パブコメ: まるちゃんの情報セキュリティ気まぐれ日記

パブコメ

2025.01.28

総務省 意見募集 「eシールに係る認定制度の関係規程策定のための有識者会議取りまとめ(案)」及び 「eシールに係る認証業務の認定に関する規程(案)」

こんにちは、丸山満彦です。

総務省が、「eシールに係る認定制度の関係規程策定のための有識者会議取りまとめ(案)」及び 「eシールに係る認証業務の認定に関する規程(案)」を公表し、意見募集をしていますね...

eシールは会社印のようなもので、欧州ではeIDASの中で電子シールとして規定されているものですね...日本でもその制度化に向けて動き出しているというところです...

紙で社印をおしていた文書が電子化されるとeシールをついたデータということだと思いますが、紙と異なり電子だとそれが本物だということを証明するのに、少し手間がかかりますね。。。それでも、紙に印刷して社印を押すという作業と比較すれば、ずいぶんと時間とコストの削減にはなると思うんですけどね...

eシールがついたデータは出所又は起源がわかり、そのデータが改変が行われていないことがわかるということですよね...

 

PKIの監査については、ちゃんとしたルールを作った方が良いですよね...一般的に認定のための確認作業についての一定のルールが必要だと思うんですよね...WebTrustのような...

できれば、保証水準に段階があればよいと思います...

 

eシール認証業務の認定基準は総務省告示の予定です...

告示の根拠は、総務省設置法4条第1項第60号の規定

58 符号、音響、影像その他の情報の電磁的方式による発信、伝送又は受信(以下「情報の電磁的流通」という。)のための有線又は無線の施設の設置及び使用の規律並びにこれらの施設の整備の促進に関すること。
59 国際放送その他の本邦と外国との間の情報の電磁的流通の促進に関すること。
60 前二号に掲げるもののほか、情報の電磁的流通の規律及び振興に関すること。

ということのようです...

 

総務省

・2025.01.27 「eシールに係る認定制度の関係規程策定のための有識者会議取りまとめ(案)」及び 「eシールに係る認証業務の認定に関する規程(案)」に対する意見募集

意見募集対象ですが...

 

別紙1「eシールに係る認定制度の関係規程策定のための有識者会議取りまとめ(案)」

20250128-54432

 

別紙2 「eシールに係る認証業務の認定に関する規程(案)」

20250128-54714

 

 

eシールに係る認定制度の関係規程策定のための有識者会議

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.07.12 総務省 「ICTサイバーセキュリティ政策の中期重点方針」(案)に対する意見募集 (2024.07.01)

・2024.04.23 総務省 「eシールに係る検討会 最終取りまとめ」、「eシールに係る指針(第2版)」及び意見募集の結果の公表 (2024.04.16)

・2023.04.13 総務省 我が国におけるeシールサービスの状況等に関する情報提供依頼

・2020.12.06 ENISA 第19条専門家グループ第16回会合:eIDAS監督機関等の53名の専門家が信託サービスのセキュリティとインシデント報告に関する情報を交換

・2020.11.13 JIPDEC 第98回JIPDECセミナー 「eシールとは? —内外での活用状況からJIPDECの取組みまで」資料公開

・2020.04.21 会社認印電子版?=>総務省 組織が発行するデータの信頼性を確保する制度に関する検討会


 

Continue reading "総務省 意見募集 「eシールに係る認定制度の関係規程策定のための有識者会議取りまとめ(案)」及び 「eシールに係る認証業務の認定に関する規程(案)」"

| | Comments (0)

2025.01.26

米国 NIST IR 8374 Rev.1(初期公開ドラフト)ランサムウェアのリスクマネジメント: サイバーセキュリティフレームワーク2.0コミュニティ (2025.01.13)

こんにちは、丸山満彦です。

NISTが、サイバーセキュリティフレームワーク Ver. 2.0 を利用したコミュニティプロファイルを公表し、意見募集をしていますね...

ランサムウェア対策についてのポイントは次のように考えているようです...

  1. ランサムウェアの感染を避けるために従業員を教育する。
  2. ランサムウェアに悪用されるような脆弱性をシステムに持たないようにする。
  3. ランサムウェア攻撃や感染を迅速に検知し、阻止する。
  4. ランサムウェアが広がりにくくする。
  5. 将来ランサムウェアが発生した場合に、保存されている情報の復旧を容易にする。

 

NIST - ITL

・2025.01.13 Ransomware Risk Management: CSF 2.0 Community Profile | Draft NIST IR 8374r1 Available for Comment

Ransomware Risk Management: CSF 2.0 Community Profile | Draft NIST IR 8374r1 Available for Comment ランサムウェアのリスクマネジメント: CSF 2.0 コミュニティプロファイル|ドラフト NIST IR 8374r1 コメント募集中
The National Cybersecurity Center of Excellence (NCCoE) has published an initial public draft of NIST Interagency Report (NIST IR) 8374 Revision 1, Ransomware Risk Management: A Cybersecurity Framework 2.0 Community Profile. Organizations at home and abroad use NIST IR 8374 to guard against ransomware. We are seeking your feedback on the publication’s contents and the future direction of NIST’s ransomware guidance. 国立サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)は、NIST Interagency Report(NIST IR)8374 Revision 1「ランサムウェアのリスクマネジメント」の初期公開ドラフトを公表した:サイバーセキュリティフレームワーク2.0 コミュニティプロファイル」である。国内外の組織がランサムウェア対策にNIST IR 8374を利用している。本書の内容およびNISTのランサムウェア・ガイダンスの今後の方向性について、皆様からのご意見を募集している。
NIST IR 8374 reflects changes made to the Cybersecurity Framework (CSF) from CSF 1.1 to CSF 2.0 which identifies security objectives that support managing, detecting, responding to, and recovering from ransomware events. Ransomware can attack organizations of all sizes from any sector. You can use this publication to gauge your organization’s readiness to counter ransomware threats, mitigate potential consequences of a ransomware event, and to develop a ransomware countermeasure playbook. NIST IR 8374は、CSF 1.1からCSF 2.0へのサイバーセキュリティ枠組み(CSF)の変更を反映しており、ランサムウェアイベントの管理、検知、対応、復旧をサポートするセキュリティ目標を特定している。ランサムウェアは、あらゆる業種のあらゆる規模の組織を攻撃する可能性がある。本書は、ランサムウェアの脅威に対抗するための組織の準備態勢を評価し、ランサムウェアイベントの潜在的な影響を緩和し、ランサムウェア対策プレイブックを作成するために使用できる。

 

・2025.01.13 NIST IR 8374 Rev. 1 (Initial Public Draft) Ransomware Risk Management: A Cybersecurity Framework 2.0 Community

NIST IR 8374 Rev. 1 (Initial Public Draft) Ransomware Risk Management: A Cybersecurity Framework 2.0 Community NIST IR 8374 Rev.1(初期公開ドラフト)ランサムウェアのリスクマネジメント: サイバーセキュリティフレームワーク2.0コミュニティ
Announcement 発表
This draft Ransomware Community Profile reflects changes made to the Cybersecurity Framework (CSF) from CSF 1.1 to CSF 2.0 which identifies security objectives that support managing, detecting, responding to, and recovering from ransomware events. Ransomware can attack organizations of all sizes from any sector. You can use this publication to gauge your organization’s readiness to counter ransomware threats, mitigate potential consequences of a ransomware event, and to develop a ransomware countermeasure playbook. このランサムウェアコミュニティプロファイルのドラフトは、ランサムウェアイベントの管理、検知、対応、回復をサポートするセキュリティ目標を特定するサイバーセキュリティフレームワーク(CSF)1.1からCSF2.0への変更を反映している。ランサムウェアは、あらゆる業種のあらゆる規模の組織を攻撃する可能性がある。本書は、ランサムウェアの脅威に対抗するための組織の準備態勢を評価し、ランサムウェアイベントの潜在的な影響を緩和し、ランサムウェア対策プレイブックを作成するために使用できる。
Per the "Note to Reviewers" starting on line 104 of the draft, NIST is interested in answers to the following questions: ドラフトの104行目から始まる「査読者への注記」によると、NISTは以下の質問に対する回答に関心を示している:
1. What elements of this Community Profile have been helpful? 1. このコミュニティプロファイルのどのような要素が役に立ったか?
2. Where could this Community Profile be improved? 2. このコミュニティプロファイルのどこを改善できるか?
3. Are supplemental documents, such as quick start guides, useful? If so, how? If not, why? 3. クイック・スタート・ガイドなどの補足資料は有用か。役立つとすれば、どのように役立つか?そうでない場合、その理由は?
4. What type of prioritization would be most helpful? Control baselines? high/medium/low criticality? Mapping to specific organizational outcomes? Other? 4. どのような優先順位付けが最も有用か。管理ベースライン、重要度の高・中・低?特定の組織の成果へのマッピング?その他?
5. What other ransomware resources have you or your organization used to improve your ransomware risk mitigation strategy? How have those resources been helpful? 5. ランサムウェアのリスク緩和戦略を改善するために、あなたまたはあなたの組織は他にどのようなランサムウェアのリソースを利用したか?それらのリソースはどのように役立ったか?
General comments on the draft are also welcome. ドラフトに関する一般的なコメントも歓迎する。
Abstract 概要
Ransomware is a type of malicious attack where attackers encrypt an organization’s data and demand payment to restore access. Attackers may also steal an organization’s information and demand an additional payment in return for not disclosing the information to authorities, competitors, or the public. This Cybersecurity Framework (CSF) 2.0 Community Profile identifies the security objectives from the NIST CSF 2.0 that support governing management of, identifying, protecting against, detecting, responding to, and recovering from ransomware events. The Profile can be used as a guide to managing the risk of ransomware events. That includes helping to gauge an organization’s level of readiness to counter ransomware threats and to deal with the potential consequences of events. This Profile can be leveraged in developing a ransomware countermeasure playbook. ランサムウェアは、攻撃者が組織のデータを暗号化し、アクセスを回復するために支払いを要求する悪意のある攻撃の一種である。攻撃者はまた、組織の情報を盗み出し、当局、競合他社、または公衆に情報を開示しない見返りとして、追加の支払いを要求することもある。このサイバーセキュリティフレームワーク(CSF)2.0コミュニティプロファイルは、ランサムウェアイベントの管理、識別、防御、検知、対応、回復をサポートするNIST CSF 2.0のセキュリティ目標を特定するものである。このプロファイルは、ランサムウェアのリスクをマネジメントするためのガイドとして利用できる。これには、ランサムウェアの脅威に対抗し、イベントの潜在的な結果に対処するための組織の準備態勢のレベルを測定するのに役立つことも含まれる。このプロファイルは、ランサムウェア対策プレイブックを作成する際に活用できる。

 

・[PDF] NIST.IR.8374r1.ipd

20250126-53230

 

 

目次...

1. Introduction 1. 序文
1.1 The Ransomware Challenge 1.1 ランサムウェアの課題
1.2 Basic Ransomware Tips 1.2 ランサムウェアの基本的なヒント
2. The Ransomware Community Profile  2. ランサムウェア・コミュニティ・プロファイル
Appendix A. Additional NIST Ransomware Resources  附属書 A. その他の NIST ランサムウェアリソース

 

ランサムウェアに関する基本的なヒント

BASIC RANSOMWARE TIPS ランサムウェアに関する基本的なヒント
Even without undertaking all the measures described in this Ransomware Community Profile, there are some basic preventative steps that an organization can take now to protect against and recover from the ransomware threat. These include:  このランサムウェアコミュニティプロファイルに記載されているすべての対策を実施しなくても、ランサムウェアの脅威から保護し、回復するために組織が今すぐ実施できる基本的な予防策がいくつかある。以下がその例である: 
1. Educate employees on avoiding ransomware infections.  1. ランサムウェアの感染を避けるために従業員を教育する。 
• Don’t open files or click on links from unknown sources unless you first run an antivirus scan or look at links carefully.  - まずウイルス対策スキャンを実行したり、リンクを注意深く見たりしない限り、不明なソースからのファイルを開いたり、リンクをクリックしたりしないこと。 
• Avoid using personal websites and personal apps – like email, chat, and social media – from work computers.  - 個人のウェブサイトや個人用アプリ(電子メール、チャット、ソーシャルメディアなど)を業務用コンピュータから使用しないようにする。
• Don’t connect personally owned devices to work networks without prior authorization.  - 事前の認可なしに、個人所有のデバイスを職場のネットワークに接続しない。 
2. Avoid having vulnerabilities in systems that ransomware could exploit.  2. ランサムウェアに悪用されるような脆弱性をシステムに持たないようにする。 
• Keep relevant systems fully patched. Run scheduled checks to identify available patches and install these as soon as feasible.  - 関連システムのパッチを完全に適用しておく。利用可能なパッチを特定するために定期的なチェックを行い、可能な限り早急にパッチをインストールする。 
• Employ zero trust principles in all networked systems. Manage access to all network functions, and segment internal networks where practical to prevent malware from proliferating among potential target systems.  - すべてのネットワークシステムでゼロトラスト原則を採用する。すべてのネットワーク機能へのアクセスを管理し、潜在的な標的システム間でマルウェアが拡散するのを防ぐため、現実的な場合には内部ネットワークをセグメント化する。 
• Allow installation and execution of authorized apps only. Configure operating systems and/or thirdparty software to run only authorized applications. This can also be supported by adopting a policy for reviewing, then adding or removing authorized applications on an allow list.  - 認可されたアプリケーションのインストールと実行のみを許可する。認可されたアプリケーションのみを実行するように、オペレーティング・システムやサードパーティ製ソフトウェアを設定する。これは、許可リストで許可されたアプリケーションをレビューし、追加または削除するポリシーを採用することでも対応できる。
• Inform your technology vendors of your expectations (e.g., in contract language) that they will apply measures that discourage ransomware attacks.  - テクノロジーベンダーに、ランサムウェア攻撃を阻止する対策を適用することを期待する旨を(契約文言などで)伝える。 
3. Quickly detect and stop ransomware attacks and infections.  3. ランサムウェア攻撃や感染を迅速に検知し、阻止する。 
• Use malware detection software, such as antivirus software at all times. Set it to automatically scan emails and flash drives.  - ウイルス対策ソフトなどのマルウェア検知ソフトを常時使用する。電子メールやフラッシュドライブを自動的にスキャンするように設定する。 
• Continuously monitor directory services (and other primary user stores) for indicators of compromise or active attack.  - ディレクトリ・サービス(およびその他のプライマリ・ユーザー・ストア)を継続的に監視し、侵害や活発な攻撃の兆候がないか確認する。 
• Block access to untrusted web resources. Use products or services that block access to server names, IP addresses, or ports and protocols that are known to be malicious or suspected to be indicators of malicious system activity. This includes using products and services that provide integrity protection for the domain component of addresses (e.g., hacker@poser.com).  - 信頼できないWebリソースへのアクセスをブロックする。悪意のあることが知られている、または悪意のあるシステム活動の指標であると疑われるサーバー名、IPアドレス、ポートおよびプロトコルへのアクセスをブロックする製品やサービスを使用する。これには、アドレスのドメイン・コンポーネントに完全性保護を提供する製品やサービス(例:hacker@poser.com)を使用することも含まれる。
4. Make it harder for ransomware to spread.  4. ランサムウェアが広がりにくくする。 
• Use standard user accounts with multi-factor authentication versus accounts with administrative privileges whenever possible.  - 可能な限り、管理者権限を持つアカウントではなく、多要素認証を持つ標準ユーザーアカウントを使用する。 
• Introduce authentication delays or configure automatic account lockout as a defense against automated attempts to guess passwords.  - パスワードを推測する自動的な試みに対する防御として、認証の遅延を導入するか、自動的なアカウントのロックアウトを設定する。 
• Assign and manage credential authorization for all enterprise assets and software and periodically verify that each account has only the necessary access following the principle of least privilege.  - すべてのエンタープライズ資産とソフトウェアに対してクレデンシャルの認可を割り当てて管理し、最小特権の原則に従って、各アカウントが必要なアクセス権のみを持っていることを定期的に検証する。 
• Store data in an immutable format (so that the database does not automatically overwrite older data when new data is made available).  - データを不変形式で保存する(新しいデータが利用可能になったときに、データベースが古いデータを自動的に上書きしないようにする)。 
• Allow external access to internal network resources via secure virtual private network (VPN) connections only.  - 安全な仮想プライベートネットワーク(VPN)接続経由でのみ、内部ネットワークリソースへの外部アクセスを許可する。 
5. Make it easier to recover stored information from a future ransomware event.  5. 将来ランサムウェアが発生した場合に、保存されている情報の復旧を容易にする。 
• Make an incident recovery plan. Develop, implement, and regularly exercise an incident recovery plan with defined roles and strategies for decision making. This can be part of a continuity of operations plan. The plan should identify mission-critical and other business-essential services to enable recovery prioritization, and business continuity plans for those critical services.  - インシデント復旧計画を立てる。意思決定のための役割と戦略を明確にしたインシデント復旧計画を策定し、実施し、定期的に実施する。これは、事業継続計画の一部とすることができる。この計画では、復旧の優先順位付けを可能にするために、ミッションクリティカルなサービスやその他のビジネスに不可欠なサービスを特定し、それらの重要なサービスの事業継続計画を策定する。 
• Back up data, secure backups, and test restoration. Carefully plan, implement, and test a data backup and restoration strategy—and secure and isolate backups of important data.  - データのバックアップ、バックアップのセキュリティ確保、リストアのテストを行う。データのバックアップとリストア戦略を慎重に計画、実施、テストし、重要なデータのバックアップを安全に隔離する。 
• Keep your contacts. Maintain an up-to-date list of internal and external contacts for ransomware attacks, including law enforcement, legal counsel, and incident response resources.  - 連絡先を保持する。法執行機関、法律顧問、インシデント対応リソースなど、ランサムウェア攻撃に関する社内外の連絡先の最新リストを維持する。

 

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

CSF Ver2.0 コミュニティプロファイル関係

・2024.12.26 米国 NIST IR 8467 (第2次公開ドラフト) ゲノムデータのサイバーセキュリティとプライバシーフレームワーク コミュニティプロファイル (2024.12.16)

・2024.07.31 米国 NIST SP 800-218A 生成的AIとデュアルユース基盤モデルのための安全なソフトウェア開発プラクティス: SSDFコミュニティプロファイル

・2024.04.05 米国 意見募集 NIST SP 800-61 Rev.3(初期公開ドラフト) サイバーセキュリティリスクマネジメントのためのインシデント対応の推奨と考慮事項: CSF 2.0 コミュニティプロファイル

・2024.03.06 米国 NIST CSWP 32(初期公開ドラフト)サイバーセキュリティフレームワーク 2.0: コミュニティプロファイル作成ガイド (2024.02.26)

 

 

CSF Ver2.0 関係

・2024.04.26 NISTサイバーセキュリティフレームワークバージョン2への移行のポイントと日本語訳

・2024.02.28 米国 NIST CSWP 29 NISTサイバーセキュリティフレームワーク(CSF)2.0

 

| | Comments (0)

2025.01.11

インド デジタル個人データ保護法 2023のガイドライン「デジタル個人データ保護ルール」案についてのパブコメ (2025.01.03)

こんにちは、丸山満彦です。

インドはいろいろありながらも2023年にデジタル個人データ保護法を大統領が署名しましたが、その下位ガイドラインである、デジタル個人データ保護ルールの案に対する意見募集がされていますね...

ちょうど今、日本でも個人情報保護法のいわゆる3年ごとの見直しが行われているわけですので、各国の規制の具体的な運用に関する部分についても参考になることがあるかもですね...

 

Government of India

・2025.01.03 Draft Digital Personal Data Protection Rules, 2025

Draft Digital Personal Data Protection Rules, 2025 2025年デジタル個人データ保護規則(ドラフト)
About 概要
The Ministry of Electronics and Information Technology (MeitY) invites feedback/comments on the draft 'Digital Personal Data Protection Rules, 2025'. 電子・情報技術省(MeitY)は、「2025年デジタル個人データ保護規則(ドラフト)」に対するフィードバック/コメントを募集している。
The Digital Personal Data Protection Act, 2023 (DPDP Act) received the assent of the Hon'ble President on 11th August 2023. Now, draft subordinate legislation in form of Digital Personal Data Protection Rules, 2025 have been drafted in order to provide for necessary details and implementation framework of the Act. デジタル個人データ保護法(DPDP法)は2023年8月11日に大統領の承認を得た。現在、同法の必要な詳細および実施枠組みを規定するために、2025年デジタル個人データ保護規則という形の下位法令の草案が作成されている。
MeitY invites feedback/comments from its stakeholders on the draft Rules. The draft rules along with a explanatory notes of the rules in plain and simple language to facilitate ease of understanding are available on Ministry’s website at [web] MeitYは、規則の草案について利害関係者からのフィードバックやコメントを募集している。規則の草案は、理解を容易にするための平易でシンプルな言語による規則の注釈とともに、同省のウェブサイト [web] で入手できる。
The submissions will be held in fiduciary capacity in MeitY and shall not be disclosed to any one at any stage, enabling persons to submit feedback/comments freely without any hesitation. A consolidated summary of the feedback/comment received, without attribution to stakeholder, shall be published after the finalization of the Rules. 提出された内容はMeitYで受託者責任のもとで管理され、いかなる段階においてもいかなる者にも開示されることはないため、人々はためらいなく自由にフィードバックやコメントを提出することができる。利害関係者を特定せずに集約したフィードバック/コメントの概要は、規則の最終決定後に公表される。
The Ministry has invited feedback from the public on the draft Bill. The submissions will not be disclosed and held in fiduciary capacity, to enable persons submitting feedback to provide the same freely. No public disclosure of the submissions will be made.  同省は、法案のドラフトに対する一般からのフィードバックを募集している。提出された意見は開示されず、受託者責任のもとで保管されるため、フィードバックを提出する人は自由に意見を述べることができる。提出された意見は一般に開示されない。
The feedback/comments on the draft rules in a rule wise manner may be submitted by 18th February 2025 on MyGov portal at the link below:[web] 規則ごとのドラフト規則に関するフィードバック/コメントは、2025年2月18日までにMyGovポータル([web]
)から提出することができる。
Please Click here to view Draft Digital Personal Data Protection Rules, 2025 2025年デジタル個人データ防御規則ドラフトの閲覧はこちらをクリック
Please Click here to view Explanatory Note on Draft Digital Personal Data Protection Rules, 2025 2025年デジタル個人データ防御規則ドラフトに関する説明書の閲覧はこちらをクリック

 

デジタル個人データ保護法関連の情報...

Ministroy of Electronics & Information Technology

Data Protection Framework

Data Protection Framework データ保護枠組み
Draft Digital Personal Data Protection Rules,2025 2025年デジタル個人データ保護規則(ドラフト)
Notice_Consultation - Draft Digital Personal Data Protection Rules,2025 通知 - 2025年デジタル個人データ保護規則(ドラフト)に関する意見募集
Explanatory note to Digital Personal Data Protection Rules, 2025 2025年デジタル個人データ保護規則に関する説明書
Digital Personal Data Protection Act 2023 2023年デジタル個人データ保護法
Extension of time - Inviting feedback on the draft ‘Digital Personal Data Protection Bill, 2022’. 期限延長 - 「2022年デジタル個人データ保護法案」のドラフトに関するフィードバックの募集
Notice - Public Consultation on DPDP 2022 通知 - 2022年デジタル個人データ保護法案に関するパブリックコンサルテーション
The Digital Personal Data Protection Bill, 2022 2022年デジタル個人データ保護法案
Explanatory Note- The Digital Personal Data Protection Bill, 2022 説明書 - 2022年デジタル個人データ保護法案
Feedback on Draft Personal Data Protection Bill 個人データ保護法案のドラフトに関するフィードバック
Data Protection Committee- Report データ保護委員会 - 報告書
Personal Data Protection Bill, 2018 個人データ保護法案、2018年
Office Memorandum dated. 31.07.2017 - Constitution of a Committee of Experts to deliberate on a Data Protection framework for India 2017年7月31日付の事務メモ - インドのデータ保護枠組みを審議する専門家委員会の設置
Public consultation meeting on White Paper at Mumbai - Data Protection Framework for India ムンバイにおけるホワイトペーパーに関する公開協議会議 - インドのデータ保護枠組み
White Paper on Data Protection framework for India - Public Comments invited インドのデータ保護枠組みに関する白書 - 意見公募
Public consultation on White Paper - Data Protection Framework for India インドのデータ保護枠組みに関する白書に関するパブリックコンサルテーション
OFFICE MEMORANDUM - Constitution of a Committee of Experts to deliberate on a data protection framework for India-Nomination of Member Convener 事務所メモ - インドのデータ保護枠組みに関する専門家委員会の設立 - メンバー招集者の指名

 

 

ガイドライン案

・2025.01.03 [PDF] Draft Digital Personal Data Protection Rules, 2025

20250111-52115

・[DOCX][PDF] 仮訳

 

 

解説

・2025.01.03 [PDF] The Ministry of Electronics and Information Technology invites feedback on the draft ‘Digital Personal Data Protection Bill, 2022’.

