« December 2024 | Main

January 2025

2025.01.22

米国 トランプ大統領の1日目の仕事...就任演説とトランプ=ヴァンス政権の優先事項

こんにちは、丸山満彦です。

トランプ大統領になっての初日のアナウンスは48個...

パリ協定からの脱退、WHOからの脱退、死刑制度の復活、国境警備の強化、石油掘削の推進、「TikTok(ティックトック)」禁止措置の75日間猶予、政府効率化省の設置など、話題になる政策に関連する大統領令などを出していますね。。。

大きく揺れながらも、経済的に成長していくのでしょうかね...

「もしトラ」が「いまトラ」となり、日本は日本としての考え方をしっかりと持っていないと、振り回されるだけになってしまうように思います。

日本としての考え方というのは、国民の議論によって決まっていくのだろうと思います。トランプ大統領に気に入られようという話でも、トランプ大統領にどう対応しようという話でもなく、日本はどういう国になるということをより明確にしていくことが重要なのでしょうね...

 

U.S. White House

20250121-105054

 

太字が大統領令です... 26個ありますね...

48 GUARANTEEING THE STATES PROTECTION AGAINST INVASION 国家を侵略から防御することを保証する
47 Restoring Names That Honor American Greatness 米国の偉大さを称える名称を復活させる
46 Designating Cartels And Other Organizations As Foreign Terrorist Organizations And Specially Designated Global Terrorists カルテルやその他の組織を外国テロ組織および特別指定グローバルテロリストとして指定する
45 Reforming The Federal Hiring Process And Restoring Merit To Government Service 連邦政府の雇用プロセスを改革し、政府サービスにメリットを復活させる
44 Ending Radical And Wasteful Government DEI Programs And Preferencing 急進的かつ浪費的な政府DEIプログラムを廃止し、優先順位をつける
43 Defending Women From Gender Ideology Extremism And Restoring Biological Truth To The Federal Government ジェンダー・イデオロギーの過激主義から女性を防御し、連邦政府に生物学的な真実を回復する
42 Establishing And Implementing The President’s “Department Of Government Efficiency” 大統領の「政府効率化省」を設立し、実施する
41 America First Policy Directive To The Secretary Of State 国務長官に対する「アメリカ第一」政策指令
40 Protecting The United States From Foreign Terrorists And Other National Security And Public Safety Threats 外国のテロリストやその他の国家安全保障および公共安全の脅威から米国を防御する
39 Unleashing Alaska’s Extraordinary Resource Potential アラスカの驚異的な資源ポテンシャルを解き放つ
38 Protecting The American People Against Invasion 米国国民を侵略から防御する
37 The Organization for Economic Co-operation and Development (OECD) Global Tax Deal (Global Tax Deal) 経済協力開発機構(OECD)グローバル・タックス・ディール(グローバル・タックス・ディール)
36 Organization of the National Security Council and Subcommittees 国家安全保障会議および小委員会の組織
35 Reevaluating And Realigning United States Foreign Aid 米国の対外援助の再評価と再編成
34 Temporary Withdrawal of All Areas on the Outer Continental Shelf from Offshore Wind Leasing and Review of the Federal Government’s Leasing and Permitting Practices for Wind Projects 大陸棚外側の全区域の一時的な沖合風力発電リースからの撤退および連邦政府の風力発電プロジェクトのリースおよび許可慣行の見直し
33 Declaring a National Energy Emergency 国家エネルギー緊急事態の宣言
32 Restoring Accountability for Career Senior Executives キャリア上級管理職の説明責任の回復
31 Promoting Beautiful Federal Civic Architecture 美しい連邦政府市民建築の推進
30 Restoring The Death Penalty And Protecting Public Safety 死刑制度の復活と公共安全の保護
29 Putting People Over Fish: Stopping Radical Environmentalism to Provide Water to Southern California 魚よりも人を優先:南カリフォルニアへの水供給を確保するための急進的環境保護主義の阻止
28 Securing Our Borders 国境の安全確保
27 Protecting The Meaning And Value Of American Citizenship アメリカ市民権の意味と価値の保護
26 Realigning the United States Refugee Admissions Program 米国難民受け入れプログラムの再編
25 Unleashing American Energy 米国のエネルギーを解き放つ
24 Clarifying The Military’s Role In Protecting The Territorial Integrity Of The United States 米国の領土保全を守る軍の役割を明確にする
23 America First Trade Policy 米国第一の通商政策
22 Memorandum to Resolve the Backlog of Security Clearances for Executive Office of the President Personnel 大統領府職員のセキュリティクリアランスの未処理案件を解決するための覚書
21 Declaring A National Emergency At The Southern Border Of The United States 米国の南の国境における国家緊急事態を宣言する
20 Holding Former Government Officials Accountable For Election Interference And Improper Disclosure Of Sensitive Governmental Information 選挙妨害および機密政府情報の不適切な開示に対する元政府高官の責任を問う
19 Restoring Accountability To Policy-Influencing Positions Within the Federal Workforce 連邦政府職員の政策に影響を与える役職への説明責任の回復
18 Withdrawing The United States From The World Health Organization 米国のWHO(世界保健機関)からの脱退
17 Application Of Protecting Americans From Foreign Adversary Controlled Applications Act To TikTok 外国の敵対者による支配アプリケーション法のTikTokへの適用
16 Granting Pardons And Commutation Of Sentences For Certain Offenses Relating To The Events At Or Near The United States Capitol On January 6, 2021 2021年1月6日に米国議会議事堂またはその付近で発生した事件に関連する特定の犯罪に対する恩赦および刑の減免
15 Putting America First In International Environmental Agreements 国際環境協定における米国第一主義
14 Delivering Emergency Price Relief for American Families and Defeating the Cost-of-Living Crisis アメリカ人家族のための緊急価格救済策の実施と生活費高騰危機の克服
13 Hiring Freeze 雇用凍結
12 Regulatory Freeze Pending Review 規制凍結 見直し保留
11 Return to In-Person Work 対面業務への復帰
10 Ending The Weaponization Of The Federal Government 連邦政府の武器化の終結
9 Restoring Freedom Of Speech And Ending Federal Censorship 言論の自由の回復と連邦検閲の廃止
8 Initial Rescissions Of Harmful Executive Orders And Actions 有害な大統領令および行動の当初の廃止
7 The Inaugural Address 就任演説
6 Flying The Flag Of The United States At Full-Staff On Inauguration Day 就任式当日に全職員で米国旗を掲揚する
5 President Trump Designates Chairmen and Acting Chairmen トランプ大統領が委員長および代理委員長を指名する
4 President Trump Announces Acting Cabinet and Cabinet-Level Positions トランプ大統領が内閣および閣僚級ポストの代理を指名する
3 President Trump Announces Sub-Cabinet Appointments トランプ大統領が次官級ポストの任命を発表する
2 President Trump Announces Cabinet and Cabinet Level Appointments トランプ大統領が閣僚および閣僚級ポストの任命を発表する
1 President Trump’s America First Priorities トランプ大統領が「アメリカ第一主義」の優先事項を発表する

 

最後に就任演説...

7 The Inaugural Address 就任演説

 

U.S. Capitol 米国議会議事堂
Washington, D.C. ワシントンD.C.
12:10 P.M. EST 東部標準時午後12時10分
THE PRESIDENT:  Thank you.  Thank you very much, everybody.  (Applause.)  Wow.  Thank you very, very much. 大統領:ありがとう。皆さん、本当にありがとう。(拍手)わぉ。本当に本当にありがとう。
Vice President Vance, Speaker Johnson, Senator Thune, Chief Justice Roberts, justices of the Supreme Court of the United States, President Clinton, President Bush, President Obama, President Biden, Vice President Harris, and my fellow citizens, the golden age of America begins right now.  (Applause.)   ヴァンス副大統領、ジョンソン議長、サン上院議員、ロバーツ最高裁長官、米国最高裁判所の裁判官の皆さん、クリントン前大統領、ブッシュ前大統領、オバマ前大統領、バイデン前大統領、ハリス副大統領、そして同胞の皆さん、米国の黄金時代は今、始まるのだ。(拍手)  
From this day forward, our country will flourish and be respected again all over the world.  We will be the envy of every nation, and we will not allow ourselves to be taken advantage of any longer.  During every single day of the Trump administration, I will, very simply, put America first.  (Applause.)  今日から、我が国は再び繁栄し、世界中で尊敬されるようになるだろう。我々はあらゆる国々から羨望の的となるだろう。そして、これ以上、我が国が利用されることは許さない。トランプ政権の一日一日において、私は、非常にシンプルに、アメリカを第一に考える。
Our sovereignty will be reclaimed.  Our safety will be restored.  The scales of justice will be rebalanced.  The vicious, violent, and unfair weaponization of the Justice Department and our government will end.  (Applause.)   我々の主権は回復される。我々の安全は回復される。正義の天秤は再び釣り合う。悪質で暴力的で不公平な司法省と政府の武器化は終わる。(拍手)
And our top priority will be to create a nation that is proud, prosperous, and free.  (Applause.) そして、我々の最優先事項は、誇り高く、繁栄し、自由な国家を創り出すことである。(拍手)
America will soon be greater, stronger, and far more exceptional than ever before.  (Applause.)  アメリカは間もなく、これまで以上に偉大で、強大で、卓越した国となるだろう。(拍手)
I return to the presidency confident and optimistic that we are at the start of a thrilling new era of national success.  A tide of change is sweeping the country, sunlight is pouring over the entire world, and America has the chance to seize this opportunity like never before.   私は自信と楽観に満ちて大統領職に復帰する。なぜなら、私たちは国家的な成功というスリリングな新時代の始まりに立っているからだ。変化の波が国を席巻し、世界全体に陽光が降り注いでいる。そしてアメリカには、かつてないほどこの機会を掴むチャンスがある。 
But first, we must be honest about the challenges we face.  While they are plentiful, they will be annihilated by this great momentum that the world is now witnessing in the United States of America.  しかし、その前に、私たちは直面する課題について正直でなければならない。課題は数多くあるが、世界が今、米国で目の当たりにしているこの大きな勢いによって、それらはすべて消滅するだろう。
As we gather today, our government confronts a crisis of trust.  For many years, a radical and corrupt establishment has extracted power and wealth from our citizens while the pillars of our society lay broken and seemingly in complete disrepair.   本日、私たちがここに集まっているように、私たちの政府は信頼の危機に直面している。長年にわたり、急進的で腐敗した体制が、私たちの社会の柱が折れ、完全に荒廃したように見える中で、私たちの市民から権力と富を抽出してきた。 
We now have a government that cannot manage even a simple crisis at home while, at the same time, stumbling into a continuing catalogue of catastrophic events abroad.  今、私たちは、国内の単純な危機さえ管理できない政府を抱え、同時に、海外では悲惨な出来事が次々と発生している。
It fails to protect our magnificent, law-abiding American citizens but provides sanctuary and protection for dangerous criminals, many from prisons and mental institutions, that have illegally entered our country from all over the world.   この政府は、法を守る善良なアメリカ市民を守ることはできないが、世界中のさまざまな場所から違法にこの国に入国した危険な犯罪者たちに、刑務所や精神病院から逃げ出してくる者も含めて、保護と避難場所を提供している。
We have a government that has given unlimited funding to the defense of foreign borders but refuses to defend American borders or, more importantly, its own people.  この政府は、外国の国境を守るために無制限の資金を提供しているが、アメリカの国境を守ることも、さらに重要なこととして、自国民を守ることも拒否している。
Our country can no longer deliver basic services in times of emergency, as recently shown by the wonderful people of North Carolina — who have been treated so badly — (applause) — and other states who are still suffering from a hurricane that took place many months ago or, more recently, Los Angeles, where we are watching fires still tragically burn from weeks ago without even a token of defense.  They’re raging through the houses and communities, even affecting some of the wealthiest and most powerful individuals in our country — some of whom are sitting here right now.  They don’t have a home any longer.  That’s interesting.  But we can’t let this happen.  Everyone is unable to do anything about it.  That’s going to change.  最近、ノースカロライナ州の素晴らしい人々がひどい扱いを受けていることで示されたように、我が国はもはや緊急時に基本的なサービスを提供することができない。(拍手)また、数ヶ月前に発生したハリケーンの被害に今も苦しむ他の州や、最近ではロサンゼルスで、数週間前から今も防護の手立てもなく悲劇的に燃え続ける火災を私たちは目撃している。 彼らは家々やコミュニティを荒らし、この国の富裕層や有力者たちにも影響を与えている。今この場にも、そうした人々が座っている。彼らにはもはや家がない。それは興味深い。しかし、このような事態を放置することはできない。誰もが何もできない。それは変わらなければならない。
We have a public health system that does not deliver in times of disaster, yet more money is spent on it than any country anywhere in the world.   災害時には機能しない公衆衛生システムがあるが、それでも世界中のどの国よりも多くの予算が投入されている。 
And we have an education system that teaches our children to be ashamed of themselves — in many cases, to hate our country despite the love that we try so desperately to provide to them.  All of this will change starting today, and it will change very quickly.  (Applause.) そして、子供たちに自分自身を恥じるよう教える教育システムがある。多くの場合、子供たちに必死に愛情を注いでいるにもかかわらず、子供たちは自国を憎むようになる。 これらすべては今日から変わり、そして非常に急速に変わるだろう。 (拍手)
My recent election is a mandate to completely and totally reverse a horrible betrayal and all of these many betrayals that have taken place and to give the people back their faith, their wealth, their democracy, and, indeed, their freedom.  From this moment on, America’s decline is over.  (Applause.) 私の最近の選挙での勝利は、これまでに行われた恐ろしい裏切りや数々の裏切りを完全に、完全に覆すという使命であり、人々に信頼、富、民主主義、そして真の自由を取り戻すことである。この瞬間から、アメリカの衰退は終わる。
Our liberties and our nation’s glorious destiny will no longer be denied.  And we will immediately restore the integrity, competency, and loyalty of America’s government.  我々の自由と、この国の輝かしい未来は、もはや否定されることはないだろう。そして、我々は直ちに、アメリカの政府の誠実さ、能力、そして忠誠心を取り戻すだろう。
Over the past eight years, I have been tested and challenged more than any president in our 250-year history, and I’ve learned a lot along the way.  過去8年間、私は250年の歴史の中でどの大統領よりも多く試練と挑戦に直面し、その過程で多くを学んだ。
The journey to reclaim our republic has not been an easy one — that, I can tell you.  Those who wish to stop our cause have tried to take my freedom and, indeed, to take my life.  共和国を取り戻すまでの道のりは、決して容易なものではなかった。 私たちの大義を阻止しようとする者たちは、私の自由を奪い、実際に私の命を奪おうとした。
Just a few months ago, in a beautiful Pennsylvania field, an assassin’s bullet ripped through my ear.  But I felt then and believe even more so now that my life was saved for a reason.  I was saved by God to make America great again.  (Applause.) ほんの数か月前、ペンシルベニア州の美しい野原で、暗殺者の銃弾が私の耳を貫通した。しかし、私はそのとき、そして今、より強くそう感じているが、私の命は理由があって救われたのだ。私はアメリカを再び偉大にするために神に救われたのだ。(拍手)
Thank you.  Thank you.  (Applause.) ありがとう。ありがとう。(拍手)
Thank you very much.  (Applause.) 本当にありがとう。(拍手)
That is why each day under our administration of American patriots, we will be working to meet every crisis with dignity and power and strength.  We will move with purpose and speed to bring back hope, prosperity, safety, and peace for citizens of every race, religion, color, and creed.  だからこそ、愛国者による我々の政権下では、日々、威厳と力と強さをもってあらゆる危機に対処していく。我々は、あらゆる人種、宗教、肌の色、信条を持つ市民に希望、繁栄、安全、平和を取り戻すために、目的意識とスピードを持って行動していく。
For American citizens, January 20th, 2025, is Liberation Day.  (Applause.)  It is my hope that our recent presidential election will be remembered as the greatest and most consequential election in the history of our country.   アメリカ国民にとって、2025年1月20日は解放の日である。(拍手) 私は、最近の私たちの大統領選挙が、我が国の歴史上、最も偉大で最も重要な選挙として記憶されることを願っている。 
As our victory showed, the entire nation is rapidly unifying behind our agenda with dramatic increases in support from virtually every element of our society: young and old, men and women, African Americans, Hispanic Americans, Asian Americans, urban, suburban, rural.  And very importantly, we had a powerful win in all seven swing states — (applause) — and the popular vote, we won by millions of people.  (Applause.)  我々の勝利が示したように、社会のほぼあらゆる層から劇的な支持の増加が見られ、全国民が我々の政策に急速に団結している。若者も高齢者も、男性も女性も、アフリカ系アメリカ人も、ヒスパニック系アメリカ人も、アジア系アメリカ人も、都市部も郊外も、農村部も。そして、非常に重要なことだが、7つの激戦州すべてで我々は圧勝した。(拍手)さらに、一般投票でも、何百万人もの人々から我々は勝利を収めた。(拍手) 
To the Black and Hispanic communities, I want to thank you for the tremendous outpouring of love and trust that you have shown me with your vote.  We set records, and I will not forget it.  I’ve heard your voices in the campaign, and I look forward to working with you in the years to come.  黒人およびヒスパニック系コミュニティの皆さん、皆さんが投票で示してくださった、多大な愛情と信頼に感謝したい。私たちは記録を作った。私はそれを忘れない。キャンペーン中、皆さんの声を聞いた。今後、皆さんと協力できることを楽しみにしている。
Today is Martin Luther King Day.  And his honor — this will be a great honor.  But in his honor, we will strive together to make his dream a reality.  We will make his dream come true.  (Applause.) 今日はキング牧師の誕生日だ。彼の名誉は、私たちにとって大きな名誉となるだろう。しかし、彼の名誉を称え、私たちは共に努力し、彼の夢を現実のものとする。私たちは彼の夢を実現させる。(拍手)
Thank you.  Thank you.  Thank you.  (Applause.) ありがとう。ありがとう。ありがとう。(拍手)
National unity is now returning to America, and confidence and pride is soaring like never before.  In everything we do, my administration will be inspired by a strong pursuit of excellence and unrelenting success.  We will not forget our country, we will not forget our Constitution, and we will not forget our God.  Can’t do that.  (Applause.) 今、アメリカに国家の結束が戻りつつあり、自信と誇りがかつてないほど高まっている。我々の行うことすべてにおいて、私の政権は卓越性の追求と成功への執念に鼓舞されるだろう。我々は自国を忘れない、憲法を忘れない、神を忘れない。忘れることはできない。(拍手)
Today, I will sign a series of historic executive orders.  With these actions, we will begin the complete restoration of America and the revolution of common sense.  It’s all about common sense.  (Applause.) 本日、私は一連の歴史的な大統領令に署名する。これらの行動により、アメリカを完全に復興させ、良識の革命を起こす。すべては良識にかかっている。(拍手)
First, I will declare a national emergency at our southern border.  (Applause.) まず、南部国境における国家緊急事態を宣言する。(拍手)
All illegal entry will immediately be halted, and we will begin the process of returning millions and millions of criminal aliens back to the places from which they came.  We will reinstate my Remain in Mexico policy.  (Applause.) 不法入国は即座に停止し、何百万人もの犯罪外国人を彼らが来た場所へ送り返す手続きを開始する。 メキシコに留まるという私の政策を復活させる。 (拍手)
I will end the practice of catch and release.  (Applause.) キャッチ・アンド・リリースを廃止する。 (拍手)
And I will send troops to the southern border to repel the disastrous invasion of our country.  (Applause.) そして、軍を南部国境に派遣し、わが国への悲惨な侵略を撃退する。 (拍手)
Under the orders I sign today, we will also be designating the cartels as foreign terrorist organizations.  (Applause.) 本日私が署名する命令により、麻薬カルテルを外国のテロ組織に指定する。(拍手)
And by invoking the Alien Enemies Act of 1798, I will direct our government to use the full and immense power of federal and state law enforcement to eliminate the presence of all foreign gangs and criminal networks bringing devastating crime to U.S. soil, including our cities and inner cities.  (Applause.)  さらに、1798年の外国人敵対行為法を発動し、連邦および州の法執行機関の持つ絶大な権限を駆使して、米国の国土、すなわち我々の都市や都心部を含む地域に壊滅的な犯罪をもたらす外国のギャングや犯罪ネットワークの存在を排除するよう、政府に指示する。(拍手) 
As commander in chief, I have no higher responsibility than to defend our country from threats and invasions, and that is exactly what I am going to do.  We will do it at a level that nobody has ever seen before. 最高司令官として、私は我が国を脅威や侵略から守ることに勝る責務はない。そして、まさにそれを実行しようとしている。誰も見たことのないレベルでそれを実行する。
Next, I will direct all members of my cabinet to marshal the vast powers at their disposal to defeat what was record inflation and rapidly bring down costs and prices.  (Applause.)  次に、私は閣僚全員に、記録的なインフレを打ち負かし、コストと価格を急速に引き下げるために、各自の裁量で広範な権限を行使するよう指示する。(拍手) 
The inflation crisis was caused by massive overspending and escalating energy prices, and that is why today I will also declare a national energy emergency.  We will drill, baby, drill.  (Applause.) インフレ危機は、大規模な浪費とエネルギー価格の高騰によって引き起こされた。だからこそ、本日、私は国家的なエネルギー緊急事態を宣言する。我々は掘るのだ、ベイビー、掘るのだ。(拍手)
America will be a manufacturing nation once again, and we have something that no other manufacturing nation will ever have — the largest amount of oil and gas of any country on earth — and we are going to use it.  We’ll use it.  (Applause.) アメリカは再び製造事業国となる。そして、他のどの製造事業国も決して持てないものを我々は持っている。地球上のどの国よりも大量の石油と天然ガスを我々は持っているのだ。そして、我々はそれを使うつもりだ。使うのだ。(拍手)
We will bring prices down, fill our strategic reserves up again right to the top, and export American energy all over the world.  (Applause.)  我々は価格を引き下げ、戦略備蓄を再び上限まで満たし、そしてアメリカのエネルギーを世界中に輸出する。(拍手) 
We will be a rich nation again, and it is that liquid gold under our feet that will help to do it.  私たちは再び豊かな国となるだろう。そして、それを実現する手助けとなるのが、私たちの足元にある流動性のある黄金なのだ。
With my actions today, we will end the Green New Deal, and we will revoke the electric vehicle mandate, saving our auto industry and keeping my sacred pledge to our great American autoworkers.  (Applause.) 本日私がとった行動により、グリーン・ニューディール政策は終了し、電気自動車の義務化は取り消される。これにより、自動車産業は救われ、偉大なるアメリカの自動車労働者たちに対する私の神聖な誓約は守られる。(拍手)
In other words, you’ll be able to buy the car of your choice. つまり、皆さんはお好みの車を購入できるようになるのだ。
We will build automobiles in America again at a rate that nobody could have dreamt possible just a few years ago.  And thank you to the autoworkers of our nation for your inspiring vote of confidence.  We did tremendously with their vote.  (Applause.)   数年前には誰も想像できなかったほどのペースで、再びアメリカで自動車を生産する。そして、我が国の自動車労働者の皆さんに感謝したい。皆さんの力強い信任票のおかげで、私たちは素晴らしい成果を上げることができた。 
I will immediately begin the overhaul of our trade system to protect American workers and families.  Instead of taxing our citizens to enrich other countries, we will tariff and tax foreign countries to enrich our citizens.  (Applause.) 私はただちに、アメリカ人労働者と家族を防御するための貿易システムの全面的な見直しに着手する。他国を潤すために国民に課税するのではなく、我々は国民を潤すために外国に課税する。(拍手)
For this purpose, we are establishing the External Revenue Service to collect all tariffs, duties, and revenues.  It will be massive amounts of money pouring into our Treasury, coming from foreign sources.  この目的のために、我々は関税、義務、収入をすべて徴収する税関を設立する。外国から莫大な金額が我々の財務省に流れ込むことになるだろう。
The American dream will soon be back and thriving like never before.   アメリカン・ドリームはすぐに復活し、かつてないほどに繁栄するだろう。
To restore competence and effectiveness to our federal government, my administration will establish the brand-new Department of Government Efficiency.  (Applause.) 連邦政府の能力と効率性を回復するために、私の政権は「政府効率化省」を新設する。
After years and years of illegal and unconstitutional federal efforts to restrict free expression, I also will sign an executive order to immediately stop all government censorship and bring back free speech to America.  (Applause.) 長年にわたる、表現の自由を制限しようとする違法かつ違憲な連邦政府の取り組みの後、私は、政府による検閲を即座に停止し、アメリカに言論の自由を取り戻す大統領令にも署名する。
Never again will the immense power of the state be weaponized to persecute political opponents — something I know something about.  (Laughter.)  We will not allow that to happen.  It will not happen again. 国家の持つ巨大な力が政治的反対派を弾圧するために利用されることは、今後二度とないだろう。私はそのことについて多少なりとも知っている。(笑い) 私たちはそれを許さない。二度と起こらないだろう。
Under my leadership, we will restore fair, equal, and impartial justice under the constitutional rule of law.  (Applause.) 私のリーダーシップの下、私たちは憲法に基づく法の支配の下で、公正で平等かつ公平な正義を回復する。(拍手)
And we are going to bring law and order back to our cities.  (Applause.)  そして、私たちは法と秩序を都市に戻すつもりだ。(拍手) 
This week, I will also end the government policy of trying to socially engineer race and gender into every aspect of public and private life.  (Applause.)  We will forge a society that is colorblind and merit-based.  (Applause.)   今週、私はまた、公私にわたるあらゆる局面で人種や性別を社会的に操作しようとする政府方針を廃止する。(拍手)私たちは、肌の色に関係なく能力本位の社会を築く。(拍手)  
As of today, it will henceforth be the official policy of the United States government that there are only two genders: male and female.  (Applause.) 本日をもって、米国政府の公式政策として、性別は男性と女性の2つだけであることを宣言する。(拍手)
This week, I will reinstate any service members who were unjustly expelled from our military for objecting to the COVID vaccine mandate with full back pay.  (Applause.) 今週、私は、新型コロナワクチン接種義務に異議を唱えたために不当に軍を追われた兵士たちを、未払い給与をすべて支払って復職させる。(拍手)
And I will sign an order to stop our warriors from being subjected to radical political theories and social experiments while on duty.  It’s going to end immediately.  (Applause.)  Our armed forces will be freed to focus on their sole mission: defeating America’s enemies.  (Applause.) そして、任務中に過激な政治理論や社会実験の対象となることを防ぐ命令に署名する。 それはただちに終わらせる。 (拍手) わが軍は、唯一の使命に集中できるようになる。すなわち、アメリカの敵を打ち負かすことだ。 (拍手)
Like in 2017, we will again build the strongest military the world has ever seen.  We will measure our success not only by the battles we win but also by the wars that we end — and perhaps most importantly, the wars we never get into.  (Applause.)   2017年のように、私たちは再び世界最強の軍隊を築き上げるだろう。私たちは、勝利した戦いだけでなく、終結させた戦争によっても、そして最も重要なのは、戦争に参戦しなかったことによっても、成功を測るだろう。(拍手)
My proudest legacy will be that of a peacemaker and unifier.  That’s what I want to be: a peacemaker and a unifier. 私の最も誇らしい遺産は、平和の使者であり、統一者であることだ。それが私の目指す姿だ。平和の使者であり、統一者だ。
I’m pleased to say that as of yesterday, one day before I assumed office, the hostages in the Middle East are coming back home to their families.  (Applause.) 嬉しいことに、私が就任する前日の昨日、中東の人質が家族のもとに帰還することが決まった。(拍手)
Thank you. ありがとう。
America will reclaim its rightful place as the greatest, most powerful, most respected nation on earth, inspiring the awe and admiration of the entire world.  アメリカは、地球上で最も偉大で、最も強力で、最も尊敬される国家としてふさわしい地位を取り戻し、全世界の畏敬と賞賛を集めることになるだろう。
A short time from now, we are going to be changing the name of the Gulf of Mexico to the Gulf of America — (applause) — and we will restore the name of a great president, William McKinley, to Mount McKinley, where it should be and where it belongs.  (Applause.) 間もなく、メキシコ湾の名称をアメリカ湾に変更するつもりだ。(拍手)そして、偉大な大統領ウィリアム・マッキンリーの名前を、本来あるべき場所であるマッキンリー山に戻すつもりだ。(拍手)
President McKinley made our country very rich through tariffs and through talent — he was a natural businessman — and gave Teddy Roosevelt the money for many of the great things he did, including the Panama Canal, which has foolishly been given to the country of Panama after the United Spates — the United States — I mean, think of this — spent more money than ever spent on a project before and lost 38,000 lives in the building of the Panama Canal.  マッキンリー大統領は関税と才能によって我が国を非常に豊かにした。彼は生まれながらのビジネスマンだった。そして、パナマ運河をはじめとする、セオドア・ルーズベルトが成し遂げた数々の偉業の資金を提供した。パナマ運河は、米国がこれまでにいかなるプロジェクトにも費やしたことのないほどの巨額の資金を投じたにもかかわらず、愚かにもパナマという国に譲渡された。
We have been treated very badly from this foolish gift that should have never been made, and Panama’s promise to us has been broken.  私たちは、決して行われるべきではなかった愚かな贈り物からひどい仕打ちを受け、パナマが私たちに約束したことは破られた。
The purpose of our deal and the spirit of our treaty has been totally violated.  American ships are being severely overcharged and not treated fairly in any way, shape, or form.  And that includes the United States Navy. 私たちの取り引きの目的と条約の精神は完全に踏みにじられた。米国の船は、あらゆる面で過剰な料金を請求され、公正に扱われていない。それは米国海軍も含む。
And above all, China is operating the Panama Canal.  And we didn’t give it to China.  We gave it to Panama, and we’re taking it back.  (Applause.) そして何よりも、パナマ運河は中国が運営している。我々はそれを中国に与えたわけではない。パナマに与えたのだ。そして、それを取り戻すのだ。(拍手)
Above all, my message to Americans today is that it is time for us to once again act with courage, vigor, and the vitality of history’s greatest civilization.  何よりも、今日、私がアメリカ国民に伝えたいことは、今こそ、勇気と活力、そして歴史上最も偉大な文明の活力をもって行動するときだということだ。
So, as we liberate our nation, we will lead it to new heights of victory and success.  We will not be deterred.  Together, we will end the chronic disease epidemic and keep our children safe, healthy, and disease-free.   そう、私たちが国家を解放する時、私たちは国家を新たな勝利と成功の高みに導くのだ。私たちは決して諦めない。共に、私たちは慢性疾患の蔓延を食い止め、子供たちを安全で健康に、そして病気知らずに保つ。
The United States will once again consider itself a growing nation — one that increases our wealth, expands our territory, builds our cities, raises our expectations, and carries our flag into new and beautiful horizons.   米国は再び、成長する国家であると自負するだろう。それは、私たちの富を増やし、領土を拡大し、都市を建設し、期待を高め、そして新たな美しい地平線に米国の旗を掲げる国家である。 
And we will pursue our manifest destiny into the stars, launching American astronauts to plant the Stars and Stripes on the planet Mars.  (Applause.) そして、我々は星々へと向かう明白な運命を追い求め、アメリカ人宇宙飛行士を火星に送り込み、星条旗をその惑星に立てるのだ。(拍手)
Ambition is the lifeblood of a great nation, and, right now, our nation is more ambitious than any other.  There’s no nation like our nation. 大志は偉大な国家の生命線であり、今、我が国は他のどの国よりも大志を抱いている。我が国のような国は他にない。
Americans are explorers, builders, innovators, entrepreneurs, and pioneers.  The spirit of the frontier is written into our hearts.  The call of the next great adventure resounds from within our souls.  アメリカ人は探検家であり、建設者であり、革新者であり、起業家であり、開拓者である。開拓者精神は我々の心に刻み込まれている。次の偉大な冒険への呼びかけが魂の奥底から響いてくる。
Our American ancestors turned a small group of colonies on the edge of a vast continent into a mighty republic of the most extraordinary citizens on Earth.  No one comes close. 我々の祖先であるアメリカ人は、広大な大陸の端にあった小さな入植地を、地球上で最も非凡な市民たちによる強大な共和国へと変えた。これに匹敵するものは他にない。
Americans pushed thousands of miles through a rugged land of untamed wilderness.  They crossed deserts, scaled mountains, braved untold dangers, won the Wild West, ended slavery, rescued millions from tyranny, lifted billions from poverty, harnessed electricity, split the atom, launched mankind into the heavens, and put the universe of human knowledge into the palm of the human hand.  If we work together, there is nothing we cannot do and no dream we cannot achieve.   アメリカ人は、手つかずの荒野が広がる荒々しい大地を数千マイルも突き進んだ。彼らは砂漠を横断し、山を登り、数え切れないほどの危険を乗り越え、開拓時代の西部を制圧し、奴隷制度を廃止し、数百万の人々を圧政から救い、数十億の人々を貧困から救い、電気を利用し、原子を分裂させ、人類を宇宙へと送り出し、人類の知識の宇宙を手のひらに収めた。私たちが力を合わせれば、できないことなど何もないし、実現できない夢もない。 
Many people thought it was impossible for me to stage such a historic political comeback.  But as you see today, here I am.  The American people have spoken.  (Applause.) 多くの人々が、私がこのような歴史的な政界復帰を果たすことは不可能だと考えていた。しかし、今日ここに私がいる。アメリカ国民が語ったのだ。(拍手)
I stand before you now as proof that you should never believe that something is impossible to do.  In America, the impossible is what we do best.  (Applause.) 私は今、皆さんの前に立っている。それは、不可能なことはないと信じるべきだという証拠だ。アメリカでは、不可能なことをするのが最も得意なのだ。(拍手)
From New York to Los Angeles, from Philadelphia to Phoenix, from Chicago to Miami, from Houston to right here in Washington, D.C., our country was forged and built by the generations of patriots who gave everything they had for our rights and for our freedom.   ニューヨークからロサンゼルス、フィラデルフィアからフェニックス、シカゴからマイアミ、ヒューストンからここワシントンD.C.まで、私たちの国は、私たちの権利と自由のためにすべてを捧げた愛国者たちの世代によって鍛えられ、築き上げられてきた。 
They were farmers and soldiers, cowboys and factory workers, steelworkers and coal miners, police officers and pioneers who pushed onward, marched forward, and let no obstacle defeat their spirit or their pride.   彼らは農民であり、兵士であり、カウボーイであり、工場労働者であり、鉄鋼労働者であり、炭鉱労働者であり、警察官であり、開拓者であった。彼らは前進し、前進し続け、障害に屈することなく、その精神と誇りを守り抜いた。 
Together, they laid down the railroads, raised up the skyscrapers, built great highways, won two world wars, defeated fascism and communism, and triumphed over every single challenge that they faced.  彼らは共に鉄道を敷き、摩天楼を建て、高速道路を建設し、2つの世界大戦を戦い抜き、ファシズムと共産主義を打ち負かし、直面するあらゆる課題に打ち勝ってきた。
After all we have been through together, we stand on the verge of the four greatest years in American history.  With your help, we will restore America promise and we will rebuild the nation that we love — and we love it so much.   共に多くのことを乗り越えてきた今、私たちはアメリカ史上最も輝かしい4年間を迎えようとしている。皆さんのご支援があれば、私たちはアメリカの約束を取り戻し、私たちが愛するこの国を再建することができるだろう。そして、私たちはこの国を心から愛している。 
We are one people, one family, and one glorious nation under God.  So, to every parent who dreams for their child and every child who dreams for their future, I am with you, I will fight for you, and I will win for you.  We’re going to win like never before.  (Applause.) 私たちは神の下で一つの国民、一つの家族、そして一つの輝かしい国家である。だから、我が子のために夢見るすべての親たち、そして自らの未来に夢見るすべての子供たちよ、私はあなた方と共にあり、あなた方のために戦い、あなた方の勝利のために戦う。私たちはかつてない勝利を手にするだろう。(拍手)
Thank you.  Thank you.  (Applause.) ありがとう。ありがとう。(拍手)
Thank you.  Thank you.  (Applause.) ありがとう。ありがとう。(拍手)
In recent years, our nation has suffered greatly. But we are going to bring it back and make it great again, greater than ever before.  近年、わが国は大きな苦難を経験した。しかし、私たちはそれを乗り越え、かつてないほど偉大なる国に再び作り変えるのだ。
We will be a nation like no other, full of compassion, courage, and exceptionalism.  Our power will stop all wars and bring a new spirit of unity to a world that has been angry, violent, and totally unpredictable.  私たちは、思いやり、勇気、卓越性に満ちた、他に類を見ない国となる。私たちの力はあらゆる戦争を食い止め、怒りと暴力に満ち、まったく予測不可能な世界に新たな団結の精神をもたらすだろう。
America will be respected again and admired again, including by people of religion, faith, and goodwill.  We will be prosperous, we will be proud, we will be strong, and we will win like never before.  アメリカは再び尊敬され、賞賛されるだろう。宗教、信仰、善意を持つ人々からも。私たちは繁栄し、誇りを持ち、強くなり、かつてないほど勝利するだろう。
We will not be conquered, we will not be intimidated, we will not be broken, and we will not fail.  From this day on, the United States of America will be a free, sovereign, and independent nation.  私たちは征服されず、脅されず、打ち負かされず、失敗しない。今日から、アメリカ合衆国は自由で、主権を持ち、独立した国家となる。
We will stand bravely, we will live proudly, we will dream boldly, and nothing will stand in our way because we are Americans.  The future is ours, and our golden age has just begun.  我々は勇敢に立ち向かい、誇りを持って生き、大胆に夢を見る。そして、我々を阻むものは何もない。なぜなら、我々はアメリカ人だからだ。未来は我々のものだ。そして、我々の黄金時代は始まったばかりだ。
Thank you.  God bless America.  Thank you all.  Thank you.  (Applause.)  Thank you very much.  Thank you very much.  Thank you.  (Applause.)   ありがとう。神のご加護を。皆さん、ありがとう。ありがとう。(拍手)本当にありがとう。ありがとう。ありがとう。(拍手)  
Thank you.  (Applause.) ありがとう。(拍手)
END  12:40 P.M. EST 終了 東部標準時午後12時40分

 

 

・政権の優先事項

The Trump-Vance Administration Priorities

The Trump-Vance Administration Priorities トランプ=ヴァンス政権の優先事項
MAKE AMERICA SAFE AGAIN アメリカを再び安全に
President Trump will take bold action to secure our border and protect American communities. トランプ大統領は、国境の安全を確保し、アメリカのコミュニティを防御するために大胆な行動を取る。
This includes ending Biden’s catch-and-release policies, reinstating Remain in Mexico, building the wall, ending asylum for illegal border crossers, cracking down on criminal sanctuaries, and enhancing vetting and screening of aliens. これには、バイデンのキャッチ・アンド・リリース政策の廃止、メキシコ残留政策の復活、壁の建設、不法入国者に対する亡命の廃止、犯罪者の聖域に対する取り締まり、および外国人の審査と選別の強化が含まれる。
President Trump’s deportation operation will address the record border crossings of criminal aliens under the prior administration. トランプ大統領の強制送還作戦は、前政権下で犯罪歴のある外国人が国境を越えた記録的な件数を対象とする。
The President is suspending refugee resettlement, after communities were forced to house large and unsustainable populations of migrants, straining community safety and resources. 地域社会が移民の大規模かつ持続不可能な人口を収容せざるを得なくなり、地域の安全と資源が圧迫されたことを受け、大統領は難民の再定住を停止する。
The Armed Forces, including the National Guard, will engage in border security, which is national security, and will be deployed to the border to assist existing law enforcement personnel. 州兵を含む軍は、国境警備(すなわち国家安全保障)に従事し、国境に展開して現行の法執行職員を支援する。
President Trump will begin the process of designating cartels, including the dangerous Tren de Aragua, as foreign terrorist organizations and use the Alien Enemies Act to remove them. トランプ大統領は、危険な麻薬カルテル「トレン・デ・アラグア」を含む麻薬カルテルを外国テロ組織に指定し、外国人敵対者法(Alien Enemies Act)を用いて排除する手続きを開始する。
The Department of Justice will seek the death penalty as the appropriate punishment for heinous crimes against humanity, including those who kill law enforcement officers and illegal migrants who maim and murder Americans. 司法省は、法執行官やアメリカ人を傷つけ殺害する不法移民を殺害する者を含む、人道に対する凶悪犯罪に対する適切な処罰として、死刑を求める。
MAKE AMERICA AFFORDABLE AND ENERGY DOMINANT AGAIN アメリカを再び手頃な価格でエネルギーの主導権を握れる国にする
The President will unleash American energy by ending Biden’s policies of climate extremism, streamlining permitting, and reviewing for rescission all regulations that impose undue burdens on energy production and use, including mining and processing of non-fuel minerals. 大統領は、バイデンの気候過激主義政策を廃止し、許可手続きを合理化し、エネルギー生産や利用に過剰な負担を強いる規制(燃料以外の鉱物の採掘や加工を含む)をすべて見直すことで、米国のエネルギーを解放する。
President Trump’s energy actions empower consumer choice in vehicles, showerheads, toilets, washing machines, lightbulbs and dishwashers. トランプ大統領のエネルギー政策は、自動車、シャワーヘッド、トイレ、洗濯機、電球、食器洗浄機における消費者の選択肢を拡大する。
President Trump will declare an energy emergency and use all necessary resources to build critical infrastructure. トランプ大統領はエネルギー緊急事態を宣言し、必要なあらゆるリソースを活用して重要なインフラを構築する。
President Trump’s energy policies will end leasing to massive wind farms that degrade our natural landscapes and fail to serve American energy consumers. トランプ大統領のエネルギー政策により、自然の景観を損ない、アメリカのエネルギー消費者へのサービス提供を怠る大規模な風力発電所へのリースは終了する。
President Trump will withdraw from the Paris Climate Accord. トランプ大統領はパリ気候協定から離脱する。
All agencies will take emergency measures to reduce the cost of living. すべての機関は生活費削減のための緊急対策を講じる。
President Trump will announce the America First Trade Policy. トランプ大統領は「アメリカ第一」の貿易政策を発表する。
America will no longer be beholden to foreign organizations for our national tax policy, which punishes American businesses. アメリカはもはや、アメリカ企業を罰するような国家の税制について、外国の組織に頭を下げることはない。
DRAIN THE SWAMP 腐敗を一掃する(沼を干上がらせる)
The President will usher a Golden Age for America by reforming and improving the government bureaucracy to work for the American people. He will freeze bureaucrat hiring except in essential areas to end the onslaught of useless and overpaid DEI activists buried into the federal workforce. He will pause burdensome and radical regulations not yet in effect that Biden announced. 大統領は、政府官僚機構を改革し、アメリカ国民のために機能するように改善することで、アメリカの黄金時代を築く。連邦政府職員に埋め込まれた、無用で高給取りのDEI活動家の猛攻撃を終わらせるため、必須分野を除いて官僚の採用を凍結する。バイデンが発表した、まだ発効していない負担の大きい急進的な規制を一時停止する。
President Trump is announcing an unprecedented slate of executive orders for rescission. トランプ大統領は、前例のない数の大統領令を撤回すると発表している。
President Trump is planning for improved accountability of government bureaucrats. The American people deserve the highest-quality service from people who love our country. The President will also return federal workers to work, as only 6% of employees currently work in person. トランプ大統領は政府官僚の説明責任の改善を計画している。アメリカ国民は、自国を愛する人々から最高品質のサービスを受けるに値する。また、現在、職員のわずか6%しか実際に勤務していないため、大統領は連邦職員を職場に戻す予定である。
President Trump is taking swift action to end the weaponization of government against political rivals and ordering all document retention as required by law. President Trump is also ending the unconstitutional censorship by the federal government. No longer will government employees pick and require the erasure of entirely true speech. トランプ大統領は、政治的ライバルに対する政府による武器化を終わらせるために迅速な行動を起こし、法律で義務付けられているすべての文書保持を命じている。また、トランプ大統領は連邦政府による違憲の検閲を廃止する。政府職員が完全に真実の言論を削除することを選択し、要求することはもはやなくなる。
On the President’s direction, the State Department will have an America-First foreign policy. 大統領の指示により、国務省はアメリカ第一主義の外交政策をとる。
BRING BACK AMERICAN VALUES アメリカ的価値観の復活
The President will establish male and female as biological reality and protect women from radical gender ideology. 大統領は、男性と女性を生物学的な現実として確立し、急進的なジェンダーイデオロギーから女性を防御する。
American landmarks will be named to appropriately honor our Nation’s history. アメリカのランドマークは、適切にわが国の歴史を称える名称に変更される。

 

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2025.01.21 米国 大統領府に「政府効率化省」を設立をするための大統領令...

・2025.01.21 米国 トランプ大統領が大統領令14110 人工知能の安全、安心、信頼できる開発と利用を含む67の大統領令と11の覚書を撤回する大統領を出しましたね...(2025.01.20)

 

| | Comments (0)

2025.01.21

米国 大統領府に「政府効率化省」を設立をするための大統領令...

こんにちは、丸山満彦です。

イーロンマスクがしたかったデジタルを活用した政府業務の効率化...

噂にはでていましたが、初日からスタートですね...

 

U.S. White House

20250121-105054

・2025.01.20 ESTABLISHING AND IMPLEMENTING THE PRESIDENT’S “DEPARTMENT OF GOVERNMENT EFFICIENCY”

 

ESTABLISHING AND IMPLEMENTING THE PRESIDENT’S “DEPARTMENT OF GOVERNMENT EFFICIENCY” 大統領の「政府効率化省」の設立と実施
By the authority vested in me as President by the Constitution and the laws of the United States of America, it is hereby ordered: 合衆国憲法および法律により大統領として私に与えられた権限により、ここに命令する。
Section 1.  Purpose.  This Executive Order establishes the Department of Government Efficiency to implement the President’s DOGE Agenda, by modernizing Federal technology and software to maximize governmental efficiency and productivity. 第1条 目的 この大統領令は、連邦政府の技術およびソフトウェアを近代化し、政府の効率性と生産性を最大限に高めることにより、大統領のDOGEアジェンダを実施するための「政府効率化省」を設立するものである。
Sec. 2.  Definitions.  As used in this order: 第2条 定義 この命令で使用される場合、
(a)  “Agency” has the meaning given to it in section 551 of title 5, United States Code, except that such term does not include the Executive Office of the President or any components thereof. (a) 「機関」とは、合衆国法典第5編第551条で与えられた意味を持つが、ただし、大統領府またはその構成要素は含まれない。
(b)  “Agency Head” means the highest-ranking official of an agency, such as the Secretary, Administrator, Chairman, or Director, unless otherwise specified in this order. (b) 「機関の長」とは、本大統領令で別段の指定がない限り、長官、行政官、議長、または局長など、機関の最高位の役職者を意味する。
Sec. 3.  DOGE Structure.  (a)  Reorganization and Renaming of the United States Digital Service.  The United States Digital Service is hereby publicly renamed as the United States DOGE Service (USDS) and shall be established in the Executive Office of the President. 第3条 DOGE構造 (a) 米国デジタルサービスの再編成および名称変更 米国デジタルサービスは、ここに米国DOGEサービス(USDS)と公称し、大統領府に設置する。
(b)  Establishment of a Temporary Organization.  There shall be a USDS Administrator established in the Executive Office of the President who shall report to the White House Chief of Staff. There is further established within USDS, in accordance with section 3161 of title 5, United States Code, a temporary organization known as “the U.S. DOGE Service Temporary Organization”.  The U.S. DOGE Service Temporary Organization shall be headed by the USDS Administrator and shall be dedicated to advancing the President’s 18-month DOGE agenda.  The U.S. DOGE Service Temporary Organization shall terminate on July 4, 2026. The termination of the U.S. DOGE Service Temporary Organization shall not be interpreted to imply the termination, attenuation, or amendment of any other authority or provision of this order. (b) 一時的組織の設立 大統領府にUSDS管理者が設置され、ホワイトハウスのチーフ・オブ・スタッフに報告する。 また、合衆国法典第5編第3161条に従い、USDS内に「米国DOGEサービス一時的組織」と呼ばれる一時的組織が設置される。 米国DOGEサービス臨時組織は、USDS長官が統括し、大統領の18か月DOGEアジェンダの推進に専念する。米国DOGEサービス臨時組織は、2026年7月4日に終了する。米国DOGEサービス臨時組織の終了は、本命令の他のいかなる権限または規定の終了、縮小、修正を意味するものと解釈されてはならない。
(c)  DOGE Teams.  In consultation with USDS, each Agency Head shall establish within their respective Agencies a DOGE Team of at least four employees, which may include Special Government Employees, hired or assigned within thirty days of the date of this Order. Agency Heads shall select the DOGE Team members in consultation with the USDS Administrator.  Each DOGE Team will typically include one DOGE Team Lead, one engineer, one human resources specialist, and one attorney.  Agency Heads shall ensure that DOGE Team Leads coordinate their work with USDS and advise their respective Agency Heads on implementing the President ‘s DOGE Agenda. (c) DOGEチーム。各機関の長は、USDSと協議の上、それぞれの機関内に、少なくとも4人の職員(特別政府職員を含む)から成るDOGEチームを設置するものとする。各DOGEチームは通常、1名のDOGEチームリーダー、1名のエンジニア、1名の人事スペシャリスト、1名の弁護士で構成される。各機関の長は、DOGEチームリーダーがUSDSと業務を調整し、大統領のDOGEアジェンダの実施について各機関の長に助言することを確保するものとする。
Sec. 4.  Modernizing Federal Technology and Software to Maximize Efficiency and Productivity.  (a)  The USDS Administrator shall commence a Software Modernization Initiative to improve the quality and efficiency of government-wide software, network infrastructure, and information technology (IT) systems.  Among other things, the USDS Administrator shall work with Agency Heads to promote inter-operability between agency networks and systems, ensure data integrity, and facilitate responsible data collection and synchronization. 第4条 効率性と生産性を最大化するための連邦政府技術とソフトウェアの近代化 (a) 連邦政府調達・技術サービス局(USDS)長官は、政府全体のソフトウェア、ネットワークインフラ、情報技術(IT)システムの質と効率性を改善するためのソフトウェア近代化イニシアティブを開始するものとする。とりわけ、USDS長官は、各機関の長官と協力し、各機関のネットワークとシステム間の相互運用性を促進し、データの完全性を確保し、責任あるデータ収集と同期化を促進するものとする。
(b)  Agency Heads shall take all necessary steps, in coordination with the USDS Administrator and to the maximum extent consistent with law, to ensure USDS has full and prompt access to all unclassified agency records, software systems, and IT systems.  USDS shall adhere to rigorous data protection standards. (b) 各機関の長官は、USDS管理者と調整し、法律に最大限に合致する範囲で、USDSがすべての非機密の機関記録、ソフトウェアシステム、ITシステムに完全かつ迅速にアクセスできるようにするために、必要なすべての措置を講じなければならない。USDSは厳格なデータ保護標準を順守しなければならない。
(c)  This Executive Order displaces all prior executive orders and regulations, insofar as they are subject to direct presidential amendment, that might serve as a barrier to providing USDS access to agency records and systems as described above. (c) この大統領令は、大統領による直接的な修正の対象となる限りにおいて、上述の通り、政府機関の記録およびシステムへのUSDSのアクセスを妨げる可能性のある、これまでのすべての大統領令および規制に優先する。
Sec. 5.  General Provisions.  (a)  Nothing in this order shall be construed to impair or otherwise affect: 第5条 一般規定 (a) この命令のいかなる内容も、以下を損なう、または影響を与えるものと解釈されてはならない。
(i)   the authority granted by law to an executive department or agency, or the head thereof; or (i) 法律により行政省庁または行政機関、またはその長官に与えられた権限、または
(ii)  the functions of the Director of the Office of Management and Budget relating to budgetary, administrative, or legislative proposals. (ii) 予算、行政、または立法に関する提案に関する行政管理予算局局長の機能。
(b)  This order shall be implemented consistent with applicable law and subject to the availability of appropriations. (b) 本命令は、適用法に準拠し、かつ、予算の確保を前提として実施されるものとする。
(c)  This order is not intended to, and does not, create any right or benefit, substantive or procedural, enforceable at law or in equity by any party against the United States, its departments, agencies, or entities, its officers, employees, or agents, or any other person. (c) 本命令は、いかなる当事者による米国、その省庁、機関、事業体、その役員、職員、代理人、またはその他の人物に対する、法律上または衡平法上の強制力のある実体上または手続上の権利または利益を創設することを意図しておらず、また創設しない。
THE WHITE HOUSE, ホワイトハウス、
January 20, 2025. 2025年1月20日。

 

 

 

| | Comments (0)

米国 トランプ大統領が大統領令14110 人工知能の安全、安心、信頼できる開発と利用を含む67の大統領令と11の覚書を撤回する大統領を出しましたね...(2025.01.20)

こんにちは、丸山満彦です。

トランプ大統領が大統領になってまず、前政権が出した67の大統領令と11の覚書を撤回する大統領を出しましたね...撤回をした大統領令については、「大統領令14110 人工知能の安全、安心、信頼できる開発と利用」も含まれています...

I&D関係、環境問題関係の大統領令がかなりの数、撤回されていますね...

方向性がどうかはわかりませんが、スピード感と大胆さがすごいですね...

初日からアクセル全開、ぶっ飛ばしている感じですね...最初の3日が重要という話もあるし...

平和な世界になることを望みます...

 

U.S. White House

20250121-105054

・2025.01.20 INITIAL RESCISSIONS OF HARMFUL EXECUTIVE ORDERS AND ACTIONS

INITIAL RESCISSIONS OF HARMFUL EXECUTIVE ORDERS AND ACTIONS 有害な大統領令および行動の当初の取り消し
By the authority vested in me as President by the Constitution and the laws of the United States of America, it is hereby ordered as follows: 合衆国憲法および法律によって大統領に与えられた権限に基づき、以下を命ずる。
Section 1.  Purpose and Policy.  The previous administration has embedded deeply unpopular, inflationary, illegal, and radical practices within every agency and office of the Federal Government.  The injection of “diversity, equity, and inclusion” (DEI) into our institutions has corrupted them by replacing hard work, merit, and equality with a divisive and dangerous preferential hierarchy.  Orders to open the borders have endangered the American people and dissolved Federal, State, and local resources that should be used to benefit the American people.  Climate extremism has exploded inflation and overburdened businesses with regulation. 第1条 目的および方針 前政権は、連邦政府のあらゆる機関および役所に、非常に不評で、インフレを引き起こし、違法で、急進的な慣行を深く浸透させてしまった。 「多様性、公平性、包摂性」(DEI)を機構に注入したことで、勤勉さ、功績、平等が分裂的で危険な優遇階層に置き換えられ、機構は腐敗した。国境開放命令はアメリカ国民を危険にさらし、アメリカ国民の利益のために使用されるべき連邦、州、地方の資源を浪費した。気候変動に対する過激な政策はインフレを招き、規制により企業に過剰な負担を強いた。
To commence the policies that will make our Nation united, fair, safe, and prosperous again, it is the policy of the United States to restore common sense to the Federal Government and unleash the potential of the American citizen.  The revocations within this order will be the first of many steps the United States Federal Government will take to repair our institutions and our economy. わが国を再び団結させ、公平で安全かつ繁栄した国にする政策を始めるにあたり、連邦政府に良識を取り戻し、米国市民の潜在能力を解き放つことが米国の方針である。本命令における取り消しは、米国連邦政府がわが国の機構と経済を修復するために講じる数々の措置の第一歩となる。
     Sec. 2.  Revocation of Orders and Actions.  The following executive actions are hereby revoked: 第2条 命令および行動の取り消し。以下の行政措置は、ここに取り消される。
Executive Order 13985 of January 20, 2021 (Advancing Racial Equity and Support for Underserved Communities Through the Federal Government). 2021年1月20日付の大統領令13985(連邦政府による人種的公平性の推進およびサービスが行き届いていない地域社会への支援)
Executive Order 13986 of January 20, 2021 (Ensuring a Lawful and Accurate Enumeration and Apportionment Pursuant to the Decennial Census). 2021年1月20日付の大統領令13986(10年ごとの国勢調査に基づく、合法的かつ正確な人口調査と人口配分を確保する)
Executive Order 13987 of January 20, 2021 (Organizing and Mobilizing the United States Government To Provide a Unified and Effective Response To Combat COVID-19 and To Provide United States Leadership on Global Health and Security). 2021年1月20日付の大統領令13987(米国政府を組織化し、動員して、COVID-19対策として統一された効果的な対応を提供し、世界的な保健と安全保障における米国のリーダーシップを発揮する)。
Executive Order 13988 of January 20, 2021 (Preventing and Combating Discrimination on the Basis of Gender Identity or Sexual Orientation). 2021年1月20日付の大統領令13988(性自認または性的指向に基づく差別の防止と対策)。
Executive Order 13989 of January 20, 2021 (Ethics Commitments by Executive Branch Personnel). 2021年1月20日付の大統領令13989(行政部門職員の倫理規定)。
Executive Order 13990 of January 20, 2021 (Protecting Public Health and the Environment and Restoring Science To Tackle the Climate Crisis). 2021年1月20日付の大統領令13990(公衆衛生および環境の防御と、気候危機への取り組みのための科学の復興)。
Executive Order 13992 of January 20, 2021 (Revocation of Certain Executive Orders Concerning Federal Regulation). 2021年1月20日付の大統領令13992(連邦規制に関する特定の大統領令の失効)。
Executive Order 13993 of January 20, 2021 (Revision of Civil Immigration Enforcement Policies and Priorities). 2021年1月20日付の大統領令13993(市民の入国管理執行方針および優先事項の改定)。
Executive Order 13995 of January 21, 2021 (Ensuring an Equitable Pandemic Response and Recovery). 2021年1月21日付の大統領令13995(公平なパンデミック対応および復興の確保)。
Executive Order 13996 of January 21, 2021 (Establishing the COVID-19 Pandemic Testing Board and Ensuring a Sustainable Public Health Workforce for COVID-19 and Other Biological Threats). 2021年1月21日付の大統領令13996(COVID-19パンデミック検査委員会の設立およびCOVID-19およびその他の生物学的脅威に対する持続可能な公衆衛生労働力の確保)。
Executive Order 13997 of January 21, 2021 (Improving and Expanding Access to Care and Treatments for COVID-19). 2021年1月21日付の大統領令13997(COVID-19の治療およびケアへのアクセス改善および拡大)。
Executive Order 13999 of January 21, 2021 (Protecting Worker Health and Safety). 2021年1月21日付の大統領令13999(労働者の健康と安全の防御)。
Executive Order 14000 of January 21, 2021 (Supporting the Reopening and Continuing Operation of Schools and Early Childhood Education Providers). 2021年1月21日付の大統領令14000(学校および幼児教育プロバイダの再開と継続的な運営の支援)。
Executive Order 14002 of January 22, 2021 (Economic Relief Related to the COVID-19 Pandemic). 2021年1月22日付の大統領令14002(新型コロナウイルス感染症パンデミックに関連する経済的救済)。
Executive Order 14003 of January 22, 2021 (Protecting the Federal Workforce). 2021年1月22日付の大統領令14003(連邦政府職員の防御)。
Executive Order 14004 of January 25, 2021 (Enabling All Qualified Americans To Serve Their Country in Uniform). 2021年1月25日付の大統領令14004(適格なすべてのアメリカ人が制服を着用して国に奉仕できるようにする)。
Executive Order 14006 of January 26, 2021 (Reforming Our Incarceration System To Eliminate the Use of Privately Operated Criminal Detention Facilities). 2021年1月26日付の大統領令14006(民間運営の刑事拘置施設の使用を排除するための収監システムの改革)。
Executive Order 14007 of January 27, 2021 (President’s Council of Advisors on Science and Technology). 2021年1月27日付の大統領令14007(大統領科学技術諮問委員会)。
Executive Order 14008 of January 27, 2021 (Tackling the Climate Crisis at Home and Abroad). 2021年1月27日付の大統領令14008(国内外における気候危機への取り組み)。
Executive Order 14009 of January 28, 2021 (Strengthening Medicaid and the Affordable Care Act). 2021年1月28日付の大統領令14009(メディケイドおよび医療保険制度改革法の強化)。
Executive Order 14010 of February 2, 2021 (Creating a Comprehensive Regional Framework To Address the Causes of Migration, To Manage Migration Throughout North and Central America, and To Provide Safe and Orderly Processing of Asylum Seekers at the United States Border). 2021年2月2日付の大統領令14010(移住の原因に対処し、北米および中米全域で移住を管理し、米国の国境で亡命希望者の安全かつ秩序ある処理を行うための包括的な地域枠組みの構築)。
Executive Order 14011 of February 2, 2021 (Establishment of Interagency Task Force on the Reunification of Families). 2021年2月2日付の大統領令14011(家族再統合に関する省庁間タスクフォースの設立)。
Executive Order 14012 of February 2, 2021 (Restoring Faith in Our Legal Immigration Systems and Strengthening Integration and Inclusion Efforts for New Americans). 2021年2月2日付の大統領令14012(合法的移民制度への信頼回復と、新米国人に対する統合と受容の取り組みの強化)。
Executive Order 14013 of February 4, 2021 (Rebuilding and Enhancing Programs To Resettle Refugees and Planning for the Impact of Climate Change on Migration). 2021年2月4日付の大統領令14013(難民再定住プログラムの再構築と強化、および移民に及ぼす気候変動の影響への対策)。
Executive Order 14015 of February 14, 2021 (Establishment of the White House Office of Faith-Based and Neighborhood Partnerships). 2021年2月14日付の大統領令14015(ホワイトハウスにおける信仰に基づく地域社会パートナーシップ事務局の設置)。
Executive Order 14018 of February 24, 2021 (Revocation of Certain Presidential Actions). 2021年2月24日付の大統領令14018(特定の大統領令の失効)。
Executive Order 14019 of March 7, 2021 (Promoting Access to Voting). 2021年3月7日付の大統領令14019(投票へのアクセス促進)。
Executive Order 14020 of March 8, 2021 (Establishment of the White House Gender Policy Council). 2021年3月8日付の大統領令14020(ホワイトハウスジェンダー政策協議会の設置)。
Executive Order 14021 of March 8, 2021 (Guaranteeing an Educational Environment Free From Discrimination on the Basis of Sex, Including Sexual Orientation or Gender Identity). 2021年3月8日付の大統領令14021(性的指向または性自認を含む性別に基づく差別のない教育環境の保証)。
Executive Order 14022 of April 1, 2021 (Termination of Emergency With Respect to the International Criminal Court). 2021年4月1日付の大統領令14022(国際刑事裁判所に関する緊急事態の終了)。
Executive Order 14023 of April 9, 2021 (Establishment of the Presidential Commission on the Supreme Court of the United States). 2021年4月9日付の大統領令14023(米国連邦最高裁判所に関する大統領委員会の設置)。
Executive Order 14027 of May 7, 2021 (Establishment of the Climate Change Support Office). 2021年5月7日付の大統領令14027(気候変動支援室の設置)。
Executive Order 14029 of May 14, 2021 (Revocation of Certain Presidential Actions and Technical Amendment). 2021年5月14日付の大統領令14029(特定の大統領令の廃止および技術的修正)。
Executive Order 14030 of May 20, 2021 (Climate-Related Financial Risk). 2021年5月20日付の大統領令14030(気候関連の金融リスク)。
Executive Order 14031 of May 28, 2021 (Advancing Equity, Justice, and Opportunity for Asian Americans, Native Hawaiians, and Pacific Islanders). 2021年5月28日付の大統領令14031(アジア系米国人、ハワイ先住民、太平洋諸島住民の公平性、正義、機会の促進)。
Executive Order 14035 of June 25, 2021 (Diversity, Equity, Inclusion, and Accessibility in the Federal Workforce). 2021年6月25日付の大統領令14035(連邦政府職員における多様性、公平性、包摂性、およびアクセシビリティ)。
Executive Order 14037 of August 5, 2021 (Strengthening American Leadership in Clean Cars and Trucks). 2021年8月5日付の大統領令14037(クリーンな自動車およびトラックにおける米国のリーダーシップの強化)。
Executive Order 14044 of September 13, 2021 (Amending Executive Order 14007). 2021年9月13日付の大統領令14044(大統領令14007の改正)。
Executive Order 14045 of September 13, 2021 (White House Initiative on Advancing Educational Equity, Excellence, and Economic Opportunity for Hispanics). 2021年9月13日付の大統領令14045(ヒスパニック系住民の教育における公平性、卓越性、経済機会の促進に関するホワイトハウスイニシアティブ)。
Executive Order 14049 of October 11, 2021 (White House Initiative on Advancing Educational Equity, Excellence, and Economic Opportunity for Native Americans and Strengthening Tribal Colleges and Universities). 2021年10月11日付の大統領令14049(ネイティブアメリカン住民の教育における公平性、卓越性、経済機会の促進および部族大学・短大の強化に関するホワイトハウスイニシアティブ)。
Executive Order 14050 of October 19, 2021 (White House Initiative on Advancing Educational Equity, Excellence, and Economic Opportunity for Black Americans). 2021年10月19日付の大統領令14050(黒人アメリカ人の教育における公平性、卓越性、経済機会の促進に関するホワイトハウスのイニシアティブ)。
Executive Order 14052 of November 15, 2021 (Implementation of the Infrastructure Investment and Jobs Act). 2021年11月15日付の大統領令14052(インフラ投資・雇用法の実施)。
Executive Order 14055 of November 18, 2021 (Nondisplacement of Qualified Workers Under Service Contracts). 2021年11月18日付の大統領令14055(サービス契約に基づく適格労働者の解雇禁止)。
Executive Order 14057 of December 8, 2021 (Catalyzing Clean Energy Industries and Jobs Through Federal Sustainability). 2021年12月8日付の大統領令14057(連邦政府の持続可能性を通じたクリーンエネルギー産業と雇用の促進)。
Executive Order 14060 of December 15, 2021 (Establishing the United States Council on Transnational Organized Crime). 2021年12月15日付の大統領令14060(国際組織犯罪に関する米国協議会の設立)。
Executive Order 14069 of March 15, 2022 (Advancing Economy, Efficiency, and Effectiveness in Federal Contracting by Promoting Pay Equity and Transparency). 2022年3月15日付の大統領令14069(賃金平等の推進と透明性の向上による連邦契約における経済性、効率性、実効性の向上)。
Executive Order 14070 of April 5, 2022 (Continuing To Strengthen Americans’ Access to Affordable, Quality Health Coverage). 2022年4月5日付の大統領令14070(米国人の手頃な価格で質の高い医療保険へのアクセスを継続的に強化)。
Executive Order 14074 of May 25, 2022 (Advancing Effective, Accountable Policing and Criminal Justice Practices To Enhance Public Trust and Public Safety). 2022年5月25日付の大統領令14074(効果的で説明責任を果たす警察活動および刑事司法の実践を推進し、国民の信頼と公共の安全を強化する)。
Executive Order 14075 of June 15, 2022 (Advancing Equality for Lesbian, Gay, Bisexual, Transgender, Queer, and Intersex Individuals). 2022年6月15日付の大統領令14075(レズビアン、ゲイ、バイセクシュアル、トランスジェンダー、クィア、インターセックスの人々の平等を推進する)。
Executive Order 14082 of September 12, 2022 (Implementation of the Energy and Infrastructure Provisions of the Inflation Reduction Act of 2022). 2022年9月12日付の大統領令14082(2022年インフレ削減法のエネルギーおよびインフラ条項の実施)。
Executive Order 14084 of September 30, 2022 (Promoting the Arts, the Humanities, and Museum and Library Services). 2022年9月30日付の大統領令14084(芸術、人文科学、博物館および図書館サービスの推進)。
Executive Order 14087 of October 14, 2022 (Lowering Prescription Drug Costs for Americans). 2022年10月14日付の大統領令14087(米国人の処方薬費用の削減)。
Executive Order 14089 of December 13, 2022 (Establishing the President’s Advisory Council on African Diaspora Engagement in the United States). 2022年12月13日付の大統領令14089(米国におけるアフリカ系ディアスポラの関与に関する大統領諮問委員会の設置)。
Executive Order 14091 of February 16, 2023 (Further Advancing Racial Equity and Support for Underserved Communities Through the Federal Government). 2023年2月16日付の大統領令14091(連邦政府による人種的公平性のさらなる推進およびサービスが行き届いていない地域社会への支援)。
The Presidential Memorandum of March 13, 2023 (Withdrawal of Certain Areas off the United States Arctic Coast of the Outer Continental Shelf from Oil or Gas Leasing). 2023年3月13日付の大統領覚書(米国北極圏沿岸の大陸棚外側の特定地域の石油・ガスリースからの撤退)。
Executive Order 14094 of April 6, 2023 (Modernizing Regulatory Review). 2023年4月6日付の大統領令14094(規制審査の近代化)。
Executive Order 14096 of April 21, 2023 (Revitalizing Our Nation’s Commitment to Environmental Justice for All). 2023年4月21日付の大統領令14096(すべての人々に対する環境正義に対するわが国の公約の活性化)。
Executive Order 14099 of May 9, 2023 (Moving Beyond COVID-19 Vaccination Requirements for Federal Workers). 2023年5月9日付の大統領令14099(連邦政府職員に対するCOVID-19ワクチン接種要件の超克)。
Executive Order 14110 of October 30, 2023 (Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence). 2023年10月30日付の大統領令14110(人工知能の安全、確実、信頼性の高い開発および利用)。
Executive Order 14115 of February 1, 2024 (Imposing Certain Sanctions on Persons Undermining Peace, Security, and Stability in the West Bank). 2024年2月1日付の大統領令14115(ヨルダン川西岸地区における平和、安全、安定を損なう個人に対する特定の制裁措置の適用)。
Executive Order 14124 of July 17, 2024 (White House Initiative on Advancing Educational Equity, Excellence, and Economic Opportunity Through Hispanic-Serving Institutions). 2024年7月17日付の大統領令14124(ヒスパニック系学生向け機構を通じた教育機会の平等、卓越性、経済的機会の促進に関するホワイトハウスのイニシアティブ)。
Executive Order 14134 of January 3, 2025 (Providing an Order of Succession Within the Department of Agriculture). 2025年1月3日付の大統領令14134(米国農務省における後継順位の規定)。
Executive Order 14135 of January 3, 2025 (Providing an Order of Succession Within the Department of Homeland Security). 2025年1月3日付の大統領令14135(国土安全保障省における後継順位の規定)。
Executive Order 14136 of January 3, 2025 (Providing an Order of Succession Within the Department of Justice). 2025年1月3日付の大統領令14136(司法省における後継順位の規定)。
Executive Order 14137 of January 3, 2025 (Providing an Order of Succession Within the Department of the Treasury). 2025年1月3日付の大統領令14137(財務省における後継順位の規定)。
Executive Order 14138 of January 3, 2025 (Providing an Order of Succession Within the Office of Management and Budget). 2025年1月3日付の大統領令14138(行政管理予算局における後継順位の規定)。
Executive Order 14139 of January 3, 2025 (Providing an Order of Succession Within the Office of the National Cyber Director). 2025年1月3日付の大統領令14139(国家サイバーディレクター室における後継順位の規定)。
The Presidential Memorandum of January 3, 2025 (Designation of Officials of the Council on Environmental Quality to Act as Chairman). 2025年1月3日付の大統領覚書(環境品質協議会の役職者に対する議長職の指定)。
The Presidential Memorandum of January 3, 2025 (Designation of Officials of the Office of Personnel Management to Act as Director). 2025年1月3日付の大統領覚書(人事管理局の役職者に対する局長の指定)。
The Presidential Memorandum of January 3, 2025 (Designation of Officials of the Office of Science and Technology Policy to Act as Director). 2025年1月3日付の大統領覚書(米国科学技術政策局職員を局長として指定するもの)。
The Presidential Memorandum of January 3, 2025 (Designation of Officials of the United States Agency for Global Media to Act as Chief Executive Officer). 2025年1月3日付の大統領覚書(米国国際広報開発庁職員を最高経営責任者として指定するもの)。
The Presidential Memorandum of January 3, 2025 (Designation of Officials of the United States Agency for International Development to Act as Administrator). 2025年1月3日付の大統領覚書(米国国際開発庁職員を行政官として指定するもの)。
The Presidential Memorandum of January 3, 2025 (Designation of Officials of the United States International Development Finance Corporation to Act as Chief Executive Officer). 2025年1月3日付の大統領覚書(米国国際開発金融公社(USAID)の最高経営責任者としての役職員の指定)。
The Presidential Memorandum of January 6, 2025 (Withdrawal of Certain Areas of the United States Outer Continental Shelf from Oil or Natural Gas Leasing). 2025年1月6日付の大統領覚書(米国大陸棚の外側の一定区域の石油または天然ガスリースからの撤退)。
The Presidential Memorandum of January 6, 2025 (Withdrawal of Certain Areas of the United States Outer Continental Shelf from Oil or Natural Gas Leasing). 2025年1月6日付の大統領覚書(米国大陸棚の外側の一定区域の石油または天然ガスリースからの撤退)。
The Presidential Memorandum of January 14, 2025 (Certification of Rescission of Cuba’s Designation as a State Sponsor of Terrorism). 2025年1月14日付の大統領覚書(キューバのテロ支援国家指定の取り消しの証明)。
The Presidential Memorandum of January 14, 2025 (Revocation of National Security Presidential Memorandum 5). 2025年1月14日付の大統領覚書(国家安全保障大統領覚書5の失効)。
Executive Order 14143 of January 16, 2025 (Providing for the Appointment of Alumni of AmeriCorps to the Competitive Service). 2025年1月16日付の大統領令14143(AmeriCorpsの卒業生の競争的任務への任命に関する規定)。
     Sec. 3.  Implementation.  (a)  To effectuate the revocations described in section 2 of this order, the heads of each agency shall take immediate steps to end Federal implementation of unlawful and radical DEI ideology. 第3条 実施 (a) 本命令の第2項に記載された取り消しを履行するために、各機関の長は、違法かつ急進的なDEIイデオロギーの連邦政府による実施を直ちに終了させるための措置を講じなければならない。
     (b)  The Director of the Domestic Policy Council (DPC) and the Director of the National Economic Council (NEC) shall review all Federal Government actions taken pursuant to the orders, memoranda, and proclamations listed in section 2 of this order and take necessary steps to rescind, replace, or amend such actions as appropriate.  Within 45 days of the date of this order, the Director of the DPC and the Director of the NEC shall submit to the President an additional list of orders, memoranda, and proclamations issued by the prior administration that should be rescinded, as well as a list of replacement orders, memoranda, or proclamations, to increase American prosperity. (b) 国内政策会議(DPC)議長および国家経済会議(NEC)議長は、本命令の第2項に列挙された命令、覚書、布告に従って取られたすべての連邦政府の行動を再検討し、必要に応じて、そのような行動を撤回、差し替え、または修正するための必要な措置を取らなければならない。 本命令の日付から45日以内に、DPC長官およびNEC長官は、前政権が発令した命令、覚書、布告のうち廃止すべきものの追加リスト、および米国の繁栄を増進するための代替となる命令、覚書、布告のリストを大統領に提出しなければならない。
     (c)  The National Security Advisor (NSA) shall immediately begin a complete and thorough review of all National Security Memoranda (NSMs) issued from January 20, 2021, through January 20, 2025, for harm to national security, domestic resilience, and American values.  No later than 45 days from the date of this order, the NSA shall recommend to the President NSMs for rescission. (c) 国家安全保障顧問(NSA)は、2021年1月20日から2025年1月20日までに発布されたすべての国家安全保障覚書(NSM)について、国家安全保障、国内レジリエンス、および米国の価値観に対する害悪の観点から、直ちに完全かつ徹底的な見直しを開始するものとする。本命令の日付から45日以内に、NSAは大統領にNSMの廃止を勧告するものとする。
     Sec. 4.  General Provisions.  (a)  Nothing in this order shall be construed to impair or otherwise affect: 第4条 一般規定 (a) 本命令のいかなる内容も、以下を損なう、あるいは影響を与えるものと解釈されてはならない。
(i)   the authority granted by law to an executive department or agency, or the head thereof; or (i) 行政省庁または行政機関、あるいはその長官に法律によって与えられた権限、または
(ii)  the functions of the Director of the Office of Management and Budget relating to budgetary, administrative, or legislative proposals. (ii) 予算、行政、立法に関する提案に関する行政管理予算局局長の機能。
     (b)  This order shall be implemented consistent with applicable law and subject to the availability of appropriations. (b) 本命令は、適用法に準拠し、かつ、歳出予算が確保されることを条件として実施されるものとする。
     (c)  This order is not intended to, and does not, create any right or benefit, substantive or procedural, enforceable at law or in equity by any party against the United States, its departments, agencies, or entities, its officers, employees, or agents, or any other person. (c) 本命令は、いかなる者に対しても、米国、その省庁、政府機関、または事業体、その役員、従業員、または代理人、あるいはその他の個人に対して、法律上または衡平法上、強制可能な実体上または手続上の権利または利益を創出することを意図するものではなく、また、実際に創出するものでもない。
THE WHITE HOUSE, ホワイトハウス、
    January 20, 2025. 2025年1月20日。

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.10.31 米国 人工知能の安全、安心、信頼できる開発と利用に関する大統領令

 

 

| | Comments (0)

英国 NCSC ブログ パスキー:完璧ではないが、改善されつつある (2025.01.15)

こんにちは、丸山満彦です。

英国のNCSCのブログがパスキーについてのブログ記事を載せていますね...

