乐胖代购免代理版

February 2025
Sun	Mon	Tue	Wed	Thu	Fri	Sat
						1
2	3	4	5	6	7	8
9	10	11	12	13	14	15
16	17	18	19	20	21	22
23	24	25	26	27	28

June 2024

2024.06.30

Originator Profile 技術研究組合 Originator Profile 憲章を制定

こんにちは、丸山満彦です。

インターネット上のニュース記事や広告などの情報コンテンツに、発信者情報を紐付ける Originator Profile（OP）技術を研究開発するOriginator Profile 技術研究組合（OP CIP）（理事長＝村井純・慶應義塾大学教授）が、Originator Profile 憲章を制定しましたね...

偽情報等による、社会的な課題を解決するための一つの手段として情報と情報発信主体の真正性と信頼性を保証するための技術とその運用を考えているという感じですかね...

憲章は7月1日から適用です...

真正性と信頼性についてのJISでの定義...

真正性	authenticity	X 25010:2013 システム及びソフトウェア製品の品質要求及び評価（ＳＱｕａＲＥ）―システム及びソフトウェア品質モデル	JIS Q 27000:2019　情報技術−セキュリティ技術−情報セキュリティマネジメントシステム−用語
		ある主体または資源の同一性が主張したとおりであることを証明できる度合い	エンティティは、それが主張するとおりのものであるという特性。
信頼性	reliability	JIS Z 8115:2019 ディペンダビリティ（総合信頼性）用語	JIS Q 27000:2019　情報技術−セキュリティ技術−情報セキュリティマネジメントシステム−用語
		アイテムが、与えられた条件の下で、与えられた期間、故障せずに、要求どおりに遂行できる能力。注記1 持続時間間隔は、例えば暦時間、動作サイクル、走行距離などのような、当該アイテムに適切な単位で表現されてもよく、かつ、当該単位は常に明確に記載することが望ましい。注記2 与えられた条件には、動作モード、ストレス水準、環境条件及び保全のような、情頼性に影響する側面が含まれる。注記3 一般的には、使用期間の始点で、要求機能が遂行できる状態にあることを仮定する。注記4 信頼性は分類e） 192-05（信頼性性能）の尺度で定量化し得る。注記5 ソフトウェアアイテムの場合、信頼性は系の運用経過時間中に発生する故障要因の修正及び変更で改善が進み．一般的には、信頼度は経過時間とともに向上していく..［信頼性成長（192-12-03）参照］。注記6 ソフトウェア信頼性は、特定条件下で使用する…ときのある性能を維持する能力を指す場合が…ある。注記7 附展書JC及び附属害JF参照。	意図する行動と結果とが一貫しているという特性。

● Originator Profile 技術研究組合; OP CIP

プレス...

・2024.06.27 「Originator Profile 憲章」を制定しました

憲章...

・Originator Profile 憲章

目次的...

前文

第1条（OPの基本理念）

第2条（OPを使う情報発信主体の基本姿勢）

第3条（OP運用の基本的考え方）

第4条（OP技術研究組合の基本姿勢）

第5条（倫理委員会）

第6条（憲章の見直し）

【OP憲章起草委員会】（五十音順、敬称略）

宍戸　常寿　（東京大学大学院法学政治学研究科教授）★
鈴木　秀美　（慶應義塾大学メディア・コミュニケーション研究所教授）
曽我部　真裕　（京都大学大学院法学研究科教授）★
鳥海　不二夫　（東京大学大学院工学系研究科教授）
長塚　真琴　（一橋大学大学院法学研究科教授）
林　秀弥　（名古屋大学大学院法学研究科教授）
水谷　瑛嗣郎　（関西大学社会学部准教授）
山本　龍彦　（慶應義塾大学大学院法務研究科教授）★

（注）★は共同座長

2024.06.30 03:12 in 情報セキュリティ / サイバーセキュリティ, in 法律 / 犯罪, in AI/Deep Learning | Permalink | Comments (0)
Tweet

IPA 情報セキュリティ早期警戒パートナーシップガイドラインの改訂 (2024.06.18)

こんにちは、丸山満彦です。

IPAとJPCERT/CCが、「情報システム等の脆弱性情報の取扱いに関する研究会」（座長：土居範久、慶応義塾大学名誉教授）での検討結果[PDF]「情報システム等の脆弱性情報の取扱いに関する研究会」2023年度報告書及び2024年6月18日の経済産業省告示「[PDF]ソフトウエア製品等の脆弱性関連情報に関する取扱規程」の改正を踏まえ、「[PDF] 情報セキュリティ早期警戒パートナーシップガイドライン」を改訂し、2024年版をIPAのウェブサイトとJPCERT/CCのウェブサイトで公開していますね。。。

改訂内容はこちらから...で...

告示の一部改正への対応として、

優先情報提供に関する取扱いの規定改正の反映

IPAから実施する優先情報提供に関する規定の追加
上記規定の追加に伴う所要の修正

整理すると

まず、関連ウェブページ...

● IPA

・2024.06.18 情報セキュリティ早期警戒パートナーシップガイドライン

● JPCERT/CC

・2024.06.18 脆弱性対策情報

次に、改訂されたガイドライン

● IPA

・2024.06.18 [PDF] 情報セキュリティ早期警戒パートナーシップガイドライン-2024年版

● JPCERT/CC

・2024.06.18 [PDF] 情報セキュリティ早期警戒パートナーシップガイドライン-2024年版

経済産業省の告示...

● 経済産業省

・2024.06.18 [PDF] ソフトウエア製品等の脆弱性関連情報に関する取扱規程

検討した研究会とその検討結果の報告書

● IPA

・情報システム等の脆弱性情報の取扱いに関する研究会

報告書を発表した際のプレス

・2024.03.27 情報システム等の脆弱性情報の取扱いに関する調査の報告書などを公開

報告書

・2024.03.27 [PDF] 情報システム等の脆弱性情報の取扱いに関する研究会 - 2023 年度報告書 -

● まるちゃんの情報セキュリティ気まぐれ日記

前回のときのだった...

・2020.03.26 IPA 情報システム等の脆弱性情報の取扱いにおける報告書を公開

さらに過去の分もまだらに...(^^)

・2009.06.12 IPA 「情報システム等の脆弱性情報の取扱いに関する研究会」2008年度報告書

・2006.05.20 IPA 情報システム等の脆弱性情報の取扱いに関する研究会報告書

・2005.07.12 IPA 情報セキュリティ早期警戒パートナーシップガイドラインの改訂

2024.06.30 01:54 in 情報セキュリティ / サイバーセキュリティ, in 脆弱性, in 法律 / 犯罪 | Permalink | Comments (0)
Tweet

経済産業省著名人・有名企業等なりすまし広告問題に関する3社からの聞き取り結果及び当該結果を踏まえた取組状況の評価

こんにちは、丸山満彦です。

経済産業省が、デジタルプラットフォーム取引透明化法（正式名称は、特定デジタルプラットフォームの透明性及び公正性の向上に関する法律）に基づき、著名人・有名企業等になりすます偽広告への対応についてプラットフォーム事業者に対する聞き取りを行い、その結果と今後の取り組みを公表していますね...

聞き取りをしたプラットフォーム事業者は、Google、Lineヤフー、Metaの3社...

評価は...

（１）アカウントの本人確認強化

（２）広告審査の強化

①広告の審査（当初出稿時、審査通過後の広告内容変更時）

②日本特有の悪質広告に対応する審査体制

ですね...

3社中2社からは、なりすまし広告について正規の広告主からの苦情や削除依頼はなかったようですね...残りの1社からは、2024年3月からの約3か月間において、数万件単位の正規の広告主からの削除依頼等があったようですね...

そういえば、Metaでは、著名人の名を語った投資関係の広告が出ていて、色々な人が申し立てをしていたようですが、なかなかなくならなかったのですが、そう言えばこの最近は全くみなくなりましたね...経済産業省効果ですかね(^^)。

●経済産業省

・2024.06.28 著名人・有名企業等なりすまし広告問題に関する3社からの聞き取り結果及び当該結果を踏まえた取組状況の評価の公表について

・[PDF] なりすまし広告問題に関する3社からの聞き取り結果及び当該結果を踏まえた事務局評価

2024.06.30 00:34 in 法律 / 犯罪, in 内部統制 / リスクマネジメント | Permalink | Comments (0)
Tweet

2024.06.29

経済産業省「生成AI時代のDX推進に必要な人材・スキルの考え方2024」～変革のための生成AIへの向き合い方～

こんにちは、丸山満彦です。

経済産業省が、「生成AI時代のDX推進に必要な人材・スキルの考え方2024」～変革のための生成AIへの向き合い方～を取りまとめていますね...

2021年2月から24回続いている、「デジタル時代の人材政策に関する検討会」で検討されたものですね...

この検討会の座長はNTTデータ経営研究所の三谷さんですね。。。あと、東洋大学の島田さんや、さくらインターネットの田中社長も委員として参加していますね...

成果を明確にするため？緊急性を感じたから？（第12回議事概要、生成AI時代のDX推進に必要な人材・スキルの考え方）、デジタル時代の人材政策と謳いながら、生成AIという極めて狭い領域について議論をしたようですね。（この報告書の検討自体は2023年10月20日の第13回から）

求められるなスキル

・ビジネスアーキテクト：選択肢から適切なものを判断する選択・評価する力
・デザイナー：独自視点の問題解決能力、顧客体験を追求する姿勢
・データサイエンティスト：利活用スキル（使う、作る、企画）、背景理解・対応スキル（技術的理解、技術・倫理・推進の各課題対応）
・ソフトウェアエンジニア：AIスキル（AIツールを使いこなす）、上流スキル（設計・技術面でビジネス側を牽引）、対人スキル
・サイバーセキュリティ：AI活用の利益とリスク評価、社内管理スキル、コミュニケーションスキル

とのことです...

ちょっと読んでおこう。。。

● 経済産業省

・2024.06.28 「生成AI時代のDX推進に必要な人材・スキルの考え方2024」～変革のための生成AIへの向き合い方～を取りまとめました

（1）生成AIの利活用の現在地

開発者の貢献や企業の前向きな生成AI導入（国内企業の生成AI社内利活用・推進は1年前から大きく進展）。一方で、組織として生成AIの日常業務への組み込み、新サービス創出、これを後押しする経営層の関与が停滞（世界平均より低い）。

（2）生成AI利活用の段階と課題、解決策と今後

組織として生成AIを日常業務に組み込んで利用する取組や、新たなサービス創出につながる活用、また、これを後押しするような経営層の関与において停滞。

利活用を妨げる課題解決に向けた示唆
・生成AIへの理解不足と向き合い方：目的志向のアプローチ、環境整備と実験、答えでなく問いを深める
・経営層の姿勢、関与：経営層自身がビジョン・方針を定め、変革推進人材の役割を定義
・推進人材とスキル：スキルトレンドをデータドリブンに捉え、人材定義・教育・活躍の場作り
・データの整備：全社的なデータマネジメントとデータ「目利き」人材の育成・確保
経験機会の喪失と実践的な教育・人材育成
開発生産性の革新で、新たなベンダー・ユーザーの契機

（3）生成AI時代のDX推進に必要な人材・スキル

生成AIの業務での活用により知識や技術が補填されるため、DX推進人材はより創造性の高い役割としてリーダーシップや批判的思考などパーソナルスキルやビジネス・デザインスキルが重要となる
DX推進人材には「問いを立てる力」や「仮説を立て・検証する力」、に加えて「評価する・選択する力」が求められる
求められるスキル
・ビジネスアーキテクト：選択肢から適切なものを判断する選択・評価する力
・デザイナー：独自視点の問題解決能力、顧客体験を追求する姿勢
・データサイエンティスト：利活用スキル（使う、作る、企画）、背景理解・対応スキル（技術的理解、技術・倫理・推進の各課題対応）
・ソフトウェアエンジニア：AIスキル（AIツールを使いこなす）、上流スキル（設計・技術面でビジネス側を牽引）、対人スキル
・サイバーセキュリティ：AI活用の利益とリスク評価、社内管理スキル、コミュニケーションスキル

（4）生成AIを踏まえた人材・スキルの在り方に関する対応

経済産業省の対応として、「デジタルスキル標準（DSS）」の見直し、「デジタルガバナンス・コード」の見直し、AI学習機会の裾野の拡大、生成AI時代に求められる継続的な学びの実現に向けた環境整備に取り組んでいく。

・[PDF] 生成AI時代のDX推進に必要な人材・スキルの考え方2024（令和6年6月）＜概要＞

・[PDF] 生成AI時代のDX推進に必要な人材・スキルの考え方2024（令和6年6月）

目次...

1．はじめに

2．生成 AI の利活用の現状・課題・今後
2-1. 日本における生成 AI 利活用の現在地
2-２. 生成 AI 利活用の段階
2-３. 生成 AI の利活用を妨げる課題と解決に向けた示唆
2-４. 経験機会の喪失と実践的な教育・人材育成
2-5. IT 産業へのインパクト

3．生成 AI 時代の DX 推進に必要な人材・スキル
3-1．生成 AI 時代の DX 推進に必要な人材・スキルの考え方
3-2．専門人材における共通的な示唆その他
3-3．ビジネスアーキテクト
3-4．デザイナー
3-5．データサイエンティスト
3-6．ソフトウェアエンジニア
3-7．サイバーセキュリティ

4．生成 AI を利活用するための人材・スキルのあり方に関する対応
4-1. 経済産業省における政策対応
4-2. 生成 AI の利活用を促進する各種団体における取組例

５．終わりに

参考 1．構成員名簿
参考 2．検討スケジュール・開催実績

2024.06.29 10:19 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in AI/Deep Learning | Permalink | Comments (0)
Tweet

経済産業省厚生労働省「ロボット技術の介護利用における重点分野」を改訂と「介護テクノロジー利用の重点分野」への名称変更

こんにちは、丸山満彦です。

ちょっと気になったので...

介護テクノロジー利用の重点分野として、新たに3分野を追加し、合計で9分野16項目になるようです...

新たに加えた分野...

・機能訓練支援
・食事・栄養管理支援
・認知症生活支援・認知症ケア支援

● 経済産業省

・2024.06.28「ロボット技術の介護利用における重点分野」を改訂しました - テクノロジーの活用で、介護現場の課題解決を推進します！

・・[PDF] 【別添】ロボット技術の介護利用における重点分野（令和6年6月改訂）

・・[PDF] （参考）介護テクノロジー利用の重点分野の全体図と普及率

移乗支援（装着） 介助者のパワーアシストを行う装着型の機器
移乗支援（非装着） 介助者による移乗動作のアシストを行う非装着型の機器

排泄支援（排泄物処理）排泄物の処理にロボット技術を用いた設置位置の調整可能なトイレ
排泄支援（動作支援） ロボット技術を用いてトイレ内での下衣の着脱等の排泄の一連の動作を支援する機器
排泄支援（排泄予測・検知）排泄を予測又は検知し、排泄タイミングの把握やトイレへの誘導を支援する機器

移動支援（屋外） 高齢者等の外出をサポートし、荷物等を安全に運搬できるロボット技術を用いた歩行支援機器
移動支援（屋内）高齢者等の屋内移動や立ち座りをサポートし、特にトイレへの往復やトイレ内での姿勢保持を支援するロボット技術を用いた歩行支援機器
移動支援（装着） 高齢者等の外出等をサポートし、転倒予防や歩行等を補助するロボット技術を用いた装着型の移動支援機器

入浴支援 入浴におけるケアや動作を支援する機器

見守り（施設）介護施設において使用する、各種センサー等や外部通信機能を備えた機器システム、ブラットフォーム
見守り（在宅）在宅において使用する、各種センサー等や外部通言機能を備えた機器システム、ブラットフォーム
コミュニケーション 高齢者等のコミュニケーションを支援する機器

介護業務支援 介護業務に伴う情報を収集・蓄積し、それを基に、高齢者等への介護サービス提供に関わる業務に活用することを可能とする機器・システム

機能訓練支援 介護職等が行う身体機能や生活機能の訓練における各業務（アセスメント・計画作成・訓練実施）を支援する機器・システム
食事・栄養管理支援 高齢者等の食事・栄養管理に関する周辺業務を支援する機器・システム
認知症生活支援・認知症ケア支援認知機能が低下した高齢者等の自立した日常生活または個別ケアを支援する機器・システム

・・[PDF] （参考）介護テクノロジー利用の重点分野定義

● 厚生労働省

・2024.06.28 「ロボット技術の介護利用における重点分野」を改訂しました

・プレスリリース

・【別添】ロボット技術の介護利用における重点分野（令和６年６月改訂）

・（参考）介護テクノロジー利用の重点分野の全体図と普及率

・（参考）介護テクノロジー利用の重点分野定義

2024.06.29 08:04 in ロボット, in IoT | Permalink | Comments (0)
Tweet

経済産業省スマートマニュファクチャリング構築ガイドライン

こんにちは、丸山満彦です。

経済産業省とNEDOが、製造事業者各社が直面する経営課題の解決に向けて、経営・業務変革課題の特定を起点としてデジタルソリューションを適用・導入する企画・構想設計に重点を置いた「スマートマニュファクチャリング構築ガイドライン」を共同で策定し、公開していますね...

かなり詳細な資料ですね...

ちなみに、サイバーセキュリティについてはP37に1箇所だけでてきます(^^)

● NEDO（国立研究開発法人新エネルギー・産業技術総合開発機構）

・[PDF] スマートマニュファクチャリング構築ガイドライン（令和６年６月初版） (downloaded)

・[PDF] 別紙_リファレンス1_環境変化項目別変革課題マップの重点 (downloaded)

・[PDF] 別紙_リファレンス2_生産システム類型別変革課題マップの重点 (downloaded)

・[PDF] 別紙_リファレンス3_マニュファクチャリング変革課題マップ (downloaded)

・[PDF] 別紙_リファレンス4_変革課題別実現レベル5段階 (downloaded)

・[PDF] 別紙_リファレンス5_実現レベル別仕組み構築手法 (downloaded)

・[PDF] 別紙_リファレンス6_企画から実装に至るプロジェクト設計 (downloaded)

・[PDF] 別紙_リファレンス7_プロジェクト推進モデル事例集 (downloaded)

・[PDF] 別紙_チーム討議用リファレンス3-5集約版 (downloaded)

報告書の目次...

第 1 章本ガイドラインについて
1.1 本ガイドライン策定の背景とねらい
1.1.1 製造業を取り巻く環境変化
1.1.2 本ガイドラインのねらいと前提
1.2 本ガイドラインの構成
1.2.1 スマート化の道筋を描くための「7 つのリファレンス」
1.2.2 本ガイドライン各章の主な内容
1.3 スマートマニュファクチャリングの概念

第 2 章ものづくりの全体プロセスの捉え方
2.1 「マニュファクチャリングチェーン」の全体像
2.1.1 4 つのチェーンで構成するマニュファクチャリングチェーン
2.1.2 チェーン連鎖で描くものづくりの全体プロセス
2.2 ４つのチェーンの詳細
2.2.1 エンジニアリングチェーンの詳細
2.2.2 サプライチェーンの詳細
2.2.3 プロダクションチェーンの詳細
2.2.4 サービスチェーンの詳細

第 3 章スマート化の思考テンプレート：「変革課題マップ」
3.1 「変革課題マップ」と課題別実現レベル 5 段階
3.1.1 変革に向けた基本スタンス
3.1.2 「マニュファクチャリング変革課題マップ」（リファレンス③抜粋）
3.1.3 「変革課題別実現レベル 5 段階」（リファレンス④抜粋）
3.1.4 「実現レベル別仕組み構築手法」（リファレンス⑤抜粋）
3.2 各チェーンから見た変革課題の位置づけ
3.2.1 エンジニアリングチェーンにおける変革課題マップ
3.2.2 サプライチェーンにおける課題マップ
3.2.3 プロダクションチェーンにおける課題マップ
3.2.4 サービスチェーンにおける課題マップ
3.3 経営目標達成指標（KGI）と変革課題と関連
3.3.1 スマートマニュファクチャリングとＫＧＩ
3.3.２ KGI と変革課題との関連

第 4 章重点とする変革課題の選定方法
4.1 企業を取り巻く環境変化に基づく重点化（リファレンス①抜粋）
4.1.1 企業を取り巻く環境変化
4.1.2 環境変化ごとの重点項目の設定
4.2 生産システム類型に基づく重点化（リファレンス②抜粋）
4.2.1 生産システムの特性
4.2.2 生産システム類型区分からの重点項目設定

第 5 章スマート化プロジェクトの設計方法
5.1 プロジェクト設計（リファレンス⑥抜粋）
5.1.1 4 つのフェーズによる構成
5.1.2 各フェーズの詳細
5.1.3 各フェーズの実践に向けた補足事項
5.1.4 推進体制の構築
5.1.5 推進スケジュールの設定
5.2 プロジェクト推進モデル事例集（リファレンス⑦抜粋）
5.2.1 モデル事例の構成
5.2.2 モデル事例の内容：タイプ D（抜粋）

あとがき

2024.06.29 07:25 in 情報セキュリティ / サイバーセキュリティ, in 危機管理 / 事業継続, in IoT | Permalink | Comments (0)
Tweet

経済産業省「企業情報開示のあり方に関する懇談会課題と今後の方向性（中間報告）」を取りまとめ (2024.06.25)

こんにちは、丸山満彦です。

経済産業省で今年の4月に企業情報開示のあり方に関する懇談会が設立され、議論されてきたわけですが、課題と今後の方向性についての中間報告が公表されていますね...

サステナビリティ関連情報の開示等に意識がいっているような感じですね...

法定の有価証券報告書、コーポレート・ガバナンス報告書でもサステナビリティ関連の開示が充実してくるようになったことに加えて、任意の統合報告者やサステナビリティレポートを作成・公表する企業が増えていて、企業開示の全体像が見えにくかったり、記載内容の重複だったり、形式ていな記載だったりで、その利用が適切に行われていないのではないかといった課題があるとは思います。一方、作成コストもバカにならないと...

ということで、企業、投資家、学識経験者が集まって、諸外国企業との比較を通じて、日本企業の情報開示の現状を確認し、目指す方向性についての議論をしたようですね...

野村総合研究所の三井千絵さんも参加されていますね...

企業に関する情報というのは、その企業を知ろうとすればするほど、企業固有の事情を説明できるような情報・データが必要となり、他企業との比較可能性が困難になります。一方、他企業との比較可能性を高めようとすればするほど、一般的な形式情報が増え、その企業を深く理解する情報・データが少なくなります。

個人的には、文書を作っていくという報告書的なものから、データを中心にした分析的な報告書（その企業を深く理解するための報告書。企業間比較がしやすいような報告書がデータを中心に作成されていくイメージ。）で、イメージ案２に近い感じですね。。。

紙で読むというよりも、ウェブ等で読むことが前提の報告書のイメージ...モジュール化という話もでたようですが、そんな感じですね...

それと、報告書がデータから自動的に作成されるようになれば、監査の対象もデータについてと、表現についてに分けて考えることもできるかもですね...監査の意義ややり方も変わるかもですね...

イメージ案２については、現状と異なるので、その移行が課題になりうるのですが、そういうのはいっときの話なので、できる限り短期間にやってしまうように準備をしてやってしまうのでしょうね...（でないと、移行期間中の重複開示、あるいは、比較可能性の減少が生じて社会的なコストが大きくなるので）

ちなみにイメージ案２

ついでにイメージ案１

● 経済産業省

・2024.06.25 「企業情報開示のあり方に関する懇談会課題と今後の方向性（中間報告）」を取りまとめました

近年、企業の情報開示は、その量が増加傾向にあることに加えて、特に我が国においては、任意の報告書なども含めて、様々な媒体（有価証券報告書、事業報告・計算書類、統合報告書等）を通じた進展が見られます。こうした進展の一方で、日本企業の情報開示については、開示体系の複雑性や、開示内容の充実化の必要性、開示量の増加に伴う課題などについて国内外から指摘されています。

投資家等との建設的な対話・エンゲージメントを通じて、持続的な企業価値の向上を目指していくためには、投資家等の特性に応じた開示の検討を含め、企業・投資家等の双方にとって効率的かつ効果的な開示の在り方を検討することが必要と考えられます。

こうした問題意識を踏まえ、本懇談会では、諸外国企業との比較を通じ、日本企業の情報開示の現状を確認した上で、主に、（1）開示体系、（2）サステナビリティ情報を含めた企業価値向上に資する情報開示という二つの観点から、日本企業の情報開示の課題と将来の方向性について議論してきました。今般、これまで3回の議論の結果を中間報告として公表します。

・[PDF] 企業情報開示のあり方に関する懇談会課題と今後の方向性（中間報告）

目次...

I. はじめに

II. 日本企業の情報開示に関する課題等
1. 企業価値向上に資する情報開示の内容・質に関する課題
　① 有価証券報告書
　② コーポレート・ガバナンス報告書
　③ 統合報告書
2. 企業情報開示の体系に関する課題
　① 開示書類間の記載内容の重複について
　② 有価証券報告書と統合報告書の使い分けの実態と課題について
　③ 各報告書の一本化について

III. 新たな情報開示のあり方に関するアイデア等
1. グランドデザイン
2. イメージ案 1：法定開示と任意開示の役割分担
3. イメージ案 2：二層構造の開示体系
4. イメージ案 1・2 に共通するポイント
　① 事業報告等、有価証券報告書とコーポレート・ガバナンス報告書の一体開示
　② 定時株主総会前の一体書類の開示
　③ 英文による情報開示
　④ XBRL 化
5. 将来の企業情報開示に関する議論
　① 目指すべき開示体系
　② イメージ案 2 の課題
　③ 新たな開示体系への移行（企業規模等に応じた情報開示）
　④ その他の論点

IV. おわりに

そのた関連情報

● まるちゃんの情報セキュリティ気まぐれ日記

ESG, CSR 関係...

・ESG/CSR

情報開示関係...

・2024.06.09 金融庁コーポレートガバナンス改革の実践に向けたアクション・プログラム 2024

・2024.06.03 金融庁スチュワードシップ・コード及びコーポレートガバナンス・コードのフォローアップ会議（第29回）議事録

・2024.01.18 金融庁コーポレートガバナンス改革に向けた取組みに関するウェブページを開設 (2024.01.15)

・2023.10.28 SECが2024年度の審査強化項目を公表していますね。。。

・2023.07.28 米国 SEC 上場企業によるサイバーセキュリティリスクマネジメント、戦略、ガバナンス、インシデント開示に関する規則を採択

・2023.02.16 SECが2023年度の審査強化項目を公表していますね。。。引き続きサイバーセキュリティも含まれています。。。(2023.02.07)

・2022.12.07 英国投資家等に対するサイバーセキュリティのリスクに対する開示等の個人的な整理....

・2022.04.05 SECが2022年度の審査強化項目を公表していますね。。。引き続きサイバーセキュリティも含まれています。。。(2022.03.31)

・2022.03.11 米国 SEC 公開企業によるサイバーセキュリティのリスク管理、戦略、ガバナンス、インシデントの開示に関する規則案

・2021.09.20 米国 SEC長官の上院での証言(2) 投資家はサイバーセキュリティに関する情報を企業に求めている

・2021.04.27 欧州委員会非財務情報開示指令の改正案発表対象企業が大幅に増加

・2021.03.12 SECが2021年度の審査強化項目を公表していますね。。。引き続きサイバーセキュリティも含まれています。。。at 2021.03.03

遡って...

・2011.10.31 SEC サイバーセキュリティリスクとインシデントについての開示 (CF Disclosure Guidance: Topic No. 2 Cybersecurity)

・2011.03.21 今こそ問われる、CSR報告書、企業行動憲章

・2009.09.15 経団連 CSR（企業の社会的責任）に関するアンケート調査結果

・2007.01.22 CSR情報開示世界格付け S&P Global Reporters 2006

2024.06.29 06:48 in 監査 / 認証, in ESG/CSR, in 内部統制 / リスクマネジメント | Permalink | Comments (3)
Tweet

2024.06.28

個人情報保護委員会意見募集いわゆる3年ごと見直しに係る検討の中間整理

こんにちは、丸山満彦です。

個人情報保護委員会（第292回）でいわゆる3年ごと見直しに係る検討の中間整理（案）が議論され、意見募集がされていますね...（ただし、意見をだしても回答はないようです...）

● 個人情報保護委員会

・2024.06.26 「個人情報保護法　いわゆる３年ごと見直しに係る検討の中間整理」の公表及び同整理に対する意見募集

・・報道発表資料 [PDF] プレスリリース

・・別添１[PDF] 中間整理

目次...

第１はじめに（中間整理の位置づけ等）

第２個別検討事項

１個人の権利利益のより実質的な保護の在り方
(1)個人情報等の適正な取扱いに関する規律の在り方
(2)第三者提供規制の在り方（オプトアウト等）
(3)こどもの個人情報等に関する規律の在り方
(4)個人の権利救済手段の在り方

２実効性のある監視・監督の在り方
(1)課徴金、勧告・命令等の行政上の監視・監督手段の在り方
(2)刑事罰の在り方
(3)漏えい等報告・本人通知の在り方

３データ利活用に向けた取組に対する支援等の在り方
(1)本人同意を要しないデータ利活用等の在り方
(2)民間における自主的な取組の促進

４その他
参考

・・別添２[PDF] 意見募集要領

このページのライバルページ(^^)

・個人情報保護法　いわゆる３年ごと見直しについてのページ...

・・2024.06.27 [PDF] 個人情報保護法　いわゆる３年ごと見直しに係る検討の中間整理

あと、今回のヒアリングには呼ばれていませんが、かつて米国企業のアジアCPOをしていて、2004年10月に経済産業省がだした、[PDF] 個人情報の保護に関する法律についての経済産業分野を対象とするガイドラインを作成する委員会（ちなみに委員長は現在の個人情報保護委員長の藤原静雄先生）で私と一緒に委員だった佐藤慶浩さんのご意見も是非参考に...

米国の感覚が少しはわかるかもです...

当時から佐藤さんは、利用目的管理の重要性を言っていましたね...

● 砂糖の甘い付箋

・2024.06.27 日本の個人情報保護と米国のプライバシー尊重の違い

内容...

個別の検討事項は、

３データ利活用に向けた取組に対する支援等の在り方
(1)本人同意を要しないデータ利活用等の在り方
(2)民間における自主的な取組の促進

なのですが、

それ以外も...ということで、

プロファイリング（本人に関する行動・関心等の情報を分析する処理）
個人情報等に関する概念の整理
プライバシー強化技術（「PETs」：Privacy Enhancing Technologies）の位置づけの整理
金融機関の海外送金時における送金者への情報提供義務の在り方
ゲノムデータに関する規律の在り方
委員会から行政機関等への各種事例等の情報提供の充実
委員会が関係の深いステークホルダーと透明性のある形で継続的に議論する場を設け、以下の項目等を検討していく
- 個人情報保護政策の方向性や、
- 本人同意を要しない公益に資するデータ利活用に関係するガイドライン等の見直しの在り方

【考え方】の部分だけ抜粋...

１個人の権利利益のより実質的な保護の在り方

(1)個人情報等の適正な取扱いに関する規律の在り方

ア要保護性の高い個人情報の取扱いについて（生体データ）

生体データは、長期にわたり特定の個人を追跡することに利用できる等の特徴を持ち得るものであり、特に、特定の個人を識別することができる水準が確保されている場合において、通常の個人情報と比較して個人の権利利益に与える影響が大きく、保護の必要性が高いと考えられる。他方、生体データは本人認証に広く利用されているほか、犯罪予防や安全確保等のために利用することも想定されるものである。これを踏まえ、生体データの取扱いについて、諸外国における法制度なども参考にしつつ、特に要保護性が高いと考えられる生体データについて、実効性ある規律を設けることを検討する必要がある。この点について、関係団体からは、事業者の自主的な取組を促進すべきとの声もあるが、本人関与や安全管理措置等を通じた個人の権利利益の保護とのバランスを踏まえ検討を進める必要がある。

まず、現行法上、個人情報の利用目的については、「できる限り特定」しなければならないとされているが（法第 17 条第１項）、生体データの要保護性を踏まえると、生体データを取り扱う場合においては、例えば、どのようなサービスやプロジェクトに利用するかを含めた形で利用目的を特定することを求めることが考えられる。

また、個人の権利利益の保護という観点からは、生体データの利用について、本人がより直接的に関与できる必要がある。そのため、生体データの取扱いに関する一定の事項を本人に対し通知又は十分に周知することを前提に、本人による事後的な利用停止を他の保有個人データ以上に柔軟に可能とすることが考えられる。

このほか、必要となる規律の在り方について、事業者における利活用の実態やニーズ、運用の負担、利用目的の違いによる影響なども考慮して検討する必要がある。

イ「不適正な利用の禁止」「適正な取得」の規律の明確化

不適正な利用の禁止、適正な取得の規定については、個人の権利利益の保護により資するものとするとともに、事業者による予測可能性を高める観点から、適用される範囲等の具体化・類型化を図る必要がある。具体化・類型化に際しては、これまでに問題とされた事例等を踏まえて検討することが必要である。

また、現行法の個人情報の取扱いに係る規律は、本人が、自らの個人情報の提供等について、自らの自律的な意思により選択をすることが可能である状況にあることを前提としていると考えられる。他方、個人情報取扱事業者と本人との関係によっては、本人にそのような選択を行うことが期待できない場合があり得る。そのため、こうした場合において、本人との関係に照らして当然認められるべき利用目的以外の利用目的で個人情報を取得・利用することや、当然認められるべき利用目的の達成に真に必要な範囲を越えて個人情報を取得・利用すること等について、不正取得や不適正利用等の規律をどのように適用すべきか、継続的に検討する必要がある。

個人関連情報については、事業者が、電話番号、メールアドレス、Cookie ID など、個人に対する連絡が可能な情報を有している場合 ^[1]には、個人関連情報の取扱いによりプライバシーなどの個人の権利利益が侵害される蓋然性が認められ、その侵害の程度・蓋然性は、事業者による利用の方法によっては、個人情報と同様に深刻なものになり得ると考えられる。そのため、このような場合につい

て、不正取得や不適正利用等への対応の在り方を検討する必要がある。

(2)第三者提供規制の在り方（オプトアウト等）

オプトアウト届出事業者は、提供先の利用目的や身元等について、その内容や真偽を積極的に確認する義務まではないことから、明確に認識しないまま意図せず犯罪グループに名簿を提供してしまうことが生じ得る。そこで、一定の場合には提供先の利用目的や身元等を特に確認する義務を課すことについて検討する必要がある。その際、確認義務の要件についての検討や、住宅地図等を広く市販する場合など規律の在り方についても検討が必要である。

また、不正に名簿等を持ち出した者が、当該名簿等により利益を得る有力な方法として、オプトアウト届出事業者への販売が想定される。そのため、オプトアウト届出事業者には、取得元における取得の経緯や取得元の身元等の確認について、より高度の注意義務を課すことが考えられる。具体的には、一定の場合には取得元の身元や取得の適法性を示す資料等を特に確認する義務を課すことについて検討する必要がある。その際、確認義務の要件や対象の類型化についての検討が必要である。

さらに、本人が、オプトアウト届出事業者によって個人情報が提供されており、かつ、当該提供の停止を求めることができることを確実に認識できるようにするための措置など、本人のオプトアウト権行使の実効性を高めるための措置について、継続して検討する必要がある。

(3)こどもの個人情報等に関する規律の在り方

こどもの個人情報の取扱いに係る規律については、こどもの脆弱性・敏感性及びこれらに基づく要保護性を考慮するとともに、学校等における生徒の教育・学習に関するデータの有用性も考慮する必要がある。これを踏まえ、主要各国においてこどもの個人情報等に係る規律が設けられており、執行事例も多数見られることも踏まえ、こどもの権利利益の保護という観点から、規律の在り方の検討を深める必要がある。

他方で、第三者が公開したこどもの個人情報を取得する場合などにおいては、取得した情報にこどもの個人情報とこども以外の者の個人情報が含まれている場合や、こどもの個人情報が含まれているかが明らかでない場合があり得ることから、こうした場合における事業者の負担を考慮する必要がある。

ア法定代理人の関与

現行法上、原則として本人同意の取得が必要とされている場面（目的外利用（法第18条第２項）、要配慮個人情報の取得（法第20条第２項）、個人データの第三者提供（法第27条第１項、第28条１項）、個人関連情報の第三者提供（法第31条第１項）など）において、こどもを本人とする個人情報について、法定代理人の同意を取得すべきことを法令の規定上明確化することを検討する必要がある。

また、本人に対する通知等が必要となる場面（利用目的の通知（法第21条第１項）、本人から直接書面に記載された個人情報を取得する場合における利用目的の明示（同条第２項）、漏えい等に関する本人への通知（法第26条第２項）など）においても、こどもを本人とする個人情報について、法定代理人に対して情報提供すべきことを法令の規定上明文化することを検討する必要がある。

イ利用停止等請求権の拡張

現行法上、利用停止等請求権を行使できる場面は、保有個人データについて違法行為があった場合等限定的であるが、こどもの要保護性を踏まえると、こどもを本人とする保有個人データについては、他の保有個人データ以上に柔軟に事後的な利用停止を認めることについて検討する必要がある。ただし、取得について法定代理人の同意を得ている場合等、一定の場合においてはその例外とすることも考えられる。

ウ安全管理措置義務の強化

重大なこどもの個人情報の漏えい事件が国内で発生しており、委員会においても前述の大手学習塾に対する指導に際して「こどもの個人データについては、こどもの「安全」を守る等の観点から、特に取扱いに注意が必要であり、組織的、人的、物理的及び技術的という多角的な観点からリスクを検討し、必要かつ適切な安全管理措置を講ずる必要がある」旨述べているところである。そこで、こどもの個人データについて安全管理措置義務を強化することがあり得る。

エ責務規定

上記アからウにかかわらず、各事業者の自主的な取組の促進という観点からは、こどもの個人情報等の取扱いについては、こどもの善の利益を優先し特別な配慮を行うべき等、事業者等が留意すべき責務を定める規定を設けることも検討する必要がある。

オ年齢基準

こどもの個人情報等の取扱いに係る年齢基準の考え方については、国内外の法制度において様々な年齢基準が設けられていることや、対象年齢によっては事業者等の負担が大きくなることも考慮する必要があるが、対象とするこどもの年齢については、Q&Aの記載やGDPRの規定の例などを踏まえ、16歳未満とすることについて検討を行う。

(4)個人の権利救済手段の在り方

法の規定に違反する個人情報の取扱いに対する抑止力を強化し、本人に生じた被害の回復の実効性を高めるという観点からは、適格消費者団体を念頭に置いた、団体による差止請求制度や被害回復制度 ^[2]の枠組みは有効な選択肢となり得る。

このうち、差止請求制度については、法に違反する不当な行為を対象行為とすることを検討すべきである。差止請求の実効的な運用のためには、次の課題が指摘されている一方で、差止請求は個人の権利利益保護の手段を多様化する、委員会の監視・監督機能を補完し得るとの指摘もあることから、継続して検討する必要がある。

・専門性の確保（法に精通した人材を各適格消費者団体が確保しているとは限らないため、研修等の実施や、制度導入初期段階での専門家確保のための施策が必要と考えられる。）

・端緒情報等の共有・立証等における考慮（委員会が取得している情報のうち重大案件と考えられるものについて、事業者名を特定して適格消費者団体に提供できると、制度が効果的に機能すると考えられる。また、事業者の応答を促す仕組み等についても検討すべき。）

・報告、監督窓口の一本化（年次の報告先等が２箇所となれば適格消費者団体の負担となる。）

・資金を含む団体への援助（適格消費者団体は限られた資金の下ボランティアベースで運営されている団体が大多数。）

もう一方の被害回復制度については、差止請求制度の課題に加え、個人情報の漏えいに伴う損害賠償請求は極端な少額大量被害事案となる（過去の裁判例等を踏まえると、認容被害額は数千円から数万円程度と考えられる。）こと、立証上の問題があることが課題と考えられることから、更に慎重な検討が必要である。

他方で、団体による差止請求や被害回復の枠組みについては、関係団体からのヒアリングにおいて、その導入について強く反対との意見があったところであり、法に違反する行為や不法行為を対象とする場合であっても、萎縮効果の懸念が示されていることから、事業者の負担と個人の権利利益の保護とのバランスを踏まえつつ、その導入の必要性を含めて多角的な検討を行っていく必要がある。

２実効性のある監視・監督の在り方

(1)課徴金、勧告・命令等の行政上の監視・監督手段の在り方

ア課徴金制度

課徴金制度については、関係団体からのヒアリングで強い反対意見が示されていることに加え、我が国の他法令における導入事例や国際的動向、個人の権利利益保護と事業者負担とのバランスを踏まえ、その導入の必要性を含めて検討する必要がある。

課徴金制度を導入する必要があると考えられる場合には、次のような論点を整理する必要がある。

・課徴金賦課の対象となる違法行為類型（現行法の指導・勧告・命令のみでは違反行為により得た利得が事業者の元に残ることとなり、事業者による個人の権利利益の侵害を効果的に抑止できないことを前提に、個人データの違法な第三者提供等の違反行為によって不当な利得を得ている場合や、個人データの漏えい等が発生している可能性を認識したにもかかわらず、適切な措置を講じることを怠る等の悪質な違反行為により、本来なすべき支払を免れた場合等について検討することが必要である。）

・課徴金の算定方法（例えば、個人データを販売することを通じて違法に第三者に提供した場合については、販売による売上という不当な利益が生じている点に着目することが考えられる。他方、悪質な安全管理措置義務違反の場合には、本来なすべき支払を免れた結果として、事業活動から得られる利益が増加している点に着目することが考えられる。）

・課徴金の低額の設定、一定の要件を満たした場合の課徴金の加減算等

イ勧告・命令の在り方

勧告・命令に関しては、個人情報取扱事業者等による法に違反する個人情報等の取扱いにより個人の権利利益の侵害が差し迫っている場合に直ちに中止命令を出すことの必要性や、法に違反する個人情報等の取扱いを行う個人情報取扱事業者等のみならず、これに関与する第三者に対しても行政上の措置をとることの必要性、法に違反する個人情報等の取扱いの中止のほかに個人の権利利益の保護に向けた措置を求めることの必要性の有無や手続保障など、その法制上の課題等について検討すべきである。

(2)刑事罰の在り方

個人情報が不正に取り扱われた悪質事案の類型が様々であることを踏まえ、法の直罰規定がこれらの事案を過不足なく対象としているかを検証し、その処罰範囲について検討するとともに、法定刑の適切性についても検討する必要がある。

さらに、個人情報の詐取等の不正取得が多数発生している状況を踏まえ、こうした行為を直罰規定の対象に含めるべきかについても検討する必要がある。

（3)漏えい等報告・本人通知の在り方

ア漏えい等報告

漏えい等報告及び本人通知に関し、漏えい等報告の件数は、令和４年度（2022 年度）から漏えい等報告が義務化されたこと等により、令和元年度（2019年度）以降全体として増加傾向にある一方で、関係団体等からはこれらの義務が事業者の過度な負担になっているという意見が示されている。

そこで、こうした意見も踏まえつつ、委員会がこれまでに受けた漏えい等報告の内容を検証した上で、上記制度の趣旨を損なわないようにしつつ、個人の権利利益侵害が発生するリスク等に応じて、漏えい等報告や本人通知の範囲・内容の合理化を検討すべきである。

この点、①上記のように、委員会がこれまでに受けた漏えい等報告を件数ベースでみると、漏えいした個人データに係る本人の数が１名である誤交付・誤送付案件が大半を占めているが、このようなケースは、当該本人にとっては深刻な事態になり得るものであり、本人通知の重要性は変わらないものの、本人通知が的確になされている限りにおいては、委員会に速報を提出する必要性が比較的小さい。また、②漏えい等又はそのおそれを認識した場合における適切な対処（漏えい等が生じたか否かの確認、本人通知、原因究明など）を行うための体制・手順が整備されていると考えられる事業者については、一定程度自主的な取組に委ねることも考えられる。そこで、例えば、体制・手順について認定個人情報保護団体などの第三者の確認を受けることを前提として、速報については、一定の範囲でこれを免除し、さらに①のようなケースについては確報について一定期間ごとの取りまとめ報告を許容することも考えられる。

また、関係団体からは、いわゆる「おそれ」要件についての要望も示されている。「おそれ」については、個人の権利利益を害する可能性等を勘案してより合理的と考えられる場合に報告や本人通知を求めることが適当であるとも考えられるが、その具体的な当てはめについては、現実の事例に応じて精査する必要がある。事業者の協力も得ながら、実態を明らかにした上で検討を行い、必要となる要件の明確化を行うことが必要である。

イ違法な第三者提供

現行法においては、事業者が個人データを違法に第三者に提供した場合について、報告義務及び本人通知義務は存在しないが、個人データが漏えい等した場合については事業者にこれらの義務が課されることとの均衡から、漏えい等との違いの有無も踏まえ、その必要性や報告等の対象となる範囲を検討する必要がある。

３データ利活用に向けた取組に対する支援等の在り方

(1)本人同意を要しないデータ利活用等の在り方

昨今のデジタル化の急速な進展・高度化に伴い、生成AI等の新たな技術の普及等により、大量の個人情報を取り扱うビジネス・サービス等が生まれている。また、健康・医療等の公益性の高い分野を中心に、機微性の高い情報を含む個人情報等の利活用に係るニーズが高まっている。このほか、契約の履行に伴う個人情報等の提供や、不正防止目的などでの利活用についてもニーズが寄せられている。

こうした状況を踏まえ、法で本人同意が求められる規定の在り方について、個人の権利利益の保護とデータ利活用とのバランスを考慮し、その整備を検討する必要がある。この場合においては、単に利活用の促進の観点から例外事由を認めるのは適当ではなく、本人の権利利益が適切に保護されることを担保することが必要である。

まず、生成AIなどの、社会の基盤となり得る技術やサービスのように、社会にとって有益であり、公益性が高いと考えられる技術やサービスについて、既存の例外規定では対応が困難と考えられるものがある。これらの技術やサービスについては、社会的なニーズの高まりや、公益性の程度を踏まえて、例外規定を設けるための検討が必要である。この際、「いかなる技術・サービスに高い公益性が認められるか」について、極めて多様な価値判断を踏まえた上で高度な意思決定が必要になる。個人の権利利益の保護とデータ利活用の双方の観点から多様な価値判断が想定されるものであり、関係府省庁も含めた検討や意思決定が必要と考えられる。

また、医療機関等における研究活動等に係る利活用のニーズについても、公益性の程度や本人の権利利益保護とのバランスを踏まえて、例外規定に係る規律の在り方について検討する必要がある。例えば、医療や研究開発の現場における公衆衛生例外規定の適用のように、例外規定はあるものの、適用の有無に関する判断にちゅうちょする例があるとの指摘がある。こうした点等については、事業者の実情等も踏まえつつ、関係府省庁の関与を得ながら、ガイドラインの記載等についてステークホルダーと透明性のある形で議論する場の設定に向けて検討する必要がある。

(2)民間における自主的な取組の促進

PIA・個人データの取扱いに関する責任者は、データガバナンス体制の構築において主要な要素となるものであり、その取組が促進されることが望ましい。他方、これらの義務化については、各主体における対応可能性や負担面などを踏まえ、慎重に検討を進める必要がある。

PIAについては、民間における自主的な取組という現状の枠組みを維持しつつ、その取組を一層促進させるための方策について、PIAの出発点となり得るデータマッピングを活用していくことを含め、検討を進める必要がある。

個人データの取扱いに関する責任者に関しては、現行の通則ガイドライン等で定める「組織体制の整備」を超えた措置の必要性について検討を進めるべきである。資格要件の要否、設置を求める対象事業者の範囲等によりその効果が変わってくると考えられるところ、各企業の現状も踏まえ、現実的な方向性を検討する必要がある。

[1] 個人関連情報とは、「Cookie 等の端末識別子を通じて収集された、ある個人のウェブサイトの閲覧履歴」や「メールアドレスに結び付いた、ある個人の年齢・性別・家族構成」等がこれに該当する。ただし、これらの情報が個人情報に該当する場合には、個人関連情報には該当しない。

[2] なお、仮名加工情報を取り扱う場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報の利用を行ってはならないこととされている（法第 41 条第８項）。

適時の紹介はしていなかった、289回と290回...

289回（技術的専門性のある方）
- 佐藤一郎さん
- 高木浩光さん
290回（法的専門性のある方）
- 板倉陽一郎さん
- 鈴木正朝さん

です。みなさんのことは昔から存じていますが、その主張やその表現に人柄が現れているように感じます。

板倉先生のコメントはわかりやすく参考になると思います...

● 個人情報保護委員会

・[PDF] 第二次いわゆる３年ごと見直しへのコメント（ひかり総合法律事務所　板倉弁護士）

・[PDF] デジタル社会の個人情報保護法（新潟大学　鈴木教授）

・[PDF] 個人情報保護委員会「いわゆる３年ごと見直し」ヒアリング（国立情報学研究所　佐藤教授）

・[PDF] 個人情報保護法３年ごと見直し令和６年に対する意見（産業技術総合研究所　高木主任研究員）

3年ごとの見直し...

2024.06.26	第292回個人情報保護委員会
資料１	個人情報保護法いわゆる３年ごと見直しに係る検討の中間整理（案）
【委員長預かりで会議後に修正した資料】資料１	個人情報保護法　いわゆる３年ごと見直しに係る検討の中間整理
資料２−１	日EU相互認証の枠組みの拡大に向けた対応について
資料２−２	個人情報保護委員会藤原靜雄委員長と欧州委員会ベラ・ヨウロバー副委員長（価値・透明性担当）の会談に関する共同プレス・ステートメント（英語）
資料２−３	個人情報保護委員会藤原靜雄委員長と欧州委員会ベラ・ヨウロバー副委員長（価値・透明性担当）の会談に関する共同プレス・ステートメント（日本語仮訳）
資料３	一般送配電事業者及び関係小売電気事業者等における顧客情報の不適切な取扱事案に対する個人情報の保護に関する法律に基づく行政上の対応について
議事概要
議事録
2024.06.13	第290回個人情報保護委員会
資料１－１	第二次いわゆる３年ごと見直しへのコメント（ひかり総合法律事務所　板倉弁護士）
資料１－２	デジタル社会の個人情報保護法（新潟大学　鈴木教授）
議事概要
議事録
2024.06.12	第289回個人情報保護委員会
資料１－１	個人情報保護委員会「いわゆる３年ごと見直し」ヒアリング（国立情報学研究所　佐藤教授）
資料１－２	個人情報保護法３年ごと見直し令和６年に対する意見（産業技術総合研究所　高木主任研究員）
議事概要
議事録
2024.06.03	第287回個人情報保護委員会
資料１－１	個人情報保護法見直しに関するコメント（京都大学　曽我部教授）
資料１－２	いわゆる3年ごと見直しに関する意見（慶應義塾大学　山本教授）
資料１－３	３年ごと見直しヒアリング２０２４（英知法律事務所　森弁護士）
資料１－４－1	個人情報保護法のいわゆる３年ごと見直しに関する意見（東京大学　宍戸教授）
資料１－４－2	宍戸常寿氏御提出資料（令和元年５月21日提出）
議事概要
議事録
2024.05.29	第286回個人情報保護委員会
資料１	個人情報保護法いわゆる３年ごと見直し規定に基づく検討（実効性のある監視・監督の在り方③）
議事概要
議事録
2024.05.15	第284回個人情報保護委員会
資料２	個人情報保護法いわゆる３年ごと見直し規定に基づく検討（データ利活用に向けた取組に対する支援等の在り方）
資料３	個人情報保護法いわゆる３年ごと見直し規定に基づく検討（実効性のある監視・監督の在り方②）
議事概要
議事録
2024.05.10	第283回個人情報保護委員会
資料１－１	個人情報保護法における課徴金制度導入にかかる諸論点（名古屋大学林教授）
資料１－２	個人情報保護法における法執行の強化について（神戸大学中川教授）
議事概要
議事録
2024.04.24	第281回個人情報保護委員会
資料１	個人情報保護法の３年ごと見直しに対する意見
資料２	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討（個人の権利利益のより実質的な保護の在り方③）
議事概要
議事録
2024.04.10	第280回個人情報保護委員会
資料１	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討（個人の権利利益のより実質的な保護の在り方② ）
議事概要
議事録
2024.04.03	第279回個人情報保護委員会
資料１―１	AIと個人情報保護：欧州の状況を中心に（一橋大学生貝教授）
資料１―２	AI利用と個人情報の関係の考察（NTT社会情報研究所高橋チーフセキュリティサイエンティスト）
資料１−３	医療情報の利活用の促進と個人情報保護（東京大学森田名誉教授）
資料１―４	医療・医学系研究における個人情報の保護と利活用（早稲田大学　横野准教授）
議事概要
議事録
2024.03.22	第277回個人情報保護委員会
資料１	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討（実効性のある監視・監督の在り方①）
議事概要
議事録
2024.03.06	第275回個人情報保護委員会
資料１	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討（個人の権利利益のより実質的な保護の在り方①）
議事概要
議事録
2024.02.21	第273回個人情報保護委員会
資料４	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討項目
【委員長預かりで会議後に修正した資料】資料４	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討項目
議事概要
議事録
2024.02.14	第272回個人情報保護委員会
資料２－１	地方公共団体における個人情報保護法運用状況のヒアリング（京都府総務部政策法務課）
資料２－２	岡山市における個人情報保護法の運用状況（岡山市総務局行政事務管理課）
資料２－３	個人情報保護法運用状況について（都城市総務部総務課）
資料２－４	個人情報保護法運用状況について（上里町総務課）
議事概要
議事録
2024.02.07	第271回個人情報保護委員会
資料１	インターネット広告における個人に関する情報の取扱いについての取組状況（日本インタラクティブ広告協会）
議事概要
議事録
2024.01.31	第270回個人情報保護委員会
資料２	個人情報保護法の3 年ごと見直しに対する意見（日本経済団体連合会）
議事概要
議事録
2024.01.23	第268回個人情報保護委員会
資料１―１	(特定)適格消費者団体の活動について（消費者支援機構関西）
資料１―２	個人情報保護委員会ヒアリング資料（日本商工会議所）
議事概要
議事録
2023.12.21	第266回個人情報保護委員会
資料１―１	個人情報保護法の３年ごと見直しに関する意見（電子情報技術産業協会）
資料１―２	ヒアリング資料（全国商工会連合会）
議事概要
議事録
2023.12.20	第265回個人情報保護委員会
資料１―１	ACCJ Comments for the Personal Information Protection Commission Public Hearing（在米国商工会議所）
資料１―２	公開ヒアリングに向けたACCJ意見（在米国商工会議所）
議事概要
議事録
2023.12.15	第264回個人情報保護委員会
資料１―１	個人情報保護法の見直しについて（新経済連盟）
資料１―２	個人情報保護法見直しに関する意見（日本IT団体連盟）
議事概要
議事録
2023.12.06	第263回個人情報保護委員会
資料２	個人情報保護法に関する欧州企業の代表的な課題（欧州ビジネス協会）
議事概要
議事録
2023.11.29	第262回個人情報保護委員会
資料１	ヒアリング資料（一般社団法人日本情報経済社会推進協会）
議事概要
議事録
2023.11.15	第261回個人情報保護委員会
資料２－１	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討
資料２－２	個人情報保護に係る主要課題に関する海外・国内動向調査　概要資料
議事概要
議事録

以前、このブログにも書いた私の考えですが...

個人情報保護委員会の事務局長とお話をした時に、私も結果的にグローバルスタンダードになっているGDPRとの整合（ブラッセル効果をなんでうけなあかんねん！なんですけどね...）と、もう一方の米国の規制については考慮すべきという話をしました。具体的には、以前にも書いていますが、、、

法令の見直しという点では、

悪徳事業者への罰金等の増額
拡大した個人情報の定義についてのGDPR等との整合性の確保のための整理
子供の個人情報保護のための規定の追加
各個別分野（医療、金融、通信、その他重要インフラ分野）等における課題の調整

というのが必要かと思っていて、

さらにガイドライン及びFAQにおいて

改訂部分の説明と事例の提示
AIの利活用における考え方の整理と具体例の提示
公益性とプライバシー保護のグラデーションの整理と事例の提示
漏えい等の報告におけるルールのさらなる明確化と事例の追加（例えば、報告が不要な軽微な例）

そして、政策的には

G7、G20各国等の主要国とのプライバシー保護に関する規制の調整に関するリーダーシップをとるための体制の整備
国内省庁との連携体制の強化（例：子ども家庭庁、国家安全保障委員会）のための体制の強化
国民への周知等（例：より幅広い層へのアクセス手段の拡大、教育現場への教育ツールの提供）の強化

というのが必要と思っています...

あと、加えて安全保障との関係の整理も別途必要となりそうですね...

医療情報、災害時と同様に一般的な利活用と保護のバランスではないので、別途検討が必要となるかもですね...

2024.06.28 05:24 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪, in 内部統制 / リスクマネジメント, in パブコメ | Permalink | Comments (0)
Tweet

米国国防総省がIT推進戦略 (FULCRUM) を発表 (2024.06.25)

こんにちは、丸山満彦です。

米国国防総省がIT推進戦略 (FULCRUM) を発表していますね...

戦闘フィールドも含めたIT推進戦略ということだと思います。もちろん、サイバーセキュリティ対応も含まれています。

民間企業にも役立つ気づきがあると思いますので、目を通したらどうかと思います...

（あっ、ここにもデジタル人材 (digital workforce) が！...）

ちなみに、Fulcrumとはテコの支点 (pivot point) のことで、ものごとの中心といった感じです...

IT推進戦略の概要...

LOE 1: Provide Joint Warfighting IT capabilities to expand strategic dominance of U.S. Forces & mission partners.	LOE 1：米軍とミッション・パートナーの戦略的優位性を拡大するために、統合戦闘IT能力を提供する。
1.1 Provide an intuitive and adaptive user experience	1.1 直感的で適応力のあるユーザー体験を提供する
1.2 Treat and secure data as a strategic product	1.2 データを戦略的産物として扱い、保護する
1.3 Harness advanced technologies for strategic advantage	1.3 戦略的優位性のために先端技術を活用する
1.4 Outpace adversaries with Global C3 capabilities	1.4 グローバルC3能力で敵に打ち勝つ
LOE 2: Modernize information networks and compute to rapidly meet mission and business needs.	LOE 2: 情報ネットワークとコンピュートを近代化し、ミッションとビジネスのニーズに迅速に対応する。
2.1 Optimize the DoD Information Network (DoDIN) foundation	2.1 国防総省情報ネットワーク（DoDIN）の基盤を最適化する
2.2 Enable global dynamic resilience:	2.2 グローバルな動的レジリエンスを可能にする
2.3 Implement ZT across DoD networks and compute fabric	2.3 国防総省のネットワークとコンピュート・ファブリックにZTを導入する
LOE 3: Optimize IT governance to gain efficiencies in capability delivery and enable cost savings.	LOE 3: ITガバナンスを最適化し、能力提供の効率化とコスト削減を実現する。
3.1 Overhaul IT governance process and tools for Department-wide implementation:	3.1 ITガバナンス・プロセスとツールを全面的に見直し、全局的な導入を図る
3.2 Use trusted and curated data to advance IT Governance	3.2 ITガバナンスを推進するために信頼され管理されたデータを利用する
3.3 Streamline Defense Business Systems and Enterprise IT	3.3 防衛業務システムとエンタープライズITの合理化
3.4 Accelerate acquisition, development, and deployment of IT	3.4 ITの獲得、開発、展開を加速する
LOE 4: Cultivate a premier digital workforce ready to deploy emerging technology to the warfighter.	LOE 4：戦闘員に新たなテクノロジーを配備できる最高のデジタル人材を育成する。
4.1 Build a top-tier digital workforce	4.1 トップクラスのデジタル人材を構築する
4.2 Prioritize continuous learning for the digital workforce	4.2 デジタルワークフォースのための継続的学習を優先する
4.3 Retain an exceptional digital workforce	4.3 卓越したデジタル人材を維持する
4.4 Foster collaborative partnerships to enhance the digital workforce	4.4 デジタル人材を強化するための協力的パートナーシップを促進する

● U.S. Department of Defense

・2024.06.25 DoD Releases the Fulcrum: DoD Information Technology (IT) Advancement Strategy

DoD Releases the Fulcrum: DoD Information Technology (IT) Advancement Strategy	国防総省が「Fulcrum」を発表：国防総省の情報技術（IT）推進戦略
Today, the Department of Defense (DoD) releases the Fulcrum: DoD Information Technology (IT) Advancement Strategy. This strategy will continue the transformative change in the Department’s IT; Cyber; Command, Control, and Communications; and digital workforce while setting the foundation for the future.	本日、国防総省は「Fulcrum」を発表した：国防総省は本日、「フルドラム：国防総省情報技術（IT）推進戦略」を発表した。この戦略は、国防総省のIT、サイバー、指揮・統制・コミュニケーション、デジタル労働力における変革の継続を図るとともに、将来への基盤を確立するものである。
On June 20th, the Deputy Secretary of Defense approved and signed the Fulcrum Strategy, emphasizing the user-centric and a cross cutting approach, it will ensure the Department delivers capabilities aligned with warfighting mission objectives. This new strategy prioritizes user experience and investment in infrastructure that is both agile and scalable to meet the dynamic requirements of operations and opportunities offered by the most modern technologies.	6月20日、国防総省副長官はFulcrum戦略を承認し、署名した。フルクラム戦略は、ユーザー中心、横断的アプローチを強調し、国防総省が戦いの任務目標に沿った能力を提供できるようにする。この新戦略は、ユーザーエクスペリエンスと、機動性と拡張性を兼ね備えたインフラへの投資を優先し、作戦のダイナミックな要件と最新技術によってもたらされる機会を満たすものである。
The Fulcrum Strategy is organized across four integrated lines of effort (LOE) that will ensure the Department continues to connect, protect, and perform for the nation’s warfighters and the personnel that support them.	フルクラム戦略は4つの統合されたLine of Effort (LOE) で構成され、国の戦闘員とそれを支援する人員のために、防衛省が接続、保護、遂行を継続できるようにする。
Line of Effort 1 - Provide Joint Warfighting IT Capabilities: This LOE delivers user-centric IT capabilities that are functional, scalable, sustainable, and secure in today’s dynamic and contested global environments. This LOE focuses on improving the information available to the warfighter in order to gain decision and competitive advantage in high-tempo, multi-domain operations.	Line of Effort 1 - 統合戦闘 IT 能力のプロバイダ：この LOE は、今日のダイナミックで紛争が絶えないグローバル環境において、機能性、拡張性、持続可能性、安全性を備えたユーザー中心の IT 能力を提供するものである。この LOE は、ハイテンポでマルチドメインな作戦において意思決定と競争上の優位性を獲得するために、戦闘員が利用できる情報を改善することに重点を置いている。
Line of Effort 2 - Modernize Information Networks and Compute: This LOE focuses on rapidly meeting mission and business needs, leveraging best-in-class technologies and data-centric Zero Trust cybersecurity approach to deliver a secure modernized network that has faster data transfer, lower latency, with improved global dynamic resiliency.	Line of Effot 2 - 情報ネットワークとコンピュートの近代化：このLOEは、ミッションとビジネスのニーズを迅速に満たすことに重点を置き、クラス最高の技術とデータ中心のゼロトラスト・サイバーセキュリティ・アプローチを活用して、データ転送の高速化、低遅延化、グローバルな動的レジリエンスの改善を実現する安全な近代化ネットワークを提供する。
Line of Effort 3 - Optimize IT Governance: This LOE will drive efficiencies in capability delivery and enable cost avoidance and savings, transforms governance through streamlined policies from governance to acquisition of systems. This includes the use of robust data capabilities to empower better decision making.	Line of Effort 3 - IT ガバナンスの最適化：このLOEは、能力提供の効率化を推進し、コスト回避と節約を可能にする。ガバナンスからシステム取得に至るまで、合理化されたポリシーによってガバナンスを変革する。これには、より良い意思決定を行うための強固なデータ機能の活用も含まれる。
Line of Effort 4 - Cultivate a Premier Digital Workforce: This LOE will ensure that our workforce is ready to deploy emerging technology supporting the warfighter, and DoD continues ongoing efforts to identify, recruit, develop, and retain the best digital talent the country has to offer. It broadens the DoD Cyber Workforce Framework (DCWF) to focus on the greater digital workforce with the inclusion of work roles for data, AI, and software engineering.	Line of Effort 4 - 最高のデジタル人材を育成する：このLOEは、戦闘員を支援する新たな技術を展開するための労働力を確保し、国防総省が、この国が提供できる最高のデジタル人材を特定し、採用し、開発し、維持するための継続的な取り組みを継続するものである。これはDoD Cyber Workforce Framework (DCWF)を拡大し、データ、AI、ソフトウェアエンジニアリングの職務を含めることで、より大きなデジタル労働力に焦点を当てるものである。
Fulcrum describes "what" the DoD must achieve with respect to advancing IT for the warfighter and "why" it matters. Each LOE is supported by a series of portfolio spanning strategic objectives that describe the way ahead in greater detail and provide measurable mechanisms to track progress.	Fulcrumは、戦闘員のためのITの進歩に関して国防総省が達成しなければならない「こと」と、それが「なぜ」重要なのかを説明している。各LOEは、今後の進め方をより詳細に説明し、進捗を追跡するための測定可能なメカニズムを提供する、一連のポートフォリオにまたがる戦略目標によって支えられている。
This strategy serves as the fulcrum for empowering DoD leaders to drive transformative change and advance technology for the warfighter in an evolving world. The strategy is available at [WEB]	この戦略は、国防総省の指導者たちが、進化する世界において変革を推進し、戦闘員のために技術を進歩させるための支点となる。戦略は[WEB] 。

・[PDF] Fulcrum: The Department of Defense Information Technology Advancement Strategy

・[DOCX][PDF] 仮訳

2024.06.28 04:15 in 情報セキュリティ / サイバーセキュリティ, in 危機管理 / 事業継続, in クラウド, in IoT, in 安全保障 | Permalink | Comments (0)
Tweet

2024.06.27

金融安定理事会 (FSB) 米州グループ、ソブリンと銀行の結びつきや暗号資産の取り決めに関連するリスクについて議論 (2024.0612

こんにちは、丸山満彦です。

金融安定理事会 (FSB) の米州グループが、2024.06-17-18に英領ヴァージン諸島で、ソブリンと銀行の結びつきや暗号資産の取り決めに関連するリスクについて議論をしたようですね...

FSBは、昨年7月に暗号資産とステーブルコインに関するグローバルな規制枠組みを決定していますね...

AIがブームになったおかげで、暗号資産に関する過大な期待はなくなり、落ち着いて議論できる環境になったとは思いますが、やっぱり大きなマーケットはあまり無かったということなのかもしれません。

PtoP型のネットワークはPが増大すれば、級数的にその複雑性はまし、不正が起こった場合の監督がしにくくなりますよね...

ただ、技術的な信頼性に裏打ちされた取引の信頼性をある程度担保できる仕組みというのは、利便性があるかもしれません...

● Financial Stability Board: FSB

・2024.06.18 FSB Americas Group discusses risks associated with the sovereign-bank nexus and crypto-asset arrangements

FSB Americas Group discusses risks associated with the sovereign-bank nexus and crypto-asset arrangements	FSB米州グループ、ソブリンと銀行の結びつきや暗号資産の取り決めに関連するリスクについて議論
The Financial Stability Board (FSB) Regional Consultative Group (RCG) for the Americas met on 17 and 18 June in the British Virgin Islands.	金融安定理事会（FSB）の米州地域協議グループ（RCG）は6月17日と18日、英領ヴァージン諸島で会合を開いた。
On the first day, members participated in a roundtable discussion with representatives from the International Association of Deposit Insurers to discuss the role of deposit insurance and resolution frameworks in maintaining depositor confidence. Members look forward to the FSB’s resolution work following up on lessons learned from the March 2023 banking turmoil.	初日、メンバーは国際預金保険協会の代表者と円卓会議に参加し、預金者の信頼維持における預金保険と破綻処理の枠組みの役割について議論した。メンバーは、2023年3月の銀行混乱から学んだ教訓を踏まえたFSBの破綻処理作業に期待している。
Discussions on the second day began with an appraisal of recent developments and macrofinancial risks and vulnerabilities, including tight financing conditions against the backdrop of high public and private sector debt levels. Members exchanged views on links between the sovereign and banking sectors and discussed whether such interconnections could pose risks to financial stability.	2日目の議論は、公共部門および民間部門の高水準の債務を背景とした逼迫した資金調達状況など、最近の情勢とマクロ金融リスクおよび脆弱性の評価から始まった。メンバーは、ソブリン・セクターと銀行セクターのつながりについて意見を交換し、そうした相互関係が金融の安定性にリスクをもたらす可能性があるかどうかについて議論した。
Members also received an update on the FSB’s work programme for 2024 and discussed ways they could contribute to the FSB’s work programme to bring in additional perspectives from the region.	メンバーはまた、FSBの2024年作業計画に関する最新情報を入手し、FSBの作業計画に貢献し、地域からの追加的な視点を取り入れる方法について議論した。
One initiative the RCG Americas has taken forward relates to the FSB’s global framework for crypto-asset activities. In May 2023, members agreed to review developments and the current state of regulations within the region. Members discussed this stocktake and ways to ensure effective, flexible, and coordinated implementation of the comprehensive policy response for crypto-assets and global stablecoin arrangements. Given the particularly acute risk of regulatory arbitrage in the crypto space, broad global implementation is crucial.	RCG米州が進めてきたイニシアティブの1つは、FSBの暗号資産活動に関するグローバルな枠組みに関するものである。2023年5月、加盟国は域内の規制の進展と現状をレビューすることに合意した。メンバーは、このストックテイクと、暗号資産およびグローバルなステーブルコインの取決めに対する包括的な政策対応を効果的、柔軟かつ協調的に実施するための方法について議論した。暗号空間における規制の裁定リスクは特に深刻であることから、グローバルな広範な実施が極めて重要である。
Members shared their experiences of the oversight and management of financial institutions’ risks from outsourcing of critical services to third parties considering the FSB’s toolkit for financial authorities and financial institutions for enhancing their third-party risk management and oversight, which was published in December 2023.	メンバーは、2023年12月に公表されたFSBの金融当局および金融機関のサードパーティリスク管理・監督強化のためのツールキットを考慮し、重要なサービスのサードパーティへのアウトソーシングから生じる金融機関のリスクに対する監督・管理の経験を共有した。
Notes to editors	編集後記
The FSB RCG for the Americas is co-chaired by Kenneth Baker, Managing Director and CEO, British Virgin Islands Financial Services Commission, and Tiff Macklem, Governor of the Bank of Canada. Tiff Macklem was represented at the meeting by Carolyn Rogers, Senior Deputy Governor of the Bank of Canada. Membership includes financial authorities from Argentina, Bahamas, Barbados, Bermuda, Bolivia, Brazil, British Virgin Islands, Canada, Cayman Islands, Chile, Colombia, Costa Rica, Guatemala, Honduras, Jamaica, Mexico, Panama, Paraguay, Peru, Trinidad and Tobago, the United States of America and Uruguay.	米州のFSB RCGは、英領ヴァージン諸島金融サービス委員会のケネス・ベーカー専務理事兼CEOとカナダ中銀のティフ・マクレム総裁が共同議長を務めている。ティフ・マクレム氏の代表者は、カナダ中銀のキャロリン・ロジャース上級副総裁である。メンバーには、アルゼンチン、バハマ、バルバドス、バミューダ、ボリビア、ブラジル、英領バージン諸島、カナダ、ケイマン諸島、チリ、コロンビア、コスタリカ、グアテマラ、ホンジュラス、ジャマイカ、メキシコ、パナマ、パラグアイ、ペルー、トリニダード・トバゴ、米国、ウルグアイの金融当局が含まれる。
The FSB has six Regional Consultative Groups, established under the FSB Charter, to bring together financial authorities from FSB member and non-member countries to exchange views on vulnerabilities affecting financial systems and on initiatives to promote financial stability.1 Typically, each Regional Consultative Group meets twice each year.	FSBには、FSB憲章に基づき設立された6つの地域協議グループがあり、FSB加盟国および非加盟国の金融当局が集まり、金融システムに影響を及ぼす脆弱性や金融の安定を促進するための取り組みについて意見交換を行っている1。
The FSB coordinates at the international level the work of national financial authorities and international standard-setting bodies and develops and promotes the implementation of effective regulatory, supervisory, and other financial sector policies in the interest of financial stability. It brings together national authorities responsible for financial stability in 24 countries and jurisdictions, international financial institutions, sector-specific international groupings of regulators and supervisors, and committees of central bank experts. The FSB also conducts outreach with approximately 70 other jurisdictions through its six Regional Consultative Groups.	FSBは、各国金融当局と国際標準化団体の作業を国際レベルで調整し、金融の安定のために効果的な規制・監督・その他の金融セクター政策の策定と実施を促進している。FSBは、24カ国・地域の金融安定に責任を負う各国当局、国際金融機構、規制・監督当局からなるセクター別の国際グループ、中央銀行の専門家からなる委員会を結集している。FSBはまた、6つの地域協議グループ（Regional Consultative Groups）を通じて、他の約70の国・地域ともアウトリーチを行っている。
The FSB is chaired by Klaas Knot, President of De Nederlandsche Bank. The FSB Secretariat is located in Basel, Switzerland and hosted by the Bank for International Settlements.	FSBの議長はクラース・ノットオランダ銀行総裁が務めている。FSB事務局はスイスのバーゼルにあり、国際決済銀行がホスティングを行っている。
[1 The FSB Regional Consultative Groups cover the following regions: Americas, Asia, Commonwealth of Independent States, Europe, Middle East and North Africa, and sub-Saharan Africa. [←]	[1] FSBの地域協議グループは以下の地域をカバーしている：南北アメリカ、アジア、独立国家共同体、欧州、中東・北アフリカ、サハラ以南のアフリカである。[←]

熟読するなら昨年のこちら...

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.07.18 金融安定理事会 (FSB) 暗号資産とステーブルコインに関するグローバルな規制枠組みを最終決定

2024.06.27 12:38 in 法律 / 犯罪, in 暗号 / 電子署名 / ブロックチェーン | Permalink | Comments (0)
Tweet

JPCERT/CC Operation Blotless攻撃キャンペーンに関する注意喚起 (2024.06.25)

こんにちは、丸山満彦です。

JPCERT/CCからOperation Blotless攻撃キャンペーンに関する注意喚起が公表されています。

わかりやすくまとめているので、重要（基幹）インフラ及びその取引先企業等は特に目を通しておくとよいと思います...

Living off the Land戦術の話です...

ポイントは、

・将来必要となる時に攻撃できるように準備をするための攻撃が存在する。（例えば、認証情報を取得しておくなど）

・通常の時は活動をしていないので、認証情報等を取得されたことに気づくのが非常に困難

なので、

・攻撃されている可能性が高い＝＞「III. 攻撃活動の事例」に示す同グループの攻撃活動時期を踏まえ、
（ベンダー等から）公表されている情報等を参考に侵害の有無の調査をする

・侵害の調査をしておきたい＝＞「IV. 推奨調査項目」に示す、基本的な調査ポイントについて調査する...

・今後の攻撃に備えておきたい＝＞「V. 推奨対策」に示す、中長期的な対策の導入する...

● JPCERT/CC

注意喚起...

・2024.06.25 Operation Blotless攻撃キャンペーンに関する注意喚起

ブログ...

佐々木さん作..

・2024.06.26 Volt Typhoonの攻撃キャンペーンにどう備えていくべきなのか　～将来の攻撃に備えるThreat Huntingのアプローチについて考える～

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.06.16 カナダサイバーセキュリティセンター (CCCS) 中華人民共和国のサイバー脅威活動に対する認識と防御を促す（2024.06.03最終更新）

・2024.03.24 Five Eyes 中国国家主導のサイバー活動：重要インフラリーダーのための行動 (2024.03.19)

・2024.02.12 Five Eyes 中華人民共和国の支援を受けたサイバーアクターが米国の重要インフラに潜伏し、攻撃できる体制を整えていると判断... (2024.02.07)

・2024.02.03米国司法省重要インフラのハッキングを隠蔽するために使用された中華人民共和国のボットネットを破壊（だから、IoT認証が重要...）

・2023.09.28 警察庁 NISC 中国を背景とするサイバー攻撃グループBlackTechによるサイバー攻撃について with 米国 NSA, FBI, CISA

・2023.08.20 CISA 官民サイバー防衛共同体 (JCDC) による「遠隔監視・管理 (RMM) システムのサイバー防衛計画」

・2023.06.11 Five Eyes 中華人民共和国の国家支援サイバー攻撃者は検知を逃れるために現地調達型対応をする (2023.05.24)

・2023.01.04 世界経済フォーラム (WEF) サイバー犯罪の取り締まりに国際的なルールが必要な理由

このブログで一番最初にLiving off the Landが登場...

・2021.06.24 米国CISA MITRE ATT&CK®をサイバー脅威インテリジェンスに活用するためのガイダンス at 2021.06.02

2024.06.27 07:27 in 情報セキュリティ / サイバーセキュリティ, in 危機管理 / 事業継続 | Permalink | Comments (0)
Tweet

英国国家サイバーセキュリティセンター人工知能 (AI) のサイバーセキュリティに関する研究 (2024.05.15)

こんにちは、丸山満彦です。

科学技術革新省、国家サイバーセキュリティセンターが、人工知能 (AI) のサイバーセキュリティに関する研究として、AIサイバーセキュリティリスクについてのいくつかの文書を公表していました...

見逃していましたね...

読み応えあります...

Cyber security risks to artificial intelligence	AIサイバーセキュリティリスク	HTML	PDF
AI cyber security survey - main report	AIサイバーセキュリティ調査 - 主要報告書	HTML	PDF
AI cyber security survey - technical report	AIサイバーセキュリティ調査 - 技術報告書	HTML	PDF
Cyber security for AI recommendations	AIサイバーセキュリティに関する提言		PDF
Study of research and guidance on the cyber security of AI	AIサイバーセキュリティに関する調査研究とガイダンス		PDF

● GOV.UK

プレス...

・2024.05.15 Developers given new tools to boost cyber security in AI models as cyber security sector sees record growth

Developers given new tools to boost cyber security in AI models as cyber security sector sees record growth	サイバーセキュリティ分野が記録的な成長を遂げる中、AIモデルのサイバーセキュリティを強化する新たなツールが開発者に提供される
New measures, anticipated to establish a global benchmark for enhancing the protection of AI models against hacking and sabotage, were unveiled today by the UK government.	ハッキングや妨害行為に対するAIモデルの防御を強化するための世界的な基準を確立することが期待される新たな対策が、英国政府によって本日発表された。
・UK government introduces two codes of practice to enhance cyber security in AI and software, boosting UK economy’s security and growth prospects	・英国政府は、AIとソフトウェアのサイバーセキュリティを強化するための2つの実践規範を導入し、英国経済のセキュリティと成長の見通しを後押しする。
・new measures aimed at developers will establish global standard for protecting AI models from hacking, helping businesses innovate and drive economic growth across the nation	・開発者を対象とした新たな防御策は、AIモデルをハッキングから保護するための世界標準を確立し、企業のイノベーションを支援し、国全体の経済成長を促進する。
・launched as new figures show cyber security sector has grown 13% in last year and is now worth almost £12 billion	・新たな数字によると、サイバーセキュリティ分野は昨年13％成長し、現在120億ポンド近い規模となっている。
New measures which are expected to set a global standard on how to bolster protections of AI models from hacking and sabotage have been unveiled today by the UK government (15th May).	ハッキングや妨害行為からAIモデルの防御を強化する方法について、世界標準となることが期待される新たな対策が、英国政府によって本日（5月15日）発表された。
During a speech at CYBERUK, the government’s flagship cyber security conference, Technology Minister Saqib Bhatti announced two new codes of practice which will help developers improve cyber security in AI models and software, putting the UK economy on an even stronger footing to grow safely and helping the government achieve long term growth for the British economy.	政府の主要なサイバーセキュリティ会議であるCYBERUKでのスピーチで、サキブ・バッティ技術担当大臣は、開発者がAIモデルとソフトウェアのサイバーセキュリティを改善するのを助ける2つの新しい実践規範を発表した。
The codes set out requirements for developers to make their products resilient against tampering, hacking, and sabotage and will boost confidence in the use of AI models across most industries, helping businesses improve efficiencies, drive growth, and turbocharge innovation.	この規範は、開発者が改ざん、ハッキング、妨害行為に対してレジリエンスに優れた製品を作るための要件を定めており、ほとんどの産業でAIモデルの使用に対する信頼を高め、企業が効率性を向上させ、成長を促進し、イノベーションを加速させるのに役立つだろう。
In the last 12 months, half of businesses (50%) and a third of charities (32%) reported cyber breaches or attacks, and phishing remained the most common type of breach. The codes introduced today show developers how software can be built in a secure way, with the aim of preventing attacks such as the one on the MoveIT software in 2023 which compromised sensitive data in thousands of organisations around the world.	過去12ヶ月の間に、企業の半数（50％）と慈善団体の3分の1（32％）がサイバー侵害や攻撃を報告し、フィッシングが最も一般的な侵害のタイプであった。今日導入された規範は、世界中の何千もの組織の機密データを危険にさらした2023年のMoveITソフトウェアのような攻撃を防止することを目的として、ソフトウェアが安全な方法で構築される方法を開発者に示すものである。
Technology Minister Saqib Bhatti said:	サキブ・バッティ技術相は次のように述べた：
We have always been clear that to harness the enormous potential of the digital economy, we need to foster a safe environment for it to grow and develop. This is precisely what we are doing with these new measures, which will help make AI models resilient from the design phase.	我々は常に、デジタル経済の巨大な可能性を活用するためには、デジタル経済が成長・発展するための安全な環境を育成する必要があることを明確にしてきた。これはまさに、AIモデルを設計段階からレジリエンスに優れたものにする助けとなるものである。
Today’s report shows not only are we making our economy more resilient to attacks, but also bringing prosperity and opportunities to UK citizens up and down the country. It is fantastic to see such robust growth in the industry, helping us cement the UK’s position as a global leader in cyber security as we remain committed to foster the safe and sustainable development of the digital economy.	本日の報告書は、我々の経済が攻撃に対するレジリエンスを高めているだけでなく、英国市民に繁栄と機会をもたらしていることを示している。デジタル経済の安全で持続可能な発展を促進するために引き続き尽力する中で、サイバーセキュリティの世界的リーダーとしての英国の地位を確固たるものにする一助となる。
The new measures come as findings of a new report published today show the cyber security sector has experienced a 13% growth on the previous year and is now worth almost £12 billion, on par with sectors such as the automotive industry.	本日発表された新たな報告書によると、サイバーセキュリティ部門は前年比13％の成長を遂げ、その規模は120億ポンド近くに達し、自動車産業などと肩を並べるまでになった。
The findings are reported by the government’s annual Cyber Sectoral Analysis Report and show the number of cyber security firms finding home in the UK has risen in 2023, strengthening the UK’s resilience to attacks and propelling sustainable economic growth.	この調査結果は、政府の年次サイバー部門分析報告書により報告されたもので、2023年に英国に拠点を見つけるサイバーセキュリティ企業の数が増加し、英国の攻撃に対するレジリエンスを強化し、持続可能な経済成長を促進することを示している。
The new codes of practice will improve cyber security in AI and software, while new government action on cyber skills will help develop the cyber workforce and ensure the UK has the people it needs to protect the nation online.	新しい実践規範は、AIとソフトウェアのサイバーセキュリティを改善し、サイバー・スキルに関する政府の新たな行動は、サイバー人材の育成を支援し、英国がオンラインで国家を守るために必要な人材を確保することを確実にする。
NCSC CEO Felicity Oswald said:	NCSCのフェリシティ・オズワルド最高経営責任者（CEO）は、次のように述べた：
To make the most of the technological advances which stand to transform the way we live, cyber security must be at the heart of how we develop digital systems.	我々の生活様式を一変させる技術の進歩を最大限に活用するためには、サイバーセキュリティをデジタルシステム開発の中心に据える必要がある。
The new codes of practice will help support our growing cyber security industry to develop AI models and software in a way which ensures they are resilient to malicious attacks.	新しい実践規範は、成長するサイバーセキュリティ業界を支援し、悪意ある攻撃に対するレジリエンスを保証する方法でAIモデルとソフトウェアを開発するのに役立つだろう。
Setting standards for our security will help improve our collective resilience and I commend organisations to follow these requirements to help keep the UK safe online.	セキュリティの標準を設定することは、我々の集団的なレジリエンスを改善することにつながり、英国のオンライン上の安全を守るために、組織がこれらの要件に従うことを称賛する。
These measures are crucial for new businesses in the digital age, ensuring cybersecurity commitment, safeguarding personal data for users, and fostering global alignment for enhanced cyber resilience.	これらの措置は、デジタル時代の新しいビジネスにとって極めて重要であり、サイバーセキュリティへのコミットメントを確保し、ユーザーの個人データを保護し、サイバーレジリエンス強化のためのグローバルな連携を促進するものである。
The AI cyber security code is intended to form the basis of a future global standard.	AIサイバーセキュリティ・コードは、将来の世界標準の基礎を形成することを意図している。
Rosamund Powell, Research Associate at The Alan Turing Institute, said:	アラン・チューリング機構のリサーチ・アソシエイトであるロザムンド・パウエル氏は、次のように述べている：
AI systems come with a wide range of cyber security risks which often go unaddressed as developers race to deploy new capabilities. The code of practice released today provides much-needed practical support to developers on how to implement a secure-by-design approach as part of their AI design and development process.	AIシステムには広範なサイバーセキュリティリスクが伴うが、開発者が新機能の導入に躍起になるあまり、対処されないことが多い。本日発表された実践規範は、AIの設計・開発プロセスの一環として、セキュア・バイ・デザイン・アプローチを導入する方法について、開発者が切望していた実践的支援を提供するものである。
Plans for it to form the basis of a global standard are crucial given the central role international standards already play in addressing AI safety challenges through global consensus. Research highlights the need for inclusive and diverse working groups, accompanied by incentives and upskilling for those who need them, to ensure the success of global standards like this.	世界的なコンセンサスを通じてAIの安全性の課題に取り組む上で、国際標準がすでに中心的な役割を果たしていることを考えると、この標準が世界標準の基礎を形成する計画は極めて重要である。調査では、このようなグローバル標準を成功させるためには、包括的で多様な作業部会と、それを必要とする人々へのインセンティブとスキルアップが必要であることが強調されている。
Today also marks the publication of the Capability Hardware Enhanced RISC Instructions (CHERI) report, introducing a new microprocessor technology known as “magic chip,” which integrates advanced memory protections to prevent up to 70% of current cyber-attacks.	本日はまた、「マジックチップ」として知られる新しいマイクロプロセッサー技術を紹介する「Capability Hardware Enhanced RISC Instructions (CHERI)」報告書の公表を記念し、現在のサイバー攻撃の最大70%を防止する高度なメモリ保護を統合した。
Alongside this, Minister Bhatti announced this morning new initiatives on how the government and regulators will professionalise the cyber security sector, such as incorporating cyber roles into government recruitment and HR policies.	これと並行して、バッティ大臣は今朝、政府と規制当局がサイバーセキュリティ分野の専門化をどのように進めるかについて、政府の採用・人事政策にサイバー分野の役割を組み込むなどの新たな取り組みを発表した。
The minister also spoke about his intention to foster cyber skills among young people and inspire them into cyber careers, with the UK launching a campaign to encourage entries to a brand new national cyber skills competition for 18–25-year-olds later this year. The competition will give the winners the opportunity to represent the UK at international cyber competitions.	同大臣はまた、若者のサイバー・スキルを育成し、サイバー・キャリアへの意欲を喚起する意向を示し、英国は今年後半、18〜25歳を対象とした全く新しい全国サイバー・スキル・コンテストへの応募を奨励するキャンペーンを開始することを明らかにした。このコンテストの優勝者には、英国代表として国際的なサイバーコンテストに参加する機会が与えられる。
Notes to editors	編集後記
・Call for views on AI Cyber Security	・AIサイバーセキュリティに関する意見募集
・Call for views on the Code of Practice for Software Resilience and Security.	・ソフトウェアのレジリエンスとセキュリティに関する実践規範に関する意見募集
・Figures detailing the extent of cyber attacks and breaches on businesses and charities are from the government’s Cyber Security Breaches Survey 2024 which was published on 9 April 2024 with the research carried out in late 2023 and early 2024.	・企業や慈善団体に対するサイバー攻撃や侵害の程度を詳細に示す数値は、2023年末から2024年初めにかけて調査が実施され、2024年4月9日に発表された政府のサイバーセキュリティ侵害調査2024によるものである。
・Government’s statement on the adoption of cyber professional standards.	・サイバー専門家標準の採用に関する政府の声明。
・Call for views on the future of the CyberFirst scheme.	・サイバーファースト・スキームの将来についての意見募集。
・New statistics detailing the growth of the UK cyber security sector can be found in the 2024 Cyber Security Sectoral Analysis Report.	・英国のサイバーセキュリティ分野の成長を詳細に示す新たな統計は、2024年サイバーセキュリティ分野分析報告書に掲載されている。
・To read more about the “magic chip” technology, please see the CHERI adoption and diffusion research report	・マジック・チップ」技術の詳細については、CHERIの採用・普及調査報告書を参照のこと。
This work is part of the government’s £2.6 billion National Cyber Strategy to protect and promote the UK online.	この作業は、英国をオンラインで保護し促進するための政府の26億ポンドの国家サイバー戦略の一環である。
The government is also launching a consultation on scaling up the impact of the successful CyberFirst scheme, which has helped improve the tech skills of 260,000 students across 2,500 schools.	政府はまた、2,500校で26万人の生徒の技術スキル改善を支援し、成功を収めたサイバーファースト・スキームの影響拡大に関する協議も開始している。

AIサイバーセキュリティリスク

・2024.05.15 Research on the cyber security of AI

・Cyber security risks to artificial intelligence

目次...

Executive summary	エグゼクティブサマリー
1.Introduction	1.序文
2.Methodology	2.方法論
3.Background	3.背景
4.Findings of the risk assessment	4.リスクアセスメントの結果
5.List of case studies	5.ケーススタディのリスト
6.Client interview insights	6.クライアント・インタビューの洞察
Appendix 1 - References	附属書1 - 参考文献

Executive summary	エグゼクティブサマリー
The Department for Science, Innovation and Technology commissioned Grant Thornton UK LLP and Manchester Metropolitan University to develop an assessment of the cyber security risks to Artificial Intelligence (AI). The assessment aimed to identify and map vulnerabilities across the AI lifecycle and assess the exploitation and impact of each vulnerability, delineating software vulnerabilities and those specific to AI to help contextualise the findings.	科学技術革新省は、Grant Thornton UK LLPとマンチェスター・メトロポリタン大学に人工知能（AI）のサイバーセキュリティリスクのアセスメントを依頼した。アセスメントの目的は、AIのライフサイクル全体にわたる脆弱性を特定・マッピングし、各脆弱性の悪用と影響を評価することである。
The assessment comprised two literature reviews, evaluating two distinct but complementary research streams: academic literature, and government and industry reports. The findings were also integrated with feedback from cross-sector client and expert interviews. Cross-validation was applied across research publications and a cut-off point of 10th February 2024 was set for publications to ensure that the report was based on the latest analysis considering the ever-changing technological landscape.	アセスメントは2つの文献レビューで構成され、学術文献、政府および産業界の報告書という2つの異なるが補完的な研究の流れを評価した。調査結果は、分野横断的な顧客や専門家へのインタビューからのフィードバックとも統合された。また、変化し続ける技術状況を考慮し、最新の分析に基づいた報告書を作成するため、研究発表のクロスバリデーションを行い、2024年2月10日を発表の締め切り日とした。
The literature reviews identified a series of vulnerabilities, including specific ones to AI across each phase of the AI lifecycle, namely design, development, deployment, and maintenance. The vulnerabilities have been comprehensively mapped across each phase of the AI lifecycle, with an assessment of their exploitation and impact (see Section 4). To offer additional perspective on the potential risks, a set of 23 case studies were identified, both real-world and theoretical proof of concepts, involving cyber-attacks linked to AI vulnerabilities (see Section 5).	文献レビューでは、AIのライフサイクルの各段階（設計、開発、配備、保守）において、AIに特有の脆弱性を含む一連の脆弱性が特定された。脆弱性は、AIのライフサイクルの各段階にわたって包括的にマッピングされ、その悪用と影響のアセスメントが行われている（セクション4参照）。潜在的なリスクについてさらなる視点を提供するため、AIの脆弱性に関連したサイバー攻撃を含む、現実世界と理論的な概念実証の両方を含む23のケーススタディが特定された（セクション5参照）。
Insights gained from interviews with 5 clients, from the Insurance, Banking, and Media domains demonstrated the market readiness and the practical implications of AI vulnerabilities. The findings categorised organisations into two distinct groups: those unaware of AI’s use and consequent cyber security risks within their operations, and those recognising these risks yet lacking internal expertise for risk assessment and management.	保険、銀行、メディアの各分野のクライアント5社とのインタビューから得られた洞察は、AI脆弱性の市場対応力と実際的な意味合いを示した。調査結果は、組織を2つの異なるグループに分類した。すなわち、AIの使用とその結果生じるサイバーセキュリティリスクに気づいていない組織と、これらのリスクを認識しながらもリスクアセスメントとマネジメントのための専門知識を社内に持たない組織である。
The current literature on the cyber security risks to AI, does not contain a single comprehensive evaluation of AI-specific cyber security risks across each stage of the AI lifecycle. This risk assessment has therefore aimed to fill this gap, whilst building on the important contributions made by industry and other governments. This has been delivered by thoroughly evaluating the potential exploitation, impact, and AI-specific cyber security risks associated with each lifecycle phase. Additionally, as noted above, the report mapped cyber-attacks that have originated from vulnerabilities in AI systems.	AIのサイバーセキュリティリスクに関する現在の文献には、AIのライフサイクルの各段階におけるAI特有のサイバーセキュリティリスクについて包括的に評価したものはない。そのため、このリスクアセスメントは、産業界や他の政府による重要な貢献を踏まえつつ、このギャップを埋めることを目的としている。これは、ライフサイクルの各段階に関連する潜在的な悪用、影響、AI特有のサイバーセキュリティ・リスクを徹底的に評価することによって実現された。さらに、上述の通り、報告書はAIシステムの脆弱性に起因するサイバー攻撃をマッピングした。
The report also highlighted that the rapid adoption of AI continues to introduce complex cyber security risks that traditional practices may not sufficiently address. A holistic approach to address the cyber risks across the entire AI lifecycle is essential. By mitigating vulnerabilities at every stage of the AI lifecycle, organisations can bolster robust security measures and fortify resilience against evolving cyber threats.	また、報告書は、AIの急速な普及により、従来の手法では十分に対処できない複雑なサイバーセキュリティリスクが導入され続けていることを強調している。AIのライフサイクル全体にわたるサイバーリスクに対処するための総合的なアプローチが不可欠である。AIのライフサイクルの各段階で脆弱性を低減することで、組織は強固なセキュリティ対策を強化し、進化するサイバー脅威に対するレジリエンスを強化することができる。

AIサイバーセキュリティ調査 - 主要報告書

・AI cyber security survey - main report

1.Executive summary	1.エグゼクティブサマリー
2.Introduction	2.序文
3.Methodology	3.方法論
4.AI usage	4.AIの利用
5.Cyber security practices around AI	5.AIを取り巻くサイバーセキュリティ慣行
6.General cyber security practices	6.一般的なサイバーセキュリティ対策
7.Appendix: Glossary	7.附属書用語集

1. Executive summary	1. エグゼクティブサマリー
Introduction	序文
The Department for Science, Innovation and Technology (DSIT) commissioned IFF Research to conduct a survey of businesses in key sectors to understand how they use Artificial Intelligence (AI) and how businesses implement cyber security practices and processes around the AI technology they deploy.	科学技術革新省（DSIT）は、IFFリサーチ社に委託して、主要分野の企業を対象に、人工知能（AI）をどのように利用しているか、また、企業が導入するAI技術に関連するサイバーセキュリティの慣行やプロセスをどのように導入しているかを把握するための調査を実施した。
The quantitative survey was developed in collaboration with DSIT. Fieldwork was conducted using Computer Assisted Telephone Interviewing (CATI) and took place between 10th January and 13th February 2024. A total of 350 interviews were completed with businesses currently using or considering using AI in nine sectors (see page 6 for more details) so that the survey had a robust number of participants.	定量的調査はDSITと共同で開発された。フィールドワークは、コンピュータ支援電話インタビュー（CATI）を使用し、2024年1月10日から2月13日の間に実施された。現在AIを使用している、または使用を検討している9分野（詳細は6ページを参照）の企業に対し、合計350件のインタビューが行われた。
The core objectives of the research were to understand:	調査の主な目的は以下の通りである：
・What types of technology are being used, and for what purpose;	・どのようなテクノロジーが、どのような目的で使用されているのか；
・Businesses’ cyber security practices – in general terms, and specific to AI;	・企業のサイバーセキュリティ対策（一般論として、またAIに特化して）；
・Businesses’ future plans in relation to AI and cyber security; and	・AIとサイバーセキュリティに関する企業の将来計画
・How these activities and attitudes vary across businesses in different sectors and of different sizes.	・これらの活動や態度は、異なるセクターや規模の企業間でどのように異なるか。
A glossary which includes definitions of the different types of AI can be found in the Appendix at the end of this report.	異なる種類のAIの定義を含む用語集は、本レポート末尾の附属書に掲載されている。
Key findings	主な調査結果
The survey sought to create a robust sample base of businesses that were adopting at least one AI technology as well as businesses that planned to adopt AI in the future to ensure robust findings could be drawn. 68% of these businesses in the survey were currently using at least one AI technology, while 32% had plans to adopt AI in the future. Of the businesses currently using AI, 64% were deploying one type of AI technology, 22% were using two types of AI and 14% were using three or more.	本調査では、少なくとも1つのAI技術を導入している企業、および将来的にAIを導入する予定がある企業から、確実な調査結果を導き出すために、しっかりとしたサンプルベースを作成することを目指した。調査対象企業の68％が現在少なくとも1つのAI技術を利用しており、32％が将来的にAIを導入する予定であった。現在AIを使用している企業のうち、64％が1種類のAI技術を導入しており、22％が2種類、14％が3種類以上のAIを使用していた。
Among those currently using AI, natural language processing and generation was most common with 38% of businesses deploying it. 27% utilised machine learning, 25% used computer vision, image processing and generation, 9% used hardware related to AI and 8% used robotic process automation.	現在AIを使用している企業のうち、自然言語処理と生成的AIが最も多く、38％の企業が導入していた。27％が機械学習を、25％がコンピューター・ビジョン、画像処理、生成的AIを、9％がAI関連のハードウェアを、8％がロボティック・プロセス・オートメーションを利用している。
For each type of AI technology, over half of businesses have been using it for at least one year. In the case of machine learning, over half of businesses (52%) have been using it for over 3 years. Among those who have not yet deployed AI but have plans to do so, they most commonly planned to do this – across all AI technologies – in more than a year’s time.	各タイプのAI技術について、半数以上の企業が少なくとも1年以上使用している。機械学習の場合、半数以上（52％）の企業が3年以上使用している。まだAIを導入していないが、導入する予定がある企業では、すべてのAIテクノロジーにおいて、1年以上後に導入する予定が最も多かった。
Each AI technology was most commonly adopted through the purchase of external software or ready-to-use systems (ranging from 38% to 60%). Around one in five businesses developed machine learning (21%) and hardware related to AI (19%) in-house. AI development most likely to be outsourced was for hardware related to AI (34%). The main reason cited for using AI technologies was financial or cost savings to their business (35%). 14% employed it to help write documents. 13% cited speed and efficiency purposes, and a further 12% used it for content generation more broadly.	各AIテクノロジーは、外部ソフトウェアやすぐに使えるシステムの購入を通じて導入するのが最も一般的だった（38％～60％）。機械学習（21％）とAI関連のハードウェア（19％）を自社開発した企業は、約5社に1社だった。AI開発を外注する割合が最も高かったのは、AI関連のハードウェア（34％）だった。AI技術を利用する主な理由は、ビジネスにおける財務的またはコスト削減（35％）であった。14%は文書作成に役立てている。13%はスピードと効率化を理由に挙げ、さらに12%はより広範なコンテンツ生成的な目的で利用した。
Of those currently using AI technologies, nearly half of respondents (47%) had no specific cyber security practices in place specifically for AI and 13% were unsure. Among those planning to use AI in the future, 25% said that their organisation would not have specific cyber security practices or processes in place explicitly regarding the AI technology, once the planned technologies were deployed, and a further 25% were unsure.	現在AI技術を使用している回答者のうち、半数近く（47％）はAIに特化したサイバーセキュリティ対策を実施しておらず、13％は不明であった。将来的にAIを利用する予定がある人のうち、25％は、予定されている技術が導入された時点で、その組織ではAI技術に関して明確なサイバーセキュリティの慣行やプロセスを導入していないと回答し、さらに25％はわからないと回答した。
Of those without or not intending to have specific AI cyber security practices or processes, there were a few key reasons as to why they had not adopted specific practices. 14% had not considered it or did not know enough about it, and 14% said they do not use AI for anything sensitive.	具体的なAIサイバーセキュリティ対策やプロセスを導入していない、または導入するつもりがない組織のうち、具体的な対策を導入していない主な理由はいくつかあった。14%はAIを検討したことがない、または十分な知識がないと回答し、14%はAIを機密性の高いものには使用していないと回答した。
The survey also asked participants whether there were specific cyber security requirements or features that they expect to be built into AI companies’ models and systems. 39% of respondents stated no and a significant minority (33%) were unsure.	調査ではまた、AI企業のモデルやシステムに組み込まれることを期待する特定のサイバーセキュリティ要件や機能があるかどうかを参加者に尋ねた。回答者の39％が「ない」と答え、かなりの少数派（33％）が「わからない」と回答した。
When asked more generally about cyber security practices, 90% of all businesses had at least one governance or risk management arrangement in place. Just under three-quarters (72%) had a formal policy or policies in place covering cyber security risks, and around two-thirds had either a Business Continuity Plan that covers cyber security (67%), or a written list of the most critical data, systems or assets that their organisation wants to protect (64%).	サイバーセキュリティの実践についてより一般的に尋ねたところ、全企業の90％が少なくとも1つのガバナンスまたはリスクマネジメントを実施していた。4分の3弱（72％）はサイバーセキュリティ・リスクをカバーする正式な方針またはポリシーを定めており、約3分の2はサイバーセキュリティをカバーする事業継続計画（67％）、または組織が保護したい最も重要なデータ、システム、資産の文書化されたリスト（64％）を持っていた。
Over the last 12 months, just over three-quarters (78%) of businesses had taken at least one measure in an effort to identify cyber security risk. The most common measures taken by organisations were to conduct a risk assessment covering cyber security risk (59%), or to invest in specific tools designed for security monitoring, such as Intrusion Detection Systems (55%).	過去12カ月間に、企業の4分の3強（78％）が、サイバーセキュリティ・リスクを識別するために少なくとも1つの対策を講じていた。組織が取った最も一般的な対策は、サイバーセキュリティ・リスクを対象としたリスクアセスメントの実施（59％）、または侵入検知システムなどセキュリティ監視用に設計された特定のツールへの投資（55％）であった。

AIサイバーセキュリティ調査 - 技術報告書

・AI cyber security survey - technical report

1.Introduction	1.序文
2.Methodology	2.方法論
3.Pilot fieldwork	3.パイロット・フィールドワーク
4.Mainstage fieldwork	4.本番フィールドワーク
5.Appendix: Questionnaire	5.附属書アンケート

AIサイバーセキュリティに関する提言

・Cyber security for AI recommendations

・[DOCX] [PDF] 仮訳

EXECUTIVE SUMMARY	エグゼクティブサマリー
The Department for Science, Innovation, and Technology (DSIT) commissioned Mindgard to conduct a systematic study to identify recommendations linked to addressing cyber security risks to Artificial Intelligence (AI). We used a systematic search method to review data sources across academia, technology companies, government bodies, cross-sector initiatives, news articles, and technical blogs to identify various recommendations and evidence of cyber risks against AI. The review also examined common themes and knowledge gaps.	科学技術革新省（DSIT）は、人工知能（AI）のサイバーセキュリティリスクに対処するための提言事項を特定するための体系的な調査をマインドガード社に委託した。我々は、AIに対するサイバーリスクに関する様々な提言や証拠を特定するために、学術界、テクノロジー企業、団体、政府機関、分野横断的なイニシアチブ、ニュース記事、技術ブログなどのデータソースをレビューする体系的な検索方法を使用した。また、共通のテーマや知識のギャップについても検討した。
A comprehensive search of relevant sources published between 1 January 2020 and 12 January 2024 (with notable exceptions for fundamental academic works) was conducted as the basis for this review. A total of 67 publications were identified that described 45 unique technical and general recommendations for addressing cyber security risks in AI. We found sufficient evidence indicating that many of the reported cyber security risks to AI strongly justify the need to identify, create, and adopt new recommendations to address them. However, we also discovered several gaps within existing knowledge. Many of the recommendations for AI are based on established cyber security practises and various conventional cyber security recommendations are directly or indirectly applicable to AI. However, many recommendations are derived from few unique data sources and there are limited empirical studies of security vulnerabilities in AI used in the production of cyber attacks. There is also a lack of information on how to enact recommendations described.	2020年1月1日から2024年1月12日の間に出版された関連情報源（基本的な学術論文については特筆すべき例外がある）を包括的に検索し、本レビューの基礎とした。その結果、AIにおけるサイバーセキュリティリスクに対処するための技術的・全般的提言事項45件が記載された67件の出版物が特定された。我々は、報告されたAIのサイバーセキュリティリスクの多くが、それらに対処するための新たな提言事項を特定し、作成し、採用する必要性を強く正当化することを示す十分な証拠を発見した。しかし、既存の知識にはいくつかのギャップがあることも分かった。AIに対する提言事項の多くは、確立されたサイバーセキュリティの実践に基づいており、従来の様々なサイバーセキュリティの提言事項は、AIに直接的または間接的に適用可能である。しかし、多くの提言事項は、独自のデータソースに基づくものが少なく、サイバー攻撃の生成に使用されるAIのセキュリティ脆弱性に関する実証的研究は限られている。また、記載されている提言をどのように実施するかについての情報も不足している。

AIサイバーセキュリティに関する調査研究とガイダンス

・Study of research and guidance on the cyber security of AI

・[DOCX][PDF] 仮訳

EXECUTIVE SUMMARY	エグゼクティブサマリー
Groundbreaking innovations in Artificial Intelligence (AI) technology facilitate the automation of a wide range of complex tasks across diversified domains. These advancements can significantly contribute to the development of applications or systems for trivial to highly critical domains such as transportation and healthcare, thereby benefiting end-users. However, the indiscriminate use of AI, without due consideration of the implications of releasing AI models into the wild, creates aberrant opportunities for malicious actors to exploit vulnerabilities and gain significant advantages.	人工知能（AI）技術における画期的なイノベーションは、多様な領域にわたる幅広い複雑なタスクの自動化を促進する。こうした進歩は、輸送やヘルスケアといった些細な領域から極めて重要な領域までのアプリケーションやシステムの開発に大きく貢献し、エンドユーザーに利益をもたらす。しかし、AIモデルを野に放つことの意味を十分に考慮することなくAIを無差別に使用することは、悪意ある行為者が脆弱性を悪用し、大きな利益を得るための異常な機会を生み出す。
DSIT commissioned Queen’s University Belfast to compile a comprehensive meta-study of the existing research and guidance on the cyber security of AI, including academic and industrial research, standards and regulations. The study reviewed a total of ≈18,000 publications in the field, including a thorough analysis and reporting on more than 415 publications. A Rapid Evaluation Assessment (REA) approach was applied to systematically collect the necessary information through keyword searching of the bibliometric databases.	DSITはQueen's University Belfastに依頼し、学術的・産業的研究、標準、規制を含む、AIのサイバーセキュリティに関する既存の研究とガイダンスの包括的なメタ研究をまとめた。この研究では、415以上の発行物の徹底的な分析と報告を含め、この分野における合計≒18,000の発行物をレビューした。書誌データベースのキーワード検索を通じて必要な情報を体系的に収集するため、迅速評価アセスメント（REA）アプローチを適用した。
The goal of this report is twofold. First, to collect the existing research on the security and privacy of AI published by both industry and academia. Second, to report on publications that may support AI developers and engineers in the design of secure AI models and systems. This includes publications by academia, governments, industry (particularly AI companies) and technical authorities. This study also aims to identify the primary actors and stakeholders engaged in the AI Security field. Consequently, our objective is to furnish a comprehensive review encompassing the latest advancements on AI security and to pinpoint gaps in their practical application.	本報告書の目的は2つある。第一に、産学双方から発表されたAIのセキュリティとプライバシーに関する既存の研究を収集することである。第二に、安全なAIモデルやシステムの設計において、AI開発者やエンジニアを支援する可能性のある発行物について報告することである。これには、学界、ガバナンス、産業界（特にAI企業）、技術当局による発行物が含まれる。また、本研究は、AIセキュリティ分野に携わる主要なアクターやステークホルダーを特定することも目的としている。その結果、我々の目的は、AIセキュリティに関する最新の進歩を網羅した包括的なレビューを提供し、その実用化におけるギャップを突き止めることである。
The key findings of this study are highlighted below:	この調査の主な結果は以下の通りである：
• 415 documents on the cybersecurity of AI were found, including 323 academic papers, 31 industrial reports and white papers, 41 standards organisations documents and 20 governmental documents.	• AIのサイバーセキュリティに関する文書が415件発見された。その内訳は、学術論文323件、産業界の報告書や白書31件、標準化団体の文書41件、政府の文書20件である。
• Research focuses on two main themes, ‘’Attacks’’, which includes risks, vulnerabilities and threat modeling; and ‘’Defences’’, including technical solutions, recommendations and guidance.	• リスク、脆弱性、脅威のモデル化を含む「攻撃」と、技術的解決策、推奨事項、ガイダンスを含む「防御」である。
• The methodology in academic venues is usually validated quantitatively through experimentation in a laboratory setting with unrealistic threat models, while the remaining stakehoders’ studies are mostly based on non-empirical analysis.	• アカデミックな場での方法論は通常、非現実的な脅威モデルを使った実験室での実験を通じて定量的に検証されるが、残りの利害関係者の研究はほとんどが非経験的分析に基づいている。
• Most research and guidance focusses on the design of Secure AI solutions, with a significantly smaller amount for development, deployment and monitoring of AI models.	• ほとんどの研究やガイダンスは、安全なAIソリューションの設計に焦点を当てており、AIモデルの開発、配備、監視に関するものはかなり少ない。

HTML	PDF
Cyber security risks to artificial intelligence
AI cyber security survey - main report
AI cyber security survey - technical report
Cyber security for AI recommendations
Study of research and guidance on the cyber security of AI

2024.06.27 05:19 in 情報セキュリティ / サイバーセキュリティ, in 内部統制 / リスクマネジメント, in AI/Deep Learning | Permalink | Comments (0)
Tweet

2024.06.26

中国「強靭なサイバー国家建設を後押しするサイバー法治」シンポジウムを開催 (2024.06.21)

こんにちは、丸山満彦です。

中央インターネット情報弁公室が、「強靭なサイバー国家建設を後押しするサイバー法治」シンポジウムを産官学で開催したようですね。。。サイバー法治によるサイバー空間の保護が、サイバー国家につながるというような内容だったのでしょうかね...

民間からは、

中国語名	英語名	日本名	wikipedia	Edgar	株価
阿里巴巴	Alibaba	アリババ	wikipedia	Edgar	NYSE	SEHK
中兴通讯	ZTE	中興通訊	wikipedia		SZSE	SEHK
新浪	Sina Corporation	新浪	wikipedia	Edgar	Nasdaq
搜狐	Sohu	捜狐	wikipedia	Edgar	Nasdaq
网易	NetEase	網易	wikipedia	Edgar	Nasdaq

等が参加しているようです。。。

● 中央网络安全和信息化委员会办公室 (Cyberspace Administration of China: CAC)

・2024.06.21 中央网信办召开“网络法治护航网络强国建设”座谈会

中央网信办召开“网络法治护航网络强国建设”座谈会	中央インターネット情報弁公室が「強靭なサイバー国家建設を後押しするサイバー法治」シンポジウムを開催
6月21日，中央网信办组织召开“网络法治护航网络强国建设”座谈会，深入学习领会习近平法治思想和习近平总书记关于网络强国的重要思想，系统总结我国网络法治建设三十年的成就经验，准确把握网络法治建设的新形势新任务，明确努力方向，凝聚工作合力，为网络强国建设和网信事业高质量发展提供有力法治保障。中央宣传部副部长、中央网信办主任、国家网信办主任庄荣文出席并总结讲话，公安部党委委员、副部长陈思源，司法部党组成员、副部长胡卫列，中国移动党组副书记、总经理何飚出席并讲话，中央网信办副主任、国家网信办副主任王崧主持会议。	中央インターネット情報弁公室は6月21日、「強靭なサイバー国家建設を後押しするサイバー法治」シンポジウムを開催し、習近平の法治思想と習近平のサイバー国家に対する重要な思想を研究・理解し、中国における過去30年間のサイバー法治建設の成果と経験を体系的に総括し、サイバー法治の新たな情勢と新たな課題を正確に把握し、努力の方向性を明らかにした。われわれは、努力の方向を明確にし、相乗効果を集め、強靭なサイバー国家の建設とインターネット情報の大義の良質な発展のために、法治の強力な保障を提供する。中央宣伝部副部長、中央インターネット情報弁公室主任、国家インターネット情報弁公室主任の荘栄文氏が出席して総括演説を行い、党委員会委員、公安部副部長の陳思遠氏、法務省党組委員、法務部副部長の胡偉利氏、党組副書記、CMCC総経理の何彪氏が出席して演説を行い、中央インターネット情報弁公室副主任、中央インターネット情報弁公室副主任の王松氏が会議を主宰した。
会议指出，我国全功能接入国际互联网以来，特别是党的十八大以来，在以习近平同志为核心的党中央坚强领导下，我国持续完善网络法律体系，网络空间法治根基不断夯实；持续强化网络法律实施，公平正义在网络空间有力彰显；持续深化网络法治宣传，尊法学法守法用法日益成为网络空间的共同追求和自觉行动；持续推进网络法治国际交流合作，为全球互联网发展治理贡献了中国智慧和中国方案。网络法治建设成绩的取得，根本在于习近平总书记作为党中央的核心、全党的核心领航掌舵，在于习近平新时代中国特色社会主义思想特别是习近平法治思想和习近平总书记关于网络强国的重要思想科学指引。	会議では、中国がインターネットに全面的にアクセスするようになって以来、特に第18回中国共産党全国代表大会以降、習近平同志を核心とする中国共産党中央委員会の強力な指導の下、中国はサイバー法制度を整備し続け、サイバー空間における法治の基礎を絶えず固めてきたこと、サイバー法の実施を強化し続け、サイバー空間における公正と正義が強く顕在化してきたこと、サイバー法治の広報を深め続け、法を尊重・遵守し、法を利用することがますます重要になってきたことが指摘された。サイバー空間における法の支配に関する国際交流と協力の継続的な推進は、中国の知恵と中国のプログラムを世界のインターネットの発展とガバナンスに貢献した。インターネットにおける法治建設の成果は、習近平総書記が中国共産党中央委員会の核心、全党の核心として舵を取り、「新時代の中国の特色ある社会主義」に関する習近平思想、特に「法治に関する習近平思想」と「インターネットの強化に関する習近平思想」の科学的指導にある。
会议强调，面向新征程，必须胸怀“国之大者”，找准网络法治服务党和国家事业发展全局的着力点，全面提升网络法治建设水平，服务保障网络强国建设。要高举思想旗帜、强化政治引领，始终以习近平新时代中国特色社会主义思想统领网络法治建设全局；要着眼使命任务、加强立法统筹，持续完善中国特色网络法律体系；要突出问题导向、严格法律实施，着力维护网络空间良好秩序；要聚焦关键环节、完善法治监督，依法正确履行网络法治职能；要坚持内外贯通、服务开放大局，加快推进涉外网络法治体系和能力建设；要夯实工作基础、凝聚各方力量，为网络法治建设提供坚实支撑。	会議では、新たな旅路に臨むにあたり、「国の偉大さ」を肝に銘じ、党の全面的な発展と国家の大義に奉仕するサイバー法治の重点を明らかにし、サイバー法治建設の水準を全面的に高め、強大なサイバー国家の建設に奉仕し、保障しなければならないと強調した。イデオロギーの旗印を高く掲げ、政治指導を強化し、習近平の新時代の中国の特色ある社会主義の思想を常にサイバー法治建設の全面的な指導者としてとらえ、使命と任務を重視し、法制の調整を強化し、中国の特色あるサイバー犯罪の法制度を引き続き改善し、問題志向で法律を厳格に執行することを強調し、サイバー空間の秩序を良好に維持するよう努力し、重要なリンクを重視し、法治の監督を改善し、法に基づきサイバー犯罪の機能を正しく発揮しなければならない。内外のリンクを堅持し、開放の全体情勢に奉仕し、対外関連ネットワークにおける法治体制と能力の建設を加速しなければならない。仕事の基礎を固め、各方面の力を結集し、ネットワークにおける法治の建設を堅固に支持しなければならない。
座谈会上，中央网信办有关负责同志通报了《中国网络法治三十年》报告相关情况；工业和信息化部、市场监管总局、腾讯公司、中国法学会、中国信息通信研究院、中国社会科学院有关负责同志结合会议主题和工作职责进行发言交流。中央依法治国办、全国人大常委会法工委、最高人民法院、最高人民检察院、科技部、广电总局等中央和国家机关有关负责同志；中国联通、中国电信、人民网、新华网、央视网、法治网负责同志，阿里巴巴、中兴通讯、新浪、搜狐、网易等互联网公司代表，以及来自中国互联网协会、北京大学、清华大学等网络法治领域社会组织、高等院校、高端智库和研究机构的负责同志、专家学者代表参加会议。	シンポジウムでは、中央インターネット情報弁公室の関連責任者同志が『中国サイバー法治30年』報告書を伝え、工業情報化部、市場監督管理総局、テンセント、中国法律学会、中国情報通信研究院、中国社会科学院、関連責任者同志が会議のテーマと任務の作業についてスピーチを交換した。中央政府法治弁公室、全国人民代表大会常務委員会立法委員会、最高人民法院、最高人民検察院、科学技術部、ラジオ映画テレビ総局などの中央・国家機関の関連責任同志、中国聯通、中国電信、人民日報、新華社通信、中国中央テレビ (CCTV)、法治ネットワークの責任同志、アリババ、中興通訊、新浪、捜狐、網易などのインターネット企業の代表、中国インターネット学会、北京大学、清華大学などのサイバー法治分野のインターネット企業の代表。清華大学をはじめとするサイバー法治分野の社会組織、大学、高度先端シンクタンクや研究機関、専門家、学者らが会議に出席した。

2024.06.26 06:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪, in 安全保障 | Permalink | Comments (0)
Tweet

欧州委員会金融セクターにおける人工知能に関する意見募集 (2024.06.18)

こんにちは、丸山満彦です。

欧州委員会が、金融セクターにおける人工知能に関する質問書について意見募集が出ていますね。。。

3部構成になっていて、

第1部：AIの発展に関する一般的な質問
第2部：金融における具体的なユースケースに関する質問
第3部：金融セクターに関連するAI法に関する質問

で、

第一部については、

AIの利用
金融サービスにおけるAIアプリケーション活用のメリット
金融サービスでAIアプリケーションを使用する際の課題とリスク
AIとコンプライアンスの負担
データアクセス
ビジネスモデル
汎用AI
ハイリスクでないユースケースに関連し、AI法に基づく特定の要件の対象とならないAIガバナンス
予測

第2部については、

銀行業務
証券業務
市場業務
保険業務
資産管理業務
その他業務

となっていますね...

● European Commission

・2024.06.18 Targeted consultation on artificial intelligence in the financial sector

Target audience	対象者
The targeted consultation will gather input from all financial services stakeholders including companies and consumer associations. Views are particularly welcome from financial firms that provide or deploy/use AI systems. This consultation is designed for respondents developing or planning to develop or use AI applications in financial services.	対象となるコンサルテーションは、企業や消費者団体を含むすべての金融サービス関係者から意見を集める。特に、AIシステムのプロバイダや導入・利用を行う金融機関からの意見を歓迎する。このコンサルテーションは、金融サービスにおいてAIアプリケーションを開発中、または開発・利用を計画している回答者を対象としている。
Why we are consulting	コンサルティングを行う理由
The present targeted consultation will inform the Commission services on the concrete application and impact of AI in financial services, considering the developments in the different financial services use cases.	本協議は、金融サービスにおけるAIの具体的な応用と影響について、さまざまな金融サービスのユースケースの進展を考慮しながら、欧州委員会の業務に情報を提供するものである。
The views from stakeholders will support the Commission services in their assessment of market developments and risks related to AI and in the implementation of the AI Act in the financial sector. The consultation is focused on the objectives of the financial sector acquis and the AI Act and is not intended to focus on other policy objectives such as competition policy. It is intended to improve the effective implementation of these legal frameworks.	利害関係者からの意見は、AIに関連する市場の発展やリスクのアセスメントにおいて、また、金融分野におけるAI法の実施において、欧州委員会の業務を支援するものとなる。この協議は、金融セクター規制とAI法の目的に焦点を当てたものであり、競争政策など他の政策目的に焦点を当てることを意図したものではない。これらの法的枠組みの効果的な実施を改善することを目的としている。
This targeted consultation will include questions with multiple choice and open answers. The questionnaire contains three parts:	この的を絞ったコンサルテーションには、多肢選択式および自由回答式の質問が含まれる。アンケートには3つのパートがある：
1. a first part with general questions on the development of AI	1. 第1部：AIの発展に関する一般的な質問
2. a second part with questions related to specific use cases in finance	2. 第2部：金融における具体的なユースケースに関する質問
3. and a third part on the AI Act related to the financial sector	3. 第3部：金融セクターに関連するAI法に関する質問
For the purpose of this targeted consultation, the concept of AI corresponds to the definition of an AI system established in the AI Act, which covers “any machine-based system designed to operate with varying levels of autonomy and that may exhibit adaptiveness after deployment and that, for explicit or implicit objectives, infers, from the input it receives, how to generate outputs such as predictions, content, recommendations, or decisions that can influence physical or virtual environments”.	本コンサルテーションでは、AIの概念は、AI法に定められたAIシステムの定義に対応するものであり、「様々なレベルの自律性を持って動作するように設計され、導入後に適応性を示す可能性があり、明示的または暗黙的な目的のために、物理的または仮想的環境に影響を与えることができる予測、コンテンツ、推奨、または決定などの出力を生成する方法を、受け取った入力から推測するもの」を対象とする。
Respond to the consultation	コンサルテーションへの対応
Please note that in order to ensure a fair and transparent consultation process responses should be submitted through the online questionnaire.	公平で透明性の高いコンサルテーションプロセスを確保するため、回答はオンラインアンケートを通じて提出されることに留意されたい。
Respond to the consultation	コンサルテーションに対応する
Reference documents	参考資料
・Consultation document: Artificial intelligence in the financial sector	・コンサルテーション文書金融分野における人工知能
・Specific privacy statement: Artificial intelligence in the financial sector	・特定のプライバシーに関する声明金融分野における人工知能

・TARGETED CONSULTATION ON ARTIFICIAL INTELLIGENCE IN THE FINANCIAL SECTOR

本文部分...

・[PDF] Consultation document: Artificial intelligence in the financial sector

INTRODUCTION	序文
In financial services and beyond, there is a broad technology-driven trend towards greater use of AI. The Commission highlighted the need for a targeted consultation on the use of AI in financial services. The goal is to identify the main use cases and the benefits, barriers and risks related to the development of AI applications in the financial sector.	金融サービスをはじめ、幅広い分野でAIを活用する動きが広がっている。欧州委員会は、金融サービスにおけるAIの活用に関する的を絞ったコンサルテーションの必要性を強調した。その目的は、金融分野におけるAIアプリケーションの開発に関する主なユースケース、メリット、障壁、リスクを特定することである。
In general, the development and use of AI in the EU will be regulated by the AI Act, the world’s first comprehensive AI law. The AI Act which was voted by the European Parliament on 13 March and expected to enter into force in July, aims to guarantee the safety and fundamental rights of people and businesses, while strengthening AI uptake, investment and innovation across the EU. To support further these objectives, an AI innovation package has been adopted by the Commission on 24 January 2024. It contains a series of measures to support European startups and SMEs in the development of trustworthy AI that respects EU values and rules. This follows the political agreement reached in December 2023 on the AI Act.	一般的に、EUにおけるAIの開発と利用は、世界初の包括的なAI法であるAI法によって規制される。3月13日に欧州議会で採決され、7月に施行される見込みのAI法は、EU全域でのAIの導入、投資、イノベーションを強化する一方で、人々と企業の安全と基本的権利を保証することを目的としている。こうした目標をさらに支援するため、欧州委員会は2024年1月24日、AIイノベーションパッケージを採択した。このパッケージには、EUの価値観と規則を尊重した信頼できるAIの開発において、欧州の新興企業や中小企業を支援するための一連の措置が盛り込まれている。これは、2023年12月に成立したAI法に関する政治的合意に続くものである。
The AI Act is designed to complement the already existing financial services acquis, that, while not explicitly targeted at regulating AI, is an important framework to manage the related risks in specific applications and includes several relevant requirements for financial entities when providing financial services. It does so by pursuing objectives to ensure healthy financial markets, such as transparency, market integrity, investor protection and financial stability. For example, when providing investment services, including through reliance on AI such as trading algorithms, investment firms must comply with the MIFID/R framework and the market abuse rulebook.	AI法は、すでに存在する金融サービス法を補完するように設計されている。同法は、AIの規制を明確には対象としていないものの、特定のアプリケーションにおける関連リスクを管理するための重要な枠組みであり、金融サービスを提供する際の金融事業体に対するいくつかの関連要件を含んでいる。これは、透明性、市場の健全性、投資家保護、金融の安定など、健全な金融市場を確保するための防御を追求するものである。例えば、取引アルゴリズムのようなAIへの依存を含め、投資サービスを提供する場合、投資会社はMIFID/Rのフレームワークと市場濫用ルールブックを遵守しなければならない。
The aim of this consultation is not to lead to policy work that would generate new duplicative requirements in relation to the use of AI by the financial sector, or to new requirements that have the potential to stifle AI innovation.	このコンサルテーションの目的は、金融セクターによるAIの利用に関して、新たな生成的要件を生み出すような政策作業や、AIのイノベーションを阻害する可能性のある新たな要件につながらないようにすることである。
Objective of the consultation	コンサルテーションの目的
The present targeted consultation will inform the Commission services on the concrete application and impact of AI in financial services, considering the developments in the different financial services use cases.	本コンサルテーションは、金融サービスにおけるAIの具体的な応用と影響について、さまざまな金融サービスのユースケースの進展を考慮しながら、欧州委員会の業務に情報を提供することを目的としている。
The views from stakeholders will support the Commission services in their assessment of market developments and risks related to AI and in the implementation of the AI Act and existing financial services legislation in the financial sector. The consultation is focused on the objectives of the financial sector acquis and the AI Act and is not intended to focus on other policy objectives such as competition policy. It is intended to improve the effective implementation of these legal frameworks.	利害関係者からの意見は、AIに関連する市場の発展やリスクのアセスメント、金融分野におけるAI法や既存の金融サービス法の施行において、欧州委員会の業務を支援するものとなる。このコンサルテーションは、金融セクター規制およびAI法の目的に焦点を当てたものであり、競争政策など他の政策目的に焦点を当てることを意図したものではない。これらの法的枠組みの効果的な実施を改善することを目的としている。
This targeted consultation will include questions with multiple choice and open answers. The questionnaire contains three parts:	この的を絞ったコンサルテーションには、多肢選択式および自由回答式の質問が含まれる。アンケートには3つのパートがある：
1. a first part with general questions on the development of AI	1. 第1部：AI開発に関する一般的な質問
2. a second part with questions related to specific use cases in finance	2. 第2部：金融における具体的なユースケースに関する質問
3. and a third part on the AI Act related to the financial sector	3. 第3部：金融セクターに関連するAI法に関する質問
For the purpose of this targeted consultation, the concept of AI corresponds to the definition of an AI system established in the AI Act, which covers “any machine-based system designed to operate with varying levels of autonomy and that may exhibit adaptiveness after deployment and that, for explicit or implicit objectives, infers, from the input it receives, how to generate outputs such as predictions, content, recommendations, or decisions that can influence physical or virtual environments”.	このコンサルテーションでは、AIの概念はAI法に定められたAIシステムの定義に対応するものであり、「様々なレベルの自律性で動作するように設計され、導入後に適応性を示す可能性があり、明示的または暗黙的な目的のために、物理的または仮想的な環境に影響を与えることができる予測、コンテンツ、推奨、決定などの出力を生成する方法を、受け取った入力から推論するもの」を対象とする。
Target group	対象グループ
The targeted consultation will gather input from all financial services stakeholders including companies and consumer associations. Views are particularly welcome from financial firms that provide or deploy/use AI systems. This consultation is designed for respondents developing or planning to develop or use AI applications in financial services.	対象となるコンサルテーションは、企業や消費者団体を含む全ての金融サービス関係者から意見を集める。特に、AIシステムのプロバイダや導入・利用を行う金融企業からの意見を歓迎する。本コンサルテーションは、金融サービスにおいてAIアプリケーションを開発または使用する予定の回答者を対象としている。
Responding to the consultation	コンサルテーションへの対応
Respondents are invited to complete the questionnaire by 13 September 2024. They are invited to elaborate by providing input and additional insights to their answers.	対応者は2024年9月13日までにアンケートに回答するよう求められる。回答者は、回答に対するインプットや追加的な洞察を提供することで、より詳細な情報を得ることができる。
Outcome	成果
Depending on the progress made, the Commission will publish a report on the findings and an analysis of the main trends and issues arising with the use of AI applications in financial services.	進捗状況に応じて、欧州委員会は、調査結果および金融サービスにおけるAIアプリケーションの利用によって生じる主な傾向と問題点の分析に関する報告書を公表する。
Please note that the information collected will not be shared with third parties and if used, it will be anonymised, in such a manner that it does not relate to any identified or identifiable financial institution.	なお、収集された情報はサードパーティと共有されることはなく、使用される場合は、特定または識別可能な金融機関に関連しないように匿名化される。
CONSULTATION QUESTIONS	コンサルテーションに関する質問
Part 1: GENERAL QUESTIONS ON AI APPLICATIONS IN FINANCIAL SERVICES	第1部：金融サービスにおけるAiアプリケーションに関する一般的な質問
1.1. Use of AI	1.1. AIの利用
Question 1. Are you using or planning to use AI systems?	質問1. AIシステムを使用しているか、または使用する予定があるか？
• Yes, we are already using AI systems.	・はい、すでにAIシステムを利用している。
• Not yet, but we plan to use AI systems within the next 2 years.	・まだ使用していないが、今後2年以内に使用する予定である。
• No, we are not using AI systems and we don’t plan to use it within the next 2 years.	・いいえ、AIシステムを利用していないし、今後2年以内に利用する予定もない。
Question 2. What are the positive things you encounter when using AI?	質問2. AIを使用する際に遭遇するポジティブなことは何か？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question 3. What are the negative things you encounter when using AI?	質問3. AIを利用する際に、マイナスになることは何か？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question 4. Will you be deploying AI for new or additional processes within your organisation?	質問4. 組織内の新規または追加のプロセスにAIを導入するか？
• Yes, which ones?	・はい。
• No	・いいえ
Question 5. Are you developing or planning to develop in-house AI applications?	質問5. 社内でAIアプリケーションを開発しているか、または開発する予定があるか？
• Yes, please explain.	・はい、説明してほしい。
• No, please explain broadly whom you plan to collaborate with for the development of your AI applications (fintech, bigtech, etc.). or whether you plan to buy off the shelf fully developed solutions.	・いいえ、AIアプリケーション（フィンテック、ビッグテックなど）の開発のために誰と協業する予定か、または完全に開発された既製のソリューションを購入する予定かどうか、大まかに説明してください。
Question 6. Which tools are you using to develop your AI applications? Examples: machine learning, neural networks, natural language processing, large language models, etc.	質問6. AIアプリケーションの開発にはどのツールを使っているか？例：機械学習、ニューラルネットワーク、自然言語処理、大規模言語モデルなど。
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
1.2. Benefits of using AI applications in financial services	1.2. 金融サービスにおけるAIアプリケーション活用のメリット
Question 7. Please score the following benefits from most significant (10) to least significant (1):	質問7. 以下の利点について、最も重要なもの（10）から最も重要でないもの（1）までの点数をつけてください：
• Fraud detection: AI algorithms can analyse large amounts of data to detect patterns and anomalies that may indicate fraudulent activity, helping to reduce financial losses for businesses and customers.	・不正検知：AIアルゴリズムは大量のデータを分析し、不正行為を示すパターンや異常を検知することができる。
• Risk management: AI can analyse and predict market trends, assess credit risks, and identify potential investment opportunities, helping financial institutions make more informed decisions and manage risks more effectively.	・リスクマネジメント：AIは、市場動向の分析と予測、信用リスクのアセスメント、潜在的な投資機会の特定を行うことができ、金融機関がより多くの情報に基づいた意思決定を行い、より効果的にリスクを管理するのに役立つ。
• Automation of routine tasks: AI can automate repetitive tasks such as data entry, transaction processing, and document verification, freeing up time for employees to focus on more complex and strategic activities.	・定型業務の自動化：AIは、データ入力、取引処理、文書検証などの反復作業を自動化し、従業員がより複雑で戦略的な業務に集中できる時間を確保することができる。
• Cost savings: by automating processes and improving efficiency, AI can help financial institutions reduce operational costs.	・コスト削減:プロセスを自動化し、効率を向上させることで、AIは金融機関の運用コスト削減に貢献する。
• Personalized financial advice: AI can analyse customer data to provide personalized financial advice and recommendations, helping customers make better financial decisions and improve their financial well-being.	・パーソナライズされた金融アドバイス：AIは顧客データを分析し、個人に合った金融アドバイスや提案を提供することで、顧客がより適切な金融上の意思決定を行い、経済的な幸福を向上させることを支援する。
• Compliance and regulatory support: AI can help financial institutions stay compliant with regulations by analysing and interpreting complex regulatory requirements and monitoring transactions for suspicious activities.	・コンプライアンスと規制のサポート：AIは、複雑な規制要件を分析・解釈し、疑わしい取引がないかを監視することで、金融機関が規制を遵守し続けることを支援できる。
• Enhanced decision-making: AI can analyse large amounts of data and provide insights that can help financial institutions make better investment decisions, assess credit risks, and optimize their operations.	・意思決定の強化：AIは大量のデータを分析し、金融機関がより適切な投資判断を下し、信用リスクを評価し、業務を最適化するのに役立つ洞察を提供することができる。
• Improved security: AI can enhance security measures by identifying potential security threats, detecting unusual patterns of behaviour, and providing real-time alerts to prevent security breaches.	・セキュリティの改善：AIは、潜在的なセキュリティ脅威を特定し、異常な行動パターンを検知し、セキュリティ侵害を防止するためのリアルタイム・アラートを提供することで、セキュリティ対策を強化することができる。
• Streamlined processes: AI can streamline various financial processes, such as loan underwriting, account opening, and claims processing, leading to faster and more efficient services for customers.	・プロセスの合理化：AIは、ローンの引き受け、口座開設、クレーム処理など、さまざまな金融プロセスを合理化し、顧客により迅速で効率的なサービスを提供することができる。
• Improved customer service: AI can be used to provide personalized and efficient customer service, such as chatbots that can answer customer queries and provide assistance 24/7.	・顧客サービスの改善：AIは、顧客からの問い合わせに回答し、24時間365日サポートを提供できるチャットボットなど、パーソナライズされた効率的な顧客サービスを提供するために利用できる。
Question 8. What are the main benefits/advantages you see in the development of your AI applications?	質問8. AIアプリケーションの開発における主なメリット／利点は何か？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
1.3. Challenges and risks when using AI applications in financial services	1.3. 金融サービスでAIアプリケーションを使用する際の課題とリスク
Question 9. Please score the following challenges and risks from most significant	質問9. 以下の課題とリスクについて、最も重要なもの（10点）から最も重要でないもの（1点）まで、点数をつけていただきたい。
(10) to least significant (1):	（10）から最も重要でないもの（1）まで採点していただきたい：
• Lack of access to the required data, in general.	・一般的に、必要なデータにアクセスできない。
• Lack of access to the data in an appropriate digital format.	・適切なデジタル形式のデータにアクセスできない。
• Lack of access to appropriate data processing technology, e.g. cloud computing.	・適切なデータ処理技術（例：クラウド・コンピューティング）へのアクセスが欠如している。
• Data privacy: it is crucial to ensure that sensitive financial information remains confidential.	・データ・プライバシー:機密性の高い財務情報の機密性を確保することは極めて重要である。
• Lack of trust in relation to performance levels/ security aspects/ certified solutions/ reliability of the technology.	・パフォーマンス・レベル/セキュリティ面/認定されたソリューション/テクノロジーの信頼性に関する信頼の欠如。
• Regulatory compliance with financial regulation: financial services are heavily regulated and not all types of AI applications are in line with requirements under these regulations.	・金融規制へのコンプライアンス:金融サービスは規制が厳しく、すべての種類のAIアプリケーションがこれらの規制下の要件に合致しているわけではない。
• Innovation: the ability to leverage on combining AI with other technologies to enhance its potential and generate new services?	・イノベーション:AIを他のテクノロジーと組み合わせて活用し、その可能性を高め、新たなサービスを生み出す能力か。
• Transparency and explainability: AI algorithms can be complex and opaque. It can be difficult for humans to understand how AI arrives at certain conclusions, which can create issues of trust and accountability.	・透明性と説明可能性：AIのアルゴリズムは複雑で不透明な場合がある。AIがどのようにして特定の結論に至るのかを人間が理解することは困難であり、信頼と説明責任の問題が生じる可能性がある。
• Bias and discrimination: AI models are trained using data, and if the data is biased, the AI model can also be biased, leading to unfair outcomes.	・バイアスと識別的：AIモデルはデータを使って訓練されるため、データにバイアスがかかっていると、AIモデルにもバイアスがかかり、不公平な結果につながる可能性がある。
• Reputational risk from undesirable AI behavior or output.	・望ましくないAIの行動や出力による風評リスク。
• Liability risks: legal uncertainty on who bears the liability in case of damages generated by the malfunctioning of the AI applications.	・責任リスク:AIアプリケーションの誤動作によって損害が発生した場合、誰が責任を負うかに関する法的不確実性。
• Skills gap: the development of AI requires specific tech skills, and there is a shortage of such skills.	・スキル・ギャップ:AIの開発には特定の技術スキルが必要であり、そのようなスキルは不足している。
• Dependability: as financial institutions rely more and more on AI; the dependability of these systems becomes paramount. Any malfunction or error (e.g. in risk management) can lead to significant financial losses.	・信頼性：金融機関のAIへの依存度が高まるにつれ、これらのシステムの信頼性が最も重要になる。誤作動やエラー（リスクマネジメントなど）があれば、大きな財務的損失につながりかねない。
• Job displacement: the use of AI can potentially automate certain roles in the financial sector leading to job displacement.	・雇用の置き換え:AIの利用は、金融セクターにおける特定の役割を自動化する可能性があり、雇用の置き換えにつながる。
• Cybersecurity: AI systems could be targeted by cybercriminals, leading to potential data breaches or manipulation of AI systems.	・サイバーセキュリティ：AIシステムはサイバー犯罪者に狙われる可能性があり、データ侵害やAIシステムの操作につながる可能性がある。
• Integration challenges: integrating AI technologies with existing systems and processes can be complex and expensive.	・統合の課題:AI技術を既存のシステムやプロセスに統合することは複雑でコストがかかる可能性がある。
• Additional cost: the deployment and use of AI requires up-front investment and ongoing resources (acquiring or developing applications, keeping them up to date, training/skills).	・追加コスト：AIの導入と利用には、先行投資と継続的なリソース（アプリケーションの取得や開発、最新状態の維持、トレーニング／スキル）が必要となる。
Question 10. What are the main difficulties/obstacles you are facing in the development of your AI applications?	質問10. AIアプリケーションの開発で直面している主な困難／障害は何か？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question 11. Please rank the potential negative impact that widespread use of AI can have on the following risks. 8 being the highest risk.	質問11. AIの普及が以下のリスクに与える潜在的な悪影響をランク付けしてほしい。8が最も高いリスクである。
• Operational risks	・オペレーションリスク
• Market risks	・市場リスク
• Liquidity risks	・流動性リスク
• Financial stability risks	・金融安定性リスク
• Market integrity risks	・市場整合性リスク
• Investor protection risk	・投資家保護リスク
• Consumer protection risk	・消費者保護リスク
• Reputational risk	・風評リスク
Please explain your answer to the previous question and give examples when possible.	前問に対する回答について説明し、可能であれば例を挙げて説明してほしい。
Question 12. AI may affect the type and degree of dependencies in financial markets in certain circumstances, especially where a high number of financial entities rely on a relatively small number of third-party providers of AI systems. Do you see a risk of market concentration and/or herding behavior in AI used for financial services?	質問12. 特に、多数の金融事業体が比較的少数のAIシステムのサードパーティ・プロバイダに依存している場合、AIは特定の状況において、金融市場における依存関係の種類や程度に影響を与える可能性がある。金融サービスに使用される AI において、市場集中及び／又は群れ行動のリスクがあると考えるか？
• Yes, in which areas of AI?	・はい、AIのどの分野で？
• No, please explain.	・いいえ、説明してほしい。
1.4. AI and compliance burden	1.4. AIとコンプライアンスの負担
Question 13. Can AI help to reduce the reporting burden?	質問13. AIは報告負担の軽減に役立つか。
• Yes, in which areas do you see AI reducing reporting burden?	・はい、どの分野でAIが報告負担を軽減すると思うか？
• No, why?	・いいえ、その理由は？
Question 14. Do you think AI can facilitate compliance with multiple regulatory standards across the EU and thus facilitate market integration or regulatory compliance? For example, would you consider it feasible to use AI for converting accounting and financial statements developed under one standard (e.g. local GAAP) to another standard (e.g. IFRS)? Please elaborate.	質問14. AIはEU全域で複数の規制標準への準拠を促進し、市場統合や規制遵守を促進できると考えるか。例えば、ある標準（例えばローカルGAAP）の下で作成された会計・財務諸表を別の標準（例えばIFRS）に変換するためにAIを利用することは実現可能だと考えるか。詳しく説明してほしい。
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
1.5. Data access	1.5. データアクセス
Question 15. In order to develop AI applications, do you need access to external datasets that you currently don’t have access to?	質問15. AIアプリケーションを開発するために、現在アクセスできない外部データセットにアクセスする必要があるか？
• Yes	・はい
• No	・必要ない
Question 16. Which datasets would you need to develop meaningful AI applications and for which purpose / use case?	質問16. 有意義なAIアプリケーションを開発するために、どのようなデータセットが必要か。
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question 17. Do you face hurdles in getting access to the data you need to develop AI applications in financial services?	質問17. 金融サービスでAIアプリケーションを開発するために必要なデータにアクセスする際にハードルに直面するか？
• Yes, please explain which type of data you would need to have access to.	・はい、どのようなデータにアクセスする必要があるか説明してほしい。
• No	・いいえ
Question 18. Are you familiar with the EU Data Hub, a data sharing tool for supervisors and financial companies?	質問18. 監督当局と金融会社のためのデータ共有ツールであるEUデータハブをご存知か？
• Yes, do you think it can improve access to data?	・はい、データへのアクセスを改善できると思うか。
• No, are you aware of other data sharing initiatives that you find useful?	・いいえ、有用と思われる他のデータ共有イニシアチブを知っているか。
Question 19. Should public policy measures (e.g. legislative or non-legislative) encourage the exchange of data between market participants, which can be used to train AI systems for use cases in finance?	質問19. 金融のユースケースのためのAIシステムの訓練に使用できる市場参加者間のデータ交換を、公共政策措置（立法的または非立法的など）で奨励すべきか？
• Yes. Which type of measures do you propose?	・はい。どのような対策を提案するか？
• No	・提案しない
1.6. Business model	1.6. ビジネスモデル
Question 20. Has AI changed your business model?	質問20. AIは貴社のビジネスモデルを変えたか？
• Yes, how?	・はい、どのように？
• No	・いいえ
Question 21. Which parts of the value chain are being improved with AI?	質問21. バリューチェーンのどの部分がAIによって改善されているか？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question 22. Are there functions that cannot/would not be improved by AI?	質問22. AIで改善できない／改善しない機能はあるか？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
1.7. General purpose AI	1.7. 汎用AI
For the purpose of this targeted consultation, respondents should consider general purpose AI as defined in the AI Act (Article 3(63)), i.e. meaning any “AI model, including where such an AI model is trained with a large amount of data using selfsupervision at scale, that displays significant generality and is capable of competently performing a wide range of distinct tasks regardless of the way the model is placed on the market and that can be integrated into a variety of downstream systems or applications, except AI models that are used for research, development or prototyping activities before they placed on the market”.	本対象コンサルテーションでは、回答者は、AI法（第3条63項）に定義される汎用AI、すなわち、「AIモデル（そのようなAIモデルが大規模な自己監視を使用して大量のデータを用いて訓練される場合を含む）であって、そのモデルが上市される方法にかかわらず、有意な汎用性を示し、広範囲の明確なタスクを適切に実行することができ、様々な下流のシステム又はアプリケーションに統合することができるもの（上市前に研究、開発又はプロトタイピング活動に使用されるAIモデルを除く）」を意味する汎用AIを検討すべきである。
Question 23. Do you use general purpose AI models, including generative AI, and their respective reference architectures?	質問23. 生成的AIを含む汎用AIモデルと、それぞれの参照アーキテクチャを使用しているか？
• Yes, please explain why you want to opt for these AI models in your organisation.	・はい、あなたの組織でこれらのAIモデルを選択したい理由を説明してほしい。
• Not yet, but we plan to use general purpose AI models within the next 2 years.	・まだ使用していないが、今後2年以内に汎用AIモデルを使用する予定である。
• No, please explain which other AI reference architectures (e.g. more traditional ones) you plan to use to develop your AI applications and why.	・いいえ、AIアプリケーションの開発に他のどのAI参照アーキテクチャ（より伝統的なものなど）を使用する予定か、その理由を説明してほしい。
Question 24. How do you plan to operationalise and adopt general purpose AI at scale?	質問24. 汎用AIをどのように運用し、大規模に採用する予定か。
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question 25. How does the increasing availability of general purpose AI models, including generative AI applications, impact the need to access new datasets?	質問25. 生成的AIアプリケーションを含む汎用AIモデルの利用可能性の増加は、新しいデータセットにアクセスする必要性にどのように影響するか？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。。
Question 26. Compared to traditional AI systems such as supervised machine learning systems, what additional opportunities and risks are brought by general purpose AI models?	質問26. 教師あり機械学習システムなどの従来のAIシステムと比較して、汎用AIモデルはどのような新たな機会とリスクをもたらすか？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question 27. In which areas of the financial services value chain do you think general purpose AI could have a greater potential in the short, medium and long term?	質問27. 金融サービスのバリューチェーンのどの分野で、汎用AIが短期・中期・長期的に大きな可能性を持つと思うか？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
1.8. AI Governance in relation to non-high risk use cases, and which are not subject to specific requirements under the AI Act	1.8. ハイリスクでないユースケースに関連し、AI法に基づく特定の要件の対象とならないAIガバナンス
Question 28. Have you developed, or are you planning to develop an AI strategy or other relevant guidelines within your organisation for the use of AI systems?	質問28. AIシステムの利用に関して、組織内でAI戦略やその他の関連ガイドラインを策定したか、または策定する予定があるか。
• Yes, which ones?	・はい。
• No	・いいえ
Question 29. Have you put in place or are you planning to put in place governance and risk management measures to ensure a responsible and trustworthy use of AI within your organisation?	質問29. 組織内で責任ある信頼できるAIの利用を確保するために、ガバナンスやリスクマネジメントを導入しているか、または導入する計画があるか。
• Yes, which ones?	・はい、どのようなものか？
• No	・いいえ
1.9. Forecasts	1.9. 予測
Question 30. What are the main evolutions to be expected in AI in finance?	質問30. 金融分野におけるAIに期待される主な進化は何か？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question 31. Which financial services do you expect to be the most impacted by AI?	質問31. AIによって最も影響を受けると予想される金融サービスは？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question 32. Do you have any additional information to share?	質問32. その他、共有すべき情報はあるか。
Part 2: QUESTIONS RELATED TO SPECIFIC USE CASES IN FINANCIAL SERVICES	第2部：金融サービスにおける具体的なユースケースに関する質問
Question 33. In which sector are you using AI?	質問33. どの分野でAIを活用しているか？
You may select more than one answer.	複数回答可
• Banking and payments	・銀行業務と決済
• Market infrastructure	・市場インフラ
• Securities markets	・証券市場
• Insurance and pensions	・保険・年金
• Asset management	・資産管理
• Other	・その他
2.1. Questions per sector	2.1. セクターごとの質問
Banking and payments (if selected)	銀行業務と決済（選択した場合）
In banking, possible AI use cases range from credit risk assessment and credit scoring to advice, compliance, early warning (for example of unusual social media activity / massive withdrawal of deposits), fraud/AML and customer service.	銀行業務では、AIのユースケースとして、信用リスクアセスメントやクレジットスコアリングから、アドバイス、コンプライアンス、早期警告（ソーシャルメディアの異常な活動や預金の大量引き出しなど）、詐欺／AML、顧客サービスまでが考えられる。
Depending on the specific use cases, relevant legislation would include:	具体的なユースケースに応じて、関連する法律には以下が含まれる：
• the AI Act (for the identified high-risk use cases such as creditworthiness and credit-scoring of natural persons)	・AI法（自然人の信用度や信用スコアリングなど、特定された高リスクのユースケース用）
• the Consumer Credit Directive and the Mortgage Credit Directive	・消費者信用指令および住宅ローン信用指令
(creditworthiness of natural persons and robo-advice)	（消費者信用指令および住宅ローン信用指令（自然人の信用度およびロボアドバイス）
• the Capital Requirements Regulation (CRR) (for example provisions on risk management in relation to credit risk assessment)	・資本規制（CRR）（信用リスク評価に関するリスクマネジメント規定など）
• the Payment Services Directives (PSD) (for example for fraud detection)	・決済サービス指令（PSD）（不正行為の検知など）
• and the Anti-Money Laundering Directive (AMLD) (for example for AML risk use cases)	・マネーロンダリング防止指令（AMLD）（AML リスクのユースケースなど）
Question BANKING 1. For which use case(s) are you using/considering using AI?	質問銀行業務 1. どのようなユースケースで AI を利用／検討しているか。
Open answer. Examples: risk assessment, credit scoring, robo-advice, sustainable finance, personal finance management, regulatory compliance, fraud detection, AML, customer service, etc.	自由回答検知例：リスクアセスメント、クレジットスコアリング、ロボアドバイス、サステナブルファイナンス、パーソナルファイナンスマネジメント、規制遵守、不正検知、AML、顧客サービスなど。
Question BANKING 2. What are the opportunities that AI brings to your use case?	質問銀行業務 2.AIがあなたのユースケースにもたらす機会は何か？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question BANKING 3. What are the main challenges and risks that AI brings to your use case (e.g. discrimination, opacity of the AI application developed, difficult to control/supervise it, etc.)?	質問銀行業務 3. AIが貴社のユースケースにもたらす主な課題とリスクは何か（識別的、開発されたAIアプリケーションの不透明性、制御／監督が困難など）。
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question BANKING 4. What is the main barrier to developing AI in your use case (e.g. lack of skills and resources, readiness of the technology, high regulatory costs for compliance with the relevant frameworks, etc.)?	質問銀行業務 4. ユースケースにおけるAI開発の主な障壁は何か（スキルやリソースの不足、技術の準備、関連フレームワークへの準拠のための高い規制コストなど）？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question BANKING 5. Does AI reduce or rather increase bias and discrimination in your use case?	質問銀行業務 5. あなたのユースケースにおいて、AIはバイアスや識別を減らすか、むしろ増やすか？
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question BANKING 6. Has general purpose AI opened new possibilities or risks in your use case?	質問銀行業務 6. あなたのユースケースにおいて、汎用AIは新たな可能性やリスクをもたらしたか。
• Yes	・はい
• No	・いいえ
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question BANKING 7. On whom do you rely for the development of your AI solutions?	質問銀行業務 7. AIソリューションの開発を誰に依存しているか。
• External providers	・外部プロバイダ
• In-house applications	・社内アプリケーション
• Partial collaboration with external providers	・外部プロバイダとの一部協業
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Market infrastructure (if selected)	市場インフラ（選択した場合）
According to the European securities and markets authority (ESMA)[1], AI is currently not widely used by financial market infrastructures in their operations. However, use of AI systems in post-trading is emerging and will likely become more relevant in the future, such as for predicting settlement fails, anomaly detection, data verification and data quality checks.	欧州証券市場認可局（ESMA）[1]によると、現在、金融市場インフラにおいてAIはあまり活用されていない。しかし、ポストトレーディングにおけるAIシステムの利用は台頭しつつあり、決済失敗の予測、異常検知、データ検証、データ品質チェックなど、今後関連性が高まる可能性が高い。
Question MARKET 1. For which use case(s) are you using/considering using AI?	質問市場業務1. どのようなユースケースでAIの活用を考えているか？
Open answer. Examples: risk management, sustainable finance, regulatory compliance, etc.	自由回答例：リスクマネジメント、サステイナブル・ファイナンス、規制遵守など。
Question MARKET 2. What are the opportunities that AI brings to your use case?	質問市場業務2. AIがあなたのユースケースにもたらす機会は何か？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question MARKET 3. What are the main challenges and risks that AI brings to your use case (e.g. discrimination, opacity of the AI application developed, difficult to control/supervise it, etc.)?	質問市場業務3. AIがあなたのユースケースにもたらす主な課題とリスクは何か（識別的、開発されたAIアプリケーションの不透明性、制御／監督の困難性など）？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question MARKET 4. What is the main barrier to developing AI in your use case (e.g. lack of skills and resources, readiness of the technology, high regulatory costs for compliance with the relevant frameworks, etc.)?	質問市場業務 4.あなたのユースケースにおけるAI開発の主な障壁は何か（例：スキルやリソースの不足、技術の準備、関連フレームワークへの準拠のための高い規制コストなど）？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question MARKET 5. Does AI reduce or rather increase bias and discrimination in your use case?	質問市場業務 5. あなたのユースケースにおいて、AIはバイアスや識別を減らすか、むしろ増やすか？
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question MARKET 6. Has general purpose AI opened new possibilities or risks in your use case?	質問市場業務6. あなたのユースケースにおいて、汎用AIは新たな可能性やリスクをもたらしたか。
• Yes	・はい
• No	・いいえ
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question MARKET 7. On whom do you rely for the development of your AI solutions?	質問市場業務 7. AIソリューションの開発を誰に依存しているか？
• External providers	・外部プロバイダ
• In-house applications	・社内アプリケーション
• Partial collaboration with external providers	・外部プロバイダと一部協業している
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Securities markets (if selected)	証券市場（選択した場合）
In securities markets, possible AI use cases range from risk assessment to trade execution (e.g. algorithmic trading), robo-advice, regulatory compliance and market abuse to customer service. Depending on the specific use cases, relevant legislation would include, for example:	証券市場では、リスクアセスメントから取引執行（アルゴリズム取引など）、ロボアドバイス、規制遵守、市場濫用、顧客サービスまで、さまざまなAIユースケースが考えられる。具体的なユースケースに応じて、関連する法律には例えば以下のようなものがある：
• Markets in Financial Instruments Directive (MiFID) (for example on trading and robo-advice)	・金融商品市場指令（MiFID）（取引やロボ・アドバイスなど）
• and Market Abuse Regulation (MAR) (for example for market abuse detection use cases).	・および市場濫用規制（MAR）（市場濫用検知のユースケースなど）が含まれる。
Robo advice: According to the upcoming AI Act, there are specific transparency requirements for AI systems which are not high-risk. The requirements imply that these	ロボアドバイス：来るべきAI法によれば、ハイリスクではないAIシステムには特定の透明性要件がある。この要件は、以下のことを意味する。
AI systems are developed and used in a way that allows making humans aware that they communicate or interact with an AI system. This would for example apply to use cases such as robo-advice or other customer personalised AI applications.	AIシステムは、AIシステムとのコミュニケーションやインタラクションを人間に認識させるような方法で開発・使用される。これは例えば、ロボアドバイスやその他の顧客向けにパーソナライズされたAIアプリケーションのようなユースケースに適用される。
Question SECURITIES 1. For which use case(s) are you using/considering using AI?	質問証券業務 1. どのようなユースケースでAIを使用／検討しているか？
Open answer. Examples: risk assessment, individual or collective portfolio management, algorithmic trading, robo-advice, sustainable finance, personal finance management, regulatory compliance, customer service, market abuse detection, etc.	自由回答例：リスクアセスメント、個人または集団のポートフォリオマネジメント、アルゴリズム取引、ロボアドバイス、持続可能な金融、個人金融マネジメント、規制遵守、顧客サービス、市場濫用検知など。
Question SECURITIES 2. What are the opportunities that AI brings to your use case?	質問証券業務 2. AIがあなたのユースケースにもたらす機会は何か？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question SECURITIES 3. What are the main challenges and risks that AI brings to your use case (e.g. discrimination, opacity of the AI application developed, difficult to control/supervise it, etc.)?	質問証券業務 3. あなたのユースケースにおいて、AIがもたらす主な課題やリスクは何か（識別的、開発したAIアプリケーションの不透明性、制御・監督の困難性など）？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question SECURITIES 4. What is the main barrier to developing AI in your use case (e.g. lack of skills and resources, readiness of the technology, high regulatory costs for compliance with the relevant frameworks, etc.)?	質問証券業務 4. ユースケースにおけるAI開発の主な障壁は何か（スキルやリソースの不足、技術の準備、関連フレームワークへの準拠のための高い規制コストなど）？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question SECURITIES 5. Can AI reduce bias and discrimination or increase them in your use case?	質問証券業務 5.あなたのユースケースにおいて、AIはバイアスや識別的差別を減らすことができるか、あるいは増やすことができるか。
• Yes	・はい
• No	・いいえ
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question SECURITIES 6. Has general purpose AI opened new possibilities or risks in your use case?	質問証券業務 6. あなたのユースケースにおいて、汎用AIは新たな可能性やリスクをもたらしたか？
• Yes	・はい
• No	・いいえ
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question SECURITIES 7. On whom do you rely for the development of your AI solutions?	質問証券業務 7. AIソリューションの開発を誰に依存しているか？
• External providers	・外部プロバイダ
• In-house applications	・社内アプリケーション
• Partial collaboration with external providers	・外部プロバイダとの一部協業
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question SECURITIES 8. ‘Herding effects’, where trading is dominated by trading algorithms that make decisions based on similar model calibrations, are often considered as a risk for financial markets. Do you believe that the use of AI has increased this risk?	質問証券業務 8. 類似のモデル・キャリブレーションに基づいて意思決定を行う取引アルゴリズムによって取引が支配される「ハーディング効果」は、しばしば金融市場のリスクと見なされている。AIの利用がこのリスクを高めていると考えるか？
• Yes	・はい
• No	・いいえ
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question SECURITIES 9. Machine learning trading algorithms can interact with each other in unpredictable ways on the market. Do you see any risks to market integrity and efficiency stemming from these interactions, such as collusion that can amount to market manipulation or sudden bouts of illiquidity where trading algorithms stop trading in response to unusual patterns of market behaviour?	質問証券業務 9. 機械学習による取引アルゴリズムは、市場において予測不可能な方法で相互作用する可能性がある。このような相互作用から、市場操作に相当するような談合や、市場行動の異常なパターンに反応して取引アルゴリズムが取引を停止するような突然の非流動性の発生など、市場の整合性や効率性に起因するリスクがあると考えるか。
• Yes	・はい
• No	・いいえ
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question SECURITIES 10. Can robo-advice based on general purpose AI, which can sometimes produce ‘hallucinations’, i.e. nonsensical or inaccurate replies, be made compatible with regulatory requirements applicable to investment advice?	質問証券業務 10. 時として「幻覚」、すなわち無意味または不正確な回答を生み出す可能性のある汎用 AI に基づくロボアドバイスは、投資助言に適用される規制要件に適合させることができるか。
• Yes	・はい
• No	・いいえ
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question SECURITIES 11. What precautions will you put in place to ensure robo-advice is developed in compliance with the requirements for investment advice?	質問証券業務 11. ロボアドバイスが投資助言の要件に準拠して開発されることを保証するために、どのような予防措置を講じるか。
Insurance and pensions (if selected)	保険・年金（選択した場合）
In insurance, possible AI use cases range from insurance pricing and underwriting to advice, compliance, fraud detection/AML and customer service. Depending on the specific use cases, relevant legislation would include	保険では、AIのユースケースとして、保険料設定や保険引受から、アドバイス、コンプライアンス、不正検知／AML、顧客サービスまでが考えられる。具体的なユースケースに応じて、関連する法律には以下が含まれる。
• the AI Act (for the identified high risk use-cases such as life and health insurance risk assessment and pricing in relation to natural persons)	・AI法（自然人に関する生命保険や医療保険のリスクアセスメントやプライシングなど、識別された高リスクのユースケースの場合）
• the Insurance Intermediation Directive (IDD) (for example robo-advice),	・保険仲介指令（IDD）（ロボアドバイスなど）、
• Solvency II and institutions for occupational retirement provisions (IORPs) (for example provisions on risk management in relation to insurance risk assessment),	・ソルベンシーⅡおよび退職給付機構（IORPs）（保険リスクアセスメントに関するリスクマネジメント規定など）、
• and the Anti-Money Laundering Directive (AMLD) (for example AML use cases).	・およびマネーロンダリング防止指令（AMLD）（AML のユースケースなど）。
Question INSURANCE 1. For which use case(s) are you using/considering using AI?	質問保険業務 1. どのようなユースケースで AI を使用しているか／使用を検討しているか？
Open answer. Examples: risk management, insurance pricing and underwriting, setting capital requirements/technical provisions, robo-advice, regulatory compliance, sustainable finance, fraud detection, AML, customer service, sales and distribution, claims management, etc.	自由回答検知例：リスクマネジメント、保険のプライシングとアンダーライティング、資本要件／技術的規定の設定、ロボアドバイス、規制コンプライアンス、持続可能な金融、不正検知、AML、顧客サービス、販売・流通、クレームマネジメントなど。
Question INSURANCE 2. What are the opportunities that AI brings to your use case?	質問保険業務 2.AIが貴社のユースケースにもたらす機会は何か？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question INSURANCE 3. What are the main challenges and risks that AI brings to your use case (e.g. discrimination, opacity of the AI application developed, difficult to control/supervise it, etc.)?	質問保険業務 3. AIがあなたのユースケースにもたらす主な課題とリスクは何か（識別的、開発されたAIアプリケーションの不透明性、制御／監督の困難性など）？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question INSURANCE 4. What is the main barrier to developing AI in your use case (e.g. lack of skills and resources, readiness of the technology, high regulatory costs for compliance with the relevant frameworks, etc.)?	質問保険業務 4.あなたのユースケースでAIを開発する際の主な障壁は何か（例：スキルやリソースの不足、技術の準備、関連する枠組みを遵守するための高い規制コストなど）？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question INSURANCE 5. Does AI reduce or rather increase bias and discrimination in your use case?	質問保険業務 5.あなたのユースケースにおいて、AIはバイアスや識別を減少させるか、あるいはむしろ増加させるか。
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question INSURANCE 6. How can insurers ensure that the outcomes of AI systems are not biased?	質問保険業務 6. 保険会社は、AI システムの結果がバイアスにならないことをどのように保証できるか。
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question INSURANCE 7. Has general purpose AI opened new possibilities or risks in your use case?	質問保険業務 7. 貴社のユースケースにおいて、汎用AIは新たな可能性やリスクをもたらしたか？
• Yes	・はい
• No	・いいえ
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question INSURANCE 8. On whom do you rely for the development of your AI solutions?	質問保険業務 8. AIソリューションの開発を誰に依存しているか？
• External providers	・外部プロバイダ
• In-house applications	・自社アプリケーション
• Partial collaboration with external providers	・外部プロバイダと一部協業している。
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Asset management (if selected)	資産管理（選択した場合）
In asset management, possible AI use cases range from risk and portfolio management, robo-advice, regulatory compliance and market abuse to customer service. Depending on the specific use cases, relevant legislation would include, for example:	資産管理では、リスクマネジメント、ポートフォリオマネジメント、ロボアドバイス、規制遵守、市場濫用から顧客サービスまで、さまざまなAIの活用事例が考えられる。具体的なユースケースに応じて、関連する法律には例えば以下のようなものがある：
• Undertakings for the Collective Investment in Transferable Securities (UCITS)	・譲渡性証券集団投資事業（UCITS：Undertakings for the Collective Investment in Transferable Securities）
• Alternative Investment Fund Managers Directive (AIFMD)	・オルタナティブ投資ファンド・マネージャー指令（AIFMD）
• or Markets in Financial Instruments Directive (MiFID)	・または金融商品市場指令（MiFID）
Question ASSET MANAGEMENT 1. For which use case(s) are you using/considering using AI?	質問資産管理 1. どのようなユースケースでAIを使用／検討しているか？
Open answer. Examples: risk management, individual and collective portfolio management, regulatory compliance, trades monitoring, robo-advice, customer service, sustainable finance, etc.	自由回答例：リスクマネジメント、個人や集団のポートフォリオ管理、規制遵守、取引モニタリング、ロボアドバイス、顧客サービス、持続可能な金融など。
Question ASSET MANAGEMENT 2. What are the opportunities that AI brings to your use case?	質問資産管理 2. AIが貴社のユースケースにもたらす機会は何か？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question ASSET MANAGEMENT 3. What are the main challenges and risks that AI brings to your use case (e.g. discrimination, opacity of the AI application developed, difficult to control/supervise it, etc.)?	質問資産管理 3. AIがあなたのユースケースにもたらす主な課題とリスクは何か（識別的、開発されたAIアプリケーションの不透明性、制御／監督の困難性など）？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question ASSET MANAGEMENT 4. What is the main barrier to developing AI in your use case (e.g. lack of skills and resources, readiness of the technology, high regulatory costs for compliance with the relevant frameworks, etc.)?	質問資産管理 4.あなたのユースケースにおけるAI開発の主な障壁は何か（例：スキルやリソースの不足、技術の準備、関連する枠組みを遵守するための高い規制コストなど）？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question ASSET MANAGEMENT 5. Does AI reduce or rather increase bias and discrimination in your use case?	質問資産管理 5.あなたのユースケースにおいて、AIはバイアスや識別を減少させるか、あるいはむしろ増加させるか。
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question ASSET MANAGEMENT 6. Has general purpose AI opened new possibilities or risks in your use case?	質問資産管理 6. あなたのユースケースにおいて、汎用AIは新たな可能性やリスクをもたらしましたか。
• Yes	・はい
• No	・いいえ
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question ASSET MANAGEMENT 7. On whom do you rely for the development of your AI solutions?	資産管理 7. AIソリューションの開発を誰に依存しているか？
• External providers	・外部プロバイダ
• In-house applications	・社内アプリケーション
• Partial collaboration with external providers	・外部プロバイダとの一部協業
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question ASSET MANAGEMENT 8. When delegating functions to third parties, do you check the extent to which the provisions of services will entail the use of AI?	質問資産管理 8. サードパーティに機能を委託する際、サービスの提供がAIの利用を伴う範囲をチェックしているか。
• Yes	・はい
• No	・いいえ
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Other (if selected)	その他（選択した場合）
Question OTHER 1. For which use case(s) are you using/considering using AI?	質問その他業務 1.どのようなユースケースでAIの利用を考えているか。
Open answer. Examples: accounting, financial planning, credit rating, etc.	自由回答例：会計、財務計画、信用格付けなど。
Question OTHER 2. What are the opportunities that AI brings to your use case?	質問その他業務 2. AIがあなたのユースケースにもたらす機会は何か？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question OTHER 3. What are the main challenges and risks that AI brings to your use case (e.g. discrimination, opacity of the AI application developed, difficult to control/supervise it, etc.)?	質問その他業務 3. AIがあなたのユースケースにもたらす主な課題とリスクは何か（識別的、開発されたAIアプリケーションの不透明性、制御／監督が困難など）？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question OTHER 4. What is the main barrier to developing AI in your use case (e.g. lack of skills and resources, readiness of the technology, high regulatory costs for compliance with the relevant frameworks, etc.)?	質問その他業務 4.あなたのユースケースにおいて、AIを開発する上での主な障壁は何か（例：スキルやリソースの不足、技術の準備、関連する枠組みを遵守するための高い規制コストなど）？
Open answer/Please explain and give examples when possible.	自由回答／可能であれば例を挙げて説明してほしい。
Question OTHER 5. Does AI reduce or rather increase bias and discrimination in your use case?	質問その他業務 5. あなたのユースケースにおいて、AIはバイアスや差別を減らすか、むしろ増やすか？
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question OTHER 6. Has general purpose AI opened new possibilities or risks in your use case?	質問その他業務 6. あなたのユースケースにおいて、汎用AIは新たな可能性やリスクをもたらしたか。
• Yes	・はい
• No	・いいえ
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Question OTHER 7. On whom do you rely for the development of your AI solutions?	質問その他業務 7. AIソリューションの開発を誰に依存しているか？
• External providers	・外部プロバイダ
• In-house applications	・社内アプリケーション
• Partial collaboration with external providers	・外部プロバイダと部分的に協力している
Please explain and give examples when possible.	可能であれば例を挙げて説明してほしい。
Part 3: AI ACT	第3部：AI法
In December 2023 the European Parliament and the Council reached a provisional political agreement on the first comprehensive AI framework, put forward by the Commission on 21 April 2021. The regulation was adopted by the European Parliament on 13 March 2024 and will enter into force later this spring once it has been published in the Official Journal of the EU. This horizontal acquis is applicable across all economic sectors.	2023年12月、欧州議会と欧州理事会は、欧州委員会が2021年4月21日に提案した初の包括的AI枠組みについて暫定的な政治合意に達した。同規則は2024年3月13日に欧州議会で採択され、EU官報に掲載された後、今春以降に発効する。この水平的協定は、すべての経済分野に適用される。
The AI Act defines an AI system as “a machine-based system designed to operate with varying levels of autonomy, that may exhibit adaptiveness after deployment and that, for explicit or implicit objectives, infers, from the input it receives, how to generate outputs such as predictions, content, recommendations, or decisions that can influence physical or virtual environments”. Recital 11 further sets out the reasons for this definition, notably setting out that it is based on key characteristics that distinguish it from simpler traditional software systems of programming approaches.	AI法は、AIシステムを「さまざまなレベルの自律性で動作するように設計された機械ベースのシステムであって、導入後に適応性を示す可能性があり、明示的または暗黙的な目的のために、物理的または仮想的環境に影響を与えることができる予測、コンテンツ、推奨、決定などの出力を生成する方法を、受け取った入力から推測するもの」と定義している。説明11にはさらに、この定義の理由が示されており、特に、より単純な従来のソフトウェア・システムのプログラミング・アプローチとは異なる主要な特徴に基づいていることが明記されている。
The AI Act will establish two high risk use cases for the financial sector:	AI法では、金融セクター向けに2つのリスクの高いユースケースを設定する：
1. AI systems intended to be used to evaluate the creditworthiness of natural persons or establish their credit score, with the exception of those AI systems used for the purpose of detecting financial fraud	1. 金融詐欺を検知する目的で使用されるAIシステムを除き、自然人の信用度を評価するため、または信用スコアを設定するために使用されることを意図したAIシステム。
2. AI systems intended to be used for risk assessment and pricing in relation to natural persons in the case of life and health insurance	2. 生命保険および医療保険の場合、自然人に関するリスクアセスメントおよびプライシングに使用されることを意図したAIシステム。
The aim of this section is to identify which are your specific needs in order for the Commission to be able to adequately assist you with appropriate guidance for the implementation of the upcoming AI framework in your specific market areas, especially in particular to the high-risk use cases identified.	このセクションの目的は、欧州委員会が、特に特定されたリスクの高いユースケースについて、今後予定されているAIの枠組みを特定の市場分野で実施するための適切なガイダンスを提供し、適切な支援を行えるようにするために、具体的にどのようなニーズがあるかを特定することである。
3.1. Scope and AI definition	3.1. 範囲とAIの定義
Question 34. Which of the following use cases that could fall into the categorisation of high-risk are potentially relevant to your activity?	質問34. 高リスクに分類される可能性のある以下のユースケースのうち、貴社の活動に関連する可能性のあるものはどれか。
• AI systems intended to be used to evaluate the creditworthiness of natural persons or establish their credit score.	・自然人の信用度を評価したり、信用スコアを設定したりするために使用することを意図したAIシステム。
• AI systems intended to be used for risk assessment and pricing in relation to natural persons in the case of life and health insurance.	・生命保険や医療保険の場合、自然人に関するリスクアセスメントやプライシングに使用されることを意図したAIシステム。
• Both.	・両方
• None.	・なし。
Question 35. Please explain the overall business and/or risk management process in which the high-risk use case would be integrated and what function exactly the AI would carry out.	質問35. 高リスクのユースケースが統合される全体的なビジネス及び／又はリスクマネジメントプロセスと、AIが具体的にどのような機能を果たすのかについて説明してほしい。
Question 36. Are there any related functions AI would carry out which you would suggest distinguishing from the intended purpose of the high-risk AI systems in particular to the use cases identified in question 34?	質問36．質問34で識別されたユースケースについて、特に高リスクAIシステムの意図された目的から区別することを提案する、AIが実行する関連機能があるか。
Question 37. Please explain why these functions would/should in your view not be covered by the high-risk use cases set out in the AI act either because they would not be covered by the definition of the use case or by relying on one of the conditions under article 6(3) of the AI Act and explaining your assessment accordingly that the AI system would not pose a significant risk of harm if:	質問37. これらの機能が、ユースケースの定義に含まれないため、又はAI法6条3項に基づく条件のいずれかに依拠することにより、AI法に定める高リスクのユースケースに含まれない／含まれるべきであると考える理由を説明し、以下の場合、AIシステムが重大な危害のリスクをもたらさないというあなたのアセスメントを適宜説明してください：
a) the AI system is intended to perform a narrow procedural task	a） AIシステムが、狭い手続き上のタスクを実行することを意図している。
b) the AI system is intended to improve the result of a previously completed human activity	b） AIシステムが、以前に完了した人間の活動の結果を改善することを意図している。
c) the AI system is intended to detect decision-making patterns or deviations from prior decision-making patterns and is not meant to replace or influence the previously completed human assessment, without proper human review	c） AIシステムは、意思決定のパターンや以前の意思決定のパターンからの逸脱を検知することを意図したものであり、人間による適切なレビューなしに、以前に完了した人間のアセスメントに取って代わったり、影響を与えたりすることを意図したものではない。
d) or the AI system is intended to perform a preparatory task to an assessment relevant for the purpose of the use cases listed in Annex III of the AI Act	d）または、AIシステムが、AI法の附属書IIIに記載されているユースケースの目的に関連するアセスメントの準備作業を行うことを意図している。
Question 38. At this stage, do you have examples of specific AI applications/use cases you believe may fall under any of the conditions from article 6(3) listed above?	質問38. 現段階で、上記の第6条3項の条件のいずれかに該当すると思われる具体的なAIアプリケーション／ユースケースの例をお持ちか。
Please describe the use case(s) in cause and the conditions you believe they may fall under.	具体的なユースケースと、それが該当すると思われる条件を記述してください。
Question 39. Based on the definition of the AI system, as explained above (and in article 3(1) and accompanying recitals), do you find it clear if your system would fall within the scope of the AI Act?	質問39. 上記（及び第3条第1項と付随するリサイタル）で説明したAIシステムの定義に基づき、貴社のシステムがAI法の適用範囲に入るかどうか明らかであると思われるか。
• Yes	・はい
• No, it is not clear/ easy to understand if it falls within the scope of the AI Act. If “No”, please specify in relation to what aspects and/or which algorithmic/mathematical models?	・いいえ、AI法の適用範囲に入るかどうか明確でない/理解しにくい。いいえ」の場合、どのような側面および/またはどのアルゴリズム/数学モデルに関してか、具体的に教えてほしい。
3.2. AI Act requirements	3.2. AI法の要件
Question 40. Bearing in mind there will be harmonised standards for the requirements for high-risk AI (Mandates sent to CEN-CENELEC can be monitored here), would you consider helpful further guidance tailored to the financial services sector on specific AI Act requirements, in particular regarding the two high-risk AI use cases?	質問40 高リスクAIの要件については標準化が予定されているが（CEN-CENELECに送られた指令はこちらで確認できる）、特に2つの高リスクAIのユースケースについて、AI法の具体的な要件について、金融サービス部門に合わせたさらなるガイダンスが有用であると考えるか。
• Yes. If yes, on which specific provisions or requirements and on what aspects concretely?	・はい。「はい」の場合、具体的にどの条項または要件について、またどのような側面についてか。
• No	・いいえ。
3.3. Financial legislation requirements	3.3. 金融法上の要件
Question 41. Future AI high-risk use cases would also need to comply with existing requirements from the financial legislation. Would you consider helpful further guidance meant to clarify the supervisory expectations for these use cases?	質問41. 今後の AI の高リスクのユースケースは、金融法制の既存の要件にも準拠する必要がある。このようなユースケースに対する監督当局の期待事項を明確にするために、さらなるガイダンスが有用であると考えるか。
• If yes, please explain your choice and indicate if the guidance should be highlevel and principles based or tailored to specific use cases.	・「はい」の場合、その選択肢を説明し、ガイダンスがハイレベルで原則に基づくものであるべきか、特定のユースケースに合わせたものであるべきかを示していただきたい。
• No, the supervisory expectations are clear.	・監督当局の期待は明確である。
Question 42. There are other use cases in relation to the use of AI by the financial services sector which are not considered of high-risk by the AI Act, but which need to comply with the existing requirements from the financial legislation. Would you consider helpful further guidance meant to clarify the supervisory expectations for these use cases?	質問42. 金融サービス部門によるAIの利用に関して、AI法ではハイリスクとはみなされないが、金融法制の既存の要件に準拠する必要がある他のユースケースがある。このようなユースケースに対する監督当局の期待を明確にするための更なるガイダンスが有用であると考えるか。
• If yes, please explain your response, and indicate if the guidance should be highlevel and principles based or tailored to specific use cases.	・また、そのガイダンスがハイレベルで原則に基づくものであるべきか、特定のユースケースに合わせたものであるべきかを示されたい。
• No, the supervisory expectations are clear.	・監督当局の期待は明確である。
Question 43. Are you aware of any provisions from the financial acquis that could impede the development of AI applications (e.g. provisions that prohibit the use of risk management models which are not fully explainable or the use of fully automated services for the interaction with consumers)?	質問43. AI アプリケーションの開発を阻害する可能性のある金融規制の規定を知っているか（完全には説明できないリスクマネジメントモデルの使用や、消費者との対話に完全自動化されたサービスを使用することを禁止する規定など）。
• If yes, please indicate the acquis/ provision in cause.	・「はい」の場合、その根拠となる法令・規定を示すこと。
• No, I am not aware of any provision(s) of this kind	・いいえ、この種の規定を知らない。