20250111-52327

Explanatory note to Digital Personal Data Protection Rules, 2025  デジタル個人データ保護規則に関する説明書、2025年
The Digital Personal Data Protection Act, 2023 (Act) received the assent of the Hon'ble President on 11th August 2023. A draft of the Rules as envisaged under different sections of the Act have been made. The Rules provides for the necessary details and implementation framework of the Act.  デジタル個人データ保護法(2023年)は、2023年8月11日に大統領の承認を受けた。同法のさまざまな条項で想定されている規則のドラフトが作成された。規則は、同法の必要な詳細および実施枠組みを規定する。
During the drafting of Rules, certain principles used in the drafting of the Act, like using simple language, avoiding unnecessary cross referencing, providing contextual definition, and providing illustrations etc. have been followed meticulously. This explanatory note provides a brief overview of the contents of the Rules.  規則の起草にあたっては、法律の起草で用いられた一定の原則、例えば、平易な言葉を使用すること、不必要な相互参照を避けること、文脈上の定義を提供すること、図解を提供することなど、が細心の注意を払って踏襲されている。本説明書では、規則の内容について簡潔に概説する。
1. Short title and commencement: These rules, called the Digital Personal Data Protection Rules, 2025, come into force upon publication, except for rules 3 to 15, 21 and 22 which will be effective from a later date.  1. 略称および発効:本規則は「2025年デジタル個人データ保護規則」と呼ばれ、第3条から第15条、第21条、第22条を除き、公布と同時に発効する。
2. Definitions clause: The expression in the act shall have the same meaning as assigned in Act unless context otherwise requires.   2. 定義条項:本法令における表現は、文脈上別段の解釈が必要とされない限り、法令で定められた意味を有するものとする。 
3. Notice by Data Fiduciary to Data Principal: The notice provided by the Data Fiduciary to the Data Principal must be clear, standalone, and understandable, distinct from any other information shared by the Data Fiduciary. It must use simple, plain language to provide the Data Principal with a full and transparent account of the information necessary for giving informed consent for the processing of their personal data. Specifically, the notice should include, itemized list of the personal data being collected and clear description of the purpose for processing, along with an itemized explanation of the goods, services, or uses enabled by such processing.  3. データ受託者からデータ主体への通知:データ受託者がデータ主体に提供する通知は、データ受託者が共有するその他の情報とは区別された、明確かつ独立した理解可能なものでなければならない。また、データ主体が個人データの処理について十分な情報を得た上で同意を与えるために必要な情報を、データ主体にわかりやすく、透明性のある平易な言葉で提供しなければならない。具体的には、通知には収集される個人データの項目別リストと処理の目的の明確な説明、およびそのような処理によって可能になる商品、サービス、または用途の項目別説明を含めるべきである。
Additionally, the notice must provide a communication link of the Data Fiduciary’s website or app, and describe other methods (if applicable) for the Data Principal to withdraw consent easily as comparable to the process of giving consent, exercise their rights and make complaints with the Board.  さらに、通知にはデータ受託者のウェブサイトまたはアプリのコミュニケーションリンクを提供し、データ主体が同意を簡単に撤回できる他の方法(該当する場合)を、同意を与えるプロセスと同等の方法で説明し、権利を行使し、委員会に苦情を申し立てる方法を記載しなければならない。
4. Registration and obligations of a Consent Manager: Consent Manager must be a company incorporated in India with sound financial and operational capacity, having a minimum net worth of two crore rupees, a reputation for fairness and integrity in its management, and a certified interoperable platform enabling Data Principals to manage their consent.   4. 同意管理者の登録および義務:同意管理者は、健全な財務および業務能力を有し、純資産額が2億ルピー以上であり、経営陣が公正かつ誠実であるという評判があり、データ主体が同意を管理できる相互運用可能なプラットフォームを認証取得しているインド法人でなければならない。 
The application for registration is to be made to the Board. Once registered, the Consent Manager must comply with specific obligations of ensuring that Data Principals can easily give, manage, review, and withdraw consent for data processing, maintaining records of consents and data sharing, and providing transparent access to such records. The Consent Manager is also required to implement strong security measures to protect personal data, avoid conflicts of interest, and ensure transparency by publishing key management details and ownership structures. Additionally, the Board may audit the Consent Manager's operations, suspend or cancel its registration if necessary, and issue corrective directions to safeguard the interests of Data Principals.  登録申請は委員会に対して行われる。登録後は、データ管理者は、データ処理に対する同意をデータ主体が容易に付与、管理、確認、撤回できることを保証し、同意およびデータ共有の記録を維持し、そのような記録への透明性のあるアクセスを提供するという特定の義務を遵守しなければならない。また、同意管理者は、個人データを保護し、利益相反を回避し、主要な管理詳細および所有構造を公表することで透明性を確保するために、強力なセキュリティ対策を実施することが求められる。さらに、委員会は同意管理者の業務を監査し、必要に応じて登録を一時停止または取り消し、データ管理者の利益を保護するための是正指示を出すことができる。
The Consent Manager must also maintain independence, with strict rules to prevent conflicts of interest involving its directors or senior management and Data Fiduciaries. They are prohibited from subcontracting or assigning responsibilities, and they must ensure long-term compliance by regularly reviewing their operations. Any transfer of control of the Consent Manager company, such as through sale or merger, requires prior approval from the Board. Through these provisions, the regulation ensures that Consent Managers uphold high standards of transparency, security, and fiduciary duty in managing personal data.  同意管理者は、委員または上級管理職とデータ受託者間の利益相反を防止するための厳格な規則を設け、独立性を維持しなければならない。また、業務委託や責任の譲渡を禁止し、業務を定期的に確認することで、長期的なコンプライアンスを確保しなければならない。同意管理者企業の支配権の移転(売却や合併など)は、すべて理事会の事前承認を必要とする。これらの規定により、規制は、同意管理者が個人データの管理において、高い透明性、セキュリティ、受託者責任の標準を維持することを保証する。
5. Processing for provision or issue of services by the State or its instrumentality: The State and its instrumentalities may process the personal data of Data Principals to provide or issue subsidies, benefits, services, certificates, licenses, or permits, as defined under law or policy or using public funds. Processing in these cases must adhere to the specific standards outlined in Schedule II, which ensures lawful, transparent, and secure handling of personal data for such purposes.  5. 州またはその機関によるサービス提供または発行のための処理: 州およびその機関は、法律または政策で定義されている、または公的資金を使用して、補助金、給付金、サービス、証明書、ライセンス、または許可証を提供または発行するために、データ管理者の個人データを処理することができる。 これらの場合の処理は、付録2に概説されている特定の標準に従わなければならない。これにより、そのような目的のための個人データの合法的、透明性のある、安全な取り扱いが保証される。
According to Schedule II, the processing must meet several key criteria, such as ensuring that personal data is processed lawfully, for the stated purposes, and limited to the data necessary for achieving those purposes. The data must be accurate and retained only as long as necessary, while appropriate security safeguards must be in place to prevent breaches. The Data Principal should be informed about the processing, including the means to access their rights, and the processing must be done in compliance with any applicable laws. The responsible parties must be accountable for adhering to these standards.  付録2によると、処理は、個人データが合法的に、明記された目的のために、その目的達成に必要なデータに限定して処理されることを保証するなど、いくつかの重要な規準を満たさなければならない。データは正確で、必要な期間のみ保持され、漏えいを防ぐために適切なセキュリティ対策が講じられなければならない。データ管理者には、その権利へのアクセス手段を含め、処理について通知しなければならず、処理は適用法を遵守して行われなければならない。責任者は、これらの標準を遵守する責任を負う。
The aim is to ensure that personal data processing is transparent, secure, and in line with legal and policy standards, safeguarding the interests of the Data Principals.  その目的は、個人データの処理が透明性があり、安全で、法的および政策上の標準に沿って行われ、データ管理者の利益が保護されることを保証することである。
6. Reasonable security safeguards: A Data Fiduciary must implement reasonable security measures to protect personal data, including encryption, access control, monitoring for unauthorized access, and data backups etc. These safeguards ensure the confidentiality, integrity, and availability of data, and must include provisions for detecting and addressing breaches and maintenance of logs. Contracts with Data Processors must also ensure security measures are in place. The measures should comply with technical and organizational standards to prevent data breaches.   6. 合理的なセキュリティ対策:データ受託者は、暗号化、アクセス管理、不正アクセス監視、データバックアップなど、個人データを保護するための合理的なセキュリティ対策を実施しなければならない。これらの対策は、データの機密性、完全性、可用性を確保し、違反の検知と対処、およびログの保守に関する規定を含まなければならない。データ処理者との契約も、セキュリティ対策が確実に実施されるようにしなければならない。これらの対策は、データ漏えいを防止するための技術的および組織的標準に準拠していなければならない。 
7. Intimation of Personal Data Breach: When a Data Fiduciary becomes aware of a personal data breach, it is required to promptly notify all affected Data Principals. This notification must be clear and straightforward, explaining the breach's nature, extent, and timing, along with potential consequences for the affected individuals. The Data Fiduciary must also inform the Data Principal of any measures taken to mitigate the risks and provide safety recommendations for protecting their data. Furthermore, contact information of a responsible person for inquiries must be included.  7. 個人データ漏えいの通知:データ受託者が個人データ漏えいに気づいた場合、影響を受けるすべてのデータ主体に速やかに通知することが義務付けられている。この通知は明確かつ簡潔で、漏えいの性質、範囲、時期、および影響を受ける個人に起こりうる結果を説明しなければならない。また、データ受託者は、リスクを緩和するために講じた措置と、データの保護に関する安全対策の推奨事項をデータ主体に通知しなければならない。さらに、問い合わせ先となる担当者の連絡先も記載しなければならない。
Additionally, the Data Fiduciary must inform the Board about the breach without delay. Within 72 hours or a longer time if permitted, the Data Fiduciary is obligated to provide detailed information, including the events that led to the breach, actions taken to mitigate risks, and the identity of the individual responsible, if known. The Data Fiduciary must also report on the remedial steps taken to prevent future breaches and details on the notifications sent to affected Data Principals.  さらに、データ受託者は、違反について遅滞なく委員会に通知しなければならない。データ受託者は、72時間以内、または許可された場合はそれ以上の期間内に、違反につながった出来事、リスク緩和のためにとられた措置、および判明している場合は責任者の身元を含む詳細情報を提供する義務がある。また、データ受託者は、将来の漏えいを防止するための是正措置と、影響を受けるデータ主体に送付した通知の詳細についても報告しなければならない。
8. Time period for specified purpose to be deemed as no longer being served: Under this provision, if a Data Fiduciary processes personal data for purposes outlined in Schedule III and the Data Principal does not engage with the Fiduciary within a specified period, the personal data must be erased unless required for legal compliance. The time period for this erasure is defined in Schedule III for different classes of Data Fiduciaries, such as e-commerce entities, online gaming intermediaries, and social media platforms. These entities may retain personal data for up to three years from the last interaction or the coming in effect of rules, whichever is later, except when the data is needed for the principal to access their account or virtual tokens.   8. 特定の目的がもはや達成されていないとみなされる期間:本規定に基づき、データ受託者が付録3に記載された目的で個人データを処理し、データ主体が指定された期間内に受託者と関与しない場合、その個人データは、法遵守のために必要とされない限り、消去されなければならない。この消去の期間は、電子商取引事業体、オンラインゲーム仲介業者、ソーシャルメディアプラットフォームなど、さまざまな種類のデータ受託者について、付録3で定義されている。これらの事業体は、データ受託者がアカウントまたは仮想トークンにアクセスするためにデータが必要な場合を除き、最後のやりとりまたは規則の発効から最長3年間、個人データを保持することができる。 
Before erasure, the Data Fiduciary must notify the Data Principal at least 48 hours in advance, alerting them that their data will be erased unless they log in or initiate contact with the Fiduciary to fulfil the specified purpose. The notification gives the Data Principal an opportunity to preserve their data by taking action. This rule provides a clear process for erasing personal data if the Data Principal has not interacted with the Data Fiduciary within the specified time, ensuring that data is retained only when necessary for continued use or legal obligations, while offering the Data Principal a chance to retain their data by taking proactive steps.  消去に先立ち、データ受託者はデータ本人に対し、少なくとも48時間前までに通知しなければならない。その際、本人がログインするか、受託者と連絡を取って指定の目的を達成しない限り、本人のデータが消去される旨を警告しなければならない。この通知により、データ主体は行動を起こすことでデータを保存できる機会が得られる。この規則は、データ主体が指定された時間内にデータ受託者とやりとりを行わなかった場合の個人データの消去に関する明確なプロセスを規定しており、継続的な使用や法的義務に必要な場合にのみデータを保持することを保証するとともに、データ主体が積極的な措置を講じることでデータを保持できる機会を提供している。
9. Contact information for addressing data processing queries: This mandates that every Data Fiduciary must clearly display on their website or app the contact details of a designated person who can address questions regarding the processing of personal data. If applicable, this could be the Data Protection Officer (DPO). The contact information should be easily accessible and visible to Data Principals, enable that they can reach out with any concerns or queries about how their personal data is being processed. Additionally, the same contact details must be included in all responses to communications from Data Principals who wish to exercise their rights under the Data Protection Act.  9. データ処理に関する問い合わせ先:これは、すべてのデータ受託者が、個人データの処理に関する質問に対応できる担当者の連絡先を、ウェブサイトまたはアプリに明確に表示することを義務付けるものである。該当する場合、この担当者はデータ保護責任者(DPO)となる可能性がある。連絡先情報は、データ主体が容易にアクセスでき、視認できるものでなければならず、これにより、自身の個人データの処理方法に関する懸念や質問を問い合わせることができる。さらに、データ保護法に基づく権利の行使を希望するデータ主体からのコミュニケーションに対するすべての回答には、同じ連絡先情報を記載しなければならない。
The intent of this provision is to ensure transparency and accountability in data processing practices of Data Fiduciaries, by providing clear contact information, easier access to Data Principals to inquire about their personal data and its processing.  この規定の目的は、明確な連絡先情報を提供し、データ主体が自身の個人データとその処理について問い合わせるためのアクセスを容易にすることで、データ受託者のデータ処理業務における透明性と説明責任を確保することである。
10. Verifiable consent for processing personal data of children and persons with disabilities: This provision outlines the requirements for obtaining verifiable consent from parents or legal guardians before processing the personal data of children or persons with disabilities. Specifically, a Data Fiduciary must implement measures to ensure that the person providing consent for a child’s data processing is the child’s parent or legal guardian, and that the parent or guardian is identifiable. For a child, the Data Fiduciary must verify that the parent is an adult by using reliable identity details or a virtual token mapped to such details. This verification process is critical to ensure that consent is being given by a responsible adult, in compliance with relevant laws. Examples are provided to clarify how this process should work, particularly in cases where the parent is already a registered user or when the parent needs to provide identity details using a Digital Locker service.  10. 児童および障害者の個人データの処理に対する検証可能な同意:この規定は、児童または障害者の個人データを処理する前に、親または法的後見人から検証可能な同意を取得するための要件を概説している。具体的には、データ受託者は、児童のデータ処理に対する同意を提供する者が児童の親または法的後見人であり、かつ、親または後見人が識別可能であることを保証するための措置を実施しなければならない。子供の場合、データ受託者は、信頼できる身元情報またはその情報に紐づく仮想トークンを使用して、親が成人であることを検証しなければならない。この検証プロセスは、関連法規に準拠して、責任ある成人が同意を行っていることを保証するために極めて重要である。このプロセスがどのように機能すべきかを明確にするために、特に親がすでに登録ユーザーである場合や、親がデジタルロッカーサービスを使用して身元情報を提供する必要がある場合の例が示されている。
11. Exemptions from obligations in processing personal data of children: This provision outlines certain exemptions to the standard requirements for processing the personal data of children, as stated in section 9 of the Act. These exemptions are applicable to specific types of Data Fiduciaries and for certain purposes, subject to conditions laid out in Schedule IV. According to Part A of the schedule, certain classes of Data Fiduciaries, such as healthcare professionals, educational institutions, and childcare providers, are exempt from specific provisions related to children's data. The processing of children's personal data by these entities is permitted, but it is restricted to specific activities like health services, educational activities, safety monitoring, and transportation tracking. These activities must be necessary for the well-being and safety of the child, ensuring that data processing is done within a defined and limited scope.  11. 児童の個人データの処理における義務の免除:本規定は、児童の個人データの処理に関する標準要件に対する一定の免除について概説するものであり、法第9条に記載されている。これらの免除は、特定の種類のデータ受託者および特定の目的に適用され、付録4に定められた条件に従う。パートAによると、医療従事者、教育機構、保育プロバイダなどの特定の種類のデータ受託者は、児童データに関する特定の規定が免除される。これらの事業体による児童の個人データの処理は許可されているが、医療サービス、教育活動、安全監視、輸送追跡などの特定の活動に限定されている。これらの活動は、児童の幸福と安全のために必要であり、データ処理が定義された限定的な範囲内で行われることを保証するものでなければならない。
Part B of the schedule outlines specific purposes for which the exemptions apply, such as processing for legal duties, issuing subsidies or benefits to children, creating user accounts for communication purposes, or ensuring the child does not have access to harmful information. In these cases, processing is restricted to what is necessary to perform the function, service, or duty, with an emphasis on protecting the child’s best interests. The provision acknowledges that certain activities, such as verifying the age of a data subject to confirm they are not a child, also fall under this exemption, as long as the processing remains limited to the necessary scope. These exemptions aim to strike a balance between protecting children's personal data and enabling necessary activities for their health, education, and safety.  パートBでは、免除が適用される特定の目的が概説されており、例えば、法的義務の履行、児童への補助金や給付金の支給、コミュニケーション目的のユーザーアカウントの作成、児童が有害な情報にアクセスできないようにする、などが挙げられる。これらの場合、処理は、児童の最善の利益の保護に重点を置いて、機能、サービス、義務の遂行に必要なものに限定される。この規定では、データ対象者の年齢を確認して未成年者でないことを確認するなどの特定の活動も、処理が限定的な範囲にとどまる限り、この例外に該当することを認めている。これらの例外は、子供の個人データの保護と、子供の健康、教育、安全に必要な活動の実現とのバランスを取ることを目的としている。
12. Additional obligations of Significant Data Fiduciaries: This provision brings specific responsibilities for Significant Data Fiduciaries. It mandates that these Fiduciaries must conduct a Data Protection Impact Assessment (DPIA) and a comprehensive audit once every year. The results of these assessments and audits must be reported to the Board, which need to contain key findings related to their adherence to data protection requirements.  12. 重要なデータ受託者の追加義務:この規定は、重要なデータ受託者に対して特定の責任を課すものである。この受託者に対しては、データ保護影響評価(DPIA)および包括的な監査を毎年1回実施することが義務付けられている。これらのアセスメントおよび監査の結果は、データ保護要件への準拠に関する主な調査結果を含めて、取締役会に報告しなければならない。
Further, the provision holds Significant Data Fiduciaries accountable for verifying that any algorithmic software they use to process personal data does not pose a risk to the rights of Data Principals. This includes algorithms used for data hosting, storage, and sharing.   さらに、この規定では、重要なデータ受託者は、個人データの処理に使用するアルゴリズムソフトウェアがデータ管理者の権利にリスクをもたらさないことを検証する責任を負う。これには、データホスティング、保存、共有に使用されるアルゴリズムが含まれる。 
Entities must adopt measures to ensure that personal data identified by the Central Government is processed in compliance with specific restrictions, ensuring that the data and any related traffic data are not transferred outside of India.   事業体は、中央政府が特定した個人データが特定の制限事項に従って処理されることを保証する措置を講じ、データおよび関連するトラフィックデータがインド国外に転送されないことを保証しなければならない。 
13. Rights of Data Principals: Data Fiduciaries and Consent Managers must clearly publish on their website or app the process by which Data Principals can exercise their rights under the Act, including identifying details like usernames to facilitate identification. Data Principals can request to access and erase their personal data by contacting the Data Fiduciary. A Data Fiduciary must also provide clear timelines for responding grievances, ensuring an effective process with the necessary technical and organizational safeguards. Data Principals may nominate one or more individuals to exercise their rights under the law, following the procedures set by the Data Fiduciary and applicable legal norms.  13. データ主体の権利:データ受託者および同意管理者は、データ主体が同法に基づく権利を行使できるプロセスを、ウェブサイトまたはアプリ上で明確に公開しなければならない。これには、識別を容易にするためのユーザー名などの識別情報の詳細も含まれる。データ主体は、データ受託者に連絡することで、自身の個人データへのアクセスと消去を要求できる。データ受託者は、苦情対応の明確なスケジュールを提供し、必要な技術的および組織的保護措置を講じた効果的なプロセスを確保しなければならない。データ主体は、データ受託者が定める手続きおよび適用法規に従い、法律に基づく権利を行使する1人または複数の個人を指名することができる。
14. Processing of personal data outside India: Data Fiduciaries processing data within India or in connection with offering goods or services to Data Principals from outside India must comply with any requirements the Central Government sets in respect of making such personal data available to a foreign State or its entities. This is intended to ensure that personal data remains protected under the Act.  14. インド国外における個人データの処理:インド国内で、またはインド国外のデータ主体に対する商品またはサービスの提供に関連してデータを処理するデータ受託者は、外国政府またはその事業体に対して当該個人データを利用可能にするにあたり、インド中央政府が定めるあらゆる要件を遵守しなければならない。これは、個人データが同法の下で保護され続けることを保証することを目的としている。
15. Exemption from Act for research, archiving, or statistical purposes: The Act does not apply to the processing of personal data carried out for research, archiving, or statistical purposes if it adheres to the specific standards outlined in Schedule II. This exemption ensures that necessary data processing for academic and policy research can occur while maintaining certain safeguards and standards to protect personal data.  15. 研究、アーカイブ、統計目的のための同法の適用除外: 付録2に記載された特定の標準に従う場合、研究、アーカイブ、統計目的のために実施される個人データの処理には、同法は適用されない。この適用除外により、個人データを保護し、標準を維持しながら、学術研究および政策研究に必要なデータ処理を行うことができる。
16. Appointment of Chairperson and other Members: A Search-cum-Selection Committee shall be formed by the Central Government to recommend candidates for the position of Chairperson of the Data Protection Board. The committee will be led by the Cabinet Secretary , Secretary MeitY, Secretary DLA and include two subject matter experts.  16. 議長およびその他の委員の任命:データ保護委員会の議長候補を推薦する捜索兼選考委員会が中央政府によって結成される。委員会は内閣官房長官、MeitY長官、DLA長官が主導し、2名の専門分野の専門家が参加する。
Similarly, the committee will also recommend candidates for the position of other Board Members, with the Ministry of Electronics and Information Technology Secretary overseeing the process.  同様に、電子・情報技術省長官が監督するプロセスにおいて、委員会はその他の委員候補も推薦する。
After considering the recommended individuals' suitability, the Central Government will appoint the Chairperson or Members to the Board.  推薦された人物の適性を検討した上で、中央政府が委員長または委員を任命する。
17: Salary, allowances, and other terms of service for Chairperson and Members: the Rule provides for Salary, allowances, and other service-related conditions for the Chairperson and Members of the Data Protection Board are provided. The Chairperson is entitled to a consolidated salary of ₹4,50,000 per month, while each Member receives ₹4,00,000 per month, with no provisions for housing or a car. A detail description of service conditions is provided for in this Schedule V.  17: 委員長および委員の給与、手当、その他の勤務条件:規則では、データ保護委員会の委員長および委員の給与、手当、その他の勤務条件が規定されている。委員長には月額45万ルピーの給与が支払われ、各委員には月額40万ルピーが支払われるが、住宅手当や車手当は支給されない。勤務条件の詳細は、本付録5に規定されている。
18: Procedure for meetings of the Board and authentication of orders: the Rule outlines the procedure for the meetings of the Data Protection Board, including how they are convened, conducted, and how decisions are made. The Chairperson is responsible for setting the date, time, place, and agenda of the meetings, with the authority to delegate these duties. Meetings are chaired by the Chairperson, or in her absence, by another Member chosen by those present. A quorum for the meetings is one-third of the Board's membership, and decisions are made by majority vote, with the Chairperson having a casting vote in the event of a tie. If a Member has a conflict of interest in any matter being discussed, they are prohibited from participating or voting on that matter. In urgent situations, the Chairperson has the authority to take immediate action, which must then be ratified at the next Board meeting. Additionally, certain issues may be decided by circulating the item to Members for approval, and the Chairperson or any authorized individual can authenticate the Board's orders, directions, or instruments. Also, the Board is required to complete inquiries within six months, extendable for a further three months if necessary.  18: 委員会の会議の手続きおよび命令の認証:規則は、データ保護委員会の会議の手続きを概説しており、会議の招集、実施、および決定の方法が含まれている。議長は、会議の日時、場所、議題を設定する責任があり、これらの職務を委任する権限を有する。会議は議長が議長を務めるが、議長が不在の場合は出席者によって選出された他の委員が議長を務める。会議の定足数は委員会の委員数の3分の1とし、決定は多数決によって行われるが、議長は同数の場合は決定票を持つ。委員が議論中の案件について利害の対立がある場合は、その案件への参加および投票は禁止される。緊急事態においては、議長は即座に措置を講じる権限を有するが、その措置は次の理事会で承認されなければならない。さらに、特定の事項については、会員に回覧して承認を得ることで決定することができ、議長または認可された個人は、理事会の命令、指示、または文書を認証することができる。また、理事会は、必要に応じてさらに3か月間延長できるが、6か月以内に調査を完了することが求められる。
19: Functioning of the Board as a digital office: The Board is to operate as a digital office, utilizing technology to conduct its proceedings efficiently. This provision allows the Board to adopt techno-legal measures to carry out its functions without requiring the physical presence of individuals. The Board retains the power to summon individuals and examine them under oath. The aim is to streamline processes, reduce the need for physical attendance, and enhance the overall efficiency of the Board’s operations.  19:デジタルオフィスとしての委員会の機能:委員会は、テクノロジーを活用して効率的に手続きを行うデジタルオフィスとして運営される。この規定により、委員会は、個人の物理的な出席を必要とせずにその機能を遂行するためのテクノロジーと法律に基づく措置を採用することが可能となる。委員会は、個人を召喚し、宣誓の下で尋問する権限を保持する。その目的は、手続きを合理化し、物理的な出席の必要性を減らし、委員会の運営の全体的な効率性を高めることである。
20: Terms and conditions of appointment and service of officers and employees of the Board: the rule outlines the procedures for the appointment and service terms of officers and employees working for the Data Protection Board. It specifies that the Board can appoint officers and employees necessary for carrying out its functions, with prior approval from the Central Government. The appointments can be made on deputation from various government bodies or public sector enterprises. Additionally, the officers and employees can be appointed from the National Institute for Smart Government, with salaries aligned to market standards and other terms decided by the Board.  20:データ保護委員会の役員および従業員の任命および勤務条件に関する規則:この規則は、データ保護委員会で働く役員および従業員の任命および勤務条件の手続きを概説している。この規則では、中央政府の事前の承認を得た上で、委員会がその機能を遂行するために必要な役員および従業員を任命できることが規定されている。任命は、さまざまな政府機構または公共部門エンタープライズからの出向という形で行うことができる。さらに、役員および従業員は、市場標準に合わせた給与と、委員会が決定するその他の条件で、スマート・ガバメント・ナショナル・インスティチュートから任命することもできる。
Schedule VI elaborates on the specifics of the terms and conditions of service for these officers and employees.   付録6では、これらの役員および従業員の勤務条件の詳細について詳しく説明している。 
21: Appeal to Appellate Tribunal: the rule outlines the process for filing appeals to the Appellate Tribunal for persons dissatisfied with orders or directions of the Board. The appeal must be submitted digitally, in line with the procedure set by the Appellate Tribunal on its website. The appeal is required to be accompanied by a fee, the Appellate Tribunal’s Chairperson may decide to reduce or waive it.  21: 上訴審への上訴:この規則は、委員会の命令または指示に不服のある者が上訴審に上訴する手続きを概説している。上訴は、上訴審がウェブサイトで定めた手続きに従って電子的に提出しなければならない。上訴には手数料を添付する必要があるが、上訴審の議長はこれを減額または免除する決定を下すことができる。
The Appellate Tribunal has the authority to regulate its procedures. Additionally, the Tribunal operates as a digital office, utilizing technology to conduct its proceedings, which eliminates the need for physical presence while retaining the power to summon individuals and administer oaths when necessary. This digital approach allows for more flexible and efficient handling of appeals.  上訴裁判所は、その手続きを規定する権限を有する。さらに、裁判所は、テクノロジーを活用して手続きを行うデジタルオフィスとして運営されており、これにより、物理的な出頭は不要となるが、必要に応じて個人を召喚し宣誓を行う権限は維持される。このデジタルアプローチにより、より柔軟かつ効率的な上訴の処理が可能となる。
22: Calling for information from Data Fiduciary or Intermediary: enables the Central Government to require Data Fiduciaries or intermediaries to provide specific information for purposes outlined in Schedule VII. In cases where the disclosure of information might compromise the sovereignty, integrity, or security of India, the authorized person may restrict disclosure unless prior written permission is obtained. Fulfilling these information requests is part of the legal obligations under Section 36 of the Act. The government is empowered to request data for various purposes, including national security, legal compliance, or to assess the status of certain Data Fiduciaries.   22: データ受託者または仲介者からの情報提供の要請:中央政府が、付録7に記載された目的のために、データ受託者または仲介者に特定の情報の提供を要求することを可能にする。情報の開示がインドの主権、完全性、またはセキュリティを損なう可能性がある場合、認可された担当者は、事前の書面による許可が得られない限り、開示を制限することができる。これらの情報要求に応えることは、同法第36条に基づく法的義務の一部である。政府は、国家安全保障、法令順守、または特定のデータ受託者の状況アセスメントなど、さまざまな目的でデータの提出を要求する権限を有する。 
*** ***

 

 

 

2023年法...

・[PDF

20250111-52444

仮対訳...

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.08.23 インド デジタル個人データ保護法成立(2023年)(2023.08.11)

 

・2023.08.04 インド デジタル個人データ保護法案(2023年)

・2023.01.06 インド デジタル個人情報保護法案 (2022.11.22)

・2022.08.07 インド 個人情報保護法の制定は振り出しに戻る?

・2021.11.24 インド 個人データ保護法が成立しますかね。。。

 

 

| | Comments (0)

2025.01.10

米国 NIST SP 800-189 Rev. 1(初期公開ドラフト) ボーダーゲートウェイプロトコルのセキュリティとレジリエンス

こんにちは、丸山満彦です。

NISTが、SP 800-189 Rev. 1(初期公開ドラフト) ボーダーゲートウェイプロトコルのセキュリティとレジリエンスを公表し、意見募集をしていますね...

この年末は、JAL、金融機関に対するDDoS攻撃も話題になりましたからね...

 

NIST - ITL

・2025.01.03 NIST SP 800-189 Rev. 1 (Initial Public Draft) Border Gateway Protocol Security and Resilience

NIST SP 800-189 Rev. 1 (Initial Public Draft) Border Gateway Protocol Security and Resilience NIST SP 800-189 Rev. 1(初期公開草案) ボーダーゲートウェイプロトコルのセキュリティとレジリエンス
Announcement 発表
In recent years, numerous Internet routing incidents — such as Border Gateway Protocol (BGP) prefix hijacking, and route leaks — have resulted in denial of service (DoS), unwanted data traffic detours, and performance degradation. Large-scale distributed denial-of-service (DDoS) attacks on servers using spoofed Internet Protocol (IP) addresses and reflection amplification in the data plane have resulted in significant disruptions of services and damages. 近年、多数のインターネットルーティングインシデント(BGP(ボーダーゲートウェイプロトコル)プレフィックスの乗っ取りやルートリークなど)が、サービス拒否(DoS)攻撃、不要なデータトラフィックの迂回、パフォーマンスの低下を引き起こしている。 偽装されたインターネットプロトコル(IP)アドレスを使用するサーバーに対する大規模な分散型サービス拒否(DDoS)攻撃や、データプレーンにおけるリフレクション増幅により、サービスが大幅に中断され、損害が発生している。
This document provides technical guidance and recommendations to improve the security and resilience of Internet routing based on BGP. Technologies recommended in this document for securing Internet routing include Resource Public Key Infrastructure (RPKI), Route Origin Authorization (ROA), ROA-based route origin validation (ROA-ROV), and prefix filtering. Additionally, the technologies recommended for mitigating DDoS attacks focus on the prevention of IP address spoofing using source address validation (SAV) with access control lists (ACLs) and unicast Reverse Path Forwarding (uRPF). Other technologies are also recommended as part of the overall security mechanisms, such as remotely triggered black hole (RTBH) filtering and flow specification (Flowspec). 本書では、BGPに基づくインターネットルーティングのセキュリティとレジリエンスを改善するための技術的な指針と推奨事項を提示する。インターネットルーティングのセキュリティ確保のために本書で推奨する技術には、リソース公開鍵基盤(RPKI)、ルートオリジン認可(ROA)、ROAに基づくルートオリジン妥当性確認(ROA-ROV)、およびプレフィックスフィルタリングなどがある。さらに、DDoS攻撃の緩和に推奨される技術は、アクセス管理リスト(ACL)とユニキャスト・リバースパス・フォワーディング(uRPF)を用いた送信元アドレスの妥当性確認(SAV)によるIPアドレスのなりすまし防止に重点を置いている。また、リモートトリガー型ブラックホール(RTBH)フィルタリングやフロー仕様(Flowspec)など、その他の技術も総合的なセキュリティ対策の一環として推奨されている。
While this document is intended to guide information security officers and managers of federal enterprise networks, it also applies to the network services of hosting providers (e.g., cloud-based applications and service hosting) and Internet service providers (ISPs) that support federal IT systems. This guidance may also be useful for enterprise and transit network operators and equipment vendors in general. 本書は、連邦政府の企業ネットワークの情報セキュリティ責任者および管理者の指針となることを目的としているが、連邦政府のITシステムをサポートするホスティングプロバイダ(クラウドベースのアプリケーションやサービスホスティングなど)やインターネットサービスプロバイダ(ISP)のネットワークサービスにも適用される。また、本指針は、エンタープライズおよびトランジットネットワークの運用者や機器ベンダーにも一般的に役立つ可能性がある。
Abstract 要約
This publication provides guidance on Internet routing security, preventing IP address spoofing, and certain aspects of DDoS detection and mitigation. It particularly focuses on Border Gateway Protocol, which is the routing protocol used to distribute and compute paths between the tens of thousands of autonomous networks that comprise the internet. Technologies recommended in this document for securing BGP routing include Resource Public Key Infrastructure, Route Origin Authorization, ROA-based route origin validation, and prefix filtering. Additionally, technologies recommended for mitigating DDoS attacks focus on preventing IP address spoofing using source address validation with access control lists and unicast Reverse Path Forwarding. Other technologies are also recommended as part of the overall routing security mechanisms, such as remotely triggered black hole filtering and flow specification. 本書は、インターネットルーティングのセキュリティ、IPアドレススプーフィングの防止、およびDDoS攻撃の検知と緩和の特定の側面に関する指針を提供する。特に、インターネットを構成する何万もの自律ネットワーク間の経路を分配し計算するために使用されるルーティングプロトコルであるボーダーゲートウェイプロトコル(BGP)に焦点を当てている。BGPルーティングのセキュリティ確保のために本書で推奨されている技術には、リソース公開鍵基盤(PKI)、ルートオリジン認可(ROA)、ROAに基づくルートオリジン妥当性確認、およびプレフィックスフィルタリングなどがある。さらに、DDoS攻撃の緩和のために推奨されている技術は、アクセス管理リスト(ACL)とユニキャストRPF(Reverse Path Forwarding)を使用した送信元アドレスの妥当性確認によるIPアドレススプーフィングの防止に重点を置いている。また、ルーティングセキュリティの全体的な仕組みの一部として、リモートトリガーによるブラックホールフィルタリングやフロー指定などの技術も推奨されている。

 