課題はあるけど、パスワードよりパスキーの方が安全性が高くなる場合が多いので、パスキーの改善にNCSCは取り組んでいますよ...ということですかね...

これから使っていこうね...

 

NCSC - Blog

1_20250121060101

 

・2025.01.15 Passkeys: they're not perfect but they're getting better

Passkeys: they're not perfect but they're getting better パスキー:完璧ではないが、改善されている
Passkeys are the future of authentication, offering enhanced security and convenience over passwords, but widespread adoption faces challenges that the NCSC is working to resolve. パスキーは認証の未来であり、パスワードよりもセキュリティと利便性を向上させるが、その普及にはNCSCが解決に取り組んでいる課題がある。
Now we’re in 2025, a lot more services are offering passkeys as a replacement for passwords and the NCSC believes they are the future of modern authentication. However, there are still some significant bumps in the road ahead. Here we set out the case for mass adoption of passkeys and outline the remaining issues which are hindering their widespread implementation. The NCSC will work alongside industry to help resolve these problems and help to get passkeys over the line. 現在、2025年を迎え、多くのサービスがパスワードに代わるものとしてパスキーを提供しており、NCSCはパスキーが現代の認証の未来であると確信している。しかし、前途には依然として大きな障害がいくつか存在する。ここでは、パスキーの大量導入の根拠を提示し、その広範な実装を妨げている残りの問題について概説する。NCSCは、業界と協力してこれらの問題の解決に取り組み、パスキーの普及を支援していく。
What’s wrong with passwords – why do we need passkeys? パスワードの何が問題なのか - なぜパスキーが必要なのか?
Most cyber harms that affect citizens occur through abuse of legitimate credentials. That is, attackers have obtained the victim's password somehow – whether by phishing or exploiting the fact the passwords are weak or have been reused. 一般市民に被害をもたらすサイバー犯罪のほとんどは、正当な認証情報の悪用によって発生している。つまり、攻撃者はフィッシング、あるいはパスワードが脆弱であることや使い回しされていることを突いて、何らかの方法で被害者のパスワードを入手しているのだ。
Passwords are just not a good way to authenticate users on the modern internet (and arguably weren't suitable back in the 1970s when the internet was used by just a few academics). Adding a strong – phishing-resistant – second factor to passwords definitely helps, but not everyone does this and not every type of Multi-Factor Authentication (MFA) is strong. パスワードは、現代のインターネット上でのユーザー認証の方法としては適切ではない(インターネットが一部の学者によって使用されていた1970年代には、おそらく適切ではなかった)。フィッシングに強い強力な第二の要素をパスワードに追加することは確かに役立つが、誰もがそうしているわけではないし、すべての多要素認証(MFA)が強力というわけでもない。
So if not passwords, then what? では、パスワード以外の方法とは何だろうか?
Passkeys have recently come to prominence as the world's best option for going passwordless – finally replacing account passwords with something better. If you haven't come across passkeys, take a look at our other blog on the promise of passkeys. The short story is that passkeys solve the main security problems we have with passwords. パスキーは最近、パスワードレスを実現する世界最高の選択肢として注目を集めている。パスワードを最終的により優れたものに置き換えるものだ。パスキーについてまだご存じない方は、パスキーの将来性に関する弊社の他のブログ記事もご覧いただきたい。簡単に言えば、パスキーはパスワードに伴う主なセキュリティ問題を解決する。
Passkeys: パスキーは
・are generated securely and so can’t be guessed ・安全に生成されるため、推測できない
・can’t be phished ・フィッシングの対象にならない
・are unique for each website you use, so if one website is compromised it doesn’t put your other logins at risk ・使用するウェブサイトごとにユニークなパスキーが生成されるため、ひとつのウェブサイトが侵害されたとしても、他のログインにリスクが生じることはない
Passkeys manage what was previously thought impossible. As well as being far more secure, they’re also quicker, easier and more convenient for users. For example, Microsoft has seen that on average passkey sign-ins to their services take only 8 seconds, compared with 69 seconds to sign in using a traditional password and second factor. パスキーは、これまで不可能と考えられていたことを可能にする。セキュリティが大幅に強化されるだけでなく、ユーザーにとってはより迅速で簡単、便利なものとなる。例えば、Microsoftでは、パスキーを使用した同社サービスへのサインインは平均8秒で完了しているが、従来のパスワードと第二要素認証を使用した場合は69秒かかっている。
As a solution that’s designed to be easier for users and more secure, you might expect passkeys to be the NCSC’s default recommendation for websites authenticating their customers. But if you check out our guidance: MFA for your corporate online services and Authentication methods: Choosing the right type, you’ll see we’re currently still having to recommend options that include a password and something extra to secure it. ユーザーにとってより簡単で、より安全なソリューションとして、パスキーがNCSCによる顧客認証を行うウェブサイトへのデフォルトの推奨事項になることを期待するかもしれない。しかし、当社のガイダンス「企業オンラインサービスにおけるMFA(多要素認証)と認証方法:適切なタイプの選択」を確認すると、現在もパスワードとそれを保護するための追加の要素を含むオプションを推奨せざるを得ないことが分かる。
We welcome the year-on-year improvements in passkey technologies but the remaining problems with them means we aren't ready to recommend them for mass adoption across all services yet. The NCSC wants to see an acceleration in progress and collaboration, so that we can confidently recommend this technology as the most secure and usable form of online authentication. パスキー技術の年々改善されることを歓迎するが、それらにはまだ問題が残っているため、すべてのサービスに広く採用することを推奨できる段階には至っていない。NCSCは、この技術をオンライン認証の最も安全で使いやすい形態として自信を持って推奨できるよう、進展と協力を加速させたいと考えている。
What then are the remaining problems with passkeys? では、パスキーの残された問題とは何だろうか?
There’s plenty of media evidence pointing to the challenges to passkey adoption. This includes: パスキーの導入にまつわる問題を指摘するメディア報道は数多くある。以下はその例である。
Inconsistent support and experiences 一貫性のないサポートと体験
Due to the history of their development, there are currently multiple ‘flavours’ of passkey available that providers and users need to understand how to manage. These range from device-bound and physical token passkeys (that never leave the device) to ‘synced’ passkeys (where a device’s Credential Manager backs up and synchronises passkeys across the user’s other devices). パスキーの開発の歴史により、現在、プロバイダやユーザーが管理方法を理解する必要がある複数の「種類」のパスキーが存在している。これには、デバイスに紐づけられた物理的なトークンパスキー(デバイスから離れることはない)から、「同期」パスキー(デバイスのクレデンシャルマネージャがバックアップし、ユーザーの他のデバイス間でパスキーを同期する)まで、さまざまなものがある。
This complicates things for websites which want to offer effective passkey support but also want to know how the passkey is being handled by the user’s device to keep their accounts safe. This can also lead to confusing or frustrating experiences for passkey users who just want the authentication to work, without having to worry about the nuances of underlying technology. For example, some websites support synced passkeys, while others still only support device-bound passkeys. これは、効果的なパスキーのサポートを提供したい一方で、ユーザーのデバイスでパスキーがどのように処理されているかを知り、アカウントの安全性を確保したいウェブサイトにとっては、状況を複雑にする。また、このことは、認証が機能すればよく、その基盤となるテクノロジーのニュアンスについて心配する必要がないパスキーユーザーにとっては、混乱やフラストレーションにつながる可能性もある。例えば、一部のウェブサイトでは同期パスキーがサポートされているが、他のウェブサイトでは依然としてデバイスに紐づいたパスキーのみがサポートされている。
Industry groups (including the FIDO Alliance and W3C) are working on standards, guides and tools to improve this situation for developers and users, but it will take time for these to be adopted consistently across the range of apps and websites available today. The NCSC strongly encourages providers and developers to engage with these groups and accelerate their adoption of these consistent standards when they’re released. 業界団体(FIDOアライアンスやW3Cなど)は、開発者やユーザーにとってこの状況を改善するための標準、ガイド、ツールの開発に取り組んでいるが、現在利用可能なアプリやウェブサイト全体にわたってこれらの標準が採用されるには時間がかかるだろう。NCSCは、プロバイダや開発者がこれらの団体と連携し、標準が発表された際にはその採用を加速させることを強く推奨する。
Device loss scenarios デバイスの紛失シナリオ
Users are largely unsure about the implications for their passkeys if they lose or break their device, as it seems their device holds the entire capability to authenticate. To trust passkeys as a replacement for the password, users need to be prepared and know what to do in the event of losing one – or all – of their devices. ユーザーは、デバイスを紛失したり破損した場合にパスキーにどのような影響があるのか、ほとんど理解していない。なぜなら、デバイスの認証機能がすべてデバイスに保存されているように見えるからだ。パスワードの代替としてパスキーを信頼するには、ユーザーは、デバイスを1台または複数台紛失した場合にどうすべきか、事前に準備しておく必要がある。
Backing up and synchronising passkeys with a Credential Manager makes it easier to recover access to them compared to other existing second factor options. However, this relies on the user having prepared their Credential Manager account for recovery. Users need help in understanding and implementing the right steps so they can feel ready to go passwordless and use passkeys without extra worry and hassle. パスキーを認証情報マネージャーでバックアップおよび同期化しておけば、他の既存の第二要素オプションと比較して、アクセスを回復しやすくなる。ただし、これはユーザーが認証情報マネージャーのアカウントを回復用に準備していることが前提となる。ユーザーがパスワードなしでパスキーを安心して手間なく使えるように、正しい手順を理解し、実行できるよう支援する必要がある。
Migration issues 移行に関する問題
Passkeys are ‘long life’ because users can’t forget them or create one that is weak, so if they’re done well there should be no need to reset or update them. As a result, there’s an increased likelihood that at some point a user will want to move their passkeys to the Credential Manager of a different vendor or platform. This is currently challenging to do, but FIDO and vendors are actively working to address this issue and we wait to see support for this take hold across the market. パスキーは「長寿命」である。なぜなら、ユーザーがパスキーを忘れたり、脆弱なパスキーを作成したりすることはないため、適切に実行されていれば、パスキーをリセットしたり更新したりする必要はないはずである。その結果、いずれはユーザーがパスキーを別のベンダーやプラットフォームのクレデンシャルマネージャーに移行したいと考える可能性が高くなる。これは現在では難しいが、FIDOと各ベンダーは、この問題の解決に向けて積極的に取り組んでおり、市場全体でこのサポートが定着するのを待っている。
Account recovery processes アカウント復旧プロセス
For passkey-protected accounts, potential attackers are now more likely to focus on finding weaknesses in account recovery and reset requests – whether by email, phone or chat – and pivot to phishing for recovery keys. These processes need to be sufficiently hardened by providers to prevent trivial abuse by these attackers and to maintain the security benefits of using passkeys. Users also need to be educated on how to spot and report abuse of these processes before their accounts are compromised. This problem is not unique to passkeys, but as passkeys begin to successfully frustrate attackers on a large scale, it’s likely that attackers will increasingly shift their focus to these methods. パスキーで防御されたアカウントの場合、潜在的な攻撃者は、電子メール、電話、チャットなどによるアカウント復旧やリセットのリクエストの脆弱性を見つけ、復旧キーを狙ったフィッシングに転換する可能性が高くなる。これらのプロセスは、プロバイダによって十分に強化され、攻撃者による些細な悪用を防ぎ、パスキーを使用することによるセキュリティ上の利点を維持する必要がある。また、ユーザーは、アカウントが侵害される前に、これらのプロセスの悪用を発見し報告する方法について教育を受ける必要がある。この問題はパスキー特有のものではないが、パスキーが攻撃者を大規模に阻止することに成功し始めているため、攻撃者はますますこれらの方法に焦点を移す可能性が高い。
Platform differences プラットフォームの違い
Different platforms use different terms to describe the process of passkey logins, which can confuse users and put them off using passkeys. Vendors will need to work together and with the FIDO Alliance to agree on consistent, accessible language and avoid working in silos. This will help users have confidence in what they are using across their digital lives. 異なるプラットフォームでは、パスキーログインのプロセスを説明する際に異なる用語を使用しているため、ユーザーが混乱し、パスキーの利用をためらう可能性がある。ベンダーは協力し、FIDOアライアンスと連携して、一貫性があり、アクセスしやすい用語に合意し、サイロ化された作業を避ける必要がある。これにより、ユーザーはデジタルライフ全体で使用しているものに自信を持つことができる。
Suitability for all scenarios あらゆるシナリオへの適合性
Using passkeys assumes that the user has exclusive, private access to an account or device for preparing and accessing the Credential Manager holding their passkeys. However, this is not always the case, such as in households where multiple people use the same phone or tablet, for individuals who don’t have their own modern device and primarily access the internet at places like libraries, and for people for whom biometrics don’t work well. Platform providers need to ensure that all users have a personal and private means of accessing their Credential Manager. パスキーを使用するには、パスキーを保管するクレデンシャルマネージャーを準備し、アクセスするために、ユーザーがアカウントやデバイスに排他的に、かつプライベートにアクセスできることが前提となる。しかし、これは必ずしも常に当てはまるわけではない。例えば、同じ電話やタブレットを複数の人が使用する家庭や、最新のデバイスを持たず、主に図書館などの場所でインターネットにアクセスする個人、生体認証がうまく機能しない人々などが該当する。プラットフォームプロバイダは、すべてのユーザーがクレデンシャルマネージャーに個人的かつプライベートにアクセスできる手段を確保する必要がある。
Further problems for apps that want to use passkeys パスキーを使用したいアプリのさらなる問題
There are additional problems for apps and websites that would like to offer passkeys as a way to sign in (known as ‘relying parties’) such as: ログイン方法としてパスキーを提供したいアプリやウェブサイト(「信頼当事者」として知られている)には、次のようなさらなる問題がある。
Implementation complexity 実装の複雑さ
It's challenging to offer passkeys to users for services that currently use multiple domains for authentication (such as account.example.co.uk and account.example.com) and users might need multiple passkeys to sign in to what appears to be the same service. The FIDO Alliance and the industry is working on this problem but it isn’t yet effectively accepted and established. 現在、複数のドメイン(account.example.co.uk や account.example.com など)を使用して認証を行っているサービスでパスキーをユーザーに提供するのは困難であり、ユーザーは同じサービスにログインする際に複数のパスキーが必要になる可能性がある。FIDO アライアンスと業界は、この問題に取り組んでいるが、まだ効果的に受け入れられ、確立されているわけではない。
Inconsistent use 一貫性のない使用
There's no consensus on when passkeys should be used in a sign-in journey or how much assurance each ‘flavour' of passkey provides. As a result, some websites choose to ask for a passkey and an additional factor, while others allow passkey-only sign-ins. パスキーをサインインの過程でいつ使用すべきか、また、パスキーの各「種類」がどの程度の保証を提供するかについては、コンセンサスが得られていない。その結果、一部のウェブサイトではパスキーと追加要素の両方を求めるが、他のサイトではパスキーのみでサインインを許可している。
Uncertainty around multi-factor status マルチファクタ認証としての不確実性
Website owners and regulators haven’t yet reached a consensus on whether all ‘flavours’ of passkey count as ‘multi-factor’ (or equivalent) when the user is verified, typically with local-device biometrics or a PIN. ウェブサイト所有者と規制当局は、ユーザーがローカルデバイスの生体認証やPINなどで認証された場合、すべての「パスキーのフレーバー」が「多要素認証」(または同等)としてカウントされるかどうかについて、まだコンセンサスに達していない。
Uncertainty around syncing and sharing 同期と共有に関する不確実性
For the most critical and sensitive accounts where verifiable user identity is required – for example bank accounts or those connected with power of attorney – there's also uncertainty about whether passkeys which can be synced and shared are secure enough on their own. Work is still ongoing to agree and define methods of resolving this. 検証可能なユーザーIDが求められる最も重要で機密性の高いアカウント(例えば銀行口座や委任状に関連するもの)については、同期や共有が可能なパスキーが単独で十分なセキュリティを確保できるかどうかも不確かである。この問題の解決方法について合意し定義する作業は現在も継続中である。
What is the NCSC doing about passkeys? NCSCはパスキーに関してどのような取り組みを行っているのか?
We’d like passkeys to be our default authentication recommendation and for passkeys to be widely deployed. To enable that, the NCSC is doing the following: パスキーをデフォルトの認証として推奨し、広く展開したいと考えている。これを実現するために、NCSCは以下の取り組みを行っている。
・Working with FIDO and vendors on the above challenges. ・FIDOおよびベンダーと協力し、上記の課題に取り組んでいる。
・Encouraging UK organisations to make passkeys available as an option to users. ・英国の組織に対して、パスキーをユーザーのオプションとして利用できるようにすることを推奨している。
・Exploring where the UK government can lead by example, such as by giving citizens the option to use passkeys to access central government services with GOV.UK One Login. ・英国政府が率先してできることを模索している。例えば、GOV.UK One Loginで中央政府サービスにアクセスする際にパスキーを使用するオプションを市民に提供するなど。
・Reviewing the regulatory environment and updating rules and standards (such as GPG 44) that underpin how UK organisations offer services to customers to ensure that sites are able to offer passkeys. ・規制環境を見直し、英国の組織が顧客にサービスを提供する手法を支えるルールや標準(GPG 44など)を更新し、サイトがパスキーを提供できるようにする。
・Encouraging organisations – once the technology and underpinning standards mature – to offer passkeys as default for their customers and citizen users. ・技術とそれを支える標準が成熟した段階で、組織が顧客や市民ユーザーに対してデフォルトでパスキーを提供することを奨励する。
In summary, the NCSC believes passkeys are the future of online authentication – for a business authenticating its customers, or a government service authenticating its citizens – and we’re working to make this a reality as soon as possible. But achieving this vision needs an intensified effort from all parties and greater collaboration to cohere the vision and prevent it fragmenting to the extent that users disengage. まとめると、NCSCはパスキーがオンライン認証の未来であると信じており、企業が顧客を認証する場合や、政府サービスが市民を認証する場合にパスキーが利用されることを期待している。そして、この実現をできるだけ早く実現するために取り組んでいる。しかし、このビジョンを実現するには、すべての関係者による一層の努力と、ビジョンをまとめるためのより緊密な連携が必要であり、ユーザーが離れてしまうほどにビジョンが分裂しないようにする必要がある。
Should you be using passkeys now? 現在、パスキーを使用すべきだろうか?
If you own a service that needs to authenticate users then – ideally – yes, but you’ll need to consider whether you can mitigate the challenges for your userbase first. ユーザー認証が必要なサービスを所有している場合は、理想的には「はい」だが、まずはユーザーベースの課題を緩和できるかどうかを検討する必要がある。
If you’re a user who has read this far, then almost definitely yes! ここまで読んでくださったユーザーであれば、ほぼ間違いなく「はい」だ。
Passkeys protect you from the most widespread attacks that lead to abuse of legitimate credentials, and modern devices make them as effortless to use as passwords. But as we’ve highlighted, there are still some challenges to getting them fully adopted across all services. The NCSC will be working with vendors, websites that authenticate users and users themselves to resolve these problems. パスキーは、正当な認証情報の悪用につながる最も広範な攻撃からユーザーを防御する。また、最新のデバイスでは、パスワードと同様に簡単に使用できる。しかし、これまで強調してきたように、すべてのサービスでパスキーが完全に採用されるには、まだいくつかの課題がある。NCSCは、ベンダー、ユーザー認証を行うウェブサイト、そしてユーザーと協力し、これらの問題の解決に取り組んでいく。
Please get in touch with us if you’d like to give feedback, comment or ask a question. フィードバックやコメント、質問などがありましたら、ぜひご連絡ください。
Ollie Whitehouse オリー・ホワイトハウス
NCSC Chief Technical Officer NCSC最高技術責任者
David C デビッド・C
Technical Director for Platforms Research プラットフォーム研究技術ディレクター
James L ジェームズ・L
Senior Security Researcher シニアセキュリティ研究者

 

 

| | Comments (0)

中国 CNCERT 米国が企業秘密を盗むために中国の大手テクノロジー企業や機関にサイバー攻撃を行った事案についての報告書 (2025.01.17)

こんにちは、丸山満彦です。

中国のCNCERTが、米国が企業秘密を盗むために中国の大手テクノロジー企業や機関にサイバー攻撃を行った事案を2件公表していますね...

一つは、2024年8月から先端材料設計研究部門が、おそらく米国諜報機関に電子文書セキュリティ管理システムの脆弱性を利用して、ソフトウェア更新管理サーバーに侵入し、更新サービスを通じて270台以上にトロイの木馬を配信し、機密情報、知財を盗んだということのようです。

もう一つは、2023年5月から、スマートウェンルギーとデジタル情報の大手ハイテク企業が、おそらく米国諜報機関により、海外の複数の踏み台を利用してマイクロソフト・エクスチェンジの脆弱性を利用し、メールサーバに侵入し、バックドアを埋め込んで電子メールデータを搾取していたようです。その上、メールサーバを踏み台にして、30台以上の端末から機密情報を盗んだようです。

本当かどうかはわかりませんが、被害をうけたことと同じような攻撃をしていますよね。。。そして、マイクロソフト製品の脆弱性を利用して攻撃。。。

 

国家计算机网络应急技术处理协调中心 (CNCERT/CC)

1_20250121053601

・2024.12.18 CNCERT发现处置两起美对我大型科技企业机构网络攻击事件

CNCERT发现处置两起美对我大型科技企业机构网络攻击事件 CNCERTは、米国による中国大手テクノロジー企業の機関ネットワークに対するサイバー攻撃2件を発見し、対処した
国家互联网应急中心发现处置两起美对我大型科技企业机构进行网络攻击窃取商业秘密事件。 国家インターネット緊急対応センターは、米国の大手テクノロジー企業2社が、当社機関の企業秘密を盗むために攻撃を行っていることを発見し、対応した。
2024年8月起,我国某先进材料设计研究单位遭疑似美国情报机构网络攻击。经分析,攻击者利用我境内某电子文档安全管理系统漏洞,入侵该公司部署的软件升级管理服务器,通过软件升级服务向该公司的270余台主机投递控制木马,窃取该公司大量商业秘密信息和知识产权。 2024年8月より、中国の高度材料設計研究部門が、米国の諜報機関と疑われる組織による攻撃を受けた。分析の結果、攻撃者は中国の電子文書セキュリティ管理システムの脆弱性を悪用し、当社が配備したソフトウェアアップグレード管理サーバーに侵入した。攻撃者はソフトウェアアップグレードサービスを利用して、当社の270以上のホストに制御用トロイの木馬を送り込み、当社の大量の企業秘密情報および知的財産を盗んだ。
2023年5月起,我国某智慧能源和数字信息大型高科技企业遭疑似美国情报机构网络攻击。经分析,攻击者使用多个境外跳板,利用微软Exchange漏洞,入侵控制该公司邮件服务器并植入后门程序,持续窃取邮件数据。同时,攻击者又以该邮件服务器为跳板,攻击控制该公司及其下属企业30余台设备,窃取该公司大量商业秘密信息。 2023年5月より、スマートエネルギーとデジタル情報に特化した中国のある大手ハイテク企業が、米国情報機関によるものと見られるサイバー攻撃の標的となった。分析の結果、攻撃者は複数の海外中継サーバーを使用してMicrosoft Exchangeの脆弱性を悪用し、同社のメールサーバーに侵入し、バックドアプログラムを仕掛けて電子メールデータを継続的に盗み出していたことが判明した。同時に、攻撃者はメールサーバーを足がかりとして、同社および子会社の30以上のデバイスを攻撃・制御し、同社の大量の企業秘密情報を盗み出していた。

 

報告書

・2025.01.17 美网络攻击我国某先进材料设计研究院事件调查报告

美网络攻击我国某先进材料设计研究院事件调查报告 米国による中国先進材料設計・研究機関へのサイバー攻撃事件に関する調査報告
2024年12月18日,国家互联网应急中心 CNCERT发布公告 ([web]
),发现处置两起美对我大型科技企业机构网络攻击事件。本报告将公布对其中我国某先进材料设计研究院的网络攻击详情,为全球相关国家,单位有效发现和防范美网络攻击行为提供借鉴。
2024年12月18日、中国国家コンピュータネットワーク緊急対応技術チーム/調整センター(CNCERT)は、発表([web] )によると、中国政府による米国大手テクノロジー企業へのサイバー攻撃2件が処理されたことが判明した。本報告では、中国先進材料設計研究院に対するサイバー攻撃の詳細を公表し、世界各国の関連国および関連部門が米国のサイバー攻撃を効果的に検知・防止するための参考情報を提供する。
一、网络攻击流程 I. サイバー攻撃のプロセス
(一)利用漏洞进行攻击入侵 (1) 脆弱性を利用した攻撃
2024年8月19日,攻击者利用该单位电子文件系统注入漏洞入侵该系统,并窃取了该系统管理员账号/密码信息。2024年8月21日,攻击者利用窃取的管理员账号/密码登录被攻击系统的管理后台。 2024年8月19日、攻撃者は当該機関の電子文書システムの脆弱性を利用してシステムに侵入し、システムの管理者アカウント/パスワード情報を盗んだ。2024年8月21日、攻撃者は盗んだ管理者アカウント/パスワードを利用して、攻撃対象システムの管理バックグラウンドにログインした。
(二)软件升级管理服务器被植入后门和木马程序 (2) ソフトウェアアップグレード管理サーバーにバックドアとトロイの木馬が仕掛けられた
2024年8月21日12时,攻击者在该电子文件系统中部署了后门程序和接收被窃数据的定制化木马程序。为逃避检测,这些恶意程序仅存在于内存中,不在硬盘上存储。木马程序用于接收从涉事单位被控个人计算机上窃取的敏感文件,访问路径为/sxx/xxxx?nag=syn_user_policy。后门程序用于将窃取的敏感文件聚合后传输到镜外,访问路径是/xxx/xxxStats. 2024年8月21日12時、攻撃者は電子文書システムに盗難データを受信するバックドアプログラムとカスタマイズされたトロイの木馬プログラムを展開した。 検知を回避するため、これらの悪意のあるプログラムはメモリ内にのみ存在し、ハードディスクには保存されていない。 トロイの木馬は、関係部門の被疑者のパソコンから盗まれた機密ファイルを受信するために使用され、アクセスパスは/sxx/xxxx?nag=syn_user_policyであった。バックドアは、盗まれた機密ファイルをミラーの外に集約して送信するために使用され、アクセスパスは/xxx/xxxStatsであった。
(三)大范图个人主机电脑被植入木马 (3)トロイの木馬は、大ファンのパソコンに埋め込まれた
2024年11月6日、2024年11月8日和2024年11月16日,攻击者利用电子文档服务器的某软件升级功能将特种木马程序植入到该单位276 台主机中。木马程序的主要功能一是扫描被植入主机的敏感文件进行窃取。二是窃取受攻击者的登录账密等其他个人信息。木马程序即用即删。
2024年11月6日、11月8日、11月16日、攻撃者は電子文書サーバーのソフトウェアアップグレード機能を利用して、単位内の276台のホストコンピューターに特殊なトロイの木馬プログラムを植え付けた。トロイの木馬プログラムの主な機能は、植え付けられたホストコンピューター上の機密ファイルをスキャンして盗むことである。もう一つは、攻撃対象者のログインアカウントやパスワードなどのその他の個人情報を盗むことである。トロイの木馬プログラムは使用後すぐに削除される。
二、窃取大量商业秘密信息 II. 企業秘密を大量に窃取
(一)全盘扫描受害单位主机 (1) 被害者のホストをフルスキャン
攻击者多次用中国境内 IP 跳板登录到软件升级管理服务器,并利用该服务器入侵受害单位内网主机,并对该单位内网主机硬盘反复进行全盘扫描,发现潜在攻击目标,掌握该单位工作内容。 攻撃者は、中国国内のIPジャンプ台を繰り返し利用してソフトウェアアップグレード管理サーバーにログインし、このサーバーを利用して被害者の内部ネットワークホストに侵入し、被害者の内部ネットワークホストのハードディスクを繰り返しフルスキャンし、潜在的な攻撃対象を発見し、当該部門の業務内容を把握した。
(二)日的明确地针对性窃取 (2) 特定の日に明確に窃取
2024年11月6日至11月16日,攻击者利用3个不同的跳板 IP 三次入侵该软件升级管理服务器,向个人主机植入木马,这些木马已内置与受害单位工作内容高度相关的特定关键词,搜索到包含特定关键词的文件后即将相应文件窃取并传输至境外。这三次窃密活动使用的关键词均不相同,显示出攻击者每次攻击前均作了精心准备,具有很强的针对性。三次窃密行为共窃取重要商业信息、知识产权文件共4.98GB。 2024年11月6日から11月16日にかけて、攻撃者は3つの異なるジャンプオフポイントIPを使用してソフトウェアアップグレード管理サーバーを3回攻撃し、個人用ホストにトロイの木馬を埋め込んだ。これらのトロイの木馬には、すでに被害者部門の業務内容と極めて関連性の高い特定のキーワードが組み込まれていた。特定のキーワードを含むファイルを検索した後、対応するファイルが盗まれ、海外に送信された。 これら3回の盗難で使用されたキーワードはすべて異なっており、攻撃者は各攻撃の前に周到な準備を行い、標的を絞っていたことがわかる。3回の機密盗難により、合計4.98GBの重要な商業情報および知的財産文書が盗まれた。
三、攻击行为特点 III.攻撃の特徴
(一)攻击时间 (1)攻撃時間
分析发现,此次攻击时间主要栗中在北京时间 22时至次日8时,相对于美国东部时间为白天时间10时至20时,攻击时间主要分布在美国时间的星期一至星期五,在美国主要节假日未出现攻击行为。 分析によると、攻撃時間は主に北京時間22:00から翌日8:00の間であり、これは米国東部時間では10:00から20:00までの昼間である。攻撃時間は主に米国時間の月曜日から金曜日までであり、米国の大型連休には攻撃は発生していない。
(二)攻毒資源 (2) 攻撃リソース
攻击者使用的5个跳板IP 完全不童复,位于德国和罗马尼亚等地,反映出其高度的反溯源意识和丰富的攻击资源储各。 攻撃者が使用した5つのジャンプオフIPは完全に異なり、ドイツ、ルーマニアなどにあることから、追跡防止に対する高い意識と豊富な攻撃リソースの蓄積がうかがえる。
(三)攻击式器 (3) 攻撃ツール
一是善于利用开源或通用工具伪装避溯源,此次在涉事单位服务器中发现的后门程序为开源通用后门工具。攻击者为了避免被溯源,大量使用开源或通用攻击工具。 第一に、オープンソースや汎用ツールを駆使して、偽装や追跡回避を得意としている。今回事件に関与した部門のサーバーに発見されたバックドアプログラムは、オープンソースの汎用バックドアツールである。攻撃者は、追跡を避けるために、大量のオープンソースや汎用攻撃ツールを使用している。
二是重要后门和木马程序仅在内存中运行,不在硬盘中存储,大大提升了其攻击行为被我分析发现的难度。 第二に、重要なバックドアやトロイの木馬プログラムはメモリ上でしか実行されず、ハードディスクには保存されないため、攻撃の分析や発見の難易度が大幅に高まる。
(四)攻击手法 (4) 攻撃方法
攻击者攻击该单位电子文件系统服务器后,篡改了该系统的客户端分发程序,通过软件客户端升级功能,向276台个人主机投递木马程序,快速、精准攻击重要用户,大肆进行信息搜集和窃取。以上攻击手法充分显示出该攻击组织的强大攻击能力。 攻撃者は、当該単位の電子ファイルシステムサーバーを攻撃した後、当該システムのクライアント配布プログラムを改ざんし、ソフトウェアクライアントのアップグレード機能を利用して、276台の個人用ホストにトロイの木馬を送り込み、重要なユーザーを迅速かつ正確に攻撃し、大規模な情報収集と窃取を行った。以上の攻撃方法は、攻撃組織の強力な攻撃能力を十分に示している。
四、部分跳板IP列表 IV. 踏み台IPアドレス(一部)一覧

20250121-54033

 

 

・2025.01.17 美网络攻击我国某智慧能源和数字信息大型高科技企业事件调查报告

美网络攻击我国某智慧能源和数字信息大型高科技企业事件调查报告 米国サイバー攻撃 中国のスマートエネルギーおよびデジタル情報分野における大手ハイテク企業への攻撃に関する調査報告書
2024年12月18日,国家互联网应急中心 CNCERT发布公告 ([web] ),发现处置两起美对我大型科技企业机构网络攻击事件。本报告将公布对其中我国某智慧能源和数字信息大型高科技企业的网络攻击详情,为全球相关国家、单位有效发现和防范美网络攻击行为提供借鉴。 2024年12月18日、中国国家コンピュータネットワーク緊急対応技術チーム/調整センター(CNCERT)は、発表([web] )によると、中国による米国大手テクノロジー企業へのサイバー攻撃2件が処理されたことが判明した。この報告書では、スマートエネルギーおよびデジタル情報分野における中国大手ハイテク企業へのサイバー攻撃の詳細を公表し、世界各国の関連国および関連部門が米国のサイバー攻撃を効果的に検知・防止するための参考情報を提供する。
一、网络攻击流程 I. サイバー攻撃のプロセス
(一)利用邮件服务器漏洞进行入侵 (1) メールサーバーの脆弱性を利用し、侵入した
公司郎件服券使用微Exchange 件統。攻市者利用2个微软 Exchange 洞选行攻击,首先利用某任意用户伪造漏洞针对特定账户进行攻击,然后利用某反序列化漏洞再次进行攻击,达到执行任意代码的目标。 当該企業の文書管理システムはMicrosoft Exchangeを使用している。攻撃者は2つのMicrosoft Exchangeの脆弱性を利用して攻撃を行った。まず、ある任意のユーザー偽装の脆弱性を利用して特定のアカウントを攻撃し、その後、あるアンチシリアライゼーションの脆弱性を利用して再度攻撃を行い、任意のコードを実行するという目的を達成した。
(二)在邮件服务器植入高度隐蔽的内存木马 (2) 高度に隠蔽されたメモリ型トロイの木馬がメールサーバーに埋め込まれた
为避免被发现,攻击者在邮件服务器中植入了2个攻击武器,仅在内存中运行,不在硬盘存储。其利用了虚拟化技术,虛拟的访问路径为fowa/auth/xxx/xx.aspx 和 lowalauth/xxx/yy.aspx,攻武器主要功能包括敏感宿息窃取、命令执行以及内网穿透等。内网穿透程序通过混淆来逃避安全软件检测,将攻击者流量转发给其他目标设备,达到攻击内网其他设备的目的。

検知を回避するために、攻撃者はメールサーバーに2つの攻撃用武器を仕込んだ。これらはメモリ上でのみ実行され、ハードディスクには保存されない。 仮想化技術を使用しており、仮想アクセスパスはfowa/auth/xxx/xx.aspxおよびlowalauth/xxx/yy.aspxである。攻撃用武器の主な機能には、機密データ盗難、コマンド実行、イントラネット侵入などがある。イントラネット侵入プログラムは、難読化によりセキュリティソフトウェアによる検出を回避し、攻撃者のトラフィックを他の標的デバイスに転送し、イントラネット上の他のデバイスを攻撃する。
(三)对内网30余台重要设备发起攻击 (3) 内部ネットワーク上の30以上の重要デバイスに対する攻撃
攻击者以邮件服务器为跳板,利用内网扫描和渗透手段,在内网中建立隐蔽的加密传输隧道,通过 SSH.SMB等方式登录控制该公司的30余台重要设备并窃取数据。包括个人计算机、服务器和网络设备等;被控服务器包括,邮件服务器、办公系统服务器、代码管理服务器、测试服务器、开发管理服务器和文件管理服务器等。为实现持久控制,攻击者在相关服务器以及网络管理员计算机中植入了能够建立 websocket+SSH 隧適的攻击窃密武器,实现了对攻击者指的隠蔽義友和数取。避免被岌現,咳攻法 密程序装成微信相程序 WeChatxxxxxxxx.exe. 攻法者坯在受害服多器中植入了2个利用PIPE 管道迸行程同通信的模決化恶意程序,实现了通信管道的搭建。 攻撃者はメールサーバーを足がかりとし、内部ネットワークのスキャンと侵入方法を使用して内部ネットワーク上に隠された暗号化通信トンネルを確立し、SSH.SMBなどの方法で30以上の重要デバイスにログインしてデータを窃取した。 これには、パソコン、サーバー、ネットワーク機器などが含まれる。攻撃を受けた疑いのあるサーバーには、メールサーバー、オフィスシステムサーバー、コード管理サーバー、テストサーバー、開発管理サーバー、ファイル管理サーバーなどが含まれる。持続的な制御を実現するために、攻撃者は、関連サーバーおよびネットワーク管理者のコンピュータにウェブソケット+SSHトンネルを確立できる攻撃およびスパイ用の武器を仕込み、攻撃者の意図する隠蔽とデータ収集を実現した。 発見を回避するために、攻撃者は悪意のあるプログラムを「WeChatxxxxxxxx.exe」というWeChatアプレットに偽装した。その後、攻撃者は、PIPEプロトコルを使用して被害者のサーバーで同時通信用のパイプを確立する2つのモジュール型悪意のあるプログラムを仕込み、通信チャネルを確立した。
二、窃取大量商业秘密信息 II. 企業秘密情報の大量窃取
(一)窃取大量敏感邮件数据 (1) 機密性の高い大量のメールデータの窃取
攻击者利用邮件服务器管理员账号执行了邮件导出操作,窃密目标主要是该公司高层管理人员以及童要部门人员。攻击者执行导出命令时设置了导出邮件的时间区间,有些账号邮件全部导出,邮件很多的账号按指定时间区间导出,以减少窃密数据传输量,降低被发现风险。 攻撃者は、メールサーバの管理者アカウントを利用して、同社の経営層や主要部門の担当者を対象に、メールのエクスポート操作を行った。エクスポートコマンドを実行する際、攻撃者はメールのエクスポート時間間隔を設定した。一部のアカウントはすべてエクスポートされ、メール件数の多いアカウントは、送信データ量と発覚リスクを低減するために、時間間隔に従ってエクスポートされた。
(二)窃取核心网络设备账号及配置信息 (2) 基幹ネットワーク機器のアカウントおよび設定情報の窃取
攻击者通过攻击控制该公司3名网络管理员计算机,频繁窃取该公司核心网络设备账号及配暨信息。例如,2023年5月2日、攻法者以手徳国的代理服器(95.179.XX.XX)为跳板,入了该公司邮件服务累后,以邮件服务器为跳板,攻击了该公司网络管理员计算机,并窃取了“网络核心设备配置表”、“核心网络设备配置备份及巡检”、“网络拓扑”、“机房交换机(核心+汇聚〕”、“运营商IP 地址统计”、“关于采购互联网控制网关的请示”等敏悠文件。 攻撃者は、同社のネットワーク管理者の3台のコンピュータを攻撃することで、同社のコアネットワーク機器のアカウントと設定情報を頻繁に盗んでいた。例えば、2023年5月2日、攻撃者はドイツのプロキシサーバー(95.179.XX.XX)を踏み台にして同社のメールサービスに侵入し、その後、メールサーバーを踏み台にして同社のネットワーク管理者のコンピュータを攻撃し コンピュータに侵入し、「ネットワークコア機器構成表」、「コアネットワーク機器構成バックアップ・点検」、「ネットワークトポロジー」、「コンピュータ室スイッチ(コア+アグリゲーション)」、「キャリアIPアドレス統計」、「インターネットコントロールゲートウェイ購入依頼書」などの機密ファイルを盗んだ。
(三)窃取项目管理文件 (3) プロジェクト管理文書の窃取
攻击者通过对该公司的代码服务累、开发服务器等进行攻法,頻繁窃取公司相袋項目数担。例如。2023年7月26日、攻市者以的代理服器(65.21.XX.XX)为跳板,攻击控制该公司的邮件服务器后,又以此为跳板,频繁访问在该公司代码服务累中已植入的后门攻击武器,窃取数据达1.03GiB。为避免被发现,该后门程序伪装成开源项目“禅道”中的文件 “lip4XXXXXXXX.php”。 攻撃者は、頻繁に会社のコードサービスプラットフォームと開発サーバーを攻撃して、会社のプロジェクトデータを窃取していた。例えば、2023年7月26日、攻撃者はプロキシサーバー(65.21.XX.XX)を踏み台として、会社のメールサーバーを攻撃し、その後、踏み台として頻繁にアクセスしていた 会社のコードサービスに仕込まれたバックドア攻撃兵器に頻繁にアクセスし、1.03 GiBに達するデータを盗んだ。 バックドアプログラムは、検知を回避するために、オープンソースプロジェクト「ZenTao」の「lip4XXXXXXXX.php」というファイルを装っていた。
(四)清除攻击痕迹并进行反取证分析 (4) 攻撃の痕跡を消去し、フォレンジック対抗分析を行う
为避免被发现,攻击者每次攻击后,都会清除计算机日志中攻击痕班,并删除攻击窗密过程中产生的临时打包文件。攻击者还会查看系统审计日志、历史命令记录,SSH相关配置等,意图分析机器祓取证情况,对抗网络安全检测。 検知を回避するために、攻撃者は攻撃のたびに、コンピュータログから攻撃の痕跡を消去し、攻撃ウィンドウ中に生成された一時的なパッケージングファイルを削除していた。 また、攻撃者はシステム監査ログ、過去の命令記録、SSH関連の設定などを確認し、マシンを分析して証拠を捜し、ネットワークセキュリティの検出を回避しようとした。
三、攻击行为特点 III. 攻撃の特徴
(一)攻击时间 (1) 攻撃時間
分析发现,此次攻击活动主要条中在北京时间22时至次日8时,相对于美国东部时间为白天10时至20时,攻击时间主要分布在美国时间的星期一至星期五,在美国主要节假日未出现攻击行为。 分析によると、攻撃活動は主に北京時間22:00から翌日8:00までの間に集中しており、これは東部時間では10:00から20:00までの日中である。攻撃時間は主に米国時間の月曜日から金曜日にかけて分布しており、米国の主要な祝日には攻撃は検出されていない。
(二)攻击资源 (2) 攻撃リソース
2023年5月至2023年10月,攻击者发起了30余次网络攻击,攻击者使用的境外跳板 IP 基本不重复,反映出其高度的反溯源意识和丰富的攻击资源储备。 2023年5月から10月にかけて、攻撃者は30回以上のサイバー攻撃を仕掛けた。攻撃者の海外ジャンププラットフォームのIPは基本的に繰り返し使用されておらず、追跡防止に対する高い意識と豊富な攻撃リソースの蓄えを反映している。
(三)攻击武器 (3) 攻撃武器
攻击者植入的2个用于PIPE 管道进程通信的模化恶意程序位于 “c:liwindowslisystem32W” 下,使用了.net 框架,编译时间均被抹除,大小为数十KB,以TLS 加密为主。邮件服务器内存中植入的攻击武器主耍功能包括敏感信总窃取、命令执行以及内网穿透等。在相关服务器以及网络管理员计算机中植入的攻击窃密武器,使用https 协议,可以建立websocket+SSH 隧道,会回连攻击者控制的某域名。 攻撃者がPIPEパイプラインプロセス通信に埋め込んだ2つのモジュール型悪意あるプログラムは、「c:liwindowslisystem32W」に位置し、.netフレームワークを使用し、コンパイル時間は消去されている。サイズは数十KBで、主にTLS暗号化を使用している。 メールサーバーのメモリに埋め込まれた攻撃用武器の主な機能には、機密文書窃取、コマンド実行、イントラネット侵入などがある。関連サーバーおよびネットワーク管理者のコンピュータに埋め込まれた攻撃・スパイ用武器は、httpsプロトコルを使用し、websocket+SSHトンネルを確立し、攻撃者が管理するドメイン名に接続する。
四、部分跳板 IP列表 IV. 踏み台IPアドレス(一部)一覧

20250121-53926

 

ちなみに国。。。

荷兰 オランダ
罗马尼亚 ルーマニア
德国 ドイツ
芬兰 フィンランド
墨西哥 メキシコ

 

ドイツが多いですね...

 

 


こちらも参考に...

 

WeChat(テンセント)

微信公众平台(WeChat公式アカウント)

・2025.01.18 CNCERT:美网络攻击我国某智慧能源和数字信息大型高科技企业事件调查报告

(中国のインテリジェント・エネルギーおよびデジタル情報の大規模ハイテク企業に対する米国のサイバー攻撃に関する調査報告)

 

・2025.01.18 CNCERT:美网络攻击我国某先进材料设计研究院事件调查报告

(中国の先端材料設計研究所に対する米国のサイバー攻撃に関する調査報告)

 

・2025.01.18 AI大模型对CNCERT有关美国对我机构实施网络攻击两份调查报告的分析与评价

(米国のサイバー攻撃に関するCNCERTの2つの調査報告書に対するAIビッグモデルの分析と評価)

 

 

| | Comments (0)

2025.01.20

米国 国家レジリエンス戦略 (2025.01.18)

こんにちは、丸山満彦です。

バイデン政権もおわり今日はトランプ氏の大統領就任式ですが、最後の最後に国家レジリエンス戦略を公表していますね...

「ガバナンス」、「社会・コミュニティー」、「経済」、「インフラ」の4つの柱となるシステムを挙げていますが、それぞれのビジョン・ステートメントは次のとおりです...

 

ガバナンス・システム

Resilient governance systems unite our nation in a collaborative effort to ensure the continuous functioning of a government that provides leadership and services to its people.  National resilience is built upon a foundation of prepared individuals and communities, including the private sector, nonprofit organizations, and critical infrastructure sectors that both support and are enabled by all levels of government. レジリエンス・ガバナンス・システムは、国民にリーダーシップとサービスを提供する政府の継続的な機能を確保するための協力的な取り組みにおいて、我が国を結束させる。  国家のレジリエンスは、民間部門、非営利組織、重要インフラ部門を含む、準備の整った個人とコミュニティの基盤の上に築かれる。
社会・コミュニティーシステム As a resilient nation, we have strong social systems that sustain a community’s ability to navigate adversity while maintaining its core identity.  At the individual level, people have meaningful opportunities for community participation and access to resources that support well-being and optimal health.  At a societal level, communities are equitable and have a sense of belonging, strong bonds, and a high degree of trust that contributes to greater social capital and common civic values that support collective action across the nation. レジリエンス国家として、私たちは、コミュニティの中核的アイデンティティを維持しつつ、逆境を切り抜ける能力を支える強力な社会システムを有している。  個人レベルでは、人々はコミュニティーに参加する有意義な機会を持ち、幸福と最適な健康を支える資源を利用できる。  社会レベルでは、コミュニティは公平であり、帰属意識、強い絆、高い信頼があり、ソーシャル・キャピタルの拡大や、全国的な集団行動を支える共通の市民的価値観に寄与している。
経済システム A resilient economic system has the capacity to address underlying economic stressors, enable innovation, improve the quality of life and prosperity of communities and the nation to anticipate, prepare for, withstand, and recover from acute shocks and disruptions it may experience.  Furthermore, resilient economic systems have the capacity to leverage opportunities for transformational recovery from occasional economic disruptions.  A resilient U.S. economy is foundational to ensuring that our nation has the capacity to anticipate, prevent, and mitigate negative impacts resulting from national and global economic shocks レジリエンスのある経済システムは、経済の根底にあるストレス要因に対処し、イノベーションを可能にし、コミュニティと国家の生活の質と繁栄を改善し、経験するかもしれない急激なショックやディスラプションを予測し、準備し、耐え、回復する能力を持つ。  さらに、レジリエンスのある経済システムは、時折発生する経済的混乱からの変革的回復の機会を活用する能力を備えている。  レジリエンシーな米国経済は、国内および世界的な経済ショックから生じる悪影響を予測し、予防し、緩和する能力を国家が確保するための基盤である。
インフラ・システム As a resilient nation, the physical and cyber infrastructure that we rely on for the safety and security of our citizens and residents, a thriving economy, and provision of effective government and social services, is designed, built, operated, maintained, and protected such that services and resources provided by infrastructure can withstand and rapidly recover from the threats or hazards that pose the greatest risk, and disruptions can be managed without long-term impact.  Further, as infrastructure (inclusive of buildings) is newly constructed, repaired, or replaced, and environmental systems are preserved, current and future threats and hazards are taken into account, fostering a culture of continuous adaptation and improvement to the resilience of local communities, regions, and the nation. レジリエンス国家として、国民・住民の安全・安心、経済の繁栄、効果的な政府・社会サービスの提供のために依存している物理的・サイバー的インフラは、インフラが提供するサービスや資源が最大のリスクとなる脅威やハザードに耐え、そこから迅速に回復し、混乱が長期的な影響を受けることなくマネジメントできるように、設計、建設、運用、維持、保護されている。  さらに、インフラ(建物を含む)の新設、補修、更新、環境システムの保全が行われる際には、現在および将来の脅威やハザードが考慮され、地域社会、地域、国家のレジリエンスに対する継続的な適応と改善の文化が醸成される。 

 

U.S. White House

・2025.01.18 National Resilience Strategy

・[PDF] National Resilience Strategy

20250120-40910

・[DOCX][PDF] 仮訳

 

 


 

 

● まるちゃんの情報セキュリティ気まぐれ日記

国家安全保障戦略

・2022.10.14 米国 国家安全保障戦略

 

国防総省 国家防衛戦略他

・2022.10.29 米国 国家防衛戦略

その下の計画

・2023.09.19 米国 国防総省サイバー戦略 2023(要約)(2023.09.12)

・2023.08.09 米国 国防総省 サイバー従事能力戦略実施計画

 

国家情報(インテリジェンス)戦略

・2023.08.11 米国 国家情報戦略 2023

 

国家サイバーセキュリティ戦略

・2023.03.04 米国 国家サイバーセキュリティ戦略を発表

人材に関して。。。

・2023.08.02 米国 国家サイバー人材・教育戦略

予算優先事項、実行計画。。。

・2023.07.09 米国 OMB 2025 年度予算における政権のサイバーセキュリティ優先事項 (2023.06.27)

・2023.07.15 米国 ホワイトハウス サイバーセキュリティ戦略実施計画

 

 

 

 

| | Comments (0)

2025.01.19

欧州 EDPB 意見募集 仮名化に関するガイドライン 01/2025

こんにちは、丸山満彦です。

EDPBが、仮名化に関するガイドライン案を公表しています。。。

例示もあって、いろいろと理解の助けになるかもですね。。。

 

European data Protection Board;EDPB

・2025.01.17 Guidelines 01/2025 on Pseudonymisation

Guidelines 01/2025 on Pseudonymisation 仮名化に関するガイドライン 01/2025
The European Data Protection Board welcomes comments on the Guidelines 01/2025 on Pseudonymisation. 欧州データ保護委員会は、仮名化に関するガイドライン01/2025に対するコメントを歓迎する。
Such comments should be sent 28th February 2025 at the latest using the provided form. コメントは遅くとも2025年2月28日までにプロバイダのフォームを利用して送付されたい。
Please note that, by submitting your comments, you acknowledge that your comments might be published on the EDPB website. なお、ご意見を提出された場合、EDPBのウェブサイトに掲載される可能性があることを了承したものとみなされる。
The EDPB Secretariat staff screens all replies provided before publication (only for the purpose of blocking unauthorised submissions, such as spam), after which the replies are made available to the public directly on the EDPB public consultations’ page. Unauthorised submissions are immediately deleted. The attached files are not altered in any way by the EDPB. EDPB事務局スタッフは、公開前に提出されたすべての返答を審査し(スパムなどの不正な提出をブロックする目的のみ)、その後、返答はEDPB公開協議のページで直接一般に公開される。不正な投稿は直ちに削除される。添付されたファイルは、EDPBによって変更されることはない。
Please, note that regardless the option chosen, your contribution may be subject to a request for access to documents under Regulation 1049/2001 on public access to European Parliament, Council and Commission documents. In this case the request will be assessed against the conditions set out in the Regulation and in accordance with applicable data protection rules. なお、いずれのオプションを選択した場合でも、欧州議会、理事会および欧州委員会の文書に対する一般公開に関する規則1049/2001に基づき、文書へのアクセス要求の対象となる場合がある。この場合、要請は同規則に定められた条件に照らし合わせ、適用されるデータ保護規則に従って評価される。

 

 ・[PDF] Guidelines 01/2025 on Pseudonymisation

20250119-50632

・[DOCX][PDF] 仮訳

 

目次...

EXECUTIVE SUMMARY エグゼクティブサマリー
1 INTRODUCTION 1 序文
2 DEFINITIONS AND LEGAL ANALYSIS 2 定義と法的分析
2.1 Legal definition of pseudonymisation 2.1 仮名化の法的定義
2.2 Objectives and advantages of pseudonymisation 2.2 仮名化の目的と利点
2.2.1 Risk reduction 2.2.1 リスク低減
2.2.2 Analysis of pseudonymised data and planned attribution 2.2.2 仮名化されたデータの分析と計画された属性
2.3 Pseudonymisation domain and available means for attribution 2.3 仮名化の領域と帰属のための利用可能な手段
2.4 Meeting data-protection requirements using pseudonymisation 2.4 仮名化を使用してデータ保護要件を満たす
2.4.1 Pseudonymisation as an effective measure for data protection by design and by default 2.4.1 設計およびデフォルトによるデータ保護の効果的な手段としての保護
2.4.2 Ensuring a level of security appropriate to the risk 2.4.2 リスクに見合ったセキュリティレベルの確保
2.4.3 Pseudonymisation as a supplementary measure for third country data transfers 2.4.3 第三国データ移転の補足措置としての仮名化
2.5 Transmission of pseudonymised data to third parties 2.5 仮名化されたデータの第三者への送信
2.6 Implications for the rights of the data subjects 2.6 データ対象者の権利への影響
2.7 Unauthorised reversal of pseudonymisation 2.7 仮名化の不正な取り消し
3 TECHNICAL MEASURES AND SAFEGUARDS FOR PSEUDONYMISATION 3 仮名化のための技術的措置と保護措置
3.1 Pseudonymising transformation 3.1 仮名変換
3.1.1 Structure of the pseudonymising transformation 3.1.1 仮名変換の構造
3.1.2 Types of pseudonymising transformations 3.1.2 仮名変換の種類
3.1.3 Modification of original data necessary for the objectives of pseudonymisation 3.1.3 仮名化の目的に必要な元データの修正
3.1.4 Pseudonymisation in the course of data collection 3.1.4 データ収集過程における仮名化
3.2 Technical and organisational measures preventing unauthorised attribution of pseudonymised data to individuals 3.2 仮名化されたデータの個人への無断帰属を防止する技術的・組織的対策
3.2.1 Preventing reversal of the pseudonymising transformation 3.2.1 仮名変換の逆転を防ぐ
3.2.2 Securing the pseudonymisation domain 3.2.2 仮名化領域の確保
3.3 Linking pseudonymised data 3.3 仮名化されたデータのリンク
3.3.1 Controlling the scope for the linkage of pseudonymised data 3.3.1 仮名化されたデータのリンク範囲の管理
3.3.2 Linking data pseudonymised by different controllers 3.3.2 異なる管理者によって仮名化されたデータのリンク
3.4 Summary of procedures for pseudonymisation 3.4 仮名化の手順のまとめ
ANNEX – EXAMPLES OF THE APPLICATION OF PSEUDONYMISATION 附属書-仮名化の適用例
Example 1: Data minimisation and confidentiality in internal analysis 例 1:内部分析におけるデータの最小化と機密性
Example 2: Separation of functions allowing for data minimisation, purpose limitation, and confidentiality 例2:データの最小化、目的の限定、機密保持を可能にする機能の分離
Example 3: Data minimisation and purpose limitation in the course of external analysis 例3:外部分析の過程におけるデータの最小化と目的制限
Example 4: Safeguarding identity – confidentiality and accuracy 例4:身元を保護する - 機密性と正確性
Example 5: Secondary use for research 例5:研究のための二次利用
Example 6: Reduction of confidentiality risks 例6:機密保持リスクの軽減
Example 7: Risk reduction as a factor in the balancing of interests, and ascertainment of compatibility of purposes 例7:利害のバランスにおける要因としてのリスク軽減と、目的の両立性の確認
Example 8: Risk reduction justifying further processing 例8:さらなる処理を正当化するリスクの低減
Example 9: Supplementary measure 例9:補足措置
Example 10: Granting access rights to pseudonymised data 例 10:仮名化されたデータへのアクセス権の付与
GLOSSARY 用語集

 

 

 

 

| | Comments (0)

2025.01.18

米国 商務省産業安全保障局 人工知能普及のための枠組み(特定のAIの輸出規制...)

こんにちは、丸山満彦です。

米国の商務省産業安全保障局が人工知能普及のための枠組みの最終規則が公表されていますね。。。

これは、米国がAI技術の革新とリーダーシップを維持するため。高性能なAI技術とそのデュアルユースが、国家安全保障にとって重大なリスクをもたらす可能性があるため、先進的なコンピューティング集積回路(ICs)に対する輸出管理規則(EAR)の改訂を行うもの、、、という感じですかね...

 

Bureau of Industry and Security

● Fedral Register

・2025.01.13 Framework for Artificial Intelligence Diffusion

 

Framework for Artificial Intelligence Diffusion 人工知能普及のための枠組み
SUMMARY: 概要:
With this interim final rule, the Commerce Department's Bureau of Industry and Security (BIS) revises the Export Administration Regulations' (EAR) controls on advanced computing integrated circuits (ICs) and adds a new control on artificial intelligence (AI) model weights for certain advanced closed-weight dual-use AI models. In conjunction with the expansion of these controls, which BIS has determined are necessary to protect U.S. national security and foreign policy interests, BIS is adding new license exceptions and updating the Data Center Validated End User authorization to facilitate the export, reexport, and transfer (in-country) of advanced computing (ICs) to end users in destinations that do not raise national security or foreign policy concerns. Together, these changes will cultivate secure ecosystems for the responsible diffusion and use of AI and advanced computing ICs. この暫定最終規則により、商務省産業安全保障局(BIS)は、高度なコンピューティング集積回路(IC)に関する輸出管理規則(EAR)の規制を改正し、特定の高度な閉鎖ウェイトデュアルユースAIモデルの人工知能(AI)モデルウェイトに関する新たな規制を追加する。米国の国家安全保障および外交政策上の利益を防御するために必要であるとBISが判断したこれらの規制の拡大に伴い、BISは新たなライセンス例外を追加し、高度なコンピューティング(IC)の輸出、再輸出、移転(国内)を促進するために、データセンターの妥当性確認済みエンドユーザー認可を更新する。これらの変更を併せて実施することで、AIおよび先進コンピューティングICの責任ある普及と利用のための安全なエコシステムが育成されることになる。

 

1_20250118080201

 

 

Continue reading "米国 商務省産業安全保障局 人工知能普及のための枠組み(特定のAIの輸出規制...)"

| | Comments (0)

米国 国家サイバー長官室 サイバー犯罪から米国民を保護しなければならない (2025.01.13)

こんにちは、丸山満彦です。

ホワイトハウスの国家サイバー長官のハリー・コーカー・Jr.が、サイバー犯罪から米国民を保護しなければならないと、ブログに書いていますね...

米国もサイバー犯罪に苦労していますね...

 

U.S. White House - Office of the National Cyber Director; ONCD

・2025.01.13 We Must Protect Americans Against Cyber-Enabled Fraud

 

We Must Protect Americans Against Cyber-Enabled Fraud サイバー犯罪から米国民を保護しなければならない
By National Cyber Director Harry Coker, Jr. 国家サイバー長官 ハリー・コーカー・ジュニア
A frantic phone call that sounds like a grandchild; a text message offering a young professional a fantastic investment; an email to an attorney with instructions to wire settlement funds that they were expecting – cyber-enabled fraud can start in many different ways. On Friday, we here at ONCD convened a group of Federal cybersecurity and fraud experts at the White House to discuss cyber-enabled fraud – a persistent and growing problem that impacts the American people every day. 孫からの電話のように聞こえる必死の電話、若い専門家に魅力的な投資を勧めるテキストメッセージ、期待していた和解資金の送金指示が書かれた弁護士宛の電子メールなど、サイバー犯罪はさまざまな方法で始まる可能性がある。金曜日、私たちはホワイトハウスで連邦政府のサイバーセキュリティおよび詐欺の専門家グループを招集し、サイバー詐欺について話し合った。サイバー詐欺は、日々アメリカ国民に影響を与えている根強く、拡大する問題である。
The Federal Trade Commission estimated consumer fraud losses of roughly $158 billion in 2023, and the Government Accountability Office estimates that fraud costs the Federal government $223 billion to $521 billion per year. Much of this fraud is cyber-enabled, and it is increasing – the Federal Bureau of Investigation received a record number of complaints through its Internet Crime Complaint Center (IC3) in 2023, over 880,000. And these numbers are just the tip of the iceberg since most of the fraud goes unreported. 連邦取引委員会は、2023年の消費者詐欺による損失額を約1580億ドルと推定しており、政府アカウンタビリティ室は、詐欺による連邦政府の損失額を年間2230億ドルから5210億ドルと推定している。こうした詐欺の多くはサイバー犯罪であり、その数は増加している。2023年には、連邦捜査局(FBI)のインターネット犯罪苦情センター(IC3)に寄せられた苦情の件数は88万件を超え、過去最多を記録した。そして、詐欺のほとんどが報告されないため、これらの数字は氷山の一角に過ぎない。
Unfortunately, anyone can be targeted. Americans of all ages report losses from frauds ranging from tech support scams to investment fraud. Businesses of all sizes become victims when their email is compromised. 残念ながら、誰もが標的となり得る。あらゆる年齢のアメリカ人が、テクニカルサポート詐欺から投資詐欺に至るまで、詐欺による損失を報告している。あらゆる規模の企業が、電子メールが侵害された際に被害者となる。
The perpetrators, often foreign organized crime syndicates, leverage and exploit weaknesses across almost all industries to commit their crimes. No single company, industry, government agency, or even country, can solve this problem alone. 犯罪者は、多くの場合、外国の組織犯罪シンジケートであり、ほぼすべての業界に存在する弱点を悪用して犯罪を犯している。 企業、業界、政府機関、あるいは国であっても、単独でこの問題を解決することはできない。
Protecting Americans from cyber-enabled fraud requires a whole-of-Nation effort. We must continue to scale up best practices, shore up our cyber defenses, and get ahead of the criminals’ rapidly increasing use of artificial intelligence to better protect the American public. サイバー犯罪から米国国民を防御するには、国家を挙げての取り組みが必要である。 ベストプラクティスを拡大し続け、サイバー防御を強化し、犯罪者による人工知能の急速な利用拡大に先んじて、米国国民をより良く保護しなければならない。
We are having some successes. In 2023, the Secret Service recovered over $1 billion in cyber financial crime losses, and the FBI found ways to stop $538 million in losses in suspected fraud cases, working with partners to paralyze criminals in their tracks. I had the opportunity to hear from these agencies and many other federal partners and White House components on Friday. 私たちはいくつかの成功を収めている。2023年には、シークレットサービスがサイバー金融犯罪による損失額10億ドル以上を回復し、FBIはパートナーと協力して犯罪者を足止めし、詐欺事件の疑いのある5億3800万ドルの損失を食い止める方法を見出した。私は金曜日に、これらの機関やその他多くの連邦政府パートナー、ホワイトハウスの構成機関から話を聞く機会があった。
We shared ideas on how we can do more to protect Americans, and make it easier for people and businesses to protect themselves. There was strong agreement on the importance of tackling this issue on behalf of the millions of citizens who are defrauded every year. アメリカ国民をより効果的に防御し、個人や企業が自らを防御しやすくする方法について意見を交換した。毎年何百万人もの国民が詐欺の被害に遭っているという事実を踏まえ、この問題に取り組むことの重要性について、強い同意が得られた。
I’ve discussed this issue with other domestic and international partners as well, including the United Kingdom – which is widely recognized as a leader in this field. In all these discussions, our partners’ commitment to action has been crystal clear. 私はこの問題について、この分野におけるリーダーとして広く認知されている英国をはじめとする、他の国内および国際的なパートナーとも話し合ってきた。これらの話し合いにおいて、パートナーの行動へのコミットメントは明確であった。
The Federal government needs to lead, because the people we serve deserve solutions. We have to do everything we can to ensure that Americans’ hard-earned money stays where it belongs, with them. There’s a lot more work to do. 連邦政府が主導する必要がある。なぜなら、私たちが奉仕する国民は解決策を必要としているからだ。私たちは、アメリカ人が苦労して稼いだお金が、本来あるべき場所である彼らの手元に残るよう、全力を尽くさなければならない。やるべきことはまだたくさんある。

 

1_20250118054901

 

| | Comments (0)

2025.01.17

世界経済フォーラム (WEF) The Global Risks Report 2025 20th Edition グローバルリスク報告書2025

こんにちは、丸山満彦です。

今年もグローバルリスク報告書が、ダボス会議にあわせて公表されていますね。。。

ちなみに、この調査は2024年9月2日から10月18日に実施されているので、その後の大きな事案についての影響は反映されていないかもしれませんね。。。

 

今年と過去3年と短期のリスク(今後2年間に重要となるであろうリスク)で比較すると経済的なリスクがなくなっていますね...

ただし、附属書Cの経営者調査(EOS)によると、ざっと見た感じ、経済的なリスクは高いように感じますね。。。

ちなみに日本は1(人材不足)、3(景気後退)、5(エネルギー不足)が経済リスク。。。

 

20250117-54123

 

20240111-170304

 

Fig1_20230112162401

 

ちなみに現在のリスクでいうと...

20250117-54518

 

長期的なリスクと比較すると...

20250117-54914

20250117-55254

 

 

 

影響を考えてどの分野のリスクの解決を優先すべきかを考える際に参考になりますかね...

20250117-55109

 

 

 

 

● World Economic Forum

・2025.01.15 Global Risks Report 2025

・[PDF] Global Risks Report 2025 20th Edition

20250117-45623

Global Risks Report 2025

 

目次...

Preface 序文
Overview of methodology 方法論の概要
Global Risks 2025: A world of growing divisions グローバルリスク2025:深まる分断の世界
Global Risks 2035: The point of no return グローバルリスク2035:後戻りできない地点
Appendix: A 附属書:A
Appendix: B 附属書:B
Appendix: C 附属書:C
Appendix: D 附属書:D

 

 

 

過去分...

 

20 2025 2025.01.15 Web PDF Home
19 2024 2024.01.11 Web PDF Home
18 2023 2023.01.11 Web PDF Home
17 2022 2022.01.11 Web PDF Press
16 2021 2021.01.19 Web PDF Press
15 2020 2020.01.15 Web PDF Press
14 2019 2019.01.15 Web PDF Press
13 2018 2018.01.17 Web PDF Press
12 2017 2017.01.11 Web PDF Press
11 2016 2016.01.14 Web PDF Press
10 2015 2015.01.09 Web PDF Press
9 2014 2014.01.12 Web PDF Press
8 2013 2012.10.30 Web PDF Press
7 2012 2012.01.05 Web PDF Press
6 2011 2011.09.27 Web PDF Press
5 2010 2010.01.04 Web PDF Press
4 2009     PDF  
3 2008     PDF  
2 2007     PDF  
1 2006     PDF  

 

 

 


 

 まるちゃんの情報セキュリティ気まぐれ日記

・2024.01.12 世界経済フォーラム (WEF) The Global Risks Report 2024 19th Edition グローバルリスク報告書2024

・2023.01.12 世界経済フォーラム (WEF) The Global Risks Report 2023 18th Edition グローバルリスク報告書2023

・2022.01.14 世界経済フォーラム (WEF) The Global Risks Report 2022 17th Edition - 2022年のグローバルリスクのトップは、気候変動への適応の失敗と社会的危機

・2021.01.21 世界経済フォーラム The Global Risks Report 2021 16th Edition - 世界は長期的リスクへの対応に目覚めるべきである

 

 

 

 

 

 

| | Comments (0)

2025.01.16

Five Eyes + ドイツ、オランダ、EU セキュア・バイ・デマンド: OT所有者・運用者がデジタル製品を選択する際の優先事項(2025.01.13)

こんにちは、丸山満彦です。

Five Eyes、ドイツ、オランダ、EUが共同で、OT所有者・運用者がデジタル製品を選択する際の優先事項についての文書を公表していますね...

