IoT

2026.04.12

総務省 EU、情報通信技術委員会(TTC) ETSIの協力についての公表... (2026.03)

こんにちは、丸山満彦です。

総務省とEU、TTCとETSIの連携についての発表がそれぞれされているので、参考まで...

 

● 総務省

・2026.03.31 日EU・ICTラウンドテーブル及び日EU・ICT政策対話(第31回)の結果

総務省は、3月27日(金)、欧州委員会 通信ネットワーク・コンテンツ・技術総局とともに、日EU・ICTラウンドテーブル及び日EU・ICT政策対話(第31回)を東京にて開催した。

 

1 日EU・ICTラウンドテーブル 2 日EU・ICT政策対話(第31回)
(1)概要 (1)概要
本ラウンドテーブルは、デジタル分野における政策、取組について日EUの官民で相互理解を深め、連携・協力を推進することを目的としている枠組みであり、ICT分野に関する幅広い議題が取り上げられ官民で活発な意見交換が行われました。 本政策対話は、ICT分野における政策について日EUの政府間で相互理解を深め、連携・協力を推進することを目的としています。今回の会合では、日EU間におけるICT分野の重要テーマに関し、双方の最新の取組について活発な議論が行われました。
(2)主な成果 (2)主な成果
ア Beyond 5G/6G ア 5G・Beyond 5G/6G
日本側から、オール光ネットワーク(APN)に係る取組、データセンターの分散化等データセンターに係る取組、日EU間における国際共同研究を含む最新の取組、オープンRANに関する取組を説明しました。EU側からは、6G研究開発における日EU産学連携、民間の標準化活動の状況、目標とする6Gの在り方等についての説明がありました。双方の説明を踏まえ、日EUで更なる協力を推進していくことの重要性が確認されました。 日本側から、デジタル海外展開総合戦略2030、オープンRANの第三国展開、AI RANの推進等について説明を行い、また、日EU双方にてBeyond5G/6Gの標準化を見据え昨年4月から開始された国際共同研究プロジェクトの進捗状況等を確認した上で、双方の取組について議論を行いました。
イ AI RAN ウ AI
日EU双方で、AIによるRAN最適化・自動化の進展を踏まえた、ネットワーク効率化、運用コスト削減、新収益モデル、物流ロボット制御の実証、相互運用性確保に向けた協力の方向性や標準化の重要性について議論を行い、日欧協調のもと、最適なAI実行基盤と移行の重要性が確認されました。 日本側から、広島AIプロセスの報告枠組み、フレンズグループ及びパートナーズコミュニティの状況、AI推進法、AI基本計画等について説明を行い、EU側からは、AI法及び行動規範、AIセーフティ・インスティテュート等について説明があり、双方の取組について議論を行いました。
ウ オンラインプラットフォーム(偽・誤情報対策) エ オンラインプラットフォーム
日本側から、偽・誤情報や新たなAIリスクへの対応を目的として昨年創立された国際コンソーシアム「Frontria(フロントリア)」の取組について説明を行い、EU側からはデジタルサービス法(DSA)や欧州民主主義の盾(EUDS)などの取組、リテラシー向上のための市民教育の取組等の紹介が行われ、双方の連携も含めた偽・誤情報対策について議論を行いました。 日本側から、青少年インターネット環境整備法及び政府における取組・議論の状況、総務省の青少年のインターネット利用環境整備の取組を紹介し、EU側からはDSAの施行状況、体制強化、スナップチャットの調査等青少年保護の取組について説明があり、双方の取組について議論を行いました。
エ ワイヤレス給電  
日本側から、ワイヤレス給電技術及びその商用化の取組について説明を行い、普及の課題も含めた議論を行いました。  
オ 量子 イ 量子
日本側から、量子鍵配送、耐量子暗号を組み合わせた量子セキュアネットワークの取組及び量子インターネットに向けた量子通信システム、量子中継器等関連技術の開発動向の説明をしました。EU側からは、日EU共同研究「Q-NEKO」の取組につき紹介があり、日EU双方で、安全性向上や国際標準化、相互接続性確保に向けた協力の可能性や今後の課題等について議論を行いました。 日本側から、量子エコシステム構築に向けた推進方策、量子技術イノベーションハブ、量子通信技術の研究開発、Q-STARとの連携等について説明を行い、EU側からは、欧州における量子通信ネットワーク構築のための「EuroQCI」プロジェクトの進捗につき説明が行われました。
カ サイバーセキュリティ オ サイバーセキュリティ
日EU双方から、高度化するサイバー脅威への対応に向け、アクティブ・サイバーディフェンスの取組、サプライチェーンの安全確保に向けた取組等につき説明を行い、情報共有の在り方や国際協力の深化に関する連携の方向性について議論を行いました。 日本側から、サイバー対処能力強化法を始めとする政府全体の取組や、日ASEANサイバーセキュリティ能力構築センター(AJCCBC)等における能力構築支援等の総務省の取組について説明を行い、EU側からは、サイバーレジリエンス法、重要インフラ・サプライチェーンの安全保障の取組、人材育成の取組について説明があり、双方の取組について議論を行いました。
キ 官民連携  
日本側から、海外において通信・放送・郵便事業を行う者等に対しリスクマネー供給等の支援を行う官民ファンドである株式会社 海外通信・放送・郵便事業支援機構(JICT)の取組を紹介し、EU側からは、日・EUビジネス・ラウンドテーブル(BRT)の取組につき紹介を行いました。  
ク データスペース  
日本側から、日本のデータスペース基盤「ウラノス・エコシステム」の取組につき紹介し、日EU双方で、産業間データ連携の高度化に向け、相互運用性、ガバナンス、標準化の在り方を共有し、日本のDFFT(信頼性のある自由なデータ流通)とも整合した、安全かつ円滑なデータ流通を実現するための協力可能性や今後の課題について議論しました。  
  カ デジタルインフラ
  日EU双方から、昨年5月に立ち上げに合意した日EU海底ケーブルワーキンググループにおける議論の進捗につき報告があり、今後の協力について議論を行いました。
(参考)日EU・ICTラウンドテーブル出席者 (参考)日EU・ICT政策対話(第31回)出席者
日本側:総務省 今川総務審議官、国立研究開発法人情報通信研究機構(NICT)、 株式会社海外通信・放送・郵便事業支援機構(JICT)、関連企業 ほか 日本側:総務省 今川総務審議官 ほか
EU側: 欧州委員会 通信ネットワーク・コンテンツ・技術総局スコルダス次長、関連企業 ほか EU側: 欧州委員会 通信ネットワーク・コンテンツ・技術総局スコルダス次長 ほか

 

 

● ETSI

・2026.03.25 From vision to action: Strengthening EU–Japan standards cooperation for trusted digital futures

From vision to action: Strengthening EU–Japan standards cooperation for trusted digital futures ビジョンから行動へ:信頼できるデジタルの未来に向けたEU・日本の標準化協力の強化
Today, ETSI-TTC Workshop, “How European and Japanese SDOs can support the EU-Japan Digital Partnership”, building on the momentum of ETSI’s mission led by Director General Jan Ellsberger in May 2025, highlighted how ETSI and the 𝗧𝗲𝗹𝗲𝗰𝗼𝗺𝗺𝘂𝗻𝗶𝗰𝗮𝘁𝗶𝗼𝗻 𝗧𝗲𝗰𝗵𝗻𝗼𝗹𝗼𝗴𝘆 𝗖𝗼𝗺𝗺𝗶𝘁𝘁𝗲𝗲 (𝗧𝗧𝗖) are shaping the next generation of global standards across new and emerging digital technologies. 本日開催されたETSI-TTCワークショップ「欧州と日本の標準化団体がEU・日本デジタル・パートナーシップをいかに支援できるか」は、2025年5月にヤン・エルスベルガー事務局長が率いたETSIのミッションの勢いを踏まえ、 ETSI情報通信技術委員会(TTC)が、新興のデジタル技術分野における次世代のグローバル標準をいかに形成しているかを強調した
Keynote speakers, Olivier Bringer, Head of Unit for International Affairs and Policy Outreach at the European Commission; Yasushi Furukawa, Director of the ICT Standardization Division at Japan’s Ministry of Internal Affairs and Communications; Hideyuki Iwata, President and Director General of TTC; and Martin Chatel, Chief Policy Officer at ETSI, set a powerful tone. Their messages reinforced that we are at a pivotal moment with AI, quantum technologies, 6G, and trusted data infrastructures rapidly evolving, and that coordinated action between Europe and Japan through ETSI and TTC is essential to shape secure, interoperable, and globally relevant standards. 基調講演者として登壇した、欧州委員会の国際問題・政策連携ユニット長オリヴィエ・ブリンガー氏、総務省情報通信標準化ディビジョン長の古川康氏、TTCの岩田英之理事長兼事務局長、およびETSIのチーフ・ポリシー・オフィサーであるマーティン・シャテル氏は、力強い基調を示した。彼らのメッセージは、AI、量子技術、6G、信頼できるデータインフラが急速に進化する中、我々が重要な分岐点に立っていること、そして安全で相互運用可能かつ世界的に意義のある標準を形作るためには、ETSIとTTCを通じた欧州と日本の協調行動が不可欠であることを強調した。
Throughout the Technical Sessions, moderated by Igor Minaev, Director of External Relations, and Eriko Hondo, Senior Expert at KDDI Corporation, several clear takeaways emerged: 対外関係担当ディレクターのイゴール・ミナエフ氏とKDDI株式会社のシニアエキスパートである本堂恵理子氏が司会を務めた技術セッションを通じて、いくつかの明確な結論が導き出された:
Mobile & Wireless Communications: Trusted and interoperable frameworks remain essential. 6G-Mirai, an EU-Japan collaboration, aims at developing reliable and robust AI-native wireless communication systems. Greater alignment between standardisations bodies, open-source communities and regulators will accelerate innovation and deployment. Specific use cases of Network Functions Virtualisation (NFV) standardized by ETSI ISG NFV represent a successful foundation to build upon. モバイル・ワイヤレスコミュニケーション:信頼性が高く相互運用可能な枠組みは依然として不可欠である。EUと日本の共同プロジェクトである「6G-Mirai」は、信頼性が高く堅牢なAIネイティブの無線通信システムの開発を目指している。標準化団体、オープンソースコミュニティ、規制当局間の連携を強化することで、イノベーションと展開が加速するだろう。ETSI ISG NFVによって標準化されたネットワーク機能仮想化(NFV)の具体的なユースケースは、今後の発展に向けた成功の基盤となっている。
Quantum Technologies & QKD: Quantum technologies will underpin future trust infrastructures for governments and industry. Standards must be interoperable-by-design, testable, and certification-ready to enable scaling. With PQC and QKD nearing deployment, hybrid approaches create new standardisation opportunities. Crypto-agility and global standards will be key to long-term resilience. Proposal for “Quantum-safe Security Profile” as one deliverable usable in both EU and Japan markets. 量子技術とQKD: 量子技術は、政府や産業界における将来の信頼インフラを支える基盤となる。標準は、スケーラビリティを実現するために、設計段階から相互運用性を備え、テスト可能かつ認証対応でなければならない。PQC(量子耐性暗号)とQKD(量子鍵配送)の展開が目前に迫る中、ハイブリッドなアプローチが新たな標準化の機会を生み出す。暗号の俊敏性とグローバルな標準が、長期的なレジリエンシーの鍵となる。「量子耐性セキュリティプロファイル」の提案は、EUと日本の両市場で活用可能な成果物の一つである。
・Artificial Intelligence: apan’s ambition to become the “world’s most AI-friendly country” aligns closely with EU priorities. As stressed by Michaela Klopstra, Vice-Chair of TC SAIsecure-by-design, transparent, and accountable AI, supported by practical lifecycle-based standards EN 304 223, will underpin trustworthy AI adoption. 人工知能:日本が掲げる「世界で最もAIに優しい国」となるという目標は、EUの優先事項と密接に合致している。TC SAIの副議長であるミカエラ・クロプストラが強調したように、実用的なライフサイクルベースの標準EN 304 223に裏打ちされた、設計段階から安全性を確保し、透明性があり、説明責任を果たすAIこそが、信頼できるAIの普及を支える基盤となる。
Data Governance & Data Spaces: AI is reshaping business systems but cannot deliver without trusted data flows. Standardisation drives trust and scale but must balance rigor with flexibility to support evolving and diverse needs, as well as rapid technological evolution. As stressed by Franck Le Gall, Vice-Chair of TC DATA, standards like EN 304 199 and EN 303 760 provide foundational specifications supporting trusted data sharing, interoperability, and governance across data spaces. データガバナンスとデータ空間:AIはビジネスシステムを変革しているが、信頼できるデータフローがなければ成果を上げられない。標準化は信頼と規模拡大を促進するが、進化し続ける多様なニーズや急速な技術的進化に対応するため、厳格さと柔軟性のバランスを取らなければならない。TC DATAの副議長であるフランク・ル・ガルが強調したように、EN 304 199やEN 303 760のような標準は、データ空間全体における信頼できるデータ共有、相互運用性、およびガバナンスを支える基礎的な仕様を提供する。
Stronger EU-Japan cooperation through ETSI and TTC will be key to delivering secure, interoperable, and globally scalable digital solutions. ETSIおよびTTCを通じたEUと日本のより強固な協力関係は、安全で相互運用性があり、グローバルに拡張可能なデジタルソリューションを実現するための鍵となる。

 

EN 304 223 

・・2025 .12 [PDF] Securing Artificial Intelligence (SAI); Baseline Cyber Security Requirements for AI Models and Systems

EN 304 199

・・2026.03 [PDF] Data Solutions (DATA); Data catalogue implementation framework; Guidelines for Data Catalogue
Framework


EN 303 760 

・・2024.10 [PDF] SmartM2M; SAREF Guidelines for IoT Semantic Interoperability; Develop, apply and evolve Smart Applications ontologies



 

1_20260411151801

 

 

 

 

| | Comments (0)

2026.04.01

総務省 「AI事業者ガイドライン第1.2版」と「AI事業者ガイドライン活用の手引き(案)」(2026.03.31)

こんにちは、丸山満彦です。

総務省のウェブページで、「AI事業者ガイドライン第1.2版」と「AI事業者ガイドライン活用の手引き(案)」が公表され、「AI事業者ガイドライン活用の手引き(案)」については意見募集がされていますね...

ガイドラインは経済産業省と総務省の両省の名前です...

AIエージェントやフィジカルAIに関する事項が追加されていますね...このあたりは、国際的な動向をちゃんとみて定義を決めないといけない部分...