・[PDF] SP.800-189r1.ipd

20250109-172323

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序文
1.1. What This Guide Covers 1.1. 本ガイドの対象範囲
1.2. What This Guide Does Not Cover 1.2. 本ガイドの対象外
1.3. Document Structure 1.3. 文書構成
1.4. Conventions Used in This Guide 1.4. 本ガイドで使用される表記法
2. BGP Vulnerabilities 2. BGP の脆弱性
2.1. Unauthorized BGP Originations (Prefix Hijacks) 2.1. 無許可の BGP 発信(プレフィックスハイジャック
2.2. Unauthorized BGP Update Modification (Path Hijacks) 2.2. 無許可の BGP 更新変更(パスハイジャック
2.3. 8GP Policy Violations (Route Leaks 2.3. 8GPポリシー違反(ルートリーク
3. Other Internet Routing Related Vulnerabilities (IP Address Spoofing) 3. その他のインターネットルーティング関連の脆弱性(IPアドレススプーフィング
3.1. Spoofed Source Addresses 3.1. 偽装されたソースアドレス
3.2. Reflection Amplification attacks 3.2. リフレクション増幅攻撃
4. Improving BGP Security and Resilience - Solutions and Recommendations 4. BGPのセキュリティとレジリエンスの改善 - ソリューションと推奨事項
4.1. Registration of Route Objects in Internet Routing Registries 4.1. インターネットルーティングレジストリにおけるルートオブジェクトの登録
4.2. Certification of Resources in Resource Public Key Infrastructure 4.2. リソース公開鍵基盤におけるリソースの認証
4.3. ROA-based Route Origin Validation (ROA-ROV) 4.3. ROAに基づく経路発信元の妥当性確認(ROA-ROV)
4.3.1. Forged-Origin Hijacks — How to Minimize Them 4.3.1. 偽装発信元の乗っ取り - その最小化方法
4.3.2. General Recommendations Related to RPKI and ROA-ROV 4.3.2. RPKIおよびROA-ROVに関する一般的な推奨事項
4.4. Categories of Prefix Filters... 4.4. プレフィックス・フィルターのカテゴリー...
4.4.1. Unallocated Prefixes 4.4.1. 未割り当てのプレフィックス
4.4.2. Special Purpose Prefixes 4.4.2. 特殊目的のプレフィックス
4.4.3. Single-Homed Prefixes 4.4.3. 単一ホームのプレフィックス
4.4.4. Prefixes that Exceed a Specificity Limit 4.4.4. 特定の制限を超えるプレフィックス
4.4.5. Default Route 4.4.5. デフォルトルート
4.4.6. IXP LAN Prefixes 4.4.6. IXP LAN プレフィックス
4.5. Prefix Filtering for Peers of Different Types 4.5. 異なるタイプのピアに対するプレフィックスフィルタリング
4.5.1. Prefix filtering with Lateral Peer 4.5.1. 水平ピアによるプレフィックスフィルタリング
4.5.2. Prefix Filtering with Transit Provider 4.5.2. トランジットプロバイダによるプレフィックスフィルタリング
4.5.3. Prefix Filtering with Customer... 4.5.3. 顧客によるプレフィックスフィルタリング...
4.5.4. Prefix Filtering Performed in a Leaf Customer Network 4.5.4. リーフカスタマーネットワークで実行されるプレフィックスフィルタリング
4.6. Role of RPKI in Prefix Filtering 4.6. プレフィックスフィルタリングにおけるRPKIの役割
4.7. AS Path Verification. 4.7. ASパス検証
4.7.1. BGPsec Protocol (Emerging/Future) 4.7.1. BGPsecプロトコル(新興/将来
4.7.2. ASPA-based AS Path Verification (Emerging/Future) 4.7.2. ASPAベースのASパス検証(新興/将来
4.7.3. BGP Roles and OTC Attribute Solution for Route Leaks (Future) 4.7.3. BGPの役割とルートリークに対するOTC属性ソリューション(将来
4.8. Route Leak Solution Using BGP Community Tagging 4.8. BGPコミュニティ・タグを使用したルートリーク・ソリューション
4.9. Checking As Path for Disallowed As Numbers 4.9. 許可されていないAS番号に対するAsパス確認
4.10. Generalized TTL Security Mechanism (GTSM) 4.10. 一般化TTLセキュリティメカニズム(GTSM)
4.11. Default External BGP Route Propagation Behavior without Policies 4.11. ポリシーなしのデフォルト外部BGPルート伝搬動作
5. Source Address Validation and DDoS Mitigation 5. 送信元アドレスの妥当性確認とDDoS緩和
5.1. Source Address Validation Techniques 5.1. 送信元アドレスの妥当性確認技術
5.1.1. SAV Using Access Control Lists 5.1.1. アクセス管理リスト(ACL)を使用するSAV
5.1.2. SAV Using Strict Unicast Reverse Path Forwarding 5.1.2. 厳密なユニキャスト・リバースパス・フォワーディングを使用するSAV
5.1.3. SAV Using Feasible-Path Unicast Reverse Path Forwarding 5.1.3. 実現可能パス・ユニキャスト・リバースパス・フォワーディングを使用するSAV
5.1.4. SAV Using Loose Unicast Reverse Path Forwarding 5.1.4. 緩やかなユニキャスト・リバースパス・フォワーディングを使用するSAV
5.1.5. SAV Using VRF Table 5.1.5. VRFテーブルを使用するSAV
5.1.6. SAV Using Enhanced Feasible-Path URPF (Emerging/Future) 5.1.6. 拡張可能経路パスユニキャストリバースパスフォワーディング(Emerging/Future)を使用するSAV
5.1.7. SAV Using BAR-SAV (Emerging/Future) 5.1.7. BAR-SAV(Emerging/Future)を使用するSAV
5.1.8. More Effective Mitigation with Combination of Origin Validation and SAV 5.1.8. オリジン妥当性確認とSAVの組み合わせによるより効果的な緩和
5.2. SAV Recommendations for Various Types of Networks 5.2. さまざまなタイプのネットワークに対するSAVの推奨事項
5.2.1. Customer with Directly Connected Allocated Address Space: Broadband and Wireless Service Providers 5.2.1. 直接接続された割り当てアドレス空間を持つ顧客:ブロードバンドおよびワイヤレスサービスプロバイダ
5.2.2. Enterprise Border Routers 5.2.2. エンタープライズ・ボーダ・ルータ
5.2.3. Internet Service Providers 5.2.3. インターネット・サービス・プロバイダ
5.3. BGP Flow Specification (Flowspec) 5.3. BGP フロー仕様(Flowspec
6. General: Outsourced Services, Supporting Standards, Open Source, and Measurements 6. 一般事項:外部委託サービス、標準規格のサポート、オープンソース、および測定
References 参考文献
Appendix A Consolidated List of Security Recommendations 附属書 A セキュリティ勧告の統合リスト
Appendix B. List of Symbols, Abbreviations, and Acronyms 附属書 B. 記号、略語、および頭字語のリスト
Appendix C. Change Log 附属書 C. 変更履歴

 

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー 
There have been numerous security and resilience incidents in recent years involving Border Gateway Protocol (BGP), including prefix hijacks, route leaks, and other forms of misrouting. These incidents include both malicious attacks and accidental misconfigurations that result in the denial of service (DoS), unwanted data traffic detours, and performance degradation  [Madory]. Another form of abuse of Internet routing in the data plane is source Internet Protocol (IP) address spoofing,  a technique often used in DoS attacks.   近年、プレフィックスハイジャック、ルートリーク、その他の誤ルーティングなど、ボーダーゲートウェイプロトコル(BGP)に関連するセキュリティおよびレジリエンスのインシデントが数多く発生している。これらのインシデントには、悪意のある攻撃と、サービス拒否(DoS)、不要なデータトラフィックの迂回、パフォーマンスの低下を招く偶発的な誤設定の両方が含まれる [必須]。データプレーンにおけるインターネットルーティングの別の悪用形態は、ソースIP(インターネットプロトコル)アドレススプーフィングであり、DoS攻撃でよく使用される手法である。
This document provides technical guidance and recommendations to improve the security and resilience of Internet routing based on BGP. It primarily focuses on the points of interconnection between enterprise networks or hosted service providers and the public Internet. These are commonly known as “stub” networks (i.e., those networks that only provide connectivity to their end systems) and transit networks (i.e., those networks that serve to interconnect and pass traffic between stub networks and other transit networks), and the points of interconnection between them are often referred to as the “Internet’s edge.” There is usually a contractual relationship between transit networks and the stub networks that they service, and the set of technical procedures and policies defined in that relationship is commonly called the “peering policy.” Many of the recommendations in this document also apply to the points of interconnection between two transit networks, which may vary from those between stub and transit networks.   本書では、BGPに基づくインターネットルーティングのセキュリティとレジリエンスを改善するための技術的な指針と推奨事項を提供する。本書では、主にエンタープライズネットワークやホスティングサービスプロバイダとパブリックインターネット間の相互接続のポイントに焦点を当てている。これらは一般的に「スタブ」ネットワーク(すなわち、エンドシステムへの接続のみを提供するネットワーク)およびトランジットネットワーク(すなわち、スタブネットワークと他のトランジットネットワーク間の相互接続とトラフィックの転送を行うネットワーク)として知られており、それらの相互接続のポイントはしばしば「インターネットのエッジ」と呼ばれる。トランジットネットワークとそれらがサービスを提供するスタブネットワークの間には通常、契約関係が存在し、その関係において定義される一連の技術手順およびポリシーは一般的に「ピアリングポリシー」と呼ばれる。本書で推奨する多くの内容は、2つのトランジットネットワーク間の相互接続ポイントにも適用されるが、スタブネットワークとトランジットネットワーク間の相互接続ポイントとは異なる場合がある。 
These recommendations can reduce the risk of accidental misconfigurations and malicious attacks on the Internet’s BGP routing system and help prevent IP address spoofing and distributed DoS (DDoS) attacks. They primarily cover security and resilience technologies for routers that operate BGP (commonly called BGP routers) but also extend to other systems that support Internet routing security, such as Resource Public Key Infrastructure (RPKI) repositories.   これらの推奨事項は、インターネットのBGPルーティングシステムにおける誤設定や悪意のある攻撃のリスクを低減し、IPアドレススプーフィングや分散型DoS(DDoS)攻撃の防止に役立つ。 主にBGPを運用するルーター(一般的にBGPルーターと呼ばれる)のセキュリティおよびレジリエンシー技術をカバーしているが、RPKI(リソース公開鍵基盤)リポジトリなど、インターネットルーティングセキュリティをサポートする他のシステムにも適用される。 
The guidance in this publication should be incorporated into the security plans and operational processes of federal enterprise networks, and applicable recommendations should be incorporated into requirements for federal contracts for hosted application services and Internet transit services. This document also contributes to the ongoing broader efforts by the Federal Government to secure the foundational protocols of the Internet [NCSIP], particularly Internet routing [WH-ONCD][BITAG], with RPKI, Route Origin Authorization (ROA), ROA-based route origin validation (ROA-ROV), and prefix filtering. Additionally, the technologies recommended for mitigating DDoS attacks focus on the prevention of IP address spoofing using source address validation (SAV) with access control lists (ACLs) and unicast Reverse Path Forwarding (uRPF). Other technologies are also recommended as part of the overall security mechanisms, such as remotely triggered black hole (RTBH) filtering and flow specification (Flowspec).   本書に記載された指針は、連邦エンタープライズネットワークのセキュリティ計画および運用プロセスに組み込むべきであり、また、該当する推奨事項は、ホスティングされたアプリケーションサービスおよびインターネットトランジットサービスに関する連邦契約の要件に組み込むべきである。また、本書は、RPKI、ルートオリジン認可(ROA)、ROAベースのルートオリジン妥当性確認(ROA-ROV)、およびプレフィックスフィルタリングにより、インターネットの基盤プロトコル、特にインターネットルーティング(NCSIP)[WH-ONCD][BITAG]のセキュリティ確保に向けた連邦政府の継続的な広範な取り組みにも貢献する。さらに、DDoS攻撃の緩和に推奨される技術は、アクセス管理リスト(ACL)とユニキャスト・リバースパス・フォワーディング(uRPF)による送信元アドレスの妥当性確認(SAV)を使用したIPアドレス・スプーフィングの防止に重点を置いている。また、リモート・トリガ・ブラックホール(RTBH)フィルタリングやフロー仕様(Flowspec)など、その他の技術も総合的なセキュリティ対策の一部として推奨されている。 

 

 

| | Comments (0)

米国 NIST SP 800-227(初期公開ドラフト) キーカプセル化メカニズムに関する推奨事項

こんにちは、丸山満彦です。

NISTが、SP 800-227(初期公開草案) キーカプセル化メカニズムに関する推奨事項を公表し、意見募集をしていますね...

 

NIST - ITL

・2025.01.07 NIST SP 800-227 (Initial Public Draft) Recommendations for Key-Encapsulation Mechanisms

NIST SP 800-227 (Initial Public Draft) Recommendations for Key-Encapsulation Mechanisms NIST SP 800-227(初期公開草案) キーカプセル化メカニズムに関する推奨事項
Announcement 発表
NIST recently published FIPS 203, Module-Lattice-Based Key-Encapsulation Mechanism Standard, to update its cryptographic standards with an algorithm designed to provide protection from quantum attacks.  In addition, NIST will select one or two additional quantum-resistant key-encapsulation mechanisms (KEMs) for standardization. To provide guidance on using KEMs, NIST is introducing SP 800-227, Recommendations for Key Encapsulation Mechanisms.  This draft document describes the basic definitions, properties, and applications of KEMs. It also provides recommendations for implementing and using KEMs in a secure manner. NISTは最近、量子攻撃からの防御を目的として設計されたアルゴリズムで暗号化標準を更新するために、FIPS 203(モジュール-格子ベースのキーカプセル化メカニズム標準)を発行した。 さらに、NISTは標準化のために、量子耐性のある鍵カプセル化メカニズム(KEM)を1つまたは2つ追加で選定する予定である。KEMの使用に関する指針を提供するため、NISTは「SP 800-227:鍵カプセル化メカニズムに関する推奨事項」を導入している。このドラフト文書では、KEMの基本的な定義、特性、および用途について説明している。また、KEMを安全に実装および使用するための推奨事項も提供している。
The public comment period is open through March 7, 2025. パブリックコメントの受付期間は2025年3月7日までとなっている。
NIST will also hold a virtual Workshop on Guidance for KEMs on February 25-26, 2025, to gather additional feedback on SP 800-227. また、NISTは2025年2月25日~26日に仮想ワークショップ「KEMに関するガイダンス」を開催し、SP 800-227に関する追加のフィードバックを収集する予定である。
Abstract 概要
A key-encapsulation mechanism (KEM) is a set of algorithms that can be used by two parties under certain conditions to securely establish a shared secret key over a public channel. A shared secret key that is established using a KEM can then be used with symmetric-key cryptographic algorithms to perform essential tasks in secure communications, such as encryption and authentication. This document describes the basic definitions, properties, and applications of KEMs. It also provides recommendations for implementing and using KEMs in a secure manner. 鍵カプセル化メカニズム(KEM)とは、特定の条件下で2つの当事者が使用し、公開チャネル上で安全に共有秘密鍵を確立できるアルゴリズムのセットである。KEMを使用して確立された共有秘密鍵は、その後、対称鍵暗号化アルゴリズムと併用して、暗号化や認証など、安全なコミュニケーションにおける重要なタスクを実行するために使用することができる。本書では、KEMの基本的な定義、特性、および用途について説明する。また、KEMを安全に実装および使用するための推奨事項も提供する。

 

 

・[PDF] SP.800-227.ipd

20250109-182449

 

1. Introduction 1. 序文
1.1. Background 1.1. 背景
1.2. Scope and Purpose 1.2. 範囲と目的
2. Definitions and Requirements 2. 定義と要件
2.1. Definitions 2.1. 定義
2.2. Requirements 2.2. 要件
3. Overview of Key-Encapsulation Mechanisms 3. 鍵カプセル化メカニズムの概要
3.1. Introduction 3.1. 導入
3.2. Basic Definitions and Examples 3.2. 基本的な定義と例
3.3. Theoretical Security of KEMs 3.3. KEMの理論上の安全性
4. Requirements for Secure KEM Implementations 4. 安全なKEM実装の要件
4.1. Compliance to NIST Standards and Validation 4.1. NIST標準への準拠と妥当性確認
4.2. Managing Cryptographic Data 4.2. 暗号データの管理
4.3. Additional Requirements 4.3. 追加要件
5. Using KEMs Securely in Applications 5. アプリケーションにおけるKEMの安全な使用
5.1. How to Establish a Key With a KEM 5.1. KEMによる鍵確立方法
5.2. Conditions for Using KEMs Securely 5.2. KEMを安全に使用するための条件
5.3. Key Derivation 5.3. 鍵の導出
5.4. Key Confirmation 5.4. 鍵の確認
5.4.1. Creating the MAC Data 5.4.1. MACデータの作成
5.4.2. Obtaining the Key-Confirmation Key 5.4.2. 鍵確認鍵の取得
5.4.3. Key-Confirmation Example 5.4.3. 鍵確認の例
5.5. Multi-algorithm KEMs and PQ/T Hybrids 5.5. マルチアルゴリズムKEMとPQ/Tハイブリッド
5.5.1. Constructing a Composite KEM 5.5.1. 複合KEMの構築
5.5.2. Approved Key Combiners 5.5.2. 承認済み鍵結合器
5.5.3. Security Considerations for Composite Schemes 5.5.3. 複合スキームのセキュリティに関する考察
6. Examples 6. 例
6.1. Examples of KEMs 6.1. KEMの例
6.1.1. A KEM From Diffie-Hellman 6.1.1. ディフィー・ヘルマン法に基づくKEM
6.1.2. A KEM from RSA Secret-Value Encapsulation 6.1.2. RSA秘密値カプセル化に基づくKEM
6.1.3. ML-KEM 6.1.3. ML-KEM
6.2. Examples of Applications of KEMs 6.2. KEMの応用例
6.2.1. Hybrid Public-Key Encryption (HPKE) 6.2.1. ハイブリッド公開鍵暗号(HPKE)
6.2.2. Static-Ephemeral Key Establishment 6.2.2. 静的一時鍵確立
6.2.3. Ephemeral Authenticated Key Establishment 6.2.3. 使い捨て認証鍵確立
References 参考文献
Appendix A. Cryptographic Components 附属書 A. 暗号コンポーネント
A.1. Message Authentication Codes (MACs) A.1. メッセージ認証コード(MAC)
A.2. Random Bit Generators A.2. ランダムビット生成器
A.3. Nonces A.3. ノンス

 

 

 

 

| | Comments (0)

2024.12.25

英国 ICO 意見募集 ストレージとアクセス技術に関する改訂版ガイドライン案(Cookieやトラッキングピクセルなど...)(2024.12.20)

こんにちは、丸山満彦です。

英国のICOが、ストレージとアクセス技術に関する改訂版ガイドライン案を公表していますね...

昔から英国のICOはクッキーの確認の仕方がについて、「そんなやりかた、茶番でしょう...『だれも理解していないけど、前に進みたいから、おすだけでしょう...』みたいな対応なんて意味がないよ」という感じでしたが、さて、今回のガイドライン案はどのようになっていますでしょうか...

このガイダンスは...

  • Web 開発者やアプリ開発者などのオンライン サービス プロバイダーを対象として、

  • 誰かのデバイス(コンピューターや携帯電話など)に情報を保存したり、保存されている情報にアクセスしたりする技術を利用する場合に、2003 年プライバシーおよび電子通信規制(修正版)(PECR)および該当する場合はデータ保護法がどのように適用されるか

について説明しているものですね...

なお、PECR が適用される技術には、例えば、以下のものが含まれますね...

  • Cookie
  • トラッキングピクセル
  • リンクデコレーション、ナビゲーショントラッキング
  • ローカルストレージ
  • デバイスフィンガープリンティング
  • スクリプト、タグ

 

How do we manage consent in practice?」のパートでは、同意をどのように管理するのか?ということで、ちょっとしたアニメーションのついた例示を使って、わかりやすく説明していますね...

ガイドラインもPDFって感じではないかもですね...

このガイド案では、

  • PECR でカバーされる技術 (Cookie、トラッキング ピクセルなど)
  • ストレージおよびアクセス技術を使用する組織のコンプライアンス義務
  • ポップアップ、ブラウザ設定、設定主導のメカニズムなどの方法を含む、同意の取得と管理に関する期待
  • 子どもが利用するサービスに対する特別な配慮、透明性と同意のメカニズムの要件
  • 追跡、プロファイリング、広告測定に関する同意要件、「Cookieの壁」や同意メカニズムなどのモデルについての説明

などなどを取り扱っていますね...

参考になると思います...

意見は2025.03.14まで...

 

U.K. Information Commissioner's Office; ICO

プレス...

・2024.12.20 ICO consultation on the draft updated guidance on storage and access technologies

ICO consultation on the draft updated guidance on storage and access technologies ICO、ストレージとアクセス技術に関するガイダンスのドラフト更新に関するコンサルテーションを実施
The Information Commissioner's Office (ICO) is consulting on this draft updated guidance on storage and access technologies (previously known as the ‘detailed cookies guidance’). 情報コミッショナー事務局(ICO)は、ストレージおよびアクセス技術に関するガイダンス(以前は「詳細なクッキーガイダンス」として知られていた)の更新ドラフトについてコンサルティングを行っている。
Your responses will help us to provide any additional further clarity required in the final guidance update. 皆様からのご回答は、最終的なガイダンスの更新に必要なさらなる明確性を提供するために役立つ。
Respond to the consultation via SmartSurvey here. SmartSurveyでこのコンサルテーションに対応する。
You can also respond to the consultation by contacting us at [mail] また、 [mail]
までご連絡いただいても対応可能である。
We welcome feedback to the questions set out in the survey. This survey is split into the following sections: アンケートに記載された質問に対するフィードバックを歓迎する。このアンケートは以下のセクションに分かれている:
・Section 1: Your views on our proposed regulatory approach ・セクション1:提案されている規制アプローチに関するご意見
・Section 2: Questions to assess the impact of our approach ・セクション 2: セクション2:我々のアプローチの影響を評価するための質問
・Section 3: About you and your organisation ・セクション3:あなたとあなたの組織について
・Section 4: Final comments ・セクション4:最終コメント
The consultation will remain open until 5pm on Friday 14 March 2025. We may not consider responses received after the deadline. コンサルテーションは2025年3月14日(金)午後5時まで受け付ける。期限を過ぎた回答は考慮しない場合がある。
This survey will take around 15 - 20 minutes to complete. このアンケートの所要時間は約15~20分である。
Impact Assessment 影響アセスメント
We have produced a draft impact assessment to accompany this draft guidance. 我々は、このガイダンス草案に付随する影響評価のドラフトを作成した。
The draft impact assessment is available here. インパクトアセスメントのドラフトはこちらから入手できる。
We are seeking feedback on this draft impact assessment through the above survey to inform the final version, which will accompany the final updated guidance. 最終的なガイダンスに添付される最終版に反映させるため、上記のアンケートを通じてこの影響アセスメント案に対するフィードバックを求めている。

 

 ガイドライン案...

・2024.12.20 Guidance on the use of storage and access technologies

Guidance on the use of storage and access technologies ストレージおよびアクセス技術の使用に関するガイダンス
Contents 目次
What's new 最新情報
About this guidance このガイダンスについて
Why have you produced this guidance? なぜこのガイダンスを作成したのか?
Who is it for? 誰のためのガイダンスなのか?
What does it cover? 何をカバーしているのか?
What doesn’t it cover? 何をカバーしていないのか?
How should we use this guidance? このガイダンスをどのように使うべきか?
What are storage and access technologies? 保管技術とアクセス技術とは何か?
What technologies does PECR apply to? PECRはどのような技術に適用されるのか?
Cookies クッキー
Tracking pixels トラッキングピクセル
Link decoration and navigational tracking リンク装飾とナビゲーショントラッキング
Device fingerprinting デバイスフィンガープリント
Web Storage ウェブストレージ
Scripts / tags スクリプト/タグ
Using storage and access technologies in different contexts さまざまなコンテキストでストレージとアクセス技術を使用する
What are the rules? 規則とは何か?
What does PECR say about storage and access technologies? PECRはストレージとアクセス技術について何を言っているのか?
Who are subscribers and users? 加入者とユーザーとは誰か?
What is terminal equipment? 端末機器とは何か?
What does ‘clear and comprehensive information’ mean? 明確かつ包括的な情報」とは何か?
What does 'consent' mean? 同意」とは何か?
Do all storage and access technologies require consent? すべての保管・アクセス技術に同意が必要か?
What is the ‘communication’ exemption? コミュニケーション」の適用除外とは何か?
What is the ‘strictly necessary’ exemption? 「厳密に必要な」適用除外とは何か?
When do the exemptions not apply? 適用除外はどのような場合に適用されないのか?
Do the rules only apply to websites and web browsers? 規則はウェブサイトとウェブブラウザにのみ適用されるのか?
Do the rules apply to our internal network? 規則は社内ネットワークにも適用されるのか?
Do the rules apply to public authorities? 規則は認可機関に適用されるか?
Do the rules apply to services based outside the UK? 規則は英国外に拠点を置くサービスに適用されるか?
What if children are likely to access our online service? 当社のオンラインサービスに子供がアクセスする可能性がある場合はどうするのか?
How do the PECR rules relate to the UK GDPR? PECR規則は英国のGDPRとどのように関連しているか?
What is the relationship between PECR and the UK GDPR? PECRと英国GDPRの関係は?
What does the UK GDPR say about storage and access technologies? 英国のGDPRは、保管およびアクセス技術についてどう述べているか?
How does PECR consent fit with the lawful basis requirements of the UK GDPR? PECRの同意は、英国GDPRの合法的根拠要件とどのように適合するか?
What does PECR say about subsequent processing? PECRは事後処理についてどのように述べているか?
How do we comply with the rules? どのように規則を遵守するのか?
Who is responsible for compliance? 誰が遵守の責任を負うのか?
How do we consider PECR when designing a new online service? 新しいオンラインサービスを設計する際、PECRをどのように考慮するか?
What do we need to consider if we use someone else’s technologies on our online service? オンラインサービスで他者の技術を使用する場合、何を考慮する必要があるか?
How do we tell people about the storage and access technologies we use? 私たちが使用するストレージやアクセス技術について、どのように人々に伝えるか?
How do we tell people about storage and access technologies set on websites that we link to? リンク先のウェブサイトに設定されているストレージやアクセス技術について、どのように人々に伝えるか?
Can we pre-enable any non-essential storage and access technologies? 必要でないストレージやアクセス技術を事前に有効にすることは可能か?
How long can we store or access information for? どれくらいの期間、情報を保存したりアクセスしたりすることができるか?
What is an audit and how can we do one? 監査とは何か、監査はどのように行うのか。
How do we manage consent in practice? 同意はどのように管理するのか?
When do we need to get consent? いつ同意を得る必要があるのか?
Who do we need consent from? 誰からの同意が必要か?
How do we request consent? どのように同意を求めるのか?
Can we use pop-ups and similar techniques? ポップアップや類似のテクニックを使用してよいか?
Our expectations for consent mechanisms 同意の仕組みに対する期待
Can we rely on settings-led consent? 設定主導の同意に頼ることができるか?
Can we rely on feature-led consent? 機能主導の同意に頼ることができるか?
Can we rely on browser settings and other control mechanisms for consent? 同意のためにブラウザの設定やその他の制御メカニズムに頼ることができるか?
Can we use ‘terms and conditions’ to gain consent? 同意を得るために「利用規約」を使用できるか?
Can we bundle consent requests? 同意の要請を束ねることができるか?
How often do we need to request consent? どれくらいの頻度で同意を求める必要があるか?
What if our use of storage and access technologies changes? 保存技術やアクセス技術の使用に変更があった場合はどうするか?
How do we keep records of user preferences? ユーザーのプリファレンスの記録はどのように保存するか?
What if a user withdraws their consent? ユーザーが同意を撤回した場合はどうするか?
How do the rules apply to online advertising? ルールはオンライン広告にどのように適用されるか?
Do we need consent for tracking and profiling for online advertising? オンライン広告のトラッキングやプロファイリングに同意は必要か?
Does ad measurement require consent? 広告測定には同意が必要か?
What types of online advertising can we use? どのようなオンライン広告を利用できるか?
Can we use ‘cookie walls’ or ‘consent or pay’ models? 「Cookieの壁」や「同意または支払い」モデルを使用できるか?
What happens if we don’t comply? コンプライアンスに従わない場合はどうなるのか?
Glossary 用語集

 

 


 

そして、重要なのは「影響アセスメント」です...日本もこういうアセスメントをきっちりと義務付けることが、重要なのではないかと思います。。。

 

・[PDF] Guidance on the use of storage and access technologies impact assessment - DRAFT

20241224-75432

 

目次...

