a Crypto Library Application	4.1. 暗号ライブラリアプリケーションにおけるAPIの使用
4.2. Using APIs in the Operating System Kernel	4.2. オペレーティングシステムカーネルにおけるAPIの使用
4.3. Using Service Mesh in Cloud-Native Environments	4.3. クラウドネイティブ環境におけるサービスメッシュの使用
4.4. Embedded Systems	4.4. 組込みシステム
4.5. Hardware	4.5. ハードウェア
4.6. Using a Crypto Gateway for Legacy Systems	4.6. レガシーシステム向け暗号ゲートウェイの利用
5. Crypto Agility Strategic Plan for Managing Organizations’ Crypto Risks	5. 組織の暗号リスクマネジメントのための暗号アジリティ戦略計画
5.1. Cryptographic Standards, Regulations, and Mandates	5.1. 暗号化に関する標準、規制、および義務
5.2. Crypto Security Policy Enforcement	5.2. 暗号セキュリティポリシーの実施
5.3. Technology Supply Chains	5.3. 技術サプライチェーン
5.4. Cryptographic Architecture	5.4. 暗号アーキテクチャ
6. Considerations for Future Works	6. 今後の作業に関する考察
6.1. Resource Considerations	6.1. リソースに関する考慮事項
6.2. Agility-Aware Design	6.2. アジリティを考慮した設計
6.3. Complexity and Security	6.3. 複雑性とセキュリティ
6.4. Crypto Agility in the Cloud	6.4. クラウドにおける暗号アジリティ
6.5. Maturity Assessment for Crypto Agility	6.5. 暗号アジリティに関する成熟度アセスメント
6.6. Common Crypto API	6.6. 共通暗号API
7. Conclusion	7. 結論
References	参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms	附属書A. 記号、略語、頭字語の一覧
Appendix B. Definition of Crypto Agility in Other Literature	附属書B. 他の文献における暗号アジリティの定義

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
Cryptographic algorithms have been relied upon for decades to protect every communication link and digital device. Advances in computing capabilities, cryptographic research, and cryptanalytic techniques sometimes necessitate replacing algorithms that no longer provide adequate security. A typical algorithm transition is costly, takes time, raises interoperability issues, and disrupts operations. Cryptographic (crypto) agility refers to the capabilities needed to replace and adapt cryptographic algorithms in protocols, applications, libraries, software, hardware, firmware, and infrastructures while preserving security and ongoing operations.	暗号アルゴリズムは数十年にわたり、あらゆる通信回線やデジタル機器の保護に依存されてきた。計算能力の進歩、暗号研究、暗号解読技術の進展により、十分なセキュリティを提供できなくなったアルゴリズムの置き換えが必要となる場合がある。典型的なアルゴリズム移行はコストがかかり、時間を要し、相互運用性の問題を招き、運用を混乱させる。 暗号（クリプト）アジリティとは、セキュリティと継続的な運用を維持しつつ、プロトコル、アプリケーション、ライブラリ、ソフトウェア、ハードウェア、ファームウェア、インフラストラクチャにおける暗号アルゴリズムの置換と適応に必要な能力を指す。
The threats posed by future cryptographically relevant quantum computers to public-key cryptography demand an urgent migration to quantum-resistant cryptographic algorithms. The impact of this transition will be much larger in scale than previous transitions because all publickey algorithms will need to be replaced rather than just a single algorithm. Also, this transition will certainly not be the last one required. Future cryptographic uses will demand new strategies and mechanisms to enable smooth transitions. As a result, crypto agility is a key practice that should be adopted at all levels, from algorithms to enterprise architectures.	将来の暗号関連量子コンピュータが公開鍵暗号に及ぼす脅威は、量子耐性暗号アルゴリズムへの緊急移行を要求している。この移行の影響は、単一のアルゴリズムではなく全ての公開鍵アルゴリズムを置き換える必要があるため、過去の移行よりもはるかに大規模なものとなる。また、この移行が最後になることは確実ではない。 将来の暗号利用には、円滑な移行を可能にする新たな戦略とメカニズムが求められる。その結果、暗号アジリティはアルゴリズムからエンタープライズアーキテクチャに至る全レベルで採用すべき重要な実践手法である。
This white paper provides an in-depth survey of current approaches for achieving crypto agility and discusses their challenges and trade-offs as an introduction for executives and policymakers. Sections 3, 4, and 6 present crypto agility considerations in technical detail and may be of interest to protocol designers, implementers, operators, IT and cybersecurity architects, software and standards developers, and hardware designers. Section 5 examines strategic planning for crypto agility, which should be beneficial for organizational risk management, governance, and policy professionals.	本ホワイトペーパーは、暗号アジリティ実現に向けた現在のアプローチを詳細に調査し、経営陣や政策立案者向けの序論として、それらの課題とトレードオフについて論じる。 セクション3、セクション4、セクション6では技術的な詳細にわたり暗号アジリティの考慮事項を提示しており、プロトコル設計者、実装者、運用者、IT・サイバーセキュリティアーキテクト、ソフトウェア・標準開発者、ハードウェア設計者にとって有益である。セクション5では暗号アジリティのための戦略的計画を検討しており、組織のリスクマネジメント、ガバナンス、ポリシー担当者に有益である。
Executives can leverage the insights in this paper to develop a comprehensive strategic and tactical plan that integrates crypto agility into the organization’s overall risk management framework, ensuring that employees, business partners, and technology suppliers involved in cryptographic design, implementation, acquisition, deployment, and use consider and adopt these practices.	経営陣は本稿の知見を活用し、暗号アジリティを組織全体のリスクマネジメント枠組みに統合する包括的な戦略・戦術計画を策定できる。これにより、暗号設計・実装・調達・展開・利用に関わる従業員、ビジネスパートナー、技術サプライヤーがこれらの実践を考慮し採用することを保証する。

---

FS-ISAC

・[PDF] 2024.10 Building Cryptographic Agility in the Financial Sector - Effective, Efficient Change in a Post Quantum World

---

● Post-Quantum Cryptography Coalition（PQCC）

---

● まるちゃんの情報セキュリティ気まぐれ日記

Cryptographic Agility

・2025.12.17 欧州 政策研究センター (CEPS) 量子安全な世界へのEU移行強化 (2025.12.03)

・2025.07.25 米国 NIST CSWP 39（第2次公開ドラフト）暗号の機敏性を実現するための考慮事項：戦略と実践

・2025.03.11 米国 NIST CSWP 39（初期公開ドラフト） 暗号化の機敏性を実現するための考慮事項：戦略と実践

・2025.01.13 米国 国家安全保障局 商用国家安全保障アルゴリズム・スイート2.0および量子コンピューティングに関するFAQ更新 (2024.12.31)

・2023.12.10 欧州政策研究センター: CEPS 量子テクノロジーとサイバーセキュリティ

・2023.10.04 米国 ポスト量子暗号連合が発足 (2023.09.28)

・2023.03.04 米国 国家サイバーセキュリティ戦略を発表

・2022.05.05 米国 国家量子推進諮問委員会の強化に関する大統領令

・2021.10.06 米国 DHS CISA 量子コンピューティングの進展に伴うセキュリティリスクを軽減するためのガイダンス

Post-Quantum Cryptography Coalition（PQCC）

・2025.08.05 米国 耐量子暗号連合 (PQCC) 国際的なPQC要件 (2025.07.15)

・2025.05.26 米国 耐量子暗号連合 (PQCC) 耐量子暗号への移行についてのロードマップ (2025.05.16)

・2023.10.04 米国 ポスト量子暗号連合が発足 (2023.09.28)

SP800-57

・2025.12.14 米国 NIST SP 800-57 第6版（初期公開ドラフト）鍵管理に関する推奨事項：第1部－一般事項 (2025.12.05)

・2020.05.08 NIST SP 800-57 Part 1 Rev. 5 Recommendation for Key Management: Part 1 – General

日本...

・2025.11.29 国家サイバー統括室 政府機関等における耐量子計算機暗号（PQC）への移行は原則として2035年を目処に...(2025.11.20)

・2024.11.30 金融庁 預金取扱金融機関の耐量子計算機暗号への対応に関する検討会報告書 (2024.11.26)

閣議決定 サイバーセキュリティ戦略

こんにちは、丸山満彦です。

サイバーセキュリティ戦略が閣議決定されましたね...人工知能基本計画も閣議決定されています...

● 首相官邸

・2025.12.23 定例閣議案件

で、NCOに掲載されています...

● 国家サイバー統括室

・2025.12.23 サイバーセキュリティ戦略（閣議決定）

・2025.12.23 サイバーセキュリティ戦略（閣議決定）の概要

で、これは2025.12.08にサイバーセキュリティ推進専門家会議で決まったというのは、すでにこのブログに書いています...

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.12.24 国連他 「国家サイバーセキュリティ戦略策定のためのガイド」第3版 (2025.12.18)

・2025.12.24 閣議決定 NCO 重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針 (2025.12.23)

・2025.12.21 NCO サイバーセキュリティ推進専門家会議 第３回会合 サイバーセキュリティ戦略（案） (2025.12.08)とレジリエンスについて

・2025.11.04 国家サイバー統括室 サイバーセキュリティ戦略（案）サイバーセキュリティ推進専門家会議第2回会合

・2025.09.22 NCO サイバーセキュリティ推進専門家会議

・2025.06.09 ENISA EU諸国の国家サイバーセキュリティ戦略をマップから見れる... (2025.06.04)

・2024.03.08 韓国 国家安全保障室、ユン・ソクヨル政府の「国家サイバー安全保障戦略」 (2024.02.01)

・2023.03.03 ENISA 国家サイバーセキュリティ戦略の実施に向けた効果的なガバナンスフレームワークの構築

・2022.10.16 オランダ サイバーセキュリティ戦略2022-2028 デジタル・セキュリティー社会の実現に向けた渇望と行動 (2022.10.10)

・2022.06.21 内閣官房 サイバーセキュリティ 2022 重要インフラのサイバーセキュリティに係る行動計画 (2022.06.17)

・2022.02.22 NATO CCDCOE 「国家サイバーセキュリティ戦略策定のためのガイド」第2版 (2021.11)

・2021.12.17 英国 国家サイバー戦略

・2021.10.11 シンガポール サイバーセキュリティ戦略2021

・2021.09.28 NISC サイバーセキュリティ戦略本部 第31回会合 サイバーセキュリティ戦略確定 （予算からみるとサイバーセキュリティは経済発展というよりも安全保障？）

・2021.09.26 独国 サイバーセキュリティ戦略2021 at 2021.09.08

・2021.07.15 経団連 提言「全員参加によるサイバーセキュリティの実現に向けて」

・2021.07.13 NISC 「次期サイバーセキュリティ戦略（案）」と「サイバーセキュリティ2021（案）」に関する意見の募集について

・2021.07.12 NATO関連機関が分析したサイバー空間におけるロシアの戦略 at 2021.06.11

・2021.07.07 NISC 「サイバーセキュリティ戦略本部第30回会合」と「サイバーセキュリティ対策推進会議(CISO等連絡会議)第18回会合」

・2021.06.29 IISS サイバー対応能力と国家力 日本のサイバー能力はいけていない？

・2021.06.03 サイバー領域の制度、法律、政策などについての米英の比較

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2021.05.13 サイバーセキュリティ戦略本部 次期サイバーセキュリティ戦略の骨子

・2020.12.08 ENISA 自国のサイバーセキュリティ能力の成熟度を自己評価するための「国家能力評価フレームワーク（NCAF）」を発行

・2020.08.11 オーストラリア政府 内務省がサイバーセキュリティ戦略2020を公表していましたね。。。

---

参考 各国のサイバーセキュリティ戦略

■ EUの場合

● European Commission

・2020.12.16 The EU’s Cybersecurity Strategy for the Digital Decade

・[PDF] JOINT COMMUNICATION TO THE EUROPEAN PARLIAMENT AND THE COUNCIL - The EU's Cybersecurity Strategy for the Digital Decade

・2020.12.16 The EU's Cybersecurity Strategy in the Digital Decade

・[PDF] Factsheet

欧州各国のサイバーの国家戦略はENISAがまとめてみられるようにしていますね...

● ENISA

・2025.06.04 National Cyber Security Strategies Interactive map

■ ドイツの場合

● Bundesministerium des Innern, für Bau und Heimat 

プレス

・2021.09.08 (press) Cybersicherheitsstrategie für Deutschland 2021 beschlossen

戦略本文

・[PDF] Cybersicherheitsstrategie für Deutschland 2021

■ オランダの場合

・2022.10.10 Kabinet presenteert nieuwe cybersecuritystrategie

● 戦略

・2022.10.10 Nederlandse Cybersecuritystrategie 2022 - 2028

・[PDF] 

● 活動計画 2022-2023

・2022.10.10 Actieplan Nederlandse Cybersecuritystrategie 2022 - 2023

・[PDF] 

■ UKの場合

● National Cyber Security Centre

・2021.12.15 (news) Government publishes blueprint to protect UK from cyber threats

・2021.12.15 Policy paper National Cyber Strategy 2022

・[heml] National Cyber Strategy 2022

 ・[PDF] National Cyber Strategy 2022

・日本語訳 [Downloded]

■ U.S. の場合

・2023.03.02 FACT SHEET: Biden-⁠Harris Administration Announces National Cybersecurity Strategy

・[PDF] National Cybersecurity Strategy 

・2018.09.20 President Trump Unveils America’s First Cybersecurity Strategy in 15 Years

・[PDF] NATIONAL CYBER STRATEGY of the United States of America

・仮訳 [DOCX] 

■ 日本の場合

● 内閣官房 - サイバーセキュリティセンター - サイバーセキュリティ戦略本部

今回のもの

・2025.12.23 サイバーセキュリティ戦略（閣議決定）

前回のもの

・2021.09.28 [PDF] サイバーセキュリティ戦略

・2023.07.04 サイバーセキュリティ戦略本部 第３６回会合

• [PDF] サイバーセキュリティ2023

・2022.06.17 サイバーセキュリティ戦略本部 第３４回会合

• [PDF] サイバーセキュリティ2022 
• [PDF] 重要インフラのサイバーセキュリティに係る行動計画 
• [PDF] サイバーセキュリティ関係施策に関する令和5年度予算重点化方針 

・2021.09.27 第31回会合

• [PDF] 報道発表資料
• [PDF] サイバーセキュリティ2021

🔳オーストラリアの場合

● AU - Department of Home Affairs - Cyber security - Strategy

・2023.11.22 [PDF] 

実行計画

・2023.11.22 [PDF] 

・2020.08.06 [PDF] AUSTRALIA’S CYBER SECURITY STRATEGY 2020

2016年の前回のバージョン

・[PDF] Australia's Cyber Security Strategy」

■ 中国の場合

●  中央网络安全和信息化委员会办公室 (Cyberspace Administration of China)

 プレス発表

戦略全文

・2016.12.27 国家网络空间安全战略

・英語訳

　・2016.12.27 National Cyberspace Security Strategy

■ ロシアの場合（NATO CCDCOEの論文）

● NATO CCDCOE

・2020 [PDF] The Past, Present, and Future of Russia’s Cyber Strategy and Forces by Bilyana Lilly and Joe Cheravitch

■ インドの場合

● Data Security Council of India

・2020.08.15 [PDF] National Cyber Security Strategy 2020

■ シンガポールの場合

● Cyber Security Agency of Singapore

・2021.10.05 Singapore Updates National Cybersecurity Strategy

・The Singapore Cybersecurity Strategy 2021

・[PDF]

◾️ 韓国の場合...

・2024.02.01

・[PDF]

2019年の国家サイバーセキュリティ戦略

・韓国語 [PDF] 국가사이버안보전략

・英語 [PDF] National Cyberseuciry Strategy

----

米国 FBI 犯罪活動を助長する仮想通貨マネーロンダリングサービスを摘発 (2025.12.17)

こんにちは、丸山満彦です。

FBIが、サイバー犯罪者向けの資金洗浄サービスを提供していたロシア国籍の人を起訴したと発表していますね...

フィンランド警察との協力のようですね...

ランサムウェア等のオンライン犯罪の多くが仮想通貨（≒暗号資産）を使って資産を要求してきていると言われていますが、暗号資産が犯罪収益ののための存在するような状況にならないように、取引所等を含む事業者が適切に運営をすることが重要となりますね...

● FBI

・2025.12.17 FBI DISRUPTS VIRTUAL MONEY LAUNDERING SERVICE USED TO FACILITATE CRIMINAL ACTIVITY

FBI DISRUPTS VIRTUAL MONEY LAUNDERING SERVICE USED TO FACILITATE CRIMINAL ACTIVITY	FBI、犯罪活動を助長する仮想通貨洗浄サービスを摘発
Seized Websites Allegedly Offered Cashout Services for Cybercriminals Engaged in Illegal Activities	押収されたウェブサイトは、違法活動に従事するサイバー犯罪者向けの現金化サービスを提供していたとされる
DETROIT - The United States Attorney’s Office for the Eastern District of Michigan announced today a coordinated action with international partners and the Michigan State Police to disrupt and take down the online infrastructure used to operate E-Note, a cryptocurrency exchange that allegedly facilitated money laundering by transnational cyber-criminal organizations, including those targeting U.S. healthcare and critical infrastructure. Since 2017, the FBI identified more than $70,000,000 of illicit proceeds of ransomware attacks and account takeovers transferred via E-Note payment service and money mule network, including laundered funds stolen or extorted from U.S. victims.	デトロイト発―米国ミシガン州東部地区連邦検察局は本日、国際的な協力機関およびミシガン州警察と連携し、国際的なサイバー犯罪組織（米国の医療・重要インフラを標的とする組織を含む）による資金洗浄を助長したとされる仮想通貨取引所「E-Note」の運営基盤を破壊・摘発する共同作戦を実施したと発表した。2017年以降、FBIはE-Noteの決済サービス及び資金移動ネットワークを通じて送金された、ランサムウェア攻撃やアカウント乗っ取りによる不正収益7000万ドル以上を識別した。これには米国被害者から窃取または強要された資金の洗浄分も含まれる。
In conjunction with the operation, the U.S. Attorney’s Office also announced the unsealing of an indictment in the Eastern District of Michigan against Mykhalio Petrovich Chudnovets, 39, a Russian national, which charges him with one count of money laundering conspiracy.	今回の捜査と連動し、米司法省はミシガン州東部地区連邦地方裁判所において、ロシア国籍のミハリオ・ペトロヴィッチ・チュドノヴェッツ（39）に対する起訴状を開示したと発表した。同被告は資金洗浄共謀罪1件で起訴されている。
According to court documents, Chudnovets began offering money laundering services to cyber criminals in 2010. Until this seizure by law enforcement, Chudnovets offered money laundering services via the E-Note payment processing service, which he controlled and operated. Chudnovets worked with financially motivated cyber criminals to transfer criminal proceeds across international borders and to convert those proceeds from cryptocurrency into various cash currencies.	裁判書類によれば、チュドノベッツは2010年よりサイバー犯罪者への資金洗浄サービス提供を開始した。今回の法執行機関による差し押さえまで、自身が管理・運営する電子決済サービス「E-Note」を通じて資金洗浄サービスを提供していた。チュドノベッツは金銭目的のサイバー犯罪者と連携し、犯罪収益を国際的に移動させ、仮想通貨から様々な現金通貨へ変換していた。
As part of the coordinated actions, U.S. and international law enforcement seized servers hosting Chudnovets’ operations, mobile applications, and the websites “e-note.com,” “e-note.ws,” and “jabb.mn.” U.S. law enforcement separately obtained earlier copies of Chudnovets’ servers, including customer databases and transaction records.	今回の共同捜査の一環として、米国及び国際的な法執行機関は、チュドノヴェッツの運営サーバー、モバイルアプリケーション、並びに「e-note.com」「e-note.ws」「jabb.mn」のウェブサイトを押収した。米国法執行機関は別途、顧客データベースや取引記録を含むチュドノヴェッツのサーバーの過去のコピーを入手している。
Chudnovets is charged with one count of conspiracy to launder monetary instruments which carries a maximum penalty of 20 years in prison.	チュドノヴェッツは金融商品洗浄共謀罪で起訴され、最高20年の懲役刑が科せられる可能性がある。
United States Attorney Jerome F. Gorgon, Jr. and Special Agent in Charge Jennifer Runyan, Federal Bureau of Investigation, Detroit Division, made the announcement.	米国連邦検事ジェローム・F・ゴーゴン・ジュニア及び連邦捜査局（FBI）デトロイトディビジョンのジェニファー・ルニヤン特別捜査官が発表した。
The FBI Detroit Cyber Task Force is investigating the case.	FBIデトロイトサイバー対策チームが本件を捜査中である。
Assistant U.S. Attorney Timothy Wyse is prosecuting this case.	米国連邦検事補ティモシー・ワイズが本件を起訴している。
The Justice Department also recognizes the critical cooperation of the German Federal Criminal Police Office, the Finnish National Bureau of Investigation, and Michigan State Police Michigan Cyber Command Center (MC3).	司法省は、ドイツ連邦刑事警察庁、フィンランド国家捜査局、ミシガン州警察ミシガンサイバー司令部（MC3）の重要な協力にも感謝している。
Any individual who believes he/she is a victim whose funds were laundered through Chudnovets should reach out to law enforcement via email address [mail]	チュドノヴェッツを通じて資金が洗浄された被害者と思われる個人は、[mail] を通じて法執行機関に連絡してください。
An indictment is merely an allegation. All defendants are presumed innocent until proven guilty beyond a reasonable doubt in a court of law.	起訴状は単なる主張に過ぎない。全ての被告は、法廷において合理的な疑いを超えて有罪が証明されるまでは無罪と推定される。

欧州理事会 デジタルユーロと紙幣を通じてユーロ通貨の地位を強化する提案に合意

こんにちは、丸山満彦です。

欧州理事会で、デジタルユーロの導入を可能にし、ユーロ紙幣の法定通貨としての地位をより明確化することでユーロ通貨を強化する主要提案に関する内容が合意されたと発表されていますね...これから、欧州議会と議論していくことになりますね...

・デジタルユーロは、現金や民間決済手段と共存

・オフラインでも利用可能

・必須サービスについては手数料は無料（その他の手数料も上限付き）

みたいな感じですね...

そして合わせて、原則として、現金利用の選択肢を残す（現金締め出し禁止）。

デジタルユーロは中央銀行発行のデジタル通貨（CBDC）です。民間が発行するステーブルコインとはまた別ですね...

中央銀行発行のデジタル通貨に対する各国の政策は異なっていますよね...