文書がレターサイズで作成されていることから、米国が中心となって作成したのでしょうかね...

でウェブにはIC3から公表されているから、FBIが中心? 要約では、CISA and partnersなのでCISAか、、、

U.S. National Security Agency (NSA) 米国国家安全保障局(NSA)
U.S. Federal Bureau of Investigation (FBI)  米国連邦捜査局(FBI)
U.S. Environmental Protection Agency (EPA)  米国環境保護庁(EPA)
U.S. Transportation Security Administration (TSA)  米国運輸保安局(TSA)
Australian Signals Directorate’s Australian Cyber Security Centre (ASD’s ACSC)  オーストラリア信号局オーストラリアサイバーセキュリティセンター(ASD-ACSC)
Canadian Centre for Cyber Security (CCCS)  カナダサイバーセキュリティセンター(CCCS) 
Directorate General for Communications Networks, Content and Technology (DG CONNECT), European Commission 欧州委員会 コミュニケーションネットワーク、コンテンツおよび技術総局(DG CONNECT)
Germany’s Federal Office for Information Security (BSI)  ドイツ連邦情報セキュリティ局(BSI)
Netherlands’ National Cyber Security Centre (NCSC-NL)  オランダ国家サイバーセキュリティセンター(NCSC-NL)
New Zealand’s National Cyber Security Centre (NCSC-NZ)  ニュージーランド国立サイバーセキュリティセンター(NCSC-NZ) 
United Kingdom’s National Cyber Security Centre (NCSC-UK)
英国国家サイバーセキュリティセンター(NCSC-UK)

 

 

U.S. IC3

・2025.01.13 [PDF

 

20250116-64605

 

目次...

Summary 要約
Table of Contents 目次
Introduction 序文
Considerations for OT Product Selection OT 製品選択の考慮事項
Configuration Management 構成管理
Logging in the Baseline Product 基本製品へのログ記録
Open Standards オープン標準
Ownership 所有権
Protection of Data データ保護
Secure by Default セキュア・バイ・デフォルト
Secure Communications セキュア通信
Secure Controls セキュア制御
Strong Authentication 強力な認証
Threat Modeling 脅威モデリング
Vulnerability Management 脆弱性管理
Upgrade and Patch Tooling アップグレードとパッチのツール
Resources リソース
Contact Information 連絡先情報
Disclaimer 免責事項
Acknowledgements 謝辞

 

 

 

| | Comments (0)

2025.01.15

書籍 NISC編 サイバーセキュリティ関係法令Q&Aハンドブック

こんにちは、丸山満彦です。

商事法務から、「サイバーセキュリティ関係法令Q&Aハンドブック」内閣官房内閣サイバーセキュリティセンター(NISC)編が発刊されましたね。。。

Img_7843

 

これは、NISCの委員会で取りまとめたものを書籍化したものです。

https://security-portal.nisc.go.jp/guidance/law_handbook.html

 

私も作成に関わっていますが、 岡村委員長をはじめ、ワーキンググループの方、事務局がかなりご苦労をされてできたものです。。。

裁判例を含めて関連情報が厚いのが良いところですかね。。。そして、内閣官房謹製。。。

手元に1冊あると参考になることも多いし、PDFと違った良さもあるので、ぜひ1冊。。。

 

●2025.01.10「サイバーセキュリティ関係法令Q&Aハンドブック」内閣官房内閣サイバーセキュリティセンター(NISC)編

商事法務

全国官報販売協同組合

Amazon

e-hon

楽天book

 


まるちゃんの情報セキュリティ気まぐれ日記

・2023.09.26 内閣官房 NISC 関係法令Q&Aハンドブック Ver 2.0

・2020.03.03 NISC 「サイバーセキュリティ関係法令Q&Aハンドブック 」について

 

| | Comments (0)

世界経済フォーラム (WEF) 世界のサイバーセキュリティ概況 2025

こんにちは、丸山満彦です。

 

世界経済フォーラム (WEF)が世界のサイバーセキュリティ概況 2025を公表していましたね。。。調査は毎年アクセンチュアがおこなっていますね。。。

2022年はレジリエンスを、

2023年は地政学リスク・サプライチェーンを、

2024年は格差 (inequity) と新興技術 (Emerging technologie)を中心に置いていましたが、

2025年は、複雑性がテーマとなっていますね...

ただ、この複雑性は、地政学、スキルギャップ、サプライチェーン、AI・新興技術、規制、サイバー犯罪の高度化にその原因があるとしていますね。。。

 

World Economic Forum - Whitepaper

 

プレスリリース

・2025.01.13 Global Cybersecurity Outlook 2025 – Navigating Through Rising Cyber Complexities

 日本語...

・2025.01.13 <報告書発表>2025年のグローバルなサイバーセキュリティの展望を左右するサイバー空間の複雑化

  • 大規模な組織の54%が、サイバーレジリエンスの達成を阻む最大の障壁としてサプライチェーンの相互依存性を挙げています。
  • 地政学的な混乱はリスクに対する認識に影響を与え、CEOの3人に1人がサイバー諜報活動と機密情報の漏洩/知的財産の盗難を最大の懸念事項として挙げています。
  • 複雑性の増大は、サイバー空間に関する不平等をさらに悪化させ、先進国と新興国の格差を深め、セクター間の不均衡を拡大し、大規模な組織と小規模な組織の差を広げることになります。

 

 

・2025.01.13 Global Cybersecurity Outlook 2025

・[PDF] Global Cybersecurity Outlook 2025

20250114-104458

目次...

Foreword まえがき
Executive summary エグゼクティブサマリー
1 Understanding complexity in cyberspace 1 サイバー空間の複雑性を理解する
1.1 Major disparities and disruptions 1.1 大きな格差と混乱
1.2 The challenge for the year ahead 1.2 今年の課題
2 Decoding complexity 2 複雑性を解読する
2.1 The cyberthreat landscape 2.1 サイバー脅威の現状
2.2 Security in the Intelligent Age 2.2 インテリジェント時代のセキュリティ
2.3 Growing ecosystem interdependencies and risks 2.3 拡大するエコシステムの相互依存性とリスク
2.4 The state of cyber resilience 2.4 サイバーレジリエンシーの現状
3 Navigating complexity in cyberspace 3 サイバー空間の複雑性をナビゲートする
3.1 Introducing the economics of cybersecurity 3.1 サイバーセキュリティの経済学の紹介
Conclusion 結論
Appendix: Methodology 附属書:方法論
Contributors 協力者
Acknowledgements 謝辞
Endnotes 脚注

 

 

Key insights

Key insights 主な洞察
In a complex cyberspace characterized by geopolitical uncertainties, widening cyber inequity and sophisticated cyberthreats, leaders must adopt a security-first mindset. 地政学的な不確実性、拡大するサイバー格差、巧妙化するサイバー脅威といった特徴を持つ複雑なサイバー空間においては、リーダーはセキュリティを最優先する考え方を採用しなければならない。
While the 2024 edition of the Global Cybersecurity Outlook highlighted the growing inequity in cyberspace, this year’s report shines a light on the increasing complexity of the cyber landscape, which has profound and far-reaching implications for organizations and nations. 2024年版グローバル・サイバーセキュリティ・アウトルックでは、サイバー空間における格差の拡大が強調されていたが、今年のレポートでは、企業や国家に重大かつ広範な影響を及ぼすサイバー環境の複雑化に焦点が当てられている。
This complexity is driven by a series of compounding factors: この複雑性は、次のような複合的要因によってもたらされている。
・Escalating geopolitical tensions are contributing to a more uncertain environment. ・高まる地政学的な緊張は、より不確実な環境を生み出している。
・Increased integration of and dependence on more complex supply chains is leading to a more opaque and unpredictable risk landscape. ・より複雑なサプライチェーンの統合と依存の増加は、より不透明で予測不可能なリスクの状況につながっている。
・The rapid adoption of emerging technologies is contributing to new vulnerabilities as cybercriminals harness them effectively to achieve greater sophistication and scale. ・新興技術の急速な採用は、サイバー犯罪者がそれらを効果的に利用してより高度で大規模な攻撃を行うことで、新たな脆弱性を生み出す要因となっている。
・Simultaneously, the proliferation of regulatory requirements around the world is adding a significant compliance burden for organizations. ・同時に、世界中で規制要件が増加していることで、企業にとってコンプライアンスの負担が大幅に増大している。
All of these challenges are exacerbated by a widening skills gap, making it extremely challenging to manage cyber risks effectively. これらの課題はすべて、拡大するスキルギャップによってさらに悪化しており、サイバーリスクを効果的に管理することは極めて困難である。
Figure A: Factors compounding the complex nature of cybersecurity 図A:サイバーセキュリティの複雑性を高める要因
A_20250114152201
The growing complexity of cyberspace is exacerbating cyber inequity, widening the gap between large and small organizations, deepening the divide between developed and emerging economies, and expanding sectoral disparities.1 Some 35% of small organizations believe their cyber resilience is inadequate, a proportion that has increased sevenfold since 2022. By contrast, the share of large organizations reporting insufficient cyber resilience has nearly halved. サイバー空間の複雑化は、サイバーにおける不公平性を悪化させ、大企業と中小企業の格差を広げ、先進国と新興国の経済格差を深め、セクター間の格差を拡大させている。1 35%の中小企業が、自社のサイバーレジリエンスが不十分であると考えているが、この割合は2022年から7倍に増加している。一方、大企業でサイバーレジリエンスが不十分であると報告している割合はほぼ半減している。
Figure B: Organizations reporting insufficient cyber resilience 図B:サイバーレジリエンスが不十分であると報告した組織
B_20250114152201
This disparity in cyber resilience is further highlighted by regional differences in preparedness: while only 15% of respondents in Europe and North America lack confidence in their country’s ability to respond to major cyber incidents targeting critical infrastructure, this proportion rises to 36% in Africa and 42% in Latin America. このサイバーレジリエンスの格差は、地域ごとの対応能力の違いによってさらに浮き彫りになっている。欧州と北米では、重要なインフラストラクチャを標的とした重大なサイバーインシデントへの対応能力に自信がないと回答した割合は15%にとどまっているが、アフリカでは36%、中南米では42%に上っている。
The public sector is disproportionately affected, with 38% of respondents reporting insufficient resilience, compared to just 10% of medium-to-large private-sector organizations. This inequity extends to the cyber workforce, with 49% of public-sector organizations indicating they lack the necessary talent to meet their cybersecurity goals – an increase of 33% from 2024. 公共部門は不均衡な影響を受けており、回答者の38%がレジリエンシーの不足を報告しているのに対し、中規模から大規模の民間部門組織ではわずか10%にとどまっている。この不公平性はサイバー人材にも及び、公共部門組織の49%が、サイバーセキュリティ目標を達成するために必要な人材が不足していると回答しており、2024年から33%増加している。
The Global Cybersecurity Outlook 2025 report includes a deeper analysis of the most important drivers of complexity and provides valuable insights into the most pressing cyber challenges in the year ahead and their potential implications for executives. 「グローバル・サイバーセキュリティ・アウトルック2025」レポートでは、複雑性の最も重要な要因についてより深い分析を行い、今後1年間に最も差し迫ったサイバーセキュリティの課題と、経営陣にとっての潜在的な影響に関する貴重な洞察を提供している。
Figure C: Regional differences in cyber resilience 図C:サイバーレジリエンスにおける地域差
C
These are the key findings from this year’s report and the main trends that executives will need to navigate in 2025: 以下は、今年のレポートの主な調査結果と、2025年に経営陣が対応する必要がある主な傾向である。
Supply chain vulnerabilities are emerging as the top ecosystem cyber risk サプライチェーンの脆弱性が、生態系におけるサイバーリスクのトップとして浮上している
Of large organizations, 54% identified supply chain challenges as the biggest barrier to achieving cyber resilience. The increasing complexity of supply chains, coupled with a lack of visibility and oversight into the security levels of suppliers, has emerged as the leading cybersecurity risk for organizations. Key concerns include software vulnerabilities introduced by third parties and propagation of cyberattacks throughout the ecosystem. 大規模な組織の54%が、サイバーレジリエンスの達成を阻む最大の障壁としてサプライチェーンの課題を識別している。サプライチェーンの複雑化と、サプライヤーのセキュリティレベルに対する可視性と監督の不足が相まって、組織にとっての主要なサイバーセキュリティリスクとして浮上している。主な懸念事項には、サードパーティがもたらすソフトウェアの脆弱性や、生態系全体に広がるサイバー攻撃の伝播が含まれる。
Geopolitical tensions shape cybersecurity strategy 地政学的な緊張がサイバーセキュリティ戦略を形作る
Nearly 60% of organizations state that geopolitical tensions have affected their cybersecurity strategy. Geopolitical turmoil has also affected the perception of risks, with one in three CEOs citing cyber espionage and loss of sensitive information/intellectual property (IP) theft as their top concern, while 45% of cyber leaders are concerned about disruption of operations and business processes. ほぼ60%の企業が、地政学的な緊張がサイバーセキュリティ戦略に影響を与えたと述べている。地政学的な混乱はリスクの認識にも影響を与えており、3人に1人のCEOがサイバースパイ行為と機密情報/知的財産(IP)の盗難を最大の懸念事項として挙げている一方で、サイバーセキュリティのリーダーの45%は業務とビジネスプロセスの混乱を懸念している。
Figure D: The effects of geopolitical tensions on organizations' cybersecurity strategies 図D:地政学的な緊張が企業のサイバーセキュリティ戦略に与える影響
D_20250114152201
Rapid adoption of AI introduces new vulnerabilities AIの急速な導入が新たな脆弱性を生み出す
While 66% of organizations expect AI to have the most significant impact on cybersecurity in the year to come, only 37% report having processes in place to assess the security of AI tools before deployment. This reveals the paradox of the gap between the recognition of AI-driven cybersecurity risks and the rapid implementation of AI without the necessary security safeguards to ensure cyber resilience. 今後1年間にAIがサイバーセキュリティに最も大きな影響を与えると予測する企業は66%に上るが、AIツールの展開前にそのセキュリティをアセスメントするプロセスを導入していると回答した企業は37%にとどまった。これは、AIがもたらすサイバーセキュリティリスクに対する認識と、サイバーレジリエンシーを確保するための必要なセキュリティ対策を講じることなくAIを急速に導入していることのギャップという逆説を明らかにしている。
Figure E: Cybersecurity vulnerabilities anticipated in 2025 図 E: 2025年に予想されるサイバーセキュリティの脆弱性
E
Generative AI is augmenting cybercriminal capabilities, contributing to an uptick in social engineering attacks 生成的AIがサイバー犯罪者の能力を増強し、ソーシャルエンジニアリング攻撃の増加に寄与している
Some 72% of respondents report an increase in organizational cyber risks, with ransomware remaining a top concern. Nearly 47% of organizations cite adversarial advances powered by generative AI (GenAI) as their primary concern, enabling more sophisticated and scalable attacks. In 2024 there was a sharp increase in phishing and social engineering attacks, with 42% of organizations reporting such incidents. 回答者の約72%が組織のサイバーリスクの増加を報告しており、ランサムウェアは依然として最大の懸念事項となっている。 約47%の組織が、より洗練された拡張可能な攻撃を可能にする生成的AI(GenAI)による敵対的な進歩を最大の懸念事項として挙げている。 2024年には、フィッシングやソーシャルエンジニアリング攻撃が急増し、42%の組織がそのようなインシデントを報告している。
Regulations bolster cyber resilience, yet their fragmentation introduces significant compliance challenges 規制はサイバーレジリエンシーを強化するが、その断片化はコンプライアンスに大きな課題をもたらす
Regulations are increasingly seen as an important factor for improving baseline cybersecurity posture and building trust. However, their proliferation and disharmony are creating significant challenges for organizations, with more than 76% of chief information security officers (CISOs) at the World Economic Forum’s Annual Meeting on Cybersecurity in 2024 reporting that fragmentation of regulations across jurisdictions greatly affects their organizations’ ability to maintain compliance. 規制は、サイバーセキュリティのベースラインを改善し、信頼を構築するための重要な要素としてますます認識されるようになってきている。しかし、その増殖と不調和は、組織にとって大きな課題を生み出しており、2024年の世界経済フォーラムのサイバーセキュリティに関する年次総会では、76%以上の最高情報セキュリティ責任者(CISO)が、管轄区域間の規制の断片化がコンプライアンスを維持する組織の能力に大きな影響を与えていると報告している。
Organizations are grappling with a shortage of critical cyber talent 企業は、重要なサイバー人材の不足に苦慮している
Since 2024, the cyber skills gap has increased by 8%, with two out of three organizations reporting moderate-to-critical skills gaps, including a lack of essential talent and skills to meet their security requirements. Furthermore, only 14% of organizations are confident that they have the people and skills they need today. 2024年以降、サイバー人材の不足は8%増加し、3社中2社が、セキュリティ要件を満たすために必要な人材やスキルが不足しているなど、中程度から深刻な人材不足を報告している。さらに、現在必要な人材とスキルを確保できていると自信を持っている企業は、わずか14%にとどまっている。

 

序文とエグゼクティブサマリー

 

Preface 序文
| Jeremy Jurgens Managing Director, World Economic Forum | ジェレミー・ユージンズ 世界経済フォーラム マネージング・ディレクター
| Paolo Dal Cin Global Security Lead, Accenture | パオロ・ダル・チン アクセンチュア グローバル・セキュリティ・リード
Following decades of relative stability, the world today is marked by increased geopolitical conflicts. The fallout of this turbulence in the digital realm – the growing prowess of cybercriminals, rapid advances in emerging technologies and widening cyber capabilities – have led to a cyberspace that is more complex than ever before. Against this backdrop, the Global Cybersecurity Outlook serves as an indispensable tool to help leaders navigate such complexity and identify essential actions to build resilient ecosystems. 相対的な安定を保っていた数十年を経て、今日の世界は地政学的な対立の激化が顕著である。 サイバー犯罪者の巧妙化、新興技術の急速な進歩、サイバー能力の拡大といったデジタル領域におけるこの混乱の余波により、かつてないほど複雑なサイバー空間が生み出されている。 このような背景から、グローバル・サイバーセキュリティ・アウトルックは、リーダーがこの複雑性を乗り越え、レジリエントなエコシステムを構築するために不可欠な行動を識別する上で欠かせないツールとなっている。
Last year’s report brought to the fore the prevailing inequity between the cyber haves and have-nots. Despite increased executive awareness of cybersecurity risks, the complexity in cyberspace is further exacerbating cyber inequity as resilient organizations pull ahead, while others struggle with limited resources. Amid increasingly interdependent supply chains, this cyber inequity is resulting in systemic points of failure with significant consequences for the overall resilience of the ecosystem. 昨年のレポートでは、サイバーセキュリティの恩恵を受けている者と受けていない者との間に存在する不公平性が浮き彫りになった。経営陣のサイバーセキュリティリスクに対する認識が高まっているにもかかわらず、サイバー空間における複雑性は、レジリエンスの高い組織が先行する一方で、リソースが限られている他の組織が苦戦を強いられるという形で、サイバー上の不公平性をさらに悪化させている。相互依存がますます高まっているサプライチェーンの中で、このサイバー上の不公平性は、エコシステムの全体的なレジリエンスに重大な影響を及ぼすシステム上の障害につながっている。
The transformative potential of AI technologies presents both unprecedented risks and unmatched opportunities for cybersecurity. As organizations race to adopt AI, cybercriminals are moving at breakneck speed to exploit vulnerabilities while enhancing the efficacy of their methods. Cyber defenders, too, are leaving no stone unturned in harnessing the potential of these technologies to shift the balance in this growing AI arms race. AIテクノロジーの変革の可能性は、サイバーセキュリティに前例のないリスクと比類のない機会の両方をもたらす。企業がAIの導入を急ぐ中、サイバー犯罪者たちはその手法の有効性を高めながら、脆弱性を悪用するために猛スピードで動いている。サイバー防衛側も、このテクノロジーの潜在能力を活用して、この拡大するAI軍拡競争のバランスを変えるために、あらゆる手段を講じている。
Looking to the future, the level of complexity shows no signs of abating. In a borderless cyberspace, greater collaboration between actors in the public and private sectors is crucial for safeguarding the benefits of digitalization for all. This is a call to action, and the time to act is now. 将来を見据えると、複雑性のレベルは弱まる兆しを見せていない。国境のないサイバー空間において、デジタル化の恩恵をすべての人々が享受できるようにするためには、官民の関係者間のより緊密な連携が不可欠である。これは行動を促す呼びかけであり、行動を起こすべき時が今である。
Executive Summary エグゼクティブサマリー
In a complex cyberspace characterized by geopolitical uncertainties, widening cyber inequity and sophisticated cyber threats, leaders must adopt a security-first mindset.< 地政学上の不実性、サイバー格差の拡大、巧妙化するサイバー脅威といった特徴を持つ複雑なサイバー空間においては、リーダーはセキュリティを最優先する考え方を採用しなければならない。
While the 2024 edition of the Global Cybersecurity Outlook highlighted the growing inequity in cyberspace, this year’s report shines a light on the increasing complexity of the cyber landscape, which has profound and far-reaching implications for organizations and nations. This complexity is driven by a series of compounding factors: 2024年版グローバル・サイバーセキュリティ・アウトルックでは、サイバー空間における不平等性の拡大が強調されていたが、今年のレポートでは、企業や国家に重大かつ広範な影響を及ぼすサイバー環境の複雑化に焦点を当てている。この複雑性は、次のような複合的要因によってもたらされている。
– Escalating geopolitical tensions are contributing to a more uncertain environment. – 地政学的な緊張の高まりが、より不確実性の高い環境を生み出している。
– Increased integration of and dependence on more complex supply chains is leading to a more opaque and unpredictable risk landscape.
より複雑なサプライチェーンの統合と依存の増加は、より不透明で予測不可能なリスク環境につながっている。
– The rapid adoption of emerging technologies is contributing to new vulnerabilities as cybercriminals harness them effectively to achieve greater sophistication and scale.
新興技術の急速な採用は、サイバー犯罪者がそれらを効果的に利用して巧妙さと規模を拡大しているため、新たな脆弱性を生み出す要因となっている。
– Simultaneously, the proliferation of regulatory requirements around the world is adding a significant compliance burden for organizations.
同時に、世界中で規制要件が拡大しているため、企業にとってコンプライアンスの負担が大幅に増大している。
All of these challenges are exacerbated by a widening skills gap, making it extremely challenging to manage cyber risks effectively. これらの課題はすべて、スキルギャップの拡大によってさらに深刻化しており、サイバーリスクを効果的に管理することは非常に困難になっている。

 

インフォグラフ...

Infographics and shareables

 

ビデオ...

3 things to know about cybersecurity in 2025

 

ラジオ...

Radio Davos Global Cybersecurity Outlook: the risks we all face and how to fight back

 

 

 ・

Geopolitical tensions, AI and more are complicating the cyberspace. Here's what to know 地政学的な緊張、AIなどにより、サイバー空間は複雑化している。知っておくべきこと
・The cyberspace is becoming more complex, according to the World Economic Forum’s Global Cybersecurity Outlook 2025. ・世界経済フォーラムの「グローバル・サイバーセキュリティ・アウトルック2025」によると、サイバー空間はより複雑化している。
・Geopolitical tensions, the rapid adoption of emerging technologies and increased reliance on interdependent supply chains are key factors contributing to growing complexity. ・地政学的な緊張、新興技術の急速な普及、相互依存のサプライチェーンへの依存度の増加が、複雑化の主な要因となっている。
・Cyberspace complexity is exacerbating cyber inequity, widening the gap between large and small organizations. ・サイバー空間の複雑化は、サイバー上の不公平を悪化させ、大企業と中小企業の格差を広げている。
The global economy is operating in an increasingly complex cyberspace, according to the World Economic Forum’s Global Cybersecurity Outlook 2025, with rapidly advancing technologies and evolving regulations creating new challenges and opportunities. 世界経済フォーラムの「グローバル・サイバーセキュリティ・アウトルック2025」によると、世界経済は、急速に進化するテクノロジーと進化する規制により、新たな課題と機会が生み出される、ますます複雑化するサイバー空間で機能している。
"Cybersecurity is entering an era of unprecedented complexity," the report states, adding that the "stakes have never been higher." 「サイバーセキュリティは、かつてないほど複雑な時代を迎えている」と報告書åは述べ、「リスクはかつてないほど高まっている」と付け加えている。
The report—released ahead of the Forum's Annual Meeting in Davos, Switzerland—draws on a survey of industry experts and identifies the various trends complicating the cyberspace. スイスのダボスで開催される世界経済フォーラムの年次総会に先立って発表されたこの報告書は、業界専門家の調査を基に、サイバー空間を複雑化するさまざまな傾向を識別している。
Here are six of the key issue areas: 以下に、主な問題領域の6つを挙げる。
1. Geopolitical tensions 1. 地政学上の緊張
The Global Cybersecurity Outlook 2025 found that a third of CEOs are concerned about cyber espionage and loss of sensitive information as a result of ongoing global conflicts. Global Cybersecurity Outlook 2025(グローバル・サイバーセキュリティ・アウトルック2025)』では、世界的な紛争の継続により、3分の1のCEOがサイバースパイ行為や機密情報の損失を懸念していることが分かった。
Moreover, geopolitical tensions have affected the cybersecurity strategy for nearly 60% of organizations. While some have modified their insurance policies, a significant portion have changed vendors, trading policies, or ceased business altogether in certain countries. さらに、地政学上の緊張は、ほぼ60%の組織のサイバーセキュリティ戦略に影響を与えている。一部の企業は保険契約を変更したが、かなりの割合の企業はベンダーを変更したり、取引方針を変更したり、特定の国での事業を完全に停止したりしている。
"Escalating geopolitical tensions and increasingly sophisticated cyberthreats pose significant risks to critical infrastructure, which depends on networks of interconnected devices and legacy systems," the report notes. 「高まる地政学上の緊張とますます巧妙化するサイバー脅威は、相互接続されたデバイスやレガシーシステムからなるネットワークに依存する重要なインフラに重大なリスクをもたらす」と、この報告書は指摘している。
1_20250114160901
2. Rapid adoption of AI 2. AIの急速な導入
The report finds a mismatch between organizations’ recognition of cybersecurity risks related to AI and how rapidly AI tools are being adopted without the necessary safeguards. このレポートでは、AIに関連するサイバーセキュリティリスクに対する組織の認識と、必要な安全対策が講じられないまま急速にAIツールが導入されている現状との間にミスマッチが生じていることが指摘されている。
Two-thirds of companies anticipate AI impacting cybersecurity in 2025, but only a third (37%) say they have the requisite tools to assess related security risks. This issue is even more pronounced in smaller organizations, where 69% lack adequate safeguards for the secure deployment of AI technologies. 2025年にはAIがサイバーセキュリティに影響を与えると予測している企業は3分の2に上るが、関連するセキュリティリスクのアセスメントに必要なツールを保有していると回答した企業は3分の1(37%)にとどまった。この問題は小規模な組織でさらに顕著であり、69%がAI技術の安全な展開に必要な安全対策を十分に講じられていない。
"The security of AI systems (or lack thereof) can have far-reaching implications given the increasing adoption of AI," said David Koh, Commissioner of Cybersecurity and Chief Executive, Cyber Security Agency of Singapore. "We must cooperate and work together to secure AI, even in the face of ongoing geopolitical tensions and strategic competition in critical and emerging technologies." 「AIシステムのセキュリティ(またはセキュリティの欠如)は、AIの採用が増加していることを踏まえると、広範囲にわたる影響を及ぼす可能性がある」と、サイバーセキュリティ担当委員であり、シンガポールサイバーセキュリティ庁の最高経営責任者(CEO)であるデビッド・コー氏は述べた。「地政学的な緊張や、重要技術や新興技術における戦略的競争が続いている状況であっても、AIのセキュリティを確保するために協力し、共に取り組む必要がある」
3. Cyber skills gap 3. サイバースキルギャップ
The sector is currently lacking up to 4.8 million cybersecurity professionals. Only 14% of organizations say they have the skilled people they need in the current cyber landscape, while the report finds the cyber skills gap increased by 8% during 2024, predominantly in the public sector. 現在、この分野では最大480万人ものサイバーセキュリティの専門家が不足している。現在のサイバー環境において必要なスキルを持つ人材を確保できていると回答した組織はわずか14%にとどまり、この報告書では、2024年には主に公共部門でサイバースキルギャップが8%増加したことが明らかになっている。
Furthermore, nearly half (49%) of public-sector respondents indicated they do not have the necessary workforce to meet their cybersecurity objectives. さらに、公共部門の回答者のほぼ半数(49%)が、サイバーセキュリティの目標を達成するために必要な人材が確保できていないと回答している。
"It’s critical we help close the growing cyber skills gap with a focus on training, reskilling, recruiting and retaining cybersecurity talent," said Chuck Robbins, Chair and Chief Executive Officer of Cisco. 「サイバーセキュリティ人材の育成、再教育、採用、定着に重点的に取り組むことで、拡大するサイバースキルギャップを埋めることが重要です」と、シスコの会長兼最高経営責任者(CEO)であるチャック・ロビンス氏は述べている。
2_20250114160901
4. Supply chain interdependencies 4. サプライチェーンの相互依存
Over half (54%) of large organization cited complex supply chains as the biggest barrier to achieving cyber resilience. 大規模な組織の半数以上(54%)が、サイバーレジリエンスの達成を阻む最大の障壁として複雑なサプライチェーンを挙げている。
Moreover, concerns about software vulnerabilities, supply chain cyberattacks and limited visibility into third-party security are increasing, with 48% of Chief Information Security Officers (CISOs) reporting difficulties in enforcing security standards and managing the risks associated with reliance on critical providers. さらに、ソフトウェアの脆弱性、サプライチェーンへのサイバー攻撃、サードパーティのセキュリティに対する可視性の限界に対する懸念が高まっており、最高情報セキュリティ責任者(CISO)の48%が、セキュリティ標準の実施や、重要なプロバイダへの依存に伴うリスクの管理に困難を感じていると報告している。
"Smart adversaries exploit third-party vulnerabilities, making collaboration essential," said George Kurtz, Founder and CEO of CrowdStrike. 「賢い敵はサードパーティの脆弱性を悪用するため、コラボレーションが不可欠です」と、CrowdStrikeの創設者兼CEOであるジョージ・カーツ氏は述べている。
5. Cybercrime sophistication 5. サイバー犯罪の巧妙化
While ransomware remains a top concern for organizations, generative AI tools are reshaping the cybercrime landscape by enabling criminals to refine their methods as well as automate and personalize their techniques. Successful phishing, vishing, deepfake and other social engineering attacks were experienced by 42% of organizations during 2024, the report finds. ランサムウェアが組織にとって依然として最大の懸念事項である一方で、生成的AIツールは、犯罪者がその手法を洗練させ、技術を自動化およびパーソナライズすることを可能にすることで、サイバー犯罪の状況を再形成している。2024年中に、42%の組織がフィッシング、ヴィッシング、ディープフェイク、その他のソーシャルエンジニアリング攻撃に成功したことが、このレポートで明らかになった。
"As our digital footprints widen, so does the potential attack surface for nefarious actors," said Ivan John E Uy, Secretary of the Department of Information and Communications Technology in the Philippines. 「デジタル上の足跡が広がるにつれ、悪意ある行為者にとっての攻撃対象領域も拡大する」と、フィリピンの情報通信技術省のイヴァン・ジョン・ユー長官は述べた。
6. Regulatory requirements 6. 規制要件
While everyone agrees guardrails are essential in cyberspace, there is no agreement on which guardrails should be used. The proliferation of regulations – and the disharmony between them – is creating further challenges for companies. サイバー空間におけるガードレールは不可欠であるという点では誰もが同意するが、どのガードレールを使用すべきかについては合意が得られていない。規制の増加と、規制間の不調和が、企業にとってさらなる課題を生み出している。
Almost 70% of survey respondents admitted to finding regulations too complex or convoluted, while over three-quarters of CISOs at the Annual Meeting on Cybersecurity stated that regulatory confusion was greatly impacting their organizations’ ability to maintain compliance. 調査回答者のほぼ70%が、規制が複雑すぎたり、わかりにくすぎたりすると認めている一方で、サイバーセキュリティに関する年次総会に出席したCISOの4分の3以上が、規制の混乱がコンプライアンスの維持能力に大きな影響を与えていると述べている。
20250114-155552
How to navigate cybersecurity complexity in 2025? 2025年のサイバーセキュリティの複雑性をどう乗り切るか?
The compounding factors noted above contribute to the growing complexity and unpredictability of the cyber landscape, impacting organizations in several ways. 上述の複合的要因は、サイバー環境の複雑性と予測不可能性の増大に寄与し、さまざまな形で組織に影響を与えている。
Firstly, they exacerbate cyber inequity, weakening ecosystem resilience by deepening the divide between organizations with the resources and means to adapt and those that struggle to keep up. This imbalance affects the broader ecosystem's resilience, as larger organizations often rely on smaller, less mature suppliers, meaning any disruptions in their operations can ripple throughout the entire supply chain. まず、サイバーセキュリティにおける不公平性が悪化し、適応するためのリソースや手段を持つ組織と、対応に苦慮する組織との格差が深まることで、エコシステムのレジリエンスが弱体化する。この不均衡は、より大規模な組織が、小規模で成熟度の低いサプライヤーに依存していることが多いため、より広範なエコシステムのレジリエンスに影響を及ぼす。つまり、それらの組織の業務に混乱が生じると、サプライチェーン全体に波及する可能性がある。
Secondly, the rising complexity heightens the demand for specialized cybersecurity skills, further widening the skills gap. Staying abreast of technological advances necessitates expertise that is increasingly sought after in cybersecurity, while at the same time, the pressure on already overstretched security teams continues to mount. 第二に、複雑性の増大により、サイバーセキュリティの専門スキルに対する需要が高まり、スキルギャップがさらに拡大する。技術の進歩に遅れずについていくためには、サイバーセキュリティにおいてますます求められる専門知識が必要となるが、一方で、すでに過剰な負担を強いられているセキュリティチームへのプレッシャーは増大し続けている。
These challenges demand a reassessment of cybersecurity strategies at both organizational and ecosystem levels. Leaders must view cybersecurity as a strategic investment, ensuring resilience against new threats and recognizing it as a collective responsibility across all organizations. これらの課題に対処するには、組織レベルおよびエコシステムレベルの両方でサイバーセキュリティ戦略を再評価する必要がある。リーダーは、サイバーセキュリティを戦略的投資と捉え、新たな脅威に対するレジリエンスを確保し、すべての組織に共通する責任として認識しなければならない。
Strong leadership is essential, focusing not just on technical aspects but also on the economic implications of cyber risks. A unified approach between business and cyber leaders is critical to managing the growing complexity of cybersecurity. 強力なリーダーシップは不可欠であり、技術的な側面だけでなく、サイバーリスクの経済的な影響にも焦点を当てる必要がある。ビジネスリーダーとサイバーセキュリティリーダーが一体となったアプローチは、複雑化するサイバーセキュリティの管理に不可欠である。

 

 

 

過去分...

20 2025 2025.01.13 Web PDF Home
19 2024 2024.01.11 Web PDF Home
18 2023 2023.01.11 Web PDF Home
17 2022 2022.01.11 Web PDF Press
16 2021 2021.01.19 Web PDF Press
15 2020 2020.01.15 Web PDF Press
14 2019 2019.01.15 Web PDF Press
13 2018 2018.01.17 Web PDF Press
12 2017 2017.01.11 Web PDF Press
11 2016 2016.01.14 Web PDF Press
10 2015 2015.01.09 Web PDF Press
9 2014 2014.01.12 Web PDF Press
8 2013 2012.10.30 Web PDF Press
7 2012 2012.01.05 Web PDF Press
6 2011 2011.09.27 Web PDF Press
5 2010 2010.01.04 Web PDF Press
4 2009     PDF  
3 2008     PDF  
2 2007     PDF  
1 2006     PDF  

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.01.12 世界経済フォーラム (WEF) 世界のサイバーセキュリティ概況 2024

・2023.03.09 世界経済フォーラム (WEF) 世界のサイバーセキュリティ概況 2023 (2023.01.18)

・2022.01.20 世界経済フォーラム (WEF) 世界のサイバーセキュリティ概況 2022

 

Global Risks Report

・2024.01.12 世界経済フォーラム (WEF) The Global Risks Report 2024 19th Edition グローバルリスク報告書2024

・2023.01.12 世界経済フォーラム (WEF) The Glo bal Risks Report 2023 18th Edition グローバルリスク報告書2023

・2022.01.14 世界経済フォーラム (WEF) The Global Risks Report 2022 17th Edition - 2022年のグローバルリスクのトップは、気候変動への適応の失敗と社会的危機

・2021.01.21 世界経済フォーラム The Global Risks Report 2021 16th Edition - 世界は長期的リスクへの対応に目覚めるべきである

| | Comments (0)

2025.01.14

ドイツ BSI 量子コンピュータ開発の現状 (Ver2.1) (2025.01.02)

こんにちは、丸山満彦です。

ドイツBSIの量子コンピュータ開発の現状についての報告書の紹介です...

現在のバージョンは2.1です...

 

Bundesamt für Sicherheit in der Informationstechnik; BSI

・2025.01.02 Studie: Entwicklungsstand Quantencomputer Version 2.1

Studie: Entwicklungsstand Quantencomputer Version 2.1 研究:量子コンピュータ開発の現状 バージョン2.1
This study discusses the current state of affairs in the theoretical aspects and physical implementation of quantum computing, with a focus on applications in cryptanalysis. It is designed to be an orientation for scientists with a connection to one of the fields involved—such as mathematicians, computer scientists. These will find the treatment of their own field slightly superficial but benefit from the discussion in the other sections. The executive summary and the conclusions to each chapter provide actionable information to decision makers. 本研究では、暗号解読への応用に焦点を当て、量子コンピューティングの理論的側面と物理的実装における現状について論じている。本書は、数学者やコンピューター科学者など、関連分野に携わる科学者向けの入門書として作成されている。これらの科学者にとっては、自身の専門分野の取り扱いはやや表面的に感じられるかもしれないが、他のセクションの議論から有益な情報を得られるだろう。各章のエグゼクティブサマリーと結論は、意思決定者にとって実行可能な情報を提供している。

・[PDF] Status of quantum computer development - Entwicklungsstand Quantencomputer Ver.2.1

20250114-40938

 

 

The status of quantum computer development

The status of quantum computer development 量子コンピュータ開発の現状
The aim of this study is to assess the state of development of current technologies for the realisation of a cryptographically relevant quantum computer and cryptographically relevant quantum algorithms. 本研究の目的は、暗号に関連する量子コンピュータおよび暗号に関連する量子アルゴリズムを実現するための現在のテクノロジーの開発状況をアセスメントすることである。
Today, the security of digital infrastructures is largely based on public-key cryptography (also known as "asymmetric cryptography"). This in turn is essentially based on the assumed difficulty of certain mathematical problems, for example the factorisation problem or the discrete logarithm problem (on elliptic curves). According to the current state of knowledge, the common public-key cryptography used today cannot be broken with classical computers. However, the situation will change fundamentally when universal quantum computers of sufficient performance are available. Already in 1994, the mathematician Peter Shor published quantum algorithms, which can efficiently solve the mathematical problems mentioned above. Other quantum algorithms such as Grover's search algorithm and Simon's algorithm will have implications for symmetric cryptography, in particular for key lengths and operating modes. In recent years, a number of additional algorithms for the cryptanalysis of (asymmetric) protocols have been presented which can also be implemented on so-called NISQ (Noisy Intermediate-Scale Quantum) computers. 今日、デジタルインフラのセキュリティは、主に公開鍵暗号(非対称暗号とも呼ばれる)に基づいている。公開鍵暗号は、因数分解問題や離散対数問題(楕円曲線上の)などの特定の数学的問題の難しさを前提としている。現在の知識水準では、現在一般的に使用されている公開鍵暗号は、従来のコンピュータでは解読できない。しかし、十分な性能を備えた汎用量子コンピュータが利用可能になれば、状況は根本的に変化する。1994年には、数学者のピーター・ショアが、上述の数学的問題を効率的に解決できる量子アルゴリズムを発表している。 グーバーの探索アルゴリズムやサイモンのアルゴリズムなどの他の量子アルゴリズムは、対称暗号、特に鍵の長さや動作モードに影響を与えることになる。近年では、(非対称)プロトコルの暗号解読のためのアルゴリズムがいくつか発表されており、これらはいわゆるNISQ(ノイジー・インターミディエイト・スケール・クアンタム)コンピューターにも実装可能である。
The central challenge in the development of quantum computers is their susceptibility to errors. Quantum systems are very sensitive to disturbances and therefore require an elaborate error correction, which is called quantum error correction (QEC). Currently realized quantum computers, where errors are not corrected (and only mitigated by hardware-related methods if necessary) are called Noisy Intermediate Scale Quantum (NISQ) computers. These are considered an intermediate stage on the way to fault-tolerant and universally programmable quantum computers. Here, due to the error probability, only limited algorithmic depth is available. Creative possibilities stemming from the inherent degrees of freedom of the hardware and alternative programming paradigms arise when developing algorithms for NISQ computers. The resulting solutions are generally heuristic in nature and lack a mathematical proof of convergence or a resource analysis. This is in particular the case for algorithms in the context of cryptoanalysis of (asymmetric) schemes. 量子コンピュータの開発における最大の課題は、エラーに対する脆弱性である。量子システムは外乱に対して非常に敏感であるため、精巧なエラー訂正が必要であり、これは量子エラー訂正(QEC)と呼ばれる。現在実現されている量子コンピュータは、エラーが訂正されず(必要に応じてハードウェア関連の方法で緩和されるのみ)、ノイズ中規模量子(NISQ)コンピュータと呼ばれる。これらは、フォールトトレランスで汎用的なプログラミングが可能な量子コンピュータへの中間段階とみなされている。エラー確率があるため、利用可能なアルゴリズムの深さは限られている。NISQコンピュータ用のアルゴリズムを開発する際には、ハードウェアに固有の自由度と代替プログラミングパラダイムから生じる創造的な可能性が生まれる。その結果得られるソリューションは、一般的に発見的な性質のものであり、収束の数学的証明やリソース分析を欠いている。これは特に、(非対称)スキームの暗号解読に関するアルゴリズムの場合に当てはまる。
Evaluation schemes in the study 研究における評価スキーム
In the first version of the study, an evauation model was developed to categorise quantum computing technologies. It is shown in the following figure. 研究の最初のバージョンでは、量子コンピューティング技術を分類するための評価モデルが開発された。次の図に示されている。
20250114-42858
Figure 1: Levels of development towards a fault-tolerant quantum computerSource: Federal Office for Information Security 図1:フォールトトレラント量子コンピューターの開発レベル出典:連邦情報セキュリティ局
In version 2.0 of the study, a separate evaluation scheme is introduced which allows further consideration of the field of NISQ algorithms. We find that these algorithms often belong to the leftmost branch of Figure 2 while, in contrast, the algorithms by Shor mentioned above fit into the rightmost branch. この研究のバージョン2.0では、NISQアルゴリズムの分野をさらに検討するための、別の評価スキームが導入されている。これらのアルゴリズムは、図2の最も左側の枝に属することが多いことが分かった。一方、前述のショアによるアルゴリズムは、最も右側の枝に属する。
20250114-42819  
Figure 2: Layered evaluation scheme for quantum algorithms based on fault-tolerant quantum computing (right) and NISQ (left)Source: Federal Office for Information Security 図2:フォールトトレラント量子コンピューティングに基づく量子アルゴリズムの階層評価スキーム(右)とNISQ(左)出典:連邦情報セキュリティ局
To analyse the state of development of cyptographically relevant quantum computing requires the joint consideration of hardware and algorithms, as illustrated in the following figure. 暗号に関連する量子コンピューティングの開発状況を分析するには、次の図に示されているように、ハードウェアとアルゴリズムの両方を考慮する必要がある。
3_20250114042701
Figure 3: Quantum computing dependency graph between algorithms and hardwareSource: Federal Office for Information Security 図3:アルゴリズムとハードウェア間の量子コンピューティング依存グラフ出典:連邦情報セキュリティ局
Current state (Version 2.1) 現状(バージョン2.1
The current technologies identified in the study are categorised as follows according to the above evaluation scheme. 研究で識別された現在の技術は、上記の評価スキームに従って以下のように分類される。
4_20250114042701
Figure 4: Evaluation of the main platforms following the developed schemeSource: Federal Office for Information Security 図4:開発されたスキームに基づく主要プラットフォームの評価出典:連邦情報セキュリティ局
Looking ahead, the conclusion of the study is that quantum computing is making steady progress towards cryptanalytic relevance according to the reliable mainstream (fault-tolerant (improved) Shor algorithm, executed either on a superconducting system with the surface code or an ion-based system with the color code). Major roadblocks in this scenario were resolved in 2024, bringing us a lot closer to this goal even without large disruptions. Our conservative estimate is that cryptographically relevant quantum computers are likely to be available within 16 years. 今後の見通しとして、この研究の結論は、量子コンピューティングは、信頼性の高い主流(フォールトトレラント(改善された)ショア・アルゴリズム、表面コードを使用した超伝導システムまたはカラーコードを使用したイオンベースのシステム)に従って、暗号解読に関連するものとして着実に進歩しているということである。このシナリオにおける主な障害は2024年に解決され、大きな混乱がなくてもこの目標にかなり近づくことになる。 保守的な予測では、暗号解読に関連する量子コンピュータは16年以内に利用可能になる可能性が高い。
Moreover, there are now a plethora of new developments in error correction and mitigation as well as hardware with the large progress in neutral atoms. A lot more can move and surprise, and most of possible disruptive results in this context could accelerate the development to below a decade.  さらに、中性原子の分野では大きな進歩を遂げたハードウェアだけでなく、エラー修正や緩和に関する新たな開発も数多く行われている。今後、さらに多くのことが可能になり、驚くようなことが起こる可能性もある。この文脈における破壊的な結果のほとんどは、開発を10年未満に加速させる可能性がある。
Regarding NISQ algorithms, the study currently concludes that the limited evidence available does not yet permit a conclusive assessment. However, it makes a cautious assumption of low relevance for cryptanalysis. NISQアルゴリズムに関しては、現在、入手可能な限られた証拠では、まだ決定的なアセスメントを行うことはできないという結論に達している。しかし、暗号解読との関連性は低いという慎重な想定は行っている。
Download the latest version 最新バージョンのダウンロード
Study: Status of quantum computer development V2.1 研究:量子コンピュータ開発の現状 V2.1
Study: Status of quantum computer development (executive summary in German) V2.1 研究:量子コンピュータ開発の現状(エグゼクティブサマリー(ドイツ語))V2.1
Download of older versions 旧バージョンのダウンロード
Study: Status of quantum computer development V2.0 研究:量子コンピュータ開発の現状 V2.0
Study: Status of quantum computer development (executive summary in German) V2.0 研究:量子コンピュータ開発の現状(エグゼクティブサマリー(ドイツ語))V2.0
Study: Status of quantum computer development V1.2 研究:量子コンピュータ開発の現状 V1.2
Study: Status of quantum computer development (executive summary in German) V1.2 研究:量子コンピュータ開発の現状(エグゼクティブサマリー(ドイツ語))V1.2
Study: Status of quantum computer development V1.1 研究:量子コンピュータ開発の現状 V1.1
Study: Status of quantum computer development (executive summary in German) V1.1 研究:量子コンピュータ開発の現状(エグゼクティブサマリー(ドイツ語))V1.1
Study: Status of quantum computer development V1.0 研究:量子コンピュータ開発の現状 V1.0
Study: Status of quantum computer development (executive summary in German) V1.0 研究:量子コンピュータ開発の現状(エグゼクティブサマリー(ドイツ語))V1.0

 

 

 目次...

Introduction 序文
Index of Figures 図表一覧
Index of Tables 表一覧
PART I: Synopsis and introduction 第1部:概要と序文
1 Deutsche Zusammenfassung 1 ドイツ語要約
1.1 Was ist ein Quantencomputer? 1.1 量子コンピュータとは何か?
1.2 Relevanz von Quantencomputern für die Kryptoanalyse 1.2 暗号解読における量子コンピュータの重要性
1.3 Hardware und Algorithmen für Quantencomputer 1.3 量子コンピュータのハードウェアとアルゴリズム
1.4 Jüngste Entwicklungen 1.4 最新の進展
1.5 Fazit 1.5 結論
2 Synopsis 2 概要
2.1 Basic idea 2.1 基本概念
2.2 Hardware platforms 2.2 ハードウェアプラットフォーム
2.2.1 Global categories 2.2.1 グローバルカテゴリー
2.3 Algorithmic goals 2.3 アルゴリズムの目標
2.4 Computational models 2.4 計算モデル
2.5 Evaluation along computational models 2.5 計算モデルに沿った評価
2.6 Evaluation of platforms 2.6 プラットフォームの評価
2.6.1 Trapped ions 2.6.1 トラップイオン
2.6.2 Superconducting circuits 2.6.2 超伝導回路
2.6.3 Neural atoms 2.6.3 ニューラルアトム
2.6.4 Semiconductors 2.6.4 半導体
2.6.5 Photonic platforms 2.6.5 フォトニックプラットフォーム
2.6.6 State of the art 2.6.6 現在の技術水準
2.7 Global activities and potential for development 2.7 グローバルな活動と開発の可能性
2.8 Risks 2.8 リスク
2.9 Recent developments 2.9 最近の進展
2.10 Conclusions 2.10 結論
3 Evaluation systems for quantum hardware and quantum algorithms 3 量子ハードウェアと量子アルゴリズムの評価システム
3.1 Structure and requirements of an evaluation system 3.1 評価システムの構造と要件
3.1.1 Introduction 3.1.1 序文
3.1.2 Fault tolerant quantum computation vs NISQ computation 3.1.2 耐故障性量子計算 vs NISQ 計算
3.1.3 Gate-based vs adiabatic quantum computation 3.1.3 ゲート方式 vs 断熱的量子計算
3.1.4 Variational quantum computing 3.1.4 変分量子計算
3.2 Evaluation scheme for quantum algorithms 3.2 量子アルゴリズムの評価方式
3.3 Evaluation scheme for quantum hardware 3.3 量子ハードウェアの評価方式
3.3.1 Lowest level (A): Basic operation-do we have working qubits? 3.3.1 最低レベル(A):基本操作 - 動作可能な量子ビットはあるか?
3.3.2 Intermediate level (B): Benchmarking-does our hardware meet fault tolerance criteria? 3.3.2 中間レベル(B):ベンチマーク - ハードウェアは耐故障性の規準を満たしているか?
3.3.3 Central element (C): Fault tolerance analysis-how much quantum volume can we execute? 3.3.3 中心要素(C):耐故障性分析 - どの程度の量子ボリュームを実行できるか?
3.3.4 Compiled level (D): Elementary fault-tolerant gates 3.3.4 コンパイルレベル(D):基本的な耐故障性ゲート
3.3.5 Algorithmic level (E): Fault-tolerant algorithms 3.3.5 アルゴリズムレベル(E):耐故障性アルゴリズム
3.3.6 Conclusions and application 3.3.6 結論と応用
3.4 Risks of our evaluation scheme 3.4 評価スキームのリスク
3.4.1 Risks that make quantum computers more reachable 3.4.1 量子コンピュータをより現実的なものにするリスク
3.4.2 Risks that make quantum computers less reachable 3.4.2 量子コンピュータをより現実的でないものにするリスク
PART II: Evaluation of algorithms 第II部:アルゴリズムの評価
4 Algorithms with proof of termination 4 終了証明付きアルゴリズム
4.1 Minimizing quantum circuits 4.1 最小化量子回路
4.2 Algorithmic innovations with relevance for symmetric cryptography 4.2 対称暗号に関連するアルゴリズムの革新
4.2.1 Grover's algorithm 4.2.1 グローバーのアルゴリズム
4.2.2 Quantum attacks on cryptographic hash functions 4.2.2 暗号ハッシュ関数に対する量子攻撃
4.2.3 Questions on quantum collision search and the case of SHA 4.2.3 量子衝突探索と SHA の場合に関する質問
4.2.4 Leveraging other quantum algorithms 4.2.4 他の量子アルゴリズムの活用
4.3 Algorithmic innovations with relevance for asymmetric cryptography
 4.3 非対称暗号に関連するアルゴリズムの革新
Factoring integers 整数の因数分解

Discrete logarithms
 離散対数

4.3.1
 Factoring integers
 4.3.1 整数の因数分解
4.3.2 
Computing discrete logarithms 4.3.2 離散対数の計算
4.4 The quantum linear system algorithm (HHL) 4.4 量子線形システムアルゴリズム(HHL)
5 Cryptanalysis on NISQ computers including adiabatic quantum computers 5 断熱的量子コンピュータを含むNISQコンピュータでの暗号解読
5.1 Adiabatic quantum computation model 5.1 断熱的量子計算モデル
5.2 Prime factorization 5.2 素因数分解
5.2.1 Digitized adiabatic quantum computation 5.2.1 デジタル化された断熱的量子計算
5.2.2 Quantum annealing 5.2.2 量子アニーリング
5.2.3 Variational quantum factoring 5.2.3 変分量子因数分解
5.3 Discrete logarithm computation 5.3 離散対数計算
5.4 Quantum computing for the shortest vector problem 5.4 量子コンピューティングによる最短ベクトル問題
5.4.1 Approach via quantum annealing 5.4.1 量子アニーリングによるアプローチ
5.4.2 Quantum variational approaches 5.4.2 量子変分法によるアプローチ
5.5 Other linear algebra problems 5.5 その他の線形代数問題
5.6 Focus on algorithmic elements 5.6 アルゴリズム要素に焦点を当てる
PART III: Quantitative description of hardware evaluation scheme 第3部:ハードウェア評価スキームの定量的記述
6 Low-level analysis of qubit systems 6 キュービットシステムの低レベル分析
6.1 Initial remarks 6.1 はじめに
6.1.1 Scope and motivation 6.1.1 範囲と動機
6.1.2 Limitations 6.1.2 制限
6.2 Review of DiVincenzo criteria 6.2 DiVincenzoの規準の再検討
Well-characterized qubit array 十分に特性が明らかになっているキュービットアレイ
Initialization 初期化
Coherence コヒーレンス
Coherent errors コヒーレントエラー
Universal set of gates 汎用ゲートセット
Measurement 測定
Communication-related criteria コミュニケーション関連の規準
6.3 Coherence time scales 6.3 コヒーレンス時間の尺度
6.3.1 Single-qubit level 6.3.1 単一キュービットレベル
6.3.2 Properties unique to multi-qubit noise 6.3.2 マルチキュービットノイズに特有の特性
6.3.3 Non-Markovian effects and other caveats 6.3.3 非マルコフ効果とその他の注意事項
6.3.4 Catastrophic events and noise of the noise 6.3.4 破局的な事象とノイズのノイズ
6.4 Qubit definition indicators 6.4 キュービットの定義指標
6.4.1 Qubit longevity 6.4.1 キュービットの寿命
6.4.2 Leakage 6.4.2 漏れ
6.5 Qubit initialization indicators 6.5 キュービット初期化指標
6.6 Readout indicators 6.6 読み出し指標
6.7 Final remarks 6.7 結語
7 Benchmarking qubits 7 キュービットのベンチマーク
7.1 Introduction 7.1 序文
7.2 Benchmarking and error mitigation techniques 7.2 ベンチマークとエラー緩和技術
7.3 Qualitative criteria beyond DiVincenzo 7.3 DiVincenzoの定性的規準を超えるもの
7.3.1 Connectivity 7.3.1 接続性
7.3.2 Parallel operations 7.3.2 並列操作
7.3.3 Supply of fresh qubits 7.3.3 新鮮な量子ビットの供給
7.4 Benchmarking operations 7.4 操作のベンチマーク
7.4.1 Gate fidelities 7.4.1 ゲートの忠実度
7.4.2 Process tomography-idea and pitfalls 7.4.2 プロセス断層撮影法のアイデアと落とし穴
7.4.3 Randomized benchmarking and interleaved randomized benchmarking 7.4.3 ランダム化ベンチマークとインターリーブ・ランダム化ベンチマーク
7.4.4 Gate set tomography 7.4.4 ゲートセット断層撮影
7.4.5 Cross-entropy benchmarking (XEB) 7.4.5 クロスエントロピーベンチマーク(XEB)
7.4.6 Risks at mid-level 7.4.6 中間レベルのリスク
7.4.7 Recommendation 7.4.7 推奨事項
7.5 Quantum supremacy experiments as indicators of component benchmarking 7.5 コンポーネントベンチマークの指標としての量子優越性実験
8 Quantum error correction 8 量子エラー訂正
8.1 General observations on the role of fault tolerance 8.1 耐故障性の役割に関する一般的な考察
8.1.1 Redundancy and measurement 8.1.1 冗長性と測定
8.1.2 Error detection, matching, and correction 8.1.2 エラー検知、照合、訂正
8.1.3 Concatenated codes and the threshold theorem 8.1.3 連結符号と閾値定理
8.1.4 Fault tolerant computation 8.1.4 耐故障性計算
8.1.5 Conclusions for the evaluation system 8.1.5 評価システムに関する結論
8.2 Quantum error correction codes 8.2 量子誤り訂正符号
8.2.1 Notation 8.2.1 表記
8.2.2 Surface code 8.2.2 表面符号
8.2.3 Color code 8.2.3 色符号
8.2.4 Other error correction codes 8.2.4 その他の誤り訂正符号
8.2.5 Current research goals 8.2.5 現在の研究目標
8.3 Basic requirements 8.3 基本要件
8.4 Performance discussion 8.4 性能に関する考察
8.4.1 Simplifications within stochastic errors 8.4.1 確率誤差における簡略化
8.4.2 Possible Trade-offs 8.4.2 考えられるトレードオフ
8.5 Experimental status of error correction 8.5 エラー訂正の実験状況
8.5.1 Resolution of evaluation levels C and D 8.5.1 評価レベルCおよびDの解決
8.5.2 Evaluation of the Google paper on 105-qubit QEC beyond break-even point 8.5.2 損益分岐点を越えた105量子ビットQECに関するGoogleの論文の評価
8.5.3 Global status of error correction experiments 8.5.3 エラー訂正実験の全体的な状況
8.5.4 Post-deadline achievements in quantum error correction 8.5.4 耐量子エラー訂正における締め切り後の成果
8.6 Summary 8.6 まとめ
8.7 Glossary for error correction 8.7 エラー訂正用語集
9 Benchmarking and fault-tolerance on non-standard architectures 9 非標準アーキテクチャにおけるベンチマークとフォールトトレランス
9.1 Quantum annealing 9.1 量子アニーリング
9.1.1 Coherence and control 9.1.1 コヒーレンスと制御
9.1.2 Benchmarking quantum annealing 9.1.2 量子アニーリングのベンチマーク
9.1.3 Fault tolerance for quantum annealing 9.1.3 量子アニーリングのフォールトトレランス
9.2 One-way quantum computing 9.2 一方向量子コンピューティング
9.2.1 Benchmarking one-way quantum computers 9.2.1 一方向量子コンピューティングのベンチマーク
9.2.2 Error correction in one-way quantum computing 9.2.2 単方向量子コンピューティングにおけるエラー訂正
9.2.3 Resource calculations 9.2.3 リソース計算
9.2.4 Topological cluster states 9.2.4 トポロジカル・クラスター状態
9.3 Quantum computing based on continuous variables 9.3 連続変数に基づく量子コンピューティング
9.3.1 Overview of error correction for continuous variables 9.3.1 連続変数におけるエラー訂正の概要
9.3.2 GKP codes 9.3.2 GKP コード
9.3.3 Cat codes 9.3.3 Cat コード
PART IV: Assessment of platforms 第 IV 部:プラットフォームのアセスメント
10 Global operational criteria for quantum computers 10 量子コンピューティングのグローバルな運用規準
10.1 Extensive parameters 10.1 広範なパラメータ
10.1.1 Scales of extensive parameters 10.1.1 拡張パラメータの規模
10.1.2 Size 10.1.2 サイズ
10.1.3 Power consumption 10.1.3 消費電力
10.1.4 Power dissipation and temperature stability 10.1.4 電力損失と温度安定性
10.1.5 Cycle time 10.1.5 サイクル時間
10.1.6 Classical data flow 10.1.6 古典的データフロー
10.1.7 Reliance on rare materials 10.1.7 希少材料への依存
10.1.8 Vacuum 10.1.8 真空
10.1.9 Production speed 10.1.9 生産速度
10.2 Critical parameters 10.2 重要なパラメータ
10.2.1 Stability 10.2.1 安定性
10.2.2 Yield and scatter 10.2.2 収量とばらつき
10.3 Further descriptors 10.3 その他の記述子
10.4 Articulated architectural extrapolations 10.4 アーキテクチャの推定
11 Quantum technology and computing platforms 11 量子技術およびコンピューティングプラットフォーム
11.1 Other measures 11.1 その他の尺度
11.2 Outdated and exotic qubit candidates 11.2 時代遅れで奇抜なキュービット候補
12 Solid state platforms 12 固体プラットフォーム
12.1 Quantum computing based on superconducting qubits
 12.1 超伝導キュービットに基づく量子コンピューティング
12.1.1
Basic notions and terminology
 12.1.1 基本概念と用語

12.1.2
Various types of superconducting qubits 12.1.2 様々な種類の超伝導量子ビット

12.1.3
Peripheral elements
 12.1.3 周辺要素
12.1.4
Quantum annealing and its status with superconductors
 12.1.4 量子アニーリングとその超伝導体における現状
12.1.5
Operational challenges for superconducting platforms 12.1.5 超伝導プラットフォームの運用上の課題
12.2 Quantum computing based on semiconductor qubits
 12.2 半導体量子ビットに基づく量子コンピューティング
12.2.1
Basic notion and terminology 12.2.1 基本概念と用語
12.2.2 Various types of semiconducting qubits 12.2.2 半導体量子ビットの各種タイプ
12.2.3 Evaluation 12.2.3 評価
12.2.4 Operational challenges for semiconductor platforms 12.2.4 半導体プラットフォームの運用上の課題
13 Atomic and optical platforms 13 原子および光プラットフォーム
13.1 Quantum computing based on trapped ions 13.1 トラップされたイオンに基づく量子コンピューティング
13.1.1 Basic notion and terminology 13.1.1 基本概念と用語
13.1.2 Various types of ion-based qubits 13.1.2 イオンベースの量子ビットの各種タイプ
13.1.3 Evaluation: Ions 13.1.3 評価:イオン
13.2 Quantum computing based on trapped neutral atoms 13.2 捕捉中性原子に基づく量子コンピューティング
13.2.1 Basic notions and terminology 13.2.1 基本概念と用語
13.2.2 Platform designs: Rydberg atoms 13.2.2 プラットフォーム設計:リュードベリ原子
13.2.3 Evaluation: Rydberg atoms 13.2.3 評価:リュードベリ原子
13.3 Operational challenges for atomic and ionic platforms 13.3 原子およびイオンプラットフォームの運用上の課題
Size サイズ
Power Consumption 消費電力
Power dissipation and temperature stability 電力損失と温度安定性
Cycle Time サイクル時間
Classical data flow 古典的データフロー
Reliance on rare materials 希少材料への依存
Vacuum 真空
Stability 安定性
Yield and scatter 歩留まりとばらつき
Further Challenges さらなる課題
Extrapolation to future devices 将来のデバイスへの外挿
13.4 Quantum computing based on photons 13.4 光子に基づく量子コンピューティング
13.4.1 Basic notions and terminology 13.4.1 基本概念と用語
13.4.2 Qubit encoding 13.4.2 キュービットのエンコーディング
13.4.3 Enhanced nonlinear optics, integrated optics 13.4.3 高度な非線形光学、集積光学
13.4.4 KLM proposal 13.4.4 KLM 提案
13.4.5 Cluster states, one-way quantum computing and fusion-based quantum computing 13.4.5 クラスター状態、一方向量子コンピューティング、融合に基づく量子コンピューティング
13.4.6 Continuous variables 13.4.6 連続変数
13.4.7 Evaluation 13.4.7 評価
13.4.8 Operational challenges for photonic platforms 13.4.8 光子プラットフォームの運用上の課題
Appendix 附属書
14 Example: Digitized adiabatic quantum computation for factoring 14 例:因数分解のためのデジタル断熱量子計算
15 Introduction to surface code quantum error correction 15 表面コード量子エラー訂正の序文
15.1 Error syndromes 15.1 エラー症候群
15.1.1 Single errors 15.1.1 単一エラー
15.1.2 Error chains 15.1.2 エラー連鎖
15.1.3 Measurement errors 15.1.3 測定エラー
15.1.4 Syndrome extraction 15.1.4 症候群抽出
15.2 Logical qubits and Pauli operations 15.2 論理キュービットとパウリの演算
15.2.1 Distance 15.2.1 距離
15.2.2 Logical initialization and readout 15.2.2 論理的な初期化と読み出し
15.3 Logical gates: H, T, CNOT 15.3 論理ゲート:H、T、CNOT
15.3.1 Multi-qubit gates 15.3.1 マルチキュービットゲート
15.3.2 Hadamard 15.3.2 ハダマード
15.3.3 S and T gate: Magic state distillation 15.3.3 SとTゲート:マジック状態の蒸留
15.3.4 Ancilla factories 15.3.4 補助ファクトリー
15.3.5 Magic state injection 15.3.5 魔法状態の注入
15.4 Lattice surgery 15.4 格子手術
Reference documentation 参考資料




 

| | Comments (0)

2025.01.13

欧州連合 欧州経済・社会委員会 (EESC) プロワーカーAI:雇用・労働市場政策に関連するAIの可能性を活用し、リスクを緩和するための手段 (2024.01.09)

こんにちは、丸山満彦です。

欧州連合の経済・社会委員会(European Economic and Social Committee; EESC
)が雇用・労働市場政策に関連するAIの可能性を活用し、リスクを緩和するための手段についての意見を公表していますね...

AI開発競争に明け暮れるだけではなく、(特にそれで職を奪われるであろう)労働者に対する配慮、対策がなければ、社会が安定せず、経済発展にもマイナスであるということなのでしょうかね...

法制化についての検討が必要としていますね...

いろいろな見方があるとは思いますが、米国のこれからの政権が力強いがシンプルな政策を進め、中国も共産党政権維持のための政策を進める中、人間の尊重、自由、民主主義、平等、法の支配、人権といった欧州の価値 (European Values) の実現を掲げる欧州の考え方というのも、日本は参考にしても良いかもですね...

どういう社会を私たちは目指しているのか?という軸がなければ、社会的にインパクトの大きなツールを手にした時に、その使い方に対する意見が分かれ、力強い推進ができなくなるかもですね...

立ち戻る原点ということで、憲法の重要性(もちろん、国民の同意があれば改正してもよい)が注目されてもよいかもです...

 

European Economic and Social Committee; EESC

・2025.01.09 Pro-worker AI: levers for harnessing the potential and mitigating the risks of AI in connection with employment and labour market policies

Pro-worker AI: levers for harnessing the potential and mitigating the risks of AI in connection with employment and labour market policies プロワーカーAI:雇用・労働市場政策に関連するAIの可能性を活用し、リスクを緩和するための手段
EESC section opinion: Pro-worker AI: levers for harnessing the potential and mitigating the risks of AI in connection with employment and labour market policies EESCセクションの意見:プロワーカーAI:雇用・労働市場政策に関連するAIの可能性を活用し、リスクを緩和するための手段
Summary 概要
The issue of artificial intelligence and its last evolution lacks specific attention to the impact on workers and their working conditions. While offering opportunities, the evolutions related to AI, if not well anticipated, discussed at highest level with workers representatives, and negotiate with them,  can conduct to massive deplacement of jobs, greater inequalities, intensification at work and lessen human autonomy and decision power, damage mental health and general working conditions. 人工知能とその最後の進化の問題は、労働者とその労働条件への影響に対する特別な配慮を欠いている。機会を提供する一方で、AIに関連する進化を十分に予測し、労働者代表者と最高レベルで議論し、彼らと交渉しなければ、大規模な雇用の奪い合い、不平等の拡大、仕事の激化、人間の自律性と決定力の低下、メンタルヘルスと一般的な労働条件の悪化につながりかねない。
In the EU’s eagerness to win the global AI race, workers' rights may be overlooked. This is why a protective and enforceable legal framework must be developed, with the participation of social partners. EUは世界的なAI競争に勝とうと躍起になっているが、労働者の権利は見過ごされているかもしれない。そのため、社会的パートナーの参加を得て、保護的で強制力のある法的枠組みを構築しなければならない。
Awareness of the use and risks stemming from algorithmic management (AM) is relatively high, in this context, workers are calling for specific provisions and collective negociation for being associated to the governance of algorithms. A framework is needed to prevent abusive practices and that humans remain in control. アルゴリズム・マネジメント(AM)の利用やリスクに対する意識は比較的高く、労働者はアルゴリズムのガバナンスに関連する具体的な規定や団体交渉を求めている。濫用的な慣行を防止し、人間がコントロールし続けるための枠組みが必要である。
The OIO should also focus on providing proposals (legislative and non-legislative) and recommendations to address the protection of workers’ labour, privacy and fundamental rights as discussed at the "sense making/ scenario building" workshop. OIOはまた、「センス・メイキング/シナリオ構築」ワークショップで議論されたように、労働者の労働、プライバシー、基本的権利の防御に取り組むための提案(立法的・非法律的)や勧告のプロバイダに焦点を当てるべきである。
Related links 関連リンク
A guide to Artificial Intelligence at the workplace 職場における人工知能ガイド
Boosting the use of Artificial Intelligence in Europe’s micro, small and medium… 欧州の零細・中小企業における人工知能の利用を促進する...

 

 

・2025.01.08 [PDF] OPINION: Section for Employment, Social Affairs and Citizenship: Pro-worker AI: levers for harnessing the potential and mitigating the risks of AI in connection with employment and labour market policies

20250113-61652

 

・[DOCX][PDF] 仮訳

 


 

関連リンク

・2022.A guide to Artificial Intelligence at the workplace

A guide to Artificial Intelligence at the workplace 職場における人工知能ガイド
A guide to artificial intelligence (AI) designed by a trade union? Yes! Such a technology is very impactful and with its algorithms, it is breaking into the world of work more and more, bringing together a number of technologies that workers encounter on a daily basis: facial or voice recognition, image recognition, prediction of risks and rewards; in all this AI helps decision-making, recommends choices and solutions. 労働組合が作成した人工知能(AI)ガイド? そう! このようなテクノロジーは非常に影響力が大きく、そのアルゴリズムにより、労働者が日常的に遭遇する多くのテクノロジーを統合しながら、ますます労働の世界に浸透しつつある。顔や音声の認識、画像認識、リスクと報酬の予測など、あらゆる場面でAIは意思決定を助け、選択肢や解決策を提案する。
Despite the undeniable advantages of AI in all sectors (justice, HR, financial services, transport, agriculture, health, public services, etc.), certain uses can threaten our private lives, our freedoms, our rights and our democracies. 司法、人事、金融サービス、運輸、農業、医療、公共サービスなど、あらゆる分野においてAIの利点は否定できないが、その利用によっては私たちの私生活、自由、権利、民主主義が脅かされる可能性もある。
We are slowly realizing the full implications of AI in business globally. The gray areas of AI have thus been taken up by the European Court of Human Rights, which clarified that respect for human dignity, individual freedom, equality, non-discrimination , solidarity, social and economic rights could be threatened. At the same time, unions have sprung up in the United States to question certain aspects of the use and purpose of this technology in companies in Silicon Valley, in particular. In France, we want to give meaning to AI and guide it. 私たちは、世界的にビジネスにおけるAIの持つ意味を徐々に理解しつつある。そのため、AIのグレーゾーンは欧州人権裁判所で取り上げられ、人間の尊厳、個人の自由、平等、非識別的、連帯、社会権および経済的権利の尊重が脅かされる可能性があることが明確にされた。同時に、米国ではシリコンバレーの企業におけるこのテクノロジーの利用と目的の特定の側面を問う労働組合が誕生している。フランスでは、AIに意味を与え、AIを導きたいと考えている。
This book, in partnership with CFDT Cadres, is presented as a legal guide for better mastering AI in our immediate environment. If we are faced with facial recognition during recruitment, the use of our personal data without our knowledge, if we are monitored by software during teleworking, that we depend on the arbitrary decision of an algorithm during a promotion, or even in our training course in the company, this book can help us to ask the right questions and to act. This book also features interviews with researchers, sociologists, staff and worker representatives, bodies confronted with the introduction of artificial intelligence in organizations. CFDT Cadresとの提携により、この本は、身近な環境におけるAIをよりよく理解するための法的ガイドとして紹介されている。採用時に顔認識を求められたり、知らないうちに個人データが利用されたり、在宅勤務中にソフトウェアで監視されたり、昇進や社内研修でアルゴリズムの恣意的な決定に頼らざるを得ない状況に直面した場合、この本は正しい問いを立て、行動を起こすのに役立つ。この本では、研究者、社会学者、スタッフ、労働者代表者など、組織における人工知能の導入に直面している団体へのインタビューも紹介している。

 

・[PDF] A Guide to Artificial Intelligence at the Workplace

20250113-85002

 

 

 

 

 


| | Comments (0)

米国 国家安全保障局 商用国家安全保障アルゴリズム・スイート2.0および量子コンピューティングに関するFAQ更新 (2024.12.31)

こんにちは、丸山満彦です。

米国の国家安全保障局が、商用国家安全保障アルゴリズム・スイート2.0および量子コンピューティングに関するFAQを公表していますね...