Contents  目次 
Executive summary エグゼクティブサマリー
1. Introduction 1. 序文
1.1. Our approach to impact assessment 1.1. 影響アセスメントへのアプローチ
1.2. Report structure 1.2. 報告書の構成
2. Problem definition 2. 問題の定義
2.1. What are storage and access technologies? 2.1. ストレージ技術とアクセス技術とは何か?
2.2. Problem definition 2.2. 問題の定義
2.3. Use of storage and access technologies within the UK 2.3. 英国内でのストレージとアクセス技術の利用
3. Rationale for Intervention 3. 介入の理由
3.1. Data protection (DP) harms 3.1. データ保護(DP)の弊害
3.2. Policy Context 3.2. 政策の背景
3.3. Market failures 3.3. 市場の失敗
3.4. Summary of rationale for intervention 3.4. 介入の根拠
4. Options appraisal 4. オプション評価
4.1. Options for consideration 4.1. 検討すべき選択肢
4.2. Assessment of options 4.2. オプションのアセスメント
5. Detail of proposed intervention 5. 介入案の詳細
5.1. The guidance 5.1. ガイダンス
5.2. Scope of draft guidance 5.2. ドラフトガイダンスの範囲
5.3. Guidance timeline 5.3. ガイダンスのスケジュール
5.4. Affected groups 5.4. 影響を受けるグループ
6. Cost-benefit analysis 6. 費用便益分析
6.1. Identifying impacts 6.1. 影響の識別
6.2. Counterfactual 6.2. 反事実
6.3. Costs and Benefits 6.3. 費用と便益
7. Monitoring and review 7. モニタリングとレビュー
Annex A: What are storage and access technologies? 附属書A:保管技術とアクセス技術とは何か?
Annex B: Measurement of affected groups 附属書B:影響を受けるグループの測定
Annex C: Familiarisation costs 附属書C:周知コスト

 

 

エグゼクティブサマリー

Executive summary  エグゼクティブサマリー 
This draft impact assessment accompanies our draft guidance on the use of storage and access technologies. The overarching objectives of the guidance are to provide regulatory certainty to organisations:  本影響評価ドラフトは、保管・アクセス技術の使用に関するガイダンスのドラフトに付随するものである。ガイダンスの包括的な目的は、組織に規制上の確実性を提供することである: 
• on compliant practices for using storage and/or access to information on a device;  - デバイス上の情報へのストレージおよび/またはアクセスを使用する際の、コンプライアンスに準拠した慣行について; 
• in the application and use of consent mechanisms, where required; and  - 必要な場合には、同意メカニズムの適用と使用に関して。
• regarding our expectations when they are using storage and access technologies.  - また、必要な場合には、同意の仕組みの適用と使用についてである。
This document sets out our initial impact findings for consultation, alongside consultation on the draft guidance itself. It is important to note that this isn’t an exhaustive assessment, and we will develop our analysis further as we move towards publication of the final guidance based on information and feedback received. We are seeking feedback on this draft impact assessment, as well as any other information and insights stakeholders can provide on impacts through the consultation process.  本書は、ドラフトガイダンス自体に関するコンサルテーションと並行して、コンサルテーションのための初期影響調査結果を示すものである。これは網羅的な評価ではないことに留意することが重要であり、最終ガイダンスの公表に向けて、寄せられた情報やフィードバックに基づき、さらに分析を深めていく予定である。我々は、この影響アセスメント草案に対するフィードバックを求めるとともに、コンサルテーション・プロセスを通じて、利害関係者が影響に関して提供できるその他の情報や洞察も求めている。
Problem definition and rationale for intervention  問題の定義と介入の根拠 
Storage and access technologies refer to any technology that stores information, or accesses information that is stored on a subscriber or user’s ‘terminal equipment’ (for instance a smartphone or laptop). This is explained further in Annex A, and includes, but is not limited to:  ストレージおよびアクセス技術とは、加入者またはユーザーの「端末機器」(例えば、スマー トフォンやラップトップ)に保存されている情報を保存したり、情報にアクセスしたりするあらゆる 技術を指す。これについては附属書Aで詳しく説明し、以下を含むが、これらに限定されない: 
• cookies;  - クッキー; 
• tracking pixels;  - トラッキングピクセル 
• link decoration and navigational tracking;  - リンク装飾およびナビゲーショントラッキング 
• scripts and tags; • web storage; and  - スクリプトとタグ。
• device fingerprinting.  - デバイスのフィンガープリンティング。
Since our current guidance was produced in 2019 there have been important developments in relation to storage and access technologies. As a result, our guidance no longer reflects current market practices and has given rise to a need for greater regulatory certainty.  2019年に現行のガイダンスが作成されて以来、ストレージとアクセス技術に関連して重要な進展があった。その結果、我々のガイダンスはもはや現在の市場慣行を反映しておらず、より確実な規制の必要性が生じている。 
The ICO is well placed to provide this regulatory certainty and reduce the risk of harms materialising to individuals and wider society from the use of storage and access technologies. With the growing adoption of these technologies across the economy it is expected that without intervention the potential for these harms will rise.  ICOは、この規制上の確実性を提供し、ストレージ・アクセス技術の使用から個人やより広範な社会が被害を受けるリスクを低減するために十分な立場にある。このような技術の採用が経済全体に拡大する中、介入がなければ、このような危害の可能性が高まることが予想される。
Options appraisal  選択肢の評価 
In the context of the identified problem, the following options for intervention were considered:  識別された問題を踏まえ、以下の介入オプションが検討された: 
• Do nothing: Do not update the current version of the detailed cookies guidance, published in 2019.  - 何もしない:2019年に発行される詳細なクッキーガイダンスの現行版を更新しない。 
• Provide a significant update to guidance (preferred option):  - ガイダンスに大幅な更新をプロバイダする(好ましい選択肢): 
Provide a significant update to the detailed cookies guidance, that will: o Clarify and expand on established policy positions where we can provide further regulatory certainty.  詳細なCookieガイダンスに大幅な更新をプロバイダとして提供する。 
o Provide equal weight to “similar technologies” (such as web storage and scripts and tags) alongside cookies by renaming the guidance products and providing new examples.  o ガイダンスの製品名を変更し、新しい例を提供することで、クッキーと並ぶ「類似の技術」(ウェブストレージやスクリプト、タグなど)に同等の重みを与える。
o Provide clarity by using the new style guide and must / should / could framework.  o 新しいスタイルガイドとmust/should/couldの枠組みを使用することにより、明確性を提供する。 
• Provide a light update to guidance (do less): Provide a light update to the detailed cookies guidance, that will:  - ガイダンスを軽く更新する(do less): 詳細なクッキーのガイダンスに軽いアップデートを提供する: 
o Provide clarity by using the new style guide and must / should / could framework.  o 新しいスタイルガイドとmust、should、couldの枠組みを使用することで明確性を提供する。 
Provide sector specific guidance (do more): Provide sector specific guidance and/ or detailed device-specific guidance.  - セクター別のガイダンスを提供する(もっとやる): 新しいスタイルガイドとmust、should、couldの枠組みを使用することで明確性を提供する。
These options were assessed against a number of critical success factors and the production of a significant update to guidance was identified as the preferred option. The preferred option ensures that guidance on storage and access technologies reflects the current use of technology and reduces the risk of the ICO being challenged on outdated guidance.  これらの選択肢は、多くの重要成功要因に照らしてアセスメントされ、ガイダンスの大幅な更 新が好ましい選択肢として特定された。好ましい選択肢は、保管とアクセス技術に関するガイダンスが現在の技術利用を反映することを保証し、ICOが時代遅れのガイダンスについて異議を唱えられるリスクを軽減する。
Details of proposed intervention  介入案の詳細 
The update to the ‘guidance on the use of cookies and similar technologies’ will expand on existing guidance, reframing it as ‘guidance on the use of storage and access technologies’. The guidance is aimed at providers of online services, including web or app developers, who need a deeper understanding of how PECR (Reg 6) and UK GDPR (where the use of these technologies involves the processing of personal data) apply to the use of storage and access technologies. It provides greater regulatory certainty by setting out what organisations must, should, and could do to comply with legislative requirements within the ICO’s remit or relevant established case law.  クッキーおよび類似技術の使用に関するガイダンス」の更新は、既存のガイダンスを拡大し、「保存およびアクセス技術の使用に関するガイダンス」として再構成する。このガイダンスは、ウェブやアプリの開発者を含むオンラインサービスのプロバイダを対象としており、PECR(規則6)と英国GDPR(これらの技術の使用がパーソナルデータの処理を伴う場合)がストレージとアクセス技術の使用にどのように適用されるかを深く理解する必要がある。このガイダンスは、ICOの権限または関連する確立された判例法の範囲内で、組織が法律上の要件を遵守するために何をしなければならず、何をすべきで、何ができるかを示すことにより、規制の確実性を高めるものである。
The route to impact for the guidance is set out in the theory of change in Figure 1 in Section 5. There are various groups that could be affected by the guidance including:  ガイダンスの影響経路は、セクション 5 の図 1 の変化理論に示されている。ガイダンスの影響を受ける可能性のあるグループは以下の通りである: 
• Online service providers: Organisations that use storage and access technologies for essential and non-essential purposes;  - オンラインサービスプロバイダ: オンライン・サービス・プロバイダー:必須および非必須の目的でストレージおよびアクセス技術を使用する組織; 
• Supply chain: Organisations that interact with and assist in collection and processing of information stored and/or accessed on online services; using storage and access technologies;  - サプライチェーン: サプライチェーン:オンラインサービス上に保存及び/又はアクセスされた情報の収集及び処理に関与し、それを支援する組織; 
• UK organisations: Organisations that use online advertising;  - 英国の組織: 英国の組織:オンライン広告を利用する組織; 
• UK population users: People who interact with online services that use storage and access technologies;  - 英国の人口ユーザー: 英国の利用者:ストレージおよびアクセス技術を使用するオンラインサービスとやりとりする人々; 
• The ICO; and  - ICO、および 
• Wider society.  - より広い社会 
Cost-benefit analysis  費用便益分析 
The costs and benefits of the intervention have been identified, as far as is possible and proportionate. Our ability to fully quantify and monetise impacts has been limited given the evidence gaps around the scale of affected groups.  介入によるコストと便益は、可能かつ適切な範囲で特定した。影響を完全に定量化し、収益化する能力は、影響を受けるグループの規模に関するエビデンスのギャップを考慮すると、限定的である。
We will develop our cost-benefit analysis further as we move towards publication of the final guidance based on information and feedback received through the consultation process.  最終ガイダンスの公表に向け、協議プロセスを通じて得られた情報やフィードバックに基づき、費用便益分析をさらに発展させる予定である。
Although there will be costs to organisations from reading, understanding and implementing the guidance, this is expected to be outweighed by the wider societal benefits of reduced data protection harms. On balance we expect the guidance to have a net positive impact.  ガイダンスを読み、理解し、実施することによって、組織にはコストがかかるが、データ保護の害が減少するというより広い社会的利益によって、このコストは上回ると予想される。バランスとしては、このガイダンスは正味でプラスに働くと期待している。
Monitoring and evaluation  モニタリングと評価 
An appropriate and proportionate review structure will be put in place when finalising our guidance. This will follow best practice and align with our organisational reporting and measurement against ICO25 objectives.  ガイダンスを最終化する際には、適切かつ適切なレビュー体制が導入される。これはベストプラクティスに従ったものであり、ICO25 の目標に対する我々の組織的な報告および測定と整合するものである。

 

 

 

| | Comments (0)

2024.12.19

オランダ データ保護局 意見募集 社会的スコアリングのためのAIシステム + 操作および搾取的AIシステムに関する意見募集の概要と次のステップ

こんにちは、丸山満彦です。

オランダのデータ保護局が

(1) 第3回の意見募集となる「社会的スコアリングのためのAIシステム」についての意見募集

(2) 第1回の意見募集であった「操作および搾取を目的としたAIシステム」についての意見募集結果と次のステップ

を公表していますね...

社会スコアリングのためのAIシステムは、中国では活用され?、EUのAI法では禁止されているものですね...

 

AI法第5条で禁止されるAIが8つ定義されています...

A:特定の操作型AIシステム(サブリミナル技術の利用等)
B:特定の搾取的AIシステム(個人や集団の弱みに漬け込む利用等)
C:ソーシャル・スコアを用いて作動する特定のAIシステム
D:個人による犯罪の可能性を予測する特定のAIシステム
E:顔画像の非標的スクレイピング
F:職場や教育における感情認識のための特定のAIシステム
G:生体認証による人物分類のための特定のAIシステム
H:法執行目的の公共の場における遠隔リアルタイム生体認証のための特定のAIシステム

 

第1回

A:特定の操作型AIシステム(サブリミナル技術の利用等)
B:特定の搾取的AIシステム(個人や集団の弱みに漬け込む利用等)

第2回

F:職場や教育における感情認識のための特定のAIシステム

について意見募集が行われ、

今回第1回についての回答があり、

第3回として、

C:ソーシャル・スコアを用いて作動する特定のAIシステム

についての意見募集がおこなわれているという感じですね...

 

第1回の操作および搾取を目的としたAIシステムについて得られた結果に対する主な所見...

  1. 多くの回答者は、禁止事項に関連する行為はすでに他の水平または分野別の法律や規制によって規制または禁止されていると指摘している。

  2. 複数の回答者は、AIが人を欺いたり、操作したり、利用したりする可能性をより説得力のある形で提供していると指摘している。

  3. 回答者は、禁止事項が規準で詳細に説明されていないため、ガイドラインでさらに明確化する必要があると指摘している。

 

AI法がない日本でも個人情報保護法で利用が禁止される利用についてガイドをつくることはできそうですね...

 

● Autoriteit Persoonsgegevens

・2024.12.18 Call for input AI systems for social scoring

Call for input AI systems for social scoring 社会的スコアリングのためのAIシステムに関する意見募集
The Dutch Data Protection Authority (AP) calls for input on prohibitions in the AI Act. オランダデータ保護局(AP)は、AI法における禁止事項に関する意見を募集している。
In this call for input, we adress the prohibition in the AI Act: AI systems for social scoring. In the call for input, specific criteria for the prohibitions are delineated and several questions are asked. Please provide your input by the 7th of February 2025 at the latest. この意見募集では、AI法における禁止事項である「社会的スコアリングのためのAIシステム」を取り上げる。意見募集では、禁止事項の具体的な基準が示され、いくつかの質問が提示されている。意見は遅くとも2025年2月7日までにご提出いただきたい。
At a later stage, we will also ask for input with respect to other prohibitions. 後日、その他の禁止事項についても意見を募集する予定である。
Also view: Input on prohibited AI systems こちらもご覧ください:禁止されたAIシステムに関する意見

 

過去の2回分も含めて...いずれもこのブログで紹介しています(^^) (第1回 第2回)

Input on prohibited AI systems

Input on prohibited AI systems 禁止されるAIシステムに関する意見
As coordinating supervisor on algorithms and AI, the AP has started with the preparation of the supervision on prohibited AI systems. The prohibitions apply from the 2nd of February 2025 onwards. アルゴリズムおよびAIに関する調整監督者として、APは禁止されるAIシステムに関する監督の準備から着手した。禁止は2025年2月2日以降に適用される。
Citizens, governments, businesses and other organisations will be asked to provide their input on the prohibitions in the AI Act. We can use all the input to consider the necessary further clarification of the prohibited systems. 市民、政府、企業、その他の組織は、AI法における禁止事項に関する意見を求められることになる。我々は、禁止されるシステムについて必要なさらなる明確化を検討するために、すべての意見を活用することができる。
The AI Act sets out multiple prohibitions, that is why we will publish several calls.  AI法では複数の禁止事項が定められているため、複数の意見募集を行う。
Current call for input 現在の意見募集
Third call: AI systems for social scoring 第3回意見募集:社会的スコアリングのためのAIシステム
In the third call for input, we address the prohibition C in the AI Act: AI systems for social scoring. 第3回意見募集では、AI法の禁止事項C、すなわち社会的スコアリングのためのAIシステムを取り上げる。
In the call for input, specific criteria for the prohibition are delineated and several questions are asked. Please provide your input by the 7th of February 2025 at the latest. 意見募集では、禁止事項の具体的な基準が示され、いくつかの質問が提示される。2025年2月7日までに意見を提出すること。
Previous calls for input これまでの意見募集
First call: manipulative and exploitative AI systems 第1回:操作および搾取を目的としたAIシステム
In the first call for input, we adress two of the prohibitions in the AI Act: manipulative and deceptive AI systems (prohibition A) and exploitative AI systems (prohibition B). 第1回意見募集では、AI法における禁止事項のうち、操作および欺瞞を目的としたAIシステム(禁止事項A)と搾取を目的としたAIシステム(禁止事項B)の2つを取り上げた。
Update: this call is closed. Read the summary of responses and next steps.  最新情報:この意見募集は終了した。回答の概要と今後のステップについてはこちら。
Second call: AI systems for emotion recognition in the areas of workplace and education institutions 第2回:職場および教育機関における感情認識を目的としたAIシステム
In the second call for input , we address the sixth prohibition in the AI Act: AI systems for emotion recognition in the areas of workplace and education institutions (prohibition F). 第2回意見募集では、AI法における6つ目の禁止事項である、職場および教育機関における感情認識用AIシステム(禁止事項F)について取り扱う。
Update: this call is closed. 更新:この募集は終了した。

 

で今回の文書...

・[PDF

20241219-62340

 

