読みました！ 「CISOのための情報セキュリティ戦略 - 危機から逆算して攻略せよ」

こんにちは、丸山満彦です。

プリファードネットワークのCISO, CPOを務める高橋正和さんの著書、「CISOのための情報セキュリティ戦略 - 危機から逆算して攻略せよ」[amazon] を読み終えました。。。

本書がどんな本かは、前書きから、、、

---

セキュリティ事件・事故のシナリオに基づいた机上演習フレームワークをCISO-PRACTSIEと呼称し、経営者がセキュリティの文脈を理解し、CISOを始めとしたセキュリティ担当者が、経営視点や事業視点を身につける機会として事件・事故を想定し、そこから逆算して対策の検証を行う手法を提案します。

---

詳細に、丁寧に書かれていますね。。。

参考になるところが、あちこちにあると思います。是非是非。。。

ところで、この机上演習ですが、、、以下の資料を参考にしていますね。。。

● JPCERT/CC

・2016.03.31 [PDF] 高度サイバー攻撃(APT)への備えと対応ガイド～企業や組織に薦める一連のプロセスについて

図 18：様々な演習と効果

ただ、このJPCERT/CCのガイドの図はどこからきたのですかね。。。

この辺り（国家安全保障省のHomeland Security Exercise and Evaluation Program）からですかね。。。これ自体は2020年のものですが、2013年発行の前のバージョンがあったのです。。。

● Homeland Security Agency

・Homeland Security Exercise and Evaluation Program (HSEEP)

Homeland Security Exercise and Evaluation Program	国土安全保障演習と評価プログラム
Exercises are a key component of national preparedness — they provide the whole community with the opportunity to shape planning, assess and validate capabilities, and address areas for improvement. HSEEP provides a set of guiding principles for exercise and evaluation programs, as well as a common approach to exercise program management, design and development, conduct, evaluation, and improvement planning.	演習は国家的な準備態勢の重要な要素であり、地域社会全体に計画を形成し、能力を評価・検証し、改善すべき分野に対処する機会を提供するものである。 HSEEPは、演習と評価プログラムのための一連の指導原則と、演習プログラムの管理、設計と開発、実施、評価、および改善計画に対する共通のアプローチを提供する。
Through the use of HSEEP, the whole community can develop, execute, and evaluate exercises that address the preparedness priorities. These priorities are informed by risk and capability assessments, findings, corrective actions from previous events, and external requirements.  These priorities guide the overall direction of an exercise program and the design and development of individual exercises.	HSEEPの利用により、地域社会全体が準備の優先順位に対応した演習を開発、実施、評価することができる。 これらの優先事項は、リスクと能力の評価、所見、過去の事象からの是正措置、および外部要件によってもたらされる。  これらの優先順位は、演習プログラムの全体的な方向性と個々の演習の設計と開発の指針となる。
These priorities guide planners as they identify exercise objectives and align them to capabilities for evaluation during the exercise. Exercise evaluation assesses the ability to meet exercise objectives and capabilities by documenting strengths, areas for improvement, capability performance, and corrective actions in an After-Action Report/Improvement Plan (AAR/IP). Through improvement planning, organizations take the corrective actions needed to improve plans, build and sustain capabilities, and maintain readiness.	これらの優先順位は、計画者が演習の目的を特定し、演習中に評価するための能力と整合させる際の指針となる。演習の評価では、演習の目的および能力を満たすために、強み、改善すべき点、能力のパフォーマンス、および是正措置を事後報告/改善計画（AAR/IP）に文書化することによって評価する。改善計画を通じて、組織は計画を改善し、能力を構築・維持し、即応性を維持するために必要な是正措置を講じる。
・[PDF] Homeland Security Exercise and Evaluation Program Doctrine	国土安全保障演習・評価プログラムのドクトリン
・[PDF] El Programa de Evaluación y Ejercicios de Seguridad Nacional	国土安全保障評価演習プログラム
・[PDF] HSEEP Information Sheet	HSEEP情報シート
・[PDF] HSEEP Frequently Asked Questions 2020	HSEEPよくある質問2020

・[PDF] Homeland Security Exercise and Evaluation Program Doctrine

演習は、大きく

1. ディスカッションベース：セミナー、ワークショップ、机上演習（TTX）、ゲーム
2. オペレーションベース：ドリル、機能演習 (FE) 、総合演習（FSE）

の２パターンを示していますね。。。

---

1. ディスカッションベースの演習

ディスカッション形式の演習には、セミナー、ワークショップ、机上演習（TTX）、ゲームなどがある。この種の演習は、計画、方針、手順、および協定に慣れ親しんだり、新しいものを開発したりするものである。ディスカッションベースの演習は、戦略的、政策的な問題に焦点を当て、ファシリテーターやプレゼンターが議論をリードし、参加者が演習の目的を達成するために動き続けるものである。次の表（表2.3, 表2.4、表2.5、表2.6）には、それぞれのタイプのディスカッションベースの演習の重要な情報が記載されている。

表2.3：ディスカッション型演習の種類：セミナー

セミナー
当局、戦略、計画、方針、手順、プロトコル、リソース、概念、およびアイデアについて参加者に説明する、または概要を提供するディスカッションベースの演習。
要素	考察と活動
目的	•        共通の理解の枠組みを提供する
	•        既存の計画、方針、または手順を開発または大きく変更するための良い出発点を提供する。
構造	•        通常、複数のプレゼンテーション、主題専門家（SME）パネル、またはケーススタディ・ディスカッションの形式で行われる。
	•        講義形式
	•        セミナーのファシリテーター/プレゼンターが主導する
	•        参加者からのフィードバックやインタラクションが少ない
参加者の目標	•         省庁間の能力または管轄区域間の業務に対する認識を得る、または評価する。
	•        将来の能力に関する目標を設定する
実施上の特徴	•        最小限の時間的制約
	•        少人数でも大人数でも効果的
成果	•         議論、提起された問題、および（適切な場合）これらの問題に対処するためのアクションアイテムを記録した報告書
	•        アフターアクションレポート（AAR）／改善計画（IP）

表2.4：ディスカッション型演習の種類：ワークショップ

ワークショップ
政策、計画、手順の策定によく用いられる議論ベースの演習。
要素	考察と活動
目的	•        製品の実現や構築にフォーカスした参加者同士の交流の活発化
	•        目的、製品、または目標が明確に定義され、特定の問題に焦点を当てたものであること
構造	•        ディスカッションができる場での個人の集まり
	•        講義、プレゼンテーション、パネルディスカッション、ケーススタディーディディスカッション、または意思決定支援ツール ワーキングブレイクアウトセッションのファシリテーション ワークショップのファシリテーター/プレゼンターがリードする
参加者の目標	•        グループでの製品開発
	•        コンセンサスを得る
	•        情報の収集または共有
実施上の特徴	•        少人数でも大人数でも効果的
	•        関連するステークホルダーが幅広く参加
	•        明確な目的・目標に基づく実施
	•        講義形式ではなく、参加者同士のディスカッション形式
	•        同じようなグループと課題の一部を探索するために、頻繁にブレイクアウトセッションを利用する
成果	•        緊急時対応計画
	•        相互援助協定
	•        標準作業手順書
	•         事業継続計画
	•        ワークショップ概要報告
	•        アフターアクションレポート（AAR）／改善計画（IP）