耐量子暗号への移行についても記載がありますね...

量子コンピュターを米国以外が実用化し、既存の暗号が危殆化することに対する警戒は高いように感じます...

 

U.S. National Security Agency

・2024.12.31 [PDF] CSI: Commercial National Security Algorithm Suite 2.0 (CNSA 2.0) FAQ (December 2024 Update)

20250112-73847

仮対訳...

 

商用国家安全保障アルゴリズム・スイート2.0

Algorithm  Function  Specification  Parameters 
General Purpose Algorithms 
Advanced Encryption Standard (AES)  Symmetric block cipher for information protection  FIPS PUB 197  Use 256-bit keys for all classification levels. 
ML-KEM (previously CRYSTALS-Kyber)  Asymmetric algorithm for key establishment  FIPS PUB 203  ML-KEM-1024 for all classification levels. 
ML-DSA (previously CRYSTALS-Dilithium)  Asymmetric algorithm for digital signatures in any use case, including signing firmware and software  FIPS PUB 204  ML-DSA-87 for all classification levels. 
Secure Hash Algorithm (SHA)  Algorithm for computing a condensed representation of information  FIPS PUB 180-4  Use SHA-384 or SHA-512 for all classification levels. 
Algorithms Allowed in Specific Applications 
Leighton-Micali Signature (LMS)  Asymmetric algorithm for digitally signing firmware and software  NIST SP 800-208   All parameters approved for all classification levels. LMS SHA256/192 is recommended. 
Xtended Merkle Signature Scheme (XMSS)  Asymmetric algorithm for digitally signing firmware and software  NIST SP 800-208  All parameters approved for all classification levels. 
Secure Hash Algorithm 3 (SHA3)  Algorithm used for computing a condensed representation of information as part of hardware integrity  FIPS PUB 202  SHA3-384 or SHA3-512 allowed for internal hardware functionality only (e.g., boot-up integrity checks) 

 

Continue reading "米国 国家安全保障局 商用国家安全保障アルゴリズム・スイート2.0および量子コンピューティングに関するFAQ更新 (2024.12.31)"

| | Comments (0)

2025.01.12

中国 2023年8月から2024年12月末までに届出があった生成的AIサービスは302件、API利用したサービス105件

こんにちは、丸山満彦です。

中国は、生成的AIに対して、早々(2023年7月)に生成的AIサービス管理暫定弁法を整備し、届出制度を2023年8月15日から開始していますが、2024年末までの届出数は302件(2024年中の届出数238件、2023年の届出数64件)、APIによりこれらのサービスを呼び出すサービスが105件となったと国家サイバー空間管理局発表していますね...

人口が約14億人といわれている中国でそれなりに統率がとれた形で生成的AIを普及させているのはすごいことですよね...

 

● 中央网安全和信息化委公室 (Cyberspace Administration of China: CAC)

・2024.01.08 国家互联网信息办公室关于发布2024年生成式人工智能服务已备案信息的公告

国家互联网信息办公室关于发布2024年生成式人工智能服务已备案信息的公告 2024年の生成的AIサービスの記録情報の公開に関する国家サイバースペース管理局の発表
促进生成式人工智能服务创新发展和规范应用,2024年,网信部门会同有关部门按照《生成式人工智能服务管理暂行办法》要求,持续开展生成式人工智能服务备案工作。截至2024年12月31日,共302款生成式人工智能服务在国家网信办完成备案,其中2024年新增238款备案;对于通过API接口或其他方式直接调用已备案模型能力的生成式人工智能应用或功能,2024年共105款生成式人工智能应用或功能在地方网信办完成登记,现将相关信息予以公告。 生成的AIサービスの革新的な発展と標準化された応用を促進するため、2024年、サイバー空間管理局は関連部門と協力し、「生成的AIサービス管理暫定弁法」の要求に基づき、引き続き生成的AIサービスの記録を行う。 2024年12月31日時点で、中国サイバー空間管理局に届出を完了した生成的AIサービスは合計302件であり、そのうち2024年の新規届出件数は238件であった。APIインターフェースまたはその他の方法により届出済みのモデルの能力を直接呼び出す生成的AIアプリケーションまたは機能については、2024年に合計105件の生成的AIアプリケーションまたは機能が各地域のサイバー空間管理局に届出を完了した。関連情報はここに公表する。
提供具有舆论属性或者社会动员能力的生成式人工智能服务的,可通过属地网信部门履行备案或登记程序。已上线的生成式人工智能应用或功能,应在显著位置或产品详情页面公示所使用已备案或登记生成式人工智能服务情况,注明模型名称、备案号或上线编号。 世論属性や社会動員能力を持つ生成的AIサービスの提供者は、地元のサイバー空間管理局を通じて、届出または登録手続きを行うことができる。オンラインで公開された生成的AIアプリケーションまたは機能は、目立つ場所または製品詳細ページで、届出または登録された生成的AIサービスの利用を公開し、モデル名、届出番号、または開始番号を記載しなければならない。
附件:国家互联网信息办公室关于发布生成式人工智能服务已备案信息的公告 添付資料:生成的AIサービスの届出に関する国家サイバー空間管理局の発表

 

 

国家互联网信息办公室关于发布生成式人工智能服务已备案信息的公告

国家互联网信息办公室关于发布生成式人工智能服务已备案信息的公告 国家サイバースペース管理局による生成的AIサービスに関する届出情報の公開に関する発表
促进生成式人工智能服务创新发展和规范应用,网信部门会同相关部门按照《生成式人工智能服务管理暂行办法》要求,有序开展生成式人工智能服务备案工作,现将已备案信息予以公告。提供具有舆论属性或者社会动员能力的生成式人工智能服务的,可通过属地网信部门履行备案程序,属地网信部门应及时将已备案信息对外公开发布,我办将在官网定期汇总更新,不再另行公告。 生成的AIサービスの革新的な発展と規範化された利用を促進するため、国家サイバー空間管理局は関連部門と協力し、「生成的AIサービス管理暫定措置」の要求に従って、生成的AIサービスの届出を秩序ある形で実施する。 生成的AIサービスの提供者で、世論属性または社会動員能力を有するものは、所在地のサイバー空間管理部門を通じて届出手続きを行うことができる。所在地のサイバー空間管理部門は、届出情報を速やかに公開しなければならない。当事務所は、公式ウェブサイト上で定期的に情報をまとめ、更新するが、別途の発表は行わない。
已上线的生成式人工智能应用或功能,应在显著位置或产品详情页面公示所使用已备案生成式人工智能服务情况,注明模型名称及备案号。 オンラインでリリースされた生成的AIアプリケーションまたは機能は、目立つ場所または製品詳細ページで、届出済みの生成的AIサービスを公開し、モデル名と届出番号を表示しなければならない。
附件1:生成式人工智能服务已备案信息(2024年4月) 添付資料1:生成的AIサービス届出情報(2024年4月)
附件2:生成式人工智能服务已备案和已登记信息(2024年8月) 添付資料2:生成的AIサービス届出・登録情報(2024年8月)
附件3:生成式人工智能服务已备案和已登记信息(2024年11月) 添付資料3:生成的AIサービス届出・登録情報(2024年11月)
附件4:生成式人工智能服务已备案和已登记信息(2025年1月) 添付資料4:生成的AIサービス届出・登録情報(2025年1月)

 

 

省(属地)毎に集計してみると

属地   国家
届出分
地方
届出分
合計
安徽省 安徽省 2   2
云南省 雲南省 1   1
河南省 河南省 1   1
河北省 河北省 5 1 6
海南省 海南省 2   2
湖南省 湖南省 4   4
湖北省 湖北省 1   1
江西省 江西省 1   1
江苏省 江蘇省 20 14 34
国资委 国有資産監督管理委員会 8   8
山东省 山東省 9   9
四川省 四川省 6 3 9
重庆市 重慶市 4   4
上海市 上海市 60 63 123
天津市 天津市 5 1 6
福建省 福建省 1   1
北京市 北京市 105 12 117
广东省 広東省 32 8 40
浙江省 浙江省 26 2 28
宁夏回族自治区 寧夏回族自治区 1   1
贵州省 貴州省 4 1 5
辽宁省 遼寧省 2   2
陕西省 陝西省 1   1
黑龙江省 黒龍江省 1   1
総計   302 105 407

 

PDFのデータの集計...

[XLSX]

 

1_20210612030101


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.23 中国 「人工知能生成の合成コンテンツ識別に関する措置(意見募集稿)」と国家標準 「人工知能が生成したコンテンツのラベル付け方法」に対する意見募集

・2023.09.11 中国 生成的AIについての専門家の解釈 (2023.08.29)

 

・2023.07.14 中国 国家サイバースペース管理局他 生成的AIサービス管理暫定弁法 施行は2023.08.15

 

・2023.04.12 中国 意見募集 生成的人工知能サービス管理弁法

・2022.12.23 中国 インターネット情報サービス深層合成管理規定についての専門家のコメント... (2022.12.12)

・2022.12.17 中国 インターネット情報サービス深層合成管理規定 (深層合成で作ったものにはマークを...)(2022.11.25)

・2022.08.15 中国 国家サイバースペース管理局 インターネット情報サービスのアルゴリズム申請に関する情報公開の公告

・2022.01.30 中国 国家サイバースペース管理局 意見募集 インターネット情報サービスの深層合成の管理に関する規定(意見募集稿)

・2022.01.05 中国 インターネット情報サービスのアルゴリズム推奨管理規

・2021.08.28 中国 意見募集 国家サイバースペース管理局 「インターネット情報サービスのアルゴリズムによる推奨に関する管理規定」

 

 

| | Comments (0)

ドイツ BSI AIの説明可能性に関するホワイトペーパー

こんにちは、丸山満彦です。

ドイツのBSIが、AIの説明可能性に関するホワイトペーパーを公表していますね...

説明可能なAI (Explainable Artificial Intelligence; XAI) の限界についての話ですね...

 

Bundesamt für Sicherheit in der Informationstechnik; BSI

・2025.01.06 BSI veröffentlicht Whitepaper zur Erklärbarkeit von Künstlicher Intelligenz

BSI veröffentlicht Whitepaper zur Erklärbarkeit von Künstlicher Intelligenz BSI、人工知能の説明可能性に関するホワイトペーパーを公表
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 6. Januar 2025 ein Whitepaper veröffentlicht, dass sich mit der Erklärbarkeit von Künstlicher Intelligenz (KI) im adversarialen Kontext beschäftigt. Das Dokument konzentriert sich auf die Beschränkungen von Explainable Artificial Intelligence (XAI). Es kommentiert den aktuellen Stand der Technik, insbesondere im Hinblick auf deren Einsatz im Bewertungsverfahren und die technische Unterstützung des digitalen Verbraucherschutzes. 2025年1月6日、ドイツ連邦情報セキュリティ局(BSI)は、敵対的な文脈における人工知能(AI)の説明可能性に関するホワイトペーパーを公表した。この文書では、説明可能な人工知能(XAI)の限界に焦点を当てている。特に評価プロセスやデジタル消費者保護の技術的サポートにおける利用に関して、現在の技術水準についてコメントしている。
Transparenz für Blackbox-Modelle durch Post-Hoc-Methoden 事後的手法によるブラックボックスモデルの透明性
XAI verfolgt das Ziel, die Entscheidungsprozesse von KI-Systemen nachvollziehbar zu machen. Viele KI-Modelle, insbesondere solche auf Basis von Deep-Learning, agieren als „Blackbox“, deren innere Abläufe schwer zu verstehen sind. Das BSI-Whitepaper fokussiert sich auf Post-Hoc-Methoden, die nachträglich Erklärungen für diese Blackbox-Modelle liefern und den Einfluss einzelner Merkmale auf Entscheidungen analysieren. XAIは、AIシステムの意思決定プロセスを理解可能にすることを目的としている。多くのAIモデル、特にディープラーニングに基づくモデルは、その内部動作を理解することが困難な「ブラックボックス」として機能する。BSIのホワイトペーパーでは、これらのブラックボックスモデルの説明を提供し、個々の特徴が意思決定に与える影響を分析する事後解析手法に焦点を当てている。
Herausforderungen und Chancen von XAI XAIの課題と機会
Obwohl XAI Chancen für Erkenntnisgewinne und Modelloptimierung bietet, gibt es auch Herausforderungen, wie das Uneinigkeitsproblem und die Manipulationsanfälligkeit von Erklärungen. Die Erklärbarkeit von KI ist entscheidend für das Vertrauen in diese Technologien und hilft Entwicklern, sowie Nutzern, die Funktionsweise besser zu verstehen. Dennoch bleibt die Entwicklung standardisierter Methoden zur konsistenten Gewährleistung der Erklärbarkeit eine zentrale Herausforderung. XAIは洞察を得たりモデルを最適化したりする機会を提供するが、意見の相違の問題や説明が操作されやすいといった課題も存在する。AIの説明可能性は、これらのテクノロジーに対する信頼にとって重要であり、開発者とユーザーがその仕組みをよりよく理解するのに役立つ。しかし、一貫して説明可能性を確保するための標準化された手法の開発は依然として重要な課題である。

 

ドイツ語と英語の二つがありますね...

・[PDF] Erklärbarkeit von KI im adversarialen Kontext

 

・[PDF] Explainable Artificial Intelligence in an Adversarial Context

20250111-110249

 

 

Executive Summary  エグゼクティブサマリー
This report provides an overview over issues that arise when methods from the field of explainable artificial intelligence (XAI) are used to provide post-hoc explanations of AI models. XAI methods are beneficial for knowledge discovery in research and model optimization in industry. However, there are limitations and issues that make a secure and reliable use for assessment procedures and digital consumer protection questionable.   本レポートは、説明可能な人工知能(XAI)分野の手法をAIモデルの事後説明に使用した場合に発生する問題を概観するものである。XAI手法は、研究における知識発見や産業におけるモデル最適化に有益である。しかし、アセスメント手続きやデジタル消費者保護のための安全で信頼できる利用を疑問視させる限界や問題がある。 
Disagreement Problem  不一致問題
The disagreement problem can be regularly observed during the application of post-hoc explanation methods. This term describes the situation, that different methods calculate different explanations – sometimes these explanations can be contradictory.  不一致問題は、事後説明法の適用中に定期的に観察される。この用語は、異なる手法が異なる説明を計算するという状況を説明する。
Manipulation  操作
Many XAI-methods are susceptible to manipulation. A manipulated explanation cannot guarantee to accurately depict the decision process of an AI model. Manipulated explanations pose a risk for assessment procedures and digital consumer protection, if they are used to deceive supervisory authorities or consumers.  多くのXAI手法は操作の影響を受けやすい。操作された説明は、AIモデルの意思決定プロセスを正確に描写することを保証できない。操作された説明は、監督当局や消費者を欺くために使用された場合、アセスメント手続きやデジタル消費者保護にリスクをもたらす。
Conclusion  結論
The described issues of post-hoc explanation methods are currently a limiting factor for securely and reliably using them in assessment procedures of AI products. This implies, that alternatives are required for the development of reliable assessment procedures. Such alternatives could be detailed audits using white-box and outside-the-box access to AI products. Additionally, the issues of post-hoc explanation methods have an impact on the digital consumer protection. At the moment, these methods cannot be reliably used for the technical support of digital consumer protection. ポスト・ホック説明法について述べた問題は、現在、AI製品のアセスメント手続きに安全かつ確実に使用するための制限要因となっている。このことは、信頼できるアセスメント手続きを開発するためには、代替手段が必要であることを意味している。そのような代替案は、AI製品へのホワイトボックスやアウトサイド・ザ・ボックス・アクセスを用いた詳細な監査である。さらに、事後的な説明方法の問題は、デジタル消費者保護にも影響を及ぼす。現時点では、これらの手法はデジタル消費者保護の技術的支援に確実に使用することはできない。
Table of Contents  目次
1        Introduction 1 序文
2        Issues when using Post-Hoc Explanations  2 その場しのぎの説明を使う場合の問題点
2.1          The Disagreement Problem  2.1 不一致問題
2.2          The Manipulation Risk 2.2 操作リスク
2.3          Fairwashing 2.3 フェアウォッシング
3        Solutions 3 解決策
3.1          Solving the Disagreement Problem 3.1 不一致問題の解決
3.2          Detecting Manipulations 3.2 操作の検知
3.3          Robustness of Explanations 3.3 説明の頑健性
4        Conclusion  4 結論
Reference 参考
1 Introduction  1 序文
Artificial Intelligence (AI) methods are an integral part of the modern world. Nowadays, everyone who is interacting with a smartphone gets into contact with AI (Herget, 2024) (Wired Insider, 2021). The public awareness of AI’s existence has widely spread since the easy accessibility of large language models (LLMs) (cf (BSI, 2024a) for a commentary by the BSI). However, decision processes were supported or automatically executed by AI algorithms since before the introduction of LLMs. The report by Propublica, that prediction models are used in determining the risk of recidivism of criminal suspects in the USA, received high attention (Angwin, et al., 2016). In the financial sector, AI-based prediction models are used to support the decision on loan applications or to predict developments of financial markets (Aziz, et al., 2022). Furthermore, using AI-based decision support systems for diagnosis and treatment of patients is currently investigated or partially implemented in medicine (Editorial, 2024) (The Royal College of Radiologists, et al., 2023) (BSI, 2024). These are highly sensitive areas where incorrect decisions can lead to social, legal, financial or health damage to citizens.  人工知能(AI)の手法は現代社会に不可欠な要素である。現在では、スマートフォンを操作する誰もがAIと接触している(Herget, 2024)(Wired Insider, 2021)。大規模な言語モデル(LLM)に簡単にアクセスできるようになって以来、AIの存在に対する一般の認識は広く浸透した(BSIによる解説は(BSI, 2024a)を参照)。しかし、意思決定プロセスは、LLMの序文が登場する以前から、AIアルゴリズムによってサポートされたり、自動的に実行されたりしていた。米国では、犯罪容疑者の再犯リスクの判定に予測モデルが使用されているというPropublicaのレポートが高い注目を集めた(Angwin, et al., 2016)。金融分野では、AIベースの予測モデルが融資申し込みの判断支援や金融市場の動向予測に利用されている(Aziz, et al., 2022)。さらに、患者の診断や治療にAIベースの意思決定支援システムを使うことが、現在、医学の分野で研究されたり、部分的に実施されたりしている(Editorial, 2024)(The Royal College of Radiologists, et al, 2023)(BSI, 2024)。これらは、誤った判断が市民の社会的、法的、経済的、健康的損害につながりかねない、非常にセンシティブな分野である。
Awareness of the potential risk associated with AI is rising on the European level, which led to EU regulations to counteract some of these risks, namely the general data protection regulation (GDPR) and the artificial intelligence act (AI Act). These regulations give rise to the question on how to adequately assess AI products due to the black box nature of many of these products. Black box in this context means, that developers and providers of AI products cannot guarantee to fully understand why a certain decision was made by the AI. In accordance with standard practice in the literature, the term black box will be used to describe a technical as well as a functional black box throughout this document. There are several voices in research and application that proclaim a specific field as the solution to many problems of AI: explainable artificial intelligence (XAI)  (EDPS, 2023) (IBM, 2023) (Gerlings, et al., 2020). This subdomain of AI consists of techniques and methods that either use inherently interpretable approaches to create a humancomprehensible decision-making process or apply additional models to compute explanations for decisions made by a black box (Molnar, 2020) (Arrieta, et al., 2020). XAI techniques that are used to explain an already trained black box are called post-hoc approaches and the computed explanations are called post-hoc explanations. In theory, users can utilize calculated explanations to understand decisions, identify faulty behavior of AI systems, or take action against potential discrimination by algorithmic decision-making. Additionally, supervisory authorities could assess AI products with the help of these explanations. However, it is of utmost importance to evaluate the possibility of manipulating XAI methods[1] to ensure that they can be securely and reliably used. Furthermore, there have to be reliable approaches to detect manipulated explanations. This publication is meant to provide an overview of the issues arising from the use of post-hoc XAI methods in an adversarial context. Implications of these issues for assessment procedures and digital consumer protection will be shown.  AIに関連する潜在的リスクに対する認識は欧州レベルで高まっており、その結果、これらのリスクの一部に対抗するためのEU規制、すなわち一般データ保護規制(GDPR)と人工知能法(AI法)が制定された。これらの規制は、AI製品の多くがブラックボックスであることから、AI製品をどのように適切にアセスメントするかという問題を引き起こしている。ここでいうブラックボックスとは、AI製品の開発者やプロバイダが、AIがある決定を下した理由を完全に理解することを保証できないことを意味する。文献における標準的な慣行に従い、本書では技術的なブラックボックスと機能的なブラックボックスを表現するためにブラックボックスという用語を使用する。説明可能な人工知能(XAI)(EDPS, 2023)(IBM, 2023)(Gerlings, et al.) AIのこのサブドメインは、人間にとって理解しやすい意思決定プロセスを生み出すために本質的に解釈可能なアプローチを用いるか、ブラックボックスによってなされた意思決定に対する説明を計算するために追加モデルを適用する(Molnar, 2020)(Arrieta, et al.) 既に訓練されたブラックボックスを説明するために使用されるXAI技術は、ポストホックアプローチと呼ばれ、計算された説明はポストホック説明と呼ばれる。理論的には、ユーザーは計算された説明を利用して、意思決定を理解したり、AIシステムの欠陥行動を特定したり、アルゴリズムによる意思決定による潜在的な識別に対して行動を起こしたりすることができる。さらに、監督当局はこれらの説明の助けを借りてAI製品を評価することができる。しかし、XAI手法[1]を安全かつ確実に使用できるように、操作の可能性を評価することが最も重要である。さらに、操作された説明を検知するための信頼できるアプローチが必要である。本書は、敵対的な状況におけるポストホックXAI手法の使用から生じる問題の概要を提供することを目的としている。アセスメント手続きとデジタル消費者保護に対するこれらの問題の防御を示す。
This publication is targeted at a professional audience with knowledge about the fundamentals of AI and experience with XAI methods. The goal is to make experts, who are participating in committee work towards a practical implementation of the AI Act, aware of the issues with posthoc XAI methods. The document is meant to enable a critical and result-oriented discussion about the chances and limitations that the use of XAI methods provide for the requirements of the AI Act. Furthermore, the publication points towards directions that need to be explored in the development of new XAI methods to ensure their usability in assessment procedures and digital consumer protection.  本書は、AIの基礎知識とXAI手法の使用経験を持つ専門家を対象としている。その目的は、AI法の実用化に向けた委員会作業に参加している専門家に、その場限りのXAI手法の問題点を認識してもらうことである。この文書は、XAI手法の使用がAI法の要件に与える可能性と限界について、批判的かつ結果重視の議論を可能にすることを意図している。さらに、本書は、アセスメント手続きやデジタル消費者保護における有用性を確保するために、新たなXAI手法の開発において探求すべき方向性を指し示している。
2 Issues of Post-Hoc Explanations  2 その場限りの説明の問題点
Throughout this document, the studied scenario consists of two participating parties. On one side is the explanation-providing party, which could be, for example, a company that offers an AI product and uses XAI methods to calculate explanations for decisions made by their product. On the other side is the explanation-receiving party, which could be consumers that are affected by decisions from an AI product or supervisory authorities that want to assess the conformity of an AI product. As a special case, the document will also consider a scenario, where the explanationproviding and the explanation-receiving party are identical and the other party only provides the AI product. This special case can occur during assessment procedures. Academic research often considers a cooperative context, i.e., the explanation-providing party and the explanation-receiving party have the same goal. However, an adversarial context can be prevalent for assessment procedures and digital consumer protection. The term adversarial context means, that the participating parties do not follow the same objective. For example, market players (companies, consumers) can have different economic interests.   本書を通じて、研究シナリオは2つの当事者から構成されている。一方は説明プロバイダであり、例えば、AI製品を提供し、その製品による決定に対する説明を計算するためにXAI手法を使用する企業である。もう一方は説明を受ける側で、AI製品の決定の影響を受ける消費者や、AI製品の適合性を評価したい監督当局などが考えられる。特別なケースとして、説明提供側と説明受領側が同一であり、相手側がAI製品のみを提供するシナリオも考慮する。この特別なケースは、アセスメント手続き中に起こりうる。学術研究では、説明プロバイダと説明受領者が同じ目標を持つという、協力的な状況を考慮することが多い。しかし、アセスメント手続きやデジタル消費者保護においては、敵対的な文脈が広まることもある。敵対的文脈とは、参加当事者が同じ目的に従っていないことを意味する。例えば、市場関係者(企業、消費者)は異なる経済的利益を持ちうる。 
In a perfect (AI) world, consumers have access to XAI methods that they can use to get understandable information about automatic decision-making processes. Furthermore, this understandable information can be used by consumers to identify actions they can take (within the confinement of the law) to achieve a favorable change in the decision. A process that is known as algorithmic recourse (Karimi, et al., 2022). At the same time, supervisory authorities can use the understandable information provided by XAI methods to assess whether AI products abide by mandatory requirements or fulfill the standards of needed certifications (BSI, 2024b). However, the current generation of XAI methods has limitations and issues that make the secure and reliable use of these methods for the described scenarios questionable.  完璧な(AIの)世界では、消費者は自動的な意思決定プロセスに関する理解可能な情報を得るために使用できるXAI手法にアクセスできる。さらに、この識別可能な情報は、消費者が(法律の範囲内で)決定を有利に変更するために取ることができる行動を特定するために使用することができる。アルゴリズミック・リコースと呼ばれるプロセスである(Karimi, et al., 2022)。同時に、監督当局は、XAI手法によって提供される理解可能な情報を利用して、AI製品が必須要件を遵守しているかどうか、あるいは必要な認証の標準を満たしているかどうかを評価することができる(BSI, 2024b)。しかし、現在のXAI手法の生成的な限界や問題点は、説明されたシナリオにこれらの手法を安全かつ確実に使用することを疑問視させるものである。
2.1 The Disagreement Problem  2.1 不一致問題
Post-hoc explanation approaches are using downstream models to make the decision-making process of a black box model understandable for humans. The most common approaches are either using model internals (e.g., learned weights or gradients) or surrogate models[2] to approximate the investigated prediction model’s computations. However due to the fact that these approaches are using an approximation, they cannot guarantee to be faithful to the prediction model’s real computations. The computed explanation is influenced by design decisions of the different post-hoc approaches – so-called a priori assumptions. Since these assumptions differ between different post-hoc explanation approaches, two different approaches can compute vastly different explanations for the decision made by a prediction model for a specific data point. The term that is often used in literature to describe this issue is disagreement problem. The technical reason for this problem can be derived from the fact that calculating post-hoc explanations is underdetermined, which can be seen in two aspects. First, post-hoc explanation methods only have access to a sparse and coarse-grained view of the world. Second, there rarely is a single reason for a specific decision made by modern AI models due to their highly complex decision surfaces (Bordt, et al., 2022). Figure 1 shows a schematic visualization of the disagreement problem.  その場しのぎの説明アプローチは、ブラックボックスモデルの意思決定プロセスを人間に理解できるようにするために、下流モデルを使用する。最も一般的なアプローチは、調査された予測モデルの計算を近似するために、モデル内部(例えば、学習された重みまたは勾配)またはサロゲートモデル[2]を使用することである。しかし、これらのアプローチは近似を用いているため、予測モデルの実際の計算に忠実である保証はない。計算された説明は、異なるポストホックアプローチの設計上の決定、いわゆるアプリオリな仮定の影響を受ける。これらの仮定は異なるポストホック説明アプローチ間で異なるため、2つの異なるアプローチは、特定のデータポイントに対して予測モデルによってなされた決定に対して、大きく異なる説明を計算することができる。この問題を説明するために文献でよく使われる用語が不一致問題である。この問題の技術的な理由は、ポスト・ホック説明を計算することが過小決定であるという事実から導き出される。第一に、ポストホック説明法は疎で粗い世界観にしかアクセスできない。第二に、現代のAIモデルが行う特定の決定には、非常に複雑な決定曲面のため、単一の理由しか存在しないことがほとんどである(Bordt, et al., 2022)。図1は、不一致問題を模式的に視覚化したものである。
*****Fig1****
Figure 1: Schematic visualization of the disagreement problem. An AI black box denies a person’s loan application. Three different XAI methods are used to calculate an explanation for this decision. The used methods are SHAP (SHapley Additive explanation), LIME (Local Interpretable Model-agnostic Explanation), and SOFI (Sparseness-Optimized Feature Importance). All three methods create different explanations. While SHAP puts the most weight onto the equity capital of the applicant, LIME assigns the highest influence to the loan amount. Lastly, SOFI calculates that loan term is the most influential feature for the decision. This example shows the difficulties that the disagreement problem can cause to applicants. They are limited in their ability to identify actions that can cause a favorable change of decision due to the contradictory explanations.   図1:不一致問題の概略図。AIのブラックボックスが融資申請を却下する。この決定に対する説明を算出するために、3つの異なるXAI手法が使用される。使用される手法は、SHAP(SHapley Additive explanation)、LIME(Local Interpretable Model-agnostic Explanation)、SOFI(Sparseness-Optimized Feature Importance)である。3つの手法はすべて異なる説明を作成する。SHAPは申請者の自己資本に最も重み付けするのに対し、LIMEは融資額に最も高い影響力を割り当てる。最後に、SOFIは融資期間が決定に最も影響を与える特徴であると算出する。この例は、意見の相違が申請者に与える困難を示している。矛盾する説明により、決定に好ましい変化をもたらす行動を識別する能力が制限される。
Evidence of the disagreement problem can be found in several different application areas of AI. Within the natural language processing (NLP) domain, it was shown that disagreement between explanation approach occur independently of the used language model (e.g., LSTM or transformer-based) and during different tasks (e.g., language comprehension or sentiment analysis). Different XAI approaches were investigated including permutation-[3], gradient-[4] and propagation-based[5] explanation methods and all approaches showed severe differences in their calculated explanations (Neely, et al., 2021). However, the disagreement problem is not limited to the comparison of different XAI approaches. It can also be found when two explanation methods of the same approach are compared. This was noticed during an investigation of defect detection systems for source code. Two different permutation-based methods – LIME and SHAP – were used to calculate post-hoc explanations. The resulting explanations showed strong differences and were partly contradictory (Roy, et al., 2022). An extensive study on tabular data indicated, that the  disagreement problem can also be found when comparing popular methods that are using a counterfactual approach[6] (Brughmans, et al., 2024). The high prevalence of the disagreement problem became apparent with a study conducted by researchers from Harvard University, MIT, Drexel University, and Carnegie Mellon University. Within the study, eight different prediction models were trained on four different datasets (two tabular datasets, one textual dataset, and one image dataset). All tested prediction models were black boxes. After training, six popular explanation methods were applied to each combination of prediction model and dataset and the resulting explanations were compared. The researchers found clear differences between calculated explanations for all investigated data modalities. These results show the seriousness of the disagreement problem. In the same work, the researchers conducted a user study with professional data scientists to determine how often professionals encounter the disagreement problem. More than 70% of the participants indicated that the disagreement problem is part of their daily work. Additionally, further questioning indicated that there is a lack of standard practices to solve the encountered disagreements. In their daily work, participants usually use internal, subjective metrics to determine which post-hoc explanation they trust (Krishna, et al., 2024). Another aspect of the disagreement problem can be found in the lack of reproducibility that AI applications often face. For examples, small changes in the hardware environment of an AI model can lead to changes in the behavior. The changed behavior can then lead to changed explanations. (BSI, 2022).  不一致問題の証拠は、AIのいくつかの異なる応用分野で見つけることができる。自然言語処理(NLP)領域では、説明アプローチ間の不一致は、使用される言語モデル(例えばLSTMや変換器ベース)とは無関係に、また異なるタスク(例えば言語理解や感情分析)中に発生することが示された。順列法[3]、勾配法[4]、伝播法[5]など、さまざまなXAIアプローチが調査されたが、どのアプローチも、計算された説明文に大きな違いを示した(Neely, et al.) しかし、不一致の問題は、異なるXAIアプローチの比較に限定されるものではない。同じアプローチの2つの説明方法を比較した場合にも見られる。これは、ソースコードの欠陥検知システムの調査中に気づいた。LIMEとSHAPという2つの異なる順列に基づく方法が、事後説明を計算するために使用された。その結果、説明には強い違いが見られ、部分的に矛盾していた(Roy, et al., 2022)。表データに関する広範な研究では、不一致の問題は、反実仮想的アプローチを使用する一般的な方法を比較するときにも見られることが示された[6](Brughmans, et al., 2024)。ハーバード大学、マサチューセッツ工科大学(MIT)、ドレクセル大学、カーネギーメロン大学の研究者によって実施された研究で、不一致問題の有病率の高さが明らかになった。この研究では、8つの異なる予測モデルが4つの異なるデータセット(2つの表データセット、1つのテキストデータセット、1つの画像データセット)で訓練された。テストされた予測モデルはすべてブラックボックスであった。学習後、6種類の一般的な説明方法を、予測モデルとデータセットの各組み合わせに適用し、得られた説明を比較した。研究者は、調査したすべてのデータモダリティについて、計算された説明の間に明確な違いがあることを発見した。これらの結果は、不一致問題の深刻さを示している。同じ研究において、研究者らは、専門家が不一致問題に遭遇する頻度を明らかにするため、プロのデータ科学者を対象としたユーザー調査を実施した。参加者の70%以上が、不一致問題は日常業務の一部であると回答した。さらに質問を進めたところ、遭遇した意見の相違を解決するための標準的なプラクティスが不足していることが示された。日常業務において、参加者は通常、社内の主観的な指標を用いて、どの事後説明を信頼するかを決定している(Krishna, et al., 2024)。不一致問題のもう一つの側面は、AIアプリケーションがしばしば直面する再現性の欠如にある。例えば、AIモデルのハードウェア環境の小さな変化が、動作の変化につながることがある。変化した挙動は、説明の変化につながる可能性がある。(BSI, 2022)。
The disagreement problem is a prominent challenge for the scenarios that this manuscript is focused on. A multitude of different or contradictory explanations could cause consumers to be overwhelmed, if they are supposed to use these explanations to understand a decision process or derive actions for a favorable decision change. Simultaneously, the disagreement between XAI methods give explanation-providing parties the possibility to select one specific explanation that is most suitable to their interest. Since these interests do not necessarily match with the interests of consumers, this could cause conflicts with digital consumer protection. Supervisory authorities can also face challenges due to the disagreement problem. If provided explanations are supposed to support an assessment procedure to assure that an AI product is in accordance with mandatory requirements, then the disagreement problem could allow explanation-providing parties to hide explanations that would make the conformity of their products questionable. Additionally, the disagreement problem can cause challenges, if supervisory authorities are calculating explanations themselves during an assessment procedure. A possible situation could arise where the use of different XAI methods result in different assessments regarding the conformity of an AI product. It is unclear how to solve such a situation.  不一致の問題は、この原稿が焦点を当てているシナリオにとって顕著な課題である。消費者がこれらの説明を使って意思決定プロセスを理解したり、好ましい意思決定変更のための行動を導き出したりする場合、多数の異なる説明や矛盾する説明は、消費者を圧倒してしまう可能性がある。同時に、XAI手法間の不一致は、説明を提供する側に、自分の関心に最も適した特定の説明を1つ選択する可能性を与える。これらの利益は必ずしも消費者の利益と一致しないため、デジタル消費者保護との軋轢を引き起こす可能性がある。監督当局もまた、不一致の問題に起因する課題に直面する可能性がある。提供された説明が、AI製品が必須要件に適合していることを保証するためのアセスメント手続を支援するものとされている場合、不一致問題によって、説明を提供する当事者が、自社製品の適合性を疑わせるような説明を隠すことが可能になる可能性がある。さらに、監督当局がアセスメント手続き中に自ら説明を計算する場合にも、不一致問題は問題を引き起こす可能性がある。異なるXAI手法の使用により、AI製品の適合性に関するアセスメントが異なるという状況が起こりうる。このような状況をどのように解決するかは不明である。
2.2 The Manipulation Risk  2.2 操作リスク
There are additional possibilities to misuse XAI methods beside abusing the disagreement problem. It is also possible to directly manipulate an explanation. This can be achieved by either manipulating the prediction model or the explanation model in a way that conserves the predictive behavior of the AI model but changes the calculated explanations. A schematic visualization of manipulation can be found in Figure 2. The goal of manipulating explanations is to hide undesired or illegal behavior of AI models (Schneider, et al., 2023). Permutation-based explanation methods use small perturbations to inputs in their computation process. This fact can be exploited for manipulations. For two of the most popular methods from this approach – LIME and SHAP – it is possible to discriminate between regular inputs and generated, perturbed inputs. In (Slack, et al., 2020), authors were able to show that this information is sufficient to hide problematic behavior of a prediction model. They combined the “real” prediction model with a manipulated model that did not have the problematic behavior. While the “real” model was used to make predictions, the posthoc explanations were based on the manipulated model. If the investigated AI product is a black box that combines the original model with the manipulated model, the proposed manipulation can be hidden from consumers and supervisory authorities.  不一致問題を悪用する以外にも、XAI手法を悪用する可能性がある。説明を直接操作することも可能である。これは、AIモデルの予測動作はそのままに、計算された説明を変更する方法で、予測モデルまたは説明モデルを操作することで実現できる。操作の概略的な視覚化は図2にある。説明を操作する目的は、AIモデルの望ましくない、あるいは違法な振る舞いを隠すことである(Schneider, et al., 2023)。順列に基づく説明手法は、計算過程で入力に小さな摂動を与える。この事実は、操作に利用できる。LIMEとSHAPの2つは、通常の入力と生成的な摂動入力を識別することができる。Slack, et al., 2020)において、認可者はこの情報が予測モデルの問題行動を隠すのに十分であることを示すことができた。彼らは「本物」の予測モデルを、問題のある振る舞いをしない操作されたモデルと組み合わせた。本物」のモデルは予測に使用されたが、事後説明は操作されたモデルに基づいて行われた。もし調査対象のAI製品が、オリジナルのモデルと操作されたモデルを組み合わせたブラックボックスであれば、提案された操作を消費者や監督当局から隠すことができる。
*****Fig2*****
Figure 2: Schematic visualization of XAI method manipulation. An AI black box denies a person’s loan application.  図2:XAI手法の操作の模式的視覚化。AIのブラックボックスは、ある人のローン申請を拒否する。
Using a post-hoc explanation method indicates, that the applicant’s gender was most influential for the decision – a potential violation of anti-discrimination law. The explanation-providing party wants to hide this illegal behavior to avoid claims of damages. Therefore, the explanation gets manipulated to eradicate the influence of gender from the explanation even though the model still uses this feature.  事後的な説明方法を用いると、申請者の性別がその決定に最も影響したことが示される-これは差別禁止法違反の可能性がある。説明を提供する側は、損害賠償請求を避けるためにこの違法行為を隠したい。そのため、モデルにはこの特徴が使われているにもかかわらず、説明から性別の影響を排除するように説明が操作される。
Counterfactual explanation approaches are also vulnerable to manipulation. If a specially designed loss function is used during training, auditing the trained model with counterfactual explanations would indicate an acceptable model behavior. However, the designed loss function opened a back door that can be misused by providers, to manipulated counterfactual explanations for arbitrary inputs when the model is deployed. Providers could use this back door, for example, to give realistic recourse options only to a selected subgroup of users (Slack, et al., 2021). For image data, researchers were able to show that methods based on saliency maps can be manipulated. This manipulation was achieved by specific optimization formulas for model finetuning. The finetuned models had an unchanged predictive behavior but the computation of saliency maps by different post-hoc explanation methods was altered. With the proposed finetuning either a passive manipulation (i.e., the calculated explanation is randomized) or an active manipulation (i.e., the calculated explanation follows a predetermined form) can be achieved (Heo, et al., 2019). Another group of researchers investigated gradient-based explanation approaches in the NLP field. Their results indicate that many of these methods can be manipulated to hide the real behavior of a prediction model (Wang, et al., 2020). In general, post-hoc explanation methods are vulnerable to several different vectors from the field of adversarial attacks[7]. However, in the explanation case, these vectors will not be used by malicious actors to attack an AI model. Instead, adversarial attacks can be used by explanation-providing parties to deceive explanation-receiving parties about the real behavior of an AI model (Baniecki, et al., 2024).   反実仮想的説明アプローチも操作の脆弱性がある。訓練中に特別に設計された損失機能が使用された場合、反事実的説明で訓練されたモデルを監査すると、許容可能なモデル動作を示すだろう。しかし、設計された損失関数は、モデルが展開されるときに、任意の入力に対する反事実的説明を操作するために、プロバイダによって悪用される可能性のあるバックドアを開いた。プロバイダはこのバックドアを利用して、例えば、現実的な救済オプションを選択されたサブグループのユーザーにだけ与えることができる(Slack, et al., 2021)。画像データについては、研究者は、顕著性マップに基づく手法が操作可能であることを示すことができた。この操作は、モデルの微調整のための特定の最適化公式によって達成された。ファインチューニングされたモデルの予測動作は変わらないが、異なる事後説明法による顕著性マップの計算が変更された。提案されたファインチューニングでは、受動的操作(すなわち、計算された説明がランダムになる)または能動的操作(すなわち、計算された説明があらかじめ決められた形式に従う)のいずれかを達成することができる(Heo, et al.) 別の研究者グループは、NLP分野における勾配ベースの説明アプローチを調査した。彼らの結果は、これらの手法の多くが、予測モデルの実際の振る舞いを隠すように操作できることを示している(Wang, et al., 2020)。一般的に、ポストホック説明手法は、敵対的攻撃の分野からいくつかの異なるベクトルに対して脆弱性を持つ[7]。しかし、説明の場合、これらのベクトルは悪意のある行為者がAIモデルを攻撃するために使用することはない。その代わり、敵対的攻撃は、説明を提供する側が、AIモデルの実際の振る舞いについて説明を受ける側を欺くために使用することができる(Baniecki, et al.) 
Deep Dive  Deep Dive
A group of researchers showed the seriousness of the manipulation issue for popular explanation methods that are based on gradients and propagation. They used differential geometry to show, that for every black box there is a surrogate model with identical behavior on the data manifold but arbitrary gradient- or propagation-based explanations (Anders, et al., 2020). Their argument uses the insight that gradients, which lie orthogonal to the data manifold, do not influence the model’s prediction behavior on the data. Therefore, these gradients can be used to create arbitrary explanations, since they are highly influential for the calculation of gradient- and propagation-based explanations.  研究者グループは、勾配と伝播に基づく一般的な説明手法の操作問題の深刻さを示した。彼らは微分幾何学を用いて、あらゆるブラックボックスに対して、データ多様体上では同一の振る舞いをするが、勾配や伝播に基づく説明は任意である代理モデルが存在することを示した(Anders, et al., 2020)。彼らの議論は、データ多様体に直交する勾配は、データ上でのモデルの予測動作に影響を与えないという洞察を用いている。したがって、これらの勾配は、勾配や伝播に基づく説明の計算に大きな影響を与えるため、任意の説明を作成するために使用することができる。
Manipulating explanations can lead to the same problematic situations as described in the section about the disagreement problem. Consumers could be negatively impacted by deceiving them about the real workings of a decision process or by preventing them from identifying actions for a favorable decision change. Concurrently, supervisory authorities can be deceived during assessment procedures. For example, this could lead to an AI product being cleared for certifications even if the product does not fulfill the requirements.  説明を操作することは、不一致問題のセクションで説明したのと同じような問題を引き起こす可能性がある。消費者は、意思決定プロセスの実際の仕組みについて欺いたり、有利な意思決定変更のための行動を特定できないようにしたりすることで、悪影響を受ける可能性がある。同時に、監督当局はアセスメント手続き中に欺かれる可能性がある。例えば、AI製品が要求事項を満たしていないにもかかわらず、認証をクリアしてしまう可能性がある。
2.3 Fairwashing  2.3 Fairwashing
An important topic for assessment and control of AI products is whether such a product has unfair or discriminating behavior towards a subpopulation of consumers. Equal treatment independent of sensitive attributes like ethnicity, gender identity, or sexual orientation belongs to the basic rights of German and European citizens and, hence, is specially protected (cf Article 3 Basic Law of the Federal Republic of Germany, Article 21 EU Charter of Fundamental Rights, and Article 18 Treaty on the Functioning of the EU). This fundamental right gets affirmed in different legal texts that are important for the application of AI (cf Article 5(1) lit. c AI Act and Article 9(1) GDPR). However, the topic of unfair or discriminating behavior is important for IT security as well. On a fundamental level, unfair or discriminating behavior means that subpopulations are treated differently by an AI product. This could lead to security issues, if such a product is applied in a security-sensitive scenario. As an example, consider an identification software based on biometric data that is biased against a certain ethnicity. In the worst case, deployment of such a biased software could mean that unauthorized persons gain access to restricted areas or information, if the software has difficulties distinguishing between humans of the same ethnicity. Another mandatory characteristic of a secure IT product is the guarantee, that provided information is accurate and trustworthy. An AI product with unfair or discriminating behavior cannot reliably fulfill this mandatory characteristic. In summary, AI products with the described behavior break with basic principles of IT security that are defined in the so-called CIA triad: confidentiality, integrity and availability. In profit-oriented processes, however, unfair or discriminating behavior of AI products might be accepted by providers, if this leads to advantages over competitors – for example due to better prediction performance. This behavior has to be hidden from supervisory authority, since it could violate mandatory requirements. The process of hiding unfair or discriminating behavior of an AI is called fairwashing. The following section will provide a more detailed look onto this topic due to the relevance for IT security and digital consumer protection.  AI製品のアセスメントと管理にとって重要なトピックは、そのような製品が消費者の下位集団に 対して不公正または識別的な行動をとっているかどうかである。民族、性自認、性的指向といった微妙な属性に左右されない平等な扱いは、ドイツおよび欧州市民の基本的権利に属し、それゆえ特別に保護されている(ドイツ連邦共和国基本法第3条、EU基本権憲章第21条、EU機能条約第18条参照)。この基本的権利は、AIの適用にとって重要なさまざまな法文で確認されている(AI法第5条1項c、GDPR第9条1項参照)。しかし、不当な行為や識別的行為は、ITセキュリティにとっても重要である。基本的なレベルでは、不公正または識別的な振る舞いとは、AI製品によって一部の集団が異なる扱いを受けることを意味する。このような製品がセキュリティ上重要なシナリオに適用された場合、セキュリティ上の問題につながる可能性がある。例として、特定の民族に偏った生体データに基づく識別ソフトウェアを考えてみよう。最悪の場合、そのようなバイアスのかかったソフトウェアを展開すると、同じ民族の人間を区別するのが難しい場合、権限のない人間が制限されたエリアや情報にアクセスすることになりかねない。安全なIT製品のもうひとつの必須特性は、プロバイダが提供する情報が正確で信頼できるものであることを保証することである。不公正な、あるいは識別的な振る舞いをするAI製品は、この必須特性を確実に満たすことはできない。要約すると、このような振る舞いをするAI製品は、いわゆるCIAの三原則(機密性、完全性、可用性)で定義されているITセキュリティの基本原則に反している。しかし、利益重視のプロセスでは、AI製品の不公正な振る舞いや識別的な振る舞いがプロバイダに受け入れられる可能性がある。このような行動は、強制的な要件に違反する可能性があるため、監督当局から隠さなければならない。AIの不公正な行動や識別的な行動を隠すプロセスは、フェアウォッシュと呼ばれる。以下では、ITセキュリティやデジタル消費者保護との関連性から、このトピックについてより詳しく見ていく。
Researchers from Canada and Japan proposed an early formalization of the problem (Aivodji, et al., 2019).They defined fairwashing from two different directions. In the first case, the goal is to hide an unfair model from a group of users or a supervisory authority. This case is called model fairwashing. Similar to the standard procedure in XAI, model fairwashing uses an interpretable surrogate model to approximate the behavior of the unfair model. As an additional constraint, the surrogate model also has to optimize a fairness metric[8] compared to the original model. In other words, model fairwashing searches for an interpretable surrogate model that is fairer than the approximated model. This would result in global explanations – this term describes explanations that depict the general behavior of a prediction model – which hide the unfair behavior of the model. Model fairwashing is applicable to the case where a group of users, the so-called suing group, feels unfairly treated by an AI product and demands an explanation. Another case would be the assessment of AI products by a supervisory authority. The suing group in this case would not be a group of users but a control benchmark developed and used by the supervisory authority to evaluate AI products. To assess the product’s conformity with mandatory requirements, explanations are calculated for the control benchmark.  カナダと日本の研究者は、この問題の初期の定式化を提案した(Aivodji, et al. 最初のケースでは、不公正なモデルをユーザーグループや監督機関から隠すことが目的である。このケースはモデルフェアウォッシングと呼ばれる。XAIにおける標準的な手順と同様に、モデル・フェアウォッシングは、解釈可能なサロゲート・モデルを使用して、不公平なモデルの振る舞いを近似する。追加的な制約として、サロゲート・モデルは、オリジナル・モデルと比較して、公平性メトリック[8]を最適化しなければならない。言い換えれば、モデルフェアウォッシングは、近似されたモデルよりも公正な解釈可能な代理モデルを探索する。その結果、グローバルな説明(この用語は、予測モデルの一般的な振る舞いを描写する説明を表す)が、モデルの不公正な振る舞いを隠すことになる。モデルのフェアウォッシングは、ユーザーのグループ、いわゆる訴訟グループが、AI製品によって不当な扱いを受けたと感じ、説明を要求する場合に適用される。もう一つのケースは、監督当局によるAI製品のアセスメントである。この場合、訴える集団はユーザー集団ではなく、監督当局がAI製品を評価するために開発し使用する管理ベンチマークとなる。製品の必須要件への適合性を評価するために、管理ベンチマークに対する説明が計算される。
The second direction from which the authors define fairwashing covers the individual case, i.e., the situation where a single user feels unfairly treated by an AI model. This direction will be called outcome fairwashing in the following. In contrast to model fairwashing, outcome fairwashing does not require that the whole prediction model can be approximated by a fair surrogate model. Instead, a fair behavior has to be counterfeited only within a neighborhood surrounding the considered data point, i.e., for all data points that are similar to the input.  認可者がフェアウォッシングを定義する第二の方向性は、個々のケース、すなわち、一人のユーザーがAIモデルによって不当な扱いを受けたと感じる状況を対象とする。この方向性を、以下では結果フェアウォッシングと呼ぶ。モデルのフェアウォッシングとは対照的に、結果のフェアウォッシングでは、予測モデル全体が公正な代理モデルで近似できる必要はない。その代わり、公正な振る舞いは、考慮されたデータ点を取り囲む近傍領域、つまり入力に類似する全てのデータ点に対してのみ偽造されなければならない。
The definitions of model and outcome fairwashing do not specify the fairness metric, rather, different metrics can be used. This was a conscious decision to accompany the fact, that the choice of the “right” fairness metric is not intuitive and often controversial (cf (Barocas, et al., 2023) for a detailed discussion).  モデルと結果のフェアウォッシングの定義では、公正さの指標を指定していない。これは、「正しい 」フェアネス尺度の選択は直感的ではなく、しばしば論争になる(詳細な議論については(Barocas, et al., 2023)を参照)という事実に伴う意識的な決定であった。
For both fairwashing definitions, the researchers proposed an automatic procedure to generate explanations that hide the problematic behavior of an AI model (Aivodji, et al., 2021). This work investigated the fidelity-unfairness trade-off to better understand fairwashing. This term describes the fact that fairwashing requires an equilibrium between maximizing how accurate a surrogate model can simulate the behavior of a prediction model and minimizing the unfair behavior of the surrogate model compared to the original model. The conducted experiments showed, that manipulated explanation models were able to generalize to new data sets. In other words, explanation models that were manipulated for a certain suing group or control benchmark were able to generate convincing explanations on new data. Here, convincing means that the explanation were not clearly identifiable as manipulated. Furthermore, manipulated explanation models were able to generalize to new prediction models. These results indicate, that identifying fairwashing is challenging for supervisory authorities and users. Another issue is the distinction between intentional and non-intentional fairwashing. A group of researchers were able to show that approximating a black box by a surrogate model always causes a certain amount of fairwashing as long as the black box is not perfectly fair (Shahin Shamsabadi, et al., 2022). For the proof, the term fairness gap was introduced which describes how fair a model under a specific fairness metric is. The researchers were able to show that one can write the fairness gap of a surrogate model as a function of the fairness gap of the corresponding black box. This leads to the proof that fairwashing can only be avoided with certainty, if one intentionally makes the surrogate model unfairer that the black box.  どちらのフェアウォッシング定義についても、研究者はAIモデルの問題行動を隠す説明を生成する自動的な手順を提案した(Aivodji, et al., 2021)。この研究では、フェアウォッシングをよりよく理解するために、忠実性と不公正性のトレードオフを調査した。この用語は、フェアウォッシングが、サロゲートモデルが予測モデルの振る舞いをどれだけ正確にシミュレートできるかを最大化することと、オリジナルモデルと比較したサロゲートモデルの不公正な振る舞いを最小化することの間の均衡を必要とするという事実を表している。実施された実験から、操作された説明モデルは新しいデータセットに汎化できることが示された。言い換えれば、特定の訴求グループやモデル制御ベンチマークに対して操作された説明モデルは、新しいデータに対して説得力のある説明を生成することができた。ここで、説得力のある説明とは、その説明が操作されたものであると明確に識別できないことを意味する。さらに、操作された説明モデルは、新しい予測モデルに一般化することができた。これらの結果は、フェアウォッシングを識別することは、監督当局やユーザーにとって困難であることを示している。もう一つの問題は、意図的なフェアウォッシュと非意図的なフェアウォッシュの区別である。ある研究者グループは、ブラックボックスを代理モデルで近似すると、ブラックボックスが完全に公正でない限り、常に一定量のフェアウォッシングが発生することを示すことができた(Shahin Shamsabadi, et al., 2022)。この証明のために、特定の公平性メトリックの下でモデルがどの程度公平であるかを表す、公平性ギャップという用語が導入された。研究者たちは、サロゲートモデルの公平性ギャップを、対応するブラックボックスの公平性ギャップの関数として書けることを示すことができた。これは、意図的にサロゲート・モデルをブラックボックスよりも不公平にした場合にのみ、フェアウォッシングを確実に回避できるという証明につながる。
Fairwashing is a special case that can arise from the problems previously mentioned in this chapter: the disagreement problem and manipulation. Since fairwashing cannot guarantee conformity with the principles of the CIA triad and could lead to violations of consumers’ basic rights, this issue has to be specifically considered for the design and implementation of assessment procedures for AI products.  フェアウォッシングは、本章で前述した不一致問題と操作の問題から生じうる特殊なケースである。フェアウォッシュはCIAの三原則への適合を保証することはできず、消費者の基本的権利の侵害につながる可能性があるため、この問題はAI製品のアセスメント手続の設計と実施において特に考慮されなければならない。
3 Solutions  3 解決策
There are different proposed ideas in the literature to solve the problems introduced in chapter 2. While solutions for the disagreement problem are not well developed, two approaches can be identified to solve manipulations in theory. Either, reliably working detection methods are developed. These methods have to be able to detect manipulations with high sensitivity and specificity. Or, the possibility for a new generation of explanation methods – that cannot be manipulated – has to be explored. If such robust explanation methods can be developed, mandatory guidelines need to be established which forces providers to exclusively use these robust methods. Research is conducted for both directions. The approaches introduced in this section have to be understood as academic suggestions. It has to be further investigated, whether these approaches can be reliably and securely implemented in praxis.  2章で紹介した問題を解決するために、文献にはさまざまなアイデアが提案されている。不一致問題の解決策はあまり開発されていないが、理論的に操作を解決するための2つのアプローチが確認できる。一つは、確実に動作する検知方法を開発することである。これらの方法は、高い感度と特異性で操作を検知できなければならない。あるいは、操作されない新世代の説明方法の可能性を探る必要がある。もしそのようなロバストな説明方法が開発されれば、プロバイダがこれらのロバストな方法を独占的に使用するよう強制するガイドラインを確立する必要がある。研究は両方の方向から行われる。このセクションで紹介したアプローチは、学術的な提案として理解されなければならない。これらのアプローチが、実際の現場で確実かつ安全に実施できるかどうかは、さらに調査されなければならない。
3.1 Solving the Disagreement Problem  3.1 不一致問題の解決
Currently, there is no sufficient, technical solution for the disagreement problem. In one study, researchers investigated similarities between three popular explanation methods (SHAP, Partial Dependence Plots, Permutation Feature Importance). One result indicated that disagreement occurred partly due to feature interactions[9].  For toy examples, the study showed that disagreement between methods can be reduced by localizing the methods onto areas without feature interactions  (Laberge, et al., 2024). However, the work does not offer insights into the fundamental problem of disagreement between explanation methods. Additionally, the precise definition of these areas cannot be provided in general, which means that the identification of these areas cannot be guaranteed in an application case. Furthermore, it remains unclear whether the proposed approach generalizes to higher feature dimensions and more complex interaction structures.  現在のところ、不一致問題に対する十分で技術的な解決策はない。ある研究において、研究者は3つの一般的な説明方法(SHAP、部分従属プロット、順列特徴重要度)の類似性を調査した。その結果、不一致は部分的に特徴の相互作用に起因することが示された[9]。おもちゃの例に対して、この研究は、特徴相互作用のない領域に手法を局所化することで、手法間の不一致を低減できることを示した(Laberge, et al., 2024)。しかし、この研究は、説明手法間の不一致という根本的な問題に対する洞察を提供していない。さらに、これらの領域の正確な定義は一般的に提供されないため、応用事例においてこれらの領域の特定が保証されないことを意味する。さらに、提案されたアプローチが、より高い特徴次元やより複雑な相互作用構造に対して一般化されるかどうかは不明なままである。
3.2 Detecting Manipulations  3.2 操作の検知
Reliably detecting manipulated explanations requires sufficient domain expertise (Schneider, et al., 2023). One simple example can visualize the issue. Consider an AI product that classifies mushrooms into edible and poisonous. Internally, the AI switches agaricus bisporus (commonly known as cultivated mushroom) and amanita phalloides (commonly known as death cap). Switching means that the prediction behavior together with all associated explanations are switched such that the AI classifies cultivated mushrooms as death caps and vice versa. User without sufficient domain expertise about mushrooms cannot detect such a manipulation because the model is consistently manipulated. However, the potential outcome – users consume highly poisonous mushrooms – is very dangerous.  操作された説明を確実に検知するには、十分な専門知識が必要である(Schneider, et al., 2023)。一つの簡単な例で、この問題を視覚化することができる。キノコを食用と毒キノコに分類するAI製品を考えてみよう。AIは内部で、アガリクス・ビスポラス(一般に栽培キノコとして知られる)とアマニタ・ファレオイデス(一般にデスキャップとして知られる)を切り替える。切り替えとは、AIが栽培キノコをデスキャップと分類するように、関連するすべての説明とともに予測動作を切り替えることを意味する。モデルは一貫して操作されているため、キノコに関する十分な専門知識を持たないユーザーはこのような操作を検知できない。しかし、ユーザが猛毒のキノコを摂取するという潜在的な結果は非常に危険である。
A proposed approach for the detection of manipulated explanations uses an outlier argument (Schneider, et al., 2023). The investigated black box 𝑏 is used to predict labels for a data set. The resulting set of data point and label pairs is called 𝑋audit = (𝑥, 𝑏(𝑥)) 1,⋯,𝑛 and used to train a set of new black box prediction models. A post-hoc explanation method is used to calculate explanations for the original black box and the newly trained prediction models for each data point in 𝑋audit. Afterwards, the gained set of explanations will be used for an outlier analysis to determine whether the explanation of the original black box belongs to the same distribution than the explanations of the newly trained prediction models. An alternative approach uses the explanations of the investigated black box to train new prediction models, i.e., the task is to predict the label given the explanation. In this case, the outlier analysis is conducted using the accuracy of the newly trained prediction models together with the accuracy of the original black box. In either case, further investigation is required, if the original black box turns out to be an outlier since it means that the black box could be manipulated.  操作された説明を検知するために提案されたアプローチは、外れ値論証を使用する(Schneider, et al.) 調査されたブラックボックスᵄは、データセットのラベルを予測するために使用される。結果として得られるデータ点とラベルのペアの集合を𝑋audit = (↪Ll_1D465, ↪Ll_1D44F)(↪Ll_1D465) と呼ぶ。1,⋯,𝑛と呼ばれ、新しいブラックボックス予測モデルを学習するのに使われる。ポストホック説明法を用いて,𝑋audit の各データ点について,元のブラックボックスと新しく学習した予測モデルの説明を計算する.その後、得られた説明の集合は、元のブラックボックスの説明が新しく訓練された予測モデルの説明と同じ分布に属するかどうかを判定する外れ値分析に使用される。別のアプローチでは、調査されたブラックボックスの説明を用いて新しい予測モデルを訓練する、つまり、タスクは説明が与えられたラベルを予測することである。この場合、外れ値分析は、新たに訓練された予測モデルの精度と、元のブラックボックスの精度を併用して行われる。いずれの場合も、元のブラックボックスが外れ値であることが判明した場合、ブラックボックスが操作された可能性があることを意味するため、さらなる調査が必要となる。
For fairwashing, there is a detection approach that uses fundamental statistical values of the explanation model and the black box (Shahin Shamsabadi, et al., 2022). The investigated statistical values are sensitivity or true positive rate (TPR), false positive rate (FPR), specificity or true negative rate (TNR), and false negative rate (FNR). A pronounced discrepancy of these values between the black box and the explanation model could point toward fairwashing of the black box. The discrepancy is quantified using the Kullback-Leibler divergence, a measure for the difference between two probability distributions.  フェアウォッシングについては、説明モデルとブラックボックスの基本的な統計値を使用する検知アプローチがある(Shahin Shamsabadi, et al.) 調査された統計値は、感度または真陽性率(TPR)、偽陽性率(FPR)、特異度または真陰性率(TNR)、偽陰性率(FNR)である。ブラックボックスと説明モデルの間にこれらの値の顕著な不一致がある場合、ブラックボックスのフェアウォッシュが指摘される可能性がある。この不一致は、2つの確率分布の差の尺度であるカルバック・ライブラー発散を用いて定量化される。
3.3 Robustness of Explanations  3.3 説明の頑健性
A proposed approach to create more robust explanations uses insights from differential geometry. Here, the calculation of gradient- and propagation-based explanations gets constrained to gradients that would change the prediction behavior of black box and surrogate model, if these gradients are manipulated  (Anders, et al., 2020). From a technical point of view, the approach projects explanations onto the tangent space of the data manifold to make the explanations more robust against manipulations. However, the correct form of the projection is usually unknown and often needs expensive computations to find heuristically. This limits the usability of the approach in an applied setting.  より頑健な説明を作成するために提案されたアプローチは、微分幾何学からの洞察を利用する。ここでは、勾配と伝搬に基づく説明の計算は、ブラックボックスとサロゲートモデルの予測挙動を変化させる勾配に制約される。技術的な観点からは、このアプローチは、説明をデータ多様体の接線空間に投影することで、説明の操作に対するロバスト性を高めている。しかし、投影の正しい形は通常未知であり、発見的に見つけるには高価な計算を必要とすることが多い。このことは、応用的な設定におけるアプローチの有用性を制限する。
There exists a proposed method to quantify the potential of fairwashing which uses the Rashomon set of the investigated black box. The Rashomon set is the set of all (interpretable) surrogate models within a defined threshold of allowed decrease in performance compared to the investigated black box. If this set can be approximated, the risk of fairwashing can be quantified. Surrogate models with high fairness according to the chosen metric within the Rashomon set enable fairwashing by the explanation-providing party. The risk of fairwashing is minimized, if there are no surrogate models with high fairness in the Rashomon set (Aivodji, et al., 2021). The method fairness in the Rashomon set (FaiRS) provides a heuristic to approximate the variance of fairness within the Rashomon set (Coston, et al., 2021).  フェアウォッシングの可能性を定量化する方法として、調査対象のブラックボックスの羅生門集合を用いる方法が提案されている。羅生門集合とは、調査したブラックボックスと比較して性能の低下が許容される、定義された閾値内のすべての(解釈可能な)サロゲートモデルの集合である。この集合が近似できれば、フェアウォッシュのリスクを定量化することができる。羅生門集合の中で選択された評価基準に従って高い公平性を持つサロゲート・モデルは、説明プロバイダによるフェアウォッシュを可能にする。フェアウォッシングのリスクは、羅生門集合の中に高フェアネスを持つ代理モデルが存在しない場合に最小化される(Aivodji, et al.) 羅生門集合におけるフェアネス(FaiRS)法は、羅生門集合内のフェアネスの分散を近似するヒューリスティックを提供する(Coston, et al.) 
4 Conclusion  4 結論
AI systems in digital markets place new demands on digital consumer protection, assessment procedures and regulation (Hardt, et al., 2016) (Perdomo, et al., 2020) (Hardt, et al., 2022). While XAI methods are promising when used for knowledge discovery in research or model optimization in industry, they cannot guarantee a benefitial impact on assessment procedures and digital consumer protection. From the technical side, current XAI methods are vulnerable to manipulations, i.e., computed explanations can be manipulated by explanation-providing parties to protect their (economic) interests. This can be used to deceive supervisory authorities and consumers and, hence, has the potential to negatively impact the protection of consumers. IT Security can also be compromised if the real behavior of an AI model is intentionally hidden. Therefore, XAI methods have to be robust against manipulation or reliable detection methods have to be available. Neither can be guaranteed by the currently available solutions.  デジタル市場におけるAIシステムは、デジタル消費者保護、評価手続き、規制に新たな要求を突きつけている(Hardt, et al., 2016)(Perdomo, et al., 2020)(Hardt, et al., 2022)。XAI手法は、研究における知識発見や産業界におけるモデル最適化に使用される場合には有望であるが、アセスメント手続きやデジタル消費者保護に有益な影響を与えることを保証するものではない。技術的な側面から見ると、現在のXAI手法は操作に対して脆弱性がある。すなわち、計算された説明は、説明プロバイダによって、(経済的な)利益を守るために操作される可能性がある。これは、監督当局や消費者を欺くために使われる可能性があり、消費者保護に悪影響を及ぼす可能性がある。また、AIモデルの実際の挙動が意図的に隠されている場合、ITセキュリティが損なわれる可能性もある。したがって、XAIの手法は操作に対してロバストでなければならないし、信頼できる検知方法がなければならない。現在利用可能なソリューションでは、どちらも保証できない。
The disagreement problem poses an additional, serious challenge. Since it is a fundamental issue of post-hoc explanations, the possibility of a technical solution cannot be anticipated, currently. One option to mitigate the disagreement problem would be to determine a standard method for the calculation of post-hoc explanations in the areas of assessment procedures and digital consumer protection. However, it could prove difficult to identify the “best” standard method since different XAI methods have advantages and disadvantages depending on the use case. Another option would be that explanation-providing parties declare before the launch of an AI product which XAI method will be used for the calculation of explanations. Afterwards, explanation-providing parties as well as supervisory authorities are restricted to use only the specified method for the calculation of explanations.  A more restrictive approach would be the ban of products based on AI black boxes for high stakes application areas such as critical infrastructure. This would mean that only the use of inherently interpretable solutions would be permitted. However, this would constitute a serious market intervention with a possibly negative impact on technological innovation. A less restrictive approach is desirable, which requires a goaloriented and unbiased discussion about the necessary technological tools to sufficiently assess AI products. A possible approach would be the development of an extensive audit with white box access, i.e., auditors have access to the inner workings of AI models, and outside the box access, i.e., auditors have access to additional important information like training environment, training data, and application case of AI models (Casper, et al., 2024). A less work-intensive approach using an input-output audit with a meaningful benchmark could be sufficient to determine conformity of products in less critical areas. The use of XAI methods is not required in both cases, which would allow to circumvent the disagreement problem.  不一致の問題は、さらに深刻な課題を突きつけている。これは事後説明の基本的な問題であるため、技術的解決の可能性は今のところ期待できない。不一致問題を緩和する一つの選択肢は、アセスメント手続きとデジタル消費者保護の分野において、事後説明の計算のための標準的な方法を決定することであろう。しかし、ユースケースによって異なるXAI手法には長所と短所があるため、「最良」の標準手法を特定することは困難である。もう一つの選択肢は、説明プロバイダがAI製品の発売前に、説明の計算にどのXAI方式を使用するかを宣言することである。その後、認可プロバイダおよび監督当局は、説明の計算に指定された方法のみを使用するよう制限される。より制限的なアプローチとしては、重要インフラストラクチャのようなリスクの高い応用分野では、AIブラックボックスに基づく製品の使用を禁止することである。これは、本質的に解釈可能なソリューションの使用のみが許可されることを意味する。しかし、これは深刻な市場介入となり、技術革新に悪影響を及ぼす可能性がある。より制限の少ないアプローチが望まれる。そのためには、AI製品を十分にアセスメントするために必要な技術ツールについて、目標志向で偏りのない議論が必要だ。可能なアプローチとしては、ホワイトボックス・アクセス、すなわち、監査人がAIモデルの内部構造にアクセスできるようにし、アウトサイド・ボックス・アクセス、すなわち、監査人がAIモデルの訓練環境、訓練データ、適用事例などの追加的な重要情報にアクセスできるようにした広範な監査を開発することである(Casper, et al.) あまり重要でない分野の製品の適合性を判断するには、意味のあるベンチマークを用いたインプット・アウトプット監査を用いた、作業量の少ないアプローチで十分であろう。いずれの場合もXAI手法の使用は必須ではなく、これによって不一致の問題を回避することができる。
The BSI is developing organizational measures that are applicable to different stages of the life cycle of AI products. These measures will support establishing assessment procedures, which are in accordance with legal requirements like the AI Act. Examples of such organizational measures are the definition of transparency criteria as well as AI-specific building blocks for the ITGrundschutz[10]. Furthermore, the BSI investigates technical solutions to overcome the limitations of XAI methods described within this document. Such technical solutions are needed to utilize the positive potential of XAI. Potential use cases are not limited to assessment procedures and digital consumer protection but also include the detection of and defense against (AI-based) cyber attacks.  BSIは、AI製品のライフサイクルのさまざまな段階に適用可能な組織的尺度を開発している。これらの措置は、AI法のような法的要件に従ったアセスメント手順の確立を支援するものである。このような組織的措置の例としては、透明性規準の定義や、ITGrundschutz[10]のためのAI特有の構成要素がある。さらにBSIは、本文書で説明したXAI手法の限界を克服するための技術的解決策を検討している。このような技術的解決策は、XAIのポジティブな可能性を活用するために必要である。アセスメント手続きやデジタル消費者保護に限らず、(AIベースの)サイバー攻撃の検知や防御も潜在的な防御事例に含まれる。
References  参考文献
Aivodji, Ulrich, et al. 2021. Characterizing the risk of fairwashing. Advances in Neural Information Processing Systems. 2021.  Aivodji, Ulrich, et al. フェアウォッシングのリスクを評価する。Advances in Neural Information Processing Systems. 2021. 
Aivodji, Ulrich, et al. 2019. Fairwashing: the risk of rationalization. International Conference on Machine Learning. 2019.  Aivodji, Ulrich, et al. フェアウォッシング:合理化のリスク。機械学習国際会議。2019. 
Anders, Christopher, et al. 2020. Fairwashing explanations with off-manifold detergent. International Conference on Machine Learning. 2020.  Anders, Christopher, et al. オフマニホールド洗剤によるフェアウォッシングの説明。機械学習国際会議。2020. 
Angwin, Julia, et al. 2016. Machine Bias. ProPublica. [Online] 23. Mai 2016. [Zitat vom: 12. Juni 2024.] [web] Angwin, Julia, et al. 機械バイアス。ProPublica. [オンライン] 23. Mai 2016. [Zitat vom: 12. Juni 2024.] [web]
Arrieta, Alejandro Barredo, et al. 2020. Explainable Artificial Intelligence (XAI): Concepts, taxonomies, opportunities and challenges toward responsible AI. Information fusion. 2020, Bd. 58.  Arrieta, Alejandro Barredo, et al. 説明可能な人工知能(XAI): 責任あるAIに向けた概念、分類、機会と課題。Information fusion. 2020, Bd. 58. 
Aziz, Saqib, et al. 2022. Machine learning in finance: A topic modeling approach. European Financial Management. 2022, Bd. 3, 28.  Aziz, Saqib, et al. 金融における機械学習: トピックモデリングのアプローチ。European Financial Management. 2022, Bd. 3, 28. 
Baniecki, Hubert und Biecek, Przemyslaw. 2024. Adversarial attacks and defenses in explainable artificial intelligence: A survey. Information Fusion. 2024.  Baniecki, Hubert und Biecek, Przemyslaw. 2024. 説明可能な人工知能における敵対的攻撃と防御: サーベイ。情報融合。2024. 
Barocas, Solon, Hardt, Moritz und Narayanan, Arvind. 2023. Fairness and machine learning: Limitations and opportunities. s.l. : MIT press, 2023.  Barocas, Solon, Hardt, Moritz und Narayanan, Arvind. 2023. 公平性と機械学習: MIT press, 2023. 
Bordt, Sebastian, et al. 2022. Post-hoc explanations fail to achieve their purpose in adversarial contexts. Proceedings of the 2022 ACM Conference on Fairness, Accountability, and Transparency. 2022.  Bordt, Sebastian, et al. このような状況下では、その場しのぎの説明では目的を達成することができない。このような状況において、「説明の後付け」は目的を達成することができない。2022. 
Brughmans, Dieter, Melis, Lissa und Martens, David. 2024. Disagreement amongst counterfactual explanations: how transparency can be misleading. TOP. 2024.  Brughmans, Dieter, Melis, Lissa und Martens, David. 2024. このような場合、「説明の透明性」がどのように誤解を招きうるか。TOP. 2024. 
BSI. 2023. AI Security Concerns in a Nutshell. Bonn : Bundesamt für Sicherheit in der Informationstechnik, 2023.  BSI. 2023. AIセキュリティの懸念の概要。Bonn : Bundesamt für Sicherheit in der Informationstechnik, 2023. 
—. 2022. Deep Learning Reproducibility and Explainable AI (XAI). Bonn : Bundesamt für Sicherheit in der Informationstechnik, 2022.  -. 2022. ディープラーニングの再現性と説明可能なAI(XAI)。Bonn : Bundesamt für Sicherheit in der Informationstechnik, 2022. 
—. 2024. Einsatz von künstlicher Intelligenz in medizinischen Diagnose- und Prognosesystemen. Bonn : Bundesamt für Sicherheit in der Informationstechnik, 2024.  -. 2024. 医療診断・予後診断システムにおける人工知能の活用。Bonn : Bundesamt für Sicherheit in der Informationstechnik, 2024. 
—. 2024a. Generative KI Modelle: Chancen und Risiken für Industrie und Behörden. Bonn : Bundesamt für Sicherheit in der Informationstechnik, 2024a.  -. 2024a. 生成的KIモデル:産業と社会にとっての可能性とリスク。Bonn : Bundesamt für Sicherheit in der Informationstechnik, 2024a. 
—. 2021. Sicherer, Robuster und Nachvollziehbarer Einsatz von KI. Bonn : Bundesamt für Sicherheit in der Informationstechnik, 2021.  -. 2021. KI の安全性、信頼性、そして安全な利用。Bonn : Bundesamt für Sicherheit in der Informationstechnik, 2021. 
—. 2024b. Tranzparenz von KI Systemen. Bonn : Bundesamt für Sicherheit in der Informationstechnik, 2024b.  -. 2024b. KI システムの移行。Bonn : Bundesamt für Sicherheit in der Informationstechnik, 2024b. 
Casper, Stephen, et al. 2024. Black-box access is insufficient for rigorous ai audits. The 2024 ACM Conference on Fairness, Accountability, and Transparency. 2024.  Casper, Stephen, et al. ブラックボックス・アクセスは厳密なai監査には不十分である。The 2024 ACM Conference on Fairness, Accountability, and Transparency. 2024. 
Coston, Amanda, Rambachan, Ashesh und Chouldechova, Alexandra. 2021. Characterizing Fairness Over the Set of Good Models Under Selective Labels. Proceedings of the 38th International Conference on Machine Learning. 2021.  Coston, Amanda, Rambachan, Ashesh und Chouldechova, Alexandra. 2021. 選択的ラベルの下で、良いモデルの集合に対する公正さを特徴付ける。第38回機械学習国際会議予稿集. 2021. 
Editorial. 2024. How to support the transition to AI-powered healthcare. Nature Medicine. 2024, Bd. 30.  論説。2024. AIを活用した医療への移行をどう支援するか。ネイチャー・メディシン。2024, Bd. 30. 
EDPS. 2023. TechDispatch - Explainable Artificial Intelligence. s.l. : European Data Protection Supervisor, 2023.  EDPS. 2023. TechDispatch - Explainable Artificial Intelligence. s.l. : European Data Protection Supervisor, 2023. 
Gerlings, Julie, Shollo, Arisa und Constantiou, Ioanna. 2020. Reviewing the need for explainable artificial intelligence (xAI). s.l. : arXiv preprint arXiv:2012.01007, 2020.  Gerlings, Julie, Shollo, Arisa und Constantiou, Ioanna. 2020. 説明可能な人工知能(xAI)の必要性を見直す" s.l. : arXiv preprint arXiv:2012.01007, 2020. 
Hardt, Moritz, et al. 2016. Strategic classification. Proceedings of the 2016 ACM conference on innovations in theoretical computer science. 2016.  Hardt, Moritz, et al. 戦略的分類。理論計算機科学における革新に関する2016年ACM会議議事録。2016. 
Hardt, Moritz, Jagadeesan, Meena und Mendler-Dünner, Celestine. 2022. Performative power. Advances in Neural Information Processing Systems. 2022.  Hardt, Moritz, Jagadeesan, Meena und Mendler-Dünner, Celestine. 2022. パフォーマティブ・パワー。神経情報処理システムの進歩。2022. 
Heo, Juyeon, Joo, Sunghwan und Moon, Taesup. 2019. Fooling neural network interpretations via adversarial model manipulation. Advances in neural information processing systems. 2019.  Heo, Juyeon, Joo, Sunghwan und Moon, Taesup. 2019. 敵対的モデル操作によるニューラルネットワーク解釈の欺瞞。ニューラル情報処理システムの進歩。2019. 
Herget, Steffen. 2024. High-end-smartphones: Ki-features Im überblick. c't Magazin. [Online] heise online, 19. April 2024. [Zitat vom: 23. August 2024.] [web] Herget, Steffen. 2024. ハイエンド・スマートフォン: Ki-features Im überblick. [オンライン] heise online, 19. April 2024. [Zitat vom: 23. August 2024.] [web]
IBM. 2023. What is explainable AI (XAI)? [Online] IBM, 2023. [Zitat vom: 23. August 2024.] [web] IBM. 2023. 説明可能なAI(XAI)とは何か?[オンライン] IBM, 2023. [Zitat vom: 23. August 2024.] [web]
Karimi, Amir-Hossein, et al. 2022. A survey of algorithmic recourse: contrastive explanations and consequential recommendations. ACM Computing Surveys. 2022, Bd. 55, 5.  Karimi, Amir-Hossein, et al. アルゴリズムの再利用に関する調査:対照的な説明と結果的な推奨。ACM Computing Surveys. 2022, Bd. 55, 5. 
Krishna, Satyapriya, et al. 2024. The Disagreement Problem in Explainable Machine Learning: A Practitioner's Perspective. Transactions on Machine Learning Research. 2024.  Krishna, Satyapriya, et al. 説明可能な機械学習における不一致問題: A Practitioner's Perspective. 機械学習研究論文集. 2024. 
Laberge, Gabriel, et al. 2024. Tackling the XAI Disagreement Problem with Regional Explanations. International Conference on Artificial Intelligence and Statistics. 2024.  Laberge, Gabriel, et al. 地域的説明によるXAI不一致問題への取り組み。人工知能と統計に関する国際会議。2024. 
Molnar, Christoph. 2020. Interpretable machine learning. s.l. : Lulu.com, 2020.  モルナール,クリストフ. 解釈可能な機械学習. s.l. : Lulu.com, 2020. 
Neely, Michael, et al. 2021. Order in the court: Explainable ai methods prone to disagreement. s.l. : ICML 2021 Workshop on Theoretic Foundation, Criticism, and Application Trend of Explainable AI, 2021.  Neely, Michael, et al. 裁判所の秩序: 説明可能なAIの理論的基礎、批判、応用動向に関するICML2021ワークショップ, 2021. 
Perdomo, Juan, et al. 2020. Performative prediction. International Conference on Machine Learning. 2020.  Perdomo, Juan, et al. パフォーマティブな予測. 機械学習国際会議. 2020. 
Roy, Saumendu, et al. 2022. Why don’t xai techniques agree? characterizing the disagreements between post-hoc explanations of defect predictions. 2022 IEEE International Conference on Software Maintenance and Evolution (ICSME). 2022.  Roy, Saumendu, et al. なぜxai技術は一致しないのか?欠陥予測のポストホック説明間の不一致を特徴づける。2022 IEEE International Conference on Software Maintenance and Evolution (ICSME). 2022. 
Schneider, Johannes, Meske, Christian und Vlachos, Michalis. 2023. Deceptive xai: Typology, creation and detection. SN Computer Science. 2023.  Schneider, Johannes, Meske, Christian und Vlachos, Michalis. 2023. 欺瞞的xai: 欺瞞的xai:類型論、作成、検知。SNコンピュータサイエンス. 2023. 
Shahin Shamsabadi, Ali, et al. 2022. Washing the unwashable: On the (im)possibility of fairwashing detection. Advances in Neural Information Processing Systems. 2022.  シャヒン・シャムサバディ、アリ、他。洗えないものを洗う: フェアウォッシング検知の可能性について。神経情報処理システムの進歩. 2022. 
Slack, Dylan, et al. 2021. Counterfactual explanations can be manipulated. Advances in neural information processing systems. 2021.  Slack, Dylan, et al. 反実仮想的説明は操作できる。神経情報処理システムの進歩。2021. 
Slack, Dylan, et al. 2020. Fooling lime and shap: Adversarial attacks on post hoc explanation methods. Proceedings of the AAAI/ACM Conference on AI, Ethics, and Society. 2020.  2020年。ライムとシャップを騙す:事後説明手法に対する敵対的攻撃。AI、倫理、社会に関するAAAI/ACM会議論文集。2020. 
The Royal College of Radiologists und The Royal College of Pathologists. 2023. Embracing AI to support the NHS in delivering early diagnoses. 2023.  ロイヤル・カレッジ・オブ・放射線科医とロイヤル・カレッジ・オブ・病理医。2023. 早期診断を提供するNHSをサポートするためにAIを導入する。2023. 
Wang, Junlin, et al. 2020. Gradient-based analysis of NLP models is manipulable. Findings of the Association for Computational Linguistics: EMNLP 2020. 2020.  Wang, Junlin, et al. 自然言語処理モデルの勾配ベースの分析は操作可能である。計算言語学会の研究成果: EMNLP 2020。2020. 
Wired Insider. 2021. Wired brand lab | meet the AI powering today's smartest smartphones. Wired. [Online] Conde Nast, 2. November 2021. [Zitat vom: 23. August 2024.] [web] ワイアード・インサイダー 2021. ワイアード・ブランド・ラボ|今日の最もスマートなスマートフォンを動かすAIを紹介する。ワイアード. [オンライン] Conde Nast, 2. [Zitat vom: 23. August 2024.] web]