AI systems for social scoring  社会的スコアリングのためのAIシステム
Prohibition in EU Regulation 2024/1689 (AI Act)  EU規則2024/1689(AI法)による禁止
Autoriteit Persoonsgegevens (NL) – Department for the Coordination of Algorithmic Oversight (DCA)  オランダ個人データ保護局 - アルゴリズム監督調整局(DCA) 
December 2024 2024年12月
DCA-2024-03  DCA-2024-03 
Summary 概要
The European AI Act (2024/1689) has been in force since 1 August 2024 and regulates the use of Artificial Intelligence (AI) in the European Union (EU). The AI act has a risk-based approach. As a result, certain AI systems posing an unacceptable risk are prohibited from 2 February 2025. 欧州AI法(2024/1689)は2024年8月1日より施行されており、欧州連合(EU)における人工知能(AI)の利用を規制している。AI法はリスクベースのアプローチを採用している。その結果、容認できないリスクをもたらす特定のAIシステムは、2025年2月2日より禁止される。
It is up to the supervisors of the AI Act to explain how the prohibitions will be interpreted for the purpose of supervision. In order to prepare for this in The Netherlands, the Autoriteit Persoonsgegevens (AP) asks interested parties (citizens, governments, businesses and other organisations) and their representatives for their needs, information and insights. We can use all input to consider the necessary further clarification of the prohibited AI systems. 禁止事項が監督の目的でどのように解釈されるかについては、AI法の監督当局が説明する。オランダではこれに備えるため、オランダ個人データ保護局(AP)は、利害関係者(市民、政府、企業、その他の組織)およびその代表者に対して、ニーズ、情報、見解を求めている。禁止されたAIシステムについて、必要なさらなる明確化を検討するために、あらゆる意見を活用することができる。
On 27 September 2024, the AP published the first call for input on the first two prohibitions of the AI Act and on 31 October the second call for input on emotion recognition in the areas of workplace or education institutions. In this third call for input, we address the third prohibition: AI systems for social scoring  (prohibition C). This document outlines specific criteria for these prohibited AI systems while requesting (additional) input through a set of questions. Contributions can be submitted until 7 February 2025. 2024年9月27日、APはAI法の最初の2つの禁止事項に関する最初の意見募集を行い、10月31日には職場や教育機関における感情認識に関する2回目の意見募集を行った。この3回目の意見募集では、3つ目の禁止事項である「社会的スコアリングのためのAIシステム(禁止事項C)」を取り上げる。この文書では、これらの禁止されたAIシステムに関する具体的な規準を概説しながら、一連の質問を通じて(追加の)意見を求めている。意見は2025年2月7日まで提出可能である。
The AP makes this call for input based on its role as a coordinating supervisor of algorithms and AI. For the purpose of this new task, the Department for the Coordination of Algorithmic Oversight (DCA) was established within the AP. This call for input also aligns with the preparatory work being done in support of future supervision of AI systems that are prohibited under the AI Act. The Dutch government is currently working on the formal designation of national supervisory authorities for the AI Act. APは、アルゴリズムおよびAIの調整監督機関としての役割に基づき、意見募集の呼びかけを行っている。この新たな任務を遂行するために、AP内にアルゴリズム監督調整局(DCA)が設立された。この意見募集の呼びかけは、AI法で禁止されたAIシステムの将来的な監督を支援する準備作業とも一致している。オランダ政府は現在、AI法に関する国家監督当局の正式指定に取り組んでいる。
I. Background I. 背景
1.   The European AI Act (2024/1689) has been in force since 1 August 2024. This Regulation sets out rules for the provision and the use of artificial intelligence (AI) in the EU. The premise of the AI Act is that while there are numerous beneficial applications of AI, the technology also entails risks that have to be managed. The legislation follows a risk-based approach. More restrictive rules will apply to those AI systems that pose a greater risk. Some systems entail such an unacceptable risk that their placing on the market or use is completely prohibited. This is, for example, the case with AI systems that are used for social scoring. The prohibitions are set out in Article 5 of the AI Act. 1. 欧州AI法(2024/1689)は2024年8月1日より施行されている。この規則は、EUにおける人工知能(AI)の提供および利用に関する規則を定めている。AI法の前提は、AIには数多くの有益な用途がある一方で、この技術には管理が必要なリスクも伴うというものである。この法律はリスクベースのアプローチを採用している。より大きなリスクをもたらすAIシステムには、より制限的な規則が適用される。一部のシステムは、市場への投入や使用が完全に禁止されるほど容認できないリスクを伴う。これは、例えば社会的スコアリングに使用されるAIシステムの場合である。禁止事項はAI法第5条に規定されている。
2.   This call for input provides a preliminary basis for further clarification of the prohibitions in the AI Act. To get there, this call for input aims to gather generic information and insights on, among other things, the functioning of AI technologies and the application possibilities that are relevant to the clarification of the prohibitions. 2. この意見募集は、AI法における禁止事項のさらなる明確化に向けた予備的な基礎を提供するものである。この意見募集では、禁止事項の明確化に関連するAI技術の機能や応用可能性など、一般的な情報や見識を集めることを目的としている。
Prohibited AI applications as from February 2025 2025年2月以降禁止されるAIアプリケーション
3. The prohibitions in the AI Act will become applicable soon. As from 2 February 2025, the prohibited AI systems listed in Article 5 may no longer be put on the European market or used. As from 2 August 2025, market surveillance authorities should be designated for prohibited AI systems and sanctions may be imposed for violations of the prohibitions. Before this time, violation of one of the prohibitions could already lead to civil liability. 3. AI法の禁止規定は間もなく適用される。2025年2月2日以降、第5条に列挙された禁止AIシステムは欧州市場に投入したり使用したりすることはできなくなる。2025年8月2日以降、禁止AIシステムについては市場監視当局が指定され、禁止規定違反に対して制裁が科される可能性がある。それ以前であっても、禁止規定のいずれかに違反した場合は民事責任を問われる可能性がある。
Supervision in the Netherlands on compliance with the prohibitions オランダにおける禁止事項の遵守に関する監督
4.     The Dutch government is currently working on legislation designating which supervisory authority will be responsible for overseeing compliance with the prohibitions. The AP (from the Department for the Coordination of Algorithmic Oversight) and the Dutch Authority for Digital Infrastructure (RDI) have issued an advice on this matter in collaboration and coordination with other supervisory authorities. It has been recommended, among other things, that the AP could be designated as the market surveillance authority for most of the prohibitions in Article 5. Following these recommendations, the AP will closely cooperate with other relevant supervisors for the supervision of prohibited AI systems. 4. オランダ政府は現在、どの監督当局が禁止事項の遵守を監督する責任を負うかを定める法律の策定に取り組んでいる。AP(アルゴリズム監督調整局)とオランダのデジタルインフラ当局(RDI)は、他の監督当局と協力・調整しながら、この問題に関する助言を発表した。とりわけ、第5条の禁止事項のほとんどについて、APを市場監視当局として指定することが推奨されている。これらの勧告に従い、APは禁止されたAIシステムの監視に関して、他の関連監督当局と緊密に協力する。
5.     Because the prohibitons in this call concern AI systems that also fall under other Union laws, this call has been coordinated within the AI  and Algorithm group of the Dutch Cooperation Platform of Digital Supervisory authorities. This is in the spirit of the requirement in Article 70(8) of the AI Act to consult relevant national competent authorities responsible for other Union law that covers AI systems. 5. 本要請における禁止事項は、他のEU法にも該当するAIシステムに関するものであるため、本要請は、オランダのデジタル監督当局協力プラットフォームのAIおよびアルゴリズムグループ内で調整されている。これは、AIシステムを対象とする他のEU法を担当する関連の国内所轄当局と協議するというAI法第70条(8)項の要件の精神に則ったものである。
II. About this call for input II. 本意見募集要請について
Purpose: Why do we ask for input 目的:なぜ意見を求めるのか
6.     It is up to the supervisors of the AI Act to explain how the prohibitions will be interpreted for the purpose of supervision. In preparation for this, the AP is asking for information and insights from stakeholders (citizens, governments, companies and other organisations) and their representatives. All responses can be used for further explanation of the prohibited AI. Within the AP, the Department for the Coordination of Algorithmic Oversight is charged with this task. 6. 禁止事項が監督の目的でどのように解釈されるかを説明するのは、AI法の監督当局の責任である。これに備えて、APは利害関係者(市民、政府、企業、その他の組織)およびその代表者から情報や見識を求めている。すべての回答は、禁止されたAIのさらなる説明に使用することができる。AP内では、アルゴリズム監督調整局がこの任務を担っている。
7.     This call for input discusses the prohibition outlined in Article 5, paragraph 1, subparagraph c of the AI Act. In addition to this call for input, the AP already published a first call on 27 September 2024 on two other prohibitions, namely the prohibition on manipulative and deceptive AI systems and the prohibition on exploitative AI systems. The second call for input on emotion recognition in the areas of workplace or education institutions was published on October 31 2024 7. この意見募集では、AI法第5条第1項c号に規定された禁止事項について議論する。この意見募集に加えて、APはすでに2024年9月27日に、2つの他の禁止事項、すなわち、操作および欺瞞的なAIシステムに関する禁止事項と、搾取的なAIシステムに関する禁止事項に関する最初の意見募集を行っている。職場または教育機関における感情認識に関する2回目の意見募集は、2024年10月31日に発表された
8.     The legislative text and the recitals serve as the foundations for this call for input. Given the scope and possible impact of this prohibition, a call for input is issued for this prohibition. Please refer to the annex to this document for an overview of all prohibitions in subparagraphs (a) to (g) of Article 5, paragraph 1 of the AI Act. 8. 立法文および前文は、本意見募集の基礎となる。本禁止事項の範囲および影響を考慮し、本禁止事項に関する意見募集を行う。AI法第5条第1項(a)から(g)のすべての禁止事項の概要については、本文書の附属書を参照のこと。
9.     This call for input highlights specific aspects of this prohibition. The focus is on those specific criteria that determine whether or not an AI system is within the scope of this prohibition. Each criterion is briefly explained based on the legislator’s recitals of the AI Act. In some cases, we provide an interpretation of our own. If we do so, this is explicitly mentioned. We then pose several questions, the answers to which will contribute to a better understanding of the prohibition. 9. この意見募集では、この禁止事項の特定の側面を強調する。焦点は、AIシステムがこの禁止事項の対象範囲内にあるかどうかを決定する特定の規準にある。各規準は、AI法の立法者の序文に基づいて簡単に説明されている。場合によっては、独自の解釈を提示している。その場合は、その旨を明示的に記載している。次に、禁止事項のより良い理解に役立ついくつかの質問を提示する。
Process: This is how you send your input to us. プロセス: これが、皆様からご意見をいただく方法である。
10.  You decide which questions you answer. You can also provide us with other relevant input in addition to the questions asked. Please send your input to [mail]
by 7 February 2025. Please mention the subject “call for input DCA-2024-03 (‘AI systems for social scoring’) and your name and/or your organisation in your email. If desired, you can provide us with your contact details so that we can reach you in case we have further questions. When we have received your input, we will send you a confirmation by e-mail.
10. どの質問に回答するかは、皆様が決定する。また、質問された項目以外にも、関連するご意見を提出していただいても構わない。ご意見は、2025年2月7日までに[mail]
までお送りいただきたい。メールには、「意見募集 DCA-2024-03(「社会的スコアリングのためのAIシステム」)について」という件名と、氏名および/または所属を記載すること。必要に応じて、追加の質問がある場合に連絡できるよう、連絡先を記載することも可能。意見を受け取った後、確認のメールを返信する。
Follow-up: What do we do with your input? フォローアップ:意見はどのように扱われるのか?
11.  After the closure of this call for input, the AP will publish a summary and appreciation of the input on AI systems for emotion recognition in the areas of workplace or education institutions. In this summary, we will refer in generic terms to the input received (e.g., “several sectoral representative organisations have indicated that’, “a developer of AI systems points out that”, “organisations advocating for fundamental rights note that”). If preferred and indicated by you, we may explicitly name your organisation or group. Through our summarised and evaluative response, we can also share the acquired insights with other (European) AI supervisory authorities. For instance, the summary and appreciation of the contribution may be utilised in the drafting of guidelines on the prohibitions. 11. 意見募集期間終了後、APは職場または教育機関における感情認識AIシステムに関する意見の要約と評価を公表する。この要約では、受け取った意見を一般的に言及する(例えば、「複数の部門代表組織が指摘している」、「AIシステム開発者が指摘している」、「基本的人権を擁護する組織が指摘している」など)。ご要望があり、ご指示いただければ、貴団体またはグループを明示的に名指しすることも可能である。要約と評価を伴う回答を通じて、我々はまた、他の(欧州)AI監督当局と得られた洞察を共有することもできる。例えば、貢献の要約と評価は、禁止に関するガイドラインのドラフト作成に活用できる可能性がある。
12.  We will only use your input for our task to obtain information and insights about the prohibitions in the AI Act. We will delete your personal data after publication of our summary and evaluation of the input, unless you have given permission for further use. For more information about how we process personal data, please see: The AP and privacy. 12. 皆様からいただいたご意見は、AI法における禁止事項に関する情報および見識を得るという私たちの任務にのみ使用する。私たちは、皆様からいただいたご意見の要約および評価を公表した後、皆様がそれ以上の使用を許可しない限り、皆様の個人情報を削除する。個人情報の取り扱いに関する詳細は、APとプライバシーを参照のこと。
More calls for input さらなる意見募集
13. Following this call, there may be more calls for input on other parts of the AI Act, including the prohibitions. The AP has previously called for input on manipulative, misleading and exploitative AI systems as well as on AI systems that are used for emotion recognition in the areas of workplace or education institutions. 13. 本意見募集に続き、禁止事項を含むAI法の他の部分について、さらなる意見募集が行われる可能性がある。APは、これまでにも、操作的なAIシステム、誤解を招くAIシステム、搾取的なAIシステム、および職場や教育機関における感情認識に使用されるAIシステムについて意見を募集している。
III. Definition of the prohibition on AI systems for social scoring III. 社会的スコアリングのためのAIシステムの禁止の定義
General scope of prohibited AI systems 禁止されるAIシステムの一般的な範囲
14.The AI Act (and its prohibitions) apply to ‘AI systems’. Thus, in order to determine whether the Regulation applies, an important question is whether the product falls within the definition of an AI system: 14.AI法(およびその禁止事項)は「AIシステム」に適用される。したがって、規則が適用されるかどうかを判断するには、その製品がAIシステムの定義に該当するかが重要な問題となる。
‘ A machine-based system that is designed to operate with varying levels of autonomy and that may exhibit adaptiveness after deployment, and that, for explicit or implicit objectives, infers from the input it receives how to generate outputs such as predictions, content, recommendations or decisions that can influence physical or virtual environments.’ 「さまざまなレベルの自律性を備えて設計され、展開後に適応性を示す可能性があり、明示的または暗黙的な目的のために、予測、コンテンツ、推奨、または物理的または仮想環境に影響を与える可能性のある決定などの出力を生成する方法を、受け取った入力から推論する、機械ベースのシステム」
15.The prohibitions are addressed to providers (e.g. developers), deployers, importers, distributors and other operators. These operators shall not place on the market, put into service or use the prohibited AI systems. Therefore, it is important for the above operators to ensure that they do not place on the market or use a prohibited AI system. To do so, they will have to verify whether the AI system in question falls under the prohibitions in Article 5. 15.禁止事項は、プロバイダー(開発者など)、展開者、輸入業者、流通業者、その他の運営者に適用される。これらの事業者は、禁止されたAIシステムを市場に投入したり、使用したりしてはならない。したがって、上記の事業者は、禁止されたAIシステムを市場に投入したり使用したりしないことを確実にすることが重要である。そのためには、当該AIシステムが第5条の禁止事項に該当するかどうかを確認する必要がある。
Content of the prohibition 禁止の内容
16.This call for input focuses on the prohibition of AI systems used for social scoring. The AI Act prohibits AI systems used for social scoring by evaluating or classifying natural persons or groups of persons based on their social behaviour or personal characteristics (hereinafter: systems for social scoring). In the remainder of this call for input, we will refer to this prohibition as ‘prohibition C’. The Regulation defines this prohibition as follows: 16.本意見募集では、ソーシャル・スコアリングに用いられるAIシステムの禁止に焦点を当てる。AI法は、自然人または自然人の集団を、その社会的行動または個人的特性に基づいて評価または分類するAIシステム(以下「ソーシャル・スコアリング用システム」という)を禁止している。本意見募集の残りの部分では、この禁止を「禁止C」と呼ぶ。規則では、この禁止は次のように定義されている。
Article 5(1)(c) (‘Prohibition C’): 第5条(1)(c)(「禁止C」):
‘the placing on the market, putting into service or the use of AI systems for the evaluation or classification of natural persons or groups of persons over a certain period of time based on their social behaviour or known, inferred or predicted personal or personality characteristics, with the social score leading to either or both of the following: 「一定期間にわたって、自然人の評価または分類を行うAIシステムを市場に投入し、稼働させ、または使用すること。ただし、その評価または分類は、当該自然人の社会的行動、または既知、推論、予測された個人または人格的特性に基づくものとする。また、社会的スコアは、以下のいずれか、または両方につながるものとする。
i)            detrimental or unfavourable treatment of certain natural persons or groups of persons in a social contexts that are unrelated to the contexts in which the data was originally generated or collected; i) データがもともと生成または収集された文脈とは無関係な社会的文脈において、特定の自然人または自然人グループに不利益または好ましくない扱いをもたらすこと
ii)          detrimental or unfavourable treatment of certain natural persons or groups of persons that is unjustified or disproportionate to their social behaviour or its gravity;’ ii) 特定の自然人または自然人グループに不利益または好ましくない扱いをもたらすこと、ただし、その社会的行動またはその重大性に対して正当化できない、または不均衡である場合
17.Finally, the AI Act is without prejudice to the GDPR. Obligations of providers and deployers of AI systems in their role as controllers or processors stemming from Union or national law on the protection of personal data continue to apply in respect of the design, development or use of AI systems. 17.最後に、AI法はGDPRに影響を及ぼすものではない。AIシステムの設計、開発、または使用に関して、個人データの保護に関するEU法または国内法に由来する管理者または処理者としてのAIシステム提供者および展開者の義務は引き続き適用される。
IV. Criteria and questions regarding the prohibition IV.禁止に関する規準および質問
18. In order to structure this call for input, separate criteria of the prohibitions have been set out in more detail in the next section. These criteria are highlighted because they are important conditions for determining whether or not AI systems are covered by prohibition C. A brief explanation is provided for each criterion, based on the explanation provided by the legislator in the explanatory recitals to the AI Act. In some cases, explanations are based on the AP's own interpretation; this is clearly indicated. This is followed by some accompanying questions that you can use when giving your input. 18. この意見募集要項を構成するために、禁止事項の個別の規準が次のセクションでより詳細に説明されている。これらの規準は、AIシステムが禁止事項Cの対象となるかどうかを判断する上で重要な条件であるため、強調されている。各規準について、AI法の説明的な序文で立法者が提供した説明に基づいて、簡単な説明が提供されている。一部のケースでは、AP独自の解釈に基づく説明も含まれている。これは明確に示されている。これに続いて、意見を述べる際に使用できるいくつかの関連質問が記載されている。
Criterion 1: Social scoring: evaluation or classification of natural persons or groups of persons over a certain period of time based on their social behaviour or known, inferred or predicted personal or personality characteristics 規準1:ソーシャル・スコアリング:一定期間における自然人または人々のグループの社会的行動、または既知、推測、予測される個人的または人格的特性に基づく評価または分類
19. This prohibition covers certain AI systems intended for the evaluation or classification of natural persons or groups of persons, that is social scoring. This evaluation or classification – and thus the social scoring – may lead to the detrimental or unfavourable treatment of certain natural persons or groups of persons. The recital describes that social scoring may lead to discriminatory outcomes and the exclusion of certain groups, violating the right to dignity and non-discrimination and values such as equality and justice. The recitals also highlight that these AI systems for social scoring can be provided or deployed by both private and public actors. 19. この禁止は、自然人または人々のグループの評価または分類を目的とする特定のAIシステム、すなわちソーシャル・スコアリングを対象としている。この評価または分類、つまり社会的スコアリングは、特定の自然人または自然人グループに不利益または好ましくない扱いをもたらす可能性がある。前文では、社会的スコアリングは差別的な結果をもたらし、特定のグループを排除し、尊厳および非差別の権利、ならびに平等および正義といった価値観を侵害する可能性があると説明されている。また、前文では、社会的スコアリングのためのこれらのAIシステムは、民間および公共のアクターの両方によって提供または展開される可能性があることも強調されている。
20. The evaluation or classification should furthermore take place over a certain period of time and be based on social behaviour, or known, inferred or predicted personal or personality characteristics. Although the recitals do not provide any further explanation on the evaluation or classification based on known, inferred or predicted personal or personality characteristics, it is explained that, where this evaluation is based on social behaviour, it can be carried out in multiple contexts. 20. 評価または分類はさらに一定期間にわたって行われるべきであり、社会的行動、または既知、推論、予測された個人または人格的特性に基づくべきである。既知、推論、予測された個人または人格的特性に基づく評価または分類について、前文ではさらなる説明は提供されていないが、この評価が社会的行動に基づく場合、複数の文脈で実施できることが説明されている。
Questions related to criterion 1 規準1に関する質問
1. Can you describe (imaginary) AI systems used to evaluate or classify natural persons or groups of persons over a certain period of time and where this is made possible based on social behavior? 1. 一定期間における自然人または自然人の集団を評価または分類するために使用される(仮想の)AIシステムについて、また、それが社会行動に基づいて可能となる理由について説明できるか?
2. Can you describe (imaginary) AI systems used to evaluate or classify natural persons or groups of persons over a certain period of time and where this is made possible based  known, inferred or predicted personal or personality characteristics?
2. 一定期間における自然人または自然人グループを評価または分類するために使用される(仮想)AIシステムについて説明し、それが既知、推論、または予測された個人または人格特性に基づいて可能となることを説明できるか?
3. Is it clear to you what the distinction is between known, inferred and predicted personality characteristics? If not, could you explain this further? 3. 既知、推論、予測された人格特性の区別が明確であるか?明確でない場合、さらに説明できるか?
4. What questions or need for clarification in the context of this prohibition do you still have when distinguishing between evaluation or classification? What questions or need for clarification do you have in the context of this prohibition when distinguishing between this evaluation or classification based on social behaviour on the one hand or known, derived and predicted personality characteristics on the other hand? 4. 評価または分類を区別するにあたり、この禁止事項に関して、まだ疑問や明確化の必要性があるか?この禁止事項に関して、社会的行動に基づく評価または分類を区別するにあたり、疑問や明確化の必要性があるか?
5. A social score is the result of an evaluation or classification. Can you give an (imaginary) example of a description of a social score?   5. 社会スコアは評価または分類の結果である。社会スコアの記述の(架空の)例を挙げて説明できるか?
Criterion 2: Detrimental or unfavourable treatment 規準 2:有害または不利益な取り扱い
21.  The evaluation or classification by an AI system as described above – i.e. the ‘social scoring’ and the resulting social score – may result in detrimental or unfavourable treatment of certain natural persons or groups of persons. The following paragraphs describe two types of detrimental or unfavourable treatments, resulting from the social score, each of which, individually or in combination, entails that the AI practice is prohibited. 21. 上記で説明したAIシステムによる評価または分類、すなわち「社会的スコアリング」およびその結果としての社会スコアは、特定の自然人または自然人グループに対する有害または不利益な取り扱いにつながる可能性がある。以下の段落では、ソーシャルスコアに起因する2種類の不利益または不都合な扱いについて説明する。それぞれ単独または組み合わせにより、AIの使用が禁止されることになる。
According to the AP, AI systems that favour people could, in certain cases, also be covered by the prohibition if they indirectly result in detrimental or unfavourable treatment of other people. APによると、特定のケースでは、人々を優遇するAIシステムも、間接的に他の人々への不利益または不都合な扱いを引き起こす場合、禁止の対象となる可能性がある。
22.  Firstly, certain AI systems for social scoring are prohibited if the social score generated by the AI system results in the detrimental or unfavourable treatment of individuals in social contexts that are unrelated to the contexts in which the data were originally generated or collected. What constitutes detrimental or unfavourable treatment in the above situation is not explained in the recitals. It is however important that the social context in which this treatment takes place should not be related  to the context in which the data were originally generated or collected. As mentioned in paragraph 20 above, social scoring can take place in different contexts over a given period of time. According to the AP, it could therefore be concluded that it is in any event necessary that one of those contexts bears no relation to the context in which the detrimental treatment takes place. Furthermore, according to the AP it seems that the context in which the data were originally generated or collected does not necessarily have to be a social context. 22. まず、AIシステムによって生成された社会的スコアが、データがもともと生成または収集された文脈とは無関係な社会的文脈において、個人の不利益または不利な扱いにつながる場合、特定の社会的スコアリングのためのAIシステムは禁止される。上記のような状況における不利益または不利な扱いとはどのようなものかについては、前文では説明されていない。しかし、この扱いがなされる社会的文脈は、データがもともと生成または収集された文脈とは関連していないことが重要である。上述の第20項で述べたように、ソーシャル・スコアリングは、一定期間にわたって異なる状況下で行われる可能性がある。APによれば、いずれにしても、そのいずれかの状況が不利益な取扱いがなされる状況とは無関係であることが必要であると結論づけられる。さらに、APによれば、データが最初に生成または収集された状況は、必ずしも社会的状況である必要はないようである。
23.  Secondly, certain AI systems for social scoring are prohibited if the social score provided by the AI system results in the detrimental or unfavourable treatment of persons that is unjustified or disproportionate in relation to the gravity of the social behaviour. What constitutes detrimental or unfavourable treatment in the above situation is not explained in the recitals. The detrimental or unfavourable treatment should at least be: either unjustified, or disproportionate in relation to the gravity of the social behaviour. 23. 第二に、社会的スコアリングのための特定のAIシステムは、AIシステムが提供する社会スコアが、社会行動の重大性との関係において、不当または不均衡な、個人に対する不利益または不利な扱いをもたらす場合、禁止される。上記のような状況における不利益または不利な扱いの定義は、前文では説明されていない。不利益または不利な扱いは、少なくとも、社会行動の重大性との関係において、不当または不均衡なものでなければならない。
Questions related to criterion 2 規準2に関する質問
6.     Can you give (imaginary) examples of a detrimental or unfavourable treatment of persons that is related to a social score of an AI system? 6. 人工知能システムの社会的スコアに関連する、不利益または不利な扱いを受けた人の(架空の)例を挙げて説明できるか?
7.     Are there situations in which the advantage of one person or group of persons also leads to a implicit disadvantage of other persons? Can you give an (imaginary) example of this? 7. 一人の人または人々のグループが有利になることが、他の人々の暗黙の不利益につながる状況はあるか?この例を挙げて説明できるか?
8.     Can you describe or give an example of an AI system where the detrimental or unfavourable treatment in a social context is or is not related to the contexts in which the data were originally collected or generated? 8. 社会的文脈において有害または不利益な扱いが行われる、または行われない場合、その扱いが、データがもともと収集または生成された文脈に関連しているか、または関連していないか、AIシステムの例を挙げて説明できるか?
9.     Is it clear to you when there is an adverse or unfavourable treatment in a social context that is unrelated to the contexts in which the data were originally generated or collected? If not, what do you need more clarity about? Can you explain this further? 9. 社会的文脈において有害または不利益な扱いが行われる場合、その扱いが、データがもともと生成または収集された文脈に関連していないことは明確か? そうでない場合、何をより明確にする必要があるか? これをさらに説明できるか?
10.  Could you describe or give an example of AI systems where the detrimental or unfavourable treatment is unjustified or disproportionate to the gravity of the social behaviour? 10. 不利なまたは不適切な取扱いが、社会行動の重大性に対して不当または不均衡であるAIシステムの説明または例を挙げて説明できるか?
11. Is it sufficiently clear to you when there is a detrimental or unfavourable treatment that is unjustified or disproportionate to the social behaviour or its gravity?  If not, what do you need more clarity about? Can you explain this in more detail?  11. 不利なまたは不適切な取扱いが、社会行動またはその重大性に対して不当または不均衡である場合、十分に明確であるか? そうでない場合、何をより明確にする必要があるか? これをより詳細に説明できるか? 
Scope of the prohibition 禁止の範囲
24.  The recitals of the Regulation also set out situations in which an AI system should not be covered by the prohibitions. The recitals describe that the prohibition should not affect lawful evaluation practices of natural persons that are carried out for a specific purpose in accordance with Union and national law.  24. 規則の前文では、AIシステムが禁止の対象とされるべきではない状況も示されている。前文では、EU法および国内法に従って特定の目的のために実施される自然人による合法的な評価行為に禁止が影響を及ぼすべきではないことが説明されている。
Questions related to the scope of the prohibition 禁止の範囲に関する質問
12.  Could you provide an (imaginary) description of an AI social scoring system deployed in accordance with Union or national law? 12. 連合法または国内法に従って展開されたAIソーシャル・スコアリング・システムの(架空の)説明を提供できるか?
13. What further questions or clarifications do you have about the scope of this prohibition?  13. この禁止の範囲について、さらに質問または明確化したいことはあるか? 
25. In conclusion, it is stressed that this document does not cover all aspects of the prohibition.  Therefore, interested parties are expressly invited to provide relevant input, also outside the questions asked, for the further clarification of prohibition C 25. 結論として、この文書は禁止のすべての側面を網羅しているわけではないことを強調しておく。 したがって、利害関係者は、禁止Cのさらなる明確化のために、質問事項以外についても関連する意見を提示することが明確に求められている
Concluding questions 結語
14.  Apart from the questions posed, is there any relevant input that you would like to provide for the further clarificatio  n of Prohibition C? 14. 提示した質問以外に、禁止事項Cのさらなる明確化のために提供したい関連情報はあるか?
15. Do you think it is desirable that we explicitly mention your organisation or group in our public response to and appreciation of this call for input, e.g. so that we can discuss examples and considerations that you provide?  15. 意見募集への回答と謝意を表明する公開文書において、貴組織またはグループを明示的に言及することが望ましいと考えるか?例えば、貴組織が提供した事例や考察について議論できるようにするためなど。
Annex: overview of prohibitions from Article 5, paragraph 1 of the AI Act 2024/1689 附属書:AI法2024/1689第5条第1項による禁止事項の概要
Prohibition A: Certain manipulative AI systems 禁止事項A: ある種の操作的なAIシステム
AI systems that deploy subliminal techniques beyond a person’s consciousness or purposefully manipulative or deceptive techniques, with the objective, or the effect of materially distorting the behaviour of a person or a group of persons by appreciably impairing their ability to make an informed decision, thereby causing them to take a decision that they would not have otherwise taken in a manner that causes or is reasonably likely to cause that person, another person or group of persons significant harm. 人の意識を超えたサブリミナル的な技法、または意図的に操作的もしくは欺瞞的な技法を展開するAIシステムであって、その目的または効果が、十分な情報に基づいた意思決定を行う能力を著しく損なうことによって、人または人の集団の行動を実質的に歪め、それによって、その人、他の人または人の集団に重大な危害をもたらす、またはもたらす可能性が合理的に高い方法で、他の方法では行わなかったであろう意思決定を行わせるもの。
Prohibition B: Certain exploitative AI systems 禁止事項B:特定の搾取的AIシステム
AI systems that exploit any of the vulnerabilities of a natural person or a specific group of persons due to their age, disability or a specific social or economic situation, with the objective, or the effect, of materially distorting the behaviour of that person or a person belonging to that group in a manner that causes or is reasonably likely to cause that person or another person significant harm. 自然人または特定の集団の年齢、障害または特定の社会的もしくは経済的状況に起因する脆弱性を悪用するAIシステムであって、その人またはその集団に属する人の行動を、その人またはその集団に属する人に重大な危害をもたらすか、またはもたらす可能性が合理的に高い方法で、実質的に歪めることを目的とし、またはその効果を有するもの。
Prohibition C: Certain AI systems for social scoring 禁止事項C:社会的スコアリングのための特定のAIシステム
AI systems for the evaluation or classification of natural persons or groups of persons over a certain period of time based on their social behaviour or known, inferred or predicted personal or personality characteristics, with the social score leading to either or both of the following: 自然人または集団の社会的行動または既知、推論もしくは予測される個人的もしくは人格的特性に基づいて、一定期間にわたって評価または分類するためのAIシステムであって、社会的スコアが以下のいずれかまたは両方につながるもの:
• detrimental or unfavourable treatment of certain natural persons or groups of persons in social contexts that are unrelated to the contexts in which the data was originally generated or collected; •  データが元々生成または収集された文脈とは無関係な社会的文脈において、特定の自然人または集団が不利益または不利な扱いを受けること;
• detrimental or unfavourable treatment of certain natural persons or groups of persons that is unjustified or disproportionate to their social behaviour or its gravity. •  社会的行動またはその重大性に不当または不釣り合いな,特定の自然人または集団に対する不利益または不利な取り扱い。
Prohibition D: Certain AI systems for predictive policing 禁止事項D:予測的取り締まりのための特定のAIシステム
AI systems for making risk assessments of natural persons in order to assess or predict the risk of a natural person committing a criminal offence, based solely on the profiling of a natural person or on assessing their personality traits and characteristics; this prohibition shall not apply to AI systems used to support the human assessment of the involvement of a person in a criminal activity, which is already based on objective and verifiable facts directly linked to a criminal activity. 自然人が犯罪を犯すリスクを評価または予測するために、自然人のプロファイリングまたは人格的特徴および特性の評価のみに基づいて、自然人のリスクアセスメントを行うためのAIシステム。この禁止は、犯罪活動に直接関連する客観的かつ検証可能な事実に既に基づいている、犯罪活動への人の関与に関する人間の評価を支援するために使用されるAIシステムには適用されない。
Prohibition E: Untargeted scraping of facial images 禁止事項E.顔画像の非対象スクレイピング
AI systems that create or expand facial recognition databases through the untargeted scraping of facial images from the internet or CCTV footage. インターネットやCCTV映像から顔画像を非対象にスクレイピングすることにより、顔認識データベースを作成または拡張するAIシステム。
Prohibition F: Certain AI systems for emotion recognition in the workplace or in education 禁止事項F:職場や教育機関における感情認識のための特定のAIシステム
AI systems that infer emotions of a natural person in the areas of workplace and education institutions, except where the use of the AI system is intended to be put in place or into the market for medical or safety reasons. 職場や教育機構の分野における自然人の感情を推論するAIシステム。ただし、医療上または安全上の理由からAIシステムの導入または市場投入が意図されている場合を除く。
Prohibition G: Certain AI systems for biometric categorisation of persons 禁止事項G:人物の生体データ分類のための特定のAIシステム
AI systems for biometric categorisation that categorise individually natural persons based on their biometric data to deduce or infer their race, political opinions, trade union membership, religious or philosophical beliefs, sex life or sexual orientation; this prohibition does not cover any labelling or filtering of lawfully acquired biometric datasets, such as images, based on biometric data or categorising of biometric data in the area of law enforcement. 人種、政治的意見、労働組合員、宗教的または哲学的信条、性生活または性的指向を推測または推論するために、生体データに基づいて個々の自然人を分類する生体データ分類のためのAIシステム。この禁止は、合法的に取得された生体データセット(画像など)を生体データに基づいてラベリングまたはフィルタリングしたり、法執行の分野で生体データを分類したりすることは対象としない。
Prohibition H: Certain AI systems for real-time remote biometric identification in publicly accessible spaces for purpose of law enforcement 禁止事項H:法執行を目的とした、一般にアクセス可能な空間におけるリアルタイムの遠隔バイオメトリッ ク識別のための特定のAIシステム
AI-systems used for of ‘real-time’ remote biometric identification systems in publicly accessible spaces for the purpose of law enforcement, unless and in so far as such use is strictly necessary for one of the following objectives: 法執行を目的とした、一般にアクセス可能な空間における「リアルタイムの」遠隔バイオメトリッ ク識別システムのために使用されるAIシステムは、そのような使用が以下のいずれかの目的の ために厳密に必要である場合を除く:
• the targeted search for specific victims of abduction, trafficking in human beings or sexual exploitation of human beings, as well as the search for missing persons; • 誘拐,人身売買,性的搾取の特定の被害者,および行方不明者の捜索。
• the prevention of a specific, substantial and imminent threat to the life or physical safety of natural persons or a genuine and present or genuine and foreseeable threat of a terrorist attack; • 自然人の生命または身体の安全に対する特定の、実質的かつ差し迫った脅威、または真正かつ現在の、または真正かつ予見可能なテロ攻撃の脅威の防止;
• the localisation or identification of a person suspected of having committed a criminal offence, for the purpose of conducting a criminal investigation or prosecution or executing a criminal penalty for offences referred to in Annex II and punishable in the Member State concerned by a custodial sentence or a detention order for a maximum period of at least four years. • 附属書IIに規定され,かつ,当該加盟国において少なくとも4年の拘禁刑または拘禁令によって処罰される犯罪について,犯罪捜査または訴追を行い,または刑事罰を執行する目的で,犯罪を犯したと疑われる者を特定または識別すること。
Point (h) of the first subparagraph is without prejudice to Article 9 of Regulation (EU) 2016/679 for the processing of biometric data for purposes other than law enforcement. 第1号の(h)点は、法執行以外の目的での生体データの処理に関する規則(EU)2016/679の第9条を損なうものではない。

 

 

 


第1回に意見募集結果と今後について...

 

・2024.12.18 Summary and next steps call for input on manipulative and exploitative AI systems

Summary and next steps call for input on manipulative and exploitative AI systems 操作および搾取的AIシステムに関する意見募集の概要と次のステップ
18 December 2024 2024年12月18日
Themes: Coordination of algorithmic and AI supervision EU AI Act テーマ:アルゴリズムおよびAIの監督の調整 EU AI法
In 2024, the Dutch Data Protection Authority (AP) called for input on the first two prohibitions in the AI Act. 2024年、オランダデータ保護当局(AP)は、AI法の最初の2つの禁止事項に関する意見を募集した。
This document provides a summary of responses and identifies follow-up steps in relation to the call for input regarding the first two prohibitions of the AI Act, concerning: 本書では、AI法の最初の2つの禁止事項に関する意見募集に関する回答の概要をまとめ、以下の事項に関する今後の対応について明らかにする。
・AI systems that use manipulative or deceptive techniques. ・人を操る、または欺く技術を使用するAIシステム
・AI systems that exploit human vulnerabilities. ・人間の脆弱性を悪用するAIシステム

 

 

・[PDF]

20241219-61937

 