表2.5：ディスカッション型演習のタイプ：机上演習

机上演習 Tabletop Exdercise (TTX)
概念的な理解を促進し、長所と改善点を明らかにし、計画、政策、または手続きに関する認識の変化を達成するために、さまざまな問題について対話を行うことを目的とした、シナリオに応じたディスカッションベースの演習である。
要素	考察と活動
目的	•        演習シナリオに関する様々な課題についての議論を行う
	•        概念的な理解を促進し、強みと改善点を明らかにする、または認識の変化を達成する
構造	•        シナリオを提示し、模擬的な時間における事象を説明する
	•        プレイヤーは、ファシリテーターから提示された問題のリストに自分の知識とスキルを適用する
	•         問題点をグループで話し合い、解決に至り、後の分析のために文書化することができる
	•        全体会議または分科会（複数可）
	•        ファシリテーター（複数）によるディスカッション
	•        プレゼンテーション
参加者の目標	•        一般的な認知度の向上
	•        役割と責任の理解を深める
	•        計画や手順の妥当性確認
	•        定義されたインシデントにおけるシステムの種類を評価し、コンセプトを議論する
実施上の特徴	•        経験豊富なファシリテーターが必要
	•        徹底討論
	•        問題解決型の環境
	•        参加者全員が議論に貢献するよう奨励し、無過失責任な環境で意思決定していることを再認識させる必要がある
成果	•        現行の計画、方針、手順の改訂を推奨する。
	•        アフターアクションレポート（AAR）／改善計画（IP）

表2.6：ディスカッション型演習の種類：ゲーム

ゲーム
個人またはチーム向けに設計された、競技または非競争環境での構造化されたプレイであり、議論に基づいたエクササイズ。プレーヤーが参加するイベントであり、その実行には明確なルール、データ、手順が指導される。ゲームは、実際の状況または仮想の状況を描写し、参加者がもっともらしい意思決定と行動を確実に行えるように設計されている。ゲームは、トレーニングの強化、チームビルディングの活性化、作戦・戦術能力の向上などに利用することができる。
要素	考察と活動
目的	•        プレイヤーの意思決定や行動の帰結を探る操作シミュレーション
	•        重要な意思決定ポイントの特定は、ゲーム評価の成功に大きく影響する
構造	•        通常、2つ以上のチームが参加できる環境において、実際の状況または仮想の状況を想定したルール、データ、手順を使用する
	•         意思決定は、演習のデザインと目的によって、ゆっくりじっくり行うことも、素早くストレスのかかることを行うこともできます
	•        ゲームのオープンで意思決定に基づく形式は、エクササイズの効果を拡大する「もしも」の質問を取り入れることができる
	•        ゲームのデザインによって、プレイヤーの行動の結果は、事前に記述される場合と動的に決定される場合がある
参加者の目標	•        意思決定のプロセスと結果を探る
	•        既存プランの「what-if」分析の実施
	•        既存および潜在的な戦略を評価する
実施上の特徴	•        実際に使用するリソースはない
	•        多くの場合、2つ以上のチームが参加する
	•        ゲームの進行に応じて複雑化するモデルやシミュレーションが含まれる場合がある
	•        あらかじめ用意されたアクティビティが含まれる場合と含まれない場合がある
成果	•        計画、方針、手順の妥当性確認、またはリソース要件の評価
	•        アフターアクションレポート（AAR）／改善計画（IP）

2. ディスカッションベースの演習

オペレーションベースの演習には、ドリル、機能演習（FE）、および総合演習（FSE）が含まれる。これらの演習は、計画、方針、手順、および合意を検証し、役割と責任を明確にし、リソースのギャップを特定するものである。運用に基づく演習は、通信の開始、人員及び資源の動員などのリアルタイムの応答を含む。次の表（表2.7、表2.8、表2.9）は、それぞれのタイプのオペレーションベースの演習のための重要な情報を提供する。

表2.7：オペレーションベースの演習の種類：ドリル

ドリル
オペレーションに基づく演習で、単一のオペレーションまたは機能を検証するためによく採用される。
要素	考察と活動
目的	•         単一の機関/組織における特定の機能または能力を検証するため調整され、監督された活動で、多くの場合、単一の操作または機能を検証するために使用される
	•        新しい機器のトレーニング、手順の検証、または現在のスキルの練習と維持の提供
構造	•        単体でも、連続したドリルとしても使用可能
	•        明確に定義された計画、手順、プロトコルを実施する必要がある
参加者の目標	•        新しい手順、方針、および/または機器を評価する
	•         スキルの練習と維持
	•        今後の演習に備える
実施上の特徴	•        即時フィードバック
	•        リアルな環境
	•        ナローフォーカス
	•        単体での性能
	•        結果は、確立された基準に照らして測定される
成果	•        計画が設計通りに実行されるかどうかを判断する
	•        さらなるトレーニングが必要かどうかを評価する
	•        ベストプラクティスの強化
	•        アフターアクションレポート（AAR）／改善計画（IP）

表2.8：オペレーションベースの演習の種類。機能演習

機能演習Function Exercise（FE）
オペレーションベースの演習は、現実的なリアルタイムの環境下で、能力や機能をテストし評価するように設計されているが、リソースの移動は通常シミュレートされる。
要素	考察と活動
目的	•        能力、複数の機能及び／又は下位機能、又は相互依存のある活動群を検証し評価する。
	•        管理、指揮、統制の機能に関わる計画、方針、手順、スタッフについて演習する。
	•        危機的状況下で、確立されたプラン、ポリシー、手順を適用する
構造	•        現実的な演習シナリオでイベントが投影され、イベントの更新により、通常、管理者レベルでの活動が促進される
	•        コントローラは通常、マスターシナリオイベントリスト（MSEL）を使用して、参加者の活動が事前に定義された境界線内に収まるようにする
	•        評価者は行動を観察し、確立された計画、方針、手順、標準的な実践（該当する場合）に照らして比較する。
参加者の目標	•        能力の検証・評価
	•        計画、方針、手続きに重点を置く
実施上の特徴	•        現実的な環境で実施
	•        通常、リソースと人員の配置をシミュレートしている
	•        シミュレーションセルとマスターシナリオイベントリスト（MSEL）の活用
	•        シミュレーターはシナリオの要素を注入することができる
	•        コントローラーと評価者を含む
成果	•        緊急時対応センター（EOC）、指揮所、本部、スタッフの管理評価
	•        パフォーマンス分析
	•        協力関係の強化
	•        アフターアクションレポート（AAR）／改善計画（IP）