こんな感じ？？？

中国は国内の経済動向の把握等の目的と国際間の人民元決済の増加（金融上の主権）の両面のメリットがあるので、積極的で大規模に推進。

欧州も欧州の主権の維持の面からもユーロの地位向上。支払い手段の多様化の維持。プライバシー上の懸念への対処。

インドも支払い手段の多様性と効率性の観点から積極的に推進

日本は、様子見（紙幣についての信頼もあり、積極的ではないが、世界の動向を踏まえていつでも変更できる準備はしておく感じ...）

ロシアは、制裁回避と金融上の主権の面からも積極的に推進（ただし、実装は予定より遅れている感じ...）

シンガポール

国・地域	CBDC名	基本的姿勢	特徴	主対象	主な動機	補足	フェーズ
中国	e-CNY	積極推進	人民元国際化	リテール・越境	国際的な影響力拡大と金融監督の強化	2020年にローンチ。2025年10月に累計取引額14.2兆元。ドル決済への依存低減、マネーロンダリング対策、経済活動の可視化	パイロット中（大規模）
欧州	デジタル・ユーロ	積極推進	通貨主権・米系依存低減	リテール	欧州の戦略的自律性確保と統一決済システムの構築	米国や中国に対する独立性維持、ユーロの国際的役割強化、プライバシー保護との両立	法制化中
インド	e₹	積極推進	UPI統合・国際送金	リテール・越境	金融包摂の推進と決済システムの効率化	2022年パイロット開始。既存の決済システム（UPI）との共存・補完、リテールおよびホールセールCBDCの並行開発	パイロット中（急拡大）
日本	デジタル円	慎重な準備	オプション確保	リテール	将来の環境変化への備えと民間との協調	2021年研究開始。文化の尊重、二層構造（間接型）の維持による決済システム全体の安定性・効率性向上	検討中（概念実証）
ロシア	デジタル・ルーブル	積極推進	制裁耐性	リテール・越境	制裁回避と金融主権の強化	2023年導入。国境を越えた取引における米ドルの役割低減、金融の自律性促進	パイロット中
シンガポール	ホールセールCBDC	積極推進	トークン化資産の決済基盤	銀行間・資本市場	金融ハブとしての地位強化と金融市場の効率化	ホールセールCBDCによるトークン化資産の決済実験、国際的な連携	パイロット中
英国	デジタル・ポンド	着実な準備	多様なマネーのアンカー	リテール	将来の決済環境変化への備えと金融安定性の維持	現金の補完。2025年実証を実施。2026年まで設計段階。導入の決定はされていない。	検討中（設計中）
米国	デジタル・ドル	戦略的停止	プライバシー懸念	リテール	民間主導のイノベーション支援と個人の自由・プライバシー重視	2025年3月にCBDC禁止の大統領令。規制されたドル建てステーブルコインによる国際的地位の維持・強化	研究

● European Council

プレス

・2025.12.19 Single currency: Council agrees position on the digital euro and on strengthening the role of cash

Single currency: Council agrees position on the digital euro and on strengthening the role of cash	単一通貨：理事会、デジタルユーロと現金強化に関する立場を合意
The Council today agreed its negotiating position on key proposals to strengthen the euro currency by enabling the introduction of a digital euro and by better clarifying the legal tender status of euro cash. In turn, these initiatives will help improve the EU’s strategic autonomy, economic security and resilience.	理事会は本日、デジタルユーロの導入を可能にし、ユーロ現金の法定通貨としての地位をより明確化することでユーロ通貨を強化する主要提案に関する交渉立場を合意した。これらの取り組みは、EUの戦略的自律性、経済的安全保障、レジリエンスの向上に寄与する。
The proposals relate to two regulations setting out the legal framework for the potential issuance of a digital euro, and a regulation to safeguard the role of cash in the EU by ensuring its wide acceptance and availability.	提案内容は、デジタルユーロ発行の可能性に関する法的枠組みを定める2つの規則と、現金が広く受け入れられ入手可能であることを確保することでEUにおける現金の役割を保護する規則に関するものである。
The digital euro is an important step towards a more robust and competitive European payment system, and can contribute to Europe’s strategic autonomy and economic security, as well as a strengthened international role for the euro.	デジタルユーロは、より強固で競争力のある欧州決済システムに向けた重要な一歩であり、欧州の戦略的自律性と経済的安全保障、ならびにユーロの国際的役割の強化に貢献し得る。
Stephanie Lose, Danish Minister for Economic Affairs	ステファニー・ロース（デンマーク経済大臣）
Europe’s strategic autonomy must be strengthened, including in the payments sector. The proposal for a digital euro is specifically aimed at enhancing the resilience of the payments infrastructure in the euro area. The Council’s agreement therefore sends a clear signal that the EU is capable of taking action on this important agenda.	欧州の戦略的自律性は、決済分野を含め強化されねばならない。デジタルユーロの提案は特に、ユーロ圏の決済インフラのレジリエンスを高めることを目的としている。したがって、理事会の合意は、EUがこの重要な課題に対して行動を起こす能力を有しているという明確な信号を発している。
Morten Bødskov, Danish Minister for Industry, Business, and Financial Affairs	モーテン・ボーデスコフ、デンマーク産業・ビジネス・金融大臣
Digital euro	デジタルユーロ
The digital euro would complement cash and would be available to the general public and businesses to make payments anytime and anywhere in the euro area. As a truly public facility directly backed by the European Central Bank (ECB), it would help preserve central bank money as the main anchor for a well-functioning payments system.	デジタルユーロは現金を補完するものであり、ユーロ圏内の一般市民や企業がいつでもどこでも決済を行うために利用可能となる。欧州中央銀行（ECB）が直接裏付けを行う真に公共的な施設として、機能的な決済システムの主要な基盤として中央銀行マネーを維持するのに役立つ。
Under the proposal, the digital euro would:	提案によれば、デジタルユーロは以下の特徴を持つ：
・be available online or offline and therefore usable even without an internet connection	・オンライン・オフライン両方で利用可能であり、インターネット接続がなくても使用できる
・allow for payments and money transfers with a high degree of privacy	・高いプライバシーの下で決済・送金を可能とする
・exist alongside national and international private means of payment, such as cards or applications run by privately-owned providers	・カードや民間プロバイダが運営するアプリなど、国内・国際的な民間決済手段と共存する
Once the proposal to establish the legal framework is adopted by the European Parliament and Council, it will ultimately be for the ECB to decide whether to issue the digital euro. The ECB has recently indicated that the digital euro could be up and running by 2029.	法的枠組みの確立に関する提案が欧州議会と理事会で採択された後、デジタルユーロを発行するかどうかは最終的にECBが決定する。ECBは最近、デジタルユーロが2029年までに運用開始される可能性を示唆している。
In its position agreed today, the Council has clarified a number of important elements regarding the design of the digital euro.	本日合意された理事会の立場では、デジタルユーロの設計に関する重要な要素が明確化された。
To avoid the digital euro being used as a store of value and any impact on financial stability, the text provides for limits on the total amount of digital euros that can be held on online digital accounts and in digital wallets at any one time. The limits will be set by the ECB, but must respect an overall ceiling agreed by the Council which will be reviewed at least every two years.	デジタルユーロが価値保存手段として利用されることや金融安定性への影響を避けるため、オンライン口座やデジタルウォレットに同時に保有できるデジタルユーロの総額に制限を設けることが規定されている。限度額はECBが設定するが、理事会が合意した総量上限を遵守する必要があり、この上限は少なくとも2年ごとに見直される。
Payment service providers may not charge consumers for certain mandatory services, such as opening and closing accounts, carrying out digital euro payment transactions from their account or wallet, or funding and defunding their digital euro accounts or wallets with money from their other deposit accounts in the same payment service provider. However, certain added-value services may be subject to fees.	決済サービスプロバイダは、口座開設・解約、口座またはウォレットからのデジタルユーロ決済取引、同一決済サービスプロバイダ内の他の預金口座からのデジタルユーロ口座・ウォレットへの資金移動・引き出しといった必須サービスについて、消費者から手数料を徴収してはならない。ただし、特定の付加価値サービスについては手数料が課される場合がある。
The text also lays out a framework to ensure that providers of digital euro interfaces and services receive the necessary access to mobile device producers’ hardware and software to ensure that fair access can be granted.	また、本条文は、デジタルユーロのインターフェース及びサービスプロバイダが、公平なアクセスを保証するために必要なモバイル端末メーカーのハードウェア及びソフトウェアへのアクセス権を確実に得られる枠組みを定めている。
Additionally, the text lays out the framework for how PSPs shall be compensated. During a transitional period of at least five years, interchange and merchant service charges will be capped at a level based on fees for comparable means of payments. After the transitional period, fee caps will be set based on the actual costs associated with the digital euro.	さらに、本条文は決済サービス事業者（PSP）への報酬体系の枠組みを定める。少なくとも5年間の移行期間中、相互決済手数料及び加盟店サービス手数料は、同等の決済手段の手数料を基準とした上限額に制限される。移行期間終了後は、デジタルユーロに関連する実費に基づき手数料上限が設定される。
Strengthening the legal tender status of euro cash	ユーロ紙幣の法定通貨としての地位強化
Under current EU law, euro cash is the only legal tender in the euro area. This means that physical euro cash must generally be available and accepted to pay for services and goods and to discharge debts, subject to well-framed and monitored exceptions.	現行のEU法では、ユーロ紙幣はユーロ圏における唯一の法定通貨である。これは、明確に規定され監視された例外を除き、サービスや商品の支払い、債務の履行のために、物理的なユーロ紙幣が一般的に利用可能かつ受け入れられなければならないことを意味する。
The proposal on which the Council has now reached its position aims to clarify these rules, including their interplay with the digital euro, to ensure consistency among the two forms of public money. The proposal’s main provisions aim to:	理事会が現在立場をまとめた提案は、これらの規則（デジタルユーロとの相互関係を含む）を明確化し、二つの公的通貨形態間の一貫性を確保することを目的としている。提案の主な規定は以下を目指す：
・safeguard acceptance of cash as a payment method throughout the euro area	・ユーロ圏全域における現金決済手段としての受入れを保護する
・guarantee that people have access to cash and are free to choose their preferred payment method	・人々が現金にアクセスでき、好みの決済手段を自由に選択できることを保証する
In its position, the Council indicates its wish to effectively ban non-acceptance of cash by retailers or service providers with a few exceptions, notably for payments for goods or services purchased at a distance, including online, and unmanned points of sale. Businesses may however still indicate a preference for card or digital forms of payment.	理事会は立場表明において、小売業者やサービス提供者による現金非受入れを、オンラインを含む遠隔購入や無人販売所など、いくつかの例外を除き事実上禁止する意向を示した。ただし事業者は、カードやデジタル決済を優先することを依然として表明できる。
The Council’s negotiating mandate requires EU member states to monitor the acceptance of cash and to ensure access to cash throughout their territory on the basis of common and national indicators and take remedial measures where necessary.	理事会の交渉指令は、EU加盟国に対し、共通指標及び国内指標に基づき自国全域での現金受入状況を監視し、現金へのアクセスを確保するとともに、必要に応じて是正措置を講じることを求めている。
Finally, member states are expected to establish a cash resilience plan or measures for situations of widespread and severe disruptions of the continuity of electronic means of payments.	最後に、加盟国は、電子決済手段の継続性が広範かつ深刻に阻害される事態に備え、現金レジリエンシー計画または対策を策定することが期待されている。
Next steps	今後の手順
With this agreed position, the Council can enter into negotiations with the European Parliament on the digital euro and the legal tender status of cash.	この合意された立場に基づき、理事会は欧州議会とデジタルユーロ及び現金の法定通貨としての地位について交渉を開始できる。
Council negotiation mandate on the establishment of the digital euro	デジタルユーロ創設に関する理事会交渉指令
Council negotiation mandate on the provision of digital euro services by non-Euro area payment service providers	非ユーロ圏決済サービスプロバイダによるデジタルユーロサービス提供に関する理事会交渉指令
Council negotiation mandate on legal tender of euro banknotes and coins	ユーロ紙幣・硬貨の法定通貨としての地位に関する理事会交渉指令
Towards a digital euro (background information)	デジタルユーロに向けて（背景情報）
The euro (background information)	ユーロ（背景情報）

デジタルユーロの説明...

The digital euro explained	デジタルユーロの説明
The digital euro would be a digital form of central bank money, issued by the European Central Bank, for retail use alongside physical cash.	デジタルユーロは、欧州中央銀行が発行する中央銀行マネーのデジタル形態であり、物理的な現金と並行して小売用途で使用されるものである。
On this page	このページの目次
What would the digital euro be?	デジタルユーロとは何か？
Key features of the digital euro	デジタルユーロの主な特徴
Why do we need a digital euro?	なぜデジタルユーロが必要なのか？
How would the digital euro work?	デジタルユーロはどのように機能するのか？
The legislative process to introduce the digital euro	デジタルユーロ導入のための立法プロセス
What would the digital euro be?	デジタルユーロとは何か？
The digital euro is the EU’s project to introduce a digital form of cash. It would be a central bank digital currency,  issued by the European Central Bank (ECB), and available to everyone in the euro area	デジタルユーロとは、EUが推進するデジタル現金導入プロジェクトである。欧州中央銀行（ECB）が発行する中央銀行デジタル通貨（CBDC）であり、ユーロ圏の全住民が利用可能となる。
The digital euro would complement, not replace, banknotes and coins. It would give people an additional choice when paying, while preserving cash as a means of payment.	デジタルユーロは紙幣や硬貨を代替するものではなく、補完するものである。現金という決済手段を維持しつつ、人々に追加の支払い選択肢を提供する。
Public versus private money	公的通貨と民間通貨
To understand how the digital euro would work, it is important to distinguish between central bank money and private money.	デジタルユーロの仕組みを理解するには、中央銀行通貨と民間通貨の違いを区別することが重要だ。
Central bank money is public money in that it is issued by a central bank and, as such, represents a ‘public good’. For now, it is available to the public mainly in the form of banknotes and coins used for cash payments.	中央銀行通貨は公的通貨であり、中央銀行が発行する「公共財」である。現時点では主に紙幣や硬貨の形で流通し、現金決済に利用されている。
Private money, is created by commercial banks. It includes money held in bank accounts and used for everyday payments, such as card payments or online transfers. In daily life, people regularly convert private money into public money (for example, by withdrawing cash) and vice versa.	民間通貨は商業銀行によって創造される。銀行口座に保有され、カード決済やオンライン送金などの日常的な支払いに使用される通貨を含む。日常生活では、人々は民間通貨を公的通貨に（例えば現金を引き出すことで）変換し、その逆も頻繁に行う。
Key features of the digital euro	デジタルユーロの主な特徴
Complementary to cash	現金の補完
The digital euro would complement cash, not replace it.	デジタルユーロは現金を置き換えるのではなく、補完するものとなる。
Public form of digital money	公的形態のデジタル通貨
The digital euro would be issued by the ECB, just like cash.	デジタルユーロは現金と同様に欧州中央銀行（ECB）が発行する。
Accepted everywhere in the euro area	ユーロ圏全域で通用
People would be able to use the digital euro across the euro area in shops and with vendors who accept digital payments.	デジタル決済を受け入れる店舗や業者において、ユーロ圏全域でデジタルユーロを利用できる。
Free basic access	基本サービスの無料提供
Basic services, such as holding, sending and receiving digital euros, would be free of charge for consumers.	デジタルユーロの保有・送金・受取といった基本サービスは消費者向けに無料となる。
Backed by the European Central Bank	欧州中央銀行による裏付け
The ECB would guarantee the value of the digital euro, in the same way it guarantees physical cash. The digital euro would not be a cryptocurrency.	ECBは現金の価値を保証するのと同じように、デジタルユーロの価値を保証する。デジタルユーロは仮想通貨ではない。
Available offline	オフライン利用可能
People would be able to use the digital euro both online and offline, allowing payments even without an internet connection.	デジタルユーロはオンライン・オフライン両方で利用でき、インターネット接続がなくても支払いが可能だ。
High degree of privacy	高いプライバシー
The digital euro would offer a high level of privacy for payments, while still complying with EU rules to prevent fraud and money laundering.	デジタルユーロは支払いに高いプライバシーを提供しつつ、詐欺やマネーロンダリング防止のためのEU規則にも準拠する。
Driving innovation	イノベーションの推進
The digital euro would drive innovation and support digitalisation in the European economy.	デジタルユーロはイノベーションを促進し、欧州経済のデジタル化を支援する。
Why do we need a digital euro?	なぜデジタルユーロが必要なのか？
Introducing the digital euro is necessary to ensure that the euro continues to cater for people’s changing payment preferences and to strengthen the euro area’s strategic autonomy.	ユーロが人々の変化する決済ニーズに応え続け、ユーロ圏の戦略的自律性を強化するためには、デジタルユーロの導入が必要である。
Adapting to digital payments	デジタル決済への適応
Although cash remains the most frequently used payment method in Europe, people in the euro area increasingly rely on cards, mobile apps, and online payments.	欧州では現金が依然として最も頻繁に利用される決済手段だが、ユーロ圏の人々はカード、モバイルアプリ、オンライン決済への依存度を高めている。
Currently, central bank money exists only in physical form (cash) and cannot be used directly for everyday digital payments. A digital euro would bridge this gap  by giving everyone the option to pay digitally with public money, backed by the ECB and available alongside cash.	現在、中央銀行マネーは物理的な形態（現金）でのみ存在し、日常的なデジタル決済に直接利用できない。デジタルユーロは、ECBが裏付けし現金と並行して利用可能な公的資金によるデジタル決済の選択肢を全ての人に提供することで、このギャップを埋める。
Purchase transactions for goods and services in the euro area	ユーロ圏における商品・サービスの購入取引
Study on the payment attitudes of consumers in the euro area (European Central Bank)	ユーロ圏消費者の決済態度に関する調査（欧州中央銀行）
Strengthening Europe’s open strategic autonomy	欧州の開放的な戦略的自律性の強化
Digital payments in the euro area are fragmented. Many countries rely heavily on international card schemes for card payments (13 out of 20). As a result, digital euro payments are often processed through non-EU infrastructures with related data stored in a non-EU country, and fees are set according to commercial conditions defined outside the EU.	ユーロ圏のデジタル決済は分断されている。多くの国がカード決済において国際カードスキームに大きく依存している（20カ国中13カ国）。その結果、デジタルユーロ決済はしばしばEU域外のインフラを通じて処理され、関連データはEU域外に保存され、手数料はEU域外で定義された商業条件に基づいて設定される。
13 out of 20	20カ国中13カ国
euro area countries rely on international card schemes	ユーロ圏国が国際カードスキームに依存
The digital euro would offer a pan-European payment solution, available throughout the euro area, under European governance and operated by European providers.It would strengthen the resilience of the euro area’s payment system and give people a European digital payment option, alongside existing private solutions.	デジタルユーロは、欧州のガバナンスのもと、欧州のプロバイダが運営する、ユーロ圏全域で利用可能な汎欧州的な決済ソリューションを提供する。これによりユーロ圏の決済システムのレジリエンスが強化され、既存の民間ソリューションに加え、欧州のデジタル決済選択肢が人々に提供される。
How would the digital euro work?	デジタルユーロはどのように機能するのか？
The digital euro would be designed to be easy to use and familiar, being similar to other digital payment solutions.	デジタルユーロは、他のデジタル決済ソリューションと同様に、使いやすく親しみやすい設計となる。
People would be able to access the digital euro through a dedicated digital euro account or through a digital wallet, provided by their bank or another intermediary. It will be free of charge to set up and use a basic digital euro wallet.	人々は、銀行や他のプロバイダが提供する専用のデジタルユーロ口座、またはデジタルウォレットを通じてデジタルユーロを利用できる。基本的なデジタルユーロウォレットの設定と利用は無料である。
With a digital euro account and their digital wallet, depending on the case, people would be able to:	デジタルユーロ口座とデジタルウォレットを利用することで、状況に応じて以下が可能となる：
pay in shops, both online and in person	・オンライン・実店舗での支払い
make person-to-person payments, such as sending money to friends or family	・友人や家族への送金など個人間決済
use the digital euro online and offline, including without an internet connection	・インターネット接続の有無を問わず、オンライン・オフラインでのデジタルユーロ利用
To safeguard financial stability, there would be limits on the amount of digital euros individuals can hold in their wallet at any given time. These limits would ensure that the digital euro is used mainly as a means of payment, rather than as a store of value, and would help prevent risks to financial stability.	金融安定性を守るため、個人がウォレットに保有できるデジタルユーロの金額には制限が設けられる。この制限により、デジタルユーロは主に価値の保存手段ではなく支払い手段として利用され、金融安定性へのリスク防止に寄与する。
How is the digital euro different from cards or mobile payment apps?	デジタルユーロはカードやモバイル決済アプリとどう違うのか？
The digital euro would not replace cards or mobile payment apps, but would complement them by offering an additional way to pay digitally.	デジタルユーロはカードやモバイル決済アプリに取って代わるものではなく、デジタル決済の追加手段としてそれらを補完する。
Today, many digital payments in the euro area rely on payment systems operated outside the EU. When these systems are used, payments made in euros may be processed through non-EU infrastructures before reaching the seller. This means that significant payment flows and related fees, as well as personal transaction data, are handled by non-European providers.	現在、ユーロ圏における多くのデジタル決済はEU域外で運営される決済システムに依存している。これらのシステムを利用する場合、ユーロ建ての支払いは売主に到達する前に非EUのインフラを通過する可能性がある。これは、多額の決済フローや関連手数料、個人データが欧州外のプロバイダによって処理されることを意味する。
With the digital euro, payments would be processed within the EU. The digital euro would be 'public' money issued by the ECB, which issues and safeguards the euro. It would allow people to pay digitally using central bank money across the euro area, offering a single European payment solution available in all euro area countries.	デジタルユーロでは、支払いはEU域内で処理される。デジタルユーロはユーロを発行・保護するECBが発行する「公的」通貨となる。これにより、ユーロ圏全域で中央銀行通貨を用いたデジタル決済が可能となり、全てのユーロ圏国で利用可能な単一の欧州決済ソリューションを提供する。
Debit and credit cards and mobile payment apps, by contrast, rely on private bank money issued by commercial banks and operate through private payment schemes, often involving fees.	一方、デビットカード・クレジットカードやモバイル決済アプリは、民間銀行が発行する民間銀行通貨に依存し、手数料を伴うことが多い民間決済スキームを通じて運営されている。
How is the digital euro different from crypto-assets?	デジタルユーロは暗号資産とどう違うのか？
The digital euro would not be a crypto-asset.	デジタルユーロは暗号資産ではない。
The digital euro would be backed by the ECB, the institution that issues and safeguards the euro, just like cash. It would always be worth its face value: one digital euro would always be worth exactly the same as a €1 coin.	デジタルユーロは現金と同様に、ユーロを発行・管理する機構であるECBによって裏付けられる。常に額面通りの価値を保つ：1デジタルユーロは常に1ユーロ硬貨と全く同等の価値を持つ。
Crypto-assets (e.g. cryptocurrency), by contrast, are not backed or managed by a central authority. Their value can fluctuate significantly, which makes them risky and unstable. There is also no guarantee that crypto-assets can be exchanged for cash or used as a means of payment when needed.	一方、暗号資産（例：仮想通貨）は中央機関による裏付けや管理がない。その価値は大きく変動しやすく、リスクが高く不安定だ。また、必要な時に現金と交換できる保証も、支払い手段として使える保証もない。
The legislative process to introduce the digital euro	デジタルユーロ導入に向けた立法プロセス
In June 2023, the Commission put forward the single currency package. The package includes a proposal setting out the legal framework for the possible introduction of the digital euro, as well as a complementary proposal on its possible distribution by payment service providers incorporated in member states whose currency is not the euro.	2023年6月、欧州委員会は単一通貨パッケージを提案した。このパッケージには、デジタルユーロ導入の可能性に関する法的枠組みを定める提案と、ユーロ圏外加盟国に設立された決済サービス事業者によるデジタルユーロ流通の可能性に関する補足提案が含まれている。
On 19 December 2025, the Council adopted its positions on the key proposals to strengthen the euro currency by introducing a digital euro.Now that these positions have been agreed, the Council can enter into negotiations with the European Parliament.	2025年12月19日、理事会はデジタルユーロ導入によるユーロ通貨強化の主要提案について立場を採択した。これらの立場が合意されたことで、理事会は欧州議会との交渉を開始できる。
Once the proposal to establish the legal framework has been adopted by the European Parliament and Council, it will ultimately be for the ECB to decide whether to issue the digital euro. The ECB has recently indicated that the digital euro could be up and running by 2029.	法的枠組みを確立する提案が欧州議会と理事会で採択された後、デジタルユーロを発行するかどうかは最終的に欧州中央銀行（ECB）が決定する。ECBは最近、デジタルユーロが2029年までに稼働開始する可能性があると示唆している。
A proposal on access to cash	現金へのアクセスに関する提案
The single currency package also includes a proposal to strengthen the legal tender status of cash. This means that euros in physical cash must generally be available and accepted as payment for goods and services and to discharge debts, subject to well-defined and properly monitored exceptions.	単一通貨パッケージには、現金の法定通貨としての地位を強化する提案も含まれている。これは、明確に定義され適切に監視される例外を除き、物理的な現金としてのユーロが、商品やサービスの支払い、債務の履行のために一般的に利用可能かつ受け入れられなければならないことを意味する。
On 19 December 2025, the Council agreed its position, aiming to clarify these rules, including how they interact with the digital euro, in order to ensure consistency between the two forms of central bank money. The proposal’s main provisions aim to:	2025年12月19日、理事会は、中央銀行マネーの二形態間の一貫性を確保するため、これらの規則（デジタルユーロとの相互作用を含む）を明確化する方針を合意した。提案の主な規定は以下を目指す：
・safeguard the acceptance of cash as a payment method throughout the euro area	・ユーロ圏全域における現金決済手段としての受入れを保護する
・guarantee that people have access to cash and are free to choose their preferred payment method	・人々が現金にアクセスでき、好みの決済手段を自由に選択できることを保証する
Single currency: Council agrees position on the digital euro and on strengthening the role of cash (press release, 19 December 2025)	単一通貨：理事会、デジタルユーロと現金の役割強化に関する立場を合意（プレスリリース、2025年12月19日）

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.10.23 欧州 EDPB デジタルユーロとトークンベースのオフラインモダリティ (2025.10.20)

・2024.02.14 ドイツ BSI TR-03179-1 中央銀行デジタル通貨-第1部：バックエンドシステムに関する要求事項 (2024.02.08)

・2023.08.09 ロシア デジタル・ルーブルのロゴ

・2023.07.13 ロシア デジタル・ルーブル

・2023.07.04 世界経済フォーラム (WEF) 中央銀行デジタル通貨 (CBDC) グローバル相互運用性原則

・2023.07.01 欧州委員会 デジタルユーロの立法案

・2022.08.19 世界経済フォーラム (WEF) 暗号通貨とステーブルコインがもたらすマクロ経済への影響  (2022.07.22)

・2022.04.04 米国 デジタル・ドルができる？ H.R. 7231 電子通貨および安全なハードウェア（ECASH）法案

・2021.12.13 中国 第14次5カ年計画 デジタル経済開発計画

・2021.07.15 国際決済銀行 (BIS) ・国際通貨基金 (IMF) ・世界銀行 国際決済のための中央銀行デジタル通貨 (CBDC) に関するG20への報告書

英国 NCSC Web PKIにおける証明書のプロビジョニングと管理 (2025.12.10)

こんにちは、丸山満彦です。

NCSCが、Web PKIにおける証明書のプロビジョニングと管理に関するガイダンスを公表しています...