Manipulative, deceptive and exploitative AI systems 操作的欺瞞的、搾取的なAIシステム
Summary of responses and next steps 回答の要約と今後のステップ
Autoriteit Persoonsgegevens (AP) - Department for the Coordination of Algorithmic Oversight (DCA) 個人データ保護局(AP) - アルゴリズム監督調整局(DCA)
December 2024 DCA-2024-04 2024年12月 DCA-2024-04
Summary and next steps 要約と今後のステップ
This document provides a summary of responses and identifies follow-up steps in relation to the previous call for input regarding the first two prohibitions in Article 5 of the AI Act (see document DCA-2024-01). This concerns AI systems that use manipulative or deceptive techniques, as well as AI systems that exploit human vulnerabilities. Overall, the AP distils three main observations from the responses received. 本書は、AI法第5条の最初の2つの禁止事項に関する前回の意見募集(文書DCA-2024-01を参照)に対する回答の概要と今後の対応について説明するものである。これは、操作的なまたは欺瞞的な手法を用いるAIシステム、および人間の脆弱性を悪用するAIシステムに関するものである。全体として、APは、受け取った回答から3つの主な所見を導き出した。
Main observation 1 – Many respondents note that the practices to which the prohibitions relate are already regulated or prohibited by other horizontal or sector-specific laws and regulations. 主な所見1 – 多くの回答者は、禁止事項に関連する行為はすでに他の水平または分野別の法律や規制によって規制または禁止されていると指摘している。
The prohibitions in question are closely linked to consumer protection laws such as directives on unfair commercial practices, the Digital Services Act (DSA) and financial regulations. The practices also affect the lawful processing of personal data as regulated in, among others, the General Data Protection Regulation (GDPR). According to the AP, the prohibitions in the AI Act have a preventive nature (AI systems may not be developed or used) and therefore the prohitions complement the aforementioned laws. As such, the prohibitions provide an opportunity for more effective supervision of situations in which AI systems play a role in cases of deception, manipulation and exploitation of persons. It is important that these regulations are explained and applied as coherently as possible. This requires close cooperation and coordination between the Netherlands Authority for Consumers and Markets (ACM), Dutch Authority for the Financial Markets (AFM) and the AP. 問題となっている禁止事項は、不公正な商慣行に関する指令、デジタルサービス法(DSA)、金融規制などの消費者保護法と密接に関連している。また、これらの慣行は、一般データ保護規則(GDPR)などで規定されている個人データの合法的な処理にも影響を及ぼす。APによると、AI法における禁止事項は予防的な性質(AIシステムの開発や使用を禁止する)を持つため、前述の法律を補完するものとなる。そのため、禁止事項は、AIシステムが欺瞞、操作、搾取のケースで役割を果たす状況をより効果的に監督する機会を提供する。これらの規制は、できる限り首尾一貫した形で説明および適用されることが重要である。そのためには、オランダ消費者市場局(ACM)、オランダ金融市場局(AFM)、AP間の緊密な協力と調整が必要である。
Main observation 2 – Several respondents point to the additional possibilities that AI offers to deceive, manipulate or exploit people more convincingly. 主な所見2 – 複数の回答者は、AIが人を欺いたり、操作したり、利用したりする可能性をより説得力のある形で提供していると指摘している。
A frequently cited example of this is the use of dark patterns, where interfaces are designed or organised in such a way that they deceive or manipulate people into making choices or decisions that they would not otherwise make. AI technology can reinforce manipulative or deceptive patterns by, for example, better responding to a person's characteristics or vulnerabilities during the interaction with the user. この例としてよく挙げられるのが、ダークパターン(dark patterns)の使用であり、これは、ユーザーが通常選択しないような選択や決定をさせるために、人を欺いたり、操作したりするようにインターフェースが設計または構成されていることを指す。AI技術は、例えば、ユーザーとのやり取りの際に、個人の特性や脆弱性により適切に対応することで、操作や欺瞞のパターンを強化することができる。
Main observation 3 – Respondents note that the prohibitions are not elaborated in standards and therefore need to be further clarified in guidelines. 主な所見3 – 回答者は、禁止事項が規準で詳細に説明されていないため、ガイドラインでさらに明確化する必要があると指摘している。
The prohibitions in the AI Act are new and contain connections and concepts that are operationalised only to a limited extent in the AI Act itself. This means there are also a number of topics that require further clarification, as is noticeable in the input from respondents. This concerns, for example, the extent to which there must be a link between the AI system and the deception or manipulation; the scope of the concept of harm; when significant harm has been caused; what exactly can be understood as a subliminal or deceptive technique; what types of vulnerabilities an AI system can exploit and whether a behavioural distortion can also occur gradually. AI法における禁止事項は新しいものであり、AI法自体では限定的にしか運用化されていない関連性や概念を含んでいる。これは、回答者からの意見にも顕著に見られるように、さらなる明確化が必要なトピックが多数あることを意味する。例えば、AIシステムと欺瞞または操作との間のリンクの程度、危害の概念の範囲、重大な危害が引き起こされた場合、潜在的なまたは欺瞞的な手法として具体的に何を理解できるか、AIシステムが利用できる脆弱性の種類、行動の歪曲も徐々に起こり得るか、などである。
The AP uses these insights to support the preparation of Dutch supervisory authorities to supervise the prohibitions and will further incorporate the input received in the explanation of the prohibitions in the coming months. This involves cooperation and coordination with other supervisory authorities, including in the AI and Algorithm Chamber of the Digital Regulation Cooperation Platform (SDT). In addition, the input provides a basis for the AP's contribution from practice in the discussion on the guidelines on the prohibitions that the European Commission is currently working on. APは、これらの洞察を活用して、オランダの監督当局による禁止事項の監督準備を支援し、今後数か月の間に、禁止事項の説明に受け取った意見をさらに組み込んでいく予定である。これには、デジタル規制協力プラットフォーム(SDT)のAIおよびアルゴリズム委員会を含む、他の監督当局との協力と調整が含まれる。さらに、これらの意見は、欧州委員会が現在策定中の禁止事項に関するガイドラインの議論において、APが実務面から貢献するための基礎となる。
I.  Background I. 背景
AI Act & prohibited AI AI法および禁止されるAI
1. The AI Act (2024/1689) entered into force on 1 August 2024. This act sets out rules on the development and use of artificial intelligence (AI) in the EU. The starting point of the AI Act is that there are many useful applications of AI, but that the technology also entails risks that need to be managed. Some AI systems with unacceptable risk will be prohibited. 1. AI法(2024/1689)は2024年8月1日に施行された。この法律は、EUにおける人工知能(AI)の開発と利用に関する規則を定めている。AI法の起点は、AIには多くの有用な用途がある一方で、その技術には管理が必要なリスクも伴うという点である。容認できないリスクを伴う一部のAIシステムは禁止される。
Call for input 意見募集
2. On 27 September 2024, the AP issued a call for input regarding the first two prohibitions in Article 5 of the AI Act. This concerns AI systems that use manipulative or deceptive techniques (hereinafter referred to as prohibition A), as well as AI systems that exploit human vulnerabilities (hereinafter referred to as prohibition B). 2. 2024年9月27日、APはAI法第5条の最初の2つの禁止事項に関する意見募集を開始した。これは、人を操るまたは欺く技術を使用するAIシステム(以下、禁止A)と、人間の脆弱性を悪用するAIシステム(以下、禁止B)に関するものである。
3. The call for input aims to gather information and insights from stakeholders (citizens, governments, companies and other organisations) and organisations that represent them. The AP aims to collect information to provide a basis for preparing further interpretation of the prohibitions in the AI Act. The call for input is also part of a series of calls on the various prohibitions in the AI Act. More information about the AI Act, the prohibitions and the role of the AP in supervision can be found on the website of the AP and in the previously published call for input. 3. 意見募集は、ステークホルダー(市民、政府、企業、その他の組織)およびそれらを代表する組織から情報や見識を集めることを目的としている。APは、AI法における禁止事項のさらなる解釈の準備の基礎となる情報を収集することを目的としている。意見募集は、AI法におけるさまざまな禁止事項に関する一連の呼びかけの一部でもある。AI法、禁止事項、監督におけるAPの役割に関する詳細は、APのウェブサイトおよび以前に公表された意見募集を参照のこと。
4. Between 27 September and 17 November 2024, the AP received fifteen responses from various organisations and individuals with diverse backgrounds, including academics. The AP is pleased that the call has reached citizens, companies, researchers and social organisations and that they have wanted to contribute by submitting input. 4. 2024年9月27日から11月17日までの間、APは、学術関係者を含むさまざまな背景を持つ個人および団体から15件の回答を得た。APは、この意見募集が市民、企業、研究者、社会組織に届き、彼らが意見を提出することで貢献したいと考えたことを喜ばしく思う。
5. Following the call for input, this summary document was prepared. All input has been reviewed by the AP and the main points have been included in this document. The document refers only in generic terms to the submitters of the input received. In a limited number of places in this document, the input is also appreciated by the AP. This has been done where appropriate and where it could be traced back directly to the provisions in the AI Act or where an (additional) point of view could be provided. In doing so, the AP aims to contribute to the discussion on the interpretation of the prohibitions. With this document, the AP does not intend to provide an explanation of the prohibitions or related laws. 5. 意見募集の後、この要約文書が作成された。すべての意見はAPによって検討され、主な内容は本書に盛り込まれた。本書では、提出者について一般的な用語のみを使用している。本書では限られた箇所で、APも意見を評価している。これは、AI法の規定に直接関連する箇所、または(追加の)見解が提供できる箇所において、適切と思われる場合に実施された。これにより、APは禁止事項の解釈に関する議論に貢献することを目指している。本報告書において、APは禁止事項または関連法の説明を行う意図はない。
AI Act compliance supervision AI法遵守の監督
6. The AP made this call for input in its role as coordinating supervisor of algorithms and AI. Within the AP, these tasks have been assigned to the Department for the Coordination of Algorithmic Oversight (DCA). The call for input is an extension of the preparatory work being done for the supervision of prohibited AI systems under the AI Act. The government is currently working on the formal designation of national supervisors for the AI Act. The AP (from the Department for the Coordination of Algorithmic Oversight) and the Dutch Authority for Digital Infrastructure (RDI) have issued an advice on this matter in collaboration and coordination with other supervisory authorities. It has been recommended, among other things, that the AP be designated as the market surveillance authority for most of the prohibitions in Article 5. 6. APは、アルゴリズムおよびAIの調整監督機関として、意見募集の呼びかけを行った。AP内では、これらのタスクはアルゴリズム監督調整局(DCA)に割り当てられている。意見募集の呼びかけは、AI法に基づく禁止AIシステムの監督に向けた準備作業の延長である。政府は現在、AI法に基づく国家監督機関の正式指定に取り組んでいる。AP(アルゴリズム監督調整局)とオランダのデジタルインフラ当局(RDI)は、他の監督当局と協力・調整しながら、この問題に関する助言を提示している。特に、第5条の禁止事項のほとんどについて、APを市場監視当局として指定することが推奨されている。
II. Summary and evaluation of submitted input II. 提出された意見の要約と評価
General points 一般的な指摘
Relationship with other laws and regulations 他の法律や規則との関係
Various respondents note that the practices to which the prohibitions in question relate are in some cases already regulated or prohibited by other horizontal or sector-specific laws and regulations. さまざまな回答者が、問題となっている禁止事項に関連する行為は、他の横断的または分野別の法律や規則によってすでに規制または禁止されている場合があることを指摘している。
7.  Examples include the rules in consumer law, for example, when it concerns unfair commercial practices or dark patterns (including Article 25 DSA), or (specific) financial regulations that protect consumers against deception and manipulation. The AP points out that several guidelines are already available on these rules, such as the Guidelines for the Protection of Online Consumers of the Netherlands Authority for Consumers & Markets (ACM) or the Policy Rules of the Dutch Authority for the Financial Markets (AFM) regarding the provision of information in the financial sector. Also, processing of personal data that underlies prohibited practices is regulated by the GDPR and processing of personal data for the purposes of the prohibited practices will also be unlawful. 例えば、不公正な商慣行やダークパターン(第25条DSAを含む)に関する消費者保護法の規定、または(特定の)金融規制による消費者保護などである。APは、オランダ消費者・市場局(ACM)による「オランダのオンライン消費者保護に関するガイドライン」や、金融セクターにおける情報提供に関するオランダ金融市場局(AFM)の「ポリシー規則」など、これらの規則に関するいくつかのガイドラインがすでに存在していることを指摘している。また、禁止行為の根底にある個人データの処理はGDPRによって規制されており、禁止行為を目的とした個人データの処理も違法となる。
8. According to the AP, what is special about the prohibitions in the AI Act is that, in cases where manipulation, deception and exploitation involves an AI system, they relate to both the development and the use of such systems. Therefore, both providers and users could be held liable. This will enable action to be taken against harmful practices involving AI at various points in the AI value chain. Furthermore, the prohibitions concern many different types of harm. In addition, the prohibitions in question also relate to the harm of groups of persons. This may make it less complicated to take action against prohibited AI practices than under other legal frameworks, which, for example, do not target providers, relate to psychological harm or concern groups of persons. That is why the prohibitions – in addition to, and interpreted in conjunction with, other rules governing similar practices – provide a means to supervise AI systems more effectively. 8. APによると、AI法における禁止事項の特別な点は、操作、欺瞞、搾取がAIシステムに関わる場合、そのようなシステムの開発と使用の両方に適用されることである。したがって、提供者と利用者の両方が責任を問われる可能性がある。これにより、AIバリューチェーンのさまざまな段階で、AIに関わる有害な行為に対して措置を取ることが可能になる。さらに、禁止事項は多くの異なる種類の被害を対象としている。さらに、禁止事項は、複数の人々に対する危害にも関連している。このため、例えば、プロバイダーを対象としておらず、心理的な危害に関連していたり、複数の人々に対する危害を懸念していたりする他の法的枠組みよりも、禁止されたAIの慣行に対する措置を講じやすくなる可能性がある。これが、禁止事項が、同様の慣行を規制する他の規則に加えて、またそれらと併せて解釈されることにより、AIシステムをより効果的に監督する手段を提供している理由である。
9. The alignment of and between regulations is important. According to the AP, the prohibitions should be interpreted and applied as much as possible in accordance with, and in conjunction with, existing (European) regulations in the areas of inter alia consumer protection and financial services, the DSA and the GDPR. 9. 規制間の整合性は重要である。APによると、禁止事項は、とりわけ消費者保護および金融サービス、DSA、GDPRの分野における既存の(欧州)規制にできる限り従い、かつ、それらと併せて解釈・適用されるべきである。
10.  In doing so, supervision of the prohibitions in the AI Act should focus primarily on practices in which AI technology plays an important role. This requires close cooperation and coordination between the supervisory authorities, including in particular the ACM and AFM. The authorities are already making efforts to achieve this. 10. そうすることで、AI法における禁止事項の監督は、AI技術が重要な役割を果たす行為に主に焦点を当てるべきである。そのためには、特にACMおよびAFMを含む監督当局間の緊密な協力と調整が必要である。当局はすでにこの実現に向けて努力している。
Relationship to high-risk uses and other prohibitions 高リスク用途およびその他の禁止事項との関係
Respondents note that the prohibitions also relate to high-risk applications and other prohibitions, and that clarity should be provided on this. 回答者は、禁止事項は高リスク用途およびその他の禁止事項にも関連しており、この点について明確化が必要であると指摘している。
11. Respondents raise the question whether the exception for AI systems that do not pose a significant risk to the health, safety or fundamental rights of natural persons (Article 6, third paragraph of the AI Act), also applies to the prohibitions. Such systems would then not considered to be high-risk. According to the AP, this exception only applies to AI systems that would otherwise be considered high-risk AI systems (Chapter III of the AI Act). This exception therefore does not apply to the prohibitions in the AI Act. 11. 意見提出者は、自然人の健康、安全、基本権に重大なリスクをもたらさないAIシステムに対する例外(AI法第6条第3項)が禁止事項にも適用されるかという疑問を提起している。そのようなシステムは、高リスクとはみなされない。APによると、この例外は、高リスクAIシステムとみなされる可能性のあるAIシステムのみに適用される(AI法第3章)。したがって、この例外はAI法の禁止事項には適用されない。
12.  Several respondents also point to the link with the banned and high-risk AI systems for emotion recognition in relation to the prohibitions delineated upon in this summary. This particularly concerns the possibilities that emotion recognition offers to better respond to people's vulnerabilities or to manipulate or deceive them more effectively. 12. 複数の回答者は、この要約で示した禁止事項に関連して、感情認識のための禁止された高リスクAIシステムとの関連性も指摘している。これは特に、感情認識が人々の脆弱性により適切に対応したり、より効果的に操作したり欺いたりする可能性を提供する点に関係している。
Involving professionals 専門家の関与
A respondent noted that developments in AI technology are occurring rapidly and that at the same time, there is a need for clarity on the application of the rules and best practices. 回答者は、AI技術の発展は急速に進んでいるが、同時に、規則やベストプラクティスの適用に関する明確性も必要であると指摘した。
13.  AI professionals can contribute to clarification. The AP considers this dialogue with stakeholders to be important so that the AP, together with other supervisory authorities, can contribute to the explanation and guidance on the AI Act. The respondent also emphasises the importance of education and practical training by the organisation. According to the AP, this also ties in with the subject of AI literacy (Article 4 of the AI Act) and the steps that organisations developing or using AI systems are taking to promote AI literacy. 13. AIの専門家は明確化に貢献できる。APは、他の監督当局とともに、AI法に関する説明やガイダンスに貢献できるよう、ステークホルダーとの対話を重要視している。回答者はまた、組織による教育および実地訓練の重要性を強調している。APによれば、これはAIリテラシー(AI法第4条)のテーマとも関連しており、AIシステムを開発または使用する組織がAIリテラシーの促進のために講じている措置とも関連している。
Specific points 具体的な指摘
Criterion 1 (prohibitions A and B): AI-enabled manipulative, deceptive or exploitative practices 規準1(禁止事項AおよびB):AIによる操作、欺瞞、搾取的な行為
Several respondents indicated that manipulative, deceptive or exploitative practices are increasingly enabled by AI and that the use of AI increases the risks associated with these practices. According to respondents, the use of AI, in combination with the use of available personal data, makes it possible to approach and interact with people when they are at their weakest or most vulnerable. Because of their adaptability, AI systems are also able to respond well to a person's circumstances or vulnerabilities. Clarification seems particularly needed on the issue of the link between the manipulative, deceptive or exploitative practice and the AI system. 回答者の一部は、AIによって操作、欺瞞、搾取的な行為がますます可能になり、AIの利用によってこれらの行為に伴うリスクが高まると指摘した。回答者によると、利用可能な個人データの利用と組み合わせたAIの利用によって、人が最も弱っている時や最も脆弱な時に、その人に近づき、関わることも可能になる。AIシステムは適応性があるため、人の状況や脆弱性にもうまく対応できる。特に、操作、欺瞞、搾取的な行為とAIシステムとの関連性について明確化する必要があると思われる。
14.  Respondents often note the additional possibilities offered by AI to use dark patterns, where interfaces are designed or organised to deceive or manipulate people into making choices or decisions that they would not otherwise make. For example, AI technology can be used to further tailor an interface and the information provided therein to a person's characteristics or vulnerabilities, thereby reinforcing manipulative or deceptive patterns in the interface. 14. 回答者は、AIによってダークパターンが利用される可能性がさらに高まることをしばしば指摘している。ダークパターンとは、ユーザーを欺いたり操作したりして、通常であれば選択や意思決定を行わないような選択や意思決定を行わせることを目的として、インターフェースが設計または構成されることを指す。例えば、AI技術は、インターフェースやそこに提供される情報を個人の特性や脆弱性に合わせてさらにカスタマイズするために使用することができ、それによってインターフェースにおける操作や欺瞞のパターンが強化される。
15.  Several respondents also point to the possibilities that generative AI offers to deceive or manipulate people more convincingly. Respondents also point out the possibilities of using AI to spread or recommend misinformation or manipulative content, or to persuade people to change their voting behaviour, for example. An individual respondent also noted that the risk of deception, manipulation or exploitation is greater if AI technology is more deeply integrated into other applications compared to when the technology is superficially and visibly present in, for example, a chatbot. Many of these concerns also relate to the regulation of General Purpose AI models and the transparency obligations in Article 50 of the AI Act. The supervision of the ACM and the ACM Guidelines regarding the Digital Services Regulation are also relevant here, as they largely relate to online platforms and, for example, the dissemination of misinformation and disinformation. 15. また、複数の回答者は、生成的AIが人々をより説得力を持って欺いたり操作したりする可能性を指摘している。回答者はまた、AI を利用して誤情報や操作的なコンテンツを拡散したり推奨したり、あるいは人々に投票行動の変更を説得したりする可能性についても指摘している。また、ある回答者は、AI 技術が他のアプリケーションに深く統合されている場合、例えばチャットボットに表面的に目に見える形で存在している場合と比較して、欺瞞、操作、搾取のリスクがより高くなることを指摘している。これらの懸念の多くは、汎用AIモデルの規制やAI法第50条の透明性義務にも関連している。デジタルサービス規制に関するACMおよびACMガイドラインの監督も、オンラインプラットフォームや、例えば誤情報や偽情報の拡散と大きく関連しているため、関連性がある。
16.  Some respondents indicate that the necessary link between an AI system and manipulation, deception and exploitation needs clarification. According to respondents, the question is whether and when practices involving manipulation, deception or exploitation are related to the use of AI. One respondent noted that this aspect of the prohibitions is crucial to the scope of the prohibitions. In light of that, this respondent notes that using other simpler technologies in combination with AI can also lead to manipulation, deception and exploitation. According to the AP, this shows how important the explanation of the term 'AI system' is for the applicability of the prohibitions. According to the AP, this also underlines the importance of choosing an integral approach in the future interpretation of this definition with regard to practices in which AI technology is used. This in order to address the risks of the use of, for example, deceptive AI systems. 16. ある回答者は、AIシステムと操作、欺瞞、搾取との間の必要な関連性を明確にする必要があると指摘している。回答者によると、問題は、操作、欺瞞、搾取を伴う行為がAIの利用と関連しているかどうか、また、関連している場合、それはいつなのかということである。ある回答者は、禁止の範囲を考える上で、この禁止の側面が極めて重要であると指摘している。その観点から、この回答者は、AIと組み合わせた他のより単純な技術の利用も、操作、欺瞞、搾取につながりうると指摘している。APによれば、これは禁止規定の適用可能性にとって「AIシステム」という用語の説明がいかに重要であるかを示している。APによれば、これはまた、AI技術が使用される行為に関して、この定義の将来の解釈において包括的なアプローチを選択することの重要性を強調している。これは、例えば欺瞞的なAIシステムの使用のリスクに対処するためである。
Criterion 2 (prohibition A): Deployment of subliminal and deceptive techniques 規準2(禁止A):潜在意識や欺瞞的手法の展開
Respondents indicate that – in the framework of prohibition A – there is still a great deal of uncertainty about what can be understood by subliminal techniques of which people are not aware, or by manipulative or deceptive techniques. They argue that it is particularly necessary to clarify what such techniques entail. The extent to which manipulation or deception must have been intended also requires clarification. 回答者は、禁止Aの枠組みにおいて、人々が気づかない潜在意識的手法や、操作的手法、欺瞞的手法が何を意味するのかについて、依然として多くの不確実性があると指摘している。回答者は、このような手法が何を意味するのかを明確にする必要があると主張している。また、操作や欺瞞が意図されていた程度についても明確にする必要がある。
17.  In the framework of the questions about subliminal techniques, several respondents mention examples such as systems that use imperceptible pitches or images that are displayed very quickly. If such techniques can indeed lead to behavioural distortion, then according to the AP, it should be clarified whether these indeed constitute subliminal techniques within the meaning of the AI Act. Respondents also again mentioned the use of dark patterns in their answers regarding subliminal techniques. 17. サブリミナル手法に関する質問の枠組みの中で、回答者の何人かは、知覚できない音程や非常に速く表示される画像を使用するシステムなどの例を挙げている。 このような手法が実際に行動の歪曲につながるのであれば、APによれば、これらの手法がAI法の意図するサブリミナル手法に該当するのかどうかを明確にする必要がある。 回答者はまた、サブリミナル手法に関する回答の中で、ダークパターンの使用についても言及している。
18.  One respondent notes that further clarification should be provided as to how this prohibition can refer to purposefully manipulative or deceptive techniques.  Simultaneously,  the section in the legal provision on the prohibition about the ‘distortion of behaviour’ refers to a distortion that is the objective or the effect of the use of the AI system. According to this respondent, it should therefore be possible for manipulative or deceptive techniques to also fall under the prohibition if they only have the effect (and therefore do not necessarily have the purpose) of materially distorting the behaviour of individuals. According to the AP, how this criterion, in particular the 'intention' of the use of manipulative or deceptive techniques, should be interpreted is indeed a point of concern. 18. ある回答者は、この禁止が意図的な操作や欺瞞的な手法をどのように参照し得るのかについて、さらなる明確化が必要であると指摘している。同時に、行動の歪曲に関する禁止に関する法規定の条項では、AIシステムの使用の目的または効果としての歪曲について言及している。この回答者によると、したがって、個人の行動を実質的に歪める効果(必ずしも目的があるとは限らない)を持つ場合、操作または欺瞞的な技術も禁止の対象となり得るはずである。APによると、この規準、特に操作または欺瞞的な技術の使用の「意図」をどのように解釈すべきかは、確かに懸念事項である。
Criterion 3 (prohibition B): Exploitation of vulnerabilities 規準3(禁止B):脆弱性の悪用
In the framework of prohibition B, respondents note that AI technologies make it increasingly easier to exploit human vulnerabilities. According to respondents, it is also necessary to clarify what kind of vulnerabilities included in this prohibition and whether this may also involve the use of proxies that indicate a person's vulnerabilities. 禁止Bの枠組みにおいて、回答者は、AI技術により人間の脆弱性を悪用することがますます容易になっていると指摘している。回答者によると、この禁止事項に含まれる脆弱性の種類を明確化する必要があるほか、人間の脆弱性を示す代理の使用も含まれる可能性があるかどうかを明確化する必要もある。
19.  According to various respondents, it is unclear what exactly is meant by exploiting vulnerabilities. One respondent indicated that it would be helpful if there were guidelines to assess whether vulnerabilities are being exploited. According to one respondent, the use of AI and the (personal) data processed in the process makes it possible to gain more insight into a person's circumstances, such as their financial circumstances. This would make it easier to exploit vulnerabilities associated with it. Another respondent notes that large data processing and the use of AI also make it possible to exploit people's vulnerabilities in less visible and subtle ways. In such cases, proxy data is used that does not directly indicate the presence of a vulnerability, but is an indirect indicator of it. According to the AP, this recognises the fact that the availability of more (personal) data and the increased possibilities to process this data with AI technologies only increases the risks of exploitation of vulnerable people. However, according to the AP, the interpretation of this prohibition ultimately depends on whether the AI system uses vulnerabilities that, as described in the AI Act, are the result of a person's age, disability or a specific social or economic situation. So in this assessment, it is not necessary per se to assess how and on the basis of which (personal) data the AI system determines that there is a vulnerability. 19. 様々な回答者によると、脆弱性を悪用するとは具体的に何を意味するのかが不明確である。ある回答者は、脆弱性が悪用されているかどうかを評価するガイドラインがあれば役立つと指摘した。ある回答者によると、AIと(個人)データの処理により、個人の経済状況など、個人の状況についてより深い洞察を得ることが可能になる。これにより、それに関連する脆弱性を悪用しやすくなる。別の回答者は、大量のデータ処理とAIの利用は、目立たない微妙な方法で人々の脆弱性を悪用することも可能にする、と指摘している。このような場合、脆弱性の存在を直接示すものではないが、間接的な指標となる代理データが使用される。APによると、これは、より多くの(個人)データが利用可能になり、AI技術でこのデータを処理できる可能性が高まることで、脆弱な人々を悪用するリスクが高まるという事実を認識している。しかし、APによると、この禁止の解釈は、AIシステムがAI法に記載されているような、人の年齢、障害、特定の社会的または経済的状況の結果として生じる脆弱性を利用しているかどうかによって最終的に決まる。したがって、この評価では、AIシステムがどのように、またどの(個人)データに基づいて脆弱性があると判断しているかを評価する必要はない。
20.  Lastly, respondents also believe that AI can be used to protect or support vulnerable people. For example, one respondent indicates that AI can be used to provide timely information or signalling to vulnerable users of certain essential services, which is sometimes also a legal requirement imposed on parties. In addition, according to respondents, the use of AI technology also offers opportunities to, for example, physically, sensorily or cognitively support persons with disabilities by means of assistive AI technologies. 20. 最後に、回答者は、AI が脆弱な人々を保護または支援するために使用できるとも考えている。例えば、ある回答者は、AI を、特定の不可欠なサービスの脆弱なユーザーに適時に情報またはシグナルを提供するために使用できると指摘している。これは、当事者に課される法的要件である場合もある。さらに、回答者によると、AI 技術の使用は、例えば、支援用 AI 技術によって身体、感覚、認知面で障害者を支援する機会も提供する。
Criterion 4 (prohibitions A and B): Significant harm 規準4(禁止事項AおよびB):重大な危害
Respondents indicate that it may be complicated (in certain cases) to determine what kind of harm may be caused in the event of a distortion of behaviour, and when this harm is significant. 回答者は、行動の歪曲が生じた場合にどのような危害が生じる可能性があるか、また、その危害が重大であるか否かを判断することは(特定のケースでは)複雑になる可能性があると指摘している。
21.  According to one respondent, significant harm, as described in the recitals of the AI Act as ‘in particular having sufficiently important adverse impacts on physical, psychological health or financial interests', can take many different forms. This respondent also indicates that the recital provides a non-exhaustive list of the types of adverse impacts due to harm. 21. ある回答者によると、AI法の前文で「特に、身体的、心理的健康または経済的利益に十分に重要な悪影響を及ぼす」と説明されている重大な悪影響は、さまざまな形態を取る可能性がある。この回答者は、前文は悪影響による悪影響の種類を網羅的に列挙したものではないとも指摘している。
22.  Respondents do not have a consistent picture of the scope of the concept of harm. According to one respondent, the concept of harm would, for example, include social harm, e.g. as a result of disinformation, while another respondent indicates that this cannot be the case. According to the respondents, it is important that clarification is provided about which types of harm the prohibitions relate to. 22. 関係者間では、損害という概念の範囲について一貫した見解が示されていない。ある関係者は、損害という概念には、例えば偽情報による社会的損害などが含まれると述べているが、別の関係者は、そうはならないと指摘している。関係者によると、禁止がどの種類の損害に関係するのかについて明確化することが重要である。
23.  It is also noted by a respondent that a causal link must be established between the harm and the distortion of behaviour and that this is an element of this prohibition that requires clarification. One respondent suggested that it could be helpful to establish certain 'presumptions' for determining this harm and to clarify which steps in thought are required when determining the causal link. 23. また、ある回答者は、害と行動の歪曲との間に因果関係が確立されなければならないと指摘しており、これはこの禁止事項の明確化が必要な要素である。ある回答者は、この害を判断するための一定の「推定」を確立し、因果関係を判断する際に思考のどの段階が必要かを明確にすることが役立つ可能性があると提案している。
24.  One respondent indicates that in order to determine whether significant harm has occurred, the 'relativity' of harm must be taken into account. According to the respondent, some harm for the same application of AI might not be significant to one person or group of persons, yet might be significant for another. That is why a flexible approach should be assumed when assessing the significance of harm. Some respondents note that it could be particularly complicated to assess whether significant harm has occurred if it is intangible. All in all, there is a need among respondents for more clarity about the 'significance' of the harm. 24. ある回答者は、重大な損害が発生したかどうかを判断するには、損害の「相対性」を考慮する必要があると指摘している。回答者によると、AIの同じ適用による損害であっても、ある個人またはグループにとっては重大でなくても、別の個人またはグループにとっては重大である可能性がある。そのため、損害の重大性を評価する際には柔軟なアプローチを想定すべきである。回答者の一部は、重大な損害が非物質的なものである場合、損害が発生したかどうかを評価することが特に複雑になる可能性があると指摘している。全体として、回答者からは損害の「重大性」についてより明確にする必要があるとの意見が出されている。
Criterion 5 (prohibitions A and B): With the objective, or the effect of materially distorting behaviour 規準5(禁止事項AおよびB):目的、または実質的に行動を歪める効果
From the responses of various respondents, it follows that the criterion of 'the material distortion of behaviour' raises questions. さまざまな回答者の回答から、「実質的な行動の歪曲」という規準には疑問があることが分かる。
25.  A number of respondents indicate that the criterion of 'materially distorting behaviour' can also be found in consumer law. According to some respondents, this concept has already been operationalised. This concept is also linked to the concept of the 'average consumer'. According to one respondent, the link with consumer law is clearer in prohibition A, where it is also explained that the criterion concerns appreciably impairing the ability to make an informed decision, thereby causing the persons to take a decision that they would not have otherwise taken. One respondent does indicate that this prohibition has a different rationale than provisions in consumer law, in which this concept is already used. That is why this criterion should not be interpreted in the same way as in consumer law. According to the AP, the concept of 'the material distortion of behaviour’ should be interpreted as much as possible in conjunction with existing laws. Yet the AP notes that the prohibitions in the AI Act also apply to situations that are not related to the purchase of products or services and the role of people as consumers. As a result, this prohibition likely requires additional operationalisation. 25. 多くの回答者は、「実質的な行動の歪曲」という規準は消費者法にも見られると指摘している。一部の回答者によると、この概念はすでに運用化されている。この概念は「平均的な消費者」の概念とも関連している。ある回答者によると、消費者法との関連性は禁止Aの方が明確であり、この規準は、十分な情報に基づく意思決定能力を著しく損なうものであり、それによって、そうでない場合とは異なる意思決定をさせるものであると説明されている。ある回答者は、この禁止は、すでにこの概念が使用されている消費者法の規定とは異なる根拠に基づいていると指摘している。そのため、この規準は消費者法と同じように解釈すべきではない。APによると、「重大な行動の歪曲」という概念は、可能な限り現行法と併せて解釈すべきである。しかし、APは、AI法における禁止事項は、製品やサービスの購入や消費者の役割とは関係のない状況にも適用されると指摘している。そのため、この禁止事項には、さらなる運用上の明確化が必要である可能性が高い。
26.  It is also important that this criterion applies to people that are 'appreciably' impaired in their ability to make an informed decision. The question arises from the input from respondents whether the prohibition only applies if a clear decision is made, such as purchasing a service or buying a product, or whether the prohibition also applies to situations in which the influence leads to a gradual change in behaviour or change in mood that is harmful or has harmful consequences for, for example, someone's health or wellbeing. According to the AP, clarification also appears to be necessary with regard to temporal properties of possible distortions of behaviour. 26. また、この規準が、十分な情報に基づく意思決定を行う能力が「相当程度」損なわれている人々にも適用されることも重要である。回答者からの意見では、この禁止は、サービス購入や商品購入など、明確な意思決定が行われた場合にのみ適用されるのか、あるいは、影響が徐々に態度や気分に変化をもたらし、例えば健康や幸福に有害な影響や結果をもたらすような状況にも適用されるのかという疑問が提起されている。APによると、行動の歪みの時間的性質についても明確化が必要であるようだ。
Criterion 6 (prohibitions A and B): Individual and group harm 規準6(禁止AおよびB):個人および集団への危害
According to several respondents, it is important to emphasise that both prohibitions can involve harm suffered by both individuals and groups of persons. 複数の回答者によると、両方の禁止事項が個人および集団に与える危害を強調することが重要である。
27.  According to one respondent, it will have to be explained how different types of harm relate to the individual or to multiple persons. One respondent indicated that it is particularly important to also draw attention to the harm to groups of persons. According to another respondent, this explanation should also take into account harm that 'other' persons may suffer whose behaviour has not been significantly distorted. One respondent indicated that there would be a difference in the actors who could suffer harm per prohibition. According to this respondent, the harm under prohibition B only relates to an individual or individual persons, while under prohibition A, it can also relate to group harm. According to the AP, a textual interpretation of both prohibitions seems to support that reading, but more clarity and certainty is desirable in this area also. 27. ある回答者によると、異なる種類の被害が個人または複数の個人にどのように関連するのかを説明する必要がある。ある回答者は、特に集団に対する被害にも注意を促すことが重要であると指摘した。別の回答者によると、この説明では、行動が著しく歪められていない「その他の」個人が被る可能性のある被害も考慮すべきである。ある回答者は、禁止事項ごとに被害を被る可能性のある行為者に違いがあることを指摘した。この回答者によると、禁止 B の下での損害は個人または個人にのみ関係するが、禁止 A の下では集団的な損害にも関係する可能性がある。AP によると、両方の禁止事項の文言解釈は、この解釈を支持しているように見えるが、この分野でもより明確性と確実性が望まれる。
Scope of the prohibitions 禁止事項の範囲
According to respondents, there should be more clarity on the cases in which an AI system should not fall under the provisions on the prohibitions. 回答者によると、AI システムが禁止事項の規定に該当しない場合について、より明確にする必要がある。
28.  One respondent indicated that this clarification should focus on the section on common and legitimate commercial practices, with this respondent emphasising that a common commercial practice is necessarily a legitimate one. Other respondents indicate that it would be helpful to provide more insight into the types of legitimate practices in the context of medical treatment that should not be affected by the prohibitions in this act. 28. ある回答者は、この明確化は「共通かつ正当な商慣行」のセクションに焦点を当てるべきだと指摘し、この回答者は、共通の商慣行は必然的に正当なものであると強調した。他の回答者は、この法律の禁止事項の影響を受けないべき医療行為における正当な慣行の種類について、より詳細な情報を提供することが有益であると指摘している。
III. Follow-up III. フォローアップ
29. The publication of this summary document concludes the information gathering process through the call for input on the prohibitions on manipulative, deceptive and exploitative AI systems. The submitted input leads to a number of key points, which are relevant to the interpretation that will be given to the prohibitions in the AI Act: 29. この要約文書の公表をもって、人為的、欺瞞的、搾取的なAIシステムに対する禁止措置に関する意見募集による情報収集プロセスは終了する。提出された意見は、AI法における禁止措置の解釈に関連する多くの重要なポイントにつながる。
a. Both prohibitions contain many terms and concepts that are not (or only to a very limited extent) explained in the AI Act. Interpretation through (European) guidelines, as well as further clarification with specific examples, are crucial to ensure that these prohibitions offer protection to citizens and that legal security is provided to market parties. This concerns, for example, the scope of the AI system definition, the techniques to manipulate or deceive, the use of vulnerabilities and the harm that can also be suffered by groups. a. 両方の禁止事項には、AI法では説明されていない(またはごく限られた範囲でしか説明されていない)用語や概念が数多く含まれている。これらの禁止事項が市民を保護し、市場関係者に法的安定性を提供することを確実にするためには、(欧州)ガイドラインによる解釈や、具体的な例を用いたさらなる明確化が不可欠である。これには、例えば、AIシステム定義の範囲、操作または欺瞞のテクニック、脆弱性の利用、集団が被る可能性のある被害などが含まれる。
b. In particular, the prohibition regarding manipulative and deceptive AI (Article 5, first paragraph, point (a) of the AI Act) relates to laws in the field of consumer protection, financial services and to the DSA. Clarification is needed on how these prohibitions relate to concepts in those laws, given the independent nature and rationale of the prohibitions in the AI Act. Here, for example, it concerns the meaning of 'significant harm' or the material distortion of behaviour. In this context, many of the practices mentioned, such as the use of dark patterns, require special attention. b. 特に、操作および欺瞞的なAIに関する禁止事項(AI法第5条第1項第(a)号)は、消費者保護、金融サービス分野の法律、およびDSAに関連する。AI法における禁止規定の独立した性質と根拠を踏まえると、これらの禁止規定がそれらの法律の概念とどのように関連するのかについて明確化が必要である。例えば、これは「重大な損害」の意味や行動の重大な歪曲に関するものである。この文脈において、ダークパターンの使用など、言及された慣行の多くは特別な注意を必要とする。
c. The prohibitions also relate to other rules in the AI Act, which will sometimes also be supervised upon at EU level. This relation and the scope of these provisions should be clarified by the market surveillance authorities and the AI Office. Here it concerns the relationship of the prohibitions with e.g. transparency obligations (Article 50), other prohibitions or high-risk applications (such as emotion recognition) and the rules for general purpose AI models. c. 禁止事項は、AI法の他の規定にも関連しており、EUレベルでも監督されることがある。この関連性と規定の範囲は、市場監視当局とAI局によって明確化されるべきである。ここでは、禁止事項と透明性義務(第50条)、他の禁止事項または高リスクのアプリケーション(感情認識など)、汎用AIモデルの規定との関係が問題となる。
30. The AP is working on the preparation of the supervision on the prohibitions in the Netherlands and, in the coming months, will further use the input received for the preparation of information and explanation on the prohibitions.. The knowledge gained is shared with Dutch supervisory authorities in the Digital Regulation Cooperation Platform (SDT), and the AI and Algorithm Chamber (AAK) of the SDT will discuss which follow-up actions are needed to clarify the prohibitions in the AI Act. The above approach is in line with the vision of supervisory authorities to strive for a harmonised interpretation and application of rules that can be simultaneously applied to prohibited AI practices. 30. APはオランダにおける禁止事項の監督準備に取り組んでおり、今後数か月間、禁止事項に関する情報および説明の準備に際しては、さらに得られた意見を活用する予定である。得られた知識はデジタル規制協力プラットフォーム(SDT)のオランダ監督当局と共有され、SDTのAIおよびアルゴリズム委員会(AAK)は、AI法における禁止事項を明確化するためにどのような追加措置が必要かについて議論する。上記の手法は、禁止されたAIの慣行に同時に適用できるルールの調和のとれた解釈と適用を目指す監督当局のビジョンに沿ったものである。
31. The AP will also use the insights gathered from practice as a basis for contributing to the discussion on the guidelines on the prohibitions. The European Commission intends to publish the first guidelines in early 2025. To this end, it has launched a consultation for stakeholders, including AI system providers, companies, national authorities, academics, research institutions and civil society. More information on these guidelines and consultation can be found on the European Commission website. 31. APは、実務から得られた洞察を、禁止行為に関するガイドラインの議論に貢献するための基礎としても活用する。欧州委員会は、2025年初頭に最初のガイドラインを公表する予定である。この目的のために、欧州委員会は、AIシステムプロバイダー、企業、各国当局、学術関係者、研究機関、市民社会を含む利害関係者との協議を開始した。これらのガイドラインおよび協議に関する詳細は、欧州委員会のウェブサイトに掲載されている。

 

 

 

 


 

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.11.08 オランダ データ保護局 意見募集 職場や教育における感情認識のための特定のAIシステムの禁止 (2024.10.31)

・2024.10.30 オランダ 会計検査院 政府はAIのリスクアセスメントをほとんど実施していない...