表2.9:オペレーションベースの演習の種類：総合演習

総合演習 Full-Scale Exercise (FSE)
演習の種類の中で最も複雑で資源を必要とし、多くの場合、複数の機関、管轄区域/組織、および資源のリアルタイムの移動を伴うオペレーションベースの演習である。
要素	考察と活動
目的	•        ICS（インシデント・コマンド・システム）のような協力体制のもとで活動する多くのプレーヤーを含むことが多い
	•        ディスカッション形式の演習で作成され、以前の小規模な演習で磨かれた計画、方針、手順の実施と分析に重点を置いている。
構造	•        イベントは演習シナリオを通して投影され、イベントのアップデートによりオペレーションレベルでの活動が促進される
	•        複数の機関、組織、管轄区域が関与していること
	•        MSELの使用は、プレイヤーの行動を促進する
	•        SimCellコントローラは、シナリオ要素を注入する
	•        他のタイプのエクササイズに比べ、必要なサポートのレベルが高い可能性がある
	•        複雑な問題を提示し、実際の事件を反映させたリアルな環境で実施
参加者の目標	•        計画や手順で示された役割と責任を実証する
	•        複数の機関、組織、管轄区域の間の調整
実施上の特徴	•        迅速な問題解決、クリティカルシンキング
	•        人材とリソースの動員
	•        運動場は通常、多くの活動が同時に行われる大規模なものである
	•        サイトロジスティクスの綿密なモニタリングが必要
	•        特に小道具や特殊効果の使用に関する安全性の問題を監視する必要がある
	•        計画や手順で示された役割と責任を実証する
成果	•        計画、方針、手順の妥当性確認
	•        リソース要求の評価
	•        アフターアクションレポート（AAR）／改善計画（IP）

米国 サイバー司令部：米サイバー軍とNSAは中間選挙をどう守るか。一つのチーム、一つの戦い

こんにちは、丸山満彦です。

アメリカの中間選挙まで、あと70日少しとなっていますね。。。上院の半数と下院の全員が選挙で戦うことになりますね。。。

記録的なインフレのためか、バイデン大統領の支持率は30%台というメディア報道もあったりと、人気はいまひとつのようです。ホワイトハウスの報道発表でも、インフレ対策の発表がこのところ数多くありますね。。。

選挙戦が接戦となってくると、他国等による選挙介入の影響が無視できなくなるのかもしれません。。。

選挙基盤は重要インフラで、ISACがありますね。。。

・ELECTIONS INFRASTRUCTURE ISAC

そして、NIST文書も...（ドラフトですが、、、）

・2021.03.29 NISTIR 8310 (Draft) Cybersecurity Framework Election Infrastructure Profile

もちろん、サイバー空間を利用した活動もあるでしょうが、従来からの手法についても引き続き、注意を払わないといけないのでしょうね。。。

● U.S. Cyber Command

・2022.08.25 How U.S. Cyber Command, NSA are defending midterms elections: One team, one fight