証明書の管理はきちんとしましょうということですね...

Reduce the likelihood and impact of compromise	侵害の可能性と影響を低減する
1.1 Protect your private keys	1.1 秘密鍵の防御
1.2 Do not rely upon certificate revocation	1.2 証明書失効に依存しない
1.3 Scope certificates according to your infrastructure	1.3 インフラストラクチャに応じた証明書のスコープ設定
1.4 List specific domains rather than using wildcard certificates	1.4 ワイルドカード証明書ではなく特定のドメインを列挙する
1.5 Use CAA DNS records	1.5 CAA DNSレコードの使用
Reduce the likelihood of weak or expired certificates	脆弱な証明書や期限切れ証明書の発生確率を減らす
2.1 Use automated certificate provisioning/renewal	2.1 自動化された証明書プロビジョニング/更新の利用
2.2 Be prepared for shorter validity periods	2.2 有効期間の短縮に備える
2.3 Use modern cryptography	2.3 最新の暗号技術を使用する
2.4 Prefer Domain Validation certificates for all use cases	2.4 全てのユースケースでドメイン妥当性確認証明書を優先する
Monitor certificate issuance and renewal	証明書の発行と更新を監視する
3. Monitor certificate issuance and renewal	3. 証明書の発行と更新を監視する

● UK NCSC

・2025.12.10 Provisioning and managing certificates in the Web PKI

Provisioning and managing certificates in the Web PKI	Web PKI における証明書のプロビジョニングと管理
How service owners should securely provision and manage certificates in the Web PKI.	サービス所有者が Web PKI において証明書を安全にプロビジョニングし管理する方法。
in this guidance	本ガイダンスの内容
Introduction	序論
Threats to the Web PKI	Web PKI に対する脅威
Reduce the likelihood and impact of compromise	侵害の可能性と影響を低減する
Reduce the likelihood of weak or expired certificates	脆弱な証明書や期限切れ証明書の発生可能性を低減する
Monitor certificate issuance and renewal	証明書の発行と更新を監視する
Summary	概要
Certificates are an important part of providing encryption services. They are used to identify and authenticate clients and gateways at the point when encrypted connections are established. This guidance helps architects, designers and engineers to make appropriate choices when obtaining and managing certificates to authenticate their online services to users.	証明書は暗号化サービスを提供する上で重要な要素である。暗号化された接続が確立される時点で、クライアントやゲートウェイを識別・認証するために使用される。本ガイダンスは、アーキテクト、設計者、エンジニアが、ユーザーに対してオンラインサービスを認証するための証明書を取得・管理する際に適切な選択を行うのに役立つ。
Note:	注記：
This guidance focuses on server authentication rather than client authentication. Most use cases for client authentication are better served with a privately hosted Public Key Infrastructure (PKI), which the NCSC address in separate guidance.	本ガイダンスはクライアント認証ではなくサーバー認証に焦点を当てている。クライアント認証のほとんどのユースケースは、NCSCが別のガイダンスで扱うプライベートにホストされた公開鍵基盤（PKI）の方が適している。
Introduction	序論
In the Web Public Key Infrastructure (Web PKI), certificates are used to demonstrate ownership of a domain or service to the end user. A third party, known as a Certificate Authority (CA):	Web公開鍵基盤（Web PKI）では、証明書はエンドユーザーに対してドメインやサービスの所有権を示すために使用される。認証局（CA）と呼ばれるサードパーティは以下のことを行う：
・verifies that the holder of a particular asymmetric key pair controls a given domain	・特定の非対称鍵ペアの保持者が指定されたドメインを管理していることを検証する
・creates a secure cryptographic association between the public key and the domain in a data structure called a certificate	・証明書と呼ばれるデータ構造内で、公開鍵とドメインの間に安全な暗号的関連付けを作成する
This certificate is then used for authenticating TLS connections that serve data to users. This authentication stems from two facts:	この証明書は、ユーザーにデータを提供するTLS接続の認証に使用される。この認証は次の二つの事実に基づいている：
1. Only the holder of the private key associated to any given certificate can generate signatures that will correctly verify using the public key in that certificate.	1. 特定の証明書に関連付けられた秘密鍵の保持者だけが、その証明書の公開鍵で正しく検証される署名を生成できる。
2. End users trust the CA to verify that the legitimate domain-owner holds the private key.	2. エンドユーザーは、正当なドメイン所有者が秘密鍵を保持していることをCAが検証すると信頼している。
In a closed ecosystem, this can be achieved by creating and managing a private PKI which is described in the NCSC’s Design and build a privately hosted Public Key Infrastructure guidance. However, in an open ecosystem such as the internet, the private PKI approach would result in a bootstrapping problem; how does the user – who has had no prior contact with the domain or service – gain trust in the private root CA?	閉鎖的な環境では、NCSCの「プライベート公開鍵基盤の設計と構築」ガイドラインで説明されているように、プライベートPKIを構築・管理することでこれを実現できる。しかしインターネットのようなオープンな環境では、プライベートPKIアプローチはブートストラップ問題を引き起こす。つまり、ドメインやサービスと事前に関わったことのないユーザーが、どうやってプライベートルートCAを信頼するかという問題だ。
To resolve this problem, the Web PKI was created. In the Web PKI, web browsers and operating systems maintain ‘trust stores’ of public root CAs, and any certificate which is cryptographically linked to one of these public root CAs will itself be trusted.	この問題を解決するため、Web PKIが考案された。Web PKIでは、ウェブブラウザやOSが「信頼ストア」として公開ルートCAを保持しており、これらの公開ルートCAのいずれかと暗号的に関連付けられた証明書は、それ自体も信頼される。
Inclusion of a public root CA in a given trust store is subject to the CA operator demonstrating that it is meeting the standards agreed by the CA/Browser Forum, and any other rules the trust store may choose to impose. The CA/Browser Forum standards provide assurance that a CA is operating correctly and will only issue certificates to entities who can prove they control a domain or service.	特定の信頼ストアへの公開ルートCAの登録は、CA運営者がCA/ブラウザフォーラムで合意された標準、および信頼ストアが課すその他の規則を満たしていることを証明することを条件とする。CA/ブラウザフォーラムの標準は、CAが適切に運営され、ドメインやサービスを管理していることを証明できる事業体にのみ証明書を発行することを保証する。
To summarise; users can trust a certificate as legitimate if the CA that issued it has a public root in the trust store.	要約すると、ユーザーは、発行元CAの公開ルートが信頼ストアに登録されている場合、その証明書を正当なものとして信頼できる。
Threats to the Web PKI	Web PKIに対する脅威
If you run a service dependent on the Web PKI, there are three principal threats you should be concerned about:	Web PKIに依存するサービスを運営する場合、主に以下の3つの脅威に注意すべきである：
1. An attacker obtains a certificate for your domain, with a private key that they control. This enables them to impersonate you, so they can exploit the trust users have in your brand to deliver misinformation or malware. The primary mitigations to this threat are around reducing the likelihood and impact of compromise.	1. 攻撃者があなたのドメインの証明書を入手し、その秘密鍵を制御する。これにより攻撃者はあなたになりすますことができ、ユーザーがあなたのブランドに抱く信頼を悪用して誤情報やマルウェアを配信する。この脅威に対する主な緩和は、侵害の可能性と影響を低減することにある。
2. Certificate mis-management results in you having a weakened certificate, or no certificate. This means that users have no way of securely connecting to your service, at best meaning their browser will prevent them from connecting, and at worst meaning that they will connect insecurely and an attacker will be able to break the confidentiality of this connection. The primary mitigations to this threat are around reducing the likelihood of weak or expired certificates.	2. 証明書の管理ミスにより、脆弱な証明書が発行されるか、証明書が発行されない状態になる。これによりユーザーは安全にサービスに接続できなくなる。最悪の場合、ブラウザが接続を拒否せず、攻撃者が通信の機密性を侵害できる状態となる。主な緩和は脆弱な証明書や期限切れ証明書の発生確率を減らすことだ。
3. You’re unaware that either of the above threats have been realised, meaning that you’re slower to react so the damage is prolonged and affects more users. The primary mitigation to this threat is to monitor certificate issuance and renewal.	3. 上記いずれかの脅威が発生したことに気付かない場合、対応が遅れ被害が長期化しより多くのユーザーに影響する。この脅威に対する主な緩和は、証明書の発行と更新を監視することである。
The recommendations in this guidance are targeted at mitigating one or more of these threats and are grouped as such.	本ガイダンスの推奨事項は、これらの脅威の一つまたは複数を軽減することを目的としており、そのように分類されている。
Reduce the likelihood and impact of compromise	侵害の可能性と影響を低減する
1.1 Protect your private keys	1.1 秘密鍵の保護
The security provided by a certificate largely stems from the secrecy of the private key, so it is absolutely imperative that you protect the confidentiality of your private keys. If an attacker can obtain the private key for your domain, then they can serve malicious content which appears to come from that domain.	証明書のセキュリティは主に秘密鍵の機密性に基づくため、秘密鍵の防御は絶対的に不可欠である。攻撃者がドメインの秘密鍵を入手できれば、そのドメインからのように見せかけた悪意のあるコンテンツを配信できる。
It is also important to protect the integrity and availability of your private key. If an attacker can modify or deny access to a private key, then you will not be able to generate valid signatures. This means users can no longer trust your content, and will be unable to connect securely, disrupting service availability and potentially causing reputational damage.	秘密鍵の完全性と可用性を防御することも重要である。攻撃者が秘密鍵を改ざんまたはアクセス拒否できれば、有効な署名の生成ができなくなる。これによりユーザーはコンテンツを信頼できなくなり、安全な接続が不可能となる。サービス可用性が妨げられ、評判の毀損を招く恐れがある。
We do not recommend keeping backups of private keys used in the Web PKI, as this introduces a new confidentiality risk (as each backup key also needs to be securely managed, which often outweighs the availability risk you’re trying to mitigate). If a private key is lost or corrupted, obtaining a new certificate is generally safer and easier than keeping a backup and restoring the key.	Web PKIで使用する秘密鍵のバックアップ保持は推奨しない。新たな機密性リスクを生むためだ（各バックアップ鍵も安全に管理する必要があり、緩和しようとしている可用性リスクを上回る場合が多い）。秘密鍵が紛失または破損した場合、バックアップを保持して復元するよりも、新しい証明書を取得する方が一般的に安全かつ容易である。
If hosting your service in the cloud then we recommend using the native cloud key management service (KMS) to generate and protect your private keys. The KMS should be trusted to perform these roles, and options such as exporting keys for backup or ‘bring your own key’ (BYOK) / ‘hold your own key’ (HYOK) should be avoided. As a general rule when configuring the KMS, you should choose options that reduce human access to private keys.	サービスをクラウドでホストする場合、ネイティブのクラウド鍵管理サービス（KMS）を使用して秘密鍵を生成・防御することを推奨する。KMSはこれらの役割を遂行できる信頼性を持つべきであり、バックアップ目的での鍵のエクスポートや「鍵の持ち込み（BYOK）」／「鍵の保持（HYOK）」といったオプションは避けるべきだ。KMSを設定する際の一般的な原則として、秘密鍵への人的アクセスを減らす選択肢を選ぶべきである。
1.2 Do not rely upon certificate revocation	1.2 証明書失効に依存しない
Certificate revocation is the process by which certificates can be invalidated before they naturally expire. There are several events that would warrant revocation, ranging from known or suspected private key compromise through to simply not running the domain or service any longer (and thus not needing the certificate). In order to revoke a certificate, the issuing CA adds the certificate to a publicly available list known as a Certificate Revocation List (CRL). Then, when validating a certificate, the client verifies that the certificate they are attempting to authenticate is not contained in the CRL of the issuing CA, implying that it remains valid.	証明書失効とは、証明書が自然に期限切れになる前に無効化できるプロセスである。失効を正当化する事象は複数あり、秘密鍵の侵害が判明または疑われる場合から、単にドメインやサービスを運用しなくなった場合（したがって証明書が不要になった場合）まで多岐にわたる。証明書を失効させるには、発行CAが証明書を「証明書失効リスト（CRL）」と呼ばれる公開リストに追加する。その後、証明書の妥当性確認を行う際、クライアントは認証しようとしている証明書が発行CAのCRLに含まれていないことを確認する。これにより、その証明書が有効であることが示される。
In the Web PKI, CRLs grow too large to be practical for clients to use directly, and so most browsers have innovated bespoke solutions to use in certificate chain validation. Common examples include CRLSets, which selects a subset of the CRLs to use (generally only high profile and/or CA certificates), and CRLite, which embeds the revocation information contained in the CRLs into a more compact data structure, but such solutions are not ubiquitous across all clients.	Web PKIにおいて、CRLはクライアントが直接使用するには大きくなりすぎる。そのため、ほとんどのブラウザは証明書チェーンの検証に使用する独自の解決策を開発している。代表例として、CRLのサブセット（通常は重要度が高い証明書やCA証明書のみ）を選択するCRLSetsや、CRLの失効情報をよりコンパクトなデータ構造に埋め込むCRLiteがあるが、これらの解決策は全てのクライアントに普及しているわけではない。
A mechanism called Online Certificate Status Protocol (OCSP) was designed to avoid end users having to obtain and store massive CRLs. In this case, the OCSP responder is responsible for obtaining the up-to-date CRL from the CA and checks the certificate status on behalf of the end user. This service is costly to run since it needs to be highly available, resilient and scalable to ensure that OCSP provides any security benefit, and is not mandatory for CAs to implement. Additionally, there are privacy concerns with OCSP as in order to obtain revocation information, the client has to divulge the domain or service it wishes to access to the OCSP responder.	オンライン証明書ステータスプロトコル（OCSP）と呼ばれる仕組みは、エンドユーザーが巨大なCRLを取得・保存する手間を省くために設計された。この場合、OCSP対応はCAから最新のCRLを取得し、エンドユーザーに代わって証明書ステータスを確認する責任を負う。このサービスは、OCSPがセキュリティ上の利点を提供するために高可用性、レジリエンス、スケーラビリティを必要とするため運用コストが高く、CAが実装する義務はない。さらにOCSPにはプライバシー上の懸念がある。失効情報を取得するため、クライアントはアクセスしたいドメインやサービスをOCSP対応に開示しなければならないからだ。
An alternative is OCSP stapling, in which the domain or service obtains the OCSP response for its certificate and provides it to clients itself and so protects the client privacy. However, OCSP stapling is not particularly well supported in the Web PKI.	代替手段としてOCSPステープリングがある。これはドメインやサービスが自身の証明書のOCSP応答を取得し、クライアントに直接提供することでクライアントのプライバシーの防御を図る方式だ。しかしOCSPステープリングはWeb PKIにおいて特に広くサポートされていない。
In summary, neither CRLs nor OCSPs as they’re currently deployed provide an ideal solution to the revocation problem for the Web PKI. Despite this, in response to a revocation-worthy event, we still strongly recommend that a domain or service owner revokes this key through the CA (possibly via your certificate management automation software) and gets it added to the CRL. However, this should be done in the knowledge that it cannot be guaranteed that this revocation status will percolate through to all end users.	要約すると、現在展開されているCRLもOCSPも、Web PKIにおける失効問題に対する理想的な解決策とはならない。それにもかかわらず、失効に値する事象が発生した場合、ドメインまたはサービスの所有者はCA（場合によっては証明書管理自動化ソフトウェア経由）を通じて当該鍵を失効させ、CRLへの追加を強く推奨する。ただし、この失効ステータスが全てのエンドユーザーに確実に伝播する保証はないことを認識した上で実施すべきである。
1.3 Scope certificates according to your infrastructure	1.3 インフラストラクチャに応じた証明書のスコープ設定
As a general principle, any given infrastructure device should only have access to the private keys necessary for its role. Furthermore, any certificates associated to these private keys should be scoped to cover only the domains being served by that device. This prevents unnecessary private key proliferation and helps to reduce the chance and impact of any compromise.	一般的な原則として、特定のインフラストラクチャデバイスは、その役割に必要な秘密鍵のみにアクセスできるべきである。さらに、これらの秘密鍵に関連付けられた証明書は、当該デバイスがサービスを提供するドメインのみをカバーするように範囲を限定すべきである。これにより、不要な秘密鍵の拡散を防ぎ、侵害の可能性と影響を軽減できる。
If you are serving multiple domains from the same infrastructure hardware, you don’t need to arbitrarily segregate these under different certificates, as compromising a single device compromises all private keys stored on it. A single certificate, with the specific domains listed in the certificate’s Subject Alternative Names (SAN) extension, will likely be sufficient and gives you fewer certificates to manage which can be beneficial. This said, if you have a large number of SANs in your certificate then this can increase loading times for users connecting to your service. If you’re using certificate management automation software then, depending on your tooling, the additional key and certificate management overhead from having a certificate per domain may be minimal, and so this approach could be suitable.	同一のインフラハードウェアで複数のドメインをサービス提供する場合、異なる証明書でこれらを恣意的に分離する必要はない。単一のデバイスが侵害されれば、そこに保存されている全ての秘密鍵が侵害されるためである。特定のドメインを証明書のSubject Alternative Names（SAN）拡張に列挙した単一の証明書で十分であり、管理する証明書数を減らせる利点がある。ただし、証明書内のSANが大量にある場合、サービスへの接続時のユーザーの読み込み時間が長くなる可能性がある。証明書管理自動化ソフトウェアを使用している場合、ツールによってはドメインごとに証明書を発行する追加の鍵・証明書管理オーバーヘッドが最小限に抑えられるため、このアプローチが適している可能性がある。
Another consideration is whether or not to use IP Address Certificates (certificates issued to an IP address rather than a domain name). Within the web, IP addresses are typically much more ephemeral and changeable than domain names. Since the majority of users will be connecting to your services via domain names – and relying on DNS to find the associated IP address – for most use cases domain name certificates provide greater assurance of identity and so should be preferred. IP Address Certificates are necessary for some niche cases, such as authenticating connections to secure DNS servers, or securing connections where you don’t have a domain name (for example to IoT devices).	もう一つの考慮点は、IPアドレス証明書（ドメイン名ではなくIPアドレスに発行される証明書）を使用するかどうかである。ウェブ環境では、IPアドレスはドメイン名に比べてはるかに一時的で変更されやすい。大多数のユーザーはドメイン名経由でサービスに接続し、DNSに依存して関連IPアドレスを解決するため、ほとんどのユースケースではドメイン名証明書の方が身元保証の確実性が高く、優先すべきである。IPアドレス証明書が必要な特殊なケースとしては、セキュアDNSサーバーへの接続認証や、ドメイン名を持たない接続（IoTデバイスなど）の保護が挙げられる。
1.4 List specific domains rather than using wildcard certificates	1.4 ワイルドカード証明書ではなく特定のドメインを列挙する
A wildcard certificate has a wildcard character (*) in the domain name field, which means it is valid for any subdomains fitting the pattern (so *.example.com would be valid for http://www.example.com , mail.example.com and whateveryouwant.example.com). If you’re serving these domains from distinct infrastructure hardware, then using a single wildcard certificate to cover them all is not recommended. A compromised wildcard certificate could be used by an attacker-created subdomain to appear legitimate (as *.example.com would also be valid for an attacker created nefarious.example.com).	ワイルドカード証明書はドメイン名欄にワイルドカード文字（*）を含む。これはパターンに合致するあらゆるサブドメインで有効であることを意味する（例：*.example.com は http://www.example.com、mail.example.com、whateveryouwant.example.com でも有効）。これらのドメインを別々のインフラハードウェアで提供している場合、単一のワイルドカード証明書で全てをカバーすることは推奨されない。侵害されたワイルドカード証明書は、攻撃者が作成したサブドメインが正当に見せかけるために悪用される可能性がある（例：*.example.com は攻撃者が作成した nefarious.example.com にも有効となる）。
We recommend that the use of wildcard certificates should be limited to the cases where wildcard certificates are genuinely necessary, for example where subdomains are dynamic as they can be for per-customer subdomains). Where possible, specifying individual domains should be preferred.	ワイルドカード証明書の使用は、真に必要な場合に限定すべきだ。例えば顧客ごとのサブドメインのように動的に生成されるサブドメインの場合などである。可能な限り、個別のドメインを指定することを優先すべきだ。
1.5 Use CAA DNS records	1.5 CAA DNSレコードの使用
By default, any CA is permitted to issue a certificate for any domain. Using a Certificate Authority Authorisation (CAA) DNS record, as defined in RFC 8659, you can restrict this so that only your chosen CA is permitted to issue certificates for your domain. This works because CAs are required by the CA/Browser Forum Requirements to inspect the CAA record to ensure that they are a permitted CA for a domain before issuing a certificate to that domain. It is worth noting that when searching for CAA records, the CA will always respect the CAA closest to the domain name you’re requesting a certificate for (so any CAA record for a subdomain will override the CAA on the domain).	デフォルトでは、どの認証局（CA）も任意のドメインに対して証明書を発行できる。RFC 8659で定義されるCAA（Certificate Authority Authorisation）DNSレコードを使用すれば、指定したCAのみがドメインの証明書を発行できるように制限できる。これは、CA/Browser Forum要件により、CAが証明書を発行する前にCAAレコードを検査し、自身が許可されたCAであることを確認する義務があるため機能する。なお、CAAレコードを検索する際、CAは常に証明書を要求しているドメイン名に最も近いCAAを優先する（つまりサブドメインのCAAレコードは親ドメインのCAAを上書きする）。
CAA records are of particular use in prohibiting the issuance of wildcard certificates. By setting a CAA record that has an “issuewild” Property Tag which does not identify an authorised CA (that is, with Value “;”) you are stating that no CA has the authority to issue wildcard certificates in the jurisdiction of the CAA record. If wildcards are necessary on a particular subdomain, then you can override a domain wide wildcard ban with an issuewild CAA record on that subdomain identifying your chosen CA.	CAAレコードは特にワイルドカード証明書の発行を禁止するのに有用である。「issuewild」プロパティタグを持つCAAレコードを設定し、許可されたCAを特定しない（つまり値を「;」とする）ことで、そのCAAレコードの管轄区域において、いかなるCAもワイルドカード証明書を発行する認可を持たないことを宣言していることになる。特定のサブドメインでワイルドカードが必要なら、そのサブドメインにissuewild CAAレコードを設定し、選択したCAを識別することで、ドメイン全体のワイルドカード禁止をオーバーライドできる。
The NCSC recommend creating a CAA record for all of your domains, and further recommend that the CAA record be as specific as possible (by using, for example, the “validationsmethods” and “accounturi” Parameters as defined in RFC 8657 where supported). CAs that help you to set a correct CAA record should be preferred.	NCSCは、全てのドメインに対してCAAレコードを作成することを推奨している。さらに、CAAレコードは可能な限り具体的に設定すべきだと勧告している（例えば、サポートされている場合にはRFC 8657で定義された「validationsmethods」や「accounturi」パラメータを使用する）。適切なCAAレコードの設定を支援するCAを優先すべきだ。
Reduce the likelihood of weak or expired certificates	脆弱な証明書や期限切れ証明書の発生確率を減らす
2.1 Use automated certificate provisioning/renewal	2.1 自動化された証明書プロビジョニング/更新の利用
Certificates are issued with a fixed time period during which they are valid. When your current certificate is about to expire, you must contact the CA to obtain a new certificate which will be valid further into the future. The use of automated certificate management protocols (such as ACME) reduces the manual burden of managing certificates and prevents human error from allowing certificates to expire, leaving you without a valid certificate. If you don’t have a valid certificate then clients cannot securely connect to your service, disrupting availability and potentially causing reputational damage.	証明書は有効期間が固定されて発行される。現在の証明書が失効間近になると、CAに連絡して将来にわたって有効な新規証明書を取得する必要がある。ACMEなどの自動化された証明書管理プロトコルを利用すれば、手動での証明書管理負担が軽減され、人的ミスによる証明書失効を防げる。有効な証明書がない場合、クライアントはサービスに安全に接続できず、可用性が妨げられ、評判の低下を招く可能性がある。
When managing your certificates with an automated protocol, an important decision is the renewal timeframe (that is, the time before the current certificate expires that you renew). You should select a timeframe that is sufficient to both detect and fix any renewal issues before the old certificate expires. CAs and/or certificate management automation software usually have recommended default timeframes to renew when there is between ¼ and ⅓ of the certificate validity period remaining, which will be appropriate in most cases.	自動プロトコルで証明書を管理する際、重要な判断は更新時期（現行証明書の有効期限前に更新するタイミング）である。古い証明書の有効期限前に更新問題を検知・修正するのに十分な期間を設定すべきだ。認証局（CA）や証明書管理自動化ソフトウェアは通常、証明書の有効期間が残り4分の1から3分の1の時点で更新することを推奨するデフォルト期間を設定している。これはほとんどのケースで適切である。
Certificate management automation software has the authority to act on your behalf and request certificates for your domain. It is therefore important to appropriately secure this software (and the credentials for any accounts used to interact with it) to ensure that the software cannot be subverted.	証明書管理自動化ソフトウェアは、ユーザーに代わってドメインの証明書を要求する権限を持つ。したがって、このソフトウェア（およびそれとのやり取りに使用されるアカウントの認証情報）を適切に保護し、ソフトウェアが悪用されないようにすることが重要である。
If using ACME, and your CA supports it, you should consider using the ACME Renewal Information (ARI) extension as defined in RFC 9773, which provides an automated way for the CA to request that you renew early (and can therefore prevent you being left ‘certificateless’ in the case that the CA needs to revoke your certificate early). Additionally, the extension can help CAs manage load spikes and so prevent your renewal from being delayed.	ACMEを使用する場合、かつCAが対応しているなら、RFC 9773で定義されたACME更新情報（ARI）拡張機能の利用を検討すべきだ。これはCAが自動で早期更新を要求する手段を提供し（したがってCAが証明書を早期に失効させる必要が生じた場合でも「証明書なし」状態になるのを防げる）、更新を促進する。さらに、この拡張機能はCAが負荷の急増を管理するのに役立ち、更新の遅延を防ぐことができる。
When renewing a certificate it is good practice to generate a new private key for the new certificate, rather than re-using the current one. By changing the private key, you mitigate the risk posed by undetected compromise of your private key (since the old private key will be of no use to an attacker when the old certificate expires).	証明書を更新する際には、現在の秘密鍵を再利用するのではなく、新しい証明書用に新しい秘密鍵を生成することが望ましい。秘密鍵を変更することで、秘密鍵が検出されずに侵害された場合に生じるリスクを緩和できる（古い証明書が失効すれば、攻撃者は古い秘密鍵を無効化できるため）。
2.2 Be prepared for shorter validity periods	2.2 有効期間の短縮に備える
The validity period for your certificates is a decision that needs to balance the impact of a certificate being compromised with the threat to service availability from failed renewal. For example, a long validity period will result in a greater time period that a compromised certificate can be misused before it naturally expires, but provides a greater time period in which to fix any issues that arise in renewal.	証明書の有効期間は、証明書侵害の影響と更新失敗によるサービス可用性への脅威を天秤にかけた判断が必要だ。例えば、有効期間が長いと、侵害された証明書が自然に失効するまでの悪用可能期間が長くなるが、更新時に発生する問題を修正する時間も長くなる。
In general, CAs will offer a default validity period which should be appropriate for most use cases. Some CAs also offer ‘short-lived subscriber certificates’, defined by the CA/Browser forum as certificates with a validity period less than or equal to 10 days (reducing to 7 days in 2026) and exempt from some of the CA/Browser requirements around revocation due to their short validity period.	一般的に、認証局（CA）はデフォルトの有効期間を提供しており、これはほとんどのユースケースに適している。一部のCAは「短期サブスクライバー証明書」も提供している。これはCA/ブラウザフォーラムにより、有効期間が10日以下（2026年には7日に短縮）の証明書と定義され、有効期間が短いため失効に関するCA/ブラウザ要件の一部が免除される。
The general trend in the ecosystem is towards shorter validity periods for certificates and the CA/Browser Forum has passed a ballot to reduce the maximum certificate validity periods permitted in the Web PKI in a series of steps, culminating in 2029 with 47 days. You should prepare for this and understand the impact of any changes that your CA will be implementing to comply with the CA/Browser Forum’s timelines. As recommended above, using certificate management automation software will reduce the manual effort required for the frequent renewal of certificates with shorter validity periods. Given the shortening of certificate validity periods, it is imperative to have effective monitoring on the certificate management automation software to enable any issues to be identified, diagnosed and resolved before the current certificate expires.	エコシステム全体では証明書の有効期間短縮が主流となっており、CA/ブラウザフォーラムはWeb PKIにおける最大有効期間を段階的に短縮する決議を可決した。最終的には2029年に47日となる。この変更に備え、自社のCAがCA/ブラウザフォーラムのスケジュールに準拠するため実施する変更の影響を理解しておく必要がある。前述の通り、証明書管理自動化ソフトウェアを利用すれば、有効期間が短い証明書の頻繁な更新に必要な手作業を削減できる。証明書の有効期間が短縮される中、現行の証明書が失効する前に、問題を特定（Identify）・診断・解決できるよう、証明書管理自動化ソフトウェアの効果的な監視体制を構築することが不可欠である。
2.3 Use modern cryptography	2.3 最新の暗号技術を使用する
Using outmoded algorithms can leave you vulnerable to cryptographic attacks. For the Web PKI, the CA/Browser Forum specifies supported algorithms, introducing new algorithms (when the standards are sufficiently mature) and retiring old algorithms when they are superseded. However, it is not necessarily true that all permitted algorithms will be appropriate for your given use case. Suggested algorithms and parameter sets can be found in the NCSC guidance on Using TLS to protect data.	時代遅れのアルゴリズムを使用すると、暗号攻撃に対する脆弱性が生じる。Web PKIにおいては、CA/Browser Forumがサポート対象アルゴリズムを規定し、新規アルゴリズム（標準が十分に成熟した場合）を導入するとともに、旧式アルゴリズムが代替された際には廃止する。ただし、許可された全てのアルゴリズムが特定のユースケースに適しているとは限らない。推奨されるアルゴリズムとパラメータセットは、NCSCの「TLSを用いたデータ保護」ガイダンスで確認できる。
The classical cryptographic algorithms currently used within the Web PKI are vulnerable to the threat posed by cryptographically relevant quantum computers, and so in the coming years there will be a necessary transition to post-quantum cryptography. For more information please refer to the NCSC’s guidance on Timelines for migration to post-quantum cryptography.	現在Web PKI内で使用されている古典暗号アルゴリズムには、暗号学的に有効な量子コンピュータによる脅威に対して脆弱性がある。したがって今後数年間で、ポスト量子暗号への移行が必須となる。詳細はNCSCの「耐量子暗号への移行スケジュール」ガイダンスを参照のこと。
2.4 Prefer Domain Validation certificates for all use cases	2.4 全てのユースケースでドメイン妥当性確認証明書を優先する
When issuing a certificate to an entity, the CA is responsible for verifying that the entity requesting the certificate has control over the domain they’re requesting a certificate for. Fundamentally this is to ensure that a malicious actor cannot pretend to own a domain they don’t. The CA/Browser Forum defines several methods for performing domain validation (such as DNS Change, TLS Using ALPN and Agreed-Upon Change to Website - ACME) and we suggest selecting the most practical method supported by your chosen CA and certificate management automation software.	証明書を発行する際、認証局（CA）は証明書を要求する事業体が、その証明書を要求するドメインを管理していることを確認する責任がある。これは基本的に、悪意のある事業体が所有していないドメインを所有していると偽装できないようにするためだ。CA/Browser Forumはドメイン検証の実施方法（DNS変更、ALPNを使用したTLS、ウェブサイトへの合意変更（ACME）など）を複数定義している。選択したCAと証明書管理自動化ソフトウェアがサポートする最も実用的な方法を選択することを推奨する。
The resultant certificate is known as a Domain Validation (DV) certificate. Some CAs also offer Organization Validation (OV) and/or Extended Validation (EV) certificates which require additional checks on the organisation making the request (such as confirming physical address, phone number and company records). Whilst these additional assertions are encoded within the certificate, web browsers now treat DV, OV and EV certificates as equivalent and so there are no functional or security benefits to OV or EV certificates. In addition, the supplementary validation checks required when issuing OV/EV certificates usually require manual human intervention and so cannot be fully automated. Therefore, the NCSC recommends that DV certificates should be preferred in all use cases.	こうして発行される証明書はドメイン妥当性確認（DV）証明書と呼ばれる。一部のCAは組織妥当性確認（OV）や拡張検証（EV）証明書も提供しており、これらは申請組織に対する追加確認（物理的住所、電話番号、法人登記の確認など）を必要とする。これらの追加主張は証明書内にエンコードされるが、ウェブブラウザは現在DV、OV、EV証明書を同等と扱うため、OVやEV証明書に機能・セキュリティ上の利点はない。さらに、OV/EV証明書発行時に必要な追加妥当性確認チェックは通常、人的介入を要するため完全自動化できない。したがってNCSCは、全てのユースケースにおいてDV証明書を優先するよう推奨している。
Monitor certificate issuance and renewal	証明書の発行と更新を監視する
3. Monitor certificate issuance and renewal	3. 証明書の発行と更新を監視する
You should monitor your certificate renewal to ensure that any certificates you have in use don’t expire unexpectedly without having been renewed, for example due to misconfiguration, hardware failure or software failure. This is equally important for both manual renewal and when employing certificate management automation software, as in both cases early warning gives you more time to diagnose and fix any issues. In order to do this effectively, you will need to maintain awareness of which certificates are in use where, and we suggest this forms part of your general domain name management.	使用中の証明書が、設定ミスやハードウェア故障、ソフトウェア障害などにより予期せず失効しないよう、更新状況を監視すべきだ。これは手動更新時と証明書管理自動化ソフトウェア利用時、いずれの場合にも同等に重要である。いずれの場合も早期警告があれば、問題の診断と修正に充てる時間が確保できるからだ。これを効果的に行うには、どの証明書がどこで使用されているかを把握しておく必要がある。これは一般的なドメイン名管理の一部として実施することを推奨する。
Additionally, monitoring the access control on your private keys ensures that you have a full picture (meaning people and hardware) of who can access which keys, and who is attempting to use them. This can provide an early indication of malicious activity.	さらに、秘密鍵へのアクセス管理を監視することで、誰がどの鍵にアクセスできるか、誰が使用を試みているか（つまり人物とハードウェアの両面）を完全に把握できる。これにより悪意のある活動の早期兆候を捉えられる。
As part of certificate issuance, CAs can publish records to Certificate Transparency (CT) logs. These are publicly available, append only ledgers of all certificates which have been issued and – although not mandated by the CA/Browser Forum – proves that a certificate has been added to CT logs (known as Signed Certificate Timestamps) are required by most major Web Browsers. So, CAs that publish to CT logs should be preferred.	証明書発行の一環として、認証局（CA）は証明書透明性（CT）ログに記録を公開できる。これは発行済み全証明書の公開型追記専用台帳であり、CA/ブラウザフォーラムの義務付けではないものの、CTログへの証明書追加証明（署名付き証明書タイムスタンプ）は主要ブラウザのほとんどで必須だ。したがってCTログに公開するCAを優先すべきである。
Through monitoring CT logs, it is possible to track the certificates that have been issued for a given domain, and thus to gain early warning of any certificates which have been unexpectedly issued for your domains. Such issuance could indicate a compromise of the domain (since proof of domain control is required to obtain a certificate) which can be further investigated.	CTログを監視することで、特定のドメイン向けに発行された証明書を追跡できる。これにより、自身のドメインに対して予期せず発行された証明書を早期に検知できる。このような発行は、ドメインの侵害を示唆する可能性がある（証明書取得にはドメイン管理権限の証明が必要だからだ）。この場合はさらに調査を進めるべきだ。
Several public and commercial services exist for the monitoring of CT logs, often as part of a wider certificate management package. We recommend that monitoring of CT logs for unexpected activity relating to your domains forms part of your monitoring strategy.	CTログの監視には、公的・商用サービスが複数存在する。これらは広範な証明書管理パッケージの一部として提供されることが多い。自社ドメインに関連する予期せぬ活動についてCTログを監視することは、監視戦略の一環として推奨される。
Summary	要約
Certificates and the Web PKI are critical technologies for enabling users of your domains and services to ensure that what they’re interacting with is legitimate. Failure to properly manage certificates for your domain will at best lead to reputational damage, with users unable to connect securely to your domain or service, and at worst can permit an attacker to capture customer data or to impersonate your service. The recommendations in this guidance aim to mitigate these threats by reducing their likelihood and impact as much as possible, and ensuring that you are aware of any issues as soon as possible.	証明書とWeb PKIは、ドメインやサービスの利用者が正当な対象とやり取りしていることを保証する上で不可欠な技術である。ドメインの証明書を適切に管理しない場合、最悪の場合、攻撃者が顧客データを取得したりサービスを偽装したりする可能性が生じる。本ガイダンスの推奨事項は、これらの脅威の可能性と影響を可能な限り低減し、問題発生時に即座に認識できるようにすることで、脅威の緩和を目的としている。

