欧州 政策研究センター (CEPS) 量子安全な世界へのEU移行強化 (2025.12.03)

こんにちは、丸山満彦です。

欧州政策研究センター (Centre for European Policy Studies: CEPS) がEUの耐量子計算機暗号への移行についての報告書を公表していますね...

推奨事項も含まれていますので、参考になりますね...

推奨事項は、共通事項（１０）、金融セクター固有事項（6）、公共セクター固有事項（4）、防衛セクター固有事項（6）となっています...

1. GENERAL RECOMMENDATIONS	1. 一般的な推奨事項
GR1. Develop crypto agility	GR1. 暗号の俊敏性を開発する
GR2. Engage with suppliers to take care of crypto dependencies	GR2. 暗号依存関係の対応についてサプライヤーと連携する
GR3. Building and maintaining crypto and product inventories	GR3. 暗号と製品のインベントリの構築と維持
GR4. Integrate quantum-safety into digital systems from the start	GR4. デジタルシステムに量子耐性を最初から組み込む
GR5. Going beyond hype: from a Q-Day to a Q-period	GR5. 誇大宣伝を超えて：Q-DayからQ-periodへ
GR6. Linking the Roadmap for the Transition to Post-Quantum Cryptography[2] to a quantum transition strategy and to existing laws	GR6. 量子暗号移行ロードマップ[2]と量子移行戦略・既存法規の連携
GR7. Ensure alignment and coherence across roadmaps	GR7. ロードマップ間の整合性と一貫性の確保
GR8. Introducing greater parallelisation into the Roadmap	GR8. ロードマップへの並列化強化の導入
GR9. Promoting awareness, cooperation and better governance	GR9. 認知度向上、協力促進、ガバナンス強化
GR10.  Promoting skill development and management structures	GR10. 技能開発と管理構造の促進
2. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE FINANCIAL SECTOR	2. 金融セクター向け追加推奨事項
FS1. Create an ad hoc PQC governance structure	FS1. 臨時的なPQCガバナンス体制を構築する
FS2. Enhancing collaboration with vendors and partners	FS2. ベンダー・パートナーとの連携強化
FS3. Upgrade the financial sector underlying infrastructure	FS3. 金融セクター基盤インフラのアップグレード
FS4. Prioritise actions based on risk assessment	FS4. リスクアセスメントに基づく優先順位付け
FS5. Perform cost-benefit analysis of mitigation options	FS5. 緩和策の費用便益分析を実施する
FS6. Overcome organisational and skills gaps	FS6. 組織的・技術的ギャップの克服
3. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE PUBLIC SECTOR	3. 公共セクター向け追加推奨事項
PS1. Implement a sequenced migration plan across PKI and digital identity ecosystems	PS1. PKIおよびデジタルIDエコシステム全体での段階的移行計画の実施
PS2. Synchronise authentication layers to prevent fragmentation and service disruption	PS2. 分断とサービス中断を防ぐため認証レイヤーを同期させる
PS3. Coordinate cross-border roadmaps and align national migration strategies	PS3. 国境を越えたロードマップを調整し、各国の移行戦略を整合させる
PS4. Manage the quantum transition as a coordinated sociotechnical programme	PS4. 量子移行を協調的な社会技術プログラムとして管理する
4. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE DEFENCE SECTOR	4. 防衛セクター向け追加推奨事項
DS1. Develop a post-quantum transition roadmap	DS1. 耐量子移行ロードマップの策定
DS2. Support industrial coordination	DS2. 産業連携の支援
DS3. Address supply-chain dependencies	DS3. サプライチェーン依存への対応
DS4. Formalise public-private quantum innovation frameworks	DS4. 官民量子イノベーション枠組みの正式化
DS5. Establish structured pilot-to-certification pathways	DS5. 構造化された試験運用から認証までの経路を確立する
DS6. Incentivise research in defence quantum technologies	DS6. 防衛量子技術研究へのインセンティブ

● Centre for European Policy Studies: CEPS

・2025.12.03 We need to urgently strengthen the EU’s transition to a quantum-safe world

We need to urgently strengthen the EU’s transition to a quantum-safe world	EUは量子安全な世界への移行を緊急に強化する必要がある
Transitioning to quantum-safe cryptography is an urgent strategic challenge for Europe. There are around 90 billion devices that use current encryption methods. But quantum computers capable of breaking today’s cryptographic systems may emerge as early as the 2030s, allowing for – amongst others – the unauthorised decryption of private messages and financial transactions, which could have disastrous consequences.	量子耐性暗号への移行は、欧州にとって緊急の戦略的課題である。現行の暗号化方式を使用するデバイスは約900億台に上る。しかし、現在の暗号システムを破る量子コンピュータは早ければ2030年代に登場する可能性があり、それにより私的メッセージや金融取引の不正解読などが可能となり、壊滅的な結果を招きかねない。
But transitioning to post-quantum cryptography (PQC) is a lengthy and complex process. Past experiences with security standard migrations suggest such a transformation can take anywhere between 10-15 years. Thus, careful coordination and long-term planning across both the public and private sectors is required.	しかし、耐量子暗号（PQC）への移行は長期かつ複雑なプロセスである。過去のセキュリティ標準移行の経験から、このような変革には10年から15年を要する可能性がある。したがって、官民双方における慎重な調整と長期的な計画が求められる。
Despite this urgency, recent surveys by the European Union Agency for Cybersecurity (ENISA) and the Information Systems Audit and Control Association (ISACA) show that most European stakeholders remain underprepared – only a small share have begun to invest in post-quantum solutions and overall awareness remains low. At the Member State level, Germany, France and the Netherlands have led the charge by issuing guidance and launching PQC pilot projects, both through national roadmaps and within the Network and Information Systems (NIS) Cooperation Group. Alas, progress across the EU remains uneven and it still lacks a coherent, unified transition framework – unlike the US.	この緊急性にもかかわらず、欧州連合サイバーセキュリティ機関（ENISA）および情報システム監査管理協会（ISACA）による最近の調査では、欧州のステークホルダーの大半は依然として準備不足であり、耐量子ソリューションへの投資を開始しているのはごく一部で、全体的な認識は依然として低いことが明らかになっている。加盟国レベルでは、ドイツ、フランス、オランダが、国家ロードマップとネットワークと情報システム（NIS）協力グループの両方を通じて、ガイダンスの発行と PQC パイロットプロジェクトの立ち上げを主導している。残念ながら、EU 全体の進捗は依然として不均一であり、米国とは異なり、首尾一貫した統一的な移行枠組みがまだ欠けている。
Against this backdrop, in April 2025, CEPS launched a Task Force on Strengthening the EU Transition to a Quantum-Safe World. Its objective was to draw attention to the technical, market, governance and policy challenges involved in Europe’s transition to quantum safe.	こうした背景から、2025年4月、CEPSは「量子安全な世界へのEUの移行強化に関するタスクフォース」を発足させた。その目的は、欧州の量子安全への移行に伴う技術、市場、ガバナンス、政策上の課題に注目を集めることだった。
Designed as a multi-stakeholder platform, the Task Force brought together private organisations, EU institutions and agencies, universities and think tanks, national research agencies and civil society organisations.  The final Task Force Report is a rallying call for strengthening the EU’s transition process towards quantum safety.	マルチステークホルダーのプラットフォームとして設計されたこのタスクフォースは、民間組織、EU 機構、大学、シンクタンク、各国の研究機関、市民社会組織を一堂に集めた。タスクフォースの最終報告書は、EU の量子セキュリティへの移行プロセスを強化するよう呼びかけるものである。
A systemic transformation and moving beyond the ‘Q-Day’ narrative	体系的な変革と「Q-Day」という物語の超越
The shift to quantum-safe cryptography shouldn’t be viewed as a routine technical upgrade but as a comprehensive, systems-level transformation. Transitioning to PQC extends beyond merely updating cryptographic libraries. Rather, it involves integrating new product versions, modifying APIs, adapting software development lifecycles and – in some cases – redesigning core business processes.  It also demands the proactive management of supplier, customer and ecosystem relationships. This represents a major managerial challenge, requiring long-term planning, a skilled workforce and sustained organisational change.	量子耐性暗号への移行は、単なる技術的アップグレードではなく、包括的なシステムレベルの変革と捉えるべきだ。PQCへの移行は暗号ライブラリの更新を超え、新製品バージョンの統合、APIの修正、ソフトウェア開発ライフサイクルの適応、場合によっては中核業務プロセスの再設計を伴う。さらにサプライヤー・顧客・エコシステム関係者の積極的管理も求められる。これは長期的な計画、熟練した人材、持続的な組織変革を必要とする重大な経営課題だ。
Public discussions also often refer to ‘Q-Day’, the hypothetical moment when quantum computers render classical cryptography obsolete. While this can help raise awareness, it’s nonetheless misleading. Quantum capability won’t arrive as a tsunami but instead as a gradual, uneven process with early machines breaking selected keys before broader capabilities are developed.	公の議論では「Q-Day」という概念がよく取り上げられる。これは量子コンピューターが従来の暗号技術を無効化する仮説上の時点を指す。認知度向上には役立つが、誤解を招く表現だ。量子技術は津波のように一気に到来するのではなく、初期の機械が特定の鍵を破る段階を経て、広範な能力が開発されるまでの漸進的で不均一なプロセスとして現れる。
Instead, a more realistic perspective is that of a ‘Q-period’, which supports balanced and adaptive migration strategies aligned with the actual pace of quantum and standards development.	より現実的な視点は「Q-period（量子移行期）」であり、量子技術と標準の開発の実際のペースに即した、均衡のとれた適応的な移行戦略を支えるものである。
Post-quantum cryptography as the core of the transition	移行の中核としての耐量子暗号
PQC forms the backbone of the transition to quantum safety. These algorithms are designed to withstand attacks from quantum computers and are widely recognised by regulators and standardisation bodies as the only viable short- to medium-term solution.	PQC（耐量子暗号）は量子耐性への移行の基盤を形成する。これらのアルゴリズムは量子コンピュータの攻撃に耐えるよう設計されており、規制当局や標準化団体から短期的・中期的には唯一の実行可能な解決策として広く認められている。
Other quantum technologies play more specialised roles. These include Quantum Key Distribution (QKD), which isn’t a direct substitute for public-key cryptography but rather a complementary technology that can offer diverse layered protection for specific high-security environments.	その他の量子技術はより特殊な役割を担う。例えば量子鍵配送（QKD）は公開鍵暗号の直接的な代替ではなく、特定の高度なセキュリティ環境向けに多様な階層的保護を提供する補完技術である。
And then there are Quantum Random Number Generators (QRNGs) devices that produce unpredictable numbers using quantum processes. They offer certifiable high-quality randomness, meaning their output can be embedded into cryptographic stacks and validated under recognised certification schemes.	さらに量子乱数生成器（QRNG）は量子プロセスを用いて予測不能な乱数を生成する。これらは認証可能な高品質な乱数性を提供するため、その出力を暗号スタックに組み込み、公認認証スキーム下で妥当性確認することが可能だ。
Encouraging a risk-based transition model	リスクベース移行モデルの推進
Migrating billions of devices to quantum-safe standards requires a structured, risk-based approach. This encompasses several elements. Firstly, crypto agility (i.e. designing cryptographic systems in a modular way, allowing for cryptographic components to be easily replaced). Secondly, for effective planning, migration requires ensuring comprehensive crypto and product inventories, which include software, hardware, APIs and services. Critical systems should be prioritised for early migration.	数十億台のデバイスを量子耐性標準へ移行するには、構造化されたリスクベースのアプローチが必要だ。これには複数の要素が含まれる。第一に、暗号の俊敏性（暗号システムをモジュール式に設計し、暗号コンポーネントを容易に交換可能にすること）。第二に、効果的な計画のためには、ソフトウェア、ハードウェア、API、サービスを含む包括的な暗号および製品インベントリの確保が不可欠だ。重要システムは早期移行の優先対象とすべきだ。
Besides, as most organisations rely heavily on third-party vendors, it’s crucial for them to understand and manage their supply chain dependencies. That’s why they need to engage suppliers, request clear timelines for quantum-safe capabilities and actively monitor supply chain readiness.	さらに、多くの組織がサードパーティに依存しているため、サプライチェーン依存関係の理解と管理が不可欠である。そのため、サプライヤーと連携し、量子耐性機能の明確なタイムラインを要求し、サプライチェーンの準備状況を積極的に監視する必要がある。
Hybrid solutions can greatly assist the transition – the co-existence of classical and quantum-resistant algorithms (‘hybrid cryptography’) ensures interoperability and redundancy. One of the Task Force’s key recommendations here is that the definition of hybrid solutions should be broadened to include ‘context-aware, technically inclusive approaches’ that combine multiple cryptographic mechanisms for resilience, such as PQC/tradition and PQC/QKD.	ハイブリッドソリューションは移行を大きく支援できる。古典的アルゴリズムと量子耐性アルゴリズムの共存（「ハイブリッド暗号」）は相互運用性と冗長性を保証する。タスクフォースの主要な提言の一つは、ハイブリッドソリューションの定義を拡大し、PQC/従来型やPQC/QKDなど複数の暗号メカニズムを組み合わせた「状況認識型で技術的に包括的なアプローチ」を含めることだ。
When it comes to designing and implementing a European Roadmap for Post-Quantum Cryptography, the Task Force highlights several actions that should be taken forward.	欧州の耐量子暗号ロードマップの設計・実装に関して、タスクフォースは推進すべき複数の行動を強調している。
First, we need to integrate quantum safety into digital systems from the outset, meaning that the European Commission and Member States should ensure digital systems (such as the European Digital Identity Wallet) are designed to be quantum-safe from the very outset.	第一に、量子耐性をデジタルシステムに最初から組み込む必要がある。つまり欧州委員会と加盟国は、欧州デジタルIDウォレットなどのデジタルシステムが最初から量子耐性を備えるよう設計することを保証すべきだ。
Second,the Roadmap for the Transition to Post-Quantum Cryptography should be clearly linked to a transition strategy as well as existing legislation. A roadmap defines milestones and timelines but a supporting strategy must clarify how Member States, vendors and institutions will actually meet them .	第二に、耐量子暗号への移行ロードマップは、移行戦略および既存の法規制と明確に連携させる必要がある。ロードマップはマイルストーンとタイムラインを定義するが、支援戦略は加盟国、ベンダー、機構が実際にそれらを達成する方法を明確にしなければならない。
Third, there needs to be alignment and coherence across roadmaps. With multiple quantum-safety roadmaps emerging at EU and national levels, the European Commission, Member States and standardisation bodies must coordinate their efforts to ensure coherence in timelines, dependencies and objectives. Coordinating with the US and other G7 partners is equally important.	第三に、ロードマップ間の整合性と一貫性が必要だ。EUレベルと国家レベルで複数の量子耐性ロードマップが登場する中、欧州委員会、加盟国、標準化団体は、タイムライン、依存関係、目標の一貫性を確保するため、取り組みを調整しなければならない。米国やその他のG7パートナーとの調整も同様に重要である。
Fourth, the Roadmap’s current structure implicitly relies on a staged or linear approach, which may unintentionally create bottlenecks. That’s why the Task Force recommends introducing greater parallelisation into the Roadmap to accelerate progress and reduce systemic risk.	第四に、現行のロードマップ構造は段階的・直線的アプローチを暗黙に前提としており、意図せずボトルネックを生む恐れがある。このためタスクフォースは、進捗加速とシステムリスク低減のため、ロードマップへの並列化強化を推奨する。
Finally, the report underscores the importance of promoting awareness, cooperation and effective governance throughout the transition to quantum safety. It calls for capacity building, skills development and the establishment of dedicated crypto management units within organisations.	最後に、本報告書は量子安全への移行過程における「認識向上・協力促進・効果的ガバナンス」の重要性を強調する。組織内における能力構築、スキル開発、専門的な暗号管理部門の設置が求められる。
Promoting Europe’s secure transition to quantum-safe cryptography is an urgent necessity to stop the unauthorised decryption of private messages and financial transactions, which may not be a major threat now but is likely to become one in the very near future. A lack of awareness and past experience with security standards migration indicate that the transition will be a lengthy process, one that requires effective coordination and the strengthening of all current initiatives, no matter who’s leading them, whether by the private sector, the European institutions, the research community and/or civil society.	欧州が量子安全暗号へ安全に移行することは、私的メッセージや金融取引の不正解読を阻止する緊急の必要性である。これは現時点では重大な脅威ではないかもしれないが、近い将来に脅威となる可能性が高い。セキュリティ標準移行に関する認識不足と過去の経験から、この移行は長期にわたるプロセスとなることが示唆されている。民間セクター、欧州機構、研究コミュニティ、市民社会など、主導主体を問わず、あらゆる現行イニシアチブの強化と効果的な調整が求められる。

こんにちは、丸山満彦です。

欧州のThink Tankのひとつである政策研究センター (CEPS) が耐量子計算機暗号のEUでの移行についての報告書を公表していますね...

・2025.12.03 Strengthening the EU transition to a quantum-safe world

Strengthening the EU transition to a quantum-safe world	量子安全な世界へのEU移行強化
In April 2025, CEPS launched a Task Force on Strengthening the EU Transition to a Quantum-Safe World. The objective of this initiative was to draw attention to the technical, market, governance, and policy challenges involved in Europe’s transition to quantum safe. The Task Force, designed as a multi-stakeholder platform, brought together eleven private organisations, eleven EU institutions and agencies, seven universities and think tanks, one national research agency, and one civil society organisation (see Annex I for the full list of participants).	2025年4月、CEPSは「EUの量子安全世界への移行強化タスクフォース」を発足させた。この取り組みの目的は、欧州が量子安全へ移行する際に伴う技術的、市場的、ガバナンス的、政策的な課題への注意を喚起することにある。このタスクフォースはマルチステークホルダープラットフォームとして設計され、民間組織11団体、EU機構・機関11機関、大学・シンクタンク7機関、国家研究機関1機関、市民社会組織1団体が参加した（参加者全リストは附属書I参照）。
The group aimed to develop practical guidelines for governments and businesses to strengthen and accelerate the EU’s transition to quantum safe. Its discussions addressed the technical, managerial, and governance challenges associated with implementing this process. These efforts resulted in a set of policy recommendations aimed at EU institutions, Member States, the private sector, and the research community to guide Europe’s secure transition toward quantum resilience. The transition to post-quantum cryptography (PQC) poses an urgent strategic challenge for Europe. It requires careful coordination and long-term planning across both the public and private sectors. Quantum computers capable of breaking today’s cryptographic systems may emerge as early as the next decade. Yet transitioning to PQC is a lengthy and complex process. Past experiences with security-standard migrations suggest such transformations can take 10 to 15 years.	同グループは、政府と企業がEUの量子耐性化への移行を強化・加速するための実践的ガイドライン策定を目指した。議論では、このプロセス実施に伴う技術的・管理的・ガバナンス上の課題が取り上げられた。これらの取り組みの結果、EU機構、加盟国、民間セクター、研究コミュニティに向けた一連の政策提言がまとめられた。これは欧州が量子レジリエンスへ安全に移行するための指針となるものである。耐量子暗号（PQC）への移行は欧州にとって差し迫った戦略的課題だ。官民双方の慎重な調整と長期的な計画が必要である。現在の暗号システムを破る量子コンピュータは、早ければ次の10年以内に登場する可能性がある。しかしPQCへの移行は長期かつ複雑なプロセスだ。過去のセキュリティ標準移行の経験から、こうした変革には10年から15年を要すると推測される。
Despite this urgency, recent surveys by the European Union Agency for Cybersecurity (ENISA) and the Information Systems Audit and Control Association (ISACA) show that most European stakeholders remain underprepared. Only a small share has begun investing in post-quantum solutions, and overall awareness remains low. At the Member State level, Germany, France, and the Netherlands have taken leading roles by issuing guidance and launching PQC pilot projects, both through national roadmaps and within the Network and Information Systems (NIS) Cooperation Group. However, progress across the EU remains uneven, and the Union still lacks a coherent, unified transition framework like that of the United States. Against this backdrop, the Task Force calls for strengthening the EU’s transition process towards quantum safety.	この緊急性にもかかわらず、欧州連合サイバーセキュリティ機関（ENISA）と情報システム監査管理協会（ISACA）の最近の調査では、欧州のステークホルダーの大半が依然として準備不足であることが示されている。耐量子ソリューションへの投資を開始しているのはごく一部であり、全体的な認識は依然として低い。加盟国レベルでは、ドイツ、フランス、オランダが、国家ロードマップとネットワークと情報システム（NIS）協力グループの両方を通じて、ガイダンスの発行や PQC パイロットプロジェクトの立ち上げなど、主導的な役割を果たしている。しかし、EU 全体での進捗は依然として不均一であり、EU は米国のような首尾一貫した統一的な移行フレームワークをまだ備えていない。こうした背景から、タスクフォースは、量子セキュリティに向けた EU の移行プロセスの強化を求めている。

・[PDF]

・[DOCX][PDF] 仮訳

目次...

PREFACE	序文
EXECUTIVE SUMMARY	エグゼクティブサマリー
PART I. INTRODUCTION	第I部 序論
PART II. STATUS OF PQC, QKD, AND QRNG IN A QUANTUM-SAFE CONTEXT	第II部 量子耐性環境におけるPQC、QKD、QRNGの現状
1. POST-QUANTUM CRYPTOGRAPHY	1. 耐量子暗号
2. QUANTUM KEY DISTRIBUTION	2. 量子鍵配送
3. QUANTUM RANDOM NUMBER GENERATORS AND CLASSICAL RANDOM NUMBER GENERATORS	3. 量子乱数生成器と古典的乱数生成器
PART III. QUANTUM-SAFE TRANSITION MODEL	第III部　量子安全な移行モデル
1. RISK-BASED APPROACH.	1. リスクベースアプローチ
2. WORST-CASE PQC FAILURE SCENARIOS: WHAT IF PQC TURNS OUT TO BE WEAK?.	2. PQC最悪の失敗シナリオ：PQCが脆弱だと判明した場合
3. MIXED ENCRYPTION METHODS	3. 混合暗号化方式
4. CHALLENGES TO THE TRANSITION TO QUANTUM SAFE	4. 量子耐性への移行における課題
PART IV. POST-QUANTUM INVENTORIES.	第IV部 耐量子暗号技術の目録
1. APPROACH	1. アプローチ
2. PRODUCT INVENTORIES .	2. 製品インベントリ
3. CRYPTO INVENTORIES	3. 暗号インベントリ
PART V. STATUS OF THE TRANSITION TO QUANTUM SAFE: EUROPEAN UNION (EU, FRANCE, GERMANY, THE NETHERLANDS).	第V部 量子耐性への移行状況：欧州連合（EU、フランス、ドイツ、オランダ）
1. INTRODUCTION	1. 序論
2. EUROPEAN UNION	2. 欧州連合
3. GERMANY .	3. ドイツ
4. FRANCE	4. フランス
5. THE NETHERLANDS .	5. オランダ
PART VI. STATUS OF THE TRANSITION TO QUANTUM-SAFE: EXTRA-EU (UK, US, CHINA)	第VI部 量子耐性への移行状況：EU域外（英国、米国、中国）
1. INTRODUCTION	1. 序論
2. UNITED KINGDOM	2. 英国
3. UNITED STATES	3. 米国
4. CHINA	4. 中国
PART VII. TASK FORCE COMMENTS ON THE NIS COOPERATION GROUP ROADMAP	第VII部 NIS協力グループロードマップに関するタスクフォースのコメント
1. NIS COOPERATION GROUP ROADMAP	1. NIS協力グループロードマップ
2. TASK FORCE COMMENTS ON THE NIS COOPERATION GROUP ROADMAP .	2. NIS協力グループロードマップに関するタスクフォースのコメント .
PART VIII. TRANSITION TO PQC IN THE FINANCIAL SECTOR	第VIII部 金融セクターにおけるPQCへの移行
1. INTRODUCTION	1. 序論
2. TRANSITION TO PQC IN THE FINANCIAL SECTOR .	2. 金融セクターにおけるPQCへの移行 .
3. THE CURRENT REGULATORY LANDSCAPE (EU, UK, US)	3. 現行の規制環境（EU、英国、米国）
4. TRANSITION MODELS TO QUANTUM-SAFE CRYPTOGRAPHY IN THE FINANCIAL SECTOR	4. 金融セクターにおける量子耐性暗号への移行モデル
5. INITIATIVES IN THE FINANCIAL SECTOR	5. 金融セクターにおける取り組み
6. BOTTLENECKS IN THE FINANCIAL SECTOR’S PQC TRANSITION	6. 金融セクターにおけるPQC移行のボトルネック
PART IX: TRANSITION TO QUANTUM SAFE IN THE PUBLIC SECTOR	第IX部：公共セクターにおける量子耐性技術への移行
1. INTRODUCTION	1. 序論
2. TRANSITION TO PQC IN THE PUBLIC SECTOR	2. 公共セクターにおけるPQCへの移行
3. TECHNICAL BOTTLENECKS IN THE PUBLIC SECTOR’S PQC TRANSITION	3. 公共セクターにおけるPQC移行の技術的ボトルネック
4. CHALLENGES TO THE TRANSITION FROM A SOCIOTECHNICAL PERSPECTIVE	4. 社会技術的観点からの移行課題
PART X. TRANSITION TO QUANTUM SAFE IN THE DEFENCE SECTOR .	第X部：防衛セクターにおける量子耐性技術への移行
1. INTRODUCTION	1. 序論
2. QUANTUM TECHNOLOGIES IN DEFENCE	2. 防衛セクターにおける量子技術
3. RELEVANT STAKEHOLDERS AND QUANTUM DEFENCE INITIATIVES	3. 関連ステークホルダーと量子防衛イニシアチブ
4. QUANTUM-SAFE TRANSITION IN THE DEFENCE SECTOR	4. 防衛セクターにおける量子安全への移行
PART XI. RECOMMENDATIONS	第XI部 提言
1. GENERAL RECOMMENDATIONS	1. 一般的な提言
2. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE FINANCIAL SECTOR	2. 金融セクター向け追加推奨事項
3. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE PUBLIC SECTOR	3. 公共セクター向け追加推奨事項
4. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE DEFENCE SECTOR	4. 防衛セクター向け追加推奨事項
ANNEX I. LIST OF TASK FORCE MEMBERS AND INVITED SPEAKERS	附属書 I. タスクフォースメンバー及び招待講演者リスト
ANNEX II. GLOSSARY	附属書II. 用語集
PRINCIPLES AND GUIDELINES FOR THE TASK FORCE	タスクフォースの原則とガイドライン
Figure	図
FIGURE 1. UNOFFICIAL CRQC TIMELINE (SAMUEL JACQUES)	図1. 非公式CRQCタイムライン（サミュエル・ジャック）
FIGURE 2. CRYPTO-DEPENDENCY MAPPING	図2. 暗号依存性マッピング
FIGURE 3. DIAGRAM FROM THE SPANISH NATIONAL CRYPTOLOGIC CENTRE ON THE DEPLOYMENT OF HYBRID ENCRYPTION MECHANISMS	図3. ハイブリッド暗号化メカニズムの展開に関するスペイン国家暗号センター図解
FIGURE 4. LGT’S CRYPTOGRAPHIC PRIORITY LEVELS	図4. LGTの暗号優先度レベル
FIGURE 5. PKI INFRASTRUCTURE	図5. PKIインフラストラクチャ
FIGURE 6. CONFIDENTIALITY AND AUTHENTICATION ON PKI	図6. PKIにおける機密性と認証
BOXES	ボックス
BOX 1. CRYPTOGRAPHIC AGILITY AND HYBRID ENCRYPTION.	ボックス1. 暗号の俊敏性とハイブリッド暗号
BOX 2. HYBRID ENCRYPTION METHODS: THE TASK FORCE’S TAKE	ボックス2. ハイブリッド暗号手法：タスクフォースの見解
BOX 3. THE EU DIGITAL WALLET CASE	ボックス3. EUデジタルウォレット事例
BOX 4. THE TLS 1.3 CASE	ボックス4. TLS 1.3事例
BOX 5. A SOCIOTECHNICAL PERSPECTIVE ON PQC BEYOND ‘Q-DAY’: THE ROLE OF HYPE	ボックス5. 「Q-DAY」を超えたPQCへの社会技術的視点：誇大宣伝の役割
TABLE	表
TABLE 1. LEVEL OF RANDOMNESS	表1. ランダム性のレベル