① AI事業者ガイドラインとしての定義の追加

✓ AIエージェントの定義
本ガイドラインにおけるAIエージェントとは、特定の目標を達成するために、環境を感知し自律的に行動するAIシステムとする。

✓ フィジカルAIの定義
本ガイドラインにおけるフィジカルAIとは、センサ等によるセンシングを通じて物理環境の情報を取り込み、AIモデルによる処理を経て、設定された目的を達成するための最適な方策を自律的に推論・判断し、アクチュエータ(駆動系)等を介して物理的な行動へとつなげるシステムであり、サイバー空間での処理に留まらず、現実世界に対して直接的な働きかけ(移動、操作、加工など)を行うことを特徴とするものとする。

② 便益の追加
✓ AIエージェント…複数のシステムと連携しながらの自律的行動による、調整・分析・意思決定等の業務効率化の便益を追加
✓ フィジカルAI…物理環境での自律的行動による、労働力不足の補完、安全性向上、介護・生活支援等の便益を追加

③ リスクに関する事項の追加
✓ 自律的行動による人間の意図しない動作、攻撃対象・攻撃手法の増加、複雑機構を持つことによる制御の困難化、悪意のあるコード生成等の事項を追加

④ 留意すべき事項の追加
✓ 人間の判断を介在させる仕組みの構築や最小権限設定、ハードウェア残存データへの配慮等、留意すべき事項を追加

⑤ AIシステム・サービス例の追加
✓ 旅行先予約・提案エージェントや自律移動ロボット、AIエージェント作成サービス等のAIシステム・サービス例を追加


 

● 総務省

・2026.03.31 AI事業者ガイドライン第1.2版

20260401-65536

※AI事業者ガイドライン(1.2版)の更新ポイントについては以下をご参照ください。

20260401-102351

20260401-103020

 

<概要資料>


<ガイドライン資料(英語版・仮訳)> 


 

● まるちゃんの情報セキュリティ気まぐれ日記

Agentic AI & AI Agent

・2026.03.28 Codex CLI Hardening Cheatsheet これは興味深い...

・2026.03.27 OWASP 2026年版 エージェント型アプリケーション向けOWASP Top 10 (2025.12.09)

・2026.03.25 Claude Code Hardening Cheatsheet これは興味深い...

・2026.03.15 米国 財務省 FSSCC CRI AIレキシコン、金融サービス向けAIリスク管理フレームワーク (2026.02.19)


・・Artificial Intelligence Executive Oversight Group AI Lexicon February 2026

Agentic AI – A category of AI systems capable of independently making decisions, interacting with their environment, and optimizing processes without direct human intervention. (https://doi.org/10.1016/j.array.2025.100399, https://doi.org/10.3390/fi17090404)

AI Agent – A system that autonomously perceives its environment, decides what to do, and takes actions to achieve its goals. (https://www.mdpi.com/1999-5903/17/9/404)


・2026.03.08 OECD エージェンティックAIの展望とその概念的基盤

Agentic AIとAI Agentを使い分けようとする試みとも言える。さまざまな文献から定義を抜き出し、その特徴を分析しています...

・・The agentic AI landscape and its conceptual foundations

AI agents are systems that can perceive and act upon their environment with a degree of autonomy, using tools as needed to achieve specific goals and adapt to changing inputs and contexts.

Agentic AI generally refers to systems composed of multiple co-ordinated AI agents that can break down tasks, collaborate, and pursue complex objectives autonomously over extended periods. Agentic AI systems are designed to operate in more open-ended, less predictable physical or virtual environments and to function with minimal human supervision.


 

2026.03.02 論文 インテリジェントAI委任 (2026.02.12)

・2026.03.02 論文 新興AIエージェントプロトコル向けセキュリティ脅威モデリング:MCP、A2A、Agora、ANPの比較分析 (2026.02.11)

・2026.02.20 オランダ データ保護庁 OpenClawのようなAIエージェントに重大なセキュリティリスクがある (2026.02.12)

・2026.02.13 米国 NIST 意見募集 ソフトウェアとAIエージェントのID認証・認可の普及促進


・・New Concept Paper on Identity and Authority of Software Agents

AI agents—systems that have the capability for autonomous decision-making and taking action to operate with limited human supervision to achieve complex goals—


・2026.02.09 CSA 自律型AIエージェントのセキュリティ確保

・2026.02.04 シンガポール 韓国 現実的なタスクにおけるデータ漏洩リスクに対するAIエージェントのテスト (2026.01.19)

・2026.01.15 英国 ICO技術展望: エージェント型AI(Agentic AI)

・2026.01.15 米国 NIST CAISI AIエージャントシステムのセキュリティ強化に関するRFI (2026.01.12)


・・ Request for Information Regarding Security Considerations for Artificial Intelligence Agents

AI Agent Systemという使い方をしています...

AI agent systems are capable of planning and taking autonomous actions that impact real-world systems or environments. AI agent systems consist of at least one generative AI model and scaffolding software that equips the model with tools to take a range of discretionary actions. 


2025.11.13 OpenID Japan 「Identity Management for Agentic AI」の翻訳版公開 (2025.11.09)


・・「Identity Management for Agentic AI」の翻訳版

AIエージェントと呼ぶものは、モデル推論時の「決定」をもとに、特定の目標に向けた「行動」を実行する能力を持つAIベースのシステムを指す。


・2025.10.09 英国 ICOの内部AI利用規定が公表され、多くの人が参考にできるようになっていますね...

・2025.04.18 米国 AI政策戦略研究所(IAPS)AIエージェントのガバナンス: フィールドガイド (2025.04.17)


・・AI Agent Governance: A Field Guide

Agents—AI systems that can autonomously achieve goals in the world, with little to no explicit human instruction about how to do so—


 

 

| | Comments (0)

Five eyes(英国除く)低軌道衛星通信システムのリスクと緩和に関する共同ガイダンス (2026.03.25)

こんにちは、丸山満彦です。

オーストラリアのCyber Security Centre、Space Agency、カナダのCCCS、ニュージーランドのNCSC、米国のNSAが共同で、低軌道衛星通信システムのリスクと緩和に関する共同ガイダンスを公表していますね...

オーストラリアが主導したのに、他国が乗ってきた?

3つのセグメントに分けるのは、共通的ですね...

1_20260331183101

 

 

Australian Cyber Security Centre: ACSC

・2026.03.26 Securing space – Cyber security for LEO SATCOM

Securing space – Cyber security for LEO SATCOM 宇宙の安全確保 ― 低軌道(LEO)衛星通信のサイバーセキュリティ
Low Earth Orbit (LEO) satellite communication (SATCOM) services are expanding rapidly, offering new connectivity options but also introducing new cyber security risks. 低軌道(LEO)衛星通信(SATCOM)サービスは急速に拡大しており、新たな接続手段を提供する一方で、新たなサイバーセキュリティリスクももたらしている。
ASD’s ACSC, together with the Australian Space Agency, the Canadian Centre for Cyber Security, the National Security Agency, and the New Zealand National Cyber Security Centre have released guidance to help organisations understand these risks and make informed decisions when procuring or using LEO SATCOM services. ASDのACSCは、オーストラリア宇宙庁、カナダサイバーセキュリティセンター、国家安全保障局、およびニュージーランド国家サイバーセキュリティセンターと共同で、組織がこれらのリスクを理解し、LEO SATCOMサービスの調達や利用時に情報に基づいた意思決定を行えるよう支援するためのガイダンスを発表した。
The guidance outlines risks and mitigations across space, ground and user segments. It also highlights broader risks relating to communication links, supply chains and data management. このガイダンスでは、宇宙、地上、ユーザー各セグメントにわたるリスクと緩和策を概説している。また、通信リンク、サプライチェーン、データ管理に関連するより広範なリスクについても強調している。
Organisations can also use the set of key questions when engaging with LEO SATCOM service providers to help assess their security measures and resiliency. 組織は、LEO SATCOMプロバイダと契約する際、一連の重要質問項目を活用し、そのセキュリティ対策やレジリエンシーを評価することもできる。
If your organisation depends on LEO SATCOM for operations, remote connectivity or critical services, now is the time to review your risks and uplift your security. もし貴組織が業務、遠隔接続、または重要サービスにおいてLEO SATCOMに依存しているなら、今こそリスクを見直し、セキュリティを強化すべき時だ。
Read the full guidance to learn more about cyber security for LEO SATCOM systems. LEO SATCOMシステムのサイバーセキュリティについて詳しく知るには、ガイダンス全文を参照のこと。

 

・2026.03.25 Securing space

Introduction はじめに
Intended audience 対象読者
Background 背景
Emerging trends in LEO SATCOM technologies LEO SATCOM技術の新たな動向
LEO SATCOM cyber security risks and mitigation strategies LEO SATCOMのサイバーセキュリティリスクと緩和策
Further information 詳細情報

・[PDF]

20260331-181019

・[DOCX][PDF]仮訳

 


 

米国...

US. Natilanl Security Agency/Cnetral Security Service: NSA/CSS

・2026.03.24 NSA and ASD’s ACSC Release Joint Guidance on LEO SATCOM System Risks and Mitigations

NSA and ASD’s ACSC Release Joint Guidance on LEO SATCOM System Risks and Mitigations NSAとASD傘下のACSC、低軌道衛星通信システムのリスクと緩和に関する共5同ガイダンスを発表
FORT MEADE, Md.–- March 24, 2026 --The National Security Agency (NSA) joins the Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC) in collaboration with the Australian Space Agency and others in releasing the Cybersecurity Information Sheet (CSI), "Securing space: Cyber security for low earth orbit satellite communications.” メリーランド州フォート・ミード――2026年3月24日――国家安全保障局(NSA)は、オーストラリア信号局傘下のオーストラリア・サイバーセキュリティ・センター(ASDのACSC)と共同で、オーストラリア宇宙局らと連携し、サイバーセキュリティ情報シート(CSI)『宇宙の安全確保:低軌道衛星通信のサイバーセキュリティ』を公表した。
The report highlights high-level cybersecurity risks and mitigation strategies for users of Low Earth Orbit (LEO) satellite communication (SATCOM) systems. The risks and mitigations are detailed through the lens of the space segment comprising the satellites themselves; the ground segment encompassing satellite control centers, ground stations, gateways, and user terminals; the user segment that includes end-user devices, applications, and associated interfaces that connect to LEO SATCOM services; and the communication links and broader supply chain for LEO SATCOM systems. 本報告書は、低軌道(LEO)衛星通信(SATCOM)システムの利用者に向けた、主要なサイバーセキュリティリスクと緩和策を明らかにしている。リスクと緩和策は、衛星そのものを構成する宇宙セグメント、衛星管制センター、地上局、ゲートウェイ、ユーザー端末を含む地上セグメント、LEO SATCOMサービスに接続するエンドユーザーデバイス、アプリケーション、および関連インターフェースを含むユーザーセグメント、ならびにLEO SATCOMシステムの通信リンクおよび広範なサプライチェーンという観点から詳細に説明されている。
The CSI suggests numerous mitigation strategies for the space segment and legacy space equipment, including implementing tailored security measures, and using frequency-hopping signals, redundant communication paths, and anti-jam antennas. For the ground segment, continuous monitoring and anomaly detection are essential. The user segment should focus on strengthening endpoint security and enforcing secure access practices.    CSIは、宇宙セグメントおよびレガシー宇宙機器に対して、個別のセキュリティ対策の実施、周波数ホッピング信号の活用、通信経路の冗長化、妨害対策アンテナの使用など、数多くの緩和策を提案している。地上セグメントにおいては、継続的な監視と異常検知が不可欠である。ユーザーセグメントでは、エンドポイントセキュリティの強化と安全なアクセス慣行の徹底に重点を置くべきである。
The report also provides frameworks for maintaining the resilience of critical networks, while offering valuable insights and guidelines for users to understand their roles and responsibilities in securing LEO SATCOM systems. 本報告書は、重要ネットワークのレジリエンスを維持するための枠組みを提供するとともに、LEO SATCOMシステムのセキュリティ確保における自身の役割と責任を理解するための、ユーザー向けの貴重な知見とガイドラインも提示している。
LEO SATCOM systems improve network resilience and enable emergency communications across both government and private sectors; however, as LEO satellite constellations grow, the attack surface open to adversaries increases, significantly increasing the risk to the system if the correct cybersecurity measures are not applied. LEO SATCOMシステムはネットワークのレジリエンスを向上させ、政府および民間セクター双方における緊急通信を可能にする。しかし、LEO衛星コンステレーションが拡大するにつれ、攻撃者に対して開かれた攻撃対象領域も拡大し、適切なサイバーセキュリティ対策が講じられない場合、システムへのリスクが著しく高まる。
In LEO SATCOM networks, Confidentiality, Integrity, and Availability — known as the CIA triad — are critical to maintaining secure and reliable operations. LEO SATCOM systems face unique challenges due to their distributed architecture and limited physical access to space-based assets. They also rely on radio frequency links that are susceptible to jamming, spoofing, and interception. LEO SATCOMネットワークにおいて、機密性、完全性、可用性(いわゆるCIAトライアド)は、安全かつ信頼性の高い運用を維持するために不可欠である。LEO SATCOMシステムは、その分散型アーキテクチャと宇宙資産への物理的アクセスが限られていることから、特有の課題に直面している。また、ジャミング、スプーフィング、傍受の影響を受けやすい無線周波数リンクに依存している。
Organizations that use LEO SATCOM services are encouraged to review this guidance and adopt the outlined cybersecurity mitigations.   LEO SATCOMサービスを利用する組織は、本ガイダンスを確認し、記載されたサイバーセキュリティの緩和を採用することが推奨される。
Other agencies co-sealing this CSI are the Canadian Centre for Cyber Security (Cyber Centre), New Zealand National Cyber Security Centre (NCSC-NZ), and Australian Space Agency. 本CSIに共同署名した他の機関には、カナダ・サイバーセキュリティセンター(Cyber Centre)、ニュージーランド国立サイバーセキュリティセンター(NCSC-NZ)、およびオーストラリア宇宙局が含まれる。
Read the full report here. 報告書全文はこちらで閲覧できる。

 

 


 