Continue reading "英国 NCSC Web PKIにおける証明書のプロビジョニングと管理 (2025.12.10)"

欧州 政策研究センター (CEPS) 量子安全な世界へのEU移行強化 (2025.12.03)

こんにちは、丸山満彦です。

欧州政策研究センター (Centre for European Policy Studies: CEPS) がEUの耐量子計算機暗号への移行についての報告書を公表していますね...

推奨事項も含まれていますので、参考になりますね...

推奨事項は、共通事項（１０）、金融セクター固有事項（6）、公共セクター固有事項（4）、防衛セクター固有事項（6）となっています...

1. GENERAL RECOMMENDATIONS	1. 一般的な推奨事項
GR1. Develop crypto agility	GR1. 暗号の俊敏性を開発する
GR2. Engage with suppliers to take care of crypto dependencies	GR2. 暗号依存関係の対応についてサプライヤーと連携する
GR3. Building and maintaining crypto and product inventories	GR3. 暗号と製品のインベントリの構築と維持
GR4. Integrate quantum-safety into digital systems from the start	GR4. デジタルシステムに量子耐性を最初から組み込む
GR5. Going beyond hype: from a Q-Day to a Q-period	GR5. 誇大宣伝を超えて：Q-DayからQ-periodへ
GR6. Linking the Roadmap for the Transition to Post-Quantum Cryptography[2] to a quantum transition strategy and to existing laws	GR6. 量子暗号移行ロードマップ[2]と量子移行戦略・既存法規の連携
GR7. Ensure alignment and coherence across roadmaps	GR7. ロードマップ間の整合性と一貫性の確保
GR8. Introducing greater parallelisation into the Roadmap	GR8. ロードマップへの並列化強化の導入
GR9. Promoting awareness, cooperation and better governance	GR9. 認知度向上、協力促進、ガバナンス強化
GR10.  Promoting skill development and management structures	GR10. 技能開発と管理構造の促進
2. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE FINANCIAL SECTOR	2. 金融セクター向け追加推奨事項
FS1. Create an ad hoc PQC governance structure	FS1. 臨時的なPQCガバナンス体制を構築する
FS2. Enhancing collaboration with vendors and partners	FS2. ベンダー・パートナーとの連携強化
FS3. Upgrade the financial sector underlying infrastructure	FS3. 金融セクター基盤インフラのアップグレード
FS4. Prioritise actions based on risk assessment	FS4. リスクアセスメントに基づく優先順位付け
FS5. Perform cost-benefit analysis of mitigation options	FS5. 緩和策の費用便益分析を実施する
FS6. Overcome organisational and skills gaps	FS6. 組織的・技術的ギャップの克服
3. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE PUBLIC SECTOR	3. 公共セクター向け追加推奨事項
PS1. Implement a sequenced migration plan across PKI and digital identity ecosystems	PS1. PKIおよびデジタルIDエコシステム全体での段階的移行計画の実施
PS2. Synchronise authentication layers to prevent fragmentation and service disruption	PS2. 分断とサービス中断を防ぐため認証レイヤーを同期させる
PS3. Coordinate cross-border roadmaps and align national migration strategies	PS3. 国境を越えたロードマップを調整し、各国の移行戦略を整合させる
PS4. Manage the quantum transition as a coordinated sociotechnical programme	PS4. 量子移行を協調的な社会技術プログラムとして管理する
4. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE DEFENCE SECTOR	4. 防衛セクター向け追加推奨事項
DS1. Develop a post-quantum transition roadmap	DS1. 耐量子移行ロードマップの策定
DS2. Support industrial coordination	DS2. 産業連携の支援
DS3. Address supply-chain dependencies	DS3. サプライチェーン依存への対応
DS4. Formalise public-private quantum innovation frameworks	DS4. 官民量子イノベーション枠組みの正式化
DS5. Establish structured pilot-to-certification pathways	DS5. 構造化された試験運用から認証までの経路を確立する
DS6. Incentivise research in defence quantum technologies	DS6. 防衛量子技術研究へのインセンティブ

● Centre for European Policy Studies: CEPS

・2025.12.03 We need to urgently strengthen the EU’s transition to a quantum-safe world

We need to urgently strengthen the EU’s transition to a quantum-safe world	EUは量子安全な世界への移行を緊急に強化する必要がある
Transitioning to quantum-safe cryptography is an urgent strategic challenge for Europe. There are around 90 billion devices that use current encryption methods. But quantum computers capable of breaking today’s cryptographic systems may emerge as early as the 2030s, allowing for – amongst others – the unauthorised decryption of private messages and financial transactions, which could have disastrous consequences.	量子耐性暗号への移行は、欧州にとって緊急の戦略的課題である。現行の暗号化方式を使用するデバイスは約900億台に上る。しかし、現在の暗号システムを破る量子コンピュータは早ければ2030年代に登場する可能性があり、それにより私的メッセージや金融取引の不正解読などが可能となり、壊滅的な結果を招きかねない。
But transitioning to post-quantum cryptography (PQC) is a lengthy and complex process. Past experiences with security standard migrations suggest such a transformation can take anywhere between 10-15 years. Thus, careful coordination and long-term planning across both the public and private sectors is required.	しかし、耐量子暗号（PQC）への移行は長期かつ複雑なプロセスである。過去のセキュリティ標準移行の経験から、このような変革には10年から15年を要する可能性がある。したがって、官民双方における慎重な調整と長期的な計画が求められる。
Despite this urgency, recent surveys by the European Union Agency for Cybersecurity (ENISA) and the Information Systems Audit and Control Association (ISACA) show that most European stakeholders remain underprepared – only a small share have begun to invest in post-quantum solutions and overall awareness remains low. At the Member State level, Germany, France and the Netherlands have led the charge by issuing guidance and launching PQC pilot projects, both through national roadmaps and within the Network and Information Systems (NIS) Cooperation Group. Alas, progress across the EU remains uneven and it still lacks a coherent, unified transition framework – unlike the US.	この緊急性にもかかわらず、欧州連合サイバーセキュリティ機関（ENISA）および情報システム監査管理協会（ISACA）による最近の調査では、欧州のステークホルダーの大半は依然として準備不足であり、耐量子ソリューションへの投資を開始しているのはごく一部で、全体的な認識は依然として低いことが明らかになっている。加盟国レベルでは、ドイツ、フランス、オランダが、国家ロードマップとネットワークと情報システム（NIS）協力グループの両方を通じて、ガイダンスの発行と PQC パイロットプロジェクトの立ち上げを主導している。残念ながら、EU 全体の進捗は依然として不均一であり、米国とは異なり、首尾一貫した統一的な移行枠組みがまだ欠けている。
Against this backdrop, in April 2025, CEPS launched a Task Force on Strengthening the EU Transition to a Quantum-Safe World. Its objective was to draw attention to the technical, market, governance and policy challenges involved in Europe’s transition to quantum safe.	こうした背景から、2025年4月、CEPSは「量子安全な世界へのEUの移行強化に関するタスクフォース」を発足させた。その目的は、欧州の量子安全への移行に伴う技術、市場、ガバナンス、政策上の課題に注目を集めることだった。
Designed as a multi-stakeholder platform, the Task Force brought together private organisations, EU institutions and agencies, universities and think tanks, national research agencies and civil society organisations.  The final Task Force Report is a rallying call for strengthening the EU’s transition process towards quantum safety.	マルチステークホルダーのプラットフォームとして設計されたこのタスクフォースは、民間組織、EU 機構、大学、シンクタンク、各国の研究機関、市民社会組織を一堂に集めた。タスクフォースの最終報告書は、EU の量子セキュリティへの移行プロセスを強化するよう呼びかけるものである。
A systemic transformation and moving beyond the ‘Q-Day’ narrative	体系的な変革と「Q-Day」という物語の超越
The shift to quantum-safe cryptography shouldn’t be viewed as a routine technical upgrade but as a comprehensive, systems-level transformation. Transitioning to PQC extends beyond merely updating cryptographic libraries. Rather, it involves integrating new product versions, modifying APIs, adapting software development lifecycles and – in some cases – redesigning core business processes.  It also demands the proactive management of supplier, customer and ecosystem relationships. This represents a major managerial challenge, requiring long-term planning, a skilled workforce and sustained organisational change.	量子耐性暗号への移行は、単なる技術的アップグレードではなく、包括的なシステムレベルの変革と捉えるべきだ。PQCへの移行は暗号ライブラリの更新を超え、新製品バージョンの統合、APIの修正、ソフトウェア開発ライフサイクルの適応、場合によっては中核業務プロセスの再設計を伴う。さらにサプライヤー・顧客・エコシステム関係者の積極的管理も求められる。これは長期的な計画、熟練した人材、持続的な組織変革を必要とする重大な経営課題だ。
Public discussions also often refer to ‘Q-Day’, the hypothetical moment when quantum computers render classical cryptography obsolete. While this can help raise awareness, it’s nonetheless misleading. Quantum capability won’t arrive as a tsunami but instead as a gradual, uneven process with early machines breaking selected keys before broader capabilities are developed.	公の議論では「Q-Day」という概念がよく取り上げられる。これは量子コンピューターが従来の暗号技術を無効化する仮説上の時点を指す。認知度向上には役立つが、誤解を招く表現だ。量子技術は津波のように一気に到来するのではなく、初期の機械が特定の鍵を破る段階を経て、広範な能力が開発されるまでの漸進的で不均一なプロセスとして現れる。
Instead, a more realistic perspective is that of a ‘Q-period’, which supports balanced and adaptive migration strategies aligned with the actual pace of quantum and standards development.	より現実的な視点は「Q-period（量子移行期）」であり、量子技術と標準の開発の実際のペースに即した、均衡のとれた適応的な移行戦略を支えるものである。
Post-quantum cryptography as the core of the transition	移行の中核としての耐量子暗号
PQC forms the backbone of the transition to quantum safety. These algorithms are designed to withstand attacks from quantum computers and are widely recognised by regulators and standardisation bodies as the only viable short- to medium-term solution.	PQC（耐量子暗号）は量子耐性への移行の基盤を形成する。これらのアルゴリズムは量子コンピュータの攻撃に耐えるよう設計されており、規制当局や標準化団体から短期的・中期的には唯一の実行可能な解決策として広く認められている。
Other quantum technologies play more specialised roles. These include Quantum Key Distribution (QKD), which isn’t a direct substitute for public-key cryptography but rather a complementary technology that can offer diverse layered protection for specific high-security environments.	その他の量子技術はより特殊な役割を担う。例えば量子鍵配送（QKD）は公開鍵暗号の直接的な代替ではなく、特定の高度なセキュリティ環境向けに多様な階層的保護を提供する補完技術である。
And then there are Quantum Random Number Generators (QRNGs) devices that produce unpredictable numbers using quantum processes. They offer certifiable high-quality randomness, meaning their output can be embedded into cryptographic stacks and validated under recognised certification schemes.	さらに量子乱数生成器（QRNG）は量子プロセスを用いて予測不能な乱数を生成する。これらは認証可能な高品質な乱数性を提供するため、その出力を暗号スタックに組み込み、公認認証スキーム下で妥当性確認することが可能だ。
Encouraging a risk-based transition model	リスクベース移行モデルの推進
Migrating billions of devices to quantum-safe standards requires a structured, risk-based approach. This encompasses several elements. Firstly, crypto agility (i.e. designing cryptographic systems in a modular way, allowing for cryptographic components to be easily replaced). Secondly, for effective planning, migration requires ensuring comprehensive crypto and product inventories, which include software, hardware, APIs and services. Critical systems should be prioritised for early migration.	数十億台のデバイスを量子耐性標準へ移行するには、構造化されたリスクベースのアプローチが必要だ。これには複数の要素が含まれる。第一に、暗号の俊敏性（暗号システムをモジュール式に設計し、暗号コンポーネントを容易に交換可能にすること）。第二に、効果的な計画のためには、ソフトウェア、ハードウェア、API、サービスを含む包括的な暗号および製品インベントリの確保が不可欠だ。重要システムは早期移行の優先対象とすべきだ。
Besides, as most organisations rely heavily on third-party vendors, it’s crucial for them to understand and manage their supply chain dependencies. That’s why they need to engage suppliers, request clear timelines for quantum-safe capabilities and actively monitor supply chain readiness.	さらに、多くの組織がサードパーティに依存しているため、サプライチェーン依存関係の理解と管理が不可欠である。そのため、サプライヤーと連携し、量子耐性機能の明確なタイムラインを要求し、サプライチェーンの準備状況を積極的に監視する必要がある。
Hybrid solutions can greatly assist the transition – the co-existence of classical and quantum-resistant algorithms (‘hybrid cryptography’) ensures interoperability and redundancy. One of the Task Force’s key recommendations here is that the definition of hybrid solutions should be broadened to include ‘context-aware, technically inclusive approaches’ that combine multiple cryptographic mechanisms for resilience, such as PQC/tradition and PQC/QKD.	ハイブリッドソリューションは移行を大きく支援できる。古典的アルゴリズムと量子耐性アルゴリズムの共存（「ハイブリッド暗号」）は相互運用性と冗長性を保証する。タスクフォースの主要な提言の一つは、ハイブリッドソリューションの定義を拡大し、PQC/従来型やPQC/QKDなど複数の暗号メカニズムを組み合わせた「状況認識型で技術的に包括的なアプローチ」を含めることだ。
When it comes to designing and implementing a European Roadmap for Post-Quantum Cryptography, the Task Force highlights several actions that should be taken forward.	欧州の耐量子暗号ロードマップの設計・実装に関して、タスクフォースは推進すべき複数の行動を強調している。
First, we need to integrate quantum safety into digital systems from the outset, meaning that the European Commission and Member States should ensure digital systems (such as the European Digital Identity Wallet) are designed to be quantum-safe from the very outset.	第一に、量子耐性をデジタルシステムに最初から組み込む必要がある。つまり欧州委員会と加盟国は、欧州デジタルIDウォレットなどのデジタルシステムが最初から量子耐性を備えるよう設計することを保証すべきだ。
Second,the Roadmap for the Transition to Post-Quantum Cryptography should be clearly linked to a transition strategy as well as existing legislation. A roadmap defines milestones and timelines but a supporting strategy must clarify how Member States, vendors and institutions will actually meet them .	第二に、耐量子暗号への移行ロードマップは、移行戦略および既存の法規制と明確に連携させる必要がある。ロードマップはマイルストーンとタイムラインを定義するが、支援戦略は加盟国、ベンダー、機構が実際にそれらを達成する方法を明確にしなければならない。
Third, there needs to be alignment and coherence across roadmaps. With multiple quantum-safety roadmaps emerging at EU and national levels, the European Commission, Member States and standardisation bodies must coordinate their efforts to ensure coherence in timelines, dependencies and objectives. Coordinating with the US and other G7 partners is equally important.	第三に、ロードマップ間の整合性と一貫性が必要だ。EUレベルと国家レベルで複数の量子耐性ロードマップが登場する中、欧州委員会、加盟国、標準化団体は、タイムライン、依存関係、目標の一貫性を確保するため、取り組みを調整しなければならない。米国やその他のG7パートナーとの調整も同様に重要である。
Fourth, the Roadmap’s current structure implicitly relies on a staged or linear approach, which may unintentionally create bottlenecks. That’s why the Task Force recommends introducing greater parallelisation into the Roadmap to accelerate progress and reduce systemic risk.	第四に、現行のロードマップ構造は段階的・直線的アプローチを暗黙に前提としており、意図せずボトルネックを生む恐れがある。このためタスクフォースは、進捗加速とシステムリスク低減のため、ロードマップへの並列化強化を推奨する。
Finally, the report underscores the importance of promoting awareness, cooperation and effective governance throughout the transition to quantum safety. It calls for capacity building, skills development and the establishment of dedicated crypto management units within organisations.	最後に、本報告書は量子安全への移行過程における「認識向上・協力促進・効果的ガバナンス」の重要性を強調する。組織内における能力構築、スキル開発、専門的な暗号管理部門の設置が求められる。
Promoting Europe’s secure transition to quantum-safe cryptography is an urgent necessity to stop the unauthorised decryption of private messages and financial transactions, which may not be a major threat now but is likely to become one in the very near future. A lack of awareness and past experience with security standards migration indicate that the transition will be a lengthy process, one that requires effective coordination and the strengthening of all current initiatives, no matter who’s leading them, whether by the private sector, the European institutions, the research community and/or civil society.	欧州が量子安全暗号へ安全に移行することは、私的メッセージや金融取引の不正解読を阻止する緊急の必要性である。これは現時点では重大な脅威ではないかもしれないが、近い将来に脅威となる可能性が高い。セキュリティ標準移行に関する認識不足と過去の経験から、この移行は長期にわたるプロセスとなることが示唆されている。民間セクター、欧州機構、研究コミュニティ、市民社会など、主導主体を問わず、あらゆる現行イニシアチブの強化と効果的な調整が求められる。