How U.S. Cyber Command, NSA are defending midterms elections: One team, one fight	米サイバー軍とNSAは中間選挙をどう守るか。一つのチーム、一つの戦い
With 75 days until the midterm elections, the Dept. of Defense is fully engaged to defend the U.S. electoral system from foreign interference and foreign influence alongside interagency partners.	中間選挙まで75日となり、国防総省は省庁間パートナーとともに、外国の干渉や影響から米国の選挙制度を守るために全面的に取り組んでいる。
"This is an enduring, no-fail mission for U.S. Cyber Command and the National Security Agency, who bring unique insights and actions to the whole-of-government effort," said U.S. Army Gen. Paul M. Nakasone, Commander of USCYBERCOM and Director of NSA/Chief, Central Security Service.	「これは、政府全体の取り組みに独自の洞察力と行動をもたらす米サイバー軍と国家安全保障局にとって、永続的で失敗のない任務である」と、USCYBERCOM司令官兼NSA長官／中央警備局長のポール・M・ナカソネ米陸軍元帥は述べている。
"Together, we bring speed and unity of effort against any foreign adversary who might seek to undermine our democratic institutions."	「私たちは共に、民主主義制度を弱体化させようとするいかなる外国の敵に対しても、迅速かつ団結した取り組みを行うことができる」と述べている。
The joint USCYBERCOM-NSA Election Security Group, stood up again in early 2022, aligns both organizations' efforts to disrupt, deter, and degrade foreign adversaries' ability to interfere with and influence how U.S. citizens vote and how those votes are counted.	2022年初頭に再び立ち上がったUSCYBERCOMとNSAの合同選挙セキュリティグループは、米国民の投票方法やその集計方法を妨害し影響を及ぼす外国の敵対者の能力を破壊、抑止、低下させるための両組織の取り組みを連携させるものである。
The group spearheads the Dept. of Defense's efforts, and is co-led by U.S. Air Force Brig. Gen. Victor Macias, USCYBERCOM's co-lead and Deputy Commander of Cyber National Mission Force, and Ms. Anna Horrigan, NSA's Senior Executive and Election Security co-Lead.	このグループは、国防総省の取り組みを先導し、USCYBERCOMの共同リーダーでサイバー国家任務部隊の副司令官である米空軍のビクター・マシアス准将と、NSAの上級幹部で選挙セキュリティ共同リーダーのアナ・ホリガン女史が共同リーダーを務めている。
"The ESG team is comprised of some of the best and brightest in this field," said Horrigan. "We are building on previous successes, while also maximizing our strong relationships and synchronizing often - enabling the U.S. to respond rapidly to election threats."	ホリガン氏は、次のように述べている。「ESGチームは、この分野で最も優秀な人材で構成されている。我々は、これまでの成功に加え、強力な関係を最大限に活用し、頻繁に同期することで、米国が選挙の脅威に迅速に対応できるようにしている」。
The ESG's primary objectives are to generate insights on foreign adversaries who may interfere with or influence elections, bolster domestic defense by sharing information with interagency, industry, and allied partners, and impose costs on foreign actors who seek to undermine democratic processes.	ESGの主な目的は、選挙を妨害したり影響を及ぼす可能性のある外国の敵対者について洞察を深め、省庁間、産業界、同盟国のパートナーと情報を共有して国内の防衛を強化し、民主的プロセスを損なおうとする外国の行為者にコストをかけることである。
As in in previous election cycles, USCYBERCOM and NSA are closely partnered across the government and industry, and are one critical component of a whole-of-government effort. The group directly supports partners like the Dept. of Homeland Security and the Federal Bureau of Investigation collecting, declassifying, and sharing vital information about foreign adversaries to enable domestic efforts in election security.	以前の選挙サイクルと同様に、USCYBERCOM と NSA は政府や産業界と密接に連携しており、政府全体の取り組みの重要な構成要素の一つとなっている。このグループは、国土安全保障省や連邦捜査局などのパートナーを直接支援し、選挙セキュリティにおける国内の取り組みを可能にするために、外国の敵に関する重要な情報の収集、機密解除、共有を行っている。
However, the ESG plays a unique role in combatting and disrupting adversary activity in this space-NSA's unique foreign intelligence collection and technical expertise can provide insight into adversary plans and cyber tradecraft, while USCYBERCOM's full-spectrum cyber operations can defend and disrupt malicious cyber actors.	しかし、ESG はこの領域で敵の活動を阻止し、混乱させるというユニークな役割を担っている。NSA のユニークな対外情報収集と技術的専門知識は、敵の計画とサイバー技術に関する洞察を提供し、USCYBERCOM の全領域にわたるサイバー作戦は悪質なサイバー行為者を防御し混乱させることが可能である。
"The biggest success of the last two election cycles wasn't just the defense of our democratic processes from foreign influence and interference," said Macias. "It is also the organizational focus on this enduring mission, the partnerships created and the people who come to work every day to defend our Nation's elections from foreign adversaries."	マシアス氏は、次のよう述べている。「過去2回の選挙サイクルの最大の成功は、外国の影響や干渉から民主的プロセスを防衛したことだけではない。この永続的な使命に組織的に集中し、パートナーシップを築き、外国の敵から我が国の選挙を守るために毎日働いている人々もである。」
For example, if the ESG sees a cyberattack occurring in foreign space, it could communicate that information to domestic agencies to mitigate the issue, and use its offensive cyber authorities to disrupt and degrade that foreign cyber actor's operations.	例えば、ESGが外国空間で発生しているサイバー攻撃を発見した場合、その情報を国内機関に伝達して問題を軽減し、攻撃的なサイバー権限を使用してその外国のサイバー行為者の活動を中断し、劣化させることができる。
Election security was deemed a critical infrastructure component in 2017 by DHS.	選挙セキュリティは、2017年にDHSによって重要インフラ要素とされた。
The U.S. government is actively defending against foreign interference and influence operations in U.S. elections, specifically by focusing on how adversaries seek to undermine U.S. interests and prosperity, the will to vote of the populace, as well as their belief in the sanctity and security of their elections.	米国政府は、米国の選挙における外国からの干渉や影響力の行使に対して積極的に防御を行っており、特に敵対者が米国の利益と繁栄、民衆の投票意思、そして選挙の神聖さと安全性に対する信念をいかに損なわせようとしているかに着目している。
According to the Office of Director of National Intelligence, Russia, China, Iran and other foreign malicious actors may seek to interfere in U.S. voting processes and influence voter perception. Such foreign activity can threaten to undermine fundamental principles of U.S. democracy and influence U.S. public sentiment.	国家情報長官室によると、ロシア、中国、イラン、その他の外国の悪質な行為者は、米国の投票プロセスを妨害し、有権者の認識に影響を与えようとする可能性がある。このような外国の活動は、米国の民主主義の基本原則を損ない、米国の国民感情に影響を与える恐れがある。
"In the complex cyberspace domain we operate in, we have to consider both the adversary threat landscape-- and the scale of technological advancements," Macias said. "These adversaries use discrete cyber operations to achieve their strategic objectives, and operate below the threshold of armed conflict. It's our job to disrupt them."	マシアス氏は、次のように述べている。「私たちが活動する複雑なサイバースペース領域では、敵対者の脅威の状況と技術の進歩の規模の両方を考慮しなければならない。これらの敵は、戦略的目標を達成するために個別のサイバー操作を使用し、武力紛争の閾値未満で動作している。彼らを混乱させるのが我々の仕事だ。」
Another key component of election defense is partnership- not just with interagency partners like DHS and FBI, but also with the private sector and U.S. allies and partners.	選挙防衛のもう一つの重要な要素は、DHSやFBIなどの省庁間パートナーだけでなく、民間企業や米国の同盟国、パートナーとのパートナーシップである。
Leveraging on past successes, the ESG has increased its whole-of-society engagement with industry to share threats and potential vulnerabilities.	ESGは過去の成功事例を生かし、脅威や潜在的な脆弱性を共有するために、産業界との社会全体の関わりを強めてきた。
"Successful defense against threats to elections requires robust relationships that include information and intelligence exchanges across both public and private sectors," Horrigan said. "We can't just watch our adversaries- we have to do something about it, whether sharing timely information, or taking action against that actor. Our nation expects that of us."	ホリガン氏は、次のように述べている。「選挙への脅威に対する防衛を成功させるには、官民両部門の情報と情報の交換を含む強固な関係が必要である。敵対者をただ見ているだけではだめで、タイムリーな情報を共有したり、その行為者に対して行動を起こしたりして、何かしなければならない。我が国はそれを期待している。」

---

● まるちゃんの情報セキュリティ気まぐれ日記

過去の大統領選を含む選挙、国民投票等への影響に関して...

・2020.08.22 米国上院の情報委員会が2016年大統領選におけるロシアの影響を調べた報告書（第５巻）を公開していますね。。。

・2020.07.25 英国議会 諜報及び安全保証委員会報告書 ロシア

・2020.07.17 英国政府はロシアが2019年の総選挙に違法に取得した政府文書を通じて妨害しようとしたと結論付けた

・2020.04.30 中国による2020年台湾大統領選挙への干渉についての分析 by Recorded Future

影響力行使について

・2022.08.26 スイス ETH Zürichsで公表されている最近のサイバー作戦、サイバー攻撃等、サイバー関連の最近の記事、論文

ISAC ISAO関係

・2020.10.08 米国のISACとISAO （根拠指令、取りまとめ団体、ISAO標準文書など）

NIST文書

・2021.03.30 NISTIR 8310 (Draft) サイバーセキュリティフレームワーク(CSF) 選挙インフラのプロファイル

全般...

・2022.08.26 スイス ETH Zürichsで公表されている最近のサイバー作戦、サイバー攻撃等、サイバー関連の最近の記事、論文

・2022.06.06 NATO CCDCOE 選挙干渉への対抗をテーマにしたイノベーションチャレンジ（52大学から56チームが参加）

・2022.04.06 第117回米国連邦議会におけるポール・M・ナカソネ米サイバー軍司令官の姿勢表明

・2022.03.29 米国 GAO 政府・社会に影響を与えるトレンド (2022.03.15)

・2022.03.03 笹川平和財団 「我が国のサイバー安全保障の確保」事業　政策提言 "外国からのディスインフォメーションに備えを！ ～サイバー空間の情報操作の脅威～" (2022.02.07)

・2022.02.11 欧州議会 Think Tank 米国とロシアの関係：地政学的側面、安全保障的側面、経済的側面、人的側面

・2021.12.07 2021.12.09,10開催予定　Summit for Democracy　民主主義サミット + 中国的民主主義 + ロシアの批判 + EUの参加報告書＋米国政府まとめ