ニュージーランド

NZ National Cyber Security Centre

・2026.03.25 Cyber security for low earth orbit satellite communications

Cyber security for low earth orbit satellite communications 低軌道衛星通信のサイバーセキュリティ
This guidance is intended for users of LEO SATCOM services. It highlights key cyber security risks and corresponding mitigation strategies to support informed decision-making. 本ガイダンスは、LEO SATCOMサービスの利用者を対象としている。情報に基づいた意思決定を支援するため、主要なサイバーセキュリティリスクと、それに対応する緩和策を明らかにする。
The rapid expansion and increasing reliance on Low Earth Orbit (LEO) satellite communication (SATCOM) systems have introduced significant cyber security challenges. As LEO satellite constellations grow, the attack surface for adversaries increases. This growth puts critical networks that depend on these satellite services at greater risk. Securing this infrastructure is essential to ensuring the resilience of commercial communications, national security systems and emergency response capabilities.  低軌道(LEO)衛星通信(SATCOM)システムの急速な拡大と依存度の高まりは、重大なサイバーセキュリティ上の課題をもたらしている。LEO衛星コンステレーションが拡大するにつれ、攻撃者の攻撃対象領域も拡大する。この拡大により、これらの衛星サービスに依存する重要ネットワークは、より大きなリスクにさらされることになる。このインフラを保護することは、商用コミュニケーション、国家安全保障システム、および緊急対応能力のレジリエンスを確保するために不可欠である。
When procuring LEO SATCOM services, users should have a clear understanding of their roles and responsibilities for securing their equities as well as the responsibilities of the service provider. LEO SATCOMサービスを調達する際、利用者は、自社の資産を保護するための役割と責任、およびプロバイダの責任について明確に理解しておくべきである。
This guidance provides a set of critical questions that organisations can ask when discussing security with LEO SATCOM providers.  本ガイダンスは、組織がLEO SATCOMプロバイダーとセキュリティについて協議する際に提示できる一連の重要な質問を提供する。
These questions help ensure that security and resilience are considered alongside performance and capability requirements in the context of evolving threats in the space domain.  これらの質問は、宇宙領域における脅威の進化という文脈において、性能や機能要件と並行してセキュリティとレジリエンスが考慮されることを確実にするのに役立つ。
The authoring agencies acknowledge that many of the cyber security risks and mitigation strategies outlined in this publication may be broadly relevant to satellite communications, beyond just LEO SATCOM services. 作成機関は、本刊行物で概説されているサイバーセキュリティリスクおよび緩和戦略の多くが、単なるLEO SATCOMサービスにとどまらず、衛星通信全般に広く関連し得ることを認識している。

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.03.30 欧州ENISA 宇宙脅威状況 2025 (2025.03.26)

・2024.10.22 中国 端末設備を使用する衛星直接サービスに関する管理規定案 (2024.09.27)

・2024.08.28 米国 国家安全保障局 (NSA) 商用超小型地球局(VSAT)ネットワークの保護

・2024.07.01 防衛省 防衛研究所 「商業宇宙戦争」の時代における防衛組織の課題 + 米国国防総省の商業宇宙統合戦略

・2024.04.24 ドイツ BSIが人工衛星の地上セグメント用のITベースライン保護プロファイルを公表

・2024.04.06 米国 国防総省 商業宇宙統合戦略2024 - 新宇宙戦略は国防総省と民間企業の努力の統合を目指す

・2024.03.29 経済産業省 民間宇宙システムにおけるサイバーセキュリティ対策ガイドライン Ver 2.0

・2024.02.19 ENISA 低軌道(LEO)衛星通信のサイバーセキュリティ評価

・2023.09.26 NIST IR 8441 ハイブリッド衛星ネットワーク(HSN)のサイバーセキュリティフレームワーク・プロファイル

・2023.08.01 NIST NIST IR 8270 商業衛星運用のためのサイバーセキュリティ入門

・2023.06.10 NIST NISTIR 8441(ドラフト)ハイブリッド衛星ネットワークのためのサイバーセキュリティフレームワークプロファイル (2023.06.06)

・2023.05.31 ENISA 海底ケーブルから低軌道衛星通信までのセキュリティの確保 (2023.05.24)

・2023.04.02 経済産業省 民間宇宙システムにおけるサイバーセキュリティ対策ガイドライン Ver1.1

・2023.03.08 欧州 安全な宇宙ベースの接続プログラムを欧州理事会が承認

・2023.01.08 NISTIR 8401 衛星地上セグメント:衛星の指揮・統制を保証するためのサイバーセキュリティフレームワークの適用 (2022.12.30)

・2022.11.06 NIST ホワイトペーパー NIST CSWP 27:ハイブリッド衛星ネットワーク (HSN) 用サイバーセキュリティフレームワーク・プロファイル:注釈付きアウトライン最終版

・2022.08.05 ドイツ BSI 宇宙インフラのためのサイバーセキュリティ

・2022.07.16 経済産業省 令和3年度委託調査報告書(サイバーセキュリティ関係) 2022.07.14現在

・2022.07.14 NIST NCCoE ハイブリッド衛星ネットワーク(HSN)サイバーセキュリティ(ドラフト)

・2022.07.06 NISTIR 8323 Rev. 1 (ドラフト) 基礎的な PNT プロファイル:測位・航法・計時(PNT)サービスの責任ある使用のためのサイバーセキュリティフレームワークの適用 (2022.06.29)

・2022.04.21 NISTIR 8401 (ドラフト) 衛星地上セグメント:衛星の指揮・統制を保証するためのサイバーセキュリティフレームワークの適用

・2022.02.28 NISTIR 8270(ドラフト)商用衛星運用のためのサイバーセキュリティ入門(第2稿)

・2022.02.27 経済産業省 意見募集 「民間宇宙システムにおけるサイバーセキュリティ対策ガイドラインβ版」

・2021.07.02 NISTIR 8270(ドラフト)商用衛星運用のためのサイバーセキュリティ入門

・2021.05.23 GPSの二重化は現在のところ経済効率的ではないようですね。。。

・2021.04.16 U.S. Rand研究所 衛星インターネットサービスは独裁者にとって吉?凶?

・2021.04.12 宇宙経済をサイバー攻撃から守り抜くために by The Center for Security Studies at ETH Zürich at 2021.01.07

・2021.02.13 NIST NISTIR 8323 基本的なPNTプロファイル:測位・航法・計時(PNT)サービスの責任ある使用のためのサイバーセキュリティフレームワークの適用

・2020.11.21 MITREがサイバーセキュリティを含む宇宙関連の5つの技術報告書を公開していますね。。。

・2020.10.23 NISTが測位・航法・計時(PNT)に関連するサービスに関連したセキュリティプロファイルに関する文書(NISTIR 8323)のパブコメを募集していますね。

・2020.09.21 イランのハッカー3名が衛星会社から知財を盗んだ理由等により起訴されていますね。。。

| | Comments (0)

2026.03.27

米国 FCC 家庭用ルータはこれから米国内製造品しか販売できない (2026.03.23)

こんにちは、丸山満彦です。

米国のFCCが家庭用ルータはこれから米国内製造品しか販売できないと公表していますね...要は、販売禁止対象リストに海外製一般家庭用のルータを追加しています...

すでに使われているものはそのまま使えます...

家庭用のルータのセキュリティに関連する活動として、日本では総務省がNoticeを、そして経済産業省(IPA)がJC-STARを始めましたが、米国はCyber Trust Mark制度に被せて、海外製一般家庭用ルータの販売禁止(要は承認しないので売れない)を強制してきた感じですかね...

 

Federal Comunications Cmmission: FCC

・2026.03.23 FCC Updates Covered List to Include Foreign-Made Consumer Routers

FCC Updates Covered List to Include Foreign-Made Consumer Routers FCC、対象リストを更新し、海外製の一般消費者向けルーターを追加
Description  概要
Update Follows Determination by Executive Branch Agencies that Consumer-Grade Routers Produced in Foreign Countries Threaten National Security 今回の更新は、海外で製造された一般消費者向けルーターが国家安全保障を脅かすとの行政機関による判断を受けたものである

 

プレスリリース...

News Release: [docx] [pdf] [txt]

FACT SHEET: FCC Updates Covered List to Include Foreign-Made Consumer Routers, Prohibiting Approval of New Models ファクトシート:FCC、対象リストを更新し海外製の一般消費者向けルーターを追加、新モデルの承認を禁止
Update Follows Determination by Executive Branch Agencies that Consumer-Grade Routers Produced in Foreign Countries Threaten National Security 今回の更新は、海外で製造された一般消費者向けルーターが国家安全保障を脅かすとの行政機関による判断を受けたものである
WASHINGTON, March 23, 2026—Today, the Federal Communications Commission updated its Covered List to include all consumer-grade routers produced in foreign countries.  Routers are the boxes in every home that connect computers, phones, and smart devices to the internet.  This followed a determination by a White House-convened Executive Branch interagency body with appropriate national security expertise that such routers “pose unacceptable risks to the national security of the United States or the safety and security of United States persons.” ワシントン、2026年3月23日—本日、連邦通信委員会(FCC)は、海外で製造されたすべての一般消費者向けルーターを対象に含めるよう、対象リストを更新した。ルーターとは、各家庭にある、コンピュータ、電話、スマートデバイスをインターネットに接続する機器である。 これは、ホワイトハウスが招集した、適切な国家安全保障の専門知識を有する行政機関の省庁間団体が、こうしたルーターが「米国の国家安全保障、あるいは米国人の安全と保安に対して容認できないリスクをもたらす」との判断を下したことを受けたものである。
The Executive Branch determination noted that foreign-produced routers (1) introduce “a supply chain vulnerability that could disrupt the U.S. economy, critical infrastructure, and national defense” and (2) pose “a severe cybersecurity risk that could be leveraged to immediately and severely disrupt U.S. critical infrastructure and directly harm U.S. persons.” 行政機関の判断では、海外製ルーターは(1)「米国経済、 重要インフラ、および国防を混乱させる可能性のあるサプライチェーンの脆弱性」をもたらし、(2)「米国の重要インフラを即座かつ深刻に混乱させ、米国人に直接的な危害を加えるために悪用される恐れのある深刻なサイバーセキュリティリスク」をもたらすと指摘した。
President Trump’s 2025 National Security Strategy stated: “the United States must never be dependent on any outside power for core components—from raw materials to parts to finished products—necessary to the nation’s defense or economy.  We must re-secure our own independent and reliable access to the goods we need to defend ourselves and preserve our way of life.”  トランプ大統領の2025年国家安全保障戦略は次のように述べている。「米国は、国防や経済に必要な中核的構成要素――原材料から部品、完成品に至るまで――について、いかなる外部勢力にも依存してはならない。我々は、自国を防衛し、我々の生活様式を維持するために必要な物資への、独立かつ信頼できるアクセスを再確保しなければならない。」
Malicious actors have exploited security gaps in foreign-made routers to attack American households, disrupt networks, enable espionage, and facilitate intellectual property theft.  Foreign-made routers were also involved in the Volt, Flax, and Salt Typhoon cyberattacks targeting vital U.S. infrastructure. 悪意ある攻撃者は、外国製ルーターのセキュリティ上の脆弱性を悪用し、米国の一般家庭への攻撃、ネットワークの妨害、スパイ活動の実施、知的財産の窃取を助長してきた。外国製ルーターは、米国の重要インフラを標的とした「Volt」「Flax」「Salt Typhoon」といったサイバー攻撃にも関与していた。
The determination included an exemption for routers that the Department of War (DoW) or the Department of Homeland Security (DHS) have granted “Conditional Approval” after finding that such device or devices do not pose such unacceptable risks.  Producers of consumer-grade routers are encouraged to submit an application for Conditional Approval using the guidance attached to the determination.  Applications should be submitted to [mail] 本決定には、国防総省(DoW)または国土安全保障省(DHS)が、当該機器が許容できないリスクをもたらさないと判断した上で「条件付き承認」を付与したルーターに対する免除が含まれている。一般消費者向けルーターの製造業者に対し、本決定に添付されたガイダンスを用いて条件付き承認の申請を行うことが推奨される。申請は [mail]
宛てに提出すること。
As outlined below, today’s action does not impact a consumer’s continued use of routers they previously acquired.  Nor does it prevent retailers from continuing to sell, import, or market router models approved previously through the FCC’s equipment authorization process.  By operation of the FCC’s Covered List rules, the restrictions imposed today apply to new device models. 以下に概説するように、本日の措置は、消費者が以前に購入したルーターを継続して使用することには影響しない。また、小売業者が、FCCの機器認可プロセスを通じて以前に承認されたルーターモデルの販売、輸入、または販売促進を継続することを妨げるものでもない。FCCの「対象リスト」規則の運用により、本日課された制限は新しいデバイスモデルに適用される。
Chairman Carr issued the following statement:  カー委員長は以下の声明を発表した:
“I welcome this Executive Branch national security determination, and I am pleased that the FCC has now added foreign-produced routers, which were found to pose an unacceptable national security risk, to the FCC’s Covered List.  Following President Trump’s leadership, the FCC will continue do our part in making sure that U.S. cyberspace, critical infrastructure, and supply chains are safe and secure.” 「私は、この行政機関による国家安全保障上の決定を歓迎する。また、容認できない国家安全保障上のリスクをもたらすと判断された外国製ルーターを、FCCの『対象リスト』に追加できたことを喜ばしく思う。トランプ大統領のリーダーシップに従い、FCCは今後も、米国のサイバー空間、重要インフラ、およびサプライチェーンの安全とセキュリティを確保するために、我々の役割を果たし続ける。」
Additional Background:  追加の背景:
· The FCC’s Covered List is a list of communications equipment and services that are deemed to pose an unacceptable risk to the national security of the U.S. or the safety and security of U.S. persons. ・FCCの「対象リスト」とは、米国の国家安全保障または米国人の安全・保安に対して容認できないリスクをもたらすとみなされるコミュニケーション機器およびサービスのリストである。
· Under the Secure and Trusted Communications Networks Act, the Commission can update the Covered List only at the direction of national security authorities.  In other words, the Commission cannot update this list on its own and is required to implement determinations that are made by our national security agency experts. ・『安全かつ信頼できる通信ネットワーク法』に基づき、委員会は国家安全保障局の指示があった場合にのみ、対象リストを更新することができる。つまり、委員会は独自にこのリストを更新することはできず、国家安全保障局の専門家による決定を実施することが義務付けられている。
· Equipment on the Covered List (“covered” equipment) is prohibited from getting FCC equipment authorization. Most electronic devices (including consumer-grade routers) require FCC equipment authorization prior to importation, marketing, or sale in the U.S.  Covered equipment is banned from receiving new equipment authorizations, preventing new devices from entering the U.S. market. ・対象リストに掲載された機器(「対象」機器)は、FCCの機器認可を取得することが禁止されている。ほとんどの電子機器(一般消費者向けルーターを含む)は、米国への輸入、販売、または販売促進を行う前に、FCCの機器認可が必要である。対象機器は新たな機器認可を受けることが禁止されており、これにより新規機器の米国市場への参入が阻止される。
· The Cybersecurity and Infrastructure Security Agency encourages organizations to use the Covered List for risk management analysis in their regulatory compliance efforts.  ・サイバーセキュリティ・インフラセキュリティ庁(CISA)は、規制遵守の取り組みにおけるリスクマネジメント分析のために、組織が対象リストを活用することを推奨している。
· Following a similar National Security Determination in December, and a follow-up Determination in January, the FCC recently added the following to the Covered List: “Uncrewed aircraft systems (UAS) and UAS critical components produced in a foreign country†† —except,  (a) UAS and UAS critical components included on the Defense Contract Management Agency’s (DCMA’s) Blue UAS Cleared List, until January 1, 2027,#  (b) UAS critical components that qualify as “domestic end products” under the Buy American Standard, 48 CFR 25.101(a), until January 1, 2027; and (c) devices which have been granted a Conditional Approval by DoW or DHS—and all communications and video surveillance equipment and services listed in Section 1709(a)(1) of the FY25 National Defense Authorization Act (Pub. L. 118-159)”. ・12月の同様の国家安全保障決定および1月の追補決定に続き、FCCは最近、対象リストに以下を追加した: 「外国で製造された無人航空機システム(UAS)およびUASの重要部品」†† —ただし、 (a) 国防契約管理局(DCMA)の「ブルーUASクリアリスト」に掲載されているUASおよびUASの重要部品は、2027年1月1日まで除外される# (b) 「バイ・アメリカン標準」(48 CFR 25.101(a))に基づき「国内最終製品」に該当するUAS重要部品(2027年1月1日まで); および (c) 国防総省(DoW)または国土安全保障省(DHS)から条件付き認可を受けた機器——ならびに2025会計年度国防授権法(Pub. L. 118-159)第1709条(a)(1)項に列挙されたすべてのコミュニケーションおよび映像監視機器・サービス」。
What does this mean?  これは何を意味するのか?
· New devices on the Covered List, such as foreign-made consumer-grade routers, are prohibited from receiving FCC authorization and are therefore prohibited from being imported for use or sale in the U.S.  This update to the Covered List does not prohibit the import, sale, or use of any existing device models the FCC previously authorized.  ・対象リストに追加された新規機器(外国製の一般消費者向けルーターなど)は、FCCの認可を受けることが禁止され、したがって米国内での使用または販売を目的とした輸入も禁止される。この対象リストの更新により、FCCが以前に認可した既存の機器モデルの輸入、販売、または使用が禁止されることはない。
· This action does not affect any previously-purchased consumer-grade routers.  Consumers can continue to use any router they have already lawfully purchased or acquired.  ・この措置は、以前に購入された一般消費者向けルーターには影響しない。 消費者は、すでに合法的に購入または入手したルーターを引き続き使用できる。
· Producers of consumer-grade routers that receive Conditional Approval from DoW or DHS can continue to receive FCC equipment authorizations.  Interested applicants are encouraged to submit applications to [mail]. ・DoWまたはDHSから条件付き承認を受けた一般消費者向けルーターの製造業者は、引き続きFCCの機器認可を受けることができる。関心のある申請者は、[mail]. へ申請書を提出することが推奨される。
For more information, please see our FAQ page . 詳細については、FAQページを参照のこと。