こんにちは、丸山満彦です。

欧州のThink Tankのひとつである政策研究センター (CEPS) が耐量子計算機暗号のEUでの移行についての報告書を公表していますね...

・2025.12.03 Strengthening the EU transition to a quantum-safe world

Strengthening the EU transition to a quantum-safe world	量子安全な世界へのEU移行強化
In April 2025, CEPS launched a Task Force on Strengthening the EU Transition to a Quantum-Safe World. The objective of this initiative was to draw attention to the technical, market, governance, and policy challenges involved in Europe’s transition to quantum safe. The Task Force, designed as a multi-stakeholder platform, brought together eleven private organisations, eleven EU institutions and agencies, seven universities and think tanks, one national research agency, and one civil society organisation (see Annex I for the full list of participants).	2025年4月、CEPSは「EUの量子安全世界への移行強化タスクフォース」を発足させた。この取り組みの目的は、欧州が量子安全へ移行する際に伴う技術的、市場的、ガバナンス的、政策的な課題への注意を喚起することにある。このタスクフォースはマルチステークホルダープラットフォームとして設計され、民間組織11団体、EU機構・機関11機関、大学・シンクタンク7機関、国家研究機関1機関、市民社会組織1団体が参加した（参加者全リストは附属書I参照）。
The group aimed to develop practical guidelines for governments and businesses to strengthen and accelerate the EU’s transition to quantum safe. Its discussions addressed the technical, managerial, and governance challenges associated with implementing this process. These efforts resulted in a set of policy recommendations aimed at EU institutions, Member States, the private sector, and the research community to guide Europe’s secure transition toward quantum resilience. The transition to post-quantum cryptography (PQC) poses an urgent strategic challenge for Europe. It requires careful coordination and long-term planning across both the public and private sectors. Quantum computers capable of breaking today’s cryptographic systems may emerge as early as the next decade. Yet transitioning to PQC is a lengthy and complex process. Past experiences with security-standard migrations suggest such transformations can take 10 to 15 years.	同グループは、政府と企業がEUの量子耐性化への移行を強化・加速するための実践的ガイドライン策定を目指した。議論では、このプロセス実施に伴う技術的・管理的・ガバナンス上の課題が取り上げられた。これらの取り組みの結果、EU機構、加盟国、民間セクター、研究コミュニティに向けた一連の政策提言がまとめられた。これは欧州が量子レジリエンスへ安全に移行するための指針となるものである。耐量子暗号（PQC）への移行は欧州にとって差し迫った戦略的課題だ。官民双方の慎重な調整と長期的な計画が必要である。現在の暗号システムを破る量子コンピュータは、早ければ次の10年以内に登場する可能性がある。しかしPQCへの移行は長期かつ複雑なプロセスだ。過去のセキュリティ標準移行の経験から、こうした変革には10年から15年を要すると推測される。
Despite this urgency, recent surveys by the European Union Agency for Cybersecurity (ENISA) and the Information Systems Audit and Control Association (ISACA) show that most European stakeholders remain underprepared. Only a small share has begun investing in post-quantum solutions, and overall awareness remains low. At the Member State level, Germany, France, and the Netherlands have taken leading roles by issuing guidance and launching PQC pilot projects, both through national roadmaps and within the Network and Information Systems (NIS) Cooperation Group. However, progress across the EU remains uneven, and the Union still lacks a coherent, unified transition framework like that of the United States. Against this backdrop, the Task Force calls for strengthening the EU’s transition process towards quantum safety.	この緊急性にもかかわらず、欧州連合サイバーセキュリティ機関（ENISA）と情報システム監査管理協会（ISACA）の最近の調査では、欧州のステークホルダーの大半が依然として準備不足であることが示されている。耐量子ソリューションへの投資を開始しているのはごく一部であり、全体的な認識は依然として低い。加盟国レベルでは、ドイツ、フランス、オランダが、国家ロードマップとネットワークと情報システム（NIS）協力グループの両方を通じて、ガイダンスの発行や PQC パイロットプロジェクトの立ち上げなど、主導的な役割を果たしている。しかし、EU 全体での進捗は依然として不均一であり、EU は米国のような首尾一貫した統一的な移行フレームワークをまだ備えていない。こうした背景から、タスクフォースは、量子セキュリティに向けた EU の移行プロセスの強化を求めている。

・[PDF]

・[DOCX][PDF] 仮訳

目次...

PREFACE	序文
EXECUTIVE SUMMARY	エグゼクティブサマリー
PART I. INTRODUCTION	第I部 序論
PART II. STATUS OF PQC, QKD, AND QRNG IN A QUANTUM-SAFE CONTEXT	第II部 量子耐性環境におけるPQC、QKD、QRNGの現状
1. POST-QUANTUM CRYPTOGRAPHY	1. 耐量子暗号
2. QUANTUM KEY DISTRIBUTION	2. 量子鍵配送
3. QUANTUM RANDOM NUMBER GENERATORS AND CLASSICAL RANDOM NUMBER GENERATORS	3. 量子乱数生成器と古典的乱数生成器
PART III. QUANTUM-SAFE TRANSITION MODEL	第III部　量子安全な移行モデル
1. RISK-BASED APPROACH.	1. リスクベースアプローチ
2. WORST-CASE PQC FAILURE SCENARIOS: WHAT IF PQC TURNS OUT TO BE WEAK?.	2. PQC最悪の失敗シナリオ：PQCが脆弱だと判明した場合
3. MIXED ENCRYPTION METHODS	3. 混合暗号化方式
4. CHALLENGES TO THE TRANSITION TO QUANTUM SAFE	4. 量子耐性への移行における課題
PART IV. POST-QUANTUM INVENTORIES.	第IV部 耐量子暗号技術の目録
1. APPROACH	1. アプローチ
2. PRODUCT INVENTORIES .	2. 製品インベントリ
3. CRYPTO INVENTORIES	3. 暗号インベントリ
PART V. STATUS OF THE TRANSITION TO QUANTUM SAFE: EUROPEAN UNION (EU, FRANCE, GERMANY, THE NETHERLANDS).	第V部 量子耐性への移行状況：欧州連合（EU、フランス、ドイツ、オランダ）
1. INTRODUCTION	1. 序論
2. EUROPEAN UNION	2. 欧州連合
3. GERMANY .	3. ドイツ
4. FRANCE	4. フランス
5. THE NETHERLANDS .	5. オランダ
PART VI. STATUS OF THE TRANSITION TO QUANTUM-SAFE: EXTRA-EU (UK, US, CHINA)	第VI部 量子耐性への移行状況：EU域外（英国、米国、中国）
1. INTRODUCTION	1. 序論
2. UNITED KINGDOM	2. 英国
3. UNITED STATES	3. 米国
4. CHINA	4. 中国
PART VII. TASK FORCE COMMENTS ON THE NIS COOPERATION GROUP ROADMAP	第VII部 NIS協力グループロードマップに関するタスクフォースのコメント
1. NIS COOPERATION GROUP ROADMAP	1. NIS協力グループロードマップ
2. TASK FORCE COMMENTS ON THE NIS COOPERATION GROUP ROADMAP .	2. NIS協力グループロードマップに関するタスクフォースのコメント .
PART VIII. TRANSITION TO PQC IN THE FINANCIAL SECTOR	第VIII部 金融セクターにおけるPQCへの移行
1. INTRODUCTION	1. 序論
2. TRANSITION TO PQC IN THE FINANCIAL SECTOR .	2. 金融セクターにおけるPQCへの移行 .
3. THE CURRENT REGULATORY LANDSCAPE (EU, UK, US)	3. 現行の規制環境（EU、英国、米国）
4. TRANSITION MODELS TO QUANTUM-SAFE CRYPTOGRAPHY IN THE FINANCIAL SECTOR	4. 金融セクターにおける量子耐性暗号への移行モデル
5. INITIATIVES IN THE FINANCIAL SECTOR	5. 金融セクターにおける取り組み
6. BOTTLENECKS IN THE FINANCIAL SECTOR’S PQC TRANSITION	6. 金融セクターにおけるPQC移行のボトルネック
PART IX: TRANSITION TO QUANTUM SAFE IN THE PUBLIC SECTOR	第IX部：公共セクターにおける量子耐性技術への移行
1. INTRODUCTION	1. 序論
2. TRANSITION TO PQC IN THE PUBLIC SECTOR	2. 公共セクターにおけるPQCへの移行
3. TECHNICAL BOTTLENECKS IN THE PUBLIC SECTOR’S PQC TRANSITION	3. 公共セクターにおけるPQC移行の技術的ボトルネック
4. CHALLENGES TO THE TRANSITION FROM A SOCIOTECHNICAL PERSPECTIVE	4. 社会技術的観点からの移行課題
PART X. TRANSITION TO QUANTUM SAFE IN THE DEFENCE SECTOR .	第X部：防衛セクターにおける量子耐性技術への移行
1. INTRODUCTION	1. 序論
2. QUANTUM TECHNOLOGIES IN DEFENCE	2. 防衛セクターにおける量子技術
3. RELEVANT STAKEHOLDERS AND QUANTUM DEFENCE INITIATIVES	3. 関連ステークホルダーと量子防衛イニシアチブ
4. QUANTUM-SAFE TRANSITION IN THE DEFENCE SECTOR	4. 防衛セクターにおける量子安全への移行
PART XI. RECOMMENDATIONS	第XI部 提言
1. GENERAL RECOMMENDATIONS	1. 一般的な提言
2. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE FINANCIAL SECTOR	2. 金融セクター向け追加推奨事項
3. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE PUBLIC SECTOR	3. 公共セクター向け追加推奨事項
4. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE DEFENCE SECTOR	4. 防衛セクター向け追加推奨事項
ANNEX I. LIST OF TASK FORCE MEMBERS AND INVITED SPEAKERS	附属書 I. タスクフォースメンバー及び招待講演者リスト
ANNEX II. GLOSSARY	附属書II. 用語集
PRINCIPLES AND GUIDELINES FOR THE TASK FORCE	タスクフォースの原則とガイドライン
Figure	図
FIGURE 1. UNOFFICIAL CRQC TIMELINE (SAMUEL JACQUES)	図1. 非公式CRQCタイムライン（サミュエル・ジャック）
FIGURE 2. CRYPTO-DEPENDENCY MAPPING	図2. 暗号依存性マッピング
FIGURE 3. DIAGRAM FROM THE SPANISH NATIONAL CRYPTOLOGIC CENTRE ON THE DEPLOYMENT OF HYBRID ENCRYPTION MECHANISMS	図3. ハイブリッド暗号化メカニズムの展開に関するスペイン国家暗号センター図解
FIGURE 4. LGT’S CRYPTOGRAPHIC PRIORITY LEVELS	図4. LGTの暗号優先度レベル
FIGURE 5. PKI INFRASTRUCTURE	図5. PKIインフラストラクチャ
FIGURE 6. CONFIDENTIALITY AND AUTHENTICATION ON PKI	図6. PKIにおける機密性と認証
BOXES	ボックス
BOX 1. CRYPTOGRAPHIC AGILITY AND HYBRID ENCRYPTION.	ボックス1. 暗号の俊敏性とハイブリッド暗号
BOX 2. HYBRID ENCRYPTION METHODS: THE TASK FORCE’S TAKE	ボックス2. ハイブリッド暗号手法：タスクフォースの見解
BOX 3. THE EU DIGITAL WALLET CASE	ボックス3. EUデジタルウォレット事例
BOX 4. THE TLS 1.3 CASE	ボックス4. TLS 1.3事例
BOX 5. A SOCIOTECHNICAL PERSPECTIVE ON PQC BEYOND ‘Q-DAY’: THE ROLE OF HYPE	ボックス5. 「Q-DAY」を超えたPQCへの社会技術的視点：誇大宣伝の役割
TABLE	表
TABLE 1. LEVEL OF RANDOMNESS	表1. ランダム性のレベル

エグゼクティブサマリー

EXECUTIVE SUMMARY	エグゼクティブサマリー
In April 2025, CEPS launched a Task Force on Strengthening the EU Transition to a Quantum-Safe World. The objective of this initiative was to draw attention to the technical, market, governance, and policy challenges involved in Europe’s transition to quantum safe.	2025年4月、CEPS は「量子セキュリティの世界への EU の移行強化に関するタスクフォース」を立ち上げた。この取り組みの目的は、ヨーロッパの量子セキュリティへの移行に伴う技術、市場、ガバナンス、政策上の課題に注目を集めることだった。
The Task Force, designed as a multi-stakeholder platform, brought together eleven private organisations, eleven EU institutions and agencies, seven universities and think tanks, one national research agency, and one civil society organisation (see Annex I for the full list of participants).	マルチステークホルダー・プラットフォームとして設計された本タスクフォースには、民間組織11団体、EU機構・機関11機関、大学・シンクタンク7機関、国家研究機関1機関、市民社会組織1団体が参加した（参加者全リストは附属書I参照）。
The group aimed to develop practical guidelines for governments and businesses to strengthen and accelerate the EU’s transition to quantum safe. Its discussions addressed the technical, managerial, and governance challenges associated with implementing this process. These efforts resulted in a set of policy recommendations aimed at EU institutions, Member States, the private sector, and the research community to guide Europe’s secure transition toward quantum resilience.	同グループは、政府と企業がEUの量子耐性強化への移行を加速・強化するための実践的ガイドライン策定を目指した。議論では、このプロセス実施に伴う技術的・管理的・ガバナンス上の課題が取り上げられた。これらの取り組みの結果、EU機構・加盟国・民間部門・研究コミュニティに向けた一連の政策提言がまとめられ、欧州の量子レジリエンスへの安全な移行を導く指針となった。
The transition to post-quantum cryptography (PQC) poses an urgent strategic challenge for Europe. It requires careful coordination and long-term planning across both the public and private sectors. Quantum computers capable of breaking today’s cryptographic systems may emerge as early as the next decade. Yet transitioning to PQC is a lengthy and complex process. Past experiences with security-standard migrations suggest such transformations can take 10 to 15 years.	耐量子暗号（PQC）への移行は、欧州にとって差し迫った戦略的課題である。官民双方の慎重な調整と長期的な計画が必要だ。現行の暗号システムを破る量子コンピュータは、早ければ今後10年以内に登場する可能性がある。しかしPQCへの移行は長期かつ複雑なプロセスである。セキュリティ標準の移行に関する過去の経験から、このような変革には 10 年から 15 年かかることが示唆されている。
Despite this urgency, recent surveys by the European Union Agency for Cybersecurity (ENISA) and the Information Systems Audit and Control Association (ISACA) show that most European stakeholders remain underprepared. Only a small share has begun investing in post-quantum solutions, and overall awareness remains low. At the Member State level, Germany, France, and the Netherlands have taken leading roles by issuing guidance and launching PQC pilot projects, both through national roadmaps and within the Network and Information Systems (NIS) Cooperation Group. However, progress across the EU remains uneven, and the Union still lacks a coherent, unified transition framework like that of the United States.	このような緊急性にもかかわらず、欧州連合サイバーセキュリティ機関（ENISA）および情報システム監査管理協会（ISACA）による最近の調査では、欧州のステークホルダーの大半が依然として準備不足であることが明らかになっている。耐量子ソリューションへの投資を開始しているのはごく一部であり、全体的な認識は依然として低い。加盟国レベルでは、ドイツ、フランス、オランダが、国家ロードマップとネットワークと情報システム（NIS）協力グループの両方を通じて、ガイダンスの発行や PQC パイロットプロジェクトの立ち上げなど、主導的な役割を果たしている。しかし、EU 全体での進捗は依然として不均一であり、EU は米国のような首尾一貫した統一的な移行フレームワークをまだ備えていない。
Against this backdrop, the Task Force calls for strengthening the EU’s transition process towards quantum safety, guided by the following principles:	こうした背景から、タスクフォースは、以下の原則に基づき、量子セキュリティへの移行プロセスを強化するよう EU に要請する。
1)    Quantum-safe transition as a systemic transformation	1) 体系的な変革としての量子安全への移行
The shift to quantum-safe cryptography should not be viewed as a routine technical upgrade but as a comprehensive, systems-level transformation. Transitioning to PQC extends beyond updating cryptographic libraries: it involves integrating new product versions, modifying the application programming interface (API), adapting software development lifecycles, and, in some cases, redesigning core business processes. It also demands proactive management of supplier, customer, and ecosystem relationships. This represents a major managerial challenge requiring long-term planning, skilled workforce development, and sustained organisational change.	量子安全暗号への移行は、日常的な技術的アップグレードではなく、包括的なシステムレベルの変革と捉えるべきである。PQC への移行は、暗号ライブラリの更新だけにとどまらない。新製品の統合、アプリケーション・プログラミング・インターフェース（API）の変更、ソフトウェア開発ライフサイクルの適応、場合によっては中核的なビジネスプロセスの再設計も伴う。また、サプライヤー、顧客、エコシステムとの関係を積極的に管理することも求められる。これは長期的な計画、熟練した人材の育成、持続的な組織変革を必要とする重大な経営課題である。
2)    Moving beyond the ‘Q-Day’ narrative	2) 「Q-Day」という物語の先へ
Public discussions often refer to ‘Q-Day’, the hypothetical moment when quantum computers render classical cryptography obsolete. While this framing can mobilise attention, it is misleading. Quantum capability will not arrive as a tsunami but as a gradual, uneven process, with early machines breaking selected keys before broader capabilities develop. A more realistic perspective is that of a ‘Q-period’, which supports balanced and adaptive migration strategies aligned with the actual pace of quantum and standards development.	公の議論では、量子コンピューターが従来の暗号技術を無効化する仮説上の瞬間「Q-Day」がしばしば言及される。この枠組みは注目を集めるが、誤解を招く。量子能力は津波のように一気に到来するのではなく、初期のマシンが特定の鍵を破る段階を経て、より広範な能力が発展する漸進的で不均一なプロセスとして現れる。より現実的な視点は「Q-period」という概念であり、量子技術と標準の実態に沿った、均衡のとれた適応的な移行戦略を支えるものである。
3)    Post-quantum cryptography as the core of the transition	3) 移行の中核としての耐量子暗号
PQC forms the backbone of the transition to quantum safety. These algorithms are designed to withstand attacks from quantum computers and are widely recognised by regulators and standardisation bodies as the only viable short- to medium-term solution. Other quantum technologies play more specialised roles:	PQC（耐量子暗号）は量子耐性への移行の基盤を成す。これらのアルゴリズムは量子コンピュータの攻撃に耐えるよう設計されており、規制当局や標準化団体から短期的・中期的には唯一の実行可能な解決策として広く認識されている。その他の量子技術はより専門的な役割を担う：
◼ Quantum key distribution (QKD) is not a direct substitute for public-key cryptography but a complementary technology that can offer diverse layered protection for specific high-security environments.	◼ 量子鍵配送（QKD）は公開鍵暗号の直接的な代替ではなく、特定の高セキュリティ環境向けに多様な階層的保護を提供する補完技術である。
◼ Quantum random number generators (QRNGs) provide certifiable entropy quality, ensuring that quantum-derived randomness can be embedded into cryptographic stacks and validated under recognised certification schemes.	◼ 量子乱数生成器（QRNG）は認証可能なエントロピー品質を提供し、量子由来の乱数を暗号スタックに組み込み、公認認証スキーム下で妥当性確認することを保証する。
4) A risk-based transition model	4) リスクベースの移行モデル
Migrating billions of devices to quantum-safe standards requires a structured, risk-based approach encompassing the following elements:	数十億台のデバイスを量子耐性標準へ移行するには、以下の要素を含む構造化されたリスクベースのアプローチが必要だ：
◼ Crypto agility: design cryptographic systems in a modular way, allowing for the easy replacement of cryptographic components.	◼ 暗号の俊敏性：暗号システムをモジュール式に設計し、暗号コンポーネントの容易な置換を可能にする。
◼ Awareness of crypto dependencies: since most organisations rely heavily on thirdparty vendors, understanding and managing supply chain dependencies is crucial. Organisations must engage suppliers, request clear timelines for quantum-safe capabilities, and monitor supply-chain readiness.	◼ 暗号依存関係の認識：大半の組織がサードパーティベンダーに依存しているため、サプライチェーン依存関係の理解と管理が重要だ。組織はサプライヤーと連携し、量子耐性機能の明確なタイムラインを要求し、サプライチェーンの準備状況を監視しなければならない。
◼ Crypto and product inventories: effective planning starts with a comprehensive inventory of internal and external dependencies, including software, hardware, APIs, and services. Critical systems should be prioritised for early migration.	◼ 暗号と製品のインベントリ：効果的な計画は、ソフトウェア、ハードウェア、API、サービスを含む内部・外部の依存関係を網羅的に把握することから始まる。重要システムは早期移行の優先対象とすべきである。
◼ Hybrid solutions: the coexistence of classical and quantum-resistant algorithms, known as hybrid cryptography, can enable interoperability and redundancy. To ensure global interoperability, hybrid solutions must be standardised through standards’ development organisations. The Task Force recommends broadening the definition of hybrid solutions to encompass ‘context-aware, technically inclusive approaches’ that combine multiple cryptographic mechanisms for resilience, such as PQC/traditional or PQC/QKD.	◼ ハイブリッドソリューション：古典的アルゴリズムと量子耐性アルゴリズムの共存（ハイブリッド暗号）は相互運用性と冗長性を実現し得る。グローバルな相互運用性を確保するため、ハイブリッドソリューションは標準団体による標準化が必須である。タスクフォースは、PQC/従来型や PQC/QKD など、複数の暗号メカニズムを組み合わせてレジリエンスを高める「コンテキストを認識し、技術的に包括的なアプローチ」を包含するよう、ハイブリッドソリューションの定義を拡大することを推奨している。
When it comes to the design and implementation of a European Roadmap for PostQuantum Cryptography (from now on the Roadmap), beyond specific contributions made to the NIS Cooperation Group Roadmap (available in Part VII of this report), the Task Force highlights the need for the following actions:	ポスト量子暗号に関する欧州ロードマップ（以下、「ロードマップ」）の設計と実施に関しては、NIS 協力グループロードマップ（本報告書のパート VII で入手可能）への具体的な貢献に加え、タスクフォースは、以下の行動の必要性を強調する。
◼      Integrate quantum safety into digital systems from the outset: the European Commission and Member States should ensure that digital systems (e.g. the European Digital Identity Wallet) are designed to be quantum-safe from the start.	◼ 量子セキュリティを最初からデジタルシステムに統合する： 欧州委員会と加盟国は、デジタルシステム（欧州デジタル ID ウォレットなど）が最初から量子安全性を備えているように設計されていることを保証すべきである。
◼ Link the Roadmap to a quantum-transition strategy and existing legislations: a roadmap defines milestones and timelines, but a supporting strategy must clarify how Member States, vendors, and institutions will meet them.	◼ ロードマップを量子移行戦略および既存の法律と連動させる：ロードマップはマイルストーンとタイムラインを定義するが、それを支援する戦略では、加盟国、ベンダー、機構がそれらをどのように達成するかを明確にする必要がある。
◼ Ensure alignment and coherence across roadmaps: with multiple quantum-safety roadmaps emerging at EU and national levels, the European Commission, Member States, and standardisation bodies must coordinate efforts to ensure coherence in timelines, dependencies, and objectives. Coordination with the US and other G7 partners is equally important.	◼ ロードマップ間の整合性と一貫性を確保する：EUレベル及び国家レベルで複数の量子安全ロードマップが策定される中、欧州委員会、加盟国、標準化団体は、タイムライン、依存関係、目標における一貫性を確保するため、取り組みを調整しなければならない。米国及びその他のG7パートナーとの調整も同様に重要である。
◼ Introducing greater parallelisation into the Roadmap: the Roadmap’s current structure implicitly relies on a staged or linear approach, which may unintentionally create bottlenecks. This Task Force recommends introducing greater parallelisation into the Roadmap to accelerate progress and reduce systemic risk.	◼ ロードマップへの並列化強化の導入：現行のロードマップ構造は段階的・直線的アプローチを暗黙に前提としており、意図せずボトルネックを生む可能性がある。本タスクフォースは進捗加速とシステムリスク低減のため、ロードマップへの並列化強化導入を推奨する。
Finally, the report underscores the importance of promoting awareness, cooperation, and effective governance throughout the transition to quantum safety. It calls for capacity building, skills development, and the establishment of dedicated crypto-management units within organisations.	最後に、本報告書は量子安全への移行過程における認識向上、協力、効果的なガバナンスの促進の重要性を強調する。組織内での能力構築、スキル開発、専門的な暗号管理ユニットの設置を要請する。
In detail, this Task Force makes recommendations to policymakers, the private sector and the research community that are summarised as follows[1].	詳細として、本タスクフォースは政策立案者、民間セクター、研究コミュニティに対し、以下の通り要約される提言を行う[1]。