・2021.06.04 欧州検査院 特別報告書 EUに影響を与える偽情報：対処しても対処しきれない

・2021.05.03 U.S. CISA 偽情報・誤情報の脅威とその対応方法についての（いかにもアメリカンな）漫画

・2021.03.30 NISTIR 8310 (Draft) サイバーセキュリティフレームワーク(CSF) 選挙インフラのプロファイル

・2021.03.10 防衛省 NIDS 防衛研究所 米大統領選後の安全保障の展望

・2020.12.01 防衛省 防衛研究所 米大統領選後の安全保障の展望 ASEAN, 中国, 南アジア

・2020.11.04 情報ネットワーク法学会 第20回研究大会

・2020.10.22 米国GAOのブログでDeepfakeが取り上げられていますね。。。

・2020.10.08 米国のISACとISAO （根拠指令、取りまとめ団体、ISAO標準文書など）

・2020.08.22 米国上院の情報委員会が2016年大統領選におけるロシアの影響を調べた報告書（第５巻）を公開していますね。。。

・2020.08.20 FBIロサンゼルスは、選挙の安全性と海外の悪質な影響力について市民を教育するための全国メッセージングキャンペーンに参加

・2020.07.25 英国議会 諜報及び安全保証委員会報告書 ロシア

・2020.07.17 英国政府はロシアが2019年の総選挙に違法に取得した政府文書を通じて妨害しようとしたと結論付けた

・2020.04.30 中国による2020年台湾大統領選挙への干渉についての分析 by Recorded Future

・2020.03.31 英国政府はCOVID-19に関する偽情報（misinformation）を取り締まるチームを設置したようですね。。。

・2020.03.16 アメリカ連邦選挙支援委員会(Election Assistance Commission)電子投票の仕様に関するガイドラインである任意的投票システムガイドライン(Voluntary Voting System Guideline = VVSG)バージョン2.0案

ドイツ BSI Security in focus - BSI Magazine 2021-02 はオンライン選挙をテーマにしていますね。。。 (2022.05.31)

こんにちは、丸山満彦です。

ドイツの連邦情報セキュリティ局 (Bundesamt für Sicherheit in der Informationstechnik: BSI) が発行しているBSI Security in focus - BSI Magazine 2021-02 はオンライン選挙をテーマにしていますね。。。

COVID-19で対面をできるだけ避けようとしながら、代表を選ぶということで、団体内での選挙も含めて、オンライン選挙について少し光が当たったように思っています。。。（日本ではそうでもないかもしれませんが。。。）

民主主義を実現するための手法の一つとして遠隔によるオンライン選挙が考えられるわけですが、国政選挙、地方自治の選挙についても、日本では現地での電子投票すら行われていない（コストの問題や、過去に事故があったことも影響するのでしょうね。）のですが、オンライン選挙については昔から気になっている分野ではあります。。。

例えば、国政選挙がオンラインでできるようになれば、例えばその基盤を使って、国民の意見をより簡単に聞けるようになるので、選挙人を選ぶだけでなく、個別の政策に対する投票とかもできるようになるし、国政に活かせるようになると思うんですよね。。。（政治家や現在、利権を得ている人にとっては困るようになることがあるのかもしれませんが。。。）

もちろん、地方議員や首長の選挙にも活用できますし。。。

もちろん、ちゃんと議論をしてからの多数決ということですから、議論をするための情報公開とそれを踏まえた適切な議論というのが前提なのは当然なのですが、、、

それ以外にも、株主投票や、団体の理事選とか、色々と活用の道はあるとは思うのですけどね。。。

この雑誌ですが、オンライン選挙以外にも気になる記事がありますね。。。

● Bundesamt für Sicherheit in der Informationstechnik: BSI

・2022.05.31 Security in focus - BSI Magazine 2021/02

・[PDF] 

News	ニュース
Cyber Security	サイバーセキュリティ
The Accelerated Security Certification (BSZ)	加速するセキュリティ認証（BSZ）
Certified into the Quantum Future	量子的な未来への認証
Online Elections	オンライン選挙
Digitalisation of Online Elections	オンライン選挙のデジタル化
Certification of Online Elections Products	オンライン選挙製品の認証
Secret Online Elections	秘密のオンライン選挙
Shaping Security – How Online Elections Products Are Advancing Software Certification	セキュリティの形成 - オンライン選挙製品のソフトウェア認証の進め方
Protecting Information and Elections Securely	情報と選挙を安全に保護する
Online Events and Elections	オンラインイベントと選挙
Digital Elections and Elections Processes – Opinions from the Field	デジタル選挙と選挙プロセス - 現場からの意見
The BSI	BSI
The BSI and State Elections	BSIと国政選挙
Shaping Digitalisation in Germany – and at the BSI	ドイツのデジタル化、そしてBSIのデジタル化
BSI Boosts Presence and Networking	BSIのプレゼンスとネットワーキングを強化
Getting Better Every Day – The BSI Employee Survey	日々向上するBSIの従業員調査
The State of IT Security in Germany in 2021	2021年のドイツにおけるITセキュリティの状況
Cyber Security over the Past 12 Months	過去12ヶ月間のサイバーセキュリティ
The German IT Security Act 2.0	ドイツITセキュリティ法2.0
IT Security in Practice	ITセキュリティの実践
The IT Security Label	ITセキュリティラベル
Digital Consumer Protection Report	デジタル消費者保護レポート
Well Prepared for the Next Emergency	次の緊急事態への備え
BSI International	BSIインターナショナル
Strengthening Europe’s Digital Sovereignty	欧州のデジタル主権を強化するために
The European Citizens’ Initiative	欧州市民イニシアチブ
New Impetus to Strengthen the Digital Single Market	デジタル単一市場の強化に向けた新たな原動力
Digital Society	デジタル社会
Crash Test for Cyber Security	サイバーセキュリティのクラッシュテスト
Next Stage for the Smart Meter Gateway	スマートメーター・ゲートウェイの次のステージ
Smart eID –  The Future of Mobile Identity	スマートeID - モバイル・アイデンティティの未来
Interview with the Federal Returning Officer	連邦政府選挙管理委員会（Federal Returning Officer）インタビュー
BSI Basic Tip: Access Your Data from Anywher	BSIの基礎的ヒント： どこからでもデータにアクセスできる

---

● まるちゃんの情報セキュリティ気まぐれ日記

・電子投票

NISTIR 8310 (Draft) サイバーセキュリティフレームワーク(CSF) 選挙インフラのプロファイル

こんにちは、丸山満彦です。

NISTがNISTIR 8310 (Draft) Cybersecurity Framework Election Infrastructure Profile（サイバーセキュリティフレームワーク 選挙インフラプロファイル）を公表していますね。。。

米国では選挙システムは重要インフラセクターの政府施設セクター (Government Facilities Sector) の選挙インフラサブセクター (Election Infrastructure Subsector) に入っていますよね。。。電子投票が中心だしね。。。

● NIST - ITL

・2021.03.29 NISTIR 8310 (Draft) Cybersecurity Framework Election Infrastructure Profile