 

FAQ

FAQs on Recent Updates to FCC Covered List Regarding Routers Produced in Foreign Countries

FAQs on Recent Updates to FCC Covered List Regarding Routers Produced in Foreign Countries 海外で製造されたルーターに関するFCC対象リストの最近の更新に関するよくある質問
What is the FCC's Covered List? What restrictions does it impose on "covered" equipment on the List? FCCの対象リストとは何か。リストに掲載された「対象」機器にはどのような制限が課されるのか。
The FCC’s Covered List is a list of communications equipment and services that are deemed to pose an unacceptable risk to the national security of the U.S. or the safety and security of U.S. persons. FCCの対象リストとは、米国の国家安全保障、あるいは米国人の安全・保安に対して容認できないリスクをもたらすとみなされるコミュニケーション機器およびサービスのリストである。
Under the Secure Networks Act, the FCC can update the Covered List only after the direction of a qualifying national security authority. In other words, the Commission cannot update this list on its own and is required to implement determinations that are made by our national security agency experts. 「セキュア・ネットワーク法」に基づき、FCCは適格な国家安全保障局の指示を受けた後にのみ、対象リストを更新することができる。つまり、委員会は独自にこのリストを更新することはできず、国家安全保障局の専門家による決定を実施することが義務付けられている。
Equipment on the Covered List (“covered equipment”) is prohibited from getting FCC equipment authorization. Most electronic devices require FCC equipment authorization prior to importation, marketing, or sale in the U.S. Covered equipment is banned from receiving new equipment authorizations, preventing new devices from entering the U.S. market. 対象リストに掲載された機器(「対象機器」)は、FCCの機器認可を取得することが禁止されている。ほとんどの電子機器は、米国への輸入、販売、または販売開始に先立ち、FCCの機器認可を必要とする。対象機器は新規の機器認可を受けることが禁止されており、これにより新規機器の米国市場への参入が阻止される。
Additionally, the Cybersecurity and Infrastructure Security Agency encourages organizations to use the Covered List for risk management analysis in their regulatory compliance efforts. さらに、サイバーセキュリティ・インフラセキュリティ庁(CISA)は、規制遵守の取り組みにおけるリスクマネジメント分析のために、組織が対象リストを活用することを推奨している。
New models of devices on the Covered List are prohibited from receiving FCC authorization and are therefore prohibited from being imported or sold in the U.S. Being added to the Covered List today does not prohibit the import, sale, or use of any existing device models the FCC previously authorized. 対象リストに掲載された機器の新型モデルは、FCCの認可を受けることが禁止されており、したがって米国への輸入や販売も禁止される。本日対象リストに追加されたとしても、FCCが以前に認可した既存の機器モデルの輸入、販売、または使用が禁止されるわけではない。
The Covered List does not restrict the continued use by consumers of previously-purchased devices. Consumers can continue to use the devices they lawfully purchased. 対象リストは、消費者が以前に購入した機器の継続的な使用を制限するものではない。消費者は、合法的に購入した機器を引き続き使用することができる。
Why did the FCC add routers produced in foreign countries to the Covered List on March 23, 2026? FCCはなぜ2026年3月23日に、海外で製造されたルーターを対象リストに追加したのか?
The FCC updated the Covered List following a thorough review by a White House-convened Executive Branch interagency body with appropriate national security expertise, which jointly and severally made a specific determination that routers produced in any foreign country pose “unacceptable risks to the national security of the United States and to the safety and security of U.S. persons” and should be included on the FCC’s Covered List. FCCは、ホワイトハウスが招集した、適切な国家安全保障の専門知識を有する行政機関間の合同団体による徹底的な検討を経て、対象リストを更新した。同団体は、いかなる外国で製造されたルーターも「米国の国家安全保障および米国人の安全・保安に対して容認できないリスク」をもたらし、FCCの対象リストに含めるべきであるとの具体的な判断を、連帯して下した。
This determination also allowed for exemptions if the Department of War (DoW) or the Department of Homeland Security (DHS) transmits a specific determination to the FCC that a given router, or class of routers, does not pose such risks. この決定では、国防総省(DoW)または国土安全保障省(DHS)が、特定のルーターまたはルーターの分類がそのようなリスクをもたらさないという具体的な判断をFCCに伝達した場合、例外を認めることも可能とした。
Therefore, the FCC updated its Covered List to include “Routers produced in a foreign country, except routers which have been granted a Conditional Approval by DoW or DHS.” したがって、FCCは対象リストを更新し、「国防総省または国土安全保障省から条件付き承認を受けたルーターを除く、外国で製造されたルーター」を含めることとした。
In their determination, national security agencies referenced, among other things, concerns that routers produced in foreign countries could introduce a supply chain vulnerability that could disrupt the U.S. economy, critical infrastructure, and national defense and establish a severe cybersecurity risk that could be leveraged to immediately and severely disrupt U.S. critical infrastructure and directly harm U.S. persons. 国家安全保障局は、その決定において、とりわけ、外国で製造されたルーターがサプライチェーンの脆弱性を招き、米国経済、重要インフラ、国防を混乱させる恐れがあること、また、米国の重要インフラを即座かつ深刻に混乱させ、米国国民に直接的な危害を加えるために悪用され得る深刻なサイバーセキュリティリスクをもたらす恐れがあることなどを懸念材料として挙げた。
What is the impact of the FCC adding routers produced in a foreign country to the Covered List? FCCが外国製ルーターを「対象リスト」に追加したことによる影響は何か。
All “new” models of foreign-produced routers will not be eligible to receive FCC equipment authorization (unless they are granted Conditional Approvals by DoW or DHS) and therefore may not be imported or sold in the U.S. 海外で製造されたルーターの「新規」モデルはすべて、FCCの機器認可を受ける資格がなくなる(DoWまたはDHSによる条件付き承認が与えられた場合を除く)。したがって、米国への輸入や販売はできなくなる。
Foreign-produced routers that have previously received FCC authorization (as shown by the FCC ID on the device) may continue to be imported, sold, and used in the U.S. 過去にFCCの認可を受けている(機器にFCC IDが表示されている)海外製ルーターは、引き続き米国への輸入、販売、および使用が可能だ。
Do consumers currently using covered routers in small and home offices need to do anything? 小規模オフィスやホームオフィスで現在対象ルーターを使用している消費者は、何か対応が必要か?
Consumers currently using covered routers in small and home offices do not need to do anything. 小規模オフィスやホームオフィスで現在対象ルーターを使用している消費者は、何もする必要はない。
The Covered List does not restrict the continued use by consumers of previously-purchased devices. 対象リストは、消費者が以前に購入した機器を継続して使用することを制限するものではない。
Consumers will continue to be able to purchase previously authorized routers. 消費者は、以前に認可されたルーターを引き続き購入することができる。
Are there any restrictions on consumers' ability to use covered routers? 消費者が対象ルーターを使用することについて、何らかの制限はあるか?
No. いいえ。
Are any foreign-produced routers exempt from the Covered List? 対象リストから除外される外国製ルーターはあるか?
Yes, the National Security Determination stated that foreign-produced routers pose unacceptable risk to the national security of the United States and to the safety and security of U.S. persons “unless Department of War (DoW) or the Department of Homeland Security (DHS) transmits to the FCC a specific determination that a given router or class of routers do not pose such risks.” The National Security Determination also included guidance to apply for “Conditional Approvals” from DoW and DHS. DoW and DHS will evaluate individual requests for specific determinations that certain routers do not pose “unacceptable risks.” はい。国家安全保障決定では、外国製ルーターは「国防総省(DoW)または国土安全保障省(DHS)が、特定のルーターまたはルーターの分類がそのようなリスクをもたらさないという具体的な決定をFCCに通知しない限り」、米国の国家安全保障および米国人の安全・保安に対して容認できないリスクをもたらすとされている。 国家安全保障決定には、国防総省(DoW)および国土安全保障省(DHS)への「条件付き承認」申請に関する指針も含まれている。DoWおよびDHSは、特定のルーターが「容認できないリスク」をもたらさないという個別の判断を求める申請を審査する。
Therefore, the FCC updated the Covered List to include “routers produced in a foreign country, regardless of the nationality of the producer, except for routers that have been granted a Conditional Approval by DoW or DHS.”

したがって、FCCは対象リストを更新し、「DoWまたはDHSから条件付き承認を取得したルーターを除き、製造者の国籍にかかわらず、外国で製造されたルーター」を含めることとした。
How can I receive a Conditional Approval for my foreign-produced router? 外国製ルーターの条件付き承認はどのように取得すればよいか?
Entities can apply for “Conditional Approvals” by submitting an email with the information in the guidance to conditional-approvals@fcc.gov. The information will be forwarded to DoW and DHS for their evaluation. The FCC will update the Covered List based on Conditional Approvals it receives from DoW or DHS and publish the relevant information on the Covered List website. 事業体は、ガイダンスに記載された情報を記載した電子メールを conditional-approvals@fcc.gov 宛てに送信することで、「条件付き承認」を申請できる。この情報は、DoWおよびDHSに転送され、評価が行われる。FCCは、DoWまたはDHSから受領した条件付き承認に基づき対象リストを更新し、関連情報を対象リストのウェブサイトに掲載する。
How are routers defined? ルーターはどのように定義されているか?
The FCC followed the definitions in the National Security Determination. FCCは国家安全保障決定における定義に従った。
“Routers” is defined by National Institute of Standards and Technology’s Internal Report 8425A to mean consumer-grade networking devices that are primarily intended for residential use and can be installed by the customer. Routers forward data packets, most commonly Internet Protocol (IP) packets, between networked systems.

「ルーター」とは、国立標準技術研究所(NIST)の内部報告書8425Aにおいて、主に一般消費者向けであり、顧客自身で設置可能な民生用ネットワーク機器と定義されている。ルーターは、ネットワーク接続されたシステム間でデータパケット(最も一般的なのはインターネットプロトコル(IP)パケット)を転送する。
What constitutes “produced in a foreign country”? Is there a content threshold? 「外国で製造された」とは何を指すのか?内容の閾値はあるか?
The National Security Determination states that “[p]roduction generally includes any major stage of the process through which the device is made including manufacturing, assembly, design, and development.” 国家安全保障決定書には、「製造とは、一般的に、製造、組立、設計、開発を含む、デバイスが作られるプロセスの主要な段階のすべてを指す」と記載されている。
In the equipment authorization process, applicants have to self-certify that any RF device is not “covered equipment.” Going forward, this includes self-certification that the RF device is not a router “produced in a foreign country.” 機器認可プロセスにおいて、申請者は、あらゆるRFデバイスが「対象機器」ではないことを自己認証しなければならない。今後、これには、当該RFデバイスが「外国で製造された」ルーターではないという自己認証も含まれる。
Applicants seeking equipment authorization for any router will bear responsibility for certifying, in good faith, that any such router was not “produced in a foreign country.” ルーターの認可を申請する者は、当該ルーターが「外国で生産された」ものではないことを、誠実に証明する責任を負う。
Does the nationality of the entity producing the router affect its status as either “covered” or not-covered? ルーターを生産する事業体の国籍は、そのルーターが「対象」か否かの判断に影響するか。
The nationality of the entity or entities producing routers is not relevant to whether such routers are considered to be “produced in a foreign country.” ルーターを生産する事業体の国籍は、当該ルーターが「外国で生産された」とみなされるかどうかの判断には関係しない。
If a router is designed in the U.S., but manufactured abroad, is it “covered”? What about if a router is designed abroad, but manufactured in the U.S.? ルーターが米国で設計され、海外で製造された場合、それは「対象」となるか。ルーターが海外で設計され、米国で製造された場合はどうか。
Both types of routers are “covered.” The National Security Determination states that “Production generally includes any major stage of the process through which the device is made, including manufacturing, assembly, design, and development.” どちらのタイプのルーターも「対象」となる。国家安全保障決定では、「製造とは、一般的に、製造、組立、設計、開発を含む、デバイスが作られるプロセスの主要な段階をすべて指す」と規定されている。
Producers of routers with these processes made abroad should apply for Conditional Approval.