共通の推奨事項...

1. GENERAL RECOMMENDATIONS	1. 一般的な提言
GR1. Develop crypto agility	GR1. 暗号の俊敏性を開発する
In the pursuit of quantum-safe encryption, the transition of encryption methods of billions of devices requires a specific model, needing design from a technical, organisational and policy perspective. For such an endeavour, a risk-based approach is necessary. Such an approach should revolve around crypto-agility principles based on measured risks and needs.	量子安全な暗号化を追求するにあたり、数十億台のデバイスの暗号化手法を移行するには、技術的・組織的・政策的な観点から設計された特定のモデルが必要だ。このような取り組みにはリスクベースのアプローチが不可欠である。このアプローチは、測定されたリスクとニーズに基づく暗号の俊敏性の原則を中心に据えるべきだ。
GR2. Engage with suppliers to take care of crypto dependencies	GR2. 暗号依存関係の対応についてサプライヤーと連携する
Most organisations rely heavily on third-party products and services, and supply chain dependencies frequently define the constraints and possibilities of migration. Migration to PQC often stalls when critical products or dependencies are beyond the direct control of the organisation. Software vendors and suppliers are on staggered upgrade schedules, and many cryptographic components are buried in complex, nested dependencies. To address this, organisations need robust engagement with suppliers, clear requests for timelines on quantum-safe capabilities, and a mechanism for tracking supply-chain readiness.	多くの組織はサードパーティ製品・サービスに大きく依存しており、サプライチェーン依存関係が移行の制約と可能性を頻繁に決定づける。重要な製品や依存関係が組織の直接管理外にある場合、PQCへの移行はしばしば停滞する。ソフトウェアベンダーやサプライヤーは段階的なアップグレードスケジュールを採用しており、多くの暗号化コンポーネントは複雑にネストされた依存関係の中に埋もれている。この問題に対処するには、組織はサプライヤーとの強固な連携、量子耐性機能のタイムラインに関する明確な要求、サプライチェーンの準備状況を追跡する仕組みが必要だ。
GR3. Building and maintaining crypto and product inventories	GR3. 暗号と製品のインベントリの構築と維持
In preparation for the shift to post-quantum cryptography, organisations are increasingly focusing on how cryptographic and product inventories are built and maintained. Developing inventories should be prioritised, focusing first on the most relevant use cases. Prioritising such an inventory will help with building a roadmap and provide context on migration activities. An inventory of cryptographic assets is an important task that, based on previous analysis, will facilitate a better understanding of the landscape of what needs to be migrated. What emerges is not a rigid blueprint, but rather a set of guiding practices, shaped by early planning, collaboration across technical and governance teams, and a clear understanding of what such inventories need to capture and why.	ポスト量子暗号への移行に備え、組織は暗号資産と製品インベントリの構築・維持方法に注力している。インベントリ開発は優先度が高く、最も関連性の高いユースケースから着手すべきだ。優先順位付けはロードマップ構築と移行活動の文脈提供に寄与する。暗号資産インベントリは重要課題であり、事前分析に基づく移行対象の全体像把握を促進する。そこから生まれるのは硬直した設計図ではなく、初期計画、技術チームとガバナンスチーム間の連携、そしてこうしたインベントリが何を捕捉すべきか、その理由を明確に理解することで形作られる一連の指針となる実践である。
Cryptographic inventories are a detailed mapping of where and how cryptography is used across an organisation’s systems. Its objectives are to identify the cryptographic algorithms in use today (Rivest-Shamir-Adleman Algorithm (RSA), elliptic-curve cryptography (ECC), Advanced Encryption Standard (AES)), their implementation context (code signing; Transport Layer Security (TLS) for communications), their quantum resistance status (legacy or PQC), and the dependencies of cryptographic modules and standards.	暗号インベントリとは、組織のシステム全体で暗号技術がどこでどのように使用されているかを詳細にマッピングしたものである。その目的は、現在使用されている暗号アルゴリズム（Rivest-Shamir-Adleman アルゴリズム（RSA）、楕円曲線暗号（ECC）、Advanced Encryption Standard（AES））、実装コンテキスト（コード署名、コミュニケーションのための Transport Layer Security（TLS））、量子耐性ステータス（レガシーか PQC か）、暗号モジュールと標準の依存関係を識別することである。
Product inventories focus on external products, services, and hardware that an organisation uses (i.e. third-party providers), and map the cryptographic characteristics of these products. When purchasing new software, hardware, or cloud services, organisations would require vendors to disclose the cryptographic algorithms and protocols used in their products, potentially including a roadmap for post-quantum upgrades.	製品インベントリは、組織が使用する外部製品・サービス・ハードウェア（つまりサードパーティプロバイダ）に焦点を当て、それらの暗号特性をマッピングする。新規ソフトウェア・ハードウェア・クラウドサービス購入時には、ベンダーに対し製品で使用される暗号アルゴリズムとプロトコルの開示を要求し、場合によっては耐量子アップグレードのロードマップも求める必要がある。
GR4. Integrate quantum-safety into digital systems from the start	GR4. デジタルシステムに量子耐性を最初から組み込む
The European Commission and Member States should ensure that digital systems (such as the European Digital Identity Wallet) are designed to be quantum-safe from the start. In other terms, if new services or systems or standards are introduced that require crypto, then this crypto should be quantum safe from day one. This means integrating postquantum cryptography into system architecture, certification, and procurement processes rather than treating it as a future retrofit.	欧州委員会と加盟国は、欧州デジタルIDウォレットなどのデジタルシステムが最初から量子耐性を備えるよう設計することを保証すべきだ。言い換えれば、暗号を必要とする新サービス・システム・標準を導入する場合、その暗号は初日から量子耐性を持つ必要がある。これはポスト量子暗号を将来的な後付けではなく、システムアーキテクチャ・認証・調達プロセスに統合することを意味する。
GR5. Going beyond hype: from a Q-Day to a Q-period	GR5. 誇大宣伝を超えて：Q-DayからQ-periodへ
Discussions of PQC are frequently animated by the spectre of Q-Day, a sudden moment when a powerful quantum computer renders classical cryptography obsolete. While useful as a mobilising narrative, this framing risks distorting the problem. Quantum capability will not arrive as a tsunami but as a gradual, uneven process. A handful of machines will first be able to break selected keys, before scaling to broader applications. Therefore, a more realistic framing, treating the problem as a Q-period, rather than a QDay, would support balanced migration strategies, paced with the actual evolution of quantum capability and standards readiness.	PQCに関する議論は、強力な量子コンピュータが古典暗号を無効化する瞬間「Q-Day」の脅威によって頻繁に盛り上がる。動員のための物語としては有用だが、この枠組みは問題を歪めるリスクがある。量子能力は津波のように一挙に到来するのではなく、漸進的かつ不均一なプロセスとして現れる。まず少数のマシンが特定の鍵を破り、その後広範な応用へ拡大する。したがって、Q-DayではなくQ-periodとして問題を捉える現実的な枠組みは、量子能力の実際の進化と標準の準備状況に歩調を合わせた、バランスの取れた移行戦略を支えるだろう。
GR6. Linking the Roadmap for the Transition to Post-Quantum Cryptography[2] to a quantum transition strategy and to existing laws	GR6. 量子暗号移行ロードマップ[2]と量子移行戦略・既存法規の連携
There are significant risks in pursuing an EU quantum-safe roadmap without a coordinated, risk-aware transition strategy. A roadmap must specify what milestones are required and by when, but only a supporting strategy can define how Member States, vendors, and institutions will meet them. Without synchronised standards, certification schemes, interoperability frameworks, and testing infrastructures, regulation may outpace readiness.	調整されたリスク認識型移行戦略なしにEUの量子安全ロードマップを推進することは重大なリスクを伴う。ロードマップは必要なマイルストーンと期限を明記すべきだが、加盟国・ベンダー・機構がそれらを達成する方法を定義できるのは支援戦略のみである。標準、認証スキーム、相互運用性枠組み、試験インフラが同期しなければ、規制が準備態勢を追い越す恐れがある。
GR7. Ensure alignment and coherence across roadmaps	GR7. ロードマップ間の整合性と一貫性の確保
Multiple roadmaps for quantum-safe transition are currently being developed and discussed at the EU and national levels, covering post-quantum cryptography, quantum communication, and related infrastructure initiatives. While each roadmap sets valuable priorities and indicative milestones (e.g. 2026, 2030, 2035), their coexistence risks producing fragmented or worse incompatible requirements and implementations if not properly aligned. The European Commission, together with Member States and standardisation bodies, should therefore promote cross-roadmap coordination to ensure coherence in timelines, dependencies, and objectives.	EUレベルおよび国家レベルでは現在、ポスト量子暗号、量子通信、関連インフラ構想を網羅する量子耐性移行のための複数のロードマップが策定・議論されている。各ロードマップは貴重な優先事項と目安となるマイルストーン（例：2026年、2030年、2035年）を設定しているが、適切に調整されなければ、要求事項や実装が断片化、あるいは互換性を欠くリスクがある。欧州委員会は加盟国や標準化団体と連携し、タイムライン、依存関係、目標の一貫性を確保するため、ロードマップ間の調整を推進すべきである。
To ensure global coherence and avoid fragmentation, the EU should also coordinate closely with the US and other G7 economies to align roadmaps, technical requirements, and timelines for quantum-safe transitions.	世界的な整合性を確保し分断を回避するため、EUは米国やその他のG7経済圏とも緊密に連携し、量子耐性移行に向けたロードマップ、技術要件、タイムラインの整合を図るべきである。
GR8. Introducing greater parallelisation into the Roadmap	GR8. ロードマップへの並列化強化の導入
The Roadmap’s current structure implicitly relies on a staged or linear approach, which may unintentionally create bottlenecks, particularly where progress in one area depends on completion in another. Given the complexity and heterogeneity of cryptographic systems across the EU, we recommend introducing greater parallelisation into the Roadmap to accelerate progress and reduce systemic risk[3].	ロードマップの現行構造は段階的・直線的アプローチを暗黙に前提としており、特にあるセクターの進展が別のセクターの完了に依存する場合、意図せずボトルネックを生む可能性がある。EU域内の暗号システムの複雑性と多様性を考慮し、進展加速とシステミックリスク低減のため、ロードマップへの並列化強化の導入を推奨する[3]。
GR9. Promoting awareness, cooperation and better governance	GR9. 認知度向上、協力促進、ガバナンス強化
In cyberspace, all nations are connected across borders and depend on each other, including in this transition. Therefore, Member States should create an environment or community where organisations, entities and stakeholders can share knowledge and experiences.	サイバー空間では、国境を越えて全ての国家が相互に依存し合っており、この移行においても同様である。したがって加盟国は、組織・事業体・関係者が知識と経験を共有できる環境またはコミュニティを構築すべきだ。
Member States should lead by example with transparent transition plans: publish and regularly update government transition roadmaps, including timelines, milestones and budgets, to foster knowledge sharing and best practices.  Roadmaps should broaden their definition of ‘stakeholder’ beyond ministries, regulatory agencies and technical experts. Civil society, minority networks and grassroots diversity, equity and inclusion (DEI) organisations should be recognised as co-leaders, not simply ‘consulted’.	加盟国は透明性のある移行計画で率先垂範すべきである：政府の移行ロードマップ（タイムライン、マイルストーン、予算を含む）を公表し定期的に更新し、知識共有とベストプラクティスの促進を図る。ロードマップは「利害関係者」の定義を省庁・規制機関・技術専門家を超えて拡大すべきだ。市民社会、マイノリティネットワーク、草の根の多様性・公平性・包摂（DEI）組織は単なる「相談相手」ではなく共同リーダーとして認識されるべきである。
The Roadmap for the transition to PQC should establish mechanisms (citizen assemblies, consultation panels, regular transparent updates) to ensure citizens not only receive information but can actively shape strategies. The Roadmap should encourage joint pilot projects at the EU level to test interoperability of PQC in cross-border services before 2030.	PQC移行ロードマップは、市民が情報を受け取るだけでなく戦略を積極的に形成できる仕組み（市民会議、協議パネル、定期的な透明性ある更新）を確立すべきだ。ロードマップは、2030年までに国境を越えたサービスにおけるPQCの相互運用性を試験するため、EUレベルでの共同パイロットプロジェクトを促進すべきだ。
We suggest establishing a public-private PQC migration observatory under ENISA to monitor advances and recommend acceleration of timelines if necessary.	ENISA傘下に官民共同のPQC移行監視機関を設置し、進捗を監視するとともに、必要に応じてタイムラインの加速を推奨することを提案する。
GR10.  Promoting skill development and management structures	GR10. 技能開発と管理構造の促進
Finally, successful migration also depends on management structures and skill development. Cryptographic migration is no longer just the purview of niche technical experts; it requires cross-functional teams, transparent governance, and clear process ownership. Organisations should have a well-established, funded, and empowered programme that starts with clear business-level priorities. Much of the current progress is bottom-up and lacks executive support.	最後に、移行の成功は管理構造と技能開発にも依存する。暗号技術移行はもはやニッチな技術専門家の領域ではなく、部門横断チーム、透明性のあるガバナンス、明確なプロセス所有権を必要とする。組織は明確な事業レベル優先事項から始まる、確立され資金提供され権限付与されたプログラムを持つべきだ。現在の進捗の多くはボトムアップであり、経営陣の支援が不足している。
[1] The extended version of the Recommendations is avalable in Part XI.	[1] 推奨事項の拡張版は第XI部で入手可能である。
[2] Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography, from now on the Roadmap.	[2] 耐量子暗号移行のための調整済み実装ロードマップ（以下「ロードマップ」と呼ぶ）。
[3] Specific, actionable suggestions for increasing parallelism while maintaining coordination and alignment are available in  Part XI.	[3] 調整と整合性を維持しつつ並列性を高めるための具体的かつ実行可能な提案は第XI部で入手可能である。