^[1] https://www.esma.europa.eu/sites/default/files/library/ESMA50-164-6247-AI_in_securities_markets.pdf

2024.06.26 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 内部統制 / リスクマネジメント, in パブコメ, in AI/Deep Learning | Permalink | Comments (0)
Tweet

2024.06.25

Microsoft ロシアはいかにして2024年パリ五輪を妨害しようとしているのか (2024.06.06)

こんにちは、丸山満彦です。

マイクロソフトのセキュリティ・インサイダーにロシアがいかにして2024年パリ五輪を妨害しようとしているのか？について、記事を載せていますね...

興味深いですね...

● Microsoft - Security Insider

・2024.06.06 How Russia is trying to disrupt the 2024 Paris Olympic Games

Introduction	序文
History of disparaging the Olympic Games	オリンピック蔑視の歴史
Old world tactics meet the age of AI	旧世界の戦術とAIの時代
False flags sow anticipation of violence	偽旗は暴力を予期させる
Indicators and warnings of malign influence	悪意の影響を示す指標と警告

・[PDF]

2024.06.25 07:17 in 法律 / 犯罪, in AI/Deep Learning, in 安全保障 | Permalink | Comments (0)
Tweet

アフリカ連合人工知能戦略とアフリカン・デジタル・コンパクトを採択 (2023.06.17)

こんにちは、丸山満彦です。

アフリカ連合 (African Union) [wikipedia] が、アフリカ大陸人工知能戦略 (continental Artificial Intelligence (AI) Strategy) とアフリカン・デジタル・コンパクト (African Digital Compact) を採択し、アフリカの発展と包括的成長を推進すると発表していますね...

2024年7月のアフリカ連合の理事会で承認されれば、公表されるものと思われます...

● African Union

・2024.06.17 African Ministers Adopt Landmark Continental Artificial Intelligence Strategy, African Digital Compact to drive Africa’s Development and Inclusive Growth

African Ministers Adopt Landmark Continental Artificial Intelligence Strategy, African Digital Compact to drive Africa’s Development and Inclusive Growth	アフリカの閣僚が画期的な大陸人工知能戦略とアフリカン・デジタル・コンパクトを採択し、アフリカの発展と包括的成長を推進する
African ICT and Communications Ministers unanimously endorsed landmark Continental Artificial Intelligence (AI) Strategy and African Digital Compact to accelerate Africa’s digital transformation by unlocking the potential of the new digital technologies.	アフリカのICTおよびコミュニケーション担当大臣は、新たなデジタル技術の潜在能力を引き出すことによりアフリカのデジタル変革を加速させるため、画期的な大陸人工知能（AI）戦略とアフリカン・デジタル・コンパクトを満場一致で承認した。
More than 130 African ministers and experts have virtually convened from June 11 to 13, 2024 for the 2nd Extraordinary session of the Specialized Technical Committee on Communication and ICT to ignite digital transformation across the continent amidst rapid evolutions in the sector fuelled by artificial intelligence (AI) technology and applications.	130人以上のアフリカの閣僚と専門家が、2024年6月11日から13日まで開催されるコミュニケーションとICTに関する専門技術委員会の第2回臨時会合に事実上招集され、人工知能（AI）技術とアプリケーションに煽られたセクターの急速な進化の中で、アフリカ大陸全体のデジタルトランスフォーメーションに火をつける。
The Continental AI Strategy provides guidance to African countries to harness artificial intelligence to meet Africa's development aspirations and the well-being of its people, while promoting ethical use, minimising potential risks, and leveraging opportunities.	大陸AI戦略は、倫理的な利用を促進し、潜在的なリスクを最小限に抑え、機会を活用しながら、アフリカの開発の願望と人々の幸福を満たすために人工知能を活用するためのガイダンスをアフリカ諸国に提供する。
Identifying key priorities and actions to ensure that Africa fully benefits from the huge opportunities AI offers, the strategy calls for Africa-owned, people-centered, development-oriented, and inclusive approach to accelerate African countries' AI capabilities in infrastructure, talent, datasets, innovation, and partnerships while also ensuring adequate safeguards and protection from threats.	AIが提供する大きな機会からアフリカが十分な利益を得られるようにするための主要な優先事項と行動を特定したこの戦略は、インフラ、人材、データセット、イノベーション、パートナーシップにおけるアフリカ諸国のAI能力を加速させるとともに、十分なセーフガードと脅威からの保護を確保するために、アフリカが所有し、人々が中心で、開発志向で、包括的なアプローチをとることを求めている。
At the opening of the ministerial session, African Union Commissioner for Infrastructure and Energy Dr. Amani Abou-Zeid stated that Africa is resolved to harness new technologies for the well-being of Africans and to develop a Continent-wide approach and a harmonised journey for this revolutionary technology to tackle Africa’s complex and most pressing challenges while minimizing the risks. "For us Africans, Artificial Intelligence presents tremendous opportunities. It is a driving force for positive transformational positive change as well as economic growth and social progress," said Dr. Abou-Zeid.	アフリカ連合（AU）のインフラ・エネルギー担当委員であるアマニ・アブー＝ゼイド博士は、閣僚会合の冒頭で、アフリカは新技術をアフリカ人の幸福のために活用し、リスクを最小限に抑えながらアフリカの複雑で差し迫った課題に取り組むために、この革命的な技術に対する大陸全体のアプローチと調和のとれた旅を開発することを決意していると述べた。「我々アフリカの人々にとって、人工知能は非常に大きなチャンスをもたらす。それは、経済成長や社会的進歩だけでなく、ポジティブな変革をもたらす原動力となる」とアブー＝ゼイド博士は述べた。
Commissioner Abou-Zeid commended the endorsement of the strategy as a timely and strategic move while emphasizing “Adapting AI to African realities is critical. AI systems should be able to reflect our diversity, languages, culture, history, and geographical contexts. As we aim to create an inclusive AI ecosystem and a competitive African AI market that is adapted to our realities and meets our ambitions, we believe examining and approving this strategy will provide a common vision and path to accelerate responsible AI innovation and adoption in Africa".	アブー＝ゼイド委員は、この戦略の承認は時宜を得た戦略的な動きであると評価する一方、「AIをアフリカの現実に適応させることが重要である」と強調した。AIシステムは、私たちの多様性、言語、文化、歴史、地理的背景を反映できるものでなければならない。われわれは、包括的なAIエコシステムと、われわれの現実に適応し、われわれの野心を満たす競争力のあるアフリカのAI市場を創出することを目指しており、この戦略を検討し承認することで、アフリカにおける責任あるAIのイノベーションと採用を加速させるための共通のビジョンと道筋が得られると信じている」と述べた。
The Strategy sets the roadmap for African countries to harness the potential of AI to achieve developmental aspirations to education and skills, health, agriculture, infrastructure, peace and security and good governance by developing human capital, strengthening research and innovation ecosystems, and building an AI-ready institutional and regulatory environment to ensure AI works for African people. By investing in African youth, innovators, computer scientists, data experts, and AI researchers, the framework paves the way for Africa's success in the global AI arena.	同戦略は、アフリカ諸国がAIの潜在能力を活用し、人的資本の開発、研究とイノベーションのエコシステムの強化、AIがアフリカの人々のために機能することを保証するためのAI対応制度・規制環境の構築を通じて、教育と技能、健康、農業、インフラ、平和と安全、グッドガバナンスに対する開発願望を達成するためのロードマップを設定する。アフリカの若者、革新者、コンピューター科学者、データ専門家、AI研究者に投資することで、この枠組みは世界のAI分野におけるアフリカの成功への道を開く。
The Minister of Information, Communications, Science Technology, and Innovation of the Kingdom of Lesotho, and Chair of the Bureau of the technical committee H.E. Ms. Nthati Moorsi emphasised the huge opportunities that stem from the adoption of AI-enabled systems to promote homegrown solutions to stimulate economic growth and sustainable development towards achieving the priorities outlined in the AU Agenda 2063 and the UN Sustainable Development Goals.	レソト王国の情報・コミュニケーション・科学技術・イノベーション大臣であり、技術委員会の議長であるNthati Moorsi女史は、AUアジェンダ2063と国連の持続可能な開発目標に示された優先事項の達成に向けて、経済成長と持続可能な開発を促進するための国産ソリューションを促進するために、AI対応システムの採用から生じる大きな機会を強調した。
The ministerial committee also endorsed the African Digital Compact, which is Africa’s common vision and one voice that charts Africa’s digital future and harnesses the transformative potential of digital technologies to foster sustainable development, economic growth, and societal well-being throughout Africa.	同大臣委員会はまた、アフリカ共通のビジョンであり、アフリカのデジタルの未来を描き、アフリカ全体の持続可能な開発、経済成長、社会の幸福を促進するためにデジタル技術の変革の可能性を活用する1つの声である、アフリカン・デジタル・コンパクトを承認した。
According to Commissioner Abou-Zeid, the Compact is Africa’s strategic commitment to utilizing digital transformation as a catalyst for inclusive progress and sustainable development in Africa. Further lauding the Compact as remarkable initiative that will position Africa at the forefront of the global digital economy, not just as a consumer but also as innovator and producer. She added that creating strong pool of talents, and enhancing public private partnerships are deemed critical to promote homegrown digital solutions.	アブー＝ゼイド委員によると、このコンパクトは、アフリカにおける包括的な進歩と持続可能な開発の触媒としてデジタルトランスフォーメーションを活用するというアフリカの戦略的コミットメントである。さらに、このコンパクトは、消費者としてだけでなく、イノベーターやプロデューサーとしても、アフリカを世界デジタル経済の最前線に位置づける注目すべきイニシアチブであると称賛した。また、強力な人材プールを作り、官民パートナーシップを強化することが、自国のデジタル・ソリューションを促進するために不可欠であると付け加えた。
During the discussions, the African ministers highlighted the importance of propelling Africa's role in shaping global digital governance and insisted on the importance of capacity building and knowledge transfer to empower Africa's youth, private sector and institutions to ensure their participation in the digital economy through initiatives focused on enabling ecosystems, digital education, skills development, and job reassignment.	議論の中で、アフリカの閣僚は、グローバル・デジタル・ガバナンスの形成におけるアフリカの役割を推進することの重要性を強調し、エコシステムの実現、デジタル教育、技能開発、職務の再配置に焦点を当てたイニシアティブを通じて、アフリカの若者、民間部門、機構がデジタル経済への参加を確実にするための能力構築と知識移転の重要性を主張した。
Minister Moorosi further accentuated that unique challenges and contexts of Africa must be taken into consideration in the global discourse around digital technologies. “Our position must advocate for our capability to develop our own electronic technologies and equitable access to these critical resources. Additionally, we must ensure that when the global community addresses the artificial intelligence alignment problem, the unique needs and contexts of Africa are considered” underscored H.E. Moorosi.	モウロシ大臣はさらに、デジタル技術をめぐる世界的な議論において、アフリカ独自の課題と文脈を考慮しなければならないことを強調した。「我々の立場は、独自の電子技術を開発する能力と、これらの重要なリソースへの公平なアクセスを提唱しなければならない。さらに、国際社会が人工知能のアライメント問題に取り組む際、アフリカ独自のニーズや状況が考慮されるようにしなければならない」とモウロシ閣僚は強調した。
At the closing of the Ministerial meeting the ministers mandated the African Union to organize a level Continental African Artificial Intelligence Summit to foster collaboration, knowledge exchange, and strategic planning among stakeholders across the continent.	閣僚会議の閉会にあたり、閣僚はアフリカ連合に対し、アフリカ大陸全体の関係者間の協力、知識交換、戦略的計画を促進するため、レベルの高いアフリカ大陸人工知能サミットの開催を委任した。
Both initiatives were developed through consultations with a wide array of stakeholders and constitute Africa’s contribution to the Global Digital Compact and the United Nations Summit of the Future in September 2024. They are expected to be submitted to the African Union Executive Council in July 2024, for consideration and adoption.	両イニシアティブは、幅広いステークホルダーとの協議を通じて策定されたもので、グローバル・デジタル・コンパクトと2024年9月の国連未来サミットに対するアフリカの貢献を構成するものである。これらは2024年7月にアフリカ連合執行理事会に提出され、審議・採択される予定である。
It’s worth mentioning that the Continental AI Strategy and the African Digital Compact are anchored in the African Union's Digital Transformation Strategy (2020-2030) and Agenda 2063 and build on other continental digital policies, strategies, and frameworks such as the data policy, personal data protection cybersecurity, child protection frameworks targeted at fostering digital technologies in all sectors and realizing Africa's long-term development aspirations.	大陸AI戦略とアフリカン・デジタル・コンパクトは、アフリカ連合のデジタル変革戦略（2020-2030）とアジェンダ2063の中に位置づけられ、データ政策、データ政策、個人データ保護、サイバーセキュリティ、児童保護の枠組みなど、他の大陸デジタル政策、戦略、枠組みに基づくものなどの他の大陸デジタル政策、戦略、フレームワークの上に構築されていることは特筆に値する。

2024.06.25 06:34 in AI/Deep Learning | Permalink | Comments (0)
Tweet

米国 GAO 高リスク・シリーズ：国家が直面するサイバーセキュリティの重要課題に対処するための緊急行動が必要 (2024.06.13)

こんにちは、丸山満彦です。

GAOの毎年の高リスクシリーズの報告書...

2010年以来1,610件の勧告を報告したが、まだ567件が未実施ということのようです...

4つの主要課題と10の重要なアクション

Establishing a comprehensive cybersecurity strategy and performing effective oversight	包括的なサイバーセキュリティ戦略を確立し、効果的な監督を行う。
1. Develop and execute a more comprehensive federal strategy for national cybersecurity and global cyberspace.	1. 国家サイバーセキュリティとグローバルサイバースペースのより包括的な連邦戦略を策定し、実行する。
2. Mitigate global supply chain risks (e.g., installation of malicious software or hardware).	2. グローバル・サプライチェーンのリスク（悪意のあるソフトウェアやハードウェアのインストールなど）を低減する。
3. Address cybersecurity workforce management challenges.	3. サイバーセキュリティ人材管理の課題に対処する。
4. Bolster the security of emerging technologies (e.g., artificial intelligence and Internet of Things).	4. 新興技術（人工知能やモノのインターネットなど）のセキュリティを強化する。
Securing federal systems and information	連邦政府のシステムと情報を保護する。
5. Improve implementation of government-wide cybersecurity initiatives.	5. 政府全体のサイバーセキュリティ・イニシアチブの実施を改善する。
6. Address weaknesses in federal agency information security programs.	6. 連邦政府機関の情報セキュリティプログラムの弱点に対処する。
7. Enhance the federal response to cyber incidents.	7. サイバーインシデントへの連邦政府の対応を強化する。
Protecting the cybersecurity of critical infrastructure	重要インフラのサイバーセキュリティを防御する。
8. Strengthen the federal role in protecting the cybersecurity of critical infrastructure (e.g., electricity grid and telecommunications networks).	8. 重要インフラ（送電網や通信網など）のサイバーセキュリティ保護における連邦政府の役割を強化する。
Protecting privacy and sensitive data	プライバシー・機密データの防御
9. Improve federal efforts to protect privacy and sensitive data.	9. プライバシーと機密データを保護するための連邦政府の取り組みを改善する。
10. Appropriately limit the collection and use of personal information and ensure that it is obtained with appropriate knowledge or consent.	10. 個人情報の収集と利用を適切に制限し、適切な知識または同意を得た上で取得されるようにする。

さて、発表とブログ...

● GAO

・2024.06.13 High-Risk Series:Urgent Action Needed to Address Critical Cybersecurity Challenges Facing the Nation

High-Risk Series:Urgent Action Needed to Address Critical Cybersecurity Challenges Facing the Nation	高リスクシリーズ：国家が直面するサイバーセキュリティの重要課題に対処するために緊急の行動が必要である
GAO-24-107231	GAO-24-107231
Fast Facts	速報
Federal IT systems and the nation's critical infrastructure are often under threat. Federal agencies reported over 30,000 IT security incidents in FY 2022.	連邦政府のITシステムと国家の重要インフラは、しばしば脅威にさらされている。連邦政府機関は2022年度に3万件を超えるITセキュリティ・インシデントを報告した。
We reported on the government's 4 major cybersecurity challenges:	我々は政府の4つの主要なサイバーセキュリティの課題について報告した：
・Establishing a comprehensive cybersecurity strategy and performing effective oversight	・包括的なサイバーセキュリティ戦略の確立と効果的な監視の実施
・Securing federal systems and information	・連邦政府のシステムと情報の保護
・Protecting the cybersecurity of critical infrastructure	・重要インフラのサイバーセキュリティ防御
・Protecting privacy and sensitive data	・プライバシーと機密データの防御
Since 2010, we've made 1,610 recommendations to address issues in these areas. Federal agencies have implemented 1,043 of our recommendations, but 567 remain unimplemented as of May 2024.	2010年以来、我々はこれらの分野の問題に対処するために1,610件の勧告を行ってきた。連邦政府機関は勧告のうち1,043件を実施したが、2024年5月現在、567件が未実施のままである。
Highlights	ハイライト
What GAO Found	GAOが発見したこと
Risks to our nation's essential technology systems are increasing. Threats to these systems can come from a variety of sources and vary in terms of the types and capabilities of the actors, their willingness to act, and their motives. Federal agencies reported 30,659 information security incidents to the Department of Homeland Security's United States Computer Emergency Readiness Team in fiscal year 2022. Such attacks could result in serious harm to human safety, national security, the environment, and the economy.	わが国の基幹技術システムに対するリスクは増大している。これらのシステムに対する脅威は様々なソースから発生し、脅威行為者のタイプや能力、行動意欲、動機も様々である。連邦政府機関は2022会計年度に、国土安全保障省の米国コンピュータ緊急対応チームに30,659件の情報セキュリティ・インシデントを報告した。このような攻撃は、人間の安全、国家安全保障、環境、経済に深刻な被害をもたらす可能性がある。
Concerted action among the federal government and its nonfederal partners is critical to mitigating the risks posted by cyber-based threats. Recognizing the growing threat, the federal government urgently needs to take action to address the four major cybersecurity challenges and 10 associated critical actions (see figure).	サイバー脅威がもたらすリスクを低減するためには、連邦政府と連邦政府以外のパートナーとの協調行動が不可欠である。増大する脅威をガバナンスで認識し、連邦政府はサイバーセキュリティに関する4つの主要な課題と、それに関連する10の重要なアクションに取り組むための行動を緊急にとる必要がある（図参照）。
Figure: Four Major Cybersecurity Challenges and 10 Associated Critical Actions	図：サイバーセキュリティの4大課題と関連する10の重要行動

Since 2010, GAO has made 1,610 recommendations in public reports that address the four cybersecurity challenge areas. As of May 2024, federal agencies had implemented 1,043 of these recommendations; 567 remain unimplemented. Until these recommendations are fully implemented, federal agencies will be limited in their ability to:	2010年以来、GAOは4つのサイバーセキュリティの課題分野に取り組む1,610件の勧告を公開報告書で行ってきた。2024年5月現在、連邦政府機関はこれらの勧告のうち1,043件を実施しているが、567件は未実施のままである。これらの勧告が完全に実施されるまで、連邦政府機関は以下の能力に制約を受けることになる：
provide effective oversight of critical government-wide initiatives, mitigate global supply chain risks, address challenges with cybersecurity workforce management, and better ensure the security of emerging technologies;	政府全体の重要なイニシアチブを効果的に監督し、グローバル・サプライチェーンのリスクを軽減し、サイバーセキュリティ要員マネジメントの課題に対処し、新興技術のセキュリティをより確実にする；
improve implementation of government-wide cybersecurity initiatives, address weaknesses in federal agency information security programs, and enhance the federal response to cyber incidents;	政府全体のサイバーセキュリティ・イニシアチブの実施を改善し、連邦政府機関の情報セキュリティ・プログラムの弱点に対処し、サイバーインシデントへの連邦政府の対応を強化する；
mitigate cybersecurity risks for key critical infrastructure systems and their data; and	主要な重要インフラ・システムとそのデータのサイバーセキュリティ・リスクを低減する。
protect private and sensitive data entrusted to them.	個人情報や機密データを保護する。
Why GAO Did This Study	GAOがこの調査を行った理由
Federal agencies and the nation's critical infrastructures depend on technology systems to carry out fundamental operations and to process, maintain, and report vital information. The security of these systems and data is also important to safeguarding individual privacy and protecting the nation's security, prosperity, and well-being.	連邦政府機関と国家の重要なインフラは、基本的な業務を遂行し、重要な情報を処理、維持、報告するための技術システムに依存している。これらのシステムとデータのセキュリティは、個人のプライバシーを守り、国家の安全、繁栄、幸福を守るためにも重要である。
GAO first designated information security as a government-wide High-Risk area in 1997. This was expanded to include protecting the cybersecurity of critical infrastructure in 2003 and the privacy of personally identifiable information in 2015.	GAOは1997年に情報セキュリティを政府全体のハイリスク分野として初めて指定した。2003年には重要インフラのサイバーセキュリティの保護、2015年には個人を特定できる情報のプライバシーの保護に拡大された。
In 2018, GAO reported that the federal government needed to address four major cybersecurity challenges: (1) establishing a comprehensive cybersecurity strategy and performing effective oversight, (2) securing federal systems and information, (3) protecting the cybersecurity of critical infrastructure, and (4) protecting privacy and sensitive data. Within these four challenges are 10 actions essential to successfully dealing with the serious cybersecurity threats facing the nation.	2018年、GAOは連邦政府が4つの主要なサイバーセキュリティの課題に取り組む必要があると報告した：(1)包括的なサイバーセキュリティ戦略の確立と効果的な監視の実施、(2)連邦政府のシステムと情報の保護、(3)重要インフラのサイバーセキュリティの保護、(4)プライバシーと機密データの保護。これら4つの課題の中には、国家が直面する深刻なサイバーセキュリティの脅威にうまく対処するために不可欠な10の行動が含まれている。
GAO's objective was to describe the challenges facing the federal government in ensuring the cybersecurity of the nation and the progress it has made in addressing these challenges. To do so, GAO identified its recent public reports related to each challenge and summarized relevant findings from this work. GAO also determined the implementation status of relevant recommendations made in these reports. Further, GAO identified its ongoing and upcoming work covering each of the 10 critical actions needed to address the four major cybersecurity challenges.	GAOの目的は、国のサイバーセキュリティを確保する上で連邦政府が直面しているガバナンスの課題と、これらの課題への取り組みの進捗状況を説明することであった。そのためにGAOは、各課題に関連する最近の公開報告書を特定し、この作業から得られた関連所見を要約した。GAOはまた、これらの報告書でなされた関連勧告の実施状況も把握した。さらにGAOは、4つの主要なサイバーセキュリティの課題に対処するために必要な10の重要な行動のそれぞれについて、現在進行中および今後の作業を特定した。

・[PDF] Highlights Page

Why GAO Did This Study	GAOがこの調査を行った理由
Federal agencies and the nation's critical infrastructures depend on technology systems to carry out fundamental operations and to process, maintain, and report vital information. The security of these systems and data is also important to safeguarding individual privacy and protecting the nation's security, prosperity, and well-being.	連邦政府機関と国家の重要なインフラは、基本的な業務を遂行し、重要な情報を処理、維持、報告するための技術システムに依存している。これらのシステムとデータのセキュリティは、個人のプライバシーを守り、国家の安全、繁栄、幸福を守るためにも重要である。
GAO first designated information security as a government-wide High-Risk area in 1997. This was expanded to include protecting the cybersecurity of critical infrastructure in 2003 and the privacy of personally identifiable information in 2015.	GAOは1997年に情報セキュリティを政府全体のハイリスク分野として初めて指定した。2003年には重要インフラのサイバーセキュリティの保護、2015年には個人を特定できる情報のプライバシーの保護に拡大された。
In 2018, GAO reported that the federal government needed to address four major cybersecurity challenges: (1) establishing a comprehensive cybersecurity strategy and performing effective oversight, (2) securing federal systems and information, (3) protecting the cybersecurity of critical infrastructure, and (4) protecting privacy and sensitive data. Within these four challenges are 10 actions essential to successfully dealing with the serious cybersecurity threats facing the nation.	2018年、GAOは連邦政府が4つの主要なサイバーセキュリティの課題に取り組む必要があると報告した：(1)包括的なサイバーセキュリティ戦略の確立と効果的な監視の実施、(2)連邦政府のシステムと情報の保護、(3)重要インフラのサイバーセキュリティの保護、(4)プライバシーと機密データの保護。これら4つの課題の中には、国家が直面する深刻なサイバーセキュリティの脅威にうまく対処するために不可欠な10の行動が含まれている。
GAO's objective was to describe the challenges facing the federal government in ensuring the cybersecurity of the nation and the progress it has made in addressing these challenges. To do so, GAO identified its recent public reports related to each challenge and summarized relevant findings from this work. GAO also determined the implementation status of relevant recommendations made in these reports. Further, GAO identified its ongoing and upcoming work covering each of the 10 critical actions needed to address the four major cybersecurity challenges.	GAOの目的は、国のサイバーセキュリティを確保する上で連邦政府が直面しているガバナンスの課題と、これらの課題への取り組みの進捗状況を説明することであった。そのためにGAOは、各課題に関連する最近の公開報告書を特定し、この作業から得られた関連所見を要約した。GAOはまた、これらの報告書でなされた関連勧告の実施状況も把握した。さらにGAOは、4つの主要なサイバーセキュリティの課題に対処するために必要な10の重要な行動のそれぞれについて、現在進行中および今後の作業を特定した。
For more information, contact Marisol Cruz Cain at (202) 512-5017 or cruzcainm@gao.gov.	詳細については、Marisol Cruz Cain 電話：(202) 512-5017 または cruzcainm@gao.gov まで。
HIGH-RISK SERIES	ハイリスクシリーズ
Urgent Action Needed to Address Critical Cybersecurity Challenges Facing the Nation	国家が直面するサイバーセキュリティの重要課題に対処するための緊急行動が必要である。
Risks to our nation’s essential technology systems are increasing. Threats to these systems can come from a variety of sources and vary in terms of the types and capabilities of the actors, their willingness to act, and their motives. Federal agencies reported 30,659 information security incidents to the Department of Homeland Security’s United States Computer Emergency Readiness Team in fiscal year 2022. Such attacks could result in serious harm to human safety, national security, the environment, and the economy. Concerted action among the federal government and its nonfederal partners is critical to mitigating the risks posted by cyber-based threats. Recognizing the growing threat, the federal government urgently needs to take action to address the four major cybersecurity challenges and 10 associated critical actions (see figure 1).	わが国の基幹技術システムに対するリスクは増大している。これらのシステムに対する脅威は、さまざまなソースからもたらされる可能性があり、脅威行為者のタイプや能力、行動意欲、動機もさまざまである。連邦政府機関は2022会計年度に、国土安全保障省の米国コンピュータ緊急対応チームに30,659件の情報セキュリティ・インシデントを報告した。このような攻撃は、人間の安全、国家安全保障、環境、経済に深刻な被害をもたらす可能性がある。サイバー脅威がもたらすリスクを低減するためには、連邦政府と連邦政府以外のパートナーとの協調行動が不可欠である。脅威の拡大をガバナンスで認識している連邦政府は、サイバーセキュリティの4大課題とそれに関連する10の重要なアクションに取り組むための行動を緊急に取る必要がある（図1を参照）。
Figure 1: Four Major Cybersecurity Challenges and 10 Associated Critical Actions	図1：サイバーセキュリティの4大課題と関連する10の重要行動

Since 2010, GAO has made 1,610 recommendations in public reports that address the four cybersecurity challenge areas. As of May 2024, federal agencies had implemented 1,043 of these recommendations; 567 remain unimplemented. Until these recommendations are fully implemented, the federal government will be hindered in ensuring the security of federal systems and critical infrastructure and the privacy of sensitive data. This increases the risk that the nation will be unprepared to respond to the cyber threats that can cause serious damage to public safety, national security, the environment, and economic well-being.	2010年以来、GAOはサイバーセキュリティの4つの課題分野に取り組む1,610件の勧告を公開報告書で行ってきた。2024年5月現在、連邦政府機関はこれらの勧告のうち1,043件を実施しているが、567件は未実施のままである。これらの勧告が完全に実施されるまで、連邦政府は連邦システムおよび重要インフラのセキュリティと機密データのプライバシーの確保に支障をきたすだろう。これは、公共の安全、国家安全保障、環境、経済的福利に深刻な損害を与えうるサイバー脅威に対応する準備ができていないというリスクを増大させる。
Challenge 1:	課題 1：
Establishing a comprehensive cybersecurity strategy and performing effective oversight	包括的なサイバーセキュリティ戦略を確立し、効果的な監視を行う。
170 of 396 recommendations have NOT been implemented (as of May 2024)	396の勧告のうち170が未実施（2024年5月現在）
The White House, through the Office of the National Cyber Director, has taken important steps in providing cybersecurity leadership, including developing and publicly releasing the National Cybersecurity Strategy and its accompanying implementation plan. However, in February 2024, GAO reported that the strategy and implementation plan addressed some, but not all, of the desirable characteristics of a national strategy. In particular, the strategy and implementation plan did not fully incorporate outcome-oriented performance measures and estimated resources and costs.	ホワイトハウスは、国家サイバー長官室を通じて、国家サイバーセキュリティ戦略とそれに付随する実施計画を策定・公表するなど、サイバーセキュリティのリーダーシップを発揮する上で重要なステップを踏んできた。しかし、2024年2月、GAOは、戦略と実施計画は国家戦略の望ましい特性の全てではないが、一部に対処していると報告した。特に、戦略と実施計画には、成果志向のパフォーマンス指標と、リソースとコストの見積もりが十分に盛り込まれていなかった。
Additionally, the federal government needs to take actions to perform effective oversight, including monitoring the global supply chain, ensuring a highly skilled cyber workforce, and addressing risks associated with emerging technologies, such as artificial intelligence (AI). For example:	さらに連邦政府は、グローバル・サプライチェーンの監視、高度なスキルを持つサイバー人材の確保、人工知能（AI）などの新技術に関連するリスクへの対応など、効果的な監視を行うための行動をとる必要がある。例えば、次のようなことだ：
• Emerging threats in the supply chain can put federal agencies, including the Department of Defense (DOD), at risk. GAO’s 2023 report showed that DOD had addressed four and partially addressed three practices for managing supply chain risk. However, DOD has not yet implemented GAO’s three recommendations on the partially addressed practices.	・サプライチェーンにおける新たな脅威は、国防総省を含む連邦政府機関をリスクにさらす可能性がある。GAOの2023年報告書によると、DODはサプライチェーン・リスクマネジメントのための4つのプラクティスに取り組み、3つのプラクティスには部分的に取り組んでいた。しかし、DODは、部分的に対処したプラクティスに関するGAOの3つの勧告をまだ実施していない。
• Regarding the cyber workforce, in July 2023 GAO reported that the National Institute of Standards and Technology (NIST) had not fully addressed nine key performance assessment practices in its efforts to strengthen cybersecurity education, training, and workforce development. GAO’s recommendations to fully address these practices have not yet been implemented.	・サイバー人材に関しては、2023年7月にGAOは、国立標準技術研究所（NIST）がサイバーセキュリティの教育、訓練、人材育成を強化する取り組みにおいて、9つの主要なパフォーマンス・アセスメント・プラクティスに完全に対処していないと報告した。これらのプラクティスに完全に対処するためのGAOの勧告は、まだ実施されていない。
• GAO’s 2023 government-wide report on AI revealed that 20 federal agencies reported a total of about 1,200 current and planned use cases—specific challenges or opportunities that AI may solve. However, many agencies had not implemented AI requirements, such as preparing an inventory on AI use. GAO made 35 recommendations to address this; however, none of these have yet been implemented.	・AIに関するGAOの2023年政府全体報告書では、20の連邦政府機関が合計約1,200の現在および計画中のユースケースを報告し、AIが解決する可能性のある特定の課題や機会を明らかにした。しかし、多くの機関は、AI利用に関するインベントリーの作成など、AIの要件を実施していなかった。GAOはこれに対処するために35の勧告を行ったが、いずれもまだ実施されていない。
Challenge 2:	課題2：
Securing federal systems and information	連邦政府のシステムと情報の保護
221 of 839 recommendations have NOT been implemented (as of May 2024)	839の勧告のうち221が未実施（2024年5月現在）
GAO has found that agencies remain limited in their ability to improve implementation of government-wide cybersecurity initiatives, address weaknesses in federal agency information security programs, and enhance the federal response to cyber incidents. For example:	GAOは、政府全体のサイバーセキュリティ・イニシアチブの実施を改善し、連邦政府機関の情報セキュリティ・プログラムの弱点に対処し、サイバーインシデントへの連邦政府の対応を強化する能力において、政府機関が依然として制限されていることを明らかにした。例えば
• In January 2024, GAO reported that Inspectors General at 15 of the 23 civilian agencies subject to the Chief Financial Officers Act of 1990 found their agencies’ information security programs to be ineffective. Out of the 23 agencies, no more than eight received an effective rating in any given year over the last 6 years of reporting (fiscal years 2017 through 2022).	・2024年1月、GAOは、1990年最高財務責任者法（Chief Financial Officers Act of 1990）の対象となる23の民間機関のうち15の監察官室が、各機関の情報セキュリティ・プログラムが効果的でないことを発見したと報告した。23機関のうち、過去6年間（2017会計年度から2022会計年度）の報告で、ある年に効果的と評価されたのは8機関以下であった。
• GAO’s May 2023 report highlighted that four selected agencies (the Departments of Agriculture, Homeland Security, Labor, and the Treasury) varied in their efforts to implement key security practices for cloud services, which provide on-demand access to shared resources such as networks, servers, and data storage. The practices included having a plan to respond to incidents and continuous monitoring of system security and privacy. GAO made 35 recommendations to the selected agencies, most of which have not been implemented.	・GAOの2023年5月の報告書では、選定された4つの機関（農務省、国土安全保障省、労働省、財務省）が、ネットワーク、サーバー、データストレージなどの共有リソースへのオンデマンドアクセスを提供するクラウドサービスに対して、主要なセキュリティ対策を実施する取り組みにばらつきがあることが強調された。対応には、インシデントへの対応計画の策定や、システムのセキュリティとプライバシーの継続的なモニタリングなどが含まれる。GAOは選定された機関に対し35件の勧告を行ったが、そのほとんどは実施されていない。
In December 2023, GAO reported that 23 federal civilian agencies had made progress in cybersecurity incident response preparedness, but 20 of the 23 agencies had not fully established an event logging capability. A log is a record of the events occurring within an organization’s systems and networks, and maintaining such a record is crucial for responding to incidents. GAO recommended that 19 of the 20 agencies fully implement federal event logging requirements; however, these have not yet been implemented.	2023年12月、GAOは、23の連邦民間機関がサイバーセキュリティ・インシデント対応準備において前進を遂げたが、23機関のうち20機関はイベント・ロギング機能を完全に確立していなかったと報告した。ログは、組織のシステムやネットワーク内で発生したイベントの記録であり、このような記録を維持することは、インシデントに対応する上で極めて重要である。GAOは、20機関のうち19機関に対し、連邦政府のイベント・ロギング要件を完全に実施するよう勧告したが、これらはまだ実施されていない。
Challenge 3:	課題3：
Protecting the cybersecurity of critical infrastructure	重要インフラのサイバーセキュリティの防御
64 of 126 recommendations have NOT been implemented (as of May 2024)	126の勧告のうち64が未実施（2024年5月現在）
The nation’s 16 critical infrastructure sectors provide the essential services that underpin American society (see figure 2).	国の16の重要インフラ部門は、米国社会を支える重要なサービスを提供している（図2を参照）。
Figure 2: The 16 Critical Infrastructure Sectors	図2：16の重要インフラ部門

These sectors rely on electronic systems and data to support their missions, including operational technology, which consists of systems that interact with the physical environment. Attacks on these sectors continue to grow and could result in serious harm to human safety, national security, the environment, and the economy. For example, in February 2024, a cyberattack on Change Healthcare, a health payment processor, resulting in estimated losses of $874 million and widespread impacts on providers and patient care.	これらの部門は、物理的環境と相互作用するシステムで構成される運用技術を含め、その使命を支える電子システムとデータに依存している。これらの部門に対する攻撃は増加の一途をたどっており、人間の安全、国家安全保障、環境、経済に深刻な被害をもたらす可能性がある。例えば、2024年2月、医療費支払い処理会社のチェンジ・ヘルスケア社に対するサイバー攻撃により、推定8億7,400万ドルの損失が発生し、プロバイダと患者ケアに広範な影響が及んだ。
Other entities have also recognized the ongoing challenges of ensuring the cybersecurity of critical infrastructure. For example, the Cyberspace Solarium Commission has conducted studies of risks to critical infrastructure and recommended, for example, that space systems be designated as critical infrastructure.	他の事業体も、重要インフラのサイバーセキュリティを確保するという継続的な課題を認識している。例えば、サイバー空間委員会は、重要インフラに対するリスクに関する研究を行い、例えば、宇宙システムを重要インフラに指定するよう勧告している。
The administration and federal agencies have taken some steps to address challenges in protecting the cybersecurity of critical infrastructure. For example, in April 2024, the White House issued the National Security Memorandum on Critical Infrastructure Security and Resilience (NSM-22), which describes the approach the federal government will take to protect U.S. infrastructure against threats and hazards. Among other things, the memorandum reaffirms the designation of the existing 16 critical infrastructure sectors, while calling for a periodic evaluation of changes to critical infrastructure sectors. The memorandum also requires the Secretary of Homeland Security to develop a biennial National Risk Management Plan summarizing U.S. government efforts to manage risk to the nation’s critical infrastructure.	政権と連邦政府機関は、重要インフラのサイバーセキュリティ保護における課題に対処するため、いくつかの措置を講じている。例えば、2024年4月、ホワイトハウスは「重要インフラのセキュリティとレジリエンスに関する国家安全保障覚書」（NSM-22）を発表した。この覚書は、米国のインフラを脅威やハザードから保護するために連邦政府が取るべきアプローチを記述したものである。この覚書では、特に、既存の16の重要インフラセクターの指定を再確認するとともに、重要インフラセクターの変更を定期的に評価するよう求めている。同覚書はまた、国土安全保障長官に対し、国家の重要インフラに対するリスクマネジメントのための米国政府の取り組みをまとめた国家リスクマネジメント計画を2年ごとに策定するよう求めている。
However, GAO has continued to report shortcomings in efforts to ensure the security of key critical infrastructure sectors. For example:	しかし、GAOは、重要インフラ部門のセキュリティ確保に向けた取り組みには不十分な点があると報告し続けている。例えば、以下のようなものである：
• In January 2024, GAO reported that the federal agencies responsible for the four critical infrastructure sectors that reported almost half of all ransomware attacks—critical manufacturing, energy, healthcare and public health, and transportation systems—had not determined the extent of their adoption of leading practices to address ransomware. GAO recommended that these agencies determine their respective sector’s adoption of cybersecurity practices and assess the effectiveness of federal support. None of these recommendations have been implemented.	・2024年1月、GAOは、ランサムウェア攻撃のほぼ半数が報告された4つの重要インフラ部門（重要な製造業、エネルギー、医療・公衆衛生、輸送システム）を担当する連邦政府機関が、ランサムウェアに対処するための先進的なプラクティスの採用範囲を決定していないと報告した。GAOはこれらの機関に対し、各セクターのサイバーセキュリティ慣行の採用状況を把握し、連邦政府の支援の有効性を評価するよう勧告した。これらの勧告はいずれも実施されていない。
• GAO’s March 2024 report identified challenges in collaboration between the Cybersecurity and Infrastructure Security Agency (CISA) and other federal agencies with responsibilities for mitigating cyber risks to operational technology in their sectors. The challenges were related to ineffective information sharing and a lack of sharing processes. GAO recommended that CISA take steps to address these challenges; however, the recommendations have not yet been implemented.	・GAOの2024年3月の報告書では、サイバーセキュリティ・インフラセキュリティ庁（CISA）と、各分野の運用技術に対するサイバーリスクの軽減を担当する他の連邦政府機関との連携における課題が指摘された。その課題は、非効率な情報共有と共有プロセスの欠如に関連していた。GAOはCISAに対し、これらの課題に対処するための措置を講じるよう勧告したが、勧告はまだ実施されていない。
• In December 2023, GAO highlighted challenges identified by nonfederal entities in the healthcare sector in accessing federal support to address cybersecurity vulnerabilities in network-connected medical devices. GAO recommended that CISA and the Food and Drug Administration update existing agreements to better facilitate collaboration on these issues. However, the recommendations have not yet been implemented.	・2023年12月、GAOは、ネットワークに接続された医療機器のサイバーセキュリティ脆弱性に対処するための連邦政府の支援にアクセスする際に、ヘルスケア分野の連邦政府以外の事業体が特定した課題を取り上げた。GAOは、CISAと食品医薬品局に対し、これらの問題に関する協力をより円滑に進めるため、既存の協定を更新するよう勧告した。しかし、この勧告はまだ実施されていない。
Challenge 4:	課題4：
Protecting privacy and sensitive data	プライバシー・機密データの防御
112 of 249 recommendations have NOT been implemented (as of May 2024)	249の勧告のうち112が未実施（2024年5月現在）
The protection of personal privacy has become a more significant issue in recent years. It is essential that both private and public entities take effective measures to safeguard the sensitive and personal information collected from American citizens. However, incidents threatening the security of this information continue to affect private and public entities. For example, in March 2024, AT&T reported that some of its data, which included sensitive personal information such as Social Security numbers and passcodes, had been released onto the dark web. Analysis revealed that this incident had impacted 7.6 million current AT&T account holders and approximately 65.4 million former account holders.	個人のプライバシー保護は、近年より重要な問題になっている。民間事業体も公的事業体も、米国民から収集した機微で個人的な情報を保護するための効果的な対策を講じることが必須である。しかし、こうした情報のセキュリティを脅かすインシデントが、民間および公的事業体に影響を与え続けている。例えば、2024年3月、AT&Tは、社会保障番号やパスコードなどの機密個人情報を含むデータの一部がダークウェブに流出したことを報告した。分析の結果、このインシデントがAT&Tの現アカウント保有者760万人、元アカウント保有者約6540万人に影響を与えたことが明らかになった。
GAO has also found that federal agencies are limited in their ability to protect private and sensitive data entrusted to them. For example:	GAOはまた、連邦政府機関が預託された個人情報や機密データを保護する能力に限界があることも明らかにしている。例えば
• In August 2023, GAO reported that the Internal Revenue Service’s (IRS) monitoring of efforts to prevent contractors from gaining unauthorized access to sensitive taxpayer information was limited by its incomplete inventory of systems that process or store this information. GAO recommended that IRS maintain a comprehensive inventory of its systems that process or store taxpayer information; however, the recommendation has not been implemented.	・2023年8月、GAOは、内国歳入庁（IRS）の納税者の機密情報への不正アクセスを防止する努力の監視は、この情報を処理または保存するシステムの不完全なインベントリによって制限されていると報告した。GAOはIRSに対し、納税者情報を処理または保存するシステムの包括的なインベントリーを維持するよう勧告したが、この勧告は実施されていない。
• GAO’s September 2022 report highlighted the risks that the increasing collection and use of personal information pose to consumer privacy and protection. For example, companies collect personal and transactional data to create consumer scores, which businesses and other entities use to predict how consumers will behave in the future. The report further noted that there remains no comprehensive U.S. internet privacy law governing private companies’ collection, use, or sale of internet users’ data, leaving consumers with limited assurance that their privacy will be protected.	・GAOの2022年9月の報告書は,個人情報の収集と利用の増加が消費者のプライバシーと保護にもたらすリスクを強調した。例えば,企業は個人データや取引データを収集して消費者スコアを作成し,企業や他の事業体はそれを使って消費者が将来どのように行動するかを予測している。同報告書はさらに,民間企業によるインターネット・ユーザーのデータ収集,利用,販売についてガバナンスする包括的な米国のインターネット・プライバシー法がまだ存在しないため,消費者のプライバシーが保護される保証が限られていると指摘した。
Federal government’s progress in addressing GAO’s recommendations for the four major cybersecurity challenges	サイバーセキュリティの4大課題に対するGAOの提言に対する政府の進捗状況
GAO has made 35% 1,610 recommendations in public reports to each of the four cybersecurity challenge areas (since 2010).	GAOは、サイバーセキュリティの4つの課題分野それぞれに対して、35% 1,610件の勧告を公開報告書で行っている（2010年以降）。
Federal government’s progress in addressing GAO’s recommendations for the four major cybersecurity challenges.	4大サイバーセキュリティ課題に対するGAOの提言に対する連邦政府の取り組み状況
While federal agencies have made progress in improving the security of federal and critical infrastructure IT systems, significant effort remains to address the cybersecurity challenges facing the nation. Since 2010, agencies have implemented 1,043 of the recommendations that GAO has made related to the four cybersecurity challenges. However, certain critical actions remain outstanding. For example, the federal government needs to fully establish the national cybersecurity strategy and strengthen efforts to protect the cybersecurity of critical infrastructure. Until these recommendations are fully implemented, federal agencies will be limited in their ability to:	連邦国家機関は、連邦政府および重要インフラのITシステムの安全保障の改善において前進を遂げたが、国家が直面するサイバーセキュリティの課題に対処するための多大な努力が残されている。2010年以降、4つのサイバーセキュリティの課題に関連してGAOが行った勧告のうち、1,043件を各省庁が実施している。しかし、一部の重要な対策は未解決のままである。例えば、連邦政府は国家サイバーセキュリティ戦略を完全に確立し、重要インフラのサイバーセキュリティを保護する取り組みを強化する必要がある。これらの提言が完全に実施されるまでは、連邦政府機関は以下の能力に制限を受けることになる：
• provide effective oversight of critical government-wide initiatives, mitigate global supply chain risks, address challenges with cybersecurity workforce management, and better ensure the security of emerging technologies;	・政府全体の重要イニシアチブを効果的に監督し、グローバルなサプライチェーンマネジメントのリスクを軽減し、サイバーセキュリティ人材マネジメントの課題に対処し、新興技術のセキュリティをより確実にする；
• improve implementation of government-wide cybersecurity initiatives, address weaknesses in federal agency information security programs, and enhance the federal response to cyber incidents;	・政府全体のサイバーセキュリティ・イニシアチブの実施を改善し、連邦政府機関の情報セキュリティ・プログラムの弱点に対処し、サイバーインシデントへの連邦政府の対応を強化する；
• mitigate cybersecurity risks for key critical infrastructure systems and their data; and	・主要な重要インフラ・システムとそのデータのサイバーセキュリティ・リスクを低減する。
• protect private and sensitive data entrusted to them.	・個人情報や機密データを保護する。

報告書

・[PDF] Full Report

ブログ...

・2024.06.13

What are the Biggest Challenges to Federal Cybersecurity? (High Risk Update)	連邦サイバーセキュリティの最大の課題は何か？(ハイリスク・アップデート)
Cyberattacks have the power to bring our daily lives to a screeching halt. Nearly everything we use to work, play, and live relies on computer systems that are vulnerable to attacks. For example, an attack on an electrical grid could leave millions without power during hot summer months. An attack on transportation systems could bring traffic to a standstill. If our financial institutions are attacked, bank accounts could be drained and important personal financial records shared online. And if our communications are disrupted at the same time, you could be left with no way to report an emergency or get help.	サイバー攻撃は、私たちの日常生活を急停止させる力を持っている。私たちが仕事、遊び、生活に使っているほとんどすべてのものは、攻撃に対して脆弱性のあるコンピューター・システムに依存している。例えば、電力網が攻撃されれば、暑い夏の間、何百万人もの人々が停電に見舞われる可能性がある。交通システムへの攻撃は、交通を停止させる可能性がある。金融機関が攻撃を受ければ、銀行口座から資金が引き出され、個人の重要な財務記録がオンラインで共有される可能性がある。同時にコミュニケーションも途絶えれば、緊急事態を報告することも助けを求めることもできなくなる。
Malicious cyberattacks on the federal government and the nation’s critical infrastructures, like those described above, are growing in number, impact, and sophistication. Today’s WatchBlog post looks at our new report—an update of our High Risk designation for cybersecurity—about the four major challenges facing federal efforts to protect against attacks.	上記のような連邦政府と国家の重要インフラに対する悪質なサイバー攻撃は、その数、影響力、巧妙さを増している。本日のWatchBlogでは、サイバーセキュリティに関するハイリスク指定の更新として、連邦政府による攻撃防御の取り組みが直面している4つの主要な課題について、我々の新しいレポートを紹介する。
Challenge 1: National Cybersecurity Strategy isn’t as strong as it could be	課題1：国家サイバーセキュリティ戦略はそれほど強力ではない
Last year, the White House issued a National Cybersecurity Strategy outlining steps the government is taking to address the longstanding cybersecurity challenges facing the country. But how will the government know if its strategy is working? When we looked at the strategy, we found it needed outcome-oriented performance measures for various cybersecurity initiatives.	昨年、ホワイトハウスは国家サイバーセキュリティ戦略を発表し、政府が国が直面する長年のサイバーセキュリティの課題に対処するためのステップを概説した。しかし、政府はその戦略が機能しているかどうかをどのようにして知るのだろうか？私たちがこの戦略を検討したところ、サイバーセキュリティに関するさまざまな取り組みについて、成果志向の成果指標が必要であることがわかった。
In addition, the federal government needs to take action to ensure it is monitoring the global supply chain, confirm it has the highly skilled cyber workforce it needs, and address risk associated with emerging technologies—such as artificial intelligence. The government and the private sector are at risk when emerging threats aren’t addressed.	さらに連邦政府は、グローバル・サプライ・チェーンを確実に監視し、必要とされる高度なスキルを備えたサイバー人材を確保し、人工知能などの新たなテクノロジーに関連するリスクに対処するための措置を講じる必要がある。新たな脅威に対処しない場合、政府と民間部門はリスクにさらされる。
We saw such an attack around January 2019 after a network breach at SolarWinds. The Texas-based network management software company was widely used by the government to monitor network activities and manage network devices on federal systems. A Russian-led attack on SolarWinds resulted in one of the most widespread and sophisticated hacking campaigns ever conducted against the U.S.	2019年1月頃、ソーラーウィンズ社でネットワーク侵害が発生し、そのような攻撃が見られた。テキサスに本社を置くこのネットワーク管理ソフトウェア会社は、政府によってネットワーク活動の監視や連邦政府システム上のネットワークデバイスの管理に広く利用されていた。ロシア主導によるソーラーウィンズへの攻撃は、米国に対してこれまでに行われた中で最も広範かつ洗練されたハッキングキャンペーンの1つとなった。
We’ve made nearly 400 recommendations to strengthen the National Cybersecurity Strategy and agencies’ ability to perform effective oversight. As of May, 170 of our recommendations have not been acted on.	我々は、国家サイバーセキュリティ戦略と各省庁が効果的な監視を行う能力を強化するために、400近くの勧告を行ってきた。5月現在、我々の勧告のうち170件はまだ実行されていない。
Challenge 2: Agencies remain limited in their ability to improve the security of federal systems and information	課題2：連邦政府のシステムと情報のセキュリティを改善する能力が、依然として制限されている。
Federal agencies rely extensively on computerized information systems to conduct day-to-day business, including interactions with the public. Many of these systems house important taxpayer information—including Social Security numbers, income information, tax filing information, loan data, and more.	連邦政府機関は、一般市民とのやり取りを含め、日々の業務を遂行するためにコンピュータ化された情報システムに広く依存している。これらのシステムの多くには、社会保障番号、所得情報、確定申告情報、ローンデータなど、重要な納税者情報が格納されている。
Ineffective security controls could not only leave these systems vulnerable to attack, but also delay the response to attacks. For example, in December 2021, a vulnerability in a piece of open-source software known as “Log4j” was reported. Log4j is used to collect and manage information about system activities and is used in millions of federal and private information systems. A 2013 update of Log4j was intended to make data storage and retrieval easier. But in November 2021 (8 years later), a security engineer reported a vulnerability in the feature. Federal agencies were directed to address this vulnerability. Even though there hasn’t been a known Log4j-based attack on federal IT, the weakness was deemed an “endemic vulnerability”—meaning that vulnerabilities will remain in systems for years despite actions to address them.	効果的でないセキュリティ管理は、これらのシステムを攻撃に対して脆弱なままにしておくだけでなく、攻撃への対応を遅らせることにもなりかねない。例えば、2021年12月、「Log4j」として知られるオープンソースソフトウェアの脆弱性が報告された。Log4jはシステム活動に関する情報を収集・管理するために使用され、何百万もの連邦政府や民間の情報システムで使用されている。Log4jの2013年のアップデートは、データの保存と検索をより簡単にすることを意図したものだった。しかし2021年11月（それから8年後）、あるセキュリティ・エンジニアがこの機能の脆弱性を報告した。連邦政府機関はこの脆弱性に対処するよう指示された。連邦政府ITに対するLog4jベースの攻撃は知られていないにもかかわらず、この脆弱性は「常在脆弱性」、つまり脆弱性への対処にもかかわらず脆弱性が何年もシステムに残るものとみなされた。
We’ve reported on federal efforts to help agencies address weaknesses like these so that systems and information are more secure. We’ve made more than 800 recommendations to improve efforts. But 221 of these recommendations have not been implemented, as of May. Doing so can greatly enhance the federal response to cyber incidents.	われわれは、連邦政府機関がこのような脆弱性に対処し、システムや情報の安全性を高めるための連邦政府の取り組みについて報告してきた。我々は、取り組みを改善するために800以上の勧告を行った。しかし、これらの勧告のうち221件は、5月の時点でまだ実施されていない。これを実施することで、サイバーインシデントに対する連邦政府の対応を大幅に強化することができる。
Challenge 3: Critical infrastructure sectors remain vulnerable to disruptive attacks	課題3：重要インフラ部門は依然として破壊的攻撃に対して脆弱である。
A ransomware attack on Change Healthcare, a health payment processor, made headlines. The attack shut down operations, resulting in nearly $874 million in financial losses and widespread disruptions for providers and patient care. Medical procedures were delayed and patients were unable to access medications.	医療費決済処理会社のチェンジ・ヘルスケアに対するランサムウェア攻撃が話題になった。この攻撃により業務が停止し、約8億7400万ドルの金銭的損失が発生したほか、プロバイダや患者のケアに広範な混乱が生じた。医療処置は遅れ、患者は薬にアクセスできなかった。
Health care is just one of our 16 critical infrastructure sectors that is vulnerable to cyberattacks. All of these sectors rely heavily on IT systems to operate.	医療は、サイバー攻撃に脆弱な16の重要インフラ部門のひとつに過ぎない。これらのセクターはすべて、ITシステムに大きく依存している。
Attacks on critical infrastructure sectors continue to grow and could seriously harm human safety, national security, the environment, and the economy. The federal government has taken some steps to address the challenges with protecting these systems from cyberattacks. But we see persistent shortcomings in these efforts. For example:	重要インフラ部門への攻撃は増加の一途をたどっており、人間の安全、国家安全保障、環境、経済に深刻な被害を与える可能性がある。連邦政府は、これらのシステムをサイバー攻撃から守るという課題に対処するため、いくつかの措置を講じてきた。しかし、こうした取り組みには持続的な欠点が見られる。例えば、次のようなことだ：
・In January, we reported that the federal agencies responsible for the four sectors that have reported almost half of all ransomware attacks—health care and public health, critical manufacturing, energy, and transportation—had not determined whether their actions to prevent future attacks include leading practices.	1月、我々は、ランサムウェア攻撃のほぼ半分が報告されている4つのセクター（ヘルスケアと公衆衛生、重要な製造業、エネルギー、輸送）を担当する連邦政府機関が、将来の攻撃を防止するための対策がリーディング・プラクティスを含むかどうかを決定していないことを報告した。
・In March, we reported on the challenges agencies face when collaborating with the Cybersecurity and Infrastructure Security Agency (CISA) on mitigating cyber risks in their sectors. These challenges included sharing information about potential threats.	我々は3月、サイバーセキュリティ・インフラセキュリティ庁（CISA）と協力し、各分野におけるサイバーリスクの低減に取り組む際に各機関が直面する課題について報告した。これらの課題には、潜在的な脅威に関する情報の共有も含まれていた。
・Last December, we highlighted challenges reported by nonfederal entities in accessing the support they need from the federal government to address vulnerabilities.	昨年12月には、連邦政府以外の事業体が脆弱性に対処するために連邦政府から必要な支援を受ける際に報告された課題を取り上げた。
We’ve made 126 recommendations to better protect the cybersecurity of critical infrastructure. Action is still needed on 64 of them.	我々は、重要インフラのサイバーセキュリティをより良く保護するために、126件の提言を行った。そのうち64件については、まだ対策が必要である。
Challenge 4: Efforts to protect your personal privacy face limitations	課題4：個人のプライバシーを保護する努力は限界に直面している
In March, AT&T reported that some of its data—which included sensitive personal information such as Social Security numbers and passcodes—had been released onto the dark web. As many as 7.6 million current and approximately 65.4 million former AT&T account holders were affected.	3月、AT&Tは、社会保障番号やパスコードなどの機密個人情報を含むデータの一部がダークウェブに流出したことを報告した。現在760万人、元AT&Tのアカウント保有者約6540万人が影響を受けた。
Attacks like these are becoming more common. At the same time, we found that federal agencies are limited in their ability to help prevent and respond to them. In 2022, we reported about the risks posed by the increasing collection and use of personal information from consumers. For example, companies collect personal and transactional data to create consumer scores, which are used to predict how consumers will behave in the future.	このような攻撃はより一般的になってきている。同時に、連邦政府機関の予防や対応には限界があることもわかった。2022年、我々は消費者からの個人情報の収集と利用の増加によってもたらされるリスクについて報告した。例えば、企業は個人データや取引データを収集して消費者スコアを作成し、消費者が将来どのように行動するかを予測するために使用している。
While collection and use of personal data increases, there’s still no comprehensive U.S. internet privacy law about companies’ collection, use, or sale of your data. This leaves consumers like you with limited assurances that your privacy will be protected.	個人データの収集と利用が増加する一方で、企業によるデータの収集、利用、販売に関する包括的な米国のインターネット・プライバシー法はまだ存在しない。このため、あなたのような消費者は、プライバシーが保護されるという限られた保証しか得られない。
Data the government collects about you is also at risk. In August 2023, we reported on how the IRS monitors access to sensitive taxpayer information. We found that IRS didn’t have a comprehensive inventory of the systems that store this information, limiting its ability to protect data.	政府が収集するデータもリスクにさらされている。2023年8月、我々はIRSが納税者の機密情報へのアクセスをどのように監視しているかについて報告した。我々は、IRSがこれらの情報を保存するシステムの包括的なインベントリを持っておらず、データを保護する能力を制限していることを発見した。
On the topic of protecting privacy and sensitive data, we have made nearly 250 recommendations—112 still require action.	プライバシーと機密データ保護に関して、我々は250近くの勧告を行った。
What needs to happen next?	次に何が必要か？
Our new report provides an update on the federal government’s progress with addressing cybersecurity challenges and our recommendations to tackle them. In total, we’ve identified 567 recommendations that still need action.	我々の新しい報告書は、サイバーセキュリティの課題に対する連邦政府の取り組みの進捗状況と、それらに取り組むための我々の提言について最新情報を提供するものである。合計で567の勧告を特定したが、まだ対策が必要である。
Until actions are taken and our recommendations are implemented, the federal government, the national critical infrastructure, and the personal information of U.S. citizens will be increasingly susceptible to a multitude of cyber-related threats.	対策が講じられ、我々の提言が実施されるまでは、連邦政府、国家の重要インフラ、そして米国民の個人情報は、ますます多くのサイバー関連脅威の影響を受けやすくなるだろう。
・GAO’s fact-based, nonpartisan information helps Congress and federal agencies improve government. The WatchBlog lets us contextualize GAO’s work a little more for the public. Check out more of our posts at GAO.gov/blog.	GAOの事実に基づいた超党派の情報は、連邦議会と連邦政府機関のガバナンス改善に役立つ。WatchBlogでは、GAOの仕事を一般向けにもう少し詳しく説明している。GAO.gov/blogで他の投稿をチェックする。

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.05.05 米国 GAO 高リスクシリーズ 2023 すべての分野に完全に対応するためには、進捗を達成するための努力の維持と拡大が必要である (2023.04.20)

・2023.02.10 米国 GAO サイバーセキュリティ高リスクシリーズ

・2021.03.25 U.S. GAO High-Riskシリーズ：連邦政府は主要なサイバーセキュリティの課題に対処するための重要な行動を早急に実施する必要がある

・2021.03.07 U.S. GAO ハイリスクリスト 2021 （サイバーセキュリティはリスクが高まっているという評価のようです...）

・2020.05.17 GAO 重要インフラ保護：国土安全保障省はリスクが高い化学施設のサイバーセキュリティにもっと注意を払え

2024.06.25 01:20 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪, in 監査 / 認証, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in (temp)COVID-19, in 安全保障 | Permalink | Comments (0)
Tweet

IPA デジタル人材育成モデル2023年度版

こんにちは、丸山満彦です。

IPAが、デジタル人材育成モデルを公表していますね...

● IPA

・2024.06.21 デジタル人材育成モデル

デジタルスキル標準の普及により、各企業の実情に沿ったデジタル人材を定義する事例が出ています。
また、教育産業などの取り組みにより、デジタル人材のスキルやマインドを育成する研修なども増加しています。

これらを踏まえつつ、企業でデジタル人材を確保・育成する取り組みが行われていますが、定義と研修以外を含めた確保・育成の全体像は、企業ごとの試行錯誤により進められており、社会全体に共有され顕在知化したとは言えない状況です。

そこで、IPAでは、DXを推進する企業にデジタル人材の確保・育成に関する取り組みの全体像を時系列でインタビューし、その共通性を抽出してモデル化する取り組みを2023年度に行いました。それらを「デジタル人材育成モデル」として公開しています。

とのことです...

・[PDF] デジタル人材育成モデル 2023年度版

デジタル人材の育成というからおかしくなるのだろうと思います。

普通にビジネスをする人が、そのビジネスをするツールとしての情報技術（デジタル技術）を組織としてどのようにうまく活用するのか？という話のように思います。

そう考えると全体を俯瞰して、指揮し、調整をする人が重要となってくるわけです。

これは京都の呉服関係でいうところの悉皆屋に相当するところが重要という感じですかね。。。それぞれの専門職をうまく組み合わせて全体をまとめる...ちなみに悉皆というのは、「ことごとくすべて」ということで、着物のことに関してはすべて悉皆屋にお任せをすれば、あんじょうしてくれます...

なので、会社として最も必要な人材は、悉皆屋さんのような人やね...きっと...

2024.06.25 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in クラウド, in IoT | Permalink | Comments (0)
Tweet

2024.06.24

米国 GenCyber：第2空軍（キースラー基地）とミシシッピ州立大学はサイバーイニシアティブを通じて地元の幼稚園から高校（K-12）の教師を支援

こんにちは、丸山満彦です。

空軍の下士官および非飛行将校のための基本的な軍事および技術訓練を実施する責任を負うアメリカ空軍である第２空軍 (Second Air Force: 2AF) [wikipedia] は、NASが主催するGenCyberというプログラムを通じて、本拠地のキーズラー基地 (Keesler Air Force Base) [wikipedia] のあるミシシッピ州立大学[wikipedia]と協力して地元のK12（幼稚園から高校）までの学校の先生のためのサイバー教育をするようですね...

こういう交流は、ある意味税金の有効活用ですよね...

桂駐屯地（陸自やと思うけど）と京都府立大学が、京都府教育委員会と一緒に教師にサイバー教育する感じ？

● Air Education and Training Command

・2024.06.17 GenCyber: Keesler, MSU empowers local K-12 teachers through cyber initiative

GenCyber: Keesler, MSU empowers local K-12 teachers through cyber initiative	ジェン・サイバーキースラーとミシシッピ州立大学は、サイバー・イニシアチブを通じ、地元の幼稚園から高校までの教師を支援する
KEESLER AIR FORCE BASE, Miss. --	ミシシッピ州キースラー空軍基地。--
Keesler Air Force Base and Mississippi State University partnered to bring the National Security Agency’s GenCyber program to local K-12 teachers for a 5-day cyber camp here, June 3 - 7.	キースラー空軍基地とミシシッピ州立大学は、国家安全保障局の「ジェン・サイバー」プログラムを地元の幼稚園から高校までの教師に提供するため、6月3日から7日までの5日間、同基地でサイバー・キャンプを開催した。
The NSA’s GenCyber program provides multiple cybersecurity experience camps, focused on students, teachers and a combination of both. These camps provide opportunities to gain more experience and increase student diversity in cybersecurity colleges and career readiness pathways at the secondary level.	NSAのGenCyberプログラムは、生徒、教師、そしてその両方の組み合わせに焦点を当てた複数のサイバーセキュリティ体験キャンプを提供している。これらのキャンプは、中等教育レベルのサイバーセキュリティ・カレッジやキャリア準備パスウェイにおいて、より多くの経験を積み、生徒の多様性を高める機会を提供している。
This recent camp facilitated teacher readiness within a learning community to help them learn, develop, and deliver cybersecurity content for the secondary classroom in collaboration with other nationwide initiatives.	この最近のキャンプでは、他の全国的な取り組みと協力して、中等教育向けのサイバーセキュリティ・コンテンツを学び、開発し、提供できるように、学習コミュニティ内で教師の準備を促進した。
“The idea for this camp is to build capacity in teachers able to instruct cybersecurity back in their school districts,” said Shelly Hollis, MSU Director of Center for Cyber Education. “For many years, we’ve taught subjects such as digital citizenship, being safe online and not sharing your password. We wanted to give them an opportunity to go a little bit deeper to learn the real skills behind a cyber career.”	シェリー・ホリス、MSUサイバー教育センター長は次のように語った。「このキャンプは、教師が学区内でサイバーセキュリティを指導できるようにすることを目的としている。長年にわたり、私たちはデジタル・シチズンシップ、オンライン上の安全、パスワードの共有の禁止などを教えてきた。私たちは、サイバーキャリアの背後にある真のスキルを学ぶために、もう少し深く踏み込む機会を与えたかった。」
Nineteen teachers from local school districts learned about cybersecurity essentials: the use of Raspberry Pi, building and programming with VEX Go Robots and creating their own lesson plan they presented to their peers. They also toured tech training career fields where cybersecurity is prominent including the Air Traffic Control MaxSim at the 334th Training Squadron and the 333rd TRS’s Escape room and tunneling lab.	地元の学区から参加した19人の教師たちは、サイバーセキュリティの要点について学んだ。ラズベリー・パイの使用、VEX囲碁ロボットの製作とプログラミング、独自の授業プランの作成などを学び、仲間たちに発表した。また、第334訓練飛行隊の航空管制マックスシムや、第333訓練飛行隊の脱出ルームやトンネル実験室など、サイバーセキュリティが重視される技術訓練分野も見学した。
Aligned with the Mississippi Cyber Initiative and the National Centers of Academic Excellence in Cybersecurity, this collaboration raises cybersecurity awareness and allows for the exchange of the best practices, emerging trends and innovative approaches to cybersecurity education between the installation and local community.	ミシシッピ・サイバー・イニシアチブおよび国立サイバーセキュリティ・センター・オブ・エクセレンスと連携したこの協力は、サイバーセキュリティに対する意識を高め、サイバーセキュリティ教育におけるベストプラクティス、新たなトレンド、革新的なアプローチを、施設と地域社会の間で交換することを可能にする。
“I can't wait to go back and do a whole unit on cybersecurity,” said Kayla Shouse, Prentiss County Career and Technical Computer Science and Engineering teacher. “Being here at Keesler this week has really impacted how I think about the military, cyber warfare and all the jobs that are out here for our students.”	プレンティス郡キャリア・アンド・テクニカル・コンピューター・サイエンス・アンド・エンジニアリング教諭のケイラ・ショウス氏は、「サイバーセキュリティの全単元を教えるのが待ちきれない」と語った。「今週キースラーに来たことで、軍隊やサイバー戦、そして生徒のためにある仕事について考えるきっかけになった」と語った。

NSAが中等教育レベルの生徒と教師にサイバーセキュリティ体験を提供するGenCyberのウェブページ...

● GenCyber

GENCYBER PROGRAM:	GenCyberプログラム
The GenCyber program aligns with the goals of the National Centers of Academic Excellence in Cybersecurity (NCAE-C) program in order to provide awareness of college and career pathway opportunities for secondary students and educators. GenCyber programs are offered in four formats:	GenCyber プログラムは、国立サイバーセキュリティ・センター・オブ・エクセレンス(NCAE-C)プログラムの目標に沿ったもので、中等教育の生徒や教育者に大学進学やキャリアパスの機会を提供することを目的としている。GenCyberプログラムは4つの形式で提供されている：
GenCyber Student Programs	GenCyber学生プログラム
GenCyber Teacher Programs	GenCyber教師プログラム
GenCyber Combination Programs	GenCyberコンビネーションプログラム
GenCyber Student Language Programs	GenCyber学生語学プログラム
To ensure a level playing field for all, GenCyber programs are offered at no cost to student and/or teacher participants.	すべての人が公平に参加できるように、GenCyberプログラムは学生や教師の参加者に無料で提供されている。
GOALS OF GENCYBER ARE TO:	ジェネサイバーの目標は以下の通りである：
Ignite, increase and sustain awareness of secondary cybersecurity content and cybersecurity postsecondary and career opportunities for participants through year-round engagement;	年間を通じて参加者にサイバーセキュリティの中等教育の内容や中等教育修了後の進路についての認識を高め、継続させる；
Increase student diversity in cybersecurity college and career readiness pathways at the secondary level; and	中等教育レベルにおけるサイバーセキュリティの大学進学・職業準備の進路における生徒の多様性を高める。
Facilitate teacher readiness within a teacher learning community to learn, develop, and deliver cybersecurity content for the secondary classroom in collaboration with other nationwide initiatives.	他の全国的な取り組みと連携して、中等教育向けのサイバーセキュリティ・コンテンツを学び、開発し、提供するための教師学習コミュニティにおいて、教師の準備態勢を促進する。
GENCYBER RESOURCES:	GenCyberリソース
GenCyber is an important component of the national cybersecurity education ecosystem. Several resources are available to our federal partners, camp hosts and the general public to ensure that cybersecurity awareness and education remain at the forefront of our program’s mission.	GenCyber は、サイバーセキュリティ教育のエコシステムの重要な構成要素である。サイバーセキュリティの認識と教育が当プログラムの使命の最前線であり続けることを確実にするために、連邦政府パートナー、キャンプホスト、一般市民が利用できるリソースがいくつかある。
2015-2019 GenCyber 5-Year Report: When the GenCyber program got its start, we were unsure of what to expect, but we were excited at the prospect of reaching the future cybersecurity workforce at a much younger age and what that would mean for the nation. This report is the results of a five-year study to determine the effectiveness of GenCyber at reaching its goals. This report has found that GenCyber has been successful at accomplishing many of its goals, though in different ways and at varying degrees.	2015-2019 GenCyber 5年レポート： GenCyberプログラムがスタートしたとき、私たちは何が起こるかわからなかったが、将来のサイバーセキュリティの労働力をはるかに若い年齢で獲得できるという見通しと、それが国家にとって何を意味するかということに興奮した。本報告書は、GenCyber の目標達成の有効性を判断するための 5 年間の調査結果をまとめたものである。本報告書では、GenCyber が、その方法や程度の差はあれ、多くの目標を達成することに成功していることがわかった。
Information on the NCAE-C College and Career Pathways Initiatives, including RING	RING を含む、NCAE-C College and Career Pathways Initiatives に関する情報
Cybersecurity and Infrastructure Security Agency	サイバーセキュリティ・インフラセキュリティ庁
National Initiative Cybersecurity Education (NICE)	全米サイバーセキュリティ教育イニシアティブ（NICE）
National Science Foundation	全米科学財団
CLARK Center	CLARK センター
CAE Institution Map	CAE機関マップ

2024.06.24 08:03 in 情報セキュリティ / サイバーセキュリティ, in 危機管理 / 事業継続 | Permalink | Comments (0)
Tweet

国連安全保障理事会サイバー空間における脅威の進化 (2024.06.20)

こんにちは、丸山満彦です。

2024,06.20に開催された国連安全保障理事会はサイバーセキュリティがテーマだったようですね...

国連事務総長（ポルトガルのアントニオ・グテーレス[wikipedia]）もスピーチしていますね...

英国のバーバラ・ウッドワード英国国連常駐代表の声明も、英国政府のウェブページに掲載されていますね...

イギリスは、ランサムウェアによる社会への影響、偽情報、違法に得た資金を利用した武器開発等に懸念をもっていますね...

● UNITED NATIONS SECURITY COUNCIL

プレス...

・2024.06.20 UN chief warns of ‘cyber mercenaries’ amid spike in weaponising digital tools

UN chief warns of ‘cyber mercenaries’ amid spike in weaponising digital tools	国連総長、デジタルツールの武器化が急増する中、「サイバー傭兵」に警告を発する
UN Secretary-General António Guterres on Thursday highlighted the dual-edged nature of cyberspace, stressing its potential for both immense benefits and significant risks when misused.	アントニオ・グテーレス国連事務総長は木曜日、サイバー空間の両刃の性質を強調し、その潜在的な可能性は莫大な利益と、悪用された場合の重大なリスクの両方をもたらすと強調した。
At a Security Council high-level debate on evolving threats in cyberspace, convened by the Republic of Korea, Council President for June, Mr. Guterres underscored the transformative power of digital technologies.	グテーレス事務総長は、6月の安保理議長国である韓国が招集したサイバー空間の脅威に関する安保理ハイレベル討論会で、デジタル技術の変革力を強調した。
“Breakthroughs in digital technologies are happening at warp speed; digital advances are revolutionising economies and societies,” he said.	「デジタル技術のブレークスルーはワープスピードで起きており、デジタルの進歩は経済と社会に革命をもたらしている。
“They are bringing people together, providing citizens with access to government services and institutions and supercharging economies, trade and financial inclusion.”	「デジタルの進歩は、経済や社会に革命をもたらしている。デジタル技術は人々を結びつけ、市民に政府サービスや機構へのアクセスを提供し、経済、貿易、金融包摂を加速させている
However, he cautioned that the seamless and instant connectivity that fuels these benefits also makes people, institutions and countries vulnerable.	しかし、このような恩恵をもたらすシームレスでインスタントなコネクティビティは、人々や機構、そして国々を脆弱性にも陥れると警告した。
“The perils of weaponising digital technologies are growing by the year,” he warned.	「デジタル技術を武器にする危険性は年々高まっている。
“Malicious activity in cyberspace is on the rise by both State and non-State actors and by outright criminals.”	「サイバー空間における悪意ある活動は、国家、非国家主体、そして犯罪者の双方によって増加の一途をたどっている。
Cyber mercenaries, hacktivists	サイバー傭兵、ハクティビスト
The UN chief warned that malicious cyber activities are on the rise, with serious cybersecurity incidents becoming “disturbingly common”.	国連総長は、悪質なサイバー活動は増加の一途をたどっており、深刻なサイバーセキュリティインシデントが「不穏なほど頻繁に」発生していると警告した。
Essential public services such as healthcare, banking and telecommunications are frequently breached, and criminal organizations and “cyber mercenaries” engage in relentless illicit activities.	医療、銀行、通信などの重要な公共サービスが頻繁に侵害され、犯罪組織や「サイバー傭兵」が執拗な違法行為を行っている。
Additionally, a “legion of hate merchants” is spreading fear and division online.	さらに、「憎悪商人の軍団」がネット上で恐怖と分断を広げている。
“So called civilian ‘hacktivists’ are entering the fray, and in many cases are blurring the line between combatants and civilians,” he said.	いわゆる民間人の "ハクティビスト "がこの戦いに参入しており、多くの場合、戦闘員と民間人の境界線を曖昧にしている」と同氏は述べた。
New vulnerabilities	新たな脆弱性
The integration of digital tools with weapon systems, including autonomous systems, presents new vulnerabilities, Mr. Guterres said.	グテーレス氏は、自律システムを含む兵器システムとデジタルツールの統合は、新たな脆弱性をもたらすと述べた。
The misuse of digital technology is becoming more sophisticated and stealthier, with proliferation of malware software. The threat is further amplified by artificial intelligence (AI)-enabled cyber operations.	デジタル技術の悪用は、マルウェアソフトウェアの拡散により、より洗練され、ステルス化している。人工知能（AI）を活用したサイバー作戦によって、脅威はさらに増幅している。
“Ransomware is one grievous example,” the UN chief underscored, “a huge threat to public and private institutions and the critical infrastructure people depend on.”	「国連総長は、「ランサムウェアは痛ましい一例であり、公共機関や民間機関、そして人々が依存する重要なインフラに対する巨大な脅威である」と強調した。
In 2023, total ransomware payments reached $1.1 billion.	2023年、ランサムウェアによる被害総額は11億ドルに達した。
Beyond financial costs, malicious cyber activities undermine public institutions, electoral processes and online integrity, eroding trust, fuelling tensions and sowing the seeds of violence and conflict, he added.	金銭的なコストだけでなく、悪質なサイバー活動は、公的機関、選挙プロセス、オンラインの完全性を損ない、信頼を損ない、緊張を煽り、暴力や紛争の種をまくと、国連総長は付け加えた。
Incredible opportunity	大きなチャンス
Despite the threats, Mr. Guterres emphasised the “incredible opportunity” digital technology offers to create a more just, equal, sustainable and peaceful future.	このような脅威があるにもかかわらず、グテーレス事務総長は、より公正で平等、持続可能で平和な未来を創造するために、デジタル技術が提供する「信じられないほどの機会」を強調した。
He called for breakthroughs to be oriented toward the common good, highlighting his proposed New Agenda for Peace that places prevention at the core of all peace efforts.	グテーレス事務総長は、あらゆる平和への取り組みの中核に予防を据えた「平和のための新アジェンダ」の提案を強調し、共通善に向けたブレークスルーを呼びかけた。
“It calls for developing strong frameworks in line with international law, human rights and the UN Charter and focused efforts by all States to prevent the extension and escalation of conflicts within and through cyberspace,” he said.	「国際法、人権、国連憲章に沿った強力な枠組みを構築し、サイバー空間内およびサイバー空間を通じての紛争の拡大・激化を防ぐために、すべての国が集中的に努力することを求めている。
“As reflected in the New Vision for the Rule of Law, the rule of law must exist in the digital sphere as it does in the physical world.”	「法の支配のための新しいビジョンに反映されているように、法の支配は、物理的な世界と同様に、デジタル領域にも存在しなければならない。
Call for better integration	より良い統合を求める
Secretary-General Guterres welcomed the General Assembly’s commitment to action, including its dedicated working group on information and communication technologies (ICT) security.	グテーレス事務総長は、情報通信技術（ICT）の安全保障に関する専門作業部会など、総会の行動へのコミットメントを歓迎した。
He also urged the Security Council to integrate cyber-related considerations into its workstreams and resolutions, underscoring that many issues it addresses, such as the protection of civilians, peace operations, counterterrorism and humanitarian operations, are affected by cyberspace.	グテーレス事務総長はまた、安全保障理事会に対し、その作業部会や決議にサイバー関連の検討を組み込むよう促し、同理事会が取り組む民間人の保護、平和活動、テロ対策、人道活動など多くの問題がサイバー空間の影響を受けていることを強調した。
“Integrating this issue into your deliberations would be a useful way to lay the groundwork for more effective responses to this important question,” he said.	「あなた方の審議にこの問題を組み入れることは、この重要な問題により効果的に対応するための土台を築く上で、有益な方法だろう」と述べた。
Summit of the Future	未来のサミット
In conclusion, Mr. Guterres stressed the importance of the upcoming Summit of the Future, in September.	最後にグテーレス事務総長は、9月に開催される未来のサミットの重要性を強調した。
“The pact that will emerge from the summit represents a pivotal chance to support the maintenance of international peace and security in cyberspace,” he said.	「サミットから生まれる協定は、サイバー空間における国際的な平和と安全の保守を支援する極めて重要な機会である。
Among other actions, it aims to safeguard critical infrastructure against harmful ICT practices and create enhanced accountability for data-driven technology, including AI.	とりわけ、有害なICT慣行から重要なインフラを保護し、AIを含むデータ駆動技術に対する説明責任を強化することを目的としている。
“I look forward to working with this Council, the General Assembly and all Member States to ensure that technology is focused where it belongs: on the progress and security of all people and the planet we share,” the Secretary-General concluded.	「私は、この理事会、総会、そしてすべての加盟国と協力し、テクノロジーが本来あるべき場所、すなわち、すべての人々と私たちが共有する地球の進歩と安全保障に焦点が当てられるようにすることを楽しみにしている」と事務総長は締めくくった。

アントニオ・グテーレス事務総長のスピーチ...

・2024.06.20 Secretary-General's remarks to the Security Council’s High-Level Debate on “Maintenance of International Peace and Security: Addressing Evolving Threats in Cyberspace”

Secretary-General's remarks to the Security Council’s High-Level Debate on “Maintenance of International Peace and Security: Addressing Evolving Threats in Cyberspace”	国際平和と安全の保守」に関する安全保障理事会ハイレベル・ディベートでの事務総長発言：サイバー空間における進化する脅威への対応"
Mr. President His Excellency Cho Tae-yul, Foreign Minister of the Republic of Korea, Excellencies,	大統領閣下チョ・テユル大韓民国外務大臣閣下各位、
I thank the Republic of Korea for convening this high-level debate on an issue that affects us all — peace and security in cyberspace.	サイバー空間における平和と安全保障という、我々すべてに影響を及ぼす問題について、このハイレベル討論会を開催してくださった大韓民国に感謝する。
Mr. President,	大統領
Breakthroughs in digital technologies are happening at warp speed — from information and communication technologies and cloud computing, to blockchain, 5G networks, quantum technologies and more.	情報通信技術やクラウド・コンピューティングから、ブロックチェーン、5Gネットワーク、量子技術など、デジタル技術のブレークスルーは猛スピードで進んでいる。
Digital advances are revolutionizing economies and societies.	デジタルの進歩は経済と社会に革命をもたらしている。
They are bringing people together…	デジタルの進歩は経済と社会に革命をもたらしている。
Delivering information, news, knowledge, and education at the tap of a screen or click of a mouse…	スクリーンをタップしたり、マウスをクリックしたりするだけで、情報、ニュース、知識、教育を提供する。
Providing citizens with access to government services and institutions...	市民が政府のサービスや機構にアクセスできるようにする。
And supercharging economies, trade and financial inclusion.	そして、経済、貿易、金融包摂を促進する。
But the very quality of seamless, instant connectivity that powers the enormous benefits of cyberspace can also leave people, institutions and entire countries deeply vulnerable.	しかし、サイバー空間がもたらす多大な恩恵の原動力となっているシームレスでインスタントな接続性は、人々や機構、そして国全体を脆弱なものにしてしまう可能性もある。
And the perils of weaponizing digital technologies are growing by the year.	デジタル技術を武器化する危険性は、年々高まっている。
Cyberspace has kicked the doors wide open.	サイバー空間はドアを大きく開けた。
Anyone can walk through.	誰でも通り抜けることができる。
And many are.	そして多くの人がそうしている。
Malicious activity in cyberspace is on the rise by both State and non-state actors, and by outright criminals.	サイバー空間における悪意ある活動は、国家、非国家主体、そして完全な犯罪者の双方によって増加の一途をたどっている。
Serious cybersecurity incidents are disturbingly common.	深刻なサイバーセキュリティ・インシデントが頻発している。
From breaches of essential public services like healthcare, banking and telecommunications.	医療、銀行、電気通信のような必要不可欠な公共サービスの侵害から、容赦のない不正行為まで、サイバーセキュリティの重大な事故は不穏なほど頻繁に起きている。
To relentless illicit activity, including by criminal organizations and so-called “cyber mercenaries.”	犯罪組織やいわゆる "サイバー傭兵 "を含む、執拗な違法行為まで。
To a legion of hate merchants littering the information superhighway with fear and division.	情報スーパーハイウェイに恐怖とディビジョンを撒き散らす憎悪商人の軍団。
To the increasing use of cyberspace as another weapon in ongoing armed conflicts.	現在進行中の武力紛争において、サイバー空間が新たな武器として使用されつつある。
So-called civilian “hacktivists” are entering the fray, and in many cases are blurring the line between combatants and civilians.	いわゆる民間人「ハクティビスト」がこの戦いに参戦し、多くの場合、戦闘員と民間人の境界線を曖昧にしている。

And the growing integration of digital tools with weapon systems, including autonomous systems, presents new vulnerabilities.	また、自律型システムを含む兵器システムとデジタルツールの統合が進むことで、新たな脆弱性が生じている。

At the same time, the misuse of digital technology is becoming more sophisticated and stealthy.	同時に、デジタル技術の悪用はより洗練され、ステルス化している。
Malware, wipers and trojans are proliferating.	マルウェア、ワイパー、トロイの木馬が急増している。
AI-enabled cyber operations are multiplying the threat, and quantum computing could break down entire systems with its ability to breach encryption.	AIを活用したサイバー作戦は脅威を増大させ、量子コンピューティングは暗号を破る能力でシステム全体を破壊する可能性がある。
Software vulnerabilities are being exploited and cyber-intrusion capabilities are even sold over the Internet.	ソフトウェアの脆弱性は悪用され、サイバー侵入能力はインターネット上で販売さえされている。
And companies’ supply chains are being actively targeted by hackers, with serious, disruptive and cascading effects.	また、企業のサプライチェーンはハッカーに積極的に狙われており、深刻で破壊的、連鎖的な影響を及ぼしている。
Ransomware is one grievous example — a huge threat to public and private institutions and the critical infrastructure people depend on.	ランサムウェアはその深刻な一例であり、公共機関や民間機関、そして人々が依存する重要なインフラにとって大きな脅威となっている。
According to some estimates, total ransomware payments reached $1.1 billion USD in 2023.	ある試算によると、ランサムウェアによる被害総額は2023年に11億米ドルに達するという。
But far beyond the financial costs are the costs to our common peace, security and stability — both within countries and among them.	しかし、金銭的なコストをはるかに超えて、私たち共通の平和、安全、安定に対するコストがある。
Malicious activity that undermines public institutions, electoral processes and online integrity erodes trust, fuels tensions, and even sows the seeds of violence and conflict.	公的機関、選挙プロセス、オンラインの完全性を損なう悪質な行為は、信頼を損ない、緊張を煽り、暴力や紛争の種をまくことさえある。
Mr. President,	大統領、
Digital technology offers an incredible opportunity to create a more just, equal, sustainable and peaceful future for all.	デジタル技術は、すべての人にとって、より公正で平等、持続可能で平和な未来を創造する素晴らしい機会を提供する。
But breakthroughs must be oriented towards the good.	しかし、ブレークスルーは善を志向するものでなければならない。
The New Agenda for Peace places prevention at the heart of all peace efforts.	平和のための新たなアジェンダ」は、あらゆる平和への取り組みの中心に予防を据えている。
It calls for developing strong frameworks in line with international law, human rights and the UN Charter, and focused efforts by all States to prevent the extension and escalation of conflicts within, and through, cyberspace.	国際法、人権、国連憲章に沿った強力な枠組みを構築し、サイバー空間内、そしてサイバー空間を通じた紛争の拡大・激化を防ぐために、すべての国が集中的に取り組むことを求めている。
As reflected in the New Vision for the Rule of Law, the rule of law must exist in the digital sphere as it does in the physical world.	法の支配のための新たなビジョン」に反映されているように、法の支配は、物理的な世界と同様に、デジタル領域にも存在しなければならない。
I also welcome the General Assembly’s commitment to action in this area.	私はまた、総会がこの分野での行動にコミットしていることを歓迎する。
This includes its dedicated, open-ended working group on information and communication technologies security.	これには、情報通信技術の安全保障に関するオープンエンドの専用作業部会も含まれる。
States are building on the universally endorsed normative framework of responsible State behaviour in the use of these technologies.	各国は、こうした技術の利用における国家の責任ある行動という普遍的に承認された規範的枠組みを基盤としている。
And they are actively considering the applicability of international law to State activities in this domain.	そして、この分野における国家の活動に対する国際法の適用可能性を積極的に検討している。
Also, under the auspices of the General Assembly, Member States are working to reach consensus on a new cybercrime treaty in the coming months, which should deepen cooperation while protecting human rights online.	また、総会の後援の下、加盟国は今後数ヶ月のうちに、オンラインでの人権を保護しつつ協力を深めるべき、新たなサイバー犯罪条約について合意に達するべく努力している。
But given the clear and growing links between cyberspace and global peace and security, this Council can also play a key role by integrating cyber-related considerations into your existing workstreams and resolutions.	しかし、サイバー空間と世界の平和および安全保障との関連性が明確かつ高まっていることを考えれば、安保理は、サイバー関連の配慮を既存のワークストリームや決議に組み込むことによって、重要な役割を果たすこともできる。
This is only the second time the Security Council has held a formal meeting on this issue.	安全保障理事会がこの問題について正式な会合を開いたのは、今回が2回目である。
But so many of the issues considered around this table are affected by and linked to cyberspace — including the protection of civilians in armed conflict, peace operations, counter-terrorism and humanitarian operations.	しかし、武力紛争、平和活動、テロ対策、人道活動など、このテーブルで検討されている問題の多くは、サイバー空間の影響を受け、サイバー空間と関連している。
Integrating this issue into your deliberations would be a useful way to lay the groundwork for more effective responses to this important question.	あなた方の審議にこの問題を組み入れることは、この重要な問題により効果的に対応するための土台作りに役立つだろう。
Mr. President,	大統領
Peace and security in the physical world demand new approaches to peace and security in the digital world.	物理的世界における平和と安全保障は、デジタル世界における平和と安全保障への新たなアプローチを必要としている。
This September’s Summit of the Future represents a vital opportunity to enhance cooperation on critical global challenges and reinvigorate the multilateral system.	今年9月の未来サミットは、重要な地球規模の課題に対する協力を強化し、多国間システムを再活性化するための重要な機会を代表するものである。
The Pact that will emerge from the Summit represents a pivotal chance to support the maintenance of international peace and security in cyberspace.	サミットから生まれる協定は、サイバー空間における国際平和と安全保障の保守を支援する極めて重要な機会である。
Among other priorities, Chapter 2 of the Pact aims to re-affirm global consensus on safeguarding critical infrastructure against harmful ICT practices, and creating enhanced accountability for data-driven technology, including artificial intelligence.	他の優先事項の中でも、協定の第2章は、有害なICT慣行から重要なインフラを守ること、そして人工知能を含むデータ駆動型技術に対する説明責任を強化することに関して、世界的なコンセンサスを再確認することを目的としている。
Meanwhile, my High-Level Advisory Body on Artificial Intelligence is completing its final report on how we can govern Artificial Intelligence for humanity, while addressing its risks and uncertainties.	一方、私の「人工知能に関するハイレベル諮問機関」は、人工知能のリスクと不確実性に対処しつつ、人類のために人工知能をどのようにガバナンスしていくかについての最終報告書を完成させつつある。
I look forward to working with this Council, the General Assembly, and all Member States to ensure that technology is focused where it belongs: on the progress and security of all people and the planet we share.	私は、この理事会、総会、そしてすべての加盟国と協力し、テクノロジーが本来あるべき場所、すなわち、すべての人々と私たちが共有する地球の進歩と安全に焦点が当てられるようにすることを楽しみにしている。
Thank you.	ありがとう。

韓国大統領による呼びかけ...

・2024.06.10 [PDF] Letter dated 7 June 2024 from the Permanent Representative of the Republic of Korea to the United Nations addressed to the President of the Security Council

Letter dated 7 June 2024 from the Permanent Representative of the Republic of Korea to the United Nations addressed to the President of the Security Council	大韓民国国連常駐代表より安全保障理事会議長宛書簡（2024 年 6 月 7 日付
I have the honour to transmit herewith the invitation letter and the concept note for the Security Council high-level open debate on “Maintenance of international peace and security: addressing evolving threats in cyberspace”, to be held on Thursday, 20 June 2024, at 10 a.m. (see annex).	私は、2024年6月20日（木）午前10時から開催される安全保障理事会ハイレベル公開討論会「国際の平和と安全の保守：サイバー空間における進化する脅威への対応」に関する招待状およびコンセプトノート（附属書参照）をここに送付することを光栄に思う。
I would be grateful if you could have the present letter and its annex circulated as a document of the Security Council.	本書簡と附属書を安全保障理事会の文書として回覧していただければ幸いである。
(Signed) Joonkook Hwang	(署名）ファン・ジュングク
Ambassador and Permanent Representative of the Republic of Korea to the United Nations	駐国連大韓民国大使兼代表者
Annex to the letter dated 7 June 2024 from the Permanent	2024年6月7日付の大韓民国国連常駐代表の書簡の附属書。
Representative of the Republic of Korea to the United Nations addressed to the President of the Security Council	大韓民国国際連合常駐代表から安全保障理事会議長あての書簡（2024年6月7日付）附属書。
I am pleased to invite you to the Security Council high-level open debate on “Maintenance of international peace and security: addressing evolving threats in cyberspace”, to be held on Thursday, 20 June at 10 a.m., in the Security Council Chamber (see concept note ). This will be the signature event of the Republic of Korea in its capacity as the President of the Security Council for the month of June.	6月20日（木）午前10時より安全保障理事会理事室にて開催される、安全保障理事会ハイレベル公開討論会「国際の平和と安全の保守：サイバー空間における進化する脅威への対応」にお招きできることを嬉しく思う（コンセプトノート参照）。これは、6月の安全保障理事会議長国としての大韓民国の看板行事となる。
Against the backdrop of rapid advancements in information and communications technologies, which have brought both benefits and challenges in our hyperconnected world, sophisticated and intrusive malicious cyberactivities are raising serious concerns for international peace and security. In this regard, the evolving security landscape in cyberspace demands the Council’s keen attention in addressing cyberthreats that can affect all nations.	情報通信技術の急速な進歩は、このハイパーコネクテッド・ワールドに便益と課題の両方をもたらしているが、高度で侵入的な悪意のあるサイバー活動は、国際の平和と安全に対する深刻な懸念を引き起こしている。この点で、サイバー空間における進化する安全保障の状況は、すべての国に影響を及ぼす可能性のあるサイバー脅威に対処する上で、理事会の強い関心を必要としている。
The high-level open debate will be chaired by the Foreign Minister of the Republic of Korea, Cho Tae-yul, and it will serve as a valuable opportunity for the Council to fulfil its primary responsibility of maintaining international peace and security in the era of expanding cyberthreats. High-level participation at this event will greatly enrich the discourse.	ハイレベル公開討論会は、趙泰烈（チョ・テユル）韓国外相が議長を務め、サイバー脅威が拡大する時代に国際平和と安全を維持するという理事会の主要な責任を果たす貴重な機会となる。このイベントへのハイレベルの参加は、談話を大いに豊かにするだろう。
(Signed) Joonkook Hwang	(署名）Joonkook Hwang
Permanent Representative	常任代表者
Concept note for the Security Council high-level open debate on “Maintenance of international peace and security: addressing evolving threats in cyberspace”, 20 June 2024, 10 a.m.	安全保障理事会ハイレベル公開討論会「国際の平和と安全の保守：サイバー空間における進化する脅威への対応」（2024年6月20日午前10時）のコンセプトノート
Background	背景
While tremendous economic, social, cultural, civil and political benefits are brought by the advancement of information and communications technologies (ICTs), given our heavy reliance on digital infrastructure for communication, commerce and governance, malicious activities in the cyberdomain can undermine international peace and security, by affecting multiple domains simultaneously.	情報通信技術（ICTs）の進歩によって多大な経済的、社会的、文化的、市民的、政治的利益がもたらされる一方で、コミュニケーション、商業、ガバナンスにおいてデジタル・インフラに大きく依存していることから、サイバー領域における悪意ある活動は、複数の領域に同時に影響を及ぼすことにより、国際平和と安全を損なう可能性がある。
Malicious cyberactivities targeting critical infrastructure, including hospitals and other health-care systems, financial services, the energy sector, satellites, transportation and other emergency systems, are becoming increasingly commonplace. Such activities can have devastating effects on national security and pose substantial risk of harm to civilians. In addition to proliferation of malicious activities, evolving and advancing tactics including decoy ransomware, ransomware-as-a-service models and cryptocurrency thefts to support terrorist activities and to fund nuclear and other weapons of mass destruction programmes, are exacerbating the threat landscape, which is further compounded by the introduction of new vectors and vulnerabilities for exploitation.	病院やその他の医療システム、金融サービス、エネルギー部門、人工衛星、交通機関、その他の緊急システムなど、重要なインフラを標的とした悪質なサイバー活動は、ますます一般的になりつつある。このような活動は、国家の安全保障に壊滅的な影響を及ぼし、民間人に危害を及ぼす大きなリスクをもたらす可能性がある。悪意ある活動の拡散に加え、おとりランサムウェア、ランサムウェア・アズ・ア・サービス・モデル、テロ活動を支援し、核兵器やその他の大量破壊兵器プログラムの資金を調達するための暗号通貨窃盗など、進化・進歩する手口が脅威の状況を悪化させており、悪用のための新たなベクトルや脆弱性の導入により、さらに深刻化している。
While malicious cyberactivities are evident in a range of contexts, the use of these technologies in connection with, and in support of, armed conflicts is particularly worrisome. Malicious cyberactivities can both exacerbate existing conflict situations and support the initiation of new tensions.	悪意のあるサイバー活動は様々な状況で見られるが、武力紛争に関連し、武力紛争を支援するためにこれらの技術が使用されることは特に憂慮すべきことである。悪意のあるサイバー活動は、既存の紛争状況を悪化させるだけでなく、新たな緊張の発生を助長する可能性がある。
With the transnational nature of cyberspace, no State is immune from the harms of malicious cyberactivities. The cybersecurity network is only as strong as its weakest link. In this vein, capacity-building is an indispensable element of cooperation across all relevant forums that address ICT-related issues within the United Nations system. A divergence in capacities or cyberresilience poses additional challenges for detecting, defending against, or responding to malicious cyberactivities, particularly for those States that have inadequate capacities. The harmful use of ICTs may have disproportionate effects on certain populations, including women and minorities.	サイバー空間の国境を越えた性質により、いかなる国家も悪意あるサイバー活動の害から免れることはできない。サイバーセキュリティ・ネットワークは、最も脆弱なリンクほど強固である。この意味で、能力構築は、国際連合システム内でICT関連問題に取り組むすべての関連フォーラムを横断する協力の不可欠な要素である。能力またはサイバー耐性の乖離は、特に能力が不十分な国にとって、悪意あるサイバー活動の検知、防御、対応にさらなる課題をもたらす。ICTsの有害な利用は、女性やマイノリティを含む特定の集団に不釣り合いな影響を及ぼす可能性がある。
Role of the Security Council	安全保障理事会の役割
Progress	進展
Over the past decade, the Security Council has become increasingly seized of the international peace and security implications of cyberspace. Since 2016, the Council has convened several Arria-formula meetings, during which States addressed cybersecurity with various linkages to topics such as protection of critical infrastructure, protection of civilians and disinformation and hate speech in cyberspace. Estonia convened the first high-level open debate on the topic in 2021, further solidifying the issue of the maintenance of international peace and security in cyberspace as a topic for the Council’s consideration.	過去10年間で、安全保障理事会はサイバー空間が国際平和と安全保障に及ぼす影響をますます認識するようになった。2016年以降、安全保障理事会は数回のアリア方式会合を開催し、その中で各国は、重要インフラの保護、民間人の保護、サイバー空間における偽情報やヘイトスピーチといったトピックと様々な関連性を持つサイバーセキュリティを取り上げた。エストニアは2021年にこのテーマに関する初のハイレベル公開討論会を開催し、サイバー空間における国際平和と安全の保守という問題を理事会の検討テーマとしてさらに確固たるものにした。
The most recent Arria-formula meeting on cybersecurity was organized by the Republic of Korea and co-hosted by the United States and Japan in April 2024. The meeting highlighted the growing implications of cyberthreats in the context of international peace and security, as well as the important role of the Security Council in de-escalating tensions and promoting cybersecurity.	サイバーセキュリティに関する最新のアリア方式会合は、2024年4月に韓国が主催し、米国と日本が共催した。同会合では、国際平和と安全保障の文脈におけるサイバー脅威の重要性が増すとともに、緊張緩和とサイバーセキュリティの推進における安全保障理事会の重要な役割が強調された。
Possible options	考えられる選択肢
Developing a common understanding among States and enhancing the Security Council’s role in addressing cyberthreats is both crucial and timely. Proactive engagement in cybersecurity, aligned with its primary responsibility to maintain international peace and security, positions the Council to respond to malicious cyberactivities and thus to significantly contribute to establishing a globally secure, open and peaceful cyberspace for the benefit of all nations.	サイバー脅威に対処するために、国家間の共通理解を深め、安全保障理事会の役割を強化することは、極めて重要かつ時宜を得たものである。サイバーセキュリティへの積極的な関与は、国際の平和と安全を維持するという安全保障理事会の主要な責務に沿ったものであり、安全保障理事会は悪意あるサイバー活動に対応することができ、その結果、すべての国の利益のために、世界的に安全で開かれた平和なサイバー空間の確立に大きく貢献することができる。
Such an engagement by the Security Council can take place in a manner that is complementary to other ongoing United Nations processes on ICTs, including relevant discussions on norms of responsible State behaviour in the use of ICTs and the United Nations framework for responsible State behaviour in the use of information and communications technologies, which was adopted by consensus, under the auspices of the General Assembly.	安全保障理事会によるこのような関与は、ICTsに関して現在進行中の他の国際連合プロセス（ICTs使用における責任ある国家行動の規範に関する関連議論や、総会の支援の下、コンセンサスにより採択された情報通信技術の使用における責任ある国家行動のための国際連合枠組みなど）を補完する形で行うことができる。
Possible options for the Security Council’s consideration were put forth at the Arria-formula meeting held in April, with a view to adding value to the various multilateral efforts that address the international peace and security implications of malicious cyberactivities.	4月に開催されたアリア・フォーミュラ会議では、悪質なサイバー活動の国際平和と安全保障への影響に対処する多国間のさまざまな取り組みに付加価値を与えるという観点から、安全保障理事会が検討しうる選択肢が提示された。
For example, the Security Council could consider convening a briefing, ideally on a regular basis, to review the evolving cyberthreat landscape in relation to the existing mandate and agenda of the Council. Developing assessment and strategies on the evolving cyberthreat landscape by incorporating comprehensive insights from the United Nations system, the private sector, civil society and academia would ensure that the Council remains abreast of new developments and their implications for international peace and security.	例えば、安全保障理事会は、理想的には定期的にブリーフィングを開催し、進化するサイバー脅威の状況を、安全保障理事会の既存のマンデートとアジェンダとの関連で見直すことを検討することができる。国際連合システム、民間セクター、市民社会、学術界からの包括的な見識を取り入れることで、進化するサイバー脅威の状況に関するアセスメントと戦略を策定すれば、安全保障理事会は新たな動きと国際の平和と安全に対するその影響に遅れを取ないだろう。
Bearing in mind the inherent cross-cutting nature of international peace and security threats emanating from cyberspace, the Security Council could also explore ways to mainstream cyber- or ICT-related concerns when discussing country-specific files or other thematic files, such as peacekeeping and peacebuilding missions, Council-mandated sanctions, women and peace and security, or non-proliferation and counter-terrorism. Enhancing cyberresilience, strengthening national cybersecurity capabilities and promoting international cooperation could also be integrated into each of these lines of effort.	安全保障理事会は、サイバー空間から発生する国際平和と安全保障の脅威が本来、分野横断的な性格を持つことを念頭に置き、平和維持・平和構築ミッション、安全保障理事会が義務づける制裁措置、女性と平和・安全、核不拡散・テロ対策など、国別ファイルやその他のテーマ別ファイルを討議する際、サイバーや ICT 関連の懸念を主流とする方法を模索することもできよう。サイバーレジリエンスの強化、各国のサイバーセキュリティ能力の強化、国際協力の推進も、こうした取り組みの各ラインに組み込むことができる。
Furthermore, United Nations Member States could explore ways to enhance the Security Council’s capacity to respond to the malicious uses of ICTs that pose threats to international peace and security, particularly those related to the protection of civilians, critical infrastructures and humanitarian efforts, ensuring a more holistic approach to the maintenance of peace and security.	さらに、米国加盟国は、国際の平和と安全を脅かすICTsの悪意ある利用、特に民間人、重要インフラ、人道活動の保護に関連するICTsの悪意ある利用に対応する安全保障理事会の能力を強化し、平和と安全の保守に対するより総合的なアプローチを確保する方法を模索することもできよう。
Guiding questions	指針となる質問
These questions may help guide Member State interventions:	以下の質問は、加盟国の介入の指針となる：
• What are the key emerging and evolving trends of malicious activities in cyberspace that pose challenges to international peace and security?	・国際的な平和と安全に対する挑戦となるサイバー空間における悪意ある活動で,新たに出現し,発展しつつある主な傾向とは何か。
• How does the malicious use of ICTs serve as a “threat multiplier” on existing conflicts and challenges in ways that necessitate the engagement of the Security Council?	・ICTの悪意ある利用は,安全保障理事会の関与を必要とする形で,既存の紛争や課題に対する「脅威の倍加」としてどのように機能するのか。
• What specific roles and actions can the Security Council undertake to address international peace and security challenges emanating from cyberspace, and how can this role develop within its mandate in a mutually reinforcing and complimentary manner alongside the existing work of other United Nations bodies? What are the required future steps?	・サイバー空間から派生する国際平和と安全保障上の課題に対処するため,安全保障理事会は具体的にどのような役割と行動をとることができるのか。また,この役割をその職務権限の範囲内で,他の国際連合団体の既存の活動とともに,相互補強的,補完的に発展させるにはどうすればよいのか。今後,どのようなステップが求められるのか。
• How are cyberthreats interlinked with other agenda items of the Security Council? How can the Security Council effectively mainstream cyber- or ICTrelated concerns into its existing body of work?	・サイバー脅威は安全保障理事会の他の議題とどのように関連しているのか。安全保障理事会は,サイバーまたはICT関連の懸念を,どのようにして効果的に既存の活動に組み込むことができるのか。
Format and briefers	形式とブリーフィング
The high-level open debate will be chaired by the Foreign Minister of the Republic of Korea, Cho Tae-yul, and Council members are encouraged to participate at the ministerial level. In order to guarantee the participation of as many Member States as possible, statements should not exceed three minutes.	ハイレベル公開討論会の議長は趙泰烈（チョ・テユル）韓国外相が務め、安全保障理事会理事国は閣僚レベルで参加することが奨励される。できるだけ多くの加盟国の参加を保証するため、発言は3分以内とする。
The following speakers will brief the Security Council:	以下の発言者が安全保障理事会でブリーフィングを行う：
• Secretary-General of the United Nations, António Guterres	・アントニオ・グテーレス国際連合事務総長
• Stéphane Duguin, Chief Executive Officer, CyberPeace Institute	・ステファン・デュギャン,サイバーピース機構最高経営責任者
• Nnenna Ifeanyi-Ajufo, Professor of Law and Technology, Leeds Beckett University, United Kingdom	・Nnenna Ifeanyi-Ajufo、リーズ・ベケット大学（英国）法律・技術学部教授
The list of speakers for the open debate will open at 9.30 a.m. on 14 June, the third working day preceding the date of the meeting. A letter addressed to the President of the Security Council, duly signed by the Permanent Representative or the Chargé d’affaires a.i., requesting to participate in accordance with rule 37 of the provisional rules of procedure of the Council must be uploaded to the eSpeakers module of e-deleGATE.	公開討論会の登壇者リストは、会議開催日の3営業日前の6月14日午前9時30分に公開される。常任代表者または代理大使が署名した安全保障理事会議長あての書簡をe-deleGATEのeSpeakersモジュールにアップロードし、安全保障理事会暫定手続規則第37条に従って参加を要請すること。

英国政府...

バーバラ・ウッドワード英国国連常駐代表の声明

● GOV.UK

・2020.06.20 Cyber threats will present an ever greater number of risks to international peace and security: UK statement at the UN Security Council

Cyber threats will present an ever greater number of risks to international peace and security: UK statement at the UN Security Council	サイバー脅威は、国際平和と安全保障にこれまで以上に多くのリスクをもたらすだろう：国連安全保障理事会での英国の声明
Statement by UK Permanent Representative to the UN Ambassador Barbara Woodward at the UN Security Council meeting on cybersecurity.	サイバーセキュリティに関する国連安全保障理事会でのバーバラ・ウッドワード英国国連代表部大使の声明。
I will touch on three trends of importance to the UK.	英国にとって重要な3つの動向について触れる。
First, as we’ve heard, ransomware can disrupt government functions and the provision of vital public services. This creates conditions for instability when occurring at scale or for sustained periods which, as this Council knows, can impact peace and security. Any state can be a victim of ransomware. This is why an international response is needed to constrict the ecosystem facilitating it and to enable all states to increase their resilience and their response capability. The UK is playing a leading role alongside Singapore as co-chairs of the policy pillar of the Counter Ransomware Initiative. We urge others to join the initiative.	第一に、ランサムウェアは政府機能や重要な公共サービスの提供を妨害する可能性がある。これは、大規模に、あるいは持続的に発生した場合、不安定な状況を作り出すものであり、本理事会がご存知のように、平和と安全に影響を与える可能性がある。どの国もランサムウェアの被害に遭う可能性がある。だからこそ、ランサムウェアを助長するエコシステムを制限し、すべての国家がレジリエンスと対応能力を向上できるようにするための国際的な対応が必要なのである。英国は、ランサムウェア対策イニシアチブの政策の柱の共同議長として、シンガポールとともに主導的な役割を果たしている。我々は、他の国々がこのイニシアティブに参加することを強く求める。
Second, as the use of AI systems in our societies grows, we need to understand how cyber threats will change, whilst identifying opportunities for AI to support our cybersecurity goals. Malicious and irresponsible actors can exploit vulnerabilities in AI systems to induce specific behaviour or manipulate its decision-making. Maintenance of international peace will require AI systems to be secure by design. That is why the UK held the first ever Council debate on AI in our presidency last year, and it’s why we published “Guidelines for Secure AI System Development” alongside the United States and a cross-regional group of eighteen states.	第二に、我々の社会におけるAIシステムの利用が拡大するにつれ、我々はサイバー脅威がどのように変化するかを理解する必要があり、同時にAIが我々のサイバーセキュリティ目標を支援する機会を特定する必要がある。悪意ある無責任な行為者は、AIシステムの脆弱性を悪用して、特定の行動を誘発したり、意思決定を操作したりすることができる。国際平和の保守には、AIシステムが設計上安全であることが必要である。英国が昨年、議長国として初めてAIに関する理事会討論を開催したのもそのためであり、米国や18カ国からなる地域横断的なグループとともに「安全なAIシステム開発のためのガイドライン」を発表したのもそのためである。
Third, malicious and irresponsible actors are also able to take advantage of the growing market in advanced cyber intrusion capabilities, leading to a more unpredictable threat landscape for us all. The UK and France invite international partners to join us in the multistakeholder Pall Mall Process as we consider approaches towards this shared concern.	第三に、悪意のある無責任な行為者も、高度なサイバー侵入能力の市場拡大を利用することができ、我々全員にとって、より予測不可能な脅威の状況をもたらしている。英国とフランスは、この共通の懸念に対するアプローチを検討するため、国際的なパートナーに、マルチステークホルダーであるポール・モール・プロセスへの参加を呼びかける。
In that context, we must continue to raise awareness of cyber threats. We are, for example, very concerned by DPRK’s use of malicious cyber activities to obtain cryptocurrencies to fund their illegal weapons programme. This is why we need to redouble our efforts to ensure effective implementation of the DPRK sanctions regime.	その中で、我々はサイバー脅威に対する認識を高め続けなければならない。例えば、我々は、朝鮮民主主義人民共和国が悪質なサイバー活動を利用して暗号通貨を入手し、違法な兵器開発計画の資金源としていることを非常に懸念している。だからこそ我々は、朝鮮民主主義人民共和国の制裁体制が効果的に実施されるよう、努力を重ねる必要がある。
And finally, cyber advances also increase the risks of disinformation. This is clearly a major challenge for our work. For Russia to accuse the UK of running a disinformation war is astonishing when their own disinformation machine has been so obviously and clearly exposed, including here at the UN. We were not the delegation who brought to the chamber and to the internet the conspiracy of weaponized bats and ducks. President, cyber threats will present an ever greater number of risks to international peace and security and governments need to evolve to address them effectively.	そして最後に、サイバーの進歩は偽情報のリスクも増大させる。これは明らかに我々の活動にとって大きな課題である。ロシアは英国が偽情報戦争を展開していると非難しているが、彼ら自身の偽情報マシーンが、ここ国連を含め、これほど明白かつ明確に暴露されているのに、驚くべきことである。我々は、武器化されたコウモリやアヒルの陰謀を議場やインターネットに持ち込んだ代表団ではない。ガバナンス、サイバー脅威は国際平和と安全保障にこれまで以上に多くのリスクをもたらすものであり、政府はそれらに効果的に対処するために進化する必要がある。
As part of this, the UK remains committed to upholding the UN Framework for Responsible State Behaviour and to working with others through capacity-building and enabling public-private partnerships.	その一環として、英国は国連の責任ある国家行動の枠組みを支持し、能力構築と官民パートナーシップの実現を通じて他国と協力することに引き続きコミットする。

1_20240624025801

2024.06.24 02:59 in 情報セキュリティ / サイバーセキュリティ, in 法律 / 犯罪, in AI/Deep Learning, in 安全保障 | Permalink | Comments (0)
Tweet

英国 ICO コンテンツ・モデレーションとデータ保護についてのガイダンス (2024.02.16)

こんにちは、丸山満彦です。

英国の情報コミッショナーが、コンテンツ・モデレーションとデータ保護についてのガイダンスを今年の2月に公表していました...

AIによる自動化された処理についてのガイダンスも含まれていますね...

● Information Commissioner's Office - UK GDPR guidance and resources - Online safety and data protection

・2024.02.16 Content moderation and data protection

目次...

Content moderation and data protection	コンテンツ・モデレーションとデータ保護
About this guidance	このガイダンスについて
What is content moderation and how does it use personal information?	コンテンツ・モデレーションとは何か、またどのように個人情報を使用するのか。
How do we assess and mitigate data processing risks?	データ処理リスクをどのように評価し、軽減するか。
How do we carry out content moderation lawfully?	コンテンツ・モデレーションを合法的に実施するにはどうすればよいか。
How do we make sure our use of personal information is fair?	個人情報の利用が公正であることをどのように確認するか。
How should we tell people what we’re doing?	私たちが行っていることをどのように人々に伝えるべきか。
How do we define our content moderation purposes?	コンテンツ・モデレーションの目的をどのように定義するか？
How do we ensure data minimisation in our content moderation?	コンテンツ・モデレーションにおけるデータの最小化をどのように確保するか？
How do we ensure the accuracy of personal information?	個人情報の正確性をどのように保証するか？
How long should we keep personal information for?	個人情報はいつまで保管すべきか？
How do we ensure the security of personal information?	個人情報のセキュリティをどのように確保するか？
Who is the controller in our content moderation systems?	当社のコンテンツ・モデレーション・システムにおける管理者は誰か？
What data protection rights do people have?	人々はどのようなデータ保護の権利を持っているか？
How do we share information about content moderation?	コンテンツ・モデレーションに関する情報をどのように共有するか？
What do we need to consider if we transfer people’s personal information outside the UK?	人々の個人情報を英国外に移転する場合、何を考慮する必要があるか？
What if we use automated decision-making in our content moderation?	コンテンツ・モデレーションにおいて自動意思決定を使用する場合はどうするか？
Glossary	用語集

序文の部分...

About this guidance	このガイダンスについて
In detail	詳細
Why have you produced this guidance?	なぜこのガイダンスを作成したのか？
Who’s it for?	誰のためのガイダンスなのか？
What does it cover?	何が対象なのか？
What doesn’t it cover?	何が対象外なのか？
How do we use this guidance?	このガイダンスをどのように使えばよいのか？
How does this guidance relate to the OSA?	このガイダンスはOSAとどのような関係があるのか？
Why have you produced this guidance?	なぜこのガイダンスを作成したのか？
This guidance explains how data protection law applies when you use content moderation technologies and processes. It provides practical advice to help you comply with the UK General Data Protection Regulation (UK GDPR) and the Data Protection Act 2018 (DPA 2018). Read it to understand the law and our recommendations for good practice.	本ガイダンスは、コンテンツ・モデレーション技術およびプロセスを使用する際に、データ保護法がどのように適用されるかを説明するものである。英国一般データ保護規則（UK GDPR）とデータ保護法2018（DPA 2018）を遵守するための実践的なアドバイスを提供する。法律とグッドプラクティスに関する当社の推奨事項を理解するためにお読みいただきたい。
It is not a comprehensive guide to compliance. We link to relevant further reading about any principles we’ve already covered in our other guidance.	コンプライアンスに関する包括的なガイドではない。当社の他のガイダンスですでに取り上げている原則については、関連する詳細情報にリンクしている。
If you are processing children's personal information, you should conform with our Children's code. When we refer to a child we mean anyone under the age of 18. Our code is a statutory code of practice that sets out how internet society services likely to be accessed by children can protect children’s information rights online. It sets out fifteen standards that you should implement, if you are an internet society service.	児童の個人情報を処理する場合は、当社の児童規範に準拠すること。児童とは、18歳未満の者を指す。私たちの規範は、児童がアクセスする可能性のあるインターネット社会サービスが、児童の情報権利をオンラインでどのように保護できるかを定めた、法的な実践規範である。インターネット社会サービスであれば、実施すべき15の基準を定めている。
The Data Protection and Digital Information Bill was reintroduced in the Houses of Parliament on 8 March 2023. When the Bill becomes law, it will amend elements of the DPA 2018 and the UK GDPR relevant to this guidance. We have written this guidance in line with the applicable law at the time of publication.	データ保護およびデジタル情報法案は、2023年3月8日に国会に再提出された。同法案が法制化されると、本ガイダンスに関連するDPA 2018および英国GDPRの要素が改正されることになる。私たちは、このガイダンスを公表時の適用法に沿って記述した。
This guidance on content moderation is the first in a series of products we’ve planned about online safety technologies.	コンテンツ・モデレーションに関する本ガイダンスは、オンライン安全技術について当社が企画した一連の製品の第一弾である。
This is part of our ongoing commitment to publishing guidance on online safety technologies, alongside our work to ensure regulatory coherence between the data protection and online safety regimes. We announced this in our 2022 joint statement with Ofcom on online safety and data protection.	これは、データ保護制度とオンライン安全制度の間の規制の一貫性を確保するための作業と並行して、オンライン安全技術に関するガイダンスを発行するという我々の継続的なコミットメントの一環である。我々は、2022年のオンライン安全とデータ保護に関するOfcomとの共同声明でこれを発表した。
Who’s it for?	誰のためのガイダンスか？
This guidance is for organisations that use or are considering using content moderation. It is also for organisations that provide content moderation products and services. It is for both data controllers and processors.	このガイダンスは、コンテンツ・モデレーションを使用している、または使用を検討している組織のためのものである。また、コンテンツ・モデレーション製品やサービスを提供する組織のためのものでもある。データ管理者とデータ処理者の両方が対象である。
The guidance is aimed at organisations who are carrying out content moderation to meet their obligations under the Online Safety Act 2023 (OSA). However, it is also applies to organisations who are carrying out content moderation for other reasons.	本ガイダンスは、オンライン安全法2023（OSA）に基づく義務を果たすためにコンテンツ・モデレーションを実施する組織を対象としている。しかし、他の理由でコンテンツ・モデレーションを実施している組織にも適用される。
Whether you are carrying out content moderation to comply with the OSA or for other purposes, you must comply with data protection law.	OSAを遵守するためであれ、その他の目的でコンテンツ・モデレーションを実施するのであれ、データ保護法を遵守しなければならない。
We expect that this guidance will be most relevant to trust and safety professionals. It will also be relevant to those in roles with a data protection compliance focus, such as data protection officers, general counsel, privacy-legal professionals and risk managers.	このガイダンスは、信頼と安全の専門家に最も関連すると思われる。また、データ保護責任者、顧問弁護士、プライバシー・法律専門家、リスク・マネジャーなど、データ保護コンプライアンスに重点を置いた職務に就いている人々にも関連性があるだろう。
What does it cover?	何が対象なのかか？
It sets out how organisations deploying content moderation processes or providing content moderation services can comply with data protection law.	このガイダンスは、コンテンツ・モデレーション・プロセスを導入したり、コンテンツ・モデレーション・サービスを提供したりする組織が、どのようにデータ保護法を遵守できるかを定めている。
In this guidance we define ‘content moderation’ as:	本ガイダンスでは、「コンテンツ・モデレーション」を以下のように定義する：
・the analysis of user-generated content to assess whether it meets certain standards; and	・ユーザーが作成したコンテンツが一定の基準を満たしているかどうかを評価するための分析。
・any action a service takes as a result of this analysis. (See the section ‘What do we mean by content moderation?’ for more information.)	・この分析の結果、サービスが取る行動。(詳細については、「コンテンツ・モデレーションとは何か」のセクションを参照のこと）。
This guidance focuses on moderation of user-generated content on user-to-user services. For the purposes of this guidance, we follow the definitions in the OSA.	本ガイダンスは、ユーザー間サービスにおけるユーザー生成コンテンツのモデレーションに焦点を当てる。本ガイダンスの目的上、OSAの定義に従う。
Section 3(1) of the OSA defines a user-to-user service as:	OSAのセクション3(1)は、ユーザー間サービスを次のように定義している：
“User-to-user service means an internet service by means of which content that is generated directly on the service by a user of the service, or uploaded to or shared on the service by a user of the service, may be encountered by another user, or other users, of the service.”	「ユーザー間サービスとは、サービスのユーザーによってサービス上で直接生成された、またはサービスのユーザーによってサービス上にアップロードされた、またはサービス上で共有されたコンテンツが、サービスの他のユーザーまたは他のユーザーによって遭遇される可能性のあるインターネットサービスを意味する。
Section 55(3) of the OSA defines user-generated content as:	OSA第55条3項は、ユーザー生成コンテンツを次のように定義している：
“User-generated content means content that is:	「ユーザー生成コンテンツとは、以下のコンテンツを意味する：
・(i) generated directly on the service by a user of the service, or (ii) uploaded to or shared on the service by a user of the service, and;	・(i)本サービスの利用者によって本サービス上で直接生成されたコンテンツ、または(ii)本サービスの利用者によって本サービス上にアップロードされたコンテンツ、または本サービス上で共有されたコンテンツ；
・that may be encountered by another user, or other users, of the service by means of the service.”	・本サービスの利用者によって本サービス上で直接生成されたコンテンツ、または(ii)本サービスの利用者によって本サービスにアップロードされた、または本サービス上で共有されたコンテンツ。
This guidance discusses content moderation processes that are managed and administered by organisations. It applies to content moderation that is manual, partly automated and solely automated.	このガイダンスは、組織によって管理・運営されるコンテンツ・モデレーション・プロセスについて議論する。このガイダンスは、手動、部分的な自動化、および完全に自動化されたコンテンツモデレーションに適用される。
What doesn’t it cover?	何が対象外なのか？
This guidance sets out the requirements of data protection law where you process personal information in content moderation. It does not cover the following:	本ガイダンスは、コンテンツ修正において個人情報を処理する場合のデータ保護法の要件を定めている。以下は対象外である：
・Compliance with the specific obligations in the OSA. The regulator for the online safety regime is Ofcom. Please consult Ofcom's codes of practice and guidance for information about what you are required to do under the OSA.	・OSAの特定の義務の遵守。オンライン安全体制の規制当局はOfcomである。OSAの下で、あなたが何をしなければならないかについては、Ofcomの行動規範とガイダンスを参照されたい。
・The use of behaviour identification and user profiling. In many cases, you may use content moderation alongside other systems and processes. This includes those that analyse the behaviour of users on a service, or build a profile of them to assess their characteristics. We plan to produce guidance on this in the future.	・行動識別およびユーザープロファイリングの使用。多くの場合、コンテンツ・モデレーションを他のシステムやプロセスとともに使用することがある。これには、サービス上の利用者の行動を分析したり、利用者の特性を評価するために利用者のプロファイルを構築したりするものも含まれる。これについては、今後ガイダンスを作成する予定である。
・Specific considerations that arise from on-device moderation, such as the application of the Privacy and Electronic Communications Regulations (PECR).	・プライバシーおよび電子通信規制（PECR）の適用など、デバイス上でのモデレーションから生じる特定の考慮事項。
・The requirement in section 66 of the OSA for regulated services to report all detected and unreported Child Sexual Exploitation and Abuse (CSEA) content to the National Crime Agency (NCA). We will publish further data protection guidance about this when these regulations are implemented.	・OSAの第66条にある、規制対象サービスが、検知された、および未報告の児童性的搾取・虐待（CSEA）コンテンツをすべて国家犯罪対策庁（NCA）に報告するという要件。これらの規制が実施される際には、データ保護に関するガイダンスをさらに公表する予定である。
How do we use this guidance?	このガイダンスをどのように使えばよいのか？
To help you to understand the law and good practice as clearly as possible, this guidance says what organisations must, should, and could do to comply.	法律とグッドプラクティスをできるだけ明確に理解できるよう、このガイダンスでは、組織が遵守すべきこと、すべきこと、できることを述べている。
Legislative requirements	法的要件
・Must refers to legislative requirements.	・Mustとは、法的要求事項を指す。
Good practice	グッドプラクティス
・Should does not refer to a legislative requirement, but what we expect you to do to comply effectively with the law. You should do this unless there is a good reason not to. If you choose to take a different approach, you must be able to demonstrate that this approach also complies with the law.	・Shouldとは、法的要件ではなく、法律を効果的に遵守するために、私たちがあなたに期待することである。正当な理由がない限り、あなたはこれを行うべきである。異なるアプローチを選択する場合は、そのアプローチも法律を遵守していることを証明できなければならない。
・Could refers to an option or example that you could consider to help you to comply effectively. There are likely to be various other ways you could comply.	・Couldとは、効果的に遵守するために検討できる選択肢や例を指す。他にも様々な遵守方法があるだろう。
This approach only applies where indicated in our guidance. We will update other guidance in due course.	このアプローチは、ガイダンスに示されている場合にのみ適用される。他のガイダンスも順次更新していく予定である。
We plan to keep this guidance under review and update it where appropriate, for example to reflect Ofcom’s final online safety codes of practice and guidance.	例えば、Ofcomの最終的なオンライン安全規約やガイダンスを反映させるなど、このガイダンスを常に見直し、必要に応じて更新する予定である。
How does this guidance relate to the OSA?	このガイダンスはOSAとどのような関係があるのか？
The OSA sets out rules for user-to-user and search services. These services have new duties to protect UK users by assessing and responding to risks of harm. This includes duties on user-to-user service providers to:	OSAは、ユーザー間および検索サービスに関する規則を定めている。これらのサービスには、危害のリスクを評価し対応することで、英国のユーザーを保護する新たな義務が課される。これには、ユーザー・トゥ・ユーザーのサービス・プロバイダーに対する以下の義務が含まれる：
・use proportionate measures to prevent users from encountering certain types of illegal content; and	・ユーザーが特定の種類の違法コンテンツに遭遇するのを防ぐために、相応の手段を用いること。
・use proportionate systems and processes to swiftly remove any illegal content after becoming aware of its presence on the service.	・サービス上に違法コンテンツが存在することを認識した場合、それを迅速に削除するための適切なシステムとプロセスを使用すること。
If a service is likely to be accessed by children, the OSA sets out duties for the protection of children. The OSA also includes specific duties for services that display or publish provider pornographic content.	サービスに児童がアクセスする可能性がある場合、OSAは児童保護の義務を定めている。OSAはまた、プロバイダーのポルノコンテンツを表示または公開するサービスに対する特定の義務も含んでいる。
Ofcom is the regulator for the OSA. It is responsible for implementing the regime and supervising and enforcing the online safety duties. Ofcom is publishing codes of practice and guidance that will provide more detail about the regime and explain how you can comply with your new duties.	OfcomはOSAの規制当局である。Ofcomは、OSAの規制当局であり、OSAを実施し、オンライン安全義務を監督・執行する責任を負っている。Ofcomは、本制度の詳細を提供し、新たな義務を遵守する方法を説明する実践規範とガイダンスを公表している。
The OSA sits alongside data protection law. Compliance with one does not necessarily mean compliance with the other. If you are carrying out content moderation that involves personal information, you must comply with data protection law.	OSAはデータ保護法と並存する。一方を遵守しても、他方を遵守するとは限らない。個人情報を含むコンテンツモデレーションを実施する場合は、データ保護法を遵守しなければならない。
Further reading	さらに読む
・Children's code including the section on Services covered by this code.	・このコードの対象となるサービスに関するセクションを含む、子供向けコード。
・Ofcom OSA codes and practice and guidance.	・OfcomのOSAコードと実践およびガイダンス。
・Online Safety Act 2023.	・オンライン安全法2023

最後の自動化の部分...