これらの工程が海外で行われるルーターの製造業者は、条件付き承認を申請すべきである。
Can I import a new model of a foreign-produced router solely for product development purposes? 製品開発目的のみのために、海外生産のルーターの新モデルを輸入することは可能か?
Consistent with FCC regulations, 47 CFR § 2.1204(a)(3), entities may import small batches of unauthorized devices solely for product development purposes, provided such devices are not marketed or sold. FCC規則(47 CFR § 2.1204(a)(3))に準拠し、事業体は、当該機器が販売または流通されないことを条件として、製品開発目的のみのために未認可機器を少量輸入することができる。
Does this action affect the Supplier’s Declaration of Conformity (SDoC) equipment authorization process for routers produced abroad? この措置は、海外で製造されたルーターに対するサプライヤー適合宣言(SDoC)による機器認可プロセスに影響するか?
All newly-covered devices are prohibited from receiving any FCC equipment authorization, including via the streamlined SDoC equipment authorization process. 新たに規制対象となったすべての機器は、簡素化されたSDoC機器認可プロセスを含め、いかなるFCC機器認可も受けることが禁止される。
Entities “identified on the Covered List” are generally prohibited from obtaining equipment authorizations through the SDoC process for even their non-covered devices. 47 CFR §§ 2.906(d); 2.907(c). 「対象リストに記載された」事業体は、対象外の機器であっても、SDoCプロセスを通じて機器認可を取得することが一般的に禁止されている。47 CFR §§ 2.906(d); 2.907(c)。
However, as noted in the Public Notice announcing the routers Covered List update, entities that produce routers in a foreign country are not considered “identified on the Covered List.” Such entities will therefore still be able to take advantage of the SDoC process for their non-covered devices. ただし、ルーターの対象リスト更新を告知する公示で述べられているように、海外でルーターを製造する事業体は「対象リストに記載された」とはみなされない。 したがって、そのような事業体は、対象外機器についても引き続きSDoCプロセスを活用できる。
If someone buys a router outside the US, can they use it in the U.S.? 米国外でルーターを購入した場合、米国で使用することはできるか?
There is no restriction on the use of “covered” routers that have already received FCC equipment authorization and display an FCC ID. すでにFCC機器認可を受けており、FCC IDが表示されている「対象」ルーターの使用に制限はない。
For “covered” routers that have not received FCC equipment authorization, the general answer is “no”.

FCC機器認可を受けていない「対象」ルーターについては、一般的な答えは「いいえ」である。
Is a router produced in the United States containing foreign-produced components now “covered equipment” and prohibited from FCC equipment authorization? 米国で製造されたルーターに外国製の部品が含まれている場合、それは現在「対象機器」となり、FCC機器認可が禁止されるのか?
Non-“covered” devices do not become “covered” simply because they contain a “covered” component part, unless the “covered” component part is a modular transmitter under the FCC’s rules. 47 CFR §§ 2.903(b), 15.212. 「対象外」の機器は、単に「対象」となる部品を含んでいるという理由だけで「対象」となるわけではない。ただし、その「対象」となる部品がFCC規則に基づくモジュール式送信機である場合は除く。47 CFR §§ 2.903(b), 15.212。
Therefore, a router produced in the United States is not considered “covered” equipment solely because it contains one or more foreign-made components. したがって、米国で製造されたルーターは、1つ以上の外国製部品を含んでいるという理由だけで「対象機器」とはみなされない。
Do applicants need to have documentation or evidence to demonstrate that a component was not produced in a foreign country? 申請者は、部品が外国で製造されていないことを証明するための文書や証拠を用意する必要があるか。
To get equipment certification for routers, applicants will need to certify that the device is not covered equipment, i.e. is not produced in a foreign country. ルーターの機器認証を取得するには、申請者は当該デバイスが「対象機器」ではないこと、すなわち外国で製造されていないことを証明する必要がある。
Applicants will need to be able to have sufficient evidence that the routers were not produced in a foreign country to make this certification, but there is no specific documentation or evidence required. 申請者は、この認定を行うために、ルーターが外国で製造されていないことを示す十分な証拠を用意できる必要があるが、特定の書類や証拠が要求されるわけではない。
Does this affect government purchases or use of routers? これは政府によるルーターの購入や使用に影響するか?
No, the Covered List does not restrict the import or sale of routers for the exclusive use by the federal government. いいえ、対象リストは、連邦政府が専ら使用するルーターの輸入や販売を制限するものではない。
Can routers on the Covered List get basic software and firmware edits? 対象リストに掲載されたルーターは、基本的なソフトウェアやファームウェアの更新を受けられるか?
Yes, pursuant to a waiver of its rules, these devices can continue to receive basic software and firmware updates to maintain usability. はい、規則の免除に基づき、これらの機器は使い勝手を維持するために、基本的なソフトウェアおよびファームウェアの更新を引き続き受けられる。

 

1_20260327114101

 

 

| | Comments (0)

2026.03.20

米国 FBI/IC3 あなたの家のルータが犯罪者の踏み台となるのを防ぐ...(2026.03.12)

こんにちは、丸山満彦です。

FBI/IC3が家庭用ルータが犯罪者の踏み台となっていることを踏まえて、一般向けと事業者向けの警告をだしていますね...

日本は、総務省がNOTICEをしていて、経産省がJC-STARも始めて、こういう活動には先手をうっていますよね...

もちろん、警察庁も家庭用ルータに関する警告は昔からだしていますしね...

 

Internet Cyber Crime Center: IC3

一般向け

・2026.03.12 Evading Residential Proxy Networks: Protecting Your Devices from Becoming a Tool for Criminals (Alert Number: I-031226-PSA)

事業者向け
20260319-132909

| | Comments (0)

2026.03.14

欧州 ETSI GR ISC 004 V1.1.1 (2026-02) 統合センシング・コミュニケーション(ISAC);セキュリティ、プライバシー、信頼性、および持続可能性 (2026.03.02)

こんにちは、丸山満彦です。

6G における ISAC(Integrated Sensing and Communication)を安全・プライバシー保護・信頼性・サステナビリティの観点から体系的に整理した包括的なレポートです...

6G の ISAC が社会実装される際に直面する課題を網羅し、19 の主要課題(15 がセキュリティ/プライバシー、4 がサステナビリティ)として整理していますね...

重要課題

5  Key issues on security and privacy 5 セキュリティとプライバシーに関する重要課題
#1: Use of 6GS for unauthorized sensing #1:不正な検知における6GSの利用
#2: Use of sensing signals by the target for data eavesdropping #2:データ盗聴を目的としたターゲットによるセンシング信号の利用
#3: Over-the-air manipulation of 6G RF sensing signals #3:6G RFセンシング信号の無線による操作
#4: Secure handling of sensing data #4:センシングデータの安全な取り扱い
#5: Integrity of ISAC-enabled 6GS entities, and immutability of sensing data or sensing results #5:ISAC対応6GS事業体の完全性、およびセンシングデータまたはセンシング結果の不変性
#6: Sensing privacy, confidentiality, and consent in non-public spaces #6:非公共空間におけるセンシングのプライバシー、機密性、および同意
#7: Privacy issues related to consent and transparency #7:同意と透明性に関するプライバシーの問題
#8: Privacy-related aspects regarding sensing of humans that are not connected to the 6GS #8:6GSに関連しない、人間を対象としたセンシングに関するプライバシー関連の側面
#9: Privacy-related aspects regarding sensing of humans that are connected to the 6GS #9:6GSに接続された人間のセンシングに関するプライバシー関連の側面
#10: Unauthorized passive 6G RF sensing #10:不正な受動的 6G RF センシング
#11: Authorization of ISAC-enabled 6GS entities #11:ISAC対応6GS事業体の認可
#12: Privacy-related aspects regarding UE positioning in sensing #12:センシングにおける UE 位置情報に関するプライバシー関連の側面
#13: Privacy risks from heterogeneous sensing capabilities #13:異種センシング機能に起因するプライバシーリスク
#14: Privacy-related aspects of AI-based sensing data processing #14:AI ベースのセンシングデータ処理におけるプライバシー関連の側面
#15: Privacy challenges and malicious attacks in cooperative sensing #15:協調センシングにおけるプライバシーの課題と悪意のある攻撃
7  key issuess on sustainability 7 持続可能性に関する重要課題
#1: Power consumption of ISAC-enabled 6GS #1:ISAC対応6GSの電力消費
#2: Utilization of spectrum resources in ISACenabled 6GS #2:ISAC対応6GSにおける周波数資源の利用
#3: Overall environmental system footprint of ISAC-enabled 6GS #3:ISAC対応6GSの環境システム全体への影響
#4: Considerations on 'good health and well-being' with ISAC-enabled 6GS #4:ISAC対応6GSにおける「健康と福祉」に関する考慮事項

 

 

ETSI

・2026.03.02 ETSI issues new Report on Security, Privacy, Trustworthiness and Sustainability for 6G Integrated Sensing and Communications 

ETSI issues new Report on Security, Privacy, Trustworthiness and Sustainability for 6G Integrated Sensing and Communications  ETSI、6G統合センシング・コミュニケーションのセキュリティ、プライバシー、信頼性、持続可能性に関する新たな報告書を公表
The ETSI Industry Specification Group on Integrated Sensing and Communications (ISAC) has published ETSI GR ISC 004, a comprehensive report addressing security, privacy, trustworthiness, and sustainability considerations for Integrated Sensing and Communications (ISAC) in future 6G systems. ETSIの統合センシング・コミュニケーション(ISAC)産業仕様グループは、将来の6Gシステムにおける統合センシング・コミュニケーション(ISAC)のセキュリティ、プライバシー、信頼性、および持続可能性に関する検討事項を網羅した報告書「ETSI GR ISC 004」を公表した。
The report identifies 19 key issues, including 15 related to security and privacy and 4 focused on sustainability, reflecting the growing importance of responsible design in next-generation networks. As ISAC enables 6G systems to simultaneously communicate and sense their environment, new technical, ethical, and regulatory challenges emerge—particularly around unauthorised sensing, data confidentiality, human privacy, AI-based data processing, and secure handling of sensing data. 本報告書は、次世代ネットワークにおける責任ある設計の重要性の高まりを反映し、セキュリティとプライバシーに関連する15項目、持続可能性に焦点を当てた4項目を含む計19の重要課題を識別している。ISACにより6Gシステムは通信と環境センシングを同時に行うことが可能となるため、特に不正なセンシング、データの機密性、個人のプライバシー、AIベースのデータ処理、およびセンシングデータの安全な取り扱いに関して、新たな技術的、倫理的、規制上の課題が生じている。
The ETSI Report addresses the following main topics: ETSIの報告書は、以下の主要なトピックを取り上げている:
・Protection against unauthorised use of 6G systems for sensing ・6Gシステムがセンシング目的で不正に使用されることへの対策
・Safeguards against target-based eavesdropping and over-the-air signal manipulation ・標的型盗聴および無線信号の改ざんに対する防護策
・Secure transport, storage, and immutability of sensing data ・センシングデータの安全な転送、保存、および不変性
・Consent, transparency, and privacy-preserving mechanisms for sensing humans (connected and non-connected) ・人間(接続されているか否かを問わず)をセンシングする際の同意、透明性、およびプライバシー保護メカニズム
・Confidentiality in non-public and sensitive spaces ・非公開および機密性の高い空間における機密性
・Sustainability challenges including power consumption, spectrum efficiency, environmental footprint, and health considerations ・消費電力、スペクトル効率、環境負荷、健康への配慮を含む持続可能性の課題
The report consolidates potential technical and non-technical requirements that future 6G systems should meet to ensure ISAC services are secure, privacy-preserving, trustworthy, and environmentally sustainable. 本報告書は、ISACサービスが安全で、プライバシーを保護し、信頼性が高く、環境的に持続可能なものであることを確保するために、将来の6Gシステムが満たすべき潜在的な技術的および非技術的要件をまとめたものである。
By providing a structured analysis of threats, regulatory considerations, and performance metrics, ETSI GR ISC 004 establishes an important foundation for embedding trust, resilience, and sustainability into the design of future 6G ISAC-enabled systems. 脅威、規制上の考慮事項、および性能指標に関する体系的な分析を提供することで、ETSI GR ISC 004は、将来の6G ISAC対応システムの設計に信頼性、レジリエンス、および持続可能性を組み込むための重要な基盤を確立している。

 

・[PDF

20260314-15703

・[DOCX][PDF] 仮訳

 

エグゼクティブサマリー...

Executive summary エグゼクティブサマリー
The present document provides a comprehensive study on aspects related to security, privacy, trustworthiness, and sustainability within the context of Integrated Sensing and Communications (ISAC). 本文書は、統合センシング・コミュニケーション(ISAC)の文脈における、セキュリティ、プライバシー、信頼性、および持続可能性に関連する側面について包括的な調査を提供する。
The present document identifies 19 key issues, of which 15 are related to privacy and security, and 4 related to sustainability. For each key issue, a detailed description is provided, together with potential technical and non-technical requirements. For the privacy and security key issues, the analysis is supported with a comprehensive set of threats per key issue. 本ドキュメントでは 19 の重要課題を特定しており、そのうち 15 はプライバシーとセキュリティに関連し、4 つは持続可能性に関連している。各重要課題について、詳細な説明と、想定される技術的および非技術的要件が示されている。プライバシーとセキュリティに関する重要課題については、各課題ごとの包括的な脅威のセットを用いて分析が裏付けられている。
In addition, the present document includes initial considerations on aspects related to trustworthiness and ownership of sensing data. The potential technical and non-technical requirements are analysed to identify consolidated requirements that future 6G systems should meet to deploy secure, privacy-preserving, trustworthy, and sustainable ISAC services. さらに、本報告書では、センシングデータの信頼性や所有権に関連する側面について、初期的な考察を盛り込んでいる。技術的および非技術的な要件の候補を分析し、安全でプライバシーを保護し、信頼性が高く、持続可能なISACサービスを展開するために、将来の6Gシステムが満たすべき統合要件を特定する。

 

目次...