 

注釈

[1] Manipulating an XAI method means, that malicious actors can influence the calculation process of XAI methods by changing either the data or the AI models. The result of such manipulations is, that calculated explanations do not indicate the real behavior of an AI model but a different behavior which was selected by the malicious actor.  [1] XAI手法の操作とは、悪意のある行為者がデータまたはAIモデルを変更することで、XAI手法の計算プロセスに影響を与えることを意味する。このような操作の結果、計算された説明はAIモデルの実際の動作を示さず、悪意のある行為者によって選択された別の動作を示すことになる。
[2] Surrogate models are understandable prediction models of low complexity that approximate the behavior of a more complex model (e.g., an AI black box).  [2] サロゲートモデルとは、より複雑なモデル(例えばAIのブラックボックス)の挙動を近似した、複雑度の低い理解可能な予測モデルである。
[3] For permutation-based approaches, AI models are applied to perturbed inputs. The observed changes in the behavior of the AI model can be used to calculate an explanation, since the used perturbations are known. Some of the best-known examples of this category of XAI methods are SHAP (SHapley Additive exPlanation) and LIME (Local Interpretable Model-agnostic Explanations). [3] 順列ベースのアプローチでは、AIモデルは摂動入力に適用される。使用された摂動は既知であるため、AIモデルの動作で観察された変化は、説明の計算に使用することができる。このカテゴリーのXAI手法の最も有名な例は、SHAP(SHapley Additive exPlanation)とLIME(Local Interpretable Model-agnostic Explanations)である。
[4] For gradient-based approaches, AI models are viewed as functions. The gradient of the function is used to calculate explanations for the decisions of a model. Gradient-based approaches are directly applicable to models that are trained using the backpropagation algorithm (e.g., neural networks).  [4] 勾配ベースのアプローチでは、AIモデルは機能とみなされる。関数の勾配は、モデルの決定に対する説明を計算するために使用される。勾配ベースのアプローチは、バックプロパゲーション・アルゴリズムを用いて学習されたモデル(例えば、ニューラルネットワーク)に直接適用できる。
[5] For propagation-based approaches, AI models are viewed as computation graphs. The explanation gets calculated by redistributing the output onto the graph. Since the structure of neural networks resembles a computation graph, propagation-based approaches can be intuitively applied to these type of prediction models.  [5] 伝播ベースのアプローチでは、AIモデルは計算グラフとみなされる。説明は、出力をグラフ上に再分配することで計算される。グラフ・ニューラル・ネットワークの構造は計算グラフに似ているため、伝播ベースのアプローチは直感的にこの種の予測モデルに適用できる。
[6] Counterfactual explanation methods take an input and generate an alternative (potentially synthetic) data point. This new data point should be as similar to the original input as possible while simultaneously being assigned a different outcome by the investigated AI model. The idea is to indicate why a certain outcome was assigned to the input by a prediction model. Alternatively, counterfactual explanations can be used to identify potential changes of the input that would lead to a different outcome.  [6] 反実仮想的説明法は入力を受け取り、代替の(合成の可能性のある)データ点を生成する。この新しいデータ・ポイントは、可能な限り元の入力に似ている必要があり、同時に調査されたAIモデルによって異なる結果が割り当てられる。このアイデアは、予測モデルによって特定の結果が入力に割り当てられた理由を示すことである。あるいは、反実仮想的な説明を使用して、異なる結果につながる入力の潜在的な変化を特定することもできる。
[7] Adversarial attacks summarize a group of attack vectors on AI models that are using manipulated inputs to enforce a faulty behavior of AI models. More detailed information can be found in different BSI publications (BSI, 2023) (BSI, 2021).  [7] 敵対的攻撃は、AIモデルの欠陥動作を強制するために操作された入力を使用する、AIモデルに対する攻撃ベクトルのグループを要約したものである。より詳細な情報は、BSIの各種出版物(BSI, 2023)(BSI, 2021)に記載されている。
[8] Fairness metrics are statistical values that quantify different aspects of fairness. For AI, fairness metrics are calculated using the distribution of outputs of trained models conditioned on sensitive attributes.  [8] 公正さメトリクスは、公正さのさまざまな側面を定量化する統計的な値である。AIの場合、公平性メトリクスは、敏感な属性を条件とする学習済みモデルの出力分布を用いて計算される。
[9] The term feature interaction describes a situation, where the true influence of two features on the prediction of an AI model cannot be determined in isolation. Since the features depend on each other, their influence changes if the features are considered separately or together. Importantly, the combined influence cannot be expressed as a sum of the isolated influences of the features in such a situation.  [9] 特徴の相互作用という用語は、AIモデルの予測に対する2つの特徴の真の影響が、単独では決定できない状況を表す。特徴は互いに依存しているため、特徴を別々に考慮しても、一緒に考慮しても、その影響力は変化する。重要なことは、このような状況では、複合的な影響力は、特徴の単独の影響力の合計として表すことはできないということである。
[10] [web]
[10] [web]

 

 

| | Comments (0)

2025.01.11

インド デジタル個人データ保護法 2023のガイドライン「デジタル個人データ保護ルール」案についてのパブコメ (2025.01.03)

こんにちは、丸山満彦です。

インドはいろいろありながらも2023年にデジタル個人データ保護法を大統領が署名しましたが、その下位ガイドラインである、デジタル個人データ保護ルールの案に対する意見募集がされていますね...

ちょうど今、日本でも個人情報保護法のいわゆる3年ごとの見直しが行われているわけですので、各国の規制の具体的な運用に関する部分についても参考になることがあるかもですね...

 

Government of India

・2025.01.03 Draft Digital Personal Data Protection Rules, 2025

Draft Digital Personal Data Protection Rules, 2025 2025年デジタル個人データ保護規則(ドラフト)
About 概要
The Ministry of Electronics and Information Technology (MeitY) invites feedback/comments on the draft 'Digital Personal Data Protection Rules, 2025'. 電子・情報技術省(MeitY)は、「2025年デジタル個人データ保護規則(ドラフト)」に対するフィードバック/コメントを募集している。
The Digital Personal Data Protection Act, 2023 (DPDP Act) received the assent of the Hon'ble President on 11th August 2023. Now, draft subordinate legislation in form of Digital Personal Data Protection Rules, 2025 have been drafted in order to provide for necessary details and implementation framework of the Act. デジタル個人データ保護法(DPDP法)は2023年8月11日に大統領の承認を得た。現在、同法の必要な詳細および実施枠組みを規定するために、2025年デジタル個人データ保護規則という形の下位法令の草案が作成されている。
MeitY invites feedback/comments from its stakeholders on the draft Rules. The draft rules along with a explanatory notes of the rules in plain and simple language to facilitate ease of understanding are available on Ministry’s website at [web] MeitYは、規則の草案について利害関係者からのフィードバックやコメントを募集している。規則の草案は、理解を容易にするための平易でシンプルな言語による規則の注釈とともに、同省のウェブサイト [web] で入手できる。
The submissions will be held in fiduciary capacity in MeitY and shall not be disclosed to any one at any stage, enabling persons to submit feedback/comments freely without any hesitation. A consolidated summary of the feedback/comment received, without attribution to stakeholder, shall be published after the finalization of the Rules. 提出された内容はMeitYで受託者責任のもとで管理され、いかなる段階においてもいかなる者にも開示されることはないため、人々はためらいなく自由にフィードバックやコメントを提出することができる。利害関係者を特定せずに集約したフィードバック/コメントの概要は、規則の最終決定後に公表される。
The Ministry has invited feedback from the public on the draft Bill. The submissions will not be disclosed and held in fiduciary capacity, to enable persons submitting feedback to provide the same freely. No public disclosure of the submissions will be made.  同省は、法案のドラフトに対する一般からのフィードバックを募集している。提出された意見は開示されず、受託者責任のもとで保管されるため、フィードバックを提出する人は自由に意見を述べることができる。提出された意見は一般に開示されない。
The feedback/comments on the draft rules in a rule wise manner may be submitted by 18th February 2025 on MyGov portal at the link below:[web] 規則ごとのドラフト規則に関するフィードバック/コメントは、2025年2月18日までにMyGovポータル([web]
)から提出することができる。
Please Click here to view Draft Digital Personal Data Protection Rules, 2025 2025年デジタル個人データ防御規則ドラフトの閲覧はこちらをクリック
Please Click here to view Explanatory Note on Draft Digital Personal Data Protection Rules, 2025 2025年デジタル個人データ防御規則ドラフトに関する説明書の閲覧はこちらをクリック

 

デジタル個人データ保護法関連の情報...

Ministroy of Electronics & Information Technology

Data Protection Framework

Data Protection Framework データ保護枠組み
Draft Digital Personal Data Protection Rules,2025 2025年デジタル個人データ保護規則(ドラフト)
Notice_Consultation - Draft Digital Personal Data Protection Rules,2025 通知 - 2025年デジタル個人データ保護規則(ドラフト)に関する意見募集
Explanatory note to Digital Personal Data Protection Rules, 2025 2025年デジタル個人データ保護規則に関する説明書
Digital Personal Data Protection Act 2023 2023年デジタル個人データ保護法
Extension of time - Inviting feedback on the draft ‘Digital Personal Data Protection Bill, 2022’. 期限延長 - 「2022年デジタル個人データ保護法案」のドラフトに関するフィードバックの募集
Notice - Public Consultation on DPDP 2022 通知 - 2022年デジタル個人データ保護法案に関するパブリックコンサルテーション
The Digital Personal Data Protection Bill, 2022 2022年デジタル個人データ保護法案
Explanatory Note- The Digital Personal Data Protection Bill, 2022 説明書 - 2022年デジタル個人データ保護法案
Feedback on Draft Personal Data Protection Bill 個人データ保護法案のドラフトに関するフィードバック
Data Protection Committee- Report データ保護委員会 - 報告書
Personal Data Protection Bill, 2018 個人データ保護法案、2018年
Office Memorandum dated. 31.07.2017 - Constitution of a Committee of Experts to deliberate on a Data Protection framework for India 2017年7月31日付の事務メモ - インドのデータ保護枠組みを審議する専門家委員会の設置
Public consultation meeting on White Paper at Mumbai - Data Protection Framework for India ムンバイにおけるホワイトペーパーに関する公開協議会議 - インドのデータ保護枠組み
White Paper on Data Protection framework for India - Public Comments invited インドのデータ保護枠組みに関する白書 - 意見公募
Public consultation on White Paper - Data Protection Framework for India インドのデータ保護枠組みに関する白書に関するパブリックコンサルテーション
OFFICE MEMORANDUM - Constitution of a Committee of Experts to deliberate on a data protection framework for India-Nomination of Member Convener 事務所メモ - インドのデータ保護枠組みに関する専門家委員会の設立 - メンバー招集者の指名

 

 

ガイドライン案

・2025.01.03 [PDF] Draft Digital Personal Data Protection Rules, 2025

20250111-52115

・[DOCX][PDF] 仮訳

 

 

解説

・2025.01.03 [PDF] The Ministry of Electronics and Information Technology invites feedback on the draft ‘Digital Personal Data Protection Bill, 2022’.

20250111-52327

Explanatory note to Digital Personal Data Protection Rules, 2025  デジタル個人データ保護規則に関する説明書、2025年
The Digital Personal Data Protection Act, 2023 (Act) received the assent of the Hon'ble President on 11th August 2023. A draft of the Rules as envisaged under different sections of the Act have been made. The Rules provides for the necessary details and implementation framework of the Act.  デジタル個人データ保護法(2023年)は、2023年8月11日に大統領の承認を受けた。同法のさまざまな条項で想定されている規則のドラフトが作成された。規則は、同法の必要な詳細および実施枠組みを規定する。
During the drafting of Rules, certain principles used in the drafting of the Act, like using simple language, avoiding unnecessary cross referencing, providing contextual definition, and providing illustrations etc. have been followed meticulously. This explanatory note provides a brief overview of the contents of the Rules.  規則の起草にあたっては、法律の起草で用いられた一定の原則、例えば、平易な言葉を使用すること、不必要な相互参照を避けること、文脈上の定義を提供すること、図解を提供することなど、が細心の注意を払って踏襲されている。本説明書では、規則の内容について簡潔に概説する。
1. Short title and commencement: These rules, called the Digital Personal Data Protection Rules, 2025, come into force upon publication, except for rules 3 to 15, 21 and 22 which will be effective from a later date.  1. 略称および発効:本規則は「2025年デジタル個人データ保護規則」と呼ばれ、第3条から第15条、第21条、第22条を除き、公布と同時に発効する。
2. Definitions clause: The expression in the act shall have the same meaning as assigned in Act unless context otherwise requires.   2. 定義条項:本法令における表現は、文脈上別段の解釈が必要とされない限り、法令で定められた意味を有するものとする。 
3. Notice by Data Fiduciary to Data Principal: The notice provided by the Data Fiduciary to the Data Principal must be clear, standalone, and understandable, distinct from any other information shared by the Data Fiduciary. It must use simple, plain language to provide the Data Principal with a full and transparent account of the information necessary for giving informed consent for the processing of their personal data. Specifically, the notice should include, itemized list of the personal data being collected and clear description of the purpose for processing, along with an itemized explanation of the goods, services, or uses enabled by such processing.  3. データ受託者からデータ主体への通知:データ受託者がデータ主体に提供する通知は、データ受託者が共有するその他の情報とは区別された、明確かつ独立した理解可能なものでなければならない。また、データ主体が個人データの処理について十分な情報を得た上で同意を与えるために必要な情報を、データ主体にわかりやすく、透明性のある平易な言葉で提供しなければならない。具体的には、通知には収集される個人データの項目別リストと処理の目的の明確な説明、およびそのような処理によって可能になる商品、サービス、または用途の項目別説明を含めるべきである。
Additionally, the notice must provide a communication link of the Data Fiduciary’s website or app, and describe other methods (if applicable) for the Data Principal to withdraw consent easily as comparable to the process of giving consent, exercise their rights and make complaints with the Board.  さらに、通知にはデータ受託者のウェブサイトまたはアプリのコミュニケーションリンクを提供し、データ主体が同意を簡単に撤回できる他の方法(該当する場合)を、同意を与えるプロセスと同等の方法で説明し、権利を行使し、委員会に苦情を申し立てる方法を記載しなければならない。
4. Registration and obligations of a Consent Manager: Consent Manager must be a company incorporated in India with sound financial and operational capacity, having a minimum net worth of two crore rupees, a reputation for fairness and integrity in its management, and a certified interoperable platform enabling Data Principals to manage their consent.   4. 同意管理者の登録および義務:同意管理者は、健全な財務および業務能力を有し、純資産額が2億ルピー以上であり、経営陣が公正かつ誠実であるという評判があり、データ主体が同意を管理できる相互運用可能なプラットフォームを認証取得しているインド法人でなければならない。 
The application for registration is to be made to the Board. Once registered, the Consent Manager must comply with specific obligations of ensuring that Data Principals can easily give, manage, review, and withdraw consent for data processing, maintaining records of consents and data sharing, and providing transparent access to such records. The Consent Manager is also required to implement strong security measures to protect personal data, avoid conflicts of interest, and ensure transparency by publishing key management details and ownership structures. Additionally, the Board may audit the Consent Manager's operations, suspend or cancel its registration if necessary, and issue corrective directions to safeguard the interests of Data Principals.  登録申請は委員会に対して行われる。登録後は、データ管理者は、データ処理に対する同意をデータ主体が容易に付与、管理、確認、撤回できることを保証し、同意およびデータ共有の記録を維持し、そのような記録への透明性のあるアクセスを提供するという特定の義務を遵守しなければならない。また、同意管理者は、個人データを保護し、利益相反を回避し、主要な管理詳細および所有構造を公表することで透明性を確保するために、強力なセキュリティ対策を実施することが求められる。さらに、委員会は同意管理者の業務を監査し、必要に応じて登録を一時停止または取り消し、データ管理者の利益を保護するための是正指示を出すことができる。
The Consent Manager must also maintain independence, with strict rules to prevent conflicts of interest involving its directors or senior management and Data Fiduciaries. They are prohibited from subcontracting or assigning responsibilities, and they must ensure long-term compliance by regularly reviewing their operations. Any transfer of control of the Consent Manager company, such as through sale or merger, requires prior approval from the Board. Through these provisions, the regulation ensures that Consent Managers uphold high standards of transparency, security, and fiduciary duty in managing personal data.  同意管理者は、委員または上級管理職とデータ受託者間の利益相反を防止するための厳格な規則を設け、独立性を維持しなければならない。また、業務委託や責任の譲渡を禁止し、業務を定期的に確認することで、長期的なコンプライアンスを確保しなければならない。同意管理者企業の支配権の移転(売却や合併など)は、すべて理事会の事前承認を必要とする。これらの規定により、規制は、同意管理者が個人データの管理において、高い透明性、セキュリティ、受託者責任の標準を維持することを保証する。
5. Processing for provision or issue of services by the State or its instrumentality: The State and its instrumentalities may process the personal data of Data Principals to provide or issue subsidies, benefits, services, certificates, licenses, or permits, as defined under law or policy or using public funds. Processing in these cases must adhere to the specific standards outlined in Schedule II, which ensures lawful, transparent, and secure handling of personal data for such purposes.  5. 州またはその機関によるサービス提供または発行のための処理: 州およびその機関は、法律または政策で定義されている、または公的資金を使用して、補助金、給付金、サービス、証明書、ライセンス、または許可証を提供または発行するために、データ管理者の個人データを処理することができる。 これらの場合の処理は、付録2に概説されている特定の標準に従わなければならない。これにより、そのような目的のための個人データの合法的、透明性のある、安全な取り扱いが保証される。
According to Schedule II, the processing must meet several key criteria, such as ensuring that personal data is processed lawfully, for the stated purposes, and limited to the data necessary for achieving those purposes. The data must be accurate and retained only as long as necessary, while appropriate security safeguards must be in place to prevent breaches. The Data Principal should be informed about the processing, including the means to access their rights, and the processing must be done in compliance with any applicable laws. The responsible parties must be accountable for adhering to these standards.  付録2によると、処理は、個人データが合法的に、明記された目的のために、その目的達成に必要なデータに限定して処理されることを保証するなど、いくつかの重要な規準を満たさなければならない。データは正確で、必要な期間のみ保持され、漏えいを防ぐために適切なセキュリティ対策が講じられなければならない。データ管理者には、その権利へのアクセス手段を含め、処理について通知しなければならず、処理は適用法を遵守して行われなければならない。責任者は、これらの標準を遵守する責任を負う。
The aim is to ensure that personal data processing is transparent, secure, and in line with legal and policy standards, safeguarding the interests of the Data Principals.  その目的は、個人データの処理が透明性があり、安全で、法的および政策上の標準に沿って行われ、データ管理者の利益が保護されることを保証することである。
6. Reasonable security safeguards: A Data Fiduciary must implement reasonable security measures to protect personal data, including encryption, access control, monitoring for unauthorized access, and data backups etc. These safeguards ensure the confidentiality, integrity, and availability of data, and must include provisions for detecting and addressing breaches and maintenance of logs. Contracts with Data Processors must also ensure security measures are in place. The measures should comply with technical and organizational standards to prevent data breaches.   6. 合理的なセキュリティ対策:データ受託者は、暗号化、アクセス管理、不正アクセス監視、データバックアップなど、個人データを保護するための合理的なセキュリティ対策を実施しなければならない。これらの対策は、データの機密性、完全性、可用性を確保し、違反の検知と対処、およびログの保守に関する規定を含まなければならない。データ処理者との契約も、セキュリティ対策が確実に実施されるようにしなければならない。これらの対策は、データ漏えいを防止するための技術的および組織的標準に準拠していなければならない。 
7. Intimation of Personal Data Breach: When a Data Fiduciary becomes aware of a personal data breach, it is required to promptly notify all affected Data Principals. This notification must be clear and straightforward, explaining the breach's nature, extent, and timing, along with potential consequences for the affected individuals. The Data Fiduciary must also inform the Data Principal of any measures taken to mitigate the risks and provide safety recommendations for protecting their data. Furthermore, contact information of a responsible person for inquiries must be included.  7. 個人データ漏えいの通知:データ受託者が個人データ漏えいに気づいた場合、影響を受けるすべてのデータ主体に速やかに通知することが義務付けられている。この通知は明確かつ簡潔で、漏えいの性質、範囲、時期、および影響を受ける個人に起こりうる結果を説明しなければならない。また、データ受託者は、リスクを緩和するために講じた措置と、データの保護に関する安全対策の推奨事項をデータ主体に通知しなければならない。さらに、問い合わせ先となる担当者の連絡先も記載しなければならない。
Additionally, the Data Fiduciary must inform the Board about the breach without delay. Within 72 hours or a longer time if permitted, the Data Fiduciary is obligated to provide detailed information, including the events that led to the breach, actions taken to mitigate risks, and the identity of the individual responsible, if known. The Data Fiduciary must also report on the remedial steps taken to prevent future breaches and details on the notifications sent to affected Data Principals.  さらに、データ受託者は、違反について遅滞なく委員会に通知しなければならない。データ受託者は、72時間以内、または許可された場合はそれ以上の期間内に、違反につながった出来事、リスク緩和のためにとられた措置、および判明している場合は責任者の身元を含む詳細情報を提供する義務がある。また、データ受託者は、将来の漏えいを防止するための是正措置と、影響を受けるデータ主体に送付した通知の詳細についても報告しなければならない。
8. Time period for specified purpose to be deemed as no longer being served: Under this provision, if a Data Fiduciary processes personal data for purposes outlined in Schedule III and the Data Principal does not engage with the Fiduciary within a specified period, the personal data must be erased unless required for legal compliance. The time period for this erasure is defined in Schedule III for different classes of Data Fiduciaries, such as e-commerce entities, online gaming intermediaries, and social media platforms. These entities may retain personal data for up to three years from the last interaction or the coming in effect of rules, whichever is later, except when the data is needed for the principal to access their account or virtual tokens.   8. 特定の目的がもはや達成されていないとみなされる期間:本規定に基づき、データ受託者が付録3に記載された目的で個人データを処理し、データ主体が指定された期間内に受託者と関与しない場合、その個人データは、法遵守のために必要とされない限り、消去されなければならない。この消去の期間は、電子商取引事業体、オンラインゲーム仲介業者、ソーシャルメディアプラットフォームなど、さまざまな種類のデータ受託者について、付録3で定義されている。これらの事業体は、データ受託者がアカウントまたは仮想トークンにアクセスするためにデータが必要な場合を除き、最後のやりとりまたは規則の発効から最長3年間、個人データを保持することができる。 
Before erasure, the Data Fiduciary must notify the Data Principal at least 48 hours in advance, alerting them that their data will be erased unless they log in or initiate contact with the Fiduciary to fulfil the specified purpose. The notification gives the Data Principal an opportunity to preserve their data by taking action. This rule provides a clear process for erasing personal data if the Data Principal has not interacted with the Data Fiduciary within the specified time, ensuring that data is retained only when necessary for continued use or legal obligations, while offering the Data Principal a chance to retain their data by taking proactive steps.  消去に先立ち、データ受託者はデータ本人に対し、少なくとも48時間前までに通知しなければならない。その際、本人がログインするか、受託者と連絡を取って指定の目的を達成しない限り、本人のデータが消去される旨を警告しなければならない。この通知により、データ主体は行動を起こすことでデータを保存できる機会が得られる。この規則は、データ主体が指定された時間内にデータ受託者とやりとりを行わなかった場合の個人データの消去に関する明確なプロセスを規定しており、継続的な使用や法的義務に必要な場合にのみデータを保持することを保証するとともに、データ主体が積極的な措置を講じることでデータを保持できる機会を提供している。
9. Contact information for addressing data processing queries: This mandates that every Data Fiduciary must clearly display on their website or app the contact details of a designated person who can address questions regarding the processing of personal data. If applicable, this could be the Data Protection Officer (DPO). The contact information should be easily accessible and visible to Data Principals, enable that they can reach out with any concerns or queries about how their personal data is being processed. Additionally, the same contact details must be included in all responses to communications from Data Principals who wish to exercise their rights under the Data Protection Act.  9. データ処理に関する問い合わせ先:これは、すべてのデータ受託者が、個人データの処理に関する質問に対応できる担当者の連絡先を、ウェブサイトまたはアプリに明確に表示することを義務付けるものである。該当する場合、この担当者はデータ保護責任者(DPO)となる可能性がある。連絡先情報は、データ主体が容易にアクセスでき、視認できるものでなければならず、これにより、自身の個人データの処理方法に関する懸念や質問を問い合わせることができる。さらに、データ保護法に基づく権利の行使を希望するデータ主体からのコミュニケーションに対するすべての回答には、同じ連絡先情報を記載しなければならない。
The intent of this provision is to ensure transparency and accountability in data processing practices of Data Fiduciaries, by providing clear contact information, easier access to Data Principals to inquire about their personal data and its processing.  この規定の目的は、明確な連絡先情報を提供し、データ主体が自身の個人データとその処理について問い合わせるためのアクセスを容易にすることで、データ受託者のデータ処理業務における透明性と説明責任を確保することである。
10. Verifiable consent for processing personal data of children and persons with disabilities: This provision outlines the requirements for obtaining verifiable consent from parents or legal guardians before processing the personal data of children or persons with disabilities. Specifically, a Data Fiduciary must implement measures to ensure that the person providing consent for a child’s data processing is the child’s parent or legal guardian, and that the parent or guardian is identifiable. For a child, the Data Fiduciary must verify that the parent is an adult by using reliable identity details or a virtual token mapped to such details. This verification process is critical to ensure that consent is being given by a responsible adult, in compliance with relevant laws. Examples are provided to clarify how this process should work, particularly in cases where the parent is already a registered user or when the parent needs to provide identity details using a Digital Locker service.  10. 児童および障害者の個人データの処理に対する検証可能な同意:この規定は、児童または障害者の個人データを処理する前に、親または法的後見人から検証可能な同意を取得するための要件を概説している。具体的には、データ受託者は、児童のデータ処理に対する同意を提供する者が児童の親または法的後見人であり、かつ、親または後見人が識別可能であることを保証するための措置を実施しなければならない。子供の場合、データ受託者は、信頼できる身元情報またはその情報に紐づく仮想トークンを使用して、親が成人であることを検証しなければならない。この検証プロセスは、関連法規に準拠して、責任ある成人が同意を行っていることを保証するために極めて重要である。このプロセスがどのように機能すべきかを明確にするために、特に親がすでに登録ユーザーである場合や、親がデジタルロッカーサービスを使用して身元情報を提供する必要がある場合の例が示されている。
11. Exemptions from obligations in processing personal data of children: This provision outlines certain exemptions to the standard requirements for processing the personal data of children, as stated in section 9 of the Act. These exemptions are applicable to specific types of Data Fiduciaries and for certain purposes, subject to conditions laid out in Schedule IV. According to Part A of the schedule, certain classes of Data Fiduciaries, such as healthcare professionals, educational institutions, and childcare providers, are exempt from specific provisions related to children's data. The processing of children's personal data by these entities is permitted, but it is restricted to specific activities like health services, educational activities, safety monitoring, and transportation tracking. These activities must be necessary for the well-being and safety of the child, ensuring that data processing is done within a defined and limited scope.  11. 児童の個人データの処理における義務の免除:本規定は、児童の個人データの処理に関する標準要件に対する一定の免除について概説するものであり、法第9条に記載されている。これらの免除は、特定の種類のデータ受託者および特定の目的に適用され、付録4に定められた条件に従う。パートAによると、医療従事者、教育機構、保育プロバイダなどの特定の種類のデータ受託者は、児童データに関する特定の規定が免除される。これらの事業体による児童の個人データの処理は許可されているが、医療サービス、教育活動、安全監視、輸送追跡などの特定の活動に限定されている。これらの活動は、児童の幸福と安全のために必要であり、データ処理が定義された限定的な範囲内で行われることを保証するものでなければならない。
Part B of the schedule outlines specific purposes for which the exemptions apply, such as processing for legal duties, issuing subsidies or benefits to children, creating user accounts for communication purposes, or ensuring the child does not have access to harmful information. In these cases, processing is restricted to what is necessary to perform the function, service, or duty, with an emphasis on protecting the child’s best interests. The provision acknowledges that certain activities, such as verifying the age of a data subject to confirm they are not a child, also fall under this exemption, as long as the processing remains limited to the necessary scope. These exemptions aim to strike a balance between protecting children's personal data and enabling necessary activities for their health, education, and safety.  パートBでは、免除が適用される特定の目的が概説されており、例えば、法的義務の履行、児童への補助金や給付金の支給、コミュニケーション目的のユーザーアカウントの作成、児童が有害な情報にアクセスできないようにする、などが挙げられる。これらの場合、処理は、児童の最善の利益の保護に重点を置いて、機能、サービス、義務の遂行に必要なものに限定される。この規定では、データ対象者の年齢を確認して未成年者でないことを確認するなどの特定の活動も、処理が限定的な範囲にとどまる限り、この例外に該当することを認めている。これらの例外は、子供の個人データの保護と、子供の健康、教育、安全に必要な活動の実現とのバランスを取ることを目的としている。
12. Additional obligations of Significant Data Fiduciaries: This provision brings specific responsibilities for Significant Data Fiduciaries. It mandates that these Fiduciaries must conduct a Data Protection Impact Assessment (DPIA) and a comprehensive audit once every year. The results of these assessments and audits must be reported to the Board, which need to contain key findings related to their adherence to data protection requirements.  12. 重要なデータ受託者の追加義務:この規定は、重要なデータ受託者に対して特定の責任を課すものである。この受託者に対しては、データ保護影響評価(DPIA)および包括的な監査を毎年1回実施することが義務付けられている。これらのアセスメントおよび監査の結果は、データ保護要件への準拠に関する主な調査結果を含めて、取締役会に報告しなければならない。
Further, the provision holds Significant Data Fiduciaries accountable for verifying that any algorithmic software they use to process personal data does not pose a risk to the rights of Data Principals. This includes algorithms used for data hosting, storage, and sharing.   さらに、この規定では、重要なデータ受託者は、個人データの処理に使用するアルゴリズムソフトウェアがデータ管理者の権利にリスクをもたらさないことを検証する責任を負う。これには、データホスティング、保存、共有に使用されるアルゴリズムが含まれる。 
Entities must adopt measures to ensure that personal data identified by the Central Government is processed in compliance with specific restrictions, ensuring that the data and any related traffic data are not transferred outside of India.   事業体は、中央政府が特定した個人データが特定の制限事項に従って処理されることを保証する措置を講じ、データおよび関連するトラフィックデータがインド国外に転送されないことを保証しなければならない。 
13. Rights of Data Principals: Data Fiduciaries and Consent Managers must clearly publish on their website or app the process by which Data Principals can exercise their rights under the Act, including identifying details like usernames to facilitate identification. Data Principals can request to access and erase their personal data by contacting the Data Fiduciary. A Data Fiduciary must also provide clear timelines for responding grievances, ensuring an effective process with the necessary technical and organizational safeguards. Data Principals may nominate one or more individuals to exercise their rights under the law, following the procedures set by the Data Fiduciary and applicable legal norms.  13. データ主体の権利:データ受託者および同意管理者は、データ主体が同法に基づく権利を行使できるプロセスを、ウェブサイトまたはアプリ上で明確に公開しなければならない。これには、識別を容易にするためのユーザー名などの識別情報の詳細も含まれる。データ主体は、データ受託者に連絡することで、自身の個人データへのアクセスと消去を要求できる。データ受託者は、苦情対応の明確なスケジュールを提供し、必要な技術的および組織的保護措置を講じた効果的なプロセスを確保しなければならない。データ主体は、データ受託者が定める手続きおよび適用法規に従い、法律に基づく権利を行使する1人または複数の個人を指名することができる。
14. Processing of personal data outside India: Data Fiduciaries processing data within India or in connection with offering goods or services to Data Principals from outside India must comply with any requirements the Central Government sets in respect of making such personal data available to a foreign State or its entities. This is intended to ensure that personal data remains protected under the Act.  14. インド国外における個人データの処理:インド国内で、またはインド国外のデータ主体に対する商品またはサービスの提供に関連してデータを処理するデータ受託者は、外国政府またはその事業体に対して当該個人データを利用可能にするにあたり、インド中央政府が定めるあらゆる要件を遵守しなければならない。これは、個人データが同法の下で保護され続けることを保証することを目的としている。
15. Exemption from Act for research, archiving, or statistical purposes: The Act does not apply to the processing of personal data carried out for research, archiving, or statistical purposes if it adheres to the specific standards outlined in Schedule II. This exemption ensures that necessary data processing for academic and policy research can occur while maintaining certain safeguards and standards to protect personal data.  15. 研究、アーカイブ、統計目的のための同法の適用除外: 付録2に記載された特定の標準に従う場合、研究、アーカイブ、統計目的のために実施される個人データの処理には、同法は適用されない。この適用除外により、個人データを保護し、標準を維持しながら、学術研究および政策研究に必要なデータ処理を行うことができる。
16. Appointment of Chairperson and other Members: A Search-cum-Selection Committee shall be formed by the Central Government to recommend candidates for the position of Chairperson of the Data Protection Board. The committee will be led by the Cabinet Secretary , Secretary MeitY, Secretary DLA and include two subject matter experts.  16. 議長およびその他の委員の任命:データ保護委員会の議長候補を推薦する捜索兼選考委員会が中央政府によって結成される。委員会は内閣官房長官、MeitY長官、DLA長官が主導し、2名の専門分野の専門家が参加する。
Similarly, the committee will also recommend candidates for the position of other Board Members, with the Ministry of Electronics and Information Technology Secretary overseeing the process.  同様に、電子・情報技術省長官が監督するプロセスにおいて、委員会はその他の委員候補も推薦する。
After considering the recommended individuals' suitability, the Central Government will appoint the Chairperson or Members to the Board.  推薦された人物の適性を検討した上で、中央政府が委員長または委員を任命する。
17: Salary, allowances, and other terms of service for Chairperson and Members: the Rule provides for Salary, allowances, and other service-related conditions for the Chairperson and Members of the Data Protection Board are provided. The Chairperson is entitled to a consolidated salary of ₹4,50,000 per month, while each Member receives ₹4,00,000 per month, with no provisions for housing or a car. A detail description of service conditions is provided for in this Schedule V.  17: 委員長および委員の給与、手当、その他の勤務条件:規則では、データ保護委員会の委員長および委員の給与、手当、その他の勤務条件が規定されている。委員長には月額45万ルピーの給与が支払われ、各委員には月額40万ルピーが支払われるが、住宅手当や車手当は支給されない。勤務条件の詳細は、本付録5に規定されている。
18: Procedure for meetings of the Board and authentication of orders: the Rule outlines the procedure for the meetings of the Data Protection Board, including how they are convened, conducted, and how decisions are made. The Chairperson is responsible for setting the date, time, place, and agenda of the meetings, with the authority to delegate these duties. Meetings are chaired by the Chairperson, or in her absence, by another Member chosen by those present. A quorum for the meetings is one-third of the Board's membership, and decisions are made by majority vote, with the Chairperson having a casting vote in the event of a tie. If a Member has a conflict of interest in any matter being discussed, they are prohibited from participating or voting on that matter. In urgent situations, the Chairperson has the authority to take immediate action, which must then be ratified at the next Board meeting. Additionally, certain issues may be decided by circulating the item to Members for approval, and the Chairperson or any authorized individual can authenticate the Board's orders, directions, or instruments. Also, the Board is required to complete inquiries within six months, extendable for a further three months if necessary.  18: 委員会の会議の手続きおよび命令の認証:規則は、データ保護委員会の会議の手続きを概説しており、会議の招集、実施、および決定の方法が含まれている。議長は、会議の日時、場所、議題を設定する責任があり、これらの職務を委任する権限を有する。会議は議長が議長を務めるが、議長が不在の場合は出席者によって選出された他の委員が議長を務める。会議の定足数は委員会の委員数の3分の1とし、決定は多数決によって行われるが、議長は同数の場合は決定票を持つ。委員が議論中の案件について利害の対立がある場合は、その案件への参加および投票は禁止される。緊急事態においては、議長は即座に措置を講じる権限を有するが、その措置は次の理事会で承認されなければならない。さらに、特定の事項については、会員に回覧して承認を得ることで決定することができ、議長または認可された個人は、理事会の命令、指示、または文書を認証することができる。また、理事会は、必要に応じてさらに3か月間延長できるが、6か月以内に調査を完了することが求められる。
19: Functioning of the Board as a digital office: The Board is to operate as a digital office, utilizing technology to conduct its proceedings efficiently. This provision allows the Board to adopt techno-legal measures to carry out its functions without requiring the physical presence of individuals. The Board retains the power to summon individuals and examine them under oath. The aim is to streamline processes, reduce the need for physical attendance, and enhance the overall efficiency of the Board’s operations.  19:デジタルオフィスとしての委員会の機能:委員会は、テクノロジーを活用して効率的に手続きを行うデジタルオフィスとして運営される。この規定により、委員会は、個人の物理的な出席を必要とせずにその機能を遂行するためのテクノロジーと法律に基づく措置を採用することが可能となる。委員会は、個人を召喚し、宣誓の下で尋問する権限を保持する。その目的は、手続きを合理化し、物理的な出席の必要性を減らし、委員会の運営の全体的な効率性を高めることである。
20: Terms and conditions of appointment and service of officers and employees of the Board: the rule outlines the procedures for the appointment and service terms of officers and employees working for the Data Protection Board. It specifies that the Board can appoint officers and employees necessary for carrying out its functions, with prior approval from the Central Government. The appointments can be made on deputation from various government bodies or public sector enterprises. Additionally, the officers and employees can be appointed from the National Institute for Smart Government, with salaries aligned to market standards and other terms decided by the Board.  20:データ保護委員会の役員および従業員の任命および勤務条件に関する規則:この規則は、データ保護委員会で働く役員および従業員の任命および勤務条件の手続きを概説している。この規則では、中央政府の事前の承認を得た上で、委員会がその機能を遂行するために必要な役員および従業員を任命できることが規定されている。任命は、さまざまな政府機構または公共部門エンタープライズからの出向という形で行うことができる。さらに、役員および従業員は、市場標準に合わせた給与と、委員会が決定するその他の条件で、スマート・ガバメント・ナショナル・インスティチュートから任命することもできる。
Schedule VI elaborates on the specifics of the terms and conditions of service for these officers and employees.   付録6では、これらの役員および従業員の勤務条件の詳細について詳しく説明している。 
21: Appeal to Appellate Tribunal: the rule outlines the process for filing appeals to the Appellate Tribunal for persons dissatisfied with orders or directions of the Board. The appeal must be submitted digitally, in line with the procedure set by the Appellate Tribunal on its website. The appeal is required to be accompanied by a fee, the Appellate Tribunal’s Chairperson may decide to reduce or waive it.  21: 上訴審への上訴:この規則は、委員会の命令または指示に不服のある者が上訴審に上訴する手続きを概説している。上訴は、上訴審がウェブサイトで定めた手続きに従って電子的に提出しなければならない。上訴には手数料を添付する必要があるが、上訴審の議長はこれを減額または免除する決定を下すことができる。
The Appellate Tribunal has the authority to regulate its procedures. Additionally, the Tribunal operates as a digital office, utilizing technology to conduct its proceedings, which eliminates the need for physical presence while retaining the power to summon individuals and administer oaths when necessary. This digital approach allows for more flexible and efficient handling of appeals.  上訴裁判所は、その手続きを規定する権限を有する。さらに、裁判所は、テクノロジーを活用して手続きを行うデジタルオフィスとして運営されており、これにより、物理的な出頭は不要となるが、必要に応じて個人を召喚し宣誓を行う権限は維持される。このデジタルアプローチにより、より柔軟かつ効率的な上訴の処理が可能となる。
22: Calling for information from Data Fiduciary or Intermediary: enables the Central Government to require Data Fiduciaries or intermediaries to provide specific information for purposes outlined in Schedule VII. In cases where the disclosure of information might compromise the sovereignty, integrity, or security of India, the authorized person may restrict disclosure unless prior written permission is obtained. Fulfilling these information requests is part of the legal obligations under Section 36 of the Act. The government is empowered to request data for various purposes, including national security, legal compliance, or to assess the status of certain Data Fiduciaries.   22: データ受託者または仲介者からの情報提供の要請:中央政府が、付録7に記載された目的のために、データ受託者または仲介者に特定の情報の提供を要求することを可能にする。情報の開示がインドの主権、完全性、またはセキュリティを損なう可能性がある場合、認可された担当者は、事前の書面による許可が得られない限り、開示を制限することができる。これらの情報要求に応えることは、同法第36条に基づく法的義務の一部である。政府は、国家安全保障、法令順守、または特定のデータ受託者の状況アセスメントなど、さまざまな目的でデータの提出を要求する権限を有する。 
*** ***

 

 

 

2023年法...

・[PDF

20250111-52444

仮対訳...

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.08.23 インド デジタル個人データ保護法成立(2023年)(2023.08.11)

 

・2023.08.04 インド デジタル個人データ保護法案(2023年)

・2023.01.06 インド デジタル個人情報保護法案 (2022.11.22)

・2022.08.07 インド 個人情報保護法の制定は振り出しに戻る?

・2021.11.24 インド 個人データ保護法が成立しますかね。。。

 

 

| | Comments (0)

2025.01.10

警察庁 MirrorFaceによるサイバー攻撃について(注意喚起)(2025.01.08)

こんにちは、丸山満彦です。

警察庁がNISCと一緒に、「MirrorFaceによるサイバー攻撃について(注意喚起)」を公表していますね...

警察庁としては、捜査等で判明した、攻撃対象、手口、攻撃インフラ等を分析した結果、「MirrorFace」(別名、「Earth Kasha」(アース カシャ)
)による攻撃キャンペーンは、主に日本の安全保障や先端技術に係る情報窃取を目的とした、中国の関与が疑われる組織的なサイバー攻撃であると評価しているようですね...

 

警察庁

・2025.01.08 MirrorFaceによるサイバー攻撃について(注意喚起)

・[PDF] MirrorFace によるサイバー攻撃について (注意喚起) 

20250110-84257

 

・[PDF] 別添資料【Windows Sandbox を悪用した手口及び痕跡・検知策】

20250110-85133

 

 

・[PDF] 別添資料【VS Code を悪用した手口及び痕跡・検知策】

20250110-85144

 

 

内閣官房 NISC

・2025.01.08 MirrorFaceによるサイバー攻撃について 注意喚起

 

 

| | Comments (0)

米国 ホワイトハウス サイバートラストマークを開始...

こんにちは、丸山満彦です。

まだ、宿題はのこっているのですが...

ホワイトハウスから、サイバートラストマーク制度が開始されたというアナウンスがありましたね...

マークの認定はULを主管会社とした上で、合計11社にサイバーセキュリティラベル管理会社を指定したようですね...

米国はEUのような法律ではなく、マーケットパワーを利用する任意の制度として始めたわけですが、そて、運用はどのようになりますでしょうかね...

 

U.S. White House

・ 2025.01.07 White House Launches “U.S. Cyber Trust Mark”, Providing American Consumers an Easy Label to See if Connected Devices are Cybersecure

 

White House Launches “U.S. Cyber Trust Mark”, Providing American Consumers an Easy Label to See if Connected Devices are Cybersecure ホワイトハウスが「U.S. Cyber Trust Mark(米国サイバートラストマーク)」を立ち上げ、米国消費者に接続機器がサイバーセキュアかどうかを簡単に確認できるラベルを提供
Voluntary cybersecurity labeling program for wireless interconnected smart products, administered by the Federal Communications Commission (FCC), will help Americans make more informed decisions about the cybersecurity of products – from baby monitors to security systems – they bring into their homes.   連邦通信委員会(FCC)が運営するワイヤレス相互接続スマート製品向けの自主的サイバーセキュリティ表示プログラムは、米国人がベビーモニターからセキュリティーシステムまで、家庭に持ち込む製品のサイバーセキュリティについて、より多くの情報を得た上で判断するのに役立つ。 
Today, the White House announced the launch of a cybersecurity label for internet-connected devices, known as the U.S. Cyber Trust Mark, completing public notice and input over the last 18 months. During that time, FCC Commissioners decided in a bipartisan and unanimous vote to authorize the program and adopt final rules, as well as the trademarked, distinct shield logo that will be applied to products certified for the U.S. Cyber Trust Mark label. In December 2024, the FCC announced the conditional approval of 11 companies as Cybersecurity Label Administrators and the conditional selection of UL Solutions as the Lead Administrator.     本日、ホワイトハウスは、インターネット接続機器に対するサイバーセキュリティ・ラベル(U.S. Cyber Trust Mark)の開始を発表した。この間、FCC委員会は、超党派かつ全会一致で、プログラムの認可と最終ルールの採択を決定し、また、U.S. Cyber Trust Markラベルの認定を受けた製品に適用される、商標登録された明確なシールド・ロゴも決定した。2024年12月、FCCは11社をサイバーセキュリティ・ラベル管理者として条件付きで承認し、UL Solutionsを主管者として条件付きで選定したと発表した。 
Americans have many “smart” wireless interconnected devices in their homes, from baby monitors to home security cameras to voice-activated assistants. These devices are part of Americans’ daily lives. But Americans are worried about the rise of criminals remotely hacking into home security systems to unlock doors, or malicious attackers tapping into insecure home cameras to illicitly record conversations. The White House launched this bipartisan effort to educate American consumers and give them an easy way to assess the cybersecurity of such products, as well as incentivize companies to produce more cybersecure devise, much as EnergyStar labels did for energy efficiency. Major electronics, appliance, and consumer product manufacturers, as well as retailers and trade associations, have been working to increase cybersecurity for the products they sell. The U.S. Cyber Trust Mark program allows them to test products against established cybersecurity criteria from the U.S. National Institute of Standards and Technology via compliance testing by accredited labs, and earn the Cyber Trust Mark label, providing an easy way for American consumers to see the cybersecurity of products they choose to bring into their homes.   米国人の家庭には、ベビーモニターからホームセキュリティカメラ、音声アシスタントに至るまで、多くの「スマート」な無線相互接続機器が設置されている。これらの機器はアメリカ人の日常生活の一部となっている。しかし、アメリカ人は、犯罪者が遠隔操作でホームセキュリティシステムをハッキングしてドアのロックを解除したり、悪意のある攻撃者が安全でないホームカメラを盗聴して会話を不正に録画したりすることが増加することを懸念している。ホワイトハウスは、アメリカの消費者を啓蒙し、そのような製品のサイバーセキュリティを簡単にアセスメントできるようにするため、また、エネルギー効率に関するエネルギースターラベルのように、よりサイバーセキュリティの高い製品を製造するよう企業にインセンティブを与えるために、この超党派の取り組みを開始した。主要な電子機器、家電製品、消費者向け製品の製造事業者、小売業者、業界団体は、販売する製品のサイバーセキュリティの向上に取り組んできた。米国サイバートラストマーク・プログラムは、認定された研究所によるコンプライアンステストを通じて、米国国立標準技術研究所が定めたサイバーセキュリティ規準に照らして製品をテストし、サイバートラストマークのラベルを取得することを可能にするもので、米国の消費者が家庭内に持ち込む製品のサイバーセキュリティを確認する簡単な方法を提供する。
Reacting to the program’s launch, leading companies are coming forward to express their support and to help educate American consumers about the new Cyber Trust Mark label.   このプログラムの開始を受け、大手企業は支持を表明し、新しいサイバートラスト・マーク・ラベルについてアメリカの消費者を啓蒙するために名乗りを上げている。 
Michael Dolan, Senior Director, Head of Enterprise Privacy & Data Protection, Best Buy:   ベスト・バイ、エンタープライズ・プライバシー&データ防御担当シニア・ディレクター、マイケル・ドーラン: 
“We see great potential in the US Cyber Trust Mark Program. It is a positive step forward for consumers and we are excited about the opportunity to highlight this program for our customers.”    「米国のサイバートラスト・マーク・プログラムには大きな可能性を感じる。これは消費者にとって前向きな一歩であり、当社の顧客にこのプログラムを紹介する機会を得たことに興奮している。」 
Steve Downer, Vice President, Amazon:   スティーブ・ダウナー、アマゾン副社長 
“Amazon supports the U.S. Cyber Trust Mark’s goal to strengthen consumer trust in connected devices. We believe consumers will value seeing the U.S. Cyber Trust Mark both on product packaging and while shopping online. We look forward to collaborating with industry partners and the government on consumer education efforts and implementation strategies.”  「アマゾンは、コネクテッド・デバイスに対する消費者の信頼を強化するという米国サイバートラスト・マークの目標を支持している。アマゾンは、コネクテッド・デバイスに対する消費者の信頼を強化するというU.S. Cyber Trust Markの目標を支持している。我々は、消費者教育の取り組みや実施戦略について、業界のパートナーや政府と協力していくことを楽しみにしている。」 
Justin Brookman, Director of Technology Policy, Consumer Reports: コンシューマー・レポート、テクノロジー・ポリシー・ディレクター、ジャスティン・ブルックマン氏
“Consumer Reports is eager to see this program deliver a meaningful U.S. Cyber Trust Mark that lets consumers know their connected devices meet fundamental cybersecurity standards. The mark will also inform consumers whether or not a company plans to stand behind the product with software updates and for how long. While voluntary, Consumer Reports hopes that manufacturers will apply for this mark, and that consumers will look for it when it becomes available.” 「コンシューマー・レポートは、このプログラムによって、コネクテッド・デバイスが基本的なサイバーセキュリティ基準を満たしていることを消費者に知らせる、意義ある米国サイバートラストマークが提供されることを切望している。このマークはまた、企業がソフトウェアのアップデートで製品をサポートする予定があるかどうか、そしてその期間を消費者に知らせるものでもある。任意ではあるが、コンシューマー・レポートは、製造事業者がこのマークを申請し、利用可能になったときに消費者がこのマークを探すことを期待している。」
The U.S. Cyber Trust Mark embodies public-private collaboration. It connects companies, consumers, and the U.S. government by incentivizing companies to build products securely against established security standards and gives consumers an added measure of assurance – through the label – that their smart device is cybersafe. The program is open for business in 2025: companies will soon be able to submit their products for testing to earn the label, companies like BestBuy and Amazon will be highlighting labeled products, and consumers can look for products bearing the Trust Mark on the shelves.   米国のサイバートラストマークは、官民協働を体現している。確立されたセキュリティ標準に照らして製品を安全に製造するよう企業にインセンティブを与えることで、企業、消費者、米国政府を結びつけ、消費者にはラベルを通じて、スマートデバイスがサイバーセーフであるという追加的な保証を与える。企業は間もなく、ラベルを取得するためのテストに製品を提出できるようになり、BestBuyやAmazonのような企業はラベル付き製品を強調表示し、消費者は棚でトラストマークの付いた製品を探すことができる。 
For more information about the U.S. Cyber Trust Mark, please visit the dedicated page on FCC.gov. 米国サイバートラストマークについての詳細は、FCC.govの専用ページを参照のこと。

 

FCCのサイバートラストマーク制度のウェブページ...

● U.S. Federal Communications Commission; FCC

U.S. Cyber Trust Mark

認証マーク...

Certification Mark – U.S. Cybersecurity Labeling Program for Smart Devices

 

1_20230719051401_20250110015101

 

申請手続き...

FCC Announces IoT Labeling Administrator Application Filing Window

・[DOCX][PDF]

20240913-112620

 

最終規則

U.S. Federal Register

・2024.07.30 Cybersecurity Labeling for Internet of Things

 

 


 

ULを主管とする旨の発表

● U.S. Federal Communications Commission; FCC

・2024.12.04 PUBLIC SAFETY AND HOMELAND SECURITY BUREAU SELECTS UL LLC TO SERVE AS LEAD ADMINISTRATOR OF THE INTERNET OF THINGS CYBERSECURITY LABELING PROGRAM (PS Docket No. 23-239)

20250110-15825

 

ULのプレス等...

UL

プレス...

・2024.12.18 UL Solutions Named Lead Administrator in First-Ever US Federal Cybersecurity Labeling Program

 

サイバートラストマーク制度の紹介のページ...

UL Solutions Guide to the U.S. Cyber Trust Mark

 

 


 

サイバーセキュリティ・ラベル管理者11社の発表

● U.S. Federal Communications Commission; FCC

・2024.12.11 [PDF] PUBLIC SAFETY AND HOMELAND SECURITY BUREAU SELECTS UL LLC TO SERVE AS LEAD ADMINISTRATOR OF THE INTERNET OF THINGS CYBERSECURITY LABELING PROGRAM (PS Docket No. 23-239)

20250110-15503

 

 

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.09.13 米国 FCC IoTのためのサイバーセキュリティ・ラベリングFAQと管理者の申請プロセス (2024.09.10)

・2024.08.02 米国 FCC IoTのためのサイバーセキュリティ・ラベリング最終規則

 

・2024.03.20 米国 連邦通信委員会 (FCC) がIoTサイバーセキュリティ表示プログラム(サイバートラストマーク)の規則を採択 (2024.03.14)

米国...

・2023.07.19 米国 消費者向けIoT製品のセキュリティ認証制度、サイバートラスト・マーク (U.S. Cyber Trust Mark) を発表

・2022.09.24 NIST NISTIR 8425 消費者向けIoT製品のIoTコアベースラインのプロファイル、NISTIR 8431 「NIST基礎の上に築く:IoTセキュリティの次のステップ」ワークショップ概要報告書

・2022.06.19 NISTIR 8425 (ドラフト) 消費者向けIoT製品のIoTコアベースラインのプロファイル

・2022.02.07 NIST ホワイトペーパー :消費者向けソフトウェアのサイバーセキュリティラベルの推奨規準

・2022.02.06 NIST ホワイトペーパー :消費者向けIoT製品のサイバーセキュリティラベルの推奨規準

・2021.11.04 NIST 消費者向けソフトウェアのサイバーセキュリティに関するラベリングについての意見募集

・2021.09.02 NIST ホワイトペーパー(ドラフト):消費者向けIoTデバイスのベースライン・セキュリティ基準

・2021.08.29 NISTIR 8259B IoT非技術的支援能力コアベースライン

・2021.05.13 米国 国家のサイバーセキュリティ向上に関する大統領令

・2020.12.17 NIST SP 800-213 (Draft) 連邦政府向け「 IoTデバイスサイバーセキュリティ要件の確立」、NISTIR 8259B、8259C、8259D

・2020.05.30 NIST IoT機器製造者向けセキュリティの実践資料 NISTIR 8259 Foundational Cybersecurity Activities for IoT Device Manufacturers, NISTIR 8259A IoT Device Cybersecurity Capability Core Baseline

・2020.02.06 NISTがIoT機器製造者向けセキュリティの実践資料のドラフト(Ver.2)を公開していますね。。。

 

EU

・2024.03.19 欧州議会 AI法 (2024.03.13) とサイバーレジリエンス法を採択 (2024.03.12)

・2024.02.02 欧州委員会 サイバーセキュリティ認証制度 (EUCC) を採択

・2024.01.17 欧州 欧州議会の投票にかけられるサイバーレジリエンス法案 (Cyber Resilience Act)

・2023.12.04 欧州理事会、欧州議会がサイバーレジリエンス法について政治的合意

・2023.05.31 ENISA 新技術に対応したEUサイバーセキュリティ認証の実現可能性を探る

・2023.03.21 ENISA サイバーセキュリティ認証のウェブページを開設

・2023.03.01 IPA 欧州規格 ETSI EN 303 645 V2.1.1 (2020-06)の翻訳の公開

・2023.02.02 ドイツ スペースネットAG社のサービスにITセキュリティラベルを渡す

・2022.12.15 ドイツ フランス IT製品のセキュリティ認証に関する共同文書を発行 (固定時間制認証制度)

・2022.10.31 ドイツ シンガポール 消費者向けIoT製品のサイバーセキュリティ・ラベルの相互承認 (2022.10.20)

・2022.05.09 ドイツ ITセキュリティラベル for 消費者向けスマート製品

・2022.02.03 ドイツ BSI Mail.deの電子メールサービスにITセキュリティラベルを付与

・2021.07.18 独国 BSIがITセキュリティラベルについてのウェブページを公開していますね。。。

 

英国

・2023.05.04 英国 インターネットに接続するすべての消費者向け製品に適用される最低セキュリティ基準制度が1年後にはじまりますよ〜 (2023.04.29)

・2023.04.25 Five Eyesの国々が安全なスマートシティを作るための共同ガイダンスを発表 (2023.04.20)

・2022.12.11 英国 製品セキュリティおよび電気通信インフラストラクチャ(PSTI)法成立 at 2022.12.06

・2022.01.27 英国 スマートデバイスのサイバーセキュリティ新法に一歩近づくと発表

・2021.12.09 英国 製品セキュリティおよび電気通信インフラストラクチャ(PSTI)法案 at 2021.11.24

 

中国

・2022.02.15 中国 国家サイバースペース管理局 専門家の解説 ネットワーク重要機器のセキュリティ認証とセキュリティテストによるネットワークセキュリティの基本ディスクの維持

 

日本

・2024.03.17 経済産業省 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会の最終とりまとめを公表し、制度構築方針案に対する意見公募を開始

・2023.05.17 経済産業省 産業サイバーセキュリティ研究会 WG3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会 中間とりまとめ

・2022.11.04 経済産業省 第1回 産業サイバーセキュリティ研究会 ワーキンググループ3 IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会

 

 

| | Comments (0)

米国 国家サイバー長官室 エネルギー近代化サイバーセキュリティ実施計画 (2024.12.20)

こんにちは、丸山満彦です。

2024年の宿題はかなり減りましたが、まだ少し残っています...

米国の国家サイバー長官室から、「エネルギー近代化サイバーセキュリティ実施計画」が公表されています...

2024.05.07に公表された「米国サイバーセキュリティ態勢2024」、そして2023.03.02に公表された「サイバーセキュリティ戦略」などと関係があるので、合わせて読んでおくと良いかもです。(両方ともこのブログで紹介しています...)

日米の電力供給環境は違うので、そのまま...というわけにはいかない部分もあると思いますが、参考になる部分も多いように思います。経産省や電事連、電力会社の方は目を通しておいてもよいように思いました...