What if we use automated decision-making in our content moderation?	コンテンツ・モデレーションにおいて自動意思決定を使用する場合はどうするか？
In detail	詳細
Why is this important?	なぜこれが重要なのか？
When does content moderation involve solely automated decision-making?	コンテンツ・モデレーションが、もっぱら自動化された意思決定に関与するのはどのような場合か？
When do solely automated content moderation decisions have a legal or similarly significant effect?	もっぱら自動化されたコンテンツ・モデレーションの意思決定が、法的または類似の重大な影響を持つのはどのような場合か？
What do we need to do when Article 22 applies to our content moderation decision-making?	コンテンツ・モデレーションの意思決定に第22条が適用される場合、我々は何をする必要があるのか？
What about special category information?	特別カテゴリー情報の場合は？
What if Article 22 does not apply?	第22条が適用されない場合は？
Why is this important?	なぜこれが重要なのか？
You must determine whether your content moderation involves solely automated decisions that have legal or similarly significant effects on people. You should assess this for each stage of your content moderation workflow. This is due to restrictions in Article 22 of the UK GDPR on when you can carry this out.	あなたは、あなたのコンテンツ・モデレーションが、人々に対して法的または同様に重大な影響を及ぼす、もっぱら自動化された意思決定を含むかどうかを判断しなければならない。コンテンツ・モデレーションワークフローの各段階について、これをアセスメントする必要がある。これは、英国GDPR第22条において、いつこれを実施できるかという制限があるためである。
When does content moderation involve solely automated decision-making?	コンテンツ・モデレーションが、もっぱら自動化された意思決定に関与するのはどのような場合か？
Content moderation systems can extensively use automation to support content analysis and moderation actions.	コンテンツ・モデレーションシステムは、コンテンツ分析とモデレーションアクションをサポートするために、広範囲に自動化を使用することができる。
In most cases, this also means processing people’s personal information because the content you are analysing is linked to a particular user’s account (see the section on ‘What personal data does content moderation involve?’).	ほとんどの場合、分析中のコンテンツは特定のユーザーのアカウントにリンクされているため、これは人々の個人情報を処理することも意味する（「コンテンツ・モデレーションが関係する個人データとは」のセクションを参照）。
This can involve systems making solely automated decisions. “Solely automated” decisions are those taken without any meaningful human involvement. For example, automating the decision about whether a piece of content breaches your content policies and what type of moderation action follows afterwards.	これには、システムがもっぱら自動化された決定を下すことも含まれる。「もっぱら自動化された」決定とは、意味のある人間の関与なしに行われる決定のことである。例えば、あるコンテンツがコンテンツポリシーに違反しているかどうかの判断や、その後どのようなモデレーション措置が取られるかの判断を自動化することである。
This is particularly likely to be the case if the system you use is an AI-based content moderation tool used to classify and take action on content without a human being involved in those decisions.	特に、使用するシステムがAIベースのコンテンツ・モデレーション・ツールで、人間がその決定に関与することなく、コンテンツを分類し、アクションを取るために使用される場合、このようなケースになる可能性が高い。
Example	例
A service deploys an AI-based content classification system that automatically removes all content that scores above a certain confidence score in a particular category of prohibited content. For example, the system removes all content classified as ‘violence’ that has a confidence score of X% or greater.	あるサービスがAIベースのコンテンツ分類システムを導入し、禁止されているコンテンツの特定のカテゴリーで一定の信頼度以上のスコアを獲得したすべてのコンテンツを自動的に削除する。例えば、「暴力」に分類されるコンテンツのうち、信頼度スコアがX％以上のものをすべて削除する。
The system decides whether the content meets this classification, and where it does, removes the content.	システムは、コンテンツがこの分類に当てはまるかどうかを判断し、当てはまる場合はコンテンツを削除する。
As there is no human involvement, this is solely automated.	人間が関与しないため、これは完全に自動化されている。
However, not all content moderation involves solely automated decision-making. For example, this may apply to systems that use exact database matching tools. These can compare user-generated content to a database of known prohibited material that has been determined as prohibited by humans. Content that is found to be a match against this database is typically removed from the service.	しかし、すべてのコンテンツ・モデレーションが、自動化された意思決定のみを含むわけではない。たとえば、データベースの完全なマッチング・ツールを使用するシステムが該当する。これらのツールは、ユーザー生成的コンテンツを、人間によって禁止されていると判断された既知の禁止素材のデータベースと比較することができる。このデータベースと一致することが判明したコンテンツは、通常、サービスから削除される。
These types of decisions won’t necessarily be solely automated, because the moderation tool is operating according to specific, pre-defined parameters representing things that humans have already decided on. The tool isn’t making a decision based on an analysis of the likelihood of something happening, unlike with classification tools.	なぜなら、モデレーション・ツールは、人間がすでに決定していることを表す、あらかじめ定義された特定のパラメーターに従って動作しているからだ。分類ツールとは異なり、ツールは何かが起こる可能性の分析に基づいて決定を下しているわけではない。
Generally, if you intend a moderation system to go beyond exact matches of pre-defined content, then it is more likely to be making solely automated decisions. For example, it analyses additional information and makes its own predictions based on context and circumstances, such as perceptual hash matching or machine learning classification tools.	一般的に、モデレーション・システムが、あらかじめ定義されたコンテンツとの完全な一致を超えることを意図している場合、それはもっぱら自動化された決定を下す可能性が高い。例えば、知覚ハッシュマッチングや機械学習分類ツールのように、追加情報を分析し、文脈や状況に基づいて独自の予測を行う。
Example	例
A content moderation tool detects and removes links to known child sexual abuse material (CSAM).	コンテンツ・モデレーションツールは、既知の児童性的虐待素材（CSAM）へのリンクを検知し、削除する。
This involves exact matching against a pre-defined list of URLs where CSAM is present. Humans have determined that these links contain such material and have added them to the database.	これには、CSAMが存在するURLの事前定義リストとの正確なマッチングが含まれる。人間は、これらのリンクにそのような素材が含まれていると判断し、データベースに追加した。
The decision about the nature of the content and the action to remove it is taken before the system operates and it only functions according to these parameters. In this sense, the system is not making decisions, even though it’s operating automatically.	コンテンツの性質とそれを削除するアクションに関する決定は、システムが動作する前に行われ、システムはこれらのパラメーターに従ってのみ機能する。この意味で、システムは自動的に作動しているとはいえ、意思決定をしているわけではない。
Since this is not solely automated decision-making, it does not fall under Article 22. However, the service using this tool needs to make sure it complies with all the other requirements of data protection law set out in this guidance.	あくまで自動的な意思決定ではないので、第22条には該当しない。ただし、このツールを使用するサービスは、このガイダンスに示されたデータ保護法の他のすべての要件を遵守していることを確認する必要がある。
When do solely automated content moderation decisions have a legal or similarly significant effect?	もっぱら自動化されたコンテンツ・モデレーションの意思決定が、法的または類似の重大な影響を持つのはどのような場合か？
A ‘legal effect’ is something that affects someone’s legal status or their legal rights. A ‘similarly significant effect’ is something that has an equivalent impact on someone’s circumstances, behaviour or choices.	法的効果」とは、誰かの法的地位や法的権利に影響を与えるものである。同様に重大な影響」とは、誰かの状況、行動、選択に同等の影響を与えるものである。
Examples of legal and similarly significant effects include decisions that:	法的影響および同様に重大な影響の例には、以下のような決定が含まれる：
・affect someone’s financial circumstances; or	・誰かの経済状況に影響を与える。
・lead to someone being excluded or discriminated against;	・誰かが排除されたり、識別的に差別されたりする；
The impact of solely automated content moderation decisions can depend on the person, the service, and how that person uses that service. Understanding the full context in which automated decisions take place will help you identify whether Article 22 applies.	自動化されたコンテンツ・モデレーション決定のみが与える影響は、その人、そのサービス、その人がそのサービスをどのように利用するかによって異なる。自動化された決定が行われる完全な文脈を理解することは、第22条が適用されるかどうかを特定するのに役立つ。
You must determine whether solely automated decisions taken in your content moderation systems are going to have a legal or similarly significant effect. See our guidance on automated decision-making and profiling for more information about what types of decision have a legal or similarly significant effect. If this is the case, then you need to consider the Article 22 exceptions (see next section).	コンテンツ・モデレーションシステムで行われる唯一の自動化された意思決定が、法的または類似の重大な影響を及ぼすかどうかを判断しなければならない。どのような種類の決定が法的またはそれに準ずる重大な影響を及ぼすかについての詳細は、自動化された意思決定とプロファイリングに関するガイダンスを参照のこと。この場合、第22条の例外を検討する必要がある（次項参照）。
Example	例
A video sharing service uses a solely automated moderation system that results in a user’s video being removed from the service.	ある動画共有サービスが、ユーザーの動画がサービスから削除されるような、もっぱら自動化されたモデレーションシステムを使用している。
The moderation action is taken as a result of a solely automated analysis that classifies the video as violating the service’s content policies.	モデレーション措置は、もっぱら自動化された分析により、動画がサービスのコンテンツポリシーに違反していると分類された結果として行われる。
The service is making a solely automated decision about that particular user based on analysis of their personal information.	サービスは、特定のユーザーについて、その個人情報の分析に基づいて、もっぱら自動化された決定を下している。
The user is a content creator and revenue from video content is their primary source of income. Removal of the video has a significant impact on their income.	ユーザーはコンテンツ制作者であり、動画コンテンツからの収益が主な収入源である。動画の削除は彼らの収入に大きな影響を与える。
This is a solely automated decision based on the user’s personal information that has a legal or similarly significant effect on the user.	これは、ユーザーの個人情報に基づく、ユーザーに法的または類似の重大な影響を与える、もっぱら自動化された決定である。
The service has a mechanism to identify which of its solely automated content moderation decisions have a legal or similarly significant effect on its users. Therefore it can determine which decisions Article 22 applies to.	同サービスは、もっぱら自動化されたコンテンツ・モデレーションの決定のうち、どれがユーザーに法的またはそれに準ずる重大な影響を及ぼすかを特定する仕組みを持っている。したがって、どの決定に第22条が適用されるかを決定することができる。
The service identifies a relevant Article 22 exception for these decisions. It also implements the required safeguards and provides users with the required information about the decision-making (see next section for more information).	同サービスは、これらの決定に関連する第22条の例外を特定する。また、必要な保護措置を実施し、意思決定に関する必要な情報をユーザーに提供する（詳細は次項参照）。
Further reading	さらに読む
Automated decision-making and profiling including the specific section on ‘What types of decision have a legal or similarly significant effect?’	自動化された意思決定とプロファイリング（「どのような種類の意思決定が法的または類似の重大な影響を及ぼすか」に関する特定のセクションを含む。
What do we need to do when Article 22 applies to our content moderation decision-making?	コンテンツ・モデレーションの意思決定に第22条が適用される場合、何をする必要があるか？
Consider what exception applies	どのような例外が適用されるかを検討する
Article 22 means that you must only take solely automated decisions that have legal or similarly significant effects if they are:	第22条は、法的またはそれに準ずる重大な影響を及ぼす自動化された意思決定が以下の場合にのみ行わなければならないことを意味する：
・authorised by domestic law;	・国内法によって認可されている；
・necessary for a contract; or	・契約に必要である。
・based on a person’s explicit consent.	・本人の明示的な同意に基づく。
Where the decision is authorised by law	決定が法律で認められている場合
This exception applies where domestic law (including under the OSA and accompanying codes of practice) authorises solely automated decision-making with legal or similarly significant effects. But only where the law contains suitable measures to safeguard a user’s rights, freedoms and legitimate interests.	この例外は、国内法（OSAおよび付随する実施規範に基づくものを含む）が、法的またはそれに準ずる重大な影響を有する自動意思決定のみを認可している場合に適用される。ただし、法律にユーザーの権利、自由、正当な利益を保護する適切な措置が含まれている場合に限る。
It is your responsibility to determine whether this exemption applies.	この適用除外が適用されるかどうかを判断するのは、あなたの責任である。
You should document and be able to justify which part of the legislation authorises your use of solely automated decision-making.	あなたは、法規制のどの部分が唯一の自動化された意思決定の使用を許可しているかを文書化し、それを正当化できるようにしなければならない。
If you're carrying out solely automated decision-making under this exception, you must also comply with the requirements of Section 14 of the DPA 2018. This means you must:	この例外に基づき、もっぱら自動化された意思決定を実施する場合、DPA2018の第14条の要件も遵守しなければならない。これは、以下のことを意味する：
・tell people that you've made the decision as soon as reasonably practicable; and	・合理的に実行可能な限り速やかに、意思決定を行ったことを伝える。
・be prepared for any request they may make for you to reconsider the decision, or take a new one that's not solely automated.	・決定を再考する、あるいは自動化されたものではない新たな決定を下すよう求める要請があった場合に備える。
If someone does request that you reconsider, you must also:	再考を要請された場合、以下のことも行わなければならない：
・consider the request and any other relevant information the person provides;	・その要請と、その人が提供するその他の関連情報を検討すること；
・comply with the request; and	・その要求に応じること。
・inform the person, in writing, of the steps you've taken and the outcome.	・あなたがとった措置とその結果を、その人に書面で通知すること。
Where the decision is necessary for a contract	契約が必要な場合
This exception may apply if you’re carrying out solely automated decision-making that’s necessary to perform the contract between you and your users. For example, if you are using solely automated decision-making to enforce the terms of service that your users sign up to.	この例外は、あなたとユーザーとの間の契約を履行するために必要な自動化された意思決定のみを実施している場合に適用される場合がある。例えば、ユーザーがサインアップするサービス規約を実施するために、自動化された意思決定のみを使用している場合などである。
You must ensure that your processing is necessary for the performance of the contract. This doesn’t mean it must be absolutely essential, but it must be more than just useful.	あなたは、あなたの処理が契約の履行に必要であることを確認しなければならない。これは、絶対に必要という意味ではないが、単に有用である以上のものでなければならない。
Where the decision is based on someone’s explicit consent	誰かの明示的な同意に基づく場合
This exception applies if you have explicit consent from someone to carry out solely automated decision-making based on their personal information.	この例外は、あなたが誰かの個人情報に基づいて、もっぱら自動化された意思決定を行うことについて、誰かから明示的な同意を得ている場合に適用される。
It is unlikely that explicit consent exception applies to content moderation because it is unlikely to be freely given. In addition, it may be impractical for you to gather explicit consent from users.	コンテンツ・モデレーションに明示的同意の例外が適用される可能性は低い。また、ユーザーから明示的な同意を集めることは現実的でない場合もある。
Provide users with transparency about decisions	決定に関する透明性をユーザーに提供する。
If your content moderation involves solely automated decision-making with legal and similarly significant effects, then you must proactively tell your users about this. You must:	あなたのコンテンツ・モデレーションが、法的およびそれに準ずる重大な影響を伴う自動化された意思決定のみを含む場合、あなたはこのことを積極的にユーザーに伝えなければならない。以下のことが必要である：
・say that you’re making these types of decisions;	・このような意思決定を行っていることを明らかにすること；
・give them meaningful information about the logic involved in any decisions your system makes; and	・システムが行う意思決定に関わるロジックについて、意味のある情報を提供すること。
・tell them about the significance and envisaged consequences the decisions may have.	・その決定が持つ可能性のある重要性と想定される結果について伝える。
For example, you could include this information in your privacy policy or terms of service.	例えば、プライバシーポリシーや利用規約にこの情報を含めることができる。
You must also provide this information to any user that makes a SAR to you.	また、SARを提出したユーザーにもこの情報を提供しなければならない。
The OSA requires regulated services to set out in their terms of service if they are using ‘proactive technology’ to comply with their online safety duties. Services are also required to explain the kind of proactive technology they use, when they use it, and how it works. Complying with this duty may help you provide the transparency to users that UK GDPR requires. However, you must provide the necessary transparency for data protection law.	OSAは、規制対象サービスに対し、オンライン安全義務を遵守するために「プロアクティブテクノロジー」を使用しているかどうかをサービス利用規約に明記するよう求めている。また、サービスは、使用するプロアクティブ・テクノロジーの種類、使用時期、およびその仕組みについて説明することも義務付けられている。この義務を遵守することで、英国のGDPRが求める透明性をユーザーに提供できる可能性がある。ただし、データ保護法に必要な透明性を提供しなければならない。
Implement appropriate safeguards	適切な保護措置を実施する
If you’re relying on the contract or explicit consent exceptions, you must implement appropriate safeguards to protect people’s rights, freedoms and legitimate interests, including enabling people to:	契約または明示的な同意の例外に依拠する場合、利用者が以下を行えるようにするなど、利用者の権利、自由、正当な利益を保護するための適切な保護措置を実施しなければならない：
・obtain human intervention;	・人の介入を得る；
・express their point of view; and	・自分の意見を表明する
・contest the decision.	・決定に異議を申し立てる。
You should have an appeals process for content moderation decisions that users can easily use, understand and find on your service.	利用者が容易に利用し、理解し、サービス上で見つけることができる、コンテンツ・モデレーションの決定に対する不服申し立てプロセスを設けるべきである。
Under the OSA, all user-to-user services have a duty to operate complaints processes, including for users who have generated, uploaded or shared content on the service. Among other things, they should be allowed to complain if their content is taken down (or if they are given a warning, suspended or banned from using the service) on the basis that their content is illegal. There are also complaints obligations for services likely to be accessed by children and category 1 services.	OSAのもと、すべてのユーザー間サービスは、サービス上でコンテンツを生成、アップロード、共有したユーザーを含め、苦情処理プロセスを運営する義務を負う。とりわけ、コンテンツが違法であることを理由に、そのコンテンツが削除された場合（あるいは警告を受けたり、サービスの利用を停止されたり、禁止された場合）には、苦情を申し立てることが認められるべきである。また、子どもがアクセスする可能性の高いサービスやカテゴリー1のサービスについても、苦情申し立ての義務がある。
Where you are complying with your OSA complaints duties, these processes may help you provide the safeguards that Article 22 of the UK GDPR requires. In particular, ensuring your users can contest a content moderation decision. However, you must implement the appropriate safeguards for data protection law.	OSAの苦情処理義務を遵守している場合、これらのプロセスは、英国GDPR第22条が要求するセーフガードの提供に役立つ可能性がある。特に、コンテンツ・モデレーションに関する決定にユーザーが異議を申し立てることができるようにすることである。ただし、データ保護法の適切な保護措置を実施しなければならない。
What about special category information?	特別カテゴリー情報の場合は？
You must also consider whether your solely automated decision-making is likely to involve special category information.	唯一の自動化された意思決定が、特別なカテゴリー情報を含む可能性があるかどうかも考慮しなければならない。
You must not base your decisions on special category information unless you:	以下の場合を除き、特殊カテゴリー情報に基づいて意思決定を行ってはならない：
・have explicit consent; or	・明確な同意がある。
・can meet the substantial public interest condition in Article 9.	・第9条の実質的な公益条件を満たすことができる。
In addition, you must implement safeguards to protect users’ rights and freedoms, and legitimate interests.	さらに、利用者の権利と自由、および正当な利益を保護するためのセーフガードを導入しなければならない。
As noted above, you are unlikely to seek explicit consent for your content moderation processing. This means that if you intend to process special category information, you must consider the substantial public interest condition. (See the section on ‘What if our content moderation involves special category information?’ for more information.)	上述したように、コンテンツ・モデレーション処理について明示的な同意を求める可能性は低い。つまり、特殊カテゴリー情報を処理するつもりであれば、実質的な公益の条件を考慮しなければならない。(詳細については、「コンテンツ修正処理に特別なカテゴリー情報が含まれる場合」のカテゴリーを参照のこと)。
Further reading	さらに読む
・Automated decision-making and profiling	・自動意思決定とプロファイリング
・Rights related to automated decision-making including profiling	・プロファイリングを含む自動意思決定に関する権利
・Consent (including explicit consent)	・同意（明示的同意を含む）
・Guidance on AI and data protection including the section on ‘What is the impact of Article 22 of the UK GDPR on fairness?’	・公正さに対する英国GDPR第22条の影響は何か」のセクションを含む、AIとデータ保護に関するガイダンス
What if Article 22 does not apply?	第22条が適用されない場合は？
If Article 22 doesn’t apply to your content moderation processing, you must still comply with data protection law and ensure that users can exercise their rights.	コンテンツ・モデレーション処理に第22条が適用されない場合でも、データ保護法を遵守し、ユーザーが権利を行使できるようにしなければならない。
You could tell people about any automated decision-making your content moderation involves, even if it has meaningful human involvement.	あなたのコンテンツ・モデレーションが関与する自動化された意思決定については、たとえそれが有意義な人間の関与を伴うものであっても、人々に伝えることができる。
You should tell people what information you’re using and where it came from. This helps you be more transparent, particularly if your processing won’t necessarily be obvious to people.	どのような情報を使っているのか、その情報の出所はどこなのかを人々に伝えるべきである。これは、特にあなたの処理が必ずしも人々に明白でない場合、より透明性を高めるのに役立つ。
Further reading	さらに読む
What if Article 22 doesn’t apply to our processing?	第22条が当社の処理に適用されない場合はどうなるか？

2024.06.24 01:25 in 個人情報保護 / プライバシー, in 法律 / 犯罪, in AI/Deep Learning | Permalink | Comments (0)
Tweet

2024.06.23

デジタル庁デジタル認証アプリをリリースします！（予告...）

こんにちは、丸山満彦です。

デジタル庁が、デジタル認証アプリを6月末にリリースする予定と発表していますね...

本人確認にマイナンバーカードのデジタル署名がさまざまな場面で使えるようになると便利で適正な世の中に近づくような気はしますね...

個人的には、何の罪もないマイナンバーカードがこれほど嫌われているのは、国民から政府が信頼されていないからじゃないかなぁ...と思うんですよね...

なので、政府が政策を進めようとするのであれば、全ての政策について国民が納得できるように情報開示を徹底し、真摯で丁寧な対応をし、政策評価も真面目にし、それを会計検査院がちゃんと監査してお墨付きを与えるということをやらないとね...

本来は、国民が選んだ議員からなる議会がその役割のはずで、報道機関も国民目線で批判的に政府を見ていく必要があるのでしょうけどね...

まぁ、国民が選んだ議員から多くの大臣がでていることもあるし...国民の限界＝国の限界ということですかね...

● デジタル庁

・2024.06.21 デジタル認証アプリをリリースします

「デジタル認証アプリ」は、マイナンバーカードを使った本人確認を、安全に・簡単にするためのアプリです。行政機関や民間事業者は、デジタル庁が無償で提供するAPI（デジタル認証アプリサービスAPI）を活用することで、マイナンバーカードを使った本人確認を簡単に組み込むことができます。

受付開始は、6月24日（月）午後以降となるようですね...

[PDF] デジタル認証アプリについて

・デジタル認証アプリサービスサイト

・デジタル庁開発者サイト

2024.06.23 08:30 in 情報セキュリティ / サイバーセキュリティ | Permalink | Comments (0)
Tweet

デジタル庁デジタル社会の形成に関する重点計画・情報システム整備計画・官民データ活用推進基本計画の変更

こんにちは、丸山満彦です。

「デジタル社会の実現に向けた重点計画」が閣議決定されたようですね。。。

内容を読む前に量に圧倒されますよね...

紙にこそしていませんが、情報が紙で扱う時と同じような感じでPDFで整理されているのは、霞ヶ関文化って感じ(^^)

まぁ、一覧性はあるか(^^)

● デジタル庁

・2024.06.21「デジタル社会の実現に向けた重点計画」が閣議決定されました

・デジタル社会の実現に向けた重点計画

資料

概要（簡易版）

概要

本文

重点政策一覧

工程表

オンライン化を実施する行政手続の一覧等

国・地方デジタル共通基盤の整備・運用に関する基本方針

統合版（令和6年6月21日閣議決定）

本計画と関連法律に定める記載事項との対応関係

重点政策一覧と関連法律との対応関係

2024.06.23 07:32 in 情報セキュリティ / サイバーセキュリティ, in 法律 / 犯罪, in クラウド, in AI/Deep Learning | Permalink | Comments (0)
Tweet

内閣府経済財政運営と改革の基本方針2024

こんにちは、丸山満彦です。

令和６年６月21日、「経済財政運営と改革の基本方針2024　～賃上げと投資がけん引する成長型経済の実現～」（骨太方針2024）が経済財政諮問会議での答申を経て、閣議決定されたとのことです...

最近、いろいろと考えることがあって、感じているのですが、計画も重要だけど、実行とその評価がより重要ですよね...

方針や計画は有識者がさまざまなデータや経験に基づいて、ねりにねって考えていて、それなりに適切なものができているのかもしれません。

が、問題はその実行と実行結果の評価、そして、それを踏まえた改善ですよね...

なんかマネジメント・システムの重要性でPDCA的な話は多いのだけれども、国の政策、企業経営全体になると、計画がよりクローズアップされ、その実行がどうなっているのか、その結果はどうだったのか、改善の余地はないのか？　みたいな話は薄れていきますよね...

（政策に至ってはいつの間にか無かったことになっているものも多いような...）

ということで、国民は、この方針の実行、その結果というのを、確認する必要があるように思います。マスコミもぜひ、実行中の報道や、実行結果についての報道に力を入れていただきたいと思います。

そうすれば、より改善ができ、よりよい社会に近づくのではないかと思います。

あと、気になったのは、DX、GXという言葉の乱発ですね...DXは50箇所、GXは16箇所に出てきます...日本語に置き換えたら何という言葉になるのでしょうね...、（多くの人にとってDXって、ほぼバズワードって認識なので...）

● 官邸 - 閣議

・2024.06.21 持ち回り閣議案件

経済財政運営と改革の基本方針２０２４について（決定）（内閣官房・内閣府本府）
新しい資本主義のグランドデザイン及び実行計画２０２４年改訂版について（決定）（内閣官房）
規制改革実施計画について（決定)(内閣府本府）[PDF]

● 内閣府

・2024.06.21 経済財政運営と改革の基本方針2024

・[PDF] 経済財政運営と改革の基本方針2024　～総論～

・[PDF] 経済財政運営と改革の基本方針2024　～政策ファイル～

・[PDF] 経済財政運営と改革の基本方針2024　～賃上げと投資がけん引する成長型経済の実現～（令和６年６月21日閣議決定）

目次...

第１章成長型の新たな経済ステージへの移行
１．デフレ完全脱却の実現に向けて
２．豊かさと幸せを実感できる持続可能な経済社会に向けて

第２章社会課題への対応を通じた持続的な経済成長の実現
～賃上げの定着と戦略的な投資による所得と生産性の向上～
１．豊かさを実感できる「所得増加」及び「賃上げ定着」
（１）賃上げの促進
（２）三位一体の労働市場改革
（３）価格転嫁対策
２．豊かさを支える中堅・中小企業の活性化
（１）人手不足への対応
（２）中堅・中小企業の稼ぐ力
（３）輸出・海外展開
３．投資の拡大及び革新技術の社会実装による社会課題への対応
（１）ＤＸ
（２）ＧＸ・エネルギー安全保障
（３）フロンティアの開拓
（４）科学技術の振興・イノベーションの促進
（５）資産運用立国
４．スタートアップのネットワーク形成や海外との連結性向上による社会課題への対応
（１）スタートアップの支援・ネットワークの形成
（２）海外活力の取り込み
（３）大阪・関西万博の推進
５．地方創生及び地域における社会課題への対応
（１）デジタル田園都市国家構想と地方創生の新展開
（２）デジタル行財政改革
（３）地方活性化及び交流の拡大
（４）農林水産業の持続可能な成長及び食料安全保障
６．幸せを実感できる包摂社会の実現
（１）共生・共助・女性活躍社会づくり
（２）安全・安心で心豊かな国民生活の実現
７. 持続的な経済成長の礎となる国際環境変化への対応
（１）外交・安全保障
（２）経済安全保障
８．防災・減災及び国土強靱化の推進
（１）防災・減災及び国土強靱化
（２）東日本大震災、能登半島地震等からの復旧・復興

第３章中長期的に持続可能な経済社会の実現～「経済・財政新生計画」～
１．新たなステージに向けた経済財政政策
２．中期的な経済財政の枠組み
３．主要分野ごとの基本方針と重要課題
（１）全世代型社会保障の構築
（２）少子化対策・こども政策
（３）公教育の再生・研究活動の推進
（４）戦略的な社会資本整備
（５）地方行財政基盤の強化
４．改革推進のためのＥＢＰＭ強化

第４章当面の経済財政運営と令和７年度予算編成に向けた考え方
１．当面の経済財政運営について
２．令和７年度予算編成に向けた考え方

（余談）

デジタル庁のダッシュボードは実行の数についてはモニタリングできる仕組みになっていますね...（質はわかりませんが...）

・アナログ規制の見直し状況に関するダッシュボード

2024.06.23 06:12 in 安全保障 | Permalink | Comments (0)
Tweet

2024.06.22

東芝「東芝グループサイバーセキュリティ報告書２０２４」の発行について (2024.06.18)

こんにちは、丸山満彦です。

東芝グループが、サイバーセキュリティ報告書２０２４を公表していますね...

サイバーセキュリティのリスクは企業のリスクの中でも大きなリスクの一つに挙げられそうですので、ESG報告書の別冊的な位置付けでESGの一部として重要なサイバーセキュリティ分野の報告書を公表していくというのは、利害関係者とのコミュニケーション手段の一つして良いのではないかと思います。

ガバナンス、個人情報保護、社内ITインフラの保護、製品やサービスのセキュリティ、研究開発まで、網羅的に述べられていてよいですね...

NECは「情報セキュリティ報告書」をほぼ毎年公表していますね。。。

経済産業省が、情報セキュリティガバナンスや情報セキュリティ報告書についての政策に力をいれていたこともあって、2009年−2015年ころは少なからずの企業が公表していた時期があったんですけどね...

いまでも、情報セキュリティ報告書のモデル [PDF] ガイドラインが公表されていますが、NECや東芝のものを見ると、少し歴史を感じさせる内容となっていますね...

● 東芝

プレス...

・2024.06.18 「東芝グループサイバーセキュリティ報告書２０２４」の発行について

報告書...

・サイバーセキュリティ報告書

・[PDF] 　A3 閲覧用 A4 印刷用

サイバーセキュリティ報告書

目次...

最高情報セキュリティ責任者（CISO）メッセージ
東芝グループサイバーセキュリティマニフェスト
東芝グループ理念体系

ビジョン・戦略
東芝グループのセキュリティビジョン
ガバナンス
セキュリティオペレーション
人材育成
プライバシーガバナンスの取り組み
個人情報保護
海外法令対応

セキュリティ確保への取り組み
社内ITインフラへの対策
監視・検知の強化…
EDRツールによるエンドポイント対策の強化・・インターネット接続点のセキュリティ対策
インシデント対応への取り組み・ハッカー視点の高度な攻撃・侵入テスト
自主監査・アセスメント..
脅威インテリジェンスの活用
アタックサーフェスの管理と脆弱性対応
製品・システム・サービスへの対策
製品セキュリティを確保するための取り組み
迅速かつ確実な脆弱性への対応
サプライチェーンセキュリティリスクへの対応
セキュアな製品・システム・サービスの提供
研究開発
社外活動
第三者評価・認証
持続可能な開発目標（SDGS）達成に向けて

2024.06.22 10:22 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 監査 / 認証, in ESG/CSR, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続 | Permalink | Comments (0)
Tweet

OECD サイバーセキュリティ測定の新たな視点

こんにちは、丸山満彦です。

OECDがサイバーセキュリティ測定のための指標等の作成、分析等についての留意点をまとめたものです。サイバーセキュリティについての適切な指標等があれば、政府にとっては適切な政策策定のために、企業にとっては適切な対策策定のための重要なインプットとなりそうです...

どのような指標がどのような対策立案等のために重要かという話だけでなく、その指標は適切なものか（バイアスがないか等）も含めて考慮すべきことが多いということですよね。。。

ただ、継続的にとっていれば、一定のバイアスがあっても傾向はわかるかもしれません...

日本の場合は、まずは指標等を整理して、それからその内容を分析ということで、これからスタートに立てるのでしょうかね。。。（警察白書、サイバー警察局の統計、サイバー空間をめぐる脅威の情勢等、不審なアクセスの観測状況、総務省の情報通信白書、NICTのNOTICE観測データ、個人情報保護委員会の年次報告等で一定の情報を継続的に収集していますし、JPCERT/CCの活動四半期報告レポートやフィッシング対策協議会の月次報告、民間企業等も一定の調査をして発表はしていますが...）

サイバーセキュリティ白書のようなものを作っていく必要があるのでしょうかね...

● OECD

・2024.06.20 New perspectives on measuring cybersecurity

New perspectives on measuring cybersecurity

サイバーセキュリティ測定の新たな視点

Measuring the various aspects of cybersecurity across countries is challenging, in part because the actors in the cybersecurity ecosystem often do not have the incentives to share key data. At the same time, people, firms and governments need to feel secure to communicate online and use Internet-based services. This statistical report provides an overview of how cybersecurity is being measured across a variety of data sources and using different methodological approaches. Beginning with a checklist of measurement considerations, the report then discusses existing data from official and non-official sources, identifying when each data source is most useful. The report then provides two proofs of concepts for measuring uncertainty related to cyber risks, or “cybersecurity uncertainty”. Measuring such uncertainty can complement existing statistics and help anticipate emerging cybersecurity trends, develop more targeted cybersecurity awareness programmes, and promote a more secure and resilient digital ecosystem.

サイバーセキュリティのエコシステムの関係者が重要なデータを共有するインセンティブを持たないことが多いこともあり、国を超えてサイバーセキュリティの様々な側面を測定することは困難である。同時に、人々、企業、政府は、オンライン通信やインターネットベースのサービスを安心して利用する必要がある。本統計報告書では、さまざまなデータソースと異なる方法論的アプローチを用いて、サイバーセキュリティがどのように測定されているかを概観する。本レポートは、測定に関する検討事項のチェックリストに始まり、公式および非公式な情報源から得られた既存のデータについて論じ、それぞれのデータ源が最も有用な場合を特定している。そして、サイバーリスクに関連する不確実性、すなわち「サイバーセキュリティの不確実性」を測定するための2つの概念実証を提供している。このような不確実性を測定することで、既存の統計を補完し、新たなサイバーセキュリティの傾向を予測し、より的を絞ったサイバーセキュリティ意識向上プログラムを開発し、より安全で強靭なデジタルエコシステムを促進することができる。

・[PDF]

・[DOCX][PDF] 仮訳

目次...

Foreword	まえがき
1 Introduction	1 序文
2 Checklist of cybersecurity measurement considerations	2 サイバーセキュリティ測定に関する検討事項のチェックリスト
What should be measured?	何を測定すべきか？
Frequency, timeliness and comparability over space and time	空間的・時間的な頻度、適時性、比較可能性
Interpretability, incentive-compatibility and transparency	解釈可能性、インセンティブ適合性、透明性
Data sources	データソース
3 Cybersecurity data from official sources	3 公的情報源からのサイバーセキュリティ・データ
Official statistical sources	公的統計資料
Administrative data	行政データ
4 Cybersecurity data from non-official sources	4 公的情報源以外からのサイバーセキュリティ・データ
Policy surveys and desk research	政策調査と机上調査
Data from private sources	民間からのデータ
5 Two innovative approaches to measuring uncertainty in cyberspace	5 サイバー空間における不確実性を測定する2つの革新的アプローチ
News reports: towards a cybersecurity uncertainty index	ニュース報告書：サイバーセキュリティの不確実性指数に向けて
Online searches: another approach to constructing an index of cybersecurity uncertainty	オンライン検索：サイバーセキュリティの不確実性の指標を構築するための別アプローチ
6 Conclusion	6 結論
References	参考文献
Annex A. Cybersecurity indicators in the OECD ICT Access and Use Databases	附属書A.OECD ICT Access and Use Databasesにおけるサイバーセキュリティ指標
Annex B. A case study of top related topics	附属書B.トップ関連トピックのケーススタディ
Endnotes	巻末資料

2024.06.22 06:37 in 情報セキュリティ / サイバーセキュリティ, in フィッシング, in 個人情報保護 / プライバシー, in 脆弱性, in 内部統制 / リスクマネジメント, in 安全保障 | Permalink | Comments (0)
Tweet

2024.06.21

OECD 政策立案者のための暗号技術の主要概念と現在の技術動向

こんにちは、丸山満彦です。

政策立案者も暗号技術についての理解は必要ですよね...特に安全保障系の人には...

OECDから、そんな政策立案者のための暗号技術の主要概念と現在の技術動向という報告書が公表されていますね...

暗号とは、、、から始まり、経営者も読んだ方が良い内容かもです...

● OECD

・2024.06.20 Key concepts and current technical trends in cryptography for policy makers

Key concepts and current technical trends in cryptography for policy makers

政策立案者のための暗号技術の主要概念と現在の技術動向

This report introduces cryptography to policy makers and includes key concepts such as symmetric and asymmetric cryptography, public key infrastructure, and end-to-end encryption. It discusses advancements in homomorphic encryption, which allows computations to be performed on encrypted data without decrypting it first and accessing the secret key. Often described as “the holy grail of cryptography”, homomorphic encryption remains a promising area of research rather than a fully developed technology. The report also addresses quantum technologies, which could pose a threat to the foundations of public key cryptography, potentially undermining trust in the digital ecosystem. While current quantum computers are far from causing such disruptions, a transition to quantum-resistant (or post-quantum) cryptography is essential today to address their future impact. Additionally, quantum cryptography shows significant promise for secure communications but is not yet suitable for sensitive applications.

本レポートでは、政策立案者向けに暗号技術を紹介し、対称暗号、非対称暗号、公開鍵基盤、エンド・ツー・エンド暗号などの主要概念を盛り込んだ。また、暗号化されたデータを復号し、秘密鍵にアクセスすることなく計算を行うことを可能にする準同型暗号の進歩についても触れている。準同型暗号は、しばしば「暗号技術の聖杯」と評されるが、完全に開発された技術ではなく、依然として有望な研究分野である。報告書はまた、公開鍵暗号の基盤に脅威をもたらし、デジタル・エコシステムの信頼を損なう可能性のある量子技術も取り上げている。現在の量子コンピュータはそのような破壊を引き起こすには程遠いが、将来的な影響に対処するためには、耐量子（またはポスト量子）暗号への移行が今日不可欠である。さらに、量子暗号は安全なコミュニケーションに大きな可能性を示しているが、機密性の高いアプリケーションにはまだ適していない。

・[PDF]

目次...

Foreword	まえがき
Executive summary	エグゼクティブサマリー
1 Introduction	1 序文
Fostering trust without jeopardising public safety	公共の安全を損なうことなく信頼を醸成する
A brief overview of the “crypto wars”	暗号戦争」の概要
2 What is cryptography?	2 暗号とは何か？
Symmetric and asymmetric cryptography are the two main cryptosystems	対称暗号と非対称暗号が2つの主要な暗号システムである
Cryptography is a vital foundation of the digital world	暗号はデジタル世界の重要な基盤である
End-to-end encryption	エンド・ツー・エンドの暗号化
Breaking cryptography	暗号を破る
3 Key trends in cryptography: towards future disruptions?	3 暗号技術の主なトレンド：将来の破壊に向けて？
Homomorphic Encryption: the “Holy Grail” of cryptography?	準同型暗号：暗号の「聖杯」か？
Quantum information technologies: a disruptive innovation that presents both opportunities and dangers	量子情報技術：チャンスと危険の両方をもたらす破壊的イノベーション
Technical and other responses to the law enforcement challenge: a trend towards more targeted approaches?	法執行の課題に対する技術的およびその他の対応：より的を絞ったアプローチへの傾向？
4 Conclusion	4 まとめ
References	参考文献
Notes	備考

エグゼクティブサマリー

Executive summary	エグゼクティブサマリー
This report provides a basic introduction to cryptography for policy makers, including key concepts such as symmetric and asymmetric cryptography, public key infrastructure, end-to-end encryption, cryptanalysis, etc. The bulk of the report is a discussion of disruptive developments in homomorphic encryption and quantum-related cryptographic research. The following key points emerge from the research.	本レポートでは、政策立案者向けに、対称・非対称暗号、公開鍵基盤、エンド・ツー・エンド暗号、暗号解析などの主要概念を含む暗号の基本的な入門書を提供する。本レポートの大部分は、準同型暗号と量子関連の暗号研究における破壊的な発展についての議論である。研究からは以下の重要なポイントが浮かび上がってくる。
Cryptography is a fundamental digital security technology at the core of digital trust. Although most people rarely notice its use and barely understand how it works, it is the technical building block supporting user trust in their devices, software, and communications for personal, commercial, legal, business, governmental and other purposes. Cryptography supports the confidentiality and integrity of data in communication (in transit) and in storage (at rest). Digital signatures provide authenticity of information and prevent an involved party from denying its responsibility related to that information, such as authoring or sending it.	暗号は、デジタルの信頼の中核をなす基本的なデジタル・セキュリティ技術である。ほとんどの人はその使用にほとんど気づかず、その仕組みもほとんど理解していないが、個人、商業、法律、ビジネス、政府、その他の目的において、デバイス、ソフトウェア、コミュニケーションに対するユーザーの信頼を支える技術的構成要素である。暗号は、コミュニケーション（輸送中）やストレージ（保管中）におけるデータの機密性と完全性をサポートする。デジタル署名は情報の認可を提供し、関係者がその情報の作成者や送信者など、その情報に関する責任を否定することを防ぐ。
The implementation of any technology, cryptography included, can introduce weaknesses and technological developments such as homomorphic cryptography and quantum information technologies are creating new opportunities and challenges for cryptography.	暗号を含むあらゆる技術の実装には弱点があり、同型暗号や量子情報技術のような技術開発は、暗号に新たな機会と課題を生み出している。
Homomorphic encryption is an innovative cryptographic method that allows certain computations to be performed on encrypted data without the need to decrypt it first, and without requiring access to the secret key. Once mature, it could allow processing of financial, medical, location, and other confidential data without revealing their content or affecting privacy. Such data processing could take place in untrusted environments like public cloud infrastructures, reducing concerns such as data localisation and data breaches.	準同型暗号は、暗号化されたデータに対して、最初に復号することなく、また秘密鍵にアクセスすることなく特定の計算を行うことを可能にする革新的な暗号手法である。これが成熟すれば、金融、医療、位置情報、その他の機密データを、その内容を明らかにすることなく、プライバシーに影響を与えることなく処理できるようになる。このようなデータ処理は、パブリック・クラウド・インフラストラクチャーのような信頼されていない環境で行われる可能性があり、データのローカライズやデータ漏洩などの懸念を軽減することができる。
However, fully homomorphic encryption (FHE) is still just a promising area of research rather than a mature disruptive technology. It is often described as “the holy grail of cryptography”. Homomorphic encryption is available today, but only with algorithms that have significant performance, correctness, and usability limitations and weaknesses, restricting their potential use to niche applications. However, significant research and standardisation efforts to achieve FHE are underway and, according to some experts, today this technology is perhaps where machine learning was ten years ago.	しかし、準同型暗号（FHE）は成熟した破壊的技術というよりは、まだ有望な研究分野に過ぎない。FHEはしばしば「暗号技術の聖杯」と表現される。準同型暗号は今日利用可能だが、性能、正しさ、使いやすさに大きな制限と弱点を持つアルゴリズムに限られており、潜在的な利用はニッチなアプリケーションに限られている。しかし、FHEを実現するための多大な研究と標準化の努力が進められており、一部の専門家によれば、今日、この技術はおそらく10年前の機械学習の位置にある。
Quantum technologies, which leverage physical properties of particles at the subatomic level, have the potential to threaten the foundations of public key cryptography and undermine our economies’ digital trust. In theory, a mature quantum computer would multiply processing power and speed by several orders of magnitude, allowing it to solve some of the most complex challenges of our time, for example in genetic, materials and climate sciences. However, a mature quantum computer could also easily break public key cryptography by solving the mathematical problems at its core that currently guarantee its robustness. This would have immense consequences because the vulnerability of these cryptosystems to a quantum attack would lead to the vulnerability of all security protocols that derive security from public key cryptography, and of any product or security system deriving security from these protocols. In brief, this would break the security of most, if not all, encrypted data in storage and in transit.	素粒子レベルの物理的特性を活用する量子技術は、公開鍵暗号の基盤を脅かし、経済のデジタル的信頼を損なう可能性を秘めている。理論的には、成熟した量子コンピューターは処理能力と速度を数桁向上させ、遺伝子科学、材料科学、気候科学など、現代における最も複雑な課題の解決を可能にする。しかし、成熟した量子コンピューターは、現在その堅牢性を保証している核となる数学的問題を解くことで、公開鍵暗号を簡単に破ることもできる。なぜなら、量子攻撃に対するこれらの暗号システムの脆弱性は、公開鍵暗号から安全性を得ているすべてのセキュリティ・プロトコルや、これらのプロトコルから安全性を得ているあらゆる製品やセキュリティ・システムの脆弱性につながるからである。簡単に言えば、暗号化されたデータの保存中や転送中のセキュリティが、すべてではないにせよ、ほとんど壊れてしまうということだ。
The race to develop more powerful quantum computers is accelerating, but current quantum computers are still several orders of magnitude away from threatening current cryptographic algorithms. Significant public and private research investments in OECD countries and beyond are boosting quantum computing research. However, design and engineering challenges are extremely significant and overcoming them in a short timeframe would require a concerted research programme of an Apollo or Manhattan project’s scale. That makes estimating a realistic timeframe for the development of a quantum computer capable of breaking current cryptography very difficult.	より強力な量子コンピュータの開発競争は加速しているが、現在の量子コンピュータが現在の暗号アルゴリズムを脅かすには、まだ数桁遠い。OECD諸国をはじめとする国々では、官民による多額の研究投資が量子コンピュータ研究を後押ししている。しかし、設計や工学的な課題は非常に大きく、短期間で克服するには、アポロ計画やマンハッタン計画のような規模の共同研究プログラムが必要となる。そのため、現在の暗号を破ることのできる量子コンピューターの開発期間を現実的に見積もることは非常に困難である。
Nevertheless, tomorrow’s quantum computing impact on cryptography must be addressed today. There is evidence that some countries have already taken an “intercept and store now, decrypt later” approach, collecting high-value encrypted data today with the expectation to decrypt it later once a quantum computer is available to them (a “retroactive attack”). At that time, stakeholders will face a rapid collapse of their cryptographic architecture and will have little time to react. Long-term confidentiality protection is essential for the most sensitive encrypted data − from genetic, biometric, financial and other sensitive personal data to state secrets, long-term business development data and negotiation information. It is also critical for high-value, root-level public keys that are intended to have long operational lifetimes.	とはいえ、量子コンピューターが暗号技術に与える明日の影響については、今日中に対処しなければならない。一部の国はすでに「今は傍受して保存し、後で復号化する」というアプローチを取っており、価値の高い暗号化されたデータを現在収集し、後で量子コンピュータが可用性攻撃（"retroactive attack"）が可能になれば復号化することを想定している。その時、関係者は暗号アーキテクチャの急速な崩壊に直面し、対応する時間はほとんどないだろう。遺伝子データ、生体データ、金融データ、その他機密性の高い個人データから、国家機密、長期的な事業開発データ、交渉情報に至るまで、最も機密性の高い暗号化データには長期的な機密保護が不可欠である。また、運用寿命が長いことを前提とした、価値の高いルート・レベルの公開鍵にも不可欠である。
The solution to address this challenge is the progressive transition from current quantum vulnerable cryptographic algorithms to quantum resistant cryptography (QRC). Considering the significant and growing research investments in quantum technologies, experts are sounding the alarm and calling for a transition to QRC sooner rather than later. QRC, also known as post-quantum, quantum safe or quantum secure cryptography, is a family of new cryptographic algorithms that are immune to attacks leveraging both traditional and quantum computers, and that can be executed on traditional computers with traditional communication channels. Cybersecurity agencies from Australia, Canada, France, Germany, the United Kingdom, and the United States are encouraging stakeholders to start transitioning their products and information systems’ security towards using QRC, a process that may take many years to complete. Several QRC algorithms have already been tested and selected through an international process carried out by the US National Institute for Standards and Technologies (NIST).	この課題に対処する解決策は、現行の量子脆弱性暗号アルゴリズムから耐量子暗号（QRC）への漸進的な移行である。量子技術への研究投資が大幅に増加していることを考慮すると、専門家は警鐘を鳴らし、早急にQRCへの移行を呼びかけている。QRCは、ポスト量子暗号、量子安全暗号、量子セキュア暗号とも呼ばれ、従来のコンピュータと量子コンピュータの両方を利用した攻撃に耐性があり、従来の通信チャネルを持つ従来のコンピュータで実行可能な新しい暗号アルゴリズム群である。オーストラリア、カナダ、フランス、ドイツ、英国、米国のサイバーセキュリティ機関は、自社の製品や情報システムのセキュリティをQRCに移行するよう関係者に呼びかけている。すでにいくつかのQRCアルゴリズムは、米国国立標準技術研究所（NIST）が実施した国際的なプロセスを通じてテストされ、選定されている。
Quantum cryptography, also known as quantum key distribution (QKD), also carries an enormous potential for more secure communications, but is not yet ready for sensitive applications. It is a cryptography technology based on quantum communications that takes advantage of the laws of physics rather than mathematical complexity to ensure confidentiality. In theory, quantum cryptography, which is available today, can remain secure regardless of the amount of processing power and mathematical innovation an adversary uses to defeat it. However, it requires expensive, dedicated equipment with extremely low tolerance for error to leverage the quantum state of micro particles. This is the main reason many cybersecurity agencies discourage its use for sensitive applications at this point, and instead call for the adoption of QRC, which can run on existing computers.	量子暗号は、量子鍵配送（QKD）としても知られ、より安全なコミュニケーションを実現する大きな可能性を秘めているが、機密性の高いアプリケーションにはまだ対応できていない。量子コミュニケーションに基づく暗号技術で、数学的な複雑さではなく物理法則を利用して機密性を確保する。理論的には、今日利用可能な量子暗号は、敵がそれを破るためにどれだけの処理能力や数学的な革新を用いても、安全性を保つことができる。しかし、微粒子の量子状態を利用するためには、エラーに対する許容度が極めて低く、高価な専用機器が必要となる。これが、多くのサイバーセキュリティ機関が、現時点では機密性の高いアプリケーションへの利用を控え、代わりに既存のコンピューターで実行可能なQRCの採用を呼びかけている主な理由である。

2024.06.21 07:44 in 情報セキュリティ / サイバーセキュリティ, in 暗号 / 電子署名 / ブロックチェーン, in 量子技術, in 安全保障 | Permalink | Comments (0)
Tweet

OECD 子どものためのデザインによるデジタル・セーフティを目指す

こんにちは、丸山満彦です。

OECDが、子どものためのデザインによるデジタル・セーフティを目指すという報告書を公表していますね...

こどもの成長に応じて、デジタル製品やサービスに安全対策を積極的に組み込むこと、また透明性が高く、説明責任を果たし、子どもに優しいサービスを提供することが重要となりますよね...

興味深い内容となっていますね...

さて、日本では、個人情報保護法の見直し議論の中に子供のプライバシー保護の話がでてきていますが、それも含めて、デジタル化時代における子供の保護のあり方というのを、日本もちゃんと考えた方が良いのでしょうね。。。

せっかく、こども家庭庁もでき、こども基本法もできたことですしね...こども政策推進会議の議論ってどうなっているのだっけ...

2023.12.22に策定された[PDF]「こども大綱」には、プライバシーもセキュリティの言葉はでてきませんね...個人情報については、政策に生かすために子供から意見を聴衆する際に個人情報に気をつけるという意味で使われていますね...ちなみに、デジタルという用語は三箇所...

● OECD

・2024.06.13 Towards digital safety by design for children

Towards digital safety by design for children

子どものためのデザインによるデジタル・セーフティを目指す

Child rights advocates, parents, governments, and children themselves are increasingly calling for digital safety by design, so that children can be protected online, and also benefit from positive digital experiences. However, the exact meaning of digital safety by design can be unclear. This report explores the concept, considering how it is addressed at international and national levels. Internationally, there are common calls for the proactive integration of safety measures into digital products and services, as well as for transparent, accountable and child-friendly service delivery. National laws prescribe practical tools and measures such as age assurance and accessible complaint mechanisms. Focusing on actions for digital service providers, the report suggests eight key components for digital safety by design for children, including practical tools, measures to foster a culture of safety, and harm mitigation strategies. These components are illustrated through case studies, highlighting a need for diverse and tailored approaches.

子どもの権利擁護者、保護者、ガバナンス、そして子どもたち自身が、デザインによるデジタル・セーフティを求めるようになっている。しかし、デザインによるデジタル・セーフティの正確な意味は不明確である。本報告書では、このコンセプトが国際レベルおよび国内レベルでどのように取り組まれているかを考察する。国際的には、デジタル製品やサービスに安全対策を積極的に組み込むこと、また透明性が高く、説明責任を果たし、子どもに優しいサービスを提供することが、共通して求められている。国内法では、年齢保証や利用しやすい苦情処理メカニズムなど、実用的な手段や措置が規定されている。本報告書は、デジタル・サービス・プロバイダの行動に焦点を当て、実践的なツール、安全文化を醸成するための方策、被害低減戦略など、子どものためのデジタル・セーフティ・バイ・デザインのための8つの重要な構成要素を提案している。これらの構成要素はケーススタディを通じて説明されており、多様でそれぞれに合ったアプローチの必要性が強調されている。

・[PDF]

Foreword	まえがき
Executive summary	エグゼクティブサマリー
1 Introduction	1 序文
2 Existing by design approaches	2 デザインによるアプローチ
Designing for safety offline	オフラインでの安全設計
Digital by design concepts	デジタル・バイ・デザインのコンセプト
What lessons can be drawn from other by design approaches and applied to digital safety by design for children?	他のバイ・デザイン・アプローチからどのような教訓を引き出し、子どものためのデジタル・セーフティ・バイ・デザインに適用できるか？
3 International initiatives to understand and promote digital safety by design for children	3 子どものためのデジタル・セーフティ・バイ・デザインを理解し推進するための国際的な取り組み
4 Existing and emerging laws and policies on digital safety encompassing children	4 子どもを包含するデジタル安全に関する既存の、そして新たな法律や政策
5 Dedicated regulatory agencies focusing on digital safety, including for children	5 子どもを含むデジタル・セーフティに特化した規制機関
6 Key components of digital safety by design for children	6 子ども向けデジタル・セーフティ・バイ・デザインの主な構成要素
Employing age assurance mechanisms	年齢保証メカニズムの採用
Considerations for implementing child-centred design	子ども中心の設計を実施するための考慮事項
Preventing and detecting harm	危害の防止と検知
Protecting children’s privacy and personal data	子どものプライバシー・個人データの防御
Ensuring child-friendly information provision	子どもに優しい情報提供の確保
Facilitating complaints and redress	苦情と救済の促進
Encouraging child participation and putting children at the centre of decision making	子どもの参加を促し、意思決定の中心に子どもを据える
Promoting a culture of safety and well-being	安全と福祉の文化を促進する
7 Case Studies	7 ケーススタディ
Risk profile	リスクプロファイル
Risk profile	リスクプロファイル
Risk profile	リスクプロファイル
8 Conclusion and Next Steps	8 まとめと次のステップ
References	参考文献
Notes	備考
TABLES	表
Table 3.1. Overview of selected international guidance documents on digital safety by design for children	表3.1. 子どものためのデジタル・セーフティ・バイ・デザインに関する主な国際ガイダンス文書の概要
Table 4.1. Overview of selected laws from OECD Member Countries on digital safety encompassing children	表4.1. 子どもを含むデジタル・セーフティに関するOECD加盟国の法律（抜粋）の概要
Table 5.1. Examples of selected regulatory agencies focusing on digital safety	表5.1. デジタル・セーフティに重点を置く規制機関の例
Table 7.1. Safety measures necessary for different kinds of digital services	表7.1. さまざまな種類のデジタルサービスに必要な安全対策
BOXES	囲み記事
Box 1.1. OECD Work on Children in the Digital Environment	囲み記事1.1. デジタル環境における子どもに関するOECDの取り組み
Box 2.1. Children’s rights by design and playful by design	囲み記事2.1. デザインによる子どもの権利とデザインによる遊び心
Box 4.1. The Australian eSafety Commissioner’s Safety by Design principles and vision for young people	囲み記事4.1. オーストラリアのeSafetyコミッショナーが提唱する「Safety by Design」の原則と青少年のためのビジョン
Box 4.2. The EU’s Better Internet for Kids (BIK+) Strategy	囲み記事4.2. EUのBetter Internet for Kids（BIK+）戦略
Box 4.3. The Children Online Protection Laboratory	囲み記事4.3. 子どもオンライン防御研究所（Children Online Protection Laboratory
Box 6.1. Examples of age assurance methods	囲み記事6.1. 年齢保証の方法の例
Box 6.2. The RITEC framework	囲み記事6.2. RITECの枠組み
Box 6.3. Privacy by Design Initiatives	囲み記事6.3. プライバシー・バイ・デザインの取り組み
Box 6.4. Child-friendly and accessible complaint mechanisms	囲み記事6.4. 子どもにやさしく、利用しやすい苦情処理メカニズム
Box 6.5. Australia’s eSafety Youth Council	囲み記事6.5. オーストラリアのeセーフティ青少年協議会
Box 7.1. Digital Service Directed at Children	囲み記事7.1. 子ども向けデジタルサービス
Box 7.2. Digital Service Directed at Both Children and Adults	囲み記事7.2. 子どもと大人の両方を対象としたデジタルサービス
Box 7.3. Digital Service Directed at Adults	囲み記事7.3. 大人向けデジタルサービス

エグゼクティブサマリー...

Executive summary	エグゼクティブサマリー
The digital environment is an integral part of children's lives, offering them unprecedented opportunities but also presenting significant risks to their safety. As this environment evolves, the need for robust safety measures becomes more urgent. Digital safety by design for children is a means of keeping children safe in the digital environment whilst allowing them to seize opportunities to enjoy its benefits. Just as physical products and spaces for children are designed to prioritise their safety, so should be the digital products and spaces children use and inhabit.	デジタル環境は子どもたちの生活に不可欠な要素であり、これまでにない機会を提供する一方で、子どもたちの安全にとって重大なリスクももたらしている。この環境が進化するにつれて、強固な安全対策の必要性はより緊急性を増している。子どものためのデジタル・セーフティ・デザインは、デジタル環境において子どもの安全を確保する一方で、その恩恵を享受する機会をつかむことを可能にする手段である。子どものための物理的な製品や空間が子どもの安全を優先して設計されているように、子どもが使用し、居住するデジタル製品や空間もそうあるべきである。
However, a clear understanding of the concept of digital safety by design for children, both in theory and in practice, can be elusive. This paper provides an overview of digital safety by design for children, what it encompasses, and how it can respond to the needs and vulnerabilities of children in the digital environment. The key findings of the report are:	しかし、子どものためのデジタル・セーフティ・バイ・デザインのコンセプトを、理論的にも実践的にも明確に理解することは難しい。本稿では、子どものためのデジタル・セーフティ・バイ・デザインの概要、それが包含するもの、そしてデジタル環境における子どものニーズと脆弱性にどのように対応できるかについて述べる。本報告書の主な発見は以下の通りである：
There are increasing international calls for proactive digital safety measures for children	子どものための積極的なデジタル安全対策を求める声が国際的に高まっている。
A growing international consensus highlights the necessity of digital safety by design for children. This report reviews different international guidance materials concerning children online and shows that, whilst there is no uniform definition of digital safety by design across them, all the initiatives stress the importance of integrating safety considerations at the outset of product or service development. Other common themes are transparency and accountability, tailored user experiences and child-friendly service provision. Some documents highlight the importance of continually adapting services to respond to new risks, and all stress the importance of protecting children’s privacy. The growing international consensus on the need for digital safety by design for children goes hand in hand with a global prioritisation of children's digital well-being and a focus on the responsibility of digital service providers to safeguard children.	国際的なコンセンサスが高まっており、子どものためのデジタル・セーフティ・バイ・デザインの必要性が強調されている。本報告書では、オンライン上の子どもたちに関するさまざまな国際的ガイダンス資料をレビューし、デジタル・セーフティ・バイ・デザインの定義に統一性はないものの、すべてのイニシアティブが、製品やサービス開発の初期段階で安全への配慮を統合することの重要性を強調していることを示している。その他の共通テーマは、透明性と説明責任、ニーズに合わせたユーザー体験、子どもに優しいサービス提供である。また、新たなリスクに対応するためにサービスを継続的に変化させることの重要性を強調している文書もあり、すべての文書が子どものプライバシー保護の重要性を強調している。子どものためのデジタル・セーフティ・デザインの必要性に関する国際的なコンセンサスの高まりは、子どものデジタル・ウェルビーイングを世界的に優先させ、デジタルサービス・プロバイダが子どもを保護する責任を重視することと密接に関係している。
More jurisdictions are enacting laws that encompass digital safety by design for children, but they bring a risk of international regulatory fragmentation	子どものためのデジタル・セーフティ・バイ・デザインを包含する法律を制定する国・地域が増えているが、それは国際的な規制の分断というリスクをもたらしている。
Across the OECD, a growing number of new regulatory bodies focus on digital safety and several jurisdictions have enacted digital oversight legislation that places children's safety at the forefront. These laws often require practical tools and measures, such as age assurance, accessible complaint mechanisms, and mandatory reporting on safety measures. At the same time, digital safety for children is a global issue, and should jurisdictions act in isolation there will be a risk of regulatory fragmentation. A rights-respecting approach, as well as multi-stakeholder dialogue and co-operation at a forum such as the OECD, can assist in avoiding such fragmentation and support effective digital safety policies that protect children and promote their well-being.	OECD加盟国全体では、デジタル・セーフティに焦点を当てる新たな規制団体の数が増えており、子どもの安全を最重要視するデジタル監視法を制定した法域もいくつかある。これらの法律は、年齢保証、アクセス可能な苦情処理メカニズム、安全対策に関する報告義務など、実用的なツールや対策を求めていることが多い。同時に、子どものデジタル・セーフティは世界的な問題であり、各法域が単独で行動すれば、規制が分断されるリスクもある。権利尊重のアプローチと、OECDのようなフォーラムにおけるマルチステークホルダー対話と協力は、このような分断を回避し、子どもを保護し、その幸福を促進する効果的なデジタルセーフティ政策を支援するのに役立つ。
Other “by design” approaches offer insights for digital safety by design for children	他の「バイ・デザイン」アプローチは、子どものための「デジタル・セーフティ・バイ・デザイン」のための洞察を提供する。
Lessons can be drawn from other frameworks that incorporate safeguards at the level of design - both offline safety by design examples, and other digital by design frameworks (such as privacy by design and security by design). Essential elements include proactive safety integration, user-centred design, continuous risk evaluation, and clear accountability and transparency.	オフラインのセーフティ・バイ・デザインの例や、その他のデジタル・バイ・デザインのフレームワーク（プライバシー・バイ・デザイン、セキュリティ・バイ・デザインなど）など、デザインのレベルでセーフガードを組み込む他のフレームワークから教訓を引き出すことができる。不可欠な要素としては、プロアクティブな安全性の統合、ユーザー中心の設計、継続的なリスク評価、明確な説明責任と透明性などがある。
Digital safety by design for children requires several elements	子どものためのデジタル・セーフティ・バイ・デザインには、いくつかの要素が必要である。
The paper outlines key components for digital safety by design for children. Whilst the paper does not attempt to provide a comprehensive overview of what should be encompassed in digital safety by design initiatives for children, together, the following key components can contribute to a safer digital environment for children:	本稿では、子どものためのデジタル・セーフティ・バイ・デザインのための主要な要素を概説する。本稿は、子どものためのデジタル・セーフティ・バイ・デザインに包含されるべきものの包括的な概観を提供することを試みているわけではないが、以下の主要な構成要素を組み合わせることで、子どもにとってより安全なデジタル環境に貢献することができる：
• Employing age assurance mechanisms: To provide age-appropriate experiences, digital service providers need to know which of their users are children. Age assurance is important for this purpose, but consideration should be given to potential solutions’ accuracy, usability, privacy preservation and risk proportionality.	・年齢保証の仕組みを採用する: 年齢に応じた体験を提供するために、デジタルサービスのプロバイダは、どのユーザーが子どもであるかを知る必要がある。年齢保証はこの目的のために重要であるが、潜在的なソリューションの正確性、使いやすさ、プライバシー保護、リスク比例性についても考慮すべきである。
• Implementing child-centred design: Child-centred design puts the evolving needs, preferences, and safety of children at the core of product and service development. This approach aims to ensure that digital products and services are not only accessible and engaging for young users, but inherently safe and beneficial, as well, and that they remain so as children mature.	・子ども中心の設計を実施する: 子ども中心の設計は、製品やサービス開発の中核に、子どもの進化するニーズ、嗜好、安全性を据えるものである。このアプローチは、デジタル製品やサービスが、幼いユーザーにとって利用しやすく魅力的であるだけでなく、本質的に安全で有益なものであり、子どもが成長してもその状態が維持されることを保証することを目的としている。
• Detecting and preventing harm: Digital service providers can proactively identify and mitigate risks by implementing technical safety measures, such as advanced detection systems, default settings, content filters, and real-time monitoring tools. Specific attention should be paid to the risks posed by such measures and to their compliance with existing regulations.	・危害の検知と防止: デジタルサービス・プロバイダは、高度な検知システム、デフォルト設定、コンテンツ・フィルター、リアルタイム監視ツールなどの技術的安全対策を実施することで、リスクを積極的に特定し、軽減することができる。このような対策がもたらすリスクと、既存の規制への準拠に特に注意を払うべきである。
• Protecting children's privacy and personal data: Breaches of children’s privacy and the misuse of their data can directly affect their safety. Accordingly, when digital service providers prioritise privacy by design and offer clear privacy settings, it advances safety by design.	・子どものプライバシーと個人データの防御: 子どものプライバシー侵害やデータの悪用は、子どもの安全に直接影響する。したがって、デジタルサービスのプロバイダがプライバシーを優先し、明確なプライバシー設定を提供することは、デザインによる安全性を高めることになる。
• Ensuring child-friendly information provision: Children need to understand the digital spaces they inhabit. Consequently, they need clear, timely, accessible, and age-appropriate information about how digital services work, the risks involved, and how they can be protected.	・子どもに優しい情報提供を確保する: 子どもたちは、自分たちが住むデジタル空間を理解する必要がある。そのため、デジタルサービスの仕組み、関連するリスク、保護方法について、明確で、タイムリーで、アクセスしやすく、年齢に応じた情報が必要である。
• Facilitating complaints and redress: Empowering children to voice concerns and seek remedies is crucial. By establishing clear, user-friendly, accessible and age-appropriate channels for reporting issues and ensuring timely and effective responses, service providers demonstrate a commitment to children’s safety and help uphold trust in the digital ecosystem.	・苦情と救済を促進する: 子どもたちが懸念を表明し、救済を求める力を与えることは極めて重要である。問題を報告し、タイムリーで効果的な対応を確保するために、明確で、使いやすく、アクセス可能で、年齢に応じた手段を確立することで、トラストサービス・プロバイダは、子どもの安全へのコミットメントを示し、デジタル・エコシステムにおける信頼を維持する一助となる。
• Encouraging child participation and putting children at the centre of decision-making: Children are active digital citizens and both service providers and policymakers should involve children in discussions about online safety, design processes, and policy formulation. By giving children a seat at the table, stakeholders can help to ensure that the digital environment is shaped with children’s best interests at heart.	・子どもの参加を促し、意思決定の中心に子どもを据える: 子どもたちは積極的なデジタル市民であり、プロバイダも政策立案者も、オンライン安全、設計プロセス、政策策定に関する議論に子どもたちを参加させるべきである。子どもたちに議論の席を与えることで、関係者は、デジタル環境が子どもたちの最善の利益を念頭に置いて形成されるようにすることができる。
• Promoting a culture of safety and well-being: Promoting a culture of safety and well-being is essential to developing responsible corporate culture that prioritises children’s safety.	・安全と福祉の文化を促進する: 安全と福祉の文化を促進することは、子どもの安全を優先する責任ある企業文化を発展させるために不可欠である。
Finally, this paper provides case studies that demonstrate diverse digital safety strategies across platforms, highlighting the need for tailored approaches based on unique risk profiles. These realworld examples emphasise that a one-size-fits-all solution would be inadequate. Instead, promoting children's safety requires adaptable measures, especially given that merely labelling a service as “not for children” does not guarantee protection.	最後に、本稿では、プラットフォーム間の多様なデジタル・セイフティ戦略を示すケーススタディを提供し、独自のリスクプロファイルに基づくテーラーメイドのアプローチの必要性を強調する。これらの実例は、画一的な解決策では不十分であることを強調している。特に、単に「子ども向けではない」と表示するだけでは保護が保証されないことを考えると、子どもの安全を促進するには、適応可能な対策が必要である。

● まるちゃんの情報セキュリティ気まぐれ日記

最近の委員会は反映していませんが...

・2024.06.04 個人情報保護委員会個人情報保護法の3年ごとの見直しに関する意見をヒアリング、検討中... （２）

・2024.04.25 個人情報保護委員会個人情報保護法の3年ごとの見直しに関する意見をヒアリング、検討中...

・2024.01.06 個人情報保護委員会個人情報保護法の3年ごとの見直しに関する意見をヒアリング中...

上以外の...子どもの個人情報保護関係...

・2024.04.01 シンガポールデジタル環境における子供の個人データに関するPDPAに関するアドバイザリー・ガイドライン

・2024.01.20 米国 FTC 児童オンラインプライバシー保護規則の改正案の意見募集 (2024.01.11)

・2024.01.19 米国 FTCのブログプライバシー関連（DNA、データブローカー、子供のプライバシー）

・2023.12.14 中国サイバーセキュリティ産業連盟意見募集技術仕様書「子ども用スマートウォッチの個人情報保護と権利利益のためのガイドライン」（案）(2023.12.04)

・2023.11.01 カナダプライバシーコミッショナー若者のプライバシー保護の重要性を強調 (2023.10.25)

・2023.10.19 中国未成年者ネット保護条例 (2023.10.16)

・2023.09.20 英国 ICO 子供を守るための情報共有のための10ステップガイド (2023.09.14)

・2023.08.17 中国「未成年者向けモバイルインターネットモデル構築ガイドライン（意見募集案）」 (2023.08.02)

・2022.08.11 中国未成年者を対象とした通信ネットワーク詐欺の典型的な事例を公表

・2022.03.15 中国意見募集未成年者ネット保護条例案

子供とセキュリティ...

・2024.05.10 CISA We Can Secure Our World! （子供向けに歌にするというのはよいですね...）

2024.06.21 02:01 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪 | Permalink | Comments (0)
Tweet

オーストラリア会計検査院 (Australian National Audit Office) サイバーセキュリティインシデントの管理

こんにちは、丸山満彦です。

オーストラリアの会計検査院 (Australian National Audit Office) が、サイバーセキュリティインシデントの管理についての監査報告書を公表していますね...

勧告は全部で19。オーストラリア取引報告分析センター(AUSTRAC) は9つ、サービス・オーストラリアは10件の勧告に同意したということですね...

日本の会計検査院も、会計だけでなく、3E監査、つまり経済性(Economy)、効率性(Efficiency)、有効性(Effectiveness)についての監査も行うことになっていますので、GAO、ANAOのようなセキュリティ監査をもっとすればよいと思いますね...

もちろん、自治体も...

● Australian National Audit Office; ANAO

・2024.06.14 Management of Cyber Security Incidents

Management of Cyber Security Incidents	サイバーセキュリティインシデントの管理
Why did we do this audit?	なぜこの監査を行ったのか？
Australian Government entities are expected to be ‘cyber exemplars’ as they process and store some of Australia’s most sensitive data to support the delivery of essential public services.	オーストラリア政府事業体は、必須公共サービスの提供をサポートするために、オーストラリアで最もセンシティブなデータを処理・保存しているため、「サイバー模範」となることが期待されている。
Previous audits identified low levels of cyber resilience in non-corporate Commonwealth entities (NCEs).	これまでの監査で、連邦の非法人事業体（NCEs）のサイバーレジリエンスレベルが低いことが確認された。
Low levels of cyber resilience make entities more susceptible to cyberattack and reduce business continuity and recovery prospects following a cyber security incident. Preparedness to respond to and recover from a cyberattack is a key part of cyber resilience.	サイバーレジリエンスのレベルが低いと、事業体はサイバー攻撃を受けやすくなり、サイバーセキュリティインシデント後の事業継続性や復旧の見通しが低下する。サイバー攻撃に対応し、そこから回復するための備えは、サイバーレジリエンスの重要な部分である。
What did we find?	我々は何を発見したか？
The implementation of arrangements by the Australian Transaction Reports and Analysis Centre (AUSTRAC) and Services Australia to manage cyber security incidents has been partly effective.	オーストラリア取引報告分析センター(AUSTRAC) と Services Australia によるサイバーセキュリティインシデントを管理するための取り決めの実施は、部分的に有効であった。
AUSTRAC and Services Australia have partly designed and implemented cyber security incident management procedures.	AUSTRAC とオーストラリア政府は、サイバーセキュリティインシデント管理手順を部分的に設計し、実施している。
AUSTRAC and Services Australia have partly implemented effective cyber security incident management responses to investigate and respond to cyber security incidents.	AUSTRAC とオーストラリア政府は、サイバーセキュリティインシデントを調査・対応するための効果的なサイバーセキュリティインシデント管理対応を部分的に実施している。
AUSTRAC and Services Australia have partly implemented effective cyber security incident management recovery to mitigate disruptions to business operations during and after cyber security incidents.	AUSTRAC とオーストラリア政府は、サイバーセキュリティインシデント発生中および発生後の業務への影響を低減するため、効果的なサイバーセキュリティインシデント管理復旧を部分的に実施している。
What did we recommend?	勧告の内容
There were 19 recommendations aimed at improving the effective management of cyber security incidents.	サイバーセキュリティインシデントの効果的な管理を改善することを目的とした19の勧告があった。
AUSTRAC agreed to nine recommendations. Services Australia agreed to 10 recommendations.	AUSTRACは9つの勧告に同意した。サービス・オーストラリアは10件の勧告に同意した。
Key facts	主な事実
The Protective Security Policy Framework (PSPF) Policies 2, 4, 5 and 10 outline the requirements for the effective management of cyber security incidents.	防御セキュリティポリシーフレームワーク（PSPF）のポリシー2、4、5、10は、サイバーセキュリティインシデントを効果的に管理するための要件を概説している。
Supporting the PSPF are the relevant Australian Signals Directorate (ASD) Cyber Security Guidelines as well as ASD’s Essential Eight Maturity Model.	PSPF をサポートするのは、関連するオーストラリア信号局（Australian Signals Directorate: ASD）のサイバーセキュリティガイドラインと ASD のエッセンシャルエイト成熟度モデルである。
It is mandatory for NCEs to report the level of their security maturity each financial year.	NCEs は毎会計年度にセキュリティ成熟度を報告することが義務付けられている。
31%	31%
of cyber security incidents reported to ASD were by Australian Government entities in 2022–23.	2022-23年にASDに報告されたサイバーセキュリティインシデントの31%はオーストラリア政府事業体によるものであった。
71%	71%
of NCEs self-assessed at Maturity Level Two for the Essential Eight mitigation strategy, Regular backups.	の NCE が必須 8 の軽減戦略である定期的なバックアップの成熟度レベルを 2 と自己評価した。
82%	82%
of NCEs self-assessed that they had an incident response plan in place, which was an increase from 2022.	の NCE がインシデント対応計画を策定していると自己評価した。

・[PDF]

目次...

Contents	目次
Summary and recommendations	要約と提言
Background	背景
Conclusion	結論
Supporting findings	所見の裏付け
Recommendations	勧告
Summary of entity responses	事業体の回答の要約
Key messages from this audit for all Australian Government entities	全オーストラリア政府事業体に対する本監査からの主なメッセージ
1. Background	1. 背景
Introduction	序文
Management of cyber security incidents	サイバーセキュリティインシデントの管理
Rationale for undertaking the audit	監査実施の理由
Audit approach	監査のアプローチ
2. Australian Transaction Reports and Analysis Centre’s cyber security incident management	2. オーストラリア取引報告分析センターのサイバーセキュリティインシデント管理
Does AUSTRAC have appropriately designed and implemented cyber security incident management procedures?	AUSTRAC はサイバーセキュリティインシデント管理手順を適切に設計し、実施しているか。
Has AUSTRAC effectively implemented cyber security incident management processes for investigating, monitoring and responding to cyber security incidents?	AUSTRAC は、サイバーセキュリティインシデントを調査、監視、対応するためのサイバーセキュリティインシデント管理プロセスを効果的に導入しているか。
Has AUSTRAC effectively implemented recovery processes that mitigate disruptions during and after cyber security incidents?	AUSTRAC は、サイバーセキュリティインシデント発生中および発生後の混乱を軽減する復旧プロセスを効果的に実施しているか。
3. Services Australia’s cyber security incident management	3. オーストラリア政府サービスのサイバーセキュリティインシデント管理
Does Services Australia have appropriately designed and documented cyber security incident management procedures?	オーストラリア政府は、適切に設計され文書化されたサイバーセキュリティインシデント管理手順を有しているか。
Has Services Australia effectively implemented cyber security incident management processes for investigating and responding to cyber security incidents?	オーストラリア政府は、サイバーセキュリティインシデントを調査し対応するためのサイバーセキュリティインシデント管理プロセスを効果的に導入しているか。
Has Services Australia effectively implemented recovery processes that mitigate disruptions during and after cyber security incidents?	サービス・オーストラリアは、サイバーセキュリティインシデント発生中および発生後の混乱を軽減する復旧プロセスを効果的に実施しているか。
Appendices	附属書
Appendix 1 Entity responses	附属書 1 事業体からの回答
Appendix 2 Improvements observed by the ANAO	附属書 2 ANAO が観察した改善点
Appendix 3 PSPF Policies 2, 4, 5 and 10 — requirements	附属書 3 PSPF ポリシー 2、4、5、10 - 要求事項
Appendix 4 ASD’s Cyber Security Guidelines — recommendations	附属書 4 ASDのサイバーセキュリティガイドライン-推奨事項
Appendix 5 ASD’s Essential Eight Maturity Model	附属書 5 ASDのエッセンシャルエイト成熟度モデル
Appendix 6 PSPF Self-Assessment Maturity Model	附属書 6 PSPF自己アセスメント成熟度モデル
Footnotes	脚注

要約...

Summary and recommendations	まとめと提言
Background	背景
1. New and emerging technologies play an important role in delivering digital services for Australian Government entities. As the development, integration and use of technology increases, so does the number of possible entry or weak points that malicious cyber actors can exploit. This is commonly referred to as the ‘attack surface’.1 It is important that Australian Government entities continue to uplift their cyber security maturity and implement arrangements to manage cyber security incidents2 effectively. The ability to maintain business continuity following a cyber security incident is critical to ensuring the continued provision of government services.	1. オーストラリア政府事業体がデジタルサービスを提供する上で、新しいテクノロジーは重要な役割を果たしている。技術の開発、統合、利用が進むにつれて、悪意のあるサイバー行為者が悪用する可能性のある侵入口や弱点の数も増えている。オーストラリア政府事業体は、サイバーセキュリティの成熟度を継続的に向上させ、サイバーセキュリティインシデント2 を効果的に管理するための体制を導入することが重要である。サイバーセキュリティインシデント後の事業継続性を維持する能力は、政府サービスの継続的な提供を確保する上で極めて重要である。
2. Australian Government entities are attractive, high-value targets for a range of malicious cybercriminals because they hold the personal and financial information of Australians.3 In 2022–23, approximately 31 per cent of cyber security incidents reported to the Australian Signals Directorate (ASD) were from non-corporate Commonwealth entities. Over 40 per cent of these cyber security incidents were coordinated, low-level malicious cyberattacks directed specifically at the Australian Government, government shared services, or regulated critical infrastructure.4 Ransomware was the most destructive cybercrime threat in 2022–235 and continues to pose considerable risk to Australian Government entities, businesses and individuals.	2. オーストラリア政府事業体は、オーストラリア国民の個人情報や財務情報を保有しているため、さまざまな悪意あるサイバー犯罪者にとって魅力的で価値の高い標的となっている3。2022-23年、オーストラリア信号総局（ASD）に報告されたサイバーセキュリティインシデントの約31％は、連邦の非法人によるものであった。これらのサイバーセキュリティインシデントの40％以上は、特にオーストラリア政府、政府共有サービス、または規制された重要インフラに向けられた、組織的で低レベルの悪意あるサイバー攻撃であった4。ランサムウェアは 2022 年から 235 年にかけて最も破壊的なサイバー犯罪の脅威であり、オーストラリア政府事業体、企業、個人に大きなリスクをもたらし続けている。
Rationale for undertaking the audit	監査実施の理由
3. On 22 November 2023, the Australian Government released the 2023–30 Australian Cyber Security Strategy which outlines a forecast approach towards uplifting Australia’s cyber resilience as well as ‘[building] … national cyber readiness [and] proactively identifying and closing gaps in … cyber defences and incident response plans’.	3. 2023 年 11 月 22 日、オーストラリア政府は「2023-30 年オーストラリア・サイバーセキュリティ戦略」を発表し、オーストラリアのサイバーレジリエンスを向上させ、「...国家のサイバー準備態勢を構築し、...サイバー防御およびインシデント対応計画のギャップを積極的に特定し、解決する」ための予測アプローチを概説した。
4. Australian Government entities are expected to be ‘cyber exemplars’, as they receive, process and store some of Australia’s most sensitive data to support the delivery of essential public services.6 Whilst there were reported improvements from 2022, ASD’s 2023 Cyber Security Posture Report highlighted that the overall maturity level across entities remained low in 2023.7	4. オーストラリア政府機関は、必須公共サービスの提供をサポートするために、オーストラリアで最もセンシティブなデータを受け取り、処理し、保存しているため、「サイバー模範」となることが期待されている6。2022年からの改善が報告された一方で、ASDの2023年サイバーセキュリティ態勢報告書は、2023年においても事業体全体の成熟度が低いままであることを強調した7。
5. Previous audits conducted by the ANAO identified low levels of cyber resilience in entities. Low levels of cyber resilience continue to make entities susceptible to cyberattack and reduce business continuity and recovery prospects following a cyber security incident. An entity’s preparedness to respond to and recover from a cyberattack is a key part of cyber resilience. This audit was conducted to provide assurance to Parliament about the effectiveness of the selected entities’ implementation of arrangements for managing cyber security incidents.	5. ANAOが過去に実施した監査では、事業体のサイバーレジリエンスレベルの低さが指摘されている。低いレベルのサイバーレジリエンスは、事業体をサイバー攻撃の影響を受けやすくし、サイバーセキュリティインシデント後の事業継続性と復旧の見通しを低下させ続けている。事業体のサイバー攻撃への対応と回復への備えは、サイバーレジリエンスの重要な部分である。この監査は、選定された事業体がサイバーセキュリティインシデントを管理するための取り決めを実施していることの有効性について、国会に保証を与えるために実施された。
Audit objective, criteria and scope	監査の目的、基準、範囲
6. The objective of this audit was to assess the effectiveness of the selected entities’ implementation of arrangements for managing cyber security incidents in accordance with the Protective Security Policy Framework (PSPF) and relevant ASD Cyber Security Guidelines.	6. この監査の目的は、選定された事業体が、防御セキュリティポリシーフレームワーク（PSPF）及び関連するASDサイバーセキュリティガイドラインに従って、サイバーセキュリティインシデントを管理するための取り決めを実施していることの有効性を評価することであった。
7. To form a conclusion against the audit objective, the following high-level criteria were adopted:	7. 監査目的に対する結論を形成するために、以下のハイレベル基準が採用された：
Do the Australian Transaction Reports and Analysis Centre (AUSTRAC) and Services Australia have appropriately designed and implemented cyber security incident management procedures?	オーストラリア取引報告分析センター（AUSTRAC）およびサービスオーストラリアは、サイバーセキュリティインシデント管理手順を適切に設計し、実施しているか。
Have AUSTRAC and Services Australia effectively implemented cyber security incident management processes for investigating, monitoring and responding to cyber security incidents?	AUSTRAC とオーストラリア政府は、サイバーセキュリティインシデントの調査、監視、対応のためのサイバーセキュリティインシデント管理プロセスを効果的に実施しているか。
Have AUSTRAC and Services Australia effectively implemented recovery processes that mitigate disruptions during and after cyber security incidents?	AUSTRAC とオーストラリア業務省は、サイバーセキュリティインシデント発生中および発生後の混乱を軽減する復旧プロセスを効果的に実施しているか。
Engagement with the Australian Signals Directorate	オーストラリア信号総局とのかかわり
8. Independent timely reporting on the implementation of the cyber security policy framework supports public accountability by providing an evidence base for the Parliament to hold the executive government and individual entities to account. Previous ANAO reports on cyber security have drawn to the attention of Parliament and relevant entities the need for change in entity implementation of mandatory cyber security requirements, at both the individual entity and framework levels.	8. サイバーセキュリティ政策枠組みの実施に関する独立したタイムリーな報告は、行政府と各事業体の説明責任を問うための証拠資料を議会に提供することで、国民の説明責任を支援する。サイバーセキュリティに関するこれまでのANAOの報告書は、個々の事業体レベルおよび枠組みレベルの両方において、強制的なサイバーセキュリティ要求事項の事業体実施における変革の必要性について、議会および関連事業体の注意を喚起してきた。
9. In preparing audit reports to the Parliament on cyber security in Australian Government entities, the interests of accountability and transparency must be balanced with the need to manage cyber security risks. ASD has advised the ANAO that adversaries use publicly available information about cyber vulnerabilities to more effectively target their malicious activities.	9. オーストラリア政府事業体のサイバーセキュリティに関する議会への監査報告書を作成する際には、説明責任と透明性の利益とサイバーセキュリティのリスクマネジメントの必要性とのバランスを取らなければならない。ASD は ANAO に対し、敵対者はサイバー脆弱性に関する一般に公開された情報を利用して、より効果的に悪意のある活動の標的を定めていると助言している。
10. The extent to which this report details the cyber security vulnerabilities of individual entities was a matter of careful consideration during the course of this audit. To assist in appropriately balancing the interests of accountability and potential risk exposure through transparent audit reporting, the ANAO engaged with ASD to better understand the evolving nature and extent of risk exposure that may arise through the disclosure of technical information in the audit report. This report therefore focusses on matters material to the audit findings against the objective and criteria and contains less detailed technical information than previous audits. Detailed technical information flowing from the audit was provided to the relevant accountable authorities during the audit process to assist them to gain their own assurance that their remediation plans are focussed on improving cyber resilience as required and support reliable reporting through the existing cyber security policy framework.	10. 本報告書が個々の事業体のサイバーセキュリティの脆弱性をどの程度詳述しているかは、本監査の過程で慎重に検討された事項である。透明性のある監査報告を通じて、説明責任と潜在的なリスクエクスポージャーの利益の適切なバランスをとるため、ANAO は ASD と協力し、監査報告書における技術情報の開示によって生じうるリスクエクスポージャーの進化する性質と程度について理解を深めた。そのため、本報告書は、目的と基準に照らして監査所見に重要な事項に焦点を当て、以前の監査よりも詳細な技術的情報は含んでいない。監査から得られた詳細な技術的情報は、監査の過程で関連する認可当局に提供された。これは、彼らが自らの改善計画が必要に応じてサイバーレジリエンスの改善に焦点を当てたものであることを自ら保証し、既存のサイバーセキュリティ政策の枠組みを通じた信頼できる報告を支援するためのものである。
Conclusion	結論
11. The implementation of arrangements by AUSTRAC and Services Australia to manage cyber security incidents has been partly effective. Neither entity is well placed to ensure business continuity or disaster recovery in the event of a significant or reportable cyber security incident.	11. AUSTRAC とオーストラリア政府サービス庁によるサイバーセキュリティインシデント管理のための取り決めの実施は、部分的に有効であった。どちらの事業体も、重大な、あるいは報告すべきサイバーセキュリティインシデントが発生した場合に、事業継続や災害復旧を確保する体制が整っていない。
AUSTRAC	AUSTRAC
12. AUSTRAC has partly effective cyber security incident management procedures for investigating, monitoring and responding to cyber security incidents. It has established management structures and a framework of procedures to support these processes. It has not detailed the responsibilities for its Chief Information Security Officer (CISO), its approach to continuous monitoring and improvement reporting, or defined timeframes for reporting to stakeholders.	12. AUSTRAC は、サイバーセキュリティインシデントの調査、監視、対応のためのサイバーセキュリティインシデント管理手順を部分的に効果的に備えている。AUSTRAC は、これらのプロセスを支援するための管理体制と手順の枠組みを確立している。最高情報セキュリティ責任者（CISO）の責任、セキュリティの継続的なモニタリングと改善報告へのアプローチ、利害関係者への報告の期限については詳述されていない。
13. AUSTRAC has partly implemented effective response processes that mitigate disruptions during and after cyber security incidents. It has established a Security Information and Event Management (SIEM) solution and processes for reporting cyber security incidents. The coverage of log events is not in accordance with ASD’s Cyber Security Guidelines. AUSTRAC does not have an event logging policy and does not document its analysis of all cyber security events.	13. AUSTRACは、サイバーセキュリティインシデント発生時および発生後の混乱を軽減する効果的な対応プロセスを部分的に導入している。セキュリティ情報・イベント管理（SIEM）ソリューションと、サイバーセキュリティインシデントを報告するためのプロセスを確立している。ログイベントの範囲はASDのサイバーセキュリティガイドラインに従っていない。AUSTRAC にはイベントロギング方針がなく、すべてのサイバーセキュリティイベントの分析を文書化していない。
14. AUSTRAC has procedures to support its cyber security incident recovery processes. These procedures do not include the security and testing of backup solutions, nor detail the systems, applications and servers supporting critical business processes. AUSTRAC performs recovery of backups as part of business area requests. It does not perform testing of restoration of backups for disaster recovery purposes.	14. AUSTRAC はサイバーセキュリティインシデント復旧プロセスをサポートする手順を持っている。これらの手順には、バックアップソリューションのセキュリティとテストが含まれておらず、重要なビジネスプロセスをサポートするシステム、アプリケーション、サーバーの詳細も記載されていない。AUSTRACは、ビジネスエリアの要求の一部としてバックアップの復旧を実施している。災害復旧を目的としたバックアップの復元テストは実施していない。
Services Australia	サービスオーストラリア
15. Services Australia is partly effective in its design of cyber security incident management procedures. It has established a framework of procedures and an incident response plan. It has not documented an approach to threat and vulnerability assessments. Services Australia does not have a policy covering the management of cyber security incidents.	15. オーストラリア政府は、サイバーセキュリティインシデント管理手順の設計において部分的に有効である。手順とインシデント対応計画の枠組みを確立している。脅威と脆弱性アセスメントのアプローチは文書化されていない。オーストラリア政府は、サイバーセキュリティインシデントの管理に関する方針を定めていない。
16. Services Australia has partly effective cyber security incident response procedures for investigating and responding to cyber security incidents. It has procedures for managing data spills, malicious code infections and external instructions. It has implemented a Security Information and Event Management (SIEM) solution and a systematic approach to monitoring and prioritisation of alerts. Services Australia has not established a timeframe for triage and escalation activities nor a process for analysing archived SIEM data. Services Australia has not defined an approach for cyber security investigations.	16. オーストラリア政府は、サイバーセキュリティインシデントを調査し対応するための効果的なサイバーセキュリティインシデント対応手順を一部有している。データ流出、悪質コード感染、外部からの指示を管理するための手順がある。セキュリティ情報・イベント管理（SIEM）ソリューションと、アラートの監視と優先順位付けのための体系的なアプローチを導入している。サービス・オーストラリアは、トリアージとエスカレーション活動の時間枠を設定しておらず、アーカイブされた SIEM データの分析プロセスも設定していない。オーストラリア政府は、サイバーセキュリティ調査のアプローチを定めていない。
17. Services Australia has partly implemented effective recovery processes that mitigate disruptions during and after cyber security incidents. It has developed business continuity and disaster recovery plans and implemented regular backups. Its plans do not include all systems and applications supporting critical business processes and it does not test the recoverability of backups.	17. オーストラリアのサービス部門は、サイバーセキュリティインシデント発生中および発生後の混乱を軽減する効果的な復旧プロセスを部分的に導入している。事業継続計画と災害復旧計画を策定し、定期的なバックアップを実施している。その計画には、重要なビジネスプロセスをサポートするすべてのシステムとアプリケーションは含まれておらず、バックアップの復旧可能性をテストしていない。
Supporting findings	所見
AUSTRAC	AUSTRAC
18. AUSTRAC has established management structures and responsibilities for managing cyber security incidents. However, it has not documented the assigned responsibilities for its CISO although the CISO is empowered to make decisions. AUSTRAC has documented a framework of procedures for cyber security risk and incident management. However, it does not detail a process for reviewing, updating and testing its cyber security incident management procedures, nor has it implemented a security maturity monitoring plan that details an approach that defines a continuous improvement cycle as well as reporting to management. AUSTRAC has developed reporting processes for significant or reportable cyber security incidents. AUSTRAC does not document cyber security incident meetings, nor has it defined timeframes for reporting to relevant stakeholders. (See paragraphs 2.6 to 2.32)	18. AUSTRAC は、サイバーセキュリティインシデントを管理するための管理体制と責任を確立している。しかし、CISO には意思決定を行う権限が与えられているものの、CISO に割り当てられた責任は文書化されていない。AUSTRACは、サイバーセキュリティリスクとインシデントマネジメントのための手順の枠組みを文書化している。しかし、サイバーセキュリティインシデント管理手順のレビュー、更新、テストのプロセスを詳述していない。また、経営陣への報告だけでなく、継続的な改善サイクルを定義するアプローチを詳述したセキュリティ成熟度モニタリング計画を実施していない。AUSTRACは、重大または報告すべきサイバーセキュリティインシデントの報告プロセスを策定している。AUSTRAC は、サイバーセキュリティインシデント会議を文書化しておらず、関連する利害関係者への報告の期限も定めていない。(段落 2.6 から 2.32 を参照）。
19. AUSTRAC has reporting processes for reporting significant or reportable cyber security incidents to internal and external stakeholders. These processes do not include the engagement of relevant expertise in other business areas, such as legal advisors, and do not ensure the integrity of evidence supporting cyber security investigations. AUSTRAC has documented cyber security incident monitoring and response procedures. It has not developed an event log policy for handling and containing malicious code infections or intrusions, or containment actions in the event of a data spill. AUSTRAC has implemented a Security Information and Event Management (SIEM) solution. Its coverage of event logs is not in accordance with ASD’s Cyber Security Guidelines. It undertakes an analysis of event logs and escalates significant or reportable cyber security incidents to management and relevant external stakeholders. It does not record or document its analysis of non-significant cyber security events, nor has it defined timeframes for triage and escalation activities. AUSTRAC is able to analyse data within its SIEM solution, it does not have a process for retrieving and analysing production and archived SIEM data. (See paragraphs 2.33 to 2.65)	19. AUSTRAC は、重要または報告すべきサイバーセキュリティインシデントを内部および外部の利害関係者に報告するための報告プロセスを有している。これらのプロセスには、法律顧問など他業務分野の関連専門家の関与が含まれておらず、サイバーセキュリティ調査を裏付ける証拠の完全性が確保されていない。AUSTRAC は、サイバーセキュリティインシデントの監視と対応手順を文書化している。悪質なコード感染や侵入を処理・封じ込めるためのイベントログポリシーや、データ流出時の封じ込め措置は策定されていない。AUSTRACは、セキュリティ情報・イベント管理（SIEM）ソリューションを導入している。そのイベントログの範囲はASDのサイバーセキュリティガイドラインに従っていない。AUSTRACはイベントログの分析を実施し、重要または報告すべきサイバーセキュリティインシデントを経営陣と関連する外部利害関係者にエスカレーションしている。重要でないサイバーセキュリティイベントの分析を記録または文書化しておらず、トリアージとエスカレーション活動の時間枠も定義していない。AUSTRAC は SIEM ソリューション内のデータを分析することができるが、本番及びアーカイブされた SIEM データを取得し分析するプロセスを有していない。(段落 2.33 から 2.65 を参照のこと）。
20. AUSTRAC has documented procedures to support its cyber security incident recovery processes. These procedures do not include the security and testing of backup solutions, nor detail the systems, applications and servers supporting critical business processes. AUSTRAC has not tested the recoverability of its systems and applications supporting critical business processes. It has not included all relevant systems, including the tools used for managing backups, within disaster recovery testing schedules and security policies. AUSTRAC is not well placed to ensure business continuity or disaster recovery in the event of a significant or reportable cyber security incident. AUSTRAC has primary and secondary data centres to support its approach to regular backups. AUSTRAC performs recovery of backups as part of business area requests. It does not perform testing of restoration of backups for disaster recovery purposes. It does not have a process for extracting and analysing production and archive backup data. AUSTRAC’s incident reports include post-incident learning and post-remediation analysis. These reports are not used to review or update existing cyber security recovery procedures, with potential improvements highlighted in these reports not being considered for incorporation into existing cyber security documentation. (See paragraphs 2.66 to 2.93)	20. AUSTRAC は、サイバーセキュリティインシデント復旧プロセスを支援する手順を文書化している。これらの手順には、バックアップソリューションのセキュリティとテストは含まれておらず、重要なビジネスプロセスをサポートするシステム、アプリケーション、サーバーについても詳述されていない。AUSTRACは、重要なビジネスプロセスをサポートするシステムとアプリケーションの復旧可能性をテストしていない。バックアップ管理に使用されるツールを含むすべての関連システムを、災害復旧テストのスケジュールとセキュリティポリシーに含めていない。AUSTRACは、重大な、あるいは報告すべきサイバーセキュリティインシデントが発生した場合に、事業継続や災害復旧を確保する体制が整っていない。AUSTRAC には、定期的なバックアップのアプローチをサポートするためのプライマリおよびセカンダリデータセンターがある。AUSTRAC は、ビジネスエリアの要求の一部としてバックアップの復旧を実施している。災害復旧を目的としたバックアップの復元テストは実施していない。AUSTRAC には、本番およびアーカイブのバックアップデータを抽出・分析するためのプロセスがない。AUSTRACのインシデントレポートには、インシデント発生後の学習と修復後の分析が含まれている。これらの報告書は、既存のサイバーセキュリティ復旧手順の見直しや更新には使用されておらず、これらの報告書で強調された潜在的な改善は、既存のサイバーセキュリティ文書に組み込むために検討されていない。(段落 2.66 から 2.93 を参照）。
Services Australia	サービスオーストラリア
21. Services Australia has established management structures and responsibilities for its management of cyber security incidents. It has not documented an approach to threat and vulnerability assessments, nor does it have a policy covering the management of cyber security incidents but it does have a security maturity monitoring plan although this does not detail an approach that defines a continuous improvement cycle as well as reporting to management. Services Australia has developed a cyber security incident response plan and a trusted insider program. However, its trusted insider program has not considered input from other business areas, such as its legal function. Services Australia’s critical asset and data registers do not have complete information on critical systems and data assets. Services Australia has documented a framework of procedures for cyber security risk and incident management. However, it does not detail a process for reviewing, updating and testing its cyber security incident management procedures. Services Australia has reporting processes that provide regular reporting of cyber security incidents, including significant or reportable cyber security incidents, to internal and external stakeholders. It has not defined the timeframes for reporting to relevant stakeholders and the consideration of engaging other relevant expertise, such as legal advisors, during reporting processes. (See paragraphs 3.6 to 3.44)	21. オーストラリア政府は、サイバーセキュリティインシデントの管理体制と責任を確立している。また、サイバーセキュリティインシデントの管理に関する方針も定めていないが、セキュリティの継続的な改善サイクルと経営陣への報告を定義するアプローチについては詳述していないものの、セキュリティの成熟度モニタリング計画を策定している。トラストサービスは、サイバーセキュリティインシデント対応計画と信頼される内部者プログラムを策定している。しかし、信頼される内部関係者プログラムは、法務機能など他の事業分野からのインプットを考慮していない。オーストラリアの重要資産およびデータ登録簿には、重要システムおよびデータ資産に関する完全な情報がない。オーストラリア政府は、サイバーセキュリティリスクとインシデントマネジメントのための手順の枠組みを文書化している。しかし、サイバーセキュリティインシデント管理手順を見直し、更新し、テストするプロセスは詳述されていない。オーストラリア政府は、重大または報告義務のあるサイバーセキュリティインシデントを含むサイバーセキュリティインシデントを、内部および外部の利害関係者に定期的に報告するための報告プロセスを有している。関連する利害関係者への報告の時間枠や、報告プロセスにおける法律顧問など他の関連する専門家の関与の検討については定義されていない。(段落3.6～3.44参照）。
22. Services Australia has documented its approach for managing data spills, malicious code infections and intrusions. It has not established processes for reviewing, updating and testing these cyber security incident response procedures. Services Australia has implemented a Security Information and Event Management (SIEM) solution and developed a systematic approach to the monitoring and prioritisation of security alerts. Services Australia has an Event Logging and Monitoring Policy. It has not established processes for extracting, retrieving and analysing archived SIEM data, nor has it defined the timeframe requirements for triage and escalation activities. Services Australia has not defined an approach for cyber security investigations. (See paragraphs 3.45 to 3.73)	22. オーストラリア政府は、データ流出、悪質なコード感染、および不正侵入を管理するためのアプローチを文書化している。これらのサイバーセキュリティインシデント対応手順を見直し、更新し、テストするプロセスは確立されていない。オーストラリア政府は、セキュリティ情報・イベント管理（SIEM）ソリューションを導入し、セキュリティアラートの監視と優先順位付けに関する体系的なアプローチを開発した。サービス・オーストラリアには、イベントログと監視に関するポリシーがある。アーカイブされた SIEM データを抽出、検索、分析するプロセスを確立しておらず、トリアージとエスカレーション活動の時間枠要件も定義していない。オーストラリア政府は、サイバーセキュリティ調査のアプローチを定義していない。(段落 3.45 から 3.73 を参照）。
23. Services Australia has not defined an approach to digital preservation related to cyber security incidents and regular backups and nor does it have business continuity or disaster recovery plans that address all systems, including the systems which support the critical recovery processes. It is not well placed to ensure business continuity or disaster recovery in the event of a significant or reportable cyber security incident. Services Australia has processes for performing regular backups. These processes do not include all platforms and Services Australia does not test the restoration of data, applications and settings from backups as part of disaster recovery exercises. Services Australia has not appropriately documented an embedded post-incident learning approach following a cyber security incident. Services Australia has not established a process that leverages post-incident learnings to review and improve the effective implementation of arrangements to manage cyber security incidents. (See paragraphs 3.74 to 3.103)	23. オーストラリア政府は、サイバーセキュリティインシデントと定期的なバックアップに関連するデジタル保全のためのアプローチを定義しておらず、また、重要な復旧プロセスをサポートするシステムを含むすべてのシステムに対応する事業継続計画または災害復旧計画を策定していない。また、重要な復旧プロセスをサポートするシステムを含む、すべてのシステムに対応する事業継続計画や災害復旧計画もない。オーストラリア政府は、定期的なバックアップを実施するためのプロセスを持っている。これらのプロセスにはすべてのプラットフォームが含まれておらず、オーストラリア政府は災害復旧演習の一環としてバックアップからのデータ、アプリケーション、設定の復元をテストしていない。サービス・オーストラリアは、サイバーセキュリティインシデント発生後に組み込まれた事後学習アプローチを適切に文書化していない。サービスオーストラリアは、サイバーセキュリティインシデントを管理するための取り決めの効果的な実施を見直し改善するために、インシデント発生後の学習を活用するプロセスを確立していない。(段落 3.74 から 3.103 を参照）。
Recommendations	勧告
Recommendation no. 1	勧告 No.1
Paragraph 2.24	パラグラフ2.24
Australian Transaction Reports and Analysis Centre develops and implements:	オーストラリア取引報告分析センターは以下を策定し、実施する：
policies that define the responsibilities of the Chief Information Security Officer in accordance with the Protective Security Policy Framework requirements; and	防御セキュリティポリシーフレームワークの要件に従って、最高情報セキュリティ責任者の責任を定義するポリシー、および以下を策定し実施する。
a security maturity monitoring plan that defines a continuous improvement cycle as well as reporting to management, including documenting the determination of reporting frequency and escalation.	セキュリティの継続的なモニタリング計画を策定し、報告頻度やエスカレーションの決定を文書化するなど、経営層への報告とともに、継続的な改善サイクルを定義する。
Australian Transaction Reports and Analysis Centre response: Agreed.	オーストラリア取引報告分析センターの回答同意する。
Recommendation no. 2	勧告 No.2
Paragraph 2.31	パラグラフ2.31
Australian Transaction Reports and Analysis Centre develops and implements:	オーストラリア取引報告分析センターは以下を策定し、実施する：
processes for ensuring cyber security incident meetings are documented;	サイバーセキュリティインシデント会議を確実に文書化するためのプロセス；
timeframes for reporting to relevant external stakeholders; and	関連する外部の利害関係者に報告する期間
processes that ensure regular risk reporting to its portfolio minister and the Department of Home Affairs.	担当大臣および内務省への定期的なリスク報告を保証するプロセス。
Australian Transaction Reports and Analysis Centre response: Agreed.	オーストラリア取引報告分析センターの回答同意する。
Recommendation no. 3	勧告 No.3
Paragraph 2.41	パラグラフ2.41
Australian Transaction Reports and Analysis Centre develops and implements:	オーストラリア取引報告分析センターは以下を策定し、実施する：
procedures that define assigned security roles and responsibilities for coordinating responses, including engagement of relevant expertise; and	関連する専門家の関与を含め、対応を調整するために割り当てられたセキュリティ上の役割と責任を定義する手順。
processes for managing and maintaining evidence during and after cyber security investigations.	サイバーセキュリティ調査中および調査後の証拠を管理・維持するためのプロセス
Australian Transaction Reports and Analysis Centre response: Agreed.	オーストラリア取引報告分析センターの対応同意する。
Recommendation no. 4	勧告 No.4
Paragraph 2.47	パラグラフ 2.47
Australian Transaction Reports and Analysis Centre develops and implements:	オーストラリア取引報告分析センターは以下を開発し実施する：
an approach for containment actions that restrict access to data, systems and networks in the event of a data spill; and	データ流出が発生した場合に、データ、システム、およびネットワークへのアクセスを制限する封じ込め措置のためのアプローチ。
an event log policy for handling and containing malicious code infections or intrusions.	悪質なコードの感染や侵入を処理し、封じ込めるためのイベントログポリシー。
Australian Transaction Reports and Analysis Centre response: Agreed.	オーストラリア取引報告分析センターの対応同意する。
Recommendation no. 5	勧告 No.5
Paragraph 2.57	パラグラフ 2.57
Australian Transaction Reports and Analysis Centre implements a strategy for Security Information and Event Management (SIEM) solution coverage that is in accordance with Australian Signals Directorate’s Guidelines for System Monitoring and performs a risk assessment to support any deviations from the guideline’s recommendations.	Australian Transaction Reports and Analysis Centre は、Australian Signals Directorate's Guidelines for System Monitoring に従ったセキュリティ情報およびイベントマネジメント（SIEM）ソリューションの適用範囲の戦略を実施し、ガイドラインの推奨事項からの逸脱をサポートするリスクアセスメントを実施する。
Australian Transaction Reports and Analysis Centre response: Agreed.	オーストラリア取引報告分析センターの回答同意する。
Recommendation no. 6	勧告 No.6
Paragraph 2.63	パラグラフ 2.63
Australian Transaction Reports and Analysis Centre establishes:	オーストラリア取引報告分析センターは以下を確立する：
a process for retrieving and analysing production Security Information and Event Management (SIEM) solution data held within its SIEM solution and archived SIEM data;	SIEM ソリューション内に保持されている本番のセキュリティ情報およびイベント管理（SIEM）ソリューションデータと、アーカイブされた SIEM データを検索および分析するためのプロセスを確立する；
record keeping requirements for triage and escalation activities over non-significant cyber security events to ensure completeness of activities; and	重要でないサイバーセキュリティ事象に関するトリアージとエスカレーション活動の記録保持要件を定め、活動の完全性を確保する。
timeframe requirements for triage and escalation activities.	トリアージおよびエスカレーション活動の時間枠要件。
Australian Transaction Reports and Analysis Centre response: Agreed.	オーストラリア取引報告分析センターの回答：同意する。
Recommendation no. 7	勧告 No.7
Paragraph 2.78	パラグラフ 2.78
Australian Transaction Reports and Analysis Centre develops and implements:	オーストラリア取引報告分析センターは以下を策定し、実施する：
disaster recovery testing schedules that include backup solutions;	バックアップソリューションを含む災害復旧テストスケジュール
business continuity planning processes that incorporate the systems, applications and servers which support critical business processes; and	重要なビジネスプロセスをサポートするシステム、アプリケーション、およびサーバを組み込んだ事業継続計画プロセス。
processes that test the recoverability of its systems and applications supporting critical business processes, including implementing any lessons learned into future testing schedules.	重要なビジネスプロセスをサポートするシステムおよびアプリケーションの復旧可能性をテストするプロセス。
Australian Transaction Reports and Analysis Centre response: Agreed.	オーストラリア取引報告分析センターの回答：同意する。
Recommendation no. 8	勧告 No.8
Paragraph 2.88	パラグラフ2.88
Australian Transaction Reports and Analysis Centre establishes a program that assesses the effectiveness of recovery processes for all production and archived backup data.	Australian Transaction Reports and Analysis Centreは、すべての本番データおよびアーカイブされたバックアップデータの復旧プロセスの有効性を評価するプログラムを確立する。
Australian Transaction Reports and Analysis Centre response: Agreed.	オーストラリア取引報告分析センターの回答：同意する
Recommendation no. 9	勧告 No.9
Paragraph 2.92	パラグラフ2.92
Australian Transaction Reports and Analysis Centre leverage its post-incident learning approaches following a cyber security incident to inform a process that reviews, updates and tests all of the relevant security documentation for the effective management of cyber security incidents. That is:	オーストラリア取引報告分析センターは、サイバーセキュリティインシデントの効果的な管理のために、インシデント発生後の学習アプローチを活用して、関連するすべてのセキュリティ文書を見直し、更新し、テストするプロセスを周知する。つまり、以下のようなことである：
supporting security documentation to its security plans;	セキュリティ計画に対するセキュリティ文書を支援する
framework of procedures for cyber security incident management;	サイバーセキュリティインシデント管理手順の枠組み
associated guidance for cyber security incident response; and	サイバーセキュリティインシデント対応に関するガイダンス
associated guidance for cyber security incident recovery.	サイバーセキュリティインシデント復旧のための関連ガイダンス。
Australian Transaction Reports and Analysis Centre response: Agreed.	オーストラリア取引報告分析センターの回答：同意する。
Recommendation no. 10	勧告 No.10
Paragraph 3.18	パラグラフ 3.18
Services Australia updates its trusted insider program with the support of legal advice and other relevant expertise and ensure it is fit for purpose across the organisation.	オーストラリア政府は、法的助言およびその他の関連専門家の支援を受けてトラストド・インサイダー・プログラムを更新し、組織全体で目的に適合するようにする。
Services Australia response: Agreed.	サービス・オーストラリアの回答同意する。
Recommendation no. 11	勧告 No.11
Paragraph 3.23	パラグラフ 3.23
Services Australia updates its systems criticality assessments and data registers with the necessary information to confirm the criticality of each system and data asset.	サービス・オーストラリアは、各システムとデータ資産の重要性を確認するために必要な情報を用いて、システムの重要性評価とデータ登録簿を更新する。
Services Australia response: Agreed.	サービス・オーストラリアの回答同意する。
Recommendation no. 12	勧告 No.12
Paragraph 3.29	パラグラフ 3.29
Services Australia establishes a Cyber Security Incident Management Policy or include ‘cyber security incidents’ as part of the scope of the Incident Management and Escalation Policy.	サービス・オーストラリアは、サイバーセキュリティインシデント管理方針を制定するか、「サイバーセキュリティインシデント」をインシデント管理およびエスカレーション方針の範囲に含める。
Services Australia response: Agreed.	サービス・オーストラリアの回答同意する。
Recommendation no. 13	勧告 No.13
Paragraph 3.35	パラグラフ 3.35
Services Australia develops and implements an approach that ensures continuous monitoring and improvement reporting is provided to management, including documenting the determination of reporting frequency and escalation.	サービス・オーストラリアは、報告頻度とエスカレーションの決定を文書化することを含め、継続的な監視と改善報告が確実にマネージドサービス・プロバイダーに提供されるようなアプローチを開発し、実施する。
Services Australia response: Agreed.	サービス・オーストラリアの回答同意する。
Recommendation no. 14	勧告 No.14
Paragraph 3.43	パラグラフ 3.43
Services Australia designs and implements procedures detailing:	サービス・オーストラリアは、以下を詳述する手順を設計し、実施する：
the timeframes for reporting to internal and external stakeholders; and	社内および社外の利害関係者に報告するための時間枠。
roles and responsibilities for coordinating responses, including engagement of relevant expertise.	関連する専門家の関与を含む、対応を調整するための役割と責任。
Services Australia response: Agreed.	サービス・オーストラリアの回答同意する。
Recommendation no. 15	勧告 No.15
Paragraph 3.59	パラグラフ 3.59
Services Australia develops and implements procedures detailing:	オーストラリア政府は、以下を詳述する手順を策定し、実施する：
the process for performing cyber security investigations in accordance with the Australian Government Investigations Standard; and	オーストラリア政府調査標準に従ったサイバーセキュリティ調査の実施プロセス
the process for managing and maintaining evidence during and after cyber security investigations.	サイバーセキュリティ調査中および調査後の証拠管理・維持プロセス
Services Australia response: Agreed.	サービス・オーストラリアの回答同意する。
Recommendation no. 16	勧告 No.16
Paragraph 3.71	パラグラフ 3.71
Services Australia develops and implements:	オーストラリア政府は以下を策定し実施する：
a process for retrieving and analysing archived Security Information and Event Management (SIEM) solution data; and	アーカイブされたセキュリティ情報およびイベント管理（SIEM）ソリューションデータを検索および分析するためのプロセス。
timeframe requirements for triage and escalation activities.	トリアージおよびエスカレーション活動の時間枠要件。
Services Australia response: Agreed.	サービス・オーストラリアの対応：同意する。
Recommendation no. 17	勧告 No.17
Paragraph 3.87	パラグラフ 3.87
Services Australia develop and implement:	サービス・オーストラリアは以下を策定し実施する：
a policy for digital preservation;	デジタル保存に関する方針
a policy for regular backups;	定期的なバックアップの方針
business continuity and disaster recovery plans that include the systems, applications and servers which support their critical recovery processes; and	重要な復旧プロセスをサポートするシステム、アプリケーション、およびサーバーを含む、事業継続および災害復旧計画。
processes that test the recoverability of their systems and applications supporting critical business processes, and implement any lessons learned into future testing plans.	重要なビジネスプロセスをサポートするシステムおよびアプリケーションの復旧可能性をテストし、得られた教訓を将来のテスト計画に反映させる。
Services Australia response: Agreed.	サービス・オーストラリアの回答同意する。
Recommendation no. 18	勧告 No.18
Paragraph 3.96	パラグラフ 3.96
Services Australia establish a program that assesses the effectiveness of recovery processes for all production and archived backup data.	オーストラリア政府は、すべての本番データおよびアーカイブされたバックアップデータの復旧プロセスの有効性を評価するプログラムを確立する。
Services Australia response: Agreed.	サービス・オーストラリアの回答同意する。
Recommendation no. 19	勧告 No.19
Paragraph 3.101	パラグラフ 3.101
Services Australia develops its post-incident learning approaches following a cyber security incident to inform a process that reviews, updates and tests all of the relevant security documentation for the effective management of cyber security incidents. That is:	サービスオーストラリアは、サイバーセキュリティインシデント発生後に、サイバーセキュリティインシデントを効果的に管理するためのすべての関連セキュリティ文書を見直し、更新し、テストするプロセスを提供するために、インシデント発生後の学習アプローチを策定する。すなわち、以下のとおりである：
supporting security documentation to their security plans;	セキュリティ計画に対するセキュリティ文書を支援する
framework of procedures for cyber security incident management;	サイバーセキュリティインシデント管理手順の枠組み
associated guidance for cyber security incident response; and	サイバーセキュリティインシデント対応のための関連ガイダンス
associated guidance for cyber security incident recovery.	サイバーセキュリティインシデント復旧のための関連ガイダンスである。
Services Australia response: Agreed.	サービス・オーストラリアからの回答同意する。
Summary of entity responses	事業体の回答の要約
24. The proposed audit report was provided to AUSTRAC and Services Australia. The entities’ summary responses are reproduced below. Their full responses are included at Appendix 1. Improvements observed by the ANAO during the course of this audit are listed at Appendix 2.	24. 提案された監査報告書は AUSTRAC とオーストラリア政府サービス庁にプロバイダされた。事業体からの回答の概要は以下の通りである。全回答は附属書1に記載されている。本監査の過程で ANAO が観察した改善点は、附属書 2 に記載されている。
AUSTRAC	AUSTRAC
AUSTRAC welcomes the review and the opportunity to reflect on its processes and procedures for managing cybersecurity incidents. AUSTRAC maintains that our processes to date have enabled effective management of cyber security incidents if and as they occur, involving prioritisation, escalation and seeking internal and external expertise to inform AUSTRAC’s effective cyber security incident response. AUSTRAC welcomes the ANAO’s recommendations, which will support AUSTRAC to strengthen our approach to cybersecurity incident management through greater clarity and certainty provided by documenting much of our existing approach and enhancing it where gaps have been identified. In response to the recommendations, AUSTRAC will update key incident response plans and documents, as well as develop testing schedules consistent with our risk profile and appetite and operational requirements.	AUSTRACは、サイバーセキュリティインシデントを管理するためのプロセスと手順について検討する機会とレビューを歓迎する。AUSTRAC は、優先順位付け、エスカレーション、AUSTRAC の効果的なサイバーセキュリティインシデント対応に情報を提供するための内部および外部の専門家への情報提供を含む、サイバーセキュリティインシデントが発生した場合およびその都度、AUSTRAC のこれまでのプロセスによって効果的な管理が可能になっていることを維持している。AUSTRACは、ANAOの勧告を歓迎する。この勧告は、AUSTRACがサイバーセキュリティインシデント管理へのアプローチを強化するための支援となり、AUSTRACの既存のアプローチの多くを文書化し、ギャップが特定された場合にはそれを強化することによって提供される、より明確で確実なものとなる。勧告を受け、AUSTRACは主要なインシデント対応計画および文書を更新するとともに、リスクプロファイルおよび選好度、業務要件に合致したテストスケジュールを策定する予定である。
Services Australia	サービス・オーストラリア
Services Australia (the Agency) notes the audit findings and the recommendations for the Agency associated with improving the management of cyber security. The Agency agrees with the recommendations, and will work towards further strengthening controls in the identified areas.	オーストラリア政府サービス庁（以下、「サービス庁」）は、サイバーセキュリティ管理の改善に関連する監査所見と、サービス庁に対する勧告に留意する。当機関は勧告に同意し、特定された分野における管理のさらなる強化に向けて取り組む。
The Agency takes its responsibility to safeguard the personal information and data of its customers very seriously, as well as the need to ensure continuity of the essential services and payments that the Agency provides. I consider that the implementation of the recommendations contained in the report will support the Agency in achieving those outcomes.	同庁は、顧客の個人情報およびデータを保護する責任を非常に重く受け止めており、また同庁が提供する必要不可欠なサービスおよび決済の継続性を確保する必要性も認識している。本報告書に含まれる提言の実施は、当機構がこれらの成果を達成するための支援になると考える。
Key messages from this audit for all Australian Government entities	全オーストラリア政府事業体に対する本監査からの主要なメッセージ
Below is a summary of key messages, including instances of good practice, which have been identified in this audit and may be relevant for the operations of other Australian Government entities.	以下は、本監査で確認された、他のオーストラリア政府機関の業務に関連すると思われる、優れた事例を含む主要なメッセージの要約である。
Governance and risk management	ガバナンスとリスクマネジメント
Public services are increasingly reliant on the availability of systems. Entities should understand and assess the need for critical business continuity and disaster recovery management and frame their security documentation and processes on the basis that cyber security incidents could disrupt or shut down the delivery of digital services to the Australian public.	公共サービスは、システムの可用性にますます依存するようになっている。事業体は、重要な事業継続と災害復旧管理の必要性を理解・評価し、サイバーセキュリティインシデントがオーストラリア国民へのデジタルサービスの提供を中断または停止させる可能性があることを前提に、セキュリティ文書とプロセスを構築すべきである。
Entities should document policies and procedures — which is important for managing staff turnover — particularly for smaller organisations that are critically dependent on the qualifications and experience of key security advisors.	事業体は、方針と手順を文書化すべきである。これは、特に、主要なセキュリティアドバイザーの資格と経験に決定的に依存している小規模事業体にとっては、スタッフの離職を管理する上で重要である。
Entities should leverage post-incident learning to inform a process that reviews, updates and tests all security documentation for the effective management of cyber security incidents. Post-incident learning greatly improves business continuity and recovery prospects following a significant or reportable cyber security incident.	事業体は、サイバーセキュリティインシデントを効果的に管理するために、インシデント後の学習を活用して、すべてのセキュリティ文書を見直し、更新し、テストするプロセスに反映させるべきである。インシデント発生後の学習は、重大なまたは報告すべきサイバーセキュリティインシデント発生後の事業継続性と復旧の見通しを大幅に改善する。
Entities should implement a trusted insider program which would actively assist an entity to effectively detect and mitigate internal cyberattack threats.	事業体は、内部サイバー攻撃の脅威を効果的に検知し緩和するために、事業体を積極的に支援する信頼される内部者プログラムを導入すべきである。
As Australia’s cyber security regulatory landscape evolves and reforms, it is important for an entity to consider how their legal function will support their governance committees during the external reporting process to manage increasing scrutiny and liability risks following a significant or reportable cyber security incident.	オーストラリアのサイバーセキュリティ規制の状況が進化し、改革が進む中、事業体にとって重要なのは、重大または報告すべきサイバーセキュリティインシデント発生後に増大する監視と責任リスクに対処するため、外部報告プロセスにおいて法務機能がどのようにガバナンス委員会を支援するかを検討することである。
Performance and impact measurement	パフォーマンスと影響の測定
Entities should implement a systematic and centralised approach to the management of Security Information and Event Management (SIEM) solutions, including automated monitoring and prioritisation of security alerts.	事業体は、セキュリティアラートの自動監視と優先順位付けを含む、セキュリティ情報・イベント管理（SIEM）ソリューションの管理に対する体系的かつ一元的なアプローチを導入すべきである。

2024.06.21 00:00 in 情報セキュリティ / サイバーセキュリティ, in 監査 / 認証 | Permalink | Comments (0)
Tweet

2024.06.20

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）と米国選挙支援委員会（EAC）が選挙セキュリティについてのガイドを発表 (2024.06.17)

こんにちは、丸山満彦です。

今年は選挙の年と言われていますね...

1月：台湾総統選挙
2月：インドネシア大統領選挙
3月：イラン議員選挙
3月：ロシア大統領選挙
5月：インド議会選挙
6月：メキシコ大統領選挙・議会選挙
6月：EU議会選挙
6月：ベルギー議会選挙

これから、おこなわれるのが、

6月：イラン大統領選挙
6月：フランス議会選挙
11月：米国大統領選挙

そして、

東京都選挙！！！

ひょっとしたら、衆議院が解散して選挙？ないか...

民主主義の一つの課題は国民による選挙制度が情報操作により正しく行われないということなので、外国からの選挙への干渉について民主主義国家は大変気にしているわけです。

欧州や米国で外国からの情報操作について、多くの警告がだされているわけですよね。。。ただ、日本ではあまり取り上げられていないように感じているのですが、どうなのでしょうか？？？

さて、11月に迫る大統領選挙に向けて米国では、サイバーセキュリティ・インフラセキュリティ庁（CISA）と米国選挙支援委員会（EAC）が選挙セキュリティについてのガイドを発表していますね...

大統領選は、州によっては電子投票も行われるので、その状況も少し気になりますね...

● Cybersecurity and Infrastructure Security Agency; CISA

プレス

・2024.06.17 CISA Releases Guide to Enhance Election Security Through Public Communications

CISA Releases Guide to Enhance Election Security Through Public Communications	CISA、パブリックコミュニケーションを通じて選挙セキュリティを強化するためのガイドを発表
WASHINGTON – Today, the Cybersecurity and Infrastructure Security Agency (CISA) and the U.S. Election Assistance Commission (EAC) announced the release of “Enhancing Election Security Through Public Communications,” a guide for state, local, tribal, and territorial election officials who are the primary sources of official information about elections. Election officials can mitigate risk to election infrastructure and operations by developing a public communications plan that conveys accurate information about how they administer and secure elections and by preparing their teams to communicate effectively.	ワシントン発 - 本日、サイバーセキュリティ・インフラセキュリティ庁（CISA）と米国選挙支援委員会（EAC）は、選挙に関する公式情報の主要な情報源である州、地方、部族、準州の選挙担当官向けのガイド「パブリックコミュニケーションを通じて選挙セキュリティを強化する」を発表した。選挙管理者は、選挙をどのように管理し、どのように安全を確保するかについて正確な情報を伝えるパブリックコミュニケーション・プランを策定し、効果的なコミュニケーションができるようチームを準備することで、選挙インフラや運営に対するリスクを軽減することができる。
Open communication with the American people is crucial to maintaining public trust in the security and integrity of our elections process. As the individuals responsible for administering and securing our elections process, state and local election officials around the country are the trusted, authoritative sources for election information. Election officials frequently engage in public communications and answer questions from the media and the public on a wide range of topics, such as election dates and deadlines, voter registration, candidate filings, voting locations, election worker recruitment, security measures, and the publication of results.	米国民とのオープンなコミュニケーションは、選挙プロセスの安全性と完全性に対する国民の信頼を維持する上で極めて重要である。選挙プロセスの管理と安全確保に責任を負う者として、全国の州および地方の選挙管理官は、選挙情報の信頼できる権威ある情報源である。選挙管理者は、選挙の期日や期限、有権者登録、候補者の届出、投票場所、選挙管理者の採用、セキュリティ対策、結果の公表など、幅広いトピックについて、メディアや一般市民と頻繁にコミュニケーションを行い、質問に答えている。
To help election officials with this critical function, CISA and the EAC developed this guide to provide a framework and practical tools for developing and implementing a year-round communications plan. The guide highlights how officials can tailor their communications plan to meet the unique needs of their jurisdiction while operating within the resources available and provides worksheets to help election officials develop core plan components.	CISAとEACは、この重要な機能を果たす選挙管理者を支援するため、年間を通じたコミュニケーション計画を策定・実施するための枠組みと実践的なツールを提供する、本ガイドを作成した。このガイドでは、選挙管理者が利用可能なリソースの範囲内で活動しながら、管轄区域の固有のニーズに合わせてコミュニケーション計画を調整する方法を強調し、選挙管理者が計画の中核的な構成要素を開発するのに役立つワークシートを提供している。
“The ability for election officials to be transparent about the elections process and communicate quickly and effectively with the American people is crucial for building and maintaining their trust in the security and integrity of our elections process,” says CISA Senior Advisor Cait Conley. “This guide is about providing election officials with resources and tools that help them do that as they work tirelessly to meet the unique needs of their state and local jurisdictions.”	「選挙当局が選挙プロセスについて透明性を保ち、米国民と迅速かつ効果的にコミュニケーションする能力は、選挙プロセスの安全性と完全性に対する米国民の信頼を築き、維持するために極めて重要である」と、CISAシニア・アドバイザーのケイト・コンリーは言う。「このガイドは、選挙管理者が州や地域の管轄区域特有のニーズを満たすためにたゆまぬ努力をする際に、その助けとなるリソースやツールを提供するものである。
“Election officials are the trusted sources of election information. This resource supports election officials to successfully deliver accurate communication to voters with the critical information they need before and after Election Day,” said EAC Chairman Ben Hovland, Vice Chair Donald Palmer, Commissioner Thomas Hicks, and Commissioner Christy McCormick jointly. “Effective and transparent communication not only helps eligible Americans to cast their ballot and instill confidence in the voting process but is essential to trusting the security of our elections, and the accuracy of the results.”	「選挙管理者は、選挙情報の信頼できる情報源である。EACのベン・ホヴランド委員長、ドナルド・パーマー副委員長、トーマス・ヒックス委員、クリスティ・マコーミック委員は共同で、「このリソースは、選挙当日の前後に有権者が必要とする重要な情報を、選挙管理者が有権者に正確に伝えることを支援するものである。「効果的で透明性のあるコミュニケーションは、有権者の投票行動を支援し、投票プロセスに対する信頼感を与えるだけでなく、選挙の安全性と結果の正確性を信頼するために不可欠である。

・2024.06.17 Enhancing Election Security Through Public Communications

Enhancing Election Security Through Public Communications

パブリックコミュニケーションを通じて選挙の安全性を高める

Election officials are the primary sources of official information about elections. Developing a public communications plan to convey accurate information about election processes and security measures helps mitigate risks to election infrastructure and prepare election workers to communicate effectively during a potential incident. This guide helps election officials apply communication best practices to election processes, including providing a suite of templates to support election officials in developing their own communication plan.

選挙に関する公式情報の第一の情報源は選挙管理者である。選挙プロセスやセキュリティ対策に関する正確な情報を伝えるためのパブリックコミュニケーション計画を策定することは、選挙インフラに対するリスクを軽減し、潜在的なインシデントが発生した際に選挙職員が効果的なコミュニケーションを行えるよう準備するのに役立つ。この手引きは、選挙担当者がコミュニケーションのベストプラクティスを選挙プロセスに適用するのを支援するもので、選挙担当者が独自のコミュニケーション計画を策定するのを支援する一連のテンプレートを提供することも含まれている。

・[PDF]

目次...

Executive Summary	エグゼクティブ・サマリー
Developing a Public Communications Plan	パブリックコミュニケーション計画の策定
Introduction: Why Public Communications Matter	序文なぜパブリックコミュニケーションが重要なのか？
Message: What to Communicate	メッセージ何をコミュニケーションするか
Audience and Format: How to Communicate	聴衆と形式どのようにコミュニケーションするか
Timing: When to Communicate	タイミングいつコミュニケーションするか
Partners: Who to Engage	パートナー誰を巻き込むか
Team: Who Does What	チーム誰が何をするか
Prepare: Incident Response Communications	準備インシデント対応コミュニケーション
Review: Identify and Apply Lessons Learned	レビュー教訓の識別と適用
Appendix: Planning Worksheets	附属書計画ワークシート
Public Communications Plan	パブリックコミュニケーション計画
Message	メッセージ
Audience and Format	聴衆と形式
Timing	タイミング
Partners	パートナー
Team	チーム
Prepare	準備
Review	レビュー

エグゼクティブサマリー...

Executive Summary	エグゼクティブ・サマリー
State, local, tribal, and territorial election officials are the primary sources of official information about elections. Election officials routinely communicate with the public about their work, including:	州、地方、部族、および準州の選挙管理官は、選挙に関する公式情報の主な情報源である。選挙職員は、その仕事について、日常的に一般市民と以下のようなコミュニケーションをとっている：
・Election dates and deadlines	・選挙の期日と締め切り
・Voter registration information	・有権者登録情報
・Candidate filing information	・立候補届出情報
・Voting locations	・投票場所
・Election worker recruitment	・選挙作業員募集
・Election security and integrity measures	・選挙のセキュリティと完全性対策
・Observation opportunities	・観察の機会
・Publishing preliminary and final election results	・選挙速報および最終結果を発表する
In addition to providing key dates and information about election administration, communicating proactively with the public can help reduce uncertainty and confusion about elections. Alternatively, ineffective communication about election laws, policies, and procedures may undermine public confidence in election security and amplify risks to election infrastructure. Having a plan for communicating is even more important when the public is looking for official information after an incident occurs.	重要な期日や選挙管理に関する情報を提供するだけでなく、一般市民と積極的にコミュニケーションを図ることで、選挙に関する不確実性や混乱を減らすことができる。逆に、選挙法、政策、手続きに関するコミュニケーションが効果的でなければ、選挙の安全に対する国民の信頼を損ない、選挙インフラに対するリスクを増幅させることになりかねない。インシデントが発生した後、一般市民が公式情報を求めている場合には、コミュニケーション計画を持つことがさらに重要になる。
Election officials can mitigate risk to election infrastructure and operations by developing a public communications plan that conveys accurate information about how they administer and secure elections and by preparing their teams to communicate effectively during incident response. The Cybersecurity and Infrastructure Security Agency (CISA) developed this guide in partnership with the Election Assistance Commission (EAC) to help election officials apply communication best practices to election infrastructure security. It builds on guidance developed jointly by the Election Infrastructure Subsector Government Coordinating Council and Election Infrastructure Subsector Coordinating Council for ensuring voters have access to accurate information about election administration and election security.	選挙管理者は、選挙を管理し保護する方法について正確な情報を伝えるパブリックコミュニケーション計画を策定し、インシデント対応時に効果的なコミュニケーションができるようチームを準備することで、選挙インフラと運営に対するリスクを軽減することができる。サイバーセキュリティ・インフラセキュリティ庁（CISA）は、選挙当局がコミュニケーションのベスト・プラクティスを選挙インフラのセキュリティに適用するのを支援するために、選挙支援委員会（EAC）と協力してこのガイドを作成した。これは、有権者が選挙管理および選挙セキュリティに関する正確な情報にアクセスできるようにするために、選挙インフラ・サブセクター政府調整協議会（Election Infrastructure Subsector Government Coordinating Council）と選挙インフラ・サブセクター調整協議会（Election Infrastructure Subsector Coordinating Council）が共同で作成したガイダンスに基づいている。
This guidance is supported by customizable planning worksheets to help state and local election officials think through elements of their plan, including:	このガイダンスは、カスタマイズ可能な計画ワークシートによってサポートされており、州や地方の選挙担当者が、以下のような計画の要素について考えるのに役立つ：
・Message: Identify what information to share with voters.	・メッセージ：有権者と共有すべき情報を特定する。
・Audience and Format: Recognize and assess different audience groups and how to engage them effectively.	・聴衆と形式：さまざまな聴衆グループを認識し、アセスメントする。
・Timing: Explore effective scheduling for communication activities, including key dates and deadlines.	・タイミング：重要な日程や期限など、コミュニケーション活動の効果的なスケジューリングを検討する。
・Partners: Work with other trusted voices in the community to validate and amplify messaging.	・パーナー：地域の信頼できる声と協力し、メッセージの妥当性を確認し、増幅させる。
・Team: Document and assign communication responsibilities.	・チーム：コミュニケーションの責任を文書化し、割り当てる。
・Prepare: Ensure staff are ready to share information when an incident occurs.	・準備：インシデントが発生したときに、スタッフが情報を共有できるようにしておく。
There is no one-size-fits-all approach to planning public communications. The structure, scope, and level of detail required vary based on available resources and other factors. With proper planning and coordination, all election officials can effectively communicate accurate information, including those in small and midsize jurisdictions that may rely on partners to augment their public communications. Election officials are encouraged to consult with their privacy, civil rights and civil liberties offices and with their legal counsel to ensure that plans are compliant with state and jurisdiction laws and policies, including those related to creating and maintaining lists with personally identifiable information.	パブリックコミュニケーションの計画には、万能のアプローチはない。必要な構成、範囲、詳細のレベルは、利用可能なリソースやその他の要因によって異なる。適切な計画と調整により、すべての選挙管理者は、正確な情報を効果的に伝えることができる。選挙管理者は、計画が、個人を特定できる情報を含むリストの作成と維持に関連するものを含め、州や管轄区域の法律や方針に準拠していることを確認するために、プライバシー、公民権、市民的自由に関する事務所や、法律顧問と相談することが推奨される。

米国選挙支援委員会

● U.S. Election Assistance Commission; EAC

興味深いコンテンツがいくつかありますね...

2024.06.20 06:05 in 情報セキュリティ / サイバーセキュリティ, in 電子投票, in AI/Deep Learning, in 安全保障 | Permalink | Comments (0)
Tweet

中国国家サイバースペース管理局など4部門が「ネット暴力情報管理規定」を発表 (2024.06.14)

こんにちは、丸山満彦です。

ネット上に不適切な情報が流通しようとしているような感じですね... そのためには、サービスプロバイダーのようなところがちゃんと管理すればよいということで、監視やブロックをするということになりそうですね...

中国的な感じですね...

● 中央网络安全和信息化委员会办公室 (Cyberspace Administration of China: CAC)

・2024.06.14 国家互联网信息办公室等四部门公布《网络暴力信息治理规定》

国家互联网信息办公室等四部门公布《网络暴力信息治理规定》	国家サイバースペース管理局など4部門が「ネット暴力情報管理規定」を発表
近日，国家互联网信息办公室联合公安部、文化和旅游部、国家广播电视总局公布《网络暴力信息治理规定》（以下简称《规定》），自2024年8月1日起施行。	このほど、国家サイバースペース管理局は公安部、文化観光部、国家ラジオテレビ総局と共同で、2024年8月1日以降に施行される「ネット暴力情報管理規定」（以下、本規定）を発表した。
国家互联网信息办公室有关负责人表示，网络暴力信息严重侵害公民合法权益，受到社会各界高度关注。为治理网络暴力信息，营造良好网络生态，保障公民合法权益，维护社会公共利益，四部门联合出台《规定》，从明确网络信息内容管理主体责任、建立健全预防预警机制、规范网络暴力信息和账号处置、强化用户权益保护、加强监督管理、明确法律责任等方面，为加强网络暴力信息治理提供有力支撑。	国家サイバースペース管理局の担当者は、ネット暴力情報は市民の合法的権益を深刻に侵害するものであり、社会各界が強く懸念していると述べた。ネット暴力情報を管理し、良好なネットワーク生態を創造し、市民の合法的権益を保護し、社会の公益を守るため、4部門は共同で本規定を公布し、ネットワーク情報コンテンツ管理の主な責任を明確にし、予防・警告メカニズムを確立・改善し、ネット暴力情報とアカウントの廃棄を規制し、利用者の権益保護を強化し、監督管理を強化し、法的責任を明確にすることで、ネット暴力情報管理を強化する強力な支持を提供する。強力な支援である。
《规定》明确，网络暴力信息治理坚持源头防范、防控结合、标本兼治、协同共治的原则，建立网络暴力信息监督管理机制，鼓励网络相关行业组织加强行业自律。明确网络信息服务提供者应当履行网络信息内容管理主体责任，建立完善网络暴力信息治理机制，履行真实身份信息认证义务，制定和公开管理规则、平台公约并与用户签订服务协议，定期发布网络暴力信息治理公告。强化网络暴力信息预防预警，明确网络信息服务提供者应当在国家网信部门和国务院有关部门指导下细化网络暴力信息分类标准规则，建立健全网络暴力信息特征库和典型案例样本库。规定信息和账号处置制度，明确网络信息服务提供者对涉网络暴力违法和不良信息的处置义务，以及对相关账号的处置措施。建立用户保护机制，要求网络信息服务提供者建立健全网络暴力信息防护功能、完善私信规则，发现用户面临网络暴力信息风险的，应当及时通过显著方式提示用户，告知用户可以采取的防护措施。规定监督管理职责和法律责任，明确网信部门会同公安、文化和旅游、广播电视等有关部门依法对网络信息服务提供者网络暴力信息治理情况进行监督检查，建立健全信息共享、会商通报、取证调证、案件督办等工作机制，协同治理网络暴力信息。此外，还规定了网络暴力信息的定义、排除适用规则等。	本規定は、ネット暴力情報管理が、発生源での予防、予防と管理の組み合わせ、対症療法、共同治療の原則を堅持し、ネット暴力情報の監督管理メカニズムを確立し、ネットワーク関連業界組織が業界の自己規律を強化することを奨励することを明確にしている。ネットワーク情報サービス提供者は、ネットワーク情報コンテンツ管理の主責任を果たし、ネットワーク暴力情報管理機構を確立・改善し、実在の身元情報を認証する義務を果たし、管理規則を策定・公開し、プラットフォーム規約を制定し、利用者とサービス契約を締結し、ネットワーク暴力情報管理に関するアナウンスを定期的に行うべきであることは明らかである。ネットワーク暴力情報の予防と早期警戒を強化し、国家インターネット情報サービス局と国務院の関連部門の指導の下、ネットワーク情報サービス提供者がネットワーク暴力情報を分類する標準規則を精緻化することを明記し、ネットワーク暴力情報の特徴データベースと典型的な事例のサンプルデータベースを構築・改善する。情報およびアカウントの廃棄制度を規定し、ネットワーク情報サービス提供者のネット暴力関連違法情報および望ましくない情報の廃棄義務、関連アカウントの廃棄措置を明確にしている。利用者保護の仕組みを確立し、ネットワーク情報サービス提供者にネットワーク暴力情報の保護機能を確立・改善し、プライベートメッセージのルールを改善し、利用者がネットワーク暴力情報のリスクにさらされていることを発見した場合、速やかに利用者に目立つように通知し、利用者が取れる保護措置を知らせることを求めている。また、監督管理任務と法的責任を規定し、ネット情報部門は公安、文化観光、ラジオ・テレビなどの関連部門と連携し、法律に基づいてサイバー情報サービス提供者のサイバー暴力情報管理を監督・検査し、サイバー暴力情報管理を連携させるため、情報共有、相談・通報、フォレンジック証拠の収集・調査、事案の監督などの作業メカニズムを構築・改善することを明確にしている。さらに、ネット暴力情報の定義、排除と適用のルールなども規定している。
国家互联网信息办公室有关负责人指出，网络暴力信息治理需要政府、企业、社会、网民等多方参与，促进形成积极健康、向上向善的网络文化，维护良好网络生态。	国家サイバースペース管理局の担当者は、ネット暴力情報管理には政府、企業、社会、ネットユーザーなどの参加が必要であり、積極的、健全、上昇志向のネット文化の形成を促進し、良好なネット生態を維持する必要があると指摘した。

法律を読む前にFAQから(^^)...

・2024.06.14 《网络暴力信息治理规定》答记者问

《网络暴力信息治理规定》答记者问	ネット暴力情報管理規定に関する記者の質問に対する回答
近日，国家互联网信息办公室联合公安部、文化和旅游部、国家广播电视总局公布了《网络暴力信息治理规定》（以下简称《规定》）。国家互联网信息办公室有关负责人就《规定》相关问题回答了记者提问。	最近、国家サイバースペース管理局（SIIO）は、公安部、文化観光部、国家ラジオテレビ総局（SARFT）と共同で、「インターネット暴力情報管理規定」（以下、本規定）を発表した。国家サイバースペース管理局の担当者が、規定に関する問題について記者の質問に答えた。
一、问：请您简要介绍《规定》出台的背景？	1: Q：規定の背景を簡単に紹介してほしい。
答：制定《规定》主要基于以下几个方面的考虑：一是深入贯彻落实党中央决策部署。习近平总书记高度重视网络生态建设，强调“网络空间是亿万民众共同的精神家园”，“健全网络综合治理体系，推动形成良好网络生态”。中共中央、国务院印发的《新时代公民道德建设实施纲要》明确“反对网络暴力行为”。二是及时回应人民群众关切。全国两会期间，多名代表委员强烈呼吁加快出台反网络暴力针对性立法，关于整治网络暴力的建议提案获得人民群众广泛响应。三是着力提升网络暴力信息治理效能。在《网络安全法》《个人信息保护法》《未成年人网络保护条例》等法律法规先后出台并作出相关制度设计的基础上，《规定》进一步建立网络暴力信息治理制度体系，有力提升治理效能。	A：第一に、中国共産党中央委員会の決定と配置を徹底的に実施することである。習近平総書記はネットワークエコロジーの構築を非常に重視しており、「サイバースペースは数億人の共通の心の故郷である」、「全面的なネットワーク管理システムを改善し、良好なネットワークエコロジーの形成を促進する」と強調している。中国共産党中央委員会と国務院は「新時代の公民道徳建設実施要綱」を発表し、「インターネット上の暴力行為に反対する」ことを明確にした。第二に、人民の懸念にタイムリーに対応した。全国人民代表大会（全人代）の2回の会期中、多くの代表と委員がサイバー暴力に対抗する対象法制の導入加速を強く訴え、サイバー暴力の是正に関する勧告と提案は国民から幅広い反響を得た。第三に、サイバー暴力に対する情報管理の実効性を高める努力がなされてきた。サイバーセキュリティ法」、「個人情報保護法」、「未成年者ネットワーク保護条例」などの法令をベースに、関連する制度設計を行い、サイバー暴力に関する情報管理の仕組みを構築し、管理の実効性を高める。
二、问：《规定》所称网络暴力信息是指什么？	2: Q：規定にいうネット暴力情報とは何を意味するのか。
答：《规定》所称网络暴力信息，是指通过网络以文本、图像、音频、视频等形式对个人集中发布的，含有侮辱谩骂、造谣诽谤、煽动仇恨、威逼胁迫、侵犯隐私，以及影响身心健康的指责嘲讽、贬低歧视等内容的违法和不良信息。	A：本規定でいうネット暴力情報とは、侮辱・罵倒、風評・中傷、憎悪の扇動、いじめ・強要、プライバシー侵害、心身の健康に影響を及ぼす非難・嘲笑、誹謗・差別的内容等を含む違法で好ましくない情報であって、インターネットを通じて文字、画像、音声、映像等の形で一元的に個人に公開されるものをいう。
三、问：《规定》明确的网络暴力信息治理原则是什么？	3: Q：本規定に規定されているオンライン暴力情報管理の原則は何か。
答：《规定》明确，网络暴力信息治理坚持源头防范、防控结合、标本兼治、协同共治的原则。	A: 本規定は、オンライン暴力情報管理が、発生源での予防、予防と制御の組み合わせ、対症療法、共同治療の原則を堅持することを明確にしている。
四、问：《规定》对网络暴力信息预防预警提出了哪些要求？	4: Q：オンライン暴力情報の予防と早期警告について、「規定」はどのような要件を提示しているか。
答：《规定》对网络暴力信息预防预警提出了明确要求。一是规定网络信息服务提供者应当在国家网信部门和国务院有关部门指导下细化网络暴力信息分类标准规则，建立健全网络暴力信息特征库和典型案例样本库，加强对网络暴力信息的识别监测。二是要求网络信息服务提供者建立健全网络暴力信息预警模型，综合事件类别、针对主体、参与人数、信息内容、发布频次、环节场景、举报投诉等因素，及时发现预警网络暴力信息风险。三是规定网络信息服务提供者发现存在网络暴力信息风险的，应当及时回应社会关切，引导用户文明互动、理性表达，并对异常账号及时采取真实身份信息动态核验、弹窗提示、违规警示、限制流量等措施；发现相关信息内容浏览、搜索、评论、举报量显著增长等情形的，还应当及时向有关部门报告。四是规定网络信息服务提供者应当建立健全用户账号信用管理体系，将涉网络暴力信息违法违规情形记入用户信用记录，依法依约降低账号信用等级或者列入黑名单，并据以限制账号功能或者停止提供相关服务。	A: 「規定」は、ネットワーク暴力情報の予防と早期警告のための明確な要件を提示している。第一に、ネットワーク情報サービス提供者は、国家インターネット情報サービス局と国務院の関連部門の指導の下、ネットワーク暴力情報を分類する標準規則を精緻化し、ネットワーク暴力情報の特徴データベースと典型事例のサンプルデータベースを構築・改善し、ネットワーク暴力情報の識別と監視を強化しなければならないと規定している。第二に、ネットワーク情報サービス提供者に対し、ネット暴力情報の早期警告モデルを確立・改善し、事件の種類、対象者、関係者数、情報内容、公開頻度、リンクシナリオ、苦情報告などの要素を統合して、ネット暴力情報のリスクを適時に特定・警告することを求めている。第三に、ネットワーク情報サービス提供者は、ネットワーク暴力情報のリスクがあると判断した場合、社会的懸念に適時に対応し、利用者に文明的な交流と理性的な表現を誘導し、実名情報の動的確認、ポップアップによる注意喚起、不正行為の警告、異常なアカウントのトラフィック流入制限などの措置を適時に講じなければならず、関連情報コンテンツの閲覧、検索、コメント、通報などが著しく増加していると判断した場合、関連部門に適時に報告しなければならないと規定されている。報告する。第四に、ネットワーク情報サービスプロバイダの規定は、ユーザーアカウントの信用管理システムを確立し、改善する必要があります、ユーザーの信用記録に法律のネットワーク暴力情報違反に関与し、法律に基づき、アカウントの信用格付けを下げたり、ブラックリストに含まれ、アカウントの機能の制限に基づいて、または関連するサービスの提供を停止する。
五、问：《规定》对网络暴力信息处置提出了哪些要求？	5: Q：オンライン暴力情報の処分に関する規定には、どのような要件があるのか？
答：《规定》明确，网络信息服务提供者发现涉网络暴力违法信息的，或者在其服务的醒目位置、易引起用户关注的重点环节发现涉网络暴力不良信息的，应当立即停止传输，采取删除、屏蔽、断开链接等处置措施，保存有关记录，向有关部门报告。发现涉嫌违法犯罪的，应当及时向公安机关报案，并提供相关线索，依法配合开展侦查、调查和处置等工作。	A：規定では、ネットワーク情報サービス提供者は、ネットワーク暴力に関連する違法な情報を発見した場合、または利用者の注意を引きやすいサービスの人目を引く位置や重要なリンクにネットワーク暴力に関連する好ましくない情報を発見した場合、直ちに送信を停止し、削除、ブロック、切断などの措置を取り、関連記録を保存し、関連部門に報告しなければならないことを明確にしている。犯罪の疑いを発見した場合、速やかに公安機関に通報し、関連する手がかりを提供し、法に基づき、摘発、捜査、処分作業に協力しなければならない。
六、问：《规定》对互联网新闻信息服务提供者提出了哪些要求？	6: Q：インターネットのニュースや情報サービス提供者の "規定 "は、どのような要件を提唱する？
答：《规定》明确，互联网新闻信息服务提供者应当坚持正确政治方向、舆论导向、价值取向，加强网络暴力信息治理的公益宣传。互联网新闻信息服务提供者不得通过夸大事实、过度渲染、片面报道等方式采编发布、转载涉网络暴力新闻信息。对互联网新闻信息提供跟帖评论服务的，应当实行先审后发。互联网新闻信息服务提供者采编发布、转载涉网络暴力新闻信息不真实或者不公正的，应当立即公开更正，消除影响。	A：「規定」は、インターネットニュース・情報サービス提供者が正しい政治方向、世論誘導、価値志向を堅持し、ネットワーク暴力情報管理スに関する公共の福祉宣伝活動を強化することを明らかにした。インターネットニュース・情報サービス提供者は、事実を誇張したり、誇張しすぎたり、一方的な報道によって、ネット暴力に関連するニュースや情報を収集、発表、転載してはならない。インターネットのニュースや情報は、フォローアップのコメントサービスを提供するために、リリースする前に最初のレビューを実装する必要がある。インターネットのニュースや情報サービスプロバイダを収集し、公開するために、インターネット暴力に関連する再現ニュースや情報が真実または不当ではない、直ちに公的に影響を排除し、修正する必要がある。
七、问：针对群众普遍关心的用户权益保护问题，《规定》明确了哪些要求？	7: Q：公衆に一般的な関心事であるユーザーの権利と利益を保護するための規定には、どのような要件が指定されている？
答：《规定》明确了网络暴力信息治理中的用户权益保护要求。一是建立健全网络暴力信息防护功能。要求网络信息服务提供者提供便利用户设置屏蔽陌生用户或者特定用户、本人发布信息可见范围、禁止转载或者评论本人发布信息等网络暴力信息防护选项。二是完善私信规则。要求网络信息服务提供者提供便利用户设置仅接收好友私信或者拒绝接收所有私信等网络暴力信息防护选项，鼓励提供智能屏蔽私信或者自定义私信屏蔽词等功能。三是告知用户采取防护措施。明确网络信息服务提供者发现用户面临网络暴力信息风险的，应当及时通过显著方式提示用户，告知用户可以采取的防护措施。四是及时保存证据。规定网络信息服务提供者发现、处置网络暴力信息的，应当及时保存信息内容、浏览评论转发数量等数据；应当向用户提供网络暴力信息快捷取证等功能，依法依约为用户维权提供便利。五是及时受理处理投诉、举报。要求网络信息服务提供者在服务显著位置设置专门的网络暴力信息快捷投诉、举报入口，公布处理流程，及时受理、处理公众投诉、举报并反馈处理结果；应当优先处理涉未成年人网络暴力信息的投诉、举报，发现涉及侵害未成年人用户合法权益的网络暴力信息风险的，应当按照法律法规和本规定要求及时采取措施，提供相应保护救助服务，并向有关部门报告。	A：本規定は、オンライン暴力情報管理において、利用者の権益を保護するための要件を規定している。まず、健全なネットワーク暴力情報保護機能の確立である。ネットワーク情報サービス提供者が、不慣れなユーザーや特定のユーザーをブロックする設定、自分が投稿した情報の可視範囲、自分が投稿した情報の転載やコメントの禁止、その他のネットワーク暴力情報保護オプションなどの利便性をユーザーに提供することを要求している。 2つ目は、プライベートメッセージのルールの改善である。ネットワーク情報サービス提供者は、友人からのプライベートメッセージのみを受信したり、すべてのプライベートメッセージの受信を拒否したりするなど、ネットワーク暴力から保護するためのオプションを設定できる利便性を利用者に提供することが求められており、プライベートメッセージのインテリジェントブロックやカスタマイズされたプライベートメッセージのブロックワードを提供することが奨励されている。第三に、保護措置をとるよう利用者に知らせることである。ネットワーク情報サービス提供者は、利用者がネットワーク暴力情報のリスクに直面していることを発見した場合、速やかに目立つ方法で利用者に保護措置を取るよう通知すべきである。第四に、タイムリーな証拠保全である。ネットワーク暴力情報を見つけ、処分するネットワーク情報サービス提供者は、情報内容、閲覧コメント数、リツイート数などのデータを適時に保存する必要がある。第五に、苦情や報告のタイムリーな処理。ネットワーク情報サービス提供者は、そのサービスの目立つ位置にネット暴力情報専用の迅速な苦情・通報の入口を設置し、処理手順を公表し、公衆からの苦情・通報を迅速に受け付けて処理し、その結果をフィードバックすることが求められる。未成年者のネット暴力情報に関わる苦情・通報を優先的に処理し、未成年者の利用者の合法的な権利・利益の侵害に関わるネット暴力情報のリスクを発見した場合、法令と本規定の要求に従い、適切な保護を提供するための措置を適時に講じなければならない。規定は、法令および本規則の要求に従い、適時に措置を講じ、対応する保護・救済サービスを提供し、関連部門に報告しなければならない。
八、问：《规定》对部门监督管理工作机制作出了哪些规定？	8: Q：各部門の監督管理の作業メカニズムについて、本規定にはどのような規定があるか。
答：《规定》明确，网信部门会同公安、文化和旅游、广播电视等有关部门依法对网络信息服务提供者的网络暴力信息治理情况进行监督检查，建立健全信息共享、会商通报、取证调证、案件督办等工作机制，协同治理网络暴力信息。公安机关对于网信、文化和旅游、广播电视等部门移送的涉网络暴力信息违法犯罪线索，应当及时进行审查，并对符合立案条件的及时立案侦查、调查。	A：本規定は、インターネット情報部門が公安、文化観光、ラジオ・テレビなどの関連部門と連携して、ネットワーク情報サービス提供者のネットワーク暴力情報管理を監督・検査し、情報共有、相談・通報、フォレンジック調査・捜査、事案監督などの作業メカニズムを構築・改善し、ネットワーク暴力情報管理で協力することを明確にしている。公安機関は、インターネット情報、文化・観光、ラジオ・テレビなどの部門から転送されたネット暴力情報に関わる犯罪・犯罪の手がかりを速やかに審査し、立件条件を満たした場合、速やかに捜査・立件しなければならない。

で法律...