Announcement	発表
To help secure our elections, NIST has released Draft NISTIR 8310, Cybersecurity Framework Election Infrastructure Profile. This Profile provides a voluntary, risk-based approach for managing cybersecurity activities and reducing cyber risk to election infrastructure. The Profile is meant to supplement but not replace current cybersecurity standards and industry guidelines available to election officials.	選挙の安全を確保するため、NISTはドラフトNISTIR 8310「Cybersecurity Framework Election Infrastructure Profile」を発表しました。このプロファイルは、サイバーセキュリティ活動を管理し、選挙インフラへのサイバーリスクを低減するための、リスクベースの自主的なアプローチを提供するものです。本プロファイルは、選挙管理者が利用できる現行のサイバーセキュリティ基準や業界ガイドラインを補完することを目的としており、これに代わるものではありません。
This profile can be used in several ways, including the following:	このプロファイルは、以下のようないくつかの方法で使用することができます。
・To highlight and communicate high priority security expectations,	・優先度の高いセキュリティ上の期待事項を強調して伝えるため
・To perform a self-assessment comparison of current risk management practices, or	・現在のリスク管理方法の自己評価比較を行うため
・As a baseline profile or example profile to reference when developing one’s own.	・独自のプロファイルを作成する際の基準となるプロファイルやサンプルプロファイルとして
We look forward to reviewing all of your comments. We’d also appreciate your feedback on the following:	皆様からいただいたご意見を参考にさせていただきたいと思います。また、以下の点についてもご意見をお聞かせください。
・Does this profile meet your needs?	・このプロファイルはあなたのニーズに合っていますか？
・Are there specific sections more/less helpful?	・より役に立つ、あまり役に立たないセクションがありますか？
・Share any thoughts about the separation of Mission Objective 1 into 1a and 1b (see Section 5).	・Mission Objective 1を1aと1bに分けたこと（セクション5参照）
Abstract	概要
This document is a Cybersecurity Framework (CSF) Profile developed for voting equipment and information systems supporting elections. This Election Infrastructure Profile can be utilized by election administrators and IT professionals managing election infrastructure to reduce the risks associated with these systems. This Profile provides a voluntary, risk-based approach for managing cybersecurity activities and reducing cyber risk to election infrastructure. The Profile is meant to supplement but not replace current cybersecurity standards and industry guidelines that the election administrators are already leveraging.	本文書は、選挙をサポートする投票機器および情報システムのために開発されたサイバーセキュリティフレームワーク（CSF）プロファイルです。この選挙インフラプロファイルは、選挙インフラを管理する選挙管理者およびIT専門家が、これらのシステムに関連するリスクを低減するために利用することができます。このプロファイルは、サイバーセキュリティ活動を管理し、選挙インフラへのサイバーリスクを低減するための、リスクベースの自主的なアプローチを提供します。本プロファイルは、選挙管理者がすでに活用している現行のサイバーセキュリティ基準や業界ガイドラインを補完するものであり、これに代わるものではありません。

・[PDF] NISTIR 8310 (Draft)

Table of Contents	目次
1 Introduction	1 はじめに
1.1 Purpose	1.1 目的
1.2 Scope	1.2 対象範囲
1.3 Audience	1.3 想定読者
1.4 Document Structure	1.4 文書構造
2 Overview of Election Infrastructure	2 選挙インフラの概要
2.1 Exploring the Elections Infrastructure Subsector	2.1 選挙インフラストラクチャーサブセクターの概要
2.2 Relationship to the Voluntary Voting System Guidelines (VVSG)	2.2 VVSG（Voluntary Voting System Guidelines）との関係
3 Overview of the CSF	3 CSFの概要
3.1 The Framework Core	3.1 フレームワークのコア
3.1.1 Core Functions	3.1.1 コア機能
3.1.2 Core Categories and Subcategories	3.1.2 コアカテゴリーとサブカテゴリー
3.2 Applying the Cybersecurity Framework	3.2 サイバーセキュリティ・フレームワークの適用
4 Profile Development Methodology	4 プロファイル開発の方法論
4.1 Election Profile Workshop	4.1 選挙プロファイルワークショップ
4.2 Follow-on Working Sessions Profile Development	4.2 フォローオンワーキングセッションでのプロファイル作成
5 Election Infrastructure Mission Objectives	5 選挙インフラのミッション目標
6 Summary Framework Category Prioritization	6 要約フレームワークカテゴリーの優先順位付け
6.1 Priority Categories by Mission Objective	6.1 使命目標別の優先カテゴリー
6.2 Summary Table	6.2 まとめの表
7 Priority Subcategories by Mission Objective	7 ミッション目標別の優先サブカテゴリー
References	参考文献
List of Appendices	附属書リスト
Appendix A— Acronyms	附属書A - 頭字語
Appendix B— Workshop Attendees	附属書B - ワークショップの参加者
Appendix C— Informative References	附属書C - 参考文献

---

■ 参考

● NIST- ITL

・2018.04.16 [PDF] Cybersecurity Framework Version 1.1

● CISA - Infrastructure Security - Critical Infrastructure Sectors - Government Facilities Sector - Election Infrastructure Subsector

・2020.07.28 [PDF] CRITICAL INFRASTRUCTURE SECURITY AND RESILIENCE NOTE - ELECTION INFRASTRUCTURE CYBER RISK ASSESSMENT

FIGURE 1—ELECTION SYSTEM FUNCTIONAL ECOSYSTEM

● Department of Homeland Security - Topics - Election Security

● U.S. Election Assistance Commission - VOLUNTARY VOTING SYSTEM GUIDELINES

・Approved Guidelines - Voluntary Voting System Guidelines Version 2.0

• 2021.02.10 [PDF] VVSG 2.0 

• [PDF] VVSG 2.0 Test Assertions 1.0 

• [EXLS] Public Comments 
  
  
• [HTML] Press Release: 2021 VVSG Adopted 

このブログでもドラフトを紹介していましたね。。。

● まるちゃんの情報セキュリティ気まぐれ日記

・2020.03.16 アメリカ連邦選挙支援委員会(Election Assistance Commission)電子投票の仕様に関するガイドラインである任意的投票システムガイドライン(Voluntary Voting System Guideline = VVSG)バージョン2.0案

---

まるちゃんブログの電子投票関係...はこちら！！！

Continue reading "NISTIR 8310 (Draft) サイバーセキュリティフレームワーク(CSF) 選挙インフラのプロファイル"