金融、政府、防衛の特有の事象

2. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE FINANCIAL SECTOR	2. 金融セクター向け追加推奨事項
FS1. Create an ad hoc PQC governance structure	FS1. 臨時的なPQCガバナンス体制を構築する
Governance structures are vital. Firms should establish a PQC transition steering committee or task force. This group oversees inventorising cryptographic usage, tracking standards, and setting migration timelines in alignment with business priorities and regulatory requirements. Many large banks have already formed internal ‘quantum risk’ or ‘crypto agility’ teams for this purpose.	ガバナンス体制は極めて重要である。企業はPQC移行運営委員会またはタスクフォースを設置すべきだ。このグループは、暗号技術の使用状況の把握、標準の追跡、事業優先度と規制要件に沿った移行スケジュールの設定を監督する。多くの大手銀行は既にこの目的で内部の「量子リスク」または「暗号技術対応」チームを編成している。
FS2. Enhancing collaboration with vendors and partners	FS2. ベンダー・パートナーとの連携強化
The financial sector’s crypto infrastructure extends beyond the walls of any single institution. It includes vendors, third-party service providers, and hardware manufacturers. It depends on these actors. A key bottleneck is the readiness of technology providers to support PQC. Therefore, firms should engage vendors early to ensure their roadmaps include PQC support, effectively asking for crypto agility by design in new procurements. Vendor incentives may be increased and fragmentation reduced if financial institutions can agree on common procurement standards.	金融セクターの暗号インフラは単一機構の枠を超えている。ベンダー、サードパーティサービスプロバイダー、ハードウェア製造事業者を含む。これらの主体に依存している。主要なボトルネックは、技術プロバイダがPQCをサポートする準備態勢だ。したがって企業は、ベンダーと早期に関わり、ロードマップにPQCサポートが含まれるよう確保すべきである。新規調達では設計段階からの暗号適応性を効果的に求めることになる。金融機関と機構が共通調達標準で合意できれば、ベンダーのインセンティブ向上と分断の軽減が可能となる。
FS3. Upgrade the financial sector underlying infrastructure	FS3. 金融セクター基盤インフラのアップグレード
Companies need to upgrade their underlying infrastructure to ensure that hardware security modules (HSMs), cryptographic libraries, virtual private network (VPN) appliances, and other related components can support quantum-safe algorithms. A key recommendation is to modernise algorithms as part of the ongoing broader IT modernisation initiative. For example, if a bank is migrating services to the cloud or replacing core banking systems, crypto-agility considerations should be built in from the start.	企業は基盤インフラをアップグレードし、ハードウェアセキュリティモジュール（HSM）、暗号ライブラリ、仮想プライベートネットワーク（VPN）アプライアンス、その他関連コンポーネントが量子耐性アルゴリズムをサポートできるようにする必要がある。継続的な広範なIT近代化イニシアチブの一環としてアルゴリズムを近代化することが重要な提言である。例えば、銀行がサービスをクラウドに移行する場合や基幹銀行システムを刷新する場合、暗号の適応性を考慮した設計を最初から組み込むべきである。
FS4. Prioritise actions based on risk assessment	FS4. リスクアセスメントに基づく優先順位付け
Given the scale of the transition, not everything can be changed at once. A risk-based approach is essential to prioritise which systems and data to secure first. This process begins with a cryptographic inventory. Instead of aiming for a comprehensive inventory that is costly and may become outdated once actual migrations begin, we recommend a top-down and risk-based approach that creates inventories for migrating specific parts of the business based on a business-level risk-reward analysis. While certain dependencies will need to be maintained, this ensures that the business justification and value can be identified and tracked while migrating.	移行の規模を考慮すると、全てを一度に変更することは不可能である。どのシステムとデータを優先的に保護すべきかを判断するには、リスクベースのアプローチが不可欠である。このプロセスは暗号資産の棚卸しから始まる。実際の移行開始後に陳腐化する可能性があり、かつコストのかかる包括的なインベントリ作成を目指すのではなく、事業レベルのリスク・リターン分析に基づき、事業の特定部分のみを移行対象とするインベントリを作成するトップダウンかつリスクベースのアプローチを推奨する。特定の依存関係は維持する必要があるものの、これにより移行中に事業の正当性と価値を特定・追跡できる。
FS5. Perform cost-benefit analysis of mitigation options	FS5. 緩和策の費用便益分析を実施する
Not all solutions are equal: some may involve hardware changes (using hybrid solutions in hardware or deploying quantum random number generators or QKD links), while others are purely software-based (switching to PQC algorithms). The Task Force mentions that a complete crypto transition for a large bank could cost in the order of hundreds of millions of dollars. The importance of quantified risk assessments for boards and executives is essential to justify expenditures against the risk reduction achieved. If the cost of inaction (i.e. potential fines, losses, and reputational damage from a future breach) outweighs the migration cost, the business case for PQC investment becomes clear.	解決策は全て同等ではない。ハードウェア変更を伴うもの（ハードウェア上のハイブリッドソリューション採用、量子乱数生成器やQKDリンクの展開）もあれば、純粋にソフトウェアベースのもの（PQCアルゴリズムへの移行）もある。タスクフォースは、大規模銀行における完全な暗号移行には数億ドル規模の費用がかかると指摘している。取締役会や経営陣にとって、達成されるリスク低減に対して支出を正当化するには、定量化されたリスクアセスメントが不可欠だ。何もしない場合のコスト（将来の侵害による潜在的な罰金、損失、評判の毀損）が移行コストを上回る場合、PQC投資のビジネスケースは明らかになる。
FS6. Overcome organisational and skills gaps	FS6. 組織的・技術的ギャップの克服
Financial institutions face a shortage of cryptographic skills and awareness at all levels. Cryptography has often been a niche domain in IT; now it must become a mainstream concern. The culture in many financial organisations has been to treat cryptography as a static utility. Changing this mindset to one of continuous cryptographic improvement is an organisational challenge.	金融機関は、あらゆるレベルで暗号技術のスキルと認識の不足に直面している。暗号技術はこれまでIT分野のニッチ領域であったが、今や主流の関心事となる必要がある。多くの金融機関では暗号技術を静的なユーティリティとして扱う文化が根付いている。この考え方を継続的な暗号技術の改善へと転換することは組織的な課題である。
3. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE PUBLIC SECTOR	3. 公共セクター向け追加推奨事項
PS1. Implement a sequenced migration plan across PKI and digital identity ecosystems	PS1. PKIおよびデジタルIDエコシステム全体での段階的移行計画の実施
Public administrations should adopt a coordinated, risk-based approach to upgrading public-key infrastructure (PKI) and digital identity systems. Migration should begin with the most critical and high-impact components, such as national identity registers, crossborder authentication services, and certificate authorities that anchor public trust, before extending to dependent systems. Administrations should conduct comprehensive cryptographic inventories to map dependencies and identify areas most exposed to quantum risks. This mapping should inform sequenced migration roadmaps that combine hybrid cryptography for short-term continuity with long-term adoption of post-quantum standards.	公共行政機関は、公開鍵基盤（PKI）とデジタルIDシステムのアップグレードに際し、調整されたリスクベースのアプローチを採用すべきだ。移行は、国民ID登録システム、越境認証サービス、公共の信頼を支える認証局など、最も重要かつ影響力の大きい構成要素から開始し、依存システムへ段階的に拡大する。行政機関は包括的な暗号技術インベントリを実施し、依存関係をマッピングするとともに、量子リスクに最も晒されている領域を特定すべきだ。このマッピングは、短期的な継続性のためのハイブリッド暗号技術と、長期的な耐量子標準の採用を組み合わせた段階的な移行ロードマップの策定に活用されるべきである。
PS2. Synchronise authentication layers to prevent fragmentation and service disruption	PS2. 分断とサービス中断を防ぐため認証レイヤーを同期させる
Authentication systems, roots, intermediates, browsers, and revocation services must evolve in lockstep to preserve trust and interoperability during the quantum transition. The European Commission and national authorities should coordinate migration to ensure simultaneous readiness across these layers. This includes benchmarking performance impacts, conducting interoperability and stress tests, and establishing fallback mechanisms to handle larger certificates and increased computational demands. A synchronised approach will prevent fragmented implementations and minimise service outages.	量子移行期における信頼性と相互運用性を維持するため、認証システム、ルート、中間証明書、ブラウザ、失効サービスは足並みを揃えて進化しなければならない。欧州委員会と各国当局は、これらのレイヤー全体で同時対応を確保するため移行を調整すべきである。これには、性能影響のベンチマーク、相互運用性テストとストレステストの実施、大規模な証明書や増加した計算要求に対応するためのフォールバックメカニズムの確立が含まれる。同期化されたアプローチは、断片化した実装を防ぎ、サービス停止を最小限に抑える。
PS3. Coordinate cross-border roadmaps and align national migration strategies	PS3. 国境を越えたロードマップを調整し、各国の移行戦略を整合させる
The European Commission and Member States should establish a joint roadmap for quantum-safe migration, aligning national PKI upgrades, timelines, and policy frameworks. This coordination should focus on interoperability across borders, ensuring that trust chains, certification processes, and governance models remain consistent within the EU. Regular reporting and shared readiness benchmarks should be institutionalised to ensure that national infrastructures evolve in sync and maintain mutual trust.	欧州委員会と加盟国は、量子耐性のある移行のための共同ロードマップを確立し、各国のPKIアップグレード、タイムライン、政策枠組みを整合させるべきである。この調整は国境を越えた相互運用性に焦点を当て、EU域内で信頼チェーン、認証プロセス、ガバナンスの一貫性を確保すべきだ。定期的な報告と共有された準備基準を制度化し、国家インフラが同期して進化し相互信頼を維持することを保証する必要がある。
PS4. Manage the quantum transition as a coordinated sociotechnical programme	PS4. 量子移行を協調的な社会技術プログラムとして管理する
Post-quantum migration in the public sector should be approached as a whole-ofecosystem effort, not a purely cryptographic upgrade. The European Commission and Member States should establish coordination mechanisms bringing together technical agencies, regulators, standardisation bodies, and industry actors to guide the transition. Migration plans must also account for legacy and operational-technology constraints by scheduling upgrades and enabling parallel standards updates to prevent bottlenecks.	公共セクターにおける耐量子移行は、純粋な暗号化アップグレードではなく、エコシステム全体の取り組みとして取り組むべきである。欧州委員会と加盟国は、技術機関、規制当局、標準団体、産業関係者を結集する調整メカニズムを確立し、移行を指導すべきである。移行計画は、レガシーシステムや運用技術（OT）の制約を考慮し、アップグレードのスケジュール設定や並行した標準更新を可能にすることでボトルネックを防止しなければならない。
4. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE DEFENCE SECTOR	4. 防衛セクター向け追加推奨事項
DS1. Develop a post-quantum transition roadmap	DS1. 耐量子移行ロードマップの策定
Defence industry stakeholders should establish a post-quantum transition roadmap that synchronises governmental policy milestones with industrial deployment. This roadmap should mandate comprehensive cryptographic inventories, prioritise mission-critical and high-risk systems, and coordinate cross-vendor testing of PQC implementations. Developing shared migration benchmarks will enhance interoperability across defence supply chains, prevent redundant efforts, and enable the modernisation of legacy command, control, and communication infrastructures without disrupting critical operations.	防衛産業関係者は、政府の政策マイルストーンと産業展開を同期させる耐量子移行ロードマップを確立すべきだ。このロードマップは包括的な暗号資産の棚卸を義務付け、ミッションクリティカルかつ高リスクシステムを優先し、PQC実装のクロスベンダーテストを調整すべきである。共通の移行ベンチマークを開発することで、防衛サプライチェーン全体の相互運用性が向上し、重複作業が防止され、重要な運用を妨げることなく、レガシーな指揮・統制・コミュニケーションインフラの近代化が可能となる。
DS2. Support industrial coordination	DS2. 産業連携の支援
Institutional stakeholders should support industrial coordination between defence primes, SMEs of the quantum industry, and research labs through funding mechanisms that prioritise European value chains and reduce reliance on non-EU suppliers.	機構は、欧州のバリューチェーンを優先し、非EUサプライヤーへの依存を減らす資金調達メカニズムを通じて、防衛プライム企業、量子産業の中小企業、研究機関間の産業連携を支援すべきである。
DS3. Address supply-chain dependencies	DS3. サプライチェーン依存への対応
Similarly, competent European institutions (e.g. the European Defence Agency (EDA), the European Commission and the European Defence Fund (EDF)) should address supply chain dependencies: several key quantum algorithms and hardware components currently originate in the US or Asia. European actors should prioritise developing proprietary quantum algorithms, photonics platforms, and cryogenic technologies in Europe.	同様に、欧州の関連機構（欧州防衛庁（EDA）、欧州委員会、欧州防衛基金（EDF）など）はサプライチェーン依存に対処すべきだ。現在、主要な量子アルゴリズムやハードウェア部品の多くは米国やアジアに起源を持つ。欧州関係者は、独自開発の量子アルゴリズム、フォトニクスプラットフォーム、極低温技術の開発を欧州で優先すべきだ。
DS4. Formalise public-private quantum innovation frameworks	DS4. 官民量子イノベーション枠組みの正式化
International and European defence institutions (EDA, NATO, EDF) should formalise public-private quantum innovation frameworks connecting established defence contractors with start-ups and academic labs. These partnerships should include shared testbeds, classified-and-open research and development (R&D) tracks, and co-funded demonstrators to accelerate technology transfer. Priority should go to dual-use quantum sensing and communication systems, ensuring civil R&D (from Quantum Flagship or national programmes) is adapted to defence applications.	国際的・欧州の防衛機構（EDA、NATO、EDF）は、既存防衛企業と新興企業・学術研究所を結ぶ官民量子イノベーション枠組みを正式化すべきだ。これらの連携には、共有テストベッド、機密・公開両方の研究開発（R&D）トラック、技術移転加速のための共同資金による実証機を含めるべきである。優先度は、民生用量子センシング・コミュニケーションシステムと防衛用量子センシング・コミュニケーションシステムの両方に置くべきである。これにより、民生用R&D（量子フラッグシップや国家プログラムによるもの）が防衛用途に適応されることを保証する。
DS5. Establish structured pilot-to-certification pathways	DS5. 構造化された試験運用から認証までの経路を確立する
To validate emerging quantum systems for operational use, the EU and NATO should establish structured pilot-to-certification pathways. Programmes such as OPENQKD should evolve into permanent Quantum defence testbeds, allowing companies (e.g. Thales, Leonardo, SMEs) to test prototypes under military conditions. Results should directly feed into European standardisation bodies (the European Telecommunications Standards Institute (ETSI), ENISA) to define security and interoperability benchmarks, thereby reducing time-to-deployment and ensuring trusted European solutions.	運用可能な量子システムを妥当性確認するため、EUとNATOは構造化された試験運用から認証までの経路を確立すべきである。OPENQKDなどのプログラムは恒久的な量子防衛試験基盤へと発展させ、企業（例：タレス、レオナルド、中小企業）が軍事条件下でプロトタイプを試験できるようにすべきである。結果は欧州標準化団体（欧州電気通信標準化機構（ETSI）、ENISA）に直接反映され、セキュリティと相互運用性の基準を定義することで、展開までの時間を短縮し、信頼できる欧州ソリューションを確保する。
DS6. Incentivise research in defence quantum technologies	DS6. 防衛量子技術研究へのインセンティブ
To incentivise research in defence quantum technologies, it is essential to establish secure knowledge-sharing mechanisms (e.g. classified research consortia, modular publications, or declassification windows) allowing academics to maintain academic career progression without breaching defence restrictions.	防衛量子技術研究を促進するには、安全な知識共有メカニズム（機密研究コンソーシアム、モジュール式出版、機密解除期間など）を確立することが不可欠である。これにより、研究者は防衛上の制約に抵触することなく、学術的キャリアを継続できる。

ASKUL ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みの報告 (2025.12.12)

こんにちは、丸山満彦です。

アスクルがランサムウェア攻撃を受け出荷等に影響がでましたが、12日に攻撃の影響調査結果と安全性強化に向けた取り組みについて公表していますね...その中で、攻撃手法の分析、初動対応、原因分析と再発防止策、システム復旧と安全性確保、今後のセキュリティ強化に向けたロードマップ（短期・中期・長期）にわけて説明していて、他社の参考に資する部分も多いのではないかと思い紹介です...

環境については、新しい環境を作り直したみたいですね...

これからはNISTのセキュリティフレームワークに基づくセキュリティ強化をするようですね...

原因分析の点では、

（１）不正アクセス；例外的に多要素認証を適用していなかった業務委託先に対して付与していた管理者アカウントのIDとパスワードが漏洩し不正利用された可能性が高い

（２）侵入検知の遅れ：侵害が発生したデータセンターではサーバにEDRが未導入、24時間監視も未実施で即時検知ができなかった

（３）復旧の長期化：オンラインバックアップで一部バックアップも暗号化された。一部OSバージョンアップ作業に時間を要した

攻撃されたのが委託先のアカウント経由、そして業務のサプライチェーンに影響を与えたということでサプライチェーン・セキュリティ強化の重要性が確認された感じですかね...

そして、認証については多要素認証は必要...

資産管理、脆弱性管理は即時に把握できないといけない...

適時監視も重要...

オフラインバックアップは必須...

● ASKUL

・2025.12.12 ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（ランサムウェア攻撃によるシステム障害関連・第 13 報） (downloaded)

---

・2025.12.12 ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（ランサムウェア攻撃によるシステム障害関連・第 13 報） (downloaded)

・2025.12.03 サービスの復旧状況について（ランサムウェア攻撃によるシステム障害関連・第 12 報） (downloaded)

・2025.12.01 （適時）2026年5月期第2四半期決算発表の延期に関するお知らせ (downloaded)

・2025.11.28 サービスの復旧状況について（ランサムウェア攻撃によるシステム障害関連・第 11 報） (downloaded)

・2025.11.19 サービスの復旧状況について（ランサムウェア攻撃によるシステム障害関連・第 10 報 (downloaded)

・2025.11.14 ３PL 事業に関する情報流出の可能性について（ランサムウェア攻撃によるシステム障害関連・第９報） (downloaded)

・2025.11.12 サービスの復旧状況について（ランサムウェア攻撃によるシステム障害関連・第８報）  (downloaded)

・2025.11.11 情報流出に関するお知らせとお詫び（ランサムウェア攻撃によるシステム障害関連・第７報）  (downloaded)

・2025.11.06 サービスの復旧状況について（ランサムウェア攻撃によるシステム障害関連・第６報）  (downloaded)

・2025.10.31 ランサムウェア攻撃による情報流出に関するお詫びとお知らせ（ランサムウェア攻撃によるシステム障害関連・第 5 報） (downloaded)

・2025.10.31 一部報道について（ランサムウェア攻撃によるシステム障害関連・第 4 報） (downloaded)

・2025.10.29 一部商品の出荷トライアル運用の開始について（ランサムウェア感染によるシステム障害関連・第３報） (downloaded)

・2025.10.29 （適時）2026年5月期10月度月次業績のお知らせ (downloaded)

・2025.10.28 （適時）2026年5月期10月度月次業績につきまして (downloaded)

・2025.10.22 ランサムウェア感染によるシステム障害について（第２報） (downloaded)

・2025.10.20 （適時）ランサムウェア感染によるシステム障害発生について (downloaded)

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.11.30 アサヒホールディングス サイバー攻撃によるシステム障害発生についての記者会見他 (2025.11.27)

米国 NIST SP 800-57 第6版（初期公開ドラフト）鍵管理に関する推奨事項：第1部－一般事項 (2025.12.05)

こんにちは、丸山満彦です。

NISTがSP 800-57 第6版（初期公開ドラフト）鍵管理に関する推奨：第1部－一般を公表し、意見募集をしていますね...

耐量子計算機暗号移行の問題もあって話題な領域かも (^^) 

三部作の第一部です。でも、第一部だけでも200ページくらいあります...

● NIST - ITL

・2025.12.05 NIST SP 800-57 Rev. 6 (Initial Public Draft) Recommendation for Key Management: Part 1 – General

NIST SP 800-57 Rev. 6 (Initial Public Draft) Recommendation for Key Management: Part 1 – General	米国 NIST SP 800-57 第6版（初期公開ドラフト）鍵管理に関する推奨事項：第1部－一般事項
Announcement	発表
The initial draft of NIST SP 800-57 Part 1 Revision 6 is available for comment through February 5, 2026. Some of the proposed changes from Revision 5 include:	NIST SP 800-57 第1部 第6改訂版の初期ドラフトが、2026年2月5日まで意見募集のために公開されている。第5版からの主な変更点には以下が含まれる：
・Ascon, as specified in SP 800-232, and the new quantum-resistant algorithms specified in FIPS 203, 204, and 205 have been included.	・SP 800-232で規定されたAscon、およびFIPS 203、204、205で規定された新たな量子耐性アルゴリズムが追加された。
・The keys used for both key establishment and key storage are now discussed separately.	・鍵確立と鍵保存に使用される鍵について、別々に論じられるようになった。
・The security categories used in the PQC competition have been included, along with the quantum-resistant algorithms.	・量子耐性アルゴリズムと共に、PQCコンペティションで使用されたセキュリティカテゴリーが追加された。
・The time frames for algorithm approval status have been removed and replaced with references to SP 800-131A.	・アルゴリズム承認ステータスの時間枠は削除され、SP 800-131Aへの参照に置き換えられた。
・A section has been added to discuss keying material storage and mechanisms.	・鍵材料の保存とメカニズムについて論じるセクションが追加された。
See Appendix F for a more complete list of changes.	変更点のより完全なリストについては附属書Fを参照のこと。
Abstract	要約
This recommendation provides cryptographic key-management guidelines in three parts. Part 1 provides general guidelines and best practices for the management of cryptographic keying material, including definitions for the security services that may be provided when using cryptography and the algorithms and key types that may be employed, specifications for the protection that each type of key and other cryptographic information requires and methods for providing this protection, discussions about the functions involved in key management, and discussions about a variety of key-management issues to be addressed when using cryptography. Part 2 provides guidance on policy and security planning requirements for U.S. Government agencies. Part 3 provides guidelines for using the cryptographic features of current systems.	本勧告は暗号鍵管理ガイドラインを3部構成で提供する。第1部では、暗号鍵材料の管理に関する一般的なガイドラインとベストプラクティスを提供する。これには、暗号技術使用時に提供可能なセキュリティサービスの定義、採用可能なアルゴリズムと鍵の種類、各種鍵及びその他の暗号情報に必要な防御仕様とその提供方法、鍵管理に関わる機能に関する考察、暗号技術使用時に対処すべき多様な鍵管理課題に関する考察が含まれる。第2部では、米国政府機関向けのポリシー及びセキュリティ計画要件に関する指針を提供する。第3部では、現行システムの暗号機能利用に関するガイドラインを提供する。

・[PDF] NIST.SP.800-57pt1r6.ipd

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
Cryptography is used to secure communications over networks, to protect information stored in databases, and for many other critical applications. Cryptographic keys play an important part in the operation of cryptography. These keys are analogous to the combination of a safe. If a safe combination is known to an adversary, the strongest safe provides no security against penetration.	暗号技術は、ネットワーク上の通信の保護、データベースに保存された情報の保護、その他多くの重要な用途に使用される。暗号鍵は暗号技術の運用において重要な役割を果たす。これらの鍵は金庫の暗証番号に類似している。敵対者が金庫の暗証番号を知っている場合、最も強固な金庫であっても侵入に対する防御効果は皆無である。
The proper management of cryptographic keys is essential to the effective use of cryptography for security. Poor key management may easily compromise strong algorithms. This recommendation provides guidelines for the management of a cryptographic key throughout its life cycle, including its secure generation, storage, distribution, use, and destruction.	暗号鍵の適切な管理は、セキュリティのための暗号技術の有効な利用に不可欠である。鍵管理が不十分だと、強力なアルゴリズムも容易に破られる。本 推奨は、暗号鍵のライフサイクル全体（安全な生成、保管、配布、使用、破棄を含む）における管理ガイドラインを提供する。
Ultimately, the security of information protected by cryptography directly depends on the strength of the keys, the effectiveness of cryptographic mechanisms and protocols associated with the keys, and the protection provided to the keys. Secret and private keys need to be protected against unauthorized disclosure, and all keys need to be protected against modification.	結局のところ、暗号技術で保護される情報の安全性は、鍵の強度、鍵に関連する暗号メカニズムとプロトコルの有効性、そして鍵自体への保護に直接依存する。秘密鍵と公開鍵は不正開示から防御され、全ての鍵は改変から防御されなければならない。
Cryptographic keys are used across a broad range of systems and applications in enterprises, many of which are managed by individuals who may not have expertise in key management. Consequently, organizations must ensure that clear guidance and oversight is provided for the proper management of keys, as well as controls to ensure that the guidance is being followed and implemented.	暗号鍵はエンタープライズの幅広いシステムやアプリケーションで使用されるが、その多くは鍵管理の専門知識を持たない個人によって管理されている。したがって組織は、鍵の適切な管理に向けた明確な指針と監督を提供するとともに、その指針が遵守・実施されていることを保証する統制を確立しなければならない。
Organizations and developers are presented with many choices in their use of cryptographic mechanisms. Inappropriate choices may result in an illusion of security but with little or no real security for the protocol or application. This recommendation provides background information and establishes a framework to support appropriate decisions when selecting and using cryptographic mechanisms.	組織や開発者は暗号メカニズムの利用において多くの選択肢に直面する。不適切な選択は、プロトコルやアプリケーションに対する実質的なセキュリティがほとんど、あるいは全くないにもかかわらず、セキュリティの幻想をもたらす可能性がある。本 推奨は背景情報を提供し、暗号メカニズムの選択と利用時に適切な判断を支援する枠組みを確立する。
Cryptographic modules are used to perform cryptographic operations using these keys. This recommendation does not address the implementation details for cryptographic modules that may be used to achieve the security requirements identified herein. These details are addressed in Federal Information Processing Standards (FIPS) Publication 140 [FIPS 140-3] and its associated implementation guidance and derived test requirements, which are available at https://csrc.nist.gov/projects/cmvp.	暗号モジュールは、これらの鍵を用いて暗号操作を実行するために使用される。本 推奨は、ここで識別されたセキュリティ要件を達成するために使用される暗号モジュールの実装詳細には触れない。これらの詳細は、連邦情報処理標準（FIPS）出版物140［FIPS 140-3］および関連する実装ガイダンスと派生テスト要件で扱われており、https://csrc.nist.gov/projects/cmvp で入手可能である。
This recommendation is divided into three parts:	本推奨は三つの部分に分かれる：
• Part 1 — General contains basic key-management guidelines	• 第1部 — 基本：基本的な鍵管理ガイドラインを含む
• Part 2 — Best Practices for Key Management Organizations provides a framework and general guidance to support establishing cryptographic key management.	• 第2部 — 鍵管理組織のためのベストプラクティス：暗号鍵管理の確立を支援する枠組みと一般的な指針を提供する
• Part 3 — Application-Specific Key Management Guidance addresses the key278 management issues associated with currently available implementations that use cryptography.	• 第3部 — アプリケーション固有の鍵管理ガイダンス：現在利用可能な暗号技術を用いた実装に関連する鍵管理の問題に対処する

目次...