・2024.06.14 网络暴力信息治理规定

网络暴力信息治理规定	ネット上の暴力情報管理に関する規定
国家互联网信息办公室	国家サイバースペース管理局
中华人民共和国公安部	中華人民共和国公安部
中华人民共和国文化和旅游部	中華人民共和国文化観光部
国家广播电视总局	国家ラジオテレビ総局
令	命令
第17号	第17号
《网络暴力信息治理规定》已经2023年12月25日国家互联网信息办公室2023年第28次室务会会议审议通过，并经公安部、文化和旅游部、国家广播电视总局同意，现予公布，自2024年8月1日起施行。	国家サイバースペース管理局第28回会議（2023年12月25日）において審議・採択され、公安部、文化観光部、国家ラジオテレビ総局の同意を得た「インターネット上の暴力情報管理に関する規定」をここに公布し、2024年8月1日から施行する。
国家互联网信息办公室主任庄荣文	国家サイバースペース管理局局長荘栄文
公安部部长王小洪	公安部部長王暁紅
文化和旅游部部长孙业礼	文化観光部部長孫藝李
国家广播电视总局局长曹淑敏	国家ラジオテレビ総局局長曹淑民
2024年6月12日	2024 年 6 月 12 日
网络暴力信息治理规定	インターネット上の暴力情報管理に関する規定
第一章总则	第1章総則
第一条为了治理网络暴力信息，营造良好网络生态，保障公民合法权益，维护社会公共利益，根据《中华人民共和国网络安全法》、《中华人民共和国个人信息保护法》、《中华人民共和国治安管理处罚法》、《互联网信息服务管理办法》等法律、行政法规，制定本规定。	第1条本規定は、『中華人民共和国サイバーセキュリティ法』、『中華人民共和国個人情報保護法』、『中華人民共和国公安行政処罰法』、『インターネット情報サービス管理弁法』およびその他の法律・行政法規に基づき、ネット上の暴力情報を管理し、良好なネットワーク生態を創造し、市民の合法的権益を保護し、社会の公益を守るために制定される。
第二条中华人民共和国境内的网络暴力信息治理活动，适用本规定。	第2条本規定は、中華人民共和国におけるサイバー暴力情報管理活動に適用する。
第三条网络暴力信息治理坚持源头防范、防控结合、标本兼治、协同共治的原则。	第3条インターネット暴力情報管理は、発生源での予防、予防と制御、対処対応と根本対応、共同して対応するという原則を堅持する。
第四条国家网信部门负责统筹协调全国网络暴力信息治理和相关监督管理工作。国务院公安、文化和旅游、广播电视等有关部门依据各自职责开展网络暴力信息的监督管理工作。	第4条国家インターネット情報部門は、国家ネット暴力情報管理と関連監督管理業務を調整する責任を負う。公安、文化観光、ラジオテレビなど国務院の関連部門は、それぞれの責任に基づき、ネット暴力情報の監督管理を行う。
地方网信部门负责统筹协调本行政区域内网络暴力信息治理和相关监督管理工作。地方公安、文化和旅游、广播电视等有关部门依据各自职责开展本行政区域内网络暴力信息的监督管理工作。	地方のインターネット情報部門は、自らの行政区域におけるインターネット暴力情報管理および関連監督管理業務を調整する責任を負う。地方の公安、文化・観光、ラジオ・テレビなどの関連部門は、それぞれの責任に基づき、行政区域内のインターネット暴力情報の監督管理を行う。
第五条鼓励网络相关行业组织加强行业自律，开展网络暴力信息治理普法宣传，督促指导网络信息服务提供者加强网络暴力信息治理并接受社会监督，为遭受网络暴力信息侵害的用户提供帮扶救助等支持。	第5条は、ネットワーク関連業界組織が業界の自己規律を強化し、ネットワーク暴力情報管理と法的認識を実施し、ネットワーク情報サービス提供者がネットワーク暴力情報管理を強化し、社会的監督を受け入れるよう監督・指導し、ネットワーク暴力情報に被害を受けた利用者に援助・支援を提供することを奨励する。
第二章一般规定	第2章総則
第六条网络信息服务提供者和用户应当坚持社会主义核心价值观，遵守法律法规，尊重社会公德和伦理道德，促进形成积极健康、向上向善的网络文化，维护良好网络生态。	第6条ネットワーク情報サービス提供者と利用者は、社会主義の核心的価値観を堅持し、法令を遵守し、社会道徳と倫理を尊重し、積極的かつ健全で、上昇志向のネットワーク文化の形成を促進し、良好なネットワーク生態を維持しなければならない。
第七条网络信息服务提供者应当履行网络信息内容管理主体责任，建立完善网络暴力信息治理机制，健全用户注册、账号管理、个人信息保护、信息发布审核、监测预警、识别处置等制度。	第7条ネットワーク情報サービス提供者は、ネットワーク情報コンテンツ管理の主な責任を果たし、ネットワーク暴力情報管理機構を確立・改善し、ユーザー登録、アカウント管理、個人情報保護、情報公開監査、監視・早期警戒、識別・廃棄システムを改善しなければならない。
第八条网络信息服务提供者为用户提供信息发布、即时通讯等服务的，应当依法对用户进行真实身份信息认证。用户不提供真实身份信息的，网络信息服务提供者不得为其提供相关服务。	第8条ネットワーク情報サービスプロバイダは、ユーザーに情報発信、インスタントメッセージおよびその他のサービスを提供するために、法律に従ってユーザーの真の身元情報を認証しなければならない。利用者が身元情報を提供しない場合、ネットワーク情報サービス提供者は関連サービスを提供しない。
网络信息服务提供者应当加强用户账号信息管理，为遭受网络暴力信息侵害的相关主体提供账号信息认证协助，防范和制止假冒、仿冒、恶意关联相关主体进行违规注册或者发布信息。	ネットワーク情報サービスプロバイダは、ユーザーアカウント情報管理を強化するものとし、アカウント情報の認証支援を提供するために関連科目のネットワーク暴力情報を対象とし、偽造、模倣、違法登録または情報の公開のための関連科目との悪意のある関連付けを防止し、停止する。
第九条网络信息服务提供者应当制定和公开管理规则、平台公约，与用户签订服务协议，明确网络暴力信息治理相关权利义务，并依法依约履行治理责任。	第9条ネットワーク情報サービス提供者は、管理規則、プラットフォーム規約を制定・公開し、利用者とサービス契約を締結し、ネットワーク暴力情報管理に関する権利と義務を明確にし、法律に従って管理責任を果たさなければならない。
第十条任何组织和个人不得制作、复制、发布、传播涉网络暴力违法信息，应当防范和抵制制作、复制、发布、传播涉网络暴力不良信息。	第10条いかなる組織または個人も、ネットワーク暴力に関わる違法な情報を制作、複製、出版、流布してはならず、ネットワーク暴力に関わる好ましくない情報の制作、複製、出版、流布を防止し、これに抵抗しなければならない。
任何组织和个人不得利用网络暴力事件实施蹭炒热度、推广引流等营销炒作行为，不得通过批量注册或者操纵用户账号等形式组织制作、复制、发布、传播网络暴力信息。	いかなる組織または個人も、ホット、プロモーション、トラフィック転換などのマーケティング誇大広告を実施するためにネットワーク暴力を利用してはならず、ユーザーアカウントの一括登録または操作を通じてネットワーク暴力情報の制作、複製、出版、流布を組織してはならない。
明知他人从事涉网络暴力信息违法犯罪活动的，任何组织和个人不得为其提供数据、技术、流量、资金等支持和协助。	他者がネットワーク暴力情報に関わる違法・犯罪活動に従事していることを知りながら、いかなる組織・個人も、データ、技術、トラフィック、資金その他の支援・援助を提供してはならない。
第十一条网络信息服务提供者应当定期发布网络暴力信息治理公告，并将相关工作情况列入网络信息内容生态治理工作年度报告。	第11条ネットワーク情報サービス提供者は、定期的にオンライン暴力情報管理に関する発表を行い、オンライン情報コンテンツのエコシステムの管理に関する年次報告書に関連作業を含めるものとする。
第三章预防预警	第3章予防と早期警報
第十二条网络信息服务提供者应当在国家网信部门和国务院有关部门指导下细化网络暴力信息分类标准规则，建立健全网络暴力信息特征库和典型案例样本库，采用人工智能、大数据等技术手段和人工审核相结合的方式加强对网络暴力信息的识别监测。	第12条ネットワーク情報サービス提供者は、国家インターネット情報部門と国務院関係部門の指導の下、ネットワーク暴力情報の分類標準規則を精緻化し、ネットワーク暴力情報の特徴データベースと典型事例のサンプルデータベースを構築・改善し、人工知能、ビッグデータ、手動監査などの技術手段を組み合わせて、ネットワーク暴力情報の識別と監視を強化する。
第十三条网络信息服务提供者应当建立健全网络暴力信息预警模型，综合事件类别、针对主体、参与人数、信息内容、发布频次、环节场景、举报投诉等因素，及时发现预警网络暴力信息风险。	第13条ネットワーク情報サービス提供者は、ネットワーク暴力情報警告モデルを構築・改善し、イベントカテゴリ、対象者、関係者数、情報内容、公開頻度、リンクシーン、通報苦情などの要素を統合し、ネットワーク暴力情報のリスクを適時に検出し、早期に警告しなければならない。
网络信息服务提供者发现存在网络暴力信息风险的，应当及时回应社会关切，引导用户文明互动、理性表达，并对异常账号及时采取真实身份信息动态核验、弹窗提示、违规警示、限制流量等措施；发现相关信息内容浏览、搜索、评论、举报量显著增长等情形的，还应当及时向有关部门报告。	ネットワーク情報サービスプロバイダは、ネットワーク暴力情報のリスクがあることを発見し、社会的懸念にタイムリーに対応する必要があります、文明的な相互作用、合理的な表現にユーザーを導くと、タイムリーな方法で異常なアカウントは、実際のID情報の動的検証、ポップアップのヒント、警告の違反、トラフィックの制限およびその他の措置を取る。
第十四条网络信息服务提供者应当建立健全用户账号信用管理体系，将涉网络暴力信息违法违规情形记入用户信用记录，依法依约降低账号信用等级或者列入黑名单，并据以限制账号功能或者停止提供相关服务。	第14条ネットワーク情報サービスプロバイダは、アカウントの信用度を低下させるか、ブラックリストに含まれ、アカウントの機能の制限に基づいて、または関連するサービスの提供を停止する法律に従って、ユーザーの信用記録に法律のネットワーク暴力情報違反を含む、ユーザーのアカウントの信用管理システムを確立し、改善しなければならない。
第四章信息和账号处置	第4章情報およびアカウントの処分
第十五条网络信息服务提供者发现涉网络暴力违法信息的，或者在其服务的醒目位置、易引起用户关注的重点环节发现涉网络暴力不良信息的，应当立即停止传输，采取删除、屏蔽、断开链接等处置措施，保存有关记录，向有关部门报告。发现涉嫌违法犯罪的，应当及时向公安机关报案，并提供相关线索，依法配合开展侦查、调查和处置等工作。	第15条ネットワーク情報サービス提供者は、ネットワーク暴力に関連する違法情報を発見した場合、またはそのサービスの目立つ位置に、ネットワーク暴力に関連する有害情報であることが判明した重要なリンクのユーザーの注目を集めやすい、直ちに送信を停止し、削除、ブロック、切断およびその他の対処措置を講じ、関連する記録を保存し、関連部門に報告しなければならない。犯罪の疑いが発見され、速やかに公安機関に報告し、検出、調査および処分作業に協力する法律に従い、関連する手がかりを提供する必要がある。
第十六条互联网新闻信息服务提供者应当坚持正确政治方向、舆论导向、价值取向，加强网络暴力信息治理的公益宣传。	第16条インターネットのニュースや情報サービスプ提供者は、正しい政治的方向性、世論誘導、価値観の方向性を堅持し、公共の福祉宣伝のネットワーク暴力情報管理を強化すべきである。
互联网新闻信息服务提供者不得通过夸大事实、过度渲染、片面报道等方式采编发布、转载涉网络暴力新闻信息。对互联网新闻信息提供跟帖评论服务的，应当实行先审后发。	インターネットのニュースや情報サービス提供者は、誇張された事実、過度なドラマ化、一方的な報告やネットワーク暴力に関連するニュースや情報を収集し、公開、複製する他の方法であってはならない。インターネットのニュースや情報がフォローアップやコメントサービスを提供する場合、まず検討してから掲載するという慣行を実施しなければならない。
互联网新闻信息服务提供者采编发布、转载涉网络暴力新闻信息不真实或者不公正的，应当立即公开更正，消除影响。	インターネット・ニュースおよび情報サービス提供者の編集発表、複製されたネットワーク暴力に関連するニュース情報が真実でない、または不当である場合、直ちに公に訂正し、影響を排除しなければならない。
第十七条网络信息服务提供者应当加强网络视听节目、网络表演等服务内容的管理，发现含有网络暴力信息的网络视听节目、网络表演等服务的，应当及时删除信息或者停止提供相关服务；应当加强对网络直播、短视频等服务的内容审核，及时阻断含有网络暴力信息的网络直播，处置含有网络暴力信息的短视频。	第17条インターネット情報サービス提供者は、ネットワーク視聴覚番組、ネットワークパフォーマンス、その他のサービスの内容管理を強化し、サイバー暴力に関する情報を含むネットワーク視聴覚番組、ネットワークパフォーマンス、その他のサービスを発見した場合、適時に情報を削除し、または関連サービスの提供を停止しなければならず、生放送、ショートビデオ、その他のサービスの内容審査を強化し、サイバー暴力に関する情報を含む生放送を速やかにブロックし、サイバー暴力に関する情報を含むショートビデオを廃棄しなければならない。また、ネットワーク暴力情報を含むショートビデオを廃棄しなければならない。
第十八条网络信息服务提供者应当加强对跟帖评论信息内容的管理，对以评论、回复、留言、弹幕、点赞等方式制作、复制、发布、传播网络暴力信息的，应当及时采取删除、屏蔽、关闭评论、停止提供相关服务等处置措施。	第18条ネットワーク情報サービス提供者は、フォローコメントの情報内容の管理を強化し、コメント、返信、メッセージ、ポップアップ、「いいね！」等によるネットワーク暴力情報の作成、複製、公開、拡散について、コメントの削除、ブロック、クローズ、関連サービスの提供停止等の措置を速やかに講じるものとする。
第十九条网络信息服务提供者应当加强对网络论坛社区和网络群组的管理，禁止用户在版块、词条、超话、群组等环节制作、复制、发布、传播网络暴力信息，禁止以匿名投稿、隔空喊话等方式创建含有网络暴力信息的论坛社区和群组账号。	第19条ネットワーク情報サービス提供者は、ネットワーク掲示板コミュニティとネットワークグループの管理を強化し、利用者がセクション、フレーズ、最上級、グループなどでネットワーク暴力に関する情報を制作、コピー、出版、流布することを禁止し、匿名投稿や遠くからの叫び声によってネットワーク暴力に関する情報を含む掲示板コミュニティとグループアカウントを作成することを禁止する。
网络论坛社区、网络群组的建立者和管理者应当履行管理责任，发现用户制作、复制、发布、传播网络暴力信息的，应当依法依约采取限制发言、移出群组等管理措施。	オンライン掲示板コミュニティやグループの開設者・管理者は管理責任を果たし、利用者がネット暴力に関する情報を作成・コピー・公開・流布していることを発見した場合、法に基づき発言制限や退会などの管理措置を講じなければならない。
第二十条公众账号生产运营者应当建立健全发布推广、互动评论等全过程信息内容安全审核机制，发现账号跟帖评论等环节存在网络暴力信息的，应当及时采取举报、处置等措施。	第20条パブリックアカウントの生産者とオペレータは、プロモーション、インタラクティブなコメントやその他の全過程の情報コンテンツの安全性監査の仕組みを確立し、改善する必要があり、アカウントのフォローアップコメントやネットワーク暴力情報の存在の他の側面であることが判明し、それは報告、処分やその他の措置にタイムリーに取られるべきである。
第二十一条对违反本规定第十条的用户，网络信息服务提供者应当依法依约采取警示、删除信息、限制账号功能、关闭账号等处置措施，并保存相关记录；对组织、煽动、多次发布网络暴力信息的，网络信息服务提供者还应当依法依约采取列入黑名单、禁止重新注册等处置措施。	第21条これらの規定の第10条に違反しているユーザーのために、ネットワーク情報サービスプロバイダは、法律に従って、警告を取り、情報を削除し、アカウントの機能を制限し、アカウントやその他の処分措置を閉じ、関連する記録を保持しなければならない、組織、扇動、ネットワーク暴力に関する情報の繰り返しリリースについては、ネットワーク情報サービスプロバイダはまた、法律に従って、このような処分措置の再登録のブラックリストを考慮しなければならない。
对借网络暴力事件实施营销炒作等行为的，除前款规定外，还应当依法依约采取清理订阅关注账号、暂停营利权限等处置措施。	前項の規定に加えて、マーケティングの誇大広告やその他の行為を実装するためにネットワーク暴力を借りるために、また、アカウントに従うようにサブスクリプションをクリーンアップするために法律に従って取らなければならない、営利特権の停止およびその他の処分措置。
第二十二条对组织、煽动制作、复制、发布、传播网络暴力信息的网络信息内容多渠道分发服务机构，网络信息服务提供者应当依法依约对该机构及其管理的账号采取警示、暂停营利权限、限制提供服务、入驻清退等处置措施。	第22条ネットワーク暴力情報の製作、複製、出版および流布を組織し、扇動するネットワーク情報コンテンツ多チャンネル配信サービス代理店に対して、ネットワーク情報サービス提供者は、法に基づき、警告、収益特権の停止、サービス提供の制限、代理店およびその管理口座の退会、その他の処分措置を講じなければならない。
第五章保护机制	第5章保護機構
第二十三条网络信息服务提供者应当建立健全网络暴力信息防护功能，提供便利用户设置屏蔽陌生用户或者特定用户、本人发布信息可见范围、禁止转载或者评论本人发布信息等网络暴力信息防护选项。	第23条ネットワーク情報サービス提供者は、ネットワーク暴力情報保護機能を確立し、改善し、利用者に不慣れな利用者や特定の利用者をブロックする設定、私の情報公開の可視範囲、私の情報公開に対する転載やコメントの禁止、その他のネットワーク暴力情報保護オプションを提供する利便性を提供しなければならない。
网络信息服务提供者应当完善私信规则，提供便利用户设置仅接收好友私信或者拒绝接收所有私信等网络暴力信息防护选项，鼓励提供智能屏蔽私信或者自定义私信屏蔽词等功能。	ネットワーク情報サービス提供者は、プライベートメッセージのルールを改善し、友人からのプライベートメッセージのみを受信したり、すべてのプライベートメッセージの受信を拒否したり、その他のネットワーク暴力情報保護オプションを設定する利便性をユーザーに提供し、プライベートメッセージのインテリジェントブロックまたはカスタマイズされたプライベートメッセージのブロックワードおよびその他の機能の提供を奨励するものとする。
第二十四条网络信息服务提供者发现用户面临网络暴力信息风险的，应当及时通过显著方式提示用户，告知用户可以采取的防护措施。	第24条ネットワーク情報サービスプロバイダは、ユーザーがネットワーク暴力情報のリスクに直面していることが判明し、速やかにユーザーに保護措置を取ることができる通知するために目立つ方法を介してユーザーに通知すべきである。
网络信息服务提供者发现网络暴力信息风险涉及以下情形的，还应当为用户提供网络暴力信息防护指导和保护救助服务，协助启动防护措施，并向网信、公安等有关部门报告：	ネットワーク情報サービス提供者は、ネットワーク暴力情報のリスクは、次のような状況が含まれていることを発見しただけでなく、ユーザーにネットワーク暴力情報保護ガイダンスと保護と救助サービスを提供し、保護措置を開始するのに役立ち、ネットワーク情報、公安およびその他の関連部門に報告する：
（一）网络暴力信息侵害未成年人、老年人、残疾人等用户合法权益的；	(1）ネットワーク暴力情報が、未成年者、高齢者、障害者、その他の利用者の合法的権益を侵害する；
（二）网络暴力信息侵犯用户个人隐私的；	(2）ネットワーク暴力情報が未成年者、高齢者、障害者、その他の利用者の合法的な権利を侵害する；
（三）若不及时采取措施，可能造成用户人身、财产损害等严重后果的其他情形。	(3）適時に対策を講じなければ、利用者に人的・物的損害などの重大な結果をもたらす可能性がある。
第二十五条网络信息服务提供者发现、处置网络暴力信息的，应当及时保存信息内容、浏览评论转发数量等数据。网络信息服务提供者应当向用户提供网络暴力信息快捷取证等功能，依法依约为用户维权提供便利。	第25条ネットワーク情報サービス提供者は、ネットワーク暴力情報を発見・廃棄した場合、速やかに情報の内容や閲覧コメント数・リツイート数などのデータを保存しなければならない。ネットワーク情報サービス提供者は、法律に従い、利用者にネットワーク暴力情報の高速フォレンジックなどの機能を提供し、利用者の権利を促進しなければならない。
公安、网信等有关部门依法调取证据的，网络信息服务提供者应当及时提供必要的技术支持和协助。	公安、ネットレターおよびその他の関連部門が証拠を回収する場合、ネットワーク情報サービス提供者は速やかに必要な技術サポートと援助を提供しなければならない。
第二十六条网络信息服务提供者应当自觉接受社会监督，优化投诉、举报程序，在服务显著位置设置专门的网络暴力信息快捷投诉、举报入口，公布处理流程，及时受理、处理公众投诉、举报并反馈处理结果。	第26条ネットワーク情報サービスプロバイダは、意識的に社会的な監督を受け入れ、苦情、報告手続きを最適化し、サービス高速苦情、報告エントリ内の目立つ位置に特別なネットワーク暴力情報を設定し、処理プロセス、タイムリーな受け入れ、公共の苦情の処理、報告、フィードバック結果を発表しなければならない。
网络信息服务提供者应当结合投诉、举报内容以及相关证明材料及时研判。对属于网络暴力信息的投诉、举报，应当依法处理并反馈结果；对因证明材料不充分难以准确判断的，应当及时告知用户补充证明材料；对不属于网络暴力信息的投诉、举报，应当按照其他类型投诉、举报的受理要求予以处理并反馈结果。	ネットワーク情報サービスプロバイダは、タイムリーな調査と判断のための関連するサポート資料と苦情やレポートの内容を組み合わせるべきである。ネットワーク暴力情報は、苦情、報告に属し、法律とフィードバック結果に従って処理しなければならない、不十分な裏付け資料のために正確に判断することは困難であり、速やかに裏付け資料を補完するためにユーザーに通知しなければならない、ネットワーク暴力情報の苦情、報告に属さない、苦情、報告は、受け入れ要件とフィードバック結果の他のタイプに従って処理しなければならない。
第二十七条网络信息服务提供者应当优先处理涉未成年人网络暴力信息的投诉、举报。发现涉及侵害未成年人用户合法权益的网络暴力信息风险的，应当按照法律法规和本规定要求及时采取措施，提供相应保护救助服务，并向有关部门报告。	第27条ネットワーク情報サービス提供者は、未成年者を含むネットワーク暴力に関する苦情や報告の処理を優先するものとする。ネットワーク暴力情報リスクの未成年利用者の合法的権利と利益の侵害を含む場合、法令と本規定の要求に従って適時に措置を講じ、適切な保護と救済サービスを提供し、関連部門に報告しなければならない。
网络信息服务提供者应当设置便利未成年人及其监护人行使通知删除网络暴力信息权利的功能、渠道，接到相关通知后，应当及时采取删除、屏蔽、断开链接等必要的措施，防止信息扩散。	ネットワーク情報サービス提供者は、未成年者とその保護者がネットワーク暴力情報の削除を通知する権利を行使しやすくするための機能とルートを設置し、当該通知を受けた場合、速やかに削除、遮断、切断などの必要な措置を講じ、情報の拡散を防止しなければならない。

第二十八条网信部门会同公安、文化和旅游、广播电视等有关部门依法对网络信息服务提供者的网络暴力信息治理情况进行监督检查。	第28条インターネット情報部門は、公安、文化観光、ラジオ・テレビなどの関連部門と協力し、ネットワーク暴力情報管理監督検査法に基づき、ネットワーク情報サービス提供者を監督検査する。
网络信息服务提供者对网信部门和有关部门依法实施的监督检查应当予以配合。	ネットワーク情報サービス提供者は、法律に従い、インターネット情報部門およびその他の関連部門が実施する監督・検査に協力しなければならない。
第二十九条网信部门会同公安、文化和旅游、广播电视等有关部门建立健全信息共享、会商通报、取证调证、案件督办等工作机制，协同治理网络暴力信息。	第29条インターネット情報部門は、公安、文化観光、ラジオ・テレビなどの関連部門と連携し、情報共有、協議・通報、証拠収集・調査、事件監督などの作業メカニズムを構築・改善し、ネット暴力情報の共同管理を行う。
公安机关对于网信、文化和旅游、广播电视等部门移送的涉网络暴力信息违法犯罪线索，应当及时进行审查，并对符合立案条件的及时立案侦查、调查。	インターネット情報の公安機関、文化観光、ラジオやテレビ部門は、オンライン暴力情報に関連する違法と犯罪の手がかりに言及し、速やかに検討し、タイムリーに調査や捜査のためのケースを提出するための条件を満たすべきである。
第三十条违反本规定的，依照《中华人民共和国网络安全法》、《中华人民共和国个人信息保护法》、《中华人民共和国治安管理处罚法》、《互联网信息服务管理办法》等法律、行政法规的规定予以处罚。	第30条本規定に違反した場合、「中華人民共和国ネットワーク安全法」、「中華人民共和国個人情報保護法」、「中華人民共和国公安行政処罰法」、「インターネット情報サービス管理弁法」及びその他の法律、行政法規の規定に基づき処罰する。
法律、行政法规没有规定的，由网信、公安、文化和旅游、广播电视等有关部门依据职责给予警告、通报批评，责令限期改正，可以并处一万元以上十万元以下罚款；涉及危害公民生命健康安全且有严重后果的，并处十万元以上二十万元以下罚款。	法律と行政法規に規定がない場合、インターネット情報、公安、文化観光、ラジオ・テレビなどの関連部門は、その職務に基づき警告、通告、批判を行い、一定期間内に是正するよう命じ、1万元以上10万元以下の罰金を科し、市民の生命と健康を脅かすことに関連し、重大な結果が生じる場合は、10万元以上20万元以下の罰金も科す。
对组织、煽动制作、复制、发布、传播网络暴力信息或者利用网络暴力事件实施恶意营销炒作等行为的组织和个人，应当依法从重处罚。	サイバー暴力に関する情報の作成、コピー、出版、流布、サイバー暴力を利用した悪質なマーケティング宣伝などの行為を組織または扇動した組織および個人は、法に基づき、より重い処罰を受ける。
第三十一条违反本规定，给他人造成损害的，依法承担民事责任；构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。	第31条本規定に違反し、他人に損害を与えた場合は、法律により民事責任を負い、公序良俗違反の場合は、法律により公序良俗管理処分を受け、犯罪の場合は、法律により刑事責任を追及する。
第七章附则	第7章附則
第三十二条本规定所称网络暴力信息，是指通过网络以文本、图像、音频、视频等形式对个人集中发布的，含有侮辱谩骂、造谣诽谤、煽动仇恨、威逼胁迫、侵犯隐私，以及影响身心健康的指责嘲讽、贬低歧视等内容的违法和不良信息。	第32条この規定にいうネットワーク暴力情報とは、侮辱・罵倒、風評・誹謗中傷、憎悪の扇動、いじめ・強要、プライバシーの侵害、嘲笑の告発、心身の健康に影響を与える軽蔑的差別等を含む違法で好ましくない情報で、ネットワークを通じて文字、画像、音声、映像の形で一元的に個人に公開されるものをいう。
第三十三条依法通过网络检举、揭发他人违法犯罪，或者依法实施舆论监督的，不适用本规定。	第33条この規定は、法律に基づきインターネットを通じて他人の違法・犯罪行為を通報・摘発する者、または法律に基づき世論監視を実施する者には適用されない。
第三十四条本规定自2024年8月1日起施行。	第34条この規定は、2024年8月1日から施行する。

2024.06.20 00:00 in 個人情報保護 / プライバシー, in 法律 / 犯罪, in 安全保障 | Permalink | Comments (0)
Tweet

2024.06.19

米国 NIST IR 8505（初期公開ドラフト）クラウドネイティブ・アプリケーションのためのデータ保護アプローチ (2024.06.14)

こんにちは、丸山満彦です。

NISTが、IR 8505（初期公開ドラフト）クラウドネイティブ・アプリケーションのためのデータ保護アプローチを公表し、意見募集をしていますね。。。

静止状態でのデータ防御技術（正規表現など）に加えて、サービスやネットワーク・プロトコルを横断して移動するデータを能動的に監視して保護するために、リアルタイムでデータ分析を実行する移動中のデータ分類を開発することが不可欠になっていることから、WebAssembly（WASM）の機能を利用した効果的なデータ保護のための実用的なフレームワークについて　概説しているのが、この文書ということのようです...

● NIST - ITL

・2024.06.14 NIST IR 8505 (Initial Public Draft) A Data Protection Approach for Cloud-Native Applications

NIST IR 8505 (Initial Public Draft) A Data Protection Approach for Cloud-Native Applications	NIST IR 8505（初期公開ドラフト）クラウドネイティブ・アプリケーションのためのデータ保護アプローチ
Announcement	発表
Cloud-native applications, which are generally based on microservices-based application architecture, involve the governance of thousands of services with as many inter-service calls. In this environment, ensuring data security involves more than simply specifying and granting authorization during service requests. It also requires a comprehensive strategy to categorize and analyze data access and leakage as data travels across various protocols (e.g., gRPC, REST-based), especially within ephemeral and scalable microservices implemented as containers.	クラウドネイティブ・アプリケーションは、一般的にマイクロサービス・ベースのアプリケーション・アーキテクチャをベースにしており、何千ものサービスのガバナンスが必要であり、サービス間の呼び出しも多い。このような環境では、データ・セキュリティの確保は、単にサービス・リクエスト時に認可を指定・付与するだけではない。また、特にコンテナとして実装されたエフェメラルでスケーラブルなマイクロサービス内で、データが様々なプロトコル（gRPC、RESTベースなど）を横断する際に、データアクセスと漏えいを分類・分析する包括的な戦略も必要となる。
Hence, in addition to techniques for protecting data at rest (e.g., regular expressions), it has become essential to develop in-transit data categorization that performs real-time data analysis to actively monitor and secure data as it moves across services and network protocols. This IR outlines a practical framework for effective data protection using the capabilities of WebAssembly (WASM) — a platform-agnostic, in-proxy approach with compute and traffic processing capabilities (in-line, network traffic analysis at layers 4–7) that can be built and deployed to execute at native speed in a sandboxed and fault-tolerant manner.	したがって、静止状態でのデータ防御技術（正規表現など）に加えて、サービスやネットワーク・プロトコルを横断して移動するデータを能動的に監視して保護するために、リアルタイムでデータ分析を実行する移動中のデータ分類を開発することが不可欠になっている。このIRでは、WebAssembly（WASM）の機能を利用した効果的なデータ保護のための実用的なフレームワークについて概説する。このフレームワークは、プラットフォームにとらわれないインプロキシアプローチであり、計算機能とトラフィック処理機能（インライン、レイヤー4～7でのネットワークトラフィック分析）を備えている。
Abstract	概要
This document addresses the need for effective data protection strategies in the evolving realm of cloud-native network architectures, including multi-cloud environments, service mesh networks, and hybrid infrastructures. By extending foundational data categorization concepts, it provides a framework for aligning data protection approaches with the unknowns of data in transit. Specifically, it explores service mesh architecture, leveraging and emphasizing the capabilities of WebAssembly (WASM) in ensuring robust data protection as sensitive data is transmitted through east-west and north-south communication paths.	本書は、マルチクラウド環境、サービスメッシュ・ネットワーク、ハイブリッド・インフラなど、進化するクラウドネイティブ・ネットワークアーキテクチャの領域における効果的なデータ保護戦略の必要性に取り組むものである。基本的なデータ分類の概念を拡張することで、転送中のデータの未知数にデータ保護アプローチを整合させるためのフレームワークを提供する。具体的には、WebAssembly（WASM）の機能を活用し、機密データが東西および南北の通信経路を経由して伝送される際に、堅牢なデータ保護を確保するためのサービスメッシュアーキテクチャを探求している。

・[PDF] NIST.IR.8505.ipd

目次...

1. Introduction	1. 序文
1.1. Existing Approaches to Data Protection and Their Limitations	1.1. データ保護に対する既存のアプローチとその限界
1.2. In-Proxy Application for Data Protection	1.2. データ防御のためのインプロキシ・アプリケーション
1.3. Objective and Scope of This Document	1.3. この文書の目的と範囲
1.4. Organization of This Document	1.4. 本文書の構成
2. Web Assembly Background	2. ウェブアセンブリの背景
2.1. Origin	2.1. 起源
2.2. Progression Into Server-Side Environments	2.2. サーバーサイド環境への移行
2.2.1. Development and Deployment Process	2.2.1. 開発と展開のプロセス
2.3. Proxies as WASM Platforms	2.3. WASMプラットフォームとしてのプロキシ
2.4. Proxy-WASM	2.4. Proxy-WASM
2.4.1. Role of WASM in Different Service Mesh Architectures	2.4.1. 異なるサービスメッシュ・アーキテクチャにおけるWASMの役割
2.5. WASI-HTTP	2.5. WASI-HTTP
2.6. eBPF	2.6. eBPF
3. Data Protection in Transit	3. トランジットにおけるデータ防御
3.1. Data Categorization Techniques	3.1. データ分類技術
3.2. Techniques for Data Protection	3.2. データ防御のテクニック
3.2.1. Web Traffic Data Protection	3.2.1. ウェブ・トラフィック・データの防御
3.2.2. API Security	3.2.2. APIセキュリティ
3.2.3. Microsegmentation	3.2.3. マイクロセグメンテーション
3.2.4. Log Traffic Data Protection	3.2.4. ログ・トラフィック・データの防御
3.2.5. LLM Traffic Data Protection	3.2.5. LLMトラフィックデータ防御
3.2.6. Credit Card-Related Data Protection	3.2.6. クレジットカード関連データの防御
3.2.7. Monitoring Tools to Visualize Sensitive Data Flows	3.2.7. 機密データの流れを可視化する監視ツール
4. Security Analysis of WASM Modules	4. WASMモジュールのセキュリティ分析
4.1. WASM Security Goals and Security Feature Sets	4.1. WASMのセキュリティ目標とセキュリティ機能セット
4.1.1. User-Level Security Features	4.1.1. ユーザーレベルのセキュリティ機能
4.1.2. Security Primitives for Developers	4.1.2. 開発者のためのセキュリティ・プリミティブ
4.2. Memory Model and Memory Safety	4.2. メモリ・モデルとメモリ安全性
4.3. Execution Model and Control Flow Integrity	4.3. 実行モデルと制御フローの完全性
4.4. Security of API Access to OS and Host Resources	4.4. OSとホスト・リソースへのAPIアクセスの安全性
4.5. Protection From Side-Channel Attacks	4.5. サイドチャンネル攻撃からの防御
4.6. Protection Against Code Injection and Other Attacks	4.6. コード・インジェクションやその他の攻撃に対する防御
4.7. Deployment and Operating Security	4.7. 配備と運用のセキュリティ
5. Summary and Conclusions	5. まとめと結論
References	参考文献
Appendix A. Execution Model for Web Assembly in Browsers	附属書A. ブラウザにおけるウェブアセンブリの実行モデル
Appendix B. Comparison of Execution Models for Containers and WASM Modules	附属書B. コンテナとWASMモジュールの実行モデルの比較

序文...

1. Introduction	1. 序文
In the constantly evolving landscape of cloud-native application architectures, where data resides in multiple locations (i.e., on-premises and on the cloud), ensuring data security involves more than simply specifying and granting authorization during service requests. It also involves a comprehensive strategy to categorize and analyze data access and leakage as data travels across various protocols (e.g., gRPC, REST-based), especially within ephemeral and scalable microservices applications. As organizations find themselves governing hundreds to tens of thousands of services and the inter-service calls between them, a security void has been identified in observing and protecting sensitive data in transit.	データが複数の場所（すなわち、オンプレミスとクラウド上）に存在するクラウドネイティブ・アプリケーション・アーキテクチャの状況は常に進化しており、データセキュリティの確保には、サービス要求時に単に認可を指定・付与するだけでは不十分である。また、特にエフェメラルでスケーラブルなマイクロサービス・アプリケーション内で、データが様々なプロトコル（gRPC、RESTベースなど）を横断する際に、データ・アクセスと漏えいを分類・分析する包括的な戦略も必要となる。政府は、数百から数万のサービスと、それらの間のサービス間コールをガバナンスしていることに気付くと、転送中の機密データを観察し、保護するセキュリティ上の空白が特定された。
1.1. Existing Approaches to Data Protection and Their Limitations	1.1. データ保護に対する既存のアプローチとその限界
Traditionally, regular expressions (regex) have been widely used for data categorization to identify patterns that match predefined categories or data classes with the aid of keywords and validators for enhanced precision. Despite its wide adoption and usage, the approach has notable limitations. The processing time scales linearly with data volume, making it impractical for very large datasets. Regex also lacks the capability for logical computations, which are necessary for complex validations like checksums in credit card numbers. Its effectiveness heavily relies on the correct proximity to specific keywords, leading to potential false positives and considerable noise if not managed correctly.	従来、正規表現（regex）は、精度を高めるためのキーワードやバリデータの助けを借りて、事前に定義されたカテゴリーやデータクラスに一致するパターンを識別するために、データの分類に広く使用されてきた。広く採用され使用されているにもかかわらず、このアプローチには顕著な限界がある。処理時間はデータ量に比例するため、非常に大きなデータセットでは実用的でない。また正規表現には、クレジットカード番号のチェックサムのような複雑なバリデーションに必要な論理計算の機能がない。その有効性は、特定のキーワードに正しく近接しているかどうかに大きく依存しており、正しく管理されなければ誤検出の可能性やかなりのノイズにつながる。
Machine learning (ML) offers a promising enhancement to data categorization by learning from data patterns and improving over time, thus providing a scalable and adaptable solution. ML algorithms can handle both structured and unstructured data, predict data categories based on historical data, and adjust to new patterns without explicit reprogramming. This adaptability significantly reduces the time and computational resources required to manage complex datasets and is effective for both data at rest and in motion.	機械学習(ML)は、データパターンから学習し、時間の経過とともに改善することで、データ分類に有望な強化を提供する。MLアルゴリズムは、構造化データと非構造化データの両方を扱い、過去のデータに基づいてデータカテゴリーを予測し、明示的な再プログラミングなしに新しいパターンに適応することができる。この適応性は、複雑なデータセットを管理するのに必要な時間と計算資源を大幅に削減し、静止しているデータと動いているデータの両方に有効である。
To address and complement the limitations of traditional data-at-rest inventory, in-transit data categorization has recently come to light as the next logical step in data protection. Unlike the former, which only secures stored information, in-transit categorization actively monitors and secures data as it moves across services and network protocols. This shift to real-time data analysis within the network brings new observability capabilities, eliminating the need for traffic mirroring and data duplication.	従来のデータアットレストのインベントリの限界に対処し、補完するために、データ保護の次の論理的ステップとして、移動中のデータ分類が最近注目されるようになった。保存された情報のみを保護する従来の方法とは異なり、移動中のデータ分類は、サービスやネットワーク・プロトコルを移動するデータを積極的に監視し、保護する。ネットワーク内でのリアルタイム・データ分析への移行は、新たな観測可能性をもたらし、トラフィックのミラーリングやデータの複製を不要にする。
1.2. In-Proxy Application for Data Protection	1.2. データ防御のためのインプロキシ・アプリケーション
To address the need for data categorization during travel across services, a relatively new class of in-proxy application called the WebAssembly program (also called a WASM module) has been increasingly deployed. A WASM module is a lightweight executable compiled to low-level bytecode. This bytecode can be:	サービス間の移動中にデータを分類する必要性に対処するため、WebAssemblyプログラム（WASMモジュールとも呼ばれる）と呼ばれる比較的新しいクラスのインプロキシ・アプリケーションの導入が進んでいる。WASMモジュールは、低レベルのバイトコードにコンパイルされた軽量の実行ファイルである。このバイトコードには次のようなものがある：
(a) Generated from code written in any language using their associated WebAssembly compilers, including C, C++, and Rust	(a) C、C++、Rustなど、関連するWebAssemblyコンパイラを使って任意の言語で書かれたコードから生成する。
(b) Run using a WASM runtime in an isolated virtual machine (VM) within the proxy, which allows developers to enhance applications with necessary functionality and run them as efficiently as native code in the proxies.	(b) プロキシ内の分離された仮想マシン（VM）内でWASMランタイムを使用して実行する。これにより、開発者は必要な機能を持つアプリケーションを拡張し、プロキシ内でネイティブコードと同様に効率的に実行することができる。
Over the last few years, the Envoy WASM VM has enabled new types of compute and traffic processing capabilities and allowed for custom WASM modules to be built and deployed in a sandboxed and fault-tolerant manner.	ここ数年で、Envoy WASM VMは新しいタイプのコンピュートとトラフィック処理機能を可能にし、サンドボックス化されたフォールトトレラントな方法でカスタムWASMモジュールを構築してデプロイできるようになった。
Additionally, the following features of WebAssembly modules make them particularly effective for data protection:	さらに、WebAssemblyモジュールの次のような特徴は、データ保護に特に効果的である：
• Data Discovery and Categorization: WASM modules can dynamically identify and categorize data as it traverses the network, ensuring that sensitive information is recognized and handled appropriately.	・データの発見と分類: WASMモジュールは、ネットワーク上を通過するデータを動的に識別・分類し、機密情報が認識され。適切に処理されるようにすることができる。
• Dynamic Data Masking (DDM): WASM modules can apply DDM techniques to redact or mask sensitive information in transit, enhancing privacy and security.	・動的データマスキング(DDM): WASMモジュールはDDM技術を適用して、転送中の機密情報を再編集またはマスクし、プライバシーとセキュリティを強化することができる。
• User and Entity Behavior Analytics (UEBA): WASM modules can analyze user and entity behaviors in real time, detecting anomalies and potential security threats.	・ユーザーと事業体の行動分析(UEBA): WASMモジュールはユーザーや事業体の行動をリアルタイムで分析し、異常や潜在的なセキュリティ脅威を検知することができる。
• Data Loss Prevention (DLP): WASM modules can enforce DLP policies by monitoring and controlling data transfers to prevent unauthorized data exfiltration.	・データ損失防止(DLP): WASMモジュールは、不正なデータ流出を防ぐためにデータ転送を監視・管理することで、DLPポリシーを実施することができる。
1.3. Objective and Scope of This Document	1.3. この文書の目的と範囲
All services (e.g., networking, security, monitoring, etc.) for microservices-based applications are provided by a centralized infrastructure called the service mesh, and the data plane for this service mesh — which performs all runtime tasks — consists of proxies. This document outlines a practical framework for effective data protection and highlights the versatile capabilities of WebAssembly (WASM) within service mesh architectures, multi-cloud environments, and hybrid (i.e., a combination of on-premises and cloud-based) infrastructures. By focusing on inline, network traffic analysis at layers 4–7, organizations can enhance security, streamline operations, and utilize adaptive data protection measures.	マイクロサービスベースのアプリケーションのすべてのサービス（ネットワーキング、セキュリティ、モニタリングなど）は、サービスメッシュと呼ばれる集中型インフラストラクチャによって提供され、このサービスメッシュのデータプレーン（すべてのランタイムタスクを実行する）は、プロキシで構成される。このドキュメントでは、効果的なデータ保護のための実用的なフレームワークの概要を示し、サービスメッシュアーキテクチャ、マルチクラウド環境、ハイブリッド（オンプレミスとクラウドベースの組み合わせ）インフラにおけるWebAssembly（WASM）の多用途な機能を強調する。レイヤー4～7におけるインラインのネットワークトラフィック分析に重点を置くことで、企業はセキュリティを強化し、運用を合理化し、適応的なデータ保護対策を利用することができる。
1.4. Organization of This Document	1.4. 本文書の構成
This document is organized as follows:	本文書の構成は以下の通りである：
• Section 2 describes the execution environment for WASM modules in detail, including the application infrastructure (i.e., service mesh) under which it runs, the specific host environment (i.e., proxies), the process for generating bytecodes and executables, the processes for executing the modules using a WASM runtime, and an API (i.e., WASI) for accessing OS resources of the underlying platform.	・セクション2では、WASMモジュールが実行されるアプリケーション基盤（すなわちサービスメッシュ）、特定のホスト環境（すなわちプロキシ）、バイトコードと実行可能ファイルを生成するプロセス、WASMランタイムを使用してモジュールを実行するプロセス、基盤となるプラットフォームのOSリソースにアクセスするためのAPI（すなわちWASI）など、WASMモジュールの実行環境について詳しく説明する。
• Section 3 introduces the concept of data categorization and the use of various data protection techniques (e.g., data masking, redaction, etc.) to ensure the security of data in different domains or application scenarios using WASM modules, such as web traffic data protection, API Security, microsegmentation, log traffic data protection, LLM traffic data protection, and integration with monitoring tools for the visualization of sensitive data flows.	・セクション3では、データの分類の概念と、ウェブトラフィックデータ保護、APIセキュリティ、マイクロセグメンテーション、ログトラフィックデータ保護、LLMトラフィックデータ保護、機密データフローの可視化のための監視ツールとの統合など、WASMモジュールを使用したさまざまなドメインやアプリケーションシナリオにおけるデータのセキュリティを確保するための、さまざまなデータ保護技術（データマスキング、再編集など）の使用について紹介する。
• Section 4 presents a detailed security analysis of a WASM module by examining its development, deployment, and execution environment to ensure that the module satisfies the properties of a security kernel and can provide the necessary security assurance.	・セクション4では,WASMモジュールがセキュリティカーネルの特性を満たし、必要なセキュリティ保証を提供できることを保証するために、その開発、実装、実行環境を調査することによって、WASMモジュールの詳細なセキュリティ分析を行う。
• Section 5 provides a summary of the topics covered in this document and discusses how WASM module functionality must continuously evolve to provide the security assurance needed to protect against data breaches and exfiltration in the context of increasingly sophisticated attacks on data.	・セクション5では,本文書で取り上げたトピックの概要を示し,データに対する攻撃がますます巧妙化する中で、データ侵害や流出から保護するために必要なセキュリティ保証を提供するために、WASMモジュールの機能がどのように継続的に進化していかなければならないかについて議論する。

図1. WASMモジュールの生成とその実行

図2. WASMモジュールの開発とブラウザでの実行

図3. コンテナとWASMモジュールの実行スタックの比較

2024.06.19 06:48 in 情報セキュリティ / サイバーセキュリティ, in 内部統制 / リスクマネジメント, in クラウド, in パブコメ | Permalink | Comments (0)
Tweet

米国 NIST TN 2283（初期公開ドラフト）上下水道部門のサイバーセキュリティ：アーキテクチャを構築する運用技術リモートアクセス (2024.06.12)

こんにちは、丸山満彦です。

NISTが、NIST TN 2283（初期公開ドラフト）上下水道部門のサイバーセキュリティ：アーキテクチャを構築する運用技術リモートアクセスを公表し、意見募集をていますね.

上下水道システム（WWS）セクターの事業者に共通するサイバーセキュリティ上の課題を特定し、参照サイバーセキュリティ・アーキテクチャを開発し、リスクを軽減・マネジメントするための既存の市販製品の活用を提案するプロジェクトの一環として、上下水道事業者が自主的に活用できるようなサイバーセキュリティリスクに対処するために市販の技術や既存の標準、ベストプラクティスを作成したものということのようです...

超小規模から小規模（25～3,300 の顧客）、中規模から大規模（3,301～100,000 の顧客）に分類して、それぞれのシステムの複雑さ、予算上の制約、運用上の要件などを想定した上で、適切な技術を使用することができようにしているようです...

● NIST - ITL

・2024.06.12 NIST TN 2283 (Initial Public Draft) Cybersecurity for the Water and Wastewater Sector: Build Architecture. Operational Technology Remote Access

NIST TN 2283 (Initial Public Draft) Cybersecurity for the Water and Wastewater Sector: Build Architecture. Operational Technology Remote Access	NIST TN 2283（初期公開ドラフト）上下水道部門のサイバーセキュリティ：アーキテクチャを構築する運用技術リモートアクセス
Announcement	発表
The National Cybersecurity Center of Excellence (NCCoE) has undertaken a project to identify common cybersecurity challenges among Water and Wastewater Systems (WWS) sector participants, develop reference cybersecurity architectures, and propose the utilization of existing commercially available products to mitigate and manage risks. The reference cybersecurity architectures outlined in this report can be voluntarily leveraged by water and wastewater utilities to use commercially available technologies and existing standards and best practices to address their cybersecurity risks.	国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）は、上下水道システム（WWS）セクターの事業者に共通するサイバーセキュリティ上の課題を特定し、参照サイバーセキュリティ・アーキテクチャを開発し、リスクを軽減・マネジメントするための既存の市販製品の活用を提案するプロジェクトを実施した。本報告書に概説されている参照用サイバーセキュリティアーキテクチャは、上下水道事業者が自主的に活用することで、サイバーセキュリティリスクに対処するために市販の技術や既存の標準、ベストプラクティスを利用することができる。
The publication is designed for use by those in the water and wastewater systems sector. The architectures presented in this report for water and wastewater utilities are categorized by system size; specifically, from very small to small (25-3,300 customers) and the medium to large (3,301 – 100,000 customer) size ranges. This categorization allows the use of appropriate technologies based on assumptions of system complexity, budgetary constraint, and operational requirements. This proposed guidance does not offer prescriptive solutions but rather showcases example approaches appropriate within each range of system sizes.	本書は、上下水道システムセクターの事業者が使用することを想定して作成されている。具体的には、超小規模から小規模（25～3,300 の顧客）、中規模から大規模（3,301～100,000 の顧客）に分類されている。この分類により、システムの複雑さ、予算上の制約、運用上の要件などを想定した上で、適切な技術を使用することができる。本ガイダンス案は、規定的な解決策を提供するものではなく、むしろ、各システム規模の範囲内で適切なアプローチ例を紹介するものである。
Abstract	概要
This Technical Note describes the product-agnostic remote access security architectures and the example solutions the NIST National Cybersecurity Center of Excellence (NCCoE) plans to demonstrate as part of the Cybersecurity for the Water and Wastewater Sector: A Practical Reference Design for Mitigating Cyber Risk in Water and Wastewater Systems project. These security architectures were developed in collaboration with technology vendors, water utilities, and other experts. The NCCoE continues to work with these collaborators to develop example solutions that demonstrate how these security architectures can be leveraged to address cybersecurity risks associated with remote access to water and wastewater operational technology systems.	本テクニカルノートでは、NIST国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）が上下水道分野のサイバーセキュリティの一環として実証する予定の、製品にとらわれないリモートアクセスセキュリティアーキテクチャとソリューション例について説明する： A Practical Reference Design for Mitigating Cyber Risk in Water and Wastewater Systems）プロジェクトの一環として実証する予定である。これらのセキュリティ・アーキテクチャは、技術ベンダー、水道事業者、その他の専門家と協力して開発された。NCCoE は、上下水道業務技術システムへのリモート・アクセスに関連するサイバーセキュリティ・リスクに対処するために、これらのセキュリティ・アーキテクチャをどのように活用できるかを示すソリューション例を開発するために、これらの協力者と引き続き協力している。
This Technical Note presents a traditional on-premises remote access architecture and two example solutions, one for medium to large water and wastewater systems (WWS) and one for very small to small water and wastewater systems. A cloud-based remote access architecture and example solution are also described.	本テクニカルノートでは、従来のオンプレミス型リモートアクセスアーキテクチャと、中規模から大規模の上下水道システム（WWS）向けと、ごく小規模から小規模の上下水道システム向けの 2 つのソリューション例を示す。また、クラウドベースのリモートアクセスアーキテクチャとソリューション例についても説明する。

・[PDF] NIST.TN.2283.ipd

目次...

1. Introduction	1. 序文
1.1. Audience	1.1. 想定読者
1.2. Collaborators	1.2. 協力者
1.2.1. Report Organization	1.2.1. 報告組織
2. Remote Access Background	2. リモートアクセスの背景
2.1. Remote Access Technologies in the WWS Sector	2.1. WWS分野におけるリモートアクセス技術
2.2. Medium to Large WW	2.2. 中規模から大規模WW
2.3. Very Small to Small WWs	2.3. 超小型から小型WW
2.4. WWS Characteristics Comparison	2.4. WWSの特徴の比較
2.5. WWS Remote Access Cybersecurity Considerations	2.5. WWS リモートアクセスのサイバーセキュリティに関する考察
3. Traditional Remote Access Architecture	3. 従来のリモートアクセス・アーキテクチャ
3.1. Product-Agnostic Remote Access Architecture	3.1. 製品にとらわれないリモートアクセスのアーキテクチャ
3.2. Medium to Large WWS Remote Access Example Solution	3.2. 中規模から大規模WWSリモートアクセスのソリューション例
3.3. Very Small to Small Remote Access Example Solution	3.3. 超小型～小型リモートアクセスソリューション例
4. Cloud-Based Remote Access	4. クラウドベースのリモートアクセス
4.1. Product-Agnostic Architecture for Cloud-Based Remote Access	4.1. クラウドベースのリモートアクセスのための製品に依存しないアーキテクチャ
4.1.1. Ed	4.1.1. Ed
4.1.2. Network	4.1.2. ネットワーク
4.1.3. Application	4.1.3. アプリケーション
4.1.4. Security Considerations	4.1.4. セキュリティ
4.2. Cloud-Based Remote Access Example Solution	4.2. クラウドベースのリモートアクセスソリューション例
5. Summary and Next Steps	5. まとめと次のステップ
References	参考文献
Appendix A. Glossary	附属書 A. 用語集
List of Tables	表一覧
Table 1. Project Collaborators	表1. プロジェクト協力者
Table 2. Size Categories of US Community Water System	表2. 米国の簡易水道の規模カテゴリー
Table 3. WWS Characteristics	表3. WWSの特徴
List of Figures	図一覧
Figure 1. Remote Access Concept	図1. リモートアクセスの概念
Figure 2. Components of a medium to large water system	図2. 中規模から大規模の水道システムの構成要素
Figure 3. Components of a very small to small water system	図3. 超小型から小型の水道システムの構成要素
Figure 4. Traditional Remote Access Architecture	図4. 従来のリモート・アクセス・アーキテクチャ
Figure 5. Remote Access for Medium to Large WWS example solution	図5. 中規模から大規模WWSのためのリモートアクセスソリューション例
Figure 6. Remote Access for Very Small to Small WWS example solution	図6. 超小型～小型WWS向けリモートアクセスソリューション例
Figure 7. Cloud-based remote access	図7. クラウドベースのリモートアクセスクラウドベースのリモートアクセス
Figure 8 Cloud-based remote access example solution	図8. クラウドベースのリモートアクセスソリューション例

序文...

Introduction	序文
As described in the preceding NIST NCCoE publication “Cybersecurity for the Water and Wastewater Sector: A Practical Reference Design for Mitigating Cyber Risk in Water and Wastewater Systems” [1], the NCCoE has undertaken a project to identify common cybersecurity challenges among Water and Wastewater Systems (WWS) sector participants, develop reference cybersecurity architectures, and propose the utilization of existing commercially available products to mitigate and manage risks. The reference cybersecurity architectures outlined in this report can be voluntarily leveraged by water and wastewater utilities to use commercially available technologies and existing standards and best practices to address their cybersecurity risks. Specifically, our work focuses on four areas identified by the United States Cybersecurity and Infrastructure Security Agency (CISA) [2][3] as priority:	先行するNIST NCCoE発行の「上下水道セクターのサイバーセキュリティ」[1]に記載されているように、NCCoEは上下水道システムにおけるサイバーリスク軽減のための実践的なリファレンスデザインを策定するプロジェクトを実施した： A Practical Reference Design for Mitigating Cyber Risk in Water and Wastewater Systems」[1]に記載されているように、NCCoE は上下水道システム（WWS）セクターの参加者に共通するサイバーセキュリティの課題を特定し、参照用サイバーセキュリティアーキテクチャを開発し、リスクを低減・管理するための既存の市販製品の活用を提案するプロジェクトを実施した。本報告書で概説する参照用サイバーセキュリティアーキテクチャは、上下水道事業者が自主的に活用できるものであり、サイバーセキュリティリスクに対処するために市販の技術や既存の標準、ベストプラクティスを利用することができる。具体的には、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）[2][3]が優先事項として特定した 4 つの分野に焦点を当てている：
1. Remote Access – ensure security safeguards are configured to control access based on roles or responsibilities; collect, aggregate, and analyze log information.	1. リモート・アクセス：役割や責任に基づいてアクセスを管理するようにセキュリティ保護措置が設定されていることを確認し、ログ情報を収集、集計、分析する。
2. Network Segmentation – demonstrate open-source products for logical partitions of the operational network, such as firewalls, data diodes, or SDN (software defined networks)	2. ネットワーク・セグメンテーション：ファイアウォール、データ・ダイオード、SDN（ソフトウェア定義ネットワーク）など、運用ネットワークの論理パーティション用のオープンソース製品を実証する。
3. Asset management - discover, identify, categorize, and manage all network-enabled devices: detect potential risks and validate patches and upgrades.	3. 資産マネジメント：すべてのネットワーク対応デバイスを検知、識別、分類、管理する。
4. Data Integrity – protect the integrity of data by detecting lack of protections, provide secure communications, sandboxing techniques, and methods to prevent software modifications.	4. データ・セキュリティ：保護の欠如を検知し、セキュアなコミュニケーション、サンドボックス技術、ソフトウェアの改変を防止する方法を提供することで、データの完全性を保護する。
This first guide addresses the remote access scenario and describes architectures and example solutions allowing authorized access to a water or wastewater utility’s Operational Technology (OT) assets. Subsequent publications will address the other identified risk scenarios and solutions.	この最初のガイドでは、リモートアクセスのシナリオを取り上げ、上下水道事業者の運用技術（OT）資産への認可されたアクセスを可能にするアーキテクチャとソリューション例を説明する。後続の出版物では、その他の識別されたリスクシナリオと解決策を取り上げる予定である。
1.1. Audience	1.1. 想定読者
The publication is designed for use by those in the water and wastewater systems sector. The architectures presented in this report for water and wastewater utilities are categorized by system size; specifically, from very small to small (25-3,300 customers) and the medium to large (3,301 – 100,000 customer) size ranges. This categorization allows the use of appropriate technologies based on assumptions of system complexity, budgetary constraint, and operational requirements. This proposed guidance does not offer prescriptive solutions but rather showcases example approaches appropriate within each range of system sizes.	本書は、上下水道システム部門関係者の使用を目的としている。具体的には、超小規模から小規模（25～3,300の顧客）、中規模から大規模（3,301～100,000の顧客）に分類している。この分類により、システムの複雑さ、予算の制約、運営上の必要条件などを前提に、適切な技術を使用することができる。本ガイダンス案は、規定的な解決策を提供するものではなく、各システム規模の範囲内で適切なアプローチ例を紹介するものである。
1.2. Collaborators	1.2. 協力者
The NCCoE has assembled a team of collaborators who provide products and expertise in formulating remote access architectures and building example solutions. Table 1 lists the cybersecurity product vendors, water and wastewater utilities, professional associations, and industry consultants who have volunteered to collaborate on this project.	NCCoE は、リモートアクセスアーキテクチャの策定とソリューション例の構築において、製品と専門知識を提供する協力者のチームを編成した。表 1 に、このプロジェクトにボランティアで協力してくれたサイバーセキュリティ製品ベンダー、上下水道事業者、専門家団体、業界コンサルタントを示す。
Table 1. Project Collaborators	表 1. プロジェクトの協力者

The NCCoE is using commercial products provided by our collaborators to build secure remote access example solutions. NIST, the NCCoE, and this guide do not endorse these specific products. Your organization should identify and select products that will best integrate with your existing infrastructure. We hope that you will seek products that are congruent with applicable standards and best practices.	NCCoEは、協力者が提供する商用製品を使用して、安全なリモートアクセスのサンプルソリューションを構築している。NIST、NCCoE、および本ガイドは、これらの特定の製品を推奨するものではない。各組織は、既存のインフラストラクチャに最適な製品を特定し、選択する必要がある。適用される標準およびベストプラクティスに合致する製品を求めることを望む。
1.2.1. Report Organization	1.2.1. 報告書の構成
This report contains six sections and two appendices. A brief description of each follows:	本報告書は、6つのセクションと2つの附属書から構成されている。それぞれの簡単な説明は以下の通りである：
• Section 1, this section, provides context for the project scenarios, identifies the report’s intended audience, and lists the project’s collaborator.	・セクション1では,プロジェクトシナリオの背景を説明し,報告書の対象読者を特定し, プロジェクトの協力者を列挙する。
• Section 2 introduces the concept of remote access and provides background on water and wastewater systems for a range of utility sizes.	・セクション2では,リモートアクセスの概念を紹介し,様々な規模の上下水道システムの背景を説明する。
• Section 3 presents a traditional product-agnostic remote access architecture and describes two proposed example solution implementations of this architecture, one for medium to large WWS and one for very small to small WWS.	・第3節では、従来の製品にとらわれないリモートアクセスアーキテクチャを示し、このアーキテクチャの2つのソリューション実装例（1つは中規模から大規模のWWS向け、もう1つは超小規模から小規模のWWS向け）を提案する。
• Section 4 presents a product-agnostic cloud-based Software as a Service (SaaS) architecture for remote access and describes an example solution that is scalable from very small to large WWS.	・セクション4は、リモートアクセスのための製品にとらわれないクラウドベースのSaaS（Software as a Service）アーキテクチャを提示し、非常に小規模なWWSから大規模なWWSまでスケーラブルなソリューション例を説明する。
• Section 5 summarizes this technical note.	・セクション5はこのテクニカルノートの要約である。
• Appendix A is a selected bibliography.	・附属書A：参考文献の一部
• Appendix B provides a glossary of terms.	・附属書B：用語集
Your organization can adopt the remote access solutions presented in this technical note or ones that adhere to the guidelines presented here. Your organization may use this guide as a starting point for tailoring and implementing parts of the reference architecture to provide a remote access solution that best meets your needs.	あなたの組織は、このテクニカルノートで紹介されているリモートアクセス・ソリューションを採用することもできるし、ここで紹介されているガイドラインに従ったものを採用することもできる。このガイドを出発点として、リファレンスアーキテクチャの一部をカスタマイズして実装し、ニーズに最適なリモートアクセスソリューションを提供することもできる。

リモートアクセス概念

中規模から大規模の水道システムの構成要素

超小型から小型の水道システムの構成要素

従来のリモート・アクセス・アーキテクチャ

中規模から大規模WWSのためのリモートアクセスソリューション例

超小型～小型WWS向けリモートアクセスソリューション例

クラウドベースのリモートアクセス

クラウドベースのリモートアクセスソリューション例

2024.06.19 05:59 in 情報セキュリティ / サイバーセキュリティ, in 危機管理 / 事業継続, in クラウド, in パブコメ, in IoT | Permalink | Comments (0)
Tweet

ドイツ連邦情報セキュリティ局機関誌のテーマはサイバーネーション・ドイツ

こんにちは、丸山満彦です。

ドイツ連邦情報セキュリティ局が機関誌を公表していますが、サイバーネーション・ドイツというのがテーマのようです。。。

サイバーネーション・ドイツは、国家機関、地方自治体、企業、個人がすべてセキュリティレベルを高める必要があるということのようです。ドイツ語なのでよく読めていません(^^;;

ただ、

・国家戦略として、デジタル化とサイバーセキュリティはセットで考える

・国家としてIT状況センターのようなサイバー空間の観測所をもっておく

・地方自治体（中小規模団体）の対策に力を入れる必要がある

ということなのでしょうかね...

十分な予算や人材がサイバーセキュリティ対策に割けない団体（中小企業、地方自治体、病院等）のセキュリティ対策を社会全体としてどうするのか？というのはどこの国においても重要なのでしょうね...

● Bundesamt für Sicherheit in der Informationstechnik；BSI

・2024.06.12 BSI-Magazin erschienen: Cybernation Deutschland im Fokus

BSI-Magazin erschienen: Cybernation Deutschland im Fokus	BSIマガジン発行サイバー国家としてのドイツに焦点を当てる
In der neuen Ausgabe seines Magazins „Mit Sicherheit“ beleuchtet das Bundesamt für Sicherheit in der Informationstechnik (BSI) aktuelle Themen der Cybersicherheit. Im Fokus steht die Cybernation Deutschland, die das BSI gemeinsam mit vielen weiteren Akteuren auf den Weg bringen möchte.	ドイツ連邦情報セキュリティ局（BSI）は、機関誌「Mit Sicherheit」の新刊で、現在のサイバーセキュリティ問題に光を当てている。その焦点は、BSIが他の多くの利害関係者とともに立ち上げようとしているサイバーネーション・ドイツである。
Die „Cybernation Deutschland bauen“ ist die Antwort des BSI auf die aktuelle Bedrohungslage: Das Sicherheitsniveau der Digitalisierung muss erhöht werden – in staatlichen Institutionen, in Unternehmen und nicht zuletzt für jede und jeden Einzelnen. Welche strategischen Ziele für die Cybernation Deutschland erreicht werden müssen, was insbesondere für Kommunen getan werden muss und wie Deutschland cyberresilient werden kann, steht im Mittelpunkt des Blickpunkts dieser Ausgabe.	「サイバーネーション・ドイツの構築」は、現在の脅威の状況に対するBSIの対応策であり、国家機関、企業、そして最後には個人一人ひとりのデジタル化のセキュリティレベルを高めなければならない。本号では、サイバー国家としてドイツが達成すべき戦略的目標、特に地方自治体がなすべきこと、そしてドイツがサイバーに強くなる方法について焦点を当てる。
Das BSI-Magazin liefert einen umfassenden Einblick in weitere aktuelle Cybersicherheitsthemen. Es informiert über Maßnahmen, die Unternehmen aufgrund der NIS-2-Richtlinie ergreifen können, wie mobiles Arbeiten langfristig sicher gelingen kann und schaut aus unterschiedlichen Blickwinkeln auf die europäische Zusammenarbeit bei der Cybersicherheit.	BSIマガジンは、その他の最新のサイバーセキュリティのトピックについても包括的な見識を提供している。NIS 2指令の結果として企業が講じることができる対策、長期的にモバイルワークを安全にする方法、サイバーセキュリティに関する欧州の協力について、さまざまな角度から情報を提供している。
Das BSI veröffentlicht das BSI-Magazin "Mit Sicherheit" zweimal im Jahr. Die Publikation richtet sich an interessierte Leserinnen und Leser in Staat, Wirtschaft und Gesellschaft und bietet Einblicke in ausgewählte Projekte und Angebote des BSI und seiner Partner.	BSIはBSI誌「Mit Sicherheit」を年2回発行している。この雑誌は、政府、企業、社会の関心のある読者を対象としており、BSIとそのパートナーが提供する厳選されたプロジェクトやサービスについての洞察を提供している。

・[PDF]

目次...

Cybersicherheit	サイバーセキュリティ
・Aktuelle Entwicklungen im Bereich Sicherheit & Künstliche Intelligenz	・セキュリティと人工知能の最新動向
・Cybersicher? Aber sicher!	・サイバーセキュア？でも安全だ！
・BSI-Angebote: NIS-2 kommt – das bietet das: BSI für Unternehmen	・BSIが提供するもの NIS-2がやってくる-BSIが企業に提供するもの
・Quantencomputer als IT-Risiko	・ITリスクとしての量子コンピュータ
Im Blickpunkt: Cybernation Deutschland	注目：サイバーネーション・ドイツ
・Cybersicherheit und Digitalisierung im Land verankern	・サイバーセキュリティとデジタル化を国内に定着させる
・Fundament der Cybernation Deutschland	・サイバーネーション・ドイツの創設
・Cybersicherheit in Landkreisen, Städten und Gemeinden gemeinsam ausbauen	・地区、都市、自治体におけるサイバーセキュリティの共同拡大
Das BSI	BSI
・Fünf Jahre Cybersicherheit in Freital	・Freitalにおけるサイバーセキュリティの5年間
・Brennglas für Cybersicherheit: 20 Jahre Deutscher IT-Sicherheitskongress	・サイバーセキュリティのための燃焼ガラス：ドイツITセキュリティ会議の20年
・IT-Sicherheitskennzeichen: BSI-Marktaufsicht – für mehr IT-Sicherheit am Verbrauchermarkt	・ITセキュリティラベリング： BSIの市場サーベイランス：消費者市場におけるITセキュリティの向上のために
・Für ein gesundes #TeamBSI	・健全な #TeamBSI のために
IT-Sicherheit in der Praxis	ITセキュリティの実践
・30 Jahre IT-Grundschutz: 30 Jahre Informationssicherheit	・ITベースライン保護の30年：情報セキュリティの30年
・Mobiles Arbeiten auch in Zukunft sicher	・モバイルワークは今後も安全であり続ける
・Ein wichtiger Meilenstein für das Smart Grid	・スマートグリッドの重要なマイルストーン
・Portalverbund: Cybersicherheit rund um das Onlinezugangsgesetz	・ポータルネットワーク：オンラインアクセス法をめぐるサイバーセキュリティ
BSI International	BSIインターナショナル
・Der europäische Cyber Resilience Act – ein Update	・欧州サイバーレジリエンス法-最新情報
・Stärkung der Zusammenarbeit und Cyberresilienz in Europa	・欧州における協力の強化とサイバーレジリエンスの強化
Digitale Gesellschaft	デジタル社会
・Europäische Perspektive(n) für einen starken Digitalen Verbraucherschutz	・強力なデジタル消費者保護のための欧州の視点
・Social Engineering: Schutz vor KI-gestützten Cyberangriffen	・ソーシャル・エンジニアリング：AIが支援するサイバー攻撃からの保護
・BSI-Basis-Tipp: Tipps für den digitalin Familienalltag	・BSIの基本的なヒント：日常的なデジタル家庭生活のヒント
Impressum	出版

注目：サイバーネーション・ドイツ

Cybersicherheit und Digitalisierung im Land verankern	サイバーセキュリティとデジタル化を国内に定着させる
Mit seiner neuen Strategie zeigt das BSI einen Weg auf, wie die Cybernation Deutschland erreicht werden kann	BSIは新戦略によって、サイバー国家ドイツを実現する道を示した。
Das Ziel ist ambitioniert, aber alternativlos. Denn es geht ums Ganze. Deutschland muss widerstandsfähig sein und bleiben, um Cyberbedrohungen abzuwehren. Gleichzeitig muss sichergestellt sein, dass Bürgerinnen und Bürger genauso wie Unternehmen digitalen Technologien, die sie nutzen, auch vertrauen können. Deshalb hat das BSI eine Strategie erarbeitet, wie Deutschland Cybernation werden kann: Ein Land, das Cybersicherheit und Digitalisierung erstklassig beherrscht.	目標は野心的だが、これに代わるものはない。なぜなら、それは全体像に関わるからだ。ドイツは、サイバー脅威から身を守るために強靭であり続けなければならない。同時に、市民も企業も、自分たちが使うデジタル技術を信頼できるようにしなければならない。そのためBSIは、ドイツがサイバー国家となるための戦略を策定した：サイバーセキュリティとデジタル化において一流の技術を持つ国となる。
Was braucht eine Cybernation? Bürgerinnen und Bürger, die wach und aufmerksam sind. Eine Gesellschaft, die sich der Gefahren des digitalen Fortschritts bewusst ist. Menschen, die nicht bang wie das Kaninchen vor der Schlange stehen, sondern der Realität ins Auge blicken. Die sich darauf verlassen können, dass sich der Staat um die sichere Gestaltung der Digitalisierung kümmert – die gleichzeitig aber in der Lage sind, ihre digitale Umgebung eigenständig zu schützen. Initiativen zum Schutz vor Cyberbedrohungen gehören auf die Tagesordnung. Denn die anhaltende Digitalisierung und die zunehmende Vernetzung vergrößern die Angriffsflächen – und diese werden genutzt.	サイバー国家には何が必要か？目を覚まし、警戒する市民。デジタルの進歩の危険性を認識する社会。ヘビの前にウサギのように立つのではなく、現実を直視する人々。デジタル化の安全性を確保するために国家に頼ることができるが、自分たちのデジタル環境を自分たちで守ることもできる人々。サイバー脅威から身を守るための取り組みが議題になるはずだ。デジタル化の進行とネットワーク化の進展により、攻撃対象が拡大し、それが悪用されているからだ。
MASSIVE POLITISCHE DESINFORMATIONSKAMPAGNEN	大規模な政治的偽情報キャンペーン
Der BSI-Bericht zur Lage der IT-Sicherheit in Deutschland im vergangenen Jahr zeichnet ein besorgniserregendes Bild: eine Viertelmillion neue Schadsoftwarevarianten und 21.000 infizierte Systeme tagtäglich, dazu mehr als 2.000 Schwachstellen in Softwareprodukten pro Monat. Der Schaden durch Angriffe auf deutsche Unternehmen belief sich auf mehr als 200 Milliarden Euro. Anfang dieses Jahres registrierte das Auswärtige Amt verstärkt Versuche von ausländischen Akteuren, die Innenpolitik in Deutschland zu beeinflussen. Mit massiven Kampagnen wurde auf Debatten zu außenpolitischen Themen in den Onlinenetzwerken eingewirkt. Russland stand in Verdacht, mit mehr als 50.000 gefälschten Accounts auf der Onlineplattform X und mehr als einer Million deutschsprachiger Tweets Unmut gegen die deutsche Regierungskoalition zu schüren. Häufig tauchte der Vorwurf auf, die Bundesregierung vernachlässige die eigene Bevölkerung, um die Ukraine zu unterstützen. Desinformation wird eingesetzt, um demokratische Gesellschaften zu destabilisieren.	昨年のドイツのITセキュリティ状況に関するBSIの報告書には、毎日25万個の新しいマルウェアの亜種と21,000台の感染システム、さらに毎月2,000件以上のソフトウェア製品の脆弱性という憂慮すべき状況が描かれている。ドイツ企業への攻撃による被害総額は2000億ユーロを超えた。今年の初め、連邦外務省は、ドイツの国内政策に影響を与えようとする外国人による試みが増加していることを記録した。オンライン・ネットワーク上で外交問題に関する議論に影響を与えるために大規模なキャンペーンが行われた。ロシアは、オンラインプラットフォームXで5万以上の偽アカウントと100万以上のドイツ語ツイートによって、ドイツ連立政権に対する不満を煽った疑いが持たれている。ウクライナを支援するためにドイツ政府は自国民をないがしろにしている、という非難がたびたび浮上した。偽情報は民主主義社会を不安定にするために使われる。
TÄUSCHEND ECHTE KI-FÄLSCHUNGEN	偽りの本物
Auch in den USA zeigte man sich alarmiert, als Mitglieder der Demokratischen Partei automatisierte Anrufe erhielten, in denen vermeintlich US-Präsident Joe Biden sie dazu aufforderte, die Vorwahlen zu ignorieren. Die täuschend echt klingende Stimme beweist einmal mehr, wie leistungsstark Fälschungen mithilfe Künstlicher Intelligenz (KI) sind. Auch der Popstar Taylor Swift kann ein Lied davon singen: KI-generierte Nacktbilder von ihr bescherten dem Thema Cyberkriminalität weltweit große Aufmerksamkeit.	アメリカでも、民主党の党員たちが、ジョー・バイデン米大統領から予備選を無視するよう促されたと思われる自動音声電話を受け、人々は憂慮した。本物そっくりに聞こえる声は、人工知能（AI）を使ったフェイクがいかに強力かを改めて証明している。ポップスターのテイラー・スウィフトも、そのことを教えてくれる： AIが生成した彼女のヌード写真は、サイバー犯罪の話題を世界中に大きく広めた。
GEZIELT GESTÖRTE SATELLITENNAVIGATION	衛星航法への標的型干渉
Besonders aufmerksam sind auch Sicherheitsfachleute im Ostseeraum, die seit Monaten gezielte Störungen der Satellitennavigation beobachten. Seit Dezember 2023 wurden laut Bundesverkehrsministerium aus dem deutschen Luftraum Störungen der vom Satellitennavigationssystem „Global Positioning System“ (GPS) ausgestrahlten Navigationssignale gemeldet. Auch in dieser Angelegenheit steht Russland in Verdacht. Die Satellitennavigation wird für die Bestimmung der eigenen Position und zur Routenplanung in Fahrzeugen verwendet. Flugzeuge und Schiffe nutzen Satellitennavigation. Sie ist außerdem für automatisierte Prozesse in der Landwirtschaft relevant.	バルト海地域のセキュリティ専門家も、衛星ナビゲーションへの標的型妨害を数ヶ月間観測しており、特に注目している。連邦運輸省によると、全地球測位システム（GPS）衛星航法システムが発する航法信号への干渉が2023年12月以降、ドイツ領空から報告されている。この件ではロシアも疑われている。衛星ナビゲーションは、自分の位置を特定したり、自動車のルートプランニングに使われる。飛行機や船舶も衛星航法を利用している。農業の自動化プロセスにも関係している。
Den Herausforderungen in der Cybersicherheit begegnet ein Land nicht auf dem Papier, sondern durch Technologie. Dafür kann Deutschland auf eine exzellente Technologiekompetenz zur Entwicklung von Lösungen zurückgreifen. Es gilt, die Digitalisierung zu beschleunigen, um mit den Entwicklungen unserer Zeit Schritt zu halten!“	サイバーセキュリティの課題は、紙の上ではなく、技術によって解決される。ドイツは優れた技術的専門知識を活用して解決策を開発することができる。時代の発展に遅れを取らないためには、デジタル化を加速させる必要があるのだ
Claudia Plattner, BSI-Präsidentin	クラウディア・プラットナー、BSI会長
WARUM DAS ZEITALTER DER POLYKRISEN NACH EINER CYBERSTRATEGIE VERLANGT	ポリ・クライシスの時代にサイバー戦略が必要な理由
Geopolitische Spannungen, wie die drohende Eskalation im Nahostkonflikt und der russische Angriffskrieg auf die Ukraine, weltweite Herausforderungen, wie die Bewältigung des Klimawandels und die Sicherstellung der Energieversorgung, sowie innenpolitische Angelegenheiten, zu denen auch die Auswirkungen der Corona-Pandemie gehören, wirken sich auf die Cybersicherheitslage aus. Die Welt kannte schon immer multiple Krisen, inzwischen hat das Zeitalter der Polykrisen begonnen: Kritische Situationen lassen sich kaum mehr isoliert voneinander betrachten. Deepfakes auf Social-Media-Plattformen werden eingesetzt, um Meinungen zu beeinflussen, Wahlen zu manipulieren oder Gesellschaften zu destabilisieren. „Wir alle sind gefordert, den Gefahren konsequent und mutig entgegenzutreten“, lautet deshalb ein Kerngedanke der Cyberstrategie des BSI.	中東紛争の激化の脅威やウクライナにおけるロシアの侵略戦争などの地政学的緊張、気候変動への取り組みやエネルギー供給の確保などのグローバルな課題、さらにはコロナウイルスの大流行の影響などの国内問題など、すべてがサイバーセキュリティの状況に影響を及ぼしている。世界は常に複数の危機を経験してきたが、今やポリ・クライシスの時代が始まった：危機的状況は、もはや互いに切り離して考えることはできない。ソーシャルメディア・プラットフォーム上のディープフェイクは、意見に影響を与えたり、選挙を操作したり、社会を不安定化させたりするために使われている。そのため、「私たちは皆、一貫して勇気を持って危険に立ち向かうことが求められている」というのが、BSIのサイバー戦略の中核となる考え方である。
„Wir wollen mit der Initiative ,Cybernation Deutschland‘ gemeinsam erreichen, dass Unternehmen und Betreiber kritischer Infrastrukturen widerstandsfähiger werden und sich noch stärker gegen Cyberangriffe wappnen. Sichere Digitalisierung ist unser gemeinsames Ziel. Denn: Je stärker und resilienter wir als Standort Deutschland sind, desto attraktiver sind wir auch für Wissenschaft, Unternehmen und IT-Fachkräfte. Dabei wollen wir auch für mehr Bewusstsein für Cybersicherheit überall in unserer Gesellschaft sorgen und den digitalen Verbraucherschutz verbessern.“	「サイバーネーション・ドイツイニシアチブにより、私たちは、企業や重要インフラの運営者がより強靭になり、サイバー攻撃に対してより効果的に武装できるよう協力したい。安全なデジタル化は我々の共通の目標である。結局のところ、ビジネス拠点としてより強固で弾力的であればあるほど、科学、企業、IT専門家にとって魅力的なのだ。我々はまた、社会全体のサイバーセキュリティに対する意識を高め、デジタル消費者保護を向上させたいと考えている。」
Nancy Faeser, Bundesministerin des Innern und für Heimat	ナンシー・フェーザー連邦内務大臣
KOMPETENZEN NUTZEN, TECHNIK BEFÄHIGEN	技術を活用し、テクノロジーを強化する
Tagtäglich werden Unternehmen und Institutionen in Deutschland von Cyberkriminellen angegriffen. Besonders beunruhigend ist die hohe Professionalität im Vorgehen: Modernste Technologie wie KI kommt zum Einsatz und die Arbeitsteilung nimmt weiter zu, vor allem bei Ransomware-Attacken und „Cybercrime-as-a-Service“, einer perfiden Art krimineller Dienstleistungen. Menschen in Deutschland leben so digital wie nie zuvor. Niemand will auf Onlineshopping oder Onlinebanking, Nachrichtenkonsum und Information im Netz oder Zeitvertreib in sozialen Medien verzichten – deshalb ist es im Interesse aller, dass digitale Angebote sicher sind.	ドイツでは毎日、企業や機関がサイバー犯罪者に攻撃されている。彼らのアプローチのプロ意識の高さは、特に憂慮すべきものだ：特にランサムウェア攻撃や "サイバー犯罪アズ・ア・サービス "と呼ばれる卑劣な犯罪サービスでは、AIのような最先端技術が使われ、分業化が進んでいる。ドイツの人々はかつてないほどデジタルに生活している。オンライン・ショッピングやオンライン・バンキング、オンライン・ニュースや情報の消費、ソーシャル・メディアの利用は、誰もが避けて通ることはできない。
Hier setzt das BSI an und stärkt Staat, Gesellschaft und Wirtschaftsunternehmen bei ihren Initiativen, die Cyberresilienz zu erhöhen. Den Herausforderungen in der Cybersicherheit begegnet ein Land nicht auf dem Papier, sondern durch Technologie. Dafür kann Deutschland auf eine exzellente Technologiekompetenz zur Entwicklung von Lösungen zurückgreifen. Es gilt, die Digitalisierung zu beschleunigen, um mit den Entwicklungen unserer Zeit Schritt zu halten!	そこでBSIが登場し、国、社会、営利企業がサイバー耐性を高める取り組みを強化する。国はサイバーセキュリティの課題を紙の上ではなく、技術によって解決する。ドイツは、優れた技術的専門知識を活用して解決策を開発することができる。現代の発展に対応するためには、デジタル化を加速させなければならない！
CYBERSICHERHEIT FUNKTIONIERT NUR HAND IN HAND	サイバー・セキュリティーは手を携えてのみ機能する
Das Beispiel der GPS-Störungen verdeutlicht die Situation: Satellitensysteme sind unverzichtbar, um die zunehmende Verkehrsdichte und die Automatisierung im Mobilitätssektor zu bewältigen. Expertinnen und Experten analysieren Störungen und lernen daraus für zukünftige Technologieentwicklungen. Die für den Schutz des elektromagnetischen Spektrums zuständige Bundesnetzagentur beobachtet die Lage und tauscht sich mit beteiligten Bundes- und Landesbehörden, mit der Bundeswehr und weiteren Nutzenden des Luftraums aus – denn Cybersicherheit ist eine Gemeinschaftsaufgabe.	衛星システムは、モビリティ分野における交通密度の増加や自動化に対応するために不可欠である。専門家は干渉を分析し、今後の技術開発のためにそこから学んでいる。サイバーセキュリティは共同作業であるため、電磁スペクトル保護を担当する連邦ネットワーク庁は、状況を監視し、関係する連邦および州当局ドイツ軍およびその他の空域利用者と連携している。
GEMEINSCHAFTLICHES HANDELN STÄRKT DIE RESILIENZ	共同行動がレジリエンスを強化する
Kooperation ist deshalb ein zentrales Stichwort der BSI-Cyberstrategie: Es bedarf der konsequenten Zusammenarbeit von Politik, Wirtschaft, Wissenschaft und Gesellschaft im Bund wie in den Ländern, damit Deutschland seine Technologiekompetenzen gezielt einsetzen und die digitale Sicherheit erhöhen kann. Wächst Deutschlands Selbstverständnis als Cybernation, kann die nötige Resilienz aufgebaut werden. Das BSI sieht sich in diesem Prozess in vielen Rollen: als Antreiber und Möglichmacher, als Partner und als Helfer, als Architekt und gleichzeitig als tragende Säule in der Sicherheitsarchitektur des Landes. Das BSI weiß, dass die effiziente und effektive Zusammenarbeit aller Akteure und eine funktionierende Koordination der notwendigen Maßnahmen Mammutaufgaben sind.	したがって、協力はBSIサイバー戦略の中心的なキーワードである。ドイツがその技術的専門知識を的を絞って活用し、デジタル・セキュリティを高めるためには、連邦および州レベルの政治、ビジネス、科学、社会の間の一貫した協力が必要である。サイバー国家としてのドイツの自己イメージが高まれば、必要なレジリエンスを構築することができる。BSIは、このプロセスにおいて、推進役、実現者、パートナー、支援者、アーキテクト、そして同時に国のセキュリティ・アーキテクチャを支える支柱など、さまざまな役割を担っている。BSIは、すべての利害関係者が効率的かつ効果的に協力し、必要な対策を効果的に調整することが、非常に大きな課題であることを知っている。
DIE BSI-CYBERSTRATEGIE AUF EINEN BLICK	BSIサイバー戦略の概要
Um Deutschland gemeinsam zur Cybernation zu machen, kommt es auf sechs bedeutende Handlungsfelder an:	ドイツをサイバー国家にするために、6つの重要な行動分野がある：
1. Cybersicherheit auf die Agenda heben	1. サイバーセキュリティを議題にする
2. Cyberresilienz substanziell erhöhen	2. サイバー耐性を大幅に向上させる
3. Technologiekompetenz gezielt nutzen	3. 技術的専門知識を的を絞って活用する
4. Digitalisierung konsequent voranbringen	4. デジタル化を一貫して推進する
5. Cybersicherheit pragmatisch gestalten	5. サイバーセキュリティを現実的に形成する。
6. Einen florierenden Cybermarkt Deutschland aufbauen	6. ドイツで繁栄するサイバー市場を構築する。
Das BSI tritt als Promoter der Cybersicherheit auf. Es strebt an, den Schutz kritischer Systeme und sensibler Informationen im Bewusstsein aller Akteure zu verankern. Entscheiderinnen und Entscheider in Deutschland sollen dazu bewegt werden, das Thema regelmäßig und wiederkehrend auf ihre Agenda zu setzen.	BSIはサイバーセキュリティの推進者として活動している。BSIは、重要システムと機密情報の保護をすべての利害関係者の心の中に定着させるよう努めている。その目的は、ドイツの意思決定者が定期的かつ反復的にこのテーマを議題にするよう奨励することである。
BSI KNÜPFT TRAGFÄHIGE NETZWERKE ZU STAKEHOLDERN	BSIは利害関係者と持続可能なネットワークを構築する
Mit wem steht das BSI im Austausch? Auf Bundesebene mit Behörden, Organisationen und Unternehmen. Das BSI erstellt Vorgaben, berät, schlägt konkrete Umsetzungen vor, prüft die Sicherheitsanforderungen, treibt den Einsatz sicherer Technologien voran und koordiniert unmittelbar wirksame Maßnahmen zum Schutz der Informationstechnik. Zudem kooperiert es mit den Behörden auf Bundesebene, die in ihrem Aufgabenbereich an der Cybersicherheit Deutschlands mitwirken, etwa bei der Strafverfolgung, bei Grenzkontrollen, in der militärischen Zusammenarbeit, bei der Gefahrenabwehr und im Zivilschutz.	BSIは誰と対話するのか？連邦レベルでは、当局、組織、企業である。BSIは、仕様を策定し、助言を提供し、具体的な実装を提案し、セキュリティ要件を検討し、安全な技術の使用を促進し、情報技術を保護するための直接的で効果的な対策を調整する。また、法執行、国境管理、軍事協力、緊急事態対応、民間防衛など、ドイツのサイバーセキュリティに関与する連邦レベルの当局とも協力する。
Auf Landesebene steht das BSI in Kontakt mit den für Cybersicherheit zuständigen Akteuren in allen 16 Bundesländern: Das sind Landesministerinnen und -minister, „Chief Information Security Officer“ (CISO), „Computer Emergency Response Teams“ (CERT), länderübergreifende Genossenschaften mit IT-Aufgaben sowie Landesagenturen oder sonstige staatliche Einrichtungen. Das BSI unterstützt länderübergreifende Initiativen mit Bundesbeteiligung und im Einzelfall – etwa auf Basis einer Kooperationsvereinbarung – auch Länder direkt. Auf der kommunalen Ebene zählen die städtischen Verwaltungen und die kommunalen Spitzenverbände zum BSI-Netzwerk.	州レベルでは、BSIは16の連邦州すべてのサイバーセキュリティ担当の利害関係者と連絡を取っている：各州の大臣、「最高情報セキュリティ責任者」（CISO）、「コンピュータ緊急対応チーム」（CERT）、IT業務を行う州横断的な協同組合、州機関、その他の州機関などである。BSIは、連邦政府の参加を得て、州をまたがるイニシアチブを支援し、個別のケースでは（たとえば協力協定に基づいて）州も直接支援する。自治体レベルでは、BSIのネットワークには自治体行政機関や自治体の上部組織も含まれる。
„Das Team des BSI stellt sich der Mammutaufgabe, die Cyberresilienz der Unternehmen und Institutionen substanziell zu erhöhen, indem es Verbesserungen aktiv steuernd vorantreibt – immer in dem Bewusstsein, dass den Herausforderungen in der Cybersicherheit nicht auf dem Papier begegnet werden kann, sondern dass sie Tatkraft verlangen.“	「BSIチームは、積極的に改善を推進することで、企業や機関のサイバー耐性を大幅に向上させるという途方もない課題に取り組んでいる。サイバーセキュリティの課題は紙の上では解決できず、行動が必要であることを認識している。」
Claudia Plattner, BSI-Präsidentin	クラウディア・プラットナー、BSI会長
In der Politik gehören alle parlamentarischen Akteure auf Bundes- und Landesebene sowie Organisationen, Initiativen, Stiftungen und Thinktanks zu den Partnern. Dazu kommen Universitäten, wissenschaftliche Institutionen, Forschungseinrichtungen sowie einzelne Wissenschaftlerinnen und Wissenschaftler. Sie bilden den Kern der nationalen und internationalen BSI-Kooperation mit der Wissenschaft. Diskutiert wird auf fachlich-technischer Ebene, Erkenntnisse werden bilateral und auf Fachkonferenzen ausgetauscht. Man lernt voneinander mit dem gemeinsamen Ziel, Grundlagen der Cybersicherheit zu erforschen und Weiterentwicklungen aktiv und marktfähig zu gestalten.	政治面では、連邦および州レベルのすべての議会関係者、組織、イニシアチブ、財団、シンクタンクがパートナーとして名を連ねている。さらに、大学、科学機関、研究組織、個人の科学者も含まれる。彼らは、科学界との国内および国際的なBSI協力の中核を形成している。議論は専門的、技術的なレベルで行われ、研究成果は二国間や専門家会議で交換される。彼らは、サイバーセキュリティの基礎を研究し、それを市場化するためのさらなる開発を積極的に形成するという共通の目標のもと、互いに学び合っている。
LEBENDIGES ÖKOSYSTEM FÜR CYBERSICHERHEITSPRODUKTE	サイバーセキュリティ製品のための生きたエコシステム
Das Team des BSI stellt sich der Mammutaufgabe, die Cyberresilienz der Unternehmen und Institutionen substanziell zu erhöhen, indem es Verbesserungen aktiv steuernd vorantreibt – immer in dem Bewusstsein, dass den Herausforderungen in der Cybersicherheit nicht auf dem Papier begegnet werden kann, sondern dass sie Tatkraft verlangen. Das BSI setzt auf die exzellente Technologiekompetenz in Deutschland zur Entwicklung von Lösungen. Die Cybersicherheit ist dabei ein entscheidender Erfolgsfaktor: Indem Lösungen erarbeitet werden, steigen Sicherheit und Geschwindigkeit bei der Digitalisierung. Von drei Seiten unterstützt durch Politik, Wirtschaft und Wissenschaft entsteht ein lebendiges Ökosystem für Cybersicherheitsprodukte und -services. So ist Deutschland gewappnet und kann auf weitere Herausforderungen effizient und effektiv reagieren.	BSIチームは、積極的に改善を推進することによって、企業や機関のサイバー耐性を大幅に向上させるという途方もない課題に挑んでいる。常に、サイバーセキュリティの課題は紙の上では解決できず、行動が必要であるということを念頭に置いている。BSIは、解決策を開発するために、ドイツの優れた技術的専門知識に依存している。サイバーセキュリティは、ここでの重要な成功要因である。ソリューションの開発は、デジタル化の安全性とスピードを高める。サイバーセキュリティ製品とサービスのための活気あるエコシステムは、政治、ビジネス、科学の3方面からの支援によって構築されつつある。これは、ドイツが準備万端であり、さらなる課題に効率的かつ効果的に対応できることを意味する。
FORTSCHRITT DANK BSI-WERTSCHÖPFUNGSKETTE	BSIバリューチェーンによる進展
Eine wichtige Voraussetzung für die Cybersicherheit ist die Einschätzung der Sicherheitslage. Durch Forschung und Prüfung im BSI werden notwendige Anforderungen identifiziert und Lösungen auf ihre Tragfähigkeit getestet. Anhand der BSI-Wertschöpfungskette werden Anforderungen und Vorgaben für sichere Produkte und Services sowie für die Sicherheit in Organisationen festgelegt. Zudem stellt das BSI Implementierungshilfen zur Verfügung. Im Rahmen von Zertifizierungen wird geprüft, ob Produkte und Services den Sicherheitsanforderungen entsprechen. Das BSI beurteilt auch die Sicherheit der Bundesverwaltung und der Kritischen Infrastrukturen. Die Ergebnisse der Begutachtungen schaffen Transparenz in Bezug auf die Sicherheitssituation in Deutschland. Mit „Security Operations“ und Support bereitet das BSI auf den Ernstund Krisenfall vor.	サイバーセキュリティの重要な前提条件は、セキュリティ状況の評価である。BSIでの研究とテストを通じて、必要な要件が特定され、ソリューションの実行可能性がテストされる。BSIのバリューチェーンは、安全な製品やサービス、組織のセキュリティに関する要件や仕様を定義するために使用される。BSIはまた、実装の支援も行っている。認証は、製品やサービスがセキュリティ要件を満たしているかどうかをチェックするために使用される。BSIは、連邦行政や重要インフラのセキュリティ評価も行っている。評価結果は、ドイツのセキュリティ状況の透明性を高める。セキュリティ・オペレーション」とその支援により、BSIは緊急事態や危機に備える。
DIE VISION DER CYBERNATION DEUTSCHLAND	サイバー国家ドイツのビジョン
Längst haben das BSI und seine Partner mit der Umsetzung erster relevanter Maßnahmen für Cybersicherheit begonnen.	BSIとそのパートナーは、最初のサイバーセキュリティ対策の実施を開始して久しい。
FOLGENDE ZIELE STEHEN IM ZENTRUM DER VISION:	ビジョンの中心にあるのは、以下の目標である：
Unternehmen und Institutionen in Deutschland sind resilient gegen Cyberangriffe.	ドイツの企業や機関はサイバー攻撃に強い。
Die Menschen in Deutschland bewegen sich sicher im Cyberraum.	ドイツの人々はサイバー空間を安全に移動する。
Die Menschen vertrauen den digitalen Angeboten des Staates.	国民は国家が提供するデジタルサービスを信頼する。
Deutschland ist gut aufgestellt gegen Cyberspionage und -sabotage	ドイツはサイバースパイや妨害行為に対して万全の態勢をとっている。
Deutschland ist ein attraktiver und innovativer Standort für digitale Technologien und Dienstleistungen.	ドイツはデジタル技術とサービスにとって魅力的で革新的な場所である。
Die Gesellschaft in Deutschland erkennt gezielte Beeinflussung von außen und weiß damit umzugehen.	ドイツ社会は、標的となる外部からの影響を認識し、それに対処する方法を知っている。
Deutschland ist ein Vorreiter der sicheren und effizienten Digitalisierung.	ドイツは安全で効率的なデジタル化の先駆者である。

Fundament der Cybernation Deutschland	サイバネーション・ドイツの創設
Neues Nationales IT-Lagezentrum behält die Cybersicherheit rund um die Uhr im Blick	新しい国家IT状況センターが24時間体制でサイバーセキュリティを監視する
von Sebastian Brück und Christian Eibl, Nationales IT-Lagezentrum, Grundsatz und Meldestelle, Informationsdauerdienst	国家IT状況センター、政策・報告センター、継続的情報サービス、セバスチャン・ブリュックおよびクリスティアン・アイブル著
Das neue Nationale IT-Lagezentrum ist mit modernster Kommunikationstechnik ausgestattet und verfügt im Regelbetrieb über zehn Arbeitsplätze, von denen aus die Spezialistinnen und Spezialisten des BSI die Cybersicherheitslage für Deutschland rund um die Uhr im Blick behalten. Bei der Eröffnung im Februar 2024 starteten Bundesinnenministerin Nancy Faeser und BSI-Präsidentin Claudia Plattner die Initiative „Cybernation Deutschland“.	新しい国家IT状況センターは、最先端の通信技術を備え、10台のワークステーションが常時稼動し、BSIの専門家が24時間体制でドイツのサイバーセキュリティ状況を監視している。2024年2月の開所式では、ナンシー・フェーザー連邦内務大臣とクラウディア・プラットナーBSI会長が「サイバーネーション・ドイツ」構想を発表した。
Mit der BSI-Initiative „Cybernation Deutschland“ soll Deutschland ein hohes Sicherheitsniveau der Digitalisierung erreichen – das gilt für staatliche Institutionen ebenso wie für die Wirtschaft und die Gesellschaft. Neben der Erhöhung der Cyberresilienz soll die Initiative dazu dienen, insgesamt mehr Bewusstsein für das Thema Cybersicherheit zu schaffen, Cybersicherheit pragmatisch zu gestalten und messbar zu machen, technologische Expertise in Deutschland gezielter zu nutzen und in Deutschland den Markt für Cybersicherheitsprodukte und Dienstleistungen zu stärken.	BSIの "サイバーネーション・ドイツ "イニシアチブは、ドイツにおける高水準のデジタル化セキュリティの達成を目指しており、これは国家機関だけでなく、経済や社会にも適用される。このイニシアチブは、サイバー耐性を高めることに加え、サイバーセキュリティというテーマ全体に対する認識を高め、サイバーセキュリティを実用的で測定可能なものにし、ドイツにおける技術的専門知識をより的を絞って活用し、ドイツにおけるサイバーセキュリティ製品とサービスの市場を強化することを目指している。
Diese Herangehensweise ist dringend notwendig, da Unternehmen und Institutionen in Deutschland jeden Tag von Cyberkriminellen angegriffen werden. Von Angriffen mit Ransomware geht dabei momentan die größte Bedrohung aus. Hinzu kommen eine wachsende Professionalisierung auf Täterseite und eine steigende Anzahl von Sicherheitslücken.	ドイツの企業や機関は毎日のようにサイバー犯罪者に攻撃されているため、このようなアプローチが緊急に必要とされている。現在、ランサムウェア攻撃が最大の脅威となっている。加えて、加害者側の専門化が進み、セキュリティの脆弱性が増加している。
Im neuen Nationalen IT-Lagezentrum verfügt das BSI über modernste Infrastruktur, um die Cybersicherheit substanziell zu erhöhen. Die Mitarbeitenden im Lagezentrum tauschen regelmäßig sowohl mit anderen Expertinnen und Experten im BSI – Stichwort: „integrierte Wertschöpfungskette“ – als auch mit nationalen und internationalen Partnern Informationen und Bewertungen zur Cybersicherheitslage aus.	新しい国家IT状況センターでは、BSIはサイバーセキュリティを大幅に強化するための最先端のインフラを自由に利用できる。状況センターのスタッフは、BSIの他の専門家（キーワードは「統合されたバリューチェーン」）や国内外のパートナーと、サイバーセキュリティ状況に関する情報や評価を定期的に交換している。
RUND UM DIE UHR IM EINSATZ	24時間体制
Das Nationale IT-Lagezentrum beobachtet und bewertet Vorkommnisse der Cybersicherheitslage im 24/7-Betrieb und verfügt so jederzeit über ein verlässliches Bild der aktuellen IT-Sicherheitslage in Deutschland. Mit dieser Übersicht können die BSI-Expertinnen und -Experten bedrohliche Lagen wie Angriffswellen oder potenziell ausnutzbare Schwachstellen frühzeitig feststellen und Handlungsbedarf sowie -optionen sowohl auf staatlicher Ebene als auch in der Wirtschaft zeitnah und kompetent einschätzen.	国家IT状況センターは、24時間365日体制でサイバーセキュリティインシデントを監視・評価しているため、ドイツにおけるITセキュリティの現状について、常に信頼できる全体像を把握している。この概要により、BSIの専門家は、攻撃の波や悪用される可能性のある脆弱性のような脅威的な状況を早い段階で特定し、国家レベルと経済の両方における対策の必要性と対策の選択肢を迅速かつ適切に評価することができる。
Innerhalb üblicher Bürozeiten unterstützen BSI-Expertinnen und -Experten für die Kritischen Infrastrukturen (KRITIS) und des Computer Emergency Response Teams des Bundes (CERT-Bund) sowie die Informationssicherheitsoffiziere des Kommandos Cyber- und Informationsraum (KdoCIR) das Nationale IT-Lagezentrum. Außerhalb der Bürozeiten gehen CERT-Bund und KRITIS in Rufbereitschaft. Die Zusammenarbeit mit dem KdoCIR erfolgt über die etablierten Schnittstellen zwischen beiden Behörden.	通常の業務時間中は、BSIの重要インフラ専門家（KRITIS）、連邦コンピュータ緊急対応チーム（CERT-Bund）、サイバー・情報宇宙司令部（KdoCIR）の情報セキュリティ担当者が国家IT状況センターをサポートしている。業務時間外には、CERT-BundとKRITISが待機している。KdoCIRとの協力は、2つの当局間で確立されたインターフェイスを介して行われる。
Zudem ist das Nationale IT-Lagezentrum die zentrale Meldestelle des BSI. Hier laufen diverse gesetzlich oder vertraglich festgeschriebene, aber auch freiwillige Meldestellen zusammen. Pro Jahr gehen im IT-Lagezentrum rund 2.800 Meldungen über 22 Meldestellen ein. Eine aktive Open Source Intelligence (Medienbeobachtung, Social-Media-Analyse, etc.) und eigene Sensoriken ergänzen die Informationsbasis.	国家IT状況センターは、BSIの中央報告事務所でもある。さまざまな法定または契約上の報告センターだけでなく、自主的な報告センターもここに集約される。毎年、IT状況センターは22の報告ポイントを通じて約2,800件の報告を受ける。積極的なオープンソースインテリジェンス（メディアモニタリング、ソーシャルメディア分析など）と独自のセンサーが情報基盤を補完している。
SO REAGIERT DIE BSI-SCHALTZENTRALE BEI EINEM CYBERSICHERHEITSVORFALL	サイバーセキュリティ事件が発生した場合、BSIコントロールセンターはどのように対応するか
Wie kann man sich den Alltag in der Schaltzentrale des BSI vorstellen? Ein Beispiel: Eine Meldung zu einem Sicherheitsvorfall trifft ein, zeitgleich schlagen Monitoringsysteme an. Nach sofortiger Rücksprache mit dem Betroffenen deutet alles auf eine Schadsoftware hin. Folgende Fragen müssen beantwortet werden: Was ist das Ziel der Software? Welche Auswirkungen sind zu erwarten? Wer kann damit noch zum Opfer werden und was bedeutet dies für die Cybersicherheitslage Deutschlands?	BSIコントロールセンターでの日常生活を想像してみてほしい。例：セキュリティ・インシデントの報告が届き、同時に監視システムが作動する。被害を受けた人とすぐに相談した結果、すべてがマルウェアであることが判明した。以下の質問に答える必要がある：ソフトウェアの目的は何か？そのソフトウェアの目的は何か？他に誰が被害者になる可能性があるのか、そしてドイツのサイバーセキュリティ状況にとって何を意味するのか？
Hoher Besuch bei der Eröffnung des neuen Nationalen IT-Lagezentrums: Bundesinnenministerin Nancy Faeser, BSI-Präsidentin Claudia Plattner und der stellvertretnde Inspekteur des Cyber- und Informationsraums (CIR), Generalmajor Jürgen Setzer (v.l.n.r.). Sebastian Brück, Leiter Informationsdauerdienst, führte die Gäste durch die neuen Räumlichkeiten.	新国家IT状況センターのオープニングに出席した高官たち：ナンシー・フェーザー連邦内務大臣、クラウディア・プラットナーBSI会長、サイバー・情報空間（CIR）副監視官ユルゲン・ゼッツァー少将（左から）。常設情報局のセバスチャン・ブリュック局長が来賓に新施設を案内した。
Im Nationalen IT-Lagezentrum wird die breite Expertise des BSI gebündelt, von dort aus wird die Reaktion der Cybersicherheitsbehörde des Bundes koordiniert: IT-Spezialistinnen und -Spezialisten aus den unterschiedlichsten Fachrichtungen analysieren gemeinsam die Bedrohungen und entwickeln Gegenmaßnahmen. Da Cyberbedrohungen nicht an Landesgrenzen enden, werden aktuelle Informationen und Bewertungen in etablierten Prozessen auch gemeinsam mit nationalen und internationalen Partnern, wie z.B. unseren NATO-Partnern, ausgetauscht.	BSIの幅広い専門知識は国家IT状況センターに集約され、そこから連邦サイバーセキュリティ当局の対応が調整されている：幅広い分野のIT専門家が協力して脅威を分析し、対策を練っている。サイバー脅威は国境にとどまらないため、最新の情報と評価は、NATOのパートナーなど、国内および国際的なパートナーとも確立されたプロセスで共有されている。
AUS DEM IT-LAGEZENTRUM IN DIE FACHABTEILUNGEN	IT状況センターから専門部署へ
Ist die Erstreaktion vollzogen, fließen die neuen Erkenntnisse in die langfristige Arbeit des BSI ein: Sollen die Ergebnisse in die IT-Grundschutz-Empfehlungen aufgenommen werden? Müssen Technische Richtlinien und Zertifizierungsverfahren angepasst werden? Sind Beratungsprozesse zu ergänzen? Das Nationale IT-Lagezentrum liefert mit seinen kontinuierlichen Erkenntnissen aus der Lagebeobachtung und -bewertung einen wichtigen Beitrag, damit das BSI seine gestaltende Rolle für die Cybersicherheit Deutschlands wahrnehmen kann.	初期対応が完了すると、新たな発見がBSIの長期的な業務に組み込まれる。技術的なガイドラインや認証手順を変更する必要があるか？勧告プロセスを補足する必要があるか？状況の監視と評価から得られた継続的な知見により、国家IT状況センターは、BSIがドイツのサイバーセキュリティを形成する役割を果たすために重要な貢献をしている。
LAGE ERKENNEN – UND ANGEMESSEN REAGIEREN	状況を認識し、適切に対応する
Während die Erkenntnisse unmittelbar in den Schutz der Regierungsnetze einfließen, gelangen Handlungsempfehlungen über geeignete Verteilmechanismen zeitnah und zielgerichtet an unterschiedliche Zielgruppen. Darunter fallen etwa Warnungen für die breite Öffentlichkeit, geeignete Informationen zum Schutz ihrer Systeme für IT-Profis in Kritischen Infrastrukturen, der Bundesverwaltung und kleineren Unternehmen sowie nicht zuletzt auch Informationen für Verbraucherinnen und Verbraucher. Je nach Bedrohungslage und Betroffenheit nehmen weitere Akteure wie das Mobile Incident Response Team (MIRT) ihre Arbeit auf. Durch einen intensiven Informationsaustausch im Nationalen Cyber-Abwehrzentrum werden auch anderen Behörden zeitgerecht unterrichtet und Maßnahmen abgestimmt.	調査結果は政府ネットワークの保護に直接反映される一方で、適切な配信メカニズムを通じて、さまざまなターゲット・グループにタイムリーかつ的を絞った形で行動勧告が届く。これには、一般市民への警告、重要インフラのIT専門家、連邦政府、中小企業のシステム保護に適した情報、そして最後に消費者向けの情報などが含まれる。脅威の状況や影響を受ける範囲に応じて、モバイル事故対応チーム（MIRT）などの他のプレーヤーも活動を開始する。国家サイバー防衛センターでの集中的な情報交換のおかげで、他の当局にも適時に情報が提供され、対策が調整される。
REAKTION AUF KRISEN	危機への対応
In besonders schweren Fällen wächst das IT-Lagezentrum zum Nationalen IT-Krisenreaktionszentrum auf. Dort arbeiten Spezialistinnen und Spezialisten verschiedener Fachgebiete eng zusammen, um in einer Krisensituation zügig wieder den Normalzustand herbeiführen zu können.	特に深刻なケースでは、IT状況センターは国家IT危機対応センターに発展する。このセンターでは、さまざまな分野の専門家が緊密に連携し、危機的な状況下で迅速に正常な状態を回復する。
Im Ernstfall können dann durch die neue Infrastruktur bis zu 100 IT-Sicherheitsfachkräfte orchestriert zusammenarbeiten. Um die für den Betrieb des Lagezentrums erforderlichen Räume und Systeme miteinander zu vernetzen, wurden ca. 19.000 Meter Netzwerkkabel verlegt. Das entspricht der Länge eines Autokorsos über alle BSI-Liegenschaften auf dem Gebiet der Bundesstadt Bonn.	緊急時には、新しいインフラストラクチャーにより、最大100人のITセキュリティの専門家が組織的に協力することができる。シチュエーションセンターの運営に必要な部屋とシステムを接続するために、約1万9000メートルのネットワークケーブルが敷設された。これは、連邦都市ボンにあるBSIの全施設を横断する自動車道の長さに相当する。
FAZIT UND NÄCHSTE SCHRITTE	結論と次のステップ
Mit dem neuen Nationalen IT-Lagezentrum ist die Infrastruktur vorhanden, um die Cybersicherheit in Deutschland substanziell zu erhöhen. Mit dem BSI als Zentralstelle im Bund-Länder-Verhältnis würde sich das nationale Lagebild weiter vereinheitlichen und präzisieren lassen. Von einem Ad-hoc-Bedrohungslagebild und zentralen Sensoriken profitierten auch Länder und Kommunen, um Gefahren besser zu antizipieren. Dafür können im neuen Lagezentrum die Fäden zusammenlaufen, um Deutschland auch in der Fläche gegen Gefahren aus dem Cyberraum abzusichern.	新しい国家IT状況センターによって、ドイツのサイバーセキュリティを大幅に向上させるインフラが整った。BSIが連邦と州との関係における中心的な事務局となることで、国の状況像はさらに標準化され、特定される可能性がある。連邦州や地方自治体も、アドホックな脅威像や集中化されたセンサーによって、脅威をより的確に予測できるようになる。この目的のために、ドイツ全土のサイバー空間からの脅威からドイツを守るために、新たな状況センターに糸をつないでいくことができる。

Cybersicherheit in Landkreisen, Städten und Gemeinden gemeinsam ausbauen	地区、都市、自治体におけるサイバーセキュリティの共同拡大
Das BSI bringt Bund, Länder und den kommunalen Sektor an einen Tisch, um gemeinsam Strategien zu entwickeln, wie das Cybersicherheitsniveau in Kommunen erhöht werden kann	BSIは、連邦政府、州政府、自治体セクターを結びつけ、自治体におけるサイバーセキュリティのレベルを向上させるための戦略を共同で策定している。
von Stefanie Euler, Referat Informationssicherheitsberatung für Länder und Kommunen	連邦州および自治体向け情報セキュリティ・コンサルティング担当、ステファニー・オイラー氏による
Kommunen geraten verstärkt ins Visier von Cyberkriminellen, das haben zahlreiche Angriffe in jüngster Zeit ebenso erschreckend wie eindrucksvoll bewiesen. Solche Angriffe haben regelmäßig weitreichende Folgen für die Kommunalverwaltungen – und damit für die Bürgerinnen und Bürger. Das BSI forciert darum die Zusammenarbeit zwischen Bund, Ländern, Kommunen, Verbänden und Dienstleistern. Denn Cybersicherheit ist eine Gemeinschaftsaufgabe, die alle zusammen angehen müssen.	自治体がサイバー犯罪者に狙われるケースが増加していることは、最近の数多くの攻撃が恐ろしくも印象的な形で示している。このような攻撃は、自治体、ひいては市民にとって深刻な影響を及ぼす。そこでBSIは、連邦政府、連邦州、地方自治体、協会、サービス・プロバイダー間の協力を促進している。結局のところ、サイバーセキュリティは、誰もが一緒に取り組まなければならない共同作業なのである。
Die Cybersicherheitslage in Deutschland ist besorgniserregend. Die Schäden für Wirtschaft, Verwaltung und Gesellschaft aufgrund von Cyberattacken gehen in die Milliarden Euro. Insbesondere Angriffe mit sogenannter Ransomware sind seit mehreren Jahren weitverbreitet, stellen sie doch ein lukratives Geschäftsmodell für Cyberkriminelle dar. Hinzu kommen eine wachsende Professionalisierung auf Täterseite und eine steigende Anzahl von Sicherheitslücken. Bei den Angriffen kann es jeden treffen. So beobachtet das BSI beispielsweise bei Cyberangriffen mit Ransomware eine Verlagerung der Attacken: Inzwischen sind nicht mehr nur große, zahlungskräftige Unternehmen das Ziel, sondern zunehmend auch kleine und mittlere Organisationen sowie staatliche Institutionen und Kommunen.	ドイツのサイバーセキュリティの状況は憂慮すべきものである。サイバー攻撃による経済、行政、社会への損害は数十億ユーロにのぼる。特にいわゆるランサムウェアを使った攻撃は、サイバー犯罪者にとって儲かるビジネスモデルであるため、数年前から広まっている。加えて、加害者側の専門化が進み、セキュリティの脆弱性も増加している。攻撃は誰にでも影響を及ぼす可能性がある。例えば、BSIはランサムウェアを使ったサイバー攻撃の変化を観察している：標的になっているのは、もはや大企業だけでなく、中小企業や国家機関、地方自治体も増えている。
DURCHSCHNITTLICH ZWEI ANGRIFFE IM MONAT AUF KOMMUNEN	地方自治体への攻撃は月平均2件
Mehr als zwei erfolgreiche Ransomware-Angriffe auf Kommunalverwaltungen oder kommunale Betriebe wurden im Durchschnitt in jedem Monat bekannt.	地方自治体や自治体企業に対するランサムウェア攻撃の成功例は、毎月平均2件以上報告されている。
Das Beispiel eines kommunalen IT-Dienstleisters, der im vergangenen Jahr Opfer eines Cyberangriffs wurde, zeigt die Verwundbarkeit: Er entdeckte verschlüsselte Daten auf Servern und meldete den Angriff. Vorsorglich wurde die Mehrheit der IT-Systeme heruntergefahren – mit der Folge, dass mehr als hundert kommunale Verwaltungen nicht oder nur teilweise erreichbar waren. Auch die Webseiten der Verwaltungen waren betroffen. Fällt also ein zentraler IT-Dienstleister aus, wirkt sich das auf viele Kommunen und damit auch auf die breite Bevölkerung aus.	昨年サイバー攻撃の被害に遭った自治体のITサービス・プロバイダーの例は、その脆弱性を示している。サーバー上の暗号化されたデータを発見し、攻撃を報告した。予防措置として、大半のITシステムがシャットダウンされ、その結果、100以上の自治体の行政機関が利用できなくなったり、部分的にしかアクセスできなくなったりした。各自治体のウェブサイトも影響を受けた。つまり、中央のITサービス・プロバイダーがダウンすれば、多くの地方自治体、ひいては一般住民にも影響が及ぶのである。
KOMMUNEN DESHALB BESONDERS SCHÜTZEN	したがって、自治体には特別な保護が必要である。
Die Aufgabe, sich gegen Cyberangriffe zu wappnen, muss darum ganz oben auf der Agenda der kommunalen Entscheidungsträger stehen. Aber auch der Bund und die Länder müssen die Kommunen unterstützen – ist der Schutz der Verwaltung doch eine gemeinsame Aufgabe aller Akteure, die nur gemeinsam gelingen kann.	したがって、サイバー攻撃への対策は、地方自治体の意思決定者にとって最重要課題でなければならない。しかし、連邦政府および州政府も地方自治体を支援しなければならない。結局のところ、行政を守ることは、すべての利害関係者の共同作業であり、共に達成するしかないのだ。
Individuelle Beratungen für Kommunen sind jedoch aufgrund ihrer Vielzahl nicht leistbar. Das BSI arbeitet daher eng mit zahlreichen engagierten Multiplikatoren auf kommunaler Ebene zusammen. Kommunen können auf Handreichungen und Empfehlungen zu bestimmten Themen zurückgreifen, auch auf spezifische Hilfsdokumente und Arbeitshilfen – wobei alle Unterstützungsangebote praxisnah und skalierbar sind. Sie stärken Verantwortliche dabei, den Einstieg in die Informationssicherheit zu finden und ihre Systeme und Netze wirksam zu schützen.	しかし、地方自治体の数が多いため、個別に協議することは不可能である。そのため、BSIは、地方自治体レベルの数多くの熱心なマルチプライヤーと緊密に連携している。地方自治体は、特定のトピックに関する配布資料や勧告、特定の支援文書や作業支援ツールにアクセスすることができる。これらの支援は、担当者が情報セキュリティに着手し、システムやネットワークを効果的に保護するのに役立つ。
Ein weiteres Werkzeug, um Informationssicherheit möglichst effizient in Kommunalverwaltungen zu implementieren, sind sogenannte IT-Grundschutz-Profile. Mit diesen Schablonen für Informationssicherheit können Unternehmen und Behörden Profile für Anwendungsfälle erstellen und im Anschluss weiteren Interessierten zur Verfügung stellen. Anwendende, die ähnliche Sicherheitsanforderungen haben, können anhand dieser Vorlage ressourcenschonend das Sicherheitsniveau ihrer Institution überprüfen. Das BSI begleitet Vertreterinnen und Vertreter aus den Ländern und Kommunen u. a. bei der Entwicklung und Bereitstellung dieser IT-Grundschutz-Profile.	自治体で情報セキュリティをできるだけ効率的に実施するためのもう一つのツールは、いわゆるIT基本保護プロファイルである。このような情報セキュリティのテンプレートを使って、企業や自治体はユースケースに応じたプロファイルを作成し、他の関係者が利用できるようにすることができる。同様のセキュリティ要件を持つユーザーは、このテンプレートを使って、リソースを節約しながら所属機関のセキュリティレベルをチェックすることができる。BSIは、特に連邦州や地方自治体の代表者に対し、これらのIT-Grundschutzプロファイルの開発と提供を支援している。
Außerdem führt das BSI unterschiedliche Veranstaltungen für die Zielgruppe Kommunen durch. Beispielsweise hat das BSI das Format „Roadshow Kommunen“ konzipiert und gemeinsam mit einigen Bundesländern durchgeführt. Hierbei handelt es sich um eine virtuelle Veranstaltungsreihe, die das Cybersicherheitsniveau im kommunalen Umfeld erhöhen soll.	BSIはまた、地方自治体を対象とした様々なイベントも開催している。例えば、BSIは「自治体ロードショー」形式を考案し、多くの連邦州と共同で開催している。これは、自治体環境におけるサイバーセキュリティのレベルを向上させるために企画された仮想的な一連のイベントである。
Auch über Kooperationsvereinbarungen zwischen Ländern und dem BSI wird die Unterstützung der kommunalen Ebene adressiert. Um gemeinsam die Cyber- und Informationssicherheit auf ein höheres Niveau zu heben, hat das BSI bisher mit sechs Ländern Kooperationsvereinbarungen abgeschlossen. Die Vertragspartner unterstützen sich im Zuge der Kooperationsvereinbarungen untereinander, um so die Informationssicherheit effizient und effektiv zu erhöhen. Zu den Kooperationsbedarfen gehören beispielsweise: Austausch zu Cybersicherheitsinformationen, Warnungen, Hospitationen, Unterstützung bei Vorfallsmeldungen, Vorträge, um für das Thema Cybersicherheit zu sensibilisieren, oder auch gemeinsame Informationsveranstaltungen für Bürgerinnen und Bürger.	連邦州とBSIの間の協力協定は、自治体レベルの支援にも取り組んでいる。サイバーセキュリティと情報セキュリティを共同でより高いレベルに引き上げるため、BSIはこれまでに6つの連邦州と協力協定を結んでいる。契約パートナーは、効率的かつ効果的に情報セキュリティを向上させるため、協力協定の一環としてお互いを支援している。協力の要件には、たとえば次のようなものがある。サイバーセキュリティ情報の交換、警告、作業シャドーイング、インシデント報告書作成支援、サイバーセキュリティに関する意識向上のためのプレゼンテーション、市民向けの共同情報イベントなどである。
WAS KOMMUNEN BRAUCHEN	地方自治体が必要とするもの
Grundlage für die verschiedenen Angebote ist der praktische Bedarf der Kommunalverwaltungen und wie man diesem begegnen kann. So thematisierte eine „BSI im Dialog“- Veranstaltung, die im Februar 2024 in Berlin stattfand, die Cybersicherheit in Kommunen unter der Leitfrage „Wie kann grundsätzlich zur Stärkung der Kommunen im Bereich der Cyber- und Informationssicherheit beigetragen werden?“. Das BSI hatte dazu Vertreterinnen und Vertreter von Bund, Ländern und Kommunen sowie Dienstleistern und Verbänden eingeladen, zu diskutierten und gemeinsam Handlungsstränge mit zum Teil konkreten Maßnahmen zu erarbeiten – immer mit dem Ziel, die Cybersicherheit in Kommunen schnell und effektiv zu erhöhen.	様々なプログラムの基礎となるのは、地方自治体の実際的なニーズであり、それをどのように満たすことができるかである。例えば、2024年2月にベルリンで開催された「BSI in dialogue」イベントでは、「サイバーセキュリティと情報セキュリティの分野で地方自治体の強化に根本的に貢献するにはどうすればよいか」という重要な問いのもと、地方自治体におけるサイバーセキュリティに焦点を当てた。BSIは、連邦政府、連邦州、地方自治体、サービス・プロバイダー、団体の代表者を招き、自治体におけるサイバーセキュリティの迅速かつ効果的な強化を目的として、具体的な対策を含む行動指針について議論し、共同で策定した。
Dabei wurden mehrere konkrete Handlungsstränge identifiziert, die nun entweder durch das BSI oder einzelne Teilnehmende weiterverfolgt werden. Folgende Themen standen dabei im Fokus: die Verbesserung der Vernetzung, Möglichkeiten der IT-Bündelung, die Schaffung eines rechtlichen Rahmens in den Ländern, die Bereitstellung von ausreichenden Ressourcen, mögliche zentrale Services, die Durchführung von Cybersicherheitsübungen, die Etablierung von Standards und die Trendthemen KI und Cloud.	いくつかの具体的な行動指針が確認され、それらは現在BSIまたは個々の参加者によって進められている。ネットワークの改善、ITバンドル化の可能性、連邦州における法的枠組みの構築、十分なリソースの提供、集中型サービスの可能性、サイバーセキュリティ演習の実施、標準の確立、AIとクラウドというトレンドトピックなどである。
Als Fazit dieses Dialogs lässt sich aus Sicht des BSI festhalten: Die aktuellen Angebote u. a. der Informationssicherheitsberatung für Länder und Kommunen des BSI sind zielführend, sie sollten weiterverfolgt und möglichst ausgebaut werden. Dazu gehören auch die Checklisten aus dem Projekt „Weg in die Basis-Absicherung“ (WiBA), die Kommunen den Einstieg in den IT-Grundschutz vereinfachen und es ermöglichen, effektive Sicherheitsmaßnahmen ressourcenschonend umzusetzen. Auch die bisherigen Austauschformate sollen im Sinne der Vernetzung und des Wissensaustauschs fortgesetzt werden. So sollen insbesondere das „BSI im Dialog“-Format zwischen Bund, Ländern und Kommunen fortgeführt, die „Roadshows Kommunen“ verstetigt und zusätzliche ähnliche Dialog- und Informationsformate durch das BSI, die Länder und kommunale Spitzenverbände konzipiert werden.	BSIから見たこの対話の結論は以下の通りである。連邦州や地方自治体向けのBSIの情報セキュリティ・アドバイスを含め、現在提供されているものはターゲット指向のものであり、可能な限り追求し、拡大すべきである。これには、地方自治体がITの基本的な保護に着手しやすくし、資源効率の良い方法で効果的なセキュリティ対策を実施できるようにする「基本的な保護における道（WiBA）」プロジェクトのチェックリストも含まれる。また、ネットワーキングと知識共有の観点から、これまでの交流形式も継続する。特に、連邦政府、連邦州、地方自治体間の「BSI in dialogue」形式は継続し、「地方自治体ロードショー」は恒久化し、BSI、連邦州、地方自治体の統括組織によって、同様の対話や情報提供の形式を追加する。
BUND-LÄNDER-ZUSAMMENARBEIT AUSBAUEN	連邦・州間の協力の拡大
Der Austausch zwischen Bund, Ländern und Kommunen zeigt: Wir sind auf dem richtigen Weg, aber es gibt noch viel zu tun, um den steigenden Angriffen begegnen und somit ein verlässliches und nachvollziehbares Verwaltungshandeln in Städten, Kreisen und Gemeinden sicherstellen zu können.	連邦政府、連邦州、地方自治体間の対話は、我々が正しい道を歩んでいることを示している：私たちは正しい道を歩んでいるが、増え続ける攻撃に対抗し、その結果、市、区、自治体における信頼性が高く、理解しやすい行政措置を確保するためには、まだやるべきことがたくさんある。
Neben organisatorischen und technischen Maßnahmen sind dabei auch die rechtlichen Möglichkeiten weiter auszubauen. Derzeit werden die rechtlichen Rahmen von Bund und Ländern bereits voll ausgeschöpft. Um der steigenden Bedrohungslage Rechnung zu tragen, sollten weitere (verfassungs-)rechtliche Möglichkeiten geschaffen werden, damit Bund, Länder und Kommunen schnell, effizient und damit effektiv handeln können. Hierfür bedarf es u. a. der Möglichkeit, sich in konkreten Vorfällen zu unterstützen, Arbeitsteilung zu betreiben und ein gemeinsames Lagebild zu schaffen. Denn eins ist klar: Nur gemeinsam sind wir in der Lage, der organisierten Kriminalität und gezielten Angriffen begegnen zu können, um so eine erfolgreiche Digitalisierung und letztendlich eine kommunale Daseinsvorsorge zu gewährleisten.	組織的・技術的な対策に加え、法的な可能性もさらに拡大しなければならない。連邦政府や州政府の法的枠組みは、すでに十分に活用されている。増大する脅威の状況を考慮し、連邦、州、地方当局が迅速、効率的、効果的に行動できるよう、さらなる（憲法上の）法的選択肢を設けるべきである。そのためには、とりわけ、具体的な事件において互いに支援し合い、作業を分担し、状況を共同で把握することが必要である。なぜなら、デジタル化を成功させ、最終的には自治体の一般的な利益につながるサービスを確保するために、組織犯罪や標的型攻撃に対抗するためには、共に行動することが不可欠だからである。
Informationssicherheit von Anwendern für Anwender: Bereitstellung von IT-Grundschutz-Profilen:	ユーザーによるユーザーのための情報セキュリティ：IT基本保護プロファイルの提供

2024.06.19 00:00 in 情報セキュリティ / サイバーセキュリティ, in 危機管理 / 事業継続, in AI/Deep Learning, in 安全保障 | Permalink | Comments (0)
Tweet

2024.06.18

米国国防総省がサイバー学術関与室を設立 (2024.06.12)

こんにちは、丸山満彦です。

米国の国防総省が、国防授権法（NDAA）第1531条(Sec. 1531. Office for academic engagement relating to cyber activities.)に基づき、国防総省（DoD）最高情報責任者室（OCIO）は、DoDと学界関係者の間で行われるサイバー関連活動の統合的な中心的役割を果たすサイバー学術関与室（CAEO）を設立したとのことです...

部隊の即応性に継続的に力を注いでおり、現在および将来の世代のために国家のサイバー態勢を強化するプロセスにおける重要な将来へのステップとして、今回のサイバー学術関与室の設立をとらえているようですね...

学術的関与プログラムの調整と資金提供、
サイバー関連の教育活動に関する継続的な実績分析、
対象となる学術的関与プログラムの実績を収集するための要件、方針、手順の確立、および評価

などが業務となっていくようです...

● U.S. Department of Defense

リリース...

・2024.06.12 DOD Establishes Cyber Academic Engagement Office

国防総省の人材戦略

・DOD CYVER WORKFORCE STRATEGY 2023-2027

TITLE XV--CYBERSPACE-RELATED MATTERS

Subtitle D--Personnel

Sec. 1531. Office for academic engagement relating to cyber activities.

● まるちゃんの情報セキュリティ気まぐれ日記

国家安全保障戦略

・2022.10.14 米国国家安全保障戦略

国家サイバーセキュリティ戦略

・2023.03.04 米国国家サイバーセキュリティ戦略を発表

人材に関して。。。

・2023.08.02 米国国家サイバー人材・教育戦略

予算優先事項、実行計画。。。

・2023.07.09 米国 OMB 2025 年度予算における政権のサイバーセキュリティ優先事項 (2023.06.27)

・2023.07.15 米国ホワイトハウスサイバーセキュリティ戦略実施計画

国防総省国家防衛戦略他

・2022.10.29 米国国家防衛戦略

その下の計画

・2023.09.19 米国国防総省サイバー戦略 2023（要約）(2023.09.12)

・2023.08.09 米国国防総省サイバー従事能力戦略実施計画

・2023.05.25 紹介米国国防総省 Cyber Exchange Public （サイバー従事能力戦略 2023-2027、マニュアル 8140.03 サイバースペース従事能力資格および管理プログラム）

・2023.03.18 米国 2023-2027年国防総省サイバー人材戦略 (2023.03.09)

国家情報（インテリジェンス）戦略

・2023.08.11 米国国家情報戦略 2023

その他議会証言等

・2024.04.15 米国上院軍事委員会 2025会計年度国防授権要求および将来防衛計画の審査において、米国特殊作戦司令部および米国サイバー司令部の態勢についての証言

CISAのサイバーセキュリティ戦略

・2023.08.06 米国 CISA サイバーセキュリティ戦略 FY2024-2026

2024.06.18 06:52 in 情報セキュリティ / サイバーセキュリティ, in 安全保障 | Permalink | Comments (0)
Tweet

米国 NIST IR 8517（初期公開ドラフト）ハードウェアセキュリティの失敗シナリオ：ハードウェア設計における潜在的な弱点

こんにちは、丸山満彦です。

「ハードウェアは本質的に安全であるという誤った思い込みが広まっている。しかし、この報告書は、ハードウェアに起こりうる数多くの潜在的なセキュリティ障害を文書化したものである。また、ハードウェアが脆弱性を持ちうる多様な方法を示している。」

とのことです...

98の失敗シナリオ...

CWE(Common Weakness Enumeration)の関係...

右の数字はシナリオの数...

1	Improper Access Control	CWE-284	43
2	Improper Adherence to Coding Standards	CWE-710	14
3	Improper Check or Handling of Exceptional Conditions	CWE-703	5
4	Improper Control of a Resource Through its Lifetime	CWE-664	40
5	Incorrect Comparison	CWE-697	1
6	Insufficient Control Flow Management	CWE-691	11
7	Protection Mechanism Failure	CWE-693	15
			129

ハードウェアにもゼロトラスト的な発想で、都度信頼できるかどうかを確かめる（どうやって？）という時代がくるのでしょうかね...それはしんどいですね...

● NIST - ITL

プレス...

・2024.06.13 Hardware Security Failure Scenarios: Potential Weaknesses in Hardware Design | Draft of NIST IR 8517 is Available for Comment

Hardware Security Failure Scenarios: Potential Weaknesses in Hardware Design \| Draft of NIST IR 8517 is Available for Comment	ハードウェア・セキュリティの失敗シナリオ：ハードウェア設計における潜在的な弱点｜NIST IR 8517のドラフトを公開、コメントを募集中
NIST Internal Report (IR) 8517, Hardware Security Failure Scenarios: Potential Weaknesses in Hardware Design, is now available for public comment.	NIST内部報告書（IR）8517「ハードウェア・セキュリティの失敗シナリオ：ハードウェア設計における潜在的な弱点」が、現在パブリックコメントとして入手可能である：ハードウェア設計における潜在的な脆弱性は、現在パブリックコメント用に公開されている。
There is an incorrect and widespread assumption that hardware is inherently secure. However, this report documents numerous potential security failures that can occur in hardware. It also demonstrates the diverse ways in which hardware can be vulnerable.	ハードウェアは本質的に安全であるという誤った思い込みが広まっている。しかし、この報告書は、ハードウェアに起こりうる数多くの潜在的なセキュリティ障害を文書化したものである。また、ハードウェアが脆弱性を持ちうる多様な方法を示している。
The authors leveraged existing work on hardware weaknesses to provide a catalog of 98 security failure scenarios. Each of these is a succinct statement that describes how hardware can be exploited, where such an exploitation can occur, and what kind of damage is possible. This should raise awareness of the many types of hardware security issues that can occur.	プロバイダは、ハードウェアの弱点に関する既存の研究を活用し、98のセキュリティ障害シナリオのカタログを提供した。これらの各シナリオは、ハードウェアがどのように悪用されうるか、そのような悪用がどこで起こりうるか、どのような損害が起こりうるかを簡潔に記述したものである。これにより、発生しうる多くの種類のハードウェア・セキュリティ問題に対する認識が高まるはずである。

・2024.06.13 NIST IR 8517 (Initial Public Draft) Hardware Security Failure Scenarios: Potential Weaknesses in Hardware Design

NIST IR 8517 (Initial Public Draft) Hardware Security Failure Scenarios: Potential Weaknesses in Hardware Design	NIST IR 8517（初期公開ドラフト）ハードウェアセキュリティの失敗シナリオ：ハードウェア設計における潜在的な弱点
Announcement	発表
There is an incorrect and widespread assumption that hardware is inherently secure. However, this report documents numerous potential security failures that can occur in hardware. It also demonstrates the diverse ways in which hardware can be vulnerable.	ハードウェアは本質的に安全であるという誤った思い込みが広まっている。しかし、この報告書は、ハードウェアに起こりうる数多くの潜在的なセキュリティ障害を文書化している。また、ハードウェアが脆弱性を持ち得る多様な方法を示している。
The authors leveraged existing work on hardware weaknesses to provide a catalog of 98 security failure scenarios. Each of these is a succinct statement that describes how hardware can be exploited, where such an exploitation can occur, and what kind of damage is possible. This should raise awareness of the many types of hardware security issues that can occur.	プロバイダは、ハードウェアの弱点に関する既存の研究を活用し、98のセキュリティ障害シナリオのカタログを提供した。これらの各シナリオは、ハードウェアがどのように悪用されうるか、そのような悪用がどこで起こりうるか、どのような損害が起こりうるかを簡潔に記述したものである。これにより、発生しうる多くの種類のハードウェア・セキュリティ問題に対する認識が高まるはずである。
...	...
Abstract	概要
Historically, hardware has been assumed to be inherently secure. However, chips are both created with and contain complex software, and software is known to have bugs. Some of these bugs will compromise security. This publication evaluates the types of vulnerabilities that can occur, leveraging existing work on hardware weaknesses. For each type, a security failure scenario is provided that describes how the weakness could be exploited, where the weakness typically occurs, and what kind of damage could be done by an attacker. The 98 failure scenarios provided demonstrate the extensive and broadly distributed possibilities for hardware-related security failures.	歴史的に、ハードウェアは本質的に安全であると想定されてきた。しかし、チップは複雑なソフトウェアと共に作られ、また複雑なソフトウェアを含んでおり、ソフトウェアにはバグがあることが知られている。これらのバグの中には、セキュリティを損なうものもある。本書では、ハードウェアの脆弱性に関する既存の研究を活用し、発生しうる脆弱性のタイプを評価する。各タイプについて、その弱点がどのように悪用されうるか、その弱点が通常どこで発生するか、攻撃者がどのような損害を与えうるかを記述したセキュリティ障害シナリオが提供されている。提供された98の失敗シナリオは、ハードウェア関連のセキュリティ失敗の可能性が広範かつ広範囲に分散していることを示している。

・[PDF] NIST.IR.8517.ipd

目次...

1. Introduction	1. 序文
2. Background	2. 背景
2.1. Weaknesses vs. Vulnerabilities	2.1. 弱点と脆弱性
2.2. Weakness Data Fields	2.2. 弱点のデータフィールド
2.3. Weakness Abstractions	2.3. 弱点の抽象化
2.4. Weakness Views	2.4. 弱点ビュー
2.4.1. Hardware Design View	2.4.1. ハードウェア設計ビュー
2.4.2. Research Concepts View	2.4.2. 研究コンセプト
2.4.3. Simplified Mapping of Published Vulnerabilities View	2.4.3. 公表された脆弱性の簡易マッピング View
3. Technical Approach	3. 技術的アプローチ
3.1. Concept of Hardware Security Failure Scenarios	3.1. ハードウェア・セキュリティの故障シナリオの概念
3.1.1. Determining How Weaknesses Occur	3.1.1. 弱点がどのように発生するかを決定する
3.1.2. Determining Where Weaknesses Occur	3.1.2. どこで弱点が発生するかを決定する
3.1.3. Determining What Damage Weaknesses Allow	3.1.3. 弱点がどのようなダメージを与えるかを見極める
3.2. Creating Hardware Weakness Subgraphs	3.2. ハードウェアの弱点サブグラフを作成する
4. Hardware Security Failure Scenarios	4. ハードウェアセキュリティの失敗シナリオ
4.1. Improper Access Control	4.1. 不適切なアクセス管理
4.2. Improper Adherence to Coding Standards	4.2. コーディング標準の不適切な遵守
4.3. Improper Check or Handling of Exceptional Conditions	4.3. 例外状態の不適切なチェックまたは処理
4.4. Improper Control of a Resource Through its Lifetime	4.4. リソースのライフタイムを通しての不適切な制御
4.5. Incorrect Comparison	4.5. 不適切な比較
4.6. Insufficient Control Flow Management	4.6. 不十分な制御フロー管理
4.7. Protection Mechanism Failure	4.7. 防御機構の故障
5. Categories of Hardware Design Weaknesses	5. ハードウェア設計の弱点のカテゴリー
5.1. Core and Compute Issues	5.1. コアとコンピュートの問題
5.2. Cross-Cutting Problems	5.2. 横断的な問題
5.3. Debug and Test Problems	5.3. デバッグとテストの問題
5.4. General Circuit and Logic Design Concerns	5.4. 一般的な回路と論理設計の問題
5.5. Integration Issues	5.5. 統合の問題
5.6. Manufacturing and Life Cycle Management Concerns	5.6. 製造とライフサイクル管理に関する問題
5.7. Memory and Storage Issues	5.7. メモリとストレージの問題
5.8. Peripherals, On-chip Fabric, and Interface/10 Problems	5.8. ペリフェラル、オンチップ・ファブリック、インターフェイス/10 の問題
5.9. Physical Access Issues and Concerns	5.9. 物理的アクセスの問題と懸念
5.10. Power, Clock, Thermal, and Reset Concerns	5.10. 電源、クロック、熱、リセットに関する問題
5.11. Privilege Separation and Access Control Issues	5.11. 特権分離とアクセス管理の問題
5.12. Security Flow Issues	5.12. セキュリティ・フローの問題
5.13. Security Primitives and Cryptography Issues	5.13. セキュリティ・プリミティブと暗号の問題
6. Comparison With Software Weaknesses	6. ソフトウェアの弱点との比較
7. Software Assurance Trends Categories	7. ソフトウェア保証のトレンドカテゴリー
8. Conclusion	8. 結論
References	参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms	附属書A. 記号、略語、頭字語のリスト
Appendix B. Analysis of the Complete Hardware Weakness Graph	附属書B. 完全なハードウェア弱点グラフの分析
B.1. Hardware Design Category Overlay	B.1. ハードウェア設計カテゴリーオーバーレイ
B.2. Comparison of View-1000 and View-1194 Relationships	B.2. View-1000 と View-1194 の関係の比較
Appendix C. Weakness Hierarchy - Improper Access Control	附属書C. 脆弱性の階層 - 不適切なアクセス管理
Appendix D. Weakness Hierarchy - Improper Adherence to Coding Standards	附属書D. 弱点の階層 - コーディング標準の不適切な遵守
Appendix E. Weakness Hierarchy - Improper Check or Handling of Exceptional Conditions	附属書E. 脆弱性の階層 - 例外条件の不適切なチェックや処理
Appendix F. Weakness Hierarchy - Improper Control of a Resource Through its Lifetime	附属書F．脆弱性の階層 - リソースの有効期間中の不適切なコントロール
Appendix G. Weakness Hierarchy - Incorrect Comparison	附属書G. 弱さの階層 - 不適切な比較
Appendix H. Weakness Hierarchy - Insufficient Control Flow Management	附属書H．弱さの階層 - 不十分なコントロールフロー管理
Appendix I. Weakness Hierarchy - Protection Mechanism Failure	附属書I. 脆弱性階層 - 保護機構の失敗

弱点 (weaknesses) と脆弱性 (Vulnerabilities)の比較...

2.1. Weaknesses vs. Vulnerabilities	2.1. 弱点と脆弱性の比較
A weakness can also be defined as a bug or fault type that can be exploited through an operation that results in a security-relevant error [3]. The word ‘type’ is critical as it conveys that a weakness is a concept that can be instantiated in software or hardware; a weakness is not specific to a particular program or chip. A vulnerability, however, is tied to a specific piece of code or chip. A vulnerability is an instantiation of a weakness. Complicating matters, some vulnerabilities arise only in the context of a chain of weaknesses [3].	弱点とは、セキュリティに関連するエラーを引き起こす操作によって悪用される可能性のあるバグやフォールトの種類と定義することもできる［3］。この「タイプ」という言葉は、弱点がソフトウエアやハードウエアでインスタンス化できる概念であることを伝えるために重要である。しかし脆弱性は、特定のコードやチップと結びついている。脆弱性は弱点のインスタンスなのだ。問題を複雑にしているのは、脆弱性の連鎖の中でしか生じない脆弱性もあることだ [3]。
Vulnerabilities are enumerated in the Common Vulnerabilities and Exposures (CVE) list [6]. The National Vulnerability Database contains details on each CVE [7]. There are over 25,000 CVEs published annually, with the rate usually growing each year. As of February 22, 2024 only 131 of these are HW CVEs.	脆弱性は、CVE（一般的な脆弱性とエクスポージャー）リスト [6]に列挙されている。NVD（国家脆弱性データベース）には、各CVEの詳細が記載されている[7]。毎年25,000以上のCVEが公表されており、その割合は通常、年々増加している。2024年2月22日現在、このうちHW CVEは131件に過ぎない。

2024.06.18 00:00 in 情報セキュリティ / サイバーセキュリティ, in 脆弱性, in 内部統制 / リスクマネジメント, in パブコメ | Permalink | Comments (0)
Tweet

ドイツ CyMon 2024：サイバーセキュリティに関する市民調査（ドイツ市民のサイバーセキュリティ意識...）セキュリティ意識が低いから犯罪にあう？犯罪にあっているにもかかわらずセキュリティ意識が低い？

こんにちは、丸山満彦です。

ドイツの若者は

サイバー被害に遭っているにも関わらず、セキュリティ意識が低い？
サイバー意識が低いからサイバー被害にあっているのか？

ドイツの国民のサイバーセキュリティ意識調査...サンプル調査ではあるが、こういう調査結果を踏まえて政策に反映することは重要だろうと思う。

定期的に情報をとることにより、経年変化を見ることができ、政策がうまくいっているかいないかなどを把握しやすくなる...

日本はどんなデータを継続的にとっているのだろう...総務省の通信白書、警察庁の警察白書にはサイバーセキュリティについてのいくつかの調査項目があるのでしょうね...