Executive summary エグゼクティブサマリー
Introduction 序論
1 Scope 1 範囲
2 References 2 参考文献
2.1 Normative references 2.1 規範的参照
2.2 Informative references 2.2 参考資料
3 Definition of terms, symbols and abbreviations 3 用語、記号および略語の定義
3.1 Terms 3.1 用語
3.2 Symbols 3.2 記号
3.3 Abbreviations 3.3 略語
4 Definitions and foundations for security, privacy, trustworthiness, and sustainability 4 セキュリティ、プライバシー、信頼性、および持続可能性に関する定義と基礎
4.1 System terminology for ISAC-enabled 6G systems 4.1 ISAC対応6Gシステムのためのシステム用語
4.2 Security 4.2 セキュリティ
4.3 Personal Identifiable Information (PII) 4.3 個人を特定できる情報(PII)
4.4 Privacy 4.4 プライバシー
4.5 Trustworthiness 4.5 信頼性
4.6 Sensing policy, sensing consent and sensing transparency 4.6 センシング方針、センシング同意、およびセンシングの透明性
4.6.1 Sensing policy 4.6.1 センシング方針
4.6.2 Sensing consent 4.6.2 センシング同意
4.6.3 Sensing transparency 4.6.3 センシングの透明性
4.7 Sustainability 4.7 持続可能性
4.8 Types of Sensing Targets in ISAC-Enabled 6GS 4.8 ISAC対応6GSにおけるセンシング対象の種類
5 Key issues on security and privacy 5 セキュリティとプライバシーに関する主要課題
5.1 Key issue #1: Use of 6GS for unauthorized sensing 5.1 重要課題 #1:不正な検知における6GSの利用
5.1.1 Key issue details 5.1.1 主要課題の詳細
5.1.2 Security, privacy, and trustworthiness threats 5.1.2 セキュリティ、プライバシー、および信頼性に対する脅威
5.1.3 Potential requirements and metrics 5.1.3 想定される要件と評価指標
5.2 Key issue #2: Use of sensing signals by the target for data eavesdropping 5.2 重要課題 #2:データ盗聴を目的としたターゲットによるセンシング信号の利用
5.2.1 Key issue details 5.2.1 主要課題の詳細
5.2.2 Security, confidentiality, and trustworthiness threats 5.2.2 セキュリティ、機密性、および信頼性に対する脅威
5.2.3 Potential requirements and metrics 5.2.3 想定される要件と評価指標
5.3 Key issue #3: Over-the-air manipulation of 6G RF sensing signals 5.3 重要課題 #3:6G RFセンシング信号の無線による操作
5.3.1 Key issue details 5.3.1 主要課題の詳細
5.3.2 Security, privacy, and trustworthiness threats 5.3.2 セキュリティ、プライバシー、信頼性に対する脅威
5.3.3 Potential requirements and metrics 5.3.3 想定される要件と指標
5.4 Key issue #4: Secure handling of sensing data 5.4 重要課題 #4:センシングデータの安全な取り扱い
5.4.1 Key issue details 5.4.1 主要課題の詳細
5.4.2 Security, privacy, and trustworthiness threats 5.4.2 セキュリティ、プライバシー、信頼性に関する脅威
5.4.3 Potential requirements and metrics 5.4.3 想定される要件と測定基準
5.5 Key issue #5: Integrity of ISAC-enabled 6GS entities, and immutability of sensing data or sensing results 5.5 重要課題 #5:ISAC対応6GS事業体の完全性、およびセンシングデータまたはセンシング結果の不変性
5.5.1 Key Issue details 5.5.1 重要課題の詳細
5.5.2 Potential threats 5.5.2 潜在的な脅威
5.5.3 Potential requirements and metrics 5.5.3 潜在的な要件と指標
5.6 Key issue #6: Sensing privacy, confidentiality, and consent in non-public spaces 5.6 重要課題 #6:非公共空間におけるセンシングのプライバシー、機密性、および同意
5.6.1 Key issue details 5.6.1 重要課題の詳細
5.6.2 Security, privacy, and trustworthiness threats 5.6.2 セキュリティ、プライバシー、信頼性に関する脅威
5.6.3 Potential requirements and metrics 5.6.3 想定される要件と指標
5.7 Key issue #7: Privacy issues related to consent and transparency 5.7 重要課題 #7:同意と透明性に関するプライバシーの問題
5.7.1 Key issue details 5.7.1 主要な課題の詳細
5.7.2 Security, privacy, and trustworthiness threats 5.7.2 セキュリティ、プライバシー、および信頼性に対する脅威
5.7.3 Potential new requirements 5.7.3 想定される新たな要件
5.8 Key issue #8: Privacy-related aspects regarding sensing of humans that are not connected to the 6GS 5.8 重要課題 #8:6GSに関連しない、人間を対象としたセンシングに関するプライバシー関連の側面
5.8.1 Key issue details 5.8.1 主要課題の詳細
5.8.2 Security, privacy, and trustworthiness threats 5.8.2 セキュリティ、プライバシー、信頼性に関する脅威
5.8.3 Potential requirements and metrics 5.8.3 想定される要件と指標
5.8.4 Potential regulatory requirements 5.8.4 想定される規制要件
5.9 Key issue #9: Privacy-related aspects regarding sensing of humans that are connected to the 6GS 5.9 重要課題 #9:6GSに接続された人間のセンシングに関するプライバシー関連の側面
5.9.1 Key issue details 5.9.1 重要課題の詳細
5.9.2 Security, privacy, and trustworthiness threats 5.9.2 セキュリティ、プライバシー、および信頼性に関する脅威
5.9.3 Potential requirements and metrics 5.9.3 想定される要件と指標
5.9.4 Potential regulatory requirements 5.9.4 想定される規制要件
5.10 Key issue #10: Unauthorized passive 6G RF sensing 5.10 重要課題 #10:不正な受動的 6G RF センシング
5.10.1 Key issue details 5.10.1 重要課題の詳細
5.10.2 Security, privacy, and trustworthiness threats 5.10.2 セキュリティ、プライバシー、および信頼性に対する脅威
5.10.3 Potential requirements and metrics 5.10.3 想定される要件と評価指標
5.11 Key issue #11: Authorization of ISAC-enabled 6GS entities 5.11 重要課題 #11:ISAC対応6GS事業体の認可
5.11.1 Key Issue details 5.11.1 主要課題の詳細
5.11.2 Potential threats 5.11.2 潜在的な脅威
5.11.3 Potential requirements and metrics 5.11.3 想定される要件と指標
5.12 Key issue #12: Privacy-related aspects regarding UE positioning in sensing 5.12 重要課題 #12:センシングにおける UE 位置情報に関するプライバシー関連の側面
5.12.1 Key issue details 5.12.1 主要課題の詳細
5.12.2 Security, privacy, and trustworthiness threats 5.12.2 セキュリティ、プライバシー、信頼性に対する脅威
5.12.3 Potential requirements and metrics 5.12.3 想定される要件と指標
5.13 Key issue #13: Privacy risks from heterogeneous sensing capabilities 5.13 重要課題 #13:異種センシング機能に起因するプライバシーリスク
5.13.1 Key issue details 5.13.1 主要課題の詳細
5.13.2 Security, privacy and trustworthiness threats 5.13.2 セキュリティ、プライバシー、信頼性に対する脅威
5.13.3 Potential new requirements 5.13.3 想定される新たな要件
5.14 Key issue #14: Privacy-related aspects of AI-based sensing data processing 5.14 重要課題 #14:AI ベースのセンシングデータ処理におけるプライバシー関連の側面
5.14.1 Key issue details 5.14.1 重要課題の詳細
5.14.2 Security, privacy, and trustworthiness threats 5.14.2 セキュリティ、プライバシー、信頼性に関する脅威
5.14.3 Potential requirements and metrics 5.14.3 想定される要件と指標
5.15 Key issue #15: Privacy challenges and malicious attacks in cooperative sensing 5.15 重要課題 #15:協調センシングにおけるプライバシーの課題と悪意のある攻撃
5.15.1 Key issue details 5.15.1 主要課題の詳細
5.15.2 Security, privacy, and trustworthiness threats 5.15.2 セキュリティ、プライバシー、信頼性に対する脅威
5.15.3 Potential requirements and metrics 5.15.3 潜在的な要件と指標
6 Considerations and consolidation for privacy, security, and trustworthiness 6 プライバシー、セキュリティ、信頼性に関する考慮事項と統合
6.1 Considerations on sensing data ownership and accountability in ISAC System 6.1 ISACシステムにおけるセンシングデータの所有権および説明責任に関する考慮事項
6.2 Considerations for trustworthiness 6.2 信頼性に関する考察
6.3 Consolidated Potential Functional Requirements 6.3 統合された潜在的な機能要件
7 Key issues on sustainability 7 持続可能性に関する主要課題
7.1 Key issue #1: Power consumption of ISAC-enabled 6GS 7.1 重要課題 #1:ISAC対応6GSの電力消費
7.1.1 Key issue details 7.1.1 主要課題の詳細
7.1.2 Potential requirements and metrics 7.1.2 想定される要件と指標
7.2 Key issue #2: Utilization of spectrum resources in ISACenabled 6GS 7.2 重要課題 #2:ISAC対応6GSにおける周波数資源の利用
7.2.1 Key issue details 7.2.1 主要課題の詳細
7.2.2 Potential requirements and metrics 7.2.2 想定される要件と評価指標
7.3 Key issue #3: Overall environmental system footprint of ISAC-enabled 6GS 7.3 重要課題 #3:ISAC対応6GSの環境システム全体への影響
7.3.1 Key issue details 7.3.1 重要課題の詳細
7.3.2 Potential requirements and metrics 7.3.2 想定される要件と評価指標
7.4 Key issue #4: Considerations on 'good health and well-being' with ISAC-enabled 6GS 7.4 重要課題 #4:ISAC対応6GSにおける「健康と福祉」に関する考慮事項
7.4.1 Key issue details 7.4.1 重要課題の詳細
7.4.2 Potential requirements and metrics 7.4.2 想定される要件と指標
8 Considerations and consolidation on sustainability 8 持続可能性に関する考察と統合
8.1 High-level objectives for sustainability 8.1 持続可能性に関する高レベルな目標
9 Conclusion 9 結論
Annex A: Mapping of security and privacy key issues to use cases of ETSI GR ISC 001 附属書A:セキュリティおよびプライバシーの主要課題とETSI GR ISC 001のユースケースとの対応関係
Annex B: Mapping of sustainability key issues to use cases of ETSI GR ISC 001 附属書B:持続可能性に関する主要課題とETSI GR ISC 001のユースケースとの対応関係
History 沿革

 

 

 

| | Comments (0)

2026.03.08

中国 SBOMの標準 GB/T 47020-2026 サイバーセキュリティ技術:ソフトウェア部品表データ形式 (2026.01.28)

こんにちは、丸山満彦です。

中国が、SBOMの標準GB/T 47020-2026 サイバーセキュリティ技術:ソフトウェア部品表データ形式を2026.01.28 に策定し、2026.08.01から施行するようです。

標準の内容は読めません...日本からだと読めないのかなぁ...

 

全国标准信息公共服务平台 (National public service platform for standards information)

标准号:GB/T 47020-2026 网络安全技术 软件物料清单数据格式

 

20260308-71005

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

SBOM関係...

中国...

・2024.05.26 中国 TC260 意見募集 国家標準「ネットワークセキュリティ技術ソフトウェア部品表 (SBOM) データフォーマット」案 (2024.05.16)

 

それ以外...

・2026.01.08 欧州 ENISA パブコメ SBOMの現状分析 - 実装ガイドに向けて案 (2025.12.17)

・2025.11.27 欧州委員会 SBOMの最新状況に関する調査 (2025.12.19まで)

・2025.09.18 ドイツ 情報セキュリティ庁 BSI TR-03183: 製造事業者および製品に対するサイバーレジリエンス要件 第2部:ソフトウェア部品表 (SBOM), 第3部:脆弱性報告および通知 (2025.09)

・2025.09.08 米国他主要国 サイバーセキュリティのためのソフトウェア部品表(SBOM)に関する共通ビジョン

・2025.08.25 米国 CISA パブコメ 2025 年ソフトウェア部品表(SBOM)の最小要素

・2025.08.13 G7 人工知能のためのソフトウェア部品表に関する G7 の共通ビジョン (2025.06.12)

・2025.03.14 シンガポール オープンソースソフトウェアとサードパーティ依存のSBOMとリアルタイム脆弱性監視に関するアドバイザリー (2025.02.20)

・2024.11.25 欧州 サイバーレジリエンス法、官報に掲載 (2024.11.20)

・2024.11.12 インド政府 CERT-In SBOM技術ガイド 第1版 (2024.10.03)

・2024.11.09 ドイツ 連邦セキュリティ室 (BSI) 意見募集 TR-03183: 製造者及び製品に対するサイバーレジリエンス要件(一般要求事項、SBOM、脆弱性報告)

・2024.09.01 経済産業省 ソフトウェア管理に向けたSBOM(Software Bill of Materials)の導入に関する手引ver2.0 (2024.08.29)

・2024.01.08 米国 NSA SBOM管理のための推奨事項 (Ver. 1.1)

・2023.11.12 米国 NSA CISA ソフトウェアサプライチェーンの確保: ソフトウェア部品表の開示に関する推奨事項

・2023.10.13 米国 CISA FBI NSA DOT 運用技術 (OT) および産業制御システム (ICS) におけるオープンソースソフトウェアのセキュリティ向上

・2023.09.18 米国 CISA オープンソース・ソフトウェア・セキュリティ・ロードマップ

・2023.09.01 NIST SP 800-204D(初期公開ドラフト)DevSecOps CI/CDパイプラインにソフトウェアサプライチェーンセキュリティを統合するための戦略

・2023.08.30 日本ネットワークセキュリティ協会 (JNSA) 「日本におけるソフトウェアサプライチェーンとSBOMのこれから」「ゼロトラストと標準化」

・2023.08.15 ドイツ SBOMの要件...技術ガイドライン TR-03183:製造業者および製品に対するサイバーレジリエンス要件 (2023.08.04)

・2023.08.01 経済産業省 ソフトウェア管理に向けたSBOM(Software Bill of Materials)の導入に関する手引

・2023.07.09 米国 NSA CISA 継続的インテグレーション/継続的デリバリー(CI/CD)環境の防御に関する共同ガイダンス (2023.06.28)

・2023.07.03 OWASP SBOMガイダンス CycloneDX v1.5 (2023.06.23)

・2023.04.25 米国 CISA SBOM関連の二文書

・2022.11.17 CISA ステークホルダー別脆弱性分類 (SSVC) ガイド

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

 

 

 

| | Comments (0)

2026.02.25

欧州 ENISA サイバーレジリエンス法のシングル報告ポイント

こんにちは、丸山満彦です。

ENISAがサイバーレジリエンス法のシングル報告ポイントを設けますというアナウンス...