情報ネットワーク法学会 第20回研究大会

こんにちは、丸山満彦です。

情報ネットワーク法学会が11月28日、29日に 第20回研究大会を開催します。

今年は、COVID-19の影響でオンライン開催です。

以下、プログラムの要約です。各発表の日時、発表者はプログラムのページで確認してくださいませ。。。

個別報告は

1. プロバイダ責任法4条3項(発信者情報をみだりに用いることの禁止)に関する検討
2. 本人の知らない個人情報の流通に対する政策の日米欧比較
3. 閲覧制限情報と非公開情報の交錯
4. 大学の個人情報保護関連規程の事例比較―日本と韓国の国立・私立大学の当該規程に表れた利活用に係る規定の態様と国家機関との関係を中心に―
5. 青少年のネット利用対策（コロナ禍下でのSNS相談を通じての考察）
6. 信認義務に依拠したプライバシーの再構築―専門家責任に基づく義務論として
7. 構造上の問題」に挑む―デジタルプラットフォーム規制の欧州アプローチ
8. デジタルプラットフォームにおける外国会社登記義務及び国内代表者・代理人指定義務についての考察
9. 顔認証技術の適正な利用の促進に向けた法的課題 ―ポートランド市顔認証技術禁止条例の検討を通じて―
10. SNSを介した世論操作と国際法上の不干渉原則に関する一考察―COVID-19パンデミックにおけるディスインフォメーション戦略の適法性を中心に―
11. スマートシティのデータガバナンス：Sidewalk Labsによるトロントスマートシティプロジェクトからの一考察
12. 選挙に関するフェイクニュース・ディスインフォメーションの法的規制
13. 航空法2020年改正と今後のドローンの利活用に係る法制度設計の課題

研究会報告は、

1	インターネット投票研究会	インターネット投票実現に向けた最新展望
2	ビジネス法務研究会	最近のシステム開発取引の実務の変化（改正債権法施行の影響等）
3	ビジネス法務研究会	ウィズコロナを念頭に医療情報の課題整理
4	ソーシャルメディア研究会	キャンセルカルチャーとソーシャルメディア
5	個人情報保護研究会	組織間の協創・協業によるデータ活用とコミュニケーション～企業の立場から～
6	ネット社会法務研究会	コンピューター・ウイルス罪がはらむ諸問題―コインハイブ事件控訴審判決と最高裁への上告をめぐって―
7	プロバイダ責任制限法研究会	2020年発信者情報開示制度改正の最前線
8		サイバー攻撃被害情報の共有と公表に係る諸課題について（仮）
9	個人情報保護研究会	官民一元化・COVID-19対応を踏まえた2000個問題の再定位
10	ロボット法研究会	対話知能システムの研究開発及び社会実装のための法社会規範の研究

となっています。。。

情報ネットワーク法学会は2002年5月に設立されたので、いま18年目です。私も、この学会の発起人の一人として名前を連ねております。

当時、法律面の勉強をするために色々なセミナーを探して参加し、積極的に大学の先生や弁護士の方に質問等をしておりました。当時から弁護士では岡村先生は経験も豊富でしたね。。。高橋郁夫弁護士、小松弁護士（不慮の事故でなくなってしまいました）はプログラムもかける弁護士でした。当初学会に事務所を提供してくれていたのは藤田先生でした。お世話になりました。落合先生は当時ヤフーでしたね。。。丸橋さん、鈴木正朝さん、当時パナソニックの金子さんが同じく実務界では積極的に活動されていたように思います。大学の先生では、夏井先生（元裁判官）、指宿先生、笠原先生、町村先生、水谷先生（京大の情報倫理）、藤本先生、米丸先生の活躍が記憶にあります。プライバシーからロボット法に中心をうつされた新保先生は当時は助手でしたかね。。。役所からは総務省の阪本和男さん（その後内閣官房で一緒に働くことになりました）、法務省の早貸さん（経済産業省に出向し、その後JPCERT/CCで一緒に働くことになりました）、警察庁の坂明さん（今の東京オリンピック委員会のCISOですね）。もちろん、発起人代表でISO/IEC13335, SC27で活躍されていた苗村先生も。。。名簿をみると当時の方の一人一人が思い出されますね。。。確か、私は第一期の監事になったような気がします。違うかも(^^;;

米国から帰って2年ほど立っていた当時の私は、ある企業へのコンサルティングがきっかけでセキュリティの仕事もするようになったのですが、その際に、セキュリティはマネジメント、技術、法律の三位一体で進めないといけないということに気付き、色々と考えていました。

たまたま、日本公認会計士協会のJICPAジャーナル（現在の「会計・監査ジャーナル
」）の編集に関わっていた和田頼知さん（現在は日本触媒の監査役で、長く米国アトランタ事務所に駐在していた方）から「丸山、今どんなことしてんねん！」と言われて、「情報セキュリティをしている」と答えたら、これからは「セキュリティが重要となるから、会計士のみんなにも広く知ってもらわないといけないな。お前記事かけ」と言われて、特集の段取りをして2001年3月号の特集記事として書きました。当時、情報セキュリティマネジメントに関する英国の標準（BS7799）を国際標準にしようとか、経済産業省の「情報処理サービス業情報システム安全対策実施事業所認定制度」 を廃止して民間の認証制度（JIPDECによるISMS適合性評価制度）に変えようとしていた時でした。国際的調和を考えてISO化が見えていたBS7799をベースにした制度を私は推奨し、そうなりました。。。

● 日本公認会計士協会

・[PDF] JICPAジャーナル年間総目次 2001年（平成13年1月号-12月号）

3月号の特集でした。。。

●特集：情報セキュリティマネジメント

• 情報セキュリティマネジメントについての政府の方向性　山本 文土
• BS7799の概要とISO化　高橋 圭二
• 先進企業における情報セキュリティマネジメントの実際と公認会計士の役割　丸山 満彦
• 法律面から見た情報セキュリティマネジメントの重要性　牧野 二郎

20年前から基本のところは変わっていないのだろうと思います。。。まぁ、概ねすべてのことが、マネジメント、技術、法律（制度）から考えることが必要ということなのかもしれませんが。。。

ちなみに山本文土さんは外務省からの出向の方で、頭脳明晰で決断もできる優秀な方でしたね。。。2019.09.09の異動で現在は、アジア大洋州局地域政策参事官となられているようですね。。。

Oktaのプライバシーのコストについてのレポート (2020) をどう読むか？？？

こんにちは、丸山満彦です。

Oktaがプライバシーコストレポート2020を公表していますが、なかなか興味深いです。

オーストラリア、フランス、ドイツ、オランダ、イギリス、米国の6か国で12,000人を調査したようです。。。

● Okta

・ The Cost of Privacy 2020

・2020.06.24 (blog) The Cost of Privacy: Understanding the Global Ramifications of Data Collection by Frederic Kerrest

-----

1 消費者は自分のデータの追跡の程度について過小評価している

2 消費者は、COVID-19の感染拡大を追跡することを含め、プライバシーが優先すると思っている

3 政府への不信感が高い

4 消費者は多少の現金よりプライバシーを重視する

5 本人確認が民主主義に打撃を与えているが、郵送投票が助けになるかもしれない

-----

● Teiss
・2020.07.01 Data privacy Most Brits willing to trade privacy for robust COVID-19 contact tracing efforts by Jay Jay

A new survey has found that a majority of Brits are willing to forego their privacy to help set up a robust COVID-19 contact tracing system that can prevent the spread of the virus.