● Bundesamt für Sicherheit in der Informationstechnik；BSI

・2024.06.11 Menschen zunehmend sorglos gegenüber Cyberkriminalität – Zahl der Betroffenen jedoch weiterhin hoch

Menschen zunehmend sorglos gegenüber Cyberkriminalität – Zahl der Betroffenen jedoch weiterhin hoch	サイバー犯罪に無頓着な人が増えている - しかし被害者数は依然として多い
Der Cybersicherheitsmonitor ist eine repräsentative Dunkelfeldstudie von BSI und Polizei.	サイバーセキュリティ・モニターは、BSIと警察による代表的な匿名の実地調査である。
Trotz der besorgniserregenden Bedrohungslage im Cyberraum sind sich viele Menschen der Risiken nicht bewusst oder nehmen sie sorglos in Kauf. Jede vierte Person in Deutschland (24 %) war schon einmal Opfer von Cyberkriminalität – und doch schätzt jede zweite (56 %) ihr Risiko, in Zukunft von Kriminalität im Internet betroffen zu sein, als gering oder ausgeschlossen ein. Das ist das Ergebnis des Cybersicherheitsmonitors 2024. Die repräsentative Dunkelfeldstudie von BSI und Polizei gibt Einblicke in das Informations- und Schutzverhalten der Bevölkerung sowie in ihre Betroffenheit von Cyberkriminalität.	サイバースペースにおける脅威の状況は憂慮すべきものであるにもかかわらず、多くの人々がそのリスクに気づいていないか、あるいは不注意に受け入れている。ドイツでは4人に1人（24％）がすでにサイバー犯罪の被害に遭っているが、2人に1人（56％）は今後サイバー犯罪の被害に遭うリスクは低いか存在しないと回答している。これは、BSIと警察による代表的な闇の実地調査である「サイバーセキュリティ・モニター2024」の結果であり、国民の情報保護行動とサイバー犯罪による影響についての洞察を提供している。
Der Cybersicherheitsmonitor 2024 zeigt, dass der Anteil der Unbesorgten im Vergleich zum Vorjahr um sechs Prozentpunkte gestiegen ist – bei den 16- bis 22-Jährigen sogar um 16 Prozentpunkte. In der jüngsten Altersgruppe der 16- bis 22-Jährigen schätzen mehr als zwei Drittel (68 %) ihr Risiko, persönlich von Cyberkriminalität betroffen zu sein, als gering oder ausgeschlossen ein.	サイバーセキュリティ・モニター2024によると、無関心な人の割合は前年より6ポイント上昇し、16歳から22歳では16ポイントも上昇した。16歳から22歳の最も若い年齢層では、3分の2以上（68％）が、個人的にサイバー犯罪の被害を受けるリスクは低いか、存在しないと回答している。
Die Befragten gaben an, im Schnitt knapp vier (3,9) Schutzmaßnahmen gegen Cyberkriminalität zu ergreifen: Am häufigsten setzen sie dabei auf Antivirenprogramme und sichere Passwörter (je 47 %). Im Vergleich zum Vorjahr ist die Nutzung der meisten Schutzmaßnahmen jedoch rückläufig. Fast ein Drittel der Befragten (29 %) gibt in diesem Zusammenhang ein bereits hohes vorhandenes Sicherheitsgefühl als Grund für die Nichtnutzung weiterer Schutzmaßnahmen an. Die 16- bis 22-Jährigen hält am häufigsten ein zu hoher Aufwand ab (34 %). Mit im Durchschnitt 3,2 Schutzmaßnahmen verwenden sie am wenigsten Hilfsmittel, um sich abzusichern.	回答者は、サイバー犯罪に対して平均4つ弱（3.9）の防御策を講じていると述べている：最も頻繁に利用しているのは、ウイルス対策プログラムと安全なパスワード（各47％）である。しかし、前年と比較すると、ほとんどの防御策の利用率は低下している。その中で、回答者のほぼ3分の1（29％）は、すでに高いセキュリティ意識を持っていることを、さらなる防御策を使わない理由として挙げている。16歳から22歳では、過剰な出費（34％）が最も多い。平均3.2つの防護策で、彼らは最も少ない手段で身を守っている。
BSI-Präsidentin Claudia Plattner: „Die Studienergebnisse zeigen sehr deutlich, dass wir Cybersicherheit stärker denn je auf die Agenda der Bürgerinnen und Bürger heben müssen. Dazu müssen wir zum einen die Bevölkerung dafür sensibilisieren, wie ernst die Lage aktuell ist. Zum anderen dürfen wir die Menschen damit aber nicht allein lassen: Wir brauchen technische Lösungen, die dafür sorgen, dass Verbraucherinnen und Verbraucher vielen heutigen Risiken künftig erst gar nicht mehr ausgesetzt sein werden. Wir als BSI erforschen aktuell zum Beispiel Methoden zur technischen Erkennung gefälschter Inhalte.“	BSIのクラウディア・プラットナー会長は、次のように述べている。「この調査結果は、サイバーセキュリティをこれまで以上に市民の関心事に据える必要があることを明確に示している。一方では、現在の状況がいかに深刻であるかを国民に認識させる必要がある。その一方で、人々の自助努力を放置してはならない：消費者が将来、今日のリスクの多くにさらされることがないようにする技術的解決策が必要である。例えば、私たちBSIは現在、偽造コンテンツを技術的に検知する方法を研究している」。
44 Prozent der in den vergangenen zwölf Monaten von Cyberkriminalität Betroffenen wurden Opfer von unterschiedlichen Online-Betrugsformen, darunter Identitätsdiebstahl und Betrug per Messengerdienst. 23 Prozent wurden beim Onlineshopping betrogen, 15 Prozent beim Online-Banking. Betrug ist damit die häufigste Deliktform im Internet. Mit 28 Prozent ist der Anteil der von Betrug beim Onlinebanking Betroffenen bei den 16- bis 22-Jährigen deutlich höher als in der Gesamtbevölkerung. Die häufigsten Folgen von Internetbetrug sind Vertrauensverluste in Online-Dienste (30 %) und finanzielle Schäden (26 %).	過去12ヶ月間にサイバー犯罪の被害を受けた人の44％は、個人情報の盗難やメッセンジャーサービス経由の詐欺など、様々な形態のオンライン詐欺の被害者であった。23％がオンラインショッピングで、15％がオンラインバンキングで詐欺に遭っている。詐欺はインターネット上で最も一般的な犯罪である。オンライン・バンキング詐欺の被害を受けた16歳から22歳の割合は28％で、人口全体よりもかなり高い。インターネット詐欺の最も一般的な被害は、オンラインサービスに対する信頼の喪失（30％）と金銭的損失（26％）である。
Dr. Stefanie Hinz, Landespolizeipräsidentin und Vorsitzende des ProPK: „Niemand, ob jung oder alt, sollte sorglos im Internet unterwegs sein. Cyberkriminelle finden immer wieder neue Wege, um an Daten oder Geld der Nutzerinnen und Nutzer zu gelangen. Auch bei Kriminalität im Internet gilt wie bei allen anderen Straftaten, melden Sie diese immer der Polizei. Nur wenn streng gegen Täter vorgegangen wird, kann finanzieller und psychischer Schaden von möglichen weiteren Opfern ferngehalten werden."	老若男女を問わず、ネット上で安心してはならない。サイバー犯罪者は常にユーザーのデータや金銭を手に入れる新しい方法を見つけている。他の犯罪と同様、ネット犯罪も必ず警察に通報すること。犯罪者に対して厳正な処分が下されてこそ、更なる被害者が出る可能性から金銭的・精神的ダメージを遠ざけることができる。"
Nur 36 Prozent der Befragten schätzen ihr persönliches Risiko, von Kriminalität im Internet betroffen zu sein, eher oder sehr hoch ein. Davon wiederum sind etwa ein Drittel (37 %) aufgrund der zunehmenden Vernetzung und steigenden Anzahl internetfähiger Geräte besorgt. Ob Staubsaugerroboter, Smart Speaker oder mit dem Internet verbundene Lichtsteuerung: Das diesjährige Fokusthema des Cybersicherheitsmonitors, das den zweiten Teil der Erhebung ausmachen wird, untersucht, welche Smarthome-Geräte Menschen nutzen, wie sie diese absichern und welchen Risiken sie sich bei der Nutzung bewusst sind. Veröffentlicht werden die Ergebnisse des Fokusthemas im September 2024.	インターネット犯罪の被害を受ける個人的リスクを「やや高い」「非常に高い」と評価する回答者は36％に過ぎない。このうち約3分の1（37％）は、ネットワーク化が進み、インターネット対応機器が増加していることを懸念している。ロボット型掃除機、スマートスピーカー、インターネットに接続された照明制御など、サイバーセキュリティ・モニターの今年のフォーカス・トピックは、調査の第2部を構成し、人々がどのスマートホーム・デバイスを使用し、どのようにセキュリティを確保し、使用時にどのようなリスクを認識しているかを調査する。フォーカストピックの結果は2024年9月に公表される。
Ein Kurzbericht sowie eine ausführliche Ergebnispräsentation des Cybersicherheitsmonitors sind auf den Webseiten von BSI und ProPK zu finden.	サイバーセキュリティ・モニターの結果に関する簡単な報告書と詳細なプレゼンテーションは、BSIとProPKのウェブサイトに掲載されている。
Über den Cybersicherheitsmonitor: Die diesjährige Bürgerbefragung ist bereits die sechste gemeinsame Erhebung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und der Polizeilichen Kriminalprävention der Länder und des Bundes (ProPK). BSI und ProPK bündeln ihre Kräfte, um Bürgerinnen und Bürger umfassend über Risiken und Schutzmöglichkeiten im Internet aufzuklären. Basierend auf einer repräsentativen Stichprobe erheben sie im Rahmen des Cybersicherheitsmonitors gemeinsam das Informations- und Schutzverhalten der Bevölkerung sowie die Betroffenheit von Cyberkriminalität. Die diesjährige Befragung wurde vom 28. Februar bis 4. März 2024 durchgeführt. Dabei wurden 3.047 Personen ab 16 Jahren bundesweit befragt und die Ergebnisse anhand der Bevölkerungsstrukturmerkmale Alter, Geschlecht, Bundesland und Bildung in Deutschland gewichtet.	サイバーセキュリティ・モニターについて：今年の市民調査は、連邦情報セキュリティ局（BSI）と州・連邦警察犯罪防止局（PROPK）による共同調査で、すでに6回目となる。BSIとPROPKは共同で、インターネット上のリスクと保護の選択肢に関する包括的な情報を市民に提供している。代表的なサンプルに基づき、サイバーセキュリティ・モニターの一環として、国民の情報と保護行動、およびサイバー犯罪の影響の程度を共同で調査している。今年の調査は2024年2月28日から3月4日まで行われた。全国で16歳以上の合計3,047人を対象に調査が行われ、結果はドイツの年齢、性別、連邦州、学歴といった人口構成の特徴に従って重み付けされた。

・CyMon – der Cybersicherheitsmonitor

CyMon – der Cybersicherheitsmonitor	CyMon - サイバー・セキュリティ・モニター
Welche Straftaten erleiden Menschen im Internet? Und wie schützen sie ihre Geräte, Anwendungen und Daten vor Cyberkriminellen? Der Cybersicherheitsmonitor gibt Einblicke in den digitalen Alltag der internetnutzenden Bevölkerung in Deutschland.	人々はオンラインでどのような犯罪を犯しているのか？また、サイバー犯罪からデバイス、アプリケーション、データをどのように保護しているのだろうか。サイバーセキュリティ・モニターは、ドイツのインターネット利用者の日常的なデジタルライフに関する洞察を提供する。
Im Jahr 2024 kommt er dabei zu dem Fazit: Der Anteil der Sorglosen in der Bevölkerung ist gestiegen – insbesondere unter jungen Menschen. Die Betroffenheit von Cyberkriminalität ist jedoch weiterhin hoch.	2024年には、人口に占める不注意な人の割合が、特に若者の間で増加しているという結論に達している。しかし、サイバー犯罪の発生率は依然として高い。
Cybersicherheitsmonitor 2024: Menschen zunehmend sorglos gegenüber Cyberkriminalität – Betroffenheit jedoch weiterhin hoch	サイバーセキュリティ・モニター2024：サイバー犯罪に無頓着な人の割合が増加 - しかし懸念レベルは依然として高い
Cybersicherheitsmonitor 2024	サイバーセキュリティ・モニター2024
Befragung zur Cybersicherheit: Der Kurzbericht des Cybersicherheitsmonitors 2024 fasst die wichtigsten Ergebnisse zusammen.	サイバーセキュリティに関する調査：サイバーセキュリティ・モニター2024のショートレポートは、最も重要な結果を要約している。
Auf einen Blick:	要約：
・Jede/r Zehnte ist in den letzten zwölf Monaten Opfer einer Straftat im Internet geworden.	・10人に1人が過去1年間にインターネット上で犯罪の被害に遭っている。
・Die meisten Schutzmaßnahmen werden seltener genutzt als noch im Vorjahr.	・ほとんどの保護手段の使用頻度が前年より低下している。
・Gerade junge Menschen schätzen ihr Risiko, von Cyberkriminalität betroffen zu sein, gering ein.	・特に若者は、サイバー犯罪の被害を受けるリスクを低いと評価している。
Betroffenheit: Betrug häufigste Straftat im Internet	懸念：詐欺はインターネット上で最も一般的な犯罪である。
24 Prozent der Befragten waren schon einmal von Cyberkriminalität betroffen: Das Bedrohungsniveau bleibt damit ähnlich hoch wie im Vorjahr (27 %). Allein in den vergangenen zwölf Monaten erlitt jede bzw. jeder Zehnte (10 %, 2023: 12 %) eine Straftat im Internet.	回答者の24％がすでにサイバー犯罪の被害に遭っている：したがって、脅威のレベルは前年（27％）と同様である。過去1年間だけでも、10人に1人（10％、2023年は12％）がインターネット上で犯罪被害に遭っている。
44 Prozent der im Vorjahr Betroffenen wurden Opfer von unterschiedlichen Betrugsformen: darunter Betrug beim Online-Banking oder Missbrauch der Kontodaten (15 %), Identitätsdiebstahl (9 %) und Betrug mittels Messenger-Dienst (9 %). 23 Prozent der im Vorjahr Betroffenen erlebten speziell beim Onlineshopping einen Betrugsfall. Darüber hinaus bemerkten 15 Prozent einen Fremdzugriff auf ein Benutzerkonto, weitere 15 Prozent wurden Opfer von Phishing. In der Folge erlitten Betroffene am häufigsten Vertrauensverluste in Online-Dienste (30%) und finanzielle Schäden (26%).	前年に被害を受けた人の44％が、オンライン・バンキング詐欺や口座詳細の悪用（15％）、個人情報の盗難（9％）、メッセンジャー・サービス経由の詐欺（9％）など、さまざまな形態の詐欺の被害にあっている。前年度の被害者のうち23％が、オンラインショッピングで詐欺に遭っている。さらに、15％がユーザーアカウントへの不正アクセスに気づき、さらに15％がフィッシングの被害に遭っている。その結果、被害を受けた人は、オンライン・サービスに対する信頼を失い（30％）、金銭的損失を被った（26％）。
Schutzverhalten: Schutzmaßnahmen seltener genutzt	保護行動保護手段の使用頻度は低い
Die Befragten setzen auf im Schnitt 3,9 Schutzmaßnahmen – am häufigsten auf Antivirenprogramme (47 %) und sichere Passwörter (47 %). Darauf folgen die Zwei-Faktor-Anmeldung (37 %) und eine aktuelle Firewall (32 %). Die automatische Installation von Updates nutzen 28 Prozent, regelmäßige manuelle Updates ungefähr jede/r Vierte (26%).	回答者は平均3.9の防御策を利用しており、最も多かったのはウイルス対策プログラム（47％）と安全なパスワード（47％）だった。次いで、2要素ログイン（37％）、最新のファイアウォール（32％）である。アップデートの自動インストールは28％が利用しており、定期的な手動アップデートは約4人に1人（26％）が利用している。
Im Vergleich zum Vorjahr ist die Nutzung der meisten Schutzmaßnahmen damit rückläufig. Fast ein Drittel (29%) gibt ein hohes Sicherheitsgefühl als Grund für die Nichtnutzung von Maßnahmen an. Ein Viertel kritisiert zudem, dass Maßnahmen zu kompliziert seien (26%).	そのため、前年と比較すると、ほとんどの保護手段の使用率は低下している。ほぼ3分の1（29％）が、対策を使用しない理由として、セキュリティ意識の高さを挙げている。また、4分の1は対策が複雑すぎることを批判している（26％）。
Ob eine Sicherheitskopie anlegen, automatische Updates aktivieren oder das Heimnetzwerk absichern: Die Wegweiser und Anleitungen des BSI führen Sie Schritt für Schritt durch wichtige Schutzmaßnahmen.	バックアップコピーの作成、自動アップデートの有効化、ホームネットワークの安全確保などである： BSIの道しるべと説明書は、重要な保護対策を段階的に案内してくれる。
Junge Menschen im Fokus: Sorglosigkeit weit verbreitet	若者に注目：不注意が蔓延している
Der Anteil der Unbesorgten ist im Vergleich zum Vorjahr um sechs Prozentpunkte gestiegen – bei den 16- bis 22-Jährigen sogar um 16 Prozentpunkte: In dieser Altersgruppe schätzen über zwei Drittel (68%) ihr Risiko, in Zukunft persönlich von einer Straftat im Internet betroffen zu sein, als gering oder ausgeschlossen ein. Mit 3,2 setzen die 16- bis 22-Jährigen im Durchschnitt zugleich die wenigsten Schutzmaßnahmen ein. Als Grund nennen sie am häufigsten (34 %) den zu hohen Aufwand.	無関心な人の割合は前年より6ポイント上昇し、16歳から22歳では16ポイントも上昇した：この年齢層では、3分の2以上（68％）が、将来インターネット上で犯罪に巻き込まれる危険性は低い、もしくは存在しないと回答している。3.2で、16歳から22歳の年齢層は、平均して最も少ない保護手段を用いている。彼らが最も多く挙げた理由（34％）は、費用がかかりすぎるからである。
Darüber hinaus thematisiert der Cybersicherheitsmonitor auch das Verhalten von Eltern: So gab etwa jedes dritte Elternteil (35 %) an, ein Gespräch über IT-Sicherheit und Gefahren im Internet zu führen, bevor das Kind beginnt, das Internet selbstständig zu nutzen.	例えば、3人に1人の保護者（35％）は、子供がインターネットを単独で使い始める前に、ITセキュリティやインターネット上の危険性について話し合っていると回答している。
Mit unseren Angeboten für Eltern sowie unseren Lehr- und Lernmaterialien für Pädagoginnen und Pädagogen möchten wir Sie in Ihrer Vorbildrolle im digitalen Alltag unterstützen.	私たちは、保護者向けのオファーや教育者向けの教材で、日常的なデジタルライフにおけるロールモデルとしてのあなたの役割をサポートしたい。
Weitere Informationen sowie Beratungsangebot	その他の情報とカウンセリング・サービス
Mehr Informationen zum Cybersicherheitsmonitor finden Sie im Kurzbericht sowie in der Ergebnispräsentation und im Ergebnisflyer für Multiplikatoren.	サイバーセキュリティ・モニターの詳細については、報告書、結果発表、およびマルチプライヤ向けの結果チラシを参照されたい。
Auf seiner Webseite sowie in Publikationen, Newsletter und Podcast informiert das BSI zudem rund um IT-Sicherheit und gibt Handlungsempfehlungen für den digitalen Alltag.	BSIはまた、ITセキュリティに関する情報や、日常的なデジタルライフのための推奨事項を、ウェブサイトや出版物、ニュースレター、ポッドキャストで提供している。
Vorjahresbefragungen	前年度の調査
Cybersicherheitsmonitor 2023: Kurzbericht / Ergebnispräsentation	サイバーセキュリティ・モニター2023 簡単な報告書／結果発表
Digitalbarometer 2022	デジタルバロメーター2022
Digitalbarometer 2021	デジタルバロメーター2021
Digitalbarometer 2020	デジタルバロメーター2020
Digitalbarometer 2019	デジタルバロメーター2019
Über den Cybersicherheitsmonitor	サイバーセキュリティ・モニターについて
Der Cybersicherheitsmonitor ist die gemeinsame Bürgerbefragung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und des Programms Polizeiliche Kriminalprävention der Länder und des Bundes (ProPK). Erstmals im Jahr 2019 unter dem Namen Digitalbarometer erschienen geht der Cybersicherheitsmonitor 2024 in die sechste Befragungsrunde. Der Cybersicherheitsmonitor gibt Einblicke in das Informations- und Schutzverhalten der Bevölkerung sowie in ihre Betroffenheit von Cyberkriminalität.	サイバーセキュリティ・モニターは、連邦情報セキュリティ局（BSI）と連邦州・連邦政府の警察犯罪防止プログラム（ProPK）が共同で実施する市民調査である。デジタル・バロメーターという名称で2019年に初めて発行されたサイバーセキュリティ・モニター2024は、現在6回目の調査ラウンドに突入している。サイバーセキュリティ・モニターは、国民の情報保護行動とサイバー犯罪による影響についての洞察を提供する。
Methode und Historie	調査方法と歴史
Für den Cybersicherheitsmonitor werden jährlich über 3.000 Menschen ab 16 Jahre befragt, die in einem Privathaushalt in Deutschland leben und über einen Internetzugang verfügen. Bei dem sogenannten Computer Assisted Web Interviewing (CAWI) füllen die Teilnehmende eine Online-Umfrage in einem Browser aus. Dafür wird eine repräsentative Stichprobe anhand der Merkmale Alter, Geschlecht, Bildung und Bundesland aus dem Bilendi/respondi Online-Access-Panel gezogen. Der Cybersicherheitsmonitor kann damit sowohl Vergleiche zwischen unterschiedlichen Gruppen wie beispielsweise Altersgruppen als auch Entwicklungen über die Zeit darstellen.	毎年、サイバーセキュリティ・モニターのために、ドイツの一般家庭に住み、インターネットにアクセスできる16歳以上の3,000人以上が調査を受ける。CAWI（Computer Assisted Web Interviewing）と呼ばれる方法で、参加者はブラウザ上でオンライン調査に回答する。Bilendi/respondiのオンライン・アクセス・パネルから、年齢、性別、学歴、連邦州の特徴に基づいて代表的なサンプルが抽出される。このため、サイバーセキュリティ・モニターは、年齢層などの異なるグループ間の比較や、時系列での推移を示すことができる。
Bis 2022 erschien die Befragung unter dem Titel Digitalbarometer. Anschließend wurde der durchführende Dienstleister sowie das ausführende Panel gewechselt und die Anzahl der befragten Personen von 2.000 auf 3.000 erhöht. Seit 2023 ermöglicht die Befragung damit u.a. eine differenziertere Betrachtung einzelner Gruppen. Aufgrund einer grundlegenden Überarbeitung des Fragebogens sind Vergleiche zwischen den Befragungsergebnissen bis 2022 und jenen ab 2023 jedoch nur annähernd möglich. Um den thematischen Schwerpunkt der Befragung in den Vordergrund zu stellen, steht sie seit 2023 dabei unter dem Titel Cybersicherheitsmonitor.	2022年まで、この調査は「デジタル・バロメーター」というタイトルで発表されていた。その後、調査を実施するサービス・プロバイダーとパネルが変更され、回答者数が2,000人から3,000人に増加した。2023年以降、この調査によって、とりわけ個々のグループについてのより差別化された見方が可能になった。ただし、アンケートの根本的な見直しにより、2022年までの調査結果と2023年以降の調査結果との比較は、おおよそしかできない。本調査のテーマ性を強調するため、2023年以降、本調査は「サイバーセキュリティ・モニター」と呼ばれるようになった。

・[PDF]

・[PDF] Cybersicherheitsmonitor 2024

・[PDF] Cybersicherheitsmonitor

・[PDF] Cybersicherheitsmonitor 2024: Flyer zur Befragung zur Cybersicherheit

過去12ヶ月に受けた犯罪...（％）

知っている対策と実施している対策（％）

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.12.07 ドイツ CyMon 2023：サイバーセキュリティに関する市民調査（ドイツ市民のサイバーセキュリティ意識...）

Continue reading "ドイツ CyMon 2024：サイバーセキュリティに関する市民調査（ドイツ市民のサイバーセキュリティ意識...）セキュリティ意識が低いから犯罪にあう？犯罪にあっているにもかかわらずセキュリティ意識が低い？"

2024.06.18 00:00 in フィッシング, in 脆弱性, in 法律 / 犯罪, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続 | Permalink | Comments (0)
Tweet

2024.06.17

ドイツ連邦情報セキュリティ局　ハードウェア・トロイの木馬: BSI 分散製造プロセスにおけるハードウェア操作の可能性に関する調査結果 (2024.06.04)

こんにちは、丸山満彦です。

ドイツの連邦情報セキュリティ局 (Bundesamt für Sicherheit in der Informationstechnik；BSI) が、分散製造プロセスにおけるハードウェア操作の可能性に関する調査結果を発表していますね...　（PDFにして101ページ...でも、英語です...)

製造過程でチップ基盤上に勝手に追加チップを埋め込まれてしまうような話で、現在のX線技術でもほとんど認識できない？という話のようです...

製造過程でチップを埋め込むのは簡単な割に発見は困難...

プロジェクト名はPanda...

● Bundesamt für Sicherheit in der Informationstechnik；BSI

・2024.06.04 BSI veröffentlicht Studie zu Manipulationsmöglichkeiten von Hardware in verteilten Fertigungsprozessen

追加チップが隠された回路基板上の部品のX線画像（右拡大）。この追加チップは、現代のX線技術でもほとんど認識できない。ということのようです...(Quelle: BSI)

BSI veröffentlicht Studie zu Manipulationsmöglichkeiten von Hardware in verteilten Fertigungsprozessen	BSI、分散製造プロセスにおけるハードウェアの操作可能性に関する調査結果を発表
Die IHP GmbH hat im Auftrag des Bundesamts für Sicherheit in der Informationstechnik (BSI) die Studie „Prüfung von Manipulationsmöglichkeiten von Hardware in verteilten Fertigungsprozessen (PANDA)“ erstellt. Diese Studie betrachtet die Einflussmöglichkeiten von Angreifern innerhalb der Fertigungskette von komplexen IT-Systemen. Die Veröffentlichung beschreibt die einzelnen Schritte von der initialen Idee bis zum fertigen Produkt. Darauf aufbauend werden mögliche Schwachstellen in der Kette aufgezeigt sowie ausgewählte Angriffsszenarien skizziert. Eine Bewertung von Präventions- und Detektionsmöglichkeiten erfolgt nicht nur auf Basis einer Literaturrecherche, sondern auch anhand eigens durchgeführter Experimente. Die Studienergebnisse zeigen, dass solche Manipulationen in jeder Phase der Fertigung mit teilweise relativ geringem Aufwand möglich sind. Die Detektion hingegen kann sehr anspruchsvoll sein.	ドイツ連邦情報セキュリティー局（BSI）の委託を受け、IHP社は「分散製造プロセスにおけるハードウェアの操作可能性の調査（PANDA）」を作成した。この研究は、攻撃者が複雑なITシステムの生産チェーンの中で影響力を行使する可能性を分析するものである。本書では、最初のアイデアから完成品に至るまでの個々のステップを説明している。これに基づき、連鎖の弱点が特定され、選択された攻撃シナリオが概説されている。予防と検知のオプションは、文献調査だけでなく、社内で実施した実験に基づいて評価されている。研究の結果、このような操作は生産のあらゆる段階で、時には比較的少ない労力で可能であることが示された。一方、検出は非常に困難である。
Das Ziel der Studie ist, der IT-Fachcommunity bzw. IT-Herstellern und -Dienstleistern eine Einschätzung der Bedrohungslage durch sogenannte "Hardware-Trojaner" zu geben, welche z.B. nach Presseberichten von Bloomberg mutmaßlich in Server-Mainboards implantiert wurden.	ブルームバーグの報道によれば、この研究の目的は、IT専門家コミュニティやITメーカー、サービス・プロバイダーに、例えばサーバーのメインボードに仕込まれたとされる、いわゆる「ハードウェア・トロイの木馬」がもたらす脅威の評価を提供することである。
Die Entwicklung und Fertigung komplexer IT-Systeme wird heutzutage oft nicht mehr von einem einzelnen Hersteller durchgeführt, der alle Design- und Produktionsschritte selbst umsetzt und kontrolliert. Diese Arbeitsteilung hat eindeutige Vorteile, wie etwa eine kürzere Zeit bis zur Markteinführung der Produkte, geringere Kosten sowie die Bündelung von Kompetenzen und Werkzeugen in speziellen Aufgabenbereichen. Allerdings birgt diese Aufteilung auch das Risiko von unerwünschten Änderungen an dem ursprünglichen Design, was bei sicherheitsrelevanten Produkten z. B. zum Verlust von vertraulichen Daten führen kann.	今日、複雑なITシステムの開発・製造は、もはや1つのメーカーで行われることは少なくなり、設計・製造の全工程を自社で実現・管理するようになっている。このような分業には、製品の市場投入までの時間の短縮、コストの削減、特定の作業分野におけるスキルやツールのプール化など、明確な利点がある。しかし、このような分業には、元の設計に望ましくない変更を加えるリスクも潜んでいる。例えば、セキュリティに関連する製品の場合、機密データの喪失につながりかねない。
Solche Manipulationen, auch als „Hardware-Trojaner“ bezeichnet, können in fast allen Entwicklungs- und Produktionsschritten implementiert werden. Die Studie analysiert das Risikopotential hierfür nicht nur mittels einer Literaturbetrachtung, sondern auch aufgrund praktischer Erfahrungen in der Chipherstellung.	このような操作は、「ハードウェア・トロイの木馬」とも呼ばれ、ほとんどすべての開発・生産工程で実装される可能性がある。この研究では、文献調査だけでなく、チップ製造における実務経験に基づいて、このようなリスクの可能性を分析している。

・Prüfung von Manipulationsmöglichkeiten von Hardware in verteilten Fertigungsprozessen

Prüfung von Manipulationsmöglichkeiten von Hardware in verteilten Fertigungsprozessen	分散型製造工程におけるハードウェアの操作可能性の検討
Die IHP GmbH hat im Auftrag des Bundesamts für Sicherheit in der Informationstechnik (BSI) eine Studie erstellt, welche die Einflussmöglichkeiten von Angreifern innerhalb der Fertigungskette komplexer IT-Systeme beschreibt, z.B. das Einbringen von Hardware-Trojanern.	ドイツ連邦情報セキュリティー局（BSI）の委託を受け、IHP社は、複雑なITシステムの製造チェーンにおいて、攻撃者がハードウェア・トロイの木馬を持ち込むなどして影響力を行使する可能性についての研究を行った。
Die Veröffentlichung stellt die einzelnen Schritte vom initialen Design bis zum fertigen Produkt vor. Darauf aufbauend werden mögliche Schwachstellen aufgezeigt sowie ausgewählte Angriffsszenarien skizziert. Präventions- und Detektionsmöglichkeiten werden nicht nur auf Basis einer Literaturrecherche, sondern auch anhand eigens durchgeführter Experimente bewertet.	この出版物では、初期設計から完成品までの個々のステップを紹介している。これに基づいて、考えられる脆弱性が特定され、選択された攻撃シナリオが概説されている。予防と検知のオプションは、文献調査だけでなく、特別に実施された実験に基づいて評価されている。
Die Entwicklung und Fertigung komplexer IT-Systeme wird heutzutage oft nicht mehr von einem einzelnen Hersteller durchgeführt, der alle Design- und Produktionsschritte selbst umsetzt und kontrolliert. Diese Arbeitsteilung hat zwar eindeutige Vorteile, allerdings birgt sie auch das Risiko von unerwünschten Änderungen an dem ursprünglichen Design, was bei sicherheitsrelevanten Produkten z. B. zum Verlust von vertraulichen Daten führen kann. Solche Manipulationen, auch als „Hardware-Trojaner“ bezeichnet, können in fast allen Entwicklung- und Herstellungsschritten implementiert werden.	今日、複雑なITシステムの開発・製造は、設計・製造の全工程を自社で行い、管理する単一の製造業者によって行われることは少なくなっている。このような分業制には明確な利点があるが、一方で、元の設計に望ましくない変更を加えるリスクもはらんでいる。例えば、セキュリティに関連する製品の場合、機密データの紛失につながりかねない。このような操作は、「ハードウェア・トロイの木馬」とも呼ばれ、ほとんどすべての開発・製造工程で実装される可能性がある。

・[PDF] Prüfung von Manipulationsmöglichkeiten von Hardware in verteilten Fertigungsprozessen

目次...

1 Introduction	1 序文
2 WP2: Design and Manufacturing steps from the initial idea to the final product	2 WP2：最初のアイデアから最終製品までの設計と製造のステップ
2.1 Selecting IP blocks	2.1 IPブロックの選択
2.1.1 Selection criteria	2.1.1 選択基準
2.1.2 Actors and responsibilities	2.1.2 アクターと責任
2.1.3 Tools	2.1.3 ツール
2.2 ASIC Design	2.2 ASIC設計
2.2.1 Actors and responsibilities	2.2.1 アクターと責任
2.2.2 Tools	2.2.2 ツール
2.3 Mask Production	2.3 マスク製造
2.3.1 Actors and responsibilities	2.3.1 アクターと責任
2.3.2 Tools	2.3.2 ツール
2.4 Manufacturing	2.4 製造事業者
2.4.1 Actors and responsibilities	2.4.1 役者と責任
2.4.2 Tools	2.4.2 ツール
2.4.3 Available Information	2.4.3 利用可能な情報
2.5 Test	2.5 試験
2.5.1 Actors and responsibilities	2.5.1 アクターと責任
2.5.2 Tools	2.5.2 ツール
2.5.3 Available Information	2.5.3 利用可能な情報
2.6 PCB Design	2.6 PCB設計
2.6.1 Actors and responsibilities	2.6.1 アクターと責任
2.6.2 Tools	2.6.2 ツール
2.6.3 Available Information	2.6.3 利用可能な情報
2.7 Production and assembly of PCBs	2.7 PCBの製造と組み立て
2.7.1 Actors and responsibilities	2.7.1 アクターと責任
2.7.2 Tools	2.7.2 ツール
2.7.3 Available Information	2.7.3 利用可能な情報
2.8 Software/firmware development or use of existing ones	2.8 ソフトウェア／ファームウェアの開発または既存のものの使用
2.8.1 Actors and responsibilities	2.8.1 アクターと責任
2.8.2 Tools	2.8.2 ツール
2.8.3 Available Information	2.8.3 利用可能な情報
2.9 Summary	2.9 まとめ
3 WP3: Identification of potential vulnerabilities and attack scenarios including a detailed elaboration of selected attack scenarios	3 WP3: 選択された攻撃シナリオの詳細な説明を含む、潜在的脆弱性と攻撃シナリオの特定
3.1 Introduction	3.1 序文
3.1.1 Motivating Example	3.1.1 動機となる例
3.1.2 Structure of this chapter	3.1.2 本章の構成
3.2 Supply Chain Attack Literature Review	3.2 サプライチェーン攻撃に関する文献レビュー
3.2.1 Attack scenarios selected from the MITRE report	3.2.1 MITRE レポートから選択した攻撃シナリオ
3.3 Evaluation of Attack Scenarios	3.3 攻撃シナリオの評価
3.3.1 Determining the Attack Probability	3.3.1 攻撃確率の決定
3.4 Attack costs	3.4 攻撃コスト
4 WP4: Prevention and detection options, risk assessment and recommendations	4 WP4: 防止と検知のオプション、リスクアセスメントと提言
4.1 Hardware Trojan Detection	4.1 ハードウェア・トロイの木馬検知
4.1.1 Trojan detection power analysis	4.1.1 トロイの木馬検知能力の分析
4.1.2 Timing-based analysis	4.1.2 タイミングベースの分析
4.1.3 Trojan activation	4.1.3 トロイの木馬の起動
4.1.4 Runtime monitoring	4.1.4 ランタイムの監視
4.2 Prevention	4.2 予防
4.2.1 Split manufacturing	4.2.1 分割製造
4.3 Hardware Trojan Defense: A resume	4.3 ハードウェア・トロイの木馬防御：レジュメ
4.4 Implanting a Hardware Trojan into a cryptographic design	4.4 暗号設計へのハードウェア・トロイの木馬の埋め込み
4.4.1 Trojan implementation: Performed Controller modifications	4.4.1 トロイの木馬の実装：コントローラ改造の実施
4.4.2 Designs ported to FPGA Spartan-7 .	4.4.2 FPGA Spartan-7 に移植したデザイン
4.4.3 Investigation of the influence of the implanted Trojan on the design resistance to SCA	4.4.3 SCAに対するトロイの木馬の影響調査
4.5 PCB-Experiments	4.5 PCB 実験
4.5.1 Experiments with Coil 1: Hiding chips in the compound .	4.5.1 コイル 1 の実験：コンパウンドにチップを隠す .
4.5.2 Experiments with Coil 2: Hiding chips under the housing .	4.5.2 コイル2の実験：筐体の下にチップを隠す .
4.5.3 Cost Issues	4.5.3 コスト問題
5 Conclusion .	5 結論
Bibliography	参考文献
List of abbreviations	略語リスト
Appendix 1: Examples of selecting IP Cores (IHP experience)	附属書1：IPコアの選定例（IHPの経験）
Appendix 2: Examples of pins and pads .	附属書2：ピンとパッドの例 .
Appendix 3: Overview of MITRE hardware attack scenarios .	附属書3：MITREのハードウェア攻撃シナリオの概要 .
Appendix 4: Interview with IHP designers .	附属書4：IHP設計者へのインタビュー .
Appendix 5: Interview with IHP PCB experts .	附属書5：IHP PCBエキスパートへのインタビュー .
Appendix 6: Attack scenario evaluations .	附属書6：攻撃シナリオの評価 .
Appendix 7: Implemented Trojan code	附属書7：実装されたトロイの木馬コード.
Appendix 8: PCB experiment Additional details	附属書8：PCB 実験追加詳細.

序文...

1 Introduction	1 序文
Today, the development and implementation of complex IT systems is very often no longer carried out by a single manufacturer, who performs and controls all development and production steps completely himself. This division of labour has clear advantages such as shorter “time-to-market” and reduced costs. It also has the advantage that the necessary competences and tools/machines are focused on core areas. However, the clear disadvantage is that there are risks associated with the division of labour in terms of product quality (reliability/safety). This also holds true for all aspects of security, leading to the loss of confidentiality, privacy etc. Changes in the product can be made at almost all stages of development and production. The aim of this study is to analyse the potential risk in all the development steps from the initial design down to the final product.	今日、複雑なITシステムの開発・実装は、もはや製造事業者1社で行われることは少なくなりつつある。このようなディビジョンには、「市場投入までの時間」の短縮やコストの削減といった明確な利点がある。また、必要なコンピテンシーやツール／マシンをコア領域に集中させることができるという利点もある。しかし、明確なデメリットは、製品の品質（信頼性／安全性）の面で、分業に伴うリスクが存在することである。これはセキュリティのあらゆる面にも当てはまり、機密性やプライバシーなどの喪失につながる。製品の変更は、開発・生産のほぼすべての段階で行われる可能性がある。この研究の目的は、初期設計から最終製品に至るまでのすべての開発段階における潜在的リスクを分析することである。
In 2018 Bloomberg published an article that discussed potential manipulations of Supermicro motherboards that were “extended” by an additional Integrated Circuit (IC) during manufacturing [1]. Supermicro customers are amongst others companies like Amazon and Apple who use the mainboards e.g. in their cloud servers. According to Bloomberg the alleged manipulations were discovered during routine reviews during an acquisition of Elemental by Amazon (AWS) as well as by Apple in their data centres. The involved companies denied the reports. Bloomberg on the other hand insisted on the factual correctness of their reporting. They state that “investigators determined that the chips allowed the attackers to create a stealth doorway into any network that included the altered machines” and cite several independent anonymous sources from within the allegedly involved companies as well as from the U.S. government [1]. In addition, Bloomberg published another article in 2021, where a manipulation of software i.e. of the Basic Input/Output System (BIOS) of Supermicro motherboards was mentioned [2].	2018年、ブルームバーグは、製造中に追加集積回路（IC）によって「拡張」されたSupermicroマザーボードの潜在的な操作について論じた記事を掲載した[1]。Supermicroの顧客には、クラウドサーバーなどでメインボードを使用しているアマゾンやアップルなどの企業が名を連ねている。Bloombergによると、この不正操作の疑惑は、アマゾン（AWS）によるエレメンタルの買収時、およびアップルによるデータセンターでの定期的なレビュー時に発見されたという。関係各社はこの報道を否定している。一方、ブルームバーグは報道の事実の正しさを主張した。彼らは、「ガバナンスは、攻撃者が変更されたマシンを含む任意のネットワークへのステルス入り口を作成することができたチップを決定した」と述べ、米国政府だけでなく、関与したとされる企業内の複数の独立した匿名の情報源を引用している[1]。さらにBloombergは2021年に別の記事を発表しており、そこではSupermicroのマザーボードのBIOS（Basic Input/Output System：基本入出力システム）のソフトウェア操作が言及されている[2]。
Whether the reported attacks really happened or not is still an open discussion. Supermicro claims that such attacks did not happen and that they were not informed by any governmental agency. On the other hand, Bloomberg insists on the reports.	報告された攻撃が本当に起こったかどうかは、まだ未解決の議論である。Supermicro社は、そのような攻撃は起きておらず、政府機関からも知らされていないと主張している。一方、Bloombergは報道を主張している。
Even though it is not clear whether this attack really happened as described by Bloomberg, their reports clearly indicates that Information technology (IT) products compiled by many companies scattered all over the world are to a certain extent vulnerable to malicious manipulations run by one of these different suppliers.	この攻撃が本当にブルームバーグの言うとおりに起こったかどうかは定かでないにせよ、彼らの報道は、世界中に散らばる多くの企業がまとめた情報技術（IT）製品は、これらの異なるサプライヤーのいずれかによって実行される悪意ある操作に対してある程度脆弱であることを明確に示している。
Since there is little to no information available about the functionality of the aforementioned additional ICs and the changes in the BIOS, there is also no information about the goals of the attack and the attacker. In principle an attacker can pursue the following goals with hardware-related attacks:	前述の追加ICの機能やBIOSの変更に関する情報はほとんどないため、攻撃の目的や攻撃者に関する情報もない。原則として、攻撃者はハードウェア関連の攻撃で以下の目標を追求することができる：
• Damage to the reputation of a supplier by deliberately manufacturing low-quality Application-Specific Integrated Circuits (ASICs), this attack then targets a specific victim.	・低品質の特定用途向け集積回路（ASIC）を意図的に製造することで、製造事業者の評判を落とす。
• Espionage to obtain know-how, company secrets and/or secret information such as cryptographic keys. This can be achieved, among other things, through the use of backdoors. Such attacks can target both the manufacturer and its customers, and can have a “broad” effect.	・ノウハウ、企業秘密、暗号鍵などの秘密情報を入手するためのスパイ行為。これは、特にバックドアの使用によって達成される。このような攻撃は、製造事業者とその顧客の両方を標的にすることができ、「広範な」影響を及ぼす可能性がある。
• “Kill switch”: Here, the attacker tries to manipulate the system in such a way that he can switch off its functionality. This attack also targets many rather than one specific victim, at least in preparation. If the “kill switch” is activated, this may be done very selectively.	・キルスイッチ」: この攻撃では、攻撃者はシステムの機能を停止させるようにシステムを操作しようとする。この攻撃も、少なくとも準備段階では、特定の被害者一人ではなく、多数の被害者をターゲットにする。もし「キル・スイッチ」が作動すれば、これは非常に選択的に行われる可能性がある。
We focus on these attack scenarios, since they are widely discussed in the literature^[1],[2]. Of course each scenario comes with certain risks for the attacker as well, e.g. damaging the reputation of a supplier by deliberately manufacturing low-quality ASICs^[3] must be carried out respectively concealed in such a way that the reputation damage does not spread to the attacker, or that such reputation damage is willingly taken into account.	これらの攻撃シナリオは文献[1]、[2]で広く議論されているため、ここではこれらの攻撃シナリオに焦点を当てる。例えば、意図的に低品質の ASIC[3]を製造することでサプライヤの評判を落とすような場合、その評判へのダメージが攻撃者に波及しないように、あるいはそのような評判へのダメージが進んで考慮されるように、それぞれを隠蔽して実行しなければならない。
The type of attack and its complexity depend greatly on the target of the attacker. The possible points of attack in the value chain are discussed in this report. The analyses in this report are based on the assumption that the “system developer” i.e. the company that aims at implementing a certain functionality and that starts the development process has no malicious insiders. This is due to the fact that in the core of the design process all essential information are available. We are aware of the fact that also a team member of the “system development entity” might be malicious. But since the focus of this study is on the threats that arise from a global supply chain, we assume in this document that the “system development entity” is benign. A reflection of malicious insiders in the “system development entity” will be given in the conclusion to ensure that this threat is not overlooked.	攻撃の種類とその複雑さは、攻撃者のターゲットに大きく依存する。本レポートでは、バリュー・チェーンにおける攻撃の可能性について論じる。本レポートの分析は、「システム開発者」、すなわちある機能の実装を目的とし、開発プロセスを開始する企業には、悪意のある内部関係者がいないという前提に基づいている。これは、設計プロセスの中核において、すべての重要な情報が利用可能であるという事実によるものである。我々は、「システム開発事業体」のチームメンバーも悪意を持っている可能性があるという事実を認識している。しかし、この研究の焦点はグローバルなサプライチェーンから生じる脅威であるため、この文書では「システム開発事業体」は良性であると仮定する。システム開発事業体」における悪意のある内部者についての考察は、この脅威が見落とされないように、結論において行う。
The focus of the work packages is on development steps not executed by “system development entity”. So, mainly the “interfaces” between the manufacturing steps are considered potentially dangerous as information exchanged is the basis for a potential attacker to mount his attack. The external subcontractors are considered no trustworthy i.e. there may be malicious insiders or the whole company may be malicious.	作業パッケージの焦点は、「システム開発主体」が実行しない開発ステップにある。そのため、主に製造事業者間の「インターフェイス」は、潜在的な攻撃者が攻撃を仕掛けるための基礎となる情報交換が行われるため、潜在的に危険であると考えられる。外部の下請け業者は信用できないと考えられる。つまり、悪意のある内部関係者がいるかもしれないし、会社全体が悪意を持っているかもしれない。
This report is structured corresponding to the work packages (WP) of the project PANDA, i.e. each chapter of this reports represents the results of one of the following work packages:	本報告書は、PANDAプロジェクトの作業パッケージ（WP）に対応した構成となっている。つまり、本報告書の各章は、以下の作業パッケージの1つの結果を表している：
• WP2: Design and Manufacturing steps from the initial idea to the final product	・WP2：最初のアイデアから最終製品までの設計・製造ステップ
• WP3: Identification of potential vulnerabilities and attack scenarios including a detailed elaboration of selected attack scenarios	・WP3：潜在的脆弱性と攻撃シナリオの特定（選択した攻撃シナリオの詳細な推敲を含む
• WP4: Prevention and detection options, risk assessment and recommendations	・WP4 : 防止と検知のオプション、リスクアセスメントと提言
We present conclusions and recommendations in Chapter 5.	第5章では、結論と提言を示す。
This document includes in addition 8 appendixes which present details e.g. on the experiments and expert interviews etc.	本書には、実験や専門家へのインタビューなどの詳細を示す 8 つの附属書が追加されている。

[1] Cf. e.g. https://www.tandfonline.com/doi/full/10.1080/15228053.2020.1824878

[2] Cf. e.g. https://www.amida.com/enabling -hardware -trojan -detection -and -prevention -through -emulation/

[3] Cf. e.g. https://doi.org/10.1007/978 -3 -319 -68511 -3_3

----

[1] Robertson, Jordan. Riley, Michael. 2018. The Big Hack: How China Used a Tiny Chip to Infiltrate U.S.

Companies. In Bloomberg Businessweek, Feature. https://www.bloomberg.com/news/features/2018-1004/the-big-hack-how-china-used-a-tiny-chip-to-infiltrate-america-s-top-companies#xj4y7vzkg

[2] Robertson, Jordan. Riley, Michael. 2021. Supermicro Hack: How China Exploited a U.S. Tech Supplier Over Years. Bloomberg, https://www.bloomberg.com/features/2021supermicro/?leadSource=uverify%20wall.

結論...

5 Conclusion	5 結論
In this project we analysed the different steps in the development of a complex IT system covering all steps from the initial idea via design and manufacturing of an ASIC to the design and production of the PCB with respect to the probability of a successful attack. This probability depends on the knowledge and capabilities of a certain attacker and the effort such an attacker has. In order to determine this information, we gathered data from a thorough literature review, expert interviews and own experiments.	このプロジェクトでは、複雑な IT システムの開発における様々なステップを分析した。最初のアイデアから、ASIC の設計と製造、PCB の設計と製造に至るすべてのステップを、攻撃が成功する確率に関して分析した。この確率は、ある攻撃者の知識と能力、そしてそのような攻撃者が持つ努力に依存する。この情報を決定するために、徹底的な文献調査、専門家へのインタビュー、独自の実験からデータを収集した。
The result is that in each of the development stages successful attacks are possible. In which of the stages an attacker targets the design under development highly depends on the intentions of the attacker. The more targeted the attack shall be the higher is the probability that a later stage will be attacked. In these stages a potential victim can be defined more exactly. If an attacker is willing to spend some effort in order to “reach” many victims without a clear picture who they are, earlier development stages are more likely to be attacked.	その結果、各開発段階において成功する攻撃が可能であることがわかった。攻撃者がどの段階で開発中の設計を狙うかは、攻撃者の意図に大きく依存する。攻撃対象が多ければ多いほど、後の段階が攻撃される確率は高くなる。これらの段階では、潜在的な犠牲者をより正確に定義することができる。攻撃者が、被害者が誰なのかはっきりしないまま、多くの被害者に「接触」するために労力を費やすことを厭わないのであれば、より早い発展段階が攻撃される可能性が高くなる。
The analysis of the literature as well as the expert interviews clearly showed that:	専門家へのインタビューだけでなく、文献の分析からも、以下のことが明らかになった：
• Means to detect hardware Trojans are not easy to apply, as they require normally a “golden” device or at least a “golden” simulation which usually are not available except in scientific settings. The fact that it is normally unclear how to activate the Trojan makes its detection even harder. So, relying on hardware Trojan detection alone seems not to be sufficient. Nevertheless, for selected cases with a limited scope (e.g. trust anchor chips), Trojan detection methods can give at least a hint about potential manipulations. Therefore, it is important to invest in and have advanced chip analysis and detection capabilities available.	・ハードウェアのトロイの木馬を検知する手段は、通常「ゴールデン」デバイスまたは少なくとも「ゴールデン」シミュレーションを必要とするため、適用するのは容易ではない。トロイの木馬を起動させる方法が不明確であることが、トロイの木馬の検知をさらに難しくしている。そのため、ハードウェアのトロイの木馬検知に頼るだけでは十分ではないようだ。とはいえ、限定された範囲（例えばトラスト・アンカー・チップ）の場合、トロイの木馬検出方法は、少なくとも潜在的な操作についてのヒントを与えることができる。したがって、高度なチップ分析・検知能力に投資し、利用できるようにすることが重要である。
• Means to prevent hardware Trojans are limited. On the one hand such means are not easy to apply and will lead to significant overhead in terms of area and power consumption. On the other hand they cannot be applied to the whole design so an attack may still be capable to integrate a hardware Trojan in the non-protected parts.	・ハードウェアのトロイの木馬を防ぐ手段は限られている。一方では、そのような手段を適用するのは容易ではなく、面積や消費電力の面で大きなオーバーヘッドをもたらす。一方では、設計全体に適用することができないため、保護されていない部分にハードウェア・トロイの木馬を組み込む攻撃も可能である。
• The most promising approach is split manufacturing as it limits the information available to a manufacturer about a certain design significantly. But the process of organising an appropriate manufacturing process including finding compatible manufacturers that are willing to support such a process is very complex.	・最も有望なアプローチは、製造事業者が特定の設計について入手できる情報を大幅に制限できる分割製造である。しかし、そのようなプロセスをサポートしてくれる互換性のある製造事業者を見つけることを含め、適切な製造プロセスを組織するプロセスは非常に複雑である。
Our experiments showed that a hardware Trojan can be integrated with rather limited effort and confirmed that such a Trojan can hardly be detected. The additional area and energy consumption are negligible. Also the integration of an additional IC in a complex motherboard was researched. The effort to accomplish this is rather negligible. Also in this case, the experiments showed that detecting the implemented chip is extremely difficult. Even x-raying the PCB does not guarantee to detect such a manipulation.	我々の実験は、ハードウェアのトロイの木馬が、むしろ限られた労力で統合できることを示し、そのようなトロイの木馬はほとんど検知できないことを確認した。追加の面積とエネルギー消費はごくわずかである。また、複雑なマザーボードに追加ICを組み込むことも研究された。このための労力はごくわずかである。この場合も、実装されたチップを検出するのは極めて困難であることが実験で示された。PCBをX線検査しても、このような操作を検出できる保証はない。
So, the main take home messages are:	つまり、主な留意点は以下の通りである：
• Attacks such as the manipulation of a motherboard as described by Bloomberg in 2018 [1] are feasible and most probably will go undetected. However, whether Bloomberg’s claim is correct or not remains open.	・2018年にブルームバーグが説明したようなマザーボードの操作のような攻撃は実現可能であり、おそらく発見されないだろう。ただし、ブルームバーグの主張が正しいかどうかは未解決である。
• The insertion of hardware Trojans is also feasible and it is very difficult to detect such a manipulation. It is especially difficult if the manipulation is integrated in an open hardware core, or if the design house is malicious. This means that purchasing equipment from a manufacturer that is not considered fully trustworthy always comes with a certain risk, as it will never be 100% assured that there is no malicious manipulation present.	・ハードウェアのトロイの木馬を挿入することも可能であり、そのような操作を検知するのは非常に困難である。オープンなハードウェア・コアに組み込まれている場合や、設計会社が悪意を持っている場合は特に難しい。つまり、完全に信頼できるとは言えない製造事業者から機器を購入することは、常に一定のリスクを伴うということである。
• To limit scope and make this analysis feasible in terms of effort, we excluded insider attacks in our analysis. Yet, they need to be considered carefully. Bribing or blackmailing employees of a design house is a cost efficient way to get the expertise, knowledge and access to a certain design to mount a stealth attack.	・分析範囲を限定し、労力的に実現可能な分析にするため、インサイダー攻撃は分析から除外した。しかし、これらは慎重に検討する必要がある。デザイン・ハウスの従業員に賄賂を贈ったり、脅迫したりすることは、ステルス攻撃を仕掛けるための専門知識、知識、特定のデザインへのアクセス権を得るためのコスト効率の良い方法である。
Based on the results of this project our main recommendations from a business administration point of view are:	このプロジェクトの結果に基づき、経営管理の観点から私たちが推奨する主な方法は以下の通りである：
• Trustworthy personnel: Invest in personnel to set-up a trust relationship and avoid that employees are turned into malicious agents of an opponent.	・信頼できる人材を確保する: 信頼関係を構築し、従業員が敵の悪意あるエージェントと化すことを避けるために、人材に投資する。
• Trustworthy IT infrastructure: In case a corporate network gets hacked, an external attacker has the same means to manipulate designs. State of the art IDS, appropriate site-audits etc. are a must, and must in particular take this attack vector into consideration.	・信頼できるITインフラ: 企業ネットワークがハッキングされた場合、外部の攻撃者は同じ手段で設計を操作することができる。最新のIDS、適切なサイト監査などが必須であり、特にこの攻撃ベクトルを考慮しなければならない。
• Trustworthy suppliers: Trusted relationships with suppliers, ideally along the complete supply chain, are the best means to avoid stealthy manipulations.	・信頼できるサプライヤー: サプライヤーとの信頼関係、理想的には完全なサプライチェーンに沿った信頼関係が、ステルス的な操作を回避する最善の手段である。
• Use Reliable suppliers - even if it means higher cost - instead of subcontracting new partners every now and then.	・時々新しいパートナーと下請け契約を結ぶのではなく、たとえコストが高くなったとしても、信頼できるサプライヤーを利用すること。
But the results of this project are also of importance from a national economical point of view. The fact that attacks may be successful in different development steps means that:	しかし、このプロジェクトの結果は、国家経済の観点からも重要である。さまざまな開発ステップで攻撃が成功する可能性があるということは、次のようなことを意味する：
• Own Production Facilities: Providing own production facilities does not necessarily prevent manipulation of products; nevertheless it reduces certain risks and political dependencies while increasing availability in case of a global supply shortage. Ensuring design capabilities along the complete supply chain is essential to detect and prevent manipulations, despite this is not sufficient.	・独自の生産設備: 自社生産施設:自社生産施設をプロバイダとして提供することは、必ずしも製品の不正操作を防ぐことにはならない。しかし、それにもかかわらず、一定のリスクと政治的依存を軽減し、同時に世界的な供給不足の場合の可用性を高めることになる。しかし、それだけでは十分ではなく、サプライチェーン全体における設計能力を確保することが、不正操作の検知と防止には不可欠である。
• Advanced Detection Capabilities: Detection of manipulations can only be done on an individual case-by-case scenario for high-value circuits, e.g. trust anchors. Invest in advanced detection capabilities in order to handle such cases, to deter attackers in the first place, and in order to increase the cost and effort required for an attacker as trivial manipulations do not go undetected.	・高度な検知能力: 操作の検知は、トラスト・アンカーなど高価値の回路については、個別のケース・バイ・ケースでしか行えない。このようなケースに対応し、攻撃者を抑止するため、また、些細な操作では検知されないため、攻撃者に必要なコストと労力を増加させるために、高度な検知能力に投資する。
• R&D in the field of detecting manipulations. Several approaches seem to be promising and may increase the abilities of a user to detect manipulations significantly.	・操作の検知分野における研究開発。いくつかのアプローチは有望であり、ユーザーの検知能力を大幅に向上させる可能性がある。
In any case the complete supply chain needs a thorough and individual assessment for all sensitive developments or products.	いずれにせよ、サプライチェーン全体において、すべての機密性の高い開発品や製品について、徹底的かつ個別的なアセスメントが必要である。

2024.06.17 06:44 in 情報セキュリティ / サイバーセキュリティ, in 脆弱性, in 法律 / 犯罪, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in IoT, in 安全保障 | Permalink | Comments (0)
Tweet

米国 White House ファクトシート：2024年イタリアのプーリアでのG7サミット

こんにちは、丸山満彦です。

イタリアで行われているG7も終了しましたが、会合の米国としてのまとめ？が6月14日のホワイトハウスのウェブページに掲載されていますね...

ポイントは次のような感じ...

ヨーロッパの目先の脅威、課題であるウクライナ問題で始まり、平和（安全保障）、経済的安全保障（Economic Security）、途上国の巻き込み、気候変動、病気・食糧、女性、移民、人工知能という感じですね...

Supporting Ukraine’s Fight for Freedom	ウクライナの自由への戦いを支援する
Unlocking $50 billion for Ukraine:	ウクライナに500億ドルを提供する：
Driving Up Costs for the Russian War Machine:	ロシアの戦争コストを押し上げる：
Supporting Ukraine Now and in the Future:	現在と将来のウクライナを支援する：
Advancing International Peace, Security, and Prosperity	国際平和、安全保障、繁栄の促進
Calling for a Comprehensive Deal in Gaza:	ガザにおける包括的合意を求める：
Standing with Allies and Partners in the Indo-Pacific:	インド太平洋における同盟国およびパートナーとの協力：
Deepening Cooperation with Partners in Africa:	アフリカのパートナーとの協力を深める：
Promoting Economic Resilience and Economic Security	経済的強靭性と経済的安全保障の促進
Working Together to Level the Playing Field and Protect Economic Security:	競争条件を公平にし、経済的安全を守るために協力する：
Building Partnerships to Promote Resilient Supply Chains and Reduce Critical Dependencies:	強靭なサプライチェーンを促進し、重要な依存を削減するためのパートナーシップを構築する：
Protecting Critical and Sensitive Technologies:	重要かつ機密性の高い技術を保護する：
Partnering with Developing Countries to Invest in their Future	発展途上国の未来に投資するために協力する
Breaking the Global Debt Impasse:	世界的な債務の行き詰まりを打破する：
Boosting the Financial Power of the International Financial Institutions:	国際金融機関の資金力を高める：
Delivering on the Partnership for Global Infrastructure and Investment (PGI):	世界インフラ投資パートナーシップ（PGI）の実現：
Accelerating the Clean Energy Transition to Address Climate Change	気候変動に対処するためのクリーン・エネルギー転換を加速する
Phasing Out Unabated Coal Power and Increasing Energy Storage:	止まらない石炭発電の廃止とエネルギー貯蔵の増加：
Building Clean and Resilient Supply Chains:	クリーンで強靭なサプライチェーンを構築する：
Promoting International Collaboration on Nuclear and Fusion Energy:	原子力および核融合エネルギーに関する国際協力の促進：
Promoting Health and Food Security	健康と食料安全保障の促進
Launching the Apulia Food Security Initiative:	プーリア食料安全保障イニシアティブの立ち上げ：
Transforming Global Health Security Financing:	世界的な医療安全保障のための資金調達を変革する：
Expanding Immunization Coverage:	予防接種範囲の拡大：
Addressing antimicrobial resistance (AMR):	抗菌薬耐性（AMR）への対応：
Investing in Childcare to Support Women’s Economic Participation	女性の経済参加を支援するための育児への投資
Enhancing Our Partnership on Migration	移民に関するパートナーシップの強化
Deepening Cooperation on Artificial Intelligence	人工知能に関する協力の深化
Bridging Technology Divides and Addressing AI’s Impact on Workers:	技術の隔たりを埋め、AIが労働者に与える影響に対処する：
Increasing Coordination to Promote AI Safety:	AIの安全性を促進するための協調を強化する：
Promoting Resilient Technology Supply Chains:	強靭な技術サプライチェーンの促進：

● U.S. The White House

・2024.06.14 FACT SHEET: The 2024 G7 Summit in Apulia, Italy

FACT SHEET: The 2024 G7 Summit in Apulia, Italy	ファクトシート：イタリアのプーリアでの2024年G7サミット
President Biden and G7 leaders stood united at the G7 Summit in Apulia, Italy, taking bold action to meet the tests of our time: supporting Ukraine’s fight for freedom and driving up the costs of Russia’s war, pushing back on unfair economic practices, tackling the climate crisis and food and health insecurity, harnessing critical technologies for the benefit of all, and working with partners around the world to support developing countries investing in their futures.	バイデン大統領とG7首脳は、イタリアのプーリア州で開催されたG7サミットで結束し、ウクライナの自由への戦いを支援し、ロシアの戦争コストを引き上げ、不公正な経済慣行を押し返し、気候危機と食糧・健康不安に取り組み、すべての人々の利益のために重要な技術を活用し、世界中のパートナーと協力して途上国の未来への投資を支援するという、現代の試練に立ち向かうための大胆な行動をとった。
Supporting Ukraine’s Fight for Freedom	ウクライナの自由への戦いを支援する
Joined by Ukrainian President Zelenskyy, G7 leaders reaffirmed their unwavering support for Ukraine for as long as it takes – sending an unmistakable signal to Putin that he will not outlast our resolve.	G7首脳は、ウクライナのゼレンスキー大統領とともに、ウクライナへの揺るぎない支援を必要な限り続けることを再確認した。
Unlocking $50 billion for Ukraine: G7 leaders announced a plan to provide Ukraine with $50 billion in new financing by bringing forward the interest earned on immobilized Russian sovereign assets held in the European Union and other jurisdictions. Leaders reaffirmed their commitment that Russia’s sovereign assets within G7 jurisdictions will remain immobilized until Russia ends its aggression and pays for the damage it has caused to Ukraine. This new financing will provide critically needed support for Ukraine’s military, budget, and reconstruction needs. The United States will work with Ukraine and G7 partners in the coming months to finalize the details of the financing arrangement and issue the loan by the end of the year.	ウクライナに500億ドルを提供する： G7首脳は、欧州連合（EU）やその他の管轄区域に保有されるロシアの固定化されたソブリン資産から得られる利息を前倒しすることにより、ウクライナに500億ドルの新たな資金を提供する計画を発表した。首脳は、ロシアが侵略をやめ、ウクライナに与えた損害の代償を支払うまで、G7の管轄区域内にあるロシアのソブリン資産は固定化されたままであるとのコミットメントを再確認した。この新たな資金調達は、ウクライナの軍事、予算、復興のニーズに対して、決定的に必要な支援を提供する。米国は今後数ヶ月間、ウクライナおよびG7のパートナーと協力し、融資の詳細を決定し、年内に融資を実行する予定である。
Driving Up Costs for the Russian War Machine: The Biden Administration this week issued a sweeping set of new sanctions and export control measures, guided by G7 commitments to intensify the pressure on Russia for its war against Ukraine. Foreign banks now face increased sanctions risk when they deal with Russia’s war economy. New sanctions on more than 300 individuals and entities in Russia, the People’s Republic of China (PRC), and globally target Russia’s financial infrastructure; over a dozen international evasion and procurement networks; Russia’s future energy, metals, and mining revenues; and Russian elites involved in the deportation or so-called re-education of Ukrainian children. The Administration also announced steps to restrict access to certain U.S. software and information technology services, to crack down on diversion of goods through shell companies, and to more extensively restrict exports to entities that supply Russia with U.S.-branded items produced overseas.	ロシアの戦争コストを押し上げる：バイデン政権は今週、対ウクライナ戦争に対するロシアへの圧力を強化するため、G7の公約に導かれる形で、新たな制裁措置と輸出規制措置を大々的に発表した。外国の銀行がロシアの戦争経済と取引する際には、制裁リスクが高まることになる。ロシア、中華人民共和国（PRC）、そして全世界の300以上の個人と団体に対する新たな制裁は、ロシアの金融インフラ、10以上の国際的な脱税・調達ネットワーク、ロシアの将来のエネルギー、金属、鉱業収入、ウクライナの子どもたちの国外追放やいわゆる再教育に関与するロシアのエリートたちを標的としている。また同政権は、特定の米国製ソフトウェアや情報技術サービスへのアクセスを制限し、ペーパーカンパニーを通じた商品の横流しを取り締まり、海外で生産された米国ブランドの商品をロシアに供給する企業への輸出をより広範囲に制限する措置も発表した。
Supporting Ukraine Now and in the Future. In Puglia, President Biden and President Zelensky signed the U.S.-Ukraine Bilateral Security Agreement as a demonstration of enduring U.S. support for Ukraine, including through binding commitments to deepen our security and defense cooperation and to consult in the event of a future armed attack .	現在と将来のウクライナを支援する：プーリアにおいて、バイデン大統領とゼレンスキー大統領は、米国とウクライナの二国間安全保障協定に署名した。これは、安全保障・防衛協力の深化や、将来の武力攻撃時の協議を含む、ウクライナに対する米国の永続的な支援を示すものである。
Advancing International Peace, Security, and Prosperity	国際平和、安全保障、繁栄の促進
The G7’s work is grounded in a shared commitment to respect the UN Charter, promote international peace and security, and uphold the free and open rules-based international order.	G7の活動は、国連憲章を尊重し、国際の平和と安全を促進し、自由で開かれたルールに基づく国際秩序を維持するという共通のコミットメントに基づいている。
Calling for a Comprehensive Deal in Gaza: The G7 was united in supporting the comprehensive deal outlined by President Biden that would lead to an immediate ceasefire in Gaza, the release of all hostages, a significant and sustained increase in the flow of humanitarian assistance throughout Gaza, and an enduring end to the crisis, with Israel’s security interests and safety for Palestinian civilians in Gaza assured.	ガザにおける包括的合意を求める： G7は、イスラエルの安全保障上の利益とガザのパレスチナ市民の安全を確保した上で、ガザにおける即時停戦、全人質の解放、ガザ全域における人道支援の大幅かつ持続的な増加、危機の永続的な終結につながるバイデン大統領が概説した包括的な取り決めを支持することで一致した。
Standing with Allies and Partners in the Indo-Pacific: President Biden discussed robust U.S. engagement in the Indo-Pacific to strengthen our alliances and partnerships, and welcomed the increasing connectivity between European and Indo-Pacific partners. He joined with other leaders in stressing the importance of peace and stability across the Taiwan Strait, and in raising concerns regarding the PRC’s dangerous actions in the South China Sea.	インド太平洋における同盟国およびパートナーとの協力：バイデン大統領は、同盟とパートナーシップを強化するため、インド太平洋地域における米国の強固な関与について述べ、欧州とインド太平洋地域のパートナー間の結びつきが強まっていることを歓迎した。また、他の首脳とともに、台湾海峡の平和と安定の重要性を強調し、南シナ海における中国の危険な行動について懸念を表明した。
Deepening Cooperation with Partners in Africa: The G7 is working together with African partners to contribute to global stability and prosperity, and have endorsed African countries’ call for greater voice in international bodies.	アフリカのパートナーとの協力を深める： G7は、世界の安定と繁栄に貢献するため、アフリカのパートナーと協力しており、アフリカ諸国が国際機関においてより大きな発言力を求めていることを支持した。
Promoting Economic Resilience and Economic Security	経済的強靭性と経済的安全保障の促進
President Biden rallied the G7 to take further steps to protect our workers, industries, and the investments we are making from begin undermined by the PRC’s unfair practices. The PRC’s policies are creating global spillovers, including harmful overcapacity, that undercut market firms and lead to supply chain dependencies in sectors such as solar, wind, electric vehicles, lithium-ion batteries, medical devices, mature-node semiconductors, steel, aluminum, and others.	バイデン大統領は、中国の不公正な慣行によって損なわれることのないよう、我々の労働者、産業、投資を保護するための更なる措置を講じるよう、G7に呼びかけた。中国の政策は、太陽光、風力、電気自動車、リチウムイオン電池、医療機器、成熟ノード半導体、鉄鋼、アルミニウムなどの分野において、市場企業を弱体化させ、サプライチェーン依存につながる有害な過剰生産能力を含む、グローバルな波及効果を生み出している。
Working Together to Level the Playing Field and Protect Economic Security: The G7 pledged to work together to confront non-market policies and practices and efforts to dominate strategic sectors. The G7 will undertake new monitoring and information-sharing efforts, update our respective toolkits to counter harmful practices, and coordinate efforts to deter and respond to economic coercion.	競争条件を公平にし、経済的安全を守るために協力する： G7は、非市場的な政策や慣行、戦略的セクターを支配しようとする努力に立ち向かうために協力することを約束した。 G7は、新たな監視と情報共有の努力を行い、有害な慣行に対抗するためのそれぞれのツールキットを更新し、経済的強制を抑止し、これに対応するための努力を調整する。
Building Partnerships to Promote Resilient Supply Chains and Reduce Critical Dependencies: The G7 will work with partners in developing countries and emerging markets to increase their participation in global supply chains while promoting high standards.	強靭なサプライチェーンを促進し、重要な依存を削減するためのパートナーシップを構築する： G7 は、開発途上国や新興市場のパートナーと協力し、高い基準を推進しつつ、グローバル・サプライ・チェーンへの参加を拡大する。
Protecting Critical and Sensitive Technologies: We are updating our respective tools to protect certain critical and sensitive technologies from being used to undermine international peace and security, while avoiding broader restrictions on international trade and investment. The G7 is also strengthening cooperation on research security, data security, and investment screening efforts, and coordinating to streamline the implementation of export controls.	重要かつ機密性の高い技術を保護する：我々は、国際貿易及び投資に対する広範な制限を回避しつつ、特定の重要かつ機微な技術が国際的な平和と安全を損なうために使用されることを防止するため、それぞれの手段を更新している。 G7はまた、研究セキュリティ、データ・セキュリティ、投資スクリーニングの取り組みに関する協力を強化し、輸出規制の実施を合理化するための調整を行っている。
Partnering with Developing Countries to Invest in their Future	発展途上国の未来に投資するために協力する
The G7 is taking ambitious steps to scale up support to developing countries and accelerate progress toward the Sustainable Development Goals.	G7は、途上国への支援を拡大し、持続可能な開発目標に向けた進捗を加速させるため、野心的な措置を講じている。
Breaking the Global Debt Impasse: Recognizing that mounting debt burdens are putting developing countries’ ability to make such critical investments out of reach, President Biden – alongside Kenyan President Ruto – championed and garnered G7 support for the Nairobi-Washington Vision that calls on the international community to step up support for developing countries to make critical investments and reforms. The G7 committed to work with the IMF, World Bank, and other stakeholders to bring this plan forward, with a view to realizing it for pilot countries this year.	世界的な債務の行き詰まりを打破する：バイデン大統領は、ケニアのルト大統領とともに、債務負担の増大が途上国の重要な投資を手の届かないものにしていることを認識し、重要な投資と改革を行う途上国への支援を強化するよう国際社会に求めるナイロビ・ワシントン・ビジョンを提唱し、G7の支持を集めた。 G7は、IMF、世界銀行、その他の利害関係者と協力し、今年中にパイロット国向けにこの計画を実現することを視野に入れ、この計画を前進させることを約束した。
Boosting the Financial Power of the International Financial Institutions: President Biden further championed efforts to deliver better, bigger, more effective multilateral development banks (MDBs). The G7 rallied together to announce planned contributions which, once approved domestically, would make it possible for the World Bank to boost lending by $70 billion over the next decade. This is on top of efforts from the United States and other MDB shareholders to unlock over $250 billion in new lending capacity at these institutions.	国際金融機関の資金力を高める：バイデン大統領はさらに、より良く、より大きく、より効果的な多国間開発銀行（MDBs）を実現するための努力を支持した。 G7が結集して拠出計画を発表し、それが国内で承認されれば、世界銀行は今後10年間で700億ドルの融資増額が可能になる。これは、米国と他のMDB株主による、MDBにおける2500億ドル以上の新規融資能力を引き出すための努力に加えてのことである。
Delivering on the Partnership for Global Infrastructure and Investment (PGI): President Biden and Italian Prime Minister Meloni co-hosted a PGI side event that included participation by BlackRock Chairman and CEO Larry Fink and Microsoft Chairman and CEO Satya Nadella. G7 leaders and private sector executives reaffirmed their commitment to unlocking public and private capital for investments in partner countries, demonstrated by BlackRock’s announcement that a group of investors plan to invest at least $4 billion in alignment with PGI priorities and Microsoft’s announcement of $5 billion in recent digital infrastructure investments in emerging markets. President Biden announced new projects and highlighted progress on PGI economic corridors, including the Lobito Corridor in Sub-Saharan Africa and the Luzon Corridor in the Philippines. The United States has mobilized more than $60 billion to date towards PGI.	世界インフラ投資パートナーシップ（PGI）の実現：バイデン大統領とメローニ伊首相は、ブラックロックのラリー・フィンク会長兼CEOとマイクロソフトのサティア・ナデラ会長兼CEOが参加するPGIサイドイベントを共催した。 G7首脳と民間企業幹部は、パートナー国への投資のために公的・民間資本を開放することへのコミットメントを再確認した。これは、ブラックロック社がPGIの優先事項に沿って少なくとも40億ドルの投資を計画していると発表したことや、マイクロソフト社が新興国市場における最近のデジタル・インフラ投資で50億ドルを拠出すると発表したことで実証された。バイデン大統領は新たなプロジェクトを発表し、サハラ以南のアフリカのロビト回廊やフィリピンのルソン回廊など、PGI経済回廊の進展を強調した。米国はこれまでに600億ドル以上をPGIに動員している。
Accelerating the Clean Energy Transition to Address Climate Change	気候変動に対処するためのクリーン・エネルギー転換を加速する
The G7 is accelerating its work to address the challenges of climate change, pollution, and biodiversity loss. G7 members reaffirmed ambitious COP28 commitments to triple renewable energy capacity, double global energy efficiency by 2030, and strengthen energy security.	G7は、気候変動、汚染、生物多様性の損失という課題に対処するための活動を加速させている。 G7メンバーは、2030年までに再生可能エネルギー容量を3倍にし、世界のエネルギー効率を2倍にし、エネルギー安全保障を強化するという野心的なCOP28の約束を再確認した。
Phasing Out Unabated Coal Power and Increasing Energy Storage: The G7 has committed for the first time to phase out unabated coal power generation in energy systems during the first half of the 2030s. The G7 has also further set a target to deploy 1,500 GW of long-duration energy storage by 2030, building on top of the COP28 pledge to triple globally installed renewable energy by 2030.	止まらない石炭発電の廃止とエネルギー貯蔵の増加： G7は、2030年代前半のエネルギーシステムにおいて、停止していない石炭発電を段階的に廃止することを初めて約束した。 G7はさらに、2030年までに再生可能エネルギーの導入量を世界全体で3倍にするというCOP28の公約に基づき、2030年までに150万kWの長期エネルギー貯蔵を導入するという目標を設定した。
Building Clean and Resilient Supply Chains: Working with Congress, President Biden announced that the United States intends to contribute $5 million to the Partnership for Resilient and Inclusive Supply-Chain Enhancement (RISE), launched by the G7 last year. RISE supports low- and middle-income countries to invest in their economies and strengthen their engagement throughout critical minerals supply chains, helping to drive the clean energy transition and promote resilient supply chains.	クリーンで強靭なサプライチェーンを構築する：バイデン大統領は議会と協力し、昨年G7が立ち上げた「レジリエントで包括的なサプライチェーン強化のためのパートナーシップ（RISE）」に米国が500万ドルを拠出する意向であることを発表した。 RISEは、低・中所得国が自国の経済に投資し、重要な鉱物のサプライチェーン全体への関与を強化することを支援し、クリーンエネルギーへの移行を促進し、弾力的なサプライチェーンを促進する。
Promoting International Collaboration on Nuclear and Fusion Energy: The G7 recognized nuclear energy as a clean/zero emissions energy source that can reduce dependence on fossil fuels to address the climate crisis and improve global energy security, and pledged to support multilateral efforts to strengthen the resilience of nuclear supply chains. Recognizing the potential for fusion energy to serve as a breakthrough energy solution, the G7 is establishing a Working Group on Fusion Energy to share best practices and promote cooperation on research and development.	原子力および核融合エネルギーに関する国際協力の促進： G7は、原子力を、気候危機に対処し、世界のエネルギー安全保障を向上させるために化石燃料への依存を減らすことができるクリーン／ゼロエミッションのエネルギー源として認識し、原子力サプライチェーンの強靭性を強化するための多国間努力を支援することを約束した。核融合エネルギーが画期的なエネルギー解決策となる可能性を認識し、G7は、ベストプラクティスを共有し、研究開発に関する協力を促進するため、核融合エネルギーに関する作業部会を設置する。
Promoting Health and Food Security	健康と食料安全保障の促進
The G7 continues to lead global efforts to address the food security crisis and support strong, resilient and responsive health systems around the world.	G7は、食料安全保障の危機に対処し、世界中の強く、弾力的で、対応力のある保健システムを支援するための世界的な取り組みを引き続き主導する。
Launching the Apulia Food Security Initiative: G7 leaders joined Italy in launching the Apulia Food Security Initiative to address structural barriers to food security and nutrition and build more resilient, sustainable, and productive agriculture and food systems. Aligned with the United States’ signature food security initiative, The Feed the Future Initiative, as well as the Vision for Adapted Crops and Soils, the G7 recommitted to investing in sustainable and resilient food systems and in healthy, fertile soil management and climate-adapted crop varieties.	プーリア食料安全保障イニシアティブの立ち上げ： G7 の指導者たちは、食料安全保障と栄養に対する構造的な障壁に取り組み、より強靭で持続可能、かつ生産的な農業と食料システムを構築するため、イタリアとともにプーリア食料安全保障イニシアティブを立ち上げた。米国の代表的な食料安全保障イニシアチブである「フィード・ザ・フューチャー・イニシアチブ」や「適応作物と土壌のためのビジョン」と連携し、G7は、持続可能で強靭な食料システム、健康的で肥沃な土壌管理と気候に適応した作物品種への投資を約束した。
Transforming Global Health Security Financing: President Biden and G7 leaders called for at least $2 billion in new pledges for the Pandemic Fund, and pledges equal to or greater than that for catalytic financing, which helps developing countries build pandemic prevention, preparedness, and response capacities. They additionally committed to achieve concrete progress to boost surge financing for medical countermeasure (MCM) to enable countries to quickly procure, produce, and deliver MCMs during future pandemics.	世界的な医療安全保障のための資金調達を変革する：バイデン大統領とG7首脳は、パンデミック基金への少なくとも20億ドルの新規拠出と、開発途上国のパンデミック予防、準備、対応能力の構築を支援する触媒的資金への同額以上の拠出を求めた。さらに、将来のパンデミック時に各国が迅速にMCMを調達、生産、提供できるよう、医療対策（MCM）のためのサージ資金を強化するための具体的な進展を約束した。
Expanding Immunization Coverage: President Biden and G7 leaders expressed support for a sustainable replenishment of Gavi, the Vaccine Alliance, this year, with the goal of significantly expanding immunization coverage globally. President Biden committed to making a robust and multi-year pledge to Gavi, the Vaccine Alliance, in support of this year’s replenishment and urged other G7 leaders to step up with ambitious pledges of their own.	予防接種範囲の拡大：バイデン大統領とG7首脳は、予防接種の普及率を世界的に大幅に拡大することを目標に、ワクチン同盟であるGaviの持続可能な補充を今年行うことへの支持を表明した。バイデン大統領は、今年の補充を支援するため、ワクチンアライアンスであるGaviに対し、強固で複数年にわたる誓約を行うことを約束し、他のG7首脳に対し、野心的な誓約を自ら行うよう促した。
Addressing antimicrobial resistance (AMR): G7 Leaders committed to take action to address the emergence, spread, and impact of AMR, including through ensuring a successful High-Level Meeting on AMR in September 2024 that galvanizes action on this critical health, economic, and security threat.	抗菌薬耐性（AMR）への対応： G7首脳は、2024年9月に開催されるAMRに関するハイレベル会合を成功させ、この重大な保健、経済、安全保障上の脅威に対する行動を喚起することを含め、AMRの出現、拡散、影響に対処するための行動をとることを約束した。
Investing in Childcare to Support Women’s Economic Participation	女性の経済参加を支援するための育児への投資
The G7 is tackling the unequal gender distribution of care work, which contributes to gender inequality. The G7 committed to support, by 2035, at least 200 million more women to join the workforce by investing in efforts to close the global gap in the availability of childcare – including through the World Bank Invest in Childcare Initiative announced by First Lady Dr. Jill Biden in 2022 to help promote women’s economic opportunity. G7 partners have contributed more than $100 million to the World Bank to support more high-quality investments in childcare globally.	G7は、ジェンダー不平等の一因となっている介護労働の不平等な男女分配に取り組んでいる。 G7は、2022年にジル・バイデン大統領夫人が発表した、女性の経済的機会を促進するための世界銀行による保育への投資イニシアティブを含め、保育の利用可能性における世界的格差を解消する取り組みに投資することにより、2035年までに少なくとも2億人以上の女性の労働参加を支援することを約束した。 G7のパートナーは、世界の保育へのより質の高い投資を支援するため、世界銀行に1億ドル以上を拠出している。
Enhancing Our Partnership on Migration	移民に関するパートナーシップの強化
Drawn from the principles of the Los Angeles Declaration on Migration and Protection that President Biden launched at the Summit of the Americas in 2022, the G7 affirmed a collective commitment to addressing migration in ways that reflect both the challenges and opportunities it presents. Leaders endorsed a three-pronged approach focused on addressing root causes of irregular migration, strengthening safe and regular migration pathways, and enhancing border management and enforcement and curbing transnational organized crime.	2022年の米州サミットでバイデン大統領が発表した「移住と保護に関するロサンゼルス宣言」の原則に基づき、G7は、移住がもたらす課題と機会の双方を反映する形で移住に取り組むという集団的なコミットメントを確認した。首脳は、非正規移民の根本原因への取り組み、安全で正規の移民経路の強化、国境管理と執行の強化、国際組織犯罪の抑制に焦点を当てた3つの側面からのアプローチを支持した。
Deepening Cooperation on Artificial Intelligence	人工知能に関する協力の深化
In line with the Biden Administration’s vision laid out in the October 2023 Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence, the G7 is building partnerships around the world to ensure the benefits of artificial intelligence and other technologies are widely shared while mitigating risks.	バイデン政権が2023年10月に発表した「人工知能の安全、安心かつ信頼できる開発と利用に関する大統領令」に示されたビジョンに沿って、G7は人工知能やその他の技術の恩恵を広く共有する一方で、リスクを軽減するためのパートナーシップを世界中で構築している。
Bridging Technology Divides and Addressing AI’s Impact on Workers: G7 leaders affirmed the importance of international partnerships to bridge the digital divide and ensure people everywhere access the benefits of AI and other technologies in order to make scientific advancements, promote sustainable development, improve public health, accelerate the clean energy transition, and more. G7 labor ministers will develop an action plan to leverage AI’s potential to increase quality jobs and empower workers while addressing its potential challenges and risks to workers and labor markets.	技術の隔たりを埋め、AIが労働者に与える影響に対処する： G7首脳は、科学の進歩、持続可能な開発の促進、公衆衛生の向上、クリーン・エネルギーへの転換の加速などを実現するため、デジタル・デバイドを解消し、あらゆる人々がAIやその他の技術の恩恵にアクセスできるようにするための国際的パートナーシップの重要性を確認した。G7労働大臣は、労働者と労働市場に対する潜在的な課題とリスクに対処しつつ、質の高い雇用を増やし、労働者に力を与えるAIの潜在力を活用するための行動計画を策定する。
Increasing Coordination to Promote AI Safety: G7 leaders committed to step up efforts to enhance interoperability between our respective approaches to AI governance and risk management. This includes deepening cooperation between the U.S. AI Safety Institute and similar bodies in other G7 countries to advance international standards for AI development and deployment.	AIの安全性を促進するための協調を強化する： G7首脳は、AIガバナンスとリスク管理に対するそれぞれのアプローチ間の相互運用性を高める努力を強化することを約束した。これには、米国のAI安全性研究所と他のG7諸国の同様の組織との協力を深め、AIの開発と展開に関する国際基準を推進することが含まれる。
Promoting Resilient Technology Supply Chains: The G7 welcomed the establishment of a Semiconductors G7 Point of Contact Group to bolster our coordination on issues impacting this critical sector underpinning the AI ecosystem.	強靭な技術サプライチェーンの促進： G7は、AIのエコシステムを支えるこの重要なセクターに影響を与える問題についての協調を強化するため、半導体G7コンタクト・ポイント・グループの設立を歓迎した。

ちなみに、日本の外務省のウェブページ

● 外務省

・2024 G7サミット

2024.06.17 05:36 in 個人情報保護 / プライバシー, in ESG/CSR, in 新エネルギー, in AI/Deep Learning, in (temp)COVID-19, in 安全保障 | Permalink | Comments (0)
Tweet

2024.06.16

カナダサイバーセキュリティセンター (CCCS) 中華人民共和国のサイバー脅威活動に対する認識と防御を促す（2024.06.03最終更新）

こんにちは、丸山満彦です。

カナダのサイバーセキュリティセンター(Canadian Centre for Cyber Security; CCCS) が、中華人民共和国 (People's Repabilic of CHina; PRC) によるサイバー脅威活動について、認識をもち、防御をしなさいよ...と警告しています...

● Canadian Centre for Cyber Security; CCCS

・2024.06.03 Cyber threat bulletin: Cyber Centre urges Canadians to be aware of and protect against PRC cyber threat activity

Cyber threat bulletin: Cyber Centre urges Canadians to be aware of and protect against PRC cyber threat activity	サイバー脅威速報：サイバーセンターはカナダ国民に対し、PRCのサイバー脅威活動に対する認識と防御を促す。
Introduction	はじめに
The Canadian Centre for Cyber Security (Cyber Centre) is warning that the People’s Republic of China (PRC) is increasingly targeting Canadians and Canadian organizations through the scale and scope of its cyber operations. This cyber bulletin aims to raise awareness among both individuals and organizations and urges all Canadians to be vigilant of this threat.	カナダ・サイバーセキュリティセンター（サイバーセンター）は、中華人民共和国（PRC）がそのサイバー活動の規模と範囲を通じて、カナダ人およびカナダの組織を標的とする傾向を強めていることを警告する。このサイバー速報は、個人と組織の両方の意識を高めることを目的とし、すべてのカナダ人にこの脅威に対する警戒を促すものである。
PRC cyber threat activity outpaces other nation state cyber threats in volume, sophistication and the breadth of targeting. The Cyber Centre has observed widespread targeting by the PRC and this activity poses a serious threat to Canadian entities across a range of sectors. The activity has targeted:	PRCのサイバー脅威活動は、その量、巧妙さ、標的の広さにおいて、他の国家によるサイバー脅威を凌駕している。サイバーセンターは、PRCによる広範な標的を観察しており、この活動は、さまざまな分野のカナダの事業体に深刻な脅威をもたらしている。その標的は以下の通りである：
・all levels of government	・すべての政府機関
・critical infrastructure	・重要インフラ
・industry, including the Canadian research and development sector	・カナダの研究開発部門を含む産業
It’s important to note that if the Cyber Centre is aware of cyber threat activity targeting an entity, we alert the target to that threat.	重要なことは、サイバーセンターがある企業をターゲットとしたサイバー脅威活動を認識した場合、そのターゲットにその脅威を警告することである。
“The threat from China [to Canadian organizations] is very likely the most significant by volume, capability, and assessed intent.”	（カナダの組織に対する）中国からの脅威は、量、能力、そして評価された意図において、最も重大である可能性が非常に高い。
National Cyber Threat Assessment 2023-2024	国家サイバー脅威評価 2023-2024
Cyberespionage	スパイ活動
PRC cyber threat actors often serve direct or indirect requirements of the PRC intelligence services. Their targets frequently reflect the national policy objectives of the PRC. These cyber threat actors routinely seek information that will provide an economic and diplomatic advantage in the PRC-Canada bilateral relationship, as well as information related to technologies prioritized in the PRC’s central planning.	中国のサイバー脅威勢力は、多くの場合、中国情報機関の直接的または間接的な要求に対応している。彼らの標的は、しばしば中国の国策目的を反映している。これらのサイバー脅威者は、中国とカナダの二国間関係において経済的・外交的な優位性をもたらす情報や、中国の中央計画において優先される技術に関連する情報を日常的に求めている。
Networks of Government of Canada agencies and departments have been compromised by PRC cyber threat actors multiple times over the past few years. All known compromises have been addressed. The Cyber Centre observes near constant reconnaissance activity by the PRC against Government of Canada systems. However, federal government networks are not the only networks that are used to store and communicate information that could provide valuable intelligence to the PRC. In particular, all levels of government in Canada should be aware of the espionage threat posed by PRC cyber threat actors.	カナダ政府機関や部局のネットワークは、過去数年間に何度もPRCのサイバー脅威行為者によって侵害されてきた。既知の侵害はすべて対処済みである。サイバー・センターは、カナダ政府のシステムに対するPRCの偵察活動をほぼ常時観測している。しかし、PRCに貴重な情報を提供する可能性のある情報の保存や通信に使用されているネットワークは、連邦政府のネットワークだけではない。特に、カナダのすべてのレベルの政府は、PRCのサイバー脅威者がもたらすスパイの脅威を認識すべきである。
PRC cyber threat actors also frequently aim to collect large datasets containing personal information, likely for the purposes of bulk data analysis and target profiling.	PRCのサイバー脅威関係者は、個人情報を含む大規模なデータセットの収集も頻繁に狙っており、その目的は、データの一括分析や標的のプロファイリングにあると思われる。
Example targets of concern	懸念対象の例
・Federal, provincial, territorial, municipal and Indigenous government entities;	・連邦政府、州政府、準州政府、地方自治体、先住民族政府機関；
・Any organization or individual in close partnership with government entities;	・政府機関と緊密な協力関係にある組織または個人；
・Universities, labs and science and technology companies engaged in research and development of technologies prioritized in PRC central planning; and	・中国の中央計画で優先された技術の研究開発に従事する大学、研究所、科学技術企業。
・Individuals or organizations that the PRC deems a threat – particularly those individuals advocating for Taiwan and Hong Kong independence and Chinese democracy.	・中華人民共和国が脅威とみなす個人または組織、特に台湾や香港の独立、中国の民主化を主張する個人。
Computer network attack	コンピュータ・ネットワーク攻撃
We echo the concerns made by U.S. partners about PRC cyber threat groups prepositioning network access for potential computer network attack against North American critical infrastructure in the event of conflict in the Indo-Pacific. Computer network attacks designed to damage, disrupt or destroy critical infrastructure networks and IT systems during heightened geopolitical tensions, military conflicts or both would cause societal panic and delay the deployment of the U.S. military.	我々は、中国のサイバー脅威グループが、インド太平洋で紛争が発生した場合、北米の重要インフラに対する潜在的なコンピューターネットワーク攻撃のために、ネットワークアクセスを準備していることについて、米国のパートナーから出された懸念を支持する。地政学的緊張の高まりや軍事衝突、あるいはその両方において、重要インフラ・ネットワークやITシステムに損害を与え、混乱させ、あるいは破壊することを目的としたコンピューター・ネットワーク攻撃は、社会的パニックを引き起こし、米軍の展開を遅らせるだろう。
Energy, telecommunications and transportation are the sectors of greatest concern. However, critical infrastructure owners and operators should be aware of the potential for computer network attacks against their organizations in the event of potential geopolitical tensions or military conflicts.	エネルギー、電気通信、輸送が最も懸念される分野である。しかし、重要インフラの所有者や運営者は、地政学的な緊張や軍事衝突の可能性がある場合、組織に対するコンピュータ・ネットワーク攻撃の可能性を認識しておく必要がある。
This is not just a concern for American owners and operators. The Cyber Centre assesses that the direct threat to Canada’s critical infrastructure from PRC state-sponsored actors is likely lower than that to U.S. infrastructure, but should U.S. infrastructure be disrupted, Canada would likely be affected as well due to interoperability and interdependence in the sectors of greatest concern.	これは米国の所有者やオペレーターだけの懸念ではない。サイバーセンターは、カナダの重要インフラに対するPRCの国家支援者による直接的な脅威は、米国のインフラに対するそれよりも低い可能性が高いが、米国のインフラが中断された場合、最も懸念される分野における相互運用性と相互依存性により、カナダも影響を受ける可能性が高いと評価している。
Concerning trends in PRC cyber threat activity	中国のサイバー脅威活動の動向について
It is difficult to generalize our technical concerns due to the scale and diversity of PRC cyber threat actors. That said, the following observations drawn from prior advisories and statements reflect some of our most serious concerns. These should be taken into consideration when defending against and mitigating PRC cyber threat activity:	中国のサイバー脅威行為者の規模と多様性のため、我々の技術的懸念を一般化することは困難である。とはいえ、過去の勧告や声明から導き出された以下の見解は、我々の最も深刻な懸念のいくつかを反映している。これらは、PRCのサイバー脅威活動に対する防御と軽減の際に考慮されるべきである：
・PRC cyber threat actors frequently co-opt compromised small office and home office (SOHO) routers to conduct cyber threat activity and avoid detection.	・中国のサイバー脅威者は、侵害された小規模オフィスやホームオフィス（SOHO）のルーターを共用してサイバー脅威活動を行い、検知を回避することが多い。
・PRC cyber threat actors frequently “live off the land” using the built-in network administration tools of a system rather than specialized malware to conduct malicious activity. This technique helps cyber threat actors blend into normal system traffic and avoid detection by network defenders. This activity demonstrates a degree of sophistication and agility and shows that PRC cyber threat actors are not limited to a particular technique.	・中国のサイバー脅威者は、悪意のある活動を行うために特殊なマルウェアを使用するのではなく、システムに内蔵されているネットワーク管理ツールを使用して「陸の上で生活する」ことがよくあります。この手法は、サイバー脅威行為者が通常のシステムトラフィックに紛れ込み、ネットワーク防御者による検知を回避するのに役立ちます。この活動は、高度で機敏であることを示し、中国のサイバー脅威者が特定の手法に限定されていないことを示しています。
・PRC cyber threat actors frequently attempt to compromise trusted service providers (such as telecommunications, managed service providers and cloud service providers) to access client information or networks.	・中国のサイバー脅威者は、信頼できるサービスプロバイダー（電気通信、マネージドサービスプロバイダー、クラウドサービスプロバイダーなど）を侵害し、顧客の情報やネットワークにアクセスしようとすることが多い。
・PRC cyber threat actors rapidly weaponize and proliferate exploits for newly revealed vulnerabilities. This suggests an ongoing risk of indiscriminate exploitation of vulnerable systems. It is therefore essential that system owners apply all critical security updates as quickly as possible.	・中国のサイバー脅威勢力は、新たに明らかになった脆弱性の悪用を迅速に武器化し、拡散させている。このことは、脆弱なシステムを無差別に悪用するリスクが継続的に存在することを示唆している。したがって、システム所有者は、重要なセキュリティ・アップデートを可能な限り迅速に適用することが不可欠である。
Mitigation guidance	緩和ガイダンス
The Cyber Centre encourages the Canadian cyber security community, especially provincial, territorial and municipal governments, to bolster their awareness of and protection against PRC state-sponsored cyber threats. We join our partners in the U.S. and the UK in recommending proactive network monitoring and mitigations.	サイバーセンターは、カナダのサイバーセキュリティ・コミュニティ、特に州政府、準州政府、市町村政府に対し、中国国家によるサイバー脅威に対する認識と防御を強化するよう奨励している。我々は、米国と英国のパートナーとともに、積極的なネットワーク監視と緩和策を推奨する。
The Cyber Centre urges provincial, territorial and municipal governments as well as critical infrastructure network defenders to adopt the following measures:	サイバーセンターは、州政府、準州政府、市町村政府、および重要インフラネットワーク防衛者に対し、以下の対策を講じるよう要請する：
・Be prepared to isolate critical infrastructure components and services from the Internet and corporate or internal networks, should they be considered attractive to a hostile threat actor to disrupt. When using industrial control systems or operational technology, conduct a test of manual controls to ensure that critical functions remain operable if the organization’s network is unavailable or untrusted.	・敵対的な脅威行為者にとって、重要なインフラストラクチャコンポーネントやサービスが、混乱させる魅力があると考えられる場合には、インターネットや企業内・内部ネットワークから分離する準備をする。産業用制御システムや運用技術を使用する場合は、手動制御のテストを実施し、組織のネットワークが利用できない場合や信頼されていない場合でも、重要な機能が動作可能であることを確認する。
・Increase organizational vigilance. Monitor your networks with a focus on the tactics, techniques and procedures (TTPs) reported by the Cyber Centre and its partners. Ensure that cyber security and IT personnel are focused on identifying and quickly assessing any unexpected or unusual network behaviour. Enable logging in order to better investigate issues or events.	・組織の警戒態勢を強化する。サイバーセンターとそのパートナーから報告された戦術、技術、手順（TTP）に重点を置いてネットワークを監視する。サイバーセキュリティ担当者とIT担当者が、予期しない、または異常なネットワーク動作を特定し、迅速に評価することに集中するようにする。問題やイベントをよりよく調査するために、ロギングを有効にする。
・Restrict intruders’ ability to move freely around your systems and networks. Pay particular attention to potentially vulnerable entry points (such as third-party systems with onward access to your core network). During an incident, disable remote access from third-party systems until you are sure they are clean. Consult the National Cyber Security Centre’s publications on preventing lateral movement and assessing supply chain security to learn more.	・侵入者がシステムやネットワークを自由に動き回れるように制限する。特に、潜在的に脆弱なエントリー・ポイント（コア・ネットワークへのオンワード・アクセスを持つサードパーティ・システムなど）に注意を払う。インシデント発生時には、サードパーティシステムからのリモートアクセスを、それらがクリーンであることを確認するまで無効にする。詳細については、横方向の移動の防止とサプライチェーンのセキュリティ評価に関するNational Cyber Security Centreの出版物を参照してください。
・Enhance your security posture. Patch your systems with a focus on the vulnerabilities outlined in the Cybersecurity and Infrastructure Security Agency’s advisory on PRC state-sponsored actors compromising and maintaining persistent access to U.S. critical Infrastructure and enable logging around backup. Deploy network and endpoint monitoring (such as anti-virus software), and implement multi-factor authentication where appropriate. Create and test offline backups.	・セキュリティ体制の強化米国の重要インフラへの持続的なアクセスを侵害し、維持している中国国家支援行為者に関するサイバーセキュリティおよびインフラセキュリティ庁の勧告に概説されている脆弱性に重点を置いてシステムにパッチを適用し、バックアップに関連するロギングを有効にする。ネットワークとエンドポイントの監視（アンチウイルス・ソフトウェアなど）を導入し、必要に応じて多要素認証を導入する。オフライン・バックアップを作成し、テストする。
・Have a cyber incident response plan, as well as continuity of operations and communications plans. Be prepared to use them.	・サイバーインシデント対応計画、事業継続計画、通信計画を立てる。それらを使用する準備をすること。
・Contact the Cyber Centre to inform us of suspicious or malicious cyber activity.	・疑わしい、または悪質なサイバー活動については、サイバーセンターまでご連絡ください。
Useful resources	有用なリソース
Refer to the following online resources for more information and useful advice and guidance.	より詳細な情報や有用なアドバイス、ガイダンスについては、以下のオンラインリソースを参照してください。
Reports and advisories	レポートと勧告
Canada’s threat assessments	カナダの脅威評価
・National Cyber Threat Assessment 2023-2024	・国家サイバー脅威評価 2023-2024
・Cyber Threats to the Democratic Process: 2023 update	・民主的プロセスに対するサイバー脅威2023年更新
・Cyber Threat Bulletin: The Cyber Threat to Operational Technology	・サイバー脅威速報運用技術に対するサイバー脅威
・Cyber Threat Bulletin: The Cyber Threat to Canada's Electricity Sector	・サイバー脅威速報カナダの電力セクターに対するサイバー脅威
Joint advisories and partner publications	共同勧告およびパートナーの出版物
・Joint guidance for executives and leaders of critical infrastructure organizations on protecting against PRC cyber activity	・重要インフラ組織の幹部およびリーダーを対象とした、中国のサイバー活動からの保護に関する共同ガイダンス
・UK calls out China state-affiliated actors for malicious cyber targeting of UK democratic institutions and parliamentarians	・英国、英国の民主的機関および国会議員を標的とした悪意あるサイバー行為について中国国家関連行為者を非難
・Joint cyber security advisory on PRC state-sponsored cyber threat	・中国国家によるサイバー脅威に関する共同サイバーセキュリティ勧告
・Joint advisory on PRC state-sponsored actors compromising and maintaining persistent access to U.S. critical infrastructure and joint guidance on identifying and mitigating living off the land	・米国の重要インフラを侵害し、持続的なアクセスを維持する中国国家支援行為者に関する共同勧告と、土地に依存しない生活の特定と軽減に関する共同ガイダンス
・Technical Approaches to Uncovering and Remediating Malicious Activity	・悪意のある活動の発見と修復のための技術的アプローチ
Advice and guidance	アドバイスとガイダンス
・Secure your accounts and devices with multi-factor authentication (ITSAP.30.030)	・多要素認証でアカウントとデバイスを保護する (ITSAP.30.030)
・Security considerations for your website (ITSM.60.005)	・ウェブサイトのセキュリティに関する考慮事項 (ITSM.60.005)
・Security considerations for industrial control systems (ITSAP.00.050)	・産業用制御システムのセキュリティに関する考慮事項 (ITSAP.00.050)
・Top 10 IT security actions to protect Internet connected networks and information (ITSM.10.089)	・インターネットに接続されたネットワークと情報を保護するためのITセキュリティ対策トップ10 (ITSM.10.089)
・Top 10 IT security action items: No. 2 patch operating systems and applications (ITSM.10.096)	・ITセキュリティ対策項目トップ10第2位 OSとアプリケーションにパッチを当てる（ITSM.10.096）
Planning	プランニング
・Fundamentals of Cyber Security for Canada's CI Community	・カナダのCIコミュニティのためのサイバーセキュリティの基礎

2024.06.16 00:00 in 情報セキュリティ / サイバーセキュリティ, in 安全保障 | Permalink | Comments (0)
Tweet

2024.06.15

オーストラリア信号局サイバーセキュリティ原則 (2024.06.13)

こんにちは、丸山満彦です。

オーストラリア信号局のがサイバーセキュリティ原則を公表しています。

枠組みは、NISTのサイバーセキュリティフレームワークV2.0と似ていますね...

ただし、

NISTのRespond とRecover が、Respondにまとまっている
NISTの成熟度が４段階にたいして、５段階（CMMCと同様）

です...

● Australia Singnals Directrate; ASD

・2024.06.13 The cyber security principles

The cyber security principles	サイバーセキュリティ原則
Purpose of the cyber security principles	サイバーセキュリティ原則の目的
The purpose of the cyber security principles is to provide strategic guidance on how an organisation can protect their information technology and operational technology systems, applications and data from cyber threats. These cyber security principles are grouped into five functions:	サイバーセキュリティの原則の目的は、組織が情報技術および運用技術のシステム、アプリケーション、データをサイバー脅威から保護する方法について戦略的指針を示すことである。これらのサイバーセキュリティ原則は、5つの機能に分類されている：
GOVERN: Develop a strong cyber security culture.	統治：強固なサイバーセキュリティ文化を醸成する。
IDENTIFY: Identify assets and associated security risks.	特定：資産と関連するセキュリティリスクを特定する。
PROTECT: Implement controls to manage security risks.	保護：セキュリティリスクをマネジメントするための対策を実施する。
DETECT: Detect and analyse cyber security events to identify cyber security incidents.	検知：サイバーセキュリティ事象を検知・分析し、サイバーセキュリティインシデントを特定する。
RESPOND: Respond to and recover from cyber security incidents.	対応：サイバーセキュリティインシデントに対応し、そこから回復する。
Govern principles	統治の原則
The govern principles are:	統治の原則は以下のとおりである：
GOVERN-1: A Chief Information Security Officer provides leadership and oversight of cyber security.	統治-1: 最高情報セキュリティ責任者がサイバーセキュリティの指導と監督を行う。
GOVERN-2: Security risk management activities for systems, applications and data are embedded into organisational risk management frameworks.	統治-2: システム、アプリケーション、データのセキュリティリスクマネジメント活動を、組織のリスクマネジメントフレームワークに組み込む。
GOVERN-3: Security risks for systems, applications and data are accepted before they are authorised for use and continuously throughout their operational life.	統治-3: システム、アプリケーション、データのセキュリティリスクは、その使用が承認される前に受け入れられ、運用期間を通じて継続的に受け入れられる。
Identify principles	識別の原則
The identify principles are:	識別の原則は以下のとおりである：
IDENTIFY-1: The business criticality of systems, applications and data is determined and documented.	識別-1：システム、アプリケーション、データのビジネス上の重要性を決定し、文書化する。
IDENTIFY-2: The confidentiality, integrity and availability requirements for systems, applications and data are determined and documented.	識別-2：システム、アプリケーション、データの機密性、完全性、可用性の要件を決定し、文書化する。
IDENTIFY-3: Security risks for systems, applications and data are identified and documented.	識別-3: システム、アプリケーション、データのセキュリティリスクを特定し、文書化する。
Protect principles	保護の原則
The protect principles are:	保護の原則は次のとおりである：
PROTECT-1: Systems and applications are designed, deployed, maintained and decommissioned according to their business criticality and their confidentiality, integrity and availability requirements.	保護-1：システムおよびアプリケーションは、そのビジネス上の重要性、および機密性、完全性、可用性の要件に従って、設計、導入、維持管理、および廃止される。
PROTECT-2: Systems and applications are delivered and supported by trusted suppliers.	保護-2：システムとアプリケーションは、信頼できるサプライヤによって提供され、サポートされる。
PROTECT-3: Systems and applications are designed and configured to reduce their attack surface.	保護-3：システムおよびアプリケーションは、攻撃対象領域を減らすように設計および構成される。
PROTECT-4: Systems, applications and data are administered in a secure and accountable manner.	保護-4：システム、アプリケーション、およびデータは、安全かつ説明責任を果たす方法で管理される。
PROTECT-5: Vulnerabilities in systems and applications are identified and mitigated in a timely manner.	保護-5: システムとアプリケーションの脆弱性を適時に特定し、緩和する。
PROTECT-6: Only trusted and supported operating systems, applications and code can execute on systems.	保護-6：信頼されサポートされているオペレーティングシステム、アプリケーション、コードのみがシステム上で実行できる。
PROTECT-7: Data is encrypted at rest and in transit between different systems.	保護-7：データは静止時および異なるシステム間の移動時に暗号化される。
PROTECT-8: Data communicated between different systems is controlled and inspectable.	保護-8: 異なるシステム間で通信されるデータは管理され、検査可能である。
PROTECT-9: Applications, settings and data are backed up in a secure and proven manner on a regular basis.	保護-9: アプリケーション、設定、データは安全で実績のある方法で定期的にバックアップされる。
PROTECT-10: Only trusted and vetted personnel are granted access to systems, applications and data.	保護-10: システム、アプリケーション、データへのアクセスは、信頼され吟味された要員のみに許可される。
PROTECT-11: Personnel are granted the minimum access to systems, applications and data required to undertake their duties.	保護-11: 要員には、職務を遂行するために必要な最小限のシステム、アプリケーション、およびデータへのアクセス権が付与される。
PROTECT-12: Robust and secure identity and access management is used to control access to systems, applications and data.	保護-12：システム、アプリケーション、データへのアクセスを管理するために、堅牢で安全な ID およびアクセス管理が使用される。
PROTECT-13: Personnel are provided with ongoing cyber security awareness training.	保護-13: 人員に継続的なサイバーセキュリティ意識向上トレーニングが提供される。
PROTECT-14: Physical access to systems, supporting infrastructure and facilities is restricted to authorised personnel.	保護-14：システム、サポートインフラ、設備への物理的なアクセスは、権限を付与された要員に制限される。
Detect principles	検知の原則
The detect principles are:	検知の原則は以下のとおりである：
DETECT-1: Event logs are collected and analysed in a timely manner to detect cyber security events.	検知-1: イベントログを適時に収集・分析し、サイバーセキュリティイベントを検知する。
DETECT-2: Cyber security events are analysed in a timely manner to identify cyber security incidents.	検知-2: サイバーセキュリティイベントを適時に分析し、サイバーセキュリティインシデントを特定する。
Respond principles	対応の原則
The respond principles are:	対応の原則は以下のとおりである：
RESPOND-1: Cyber security incidents are reported internally and externally to relevant bodies and stakeholders in a timely manner.	対応-1：サイバーセキュリティインシデントが内部及び外部の関係機関や利害関係者に適時に報告される。
RESPOND-2: Cyber security incidents are analysed, contained, eradicated and recovered from in a timely manner.	対応-2：サイバーセキュリティインシデントを適時に分析し、封じ込め、根絶し、復旧する。
RESPOND-3: Incident response, business continuity and disaster recovery plans support the recovery of normal business operations during and following cyber security incidents.	対応-3：インシデント対応、事業継続、災害復旧の各計画が、サイバーセキュリティインシデント発生中及び発生後の通常業務の復旧を支援する。
Maturity modelling	成熟度モデル
When implementing the cyber security principles, an organisation can use the following maturity model to assess the implementation of individual principles, individual functions or the cyber security principles as a whole. The five levels of the maturity model are:	サイバーセキュリティ原則を実施する際、組織は以下の成熟度モデルを用いて、個々の原則、個々の機能、またはサイバーセキュリティ原則全体の実施状況を評価することができる。成熟度モデルの 5 つのレベルは以下のとおりである：
Incomplete: The cyber security principles are partially implemented or not implemented.	不完全：サイバーセキュリティ原則が部分的に実施されているか、実施されていない。
Initial: The cyber security principles are implemented, but in a poor or ad hoc manner.	初期：サイバーセキュリティの原則は実施されているが、不十分または場当たり的である。
Developing: The cyber security principles are sufficiently implemented, but on a project-by-project basis.	発展途上：サイバーセキュリティの原則が十分に実施されているが、プロジェクトごとに実施されている。
Managing: The cyber security principles are established as standard business practices and robustly implemented throughout the organisation.	管理状態：サイバーセキュリティの原則が標準的なビジネスプラクティスとして確立され、組織全体で強固に実施されている。
Optimising: A deliberate focus on optimisation and continual improvement exists for the implementation of the cyber security principles throughout the organisation.	最適化状態：組織全体でサイバーセキュリティの原則を実施するために、最適化と継続的改善に意図的に注力している。

・[PDF]

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.02.26 英国オーストラリアオンラインの安全とセキュリティに関する協力についての覚書

・2023.11.24 オーストラリア内務省 2023-2030 オーストラリアサイバーセキュリティ戦略と実行計画 (2023.11.22)

・2023.05.21 オーストラリア情報保護室による「2023-2030年サイバーセキュリティ戦略ディスカッションペーパー」への意見提出

・2022.11.09 オーストラリア ACSC 年次サイバー脅威報告書（2021年7月から2022年6月）

・2022.07.31 オーストラリア子供向けサイバーセキュリティ (Cyber Security for Kids)

・2022.04.02 オーストラリア重要インフラ保護法2022 （サイバーセキュリティの強化等）

・2021.03.07 Australia 政府の情報セキュリティマニュアルは毎月更新されますね。。。

・2021.02.14 オーストラリア ACSC 2020年の医療セクターのサイバーセキュリティ脅威についてのスナップショット

・2021.01.11 オーストラリアサイバーセキュリティセンター (ACSC) がサプライチェーンに関連する「サイバーセキュリティ・リスク管理ガイダンス」と「サイバーセキュリティ・リスク特定ガイダンス」を公表していますね。。。

・2020.05.23 オーストラリア在宅業務時を実施している重要なインフラ企業がサイバー攻撃から身を守るのに役立つアドバイス

2024.06.15 00:00 in 情報セキュリティ / サイバーセキュリティ, in 内部統制 / リスクマネジメント | Permalink | Comments (0)
Tweet

Five eyes 進化する脅威への対応 - 重要インフラのセキュリティとレジリエンス

こんにちは、丸山満彦です。

クリティカル5（オーストラリア、カナダ、ニュージーランド、英国、米国）が、進化する脅威への対応 - 重要インフラのセキュリティとレジリエンスという文書を公表していますね...

ファイブ・アイズ各国がどのようにサイバー空間に関連する安全保障を考えているのかが分かりやすくまとまっているように思いました。

しかし、この報告書はオーストラリア以外（例えば、CCCS、NCSC-NZ、NCSC、CISA）では、見つけられていないです...探すところをまちがっているかな？

附属書で重要インフラ、基幹インフラの定義や比較ができて、なんとなくお国柄（産業構造など）がわかりますよね...

オーストラリア

● Cyber and Infrastructure Security Centre

・2024.06.11 Critical 5: Adapting to Evolving Threats - Critical Infrastructure Security and Resilience

Critical 5: Adapting to Evolving Threats - Critical Infrastructure Security and Resilience	クリティカル5：進化する脅威への対応 - 重要インフラのセキュリティとレジリエンス
The Critical 5 member nations (Australia, Canada, New Zealand, the United Kingdom, and the United States) have collectively provided a high-level overview of the meaning and importance of critical infrastructure and how Critical 5 nations are modernising their regulatory and non-regulatory approaches to address the evolving risks facing critical infrastructure.	クリティカル5加盟国（オーストラリア、カナダ、ニュージーランド、英国、米国）は、重要インフラの意味と重要性、そしてクリティカル5加盟国が重要インフラが直面する進化するリスクに対処するために、規制および非規制のアプローチをどのように近代化しているかについて、全体としてハイレベルな概要を提供した。
Mutual interests and interconnections among the Critical 5 member nations lay the foundation for ongoing collaboration to ensure a collective approach to enhancing the resilience of critical infrastructure through shared knowledge, experience and expertise. The 2024 Critical 5 Shared Narrative delves into the definition of critical infrastructure, each member nations’ key sectors and policy approaches, as well as engagement and support strategies.	クリティカル5加盟国間の相互利益と相互関係は、知識、経験、専門知識の共有を通じて、重要インフラのレジリエンスを強化するための集団的アプローチを確保するための継続的協力の基礎を築くものである。2024年クリティカル5共有ナラティブ」は、重要インフラの定義、各メンバー国の主要セクターと政策アプローチ、関与と支援戦略について掘り下げている。

・[PDF]

・[DOCX][PDF] 仮訳

2024.06.15 00:00 in 情報セキュリティ / サイバーセキュリティ, in 法律 / 犯罪, in 危機管理 / 事業継続, in 安全保障 | Permalink | Comments (0)
Tweet

2024.06.14

NATO CCDCOE タリン文書第14号は、サイバー外交とその実践に焦点を当てている

こんにちは、丸山満彦です。

NATOのCCDCOEが、タリン文書第14号：サイバー外交：概念から実践へという文書を公表していますね...

日本もいきなりサイバー攻撃の話にいく前に、サイバー外交という観点で整理しておくのが重要かもしれませんね...

フィジカル世界でも、外務省、防衛省、警察庁、海上保安庁などの役割分担があるわけですから、サイバー空間でもそのような役割分担は必要でしょうね...

詳細は、会議に出席した？高橋郁夫弁護士に確認するのがよいかもですが...

● NATO CCDCOE

・2024.06.11 New Tallinn Paper focuses on Cyber Diplomacy Concepts and Practices

New Tallinn Paper focuses on Cyber Diplomacy Concepts and Practices	新たなタリン文書はサイバー外交の概念と実践に焦点を当てる
NATO Cooperative Cyber Defence Centre of Excellence (CCDCOE) has published the 14th Tallinn Paper on Cyber Diplomacy: From Concept to Practice. The author George Christou provides an overview of how cyber diplomacy has evolved, its definition, how it has developed and how it has been performed in relation to critical issues of cyber security and cyber defence.	NATOサイバー防衛センター・オブ・エクセレンス（CCDCOE）は、サイバー外交に関する第14回タリン・ペーパーを発表した：コンセプトから実践まで」と題する論文を発表した。認可者のGeorge Christouはサイバー外交がどのように発展してきたか、その定義、どのように発展してきたか、サイバーセキュリティとサイバー防衛の重要な問題に関連してどのように実行されてきたかを概観している。
The paper concludes that the central debates and trends underscore the need for further government and governance adaptation to develop, integrate and constitute cyber diplomatic practices within the foreign policies of governments and ROs and towards the increasing importance of the role of cyber diplomats in times of war and peace whether related to preventative, cooperative, restrictive or reactive measures in response to the increased sophistication and complexity of incidents and the use of new technologies. It has also pointed to the need for cyber diplomacy to build coalitions and alliances to bridge the ideological gap that exists over important issues of cyber security.	本稿は、中心的な議論と傾向から、サイバー外交を政府や国際機関の外交政策の中で発展させ、統合し、構成するための政府とガバナンスの更なる適応の必要性を強調し、インシデントの高度化と複雑化、新技術の使用に対応する予防的、協力的、制限的、あるいは反応的な措置のいずれにせよ、戦争と平和の時代におけるサイバー外交官の役割の重要性が増していることを強調している。また、サイバーセキュリティの重要な問題をめぐって存在するイデオロギーのギャップを埋めるために連合や同盟を構築するサイバー外交の必要性も指摘されている。
The NATO CCDCOE’s Tallinn Papers are designed to inform strategic dialogue regarding cyber security within the Alliance and beyond. They address cyber security from a multidisciplinary perspective by examining a wide range of issues, including cyber threat assessment, domestic and international legal dilemmas, governance matters, assignment of roles and responsibilities for the cyber domain, the militarization of cyberspace, and technical. Focusing on the most pressing cyber security debates, the Tallinn Papers aim to support the creation of a legal and policy architecture that is responsive to the peculiar challenges of cyberspace. With their future-looking approach, they seek to raise awareness and to provoke the critical thinking that is required for well-informed decision-making on the political and strategic levels.	NATO CCDCOEのタリン文書は同盟内外のサイバーセキュリティに関する戦略的対話に情報を提供することを目的としている。サイバー脅威のアセスメント、国内および国際的な法的ジレンマ、ガバナンス問題、サイバー空間における役割と責任の分担、サイバー空間の軍事化、技術的な問題など、幅広い問題を検討することにより、学際的な観点からサイバーセキュリティに取り組んでいる。最も差し迫ったサイバーセキュリティの議論に焦点を当てたタリン文書は、サイバー空間特有の課題に対応する法的・政策的アーキテクチャの構築を支援することを目的としている。将来を見据えたアプローチにより、意識を高め、政治的・戦略的レベルでの十分な情報に基づく意思決定に必要な批判的思考を喚起することを目指している。

・[PDF]

・[DOCX][PDF] 仮訳

2024.06.14 00:00 in 情報セキュリティ / サイバーセキュリティ, in 法律 / 犯罪, in 安全保障 | Permalink | Comments (0)
Tweet

2024.06.13

世界経済フォーラム (WEF) グローバル・ジェンダーギャップ報告書 2024 （昨年よりも７つも順位を上げる！）

こんにちは、丸山満彦です。

世界経済フォーラム (WEF)がグローバル・ジェンダーギャップ報告書の2024年版を公表していますね。。。

日本は総合で、118位（146カ国中）という状況ですが、昨年は。。。125位（146カ国中）ということだったので、7つも順位を上げています。

上昇に貢献したのが、政治。113位（146カ国中）は昨年の138位（146カ国中）から大きく順位を上げています！

指数をみると日本はほぼ同じ。。。でも、順位は下がっている。。。

日本が停滞しているのは、世界がかわっていっているのに、日本が変わっていっていないからかもしれませんね。。。取り残される日本...

● World Economic Forum - Whitepaper

・2023.06.11 Global Gender Gap Report 2024

Global Gender Gap Report 2024

グローバル・ジェンダーギャップ報告書 2024

The Global Gender Gap Index annually benchmarks the current state and evolution of gender parity across four key dimensions (Economic Participation and Opportunity, Educational Attainment, Health and Survival, and Political Empowerment). It is the longest-standing index tracking the progress of numerous countries’ efforts towards closing these gaps over time since its inception in 2006.

グローバル・ジェンダー・ギャップ指数は毎年、4つの主要な次元（経済参加と機会、教育達成、健康と生存、政治的エンパワーメント）におけるジェンダー平等の現状と進展をベンチマークしている。この指標は、2006年の開始以来、長期にわたってこれらの格差の解消に向けた多くの国々の努力の進捗状況を追跡している、最も長い歴史を持つ指標である。

・[PDF] Global Gender Gap Report 2024

日本についてはP219, P220に詳細なものがありますね。。。

これは私がまとめた日本の推移...

年	経済参画	教育	健康	政治参画	総合	経済参画	教育	健康	政治参画	総合	国数
2006年	0.545	0.986	0.980	0.067	0.645	83	60	1	83	80	115
2007年	0.549	0.986	0.979	0.067	0.645	97	69	37	94	91	128
2008年	0.544	0.985	0.979	0.065	0.643	102	82	38	107	98	130
2009年	0.550	0.985	0.979	0.065	0.645	108	84	41	110	101	134
2010年	0.572	0.986	0.980	0.072	0.652	101	82	1	101	94	134
2011年	0.567	0.986	0.980	0.072	0.651	100	80	1	101	98	135
2012年	0.576	0.987	0.979	0.070	0.653	102	81	34	110	101	135
2013年	0.584	0.976	0.979	0.060	0.650	104	91	34	118	105	136
2014年	0.618	0.978	0.979	0.058	0.658	102	93	37	129	104	142
2015年	0.611	0.988	0.979	0.103	0.670	106	84	42	104	101	145
2016年	0.569	0.990	0.979	0.103	0.660	118	76	40	103	111	144
2017年	0.580	0.991	0.98	0.078	0.657	114	74	1	123	114	144
2018年	0.595	0.994	0.979	0.081	0.662	117	65	41	125	110	149
2020年	0.598	0.983	0.979	0.049	0.652	115	91	40	144	121	153
2021年	0.604	0.983	0.973	0.061	0.656	117	92	65	147	120	156
2022年	0.564	1.000	0.973	0.061	0.650	121	1	63	139	116	146
2023年	0.561	0.997	0.973	0.057	0.647	123	47	59	138	125	146
2024年	0.568	0.993	0.973	0.118	0.663	120	72	58	113	118	146

・Key Findings

・Full Report

・User Guide

・Economy Profiles

・Shareables

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.06.23 世界経済フォーラム (WEF) グローバル・ジェンダーギャップ報告書 2023 （政治参画は146カ国中138位）

・2023.06.15 経団連「男性の家事･育児」に関するアンケ―ト調査結果 (2023.06.05)

・2023.04.03 米国米サイバー軍科学・技術・サイバースペースの未来に図らずも挑戦した女性たち

・2023.03.14 CISA より多くの若い女性をサイバーセキュリティに導くためにガールスカウトUSAと連携を強化

・2023.03.14 CISAとWomen in CyberSecurityがパートナーシップを強化し、サイバーと技術におけるジェンダーギャップを解消へ

2024.06.13 01:18 in ESG/CSR | Permalink | Comments (0)
Tweet

世界経済フォーラム (WEF) 製造事業者がサイバーレジリエンス文化を構築する3つの方法

こんにちは、丸山満彦です。

世界経済フォーラム (WEF) が、製造事業者がサイバーレジリエンス文化を構築する3つの方法という記事を載せていますね。。。

1. Make cyber resilience a business priority.	1. サイバーレジリエンスをビジネスの優先事項とする。
2. Drive cyber resilience by design.	2. 設計によってサイバーレジリエンスを推進する。
3. Engage and manage the ecosystem.	3. エコシステムを関与させ、管理する。

企業文化をつくる、変えるという意味では、経営者が率先して言葉にして、行動しないといけませんよね...

COSOの内部統制の報告書では、Tone the Top [wikipedia] という表現を使っていますね。。。

・2024.06.07 3 ways manufacturers can build a culture of cyber resilience

3 ways manufacturers can build a culture of cyber resilience	製造事業者がサイバーレジリエンス文化を構築する3つの方法
This article is part of: Centre for Advanced Manufacturing and Supply Chains	この記事は先進製造・サプライチェーンセンターの一部である。
・A cyberattack on a manufacturer can have significant knock-on effects that can even spread beyond the industry to other organisations along the supply chain.	・製造事業者がサイバー攻撃を受けると、その影響は大きく、業界を超えてサプライチェーン上の他の組織にまで波及する可能性がある。
・The expense and business impact of pausing production makes it difficult for manufacturers to make system changes or upgrades to address cybersecurity, but this also makes them a prime target for cyberattacks.	・製造事業者がサイバーセキュリティに対応するためにシステムの変更やアップグレードを行うことは、生産を一時停止することによる費用やビジネスへの影響を考えると難しい。
・By following three key principles, manufacturers can integrate cyber resilience into their organizational culture to help boost their own security – and that of the other organisations in their business networks.	・製造事業者は、3 つの主要原則に従うことで、サイバーレジリエンスを組織文化に統合し、自組織のセキュリティを高めることができる。
The manufacturing sector, an essential element of the global economy, encompasses diverse industries such as consumer goods, electronics, automotive, energy and healthcare. Due to its global reach and impact, it plays a significant role in exports, innovation and productivity growth, fuelling economic development worldwide.	グローバル経済に不可欠な製造事業者は、消費財、エレクトロニクス、自動車、エネルギー、ヘルスケアなど多様な業界を包含している。その世界的な広がりと影響力により、製造業は輸出、技術革新、生産性向上において重要な役割を果たし、世界中の経済発展を促進している。
The global spread of manufacturing production facilities creates complex supply chains in which producers are also often consumers. Manufacturing is also inherently intertwined with other sectors such as logistics, energy and information technology. And so, any disruption to the manufacturing process can cascade throughout many other sectors – and around the world.	製造業の生産拠点が世界各地に広がることで、複雑なサプライチェーンが形成され、そこでは生産者が消費者でもあることが多い。製造事業者はまた、ロジスティクス、エネルギー、情報技術といった他のセクターとも本質的に絡み合っている。そのため、製造工程に何らかの混乱が生じると、他の多くの部門に、そして世界中に連鎖する可能性がある。
Over the past decade, the manufacturing sector has undergone rapid digital transformation, embracing innovations such as digital twins, robotics, artificial intelligence, cloud computing and the industrial internet of things (IIoT). While these advances drive growth and efficiency, they also expose the sector to cyber threats.	過去10年間、製造事業者は急速なデジタル変革を遂げ、デジタル・ツイン、ロボット工学、人工知能、クラウド・コンピューティング、モノの産業用インターネット（IIoT）などのイノベーションを取り入れてきた。こうした進歩は、成長と効率化を促進する一方で、製造業をサイバー脅威にさらしている。

The rise of cybersecurity attacks	サイバーセキュリティ攻撃の増加
The transition from isolated systems to interconnected ones alongside the rise of the internet and then cloud computing has heightened cybersecurity challenges for industrial organisations – especially since different organisations don't always put the same emphasis on investing in cybersecurity. Increased data exchange throughout the entire supply chain only amplifies these risks. The result is that cyber risk is systemic, contagious and often beyond the understanding or control of any single entity.	インターネット、そしてクラウド・コンピューティングの台頭とともに、孤立したシステムから相互接続されたシステムへの移行は、産業組織にとってのサイバーセキュリティの課題を高めている。サプライチェーン全体でのデータ交換の増加は、こうしたリスクを増幅させるだけである。その結果、サイバーリスクはシステム化され、伝染し、しばしば単一の事業体の理解や制御を超えることになる。

In fact, heightened connectivity and data transparency has made manufacturing the most targeted sector for cyberattacks for three years in a row. It now accounts for 25.7% of attacks, with ransomware involved in 71% of these incidents. Manufacturing organizations are a particularly lucrative and accessible target for ransomware due to their low tolerance for downtime and relatively low level of cyber maturity compared to other sectors.	実際、接続性とデータの透明性が高まったことで、製造事業者は3年連続でサイバー攻撃の最も標的とされる部門となっている。現在、攻撃の25.7%を占めており、その71%にランサムウェアが関与している。製造事業者は、ダウンタイムに対する耐性が低く、サイバー成熟度が他のセクターと比べて比較的低いため、ランサムウェアにとって特に有利でアクセスしやすいターゲットとなっている。
Manufacturing companies also often lag behind when it comes to investment in cyber resilience because of their extended production cycles and the hefty investments needed to redesign manufacturing lines. In February 2024, for example, a German battery manufacturer had to halt production at 5 plants for over 2 weeks due to a cyberattack on its IT system.	また、製造事業者は、生産サイクルが長く、製造ラインの再設計に多額の投資が必要なため、サイバーレジリエンスへの投資が遅れがちである。たとえば、2024 年 2 月には、ドイツの電池製造事業者が、IT システムへのサイバー攻撃により、5 つの工場で 2 週間以上にわたって生産を停止せざるを得なくなった。
With the costs of attacks on this sector increasing by 125% each year, cyber risk is now seen as the third biggest external risk to manufacturers.	この分野への攻撃コストは毎年125％増加しており、サイバーリスクは現在、製造事業者にとって3番目に大きな外部リスクと見なされている。

Building a cyber resilient culture	サイバーレジリエンス文化の構築
The manufacturing sector faces challenges building cyber resilience across five dimensions. Chief among these is the cultural mindset gap between enterprise (or office-based) and industrial environments, with the latter often prioritizing physical safety over cyber safety. This gap poses a significant hurdle to cyber resilience efforts.	製造事業者は、5つの側面からサイバーレジリエンスを構築するという課題に直面している。その最たるものが、エンタープライズ環境（またはオフィス環境）と産業環境との間の文化的な考え方のギャップであり、後者ではサイバーセーフティよりも物理的な安全性が優先されることが多い。このギャップは、サイバーレジリエンスへの取り組みに大きな障害となっている。
Technical challenges are also a major barrier. Outdated legacy systems combined with the number of connected assets within industrial control systems has left many manufacturing organizations unprepared to fend off sophisticated cyber threats.	技術的な課題も大きな障壁である。時代遅れのレガシーシステムと、産業用制御システムに接続された資産の数とが相まって、多くの製造事業者は、高度なサイバー脅威を撃退する準備ができていない。
Manufacturers are also often reluctant to take factories offline to make upgrades in security or deal with cyberattacks. Along with the industry’s extended ecosystem dependencies, this also makes maintaining cyber resilience difficult. Additionally, strategic challenges arise from dynamic tensions between economic factors, market forces and geopolitical issues. For example, manufacturing is influenced by external forces such as the global inflation and rising energy costs. In a recent report, Rockwell highlighted cyber risks as the third biggest obstacle for manufacturers behind these other factors.	製造事業者はまた、セキュリティのアップグレードやサイバー攻撃への対処のために工場をオフラインにすることに消極的な場合が多い。エコシステムへの依存度が高いことも、サイバーレジリエンスを維持することを困難にしている。さらに、戦略的な課題は、経済的要因、市場の力、および地政学的問題の間の動的な緊張関係から生じる。例えば、製造事業者は、世界的なインフレやエネルギーコストの上昇といった外的要因の影響を受けている。ロックウェル社は最近の報告書で、製造事業者にとってサイバーリスクは、こうした他の要因に次いで3番目に大きな障害であると強調している。
Another complication is that manufacturers must navigate various regulations and industry standards concerning human and product safety, data protection and cybersecurity. This is made even more difficult if companies have decentralized operations – most manufacturers have factories around the world, as well as working with subsidiaries that may have their own decision-making practices and priorities. Operating across diverse regulatory landscapes only adds more complexity.	もうひとつ複雑なのは、製造事業者が人的安全や製品安全、データ保護、サイバーセキュリティに関するさまざまな規制や業界標準を乗り越えなければならないことだ。製造事業者の多くが世界中に工場を持ち、独自の意思決定や優先順位を持つ子会社と連携しているためだ。多様な規制環境にまたがって事業を行うことは、さらに複雑さを増すだけである。

3 ways to make manufacturing cyber resilient	製造業のサイバーレジリエンスを高める3つの方法
Regardless of these complexities, the manufacturing sector must deal with cyber challenges so it can explore new technologies in a secure manner. In this context, the World Economic Forum’s Centre for Cybersecurity and the Centre for Advanced Manufacturing and Supply Chains recently convened a community of cyber leaders across manufacturing to discuss the key challenges and identify best practices.	このような複雑さにかかわらず、製造事業者は、安全な方法で新技術を探求できるよう、サイバー上の課題に対処しなければならない。このような背景から、世界経済フォーラムのサイバーセキュリティ・センターと先進製造業・サプライチェーン・センターは最近、製造業全体のサイバーリーダーたちのコミュニティを招集し、主要な課題について議論し、ベストプラクティスを特定した。
The resulting playbook, Building a Culture of Cyber Resilience in Manufacturing, outlines three cyber resilience principles:	その結果作成されたプレイブック「製造業におけるサイバーレジリエンス文化の構築」では、3つのサイバーレジリエンス原則が概説されている：
1. Make cyber resilience a business priority. This principle emphasizes the need for cultural change and a comprehensive cybersecurity governance. It also covers the importance of securing budget and resources, while also creating incentives to ensure that cybersecurity is an objective embraced by all stakeholders.	1. サイバーレジリエンスをビジネスの優先事項とする。この原則は、企業文化の変革と包括的なサイバーセキュリティガバナンスの必要性を強調している。また、予算とリソースを確保することの重要性を取り上げると同時に、サイバーセキュリティがすべての利害関係者に受け入れられる目標であることを確実にするためのインセンティブを生み出すことも示している。
2. Drive cyber resilience by design. This means integrating cyber resilience into every aspect of processes and systems. A risk-based approach must be used to incorporate cyber resilience into the development of new products, processes, systems and technologies.	2. 設計によってサイバーレジリエンスを推進する。これは、プロセスとシステムのあらゆる側面にサイバーレジリエンスを組み込むことを意味する。リスクベースのアプローチを用いて、新製品、プロセス、システム、および技術の開発にサイバーレジリエンスを組み込む必要がある。
3. Engage and manage the ecosystem.	3. エコシステムを関与させ、管理する。
This principle underlines the importance of fostering trusted partnerships and raising security awareness among stakeholders. Rather than having one organization exert control over a supply chain of other actors, an ecosystem approach involves encouraging all entities in a business network to collaborate to address issues like cybercrime.	この原則は、信頼できるパートナーシップを醸成し、利害関係者のセキュリティ意識を高めることの重要性を強調するものである。エコシステム・アプローチでは、1つの組織が他の関係者のサプライチェーンを管理するのではなく、事業ネットワーク内のすべての事業体が協力してサイバー犯罪などの問題に対処することを奨励する。
This kind of increased connectivity should not mean more risk, in fact it can actually help to shift or even gradually improve the risk exposure of an organization. As such, connectivity can provide tremendous benefits to an organization’s cybersecurity programme. It means that systems that were once isolated, providing companies with little visibility, can be managed more effectively at a larger scale.	このようなコネクティビティの向上は、リスクの増大を意味すべきではなく、むしろ組織のリスク・エクスポージャーをシフトさせたり、徐々に改善させたりするのに役立つ。このように、接続性は組織のサイバーセキュリティ・プログラムに多大なメリットをもたらす。それは、かつては孤立し、企業にほとんど可視性を提供しなかったシステムを、より大規模に、より効果的に管理できるようになることを意味する。

These three principles are interlinked and mutually supportive. They are supported by 17 real-world manufacturing use cases and so are applicable across any manufacturing industry and location. And as digitalization progresses, organizations in the manufacturing sector must use these principles to prioritize building a robust cyber resilience culture. This will help the industry navigate the growing cyber threat landscape more effectively.	これら3つの原則は相互にリンクしており、相互に支え合っている。これらの原則は、実際の製造事業者における 17 のユースケースによって裏付けられているため、どのような製造業界や場所にも適用可能である。そして、デジタル化の進展に伴い、製造部門の組織は、これらの原則を活用して、強固なサイバーレジリエンス文化を構築することを優先しなければならない。そうすることで、拡大するサイバー脅威の状況をより効果的に乗り切ることができるようになる。

2024.06.13 00:00 in 情報セキュリティ / サイバーセキュリティ, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続 | Permalink | Comments (0)
Tweet

米国 White House サイバーセキュリティの強化を通じたアメリカ人の医療へのアクセスの保護の強化 (2024.06.10)

こんにちは、丸山満彦です。

ホワイトハウスからサイバーセキュリティの強化を通じたアメリカ人の医療へのアクセスの保護の強化に関するファクトシートが公表されていますね。。。

日本でも、医療機関へのランサム攻撃により、病院の診療に影響が出ていますね。。。ITがなくてもできる医療はできるという側面もあるのですが、ITが使えなければできない治療や、ITがあればより多くの治療ができるという面もあるし、今後はますますそうなっていくでしょうね...

¥マイクロソフト、グーグルがいろいろと支援しているようですね...クラウド事業者がある国は選択肢が広いですね...

日本の場合は、大きめの病院グループであっても、企業規模的には中小企業のようなもので、十分なリソース（予算、人、ツール）等をサイバーセキュリティに使えていないのが、より課題かもしれませんね...

● U.S. White House

・2024.06.10 ACT SHEET: Biden-⁠Harris Administration Bolsters Protections for Americans’ Access to Healthcare Through Strengthening Cybersecurity

FACT SHEET: Biden-⁠Harris Administration Bolsters Protections for Americans’ Access to Healthcare Through Strengthening Cybersecurity	ファクトシート：バイデン-ハリス政権は、サイバーセキュリティの強化を通じて、米国人の医療へのアクセスの防御を強化する。
Recent cyberattacks targeting the nation’s healthcare system have demonstrated the vulnerability of our hospitals and payment systems. Providers across the health system had to scramble for funding after one attack on a key payment system. And some hospitals had to redirect care after another. These disruptions can take too long to resolve before full access to needed health care services or payment systems is restored. Cyberattacks against the American healthcare system rose 128% from 2022 to 2023.	米国の医療システムを標的とした最近のサイバー攻撃は、病院と支払いシステムの脆弱性を実証した。医療システム全体のプロバイダは、ある重要な支払いシステムへの攻撃の後、資金繰りに奔走しなければならなかった。また、ある病院では、別の攻撃を受けて、診療の方向転換を余儀なくされた。このような混乱は、必要な医療サービスや支払いシステムへの完全なアクセスが回復するまでに、解決に時間がかかりすぎることがある。アメリカの医療システムに対するサイバー攻撃は、2022年から2023年にかけて128％増加した。
In February and March of 2024 alone, the United States experienced one of the most significant healthcare-related cyberattacks to date. During the attack, providers reported that one out of every three health care claims in the United States were impacted, leading to disruptions in timely payment to healthcare providers.	2024年の2月と3月だけで、米国はこれまでで最も重大な医療関連のサイバー攻撃を経験した。この攻撃でプロバイダは、米国内の医療費請求の3件に1件が影響を受け、医療提供者へのタイムリーな支払いに支障が出たと報告した。
Recognizing that effective cybersecurity is critical to Americans accessing the care they need, the Biden-Harris Administration is working relentlessly to improve the resilience of the healthcare sector to cyberattacks. Many healthcare companies are private sector owned and operated, so private sector uptake and partnership is key to meaningful improvements in the sector’s ability to withstand attacks.	効果的なサイバーセキュリティが、米国人が必要な医療を受けるために不可欠であることを認識し、バイデン-ハリス政権は、医療部門のサイバー攻撃に対するレジリエンスを改善するために、たゆまぬ努力を続けている。ヘルスケア企業の多くは民間企業であるため、民間企業の参加と協力が、同部門の攻撃に対する耐性を有意義に改善する鍵となる。
・In January of 2024, the Department of Health and Human Services launched a healthcare cybersecurity gateway website to simplify access to the Department’s healthcare-specific cybersecurity information and resources and published voluntary Healthcare and Public Health Cybersecurity Performance Goals designed to help healthcare institutions plan and prioritize high-impact cybersecurity practices.	・2024年1月、保健社会福祉省は、同省の医療に特化したサイバーセキュリティ情報とリソースへのアクセスを簡素化するための医療サイバーセキュリティ・ゲートウェイ・ウェブサイトを開設し、医療機関が影響力の高いサイバーセキュリティの実践を計画し、優先順位をつけるのに役立つよう設計された自主的な医療・公衆衛生サイバーセキュリティ・パフォーマンス目標を発表した。
・In May of 2024, the White House convened Chief Information Security Officers and other high-level executives from across the healthcare sector – spanning care delivery organizations, medical technology companies, and industry associations – to advance cybersecurity solutions across the industry. Participants shared their organization’s views on cybersecurity challenges and the need to work together with government to better share threat intelligence and adopt secure-by-design solutions for the technologies underpinning the healthcare system.	・2024年5月、ホワイトハウスは、医療提供機関、医療技術企業、業界団体など、ヘルスケア・セクター全体から最高情報セキュリティ責任者（CIO）をはじめとするハイレベルの幹部を招集し、業界全体のサイバーセキュリティ・ソリューションの推進を図った。参加者は、サイバーセキュリティの課題に対する各組織の見解や、脅威インテリジェンスをよりよく共有し、医療システムを支える技術にセキュア・バイ・デザインのソリューションを採用するために政府と協力する必要性を共有した。
・In May of 2024, the Advanced Research Projects Agency for Health (ARPA-H) announced the launch of the Universal Patching and Remediation for Autonomous Defense (UPGRADE) program, a cybersecurity effort that will invest more than $50 million to create tools for information technology (IT) teams to better defend the hospital environments they are tasked with securing.	・2024年5月、国防高等研究計画局（ARPA-H）は、情報技術（IT）チームが病院環境をより安全に守るためのツールを作成するために5,000万ドル以上を投資するサイバーセキュリティの取り組み、Universal Patching and Remediation for Autonomous Defense（UPGRADE）プログラムの開始を発表した。
Healthcare-related cyber disruptions can be particularly disruptive to rural hospitals, which serve over 60 million Americans. Most rural hospitals are critical access hospitals, meaning they are located more than 35 miles from another hospital, which makes diversions of patients and staffing-intensive manual workarounds in response to attacks more difficult. Recognizing the critical role these hospitals play in the communities they serve, the White House worked with and received commitments from leading U.S. technology providers to provide free and low-cost resources for all 1,800-2,100 rural hospitals across the nation.	医療関連のサイバー攻撃は、6,000万人以上のアメリカ人にサービスを提供している地方の病院にとって、特に大きな打撃となる可能性がある。ほとんどの地方病院はクリティカル・アクセス病院であり、他の病院から35マイル以上離れているため、攻撃に対応するための患者の転換やスタッフの負担が大きい手作業による回避策が難しくなる。こうした病院が地域社会で果たしている重要な役割を認識し、ホワイトハウスは米国の大手技術プロバイダと協力し、全米の1,800～2,100の地方病院すべてに無料または低コストのリソースを提供することを約束した。
As part of this initiative to improve security and resilience of our rural hospital system, our private sector partners have committed to the following:	地方の病院システムのセキュリティとレジリエンスを改善するこのイニシアチブの一環として、民間セクターのパートナーは以下のことを約束した：
・For independent Critical Access Hospitals and Rural Emergency Hospitals, Microsoft is extending its nonprofit program to provide grants and up to a 75% discount on security products optimized for smaller organizations. For participating larger rural hospitals already using eligible Microsoft solutions, Microsoft is providing its most advanced security suite at no additional cost for one year. Microsoft will also provide free cybersecurity assessments by qualified technology security providers and free training for frontline and IT staff at eligible rural hospitals throughout the country to deepen our resiliency to malicious cyberattacks. Additionally, Microsoft will extend security updates for Window 10 to participating hospitals for one year at no cost.	・独立したクリティカル・アクセス病院と地方の救急病院に対して、マイクロソフトは非営利プログラムを拡張し、小規模な組織向けに最適化されたセキュリティ製品に補助金を提供し、最大75％の割引を行う。すでにマイクロソフトの適格なソリューションを使用している地方の大規模病院に対しては、マイクロソフトは最先端のセキュリティ・スイートを1年間追加費用なしでプロバイダとして提供する。マイクロソフトはまた、悪質なサイバー攻撃に対するレジリエンスを高めるため、資格を有するテクノロジーセキュリティプロバイダによる無料のサイバーセキュリティアセスメントと、全国の対象となる地方病院の現場スタッフおよびITスタッフ向けの無料トレーニングも提供する。さらにマイクロソフトは、参加病院に対し、ウィンドウズ10のセキュリティ更新プログラムを1年間無償で提供する。
・Google will provide endpoint security advice to rural hospitals and non-profit organizations at no cost, and eligible customers can get discounted pricing for communication and collaboration tools and security support and a pool of funding to support software migration. In addition, Google is committing to launch a pilot program with rural hospitals to develop a packaging of security capabilities that fit these hospitals’ unique needs.	・グーグルは、地方の病院や非営利団体にエンドポイントセキュリティのアドバイスを無償で提供し、対象となる顧客は、コミュニケーション・コラボレーションツールやセキュリティサポートの割引価格や、ソフトウェアの移行を支援するための資金プールを得ることができる。さらにグーグルは、地方の病院を対象としたパイロット・プログラムを開始し、これらの病院独自のニーズに合ったセキュリティ機能のパッケージを開発することを約束している。

2024.06.13 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in ウイルス, in 危機管理 / 事業継続, in クラウド, in 安全保障 | Permalink | Comments (0)
Tweet

2024.06.12

個人情報保護委員会令和5年度年次報告

こんにちは、丸山満彦です。

個人情報保護委員会は、法律に基づき毎年、年次報告書を作成し、国会に提出しています。その結果は、ウェブにも公開されています...（でも、私のブログでは取り上げていませんでした...気まぐれにも程があるやろ...）

ということで、報告書自体は2024.03.30に公表されているのですが、今回、「概要版が公表されたよ」というアナウンスがあったので、備忘録的にブログに載せておきます...

● 個人情報保護委員会 - 年次報告・上半期報告

・2024.06.11 令和５年度個人情報保護委員会年次報告の概要等を公表しました。

・令和５年度

・・[PDF] 【概要】令和５年度個人情報保護委員会年次報告

・・[HTML] 令和５年度個人情報保護委員会年次報告

・・[PDF] 令和５年度個人情報保護委員会年次報告

目次...

第１章委員会の組織等及び所掌事務
第１節委員会の組織等
１組織
２予算
３組織理念
第２節委員会の所掌事務の概要
１個人情報保護法に関する事務
２マイナンバー法に関する事務
３個人情報保護法及びマイナンバー法に共通する事務

第２章委員会の所掌事務の処理状況
Ⅰ 個人情報保護法等に関する事務
第１節個人情報保護制度の一元化
１地方公共団体等への取組
２個人情報の保護に関する法律についてのＱ＆Ａ（行政機関等編）の改正
第２節個人情報保護制度の見直し
１いわゆる３年ごと見直し規定に基づく検討
２個人情報の保護に関する法律施行規則の一部を改正する規則等の公布
第３節個人情報保護法に基づく監視・監督
１個人情報取扱事業者等に対する監督
２行政機関等に対する監視
３情報セキュリティ関係機関との連携
４外国執行当局との連携
第４節個人情報保護法等に基づく個人情報等の利活用等
１個人情報等の適正かつ効果的な活用の促進
２オプトアウト手続に関する取組
３認定団体に関する取組
４民間の自主的取組の推進
５関係府省庁等の多様な関係者との連携

Ⅱ マイナンバー法に関する事務
第１節マイナンバー法に基づく監督等
１特定個人情報の適正な取扱いに関するガイドラインの改正
２特定個人情報の漏えい等事案に関する報告の処理状況等
３報告徴収、立入検査、指導及び助言の状況
４監視・監督システムを用いた情報連携の監視状況
５地方公共団体等の特定個人情報の取扱いに関する定期的な報告の状況
６その他の監督活動
第２節特定個人情報保護評価
１特定個人情報保護評価書の承認等
２評価実施機関の特定個人情報保護評価書の公表状況
３特定個人情報保護評価と立入検査の連動によるリスク評価・検証の精度向上
４特定個人情報保護評価指針の３年ごとの再検討
５マイナンバー法改正を踏まえた特定個人情報保護評価の実施に関する周知
第３節マイナンバー法第 19条第９号規則に基づく届出の受付
１届出の受付状況
２独自利用事務の情報連携に係る利活用
３マイナンバー法第 19条第９号規則の改正

Ⅲ 国際協力
第１節ＤＦＦＴ推進の観点から個人情報を安全・円滑に越境移転できる国際環境の構築
１Ｇ７におけるＤＦＦＴの重要性の発信
２グローバルな企業認証制度の構築
３十分性認定・28条指定等の活用を通じたＤＦＦＴの推進
４ＤＦＦＴを脅かすリスク等に対応した国際的なスタンダードの形成
５個別国とのＤＦＦＴに関する関係の強化
第２節国際動向の把握と情報発信
１国際的な情報の収集と我が国の取組の積極的な発信
２諸外国の個人情報保護法制の情報提供を通じたビジネス支援
第３節国境を越えた執行協力体制の強化
１国際会議を通じた関係の構築
２二国間の執行協力の枠組みを通じた連携の推進

Ⅳ 個人情報保護法、マイナンバー法等に共通する事務
第１節相談受付
１個人情報保護法関係
２マイナンバー法関係
第２節広報及び啓発
１個人情報保護法関係
２マイナンバー法関係
第３節人材育成

付表活動実績
１個人情報の取扱いに関する監視又は監督の状況
２特定個人情報の取扱いに関する監視又は監督の状況
３特定個人情報保護評価書の承認日
４評価実施機関の特定個人情報保護評価書の公表状況
５主な国際会議への参加
６外国機関との対話実績
７個人情報保護法相談ダイヤル（民間部門）における受付件数
８個人情報保護法相談ダイヤル（公的部門）における受付件数
９マイナンバー苦情あっせん相談窓口における受付件数
10 個人情報保護法に関する説明会の実施状況
11 特定個人情報の安全管理措置等についての説明会の実施状況
12 職員研修

・・[PDF] 【概要】令和５年度上半期における個人情報保護委員会の活動実績について

・・[PDF] 令和５年度上半期における個人情報保護委員会の活動実績について

● まるちゃんの情報セキュリティ気まぐれ日記

世界のコミッショナー等の情報についても気まぐれ(^^)

・2024.06.09 カナダプライバシー・コミッショナー年次報告書 2023-2024

・2024.04.28 フランス CNIL 年次報告書；2023年

・2021.07.09 英国データ保護局 (ICO) 年次報告書を公開していますね。。。

・2021.06.04 欧州データ保護委員会 (EDPB) 2020年次報告書

・2021.04.22 欧州データ保護監督官 (EDPS) 2020年次報告 - COVID-19状況下のデータ保護

2024.06.12 09:11 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪 | Permalink | Comments (0)
Tweet

OECD 「競争とデータ・プライバシーの交差点」

こんにちは、丸山満彦です。

OECDが、「競争とデータ・プライバシーの交差点」についての報告書を公表していますね...

「競争とデータ・プライバシーの関連性、それぞれの目的、そして一方の政策分野に関連する考慮事項が、他方の政策分野にどのように盛り込まれてきたか、あるいは盛り込まれうるかを探る。」となっていますね...

そして、

・相乗効果を促進する、あるいは潜在的な課題につながる可能性のある執行介入や規制措置について調査し、

例えば、

・データ保護当局の判断に競争を考慮すべきなのか、

・もしそうだとすれば、2つの政策分野の相乗効果を高め、緊張を克服するにはどうすればよいのか。

など...

そして、

・競争当局とデータ保護当局の協力モデル

を検討していますね。。。

余談ですが...

プラットフォーマについていえば、競争法制、プライバシー法制、に加えて、安全保障法制も関わって、三すくみの議論になるかもですね...

● OECD

・2024.06.13 The Intersection between Competition and Data Privacy

The Intersection between Competition and Data Privacy	競争とデータ・プライバシーの交差点
With the development of the digital economy, data has assumed an increasingly important role for online platforms and the majority of digital business models, often becoming central to competition and the conduct of actors in digital markets. At the same time, there has been an increase in data privacy regulations and enforcement worldwide.	デジタル経済の発展に伴い、データはオンライン・プラットフォームや大半のデジタル・ビジネスモデルにとってますます重要な役割を担うようになり、しばしばデジタル市場における競争や行為者の行動の中心となっている。同時に、データ・プライバシーに関する規制や施行も世界的に増加している。
The interplay between competition and data privacy has prompted questions about whether data privacy and the collection of consumers’ data constitute an antitrust issue, whether competition considerations should be factored into decisions by data privacy regulators, and, if so, how synergies can be enhanced between the two policy areas and the points of tension overcome.	競争とデータ・プライバシーの相互作用は、データ・プライバシーと消費者データの収集が反トラスト法上の問題を構成するかどうか、データ・プライバシー規制当局による決定に競争への配慮が織り込まれるべきかどうか、また、もしそうであれば、この2つの政策分野間の相乗効果をどのように高め、緊張点を克服することができるかという疑問を促している。
In June 2024, the OECD Competition Committee and the OECD Working Party on Data Governance and Privacy will hold a joint roundtable to explores the links between competition and data privacy, their respective objectives, and how considerations pertaining to one policy area have been, or could be, included into the other. Furthermore, the discussion will investigate enforcement interventions and regulatory measures that could foster synergies or lead to potential challenges, and offer insights on models for co-operation between competition and data privacy regulators.	2024年6月、OECD競争委員会とOECDデータ・ガバナンス・プライバシーワーキングパーティは、競争とデータ・プライバシーの関連性、それぞれの目的、そして一方の政策分野に関連する考慮事項が、他方の政策分野にどのように組み込まれてきたか、あるいは組み込まれうるかを探るため、合同ラウンドテーブルを開催する。さらに、この討論会では、相乗効果を促進しうる、あるいは潜在的な課題につながりうる執行介入や規制措置について調査し、競争とデータ・プライバシー規制当局間の協力モデルに関する洞察を提供する。

・2024.06.07 The intersection between competition and data privacy

The intersection between competition and data privacy

競争とデータ・プライバシーの交差点

Data plays an increasingly important role for online platforms and the majority of digital business models. Along with data becoming central to competition and the conduct of actors in digital markets, there has been an increase in data privacy regulations and enforcement worldwide. The interplay between competition and data privacy has prompted questions about whether data privacy and the collection of consumers’ data constitute an antitrust issue. Should competition considerations be factored into decisions by data protection authorities, and, if so, how can synergies between the two policy areas be enhanced and tensions overcome? This paper explores the links between competition and data privacy, their respective objectives, and how considerations pertaining to one policy area have been, or could be, included into the other. It investigates enforcement interventions and regulatory measures that could foster synergies or lead to potential challenges, and offers insights into models for co-operation between competition and data protection authorities. This is a joint working paper from the OECD Competition and Digital Economy Policy Secretariat.

オンライン・プラットフォームや大半のデジタル・ビジネスモデルにおいて、データの果たす役割はますます重要になっている。データが競争やデジタル市場における行為者の行動の中心となるのに伴い、データ・プライバシーに関する規制や執行も世界的に増加している。競争とデータ・プライバシーの相互作用は、データ・プライバシーと消費者データの収集が反トラスト法上の問題を構成するかどうかについての疑問を促している。データ保護当局の判断に競争を考慮すべきなのか、もしそうであれば、2つの政策分野の相乗効果をどのように高め、緊張を克服できるのか。本稿では、競争とデータ・プライバシーの関連性、それぞれの目的、そして一方の政策分野に関連する考慮事項が、他方の政策分野にどのように盛り込まれてきたか、あるいは盛り込まれうるかを探る。また、相乗効果を促進する、あるいは潜在的な課題につながる可能性のある執行介入や規制措置について調査し、競争当局とデータ保護当局の協力モデルについての洞察を提供する。本書は OECD 競争・デジタル経済政策事務局の共同ワーキングペーパーである。

・[PDF]

目次....