要となる技術として、

  1. バッテリーとバッテリー管理システム
  2. インバーター制御と電力変換装置
  3. 分散型制御システム
  4. ビル・エネルギー管理システム
  5. 電気自動車(EV)と電気自動車供給設備(EVSE)

を挙げています。

 

U.S. White House - ONCD

・2024.12.20 Fact Sheet: Office of the National Cyber Director Publishes an Energy Modernization Cybersecurity Implementation Plan to Secure an Ambitious Energy Future

Fact Sheet: Office of the National Cyber Director Publishes an Energy Modernization Cybersecurity Implementation Plan to Secure an Ambitious Energy Future ファクトシート 国家サイバー長官室が野心的なエネルギーの未来を確保するためのエネルギー近代化サイバーセキュリティ実施計画を発表
Today, the Office of the National Cyber Director (ONCD) released an Energy Modernization Cybersecurity Implementation Plan. 本日、国家サイバー長官室(ONCD)はエネルギー近代化サイバーセキュリティ実施計画を発表した。
America’s energy landscape is becoming increasingly digitized. New internet-connected technologies enhance the efficiency, performance, safety, and resiliency of the electricity grid. These energy technologies are reducing costs for consumers; elevating the quality and reliability of energy services provided; creating new markets and economic growth opportunities; and improving the environment. But, as highlighted in the Nation’s first Report on the Cybersecurity Posture of the United States, adversaries are continuing to target critical infrastructure. Many of these connected and digitized energy technologies can augment system integrity as compared to legacy systems; at the same time, their introduction can increase the attack surface that adversaries could target. Today, clear opportunities exist to secure American energy infrastructure, at scale, against potential cybersecurity threats. 米国のエネルギー事情は、ますますデジタル化が進んでいる。新しいインターネット接続技術は、電力網の効率、性能、安全性、レジリエンスを向上させている。これらのエネルギー技術は、消費者のコストを削減し、提供されるエネルギー・サービスの質と信頼性を向上させ、新たな市場と経済成長の機会を創出し、環境を改善している。しかし、「米国のサイバーセキュリティ態勢」に関する初の報告書で強調されたように、敵対勢力は重要インフラを標的にし続けている。これらの接続されデジタル化されたエネルギー技術の多くは、従来のシステムと比較してシステムの完全性を高めることができる。今日、米国のエネルギー・インフラを、潜在的なサイバーセキュリティの脅威から大規模に保護する明確な機会が存在する。
Securing the next generation of American energy generation, transmission, and distribution requires coordinated action across the government and the private sector. The publication of the Energy Modernization Cybersecurity Implementation Plan (EMCIP) provides a roadmap for this effort to guide the public sector and inform the private sector. The EMCIP outlines 32 high-impact initiatives that the Federal government will carry out to achieve a more secure energy ecosystem. In keeping with ONCD’s commitment to transparency and accountability, each initiative has an identified lead agency with a specific timeline for completion. Twelve agencies have roles in the plan. 米国の次世代エネルギー発電、送電、配電の安全を確保するには、政府と民間部門が協調して行動する必要がある。エネルギー近代化サイバーセキュリティ実施計画(EMCIP)の公表は、この取り組みのロードマップを公共部門に示し、民間部門に情報を提供するものである。EMCIPは、より安全なエネルギー・エコシステムを実現するために連邦政府が実施する32のインパクトの大きいイニシアチブの概要を示している。ONCDの透明性と説明責任へのコミットメントに則り、各イニシアチブは、完了までの具体的なタイムラインとともに、特定された主導機関を持っている。12の機関がこの計画で役割を担っている。
The electric grid is undergoing a significant, rapid transformation across a range of next-generation technologies is redefining how the electric system needs to be designed, built, and operated, highlighting the need for cross-cutting solutions. For instance, in the Plan, the Department of Energy is developing a framework to unify cybersecurity standards and guidelines for digital energy infrastructure into guidance that can be implemented by the states. The Office of the Director of National Intelligence is charged with regularly providing intelligence-informed briefings to energy technologies industry groups about the evolving threat landscape. And the Cybersecurity and Infrastructure Security Agency will encourage the procurement of digital energy systems that incorporate secure by design principles throughout their product life cycles. 電力網は、さまざまな次世代技術によって重要かつ急速な変革期を迎えており、電力系統の設計、構築、運用のあり方が再定義されつつある。例えば、本計画では、エネルギー省が、デジタル・エネルギー・インフラのサイバーセキュリティ標準とガイドラインを、各州が実施可能なガイダンスに統一する枠組みを策定している。国家情報長官室は、進化する脅威の状況について、エネルギー技術の業界団体に情報に基づいたブリーフィングを定期的に提供する役割を担っている。また、サイバーセキュリティ・インフラ・セキュリティ庁は、製品ライフサイクルを通じてセキュア・バイ・デザインの原則を取り入れたデジタル・エネルギー・システムの調達を奨励する。
As our economy electrifies, ensuring cybersecurity is baked in from the outset will be essential for the foundations of our modern energy sector as well as our national competitiveness and economic security. 我々の経済が電化されるにつれ、サイバーセキュリティを当初から確実に組み込むことは、現代のエネルギー部門の基盤だけでなく、国家競争力や経済安全保障にとっても不可欠となる。
Linchpin Technologies 要となる技術
Earlier this year the U.S. government identified five linchpin energy technologies for which cybersecurity and resilience improvements could have the highest return on investment and improve the security of the system. The EMCIP includes many initiatives specific to those technologies: 今年初め、米国政府は、サイバーセキュリティとレジリエンスの改善が最も投資対効果が高く、システムの安全性を向上させる5つの基幹エネルギー技術を特定した。EMCIPには、これらの技術に特化した多くの取り組みが含まれている:
・Batteries & Battery Management Systems. With properly architected and secured software, both firmware and cloud-based, batteries big and small promise an ambitious energy future that is less constrained by the time or geography of electricity generation. 電池と電池管理システム:ファームウェアとクラウドベースの両方で、適切に設計され、保護されたソフトウェアがあれば、大小のバッテリーは、発電の時間や地理的制約の少ない野心的なエネルギーの未来を約束する。
・・The Department of Energy is integrating battery energy storage systems operators into cybersecurity exercise programs in order to address challenges with the battery ecosystem threat analysis picture not consistently shared with stakeholders. ・・エネルギー省は、利害関係者と一貫して共有されていないバッテリーのエコシステム脅威分析図の課題に対処するため、サイバーセキュリティ演習プログラムにバッテリーエネルギー貯蔵システム事業者を統合している。
・Inverter Controls & Power Conversion Equipment. Inverter controls and power conversion equipment underpin every connection between the electrical grid and distributed energy resources (DERs), such as solar panels, batteries, wind turbines, or hydrogen electrolyzers. When paired with robust cybersecurity, inverters support more sophisticated grid services while promoting greater resilience and lower operating costs across the diverse energy assets of our energy future. ・インバータ制御と電力変換装置:インバータ制御と電力変換装置は、電力網と太陽光パネル、バッテリー、風力タービン、水素電解装置などの分散型エネルギー・リソース(DERs)との間のあらゆる接続を支えている。堅牢なサイバーセキュリティと組み合わせることで、インバーターはより高度なグリッドサービスをサポートし、同時に私たちのエネルギーの未来における多様なエネルギー資産において、より高いレジリエンスと運用コストの低減を促進する。
・・The Department of Energy is developing guidance and best practices for the adoption and implementation of tools to increase the cyber posture of operators of network-connected inverters. ・・エネルギー省は、ネットワークに接続されたインバータの運用者のサイバー態勢を強化するためのツールの採用と導入のためのガイダンスとベストプラクティスを開発している。
・Distributed Control Systems. Cloud-enabled distributed control leverages network connectivity to enable sophisticated aggregation, coordination, and management at scale. Secure-by-design management software will enable greater operation and coordination of hundreds of thousands of DERs; virtual power plants; transmission and distribution systems; small nuclear reactors; community microgrids; and other innovative energy systems. ・分散型制御システム:クラウド対応の分散制御は、ネットワーク接続を活用して、規模に応じた高度な集約、調整、管理を可能にする。セキュア・バイ・デザインの管理ソフトウェアは、何十万ものDER、仮想発電所、送電・配電システム、小型原子炉、コミュニティ・マイクログリッド、その他の革新的なエネルギーシステムの、より高度な運用と調整を可能にする。
・・The Department of Energy is developing testing procedures and verification methodologies for the data requirement and data integration interfaces for advanced distribution management systems, distributed energy resource management systems, microgrid controllers, and other integration software in order to provide industry with clear testing and verification methods for ensuring compliant vendor equipment. ・・エネルギー省は、先進配電管理システム、分散型エネルギー資源管理システム、マイクログリッド制御者、その他の統合ソフトウェアのデータ要件とデータ統合インターフェースに関するテスト手順と検証方法を開発中である。
・Building Energy Management Systems. Advanced building energy management systems improve comfort and well-being through the optimization of heating, ventilation, and cooling systems, as well as lighting systems, and the integration of “behind the meter” energy resources. ・ビル・エネルギー管理システム:先進的なビル・エネルギー管理システムは、暖房、換気、冷房システム、照明システムの最適化、「ビハインド・ザ・メーター」エネルギー資源の統合を通じて、快適性と幸福感を向上させる。
・・The Department of Energy is conducting vulnerability assessments for the most commonly-used components and platforms for Building Energy Management Systems. ・・エネルギー省は、ビル・エネルギー管理システムで最も一般的に使用されているコンポーネントとプラットフォームの脆弱性アセスメントを実施している。
・Electric Vehicles (EVs) & Electric Vehicle Supply Equipment (EVSE). Powered by secure and sophisticated distributed energy control systems, digitally-managed EVSE can enable smart charging, by which utilities or consumers can manage the charging schedules of EVs to optimize grid load, reduce energy costs, or maximize alignment with modern energy sources. Similarly, EV batteries can be marshalled to be either local sources of backup electricity or citywide virtual power plants, buttressing systemic resilience. ・電気自動車(EV)と電気自動車供給設備(EVSE):安全で洗練された分散型エネルギー制御システムにより、デジタル管理されたEVSEは、スマート充電を可能にする。これにより、電力会社または消費者は、EVの充電スケジュールを管理し、グリッド負荷を最適化し、エネルギーコストを削減し、最新のエネルギー源との整合性を最大化することができる。同様に、EVのバッテリーは、地域のバックアップ電源として、あるいは都市全体の仮想発電所として活用することができ、システムのレジリエンスを強化することができる。
・・The Joint Office of Energy and Transportation will transition findings from previously completed field testing into a portable test kit that EVSE stakeholders can use to rapidly evaluate the cybersecurity posture of EVSE and EV charging infrastructure based on a cultivated hardware/software platform and provided testing methodology.  ・・エネルギー・運輸合同局は、すでに完了した実地試験から得られた知見を、EVSE関係者が、培われたハードウェア/ソフトウェア・プラットフォームと提供された試験手法に基づいて、EVSEとEV充電インフラのサイバーセキュリティ態勢を迅速に評価するために使用できるポータブル試験キットに移行する。
The United States Government will only succeed in implementing the EMCIP through close collaboration with the private sector; civil society; state, local, Tribal, and territorial governments; international partners; and Congress. Federal agencies will collaborate with interested stakeholders to implement the plan and build new partnerships where possible. 米国政府は、民間セクター、市民社会、州、地方、部族、地域政府、国際パートナー、議会との緊密な協力を通じてのみ、EMCIPの実施を成功させることができる。連邦政府機関は、利害関係者と協力して計画を実施し、可能であれば新たなパートナーシップを構築する。

 

・[PDF] Energy Modernization Cybersecurity Implementation Plan

20250110-10204

・[DOCX][PDF] 仮訳

 

目次...

Introduction 序文
Overview 概要
A Changing Grid 変化するグリッド
Facing Evolving Threats 進化する脅威に立ち向かう
Linchpin Technologies 要となる技術
Implementation Plan Reading Guide 実施計画リーディング・ガイド
Section A: Cross-Cutting Issues セクションA:横断的課題
Goal: Enhance operational collaboration between government and energy sector partners 目標:政府とエネルギー部門のパートナー間の業務協力を強化する
Goal: Create communities of practice able to foster strategic unity, shared goals, and critical information flows 目標:戦略的な団結、目標の共有、重要な情報の流れを促進することができる実践のコミュニティを作る
Goal: Link digital energy infrastructure standards requirements to crosscutting standards agenda 目標:デジタル・エネルギー・インフラの標準要件を横断的な標準アジェンダにリンクさせる
Goal: Get “ahead of the curve” on cybersecurity practices for key currently- or soon-deploying technologies 目標:現在展開中、または近々展開される主要なテクノロジーについて、サイバーセキュリティの実践を「先取り」する
Goal: Develop a better understanding of potential cybersecurity risks with the next generation of energy technology 目標:次世代のエネルギー技術に潜在するサイバーセキュリティ・リスクについて理解を深める
Goal: Strengthen energy technology cybersecurity R&D community of practice capable of identifying priority R&D requirements 目標:優先的な研究開発要件を特定できるエネルギー技術のサイバーセキュリティ研究開発実践コミュニティを強化する
Goal: Build cybersecurity considerations into the foundations of energy modernization, while ensuring it is flexible enough to accommodate not-yetextant cybersecurity practices as they develop 目標:サイバーセキュリティへの配慮をエネルギー近代化の基礎に組み込むと同時に、サイバーセキュリティの慣行が発展していく中で、まだ十分ではないサイバーセキュリティの慣行に対応できる柔軟性を確保する
Goal: Develop a better understanding of potential cybersecurity risks with the next generation of energy technology 目標:次世代のエネルギー技術に潜在するサイバーセキュリティリスクについて理解を深める
Goal: Identify evolving landscape of energy system products bought and installed in the United States 目標:米国で購入・設置されるエネルギーシステム製品の進化する状況を識別する
Goal: Develop a modern energy cybersecurity workforce 目標:最新のエネルギー・サイバーセキュリティ人材を育成する
Section B: Batteries & Battery Management Systems セクションB:バッテリーとバッテリー管理システム
Goal: Create community of practice able to foster strategic unity, shared goals, and critical information flows 目標:戦略的な結束、目標の共有、重要な情報の流れを促進できる実践共同体を作る
Goal: Enhance operational collaboration between government and energy sector partners 目標:政府とエネルギー部門のパートナー間の業務協力を強化する
Section C: Inverters Controls & Power Conversion Equipment セクション C: インバーター 制御・電力変換装置
Goal: Enhance operational collaboration between government and energy sector partners 目標:政府とエネルギー部門のパートナー間の業務協力を強化する
Goal: Develop strategic cyber interconnection plan to enable guidelines to be pushed more regularly to the process of connection to the grid 目標:戦略的なサイバー相互接続計画を策定し、送電網への接続プロセスにより定期的にガイドラインを適用できるようにする
Goal: Get “ahead of the curve” on cybersecurity practices for key currently- or soon-deploying technologies 目標:現在展開中、または近々展開される主要なテクノロジーについて、サイバーセキュリティの実践を「先取り」する
Section D: Distributed Control Systems セクションD:分散制御システム
Goal: Harmonize integration and management of DERs through common data standards 目標:共通のデータ標準を通じてDERの統合と管理を調和させる
Goal: Build cybersecurity considerations into the foundations of distributed control systems rollout while ensuring they are flexible enough to accommodate not-yet-extant standards as they develop 目標:分散型制御システム展開の基盤にサイバーセキュリティへの配慮を組み込むと同時に、標準が開発される際には、まだ存在しない標準にも対応できる柔軟性を確保する
Section E: Building Energy Management Systems セクションE:ビル・エネルギー管理システム
Goal: Get “ahead of the curve” on cybersecurity practices for key currently- or soon-deploying technologies 目標:現在展開中、または近々展開される主要なテクノロジーについて、サイバーセキュリティの実践を「先取り」する
Goal: Diagnose building management system supply chain risk from a cybersecurity perspective and adopt appropriate mitigations 目標:サイバーセキュリティの観点からビルマネジメントシステムのサプライチェーンリスクを診断し、適切な緩和策を採用する
Section F: Electric Vehicles (EVs) & Electric Vehicle Supply Equipment (EVSE) セクションF:電気自動車(EV)と電気自動車供給設備(EVSE)
Goal: Create communities of practice able to foster strategic unity, shared goals, and critical information flows 目標:戦略的な団結、目標の共有、重要な情報の流れを促進することができる実践のコミュニティを作る
Goal: Accelerate the development of cybersecurity-focused technical standards and related guidance, including energy sector CPGs and NIST Privacy Framework profile for EV/EVSE 目標:エネルギー分野の CPG や EV/EVSE の NIST プライバシー枠組みプロファイルなど、サイバーセキュリ ティに焦点を当てた技術標準や関連ガイダンスの策定を加速する
Goal: Drive international adoption of secure modern energy technologies, including EV/EVSE 目標:EV/EVSEを含む安全な近代的エネルギー技術の国際的普及を推進する
Goal: Ensure EVSE platforms are flexible enough to accommodate not-yetextant standards as they develop 目標:EVSEのプラットフォームは、標準が開発された際に、拡張性のない標準にも対応できる柔軟性を確保する。
Goal: Support agency procurement of secure electric vehicle-related infrastructure 目標:安全な電気自動車関連インフラの調達を支援する。
Goal: Develop an EV charging cybersecurity workforce 目標:EV充電サイバーセキュリティ人材の育成
Goal: Enable cyber defenders and managers to better understand systemic risks presented by EVSE integrations and identify opportunities for mitigation 目標:サイバー防御担当者やリスクマネジメント担当者が、EVSEの統合がもたらすシステムリスクをよりよく理解し、緩和の機会を特定できるようにする

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

米国サイバーセキュリティ態勢2024

・2024.10.26 米国 ONCD 2024年のサイバーセキュリティ態勢2024とサイバーセキュリティ戦略実装計画Ver.2 (2024.05.07)

 

サイバーセキュリティ戦略

2023.03.04 米国 国家サイバーセキュリティ戦略を発表

 

 

| | Comments (0)

米国 連邦取引委員会 ブログ AIと消費者被害のリスク

こんにちは、丸山満彦です。

米国連邦取引委員会が、AIと消費者被害のリスクについてのブログ記事を公開していますが、プライバシー関連など、日本の企業でも参考になる部分があるかもですね...

 

Federal Trade Commission - Office of Technology Blog

1_20250109204701

 

・2025.01.03 AI and the Risk of Consumer Harm

 

AI and the Risk of Consumer Harm AIと消費者被害のリスク
By Staff in the Office of Technology and the Division of Advertising Practices テクノロジー局および広告実務部門スタッフによる
People often talk about “safety” when discussing the risks of AI causing harm. AI safety means different things to different people, and those looking for a definition here will be disappointed. These discussions can sometimes focus on the possibility of existential risk stemming from some sort of AI agent or cyborg of the future. But speculation about human extinction is well beyond the FTC’s immediate concerns. Instead, the FTC focuses on AI through the lens of our consumer protection and competition mission. AIが危害を引き起こすリスクについて議論する際、人々はしばしば「安全性」について語る。AIの安全性は人によって異なる意味を持つため、ここで定義を求めている人は失望するだろう。こうした議論では、未来のAIエージェントやサイボーグから生じる実存的リスクの可能性に焦点が当てられることもある。しかし、人類滅亡に関する憶測は、FTCの当面の懸念をはるかに超えている。その代わり、FTCは消費者保護と競争という使命の観点からAIに焦点を当てている。
The FTC is increasingly taking note of AI’s potential for and real-world instances of harmfrom incentivizing commercial surveillance to enabling fraud and impersonation to perpetuating illegal discrimination. FTCは、商業的監視を奨励することから、詐欺やなりすましを可能にすること、違法な差別を永続させることまで、AIの潜在的な可能性や現実世界の悪影響についてますます注目している。
Consumers are encountering AI systems and tools, whether they know it or not, from customer service chatbots, to educational tools, to recommendation systems powering their social media feeds, to facial recognition technology that could flag them as a security risk, and to tools that determine whether or on what terms they’ll get medical help, a place to live, a job, or a loan. Because there is no AI exemption from the laws on the books, firms deploying these AI systems and tools have an obligation to abide by existing laws, including the competition and consumer protection statutes that the FTC enforces. FTC staff can analyze whether these tools violate people’s privacy or are prone to adversarial inputs or attacks that put personal data at risk. We can also scrutinize generative AI tools that are used for fraud, manipulation, or non-consensual imagery, or that endanger children and others. We can consider the impacts of algorithmic products that make decisions in high-risk contexts such as health, housing, employment, or finance. Those are just a few examples, but the canvas is large. 消費者たちは、カスタマーサービスのチャットボットから教育ツール、ソーシャルメディアフィードを動かす推奨システム、セキュリティリスクとしてフラグを立てられる可能性のある顔認識技術、さらには医療支援、住居、仕事、融資などを受けられるかどうか、またその条件を判断するツールに至るまで、知ってか知らずか、AIシステムやツールに遭遇している。現行法にはAIに対する適用除外がないため、これらのAIシステムやツールを展開する企業には、FTCが執行する競争法や消費者保護法を含む現行法を順守する義務がある。FTCのスタッフは、これらのツールが人々のプライバシーを侵害していないか、個人データをリスクにさらす敵対的な入力や攻撃を受けやすいかどうかを分析することができる。また、詐欺、操作、同意のない画像、あるいは子供やその他の人々を危険にさらすために使用される生成的AIツールについても精査することができる。健康、住宅、雇用、金融など、リスクの高い状況で意思決定を行うアルゴリズム製品の影響についても検討することができる。これらはほんの一例に過ぎないが、検討すべき事項は多い。
The following examples from real-world, recent casework and other initiatives highlight the need for companies to consider these factors when developing, maintaining, using, and deploying an AI-based product: 以下に挙げる最近の事例やその他の取り組みから、AIベースの製品の開発、維持、使用、展開にあたり、企業がこれらの要素を考慮する必要性について、いくつかの例を挙げて説明する。
1. Taking necessary steps to prevent harm before and after deploying a product. Last year the FTC alleged that retail pharmacy Rite Aid failed to take reasonable measures to prevent harm to consumers in its use of facial recognition technology (FRT) that falsely tagged consumers in its stores, particularly women and people of color, as shoplifters. For instance, the complaint alleged that the company failed to take reasonable steps to test, assess, measure, document, or inquire about the accuracy of its FRT before deploying the technology. The complaint further alleged that the company failed to take “reasonable steps” after deploying “to regularly monitor or test the accuracy of the technology.” This included failing to “implement any procedure for tracking the rate of false positive facial recognition matches or actions taken on the basis of false positive facial recognition matches.” The agency has highlighted that companies offering AI models need to assess and mitigate potential downstream harm before and during deployment of their tools, which includes addressing the use and impact of the technologies that are used to make decisions about consumers. 1. 製品展開の前後において、被害を防止するための必要な措置を講じる。昨年、連邦取引委員会(FTC)は、小売薬局のライトエイドが、店舗内で特に女性や有色人種を万引き犯として誤ってタグ付けする顔認識技術(FRT)の使用において、消費者への被害を防止するための合理的な措置を講じなかったと主張した。例えば、訴状では、同社が顔認識技術を展開する前に、その正確性をテスト、アセスメント、測定、文書化、または調査するための妥当な措置を講じなかったと主張している。さらに訴状では、同社が「展開後、技術の正確性を定期的に監視またはテストするための妥当な措置」を講じなかったと主張している。これには、「誤認識による顔認識一致率や、誤認識による顔認識一致に基づく措置を追跡するための手順を導入しなかった」ことも含まれる。同機関は、AIモデルを提供する企業は、自社ツールの展開前および展開中に、潜在的な二次被害をアセスメントし緩和する必要があることを強調している。これには、消費者に関する意思決定に使用されるテクノロジーの利用と影響への対応も含まれる。
2. Taking preventative measures to detect, deter, and halt AI-related impersonation, fraud, child sexual abuse material, and non-consensual intimate imagery. Earlier this year, the FTC finalized a rule to combat impersonation of governments and businesses, which can be turbocharged with AI-generated deepfakes. Relatedly, the FTC launched a Voice Cloning Challenge to promote the development of ideas to protect consumers by detecting and halting the misuse of voice cloning software by unauthorized users. In announcing the challenge, FTC staff discussed considerations including applying effective real-time detection or monitoring measures, using solutions to evaluate existing content, preventing and deterring AI-enabled scams and fraud, and leveraging solutions to build robust guardrails that provide authentication or prevent upstream harm. 2. AI関連のなりすまし、詐欺、児童性的虐待画像、および非合意に基づく親密な画像の検知、阻止、および停止のための予防措置を講じる。今年初め、FTCは政府や企業になりすます行為に対抗するための規則を最終決定したが、これはAI生成のディープフェイクによってさらに加速する可能性がある。これに関連して、FTCは、無許可ユーザーによる音声クローニングソフトウェアの悪用を検知し阻止することで消費者を防御するアイデアの開発を促進するために、「ボイス・クローニング・チャレンジ」を開始した。このチャレンジの発表において、FTCのスタッフは、効果的なリアルタイム検知またはモニタリング手段の適用、既存のコンテンツを評価するソリューションの利用、AIを利用した詐欺や不正行為の防止と抑止、認証の提供や上流での被害の防止を行う強固なガードレールの構築に役立つソリューションの活用など、検討事項について議論した。
While generative AI technology may be relatively recent, these harms are not new for the FTC. The agency has discussed deepfakes at PrivacyCon and in its Combatting Online Harms Report to Congress. The agency also took action against MyEx.com, a revenge porn site, that resulted in a court order permanently shutting down the website and requiring the operators pay harmed consumers for illegally posting their intimate images and personal information without their consent and extorting them by charging takedown fees. 生成的AI技術は比較的新しいものかもしれないが、FTCにとってこうした被害は目新しいものではない。同機関は、PrivacyConや議会へのオンライン被害対策報告書でディープフェイクについて議論している。また、リベンジポルノサイトであるMyEx.comに対しても措置を講じ、その結果、裁判所命令によりウェブサイトが恒久的に閉鎖され、運営者に対して、被害者の同意を得ずに親密な画像や個人情報を違法に投稿し、削除料を請求することで脅迫したことに対する賠償を消費者に支払うよう命じた。
3. Avoiding deceptive claims about AI tools that result in people losing money or put users at risk of harm. The FTC has brought a number of cases involving deceptive claims that an AI product would help people start a business or make money, including the cases recently announced as part of Operation AI Comply. Even more recent are actions against Evolv Technologies for deceptive claims about an AI-enabled security screening product, Intellivision Technologies for deceptive claims about its facial recognition software, and accessiBe for misrepresentations about its AI-powered web accessibility tool. Earlier in the year, the FTC banned NGL Labs and its founders from offering anonymous messaging apps to kids and teens under 18 and halted claims around AI-related content moderation that the Commission alleged were deceptive. In its complaint against Everalbum, a photo app developer, the FTC alleged that the company deceived users who deactivated their accounts about the use and retention of their photos and videos and enabled face recognition by default, failing to give consumers the ability to disable it. In terms of biometric and health data, the agency has also challenged companies for allegedly baseless claims around algorithmic solutions and accuracy of their genetic DNA testing reports (CRI Genetics, LLC), and claims that mobile apps could detect symptoms of melanoma, even in its early stages (MelApp and Mole Detective). 3. AIツールに関する誤解を招くような主張を避け、人々が金銭を失ったり、ユーザーが被害のリスクにさらされたりすることを防ぐ。FTCは、AI製品が起業や金儲けに役立つという詐欺的な主張を含む多くの事例を扱っており、その中には最近発表された「Operation AI Comply」の一環として取り上げられた事例も含まれる。さらに最近では、AI対応のセキュリティスクリーニング製品に関する詐欺的な主張を行ったEvolv Technologies、顔認識ソフトウェアに関する詐欺的な主張を行ったIntellivision Technologies、AI対応のウェブアクセシビリティツールに関する虚偽の表示を行ったaccessiBeに対する措置が取られている。今年初め、FTCはNGL Labsとその創設者に対し、18歳未満の子供や青年を対象とした匿名メッセージングアプリの提供を禁止し、委員会が虚偽であると主張したAI関連のコンテンツ管理に関する主張を差し止めた。写真アプリ開発企業Everalbumに対する申し立てで、FTCは、同社がアカウントを非アクティブ化したユーザーに対し、写真や動画の使用と保存について欺瞞的な説明を行い、デフォルトで顔認識を有効にし、消費者がそれを無効にする機能を付与しなかったと主張した。生体データや健康データに関しては、同機関はアルゴリズムによるソリューションや遺伝子DNA検査レポートの正確性(CRI Genetics, LLC)に関する根拠のない主張、および初期段階のメラノーマの症状さえも検知できるとするモバイルアプリの主張(MelApp and Mole Detective)についても企業を非難している。
4. Ensuring privacy and security by default. Generative AI tools require a massive amount of data inputs as part of the training process for large language models, among other types of AI models. Some of this data may be highly sensitive. The Commission has a long record of providing guidance to businesses about ensuring data security and protecting privacy, including via its Policy Statement on Biometric Information. The FTC has also sued companies that failed to abide by their legal obligations. For example, the FTC issued a complaint against Amazon’s voice assistant service, Alexa, over the company’s default settings to retain users’ (including children’s) voice recordings indefinitely. The agency alleged that Amazon “misled Alexa users about their ability to delete voice recordings collected by Alexa” and used the data it unlawfully retained to help improve its Alexa algorithm. FTC staff have also advised that companies shouldn’t quietly or surreptitiously change their terms of service. 4. デフォルトでプライバシーとセキュリティを確保する。生成的AIツールは、大規模言語モデルのトレーニングプロセスにおいて、他のAIモデルと同様に膨大な量のデータ入力が必要となる。これらのデータの中には、極めて機密性の高いものもある。欧州委員会は、生体データに関するポリシー声明などを通じて、データセキュリティの確保とプライバシーの防御に関する企業へのガイダンス提供において、長い実績がある。FTCもまた、法的義務を順守しなかった企業を提訴している。例えば、FTCはAmazonの音声アシスタントサービスAlexaに対し、ユーザー(子供を含む)の音声録音を無期限に保持するデフォルト設定を理由に訴訟を起こした。同機関はAmazonが「Alexaユーザーに対し、Alexaが収集した音声録音を削除できると誤解させるような説明を行っていた」と主張し、同社が違法に保持していたデータをAlexaアルゴリズムの改善に利用していたと主張した。また、FTCのスタッフは、企業がひそかまたはこっそりと利用規約を変更すべきではないと助言している。
The actions above are not a comprehensive overview of what companies should be considering when they design, build, test, and deploy their own products and services to millions of customers. Each case illustrates how the FTC’s enforcement efforts encompass both the claims that companies make about their own products and services and the actions they take to ensure that they do not cause harm to consumers and violate laws enforced by the Commission. 上記の行為は、企業が何百万人もの顧客を対象に独自の製品やサービスを設計、構築、テスト、展開する際に考慮すべきことの包括的な概要ではない。各事例は、FTCの取締りが、企業が自社の製品やサービスについて行う主張と、消費者に損害を与えず、委員会が施行する法律に違反しないことを確実にするために企業が取る行動の両方を対象としていることを示している。
In this blog post, we’re not covering the agency’s other important work relating to AI, including concerns relating to competition. Chair Khan previously outlined several relevant principles that agency staff is keeping in mind: highlighting how business models drive incentives; aligning liability with capability and control; and crafting effective remedies that establish bright-line rules on the development, use, and management of AI inputs. AI will continue to evolve in ways that will reveal both the benefits and the risks of technology, and effectively mitigating those risks can help spur those benefits. Companies can use AI tools in ways that have serious impacts on consumers, so they need to address associated risks before, during, and after consumers come in contact with them. As firms think about their own approach to developing, deploying, and maintaining AI-based systems, they should be considering the risks to consumers that each of them carry in the here-and-now, and take steps to proactively protect the public before their tools become a future FTC case study. 本ブログ記事では、競争に関する懸念など、AIに関連する同機関のその他の重要な取り組みについては取り上げていない。カーン委員長は以前、同機関のスタッフが念頭に置いている関連原則のいくつかを概説した。すなわち、ビジネスモデルがインセンティブをどのように推進するかを強調すること、責任を能力と制御と一致させること、AI入力の開発、使用、管理に関する明確なルールを確立する効果的な救済策を策定すること、などである。AIは今後も進化を続け、テクノロジーのメリットとリスクの両方が明らかになっていく。そして、リスクを効果的に緩和することは、メリットを促進することにつながる。企業はAIツールを、消費者に対して重大な影響を与える方法で使用することが可能であるため、消費者が企業と接触する前、接触中、接触後のいずれにおいても、関連するリスクに対処する必要がある。企業がAIベースのシステムの開発、展開、維持に対する独自の取り組みを考える際には、それぞれの取り組みが現在抱えている消費者に対するリスクを考慮し、自社のツールが将来FTCのケーススタディの対象となる前に、一般の人々を積極的に防御するための措置を講じるべきである。
Thank you to those who contributed to this post: Michael Atleson, Shoshana Wodinsky, Stephanie Nguyen, Dan Salsburg, Leah Frazier, Mark Suter, Sam Levine. この記事に貢献してくださった方々に感謝いたします。マイケル・アトレスン、ショシャナ・ウォディンスキー、ステファニー・グエン、ダン・サルスバーグ、リア・フレイジャー、マーク・スター、サム・レヴィン。

 

 


関連...

まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.09 米国 連邦取引委員会 メリッサ・ホリヨーク委員の全国広告部門基調講演「プライバシー、広告、AIについてのこれからの道筋」(2024.09.17)

・2024.09.27 米国 連邦取引委員会 AIコンプライアンス作戦:過剰な約束やAI関連の嘘に対する取り締まりを継続

・2024.04.02 米国 連邦取引委員会 プライバシーとデータセキュリティの2023年更新版 (2024.03.28)

・2024.01.26 米国 連邦取引委員会 生成的AIへの投資とパートナーシップに関する調査をアルファベット、アマゾン、マイクロソフト、アンソロピックPBC、OpenAIに対して開始

・2024.01.25 米国 FTC プライバシーおよびデータ・セキュリティの法執行に関する協力強化のための多国間協定に署名 (2024.01.17)

・2023.04.28 米国 連邦取引委員会 司法省 消費者金融保護局 雇用機会均等委員会 「自動化システムにおける差別やバイアスに対する執行努力に関する共同声明 」

 

 

| | Comments (0)

米国 NIST SP 800-227(初期公開ドラフト) キーカプセル化メカニズムに関する推奨事項

こんにちは、丸山満彦です。

NISTが、SP 800-227(初期公開草案) キーカプセル化メカニズムに関する推奨事項を公表し、意見募集をしていますね...

 

NIST - ITL

・2025.01.07 NIST SP 800-227 (Initial Public Draft) Recommendations for Key-Encapsulation Mechanisms

NIST SP 800-227 (Initial Public Draft) Recommendations for Key-Encapsulation Mechanisms NIST SP 800-227(初期公開草案) キーカプセル化メカニズムに関する推奨事項
Announcement 発表
NIST recently published FIPS 203, Module-Lattice-Based Key-Encapsulation Mechanism Standard, to update its cryptographic standards with an algorithm designed to provide protection from quantum attacks.  In addition, NIST will select one or two additional quantum-resistant key-encapsulation mechanisms (KEMs) for standardization. To provide guidance on using KEMs, NIST is introducing SP 800-227, Recommendations for Key Encapsulation Mechanisms.  This draft document describes the basic definitions, properties, and applications of KEMs. It also provides recommendations for implementing and using KEMs in a secure manner. NISTは最近、量子攻撃からの防御を目的として設計されたアルゴリズムで暗号化標準を更新するために、FIPS 203(モジュール-格子ベースのキーカプセル化メカニズム標準)を発行した。 さらに、NISTは標準化のために、量子耐性のある鍵カプセル化メカニズム(KEM)を1つまたは2つ追加で選定する予定である。KEMの使用に関する指針を提供するため、NISTは「SP 800-227:鍵カプセル化メカニズムに関する推奨事項」を導入している。このドラフト文書では、KEMの基本的な定義、特性、および用途について説明している。また、KEMを安全に実装および使用するための推奨事項も提供している。
The public comment period is open through March 7, 2025. パブリックコメントの受付期間は2025年3月7日までとなっている。
NIST will also hold a virtual Workshop on Guidance for KEMs on February 25-26, 2025, to gather additional feedback on SP 800-227. また、NISTは2025年2月25日~26日に仮想ワークショップ「KEMに関するガイダンス」を開催し、SP 800-227に関する追加のフィードバックを収集する予定である。
Abstract 概要
A key-encapsulation mechanism (KEM) is a set of algorithms that can be used by two parties under certain conditions to securely establish a shared secret key over a public channel. A shared secret key that is established using a KEM can then be used with symmetric-key cryptographic algorithms to perform essential tasks in secure communications, such as encryption and authentication. This document describes the basic definitions, properties, and applications of KEMs. It also provides recommendations for implementing and using KEMs in a secure manner. 鍵カプセル化メカニズム(KEM)とは、特定の条件下で2つの当事者が使用し、公開チャネル上で安全に共有秘密鍵を確立できるアルゴリズムのセットである。KEMを使用して確立された共有秘密鍵は、その後、対称鍵暗号化アルゴリズムと併用して、暗号化や認証など、安全なコミュニケーションにおける重要なタスクを実行するために使用することができる。本書では、KEMの基本的な定義、特性、および用途について説明する。また、KEMを安全に実装および使用するための推奨事項も提供する。

 

 

・[PDF] SP.800-227.ipd

20250109-182449

 

1. Introduction 1. 序文
1.1. Background 1.1. 背景
1.2. Scope and Purpose 1.2. 範囲と目的
2. Definitions and Requirements 2. 定義と要件
2.1. Definitions 2.1. 定義
2.2. Requirements 2.2. 要件
3. Overview of Key-Encapsulation Mechanisms 3. 鍵カプセル化メカニズムの概要
3.1. Introduction 3.1. 導入
3.2. Basic Definitions and Examples 3.2. 基本的な定義と例
3.3. Theoretical Security of KEMs 3.3. KEMの理論上の安全性
4. Requirements for Secure KEM Implementations 4. 安全なKEM実装の要件
4.1. Compliance to NIST Standards and Validation 4.1. NIST標準への準拠と妥当性確認
4.2. Managing Cryptographic Data 4.2. 暗号データの管理
4.3. Additional Requirements 4.3. 追加要件
5. Using KEMs Securely in Applications 5. アプリケーションにおけるKEMの安全な使用
5.1. How to Establish a Key With a KEM 5.1. KEMによる鍵確立方法
5.2. Conditions for Using KEMs Securely 5.2. KEMを安全に使用するための条件
5.3. Key Derivation 5.3. 鍵の導出
5.4. Key Confirmation 5.4. 鍵の確認
5.4.1. Creating the MAC Data 5.4.1. MACデータの作成
5.4.2. Obtaining the Key-Confirmation Key 5.4.2. 鍵確認鍵の取得
5.4.3. Key-Confirmation Example 5.4.3. 鍵確認の例
5.5. Multi-algorithm KEMs and PQ/T Hybrids 5.5. マルチアルゴリズムKEMとPQ/Tハイブリッド
5.5.1. Constructing a Composite KEM 5.5.1. 複合KEMの構築
5.5.2. Approved Key Combiners 5.5.2. 承認済み鍵結合器
5.5.3. Security Considerations for Composite Schemes 5.5.3. 複合スキームのセキュリティに関する考察
6. Examples 6. 例
6.1. Examples of KEMs 6.1. KEMの例
6.1.1. A KEM From Diffie-Hellman 6.1.1. ディフィー・ヘルマン法に基づくKEM
6.1.2. A KEM from RSA Secret-Value Encapsulation 6.1.2. RSA秘密値カプセル化に基づくKEM
6.1.3. ML-KEM 6.1.3. ML-KEM
6.2. Examples of Applications of KEMs 6.2. KEMの応用例
6.2.1. Hybrid Public-Key Encryption (HPKE) 6.2.1. ハイブリッド公開鍵暗号(HPKE)
6.2.2. Static-Ephemeral Key Establishment 6.2.2. 静的一時鍵確立
6.2.3. Ephemeral Authenticated Key Establishment 6.2.3. 使い捨て認証鍵確立
References 参考文献
Appendix A. Cryptographic Components 附属書 A. 暗号コンポーネント
A.1. Message Authentication Codes (MACs) A.1. メッセージ認証コード(MAC)
A.2. Random Bit Generators A.2. ランダムビット生成器
A.3. Nonces A.3. ノンス

 

 

 

 

| | Comments (0)

米国 NIST SP 800-189 Rev. 1(初期公開ドラフト) ボーダーゲートウェイプロトコルのセキュリティとレジリエンス

こんにちは、丸山満彦です。

NISTが、SP 800-189 Rev. 1(初期公開ドラフト) ボーダーゲートウェイプロトコルのセキュリティとレジリエンスを公表し、意見募集をしていますね...

この年末は、JAL、金融機関に対するDDoS攻撃も話題になりましたからね...

 

NIST - ITL

・2025.01.03 NIST SP 800-189 Rev. 1 (Initial Public Draft) Border Gateway Protocol Security and Resilience

NIST SP 800-189 Rev. 1 (Initial Public Draft) Border Gateway Protocol Security and Resilience NIST SP 800-189 Rev. 1(初期公開草案) ボーダーゲートウェイプロトコルのセキュリティとレジリエンス
Announcement 発表
In recent years, numerous Internet routing incidents — such as Border Gateway Protocol (BGP) prefix hijacking, and route leaks — have resulted in denial of service (DoS), unwanted data traffic detours, and performance degradation. Large-scale distributed denial-of-service (DDoS) attacks on servers using spoofed Internet Protocol (IP) addresses and reflection amplification in the data plane have resulted in significant disruptions of services and damages. 近年、多数のインターネットルーティングインシデント(BGP(ボーダーゲートウェイプロトコル)プレフィックスの乗っ取りやルートリークなど)が、サービス拒否(DoS)攻撃、不要なデータトラフィックの迂回、パフォーマンスの低下を引き起こしている。 偽装されたインターネットプロトコル(IP)アドレスを使用するサーバーに対する大規模な分散型サービス拒否(DDoS)攻撃や、データプレーンにおけるリフレクション増幅により、サービスが大幅に中断され、損害が発生している。
This document provides technical guidance and recommendations to improve the security and resilience of Internet routing based on BGP. Technologies recommended in this document for securing Internet routing include Resource Public Key Infrastructure (RPKI), Route Origin Authorization (ROA), ROA-based route origin validation (ROA-ROV), and prefix filtering. Additionally, the technologies recommended for mitigating DDoS attacks focus on the prevention of IP address spoofing using source address validation (SAV) with access control lists (ACLs) and unicast Reverse Path Forwarding (uRPF). Other technologies are also recommended as part of the overall security mechanisms, such as remotely triggered black hole (RTBH) filtering and flow specification (Flowspec). 本書では、BGPに基づくインターネットルーティングのセキュリティとレジリエンスを改善するための技術的な指針と推奨事項を提示する。インターネットルーティングのセキュリティ確保のために本書で推奨する技術には、リソース公開鍵基盤(RPKI)、ルートオリジン認可(ROA)、ROAに基づくルートオリジン妥当性確認(ROA-ROV)、およびプレフィックスフィルタリングなどがある。さらに、DDoS攻撃の緩和に推奨される技術は、アクセス管理リスト(ACL)とユニキャスト・リバースパス・フォワーディング(uRPF)を用いた送信元アドレスの妥当性確認(SAV)によるIPアドレスのなりすまし防止に重点を置いている。また、リモートトリガー型ブラックホール(RTBH)フィルタリングやフロー仕様(Flowspec)など、その他の技術も総合的なセキュリティ対策の一環として推奨されている。
While this document is intended to guide information security officers and managers of federal enterprise networks, it also applies to the network services of hosting providers (e.g., cloud-based applications and service hosting) and Internet service providers (ISPs) that support federal IT systems. This guidance may also be useful for enterprise and transit network operators and equipment vendors in general. 本書は、連邦政府の企業ネットワークの情報セキュリティ責任者および管理者の指針となることを目的としているが、連邦政府のITシステムをサポートするホスティングプロバイダ(クラウドベースのアプリケーションやサービスホスティングなど)やインターネットサービスプロバイダ(ISP)のネットワークサービスにも適用される。また、本指針は、エンタープライズおよびトランジットネットワークの運用者や機器ベンダーにも一般的に役立つ可能性がある。
Abstract 要約
This publication provides guidance on Internet routing security, preventing IP address spoofing, and certain aspects of DDoS detection and mitigation. It particularly focuses on Border Gateway Protocol, which is the routing protocol used to distribute and compute paths between the tens of thousands of autonomous networks that comprise the internet. Technologies recommended in this document for securing BGP routing include Resource Public Key Infrastructure, Route Origin Authorization, ROA-based route origin validation, and prefix filtering. Additionally, technologies recommended for mitigating DDoS attacks focus on preventing IP address spoofing using source address validation with access control lists and unicast Reverse Path Forwarding. Other technologies are also recommended as part of the overall routing security mechanisms, such as remotely triggered black hole filtering and flow specification. 本書は、インターネットルーティングのセキュリティ、IPアドレススプーフィングの防止、およびDDoS攻撃の検知と緩和の特定の側面に関する指針を提供する。特に、インターネットを構成する何万もの自律ネットワーク間の経路を分配し計算するために使用されるルーティングプロトコルであるボーダーゲートウェイプロトコル(BGP)に焦点を当てている。BGPルーティングのセキュリティ確保のために本書で推奨されている技術には、リソース公開鍵基盤(PKI)、ルートオリジン認可(ROA)、ROAに基づくルートオリジン妥当性確認、およびプレフィックスフィルタリングなどがある。さらに、DDoS攻撃の緩和のために推奨されている技術は、アクセス管理リスト(ACL)とユニキャストRPF(Reverse Path Forwarding)を使用した送信元アドレスの妥当性確認によるIPアドレススプーフィングの防止に重点を置いている。また、ルーティングセキュリティの全体的な仕組みの一部として、リモートトリガーによるブラックホールフィルタリングやフロー指定などの技術も推奨されている。

 

・[PDF] SP.800-189r1.ipd

20250109-172323

 

目次...

Executive Summary エグゼクティブサマリー
1. Introduction 1. 序文
1.1. What This Guide Covers 1.1. 本ガイドの対象範囲
1.2. What This Guide Does Not Cover 1.2. 本ガイドの対象外
1.3. Document Structure 1.3. 文書構成
1.4. Conventions Used in This Guide 1.4. 本ガイドで使用される表記法
2. BGP Vulnerabilities 2. BGP の脆弱性
2.1. Unauthorized BGP Originations (Prefix Hijacks) 2.1. 無許可の BGP 発信(プレフィックスハイジャック
2.2. Unauthorized BGP Update Modification (Path Hijacks) 2.2. 無許可の BGP 更新変更(パスハイジャック
2.3. 8GP Policy Violations (Route Leaks 2.3. 8GPポリシー違反(ルートリーク
3. Other Internet Routing Related Vulnerabilities (IP Address Spoofing) 3. その他のインターネットルーティング関連の脆弱性(IPアドレススプーフィング
3.1. Spoofed Source Addresses 3.1. 偽装されたソースアドレス
3.2. Reflection Amplification attacks 3.2. リフレクション増幅攻撃
4. Improving BGP Security and Resilience - Solutions and Recommendations 4. BGPのセキュリティとレジリエンスの改善 - ソリューションと推奨事項
4.1. Registration of Route Objects in Internet Routing Registries 4.1. インターネットルーティングレジストリにおけるルートオブジェクトの登録
4.2. Certification of Resources in Resource Public Key Infrastructure 4.2. リソース公開鍵基盤におけるリソースの認証
4.3. ROA-based Route Origin Validation (ROA-ROV) 4.3. ROAに基づく経路発信元の妥当性確認(ROA-ROV)
4.3.1. Forged-Origin Hijacks — How to Minimize Them 4.3.1. 偽装発信元の乗っ取り - その最小化方法
4.3.2. General Recommendations Related to RPKI and ROA-ROV 4.3.2. RPKIおよびROA-ROVに関する一般的な推奨事項
4.4. Categories of Prefix Filters... 4.4. プレフィックス・フィルターのカテゴリー...
4.4.1. Unallocated Prefixes 4.4.1. 未割り当てのプレフィックス
4.4.2. Special Purpose Prefixes 4.4.2. 特殊目的のプレフィックス
4.4.3. Single-Homed Prefixes 4.4.3. 単一ホームのプレフィックス
4.4.4. Prefixes that Exceed a Specificity Limit 4.4.4. 特定の制限を超えるプレフィックス
4.4.5. Default Route 4.4.5. デフォルトルート
4.4.6. IXP LAN Prefixes 4.4.6. IXP LAN プレフィックス
4.5. Prefix Filtering for Peers of Different Types 4.5. 異なるタイプのピアに対するプレフィックスフィルタリング
4.5.1. Prefix filtering with Lateral Peer 4.5.1. 水平ピアによるプレフィックスフィルタリング
4.5.2. Prefix Filtering with Transit Provider 4.5.2. トランジットプロバイダによるプレフィックスフィルタリング
4.5.3. Prefix Filtering with Customer... 4.5.3. 顧客によるプレフィックスフィルタリング...
4.5.4. Prefix Filtering Performed in a Leaf Customer Network 4.5.4. リーフカスタマーネットワークで実行されるプレフィックスフィルタリング
4.6. Role of RPKI in Prefix Filtering 4.6. プレフィックスフィルタリングにおけるRPKIの役割
4.7. AS Path Verification. 4.7. ASパス検証
4.7.1. BGPsec Protocol (Emerging/Future) 4.7.1. BGPsecプロトコル(新興/将来
4.7.2. ASPA-based AS Path Verification (Emerging/Future) 4.7.2. ASPAベースのASパス検証(新興/将来
4.7.3. BGP Roles and OTC Attribute Solution for Route Leaks (Future) 4.7.3. BGPの役割とルートリークに対するOTC属性ソリューション(将来
4.8. Route Leak Solution Using BGP Community Tagging 4.8. BGPコミュニティ・タグを使用したルートリーク・ソリューション
4.9. Checking As Path for Disallowed As Numbers 4.9. 許可されていないAS番号に対するAsパス確認
4.10. Generalized TTL Security Mechanism (GTSM) 4.10. 一般化TTLセキュリティメカニズム(GTSM)
4.11. Default External BGP Route Propagation Behavior without Policies 4.11. ポリシーなしのデフォルト外部BGPルート伝搬動作
5. Source Address Validation and DDoS Mitigation 5. 送信元アドレスの妥当性確認とDDoS緩和
5.1. Source Address Validation Techniques 5.1. 送信元アドレスの妥当性確認技術
5.1.1. SAV Using Access Control Lists 5.1.1. アクセス管理リスト(ACL)を使用するSAV
5.1.2. SAV Using Strict Unicast Reverse Path Forwarding 5.1.2. 厳密なユニキャスト・リバースパス・フォワーディングを使用するSAV
5.1.3. SAV Using Feasible-Path Unicast Reverse Path Forwarding 5.1.3. 実現可能パス・ユニキャスト・リバースパス・フォワーディングを使用するSAV
5.1.4. SAV Using Loose Unicast Reverse Path Forwarding 5.1.4. 緩やかなユニキャスト・リバースパス・フォワーディングを使用するSAV
5.1.5. SAV Using VRF Table 5.1.5. VRFテーブルを使用するSAV
5.1.6. SAV Using Enhanced Feasible-Path URPF (Emerging/Future) 5.1.6. 拡張可能経路パスユニキャストリバースパスフォワーディング(Emerging/Future)を使用するSAV
5.1.7. SAV Using BAR-SAV (Emerging/Future) 5.1.7. BAR-SAV(Emerging/Future)を使用するSAV
5.1.8. More Effective Mitigation with Combination of Origin Validation and SAV 5.1.8. オリジン妥当性確認とSAVの組み合わせによるより効果的な緩和
5.2. SAV Recommendations for Various Types of Networks 5.2. さまざまなタイプのネットワークに対するSAVの推奨事項
5.2.1. Customer with Directly Connected Allocated Address Space: Broadband and Wireless Service Providers 5.2.1. 直接接続された割り当てアドレス空間を持つ顧客:ブロードバンドおよびワイヤレスサービスプロバイダ
5.2.2. Enterprise Border Routers 5.2.2. エンタープライズ・ボーダ・ルータ
5.2.3. Internet Service Providers 5.2.3. インターネット・サービス・プロバイダ
5.3. BGP Flow Specification (Flowspec) 5.3. BGP フロー仕様(Flowspec
6. General: Outsourced Services, Supporting Standards, Open Source, and Measurements 6. 一般事項:外部委託サービス、標準規格のサポート、オープンソース、および測定
References 参考文献
Appendix A Consolidated List of Security Recommendations 附属書 A セキュリティ勧告の統合リスト
Appendix B. List of Symbols, Abbreviations, and Acronyms 附属書 B. 記号、略語、および頭字語のリスト
Appendix C. Change Log 附属書 C. 変更履歴

 

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー 
There have been numerous security and resilience incidents in recent years involving Border Gateway Protocol (BGP), including prefix hijacks, route leaks, and other forms of misrouting. These incidents include both malicious attacks and accidental misconfigurations that result in the denial of service (DoS), unwanted data traffic detours, and performance degradation  [Madory]. Another form of abuse of Internet routing in the data plane is source Internet Protocol (IP) address spoofing,  a technique often used in DoS attacks.   近年、プレフィックスハイジャック、ルートリーク、その他の誤ルーティングなど、ボーダーゲートウェイプロトコル(BGP)に関連するセキュリティおよびレジリエンスのインシデントが数多く発生している。これらのインシデントには、悪意のある攻撃と、サービス拒否(DoS)、不要なデータトラフィックの迂回、パフォーマンスの低下を招く偶発的な誤設定の両方が含まれる [必須]。データプレーンにおけるインターネットルーティングの別の悪用形態は、ソースIP(インターネットプロトコル)アドレススプーフィングであり、DoS攻撃でよく使用される手法である。
This document provides technical guidance and recommendations to improve the security and resilience of Internet routing based on BGP. It primarily focuses on the points of interconnection between enterprise networks or hosted service providers and the public Internet. These are commonly known as “stub” networks (i.e., those networks that only provide connectivity to their end systems) and transit networks (i.e., those networks that serve to interconnect and pass traffic between stub networks and other transit networks), and the points of interconnection between them are often referred to as the “Internet’s edge.” There is usually a contractual relationship between transit networks and the stub networks that they service, and the set of technical procedures and policies defined in that relationship is commonly called the “peering policy.” Many of the recommendations in this document also apply to the points of interconnection between two transit networks, which may vary from those between stub and transit networks.   本書では、BGPに基づくインターネットルーティングのセキュリティとレジリエンスを改善するための技術的な指針と推奨事項を提供する。本書では、主にエンタープライズネットワークやホスティングサービスプロバイダとパブリックインターネット間の相互接続のポイントに焦点を当てている。これらは一般的に「スタブ」ネットワーク(すなわち、エンドシステムへの接続のみを提供するネットワーク)およびトランジットネットワーク(すなわち、スタブネットワークと他のトランジットネットワーク間の相互接続とトラフィックの転送を行うネットワーク)として知られており、それらの相互接続のポイントはしばしば「インターネットのエッジ」と呼ばれる。トランジットネットワークとそれらがサービスを提供するスタブネットワークの間には通常、契約関係が存在し、その関係において定義される一連の技術手順およびポリシーは一般的に「ピアリングポリシー」と呼ばれる。本書で推奨する多くの内容は、2つのトランジットネットワーク間の相互接続ポイントにも適用されるが、スタブネットワークとトランジットネットワーク間の相互接続ポイントとは異なる場合がある。 
These recommendations can reduce the risk of accidental misconfigurations and malicious attacks on the Internet’s BGP routing system and help prevent IP address spoofing and distributed DoS (DDoS) attacks. They primarily cover security and resilience technologies for routers that operate BGP (commonly called BGP routers) but also extend to other systems that support Internet routing security, such as Resource Public Key Infrastructure (RPKI) repositories.   これらの推奨事項は、インターネットのBGPルーティングシステムにおける誤設定や悪意のある攻撃のリスクを低減し、IPアドレススプーフィングや分散型DoS(DDoS)攻撃の防止に役立つ。 主にBGPを運用するルーター(一般的にBGPルーターと呼ばれる)のセキュリティおよびレジリエンシー技術をカバーしているが、RPKI(リソース公開鍵基盤)リポジトリなど、インターネットルーティングセキュリティをサポートする他のシステムにも適用される。 
The guidance in this publication should be incorporated into the security plans and operational processes of federal enterprise networks, and applicable recommendations should be incorporated into requirements for federal contracts for hosted application services and Internet transit services. This document also contributes to the ongoing broader efforts by the Federal Government to secure the foundational protocols of the Internet [NCSIP], particularly Internet routing [WH-ONCD][BITAG], with RPKI, Route Origin Authorization (ROA), ROA-based route origin validation (ROA-ROV), and prefix filtering. Additionally, the technologies recommended for mitigating DDoS attacks focus on the prevention of IP address spoofing using source address validation (SAV) with access control lists (ACLs) and unicast Reverse Path Forwarding (uRPF). Other technologies are also recommended as part of the overall security mechanisms, such as remotely triggered black hole (RTBH) filtering and flow specification (Flowspec).   本書に記載された指針は、連邦エンタープライズネットワークのセキュリティ計画および運用プロセスに組み込むべきであり、また、該当する推奨事項は、ホスティングされたアプリケーションサービスおよびインターネットトランジットサービスに関する連邦契約の要件に組み込むべきである。また、本書は、RPKI、ルートオリジン認可(ROA)、ROAベースのルートオリジン妥当性確認(ROA-ROV)、およびプレフィックスフィルタリングにより、インターネットの基盤プロトコル、特にインターネットルーティング(NCSIP)[WH-ONCD][BITAG]のセキュリティ確保に向けた連邦政府の継続的な広範な取り組みにも貢献する。さらに、DDoS攻撃の緩和に推奨される技術は、アクセス管理リスト(ACL)とユニキャスト・リバースパス・フォワーディング(uRPF)による送信元アドレスの妥当性確認(SAV)を使用したIPアドレス・スプーフィングの防止に重点を置いている。また、リモート・トリガ・ブラックホール(RTBH)フィルタリングやフロー仕様(Flowspec)など、その他の技術も総合的なセキュリティ対策の一部として推奨されている。 

 

 

| | Comments (0)

2025.01.09

NTT 2025年サイバーセキュリティ・トレンド

こんにちは、丸山満彦です。

2024年の宿題....

 

個別企業の話はあまりしないのですが、NTTのサイバーセキュリティトレンドが興味深いので...

英語版が2024.12.19に公表されてから、日本語版が、2024.12.24に公表されていますね...

AI、地政学、グローバルサイバー犯罪、サプライチェーン、消費者保護

 

NTT

・2024.12.19 NTT's Top Five Cybersecurity Trends for 2025

・2024.12.24 2025年サイバーセキュリティトレンド

 

目次的な感じ...

1_20250109213801

NTT's Top Five Cybersecurity Trends for 2025 2025年サイバーセキュリティトレンド
1.Rise in AI-Driven Cyber Threats 1.AIを利用したサイバー脅威の増加
AI driving cybercrime サイバー犯罪を促進するAI
By: Mihoko Matsubara, Chief Cybersecurity Strategist, NTT Corporation NTTチーフ・サイバーセキュリティ・ストラテジスト 松原 実穂子
Gen AI as part of attack frameworks 攻撃フレームワークに組み込まれる生成AI
By: John Petrie, Counselor to the NTT Global CISO NTTグローバル最高情報セキュリティ責任者補佐John Petrie
Rise in attack volume 脅威の増加
By: David Beabout, Chief Information Security Officer, NTT Security Holdings NTT セキュリティ社 最高情報セキュリティ責任者 David Beabout
Deepfake scams will spread ディープフェイク詐欺の拡大
By: Mihoko Matsubara, Chief Cybersecurity Strategist, NTT Corporation NTTチーフ・サイバーセキュリティ・ストラテジスト 松原 実穂子
2.Geopolitical Cyber Warfare 2.地政学
Multinational attacks against like-minded nations 志を同じくする国々に対する多国籍攻撃
By: John Petrie, Counselor to the NTT Global CISO NTTグローバル最高情報セキュリティ責任者補佐John Petrie
China-produced computer chips and security 中国製コンピュータチップとセキュリティ
By: John Petrie, Counselor to the NTT Global CISO NTTグローバル最高情報セキュリティ責任者補佐John Petrie
APAC and geopolitical tensions APACと地政学的緊張
By: David Beabout, Chief Information Security Officer, NTT Security Holdings NTT セキュリティ社 最高情報セキュリティ責任者 David Beabout
3.Global Cybercrime Collaboration and Expansion 3.グローバルなサイバー犯罪の協力と拡大
Collaboration between North Korean APT and Russian cybercrime groups 北朝鮮のAPTとロシアのサイバー犯罪グループの協力
By: Taro Manabe, NTT Security Japan, Senior Manager, Professional Service Division NTTセキュリティ社 真鍋 太郎
The multilingualization and expansion of cybercrime communities サイバー犯罪コミュニティの多言語化と第三世界への拡大
By: Taro Manabe, NTT Security Japan, Senior Manager, Professional Service Division NTTセキュリティ社 真鍋 太郎
4.Supply Chain Attack Expansion 4.サプライチェーン攻撃の拡大
Rise in supply chain attacks サプライチェーン攻撃の増加
By: Taro Manabe, NTT Security Japan, Senior Manager, Professional Service Division NTTセキュリティ社 真鍋 太郎
Ransomware targeting ランサムウェアの標的
By: Mihoko Matsubara, Chief Cybersecurity Strategist, NTT Corporation NTTチーフ・サイバーセキュリティ・ストラテジスト 松原 実穂子
Supply chain attacks against weak links 脆弱なリンクに対するサプライチェーン攻撃
By: David Beabout, Chief Information Security Officer, NTT Security Holdings NTT Security社 最高情報セキュリティ責任者 David Beabout
5.Advancing Consumer Protections 5.消費者保護の推進
Rise in consumer protection transparency and regulation 消費者保護の透明性と規制の強化
By: Itaru Kamiya, Senior Researcher, NTT-CERT NTT-CERT 神谷 造

 

 

| | Comments (0)

欧州会計検査院 人工知能の初期戦略と展開ロードマップ 2024-2025 (2024.10.04)

こんにちは、丸山満彦です。

2024年の宿題シリーズはまだまだ続く...(^^;;

 

欧州会計検査院が、人工知能の初期戦略と展開ロードマップの報告書を公表していました...

European Court of Auditors

・2024.10.04 Artificial Intelligence initial strategy and deployment roadmap 2024-2025

Artificial Intelligence initial strategy and deployment roadmap 人工知能の初期戦略と展開ロードマップ
In October 2023, following a series of recent breakthroughs in the field of artificial intelligence (AI), the European Court of Auditors (ECA) started an internal reflection on its application within the institution with the paper “Opportunities and challenges in responding to and using artificial intelligence”. As a follow-up, this document provides further analysis of the key issues and outlines an initial AI strategy and a deployment roadmap. The current ECA strategy covers the period 2021-2025. Preparation of the next strategy is likely to start soon, and will need to fully reflect AI aspects. This initial strategy should allow implementation of AI activities to start in a structured way, as well as constitute an input for the next ECA strategy. AI is a deeply transformative technology, but it will not replace the critical thinking and professional judgement of our auditors. We envision a use of AI that will assist our staff and augment their capabilities, allowing for more timely, efficient and soundly-based audits. We will uphold the highest ethical standards in the deployment and use of AI systems, safeguarding against biases, prioritising transparency, and applying caution and professional scepticism. We will remain faithful to our core values of independence, objectivity, integrity, transparency, and professionalism. Our vision is to leverage AI as an enabler to ultimately drive greater accountability, transparency, and trust in the EU. In this document, we explain the use of AI for audit and the audit of AI systems, and clarify the distinction between them. We then propose a set of goals and objectives for the ECA and, after an analysis of the risks, an AI roadmap with concrete actions. 2023年10月、人工知能(AI)分野における一連の最近の画期的な進歩を受けて、欧州会計監査院(ECA)は「人工知能への対応と利用における機会と課題」という文書で、機構内でのその適用に関する内部検討を開始した。そのフォローアップとして、本書では主要な問題のさらなる分析を行い、初期のAI戦略と展開ロードマップの概要を提示する。現在のECA戦略は2021年から2025年までの期間を対象としている。次の戦略の準備は間もなく開始される見込みであり、AIの側面を十分に反映させる必要がある。この最初の戦略により、AI活動の実施が体系的な方法で開始されるとともに、次のECA戦略へのインプットが構成されることになる。AIは非常に変革的な技術であるが、我々の監査人の批判的思考や専門的判断に取って代わるものではない。私たちは、スタッフを支援し、その能力を強化するAIの利用を想定しており、それにより、よりタイムリーで効率的かつ確固とした監査が可能になる。私たちは、AIシステムの展開と利用において、最高水準の倫理基準を維持し、バイアスを防止し、透明性を優先し、慎重かつ専門的懐疑主義を適用する。私たちは、独立性、客観性、完全性、透明性、専門性のコアバリューに忠実であり続ける。我々のビジョンは、AIを促進要因として活用し、EUにおける説明責任、透明性、信頼性を最終的に高めることである。本書では、監査におけるAIの利用とAIシステムの監査について説明し、両者の違いを明確にする。次に、ECAの目標と目的のセットを提案し、リスク分析を行った上で、具体的な行動を盛り込んだAIロードマップを提示する。

 

・[PDF]

20250109-64841

・[DOCX][PDF] 仮訳

 

目次...

Introduction 序文
Using AI for auditing/auditing AI AIを監査に活用する/AIを監査する
AI in auditing: enhancing capabilities 監査におけるAI:能力の強化
Auditing AI: ensuring integrity and effectiveness AIの監査:完全性と有効性の確保
Goals and objectives 目標と目標
Goal 1: improve operational efficiency in audit through AI tools 目標1:AIツールによる監査業務の効率化
Objective 1.1: Increase ECA staff knowledge on how to use AI 目標1.1:ECAスタッフのAI活用に関する知識を高める。
Objective 1.2: Ensure that the ECA is technically ready for AI 目標1.2:ECAが技術的にAIに対応できるようにする
Objective 1.3: Introduce AI tools to support the audit process 目標1.3:監査プロセスをサポートするAIツールを導入する
Goal 2: build the ECA’s ability to audit AI-based projects, systems and processes 目標2:AIベースのプロジェクト、 システムとプロセスを監査するECA能力を構築する。
Objective 2.1: Increase ECA staff understanding on how AI works and its associated risks 目標2.1:AIの仕組みと関連リスクについてECAスタッフの理解を深める。
Objective 2.2: Add AI aspects to our audit methodology 目標2.2:監査手法にAIの側面を加える
Goal 3: add value and contribute to EU-wide and international discussions on AI 目標3:AIに関するEU全体および国際的な の議論に価値を与え、貢献する。
Objective 3.1: Contribute actively to EU and international working groups 目標3.1:EUおよび国際的なワーキンググループに積極的に貢献する
Objective 3.2: Make the ECA knowledge on AI available to other EU SAIs 目標3.2:AIに関するECA知識を他のEU SAIが利用できるようにする。
Risk analysis and mitigation strategies リスク分析と緩和戦略
General AI risks 一般的なAIのリスク
Limited transparency and oversight on AI’s logic AIのロジックに関する透明性と監視は限られている。
Biased or discriminatory outputs バイアスまたは差別的な出力
Privacy, data protection and security issues プライバシー・データ保護・セキュリティ問題
Risks linked to implementation 実施に伴うリスク
Insufficient resources and skills for an effective deployment 効果的な展開のためのリソースとスキルが不足している。
Deployment of already outdated services すでに古くなったサービスの展開
Reputational risks 風評リスク
Proposal for an AI roadmap AIロードマップの提案
Action 1: create and follow-up a detailed communication plan アクション1:詳細なコミュニケーション計画を作成し、フォローアップする
Action 2: create an AI training path for ECA staff アクション2:ECAスタッフのためのAIトレーニングパスを作成する
Action 3: enhance the DATA services offered アクション3:提供するDATAサービスを強化する
Action 4: set-up a project proposal portfolio for new or enhanced tools アクション4:新規または 拡張ツールのためのプロジェクト提案ポートフォリオを設定する。
Action 4.1: Creation of an “Audit Draft Assistant” tool アクション4.1:監査ドラフトアシスタント」ツールの作成
Action 4.2: Customise and deploy a tool to retrieve information from large document sets, using an interactive approach based on Questions & Answers アクション4.2: Q&Aに基づく対話型アプローチを使用して、大規模な文書セットから情報を検索するツールをカスタマイズし、展開する。
Action 4.3: Extend the DORA tool with an AI backend for summarising and other natural language processing tasks アクション4.3: 、その他の自然言語処理タスクを要約するためのAIバックエンドでDORAツールを拡張する。
Action 4.4: Semantic search engine on ECA own production アクション4.4:ECA独自の生産物に関する意味検索エンジン
Action 4.5: Training a chatbot with internal knowledge of audit methodology from AWARE and other controlled-quality sources アクション4.5:AWAREおよびその他の管理された品質ソースから、監査 方法論の内部知識を持つチャットボットをトレーニングする。
Action 4.6: Assess the EC DORIS tool for survey analysis アクション4.6:調査分析用EC DORISツールのアセスメントを行う。
Action 4.7: Add AI components to robotic process automation (add intelligence to automation of repetitive tasks) アクション4.7: ロボットによるプロセス自動化にAIコンポーネントを追加する(反復作業の自動化に インテリジェンスを追加する)。
Action 4.8: Add access to AI to existing data science and visualisation tools アクション4.8: 既存のデータサイエンスと可視化ツールにAIへのアクセスを追加する
Action 5: creation of an AI competence centre at the ECA and related governance アクション5:ECAにおけるAIコンピテンスセンターの創設と、 関連ガバナンス。
Action 6: foster interinstitutional and international cooperation アクション6:組織間および国際的な協力を促進する
Closing remarks 最後に
Annex I – Overview of the main regulatory frameworks 附属書 I - 主要な規制枠組みの概要
Main regulatory approaches worldwide 世界の主な規制アプローチ
Regulating AI safety and security AIの安全・安心を規制する
Impact for the ECA ECAへの影響
Annex II – What are other institutions doing on AI? 附属書II - AIに関して他の機構は何をしているのか?
Interinstitutional and international working groups 機関間および国際的なワーキンググループ
European Commission 欧州委員会
Other EU institutions その他のEU機構
EU Supreme Audit Institutions EU最高監査機構
Other non-EU audit institutions その他の非EU監査機構
Annex III – Develop or buy? Cloud-based commercial products versus on-premises tool 附属書 III - 開発か購入か?クラウドベースの商用製品 対 オンプレミスツール
Introduction and definitions 序文と定義
Available options, as of February 2024 2024年2月現在、利用可能なオプション
Conclusions and proposal: start a dual approach in AI deployment (develop and buy) 結論と提案:AI展開における二重アプローチを開始する (開発と購入)。
Annex IV – Risk mapping and analysis 附属書IV - リスクのマッピングと分析

 

 

 

| | Comments (0)

2025.01.08

列国議会同盟 議会におけるAIのガイドライン (2024.12.12)

こんにちは、丸山満彦です。

2024年の宿題シリーズはまだまだ続く...(^^;;

 

列国議会同盟 (Inter-Parliamentary Union; IPU)  [wikipedia] が議会向けにAIに関するガイドラインを公表しています...もちろん、日本もこの列国議会同盟に参加しています...

ユースケースも多くあります...残念ながら日本の事例はないのですが、きっとすでにつかっていると思うので、改訂の際にはユースケースを載せてもらうようにしてもよいかもですね...

また、ユースケースにのっているもので、日本でも採用できそうなものがあれば、積極的に採用していけばよいですね...

 

 

 Inter-Parliamentary Union; IPU

プレス...