エグゼクティブサマリー

EXECUTIVE SUMMARY	エグゼクティブサマリー
In April 2025, CEPS launched a Task Force on Strengthening the EU Transition to a Quantum-Safe World. The objective of this initiative was to draw attention to the technical, market, governance, and policy challenges involved in Europe’s transition to quantum safe.	2025年4月、CEPS は「量子セキュリティの世界への EU の移行強化に関するタスクフォース」を立ち上げた。この取り組みの目的は、ヨーロッパの量子セキュリティへの移行に伴う技術、市場、ガバナンス、政策上の課題に注目を集めることだった。
The Task Force, designed as a multi-stakeholder platform, brought together eleven private organisations, eleven EU institutions and agencies, seven universities and think tanks, one national research agency, and one civil society organisation (see Annex I for the full list of participants).	マルチステークホルダー・プラットフォームとして設計された本タスクフォースには、民間組織11団体、EU機構・機関11機関、大学・シンクタンク7機関、国家研究機関1機関、市民社会組織1団体が参加した（参加者全リストは附属書I参照）。
The group aimed to develop practical guidelines for governments and businesses to strengthen and accelerate the EU’s transition to quantum safe. Its discussions addressed the technical, managerial, and governance challenges associated with implementing this process. These efforts resulted in a set of policy recommendations aimed at EU institutions, Member States, the private sector, and the research community to guide Europe’s secure transition toward quantum resilience.	同グループは、政府と企業がEUの量子耐性強化への移行を加速・強化するための実践的ガイドライン策定を目指した。議論では、このプロセス実施に伴う技術的・管理的・ガバナンス上の課題が取り上げられた。これらの取り組みの結果、EU機構・加盟国・民間部門・研究コミュニティに向けた一連の政策提言がまとめられ、欧州の量子レジリエンスへの安全な移行を導く指針となった。
The transition to post-quantum cryptography (PQC) poses an urgent strategic challenge for Europe. It requires careful coordination and long-term planning across both the public and private sectors. Quantum computers capable of breaking today’s cryptographic systems may emerge as early as the next decade. Yet transitioning to PQC is a lengthy and complex process. Past experiences with security-standard migrations suggest such transformations can take 10 to 15 years.	耐量子暗号（PQC）への移行は、欧州にとって差し迫った戦略的課題である。官民双方の慎重な調整と長期的な計画が必要だ。現行の暗号システムを破る量子コンピュータは、早ければ今後10年以内に登場する可能性がある。しかしPQCへの移行は長期かつ複雑なプロセスである。セキュリティ標準の移行に関する過去の経験から、このような変革には 10 年から 15 年かかることが示唆されている。
Despite this urgency, recent surveys by the European Union Agency for Cybersecurity (ENISA) and the Information Systems Audit and Control Association (ISACA) show that most European stakeholders remain underprepared. Only a small share has begun investing in post-quantum solutions, and overall awareness remains low. At the Member State level, Germany, France, and the Netherlands have taken leading roles by issuing guidance and launching PQC pilot projects, both through national roadmaps and within the Network and Information Systems (NIS) Cooperation Group. However, progress across the EU remains uneven, and the Union still lacks a coherent, unified transition framework like that of the United States.	このような緊急性にもかかわらず、欧州連合サイバーセキュリティ機関（ENISA）および情報システム監査管理協会（ISACA）による最近の調査では、欧州のステークホルダーの大半が依然として準備不足であることが明らかになっている。耐量子ソリューションへの投資を開始しているのはごく一部であり、全体的な認識は依然として低い。加盟国レベルでは、ドイツ、フランス、オランダが、国家ロードマップとネットワークと情報システム（NIS）協力グループの両方を通じて、ガイダンスの発行や PQC パイロットプロジェクトの立ち上げなど、主導的な役割を果たしている。しかし、EU 全体での進捗は依然として不均一であり、EU は米国のような首尾一貫した統一的な移行フレームワークをまだ備えていない。
Against this backdrop, the Task Force calls for strengthening the EU’s transition process towards quantum safety, guided by the following principles:	こうした背景から、タスクフォースは、以下の原則に基づき、量子セキュリティへの移行プロセスを強化するよう EU に要請する。
1)    Quantum-safe transition as a systemic transformation	1) 体系的な変革としての量子安全への移行
The shift to quantum-safe cryptography should not be viewed as a routine technical upgrade but as a comprehensive, systems-level transformation. Transitioning to PQC extends beyond updating cryptographic libraries: it involves integrating new product versions, modifying the application programming interface (API), adapting software development lifecycles, and, in some cases, redesigning core business processes. It also demands proactive management of supplier, customer, and ecosystem relationships. This represents a major managerial challenge requiring long-term planning, skilled workforce development, and sustained organisational change.	量子安全暗号への移行は、日常的な技術的アップグレードではなく、包括的なシステムレベルの変革と捉えるべきである。PQC への移行は、暗号ライブラリの更新だけにとどまらない。新製品の統合、アプリケーション・プログラミング・インターフェース（API）の変更、ソフトウェア開発ライフサイクルの適応、場合によっては中核的なビジネスプロセスの再設計も伴う。また、サプライヤー、顧客、エコシステムとの関係を積極的に管理することも求められる。これは長期的な計画、熟練した人材の育成、持続的な組織変革を必要とする重大な経営課題である。
2)    Moving beyond the ‘Q-Day’ narrative	2) 「Q-Day」という物語の先へ
Public discussions often refer to ‘Q-Day’, the hypothetical moment when quantum computers render classical cryptography obsolete. While this framing can mobilise attention, it is misleading. Quantum capability will not arrive as a tsunami but as a gradual, uneven process, with early machines breaking selected keys before broader capabilities develop. A more realistic perspective is that of a ‘Q-period’, which supports balanced and adaptive migration strategies aligned with the actual pace of quantum and standards development.	公の議論では、量子コンピューターが従来の暗号技術を無効化する仮説上の瞬間「Q-Day」がしばしば言及される。この枠組みは注目を集めるが、誤解を招く。量子能力は津波のように一気に到来するのではなく、初期のマシンが特定の鍵を破る段階を経て、より広範な能力が発展する漸進的で不均一なプロセスとして現れる。より現実的な視点は「Q-period」という概念であり、量子技術と標準の実態に沿った、均衡のとれた適応的な移行戦略を支えるものである。
3)    Post-quantum cryptography as the core of the transition	3) 移行の中核としての耐量子暗号
PQC forms the backbone of the transition to quantum safety. These algorithms are designed to withstand attacks from quantum computers and are widely recognised by regulators and standardisation bodies as the only viable short- to medium-term solution. Other quantum technologies play more specialised roles:	PQC（耐量子暗号）は量子耐性への移行の基盤を成す。これらのアルゴリズムは量子コンピュータの攻撃に耐えるよう設計されており、規制当局や標準化団体から短期的・中期的には唯一の実行可能な解決策として広く認識されている。その他の量子技術はより専門的な役割を担う：
◼ Quantum key distribution (QKD) is not a direct substitute for public-key cryptography but a complementary technology that can offer diverse layered protection for specific high-security environments.	◼ 量子鍵配送（QKD）は公開鍵暗号の直接的な代替ではなく、特定の高セキュリティ環境向けに多様な階層的保護を提供する補完技術である。
◼ Quantum random number generators (QRNGs) provide certifiable entropy quality, ensuring that quantum-derived randomness can be embedded into cryptographic stacks and validated under recognised certification schemes.	◼ 量子乱数生成器（QRNG）は認証可能なエントロピー品質を提供し、量子由来の乱数を暗号スタックに組み込み、公認認証スキーム下で妥当性確認することを保証する。
4) A risk-based transition model	4) リスクベースの移行モデル
Migrating billions of devices to quantum-safe standards requires a structured, risk-based approach encompassing the following elements:	数十億台のデバイスを量子耐性標準へ移行するには、以下の要素を含む構造化されたリスクベースのアプローチが必要だ：
◼ Crypto agility: design cryptographic systems in a modular way, allowing for the easy replacement of cryptographic components.	◼ 暗号の俊敏性：暗号システムをモジュール式に設計し、暗号コンポーネントの容易な置換を可能にする。
◼ Awareness of crypto dependencies: since most organisations rely heavily on thirdparty vendors, understanding and managing supply chain dependencies is crucial. Organisations must engage suppliers, request clear timelines for quantum-safe capabilities, and monitor supply-chain readiness.	◼ 暗号依存関係の認識：大半の組織がサードパーティベンダーに依存しているため、サプライチェーン依存関係の理解と管理が重要だ。組織はサプライヤーと連携し、量子耐性機能の明確なタイムラインを要求し、サプライチェーンの準備状況を監視しなければならない。
◼ Crypto and product inventories: effective planning starts with a comprehensive inventory of internal and external dependencies, including software, hardware, APIs, and services. Critical systems should be prioritised for early migration.	◼ 暗号と製品のインベントリ：効果的な計画は、ソフトウェア、ハードウェア、API、サービスを含む内部・外部の依存関係を網羅的に把握することから始まる。重要システムは早期移行の優先対象とすべきである。
◼ Hybrid solutions: the coexistence of classical and quantum-resistant algorithms, known as hybrid cryptography, can enable interoperability and redundancy. To ensure global interoperability, hybrid solutions must be standardised through standards’ development organisations. The Task Force recommends broadening the definition of hybrid solutions to encompass ‘context-aware, technically inclusive approaches’ that combine multiple cryptographic mechanisms for resilience, such as PQC/traditional or PQC/QKD.	◼ ハイブリッドソリューション：古典的アルゴリズムと量子耐性アルゴリズムの共存（ハイブリッド暗号）は相互運用性と冗長性を実現し得る。グローバルな相互運用性を確保するため、ハイブリッドソリューションは標準団体による標準化が必須である。タスクフォースは、PQC/従来型や PQC/QKD など、複数の暗号メカニズムを組み合わせてレジリエンスを高める「コンテキストを認識し、技術的に包括的なアプローチ」を包含するよう、ハイブリッドソリューションの定義を拡大することを推奨している。
When it comes to the design and implementation of a European Roadmap for PostQuantum Cryptography (from now on the Roadmap), beyond specific contributions made to the NIS Cooperation Group Roadmap (available in Part VII of this report), the Task Force highlights the need for the following actions:	ポスト量子暗号に関する欧州ロードマップ（以下、「ロードマップ」）の設計と実施に関しては、NIS 協力グループロードマップ（本報告書のパート VII で入手可能）への具体的な貢献に加え、タスクフォースは、以下の行動の必要性を強調する。
◼      Integrate quantum safety into digital systems from the outset: the European Commission and Member States should ensure that digital systems (e.g. the European Digital Identity Wallet) are designed to be quantum-safe from the start.	◼ 量子セキュリティを最初からデジタルシステムに統合する： 欧州委員会と加盟国は、デジタルシステム（欧州デジタル ID ウォレットなど）が最初から量子安全性を備えているように設計されていることを保証すべきである。
◼ Link the Roadmap to a quantum-transition strategy and existing legislations: a roadmap defines milestones and timelines, but a supporting strategy must clarify how Member States, vendors, and institutions will meet them.	◼ ロードマップを量子移行戦略および既存の法律と連動させる：ロードマップはマイルストーンとタイムラインを定義するが、それを支援する戦略では、加盟国、ベンダー、機構がそれらをどのように達成するかを明確にする必要がある。
◼ Ensure alignment and coherence across roadmaps: with multiple quantum-safety roadmaps emerging at EU and national levels, the European Commission, Member States, and standardisation bodies must coordinate efforts to ensure coherence in timelines, dependencies, and objectives. Coordination with the US and other G7 partners is equally important.	◼ ロードマップ間の整合性と一貫性を確保する：EUレベル及び国家レベルで複数の量子安全ロードマップが策定される中、欧州委員会、加盟国、標準化団体は、タイムライン、依存関係、目標における一貫性を確保するため、取り組みを調整しなければならない。米国及びその他のG7パートナーとの調整も同様に重要である。
◼ Introducing greater parallelisation into the Roadmap: the Roadmap’s current structure implicitly relies on a staged or linear approach, which may unintentionally create bottlenecks. This Task Force recommends introducing greater parallelisation into the Roadmap to accelerate progress and reduce systemic risk.	◼ ロードマップへの並列化強化の導入：現行のロードマップ構造は段階的・直線的アプローチを暗黙に前提としており、意図せずボトルネックを生む可能性がある。本タスクフォースは進捗加速とシステムリスク低減のため、ロードマップへの並列化強化導入を推奨する。
Finally, the report underscores the importance of promoting awareness, cooperation, and effective governance throughout the transition to quantum safety. It calls for capacity building, skills development, and the establishment of dedicated crypto-management units within organisations.	最後に、本報告書は量子安全への移行過程における認識向上、協力、効果的なガバナンスの促進の重要性を強調する。組織内での能力構築、スキル開発、専門的な暗号管理ユニットの設置を要請する。
In detail, this Task Force makes recommendations to policymakers, the private sector and the research community that are summarised as follows[1].	詳細として、本タスクフォースは政策立案者、民間セクター、研究コミュニティに対し、以下の通り要約される提言を行う[1]。

共通の推奨事項...

1. GENERAL RECOMMENDATIONS	1. 一般的な提言
GR1. Develop crypto agility	GR1. 暗号の俊敏性を開発する
In the pursuit of quantum-safe encryption, the transition of encryption methods of billions of devices requires a specific model, needing design from a technical, organisational and policy perspective. For such an endeavour, a risk-based approach is necessary. Such an approach should revolve around crypto-agility principles based on measured risks and needs.	量子安全な暗号化を追求するにあたり、数十億台のデバイスの暗号化手法を移行するには、技術的・組織的・政策的な観点から設計された特定のモデルが必要だ。このような取り組みにはリスクベースのアプローチが不可欠である。このアプローチは、測定されたリスクとニーズに基づく暗号の俊敏性の原則を中心に据えるべきだ。
GR2. Engage with suppliers to take care of crypto dependencies	GR2. 暗号依存関係の対応についてサプライヤーと連携する
Most organisations rely heavily on third-party products and services, and supply chain dependencies frequently define the constraints and possibilities of migration. Migration to PQC often stalls when critical products or dependencies are beyond the direct control of the organisation. Software vendors and suppliers are on staggered upgrade schedules, and many cryptographic components are buried in complex, nested dependencies. To address this, organisations need robust engagement with suppliers, clear requests for timelines on quantum-safe capabilities, and a mechanism for tracking supply-chain readiness.	多くの組織はサードパーティ製品・サービスに大きく依存しており、サプライチェーン依存関係が移行の制約と可能性を頻繁に決定づける。重要な製品や依存関係が組織の直接管理外にある場合、PQCへの移行はしばしば停滞する。ソフトウェアベンダーやサプライヤーは段階的なアップグレードスケジュールを採用しており、多くの暗号化コンポーネントは複雑にネストされた依存関係の中に埋もれている。この問題に対処するには、組織はサプライヤーとの強固な連携、量子耐性機能のタイムラインに関する明確な要求、サプライチェーンの準備状況を追跡する仕組みが必要だ。
GR3. Building and maintaining crypto and product inventories	GR3. 暗号と製品のインベントリの構築と維持
In preparation for the shift to post-quantum cryptography, organisations are increasingly focusing on how cryptographic and product inventories are built and maintained. Developing inventories should be prioritised, focusing first on the most relevant use cases. Prioritising such an inventory will help with building a roadmap and provide context on migration activities. An inventory of cryptographic assets is an important task that, based on previous analysis, will facilitate a better understanding of the landscape of what needs to be migrated. What emerges is not a rigid blueprint, but rather a set of guiding practices, shaped by early planning, collaboration across technical and governance teams, and a clear understanding of what such inventories need to capture and why.	ポスト量子暗号への移行に備え、組織は暗号資産と製品インベントリの構築・維持方法に注力している。インベントリ開発は優先度が高く、最も関連性の高いユースケースから着手すべきだ。優先順位付けはロードマップ構築と移行活動の文脈提供に寄与する。暗号資産インベントリは重要課題であり、事前分析に基づく移行対象の全体像把握を促進する。そこから生まれるのは硬直した設計図ではなく、初期計画、技術チームとガバナンスチーム間の連携、そしてこうしたインベントリが何を捕捉すべきか、その理由を明確に理解することで形作られる一連の指針となる実践である。
Cryptographic inventories are a detailed mapping of where and how cryptography is used across an organisation’s systems. Its objectives are to identify the cryptographic algorithms in use today (Rivest-Shamir-Adleman Algorithm (RSA), elliptic-curve cryptography (ECC), Advanced Encryption Standard (AES)), their implementation context (code signing; Transport Layer Security (TLS) for communications), their quantum resistance status (legacy or PQC), and the dependencies of cryptographic modules and standards.	暗号インベントリとは、組織のシステム全体で暗号技術がどこでどのように使用されているかを詳細にマッピングしたものである。その目的は、現在使用されている暗号アルゴリズム（Rivest-Shamir-Adleman アルゴリズム（RSA）、楕円曲線暗号（ECC）、Advanced Encryption Standard（AES））、実装コンテキスト（コード署名、コミュニケーションのための Transport Layer Security（TLS））、量子耐性ステータス（レガシーか PQC か）、暗号モジュールと標準の依存関係を識別することである。
Product inventories focus on external products, services, and hardware that an organisation uses (i.e. third-party providers), and map the cryptographic characteristics of these products. When purchasing new software, hardware, or cloud services, organisations would require vendors to disclose the cryptographic algorithms and protocols used in their products, potentially including a roadmap for post-quantum upgrades.	製品インベントリは、組織が使用する外部製品・サービス・ハードウェア（つまりサードパーティプロバイダ）に焦点を当て、それらの暗号特性をマッピングする。新規ソフトウェア・ハードウェア・クラウドサービス購入時には、ベンダーに対し製品で使用される暗号アルゴリズムとプロトコルの開示を要求し、場合によっては耐量子アップグレードのロードマップも求める必要がある。
GR4. Integrate quantum-safety into digital systems from the start	GR4. デジタルシステムに量子耐性を最初から組み込む
The European Commission and Member States should ensure that digital systems (such as the European Digital Identity Wallet) are designed to be quantum-safe from the start. In other terms, if new services or systems or standards are introduced that require crypto, then this crypto should be quantum safe from day one. This means integrating postquantum cryptography into system architecture, certification, and procurement processes rather than treating it as a future retrofit.	欧州委員会と加盟国は、欧州デジタルIDウォレットなどのデジタルシステムが最初から量子耐性を備えるよう設計することを保証すべきだ。言い換えれば、暗号を必要とする新サービス・システム・標準を導入する場合、その暗号は初日から量子耐性を持つ必要がある。これはポスト量子暗号を将来的な後付けではなく、システムアーキテクチャ・認証・調達プロセスに統合することを意味する。
GR5. Going beyond hype: from a Q-Day to a Q-period	GR5. 誇大宣伝を超えて：Q-DayからQ-periodへ
Discussions of PQC are frequently animated by the spectre of Q-Day, a sudden moment when a powerful quantum computer renders classical cryptography obsolete. While useful as a mobilising narrative, this framing risks distorting the problem. Quantum capability will not arrive as a tsunami but as a gradual, uneven process. A handful of machines will first be able to break selected keys, before scaling to broader applications. Therefore, a more realistic framing, treating the problem as a Q-period, rather than a QDay, would support balanced migration strategies, paced with the actual evolution of quantum capability and standards readiness.	PQCに関する議論は、強力な量子コンピュータが古典暗号を無効化する瞬間「Q-Day」の脅威によって頻繁に盛り上がる。動員のための物語としては有用だが、この枠組みは問題を歪めるリスクがある。量子能力は津波のように一挙に到来するのではなく、漸進的かつ不均一なプロセスとして現れる。まず少数のマシンが特定の鍵を破り、その後広範な応用へ拡大する。したがって、Q-DayではなくQ-periodとして問題を捉える現実的な枠組みは、量子能力の実際の進化と標準の準備状況に歩調を合わせた、バランスの取れた移行戦略を支えるだろう。
GR6. Linking the Roadmap for the Transition to Post-Quantum Cryptography[2] to a quantum transition strategy and to existing laws	GR6. 量子暗号移行ロードマップ[2]と量子移行戦略・既存法規の連携
There are significant risks in pursuing an EU quantum-safe roadmap without a coordinated, risk-aware transition strategy. A roadmap must specify what milestones are required and by when, but only a supporting strategy can define how Member States, vendors, and institutions will meet them. Without synchronised standards, certification schemes, interoperability frameworks, and testing infrastructures, regulation may outpace readiness.	調整されたリスク認識型移行戦略なしにEUの量子安全ロードマップを推進することは重大なリスクを伴う。ロードマップは必要なマイルストーンと期限を明記すべきだが、加盟国・ベンダー・機構がそれらを達成する方法を定義できるのは支援戦略のみである。標準、認証スキーム、相互運用性枠組み、試験インフラが同期しなければ、規制が準備態勢を追い越す恐れがある。
GR7. Ensure alignment and coherence across roadmaps	GR7. ロードマップ間の整合性と一貫性の確保
Multiple roadmaps for quantum-safe transition are currently being developed and discussed at the EU and national levels, covering post-quantum cryptography, quantum communication, and related infrastructure initiatives. While each roadmap sets valuable priorities and indicative milestones (e.g. 2026, 2030, 2035), their coexistence risks producing fragmented or worse incompatible requirements and implementations if not properly aligned. The European Commission, together with Member States and standardisation bodies, should therefore promote cross-roadmap coordination to ensure coherence in timelines, dependencies, and objectives.	EUレベルおよび国家レベルでは現在、ポスト量子暗号、量子通信、関連インフラ構想を網羅する量子耐性移行のための複数のロードマップが策定・議論されている。各ロードマップは貴重な優先事項と目安となるマイルストーン（例：2026年、2030年、2035年）を設定しているが、適切に調整されなければ、要求事項や実装が断片化、あるいは互換性を欠くリスクがある。欧州委員会は加盟国や標準化団体と連携し、タイムライン、依存関係、目標の一貫性を確保するため、ロードマップ間の調整を推進すべきである。
To ensure global coherence and avoid fragmentation, the EU should also coordinate closely with the US and other G7 economies to align roadmaps, technical requirements, and timelines for quantum-safe transitions.	世界的な整合性を確保し分断を回避するため、EUは米国やその他のG7経済圏とも緊密に連携し、量子耐性移行に向けたロードマップ、技術要件、タイムラインの整合を図るべきである。
GR8. Introducing greater parallelisation into the Roadmap	GR8. ロードマップへの並列化強化の導入
The Roadmap’s current structure implicitly relies on a staged or linear approach, which may unintentionally create bottlenecks, particularly where progress in one area depends on completion in another. Given the complexity and heterogeneity of cryptographic systems across the EU, we recommend introducing greater parallelisation into the Roadmap to accelerate progress and reduce systemic risk[3].	ロードマップの現行構造は段階的・直線的アプローチを暗黙に前提としており、特にあるセクターの進展が別のセクターの完了に依存する場合、意図せずボトルネックを生む可能性がある。EU域内の暗号システムの複雑性と多様性を考慮し、進展加速とシステミックリスク低減のため、ロードマップへの並列化強化の導入を推奨する[3]。
GR9. Promoting awareness, cooperation and better governance	GR9. 認知度向上、協力促進、ガバナンス強化
In cyberspace, all nations are connected across borders and depend on each other, including in this transition. Therefore, Member States should create an environment or community where organisations, entities and stakeholders can share knowledge and experiences.	サイバー空間では、国境を越えて全ての国家が相互に依存し合っており、この移行においても同様である。したがって加盟国は、組織・事業体・関係者が知識と経験を共有できる環境またはコミュニティを構築すべきだ。
Member States should lead by example with transparent transition plans: publish and regularly update government transition roadmaps, including timelines, milestones and budgets, to foster knowledge sharing and best practices.  Roadmaps should broaden their definition of ‘stakeholder’ beyond ministries, regulatory agencies and technical experts. Civil society, minority networks and grassroots diversity, equity and inclusion (DEI) organisations should be recognised as co-leaders, not simply ‘consulted’.	加盟国は透明性のある移行計画で率先垂範すべきである：政府の移行ロードマップ（タイムライン、マイルストーン、予算を含む）を公表し定期的に更新し、知識共有とベストプラクティスの促進を図る。ロードマップは「利害関係者」の定義を省庁・規制機関・技術専門家を超えて拡大すべきだ。市民社会、マイノリティネットワーク、草の根の多様性・公平性・包摂（DEI）組織は単なる「相談相手」ではなく共同リーダーとして認識されるべきである。
The Roadmap for the transition to PQC should establish mechanisms (citizen assemblies, consultation panels, regular transparent updates) to ensure citizens not only receive information but can actively shape strategies. The Roadmap should encourage joint pilot projects at the EU level to test interoperability of PQC in cross-border services before 2030.	PQC移行ロードマップは、市民が情報を受け取るだけでなく戦略を積極的に形成できる仕組み（市民会議、協議パネル、定期的な透明性ある更新）を確立すべきだ。ロードマップは、2030年までに国境を越えたサービスにおけるPQCの相互運用性を試験するため、EUレベルでの共同パイロットプロジェクトを促進すべきだ。
We suggest establishing a public-private PQC migration observatory under ENISA to monitor advances and recommend acceleration of timelines if necessary.	ENISA傘下に官民共同のPQC移行監視機関を設置し、進捗を監視するとともに、必要に応じてタイムラインの加速を推奨することを提案する。
GR10.  Promoting skill development and management structures	GR10. 技能開発と管理構造の促進
Finally, successful migration also depends on management structures and skill development. Cryptographic migration is no longer just the purview of niche technical experts; it requires cross-functional teams, transparent governance, and clear process ownership. Organisations should have a well-established, funded, and empowered programme that starts with clear business-level priorities. Much of the current progress is bottom-up and lacks executive support.	最後に、移行の成功は管理構造と技能開発にも依存する。暗号技術移行はもはやニッチな技術専門家の領域ではなく、部門横断チーム、透明性のあるガバナンス、明確なプロセス所有権を必要とする。組織は明確な事業レベル優先事項から始まる、確立され資金提供され権限付与されたプログラムを持つべきだ。現在の進捗の多くはボトムアップであり、経営陣の支援が不足している。
[1] The extended version of the Recommendations is avalable in Part XI.	[1] 推奨事項の拡張版は第XI部で入手可能である。
[2] Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography, from now on the Roadmap.	[2] 耐量子暗号移行のための調整済み実装ロードマップ（以下「ロードマップ」と呼ぶ）。
[3] Specific, actionable suggestions for increasing parallelism while maintaining coordination and alignment are available in  Part XI.	[3] 調整と整合性を維持しつつ並列性を高めるための具体的かつ実行可能な提案は第XI部で入手可能である。