Foreword	まえがき
Table of contents	目次
1. Introduction	1. 序文
2. The growing linkages between competition and data privacy	2. 競争とデータ・プライバシーの関連性の高まり
2.1. The goals of competition law and data privacy law	2.1. 競争法とデータ・プライバシー法の目的
2.1.1. Competition law	2.1.1. 競争法
2.1.2. Privacy and data protection laws	2.1.2. プライバシー・データ保護法
2.1.3. Digital ecosystems: an intersecting area to regulate	2.1.3. デジタルエコシステム：規制すべき交差領域
2.2. Is data privacy an antitrust concern?	2.2. データ・プライバシーは独占禁止法の懸念事項か？
2.2.1. Theories of harm	2.2.1. 危害の理論
2.3. Is competition a data privacy law concern?	2.3. 競争はデータ・プライバシー法の懸念事項か？
2.3.1. Integrating competition analysis into data privacy enforcement	2.3.1. データ・プライバシー法の施行に競争分析を組み込む
2.3.2. Leveraging competition policy concepts to support and enhance data privacy regulatory outcomes	2.3.2. データ・プライバシー規制の成果を支援し強化するために競争政策の概念を活用する。
3. Complementarities and potential challenges	3. 補完性と潜在的課題
3.1. Data-related measures	3.1. データ関連の措置
3.2. Data privacy defence	3.2. データ・プライバシーの保護
3.3. Compliance issues and overlapping investigations	3.3. コンプライアンスの問題と重複調査
4. Co-operation between authorities	4. 認可当局間の協力
5. Conclusion	5. 結論
References	参考文献

2024.06.12 00:00 in 個人情報保護 / プライバシー, in 法律 / 犯罪 | Permalink | Comments (0)
Tweet

2024.06.11

OECD 「人工知能、データ、競争」

こんにちは、丸山満彦です。

OECDが、「人工知能、データ、競争」についての報告書を公表していますね...

● OECD

・2024.06.12 Artificial Intelligence, Data and Competition

Artificial Intelligence, Data and Competition	人工知能、データ、競争
Recent developments in generative artificial intelligence (AI) have drawn widespread attention to the broader disruptive potential of AI as a technology. With its increasing capabilities, and the prospect of more in the future, AI has the potential to have a significant impact on economies, and humanity in general, across the globe. These developments have led to many speculating on the future prominent place AI will take in many, if not all, aspects of human lives in the coming years and decades.	生成的人工知能（AI）の最近の発展は、テクノロジーとしてのAIの広範な破壊的可能性に広く注目を集めている。AIはその能力を高めつつあり、将来的にはさらにその能力を高めることが予想されるため、世界中の経済や人類全般に大きな影響を与える可能性を秘めている。こうした動きから、今後数年、数十年の間に、人間の生活のすべてではないにせよ、多くの側面でAIが将来的に重要な位置を占めるようになるだろうと、多くの人が推測している。
Given the spotlight on its potential as a transformative technology, policy makers are already considering how to manage risks from AI, including those relating to privacy, ethics and disruption. Competition policy has not been immune from such considerations, with many commentators, and competition authorities themselves, already considering if there may be risks to the state of competition in the provision of AI services. Given the potential importance of continued innovation and equitable access to AI technology, and the potential time required for authorities to understand the relevant issues, now is an opportune time to discuss AI and competition.	変革的技術としてのAIの可能性が注目される中、政策立案者たちはすでに、プライバシー、倫理、混乱など、AIがもたらすリスクをどのようにマネジメントすべきかを検討している。競争政策もこのような検討から免れておらず、多くの論者や競争当局自身が、AIサービスの提供における競争状態にリスクがあるかどうかをすでに検討している。継続的なイノベーションとAI技術への公平なアクセスが潜在的に重要であり、関連する問題を当局が理解するのに時間がかかる可能性があることを考えると、今はAIと競争について議論する好機である。
In June 2024, the OECD will hold a discussion on Artificial Intelligence, Data and Competition to discuss the recent developments in AI, explore potential concerns about future competition and consider what actions are available for authorities to take. To understand such issues, an understanding of the key mechanics of AI technology is important, and a panel of invited experts will discuss the main aspects of emerging business models of the main players and the key parts of the production process.	2024年6月、OECDは「人工知能、データ、競争」に関するディスカッションを開催し、AIの最近の発展について議論し、将来の競争に関する潜在的な懸念を探り、当局がどのような行動を取ることが可能かを検討する。このような問題を理解するためには、AI技術の重要な仕組みを理解することが重要であり、招聘された専門家パネルが、主要プレイヤーの新興ビジネスモデルの主要な側面と、生産プロセスの主要な部分について議論する。
The discussion will try to address:	議論では、以下のような点を取り上げている：
・The emergence of AI and its business models: What is AI and the key parts of the valuechain? What is required to successfully develop AI models and deploy them? What are/willbe the business models underpinning the development of AI?	・AIの出現とそのビジネスモデル： AIとバリューチェーンの主要部分とは何か？AIモデルの開発を成功させ、それを展開するためには何が必要か？AIの発展を支えるビジネスモデルとは何か？
・Competition in the supply of AI: How do/will firms compete at different stages of the value chain? Are there risks to effective competition in the supply of AI, for example through the availability of key inputs? Are there parallels to be drawn with digital markets?	・AIの供給における競争：バリューチェーンの様々な段階において、企業はどのように競争するのか／するのか。例えば重要なインプットの入手可能性などを通じて、AIの供給における効果的な競争に対するリスクはあるか。デジタル市場との類似点はあるか。
・Competition policy and enforcement in AI: What could competition authorities do in the face of AI developments? What are the practical options for enforcement or advocacy of competition law from AI?	・AIにおける競争政策と執行：AIの発展に直面して競争当局は何ができるか？AIから競争法を執行または提唱するための実際的な選択肢は何か。

・20204.06.12 Artificial intelligence, data and competition

Artificial intelligence, data and competition<

人工知能、データ、競争

This paper discusses recent developments in Artificial Intelligence (AI), particularly generative AI, which could positively impact many markets. While it is important that markets remain competitive to ensure their benefits are widely felt, the lifecycle for generative AI is still developing. This paper focuses on three stages: training foundation models, fine-tuning and deployment. It is too early to say how competition will develop in generative AI, but there appear to be some risks to competition that warrant attention, such as linkages across the generative AI value chain, including from existing markets, and potential barriers to accessing key inputs such as quality data and computing power. Several competition authorities and policy makers are taking actions to monitor market developments and may need to use the various advocacy and enforcement tools at their disposal. Furthermore, co-operation could play an important role in allowing authorities to efficiently maintain their knowledge and expertise.

本稿では、人工知能（AI）、特に多くの市場にポジティブな影響を与える可能性のある生成的AIの最近の発展について論じる。その恩恵を広く享受するためには、市場が競争力を維持することが重要であるが、生成的AIのライフサイクルはまだ発展途上である。本稿では、基礎モデルの訓練、微調整、展開の3段階に焦点を当てる。生成的AIにおいて競争がどのように発展していくかを語るのは時期尚早であるが、既存市場も含めた生成的AIのバリューチェーン全体における連関や、質の高いデータやコンピューティング・パワーといった重要なインプットへのアクセスにおける潜在的な障壁など、注意を要する競争リスクがいくつか存在するように思われる。いくつかの競争当局と政策立案者は、市場の発展を監視するための行動をとっており、自由に使える様々な認可・執行手段を利用する必要があるかもしれない。さらに、当局がその知識と専門性を効率的に維持できるようにするためには、輸入事業者が重要な役割を果たす可能性がある。

・[PDF]

目次...

Table of contents	目次
Foreword	まえがき
1 Introduction	1 序文
2 What is AI?	2 AIとは何か？
What is Artificial intelligence?	人工知能とは何か？
Generative AI	生成的AI
Potential economic impact of generative AI	生成的AIの潜在的経済効果
Generative AI lifecycle and value chain	生成的AIのライフサイクルとバリューチェーン
Generative AI lifecycle and different levels of the value chain	生成的AIのライフサイクルとバリューチェーンのさまざまなレベル
Foundation Models	基礎モデル
Data requirements	データ要件
Computing power	計算能力
Other factors required to develop foundation models	基盤モデルの開発に必要なその他の要素
Fine-tuning / refining	微調整／精錬
Deployment of generative AI	生成的AIの展開
Overview	概要
3 Competition in the supply of AI	3 AI供給における競争
Why care about competition in the supply of AI?	なぜAIの供給における競争を気にするのか？
What types of competition issues could emerge in the supply of generative AI?	生成的AIの供給においてどのような競争問題が生じうるか？
Structural factors	構造的要因
Economies of scale and first-mover advantages	規模の経済と先行者利益
Acquisitions and partnerships	買収と提携
Availability of data	データの入手可能性
Access to data at the foundation level	基礎レベルでのデータへのアクセス
Access to data for fine-tuning and deployment	微調整と展開のためのデータへのアクセス
Access to compute	コンピュートへのアクセス
Bundles, switching costs and ecosystems in the deployment of generative AI	生成的AIの展開におけるバンドル、スイッチングコスト、エコシステム
Access to individual consumers	個人消費者へのアクセス
Access to organisation customers	組織顧客へのアクセス
Access to other key factors	その他の重要な要素へのアクセス
Access to foundation models	基盤モデルへのアクセス
Labour markets and entrepreneur entry	労働市場と起業家の参入
Access to other key factors	その他の主要要因へのアクセス
Access to foundation models	基盤モデルへのアクセス
Labour markets and entrepreneur entry	労働市場と起業家参入
Summary and interrelation of factors	要因のまとめと相互関係
4 Tools available to competition authorities	4 競争当局が利用できるツール
Monitoring, advocacy and information gathering	監視、提言、情報収集
Market studies, Market Investigations or sectoral studies	市場調査、市場調査または分野別調査
Merger control	合併管理
Enforcement	強制執行
Remedial action	是正措置
Regulation	規制
Co-operation	協力
5 Future areas of interest for competition policy and AI	5 競争政策とAIの今後の関心分野
Effects of AI on competition in other markets	AIが他市場の競争に及ぼす影響
Potential risks to competition across markets	市場全体の競争に対する潜在的リスク
Potential benefits for competition across markets	市場全体の競争にとっての潜在的利益
Use of AI for competition authorities	競争当局におけるAIの利用
Managing information and assessment	情報とアセスメントの管理
Improving intelligence and case selection	情報と案件選択の改善
6 Conclusion	6 まとめ
References	参考文献

2024.06.11 06:41 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in AI/Deep Learning | Permalink | Comments (0)
Tweet

2024.06.10

内閣官房サイバー安全保障分野での対応能力の向上に向けた有識者会議

こんにちは、丸山満彦です。

内閣官房で、サイバー安全保障分野での対応能力の向上に向けた有識者会議が開催され、資料が公表されていますね...

ここでいう（サイバー）対応能力というのは、何を示すのでしょうかね...資料３から見ると

・脅威情報・脆弱性情報の共有

・ネット上の情報収集・分析

・攻撃元サーバ等の無害化

・これらを統括指揮する能力

という感じですかね...

大きくわけると、

・実行能力の問題（技術（製品、サービス、人材））

・実行環境の問題（法制度）

の２つがあると思います。実行能力の問題は、有識者会議で議論するというよりも、実際に対処するメンバー（実行部隊）で議論するのがよいと思います。もちろん、それがしやすくする前さばきとして、有識者会議で議論をしてもよいのですが...本質は実行力なので、実行部隊が関係者と連携してする話だろうと思います。

で、有識者会議で議論すべきものは、実行環境の整備すなわち、法制度の問題だろうと思います。安全保障上の課題に対して想定される運用に対して、どのような法整備が必要なのか？

これは、国家の安全保障と個人の権利利益のバランスをどのように図るべきかという高度な問題が本質的にはあるはずです。通信の秘密についてもそうですし、プライバシー保護についてもそうですし...

国家の安全保障を確保するための政府の権限を強化する一方で、その濫用に制限をかけるための監視機関をどうするか？　国のあり方にも関わる問題だと思うんですよね...

なので、本質的には憲法学者が有識者にはいっているべきなのですが、そうはなっていないように感じるんですよね。。。インターネットの特質的な話は前提知識として必要ではあるので、参考人として有識者会議でインプットするのは重要とは思いますが、本質はインターネットではないですよね...本質は安全保障であり、それは、国民と政府の関係ですよね...

このあたりは、資料３のP11にまとめられている論点として議論されていくのでしょうね...（ただ、ここに個人情報保護法が関係法律にはいっていないのが、少し気になります...）

と、思いながら...

● 内閣官房

・2024.06.07 サイバー安全保障分野での対応能力の向上に向けた有識者会議

[PDF] 根拠・構成員

第1回

原稿制度上の課題...

どういう社会を目指す上での課題か？？？といことが重要かもですね...

2024.06.10 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 脆弱性, in 法律 / 犯罪, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in 安全保障 | Permalink | Comments (0)
Tweet

中国インターネット政府アプリケーションセキュリティ管理規定 (2024.05.22)

こんにちは、丸山満彦です。

中国の国家サイバースペース管理局がインターネット政府アプリケーションセキュリティ管理規定を公表していました。。。

日本政府においても参考になる部分は多いと思います...ほんと...

● 中央网络安全和信息化委员会办公室 (Cyberspace Administration of China: CAC)

・2024.05.22 互联网政务应用安全管理规定

互联网政务应用安全管理规定	インターネット政府アプリケーションセキュリティ管理規定
（2024年2月19日中央网络安全和信息化委员会办公室、中央机构编制委员会办公室、工业和信息化部、公安部制定　2024年5月15日发布）	(ネットワーク安全情報化中央委員会弁公室、制度準備中央委員会弁公室、工業情報化部、公安部が2024年2月19日に制定し、2024年5月15日に公布した。）
第一章总则	第一章総則
第一条为保障互联网政务应用安全，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《党委（党组）网络安全工作责任制实施办法》等，制定本规定。	第1条本規定は、インターネット政府アプリケーションのセキュリティを保護するため、中華人民共和国ネットワークセキュリティ法、中華人民共和国データセキュリティ法、中華人民共和国個人情報保護法および党委員会（党組）ネットワークセキュリティ業務責任体制実施弁法に基づき制定する。
第二条各级党政机关和事业单位（简称机关事业单位）建设运行互联网政务应用，应当遵守本规定。	第2条各レベルの党・政府機関および機構（以下、機関および機構という）がインターネット政府アプリケーションを構築・運用する場合、本規定を遵守しなければならない。
本规定所称互联网政务应用，是指机关事业单位在互联网上设立的门户网站，通过互联网提供公共服务的移动应用程序（含小程序）、公众账号等，以及互联网电子邮件系统。	本規定でいうインターネット政府アプリケーションとは、各機関および機構がインターネット上に開設するポータルサイト、モバイルアプリケーション（アプレットを含む）、インターネットを通じて公共サービスを提供するためのパブリックアカウント、およびインターネット電子メールシステムを指す。
第三条建设运行互联网政务应用应当依照有关法律、行政法规的规定以及国家标准的强制性要求，落实网络安全与互联网政务应用“同步规划、同步建设、同步使用”原则，采取技术措施和其他必要措施，防范内容篡改、攻击致瘫、数据窃取等风险，保障互联网政务应用安全稳定运行和数据安全。	第3条インターネット政府アプリケーションの構築と運用は、関連法律と行政法規の規定および標準の必須要件に従い、ネットワークセキュリティとインターネット政府アプリケーションの「同時計画、同時構築、同時利用」の原則を実施し、コンテンツの改ざん、麻痺への攻撃、データの盗難などのリスクを防止し、インターネット政府アプリケーションを保護するための技術的措置およびその他の必要な措置を講じなければならない。コンテンツの改ざん、麻痺を引き起こす攻撃、データの盗難、その他のリスクを防止し、インターネット政府アプリケーションの安全で安定した運用とデータセキュリティを保証するために、技術的措置およびその他の必要な措置を講じる。
第二章开办和建设	第二章公開と構築
第四条机关事业单位开办网站应当按程序完成开办审核和备案工作。一个党政机关最多开设一个门户网站。	第4条各機関がウェブサイトを開設する場合、手続きに従って開設監査と届出作業を行わなければならない。党と政府機関は、最大1つのポータルサイトを開設しなければならない。
中央机构编制管理部门、国务院电信部门、国务院公安部门加强数据共享，优化工作流程，减少填报材料，缩短开办周期。	中央組織管理部門、国務院傘下の電信部門、国務院傘下の公安部門は、データの共有を強化し、ワークフローを最適化し、提出資料の数を減らし、開設サイクルを短縮しなければならない。
机关事业单位开办网站，应当将运维和安全保障经费纳入预算。	ウェブサイトを開設する機関や組織は、運用・保守資金を予算に計上しなければならない。
第五条一个党政机关网站原则上只注册一个中文域名和一个英文域名，域名应当以“.gov.cn”或“.政务”为后缀。非党政机关网站不得注册使用“.gov.cn”或“.政务”的域名。	第5条党と政府機関は、原則として中国語のドメイン名と英語のドメイン名のみを登録し、ドメイン名は「.gov.cn」または「. government」を接尾辞とする。非党および政府機関は、「.gov.cn」または「.government」ドメイン名の使用を登録してはならない。 government "ドメイン名の使用を登録してはならない。
事业单位网站的域名应当以“.cn”或“.公益”为后缀。	機関は、ウェブサイトのドメイン名「.cn」または「. .公共福祉」を接尾辞とする。
机关事业单位不得将已注册的网站域名擅自转让给其他单位或个人使用。	組織および機構は、登録したウェブサイトのドメイン名を許可なく他の単位または個人に譲渡してはならない。
第六条机关事业单位移动应用程序应当在已备案的应用程序分发平台或机关事业单位网站分发。	第6条組織・機関のモバイルアプリケーションは、記録用アプリケーション配布プラットフォームまたは組織・機関のウェブサイトで配布しなければならない。
第七条机构编制管理部门为机关事业单位制发专属电子证书或纸质证书。机关事业单位通过应用程序分发平台分发移动应用程序，应当向平台运营者提供电子证书或纸质证书用于身份核验；开办微博、公众号、视频号、直播号等公众账号，应当向平台运营者提供电子证书或纸质证书用于身份核验。	第7条設立管理部門は、組織・機関専用の電子証明書または紙の証明書を発行する。また、マイクロブログ、公開番号、動画番号、生放送番号およびその他の公開アカウントを開設する際には、本人確認のために電子証明書または紙の証明書をプラットフォーム運営者に提供しなければならない。
第八条互联网政务应用的名称优先使用实体机构名称、规范简称，使用其他名称的，原则上采取区域名加职责名的命名方式，并在显著位置标明实体机构名称。具体命名规范由中央机构编制管理部门制定。	第8条インターネット政府アプリケーションの名称は、原則として、実体のある機関の名称、標準化された略称、その他の名称の使用を優先し、地域の名称に命名方法の責任の名称を加え、実体のある機関の名称を目立つ位置に表示する。具体的な命名仕様は、中央機関設立管理部門が策定した。
第九条中央机构编制管理部门为机关事业单位设置专属网上标识，非机关事业单位不得使用。	第9条機関や機関が排他的なオンラインロゴを設定するための中央組織管理部門は、非機関を使用してはならない。
机关事业单位网站应当在首页底部中间位置加注网上标识。中央网络安全和信息化委员会办公室会同中央机构编制管理部门协调应用程序分发平台以及公众账号信息服务平台，在移动应用程序下载页面、公众账号显著位置加注网上标识。	機関および機構のウェブサイトは、ホームページの中央下部にオンラインロゴを追加しなければならない。ネットワーク安全情報化中央委員会弁公室は、機関設立中央管理局と連携し、アプリケーション配信プラットフォームや公的口座情報サービスプラットフォームと調整し、モバイルアプリケーションのダウンロードページや公的口座の目立つ位置にオンラインロゴを追加する。
第十条各地区、各部门应当对本地区、本部门党政机关网站建设进行整体规划，推进集约化建设。	第10条各地方・各部門は、各地方・各部門の党・政府機関のウェブサイト構築の全体的な計画を行い、集中的な構築を推進しなければならない。
县级党政机关各部门以及乡镇党政机关原则上不单独建设网站，可利用上级党政机关网站平台开设网页、栏目、发布信息。	原則として、県レベルの党・政府部門と郷鎮の党・政府機関は、それぞれ別のウェブサイトを構築するのではなく、上位の党・政府機関のウェブサイトのプラットフォームを利用して、ウェブページを開設し、コラムを掲載し、情報を公開することができる。
第十一条互联网政务应用应当支持开放标准，充分考虑对用户端的兼容性，不得要求用户使用特定浏览器、办公软件等用户端软硬件系统访问。	第11条インターネット政府アプリケーションは、オープン標準をサポートし、利用者側の互換性を十分に考慮すべきであり、利用者がアクセスするために特定のブラウザ、オフィスソフトウェア、その他の利用者側のハードウェアおよびソフトウェアシステムを使用することを義務付けてはならない。
机关事业单位通过互联网提供公共服务，不得绑定单一互联网平台，不得将用户下载安装、注册使用特定互联网平台作为获取服务的前提条件。	インターネットを通じて公共サービスを提供する機関は、単一のインターネットプラットフォームにバインドされてはならない、ユーザーがダウンロードしてインストールし、サービスへのアクセスの前提として、特定のインターネットプラットフォームを使用するように登録してはならない。
第十二条互联网政务应用因机构调整等原因需变更开办主体的，应当及时变更域名或注册备案信息。不再使用的，应当及时关闭服务，完成数据归档和删除，注销域名和注册备案信息。	第12条制度調整およびその他の理由のためのインターネット政府のアプリケーションは、起動の本体を変更する必要がある、タイムリーな方法でドメイン名または登録レコード情報を変更する必要がある。もはや使用して、サービスは、タイムリーに、完全なデータのアーカイブと削除、ドメイン名と登録情報のキャンセルを閉じる必要がある。
第三章信息安全	第三章情報セキュリティ
第十三条机关事业单位通过互联网政务应用发布信息，应当健全信息发布审核制度，明确审核程序，指定机构和在编人员负责审核工作，建立审核记录档案；应当确保发布信息内容的权威性、真实性、准确性、及时性和严肃性，严禁发布违法和不良信息。	第13条機関および機構は、インターネット政府の申請を通じて情報を公開し、情報公開監査制度を整備し、監査手続きを明確にし、監査業務を担当する機関および職員を指定し、監査記録ファイルを設けなければならない。また、公開された情報の内容の権威性、真実性、正確性、適時性、重大性を確保しなければならず、違法で望ましくない情報を公開することを厳禁する。
第十四条机关事业单位通过互联网政务应用转载信息，应当与政务等履行职能的活动相关，并评估内容的真实性和客观性。转载页面上要准确清晰标注转载来源网站、转载时间、转载链接等，充分考虑图片、内容等知识产权保护问题。	第14条機関および機構がインターネット政府アプリケーションを通じて情報を複製するのは、政府の事務とその他の機能発揮のための活動に関連するものでなければならず、内容の信憑性と客観性をアセスメントしなければならない。転載ページには、転載元サイト、転載時期、転載リンクなどを正確かつ明確に表示し、画像やコンテンツなどの知的財産権の保護に十分配慮しなければならない。
第十五条机关事业单位发布信息内容需要链接非互联网政务应用的，应当确认链接的资源与政务等履行职能的活动相关，或属于便民服务的范围；应当定期检查链接的有效性和适用性，及时处置异常链接。党政机关门户网站应当采取技术措施，做到在用户点击链接跳转到非党政机关网站时，予以明确提示。	第15条機関および機構は、インターネット政府アプリケーション以外へのリンクを必要とする情報コンテンツを公開する場合、リンク先の資源が行政などの機能遂行活動に関連するものであること、または人民サービスの範囲に属するものであることを確認し、定期的にリンクの有効性と適用性をチェックし、適時に異常なリンクを廃棄しなければならない。党・政府機関のポータルサイトは、利用者がリンクをクリックして党・政府機関以外のウェブサイトにジャンプする際、明確に促すよう技術的措置を講じなければならない。
第十六条机关事业单位应当采取安全保密防控措施，严禁发布国家秘密、工作秘密，防范互联网政务应用数据汇聚、关联引发的泄密风险。应当加强对互联网政务应用存储、处理、传输工作秘密的保密管理。	第16条機関および機構は、セキュリティおよび機密の予防・管理措置を採用し、国家機密および業務機密の漏洩を厳禁し、インターネット政府アプリケーションのデータ集計・相関に起因する機密漏洩リスクを防止しなければならない。インターネット政府アプリケーションの業務秘密の保存、処理、伝送の秘密管理を強化する。
第四章网络和数据安全	第四章ネットワーク及びデータセキュリティ
第十七条建设互联网政务应用应当落实网络安全等级保护制度和国家密码应用管理要求，按照有关标准规范开展定级备案、等级测评工作，落实安全建设整改加固措施，防范网络和数据安全风险。	第17条インターネット政府アプリケーションの構築は、関連標準と規範に基づき、ネットワークセキュリティレベル保護システムと国家パスワードアプリケーション管理要求を実施し、分類申告、レベル評価作業、セキュリティ構築の是正と強化措置を実施し、ネットワークとデータのセキュリティリスクを防止しなければならない。
中央和国家机关、地市级以上地方党政机关门户网站，以及承载重要业务应用的机关事业单位网站、互联网电子邮件系统等，应当符合网络安全等级保护第三级安全保护要求。	中央・国家機関、都道府県・市町村レベル以上の地方党・政府機関のポータルサイト、重要な業務アプリケーションを提供する機関および機構のウェブサイト、インターネット電子メールシステムなどは、第三段階のネットワークセキュリティレベル保護の要求に従わなければならない。
第十八条机关事业单位应当自行或者委托具有相应资质的第三方网络安全服务机构，对互联网政务应用网络和数据安全每年至少进行一次安全检测评估。	第18条機関および機構は、自ら、または相応の資格を有する第三者のネットワークセキュリティサービス機関に委託して、インターネット政府アプリケーションのネットワークおよびデータセキュリティのセキュリティテストおよび評価を少なくとも年1回実施しなければならない。
互联网政务应用系统升级、新增功能以及引入新技术新应用，应当在上线前进行安全检测评估。	インターネット政府アプリケーションシステムのアップグレード、新機能の追加、新技術および新アプリケーションの導入は、セキュリティテストおよび評価の前にオンラインで行うべきである。
第十九条互联网政务应用应当设置访问控制策略。对于面向机关事业单位工作人员使用的功能和互联网电子邮箱系统，应当对接入的IP地址段或设备实施访问限制，确需境外访问的，按照白名单方式开通特定时段、特定设备或账号的访问权限。	第19条インターネット政府アプリケーションは、アクセス制御ポリシーを設定しなければならない。機関や機関のスタッフの使用のための機能とインターネット電子メールシステムの使用については、アクセス制限を実装するためにIPアドレスのセグメントまたはデバイスにアクセスする必要があります、本当に特定の期間、特定のデバイスまたはアカウントのアクセス権を開くには、ホワイトリスト方式に従って、外にアクセスする必要がある。
第二十条机关事业单位应当留存互联网政务应用相关的防火墙、主机等设备的运行日志，以及应用系统的访问日志、数据库的操作日志，留存时间不少于1年，并定期对日志进行备份，确保日志的完整性、可用性。	第20条機関および機構は、ファイアウォール、ホスト及びインターネット政府アプリケーションに関連するその他の機器の操作ログ、アプリケーションシステムのアクセスログ及びデータベースの操作ログを、1年以上の期間保存し、その完全性及び有用性を確保するために、定期的にバックアップを取らなければならない。
第二十一条机关事业单位应当按照国家、行业领域有关数据安全和个人信息保护的要求，对互联网政务应用数据进行分类分级管理，对重要数据、个人信息、商业秘密进行重点保护。	第21条機関および機構は、国家および業界のデータセキュリティおよび個人情報保護に関する要求に従い、インターネット政府アプリケーションのデータを分類・管理し、重要データ、個人情報および商業秘密の保護に重点を置かなければならない。
第二十二条机关事业单位通过互联网政务应用收集的个人信息、商业秘密和其他未公开资料，未经信息提供方同意不得向第三方提供或公开，不得用于履行法定职责以外的目的。	第22条機関および機構がインターネット政府アプリケーションを通じて収集した個人情報、商業秘密およびその他の非公開情報は、情報提供者の同意なく第三者に提供または開示してはならず、法定義務の履行以外の目的に使用してはならない。
第二十三条为互联网政务应用提供服务的数据中心、云计算服务平台等应当设在境内。	第23条インターネット政府アプリケーションのサービスを提供するデータセンター及びクラウドコンピューティングサービスプラットフォームは、国内に設置しなければならない。
第二十四条党政机关建设互联网政务应用采购云计算服务，应当选取通过国家云计算服务安全评估的云平台，并加强对所采购云计算服务的使用管理。	第24条党と政府の機関は、インターネット政府アプリケーション構築のためにクラウドコンピューティングサービスを調達する場合、クラウドコンピューティングサービスの国家セキュリティ評価に合格したクラウドプラットフォームを選択し、調達したクラウドコンピューティングサービスの利用管理を強化しなければならない。
第二十五条机关事业单位委托外包单位开展互联网政务应用开发和运维时，应当以合同等手段明确外包单位网络和数据安全责任，并加强日常监督管理和考核问责；督促外包单位严格按照约定使用、存储、处理数据。未经委托的机关事业单位同意，外包单位不得转包、分包合同任务，不得访问、修改、披露、利用、转让、销毁数据。	第25条機関および機構は、インターネット政府アプリケーションの開発・運用・保守を外部委託先に委託する場合、契約書等により外部委託先のネットワーク・データセキュリティ責任を明確にし、日常的な監督・管理・説明責任評価を強化し、外部委託先が契約に厳格に従ってデータを使用・保存・処理するよう監督しなければならない。委託部門は、委託を受けた機関・団体の同意がない限り、契約業務を外注・再委託してはならず、データへのアクセス、修正、開示、利用、譲渡、破棄をしてはならない。
机关事业单位应当建立严格的授权访问机制，操作系统、数据库、机房等最高管理员权限必须由本单位在编人员专人负责，不得擅自委托外包单位人员管理使用；应当按照最小必要原则对外包单位人员进行精细化授权，在授权期满后及时收回权限。	機関および機構は、厳格な権限アクセスメカニズムを構築しなければならず、オペレーティングシステム、データベースおよび機械室の最高管理者権限は、ユニット内の人員の責任とし、無権限で管理および使用するよう外部委託ユニットの人員に委託してはならず、必要最小限の原則に従い、外部委託ユニットの人員に対して精緻な権限付与を行い、権限付与期間の満了後、適時に権限を取り消さなければならない。
第二十六条机关事业单位应当合理建设或利用社会化专业灾备设施，对互联网政务应用重要数据和信息系统等进行容灾备份。	第26条機関および機構は、インターネット政府応用の重要なデータ及び情報システムの災害復旧及びバックアップのために、社会化された専門の災害復旧施設を合理的に建設し、または利用しなければならない。
第二十七条机关事业单位应当加强互联网政务应用开发安全管理，使用外部代码应当经过安全检测。建立业务连续性计划，防范因供应商服务变更等对升级改造、运维保障等带来的风险。	第27条機関および機構は、インターネット政府アプリケーションの開発におけるセキュリティ管理を強化し、外部コードの使用については、セキュリティテストを実施しなければならない。第28条インターネット政府アプリケーションの利用は、インターネット政府アプリケーションの開発、運用、保守に伴うリスクを防止するため、事業継続計画を策定する。
第二十八条互联网政务应用使用内容分发网络(CDN)服务的，应当要求服务商将境内用户的域名解析地址指向其境内节点，不得指向境外节点。	第28条インターネット政府アプリケーションのコンテンツ配信ネットワーク（CDN）サービスの使用は、サービスプロバイダは、その国内ノードの国内ユーザのドメイン名解決アドレスを指すように要求されるべきであるが、外国のノードを指すことはできない。
第二十九条互联网政务应用应当使用安全连接方式访问，涉及的电子认证服务应当由依法设立的电子政务电子认证服务机构提供。	第29 条インターネット政府アプリケーションは、安全な接続を使用してアクセスされるべきであり、関連する電子認証サービスは、法律に従って設立された電子政府電子認証サービス機関によって提供されるべきである。
第三十条互联网政务应用应当对注册用户进行真实身份信息认证。国家鼓励互联网政务应用支持用户使用国家网络身份认证公共服务进行真实身份信息注册。	第30条インターネット政府アプリケーションは、登録ユーザーの実際の身元情報を認証しなければならない。国は、インターネット政府アプリケーションに対して、利用者が全国ネットワーク身元認証公共サービスを利用して身元情報を登録することを支援するよう奨励する。
对与人身财产安全、社会公共利益等相关的互联网政务应用和电子邮件系统，应当采取多因素鉴别提高安全性，采取超时退出、限制登录失败次数、账号与终端绑定等技术手段防范账号被盗用风险，鼓励采用电子证书等身份认证措施。	個人と財産の安全、社会と公共の利益などに関連するインターネット政府アプリケーションおよび電子メールシステムは、セキュリティを向上させるために多要素識別を採用し、タイムアウトを採用し、ログイン失敗の回数を制限し、アカウントと端末の結合およびその他の技術的手段を講じてアカウント盗難のリスクを防止し、電子証明書およびその他の身元認証手段の使用を奨励する。
第五章电子邮件安全	第五章電子メールのセキュリティ
第三十一条鼓励各地区、各部门通过统一建设、共享使用的模式，建设机关事业单位专用互联网电子邮件系统，作为工作邮箱，为本地区、本行业机关事业单位提供电子邮件服务。党政机关自建的互联网电子邮件系统的域名应当以“.gov.cn”或“.政务”为后缀，事业单位自建的互联网电子邮件系统的域名应当以“.cn”或“.公益”为后缀。	第31条各地域と各部門に対し、統一的な構築と作業用メールボックスとしての共用という方式により、臓器・機関のための特別なインターネット電子メールシステムを構築し、地域と業界の臓器・機関に電子メールサービスを提供するよう奨励する。党と政府機関が自主的に構築するインターネット電子メールシステムのドメイン名は「.gov.cn」または「.Government」とする。 .government "を接尾辞とし、各機関の自作インターネット電子メールシステムのドメイン名は".cn "または". .cn "または "公共福祉 "を接尾辞とする。
机关事业单位工作人员不得使用工作邮箱违规存储、处理、传输、转发国家秘密。	組織や機関の職員は、業務用の電子メールアドレスを、法律に違反して国家機密を保存、処理、送信、転送するために使用してはならない。
第三十二条机关事业单位应当建立工作邮箱账号的申请、发放、变更、注销等流程，严格账号审批登记，定期开展账号清理。	第32条機関および機構は、業務用電子メールアカウントの申請、発行、変更、抹消のプロセスを定め、厳格に承認、登録し、定期的にアカウントのクリーニングを行わなければならない。
第三十三条机关事业单位互联网电子邮件系统应当关闭邮件自动转发、自动下载附件功能。	第33条機関および機構のインターネット電子メールシステムは、電子メールの自動転送機能及び添付ファイルの自動ダウンロード機能を停止しなければならない。
第三十四条机关事业单位互联网电子邮件系统应当具备恶意邮件（含本单位内部发送的邮件）检测拦截功能，对恶意邮箱账号、恶意邮件服务器IP以及恶意邮件主题、正文、链接、附件等进行检测和拦截。应当支持钓鱼邮件威胁情报共享，将发现的钓鱼邮件信息报送至主管部门和属地网信部门，按照有关部门下发的钓鱼邮件威胁情报，配置相应防护策略预置拦截钓鱼邮件。	第34条機関および機構のインターネット電子メールシステムは、悪意のある電子メール（機関内で送信された電子メールを含む）を検知・遮断する機能を有し、悪意のあるメールボックスアカウント、悪意のあるメールサーバーIP、および悪意のある電子メールの件名、本文、リンク、添付ファイルなどを検知・遮断する。システムはフィッシングメールの脅威情報の共有をサポートし、発見されたフィッシングメール情報を主管部門と現地のネット情報部門に報告し、関連部門が発表したフィッシングメールの脅威情報に従い、フィッシングメールをブロックするための対応する保護戦略を事前に設定しなければならない。
第三十五条鼓励机关事业单位基于商用密码技术对电子邮件数据的存储进行安全保护。	第35条各機関に対し、商業的な暗号技術に基づいて電子メールデータを安全に保管するよう奨励する。
第六章监测预警和应急处置	第六章監視、早期警報および緊急対応
第三十六条中央网络安全和信息化委员会办公室会同国务院电信主管部门、公安部门和其他有关部门，组织对地市级以上党政机关互联网政务应用开展安全监测。	第36条中央ネットワーク安全情報化委員会弁公室は、国務院通信部門、公安部門およびその他の関連部門と協力し、都道府県および市町村レベル以上の党・政府機関のインターネット政府アプリケーションの安全監視を組織する。
各地区、各部门应当对本地区、本行业机关事业单位互联网政务应用开展日常监测和安全检查。	地域と部門は、それぞれの地域と業界において、各機関および機構のインターネット政府アプリケーションの日常的な監視とセキュリティ検査を実施する。
机关事业单位应当建立完善互联网政务应用安全监测能力，实时监测互联网政务应用运行状态和网络安全事件情况。	機関および機構は、インターネット政府アプリケーションのセキュリティ監視能力を確立・向上させ、インターネット政府アプリケーションの運用状況およびネットワークセキュリティイベントをリアルタイムで監視しなければならない。
第三十七条互联网政务应用发生网络安全事件时，机关事业单位应当按照有关规定向相关部门报告。	第37条インターネット政府アプリケーションでサイバーセキュリティ事故が発生した場合、各機関および機構は関連規定に基づいて関連部門に報告しなければならない。
第三十八条中央网络安全和信息化委员会办公室统筹协调重大网络安全事件的应急处置。	第38条中央ネットワーク安全情報化委員会弁公室は、重大なネットワークセキュリティインシデントの緊急対応を調整する。
互联网政务应用发生或可能发生网络安全事件时，机关事业单位应当立即启动本单位网络安全应急预案，及时处置网络安全事件，消除安全隐患，防止危害扩大。	インターネット政府アプリケーションにおいてネットワークセキュリティインシデントが発生した場合、または発生する可能性がある場合、当該組織は直ちに自らのネットワークセキュリティ緊急対応計画を発動し、ネットワークセキュリティインシデントを適時に処理し、セキュリティリスクを排除し、被害の拡大を防止しなければならない。
第三十九条机构编制管理部门会同网信部门开展针对假冒仿冒互联网政务应用的扫描监测，受理相关投诉举报。网信部门会同电信主管部门，及时对监测发现或网民举报的假冒仿冒互联网政务应用采取停止域名解析、阻断互联网连接和下线处理等措施。公安部门负责打击假冒仿冒互联网政务应用相关违法犯罪活动。	第39条組織設置管理部門は、ネット信用部門と連携して、偽造・模倣インターネット政府アプリケーションのスキャンおよび監視を行い、関連する苦情および報告を受理する。ネット信用部門は、主管電信部門と連携し、監視により発見された、またはネットユーザーから通報された偽造・模倣ネット行政申請に対し、速やかにドメイン名解決停止、インターネット接続遮断、オフライン処理などの措置を講じなければならない。公安部門は、偽造・模倣インターネット政府申請に関する違法・犯罪行為を取り締まる責任を負う。
第七章监督管理	第七章監督管理
第四十条中央网络安全和信息化委员会办公室负责统筹协调互联网政务应用安全管理工作。中央机构编制管理部门负责互联网政务应用开办主体身份核验、名称管理和标识管理工作。国务院电信主管部门负责互联网政务应用域名监督管理和互联网信息服务（ICP）备案工作。国务院公安部门负责监督检查指导互联网政务应用网络安全等级保护和相关安全管理工作。	第40条中央ネットワーク安全情報化委員会事務局は、インターネット政府アプリケーションの安全管理を調整する責任を負う。中央組織設立管理部門は、インターネット政府申請本体の身元確認、名称管理、ロゴ管理を担当する。国務院傘下の電信部門は、インターネット政府申請ドメイン名の監督管理およびインターネット情報サービス（ICP）の申告を担当する。国務院傘下の公安部門は、インターネット政府申請におけるネットワークセキュリティレベルの保護と関連セキュリティ管理を監督、検査、指導する責任を負う。
各地区、各部门承担本地区、本行业机关事业单位互联网政务应用安全管理责任，指定一名负责人分管相关工作，加强对互联网政务应用安全工作的组织领导。	各地域と各部門は、地域と業界内の機関および機構のインターネット政府アプリケーションのセキュリティ管理責任を負い、関連業務の責任者を指名し、インターネット政府アプリケーションのセキュリティ業務の組織的指導を強化する。
第四十一条对违反或者未能正确履行本规定相关要求的，按照《党委（党组）网络安全工作责任制实施办法》等文件，依规依纪追究当事人和有关领导的责任。	第41条本規定に違反し、または関連する要求事項を適切に履行しなかった場合、「党委員会（党グループ）ネットワークセキュリティ作業責任実施弁法」およびその他の文書に基づき、規則および規律に従って、当事者および関連指導者の責任を追及する。
第八章附则	第八章附則
第四十二条列入关键信息基础设施的互联网门户网站、移动应用程序、公众账号，以及电子邮件系统的安全管理工作，参照本规定有关内容执行。	第42条重要情報インフラに含まれるインターネットポータル、モバイルアプリケーション、パブリックアカウント、電子メールシステムのセキュリティ管理は、本規定の関連内容を参考にして実施するものとする。
第四十三条本规定由中央网络安全和信息化委员会办公室、中央机构编制委员会办公室、工业和信息化部、公安部负责解释。	第43条本規定は、ネットワーク安全情報化中央委員会弁公室、制度準備中央委員会弁公室、工業情報化部、公安部が解釈する。
第四十四条本规定自2024年7月1日起施行。	第44条本規定は、2024年7月1日から施行する。

2024.06.10 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in クラウド, in 安全保障 | Permalink | Comments (0)
Tweet

2024.06.09

米国国家情報長官室（ODNI）が、IC情報環境のビジョンとロードマップを発表 (2024.05.30)

こんにちは、丸山満彦です。

米国の国家情報長官室（ODNI）が、IC情報環境のビジョンとロードマップを発表していますね...

AIにも言及していますが、情報機関がどのようにITを活用しようとしているかというのは興味深いですね...

情報活動というと政府や軍のイメージが強いですが、競争という意味では企業でも同じで、企業でもさまざまな情報活動（スパイという意味ではなく...）に力をいれている会社も多くなってきていますね。そういう組織にとっても参考になる部分はあるかもですね...

5つの重点領域が取り上げられています。

Focus Area 1.0: Fortify the Mission with a Reliable and Resilient Digital Foundation	重点分野1.0：信頼性とレジリエンスを備えたデジタル基盤でミッションを強化する
Focus Area 2.0: Assure the Mission with Robust Cybersecurity	重点分野2.0：強固なサイバーセキュリティでミッションを確実にする
Focus Area 3.0: Enable the Mission with Modern Practices and Partnerships	重点分野3.0：最新の実践とパートナーシップでミッションを果たす
Focus Area 4.0: Enhance the Mission with Data-Centricity	重点分野4.0：データタ中心主義でミッションを強化する
Focus Area 5.0: Accelerate the Mission with Advanced Technologies and Workforce Readiness	重点分野5.0：先端技術と労働力の準備でミッションを加速する

サービス継続＝＞レジリエンス
守秘＝＞セキュリティ
実践力＝＞最新技術・パートナーシップ
客観性＝＞データ中心
将来＝＞先端技術・人材

って感じですかね...

● Office of the Director of National Intelligence; ODNI

・2024.05.30 ODNI Releases IC Information Technology Roadmap

ODNI Releases IC Information Technology Roadmap	ODNI が IC 情報技術ロードマップを発表
WASHINGTON, D.C. – The Office of the Director of National Intelligence (ODNI) today released its inaugural Vision for the IC Information Environment: An Information Technology Roadmap.	ワシントンD.C.-国家情報長官室（ODNI）は本日、IC情報環境のビジョンを発表した：情報技術ロードマップである。
The roadmap provides technological foresight to guide the Intelligence Community (IC) to make transformative decisions about the cloud environment, cybersecurity, advanced computing, data analysis, and artificial intelligence among an array of other information technology (IT) issues. More than 100 technical leaders across the IC developed the roadmap's recommendations, and all 18 intelligence elements unanimously endorsed this vision.	このロードマップは、クラウド環境、サイバーセキュリティ、高度なコンピューティング、データ分析、人工知能など、情報技術（IT）に関するさまざまな問題の中で、インテリジェンス・コミュニティ（IC）が変革的な意思決定を行うための指針となる技術的な先見性を提供する。IC全体の100人以上の技術指導者がロードマップの提言を作成し、18の情報部門すべてが満場一致でこのビジョンを承認した。
"The roadmap presents a unified vision for investments the IC must make to continue to provide the United States with unmatched decision advantage at a time of unprecedented technological change," said IC Chief Information Officer Dr. Adele Merritt. "Adversaries are not standing still and neither are we. The time is now for strategic and substantial investment in the core IT infrastructure of the IC."	「ICの最高情報責任者であるアデル・メリット博士は、「このロードマップは、前例のない技術革新の時代に、米国に比類ない意思決定の優位性を提供し続けるために、ICが行うべき投資の統一的なビジョンを示している。「敵も我々も立ち止まってはいない。今こそ、ICの中核的なITインフラに戦略的かつ大規模な投資を行う時である。
ODNI will update this roadmap annually using a collaborative process with IC stakeholders and outside experts to position the IC to evolve with technological changes and stay ahead of threats.	ODNIは、ICの関係者や外部の専門家との協力プロセスを用いて、このロードマップを毎年更新していく。

・[PDF] Vision for the IC Inofrmation Environment - An Information Technology Roadmap

・[DOCX][PDF] 仮訳

目次...

Introduction	序文
Focus Area 1.0: Fortify the Mission with a Reliable and Resilient Digital Foundation	重点分野1.0：信頼性とレジリエンスを備えたデジタル基盤でミッションを強化する
Key Initiatives	主な取り組み
1.1 Make More World-Class Capabilities Available to Mission by Optimizing the IC’s Cloud Environment	1.1 ICのクラウド環境を最適化し、より多くのワールドクラスの能力をミッションに提供する
1.2 Meet the Demands of Tomorrow by Advancing and Scaling Compute, Storage, and Transport	1.2 コンピュート、ストレージ、トランスポートの進化と拡張し、明日の需要に応える
1.3 Enable the Intelligence Mission Anywhere by Empowering the Edge	1.3エッジを強化し、どこでもインテリジェンス・ミッションを可能にする
Focus Area 2.0: Assure the Mission with Robust Cybersecurity	重点分野2.0：強固なサイバーセキュリティでミッションを確実にする
Key Initiatives	主な取り組み.
2.1 Protect Our Mission from the Inside Out by Achieving Zero Trust	2.1ゼロトラストを実現し、内部からミッションを守る
2.2 Deliver the Right IT at the Right Time through Modernized Enterprise Risk Management	2.2 エンタープライズ・リスクマネジメントの近代化し、適切なタイミングで適切なITを提供する
2.3 Strengthen the IC’s Collective Defenses by Maturing and Integrating Security Coordination	2.3 安全保障調整の成熟化と統合し、ICの集団的防衛力を強化する
2.4 Increase Security and Speed of Software Delivery through Development, Security, and Operations (DevSecOps)	2.4 開発・セキュリティ・運用(DevSecOps)により、ソフトウェアのセキュリティと提供スピードを向上させる
2.5 Keep Our Most Sensitive Intelligence Safe by Realizing Quantum Resistant (QR) Cryptography	2.5 耐量子暗号（QR）の実現により、最も機密性の高いインテリジェンスを安全に保つ
2.6 Batten Down the Hatches by Securing/Hardening Cross Domain Solutions (CDS)	2.6 クロスドメイン・ソリューション(CDS)を確保/強化し、ハッチを閉める
Focus Area 3.0: Enable the Mission with Modern Practices and Partnerships	重点分野3.0：最新の実践とパートナーシップでミッションを果たす
Key Initiatives	主な取り組み
3.1 Connect Our People by Enhancing and Extending Collaboration	3.1コラボレーションを強化・拡大し、職員をつなげる
3.2 Enable Dynamic Information Sharing by Cultivating Agile and Non-Traditional Partnerships	3.2 アジャイルで非伝統的なパートナーシップの育成により、ダイナミックな情報共有を可能にする
3.3 Tap into the Full Power of the IC Talent Pool by Achieving Ubiquitous IT Accessibility	3.3ユビキタスITアクセシビリティの実現により、IC人材プールの力をフル活用する
3.4 Put the Multi-INT in Intelligence by Advancing Interoperability Among IC Elements	3.4 IC要素間の相互運用性を高めることにより、インテリジェンスにマルチインテリジェンスを導入する
Focus Area 4.0: Enhance the Mission with Data-Centricity	重点分野4.0：データタ中心主義でミッションを強化する
Key Initiatives	主な取り組み
4.1 Expedite Mission Outcomes by Realizing End-to-End Data Management	4.1 エンドツーエンドのデータ管理を実現し、ミッションの成果を促進する
4.2 Maximize Intelligence Value by Implementing a Data-Centric Architecture	4.2 データ中心のアーキテクチャを実装し、インテリジェンスの価値を最大化する
4.3 Empower the Analyst by Transitioning Sensitive Data Siloes to Data-Centric Enclaves	4.3 機密データのサイロ化からデータ中心のエンクレーブへ移行し、分析官に力を与える
Focus Area 5.0: Accelerate the Mission with Advanced Technologies and Workforce Readiness	重点分野5.0：先端技術と労働力の準備でミッションを加速する
Key Initiatives	主な取り組み
5.1 Unleash More, Better, Faster by Advancing AI at Scale	5.1 AI をスケールアップし、より多く、より良く、より速く解き放つ
5.2 Meet the Future When It Arrives by Preparing Now for Over-the-Horizon Capabilities	5.2 オーバー・ザ・ホライズン能力に今から備えることで、到来する未来に対応する
5.3 Capitalize on Tomorrow’s Capabilities by Priming the Future Workforce	5.3 将来の労働力を準備し、明日の能力を活かす
Appendix A: References	附属書A：参考文献

2024.06.09 12:06 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in 安全保障 | Permalink | Comments (0)
Tweet

カナダプライバシー・コミッショナー年次報告書 2023-2024

こんにちは、丸山満彦です。

カナダのプライバシー・コミッショナーが年次報告書を公表しています。

その中で、３つの戦略を発表しているのですが、子供のプライバシーの保護についても１つとして入っていますね...もちろん、AIとかも...

カナダは民間部門に対する法律、The Personal Information Protection and Electronic Documents Act (PIPEDA)と政府・地方自治体に対する法律、The Privacy Actの２つがありますね...

カナダの個人情報保護制度については日本の個人情報保護委員会のカナダのページが参考になります...

さて、この報告書では5つのトレンドと３つの戦略項目が挙げられていますが、一つは子供の個人情報保護ですね...もちろんAIもありますが...

日本でも個人情報保護法の見直しが行われていますが、参考になると思います...

５つのトレンド

Privacy concerns amidst the ongoing rise of digital connectivity	デジタルの相互接続が進む中でのプライバシーの懸念
Greater concerns related to children's privacy rights	子どものプライバシー権への関心が高まる
Rising threat and severity of cyberbreaches	サイバー侵害の脅威と深刻さの増加
Increased development in, use of, and concern about AI	AIの発展、利用、懸念の増大
Strengthening fundamental rights with an expansion of privacy laws	プライバシー法の拡大による基本的権利の強化

３つの戦略目標

Protecting and promoting privacy with maximum impact	最大限の効果をもたらすプライバシーの防御と促進
Addressing and advocating for privacy in this time of technological change	技術革新の時代におけるプライバシーへの対応と擁護
Championing children’s privacy	子どものプライバシーの保護

● Office of the Privacy Commissioner of Canada

プレス...

・2024.06.06 Annual report highlights OPC work in context of global privacy trends

Annual report highlights OPC work in context of global privacy trends	年次報告書では、世界的なプライバシー動向の中でOPCの業務が強調されている
GATINEAU, QC, June 6, 2024 – The Privacy Commissioner of Canada’s annual report, tabled today in Parliament, highlights global trends in privacy that are reflected in the Office’s work and strategic priorities.	カナダ・プライバシー・コミッショナーの年次報告書が本日、国会に提出され、プライバシー・コミッショナーの活動と戦略的優先事項に反映されているプライバシーの世界的な動向に焦点を当てた。
The Commissioner’s 2023-2024 annual report, Trust, innovation, and protecting the fundamental right to privacy in the digital age, describes key activities and achievements of the Office of the Privacy Commissioner of Canada (OPC) to protect and promote Canadians’ fundamental right to privacy.	プライバシー・コミッショナーの2023-2024年年次報告書「信頼、革新、デジタル時代におけるプライバシーの基本的権利の保護」は、カナダ人のプライバシーの基本的権利を保護・促進するためのカナダ・プライバシー・コミッショナー事務局（OPC）の主な活動と成果を記述している。
The report also shines a spotlight on the Commissioner’s strategic priorities that will guide the work of the OPC over the next three years. These priorities focus on issues where the OPC can have the greatest impact, and where the greatest risks lie if they are not addressed – protecting and promoting privacy with maximum impact; addressing and advocating for privacy in this time of technological change; and championing children’s rights.	また、今後3年間のOPCの活動の指針となる、コミッショナーの戦略的優先事項にもスポットライトが当てられている。これらの優先事項は、OPCが最も大きな影響を与えることができる問題、そして、もしそれが対処されなければ最も大きなリスクが潜む問題、すなわち、最大限の影響力を持つプライバシーの防御と促進、技術革新の時代におけるプライバシーへの対処と提唱、そして子供の権利の擁護に焦点を当てている。
Global trends demonstrate growing privacy concerns amidst the rise of digital connectivity, greater concerns related to children’s privacy rights, the rising threat and severity of cyberbreaches, and the increased development in, use of and concern about artificial intelligence, as well as the strengthening of fundamental rights with an expansion of privacy laws.	世界的な傾向として、デジタルコネクティビティの高まり、子どものプライバシー権に関する懸念の増大、サイバー侵害の脅威と深刻さの増大、人工知能の開発・使用・懸念の増大の中で、プライバシーに関する懸念が高まっていること、また、プライバシー法の拡大により基本的権利が強化されていることが示されている。
“Personal information is increasingly sought after in the digital age and protecting privacy has become one of the paramount challenges of our time,” says Privacy Commissioner Philippe Dufresne.	「プライバシー・コミッショナーのフィリップ・デュフレーヌは、「デジタル時代において、個人情報はますます求められるようになり、プライバシーの保護は現代における最重要課題のひとつとなっている。
“Just as data is used to fuel innovation, innovation must also be used to protect data. As the world embraces the digital age and opportunities, we must ensure that it does so in a privacy-protective way.”	「データが技術革新の原動力となるように、技術革新もまたデータを保護するために利用されなければならない。世界がデジタルの時代と機会を受け入れるように、我々はプライバシーを保護する方法でそれを確実にしなければならない。
The investigations that are detailed in the annual report exemplify the risks and the importance of protecting the fundamental right to privacy in the digital era.	年次報告書に詳述されている調査は、デジタル時代におけるリスクとプライバシーの基本的権利を保護することの重要性を例証している。
For example, the Commissioner’s investigation into Aylo, which operates Pornhub and other pornographic websites, found significant problems that allowed highly sensitive and intimate content to be posted online without the direct knowledge or consent of those depicted. This led to devastating consequences for the woman at the centre of the investigation and other victims.	例えば、Pornhubをはじめとするポルノサイトを運営するAylo社に対するコミッショナーの調査では、非常にデリケートで親密なコンテンツが、描写された人物の直接的な知識や同意なしにオンラインに投稿されることを許してしまう重大な問題が見つかった。これは、調査の中心となった女性や他の被害者に壊滅的な結果をもたらした。
Other points of interest:	その他の注目点
・In 2023-2024 the OPC accepted 1,113 complaints related to the Privacy Act.	・2023年から2024年にかけて、OPCはプライバシー法に関する苦情を1,113件受理した。
・The OPC received 561 privacy breach reports from federal institutions, of which 68% related to lost or misplaced records containing personal information.	・OPCは連邦政府機構から561件のプライバシー侵害報告を受け、うち68％が個人情報を含む記録の紛失または置き忘れに関連していた。
・Under PIPEDA, the OPC accepted 446 complaints and 693 data breach reports.	・PIPEDAの下では、OPCは446件の苦情と693件のデータ漏洩報告を受理した。
・Twice as many Canadian accounts were affected by breaches in 2023-2024 (693 breaches affecting 25 million accounts), but for a similar number of reported incidents as the previous year (681 breaches in 2022-2023 affecting approximately 12 million accounts).	・2023-2024年に情報漏えいの影響を受けたカナダのアカウント数は2倍（2,500万アカウントに影響する693件）であったが、報告されたインシデント数は前年と同程度（2022-2023年に約1,200万アカウントに影響する681件）であった。
・25% of all complaints accepted under PIPEDA were against businesses in the financial sector, while the online/digital services sector accounted for 16%.	・PIPEDAに基づき受理された苦情の25%は金融セクターの企業に対するもので、オンライン/デジタルサービスセクターは16%であった。
・Breach reports showed that third-party service providers, particularly IT and software providers, were targeted more frequently by threat actors.	・侵害報告書によると、サードパーティーのサービスプロバイダー、特にITプロバイダーやソフトウェアプロバイダーが脅威行為者に狙われる頻度が高い。

・20204.06.06 [PDF] 2023-2024 Trust, innovation, and protecting the fundamental right to privacy in the digital age - Annual Report to Parliament on the Privacy Act and the Personal Information Protection and Electronic Documents Act

目次...

Table of contents	目次
Commissioner’s message	コミッショナーメッセージ
Timeline	タイムライン
Top trends in privacy	プライバシーのトップトレンド
Spotlight on strategic priorities	戦略的優先事項のスポットライト
Privacy Act: A year in review	プライバシー法 1年を振り返って
Government advisory work	政府によるアドバイザリー業務
Privacy Act compliance actions	プライバシー法の遵守行動
Privacy Act breaches	プライバシー法違反事件
Compliance monitoring unit activities	コンプライアンス・モニタリング・ユニットの活動
PIPEDA: A year in review	PIPEDA：1年を振り返って
PIPEDA compliance actions	PIPEDAコンプライアンス・アクション
PIPEDA breaches	PIPEDA違反
Compliance monitoring unit activities	コンプライアンス・モニタリング・ユニットの活動
PIPEDA advice and outreach to businesses	企業へのPIPEDAアドバイスおよびアウトリーチ
Highlights of other OPC work	その他のOPC業務のハイライト
Advice to Parliament	国会への助言
International and domestic cooperation	国際協力および国内協力
Contributions Program	寄付プログラム
Outreach to Canadians	カナダ人へのアウトリーチ
Before the Courts	法廷での活動
Appendices	附属書
Appendix 1: Definitions	附属書1：定義
Appendix 2: Statistical tables	附属書2：統計表
Appendix 3: Substantially similar legislation	附属書3：実質的に類似した法律
Appendix 4: Report of the Privacy Commissioner, Ad Hoc	附属書4：プライバシー・コミッショナー特別報告書

５つのトレンド...

Top trends in privacy	プライバシーのトップトレンド
Technology and digital interconnectivity continue to transform the lives of individuals and have also brought forth an era of new privacy issues. Here are five pivotal trends that are shaping the privacy landscape in Canada and beyond.	テクノロジーとデジタルの相互接続性は、個人の生活を変容させ続け、また新たなプライバシー問題の時代をもたらした。ここでは、カナダとそれ以外の国におけるプライバシーの状況を形成している5つの極めて重要なトレンドを紹介する。
Privacy concerns amidst the ongoing rise of digital connectivity	デジタルの相互接続が進む中でのプライバシーの懸念
Greater volumes of data are being shared, used, and stored online than ever before. Despite a heavy reliance on digital platforms, there is limited trust, particularly when it comes to social media companies, and growing concern about how personal information is protected in the digital age.	かつてないほど大量のデータがオンラインで共有され、利用され、保存されている。デジタル・プラットフォームへの依存度が高いにもかかわらず、特にソーシャルメディア企業に対する信頼は限定的であり、デジタル時代における個人情報の保護に対する懸念が高まっている。
• Digital connectivity has doubled in 10 years, with more than 5.35 billion Internet users worldwide and 5.6 billion mobile device users. Canada boasts a high Internet penetration rate of approximately 95%.1, 2	・デジタル接続は10年間で倍増し、世界のインターネット・ユーザーは53億5、000万人以上、モバイル・デバイス・ユーザーは56億人を超えている。カナダのインターネット普及率は約95％と高い。
• Canadians spend an average of 6 hours and 18 minutes online per day.1, 2	・カナダ人は1日平均6時間18分インターネットを利用している。
• 91% of Canadians believe that at least some of what they do online or on their smartphones is being tracked by companies or organizations.3	・91％のカナダ人が、オンラインやスマートフォンでの行動の少なくとも一部は、企業や組織によって追跡されていると考えている3。
• Only 1 in 10 Canadians say that they trust social media to protect their privacy.3	・カナダ人の10人に1人しか、自分のプライバシーを保護してくれるソーシャルメディアを信頼していないと答えている3。
• Primary motivations for using social media include staying connected with friends and family (58.2%), passing leisure time (43.3%), and accessing news content (31%).2	・ソーシャルメディアを利用する主な動機は、友人や家族とのつながりを保つ（58.2％）、余暇を過ごす（43.3％）、ニュースコンテンツにアクセスする（31％）などである2。
Greater concerns related to children's privacy rights	子どものプライバシー権への関心が高まる
A global trend toward greater concern for the privacy of young people is driving the development of new laws, regulations, guidelines, and initiatives that are aimed at protecting children’s privacy by governments and data protection authorities around the world. This includes, for example, legislative initiatives in the UK and elsewhere to introduce age-appropriate design requirements, as well as large fines against companies like TikTok and Meta following investigations related to children’s privacy.	若者のプライバシーに対する関心が高まる世界的な傾向を受けて、世界中の政府やデータ保護当局が子どものプライバシー保護を目的とした新たな法律、規制、ガイドライン、イニシアチブを策定している。これには、例えば、年齢相応の設計要件を導入するための英国やその他の地域での法的イニシアティブや、子どものプライバシーに関連する調査後のTikTokやMetaのような企業に対する多額の罰金が含まれる。
• 59% of young people worldwide report spending more than two hours of their average day on social media.4	・世界の若者の59％が、平均1日のうち2時間以上をソーシャル・メディアに費やしていると報告している4。
• 75% of young people find that the technical language of social media terms of service is hard to understand and feel that a take-it-or-leave-it approach forces them to choose between social exclusion or signing up at the cost of their privacy.4	・75％の若者は、ソーシャルメディアの利用規約の専門的な言葉は理解しにくく、取るか取られるかのアプローチによって、社会的排除か、プライバシーを犠牲にして登録するかの選択を迫られていると感じている4。
• 78% of Canadian youth use YouTube and social media for the most popular online activity, watching videos. Messaging ranks second at 70%. 5	・カナダの若者の78％が、最も人気のあるオンライン活動であるビデオ視聴のためにYouTubeやソーシャルメディアを利用している。メッセージングは70％で2位である。5
• TikTok is the top social media platform for Canadian youth, ahead of Snapchat and Instagram, with 53% using TikTok in the past month.5	・TikTokはカナダの若者にとって、SnapchatやInstagramを抑えてトップのソーシャルメディア・プラットフォームであり、53%が過去1ヶ月にTikTokを利用している5。
• 12% of Canadian businesses report collecting personal information from minors; 73% say that they use age-appropriate language to explain their privacy policies and 27% say that they carry out PIAs before offering tools or products that are aimed at young people. 6	・カナダの企業の12%は、未成年者から個人情報を収集していると報告している。73%は、プライバシーポリシーの説明に年齢に適した言葉を使用していると回答しており、27%は、若者を対象としたツールや製品を提供する前にPIAを実施していると回答している。6
Rising threat and severity of cyberbreaches	サイバー侵害の脅威と深刻さの増加
Data breaches have surged over the past decade. In particular, ransomware and malware attacks are sharply rising. This risk of cyberattacks and data exfiltration from a variety of threat actors is of great concern to private and public sector organizations, and the majority of individuals are concerned about identity theft.	データ侵害は過去10年間で急増した。特に、ランサムウェアやマルウェアによる攻撃が急増している。さまざまな脅威行為者からのサイバー攻撃やデータ流出のリスクは、民間企業や公的機関にとって大きな関心事であり、個人の大多数は個人情報の盗難を懸念している。
• Data breaches have more than tripled between 2013 and 2022. More than 2.6 billion personal records were exposed worldwide in the past two years alone.7	・データ漏洩は2013年から2022年にかけて3倍以上に増加している。過去2年間だけでも、世界中で26億件以上の個人記録が流出した7。
• 94% of organizations around the world experienced a cyberattack of some form in the last year; 28% were targeted by a ransomware attack, and 41% by malware.8, 9	・世界の組織の94％が、昨年何らかのサイバー攻撃を経験している。ランサムウェア攻撃の標的は28％、マルウェアの標的は41％だった8, 9。
• Since 2020 the frequency of ransomware attacks worldwide has increased, surging by 50% year-on-year during the first half of 2023 alone.10	・2020年以降、世界中でランサムウェア攻撃の頻度が増加しており、2023年上半期だけで前年同期比50％増と急増している10。
• Business leaders and privacy professionals around the world believe that a cyberattack or data breach is the #1 risk facing their organizations.11, 12	・世界中のビジネスリーダーやプライバシーの専門家は、サイバー攻撃やデータ・漏洩が組織が直面する1番のリスクであると考えている11, 12。
• In 2023-2024, private-sector organizations reported 693 breaches to the OPC, affecting approximately 25 million Canadian accounts, compared with 681 breaches the previous year, affecting approximately 12 million accounts.	・2023年から2024年にかけて、民間組織は693件の情報漏えいをOPCに報告し、カナダの約2,500万アカウントに影響を与えた。
• 90% of Canadians are at least somewhat concerned about identity theft, and around half are extremely concerned.3	・カナダ人の 90%が ID 窃盗について少なくともいくらか懸念しており、約半数が非常に懸念している3。
Increased development in, use of, and concern about AI	AIの発展、利用、懸念の増大
The proliferation of artificial intelligence and generative AI technologies, in Canada and around the world, is generating privacy concerns.	カナダだけでなく世界中で人工知能や生成的AI技術が普及し、プライバシーへの懸念が高まっている。
• AI is expected to see an annual global growth rate of 37.3% from 2023 to 2030.13	・AIは2023年から2030年にかけて、世界的に年間37.3％の成長が見込まれている13。
• 42% of enterprise-scale businesses around the world say they have already integrated AI into their operations; 40% are considering doing so.14	・世界中のエンタープライズ規模の企業の42％が、すでにAIを自社の業務に組み込んでいると回答しており、40％はその導入を検討している14。
• 6% of Canadian businesses say that they use AI for business operations; of those not using AI, nearly 25% say that they intend to do so in the next five years.6	・カナダ企業の6％がAIを業務に活用していると回答しており、AIを活用していない企業のうち、25％近くが今後5年以内に活用する意向を示している6。
•91% of organizations say that they need to do more to reassure customers about how their data is being used with AI. 15	-91％の企業が、自社のデータがAIでどのように利用されているかについて、顧客を安心させるためにもっと努力する必要があると回答している。15
• The number of Canadians who believe that AI tools are bad for society is increasing, from 25% in 2023 to 32% in 2024 and 81% have privacy concerns about AI.16	・AIツールは社会に悪影響を及ぼすと考えるカナダ人は、2023年の25％から2024年には32％に増加し、81％がAIについてプライバシーに懸念を抱いている16。
• Over 90% of Canadians say that AI development should be guided by ethical principles and 78% believe its use should be regulated.17	・90％以上のカナダ人が、AIの開発は倫理原則によって導かれるべきであり、78％がその利用は規制されるべきであると考えている17。
Strengthening fundamental rights with an expansion of privacy laws	プライバシー法の拡大による基本的権利の強化
Influenced by the EU’s experience with the General Data Protection Regulation (GDPR), a new generation of privacy laws are being enacted and applied in many parts of the world. There are likewise efforts to modernize Canada’s federal private-sector privacy law with stronger rules, regulatory powers, and incentives to enhance individuals’ right to privacy.	EUの一般データ保護規則（GDPR）の経験に影響され、新世代のプライバシー法が世界各地で制定・適用されている。同様に、個人のプライバシー権を強化するためのより強力なルール、規制権限、インセンティブを備えたカナダの連邦民間プライバシー法を近代化する取り組みも行われている。
• 137 countries have national data privacy laws, a 14.2% increase since 2017, with the result that 6.3 billion people in the world (79.3%) are now covered by privacy laws.18	・137カ国が国内データ・プライバシー法を制定しており、2017年から14.2％増加し、その結果、世界の63億人（79.3％）がプライバシー法の対象となっている18。
• In 2023, violations of the GDPR cost companies over $2 billion euros (more than 2019, 2020 and 2021 combined), impacting companies beyond EU borders.19	・2023年、GDPR違反による企業の損害は20億ユーロを超え（2019年、2020年、2021年の合計よりも多い）、EUの国境を越えた企業に影響を与える19。
• Commissioner Dufresne has made 15 key recommendations to improve and strengthen Bill C-27, which would update Canada’s private-sector privacy law, including recognizing privacy as a fundamental right.20	・デュフレン委員は、プライバシーを基本的権利として認めることを含め、カナダの民間プライバシー法を更新する法案C-27を改善・強化するための15の重要な提言を行っている20。
• Dozens of countries have already enacted AI laws and policies, such as the EU AI Act, which is the first comprehensive legal framework on AI and may have the same effect globally as the GDPR, and others are actively drafting and debating privacy issues in connection to AI laws.21	・AIに関する初の包括的な法的枠組みであり、GDPRと同様の効果を世界的にもたらす可能性があるEUのAI法など、すでに数十カ国がAIに関する法律や政策を制定しており、他の国もAI法に関連したプライバシー問題の草案作成や議論を積極的に行っている21。

1: DataReportal, Digital 2024: Global Overview Report;

2: DataReportal, Digital 2024: Canada, 2024;

3: OPC, Survey of Canadians on Privacy-Related Issues, 2022-23;

4: Amnesty International, Global Survey, 2023;

5: MTM JR, What’s new and what’s next? Kids, teens and social media , 2023;

6: OPC, Survey of Canadian Businesses on Privacy-Related Issues , 2023-2024;

7: MIT/Apple, The Continued Threat to Personal Data: Key Factors Behind the 2023 Increase, 2023;

8: Sophos, The State of Cybersecurity, 2023;

9: Thales, Global Data Threat Report, 2024;

10: Canadian Centre for Cyber Security, National Cyber Threat Assessment , 2023-2024;

11: Aon, Global Risk Management Survey , 2023;

12: IAPP/KPMG, Privacy Risk Study , 2023;

13: Grandview Research, Artificial intelligence Market Size and Trends , 2023;

14: IBM, Global AI Adoption Index , 2023;

15: CISCO 2024 Data privacy benchmark study ;

16: Leger, Use of AI Tools , 2024;

17: Telus, AI Report , 2024;

18: IAPP, Identifying global privacy laws, relevant DPAs, 2024;

19: Statista, EU Data Protection Fines Hit Record High in 2023 , 2024;

20: OPC, 15 Key Recommendations on Bill C-27 , 2023;

21: IAPP, Global AI Law and Policy Tracker, 2024.

3つの戦略

Spotlight on strategic priorities	戦略的優先課題にスポットライトを当てる
In January 2024, Commissioner Dufresne launched his Strategic Plan for the OPC: A roadmap for trust, innovation and protecting the fundamental right to privacy in the digital age. The Strategic Plan will guide the work of the Office of the Privacy Commissioner of Canada (OPC) over the next three years, focusing on three priority areas:	2024年1月、デュフレン委員はOPCの戦略計画を発表した：デジタル時代における信頼、革新、プライバシーの基本的権利の保護のためのロードマップである。この戦略計画は、今後3年間のカナダ・プライバシー・コミッショナー事務局（OPC）の活動の指針となるもので、3つの優先分野に焦点を当てている：
1. Protecting and promoting privacy with maximum impact by using business intelligence to identify trends that need attention, producing focused guidance and outreach, leveraging strategic partnerships, and preparing for the implementation of potential new privacy legislation;	1. ビジネスインテリジェンスを活用して注意を要する傾向を特定し、焦点を絞ったガイダンスとアウトリーチを作成し、戦略的パートナーシップを活用し、潜在的な新しいプライバシー法の施行に備えることにより、最大限の影響力をもってプライバシーを防御・促進する；
2. Addressing and advocating for privacy in this time of technological change with a focus on artificial intelligence (AI) and generative AI, the proliferation of which brings both potential benefits, and increased risks to privacy; and	2. 人工知能（AI）と生成的AIに焦点を当て、技術革新の時代におけるプライバシーに取り組み、提唱する。その普及は、潜在的な利益とプライバシーに対する増大するリスクの両方をもたらす。
3. Championing children’s privacy rights to ensure that their unique privacy needs are met, and that they can exercise their rights.	3. 子どものプライバシーの権利を擁護し、子ども特有のプライバシーニーズが満たされ、子どもが権利を行使できるようにする。
These strategic priorities focus on issues where the OPC can have the greatest impact, and where the greatest risks lie if they are not addressed. They build on the vision for privacy that the Commissioner has articulated since taking on his role in 2022: that privacy is a fundamental right; that privacy supports the public interest and Canada’s innovation and competitiveness; and that privacy accelerates Canadians’ trust in their institutions and in their participation as digital citizens.	これらの戦略的優先事項は、OPCが最も大きな影響を与えることができ、また、対処しなければ最も大きなリスクが潜む問題に焦点を当てている。プライバシーは基本的権利であり、プライバシーは公共の利益とカナダの技術革新と競争力を支えるものであり、プライバシーはカナダ人の機構に対する信頼とデジタル市民としての参加を促進するものである。
The Strategic Plan offers an overview of the kinds of initiatives that the OPC is undertaking for each priority and the outcomes that the Commissioner intends to achieve. All three strategic priorities include the themes of engagement, partnerships, collaboration, and continued learning.	戦略計画では、各優先事項に対してOPCがどのような取り組みを行うのか、またOPCが達成しようとする成果についての概要が示されている。つの戦略的優先事項すべてに、関与、パートナーシップ、協力、継続的学習というテーマが含まれている。
Strategic priority 1:	戦略的優先事項 1：
Protecting and promoting privacy with maximum impact	最大限の効果をもたらすプライバシーの防御と促進
This priority serves as the bedrock for fulfilling the OPC’s existing mandate, applying existing laws to new and emerging challenges, and preparing for potential changes to federal privacy laws. It commits the OPC to strengthen governance and capacity, foster internal communications and collaboration, and nurture partnerships and networks, at home and abroad, optimizing programs and services that respond to the needs of Canada and Canadians.	この優先順位は、OPCの既存の任務を果たし、既存の法律を新たな課題に適用し、連邦プライバシー法の潜在的な変更に備えるための基礎となる。OPCはガバナンスと能力を強化し、内部コミュニケーションとコラボレーションを促進し、国内外でのパートナーシップとネットワークを育成し、カナダとカナダ人のニーズに応えるプログラムとサービスを最適化する。
In 2023-2024, activities to advance these objectives included:	2023年から2024年にかけて、これらの目標を推進するための活動には以下が含まれる：
• Issuing 15 key recommendations to Parliament to strengthen Bill C-27 as part of the Commissioner’s submission on the Bill, and preparing for its potential implementation;	・法案C-27に関する委員会提出資料の一部として、法案C-27を強化するための15の重要勧告を議会に提出し、その実施の可能性に備える；
• Creating a new Directorate of International, Provincial, and Territorial Relations to bolster engagements with other regulators and privacy organizations;	・国際・州・地域関係局を新設し、他の規制当局やプライバシー団体との連携を強化する；
• Issuing an investigation report into Pornhub operator Aylo, reiterating that the non-consensual sharing of intimate images is a serious privacy violation;	・Pornhubを運営するAyloに対する調査報告書を発表し、親密な画像の非合意的な共有は深刻なプライバシー侵害であることを改めて強調する；
• Creating two new positions; first, the position of Deputy Commissioner and Senior General Counsel, to address increased legal activity, and second, a Chief Services and Digital Officer, to guide the implementation of a digital vision and agenda; and	・2つの役職を新設した。1つ目は、法的活動の増加に対応するための副委員長兼上級法律顧問の役職、2つ目は、デジタルビジョンとアジェンダの実施を指導するためのチーフサービス＆デジタルオフィサーの役職である。
• Continuing modernization efforts to improve document and data management practices as a foundation for datainformed decisions.	・データに基づいた意思決定の基盤として、文書およびデータ管理慣行を改善するための近代化努力を継続する。
Strategic priority 2:	戦略的優先事項2：
Addressing and advocating for privacy in this time of technological change	技術革新の時代におけるプライバシーへの対応と擁護
Rapidly evolving and transformative technological advancements, such as AI offer potential opportunities and benefits, but they can also increase risks to privacy.	AI のような急速な進化と変革を遂げる技術の進歩は、潜在的な機会と利益をもたらすが、同時にプライバシーのリスクを増大させる可能性もある。
To advance this priority, the OPC is focusing on enhancing internal capacity, forging strategic partnerships, fostering a culture of privacy, and encouraging the use of privacy-bydesign principles for existing and emerging technologies that support innovation while protecting privacy rights.	この優先事項を推進するために、OPCは内部能力の向上、戦略的パートナーシップの構築、プライバシー文化の醸成、プライバシー権を保護しながらイノベーションを支援する既存および新興技術のプライバシー設計原則の使用を奨励することに注力している。
In 2023-2024, the OPC undertook several activities in connection with this priority, including:	2023年から2024年にかけて、OPCはこの優先事項に関連して以下のような活動を行った：
• Hosting an international symposium on privacy and AI;	・プライバシーとAIに関する国際シンポジウムを開催する；
• Issuing a joint statement on AI with G7 authorities and adopting a resolution on responsible generative AI with other members of the Global Privacy Assembly;	・G7当局とAIに関する共同声明を発表し、グローバル・プライバシー総会の他のメンバーとともに、責任ある生成的AIに関する決議を採択する；
• Launching joint principles for responsible generative AI with provincial and territorial counterparts;	・責任ある生成的AIのための共同原則を、州や準州の担当者と立ち上げる；
• Conducting stakeholder consultations on draft guidance on biometric technologies;	・バイオメトリクス技術に関するガイダンスのドラフトに関する関係者協議を実施する；
• Launching an investigation into OpenAI, the company behind ChatGPT, with Quebec, British Columbia, and Alberta counterparts;	・ケベック州、ブリティッシュコロンビア州、アルバータ州の担当者とともに、ChatGPTの背後にあるOpenAIの調査を開始する；
• Inviting research proposals through the OPC Contributions Program on the privacy impacts of immersive and embeddable technologies;	・OPC貢献プログラムを通じて、没入型・埋め込み型技術のプライバシーへの影響に関する研究提案を募集する；
• Forming a multi-disciplinary team within the OPC to work collaboratively to tackle the impact of AI on the public and private sectors; and	・OPC内に学際的なチームを結成し、AIが公共部門や民間部門に与える影響に共同で取り組む。
• Establishing an environment for the OPC’s Technology Analysis Directorate for testing, research, and analysis on generative AI.	・OPCの技術分析部門に生成的AIに関する試験、研究、分析のための環境を整備する。
Strategic priority 3:	戦略的優先事項3：
Championing children’s privacy	子どものプライバシーの保護
This strategic priority recognizes the unique sensitivities around children’s privacy and the need to ensure that their rights are protected so that they can benefit from technology without compromising their privacy and well-being. The OPC is deepening its expertise and understanding of children’s privacy issues, engaging with young people and those who advocate for them for informed education and outreach, expanding partnerships to increase the uptake of OPC resources, and applying a children’s privacy lens to compliance work.	この戦略的優先事項は、子どものプライバシーをめぐる独特の敏感さと、プライバシーと幸福を損なうことなく技術から利益を得られるよう、子どもの権利が確実に保護される必要性を認識するものである。OPCは、子どもたちのプライバシー問題に関する専門知識と理解を深め、子どもたちや子どもたちを擁護する人たちに情報を提供するための教育やアウトリーチを行い、OPCのリソースの利用を増やすためにパートナーシップを拡大し、コンプライアンス業務に子どもたちのプライバシー・レンズを適用している。
During 2023-2024, OPC activities related to children’s privacy included:	2023年から2024年にかけて、子どものプライバシーに関連するOPCの活動には以下が含まれる：
• A joint investigation into TikTok’s privacy practices as they relate to young users in collaboration with Quebec, British Columbia, and Alberta counterparts;	・ケベック州、ブリティッシュコロンビア州、アルバータ州のカウンターパートと共同で、若年ユーザに関連するTikTokのプライバシー慣行を調査した；
• Recommending to Parliament that Bill C-27's preamble recognize that the processing of children’s personal data should respect the best interests of the child;	・法案C-27の前文で、子どもの個人データの処理は子どもの最善の利益を尊重すべきであると認識するよう議会に提言する；
• Adopting a resolution with provincial and territorial colleagues calling on governments and organizations to improve privacy protections for children, and producing a child-friendly version of the resolution and a companion guide for organizations;	・州や準州の同僚とともに、政府や組織に子どものプライバシー保護の改善を求める決議を採択し、子ども向けの決議と組織向けのガイドを作成する；
• Holding a series of roundtable discussions on the best interests of the child in the processing of their personal data;	・個人データ処理における子どもの最善の利益に関する一連の円卓会議を開催する；
• Participating in a meeting of the Young Canadians’ Parliament to hear from youth about their views on privacy;	・ヤング・カナディアン・パーラメントの会合に参加し、プライバシーに関する若者の意見を聞く；
• Inviting research proposals for the OPC Contributions Program on the theme of ensuring children’s privacy in the digital era; and	・デジタル時代における子どものプライバシーの確保をテーマとするOPC貢献プログラムへの研究提案を募る。
• Participating in the Global Privacy Assembly’s Age Assurance Working Group on efforts to promote harmonization in the approach to age assurance.	・グローバル・プライバシー総会（Global Privacy Assembly）の「年齢保証ワーキンググループ（Age Assurance Working Group）」に参加し、年齢保証のアプローチにおける調和を促進する取り組みに参加する。
The OPC invited feedback on the Strategic Plan for 2024-2027 when the plan was published, to help inform the implementation of the priorities and generate ideas on how it can most effectively advance each of the three interconnected priority areas. Recognizing the dynamic nature of the priorities selected, the OPC intends to remain agile, so that it may adapt to changing circumstances, effectively report on progress, and best collaborate with its many partners and stakeholders on the important work ahead.	OPCは、2024～2027年の戦略計画の発表時に、優先事項の実施に役立て、相互に関連する3つの優先分野のそれぞれを最も効果的に推進する方法についてアイデアを生み出すため、この戦略計画に対する意見を募集した。選択された優先事項のダイナミックな性質を認識し、OPCは、状況の変化に適応し、進捗状況を効果的に報告し、多くのパートナーや輸入事業者と最善の協力関係を築きながら、今後の重要な業務に取り組むことができるよう、機敏な動きを維持することを意図している。

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.06.05 欧州データ保護監察機関 (EDPS) 生成的AIを使用するEU組織のための最初のEDPSオリエンテーション

・2024.06.04 個人情報保護委員会個人情報保護法の3年ごとの見直しに関する意見をヒアリング、検討中... （２）

・2024.04.25 個人情報保護委員会個人情報保護法の3年ごとの見直しに関する意見をヒアリング、検討中...

・2024.01.06 個人情報保護委員会個人情報保護法の3年ごとの見直しに関する意見をヒアリング中...

Continue reading "カナダプライバシー・コミッショナー年次報告書 2023-2024"

2024.06.09 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪, in クラウド, in AI/Deep Learning | Permalink | Comments (0)
Tweet

金融庁コーポレートガバナンス改革の実践に向けたアクション・プログラム 2024

こんにちは、丸山満彦です。

金融庁の「スチュワードシップ・コード及びコーポレートガバナンス・コードのフォローアップ会議」が、コーポレートガバナンス改革の実践に向けたアクション・プログラム2024（「スチュワードシップ・コード及びコーポレートガバナンス・コードのフォローアップ会議」意見書（７））を公表していますね...

日本企業あるあるの形式的にやったことにしている、、、みたいなことはダメだよという感じですね。

企業がレジリエンスを意識することが重要という観点で、サイバーセキュリティリスクについても言及がありますね...

● 金融庁

・2024.06.07 コーポレートガバナンス改革の実践に向けたアクション・プログラム2024（「スチュワードシップ・コード及びコーポレートガバナンス・コードのフォローアップ会議」意見書（７））の公表について

本意見書においては、企業の持続的な成長と中長期的な企業価値向上という目的に立ち返り、具体的な取組みの検証や共有を通じた、企業と投資家の自律的な意識改革に基づくコーポレートガバナンス改革の「実践」に向け、フォローアップ会議としての提言が示されています。

・[PDF] コーポレートガバナンス改革の実践に向けたアクション・プログラム2024（「スチュワードシップ・コード及びコーポレートガバナンス・コードのフォローアップ会議」意見書（７））

ちょっときになった点...

株主総会前に有価証券報告書を開示する...

情報開示については、タイムリーかつ効果的・効率的に提供されることが必要であり、有価証券報告書の開示が株主総会前のタイミングになるよう、環境整備について検討すべきである。

レジリエンスについての記載...

企業経営が、パンデミックやサイバーセキュリティリスク、地政学リスクなどの様々なリスクに、サプライチェーン全体を通じてさらされる中、有事における「復元力」の発揮など、「レジリエンス」を意識することが重要である。

そして、サステナビリティ関係の保証...

国際的な比較可能性を確保したサステナビリティ情報の開示・保証のあり方を検討するとともに、サステナビリティを意識した経営に関する具体的な事例を関係者間において共有すべきである。

・[PDF] （別添）アクション・プログラム2024概要

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.06.03 金融庁スチュワードシップ・コード及びコーポレートガバナンス・コードのフォローアップ会議（第29回）議事録

2024.06.09 00:00 in 情報セキュリティ / サイバーセキュリティ, in ESG/CSR, in 内部統制 / リスクマネジメント | Permalink | Comments (0)
Tweet

2024.06.08

米国 NIST SP 1800-36 (初期公開ドラフト) 信頼できるIoT機器のネットワーク層の実装とライフサイクル管理：インターネットプロトコルベースのIoT機器とネットワークのセキュリティ強化

こんにちは、丸山満彦です。

NISTがIPベースのIoTデバイスとネットワークのセキュリティ強化のための実践ガイドの初期ドラフトを公表、意見募集をしていますね。。。

2022年12月にA（エグゼクティブサマリー）が、2023年5月にBからEが、そして、2023年9月末はAとDの改訂ドラフト、2022年10月に残りのB, C, Eの改訂ドラフトを出していましたが、今回は全部揃えて、公開し、意見募集ですね...

● NIST - ITL

・2024.05.30 NIST SP 1800-36 (Initial Public Draft) Trusted Internet of Things (IoT) Device Network-Layer Onboarding and Lifecycle Management: Enhancing Internet Protocol-Based IoT Device and Network Security

NIST SP 1800-36 (Initial Public Draft) Trusted Internet of Things (IoT) Device Network-Layer Onboarding and Lifecycle Management: Enhancing Internet Protocol-Based IoT Device and Network Security	NIST SP 1800-36 (初期公開ドラフト) 信頼できるIoT機器のネットワーク層の実装とライフサイクル管理：インターネットプロトコルベースのIoT機器とネットワークのセキュリティ強化
Announcement	発表
About the Project	プロジェクトについて
Provisioning network credentials to IoT devices in an untrusted manner leaves networks vulnerable to having unauthorized IoT devices connect to them. It also leaves IoT devices vulnerable to being taken over by unauthorized networks. Instead, trusted, scalable, and automatic mechanisms are needed to safely manage IoT devices throughout their lifecycles, beginning with secure ways to provision devices with their network credentials—a process known as trusted network-layer onboarding. Trusted network-layer onboarding, in combination with additional device security capabilities, such as device attestation, application-layer onboarding, secure lifecycle management, and device intent enforcement, could improve the security of networks and IoT devices.	信頼されていない方法でIoTデバイスにネットワーク・クレデンシャルをプロビジョニングすると、ネットワークは無許可のIoTデバイスが接続する脆弱性を残す。また、IoTデバイスが不正なネットワークに乗っ取られる脆弱性も残る。その代わりに、IoTデバイスのライフサイクル全体を安全に管理するために、信頼され、スケーラブルで、自動的なメカニズムが必要とされ、そのためにはまず、デバイスにネットワーク・クレデンシャルをプロビジョニングする安全な方法（信頼されたネットワーク層のオンボーディングとして知られるプロセス）が必要である。信頼されたネットワーク・レイヤのオンボーディングは、デバイス認証、アプリケーション・レイヤのオンボーディング、セキュアなライフサイクル管理、デバイス・インテント実施などの追加のデバイス・セキュリティ機能と組み合わせることで、ネットワークと IoT デバイスのセキュリティを改善することができる。
To help organizations protect both their IoT devices and their networks, the NCCoE collaborated with 11 IoT product and service providers. This joint effort resulted in the development of five functional technology solutions for trusted network-layer onboarding, as well as two factory provisioning builds, which are detailed in the practice guide.	組織が IoT デバイスとネットワークの両方を保護できるよう、NCCoE は 11 社の IoT 製品およびサービス・プロバイダと協力した。この共同作業の結果、信頼できるネットワーク層のオンボーディングのための5つの機能的な技術ソリューションと、2つのファクトリー・プロビジョニングの構築が開発され、プラクティス・ガイドで詳述されている。
Abstract	概要
Establishing trust between a network and an Internet of Things (IoT) device (as defined in NIST Internal Report 8425) prior to providing the device with the credentials it needs to join the network is crucial for mitigating the risk of potential attacks. There are two possibilities for attack. One happens when a device is convinced to join an unauthorized network, which would take control of the device. The other occurs when a network is infiltrated by a malicious device. Trust is achieved by attesting and verifying the identity and posture of the device and the network before providing the device with its network credentials—a process known as network-layer onboarding. In addition, scalable, automated mechanisms are needed to safely manage IoT devices throughout their lifecycles, such as safeguards that verify the security posture of a device before the device is permitted to execute certain operations. In this practice guide, the National Cybersecurity Center of Excellence (NCCoE) applies standards, best practices, and commercially available technology to demonstrate various mechanisms for trusted network-layer onboarding of IoT devices in Internet Protocol based environments. This guide shows how to provide network credentials to IoT devices in a trusted manner and maintain a secure device posture throughout the device lifecycle, thereby enhancing IoT security in alignment with the IoT Cybersecurity Improvement Act of 2020.	ネットワークに参加するために必要な認証情報をデバイスにプロバイダする前に、ネットワークとモノのインターネット（IoT）デバイス（NIST 内部報告IR 8425で定義）の間の信頼を確立することは、潜在的な攻撃のリスクを低減するために極めて重要である。攻撃には2つの可能性がある。1つは、デバイスが不正なネットワークに参加するよう説得され、デバイスを制御される場合である。もうひとつは、悪意のあるデバイスによってネットワークに侵入された場合である。信頼は、デバイスにネットワーク・クレデンシャルをプロバイダダとして提供する前に、デバイスとネットワークのアイデンティティとポスチャを認証・検証することで達成される。さらに、デバイスが特定の操作を実行することを許可される前にデバイスのセキュリティ・ポスチャを検証するセーフガードなど、IoT デバイスをそのライフサイクル全体を通じて安全に管理するための拡張可能で自動化されたメカニズムが必要である。この実践ガイドでは、国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）が標準、ベストプラクティス、および商用利用可能な技術を適用して、インターネット・プロトコル・ベースの環境における IoT デバイスの信頼できるネットワーク層オンボーディングのためのさまざまなメカニズムを実証する。このガイドでは、信頼できる方法で IoT デバイスにネットワーク認証情報を提供し、デバイスのライフサイクル全体を通じて安全なデバイスの姿勢を維持する方法を示し、2020 年の IoT サイバーセキュリティ改善法に沿って IoT セキュリティを強化する。

1800-36A ipd	Executive Summary	エグゼクティブサマリー
1800-36B ipd	Approach, Architecture, and Security Characteristics	アプローチ、アーキテクチャ、セキュリティの特徴
1800-36C ipd	How-To Guides	ハウツーガイド
1800-36D ipd	Functional Demonstrations	機能デモンストレーション
1800-36E ipd	Risk and Compliance Management	リスク・コンプライアンス・マネジメント

1800-36A ipd

Executive Summary

エグゼクティブサマリー

Executive Summary	エグゼクティブサマリー
Establishing trust between a network and an Internet of Things (IoT) device (as defined in NIST Internal Report 8425) prior to providing the device with the credentials it needs to join the network is crucial for mitigating the risk of potential attacks. There are two possibilities for attack. One happens when a device is convinced to join an unauthorized network, which would take control of the device. The other occurs when a network is infiltrated by a malicious device. Trust is achieved by attesting and verifying the identity and posture of the device and the network before providing the device with its network credentials—a process known as network-layer onboarding. In addition, scalable, automated mechanisms are needed to safely manage IoT devices throughout their lifecycles, such as safeguards that verify the security posture of a device before the device is permitted to execute certain operations. In this practice guide, the National Cybersecurity Center of Excellence (NCCoE) applies standards, best practices, and commercially available technology to demonstrate various mechanisms for trusted network-layer onboarding of IoT devices in Internet Protocol based environments. This guide shows how to provide network credentials to IoT devices in a trusted manner and maintain a secure device posture throughout the device lifecycle, thereby enhancing IoT security in alignment with the IoT Cybersecurity Improvement Act of 2020.	ネットワークに参加するために必要な認証情報をデバイスにプロバイダする前に、ネットワークとモノのインターネット（IoT）デバイス（NIST Internal Report 8425で定義）の間の信頼を確立することは、潜在的な攻撃のリスクを低減するために極めて重要である。攻撃には2つの可能性がある。1つは、デバイスが不正なネットワークに参加するよう説得され、デバイスを制御される場合である。もうひとつは、悪意のあるデバイスによってネットワークに侵入された場合である。信頼は、デバイスにネットワーク・クレデンシャルをプロバイダダとして提供する前に、デバイスとネットワークのアイデンティティとポスチャを認証・検証することで達成される。さらに、デバイスが特定の操作を実行することを許可される前にデバイスのセキュリティ・ポスチャを検証するセーフガードなど、IoT デバイスをそのライフサイクル全体を通じて安全に管理するための拡張可能で自動化されたメカニズムが必要である。この実践ガイドでは、国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）が標準、ベストプラクティス、および商用利用可能な技術を適用して、インターネット・プロトコル・ベースの環境における IoT デバイスの信頼できるネットワーク層オンボーディングのためのさまざまなメカニズムを実証する。このガイドでは、信頼できる方法で IoT デバイスにネットワーク認証情報を提供し、デバイスのライフサイクル全体を通じて安全なデバイスの姿勢を維持する方法を示し、それによって 2020 年 IoT サイバーセキュリティ改善法に沿った IoT セキュリティを強化する。
CHALLENGE	課題
With 40 billion IoT devices expected to be connected worldwide by 2025, it is unrealistic to onboard or manage these devices by manually interacting with each device. In addition, providing local network credentials at the time of manufacture requires the manufacturer to customize network-layer onboarding on a build-to-order basis, which prevents the manufacturer from taking full advantage of the economies of scale that could result from building identical devices for its customers.	2025年までに世界中で400億台のIoTデバイスが接続されると予想される中、各デバイスと手作業でやり取りしてこれらのデバイスをオンボードしたり管理したりするのは非現実的だ。さらに、製造時にローカル・ネットワーク認証情報をプロバイダが提供する場合、製造事業者は受注生産ベースでネットワーク層のオンボーディングをカスタマイズする必要がある。
There is a need to have a scalable, automated mechanism to securely manage IoT devices throughout their lifecycles and, in particular, a trusted mechanism for providing IoT devices with their network credentials and access policy at the time of deployment on the network. It is easy for a network to falsely identify itself, yet many IoT devices onboard to networks without verifying the network’s identity and ensuring that it is their intended target network. Also, many IoT devices lack user interfaces, making it cumbersome to manually input network credentials. Wi-Fi is sometimes used to provide credentials over an open (i.e., unencrypted) network, but this onboarding method risks credential disclosure. Most home networks use a single password shared among all devices, so access is controlled only by the device’s possession of the password and does not consider a unique device identity or whether the device belongs on the network. This method also increases the risk of exposing credentials to unauthorized parties. Providing unique credentials to each device is more secure, but providing unique credentials manually would be resource-intensive and error-prone, would risk credential disclosure, and cannot be performed at scale.	IoT デバイスをライフサイクルを通じて安全に管理するためのスケーラブルで自動化されたメカニズムが必要であり、特に、IoT デバイスにネットワーク認証情報とアクセス・ポリシーをネットワークへの展開時に提供するための信頼できるメカニズムが必要である。ネットワークがそれ自身を偽って識別するのは簡単だが、多くのIoTデバイスはネットワークの識別を検証せず、それが意図したターゲット・ネットワークであることを確認せずにネットワークにオンボードしている。また、多くのIoTデバイスにはユーザー・インターフェースがないため、ネットワークの認証情報を手動で入力するのが面倒である。オープンな（つまり暗号化されていない）ネットワーク上でクレデンシャルをプロバイダとして提供するためにWi-Fiが使用されることがあるが、このオンボーディング方法はクレデンシャル漏洩のリスクがある。ほとんどのホーム・ネットワークでは、すべてのデバイス間で共有される単一のパスワードを使用するため、アクセスはデバイスがパスワードを所有しているかどうかだけで管理され、固有のデバイス ID やデバイスがネットワークに属しているかどうかは考慮されない。この方法はまた、認証情報を無許可の当事者にさらすリスクを増大させる。各デバイスに一意のクレデンシャルを提供することはより安全であるが、一意のクレデンシャルを手動で提供することは、リソース集約的でエラーが発生しやすく、クレデンシャル漏えいのリスクがあり、大規模に実行できない。
Once a device is connected to the network, if it becomes compromised, it can pose a security risk to both the network and other connected devices. Not keeping such a device current with the most recent software and firmware updates may make it more susceptible to compromise. The device could also be attacked through receipt of malicious payloads. Once compromised, it may be used to attack other devices on the network.	いったんデバイスがネットワークに接続されると、それが侵害された場合、ネットワークと他の接続デバイスの両方にセキュリティリスクをもたらす可能性がある。そのようなデバイスを最新のソフトウェアとファームウェア・アップデートに更新しておかないと、侵害を受けやすくなる可能性がある。デバイスはまた、悪意のあるペイロードを受信することで攻撃される可能性もある。いったん侵害されると、ネットワーク上の他のデバイスを攻撃するために使用される可能性がある。
OUTCOME	成果
The outcome of this project is development of example trusted onboarding solutions, demonstration that they support various scenarios, and publication of the findings in this practice guide, a NIST Special Publication (SP) 1800 that is composed of multiple volumes targeting different audiences.	このプロジェクトの成果は、信頼されるオンボーディング・ソリューションの例を開発し、それらが様々なシナリオをサポートすることを実証し、その結果をこの実践ガイド（NIST 特別刊行物（SP）1800 で公表することである。
This practice guide can help IoT device users:	このプラクティス・ガイドは、IoT デバイス・ユーザーを支援する：
Understand how to onboard their IoT devices in a trusted manner to:	IoT デバイスを信頼できる方法で搭載する方法を理解する：
▪ Ensure that their network is not put at risk as new IoT devices are added to it	新しい IoT デバイスがネットワークに追加されても、ネットワークがリスクにさらされないようにする。
▪ Safeguard their IoT devices from being taken over by unauthorized networks	IoT デバイスが不正なネットワークに乗っ取られないように保護する。
▪ Provide IoT devices with unique credentials for network access	IoT デバイスにネットワークアクセス用の固有の認証情報をプロバイダとして提供する。
▪ Provide, renew, and replace device network credentials in a secure manner	デバイスのネットワーク認証情報を安全な方法でプロバイダ、更新、交換する。
▪ Support ongoing protection of IoT devices throughout their lifecycles	IoT デバイスのライフサイクルを通じて継続的な保護をサポートする。
This practice guide can help manufacturers and vendors of semiconductors, secure storage components, IoT devices, and network onboarding equipment:	この実践ガイドは、半導体、セキュア・ストレージ・コンポーネント、IoT デバイス、ネットワーク・オンボーディング機器の製造事業者やベンダーに役立つ：
Understand the desired security properties for supporting trusted network-layer onboarding and explore their options with respect to recommended practices for:	信頼されたネットワーク層のオンボーディングをサポートするために望ましいセキュリティ特性を理解し、以下の推奨プラクティスに関する選択肢を検討する：
▪ Providing unique credentials into secure storage on IoT devices at the time of manufacture to mitigate supply chain risks (i.e., device credentials)	サプライチェーンリスクを軽減するために、製造事業者の製造時に、IoT デバイスのセキュアストレージに一意のクレデンシャルをプロバイダする（すなわち、デバイスクレデンシャル）。
▪ Installing onboarding software onto IoT devices	IoT 機器にオンボーディング・ソフトウェアをインストールする。
▪ Providing IoT device purchasers with information needed to onboard the IoT devices to their networks (i.e., device bootstrapping information)	IoT デバイスの購入者に、IoT デバイスをネットワークに組み込むために必要な情報（デバイスのブートストラップ情報）を提供する。
▪ Integrating support for network-layer onboarding with additional security capabilities to provide ongoing protection throughout the device lifecycle	ネットワーク層のオンボーディングのサポートを追加のセキュリティ機能と統合し、デバイスのライフサイクル全体を通じて継続的な保護を提供する。
SOLUTION	解決策
The NCCoE recommends the use of trusted network-layer onboarding to provide scalable, automated, trusted ways to provide IoT devices with unique network credentials and manage devices throughout their lifecycles to ensure that they remain secure. The NCCoE is collaborating with technology providers and other stakeholders to implement example trusted network-layer onboarding solutions for IoT devices that:	NCCoE は、IoT デバイスに固有のネットワーク認証情報を提供し、デバイスのライフサイクル全体を通じてデバイスを管理し、デバイスの安全性を確実に維持するためのスケーラブルで自動化された信頼できる方法を提供するために、信頼できるネットワーク層オンボーディングの使用を推奨する。NCCoE は、テクノロジー・プロバイダやその他の利害関係者と協力して、以下のような IoT デバイス向けの信頼されたネットワーク・レイヤ・オンボーディング・ソリューションの例を実装している：
▪ provide each device with unique network credentials,	各デバイスに固有のネットワーク認証情報を提供する、
▪ enable the device and the network to mutually authenticate,	デバイスとネットワークの相互認証を可能にする、
▪ send devices their credentials over an encrypted channel,	各デバイスに固有のネットワーク認証情報を提供する、
▪ do not provide any person with access to the credentials, and	認証情報へのアクセスを誰にも提供しない。
▪ can be performed repeatedly throughout the device lifecycle.	デバイスのライフサイクルを通じて繰り返し実行できる。
The capabilities demonstrated include:	実証された機能は以下の通りである：
▪ trusted network-layer onboarding of IoT devices,	IoTデバイスの信頼されたネットワークレイヤーのオンボーディング、
▪ repeated trusted network-layer onboarding of devices to the same or a different network,	IoTデバイスの信頼されたネットワークレイヤー・オンボーディング、▽同一または異なるネットワークへのデバイスの信頼されたネットワークレイヤー・オンボーディングの繰り返し、
▪ trusted application-layer onboarding (i.e., automatic establishment of an encrypted connection between an IoT device and a trusted application service after the IoT device has performed trusted network-layer onboarding and used its credentials to connect to the network), and	信頼されたアプリケーション層のオンボーディング（IoTデバイスが信頼されたネットワーク層のオンボーディングを実行し、その認証情報を使用してネットワークに接続した後に、IoTデバイスとトラストアプリケーションサービスとの間で暗号化された接続を自動的に確立すること）。
▪ software-based methods to provide device credentials in the factory and transfer device bootstrapping information from device manufacturer to device purchaser.	工場でデバイス認証情報を提供し、デバイスブートストラップ情報をデバイス製造事業者からデバイス購入者に転送する、ソフトウェアベースの方法。
Future capabilities may include demonstrating the integration of trusted network-layer onboarding with zero trust-inspired [Note: See NIST SP 800-207] mechanisms such as ongoing device authorization, renewal of device network credentials, device attestation to ensure that only trusted IoT devices are permitted to be onboarded, device lifecycle management, and enforcement of device communications intent.	将来の機能には、継続的なデバイス認可、デバイス・ネットワーク認証情報の更新、信頼された IoT デバイスのみがオンボードされることを保証するためのデバイス認証、デバイス・ライフサイクル管理、およびデバイス・コミュニケーション・インテントの実施など、ゼロトラストに触発された [注：NIST SP 800-207 を参照] メカニズムと信頼されたネットワーク層オンボーディングの統合の実証が含まれる可能性がある。
This demonstration follows an agile methodology of building implementations (i.e., builds) iteratively and incrementally, starting with network-layer onboarding and gradually integrating additional capabilities that improve device and network security throughout a managed device lifecycle. This includes factory builds that simulate activities performed to securely provide device credentials during the manufacturing process, and five network-layer onboarding builds that demonstrate the Wi-Fi Easy Connect, Bootstrapping Remote Secure Key Infrastructure (BRSKI), and Thread Commissioning protocols. These builds also demonstrate both streamlined and independent trusted application-layer onboarding approaches, along with policy-based continuous assurance and authorization. The example implementations use technologies and capabilities from our project collaborators (listed below).	このデモは、実装（すなわちビルド）を反復的かつ段階的に構築するアジャイル手法に従っており、ネットワーク層のオンボーディングから始まり、管理されたデバイスのライフサイクル全体を通じてデバイスとネットワークのセキュリティを改善する追加機能を徐々に統合していく。これには、製造プロセス中にデバイス認証情報を安全に提供するために実行される活動をシミュレートする工場ビルドと、Wi-Fi Easy Connect、Bootstrapping Remote Secure Key Infrastructure（BRSKI）、Thread Commissioningプロトコルを実証する5つのネットワークレイヤ・オンボーディング・ビルドが含まれる。また、これらのビルドは、ポリシー・ベースの継続的な保証と認可とともに、合理的で独立した信頼できるアプリケーション層のオンボーディング・アプローチも実証している。実装例では、プロジェクトの共同研究者（以下にリストアップ）の技術と機能を使用している。
Collaborators	協力者
Aruba, a Hewlett Packard Enterprise company	ヒューレット・パッカード・エンタープライズ傘下のAruba社
CableLabs	ケーブルラボ
Cisco	シスコ
Foundries.io	Foundries.io
Kudelski IoT	クデルスキーIoT
NquiringMinds	NquiringMinds
NXP Semiconductors	NXPセミコンダクターズ
Open Connectivity	オープン・コネクティビティ
Foundation (OCF)	財団（OCF）
Sandelman Software Works	サンデルマン・ソフトウェア・ワークス
SEALSQ, a subsidiary of	子会社SEALSQ
WISeKey	WISeKey
Silicon Labs	シリコン・ラボ
While the NCCoE uses a suite of commercial products, services, and proof-of-concept technologies to address this challenge, this guide does not endorse these particular products, services, and technologies, nor does it guarantee compliance with any regulatory initiatives. Your organization's information security experts should identify the products and services that will best integrate with your existing tools, IT and IoT system infrastructure, and operations. Your organization can adopt these solutions or one that adheres to these guidelines in whole, or you can use this guide as a starting point for tailoring and implementing parts of a solution.	NCCoEは、この課題に対処するために一連の商用製品、サービス、および概念実証技術を使用しているが、本ガイドは、これらの特定の製品、サービス、および技術を推奨するものではなく、また、規制イニシアチブへの準拠を保証するものでもない。組織の情報セキュリティ専門家は、既存のツール、IT、IoT システムのインフラ、および運用と最もよく統合できる製品やサービスを特定する必要がある。あなたの組織は、これらのソリューションまたはこれらのガイドラインに準拠したソリューションを全面的に採用することもできるし、このガイドを出発点として、ソリューションの一部をカスタマイズして導入することもできる。
HOW TO USE THIS GUIDE	このガイドの使い方
Depending on your role in your organization, you might use this guide in different ways:	組織におけるあなたの役割によって、このガイドの使い方は異なる：
Business decision makers, such as chief information security, product security, and technology officers, can use this part of the guide, NIST SP 1800-36A: Executive Summary, to understand the project’s challenges and outcomes, as well as our solution approach.	最高情報セキュリティ責任者、製品セキュリティ責任者、技術責任者などのビジネス意思決定者は、本ガイドのこの部分「NIST SP 1800-36A：エグゼクティブサマリー」を使用して、プロジェクトの課題と成果、および当社のソリューションアプローチを理解することができる。
Technology, security, and privacy program managers who are concerned with how to identify, understand, assess, and mitigate risk can use NIST SP 1800-36B: Approach, Architecture, and Security Characteristics. This part of the guide describes the architecture and different implementations. Also, NIST SP 1800-36E: Risk and Compliance Management, maps components of the trusted onboarding eference architecture to security characteristics in broadly applicable, well-known cybersecurity guidelines and practices.	リスクを特定、理解、評価、緩和する方法に関心のある技術、セキュリティ、プライバシーのプログラム管理者は、NIST SP 1800-36B: アプローチ、アーキテクチャ、セキュリティ特性を使用することができる。このパートでは、アーキテクチャとさまざまな実装について説明している。また、NIST SP 1800-36E: リスクおよびコンプライアンスマネジメントでは、信頼されるオンボーディングの参照アーキテクチャのコンポーネントを、広く適用可能な周知のサイバーセキュリティガイドラインおよびプラクティスにおけるセキュリティ特性にマッピングしている。
IT professionals who want to implement an approach like this can make use of NIST SP 1800-36C: How-To Guides. It provides product installation, configuration, and integration instructions for building example implementations, allowing them to be replicated in whole or in part. They can also use NIST SP 1800-36D: Functional Demonstrations, which provides the use cases that have been defined to showcase trusted network-layer onboarding and lifecycle management security capabilities and the results of demonstrating these capabilities with each of the example implementations. These use cases may be helpful when developing requirements for systems being developed.	このようなアプローチを実装したいIT専門家は、NIST SP 1800-36C: How-To Guidesを活用することができる。これは、実装例を構築するための製品のインストール、構成、統合の手順を提供するものであり、その全部または一部を複製することができる。また、NIST SP 1800-36D: Functional Demonstrations を使用することもできる。これは、信頼されたネットワーク層のオンボーディングとライフサイクル管理のセキュリティ機能を示すために定義されたユースケースと、各実装例でこれらの機能を実証した結果を提供するものである。これらのユースケースは、開発中のシステムの要件を策定する際に役立つ可能性がある。

1800-36B ipd

Approach, Architecture, and Security Characteristics

アプローチ、アーキテクチャ、セキュリティの特徴

目次...

1 Summary	1 概要
1.1 Challenge	1.1 課題
1.2 Solution	1.2 ソリューション
1.3 Benefits	1.3 利点
2 How to Use This Guide	2 このガイドの使い方
2.1 Typographic Conventions	2.1 タイポグラフィの規則
3 Approach	3 アプローチ
3.1 Audience	3.1 対象者
3.2 Scope	3.2 範囲
3.3 Assumptions and Definitions	3.3 前提条件および定義
3.3.1 Credential Types	3.3.1 クレデンシャルタイプ
3.3.2 Integrating Security Enhancements	3.3.2 セキュリティ強化の統合
3.3.3 Device Limitations	3.3.3 デバイスの制限
3.3.4 Specifications Are Still Improving	3.3.4 仕様はまだ改善中である。
3.4 Collaborators and Their Contributions	3.4 協力者とその貢献
3.4.1 Aruba, a Hewlett Packard Enterprise Company	3.4.1 ヒューレット・パッカード・エンタープライズ傘下の Aruba
3.4.2 CableLabs	3.4.2 ケーブルラボ
3.4.3 Cisco	3.4.3 シスコ
3.4.4 Foundries.io	3.4.4 Foundries.io
3.4.5 Kudelski IoT	3.4.5 クデルスキーIoT
3.4.6 NquiringMinds	3.4.6 NquiringMinds
3.4.7 NXP Semiconductors	3.4.7 NXPセミコンダクターズ
3.4.8 Open Connectivity Foundation (OCF)	3.4.8 オープン・コネクティビティ・ファンデーション（OCF）
3.4.9 Sandelman Software Works	3.4.9 サンデルマンソフトウェアワークス
3.4.10 SEALSQ, a subsidiary of WISeKey	3.4.10 SEALSQ、WISeKeyの子会社
3.4.11 VaultIC408	3.4.11 VaultIC408
3.4.12 Silicon Labs	3.4.12 シリコンラボ
4 Reference Architecture	4 リファレンス・アーキテクチャ
4.1 Device Manufacture and Factory Provisioning Process	4.1 デバイスの製造と工場でのプロビジョニング・プロセス
4.2 Device Ownership and Bootstrapping Information Transfer Process	4.2 デバイスの所有権とブートストラップ情報転送プロセス
4.3 Trusted Network-Layer Onboarding Process	4.3 信頼されたネットワーク層のオンボーディング・プロセス
4.4 Trusted Application-Layer Onboarding Process	4.4 信頼されたアプリケーション層のオンボーディング・プロセス
4.5 Continuous Verification	4.5 継続的検証
5 Laboratory Physical Architecture	5 ラボ物理アーキテクチャ
5.1 Shared Environment	5.1 共有環境
5.1.1 Domain Controller	5.1.1 ドメインコントローラ
5.1.2 Jumpbox	5.1.2 ジャンプボックス
5.2 Build 1 (Wi-Fi Easy Connect, Aruba/HPE) Physical Architecture	5.2 ビルド1（Wi-Fi Easy Connect、Aruba/HPE）の物理アーキテクチャ
5.2.1 Wi-Fi Easy Connect Factory Provisioning Build Physical Architecture	5.2.1 Wi-Fi Easy Connectファクトリー・プロビジョニング・ビルド物理アーキテクチャ
5.3 Build 2 (Wi-Fi Easy Connect, CableLabs, OCF) Physical Architecture	5.3 ビルド2（Wi-Fi Easy Connect、CableLabs、OCF）物理アーキテクチャ
5.4 Build 3 (BRSKI, Sandelman Software Works) Physical Architecture	5.4 ビルド3（BRSKI、Sandelman Software Works）物理アーキテクチャ
5.5 Build 4 (Thread, Silicon Labs, Kudelski IoT) Physical Architecture	5.5 ビルド 4 (Thread、Silicon Labs、Kudelski IoT) 物理アーキテクチャ
5.6 Build 5 (BRSKI, NquiringMinds) Physical Architecture	5.6 Build 5 (BRSKI, NquiringMinds) 物理アーキテクチャ
5.6.1 BRSKI Factory Provisioning Build Physical Architecture	5.6.1 BRSKI Factory Provisioning Build 物理アーキテクチャ
6 General Findings	6 一般的な調査結果
6.1 Wi-Fi Easy Connect	6.1 Wi-Fi Easy Connect
6.1.1 Mutual Authentication	6.1.1 相互認証
6.1.2 Mutual Authorization	6.1.2 相互認可
6.1.3 Secure Storage	6.1.3 安全なストレージ
6.2 BRSKI	6.2 BRSKI
6.2.1 Reliance on the Device Manufacturer	6.2.1 デバイス製造事業者への依存
6.2.2 Mutual Authentication	6.2.2 相互認証
6.2.3 Mutual Authorization	6.2.3 相互認可
6.2.4 Secure Storage	6.2.4 安全なストレージ
6.3 Thread	6.3 スレッド
6.4 Application-Layer Onboarding	6.4 アプリケーション層のオンボーディング
6.4.1 Independent Application-Layer Onboarding	6.4.1 独立したアプリケーション層のオンボーディング
6.4.2 Streamline Application-Layer Onboarding	6.4.2 アプリケーション・レイヤー・オンボーディングの合理化
7 Additional Build Considerations	7 追加の構築に関する考慮事項
7.1 Network Authentication	7.1 ネットワーク認証
7.2 Device Communications Intent	7.2 デバイス・コミュニケーションの意図
7.3 Network Segmentation	7.3 ネットワーク・セグメンテーション
7.4 Integration with a Lifecycle Management Service	7.4 ライフサイクル管理サービスとの統合
7.5 Network Credential Renewal	7.5 ネットワーク・クレデンシャルの更新
7.6 Integration with Supply Chain Management Tools	7.6 サプライチェーン管理ツールとの統合
7.7 Attestation	7.7 認証
7.8 Mutual Attestation	7.8 相互認証
7.9 Behavioral Analysis	7.9 行動分析
7.10 Device Trustworthiness Scale	7.10 デバイス信頼性尺度
7.11 Resource Constrained Systems	7.11 資源制約のあるシステム
Appendix A List of Acronyms	附属書A 略語一覧
Appendix B Glossary	附属書B 用語集
Appendix C Build 1 (Wi-Fi Easy Connect, Aruba/HPE)	附属書C 構築1（Wi-Fi Easy Connect、Aruba/HPE）
C.1 Technologies	C.1 テクノロジー
C.2 Build 1 Architecture	C.2 Build 1アーキテクチャ
C.2.1 Build 1 Logical Architecture	C.2.1 ビルド1の論理アーキテクチャ
C.2.2 Build 1 Physical Architecture	C.2.2 Build 1 物理アーキテクチャ
Appendix D Build 2 (Wi-Fi Easy Connect, CableLabs, OCF)	附属書D ビルド2（Wi-Fi Easy Connect、CableLabs、OCF）
D.1 Technologies	D.1 テクノロジ
D.2 Build 2 Architecture	D.2 ビルド2アーキテクチャ
D.2.1 Build 2 Logical Architecture	D.2.1 ビルド2の論理アーキテクチャ
D.2.2 Build 2 Physical Architecture	D.2.2 ビルド 2 物理アーキテクチャ
Appendix E Build 3 (BRSKI, Sandelman Software Works)	附属書E ビルド3（BRSKI、Sandelman Software Works）
E.1 Technologies	E.1 テクノロジー
E.2 Build 3 Architecture	E.2 ビルド 3 アーキテクチャ
E.2.1 Build 3 Logical Architecture	E.2.1 ビルド 3 論理アーキテクチャ
E.2.2 Build 3 Physical Architecture	E.2.2 ビルド 3 物理アーキテクチャ
Appendix F Build 4 (Thread, Silicon Labs-Thread, Kudelski KeySTREAM)	附属書 F ビルド 4 (Thread、Silicon Labs-Thread、Kudelski KeySTREAM)
F.1 Technologies	F.1 テクノロジー
F.2 Build 4 Architecture	F.2 ビルド 4 アーキテクチャ
F.2.1 Build 4 Logical Architecture	F.2.1 ビルド 4 論理アーキテクチャ
F.2.2 Build 4 Physical Architecture	F.2.2 ビルド 4 物理アーキテクチャ
Appendix G Build 5 (BRSKI over Wi-Fi, NquiringMinds)	附属書 G ビルド 5（BRSKI over Wi-Fi、NquiringMinds）
G.1 Technologies	G.1 技術
G.2 Build 5 Architecture	G.2 ビルド5アーキテクチャ
G.2.1 Build 5 Logical Architecture	G.2.1 ビルド 5 論理アーキテクチャ
G.2.2 Build 5 Physical Architecture	G.2.2 ビルド 5 物理アーキテクチャ
Appendix H Factory Provisioning Process	附属書 H 工場でのプロビジョニングプロセス
H.1 Factory Provisioning Process	H.1 工場でのプロビジョニングプロセス
H.1.1 Device Birth Credential Provisioning Methods	H.1.1 デバイスの誕生クレデンシャルのプロビジョニング方法
H.2 Factory Provisioning Builds – General Provisioning Process	H.2 工場でのプロビジョニングビルド - 一般規定プロビジョニングプロセス
H.3 BRSKI Factory Provisioning Builds (NquiringMinds and SEALSQ)	H.3 BRSKI 工場でのプロビジョニングビルド（NquiringMinds および SEALSQ）
H.3.1 BRSKI Factory Provisioning Build Technologies	H.3.1 BRSKI 工場でのプロビジョニング構築技術
H.3.2 BRSKI Factory Provisioning Build Logical Architectures	H.3.2 BRSKI 工場でのプロビジョニング構築論理アーキテクチャ
H.3.3 BRSKI Factory Provisioning Build Physical Architectures	H.3.3 BRSKI 工場でのプロビジョニング物理的アーキテクチャ
H.4 Wi-Fi Easy Connect Factory Provisioning Build (SEALSQ and Aruba/HPE)	H.4 Wi-Fi Easy Connect工場出荷時プロビジョニング構築（SEALSQおよびAruba/HPE）
H.4.1 Wi-Fi Easy Connect Factory Provisioning Build Technologies	H.4.1 Wi-Fi イージーコネクト工場でのプロビジョニング構築技術
H.4.2 Wi-Fi Easy Connect Factory Provisioning Build Logical Architecture	H.4.2 Wi-Fi イージーコネクト工場でのプロビジョニング構築論理アーキテクチャ
H.4.3 Wi-Fi Easy Connect Factory Provisioning Build Physical Architecture	H.4.3 Wi-Fi イージーコネクト工場でのプロビジョニング物理アーキテクチャ
Appendix I References	附属書 I 参考文献

1800-36C ipd

How-To Guides

ハウツーガイド

1 Introduction	1 序文
1.1 How to Use This Guide …	1.1 このガイドの使用方法 ...
1.2 Build Overview	1.2 ビルドの概要
1.2.1 Reference Architecture Summary	1.2.1 リファレンスアーキテクチャの概要
1.2.2 Physical Architecture Summary	1.2.2 物理アーキテクチャの概要
1.3 Typographic Conventions	1.3 タイポグラフィの規則
2 Build 1 (Wi-Fi Easy Connect, Aruba/HPE)	2 ビルド 1 (Wi-Fi イージーコネクト、Aruba/HPE)
2.1 Aruba Central/Hewlett Packard Enterprise (HPE) Cloud	2.1 Aruba Central/Hewlett Packard Enterprise（HPE）クラウド
2.2 Aruba Wireless Access Point	2.2 Arubaワイヤレス・アクセス・ポイント
2.2.1 Wi-Fi Network Setup and Configuration	2.2.1 Wi-Fi ネットワークのセットアップと構成
2.2.2 Wi-Fi Easy Connect Configuration	2.2.2 Wi-Fi イージーコネクトの設定
2.3 Cisco Catalyst 3850-S Switch	2.3 Cisco Catalyst 3850-Sスイッチ
2.3.1 Configuration	2.3.1 構成
2.4 Aruba User Experience Insight (UXI) Sensor	2.4 Aruba User Experience Insight (UXI) センサー
2.4.1 Configuration	2.4.1 構成
2.5 Raspberry Pi	2.5 Raspberry Pi
2.5.1 Configuration	2.5.1 構成
2.5.2 DPP Onboarding	2.5.2 DPP オンボーディング
2.6 Certificate Authority	2.6 認証局
2.6.1 Private Certificate Authority	2.6.1 プライベート認証局
2.6.2 SEALSQ INeS	2.6.2 SEALSQ INeS
2.7 UXI Cloud	2.7 UXIクラウド
2.8 Wi-Fi Easy Connect Factory Provisioning Build	2.8 Wi-Fi イージーコネクト工場でのプロビジョニング構築
2.8.1 SEALSQ VaultiC Secure Element	2.8.1 SEALSQ VaultiC セキュアエレメント
3 Build 2 (Wi-Fi Easy Connect, CableLabs, OCF)	3 ビルド2（Wi-Fi イージーコネクト、CableLabs、OCF）
3.1 CableLabs Platform Controller	3.1 CableLabsプラットフォーム・コントローラ
3.1.1 Operation and Demonstration	3.1.1 操作とデモ
3.2 CableLabs Custom Connectivity Gateway	3.2 CableLabsカスタム接続ゲートウェイ
3.2.1 Installation and Configuration	3.2.1 インストールと設定
3.2.2 Integration with CableLabs Platform Controller	3.2.2 ケーブルラボプラットフォームコントローラーとの統合
3.2.3 Operation and Demonstration	3.2.3 操作とデモ
3.3 Reference Clients/loT Devices	3.3 リファレンスクライアント/loTデバイス
3.3.1 Installation and Configuration	3.3.1 インストールと設定
3.3.2 Operation and Demonstration	3.3.2 操作とデモ
4 Build 3 (BRSKI, Sandelman Software Works)	4 ビルド3（BRSKI、サンデルマンソフトウェアワークス）
4.1 Onboarding Router/Join Proxy	4.1 オンボーディング・ルータ／ジョイン・プロキシ
4.1.1 Setup and Configuration	4.1.1 セットアップと設定
4.2 Minerva Join Registrar Coordinator	4.2 Minerva Joinレジストラコーディネータ
4.2.1 Setup and Configuration	4.2.1 セットアップと設定
4.3 Reach Pledge Simulator	4.3 リーチ誓約シミュレーター
4.3.1 Setup and Configuration	4.3.1 セットアップと設定
4.4 Serial Console Server	4.4 シリアルコンソールサーバー
4.5 Minerva Highway MASA Server	4.5 Minerva Highway MASAサーバー
4.5.1 Setup and Configuration	4.5.1 セットアップと設定
5 Build 4 (Thread, Silicon Labs, Kudelski loT)	5 ビルド4（スレッド、シリコンラボ、クデルスキーloT）
5.1 Open Thread Border Router	5.1 オープンスレッドボーダールーター
5.1.1 Installation and Configuration	5.1.1 インストールと設定
5.1.2 Operation and Demonstration	5.1.2 動作とデモ
5.2 Silicon Labs Dev Kit (BRD2601A) …	5.2 Silicon Labs Dev Kit (BRD2601A) ...
5.2.1 Setup and Configuration	5.2.1 セットアップと設定
5.3 Kudelski keySTREAM Service	5.3 Kudelski keySTREAMサービス
5.3.1 Setup and Configuration	5.3.1 セットアップと構成
5.4 AWS IoT Core	5.4 AWS IoTコア
5.4.1 Setup and Configuration	5.4.1 セットアップと構成
5.4.2 Testing	5.4.2 テスト
6 Build 5 (BRSKI over Wi-Fi, NquiringMinds)	6 ビルド5（BRSKI over Wi-Fi、NquiringMinds）
6.1 Pledge	6.1 誓約
6.1.1 Installation and Configuration	6.1.1 インストールと設定
6.1.2 Operation and Demonstration	6.1.2 操作とデモ
6.2 Router and Logical Services	6.2 ルータと論理サービス
6.2.1 Installation and Configuration	6.2.1 設置と設定
6.2.2 Logical services	6.2.2 論理サービス
6.3 Onboarding Demonstration	6.3 オンボーディング・デモンストレーション
6.3.1 Prerequisites	6.3.1 前提条件
6.3.2 Onboarding Demonstration	6.3.2 オンボーディング・デモンストレーション
6.3.3 Continuous Assurance Demonstration	6.3.3 継続的保証のデモンストレーション
6.4 BRSKI Factory Provisioning Build	6.4 BRSKIファクトリープロビジョニング構築
6.4.1 Pledge	6.4.1 誓約
6.4.2 Installation and Configuration	6.4.2 インストールと構成
6.4.3 Operation and Demonstration	6.4.3 運用とデモンストレーション
List of Figures	図一覧
Figure 1-1 NCCoE loT Onboarding Laboratory Physical Architecture	図 1-1 NCCoE loT Onboarding Laboratory 物理アーキテクチャ
Figure 6-1 Logical Services for Build 5	図 6-1 構築 5 の論理サービス
Figure 6-2 Diagram of Physical/Logical Components Used to Demonstrate BRSKI Flow	図 6-2 BRSKI フローのデモに使用される物理／論理コンポーネント図

1800-36D ipd

Functional Demonstrations

機能デモンストレーション

1 Introduction	1 序文
1.1 How to Use This Guide	1.1 本ガイドの使用方法
2 Functional Demonstration Playbook	2 機能デモプレイブック
2.1 Scenario 0: Factory Provisioning	2.1 シナリオ 0：工場でのプロビジョニング
2.2 Scenario 1: Trusted Network-Layer Onboarding	2.2 シナリオ1：信頼できるネットワークレイヤーのオンボーディング
2.3 Scenario 2: Trusted Application-Layer Onboarding	2.3 シナリオ 2：信頼できるアプリケーションレイヤーのオンボーディング
2.4 Scenario 3: Re-Onboarding a Device	2.4 シナリオ 3：デバイスの再オンボーディング
2.5 Scenario 4: Ongoing Device Validation	2.5 シナリオ 4：継続的なデバイス検証
2.6 Scenario 5: Establishment and Maintenance of Credential and Device Security Posture Throughout the Lifecycle	2.6 シナリオ 5：ライフサイクルを通してのクレデンシャルおよびデバイスのセキュリティ態勢の確立と保守
3 Functional Demonstration Results	3 機能実証結果
3.1 Build 1 Demonstration Results	3.1 ビルド 1 の実証結果
3.2 Build 2 Demonstration Results	3.2 ビルド 2 の実証結果
3.3 Build 3 Demonstration Results	3.3 ビルド 3 の実証結果
3.4 Build 4 Demonstration Results	3.4 ビルド4の実証結果
3.5 Build 5 Demonstration Results	3.5 ビルド5 実証結果
Appendix A References	附属書A 参考文献
List of Tables	表一覧
Table 2-1 Scenario 0 Factory Provisioning Capabilities That May Be Demonstrated	表 2-1 シナリオ 0 工場出荷時のプロビジョニング機能
Table 2-2 Scenario 1 Trusted Network-Layer Onboarding Capabilities That May Be Demonstrated	表2-2 実証可能なシナリオ1 信頼されたネットワークレイヤーのオンボーディング機能
Table 2-3 Scenario 2 Trusted Application-Layer Onboarding Capabilities That May Be Demonstrated	表2-3 実証可能なシナリオ2 信頼されたアプリケーション層のオンボーディング能力
Table 2-4 Scenario 3 Re-Onboarding Capabilities That May Be Demonstrated	表2-4 シナリオ3 実証可能な再オンボーディング能力
Table 2-5 Scenario 4 Ongoing Device Validation Capabilities That May Be Demonstrated	表 2-5 実証可能なシナリオ 4 継続的デバイス検証機能
Table 2-6 Scenario 5 Credential and Device Posture Establishment and Maintenance Capabilities That May Be Demonstrated	表 2-6 実証される可能性のあるシナリオ 5 クレデンシャルおよびデバイス姿勢の確立と保守機能
Table 3-1 Build 1 Capabilities Demonstrated 9 Table 3-2 Build 2 Capabilities Demonstrated	表 3-1 実証された構築 1 能力 9 表 3-2 実証された構築 2 能力
Table 3-3 Build 3 Capabilities Demonstrated	表 3-3 実証されたビルド 3 能力

1800-36E ipd

Risk and Compliance Management

リスク・コンプライアンス・マネジメント

1 Introduction	1 序文
1.1 How to Use This Guide	1.1 本ガイドの使用方法
2 Risks Addressed by Trusted Network-Layer Onboarding and Lifecycle Management	2 信頼されるネットワーク層のオンボーディングとライフサイクル管理によって対処されるリスク管理
2.1 Risks to the Network	2.1 ネットワークに対するリスク
2.1.1 Risks to the Network Due to Device Limitations	2.1.1 デバイスの制限によるネットワークへのリスク
2.1.2 Risks to the Network Due to Use of Shared Network Credentials	2.1.2 共有ネットワーククレデンシャルの使用によるネットワークへのリスク
2.1.3 Risks to the Network Due to Insecure Network Credential Provisioning	2.1.3 安全でないネットワーククレデンシャルプロビジョニングによるネットワークへのリスク
2.1.4 Risks to the Network Due to Supply Chain Attacks	2.1.4 サプライチェーン攻撃によるネットワークへのリスク
2.2 Risks to the Device	2.2 デバイスへのリスク
2.3 Risks to Secure Lifecycle Management	2.3 安全なライフサイクルマネジメントに対するリスク
2.4 Limitations and Dependencies of Trusted Onboarding	2.4 信頼されたオンボーディングの限界と依存関係
3 Mapping Use Cases, Approach, and Terminology	3 ユースケース、アプローチ、用語のマッピング
3.1 Use Cases	3.1 ユースケース
3.2 Mapping Producers	3.2 生産者のマッピング
3.3 Mapping Approach	3.3 マッピングのアプローチ
3.3.1 Mapping Terminology	3.3.1 マッピング用語
3.3.2 Mapping Process	3.3.2 マッピングプロセス
4 Mappings	4 マッピング
4.1 NIST CSF Subcategory Mappings	4.1 NIST CSF サブカテゴリーのマッピング
4.1.1 Mappings Between Reference Design Functions and NIST CSF Subcategories	4.1.1 参照設計機能と NIST CSF サブカテゴリーとの間のマッピング
4.1.2 Mappings Between Specific Onboarding Protocols and NIST CSF Subcategories	4.1.2 特定のオンボーディング・プロトコルと NIST CSF サブカテゴリーとの間のマッピング
4.1.3 Mappings Between Specific Builds and NIST CSF Subcategories	4.1.3 特定の構築物と NIST CSF サブカテゴリーとの間のマッピング
4.2 NIST SP 800-53 Control Mappings	4.2 NIST SP 800-53 コントロールマッピング
4.2.1 Mappings Between Reference Design Functions and NIST SP 800-53 Controls	4.2.1 参照設計機能と NIST SP 800-53 コントロールとの間のマッピング
4.2.2 Mappings Between Specific Onboarding Protocols and NIST SP 800-53 Controls	4.2.2 特定のオンボーディング・プロトコルと NIST SP 800-53 コントロールとのマッピング
4.2.3 Mappings Between Specific Builds and NIST SP 800-53 Controls	4.2.3 特定のビルドと NIST SP 800-53 コントロールとの間のマッピング
Appendix A References	附属書 A 参考文献

● まるちゃんの情報セキュリティ気まぐれ日記

米国のサイバーセキュリティラベル

・2024.04.19 米国 NIST NIST IR 8425A（初期公開ドラフト）消費者向けルータ製品に推奨されるサイバーセキュリティ要件

・2024.04.05 米国意見募集 NIST CSWP 33（初公開ドラフト）製品開発サイバーセキュリティハンドブック： IoT製品製造者のための概念と考慮事項

・2024.03.20 米国連邦通信委員会 (FCC) がIoTサイバーセキュリティ表示プログラム（サイバートラストマーク）の規則を採択 (2024.03.14)

・2023.07.19 米国消費者向けIoT製品のセキュリティ認証制度、サイバートラスト・マーク (U.S. Cyber Trust Mark) を発表

・2023.05.10 米国ホワイトハウス重要新興技術に関する国家標準化戦略を発表 (2023.05.04)

・2023.04.25 Five Eyesの国々が安全なスマートシティを作るための共同ガイダンスを発表 (2023.04.20)

・2023.03.04 米国国家サイバーセキュリティ戦略を発表

・2023.05.07 米国 NIST SP 1800-36 (ドラフト) 信頼できるIoTデバイスのネットワーク層オンボーディングとライフサイクル管理：インターネットプロトコルベースのIoTデバイスとネットワークのセキュリティ強化（初期ドラフト）(2023.05.03)

・2022.06.19 NISTIR 8425 (ドラフト) 消費者向けIoT製品のIoTコアベースラインのプロファイル

・2022.05.19 NIST IoTセキュリティ関連の文書についてNISTのブログで簡単に説明されていますね。。。

・2022.02.07 NIST ホワイトペーパー：消費者向けソフトウェアのサイバーセキュリティラベルの推奨規準

・2022.02.06 NIST ホワイトペーパー：消費者向けIoT製品のサイバーセキュリティラベルの推奨規準

・2021.11.04 NIST 消費者向けソフトウェアのサイバーセキュリティに関するラベリングについての意見募集

英国 PTSI

・2024.04.30 英国製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法が施行されました...

・2024.01.29 英国 2022年製品セキュリティ・通信インフラ制度のウェブページ（Product Security and Telecommunications Infrastructure Act 2022 関係）

・2023.05.04 英国インターネットに接続するすべての消費者向け製品に適用される最低セキュリティ基準制度が1年後にはじまりますよ〜 (2023.04.29)

・2022.12.11 英国製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法成立 at 2022.12.06

・2022.01.27 英国スマートデバイスのサイバーセキュリティ新法に一歩近づくと発表

・2021.12.09 英国製品セキュリティおよび電気通信インフラストラクチャ（PSTI）法案 at 2021.11.24

EU CRA...

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2024.02.02 欧州委員会サイバーセキュリティ認証制度 (EUCC) を採択

・2024.01.17 欧州欧州議会の投票にかけられるサイバーレジリエンス法案 (Cyber Resilience Act)

・2023.12.04 欧州理事会、欧州議会がサイバーレジリエンス法について政治的合意

・2023.05.31 ENISA 新技術に対応したEUサイバーセキュリティ認証の実現可能性を探る

・2023.04.21 欧州委員会マネージド・セキュリティサービスの認証にむけたサイバーセキュリティ法の改正案 (2023.04.18)

・2023.03.21 ENISA サイバーセキュリティ認証のウェブページを開設

・2023.01.29 欧州サイバーレジリエンス法案に対するポジションペーパー by 欧州消費者機構

・2022.09.17 欧州委員会サイバーレジリエンス法案　製造者は「積極的に悪用される脆弱性」に気づいたら24時間以内にENISAに報告しなければならない...

ドイツのセキュリティ製品の認証

・2022.10.31 ドイツシンガポール消費者向けIoT製品のサイバーセキュリティ・ラベルの相互承認 (2022.10.20)

・2022.05.09 ドイツ ITセキュリティラベル for 消費者向けスマート製品

・2022.02.03 ドイツ BSI Mail.deの電子メールサービスにITセキュリティラベルを付与

・2021.07.18 独国 BSIがITセキュリティラベルについてのウェブページを公開していますね。。。

中国

・2022.02.15 中国国家サイバースペース管理局専門家の解説ネットワーク重要機器のセキュリティ認証とセキュリティテストによるネットワークセキュリティの基本ディスクの維持

日本...

・2024.03.17 経済産業省 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会の最終とりまとめを公表し、制度構築方針案に対する意見公募を開始

・2023.05.17 経済産業省産業サイバーセキュリティ研究会 WG3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会中間とりまとめ

・2022.11.04 経済産業省第1回産業サイバーセキュリティ研究会ワーキンググループ3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会

2024.06.08 05:24 in 情報セキュリティ / サイバーセキュリティ, in 危機管理 / 事業継続, in パブコメ, in IoT | Permalink | Comments (0)
Tweet

米国連邦通信委員会 (FCC) インターネット・ルーティングのセキュリティ報告要件を提案

こんにちは、丸山満彦です。

連邦通信委員会 (FCC)が、インターネット・ルーティング・セキュリティの改善を目的とした報告要件を提案していますね。。。

● Federal Communications Commission; FCC

・2024.06.06 FCC Proposes Internet Routing Security Reporting Requirements

・・[DOCX] [PDF][TXT]

FCC Proposes Internet Routing Security Reporting Requirements	FCC、インターネット・ルーティングのセキュリティ報告要件を提案
FCC PROPOSES REPORTING REQUIREMENTS TARGETED TO IMPROVING INTERNET ROUTING SECURITY	FCCはインターネット・ルーティング・セキュリティの改善を目的とした報告要件を提案する。
Broadband Providers Would Create BGP Security Plans and	ブロードバンドプロバイダはBGPセキュリティ計画を作成し
Largest Providers Would Also File Quarterly Reports on BGP Risk Mitigation Progress	最大プロバイダはBGPリスク低減の進捗状況を四半期ごとに報告する。
--	--
WASHINGTON, June 6, 2024—The Federal Communications Commission today proposed action to help protect America’s communications networks against cyberattacks by improving internet routing security. The Commission’s proposal would require broadband providers to create confidential reports on the steps they have taken, and plan to undertake, to mitigate vulnerabilities in the Border Gateway Protocol (BGP), the technical protocol used to route information across the internet. The nation’s largest broadband providers would also be required to file specific public data on a quarterly basis demonstrating their BGP risk mitigation progress. Today’s proposal would promote more secure internet routing and provide the Commission and its national security partners with up-to-date information on this critical issue.	2024年6月6日、ワシントン-連邦通信委員会は本日、インターネット・ルーティング・セキュリティの改善を通じて、米国の通信ネットワークをサイバー攻撃から保護するための措置を提案した。同委員会の提案は、ブロードバンド・プロバイダーに対し、インターネット上で情報をルーティングするための技術プロトコルであるBGP（Border Gateway Protocol）の脆弱性を低減するために講じた措置および講じる予定の措置に関する極秘報告書の作成を義務付けるものである。また、全米最大のブロードバンド・プロバイダーは、BGPリスク低減の進捗状況を示す特定の公開データを四半期ごとに提出することが義務付けられる。本日の提案は、より安全なインターネット・ルーティングを促進し、欧州委員会とその国家安全保障上のパートナーに、この重要な問題に関する最新情報を提供するものである。
BGP’s initial decades-old design, which remains widely deployed today, does not include intrinsic security features to ensure trust in the information that is relied upon to exchange traffic among independently managed networks on the internet. BGP national security experts have raised concerns that a bad network actor may deliberately falsify BGP reachability information to redirect traffic. These “BGP hijacks” can expose Americans’ personal information; enable theft, extortion, and state-level espionage; and disrupt services upon which the public or critical infrastructure sectors rely.	数十年前に設計され、現在も広く導入されているBGPには、インターネット上で独立に管理されるネットワーク間でトラフィックを交換する際に信頼される情報の信頼性を確保するための本質的なセキュリティ機能は含まれていない。 BGPの国家安全保障の専門家は、悪質なネットワーク・アクターがトラフィックをリダイレクトするために意図的にBGP到達可能性情報を改ざんする可能性があるという懸念を表明している。このような「BGPハイジャック」は、アメリカ人の個人情報を暴露したり、窃盗、恐喝、国家レベルのスパイ活動を可能にしたり、公共部門や重要インフラ部門が依存するサービスを妨害したりする可能性がある。
To help address these vulnerabilities, the Commission today adopted a Notice of Proposed Rulemaking proposing that:	このような脆弱性に対処するため、欧州委員会は本日、以下の事項を提案する提案通知を採択した：
· Broadband internet access service providers prepare and update confidential BGP security risk management plans at least annually. These plans would detail their progress and plans for implementing BGP security measures that utilize the Resource Public Key Infrastructure (RPKI), a critical component of BGP security.	・ブロードバンド・インターネットアクセス・サービス・プロバイダは、少なくとも年1回、極秘のBGPセキュリティ・リスクマネジメント計画を作成し、更新する。これらの計画には、BGPセキュリティの重要な要素であるリソース公開鍵基盤（RPKI）を利用したBGPセキュリティ対策の実施に関する進捗状況と計画が詳細に記載される。
· The nine largest broadband providers file their BGP plans confidentially with the Commission as well as file quarterly data available to the public that would allow the Commission to measure progress in the implementation of RPKI-based security measures and assess the reasonableness of the BGP plans. These large providers would not have to file subsequent detailed plans with the Commission if they met a certain security threshold.	・大手ブロードバンドプロバイダー9社は、BGP計画を秘密裏に欧州委員会に提出し、また、欧州委員会がRPKIベースのセキュリティ対策の進捗状況を測定し、BGP計画の妥当性を評価できるように、四半期ごとに一般公開されるデータを提出する。これらの大規模プロバイダは、一定のセキュリティ基準を満たせば、その後の詳細な計画を委員会に提出する必要はない。
· Smaller broadband providers would not be required to file their plans with the Commission but rather make them available to the Commission upon request.	・小規模のブロードバンドプロバイダーは、委員会に計画を提出する必要はなく、委員会の要求に応じて、計画を提出することになる。
The Commission is seeking public comment on these proposals and other measures related to implementing RPKI-based security. In taking today’s action, the Commission recognized the efforts of multiple stakeholders over the past twenty years to address BGP vulnerabilities but noted that more work needs to be done to secure internet routing, which is critical to public safety and national security.	欧州委員会は、これらの提案およびRPKIベースのセキュリティ導入に関するその他の措置について、パブリックコメントを求めている。欧州委員会は、本日の措置において、BGPの脆弱性に対処するための過去20年間にわたる複数の利害関係者の努力を認めつつも、公共の安全と国家の安全保障に不可欠なインターネット・ルーティングの安全性を確保するためには、さらなる取り組みが必要であることを指摘した。
Action by the Commission June 6, 2024 by Notice of Proposed Rulemaking (FCC 24-62). Chairwoman Rosenworcel, Commissioners Carr, Starks, Simington, and Gomez approving. Chairwoman Rosenworcel and Commissioner Starks issuing separate statements.	2024年6月6日、提案された規則作成通知（FCC 24-62）による委員会の措置。 Rosenworcel委員長、Carr委員、Starks委員、Simington委員、Gomez委員が承認する。 Rosenworcel委員長とStarks委員はそれぞれ声明を発表している。

ジェシカ・ローゼンウォーセル委員長の声明

・2024.06.06 FCC Proposes Internet Routing Security Reporting Requirements

・・[DOCX][PDF][TXT]

FCC Proposes Internet Routing Security Reporting Requirements	FCC、インターネット・ルーティングのセキュリティ報告要件を提案
STATEMENT OF	声明
CHAIRWOMAN JESSICA ROSENWORCEL	ジェシカ・ローゼンウォーセル委員長
Re: Reporting on Border Gateway Protocol Risk Mitigation Progress, PS Docket No. 24-146; Secure Internet Routing, PS Docket No. 22-90, Notice of Proposed Rulemaking (June 6, 2024).	Re：ボーダー・ゲートウェイ・プロトコルのリスク低減進捗状況の報告、PS Docket No.24-146; Secure Internet Routing、PS Docket No.22-90、 Notice of Proposed Rulemaking (June 6、 2024).
A few months ago I hosted a conversation with Vint Cerf, one half of the team that developed the protocol that allows computers to talk to one another. For this he is often described as the “Father of the Internet.” We had a joyous back-and-forth about the origins and open architecture of the internet. So I asked him to reflect for a moment. What was it that he wished he had known back then when it all started? He responded without skipping a beat. He told me he wished he had known that the internet would need more security.	数ヶ月前、私はヴィント・サーフ氏との対談を催した。サーフ氏は、コンピューターが互いに会話するためのプロトコルを開発したチームの片割れである。彼はしばしば "インターネットの父 "と称される。私たちは、インターネットの起源とオープン・アーキテクチャについて、楽しいやりとりをした。そこで、私は彼に少し考えるように頼んだ。インターネットが始まった当時に知っておきたかったことは何だろう？彼は寸分の狂いもなく答えた。インターネットにはもっとセキュリティーが必要だと知っていればよかったと。
Amen. We have come to rely on the internet for nearly everything in our lives. Ensuring that internet traffic is secure is essential.	アーメン。私たちは生活のほとんどすべてをインターネットに頼るようになった。インターネット・トラフィックの安全性を確保することは不可欠である。
That is where Border Gateway Protocol comes in. BGP manages how packets of data get transmitted between networks. It is central to the global routing system of the internet because it is the protocol that allows independently managed networks to send traffic to one another.	そこで登場するのがボーダー・ゲートウェイ・プロトコルだ。 BGPは、データのパケットがネットワーク間でどのように転送されるかを管理する。 BGPはインターネットのグローバル・ルーティング・システムの中心であり、独立に管理されたネットワークが相互にトラフィックを送信するためのプロトコルだからだ。
That means we all rely on BGP. Every one of us, every day. That is true if you are running a small business and using connections to engage with customers and suppliers, banking online, having a telemedicine session with a healthcare provider, helping the kids with their digital age schoolwork, staying in touch with family, or keeping up to date on the news. BGP is in the background, helping connect our critical infrastructure, support emergency services, keep the financial sector running, shore up manufacturing, and more.	つまり、私たちは皆BGPに依存している。私たち全員が、毎日。それは、あなたが中小企業を経営し、顧客やサプライヤとのエンゲージメント、オンラインバンキング、医療プロバイダとの遠隔医療セッション、子供たちのデジタル時代の学校の勉強の手伝い、家族との連絡、ニュースの最新情報を得るために接続を使用している場合にも当てはまる。 BGPは、私たちの重要なインフラを接続し、緊急サービスをサポートし、金融セクターを稼働させ、製造事業者を補強するなど、さまざまな場面で活躍している。
You might be surprised to learn that something so critical in the modern economy has pretty humble origins. This history is why BGP is sometimes called the “three napkin protocol.” As the story goes, back in 1989, the internet, then a novelty for computer scientists like Vint Cerf, was expanding—fast. But the internet’s basic protocols at the time could not handle this growth. So on their lunch break from an Internet Engineering Task Force meeting in Austin, Texas, a pair of engineers sketched out the ideas for BGP on three ketchup-stained paper napkins. What was meant to be a short-term solution developed on the sidelines of an internet engineering conference is still with us today.	現代経済において非常に重要なものが、かなり地味な起源を持っていることに驚くかもしれない。 BGPが "スリーナプキン・プロトコル "と呼ばれる所以である。 1989年当時、インターネットはヴィント・サーフのようなコンピューター科学者にとって目新しく、急速に拡大していた。しかし、当時のインターネットの基本プロトコルはこの成長に対応できなかった。そこで、テキサス州オースティンで開催されたインターネット技術タスクフォースの会議の昼休みに、2人組のエンジニアがケチャップで汚れた紙ナプキン3枚にBGPのアイデアをスケッチした。インターネット・エンジニアリング・カンファレンスの傍らで開発された短期的なソリューションのつもりが、今日でも私たちの手元にある。
While BGP has allowed network operators to grow and evolve the modern internet, it was not designed with explicit security features to ensure trust in exchanged information. That means bad actors can use this protocol to maliciously misdirect and exploit internet traffic. I want to thank the Cybersecurity and Infrastructure Security Agency at the Department of Homeland Security for working with my office and jointly holding a BGP public forum to discuss this problem. I also want to thank the Department of Defense and Department of Justice for publicly disclosing in our record that China Telecom used BGP vulnerabilities to misroute United States internet traffic on at least six occasions. These “BGP hijacks” can expose personal information, enable theft, extortion, and state-level espionage. They can also disrupt sensitive transactions that require security, like those in the financial sector.	BGPのおかげでネットワーク・オペレーターは現代のインターネットを成長させ、進化させることができたが、交換された情報の信頼性を保証する明確なセキュリティ機能は設計されていなかった。つまり、悪意ある行為者がこのプロトコルを使って、インターネット・トラフィックを悪意を持って誘導し、悪用することができるのだ。国土安全保障省のサイバーセキュリティ・インフラセキュリティ保障庁が私のオフィスと協力し、この問題を議論するためにBGP公開フォーラムを共同で開催してくれたことに感謝したい。また、国防総省と司法省が、チャイナテレコムがBGPの脆弱性を利用して少なくとも6回にわたり米国のインターネットトラフィックをミスルートしていたことを我々の記録で公表してくれたことにも感謝したい。こうした「BGPハイジャック」は、個人情報を暴露し、窃盗、恐喝、国家レベルのスパイ活動を可能にする。また、金融セクターのようなセキュリティを必要とする重要な取引を妨害する可能性もある。
For all of these reasons, today we begin a rulemaking to help make our internet routing more secure. We propose that all providers of broadband internet access service prepare and update confidential BGP security risk management plans. These plans would describe and attest to their efforts to follow existing best practices with respect to Route Origin Authorizations and Route Origin Validation using the Resource Public Key Infrastructure. In addition, we propose quarterly reporting for the largest providers to ensure we are making progress addressing this well-known vulnerability.	これらの理由から、我々は本日、インターネット・ルーティングの安全性を高めるためのルール作りを開始する。ブロードバンドインターネットアクセスサービスを提供するすべてのプロバイダが、機密のBGPセキュリティリスク管理計画を作成し、更新することを提案する。これらの計画は、Resource Public Key Infrastructureを使用したRoute Origin AuthorizationsおよびRoute Origin Validationに関して、既存のベストプラクティスに従う努力を説明し、証明するものである。さらに、このよく知られた脆弱性への対処が進んでいることを確認するため、最大手のプロバイダに対して四半期ごとの報告を提案する。
...	...