2025 Omnibus法案では、GDPR、NIS2、DORA、CER、eIDAS などのインシデント報告を単一窓口(Single Entry Point)に統合し、その技術基盤をENISAが構築することを提案していますよね...「一度報告すれば複数制度に共有される」仕組みにするという話です...

これに関係する話かしらね...

● ENISA

・ Topics - Product Security and Certification - Single Reporting Platform (SRP)

Single Reporting Platform (SRP) 単一報告プラットフォーム(SRP)
The Cyber Resilience Act (CRA) introduces the Single Reporting Platform (SRP) for cybersecurity incident reporting in the EU Digital Single Market. サイバーレジリエンス法(CRA)は、EUデジタル単一市場におけるサイバーセキュリティインシデント報告のための単一報告プラットフォーム(SRP)を導入する。
The Single Reporting Platform (SRP) provided for in the Cyber Resilience Act (CRA) shall become a technical tool to use for the reporting of actively exploited vulnerabilities and incidents impacting products with digital elements operating in the EU Digital Single Market.  サイバーレジリエンス法(CRA)で規定される単一報告プラットフォーム(SRP)は、EUデジタル単一市場で運用されるデジタル要素を有する製品に影響を及ぼす、積極的に悪用されている脆弱性及びインシデントの報告に使用する技術的ツールとなる。
The SRP will be used by CSIRTs and manufacturers for mandatory reporting and could be used by any natural/legal persons for voluntary reporting. SRPはCSIRT及び製造業者による義務的報告に利用され、任意報告についてはあらゆる自然人・法人による利用が可能である。
The CRA mandates manufacturers of products with digital elements to report actively exploited vulnerabilities and severe incidents having an impact on the security of the product as of 11 September 2026 onwards using the Single Reporting Platform. Throughout 2025 and 2026, ENISA is undertaking a number of necessary steps to support the successful implementation of the platform. CRAは、デジタル要素を含む製品の製造業者に対し、2026年9月11日以降、単一報告プラットフォームを用いて、製品のセキュリティに影響を与える悪用されている脆弱性及び重大なインシデントを報告することを義務付ける。2025年及び2026年を通じて、ENISAはプラットフォームの円滑な導入を支援するため、必要な一連の措置を実施している。
The CRA brings transparency to the vulnerability disclosure processes and strengthens how EU CSIRTs can mitigate risks stemming from vulnerabilities.  CRAは脆弱性開示プロセスに透明性をもたらし、EUのCSIRTが脆弱性から生じるリスクを軽減する方法を強化する。
Further information: Regulation - 2024/2847 - EN - EUR-Lex 詳細情報:規則 - 2024/2847 - EN - EUR-Lex
Frequently Asked Questions よくある質問
This is a collection of frequently asked questions on Cyber Resilience Act Single Reporting Platform (CRA SRP). Document is intended for publication on ENISA website and to be updated during implementation of CRA SRP これはサイバーレジリエンス法単一報告プラットフォーム(CRA SRP)に関するよくある質問の集録である。本文書はENISAウェブサイトへの掲載を目的としており、CRA SRPの実施中に更新される予定である
Please see also information about CRA reporting [web] in particular FAQ file there [web] CRA報告に関する情報([web] )も参照されたい。特にFAQファイル([web] )を参照のこと
What is the Cyber Resilience Act’s Single Reporting Platform (CRA SRP)? サイバーレジリエンス法単一報告プラットフォーム(CRA SRP)とは何か?
The CRA SRP is an electronic system designed to simplify the reporting obligations for manufacturers under the Cyber Resilience Act. It allows for manufacturers to report actively exploited vulnerabilities and severe incidents having an impact on the security of products with digital elements only once, rather than having to notify multiple national authorities individually. CRA SRPは、サイバーレジリエンス法に基づく製造業者の報告義務を簡素化するために設計された電子システムである。これにより製造業者は、デジタル要素を含む製品のセキュリティに影響を与える深刻なインシデントや、積極的に悪用されている脆弱性について、複数の国家当局に個別に通知する必要なく、一度だけ報告することが可能となる。
Who is responsible for establishing and managing the platform? プラットフォームの設立と管理は誰が担当するのか?
ENISA is tasked with establishing, managing, and maintaining the day-to-day operations of the CRA SRP. ENISA must also ensure the platform's security and implement appropriate technical and organisational measures to protect the information submitted. ENISAがCRA SRPの設立、管理、日常的な運営を担当する。ENISAはプラットフォームのセキュリティを確保し、提出された情報を保護するための適切な技術的・組織的措置を実施しなければならない。
When will the Single Reporting Platform be operational? 単一報告プラットフォームはいつ稼働するのか?
The platform is scheduled to be operational by 11 September 2026. This coincides with the date when the mandatory reporting obligations for manufacturers officially enter into application (art.14 of Cyber Resilience Act). A testing period is expected to take place before this date. プラットフォームは2026年9月11日までに稼働予定である。これは製造業者に対する義務的報告義務が正式に適用開始される日付(サイバーレジリエンス法第14条)と一致する。この日付前にテスト期間が実施される見込みである。
What must be reported via the platform? プラットフォーム経由で何を報告しなければならないのか?
Manufacturers must use the platform to notify two specific types of events: 製造業者はプラットフォームを用いて以下の2種類の事象を通知しなければならない:
・Actively Exploited Vulnerabilities: Vulnerabilities in products with digital elements that are known to be currently exploited by a malicious actor. ・悪用されている脆弱性:デジタル要素を含む製品に存在する脆弱性で、現在悪意ある主体によって悪用されていることが確認されているもの。
・Severe Incidents: Incidents that have a severe impact on the security of the product with digital elements (e.g., compromising availability, authenticity, integrity, or confidentiality); the criteria for severity are defined in Article 14(5). ・重大なインシデント:デジタル要素を含む製品のセキュリティに深刻な影響を与えるインシデント(例:可用性、真正性、完全性、機密性の侵害)。重大性の基準は第14条(5)で定義されている。
What else can be reported in the platform?  プラットフォームでは他に何を報告できるか?
The platform will also offer functionality to allow voluntary reporting. Any natural or legal person may notify on a voluntary basis:  プラットフォームは任意報告機能も提供する。自然人または法人は任意で以下を通知できる:
・Vulnerabilities contained in a product with digital elements; ・デジタル要素を含む製品に存在する脆弱性
・Cyber threats that could affect the risk profile of a product with digital elements; ・デジタル要素を含む製品のリスクプロファイルに影響を与え得るサイバー脅威
・Incidents having an impact on the security of a product; ・製品のセキュリティに影響を与えるインシデント
・Near misses that could have resulted in an incident. ・インシデントに発展し得たニアミス
What are the deadlines for reporting? 報告の期限は?
Manufacturers must adhere to a multi-stage reporting timeline via the platform: 製造業者はプラットフォーム経由で多段階の報告スケジュールを遵守しなければならない:
・Early Warning: Without undue delay and in any case within 24 hours of becoming aware of the vulnerability or incident.\ ・早期警告:不当な遅延なく、かつ脆弱性またはインシデントを認識してから24時間以内に報告する。
・Vulnerability/Incident Notification: Without undue delay and in any case within 72 hours of becoming aware, providing general information and an initial assessment. ・脆弱性/インシデント通知:不当な遅延なく、かつ認識してから72時間以内に、概要情報と初期評価を提供して報告する。
・Final Report: ・最終報告:
・・For vulnerabilities: No later than 14 days after a corrective measure (e.g., patch) is available. ・・脆弱性の場合:修正措置(例:パッチ)が利用可能になってから14日以内。
・・For severe incidents: Within 1 month after the initial notification. ・・重大なインシデントの場合:初期通知から1か月以内。
How does the Single Reporting Platform operate? 単一報告プラットフォームはどのように機能するのか?
Manufacturers submit notifications electronically through the platform, which automatically routes them to the designated CSIRT coordinator (based on the manufacturer's main establishment) and ENISA simultaneously. The CSIRT then disseminates the information without delay to other relevant CSIRTs in Member States where the product is available, and to market surveillance authorities as needed. For sensitive reports, dissemination may be delayed on security grounds, with ENISA informed and able to recommend broader sharing if risks are systemic. The platform incorporates security measures to protect confidentiality.  製造業者はプラットフォームを通じて電子的に通知を提出する。プラットフォームは自動的に、指定されたCSIRTコーディネーター(製造業者の主要事業所に基づく)とENISAに同時に通知を転送する。CSIRTはその後、製品が流通する加盟国の関連CSIRTや必要に応じて市場監視当局へ遅滞なく情報を伝達する。機密性の高い報告については、セキュリティ上の理由で伝達が遅延される場合があり、その際はENISAが通知を受け、リスクが体系的なものである場合に広範な共有を推奨できる。プラットフォームには機密保護のためのセキュリティ対策が組み込まれている。
How do I know what is my designated CSIRT? 指定CSIRTの確認方法
Your designated CSIRT is determined by your location of establishment: 指定CSIRTは事業所の所在地によって決まる:
If you are established in the EU: Your designated CSIRT is the national CSIRT designated as the coordinator in the Member State where you have your main establishment. (please see CRA Art 14(7) for more details) EU域内に事業所がある場合:主要事業所のある加盟国で調整役として指定された国家CSIRTが指定先となる(詳細はCRA第14条(7)参照)。
If you are NOT established in the EU: Your designated CSIRT is the one designated as coordinator in the Member State where your authorised representative is established. (please see CRA Art 14(7) for more details) EU域外に事業所がある場合:認定代理人の事業所がある加盟国で調整役として指定されたCSIRTが指定先となる(詳細はCRA第14条(7)参照)。
What are the responsibilities of key entities involved with the CRA SRP? CRA SRPに関わる主要な主体の責任は何か?
・Manufacturers: Submit timely notifications and comply with the other obligations established by the CRA.  ・製造業者:適時に通知を提出し、CRAが定めるその他の義務を遵守する。
・ENISA: Manages the platform, processes reports, prepares biennial trend reports (first due within 24 months of the reporting obligations starting), operates a helpdesk (especially for SMEs), and discloses fixed vulnerabilities to the European Vulnerability Database. ・ENISA:プラットフォームを管理し、報告を処理し、2年ごとの傾向報告書を作成する(初回は報告義務開始から24ヶ月以内に提出)。ヘルプデスク(特に中小企業向け)を運営し、修正済みの脆弱性を欧州脆弱性データベースに開示する。
・CSIRTs Designated as Coordinators: Receive and assess reports, decide on dissemination delays, inform market surveillance authorities and the public if necessary, and provide helpdesk support alongside ENISA. ・調整役として指定されたCSIRT:報告を受領・評価し、開示遅延を決定する。必要に応じて市場監視当局及び公衆に通知し、ENISAと共同でヘルプデスク支援を提供する。
・European Commission: Adopts delegated and implementing acts (e.g., for delay criteria and report formats), evaluates the platform's effectiveness, and supports coordination of enforcement activities. ・欧州委員会:委任行為及び実施行為(例:遅延基準や報告様式)を採択し、プラットフォームの有効性を評価し、執行活動の調整を支援する。
・Market Surveillance Authorities: Receive disseminated information and enforce compliance, such as through investigations or corrective actions. ・市場監視当局:伝達された情報を受け取り、調査や是正措置などを通じてコンプライアンスを執行する。
Who receives the reports submitted to the platform? プラットフォームに提出された報告書の受領者は?
As a general rule, when a manufacturer submits a report to the CRA SRP, it is simultaneously notified to: 原則として、製造業者がCRA SRPに報告書を提出すると、同時に以下の機関に通知される:
・The CSIRT (Computer Security Incident Response Team) designated as the coordinator in the Member State where the manufacturer is established. ・製造業者が所在する加盟国で調整役として指定されたCSIRT(コンピュータセキュリティインシデント対応チーム)。
・ENISA (unless particularly exceptional circumstances apply). ・ENISA(特に例外的な事情がない限り)。
The CSIRT designated as coordinator that initially receives the notification is then responsible for disseminating it without delay to other relevant CSIRTs across the EU via the platform. 最初に通知を受けた調整役として指定されたCSIRTは、その後、プラットフォームを通じてEU全域の他の関連CSIRTへ遅滞なく情報を伝達する責任を負う。
Can the dissemination of a report be delayed or withheld? 報告の伝達は遅延または差し控えられることがあるか?
Yes. In exceptional circumstances, the receiving CSIRT may decide to delay or withhold the dissemination of a notification to other Member States. This is strictly limited to cases where immediate dissemination is justified on security related grounds (e.g., if spreading the information would pose an even greater security risk). ある。例外的な状況下では、通知を受領したCSIRTが他の加盟国への伝達を遅延または差し控えることを決定できる。これは、セキュリティ関連の理由(例:情報の拡散がさらに重大なセキュリティリスクをもたらす場合)により即時伝達が正当化される場合に厳格に限定される。
The European Commission adopted a delegated act on 11 December 2025 to further specify the terms and conditions for applying these grounds. [web] 欧州委員会は2025年12月11日、これらの根拠を適用する条件をさらに明確化する委任法令を採択した。 [web]
In particularly exceptional circumstances, ENISA will not receive the full content of the 72-hour notification. This is only the case where, in the 72-hour notification, the manufacturer actively marks that at least one of the conditions listed in points (a) to (c) of Article 16(2) applies. In such case, ENISA only receives partial information, until the receiving CSIRT discloses the full notification. 特に例外的な状況において、ENISAは72時間通知の全内容を受け取らない。これは、72時間通知において製造者が第16条(2)項(a)から(c)に列挙された条件の少なくとも一つが適用されることを積極的に明記した場合に限られる。この場合、ENISAは受領したCSIRTが通知全文を開示するまで、部分的な情報のみを受け取る。
How does the platform ensure security? プラットフォームはどのようにセキュリティを確保するのか?
ENISA is legally required to take appropriate measures to manage risks to the platform's security and must notify the CSIRTs Network and the Commission of any security incidents affecting the platform itself. ENISAは法的に、プラットフォームのセキュリティに対するリスクを管理するための適切な措置を講じる義務があり、プラットフォーム自体に影響を与えるセキュリティインシデントについては、CSIRTsネットワークおよび欧州委員会に通知しなければならない。
How is the CSIRTs network involved? CSIRTsネットワークはどのように関与するのか?
As provided in CRA  Article 16 ENISA is engaging the CSIRTs Network in development and future testing of the CRA SRP. CRA第16条に規定されている通り、ENISAはCSIRTsネットワークをCRA SRPの開発および将来のテストに関与させている。

 

参考

・2026.01.16 [PDF] FAQs on the Cyber Resilience Act (Ver. 1.2)

20260225-00015

 


 

オムニバス法...