金融、政府、防衛の特有の事象

2. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE FINANCIAL SECTOR	2. 金融セクター向け追加推奨事項
FS1. Create an ad hoc PQC governance structure	FS1. 臨時的なPQCガバナンス体制を構築する
Governance structures are vital. Firms should establish a PQC transition steering committee or task force. This group oversees inventorising cryptographic usage, tracking standards, and setting migration timelines in alignment with business priorities and regulatory requirements. Many large banks have already formed internal ‘quantum risk’ or ‘crypto agility’ teams for this purpose.	ガバナンス体制は極めて重要である。企業はPQC移行運営委員会またはタスクフォースを設置すべきだ。このグループは、暗号技術の使用状況の把握、標準の追跡、事業優先度と規制要件に沿った移行スケジュールの設定を監督する。多くの大手銀行は既にこの目的で内部の「量子リスク」または「暗号技術対応」チームを編成している。
FS2. Enhancing collaboration with vendors and partners	FS2. ベンダー・パートナーとの連携強化
The financial sector’s crypto infrastructure extends beyond the walls of any single institution. It includes vendors, third-party service providers, and hardware manufacturers. It depends on these actors. A key bottleneck is the readiness of technology providers to support PQC. Therefore, firms should engage vendors early to ensure their roadmaps include PQC support, effectively asking for crypto agility by design in new procurements. Vendor incentives may be increased and fragmentation reduced if financial institutions can agree on common procurement standards.	金融セクターの暗号インフラは単一機構の枠を超えている。ベンダー、サードパーティサービスプロバイダー、ハードウェア製造事業者を含む。これらの主体に依存している。主要なボトルネックは、技術プロバイダがPQCをサポートする準備態勢だ。したがって企業は、ベンダーと早期に関わり、ロードマップにPQCサポートが含まれるよう確保すべきである。新規調達では設計段階からの暗号適応性を効果的に求めることになる。金融機関と機構が共通調達標準で合意できれば、ベンダーのインセンティブ向上と分断の軽減が可能となる。
FS3. Upgrade the financial sector underlying infrastructure	FS3. 金融セクター基盤インフラのアップグレード
Companies need to upgrade their underlying infrastructure to ensure that hardware security modules (HSMs), cryptographic libraries, virtual private network (VPN) appliances, and other related components can support quantum-safe algorithms. A key recommendation is to modernise algorithms as part of the ongoing broader IT modernisation initiative. For example, if a bank is migrating services to the cloud or replacing core banking systems, crypto-agility considerations should be built in from the start.	企業は基盤インフラをアップグレードし、ハードウェアセキュリティモジュール（HSM）、暗号ライブラリ、仮想プライベートネットワーク（VPN）アプライアンス、その他関連コンポーネントが量子耐性アルゴリズムをサポートできるようにする必要がある。継続的な広範なIT近代化イニシアチブの一環としてアルゴリズムを近代化することが重要な提言である。例えば、銀行がサービスをクラウドに移行する場合や基幹銀行システムを刷新する場合、暗号の適応性を考慮した設計を最初から組み込むべきである。
FS4. Prioritise actions based on risk assessment	FS4. リスクアセスメントに基づく優先順位付け
Given the scale of the transition, not everything can be changed at once. A risk-based approach is essential to prioritise which systems and data to secure first. This process begins with a cryptographic inventory. Instead of aiming for a comprehensive inventory that is costly and may become outdated once actual migrations begin, we recommend a top-down and risk-based approach that creates inventories for migrating specific parts of the business based on a business-level risk-reward analysis. While certain dependencies will need to be maintained, this ensures that the business justification and value can be identified and tracked while migrating.	移行の規模を考慮すると、全てを一度に変更することは不可能である。どのシステムとデータを優先的に保護すべきかを判断するには、リスクベースのアプローチが不可欠である。このプロセスは暗号資産の棚卸しから始まる。実際の移行開始後に陳腐化する可能性があり、かつコストのかかる包括的なインベントリ作成を目指すのではなく、事業レベルのリスク・リターン分析に基づき、事業の特定部分のみを移行対象とするインベントリを作成するトップダウンかつリスクベースのアプローチを推奨する。特定の依存関係は維持する必要があるものの、これにより移行中に事業の正当性と価値を特定・追跡できる。
FS5. Perform cost-benefit analysis of mitigation options	FS5. 緩和策の費用便益分析を実施する
Not all solutions are equal: some may involve hardware changes (using hybrid solutions in hardware or deploying quantum random number generators or QKD links), while others are purely software-based (switching to PQC algorithms). The Task Force mentions that a complete crypto transition for a large bank could cost in the order of hundreds of millions of dollars. The importance of quantified risk assessments for boards and executives is essential to justify expenditures against the risk reduction achieved. If the cost of inaction (i.e. potential fines, losses, and reputational damage from a future breach) outweighs the migration cost, the business case for PQC investment becomes clear.	解決策は全て同等ではない。ハードウェア変更を伴うもの（ハードウェア上のハイブリッドソリューション採用、量子乱数生成器やQKDリンクの展開）もあれば、純粋にソフトウェアベースのもの（PQCアルゴリズムへの移行）もある。タスクフォースは、大規模銀行における完全な暗号移行には数億ドル規模の費用がかかると指摘している。取締役会や経営陣にとって、達成されるリスク低減に対して支出を正当化するには、定量化されたリスクアセスメントが不可欠だ。何もしない場合のコスト（将来の侵害による潜在的な罰金、損失、評判の毀損）が移行コストを上回る場合、PQC投資のビジネスケースは明らかになる。
FS6. Overcome organisational and skills gaps	FS6. 組織的・技術的ギャップの克服
Financial institutions face a shortage of cryptographic skills and awareness at all levels. Cryptography has often been a niche domain in IT; now it must become a mainstream concern. The culture in many financial organisations has been to treat cryptography as a static utility. Changing this mindset to one of continuous cryptographic improvement is an organisational challenge.	金融機関は、あらゆるレベルで暗号技術のスキルと認識の不足に直面している。暗号技術はこれまでIT分野のニッチ領域であったが、今や主流の関心事となる必要がある。多くの金融機関では暗号技術を静的なユーティリティとして扱う文化が根付いている。この考え方を継続的な暗号技術の改善へと転換することは組織的な課題である。
3. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE PUBLIC SECTOR	3. 公共セクター向け追加推奨事項
PS1. Implement a sequenced migration plan across PKI and digital identity ecosystems	PS1. PKIおよびデジタルIDエコシステム全体での段階的移行計画の実施
Public administrations should adopt a coordinated, risk-based approach to upgrading public-key infrastructure (PKI) and digital identity systems. Migration should begin with the most critical and high-impact components, such as national identity registers, crossborder authentication services, and certificate authorities that anchor public trust, before extending to dependent systems. Administrations should conduct comprehensive cryptographic inventories to map dependencies and identify areas most exposed to quantum risks. This mapping should inform sequenced migration roadmaps that combine hybrid cryptography for short-term continuity with long-term adoption of post-quantum standards.	公共行政機関は、公開鍵基盤（PKI）とデジタルIDシステムのアップグレードに際し、調整されたリスクベースのアプローチを採用すべきだ。移行は、国民ID登録システム、越境認証サービス、公共の信頼を支える認証局など、最も重要かつ影響力の大きい構成要素から開始し、依存システムへ段階的に拡大する。行政機関は包括的な暗号技術インベントリを実施し、依存関係をマッピングするとともに、量子リスクに最も晒されている領域を特定すべきだ。このマッピングは、短期的な継続性のためのハイブリッド暗号技術と、長期的な耐量子標準の採用を組み合わせた段階的な移行ロードマップの策定に活用されるべきである。
PS2. Synchronise authentication layers to prevent fragmentation and service disruption	PS2. 分断とサービス中断を防ぐため認証レイヤーを同期させる
Authentication systems, roots, intermediates, browsers, and revocation services must evolve in lockstep to preserve trust and interoperability during the quantum transition. The European Commission and national authorities should coordinate migration to ensure simultaneous readiness across these layers. This includes benchmarking performance impacts, conducting interoperability and stress tests, and establishing fallback mechanisms to handle larger certificates and increased computational demands. A synchronised approach will prevent fragmented implementations and minimise service outages.	量子移行期における信頼性と相互運用性を維持するため、認証システム、ルート、中間証明書、ブラウザ、失効サービスは足並みを揃えて進化しなければならない。欧州委員会と各国当局は、これらのレイヤー全体で同時対応を確保するため移行を調整すべきである。これには、性能影響のベンチマーク、相互運用性テストとストレステストの実施、大規模な証明書や増加した計算要求に対応するためのフォールバックメカニズムの確立が含まれる。同期化されたアプローチは、断片化した実装を防ぎ、サービス停止を最小限に抑える。
PS3. Coordinate cross-border roadmaps and align national migration strategies	PS3. 国境を越えたロードマップを調整し、各国の移行戦略を整合させる
The European Commission and Member States should establish a joint roadmap for quantum-safe migration, aligning national PKI upgrades, timelines, and policy frameworks. This coordination should focus on interoperability across borders, ensuring that trust chains, certification processes, and governance models remain consistent within the EU. Regular reporting and shared readiness benchmarks should be institutionalised to ensure that national infrastructures evolve in sync and maintain mutual trust.	欧州委員会と加盟国は、量子耐性のある移行のための共同ロードマップを確立し、各国のPKIアップグレード、タイムライン、政策枠組みを整合させるべきである。この調整は国境を越えた相互運用性に焦点を当て、EU域内で信頼チェーン、認証プロセス、ガバナンスの一貫性を確保すべきだ。定期的な報告と共有された準備基準を制度化し、国家インフラが同期して進化し相互信頼を維持することを保証する必要がある。
PS4. Manage the quantum transition as a coordinated sociotechnical programme	PS4. 量子移行を協調的な社会技術プログラムとして管理する
Post-quantum migration in the public sector should be approached as a whole-ofecosystem effort, not a purely cryptographic upgrade. The European Commission and Member States should establish coordination mechanisms bringing together technical agencies, regulators, standardisation bodies, and industry actors to guide the transition. Migration plans must also account for legacy and operational-technology constraints by scheduling upgrades and enabling parallel standards updates to prevent bottlenecks.	公共セクターにおける耐量子移行は、純粋な暗号化アップグレードではなく、エコシステム全体の取り組みとして取り組むべきである。欧州委員会と加盟国は、技術機関、規制当局、標準団体、産業関係者を結集する調整メカニズムを確立し、移行を指導すべきである。移行計画は、レガシーシステムや運用技術（OT）の制約を考慮し、アップグレードのスケジュール設定や並行した標準更新を可能にすることでボトルネックを防止しなければならない。
4. ADDITIONAL SECTOR-SPECIFIC RECOMMENDATIONS FOR THE DEFENCE SECTOR	4. 防衛セクター向け追加推奨事項
DS1. Develop a post-quantum transition roadmap	DS1. 耐量子移行ロードマップの策定
Defence industry stakeholders should establish a post-quantum transition roadmap that synchronises governmental policy milestones with industrial deployment. This roadmap should mandate comprehensive cryptographic inventories, prioritise mission-critical and high-risk systems, and coordinate cross-vendor testing of PQC implementations. Developing shared migration benchmarks will enhance interoperability across defence supply chains, prevent redundant efforts, and enable the modernisation of legacy command, control, and communication infrastructures without disrupting critical operations.	防衛産業関係者は、政府の政策マイルストーンと産業展開を同期させる耐量子移行ロードマップを確立すべきだ。このロードマップは包括的な暗号資産の棚卸を義務付け、ミッションクリティカルかつ高リスクシステムを優先し、PQC実装のクロスベンダーテストを調整すべきである。共通の移行ベンチマークを開発することで、防衛サプライチェーン全体の相互運用性が向上し、重複作業が防止され、重要な運用を妨げることなく、レガシーな指揮・統制・コミュニケーションインフラの近代化が可能となる。
DS2. Support industrial coordination	DS2. 産業連携の支援
Institutional stakeholders should support industrial coordination between defence primes, SMEs of the quantum industry, and research labs through funding mechanisms that prioritise European value chains and reduce reliance on non-EU suppliers.	機構は、欧州のバリューチェーンを優先し、非EUサプライヤーへの依存を減らす資金調達メカニズムを通じて、防衛プライム企業、量子産業の中小企業、研究機関間の産業連携を支援すべきである。
DS3. Address supply-chain dependencies	DS3. サプライチェーン依存への対応
Similarly, competent European institutions (e.g. the European Defence Agency (EDA), the European Commission and the European Defence Fund (EDF)) should address supply chain dependencies: several key quantum algorithms and hardware components currently originate in the US or Asia. European actors should prioritise developing proprietary quantum algorithms, photonics platforms, and cryogenic technologies in Europe.	同様に、欧州の関連機構（欧州防衛庁（EDA）、欧州委員会、欧州防衛基金（EDF）など）はサプライチェーン依存に対処すべきだ。現在、主要な量子アルゴリズムやハードウェア部品の多くは米国やアジアに起源を持つ。欧州関係者は、独自開発の量子アルゴリズム、フォトニクスプラットフォーム、極低温技術の開発を欧州で優先すべきだ。
DS4. Formalise public-private quantum innovation frameworks	DS4. 官民量子イノベーション枠組みの正式化
International and European defence institutions (EDA, NATO, EDF) should formalise public-private quantum innovation frameworks connecting established defence contractors with start-ups and academic labs. These partnerships should include shared testbeds, classified-and-open research and development (R&D) tracks, and co-funded demonstrators to accelerate technology transfer. Priority should go to dual-use quantum sensing and communication systems, ensuring civil R&D (from Quantum Flagship or national programmes) is adapted to defence applications.	国際的・欧州の防衛機構（EDA、NATO、EDF）は、既存防衛企業と新興企業・学術研究所を結ぶ官民量子イノベーション枠組みを正式化すべきだ。これらの連携には、共有テストベッド、機密・公開両方の研究開発（R&D）トラック、技術移転加速のための共同資金による実証機を含めるべきである。優先度は、民生用量子センシング・コミュニケーションシステムと防衛用量子センシング・コミュニケーションシステムの両方に置くべきである。これにより、民生用R&D（量子フラッグシップや国家プログラムによるもの）が防衛用途に適応されることを保証する。
DS5. Establish structured pilot-to-certification pathways	DS5. 構造化された試験運用から認証までの経路を確立する
To validate emerging quantum systems for operational use, the EU and NATO should establish structured pilot-to-certification pathways. Programmes such as OPENQKD should evolve into permanent Quantum defence testbeds, allowing companies (e.g. Thales, Leonardo, SMEs) to test prototypes under military conditions. Results should directly feed into European standardisation bodies (the European Telecommunications Standards Institute (ETSI), ENISA) to define security and interoperability benchmarks, thereby reducing time-to-deployment and ensuring trusted European solutions.	運用可能な量子システムを妥当性確認するため、EUとNATOは構造化された試験運用から認証までの経路を確立すべきである。OPENQKDなどのプログラムは恒久的な量子防衛試験基盤へと発展させ、企業（例：タレス、レオナルド、中小企業）が軍事条件下でプロトタイプを試験できるようにすべきである。結果は欧州標準化団体（欧州電気通信標準化機構（ETSI）、ENISA）に直接反映され、セキュリティと相互運用性の基準を定義することで、展開までの時間を短縮し、信頼できる欧州ソリューションを確保する。
DS6. Incentivise research in defence quantum technologies	DS6. 防衛量子技術研究へのインセンティブ
To incentivise research in defence quantum technologies, it is essential to establish secure knowledge-sharing mechanisms (e.g. classified research consortia, modular publications, or declassification windows) allowing academics to maintain academic career progression without breaching defence restrictions.	防衛量子技術研究を促進するには、安全な知識共有メカニズム（機密研究コンソーシアム、モジュール式出版、機密解除期間など）を確立することが不可欠である。これにより、研究者は防衛上の制約に抵触することなく、学術的キャリアを継続できる。

米国 NIST SP 800-57 第6版（初期公開ドラフト）鍵管理に関する推奨事項：第1部－一般事項 (2025.12.05)

こんにちは、丸山満彦です。

NISTがSP 800-57 第6版（初期公開ドラフト）鍵管理に関する推奨：第1部－一般を公表し、意見募集をしていますね...

耐量子計算機暗号移行の問題もあって話題な領域かも (^^) 

三部作の第一部です。でも、第一部だけでも200ページくらいあります...

● NIST - ITL

・2025.12.05 NIST SP 800-57 Rev. 6 (Initial Public Draft) Recommendation for Key Management: Part 1 – General

NIST SP 800-57 Rev. 6 (Initial Public Draft) Recommendation for Key Management: Part 1 – General	米国 NIST SP 800-57 第6版（初期公開ドラフト）鍵管理に関する推奨事項：第1部－一般事項
Announcement	発表
The initial draft of NIST SP 800-57 Part 1 Revision 6 is available for comment through February 5, 2026. Some of the proposed changes from Revision 5 include:	NIST SP 800-57 第1部 第6改訂版の初期ドラフトが、2026年2月5日まで意見募集のために公開されている。第5版からの主な変更点には以下が含まれる：
・Ascon, as specified in SP 800-232, and the new quantum-resistant algorithms specified in FIPS 203, 204, and 205 have been included.	・SP 800-232で規定されたAscon、およびFIPS 203、204、205で規定された新たな量子耐性アルゴリズムが追加された。
・The keys used for both key establishment and key storage are now discussed separately.	・鍵確立と鍵保存に使用される鍵について、別々に論じられるようになった。
・The security categories used in the PQC competition have been included, along with the quantum-resistant algorithms.	・量子耐性アルゴリズムと共に、PQCコンペティションで使用されたセキュリティカテゴリーが追加された。
・The time frames for algorithm approval status have been removed and replaced with references to SP 800-131A.	・アルゴリズム承認ステータスの時間枠は削除され、SP 800-131Aへの参照に置き換えられた。
・A section has been added to discuss keying material storage and mechanisms.	・鍵材料の保存とメカニズムについて論じるセクションが追加された。
See Appendix F for a more complete list of changes.	変更点のより完全なリストについては附属書Fを参照のこと。
Abstract	要約
This recommendation provides cryptographic key-management guidelines in three parts. Part 1 provides general guidelines and best practices for the management of cryptographic keying material, including definitions for the security services that may be provided when using cryptography and the algorithms and key types that may be employed, specifications for the protection that each type of key and other cryptographic information requires and methods for providing this protection, discussions about the functions involved in key management, and discussions about a variety of key-management issues to be addressed when using cryptography. Part 2 provides guidance on policy and security planning requirements for U.S. Government agencies. Part 3 provides guidelines for using the cryptographic features of current systems.	本勧告は暗号鍵管理ガイドラインを3部構成で提供する。第1部では、暗号鍵材料の管理に関する一般的なガイドラインとベストプラクティスを提供する。これには、暗号技術使用時に提供可能なセキュリティサービスの定義、採用可能なアルゴリズムと鍵の種類、各種鍵及びその他の暗号情報に必要な防御仕様とその提供方法、鍵管理に関わる機能に関する考察、暗号技術使用時に対処すべき多様な鍵管理課題に関する考察が含まれる。第2部では、米国政府機関向けのポリシー及びセキュリティ計画要件に関する指針を提供する。第3部では、現行システムの暗号機能利用に関するガイドラインを提供する。

・[PDF] NIST.SP.800-57pt1r6.ipd

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
Cryptography is used to secure communications over networks, to protect information stored in databases, and for many other critical applications. Cryptographic keys play an important part in the operation of cryptography. These keys are analogous to the combination of a safe. If a safe combination is known to an adversary, the strongest safe provides no security against penetration.	暗号技術は、ネットワーク上の通信の保護、データベースに保存された情報の保護、その他多くの重要な用途に使用される。暗号鍵は暗号技術の運用において重要な役割を果たす。これらの鍵は金庫の暗証番号に類似している。敵対者が金庫の暗証番号を知っている場合、最も強固な金庫であっても侵入に対する防御効果は皆無である。
The proper management of cryptographic keys is essential to the effective use of cryptography for security. Poor key management may easily compromise strong algorithms. This recommendation provides guidelines for the management of a cryptographic key throughout its life cycle, including its secure generation, storage, distribution, use, and destruction.	暗号鍵の適切な管理は、セキュリティのための暗号技術の有効な利用に不可欠である。鍵管理が不十分だと、強力なアルゴリズムも容易に破られる。本 推奨は、暗号鍵のライフサイクル全体（安全な生成、保管、配布、使用、破棄を含む）における管理ガイドラインを提供する。
Ultimately, the security of information protected by cryptography directly depends on the strength of the keys, the effectiveness of cryptographic mechanisms and protocols associated with the keys, and the protection provided to the keys. Secret and private keys need to be protected against unauthorized disclosure, and all keys need to be protected against modification.	結局のところ、暗号技術で保護される情報の安全性は、鍵の強度、鍵に関連する暗号メカニズムとプロトコルの有効性、そして鍵自体への保護に直接依存する。秘密鍵と公開鍵は不正開示から防御され、全ての鍵は改変から防御されなければならない。
Cryptographic keys are used across a broad range of systems and applications in enterprises, many of which are managed by individuals who may not have expertise in key management. Consequently, organizations must ensure that clear guidance and oversight is provided for the proper management of keys, as well as controls to ensure that the guidance is being followed and implemented.	暗号鍵はエンタープライズの幅広いシステムやアプリケーションで使用されるが、その多くは鍵管理の専門知識を持たない個人によって管理されている。したがって組織は、鍵の適切な管理に向けた明確な指針と監督を提供するとともに、その指針が遵守・実施されていることを保証する統制を確立しなければならない。
Organizations and developers are presented with many choices in their use of cryptographic mechanisms. Inappropriate choices may result in an illusion of security but with little or no real security for the protocol or application. This recommendation provides background information and establishes a framework to support appropriate decisions when selecting and using cryptographic mechanisms.	組織や開発者は暗号メカニズムの利用において多くの選択肢に直面する。不適切な選択は、プロトコルやアプリケーションに対する実質的なセキュリティがほとんど、あるいは全くないにもかかわらず、セキュリティの幻想をもたらす可能性がある。本 推奨は背景情報を提供し、暗号メカニズムの選択と利用時に適切な判断を支援する枠組みを確立する。
Cryptographic modules are used to perform cryptographic operations using these keys. This recommendation does not address the implementation details for cryptographic modules that may be used to achieve the security requirements identified herein. These details are addressed in Federal Information Processing Standards (FIPS) Publication 140 [FIPS 140-3] and its associated implementation guidance and derived test requirements, which are available at https://csrc.nist.gov/projects/cmvp.	暗号モジュールは、これらの鍵を用いて暗号操作を実行するために使用される。本 推奨は、ここで識別されたセキュリティ要件を達成するために使用される暗号モジュールの実装詳細には触れない。これらの詳細は、連邦情報処理標準（FIPS）出版物140［FIPS 140-3］および関連する実装ガイダンスと派生テスト要件で扱われており、https://csrc.nist.gov/projects/cmvp で入手可能である。
This recommendation is divided into three parts:	本推奨は三つの部分に分かれる：
• Part 1 — General contains basic key-management guidelines	• 第1部 — 基本：基本的な鍵管理ガイドラインを含む
• Part 2 — Best Practices for Key Management Organizations provides a framework and general guidance to support establishing cryptographic key management.	• 第2部 — 鍵管理組織のためのベストプラクティス：暗号鍵管理の確立を支援する枠組みと一般的な指針を提供する
• Part 3 — Application-Specific Key Management Guidance addresses the key278 management issues associated with currently available implementations that use cryptography.	• 第3部 — アプリケーション固有の鍵管理ガイダンス：現在利用可能な暗号技術を用いた実装に関連する鍵管理の問題に対処する

目次...

Executive Summary	エグゼクティブサマリー
1. Introduction	1. 序論
1.1. Purpose	1.1. 目的
1.2. Audience	1.2. 対象読者
1.3. Scope	1.3. 範囲
1.4. Preliminary Discussion of Terms	1.4. 用語の予備的考察
1.5. Content and Organization	1.5. 内容と構成
2. Security Services	2. セキュリティサービス
2.1. Confidentiality	2.1. 機密性
2.2. Data Integrity	2.2. データ完全性
2.3. Authentication	2.3. 認証
2.4. Authorization	2.4. 認可
2.5. Non-Repudiation	2.5. 否認防止
2.6. Support Services	2.6. サポートサービス
2.7. Combining Services	2.7. サービスの組み合わせ
3. Cryptographic Algorithms	3. 暗号アルゴリズム
3.1. Cryptographic Hashing Methods	3.1. 暗号ハッシュ手法
3.2. Symmetric-Key Algorithms	3.2. 対称鍵アルゴリズム
3.3. Asymmetric-Key Algorithms	3.3. 非対称鍵アルゴリズム
3.4. Random Bit Generation	3.4. 乱数生成
4. General Key-Management Guidelines	4. 鍵管理の一般ガイドライン
4.1. Key Types and Other Information	4.1. 鍵の種類とその他の情報
4.1.1. Cryptographic Keys	4.1.1. 暗号鍵
4.1.2. Other Related Information	4.1.2. その他の関連情報
4.2. Key Usage	4.2. 鍵の使用期間
4.3. Cryptoperiods	4.3. 暗号期間
4.3.1. Factors Affecting Cryptoperiods	4.3.1. 暗号期間に影響する要因
4.3.2. Consequence Factors Affecting Cryptoperiods	4.3.2. 暗号期間に影響する結果要因
4.3.3. Other Factors Affecting Cryptoperiods	4.3.3. 暗号期間に影響するその他の要因
4.3.4. Asymmetric Key Usage Periods and Cryptoperiods	4.3.4. 非対称鍵の使用期間と暗号期間
4.3.5. Symmetric Key Usage Periods and Cryptoperiods	4.3.5. 対称鍵の使用期間と暗号期間
4.3.6. Cryptoperiod Recommendations for Specific Key Types	4.3.6. 特定の鍵タイプに対する暗号期間の推奨
4.4. Assurances	4.4. 保証（アシュアランス）
4.4.1. Assurance of Integrity (Integrity Protection)	4.4.1. 完全性の保証（完全性保護）
4.4.2. Assurance of Algorithm Parameter Validity	4.4.2. アルゴリズムパラメータの有効性の保証
4.4.3. Assurance of Public-Key Validity	4.4.3. 公開鍵の有効性の保証
4.4.4. Assurance of Private-Key Possession	4.4.4. 秘密鍵の所有の保証
4.4.5. Key Confirmation	4.4.5. 鍵の確認
4.5. Compromise of Keys and Other Keying Material	4.5. 鍵及びその他の鍵材料の侵害
4.5.1. Implications	4.5.1. 影響
4.5.2. Protective Measures	4.5.2. 保護措置
4.6. Guidelines for Cryptographic Algorithm and Key-Size Selection	4.6. 暗号アルゴリズム及び鍵サイズの選定に関する指針
4.6.1. Cryptographic Algorithm Security Strengths	4.6.1. 暗号アルゴリズムのセキュリティ強度
4.6.2. Using Algorithm Suites and the Effective Security Strength	4.6.2. アルゴリズムスイートの使用と実効セキュリティ強度
4.6.3. Projected Algorithm and Security Strength Approval Status	4.6.3. 予測されるアルゴリズム及びセキュリティ強度の承認状況
4.6.4. Transitioning to New Algorithms and Key Sizes in Systems	4.6.4. システムにおける新アルゴリズムおよび鍵サイズへの移行
4.6.5. Decrease in Security Over Time	4.6.5. 時間の経過に伴うセキュリティの低下
5. Protection Requirements for Key Information	5. 鍵情報の防御要件
5.1. Protection and Assurance Requirements	5.1. 防御および保証要件
5.1.1. Summary of Protection and Assurance Requirements for Cryptographic Keys	5.1.1. 暗号鍵の防御および保証要件の概要
5.1.2. Summary of Protection Requirements for Other Related Information	5.1.2. その他の関連情報の防御要件の概要
5.2. Protection Mechanisms	5.2. 防御メカニズム
5.2.1. Protection Mechanisms for Key Information in Transit	5.2.1. 伝送中の鍵情報の防御メカニズム
5.2.2. Protection Mechanisms for Key Information in Storage	5.2.2. 保管中の鍵情報の防御メカニズム
5.2.3. Metadata for Keys	5.2.3. 鍵のメタデータ
6. Key States and Transitions	6. 鍵の状態と遷移
6.1. Pre-Activation State	6.1. 事前活性化状態
6.2. Active State	6.2. 活性化状態
6.3. Suspended State	6.3. 一時停止状態
6.4. Compromised State	6.4. 侵害状態
6.5. Destroyed State	6.5. 破棄状態
7. Key-Management Phases and Functions	7. 鍵管理のフェーズと機能
7.1. Pre-Operational Phase	7.1. 運用前フェーズ
7.1.1. Entity Registration Function	7.1.1. 事業体登録機能
7.1.2. System Initialization Function	7.1.2. システム初期化機能
7.1.3. Initialization Function	7.1.3. 初期化機能
7.1.4. Keying-Material Installation Function	7.1.4. 鍵材料インストール機能
7.1.5. Key-Establishment Function	7.1.5. 鍵確立機能
7.1.6. Key Registration Function	7.1.6. 鍵登録機能
7.2. Operational Phase	7.2. 運用フェーズ
7.2.1. Normal Operational Storage Function	7.2.1. 通常運用時保存機能
7.2.2. Continuity of Operations Function	7.2.2. 運用継続機能
7.2.3. Key Change Function	7.2.3. 鍵変更機能
7.2.4. Key Derivation Methods	7.2.4. 鍵導出方法
7.3. Post-Operational Phase	7.3. 運用終了後フェーズ
7.3.1. Key Archive and Key Recovery Functions	7.3.1. 鍵アーカイブ及び鍵復旧機能
7.3.2. Entity De-Registration Function	7.3.2. 事業体登録解除機能
7.3.3. Key De-Registration Function	7.3.3. 鍵登録解除機能
7.3.4. Key Destruction Function	7.3.4. 鍵破棄機能
7.3.5. Key Revocation Function	7.3.5. 鍵失効機能
7.4. Destroyed Phase	7.4. 破棄段階
8. Additional Considerations	8. 追加考慮事項
8.1. Access Control and Identity Authentication	8.1. アクセス管理と身元認証
8.2. Inventory Management	8.2. 在庫管理
8.2.1. Key Inventories	8.2.1. 鍵在庫
8.2.2. Certificate Inventories	8.2.2. 証明書在庫
8.3. Accountability	8.3. 説明責任
8.4. Audit	8.4. 監査
8.5. Key-Management System Survivability	8.5. 鍵管理システムの生存性
8.5.1. Backed Up and Archived Key	8.5.1. バックアップおよびアーカイブされた鍵
8.5.2. Key Recovery	8.5.2. 鍵の復旧
8.5.3. System Redundancy/Contingency Planning…	8.5.3. システムの冗長性／緊急時対応計画…
8.5.4. Compromise Recovery	8.5.4. 侵害からの復旧
References	参考文献
Appendix A. Cryptographic and Non-Cryptographic Integrity and Source Authentication Mechanisms	附属書 A. 暗号的および非暗号的完全性およびソース認証メカニズム
Appendix B. Key Recovery	附属書 B. 鍵の復旧
B.1. General Discussion	B.1. 一般的な考察
B.1.1. Recovery From Stored Keying Material	B.1.1. 保存された鍵材料からの回復
B.1.2. Recovery by Reconstruction of Keying Material	B.1.2. 鍵材料の再構築による回復
B.1.3. Conditions Under Which Keying Material Needs to be Recoverable	B.1.3. 鍵材料の回復が必要となる条件
B.1.4. Key-Recovery Systems	B.1.4. 鍵回復システム
B.1.5. Key-Recovery Policy	B.1.5. 鍵回復ポリシー
B.2. Digital Signature Key Pair	B.2. デジタル署名鍵ペア
B.2.1. Private Signature Key	B.2.1. 秘密署名鍵
B.2.2. Public Signature-Verification Key	B.2.2. 公開署名検証鍵
B.3. Authentication Keys	B.3. 認証鍵
B.3.1. Symmetric Authentication Key	B.3.1. 対称認証鍵
B.3.2. Authentication (Asymmetric) Key Pair	B.3.2. 認証（非対称）鍵ペア
B.4. Random Number Generation Key	B.4. 乱数生成鍵
B.5. Key-Derivation/Master Key	B.5. 鍵導出／マスター鍵
B.6. Key Establishment (Automated)	B.6. 鍵確立（自動化）
B.6.1. Symmetric Key-Wrapping Key	B.6.1. 対称鍵ラッピング鍵
B.6.2. Key-Transport Key Pair	B.6.2. 鍵伝送鍵ペア
B.6.3. Symmetric Key-Agreement Key	B.6.3. 対称鍵合意鍵
B.6.4. Static Key-Agreement Key Pair	B.6.4. 静的鍵合意鍵ペア
B.6.5. Ephemeral Key-Agreement Key Pair	B.6.5. 一時的鍵合意鍵ペア
B.6.6. Static Encapsulation/Decapsulation Key Pair	B.6.6. 静的カプセル化/デカプセル化鍵ペア
B.6.7. Ephemeral Encapsulation/Decapsulation Key Pair	B.6.7. 一時的なカプセル化/デカプセル化鍵ペア
B.7. Symmetric Data Encryption/Decryption Keys	B.7. 対称データ暗号化/復号化鍵
B.7.1. Encryption/Decryption of Data in Transit	B.7.1. 転送中のデータの暗号化/復号
B.7.2. Encryption/Decryption of Data at Rest	B.7.2. 保存データの暗号化/復号
B.8. Keying Material Storage	B.8. 鍵材料の保存
B.8.1. Symmetric Key Wrapping/Unwrapping Key	B.8.1. 対称鍵ラッピング/アンラッピング鍵
B.8.2. Asymmetric Key Encryption/Decryption Key Pair	B.8.2. 非対称鍵暗号化/復号化鍵ペア
B.8.3. Encapsulation/Decapsulation Key Pair	B.8.3. カプセル化/デカプセル化鍵ペア
B.9. Authorization	B.9. 認可
B.9.1. Symmetric Authorization Key	B.9.1. 対称認可鍵
B.9.2. Authorization Key Pair	B.9.2. 認可鍵ペア
B.10. Other Related Information	B.10. その他の関連情報
B.10.1. Algorithm Parameters	B.10.1. アルゴリズムパラメータ
B.10.2. Initialization Vector (IV)	B.10.2. 初期化ベクトル（IV）
B.10.3. Shared Secret	B.10.3. 共有秘密
B.10.4. Seed	B.10.4. シード
B.10.5. Other Public and Secret Information	B.10.5. その他の公開情報および秘密情報
B.10.6. Intermediate Results	B.10.6. 中間結果
B.10.7. Key-Control Information/Metadata	B.10.7. 鍵制御情報／メタデータ
B.10.8. Random Numbers	B.10.8. 乱数
B.10.9. Password	B.10.9. パスワード
B.10.10. Audit Information	B.10.10. 監査情報
Appendix C. Security Strength Categories for Post-Quantum Algorithms	附属書 C. 耐量子アルゴリズムのセキュリティ強度カテゴリー
Appendix D. List of Abbreviations and Acronyms	附属書 D. 略語および頭字語一覧
Appendix E. Glossary	附属書 E. 用語集
Appendix F. Change Log	附属書 F. 変更履歴
List of Tables	表一覧
Table 1. Suggested cryptoperiods for key types	表 1. 鍵タイプに対する推奨暗号期間
Table 2: Security Strength Categories for Post-quantum Algorithms	表 2: 耐量子アルゴリズムのセキュリティ強度カテゴリー
Table 3: Security strengths of symmetric block cipher algorithms	表 3: 対称ブロック暗号アルゴリズムのセキュリティ強度
Table 4: Security strengths of classical asymmetric-key algorithms…	表4：古典的非対称鍵アルゴリズムのセキュリティ強度…
Table 5:Security strengths of quantum-resistant asymmetric-key algorithms	表5：量子耐性非対称鍵アルゴリズムのセキュリティ強度
Table 6: Maximum security strengths for hash methods and hash-based functions	表6：ハッシュ手法およびハッシュベース機能の最大セキュリティ強度
Table 8. Protection requirements for cryptographic keys	表8．暗号鍵の防御要件
Table 9. Protection requirements for other related information	表9．その他の関連情報の防御要件
Table 10. Backup of keys	表10．鍵のバックアップ
Table 11. Backup of other related information	表11．その他の関連情報のバックアップ
Table 12. Archive of keys	表12. 鍵のアーカイブ
Table 13. Archive of other related information	表13. その他の関連情報のアーカイブ
List of Figures	図の一覧
Figure 1. Symmetric-key cryptoperiod	図1. 対称鍵暗号の期間
Figure 2. Algorithm originator-usage period example	図2. アルゴリズム作成者-使用期間の例
Figure 3. Key state and transition example	図3. 鍵の状態と遷移の例
Figure 4. Key-management phases	図4. 鍵管理のフェーズ
Figure 5. Key-management states and phases	図5. 鍵管理の状態とフェーズ
Figure 6: Example of a tree of keys in storage	図6: 保存中の鍵のツリーの例

---

暗号鍵の管理についてはIPAからも

● IPA

SP800-57の第5版をベースにしています...

・2023.08.30 暗号鍵設定ガイダンス〜暗号鍵の鍵長選択方法と運用方法〜

（これはSP800-130をベースにしています。）...

・2025.04.25 暗号鍵管理ガイドライン

IPAの翻訳も...