ジェフリー・スタークス委員の声明

・2024.06.06 FCC Proposes Internet Routing Security Reporting Requirements

・・[DOCX][PDF][TXT]

FCC Proposes Internet Routing Security Reporting Requirements	FCC、インターネット・ルーティング・セキュリティ報告要件を提案
STATEMENT OF	声明
COMMISSIONER GEOFFREY STARKS	ジェフリー・スタークス委員
Re: Reporting on Border Gateway Protocol Risk Mitigation Progress, Notice of Proposed Rulemaking, PS Docket No. 24-146; Secure Internet Routing, PS Docket No. 22-90.	Re：ボーダー・ゲートウェイ・プロトコルのリスク低減の進捗状況の報告、規則制定提案公告、PS Docket No.24-146、セキュア・インターネット・ルーティング、PS Docket No.22-90。
Border Gateway Protocol is the mechanism that enables our Internet service providers (ISPs) to route traffic throughout the variety of networks that, when combined, make up the Internet. I’ve been focused on this since 2022, when I sat down with a group of the largest ISPs in America to discuss the challenges surrounding Internet routing. So, trust me when I tell you that it is vitally important that BGP is secure and we get it right.	ボーダー・ゲートウェイ・プロトコルは、インターネット・サービス・プロバイダ（ISP）が、インターネットを構成するさまざまなネットワークを通じてトラフィックをルーティングするための仕組みである。私は、2022年にアメリカ最大のISPのグループとインターネット・ルーティングをめぐる課題について議論して以来、この問題に注目してきた。だから、BGPが安全であることが極めて重要であり、私たちがそれを正しく理解することが重要だと言ったら、私を信頼してほしい。
As with most of the underlying protocols that make the Internet work, it was unfortunately not designed with security in mind. Accidental or malicious actions that send erroneous routing traffic information can make networks unavailable, or worse, can be used to redirect traffic to allow for cyberattacks, data theft, or espionage. For example, in 2008, YouTube was rendered inaccessible for much of the world after Pakistan attempted to block access to it within its borders by modifying YouTube’s BGP routes. Russia took advantage of BGP vulnerabilities to limit access to Twitter as part of its invasion of Ukraine. And China Telecom misdirected 15% of the world’s Internet traffic, and routed domestic United States Internet traffic through China, by hijacking BGP.	インターネットを機能させる基礎となるプロトコルのほとんどがそうであるように、残念ながらBGPはセキュリティを念頭に置いて設計されていない。誤ったルーティング・トラフィック情報を送信する事故や悪意のある行為によって、ネットワークが利用できなくなったり、最悪の場合、トラフィックをリダイレクトしてサイバー攻撃やデータ窃盗、スパイ行為に利用されたりする可能性がある。例えば、2008年、パキスタンがYouTubeのBGPルートを変更することで、国境内でのアクセスをブロックしようとしたため、YouTubeは世界の多くの地域でアクセス不能となった。ロシアはBGPの脆弱性を利用し、ウクライナ侵攻の一環としてツイッターへのアクセスを制限した。また、チャイナテレコムはBGPをハイジャックすることで、世界のインターネットトラフィックの15％を誤送信し、米国内のインターネットトラフィックを中国経由にした。
The good news is experts have developed tools and strategies to enhance BGP security. A group of ISPs working together at the Mutually Agreed Norms for Routing Security, or “MANRS,” created one such tool, Routing Public Key Infrastructure (RPKI), which is a public database of authenticated BGP routes and the gold standard of protecting Internet routing.	良いニュースは、専門家がBGPのセキュリティを強化するためのツールと戦略を開発したことだ。 MANRS（Mutually Agreed Norms for Routing Security：ルーティング・セキュリティのための相互合意規範）」で協力しているISPのグループは、そのようなツールの1つであるRPKI（Routing Public Key Infrastructure：ルーティング・パブリック・キー・インフラ）を作成した。
That’s where our Notice comes in. In proposing that ISPs providing broadband Internet access service create BGP security risk management plans, ISPs that otherwise have not yet begun the process to deploy BGP mitigations will do so. In proposing to measure RPKI deployment, we will help inform both the private and public sectors about what more needs to be done to secure our networks. Our actions are part of a multi-pronged approach throughout the government. It is also consistent with Initiative 4.1.5 of the National Cybersecurity Strategy Implementation Plan, which tasks the Office of the National Cyber Director, along with stakeholders and government agencies, to develop a roadmap to increase adoption of secure Internet routing techniques including BGP security.	そこで我々の通達の出番となる。ブロードバンドインターネットアクセスサービスを提供するISPがBGPセキュリティリスクマネジメントプランを作成することを提案することで、まだBGP緩和策を展開するプロセスを開始していないISPは、BGP緩和策を展開することになる。 RPKIの展開を測定することを提案することで、ネットワークの安全性を確保するためにさらに何を行う必要があるかについて、民間部門と公共部門の両方に情報を提供する一助となる。私たちの行動は、政府全体にわたる多方面からのアプローチの一部である。また、国家サイバーセキュリティ戦略実施計画のイニシアティブ4.1.5にも合致している。このイニシアティブでは、国家サイバー局長室が利害関係者や政府機関とともに、BGPセキュリティを含む安全なインターネットルーティング技術の採用を拡大するためのロードマップを策定することを課題としている。
I thank the Chairwoman for her ongoing leadership in securing Internet routing, and for accepting my edits to make sure we ask questions about how our efforts can promote accountability among stakeholders, support the development of open standards setting solutions, such as RPKI, understand how network architecture plays into BGP security and RPKI deployment, and ensure that our efforts promote risk-based routing security among ISPs.	インターネット・ルーティングの安全性確保においてリーダーシップを発揮し続けている議長に感謝するとともに、我々の取り組みがステークホルダー間の説明責任をどのように促進できるか、RPKIなどのオープンな標準設定ソリューションの開発をどのように支援できるか、ネットワーク・アーキテクチャがBGPセキュリティやRPKIの展開にどのように関与しているかを理解し、我々の取り組みがISP間でリスクベースのルーティング・セキュリティを促進することを確認するために、私の編集を受け入れてくれたことに感謝する。
I look forward to continuing to engage with stakeholders and following the record closely. Protecting routing security will require an all-hands-on-deck approach from all stakeholders. Thank you to the Commission staff working on this complicated proceeding. I approve.	利害関係者との関わりを継続し、記録を注意深く追っていくことを楽しみにしている。ルーティングセキュリティの防御には、すべての利害関係者が総力を挙げて取り組む必要がある。この複雑な手続きに取り組んでいる欧州委員会のスタッフに感謝する。承認する。

2024.06.08 00:00 in 情報セキュリティ / サイバーセキュリティ | Permalink | Comments (0)
Tweet

2024.06.07

欧州議会欧州議会選挙に対する偽情報に対する準備は整った（選挙期間中）

こんにちは、丸山満彦です。

2024年欧州議会選挙[wikipedia]の期間は06.06-06.09ですので、ちょうど今選挙期間ですね。。。偽情報対策もきっちりやってきたということのようです。

欧州議会による発表が2024.06.06にありました。また、駐日EU代表部のウェブマガジン(2024.05.07)にもEU議会選挙の話があり、そこにも偽情報対策の話がありますね...かなり詳細な説明です...

日本は、選挙に対して影響工作とかされていないのですかね...まったく偽情報対策という話はでてこないですね..まぁ、それ以前に収賄とかそういう問題が先か...

先に駐日EU代表部のウェブマガジンから紹介します...

● 駐日欧州連合代表部の公式ウェブマガジン

・2024.05.07 2024年欧州議会選挙について教えてください

Q4. 選挙に向けたEUの虚偽情報対策について教えください。

昔から選挙では、誇大公約、偽情報の流布、買収や脅迫など、内外から情報操作や選挙干渉などが行われてきました。しかし、情報技術の飛躍的発展に伴い、ディスインフォメーション（虚偽情報）への対策が強く求められています。

既に前回の2019年欧州議会選挙前から、ロシアのウクライナなどに対するサイバー攻撃をはじめ、外国政府による選挙への介入・干渉が問題視されていました。そのため、当時の欧州委員会とフェデリカ・モゲリーニEU外務・安全保障政策上級代表兼欧州委員会副委員長は2018年12月、共同政策文書「ディスインフォメーションに対する行動計画」を発表しました。

同計画は具体的には以下の柱で構成されています。

（1）ディスインフォメーションの探知、分析、摘発する能力の向上：EU諸機関や加盟国でデジタル機器やデータ分析技術、専門職員への投資を行うなど

（2）ディスインフォメーションに対する協調的および共同での対応の強化：緊急警報システム（Rapid Alert System: RAS）の創設、関連情報交換のための加盟国の窓口の指定など

（3）ディスインフォメーションに対処するための民間部門の動員：ディスインフォメーション対策に関するEU全域の行動規範の制定と実施、主要なオンラインプラットフォーム企業と協定を締結し、虚偽と判断された投稿や情報を削除、これらの企業の対策・取り組みの実施に関する定期報告および対応が不備な場合の規制措置など

（4）意識向上と社会的回復力の改善：EUや近隣諸国で一般市民対象の啓発活動やメディア・世論形成者を対象とした研修の実施、ディスインフォメーションを探知・摘発するためファクトチェッカーや研究者で構成するチームの創設支援など

主要オンラインプラットフォーム企業などが 2018 年 10月に合意した自主規範「2018年ディスインフォメーションに関する行動規範」は、2019年欧州議会選挙での経験を踏まえて強化され、「2022年ディスインフォメーションに関する行動規範」として2022年6月、改訂プロセスに参加した34者によって署名され、発表されました。さらに、ディスインフォメーションを含めたEU域外からの情報操作や干渉への対応は、EUの安全保障・防衛政策の強化を目指して2022年3月に採択された「戦略的コンパス」にも明記され、欧州対外行動庁（EEAS）の任務として再確認されています。

さらに、オンラインプラットフォーム企業に利用者の保護や違法コンテンツへの対応を義務づける「デジタルサービス法（Digital Service Act: DSA）」が2022年11月に発効し、大規模事業者には順次適用され、2024年2月からEU域内で全面適用が始まりました。 2024年欧州議会選挙に向けて、ロシアや中国などによるディスインフォメーション拡散を用いた選挙干渉が強く懸念されることから、欧州委員会は2024年3月、DSAに基づき、超大規模オンラインプラットフォームおよび検索エンジンに対し、選挙をめぐるディスインフォメーション対策の強化を求める指針を発出しました。

また、欧州議会は2024年3月、人口知能（AI）の開発・運用に関する包括的な規則を定めた「AI法」を採択しました。今後、EU理事会での承認を受けて順次施行される見通しで、全面適用は2026年中を目指しています。同法では、AIが基本的人権や民主主義に及ぼし得るリスクの高さに応じて4段階に分類し、最もリスクが高いものは使用禁止にします。企業が禁止を遵守しなかった場合やリスク緩和の義務を履行しなかった場合には高額の制裁金が課されることになります。社会的影響の大きい「Chat GPT」などの生成AIについても規制し、開発する事業者がどのようなデータを学習させたかなどについて情報の開示・表示義務とその履行監督の方法についても定めています。現時点では、まだ法的拘束力はありませんが、主要オンラインプラットフォームや検察エンジンは協力を求められています。

伝統的な選挙干渉への対応も見られます。欧州議会は2024年2月、ラトビア選出の欧州議会議員がロシア連邦保安局（FSB）のためのスパイ活動をしていたという報道をめぐり、決議を採択し、「欧州の民主主義を弱体化させようとするロシアによる継続的な取り組みに対し大きな憤りと深刻な懸念」を表明。2024年前期のEU理事会議長国であるベルギーのアレクサンダー・ドゥ＝クロー首相も2024年4月、ブリュッセルでの記者会見で、親ロシア派のネットワークが欧州議会議員に金銭を支払ったと発表、同国の検察当局が捜査を開始したことも明らかにしました。6月の欧州議会選挙に向け、ロシアは親ロ派の議員を増やそうとしていると指摘しました。

欧州理事会は、今回の欧州議会選挙まで2カ月を切った4月17日～18日に開催された特別会合で、選挙プロセスに対する域外からの情報操作や干渉とともに、AIによるものを含むディスインフォメーションに起因するリスクを厳格に監視し、封じ込めるというEUと加盟各国の決意を強調しました。RASなどを使いながら、ネット時代における公正な欧州議会選挙の実施を目指し、EU諸機関と加盟国当局が協力することを強く求めたのです。

欧州議会...

● European Parliament

プレス...

・2024.06.06 European elections: EU institutions prepared to counter disinformation

European elections: EU institutions prepared to counter disinformation	欧州選挙： EU機構、偽情報に対抗する準備は整った
The EU institutions are playing their part in defending the European elections on 6-9 June against disinformation and information manipulation targeting European democracy.	EU諸機関は、6月6日から9日にかけて行われる欧州選挙を、欧州民主主義を標的とした偽情報や情報操作から守るため、その役割を果たしている。
The European elections are a flagship of European democracy. As documented by e.g. the European Digital Media Observatory, disinformation actors from inside and outside the EU seek to undermine the integrity of the electoral process, trust in democratic processes at large and sow division and polarisation in our societies. According to the Eurobarometer, 81% of EU citizens agree that news or information that misrepresents reality or is false is a problem for democracy.	欧州選挙は欧州民主主義の旗艦である。欧州デジタルメディア監視局（European Digital Media Observatory）などが記録しているように、EU内外からの偽情報発信者は、選挙プロセスの完全性、民主的プロセス全般に対する信頼を損ない、私たちの社会に分断と偏向をもたらそうとしている。ユーロバロメーターによれば、81％のEU市民が、現実を誤認させたり、虚偽のニュースや情報が民主主義にとって問題であることに同意している。
Attempts to mislead citizens	市民を欺く試み
Institutions, authorities, civil society actors and fact-checkers such as the European Digital Media Observatory, the European Fact-Checking Standards Network and EUvsDisinfo have detected and exposed numerous attempts to mislead voters with manipulated information in recent months.	欧州デジタルメディア監視団、欧州ファクトチェック基準ネットワーク、EUvsDisinfoなどの機構、認可機関、市民社会関係者、ファクトチェッカーは、ここ数ヶ月の間に、操作された情報で有権者を惑わそうとする数々の試みを検知し、暴露してきた。
Disinformation actors have pushed false information about how to vote, discouraged citizens from voting, or sought to sow division and polarisation ahead of the vote by hijacking high-profile or controversial topics. Sometimes these attempts to deceive consist of flooding the information space with an abundance of false and misleading information, all with the aim of hijacking the public debate. Often top politicians and leaders are targeted by information manipulation campaigns. Several European policies are often targets of disinformation: support to Ukraine, the European Green Deal, and migration.	偽情報の発信者は、投票方法に関する偽情報を流したり、市民の投票意欲を削いだり、あるいは注目度の高い話題や物議を醸すような話題の乗っ取りによって、投票に先立ち分裂や偏向の種をまこうとしたりした。このような欺瞞の試みは、情報空間に虚偽や誤解を招くような情報を氾濫させることで行われることもある。トップ政治家や指導者が情報操作キャンペーンの標的にされることも多い。ウクライナ支援、欧州グリーン・ディール、移民問題など、欧州のいくつかの政策が偽情報の標的となることが多い。
Disinformation actors have also employed networks of fake accounts as well as fake or impersonated media outlets to manipulate the information environment. Recent revelations by the European External Action Service (EEAS) and national authorities of EU Member States include the False Facade, Portal Kombat and Doppelgänger operations.	偽情報活動家はまた、偽アカウントのネットワークや偽の、あるいはなりすましたメディアを利用して、情報環境を操作している。欧州対外活動庁（EEAS）やEU加盟国の国内当局による最近の認可には、「偽のファサード」作戦、「ポータルコンバット」作戦、「ドッペルゲンガー」作戦などがある。
Recently an investigative report called "Operation Overload" by Finnish software company Check First documented how suspicious accounts contacted more than 800 fact-checkers and media in over 75 countries - to overload them with false information, drain their resources and to try and convince them to spread this false information by way of debunking articles.	最近、フィンランドのソフトウェア会社チェック・ファーストが発表した「オーバーロード作戦」と呼ばれる調査報告書では、疑わしいアカウントが75カ国以上の800人以上のファクトチェッカーやメディアに接触し、偽情報で過剰な負荷をかけ、彼らのリソースを消耗させ、論破記事によって偽情報を広めるよう説得している様子が記録されている。
EU institutions: Increased efforts to protect the EU from information manipulation	EU機構： EUを情報操作から守るための努力の強化
While the threats are there, so are the EU’s collective responses. Based on a clear mandate from the political leadership, the EU institutions have been tackling the challenge stemming from foreign information manipulation and interference, including disinformation, for years.	脅威が存在する一方で、EUの集団的対応も存在する。政治指導者からの明確な指令に基づき、EUの各機関は、偽情報を含む外国からの情報操作や干渉に起因する課題に長年取り組んできた。
These efforts take place in close collaboration and coordination between the institutions and with the involvement of a wide range of other stakeholders, such as EU Member States, media and fact-checkers and civil society, in order to share insights, exchange experiences and best practices and coordinate responses.	こうした取り組みは、EU加盟国、メディア、ファクトチェッカー、市民社会など、幅広い利害関係者の関与のもと、各機関間の緊密な協力と協調のもとで行われ、見識の共有、経験やベストプラクティスの交換、対応の調整などを図っている。
Being at the global forefront of addressing threats related to foreign information manipulation and interference, the EU is working in close cooperation with its like-minded partners outside of the EU via fora such as the G7 Rapid Response Mechanism, among others. To raise resilience to external interference attempts, the EU has developed a dedicated toolbox to counter foreign information manipulation and interference, including a set of tools ranging from situational awareness and resilience building to legislation and diplomatic levers. All these efforts always take place in full respect of European fundamental values, such as freedom of expression and freedom of opinion.	EUは、外国からの情報操作や干渉に関連する脅威に対処する世界的な最前線にあり、G7迅速対応メカニズムなどの場を通じて、EU域外の志を同じくするパートナーと緊密に協力している。外部からの干渉の試みに対するレジリエンスを高めるため、EUは、状況認識やレジリエンスの構築から、法律や外交手段まで、一連のツールを含む、外国による情報操作や干渉に対抗するための専用のツールボックスを開発した。こうした努力はすべて、表現の自由や意見の自由といった欧州の基本的価値を完全に尊重する中で常に行われている。
Our comprehensive response to disinformation is centred around the following building blocks:	偽情報に対する我々の包括的な対応は、以下の構成要素を中心に行われる：
・developing policies to strengthen our democracies, making it more difficult for disinformation actors to misuse online platforms, and protect journalists and media pluralism;	・民主主義を強化し、偽情報主義者がオンライン・プラットフォームを悪用することをより困難にし、ジャーナリストとメディアの多元主義を保護するための政策を策定する；
・raising awareness about disinformation and our preparedness and response;	・偽情報に対する認識を高め、準備と対応を強化する；
・building societal resilience against disinformation through media literacy and fact-checking;	・メディア・リテラシーとファクト・チェックを通じ、偽情報に対する社会のレジリエンスを構築する；
・cooperating with other institutions, national authorities or third parties.	・他の機構、国家当局またはサードパーティとの協力。
The EU institutions have been promoting several activities, including awareness-raising campaigns and media literacy initiatives, to raise societal resilience against disinformation and information manipulation. Examples include:	EU機構は、偽情報や情報操作に対する社会のレジリエンスを高めるため、啓発キャンペーンやメディア・リテラシーのイニシアティブを含むいくつかの活動を推進してきた。その例として以下が挙げられる：
・the official European elections website with a section on “Free and fair elections”;	・「自由で公正な選挙」のセクションを設けた欧州選挙公式ウェブサイト
・a series of videos by the European Parliament (in 24 official EU languages) informing the public about the techniques used by disinformation actors to deceive people;	・欧州議会による一連のビデオ（EU公用語24カ国語）。偽情報を流す側が人々を欺くために使うテクニックについて一般に知らせる；
・a leaflet by the European Parliament with 10 tips on how to tackle disinformation;	・偽情報に対処するための10のヒントを掲載した欧州議会によるリーフレット；
・a toolkit for teachers by the European Commission on how to spot and fight disinformation;	・欧州委員会による、偽情報の見つけ方と戦い方に関する教師用ツールキット；
・a joint campaign by the Commission and the European Regulators Group for Audiovisual Media Services with a video running on social media and broadcast around the EU, raising awareness of the risks of disinformation and information manipulation ahead of the European elections;	・欧州委員会と欧州視聴覚メディアサービス規制者グループによる共同キャンペーンでは、欧州選挙を前に偽情報と情報操作のリスクに対する認識を高めるため、ソーシャルメディア上でビデオを流し、EU全域で放送した；
・A dedicated series of articles and insights on foreign information manipulation and interference on the EEAS’ EUvsDisinfo.	・EEASの「EUvsDisinfo」において、外国による情報操作や干渉に関する記事や洞察を掲載した。
New EU legislation in place	新たなEU法の整備
In this mandate, important legislation was adopted by co-legislators, such as the Digital Services Act (DSA), the AI Act and the Act on Transparency and Targeting of Political Advertising. During the past mandate, the European Parliament’s Special Committee on Foreign Interference in all Democratic Processes in the European Union, including Disinformation (and its successor) also shone a spotlight on the issue of foreign interference, including disinformation, and recommended that all of society plays its part, also through non-legislative measures, to tackle them.	今回の指令では、デジタルサービス法（DSA）、AI法、政治広告の透明性とターゲティングに関する法律など、重要な法律が共同立法者によって採択された。この間、欧州議会の「偽情報を含む欧州連合におけるあらゆる民主的プロセスへの外国からの干渉に関する特別委員会」（およびその後継委員会）も、偽情報を含む外国からの干渉の問題にスポットライトを当て、社会全体が、立法以外の措置も通じて、その一翼を担うよう勧告した。
The DSA requires platforms to assess and mitigate risks related to the protection of electoral processes, such as disinformation, including through AI generated content. The DSA is already fully applicable and is being enforced by the Commission in relation to so called “very large online platforms” (i.e. those reaching at least 45 million users in the EU or 10% of the EU population). In this context, the Commission has already opened proceedings against X and Meta – for both Instagram and Facebook – on potential DSA violations related to election integrity. On the preventive side, in March 2024, the Commission adopted election guidelines, recalling the measures platforms need to adopt to ensure compliance. In April 2024, the Commission also organised a voluntary stress test with these designated platforms, civil society and national authorities. The Commission is in continuous dialogue with platforms to ensure effective implementation and compliance with the DSA.	DSAは、AI生成的コンテンツを含む偽情報など、選挙プロセスの保護に関連するリスクをアセスメントし、軽減することをプラットフォームに求めている。DSAはすでに完全に適用されており、いわゆる「超大規模オンラインプラットフォーム」（EU域内で少なくとも4,500万人、またはEU人口の10%以上のユーザーにリーチするプラットフォーム）に関して、欧州委員会によって施行されている。この関連で、欧州委員会はすでにX社とメタ社（インスタグラムとフェイスブックの両方）に対し、選挙の完全性に関連するDSA違反の可能性について手続きを開始している。予防面では、2024年3月、欧州委員会は選挙ガイドラインを採択し、プラットフォームがコンプライアンスを確保するために採用すべき措置を喚起した。また、2024年4月には、欧州委員会は、これらの指定されたプラットフォーム、市民社会および各国当局との自主的なストレステストを実施した。欧州委員会は、DSAの効果的な実施と遵守を確保するため、プラットフォームとの対話を続けている。

背景情報

・[PDF] Backgound note

Background note	背景
Foreign interference around elections - Parliament’s investigations, warnings and measures	選挙をめぐる外国からの干渉-国会の調査、警告および対策
Foreign interference in electoral processes represent a systematic pattern, MEPs warned already in 2019 . In 2020, Parliament tasked a special committee to investigate how foreign actors use disinformation campaigns, cyber-attacks targeting critical infrastructure related to elections, and financial support to shape public opinion, put pressures on EU values and harm European Unity.	選挙プロセスへの外国からの干渉は組織的なパターンであると、欧州議会は2019年にすでに警告している。 2020年、欧州議会は特別委員会に、外国勢力が偽情報キャンペーン、選挙に関連する重要インフラを標的としたサイバー攻撃、資金援助をどのように利用して世論を形成し、EUの価値観に圧力をかけ、欧州統合に害を与えているかを調査する任務を課した。
Since then, the EU has strengthened its defence against disinformation, adopting new laws and in other non-legislative ways strengthening the resilience against foreign interference.	それ以来、EUは偽情報に対する防衛を強化し、新たな法律を採択するなど、立法以外の方法で外国からの干渉に対するレジリエンスを強化してきた。
Foreign interference and information manipulation is a real threat to democracy. In a year where major democracies in the world including the EU is voting, Europeans need to be prepared and informed.	外国からの干渉や情報操作は、民主主義に対する真の脅威である。EUを含む世界の主要な民主主義国が投票を行う今年、欧州の人々は準備と情報収集に努める必要がある。
EP president Roberta Metsola has throughout her mandate warned against interference and pushed for more powerful measures:	ロベルタ・メッツォーラ欧州連合（EP）委員長は、その任期中、干渉に警告を発し、より強力な対策を推進してきた：
“This election will be the test of our system... We know how far other actors will go to try to disrupt our democratic processes. We are seeing attempts in many States to push disinformation, misinformation and propaganda which come from actors hostile to the European project. We cannot allow this destructive narrative, propaganda and disinformation to spread without countering it.”, she said at the European Council 21 March 2024.	「今回の選挙は、私たちのシステムが試されることになる。この選挙は、私たちのシステムの試金石となる......私たちは、私たちの民主的プロセスを混乱させようとする他のアクターがどこまでやるかを知っている。多くの国で、偽情報、誤情報、欧州のプロジェクトに敵対する主体によるプロパガンダを押し進めようとする動きが見られる。このような破壊的な物語、プロパガンダ、偽情報に対抗することなく、それを拡散させることは許されません」と、彼女は2024年3月21日の欧州理事会で述べた。
Investigations and warnings during this legislature	今議会における調査と警告
Since the beginning of the legislature, MEPs have investigated the evidence of interference in democratic processes . The special committee investigating foreign interference (INGE ) listed several tactics , including abuse of online platforms, cyberattacks and attacks on critical infrastructure, covert funding and elite capture and recommended a broad set of actions , to make democracy more resilient.	議会が始まって以来、欧州議会議員は民主的プロセスへの干渉の証拠を調査してきた。外国からの干渉を調査する特別委員会（INGE）は、オンライン・プラットフォームの悪用、サイバー攻撃、重要インフラへの攻撃、秘密資金の提供、エリートの掌握など、いくつかの手口を挙げ、民主主義をよりレジリエンスあるものにするための、幅広い行動を勧告した。
The successor committee (ING2 ) stressed the urgent need to step up this defence against foreign interference to protect the 2024 elections . MEPs named Russia and China as main actors, but also mention other actors such as Qatar and Morocco.	後任の委員会（ING2）は、2024年の選挙を守るために、外国からの干渉に対する防御を強化することが急務であると強調した。欧州議会議員は、ロシアと中国を主なアクターとして挙げたが、カタールやモロッコなど他のアクターについても言及した。
In February 2024, MEPs expressed their outrage about the continuous efforts by Russia to undermine and ultimately destroy democracy in Europe, underlining that Putin’s efforts to dismantle any form of democracy inside Russia is a warning sign and that it is a matter of extreme gravity to tackle the Russian interference attempts. Allegations regarding potential misconduct by a Member were referred to the Advisory committee on the code of conduct.	2024年2月、欧州議会議員は、欧州の民主主義を弱体化させ、最終的には破壊しようとするロシアによる継続的な取り組みについて憤りを表明し、ロシア国内のあらゆる民主主義を解体しようとするプーチンの取り組みは警告のサインであり、ロシアの干渉の試みに取り組むことは極めて重大な問題であると強調した。加盟国による不正行為の可能性に関する申し立ては、行動規範に関する諮問委員会に付託された。
In addition, the European External Action Service studies foreign information manipulation and interference and has in a special report about elections , warned about attacks on information consumption, citizens’ ability to vote, political actors, trust in democracy and elections infrastructure during the months before and after elections.	また、欧州対外活動庁は、外国による情報操作や干渉について研究しており、選挙に関する特別報告書の中で、選挙前後の数ヶ月間における情報消費、市民の投票能力、政治関係者、民主主義への信頼、選挙インフラに対する攻撃について警告している。
MEPs asked sanctions against Russian interference in the EU by new Kremlin-backed media outlets spreading Russian disinformation, and condemned the targeted attack against the EP by paying certain MEPs and candidates in the European elections to disseminate Russian propaganda (April 2024).	欧州議会議員は、ロシアの偽情報を広めるクレムリンの支援を受けた新たなメディアによるEUへのロシアの干渉に対する制裁を要請し、欧州議会選挙において特定の欧州議会議員や候補者にロシアのプロパガンダを広めるための報酬を支払うことによる、欧州議会に対する標的型攻撃を非難した（2024年4月）。
Measures taken	取られた措置
Following the above-mentioned analysis, the EU has strengthened its defence against foreign interference in democratic processes many ways:	上記の分析を受けて、EUは民主的プロセスへの外国からの干渉に対する防御をさまざまな方法で強化してきた：
・MEPs have adopted legislation to ensure that online platforms take responsibility to protect citizens and society from disinformation. The 2022 Digital Services Act (DSA) includes obligations for online platforms to counter disinformation and the Digital Markets Act (DMA) establishes obligations for large online platforms acting as “gatekeepers” on the digital market to ensure they behave in a fair way.	欧州議会は、オンライン・プラットフォームが偽情報から市民と社会を守る責任を負うことを確保するための法案を採択した。2022年デジタルサービス法（DSA）には、オンライン・プラットフォームが偽情報に対抗する義務が盛り込まれ、デジタル市場法（DMA）には、デジタル市場の「ゲートキーパー」として機能する大規模オンライン・プラットフォームが公正な方法で行動することを保証する義務が定められている。
・New transparency rules for political advertising help fight against disinformation and foreign interference and ban sponsoring ads from outside the EU ahead of elections.	政治広告に関する新しい透明性ルールは、偽情報や外国からの干渉に対抗するのに役立ち、選挙に先立ちEU域外からの広告スポンサーを禁止する。
・In March 2024, Parliament adopted the world’s first comprehensive law on regulating artificial intelligence (AI), which will protect fundamental rights, democracy and the rule of law as well as counter disinformation.	2024年3月、欧州議会は人工知能（AI）の規制に関する世界初の包括的な法律を採択した。これは基本的権利、民主主義、法の支配を保護し、偽情報に対抗するものである。
・MEPs also adopted new rules to defend journalists and other critical voices from judicial intimidation (anti-SLAPP , February 2024) and strengthened provisions to shield editorial freedom from political interference in the new Media Freedom Act (March 2024).	欧州議会はまた、司法による脅迫からジャーナリストやその他の批判的な声を守るための新たな規則（反SLAPP、2024年2月）を採択し、新メディア自由法（2024年3月）において、政治的干渉から編集の自由を守るための規定を強化した。
・To better protect the European Parliament, Parliament adopted reforms to strengthen the integrity, independence and accountability in the European Parliament and Members called for effective monitoring and surveillance systems to detect foreign interference in its activity (July 2023)	欧州議会の保護を強化するため、議会は欧州議会の完全性、独立性、説明責任を強化する改革を採択し、議員は欧州議会活動への外国からの干渉を検知するための効果的な監視・モニタリングシステムを求めた（2023年7月）。
・To complement these new laws, the EU also has strengthened cooperation between elections authorities , disinformation specialists (both working for public administrations and independent professionals ), with NATO and stepped up its diplomatic service’s specialised team on disinformation.	これらの新しい法律を補完するために、EUは選挙当局、偽情報専門家（行政機関および独立した専門家の両方）、NATOとの協力を強化し、外交部の偽情報専門チームを強化した。
・The EP and EU also has several initiatives to support teachers (also here ) or interested citizens who want to learn more about disinformation and how they can contribute to the defence , or stay vigilant with the help of a leaflet.	EUと欧州議会は、偽情報についてもっと知りたい、どうすれば防衛に貢献できるのか、リーフレットを使って警戒を怠らないようにしたいと考える教員（こちらも参照）や関心のある市民を支援する取り組みもいくつか行っている。
Elections	選挙
Elections are a key democratic moment and can be targeted to ensure an outcome favourable to anti-democratic actors.	選挙は民主主義の重要な瞬間であり、反民主主義勢力に有利な結果を確実にするために狙われる可能性がある。
“[D]isinformation and other information manipulation (...) can prevent citizens from making informed choices or discourage them from political participation altogether. (...) [O]n the eve of the 2024 European elections increased interference and information manipulation activity is expected. (...) [T]he democratic integrity of the Union must (...) be defended, including by preventing the spread of disinformation and undue foreign influence over European elections”, observed the resolution of European Parliament on foreign interference on 1 June 2023.	「(中略)情報操作やその他の情報操作は、市民が十分な情報に基づいた選択をすることを妨げたり、政治参加を完全に思いとどまらせたりする可能性がある。(...）2024年の欧州選挙前夜には、干渉や情報操作の活発化が予想される。(...）欧州連合（EU）の民主主義の完全性は、偽情報の拡散や欧州選挙に対する外国の不当な影響を防止することを含め、（...）守られなければならない」と、2023年6月1日の欧州議会の外国からの干渉に関する決議は述べている。
Free and fair elections need to be protected. EP works hands in hands with all national electoral authorities and other EU Institutions to ensure reliable information about the elections are available.	自由で公正な選挙は守られなければならない。欧州議会は、各国の選挙当局および他のEU機構と手を携えて、選挙に関する信頼できる情報を確実に入手できるように努めている。
It encourages all citizens to use their vote from 6-9 June 2024 European elections.	欧州議会は、2024年6月6日～9日に行われる欧州選挙で、すべての市民が投票権を行使することを奨励する。

2024.06.07 06:40 in 法律 / 犯罪, in AI/Deep Learning, in 安全保障 | Permalink | Comments (0)
Tweet

欧州委員会安全で信頼できる人工知能におけるEUのリーダーシップを強化するため、AI事務局を設置 (2024.05.29)

こんにちは、丸山満彦です。

欧州委員会にAI事務局が作られていますね...

AI事務局は、５つのユニットからなっているようですね...

Unit	ユニット	Function	機能
Regulation and Compliance	規制・コンプライアンス	Coordinates the regulatory approach to facilitate the uniform application and enforcement of the AI Act across the Union, working closely with Member States. The unit will contribute to investigations and possible infringements, administering sanctions;	加盟国と緊密に連携し、AI法の全加盟国における統一的な適用と執行を促進するための規制的アプローチを調整する。同部門は、調査や違反の可能性、制裁措置の管理に貢献する；
AI Safety	AI安全性	Focusing on the identification of systemic risks of very capable general-purpose models, possible mitigation measures as well as evaluation and testing approaches;	非常に高性能な汎用モデルのシステミックリスクの特定、可能な低減措置、評価・テストアプローチに焦点を当てる；
Excellence in AI and Robotics	AI・ロボティクス卓越性	Supports and funds research and development to foster an ecosystem of excellence. It coordinates the GenAI4EU initiative, stimulating the development of models and their integration into innovative applications;	卓越したエコシステムを育成するための研究開発を支援し、資金を提供する。GenAI4EUイニシアチブを調整し、モデルの開発と革新的なアプリケーションへの統合を促進する；
AI for Societal Good	社会的利益のためのAI	Design and implement the international engagement of the AI Office in AI for good, such as weather modelling, cancer diagnoses and digital twins for reconstruction;	象モデリング、がん診断、デジタルツインによる復興など、AI事務局がAIを社会に役立てるための国際的な取り組みを設計・実施する；
AI Innovation and Policy Coordination	AIイノベーション・政策調整	Oversees the execution of the EU AI strategy, monitoring trends and investment, stimulating the uptake of AI through a network of European Digital Innovation Hubs and the establishment of AI Factories, and fostering an innovative ecosystem by supporting regulatory sandboxes and real-world testing.	EUのAI戦略の実行を監督し、動向と投資を監視し、欧州デジタル・イノベーション・ハブのネットワークとAIファクトリーの設立を通じてAIの普及を促進し、規制上のサンドボックスと実環境試験を支援することにより、革新的なエコシステムを育成する。

● European Commission

プレス...

・2024.05.29 Commission establishes AI Office to strengthen EU leadership in safe and trustworthy Artificial Intelligence

Commission establishes AI Office to strengthen EU leadership in safe and trustworthy Artificial Intelligence	欧州委員会、安全で信頼できる人工知能におけるEUのリーダーシップを強化するため、AI事務局を設置する
Today the Commission has unveiled the AI Office, established within the Commission. The AI Office aims at enabling the future development, deployment and use of AI in a way that fosters societal and economic benefits and innovation, while mitigating risks. The Office will play a key role in the implementation of the AI Act, especially in relation to general-purpose AI models. It will also work to foster research and innovation in trustworthy AI and position the EU as a leader in international discussions.	欧州委員会は本日、欧州委員会内に設置した「AI事務局」を発表した。AI事務局は、リスクを低減しつつ、社会的・経済的利益とイノベーションを促進する形で、AIの将来の開発、配備、利用を可能にすることを目的としている。同事務局は、特に汎用AIモデルに関して、AI法の実施において重要な役割を果たす。また、信頼できるAIの研究と技術革新を促進し、EUを国際的な議論のリーダーとして位置づけることにも取り組む。
The AI office is composed of:	AI事務局は以下の部署で構成される：
・Regulation and Compliance Unit that coordinates the regulatory approach to facilitate the uniform application and enforcement of the AI Act across the Union, working closely with Member States. The unit will contribute to investigations and possible infringements, administering sanctions;	・規制・コンプライアンスユニットは、加盟国と緊密に協力しながら、EU全域でAI法の統一的な適用と執行を促進するための規制的アプローチを調整する。このユニットは、調査や違反の可能性、制裁措置の実施に貢献する；
・Unit on AI safety focusing on the identification of systemic risks of very capable general-purpose models, possible mitigation measures as well as evaluation and testing approaches;	・AI安全性ユニットは、非常に高性能な汎用モデルのシステミックリスクの特定、可能な低減措置、評価・テストアプローチに焦点を当てる；
・Excellence in AI and Robotics Unit that supports and funds research and development to foster an ecosystem of excellence. It coordinates the GenAI4EU initiative, stimulating the development of models and their integration into innovative applications;	・AI・ロボティクス卓越性ユニットは、卓越したエコシステムを育成するための研究開発を支援し、資金を提供する。GenAI4EUイニシアチブを調整し、モデルの開発と革新的なアプリケーションへの統合を促進する；
・AI for Societal Good Unit to design and implement the international engagement of the AI Office in AI for good, such as weather modelling, cancer diagnoses and digital twins for reconstruction;	・社会的利益のためのAIユニットは、気象モデリング、がん診断、デジタルツインによる復興など、AI事務局が国際的に関与するAIを設計・実施する；
・AI Innovation and Policy Coordination Unit that oversees the execution of the EU AI strategy, monitoring trends and investment, stimulating the uptake of AI through a network of European Digital Innovation Hubs and the establishment of AI Factories, and fostering an innovative ecosystem by supporting regulatory sandboxes and real-world testing.	・AIイノベーション・政策調整ユニットは、EUのAI戦略の実行を監督し、動向と投資を監視し、欧州デジタル・イノベーション・ハブのネットワークとAIファクトリーの設立を通じてAIの普及を促進し、規制上のサンドボックスと実環境試験を支援することにより、革新的なエコシステムを育成する。
The AI Office will be led by the Head of the AI Office and will work under the guidance of a Lead Scientific Adviser to ensure scientific excellence in evaluation of models and innovative approaches, and an Adviser for international affairs to follow up on our commitment to work closely with international partners on trustworthy AI.	AI事務局は、AI事務局長によって率いられ、モデルや革新的なアプローチの評価における科学的卓越性を確保するための主任科学アドバイザーと、信頼できるAIに関して国際的パートナーと緊密に協力するという我々のコミットメントをフォローアップするための国際問題担当アドバイザーの指導の下で活動する。
AI Office setup and tasks	AI事務局の設立と任務
The AI Office will employ more than 140 staff to carry out its tasks. The staff will include technology specialists, administrative assistants, lawyers, policy specialists, and economists.	AI事務局は140人以上のスタッフを雇用し、業務を遂行する。スタッフには、技術専門家、事務アシスタント、弁護士、政策専門家、エコノミストなどが含まれる。
The office will ensure the coherent implementation of the AI Act. It will do this by supporting the governance bodies in Member States. The AI Office will also directly enforce the rules for general-purpose AI models. In cooperation with AI developers, the scientific community and other stakeholders, the AI Office will coordinate the drawing up of state-of-the-art codes of practice, conduct testing and evaluation of general-purpose AI models, request information as well as apply sanctions, when necessary.	同事務局は、AI法の首尾一貫した実施を保証する。加盟国のガバナンス機関を支援することにより、これを実現する。AI事務局はまた、汎用AIモデルに関する規則を直接施行する。AI開発者、科学界、その他の利害関係者と協力し、AI事務局は最先端の実践規範の作成を調整し、汎用AIモデルのテストと評価を実施し、情報を要求し、必要に応じて制裁を適用する。
To ensure well-informed decision-making, the AI Office will collaborate with Member States and the wider expert community through dedicated fora and expert groups. At EU-level the AI Office will work closely with the European Artificial Intelligence Board composed of representatives of Member States. The Scientific Panel of independent experts will ensure a strong link with the scientific community and further expertise will be gathered in an Advisory Forum, representing a balanced selection of stakeholders, including industry, startups and SMEs, academia, think tanks and civil society.	十分な情報に基づいた意思決定を確実にするため、AI事務局は、専用のフォーラムや専門家グループを通じて、加盟国やより広範な専門家コミュニティと協力する。EUレベルでは、AI事務局は加盟国の代表者で構成される欧州人工知能委員会と緊密に連携する。独立した専門家で構成される科学パネルは、科学界との強力な連携を確保し、さらに、産業界、新興企業、中小企業、学界、シンクタンク、市民社会など、バランスの取れた利害関係者の代表者からなる諮問フォーラムに専門知識を集める。
The AI Office will promote an innovative EU ecosystem for trustworthy AI. It will contribute to this by providing advice on best practices and enabling access to AI sandboxes, real-world testing and other European support structures for AI uptake, such as the Testing and Experimentation Facilities in AI, the European Digital Innovation Hubs, and the AI Factories. It will support research and innovation activities in the field of AI and robotics and implements initiatives, such as GenAI4EU, to ensure that AI general-purpose models made in Europe and trained through EU supercomputers are finetuned and integrated into novel applications across the economy, stimulating investment.	AI事務局は、信頼できるAIのための革新的なEUエコシステムを推進する。ベストプラクティスに関する助言を提供し、AIのサンドボックス、実環境でのテスト、およびAIの試験・実験施設、欧州デジタル・イノベーション・ハブ、AIファクトリーなど、AI導入のための欧州の支援体制へのアクセスを可能にすることで、これに貢献する。また、AIとロボティクスの分野における研究・革新活動を支援し、GenAI4EUなどのイニシアチブを実施することで、欧州で製造され、EUのスーパーコンピューターを通じて訓練されたAIの汎用モデルが、微調整され、経済全体の新しいアプリケーションに統合され、投資が促進されるようにする。
Finally, the AI Office will ensure a strategic, coherent and effective European approach on AI at the international level, becoming a global reference point.	最後に、AI事務局は、国際的なレベルにおいて、AIに関する欧州の戦略的、首尾一貫した効果的なアプローチを確保し、世界的な参照点となる。
Next Steps	次のステップ
The organisational changes outlined above will take effect on 16 June. The first meeting of the AI Board should take place by the end of June. The AI Office is preparing guidelines on the AI system definition and on the prohibitions, both due six months after the entry into force of the AI Act. The Office is also getting ready to coordinate the drawing up of codes of practice for the obligations for general-purpose AI models, due 9 months after entry into force.	上記の組織変更は6月16日に発効する。AI理事会の初会合は6月末までに開催される。AI事務局は、AIシステムの定義と禁止事項に関するガイドラインを準備している。また、発効から9ヵ月後に予定されている、汎用AIモデルの義務に関する実施規範の作成に向けた調整も進めている。
Background	背景
In April 2021, the Commission proposed the EU AI Act and a new Coordinated Plan with Member States, to guarantee the safety and fundamental rights of people and businesses, while strengthening investment and innovation across EU countries. The EU AI Act was provisionally agreed by co-legislators in December 2023 and is the world's first comprehensive law on Artificial Intelligence. The AI Act should enter into force by end July 2024 .	2021年4月、欧州委員会はEU AI法と加盟国との新たな協調計画を提案した。これは、人々と企業の安全と基本的権利を保証すると同時に、EU諸国間での投資と技術革新を強化することを目的としている。EU AI法は、2023年12月に共同立法者により暫定合意されたもので、人工知能に関する世界初の包括的な法律である。AI法は2024年7月末までに発効する予定である。
In January 2024 the Commission launched a package of measures to support European startups and SMEs in the development of trustworthy Artificial Intelligence (AI). As part of these measures, a Commission decision to establish the AI Office was adopted.	2024年1月、欧州委員会は、信頼できる人工知能（AI）の開発において欧州の新興企業や中小企業を支援するための措置パッケージを開始した。これらの措置の一環として、欧州委員会はAI事務局を設置することを決定した。
For More Information	詳細はこちら
AI Office	AI事務局
A European Approach to Artificial Intelligence	人工知能に対する欧州のアプローチ
AI Act	AI法
AI Innovation Package	AIイノベーション・パッケージ
AI Pact	AI協定
Quote(s)	引用
The AI-office unveiled today, will help us ensure a coherent implementation of the AI Act. Together with developers and a scientific community, the office will evaluate and test general purpose AI to ensure that AI serves us as humans and uphold our European values.	本日発表されたAI事務局は、AI法の首尾一貫した実施を保証するのに役立つだろう。開発者や科学コミュニティとともに、AI事務局は汎用AIの評価とテストを行い、AIが私たち人間の役に立ち、欧州の価値を維持することを確実にする。
Margrethe Vestager, Executive Vice-President for a Europe Fit for the Digital Age	マルグレーテ・ヴェスタガー欧州デジタル時代対応担当副総裁
With the new AI Office and its 140 talented women and men, the Commission will have the necessary expertise to drive the implementation of the AI Act and to reinforce Europe's role as a global standard-setter in AI. The Office will foster a European AI ecosystem that is innovative, competitive and respectful of EU rules and values.	欧州委員会は、新しいAI事務局と140人の有能な人材を擁することで、AI法の実施を推進し、AIにおける世界標準セッターとしての欧州の役割を強化するために必要な専門知識を有することになる。同事務局は、革新的で競争力があり、EUの規則と価値観を尊重する欧州のAIエコシステムを育成する」と述べた。
Thierry Breton, Commissioner for Internal Market	ティエリー・ブルトン欧州委員会域内市場担当委員

設立決定時...(2024.01.24)

・2024.01.24 Commission Decision Establishing the European AI Office

Commission Decision Establishing the European AI Office	欧州委員会、欧州AI事務局設立を決定
A European Artificial Intelligence Office will be established within the Commission as part of the administrative structure of the Directorate-General for Communication Networks, Content and Technology and subject to its annual management plan.	欧州委員会には、コミュニケーション・ネットワーク・コンテンツ・技術総局の管理組織の一部として、欧州人工知能事務所が設置され、その年次管理計画に従う。
The European Artificial Intelligence Office should operate in accordance with Commission internal processes and its establishment should not affect the powers and competences of national competent authorities, and bodies, offices and agencies of the Union in the supervision of AI systems, as provided for by the forthcoming Regulation laying down harmonised rules on artificial intelligence and other sectoral Union legislation. It is without prejudice to the functions of other Commission departments in their respective areas of responsibility, and of the European External Action Service in the area of Common, Foreign and Security policy. The European Artificial Intelligence Office should exercise its tasks, in particular to issue guidance, in a way that does not duplicate activities of relevant bodies, offices and agencies of the Union under sector specific legislation.	欧州人工知能事務局は、欧州委員会の内部プロセスに従って運営されるべきであり、その認可は、人工知能に関する調和規則を定めた近日中に発表される規則およびその他の分野別の欧州連合法が規定する、AIシステムの監督に関する各国のプロバイダ、および欧州連合の団体、事務所、機関の権限と能力に影響を及ぼすべきではない。これは、欧州委員会の他の部局がそれぞれの担当分野において有する機能、および欧州対外活動庁が共通外交・安全保障政策の分野において有する機能を損なうものではない。欧州人工知能事務局は、その任務、特にガイダンスの発行を、分野別法令に基づく欧州連合の関連団体、事務所、機関の活動と重複しない形で行うべきである。
Read more information about:	さらに詳しい情報を読む
AI Office	AI事務局
AI Act	AI法
AI Pact	AI協定

・[PDF] Commission Decision Establishing the European AI Office

EUROPEAN COMMISSION	欧州委員会
Brussels, 24.1.2024	ブリュッセル、2024年1月24日
C(2024) 390 final	C(2024) 390
COMMISSION DECISION	欧州委員会決定
of 24.1.2024	2024年1月24日付
establishing the European Artificial Intelligence Office	欧州人工知能事務所の設立
THE EUROPEAN COMMISSION,	欧州委員会は
Having regard to the Treaty on the Functioning of the European Union, Whereas:	欧州連合の機能に関する条約を考慮し、以下のことを行う：
(1) Artificial intelligence (AI) is a fast evolving family of technologies that can contribute to a wide array of economic and societal benefits across the entire spectrum of industries and social activities. At the same time, depending on the circumstances regarding its specific application and use, AI can generate risks and cause harm to public interests and fundamental rights that are protected by Union law.	(1) 人工知能（AI）は、急速に発展している技術群であり、産業および社会活動の全領域にわたって、さまざまな経済的および社会的利益に貢献することができる。同時に、AIは、その具体的な適用や使用に関する状況によっては、リスクを生み出し、連邦法によって保護されている公共の利益や基本的権利に害を及ぼす可能性がある。
(2) The Commission has proposed a Regulation laying down harmonised rules on artificial intelligence (Artificial Intelligence Act) and amending certain Union legislative acts , aiming to foster the development, use and uptake of artificial intelligence in the internal market that, at the same time, meets a high level of protection of public interests, such as health and safety and the protection of fundamental rights, as recognised and protected by Union law. The proposed Regulation is one of several measures of the Commission aimed to deliver on the twin objective of promoting the uptake of AI and of addressing the risks associated with certain uses of such technology. Further measures include the ‘Coordinated Plan on Artificial Intelligence’ in its review of 2021 , initiatives of sectoral policies fostering the uptake of AI or Union funding programmes, such as those established by Regulations (EU) 2021/694 and (EU) 2021/695 of the European Parliament and of the Council.	(2) 欧州委員会は、域内市場における人工知能の開発、利用、普及を促進し、同時に、健康や安全、基本的権利の保護など、域内法で認められ、保護されている公共の利益を高水準で保護することを目的として、人工知能に関する調和された規則を定めた規則（人工知能法）を提案し、一部の域内立法法を改正した。提案されている規則は、AIの普及を促進することと、そのような技術の特定の使用に関連するリスクに対処するという2つの目的を達成することを目的とした、欧州委員会のいくつかの措置の1つである。その他の措置としては、2021年の見直しにおける「人工知能に関する調整計画」や、AIの導入を促進する分野別政策の取り組み、あるいは欧州議会および理事会の規則（EU）2021/694および（EU）2021/695によって制定されたような欧州連合の資金援助プログラムなどがある。
(3) The complexity and increasingly wide uptake of AI, especially when based on the most advanced models, and the necessity to accelerate progress towards the objectives and targets set in the Digital Decade policy programme established by Decision (EU) 2022/2481 of the European Parliament and of the Council , demonstrate the need for additional action to foster an understanding of capabilities, trends and potential risks and to support the safe development and use of AI technologies in the Union.	(3) AIの複雑さと、特に最先端のモデルに基づく場合には、その普及がますます進んでいること、また、欧州議会および理事会の決定(EU) 2022/2481によって策定された「デジタルの10年」政策プログラムにおいて設定された目的と目標に向けた進捗を加速させる必要性は、能力、傾向、潜在的リスクの理解を促進し、欧州連合におけるAI技術の安全な開発と利用を支援するための追加的な行動の必要性を示している。
(4) It is necessary to develop expertise and capabilities at Union level with a view to foster such understanding, to contribute to the implementation and enforcement of the forthcoming Regulation laying down harmonised rules on artificial intelligence, and to contribute to the implementation of international rules and principles on AI, such as the G7 Code of Conduct and Guiding Principles for developers of advanced AI systems.	(4) このような理解を促進するため、また、人工知能に関する調和された規則を定める近日中の規則の実施と施行に貢献するため、さらに、高度なAIシステムの開発者のためのG7行動規範や指導原則など、AIに関する国際的な規則や原則の実施に貢献するため、EUレベルで専門知識と能力を開発することが必要である。
(5) Against this background, the foundations for a single governance system for AI in the Union should be laid down by establishing a structure, which should oversee the advancements in artificial intelligence models, including as regards general-purpose AI models, the interaction with the scientific community, and should play a key role in investigations and testing, enforcement and have a global vocation.	(5) このような背景の下、汎用AIモデルを含む人工知能モデルの進歩、科学コミュニティとの交流を監督し、調査・試験、執行において鍵確立の役割を果たし、世界的な使命を持つ組織を設立することにより、政府におけるAIに関する単一のガバナンス・システムの基礎を築くべきである。
(6) Therefore, a European Artificial Intelligence Office should be established within the Commission as part of the administrative structure of the Directorate-General for Communication Networks, Content and Technology and subject to its annual management plan.	(6) したがって、欧州委員会内に欧州人工知能事務局を設置し、コミュニケーション・ネットワーク・コンテンツ・技術総局の管理機構の一部として、その年次管理計画に従わせるべきである。
(7) The European Artificial Intelligence Office should operate in accordance with Commission internal processes and its establishment should not affect the powers and competences of national competent authorities, and bodies, offices and agencies of the Union in the supervision of AI systems, as provided for by the forthcoming Regulation laying down harmonised rules on artificial intelligence and other sectoral Union legislation. It is without prejudice to the functions of other Commission departments in their respective areas of responsibility, and of the European External Action Service in the area of Common, Foreign and Security policy. The European Artificial Intelligence Office should exercise its tasks, in particular to issue guidance, in a way that does not duplicate activities of relevant bodies, offices and agencies of the Union under sector specific legislation.	(7) 欧州人工知能事務局は、欧州委員会の内部プロセスに従って運営されるべきであり、その認可は、人工知能に関する調和された規則を定めた近日中に発表される規則およびその他の分野別の欧州連合法が規定する、AIシステムの監督に関する各国の主務官庁、および欧州連合の団体、事務所、機関の権限および能力に影響を及ぼすべきではない。これは、欧州委員会の他の部局がそれぞれの担当分野において有する機能、および欧州対外活動庁が共通外交・安全保障政策の分野において有する機能を損なうものではない。欧州人工知能事務局は、その任務、特にガイダンスの発行を、分野別法令に基づく欧州連合の関連団体、事務所および機関の活動と重複しないように行うべきである。
(8) In order to allow for the preparation of the implementation of the forthcoming Regulation laying down harmonised rules on artificial intelligence to start as soon as possible, this Decision should enter into force as a matter of urgency, ahead of the adoption of that Regulation, following the political agreement of the co-legislators achieved on 8 December 2023. Once the Regulation is adopted, this decision may be revised.	(8) 人工知能に関する調和された規則を定めた来るべき規則の施行準備をできるだけ早く開始できるようにするため、本決定は、2023年12月8日に達成された共同立法者の政治的合意に基づき、同規則の採択に先駆けて緊急に発効すべきである。同規則が採択された後、本決定は修正される可能性がある。
HAS DECIDED AS FOLLOWS:	以下の通り決定した：
Article 1	第1条
Establishment	設立
The European Artificial Intelligence Office (the ‘Office’) is established.	欧州人工知能事務局（European Artificial Intelligence Office、以下「事務局」）を設置する。
The Office shall be part of the administrative structure of the Directorate-General for Communication Networks, Content and Technology (the ‘Directorate-General’).	事務局は、コミュニケーション・ネットワーク・コンテンツ・技術総局（以下「総局」）の管理組織の一部とする。
Article 2	第2条
Mission and tasks	使命および任務
1. The Office shall perform the tasks set out in Article 3 for the purposes of implementing and enforcing the forthcoming Regulation laying down harmonised rules on artificial intelligence (the ‘forthcoming Regulation’).	1. 事務局は、人工知能に関する調和された規則を定める次期規則（「次期規則」）の実施および執行を目的として、第3条に定める任務を遂行する。
2. The Office shall have the following additional tasks:	2. 事務局は，以下の追加的な任務を有する：
(a) contribute to the strategic, coherent and effective Union approach to international initiatives on AI pursuant to Article 7 in coordination with Member States and in line with Union positions and policies;	(a) 加盟国と協調し、欧州連合の立場および政策に沿って、第7条に従ったAIに関する国際的イニシアティブに対する欧州連合の戦略的、首尾一貫した、かつ効果的なアプローチに貢献する；
(b) contribute to fostering actions and policies in the Commission that reap the societal and economic benefits of AI technologies pursuant to Article 5;	(b) 第5条に基づき、AI技術の社会的および経済的利益を享受するための行動および政策を欧州委員会内で促進することに貢献する；
(c) support the accelerated development, roll-out and use of trustworthy AI systems and applications that bring societal and economic benefits and that contribute to the competitiveness and the economic growth of the Union. In particular, the Office shall promote innovation ecosystems by working with relevant public and private actors and the startup community; (d) monitor the evolution of AI markets and technologies.	(c) 社会的および経済的利益をもたらし、欧州連合の競争力と経済成長に貢献する、信頼できるAIシステムおよびアプリケーションの開発、普及、利用の加速化を支援する。特に、同事務局は、官民の関係者及び新興企業コミュニティと協力することにより、イノベーション・エコシステムを促進する。
3. In the performance of the tasks referred to in paragraphs 1 and 2 of this Article, the Office shall:	3. 本条第1項及び第2項の任務の遂行において、事務局は以下を行う：
(a) work together with stakeholders, in particular experts from the scientific community and AI developers, pursuant to Article 4;	(a) 第4条に基づき，利害関係者，特に科学界の専門家及びAI開発者と協力する；
(b) collaborate with relevant Directorate-Generals and services of the Commission pursuant to Article 5;	(b) 第5条に基づき、欧州委員会の関係総局及び業務と協力する；
(c) cooperate with all relevant bodies, offices and agencies of the Union, including the European High Performance Computing Joint Undertaking (EuroHPC JU), pursuant to Article 6;	(c) 第6条に従い、欧州ハイパフォーマンス・コンピューティング共同事業体（EuroHPC JU）を含む、欧州連合のすべての関連団体、事務所、機関と協力する；
(d) cooperate with authorities and bodies of the Member States on behalf of the Commission.	(d) 欧州委員会に代わって加盟国の認可機関および団体と協力する。
Article 3	第3条
Implementation of the forthcoming Regulation	次期規則の実施
1. The Office shall perform the following tasks stemming from the forthcoming Regulation:	1. 事務局は、次期規則から派生する以下の業務を遂行する：
(a) developing tools, methodologies and benchmarks for evaluating capabilities of general-purpose AI models, in particular for very large general purpose AI models with systemic risks;	(a) 汎用AIモデル、特にシステミック・リスクを有する超大型汎用AIモデルの能力を評価するためのツール、方法論およびベンチマークを開発する；
(b) monitoring the implementation and application of rules on general-purpose AI models and systems, in particular where the model and the system are developed by the same provider;	(b) 特にモデルとシステムが同一のプロバイダによって開発されている場合、汎用AIモデルおよびシステムに関するルールの実施と適用を監視すること；
(c) monitoring the emergence of unforeseen risks stemming from general-purpose AI models, including by responding to alerts from the scientific panel;	(c) 科学的委員会からの警告への対応を含め、汎用AIモデルに起因する不測のリスクの出現を監視すること；
(d) investigating possible infringements of rules on general-purpose AI models and systems, including by collecting complaints and alerts, assisting in the preparation of decisions of the Commission and conducting evaluations pursuant to the forthcoming Regulation.;	(d) 苦情や警告を収集し、欧州委員会の決定の準備を支援し、来るべき規則に従って評価を実施することを含め、汎用AIモデルおよびシステムに関する規則違反の可能性を調査すること；
(e) ensuring that when an AI system falls within the scope of relevant Union legislation for which the Commission has powers of supervision and enforcement, such as under Regulation (EU) 2022/2065 of the European Parliament and of the Council or under Regulation (EU) 2022/1925 of the European Parliament and of the Council , the supervision and enforcement of that legislation is fully coordinated with the supervision and enforcement of the forthcoming Regulation;	(e) AIシステムが、欧州議会および理事会規則(EU) 2022/2065や欧州議会および理事会規則(EU) 2022/1925のように、欧州委員会が監督および執行の権限を有する関連EU法の範囲内にある場合、当該法律の監督および執行が、次期規則の監督および執行と完全に調整されるようにする；
(f) supporting the implementation of rules on prohibited AI practices and high-risk AI systems in coordination with relevant bodies responsible under sectoral legislation, including facilitating information exchange and collaboration between national authorities, collecting notifications and establishing information platforms and databases, in particular when a general-purpose AI model or system is integrated into a high-risk AI system.	(f) 特に汎用AIモデルやシステムが高リスクAIシステムに統合される場合には、各国当局間の情報交換や協力の促進、届出の収集、情報プラットフォームやデータベースの構築など、分野別法令の下で責任を負う関連団体と連携して、禁止されるAI慣行や高リスクAIシステムに関する規則の実施を支援する。
2. Moreover, in order to contribute to the effective implementation of the forthcoming Regulation, the Office shall be tasked with:	2. さらに、来るべき規則の効果的な実施に貢献するため、事務局は以下を任務とする：
(a) assisting the Commission in the preparation of relevant Commission Decisions, and of implementing and delegated acts;	(a) 関連する欧州委員会決定、施行規則および委任規則の作成において欧州委員会を支援する；
(b) facilitating the uniform application of the forthcoming Regulation;	(b) 次回規則の統一的な適用を促進する；
(c) assisting the Commission in the preparation of guidance and guidelines to support the practical implementation of the forthcoming Regulation, as well as developing supportive tools, such as standardised protocols and best practices, in consultation with relevant Commission services and bodies, offices and agencies of the Union;	(c) 欧州委員会の関連業務、団体、欧州連合の事務所および機関と協議の上、欧州委員会が次期規則の実質的な実施を支援するための指針およびガイドラインを作成するのを支援し、標準化されたプロトコルやベストプラクティスなどの支援手段を開発するのを支援する；
(d) assisting the Commission in the preparation of standardisation requests, evaluation of existing standards and the preparation of common specifications for the implementation of the forthcoming Regulation;	(d) 欧州委員会に対し、標準化要求の作成、既存標準の評価、次期規則の実施に向けた共通仕様の作成を支援する；
(e) contributing to the provision of technical support, advice and tools for the establishment and operation of AI regulatory sandboxes and coordination, as appropriate, with national competent authorities establishing such sandboxes;	(e) AI規制のサンドボックスの設置および運用のための技術的支援、助言、ツールの提供、ならびに、必要に応じて、そのようなサンドボックスを設置する各国の所管当局との調整に貢献する；
(f) conducting evaluations and reviews on and preparing reports related to the forthcoming Regulation;	(f) 次回規則に関する評価及びレビューを実施し、報告書を作成する；
(g) coordinating the establishment of an effective governance system, including by preparing the set-up of advisory bodies at Union level, as well as monitoring the establishment of relevant national authorities and other bodies at national level;	(g) 効果的なガバナンス・システムの確立を調整すること。これには、連合レベルでの諮問団体の設置を準備すること、ならびに、国内レベルにおける関連する国内当局およびその他の機関の設立を監視することが含まれる；
(h) providing the Secretariat for the AI Board and its subgroups, and providing administrative support to the advisory forum and the scientific panel, where applicable, including by providing the administrative set-up, organising meetings and preparing relevant documents; and	(h) AI理事会およびそのサブグループの事務局をプロバイダとして提供し、諮問フォーラムおよび科学的パネル（該当する場合）に対し、事務的準備の提供、会議の開催、関連文書の作成など、事務的支援を提供する。
(i) encouraging and facilitating the drawing up of codes of practices and codes of conducts at Union level, taking into account international approaches, as well as monitoring the implementation and evaluation of codes of practices.	(i) 国際的なアプローチを考慮しつつ、ユニオンレベルでの実施規範および行動規範の作成を奨励し、促進するとともに、実施規範の実施および評価を監視すること。
Article 4	第4条
Cooperation with stakeholders	利害関係者との協力
1. In the performance of its tasks pursuant to Article 3, the Office shall cooperate with stakeholders, in line with applicable competition rules, by:	1. 事務局は，第3条に基づきその任務を遂行する際，適用される競争規則に従い，以下の方法により利害関係者と協力する：
(a) establishing fora for cooperation of providers of AI models and systems to advance best practices and contribute to the development of codes of conduct and codes of practice;	(a) AIモデル及びシステムのプロバイダがベストプラクティスを前進させ，行動規範及び実施規範の策定に貢献するための協力の場を設ける；
(b) conducting regular consultation of stakeholders, including experts from the scientific community and the educational sector, citizens, civil society and social partners, where relevant, to collect input for the performance of its tasks under Article 3(2);	(b) 第3条(2)に基づく任務遂行のためのインプットを収集するため，関連する場合には，科学界及び教育部門の専門家，市民，市民社会及び社会的パートナーを含む利害関係者の定期的な協議を実施すること；
(c) establishing a forum for cooperation with the open-source community with a view to identify and develop best practices for the safe development and use of open-source AI models and systems.	(c) オープンソースのAIモデルおよびシステムを安全に開発・利用するためのベストプラクティスを特定・開発することを目的として、オープンソースコミュニティと協力するためのフォーラムを設置すること。
Article 5	第5条
Cross-sectoral cooperation within the Commission	欧州委員会における分野横断的協力
1. The Office shall contribute to fostering actions and policies that reap the societal and industrial benefit of AI technologies.	1. 事務局は、AI技術の社会的・産業的利益を享受するための行動と政策の促進に貢献する。
2. In particular, the Office shall	2. 特に、事務局は以下のことを行う。
(a) work with other relevant Directorate-Generals and services of the Commission in the performance of its tasks pursuant to Article 2, notably with the European Centre for Algorithmic Transparency as regards the evaluation and testing of general-purpose AI models and systems;	(a) 特に、汎用AIモデルおよびシステムの評価および試験に関しては、欧州アルゴリズム透明性センターと協力する；
(b) support other relevant Directorate-Generals and services of the Commission with a view to facilitate the use of AI models and systems as transformative tools in the relevant domains of Union policies, as well as to raise awareness about emerging risks.	(b) 欧州連合（EU）の政策の関連領域において、変革のためのツールとしてAIモデルおよびシステムの利用を促進し、また、新たに生じつつあるリスクについての認識を高めることを目的として、欧州委員会の他の関連部局および業務を支援する。
Article 6	第6条
Inter-institutional cooperation	機構間の協力
In the performance of its tasks pursuant to Article 3, the Office shall establish the appropriate forms of cooperation with bodies, offices and agencies of the Union.	事務局は、第3条に基づく任務の遂行にあたり、欧州連合の団体、事務所および機関との適切な協力形態を確立するものとする。
Article 7	第7条
International cooperation	国際協力
1. The Office shall contribute to international cooperation on AI by the Commission, including innovation and excellence policy, with third countries and international organisations, in particular by:	1. 事務局は、技術革新及び卓越性政策を含む、欧州委員会によるAIに関する第三国及び国際機関との国際協力に、特に以下の方法により貢献するものとする：
(a) advocating the responsible stewardship of AI and promoting the Union approach to trustworthy AI;	(a) AIの責任ある管理を提唱し、信頼できるAIに対する欧州連合のアプローチを促進する；
(b) contributing to international cooperation related to AI regulation and governance;	(b）AIの規制とガバナンスに関する国際協力に貢献する；
(c) contributing to the implementation of international agreements on rules on AI, including by providing support to Member States.	(c) 加盟国への支援を含め、AIに関する規則に関する国際協定の実施に貢献する。
Article 8	第8条
Financing	資金調達
1. For officials working in the Office, the human resources required shall be met by staff from the Directorate-General who are already assigned to management of the action or have been redeployed within the Directorate-General, in the light of budgetary constraints, without prejudice to the annual allocation procedure.	1. 事務局に勤務する職員については、必要な人的資源は、年次配分手続を害することなく、予算の制約に照らし、既に活動の管理に割り当てられているか、又は事務局内で再配置された事務総局の職員によって賄われるものとする。
2. For external statutory staff working in the Office, the human resources costs shall be covered by a redeployment of budget appropriations from the administrative support expenditure from the Digital Europe Programme.	2. 事務局に勤務する外部の法定職員については、デジタル・ヨーロッパ・プログラムの事務支援支出から充当される予算の再配分により、人件費を賄うものとする。
3. Operational expenditure of the Office shall be covered by the financial resources allocated to Specific Objective 2 “Artificial Intelligence” of the Digital Europe Programme.	3. 事務局の運営費は、デジタル・ヨーロッパ・プログラムの特定目標2「人工知能」に割り当てられた財源で賄うものとする。
Article 9	第9条
Entry into force	発効
This Decision shall enter into force on 21 February 2024.	本決定は、2024年2月21日に発効する。
Done at Brussels, 24.1.2024	2024年1月24日、ブリュッセルにて決定される。
For the Commission	欧州委員会
Thierry BRETON	ティエリー・ブルトン
Member of the Commission	欧州委員会委員

欧州AI事務局

・European AI Office

European AI Office	欧州AI事務局
The European AI Office will be the centre of AI expertise across the EU. It will play a key role in implementing the AI Act - especially for general-purpose AI - foster the development and use of trustworthy AI, and international cooperation.	欧州AI事務局は、EU全域におけるAIの専門知識の中心となる。欧州AI事務局は、特に汎用AIに関するAI法の実施、信頼できるAIの開発と利用の促進、国際協力において重要な役割を果たす。
The European AI Office will support the development and use of trustworthy AI, while protecting against AI risks. The AI Office was established within the European Commission as the centre of AI expertise and forms the foundation for a single European AI governance system.	欧州AI事務所は、AIのリスクから保護しつつ、信頼できるAIの開発と利用を支援する。AI事務局は、AIの専門知識の中心として欧州委員会内に設置され、欧州における単一のAIガバナンス・システムの基盤を形成する。
The EU aims to ensure that AI is safe and trustworthy. For this purpose, the AI Act is the first-ever comprehensive legal framework on AI worldwide, guaranteeing the health, safety and fundamental rights of people, and providing legal certainty to businesses across the 27 Member States.	EUは、AIの安全性と信頼性を確保することを目指している。この目的のため、AI法は世界初のAIに関する包括的な法的枠組みであり、人々の健康、安全、基本的権利を保証し、加盟27カ国の企業に法的確実性を提供している。
The AI Office is uniquely equipped to support the EU’s approach to AI. It will play a key role in implementing the AI Act by supporting the governance bodies in Member States in their tasks. It will enforce the rules for general-purpose AI models. This is underpinned by the powers given to the Commission by the AI Act, including the ability to conduct evaluations of general-purpose AI models, request information and measures from model providers, and apply sanctions. The AI Office also promotes an innovative ecosystem of trustworthy AI, to reap the societal and economic benefits. It will ensure a strategic, coherent and effective European approach on AI at the international level, becoming a global reference point.	AI事務局は、AIに対するEUのアプローチを支援する独自の機能を備えている。加盟国のガバナンス機関を支援することにより、AI法の実施において重要な役割を果たす。また、汎用AIモデルに関する規則を施行する。これは、AI法が欧州委員会に与えた権限（汎用AIモデルの評価、モデルプロバイダーへの情報提供や措置の要求、制裁措置の適用など）に裏打ちされている。AI事務局はまた、社会的・経済的利益を享受するため、信頼できるAIの革新的エコシステムを促進する。AI事務所は、AIに関する欧州の戦略的、首尾一貫した効果的なアプローチを国際レベルで確保し、世界的な参照点となる。
For a well-informed decision-making, the AI Office collaborates with Member States and the wider expert community through dedicated fora and expert groups. These combine knowledge from the scientific community, industry, think tanks, civil society, and the open-source ecosystem, ensuring that their views and expertise are taken into account. Grounded in comprehensive insights of the AI ecosystem, including advances in capabilities, deployment and other trends, the AI Office fosters a thorough understanding of potential benefits and risks.	十分な情報に基づいた意思決定を行うため、AI事務局は、専用のフォーラムや専門家グループを通じて、加盟国やより広範な専門家コミュニティと協力する。これらは、科学界、産業界、シンクタンク、市民社会、オープンソースのエコシステムからの知識を統合し、彼らの見解や専門知識が考慮されるようにしている。AI事務局は、AIエコシステムの包括的な洞察に基づき、能力、展開、その他のトレンドの進歩を含め、潜在的な利益とリスクに関する徹底的な理解を促進する。
GenAI4EU	GenAI4EU
In January 2024, the Commission has launched an AI innovation package to support startups and SMEs in developing trustworthy AI that complies with EU values and rules. Both the ‘GenAI4EU' initiative and the AI office were part of this package. Together they will contribute to the development of novel use cases and emerging applications in Europe's 14 industrial ecosystems, as well as the public sector. Application areas include robotics, health, biotech, manufacturing, mobility, climate and virtual worlds.	2024年1月、欧州委員会は、EUの価値観と規則に準拠した信頼できるAIの開発において新興企業や中小企業を支援するためのAIイノベーションパッケージを開始した。GenAI4EU」イニシアチブもAI事務局もこのパッケージの一部である。両者は共に、欧州の14の産業エコシステムや公共部門における斬新なユースケースや新たなアプリケーションの開発に貢献する。応用分野には、ロボット工学、健康、バイオテクノロジー、製造事業者、モビリティ、気候、仮想世界が含まれる。

The Structure of the AI Office	AI事務局の構成
DG CONNECT Directorate A is undergoing a reorganisation. From 16 June, the organisational set-up of the European AI office will consist of 5 units and 2 advisors, reflecting its mandate. These include:	DG CONNECT Directorate Aは再編成中である。6月16日より、欧州AI事務局の組織構成は、その職務権限を反映し、5つのユニットと2人のアドバイザーで構成される。これらには以下が含まれる：
・The “Excellence in AI and Robotics” unit	・AIとロボティクスの卓越性」ユニット
・The “Regulation and Compliance” unit	・規制とコンプライアンス」ユニット
・The “AI Safety” unit	・AIの安全性」ユニット
・The “AI Innovation and Policy Coordination” unit	・AIイノベーションと政策調整」ユニット
・The “AI for Societal Good” unit	・社会善のためのAI」ユニット
・The Lead Scientific Advisor	・科学顧問
・The Advisor for International Affairs	・国際担当アドバイザー

The AI Office will employ over 140 staff, including Technology Specialists, Administrative Assistants, Lawyers, Policy Specialists, and Economists (find out more details below).	AI事務局には、技術スペシャリスト、事務アシスタント、弁護士、政策スペシャリスト、エコノミストを含む140名以上のスタッフが勤務する（詳細は下記を参照）。
Tasks of the AI Office	AI事務局の任務
Supporting the AI Act and enforcing general-purpose AI rules	AI法のサポートと汎用AIルールの施行
The AI Office makes use of its expertise to support the implementation of the AI Act by:	AI事務局は、その専門性を活かし、以下のような形でAI法の実施をサポートしている：
・Contributing to the coherent application of the AI Act across the Member States, including the set-up of advisory bodies at EU level, facilitating support and information exchange	・EUレベルでの諮問団体の設置、支援や情報交換の促進など、加盟国間でのAI法の首尾一貫した適用に貢献する。
・Developing tools, methodologies and benchmarks for evaluating capabilities and reach of general-purpose AI models, and classifying models with systemic risks	・汎用AIモデルの能力と範囲を評価し、システミック・リスクを有するモデルを分類するためのツール、方法論、ベンチマークを開発する。
・Drawing up state-of-the-art codes of practice to detail out rules, in cooperation with leading AI developers, the scientific community and other experts	・主要なAI開発者、科学界、その他の専門家と協力して、ルールを詳細に規定する最先端の実践規範を作成する。
・Investigating possible infringements of rules, including evaluations to assess model capabilities, and requesting providers to take corrective action	・モデルの能力を評価するためのアセスメントを含め、ルール違反の可能性を調査し、プロバイダに是正措置を要請する。
・Preparing guidance and guidelines, implementing and delegated acts, and other tools to support effective implementation of the AI Act and monitor compliance with the regulation	・AI法の効果的な実施を支援し、規制遵守を監視するためのガイダンスやガイドライン、実施法や委任法、その他のツールの作成
Strengthening the development and use of trustworthy AI	信頼できるAIの開発と利用の強化
The Commission aims to foster trustworthy AI across the internal market. The AI Office, in collaboration with relevant public and private actors and the startup community, contributes to this by:	欧州委員会は、域内市場全体で信頼できるAIを育成することを目指している。AI事務局は、官民の関連団体や新興企業コミュニティーと協力して、以下のような形でこれに貢献する：
・Advancing actions and policies to reap the societal and economic benefits of AI across the EU	・EU全体でAIの社会的・経済的利益を享受するための行動や政策を推進する。
・Providing advice on best practices and enabling ready-access to AI sandboxes, real-world testing and other European support structures for AI uptake	・ベストプラクティスに関するアドバイスを提供し、AIサンドボックス、実環境試験、その他AI導入のための欧州の支援体制にすぐにアクセスできるようにする。
・Encouraging innovative ecosystems of trustworthy AI to enhance the EU’s competitiveness and economic growth	・EUの競争力と経済成長を強化するために、信頼できるAIの革新的エコシステムを奨励する。
・Aiding the Commission in leveraging the use of transformative AI tools and reinforcing AI literacy	・変革的なAIツールの活用とAIリテラシーの強化において欧州委員会を支援する。
Fostering international cooperation	国際協力の促進
At international level, the AI Office contributes to a strategic, coherent, and effective EU approach, by:	国際レベルでは、AI事務局は戦略的、首尾一貫した、効果的なEUのアプローチに貢献する：
・Promoting the EU’s approach to trustworthy AI, including collaboration with similar institutions worldwide	・世界の同様の機構との協力を含め、信頼できるAIに対するEUのアプローチを促進する。
・Fostering international cooperation and governance on AI, with the aim of contributing to a global approach to AI	・AIに対するグローバルなアプローチに貢献することを目的として、AIに関する国際協力とガバナンスを促進する。
・Supporting the development and implementation of international agreements on AI, including the support of Member States	・加盟国の支援を含め、AIに関する国際協定の策定と実施を支援する。
To effectively carry out all tasks based on evidence and foresight, the AI Office continuously monitors the AI ecosystem, technological and market developments, but also the emergence of systemic risks and any other relevant trends.	エビデンスと先見性に基づいてすべての業務を効果的に遂行するため、AI事務局はAIのエコシステム、技術や市場の発展だけでなく、システミックリスクの出現やその他の関連する動向も継続的に監視している。
Cooperation with institutions, experts and stakeholders	機構、専門家、利害関係者との協力
Collaboration with a diverse range of institutions, experts and stakeholders is essential for the work of the AI Office.	AI事務局の活動には、多様な機構、専門家、利害関係者との協力が不可欠である。
At an institutional level, the AI Office works closely with the European Artificial Intelligence Board formed by Member State representatives and the European Centre for Algorithmic Transparency (ECAT) of the Commission.	機構レベルでは、AI事務局は加盟国の代表者で構成される欧州人工知能委員会や欧州委員会の欧州アルゴリズム透明性センター（ECAT）と緊密に連携している。
The Scientific Panel of independent experts ensures a strong link with the scientific community. Further technical expertise is gathered in an Advisory Forum, representing a balanced selection of stakeholders, including industry, startups and SMEs, academia, think tanks and civil society. The AI Office may also partner up with individual experts and organisations. It will also create fora for cooperation of providers of AI models and systems, including general-purpose AI, and similarly for the open-source community, to share best practices and contribute to the development of codes of conduct and codes of practice.	独立した専門家で構成される科学委員会は、科学界との強固な連携を確保している。さらに、産業界、新興企業、中小企業、学界、シンクタンク、市民社会など、バランスの取れた利害関係者の代表者からなるアドバイザリー・フォーラムに、技術的な専門知識が集められている。AI事務局は、個々の専門家や組織と提携することもできる。また、汎用AIを含むAIモデルやシステムのプロバイダ、同様にオープンソースコミュニティの協力の場を設け、ベストプラクティスを共有し、行動規範や実践規範の策定に貢献する。
The AI Office will also oversee the AI Pact, which allows businesses to engage with the Commission and other stakeholders such as sharing best practices and joining activities. This engagement will start before the AI Act becomes applicable and will allow businesses to plan ahead and prepare for the implementation of the AI Act. All this will be part of the European AI Alliance, a Commission initiative, to establish an open policy dialogue on AI .	AI事務局はまた、企業が欧州委員会や他の利害関係者とベストプラクティスの共有や活動への参加などの関わりを持つことを可能にするAI Pactを監督する。このエンゲージメントは、AI法が適用される前に開始され、企業はAI法の実施に向けて計画を立て、準備することができるようになる。これらはすべて、欧州委員会が主導する「欧州AI同盟（European AI Alliance）」の一環であり、AIに関する開かれた政策対話を確立するためのものである。
Further initiatives to foster trustworthy AI development and uptake within the EU are mapped on the Coordinated Plan on AI.	EU域内で信頼に足るAIの開発と導入を促進するためのさらなる取り組みは、AIに関する調整計画（Coordinated Plan on AI）にマッピングされている。
Job opportunities and collaboration	雇用機会と協力
The AI Office will recruit talents with a variety of backgrounds for policy, technical and legal work and administrative assistance.	AI事務局では、政策、技術、法務、事務補助など、さまざまなバックグラウンドを持つ人材を募集する。
You can also sign up to receive updates from the AI Office.	また、AI事務局からの最新情報を受け取るために登録することもできる。
You can get in touch with the European AI Office through the following contact details: [mail] for general inquiries and [mail] for inquiries related to job opportunities.	欧州AI事務局との連絡は、以下の連絡先から行うことができる：一般的なお問い合わせは[mail] 、求人に関するお問い合わせは[mail] 。
Events	イベント
1st European AI Office webinar	第1回欧州AI事務局・ウェビナー
The 1st webinar on Risk management logic of the AI Act and related standards took place on 30 May.	AI法および関連標準のリスクマネジメントロジックに関する第1回ウェビナーが5月30日に開催された。
View the recording	録画を見る
Download the slides	スライドのダウンロード

スライド...

2024.06.07 00:21 in 情報セキュリティ / サイバーセキュリティ, in 法律 / 犯罪, in 内部統制 / リスクマネジメント, in AI/Deep Learning | Permalink | Comments (0)
Tweet

米国FBI、欧州各国の警察、Europolが連携してサイバー犯罪者のネットワークを破壊 - オペレーション・エンドゲーム (2024.05.30)

こんにちは、丸山満彦です。

米国のFBI、欧州各国の警察、Europolが、オペレーション・エンドゲームでサイバー犯罪者のネットワークを破壊し、4名を逮捕したようですね...

サイバー犯罪は国際犯罪なので、捜査機関の国際連携が重要ですよね...今回のオペレーションには、日本が含まれていませんが、日本の警察も国際的に連携していますよね...

関わった捜査機関のある国...

米国、EU（デンマーク、フランス、ドイツ、オランダ）、英国、ポルトガル、ウクライナ

● U.S. Federal Bureau of Investigation

・2024.05.30 Operation Endgame: Coordinated Worldwide Law Enforcement Action Against Network of Cybercriminals

Operation Endgame: Coordinated Worldwide Law Enforcement Action Against Network of Cybercriminals	オペレーション・エンドゲームサイバー犯罪者ネットワークに対する世界的な法執行機関の連携行動
The Federal Bureau of Investigation announces major worldwide disruption of malware in international cyber operation	連邦捜査局が国際的なサイバー作戦でマルウェアの世界的な大混乱を発表
The Federal Bureau of Investigation (FBI) announces Operation Endgame, a multinational coordinated cyber operation by the United States, Denmark, France, Germany, the Netherlands, and the United Kingdom, with assistance from Europol and Eurojust, to dismantle criminal infrastructure responsible for hundreds of millions of dollars in damages worldwide. Law enforcement in Ukraine, Portugal, Romania, Lithuania, Bulgaria, and Switzerland supported police actions to arrest or interview suspects, conduct searches, and seize or take down servers.	連邦捜査局（FBI）は、米国、デンマーク、フランス、ドイツ、オランダ、英国が欧州刑事警察機構（Europol）および欧州司法機構（Eurojust）の支援を受け、全世界で数億ドルの被害をもたらしている犯罪インフラを解体するため、多国間で連携したサイバー作戦「オペレーション・エンドゲーム（Operation Endgame）」を実施したことを発表した。ウクライナ、ポルトガル、ルーマニア、リトアニア、ブルガリア、スイスの法執行機関は、容疑者の逮捕や事情聴取、捜査、サーバーの押収や停止を行う警察の行動を支援した。
Beginning on May 28, 2024, the first coordinated international operation of its kind involved a dozen countries that conducted searches, questioned or arrested subjects, and took down or disrupted more than 100 servers to defeat multiple malware variants. The malware “droppers” and “loaders” were used to gain access to victim’s computers, either dropping ransomware or other malware used to collect and steal personal and financial login information.	2024年5月28日から、この種のものとしては初の国際的な協調作戦が12カ国で実施され、複数のマルウェア亜種を駆除するために、捜査、尋問、逮捕が行われ、100台以上のサーバーがダウンまたは停止された。マルウェアの「ドロッパー」と「ローダー」は、被害者のコンピュータにアクセスするために使用され、ランサムウェアや個人・金融ログイン情報を収集・窃取するために使用される他のマルウェアをドロップした。
“Operation Endgame demonstrates the FBI’s continued fight against cybercrime and malware-as-a-service models,” said FBI Director Christopher Wray. “Relying on our unique authorities and in close collaboration with our partners in a dozen countries, the FBI used joint and sequenced actions to run a first-of-its-kind international operation and debilitate the criminal infrastructure of multiple malware services. These malware services infected millions of computers and were responsible for attacks across the globe, including on health care facilities and critical infrastructure services. The fight against borderless cybercrime does not end here, and the FBI is committed to tackling this ever-evolving threat.”	「FBIのクリストファー・レイ長官は、「エンドゲーム作戦は、FBIがサイバー犯罪やマルウェア・アズ・ア・サービス・モデルと闘い続けていることを示している。「FBIは、独自の認可に基づき、12カ国のパートナーとの緊密な協力のもと、共同かつ連続的な行動により、これまでにない国際的な作戦を展開し、複数のマルウェア・サービスの犯罪基盤を崩壊させた。これらのマルウェア・サービスは、数百万台のコンピュータを感染させ、医療施設や重要インフラ・サービスなど、世界中で攻撃を仕掛けていた。ボーダーレスなサイバー犯罪との戦いはここで終わることはなく、FBIはこの日進月歩の脅威に全力で取り組んでいく」。
As part of Operation Endgame, the FBI and international partners took various actions to neutralize the threat posed by at least four malware groups, including IcedID, Smokeloader, Pikabot, and Bumblebee. These malware groups have infected millions of computers and claimed countless victims around the world and throughout the United States, including a hospital network, which not only cost millions of dollars but alarmingly put people’s lives at risk due to the compromised critical care online system.	オペレーション・エンドゲーム」の一環として、FBIと国際的なパートナーは、IcedID、Smokeloader、Pikabot、Bumblebeeを含む少なくとも4つのマルウェアグループがもたらす脅威を無力化するために様々な行動をとった。これらのマルウェアグループは、数百万台のコンピュータを感染させ、病院ネットワークを含む世界中および米国中で数え切れないほどの犠牲者を出しており、その被害額は数百万ドルに上っただけでなく、危殆化した重症患者オンラインシステムにより、驚くことに人々の生命が危険にさらされた。
“The results of Operation Endgame are astounding and send a strong message to cyber criminals around the world. The FBI has special agents, computer scientists, forensic accountants, and other employees with an expertise in science and technology and the determination to attack cybercriminal networks no matter where they are located,” said Robert M. DeWitt, the FBI Charlotte special agent in charge. “We are proud of the critical role FBI employees from field offices across the country played in this massive international takedown.”	オペレーション・エンドゲーム』の結果は驚くべきものであり、世界中のサイバー犯罪者に強いメッセージを送るものだ。FBIシャーロット特別捜査官のロバート・M・デウィット氏は、「FBIには、科学技術に精通し、サイバー犯罪者のネットワークがどこにあろうと攻撃する決意を持った特別捜査官、コンピューター科学者、科学捜査会計士、その他の職員がいる。「私たちは、この大規模な国際的摘発において、全米の支局のFBI職員が重要な役割を果たしたことを誇りに思う。
The FBI Charlotte, FBI Indianapolis, FBI Jacksonville, FBI Los Angeles, and FBI Cleveland Field Offices conducted the operation with close coordination and assistance from Defense Criminal Investigative Service, the United States Secret Service, the Danish National Police National Special Crime Unit, French National Police and National Gendarmerie, Germany’s Federal Criminal Police, Dutch National Police National Hi-Tech Crime Unit, Portugal’s Polícia Judiciária, Security Service of Ukraine, and United Kingdom’s National Crime Agency, with assistance from Europol and Eurojust.	FBIシャーロット支局、FBIインディアナポリス支局、FBIジャクソンビル支局、FBIロサンゼルス支局、FBIクリーブランド支局は、国防犯罪捜査局、米国シークレットサービス、デンマーク国家警察国家特殊犯罪ユニット、フランス国家警察および国家憲兵隊、ドイツ連邦刑事警察、オランダ国家警察国家ハイテク犯罪ユニット、ポルトガル司法警察、ウクライナ安全保障局、英国国家犯罪保障局からの緊密な連携と支援、欧州刑事警察機構および欧州司法機構からの支援を受けて、この作戦を実施した。

● EUROPOL

・2024.05.30 Largest ever operation against botnets hits dropper malware ecosystem

Largest ever operation against botnets hits dropper malware ecosystem	ボットネットに対する過去最大の作戦が、ドロッパー型マルウェアのエコシステムを直撃した。
International operation shut down droppers including IcedID, SystemBC, Pikabot, Smokeloader and Bumblebee leading to four arrests and takedown of over 100 servers worldwide	国際的な作戦により、IcedID、SystemBC、Pikabot、Smokeloader、Bumblebeeを含むドロッパーがシャットダウンされ、世界中で4人の逮捕者と100以上のサーバーのテイクダウンにつながった。
Between 27 and 29 May 2024 Operation Endgame, coordinated from Europol’s headquarters, targeted droppers including, IcedID, SystemBC, Pikabot, Smokeloader, Bumblebee and Trickbot. The actions focused on disrupting criminal services through arresting High Value Targets, taking down the criminal infrastructures and freezing illegal proceeds. This approach had a global impact on the dropper ecosystem. The malware, whose infrastructure was taken down during the action days, facilitated attacks with ransomware and other malicious software. Following the action days, eight fugitives linked to these criminal activities, wanted by Germany, will be added to Europe’s Most Wanted list on 30 May 2024. The individuals are wanted for their involvement in serious cybercrime activities.	2024年5月27日から29日にかけて、欧州刑事警察機構本部から調整された「オペレーション・エンドゲーム」は、IcedID、SystemBC、Pikabot、Smokeloader、Bumblebee、Trickbotを含むドロッパーを標的とした。この行動は、高価値の標的を逮捕し、犯罪インフラを破壊し、違法収益を凍結することによって、犯罪サービスを混乱させることに重点を置いていた。このアプローチは、ドロッパーのエコシステムに世界的な影響を与えた。行動日中にインフラが破壊されたマルウェアは、ランサムウェアやその他の悪意あるソフトウェアによる攻撃を促進した。アクション・デイズの後、ドイツが指名手配しているこれらの犯罪行為に関連する8人の逃亡者が、2024年5月30日に欧州の最重要指名手配リストに追加される。これらの人物は、深刻なサイバー犯罪活動に関与しているとして指名手配されている。
This is the largest ever operation against botnets, which play a major role in the deployment of ransomware. The operation, initiated and led by France, Germany and the Netherlands was also supported by Eurojust and involved Denmark, the United Kingdom and the United States. In addition, Armenia, Bulgaria, Lithuania, Portugal, Romania, Switzerland and Ukraine also supported the operation with different actions, such as arrests, interviewing suspects, searches, and seizures or takedowns of servers and domains. The operation was also supported by a number of private partners at national and international level including Bitdefender, Cryptolaemus, Sekoia, Shadowserver, Team Cymru, Prodaft, Proofpoint, NFIR, Computest, Northwave, Fox-IT, HaveIBeenPwned, Spamhaus, DIVD, abuse.ch and Zscaler.	これは、ランサムウェアの展開に主要な役割を果たすボットネットに対する過去最大の作戦である。フランス、ドイツ、オランダが主導し、欧州司法機構も支援したこの作戦には、デンマーク、英国、米国も参加した。さらに、アルメニア、ブルガリア、リトアニア、ポルトガル、ルーマニア、スイス、ウクライナも、逮捕、容疑者への事情聴取、捜索、サーバーやドメインの差し押さえやテイクダウンなど、さまざまな行動でこの作戦を支援した。この作戦は、Bitdefender、Cryptolaemus、Sekoia、Shadowserver、Team Cymru、Prodaft、Proofpoint、NFIR、Computest、Northwave、Fox-IT、HaveIBeenPwned、Spamhaus、DIVD、abuse.ch、Zscalerなど、国内外レベルの多くの民間パートナーからも支援を受けた。
The coordinated actions led to:	協調行動により、以下のような結果がもたらされた：
・4 arrests (1 in Armenia and 3 in Ukraine)	・4人の逮捕者（アルメニアで1人、ウクライナで3人）
・16 location searches (1 in Armenia, 1 in the Netherlands, 3 in Portugal and 11 in Ukraine)	・16件の位置情報検索（アルメニア1件、オランダ1件、ポルトガル・3件、ウクライナ11件）
・Over 100 servers taken down or disrupted in Bulgaria, Canada, Germany, Lithuania, the Netherlands, Romania, Switzerland, the United Kingdom, the United States and Ukraine	・ブルガリア、カナダ、ドイツ、リトアニア、オランダ、ルーマニア、スイス、英国、米国、ウクライナで100以上のサーバーが停止または中断された。
・Over 2 000 domains under the control of law enforcement	・2,000以上のドメインが法執行機関の管理下にある
Furthermore, it has been discovered through the investigations so far that one of the main suspects has earned at least EUR 69 million in cryptocurrency by renting out criminal infrastructure sites to deploy ransomware. The suspect’s transactions are constantly being monitored and legal permission to seize these assets upon future actions has already been obtained.	さらに、これまでの捜査で、主犯格の1人がランサムウェアを展開するために犯罪インフラサイトを貸し出すことで、少なくとも6900万ユーロの暗号通貨を得ていたことが判明している。容疑者の取引は常に監視されており、今後の行動に応じてこれらの資産を差し押さえる法的許可もすでに得ている。
What is a dropper and how does it work?	ドロッパーとは何か、どのように機能するのか？
Malware droppers are a type of malicious software designed to install other malware onto a target system. They are used during the first stage of a malware attack, during which they allow criminals to bypass security measures and deploy additional harmful programs, such as viruses, ransomware, or spyware. Droppers themselves do not usually cause direct damage but are crucial for accessing and implementing harmful softwares on the affected systems.	マルウェア・ドロッパーは、ターゲット・システムに他のマルウェアをインストールするように設計された悪意のあるソフトウェアの一種である。マルウェア攻撃の最初のステージで使用され、犯罪者がセキュリティ対策を回避し、ウイルス、ランサムウェア、スパイウェアなどの有害なプログラムを追加展開することを可能にする。ドロッパー自体は通常、直接的な被害をもたらすことはないが、被害を受けたシステム上で有害なソフトウェアにアクセスし、それを実行するためには極めて重要である。
SystemBC facilitated anonymous communication between an infected system and a command-and-control servers. Bumblebee, distributed mainly via phishing campaigns or compromised websites, was designed to enable the delivery and execution of further payloads on compromised systems. SmokeLoader was primarily used as a downloader to install additional malicious softwares onto the systems it infects. IcedID (also known as BokBot), initially categorised as a banking trojan, had been further developed to serve other cybercrimes in addition to the theft of financial data. Pikabot is a trojan used to get initial access to infected computers which enables ransomware deployments, remote computer take-over and data theft. All of them are now being used to deploy ransomware and are seen as the main threat in the infection chain.	SystemBCは、感染したシステムとコマンド・アンド・コントロール・サーバー間の匿名コミュニケーションを容易にした。Bumblebeeは、主にフィッシングキャンペーンや危険なウェブサイトを介して配布され、感染したシステム上でさらなるペイロードの配信と実行を可能にするように設計されていた。SmokeLoaderは主に、感染したシステムに追加の悪意のあるソフトウェアをインストールするためのダウンローダーとして使用された。IcedID（BokBotとしても知られる）は、当初はバンキング・トロイの木馬として分類されていたが、金融データの窃取に加え、他のサイバー犯罪に対応するためにさらに開発された。Pikabotはトロイの木馬で、感染したコンピューターへの初期アクセスに使用され、ランサムウェアの配備、コンピューターの遠隔操作、データの窃盗を可能にする。これらはすべて、ランサムウェアを展開するために使用されており、感染チェーンの主要な脅威とみなされている。
Droppers’ operation phases	ドロッパーの動作フェーズ
Infiltration: Droppers can enter systems through various channels, such as email attachments, compromised websites, they can also be bundled with legitimate software.	侵入：ドロッパーは、電子メールの添付ファイルや危険なウェブサイトなど、さまざまな経路でシステムに侵入する。
Execution: Once executed, the dropper installs the additional malware onto the victim's computer. This installation often occurs without the user's knowledge or consent.	実行：実行されると、ドロッパーは被害者のコンピュータに追加のマルウェアをインストールする。このインストールは、ユーザーの認識や同意なしに行われることが多い。
Evasion: Droppers are designed to avoid detection by security software. They may use methods like obfuscating their code, running in memory without saving to disk, or impersonating legitimate software processes.	回避：ドロッパーは、セキュリティソフトウェアによる検知を回避するように設計されている。コードを難読化する、ディスクに保存せずにメモリ内で実行する、正規のソフトウェアプロセスになりすますなどの方法を使用することがある。
Payload Delivery: After deploying the additional malware, the dropper may either remain inactive or remove itself to evade detection, leaving the payload to carry out the intended malicious activities.	ペイロードの配信：追加のマルウェアをデプロイした後、ドロッパーは非アクティブな状態を維持するか、検知を回避するために自身を削除する。
Endgame doesn’t end here	エンドゲームはここで終わらない
Operation Endgame does not end today. New actions will be announced on the website Operation Endgame. In addition, suspects involved in these and other botnets, who have not yet been arrested, will be directly called to account for their actions. Suspects and witnesses will find information on how to reach out via this website.	エンドゲーム作戦は今日で終わるわけではない。新たな活動は、ウェブサイト「オペレーション・エンドゲーム」で発表される。さらに、これらのボットネットやその他のボットネットに関与し、まだ逮捕されていない容疑者は、その行動に対して直接責任を問われることになる。容疑者や目撃者は、このウェブサイトから連絡する方法を見つけることができる。
Command post at Europol to coordinate the operational actions	欧州刑事警察機構の司令部が作戦行動を調整する
Europol facilitated the information exchange and provided analytical, crypto-tracing and forensic support to the investigation. To support the coordination of the operation, Europol organised more than 50 coordination calls with all the countries as well as an operational sprint at its headquarters.	欧州刑事警察機構は情報交換を促進し、捜査に分析、暗号追跡、法医学的支援を提供した。欧州刑事警察機構は、作戦の調整を支援するため、すべての国との50回を超える調整会議と、本部での作戦スプリントを組織した。
Over 20 law enforcement officers from Denmark, France, Germany and the United States supported the coordination of the operational actions from the command post at Europol and hundreds of other officers from the different countries involved in the actions. In addition, a virtual command post allowed real-time coordination between the Armenian, French, Portuguese and Ukrainian officers deployed on the spot during the field activities.	デンマーク、フランス、ドイツ、米国の20人以上の法執行官が、欧州刑事警察機構の指揮所から作戦行動の調整をサポートしたほか、作戦に参加した各国から数百人の警官が参加した。さらに、バーチャルな指揮所によって、現地活動中に現地に配置されたアルメニア人、フランス人、ポルトガル人、ウクライナ人の担当官の間でリアルタイムの調整が可能になった。
The command post at Europol facilitated the exchange of intelligence on seized servers, suspects and the transfer of seized data. Local command posts were also set up in Germany, the Netherlands, Portugal, the United States and Ukraine. Eurojust supported the action by setting up a coordination centre at its headquarters to facilitate the judicial cooperation between all authorities involved. Eurojust also assisted with the execution of European Arrest Warrants and European Investigation Orders.	欧州刑事警察機構の司令部は、押収したサーバー、容疑者、押収データの転送に関する情報交換を容易にした。ドイツ、オランダ、ポルトガル、米国、ウクライナにも現地司令部が設置された。欧州司法機構は、すべての関係当局間の司法協力を促進するため、本部に調整センターを設置し、この活動を支援した。欧州司法機構はまた、欧州逮捕状および欧州捜査令の執行も支援した。
National authorities at the core of Operation Endgame	エンドゲーム作戦の中核を担った各国当局
EU Member States:	EU加盟国
・Denmark: Danish Police (Politi)	・デンマークデンマーク警察（Politi）
・France: National Gendarmerie (Gendarmerie Nationale) and National Police (Police Nationale); Public Prosecutor Office JUNALCO (National Jurisdiction against Organised Crime) Cybercrime Unit; Paris Judicial Police (Préfecture De Police de Paris)	・フランス国家憲兵隊（Gendarmerie Nationale）および国家警察（Police Nationale）、ジュナルコ検察庁（National Jurisdiction against Organised Crime）サイバー犯罪ユニット、パリ司法警察（Préfecture De Police de Paris）。
・Germany: Federal Criminal Police Office (Bundeskriminalamt), Prosecutor General's Office Frankfurt am Main – Cyber Crime Center	・ドイツ連邦刑事警察庁（Bundeskriminalamt）、フランクフルト・アム・マイン検事総長室 - サイバー犯罪センター
・Netherlands: National Police (Politie), Public Prosecution Office (Openbaar Ministerie)	・オランダ国家警察（Politie）、検察庁（Openbaar Ministerie）
Non-EU Member States:	非EU加盟国
・The United Kingdom: National Crime Agency	・英国国家犯罪局
・The United States: Federal Bureau of Investigation, United States Secret Service, The Defense Criminal Investigative Service, United States Department of Justice	・米国連邦捜査局、米国シークレットサービス、国防総省犯罪捜査局、司法省
Authorities involved in local coordination centres for Operation Endgame:	オペレーション・エンドゲーム」の現地調整センターに関与する認可：
・Portugal: Judicial Police (Polícia Judiciária)	・ポルトガル司法警察（Polícia Judiciária）
・Ukraine: Prosecutor General’s Office (Офіс Генерального прокурора); National Police (Національна поліція України); Security Service (Служба безпеки України)	・ウクライナ検察総局（Офіс Генерального прокурора）、国家警察（Національна поліція України）、治安局（Служба безпеки України）

2024.06.07 00:00 in 情報セキュリティ / サイバーセキュリティ, in 法律 / 犯罪 | Permalink | Comments (0)
Tweet

2024.06.06

米国 NSA 可視性と分析のピラーを通じてゼロトラストの成熟度を進める (2024.05.30)

こんにちは、丸山満彦です。

米国の国家安全保障局が、可視化と分析のピラーを通してゼロトラストの成熟度を高めるためのガイドを公表していますね...

(前回はアプリケーションとワークロード...)

ゼロトラストアーキテクチャには、7つのピラー、

USER	ユーザー
DEVICE	デバイス
APPLICATION & WORKLOAD	アプリケーションとワークロード
DATA	データ
NETWORK & ENVIRONMENT	ネットワークと環境
AUTOMATION & ORCHESTRATION	自動化とオーケストレーション
VISIBLITY & ANALITICS	可視性と分析

が、ありますが、

今回のテーマは、VISIBLITY & ANALITICS です...

主要な機能は...

Logging all relevant activity	関連するすべての活動の記録
Centralized security information and event management	セキュリティ情報とイベントの一元管理
Security and risk analytics	セキュリティとリスク分析
User and entity behavior analytics	ユーザーと事業体の行動分析
Threat intelligence integration	脅威インテリジェンスの統合
Automated dynamic policies	自動化された動的ポリシー

組織でSOCとか運用されているメンバーの方は読んだ方が良いかもですね...わりと完結に書かれていて、他の人に説明をする際にも参考になると思います。

● National Security Agency/Central Security Service

・2024.05.30 [PDF] CSI: Advancing Zero Trust Maturity Throughout the Visibility and Analytics Pillar

・[DOCX][PDF] 仮訳

エグゼクティブサマリー...

Executive summary	エグゼクティブサマリー
In the ever-expanding landscape of cybersecurity, threats manifest in various forms and often infiltrate systems discreetly. The constant risk of intrusion underscores the critical importance of swift detection and mitigation.	拡大し続けるサイバーセキュリティの世界では、脅威はさまざまな形で現れ、しばしば目立たないようにシステムに侵入する。侵入のリスクは常に存在するため、迅速な検知と軽減が極めて重要である。
This cybersecurity information sheet (CSI) centers on the visibility and analytics aspect of the Zero Trust (ZT) model, emphasizing the significance of comprehensively observing data characteristics and events within an enterprise-wide environment. Prioritizing cyber-related data analysis aids in informing policy decisions, facilitating response actions, and constructing a risk profile to proactively fortify security measures.	このサイバーセキュリティ・インフォメーション・シート（CSI）は、ゼロトラスト（ZT）モデルの可視性と分析の側面を中心に、エンタープライズ全体の環境におけるデータの特性とイベントを包括的に観察することの重要性を強調している。サイバー関連のデータ分析に優先順位をつけることで、政策決定への情報提供、対応措置の促進、セキュリティ対策を積極的に強化するためのリスクプロファイルの構築に役立つ。
Visibility and analytics form the cornerstone of any ZT strategy, empowering organizations to harness infrastructure, tools, data, and techniques for proactively mitigating risks and for rapid identification, detection, and response to emerging cyber threats. Evolving from traditional signature-based approaches, detection (visibility and analytics) and response capabilities are increasingly adopting behavior-based methodologies to combat the sophistication of modern cyber threats. This pillar highlights the benefits of continuous monitoring and provides insights essential for identifying and mitigating potential security risks to assure that only authorized users and devices access sensitive resources.	可視化と分析は、あらゆるZT戦略の礎石を形成し、組織がインフラ、ツール、データ、テクニックを活用してリスクを事前に低減し、新たなサイバー脅威を迅速に特定、検知、対応できるようにする。従来のシグネチャベースのアプローチから進化し、検知（可視化と分析）および対応機能は、現代のサイバー脅威の高度化に対抗するために、行動ベースの手法を採用するようになってきている。このピラーは、継続的なモニタリングの利点を強調し、潜在的なセキュリティリスクを特定して低減し、認可されたユーザーとデバイスのみが機密リソースにアクセスできるようにするために不可欠な洞察を提供する。
This CSI offers recommendations for advancing visibility and analytics within the ZT framework. It explains how these capabilities seamlessly integrate into a comprehensive ZT framework as detailed in the NSA publication, Embracing a Zero Trust Security Model. [1] National Security System (NSS), Department of Defense (DoD), and Defense Industrial Base (DIB) stakeholders can leverage this guidance in conjunction with complementary resources to enhance visibility and analytics through the implementation of outlined capabilities.	この CSI は、ZT フレームワークの中で可視化と分析を進めるための推奨事項を提示している。この CSI は、NSA の出版物「Embracing a Zero Trust Security Model」[1] に詳述されているように、これらの機能がどのように包括的な ZT フレームワークにシームレスに統合されるかを説明している。[国家安全保障システム（NSS）、国防総省（DoD）、防衛産業基盤（DIB）の関係者は、このガイダンスを補完的なリソースと併せて活用することで、概略の機能を実装することで可視性と分析を強化することができる。

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.05.25 米国 NSA アプリケーションとワークロードのピラーを通してゼロトラストの成熟度を進める

・2024.04.15 米国 NSA データ・ピラー全体でゼロトラストの成熟度を進める (2024.04.09)

・2024.03.08 米国 NSA ネットワークと環境のピラーでゼロトラストの成熟度を進める (2024.03.05)

2024.06.06 06:29 in 情報セキュリティ / サイバーセキュリティ, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in 安全保障 | Permalink | Comments (0)
Tweet

防衛省防衛研究所情報支援部隊の創設に伴う中国人民解放軍の組織改編

こんにちは、丸山満彦です。

中国人民解放軍が4月19日に「戦略支援部隊を廃止し、軍事宇宙部隊とサイバー空間部隊を創設する」という発表しましたが、その政策目的などは発表されていません。。。また、組織図も公表されていない様で、全体像も不明ですね。。。

防衛省の防衛研究所がその政策目的を発表内容や過去の状況等も踏まえて考察していますね。。。

● 防衛省防衛研究所

・2024.06.04 [PDF] 情報支援部隊の創設に伴う中国人民解放軍の組織改編

報道機関系...

● China Global Television Network; CGTN

・2024.04.19 China calls Information Support Force 'brand-new strategic arm' of PLA

・2024.04.19 Xi Jinping presents flag to PLA Information Support Force

● Breaking Defense

・2024.04.22 China creates new Information Support Force, scraps Strategic Support Force in ‘major’ shakeup

● Defense News

・2024.04.26 Why China axed the Strategic Support Force and reshuffled the military

シンクタンク系...

● International Institute for Strategic Studies; IISS

・2024.05.04 China’s new Information Support Force

米軍と中国人民軍の構造は、こんな感じ？

中国人民軍（フォースプロバイダー側だけ）

米軍...

2024.06.06 05:22 in 情報セキュリティ / サイバーセキュリティ, in 安全保障 | Permalink | Comments (0)
Tweet

2024.06.05

欧州データ保護監察機関 (EDPS) 生成的AIを使用するEU組織のための最初のEDPSオリエンテーション

こんにちは、丸山満彦です。

欧州データ保護監察機関 (EDPS)が、EU組織が生成的AIを利用することに関する最初の方向性を示す文書を公表していますね...

つまり、生成的AIと個人データ保護に関する最初のオリエンテーションというわけですね...

EUは動きが早いねぇ...

これを第一歩にして、さらに詳細な検討が進められていくんでしょうね...

● EUROPEAN DATA PROTECTION SUPERVISOR

プレス...

・2024.06.04 EDPS Guidelines on generative AI: embracing opportunities, protecting people

EDPS Guidelines on generative AI: embracing opportunities, protecting people	生成的AIに関するEDPSガイドライン：機会を受け入れ、人々を保護する
The EDPS has published today its guidelines on generative Artificial Intelligence and personal data for EU institutions, bodies, offices and agencies (EUIs). The guidelines aim to help EUIs comply with the data protection obligations set out in Regulation (EU) 2018/1725, when using or developing generative AI tools.	EDPSは本日、EUの機関・団体・事務所・機関（EUI）のための生成的人工知能と個人データに関するガイドラインを発表した。本ガイドラインは、EUIが生成的AIツールを使用または開発する際に、規則（EU）2018/1725に定められたデータ保護義務を遵守することを支援することを目的としている。
Wojciech Wiewiórowski, EDPS, said: “The guidelines that I have issued today on generative AI are a first step towards more extensive recommendations in response to the evolving landscape of generative AI tools, which my team and I continue to monitor and analyse closely. Our advice published today is drafted with the aim of covering as many possible scenarios involving the use of generative AI, to provide enduring advice to EUIs so that they can protect individuals’ personal information and privacy.”	EDPSのWojciech Wiewiórowski氏は次のように述べた：「本日発表した生成的AIに関するガイドラインは、進化する生成的AIツールの状況に対応するため、より広範な勧告に向けた第一歩であり、私のチームと私は注意深く監視と分析を続けている。本日発表した我々の助言は、生成的AIの使用に関わる可能性のあるシナリオをできるだけ多くカバーし、EUIが個人の個人情報とプライバシーを保護できるよう、永続的な助言を提供することを目的としてドラフトされたものである」。
To ensure their practical application by EUIs, the guidelines emphasise on data protection’s core principles, combined with concrete examples, as an aid to anticipate risks, challenges and opportunities of generative AI systems and tools.	EUIによる実践的な適用を確実にするため、ガイドラインは、生成的AIシステムやツールのリスク、課題、機会を予測するための一助として、具体例と組み合わせたデータ保護の基本原則に重点を置いている。
As such, the guidelines focus on a series of important topics, including advice on how EUIs can distinguish whether the use of such tools involves the processing of individuals’ data; when to conduct a data protection impact assessment; and other essential recommendations.	そのため、本ガイドラインは、EUIがそのようなツールの使用が個人のデータ処理に関わるかどうかを区別する方法、データ保護影響評価を実施するタイミング、その他の重要な勧告に関するアドバイスなど、一連の重要なトピックに焦点を当てている。
The EDPS issues these guidelines within its role as independent data protection authority of the EUIs, so that they comply with the EU’s data protection law applicable to them, in particular Regulation (EU) 2018/1725. The EDPS has not issued these guidelines within its role as AI Supervisor of the EUIs under the EU’s Artificial Intelligence Act for which a separate strategy is being prepared.	EDPSは、EUIに適用されるEUのデータ保護法、特に規則（EU）2018/1725を遵守するよう、EUIの独立したデータ保護認可機関としての役割の中で、これらのガイドラインを発行している。EDPSは、別個の戦略が準備されているEUの人工知能法に基づくEUIのAI監督機関としての役割の範囲内では、本ガイドラインを発行していない。

で、報告書...

・[PDF] [HTML] Generative AI and the EUDPR. First EDPS Orientations for ensuring data protection compliance when using Generative AI systems.