・2024.12.12 New IPU tools to harness the potential of AI in parliament

New IPU tools to harness the potential of AI in parliament 議会におけるAIの可能性を活かすためのIPUの新ツール
The IPU has published two new resources to help parliaments unlock the benefits of artificial intelligence (AI) to enhance their efficiency, effectiveness and productivity while mitigating the risks of this rapidly evolving technology. IPUは、人工知能(AI)の急速な進化に伴うリスクを緩和しながら、効率性、有効性、生産性を向上させるために、議会がAIのメリットを活用するための2つの新しいリソースを公開した。
The Guidelines for AI in parliament offer a comprehensive framework for parliaments to understand and implement AI responsibly and effectively. 議会におけるAIのためのガイドラインは、議会がAIを責任を持って効果的に理解し、導入するための包括的な枠組みを提供する。
They provide practical guidance on the importance of a strategic approach, strong governance, ethical considerations and risk management. The Guidelines underscore the importance of using AI to augment and enhance human capability rather than replace it, especially in democratic deliberation and decision-making. 戦略的アプローチ、強固なガバナンス、倫理的配慮、リスクマネジメントの重要性について、実践的な指針を提供している。ガイドラインでは、特に民主的な審議や意思決定において、AIを人間の能力を代替するのではなく、増強・強化するために活用することの重要性を強調している。
The Guidelines cover several key areas, including the potential role of AI in parliaments, the related risks and challenges, suggested governance structures and AI strategy, ethical principles and risk management, training and capacity-building, and how to manage a portfolio of AI projects across parliament.  ガイドラインは、議会におけるAIの潜在的な役割、関連するリスクと課題、提案されたガバナンス構造とAI戦略、倫理原則とリスクマネジメント、トレーニングと能力開発、議会全体にわたるAIプロジェクトのポートフォリオの管理方法など、いくつかの主要分野をカバーしている。
Key recommendations include: 主な提言は以下の通りである。
・Start with small pilot projects to build experience ・経験を積むために小規模なパイロットプロジェクトから着手する
・Focus on use cases with clear benefits and manageable risks ・明確なメリットがあり、管理可能なリスクを持つユースケースに焦点を当てる
・Ensure robust human oversight of AI systems ・AIシステムに対する強固な人的監視を確保する
・Prioritize transparency and accountability ・透明性と説明責任を優先する
・Invest in data and AI literacy across the organization ・組織全体でデータとAIリテラシーに投資する
・Engage with diverse stakeholders throughout the process ・プロセス全体を通じて多様な利害関係者と関わる
The Guidelines are complemented by a series of Use cases for AI in parliaments, which offer potential roadmaps for parliamentary AI adoption ガイドラインは、議会におけるAIのユースケース(使用事例)のシリーズによって補完されており、議会によるAI導入のロードマップとなる可能性がある。
A “use case” describes how a system should work. It is used to plan, develop and measure implementation. Use cases translate the abstract potential of AI into practical applications for parliamentary operations. 「ユースケース」とは、システムがどのように機能すべきかを説明するものである。これは、計画、開発、実施の評価に用いられる。ユースケースは、AIの抽象的な可能性を議会運営の実用的な応用に変換する。
The use cases cover how to use AI tools to support bill drafting and amendments, to improve the production of verbatim reports or subtitles for video content, and to support public engagement, particularly the analysis of large volumes of public submissions, as well as cybersecurity AI tools that support the development of secure parliamentary systems. ユースケースでは、AIツールをどのように使用して、法案のドラフトや修正をサポートするか、逐語報告書や動画コンテンツの字幕の作成を改善するか、また、特に大量の市民提出書類の分析といった市民参加をサポートするか、さらに、安全な議会システムの構築をサポートするサイバーセキュリティAIツールについても取り上げている。
The new resources were published by the IPU’s Centre for Innovation in Parliament in partnership with the Parliamentary Data Science Hub この新しいリソースは、IPUの議会イノベーションセンターが議会データサイエンスハブと共同で作成した。
They follow the adoption of a landmark resolution on The impact of artificial intelligence (AI) on democracy, human rights and the rule of law by IPU Member Parliaments at the 149th IPU Assembly in Geneva in October 2024 これは、2024年10月にジュネーブで開催された第149回国会でIPU加盟議会が採択した画期的な決議「民主主義、人権、法の支配に対する人工知能(AI)の影響」を受けて発表された。
The resolution, among other things, urges parliaments worldwide to swiftly develop and implement robust legal frameworks and policies for the responsible creation, deployment and use of AI technology. この決議では、とりわけ、AI技術の責任ある創造、展開、利用のための強固な法的枠組みと政策を迅速に開発し、実施するよう世界各国の議会に強く求めている。
It calls on parliaments to stay ahead of the curve in regulating AI, striking a balance between innovation and the protection of fundamental rights. また、議会に対しては、AIの規制において時代の先端を走り、イノベーションと基本的人権の防御のバランスを取ることを求めている。

 

 

Guidelines for AI in parliaments

Guidelines for AI in parliaments 議会におけるAIに関するガイドライン
Artificial intelligence (AI) presents significant opportunities for parliaments to enhance their operations and to become more efficient and effective, enabling them to better serve citizens. However, adopting AI introduces new challenges and presents risks that must be carefully managed. The Guidelines for AI in parliaments offer a comprehensive framework for parliaments to understand and implement AI responsibly and effectively. They provide practical guidance on the importance of a strategic approach, strong governance, ethical considerations and risk management. The Guidelines underscore the importance of using AI to augment and enhance human capability rather than replace it, especially in democratic deliberation and decision-making. 人工知能(AI)は、議会の業務を強化し、より効率的かつ効果的にすることで、市民により良いサービスを提供できるという大きな可能性を提示している。しかし、AIの導入には新たな課題がもたらされ、慎重に管理すべきリスクが生じる。議会におけるAIに関するガイドラインは、議会がAIを責任を持って効果的に理解し、導入するための包括的な枠組みを提供する。このガイドラインは、戦略的アプローチ、強力なガバナンス、倫理的配慮、リスクマネジメントの重要性に関する実践的な指針を提供する。ガイドラインは、特に民主的な審議や意思決定において、AIを人間の能力を代替するのではなく、増強し、強化するために活用することの重要性を強調している。
The Guidelines are published by the IPU in partnership with the Parliamentary Data Science Hub in IPU’s Centre for Innovation in Parliament. They follow the adoption of a landmark resolution on The impact of artificial intelligence (AI) on democracy, human rights and the rule of law by IPU member parliaments at the 149th IPU Assembly in Geneva in October 2024. For more information, please contact [mail]
.
本ガイドラインは、列国議会同盟(IPU)のイノベーションセンター内の議会データサイエンスハブとの提携によりIPUが発行した。これは、2024年10月にジュネーブで開催された第149回IPU総会において、IPU加盟議会が「民主主義、人権、法の支配に対する人工知能(AI)の影響」に関する画期的な決議を採択したことを受けたものである。詳細については、[mail] までお問い合わせください。
Download the full set of Guidelines for AI in parliaments in a single PDF file. 議会におけるAIに関するガイドラインの全文を1つのPDFファイルにまとめてダウンロードする。
See also the Use cases for AI in parliaments. 議会におけるAIのユースケースも参照のこと。

 

ガイドライン

Guidelines for AI in parliaments

Guidelines for AI in parliaments 議会におけるAIに関するガイドライン
Artificial intelligence (AI) presents significant opportunities for parliaments to enhance their operations and to become more efficient and effective, enabling them to better serve citizens. However, adopting AI introduces new challenges and presents risks that must be carefully managed. 人工知能(AI)は、議会の業務を強化し、より効率的かつ効果的にすることで、市民により良いサービスを提供できるという大きな可能性を提示している。しかし、AIの導入には新たな課題がもたらされ、慎重に管理すべきリスクが生じる。
The Guidelines for AI in parliaments offer a comprehensive framework for parliaments to understand and implement AI responsibly and effectively. They provide practical guidance on the importance of a strategic approach, strong governance, ethical considerations and risk management. The Guidelines underscore the importance of using AI to augment and enhance human capability rather than replace it, especially in democratic deliberation and decision-making. 議会におけるAIに関するガイドラインは、議会がAIを責任を持って効果的に理解し、導入するための包括的な枠組みを提供する。このガイドラインは、戦略的アプローチ、強力なガバナンス、倫理的配慮、リスクマネジメントの重要性について、実践的な指針を示す。特に民主的な審議や意思決定においては、AIを人間の能力を代替するのではなく、補強し強化するために活用することの重要性を強調している。
he Guidelines are published by the IPU in partnership with the Parliamentary Data Science Hub in IPU’s Centre for Innovation in Parliament. They follow the adoption of a landmark resolution on The impact of artificial intelligence (AI) on democracy, human rights and the rule of law by IPU member parliaments at the 149th IPU Assembly in Geneva in October 2024. For more information, please contact [mail]. 本ガイドラインは、IPUの議会イノベーションセンター内の議会データサイエンスハブとの提携によりIPUが発行する。これは、2024年10月にジュネーブで開催された第149回IPU総会において、IPU加盟議会が人工知能(AI)の民主主義、人権、法の支配への影響に関する画期的な決議を採択したことを受けたものである。詳細については、i [mail] までお問い合わせください。
Explore the web version of the Guidelines for AI in parliaments. ・議会におけるAIに関するガイドラインのウェブ版を参照する。
See also the Use cases for AI in parliaments. ・議会におけるAIのユースケースも参照する。

 

・[PDF]

20250108-32218

・[DOCX][PDF] 仮訳

 

目次...

Forewords まえがき
Introduction 序文
About the Guidelines ガイドラインについて
Key concepts  キーコンセプト
The role of AI in parliaments  議会におけるAIの役割
Risks and challenges for parliaments  議会のリスクと課題
Alignment with national and international AI frameworks and standards 国内および国際的な AI の枠組みや標準との整合
Inter-parliamentary cooperation for AI  AI のための列国議会同盟
Strategy  戦略
Strategic actions towards AI governance  AIガバナンスに向けた戦略的行動
Strategic actions towards AI governance: Policy and structure  AIガバナンスに向けた戦略的行動:政策と構造
Strategic actions towards AI governance: Strategy and innovation  AIガバナンスに向けた戦略的行動:戦略とイノベーション
Strategic actions towards AI governance: Stakeholder engagement  AIガバナンスに向けた戦略的行動:ステークホルダー・エンゲージメント
Strategic actions towards AI governance: Find out more  AIガバナンスに向けた戦略的行動:詳細
Generic risks and biases  一般的なリスクとバイアス
Generic risks and biases: Categories of risk  一般的なリスクとバイアス:リスクのカテゴリー
Generic risks and biases: Cognitive bias types  一般的なリスクとバイアス:認知バイアスの種類
Generic risks and biases: Data bias types  一般的なリスクとバイアス:データのバイアスの種類
Generic risks and biases: Processing and validation bias types  一般的なリスクとバイアス:処理バイアスと妥当性確認バイアス
Ethical principles  倫理原則
Ethical principles: Privacy  倫理原則:プライバシー
Ethical principles: Transparency  倫理原則:透明性
Ethical principles: Accountability  倫理原則:説明責任
Ethical principles: Fairness and non-discrimination 倫理原則:公正と無差別
Ethical principles: Robustness and safety  倫理原則:堅牢性と安全性
Ethical principles: Human autonomy and oversight  倫理原則:人間の自律性と監視
Ethical principles: Societal and environmental well-being  倫理原則:社会的・環境的幸福
Ethical principles: Intellectual property  倫理原則:知的財産権
Introducing AI applications  AIアプリケーションの紹介
Training for data literacy and AI literacy  データ・リテラシーとAIリテラシーのトレーニング
Training for data literacy and AI literacy: Data literacy in an AI context  データリテラシーとAIリテラシーのトレーニング:AIの文脈におけるデータリテラシー
Training for data literacy and AI literacy: Developing AI literacy  データリテラシーとAIリテラシーのトレーニング:AIリテラシーの育成100 
Planning and implementation  計画と実施
Project portfolio management  プロジェクト・ポートフォリオ管理
Project portfolio management: The STEP approach  プロジェクト・ポートフォリオ管理:STEPアプローチ
Data governance  データガバナンス
Data governance: Data quality  データガバナンス:データ品質
Data governance: Personal data protection  データガバナンス:個人データ保護
Data governance: Parliamentary context  データガバナンス:議会の背景
Data governance: Data management for AI systems  データガバナンス:AIシステムのデータ管理
Security management  セキュリティ管理
Security management: Parliamentary context  セキュリティ管理:議会の状況
Security management: Threats  セキュリティ管理:脅威
Security management: Good practices  セキュリティ管理:グッド・プラクティス
Security management: Implementing cybersecurity controls  セキュリティ管理:サイバーセキュリティ対策の実施
Risk management  リスクマネジメント
Risk management: Risk assessment questionnaires  リスクマネジメント:リスクアセスメントアンケート
Systems development  システム開発
Systems development: Systems life cycle and development frameworks  システム開発:システムライフサイクルと開発の枠組み
Systems development: Deployment and implementation  システム開発:展開と実装
Systems development: Deployment patterns  システム開発:展開パターン
Appendices  附属書
Glossary of terms  用語集

 

ユースケース

Use cases for AI in parliaments 議会におけるAIのユースケース
The Use cases have been developed by parliaments for their own use and are shared here to help others to plan, develop and measure the implementation of systems that use AI. A “use case” describes how a system should work. It is used to plan, develop and measure implementation. Use cases translate the abstract potential of AI into practical applications for parliamentary operations.  ユースケースは議会が自らの利用のために開発したものであり、AIを利用するシステムの計画、開発、実施の評価を他者が行う際に役立てるために、ここで共有されている。「ユースケース」とは、システムがどのように機能すべきかを説明するものである。ユースケースは、計画、開発、実施の評価に用いられる。ユースケースは、AIの抽象的な可能性を議会運営の実用的な応用に変換する。
The Use cases cover how to use AI tools to support bill drafting and amendments, to improve the production of verbatim reports or subtitles for video content, and to support public engagement, particularly the analysis of large volumes of public submissions, as well as cybersecurity AI tools that support the development of secure parliamentary systems. ユースケースは、AIツールをどのように利用して、法案のドラフトや修正をサポートし、逐語報告書やビデオコンテンツの字幕の作成を改善し、市民参加をサポートするか、特に大量の市民提出書類の分析、および安全な議会システムの構築をサポートするサイバーセキュリティAIツールについて取り扱っている。
The Use cases are published by the IPU in partnership with the Parliamentary Data Science Hub in IPU’s Centre for Innovation in Parliament. They follow the adoption of a landmark resolution on The impact of artificial intelligence (AI) on democracy, human rights and the rule of law by IPU member parliaments at the 149th IPU Assembly in Geneva in October 2024. For more information, please contact [email protected]. ユースケースは、列国議会同盟(IPU)の議会イノベーションセンター内の議会データサイエンスハブとの提携により、IPUが公開している。これらは、2024年10月にジュネーブで開催された第149回IPU総会で、IPU加盟議会が「民主主義、人権、法の支配に対する人工知能(AI)の影響」に関する画期的な決議を採択したことに続くものである。詳細については、[email protected]までお問い合わせください。
Download the full set of Use cases for AI in parliaments in a single PDF file. ・議会におけるAIのユースケースの全セットを1つのPDFファイルにまとめてダウンロードする。
See also the Guidelines for AI in parliaments. ・議会におけるAIのガイドラインも参照のこと。

 

・[PDF]

20250108-33450

 

目次...

Classification systems  分類システム 
Automatic classification of policy and control acts on government  政策および政府の管理行為の自動分類 
Automatic classification of legislative documents  立法文書の自動分類 
Tags and summaries of parliamentary reports  議会報告書のタグおよび要約 
Classification of input texts with predefined labels from the EuroVoc thesaurus  EuroVocシソーラスから事前に定義されたラベルを使用した入力テキストの分類 
Thematic classification of portal content  ポータルコンテンツのテーマ別分類 
Text classification based on multiple thesauruses  複数のシソーラスに基づくテキストの分類 
Entity recognition and tagging in legislative texts  立法文書における事業体認識およびタグ付け 
Targeted legislative text extraction and highlighting tool  立法文書の抽出およびハイライトツール 
Parliamentary act metadata extraction and summary generator  議会法メタデータの抽出および要約生成
Data normalization of historical parliamentary affairs and documents  過去の議会業務および文書のデータ正規化
Bill drafting and amendments  法案のドラフトおよび修正
Semi-automated production of verbatim reports of sittings using automatic speech recognition  自動音声認識を使用した会議の逐語記録の半自動生成
Automatic ordering of amendments from presentation order to voting order  修正の提示順から投票順への自動並べ替え
Computation of amendment similarity scores  修正の類似スコアの計算
Automatic production of summary notes for dossiers related to bills  法案に関連する案件の要約メモの自動生成
Distribution of demands from MPs among groups of lawmaking experts  国会議員の要求を立法専門家のグループに分配 
Retrieval of relevant documents for the lawmaking expert handling an MP’s demand  議員の要求を処理する立法専門家の関連文書の取得 
Semantic clustering of amendments  修正案のセマンティック・クラスタリング 
Document summarization for enhanced accessibility and comprehension  アクセシビリティと理解力を高めるための文書要約 
Extraction and marking of legal references  法的参照の抽出とマーキング 
Modification of the text of a law following the approval of an addition or amendment  追加または修正案の承認後の法律のテキストの修正 
Amendment and legislative text similarity assessment tool  修正案と立法文書の類似性アセスメントツール 
Automatic sequencing of the voting order on amendments  修正案の投票順序の自動シーケンス 
Drafting of amendments to legislative texts  立法文書の修正案のドラフト作成 
Entity recognition and tagging in legislative texts  立法文書における事業体認識とタグ付け 
Bill drafting assistant  法案作成アシスタント 
Quorum rating assistant  定足数評価アシスタント 
Argumentation assistant  論証アシスタント 
Admissibility assistant  許容性アシスタント 
Regulatory impact assistant  規制影響アシスタント 
Parliamentary debate assistant  議会討論アシスタント 
AI-powered MP attendance monitoring and real-time quorum calculation with advanced visualizations  AIによる議員の出席状況のモニタリングとリアルタイムの定足数計算(高度な視覚化機能付き) 
Transcription and translation 書き起こしと翻訳
Automatic subtitling of assembly sessions for WebTV ウェブTV用に議会セッションを自動字幕化
Automatic transcription of handwritten manuscripts from historical archives 歴史的アーカイブから手書き原稿を自動書き起こし
AI-powered verbatim records system (HANS) AI による逐語記録システム(HANS)
Speech-to-text transcription 音声からテキストへの書き起こし
Automatic transcription of parliamentary sessions 議会セッションの自動書き起こし
Creation of draft summary reports based on transcripts of parliamentary sessions 議会セッションの書き起こしに基づく要約レポートのドラフト作成
Generation of draft stenographic reports based on transcripts of parliamentary sessions 1 議会セッションの書き起こしに基づく速記録のドラフト生成 1
AI-enhanced parliamentary document translation system 1 AI 強化型議会文書翻訳システム 1
Summarizing of parliamentary documents and conversion into podcasts 1 議会文書の要約とポッドキャストへの変換 1
Audio-to-text parliamentary transcription system 1 音声からテキストへの議会書き起こしシステム 1
Chamber session summary assistant  議院セッションの要約アシスタント 
Committee session summary assistant  委員会セッション要約アシスタント 
Automated Hansard report system: Converting parliamentary audio to text using AI 114 Hansard voice-to-text conversion and review  自動化された議事録報告システム:AIを使用して議会の音声をテキストに変換 114 議事録の音声テキスト変換およびレビュー 
Chatbots and user support  チャットボットおよびユーザーサポート 
Chatbot for the parliamentary documentation website  議会文書ウェブサイト用チャットボット 
Chatbot for a better understanding of the process of a bill  法案のプロセスをより理解するためのチャットボット 
Chatbot for simplifying the comprehension of Italian laws  イタリアの法律の理解を簡素化するためのチャットボット 
Chatbot on security in the European Parliament  欧州議会におけるセキュリティに関するチャットボット 
AI-powered customer support chatbot  AI搭載のカスタマーサポートチャットボット 
AI-powered automated subtitling system  AIによる自動字幕システム 
Regulations and parliamentary allowances assistant  規則および議会手当アシスタント 
Current legal norms assistant  現行の法的規範アシスタント 
Invoice information extraction assistant  請求書情報抽出アシスタント 
Online parliamentary allowances data assistant  オンライン議会手当データアシスタント 
AI-powered parliamentary bill and document chatbot for enhanced legislative analysis 141 Automated assistant for parliamentary query resolutions  AIによる議会法案および文書チャットボットによる立法分析の強化 141 議会問い合わせ解決のための自動アシスタント 
Public engagement and open parliament  市民参加とオープン議会 
Analysis of citizens’ opinions on bills  法案に関する市民の意見分析 
Natural-language querying of parliament’s website  議会ウェブサイトへの自然言語による問い合わせ 
Website content navigation chatbot  ウェブサイトコンテンツナビゲーションチャットボット 
Natural-language querying of legislative processes and contents  立法プロセスおよびコンテンツに関する自然言語による問い合わせ
Natural-language querying of external data sources  外部データソースに関する自然言語による問い合わせ
Translation of natural-language queries into SPARQL queries for parliamentary open data 議会公開データに対する自然言語クエリのSPARQLクエリへの翻訳
Interactive AI-powered parliamentary data visualization with GraphRAG  GraphRAGによるAI搭載のインタラクティブな議会データの視覚化
Cybersecurity and application development  サイバーセキュリティおよびアプリケーション開発
Narrowing of the attack threshold for parliamentary applications  議会アプリケーションに対する攻撃のしきい値の縮小 

 

 

 

 

 

| | Comments (0)

2025.01.07

米国 GAO 人工知能:国土安全保障省は重要インフラ部門のリスク評価ガイダンスを改善する必要がある (2024.12.18)

こんにちは、丸山満彦です。

2024年の宿題シリーズはまだまだ続く...(^^;;

 

米国のGAOが国土安全保障省に、重要インフラを所管する省庁のリスク評価ガイダンスを改善する必要があると勧告していますね...2024年1月までに拡充用インフラ分野に対する初期リスク評価を提出する必要があったのだが、その内容が不十分(例えば、帆潜在的なリスク、特にリスクの発生可能性を特定していない。)であったようですね...

 

U.S. Government Accountability Office

・2024.12.18 Artificial Intelligence:DHS Needs to Improve Risk Assessment Guidance for Critical Infrastructure Sectors

Artificial Intelligence:DHS Needs to Improve Risk Assessment Guidance for Critical Infrastructure Sectors 人工知能:国土安全保障省は重要インフラセクターのリスクアセスメント指針を改善する必要がある
GAO-25-107435 GAO-25-107435
Fast Facts ファスト・ファクト
Artificial intelligence is complex and evolving. It could be used to improve the systems that operate critical infrastructure, like water and energy. But it could also make them more vulnerable to cyberattacks. 人工知能は複雑かつ進化している。水やエネルギーなどの重要インフラを運用するシステムの改善に利用できる可能性がある。しかし、サイバー攻撃に対する脆弱性を高める可能性もある。
Federal agencies that protect critical infrastructure had to assess AI risks to infrastructure sectors. But the Department of Homeland Security's guidance for assessments didn't have agencies fully measure how much harm an attack could cause or the probability of attacks. This information would help agencies address risks and foster responsible AI use. 重要なインフラを防御する連邦機関は、インフラ部門におけるAIのリスクを評価しなければならなかった。しかし、国土安全保障省のアセスメントに関する指針では、攻撃がどれほどの被害をもたらす可能性があるか、また攻撃の確率を完全に測定することはできなかった。この情報は、機関がリスクに対処し、責任あるAIの利用を促進するのに役立つ。
We recommended that DHS quickly update its guidance to address this. 私たちは、国土安全保障省がこの問題に対処するために、指針を迅速に更新することを勧告した。
Highlights ハイライト
What GAO Found GAOの調査結果
Federal agencies with a lead role in protecting the nation's critical infrastructure sectors are referred to as sector risk management agencies. These agencies, in coordination with the Department of Homeland Security's (DHS) Cybersecurity and Infrastructure Security Agency (CISA), were required to develop and submit initial risk assessments for each of the critical infrastructure sectors to DHS by January 2024. Although the agencies submitted the sector risk assessments to DHS as required, none fully addressed the six activities that establish a foundation for effective risk assessment and mitigation of potential artificial intelligence (AI) risks. For example, while all assessments identified AI use cases, such as monitoring and enhancing digital and physical surveillance, most did not fully identify potential risks, including the likelihood of a risk occurring. None of the assessments fully evaluated the level of risk in that they did not include a measurement that reflected both the magnitude of harm (level of impact) and the probability of an event occurring (likelihood of occurrence). Further, no agencies fully mapped mitigation strategies to risks because the level of risk was not evaluated. 米国の重要なインフラセクターの防御を主導する連邦機関は、セクターリスクマネジメント機関と呼ばれる。これらの機関は、国土安全保障省(DHS)のサイバーセキュリティ・インフラセキュリティ庁(CISA)と連携し、2024年1月までに、各重要なインフラセクターの初期リスクアセスメントをDHSに提出することが求められていた。各機関は、要求通りにセクターごとのリスクアセスメントをDHSに提出したが、効果的なリスクアセスメントと潜在的な人工知能(AI)リスクの緩和の基盤となる6つの活動すべてを網羅したものはなかった。例えば、すべてのアセスメントでAIのユースケース(デジタルおよび物理的な監視のモニタリングや強化など)が識別されていたが、ほとんどのアセスメントでは、リスク発生の可能性も含めた潜在的なリスクを完全に識別できていなかった。また、いずれのアセスメントも、被害の規模(影響レベル)と事象発生の確率(発生可能性)の両方を反映する測定値を含んでいないため、リスクのレベルを完全に評価できていない。さらに、リスクのレベルが評価されていないため、緩和戦略をリスクに完全にマッピングしている機関もない。
Extent to Which the Sector Risk Management Agencies (SRMA) Have Addressed Six Activities in Their Sector Risk Assessments of Artificial Intelligence (AI) セクターリスクマネジメント機関(SRMA)が人工知能(AI)のセクターリスクアセスメントにおける6つの活動にどの程度取り組んでいるか
1_20250107021901
Lead agencies provided several reasons for their mixed progress, including being provided only 90 days to complete their initial assessments. A key contributing factor was that DHS's initial guidance to agencies on preparing the risk assessments did not fully address all the above activities. 主導機関は、進捗状況がまちまちである理由として、初期アセスメントの完了までに90日間しか与えられていなかったことなど、いくつかの理由を挙げた。主な要因は、DHSがリスクアセスメントの準備に関して機関に最初に示した指針が、上記のすべての活動を十分に網羅していなかったことである。
DHS and CISA have made various improvements, including issuing new guidance and a revised risk assessment template in August 2024. The template addresses some—but not all—of the gaps that GAO found. Specifically, the new template does not fully address the activities for identifying potential risks including the likelihood of a risk occurring. CISA officials stated that the agency plans to further update its guidance in November 2024 to address the remaining gaps. Doing so expeditiously would enable lead agencies to use the updated guidance for their required January 2025 AI risk assessments. DHSとCISAは、2024年8月に新たな指針と改訂版リスクアセスメントテンプレートを発行するなど、さまざまな改善を行ってきた。このテンプレートは、GAOが発見したギャップの一部(すべてではない)に対処している。具体的には、新しいテンプレートでは、リスク発生の可能性を含む潜在的なリスクの識別活動が十分にカバーされていない。CISA当局者は、残されたギャップに対処するために、2024年11月にガイダンスをさらに更新する計画であると述べた。迅速に更新すれば、主導機関は2025年1月に義務付けられているAIリスクアセスメントに更新されたガイダンスを使用できるようになる。
Why GAO Did This Study GAOがこの調査を実施した理由
AI has the potential to introduce improvements and rapidly change many areas. However, deploying AI may make critical infrastructure systems that support the nation's essential functions, such as supplying water, generating electricity, and producing food, more vulnerable. In October 2023, the President issued Executive Order 14110 for the responsible development and use of AI. The order requires lead federal agencies to evaluate and, beginning in 2024, annually report to DHS on AI risks to critical infrastructure sectors. AIは、多くの分野に改善をもたらし、急速に変化させる可能性がある。しかし、AIの展開は、水の供給、発電、食糧生産など、国家の重要な機能を支える重要なインフラシステムをより脆弱にする可能性がある。2023年10月、大統領はAIの責任ある開発と利用を目的とした大統領令14110を発令した。この大統領令は、主導的な連邦機関がAIの重要なインフラセクターへのリスクを評価し、2024年から毎年DHSに報告することを求めている。
GAO's report examines the extent to which lead agencies have evaluated potential risks related to the use of AI in critical infrastructure sectors and developed mitigation strategies to address the identified risks. To do so, GAO analyzed federal policies and guidance to identify activities and key factors for developing AI risk assessments. GAO analyzed lead agencies' 16 sector and one subsector risk assessments against these activities and key factors. GAO also interviewed officials to obtain information about the risk assessment process and plans for future templates and guidance. GAOの報告書は、主導機関が重要インフラ部門におけるAIの利用に関連する潜在的なリスクをどの程度評価し、特定されたリスクに対処するための緩和戦略をどの程度策定したかを検証している。そのために、GAOは連邦政府の政策と指針を分析し、AIリスクアセスメント策定のための活動と主要な要因を識別した。GAOは、これらの活動と主要な要因に照らして、主導機関の16部門と1つのサブセクターのリスクアセスメントを分析した。GAOはまた、関係者へのインタビューを行い、リスクアセスメントのプロセスや今後のテンプレートやガイダンスに関する計画に関する情報を入手した。
Recommendations 勧告
GAO is recommending that DHS act quickly to update its guidance and template for AI risk assessments to address the remaining gaps identified in this report. DHS agreed with our recommendation and stated it plans to provide agencies with additional guidance that addresses gaps in the report including identifying potential risks and evaluating the level of risk. GAOは、本報告書で特定された残りのギャップに対処するために、AIリスクアセスメントのガイダンスとテンプレートを更新するよう、DHSが迅速に行動することを勧告している。DHSは、我々の勧告に同意し、潜在的なリスクの識別やリスクレベルの評価など、報告書で特定されたギャップに対処する追加のガイダンスを各機関に提供する計画であると述べた。
Recommendations for Executive Action 行政措置に関する勧告
Agency Affected 影響を受ける機関
Department of Homeland Security 国土安全保障省
Recommendation 勧告
The Secretary of Homeland Security should expeditiously update its guidance and template for AI risk assessments to address the gaps identified in this report, including activities such as identifying potential risks and evaluating the level of risk, and ensure that the updates are shared with all the SRMAs. 国土安全保障長官は、潜在的なリスクの識別やリスクレベルの評価などの活動を含め、本報告書で特定されたギャップに対処するために、AIリスクアセスメントの指針とテンプレートを速やかに更新すべきである。また、その更新内容をすべてのSRMAと共有することを確実にすべきである。

 

全文

・[HTML]

目次...

Highlights ハイライト
Why GAO Did This Study GAOがこの研究を行った理由
What GAO Recommends GAOの提言
What GAO Found GAOの調査結果
Letter 書簡
Background 背景
SRMAs' Initial AI Risk Assessments Did Not Incorporate All Aspects of Risk Identification and Mitigation SRMAの初期AIリスクアセスメントでは、リスクの特定と緩和のすべての側面が組み込まれていなかった
Conclusions 結論
Recommendation for Executive Action 行政措置に関する提言
Agency Comments 政府機関のコメント
Appendix I: Beneficial Uses for AI in Critical Infrastructure 附属書I:重要インフラにおけるAIの有益な利用
Appendix II: Comments from the Department of Homeland Security 附属書II:国土安全保障省からのコメント
Appendix III: Comments from the Department of Defense 附属書III:国防総省からのコメント
Appendix IV: GAO Contacts and Staff Acknowledgments 附属書 IV:GAO 連絡先およびスタッフ謝辞
GAO Contacts GAO 連絡先
Staff Acknowledgments スタッフ謝辞

 

・[PDF]

20250107-21650

 

ハイライト

・[PDF

20250107-21955

 

| | Comments (0)

CSA 金融業界におけるサイバーレジリエンス 2024年調査報告書 (2024.12.09)

こんにちは、丸山満彦です。

2024年の宿題シリーズはまだまだ続く...(^^;;

Cloud Security Allianceが金融業界におけるサイバーレジリエンス 2024年調査報告書を公表していますね...

金融業界は製造業の工場にあたるのが、情報システムという感じですから、過去から情報システムの管理については企業努力もしてきているし、社会的な影響も踏まえて、規制当局も適切な規制を心掛けてきているしで、他の業界に比べて、サイバーセキュリティ対策も含めた情報システム関連んのリスク対応はできているイメージですね...

この調査報告書は、参考になる部分も多いように思いました...

 

Cluod Security Alliance

・2024.12.09 Cyber Resiliency in the Financial Industry 2024 Survey Report

 

主な調査結果...
  • 複雑な金融規制環境による運用戦略の簡素化
  • 金融機関、運用レジリエンスのためにクラウドを活用
  • 金融機関のクラウド利用における最大の懸念は顧客管理
  • 生成的AIで最も懸念されるのはデータ・プライバシーと完全性

 

・本文

20250107-13108

 

・プレゼン

20250107-13222

 

Executive Summary エグゼクティブサマリー
• Data Resiliency Priorities ・データレジリエンスの優先事項
• The financial industry’s digital transformation highlights data resiliency and operational security challenges, especially given strict regulations and rising cyber threats. ・金融業界のデジタルトランスフォーメーションは、特に厳しい規制やサイバー脅威の高まりを踏まえ、データレジリエンスと運用セキュリティの課題を浮き彫りにしている。
• Survey Insights ・調査結果
• Based on responses from 872 security practitioners, the report compares data resiliency between financial institutions (FIs) and non-financial institutions (non-FIs), focusing on frameworks, cloud strategies, and regional challenges. ・本報告書では、872名のセキュリティ実務者からの回答に基づき、金融機関(FIs)と非金融機関(non-FIs)のデータレジリエンスを、枠組み、クラウド戦略、地域別の課題に焦点を当てて比較している。
• Confidence in Regulatory Compliance ・規制遵守への自信
• FIs show higher confidence in meeting regulatory requirements than non-FIs, though they emphasize continuous improvement. ・金融機関は非金融機関よりも規制要件への対応に高い自信を示しているが、継続的な改善を重視している。
• Cloud Adoption Trends ・クラウド導入の傾向
• FIs are adopting cautious yet evolving cloud strategies, with growing interest in multi-cloud setups to avoid vendor lock-in and enhance data sovereignty. ・金融機関は慎重ながらも進化するクラウド戦略を採用しており、ベンダーロックインを回避し、データ主権を強化するためのマルチクラウドセットアップへの関心が高まっている。
• Generative AI Concerns ・生成的AIへの懸念
• While generative AI is promising, FIs remain cautious about data accuracy, privacy, and potential misuse. Governance frameworks are essential to ensure regulatory compliance and mitigate risks. ・生成的AIは有望であるが、金融機関はデータの正確性、プライバシー、悪用の可能性について慎重な姿勢を崩していない。ガバナンスの枠組みは、規制コンプライアンスを確保し、リスクを緩和するために不可欠である。
• Regional Challenges ・地域別の課題
• North America faces significant cloud data resiliency challenges despite advanced infrastructure, while Europe benefits from GDPR’s stringent regulations. Asia’s challenges vary due to differing regulatory environments. ・北米は先進的なインフラにもかかわらず、クラウドデータのレジリエンスという大きな課題に直面しているが、欧州はGDPRの厳しい規制の恩恵を受けている。アジアでは規制環境が異なるため、課題も様々である。
• Technological Integration ・技術的統合
• FIs are enhancing resiliency with advanced technologies like containerization and serverless computing, emphasizing regular policy reviews and security assessments beyond regulatory mandates. ・金融機関は、コンテナ化やサーバーレス・コンピューティングのような先進技術でレジリエンスを強化し、規制の義務付けを超えて、定期的なポリシー・レビューやセキュリティ・アセスメントを重視している。
• Key Findings Summary ・主な調査結果の概要
• Regulatory Frameworks Simplify Operations: Regulatory guidelines streamline operations and reduce complexity for FIs. ・規制の枠組みは業務を簡素化する: 規制ガイドラインは業務を合理化し、金融機関の複雑さを軽減する。
• Cloud for Operational Resiliency: FIs use cloud for disaster recovery and continuity, favoring multi-cloud for flexibility and risk management ・業務レジリエンスのためのクラウド: 金融機関はディザスタリカバリと継続性のためにクラウドを利用し、柔軟性とリスクマネジメントのためにマルチクラウドを好む。
Key Finding 1: Complex Financial Regulatory Environments Simplify Operational Strategies 主な調査結果1:複雑な金融規制環境が運用戦略を簡素化する
• Regulatory Frameworks Simplify Resiliency Strategies ・規制枠組みがレジリエンス戦略を簡素化する
• Financial institutions (FIs) predominantly use frameworks like NIST Cybersecurity Framework (67%) compared to non-FIs (39%), due to its comprehensive approach to security and risk management. ・金融機関(FIs)は、NISTサイバーセキュリティ・フレームワーク(67%)のような枠組みを主に使用している。
• ISO 27001 (49%) and PCI DSS (43%) are also widely adopted frameworks with FIs showing higher adoption rates than non-FIs, indicating the importance of standardized frameworks for payment processing and data protection. ・ISO 27001(49%)やPCI DSS(43%)も広く採用されている枠組みで、FIは非FIよりも高い採用率を示しており、決済処理やデータ保護における標準化された枠組みの重要性を示している。
• Regional Regulatory Impact ・地域規制の影響
• Europe’s DORA and GDPR regulations have reduced operational difficulties for FIs, while Australia's Prudential Standard CPS 230 emphasizes third-party risk management. ・欧州のDORA規制とGDPR規制はFIにとって業務上の困難を軽減し、オーストラリアのプルデンシャル・スタンダードCPS230はサードパーティリスク管理を重視している。
• 59% of FIs operate in North America, where 55% face cloud resiliency challenges despite mature infrastructure. Europe shows fewer issues (52%) due to stringent regulations, while Africa and the Middle East struggle with infrastructure gaps. ・59%の金融機関は北米で事業を展開しており、55%が成熟したインフラにもかかわらずクラウドレジリエンスの課題に直面している。ヨーロッパでは、厳しい規制のために問題が少ない(52%)が、アフリカと中東ではインフラのギャップに苦慮している。
• Cloud Adoption Strategies ・クラウド導入戦略
• 78% of FIs use a single cloud provider for simplicity, with multi-cloud strategies gradually gaining traction to enhance resiliency and avoid vendor lock-in. ・78%の金融機関はシンプルさを求めて単一のクラウドプロバイダーを利用しているが、レジリエンスを強化しベンダーロックインを回避するため、マルチクラウド戦略が徐々に浸透しつつある。
• Challenges in cloud adoption include misconfiguration risks, integration complexity, IAM, and cost management. ・クラウド導入の課題としては、設定ミスのリスク、統合の複雑さ、IAM、コストマネジメントなどが挙げられる。
• Cloud Data Resiliency ・クラウドデータのレジリエンス
• North America faces significant cloud resiliency challenges despite advanced infrastructure. ・北米は、先進的なインフラにもかかわらず、クラウドのレジリエンスという大きな課題に直面している。
• Europe benefits from strong regulations like GDPR, while Asia has robust infrastructure but varying regulatory demands. ・欧州はGDPRのような強力な規制の恩恵を受け、アジアは強固なインフラを持つが、規制上の要求は様々である。
• Africa and the Middle East face notable challenges due to gaps in cloud infrastructure. ・アフリカと中東は、クラウドインフラストラクチャの格差により、顕著な課題に直面している。
• Advanced Technologies for Resiliency ・レジリエンスのための先進技術
• FIs are increasingly adopting containerization and serverless computing to improve operational efficiency and workload portability. ・金融機関は、運用効率とワークロードのポータビリティを改善するため、コンテナ化とサーバーレス・コンピューティングの採用を増やしている。
• Multi-cloud strategies help mitigate risks by distributing workloads and reducing single points of failure, enhancing disaster recovery. ・マルチクラウド戦略は、ワークロードを分散し単一障害点を減らすことでリスクを緩和し、ディザスタリカバリを強化するのに役立つ。
• Executive Insights ・経営幹部の洞察
• CISOs note the regulatory landscape (e.g., EU Artificial Intelligence Act) and cost factors as driving forces behind cautious cloud adoption. Multi-cloud may gain popularity in response to concentration risk and regulatory scrutiny. ・CISOは、クラウド導入に慎重である原動力として、規制の状況(EU人工知能法など)やコスト要因を指摘している。マルチクラウドは、集中リスクや規制の監視に対応するために普及する可能性がある。
• Regional differences in operational challenges suggest a need for tailored strategies in cloud resilience and compliance. ・運用上の課題における地域差は、クラウドのレジリエンスとコンプライアンスにおいて、個々の企業に合わせた戦略が必要であることを示唆している。
• Confidence in Meeting Regulatory Requirements ・規制要件を満たす自信
• FIs maintain moderate confidence (3.5/5) in meeting regulatory requirements, but continuous improvement, budget allocation, and regional compliance are necessary to ensure resiliency. ・金融機関は、規制要件を満たすことに中程度の自信(3.5/5)を維持しているが、レジリエンスを確保するためには、継続的な改善、予算配分、地域ごとのコンプライアンスが必要である。
Key Finding 2: Financial Institutions Embrace Cloud for Operational Resiliency 主な調査結果2:金融機関はオペレーショナル・レジリエンスのためにクラウドを採用している。
• Cloud Adoption for Operational Resiliency ・オペレーショナル・レジリエンスのためのクラウド導入
• Financial institutions (FIs) are increasingly using cloud technologies to improve disaster recovery (60%) and infrastructure scalability (58%) compared to non-financial institutions (36% and 41%, respectively). ・金融機関(FIs)は、非金融機関(それぞれ36%、41%)と比較して、ディザスタリカバリ(60%)とインフラのスケーラビリティ(58%)を改善するためにクラウドテクノロジーの利用を増やしている。
• FIs face regulatory pressure to audit and demonstrate cloud operational resiliency, leading to more cautious and adjusted cloud security strategies. ・金融機関は、クラウドの運用レジリエンスを監査し、実証するよう規制当局から圧力を受けており、クラウドのセキュリティ戦略をより慎重に調整するようになっている。
• Cloud Adoption Challenges in Cloud Resiliency ・クラウド・レジリエンスにおけるクラウド導入の課題
• FIs struggle with cloud architecture misconfigurations (62%), integrating third-party services (52%), and managing identity and access systems (35%). ・金融機関は、クラウドアーキテクチャの誤設定(62%)、サードパーティ・サービスの統合(52%)、アイデンティティとアクセス・システムの管理(35%)に苦慮している。
• Encryption of data at rest and in transit is a greater challenge for FIs (26%) than non-FIs (16%). ・静止時および転送時のデータの暗号化は、非金融機関(16%)よりも金融機関(26%)の方が大きな課題となっている。
• Sector-Specific Customer Challenges ・セクター特有の顧客の課題
• FIs emphasize audit and compliance (44%), focusing on regulatory requirements, while non-FIs face more challenges with privacy concerns related to personally identifiable information (PII) and staff expertise. ・金融機関は監査とコンプライアンスを重視し(44%)、規制要件に重点を置いているが、非金融機関は個人を特定できる情報(PII)やスタッフの専門知識に関連するプライバシーへの懸念がより大きな課題となっている。
• Cost and legal enforcement are significant challenges across both sectors when working with cloud service providers. ・クラウド・サービス・プロバイダとの協業においては、コストと法的強制力が両セクターに共通する大きな課題となっている。
• Proactive and Collaborative Approach ・積極的かつ協力的なアプローチ
• The financial industry relies on pre-planning, collaboration, and participation in groups like FS-ISAC to tackle cloud security challenges, ensuring effective security and integration with third-party CSPs. ・金融業界は、クラウドセキュリティの課題に取り組み、効果的なセキュリティとサードパーティCSPとの統合を確保するために、事前の計画、コラボレーション、FS-ISACのようなグループへの参加を頼りにしている。
• Executive Perspective ・経営者の視点
• Industry leaders recognize the need for continuous improvement in managing third-party CSP risks, even when meeting existing compliance standards like PCI DSS and FedRAMP, highlighting a need for vigilance in the evolving cloud landscape. ・業界のリーダーたちは、PCI DSSやFedRAMPといった既存のコンプライアンス標準を満たしている場合でも、サードパーティCSPのリスクマネジメントを継続的に改善する必要性を認識しており、進化するクラウド・ランドスケープにおける警戒の必要性を強調している。
Key Finding 3: Top Concerns for Cloud are within the Customer’s Control 主な調査結果3:クラウドに関する最大の懸念事項は顧客の管理範囲にある
• Internal Cloud Security Challenges ・社内のクラウドセキュリティの課題
• FIs face internal challenges such as cloud and cybersecurity skills gaps (49%), lack of internal security strategies (33%), and inadequate Identity and Access Management (IAM) systems (31%), all critical to data resiliency. ・金融機関は、クラウドやサイバーセキュリティのスキル格差(49%)、社内セキュリティ戦略の欠如(33%)、ID・アクセス管理(IAM)システムの不備(31%)といった社内の課題に直面しており、これらはすべてデータのレジリエンスに不可欠なものである。
• Addressing these gaps involves continuous training, recruiting specialized talent, and enhancing security strategies through automated configuration management and threat intelligence integration. ・これらのギャップに対処するには、継続的なトレーニング、専門人材の採用、自動化された構成管理と脅威インテリジェンスの統合によるセキュリティ戦略の強化が必要である。
• Key Security Practices ・主なセキュリティ対策
• FIs use robust security strategies, including encryption, Security Information and Event Management (SIEM), and Data Loss Prevention (DLP) solutions to safeguard data. ・金融機関はデータを保護するために、暗号化、セキュリティ情報・イベント管理(SIEM)、データ損失防止(DLP)ソリューションなど、堅牢なセキュリティ戦略を使用している。
• Misconfigurations are a top concern, necessitating automated tools and continuous monitoring to prevent vulnerabilities. ・設定ミスは最大の懸念事項であり、脆弱性を防ぐための自動化ツールと継続的なモニタリングが必要である。
• Incident Response & Policy Review ・インシデント対応とポリシーの見直し
• Regular risk assessments and incident response drills are essential for maintaining operational resiliency. ・定期的なリスクアセスメントとインシデント対応訓練は、オペレーションのレジリエンスを維持するために不可欠である。
• FIs conduct more frequent policy reviews than non-FIs to align with evolving threats and regulatory mandates, with 60% of FIs conducting annual reviews compared to 44% of non-FIs. ・金融機関は、進化する脅威や規制上の義務に対応するため、非金融機関よりも頻繁にポリシーの見直しを行っており、非金融機関の44%に対し、金融機関の60%が毎年見直しを行っている。
• Data Localization & SLAs ・データのローカライズとSLA
• Data localization requirements influence cloud deployment strategies, especially in regulated environments. ・データのローカライゼーション要件は、特に規制環境におけるクラウド展開戦略に影響を与える。
• FIs emphasize SLAs to ensure operational continuity and compliance, with increased flexibility in SLAs noted in recent years to address recovery time objectives and availability requirements. ・金融機関は、業務の継続性とコンプライアンスを確保するためにSLAを重視しており、近年は復旧時間の目標や可用性要件に対応するためにSLAの柔軟性が高まっていると指摘されている。
• Cybersecurity in Contract Negotiations ・契約交渉におけるサイバーセキュリティ
• 81% of FIs report that cybersecurity professionals are involved in contract negotiations, particularly for new applications, to strengthen third-party risk management and security posture. ・81%の金融機関は、サードパーティのリスクマネジメントとセキュリティ体制を強化するために、特に新しいアプリケーションの契約交渉にサイバーセキュリティの専門家が関与していると報告している。
• Continuous Auditing & Monitoring ・継続的な監査とモニタリング
• Regular audits and monitoring are essential for regulatory compliance, with a focus on maintaining data integrity and operational resilience. ・定期的な監査とモニタリングは、データの完全性とオペレーションのレジリエンスの維持に重点を置いた規制遵守のために不可欠である。
• Incident response planning, annual IRP testing (40% of FIs), and continuous monitoring allow FIs to adapt to security threats proactively. ・インシデント対応計画、年次IRPテスト(金融機関の40%)、継続的なモニタリングにより、金融機関はセキュリティの脅威にプロアクティブに対応することができる。
• Executive Insights ・経営幹部の洞察
• Misconfiguration and IAM remain top threats in cloud environments, highlighting the need for vigilance in cloud security strategies. ・クラウド環境では、設定ミスやIAMが依然として最大の脅威となっており、クラウドセキュリティ戦略における警戒の必要性が浮き彫りになっている。
• Proactive measures like industry collaboration (FS-ISAC) and continuous improvement are key to navigating third-party cloud security challenges. ・業界連携(FS-ISAC)や継続的改善のような積極的な対策が、サードパーティーのクラウドセキュリティの課題を乗り切る鍵となる。
Key Finding 4: Data Privacy and Integrity is the Top Concern with Generative AI 主な調査結果4:データ・プライバシーと完全性は生成的AIにおける最大の懸念事項である。
• Primary Concern: Data Privacy and Integrity ・主な懸念事項 データ・プライバシーと完全性
• For financial institutions (FIs), data privacy and integrity are critical when using generative AI, with 26% citing this as their top issue, alongside concerns about AI misuse for cyber attacks (20%). ・金融機関(FIs)にとって、生成的AIを使用する場合、データ・プライバシーと完全性は非常に重要であり、サイバー攻撃へのAIの悪用に関する懸念(20%)と並んで、26%がこれを最重要課題として挙げている。
• Challenges of Generative AI ・生成的AIの課題
• Generative AI poses risks of biased outputs, regulatory compliance issues, and heightened vulnerability to cyber threats, requiring strong data governance to avoid biased or inaccurate AI-driven decisions. ・生成的AIは、偏った出力、規制遵守の問題、サイバー脅威に対する脆弱性の高まりといったリスクをもたらすため、AI主導の偏った、あるいは不正確な意思決定を回避するための強力なデータガバナンスが必要となる。
• AI Misuse Risks ・AIの悪用リスク
• AI can enable sophisticated phishing and deepfake attacks, making cyber threats more difficult to detect and defend against. ・AIは高度なフィッシング攻撃やディープフェイク攻撃を可能にし、サイバー脅威の検知と防御をより困難にする。
• Mitigation Strategies ・緩和戦略
• FIs use AI to enhance fraud detection, customer service, risk modeling, and document processing but emphasize the need for diverse datasets, human oversight, and robust security measures like data anonymization. ・金融機関はAIを不正検知、顧客サービス、リスクモデリング、文書処理の強化に活用しているが、多様なデータセット、人間による監視、データの匿名化などの強固なセキュリティ対策の必要性を強調している。
• Future AI Trends ・今後のAI動向
• Key trends include the need for explainable AI, AI-driven compliance tools, advanced cybersecurity measures, and a strong focus on ethical and transparent AI practices. ・主なトレンドとしては、説明可能なAI、AI主導のコンプライアンス・ツール、高度なサイバーセキュリティ対策、倫理的で透明性の高いAIプラクティスの重視などが挙げられる。
• Privacy Management Frameworks ・プライバシー管理の枠組み
• Tools like the NIST AI Risk Management Framework provide structured approaches to manage privacy, security, and regulatory compliance in generative AI. ・NIST AIリスクマネジメントフレームワークのような枠組みは、生成的AIにおけるプライバシー、セキュリティ、規制コンプライアンスを管理するための構造化されたアプローチを提供する。
• Executive Perspective ・経営幹部の視点
• Data privacy remains the top concern for FIs as regulatory and technology landscapes evolve, requiring continuous strategy updates to balance privacy with AI benefits. ・規制やテクノロジーの進化に伴い、データ・プライバシーは金融機関にとって依然として最大の関心事であり、プライバシーとAIのメリットのバランスを取るための継続的な戦略の更新が必要である。
Conclusion 結論
• Core Focus Areas for Data Resiliency ・データレジリエンスの中核となる分野
• FIs prioritize regulatory compliance, cloud strategy, regional considerations, and continuous security improvements to enhance operational resiliency in a complex regulatory environment. ・金融機関は、複雑な規制環境の中でオペレーションのレジリエンスを強化するために、規制遵守、クラウド戦略、地域的配慮、継続的なセキュリティ改善を優先する。
• Executive Priorities ・経営幹部の優先事項
• C-level executives in FIs focus on regulatory compliance, disaster recovery, and infrastructure scalability, with strong reliance on frameworks like NIST CSF and PCI DSS for streamlined compliance. ・金融機関のCレベル幹部は、規制コンプライアンス、災害復旧、インフラの拡張性に重点を置いており、コンプライアンスを合理化するためにNIST CSFやPCI DSSのような枠組みに強く依存している。
• Cloud Adoption Strategies ・クラウド導入戦略
• FIs generally prefer single-cloud provider (CSP) strategies for simplicity and cost-effectiveness, while non-FIs adopt multi-cloud to avoid vendor lock-in and leverage regional flexibility. ・一般的に、金融機関はシンプルさと費用対効果の観点からシングル・クラウド・プロバイダー(CSP)戦略を好むが、非金融機関はベンダーのロックインを回避し、地域の柔軟性を活用するためにマルチクラウドを採用している。
• Top Cloud Security Threats ・クラウドセキュリティの脅威
• Key risks include data breaches, misconfigurations, and insecure interfaces, as highlighted in CSA’s Top Threats to Cloud Computing report. Comprehensive cloud security strategies and regular security assessments are essential to address these. ・主なリスクには、CSAの「クラウド・コンピューティングの主な脅威(Top Threats to Cloud Computing)」レポートで強調されているように、データ漏洩、設定ミス、安全でないインターフェースなどがある。これらに対処するには、包括的なクラウドセキュリティ戦略と定期的なセキュリティアセスメントが不可欠である。
• Resilience Planning Framework ・レジリエンス計画の枠組み
• The CISA Infrastructure Resilience Planning Framework (IRPF) supports FIs in building resilient infrastructures capable of withstanding and recovering from cyber attacks. ・CISAのレジリエンス・プランニング・フレームワーク(IRPF)は、金融機関がサイバー攻撃に耐え、回復できるレジリエンス・インフラを構築することを支援する。
• Industry Balance of Compliance and Innovation ・コンプライアンスとイノベーションの業界バランス
• The financial industry's approach requires balancing regulatory adherence, tech adoption, and strategic planning to manage evolving cyber threats and operational challenges effectively. ・金融業界のアプローチでは、進化するサイバー脅威と業務上の課題を効果的に管理するために、規制の遵守、技術導入、戦略的計画のバランスをとることが必要である。
Survey Creation and Methodology 調査の作成と方法
• Survey by CSA and DTCC ・CSAとDTCCによる調査
• The Cloud Security Alliance (CSA) and DTCC co-developed a survey to understand cyber resiliency challenges, focusing on the financial industry's response to cloud security and operational threats. ・クラウド・セキュリティ・アライアンス(CSA)とDTCCは、クラウドセキュリティと運用上の脅威に対する金融業界の対応に焦点を当て、サイバーレジリエンスの課題を理解するための調査を共同で実施した。
• Survey Purpose ・調査の目的
• The survey aimed to evaluate operational resilience frameworks, analyze cloud adoption strategies, and assess key cybersecurity challenges, including the impact of AI and generative AI on financial institutions. ・本調査の目的は、運用レジリエンスの枠組みを評価し、クラウド導入戦略を分析し、AIや生成的AIが金融機関に与える影響など、サイバーセキュリティ上の主な課題を評価することである。
• Participants ・参加者
• Conducted in April 2024, the survey gathered responses from 872 IT and security professionals across organizations of various sizes and regions, comparing insights from financial institutions (FIs) and non-financial institutions (non-FIs). ・調査は2024年4月に実施され、金融機関(FIs)と非金融機関(non-FIs)の知見を比較しながら、さまざまな規模・地域の組織のITおよびセキュリティの専門家872人から回答を得た。
• Data Analysis ・データ分析
• The CSA Financial Leadership Committee, Research Team, and Data Security Working Group performed data analysis to highlight key trends and differences between FIs and non-FIs in cyber resiliency practices. ・CSA 金融リーダーシップ委員会、調査チーム、データセキュリティ作業部会は、サイバーレジリエンスの実践における金融機関と非金融機関の主な傾向や相違点を浮き彫りにするため、データ分析を実施した。

 

 

 

| | Comments (0)

CSA スタートアップ企業のためのクラウドセキュリティ 2024 (2024.12.18)

こんにちは、丸山満彦です。

2024年の宿題シリーズはまだまだ続く...(^^;;

Cloud Security Allianceがスタートアップ企業のためのクラウドセキュリティ 2024を公表していますね...

スタートアップ企業は、セキュリティチームや開発チームが小規模で、予算も限られていることが多い一方、顧客や利害関係者は、短期間で完全な成熟度を達成すると同時に、そのプロセス全体を通じてセキュリティを確保することを期待している。

急速な成長には、技術革新、スピード、効率性、強固なセキュリティ対策の微妙なバランスが必要であるため、スタートアップ企業に特化したセキュリティ・ガイドラインが必要であるということで、(私は見逃していましたが、)2017年に第1版にあたるCloud Security for Startups という文書のを発表した。

今回は、特にSaaSベースのスタートアップ企業に焦点を当てた、より包括的なガイダンスとして、第2版を公表することにしました...ということのようです。。。

特にエンタープライズレベルのセキュリティ成熟度を達成するために必要な戦略的意思決定戦術的提言に重点を置いているとのことです...

また、新興企業の資金調達ラウンドの構造化されていない性質や、急速に成長する企業の進化する能力についても考察しているとのことです...


Cluod Security Alliance

・2024.12.18 Cloud Security for Startups 2024

主な要点:
  • スタートアップの開発フェーズの特徴
  • 適切なクラウドプラットフォームの選び方
  • クラウドプロバイダとセキュリティ責任を共有する方法
  • 初期アーキテクチャの構築方法
  • 安全なソフトウェア開発ライフサイクルの段階
  • セキュリティ管理のベストプラクティス
  • ガバナンス、リスク、コンプライアンスのベストプラクティス
  • セキュリティモニタリングとインシデント対応のベストプラクティス
  • AI、ゼロ・トラスト、量子コンピューティングに関する考察

20250105-172006

・[DOCX][PDF]仮訳

 

 

| | Comments (0)

2025.01.06

日本銀行金融研究所 「デジタルマネー提供者における情報の取扱いとその規範を巡る法律問題研究会」報告書集積情報の利用と法的課題

こんにちは、丸山満彦です。

2024年の宿題シリーズはまだまだ続く...(^^;;

日本銀行金融研究所が、「デジタルマネー提供者における情報の取扱いとその規範を巡る法律問題研究会」報告書集積情報の利用と法的課題を公表していますね...

デジタルマネー(前払式支払手段と資金移動マネー)提供者が保有する決済情報に対する注目が高まっていることから、デジタルマネー提供者にとって法的不確実性がない形での情報利用のあり方を検討...

集積情報の利用に伴う以下の法的課題を検討

  • デジタルマネー提供者と利用者との関係(プロファイリング)
    • 対象者のプライバシーとの関係で問題になりにくい類型
    • 取引法上考慮が必要と思われる点
  • デジタルマネー提供者と加盟店との関係(私法と競争法の課題)
  • グループによる情報共有(個人情報保護法の共同利用)

 

●  日本銀行金融研究所

・2024.12.13 「デジタルマネー提供者における情報の取扱いとその規範を巡る法律問題研究会」報告書 —— 集積情報の利用と法的課題 ——

 


デジタルマネーの利用が進むなか、デジタルマネー提供者が保有する決済情報に対する注目が高まっている。デジタルマネーの決済情報はグループで運営されるビジネスにおいて集積する情報の重要な構成要素として、さまざまな用途で利用が見込まれる。利用者や加盟店の権利利益を保護しつつ、デジタルマネー提供者にとって法的不確実性がない形での情報利用のあり方を検討する意義は大きい。

本報告書では、決済情報の性質や契約・法令といった情報利用に関する法的枠組みを整理したうえで、デジタルマネー提供者と利用者との関係、デジタルマネー提供者と加盟店との関係、グループによる情報共有の3つの場面において、集積情報の利用に伴う法的課題を検討している。

利用者との関係では、プロファイリングを取り上げて、対象者のプライバシーとの関係で問題になりにくい類型を探る必要があることを指摘するとともに、その目線を提示している。また、プロファイリングを利用した取引(ターゲティング広告、パーソナライズドプライシング)について、取引法上考慮が必要と思われる点を指摘している。

加盟店との関係では、デジタルマネー提供者と加盟店間の関係を規律する法的な枠組みを踏まえ、私法と競争法の課題について整理している。

集積情報を利用する前提となるグループによる情報共有については、個人情報保護法の共同利用を積極的に位置づけていく観点から検討を行っている。


 

・[PDF]

20250105-161936

 

目次...

1.はじめに

2.デジタルマネー提供者が取扱う情報の内容
(1)決済情報の内容
(2)従来の決済事業者との違い
(3)情報の利用可能性
(4)検討対象

3.デジタルマネー提供者の情報の取扱いに関する法的ルール
(1)決済情報は誰に関する情報か
(2)情報の利用に関する法的枠組み
(3)情報の利用に関する契約
(4)情報利用行為とプライバシー

4.デジタルマネー提供者と利用者:プロファイリング
(1)概要
(2)個人情報保護法との関係
(3)プライバシーとの関係
(4)適切なプロファイリングを検討する際の視点
(5)プロファイリングと取引

5.デジタルマネー提供者と加盟店:加盟店情報の利用
(1)加盟店情報の利用
(2)加盟店情報の利用に関する法的枠組み
(3)デジタルマネーサービスの性質を踏まえた検討
(4)競争法による規律の課題

6.グループにおける情報共有:個人情報の共同利用
(1)利用者情報の提供
(2)個人情報保護法制における個人データの提供に関する規律
(3)海外における情報の提供に関する枠組み
(4)検討

7.おわりに

 

 

(座長)
神田 秀樹 東京大学名誉教授

(委員)
井上 聡 弁護士(長島・大野・常松法律事務所パートナー)
加毛 明 東京大学大学院法学政治学研究科教授
神作 裕之 学習院大学大学院法務研究科教授
宍戸 常寿 東京大学大学院法学政治学研究科教授
森 亮二 弁護士(英知法律事務所パートナー)

神田先生、宍戸先生、森先生とは以前からお付き合いがあります...

 

 

| | Comments (0)

経済産業省 システム管理基準 追補版(財務報告に係るIT統制ガイダンス)の改訂版 (2024.12.25)

こんにちは、丸山満彦です。

2024年の宿題シリーズはまだまだ続く...(^^;;

 

経済産業省のシステム管理基準 追補版(財務報告に係るIT統制ガイダンス)が改定されましたね...

そもそも、システム管理基準 追補版(財務報告に係るIT統制ガイダンス)は、システム管理基準に基づいて構築されている情報システムにおいて、財務報告に係る内部統制の整備運用の評価を行う際に参考になるように作成されたもので、システム管理基準と「ITへの対応」を紐づけたものという形で2007年に策定されたものです...

今回、2023.04.07に「財務報告に係る内部統制の評価及び監査の基準並びに財務報告に係る内部統制の評価及び監査に関する実施基準の改訂について(意見書)」 (実施基準)が公表され、また、2023.04.26に「システム管理基準」及び「システム監査基準」(システム管理基準等)が改訂されたことから、「実施基準」及び「システム管理基準等」の改訂部分と追補版との整合性をとるべく改訂されたものですね...

ちなみに、図表II 1-1、1-2は初版の時に私が作った図ですね(^^;;

そのまま使っているけど、他の図も含めて図表の統一性を高めても良かったかもですね...(海外のガイダンス等の様式美に慣れているからかもしれませんが...)

 

経済産業省

・2024.12.25 [PDF] システム管理基準 追補版(財務報告に係るIT統制ガイダンス)

20250105-34821

 

改訂の概要

・[PDF] システム管理基準追補版改訂の概要

20250105-34938

 

思い出の旧版...

・2007.03.30 システム管理基準 追補版(財務報告に係る IT 統制ガイダンス)


今回の有識者委員は、

【座長】
島田 裕次 東洋大学工業技術研究所 客員研究員、システム監査学会 会長

【委員】
安部 靖雄 公認会計士、日本公認会計士協会テクノロジー委員会 監査IT対応専門委員会 専門委員長
神崎 時男 公認会計士、公認情報システム監査人、日本公認会計士協会中小事務所IT対応支援専門委員会 委員
小池 聖一・パウロ 千葉商科大学会計大学院 教授、公認会計士、公認内部監査人、公認情報システム監査人
小林 尚明 公認会計士、日本公認会計士協会 常務理事
紫垣 昌利 公認会計士、日本公認会計士協会テクノロジー委員会委員長
中村 元彦 千葉商科大学会計大学院 教授、システム監査学会 常任理事
三木 孝則 公認会計士、公認情報システム監査人
宮城 潤 公認システム監査人、システム監査学会 会員
山口 達也 公認システム監査人、日本システム監査人協会 副会長
吉武 一 公認内部監査人、公認情報システム監査人、日本内部監査協会 理事

となっておりますね...安倍さんは、私が前職の大阪事務所に入所した時の同期、小池さんは前職で監査ソフトの日本語化のためにプリンストンに行った時のメンバー、三木さんは前職の後輩、中村さんはシステム監査関係で昔から付き合いがあります...座長の島田さんとも付き合いは長いです。2007年の初版作成の時の委員ですね...

ちなみに、2007年の時の委員は、

【委員長】
鳥居 壮行 駿河台大学文化情報学部 教授

【委員】
大木 栄二郎 特定非営利活動法人日本セキュリティ監査協会(JASA)保証型監査促進プロジェクトリーダー
喜入 博 システム監査学会(JSSA)理事
郡山 信 財団法人金融情報システムセンター(FISC)監査安全部長
後藤 直樹 KDDI 株式会社 技術開発本部セキュリティ技術部企画推進グループリーダー
島田 裕次 日本内部監査協会(IIA)
清水 惠子 日本公認会計士協会 IT 委員会 監査 IT 対応専門委員会専門委員
力 利則 日本電気株式会社 経営監査本部監査部長
西尾 秀一 社団法人情報サービス産業協会(JISA)セキュリティ部会副部会長(株式会社 NTT データ)
原田 要之助 大阪大学大学院工学研究科 特任教授
堀江 正之 日本大学商学部 教授
松尾 明 青山学院大学 教授
松原 榮一 社団法人日本情報システム・ユーザー協会(JUAS)調査研究部会委員
丸山 満彦 情報システムコントロール協会(ISACA)東京支部副会長
和貝 享介 特定非営利活動法人日本システム監査人協会(SAAJ)副会長

2007年から17年ぶりの改訂となりましたが、実は間でも改訂の動きがありました。2007年の委員の清水さんが提案をしていたのですが、当時の状況ではそれはならず、今回の関連基準等の改訂に伴い改訂されたということですかね...

2007年の委員には公認会計士が書かれていませんが、清水さん、松尾先生、私、和貝さんの4名が公認会計士です。

ISACAの名前で委員が入っていないのが、少し寂しいですかね...

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2007.12.27 経済産業省 確定 「システム管理基準 追補版(財務報告に係るIT統制ガイダンス)追加付録」

・2007.10.17 経済産業省 パブコメ 「システム管理基準 追補版(財務報告に係るIT統制ガイダンス)追加付録(案)」

・2007.10.14 経済産業省 「システム管理基準 追補版(財務報告に係るIT統制ガイダンス)」の仮訳

・2007.05.12 システム管理基準追補版をつくるべきではなかったのか・・・

・2007.03.31 経済産業省 「システム管理基準 追補版(財務報告に係るIT統制ガイダンス)」を公表

・2007.02.07 経済産業省のシステム管理基準 追補版(財務報告に係るIT統制ガイダンス)(案)について

・2007.01.19 経済産業省 パブコメ 「システム管理基準 追補版(財務報告に係るIT統制ガイダンス)(案)」

 

| | Comments (0)

CSA パブリッククラウド移行のための鍵管理 (2024.12.17)

こんにちは、丸山満彦です。

2024年の宿題シリーズはまだまだ続く...(^^;;

Cloud Security Allianceがパブリッククラウド移行のための鍵管理のベストプラクティスについて説明した文書を公表していますね...


Cluod Security Alliance

・2024.12.17 Key Management for Public Cloud Migration


移行プロセスのさまざまな段階(アセスメント、計画、準備、移行、および移行後)における考慮事項を取り上げていますね。

主な要点は、

  • 現在のデータランドスケープと主要なマネジメントプラクティスを評価し、ギャップと潜在的リスクを特定する方法
  • 包括的なデータ移行アプローチの要素
  • データと暗号化鍵を安全に移行する方法
  • シームレスな移行を保証するためのテストと妥当性確認戦略
  • 移行期間中、データと鍵の整合性と機能を維持するためのベストプラクティス
  • 移行後のベストプラクティス
  • 利用可能な移行ツールとその主な機能

 

20250105-164621

 

目次...

Acknowledgments 謝辞
Table of Contents 目次
1. Introduction 1. 序文
1.1 Purpose 1.1 目的
1.2 Scope 1.2 適用範囲
1.3 Target Audience 1.3 対象読者
2. Assessment, Planning, and Data Preparation 2. アセスメント、計画、およびデータ準備
2.1 Assessment 2.1 アセスメント
2.1.1 Data Classification 2.1.1 データ格付
2.1.2 Understanding Current (On-prem) and Future (Cloud) Key Management Practices 2.1.2 現在の(オンプレミス)および将来の(クラウド)主要管理手法の理解
2.1.3 Assess and Identify Access Control Requirements 2.1.3 アクセス管理要件のアセスメントと識別
2.1.4 Privacy, Security, and Compliance 2.1.4 プライバシー、セキュリティ、およびコンプライアンス
2.1.5 Version Control Tracking 2.1.5 バージョン管理の追跡
2.1.6 Backup Key Management Plan 2.1.6 バックアップ鍵管理計画
2.1.7 Cost/Financial Considerations 2.1.7 コスト/財務上の懸念
2.1.8 Training 2.1.8 学習
2.2 Planning 2.2 計画
2.3 Data Cleansing and Transformation/Preparation 2.3 データのクレンジングと変換/準備
2.3.1 Deduplication, Error Correction, and Format Standardization 2.3.1 重複排除、エラー訂正、フォーマット標準化
2.3.2 Cloud Database and Storage Compatibility Considerations 2.3.2 クラウドデータベースとストレージの互換性に関する考慮事項
2.4 Data Security and Key Management 2.4 データセキュリティと鍵管理
3. Migration Execution and Management 3. 移行の実行と管理
3.1 Tools and Techniques for Data and Key Transfer 3.1 データおよびキーの転送のためのツールとテクニック
3.1.1 Various Techniques for Data and Key Transfer 3.1.1 データおよびキーの転送のためのさまざまなテクニック
3.1.2 Cloud-Native Approach 3.1.2 クラウドネイティブなアプローチ
3.1.3 Secure Transfer and Storage Options 3.1.3 安全な転送とストレージのオプション
3.1.4 Third-Party Migration Services 3.1.4 サードパーティの移行サービス
3.1.5 Batch Transfer vs. Continuous Data Replication (CDR) 3.1.5 バッチ転送と連続データレプリケーション(CDR)の比較
3.1.6 Monitoring and Managing Data and Key Integrity During the Transfer 3.1.6 転送中のデータおよびキーの整合性のモニタリングと管理
3.1.7 Real-Time Monitoring 3.1.7 リアルタイムモニタリング
3.1.8 Integrity Checks 3.1.8 整合性チェック
3.2 Securing Migration Tools and Processes 3.2 移行ツールとプロセスのセキュリティ確保
3.3 Testing and Validation 3.3 テストと妥当性確認
3.3.1 Conduct Unit, Integration, and End-to-End Testing 3.3.1 ユニット、統合、エンドツーエンドのテストの実施
4. Transition and Optimization 4. 移行と最適化
4.1 Post-Migration Monitoring, Optimization, and Incident Response 4.1 移行後のモニタリング、最適化、インシデント対応
4.1.1 Performance Monitoring and Cost Optimization 4.1.1 パフォーマンスモニタリングとコストの最適化
4.1.2 Continuous improvement and adaptation 4.1.2 継続的な改善と適応
5. Conclusion and Future Outlook 5. 結論と今後の見通し
5.1 Conclusion 5.1 結論
5.1.1 Key Takeaways 5.1.1 主な要点
5.2 Future Outlook 5.2 今後の見通し
6. References 6. 参考文献
Glossary 用語集
Cloud Providers Migration Tools クラウドプロバイダ 移行ツール
Third-Party Providers Migration Tools サードパーティプロバイダ 移行ツール

 

 

紹介するのを忘れていたようですが、昨年に公表した文書...

・2023.12.19 Key Management Lifecycle Best Practices

 

| | Comments (0)

2025.01.05

スペイン データ保護庁 ブログ 人工知能におけるデータと情報 (2024.12.03)

こんにちは、丸山満彦です。

2024年の宿題シリーズはまだまだ続く...(^^;;

スペインのデータ保護庁 (Agencia española protección datos) のブログでは人工知能の問題をいくつか取り上げていますが...

個人データ保護を理解しようとする人は、どの程度人工知能についての技術的な背景を理解すべきか、難しいところがありますね...コンピュータがデータ処理をするようになったときと同じようなことが生じているように思います。ただし、当時と違い、その変化はより迅速ということですかね...

どこまでの理解が必要かということは、個人データの保護がなぜ必要になったのでしたっけ...というところに戻る必要があるかもしれません...私がちが守ろうとしている価値観は何か...

 

スペインデータ保護庁

agencia española protección datos

1_20250104115101

人工知能におけるデータと情報

・2024.12.03 Data and information in Artificial Intelligence

身長と体重の関係から肥満を分析するということを題材にして説明していますね...

 

それ以外にも...

自動化された意思決定における人間の介入の評価

・2024.03.04 Evaluating human intervention in automated decisions

 

AIシステム:1つのアルゴリズムか、複数のアルゴリズムか?

・2023.11.22 AI System: just one algorithm or multiple algorithms?

 

人工知能:透明性

・2023.09.20 Artificial Intelligence: Transparency

 

連合学習: プライバシーを損なわない人工知能

・2023.04.26 Federated Learning: Artificial Intelligence without compromising privacy

 

AI:システム対処理、手段対目的

・2023.04.10 AI: System vs Processing, Means vs Purposes

 

人工知能:処理活動における正確さの原則

・2023.03.31 Artificial Intelligence: accuracy principle in the processing activity

 

 


 

少し前はPDFでいろいろとだしていたようですね...