・SP 800-57 Part 1 Rev. 5 鍵管理における推奨事項 第一部：一般事項 Recommendation for Key Management Part 1: General

・・2021.05 [PDF] SP 800-57 Part 1 Rev. 5

・SP 800-57 Part 3 Rev. 1 鍵管理における推奨事項 第三部：アプリケーション特有の鍵管理ガイダンス Recommendation for Key Management Part 3: Application-Specific Key Management Guidance

・・2016.11 [PDF] SP 800-57 Part 3 Rev. 1

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2022.07.13 IPA 暗号鍵設定ガイダンス～暗号鍵の鍵長選択方法と運用方法～

・2020.05.08 NIST SP 800-57 Part 1 Rev. 5 Recommendation for Key Management: Part 1 – General

・2008.07.26 IPA 「MD5 の安全性の限界に関する調査研究」に関する報告書・「安全な暗号鍵のライフサイクルマネージメントに関する調査」に関する報告書を公表

オーストラリア 取締役会におけるサイバーセキュリティの優先事項 2025-26

こんにちは、丸山満彦です。

オーストラリア信号局（ASD）とオーストラリア会社取締役協会（AICD）が、取締役会で議論すべきサイバーセキュリティの優先事項を公表していますね...

オーストラリアでは上場企業や大企業の取締役会は重要な意思決定と執行の監督、執行役員が日常の業務執行をするというのが一般的だと思います。中小企業では、業務執行とその監督は明確に分けられていないかもしれません。

ちなみに、オーストラリア会社取締役協会は

• サイバーセキュリティガバナンス原則（第2版）
• サイバー危機におけるガバナンス

も公表しているのですね...

この２つがベースで、これに追加して2025−2026は、次の４つを重要なポイントとしてあらたに上げているという感じですかね...

Does your organisation have event logging and threat detection?	貴組織はイベント記録と脅威検知を実施しているか？
How does your organisation manage legacy information technology?	貴組織はレガシーITをどのように管理しているか？
How does your organisation manage its cyber supply chain risk?	貴組織はサイバーサプライチェーンリスクをどのように管理しているか？
Does your organisation have a post-quantum cryptography transition plan?	貴組織は耐量子暗号移行計画を有しているか？

● Australian Institute of Company Directors

・2025.10.30 Cyber security priorities for boards in 2025-26

Cyber security priorities for boards in 2025-26	2025-26年度の取締役会におけるサイバーセキュリティ優先事項
The Australian Signals Directorate (ASD) and the AICD have collaborated to publish cyber security governance guidance targeted at the current cyber threat environment.	オーストラリア信号局（ASD）とAICDは、現在のサイバー脅威環境を対象としたサイバーセキュリティガバナンス指針を共同で公表した。
The cyber threat environment is constantly changing with new and evolving threats posing significant risks to all sizes and types of Australian organisations. Boards play a key role in overseeing the cyber resilience of their organisations, including engaging with management on how the organisation is responding to current threats.	サイバー脅威環境は絶えず変化しており、新たな脅威や進化する脅威が、あらゆる規模・業種のオーストラリア組織に重大なリスクをもたらしている。取締役会は、組織のサイバーレジリエンスを監督する上で重要な役割を担っており、現在の脅威への対応策について経営陣と協議することも含まれる。
This guidance from the ASD and AICD provides an extensive list of threshold and supplementary technical questions for boards to ask of management in four priority areas. Informed by the ASD’s intelligence gathering these priority areas are; implementing effective event logging, managing legacy IT risks, overseeing cyber supply chain risks and preparing for post-quantum cryptography.	ASDとAICDによる本ガイドラインは、4つの重点領域において取締役会が経営陣に問うべき閾値技術質問と補足技術質問の包括的なリストを提供する。ASDの情報収集に基づき特定された重点領域は以下の通りである：効果的なイベント記録の実施、レガシーITリスクの管理、サイバーサプライチェーンリスクの監督、ポスト量子暗号への備え。
We encourage directors to read these questions in conjunction with the Cyber Security Governance Principles (Version 2) and Governing Through a Cyber Crisis publications. These publications provide an overview of the core principles of effective cyber security governance, including allocating roles and responsibilities and preparing for significant cyber and data incidents.	取締役は、これらの質問を「サイバーセキュリティガバナンス原則（第2版）」および「サイバー危機におけるガバナンス」の刊行物と併せて読むことを推奨する。これらの刊行物は、役割と責任の割り当てや重大なサイバー・データインシデントへの備えを含む、効果的なサイバーセキュリティガバナンスの中核原則の概要を提供している。

● Australian Signals Directorate

・2025.10.30 Cyber security priorities for boards of directors 2025-26

Cyber security priorities for boards of directors 2025-26	取締役会におけるサイバーセキュリティの優先事項 2025-26
Introduction	序論
The Australian Signals Directorate (ASD) prevents, disrupts and responds to attacks against Australian organisations every day. Understanding and managing cyber security risks, as with other business risks, is a key responsibility in protecting your organisation, shareholders and customers.	オーストラリア信号局（ASD）は、日々オーストラリアの組織に対する攻撃を防止し、妨害し、対応している。他の事業リスクと同様に、サイバーセキュリティリスクを理解し管理することは、組織、株主、顧客を保護する上での重要な責任である。
The Australian Institute of Company Directors (AICD) mission is to be the independent and trusted voice of governance, building the capability of a community of leaders for the benefit of Australian society. In recent years. The AICD has had a significant focus on educating directors on better practice cyber security and data governance through guidance and education activities.	オーストラリア会社取締役協会（AICD）の使命は、ガバナンスにおける独立かつ信頼される声となり、オーストラリア社会のためにリーダーのコミュニティの能力を構築することである。近年、AICDはガイダンスや教育活動を通じて、取締役に対し優れた実践的なサイバーセキュリティとデータガバナンスを教育することに重点を置いてきた。
Should we be worried about cyber security?	サイバーセキュリティを懸念すべきか？
Today, Australia faces a heightened global cyber threat environment, driven by geopolitical tensions in the Middle East, Ukraine and the Indo-Pacific. Recent global events have shown that organisations must be prepared for state-based actors pre-positioning for disruptive attacks against critical infrastructure and services.	今日、オーストラリアは中東、ウクライナ、インド太平洋地域における地政学的緊張に起因する、世界的なサイバー脅威環境の悪化に直面している。最近の国際情勢は、組織が国家支援アクターが重要インフラやサービスに対する破壊的攻撃を事前に準備している事態に備えねばならないことを示している。
Australia has also endured a number of serious data breaches, compromising organisations and impacting customer trust, the cost of which cannot be understated. Unfortunately, trends are worsening. Malicious actors continue to target Australian organisations of all types and sizes. Espionage, enabled by technology advancements, cost Australia $12.5 billion in FY23–24. Cybercrime costs are also rising across all organisation types and sizes, with a sharp increase for large enterprises.	オーストラリアではまた、組織を危険に晒し顧客の信頼を損なう深刻なデータ侵害が相次いで発生しており、そのコストは過小評価できない。残念ながら、この傾向は悪化している。悪意ある主体は、あらゆる種類・規模のオーストラリア組織を標的とし続けている。技術進歩によって可能となったスパイ活動は、2023-24会計年度にオーストラリアに125億ドルの損害をもたらした。サイバー犯罪による損害も、あらゆる組織タイプ・規模で増加しており、特に大エンタープライズでは急増している。
Where should the focus be in 2025-26?	2025-26年度、焦点はどこに置くべきか？
Boards of directors (boards) play a critical role in overseeing how their organisations maintain and build cyber security capabilities, and in responding to existing and emerging cyber threats.	取締役会（ボード）は、組織がサイバーセキュリティ能力を維持・構築する方法の監督、および既存・新興のサイバー脅威への対応において重要な役割を担う。
In 2025-26, we encourage a focus by boards on the following areas:	2025-26年度、取締役会は以下の領域に焦点を当てることを推奨する：
・Understanding whether technology used or provided to your customers is secure by design and secure by default. These security principles and practices are critical for building modern defensible architectures.	・顧客に提供または使用される技術が「設計段階から安全（Secure by Design）」かつ「デフォルトで安全（Secure by Default）」であるか理解すること。これらのセキュリティ原則と実践は、現代的な防御可能なアーキテクチャ構築に不可欠である。
・Prioritising the defence of your organisation’s most critical assets. Your organisations should operate with a mindset of ‘assume compromise’ and consider which assets or ‘crown jewels’ need the most protection.	・組織の最も重要な資産の防御を優先すること。組織は「侵害を前提とする」姿勢で運営し、どの資産や「最重要資産」が最も保護を必要とするかを検討すべきだ。
Your organisation’s ability to defend and respond can be further enhanced through implementing better practice event logging and threat detection measures, replacing legacy information technology (IT), effectively managing third-party risks, and beginning your post-quantum cryptography transition. However, we cannot forget, nor neglect, the basics. This includes keeping all devices updated and enabling multi-factor authentication, especially for any public-facing services. These heightened areas of focus are in addition to a board’s core elements of effective cyber security, for instance, comprehensive cyber security incident planning and promoting a strong cyber security culture within their organisation.	優れたイベント記録と脅威検知対策の実施、レガシーITの置き換え、サードパーティリスクの効果的な管理、ポスト量子暗号への移行開始を通じて、組織の防御・対応能力はさらに強化できる。しかし、基本を忘れてはならず、また軽視してもならない。これには、すべてのデバイスを最新の状態に保ち、特に一般向けサービスについては多要素認証を有効にすることが含まれる。これらの重点分野は、包括的なサイバーセキュリティインシデント計画や組織内の強力なサイバーセキュリティ文化の促進など、取締役会による効果的なサイバーセキュリティの核心要素に追加されるものである。
What good cyber security governance look likes in 2025-26	2025年から2026年における優れたサイバーセキュリティガバナンスのあり方
The following advice outlines questions boards can ask of management and their organisation to understand its cyber security posture in the 2025-26 cyber threat environment. These questions should be read in conjunction with the AICD and the Cyber Security Cooperative Research Centre’s Cyber Security Governance Principles | Version 2 and Governing Through a Cyber Crisis - Cyber Incident Response and Recovery for Australian Directors publications. These publications provide an overview of the core principles of effective cyber security governance, including allocating roles and responsibilities and overseeing an effective cyber security strategy.	以下のアドバイスは、2025年から2026年のサイバー脅威環境におけるサイバーセキュリティの態勢を理解するために、取締役会が経営陣や組織に尋ねることができる質問の概要である。これらの質問は、AICD およびサイバーセキュリティ共同研究センターの「サイバーセキュリティガバナンス原則 | バージョン 2」および「サイバー危機を乗り切る - オーストラリアの取締役のためのサイバーインシデント対応と復旧」の出版物と併せて読むべきである。これらの出版物は、役割と責任の割り当て、効果的なサイバーセキュリティ戦略の監督など、効果的なサイバーセキュリティガバナンスの核心的な原則の概要を提示している。
Taken together, the questions in this publication, and the AICD’s cyber security governance guidance, represent a proactive approach to building cyber security capability in the current cyber threat environment.	この出版物の質問と AICD のサイバーセキュリティガバナンスガイダンスを総合すると、現在のサイバー脅威環境においてサイバーセキュリティ能力を構築するための積極的なアプローチが示されている。
The questions in this publication are divided into two categories:	本出版物の質問は、2 つのカテゴリーに分類される。
・threshold governance questions that assist in determining the cyber security posture of organisations, given the 2025-26 cyber threat environment.	・2025 年から 2026 年のサイバー脅威環境を踏まえ、組織のサイバーセキュリティ態勢の決定に役立つ、しきい値ガバナンスに関する質問。
・supplementary technical questions to understand in greater detail the cyber security controls in place within organisations. These questions may assist directors of a risk or technology committee engage on key controls with senior management, by way of example.	・組織内で実施されているサイバーセキュリティ対策をより詳細に理解するための、補足的な技術的な質問。これらの質問は、例えば、リスク委員会や技術委員会の取締役が、上級管理職と主要な対策について協議する上で役立つかもしれない。
We recognise that for many organisations, particularly small-to-medium enterprises and not-for-profits, it may not be possible to implement all the advice within this publication. However, this advice still enables the board for such entities to ask questions to understand their organisation’s existing cyber security posture and identify areas for improvement.	多くの組織、特に中小企業や非営利団体にとって、本出版物の助言を全て実施することは困難かもしれない。しかし、これらの助言は、そのような事業体の取締役会が自組織の既存のサイバーセキュリティ態勢を理解し、改善すべき領域を識別するための質問を投げかけることを可能にする。
ASD provides cyber security advice specifically written for small business.	ASDは中小企業向けに特別に作成されたサイバーセキュリティ助言を提供している。
The AICD CSCRC Cyber Security Principles also has a dedicated snapshot for directors of smaller organisations.	AICD CSCRCサイバーセキュリティ原則には、小規模組織の取締役向けに特化した概要も存在する。
Contact details	連絡先
If you have any questions regarding this guidance you can write to us or call us on 1300 CYBER1 (1300 292 371).	本ガイダンスに関する質問がある場合は、書面または電話（1300 CYBER1：1300 292 371）にて問い合わせ可能である。
Does your organisation have event logging and threat detection?	貴組織はイベント記録と脅威検知を実施しているか？
The board should understand whether there is an enterprise wide-approach to event logging and threat detection. A rigorous approach to threat detection will improve your organisation’s chances of detecting malicious behaviour within your IT environment.	取締役会は、イベント記録と脅威検知に対するエンタープライズな取り組みの有無を把握すべきである。脅威検知に対する厳格なアプローチは、IT環境内の悪意ある行為の検知を可能にする組織の確率を高める。
In implementing cyber security measures, including event logging and threat detection measures, the board should have visibility of shared responsibilities between service providers and their organisation.	イベントログ記録や脅威検知を含むサイバーセキュリティ対策を実施する際、取締役会はサービスプロバイダと自社組織間の責任分担を可視化すべきである。
ASD provides advice for executives to assist with implementing event logging and threat detection.	ASDは、イベントログ記録と脅威検知の実施を支援するため、経営幹部向けの助言を提供している。
Threshold governance questions	閾値ガバナンスに関する質問
Have we established an event logging policy that includes event log retention, access and review procedures?	イベントログの保存期間、アクセス、レビュー手順を含むイベントログ記録ポリシーを確立しているか？
Have we defined event logging and monitoring responsibilities across teams?	チーム横断的なイベントログ記録・監視責任を定義しているか？
Have we identified all critical systems, applications and devices that require event logging?	イベントログ記録が必要な全ての重要システム、アプリケーション、デバイスを識別しているか？
Supplementary technical questions	補足的な技術的質問
Event logging processes and coverage	イベントログ記録プロセスと対象範囲
Do our cyber security activities align with ASD’s event logging and threat detection guidance?	自社のサイバーセキュリティ活動はASDのイベントログ記録・脅威検知ガイダンスに沿っているか？
Do we collect event logs from network devices, security appliances, operating systems, applications, databases and cloud services?	ネットワーク機器、セキュリティアプライアンス、OS、アプリケーション、データベース、クラウドサービスからイベントログを収集しているか？
Event log configuration and quality	イベントログの設定と品質
Do we configure event logs to capture sufficient detail?	十分な詳細情報を取得するようイベントログを設定しているか？
Do we ensure event logs are time-synchronised across our organisation?	組織全体でイベントログの時間同期を確保しているか？
Do we avoid collecting excessive or irrelevant event logs?	過剰または無関係なイベントログの収集を回避しているか？
Centralised event log management	集中型イベントログ管理
Do we forward event logs to a centralised event logging system?	イベントログを集中型イベントログシステムに転送しているか？
Do we ensure event logs are securely transmitted and stored?	イベントログの安全な伝送と保存を確保しているか？
Do we implement access controls to protect the integrity and confidentiality of event logs?	イベントログの完全性と機密性を防御するアクセス管理を実施しているか？
Threat detection capabilities	脅威検知能力
Do we define and implement detection rules for known cyber threats and anomalies?	既知のサイバー脅威や異常に対する検知ルールを定義し実装しているか？
Do we use threat intelligence feeds to enhance detection rules?	脅威インテリジェンスフィードを活用して検知ルールを強化しているか？
Do we monitor for indicators of compromise and suspicious behaviour?	侵害の兆候や不審な行動を監視しているか？
Alerting and response	アラートと対応
Do we configure alerts for high-risk events	高リスクイベントに対するアラートを設定しているか？
Do we ensure alerts are actionable and routed to appropriate teams?	アラートが実行可能であり、適切なチームにルーティングされることを保証しているか？
Do we integrate alerts into cyber security incident response workflows?	アラートをサイバーセキュリティインシデント対応ワークフローに統合しているか？
Event log analysis	イベントログ分析
Do we conduct regular reviews of event logs for signs of compromise?	侵害の兆候を調べるため、イベントログを定期的にレビューしているか？
Do we use automated tools to correlate events and detect patterns?	イベントを相関分析しパターンを検知する自動化ツールを使用しているか？
Do we performed retrospective analysis after cyber security incidents?	サイバーセキュリティインシデント発生後に事後分析を実施しているか？
Retention and compliance	保持とコンプライアンス
Do we retain event logs for a period consistent with legal and regulatory requirements?	法的・規制要件に沿った期間、イベントログを保持しているか？
Do we ensure event logs are made available for forensic investigations and audits?	フォレンジック調査や監査のためにイベントログが利用可能であることを保証しているか？
Do we have documented event log retention policies?	文書化されたイベントログ保持ポリシーがあるか？
How does your organisation manage legacy information technology?	貴組織はレガシーITをどのように管理しているか？
Legacy IT presents significant and enduring risks to the cyber security posture of your organisation. The board should be aware that weak cyber security measures for legacy IT can increase the likelihood of a cyber security incident, and make any cyber security incident that does occur more impactful.	レガシーITは組織のサイバーセキュリティ態勢に対し、重大かつ持続的なリスクをもたらす。取締役会は、レガシーITに対する脆弱なセキュリティ対策がインシデント発生確率を高め、発生時の影響を拡大させることを認識すべきである。
The most effective method to mitigate the cyber security risk posed by legacy IT is to replace it before it becomes unsupported. Retaining legacy IT within your organisation’s IT environment, especially where adequate compensating measures have not been applied, also presents significant business risks. These include the costs involved in remediating the consequences following a cyber security incident, systems being taken offline, service delivery being disrupted, loss of productivity, potential leakage or loss of data, and loss of public confidence in your organisation.	レガシーITがサポート終了状態になる前に置き換えることが、サイバーセキュリティリスクの緩和につながる最も効果的な方法である。特に適切な補償措置が講じられていない場合、組織のIT環境内にレガシーITを保持することは、重大なビジネスリスクも伴う。これには、サイバーセキュリティインシデント発生後の影響修復コスト、システムの停止、サービス提供の混乱、生産性の低下、データの漏洩・喪失の可能性、組織に対する公衆の信頼喪失などが含まれる。
ASD provides advice for executives to assist with legacy IT management.	ASDは、経営幹部がレガシーIT管理を支援するための助言を提供している。
Threshold governance questions	閾値ガバナンスに関する質問
Have we identified and documented all legacy IT in use?	使用中のレガシーITを全て識別し文書化しているか？
Have we assigned risk ownership responsibility for each piece of legacy IT?	各レガシーITに対するリスク所有責任を割り振っているか？
Have we established a legacy IT risk management strategy aligning with ASD’s guidance?	ASDのガイダンスに沿ったレガシーITリスクマネジメント戦略を確立しているか？
Have we assessed each piece of legacy IT for security vulnerabilities, operational dependencies and business criticality	各レガシーITについて、セキュリティ脆弱性・運用依存関係・業務重要性を評価しているか？
Have we categorised each piece of legacy IT based on risk exposure and impact?	リスクエクスポージャーと影響度に基づき各レガシーITを分類しているか？
Supplementary technical questions	補足的な技術的質問
Compensating measures	補償措置
Do we have compensating measures for when patching legacy IT is not possible?	レガシーITへのパッチ適用が不可能な場合の補償措置は存在するか？
Do we document, and regularly review, compensating measures for their effectiveness?	補償措置の有効性について文書化し、定期的に見直しているか？
Access controls	アクセス制御
Do we restrict access to legacy IT to only those who need it?	レガシーITへのアクセスを必要な者にのみ制限しているか？
Do we log all access to legacy IT?	レガシーITへの全アクセスをログ記録しているか？
Monitoring and incident response	監視とインシデント対応
Do we include legacy IT in our security monitoring and alerting activities?	セキュリティ監視およびアラート活動にレガシーITを含めているか？
Do our cyber security incident response plans account for legacy IT?	サイバーセキュリティインシデント対応計画はレガシーITを考慮しているか？
Do we conduct testing of cyber security incident response playbooks involving legacy IT?	レガシーITを想定したサイバーセキュリティインシデント対応プレイブックのテストを実施しているか？
Vendor support considerations	ベンダーサポートに関する考慮事項
Do we regularly scan for legacy IT that is no longer supported by vendors?	ベンダーによるサポートが終了したレガシーITを定期的にスキャンしているか？
Do we engage vendors for extended support or security advisories if available?	延長サポートやセキュリティアドバイザリが利用可能な場合、ベンダーと連携しているか？
Do we document end of life timelines and vendor support gaps?	サポート終了時期とベンダーサポートの空白期間を文書化しているか？
Transition and decommissioning plans	移行および廃止計画
Do processes for secure data mitigation from legacy IT exist?	レガシーITからの安全なデータ緩和プロセスは存在するか？
Do we maintain a roadmap for replacing or retiring legacy IT?	レガシーITの置換または廃止に向けたロードマップを維持しているか？
Do we prioritise decommissioning legacy IT based on risk and business impact?	リスクと事業影響に基づきレガシーITの廃止を優先しているか？
How does your organisation manage its cyber supply chain risk?	貴組織はサイバーサプライチェーンリスクをどのように管理しているか？
The board should have oversight of how cyber security risk is managed in the cyber supply chain. Suppliers, manufacturers, distributors and retailers involved in products or services used by your organisation will present a cyber supply chain risk for your businesses. Likewise, you will present a cyber supply chain risk to your customers.	取締役会はサイバーサプライチェーンにおけるサイバーセキュリティリスクマネジメントを監督すべきである。貴組織が利用する製品・サービスに関わる供給業者、製造事業者、頒布事業者、小売業者は、貴事業にとってサイバーサプライチェーンリスクとなる。同様に、貴組織も顧客にとってサイバーサプライチェーンリスクとなる。
For Australian Prudential Regulation Authority regulated entities, there are specific obligations set out in prudential standards on the oversight of suppliers and the Security of Critical Infrastructure Act 2018 has obligations that extend across various participants in the critical asset supply chain.	オーストラリア金融規制庁（APRA）の規制対象事業体については、サプライヤーの監督に関する監督標準に特定の義務が定められており、2018年重要インフラセキュリティ法は重要資産サプライチェーンの様々な参加者に義務を課している。
Effective cyber supply chain risk management ensures, as much as possible, the secure supply of products and services throughout their lifetime. This includes their design, manufacture, delivery, maintenance, decommissioning and disposal. Cyber supply chain risk management should form a significant component of your organisation’s overall cyber security strategy.	効果的なサイバーサプライチェーンリスクマネジメントは、製品やサービスのライフサイクル全体（設計、製造事業者、納入、保守、廃止、廃棄を含む）において、可能な限り安全な供給を確保するものである。サイバーサプライチェーンリスクマネジメントは、組織全体のサイバーセキュリティ戦略において重要な構成要素となるべきだ。
ASD provides advice for executives to assist with cyber supply chain risk management.	ASDは、経営陣がサイバーサプライチェーンリスクマネジメントを支援するための助言を提供している。
Threshold governance questions	閾値ガバナンス質問
Have we developed a cyber supply chain risk management policy?	サイバーサプライチェーンリスクマネジメントポリシーを策定したか？
Have we assigned ownership for cyber supply chain risk across procurement, legal and cyber security teams?	調達、法務、サイバーセキュリティ各チームにサイバーサプライチェーンリスクの責任を割り当てたか？
Have we identified all suppliers with access to our systems and data?	自社のシステムやデータにアクセス可能な全サプライヤーを識別したか？
Have we categorised suppliers by criticality and risk exposure?	サプライヤーを重要度とリスクエクスポージャーで分類したか？
Have we assessed suppliers’ cyber security posture using assessments or certifications?	サプライヤーのサイバーセキュリティ態勢をアセスメントや認証を用いて評価したか？
Supplementary technical questions	補足的な技術的質問
Contractual measures	契約上の措置
Do we include cyber security requirements in contracts and service level agreements?	契約やサービスレベル契約にサイバーセキュリティ要件を含めているか？
Do we require suppliers to notify us of breaches, security vulnerabilities or changes in risk?	サプライヤーに侵害、セキュリティ脆弱性、リスク変化の通知を義務付けているか？
Do we require compliance with ASD’s Information security manual (ISM)?	ASDの情報セキュリティマニュアル（ISM）への準拠を要求しているか？
Due diligence	デューデリジェンス
Do we conduct cyber supply chain risk assessments before onboarding suppliers?	サプライヤーの採用前にサイバーサプライチェーンリスク評価を実施しているか？
Do we verify supplier cyber security measures and cyber security incident response capabilities?	サプライヤーのサイバーセキュリティ対策とインシデント対応能力を検証しているか？
Do we ensure suppliers understand and agree to our cyber security expectations?	サプライヤーが自社のサイバーセキュリティ要件を理解し同意していることを確認しているか？
Ongoing monitoring and review	継続的監視とレビュー
Do we monitor supplier performance and compliance with cyber security obligations?	サプライヤーのパフォーマンスとサイバーセキュリティ義務の遵守状況を監視しているか？
Do we review supplier risk profiles periodically?	サプライヤーのリスクプロファイルを定期的に見直しているか？
Do we track and respond to emerging cyber threats affecting our cyber supply chain?	自社のサイバーサプライチェーンに影響する新たなサイバー脅威を追跡し対応しているか？
Third-party access management	サードパーティアクセス管理
Do we limit supplier access to only necessary systems and data?	サプライヤーのアクセスを必要なシステムとデータのみに制限しているか？
Do we implement cyber security measures, such as network segmentation and multi-factor authentication, for supplier access to our systems?	サプライヤーが自社システムにアクセスする際、ネットワークセグメンテーションや多要素認証などのサイバーセキュリティ対策を実装しているか？
Do we monitor and log supplier access to our systems?	サプライヤーの自社システムへのアクセスを監視・記録しているか？
Cyber security incident response and resilience	サイバーセキュリティインシデント対応とレジリエンシー
Do we include cyber supply chain compromise scenarios in our cyber security incident response planning?	サイバーセキュリティインシデント対応計画に、サイバーサプライチェーン侵害シナリオを含めているか？
Do we ensure suppliers have their own cyber security incident response plans and reporting mechanisms?	サプライヤーが独自のサイバーセキュリティインシデント対応計画と報告メカニズムを有していることを確認しているか？
Do we establish communication protocols with suppliers for coordinated responses to cyber supply chain compromises?	サイバーサプライチェーン侵害への協調的対応のため、サプライヤーとの連絡手順を確立しているか？
Does your organisation have a post-quantum cryptography transition plan?	貴組織は耐量子暗号移行計画を有しているか？
The board should be aware that in the near future cryptographically relevant quantum computers will render most contemporary cryptography insecure. This will result in existing secure communications based on current cryptography technology becoming vulnerable to compromise.	取締役会は、近い将来に暗号学的に有効な量子コンピュータが登場し、現代の暗号技術のほとんどが安全でなくなることを認識すべきである。これにより、現行の暗号技術に基づく既存の安全な通信が脆弱性を持つようになる。
As the creation of a cryptographically relevant quantum computer presents new cyber security risks, the board should oversee steps to anticipate future business requirements and dependencies for vulnerable systems during the transition period to post-quantum cryptography standards.	暗号学的に有効な量子コンピュータの出現が新たなサイバーセキュリティリスクをもたらすため、取締役会はポスト量子暗号標準への移行期間中、脆弱なシステムに対する将来の業務要件と依存関係を予測する措置を監督すべきである。
ASD provides advice for executives to assist with the post-quantum cryptography transition.	ASDはポスト量子暗号移行を支援するため、経営幹部向けの助言を提供している。
Threshold governance questions	閾値ガバナンス質問
Have we acknowledged the long-term impact of quantum computing?	量子コンピューティングの長期的な影響を認識しているか？
Have we assessed the potential impact of quantum threats to our systems and data?	量子脅威がシステムとデータに及ぼす潜在的影響を評価したか？
Have we established a post-quantum cryptography transition plan?	耐量子暗号移行計画は策定済みか？
Have we assigned executive and senior management responsibilities for post-quantum cryptography transition planning and readiness?	耐量子暗号移行計画と準備態勢に関する経営陣および上級管理職の責任分担は明確化されているか？
Supplementary technical questions	補足技術的質問
Cryptographic inventory	暗号技術インベントリ
Do we document where cryptography is implemented within our organisation?	組織内で暗号技術が実装されている箇所を文書化しているか？
Do we have an inventory of the cryptographic algorithms, protocols and libraries we use?	使用する暗号アルゴリズム、プロトコル、ライブラリのインベントリは存在するか？
Do we track and record our dependencies on vulnerable cryptographic algorithms?	脆弱な暗号アルゴリズムへの依存関係を追跡・記録しているか？
Vendor and supply chain engagement	ベンダーおよびサプライチェーンとの連携
Do we regularly engage with vendors to understand their post-quantum cryptography transition plans and readiness?	ベンダーと定期的に連携し、ポスト量子暗号への移行計画と準備状況を把握しているか？
Do we require vendors to disclose cryptographic dependencies and upgrade timelines?	ベンダーに対し、暗号依存関係とアップグレードのタイムラインを開示するよう要求しているか？
Do we include post-quantum cryptography considerations in our procurement and contract negotiations with vendors?	ベンダーとの調達および契約交渉において、ポスト量子暗号に関する考慮事項を含めているか？
Transition planning	移行計画
Do we monitor ASD’s advice on planning for post-quantum cryptography?	ポスト量子暗号計画に関するASDの助言を監視しているか？
Do we have a roadmap for migration to quantum-resistant algorithms?	量子耐性アルゴリズムへの移行ロードマップを有しているか？
Testing and validation	テストと妥当性確認
Do we first test quantum-resistant algorithms in non-production environments?	量子耐性アルゴリズムをまず非本番環境でテストしているか？
Do we evaluate performance, interoperability and the security of quantum-resistant algorithms?	量子耐性アルゴリズムの性能、相互運用性、セキュリティを評価しているか？
Policy and compliance	ポリシーとコンプライアンス
Do we have updated cryptography policies that include post-quantum cryptography considerations?	ポスト量子暗号を考慮した更新された暗号ポリシーがあるか？
Do we comply with ASD’s post-quantum cryptography standards?	ASDの耐量子暗号標準に準拠しているか？
Do we track regulatory developments related to post-quantum cryptography?	ポスト量子暗号に関連する規制動向を追跡しているか？