・2024.10.18 オランダ AI利用ガイド (2024.10.16)

・2024.09.29 オランダ データ保護局 意見募集 「操作的欺瞞的、搾取的なAIシステム」

・2024.09.05 オランダ データ保護局 顔認識のための違法なデータ収集でClearviewに3,050万ユーロ(48.5億円)

・2024.08.28 オランダ データ保護局 ドライバーデータの米国への転送を理由にUberに2億9000万ユーロ(467億円)の罰金

・2024.08.12 オランダ データ保護局が注意喚起:AIチャットボットの使用はデータ漏洩につながる可能性がある

・2024.08.11 オランダ AI影響アセスメント (2023.03.02)

・2024.08.05 欧州AI法が施行された... (2024.08.01)

| | Comments (0)

2024.12.15

米国 NIST NIST SP 1800-35(初公開ドラフト) ゼロトラスト・アーキテクチャの実装 (2024.12.04)

こんにちは、丸山満彦です。

これまで4回にわたる準備ドラフトを経て、やっと初公開ドラフトの公開と意見募集になりました...

ゼロトラスト・アーキテクチャー導入のための文書(SP 1800-35)です...関係する事業者が多いからね...

 

 

NIST

・2024.12.04 Open for Public Comment | NIST Guidance on Implementing Zero Trust Architecture

・2024.12.05 Requesting Public Comment | NIST Guidance on Implementing a Zero Trust Architecture (ZTA)

Requesting Public Comment | NIST Guidance on Implementing a Zero Trust Architecture (ZTA) パブリックコメントの要求|ゼロトラスト・アーキテクチャ(ZTA)の実装に関するNISTガイダンス
The NIST National Cybersecurity Center of Excellence (NCCoE) has released the draft of the practice guide, Implementing a Zero Trust Architecture (NIST SP 1800-35), for public comment. This publication outlines results and best practices from the NCCoE effort working with 24 vendors to demonstrate end-to-end zero trust architectures. NIST国立サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)は、プラクティスガイド「ゼロトラスト・アーキテクチャの実装」(NIST SP 1800-35)のドラフトを公開し、パブリックコメントを求めている。本書は、エンドツーエンドのゼロトラスト・アーキテクチャを実証するために24のベンダーと協力したNCCoEの取り組みの結果とベストプラクティスを概説している。
As an enterprise’s data and resources have become distributed across on-premises and multiple cloud environments, protecting them has become increasingly challenging. Many users need options to access information across the globe, at all hours, across devices. The NCCoE addressed these unique challenges by collaborating with industry participants to demonstrate 19 sample zero trust architecture implementations. エンタープライズのデータやリソースがオンプレミスや複数のクラウド環境に分散されるようになり、それらの保護はますます困難になっている。多くのユーザーは、デバイスを問わず、四六時中、世界中の情報にアクセスできるオプションを必要としている。NCCoEは、業界参加者と協力して19のゼロトラスト・アーキテクチャ実装サンプルを実証することで、こうした独自の課題に対処した。
Detailed technical information for each sample implementation can serve as a valuable resource for technology implementers by providing models they can replicate. The lessons learned from the implementations and integrations can help organizations save time and resources. 各サンプル実装の詳細な技術情報は、技術実装者が再現できるモデルを提供することで、貴重なリソースとなる。実装と統合から学んだ教訓は、組織が時間とリソースを節約するのに役立つ。
Two resources of NIST SP 1800-35 have been released. The High-Level Document in PDF Format serves as introductory reading with insight into the project effort, including a high-level summary of project goals, reference architecture, various ZTA implementations, and findings. NIST SP 1800-35の2つのリソースがリリースされた。PDF形式のハイレベル文書」は、プロジェクトの目標、参照アーキテクチャー、様々なZTAの実装、調査結果などのハイレベルな要約を含む、プロジェクトの取り組みに関する洞察の入門的な読み物として役立つ。
The Full Document in Web Format provides in-depth details about technologies leveraged, their integrations and configurations, and the use cases and scenarios demonstrated. It also contains information on the implemented security capabilities and their mappings to the NIST Cybersecurity Framework (CSF) versions 1.1 and 2.0, NIST SP 800-53r5, and security measures outlined in “EO-Critical Software” under Executive Order 14028. ウェブ形式の完全な文書」では、活用された技術、それらの統合と構成、実証された使用例とシナリオについて詳細な情報をプロバイダが提供する。また、実装されたセキュリティ機能と、NISTサイバーセキュリティ枠組み(CSF)バージョン1.1および2.0、NIST SP 800-53r5、および大統領令14028に基づく「EO-Critical Software」に概説されたセキュリティ対策とのマッピングに関する情報も含まれている。
This is the last draft being released for comment before the document will be finalized. これは、文書が最終化される前にコメント用に公開される最後のドラフトである。
We Want to Hear from You! ご意見をお願いします!
We welcome your input and look forward to your comments by January 31, 2025. We also invite you to join our mailing list to receive news and updates about this project. 2025年1月31日までにご意見をお寄せいただきたい。また、このプロジェクトに関するニュースや最新情報を受け取るために、メーリングリストへの参加もお勧めする。

 

初期ドラフト

・2024.12.04 NIST SP 1800-35 (Initial Public Draft) Implementing a Zero Trust Architecture

NIST SP 1800-35 (Initial Public Draft) Implementing a Zero Trust Architecture NIST SP 1800-35(初公開ドラフト) ゼロトラスト・アーキテクチャの実装
Announcement 発表
The NIST National Cybersecurity Center of Excellence (NCCoE) has released the initial public draft of the practice guide, Implementing a Zero Trust Architecture (NIST SP 1800-35), for public comment. This publication outlines results and best practices from the NCCoE effort working with 24 vendors to demonstrate end-to-end zero trust architectures. NIST国立サイバーセキュリティ・センター・オブ・エクセレンス(NCCoE)は、プラクティスガイド「ゼロトラスト・アーキテクチャの実装」(NIST SP 1800-35)の初公開ドラフトを公開し、パブリックコメントを求めている。本書は、エンドツーエンドのゼロトラスト・アーキテクチャを実証するために24のベンダーと協力したNCCoEの取り組みから得られた結果とベストプラクティスを概説している。
As an enterprise’s data and resources have become distributed across on-premises and multiple cloud environments, protecting them has become increasingly challenging. Many users need options to access information across the globe, at all hours, across devices. The NCCoE addressed these unique challenges by collaborating with industry participants to demonstrate 19 sample zero trust architecture implementations. エンタープライズのデータやリソースがオンプレミスや複数のクラウド環境に分散されるようになり、それらの保護はますます困難になっている。多くのユーザーは、デバイスを問わず、四六時中、世界中の情報にアクセスできるオプションを必要としている。NCCoEは、業界参加者と協力して19のゼロトラスト・アーキテクチャ実装サンプルを実証することで、こうした独自の課題に対処した。
Detailed technical information for each sample implementation can serve as a valuable resource for technology implementers by providing models they can replicate. The lessons learned from the implementations and integrations can help organizations save time and resources. 各サンプル実装の詳細な技術情報は、技術実装者が再現できるモデルを提供することで、貴重なリソースとなる。実装と統合から学んだ教訓は、組織が時間とリソースを節約するのに役立つ。
Two resources of NIST SP 1800-35 have been released. The High-Level Document in PDF Format serves as introductory reading with insight into the project effort, including a high-level summary of project goals, reference architecture, various ZTA implementations, and findings NIST SP 1800-35の2つのリソースがリリースされた。PDF形式のHigh-Level Documentは、プロジェクトの目標、リファレンス・アーキテクチャ、様々なZTA実装、調査結果などの概要が記載されている。
The Full Document in Web Format provides in-depth details about technologies leveraged, their integrations and configurations, and the use cases and scenarios demonstrated. It also contains information on the implemented security capabilities and their mappings to the NIST Cybersecurity Framework (CSF) versions 1.1 and 2.0, NIST SP 800-53r5, and security measures outlined in “EO-Critical Software” under Executive Order 14028. ウェブ形式のフル・ドキュメントでは、活用されたテクノロジー、それらの統合と構成、実証されたユースケースとシナリオに関する詳細な情報を提供する。また、実装されたセキュリティ機能と、NISTサイバーセキュリティ枠組み(CSF)バージョン1.1および2.0、NIST SP 800-53r5、および大統領令14028に基づく「EO-Critical Software」で概説されているセキュリティ対策とのマッピングに関する情報も含まれている。
This is the last draft being released for comment before the document will be finalized. これは、この文書が最終化される前にコメント用に公開される最後のドラフトである。
Please submit comments by completing the comment template which includes two tabs (“High-Level Document in PDF” and “Full Document in Web Format”). Please email the comment spreadsheet to nccoe-zta-project@list.nist.gov by January 31, 2025. 2つのタブ(「High-Level Document in PDF 」と 「Full Document in Web Format」)を含むコメントテンプレートに記入し、コメントを提出すること。2025年1月31日までに、コメント用スプレッドシートをnccoe-zta-project@list.nist.gov。
Abstract 要旨
A zero trust architecture (ZTA) enables secure authorized access to enterprise resources that are distributed across on-premises and multiple cloud environments, while enabling a hybrid workforce and partners to access resources from anywhere, at any time, from any device in support of the organization’s mission. This NIST Cybersecurity Practice Guide explains how organizations can implement ZTA consistent with the concepts and principles outlined in NIST Special Publication (SP) 800-207, Zero Trust Architecture. The NCCoE worked with 24 collaborators under Cooperative Research Development Agreements (CRADAs) to integrate commercially available technology to build 19 ZTA example implementations and demonstrate a number of common use cases. Detailed technical information on each build can serve as a valuable resource for your technology implementers by providing models they can emulate. The lessons learned from the implementations and integrations can benefit your organization by saving time and resources. This guide also includes mappings of ZTA principles to commonly used security standards and guidance. ゼロトラスト・アーキテクチャ(ZTA)は、オンプレミスや複数のクラウド環境に分散しているエンタープライズリソースへの安全な認可アクセスを可能にすると同時に、ハイブリッドワーカーやパートナーが、組織のミッションを支援するために、いつでも、どこからでも、どのデバイスからでもリソースにアクセスできるようにする。このNISTサイバーセキュリティ実践ガイドでは、NIST特別刊行物(SP)800-207「Zero Trust Architecture」に概説されている概念と原則に沿って、組織がZTAを実装する方法を説明している。NCCoE は、CRADA(Cooperative Research Development Agreements:共同研究開発契約)に基づく 24 の共同研究者と協力し、市販の技術を統合して 19 の ZTA 実装例を構築し、多くの一般的な使用事例を実証した。各実装に関する詳細な技術情報は、技術実装者が模倣できるモデルを提供することで、貴重なリソースとなる。実装と統合から学んだ教訓は、時間とリソースを節約することで、組織に利益をもたらす。このガイドには、ZTA の原則と一般的に使用されているセキュリティ標準およびガイダンスのマッピングも含まれている。

 

 

 

ハイレベル

・[PDF] NIST SP 1800-35 high-level overview

20241214-173421

目次は、Full Documentationと被る部分も多いので、そっちで...

 

ゼロトラスト・アーキテクチャー導入のウェブページ

Implementing a Zero Trust Architecture

 

SP 1800-35 のウェブページ...

NIST SPECIAL PUBLICATION 1800-35 Implementing a Zero Trust Architecture: Full Document

 

Implementing a Zero Trust Architecture: Full Document ゼロ信頼アーキテクチャの実装 全文
Executive Summary エグゼクティブサマリー
Introduction to the Guide 序文
Project Overview プロジェクトの概要
Architecture and Builds アーキテクチャとビルド
Builds Implemented 実装されたビルド
Build Architecture Details ビルドアーキテクチャの詳細
Enterprise 1 Build 1 (E1B1) - EIG Crawl - Okta Identity Cloud and Ivanti Access ZSO as PEs エンタープライズ 1 ビルド 1(E1B1) - EIG クロール - Okta Identity Cloud および Ivanti Access ZSO を PE とする。
Enterprise 2 Build 1 (E2B1) - EIG Crawl - Ping Identity Ping Federate as PE エンタープライズ 2 ビルド 1(E2B1) - EIG クロール - PE として Ping Identity Ping Federate
Enterprise 3 Build 1 (E3B1) - EIG Crawl - Azure AD Conditional Access (later renamed Entra Conditional Access) as PE エンタープライズ3ビルド1(E3B1) - EIG Crawl - Azure AD Conditional Access(後にEntra Conditional Accessに改称)をPEとする。
Enterprise 1 Build 2 (E1B2) - EIG Run - Zscaler ZPA Central Authority (CA) as PE エンタープライズ 1 ビルド 2(E1B2) - EIG の実行 - PE としての Zscaler ZPA セントラルオーソリティ(CA)
Enterprise 3 Build 2 (E3B2) - EIG Run - Microsoft Azure AD Conditional Access (later renamed Entra Conditional Access), Microsoft Intune, Forescout eyeControl, and Forescout eyeExtend as PEs Enterprise 3 Build 2 (E3B2) - EIG Run - PEとしてMicrosoft Azure AD Conditional Access(後にEntra Conditional Accessに名称変更)、Microsoft Intune、Forescout eyeControl、Forescout eyeExtend
Enterprise 1 Build 3 (E1B3) - SDP - Zscaler ZPA CA as PE エンタープライズ1ビルド3(E1B3) - SDP - PEとしてZscaler ZPA CA
Enterprise 2 Build 3 (E2B3) — Microsegmentation - Cisco ISE, Cisco Secure Workload, and Ping Identity Ping Federate as PEs エンタープライズ 2 ビルド 3(E2B3) - マイクロセグメンテーション - PE として Cisco ISE、Cisco Secure Workload、Ping Identity Ping Federate
Enterprise 3 Build 3 (E3B3) - SDP and Microsegmentation - Microsoft Azure AD Conditional Access (later renamed Entra Conditional Access), Microsoft Intune, Microsoft Sentinel, Forescout eyeControl, and Forescout eyeExtend as PEs エンタープライズ 3 ビルド 3(E3B3) - SDP とマイクロセグメンテーション - Microsoft Azure AD Conditional Access(後に Entra Conditional Access に改称)、Microsoft Intune、Microsoft Sentinel、Forescout eyeControl、Forescout eyeExtend を PE とする。
Enterprise 4 Build 3 (E4B3) - EIG Run - IBM Security Verify as PE エンタープライズ4ビルド3(E4B3) - EIGの実行 - PEとしてのIBM Security Verify
Enterprise 1 Build 4 (E1B4) - SDP - Appgate SDP Controller as PE エンタープライズ 1 ビルド 4(E1B4) - SDP - PE として Appgate SDP コントローラ
Enterprise 2 Build 4 (E2B4) - SDP and SASE - Symantec Cloud Secure Web Gateway, Symantec ZTNA, and Symantec Cloud Access Security Broker as PEs エンタープライズ 2 ビルド 4(E2B4) - SDP および SASE - PE として Symantec Cloud Secure Web Gateway、 Symantec ZTNA、Symantec Cloud Access Security Broker
Enterprise 3 Build 4 (E3B4) - SDP - F5 BIG-IP, F5 NGINX Plus, Forescout eyeControl, and Forescout eyeExtend as PEs エンタープライズ3ビルド4(E3B4) - SDP - PEとしてF5 BIG-IP、F5 NGINX Plus、Forescout eyeControl、Forescout eyeExtend
Enterprise 4 Build 4 (E4B4) - SDP, Microsegmentation, and EIG - VMware Workspace ONE Access, VMware Unified Access Gateway, and VMware NSX-T as PEs エンタープライズ 4 ビルド 4(E4B4) - SDP、マイクロセグメンテーション、EIG - PE として VMware Workspace ONE Access、VMware Unified Access Gateway、VMware NSX-T
Enterprise 1 Build 5 (E1B5) - SASE and Microsegmentation - PAN NGFW and PAN Prisma Access as PEs エンタープライズ 1 ビルド 5(E1B5) - SASE およびマイクロセグメンテーション - PAN NGFW および PAN Prisma Access を PE として使用
Enterprise 2 Build 5 (E2B5) - SDP and SASE - Lookout SSE and Okta Identity Cloud as PEs エンタープライズ 2 ビルド 5(E2B5) - SDP および SASE - Lookout SSE および Okta Identity Cloud を PE として使用
Enterprise 3 Build 5 (E3B5) - SDP and SASE - Microsoft Entra Conditional Access (formerly called Azure AD Conditional Access) and Microsoft Security Service Edge as PEs Enterprise 3 Build 5(E3B5) - SDPおよびSASE - Microsoft Entra Conditional Access(旧名称:Azure AD Conditional Access)およびMicrosoft Security Service EdgeをPEとする。
Enterprise 4 Build 5 (E4B5) - SDP and Microsegmentation - AWS Verified Access and Amazon VPC Lattice as PEs Enterprise 4 Build 5 (E4B5) - SDP とマイクロセグメンテーション - PE として AWS Verified Access と Amazon VPC Lattice
Enterprise 1 Build 6 (E1B6) - SDP and Microsegmentation - Ivanti Neurons for Zero Trust Access as PE Enterprise 1 Build 6 (E1B6) - SDP とマイクロセグメンテーション - Ivanti Neurons for Zero Trust Access を PE として使用する。
Enterprise 2 Build 6 (E2B6) - SASE - Google Chrome Enterprise Premium (CEP) - Access Context Manager as PE Enterprise 2 Build 6 (E2B6) - SASE - Google Chrome Enterprise Premium (CEP) - Access Context Manager を PE として使用する。
Build Implementation Instructions ビルド実装手順
Enterprise 1 Build 1 (E1B1) - EIG Crawl - Okta Identity Cloud and Ivanti Access ZSO as PEs Product Guides エンタープライズ1ビルド1(E1B1) - EIG Crawl - Okta Identity CloudおよびIvanti Access ZSOをPEに 製品ガイド
Enterprise 2 Build 1 (E2B1) - EIG Crawl - Ping Identity Ping Federate as PE Product Guides エンタープライズ 2 ビルド 1(E2B1) - EIG クロール - PE としての Ping Identity Ping Federate 製品ガイド
Enterprise 3 Build 1 (E3B1) - EIG Crawl - Azure AD Conditional Access (later renamed Entra Conditional Access) as PE Product Guides エンタープライズ3ビルド1(E3B1) - PE製品ガイドとしてEIG Crawl - Azure AD Conditional Access(後にEntra Conditional Accessに改称
Enterprise 1 Build 2 (E1B2) - EIG Run - Zscaler ZPA Central Authority (CA) as PE Product Guides エンタープライズ1ビルド2(E1B2) - EIG Run - PE製品ガイドとしてのZscaler ZPA Central Authority(CA)
Enterprise 3 Build 2 (E3B2) - EIG Run - Microsoft Azure AD Conditional Access (later renamed Entra Conditional Access), Microsoft Intune, Forescout eyeControl, and Forescout eyeExtend as PEs Product Guides Enterprise 3 Build 2 (E3B2) - EIG Run - PE製品ガイドとしてMicrosoft Azure AD Conditional Access(後にEntra Conditional Accessに改名)、Microsoft Intune、Forescout eyeControl、Forescout eyeExtend
Enterprise 1 Build 3 (E1B3) - SDP - Zscaler ZPA CA as PE Product Guides エンタープライズ1ビルド3(E1B3) - SDP - PEとしてのZscaler ZPA CA製品ガイド
Enterprise 2 Build 3 (E2B3) - Microsegmentation - Cisco ISE, Cisco Secure Workload, and Ping Identity Ping Federate as PEs Product Guides エンタープライズ2ビルド3(E2B3) - マイクロセグメンテーション - PEとしてのCisco ISE、Cisco Secure Workload、Ping Identity Ping Federate製品ガイド
Enterprise 3 Build 3 (E3B3) - SDP and Microsegmentation - Microsoft Azure AD Conditional Access (later renamed Entra Conditional Access), Microsoft Intune, Microsoft Sentinel, Forescout eyeControl, and Forescout eyeExtend as PEs Product Guides エンタープライズ 3 ビルド 3(E3B3) - SDP とマイクロセグメンテーション - PE として Microsoft Azure AD Conditional Access(後に Entra Conditional Access に改称)、Microsoft Intune、Microsoft Sentinel、Forescout eyeControl、Forescout eyeExtend を提供する。
Enterprise 4 Build 3 (E4B3) - EIG Run - IBM Security Verify as PE Product Guides エンタープライズ 4 ビルド 3(E4B3) - EIG ラン - PE としての IBM Security Verify 製品ガイド
Enterprise 1 Build 4 (E1B4) - SDP - Appgate SDP Controller as PE Product Guides エンタープライズ1ビルド4(E1B4) - SDP - PEとしてのAppgate SDPコントローラ 製品ガイド
Enterprise 2 Build 4 (E2B4) - SDP and SASE - Symantec Cloud Secure Web Gateway, Symantec ZTNA, and Symantec Cloud Access Security Broker as PEs Product Guides エンタープライズ 2 ビルド 4(E2B4) - SDP および SASE - PE として Symantec Cloud Secure Web Gateway、Symantec ZTNA、Symantec Cloud Access Security Broker 製品ガイド
Enterprise 3 Build 4 (E3B4) - SDP - F5 BIG-IP, F5 NGINX Plus, Forescout eyeControl, and Forescout eyeExtend as PEs Product Guides エンタープライズ3ビルド4(E3B4) - SDP - PEとしてのF5 BIG-IP、F5 NGINX Plus、Forescout eyeControl、およびForescout eyeExtend製品ガイド
Enterprise 4 Build 4 (E4B4) - SDP, Microsegmentation, and EIG - VMware Workspace ONE Access, VMware Unified Access Gateway, and VMware NSX-T as PEs Product Guides エンタープライズ 4 ビルド 4(E4B4) - SDP、マイクロセグメンテーション、EIG - PE として VMware Workspace ONE Access、VMware Unified Access Gateway、VMware NSX-T 製品ガイド
Enterprise 1 Build 5 (E1B5) - SASE and Microsegmentation - PAN NGFW and PAN Prisma Access as PEs Product Guides エンタープライズ1ビルド5(E1B5) - SASEおよびマイクロセグメンテーション - PAN NGFWおよびPAN Prisma AccessをPEとした製品ガイド
Enterprise 2 Build 5 (E2B5) - SDP and SASE - Lookout SSE and Okta Identity Cloud as PEs Product Guides エンタープライズ2ビルド5(E2B5) - SDPおよびSASE - Lookout SSEおよびOkta Identity CloudをPEとして使用する場合の製品ガイド
Enterprise 3 Build 5 (E3B5) - SDP and SASE - Microsoft Entra Conditional Access (formerly Azure AD Conditional Access) and Microsoft Security Service Edge as PEs Product Guides Enterprise 3 Build 5 (E3B5) - SDPおよびSASE - Microsoft Entra Conditional Access(旧Azure AD Conditional Access)およびMicrosoft Security Service EdgeをPEとして製品ガイドに追加
Enterprise 4 Build 5 (E4B5) - SDP and Microsegmentation - AWS Verified Access and Amazon VPC Lattice as PE Enterprise 4 Build 5 (E4B5) - SDPとマイクロセグメンテーション - PEとしてAWS Verified AccessとAmazon VPC Lattice
Enterprise 1 Build 6 (E1B6) - SDP and Microsegmentation - Ivanti Neurons for Zero Trust Access as PEs Product Guides Enterprise 1 Build 6 (E1B6) - SDP とマイクロセグメンテーション - Ivanti Neurons for Zero Trust Access as PE プロダクトガイド
Enterprise 2 Build 6 (E2B6) - SASE - Google Chrome Enterprise Premium (CEP) - Access Context Manager as PE Enterprise 2 Build 6 (E2B6) - SASE - Google Chrome Enterprise Premium (CEP) - PEとしてのAccess Context Manager
Hardening Information ハードニング情報
General Findings 一般的な調査結果
Functional Demonstrations 機能デモ
Demonstration Terminology デモの用語
Use Case A: Discovery and Identification of IDs, Assets, and Data Flows ユースケースA:ID、資産、データフローの発見と識別
Use Case B: Enterprise-ID Access ユースケースB:エンタープライズIDアクセス
Use Case C: Collaboration: Federated-ID Access ユースケースC:コラボレーション: 統合IDアクセス
Use Case D: Other-ID Access ユースケースD: その他のIDアクセス
Use Case E: Guest: No-ID Access ユースケースE:ゲスト: IDなしアクセス
Use Case F: Confidence Level ユースケースF:信頼度
Use Case G: Service-Service Interactions ユースケースG:サービス間相互作用
Use Case H: Data Level Security Scenarios ユースケースH:データ・レベルのセキュリティ・シナリオ
Functional Demonstration Result Summaries 機能デモ結果サマリー
Functional Demonstration Results 機能実証結果
EIG Crawl Phase Demonstration Results EIGクロール・フェーズの実証結果
EIG Run Phase Demonstration Results EIG実行フェーズの実証結果
SDP, Microsegmentation, and SASE Phase Demonstration Results SDP、マイクロセグメンテーション、SASEフェーズの実証結果
Risk and Compliance Management リスクおよびコンプライアンス・マネジメント
Risks Addressed by the ZTA Reference Architecture ZTA参照アーキテクチャが対処するリスク
ZTA Security Mapping Context and Terminology ZTAセキュリティマッピングのコンテキストと用語
Mappings マッピング
Zero Trust Journey Takeaways ゼロトラスト・ジャーニーの要点
Glossary 用語集
Acronyms 頭字語
Change Log 変更履歴

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

1800-35...

・2024.08.08 米国 NIST SP 1800-35(第4次初期ドラフト) ゼロトラストアーキテクチャの実装 (2024.07.30)

・2023.09.16 NIST SP 1800-35(第2次初期ドラフト) ゼロトラストアーキテクチャの実装 Vol.E リスクとコンプライアンスマネジメント

・2023.08.24 NIST SP 1800-35(第3次初期ドラフト) ゼロトラストアーキテクチャの実装 Vol.D 機能デモ

・2023.07.23 NIST SP 1800-35(第2次初期ドラフト) ゼロトラストアーキテクチャの実装 (Vol. B, C)

・2022.08.10 NIST SP 1800-35 (ドラフト) ゼロトラストアーキテクチャの実装(初期ドラフト)(Vol. C, D)

・2022.07.09 NIST SP 1800-35 (ドラフト) ゼロトラストアーキテクチャの実装(初期ドラフト)(Vol. B)

・2022.06.07 NIST SP 1800-35 (ドラフト) ゼロトラストアーキテクチャの実装(初期ドラフト)(Vol. A)

 

800-207他

・2024.09.03 米国 CISA 接続されたコミュニティ・ガイダンス:相互接続されたシステムを保護するためのゼロ・トラスト (2024.08.29)

・2023.09.17 NIST SP 800-207A マルチクラウド環境におけるクラウドネイティブ・アプリケーションにおけるアクセス制御のためのゼロトラストアーキテクチャモデル

・2023.04.23 NIST SP 800-207A(ドラフト)マルチクラウド環境におけるクラウドネイティブ・アプリケーションにおけるアクセス制御のためのゼロトラストアーキテクチャモデル

・2022.12.12 カナダ サイバーセキュリティセンター 「ゼロトラスト・セキュリティモデル - ITSAP.10.008」

・2022.05.08 NIST ホワイトペーパー CSWP 20 ゼロトラストアーキテクチャのための計画:連邦政府管理者向け計画策定ガイド

・2022.03.15 米国 CISA 意見募集 ゼロトラスト原則のエンタープライズ・モビリティへの適用 (2022.03.07)

・2021.09.09 米国 CISA 意見募集 ゼロトラスト成熟度モデル

・2021.06.30 金融庁 「ゼロトラストの現状調査と事例分析に関する調査報告書」の公表

・2021.03.01 米国国家安全保障局 (NSA) ゼロトラストセキュリティモデルに関するガイダンス

・2020.12.14 PwC Japanが「NIST SP800-207 「ゼロトラスト・アーキテクチャ」の解説と日本語訳」を公表していますね。。。

・2020.08.14 NIST SP 800-207 Zero Trust Architecture

・2020.02.14 NIST SP 800-207(Draft) Zero Trust Architecture (2nd Draft)

 

| | Comments (0)

2024.12.12

欧州連合理事会 ホワイトペーパー 「欧州のデジタルインフラのニーズにどのように対応するか?」を承認

こんにちは、丸山満彦です。

欧州連合理事会 (Council of the European Union)が、024.12.04-06にブラッセルで会議(ハンガリーが議長国)を開催し、

  • ENISAの権限強化
  • 欧州委員会の白書「欧州のデジタルインフラのニーズにどのように対応するか」に関する結論書

について承認し、

  • デジタル10年政策プログラム2030に関する政策

に対する討論をしたわけですが...

今回は、「欧州のデジタルインフラのニーズにどのように対応するか」の話...

欧州の通信インフラの課題とかが垣間見られるかもしれません...

そういう意味では日本はネットワーク環境が整備されていますね...もちろん、韓国とかはもっとよいですが...

 

欧州連合理事会...

Europenan Council, Council of European Union

 会議報告 - Transport, Telecommunications and Energy Council

Transport, Telecommunications and Energy Council (Telecommunications), 6 December 2024

関係する部分...