・2026.02.14 欧州 EDPB EDPS デジタルオムニバス規制案に関する共同意見書 (2026.02.11)

 

サイバーレジリエンス法

・2024.11.25 欧州 サイバーレジリエンス法、官報に掲載 (2024.11.20)

 

| | Comments (0)

2026.02.18

米国 NIST SP 1800-39(初期公開ドラフト)データ格付の実践 (2026.02.12)

こんにちは、丸山満彦です。

NISTが、SP 1800-39(初期公開ドラフト)データ格付の実践を公表し、意見募集をしていますね...

組織が保有するデータの80~90%を占める未構造データの「発見」・「識別」・「ラベル付け」というデータ格付けの実務は、ゼロトラスト、PQC 移行、AI モデル学習といった次世代のデータ中心セキュリティの基盤となるということですかね...

生成的AIにより、未構造データはどんどん増えていくでしょうね...そうなった場合にこのようなデータを網羅的に、適時に格付けできるようにしないといけない...

当然手作業ではできないので、ツールですることになる。というときに、米国データのツールでどのように実践できるのか...組織内で一貫した「スキーマ(格付け体系)」を定義し、それを自動化ツールで適用することで、膨大なデータ資産を法規制やプライバシーポリシーに則して効率的に管理できることを実証していますね...  

Data Classification Practicesプロジェクトの実装ガイドということになりますかね...

 

● NIST - ITL

・2026.02.12 NIST SP 1800-39 (Initial Public Draft) Data Classification Practices

NIST SP 1800-39 (Initial Public Draft) Data Classification Practices NIST SP 1800-39(ドラフト)データ格付の実践
Announcement 発表
This guide, Data Classification Practices, demonstrates how organizations can discover, identify, and label unstructured data using data classification practices. Performing Data Classification Practices allows an organization to know its data and apply technologies that minimize the risk of valuable or sensitive data being lost or mismanaged. Data Classification Practices prepare an organization for the use of emerging security measures—including Zero Trust Architecture, quantum-safe cryptography, and AI model training that requires labeled data. This 1800-series NIST publication documents how the NCCoE and its collaborators created a synthetic dataset and used commercially available data classification tools to discover, identify, and label unstructured data. このガイド「データ格付の実践」は、組織がデータ格付の実践を用いて非構造化データを発見、識別、ラベル付けする方法を示す。データ格付の実践を行うことで、組織は自社のデータを把握し、貴重または機密性の高いデータが紛失または誤管理されるリスクを最小限に抑える技術を適用できる。データ格付手法は、ゼロトラストアーキテクチャ、量子耐性暗号、ラベル付きデータを必要とするAIモデルトレーニングといった新たなセキュリティ対策の導入に向けた準備を整える。この1800シリーズのNIST出版物は、NCCoEとその協力機関が合成データセットを作成し、市販のデータ格付ツールを用いて非構造化データを発見、識別、ラベル付けした方法を記録している。
Background 背景
Organizations trying to protect sensitive data from unauthorized access or disclosure need to understand all their data—structured and unstructured—across all the places that data might live. Sensitive data, such as PII, may reside in a variety of systems, digital conversations, data lakes, and file repositories. Identifying and classifying sensitive data is crucial for minimizing data loss and preparing organizations for advanced security measures, including Zero Trust Architecture, quantum-safe cryptography, and AI model training. 機密データを不正アクセスや漏洩から防御しようとする組織は、構造化データと非構造化データの両方を、データが存在する可能性のあるあらゆる場所において把握する必要がある。PIIなどの機密データは、様々なシステム、デジタル会話、データレイク、ファイルリポジトリに存在する可能性がある。機密データの特定と分類は、データ損失を最小限に抑え、ゼロトラストアーキテクチャ、量子耐性暗号、AIモデルトレーニングといった高度なセキュリティ対策に組織を準備させる上で極めて重要である。
The goal of this project is to demonstrate data classification practices for identifying and understanding sensitive unstructured data. This NIST Cybersecurity Practice Guide provides users with the information they need to apply data classification practices to discover, identify, and label sensitive unstructured data using commercially available data classification technology. By doing so, organizations can better understand their data and minimize the risk of losing or mismanaging valuable or sensitive data. 本プロジェクトの目的は、機微な非構造化データを特定・理解するためのデータ格付手法を示すことである。このNISTサイバーセキュリティ実践ガイドは、市販のデータ格付技術を用いて機微な非構造化データを発見・識別・ラベル付けするための実践手法をユーザーに提供する。これにより組織は自社のデータをより深く理解し、貴重または機微なデータの紛失・誤管理リスクを最小化できる。
The public comment period ends on March 30, 2026. パブリックコメントの受付期間は2026年3月30日までである。
Abstract 概要
This guide demonstrates how organizations can discover, identify and label unstructured data using data classification practices. Performing Data Classification Practices allows an organization to know its data and apply technologies that minimize the risk of valuable or sensitive data being lost or mismanaged. Data Classification Practices prepare an organization for the use of emerging security measures—including Zero Trust Architecture, quantum-safe cryptography, and AI model training that requires labeled data. This 1800-series NIST publication documents how the NCCoE and its collaborators created a synthetic dataset and used commercially available data classification tools to discover, identify and label unstructured data. 本ガイドは、組織がデータ格付手法を用いて非構造化データを発見、識別、ラベル付けする方法を示す。データ格付手法を実施することで、組織は自社のデータを把握し、貴重なデータや機密データの紛失・誤管理リスクを最小化する技術を適用できる。データ格付手法は、ゼロトラストアーキテクチャ、量子耐性暗号、ラベル付きデータを必要とするAIモデルトレーニングといった新たなセキュリティ対策の導入に向けた準備を整える。この1800シリーズのNIST出版物は、NCCoEとその協力機関が合成データセットを作成し、市販のデータ格付ツールを用いて非構造化データを発見、識別、ラベル付けした方法を記録している。

 

・[PDF] SP 1800-39 (Draft)

20260218-84034

 

 

目次...

1 Overview 1 概要
1.1 Challenge 1.1 課題
1.2 Audience 1.2 対象読者
1.3 Scope 1.3 範囲
1.4 Structure of This Guide 1.4 本ガイドの構成
2 Project Overview  2 プロジェクト概要
2.1 Motivation for the Project 2.1 プロジェクトの動機
2.2 Challenges in Implementing Data Classification Practices for Unstructured Data 2.2 非構造化データに対するデータ格付手法の実装における課題
2.3 Project Approach 2.3 プロジェクトのアプローチ
3 Synthetic Data 3 合成データ
3.1 Synthetic Data Characteristics 3.1 合成データの特性
3.2 Synthetic Data Source 3.2 合成データのソース
3.3 Unstructured Synthetic Data Files 3.3 非構造化合成データファイル
4 Demonstrations  4 デモンストレーション
4.1 Unstructured Data Classification Practice Demonstrations 4.1 非構造化データ格付手法の実演
4.2 Lab Demonstration Environment 4.2 ラボ実演環境
4.3 Unstructured Data Classification Practice Demonstration Workflow 4.3 非構造化データ格付手法の実演ワークフロー
4.4 Electronic Mail Message Demonstration 4.4 電子メールメッセージの実演
4.5 Tool Summary 4.5 ツール概要
5 Findings and Insights 5 調査結果と知見
Appendix A List of Acronyms  附属書A 略語一覧
Appendix B Glossary  附属書B 用語集
Appendix C References  附属書C 参考文献
Appendix D Synthetic Data Creation Steps  附属書D 合成データ作成手順
Appendix E Lab Implementation Details 附属書E ラボ実装詳細

 

予定では、第6章として、プロジェクトで使用したツールのサイバーセキュリティフレームワーク2.0のサブカテゴリーへのマッピングがつくようですね...

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.11.20 NIST 意見募集 IR8496 NIST IR 8496(初公開ドラフト) データ収集改善のためのデータ格付の概念と考察

・2023.04.26 米国 NIST SP 1800-39 データ格付の実践(初期ドラフト)

 

| | Comments (0)

2026.02.09

英国 深刻なサイバー脅威への組織的対応準備と計画:重要インフラ(CNI)向けガイド (2026.01.28)

こんにちは、丸山満彦です。

英国のNCSCは英国のサイバーセキュリティの実務支援の中枢組織といったような位置付けで政府機関、重要インフラ事業者、民間事業者、市民等へガイダンスの提供、インシデント対応の支援等をしておりますね。国際連携も...

さて、そんなNCSCが重要インフラ向けのガイドを公表していますね...

サイバー攻撃を完全に防ぐことは無理ですから、平時の防御から「重大な脅威(Severe Threat)」に対応するための「危機態勢(Crisis Posture)」へと迅速に移行できるように準備を怠らないことが重要ですね...

重要なサービスを維持するために、ネットワークの「アイランディング(孤立化)」や手動運用への切り替えといった極端な措置を、混乱なく実行できるよう事前に計画し、訓練しておくことも重要ですよね...

事態が悪化してから判断するのではなく、冷静な判断が可能な平時に準備をしておくことが重要ですよね...リスク許容度を定義し、意思決定の権限を明確化し、技術的な要塞化を設計しておくことが、重要インフラ事業者には求められるのでしょうね...

レジリエンスの考え方が重要...

 

UK NCSC

・2026.01.28 How to prepare for and plan your organisation's response to severe cyber threat: a guide for CNI

How to prepare for and plan your organisation's response to severe cyber threat: a guide for CNI 深刻なサイバー脅威への組織的対応準備と計画:重要インフラ(CNI)向けガイド
Activity 1. Factor severe cyber threat response into your plans 活動1. 深刻なサイバー脅威対応を計画に組み込む
1.1 Why you should plan and prepare early and extensively 1.1 早期かつ広範な計画・準備が必要な理由
1.2 Know what you’re protecting and understand your attack surface 1.2 防御対象を把握し攻撃対象領域を理解する
1.3 Review your risk management activities 1.3 リスクマネジメント活動を検証する
1.4 Identify potential future threats 1.4 将来の潜在脅威を識別する
1.5 Test and exercise 1.5 テストと演習を実施する
Activity 2. Increase situational awareness 活動2. 状況認識を強化する
2.1 Increase monitoring of threats and network activity 2.1 脅威とネットワーク活動の監視を強化する
2.2 Increase quality of threat intelligence: focus on attacker tactics, techniques and procedures 2.2 脅威インテリジェンスの質を高める:攻撃者の戦術・技術・手順に焦点を当てる
2.3 Stay informed and use defender communities 2.3 防御コミュニティを活用し情報収集を継続する
2.4 Establish frameworks for sharing threat information 2.4 脅威情報共有の枠組みを構築する
Activity 3. Harden defences 活動3. 防御体制を強化する
3.1 Undertake immediate tactical measures to reduce threat exposure 3.1 脅威への曝露を減らす即時戦術的措置を実施する
3.2 Design robust defensive architectures for extreme hardening 3.2 徹底的な強化のための堅牢な防御アーキテクチャを設計する
3.3 Plan how to harden networks rapidly in event of severe cyber threat 3.3 深刻なサイバー脅威発生時の迅速なネットワーク強化計画を策定する
3.4 Document and rehearse defensive actions 3.4 防御行動を文書化し訓練する
Activity 4. Withstand and recover 活動 4. 耐性と回復
4.1 Prepare your organisation for adaptability 4.1 組織の適応性を準備する
4.2 Plan how you’ll recover while threats persist 4.2 脅威が継続する中での復旧計画を立てる
4.3 Integrate recovery plans with wider organisational planning 4.3 復旧計画を組織全体の計画と統合する
4.4 Test and exercise recovery plans 4.4 復旧計画をテストし演習する
4.5 Build long term resilience 4.5 長期的な回復力を構築する
Appendix 附属書
Scenario planning シナリオ計画
Counterfactuals 反事実検討

 

・[PDF]

20260209-55941

 

 

あと、こちらも最近追加されていました...

Operational Technology

 Examples to support organisations implementing OT guidance

・2026.01.14 Secure Connectivity - Operational OT Data Export Example



Operational Technology OT
Secure Connectivity - Operational OT Data Export Example セキュアな接続性 - 運用OTデータエクスポートの例
In this section このセクションでは
Meet 'Admin Corp' 「管理部門」を紹介する
Principle 1: Balance the risk and opportunities 原則1:リスクと機会のバランスを取る
Principle 2: Limit the exposure of your connectivity 原則2:接続のエクスポージャーを制限する
Principle 3: Centralise and standardise network connections 原則3:ネットワーク接続を集中化・標準化する
Principle 4: Use standardised and secure protocols 原則4:標準化され安全なプロトコルを使用する
Principle 5: Harden your OT boundary 原則5:OT境界を強化する
Principle 6: Limit the impact of compromise 原則6:侵害の影響を制限する
Principle 7: Ensure all connectivity is logged and monitored 原則7:全ての接続をログ記録・監視する
Principle 8: Establish an isolation plan 原則8:隔離計画を確立する
A fictional worked example exploring the application of our secure connectivity principles. 安全な接続原則の適用を探る架空の事例
If you design or maintain an operational technology (OT) network, the scenario below will help you navigate the cyber security issues related to external connectivity for your cyber-physical system.  運用技術(OT)ネットワークを設計または保守する場合、以下のシナリオはサイバーフィジカルシステムの外部接続に関連するサイバーセキュリティ問題の対処に役立つ。

 

 

| | Comments (0)

より以前の記事一覧