---

● Australian Institute of Company Directors

・[PDF] Cyber security priorities for boards in 2025-26 

---

● Australian Institute of Company Directors

・2024.11.25 Cyber Security Governance Principles | Version 2

Cyber Security Governance Principles | Version 2	サイバーセキュリティガバナンス原則｜バージョン2
Version 2 reflects developments in cyber security governance and emerging cyber threats since the Principles initial release in 2022.	バージョン2は、2022年の原則初版発表以降、サイバーセキュリティガバナンスの進展と新たなサイバー脅威を反映している。
Cyber threats are a critical risk for organisations of all sizes. With digital driven strategies, evolving regulation, and increasingly sophisticated cybercrime, cyber security remains a top board priority.	サイバー脅威は、あらゆる規模の組織にとって重大なリスクである。デジタル主導の戦略、進化する規制、高度化するサイバー犯罪により、サイバーセキュリティは引き続き取締役会の最優先課題だ。
Since 2022, the AICD and CSCRC’s Cyber Security Governance Principles (Principles) have set the standard for cyber governance in Australia. They offer a framework for better practice, enhanced resilience, and proactive board oversight.	2022年以降、AICD（オーストラリア会社取締役協会）とCSCRC（サイバーセキュリティ規制・協力センター）の「サイバーセキュリティガバナンス原則」（原則）は、オーストラリアにおけるサイバーガバナンスの標準を定めてきた。これらは、より良い実践、レジリエンスの強化、そして取締役会による積極的な監督のための枠組みを提供する。
This Version 2 covers emerging issues such as digital supply chain risks, data governance and effective cyber incident response and recovery. The Principles feature case studies from corporate leaders including former Telstra CEO, Andy Penn AO and Ventia Services Group Chair, David Moffatt MAICD, along with insights from recent major cyber security incidents. To support directors, the Principles provide practical tools, including tailored questions, governance red flags, and checklists for NFPs and SMEs, helping boards strengthen cyber resilience, improve risk controls, and oversee supplier relationships effectively.	このバージョン2は、デジタルサプライチェーンリスク、データガバナンス、効果的なサイバーインシデント対応と復旧といった新たな課題を取り上げている。原則には、元テルストラCEOアンディ・ペンAOやベンティア・サービス・グループ会長デイビッド・モファットMAICDら企業リーダーの事例研究に加え、最近の重大サイバーセキュリティインシデントからの知見が掲載されている。取締役を支援するため、原則では実践的なツールを提供している。これには、NFP（非営利法人）や中小企業向けの特化型質問、ガバナンス上の危険信号、チェックリストが含まれ、取締役会がサイバーレジリエンシーを強化し、リスク管理を改善し、サプライヤー関係を効果的に監督するのに役立つ。
Download the media release	プレスリリースをダウンロード
Watch the webinar recording	ウェビナー録画を視聴
Watch the expert panel discussion with David Moffatt MAICD, Victoria Weekes FAICD, Rachael Falk MAICD and Christian Gergis GAICD as they unpack the latest updates to the Cyber Security Governance Principles.	デイビッド・モファット MAICD、ビクトリア・ウィークス FAICD、レイチェル・フォーク MAICD、クリスチャン・ガーギス GAICDによる専門家パネルディスカッションを視聴し、サイバーセキュリティガバナンス原則の最新更新内容を解き明かす。
Video	ビデオ

・THE PRINCIPLES 

・SNAPSHOT OF THE PRINCIPLES 

A Concise Snapshot	簡潔な概要
Cyber Security Governance Principle	サイバーセキュリティガバナンス原則
PRINCIPLE 1: Set clear roles and responsibilities	原則1：明確な役割と責任を設定する
KEY POINTS	主なポイント
1. Defining clear roles and responsibilities is a foundational component of building effective cyber resilience	1. 明確な役割と責任の定義は、効果的なサイバーレジリエンス構築の基盤となる要素である
2. Comprehensive and clear board reporting, including engagement with management and updates on emerging trends, is a key mechanism by which a board can assess the resilience of the organisation	2. 経営陣との連携や新たな動向に関する更新情報を含む、包括的かつ明確な取締役会への報告は、取締役会が組織のレジリエンスを評価する主要な手段である
3. External experts can play a role in providing advice and assurance to directors and identify areas for improvement	3. 外部専門家は取締役への助言・保証提供や改善領域の識別において役割を果たし得る
GOVERNANCE RED FLAGS	ガバナンスの危険信号
1. Cyber risk and cyber strategy not featuring regularly on board agendas	1. サイバーリスクとサイバー戦略が取締役会議題に定期的に登場しない
2. Board not annually reviewing skills to ensure that directors have a minimum understanding of cyber security risk	2. 取締役がサイバーセキュリティリスクの最低限の理解を有していることを確認するための年次スキル見直しを実施していない
3. Board reporting on cyber risk is hard to digest and features excessive jargon with a reliance on technical solutions	3. サイバーリスクに関する取締役会報告が理解しにくく、専門用語が過剰で技術的解決策への依存が目立つ
4. Limited or no external review or assurance of cyber risk controls and strategy	4. サイバーリスク管理策と戦略に対する外部レビューや保証が限定的、あるいは存在しない
5. No clear lines of management responsibility for	5. サイバーリスク管理における明確な管理責任ラインが設定されていない
PRINCIPLE 2: Develop, implement and evolve a comprehensive cyber strategy	原則2：包括的なサイバー戦略を策定・実施・進化させる
KEY POINTS	重要ポイント
1. A cyber strategy, proactively overseen by the board, can be a business enabler by identifying opportunities for the organisation to build cyber resilience	1. 取締役会が積極的に監督するサイバー戦略は、組織のサイバーレジリエンス構築機会を特定することでビジネス推進要因となり得る
2. Identifying the key digital assets and data of an organisation, including who has access to these assets, is core to understanding and enhancing cyber capability	2. 組織の主要なデジタル資産とデータ、およびそれらへのアクセス権限者を識別することは、サイバー能力の理解と強化の核心である
3. A robust cyber strategy will account for the importance, and potential risks, associated with key third-party suppliers	3. 堅牢なサイバー戦略は、主要なサードパーティサプライヤーに関連する重要性と潜在リスクを考慮に入れる
GOVERNANCE RED FLAGS	ガバナンスの危険信号
1. Lack of formal documentation of the organisation’s approach to cyber security	1. 組織のサイバーセキュリティへの取り組みを正式に文書化していない
2. Limited understanding of the location of key digital assets and data, who has access and how they are protected	2. 主要なデジタル資産やデータの所在、アクセス権限者、防御方法に関する理解が不十分であること
3. The cyber strategy and risk controls are not subject to internal and external evaluation and periodic refinement relative to evolving threats	3. サイバー戦略とリスクマネジメント策が、進化する脅威に対して内部・外部評価や定期的な見直しを受けていないこと
4. Lack of data governance framework to guide how data is collected, held, protected and ultimately destroyed	4. データの収集・保管・防御・最終的な廃棄方法を規定するデータガバナンス枠組みが欠如していること
PRINCIPLE 3: Embed cyber security in existing risk management practices	原則3：既存のリスクマネジメント手法にサイバーセキュリティを組み込む
KEY POINTS	主なポイント
1. Cyber risk is still an operational risk that fits within an organisation’s existing approach to risk management	1. サイバーリスクは依然として運用リスクであり、組織の既存リスクマネジメントアプローチに組み込める
2. While cyber risk cannot be reduced to zero there are a number of accessible and low-cost controls that all organisations can utilise to mitigate the risk	2. サイバーリスクをゼロにすることは不可能だが、全ての組織がリスク緩和に活用できる、入手容易で低コストの管理策が複数存在する
3. The board should regularly assess the effectiveness of cyber controls to account for a changing threat environment, technological developments and the organisation’s capabilities	3. 取締役会は、変化する脅威環境、技術発展、組織の能力を考慮し、サイバー管理策の有効性を定期的に評価すべきである
GOVERNANCE RED FLAGS	ガバナンスの危険信号
1. Cyber risk and cyber strategy not reflected in existing risk management frameworks	1. 既存のリスクマネジメント枠組みにサイバーリスクとサイバー戦略が反映されていない
2. High management confidence that cyber risk controls are effective without regular external validation	2. 定期的な外部妥当性確認なしに、サイバーリスク管理策が有効であると経営陣が過信している
3. Over reliance on the cyber security controls of key service providers, such as cloud software providers	3. クラウドソフトウェアプロバイダなど主要サービス提供者のサイバーセキュリティ管理策への過度の依存
4. Cyber security controls and processes of potential vendors are not assessed in the procurement process for key goods and services 5. Prolonged vacancies in key cyber management roles	4. 主要な物品・サービスの調達プロセスにおいて、潜在的なベンダーのサイバーセキュリティ管理策とプロセスが評価されていない5. 主要なサイバー管理職の長期空席
PRINCIPLE 4: Promote a culture of cyber resilience	原則4：サイバーレジリエンスの文化を促進する
KEY POINTS	重要ポイント
1. A truly cyber resilient culture begins at the board and must flow through the organisation and extend to key suppliers	1. 真のサイバーレジリエント文化は取締役会から始まり、組織全体に浸透し主要サプライヤーにまで拡大される必要がある
2. Regular, engaging and relevant training is a key tool to promote a cyber resilient culture, including specific training for directors	2. 定期的かつ参加型で関連性の高い研修は、取締役向けの特定研修を含め、サイバーレジリエント文化を促進する重要な手段である
3. Incentivise and promote strong cyber security practices, including participating in phishing testing and penetration exercises	3. フィッシングテストやペネトレーションテストへの参加を含む、強固なサイバーセキュリティ実践を奨励・推進する
GOVERNANCE RED FLAGS	ガバナンスの危険信号
1. Board and executives do not undertake cyber security education nor participate in testing	1. 取締役会と経営陣がサイバーセキュリティ教育を受けず、テストにも参加しない
2. Cyber security is not reflected in the role statements and KPIs of key leaders	2. 主要リーダーの職務記述書やKPIにサイバーセキュリティが反映されていない
3. Communication from leaders does not reinforce the importance of cyber resilience to staff (cyber is seen as an issue only for frontline staff to manage)	3. リーダーからのコミュニケーションが従業員へのサイバーレジリエンシー重要性を強化していない（サイバーは現場スタッフのみが管理すべき問題と見なされている）
4. There is a culture of ‘exceptions’ or workarounds for board and management with respect to cyber hygiene and resilience	4. 取締役会と管理職に対して、サイバー衛生とレジリエンシーに関して「例外」や回避策の文化が存在する
PRINCIPLE 5: Plan for a significant cyber security incident	原則5：重大なサイバーセキュリティインシデントへの計画
KEY POINTS	重要ポイント
1. Directors and management should proactively plan for a significant cyber incident	1. 取締役と管理職は重大なサイバーインシデントに備え、積極的に計画を立てるべきである
2. Simulation exercises and scenario testing are key tools for the board and senior management to understand and refine roles and responsibilities	2. シミュレーション演習とシナリオテストは、取締役会と上級管理職が役割と責任を理解し、改善するための重要なツールである
3. A clear and transparent approach to communications with key stakeholders in a significant cyber incident is critical in mitigating reputational damage and allowing for an effective recovery	3. 重大なサイバーインシデント発生時、主要な利害関係者とのコミュニケーションにおいて明確かつ透明性のあるアプローチは、評判の毀損の緩和および効果的な復旧を可能にする上で極めて重要である
GOVERNANCE RED FLAGS	ガバナンスの危険信号
1. The board and senior staff have not undertaken scenario testing or incident simulations to test the Response Plan	1. 取締役会と上級管理職が、対応計画を検証するためのシナリオテストやインシデントシミュレーションを実施していない
2. Likely scenarios and consequences are undocumented with lessons from simulations not being captured	2. 想定されるシナリオと結果が文書化されておらず、シミュレーションからの教訓も記録されていない
3. It is not clear how communications with key stakeholders will be managed in the event of an incident	3. インシデント発生時に主要ステークホルダーとのコミュニケーションをどう管理するかが不明確である
4. No post incident review with board and management	4. 取締役会と経営陣による事後検証が行われていない
Top 10 director questions	取締役が問うべきトップ10の質問
Roles and responsibilities	役割と責任
1. Does the board understand cyber risks well enough to oversee and challenge?	1. 取締役会はサイバーリスクを十分に理解し、監督と検証を行っているか？
2. Who has primary responsibility for cyber security in our management team?	2. 経営陣の中でサイバーセキュリティの主たる責任者は誰か？
Cyber strategy	サイバー戦略
3. Do we understand our current cyber security capability and have a plan to enhance this capability?	3. 現在のサイバーセキュリティ能力を理解し、これを強化する計画はあるか？
4. How does our approach to enhancing cyber security support our broader organisational strategy and strategic initiatives?	4. サイバーセキュリティ強化への取り組みは、組織全体の戦略や戦略的イニシアチブをどう支援するか？
Cyber security risk management	サイバーセキュリティリスクマネジメント
5. Where, and with whom, are our key digital assets and data located?	5. 主要なデジタル資産とデータは、どこに、誰と共有されているか？
6. How regularly does management present to the board or risk committee on the effectiveness of cyber risk controls?	6. 経営陣は、サイバーリスク管理の有効性について、どの程度の頻度で取締役会またはリスク委員会に報告しているか？
Cyber resilient culture	サイバーレジリエントな文化
7. Is cyber security training mandatory across the organisation and is it differentiated by area or role?	7. サイバーセキュリティ研修は組織全体で義務化されているか？また、部署や役職によって差別化されているか？
8. Does the board and senior management reinforce the importance of cyber security and collective responsibility?	8. 取締役会と上級管理職は、サイバーセキュリティの重要性と集団的責任を強調しているか？
Cyber incident planning	サイバーインシデント計画
9. Do we have a cyber incident response plan, including a comprehensive communications strategy, informed by simulation exercises and testing?	9. シミュレーション演習やテストに基づく包括的なコミュニケーション戦略を含む、サイバーインシデント対応計画は存在するのか？
10. Can we access external support if necessary to assist with a significant cyber security incident?	10. 重大なサイバーセキュリティインシデント発生時に、必要に応じて外部支援を利用できるのか？

・SME and NFP Director Checklist 

・2024.02.28 Governing Through a Cyber Crisis - Cyber Incident Response and Recovery for Australian Directors

Governing Through a Cyber Crisis - Cyber Incident Response and Recovery for Australian Directors	サイバー危機を乗り切るガバナンス - オーストラリアの取締役のためのサイバーインシデント対応と復旧
Governing Through a Cyber Crisis provides a framework of better practice guidance to assist Australian directors to navigate critical cyber incidents at their organisations. The guidance was developed by the AICD in partnership with the Cyber Security Cooperative Research Centre (CSCRC) and Ashurst.	「サイバー危機を乗り切るガバナンス」は、オーストラリアの取締役が組織で発生した重大なサイバーインシデントに対処するための、より優れた実践ガイダンスの枠組みを提供する。このガイダンスは、AICD がサイバーセキュリティ共同研究センター（CSCRC）およびアッシュアストと提携して作成したものである。
In recent years Australia has seen a wave of prominent cyber security incidents. These incidents have resulted in significant disruption to business operations, the loss of customer data and damage to organisational reputation. The decision making of the board has also been publicly scrutinised.	近年、オーストラリアでは、顕著なサイバーセキュリティインシデントが相次いで発生している。これらのインシデントは、事業運営の大幅な混乱、顧客データの損失、組織の評判の低下をもたらしている。取締役会の意思決定も公に精査されている。
The guidance assists boards and directors with overseeing the effective response and recovery from a material cyber incident and emerge on the other side with a more cyber resilient organisation.	このガイダンスは、取締役会および取締役が、重大なサイバーインシデントに対する効果的な対応と復旧を監督し、よりサイバーレジリエントな組織として再生するのに役立つ。
The resource expands on existing guidance in the AICD CSCRC Cyber Security Governance Principles and has been informed by insight from senior Australian directors, cyber security advisors and government.	このリソースは、AICD CSCRC サイバーセキュリティガバナンス原則の既存のガイダンスを拡張したものであり、オーストラリアの上級取締役、サイバーセキュリティアドバイザー、政府からの知見が反映されている。
The accompanying Snapshot includes a checklist of practical steps for SME and NFP directors in responding to a critical cyber incident. The AICD, CSCRC and Ashurst are committed to updating the guidance as the cyber security threat and regulatory landscape evolves.	付属のスナップショットには、中小企業および非営利団体の取締役が重大なサイバーインシデントに対応するための実践的な手順のチェックリストが含まれている。AICD、CSCRC、アッシュアストは、サイバーセキュリティの脅威や規制環境の変化に応じて、このガイダンスの更新に取り組んでいる。
Download the media release	プレスリリースをダウンロード

・THE PUBLICATION 

・THE SNAPSHOT

日本、米国、韓国、中国の首脳の会談 (2025.10.24-11.04)

こんにちは、丸山満彦です。

日米首脳会談を皮切りに、ASEANでの非公式も含めた（米中を含む）首脳会談、先日の中露の会談等、慌ただしかったので...

日米ではいろいろな約束がされていますね...外務省のPDFで確認できます...

最後にロシアの首相が中国を訪問していたようですのでそれも(^^)

---

日米韓

● White House

・2025.10.29 The United States Signs Technology Prosperity Deals with Japan and Korea

The United States Signs Technology Prosperity Deals with Japan and Korea	米国は日本と韓国と技術繁栄協定に調印
As part of President Trump’s trip to Asia, the United States signed Technology Prosperity Deals (TPD) with Japan and Korea, expanding, strengthening, and focusing science and technology collaboration with key allies. Building on the success of the U.S.-United Kingdom TPD signed in September 2025, these bilateral agreements further enable U.S. engagement with Japan and Korea’s unique science and technology ecosystems to align regulatory and standards approaches, accelerate research and development, and strengthen national security.	トランプ大統領のアジア訪問の一環として、米国は日本と韓国と技術繁栄協定（TPD）を締結した。これにより主要同盟国との科学技術協力が拡大・強化・重点化される。2025年9月に締結された米英TPDの成功を踏まえ、これらの二国間協定は、米国が日本と韓国の独自の科学技術エコシステムと連携し、規制や標準のアプローチを調整し、研究開発を加速させ、国家安全保障を強化することをさらに可能にする。
“The Trump Administration is redefining American technological leadership by driving bilateral collaborative partnerships with allies like Japan and Korea. Each Technology Prosperity Deal offers great opportunities to accelerate scientific discovery and lead the world into a new era of innovation driven by the US and our partners,” said Michael Kratsios, Assistant to the President and Director of the White House Office of Science and Technology Policy.	「トランプ政権は日本や韓国といった同盟国との二国間協力関係を推進することで、米国の技術的リーダーシップを再定義している。各技術繁栄協定は科学的発見を加速させ、米国とパートナー国が主導する新たなイノベーション時代へ世界を導く絶好の機会を提供する」と、大統領補佐官兼ホワイトハウス米国科学技術政策局局長マイケル・クラツィオスは述べた。
The U.S.-Japan Technology Prosperity Deal, signed by Director Kratsios and Japanese Minister of State for Science and Technology Policy Onoda Kimi, will deepen cooperation to drive breakthroughs in AI, quantum computing, biotechnology, space, 6G, and fusion energy.	クラツィオス局長と小野田公美科学技術政策担当国務大臣が署名した日米技術繁栄協定は、AI、量子コンピューティング、バイオテクノロジー、宇宙、6G、核融合エネルギーにおけるブレークスルーを推進するため協力を深化させる。
・The U.S.-Japan TPD will advance American interests through coordinated U.S.-Japanese AI exports. This will strengthen technology protections and refocus the partnership between the U.S. Center for AI Standards and Innovation and the Japan AI Safety Institute on metrology and standards innovation.	・日米技術繁栄協定は、日米協調によるAI輸出を通じて米国の利益を推進する。これにより技術保護が強化され、米国AI標準・イノベーションセンターと日本AI安全機構の連携が計量学と標準化イノベーションに再焦点化される。
・The U.S.-Japan TPD also advances joint efforts to secure the innovation ecosystem, with particular focus on research security, resilient biotechnology and pharmaceutical supply chains, and protection of quantum technologies.	・日米技術政策対話（TPD）はまた、研究セキュリティ、強靭なバイオテクノロジー・医薬品サプライチェーン、量子技術の保護に特に焦点を当て、イノベーション・エコシステムの安全確保に向けた共同努力を推進する。
・The U.S.-Japan TPD advances strategic interests of the United States in space, 6G, and fusion technologies with a critical ally in the region.	・日米技術政策対話（TPD）は、この地域の重要な同盟国と共に、宇宙、6G、核融合技術における米国の戦略的利益を推進する。
・・Space: This collaboration recognizes and expands Japan’s commitment to the Artemis program, including future lunar surface exploration missions and development of commercial space capabilities.	・・宇宙分野：本協力は、将来の月面探査ミッションや商業宇宙能力の開発を含むアルテミス計画への日本の取り組みを認識し、拡大するものである。
・・6G: This partnership enables both countries to promote secure and trusted networks.	・・6G：本パートナーシップにより、両国は安全で信頼性の高いネットワークの推進が可能となる。
・・Fusion: This partnership advances American collaboration with Japan’s unique fusion energy facilities, including the JT-60SA tokamak, with goals to support continued development of commercial fusion reactors.	・・核融合：本パートナーシップは、JT-60SAトカマクを含む日本の独自の核融合エネルギー施設との米国の協力を推進し、商業用核融合炉の継続的な開発を支援することを目的とする。
The U.S.-Republic of Korea Technology Prosperity Deal was signed by Director Kratsios and Korean Minister of Science, Information, and Communication Technology Bae Kyung-hoon to affirm the commitment of the two nations to science and technology collaboration.	米韓技術繁栄協定は、クラチオス局長と韓国の裵慶勲（ペ・ギョンフン）科学技術情報通信部長官によって署名され、両国の科学技術協力へのコミットメントを確約した。
・The U.S. will work with Korean counterparts to reduce operational burdens for technology companies and digital application platforms, with particular attention to removing barriers to innovative data hosting architectures.	・米国は韓国の担当機関と連携し、技術企業やデジタルアプリケーションプラットフォームの運用負担軽減に取り組む。特に革新的なデータホスティングアーキテクチャへの障壁除去に注力する。
・The U.S.-Korea TPD will advance American interests with coordinated U.S.-Republic of Korea AI exports, strengthening both countries’ technology protections and enforcement, and refocusing the partnership between the U.S. Center for AI Standards and Innovation and the Korea AI Safety Institute on metrology and standards innovation.	・米韓TPDは、米国と韓国の協調的なAI輸出管理を通じて米国の利益を推進し、両国の技術保護と執行を強化する。また、米国AI標準・イノベーションセンターと韓国AI安全研究所の連携を、計量学と標準イノベーションに再焦点化する。
・The U.S.-Korea TPD also advances combined efforts to secure the innovation ecosystem, with particular focus on research security, resilient biotechnology and pharmaceutical supply chains, and protecting quantum technologies.	・米韓技術・政策対話（TPD）はまた、研究セキュリティ、強靭なバイオテクノロジー・医薬品サプライチェーン、量子技術の保護に特に焦点を当て、イノベーション・エコシステムの安全確保に向けた共同努力を推進する。
・The U.S.-Korea TPD advances strategic interests of the U.S. in space exploration and 6G telecommunications, working to partner with Korea as a critical ally in the region.	・米韓技術・政策対話（TPD）は、宇宙探査と6G通信における米国の戦略的利益を推進し、地域における重要な同盟国として韓国との連携を図る。
・The two nations also agreed to engage in discussions to promote AI education programs, to empower children to flourish in the digital era and prepare future generations for the workplace of tomorrow. These will include participation in the Fostering the Future Together global initiative established by First Lady Melania Trump.	・両国はまた、デジタル時代において子供たちが活躍し、次世代が未来の職場に備えられるよう、AI教育プログラムを推進するための協議を行うことに合意した。これにはメラニア・トランプ大統領夫人が設立した「共に未来を育む」グローバル・イニシアチブへの参加も含まれる。

● 外務省

・2025.10.29 日米韓外相会合

---

日米

● 首相官邸

・2025.10.28 トランプ米国大統領の訪日についての会見

・2025.10.28 日米首脳会談

・2025.10.24 トランプ米国大統領との電話会談についての会見

● 外務省

・2025.10.28 日米首脳会談、署名式、ワーキング・ランチ

• 合意の実施　–日米同盟の新たな黄金時代に向けて–（英文（PDF）／和文（仮訳）（PDF））
• 採掘及び加工を通じた重要鉱物及びレアアースの供給確保のための日米枠組み（英文（PDF）／和文（仮訳）（PDF））
• 日本国政府とアメリカ合衆国政府との間の造船についての協力に関する覚書
• 日米間の技術繁栄ディールについての協力に関する覚書
• 日米間の投資に関する共同ファクトシート（英文（PDF）／和文仮訳（PDF））

---

● White House

・2025.10.29 Fact Sheet: President Donald J. Trump Drives Forward Billions in Investments from Japan

・2025.10.28 Memorandum of Cooperation Regarding the Technology Prosperity Deal Between the Government of the United States of America and the Government of Japan

・2025.10.27 Implementation of the Agreement Toward a NEW GOLDEN AGE for the U.S.-Japan Alliance

・2025.10.27 United States-Japan Framework For Securing the Supply of Critical Minerals and Rare Earths through Mining and Processing

---

米韓

・2025.10.29 Fact Sheet: President Donald J. Trump Brings Home More Billion Dollar Deals During State Visit to the Republic of Korea

Fact Sheet: President Donald J. Trump Brings Home More Billion Dollar Deals During State Visit to the Republic of Korea	ファクトシート：ドナルド・J・トランプ大統領、大韓民国公式訪問でさらに数十億ドル規模の契約を獲得
SECURING BILLIONS IN EXPORTS AND INVESTMENTS:  Today,President Donald J. Trump completed the final stop of his historic Indo-Pacific trip, securing billions in landmark deals while visiting the Republic of Korea (ROK), including initiatives to support American jobs, further America’s energy dominance, promote American leadership in the technology revolution, and build our maritime partnership.	輸出・投資で数十億ドルを確保：本日、ドナルド・J・トランプ大統領は歴史的なインド太平洋訪問の最終地である大韓民国（ROK）を訪問し、米国雇用支援、エネルギー優位性の強化、技術革命における米国主導の促進、海上パートナーシップ構築を含む画期的な数十億ドル規模の契約を確保した。
・Korean Air will purchase 103 new Boeing aircraft valued at $36.2 billion, supporting up to 135,000 jobs across the United States.  To power these new aircraft, Korean Air will also purchase state-of-the-art GE Aerospace engines in a separate deal valued at $13.7 billion.	・大韓航空は362億ドル相当のボーイング社製新型機103機を購入し、米国で最大13万5千人の雇用を支える。これらの新型機を推進するため、大韓航空は別途137億ドル相当の契約でGEエアロスペース社の最新鋭エンジンも購入する。
・The ROK Air Force selected L3Harris Technologies to develop its new Airborne Warning and Control aircraft in a $2.3 billion deal that will support over 6,000 American jobs.	・韓国空軍は新型空中警戒管制機（AWACS）の開発をL3ハリス・テクノロジーズに委託した。契約額は23億ドルで、6,000人以上の米国雇用を支える。
・America’s ReElement Technologies and POSCO International will partner to launch a U.S.-based, vertically integrated rare earth separation, refining, and magnet production complex focused on high-value mobility magnets.	・米国のリエレメント・テクノロジーズとPOSCOインターナショナルは提携し、米国に垂直統合型の希土類分離・精製・磁石生産複合施設を設立する。高付加価値のモビリティ磁石に特化する。
FURTHERING AMERICA’S ENERGY DOMINANCE:  The President secured key investments further solidifying the United States’ position as the global energy leader.	米国のエネルギー優位性の強化：大統領は、米国が世界のエネルギーリーダーとしての地位をさらに固めるための重要な投資を確保した。
・The Korea Gas Corporation signed agreements to purchase about 3.3 million tons/year of U.S. LNG via long-term agreements with sellers, including Trafigura and TotalEnergy, through their portfolios and offtake agreements with U.S. LNG producers like Cheniere.	・韓国ガス公社（KOGAS）は、トラフィグラやトタルエナジーなどの販売業者との長期契約、ならびにシェニエールなどの米国LNG生産者とのポートフォリオおよびオフテイク契約を通じて、年間約330万トンの米国産LNGを購入する契約に署名した。
・Centrus Energy Corp, KHNP, and POSCO International Corporation agreed to support the expansion of Centrus’ uranium enrichment capacity in Piketon, Ohio, creating 3,000 jobs in the United States.	・セントラス・エナジー社、韓国水力原子力（KHNP）、ポスコ・インターナショナル社は、オハイオ州ピケトンにおけるセントラスのウラン濃縮能力拡大を支援することで合意し、米国に3,000の雇用を創出する。
・LS Group pledged to invest $3 billion by 2030 in U.S. power-grid infrastructure, including undersea cables, power equipment, and winding wires.  LS Cable’s U.S. subsidiary, LS Greenlink, is building a $681 million manufacturing facility in Virginia.	・LSグループは、海底ケーブル、電力機器、巻線などを含む米国電力網インフラに2030年までに30億ドルを投資することを約束した。 LSケーブルの米国子会社であるLSグリーンリンクは、バージニア州に6億8100万ドルの製造施設を建設中だ。
PROMOTING AMERICA’S ADVANTAGE IN THE TECHNOLOGY REVOLUTION: The President strengthened America’s leading role in the digitized economy by boosting investments and jobs in, and access to, U.S. technology.	技術革命における米国の優位性を促進：大統領は、米国技術への投資・雇用創出・アクセス拡大を通じ、デジタル経済における米国の主導的役割を強化した。
・The United States and the ROK are signing a Technology Prosperity Deal to expand bilateral science and technology cooperation with an emphasis on U.S. AI exports, AI standards, AI adoption, research security, 6G, biotech supply chains, and quantum innovation.	・米国と韓国は「技術繁栄協定」に署名し、米国の人工知能（AI）輸出、AI標準、AI導入、研究セキュリティ、6G、バイオテクノロジー供給網、量子イノベーションに重点を置いた二国間科学技術協力を拡大する。
・Amazon will invest $5 billion through 2031 to build the ROK’s cloud infrastructure, helping drive U.S. exports and American AI leadership.  This comes on top of Amazon Web Services’ (AWS’) historic cloud-infrastructure investments across 14 APEC economies during the President’s term, totaling $40 billion.	・アマゾンは2031年までに50億ドルを投資し、韓国のクラウドインフラを構築する。これにより米国輸出と米国AI主導権の推進に貢献する。 これは、大統領任期中にアマゾン・ウェブ・サービス（AWS）がAPEC14経済圏で実施した総額400億ドルに上る歴史的なクラウドインフラ投資に追加されるものだ。
・NASA’s Artemis II mission will take astronauts around the Moon for the first time since Apollo, and deploy a Korean satellite to measure space radiation.	・NASAのアルテミスIIミッションは、アポロ計画以来初めて宇宙飛行士を月周回軌道に送り、宇宙放射線測定用の韓国衛星を展開する。
・Both countries committed to stabilize and diversify the critical-mineral supply chain through public-private collaboration in the mining and refining of such minerals.	・両国は、鉱物資源の採掘・精製における官民連携を通じ、重要鉱物サプライチェーンの安定化と多様化に取り組むことを約束した。
BUILDING OUR MARITIME PARTNERSHIP:  The President has secured from the ROK investments to modernize and expand the capacity of American shipbuilding industries, including through investments in U.S. shipyards and America’s workforce.	海事パートナーシップの構築：大統領は韓国から、米国造船業の近代化と能力拡大に向けた投資を確保した。これには米国造船所と労働力への投資が含まれる。
・HD Hyundai and Cerberus Capital Management will partner on a $5 billion investment program for modernizing American shipyards, strengthening supply chains, and applying new technologies like autonomous navigation, digitalization, and automation.	・HD現代とケルベロス・キャピタル・マネジメントは、米国造船所の近代化、サプライチェーン強化、自律航行・デジタル化・自動化などの新技術導入に向けた50億ドル規模の投資プログラムで提携する。
・Samsung Heavy Industries and Vigor Marine Group will cooperate on naval vessel maintenance, repair, and overhaul (MRO), shipyard automation, and new construction of U.S.-flagged vessels.	・サムスン重工業とヴィガー・マリン・グループは、海軍艦艇の整備・修理・オーバーホール（MRO）、造船所の自動化、米国籍船舶の新造で協力する。
・Hanwha Ocean announced a $5 billion infrastructure plan to strengthen Pennsylvania’s Philly Shipyard workforce and increase its current production capacity by more than ten-fold.	・韓華オーシャンは、ペンシルベニア州フィリー造船所の労働力を強化し、現在の生産能力を10倍以上拡大する50億ドルのインフラ計画を発表した。
REESTABLISHING AMERICAN LEADERSHIP: President Trump’s State Visit to Korea reaffirmed the steadfast alliance between the United States and the ROK, while advancing U.S. economic interests—delivering tangible benefits for the American people.	米国のリーダーシップ再確立：トランプ大統領の韓国公式訪問は、米国と韓国の揺るぎない同盟関係を再確認すると同時に、米国の経済的利益を推進し、米国国民に具体的な利益をもたらした。
・This capstone stop on President Trump’s Asia travels underscored America’s prominent role as the preeminent Pacific power.	・トランプ大統領のアジア歴訪におけるこの集大成的な訪問は、米国が太平洋における卓越した大国としての主導的役割を担っていることを強調した。
・Today’s announcements build on the historic trade victories and infrastructure commitments the President secured while in Japan and Malaysia, bringing billions in investments and thousands of jobs home to America.	・本日の発表は、大統領が日本とマレーシア訪問中に確保した歴史的な貿易上の成果とインフラ投資の約束を基盤としており、数十億ドル規模の投資と数千の雇用を米国にもたらすものである。