Executive Summary	エグゼクティブサマリー
1. Introduction	1. 序論
1.1. Purpose	1.1. 目的
1.2. Audience	1.2. 対象読者
1.3. Scope	1.3. 範囲
1.4. Preliminary Discussion of Terms	1.4. 用語の予備的考察
1.5. Content and Organization	1.5. 内容と構成
2. Security Services	2. セキュリティサービス
2.1. Confidentiality	2.1. 機密性
2.2. Data Integrity	2.2. データ完全性
2.3. Authentication	2.3. 認証
2.4. Authorization	2.4. 認可
2.5. Non-Repudiation	2.5. 否認防止
2.6. Support Services	2.6. サポートサービス
2.7. Combining Services	2.7. サービスの組み合わせ
3. Cryptographic Algorithms	3. 暗号アルゴリズム
3.1. Cryptographic Hashing Methods	3.1. 暗号ハッシュ手法
3.2. Symmetric-Key Algorithms	3.2. 対称鍵アルゴリズム
3.3. Asymmetric-Key Algorithms	3.3. 非対称鍵アルゴリズム
3.4. Random Bit Generation	3.4. 乱数生成
4. General Key-Management Guidelines	4. 鍵管理の一般ガイドライン
4.1. Key Types and Other Information	4.1. 鍵の種類とその他の情報
4.1.1. Cryptographic Keys	4.1.1. 暗号鍵
4.1.2. Other Related Information	4.1.2. その他の関連情報
4.2. Key Usage	4.2. 鍵の使用期間
4.3. Cryptoperiods	4.3. 暗号期間
4.3.1. Factors Affecting Cryptoperiods	4.3.1. 暗号期間に影響する要因
4.3.2. Consequence Factors Affecting Cryptoperiods	4.3.2. 暗号期間に影響する結果要因
4.3.3. Other Factors Affecting Cryptoperiods	4.3.3. 暗号期間に影響するその他の要因
4.3.4. Asymmetric Key Usage Periods and Cryptoperiods	4.3.4. 非対称鍵の使用期間と暗号期間
4.3.5. Symmetric Key Usage Periods and Cryptoperiods	4.3.5. 対称鍵の使用期間と暗号期間
4.3.6. Cryptoperiod Recommendations for Specific Key Types	4.3.6. 特定の鍵タイプに対する暗号期間の推奨
4.4. Assurances	4.4. 保証（アシュアランス）
4.4.1. Assurance of Integrity (Integrity Protection)	4.4.1. 完全性の保証（完全性保護）
4.4.2. Assurance of Algorithm Parameter Validity	4.4.2. アルゴリズムパラメータの有効性の保証
4.4.3. Assurance of Public-Key Validity	4.4.3. 公開鍵の有効性の保証
4.4.4. Assurance of Private-Key Possession	4.4.4. 秘密鍵の所有の保証
4.4.5. Key Confirmation	4.4.5. 鍵の確認
4.5. Compromise of Keys and Other Keying Material	4.5. 鍵及びその他の鍵材料の侵害
4.5.1. Implications	4.5.1. 影響
4.5.2. Protective Measures	4.5.2. 保護措置
4.6. Guidelines for Cryptographic Algorithm and Key-Size Selection	4.6. 暗号アルゴリズム及び鍵サイズの選定に関する指針
4.6.1. Cryptographic Algorithm Security Strengths	4.6.1. 暗号アルゴリズムのセキュリティ強度
4.6.2. Using Algorithm Suites and the Effective Security Strength	4.6.2. アルゴリズムスイートの使用と実効セキュリティ強度
4.6.3. Projected Algorithm and Security Strength Approval Status	4.6.3. 予測されるアルゴリズム及びセキュリティ強度の承認状況
4.6.4. Transitioning to New Algorithms and Key Sizes in Systems	4.6.4. システムにおける新アルゴリズムおよび鍵サイズへの移行
4.6.5. Decrease in Security Over Time	4.6.5. 時間の経過に伴うセキュリティの低下
5. Protection Requirements for Key Information	5. 鍵情報の防御要件
5.1. Protection and Assurance Requirements	5.1. 防御および保証要件
5.1.1. Summary of Protection and Assurance Requirements for Cryptographic Keys	5.1.1. 暗号鍵の防御および保証要件の概要
5.1.2. Summary of Protection Requirements for Other Related Information	5.1.2. その他の関連情報の防御要件の概要
5.2. Protection Mechanisms	5.2. 防御メカニズム
5.2.1. Protection Mechanisms for Key Information in Transit	5.2.1. 伝送中の鍵情報の防御メカニズム
5.2.2. Protection Mechanisms for Key Information in Storage	5.2.2. 保管中の鍵情報の防御メカニズム
5.2.3. Metadata for Keys	5.2.3. 鍵のメタデータ
6. Key States and Transitions	6. 鍵の状態と遷移
6.1. Pre-Activation State	6.1. 事前活性化状態
6.2. Active State	6.2. 活性化状態
6.3. Suspended State	6.3. 一時停止状態
6.4. Compromised State	6.4. 侵害状態
6.5. Destroyed State	6.5. 破棄状態
7. Key-Management Phases and Functions	7. 鍵管理のフェーズと機能
7.1. Pre-Operational Phase	7.1. 運用前フェーズ
7.1.1. Entity Registration Function	7.1.1. 事業体登録機能
7.1.2. System Initialization Function	7.1.2. システム初期化機能
7.1.3. Initialization Function	7.1.3. 初期化機能
7.1.4. Keying-Material Installation Function	7.1.4. 鍵材料インストール機能
7.1.5. Key-Establishment Function	7.1.5. 鍵確立機能
7.1.6. Key Registration Function	7.1.6. 鍵登録機能
7.2. Operational Phase	7.2. 運用フェーズ
7.2.1. Normal Operational Storage Function	7.2.1. 通常運用時保存機能
7.2.2. Continuity of Operations Function	7.2.2. 運用継続機能
7.2.3. Key Change Function	7.2.3. 鍵変更機能
7.2.4. Key Derivation Methods	7.2.4. 鍵導出方法
7.3. Post-Operational Phase	7.3. 運用終了後フェーズ
7.3.1. Key Archive and Key Recovery Functions	7.3.1. 鍵アーカイブ及び鍵復旧機能
7.3.2. Entity De-Registration Function	7.3.2. 事業体登録解除機能
7.3.3. Key De-Registration Function	7.3.3. 鍵登録解除機能
7.3.4. Key Destruction Function	7.3.4. 鍵破棄機能
7.3.5. Key Revocation Function	7.3.5. 鍵失効機能
7.4. Destroyed Phase	7.4. 破棄段階
8. Additional Considerations	8. 追加考慮事項
8.1. Access Control and Identity Authentication	8.1. アクセス管理と身元認証
8.2. Inventory Management	8.2. 在庫管理
8.2.1. Key Inventories	8.2.1. 鍵在庫
8.2.2. Certificate Inventories	8.2.2. 証明書在庫
8.3. Accountability	8.3. 説明責任
8.4. Audit	8.4. 監査
8.5. Key-Management System Survivability	8.5. 鍵管理システムの生存性
8.5.1. Backed Up and Archived Key	8.5.1. バックアップおよびアーカイブされた鍵
8.5.2. Key Recovery	8.5.2. 鍵の復旧
8.5.3. System Redundancy/Contingency Planning…	8.5.3. システムの冗長性／緊急時対応計画…
8.5.4. Compromise Recovery	8.5.4. 侵害からの復旧
References	参考文献
Appendix A. Cryptographic and Non-Cryptographic Integrity and Source Authentication Mechanisms	附属書 A. 暗号的および非暗号的完全性およびソース認証メカニズム
Appendix B. Key Recovery	附属書 B. 鍵の復旧
B.1. General Discussion	B.1. 一般的な考察
B.1.1. Recovery From Stored Keying Material	B.1.1. 保存された鍵材料からの回復
B.1.2. Recovery by Reconstruction of Keying Material	B.1.2. 鍵材料の再構築による回復
B.1.3. Conditions Under Which Keying Material Needs to be Recoverable	B.1.3. 鍵材料の回復が必要となる条件
B.1.4. Key-Recovery Systems	B.1.4. 鍵回復システム
B.1.5. Key-Recovery Policy	B.1.5. 鍵回復ポリシー
B.2. Digital Signature Key Pair	B.2. デジタル署名鍵ペア
B.2.1. Private Signature Key	B.2.1. 秘密署名鍵
B.2.2. Public Signature-Verification Key	B.2.2. 公開署名検証鍵
B.3. Authentication Keys	B.3. 認証鍵
B.3.1. Symmetric Authentication Key	B.3.1. 対称認証鍵
B.3.2. Authentication (Asymmetric) Key Pair	B.3.2. 認証（非対称）鍵ペア
B.4. Random Number Generation Key	B.4. 乱数生成鍵
B.5. Key-Derivation/Master Key	B.5. 鍵導出／マスター鍵
B.6. Key Establishment (Automated)	B.6. 鍵確立（自動化）
B.6.1. Symmetric Key-Wrapping Key	B.6.1. 対称鍵ラッピング鍵
B.6.2. Key-Transport Key Pair	B.6.2. 鍵伝送鍵ペア
B.6.3. Symmetric Key-Agreement Key	B.6.3. 対称鍵合意鍵
B.6.4. Static Key-Agreement Key Pair	B.6.4. 静的鍵合意鍵ペア
B.6.5. Ephemeral Key-Agreement Key Pair	B.6.5. 一時的鍵合意鍵ペア
B.6.6. Static Encapsulation/Decapsulation Key Pair	B.6.6. 静的カプセル化/デカプセル化鍵ペア
B.6.7. Ephemeral Encapsulation/Decapsulation Key Pair	B.6.7. 一時的なカプセル化/デカプセル化鍵ペア
B.7. Symmetric Data Encryption/Decryption Keys	B.7. 対称データ暗号化/復号化鍵
B.7.1. Encryption/Decryption of Data in Transit	B.7.1. 転送中のデータの暗号化/復号
B.7.2. Encryption/Decryption of Data at Rest	B.7.2. 保存データの暗号化/復号
B.8. Keying Material Storage	B.8. 鍵材料の保存
B.8.1. Symmetric Key Wrapping/Unwrapping Key	B.8.1. 対称鍵ラッピング/アンラッピング鍵
B.8.2. Asymmetric Key Encryption/Decryption Key Pair	B.8.2. 非対称鍵暗号化/復号化鍵ペア
B.8.3. Encapsulation/Decapsulation Key Pair	B.8.3. カプセル化/デカプセル化鍵ペア
B.9. Authorization	B.9. 認可
B.9.1. Symmetric Authorization Key	B.9.1. 対称認可鍵
B.9.2. Authorization Key Pair	B.9.2. 認可鍵ペア
B.10. Other Related Information	B.10. その他の関連情報
B.10.1. Algorithm Parameters	B.10.1. アルゴリズムパラメータ
B.10.2. Initialization Vector (IV)	B.10.2. 初期化ベクトル（IV）
B.10.3. Shared Secret	B.10.3. 共有秘密
B.10.4. Seed	B.10.4. シード
B.10.5. Other Public and Secret Information	B.10.5. その他の公開情報および秘密情報
B.10.6. Intermediate Results	B.10.6. 中間結果
B.10.7. Key-Control Information/Metadata	B.10.7. 鍵制御情報／メタデータ
B.10.8. Random Numbers	B.10.8. 乱数
B.10.9. Password	B.10.9. パスワード
B.10.10. Audit Information	B.10.10. 監査情報
Appendix C. Security Strength Categories for Post-Quantum Algorithms	附属書 C. 耐量子アルゴリズムのセキュリティ強度カテゴリー
Appendix D. List of Abbreviations and Acronyms	附属書 D. 略語および頭字語一覧
Appendix E. Glossary	附属書 E. 用語集
Appendix F. Change Log	附属書 F. 変更履歴
List of Tables	表一覧
Table 1. Suggested cryptoperiods for key types	表 1. 鍵タイプに対する推奨暗号期間
Table 2: Security Strength Categories for Post-quantum Algorithms	表 2: 耐量子アルゴリズムのセキュリティ強度カテゴリー
Table 3: Security strengths of symmetric block cipher algorithms	表 3: 対称ブロック暗号アルゴリズムのセキュリティ強度
Table 4: Security strengths of classical asymmetric-key algorithms…	表4：古典的非対称鍵アルゴリズムのセキュリティ強度…
Table 5:Security strengths of quantum-resistant asymmetric-key algorithms	表5：量子耐性非対称鍵アルゴリズムのセキュリティ強度
Table 6: Maximum security strengths for hash methods and hash-based functions	表6：ハッシュ手法およびハッシュベース機能の最大セキュリティ強度
Table 8. Protection requirements for cryptographic keys	表8．暗号鍵の防御要件
Table 9. Protection requirements for other related information	表9．その他の関連情報の防御要件
Table 10. Backup of keys	表10．鍵のバックアップ
Table 11. Backup of other related information	表11．その他の関連情報のバックアップ
Table 12. Archive of keys	表12. 鍵のアーカイブ
Table 13. Archive of other related information	表13. その他の関連情報のアーカイブ
List of Figures	図の一覧
Figure 1. Symmetric-key cryptoperiod	図1. 対称鍵暗号の期間
Figure 2. Algorithm originator-usage period example	図2. アルゴリズム作成者-使用期間の例
Figure 3. Key state and transition example	図3. 鍵の状態と遷移の例
Figure 4. Key-management phases	図4. 鍵管理のフェーズ
Figure 5. Key-management states and phases	図5. 鍵管理の状態とフェーズ
Figure 6: Example of a tree of keys in storage	図6: 保存中の鍵のツリーの例

---

暗号鍵の管理についてはIPAからも

● IPA

SP800-57の第5版をベースにしています...

・2023.08.30 暗号鍵設定ガイダンス〜暗号鍵の鍵長選択方法と運用方法〜

（これはSP800-130をベースにしています。）...

・2025.04.25 暗号鍵管理ガイドライン

IPAの翻訳も...

・SP 800-57 Part 1 Rev. 5 鍵管理における推奨事項 第一部：一般事項 Recommendation for Key Management Part 1: General

・・2021.05 [PDF] SP 800-57 Part 1 Rev. 5

・SP 800-57 Part 3 Rev. 1 鍵管理における推奨事項 第三部：アプリケーション特有の鍵管理ガイダンス Recommendation for Key Management Part 3: Application-Specific Key Management Guidance

・・2016.11 [PDF] SP 800-57 Part 3 Rev. 1

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2022.07.13 IPA 暗号鍵設定ガイダンス～暗号鍵の鍵長選択方法と運用方法～

・2020.05.08 NIST SP 800-57 Part 1 Rev. 5 Recommendation for Key Management: Part 1 – General

・2008.07.26 IPA 「MD5 の安全性の限界に関する調査研究」に関する報告書・「安全な暗号鍵のライフサイクルマネージメントに関する調査」に関する報告書を公表

欧州 Europolが暗号資産を使った資金洗浄ネットワークを摘発し7億ユーロ（約1260億円）の資金洗浄を阻止 (2025.12.04)

こんにちは、丸山満彦です。

Europolが暗号資産を使った資金洗浄ネットワークを摘発し7億ユーロ（約1260億円）の資金洗浄を阻止と発表していますね...

協力したのは、ベルギー、ブルガリア、キプロス、フランス、ドイツ、イスラエル、マルタ、スペインの捜査機関等のようですね...欧州以外にもイスラエルが協力していますね...

ランサムウェア犯罪と暗号資産による資金洗浄はセットになっているように思いますので、暗号資産関連事業者との協力というのも重要ですよね...

● EUROPOL

・2025.12.04 International takedown of cryptocurrency fraud network laundering over EUR 700 million

International takedown of cryptocurrency fraud network laundering over EUR 700 million	国際的な暗号通貨詐欺ネットワーク摘発、7億ユーロ超の資金洗浄を阻止
The final actions in a sweeping international operation have successfully dismantled a large-scale cryptocurrency fraud and money laundering network that had laundered over EUR 700 million. Coordinated across multiple jurisdictions, these actions, carried out last month and earlier this week, mark the culmination of years of investigation and the effective disruption of a criminal operation that spanned Europe and beyond.	大規模な国際捜査の最終段階において、7億ユーロ超の資金を洗浄していた大規模な暗号通貨詐欺・資金洗浄ネットワークの解体に成功した。複数の管轄区域で調整された今回の措置は、先月および今週初めに実施され、欧州をはじめとする広範囲に及ぶ犯罪組織の活動を効果的に阻止する、数年にわたる捜査の集大成となった。
What began as an investigation into a single fraudulent cryptocurrency platform gradually unfolded into a complex, far-reaching operation, revealing a vast network of deceit and money laundering.	単一の詐欺的仮想通貨プラットフォームへの調査として始まった捜査は、次第に複雑で広範な活動へと発展し、巨大な詐欺・資金洗浄ネットワークの存在を明らかにした。
The criminal network operated numerous fake cryptocurrency investment platforms, luring thousands of victims with sophisticated advertisements promising high returns. The victims were then repeatedly contacted by criminal call centres, where callers used social engineering to pressure victims into making further payments by showing them inflated returns on fake trading platforms.	この犯罪ネットワークは多数の偽仮想通貨投資プラットフォームを運営し、高収益を約束する洗練された広告で数千人の被害者を誘引した。その後、犯罪者によるコールセンターが被害者に繰り返し連絡し、偽の取引プラットフォーム上で水増しされた収益を示すことでソーシャルエンジニアリングを用い、追加支払いを強要した。
Once victims had transferred their cryptocurrency, the funds were stolen and laundered across various blockchains and cryptocurrency exchanges. As investigators peeled back the layers of the operation, it became clear that the network had grown far beyond a single fraud scheme, involving multiple fraudulent platforms and sophisticated financial infrastructure spanning Europe and beyond.	被害者が仮想通貨を送金すると、資金は様々なブロックチェーンや仮想通貨取引所を跨いで盗まれ、洗浄された。捜査当局が組織の構造を解明するにつれ、このネットワークが単一の詐欺スキームをはるかに超え、欧州内外に広がる複数の詐欺プラットフォームと高度な金融インフラを包含していることが明らかになった。
A coordinated disruption across multiple countries	複数国にまたがる同時摘発
On 27 October 2025, the first phase of the operation was executed, with coordinated police raids across Cyprus, Germany and Spain at the request of French and Belgian authorities. These initial actions led to the arrest of nine individuals suspected of laundering illicit funds generated by fraudulent cryptocurrency platforms.	2025年10月27日、フランスとベルギー当局の要請を受け、キプロス、ドイツ、スペインで警察による同時捜索が実施され、作戦の第一段階が実行された。この初期行動により、詐欺的な仮想通貨プラットフォームで生み出された不正資金の洗浄に関与した疑いのある9名が逮捕された。
Authorities seized millions of euros in assets, including:	当局は以下の資産を数百万ユーロ相当差し押さえた：
・EUR 800 000 in bank accounts	・銀行口座から80万ユーロ
・EUR 415 000 in cryptocurrencies	・仮想通貨41万5千ユーロ
・EUR 300 000 in cash	・現金30万ユーロ
・Digital devices	・デジタル機器
・High-value watches	・高級腕時計
The operation was carried out in close collaboration with national authorities from France, Belgium, Germany, Spain, Malta, Cyprus and other countries. Europol and Eurojust supported this first phase of the investigation.	本作戦はフランス、ベルギー、ドイツ、スペイン、マルタ、キプロス等の各国当局と緊密に連携して実施された。欧州刑事警察機構及び欧州司法機構が捜査第一段階を支援した。
Second phase targets affiliate marketing infrastructure	第二段階はアフィリエイトマーケティング基盤を標的とする
The second phase, targeting another key pillar of the investment fraud ecosystem, took place on 25 and 26 November 2025. It focused on the affiliate marketing infrastructure that supports these online scams. Coordinated actions were taken against the companies and suspects behind fraudulent advertising campaigns on social media platforms. In recent years, deceptive advertisements impersonating renowned media outlets, celebrities and politicians – often using deepfake videos - have posed a significant global challenge. The data of potential investors obtained through manipulated advertising, even on reputable platforms, is crucial to the functioning of the crypto-scam industry as a whole.	投資詐欺エコシステムのもう一つの主要基盤を標的とした第二段階は2025年11月25日及び26日に実施された。オンライン詐欺を支えるアフィリエイトマーケティング基盤に焦点を当てた。ソーシャルメディアプラットフォーム上の詐欺的広告キャンペーンに関与した企業及び容疑者に対し、調整された行動が取られた。近年、著名なメディア機関、有名人、政治家を装った欺瞞的な広告（しばしばディープフェイク動画を使用）が、世界的な重大な課題となっている。信頼できるプラットフォーム上であっても、操作された広告を通じて入手された潜在的投資家のデータは、暗号通貨詐欺業界全体の機能にとって極めて重要である。
During the action days, law enforcement teams in Belgium, Bulgaria, Germany and Israel carried out searches and additional operational measures with Europol’s support. Targets included companies that had previously offered affiliate marketing services.	行動期間中、ベルギー、ブルガリア、ドイツ、イスラエルの法執行機関は欧州刑事警察機構の支援のもと、捜索及び追加作戦を実施した。対象には過去にアフィリエイトマーケティングサービスを提供した企業も含まれた。
Significant infrastructure dismantled	重要なインフラを解体
The joint measures taken in October and November represent a coordinated strike against the various pillars of the online crypto fraud industry.	10月と11月に実施された共同措置は、オンライン暗号詐欺産業の様々な支柱に対する協調攻撃を意味する。
The scale of this criminal operation is vast. The investigation uncovered more than EUR 700 million laundered through a labyrinth of cryptocurrency exchanges, exploiting digital anonymity to conceal illicit flows. Following these two coordinated actions and multiple arrests and seizures, investigative authorities will continue to track the criminal organisation’s assets in the countries where it operates and resides.	この犯罪活動の規模は膨大である。調査により、暗号通貨取引所の複雑なネットワークを通じて7億ユーロ以上が洗浄され、デジタル匿名性を悪用して不法な資金の流れが隠蔽されていた事実が明らかになった。これら二つの連携行動と複数の逮捕・押収に続き、捜査当局は犯罪組織が活動・居住する各国において、その資産の追跡を継続する。
Europol’s support in coordinating this investigation	欧州刑事警察機構の捜査調整支援
Europol played a central role in facilitating the cross-border coordination of the operation, providing both operational and analytical support to ensure its success.	欧州刑事警察機構は作戦の越境調整を促進する中心的な役割を果たし、成功を確実にするため運用面と分析面の双方の支援を提供した。
Key contributions from Europol included:	欧州刑事警察機構の主な貢献は以下の通りである：
・Operational meetings involving law enforcement agencies from all participating countries to coordinate operational strategy and intelligence.	・参加国全ての法執行機関を巻き込んだ作戦会議の開催。作戦戦略と情報共有の調整を目的とした。
・Logistical support for the action days, assisting with operational arrangements and resources.	・行動日のための後方支援。作戦手配と資源確保の補助を行った。
・Deployment of dedicated case specialists and analysts to cross-check data, develop intelligence and ensure key insights were shared among partners.	・専任の事件専門家と分析官の展開。データの照合、情報開発、主要な知見のパートナー間共有を確実にした。
・Deployment of a cryptocurrency specialist to support efforts in identifying and seizing illicit cryptocurrency.	・暗号資産専門家の展開による、違法暗号資産の識別・押収支援
・Operational and crypto-analysis intelligence products, which provided crucial insights into the movement of illicit funds and the structure of the fraud network.	・作戦情報及び暗号分析情報製品による、違法資金の移動経路及び詐欺ネットワーク構造に関する重要知見の提供
Participating authorities	参加当局
・Belgium: Federal Judicial Police Limburg (Police Judiciaire Fédérale Limburg)	・ベルギー：連邦司法警察リンブルグ（Police Judiciaire Fédérale Limburg）
・Bulgaria: Bulgarian Cybercrime Directorate, General Directorate Combating Organized Crime	・ブルガリア：ブルガリアサイバー犯罪対策局、組織犯罪対策総局
・Cyprus: Cyprus Police	・キプロス：キプロス警察
・France: National Gendarmerie (Gendarmerie Nationale)	・フランス：国家憲兵隊（Gendarmerie Nationale）
・Germany: Bavarian Central Office for the Prosecution of Cybercrime, Police Headquarters Chemnitz (Polizeidirektion Chemnitz), Police Headquarters Görlitz (Polizeidirektion Görlitz), Criminal Investigation Department Würzburg, Police Headquarters Düsseldorf (and others)	・ドイツ：バイエルン州サイバー犯罪検察中央局、ケムニッツ警察本部（Polizeidirektion Chemnitz）、ゲルリッツ警察本部（Polizeidirektion Görlitz）、ヴュルツブルク刑事捜査部、デュッセルドルフ警察本部 （その他）
・Israel: National Cybercrime Unit, Intelligence Division	・イスラエル：国家サイバー犯罪対策部、情報ディビジョン
・Malta: Malta Police	・マルタ：マルタ警察
・Spain: National Police (Policía Nacional), Spanish Regional Police of Catalonia-Mossos d'Esquadra (Mossos d'Esquadra)	・スペイン：国家警察（Policía Nacional）、カタルーニャ地方警察モッソス・デ・エスクアドラ（Mossos d'Esquadra）
Empact	エンパクト
The European Multidisciplinary Platform Against Criminal Threats (EMPACT) tackles the most important threats posed by organised and serious international crime affecting the EU. EMPACT strengthens intelligence, strategic and operational cooperation between national authorities, EU institutions and bodies, and international partners. EMPACT runs in four-year cycles focusing on common EU crime priorities.	欧州犯罪脅威対策多分野プラットフォーム（エンパクト）は、EUに影響を及ぼす組織的かつ重大な国際犯罪がもたらす最重要の脅威に対処する。エンパクトは、各国当局、EU機構・団体、国際パートナー間の情報、戦略的・運用上の連携を強化する。エンパクトは4年周期で運営され、EU共通の犯罪対策優先事項に焦点を当てる。