Council conclusions on EU’s future digital infrastructure needs EUの将来のデジタルインフラ需要に関する欧州理事会の結論
The Council approved conclusions on the Commission’s White Paper titled ‘How to master EU’s digital infrastructure needs?’. Ministers conveyed a comprehensive set of messages on fostering innovation, ensuring security and resilience, promoting fair competition, and driving investments in digital infrastructures with a view to advancing the EU’s competitiveness and digital transformation goals. The text of the conclusions touches upon important questions, such as the need to thoroughly assess possible convergence of cloud and telecommunications in the digital ecosystem and market consolidation, where the need for effective competition in the relevant market was highlighted by a considerable number of ministers.Regulatory matters were also touched upon during the debate with some ministers underlining the importance of maintaining the possibility of ex-ante control on certain access markets, as well as of considering member states’ specificities, competition, and consumer welfare in the context of the migration from copper to fibre. 欧州理事会は、欧州委員会の白書「EUのデジタルインフラのニーズにどのように対応するか?」に関する結論書を承認した。閣僚は、EUの競争力とデジタルトランスフォーメーションの目標を推進する観点から、イノベーションの促進、セキュリティとレジリエンスの確保、公正な競争の促進、デジタルインフラへの投資の促進に関する包括的なメッセージを伝えた。結論書の本文では、デジタル・エコシステムにおけるクラウドと電気通信のコンバージェンスの可能性を徹底的に評価する必要性や、関連市場における効果的な競争の必要性が相当数の閣僚によって強調された市場統合など、重要な問題に触れている。規制問題についても議論の中で触れられ、一部の閣僚は、特定のアクセス市場における事前規制の可能性を維持することの重要性や、銅線から光ファイバーへの移行の文脈において加盟国の特殊性、競争、消費者福祉を考慮することの重要性を強調した。

 

 

欧州委員会...

European Committee

White Paper – ‘How to master Europe’s digital infrastructure needs?’

20241212-11217

 

要はつぎのことですかね・・・

 

Pillar I: Creating the “3C Network” - “Connected Collaborative Computing”  柱 I:3Cネットワーク "の構築-"コネクテッド・コラボレーティブ・コンピューティング" 
• Scenario 1: The Commission may consider proposing large-scale pilots that set up endto-end integrated infrastructures and platforms for telco cloud and edge. In a second step these pilot infrastructures would be used to orchestrate the development of innovative technologies and AI applications for various use cases.  • シナリオ1: 欧州委員会は、通信事業者のクラウドとエッジのためのエンドツーエンドの統合インフラとプラットフォームを構築する大規模な試験運用を提案することを検討することができる。第二段階として、こうした試験的なインフラを利用して、さまざまなユースケースに対応した革新的な技術やAIアプリケーションの開発を組織化する。 
• Scenario 2: The possibility of following-up the accomplishments of IPCEI CIS by a new infrastructure-focussed IPCEI could be discussed by the Commission’s Joint European Forum for Important Projects of Common European Interest (JEF-IPCEI), which is tasked with identifying and prioritising strategic technologies for the EU economy that could be relevant candidates for future IPCEIs.  • シナリオ2:IPCEI CISの成果を受け、インフラに焦点を当てた新たなIPCEIを立ち上げる可能性については、欧州委員会の「欧州共通重要プロジェクト合同フォーラム(JEF-IPCEI)」で検討することができる。同フォーラムは、将来のIPCEIの候補となりうるEU経済の戦略的技術を特定し、優先順位をつけることを任務としている。

• Scenario 3: Massive investments in connectivity capacity are required to support the creation of a collaborative connectivity and computing ecosystem. The Commission may consider different options in order to frame these investments into a simplified and coordinated support framework for a truly digital single market drawing on European and national, public and private investments.  • シナリオ3:協調的な接続とコンピューティングのエコシステムの構築を支援するために、接続容量への大規模な投資が必要である。欧州委員会は、このような投資を、欧州および各国の官民の投資を活用した、真のデジタル単一市場のための簡素化され調整された支援の枠組みに組み入れるために、さまざまな選択肢を検討することができる。 
o This should streamline procedures and improve synergies between existing instruments and programmes (including based on the experience with the Chips Joint Undertaking, Important Projects of Common European Interest, the Connecting Europe Facility and the Digital Europe Programme), possibly tasking as a pilot under the current Multiannual Financial Framework the Smart Networks and Services Joint Undertaking (SNS JU) to adopt a more coordinating role, and by liaising with stakeholders such as the European Alliance for Industrial Data, Edge and Cloud as appropriate).  o これは、手続きを合理化し、既存の制度やプログラム間の相乗効果を向上させるものでなければならない(Chips Joint Undertaking、Important Projects of Common European Interest、Connecting Europe Facility、Digital Europe Programmeの経験に基づくものも含む)。場合によっては、現在の多年度財政枠組みの下で、スマートネットワーク・サービス共同事業(SNS JU)に試験的な任務を与え、より調整的な役割を担わせ、適宜、産業データ、エッジ、クラウドのための欧州連合(European Alliance for Industrial Data, Edge and Cloud)などの利害関係者と連携する)。

o This should explore means to ensure strengthening coherence, simplification and clarity of future support action, without prejudice to institutional programme design and budget allocation prerogatives under the next Multiannual Financial Framework.  これは、次期多年次財政枠組みにおける機構のプログラム設計と予算配分の特権を損なうことなく、今後の支援活動の一貫性強化、簡素化、明確化を確保するための手段を探るものでなければならない。
 Pillar II: Completing the Digital Single Market  柱 II:デジタル単一市場の完成
• Scenario 4: In order to address the converged electronic communications connectivity and services sector and to ensure that its benefits reach all end-users everywhere, the Commission may consider broadening the scope and objectives of the current regulatory framework to ensure a regulatory level playing field and equivalent rights and obligations for all actors and end-users of digital networks where appropriate to meet the corresponding regulatory objectives; given the likely global magnitude and impact of the technological developments and of any possible regulatory changes, a reform of the current framework needs to be properly assessed in terms of the economic impact on all actors as well as debated broadly with all stakeholders;  • シナリオ4: 統合された電子通信接続とサービスの分野に対応し、その恩恵があらゆる場所のエンドユーザーに行き届くようにするため、欧州委員会は、現行の規制枠組みの範囲と目的を拡大し、規制上の公平な競争条件と、デジタルネットワークのすべての関係者とエンドユーザーに同等の権利と義務を確保することを検討することができる。技術的発展と規制変更の可能性が世界的に大きく影響することを考えると、現行の枠組みの改革は、すべての関係者に与える経済的影響という観点から適切に評価するとともに、すべての利害関係者と幅広く議論する必要がある;



• Scenario 5: In order to address technological and market developments and the resulting need to change the regulatory paradigm and ensure less burden for companies and more efficient service delivery, while continuing to protect vulnerable end-users and promote territorial coverage, the Commission may consider:  • シナリオ5: 技術と市場の発展、およびその結果として生じる規制パラダイムの変更の必要性に対応し、脆弱なエンドユーザーの保護と地域的なサービス提供の促進を継続しつつ、事業者の負担を軽減し、より効率的なサービス提供を確保するために、欧州委員会は以下を検討することができる: 
o measures to accelerate copper switch-off (such as a target in 2030, aligned to the Digital Decade target for Gigabit connectivity, and support for copper-fibre switch-over from 2028);  o ギガビット接続の「デジタル 10 年」目標に沿った 2030 年の目標や、2028 年からの銅ファイバーへの切り替え支援など); 
o a change to access policy in view of full fibre environment, by proposing a European wholesale access product and recommending no markets for presumptive ex ante regulation while maintaining a safety net for NRAs to keep regulation if the “3 Criteria Test” is met (reverse burden of proof). In the alternative, only markets for civil infrastructure might be considered for regulation ex ante (as the most persistent bottleneck), combined with the implementation of lighter access regulation (no price regulation or pricing flexibility) along the lines of the recently adopted Gigabit Recommendation.  o フルファイバー環境を視野に入れたアクセス政策の変更として、欧州のホールセールアクセス製品を提案し、「3規準テスト」を満たせばNRAが規制を維持できるセーフティネット(逆の立証責任)を維持しつつ、推定的な事前規制のための市場なしを推奨する。代替案としては、(最も根強いボトルネックである)民間インフラ市場のみを事前規制の対象とし、最近採択されたギガビット勧告に沿った軽めのアクセス規制(価格規制や価格柔軟性はない)の実施と組み合わせることも考えられる。 
• Scenario 6: In order to facilitate the single market and building scale for activities of all players, the Commission may consider:  • シナリオ6: 単一市場を促進し、すべてのプレーヤーの活動の規模を拡大するために、欧州委員会は以下を検討することができる: 
o a more integrated governance at Union level for spectrum that would allow, where necessary, for greater harmonisation of spectrum authorisation processes and thereby create the conditions for market scale necessary for panEU operators to attain larger investment capacity; the Commission may also consider solutions for more aligned authorisation and selection conditions, or even single selection or authorisation processes, for terrestrial and satellite communications and other innovative applications that make clear cases for fostering the development of the single market;  o また、必要であれば、周波数帯域の認可プロセスをより調和させ、それによって、汎EUの事業者がより大きな投資能力を獲得するために必要な市場規模の条件を整えることを可能にする、周波数帯域に関する政府レベルでのより統合されたガバナンスを構築する; また、欧州委員会は、地上および衛星通信、その他の革新的なアプリケーションで、単一市場の発展を促進するための明確な事例となるものについては、より整合性のある認可および選定の条件、あるいは単一の選定または認可プロセスに関する解決策を検討することができる;

o a more harmonized approach to authorisation (through the possible establishment of “country of origin” principle for certain activities less connected to consumer retail markets and local access networks).  o 消費者向け小売市場やローカルアクセスネットワークとの関連性が低い特定の活動については、「原産国主義」を確立する可能性がある。 
• Scenario 7: The Commission may consider facilitating greening of digital networks through promoting the timely switch-off of copper networks and the move to a full fibre environment and a more efficient use of networks (codecs) throughout the Union territory.  • シナリオ7: 欧州委員会は、銅線ネットワークの適時停止、完全な光ファイバー環境への移行、連邦領域全体におけるネットワーク(コーデック)の効率的利用を促進することにより、デジタルネットワークのグリーン化を促進することを検討することができる。 
Pillar III: Secure and resilient digital infrastructures for Europe  柱III:欧州のための安全でレジリエンシーなデジタルインフラ 
• Scenario 8: The Commission will promote the reinforcement of advanced R&I activities across the EU in support of new fibre and cable technologies.  • シナリオ8: 欧州委員会は、新しいファイバーおよびケーブル技術を支援するために、EU全域で先進的な研究開発活動の強化を推進する。 
• Scenario 9: The Commission may consider establishing a CPEI list and related labelling system by a Delegated Act under the Connecting Europe Facility.  • シナリオ9: 欧州委員会は、欧州連結ファシリティーの下で、CPEIリストおよび関連するラベリング制度を委任法によって確立することを検討することができる。 
• Scenario 10: The Commission may conduct a review of available instruments, in particular grants, procurement, blending operations under InvestEU and grant blending facilities, with a particular focus on leveraging private investment to support CPEIs, including the possibility of an equity fund.  • シナリオ10: 欧州委員会は、利用可能な手段、特に、助成金、調達、EU投資委員会(InvestEU)の下での混合業務、助成金混合制度について、特に、株式ファンドの可能性を含め、CPEIを支援するための民間投資の活用に焦点を当てた見直しを行う可能性がある。 
• Scenario 11: The Commission may consider proposing a joint EU governance system on submarine cable infrastructures.  • シナリオ11: 欧州委員会は、海底ケーブルインフラに関するEU共同のガバナンスシステムの提案を検討する可能性がある。 
• Scenario 12: The Commission may consider harmonising security requirements in international fora, which may be recognised through a dedicated EU certification scheme.  • シナリオ12: 欧州委員会は、国際的な場におけるセキュリティ要件の調和を検討することができる。 

 

 

 

| | Comments (0)

2024.12.07

欧州 EDPB 第三国当局へのデータ移転に関するGDPR第48条に関するガイドラインを発表し、新しい欧州データ保護シールを承認

こんにちは、丸山満彦です。

European data Protection Board;EDPBが、第三国当局へのデータ移転に関するGDPR第48条に関するガイドラインを発表し、新しい欧州データ保護シールを承認していますね。ガイドラインは、2025.01.27までパブリックコメントを受け付けています。

欧州の組織が「第三国」(すなわち欧州以外の国)の当局からデータ移転の要請を受けた場合、一般データ保護規則(GDPR)を遵守しなければならないことになりますね。(したがって、第三国当局の判決または決定は、欧州では自動的に承認または執行されることない)。

そこで、第三国当局に個人データを移転するよう要請された場合に、合法的に移転できるかどうかを組織が判断するために策定したのが、このガイドラインということになりますね...

もう一つの決定は、新しい欧州データ保護シールですね...GDPR認証は、組織がデータ保護法を遵守していることを証明することできます。 オランダで実施されている規準が欧州全体でつかえることになったということですね...規準自体は2023.09.19に策定されていますね...

 

European data Protection Board;EDPB

・2024.12.03 EDPB clarifies rules for data sharing with third country authorities and approves EU Data Protection Seal certification

EDPB clarifies rules for data sharing with third country authorities and approves EU Data Protection Seal certification EDPB、第三国当局とのデータ共有ルールを明確化し、EUデータ保護シールを認可
Brussels, 03 December - During its latest plenary, the European Data Protection Board (EDPB) published guidelines on Art.48 GDPR about data transfers to third country authorities and  approved a new European Data Protection Seal. ブリュッセル、12月3日 - 欧州データ保護委員会(EDPB)は最新の本会議で、第三国当局へのデータ移転に関するGDPR第48条に関するガイドラインを発表し、新たな欧州データ保護シールを承認した。
EDPB helps organisations assess data transfer requests by third country authorities EDPBは第三国当局からのデータ移転要請に対する認可を支援する。
In a highly interconnected world, organisations receive requests from public authorities in other countries to share personal data. The sharing of data can, for instance, be of help to collect evidence in the case of crime, to check financial transactions or approve new medications. 高度に相互接続された世界では、認可組織は他国の公的機関から個人データの共有要請を受ける。データの共有は、例えば、犯罪の証拠収集、金融取引のチェック、新薬の承認などに役立つ。
When a European organisation receives a request for a transfer of data from a ‘third country’ (i.e. non-European countries) authority, it must comply with the General Data Protection Regulation (GDPR). In its guidelines, the EDPB zooms in on Art. 48 GDPR and clarifies how organisations can best assess under which conditions they can lawfully respond to such requests. In this way, the guidelines help organisations to make a decision on whether they can lawfully transfer personal data to third country authorities when asked to do so. 欧州の組織が「第三国」(すなわち欧州以外の国)の当局からデータ移転の要請を受けた場合、一般データ保護規則(GDPR)を遵守しなければならない。EDPBはそのガイドラインの中で、GDPR第48条に焦点を当てている。48 GDPRに焦点を当て、どのような条件下でそのような要請に合法的に対応できるかを、組織がどのように評価するのが最善かを明確にしている。このように、ガイドラインは、第三国当局に個人データを移転するよう求められた場合に、合法的に個人データを移転することができるかどうかについて、認可組織が判断する際の一助となるものである。
Judgements or decisions from third countries authorities cannot automatically be recognised or enforced in Europe. If an organisation replies to a request for personal data from a third country authority, this data flow constitutes a transfer and the GDPR applies. An international agreement may provide for both a legal basis and a ground for transfer. In case there is no international agreement, or if the agreement does not provide for an appropriate legal basis or safeguards, other legal bases or other grounds for transfer could be considered, in exceptional circumstances and on a case by case basis.* 第三国当局の判決や決定は、欧州では自動的に承認されたり、執行されたりすることはない。認可機関が第三国当局からの個人データの要求に応じる場合、このデータフローは移転に該当し、GDPRが適用される。国際協定は、移転の法的根拠と根拠の両方をプロバイダに提供することができる。国際協定がない場合、または協定が適切な法的根拠や保護措置を規定していない場合は、例外的な状況において、ケースバイケースで、他の法的根拠や他の移転根拠を考慮することができる*。
The guidelines are subject to public consultation until 27 January 2025. ガイドラインは、2025年1月27日まで公開協議の対象となる。
Approval of EU Data Protection Seal EUデータ保護シールの承認
During the plenary meeting, the Board also adopted an opinion approving the Brand Compliance certification criteria concerning processing activities by controllers or processors. In September 2023, the Board already adopted an opinion on the approval of the Brand Compliance national certification criteria, making them officially recognised certification criteria in the Netherlands for data processing by organisations. The approval of the new opinion means that these criteria will now be applicable across Europe and as a European Data Protection Seal. 理事会は本会議において、管理者または処理者による処理活動に関するブランドコンプライアンスの認証規準を承認する意見書も採択した。理事会はすでに2023年9月に、Brand Complianceの国内認証規準の承認に関する意見を採択しており、これによりオランダでは、組織によるデータ処理に関する認証規準として正式に認められている。新たな意見の承認は、これらの規準が欧州全域で、欧州データ保護シールとして適用されることを意味する。
GDPR certification helps organisations demonstrate their compliance with data protection law. This transparency helps people trust the product, service, process or system for which organisations process their personal data. GDPRの防御は、組織がデータ保護法を遵守していることを証明するのに役立つ。この透明性は、組織が個人データの処理を行う製品、サービス、プロセス、システムを人々がトラストするのに役立つ。

 


 

まずは、「第三国当局へのデータ移転に関するGDPR第48条に関するガイドライン」...

2025.01.27まで受け付けています...

・2024.12.03 Guidelines 02/2024 on Article 48 GDPR

20241207-15431

・[DOCX][PDF] 仮訳

 


個人情報保護委員会

・[PDF] 一般データ保護規則(GDPR)の条文

移転の一般原則...第44条

Article 44 General principle for transfers 第44 条 移転に関する一般原則
Any transfer of personal data which are undergoing processing or are intended for processing after transfer to a third country or to an international organisation shall take place only if, subject to the other provisions of this Regulation, the conditions laid down in this Chapter are complied with by the controller and processor, including for onward transfers of personal data from the third country or an international organisation to another third country or to another international organisation. All provisions in this Chapter shall be applied in order to ensure that the level of protection of natural persons guaranteed by this Regulation is not undermined. 現に取扱われている又は第三国又は国際機関への移転の後に取扱いを意図した個人データ移転は、その第三国又は国際機関か別の第三国又は国際機関への個人データの転送に関するものを含め、本規則の他の条項に従い、本章に定める要件が管理者及び処理者によって遵守される場合においてのみ、行われる。本章の全ての条項は、本規則によって保証される自然人保護のレベルが低下しないことを確保するために適用される。

 

第48条

Article 48 Transfers or disclosures not authorised by Union law 第48 条 EU 法によって認められない移転又は開示
Any judgment of a court or tribunal and any decision of an administrative authority of a third country requiring a controller or processor to transfer or disclose personal data may only be recognised or enforceable in any manner if based on an international agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union or a Member State, without prejudice to other grounds for transfer pursuant to this Chapter. 管理者又は処理者に対して個人データの移転又は開示を命ずる第三国の裁判所若しくは法廷の判決及び公的機関の決定は、本章による移転のための別の法的根拠を妨げることなく、いかなる態様によるにせよ、司法共助条約のような要請元である第三国と EU 又は加盟国との間で有効な国際合意に基づく場合においてのみ、認められるか又は執行力を有することができる。

 

ちなみに、日欧間、日英間については、同等性の認定をうけていますので、日欧の間のデータ移転については、EU国内での移転と同様におこなえることになっていますよね...

日EU間・日英間のデータ越境移転について

 


 

次は、GDPR認証...

 

オランダの個人データ保護機関

● Autoriteit Persoonsgegevens

GDPR certificate

GDPR certificate GDPR証明書
A GDPR certificate is a written statement that a product, process or service meets all or certain specific requirements from the General Data Protection Regulation (GDPR). With a GDPR certificate, organisations can show their target group that they process and protect personal data with due care. A GDPR certificate is not mandatory. Applying for a GDPR certificate is currently not yet possible. GDPR証明書とは、製品、プロセス、またはサービスが、一般データ保護規則(GDPR)のすべてまたは特定の要件を満たしていることを示す文書である。GDPR証明書により、組織は個人データを適切に処理し、保護していることをターゲット・グループに示すことができる。GDPR証明書は義務ではない。GDPR証明書の申請は現在まだできない。
Applying for a GDPR certificate GDPR証明書を申請する
Currently, there are no accredited certification bodies in the Netherlands for issuing GDPR certificates. These are bodies that have been accredited by the Dutch Accreditation Council (RvA). As soon as the RvA has accredited certification bodies, you will find this information on our website and in the register on the RvA website. 現在、オランダにはGDPR証明書を発行する認定認証団体はない。これらはオランダ認定審議会(RvA)によって認定された団体である。RvAが認証団体を認定し次第、当社のウェブサイトおよびRvAのウェブサイト上の登録簿にこの情報が掲載される。
As a controller or processor, you can then apply to such certification body for a GDPR certificate. The certification body will then assess whether your product, process or service is eligible for a GDPR certificate 管理者または処理者として、GDPR証明書を当該認証団体に申請することができる。認証団体はその後、貴社の製品、プロセスまたはサービスがGDPR認証の対象となるかどうかをアセスメントする。
Note: The Dutch Data Protection Authority (Dutch DPA) does not issue GDPR certificates itself. If you wish to apply for a GDPR certificate, you need to contact a certification body. 注:オランダデータ保護局(Dutch Data Protection Authority:DPA)はGDPR証明書自体を発行しない。GDPR証明書の申請を希望する場合は、認証団体に連絡する必要がある。
Approval of Brand Compliance criteria ブランドコンプライアンス規準の承認
The Dutch DPA has approved the Brand Compliance criteria (Certification Standard and Criteria BC 5701:2023). However, requesting a GDPR certificate from Brand Compliance is not yet possible. For this, Brand Compliance must first be accredited by the RvA. オランダDPAはブランドコンプライアンス規準(認証標準および規準BC 5701:2023)を承認している。しかし、Brand ComplianceにGDPR証明書を要求することはまだできない。そのためには、まずBrand ComplianceがRvAの認定を受ける必要がある。
If you have any questions about the course of that procedure, please contact Brand Compliance. You may already be able to start preparing for a certification process. Brand Compliance can inform you about this. その手続きの経過について質問がある場合は、ブランド・コンプライアンスに問い合わせること。すでに認証手続きの準備を始めることができるかもしれない。ブランドコンプライアンスからお知らせすることができる。
Only official GDPR certificate is valid GDPRの公式証明書のみが妥当性確認に有効である
To demonstrate your GDPR compliance, you can only use an official GDPR certificate. This is a certificate issued by an organisation accredited by the RvA. A certificate issued by a non-accredited organisation will not be considered a GDPR certificate. GDPRへの準拠を証明するには、公式のGDPR証明書のみを使用することができる。これは、RvAの認定を受けた組織が発行した証明書である。認定を受けていない組織が発行した証明書は、GDPR証明書とはみなされない。
Do you want to be sure that you are dealing with an accredited organisation that is allowed to issue GDPR certificates? Check the register on the RvA website. GDPR証明書の発行を許可されている認定組織と取引していることを確認したい。RvAのウェブサイト上の登録を確認する。
Have you been approached by an organisation offering you a GDPR certificate? GDPR証明書を提供する組織からアプローチを受けたことがあるか?
You may be approached by organisations that offer you a GDPR certificate, but that are still in the process of being accredited. An example is if they are looking for (prospective) customers to demonstrate how their scheme works. This is part of the accreditation process. GDPR証明書を提供しているが、まだ認定を受けていない組織からアプローチされる可能性がある。例えば、そのスキームがどのように機能するかを実証する(見込みのある)顧客を探している場合である。これは認定プロセスの一部である。
Would you like to check whether an organisation you are approached by has an accreditation application pending with the RvA and the Dutch DPA? You can ask the organisation to demonstrate this by showing its correspondence with the Dutch DPA. Are you still having doubts? You can ask your DPO to contact the Dutch DPA to make inquiries. あなたが接触した組織が、RvAとオランダのDPAに認定申請中かどうかを確認したい。オランダのDPAとのやり取りを示すことで、それを証明するよう組織に求めることができる。まだ疑問があるのか?オランダのDPAに問い合わせるようDPOに依頼することができる。
Applying for accreditation as a certification body 認証団体としての認定を申請する
Do you want to issue GDPR certificates as a certification body? You can submit an application for accreditation to the RvA. The Dutch DPA does not accredit certification bodies itself. 認証団体としてGDPR証明書を発行したいのか。RvAに認定申請書を提出することができる。オランダDPAは認証団体を認定しない。
Drawing up a certification scheme for the application 申請のための認証スキームを作成する
Before making an application to the RvA, you have to draw up a certification scheme. As a certification body, you can draw up a scheme yourself. Or you can have this scheme drawn up and managed by an external scheme manager. RvAに申請する前に、認証スキームを作成する必要がある。認証団体として、自らスキームを作成することもできる。または、外部のスキーム管理者にスキームの作成と管理を依頼することもできる。
The certification scheme contains requirements that the certificate holder must meet. The scheme also contains additional requirements for you as a certification body. The Dutch DPA has established these additional requirements and coordinated them with the European Data Protection Board (EDPB). 認証スキームには、認証保有者が満たさなければならない要求事項が含まれている。スキームには、認証機関としての追加要件も含まれている。オランダDPAはこれらの追加要件を定め、欧州データ保護委員会(EDPB)と調整した。
ISO/IEC 17065 standard ISO/IEC 17065標準
The GDPR prescribes the use of the ISO/IEC 17065 standard for accreditation by the RvA. This is the standard for accreditation of certification bodies for products, processes and services. The standard is the basis of the certification scheme. GDPRは、RvAによる認定にISO/IEC 17065標準の使用を規定している。これは、製品、プロセス、サービスに関する認証団体の認定標準である。この標準は、認証スキームの基礎となる。
Assessing the scheme スキームのアセスメント
If you apply to the RvA for accreditation, the RvA will evaluate your certification scheme. The Dutch DPA will then assess whether your certification scheme gives sufficient substance to the relevant requirements under the GDPR. Did the Dutch DPA approve the scheme? Then the accreditation process at the RvA can continue. RvAに認定を申請した場合、RvAは認証スキームを評価する。その後、オランダのDPAは、貴社の認証スキームがGDPRの関連要件を十分に満たしているかどうかを評価する。オランダDPAはスキームを承認したか?その後、RvAにおける認定プロセスを継続することができる。
Note: It is possible that multiple certification schemes that lead to a GDPR certificate will be used in the market. 注:GDPR認証につながる複数の認証スキームが市場で使用される可能性がある。
Steps for accreditation with the Dutch Accreditation Council (RvA) and the role of the Dutch DPA オランダ認定審議会(RvA)による認定のステップとオランダDPAの役割
The accreditation process of the RvA and the role of the Dutch DPA in the approval of certification schemes comprise a number of steps: RvAの認定プロセスおよび認証スキームの承認におけるオランダDPAの役割は、いくつかのステップから構成される:
evaluation by the RvA; RvA による評価
assessment by the Dutch DPA; オランダDPAによるアセスメント
accreditation by the RvA. RvA による認定である。
Evaluation by the RvA RvAによる評価
The RvA assesses whether your application for accreditation can be admitted. RvAは、認定申請が認められるかどうかを評価する。
The RvA conducts a preliminary investigation. This includes an evaluation of the certification scheme drawn up by you or an external scheme manager. RvAは予備調査を行う。これには、本人または外部のスキーム管理者が作成した認証スキームの評価が含まれる。
The RvA concludes the preliminary investigation, subject to approval of the certification scheme by the Dutch DPA. RvAは、オランダDPAによる認証スキームの承認を条件として、予備調査を終了する。
Assessment by the Dutch DPA オランダDPAによるアセスメント
After a positive conclusion of the evaluation by the RvA, the Dutch DPA assesses whether the certification scheme gives sufficient substance to the relevant requirements under the GDPR. RvAによる評価が肯定的に終了した後、オランダDPAは認証スキームがGDPRに基づく関連要件を十分に満たしているかどうかを評価する。
As the certification body or scheme manager, you send the certification scheme to the Dutch DPA. The Dutch DPA will only process your application if the RvA has concluded the evaluation of the scheme with a positive result. And you can demonstrate this. 認証団体またはスキーム管理者として、オランダDPAに認証スキームを送付する。オランダDPAは、RvAがスキームの評価を肯定的な結果で終了した場合にのみ、申請を処理する。そして、それを証明することができる。
The Dutch DPA coordinates the draft decision for approval of the certification scheme with the EDPB. This procedure with the EDPB is in English. This means that you will have to supply the documentation to the EDPB in English. This also applies if you draw up a scheme that is only used in the Netherlands. The further communication from the EDPB to you will also be in English. There is no free translation option through the Dutch DPA or the EDPB. That is why the Dutch DPA recommends that you arrange for a translation into English of all your documentation yourself. オランダDPAは認証スキームの承認決定案をEDPBと調整する。このEDPBとの手続きは英語で行われる。つまり、EDPBに対して英語で文書を提出する必要がある。これは、オランダ国内でのみ使用されるスキームを作成する場合にも適用される。EDPBからあなたへのコミュニケーションも英語で行われる。オランダDPAやEDPBには無料の翻訳オプションはない。そのためオランダDPAは、すべての書類の英訳を自分で手配することを推奨している。
After the Dutch DPA has approved the certification scheme, you send this decision for approval to the RvA. The RvA will then continue the accreditation procedure. オランダDPAが認証スキームを承認した後、この承認決定をRvAに送付する。その後、RvAが認定手続きを継続する。
Accreditation by the RvA RvAによる認定
The RvA will perform an accreditation assessment. RvAは認定審査を行う。
The RvA will make an accreditation decision. After accreditation by the RvA, you are authorised to grant GDPR certificates for the relevant certification scheme. RvAは認定決定を行う。RvAによる認定後、関連する認証スキームのGDPR証明書を付与する権限が付与される。
If the RvA has accredited you, the RvA will also assess you periodically. RvAが貴社を認定した場合、RvAは貴社に対しても定期的にアセスメントを行う。
For more information, see the Accreditation process on the RvA website. 詳細については、RvAのウェブサイトの認定プロセスを参照のこと。
Do you have any questions? 質問はあるか?
Do you have any questions about submitting a certification scheme to the Dutch DPA and having this assessed? Please contact the Dutch DPA by email. 認証スキームをオランダDPAに提出し、アセスメントを受けることについて質問があるか。オランダDPAにEメールで問い合わせること。
Obtaining an approved certification scheme 承認された認証スキームを取得する
Would you like to find out more about an approved certification scheme? Or would you like to know if you can obtain the certification scheme? Please contact the scheme owner. That is the party that developed the certification scheme. 承認された認証スキームについてもっと知りたいか?または、認証スキームを取得できるかどうかを知りたいか。スキーム所有者に連絡すること。認証スキームを開発した当事者である。

 

EDPB...

ブランド・コンプライアンス認証規準に関するオランダ監督当局の決定草案に関する意見15/2023

・2023.09.19 Opinion 15/2023 on the draft decision of the Dutch Supervisory Authority regarding the Brand Compliance certification criteria

・[PDF

20241207-15203

 

 

 

| | Comments (0)

より以前の記事一覧