---

日韓

● 首相官邸

・2025.10.30 日韓首脳会談についての会見

● 外務省

・2025.10.30 日韓首脳会談

---

米中

・2025.11.01 Fact Sheet: President Donald J. Trump Strikes Deal on Economic and Trade Relations with China

Fact Sheet: President Donald J. Trump Strikes Deal on Economic and Trade Relations with China	ファクトシート：ドナルド・J・トランプ大統領、中国との経済・貿易関係で合意
REBALANCING TRADE WITH CHINA: This week in the Republic of Korea, President Donald J. Trump reached a trade and economic deal with President Xi Jinping of China—a massive victory that safeguards U.S. economic strength and national security while putting American workers, farmers, and families first.	中国との貿易再調整：今週、大韓民国においてドナルド・J・トランプ大統領は中国の習近平国家主席と貿易・経済合意に達した。これは米国の経済的強さと国家安全保障を守りつつ、米国の労働者、農家、家族を最優先する画期的な勝利である。
・This historic agreement includes Chinese commitments to:	・この歴史的合意には、中国による以下の約束が含まれる：
・・Halt the flow of precursors used to make fentanyl into the United States.	・・フェンタニル製造の前駆物質の米国流入を停止する。
・・Effectively eliminate China’s current and proposed export controls on rare earth elements and other critical minerals.	・・希土類元素及びその他の重要鉱物に対する中国の現行及び提案中の輸出管理を実質的に撤廃する。
・・End Chinese retaliation against U.S. semiconductor manufacturers and other major U.S. companies.	・・米国の半導体製造事業者及びその他の主要米国企業に対する中国の報復措置を終了する。
・・Open China’s market to U.S. soybeans and other agricultural exports.	・・中国市場を米国産大豆及びその他の農産物輸出に開放する。
CHINESE ACTIONS:	中国の措置：
China will suspend the global implementation of the expansive new export controls on rare earths and related measures that it announced on October 9, 2025.	中国は、2025年10月9日に発表した希土類に関する新たな広範な輸出管理及び関連措置の全世界的な実施を停止する。
China will issue general licenses valid for exports of rare earths, gallium, germanium, antimony, and graphite for the benefit of U.S. end users and their suppliers around the world. The general license means the de facto removal of controls China imposed in April 2025 and October 2022.	中国は、米国の最終ユーザー及び世界中のその供給業者を対象に、希土類、ガリウム、ゲルマニウム、アンチモン、グラファイトの輸出を許可する一般輸出許可証を発行する。この一般輸出許可は、中国が2025年4月と2022年10月に課した規制を事実上撤廃することを意味する。
China will take significant measures to end the flow of fentanyl to the United States. Specifically, China will stop the shipment of certain designated chemicals to North America and strictly control exports of certain other chemicals to all destinations in the world.	中国はフェンタニルの米国流入を阻止するため、重大な措置を講じる。具体的には、特定化学物質の北米向け出荷を停止し、その他特定化学物質の全世界向け輸出を厳格に管理する。
China will suspend all of the retaliatory tariffs that it has announced since March 4, 2025.  This includes tariffs on a vast swath of U.S. agricultural products: chicken, wheat, corn, cotton, sorghum, soybeans, pork, beef, aquatic products, fruits, vegetables, and dairy products.	中国は2025年3月4日以降に発表した全ての報復関税を停止する。これには鶏肉、小麦、トウモロコシ、綿花、ソルガム、大豆、豚肉、牛肉、水産物、果物、野菜、乳製品など広範な米国農産物への関税が含まれる。
China will suspend or remove all of the retaliatory non-tariff countermeasures taken against the United States since March 4, 2025, including China’s listing of certain American companies on its end user and unreliable entity lists.	中国は2025年3月4日以降に米国に対して実施した報復的非関税措置を全て停止または撤廃する。これには中国が特定の米国企業をエンドユーザーリスト及び信頼できない事業体リストに掲載した措置も含まれる。
China will purchase at least 12 million metric tons (MMT) of U.S. soybeans during the last two months of 2025 and also purchase at least 25 MMT of U.S. soybeans in each of 2026, 2027, and 2028.  Additionally, China will resume purchases of U.S. sorghum and hardwood logs.	中国は2025年最後の2か月間に少なくとも1200万トン（MMT）の米国産大豆を購入し、さらに2026年、2027年、2028年の各年にも少なくとも2500万トンの米国産大豆を購入する。加えて、中国は米国産ソルガム及び広葉樹原木の購入を再開する。
China will take appropriate measures to ensure the resumption of trade from Nexperia’s facilities in China, allowing production of critical legacy chips to flow to the rest of the world.	中国はNexperiaの中国国内施設からの貿易再開を確保するため適切な措置を講じ、重要レガシーチップの生産が世界へ供給されるようにする。
China will remove measures it took in retaliation for the U.S.’s announcement of a Section 301 investigation on China’s Targeting the Maritime, Logistics, and Shipbuilding Sectors for Dominance, and remove sanctions imposed on various shipping entities.	中国は、米国の「中国の海事・物流・造船分野における支配的地位獲得」に関する301条調査発表への報復措置を撤廃し、各種海運事業体への制裁を解除する。
China will further extend the expiration of its market-based tariff exclusion process for imports from the United States and exclusions will remain valid until December 31, 2026.	中国は米国からの輸入事業者に対する市場ベースの関税除外措置の期限をさらに延長し、除外措置は2026年12月31日まで有効とする。
China will terminate its various investigations targeting U.S. companies in the semiconductor supply chain, including its antitrust, anti-monopoly, and anti-dumping  investigations.	中国は半導体サプライチェーンにおける米国企業を対象とした各種調査（独占禁止法、反独占法、ダンピング防止法に基づく調査を含む）を終了する。
AMERICAN ACTIONS:	米国措置：
The United States will lower the tariffs on Chinese imports imposed to curb fentanyl flows by removing 10 percentage points of the cumulative rate, effective November 10, 2025, and will maintain its suspension of heightened reciprocal tariffs on Chinese imports until November 10, 2026.  (The current 10% reciprocal tariff will remain in effect during this suspension period.)	米国はフェンタニルの流入抑制を目的として課した中国輸入品への関税を、2025年11月10日より累積税率を10％ポイント引き下げる。また中国輸入品に対する強化された報復関税の停止措置を2026年11月10日まで維持する（現行の10％報復関税はこの停止期間中も有効である）。
The United States will further extend the expiration of certain Section 301 tariff exclusions, currently due to expire on November 29, 2025, until November 10, 2026.	米国は、現行で2025年11月29日に期限切れとなる特定セクション301関税除外措置の有効期限を、2026年11月10日までさらに延長する。
The United States will suspend for one year, starting on November 10, 2025, the implementation of the interim final rule titled Expansion of End-User Controls to Cover Affiliates of Certain Listed Entities.	米国は、2025年11月10日より1年間、「特定指定事業体の関連会社を対象とするエンドユーザー管理の拡大」と題する暫定最終規則の実施を停止する。
The United States will suspend for one year, starting on November 10, 2025, implementation of the responsive actions taken pursuant to the Section 301 investigation on China’s Targeting the Maritime, Logistics, and Shipbuilding Sectors for Dominance.  In the meantime, the United States will negotiate with China pursuant to Section 301 while continuing its historic cooperation with the Republic of Korea and Japan on revitalizing American shipbuilding.	米国は、中国の「海事・物流・造船分野における支配的地位の確立」に関するセクション301調査に基づく対応措置の実施を、2025年11月10日から1年間停止する。その間、米国はセクション301に基づき中国と交渉を行う一方、大韓民国及び日本との歴史的協力を継続し、米国造船業の活性化を図る。
SECURING ANOTHER WIN FOR THE AMERICAN PEOPLE: This trade and economic deal caps President Trump’s successful trip to Asia, where he delivered a series of historic wins for the American people.	米国国民へのさらなる勝利の確保：この貿易・経済協定は、トランプ大統領のアジア訪問を締めくくるものであり、同大統領は一連の歴史的な成果を米国国民にもたらした。
In Malaysia, President Trump signed Agreements on Reciprocal Trade with Malaysia and Cambodia, and the United States announced joint frameworks for trade negotiations with Thailand and Vietnam. He also signed critical minerals cooperation agreements with Thailand and Malaysia.	マレーシアでは、トランプ大統領はマレーシア及びカンボジアとの相互貿易協定に署名し、米国はタイ及びベトナムとの貿易交渉に関する共同枠組みを発表した。また、タイ及びマレーシアとの重要鉱物協力協定にも署名した。
In Japan, President Trump announced major projects advancing Japan’s previous $550 billion investment commitment to the United States to further revitalize the U.S. industrial base, signed a landmark critical minerals agreement with Japan, secured historic purchases of U.S. energy from Japan, and deepened U.S.-Japan cooperation to combat illegal drug trafficking.	日本では、トランプ大統領は米国産業基盤をさらに活性化させるため、日本が以前約束した5500億ドルの対米投資を推進する主要プロジェクトを発表し、日本との画期的な重要鉱物協定に署名し、日本による米国産エネルギーの歴史的な購入を確保し、違法薬物取引対策における日米協力を深化させた。
In the Republic of Korea, the President secured billions in landmark commitments, including investments to support American jobs, further America’s energy dominance, promote American leadership in the technology revolution, and build the U.S.-Korea maritime partnership.	大韓民国では、大統領は数十億ドル規模の画期的な約束を確保した。これには米国雇用支援投資、米国のエネルギー優位性強化、技術革命における米国主導の促進、日米海洋パートナーシップ構築が含まれる。

● 中華人民共和国

・2025.10.30 习近平同美国总统特朗普在釜山举行会晤

习近平同美国总统特朗普在釜山举行会晤	習近平国家主席とトランプ米大統領が釜山で会談
新华社韩国釜山10月30日电（记者 李忠发、郝薇薇）当地时间10月30日，国家主席习近平在釜山同美国总统特朗普举行会晤。	韓国・釜山、10月30日（新華社）― 記者、李中発、郝薇薇 ― 現地時間10月30日、習近平国家主席は釜山でドナルド・トランプ米大統領と会談した。
习近平指出，中美关系在我们共同引领下，保持总体稳定。两国做伙伴、做朋友，这是历史的启示，也是现实的需要。两国国情不同，难免有一些分歧，作为世界前两大经济体，时而也会有摩擦，这很正常。面对风浪和挑战，两国元首作为掌舵人，应当把握好方向、驾驭住大局，让中美关系这艘大船平稳前行。我愿继续同特朗普总统一道，为中美关系打下一个稳固的基础，也为两国各自发展营造良好的环境。	習主席は、我々の共同の指導の下、米中関係は全体として安定を保っている、と述べた。両国は、歴史が要求し、現実が求める通り、パートナーであり友人であるべきだ。両国は国情が異なるため、多少の意見の相違は避けられない。世界最大の2つの経済大国として、時折摩擦が生じることも当然である。嵐や課題に直面した際、両国首脳は舵取り役として、方向性を定め、全体的な状況を把握し、米中関係の着実な進展を確保すべきである。私は、トランプ大統領と引き続き協力し、米中関係の強固な基盤を築き、両国の発展に有利な環境を整えていきたい。
习近平强调，中国经济发展势头不错，今年前三季度增长率达5.2%，对全球的货物贸易进出口增长4%，这是克服内外困难实现的，来之不易。中国经济是一片大海，规模、韧性、潜力都比较大，我们有信心也有能力应对各种风险挑战。中共二十届四中全会审议通过了未来5年的国民经济和社会发展规划建议。70多年来，我们坚持一张蓝图绘到底，一茬接着一茬干，从来没有想挑战谁、取代谁，而是集中精力办好自己的事，做更好的自己，同世界各国分享发展机遇。这是中国成功的重要密码。中国将进一步全面深化改革、扩大对外开放，着力推动经济实现质的有效提升和量的合理增长，推进人的全面发展和全体人民共同富裕，相信这也将为中美合作开辟更广阔空间。	習主席は、中国の経済発展は堅調な勢いを維持しており、今年第1～3四半期の成長率は5.2％、世界の商品貿易の輸入事業者および輸出入は4％増加したと強調した。これらの成果は、内外の困難にもかかわらず達成されたものであり、苦労して得たものである。中国経済は海のようなもので、その規模、レジリエンス、潜在力は非常に大きい。我々は様々なリスクや課題に対処する自信と能力を持っている。中国共産党第20期中央委員会第4回全体会議では、今後5年間の国家経済社会発展計画の提案が審議、採択された。70年以上にわたり、我々は一貫した青写真を堅持し、世代が互いにその努力を積み重ねてきた。我々は決して他国に挑戦したり置き換えたりしようとしたことはない。むしろ自らの内政に専念し、より良い自分を目指すことに注力し、発展の機会を全ての国々と共有してきた。これが中国の成功の鍵である。中国は全面的な改革をさらに深化させ、開放を拡大し、経済の質的改善と量的成長の合理化を図り、個人の全面的な発展と人民全体の共同繁栄を推進する。これにより米中協力のより広い空間が開かれると確信している。
习近平指出，两国经贸团队就重要经贸问题深入交换意见，形成了解决问题的共识。双方团队要尽快细化和敲定后续工作，将共识维护好、落实好，以实实在在的成果，给中美两国和世界经济吃下一颗“定心丸”。中美经贸关系近期经历曲折，也给双方带来一些启示。经贸应该继续成为中美关系的压舱石和推进器，而不是绊脚石和冲突点。双方应该算大账，多看合作带来的长远利益，而不应陷入相互报复的恶性循环。双方团队可以继续本着平等、尊重、互惠的原则谈下去，不断压缩问题清单，拉长合作清单。	習近平は、両国の経済貿易チームが主要な経済貿易問題について深く議論し、懸案事項の解決で合意に達したと指摘した。両チームは速やかにフォローアップの手配を具体化し、この合意を守り実行に移すことで、両国と世界経済に確かな成果をもたらすべきだ。最近の米中経済貿易関係の紆余曲折は双方に教訓を与えた。経済貿易関係は二国間関係の安定化要因であり推進力であるべきで、障害や対立点であってはならない。双方は大局に目を向け、報復の悪循環に陥るより協力の長期的な利益を優先すべきだ。交渉チームは、平等、相互尊重、互恵の原則に基づいて議論を続け、協力の範囲を拡大しながら、問題リストを着実に減らしていくことができる。
习近平强调，对话比对抗好。中美之间各渠道各层级应该保持沟通，增进了解。两国在打击非法移民和电信诈骗、反洗钱、人工智能、应对传染疾病等领域合作前景良好，对口部门应该加强对话交流，开展互利合作。中美在地区和国际舞台也应该良性互动。当今世界还有很多难题，中国和美国可以共同展现大国担当，携手多办一些有利于两国和世界的大事、实事、好事。明年，中国将担任亚太经合组织东道主，美国将主办二十国集团峰会。双方可以相互支持，争取两场峰会都取得积极成果，为促进世界经济增长、完善全球经济治理作出贡献。	習近平氏は、対立よりも対話が望ましいと強調した。相互理解を深めるため、中国と米国のあらゆるレベルでのコミュニケーションチャネルと対話を維持すべきである。不法移民や通信詐欺の取り締まり、マネーロンダリング対策、人工知能、感染症対応などの分野では、協力の見通しが明るい。関連部門は、相互に有益な協力関係を追求するため、対話と交流を強化すべきである。また、中国と米国は、地域および国際的な舞台でも建設的に関わるべきである。今日、世界は多くの課題に直面しており、両国は、両国および国際社会にとって重要かつ実用的で有益な取り組みを共同で推進することにより、大国としての責任を果たすことができる。来年、中国はアジア太平洋経済協力（APEC）首脳会議を、米国はG20サミットを主催する。双方は、これらの会議が良好な成果を上げるよう相互に支援し、それによって世界経済の成長と国際経済ガバナンスの改善に貢献することができる。
特朗普表示，很荣幸同习近平主席会面。中国是伟大国家，习主席是受人尊敬的伟大领导人，也是我多年的好朋友，我们相处非常愉快。美中关系一直很好，将来会更好，希望中国和美国的未来都更加美好。中国是美国最大的伙伴，两国携手可以在世界上做成很多大事，未来美中合作会取得更大成就。中国将举办2026年亚太经合组织领导人非正式会议，美国将举办二十国集团峰会，乐见双方取得成功。	トランプ氏は、習近平国家主席と会談できたことを光栄に思うと述べた。中国は偉大な国であり、習主席は尊敬される偉大な指導者であると同時に、長年の良き友人でもある。我々は非常に良好な関係を築いている。米中関係は常に良好であり、今後もさらに良くなるだろう。中国と米国双方のより明るい未来を願っている。中国は米国にとって最大のパートナーであり、両国は協力することで世界において大きな成果を上げることができる。今後の米中協力は、さらに大きな成功を収めるだろう。中国は2026年のAPEC非公式首脳会議を、米国はG20サミットを主催する。両会議の成功を期待している。
两国元首同意加强双方在经贸、能源等领域合作，促进人文交流。	両首脳は、貿易、経済、エネルギーなどの分野における二国間協力を強化し、人的交流を促進することで合意した。
两国元首同意保持经常性交往。特朗普期待明年早些时候访华，邀请习近平主席访问美国。	両首脳は、定期的な交流を維持することで合意した。トランプ大統領は、来年早々に中国を訪問することを期待しており、習近平国家主席に米国訪問の招待状を贈った。
蔡奇、王毅、何立峰等参加会见。	蔡奇、王毅、何立峰らが会談に同席した。

---

日中

● 首相官邸

・2025.10.31 日中首脳会談についての会見

● 外務省

・2025.10.31 日中首脳会談

● 中華人民共和国

・2025.10.31 习近平会见日本首相高市早苗

习近平会见日本首相高市早苗	習近平主席が日本の高市早苗首相と会談
新华社韩国庆州10月31日电（记者乔继红 马卓言）当地时间10月31日下午，国家主席习近平在韩国庆州出席亚太经合组织第三十二次领导人非正式会议期间应约会见日本首相高市早苗。	新華社通信、韓国・慶州、10月31日（記者・喬吉宏、馬卓彦）現地時間10月31日午後、韓国・慶州で開催された第32回APEC非公式首脳会議に出席中の習近平国家主席は、日本の高市早苗首相の要請に応じ、同首相と会談した。
习近平指出，中日两国一衣带水，互为重要近邻，推动中日关系长期健康稳定发展符合两国人民和国际社会普遍期待。中方愿同日方一道，按照中日四个政治文件确立的原则和方向，维护双边关系政治基础，推进战略互惠关系，致力于构建契合新时代要求的建设性、稳定的中日关系。	習近平主席は、中国と日本は狭い海を隔てた隣国であり、両国関係の長期的な健全かつ安定した発展を促進することは、両国国民と国際社会の共通の願いに合致すると指摘した。中国は日本と共に、日中四つの政治文書で確立された原則と方向性に基づき、二国間関係の政治的基盤を守り、戦略的互恵関係を推進し、新時代の要求に合致する建設的で安定した日中関係を築くよう努力する意思がある。
习近平强调，目前中日关系机遇和挑战并存。希望日本新内阁树立正确对华认知，珍视两国老一辈政治家和各界人士为发展中日关系倾注的心血和努力，坚持中日和平、友好、合作的大方向。一是恪守重要共识。把“全面推进战略互惠关系”、“互为合作伙伴、互不构成威胁”、“以史为鉴、面向未来”等政治共识落到实处。恪守和履行中日四个政治文件就历史、台湾等重大原则问题作出的明确规定，确保中日关系根基不受损、不动摇。“村山谈话”深刻反省日本侵略历史并向受害国道歉，这一精神值得弘扬。二是坚持合作共赢。中共二十届四中全会擘画了“十五五”中国发展蓝图，中日合作具有广阔空间。中日可以加强高端制造、数字经济、绿色发展、财政金融、医疗养老、第三方市场等方面合作，共同维护多边贸易体制和产业链供应链稳定畅通。三是促进民心相通。持续开展政府、政党、立法机构等沟通，深化拓展人文和地方交流，改善国民感情。四是加强多边协作。秉持睦邻友好、平等互利、互不干涉内政原则，践行真正的多边主义，推动构建亚太共同体。五是妥善管控分歧。着眼大局、求同存异、聚同化异，避免让矛盾分歧定义两国关系。	習近平は、現在の日中関係には機会と課題が共存していると強調した。日本の新内閣が中国に対する正しい認識を持ち、両国の先代の政治家や各界の人物が二国間関係の発展に注いだ献身と努力を大切にし、日中平和友好協力の基本路線を堅持することを期待すると述べた。第一に、重要な合意を堅持することが不可欠である。「戦略的互恵関係を全面的に推進する」「互いにパートナーであり脅威とならない」「歴史の教訓を汲み取り未来を見据える」という政治的合意を実践に移さねばならない。歴史や台湾問題といった重大な原則問題に関する四つの日中政治文書に明記された規定を堅持し、実行に移さねばならない。これにより日中関係の基盤が損なわれず、揺るがないようにするのだ。日本の侵略の歴史を深く反省し、被害国に謝罪した「村田声明」は、推進に値する精神を体現している。第二に、ウィンウィンの協力を堅持しなければならない。中国共産党第20期中央委員会第4回全体会議は第15次五カ年計画期間における中国の発展の道筋を示し、日中協力に広大な展望を開いた。両国はハイエンド製造事業者、デジタル経済、グリーン発展、金融・銀行、医療・介護、サードパーティ市場での協力を強化しつつ、多角的貿易体制を共同で守り、産業・供給チェーンの安定と円滑な運営を確保できる。第三に、人的交流を育むことだ。政府間、政党間、立法団体間のコミュニケーションを継続的に強化し、人的交流や地方交流を深化・拡大させ、国民の感情を改善すべきだ。第四に、多国間協力を強化すべきだ。善隣友好、平等、互恵、内政不干渉の原則を堅持し、真の多国間主義を実践し、アジア太平洋共同体の構築を推進すべきだ。第五に、相違点を適切に管理すべきだ。大局に目を向け、共通点を探りながら相違点を保留し、矛盾や相違が二国間関係を定義づけることを避けるべきだ。
高市早苗表示，中国是日本的重要邻国，日中两国对地区和世界和平与繁荣负有重大责任。日方愿同中方保持高层交往，密切各层级交流，加强沟通、增进理解、促进合作，扎实推进两国战略互惠关系，构建建设性、稳定的日中关系。在台湾问题上，日本将坚持1972年日中联合声明中的立场。	高市早苗氏は、中国は日本にとって重要な隣国であり、両国は地域及び世界の平和と繁栄に対して重大な責任を負っていると述べた。日本は中国とのハイレベル交流を維持し、あらゆるレベルでのコミュニケーションを強化し、相互理解を深め、協力を推進し、両国間の戦略的互恵関係を着実に前進させ、建設的で安定した日中関係を構築していく意思がある。台湾問題に関しては、日本は1972年の日中国家関係正常化共同声明で表明した立場を堅持する。
蔡奇、王毅等参加。	蔡奇氏、王毅氏も同席した。

---

中韓

● 中華人民共和国

・2025.11.01 习近平同韩国总统李在明会谈

习近平同韩国总统李在明会谈	習近平主席、韓国の李在明大統領と会談
新华社韩国庆州11月1日电（记者 杜白羽、董雪）当地时间11月1日下午，韩国总统李在明同中国国家主席习近平在庆州博物馆举行会谈。	新華社通信、韓国・慶州、11月1日（記者・杜白宇、董雪）現地時間11月1日午後、韓国の李在明（イ・ジェミョン）大統領は慶州博物館で中国の習近平国家主席と会談した。
11月的庆州，秋意正浓。习近平乘车抵达，韩国礼仪队隆重欢迎。	11月の慶州は秋の美しさに包まれていた。習主席の車列が到着すると、韓国の儀仗兵が厳かに迎えた。
李在明热情迎接习近平。两国元首握手合影。	李大統領は習主席を温かく迎えた。両首脳は握手を交わし、記念撮影に応じた。
习近平同李在明登上检阅台。军乐团奏中韩两国国歌。习近平在李在明陪同下检阅仪仗队。两国元首分别同对方陪同人员握手致意。	習主席と李大統領は観閲台に上がった。軍楽隊が中国と韓国の国家を演奏した。李大統領に付き添われて、習近平主席は儀仗兵を閲兵した。その後、両首脳はそれぞれの随行員と握手を交わした。
欢迎仪式后，两国元首举行会谈。	歓迎式典の後、両首脳は会談を行った。
习近平指出，中韩是搬不走的重要近邻，也是分不开的合作伙伴。建交33年来，两国超越社会制度和意识形态差异，积极推进各领域交流合作，实现了相互成就、共同繁荣。事实证明，推动中韩关系健康稳定发展，始终是符合两国人民根本利益、顺应时代潮流的正确选择。中方重视中韩关系，对韩政策保持连续性、稳定性，愿同韩方加强沟通，深化合作，拓展共同利益，携手应对挑战，推动中韩战略合作伙伴关系行稳致远，为地区和平与发展提供更多正能量。	習近平は、中国と韓国は動かしようのない重要な隣国であり、切っても切れないパートナーであると指摘した。国交樹立から33年、両国は社会制度や思想の相違を超え、各分野での交流と協力を積極的に推進し、互いの成功と繁栄を共に実現してきた。事実が証明しているように、韓国と中国の関係を健全かつ安定的に発展させることは常に正しい選択であり、両国民の根本的利益にかなうと同時に、時代の流れにも合致している。中国は韓国との関係を重視し、対韓政策の継続性と安定性を維持している。中国は韓国とのコミュニケーションを強化し、協力を深化させ、共通利益を拡大し、共に課題に取り組み、中韓戦略的パートナーシップを着実な進展と長期的な発展へと導き、地域の平和と発展にさらなる積極的なエネルギーを注入していく意思がある。
习近平就开辟中韩关系新局面提出4点建议。	習近平は韓国関係に新たな章を開くため四つの提案を提示した。
一是加强战略沟通，夯实互信根基。从长远角度看待中韩关系，在彼此尊重中共同发展，在求同存异中合作共赢。尊重各自社会制度和发展道路，照顾彼此核心利益和重大关切，通过友好协商妥善处理矛盾分歧。用好两国之间的对话渠道和交流机制，为两国关系发展汇聚力量。	第一に、戦略的なコミュニケーションを強化し、相互信頼の基盤を固めること。韓国関係を長期的な視点で捉え、相互尊重による共通の発展を追求し、共通点を探り相違点を保留することでウィンウィンの協力を実現する。互いの社会制度と発展の道を尊重し、互いの核心的利益と重大な懸念事項に配慮し、友好的な協議を通じて矛盾や相違を適切に処理する。両国間の対話チャンネルと交流メカニズムを活用し、二国間関係の発展に力を結集する。
二是深化互利合作，拉紧利益纽带。成就邻居就是帮助自己。中方愿同韩方秉持互利共赢原则，加快推动中韩自由贸易协定第二阶段谈判，深挖人工智能、生物制药、绿色产业、银发经济等新兴领域合作潜力，推动经贸合作提质升级。中韩两国都重视打击网络赌博和电信诈骗，可以在双边和地区层面开展合作，更好维护两国民众生命财产安全。	第二に、互恵協力を深化させ、共通利益の絆を強化する。隣人を助けることは自らを助けることだ。中国は互恵・ウィンウィンの原則に基づき、韓国と共に韓中自由貿易協定第二段階の交渉を加速させる用意がある。人工知能、バイオ医薬品、グリーン産業、シルバー経済などの新興分野における協力の可能性を探り、経済貿易協力の質的向上を推進すべきだ。中国と韓国はともにオンライン賭博や通信詐欺対策に力を入れており、二国間及び地域レベルで協力し、国民の生命と財産の保護をより良く図ることができる。
三是提升国民感情，促进民心相通。对舆论和民意加强引导，多释放正面信息，抑制消极动向。开展健康有益的人文交流，增进相互理解，夯实民意基础。便利人员往来，活跃青少年、媒体、智库、地方等交往，促进两国人民心通意合，为中韩关系健康稳定发展营造良好氛围。	第三に、世論を向上させ、相互理解を深めなければならない。世論と国民感情への指導を強化し、より多くの前向きな情報を発信し、ネガティブな傾向を抑制すべきだ。健全で有益な人的交流を実施し、相互理解を深め、国民の支持基盤を固めるべきだ。人的交流を促進し、若者、メディア、シンクタンク、地方コミュニティ間の交流を活性化させ、両国民の心からの理解を促進し、中韓関係の健全かつ安定的な発展のための良好な雰囲気を醸成すべきだ。
四是密切多边协作，共促和平发展。中方祝贺韩方成功举办亚太经合组织领导人非正式会议，愿以接任亚太经合组织东道主为契机，同各方一道推进亚太自贸区进程和区域经济一体化，共建亚太共同体。中韩双方要共同践行真正的多边主义，维护多边贸易体制，推动国际治理朝着更加公正合理的方向发展。	第四に、多国間協力を強化し、共に平和的発展を推進すべきだ。中国は韓国がAPEC非公式首脳会議を成功裏に開催したことを祝賀し、韓国が今後のAPEC議長国としての役割を活用し、全ての関係国と共にアジア太平洋自由貿易圏の構築と地域経済統合を推進し、共にアジア太平洋共同体を築くことを期待する。中国と韓国は共に真の多国間主義を実践し、多国間貿易体制を守り、国際ガバナンスをより公平で合理的な方向へ導くべきだ。
习近平强调，中共二十届四中全会审议通过了“十五五”规划建议。中国经济基础稳、优势多、韧性强、潜能大，长期向好的支撑条件和基本趋势没有变，将坚定不移扩大高水平对外开放，同世界各国共享发展机遇。	習近平は、中国共産党第20期中央委員会第4回全体会議が第15次五カ年計画の提案を審議・採択したことを強調した。中国経済は堅固な基盤、複数の優位性、強いレジリエンス、膨大な潜在力を有している。持続的成長を支える基本的条件と長期的な好転傾向は変わっていない。中国は高水準の開放を断固として拡大し、全ての国々と発展の機会を分かち合う。
李在明表示，热烈欢迎习近平主席时隔11年再次对韩国进行国事访问，这次访问对韩中关系意义重大。韩中建交以来，各领域互利合作不断深入，有力推动各自经济发展。韩中是邻居，更是密不可分的伙伴。韩方高度重视对华关系，愿同中方共同努力，推动双边友好合作关系得到更大发展。双方要密切高层交往，增进政党、地方交流，妥善处理分歧。中国“十五五”规划明确了未来5年的经济发展方向和重点，韩方愿加强对华互利合作，维护产供链稳定，给两国人民带来更多福祉。韩方愿同中方密切人文交流，改善国民感情。韩方支持中方主办2026年亚太经合组织领导人非正式会议，愿同中方加强国际和地区事务的沟通和协调，共同促进地区和全球的和平发展。	李在明大統領は、11年ぶりの習近平国家主席の韓国公式訪問を温かく歓迎し、これが二国間関係にとって極めて重要だと述べた。国交樹立以来、韓国と中国は様々な分野で互恵協力を深化させ、両国の経済発展を効果的に推進してきた。韓国と中国は隣国であり、切っても切れないパートナーである。韓国側は中国との関係を非常に重視しており、中国と共に二国間の友好協力をさらに発展させることを望む。双方は緊密なハイレベル交流を維持し、政党間・地方間の交流を強化し、相違点を適切に処理すべきである。中国の第15次五カ年計画は今後5年間の経済発展の方向性と重点を明確に定めている。韓国側は中国との互恵協力を強化し、産業・サプライチェーンの安定を維持し、両国民により多くの利益をもたらすことを望む。韓国は中国との人的交流を強化し、市民間の友好関係を育むことを望む。我々は中国が2026年APEC非公式首脳会議を主催することを支持し、国際・地域問題に関する意思コミュニケーションと調整を強化し、地域及び世界の平和と発展を共に推進することを約束する。
会谈后，两国元首共同见证双方经贸、金融、农业、执法、科技等领域合作文本交换仪式。	会談後、両国家元首は貿易、金融、農業、法執行、科学技術などの分野における協力文書の交換を共同で立会した。
当晚，李在明同习近平小范围友好交流，并为习近平举行欢迎宴会。	同日夜、李大統領は習近平国家主席と小規模な親善交流を行い、歓迎晩餐会を主催した。
蔡奇、王毅等参加上述活动。	蔡奇と王毅は上記の行事に出席した。