First EDPS Orientations for EUIs using Generative AI	生成的AIを使用するEUIのための最初のEDPSオリエンテーション
These EDPS Orientations on generative Artificial Intelligence (generative AI) and personal data protection intend to provide practical advice and instructions to EU institutions, bodies, offices and agencies (EUIs) on the processing of personal data when using generative AI systems, to facilitate their compliance with their data protection obligations as set out, in particular, in Regulation (EU) 2018/1725. These orientations have been drafted to cover as many scenarios and applications as possible and do not prescribe specific technical measures. Instead, they put an emphasis on the general principles of data protection that should help EUIs comply with the data protection requirements according to Regulation (EU) 2018/1725.	生成的人工知能（生成的AI）と個人データ保護に関するこのEDPSオリエンテーションは、EU機構、団体、事務所、機関（EUI）が生成的AIシステムを使用する際の個人データ処理について、特に規則（EU）2018/1725に規定されているデータ保護義務への準拠を促進するための実践的な助言と指示を提供することを意図している。これらの方向性は、できるだけ多くのシナリオとアプリケーションをカバーするようにドラフトされており、特定の技術仕様を規定するものではない。その代わりに、EUIが規則（EU）2018/1725によるデータ保護要件を遵守するのに役立つデータ保護の一般原則に重点を置いている。
These orientations are a first step towards more detailed guidance that will take into account the evolution of Generative AI systems and technologies, their use by EUIs, and the results of the EDPS’ monitoring and oversight activities.	これらの方向性は、生成的AIシステムや技術の進化、EUIによる利用、EDPSの監視・監督活動の結果を考慮した、より詳細なガイダンスに向けた第一歩である。
The EDPS issues these orientations in its role as a data protection supervisory authority and not in its new role as AI supervisory authority under the AI Act.	EDPSは、AI法に基づくAI監督当局としての新たな役割ではなく、データ保護監督当局としての役割において、これらの指針を発行する。
These orientations are without prejudice to the Artificial Intelligence Act.	これらのオリエンテーションは、人工知能法を妨げるものではない。
Introduction and scope.	序文と範囲
1. What is generative AI?	1. 生成的AIとは何か？
2. Can EUIs use generative AI?	2. EUIは生成的AIを使えるのか？
3. How to know if the use of a generative AI system involves personal data processing?	3. 生成的AIシステムの使用が個人データ処理に関わるかどうかを知る方法は？
4. What is the role of DPOs in the process of development or deployment of generative AI systems?	4. 生成的AIシステムの開発・導入プロセスにおけるDPOの役割は何か？
5. An EUI wants to develop or implement generative AI systems. When should a DPIA be carried out?	5. EUIが生成的AIシステムの開発または導入を望んでいる。いつDPIAを実施すべきか？
6. When is the processing of personal data during the design, development and validation of generative AI systems lawful?	6. 生成的AIシステムの設計、開発、検証における個人データの処理はいつ合法となるか？
7. How can the principle of data minimisation be guaranteed when using generative AI systems?	7. 生成的AIシステムを使用する場合、データ最小化の原則はどのように保証されるか？
8. Are generative AI systems respectful of the data accuracy principle?	8. 生成的AIシステムはデータの正確性の原則を尊重しているか？
9. How to inform individuals about the processing of personal data when EUIs use generative AI systems?	9. EUIが生成的AIシステムを使用する場合、個人データの処理についてどのように個人に知らせるか？
10. What about automated decisions within the meaning of Article 24 of the Regulation?	10. 規則第24条にいう自動化された決定についてはどうか。
11. How can fair processing be ensured and avoid bias when using generative AI systems?	11. 生成的AIシステムを使用する場合、どのようにして公正な処理を確保し、バイアスを避けることができるか？
12. What about the exercise of individual rights?	12. 個人の権利行使についてはどうか。
13. What about data security?	13. データセキュリティについてはどうか。
14. Do you want to know more?	14. もっと知りたいか？
Introduction and scope	序文と範囲
These orientations are intended to provide some practical advice to the EU institutions, bodies, offices and agencies (EUIs) on the processing of personal data in their use of generative AI systems, to ensure that they comply with their data protection obligations in particular as set out in the Regulation (EU) 2018/1725[1] (‘the Regulation’, or EUDPR). Even if the Regulation does not explicitly mention the concept of Artificial Intelligence (AI), the right interpretation and application of the data protection principles is essential to achieve a beneficial use of these systems that does not harm individuals’ fundamental rights and freedoms.	これらのオリエンテーションは、EUの機構、団体、事務所、機関（EUI）が生成的AIシステムを利用する際の個人データの取り扱いについて、特に規則（EU）2018/1725[1]（「規則」、またはEUDPR）で規定されているデータ保護義務を遵守するための実践的なアドバイスを提供することを目的としている。たとえ同規則が人工知能（AI）の概念に明確に言及していないとしても、個人の基本的権利と自由を害することのないこれらのシステムの有益な利用を実現するためには、データ保護原則の正しい解釈と適用が不可欠である。
The EDPS issues these orientations in his role as a data protection supervisory authority and not in his new role as AI supervisory authority under the AI Act.	EDPSは、データ保護監督当局としての役割において、またAI法に基づくAI監督当局としての新たな役割においてではなく、これらのオリエンテーションを発行する。
These orientations do not aim to cover in full detail all the relevant questions related to the processing of personal data in the use of generative AI systems that are subject to analysis by data protection authorities. Some of these questions are still open, and additional ones are likely to arise as the use of these systems increases and the technology evolves in a way that allows a better understanding on how generative AI works.	これらの防御方針は、データ保護当局の分析主体である生成的AIシステムの使用における個人データ処理に関連するすべての問題を詳細に網羅することを目的としているわけではない。これらの疑問点のいくつかはまだ未解決であり、これらのシステムの使用が増加し、生成的AIがどのように機能するかについてよりよく理解できるように技術が進化するにつれて、さらなる疑問点が生じる可能性がある。
Because artificial intelligence technology evolves quickly, the specific tools and means used to provide these types of services are diverse and they may change very quickly. Therefore, these orientations have been drafted as technologically neutral as possible.	人工知能技術は急速に進化するため、この種のサービスを提供するために使用される具体的なツールや手段は多様であり、それらは急速に変化する可能性がある。そのため、これらのオリエンテーションは、可能な限り技術的に中立な立場でドラフトされた。
These orientations are structured as follows: key questions, followed by initial responses along with some preliminary conclusions, and further clarifications or examples.	これらのオリエンテーションは次のような構成になっている。すなわち、主要な質問、それに続く予備的な結論に沿った初期的な回答、そしてさらなる説明や例である。
These initial orientations serve as a preliminary step towards the development of more comprehensive guidance. Over time, these orientations will be updated, refined and expanded to address further elements needed to support EUIs in the development and implementation of these systems. Such an update should take place no later than twelve months after the publication of this document.	これらの初期オリエンテーションは、より包括的なガイダンスの策定に向けた予備的なステップとしての役割を果たす。時間の経過とともに、これらのオリエンテーションは更新され、洗練され、拡大され、EUIがこれらのシステムを開発・実施するのを支援するために必要な要素をさらに取り上げることになる。このような更新は、遅くとも本文書の発行から12ヶ月以内に行われるべきである。
1. What is generative AI?	1. 生成的AIとは何か？
Generative AI is a subset of AI that uses specialised machine learning models designed to produce a wide and general variety of outputs, capable of a range of tasks and applications, such as generating text, image or audio. Concretely, it relies on the use of the so-called foundation models, which serve as baseline models for other generative AI systems that will be ‘fine-tuned’ from them.	生成的AIはAIのサブセットであり、テキスト、画像、音声の生成など、さまざまなタスクやアプリケーションに対応し、幅広く一般的な出力を生成するように設計された特殊な機械学習モデルを使用する。具体的には、いわゆる基礎モデルの使用に依存している。基礎モデルは、そこから「微調整」される他の生成的AIシステムのベースライン・モデルとして機能する。
A foundation model serves as the core architecture or base upon which other, more specialised models, are built. These models are trained on the basis of diverse and extensive datasets, including those containing publicly available information. They can represent complex structures like images, audio, video or language and can be fine-tuned for specific tasks or applications.	基礎モデルは、他の、より専門化されたモデルが構築される際の中核となるアーキテクチャやベースとして機能する。これらのモデルは、一般に公開されている情報を含む、多様で広範なデータセットに基づいて訓練される。これらのモデルは、画像、音声、映像、言語などの複雑な構造を表現することができ、特定のタスクや用途に合わせて微調整することができる。
Large language models are a specific type of foundation model trained on massive amounts of text data (from millions to billions of words)that can generate natural language responses to a wide range of inputs based on patterns and relationships between words and phrases. This vast amount of text used to train the model may be taken from the Internet, books, and other available sources. Some applications already in use are code generation systems, virtual assistants, content creation tools, language translation engines, automated speech recognition, medical diagnosis systems, scientific research tools, etc.	大規模言語モデルは、膨大な量のテキストデータ（数百万語から数十億語）に対して学習される特定のタイプの基礎モデルであり、単語やフレーズ間のパターンや関係に基づいて、幅広い入力に対する自然言語応答を生成することができる。モデルの学習に使用される膨大なテキストは、インターネット、書籍、その他の利用可能なソースから取得することができる。すでに使われているアプリケーションとしては、コード生成システム、バーチャルアシスタント、コンテンツ作成ツール、言語翻訳エンジン、自動音声認識、医療診断システム、科学研究ツールなどがある。
The relationship between these concepts is hierarchical. Generative AI is the broad category encompassing models designed to create content. A foundation model, such as a large language model, acts as the foundational architecture upon which more specialized models are built. Specialised models, built upon the foundation model, cater to specific tasks or applications, using the knowledge and capabilities of the foundational architecture.	これらの概念の関係は階層的である。生成的AIは、コンテンツを作成するために設計されたモデルを包含する広範なカテゴリーである。大規模な言語モデルのような基礎モデルは、より専門化されたモデルが構築される基礎アーキテクチャとして機能する。基礎モデルの上に構築される専門化されたモデルは、基礎アーキテクチャの知識と能力を使用して、特定のタスクやアプリケーションに対応する。
The life cycle of a generative AI model covers different phases, starting by the definition of the use case and scope of the model. In some cases, it might be possible to identify a suitable foundation model to start with, in other cases a new model may be built from scratch. The following phase involves training the model with relevant datasets for the purpose of the future system, including fine-tuning of the system with specific, custom datasets required to meet the use case of the model. To finalise the training, specific techniques requiring human agency are used to ensure more accurate information and controlled behaviour. The following phase aims at evaluating the model and establishing metrics to regularly assess factors, such as accuracy, and the alignment of the model with the use case. Finally, models are deployed and implemented, including continuous monitoring and regular assessment using the metrics established in previous phases.	生成的AIモデルのライフサイクルは、ユースケースとモデルのスコープの定義から始まり、さまざまなフェーズにわたる。適切な基礎モデルを特定できる場合もあれば、ゼロから新しいモデルを構築する場合もある。次の段階では、モデルのユースケースを満たすために必要な特定のカスタムデータセットによるシステムの微調整を含め、将来のシステムの目的に関連するデータセットを使ってモデルをトレーニングする。トレーニングの最終段階として、より正確な情報と制御された動作を保証するために、人間の介在を必要とする特定の技術が使用される。次の段階では、モデルを評価し、精度やユースケースとモデルの整合性などの要素を定期的に評価するためのメトリクスを確立する。最後に、モデルは実装され、実装される。これには、前のフェーズで確立されたメトリクスを使用した継続的なモニタリングと定期的な評価が含まれる。
Relevant use cases in generative AI are general consumer-oriented applications (such as ChatGPT and similar systems that can be already found in different versions and sizes[2], including those that can be executed in a mobile phone). There are also business applications in specific areas, pre-trained models, applications based on pre-trained models that are tuned for specific use in an area of activity, and, finally, models in which the entire development, including the training process, is carried out by the responsible entity.	生成的AIに関連するユースケースは、一般的な消費者向けアプリケーション（ChatGPTや、携帯電話で実行可能なものを含め、すでにさまざまなバージョンやサイズ[2]で見つけることができる同様のシステムなど）である。また、特定の分野でのビジネスアプリケーション、事前学習モデル、活動分野での特定の用途のために調整された事前学習モデルに基づくアプリケーション、そして最後に、学習プロセスを含む開発全体が担当事業体によって実施されるモデルもある。
Generative AI, like other new technologies, offers solutions in several fields meant to support and enhance human capabilities. However, it also creates challenges with potential impact on fundamental rights and freedoms that risk being unnoticed, overlooked, not properly considered and assessed.	生成的AIは、他の新技術と同様に、人間の能力をサポートし、強化することを目的としたいくつかの分野でソリューションを提供している。しかし、基本的な権利や自由に影響を及ぼす可能性のある課題も生じており、それが気づかれず、見過ごされ、適切に考慮されず、アセスメントされないリスクもある。
The training of a Large Language Model (LLM) (and generally of any machine-learning model) is an iterative, complex and resource intensive process that involves several stages and techniques aiming at creating a model capable of generating human-like text in reaction to commands (or prompts) provided by users. The process starts with the model being trained on massive datasets, most of it normally unlabelled and obtained from public sources using web-scraping technologies (- data protection authorities already have expressed concern and outline the key privacy and data protection risks associated with the use of publicly accessible personal data). After that, LLMs are - not in all cases - fine-tuned using supervised learning or through techniques involving human agency (such as the Reinforcement Learning with Human Feedback (RLHF) or Adversarial Testing via Domain experts ) to help the system better recognize and process information and context, as well as to determine preferred responses, whether to limit output in reply to sensitive questions and to align it with the values of the developers (e.g. avoid producing harmful or toxic output). Once in production, some systems use the input data obtained through the interaction with users as a new training dataset to refine the model.	大規模言語モデル（LLM）（そして一般的にあらゆる機械学習モデル）の訓練は、反復的かつ複雑で、リソースを大量に消費するプロセスであり、ユーザーから提供されたコマンド（またはプロンプト）に反応して人間のようなテキストを生成できるモデルを作成することを目的とした、いくつかの段階とテクニックを含む。このプロセスは、膨大なデータセットでモデルを学習させることから始まるが、そのほとんどは通常ラベル付けされておらず、ウェブスクレイピング技術を使って公開ソースから取得される（データ保護当局はすでに懸念を表明しており、一般にアクセス可能な個人データの使用に関連する主要なプライバシー・データ保護リスクを概説している）。その後、LLMは、教師あり学習や、人間が関与する技術（人間のフィードバックによる強化学習（RLHF）やドメイン専門家による敵対的テストなど）を使って微調整され、システムが情報やコンテキストをよりよく認識・処理できるようにする。また、好ましい応答を決定したり、微妙な質問に対する出力を制限したり、開発者の価値観に沿うようにする（有害・有毒な出力を避けるなど）。本番稼動後は、ユーザーとの対話を通じて得られた入力データを、モデルを改良するための新しいトレーニングデータセットとして使用するシステムもある。
2. Can EUIs use generative AI?	2. EUIは生成的AIを使えるか？
As an EUI, there is no obstacle in principle to develop, deploy and use generative AI systems in the provision of public services, providing that the EUI's rules allow it, and that all applicable legal requirements are met, especially considering the special responsibility of the public sector to ensure full respect for fundamental rights and freedoms of individuals when making use of new technologies.	EUIとして、公共サービスの提供において生成的AIシステムを開発、配備、使用することは、EUIの規則がそれを許可し、適用されるすべての法的要件が満たされていれば、特に、新しい技術を利用する際に個人の基本的権利と自由の完全な尊重を保証する公共部門の特別な責任を考慮すれば、原則として支障はない。
In any case, if the use of generative AI systems involves the processing of personal data, the Regulation applies in full. The Regulation is technologically neutral, and applies to all personal data processing activities, regardless of the technologies used and without prejudice to other legal frameworks, in particular the AI Act. The principle of accountability requires responsibilities to be clearly identified and respected amongst the various actors involved in the generative AI model supply chain.	いずれにせよ、生成的AIシステムの使用が個人データの処理を伴う場合、同規則は全面的に適用される。同規則は技術的に中立であり、使用される技術にかかわらず、また他の法的枠組み、特にAI法を損なうことなく、すべての個人データ処理活動に適用される。説明責任の原則は、生成的AIモデルのサプライチェーンに関わる様々な関係者の間で責任を明確に特定し、尊重することを求めている。
EUIs can develop and deploy their own generative AI solutions or can alternatively deploy for their own use solutions available on the market. In both cases, EUIs may use providers to obtain all or some of the elements that are part of the generative AI system. In this context, EUIs must clearly determine the specific roles - controller, processor, joint controllership - for the specific processing operations carried out and their implications in terms of obligations and responsibilities under the Regulation.	EUIは、生成的AIソリューションを独自に開発・実装することも、市場で入手可能なソリューションを独自に使用することもできる。いずれの場合も、EUIはプロバイダを利用して、生成的AIシステムの一部である要素のすべてまたは一部を入手することができる。このような状況において、EUIは、実施される特定の処理操作と、規則上の義務および責任の観点からのその意味について、管理者、処理者、共同管理者といった特定の役割を明確に決定しなければならない。
As AI technologies advance rapidly, EUIs must consider carefully when and how to use generative AI responsibly and beneficially for public good. All stages of a generative AI solution life cycle should operate in accordance with the applicable legal frameworks, including the Regulation, when the system involves the processing of personal data.	AI技術が急速に進歩する中、EUIは生成的AIをいつ、どのように責任を持って、公益のために有益に利用するかを慎重に検討しなければならない。生成的AIソリューションのライフサイクルのすべての段階は、システムが個人データの処理を伴う場合、規則を含む適用される法的枠組みに従って運用されるべきである。
The terms trustworthy or responsible AI refer to the need to ensure that AI systems are developed in an ethical and legal way. It entails considering the unintended consequences of the use of AI technology and the need to follow a risk-based approach covering all the stages of the life cycle of the system. It also implies transparency regarding the use of training data and its sources, on how algorithms are designed and implemented, what kind of biases might be present in the system and how are tackled possible impacts on individual’s fundamental rights and freedoms. In this context, generative AI systems must be transparent, explainable, consistent, auditable and accessible, as a way to ensure fair processing of personal data.	信頼できるAIや責任あるAIという用語は、AIシステムが倫理的かつ合法的な方法で開発されることを保証する必要性を指す。そのためには、AI技術の使用が意図しない結果をもたらすことを考慮し、システムのライフサイクルの全段階を網羅するリスクベースのアプローチに従う必要がある。また、学習データの使用とその出典、アルゴリズムの設計と実装方法、システムにどのようなバイアスが存在する可能性があるか、個人の基本的権利と自由への影響の可能性にどのように対処するかについて、透明性を確保する必要がある。この観点から、生成的AIシステムは、個人データの公正な処理を保証する方法として、透明性があり、説明可能で、一貫性があり、監査可能で、アクセス可能でなければならない。
3. How to know if the use of a generative AI system involves personal data processing?	3. 生成的AIシステムの使用が個人データ処理を伴うかどうかを知るには？
Personal data processing in a generative AI system can occur on various levels and stages of its lifecycle, without necessarily being obvious at first sight. This includes when creating the training datasets, at the training stage itself, by infering new or additional information once the model is created and in use, or simply through the inputs and outputs of the system once it is running.	生成的AIシステムにおける個人データ処理は、そのライフサイクルの様々なレベルや段階で発生する可能性があり、必ずしも一見して明らかである必要はない。これには、訓練データセットの作成時、訓練段階そのもの、モデルが作成され使用されるようになってからの新たな情報や追加情報の推論、あるいはシステムが稼働してからの単純な入出力などが含まれる。
When a developer or a provider of a generative AI system claims that their system does not process personal data (for reasons such as the alleged use of anonymised datasets or synthetic data during its design, development and testing), it is crucial to ask about the specific controls that have been put in place to guarantee this. Essentially, EUIs may want to know what steps or procedures the provider uses to ensure that personal data is not being processed by the model.	生成的AIシステムの開発者やプロバイダが、そのシステムは個人データを処理していないと主張する場合（設計、開発、テスト時に匿名化されたデータセットや合成データを使用していると主張するなどの理由で）、これを保証するために実施されている具体的な制御について質問することは極めて重要である。基本的にEUIは、個人データがモデルによって処理されていないことを保証するためにプロバイダがどのような手順や手続きを用いているかを知りたいと考えるだろう。
The EDPS has already cautioned[3] against the use of web scraping techniques to collect personal data, through which individuals may lose control of their personal information when these are collected without their knowledge, against their expectations, and for purposes that are different from those of the original collection. The EDPS has also stressed that the processing of personal data that is publicly available remains subject to EU data protection legislation. In that regard, the use of web scraping techniques to collect data from websites and their use for training purposes might not comply with relevant data protection principles, including data minimisation and the principle of accuracy, insofar as there is no assessment on the reliability of the sources.	EDPSはすでに[3]、個人データを収集するためにウェブスクレイピング技術を使用することに警告を発している。このような技術を使用すると、個人が知らないうちに、期待に反して、当初の収集目的とは異なる目的で個人情報が収集され、個人情報の管理者を失う可能性がある。EDPSはまた、一般に公開されている個人データの処理は、依然としてEUデータ保護法の主体であると強調している。この点で、Webスクレイピング技術を使用してWebサイトからデータを収集し、それをトレーニング目的に使用することは、情報源の信頼性に関するアセスメントがない限り、データの最小化や正確性の原則を含む関連するデータ保護の原則に準拠しない可能性がある。
Regular monitoring and the implementation of controls at all stages can help verify that there is no personal data processing, in cases where the model is not intended for it.	定期的な監視とすべての段階での制御の実施は、モデルが意図していない場合に、個人データ処理がないことを確認するのに役立つ。
EUI-X, a fictional EU institution, is considering the acquisition of a product for automatic speech recognition and transcription. After studying the available options, it has focused on the possibility of using a generative AI system to facilitate this function. In this particular case, it is a system that offers a pre-trained model for speech recognition and translation. Since this model will be used for the transcription of meetings using recorded voice files, it has been determined that the use of this model requires the processing of personal data and therefore it must ensure compliance with the Regulation.	EUの架空の機関であるEUI-Xは、自動音声認識と文字起こしのための製品の購入を検討している。利用可能な選択肢を検討した結果、この機能を促進するために生成的AIシステムを使用する可能性に注目した。この特別なケースでは、音声認識と翻訳のための事前学習モデルを提供するシステムである。このモデルは、録音された音声ファイルを使用した会議の文字起こしに使用されるため、このモデルの使用には個人データの処理が必要であり、したがって規則の遵守を保証する必要があると判断された。
4. What is the role of DPOs in the process of development or deployment of generative AI systems?	4. 生成的AIシステムの開発または実装プロセスにおけるDPOの役割は何か？
Article 45 of the Regulation establishes the tasks of the data protection officer. DPOs inform and advise on the relevant data protection obligations, assist controllers to monitor internal compliance, provide advice where requested regarding DPIAs, and act as the contact point for data subjects and the EDPS.	規則第45条は、データ保護責任者の業務を定めている。DPOは、関連するデータ保護義務について通知・助言し、データ管理者が内部コンプライアンスを監視するのを支援し、DPIAに関して要請があれば助言を提供し、データ主体およびEDPSの窓口となる。
In the context of the implementation by EUIs of generative AI systems that process personal data it is important to ensure that DPOs, within their role, advise and assist in an independent manner on the application of the Regulation, have a proper understanding of the lifecycle of the generative AI system that the EUI is considering to procure, design or implement and how it works. This means, obtaining information on when and how these systems process personal data, and how the input and output mechanisms work, as well as the decision-making processes implemented through the model. It is important, as the Regulation points out[4], to provide advice to controllers when conducting data protection impact assessments. Controllers must ensure that all processes are properly documented and that transparency is guaranteed, including updating records of processing and, as a best practice, carrying out a specific inventory on generative AI - driven systems and applications. Finally, the DPO should be involved in the review of compliance issues in the context of data sharing agreements signed with model providers.	EUIが個人データを処理する生成的AIシステムを導入する場合、DPOがその役割の中で、規則の適用について独立した立場で助言・支援し、EUIが調達・設計・導入を検討している生成的AIシステムのライフサイクルとその仕組みを適切に理解することが重要である。つまり、これらのシステムがいつ、どのように個人データを処理するのか、インプットとアウトプットのメカニズムがどのように機能するのか、モデルを通じて実行される意思決定プロセスに関する情報を入手することである。規則が指摘しているように[4]、データ保護影響アセスメントを実施する際に、輸入事業者に助言を提供することが重要である。管理者は、すべてのプロセスが適切に文書化され、処理記録の更新や、ベストプラクティスとして生成的AI主導のシステムやアプリケーションに関する特定のインベントリーの実施など、透明性が保証されていることを保証しなければならない。最後に、DPOは、モデルプロバイダーと締結したデータ共有契約におけるコンプライアンス問題の検討に関与すべきである。
From the organisational perspective, the implementation of generative AI systems in compliance with the Regulation should not be a one-person effort. There should be a continuous dialogue among all the stakeholders involved across the lifecycle of the product. Therefore, controllers should liaise with all relevant functions within the organisation, notably the DPO, Legal Service, the IT Service and the Local Informatics Security Officer (LISO) in order to ensure that the EUI works within the parameters of trustworthy generative AI, good data governance and complies with the Regulation. The creation of an AI task force, including the DPO, and the preparation of an action plan, including awareness raising actions at all levels of the organisation and the preparation of internal guidance may contribute to the achievement of these objectives.	組織的な観点からは、規則に準拠した生成的AIシステムの導入は、一人だけの取り組みであってはならない。製品のライフサイクルを通じて、関係するすべての利害関係者の間で継続的な対話が必要である。したがって、管理者は、EUIが信頼できる生成的AI、優れたデータガバナンスのパラメーターの範囲内で機能し、規則を遵守することを確実にするために、組織内のすべての関連機能、特にDPO、法務サービス、ITサービス、地域情報セキュリティ担当者（LISO）と連携すべきである。DPOを含むAIタスクフォースの設置、組織の全レベルにおける意識向上活動や内部ガイダンスの作成を含む行動計画の作成は、これらの目的の達成に貢献する可能性がある。
As an example of contractual clauses, the European Commission, through the “Procurement of AI Community” initiative, has brought together relevant stakeholders in procuring AI-solutions to develop wide model contractual clauses for the procurement of Artificial Intelligence by public organisations. It is also relevant to consider the standard contractual clauses between controllers and processors under the Regulation.	契約条項の一例として、欧州委員会は「インテリジェンス・コミュニティの調達」イニシアティブを通じて、AIソリューションの調達に関わる関係者を集め、公的機関による人工知能調達のための幅広いモデル契約条項を策定した。また、同規則に基づく管理者と処理者間の標準契約条項を検討することも適切である。
5. An EUI wants to develop or implement generative AI systems. When should a DPIA be carried out?	5. EUIが生成的AIシステムの開発または実装を望んでいる。DPIAはいつ実施されるべきか？
The principles of data protection by design and by default[5] aim to protect personal data throughout the entire life cycle of data processing, starting from the inception stage. By complying with this principle of the Regulation, based on a risk-oriented approach, the threats and risks that generative AI may entail can be considered and be mitigated sufficiently in advance. Developers and deployers may need to carry out their own risk assessments and document any mitigation action taken.	設計およびデフォルトによるデータ保護の原則[5]は、データ処理のライフサイクル全体を通じて個人データを保護することを目的としており、データ処理の開始段階から始まる。リスク指向のアプローチに基づき、規則のこの原則を遵守することで、生成的AIが伴いうる脅威とリスクを事前に考慮し、十分に軽減することができる。開発者や導入者は、独自のリスクアセスメントを実施し、講じた緩和措置を文書化する必要があるかもしれない。
The Regulation requires that a DPIA[6] must be carriedout before any processing operation that is likely to implicate a high risk[7] to fundamental rights and freedoms of individuals.. The Regulation points out the importance of carrying out such assessment, where new technologies are to be used or are of a new kind in relation to which no assessment has been carried out before by the controller, in the case of generative AI systems for example.	同規則は、個人の基本的権利と自由に対して高いリスク[7]を伴う可能性のある処理操作の前に、DPIA[6]を実施しなければならないとしている。同規則は、新技術が使用される場合、または、生成的AIシステムなどのように、これまで輸入事業者によってアセスメントが実施されていなかった新しい種類の技術が使用される場合、このようなアセスメントを実施することの重要性を指摘している。
The controller is obliged to seek the advice of the data protection officer (DPO) when carrying out a DPIA. Because of the assessment, appropriate technical and organisational measures must be taken to mitigate the identified risks given the responsibilities the context and the available state-of-the-art measures.	管理者はDPIAを実施する際、データ保護責任者（DPO）の助言を求める義務がある。アセスメントにより、識別されたリスクを軽減するために、その状況および利用可能な最新手段の責任を考慮した上で、適切な技術的および組織的措置を講じなければならない。
It may be appropriate, in the context of the use of generative AI to seek the views of those affected by the system, either the data subject themselves or their representatives in the area of intended processing. In addition to the reviews to assess whether the DPIA is rightly implemented, regular monitoring and reviews of the risk assessments need to be carried out, since the functioning of the model may exacerbate identified risks or create new ones. Those risks are related to personal data protection, but are also related to other fundamental rights and freedoms.	生成的AIの使用という文脈では、システムの影響を受けるデータ主体本人またはその代表者の意見を、意図された処理領域で求めることが適切な場合がある。DPIAが適切に実施されているかどうかを評価するためのレビューに加えて、モデルの機能が特定されたリスクを悪化させたり、新たなリスクを生み出す可能性があるため、定期的なモニタリングとリスクアセスメントのレビューも実施する必要がある。これらのリスクは個人データ保護に関連するものであるが、その他の基本的権利や自由にも関連するものである。
All the actors involved in the DPIA must ensure that any decision and action is properly documented, covering the entire generative AI system lifecycle, including, actions taken to manage risks and the subsequent reviews to be carried out.	DPIAに関与するすべての関係者は、生成的AIシステムのライフサイクル全体を網羅し、リスクマネジメントのために取られた措置や、その後に実施されるレビューを含め、あらゆる決定と措置が適切に文書化されることを保証しなければならない。
It is EUI´s responsibility to appropriately manage the risks connected to the use of generative AI systems. Data protection risks must be identified and addressed throughout the entire life cycle of the generative AI system. This includes regular and systematic monitoring to determine, as the system evolves, whether risks already identified are worsening or whether new risks are appearing. The understanding of risks linked to the use of generative AI is still ongoing so there is a need to keep a vigilant approach towards non-identified, emerging risks. If risks that cannot be mitigated by reasonable means are identified, it is time to consult the EDPS.	生成的AIシステムの使用に関連するリスクを適切に管理することはEUIの責任である。データ保護リスクは、生成的AIシステムのライフサイクル全体を通じて特定され、対処されなければならない。これには、システムの進化に伴い、すでに識別されたリスクが悪化していないか、あるいは新たなリスクが出現していないかを判断するための定期的かつ体系的なモニタリングが含まれる。生成的AIの使用に関連するリスクの理解はまだ進行中であるため、識別されていない新たなリスクに対する警戒を怠らない必要がある。合理的な手段で低減できないリスクが識別された場合は、EDPSに相談する時である。
The EDPS has established a template allowing controllers to assess whether they have to carry out a DPIA [annex six to Part I of the accountability toolkit]. In addition, the EDPS has established an open list of processing operations subject to the requirement for a DPIA. Where necessary, the controller shall carry out a review to assess if the data processing is being performed in accordance with the data protection impact assessment, at least when there is a change to the risks represented by processing operations. If following the DPIA, controllers are not sure whether risks are appropriately mitigated, they should proceed to a prior consultation with the EDPS.	EDPSは、管理者がDPIAを実施する必要があるかどうかを評価するためのテンプレートを策定している［アカウンタビリティ・ツールキットのパートIの附属書6］。さらに、EDPSはDPIAの要求対象となる処理業務のオープンリストを策定した。必要な場合、データ管理者は、少なくとも処理業務に代表されるリスクに変更があった場合に、データ処理がデータ保護影響アセスメントに従って行われているかどうかを評価するためのレビューを実施しなければならない。DPIA 後、管理者がリスクを適切に低減できているかどうか確信が持てない場合は、 EDPS との事前協議に進むべきである。
6. When is the processing of personal data during the design, development and validation of generative AI systems lawful?	6. 生成的AIシステムの設計、開発、検証における個人データの処理はいつ合法か？
The processing of personal data in generative AI systems may cover the entire lifecycle of the system, encompassing all processing activities related to the collection of data, training, interaction with the system and systems’ content generation. Collection and training-related processing activities include obtaining data from publicly available sources on the Internet, directly, from third parties, or from the EUIs’ own files. Personal data can also be obtained by the generative AI model directly from the users, via the inputs to the system or through inference of new information. In the context of generative AI systems, the training and use of the systems relies normally on systematic and large scale processing of personal data, in many cases without the awareness of the individuals whose data are processed.	生成的AIシステムにおける個人データの処理は、データの収集、訓練、システムとの相互作用、システムのコンテンツ生成に関連するすべての処理活動を包含し、システムのライフサイクル全体をカバーすることができる。収集と訓練に関連する処理活動には、インターネット上の一般に利用可能なソースから、直接、サードパーティから、またはEUI自身のファイルからデータを取得することが含まれる。個人データは、生成的AIモデルによって、システムへの入力を通じて、あるいは新しい情報の推論を通じて、ユーザーから直接取得することもできる。生成的AIシステムの文脈では、システムのトレーニングおよび使用は通常、個人データの体系的かつ大規模な処理に依存しており、多くの場合、そのデータが処理される個人の意識向上および使用はない。
The processing of any personal data by EUIs is lawful if at least one of the grounds for lawfulness[8] listed in the Regulation is applicable. In addition, for the processing of special categories of personal data to be lawful, one of the exceptions[9] listed in the Regulation must apply. When the processing is carried out for the performance of task carried out in the public interest[10] or is necessary for the compliance with a legal obligation[11] to which the controller is subject to, the legal ground for the processing must be laid down in EU law. In addition, the referred EU Law should be clear and precise and its application should be foreseeable to individuals subject to it, in accordance with the requirements set out in the Charter of Fundamental Rights of the European Union and the European Convention for the Protection of Human Rights and Fundamental Freedoms.	EUIによる個人データの処理は、規則[8]に列挙された適法性の根拠[9]の少なくとも1つが適用されれば適法である。さらに、特別カテゴリーの個人データの処理が合法的であるためには、規則に列挙された例外[9]のいずれかが適用されなければならない。処理が公益[10]のために実施される場合、または管理者が従う法的義務[11]の遵守のために必要な場合、処理の法的根拠はEU法に定められていなければならない。さらに、参照されるEU法は、欧州連合基本権憲章および人権および基本的自由の保護に関する欧州条約に定める要件に従い、明確かつ正確でなければならず、その適用が対象となる個人にとって予見可能でなければならない。
Moreover, where a legal basis gives rise to a serious interference with fundamental rights to data protection and privacy, there is a greater need for clear and precise rules governing the scope and the application of the measure as well as the accompanying safeguards. Therefore, the greater the interference, the more robust and detailed the rules and safeguards should be. When relying on internal rules, these internal rules should precisely define the scope of the interference with the right to the protection of personal data, through identification of the purpose of processing, categories of data subjects, categories of personal data that would be processed, controller and processors, and storage periods, together with a description of the concrete minimum safeguards and measures for the protection of the rights of individuals.	さらに、法的根拠がデータ保護とプライバシーに対する基本的権利への重大な干渉をもたらす場合、その措置の範囲と適用、および付随するセーフガードを規定する明確かつ正確なルールの必要性が高まる。したがって、干渉が大きければ大きいほど、規則と保護措置はより強固で詳細なものでなければならない。内部規則に依拠する場合、その内部規則は、個人の権利保護のための具体的な最低保障措置と措置の説明とともに、処理の目的、データ主体、処理される個人データのカテゴリー、管理者、処理者、保存期間の特定を通じて、個人データ保護の権利に対する干渉の範囲を正確に定義すべきである。
The use of consent[12] as a legal basis may apply in some circumstances in the context of the use of generative AI systems. Obtaining consent[13] under the Regulation, and for that consent to be valid, it needs to meet all the legal requirements, including the need for a clear affirmative action by the individual, be freely given, specific, informed and unambiguous. Given the way in which generative AI systems are trained, and the sources of training data, including publicly available information, the use of consent as such must be carefully considered, also in the context of its use by public bodies, such as EUIs. In addition, if consent is withdrawn, all data processing operations that were based on such consent and took place before the withdrawal - and in accordance with the Regulation - remain lawful. However, in this case, the controller must stop the processing operations concerned. If there is no other lawful basis justifying the processing of data, the relevant data must be deleted by the controller.	法的根拠としての同意[12]の使用は、生成的AIシステムの使用という文脈において、状況によっては適用される可能性がある。同規則に基づく同意[13]を取得し、その同意が有効であるためには、個人による明確な肯定的行為の必要性、自由に与えられ、具体的で、十分な情報を提供され、かつ曖昧でないことなど、すべての法的要件を満たす必要がある。生成的AIシステムの学習方法や、一般に入手可能な情報を含む学習データの情報源を考えると、EUIなどの公的団体による使用という文脈においても、同意の使用は慎重に検討されなければならない。さらに、同意が撤回された場合、そのような同意に基づき、撤回前に行われた、規則に従って行われたすべてのデータ処理業務は、引き続き合法である。ただし、この場合、管理者は当該処理業務を停止しなければならない。データ処理を正当化する合法的根拠が他にない場合、データ管理者は該当するデータを削除しなければならない。
Service providers of generative AI models may use legitimate interest under the EU General Data Protection Regulation[14] (GDPR) as a legal basis for data processing, particularly with regard to the collection of data used to develop the system, including the training and validations processes. The Court of Justice of the European Union (CJEU) has held[15] that the use of legitimate interest lays down three cumulative conditions so that the processing of personal data covered by that legal basis is lawful. First, the pursuit of a legitimate interest by the data controller or by a third party; second, the need to process personal data for the purposes of the legitimate interests pursued; and third, that the interests or fundamental freedoms and rights of the person concerned by the data protection do not take precedence over the legitimate interest of the controller or of a third party In the case of data processing by generative AI systems, many circumstances can influence the balancing process inherent in the provision, leading to effects such as unpredictability for the data subjects, as well as legal uncertainty for controllers. In that regard, EUIs have a specific responsibility to verify that providers of generative AI systems have complied with the conditions of application of this legal basis, taking into account the specific conditions of processing carried out by these systems.	生成的AIモデルのサービスプロバイダは、データ処理の法的根拠として、EU一般データ保護規則[14]（GDPR）に基づく正当な利益を使用することができる。欧州連合司法裁判所(CJEU)[15]は、正当な利益の使用は、その法的根拠によってカバーされる個人データの処理が合法的であるように、3つの累積的条件を定めている。第1に、データ管理者または第三者による正当な利益の追求、第2に、追求される正当な利益の目的のために個人データを処理する必要性、第3に、データ保護に関係する人の利益または基本的自由および権利が、データ管理者または第三者の正当な利益に優先しないことである。生成的AIシステムによるデータ処理の場合、多くの状況がこの規定に内在するバランス・プロセスに影響を及ぼし、データ主体にとって予測不可能であると同時に、管理者にとっても法的不確実性が生じる。この点で、EUIは、生成的AIシステムのプロバイダが、これらのシステムによって実行される処理の特定の条件を考慮に入れて、この法的根拠の適用条件を遵守していることを検証する特別な責任を負っている。
As controllers for the processing of personal data, EUIs are accountable for the transfers of personal data that they initiate and for those that are carried out on their behalf within and outside the European Economic Area. These transfers can only occur if the EUI in question has instructed them or allowed them, or if such transfers are required under EU law or under EU Member States' Law. Transfers can occur at different levels in the context of the development or use of generative AI systems, including when EUIs make use of systems based on cloud services or when they have to provide, in certain cases, personal data to be used to train, test or validate a model. In either case, these data transfers must comply with the provisions laid down in Chapter V[16] of the Regulation, while also subject to the other provisions of the Regulation, and be consistent with the original purpose of the data processing.	個人データ処理の管理者として、EUIは、EUIが開始した個人データの移転、およびEUIに代わって欧州経済領域内外で実施される個人データの移転について責任を負う。これらの移転は、当該EUIが指示または許可した場合、あるいはEU法またはEU加盟国の法律の下でそのような移転が義務付けられている場合にのみ発生する。EUIがクラウドサービスに基づくシステムを利用する場合や、モデルの訓練、テスト、検証に使用する個人データを提供しなければならない場合など、生成的AIシステムの開発または使用の文脈では、さまざまなレベルで移転が発生する可能性がある。いずれの場合においても、これらのデータ移転は、同規則の第V章[16]に規定された規定を遵守するとともに、同規則の他の規定にも準拠し、データ処理の本来の目的に合致したものでなければならない。
Personal data processing in the context of generative AI systems requires a legal basis in line with the Regulation. If the data processing is based on a legal obligation or in the exercise of public authority, that legal basis must be clearly and precisely set out in EU law. The use of consent as a legal basis requires careful consideration to ensure that it meets the requirements of the Regulation, in order to be valid.	生成的AIシステムの文脈における個人データ処理には、規則に沿った法的根拠が必要である。データ処理が法的認可または公権力の行使に基づくものである場合、その法的根拠はEU法に明確かつ正確に規定されていなければならない。同意を法的根拠として使用する場合、それが有効であるためには、同規則の要件を満たしているかどうかを慎重に検討する必要がある。
For example, the GPA Resolution on Generative Artificial Intelligence Systems states that, where required under relevant legislation, developers, providers and deployers of generative AI systems must identify at the outset the legal basis for the processing of personal data related to: a) collection of data used to develop generative AI systems; b) training, validation and testing datasets used to develop or improve generative AI systems; c) individuals’ interactions with generative AI systems; d) content generated by generative AI systems.	例えば、「生成的人工知能システムに関するGPA決議」では、関連法に基づいて要求される場合、生成的AIシステムの開発者、プロバイダ、導入者は、a) 生成的AIシステムの開発に使用されるデータの収集、b) 生成的AIシステムの開発または改善に使用されるトレーニング、検証、テストのデータセット、c) 生成的AIシステムと個人の相互作用、d) 生成的AIシステムによって生成されるコンテンツ、に関連する個人データ処理の法的根拠を当初に特定しなければならないとしている。
7. How can the principle of data minimisation be guaranteed when using generative AI systems?	7. 生成的AIシステムを使用する際、データ最小化の原則はどのように保証されるのか？
The principle of data minimisation means that controllers shall ensure that personal data undergoing processing are adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed. There is a misconception that the principle of data minimisation[17]has no place in the context of artificial intelligence. However, data controllers have an obligation to limit the collection and otherwise processing of personal data to what is necessary for the purposes of the processing, avoiding indiscriminate processing of personal data. This obligation covers the entire lifecycle of the system, including testing, acceptance and release into production phases. Personal data should not be collected and processed indiscriminately. EUIs must ensure that staff involved in the development of generative AI models are aware of the different technical procedures available to minimise the use of personal data and that those are duly taken into account in all stages of the development.	データ最小化の原則とは、管理者は、処理中の個人データが適切で、関連性があり、処理目的との関連で必要なものに限定されることを保証しなければならないことを意味する。データ最小化の原則[17]は人工知能の文脈では適用されないという誤解がある。しかし、データ管理者には、個人データの収集およびその他の処理を、処理の目的に必要なものに限定し、個人データの無差別な処理を避ける義務がある。この義務は、テスト、受け入れ、本番段階へのリリースを含む、システムのライフサイクル全体をカバーする。個人データを無差別に収集し、処理してはならない。EUIは、生成的AIモデルの開発に携わる職員が、個人データの使用を最小限に抑えるために利用可能なさまざまな技術的手順を認識し、それらが開発の全段階において正当に考慮されていることを確認しなければならない。
EUIs should develop and use models trained with high quality datasets limited to the personal data necessary to fulfil the purpose of the processing. In this way, these datasets should be well labelled and curated, within the framework of appropriate data governance procedures, including periodic and systematic review of the content. Datasets and models must be accompanied by documentation on their structure, maintenance and intended use. When using systems designed or operated by third-party service providers, EUIs should include in their assessments considerations related to the principle of data minimisation.	EUIは、処理の目的を達成するために必要な個人データに限定した高品質のデータセットを用いて学習させたモデルを開発し、使用すべきである。このように、これらのデータセットは、内容の定期的かつ体系的なレビューを含む、適切なデータガバナンス手続きの枠組みの中で、適切にラベル付けされ、管理されなければならない。データセットとモデルには、その構造、保守、使用目的に関する文書を添付しなければならない。サードパーティが設計または運用するシステムを使用する場合、EUIはアセスメントにおいて、データ最小化の原則に関連する考慮事項を含めるべきである。
The use of large amounts of data to train a generative AI system does not necessarily imply greater effectiveness or better results. The careful design of well-structured datasets, to be used in systems that prioritise quality over quantity, following a properly supervised training process, and subject to regular monitoring, is essential to achieve the expected results, not only in terms of data minimisation, but also when it concerns quality of the output and data security.	生成的AIシステムを訓練するために大量のデータを使用することは、必ずしも効果や結果の向上を意味しない。量よりも質を優先するシステムで使用され、適切に監視された学習プロセスを経て、定期的に監視される、十分に構造化されたデータセットの慎重な設計は、データの最小化という点だけでなく、出力の質やデータセキュリティに関しても、期待される結果を達成するために不可欠である。
EUI-X intends to train an AI system to be able to assist with tasks related to software development and programming. For this, they would like to use a content generation tool that will be available through the individual IT staff members’ accounts. The EUI-X needs to reflect before training the algorithm to make sure they will not be processing personal data that would not be useful for the intended purpose. For example, they may carry out a statistical analysis to demonstrate that a minimum amount of data is necessary to achieve the result. Furthermore, they will need to check and justify whether they will be processing special categories of personal data. Additionally, they will need to examine the typology of data (i.e. synthesised, anonymised or pseudonymised). Finally, they will need to verify all relevant technical and legal elements of the data sources used, including their lawfulness, transparency and accuracy.	EUI-Xは、ソフトウェア開発とプログラミングに関連する作業を支援できるAIシステムを訓練することを意図している。そのためには、個々のITスタッフのアカウントから利用できるコンテンツ生成的ツールを使いたいと考えている。EUI-Xは、アルゴリズムを訓練する前に、意図した目的に役立たない個人データを処理しないように注意する必要がある。例えば、統計分析を実施し、結果を達成するために必要最小限のデータ量であることを証明することができる。さらに、特別カテゴリーの個人データを処理するかどうかを確認し、正当化する必要がある。さらに、データの類型（合成、匿名化、仮名化など）を検討する必要がある。最後に、使用するデータソースの合法性、透明性、正確性など、関連する技術的・法的要素をすべて検証する必要がある。
8. Are generative AI systems respectful of the data accuracy principle?	8. 生成的AIシステムはデータの正確性の原則を尊重しているか？
Generative AI systems may use in all stages of their lifecycle, notably during the training phase, huge amounts of information, including personal data.	生成的AIシステムは、そのライフサイクルのあらゆる段階、特に訓練段階において、個人データを含む膨大な量の情報を使用する可能性がある。
The principle of data accuracy[18] requires data to be accurate, up to date, while the data controller is required to update or delete data that is inaccurate. Data controllers must ensure data accuracy at all stages of the development and use of an artificial intelligence system. Indeed, they must implement the necessary measures to integrate data protection by design that will help to increase data accuracy in all the stages.	データ正確性の原則[18]は、データが正確で最新であることを要求し、データ管理者は不正確なデータを更新または削除することを要求する。データ管理者は、人工知能システムの開発と利用のすべての段階で、データの正確性を確保しなければならない。実際、データ管理者は、すべての段階においてデータの正確性を高めるのに役立つ、設計によるデータ保護を統合するために必要な措置を実施しなければならない。
This implies verifying the structure and content of the datasets used for training models, including those sourced or obtained from third parties. It is equally important to have control over the output data, including the inferences made by the model, which requires regular monitoring of that information, including human oversight. Developers should use validation sets[19] during training and separate testing sets for final evaluation to obtain an estimation on how the system will perform. Although generally not data protection oriented, metrics on statistical accuracy (the ability of models to produce correct outputs or predictions based on the data they have been trained on), when available, can offer an indicator for the accuracy of the data the model uses as well as on the expected performance.	これには、サードパーティから入手したものも含め、モデルの学習に使用するデータセットの構造と内容を検証することが含まれる。モデルによる推論を含む出力データを制御することも同様に重要であり、これには人間の監視を含む情報の定期的な監視が必要である。開発者は、トレーニング中に検証セット[19]を使用し、最終評価には別のテストセットを使用して、システムがどのように機能するかの推定を得るべきである。一般にデータ防御は重視されないが、統計的精度（学習させたデータに基づいて正しい出力や予測を行うモデルの能力）に関する指標が利用可能であれば、モデルが使用するデータの精度や期待される性能に関する指標を提供することができる。
When EUIs use a generative AI system or training, testing or validation datasets provided by a third party, contractual assurances and documentation must be obtained on the procedures used to ensure the accuracy of the data used for the development of the system. This includes data collection procedures, preparation procedures, such as annotation, labelling, cleaning, enrichment and aggregation, as well as the identification of possible gaps and issues that can affect accuracy. The technical and user documentation of the system, including model cards, should enable the controller of the system to carry out appropriate checks and actions regularly to ensure the accuracy principle. This is even more important since models, even when trained with representative high quality data, may generate output containing inaccurate or false information, including personal data, the so-called “hallucinations.”	EUIが生成的AIシステム、またはサードパーティから提供されたトレーニング、テスト、検証データセットを使用する場合、システムの開発に使用されたデータの正確性を確保するために使用された手順について、契約上の保証と文書を取得しなければならない。これには、データ収集手順、注釈、ラベリング、洗浄、濃縮、集計などの準備手順、正確性に影響を及ぼす可能性のあるギャップや問題の特定などが含まれる。モデルカードを含むシステムの技術文書と利用者文書によって、システムの管理者は、精度の原則を確保するために、適切なチェックと処置を定期的に実施できるようにしなければならない。代表的な高品質データで学習させたモデルであっても、個人データ、いわゆる "幻覚 "を含む不正確な情報や虚偽の情報を含む出力を生成する可能性があるため、このことはさらに重要である。
Despite the efforts to ensure data accuracy, generative AI systems are still prone to inaccurate results that can have an impact on individuals´ fundamental rights and freedoms.	データの正確性を確保する努力にもかかわらず、生成的AIシステムは、個人の基本的権利と自由に影響を及ぼしうる不正確な結果を生み出しやすい。
While providers are implementing advanced training systems to ensure that models use and generate accurate data, EUIs should carefully assess data accuracy throughout the whole lifecycle of the generative AI systems and consider the use of such systems if the accuracy cannot be maintained.	プロバイダは、モデルが正確なデータを使用し、生成することを保証するために高度なトレーニングシステムを導入しているが、EUIは生成的AIシステムのライフサイクル全体を通してデータの正確性を慎重にアセスメントし、正確性が維持できない場合はそのようなシステムの使用を検討すべきである。
EUI-X, following the advice of the DPO, has decided that the results of the ASR model, when used for the transcription of official meetings and hearings, will be subject to validation by qualified staff of the EUI. In cases where the model is used for other less sensitive meetings, the transcription will always be accompanied by a clear indication that it is a document generated by an AI system. EUI-X has prepared and approved at top-management level a policy for the use of the model as well as data protection notices compliant with the Regulation requesting the consent of individuals, both for the recording of their voice during meetings and for its processing by the transcription system. A DPIA has also been carried prior to the deployment of the AI system by the EUI.	EUI-Xは、DPOの助言に従い、ASRモデルの結果を公式の会議やヒアリングのテープ起こしに使用する場合は、EUIの有資格スタッフによる検証を受けることを決定した。ASRモデルを機密性の低いその他の会議に使用する場合、文字起こしには必ず、それが生成的AIシステムによって作成された文書であることを明示する。EUI-Xは、このモデルの使用に関する方針と、会議中の音声の録音と文字起こしシステムによる処理の両方について、個人の同意を求める規則に準拠したデータ保護通知を作成し、トップマネジメントレベルで承認している。また、EUIによるAIシステムの導入に先立ち、DPIAも実施されている。
9. How to inform individuals about the processing of personal data when EUIs use generative AI systems?	9. EUIが生成的AIシステムを使用する際、個人データの処理についてどのように個人に知らせるか？
Appropriate information and transparency policies can help mitigate risks to individuals and ensure compliance with the requirements of the Regulation, in particular, by providing detailed information on how, when and why EUIs process personal data in generative AI systems. This implies having comprehensive information - that must be provided by developers or suppliers as the case may be - about the processing activities carried out at different stages of development, including the origin of the datasets, the curation/tagging procedure, as well as any associated processing. In particular, EUIs should ensure that they obtain adequate and relevant information on those datasets used by their providers or suppliers and that such information is reliable and regularly updated. Certain systems (i.e. chatbots) may require specific transparency requirements, including informing individuals that they are interacting with an AI system without human intervention.	適切な情報と透明性方針は、特に、EUIが生成的AIシステムで個人データをいつ、どのように、なぜ処理するかについての詳細な情報を提供することによって、個人に対するリスクを軽減し、規則の要求事項の遵守を確保するのに役立つ。これは、データセットの出所、キュレーション／タグ付けの手順、関連する処理など、開発のさまざまな段階で行われる処理活動に関する包括的な情報（場合によっては開発者またはサプライヤーによって提供されなければならない）を持つことを意味する。特に、EUIは、プロバイダやサプライヤーが使用するデータセットについて、適切かつ関連性のある情報を入手し、そのような情報が信頼できるもので、定期的に更新されるようにしなければならない。特定のシステム（チャットボットなど）は、人間の介入なしにAIシステムとやりとりしていることを個人に知らせるなど、特定の透明性要件が必要となる場合がある。
As the right to information[20] includes the obligation to provide individuals, in cases of profiling and automated decisions, meaningful information about the logic of such decisions, as well as their meaning and possible consequences on the individuals, it is important for the EUI to maintain updated information, not only about the functioning of the algorithms used, but also about the processing datasets. This obligation should generally be extended to cases where, although the decision procedure is not entirely automated, it includes preparatory acts based on automated processing.	情報への権利[20]には、プロファイリングや自動化された意思決定の場合、そのような意思決定の論理や、その意味、個人に起こりうる結果について、意味のある情報を個人に提供する義務が含まれているため、EUIは、使用されているアルゴリズムの機能だけでなく、処理データセットについても、更新された情報を維持することが重要である。この義務は一般的に、決定手続きが完全に自動化されているわけではないが、自動処理に基づく準備行為が含まれている場合にも適用されるべきである。
EUIs must provide to individuals all the information required in the Regulation when using generative AI systems that process personal data. The information provided to individuals must be updated when necessary to keep them properly informed and in control of their own data.	EUIは、個人データを処理する生成的AIシステムを使用する場合、規則で要求されるすべての情報を個人に提供しなければならない。個人に提供される情報は、適切な情報を提供し、自己のデータを管理するために、必要に応じて更新されなければならない。
EU-X is preparing a chatbot that will assist individuals when accessing certain areas of its website. The controllers affected, with the advice of the DPO, have prepared a data protection notice, available in the EU-X website. The notice includes information on the purpose of the processing, the legal basis, the identification of the controller and the contact details of the DPO, the recipients of the data, the categories of personal data collected, the retention of the data as well on how to exercise individual rights. The notice also includes information on how the system works and on the possible use of the user´s input to refine the chat function. EU-X uses consent as a legal basis, but users can withdraw their consent at any moment. The notice also clarifies that minors are not permitted to use the chatbot. Before using the EUI’s chatbot, individuals can provide consent after reading the data protection notice.	EU-Xは、ウェブサイトの特定のエリアにアクセスする際に個人を支援するチャットボットを準備している。影響を受けるデータ管理者は、DPOの助言を得て、EU-Xのウェブサイトで入手可能なデータ保護通知を作成した。この通知には、処理の目的、法的根拠、管理者の特定とDPOの連絡先、データの取得者、収集された個人データのカテゴリー、データの保持、個人の権利行使方法に関する情報が含まれている。また、この通知には、システムの機能、およびチャット機能を改良するためのユーザー入力の使用可能性に関する情報も含まれる。EU-Xは同意を法的根拠としているが、ユーザーはいつでも同意を撤回することができる。また、未成年者がチャットボットを使用することは許可されていない。EUIのチャットボットを使用する前に、個人はデータ保護通知を読んだ上で同意を提供することができる。
10. What about automated decisions within the meaning of Article 24 of the Regulation?	10. 規則第24条にいう自動化された決定についてはどうか。
The use of a generative AI system does not necessarily imply automated decision-making[21] within the meaning of the Regulation. However, there are generative AI systems that provide decision-making information obtained by automated means involving profiling and /or individual assessments. Depending on the use of such information in making the final decision by a public service, EUIs may fall within the scope of application of Article 24 of the Regulation, so they need to ensure that individual safeguards are guaranteed, including at least the right to obtain human intervention on the part of the controller, to express his or her point of view and to contest the decision.	生成的AIシステムの使用は、必ずしも規則の意味における自動意思決定[21]を意味しない。しかし、プロファイリングやアセスメントを含む自動化された手段によって得られた意思決定情報を提供する生成的AIシステムは存在する。公共サービスによる最終的な意思決定におけるそのような情報の使用によっては、EUIは規則第24条の適用範囲に入る可能性があるため、少なくとも管理者側の人的介入を得る権利、自己の見解を表明する権利、意思決定に異議を申し立てる権利など、個人の保護措置が保証されていることを保証する必要がある。
In managing AI decision-making tools, EUIs must consider carefully how to ensure that the right to obtain human intervention is properly implemented. This is of paramount importance in case EUIs deploy autonomous AI agents that can perform tasks and make decisions without human intervention or guidance.	AIの意思決定ツールを管理するにあたり、EUIは、人間の介入を得る権利が適切に実施されるようにする方法を慎重に検討しなければならない。これは、EUIが人間の介入や指導なしにタスクを実行し、意思決定を行うことができる自律型AIエージェントを導入する場合に、最も重要なことである。
EUIs must be very attentive to the weight that the information provided by the system has in the final steps of the decision-making procedure, and whether it has a decisive influence on the final decision taken by the controller. It is important to recognise the unique risks and potential harms of generative AI systems in the context of automated decision-making, particularly on vulnerable populations and children[22].	EUIは、意思決定手順の最終段階においてシステムから提供される情報がどのような重みを持つか、また、その情報がコントローラーが下す最終的な意思決定に決定的な影響を与えるかどうかに細心の注意を払わなければならない。自動化された意思決定の文脈において、特に脆弱な集団や子どもに対する生成的AIシステム特有のリスクと潜在的な危害を認識することが重要である[22]。
Where generative AI systems are planned to support decision-making procedures, EUIs must consider carefully whether to put them into operation if their use raises questions about their lawfulness or their potential of being unfair, unethical or discriminatory decisions.	生成的AIシステムが意思決定手続を支援するために計画されている場合、EUIは、その使用が適法性に疑問を抱かせるものであったり、不公正、非倫理的、差別的な意思決定となる可能性がある場合には、運用を開始するかどうかを慎重に検討しなければならない。
EUI-X is considering using an AI system for the initial screening and filtering of job applications. Service provider C has offered a generative AI system that performs an analysis of the formal requirements and an automated assessment of the applications, providing scores and suggestions on which candidates to interview in the next phase. Having consulted the documentation on the model, including the available measures on statistical accuracy (measures on precision and sensitivity of the model) and in view of the possible presence of bias in the model, EUI-X has decided that it will not use the system at least until there are clear indications that the risk of bias has been eliminated and the measures on precision improve, to the analysis of formal requirements.	EUI-Xは、求人応募の初期スクリーニングとフィルタリングにAIシステムの利用を検討している。サービスプロバイダーCは、正式な要件の分析と応募書類の自動評価を行い、次の段階で面接すべき候補者のスコアと提案を提供する生成的AIシステムを提供した。EUI-Xは、利用可能な統計的精度に関する指標（モデルの精度と感度に関する指標）を含むモデルに関する文書を参照し、モデルにバイアスが存在する可能性があることを考慮し、少なくとも、バイアスのリスクが排除され、形式的要求事項の分析に対する精度の指標が改善されることが明確に示されるまでは、このシステムを使用しないことを決定した。
In any case, if such system is considered as ‘fit for purpose’ (i.e. candidates’ screening) and compliant with all regulations applicable to the EUI, the EUI should be able to demonstrate that it can validly rely on one of the exceptions under Article 24(2) of the Regulation; that the EUI has implemented suitable measures to safeguard individuals’ rights, including the right to obtain human intervention by the EUI, to express her or his point of view and to contest the decision (e.g., non-eligibility).	いずれにせよ、そのようなシステムが「目的に適合」（すなわち候補者のスクリーニング）し、EUIに適用されるすべての規制に準拠していると考えられる場合、EUIは、規則第24条2項に基づく例外のひとつに有効に依拠できること、EUIによる人的介入を受ける権利、自分の意見を表明する権利、決定に異議を唱える権利（例えば不適格）など、個人の権利を保護するための適切な措置をEUIが実施していることを証明できなければならない。
Information must be provided by the EUI, in accordance with Article 15(2)(f) of the Regulation, if the data is collected from the individual, about the logic involved by the AI system, as well as on the envisaged consequences of such processing for the individual. A DPIA must also be carried out prior to the deployment of the AI system by the EUI.	EUIは、個人からデータを収集する場合、規則第15条2項（f）に従い、AIシステムが関与するロジックと、そのような処理が個人に及ぼすと想定される結果について、情報をプロバイダから提供されなければならない。DPIAは、EUIがAIシステムを導入する前にも実施されなければならない。
The EUI-X may decide to use, instead of a generative AI system, a ‘simpler’ online automated tool for the screening of job applications (for instance, an IT tool checking automatically the number of years of professional experience or of education).	EUI-Xは、生成的AIシステムの代わりに、「より単純な」オンライン自動化ツール（例えば、職業経験年数や学歴を自動的にチェックするITツール）を採用審査に使用することを決定することができる。
11. How can fair processing be ensured and avoid bias when using generative AI systems?	11. 生成的AIシステムを使用する場合、どのようにして公正な処理を保証し、バイアスを回避することができるのか？
In general, artificial intelligence solutions tend to magnify existing human biases and possibly incorporate new ones, which can create new ethical challenges and legal compliance risks. Biases can arise at any stage of the development of a generative AI system through the training of datasets, the algorithms or through the people who develop or use the system. Biases in generative AI systems can lead to significant adverse consequences for individuals’ fundamental rights and freedoms, including unfair processing and discrimination, particularly in areas such as human resource management, public health medical care and provision of social services, scientific and engineering practices, political and cultural processes, the financial sector, environment and ecosystems as well as public administration.	一般的に、人工知能ソリューションは、既存の人間のバイアスを拡大する傾向があり、場合によっては新たなバイアスを取り込む可能性があるため、新たな倫理的課題や法令遵守のリスクが生じる可能性がある。バイアスは、データセットの訓練、アルゴリズム、あるいはシステムを開発したり使用したりする人々を通じて、生成的AIシステムの開発のどの段階でも生じる可能性がある。生成的AIシステムにおけるバイアスは、特に人的資源管理、公衆衛生医療や社会サービスの提供、科学的・工学的実践、政治的・文化的プロセス、金融分野、環境・生態系、行政などの分野において、不公正な処理や差別など、個人の基本的権利と自由に重大な悪影響を及ぼす可能性がある。
Main sources of bias can come, among others, from existing patterns in the training data, lack of information (total or partial) on the affected population, inclusion or omission of variables and data that should not or should be part of the datasets, methodological errors or even bias that are introduced through monitoring.	バイアスの主な原因は、特に、訓練データにおける既存のパターン、影響を受ける人々に関する情報（全体的または部分的）の欠如、データセットに含まれるべきでない変数やデータの包含または省略、方法論の誤り、あるいはモニタリングによってもたらされるバイアスなどである。
It is essential that the datasets used to create and train models ensure an adequate and fair representation of the real world - without bias that can increase the potential harm for individuals or collectives not well represented in the training datasets - while also implementing accountability and oversight mechanisms that allow for continuous monitoring to prevent the occurrence of biases that have an effect on individuals, as well as to correct those behaviours. This includes ensuring that processing activities are traceable and auditable[23] and that EUIs keep supportive documentation. In that regard, it is important that EUIs adopt and implement technical documentation models, which can be of particular importance when the models use several datasets and / or combine different data sources.	モデルの作成と訓練に使われるデータセットは、実世界を適切かつ公正に代表するものであることが不可欠であり、訓練用データセットに十分に反映されていない個人や集団の潜在的な被害を増大させるようなバイアスを排除する必要がある。これには、処理活動が追跡可能で監査可能であること[23]、EUIが裏付けとなる文書を保管することが含まれる。この点で、EUIが技術的な文書化モデルを採用し、実施することは重要であり、モデルが複数のデータセットを使用し、／あるいは異なるデータ・ソースを組み合わせる場合には、特に重要である。
Generative AI systems providers try to detect and mitigate bias in their systems. However, EUIs know best their business case and should test and regularly monitor if the system output is biased by using input data tailored to their business needs.	生成的AIシステムのプロバイダは、システムのバイアスを検出し、軽減しようとする。しかし、EUIは自分たちのビジネスケースを最もよく知っており、自分たちのビジネスニーズに合わせた入力データを使用することで、システムの出力にバイアスがかかっていないかどうかをテストし、定期的に監視すべきである。
EUIs, as public authorities, should put in place safeguards to avoid overreliance on the results provided by the systems that can lead to automation and confirmation biases.	EUIは認可機関として、自動化や確認バイアスにつながる可能性のある、システムから提供される結果への過度の依存を避けるためのセーフガードを設けるべきである。
The application of procedures and best practices for bias minimisation and mitigation should be a priority in all stages of the lifecycle of generative AI systems, to ensure fair processing and to avoid discriminatory practices. For this, there is a need for oversight and understanding of how the algorithms work and the data used for training the model.	生成的AIシステムのライフサイクルのすべての段階において、バイアスの最小化と低減のための手順とベストプラクティスの適用を優先し、公正な処理を確保し、差別的慣行を避けるべきである。そのためには、アルゴリズムがどのように機能し、モデルのトレーニングに使用されるデータを監視し、理解する必要がある。
EU-X is assessing the existence of sampling bias on the automated speech recognition system. Translation services have reported significantly higher word error rates for some speakers than for others. It seems that the system has difficulties to cope with some English accents. After consulting with the developer, it has concluded that there is a deficit in the training data for certain accents, notably when the speakers are not native. Because it is systematic, EU-X is considering refining the model using its own-generated datasets.	EU-Xは、自動音声認識システムのサンプリングバイアスの存在をアセスメントしている。翻訳サービスでは、ある話者の単語誤り率が他の話者よりも著しく高いことが報告されている。システムは英語のアクセントに対応するのが難しいようだ。開発元と協議した結果、特定のアクセント、特にネイティブスピーカーでない場合のトレーニングデータに不足があるとの結論に達した。これはシステマティックなものであるため、EU-Xは独自に生成したデータセットを使ってモデルを改良することを検討している。
12. What about the exercise of individual rights?	12. 個人の権利の行使についてはどうか？
The particular characteristics of the generative AI systems mean that the exercise of individual rights[24] can present particular challenges, not only in the area of the right of access, but also in relation to the rights of rectification, erasure and objection to data processing. For example, one of the most relevant elements is the difficulty in identifying and gaining access to the personal data stored by the system. In large language models, for example, individual words like "cat" or "dog" are not stored as strings of text. Instead, they are represented as numerical vectors through a process called word embedding. These vectors derive from the model's training on vast amounts of text data. The consequence is that accessing, updating or deleting the data stored in these models, if possible, is very difficult. In this sense, proper management of the datasets can facilitate access to information, which is difficult in the case of unsupervised training based on publicly available sources incorporating personal data. It is equally complex to manage the production of personal data obtained through inference. Finally, the exercise of certain rights, such as the right to erasure, may have an impact on the effectiveness of the model.	生成的AIシステムの特殊な特性は、個人の権利の行使[24]が、アクセス権の分野だけでなく、データ処理に対する是正、消去、異議申し立ての権利との関係でも、特別な困難をもたらす可能性があることを意味する。例えば、最も関連する要素の一つは、システムに保存された個人データを特定し、アクセスすることが困難であることである。例えば、大規模な言語モデルでは、「cat」や「dog」のような個々の単語はテキストの文字列としては保存されない。その代わりに、単語埋め込みと呼ばれるプロセスを通じて、数値ベクトルとして代表者が表現される。これらのベクトルは、膨大な量のテキストデータに対するモデルのトレーニングに由来する。その結果、これらのモデルに保存されているデータへのアクセス、更新、削除は、可能であるとしても非常に困難である。この意味で、データセットを適切に管理することで、情報へのアクセスを容易にすることができるが、これは個人データを組み込んだ一般に入手可能なソースに基づく教師なしトレーニングの場合には困難である。推論によって得られた個人データの作成管理も同様に複雑である。最後に、消去権など特定の権利の行使は、モデルの有効性に影響を及ぼす可能性がある。
Keeping a traceable record of the processing of personal data, as well as managing datasets in a way that allows traceability of their use, may support the exercise of individual rights. Data minimisation techniques can also help to mitigate the risks related to not being able to ensure the proper exercise of individual rights in accordance with the Regulation.	個人データの処理について追跡可能な記録を残すこと、およびその使用について追跡可能な方法でデータセットを管理することは、個人の権利行使を支援する可能性がある。また、データ最小化の技術は、規則に従って個人の権利を適切に行使できないことに関連するリスクを軽減するのに役立つ。
EUIs, as data controllers, are responsible for and accountable for implementing appropriate technical, organisational and procedural measures to ensure the effective exercise of individual rights. Those measures should be designed and implemented from the early stages of the lifecycle of the system, allowing for detailed recording and traceability of processing activities.	EUIは、データ管理者として、個人の権利の効果的な行使を確保するための適切な技術的、組織的、手続き的措置を実施する責任があり、その責任を負う。これらの措置は、システムのライフサイクルの初期段階から設計・実施され、処理活動の詳細な記録とトレーサビリティを可能にするものでなければならない。
EU-X has included in the data protection notice for the chatbot a reference to the exercise of individual rights, including access, rectification, erasure, objection and restriction of processing in accordance with the EUDPR. The notice includes contact details of the controller and EU-X DPO, as well as a reference to the possibility of lodging a complaint with the EDPS. Following a request of access from an individual concerning the content of his conversations with the chatbot, EU-X replied, after carrying out the relevant checks, that no content is preserved from the said conversations beyond the established retention period, 30 days. The conversations, as indicated to the individual, has not been used to train the chatbot model.	EU-Xは、チャットボットのデータ保護通知に、EUDPRに基づくアクセス、修正、消去、異議、処理制限を含む個人の権利行使に関する言及を盛り込んだ。この通知には、管理者とEU-X DPOの連絡先の詳細、およびEDPSへの苦情申し立ての可能性に関する言及が含まれている。EU-Xは、チャットボットとの会話内容に関する個人からのアクセス要求に対し、関連するチェックを行った後、当該会話内容については、定められた保存期間である30日を超えて保存されていないと回答した。また、この会話は、チャットボットモデルのトレーニングには使用されていない。
13. What about data security?	13. データセキュリティはどうなのか？
The use of generative AI systems can amplify existing security risks or create new ones, including bringing about new sources and transmission channels of systemic risks in the case of widely used models. Compared to traditional systems, generative AI specific security risks may derive from unreliable training data, the complexity of the systems, opacity, problems to carry out proper testing, vulnerabilities in the system safeguards etc. The limited offer of models in critical sectors for the provision of public services such as health can amplify the impact of vulnerabilities in these systems. The Regulation requires EUIs to implement appropriate technical and organisational measures to ensure a level of security[25] appropriate to the risk for the rights and freedoms of natural persons.	生成的AIシステムの使用は、既存のセキュリティリスクを増幅させたり、広く使用されているモデルの場合、システムリスクの新たな発生源や伝達経路をもたらすなど、新たなリスクを生み出す可能性がある。従来のシステムと比較して、生成的AI特有のセキュリティ・リスクは、信頼性の低い学習データ、システムの複雑性、不透明性、適切なテストの実施に関する問題、システムのセーフガードにおける脆弱性などに由来する可能性がある。健康などの公共サービスを提供する重要な分野では、モデルの提供が限られているため、これらのシステムの脆弱性の影響が増幅される可能性がある。同規則は、EUIに対し、自然人の権利と自由に対するリスクに見合ったセキュリティレベル[25]を確保するための適切な技術的・組織的措置を実施することを求めている。
Controllers should, in addition to the traditional security controls for IT systems, integrate specific controls tailored to the already known vulnerabilities of these systems - model inversion attacks[26], prompt injection[27], jailbreaks[28] - in a way that facilitates continuous monitoring and assessment of their effectiveness. Controllers are advised to only use datasets provided by trusted sources and carry out regularly verification and validation procedures, including for in-house datasets. EUIs should train their staff on how to identify and deal with security risks linked to the use of generative AI systems. As risks evolve quickly, regular monitoring and updates of the risk assessment are needed. In the same way, as the modalities of attacks can change, proper access to advanced knowledge and expertise must be ensured. A possible way to deal with unknown risks is to use “red teaming[29]” techniques to try to find and expose vulnerabilities.	管理者は、ITシステムに対する従来のセキュリティ制御に加えて、これらのシステムの既に知られている脆弱性（モデル反転攻撃[26]、プロンプト・インジェクション[27]、脱獄[28]）に合わせた特定の制御を、その有効性の継続的なモニタリングと評価を容易にする方法で統合すべきである。管理者は、信頼できる情報源から提供されたデータセットのみを使用し、社内のデータセットを含め、定期的に検証・妥当性確認手順を実施するよう助言される。EUIは、生成的AIシステムの使用に関連するセキュリティリスクを特定し、対処する方法について職員を訓練すべきである。リスクは急速に進化するため、定期的なモニタリングとリスクアセスメントの更新が必要である。同様に、攻撃の手口も変化する可能性があるため、高度な知識と専門知識への適切なアクセスを確保しなければならない。未知のリスクに対処する方法として考えられるのは、「レッドチーム[29]」技法を使用して脆弱性を発見し、暴露しようとすることである。
When using Retrieval Augmented Generation[30] with generative AI systems, it is necessary to test that the generative AI system is not leaking personal data that might be present in the system’s knowledge base.	生成的AIシステムで検索拡張生成[30]を使用する場合、生成的AIシステムがシステムの知識ベースに存在する可能性のある個人データを漏洩していないことをテストする必要がある。
The lack of information on the security risks linked to the use of generative AI systems and how they may evolve requires EUIs to exercise extreme caution and carry out detailed planning of all aspects related to IT security, including continuous monitoring and specialised technical support. EUIs must be aware of the risks derived from attacks by malicious third parties and the available tools to mitigate them.	生成的AIシステムの使用に関連するセキュリティ・リスクや、それらがどのように進化する可能性があるかについての情報が不足しているため、EUIは細心の注意を払い、継続的なモニタリングや専門的な技術サポートを含め、ITセキュリティに関連するあらゆる側面について詳細な計画を実施する必要がある。EUIは、悪意のあるサードパーティによる攻撃から派生するリスクと、それを低減するための可用性攻撃ツールを認識していなければならない。
EU-X, following a security assessment, has decided to implement the ASR system on premises, instead of using the API services provided for the developer of the model. EU-X will train its IT staff on the use and further development of the system, in close cooperation with the provider. This may include training on how to refine the model. In addition, EU-X will get the services of an external auditor to verify the proper implementation of the system, including on security.	EU-Xは、セキュリティアセスメントの結果、モデルの開発者に提供されるAPIサービスを利用する代わりに、ASRシステムを構内に実装することを決定した。EU-Xは、プロバイダとの緊密な協力のもと、システムの使用とさらなる開発についてITスタッフのトレーニングを行う。これには、モデルの改良方法に関するトレーニングも含まれる。さらに、EU-Xは外部監査人のサービスを受け、セキュリティ面を含め、システムの適切な実装を検証する。
14. Do you want to know more?	14. もっと知りたい？
EDPS work on AI	AIに関するEDPSの取り組み
45th Closed Session of the Global Privacy Assembly - Resolution on Generative Artificial Intelligence Systems - 20 October 2023	第45回グローバルプライバシー総会 - 生成的人工知能システムに関する決議 - 2023年10月20日
EDPS TechDispatch #2/2023 - Explainable Artificial Intelligence	EDPS TechDispatch #2/2023 - 説明可能な人工知能
EDPS at work: data protection and AI (includes links to several documents published by the EDPS alone or in cooperation with other authorities)	EDPSの活動：データ保護とAI（EDPSが単独で、または他の当局と協力して発表したいくつかの文書へのリンクを含む）
EDPB-EDPS Joint Opinion 5/2021 on the proposal for a Regulation of the European Parliament and of the Council laying down harmonised rules on artificial intelligence (Artificial Intelligence Act)	EDPB-EDPS Joint Opinion 5/2021 - 人工知能（Artificial Intelligence Act）に関する調和された規則を定めた欧州議会及び理事会規則の提案に関する意見書
EDPS Opinion 44/2023 on the Proposal for Artificial Intelligence Act in the light of legislative developments	人工知能法の提案に関するEDPS意見書44/2023（法整備を踏まえて
Large Language Models (EDPS website, part of the EDPS “TechSonar” report 2023-2024)	大規模言語モデル（EDPSウェブサイト、EDPS "TechSonar" レポート2023-2024の一部）
Other relevant documents	その他の関連文書
Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679 (wp251rev.01)	規則2016/679の目的のための自動化された個人の意思決定とプロファイリングに関するガイドライン（wp251rev.01）
CNIL: AI how-to-sheets	CNIL AIハウツーシート
Spanish Data Protection Authority: Artificial Intelligence: accuracy principle in the processing activity	スペインデータ保護局：人工知能：処理活動における正確性の原則
Italian Data Protection Authority: Decalogo per la realizzazione di servizi sanitari nazionali attraverso sistemi di Intelligenza Artificiale – September 2023 (Italian)	イタリアデータ保護局：人工知能：処理活動における正確性の原則人工知能システムによる国家衛生サービスの実現に関する指針 - 2023年9月（イタリア語）
The Hamburg Commissioner for Data Protection and Freedom of Information - Checklist for the use of LLM-based chatbots - 15/11/2023	ハンブルグ情報保護・自由委員会 - LLMベースのチャットボット使用に関するチェックリスト - 2023年11月15日（英語
AI Security Concerns in a nutshell (DE Federal Office for Information Security, March 2023)	AIセキュリティの懸念を一言で（DE連邦情報セキュリティ局、2023年3月）
Multilayer Framework for Good Cybersecurity Practices for AI (ENISA, June 2023)	AIのための優れたサイバーセキュリティ実践のための多層フレームワーク（ENISA、2023年6月）
Ethics Guidelines for Trustworthy AI (EC High-Level Expert Group on AI, 2019)	信頼できるAIのための倫理ガイドライン（AIに関するECハイレベル専門家グループ、2019年）
Living Guidelines on the responsible use of Generative AI in research (ERA Forum Stakeholders’ document, March 2024)	研究における生成的AIの責任ある使用に関する生活ガイドライン（ERAフォーラム利害関係者文書、2024年3月）
OECD AI Incidents Monitor (AIM)	OECD AIインシデントモニター（AIM）
OECD Catalogue or tools and metrics for trustworthy AI	OECDは、信頼できるAIのためのツールや測定基準をカタログ化している。
Footnotes	脚注
[1] Regulation (EU) 2018/1725	[1] 規則（EU）2018/1725
[2] The size of a Large Language Model is usually measured as the number of parameters (tokens it contains. The size of a LLM model is important since some capabilities only appear when the model grows beyond certain limits.	[2] 大規模言語モデルのサイズは、通常、パラメータ（トークン）の数として測定される。LLMモデルのサイズは、モデルがある限界を超えて大きくなって初めて現れる機能もあるため、重要である。
[3] Opinion 41/2023, of 25 September 2023 , on the Proposal for a Regulation on European Union labour market statistics on businesses	[3] 2023年9月25日付意見書41/2023、企業に関する欧州連合の労働市場統計に関する規則案について
[4] Article 39(2) of the Regulation	[4] 規則第39条2項
[5] Article 27 of the Regulation	[5] 規則第27条
[6] Articles 39 and 89 of the Regulation.	[6] 規則第39条および第89条。
[7] The classification of an AI system as posing “high-risk” due to its impact on fundamental rights according to the AI Act, does trigger a presumption of “high-risk” under the GDPR, the EUDPR and the LED to the extent that personal data is processed.	[7] AI法が定める基本的権利への影響により、AIシステムが「高リスク」に分類された場合、個人データが処理される限り、GDPR、EUDPR、LEDの下で「高リスク」であると推定される。
[8] Article 5 of the Regulation.	[8] 規則第5条。
[9] Article 10(2) of the Regulation.	[9] 規則第10条第2項。
[10] Article 5(1)(a) of the Regulation.	[10] 規則第5条(1)(a)。
[11] Article 5(1)(b) of the Regulation	[11] 規則第5条(1)(b)
[12] Articles 5(1)(d) and 7 of the Regulation.	[12] 規則第5条(1)(d)及び第7条
[13] EDPB Guidelines 05/2020 on consent under Regulation 2016/679, available at [web]	[13] EDPB Guidelines 05/2020 on consent under Regulation 2016/679, available at [web]
[14] Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)	[14] 個人データの処理に関する自然人の保護及び当該データの自由な移動に関する2016年4月27日付欧州議会及び理事会規則（EU）2016/679、並びに指令95/46/EC（一般データ保護規則）の廃止。
[15] Judgment of 4 July 2023, Meta Platforms and Others (General terms of use of a social network), C‑252/21, EU:C:2023:537, paragraph 106 and the case-law cited	[15] 2023年7月4日判決、Meta Platforms and Others (General terms of use of a social network), C-252/21, EU:C:2023:537, paragraph 106 and the case-law cited.
[16] Articles 46 to 51 of the Regulation	[16] 規則第46条から第51条まで
[17]In accordance with Article 4(1)(c) of the Regulation, personal data undergoing processing shall be adequate, relevant and limited to what is necessary in relation to the purposes for which they are processed.	[17]規則第4条1項(c)に従い、処理中の個人データは、適切かつ関連性があり、処理目的との関係で必要なものに限定されなければならない。
[18] Article 4(1)(d) of the Regulation.	[18]規則第4条1項(d)に従う。
[19] Validation sets are used to fine-tune the parameters of a model and to assess its performance.	[19] 検証セットは、モデルのパラメータを微調整し、その性能をアセスメントするために使用される。
[20] Article 14 of the Regulation.	[20] 規則第14条。
[21] Article 24 of the Regulation.	[21] 規則第24条。
[22] Global Privacy Assembly (GPA) (2023). Resolution on Generative Artificial Intelligence Systems.	[22] Global Privacy Assembly（GPA）（2023年）。生成的人工知能システムに関する決議。
[23] The audit of training data can help to detect bias and other problematic issues by studying how the training data is collected, labelled, curated and annotated. The quality of the audit and its results depends on the access to the relevant information, including the training datasets, documentation and implementation details.	[23] 訓練データの検知は、訓練データがどのように収集され、ラベル付けされ、キュレーションされ、アノテーションされているかを調査することで、バイアスやその他の問題点の検知に役立つ。監査の質とその結果は、訓練データセット、文書、実装の詳細を含む関連情報へのアクセスに依存する。
[24] Chapter III of the Regulation.	[24]規則第III章。
[25] Article 33 of the Regulation.	[25] 規則第33条。
[26] A Model inversion attacks takes place when an attacker extracts information from it through reverse-engineering.	[26] モデル逆引き攻撃は、攻撃者がリバース・エンジニアリングによってモデルから情報を抽出する際に行われる。
[27] Malicious actors use prompt injection attacks to introduce malicious instructions as if they were harmless.	[27] 悪意のある行為者はプロンプト・インジェクション攻撃を使い、あたかも無害であるかのように悪意のある命令を導入する。
[28] Malicious actors use jailbreaking techniques to disregard the model safeguards.	[28] 悪意のある行為者は脱獄のテクニックを使ってモデルのセーフガードを無視する。
[29] A red team uses attacking techniques aiming at finding vulnerabilities in the system.	[29] レッドチームはシステムの脆弱性を発見することを目的とした攻撃技術を使用する。
[30] AI systems in which a Large Language Model bases its answers in a knowledge base prepared by the generative AI system owner (e.g. an EUI) with internal sources and not in the knowledge stored by the LLM itself.	[30] 生成的AIシステムにおいて、大規模言語モデルが、LLM自身が記憶している知識ではなく、生成的AIシステムの所有者（例えばEUI）が内部ソースを用いて準備した知識ベースに基づいて回答を行う。

日本の検討状況については、

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.06.04 個人情報保護委員会個人情報保護法の3年ごとの見直しに関する意見をヒアリング、検討中... （２）

・2024.04.25 個人情報保護委員会個人情報保護法の3年ごとの見直しに関する意見をヒアリング、検討中...

・2024.01.06 個人情報保護委員会個人情報保護法の3年ごとの見直しに関する意見をヒアリング中...

2024.06.05 02:02 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪, in 内部統制 / リスクマネジメント, in AI/Deep Learning | Permalink | Comments (0)
Tweet

2024.06.04

個人情報保護委員会個人情報保護法の3年ごとの見直しに関する意見をヒアリング、検討中... （２）

こんにちは、丸山満彦です。

令和6年度の個人情報を考える週間もあっという間におわってしまいましたね...

さて、個人情報を考える週間が終わってすぐに行われた個人情報保護法の３年ごと見直しの有識者ヒアリング。個人情報保護を考えさせられる内容です。

今回は...

曽我部真裕（京都大学大学院法学研究科教授）
山本龍彦（慶應義塾大学大学院法務研究科教授）
森亮二（英知法律事務所弁護士）
宍戸常寿（東京大学大学院法学政治学研究科教授）

です。みなさんのことは昔から存じていますが、その主張やその表現に人柄が現れているように感じます。私の感覚に近いので、非常に爽快な文書でございます(^^)

特に森先生の内容は「バッサリ感」があってよいです(^^)

ぜひ目を通すことをお勧めします...（専門家の先生ですが、みなさん賢いこともあり、わかりやすい文章です(^^)）

以前、このブログにも書いた私の考えですが...

個人情報保護委員会の事務局長とお話をした時に、私も結果的にグローバルスタンダードになっているGDPRとの整合と、もう一方の米国の規制については考慮すべきという話をしました。具体的には、以前にも書いていますが、、、

法令の見直しという点では、

悪徳事業者への罰金等の増額
拡大した個人情報の定義についてのGDPR等との整合性の確保のための整理
子供の個人情報保護のための規定の追加
各個別分野（医療、金融、通信、その他重要インフラ分野）等における課題の調整

というのが必要かと思っていて、

さらにガイドライン及びFAQにおいて

改訂部分の説明と事例の提示
AIの利活用における考え方の整理と具体例の提示
公益性とプライバシー保護のグラデーションの整理と事例の提示
漏えい等の報告におけるルールのさらなる明確化と事例の追加（例えば、報告が不要な軽微な例）

そして、政策的には

G7、G20各国等の主要国とのプライバシー保護に関する規制の調整に関するリーダーシップをとるための体制の整備
国内省庁との連携体制の強化（例：子ども家庭庁、国家安全保障委員会）のための体制の強化
国民への周知等（例：より幅広い層へのアクセス手段の拡大、教育現場への教育ツールの提供）の強化

というのが必要と思っています...

あと、加えて安全保障との関係の整理も別途必要となりそうですね...

医療情報、災害時と同様に一般的な利活用と保護のバランスではないので、別途検討が必要となるかもですね...

● 個人情報保護委員会

・2024.06.03 第287回個人情報保護委員会

資料１－１　個人情報保護法見直しに関するコメント（京都大学　曽我部教授）

資料１－２　いわゆる3年ごと見直しに関する意見（慶應義塾大学　山本教授）

資料１－３　３年ごと見直しヒアリング２０２４（英知法律事務所　森弁護士）

資料１－４－1　個人情報保護法のいわゆる３年ごと見直しに関する意見（東京大学　宍戸教授）

資料１－４－2　宍戸常寿氏御提出資料（令和元年５月21日提出）

・委員会の開催状況

2024.06.03	第287回個人情報保護委員会
資料１－１	個人情報保護法見直しに関するコメント（京都大学　曽我部教授） (PDF : 496KB)
資料１－２	いわゆる3年ごと見直しに関する意見（慶應義塾大学　山本教授） (PDF : 442KB)
資料１－３	３年ごと見直しヒアリング２０２４（英知法律事務所　森弁護士） (PDF : 345KB)
資料１－４－1	個人情報保護法のいわゆる３年ごと見直しに関する意見（東京大学　宍戸教授） (PDF : 296KB)
資料１－４－2	宍戸常寿氏御提出資料（令和元年５月21日提出） (PDF : 423KB)


2024.05.29	第286回個人情報保護委員会
資料１	個人情報保護法いわゆる３年ごと見直し規定に基づく検討（実効性のある監視・監督の在り方③） (PDF : 1691KB)


2024.05.15	第284回個人情報保護委員会
資料２	個人情報保護法いわゆる３年ごと見直し規定に基づく検討（データ利活用に向けた取組に対する支援等の在り方）
資料３	個人情報保護法いわゆる３年ごと見直し規定に基づく検討（実効性のある監視・監督の在り方②）
議事概要

2024.05.10	第283回個人情報保護委員会
資料１－１	個人情報保護法における課徴金制度導入にかかる諸論点（名古屋大学林教授）
資料１－２	個人情報保護法における法執行の強化について（神戸大学中川教授）
議事概要

2024.04.24	第281回個人情報保護委員会
資料１	個人情報保護法の３年ごと見直しに対する意見 (PDF : 678KB)
資料２	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討（個人の権利利益のより実質的な保護の在り方③）
議事概要

2024.04.10	第280回個人情報保護委員会
資料１	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討（個人の権利利益のより実質的な保護の在り方② ）
議事概要
議事録
2024.04.03	第279回個人情報保護委員会
資料１―１	AIと個人情報保護：欧州の状況を中心に（一橋大学生貝教授）
資料１―２	AI利用と個人情報の関係の考察（NTT社会情報研究所高橋チーフセキュリティサイエンティスト）
資料１−３	医療情報の利活用の促進と個人情報保護（東京大学森田名誉教授）
資料１―４	医療・医学系研究における個人情報の保護と利活用（早稲田大学　横野准教授）
議事概要
議事録
2024.03.22	第277回個人情報保護委員会
資料１	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討（実効性のある監視・監督の在り方①）
議事概要
議事録
2024.03.06	第275回個人情報保護委員会
資料１	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討（個人の権利利益のより実質的な保護の在り方①）
議事概要
議事録
2024.02.21	第273回個人情報保護委員会
資料４	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討項目
【委員長預かりで会議後に修正した資料】資料４	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討項目
議事概要
議事録
2024.02.14	第272回個人情報保護委員会
資料２－１	地方公共団体における個人情報保護法運用状況のヒアリング（京都府総務部政策法務課）
資料２－２	岡山市における個人情報保護法の運用状況（岡山市総務局行政事務管理課）
資料２－３	個人情報保護法運用状況について（都城市総務部総務課）
資料２－４	個人情報保護法運用状況について（上里町総務課）
議事概要
議事録
2024.02.07	第271回個人情報保護委員会
資料１	インターネット広告における個人に関する情報の取扱いについての取組状況（日本インタラクティブ広告協会）
議事概要
議事録
2024.01.31	第270回個人情報保護委員会
資料２	個人情報保護法の3 年ごと見直しに対する意見（日本経済団体連合会）
議事概要
議事録
2024.01.23	第268回個人情報保護委員会
資料１―１	(特定)適格消費者団体の活動について（消費者支援機構関西）
資料１―２	個人情報保護委員会ヒアリング資料（日本商工会議所）
議事概要
議事録
2023.12.21	第266回個人情報保護委員会
資料１―１	個人情報保護法の３年ごと見直しに関する意見（電子情報技術産業協会）
資料１―２	ヒアリング資料（全国商工会連合会）
議事概要
議事録
2023.12.20	第265回個人情報保護委員会
資料１―１	ACCJ Comments for the Personal Information Protection Commission Public Hearing（在米国商工会議所）
資料１―２	公開ヒアリングに向けたACCJ意見（在米国商工会議所）
議事概要
議事録
2023.12.15	第264回個人情報保護委員会
資料１―１	個人情報保護法の見直しについて（新経済連盟）
資料１―２	個人情報保護法見直しに関する意見（日本IT団体連盟）
議事概要
議事録
2023.12.06	第263回個人情報保護委員会
資料２	個人情報保護法に関する欧州企業の代表的な課題（欧州ビジネス協会）
議事概要
議事録
2023.11.29	第262回個人情報保護委員会
資料１	ヒアリング資料（一般社団法人日本情報経済社会推進協会）
議事概要
議事録
2023.11.15	第261回個人情報保護委員会
資料２－１	個人情報保護法　いわゆる３年ごと見直し規定に基づく検討
資料２－２	個人情報保護に係る主要課題に関する海外・国内動向調査　概要資料
議事概要
議事録

1_20240106041201

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.04.25 個人情報保護委員会個人情報保護法の3年ごとの見直しに関する意見をヒアリング、検討中...

・2024.01.06 個人情報保護委員会個人情報保護法の3年ごとの見直しに関する意見をヒアリング中...

2024.06.04 05:43 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪, in AI/Deep Learning | Permalink | Comments (0)
Tweet

書籍紹介経営に新たな視点をもたらす「統合知」の時代

こんにちは、丸山満彦です。

そういえば、PwC Intelligenceから「経営に新たな視点をもたらす「統合知」の時代」がダイヤモンド社から4月末に出版されたのですが、

サイバーセキュリティーの部分を書いています...

サイバーセキュリティというか、インターネットが前提の社会でどのように社会の安全を確保するかということを意識して書いています...

技術の進歩が経済発展を支え、その結果が国力に反映され、価値観の競争に反映され、その競争の舞台がサイバーにも及ぶという感じですかね...なんですが、そこまで混みっては書いていません(^^)

全体としては、こんな感じ...

第１章　変化する世界、日本の立ち位置

世界のメガトレンド
今後、日本はどう行動すべきか
本書の構成
コラム：インテリジェンスを考えるにあたり重要な２つのポイント

第２章　変化する国際環境における日本と日本企業のあり姿

多極化する世界における日本のあり姿
「世界と組む日本」の実現に向けた方策
アジア新興国とのビジネス関係のあり方
コラム：ＤＸで生き残りを図るパパママショップ

第３章　超高齢化社会の望ましい未来

過去とすでに起こった未来
人口減少・高齢化と経済成長
成長の３要素：労働・資本・生産性
無形資産の現状と課題
労働者と企業がアニマル・スピリッツを発揮した時の経済の姿

第４章　人間社会に溶け込むテクノロジーとのつきあい方

変わりゆく人間とテクノロジーの関係
日本ならではのテクノロジーの受容と活用のあり方
人生100年時代のテクノロジー活用
コラム：社会実装の横展開における日本の強み

第５章　サイバー空間の安全をいかに確保するか

サイバー空間の現状
サイバー空間の安全性と信頼性の現状
民主主義国家としてのサイバーセキュリティとの向き合い方
コラム：ランサムウェア被害

第６章　ビジネスで実現するネイチャーポジティブ

地球環境問題を、イノベーションで解く
環境問題とビジネスにおける課題とニーズを紐解く
ネイチャーポジティブ経済：暮らしを再考する新産業が生まれる
コラム：ネイチャーポジティブで期待される蝶の羽ばたき

第７章　問い直されるウェルビーイングのあり方

ウェルビーイングの歴史・経緯
ウェルビーイングの将来像
ウェルビーイングの追求：国家および企業に求められる方向性
コラム：人間とテクノロジーの共存の先に見える日本のあり方

第８章【対談】悲観的なナラティブを排し、「ポジ出し」で日本の勝ち筋を見出す

対談者
・三治信一朗　上席執行役員、パートナー
・片岡剛士　　執行役員、チーフエコノミスト

軽いビジネス書なので、頭を休める感じで眺めてもらえると良いかもです...

・経営に新たな視点をもたらす「統合知」の時代

・ダイヤモンド社

・・Amazon

・・丸善

2024.06.04 00:00 in 情報セキュリティ / サイバーセキュリティ, in ESG/CSR, in 内部統制 / リスクマネジメント, in 案内（講演 / 書籍等）, in AI/Deep Learning, in 安全保障 | Permalink | Comments (0)
Tweet

欧州 ENISA サイバーセキュリティ教育の成熟度評価（初等・中等教育におけるサイバーセキュリティ教育）

こんにちは、丸山満彦です。

ENISAが、EU加盟国の初等・中等教育の成熟度の評価についての報告書が公表されています。。。この報告書は各国別の評価というよりも、良い事例の共有という内容になっています。

欧州のサイバーセキュリティ教育は、初等・中等教育から、職業訓練までの包括的なものとのことです。

そして、成功の鍵は国の戦略に組み込まれているかどうか？ということのおうです。。。

日本も2003年に経済産業省がつくった「[PDF] 情報セキュリティ総合戦略（2003年10月10日）」から、人材教育の話があるわけですが、その時は大学からの教育でした...

最新の[PDF] サイバーセキュリティ戦略（2021年年9月28日）では、学校におけるサイバーセキュリティ教育には触れられていない様な感じですね...（経済産業省では初等・中等教育についての口出しはしにくかったのが、内閣官房ではやりやすくなったように思うけど、やっていない？）

日本の教育制度は追いつけ追い越せの戦後の高度成長期にはマッチしていたのかもしれませんが、その後の社会の成熟度の変化、社会における重要文化の変化にはついていけていない感じがしないでもありません。（テクノロジー教育に限らず、その教育方法とかも...）

てなことを思いながら...

● ENISA

・2024.05.29 Cybersecurity Education Maturity Assessment

Cybersecurity Education Maturity Assessment

サイバーセキュリティ教育の成熟度アセスメント

This ENISA study aims to develop a maturity assessment model to evaluate each MS's cybersecurity education level in primary and secondary schools and to provide a comprehensive overview of the EU. Additionally, ENISA seeks to collect and share recommendations and best practices among countries, along with quantitative maturity scores.

このENISAの調査は、初等・中等教育における各MSのサイバーセキュリティ教育レベルを評価する成熟度評価モデルを開発し、EUの包括的な概要を提供することを目的としている。さらに、ENISAは、定量的な成熟度スコアとともに、勧告やベストプラクティスを収集し、各国間で共有することを目指している。

・[PDF] CYBERSECURITY EDUCATION MATURITY ASSESSMENT

・[DOCX][PDF] 仮訳

エグゼクティブサマリー...

EXECUTIVE SUMMARY	エグゼクティブサマリー
As described in Article 10 of the Cybersecurity Act (¹), ENISA has the mission to focus its efforts in promoting cybersecurity in all levels of education in the EU Member States (MS). In this context, ENISA has a mandate to support closer coordination and exchange of best practices among MS on cybersecurity awareness and education, a task that has also been included in the ENISA Cybersecurity Education Roadmap (²).	サイバーセキュリティ法(^[1] )の第10条に記載されているように、ENISAは、EU加盟国 (MS) のあらゆるレベルの教育におけるサイバーセキュリティの推進に力を注ぐという使命を担っている。この文脈で、ENISAは、サイバーセキュリティの意識と教育に関するEU加盟国 (MS) 間の緊密な調整とベストプラクティスの交換を支援する任務を負っており、この任務はENISAサイバーセキュリティ教育ロードマップ(^[2] )にも含まれている。
On one hand, this ENISA study aims at designing and developing a maturity assessment model to assess each MS maturity level regarding cybersecurity education in the primary and secondary levels and obtaining a comprehensive state of play of the EU. On the other hand, in addition to quantitative scoring reflecting national maturity levels, ENISA’s objective was to collect and disseminate recommendations and good practices among countries.	一方では、このENISAの研究は、初等・中等教育レベルにおけるサイバーセキュリティ教育に関する各EU加盟国 (MS) の成熟度を評価するための成熟度評価モデルを設計・開発し、EUの包括的な現状を把握することを目的としている。他方、各国の成熟度レベルを反映した定量的なスコアリングに加え、ENISAの目的は、勧告やグッドプラクティスを収集し、各国間で普及させることである。
Quantitative results obtained from primary and secondary education data (³) collected from 15 and 27 MS respectively show that on average a range of MS in the EU have a level of maturity of 66 %, which corresponds to level 4 out of 5 (‘Establishment’). This means that MS already have a series of initiatives in place for cybersecurity education. However, national approaches strongly vary from one country to another and mostly rely on decentralised initiatives or stand at the infancy stage of implementation.	それぞれ15カ国と27カ国から収集した初等・中等教育データ（[3] ）から得られた定量的な結果によると、EUのさまざまな国の平均成熟度は66%であり、これは5段階中4段階（「確立」）に相当する。これは、EU加盟国 (MS) がサイバーセキュリティ教育のための一連のイニシアチブをすでに実施していることを意味する。しかし、各国のアプローチは国によって大きく異なり、そのほとんどが分散的なイニシアチブに依存しているか、あるいは実施の初期段階にとどまっている。
More specifically, ENISA assessed maturity levels according to three dimensions: ‘Governmental’ (70 %), ‘Strategic’ (64 %) and ‘Operational’ (63 %). One of the main takeaways is that while cybersecurity education initiatives are generally supported by a national regulatory framework, they strongly rely on national cybersecurity strategies. In fact, these tools usually provide European stakeholders with guidelines and support to include the cybersecurity topic into school curricula; this significantly fosters the adoption of cybersecurity in the primary and secondary levels of education. The involvement of government-appointed entities and cooperation with private sector actors was identified as a major pillar for fostering cybersecurity in education.	具体的には、ENISAは成熟度を3つの側面から評価した：「統治」（70%）、「戦略」（64%）、「運用」（63%）である。主な収穫の1つは、サイバーセキュリティ教育イニシアティブは一般的に国の規制枠組みに支えられているものの、国のサイバーセキュリティ戦略に強く依存しているということである。実際、これらのツールは通常、欧州の利害関係者に、学校のカリキュラムにサイバーセキュリティのトピックを含めるためのガイドラインと支援を提供している。政府が任命した団体の関与と民間セクターとの協力が、教育におけるサイバーセキュリティの育成の大きな柱であることが確認された。
Lastly, in this study ENISA lists best practices and recommendations addressed to MS per maturity level, available for each dimension of the maturity assessment model, along with concrete examples of country initiatives and contact points of national organisations.	最後に、ENISAは本調査の中で、成熟度評価モデルの各次元で利用可能な、成熟度レベルごとのEU加盟国 (MS) 向けのベストプラクティスと勧告を、各国の具体的な取り組み例や各国組織の連絡先とともにリストアップしている。
(1) Cybersecurity Act of the European Parliament and of the Council of 17 April 2019 on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act) (OJ L 151, 7.6.2019, pp. 15–69, ELI: [web] ).	^[1]ENISA（欧州連合サイバーセキュリティ機関）および情報通信技術のサイバーセキュリティ認証に関する2019年4月17日の欧州議会および理事会のサイバーセキュリティ法であり、規則（EU）No 526/2013（サイバーセキュリティ法）を廃止する（OJ L 151, 7.6.2019, pp.15-69, ELI: [web] ）。
(2) ENISA, ‘Cybersecurity education’. The roadmap is not publicly available.	^[2]ENISA「サイバーセキュリティ教育」。ロードマップは公開されていない。
(3) Primary data refers to information collected via stakeholder consultation when interacting directly with the target respondents (e.g. interviews, workshops, focus groups). Secondary data refers to information collected via desk research and researchers’ own investigations (e.g. websites, articles, books).	[3]一次データとは、対象となる回答者と直接対話する際に、ステークホルダーとの協議を通じて収集された情報を指す（例：インタビュー、ワークショップ、フォーカスグループ）。二次データとは、机上調査や研究者自身の調査（ウェブサイト、論文、書籍など）を通じて収集した情報を指す。

目次...

1. INTRODUCTION	1. はじめに
1.1 CONTEXT OF THE STUDY	1.1 研究の背景
1.2 OBJECTIVES AND SCOPE	1.2 目的と範囲
1.3 DOCUMENT STRUCTURE	1.3 文書構造
2. MATURITY ASSESSMENT OF EU MEMBER STATES	2. EU加盟国の成熟度評価
2.1 MATURITY AT THE GOVERNMENTAL LEVEL (DIMENSION 1)	2.1 統治レベル（次元1）の成熟度
2.1.1 Assessment of regulatory framework (sub-dimension 1.1)	2.1.1.規制の枠組みの評価（下位次元1.1）
2.1.2 Assessment of national policies (sub-dimension 1.2)	2.1.2 国家政策の評価（下位次元1.2）
2.1.3 Assessment of national support (sub-dimension 1.3)	2.1.3 国の支援の評価（下位次元1.3）
2.1.4 Good practices on governmental aspects (Dimension 1)	2.1.4 政策次元に関するグッドプラクティス（次元1）
2.2 MATURITY AT THE STRATEGIC LEVEL (DIMENSION 2)	2.2 戦略レベル（次元2）での成熟度
2.2.1 Assessment of national educational strategies (sub-dimension 2.1)	2.2.1 国家教育戦略の評価（下位次元2.1）
2.2.2 Assessment of national action plans (sub-dimension 2.2)	2.2.2 国家行動計画の評価（下位次元2.2）
2.2.3 Assessment of national initiatives to foster cooperation (sub-dimension 2.3)	2.2.3 協力を促進するための国のイニシアティブの評価（下位次元2.3）
2.2.4 Good practices on strategic aspects (dimension 2)	2.2.4 戦略次元に関するグッドプラクティス（次元2）
2.3 MATURITY AT THE OPERATIONAL LEVEL (DIMENSION 3)	2.3 運用レベル（次元3）の成熟度
2.3.1 Assessment of initiatives for providing cybersecurity education (sub-dimension 3.1)	2.3.1 サイバーセキュリティ教育を提供するための取り組みの評価（下位次元 3.1）
2.3.2 Considerations on the implementation of an evaluation mechanism (sub-dimension 3.2)	2.3.2 評価メカニズムの導入に関する考察（下位次元3.2）
2.3.3 Good practices on the operational aspects (Dimension 3)	2.3.3 運用次元に関するグッドプラクティス（次元 3）
3. RECOMMENDATIONS	3. 推奨事項
3.1 RECOMMENDATIONS ON THE GOVERNMENTAL LEVEL (DIMENSION 1)	3.1 統治レベル（次元1）の提言
3.2 RECOMMENDATIONS ON THE STRATEGIC LEVEL (DIMENSION 2)	3.2 戦略レベル（次元2）の提言
3.3 RECOMMENDATIONS ON THE OPERATIONAL LEVEL (DIMENSION 3)	3.3 運用レベル（次元3）の提言
3.4 RECOMMENDATIONS AND EXPECTATIONS FROM THE MEMBER STATES ON THE ROLE AND ACTIONS TO BE TAKEN BY ENISA	3.4 ENISAが取るべき役割と行動に関する加盟国からの提言と期待
4. CONCLUSION	4. 結論

比べてみてください。約20年の進歩を...

・2003.10.10 [PDF] 情報セキュリティ総合戦略 [downloaded]

最新のサイバーセキュリティ戦略

・2021.09.28 サイバーセキュリティ戦略 [downloaded]

2024.06.04 00:00 in 情報セキュリティ / サイバーセキュリティ, in 法律 / 犯罪 | Permalink | Comments (0)
Tweet

2024.06.03

欧州欧州政策研究センター EUと米国のデータ・プライバシー問題に終わりは見えない (2024.05.22)

こんにちは、丸山満彦です。

EUと米国の間の越境データ問題は、セーフハーバー、プライバシーシールドと来ていますが、なかなかうまくいきませんね...

欧州政策研究センターというシンクタンクが、EUと米国のデータ・プライバシー問題についての報告書を公開していますね...

その原因の一つは、インテリジェンス活動におけるデータの一括収集だったりするわけですが、これから日本は安全保障の話がもりあがり、インテリジェンス活動が活発になるのかもしれないですので、ちょっとこのあたりはよく考えないと、米国と同じことになるかも...

まぁ、日本ではシギントはできないから大丈夫か...(^^;;

でも、インターネットで情報を集めることができるか...

● Centre for European Policy Studies

・2024.05.22 In the EU-US data transfer and privacy quarrel, the end is not in sight

In the EU-US data transfer and privacy quarrel, the end is not in sight	EUと米国のデータ・プライバシー問題に終わりは見えない
Third time wasn’t the charm. After Safe Harbour and Privacy Shield both met their maker at the hands of the EU’s Court of Justice (CJEU), a new report predicts that the US’ latest attempt to offer adequate protection to EU citizens and residents when it comes to the transfer of their data could be the next fatality.	3度目の正直はなかったセーフハーバーとプライバシー・シールドがEU司法裁判所（CJEU）の手によって終焉を迎えた後、新しい報告書は、EU市民と居住者のデータ移転に関して十分な保護を提供しようとする米国の最新の試みが、次の命取りになるかもしれないと予測している。
The report assessed the new EU-US Data Privacy Framework (DPF) based on a legal ‘fitness check’ that considers the benchmarks established by EU law and the CJEU in judgments like Schrems I and Schrems II.	報告書は、シュレムスIやシュレムスIIのような判決でEU法とCJEUによって確立された基準を考慮した法的「適合性チェック」に基づいて、新しいEU-USデータ・プライバシー枠組み（DPF）を評価している。
Any international data transfers deal between the European Commission and third states must strictly conform to EU Treaty principles, while providing persons in the EU with privacy safeguards that are essentially equivalent to those envisaged in the GDPR and the EU Charter of Fundamental Rights. This is what the US was aiming for with Executive Order (EO) 14086, which received the European Commission’s approval following an Adequacy Decision.	欧州委員会と第三国との間で結ばれる国際的なデータ移転の取引は、EU条約の原則に厳格に準拠する一方で、GDPRやEU基本権憲章で想定されているものと本質的に同等のプライバシー保護措置をEU内の個人データに提供しなければならない。これは、米国が大統領令（EO）14086で目指していたものであり、十分性認定を受けて欧州委員会の承認を得た。
However, the DPF falls short for four main reasons.	しかし、DPFは4つの主な理由で不十分である。
Firstly, it remains unclear whether it will lead to any meaningful change in the way US intelligence authorities monitor EU citizens. US surveillance instruments such as Executive Order 12333 on foreign signals intelligence information and Section 702 of the Foreign Intelligence Surveillance Act (FISA) will remain in force. These allow US authorities to collect the large-scale electronic communications of non-Americans outside the country for intelligence purposes without individual judicial review.	第一に、米国の情報当局がEU市民を監視する方法に意味のある変化をもたらすかどうかが不明確なままである。外国信号情報に関する大統領令第12333号や外国情報監視法（FISA）第702条といった米国の監視手段は、引き続き有効である。これらは、米国当局が個別の司法審査なしに、諜報目的で米国外の非米国人の大規模な電子コミュニケーションを収集することを認めている。
EO 14086 explicitly authorises bulk collection if intelligence actors are pursuing at least one of six listed ‘legitimate objectives’. These objectives are too broad and could encompass large volumes of data. The DPF is also silent on the increasing use of automated data processing and AI in the US.	EO14086は、諜報機関がリストアップされた6つの「正当な目的」のうち少なくとも1つを追求している場合、一括収集を明確に許可している。これらの目的はあまりにも広範であり、大量のデータを包含する可能性がある。DPFはまた、米国で増加する自動データ処理とAIの使用に関しても沈黙している。
Secondly, EO 14096 doesn’t adequately define crucial terms such as ‘bulk collection’. Instead, the EO opted for a definition and scope of ‘bulk collection’ that the CJEU criticised in Schrems II. Data collected for national security purposes is also subject to restrictions and safeguards in the context of international data transfers, in line with the CJEU’s data retention case law.	第二に、EO14096は「一括収集」などの重要な用語を適切に定義していない。代わりにEOは、CJEUがシュレムスIIで批判した「一括収集」の定義と範囲を選んだ。国家安全保障のために収集されたデータも、CJEUのデータ保持の判例法に従い、国際的なデータ移転における制限と保護措置の主体となっている。
Thirdly, following the Schrems judgments, EO 14086 introduces the notion of proportionality as a limit to signal intelligence collection. Yet the vast differences between how this principle is interpreted and applied in the EU and the US have gone unaddressed. Under EU law, a balancing exercise is off the table once the ‘very essence’ of a fundamental right is affected by any policy. Even though these standards are not observed stateside, the EO states that proportionality assessments will only exclusively consider US law.	第三に、シュレムス判決に続き、EO14086は、シグナル・インテリジェンス収集の制限として比例性の概念を導入している。しかし、この原則がEUと米国でどのように解釈され、どのように適用されるかの間には大きな違いがある。EU法では、基本的権利の「本質」が何らかの政策によって影響を受けると、バランスを取ることはできない。これらの標準が米国内では守られていないにもかかわらず、EOは比例アセスメントは米国法のみを考慮するとしている。
Finally, EO 14086 introduced a novel redress mechanism to provide an effective remedy, a core requirement formulated by Schrems II. However, the Data Protection Review Court (DPRC) – despite its name – doesn’t qualify as an independent judicial tribunal, which is an indispensable condition for a fair trial and the rule of law in the EU legal system. Rather, it’s an administrative body falling under the US Department of Justice and is directly accountable to the President. The so-called judges will review individual complaints in confidential, one-sided proceedings and issue decisions that cannot be appealed.	最後に、EO14086は、シュレムスIIによって定式化された中核的要件である効果的な救済を提供するために、斬新な救済メカニズムを導入した。しかし、データ保護審査裁判所（DPRC）は、その名称とは裏腹に、EU法体系における公正な裁判と法の支配に不可欠な条件である独立した司法裁判所としての資格はない。むしろ、司法省に属する行政団体であり、大統領に直接責任を負う。裁判官と呼ばれる人たちは、極秘の一方的な手続きで個々の訴えを審査し、上訴できない決定を下す。
As highlighted by former Justice Commissioner Didier Reynders to US authorities in June 2023, the legal safeguards the EU expects from third countries are not only the default at EU level but all Member States are also expected to apply them. In fact, the European Parliament has called for more effective enforcement of the EU’s data protection acquis and the rule of law concerning national intelligence authorities. Anyone on EU soil, regardless of their nationality, and whose data is transferred to the EU, is entitled to effective remedies before independent courts – even the European Court of Human Rights.	2023年6月、ディディエ・レインダース前司法委員が米国当局に対して強調したように、EUが第三国に期待する法的保護措置は、EUレベルでの既定事項であるだけでなく、すべての加盟国もそれを適用することが期待されている。実際、欧州議会はEUのデータ保護協定と国家情報当局に関する法の支配をより効果的に執行するよう求めている。EU域内にいる者であれば、国籍に関係なく、またEU域内にデータが転送された者であっても、独立した裁判所、さらには欧州人権裁判所で効果的な救済を受ける権利がある。
Nevertheless, as intelligence communities in EU Member States fall outside the scope of the Adequacy Decision and aren’t considered by the CJEU if evaluating data transfers arrangements, the Commission’s assessment must focus on whether these are ‘EU Charter-proof’. Overall, debates over transatlantic data transfer adequacy shouldn’t be a ‘beauty contest’ or a finger-pointing exercise as this could lead to a worldwide race to the bottom.	とはいえ、EU加盟国のインテリジェンス・コミュニティは、十分性認定の対象外であり、データ移転の取り決めを評価する際に欧州司法裁判所は考慮しないため、欧州委員会の評価は、これらの取り決めが「EU憲章に適合しているかどうか」に焦点を当てなければならない。全体として、大西洋を越えたデータ移転の妥当性をめぐる議論は、世界的な底辺への競争につながる可能性があるため、「美人コンテスト」や指弾合戦になるべきではない。
Despite genuine efforts from negotiators on both sides, key conditions haven’t been fully met. Until US policy lives up to these standards, the protection offered to EU persons in the US cannot yet hold merited trust. The Commission’s Adequacy Decision features crucial gaps that ultimately allowed the EU to greenlight an arrangement that doesn’t completely fulfil the EU’s constitutional requirements.	双方の交渉担当者の真摯な努力にもかかわらず、重要な条件は完全に満たされていない。米国の政策がこうした標準を満たすまでは、米国にいるEU加盟国の人々に提供される保護は、まだ信用に値するものではない。欧州委員会の十分性認定決定には、EUの憲法上の要件を完全に満たしていない協定を承認することを最終的に可能にした決定的なギャップがある。
With the DPF now up and running, we’ll have to wait and see what the CJEU says should a new case question its lawfulness. If that happens, we hope it won’t relent in its quest to ensure EU citizens and residents are subject to the same rights and remedies that they legitimately hold in the EU. This would help to finally relieve a deepening feeling that our private lives are indeed under constant surveillance.	DPFは現在稼働中であるため、その合法性を問う新たな事例が発生した場合、CJEUがどのような判断を下すかを見守る必要がある。もしそうなったとしても、EU市民と居住者がEU内で合法的に保持するのと同じ権利と救済措置に服することを保証するために、EUがその探求を緩めないことを望む。そうすれば、私たちの私生活が常に監視下に置かれているという、深まる思いをようやく和らげることができるだろう。

・[PDF] RECONSTITUTIONALISING PRIVACY - EU-US data transfers and their impact on the rule of law, rights and trust

・[DOCX][PDF] 仮訳

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.07.11 欧州委員会安全で信頼できるEUと米国のデータフローに関する新たな十分性認定を採択

・2023.04.24 アイルランドデータ保護局 GDPR第30条取扱活動の記録についてのガイダンス

・2023.03.02 EDPB EU-米国データ・プライバシー・フレームワークにおける改善を歓迎するが、いいたいことは54ページ分ほどある(^^)

・2022.12.16 欧州委員会米国との安全なデータの流れを確保するための適切な決定の採択に向けたプロセスを開始

・2022.10.11 米国米国におけるシグナル・インテリジェンス活動のための安全保障の強化に関する大統領令（GDPR対応）

・2022.03.27 米国と欧州委員会が米国ー欧州間のデータプライバシーフレームワークに合意したと発表していますね。。。

・2021.03.28 EU-USプライバシーシールドを強化するための交渉を推進 - 米国商務長官と欧州司法長官による共同記者会見

・2020.07.16 EU-USのプライバシーシールドを無効にしま〜す by EU裁判所

2024.06.03 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 法律 / 犯罪, in 安全保障 | Permalink | Comments (0)
Tweet

金融庁スチュワードシップ・コード及びコーポレートガバナンス・コードのフォローアップ会議（第29回）議事録

こんにちは、丸山満彦です。

金融庁が、4月18日に開催した「スチュワードシップ・コード及びコーポレートガバナンス・コードのフォローアップ会議（第29回）議事録」を公表していますね...

スチュワードシップ・コードやコーポレートガバナンス・コードに重要なリスクと認識されているサイバーリスクがどのように反映されるべきか考え、ちょっと最近注目しています...

残念ながら、今回は、サイバーセキュリティは一箇所でしかでてきません。コードに記載する内容というよりも、より実際的に役立つ情報とするためにどのようにするべきかというところが課題となっていますので...

● 金融庁

・2024.05.29 スチュワードシップ・コード及びコーポレートガバナンス・コードのフォローアップ会議（第29回）議事録

形式的な記載となっているという認識はあるようですね...記載内容の比較可能性を高めることを強調しすぎたり、監督官庁からの細かい指摘があると、どうしてもツッコミが入れられにくいようにと担当者が考えるので、形式的な記載となりがちかもしれません...

金融庁の課題意識...

...いま一度各コードがプリンシプルベースかつコンプライ・オア・エクスプレインのアプローチを取っているという趣旨に立ち戻って、全ての企業・投資家の皆様においてきめ細かく必要な取組を検討していただくというところが必要ではないかと考えています。こうした観点から、各コードを形式的に遵守することよりも、むしろ丁寧にエクスプレインしていただくというところも重要ではないかということを記載しています。中長期的な企業価値の向上という目的に応じた成果を追求するという、まさにアウトカム・オリエンテッドということを再確認した上で着実に実践に移すことが重要ではないかと考えられます...

また、金融庁の発言で...

チュワードシップ活動の実質化です。こちらにつきましては、昨年末にかけて金融審議会でまず協働エンゲージメントの促進等について提言が行われてございます。さらに、大量保有報告制度の見直しや、実質株主の透明性確保に向けた提言も出されています。
　
　課題のところですが、チェックボックスを埋めるような形式的な対話が行われているという御指摘や、投資先の深い理解に基づく建設的な目的を持った対話や双方向の対話が行われていないという御指摘もあるところです。

と、対話になってないやん...という指摘があるという意見ですが、

この会議自体も各委員が順番にご意見を開陳しているいう、有識者会議あるあるで、対話になっていないということで、日本社会に根ざした課題なのだろうなと思います(^^)

● 金融庁 - スチュワードシップ・コード及びコーポレートガバナンス・コードのフォローアップ会議

・2024.04.18 「スチュワードシップ・コード及びコーポレートガバナンス・コードのフォローアップ会議」（第29回）議事次第

・・開催通知

・・資料

・・・資料１[PDF] 「スチュワードシップ・コード及びコーポレートガバナンス・コードのフォローアップ会議」メンバー名簿

・・・資料２[PDF] コーポレートガバナンス改革の実質化に向けたアクション・プログラムのフォローアップと今後の方向性について（案）

・・・資料３[PDF] 事務局説明資料

・・・資料４[PDF] 東京証券取引所における最近の取組み

・・・資料５[PDF] 事務局参考資料①

・・・資料６[PDF] 事務局参考資料②（コーポレートガバナンス改革の実質化に向けたアクション・プログラムのフォローアップ）

・・議事録

座長は神田先生ですが、神田先生とはとある委員会で一緒です(^^)

● 金融庁

・2020.03.24 スチュワードシップ・コード（再改訂版）の確定について

・[PDF] 「責任ある機関投資家」の諸原則 ≪日本版スチュワードシップ・コード≫ ～投資と対話を通じて企業の持続的成長を促すために～

● 日本証券取引書グループ

・2021.06.11 改訂コーポレートガバナンス・コードの公表

・[PDF] コーポレートガバナンス・コード～会社の持続的な成長と中長期的な企業価値の向上のために～

2024.06.03 00:00 in 内部統制 / リスクマネジメント | Permalink | Comments (0)
Tweet

2024.06.02

米国 SEC ニューヨーク証券取引所を所有するインターコンチネンタル取引所をサイバー侵入をしていたのに通知しなかったいうことで1000万ドル（約16億円）の罰金を受け入れていますね... (2024.05.22)

こんにちは、丸山満彦です。

世界最大のニューヨーク取引所[wikipedia]を運営している時価総額約12兆円で、時価総額1位の取引所会社であるインターコンチネンタル取引所[wikipedia]がサイバー侵入をしていたのに通知しなかった（Regulation Systems Compliance and Integrity (Regulation SCI) 違反）ということで1000万ドル（約16億円）の罰金を受け入れていますね。

SECのウェブページには記載されていますが、インターコンチネンタル取引所のウェブページにはその言及は見当たらないです...まぁ、小さい話か(^^)

● U.S. SECURITIES AND EXCHANGE COMMISSION (SEC)

・2024.05.22 SEC Charges Intercontinental Exchange and Nine Affiliates Including the New York Stock Exchange with Failing to Inform the Commission of a Cyber Intrusion

SEC Charges Intercontinental Exchange and Nine Affiliates Including the New York Stock Exchange with Failing to Inform the Commission of a Cyber Intrusion	米証券取引委員会、インターコンチネンタル取引所およびニューヨーク証券取引所を含む9つの関連会社を、サイバー侵入の報告を怠ったとして告発
The Securities and Exchange Commission today announced that The Intercontinental Exchange, Inc. (ICE) agreed to pay a $10 million penalty to settle charges that it caused the failure of nine wholly-owned subsidiaries, including the New York Stock Exchange, to timely inform the SEC of a cyber intrusion as required by Regulation Systems Compliance and Integrity (Regulation SCI).	米証券取引委員会（SEC）は本日、インターコンチネンタル取引所（ICE）がニューヨーク証券取引所を含む完全子会社9社に対し、システム・コンプライアンス・アンド・インテグリティ規制（SCI規制）で義務付けられているサイバー侵入を適時にSECに報告しなかったという罪を清算するため、1000万ドルの罰金を支払うことに合意したと発表した。
According to the SEC’s order, in April 2021, a third party informed ICE that ICE was potentially impacted by a system intrusion involving a previously unknown vulnerability in ICE’s virtual private network (VPN). ICE investigated and was immediately able to determine that a threat actor had inserted malicious code into a VPN device used to remotely access ICE’s corporate network. However, the SEC’s order finds that ICE personnel did not notify the legal and compliance officials at ICE’s subsidiaries of the intrusion for several days in violation of ICE’s own internal cyber incident reporting procedures. As a result of ICE’s failures, those subsidiaries did not properly assess the intrusion to fulfill their independent regulatory disclosure obligations under Regulation SCI, which required them to immediately contact SEC staff about the intrusion and provide an update within 24 hours unless they immediately concluded or reasonably estimated that the intrusion had or would have no or a de minimis impact on their operations or on market participants.	SECの命令によると、2021年4月、サードパーティからICEに対し、ICEの仮想プライベート・ネットワーク（VPN）にこれまで知られていなかった脆弱性を含むシステム侵入の影響を受けた可能性があるとの連絡があった。ICEが調査したところ、脅威行為者がICEの企業ネットワークにリモートアクセスするためのVPNデバイスに悪質なコードを挿入したことを直ちに突き止めることができた。しかし、SECの命令によると、ICEの担当者は、ICEの内部サイバーインシデント報告手順に違反して、ICEの子会社の法務・コンプライアンス担当者に数日間、侵入を通知しなかった。ICEの怠慢の結果、これらの子会社はSCI規則に基づく独立規制当局の開示義務を果たすため、侵入を適切にアセスメントしなかった。SCI規則では、侵入が自社の業務や市場参加者に与える影響がないか、または最小限の影響にとどまると直ちに結論づけるか、合理的に見積もる場合を除き、侵入について直ちにSECスタッフに連絡し、24時間以内に最新情報を提供することを義務付けている。
“The respondents in today’s enforcement action include the world’s largest stock exchange and a number of other prominent intermediaries that, given their roles in our markets, are subject to strict reporting requirements when they experience cyber events. Under Reg SCI, they have to immediately notify the SEC of cyber intrusions into relevant systems that they cannot reasonably estimate to be de miminis events right away. The reasoning behind the rule is simple: if the SEC receives multiple reports across a number of these types of entities, then it can take swift steps to protect markets and investors,” said Gurbir S. Grewal, Director of the SEC’s Division of Enforcement. “Here, the respondents subject to Reg SCI failed to notify the SEC of the intrusion at issue as required. Rather, it was Commission staff that contacted the respondents in the process of assessing reports of similar cyber vulnerabilities. As alleged in the order, they instead took four days to assess its impact and internally conclude it was a de minimis event. When it comes to cybersecurity, especially events at critical market intermediaries, every second counts and four days can be an eternity. Today’s order and penalty not only reflect the seriousness of the respondents’ violations, but also that several of them have been the subject of a number of prior SEC enforcement actions, including for violations of Reg SCI.”	「本日の強制措置の対応者には、世界最大の証券取引所やその他多数の著名な仲介業者が含まれており、市場におけるその役割から、サイバー事象が発生した場合には厳格な報告義務が課される。Reg SCIのもとでは、関連システムへのサイバー侵入が発生した場合、合理的に推定できない事象については、直ちにSECに報告しなければならない。SECがこのような事業体から複数の報告を受けた場合、市場と投資家を保護するための迅速な措置をとることができるからだ。「今回、Reg SCIの対象となった回答者は、必要とされた侵入をSECに通知しなかった。むしろ、類似のサイバー脆弱性の報告をアセスメントする過程で回答者に接触したのは、欧州委員会のスタッフであった。命令書で主張されているように、彼らは代わりにその影響を評価するために4日間を費やし、内部的には最小限の出来事であると結論づけた。サイバーセキュリティ、特に重要な市場仲介業者における事象に関しては、一刻一秒を争うものであり、4日間という時間は永遠に続く可能性がある。本日の命令と罰則は回答者の違反の深刻さを反映しているだけでなく、そのうちの何人かはReg SCI違反を含め、SECの執行措置の対象になっている。
ICE and its subsidiaries consented to the entry of the SEC’s order finding that the subsidiaries violated the notification provisions of Regulation SCI and that ICE caused those violations. Without admitting or denying the SEC’s findings, ICE and its subsidiaries, consisting of Archipelago Trading Services, Inc.; New York Stock Exchange LLC; NYSE American LLC; NYSE Arca, Inc.; ICE Clear Credit LLC; ICE Clear Europe Ltd.; NYSE Chicago, Inc.; NYSE National, Inc.; and the Securities Industry Automation Corporation agreed to a cease-and-desist order in addition to ICE’s monetary penalty.	ICEとその子会社は、子会社がSCI規制の通知規定に違反し、ICEがこれらの違反を引き起こしたと認定するSECの命令書に同意した。ICEとその子会社（Archipelago Trading Services, Inc.、New York Stock Exchange LLC、NYSE American LLC、NYSE Arca, Inc.、ICE Clear Credit LLC、ICE Clear Europe Ltd.、NYSE Chicago, Inc.、NYSE National, Inc.、Securities Industry Automation Corporation）は、SECの調査結果を認めることも否定することもなく、ICEの罰金に加え、営業停止命令にも同意した。
The SEC’s investigation was conducted by Benjamin D. Brutlag and Lory C. Stone under the supervision of Melissa Hodgman and Carolyn M. Welshhans. The team was assisted by Heidi Pilpel and David Liu of the SEC’s Division of Trading and Markets and by the Technology Controls Program of the SEC’s Division of Examinations.	SECの調査はメリッサ・ホッジマンとキャロリン・M・ウェルシャンズの監督の下、ベンジャミン・D・ブルトラグとローリー・C・ストーンが担当した。同チームはSEC取引市場部のハイディ・ピルペルとデビッド・リウ、およびSEC審査部の技術管理プログラムによって支援された。

1_20240601021001

ちなみに取引所のランキング、それっぽいのを並べてみました...

参考に東京証券取引所を持つ日本証券取引所グループの時価総額も並べてみましたが、何位かはわかりません...10位くらい？

ちなみに2位のCMEグループはシカゴ商品取引所を持っている取引所です。

時価総額は2024.05.31現在（為替レートも2024.05.31）で比較してみるとこんな感じ...

#	企業名	時価（取引通貨）		通貨	為替レート	時価（10億円）
1	Intercontinental Exchange Inc	764.47	億	USD	157.21	12,018
2	CME Group Inc	730.93	億	USD	157.21	11,491
3	London Stock Exchange Group PLC	483.25	億	GBP	200.09	9,669
4	Hong Kong Exchanges and Clearing Limited	3,438.37	億	HKD	20.10	6,911
5	Deutsche Boerse AG	341.43	億	EUR	170.46	5,820
6	Nasdaq Inc	338.71	億	USD	157.21	5,325
	・・・
?	日本証券取引所グループ					1,870

2024.06.02 00:00 in 情報セキュリティ / サイバーセキュリティ, in 法律 / 犯罪, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続 | Permalink | Comments (0)
Tweet

欧州会計監査院がEU選挙を控えているので偽情報とサイバーセキュリティには気をつけろといってますね...

こんにちは、丸山満彦です。

2024年6月6日から9日にかけて欧州議会議員選挙[wikipedia]が行われることになっていますよね...

ということで、欧州会計監査院がEU選挙を控えているので偽情報とサイバーセキュリティには気をつけろといってますね...

民主主義の脆弱性の一つとして、国民の多数決に従うということがあるわけで、うまく世論操作できれば、他国等への干渉が可能ですからね...

日本では選挙への干渉という意味での偽情報の話はあまり出てこない様ですが、非常に重要なはずで、特に、気づかないうちに徐々に世論に影響を与えられる様な攻撃パターンというのに気をつけなければなりませんよね...

● EUROPEAN COURT OF AUDITORS

・2024.05.30 Disinformation and cybersecurity ahead of the EU elections

Disinformation and cybersecurity ahead of the EU elections	EU選挙を控えた偽情報とサイバーセキュリティ
Disinformation is a serious concern in organised societies. With the European elections coming up in just a few days, the EU institutions are naturally alert to the risks and threats it poses. At the European Court of Auditors, we have previously reported on disinformation affecting the EU, as well as on cybersecurity in EU institutions, bodies and agencies. Our 2021 special report on disinformation found that it was tackled but not tamed, and our auditors recommended that the EU response should be stepped up and coordination improved. The key takeaway from our 2022 audit report on cybersecurity, meanwhile, was that EU bodies should increase their cybersecurity preparedness. Both reports remain as topical as ever.	偽情報は、組織化された社会における深刻な懸念である。欧州選挙を数日後に控え、EU機構は当然ながらそのリスクと脅威に警戒している。欧州会計監査院ではこれまでにも、EUに影響を及ぼす偽情報や、EUの機構、団体、機関におけるサイバーセキュリティについて報告してきた。偽情報に関する2021年の特別報告書では、偽情報への取り組みは行われているものの、手なずけられるには至っておらず、監査役はEUの対応を強化し、連携を改善すべきであると勧告した。一方、サイバーセキュリティに関する2022年の監査報告書では、EUの団体はサイバーセキュリティへの備えを強化すべきであるというのが主な指摘であった。どちらの報告書も、相変わらず時事的である。
Social media and new technologies have increased the scale and speed at which false or misleading information can reach audiences, whether intentionally or otherwise. As we said in our special report on disinformation in 2021, “Any attempt to maliciously and intentionally undermine or manipulate public opinion represents a grave threat to the EU itself.” Fighting disinformation represents a major challenge, however, as the EU must avoid infringing its own fundamental values, such as freedom of opinion and expression. The special report focused on the EU’s action plan to combat disinformation, which was issued in 2018. Our auditors concluded that the action plan had triggered positive developments, but had not lived up to all of its promises. We issued six clear recommendations to the European Commission and the European External Action Service – and asked that they act on them.	ソーシャルメディアや新しいテクノロジーは、意図的であるか否かにかかわらず、虚偽の情報や誤解を招くような情報が視聴者に届く規模とスピードを増大させている。2021年の偽情報に関する特別報告書で述べたように、「悪意を持って意図的に世論を弱めたり操作しようとする試みは、EUそのものに対する重大な脅威を意味する」。しかし、偽情報との戦いは大きな挑戦であり、EUは意見や表現の自由といったEUの基本的価値を侵害することを避けなければならない。特別報告書では、2018年に発表されたEUの偽情報対策行動計画に焦点を当てた。我々の監査人は、行動計画は前向きな進展を引き起こしたが、すべての約束を果たしたわけではないと結論づけた。我々は欧州委員会と欧州対外活動庁に対して6つの明確な勧告を行い、それに基づいて行動するよう求めた。
The EU bodies are closely interconnected, and a weakness in one can expose others to security threats. Just two years ago, our auditors stressed that the number of cyberattacks on EU bodies was increasing sharply and that the (variable) level of cybersecurity preparedness within EU bodies was not commensurate with the growing threat. This is important because EU institutions, bodies and agencies are attractive targets for potential attackers, particularly groups capable of executing highly sophisticated stealth attacks for cyberespionage and other nefarious purposes. Such attacks could have significant political implications, harm the overall reputation of the EU, and undermine trust in its institutions. Our auditors therefore stressed that the EU must step up its efforts to protect its own organisations, and issued three key recommendations.	EUの諸団体は相互に密接に結びついており、ある団体の弱点が他の団体を安全保障上の脅威にさらす可能性がある。ちょうど2年前、我々の監査役は、EU団体に対するサイバー攻撃の数が急増しており、EU団体内のサイバーセキュリティへの備えの（ばらつきのある）レベルが脅威の増大に見合っていないことを強調した。EUの機構、団体、機関は、潜在的な攻撃者、特にサイバースパイやその他の悪意のある目的のために高度に洗練されたステルス攻撃を実行できるグループにとって魅力的な標的であるため、これは重要である。このような攻撃は重大な政治的影響を及ぼし、EU全体の評判を傷つけ、その機構に対する信頼を損なう可能性がある。このため監査人は、EUは自国の組織を保護するための取り組みを強化しなければならないと強調し、3つの重要な勧告を行った。
In 2023, the ECA issued an opinion concerning proposed measures to strengthen solidarity and capacity within the EU to detect, prepare for and respond to cybersecurity threats and incidents. Our auditors welcomed the proposal's objective of strengthening the EU’s collective cyber-resilience. Nonetheless, they highlighted some risks, such as the risk that the operation of the European Cyber Shield and its sustainability could become dependent on EU financing; that a lack of information-sharing could impede its functioning; and that the measures introduced by the proposal could make the whole EU cybersecurity galaxy more complex. Following the European Commission’s proposal, and as a result of negotiations between the European Parliament and the Council of the EU, a “cyber solidarity package(opens in new window)” is now on the EU legislators’ table .	2023年、ECAは、サイバーセキュリティの脅威やインシデントを検知し、それに備え、対応するためのEU内の連帯と能力を強化するための対策案に関する意見を発表した。監査人は、EUの集団的なサイバーレジリエンスを強化するというこの提案の目的を歓迎した。しかしながら、欧州サイバーシールドの運営とその持続可能性がEUの資金調達に依存するようになるリスク、情報共有の欠如がその機能を阻害する可能性、提案によって導入される措置がEU全体のサイバーセキュリティ銀河系をより複雑なものにする可能性など、いくつかのリスクを指摘した。欧州委員会の提案を受け、欧州議会とEU理事会の交渉の結果、「サイバー連帯パッケージ」がEUの立法府のテーブルに乗った。
The above-mentioned reports help raise awareness of the risks and threats of disinformation. In the run-up to the European elections(opens in new window) taking place between 6 and 9 June 2024, we also recommend taking a look at the campaign launched by the European Commission and the European Regulators Group for Audiovisual Media Services to raise awareness of the risks of disinformation. The campaign includes a video(opens in new window) as well as practical tips(opens in new window) on how to spot disinformation .	上記の報告書は、偽情報のリスクと脅威に対する認識を高めるのに役立っている。2024年6月6日から9日にかけて実施される欧州選挙に向けて、欧州委員会と欧州視聴覚メディアサービス規制グループが偽情報のリスクに対する認識を高めるために開始したキャンペーンをご覧になることもお勧めする。このキャンペーンには、偽情報を見抜くための実践的なヒントだけでなく、ビデオ（新しいウィンドウで開く）も含まれている。

参考...

欧州議会のEU選挙のウェブページ...

● USE YOUR VOTE OR OTHERS WILL DECIDE FOR YOU

欧州委員会の偽情報に対する啓発ビデオ

● European Commission

・Awareness-raising of the risks of disinformation and information manipulation

The European elections take place on 6-9 June, 2024.

To protect your choices, be critical of what you read online.

Protect yourself against manipulation.

Joint communication campaign with the European Regulators Group for Audiovisual Media Services (ERGA).

2024.06.02 00:00 in 法律 / 犯罪, in AI/Deep Learning, in 安全保障 | Permalink | Comments (0)
Tweet

公認会計士協会テクノロジー委員会研究文書第10号「サイバーセキュリティリスクへの監査人の対応（研究文書）」

こんにちは、丸山満彦です。

日本公認会計士協会 (JICPA) が、「サイバーセキュリティリスクへの監査人の対応（研究文書）」を公表していますね...

内容は、会計監査における内部統制の評価をする際の留意点となっていますので、財務諸表監査、内部統制監査の知識があるというベースの上でのサイバーセキュリティということになりますね...

「はじめに」で、「経済産業省の「サイバーセキュリティ経営ガイドライン」にふれられているのは嬉しいですね(^^)

サイバーセキュリティ経営ガイドラインは、

・サイバー（情報）セキュリティリスク＝企業が対処すべきリスクの一つ＝内部統制の対象

ということを意識して書いていますからね...

ただ、それはこのガイドラインでいっているだけではなく、米国でも、サイバーセキュリティとERM（エンタープライズリスクマネジメント）を繋げていますよね... NISTでも...

また、サイバーセキュリティに関わるリンク集にJPCERT/CCが含まれているのも嬉しいですね...

ただ、次回の改訂では、このまるちゃんブログも入れてほしいものです(^^)

● 日本公認会計士協会

・2024.05.30 「テクノロジー委員会研究文書第10号「サイバーセキュリティリスクへの監査人の対応（研究文書）」」の公表について

...

企業活動におけるＩＴ利用の進展に伴い、サイバーセキュリティ・インシデントが増加している状況の中で、財務諸表監査や財務報告に係る内部統制の監査においてサイバーセキュリティリスクを考慮する重要性が増していることを踏まえ、本研究文書の取りまとめを行いました。

...

・[PDF] テクノロジー委員会研究文書第10号「サイバーセキュリティリスクへの監査人の対応（研究文書）」

目次...

Ⅰ はじめに

Ⅱ サイバーセキュリティリスクと財務諸表監査・内部統制監査の関係
１．サイバーセキュリティ・インシデントとサイバーセキュリティリスク
２．財務報告に関連するサイバーセキュリティリスク

Ⅲ 通常の財務諸表監査・内部統制監査における対応（平時の対応）
１．監査基準等におけるサイバーセキュリティリスクの取扱い
２．サイバーセキュリティリスクの識別・評価と関連する企業の環境と内部統制システムの理解
３．サイバーセキュリティリスクと重要な虚偽表示リスクの識別と評価
４．サイバーセキュリティリスクに関連するＩＴ全般統制
５．内部統制の不備の識別と評価
６．平時におけるサイバーセキュリティリスクに関する専門家の関与
７．その他留意事項

Ⅳ サイバーセキュリティ・インシデント発生時の対応（有事の対応）
１．事実関係の理解と影響範囲の特定及びその影響に対する評価
２．専門家の利用
３．内部統制の不備の識別と評価、及び追加手続
４．開示に係る検討
５．監査報告書に係る検討

Ⅴ 参考情報
１．サイバーセキュリティに関するリンク集
２．主要国・地域の個人情報保護規制

・[PDF] （参考）テクノロジー委員会研究文書第10号「サイバーセキュリティリスクへの監査人の対応（研究文書）」の概要

2024.06.02 00:00 in 情報セキュリティ / サイバーセキュリティ, in 個人情報保護 / プライバシー, in 監査 / 認証, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続 | Permalink | Comments (0)
Tweet

2024.06.01

欧州会計監査院が「欧州はAI分野で出遅れてるぞ！」といっていますね...

こんにちは、丸山満彦です。

欧州会計監査院が、 EU 人工知能の野望 - 今後は強力なガバナンスと集中投資の拡大が不可欠という報告書を出していますね。。。

欧州はAI分野で米国、中国に比べて出遅れている感じですね...

● EUROPEAN COURT OF AUDITORS

・2024.05.29 Special report 08/2024: EU Artificial intelligence ambition – Stronger governance and increased, more focused investment essential going forward

Special report 08/2024: EU Artificial intelligence ambition – Stronger governance and increased, more focused investment essential going forward

ライブストリーミングも予定されている： EU 人工知能の野望 - 今後は強力なガバナンスと集中投資の拡大が不可欠

Embracing AI technology will likely determine the path of the EU’s future economic development. In 2018, the Commission adopted a coordinated plan with the member states to scale up investment in artificial intelligence and adapt the regulatory environment, which was updated in 2021. We assessed whether the Commission’s implementation of the framework was being effective. We found that the Commission’s actions covered key dimensions that are important for the development of an EU ecosystem for artificial intelligence. However, the multiple actions (many of which are still ongoing) had a limited effect in developing the EU AI ecosystem by the time of the audit and did not accelerate AI investment in line with global leaders. The Commission and national measures were not effectively coordinated, as the Commission lacked the necessary governance tools and information. We recommend that the Commission re-assess the EU investment target for AI and how member states might contribute to it, evaluate the need for a more AI-focused capital support instrument, reinforce coordination and monitoring, and steps up support for the exploitation of results in the EU.

AI技術の導入は、EUの今後の経済発展の道筋を左右することになるだろう。2018年、欧州委員会は、人工知能への投資を拡大し、規制環境を適応させるための加盟国との協調計画を採択し、2021年に更新した。我々は、欧州委員会によるこの枠組みの実施が効果的であったかどうかをアセスメントした。その結果、欧州委員会の行動は、人工知能のためのEUエコシステムの発展にとって重要な側面をカバーしていることがわかった。しかし、複数の行動（その多くは現在も進行中である）は、監査時点までにEUのAIエコシステムを発展させる効果は限定的であり、世界のリーダーたちに匹敵するAI投資を加速させるものではなかった。欧州委員会には必要なガバナンスツールと情報が不足していたため、欧州委員会と各国の対策は効果的に調整されていなかった。欧州委員会は、AIに対するEUの投資目標と、加盟国がそれにどのように貢献できるかを再度アセスメントし、よりAIに焦点を当てた資本支援手段の必要性を評価し、調整と監視を強化し、EUにおける成果の活用に対する支援を強化することを勧告する。

・[PDF]

目次...

Timeline	タイムライン
Executive summary	要旨
Introduction	序文
Audit scope and approach	監査の範囲とアプローチ
Observations	観察事項
Conclusions and recommendations	結論と提言
Annexes	附属書
Abbreviations	略語
Glossary	用語集
Audit team	監査チーム
Endnotes	注釈

エグゼクティブサマリー...

Executive summary	エグゼクティブサマリー
I. Artificial intelligence (AI) is a technology that comes with a promise to transform economies, boost growth and address societal challenges, but it also carries inherent safety risks and significant potential for economic and societal disruption. The Commission designed the EU’s path to become a leader in AI in 2018 in the “Coordinated Plan on the Development and Use of Artificial Intelligence Made in Europe” and its second plan in 2021. The main goal was to develop an AI ecosystem of excellence and trust in the EU. The two AI plans included coordinated measures to be taken by the Commission or member states in order to scale up investment in AI and adapt the regulatory environment.	I. 人工知能（AI）は、経済を変革し、成長を促進し、社会的課題に対処することが期待される技術であるが、同時に、固有の安全リスクや、経済・社会を混乱させる大きな可能性もはらんでいる。欧州委員会は、2018年の「欧州製人工知能の開発と利用に関する調整計画」と2021年の第2次計画において、EUがAIのリーダーになるための道筋を設計した。主な目標は、EUにおいて卓越性と信頼のあるAIエコシステムを発展させることであった。2つのAI計画には、AIへの投資を拡大し、規制環境を適応させるために、欧州委員会または加盟国が講じるべき調整措置が含まれていた。
II. The EU's targets for private and public investment in AI were €20 billion in total over the 2018-2020 period and €20 billion per year over the following decade. The Commission committed to increasing EU-funded investment in research and innovation to €1.5 billion in 2018-2020 and €1 billion per year in 2021-2027.	II. AIへの民間および公的投資に関するEUの目標は、2018年から2020年にかけて総額200億ユーロ、その後10年間は毎年200億ユーロであった。欧州委員会は、EUが出資する研究・イノベーションへの投資を、2018～2020年に15億ユーロ、2021～2027年に年間10億ユーロに増やすことを約束した。
III. This audit is the first to assess the effectiveness of the Commission’s contribution to the development of the EU’s AI ecosystem. We examined the Commission’s actions to coordinate the measures of EU AI plans of 2018 and 2021, and to adopt a common legal framework for data sharing and trustworthy AI. We also assessed the implementation of EU-funded infrastructure that facilitates access for small and medium-sized enterprises (SMEs) to innovation in, and uptake of, AI technologies (through the Digital Europe programme), and the implementation of EU funds for research in AI over the 2014-2022 period (through Horizon 2020 and the Horizon Europe programmes). The audit provides insights into the performance of the EU’s plans for AI, which could be instrumental in any future debate about their revision or other EU-wide measures supporting AI.	III. この監査は、EUのAIエコシステムの発展に対する欧州委員会の貢献の有効性を評価する初めてのものである。我々は、2018年と2021年のEUのAI計画の施策を調整し、データ共有と信頼できるAIのための共通の法的枠組みを採択するための欧州委員会の行動を調査した。また、（デジタル・ヨーロッパ・プログラムを通じて）中小企業がAI技術の革新や導入にアクセスしやすくするための、EUが資金提供するインフラの実施状況や、（ホライゾン2020およびホライゾン・ヨーロッパ・プログラムを通じて）2014年から2022年にかけてのAI研究のためのEU資金の実施状況についてもアセスメントを行った。この監査は、AIに関するEUの計画のパフォーマンスに関する洞察を提供するものであり、今後、計画の見直しや、AIを支援するその他のEU全体の施策について議論する際に有益なものとなる可能性がある。
IV. We conclude that the Commission and national measures were not effectively coordinated due to the few governance tools available, their partial implementation, and outdated targets. Furthermore, EU AI investment did not keep pace with global leaders. The implementation of infrastructure and capital support for SMEs to embrace AI technologies took time, and so did not yield significant results by the time of the audit. The Commission generally managed to scale up spending from the EU budget for research projects in the AI field, but did not monitor their contribution to the development of an EU AI ecosystem. The Commission’s efforts to ensure that research results translated into innovation were partially effective.	IV. われわれは、利用可能なガバナンス・ツールの少なさ、部分的な実施、時代遅れの目標により、欧州委員会と各国の施策が効果的に調整されていなかったと結論づける。さらに、EUのAIへの投資は、世界のリーダーたちと歩調を合わせることができなかった。中小企業がAI技術を導入するためのインフラストラクチャーや資本支援の実施には時間がかかったため、監査の時点では大きな成果は得られなかった。欧州委員会は、概して、AI分野の研究プロジェクトに対するEU予算からの支出を拡大することができたが、EUのAIエコシステムの発展への寄与を監視することはできなかった。研究成果を確実にイノベーションにつなげるための欧州委員会の取り組みは、部分的に有効であった。
V. The EU’s AI plans were comprehensive when compared with similar AI plans in the US and the UK, and with the recommendations of the Organisation for Economic Co-operation and Development. However, the targets for AI investment were not specific about the expected results. The Commission did not update the investment targets that had been set in 2018. No comprehensive monitoring framework was in place to check the performance of the EU’s ecosystem on a regular basis, nor did the AI plans contain any specific performance targets. National involvement was critical in mobilising AI investment. However, it was not clear how the member states would contribute to overall EU investment targets.	V. EUのAI計画は、米国や英国の同様のAI計画や経済協力開発機構（OECD）の勧告と比較すると、包括的なものであった。しかし、AI投資の目標は、期待される成果について具体的なものではなかった。欧州委員会は、2018年に設定した投資目標を更新しなかった。EUのエコシステムのパフォーマンスを定期的にチェックするための包括的なモニタリングの枠組みもなく、AI計画にも具体的なパフォーマンス目標は含まれていなかった。AI投資の動員には、各国の関与が不可欠であった。しかし、加盟国がEU全体の投資目標にどのように貢献するかは明確ではなかった。
VI. The EU plans aimed to remove obstacles to trustworthy AI development by means of two key regulatory reforms. Although the legal framework for the single market for data is already in place, it still needs to be implemented in the member states. The creation of a predictable framework for trustworthy AI across the EU has progressed as a result of the general agreement on the AI Act in December 2023. The legislative process was ongoing at the time of the audit.	VI. EUの計画は、2つの重要な規制改革によって、信頼できるAI開発の障害を取り除くことを目的としていた。データの単一市場に関する法的枠組みはすでに整備されているが、加盟国で実施される必要がある。2023年12月のAI法に関する大筋合意の結果、EU全体で信頼できるAIのための予測可能な枠組み作りが進展した。監査当時、立法プロセスは進行中であった。
VII. The EU’s measures in support of SMEs are at various stages of implementation. Dedicated capital funding schemes initially triggered modest capital support for AI innovators. EU-funded AI infrastructure was slow to get off the ground, and some of the projects launched are not yet fully operational, partly due to late adoption of the Digital Europe programme.	VII. EUの中小企業支援策は、さまざまな実施段階にある。当初は、専用の資本支援スキームがAIイノベーターへのささやかな資本支援を引き起こした。EUが資金を提供するAIインフラストラクチャーの立ち上げは遅々として進まず、立ち上げられたプロジェクトの中には、デジタル・ヨーロッパ・プログラムの採用が遅れたこともあって、まだ完全に稼動していないものもある。
VIII. In 2018-2020, the Commission increased spending from the EU budget on AI research in line with targets, but did not significantly boost private co-financing. The Commission did not track or set up a performance monitoring system for AI investment, and had only partial checks in place to ensure that the results of EU-funded AI projects were fully commercialised or otherwise exploited.	VIII. 2018年から2020年にかけて、欧州委員会はAI研究に対するEU予算からの支出を目標に沿って増加させたが、民間からの共同出資を大幅に増加させることはなかった。欧州委員会は、AI投資に関する実績監視システムを追跡調査も設定もしておらず、EUが資金提供したAIプロジェクトの成果が十分に商業化されるか、その他の形で活用されるかを確認するためのチェック体制も部分的にしか整えていなかった。
IX. Based on these findings, we recommend that the Commission should:	IX. これらの調査結果に基づき、欧州委員会は以下を行うことを勧告する：
・re-assess the EU investment target for AI, and agree with the member states on how they might contribute to it;	・AIに対するEUの投資目標を再度アセスメントし、加盟国がそれにどのように貢献するかについて合意する；
・evaluate the need for an EU-funded capital support instrument focused on AI-innovative SMEs;	・AIに革新的な中小企業に焦点を当てた、EUが資金提供する資本支援手段の必要性を評価する；
・ensure that EU-funded AI infrastructure operates in a coordinated way;	・EUが資金提供するAIインフラが協調して運営されることを確保する；
・tag research and innovation spending on AI across the EU budget, set out performance targets and indicators, and regularly monitor their progress;	・AIに関する研究・革新支出をEU予算全体でタグ付けし、実績目標と指標を定め、その進捗状況を定期的に監視する；
・step up its action to support the exploitation of EU-funded AI research results.	・EUが資金提供したAIの研究成果の活用を支援するための行動を強化する。

投資についての世界比較...

日本は比較対象になっていないね...（データがないのかな？）

図2 - AIおよびデータ分野へのベンチャーキャピタルの地域別投資額（10億ドル）

Source: OECD(opens in new window) data (November 2023).

プレスリリース

・2024.05.29 Artificial intelligence: EU must pick up the pace

Artificial intelligence: EU must pick up the pace	人工知能： EUはペースを上げなければならない
・EU AI investment is not keeping pace with global leaders	・EUのAI投資は世界のリーダーたちに遅れをとっている
・Results of EU-funded AI projects are not systematically monitored	・EUが資金提供するAIプロジェクトの成果は体系的にモニターされていない。
・Coordination between EU and member states is ineffective due to a lack of governance tools	・EUと加盟国の間の調整は、ガバナンス・ツールの不足のために効果的ではない
The EU has so far had little success in developing Europe’s artificial intelligence ecosystem, and has failed to accelerate AI investment on a par with global leaders, according to a report by the European Court of Auditors. Since 2018, the European Commission has taken multiple actions and worked on key building blocks to advance the EU’s AI ecosystem, such as regulation, infrastructure, research, and investment. In addition, the EU took early steps to explore AI risks, leading to the world’s first general rules on AI use. However, EU measures were not well coordinated with those of the member states, and monitoring of investment was not systematic. Going forward, stronger governance and more – and better targeted – public and private investment in the EU will be paramount if the EU is to achieve its AI ambitions.	欧州会計監査院の報告書によると、EUはこれまで、欧州の人工知能エコシステムの開発においてほとんど成功を収めておらず、AI投資をグローバルリーダー並みに加速させることができていない。2018年以降、欧州委員会は複数の行動を起こし、規制、インフラ、研究、投資など、EUのAIエコシステムを前進させるための主要なビルディングブロックに取り組んできた。加えて、EUはAIのリスクを探るための早期の措置を講じ、世界初のAI利用に関する一般規則につながった。しかし、EUの施策は加盟国の施策とうまく連携しておらず、投資の監視も体系的ではなかった。今後、EUがAIの野望を達成するためには、より強力なガバナンスと、より的を絞った官民投資の拡大が不可欠である。
The EU faces challenges in the global race for AI investment. Since 2015, venture capital investments have been lower than in the other AI-leading regions: the United States and China. According to estimates, the overall AI investment gap between the US and the EU more than doubled between 2018 and 2020 (with the EU trailing by more than €10 billion). Against this backdrop, the EU has gradually taken steps to develop a framework for coordinating AI across the bloc by scaling up investment and adapting regulation. In 2018 and 2021, the Commission and the EU’s member states agreed on measures to develop an AI ecosystem of excellence and trust, which would set the EU on the path of a global leader in cutting-edge, ethical, and secure AI.	EUは、世界的なAI投資競争における課題に直面している。2015年以降、ベンチャーキャピタルへの投資は、米国や中国といった他のAI先進地域よりも低くなっている。試算によると、米国とEUのAI投資額全体の格差は、2018年から2020年にかけて2倍以上に拡大した（EUは100億ユーロ以上の差をつけられている）。このような背景から、EUは投資を拡大し、規制を適応させることで、ブロック全体でAIを調整する枠組みを構築するための措置を徐々に講じている。2018年と2021年、欧州委員会とEU加盟国は、卓越性と信頼のあるAIのエコシステムを開発するための施策に合意した。
“Sizeable and focused AI investment is a game-changer in setting the speed of EU economic growth in the years to come,” said ECA Member Mihails Kozlovs who led the audit. In the AI race, there is a risk that the winner takes it all. If the EU wishes to succeed in its ambition, the European Commission and the member states must join forces more effectively, pick up the pace, and unlock the EU’s potential to succeed in this ongoing major technological revolution.”	「大規模かつ集中的なAI投資は、今後数年間のEUの経済成長スピードを決定するゲームチェンジャーとなる」と、監査を主導したECAメンバーのミハイルス・コズロフスは述べた。AI競争では、勝者がすべてを手にするリスクがある。EUがその野望を成功させたいのであれば、欧州委員会と加盟国はより効果的に力を合わせ、ペースを上げ、この進行中の大きな技術革命で成功するためにEUの潜在力を解き放たなければならない」と述べた。
The Commission’s 2018 and 2021 AI plans are comprehensive, and broadly in line with international best practices. However, more than five years after the first plan, the framework for coordinating and regulating EU investment in AI is still a work in progress. The auditors are critical of the Commission’s coordination with member states, which has had only “limited effects”. This was because the executive lacked the necessary governance tools and information. The credibility of EU plans suffered further as the Commission had not set up a proper system for monitoring how AI investments perform. Nor was it clear how the member states would contribute to overall EU investment targets, meaning that there has been no EU overview.	欧州委員会の2018年と2021年のAI計画は包括的であり、国際的なベストプラクティスにほぼ沿ったものである。しかし、最初の計画から5年以上が経過した現在でも、EUのAIへの投資を調整・規制する枠組みはまだ未完成である。監査役は、「限られた効果」しか上げていない欧州委員会の加盟国との調整を批判している。これは、政府が必要なガバナンスツールと情報を欠いていたためである。欧州委員会はAI投資の成果を監視する適切なシステムを構築していなかったため、EU計画の信頼性はさらに低下した。また、加盟国がEU全体の投資目標にどのように貢献するかも明確でなかった。
The EU’s investment targets remain too vague and outdated: they have not changed since 2018, and the lack of ambition for investment targets contrasts with the objective of building a globally competitive AI ecosystem. Although the Commission generally managed to scale up EU budget spending on AI research projects, it did not significantly boost private co-financing. The Commission also has to do more to ensure that the results of EU-funded research projects in AI are fully commercialised or exploited.	EUの投資目標は、あまりにも曖昧で時代遅れのままである。2018年以来変更されておらず、投資目標に対する野心の欠如は、国際競争力のあるAIエコシステムを構築するという目的とは対照的である。欧州委員会は、AI研究プロジェクトに対するEU予算の支出を拡大することはできたが、民間からの共同出資を大幅に増やすことはできなかった。また、欧州委員会は、EUが資金提供したAIの研究プロジェクトの成果が十分に商業化され、利用されるようにするために、さらに努力する必要がある。
The Commission took action to put financial and infrastructure enablers in place for AI development and uptake. However, EU-funded infrastructure – such as testing facilities, data spaces, or an AI-on-demand platform – has been slow to get off the ground. Indeed, AI plans have so far triggered only modest EU capital support (such as equity financing) for innovators. The recent EU measures to achieve a single market for data are still at the inception phase, and cannot immediately boost AI investment.	欧州委員会は、AIの開発と普及のために、資金面およびインフラ面での支援策を講じた。しかし、試験施設、データ空間、AIオンデマンド・プラットフォームなど、EUが資金を提供するインフラはなかなか軌道に乗らない。実際、AI計画は、これまでのところ、イノベーターに対するEUのささやかな資本支援（エクイティ・ファイナンスなど）しか引き起こしていない。データの単一市場を実現するための最近のEU措置は、まだ開始段階にあり、AI投資を直ちに後押しすることはできない。
Background information	背景情報
AI encompasses emerging technologies in fast-evolving areas including robotics, big data and cloud computing, high-performance computing, photonics, and neuroscience. The US has long been a front runner in AI, while China plans to become the global AI leader by 2030, with both countries relying on substantial private investment through their tech giants. The EU’s AI targets for public and private investment were €20 billion over the 2018-2020 period, and €20 billion each year over the following decade; the Commission set out to increase EU AI funding to €1.5 billion in the 2018-2020 period and €1 billion per year in 2021-2027. The share of businesses in the EU using AI differs significantly between member states. France and Germany have announced the largest public AI investments, while four countries are still without any AI strategies at all. The EU has an ambitious target of reaching 75 % of firms using AI by 2030. In 2021, Europe and Central Asia were together responsible for only 4 % of AI patent filings worldwide.	AIは、ロボット工学、ビッグデータ、クラウド・コンピューティング、ハイパフォーマンス・コンピューティング、フォトニクス、神経科学など、日進月歩の新興技術を含む。米国は長らくAIのトップランナーであり、中国は2030年までに世界のAIリーダーになることを計画している。EUの公共投資と民間投資のAI目標は、2018年から2020年の間に200億ユーロ、その後10年間は毎年200億ユーロであった。欧州委員会は、EUのAI資金を2018年から2020年の間に15億ユーロ、2021年から2027年の間に年間10億ユーロに増やすことを目標としている。EUでAIを利用している企業の割合は、加盟国によって大きく異なる。フランスとドイツは最大のAI公共投資を発表しているが、4カ国はまだAI戦略をまったく持っていない。EUは、2030年までにAIを利用する企業の割合を75%にするという野心的な目標を掲げている。2021年には、欧州と中央アジアを合わせたAI特許出願件数は、世界全体のわずか4%に過ぎない。
Special report 08/2024, “EU Artificial Intelligence ambition: stronger governance and increased, more focused investment essential going forward”,” is available on the ECA website. The AI Act agreed recently was not within the audit scope. On 14 June 2024, the ECA will hold an online panel debate on the EU's AI ambitions; livestreaming will be available.	特別報告書08/2024「EU人工知能の野望：ガバナンスの強化と重点的な投資拡大が今後不可欠」は、ECAウェブサイトから入手できる。最近合意されたAI法は監査対象外であった。2024年6月14日、ECAはEUのAI野望に関するオンラインパネル討論会を開催する。

2024.06.01 00:00 in AI/Deep Learning, in 安全保障 | Permalink | Comments (0)
Tweet

米国 NIST IR 8525 顔分析技術の評価：年齢推定と検証

こんにちは、丸山満彦です。

NISTが、IR 8525 顔分析技術の評価：年齢推定と検証を公表していますね...

いろいろな意味で興味深いですね。。。

なぜ、このようなことをしているか？ということですが...

Motivation

動機

Age assurance is the subject of recent legislation both inside and outside the United States. This has driven the need for age assurance methods to support applications such as verification that a person is above age 18, 21, or other key ages (e.g., for sale of alcohol or online access). While the mechanism for estimating age may not be specified in legislation, software-based face analysis is one potential approach supported by ubiquitous inexpensive cameras. Age estimation can operate statelessly with no requirement for persistent storage of a photo or biometric data derived from it.

年齢保証は、米国内外で最近法制化の対象となっている。このため、18歳以上、21歳以上、またはその他の重要な年齢（例えば、アルコールの販売やオンラインアクセス）であることの検証などのアプリケーションをサポートする年齢保証方法の必要性が高まっている。年齢を推定するメカニズムは法律で規定されていないかもしれないが、ソフトウェアベースの顔分析は、どこにでもある安価なカメラでサポートされる潜在的なアプローチの1つである。年齢推定は、写真やそれに由来する生体データの永続的な保存を必要とせず、ステートレスで動作することができる。

データを保存しないからいいって話ではないのですけどね...

● NIST

プレス...

・2024.05.30 NIST Reports First Results From Age Estimation Software Evaluation

NIST Reports First Results From Age Estimation Software Evaluation	NIST、年齢推定ソフトウェア評価から初の結果を報告
・Software algorithms that estimate a person’s age from a photo offer a potential way to control access to age-restricted activities without compromising privacy.	・写真から年齢を推定するソフトウェア・アルゴリズムは、プライバシーを損なうことなく、年齢制限のある活動へのアクセスを管理する潜在的な方法を提供する。
・NIST’s new report, its first on the topic in a decade, evaluates the capabilities of six algorithms, finding none that clearly outperforms the others.	・NISTの新しい報告書は、10年ぶりのこのテーマに関するもので、6つのアルゴリズムの能力を評価した。
・Moving forward, the agency plans to update its evaluation results every four to six weeks, noting that artificial intelligence is expected to improve age estimation software capabilities.	・今後、NISTは4～6週間ごとに評価結果を更新する予定であり、人工知能が年齢推定ソフトの能力を改善することが期待されるとしている。
If a person (in this case, a NIST staff member) changes facial expression or wears and then removes eyeglasses, all six of the algorithms NIST evaluated give age estimates that vary around the person’s true age. With frames extracted from a cellphone video, algorithms give age estimates that remain above or below the subject's true age of 58, and that vary by a few years from frame to frame.	人（この場合はNISTのスタッフ）が表情を変えたり、眼鏡をかけたり外したりした場合、NISTが評価した6つのアルゴリズムはすべて、その人の本当の年齢とほぼ同じに年齢を推定した。携帯電話の動画から抽出されたフレームでは、アルゴリズムは被験者の実年齢である58歳を上回ったり下回ったりする年齢推定値を出し、フレームごとに数年のばらつきがある。
Credit: P. Grother, N. Hanacek/NIST	クレジット：P. Grother, N. Hanacek/NIST
A new study from the National Institute of Standards and Technology (NIST) evaluates the performance of software that estimates a person’s age based on the physical characteristics evident in a photo of their face. Such age estimation and verification (AEV) software might be used as a gatekeeper for activities that have an age restriction, such as purchasing alcohol or accessing mature content online.	国立標準技術研究所（NIST）の新しい研究では、顔写真に見られる身体的特徴に基づいて年齢を推定するソフトウェアの性能を評価している。このような年齢推定・検証（AEV）ソフトウェアは、アルコールの購入やオンライン上の成熟したコンテンツへのアクセスなど、年齢制限のある活動のゲートキーパーとして使用される可能性がある。
Age estimation has become an enabling technology in age assurance programs recently included in legislation and regulation both inside and outside the United States. These programs aim to permit only those in certain age groups to access social media chat rooms or to buy certain products both online and in the physical world and can be an important part of efforts to protect children online.	年齢推定は、米国内外の法律や規制に最近盛り込まれた年齢保証プログラムの実現技術となっている。これらのプログラムは、特定の年齢層のみがソーシャルメディアのチャットルームにアクセスしたり、オンラインおよび物理的な世界で特定の製品を購入したりすることを許可することを目的としており、オンラインで子どもを保護する取り組みの重要な一部となり得る。
The new NIST study, Face Analysis Technology Evaluation: Age Estimation and Verification (NIST IR 8525), evaluates the performance of six algorithms that developers provided voluntarily in response to a September 2023 call for submissions. According to Kayee Hanaoka, one of the study’s authors, the results show algorithms with varying capabilities.	NISTの新しい研究、「顔分析技術評価」（Face Analysis Technology Evaluation）である：年齢推定と検証」（NIST IR 8525）は、2023年9月の募集に応じて開発者が自発的に提供した6つのアルゴリズムの性能を評価したものである。この研究の認可者の一人であるKayee Hanaoka氏によると、その結果は、様々な能力を持つアルゴリズムを示しているという。
“There is a wide range in performance among these algorithms, with room for improvement across the board,” said Hanaoka, a NIST computer scientist. “This is a partial snapshot of the age estimation field as it stood in late 2023, but as AEV performance is closely tied to advancements in artificial intelligence, we expect the field to change rapidly.”	「NISTのコンピューターサイエンティストであるHanaoka氏は、「これらのアルゴリズムの性能には幅があり、全体的に改善の余地がある。「しかし、AEVの性能は人工知能の進歩と密接に結びついているため、この分野は急速に変化すると予想される。
The new study is NIST’s first foray into AEV evaluation in a decade and kicks off a new, long-term effort by the agency to perform frequent, regular tests of the technology. NIST last evaluated AEV software in 2014. At the time, Hanaoka said, there was far less interest in the technology, and the evaluation was a one-time effort. That test used a single database of about 6 million photos taken from visa applications and required algorithms only to provide an age estimate on each photo.	この新しい研究は、NISTにとって10年ぶりのAEV評価への進出であり、AEV技術の頻繁で定期的なテストを行うという、NISTによる新たな長期的取り組みの幕開けとなるものである。NISTが最後にAEVソフトウェアを評価したのは2014年だった。当時は、この技術に対する関心ははるかに低く、評価は一度限りの取り組みだったとHanaoka氏は言う。そのテストでは、ビザ申請から撮影された約600万枚の写真からなる単一のデータベースを使用し、各写真に年齢推定値を提供するアルゴリズムのみを要求した。
Times have changed over the ensuing decade. Face analysis software has become sufficiently important that NIST has split its face recognition program into two tracks, one that evaluates algorithms’ ability to identify people (face recognition technology evaluation, or FRTE) and another that evaluates the ability to measure aspects of a face (face analysis technology evaluation, or FATE). The new test is part of the FATE track, which also has evaluations dedicated to detecting photo spoofs and measuring image quality.	その後10年間で時代は変わった。顔分析ソフトウェアは十分に重要なものとなり、NISTは顔認識プログラムを、人物を識別するアルゴリズムの能力を評価するもの（顔認識技術評価、FRTE）と、顔の側面を測定する能力を評価するもの（顔分析技術評価、FATE）の2つに分けた。新しいテストはFATEトラックの一部で、写真スプーフの検知や画質の測定に特化した評価もある。
NIST’s new test expands its photo collection to about 11.5 million photos from four diverse databases, all from U.S. government sources: the visa collection used in 2014, augmented by a set of FBI mug shots, a set of webcam images obtained at border crossings, and a set of immigration application photos of people born in more than 100 countries. The photos from the databases differ in image quality and reflect a variety of ages, genders and regions of origin. All data was anonymized, and the research was reviewed to protect the rights and privacy of the photographed subjects.	NISTの新しいテストでは、写真コレクションを4つの多様なデータベースから約1,150万枚に拡大した。これらはすべて米国政府の情報源から提供されたもので、2014年に使用されたビザコレクションにFBIの顔写真セット、国境通過時に取得されたウェブカメラ画像セット、100カ国以上で生まれた人々の移民申請写真セットを加えたものである。データベースの写真は画質が異なり、さまざまな年齢、性別、出身地域を反映している。すべてのデータは匿名化され、撮影された被写体の権利とプライバシーを保護するために研究が見直された。
The test again evaluated algorithms on their accuracy at age estimation, but in response to software developers’ requests, the test also asked the algorithms to specify whether the person in the photo was over the age of 21. The test was a “closed box” study, in which NIST researchers analyzed only the algorithms’ end performance, not their inner workings or how they arrived at their results. NIST makes no recommendations on whether the software is fit for particular use cases.	このテストでも、年齢推定におけるアルゴリズムの精度が評価されたが、ソフトウェア開発者の要望に応え、テストでは、写真に写っている人物が21歳以上であるかどうかの指定もアルゴリズムに求められた。このテストは「クローズド・ボックス」研究であり、NISTの研究者はアルゴリズムの最終的なパフォーマンスのみを分析し、その内部構造や結果に至った経緯は分析しなかった。NISTは、そのソフトウェアが特定のユースケースに適しているかどうかについての推奨はしていない。
Hanaoka said that the report offers a few initial findings:	Hanaoka氏によれば、この報告書はいくつかの最初の発見を提供している：
・There is no single standout algorithm, and a given algorithm’s accuracy is influenced by image quality, gender, region of birth, the age of the person in the photograph, and interactions among these factors. The algorithms all have their own sensitivities with certain demographic groups; an algorithm that performs well on certain groups can perform poorly on others .	・あるアルゴリズムの精度は、画質、性別、出生地域、写真に写っている人物の年齢、そしてこれらの要因の相互作用に影響される。アルゴリズムはすべて、特定の人口統計学的グループに対して独自の感度を持ち、特定のグループに対して良好な性能を発揮するアルゴリズムが、他のグループに対しては低い性能を発揮することもある。
・Unsurprisingly, AEV software has improved in the decade since the previous report. When making age estimates on the common database of visa photos (which was used in 2014 as well as in the current study), the algorithms’ mean absolute error has decreased from 4.3 to 3.1 years. Five of the six algorithms outperform the most accurate algorithm submitted in 2014. .	・当然のことながら、AEVソフトウェアは前回の報告から10年の間に改善された。ビザ写真の共通データベース（今回の調査と同様に2014年にも使用された）で年齢推定を行った場合、アルゴリズムの平均絶対誤差は4.3歳から3.1歳に減少した。6つのアルゴリズムのうち5つが、2014年に提出された最も正確なアルゴリズムを上回っている。
・Error rates were almost always higher for female faces than for males. This was also true for the algorithms evaluated in 2014, but the underlying reasons are unknown.	・誤差率はほとんど常に、男性よりも女性の顔の方が高かった。これは2014年に評価されたアルゴリズムでも同様であったが、根本的な理由は不明である。
The testing program is designed to be ongoing, and the study authors are accepting new algorithm submissions on a rolling basis. The team plans to release updates to this first round of results on its website once every four to six weeks, Hanaoka said.	このテストプログラムは継続的に実施されるよう設計されており、研究認可者は新しいアルゴリズムの提出を随時受け付けている。研究チームは、この第一ラウンドの結果の更新を4～6週間に一度、ウェブサイトで発表する予定だとHanaoka氏は述べた。
“We anticipate rapid change in the AEV software field, and we intend to update and expand our test methods in the near future,” she said. “We plan to ask the algorithms to answer additional questions, such as whether better performance is possible if a prior photo of the same person is available. We also are planning to expand and diversify the databases of photos as well to better cover applications like online safety.”	「AEVソフトウェアの分野では急速な変化が予想されるため、近い将来、テスト方法を更新し、拡張するつもりです」と彼女は語った。「例えば、同じ人物の過去の写真がある場合、より良いパフォーマンスが可能かどうかなどである。また、オンライン安全などの用途をよりよくカバーするために、写真のデータベースを拡張し、多様化することも計画している。

・2024.05.30 [PDF] NIST IR 8525 Face Analysis Technology Evaluation: Age Estimation and Verification

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
Motivation	動機
Age assurance is the subject of recent legislation both inside and outside the United States. This has driven the need for age assurance methods to support applications such as verification that a person is above age 18, 21, or other key ages (e.g., for sale of alcohol or online access). While the mechanism for estimating age may not be specified in legislation, software-based face analysis is one potential approach supported by ubiquitous inexpensive cameras. Age estimation can operate statelessly with no requirement for persistent storage of a photo or biometric data derived from it.	年齢保証は、米国内外で最近法制化の対象となっている。このため、18歳以上、21歳以上、またはその他の重要な年齢（例えば、アルコールの販売やオンラインアクセス）であることの検証などのアプリケーションをサポートする年齢保証方法の必要性が高まっている。年齢を推定するメカニズムは法律で規定されていないかもしれないが、ソフトウェアベースの顔分析は、どこにでもある安価なカメラでサポートされる潜在的なアプローチの1つである。年齢推定は、写真やそれに由来する生体データの永続的な保存を必要とせず、ステートレスで動作することができる。
Overview	概要
Age assurance applications can employ either an age verification (AV) algorithm that produces a yes/no guess at whether someone is above an age threshold, or an age estimation (AE) algorithm that emits a numeric age estimate that can be compared with the age threshold i.e. AV can be implemented with AE, or it can be computed without explicit AE.	年齢保証アプリケーションは、誰かが年齢しきい値を超えているかどうかを「はい／いいえ」で推測する年齢検証（AV）アルゴリズム、または年齢しきい値と比較できる年齢推定値を数値で出力する年齢推定（AE）アルゴリズムのいずれかを採用することができる。
This report quantifies the capability of six software-based AE and AV prototypes applied to around eleven million photos drawn from four operational repositories: immigration visas, arrest mugshots, border crossings, and immigration office photos. The report includes statements of age estimation (AE) accuracy globally and across demographic groups. It uses AE with thresholds to measure performance in age verification tasks and also reports the dependence on image quality. The report excludes performance measured in interactive sessions, in which a person can cooperatively present and re-present to a camera. It does not measure accuracy effects related to disguises, cosmetics, or other presentation attacks. It does not address policy nor recommend AV thresholds as these differ across applications and jurisdictions.	本報告書では、6つのソフトウェアベースのAEとAVのプロトタイプを、入国ビザ、逮捕者の顔写真、国境通過、入国管理局の写真という4つの運用リポジトリから収集した約1100万枚の写真に適用し、その能力を定量化した。この報告書には、世界全体および人口統計グループ全体における年齢推定（AE）の精度に関する記述が含まれている。また、年齢検証タスクのパフォーマンスを測定するために閾値付きAEを使用し、画質への依存性も報告している。本報告書では、人がカメラに向かって協調的に提示・再提示を行う対話型セッションで測定された性能は除外している。また、変装、化粧品、その他の提示攻撃に関する精度効果は測定していない。AVの閾値は用途や管轄によって異なるため、本報告書では政策や推奨は行っていない。
Audience	想定読者
This report is of primary utility to actual and prospective deployers of the technology faced with selection of particular AE implementations. It is additionally intended to inform policymakers interested in assessing absolute capability and whether that is sufficient for particular use-cases. The report will be useful to developers in exposing factor affecting performance and in documenting capability relative to other prototypes. This report is a snapshot; the AEV benchmark remain opens for new and returning developers as a means to track technological gains.	本報告書は、特定の AE 実装の選択に直面している、実際に技術を導入している、または導入を検討している企業にとって、第一に有用である。さらに、絶対的な性能の評価と、それが特定のユースケースに十分かどうかの評価に関心を持つ政策立案者にも情報を提供することを意図している。この報告書は、性能に影響を与える要因を明らかにし、他のプロトタイプとの相対的な能力を文書化する上で、開発者にとって有用である。本レポートはスナップショットである。AEVベンチマークは、技術的進歩を追跡する手段として、新規開発者や復帰した開発者のために開かれている。
Results	結果
Age estimation accuracy has improved since we first measured it in 2014 - see NISTIR 7995. However, for both age estimation (e.g., MAE) and metrics appropriate to “challenge” that require alternative means of age assurance if age is not above some limit, accuracy is strongly influenced by algorithm, sex, image quality, region-of-birth, age itself, and interactions between those factors. There is no uniformly superior algorithm, and algorithm rankings differ across those factors. Accuracy also depends on the metric: age estimation error vs. challenge-25-like false positive rates. Given variation across demographic groups, we anticipate developers improving capability over time. Future FATE AEV reports will address online safety applications (for 13-16 year olds), report on new datasets, and include extended analyses. Detailed results follow in the Technical Summary.	年齢推定精度は、2014年に初めて測定して以来改善されている（NISTIR 7995を参照）。しかしながら、年齢推定（例えばMAE）、および年齢がある限界値を超えていない場合に年齢保証の代替手段を必要とする「チャレンジ」に適した測定基準の両方において、精度はアルゴリズム、性別、画質、出生地域、年齢そのもの、およびこれらの要因間の相互作用に強く影響される。一様に優れたアルゴリズムは存在せず、アルゴリズム・ランキングはこれらの要因によって異なる。精度はまた、年齢推定誤差対チャレンジ25のような偽陽性率という指標にも依存する。人口統計グループ間のばらつきを考慮すると、開発者は時間の経過とともに能力を改善していくと予想される。今後のFATE AEV報告書では、オンライン安全アプリケーション（13～16歳向け）を取り上げ、新しいデータセットを報告し、拡張分析を含める予定である。詳細な結果は技術要約に続く。

目次...図表...

Executive Summary	エグゼクティブサマリー
Technical Summary	テクニカル・サマリー
1. Introduction	1. 序文
1.1. Role of AEV Technology	1.1. AEV技術の役割
1.2. Age Estimation is Not Face Recognition	1.2. 年齢推定は顔認識ではない
1.3. Scope	1.3. 適用範囲
1.4. The Technical Challenge	1.4. 技術的課題
2. Performance Metrics	2. パフォーマンス指標
2.1. Mean Absolute Error	2.1. 平均絶対誤差
2.2. Median Absolute Error	2.2. 絶対誤差の中央値
2.3. Standard deviation	2.3. 標準偏差
2.4. Accuracy	2.4. 精度
2.5. Inequities Across Demographic Groups	2.5. 人口統計グループ間の不公平
2.6. Challenge-T	2.6. チャレンジT
2.6.1. False Positive Rate	2.6.1. 偽陽性率
2.6.2. False Negative Rate	2.6.2. 偽陰性率
2.6.3. Ineffectiveness	2.6.3. 無効率
2.6.4. Inconvenience	2.6.4. 不都合
3. Datasets	3. データセット
3.1. Visa Images	3.1. ビザ画像
3.2. Mugshot Images	3.2. 顔写真画像
3.3. Application Images	3.3. 申請画像
3.4. Border Crossing Images	3.4. 国境通過イメージ
3.5. Kalina Everyday	3.5. カリーナの日常
4. Algorithms	4. アルゴリズム
5. Results	5. 結果
5.1. Age Estimation Improvements Since 2014	5.1. 2014年以降の年齢推定改善
5.2. Comparing Algorithms	5.2. アルゴリズムの比較
5.3. Challenge Age Analysis	5.3. チャレンジ年齢分析
5.3.1. Age Verification vs. Age Estimation	5.3.1. 年齢検証 vs 年齢推定
5.4. Demographic Analysis	5.4. 人口統計分析
5.4.1. Fitzpatrick Skin Type	5.4.1. フィッツパトリック肌タイプ
5.4.2. Empirical results	5.4.2. 実証結果
5.5. Children	5.5. 子供
5.6. Image Quality	5.6. 画質
5.6.1. Effect of Eyeglasses	5.6.1. 眼鏡の影響
6. References	6. 参考文献
Appendix A. Detailed Algorithm Results	附属書A. アルゴリズムの詳細結果
A.1. Age Estimation Performance by Age	A.1. 年齢別の年齢推定パフォーマンス
A.2. Age Estimation Performance Across Demographics	A.2. 人口統計全体における年齢推定パフォーマンス
A.3. Challenge Age	A.3. チャレンジ年齢
List of Tables	表のリスト
Table 1. Overall Accuracy	表1. 全体的な精度
Table 2. False positive rate (FPR) for Challenge-25,28,31	表2. チャレンジ-25,28,31の偽陽性率（FPR）
Table 3. Challenge-25 FPR for Application images	表3. アプリケーション画像に対するチャレンジ25のFPR
Table 4. Challenge-28 FPR for Application images	表4. アプリケーション画像に対するチャレンジ28のFPR
Table 5. Challenge-25 FPR men aged 17, Application images	表5. チャレンジ25のFPR：男性17歳、アプリケーション画像
Table 6. Challenge-25 FPR men aged 17, Application images	表6. チャレンジ25のFPR：男性17歳、アプリケーション画像
Table 7. Application images, ineffectiveness	表7. アプリケーションのイメージ：効果なし
Table 8. Application images, inconvenience	表8. アプリケーションのイメージ：不便さ
Table 9. Datasets	表9. データセット
Table 10.Participant information	表10.参加者情報
Table 11.Algorithm resource requirements	表11.アルゴリズムのリソース要件
Table 12.2014 study MAE	表12.2014年研究のMAE
Table 13.MAE by sex, dataset	表13.性別MAE、データセット
Table 14.False positive rates (FPR) age 14 to 17 estimated over 25	表14.偽陽性率（FPR）14～17歳、推定25歳以上
Table 15.False positive rate (FPR) age 14 to 20 estimated 28 or more	表15.偽陽性率（FPR）14～20歳（推定28歳以上
Table 16.Challenge Age	表16.チャレンジ年齢
Table 17.False positive rates (FPR) age 14 to 17 estimated over 25 AE vs AV	表17.偽陽性率（FPR） 14～17歳推定25歳以上 AE vs AV
Table 18.Challenge-25 FPR, Application images	表18.チャレンジ25のFPR、アプリケーション画像
Table 19.AE Performance in Children	表19.子供のAE性能
Table 20.Age Estimation Performance by Age	表20.年齢別の推定性能
Table 21.Mean raw error by demographic, Application images, dermalog-001	表21.人口統計別の平均絶対誤差：アプリケーション画像：dermalog-001
Table 22.Mean raw error by demographic, Application images, incode-000	表22.人口統計別の平均絶対誤差：アプリケーション画像：incode-000
Table 23.Mean raw error by demographic, Application images, neurotechnology-000	表23.人口統計別の平均絶対誤差：アプリケーション画像：neurotechnology-000
Table 24.Mean raw error by demographic, Application images, roc-000	表24.人口統計別の平均絶対誤差：アプリケーション画像：roc-000
Table 25.Mean raw error by demographic, Application images, unissey-001	表25.人口統計別の平均絶対誤差：アプリケーション画像： Unissey-001
Table 26.Mean raw error by demographic, Application images, yoti-001	表26.人口統計別の平均絶対誤差：アプリケーション画像： yoti-001
Table 27.Mean absolute error by demographic, Application images, dermalog-001	表27.人口統計別の平均絶対誤差：アプリケーション画像： dermalog-001
Table 28.Mean absolute error by demographic, Application images, incode-000	表28.人口統計別の平均絶対誤差：アプリケーション画像： incode-000
Table 29.Mean absolute error by demographic, Application images, neurotechnology-000	表29.人口統計別の平均絶対誤差：アプリケーション画像： neurotechnology-000
Table 30.Mean absolute error by demographic, Application images, roc-000	表30.人口統計別の平均絶対誤差：アプリケーション画像： roc-000
Table 31.Mean absolute error by demographic, Application images, unissey-001	表31.人口統計別の平均絶対誤差：アプリケーション画像： Unissey-001
Table 32.Mean absolute error by demographic, Application images, yoti-001	表32.アプリケーション画像の属性別平均絶対誤差，yoti-001
Table 33.Challenge-25 accept rate, Application images, dermalog-001	表33.チャレンジ25の受入率，アプリケーション画像，dermalog-001
Table 34.Challenge-25 accept rate, Border images, dermalog-001	表34.チャレンジ25の受入率：ボーダー画像，dermalog-001
Table 35.Challenge-25 accept rate, Application images, incode-000	表35.チャレンジ25の受入率：アプリケーション画像，incode-000
Table 36.Challenge-25 accept rate, Border images, incode-000	表36.チャレンジ25の受入率：ボーダー画像、incode-000
Table 37.Challenge-25 accept rate, Application images, neurotechnology-000	表37.チャレンジ25の受入率：応用画像神経技術-000
Table 38.Challenge-25 accept rate, Border images, neurotechnology-000	表38.チャレンジ25の受入率：ボーダー画像、neurotechnology-000
Table 39.Challenge-25 accept rate, Application images, roc-000	表39.チャレンジ25の受入率：アプリケーション画像 roc-000
Table 40.Challenge-25 accept rate, Border images, roc-000	表40.チャレンジ25の受入率：国境画像 roc-000
Table 41.Challenge-25 accept rate, Application images, unissey-001	表41.チャレンジ25の受入率：アプリケーション画像 unissey-001
Table 42.Challenge-25 accept rate, Border images, unissey-001	表42.チャレンジ25の受入率：ボーダー画像、unissey-001
Table 43.Challenge-25 accept rate, Application images, yoti-001	表43.チャレンジ25の受入率：アプリケーション画像、yoti-001
Table 44.Challenge-25 accept rate, Border images, yoti-001	表44.チャレンジ25の受入率：ボーダー、yoti-001
List of Figures	図一覧
Fig. 1. Longitudinal variation	図1. 縦方向の変化
Fig. 2. Short term variation images	図2. 短期変動画像
Fig. 3. Short term variation plots	図3. 短期変動プロット
Fig. 4. Examples of mugshot images used in the evaluation. Image source: NIST Special Database 32: Multiple Encounter Deceased Subjects (MEDS)	図4. 評価に使用した顔写真画像の例。画像ソース NIST特殊データベース32：複数遭遇死者（MEDS）
Fig. 5. The figure gives simulated samples of application type image used in the evaluation. Image sources: Authors	図5. 評価に用いたアプリケーション型画像の模擬サンプルを示す図である。画像ソース認可
Fig. 6. The figure gives simulated samples of border type images used in the evaluation. The ages are 18yr 4mo, 41yr 3mo, and 52yr 2mo. Image sources: Author (right) and NIST Special Database 32 the Multiple Encounter Deceased Subjects dataset	図6. 図6は、評価に使用したボーダータイプの画像のシミュレーション・サンプルである。年齢は18歳4ヶ月、 41歳3ヶ月、52歳2ヶ月である：画像ソース：認可（右）、NIST Special Database 32 the Multiple Encounter Deceased Subjects dataset
Fig. 7. Cumulative accuracy vs. Absolute age estimation error	図7. 累積精度対絶対年齢推定誤差
Fig. 8. Age estimation comparison with 2014 algorithms	図8. 2014年アルゴリズムとの年齢推定比較
Fig. 9. Challenge-T plot, Application images, age 17	図9. チャレンジ-Tプロット：アプリケーション画像：17歳
Fig. 10. Challenge-T plot, Mugshot images, age 17	図10. チャレンジTプロット：顔写真画像：17歳
Fig. 11. Countries and regions used in quantifying demographic dependence on race. The fine-grained or local ethnicities shown at left are not available to us. The right-most grouping is possible but not useful	図11. 人種による人口統計学的依存性を定量化するために使用した国と地域。左側に示されている細かな民族や地域的な民族は、われわれには利用できない。一番右のグループ分けは可能だが、役に立たない。
Fig. 12. Best and worst AE demographic groups dermalog-001	図12. 最良と最悪のAE人口統計グループ dermalog-001
Fig. 13. Best and worst AE demographic groups dermalog-001	図13. 最高と最低のAE人口統計グループ dermalog-001
Fig. 14. Best and worst AE demographic groups incode-000	図14. AE人口統計学的ベスト・ワースト群 incode-000
Fig. 15. Best and worst AE demographic groups incode-000	図15. AE人口統計学的グループのベストとワースト incode-000
Fig. 16. Best and worst AE demographic groups neurotechnology-000	図 16. ベストとワーストのAE人口統計グループ neurotechnology-000
Fig. 17. Best and worst AE demographic groups neurotechnology-000	図17．ベストとワーストのAE人口統計グループ neurotechnology-000
Fig. 18. Best and worst AE demographic groups roc-000	図18．ベストとワーストのAE人口統計グループ roc-000
Fig. 19. Best and worst AE demographic groups roc-000	図19. AE人口統計学的ベスト・ワーストグループ roc-000
Fig. 20. Best and worst AE demographic groups unissey-001	図20. AE人口統計学的ベスト・ワースト群 unissey-001
Fig. 21. Best and worst AE demographic groups unissey-001	図21. AE人口統計学的ベストグループとワーストグループ unissey-001
Fig. 22. Best and worst AE demographic groups yoti-001	図22. ベストとワーストのAE人口統計グループ yoti-001
Fig. 23. Best and worst AE demographic groups yoti-001	図23. ベストとワーストのAE人口統計グループ yoti-001
Fig. 24. Effect of reduced capture constraints	図24. 捕獲制約の低減の効果
Fig. 25. Mean raw age estimation error for border crossing subjects for whom we have images with and without eyeglasses	図25. 眼鏡の有無にかかわらず、国境を越えた被験者の年齢推定誤差の平均値。
Fig. 26. Difference in age estimation error for border crossing subjects with and without eyeglasses	図26. 眼鏡の有無による年齢推定誤差の違い
Fig. 27. Acceptance vs Challenge Age Dermalog 001	図27. 受入年齢と挑戦年齢の比較 Dermalog 001
Fig. 28. Acceptance vs Challenge Age Incode 000	図28. 受入年齢と挑戦年齢の比較 Incode 000
Fig. 29. Acceptance vs Challenge Age Neurotechnology 000	図29. 受入年齢と挑戦年齢の比較 Neurotechnology 000
Fig. 30. Acceptance vs Challenge Age ROC 000	図30. 受入年齢と挑戦年齢の比較 ROC 000
Fig. 31. Acceptance vs Challenge Age Unissey 001	図31. 受入年齢と挑戦年齢の比較 Unissey 001

2024.06.01 00:00 in 個人情報保護 / プライバシー, in AI/Deep Learning | Permalink | Comments (0)
Tweet

サイト内検索

Recent Posts

Recent Comments

Recent Trackbacks

連載 (ITmedia)

ウェブページ

June 2024

2024.06.30

2024.06.29

2024.06.28

2024.06.27

2024.06.26

2024.06.25

2024.06.24

2024.06.23

2024.06.22

2024.06.21

2024.06.20

2024.06.19

2024.06.18

2024.06.17

2024.06.16

2024.06.15

2024.06.14

2024.06.13

2024.06.12

2024.06.11

2024.06.10

2024.06.09

2024.06.08

2024.06.07

Q4. 選挙に向けたEUの虚偽情報対策について教えください。

2024.06.06

2024.06.05

2024.06.04

2024.06.03

2024.06.02

2024.06.01

ココログ

まるちゃん

関連団体

情報法関連Blog

情報法 Web

セキュリティ Blog

セキュリティ web

内部統制