● UK Tech News
・2020.06.26 Privacy concerns as 84% of UK citizens believe their contact tracing data will be used for purposes unrelated to COVID-19

----

Most UK respondents are uncomfortable with the idea of companies collecting their data, particularly offline conversations overheard by devices (82%), passwords (79%) and biometric data (77%). 82% are also worried their data will be held insecurely, in addition to concerns about sacrificing too much privacy (76%) and impacting finances, such as insurance premiums (62%).

----

COVID-19でオンライン投票は普及するのか？

こんにちは、丸山満彦です。

COVID-19によって、人との接触を避けることが推奨される中、会社の業務や授業がオンラインで行われていますが、大統領選、議員選などもオンラインでできないかと言うことが気になりますよね。

米国では州によって異なりますが、海外在住者、軍関係者などにオンライン投票が認められているケースもあります。これを全ての有権者に拡げるのはどうかと言うことです。

投票へのアクセス手法を増やすことにより、有権者の意思をより反映しやすくできる反面、投票の匿名性が担保されているか、改竄が行われていないか、を確認することが紙よりも困難で投票結果の信頼性の問題があります。

難しい問題ですが、下記の記事もそのような点を踏まえて書かれていますね。。。

日本でも地方自治体で、電子投票機を使った非オンライン式の電子投票は可能ですが、普及はしていませんね。。。

エストニアは、国政選挙にオンライン選挙を導入していますよね。。。

● WIRED

・2020.05.12 Online Voting Has Worked So Far. That Doesn’t Mean It's Safe by LILY HAY NEWMAN  

● Wikipedia

・Electronic voting by country

● まるちゃんの情報セキュリティ気まぐれ日記

・電子投票

・2020.03.16 アメリカ連邦選挙支援委員会(Election Assistance Commission)電子投票の仕様に関するガイドラインである任意的投票システムガイドライン(Voluntary Voting System Guideline = VVSG)バージョン2.0案

・2007.12.19 国政選挙でも電子投票ができるようになる？

・2005.07.10 可児市市議選　選挙無効確定！

2020年11月の大統領選はネット投票が行われるか？

こんにちは、丸山満彦です。

米国のCOVID-19の影響は非常に大きいですね。もし、この状態が11月まで続くと大統領選にまで影響することになるかもしれません（集会等が難しくなっているので、少なくとも選挙活動には影響していますね）。現在のところは、大統領選の延期や投票方法の変更などがある等の特段の発表はされていません。

対面での投票が難しくなっても、インターネット投票ではなく、郵送等の方法でするのが良いのではと思います。

● Cyber Scoop

・2020.04.08 Experts: Internet voting isn’t ready for COVID-19 crisis by Brett Winterford

上記の記事によると、米国のセキュリティ専門家も同じ感覚ですね。

郵送が良いと言っている専門家もいますね。。。

-----

COVID-19 presents a very specific problem to the November election, he said, for which online voting isn’t necessarily the right answer. The need is for a mode of voting that doesn’t require hundreds of people to congregate in queues at polling stations. “But that problem is solved already,” Hursti said. “We’ve had early ballots, absentee ballots, mail-in ballots and other methods of voting for 40 or 50 years.”

-----

● Cyber Scoop

・2020.03.17 Election commission hires cyber-savvy adviser to support 2020 efforts by Sean Lyngaas

アメリカ連邦選挙支援委員会(Election Assistance Commission)電子投票の仕様に関するガイドラインである任意的投票システムガイドライン(Voluntary Voting System Guideline = VVSG)バージョン2.0案

こんにちは、丸山満彦です。

湯浅先生のブログ（Harumichi Yuasa's Blog 雑記帳Blog版）で知ったのですが、

アメリカ連邦選挙支援委員会(Election Assistance Commission)から、電子投票の仕様に関するガイドラインである任意的投票システムガイドライン(Voluntary Voting System Guideline = VVSG)のバージョン2.0案が公開され、昨年2月から5月までのパブリックコメントの期間をへて、今後、正式に採択されるとみられる。

とのことのようです。。。

湯浅先生のブログで詳細がありますので、参考にしてくださいませ。

● Harumichi Yuasa's Blog 雑記帳Blog版
・2020.03.15 アメリカ連邦選挙支援委員会（EAC）任意的投票システムガイドライン2.0案

湯浅先生の仮訳のうち、原則部分を抜粋しました。。。

• 原則
  
  原則1：高品質のデザイン
  投票システムは、選挙過程を正確、完全かつ確実に実施されるよう設計される。
  
  原則2：高品質の実践
  投票システムは、質の高いベストプラクティスを用いて実装される。
  
  原則3：透明性
  投票システムおよび投票プロセスは、透明性を提供するよう設計される。
  
  原則4：相互運用性
  投票システムは、外部システムへのインターフェイス、内部コンポーネントへのインターフェイス、データ、および周辺機器の相互運用性をサポートするように設計される。
  
  原則5：同一かつ一貫した有権者のアクセス
  すべての有権者は、その能力にかかわりなく、差別なしに投票システムにアクセスし使用することができる。
  
  原則6：有権者のプライバシー
  有権者は、個人的にかつ独立して、投票に印を付け、検証し、投票することができる。
  
  原則7：意図された通りに印を付けられ、確認され、投票されること
  投票と投票の選択は、知覚可能、操作可能、理解可能な方法で提示され、すべての投票者が印を付け、検証し、投票できるものとする。
  
  原則8：堅牢、安全、使用可能性、アクセス可能性
  投票システムおよび投票プロセスは、強固で、安全で、利用可能で、アクセス可能なものを提供する。
  
  原則9：監査可能性
  投票システムは監査可能であり、証拠に基づいた選挙を可能とする。
  
  原則10：投票の秘密
  投票システムは、有権者の投票選択の秘密を保護します。
  
  原則11：アクセス制御
  投票システムは、機密機能へのアクセスを許可する前に、管理者、ユーザー、デバイス、およびサービスを認証する。
  
  原則12：物理的セキュリティ
  投票システムは、投票システムのハードウェアを改ざんする試みを防止または検出する。
  
  原則13：データ保護
  投票システムは、機密データを不正なアクセス、変更、または削除から保護する。
  
  原則14：システムの完全性
  投票システムは、意図的であろうと偶発的であろうと、システムの不正な操作から解放され、意図した機能を損なわない方法で実行する。
  
  原則15：検知と監視
  投票システムは、異常な動作または悪意のある動作を検知するメカニズムを提供する。
  

● U.S. Election Assistance Commission (EAC)
・VOLUNTARY VOTING SYSTEM GUIDELINES
　・[PDF] TGDC Recommended VVSG 2.0 Principles and Guidelines

大統領選に向けて投票システムを下見？

　こんにちは、丸山満彦です。電子投票が行われると、こういう話はでてきますね・・・

Continue reading "大統領選に向けて投票システムを下見？"