---

中露

● 中華人民共和国

・2025.11.04 习近平会见俄罗斯总理米舒斯京

习近平会见俄罗斯总理米舒斯京	習近平、ロシアのミハイル・ミシュスティン首相と会談
新华社北京11月4日电（记者 孙奕）11月4日上午，国家主席习近平在北京人民大会堂会见俄罗斯总理米舒斯京。	新華社通信、北京、11月4日（記者：孫毅）11月4日の午前、習近平国家主席は北京の人民大会堂で、ロシアのミハイル・ミシュスティン首相と会談した。
习近平指出，今年以来，中俄关系锚定更高水平、更高质量发展目标，在风高浪急的外部环境中笃定前行。维护好、巩固好、发展好中俄关系，是双方的战略抉择。我同普京总统在莫斯科和北京两次会晤，就中俄关系中的战略性、全局性问题深入交流，作出新的谋划和部署。双方要保持密切协调，落实好我同普京总统达成的重要共识，着眼两国和两国人民的根本利益，把中俄合作的蛋糕做好，也为世界和平与发展作出新的更大贡献。	習主席は、今年初め以来、中露関係はより高いレベルと質の高い発展を達成するという目標に支えられ、激動する外部環境の中で着実に前進してきたと指摘した。中露関係の維持・強化・発展は双方の戦略的選択である。モスクワと北京でのプーチン大統領との二度の会談では、中露関係に関する戦略的・包括的課題について深く意見交換し、新たな計画と取り決めを策定した。双方は緊密に連携し、プーチン大統領と私が達成した重要な合意を実行に移すべきだ。両国と両国民の根本的利益に焦点を当て、中露協力のパイを拡大し、世界の平和と発展に新たなより大きな貢献をすべきだ。
习近平强调，双方要稳步扩大相互投资，开展好能源、互联互通、农业、航空航天等传统领域合作；挖掘人工智能、数字经济、绿色发展等新业态合作潜力，打造新的合作增长点；密切人文交流，让两国社会各界更多人士参与到中俄友好合作的事业中来。前不久，中共二十届四中全会审议通过“十五五”规划建议，对中国未来5年经济社会发展作出顶层设计和战略擘画。中国将全面推进中国式现代化，坚定不移推动经济社会高质量发展，扩大高水平对外开放。中方愿同俄方一道，推动中国“十五五”规划同俄罗斯经济社会发展战略更好对接，不断造福两国人民。	習近平は、双方が着実に相互投資を拡大し、エネルギー、インフラ、農業、宇宙などの伝統的分野での協力を効果的に推進すべきだと強調した。人工知能、デジタル経済、グリーン発展などの新興分野における協力の可能性を開拓し、協力の新たな成長点を創出すべきだ。文化交流を強化し、より多くの各界の人々が中露友好協力の大義に参加できるようにすべきだ。つい先日、中国共産党第20期中央委員会第4回全体会議は第15次五カ年計画の提案を審議・採択し、今後5年間の中国の経済社会発展のトップレベル設計と戦略的青写真を示した。中国は中国式現代化を全面的に推進し、高品質な経済社会発展を断固として推進し、高水準の開放を拡大する。中国はロシアと協力し、第15次五カ年計画をロシアの経済社会発展戦略とより良く整合させ、両国人民に継続的な利益をもたらす用意がある。
米舒斯京转达普京总统对习近平主席的亲切问候和良好祝愿。米舒斯京表示，祝贺中共二十届四中全会成功举行，相信中国一定会顺利实现“十五五”规划建议确定的目标，取得更大经济社会发展成就。两国元首今年两次会晤，对俄中关系发展作出战略规划，巩固了俄中全面战略协作伙伴关系。俄方愿同中方一道，落实两国元首达成的重要共识，深化经贸、科技、能源、农业、数字经济等领域合作，密切人文交流，加强多边协调配合，推动两国合作取得更多成果。	ミシュスチヌ首相はプーチン大統領からの温かい挨拶と習主席への祝福を伝えた。中国共産党第20期中央委員会第4回全体会議の成功裏の開催を祝賀し、中国が第15次五カ年計画の目標を成功裏に達成し、より大きな社会経済発展の成果を収めることに確信を示した。両国首脳は今年2度会談し、ロシア・中国関係の発展に向けた戦略的計画を策定し、両国の包括的戦略的協力パートナーシップを強化した。ロシアは中国と共に、両国首脳が達成した重要な合意を実行に移し、貿易・経済・科学技術・エネルギー・農業・デジタル経済などの分野での協力を深化させ、人的交流を強化し、多国間調整・協力を強化し、両国間のより実りある協力を推進していく意思がある。
王毅参加会见。	王毅が会談に同席した。

国家サイバー統括室 サイバーセキュリティ戦略（案）サイバーセキュリティ推進専門家会議第2回会合

こんにちは、丸山満彦です。

日本のサイバーセキュリティ戦略の最新は[PDF]2021年のものですが、その改訂が検討されていますが、2025年版？の案が公表されていますね...

2回目で案がでてきているということは、ほぼ既定路線？

米国の場合は、2023年のサイバーセキュリティ戦略は、2022年の国家安全保障戦略のサイバー領域での実施計画となっていますが、日本のサイバーセキュリティ戦略は単独なんですかね...

● 国家サイバー統括室 - サイバーセキュリティ推進専門家会議

・2025.10.30 第２回会合（令和７年10月30日）

・・[PDF] 資料１　新たなサイバーセキュリティ戦略（案）の概要 

・・[PDF] 資料２　サイバーセキュリティ戦略（案）

目次...

---

I.策定の趣旨・背景

II.本戦略における基本的な考え方

１.確保すべきサイバー空間の在り方及び基本原則

２.サイバー空間を取り巻く情勢認識及び今後の見通し
（１)厳しさを増す国際情勢と国家を背景としたサイバー脅威の増大
（２)社会全体のデジタル化の進展とサイバー脅威の増大
（３)AI、量子技術等の新たな技術革新とサイバーセキュリティに及ぼす影響

３.サイバー空間を取り巻く課題認識及び施策の方向性
（１)深刻化するサイバー脅威に対する防御・抑止
（２)幅広い主体による社会全体のサイバーセキュリティ及びレジリエンスの向上
（３)我が国のサイバー対応能力を支える人材・技術に係るエコシステム形成

III.目的達成のための施策

１.深刻化するサイバー脅威に対する防御・抑止
（１)国が要となる防御・抑止
（２)官民連携エコシステムの形成及び横断的な対策の強化
（３)国際連携の推進・強化

２.幅広い主体による社会全体のサイバーセキュリティ及びレジリエンスの向上
（１)政府機関等におけるサイバーセキュリティ対策の強化
（２)重要インフラ事業者・地方公共団体等におけるサイバーセキュリティ対策の強化
（３)ベンダー、中小企業等を含めたサプライチェーン全体のサイバーセキュリティ及びレジリエンスの確保
（４)全員参加によるサイバーセキュリティの向上
（５)サイバー犯罪への対策

３.我が国のサイバー対応能力を支える人材・技術に係るエコシステム形成
（１)効率的・効果的な人材の育成・確保
（２)新たな技術・サービスを生み出すためのエコシステムの形成
（３)先端技術に対する対応・取組

IV.本戦略の推進体制

---

官民連携...

---

（３） 我が国のサイバー対応能力を支える人材・技術に係るエコシステム形成

産学官を通じて、サイバーセキュリティ人材の確保・育成・裾野拡大にこれまで以上に注力していく。また、研究・開発から実装・運用まで、産学官の垣根を越えた協働による、国産技術・サービスを核とした、新たな技術・サービスを生み出すエコシステムを形成するとともに、AI や量子技術等の新たな技術革新がもたらすサイバーセキュリティ分野の変革に備え、対応していく。

これについても、関係する各主体の「自律性」「多様な主体の連携」とともに、これまで我が国でサイバーセキュリティ分野での人材・技術が十分育ってこなかったことに鑑み、国がより積極的な役割を果たしていく。

これら施策の実現には、官だけ、民だけ、一国だけで対応することには限界がある。官民連携・国際連携の下、広く国民・関係者の理解を得て、国が対策の要となり、官民一体で我が国のサイバーセキュリティ対策を推進していく。

これにより、厳しさを増すサイバー空間を巡る情勢に切れ目無く対応できる、世界最高水準の強靱さを持つ国家を目指す。

加えて、本戦略に基づき施策を推進するに当たっては、以下の点に留意する。

・我が国全体のサイバーセキュリティ確保のためには、政府機関・重要インフラ事業者等を標的にしたサイバー脅威に対するサイバー安全保障の観点に基づく対応から、個人や企業による主体的・自律的な対策、それを支援する取組に至るまで、切れ目のない取組が必要であり、これらは互いに補いあう関係にある。また、サイバー空間には国境がなく、サイバーセキュリティに係る内外の施策は有機的に連携し推進されるべきものである。本戦略では、これらの必要な施策を切れ目なく一体的・総合的に実施し、施策の実効性を高めることを目指す。

・生成 AI 技術の進展等に伴い、サイバー空間を利用した外国からの偽情報拡散を含む影響工作の脅威の増大が懸念される。この問題は、我が国の健全な民主主義の基盤に影響を及ぼす可能性とともに、サイバー攻撃と連動し展開されるおそれもある。こうした状況を踏まえ、当該問題に係る関係省庁は密接に連携しつつ、我が国のサイバーセキュリティ確保の観点から、本戦略に基づく適切かつ必要な対応を行う。

・これまで述べてきたようなサイバー空間における脅威の実態について、国民の認識と理解を得ることが必要である。国は、サイバー対処能力強化法等に基づく能動的な防御・抑止の措置を含め、国の対応・施策の推進に当たり、関係者と連携しつつ、広く国民の理解と協力を得るよう努めていく

---

国が対策の要となるのはよいが、官民と上下の関係ではない...ということは政府側が強く意識をした方が良いし、常にそう言い続けておくことが重要ですよね...

要というのは、扇子の骨を留める金具のことですから、バラバラにならないように留めることが重要。取りまとめ役、事務局な立場...

「国がより積極的な役割を果たしていく」≠「国が指示する」

「国がより積極的な役割を果たしていく」＝「国がプレイヤーとして役割を果たす」ということだと思うんですよね...書いている通り...

本当は多様な主体（マルチステークホルダー）をもっと強調してもよいかもですね...

人材育成について...

人材育成については、2003年の経済産業省の情報セキュリティ総合戦略の時から言われている話で（もちろん環境変化があるのは理解しつつも）、必要となる人材ができる限り適時に揃えられる体制（構造、システム）をつくることが重要（もちろん今必要な人材を供給するオペレーションも重要なのですが）ですよね...でないと、いつまでも、人材不足を言い続けながら対策が後手後手になる（サイバーセキュリティ対策が向上しないのを人材不足のせいにしていないか？？？という話もあるしね...）。

案では、

「① 人材フレームワークの整備と効果的な運用」を提案した上で、「② サイバーセキュリティ人材の育成に資する教育や演習・訓練の更なる充実 」を以下のように説明しています...

社会人になってから会社が教育するのではなく、学問としてちゃんとサイバーセキュリティを位置付けて、国として（各大学の自主的な努力ではなく）学生を生み出せるようにしていくことが重要なような気がします。昔からそう言ってきています...

---

② サイバーセキュリティ人材の育成に資する教育や演習・訓練の更なる充実

我が国では、依然として専門知識や実践スキルを備えたサイバーセキュリティ人材の不足が指摘されている。一方、官民において資格制度や研修・演習、学び直しの機会提供等の取組は進展しており、この潮流を加速させ、「質」と「量」の両面で人材の確保・育成を加速させることが重要である。

初等中等教育段階から高等教育、職業訓練、社会人の能力開発、高度専門人材の育成に至るまで、体系的かつ継続的な学びの環境整備が求められる中、基礎的素養（情報リテラシー）から高度な専門性まで段階的に習得できる場の整備を図り、産学官が連携を強化して実践的スキルや最新知見の学習機会を確保する。

具体的には、「数理・データサイエンス・AI 教育プログラム認定制度」を通じた大学や高等専門学校におけるサイバーセキュリティを含む数理・データサイエンス・AI 教育の強化や、「セキュリティ・キャンプ」等の若年層を対象とした高度な技術教育プログラムの推進を図る。若手技術者には、最先端のセキュリティ技術・製品開発に関するカリキュラムを提供し、応用力や実務スキルの習得を支援する。重要インフラ事業者等に向けては、「CYDER」、「CYROP 46」及び「中核人材育成プログラム」等の対処能力向上に資する実践的な演習や演習基盤の提供、トレーニングの機会等を促進し、多様な学びの場を体系的に整備・拡充して、対象者が段階的に活用できる環境を整える。専門的なセキュリティスキルを有していない人材についても、組織内外のセキュリティの専門家と協働する上で必要な知識を習得したプラス・セキュリティ人材 47となれるような学習機会の充実化を図る。また、国家資格である情報処理安全確保支援士については、資格更新時の負担軽減を図りつつ、中小企業のセキュリティ対策支援を含め、活用促進に向けた取組を進めることにより人数の拡大を目指す。さらに、実践的な課題解決能力を養成し次世代人材の早期発掘や国際的な人的ネットワーク形成にも資する CTF（Capture The Flag）について、人材育成上の効果も踏まえ活用する。

このような多様な学びの取組が、人材フレームワークを介して有機的に連携することで、学びの機会が継続的に提供され、それらを通じて得た知識・技能がキャリア形成や活躍の場につながるよう、各種教育・訓練制度を俯瞰しながら、不断の改善を進める。

---

ちなみに、人材フレームワークは昔からいわれつつ一向にできていないので、そろそろできるのでしょうね。これは非常に重要です。JNSAのSekBok（2021年版）[wikipedia]がありますが、(これをベースにでもよいのですが、)SP800-181 r1、NICE Framework homepage (web) のような（あるいはコピーでもよいかも...）より詳細なものを正式に決める必要があるように思います...

で、大学の教育カリキュラムからリンクできる形になればなおいいですね...

---

ちなみに現行バージョンのこの図、改めて見るとポイントをよく図示できているように思います...

・2021.09.28 [PDF] サイバーセキュリティ戦略（閣議決定）

・2021.09.28 [PDF] サイバーセキュリティ戦略（閣議決定）の概要

あと、海外のサイバーセキュリティ

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.09.22 NCO サイバーセキュリティ推進専門家会議

・2021.09.30 日本のサイバーセキュリティ戦略についての質問に対する中国政府スポークスマンの回答

・2021.09.28 NISC サイバーセキュリティ戦略本部 第31回会合 サイバーセキュリティ戦略確定 （予算からみるとサイバーセキュリティは経済発展というよりも安全保障？）

オーストラリア サイバー脅威年次報告 2024-2025

こんにちは、丸山満彦です。

オーストラリア信号局（Australian Signals Directorate）のサイバー脅威年次報告2024を公表していますね...

● Australian Signals Directorate: ASD

・2025.10.14 Australian Signals Directorate releases the Annual Cyber Threat Report 2024-25

Australian Signals Directorate releases the Annual Cyber Threat Report 2024-25	オーストラリア信号局が2024-25年度サイバー脅威年次報告書を発表
The Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC) has released its sixth Annual Cyber Threat Report (ACTR).	オーストラリア信号局傘下のオーストラリアサイバーセキュリティセンター（ASDのACSC）は、第6回サイバー脅威年次報告書（ACTR）を発表した。
Over the last financial year (2024–25), state-sponsored cyber actors were a serious and growing threat as they targeted networks operated by Australian governments, critical infrastructure and businesses for state goals. Cybercrime continues to challenge Australia’s economic and social prosperity, with ransomware attacks and data breaches increasing in frequency.	前会計年度（2024-25年度）において、国家が支援するサイバー攻撃者は深刻かつ増大する脅威であり、国家目標達成のためオーストラリア政府、重要インフラ、企業が運営するネットワークを標的とした。サイバー犯罪はランサムウェア攻撃やデータ侵害の頻度が増加し、オーストラリアの経済的・社会的繁栄に引き続き挑戦を突きつけている。
Cybercriminals are financially motivated actors and are willing to exploit any available opportunity for profit. The findings in this year’s report demonstrate all Australians must take action to avoid becoming the next victim.	サイバー犯罪者は金銭的動機を持つ者であり、利益を得るためならあらゆる機会を悪用する意思がある。本年報告書の調査結果は、全てのオーストラリア人が次の被害者とならないよう行動を起こす必要性を示している。
ASD’s ACSC urges businesses, organisations and network owners to take action by focusing on 4 key areas to bolster their cyber defences and prepare for future challenges:	ASD傘下のACSCは、企業・組織・ネットワーク所有者に対し、サイバー防御を強化し将来の課題に備えるため、以下の4つの重点分野に焦点を当てた行動を促す：
1. Implement best-practice logging.	1. ベストプラクティスに基づくログ記録の実施。
2. Replace legacy technology.	2. レガシー技術の刷新。
3. Manage third-party risk.	3. サードパーティリスクの管理。
4. Prepare for post-quantum cryptography.	4. ポスト量子暗号への準備。
Download the latest report for a full understanding of the current cyber threat environment. The report includes information on ASD’s cyber security guidance, services and uplift programs.	最新の報告書をダウンロードし、現在のサイバー脅威環境を完全に理解せよ。本報告書には、ASDのサイバーセキュリティガイダンス、サービス、強化プログラムに関する情報が含まれている。
You can also download the ACTR fact sheets for a summary of the key threats facing you and your business.	また、ACTRファクトシートをダウンロードすれば、貴社と貴社が直面する主要な脅威の概要を把握できる。

---

・2025.10.14 Annual Cyber Threat Report 2024-2025

ファイル...

報告書全文...

・[PDF] Annual Cyber Threat Report 2024-25

個人向けファクトシート

・[PDF] Annual Cyber Threat Report 2024-25 factsheet for individuals

企業向けファクトシート

・[PDF] Annual Cyber Threat Report 2024-25 factsheet for businesses and organisations

重要インフラ向けファクトシート

・[PDF] Annual Cyber Threat Report 2024-25 factsheet for critical infrastructure

---

報告書の目次...

Annual Cyber Threat Report 2024-2025	年次サイバー脅威報告書 2024-2025
Foreword	序文
About ASD’s ACSC	ASDのACSCについて
Executive summary	エグゼクティブサマリー
Year in review	年間レビュー
Chapter 1: Australian cyber threat landscape	第1章：オーストラリアのサイバー脅威状況
Chapter 2: Resilience	第2章：レジリエンス
About the contributors	寄稿者について
Notes	注記

副首相兼国防大臣の序文...

Foreword	序文
I am pleased to present the Annual Cyber Threat Report 2024–25.	2024-25年度サイバー脅威年次報告書を提出できることを光栄に思う。
The world continues to face complex strategic circumstances. Competition and military buildup in the Indo-Pacific, and ongoing global conflicts, are challenging Australia’s security and the global rules that have endured since World War II. In this uncertain environment, Australia's relationships with friends and allies are more critical than ever.	世界は依然として複雑な戦略的状況に直面している。インド太平洋地域における競争と軍事増強、そして継続する世界的な紛争は、オーストラリアの安全保障と第二次世界大戦以来持続してきた国際ルールに挑戦を突きつけている。この不確実な環境下で、オーストラリアの友好国・同盟国との関係はこれまで以上に重要である。
Over the past year, we have continued to see state-sponsored cyber actors targeting Australian networks to steal sensitive information.	過去1年間、国家が支援するサイバー攻撃者がオーストラリアのネットワークを標的にし、機密情報を窃取する事例が継続して確認された。
Australia joined multi-country advisories warning of the threat of state-sponsored actors targeting critical infrastructure for the purposes of positioning for potential disruptive attacks. One such advisory details how People’s Republic of China-affiliated threat actors targeted the networks of major global telecommunications providers to conduct a broad and significant cyber espionage campaign. Another details a Russian state-sponsored cyber campaign targeting Western logistics and technology businesses. I urge Australian businesses to review and apply the ASD and its partners’ technical advice to protect your networks.	オーストラリアは、国家が支援する攻撃者が重要インフラを標的にし、将来的な破壊的攻撃に向けた準備を行う脅威について警告する多国間勧告に加盟した。ある勧告では、中華人民共和国関連の脅威アクターが主要なグローバル通信事業者のネットワークを標的にし、広範かつ重大なサイバー諜報活動を展開した手法が詳述されている。別の事例では、ロシアが支援するサイバー作戦が欧米の物流・技術企業を標的とした。オーストラリア企業には、ASD及びそのパートナー機関の技術的助言を精査し適用し、自社のネットワークを保護するよう強く促す。
Cybercriminals also relentlessly targeted Australians, with ransomware attacks and data breaches increasing in frequency. Using malware designed to covertly harvest information from Australian victims, cybercriminals used stolen data, usernames and passwords to launch subsequent attacks, compromise corporate networks and accounts.	サイバー犯罪者もまた、ランサムウェア攻撃やデータ侵害の頻度を増す形で、執拗にオーストラリア人を標的にした。オーストラリアの被害者から密かに情報を収集するよう設計されたマルウェアを用い、サイバー犯罪者は盗んだデータ、ユーザー名、パスワードを利用して、さらなる攻撃を仕掛け、企業ネットワークやアカウントを侵害した。
The Australian Government continues to invest in the nation’s cyber capabilities through project REDSPICE, which doubles ASD’s size and ability to strike back against malicious cyber activity. In February 2025, the Australian Government imposed cyber sanctions on a Russian business and its employees for storing and facilitating the theft of millions of incredibly personal digital records posted by cybercriminals on the darkest corners of the internet. The sanctions were preceded and enabled by ASD's targeted offensive cyber activity, which disrupted criminal infrastructure used to host stolen personally identifiable information (PII) of millions of victims around the world.	オーストラリア政府はプロジェクトREDSPICEを通じ、国家のサイバー能力への投資を継続している。これによりASDの規模は倍増し、悪意あるサイバー活動への反撃能力が強化された。2025年2月、オーストラリア政府はロシア企業とその従業員に対しサイバー制裁を発動した。その理由は、サイバー犯罪者がインターネットの闇の隅々に投稿した数百万件の極めて個人的なデジタル記録を保管し、その窃取を助長したためである。この制裁は、ASDによる標的型攻撃的サイバー活動によって先行し、実現されたものである。同活動は、世界中の数百万の被害者から盗まれた個人識別情報（PII）をホストするために使用された犯罪インフラを破壊した。
This was the first time Australia imposed cyber sanctions on an entity responsible for providing the infrastructure facilitating cybercrime. It was made possible by ASD's hard work and delivered collaboration with domestic and international industry, intelligence and law-enforcement partners.	オーストラリアがサイバー犯罪を助長するインフラを提供した主体に対してサイバー制裁を課したのはこれが初めてである。これはASDの努力と、国内外の産業、情報機関、法執行機関との連携によって可能となった。
This report outlines the cyber threats the nation is facing. All Australians have a role in taking action to increase Australia’s cyber resilience.	本報告書は、国家が直面するサイバー脅威の概要を示す。全てのオーストラリア国民は、自国のサイバーレジリエンス強化に向けた行動において役割を担う。
The Hon Richard Marles, MP	リチャード・マールズ議員
Deputy Prime Minister and Minister for Defence	副首相兼国防大臣

エグゼクティブサマリー...

Executive summary	エグゼクティブサマリー
Australia is an early and substantial adopter of digital technology which drives public services, productivity and innovation. Our increasing dependency on digital and internet-connected technology means Australia remains an attractive target for criminal and state-sponsored cyber actors.	オーストラリアは公共サービス、生産性、イノベーションを推進するデジタル技術の早期かつ大規模な導入国である。デジタル技術及びインターネット接続技術への依存度が高まる中、オーストラリアは犯罪者や国家支援型サイバーアクターにとって魅力的な標的であり続けている。
In FY2024–25, ASD’s ACSC received over 42,500 calls to the Australian Cyber Security Hotline, a 16% increase from the previous year. ASD’s ACSC also responded to over 1,200 cyber security incidents, an 11% increase. During FY2024–25, ASD’s ACSC notified entities more than 1,700 times of potentially malicious cyber activity – an 83% increase from last year – highlighting the ongoing need for vigilance and action to mitigate against persistent threats.	2024-25会計年度、ASD傘下のACSCはオーストラリア・サイバーセキュリティ・ホットラインに42,500件以上の通報を受け付けた。これは前年度比16％の増加である。またACSCは1,200件以上のサイバーセキュリティインシデントに対応し、11％の増加となった。2024-25会計年度中、ASDのACSCは潜在的に悪意のあるサイバー活動を1,700回以上通知した。これは前年比83％の増加であり、持続的な脅威を軽減するための警戒と行動の継続的必要性を浮き彫りにしている。
State-sponsored cyber actors continue to pose a serious and growing threat to our nation. They target networks operated by Australian governments, critical infrastructure (CI) and businesses for state goals. State-sponsored cyber actors may also seek to use cyber operations to degrade and disrupt Australia’s critical services and undermine our ability to communicate at a time of strategic advantage.	国家が支援するサイバー攻撃者は、わが国に対し深刻かつ増大する脅威を与え続けている。彼らは国家目標達成のため、オーストラリア政府が運営するネットワーク、重要インフラ（CI）、企業を標的とする。国家支援のサイバー攻撃者は、戦略的優位性のある時期にオーストラリアの重要サービスを低下・混乱させ、通信能力を損なうため、サイバー作戦を利用しようとする可能性もある。
The threat from cybercrime also continues to challenge Australia’s economic and social prosperity, with average reported financial losses, the frequency of ransomware attacks and the number of reported data breaches all increasing throughout FY2024–25. Cybercriminals are continuing their aggressive campaign of credential theft, purchasing stolen usernames and passwords from the dark web to access personal email, social media or financial accounts.	サイバー犯罪の脅威も、オーストラリアの経済的・社会的繁栄への挑戦を続けている。2024-25会計年度を通じて、報告された平均金銭的損失額、ランサムウェア攻撃の頻度、報告されたデータ侵害件数はいずれも増加した。サイバー犯罪者は、ダークウェブから盗まれたユーザー名とパスワードを購入し、個人のメール、ソーシャルメディア、金融口座にアクセスするといった、積極的な認証情報窃取キャンペーンを継続している。
Malicious cyber actors are able to leverage vulnerabilities in the technology and security practices of individuals and businesses throughout the public and private sectors. Internet-facing vulnerabilities in edge devices are common, and they require network owners to rigorously monitor and configure securely. ‘Living off the land’ tradecraft has persevered, requiring an adjustment in the way network defenders prioritise understanding behavioural patterns of networks in order to detect the most sophisticated threats.	悪意のあるサイバー攻撃者は、公共部門と民間部門を問わず、個人や企業の技術・セキュリティ対策の脆弱性を悪用できる。エッジデバイスにおけるインターネット接続面の脆弱性は一般的であり、ネットワーク所有者は厳格な監視と安全な設定が求められる。「現地資源活用型」攻撃手法は根強く残っており、ネットワーク防御側は高度な脅威を検知するため、ネットワークの行動パターン理解を優先する手法の調整を迫られている。
The prevalence of artificial intelligence (AI) almost certainly enables malicious cyber actors to execute attacks on a larger scale and at a faster rate. The potential opportunities open to malicious cyber actors continue to grow in line with Australia’s increasing uptake of – and reliance on – internet-connected technology.	人工知能（AI）の普及は、悪意あるサイバー攻撃者がより大規模かつ高速な攻撃を実行することをほぼ確実に可能にしている。オーストラリアにおけるインターネット接続技術の普及と依存度の高まりに伴い、悪意あるサイバー攻撃者が利用可能な潜在的な機会は拡大し続けている。
CI is, and will continue to be, an attractive target for state-sponsored cyber actors, cybercriminals, and hacktivists, largely due to large sensitive data holdings and the critical services that support Australia’s economy. ASD’s ACSC notified CI entities of potential malicious cyber activity impacting their networks over 190 times in the last reporting period – up 111% from the previous year.	重要インフラ（CI）は、国家が支援するサイバーアクター、サイバー犯罪者、ハクティビストにとって、現在も将来も魅力的な標的である。その主な理由は、大量の機密データを保有し、オーストラリア経済を支える重要サービスを提供している点にある。ASD傘下のACSCは、前回の報告期間中にCI機関に対し、ネットワークに影響を与える可能性のある悪意あるサイバー活動について190回以上通知した。これは前年比111％の増加である。
The threat environment combined with our operational observations set out in this report underscores the need for all Australian individuals, private and public entities to take action to uplift our cyber resilience at every level. Every individual can uplift their cyber defences through basic actions. Use strong Multi-Factor Authentication (MFA) wherever possible, use strong and unique passwords or passphrases, keep software on devices updated, be alert for phishing messages and scams, and regularly back up important data. These basics have never been more important, and implementing these mitigations can prevent the majority of the cyber incidents reported to ASD’s ACSC.	本報告書で示した脅威環境と運用上の観察結果は、オーストラリアの個人、民間・公共機関の全てが、あらゆるレベルでサイバーレジリエンスを強化する行動を取る必要性を強調している。個人が基本的な対策で防御を強化できる。可能な限り強力な多要素認証（MFA）を利用し、強固で固有のパスワードやパスフレーズを使用し、端末のソフトウェアを常に更新し、フィッシングメッセージや詐欺に警戒し、重要なデータを定期的にバックアップすることだ。これらの基本対策はこれまで以上に重要であり、これらを実施することでASDのACSCに報告されるサイバーインシデントの大半を防げる。
Businesses should operate with a mindset of ‘assume compromise’ and prioritise the assets or ‘crown jewels’ that need the most protection. ASD recommends businesses and network owners focus on 4 ‘big moves’ to bolster their cyber defences and prepare for future challenges: implement best-practice logging, replace legacy IT, effectively manage third-party risk and prepare for post-quantum cryptography.	企業は「侵害を前提とする」姿勢で運営し、最も保護が必要な資産や「最重要資産」を優先すべきだ。ASDは企業とネットワーク所有者に対し、サイバー防御を強化し将来の課題に備えるため、4つの「大きな動き」に焦点を当てるよう推奨している：ベストプラクティスのログ記録を実施すること、レガシーITを置き換えること、サードパーティリスクを効果的に管理すること、ポスト量子暗号への準備をすることだ。
For those businesses also operating operational technology (OT), follow best-practice guidance for isolating vital OT and enabling systems, and have a plan for how to rebuild.	運用技術（OT）も扱う企業は、重要OTシステムの分離と稼働維持に関するベストプラクティスに従い、復旧計画を策定すべきだ。
For large organisations, ensuring technology used or provided to customers is secure-by-design and secure-by-default is critical for building modern networks that protect data and systems.	大規模組織にとって、顧客向け技術が設計段階から安全（secure-by-design）かつデフォルトで安全（secure-by-default）であることは、データとシステムを保護する現代的ネットワーク構築の要である。
The years ahead will bring challenges for organisations in emerging technology, such as post-quantum cryptography. ASD’s ACSC will continue to work with Australian industry and partner organisations to ensure the continued security of our communications and sensitive data. Effective transition plans will be critical to operating in 2030 and beyond – a post-quantum computing world – and this planning must start now.	今後数年は、ポスト量子暗号技術など新興技術が組織に課題をもたらすだろう。ASD傘下のACSCは、通信と機密データの継続的な安全確保に向け、オーストラリア産業界およびパートナー組織との協働を継続する。2030年以降、つまりポスト量子コンピューティング時代において運用を継続するには、効果的な移行計画が不可欠であり、その策定は今すぐ開始されねばならない。
Businesses must ensure that, in order to harness the full benefits and productivity associated with AI, a safe and secure approach is taken to the integration of AI technologies.	企業は、AIに関連する完全な利点と生産性を活用するため、AI技術の統合に安全かつセキュアなアプローチを取ることを保証しなければならない。
It remains critically important that organisations and individuals who observe suspicious cyber activity, incidents and vulnerabilities report to ReportCyber, or to the Australian Cyber Security Hotline 1300 CYBER1 (1300 292 371).	不審なサイバー活動、インシデント、脆弱性を観察した組織や個人は、ReportCyberまたはオーストラリアサイバーセキュリティホットライン1300 CYBER1（1300 292 371）へ報告することが極めて重要だ。

年間レビュ（確認した事実と実施した内容）

Year in review	年間レビュー
What ASD's ACSC saw	ASDのACSCが確認した内容
Answered over 42,500 calls to the Australian Cyber Security Hotline, up 16%	オーストラリアサイバーセキュリティホットラインへの応答件数は42,500件超（前年比16％増）
On average, 116 calls per day, an increase from 100 calls per day	1日平均116件の問い合わせ（前年比100件/日増）
Received over 84,700 cybercrime reports to ReportCyber, down 3%	ReportCyberへのサイバー犯罪報告件数：84,700件超（3％減）
On average a report every 6 minutes, consistent with last year	6分ごとに1件の報告（前年並み）
Average self-reported cost of cybercrime per report for individuals, up 8% ($33,000)	個人報告者1件あたりの平均被害額：8％増（33,000ドル）
Average self-reported cost of cybercrime per report for businesses, up 50% overall ($80,850)	企業向け報告1件あたりの自己申告被害額：全体で50％増（80,850ドル）
small business: $56,600 (up 14%)	小規模企業：56,600ドル（14％増）
medium business: $97,200 (up 55%)	中規模企業：97,200ドル（55％増）
large business: $202,700 (up 219%)	大規模企業：202,700ドル（219％増）
Publicly reported common vulnerabilities and exposures increased 28%	公表された共通脆弱性（CVE）は28％増加した
11% of all incidents responded to included ransomware, consistent with last year	対応した全インシデントの11％がランサムウェア関連で、前年と同水準
Responded to more than 200 incidents involving Denial of Service (DoS) or Distributed Denial of Service (DDoS), up more than 280% from last year	サービス拒否（DoS）または分散型サービス拒否（DDoS）攻撃を含むインシデント対応件数は200件超、前年比280％超増加
Identity fraud remained the top reported cybercrime, up 8%	身元詐欺は依然として最多のサイバー犯罪で、8％増加
What ASD's ACSC did	ASDのACSCが実施した内容
Responded to over 1,200 cyber security incidents, an 11% increase from last year	1,200件以上のサイバーセキュリティインシデントに対応、前年比11％増
Notified entities of potential malicious cyber activity more than 1,700 times, up 83%	潜在的な悪意あるサイバー活動について1,700回以上関係機関に通知、83％増
Australian Protective Domain Name System blocked customer access to 334 million malicious domains, up 307%	オーストラリア保護ドメインネームシステムが3億3,400万の悪意あるドメインへの顧客アクセスを遮断、307％増
Cyber Threat Intelligence Sharing (CTIS) partners grew by 13% to over 450 partners	サイバー脅威情報共有（CTIS）パートナーは13％増加し、450社以上に達した
In late 2024, CTIS transitioned to ASD’s new enhanced CTIS platform	2024年末、CTISはASDの新強化プラットフォームに移行した
To date, CTIS has shared over 2,984,000 indicators of compromise	現在までにCTISは2,984,000件以上の侵害指標を共有した
Cyber Hygiene Improvement Programs	サイバー衛生改善プログラム
Performed 478 high-priority operational taskings, up 31%	高優先度運用タスクを478件実施（31％増）
Distributed around 14,400 reports to approximately 3,900 organisations, up 125% and 95% respectively	約14,400件の報告書を約3,900組織に配布（それぞれ125％、95％増加）
Distributed around 11,000 Notifications of Indicators of Compromise to approximately 2,160 organisations	約11,000件の侵害指標通知を約2,160組織に配布
Government Uplift Program	政府支援プログラム
26 active Cyber Uplift Remediation Program engagements (commenced prior to 2024–25)	26件のサイバー強化修復プログラム契約を継続中（2024-25年度以前に開始）
4 Cyber Uplift Remediation Program engagements commenced (during the reporting period)	4件のサイバー強化修復プログラム契約を開始（報告期間中）
7 active Cyber Maturity Measurement Program engagements	7件のサイバー成熟度測定プログラム契約が進行中
Critical Infrastructure Uplift Program	重要インフラ強化プログラム
8 CI uplifts completed, covering 38 CI assets	8件の重要インフラ強化を完了、38の重要インフラ資産をカバー
4 CI uplift sprints completed, covering 5 CI assets	4回の重要インフラ強化スプリントを完了、5の重要インフラ資産をカバー
With a further 2 CI uplift sprints in progress	さらに2回の重要インフラ強化スプリントが進行中
7 Tech-To-Tech workshops held	7回の技術者向けワークショップを開催
Notified critical infrastructure entities of potential malicious cyber activity over 190 times, up 111%	重要インフラ事業体に対し、潜在的な悪意あるサイバー活動について190回以上通知（前年比111％増）
Published or updated 26 PROTECT publications, including guidance publications related to the Essential Eight Maturity Model and updates to the Information Security Manual	26のPROTECT出版物を発行または更新（必須8要素成熟度モデル関連ガイダンスや情報セキュリティマニュアルの更新を含む）
Published a combination of 108 alerts, advisories, knowledge articles and publications on both cyber.gov.au and the Partner Portal	cyber.gov.au及びパートナーポータルに合計108件のアラート・アドバイザリー・ナレッジ記事・出版物を掲載
ASD’s Cyber Security Partnership Program grew by 11% to over 133,000 partners	ASDのサイバーセキュリティ・パートナーシップ・プログラムは11％拡大し、133,000以上のパートナーを擁する
Led 17 cyber security exercises, involving over 120 organisations, to strengthen Australia’s resilience	オーストラリアのレジリエンス強化のため、120以上の組織が参加する17のサイバーセキュリティ演習を主導
Briefed board and executive leadership team representatives from 41% of the ASX100	ASX100企業の41％から取締役会および経営陣代表者へのブリーフィングを実施

---

過去分も含めて...

・2025.10.14 Annual Cyber Threat Report 2024-2025

・2024.11.20 Annual Cyber Threat Report 2023-2024

・2023.11.14 ASD Cyber Threat Report 2022-2023

・2022.11.04 ASD's ACSC Annual Cyber Threat Report, July 2021 to June 2022

・2021.09.15 ASD's ACSC Annual Cyber Threat report 2020-21

・2020.09.03 ASD's ACSC Annual Cyber Threat Report, July 2019 to June 2020

---

● まるちゃんの情報セキュリティ気まぐれ日記

結構もらしてますね...

・2022.11.09 オーストラリア ACSC 年次サイバー脅威報告書（2021年7月から2022年6月）

・2020.09.19 AU ACSC Annual Cyber Threat Report: July 2019 to June 2020

米国 NIST SP 800-227 鍵カプセル化メカニズムに関する推奨事項 (2025.09.18)

こんにちは、丸山満彦です。

NISTが、SP 800-227 鍵カプセル化メカニズムに関する推奨事項を公表していますね...

NIST SP 800-227は、公開チャネル上で安全に共有鍵を確立するための鍵カプセル化機構（KEM）に関する推奨事項をまとめた文書ですね...

次のようなことが推奨事項ですかね...

・NISTの耐量子暗号標準化プロセスで選定された鍵カプセル化メカニズム（KEM）を使用
・中間者攻撃を防ぐため、認証を組み込んだKEM（AKEM）の使用
・セキュアな鍵導出関数（KDF）を使った最終的な鍵の生成
・耐量子KEMを組み合わせる「ハイブリッドモード」を導入

● NIST - ITL

・2025.09.18 NIST SP 800-227 Recommendations for Key-Encapsulation Mechanisms

NIST SP 800-227 Recommendations for Key-Encapsulation Mechanisms	NIST SP 800-227 鍵カプセル化メカニズムに関する推奨事項
Abstract	要約
A key-encapsulation mechanism (KEM) is a set of algorithms that can be used by two parties under certain conditions to securely establish a shared secret key over a public channel. A shared secret key that is established using a KEM can then be used with symmetric-key cryptographic algorithms to perform essential tasks in secure communications, such as encryption and authentication. This document describes the basic definitions, properties, and applications of KEMs. It also provides recommendations for implementing and using KEMs in a secure manner.	鍵カプセル化メカニズム（KEM）とは、特定の条件下で二者が公開チャネルを介して共有秘密鍵を安全に確立するために使用できるアルゴリズムの集合である。KEMを用いて確立された共有秘密鍵は、対称鍵暗号アルゴリズムと共に使用され、暗号化や認証といった安全な通信における重要なタスクを実行するために用いられる。本文書は、KEMの基本的な定義、特性、および応用について記述する。また、安全な方法でKEMを実装し使用するための推奨事項を提供する。

・[PDF] NIST.SP.800-227

目次、図表...

1. Introduction	1. はじめに
1.1. Background	1.1. 背景
1.2. Scope and Purpose	1.2. 適用範囲と目的
1.3. Requirements	1.3. 要求事項
2. Overview of Key-Encapsulation Mechanisms	2. 鍵カプセル化メカニズムの概要
2.1. Overview and Motivation	2.1. 概要と動機
2.2. Basic Definitions and Examples	2.2. 基本定義と例
2.3. Theoretical Security of KEMs	2.3. KEMの理論的安全性
3. Requirements for Secure KEM Implementations	3. 安全なKEM実装の要件
3.1. Compliance With NIST Standards and Validation	3.1. NIST標準への準拠と検証
3.2. Managing Cryptographic Data	3.2. 暗号データの管理
3.3. Additional Requirements	3.3. 追加要件
4. Using KEMs Securely in Applications	4. アプリケーションにおけるKEMの安全な使用
4.1. How to Establish a Key With a KEM	4.1. KEMによる鍵の確立方法
4.2. Conditions for Using KEMs Securely	4.2. KEMを安全に使用するための条件
4.3. Post Processing of the Shared Secret Key	4.3. 共有秘密鍵の後処理
4.4. Key Confirmation	4.4. 鍵確認
4.4.1. Creating the MAC Data	4.4.1. MACデータの生成
4.4.2. Obtaining the Key-Confirmation Key	4.4.2. 鍵確認鍵の取得
4.4.3. Key-Confirmation Example	4.4.3. 鍵確認の例
4.5. Proof of Possession for KEM Keys	4.5. KEM鍵の所持証明
4.6. Multi-Algorithm KEMs and PQ/T Hybrids	4.6. 複数アルゴリズムKEMとPQ/Tハイブリッド
4.6.1. Constructing a Composite KEM	4.6.1. 複合KEMの構築
4.6.2. Approved Key Combiners	4.6.2. 承認済み鍵コンバイナ
4.6.3. Security Considerations for Composite Schemes	4.6.3. 複合スキームのセキュリティ上の考慮事項
5. Examples	5. 例
5.1. Examples of KEMs	5.1. KEMの例
5.1.1. A KEM From Diffie-Hellman	5.1.1. Diffie-Hellmanに基づくKEM
5.1.2. A KEM From RSA Secret-Value Encapsulation	5.1.2. RSA秘密値カプセル化に基づくKEM
5.1.3. ML-KEM	5.1.3. ML-KEM
5.2. Examples of KEM Applications	5.2. KEMアプリケーションの例
5.2.1. KEM-DEM Public-Key Encryption	5.2.1. KEM-DEM公開鍵暗号
5.2.2. Unilateral Authenticated Key Establishment Using a KEM	5.2.2. KEMを用いた一方的認証鍵確立
5.2.3. Ephemeral Authenticated Key Establishment	5.2.3. 一時的認証鍵確立
5.2.4. Static-Ephemeral Unilateral Authenticated Key Establishment UsingKEMs	5.2.4. KEMを用いた静的・一時的両用一方的認証鍵確立
5.2.5. Authenticated Key Establishment Using KEMs	5.2.5. KEMを用いた認証鍵確立
References	参考文献
Appendix A. List of Acronyms	附属書A. 略語一覧
Appendix B. Glossary	附属書B. 用語集
Appendix C. Cryptographic Components	附属書C. 暗号コンポーネント
C.1. Message Authentication Codes (MACs)	C.1. メッセージ認証コード（MAC）
C.2. Nonces	C.2. ノンス
Appendix D. Changes From Draft SP 800-227	附属書D. ドラフトSP 800-227からの変更点
List of Tables	表一覧
Table 1. Approved MAC algorithms for key confirmation	表1. 鍵確認用に承認されたMACアルゴリズム
List of Figures	図一覧
Fig. 1.Outline of key establishment using a KEM	図1. KEMを用いた鍵確立の概要
Fig. 2.The IND-CPA security experiment for a KEM Π	図2. KEM Π に対する IND-CPA セキュリティ実験
Fig. 3.The IND-CCA security experiment for a KEM Π	図3. KEM Π に対する IND-CCA セキュリティ実験
Fig. 4.Simple key establishment using a KEM	図4. KEM を使用した簡易鍵確立
Fig. 5.Key-confirmation example with an ephemeral key pair	図5. 一時鍵ペアを用いた鍵確認の例
Fig. 6.KEM PoP between a key-pair owner and CA	図6. 鍵ペア所有者と認証局（CA）間の KEM PoP
Fig. 7.Sending a message using the KEM-DEM paradigm	図7. KEM-DEMパラダイムを用いたメッセージ送信
Fig. 8.Unilateral authenticated key establishment using a KEM	図8. KEMを用いた一方的認証付き鍵確立
Fig. 9.Using a KEM for key establishment with unilateral authentication	図9. 一方的認証付き鍵確立におけるKEMの利用
Fig. 10. Static-ephemeral unilateral authenticated key establishment using KEMs	図10. KEMを用いた静的-一時的鍵を用いた一方的認証付き鍵確立
Fig. 11. Authenticated key establishment using KEMs	図11. KEMを用いた認証付き鍵確立

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.01.10 米国 NIST SP 800-227（初期公開ドラフト） キーカプセル化メカニズムに関する推奨事項

米国 NIST NIST CSWP 48（初期公開ドラフト）PQC移行プロジェクト能力とNISTサイバーセキュリティフレームワーク2.0および情報システム・組織向けセキュリティ・プライバシー管理策との対応関係

こんにちは、丸山満彦です。

NISTが、PQC移行プロジェクト能力とNISTサイバーフレームワーク2.0, SP800-53との対比表のドラフトを作成し、意見募集をしていますね...

● NIST - ITL

・2025.09.20 NIST CSWP 48 (Initial Public Draft) Mappings of Migration to PQC Project Capabilities to NIST Cybersecurity Framework 2.0 and to Security and Privacy Controls for Information Systems and Organizations

NIST CSWP 48 (Initial Public Draft) Mappings of Migration to PQC Project Capabilities to NIST Cybersecurity Framework 2.0 and to Security and Privacy Controls for Information Systems and Organizations	NIST CSWP 48（初期公開ドラフト）PQC移行プロジェクト能力とNISTサイバーセキュリティフレームワーク2.0および情報システム・組織向けセキュリティ・プライバシー管理策との対応関係
Announcement	発表
The project is designed to support and align with key NIST cybersecurity frameworks and security controls. Specifically, the project’s capabilities are informed by and mapped to the security objectives and controls outlined in two important NIST documents:	本プロジェクトは、主要なNISTサイバーセキュリティフレームワークおよびセキュリティ管理策との整合性を図り、支援することを目的としています。具体的には、プロジェクトの能力は、以下の2つの重要なNIST文書に概説されているセキュリティ目標および管理策に基づいており、これらに対応しています：
NIST Cybersecurity Framework 2.0 (CSF 2.0). A widely adopted framework that helps organizations manage and reduce cybersecurity risk.	NISTサイバーセキュリティフレームワーク2.0（CSF 2.0）。組織がサイバーセキュリティリスクを管理・低減するのに役立つ、広く採用されているフレームワーク。
Security and Privacy Controls for Information Systems and Organizations (SP 800-53). A comprehensive catalog of security controls that organizations can use to protect their information systems.	情報システムおよび組織のためのセキュリティ・プライバシー管理策（SP 800-53）。組織が情報システムを防御するために利用できる包括的なセキュリティ管理策カタログ。
This white paper provides a mapping of the project’s capabilities to these two resources. This helps organizations align their PQC migration efforts with established security outcomes (and broader cybersecurity risk management practices) and identify specific security controls and objectives needed to successfully implement PQC migration.	本ホワイトペーパーは、プロジェクトの能力をこれら二つのリソースにマッピングしたものです。これにより、組織はPQC移行の取り組みを確立されたセキュリティ成果（およびより広範なサイバーセキュリティリスクマネジメント実践）に整合させ、PQC移行を成功裏に実施するために必要な具体的なセキュリティ管理策と目標を識別することが可能になります。
Abstract	要約
The capabilities demonstrated by the NCCoE Migration to Post-Quantum Cryptography project support several security objectives and controls identified by the NIST Cybersecurity Framework 2.0 (CSWP 29) and Security and Privacy Controls for Information Systems and Organizations (SP 800-53), respectively. A responsible implementation of the demonstrated capabilities depends on adherence to several security objectives and controls identified in these risk framework documents.	NCCoE（国家サイバーセキュリティ卓越センター）の「耐量子暗号への移行」プロジェクトで実証された機能は、NISTサイバーセキュリティフレームワーク2.0（CSWP 29）および情報システム・組織向けセキュリティとプライバシー制御（SP 800-53）でそれぞれ識別された複数のセキュリティ目標と制御を支援します。実証された機能を責任を持って実装するには、これらのリスク枠組み文書で識別された複数のセキュリティ目標と制御への準拠が不可欠です。
This paper identifies the supported and dependent characteristics of capabilities functions that are part of the Migration to Post-Quantum Cryptography project at NIST’s National Cybersecurity Center of Excellence and maps those functions to elements of both the NIST Cybersecurity Framework 2.0 and Special Publication 800-53 Revision 5.	本論文は、NIST国立サイバーセキュリティ・センター・オブ・エクセレンスにおけるポスト量子暗号移行プロジェクトの一部を構成する機能の、サポートされる特性と依存する特性を識別し、それらの機能をNISTサイバーセキュリティ枠組み2.0およびNIST 特別刊行物800-53改訂版5の両方の要素にマッピングする。
The NCCoE Migration to Post-Quantum Cryptography project demonstrates practices to ease migration from the current set of public-key cryptographic algorithms to replacement algorithms resistant to quantum computer-based attacks. Project collaborators demonstrate using cryptographic discovery and inventory tools to allow an organization to learn where and how cryptography protects the confidentiality and integrity of the organization’s important data and digital systems. Project collaborators are also exploring interoperability of the NIST PQC algorithms for key establishment and digital signature schemes in internet communication protocols and hardware security modules (HSMs).	NCCoEの耐量子暗号移行プロジェクトは、現行の公開鍵暗号アルゴリズム群から量子コンピューター攻撃に耐性のある代替アルゴリズムへの移行を容易にする実践手法を実証する。プロジェクト協力者は、暗号発見・インベントリツールを活用し、組織が重要データ及びデジタルシステムの機密性・完全性を暗号技術がどこでどのように保護しているかを把握する手法を実証。さらにインターネット通信プロトコルやハードウェアセキュリティモジュール（HSM）における鍵確立・デジタル署名方式向けNIST PQCアルゴリズムの相互運用性についても調査を進めている。

・[PDF] NIST.CSWP.48.ipd

目次...

マッピング表の読み方...

2.2. Mapping Terminology	2.2. 用語のマッピング
In this publication, we use the following relationship types from NIST IR 8477 Mapping Relationships Between Documentary Standards, Regulations, Frameworks, and Guidelines: Developing Cybersecurity and Privacy Concept Mappings [4] to describe how the functions in project demonstrations relate to the NIST reference documents. In NIST IR 8477, this is called a supportive relationship mapping.	本出版物では、プロジェクト実証における機能がNIST参照文書とどのように関連するかを記述するため、NIST IR 8477『文書基準、規制、枠組み、ガイドライン間の関係性マッピング：サイバーセキュリティとプライバシー概念マッピングの開発』[4]から以下の関係タイプを用いる。NIST IR 8477ではこれを「支援的関係マッピング」と呼ぶ。
The “Supports” relationship applies only to use case 1 which focuses on why organizations should implement discovery, interoperability, and performance capabilities. The “Is Supported By” relationship applies only to use case 2 which focuses on how organizations can implement discovery, interoperability, and performance capabilities.	「サポートする」関係は、組織が発見、相互運用性、性能能力を実装すべき理由に焦点を当てるユースケース1にのみ適用される。「サポートされる」関係は、組織が発見、相互運用性、性能能力を実装する方法に焦点を当てるユースケース2にのみ適用される。
3. Supports: Demonstration component function X supports security control/Subcategory Y when X can be applied alone or in combination with one or more other component functions to achieve Y in whole or in part.	3. サポートする：実証コンポーネント機能Xがセキュリティ制御／サブカテゴリーYをサポートするとは、Xが単独で、または他のコンポーネント機能と組み合わせて適用され、Yを全体または一部達成できる場合を指す。
4. Is Supported By: A demonstration component function X is supported by security control/Subcategory Y when Y can be applied alone or in combination with one or more other security controls/Subcategories to achieve X in whole or in part.	4. サポートされる：実証コンポーネント機能Xがセキュリティ制御／サブカテゴリーYによってサポートされるとは、Yが単独で、または他のセキュリティ制御／サブカテゴリーと組み合わせて適用され、Xを全体または一部達成できる場合を指す。
Each Supports and Is Supported By relationship have one of the following properties assigned to them:	各「サポートする」および「サポートされる」関係には、以下のいずれかの特性が割り当てられる：
5. Example of: The supporting concept X is one way (an example) of achieving the supported concept Y in whole or in part. However, Y could also be achieved without applying X.	5. 例示：サポートする概念Xは、サポートされる概念Yを全体または一部達成する一つの方法（例）である。ただし、YはXを適用せずに達成することも可能である。
6. Integral to: The supporting concept X is integral to, and a component of the supported concept Y. X must be applied as part of achieving Y.	6. 不可欠要素：サポート概念Xはサポート対象概念Yの不可欠な要素であり、その構成部分である。Yを達成するにはXを適用しなければならない。
7. Precedes: The supporting concept X precedes the supported concept Y when X must be achieved before applying Y. In other words, X is a prerequisite for Y.	7. 前提条件：サポート概念Xはサポート対象概念Yに先行する。つまりXはYの前提条件である。
When determining whether a demonstration component function’s support for a given CSF Subcategory or SP 800-53 control is integral to that support versus an example of that support, we do not consider how that function may, in general, be used to support the Subcategory or control. Rather, we consider only how that function is intended to support that Subcategory or control within the reference design.	特定のCSFサブカテゴリーまたはSP 800-53のコントロールに対する実証コンポーネント機能の支援が、その支援に不可欠要素か、それとも支援の例示に過ぎないかを判断する際、我々はその機能が一般的にサブカテゴリーやコントロールを支援するためにどのように使用されるかは考慮しない。むしろ、参照設計内でその機能が当該サブカテゴリーやコントロールを支援するために意図されている方法のみを考慮する。
Also, when determining whether a function is supported by a CSF Subcategory outcome or SP 800-53 control with the relationship property of precedes, we do not consider whether applying the function without first achieving the Subcategory or control is possible. Instead, we consider whether, according to our reference design, the Subcategory or control will be achieved prior to applying that function.	また、機能がCSFサブカテゴリーの成果またはSP 800-53のコントロールによって「前提条件」の関係でサポートされているかを判断する際、サブカテゴリーまたはコントロールを達成せずにその機能を適用できるかどうかは考慮しない。代わりに、参照設計において、その機能を適用する前にサブカテゴリーまたはコントロールが達成されるかどうかを検討する。

マッピング表の部分だけ仮訳...

・[DOCX][PDF]

英国 NCSC 耐量子暗号パイロット

こんにちは、丸山満彦です。

英国のNCSCは複雑で高リスクのサイバーセキュリティ要件を持つ組織に独立したコンサルティングサービスを提供するプロバイダーを保証する制度があります（現在24社が登録されている）が、耐量子計算機暗号の導入についても、PQC移行についてのコンサルティングサービスを紹介するウェブページを作っていますね。

2027年3月31日までの予定のようです。その後、状況を鑑みて見直されるとのこと...

現在は、PQCパイロットでは、

・ディスカバリーと移行計画（2社）

・アドバイス（6社）

の２つがあるようです。

英国政府は興味深い活動をしていますね。。。

● Natinal Cyber Security Centre: NCSC - Assured Cyber Security Consultancy

・Post-quantum cryptography (PQC) pilot

耐量子暗号（PQC）移行市場の概要 by fmi (2025.09.12)

こんにちは、丸山満彦です。

Future Market Insightsが、耐量子暗号（PQC）移行市場の概要についての報告書を公表していますね...

● Future Market Insights

・2025.09.12 Post-Quantum Cryptography (PQC) Migration Market

耐量子暗号（PQC）移行市場の

・規模：19億米ドル (2025) -> 124億米ドル (2035)　

・成長率：20.6％

・アルゴリズム：格子ベース 52% (2025)

・主要産業：金融、政府・防衛、通信・IT

・主要企業：IBM、Quantinuum、PQShield、Thales Group、SandboxAQ

・移行方法：SaaSへの移行、オンプレミス

という感じのようです。

規制がビジネスを進めるという感じですね...