 

人工知能(AI)を組み込んだパーソナルデータ処理の参照マップ

・[PDF] REFERENCE MAP PERSONAL DATA PROCESSING THAT EMBED ARTIFICIAL INTELLIGENCE (AI)

20250104-115217

 

 

 

AIを伴う個人データ処理活動に関する監査要件

・2021.01 [PDF] Audit Requirements for Personal Data Processing Activities Involving AI

 

人工知能を組み込んだ処理におけるGDPR準拠 序文

・2020.02 [PDF] GDPR compliance of processings that embed Artificial Intelligence An introduction

 

機械学習に関する10の誤解

・[PDF] 10 MISUNDERSTANDINGS ABOUT MACHINE LEARNING

 



 

 

 

| | Comments (0)

米国 CISA パブコメ 国家サイバーインシデント対応計画更新案 (2024.12.16)

こんにちは、丸山満彦です。

2024年の宿題シリーズはまだまだ続く...(^^;;

CISAが2016年に策定された国家サイバーインシデント対応計画 (National Cyber Incident Response Plan; NCIRP) を、2022年末に発表された情報セキュリティ戦略2024年 (National Cybersecurity Strategy 2024) に基づいて改訂中ですよ。。。って2023.10.20に発表しました(このブログ...)が、その案がまとまり、パブコメにかけられています...

これ、2016年発行の現行バージョンに比べると、わかりやすい表現、形式になっているように思いました...

ちなみに、サイバーインシデントの定義は、大統領政策指令41(PPD-41)「米国サイバーインシデント調整」(Presidential Policy Directive -- United States Cyber Incident Coordination; PPD-41) に基づいています...

Cyber incident. An event occurring on or conducted through a computer network that actually or imminently jeopardizes the integrity, confidentiality, or availability of computers, information or communications systems or networks, physical or virtual infrastructure controlled by computers or information systems, or information resident thereon. For purposes of this directive, a cyber incident may include a vulnerability in an information system, system security procedures, internal controls, or implementation that could be exploited by a threat source. サイバーインシデント:コンピュータネットワーク上で発生した、またはコンピュータネットワークを通じて実施されたイベントで、コンピュータ、情報システム、コミュニケーションシステム、ネットワーク、コンピュータまたは情報システムによって制御される物理的または仮想的なインフラ、またはそこに存在する情報の完全性、機密性、可用性を実際にまたは差し迫って脅かすもの。本指令の目的上、サイバーインシデントには、脅威の発生源によって悪用される可能性がある情報システム、システムセキュリティ手順、内部統制、または実装における脆弱性が含まれる場合がある。
Significant cyber incident. A cyber incident that is (or group of related cyber incidents that together are) likely to result in demonstrable harm to the national security interests, foreign relations, or economy of the United States or to the public confidence, civil liberties, or public health and safety of the American people. 重大なサイバーインシデント:米国の国家安全保障上の利益、外交関係、経済、または米国国民の信頼、市民的自由、公衆衛生および安全に実証可能な損害をもたらす可能性が高いサイバーインシデント(または関連するサイバーインシデントのグループ)。

また、調整構造として、

  • インシデント対応方針および意識向上のためのサイバー対応グループ(CRG)
  • インシデント対応調整のためのサイバー統合調整グループ(Cyber UCG)

がありますが、これでもPPD-41から来ています...

そして、4つの取り組み分野

Asset Response 資産対応
Threat Response 脅威対応
Intelligence Support 情報支援
Affected Entity Response 影響を受ける事業体対応

が記載されていますが、これもPPD-41からきています...

IV. Concurrent Lines of Effort IV. 同時進行の取り組み
In responding to any cyber incident, Federal agencies shall undertake three concurrent lines of effort: threat response; asset response; and intelligence support and related activities. In addition, when a Federal agency is an affected entity, it shall undertake a fourth concurrent line of effort to manage the effects of the cyber incident on its operations, customers, and workforce. 連邦機関は、サイバーインシデントへの対応において、脅威対応資産対応情報支援および関連活動という3つの取り組みを同時進行で実施する。さらに、連邦機関が影響を受ける事業体である場合、その業務、顧客、職員に対するサイバーインシデントの影響を管理するための4つ目の取り組みを同時進行で実施する。
Threat response activities include conducting appropriate law enforcement and national security investigative activity at the affected entity’s site; collecting evidence and gathering intelligence; providing attribution; linking related incidents; identifying additional affected entities; identifying threat pursuit and disruption opportunities; developing and executing courses of action to mitigate the immediate threat; and facilitating information sharing and operational coordination with asset response. 脅威対応活動には、影響を受ける事業体のサイトにおける適切な法執行および国家安全保障調査活動の実施、証拠の収集および情報収集、帰属の特定、関連インシデントの関連付け、さらなる影響を受ける事業体の識別、脅威の追跡および阻止の機会の特定、差し迫った脅威を緩和するための行動計画の策定および実施、資産対応との情報共有および運用調整の促進が含まれる。
Asset response activities include furnishing technical assistance to affected entities to protect their assets, mitigate vulnerabilities, and reduce impacts of cyber incidents; identifying other entities that may be at risk and assessing their risk to the same or similar vulnerabilities; assessing potential risks to the sector or region, including potential cascading effects, and developing courses of action to mitigate these risks; facilitating information sharing and operational coordination with threat response; and providing guidance on how best to utilize Federal resources and capabilities in a timely, effective manner to speed recovery.   資産対応活動には、影響を受けた事業体の資産を防御し、脆弱性を緩和し、サイバーインシデントの影響を軽減するための技術支援の提供、リスクにさらされている可能性のある他の事業体の識別と、それらの事業体が同じまたは類似の脆弱性に対して抱えるリスクのアセスメント、 、連鎖反応の可能性を含むセクターまたは地域に対する潜在的なリスクを評価し、これらのリスクを緩和するための行動計画を策定する、脅威対応との情報共有と業務調整を促進する、連邦政府のリソースと能力を迅速かつ効果的に活用して回復を早めるための最善の方法に関する指針を提供する、などである。 
Threat and asset responders will share some responsibilities and activities, which may include communicating with affected entities to understand the nature of the cyber incident; providing guidance to affected entities on available Federal resources and capabilities; promptly disseminating through appropriate channels intelligence and information learned in the course of the response; and facilitating information sharing and operational coordination with other Federal Government entities. 脅威および資産対応者は、いくつかの責任と活動を共有する。これには、サイバーインシデントの性質を理解するために影響を受ける事業体とコミュニケーションを取ること、影響を受ける事業体に利用可能な連邦政府のリソースと能力に関するガイダンスを提供すること、対応の過程で得られた情報やインテリジェンスを適切なチャネルを通じて迅速に広めること、および他の連邦政府機関との情報共有と業務調整を促進することが含まれる。
Intelligence support and related activities facilitate the building of situational threat awareness and sharing of related intelligence; the integrated analysis of threat trends and events; the identification of knowledge gaps; and the ability to degrade or mitigate adversary threat capabilities. 情報支援および関連活動は、状況認識に基づく脅威の認識および関連情報の共有、脅威の傾向および事象の統合分析、知識のギャップの特定、および敵対者の脅威能力の低下または緩和を促進する。
An affected Federal agency shall engage in a variety of efforts to manage the impact of a cyber incident, which may include maintaining business or operational continuity; addressing adverse financial impacts; protection of privacy; managing liability risks; complying with legal and regulatory requirements (including disclosure and notification); engaging in communications with employees or other affected individuals; and dealing with external affairs (e.g., media and congressional inquiries). The affected Federal agency will have primary responsibility for this line of effort. 影響を受けた連邦機関は、サイバーインシデントの影響を管理するために、さまざまな取り組みを行う必要がある。これには、業務または業務継続性の維持、財務への悪影響への対応、プライバシーの防御、法的責任リスクの管理、法的および規制上の要件(開示および通知を含む)への準拠、従業員またはその他の影響を受けた個人とのコミュニケーション、外部対応(メディアや議会からの問い合わせなど)が含まれる。影響を受けた連邦機関は、この取り組みの第一の責任を負う。
When a cyber incident affects a private entity, the Federal Government typically will not play a role in this line of effort, but it will remain cognizant of the affected entity’s response activities, consistent with the principles above and in coordination with the affected entity. The relevant sector-specific agency (SSA) will generally coordinate the Federal Government’s efforts to understand the potential business or operational impact of a cyber incident on private sector critical infrastructure. サイバーインシデントが民間企業に影響を及ぼす場合、連邦政府は通常、この取り組みには関与しないが、上記の原則に則り、影響を受けた事業体の対応活動に留意し、影響を受けた事業体と連携する。関連する特定分野の政府機関(SSA)は、一般的に、民間部門の重要インフラに対するサイバーインシデントの潜在的な事業または業務への影響を理解するための連邦政府の取り組みを調整する。

 

そういうことなので、「国家サイバーインシデント対応計画」の理解のためには、「大統領政策指令41 (PPD-41) 米国サイバーインシデント調整」の理解が不可欠です...

日本もサイバー安全保障の概念が取り入れられつつありますが、その理解のためにも、PPD-41の理解は重要かもしれませんね...

 

● CISA

・2024.12.16 National Cyber Incident Response Plan Update Public Comment Draft

 

連邦官報...

● Federal Register

・2024.12.16 Request for Comment on the National Cyber Incident Response Plan Update

SUPPLEMENTARY INFORMATION: 補足情報:
I. Background I. 背景
The NCIRP was first written and developed in accordance with Presidential Policy Directive 41 (PPD-41)—U.S. Cyber Incident Coordination and describes how the federal government; private sector; and state, local, tribal, and territorial (SLTT) government entities will coordinate to manage, respond to, and mitigate the consequences of significant cyber incidents. Due to the evolving cyber threat landscape—including increasing risks to critical infrastructure and public services—the need to update the NCIRP has never been greater. NCIRPは、大統領政策指令41(PPD-41)「米国サイバーインシデント調整」に従って初めて作成・策定され、連邦政府、民間部門、州、地方、部族、領土(SLTT)の政府機関が、重大なサイバーインシデントの管理、対応、影響緩和のためにどのように連携するかを説明している。重要なインフラや公共サービスに対するリスクの増大など、進化するサイバー脅威の状況により、NCIRPの更新の必要性はかつてないほど高まっている。
II. NCIRP Update II. NCIRPの更新
The NCIRP Update is being led by CISA through the Joint Cyber Defense Collaborative (JCDC), a public-private cybersecurity collaborative established by CISA to unite the global cyber community in the collective defense of cyberspace. The JCDC leverages joint cyber planning authorities granted to the agency by Congress in the 2021 National Defense Authorization Act (codified at 6 U.S.C. 665b). The update addresses changes in the cyber threat and operations landscape by incorporating feedback and lessons learned from stakeholders to make the updated NCIRP more fully inclusive across non-federal stakeholders—further establishing a foundation for continued improvement of the nation's response to significant cyber incidents. NCIRPの更新は、サイバー空間における集団防衛のためにグローバルなサイバーコミュニティを結集するためにCISAが設立した官民サイバーセキュリティ共同組織である共同サイバー防衛協調(JCDC)を通じて、CISAが主導している。JCDCは、2021年国家国防権限法(6 U.S.C. 665bに規定)により議会から付与された共同サイバー計画当局を活用している。本更新では、利害関係者からのフィードバックや教訓を反映し、連邦政府以外の利害関係者にもNCIRPの更新内容をより包括的に適用することで、サイバー脅威と運用状況の変化に対応している。これにより、重大なサイバーインシデントに対する米国の対応を継続的に改善するための基盤がさらに確立される。

 

・[PDF]

20250104-42404

 

 

目次...

Executive Summary エグゼクティブサマリー
Introduction 序文
Lines of Effort 取り組み分野
Coordinating Structures 調整構造
Phases of Cyber Incident Response Operations サイバーインシデント対応活動の段階
Detection Phase 検知段階
Response Phase 対応段階
Post-Incident Activities インシデント発生後の活動
Implementation and Maintenance 実施と保守
CISA Activities CISAの活動
Federal Departments and Agencies 連邦政府省庁および機関
Nationwide Activities 全国的な活動
Conclusion 結論
Annex A: Cyber Incident Severity Schema 附属書A:サイバーインシデントの深刻度スキーマ
Annex B: Preparing for Cyber Incidents 附属書B:サイバーインシデントへの備え
Annex C: Voluntary Reporting of Cyber Incidents to the Federal Government 附属書C:連邦政府へのサイバーインシデントの自主報告
Annex D: Stakeholder Roles and Responsibilities by Line of Effort 附属書 D:取り組み分野別の利害関係者の役割と責任
Asset Response 資産対応
Threat Response 脅威対応
Intelligence Support 情報支援
Affected Entity Response 影響を受ける事業体対応
Annex E: Follow-On Implementation Activities 附属書 E:その後の実施活動
Annex F: Additional Resources 附属書 F:追加リソース
Annex G: Authorities and Statutes 附属書 G:権限および法令
Annex H: Acronym List 附属書 H:略語リスト

 

エグゼクティブサマリー...

Executive Summary  エグゼクティブサマリー 
The 2023 National Cybersecurity Strategy called for an update of the 2016 National Cyber Incident Response Plan (NCIRP), a strategic national framework for how federal; private sector; state, local, tribal, and territorial (SLTT); and international partners collectively address cyber incidents under Presidential Policy Directive 41 (PPD-41). This update responds to changes in the cyber threat landscape, federal law and policy, and new organizational capabilities.  2023年国家サイバーセキュリティ戦略では、大統領政策指令41(PPD-41)に基づき、連邦政府、民間セクター、州、地方、部族、領土(SLTT)、および国際パートナーがサイバーインシデントに共同で対応するための国家戦略的枠組みである2016年国家サイバーインシデント対応計画(NCIRP)の更新が求められた。今回の更新は、サイバー脅威の状況、連邦法および政策、新たな組織能力の変化に対応するものである。
At a high level, the NCIRP sets out the structures that the United States government will use to coordinate the response to cyber incidents. It also provides a framework for the potential roles of federal agencies, SLTT government, the private sector, and civil society. However, the NCIRP is not a step-by-step instruction manual on how to conduct a response effort—nor could it be, as every incident and every response is different. Rather, the NCIRP sets out a flexible structure that responders can use to shape their efforts and maximize both efficiency and coordination. CISA encourages private sector entities to review the NCIRP to understand how the government will partner with them in an incident and how to incorporate this framework into their own planning efforts.  NCIRPは、米国政府がサイバーインシデントへの対応を調整するために使用する体制を定めている。また、連邦政府機関、SLTT政府、民間セクター、市民社会が果たしうる役割の枠組みも提供している。ただし、NCIRPは対応活動の実施方法を段階的に説明したマニュアルではない。また、そうなるはずもない。なぜなら、インシデントや対応はそれぞれ異なるからだ。むしろ、NCIRPは、対応者が自らの取り組みを形作り、効率性と連携を最大限に高めるために活用できる柔軟な枠組みを提示している。CISAは、民間事業体に対して、NCIRPを検討し、政府がインシデント発生時にどのように連携するのか、また、この枠組みを自社の計画策定にどのように組み込むかを理解するよう奨励している。
The NCIRP describes four lines of effort: Asset Response, Threat Response, Intelligence Support, and Affected Entity Response. The NCIRP also includes coordination mechanisms, key decision points, and priority activities across the cyber incident response lifecycle.  NCIRPでは、4つの取り組み分野が説明されている。すなわち、資産対応脅威対応情報支援、および影響を受ける事業体対応である。NCIRPには、サイバーインシデント対応ライフサイクル全体にわたる調整メカニズム、主要な意思決定ポイント、および優先活動も含まれている。
The NCIRP identifies coordinating structures that response stakeholders may leverage for cyber incidents requiring cross-sector, public-private, or federal coordination. Two key coordination structures are defined by PPD-41: the Cyber Response Group (CRG) for incident response policy and awareness and the Cyber Unified Coordination Group (Cyber UCG) for incident response coordination. The lead agencies for each federal line of effort manage coordination and resourcing within each line of effort.  NCIRPは、セクター横断的、官民、または連邦政府間の調整を必要とするサイバーインシデントに対応する関係者が活用できる調整構造を識別している。PPD-41では、インシデント対応方針および意識向上のためのサイバー対応グループ(CRG)と、インシデント対応調整のためのサイバー統合調整グループ(Cyber UCG)という2つの主要な調整構造が定義されている。各連邦政府の取り組みを主導する機関が、各取り組みにおける調整とリソース管理を担当する。
The NCIRP distinguishes between two main cyber incident response phases: Detection and Response. The Detection phase encompasses monitoring, analysis, and detection to validate a reported incident and assess whether it rises to the level of a significant cyber incident. The Response phase encompasses activities to contain, eradicate, and recover from incidents, and to carry out law enforcement and intelligence activities necessary to attribute the incident and hold the perpetrators accountable.  NCIRPでは、サイバーインシデント対応の2つの主なフェーズ、検知と対応を区別している。検知フェーズでは、報告されたインシデントの妥当性確認と、重大なサイバーインシデントに該当するかどうかをアセスメントするための監視、分析、検知を行う。対応フェーズでは、インシデントの封じ込め、根絶、復旧、およびインシデントの特定と加害者の責任追及に必要な法執行および情報活動を行う。
Comprehensive national preparedness for cyber incidents requires additional planning to address more specific issues and stakeholder communities than the NCIRP alone can provide. The  サイバーインシデントに対する包括的な国家的な備えには、NCIRPだけでは対応できない、より具体的な問題や利害関係者コミュニティに対処するための追加の計画が必要である。
Cybersecurity and Infrastructure Security Agency (CISA) will develop and support additional planning documents to meet these needs. CISA plans to implement a regular cycle of revisions to fulfill its statutory responsibility to update, maintain, and exercise the NCIRP.  サイバーセキュリティ・インフラセキュリティ庁(CISA)は、これらのニーズを満たすために、追加の計画文書の作成と支援を行う予定である。CISAは、NCIRPの更新、維持、実施という法定の責任を果たすために、定期的な改訂サイクルを実施する計画である。

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2023.10.24 米国 国家サイバーインシデント対応計画2024に向けて改訂中...

 

 

| | Comments (0)

2025.01.04

欧州議会 EUと中国との比較や関係 (2024.12.16)

こんにちは、丸山満彦です。

2024年の宿題シリーズはまだまだ続く...(^^;;

 

欧州議会が、EUと中国との比較や関係についてデータを使ってまとめています...米国、中国、欧州との貿易などを見ていると、当面は完全な分離は無理で、必要な部分についてのみ限定的にお互いに分離するけど、それ以外ではお互いにビジネスをしていきましょう。ということになるのでしょうね...

これから中国も人口減少、地方の過疎化が生じ、地域間の経済格差の拡大というのもありえるので、内政で検討すべきことが増えてくるのかもしれません...そうなった時に中国共産党の政策がより権威主義的な方向にいくかもしれません。もしそうなった場合、欧州の価値観とどのように折り合いをつけていけるのか?ということが問題になってくるのかもしれません...

当面の話と、長い目というのは、意識しておくことが必要かもしれません...

 

European Parliament

・2024.12.16 China: Economic indicators and trade with EU

China: Economic indicators and trade with EU 中国:経済指標とEUとの貿易
This infographic provides insight into the economic performance of China compared with the European Union (EU) and examines the trade dynamics between them. In 2023, while China's GDP growth rate has returned to increase against the previous year, Europe's GDP growth rate continues to decline and stands at 0.6 percent. Both countries' inflation rates are down from the prior year, but Europe's rate remains at 6.3 percent while China's is at 0.2 percent. Over the last decade, trade between the EU and China has generally risen. Nevertheless, EU imports of goods from China saw a significant drop after 2022. The EU continues to be China's primary trade partner, while China ranks as the EU's second-largest partner. このインフォグラフィックは、欧州連合(EU)と比較した中国の経済実績に関する洞察を提供し、両者間の貿易の力学を検証する。2023年、中国のGDP成長率は前年に比べて増加に転じたが、ヨーロッパのGDP成長率は引き続き低下し、0.6%にとどまっている。両国のインフレ率は前年より低下したが、ヨーロッパの率は6.3パーセントで横ばい、中国は0.2パーセントであった。過去10年間、EUと中国の貿易は概ね増加している。しかし、EUの中国からの輸入は2022年以降大幅に減少した。EUは引き続き中国の主要な貿易相手国であり、中国はEUの第2位の貿易相手国である。

 

・[PDF]

20250104-123724 20250104-123733

 

 

| | Comments (0)

OECD 経済見通し 2024, 2025, 2026の見通し (2024.12.04)

こんにちは、丸山満彦です。

2024年の宿題シリーズはまだまだ続く...(^^;;

OECDが経済見通しを公表していますが、2024年については、G7では日本は唯一のマイナス成長(不況といわれているドイツでも0)、なかなか厳しい状況ですね...金利をいじったり、財政支出をしても、技術革新等に基づく新しい価値の創出、効率化によるリソースの解放とそのリソースをより効果的な領域に振り分けるようなことができていなければ、付加価値は増えないように思うんですよね...

日本が成長できないというのは、国民が(政治や、経済活動を含めて)付加価値を産めないようになっているということで、科学技術の振興、効果的な経営ができるようになることに継続的に力をいれることが重要なのですかね...(即効性はないけど...)

 

OECD

プレス...

・2024.12.04 Economic Outlook: Global growth to remain resilient in 2025 and 2026 despite significant risks

・2024.12.04 OECD Economic Outlook, Volume 2024 Issue 2

 

Real GDP growth projections for 2024, 2025 and 2026

20250103-205504

 

 

 

| | Comments (0)

米国 人工知能に関する超党派下院小委員会報告書 米国が責任あるAIイノベーションを継続的に世界に提供するための指針、将来を見据えた提言、政策提言 (2024.12.17)

こんにちは、丸山満彦です。

2024年の宿題シリーズはまだまだ続く...(^^;;

米国の下院の超党派のAI特別委員会が、AIの発展のために議会が何ができるかという報告書を公表していますね...

15の領域を検討し、課題と提言をまとめています...

また、附属書IIIには、これから検討しないといけない領域が記載されていますね...

そして、欧州ではAI法が制定されたこため、AIの定義が一意になりましたが、米国では、法律ごとにぶれが存在するので、これからまとめていかないといけないですよねと...(附属書VI)

273ページにも及ぶ報告書です...

検討領域は...

Government Use 政府による利用
Federal Preemption of State Law  州法に対する連邦法の優先 
Data Privacy  データ・プライバシー 
National Security  国家安全保障 
Research, Development, and Standards  研究、開発、標準 
Civil Rights and Civil Liberties  市民権および市民の自由 
Education and Workforce  教育および労働力
Intellectual Property  知的財産
Content Authenticity  コンテンツの真正性
Open and Closed Systems  オープンシステムおよびクローズドシステム
Energy Usage and Data Centers  エネルギー利用とデータセンター 
Small Business  中小企業 
Agriculture  農業 
Healthcare  ヘルスケア 
Financial Services  金融サービス 

 

今後の検討領域(附属書III)

1. Global Development and International Cooperation 1. グローバル開発と国際協力
2. Export Control Policy 2. 輸出管理ポリシー
3. Manufacturing, Supply Chain, and Industrial AI 3. 製造、サプライチェーン、産業AI
4. Antitrust and Competition Policy 4. 独占禁止と競争政策
5. Critical Infrastructure and Security 5. 重要インフラとセキュリティ
6. Environmental Impact of AI 6. AIの環境影響
7. Law Enforcement 7. 法執行機関
8. The Intelligence Community 8. インテリジェンス・コミュニティ
9. Transportation 9. 交通
10.Election Integrity 10. 選挙の完全性
11.State and Local Governments 11. 州および地方自治体
12.Biotechnology 12. バイオテクノロジー
13.Law and the Courts 13. 法律と裁判所
14.AI Adoption Across Sectors, including Entertainment, and Business to Business. 14. エンターテインメント、B to Bを含む各分野におけるAI導入。
15.Other Industries 15. その他の産業

 

日本がAIに対する政策を考える際にも参考になりますよね...

日本は独自に検討するのではなく、米国と共同検討というのもありかもですね...

 

連邦議会 下院 科学・宇宙・技術委員会...

House of Representative - Committee on Science, Space and Technologies

・2024.12.17 House Bipartisan Task Force on Artificial Intelligence Delivers Report

House Bipartisan Task Force on Artificial Intelligence Delivers Report 人工知能に関する下院超党派タスクフォースが報告書を提出
(Washington, DC) - Today, Speaker Mike Johnson and Democratic Leader Hakeem Jeffries received the comprehensive report and key findings produced by the bipartisan House Task Force on Artificial Intelligence. Developed in consultation with committees of jurisdiction, the report includes guiding principles and forward-looking recommendations that may be appropriate to advance America’s leadership in AI innovation responsibly. (ワシントンD.C.) - 本日、マイク・ジョンソン下院議長とヘキーム・ジェフリーズ民主党院内総務は、人工知能に関する下院超党派タスクフォースが作成した包括的な報告書と主な調査結果を受け取った。管轄委員会と協議して作成されたこの報告書には、AIイノベーションにおける米国のリーダーシップを責任を持って推進するために適切な指針と先見性のある提言が含まれている。
“Because advancements in artificial intelligence have the potential to rapidly transform our economy and national security, Leader Jeffries and I established the Bipartisan Task Force on Artificial Intelligence to ensure America continues leading in this strategic arena. Developing a bipartisan vision for AI adoption, innovation, and governance is no easy task, but a necessary one as we look to the future of AI and ensure Americans see real benefits from this technology,” said Speaker Mike Johnson. “Thanks to the leadership of the Task Force Co-Chairs Jay Obernolte and Ted Lieu and the hard work of all the Members involved, Congress has a better understanding of how to leverage the promises and navigate the complexities of this transformative technology.” 「人工知能の進歩は、経済や国家安全保障を急速に変える可能性があるため、ジェフリーズ議員と私は、アメリカがこの戦略的分野で引き続き主導権を握り続けることを確実にするため、超党派の人工知能タスクフォースを設立した。AIの採用、イノベーション、ガバナンスに関する超党派のビジョンを策定することは容易なことではないが、AIの未来を見据え、アメリカ国民がこのテクノロジーから真の利益を得られるようにするためには必要なことである」とマイク・ジョンソン議長は述べた。「タスクフォース共同議長のジェイ・オバーノルテ氏とテッド・リュー氏によるリーダーシップと、関係するすべての議員の努力のおかげで、議会は、この変革的なテクノロジーの複雑性を理解し、その可能性を最大限に活用する方法について、より深い理解を得ることができた」
“The development and safe adoption of artificial intelligence holds great promise to make a positive difference in the lives of the American people, and Congress has an important role in bringing these benefits to fruition. At the same time, we must ensure that appropriate guardrails are in place to prevent bad actors from exploiting this transformative technology,” said Democratic Leader Hakeem Jeffries. “The Members of the Bipartisan Task Force on Artificial Intelligence worked hard over the past year developing a report that is serious, sober and substantive in nature. I’m encouraged by the completion of the report and hopeful it will be instructive for enlightened legislative action moving forward. I’m thankful for the partnership of Speaker Johnson, the leadership of Reps. Ted Lieu and Jay Obernolte and the entire Task Force for coming together to produce a bipartisan path forward.” 「人工知能の開発と安全な導入は、米国国民の生活にポジティブな変化をもたらす大きな可能性を秘めており、議会にはこれらの利益を実現させる上で重要な役割がある。同時に、この変革的なテクノロジーを悪用する者たちを阻止するための適切なガードレールを設置しなければならない」と、民主党院内総務のヘキーム・ジェフリーズ氏は述べた。「人工知能に関する超党派タスクフォースのメンバーは、この1年、真剣かつ冷静に、本質的な内容の報告書を作成するために努力を重ねてきた。この報告書の完成に勇気づけられ、今後、賢明な立法措置を講じる上で参考になることを期待している。ジョンソン議長、テッド・リュー下院議員、ジェイ・オバーノルテ下院議員のリーダーシップ、そしてタスクフォース全体が協力し、超党派の進むべき道筋を示してくれたことに感謝している」
“It has been my honor to lead the House AI Task Force in producing this detailed, forward-thinking, and bipartisan report.  It is our hope that this report will inform the Congress and the American people on the advantages, complexities, and risks of artificial intelligence,” said Chairman Jay Obernolte (R-Ca.). “The report details a roadmap for Congress to follow to both safeguard consumers and foster continued U.S. investment and innovation in AI. I’d like to thank Co-Chair Lieu, Speaker Johnson, Leader Jeffries, and all of our AI Task Force members for their hard work this year. I am confident that this report will be an essential tool for crafting AI policy that protects Americans, spurs innovation, and secures American leadership in this revolutionary technology.” 「この詳細かつ先見性のある超党派の報告書を作成するにあたり、下院AIタスクフォースを率いることができたことは私の名誉である。この報告書が、人工知能の利点、複雑性、リスクについて、連邦議会および米国国民に情報を提供することを願っている」と、ジェイ・オバーノルテ下院議員(共和党、カリフォルニア州選出)は述べた。「この報告書は、消費者を守り、米国のAIへの継続的な投資とイノベーションを促進するために議会が従うべきロードマップを詳細に説明しています。共同議長のLieu氏、議長のJohnson氏、院内総務のJeffries氏、そしてAIタスクフォースのメンバー全員に、今年1年間の努力に感謝したいと思います。この報告書が、米国国民を保護し、イノベーションを促進し、この革命的な技術における米国のリーダーシップを確保するAI政策の策定に不可欠なツールとなることを確信しています。」
“The bipartisan House AI Task Force report provides a foundation both to ensure that America leads in AI innovation and to ensure that we have appropriate guardrails to protect Americans. This substantive report is the result of conversations with experts, extensive research, and analysis among Task Force members and will hopefully serve as a starting point to tackle pressing issues involving artificial intelligence. Collaborating across party lines to find consensus is not easy, and that is especially true for something as far-reaching and complex as AI,” said Co-Chair Ted Lieu (D-Ca.). “Despite the wide spectrum of political views of Members on our Task Force, we created a report that reflects our shared vision for a future where we protect people and champion American innovation. We have made our best efforts based on the information we have, but with the rapid pace of change in both AI software and hardware, we are fully aware that we don’t know what we don’t know. This initial report is only the first step. I am grateful to work alongside my friend, Jay Obernolte, on this important effort and for the trust that Speaker Johnson and Leader Jeffries put in our Task Force. I also want to recognize all the tremendous staff work that went into running the Task Force and creating our report.” 「超党派の連邦議会人工知能タスクフォースによるこの報告書は、アメリカがAIイノベーションをリードし、アメリカ国民を防御するための適切なガードレールを確保するための基盤となる。この充実した報告書は、専門家との対話、広範な調査、タスクフォースメンバーによる分析の結果であり、人工知能に関する喫緊の課題に取り組む出発点となることを期待している。党派を超えて協力し、コンセンサスを見出すのは容易なことではなく、AIのような広範囲かつ複雑な問題については特にその傾向が強い。」と、共同議長のテッド・リュー下院議員(民主党、カリフォルニア州選出)は述べた。「私たちのタスクフォースのメンバーの政治的見解は多岐にわたるが、私たちは、人々を防御し、アメリカのイノベーションを推進する未来に向けた私たちの共通のビジョンを反映した報告書を作成した。我々は、入手可能な情報に基づいて最善を尽くしたが、AIのソフトウェアとハードウェアの両方で変化のペースが速いため、我々は「我々が知らないこと」を我々が知らないことを十分に認識している。この最初の報告書は、あくまで第一歩である。私は、この重要な取り組みにおいて友人であるジェイ・オバーノルテ氏と共に活動できたことに感謝している。また、ジョンソン議長とジェフリーズ院内総務が我々のタスクフォースに信頼を置いてくれたことに感謝している。また、タスクフォースの運営と報告書の作成に尽力したスタッフの多大な貢献にも感謝したい。
Read the full report and key findings here. 報告書全文と主な調査結果はこちら。
Background 背景
In February, Speaker Mike Johnson and Democratic Leader Hakeem Jeffries announced the establishment of a bipartisan Task Force on Artificial Intelligence (AI) to explore how Congress can ensure America continues to lead the world in AI innovation while considering guardrails that may be appropriate to safeguard the nation against current and emerging threats. 2月、マイク・ジョンソン下院議長とヘキーム・ジェフリーズ民主党院内総務は、米国がAIイノベーションで世界をリードし続けるために議会がどのような役割を果たせるかを検討する超党派の「人工知能(AI)に関するタスクフォース」の設立を発表した。同時に、現在および将来の脅威から国家を保護するために適切なガードレールを検討することも目的としている。
Speaker Johnson and Leader Jeffries each appointed twelve members to the Task Force that represent key committees of jurisdiction and has been jointly led by Chairman Jay Obernolte (R-Ca.) and Co-Chair Ted Lieu (D-Ca.). ジョンソン議長とジェフリーズ院内総務は、それぞれ管轄の主要委員会を代表する12名のメンバーをタスクフォースに任命し、ジェイ・オバーノルテ下院議員(共和党、カリフォルニア州選出)とテッド・リュー下院議員(民主党、カリフォルニア州選出)が共同でタスクフォースを主導している。

 

民主党のジェフリーズ議員のウェブページ

 Jay Obernolte

The House Task Force on Artificial Intelligence Final Report

The House Task Force on Artificial Intelligence Final Report 人工知能に関する下院特別委員会の最終報告書
The Speaker’s AI Task Force was chartered to explore how Congress can ensure America continues to lead the world in AI innovation while considering guardrails that may be appropriate to safeguard the nation against current and emerging threats. 議長のAI特別委員会は、現在および将来の脅威から国家を保護するために適切なガードレールを検討しながら、米国がAIイノベーションで世界をリードし続けるために議会がどのような役割を果たせるかを調査することを目的として設立された。
Speaker Johnson and Leader Jeffries each appointed twelve members to the Task Force that represent key committees of jurisdiction and was jointly led by Chairman Jay Obernolte (CA-23) and Co-Chair Ted Lieu (CA-36). The Task Force was tasked specifically to produce a comprehensive report including guiding principles, forward-looking recommendations and bipartisan policy proposals developed in consultation with committees of jurisdiction. ジョンソン下院議長とジェフリーズ院内総務は、それぞれ管轄の主要委員会の代表者12名をタスクフォースに任命し、ジェイ・オバーノルテ下院議員(カリフォルニア州第23区)とテッド・リュー下院議員(カリフォルニア州第36区)が共同でタスクフォースを率いた。タスクフォースは、管轄委員会と協議して作成した指針、将来を見据えた提言、超党派の政策提案を含む包括的な報告書の作成を特に任務としていた。
The Task Force final report offers key principles, findings, and proposals on AI, examining impacts on education, health care, and intellectual property, among several other major policy areas. The report is the product of nearly 10 months of work by the bipartisan Task Force, which included consulting with a broad swath of government, industry, and civil society officials in more than a dozen hearings and roundtable discussions. タスクフォースの最終報告書では、AIに関する主要原則、調査結果、提案が提示されており、教育、ヘルスケア、知的財産権など、いくつかの主要政策分野における影響が検証されている。この報告書は、超党派のタスクフォースが10か月近くにわたって取り組んだ成果であり、12回以上の公聴会や円卓会議において、政府、産業界、市民社会の広範な関係者と協議を行った。

 

 

・[PDF]

20250102-211812

 

目次的...

Letter to Speaker Johnson and Democratic Leader Jeffries  ジョンソン下院議長およびジェフリーズ民主党院内総務宛て書簡
About the Bipartisan House AI Task Force in the 118th Congress  第118議会における超党派下院人工知能タスクフォースについて 
Leading AI Progress: Policy Insights and a U.S. Vision for AI Adoption, Responsible Innovation, and Governance  AIの進歩をリードする:AIの導入、責任あるイノベーション、ガバナンスに関する政策洞察と米国のビジョン 
Philosophy and Principles  哲学と原則 
Overview of Findings and Recommendations  調査結果と提言の概要 
Government Use 政府による利用
Federal Preemption of State Law  州法に対する連邦法の優先 
Data Privacy  データ・プライバシー 
National Security  国家安全保障 
Research, Development, and Standards  研究、開発、標準 
Civil Rights and Civil Liberties  市民権および市民の自由 
Education and Workforce  教育および労働力
Intellectual Property  知的財産
Content Authenticity  コンテンツの真正性
Open and Closed Systems  オープンシステムおよびクローズドシステム
Energy Usage and Data Centers  エネルギー利用とデータセンター 
Small Business  中小企業 
Agriculture  農業 
Healthcare  ヘルスケア 
Financial Services  金融サービス 
Appendix I: AI Task Force Members  附属書 I:AI タスクフォースのメンバー 
Appendix II: AI Task Force Events  附属書 II:AI タスクフォースのイベント 
Appendix III: Key Government Policies  附属書 III:主要な政府政策 
Appendix IV: Areas for Future Exploration 附属書 IV:今後の検討分野
Appendix V: Overview of AI Technology  附属書 V:AI テクノロジーの概要 
Appendix VI: Definitional Challenges of AI  附属書 VI:AI の定義上の課題 
Acknowledgments  謝辞 

 

ジョンソン議長およびジェフリーズ民主党院内総務宛て書簡

Letter to Speaker Johnson and Democratic Leader Jeffries  ジョンソン議長およびジェフリーズ民主党院内総務宛て書簡 
Dear Speaker Johnson and Leader Jeffries:  ジョンソン議長およびジェフリーズ院内総務: 
We, the Co-Chairs of the Bipartisan Artificial Intelligence Task Force, submit to you our key findings in this report.  超党派人工知能タスクフォースの共同議長を務める私たちは、本報告書における主な調査結果をここに提出する。
Although artificial intelligence (AI) is not a new concept, breathtaking technological advancements in the last few years have made AI the focus of numerous policy discussions. AI has tremendous potential to transform society and our economy for the better and address complex national challenges. From optimizing manufacturing to developing cures for grave illnesses, AI can greatly boost productivity, enabling us to achieve our objectives more quickly and cost-effectively. Nevertheless, we also recognize that AI can be misused and lead to various types of harm.  人工知能(AI)は新しい概念ではないが、ここ数年の目覚ましい技術的進歩により、AIは数多くの政策議論の焦点となっている。AIは、社会や経済をより良いものに変え、複雑な国家的な課題に対処する大きな可能性を秘めている。製造事業者の最適化から深刻な病気の治療法の開発まで、AIは生産性を大幅に向上させ、より迅速かつ費用対効果の高い方法で目標を達成することを可能にする。しかし、AIが誤用され、さまざまな種類の被害につながる可能性があることも認識している。 
This report highlights America's leadership in its approach to responsible AI innovation while considering guardrails that may be appropriate to safeguard the nation against current and emerging threats. You charged twenty-four members, twelve Republicans and twelve Democrats, with developing a U.S. vision for AI adoption, innovation, and governance. The AI Task Force gathered information on salient AI issues from domain experts in industry, government, civil society, and academia to provide 66 key findings 85 recommendations. In summary, this report encapsulates a targeted approach that balances the need to promote vibrant AI innovation while safeguarding Americans from potential harms as we enter an era of widespread adoption of AI.  本報告書では、責任あるAIイノベーションへのアプローチにおける米国のリーダーシップを強調しながら、現在および将来の脅威から国家を保護するために適切なガードレールを検討している。貴殿は、共和党と民主党から12名ずつ、計24名のメンバーを任命し、AIの導入、イノベーション、ガバナンスに関する米国のビジョン策定を委ねた。AIタスクフォースは、産業界、政府、市民社会、学術界の各分野の専門家からAIに関する重要な問題に関する情報を収集し、66の主要な調査結果と85の提言をまとめた。要約すると、この報告書は、AIの普及が進む時代を迎えるにあたり、活気あるAIイノベーションを推進する必要性と、アメリカ国民を潜在的な被害から守る必要性のバランスを取ることを目的としたアプローチを要約したものである。
We thank you for establishing the AI Task Force and are eager for this report to inform future congressional policymaking.  AIタスクフォースを設立していただき感謝するとともに、この報告書が今後の議会での政策立案に役立つことを期待している。 

 

第118議会における超党派下院AIタスクフォースについて

About the Bipartisan House AI Task Force in the 118th Congress  第118議会における超党派下院AIタスクフォースについて
The bipartisan AI Task Force was created by Speaker Johnson and Democratic Leader Jeffries on February 20, 2024. The AI Task Force is led by co-chairs Jay Obernolte (RCA) and Ted Lieu (D-CA) and comprises twenty-four members, twelve Republicans and twelve Democrats. The AI Task Force members are drawn from twenty committees to ensure comprehensive jurisdictional responsibilities over the numerous AI issues that we addressed and to benefit from a range of different insights and perspectives.  超党派AIタスクフォースは、ジョンソン議長とジェフリーズ民主党院内総務により2024年2月20日に設立された。AIタスクフォースは、ジェイ・オバーノルテ(共和党、RCA)とテッド・リュー(民主党、CA-D)の両共同議長が率い、共和党議員12名、民主党議員12名の計24名で構成されている。AIタスクフォースのメンバーは、20の委員会から選出されており、私たちが取り組む数多くのAI問題について包括的な管轄責任を確保し、さまざまな異なる洞察や視点から利益を得ることを目的としている。 
A full list of Task Force members and the committees they represent is included in Appendix I.  タスクフォースのメンバーと、彼らが代表する委員会の全リストは、附属書Iに記載されている。 
Throughout 2024, the AI Task Force convened to investigate dozens of issues at the heart of how AI intersects with numerous policy areas. The AI Task Force held multiple hearings and numerous roundtables and engaged with over one hundred experts, including business leaders, government officials, technical experts, academics, legal scholars, and other domain specialists. These experts generously offered their insights, suggestions, and comments spanning a range of viewpoints.  2024年を通して、AIタスクフォースは、AIが多数の政策分野と交差する核心となる数十の問題を調査するために招集された。AIタスクフォースは、複数の公聴会と多数の円卓会議を開催し、ビジネスリーダー、政府関係者、技術専門家、学者、法律学者、その他の専門分野の専門家など、100人以上の専門家と協議した。これらの専門家は、幅広い視点にわたる洞察、提案、コメントを惜しみなく提供した。 
This approach allowed each issue to be comprehensively explored from various perspectives. A multifaceted approach to policy analysis will better prepare the decisionmakers who address the complex AI challenges that confront our nation and will continue to affect public policy.  このアプローチにより、各問題をさまざまな視点から総合的に検討することが可能となった。政策分析に対する多面的なアプローチは、わが国が直面し、今後も公共政策に影響を与え続ける複雑なAIの課題に取り組む意思決定者をより良く準備させることになるだろう。
A full list of experts and a list of the events the Task Force convened is included in Appendix II.  専門家一覧およびタスクフォースが開催したイベントの一覧は、附属書IIに記載されている。 

 

 

AIの進歩をリードする:AI導入、責任あるイノベーション、ガバナンスに関する政策洞察と米国のビジョン

Leading AI Progress: Policy Insights and a U.S. Vision for AI Adoption, Responsible Innovation, and Governance  AIの進歩をリードする:AI導入、責任あるイノベーション、ガバナンスに関する政策洞察と米国のビジョン
The United States is the global leader in Artificial Intelligence, a transformative technology that also comes with risks that must be addressed responsibly. To ensure the economic and national security benefits accrue in the United States and the technology is developed and deployed responsibly here and across the world, the United States must take active steps to safeguard our current leadership position. Developed and deployed responsibly, AI has the potential to help improve Americans’ quality of life, health, jobs, security, and economic prosperity for decades to come.  米国は、人工知能(AI)の分野における世界のリーダーである。AIは、変革をもたらす技術であると同時に、責任を持って対処すべきリスクも伴う。米国が経済的および国家的な安全保障上の利益を確実に享受し、この技術が米国および世界中で責任を持って開発・展開されるようにするためには、米国は現在のリーダーとしての立場を保護するための積極的な措置を取らなければならない。責任を持って開発・展開されたAIは、今後数十年にわたって米国人の生活の質、健康、雇用、安全、経済的繁栄の改善に役立つ可能性がある。 
The United States leads the world in AI research, the number of AI companies, private sector AI investment, and industry adoption of AI. This overwhelming national advantage derives from two of our longstanding strengths: we have cultivated a thriving innovation ecosystem and a flexible sectoral regulatory framework. If maintained, these strengths will help our country remain the world’s undisputed leader in the responsible design, development, and deployment of AI.  米国は、AI研究、AI企業数、民間部門のAI投資、AIの産業導入において世界をリードしている。この圧倒的な国としての優位性は、米国の長年にわたる強みである2つの要素、すなわち、活気のあるイノベーションのエコシステムと柔軟な部門別規制枠組みを培ってきたことによるものである。これらの強みを維持できれば、AIの責任ある設計、開発、展開において、米国が世界で揺るぎないリーダーであり続けることができるだろう。
The collective experiences and insights of the bipartisan House AI Task Force are encapsulated in this report. During the second session of the 118th Congress, the Task Force engaged with over one hundred experts on dozens of salient AI issues. We consulted with business leaders, government officials, technical experts, academics, and legal scholars, all of whom offered their insights, suggestions, and comments on the varied and complex AI challenges confronting our nation.  超党派の連邦議会人工知能タスクフォースの経験と洞察の集大成が、この報告書にまとめられている。第118議会第2会期中に、タスクフォースは100人以上の専門家と、多数の顕著なAI問題について協議した。ビジネスリーダー、政府高官、技術専門家、学者、法律学者らと協議し、米国が直面する多様かつ複雑なAIの課題について、彼らの洞察、提案、意見を聞いた。
This report articulates guiding principles, 66 key findings, and 89 recommendations, organized into 15 chapters. It is intended to serve as a blueprint for future actions that Congress can take to address advances in AI technologies. The Task Force members feel strongly that Congress must develop and maintain a thoughtful long-term vision for AI in our society. This vision should serve as a guide to the many priorities, legislative initiatives, and national strategies we undertake in the years ahead.  本報告書では、15章にわたって、指針となる原則、66の主要な調査結果、89の提言を明確に述べている。これは、AI技術の進歩に対応するために連邦議会がとることのできる今後の行動の青写真となることを目的としている。タスクフォースのメンバーは、連邦議会が社会におけるAIについて、熟慮された長期的なビジョンを策定し、維持しなければならないと強く感じている。このビジョンは、今後数年間で着手する多くの優先事項、立法イニシアティブ、国家戦略の指針となるべきである。 
In considering new policies, Congress should adopt an agile approach that allows us to respond appropriately and in a targeted, achievable manner that benefits from all available evidence and insights. Supporting this agile paradigm requires continual learning and adaptation. Congress should regularly evaluate the effectiveness of its policies and update them as AI technologies and their impacts evolve. If we follow this approach and take strategic action while encouraging innovation, we can lead in AI development and drive a global vision for AI public policy.  新たな政策を検討するにあたり、議会は、あらゆる入手可能な証拠や洞察を活用し、適切かつ的を絞った達成可能な方法で対応できる機敏なアプローチを採用すべきである。この機敏なパラダイムを支えるには、継続的な学習と適応が必要である。議会は、AI技術とその影響が進化するにつれ、政策の有効性を定期的に評価し、更新すべきである。このアプローチに従い、イノベーションを奨励しながら戦略的な行動を取れば、AI開発を主導し、AI公共政策のグローバルなビジョンを推進することができる。
This report is certainly not the final word on AI issues for Congress. Instead, it should be viewed as a tool for identifying and evaluating AI policy proposals. Given the breadth of AI policy opportunities and challenges, the report also includes a list of areas for future exploration.  本報告書は、議会にとってのAI問題に関する最終的な結論というわけではない。むしろ、AI政策の提案を識別し評価するためのツールとして捉えるべきである。AI政策の機会と課題の広範性を踏まえ、本報告書では、今後の検討対象となる分野の一覧も提示している。
Philosophy and Principles  哲学と原則
In addition to evaluating specific AI issues, the Task Force adopted several high-level principles to frame this policy analysis. These principles represent high-level policy considerations that transcend specific AI issues and can help guide future congressional efforts. The principles we established are:  特定のAI問題の評価に加え、タスクフォースは、本政策分析の枠組みとして、いくつかの高レベルの原則を採択した。これらの原則は、特定のAI問題を超越した高レベルの政策検討事項を代表するものであり、今後の議会での取り組みの指針となる可能性がある。 私たちが定めた原則は以下の通りである。
• Identify AI Issue Novelty  • AI問題の新規性の識別
• Promote AI Innovation  • AIイノベーションの推進
• Protect Against AI Risks and Harms  • AIのリスクと悪影響からの保護
• Empower Government with AI  • AIによる政府の強化 
• Affirm the use of a Sectoral Regulatory Structure  • セクター別規制構造の利用を承認する 
• Take an Incremental Approach  • 漸進的なアプローチの採用
• Keep Humans at the Center of AI Policy  • 人間をAI政策の中心に据える
Principle: Identify AI Issue Novelty  原則:AI問題の新規性の識別
Policymakers can avoid duplicative mandates if they consider whether issues raised by AI are truly novel and without precedent or if existing laws and regulations already address the underlying concern. For each AI issue investigated, the novelty of the issue should be identified to understand whether the issue is:  政策立案者は、AIによって提起された問題が本当に新規で前例のないものなのか、あるいは既存の法律や規制がすでに根本的な懸念に対処しているのかを考慮すれば、重複する義務を回避することができる。調査された各AI問題について、その新規性を識別し、その問題が以下に該当するかを理解すべきである。
• Truly new for AI due to capabilities that did not previously exist. When an AI issue has emerged recently due to the nature of available AI technology, this suggests that we need to more thoroughly consider how well existing regulatory regimes address that issue.  • 以前には存在しなかった機能により、AIにとって真に新しいもの。利用可能なAI技術の性質により、AIの問題が最近になって浮上している場合、既存の規制体制がその問題にどの程度対応できているかをより徹底的に検討する必要があることを示唆している。
• An existing issue that’s nature has been changed significantly by AI. If AI is exacerbating an existing issue, this suggests that the issue merits consideration but is in concert with the existing policy paradigm. Existing approaches to the issue might be appropriate, but new approaches may also be. Existing regimes may also not be designed to address evolving technologies. Congress should strive to modernize laws and regulations to ensure they are sufficiently technology-neutral in application and enforcement.  • 既存の問題で、その性質がAIによって大幅に変化したもの。AIが既存の問題を悪化させている場合、その問題は検討に値するが、既存の政策パラダイムに沿ったものであることを示唆している。その問題に対する既存のアプローチは適切かもしれないが、新しいアプローチもまた適切かもしれない。既存の体制は、進化するテクノロジーに対応するように設計されていない可能性もある。議会は、法律や規制を近代化し、その適用や施行において十分にテクノロジー中立性を確保するよう努めるべきである。
• An existing issue that has not been significantly changed by contemporary AI capabilities. If AI is just one of many ways of accomplishing an old purpose with substantially the same effect, then this suggests that existing laws, regulations, and regulatory bodies are perhaps best positioned to assess and address that issue.  • 現代のAI能力によっても大幅な変化が見られない既存の問題。AIが、実質的に同じ効果をもたらす古い目的を達成する多くの方法のうちの1つにすぎない場合、その問題をアセスメントし対処するには、既存の法律、規制、規制団体が最適である可能性がある。
Principle: Promote AI Innovation  原則:AIイノベーションの推進  
As the global leader in AI development and deployment, the United States is best positioned to responsibly enable the potential of this transformative technology for all. To maintain this leadership and enable the U.S. economy to harness the full benefits of AI, policymakers should continue to promote AI innovation.  AIの開発と展開における世界のリーダーである米国は、この変革的な技術の潜在能力をすべての人々が責任を持って活用できるようにする上で、最も適した立場にある。このリーダーシップを維持し、米国経済がAIの恩恵を最大限に活用できるようにするため、政策立案者はAIのイノベーションを推進し続けるべきである。
Principle: Protect Against AI Risks and Harms  原則:AIのリスクと悪影響からの保護  
We have an obligation to protect Americans from both accidental and malicious uses of AI. Meaningful AI governance will require a combination of technical and policy solutions that seek to understand, identify, and mitigate the potential risks and harms from the development and deployment of AI systems. A thoughtful, risk-based approach to AI governance can promote innovation rather than stifle it.  我々は、AIの偶発的および悪意のある使用から米国国民を守る義務がある。AIシステムの展開と展開から生じる潜在的なリスクと被害を理解、識別、緩和することを目指す技術的および政策的ソリューションの組み合わせが、有意義なAIガバナンスには必要である。AIガバナンスに対する慎重かつリスクベースのアプローチは、イノベーションを抑制するのではなく、促進することができる。  
Moreover, for every problem that AI creates, AI can be a candidate for helping to remediate or solve that problem. While technological solutions are not always possible, their use in AI policy should be borne in mind as policy is developed. This is especially important as AI technology continues to evolve rapidly, potentially presenting new issues more frequently than in past technological revolutions.  さらに、AIが引き起こす問題のすべてにおいて、AIは、その問題の改善や解決を支援する候補となり得る。技術的解決策が常に可能であるとは限らないが、AI政策におけるその利用は、政策が策定される際に念頭に置かれるべきである。AI技術が急速に進化し続けているため、過去の技術革命よりも頻繁に新たな問題が生じる可能性があるため、これは特に重要である。
Principle: Government Leadership in Responsible Use  原則:責任ある利用における政府のリーダーシップ 
Trust is a necessary component for the widespread adoption of AI by the public and private sectors in the United States. The federal government should foster that trust by adopting responsible principles and policies that capture the benefits of AI while addressing its risks and leading by example. Powering government services with AI is also necessary, given their prominent role in our economy. We must ensure that Congress, federal agencies, courts, and other government entities utilize AI to improve their services, speed, efficiency, and quality  米国の官民セクターによるAIの広範な導入には、信頼が不可欠である。連邦政府は、AIのメリットを活かしつつ、そのリスクに対処し、模範を示す責任ある原則と政策を採用することで、その信頼を醸成すべきである。AIが経済において重要な役割を果たしていることを踏まえ、政府サービスにAIを活用することも必要である。議会、連邦政府機関、裁判所、その他の政府事業体がAIを活用し、サービス、スピード、効率性、品質を改善することを確保しなければならない 
Principle: Support Sector-Specific Policies  原則:分野別政策の支援
For an agile and focused approach to AI policy, sector-specific regulators within federal agencies and other parts of government should use their existing authority to respond to AI use within their individual domains of expertise and the context of the AI’s use. This would enable more informed and efficient engagement between federal agencies and entities utilizing AI. Agency expertise should remain focused on where it can be most effective.  AI政策への機敏かつ焦点を絞ったアプローチのため、連邦政府機関内の分野別規制当局および政府のその他の部門は、それぞれの専門領域およびAIの使用状況に応じて、既存の権限を活用してAIの使用に対応すべきである。これにより、連邦政府機関とAIを利用する事業体との間で、より情報に基づいた効率的な関与が可能になる。当局の専門性は、最も効果を発揮できる分野に集中すべきである。
Sector-specific regulators would also benefit from drawing upon a federal repository of AI resources. Examples of these resources include AI expertise, AI-ready data, computing hardware, technical resources, and evaluations that allow AI risks to be assessed safely. Additionally, coordination among federal agencies through interagency structures could improve access to such resources. Improved access and coordination could empower agencies with AI skills and allow them to share lessons learned while ensuring they continue to specialize in what they do best.  また、各分野の規制当局も、AIリソースの連邦政府リポジトリを活用することで恩恵を受けるだろう。こうしたリソースの例としては、AIの専門知識、AI対応データ、コンピューティングハードウェア、技術リソース、AIリスクを安全にアセスメントできるアセスメントなどが挙げられる。さらに、省庁間構造を通じて連邦政府機関間の調整を図ることで、こうしたリソースへのアクセスを改善できる可能性がある。アクセスと調整の改善により、AIのスキルを備えた機関が強化され、得られた教訓を共有しながら、各機関が得意分野に特化し続けることが可能になるだろう。
Principle: Take an Incremental Approach  原則:漸進的なアプローチの採用
AI is a rapidly evolving technology. It is unreasonable to expect Congress to enact legislation this year that could serve as its last word on AI policy. To use AI technology properly requires a carefully designed, durable policy framework. In this report, we propose a number of recommendations to begin to build this framework with the understanding that as AI capabilities continue to advance, we must remain humble and acknowledge we do not know what we do not know. Policy will likely need to adapt and evolve in tandem with advances in AI. Congress must remain vigilant and flexible in how it addresses AI in the years to come.  AIは急速に進化するテクノロジーである。AI政策に関する最終的な決定となる可能性のある法案を今年中に議会が制定することを期待するのは無理がある。AIテクノロジーを適切に利用するには、慎重に設計された堅牢な政策枠組みが必要である。本報告書では、この枠組みの構築に着手するためのいくつかの提言を提案する。AIの能力がさらに進歩を続ける中、我々は謙虚であり続け、自分たちが知らないことはわからないということを認識しなければならない。政策は、AIの進歩に合わせて適応し、進化する必要があるだろう。議会は、今後数年間、AIへの対応において警戒を怠らず、柔軟性を維持しなければならない。
Principle: Keep Humans at the Center of AI Policy  原則:AI政策の中心に人間を据える 
AI systems reflect the principles of the people who design them and require human input to train them. The United States will also need to attract, train, and retain the talent to remain competitive in this technology. Further, the automation that AI brings will have some labor market effects. As policymakers consider laws and regulations focused on AI development and governance, they should focus on human impact and human freedom.  AIシステムは、それを設計する人々の原則を反映し、それらを訓練するには人間のインプットが必要である。米国もまた、このテクノロジーにおける競争力を維持するために、人材を惹きつけ、訓練し、確保する必要がある。さらに、AIがもたらす自動化は労働市場に何らかの影響を与えるだろう。政策立案者がAIの開発とガバナンスに焦点を当てた法律や規制を検討する際には、人間への影響と人間の自由を重視すべきである。

 

人工知能に関する超党派下院タスクフォース:提言の概要

Bipartisan House Task Force on Artificial Intelligence: Overview of Recommendations  人工知能に関する超党派下院タスクフォース:提言の概要
Government Use  政府による利用
Federal agencies have already begun leveraging AI to empower existing agency missions and streamline programs. While use cases vary in application and maturity, the benefits of responsible government use of AI are potentially transformative. However, irresponsible or improper use fosters risks to individual privacy, security, and the fair and equal treatment of all citizens by their government.  連邦政府機関はすでに、既存の政府機関の任務を強化し、プログラムを合理化するためにAIを活用し始めている。利用事例は用途や成熟度によって異なるが、政府によるAIの責任ある利用は、潜在的に変革をもたらすものである。しかし、無責任な、あるいは不適切な利用は、個人のプライバシー、セキュリティ、および政府によるすべての国民に対する公平かつ平等な処遇に対するリスクを助長する。
Key Findings  主な調査結果
• The federal government should utilize core principles and avoid conflicting with existing laws.  • 連邦政府は、基本原則を活用し、既存の法律と矛盾しないようにすべきである。 
• The federal government should be wary of algorithm-informed decision-making.  • 連邦政府は、アルゴリズムに基づく意思決定に注意を払うべきである。 
• The federal government should provide notification of AI’s role in governmental functions.  • 連邦政府は、政府機能におけるAIの役割について通知を行うべきである。 
• Agencies should pay attention to the foundations of AI systems.  • 政府機関は、AIシステムの基盤に注意を払うべきである。 
• Roles and associated AI knowledge and skills are unclear and highly varied across the federal workforce.  • 連邦政府職員の間で、AIに関する役割や関連知識・スキルが不明確であり、大きく異なっている。
• Skills-based hiring is critical for filling the demand for AI talent in the federal workforce.  • 連邦政府職員のAI人材に対する需要を満たすには、スキルに基づく採用が不可欠である。
Recommendations  提言
• Take an information and systems-level approach to the use of AI in the federal government.  • 連邦政府におけるAIの利用には、情報およびシステムレベルのアプローチを取る。
• Support flexible governance.  • 柔軟なガバナンスを支援する。
• Reduce administrative burden and bureaucracy using AI.  • AIを活用して管理上の負担と官僚主義を軽減する。
• Require that agencies provide notification of AI’s role in governmental functions.  • 政府機能におけるAIの役割について、各機関が通知を行うことを義務付ける。
• Facilitate and adopt AI standards for federal government use.  • 連邦政府での利用に向けたAI標準の促進と採用 
• Support NIST in developing guidelines for federal AI systems.  • 連邦AIシステムのためのガイドライン開発におけるNISTの支援 
• Improve cybersecurity of federal systems, including federal AI systems.  • 連邦AIシステムを含む連邦システムのサイバーセキュリティの改善 
• Encourage data governance strategies that support AI development.  • AI開発を支援するデータガバナンス戦略の奨励 
• Congress and the government must understand the federal government’s AI workforce needs.  • 連邦議会と政府は、連邦政府のAI人材ニーズを理解しなければならない。 
• Support different pathways into federal service for AI talent.  • AI人材の連邦政府への参入経路の多様化を支援する。 
Federal Preemption of State Law  州法に対する連邦法の優先 
Preemption of state AI laws by federal legislation is a tool that Congress could use to accomplish various objectives. However, federal preemption presents complex legal and policy issues that should be considered.  連邦法による州のAI法の優先権は、議会がさまざまな目的を達成するために利用できる手段である。しかし、連邦政府の優先権には、考慮すべき複雑な法的および政策上の問題がある。 
Key Findings  主な調査結果 
• Federal preemption of state law on AI issues is complex.  • 州のAI問題に関する連邦政府の優先権は複雑である。 
• Federal preemption has benefits and drawbacks.  • 連邦政府の優先権には利点と欠点がある。 
• Preemption can allow state action subject to floors or ceilings.  • 優先権は、州の行動に最低基準または最高基準を課すことを可能にする。
• Preemption can be multifaceted.  • 優先権は多面的な側面を持つ可能性がある。
• Definitions must be fit for purpose.  • 定義は目的に適合したものでなければならない。
Recommendations  提言
• Study applicable AI regulations across sectors.  • さまざまな分野における適用可能なAI規制を調査する。
Data Privacy  データ・プライバシー
As AI systems amass and analyze vast amounts of data, there are increasing risks of private information being accessed without authorization. Thoughtful and effective data privacy policies and protections will support consumer confidence in the responsible development and deployment of AI systems.  AIシステムが膨大なデータを収集・分析するにつれ、個人情報が認可なくアクセスされるリスクが高まっている。 思慮深く効果的なデータ・プライバシー政策および防御策は、AIシステムの責任ある開発および展開に対する消費者の信頼を支えることになる。
Key Findings  主な調査結果 
• AI has the potential to exacerbate privacy harms.  • AIはプライバシー侵害を悪化させる可能性がある。
• Americans have limited recourse for many privacy harms.  • 米国人は多くのプライバシー侵害に対して限られた救済手段しか持っていない。
• Federal privacy laws could potentially augment state laws.  • 連邦プライバシー法は州法を強化する可能性がある。
Recommendations  提言
• Explore mechanisms to promote access to data in privacy-enhanced ways.  • プライバシーを向上させる方法でデータへのアクセスを促進する仕組みを検討する。
• Ensure privacy laws are generally applicable and technology-neutral.  • プライバシー法が一般的に適用可能で、かつ技術中立であることを保証する。
National Security  国家安全保障 
Like any major dual-use technology, AI has the potential to both bolster and undermine national security. This underscores its significance in U.S. defense strategy. Currently, the U.S. national security ecosystem is both using and developing AI, but a significant proportion of research and development related to AI is occurring outside of government activities.  他の主要なデュアルユース技術と同様に、AIは国家安全保障を強化する可能性と損なう可能性の両方を持っている。これは、米国の防衛戦略におけるAIの重要性を強調している。現在、米国の国家安全保障エコシステムはAIを利用し、開発しているが、AIに関連する研究開発の相当な割合は政府の活動外で行われている。
Key Findings  主な調査結果
• AI is a critical component of national security.  • AIは国家安全保障の重要な要素である。 
• U.S. adversaries are adopting and militarizing AI.  • 米国の敵対者はAIの採用と軍事利用を進めている。
• National security requires advanced cloud access and AI.  • 国家安全保障には高度なクラウドアクセスとAIが必要である。
• National security requires AI for contested environments.  • 国家安全保障には紛争環境におけるAIが必要である。
• AI can vastly improve DOD business processes.  • AIは国防総省のビジネスプロセスを大幅に改善できる。
Recommendations  提言
• Focus congressional oversight on AI activities for national security.  • 国家安全保障のためのAI活動に焦点を当てた議会監視を行う。
• Support expanded AI training at DOD.  • 国防総省におけるAIトレーニングの拡大を支援する。
• Continue oversight of autonomous weapons policies.  • 自律型兵器政策の監視を継続する。 
• Support international cooperation on AI used in military contexts.  • 軍事目的で使用されるAIに関する国際協力の支援。
Research, Development, & Standards  研究、開発、標準
The U.S. remains the leader in fundamental research and standards and consistently produces cutting-edge AI applications before other nations. To maintain U.S. leadership in global AI innovation and governance, Congress will need to continue federal R&D efforts, supporting AI evaluations, and bolstering U.S. standardization efforts for AI.  米国は基礎研究と標準化の分野で依然としてリーダーであり、常に他国に先駆けて最先端のAIアプリケーションを生み出している。米国がAIのグローバルなイノベーションとガバナンスにおけるリーダーシップを維持するためには、連邦議会は連邦政府による研究開発への取り組みを継続し、AIの評価を支援し、AIに関する米国の標準化への取り組みを強化する必要がある。
Key Findings  主な調査結果 
• Federal investments in fundamental research have enabled the current AI opportunity.  • 基礎研究に対する連邦政府の投資が、現在のAIの好機を可能にした。
• Continued AI research and evaluation will promote AI advancement.  • AIの研究と評価を継続することで、AIの進歩が促進される。
• Progress in AI R&D is closely linked to access to AI resources.  • AIの研究開発の進歩は、AIリソースへのアクセスと密接に関連している。
• A closed AI research ecosystem could limit U.S. competitiveness in AI.  • 閉鎖的なAI研究エコシステムは、米国のAIにおける競争力を制限する可能性がある。
• University AI R&D is necessary but must be paired with vibrant technology transfer activities.  • 大学のAI研究開発は必要であるが、活発な技術移転活動と組み合わせる必要がある。 
• Advancing the science around AI evaluation will help advance adoption.  • AI評価に関する科学の進歩は、AIの普及を促進する。 
• The U.S. is a global leader in standard setting but faces competitors.  • 米国は標準設定における世界のリーダーであるが、競合相手も存在する。 
Recommendations  提言
• Continually monitor and evaluate the impact of AI on different industries and the nation.  • さまざまな産業および国家に対するAIの影響を継続的に監視および評価する。 
• Support fundamental R&D for continued leadership in AI innovation.  • AIイノベーションにおける継続的なリーダーシップを確保するための基礎研究開発を支援する。 
• Increase technology transfer from university R&D to market.  • 大学での研究開発から市場への技術移転を促進する。
• Promote public-private partnerships for AI R&D.  • 人工知能の研究開発における官民連携を推進する。 
• Promote research and standardization surrounding the evaluation and testing of AI.  • 人工知能の評価とテストに関する研究と標準化を推進する。 
• Promote the development of infrastructure and data to enable AI research.  • 人工知能の研究を可能にするインフラとデータの開発を推進する。 
• Continue engagement in international standards development.  • 国際標準の開発への関与を継続する。 
• Uphold the U.S. approach to setting standards.  • 米国の標準設定のアプローチを支持する。 
• Align national AI strategy with broader U.S. technology strategy.  • 米国の人工知能戦略をより広範な米国の技術戦略と整合させる。
• Explore how to accelerate scientific discovery across disciplines with AI.  • 科学的な発見をAIによって分野横断的に加速する方法を模索する。 
• Support AI R&D by small businesses.  • 中小企業のAI研究開発を支援する。 
• Encourage international collaboration with like-minded allies and partners on R&D.  • 研究開発に関して、同じ考えを持つ同盟国やパートナーとの国際的な協力を奨励する。 
Civil Rights & Civil Liberties  市民の権利と自由 
Adverse effects from flawed or misused technologies are not new developments but are consequential considerations in designing and using AI systems. AI models, and software systems more generally, can produce misleading or inaccurate outputs. Acting or making decisions based on flawed outputs can deprive Americans of constitutional rights.  欠陥のある技術や誤用された技術による悪影響は新しいものではないが、AIシステムの設計や利用においては重要な考慮事項である。AIモデル、そしてより一般的にソフトウェアシステムは、誤解を招くような、あるいは不正確な出力を生み出す可能性がある。欠陥のあるアウトプットに基づいて行動したり意思決定を行うことは、米国人の憲法上の権利を奪う可能性がある。
Key Findings  主な調査結果
• Improper use of AI can violate laws and deprive Americans of our most important rights.  • AIの不適切な使用は、法律に違反し、米国人の最も重要な権利を奪う可能性がある。
• Understanding the possible flaws and shortcomings of AI models can mitigate potentially harmful uses of AI.  • AIモデルの潜在的な欠陥や欠点を理解することで、AIの有害な使用を緩和できる可能性がある。
Recommendations  提言
• Have humans in the loop to actively identify and remedy potential flaws when AI is used in highly consequential decision-making.  • 重大な影響を伴う意思決定にAIが使用される場合は、人間が関与するループを設け、潜在的な欠陥を積極的に識別し、是正する。 
• Agencies must understand and protect against using AI in discriminatory decisionmaking.  • 政府機関は、差別的な意思決定におけるAIの使用を理解し、防御しなければならない。
• Empower sectoral regulators with the tools and expertise to address AI-related risks in their domains.  • それぞれの分野の規制当局に、その分野におけるAI関連のリスクに対処するためのツールと専門知識を与える。
• Explore transparency for users affected by decisions made using AI.  • AIを使用して下された決定の影響を受けるユーザーに対して透明性を確保する。
• Support standards and technical evaluations to mitigate flawed decision-making involving AI systems.  • AIシステムが関与する欠陥のある意思決定を緩和するための標準および技術評価を支援する。
Education & Workforce  教育と労働力
Despite federal and state efforts, the U.S. has a significant gap in the appropriate talent needed to research, develop, and deploy AI applications—and this gap is growing. Educating and training American learners in AI topics will be critical to continued U.S. leadership in AI technology and for America’s economic and national security.  連邦政府や州政府の取り組みにもかかわらず、米国ではAIアプリケーションの研究、開発、展開に必要な適切な人材に大きなギャップがあり、このギャップは拡大している。米国の学習者にAIに関する教育とトレーニングを行うことは、AI技術における米国の継続的なリーダーシップと、米国の経済および国家安全保障にとって極めて重要である。
Key Findings  主な調査結果
• AI is increasingly used in the workplace by both employers and employees.  • 雇用主と従業員の両者によって、職場でのAIの利用がますます増えている。
• Fostering domestic AI talent and continued U.S. leadership will require significant improvements in basic STEM education and training.  • 米国におけるAI人材の育成と米国のリーダーシップの継続には、STEM教育とトレーニングの大幅な改善が必要である。
• U.S. AI leadership would be strengthened by utilizing a more skilled technical workforce.  • 米国のAIリーダーシップは、より熟練した技術労働力の活用によって強化される。
• AI adoption in America requires AI literacy.  • 米国におけるAIの導入には、AIリテラシーが必要である。
• K–12 educators need resources to promote AI literacy.  • K-12の教育者は、AIリテラシーを促進するためのリソースを必要としている。
Recommendations  提言
• Invest in K–12 STEM and AI Education and Broaden Participation.  • K-12のSTEM教育とAI教育への投資と参加の拡大。
• Bolster U.S. AI skills by providing needed AI resources.  • 必要なAIリソースを提供することで、米国のAIスキルを強化する。
• Develop a full understanding of the AI workforce in the United States.  • 米国のAI人材に関する完全な理解を深める。
• Facilitate public-private partnerships to bolster the AI workforce.  • AI人材を強化するための官民パートナーシップを促進する。
• Develop regional expertise when supporting government-university-industry partnerships.  • 政府、大学、産業界のパートナーシップを支援する際に、地域専門知識を開発する。
• Broaden pathways to the AI workforce for all Americans.  • すべての米国人がAI人材になるための道筋を広げる。
• Support the standardization of work roles, job categories, tasks, skill sets, and competencies for AI-related jobs.  • AI関連の仕事におけるワーク・ロール、職種カテゴリー、タスク、スキルセット、能力の標準化を支援する。 
• Evaluate existing workforce development programs.  • 既存の労働力開発プログラムを評価する。 
• Promote AI literacy across the U.S.  • 米国全土でAIリテラシーを推進する。 
• Empower U.S. educators with AI training and resources.  • AIトレーニングとリソースで米国の教育者を支援する。 
• Support NSF curricula development.  • NSFカリキュラム開発を支援する。 
• Monitor the interaction of labor laws and worker protections with AI adoption.  • AIの導入に伴う労働法と労働者防御の相互作用を監視する。
Intellectual Property  知的財産
Advances in generative AI technology have introduced new issues for intellectual property (IP) laws, raising questions about how the ownership, creation, and protection of art, writings, brands, songs, inventions, and other creations should be treated.  生成的AI技術の進歩により、知的財産(IP)法に関する新たな問題が生じ、芸術作品、著作物、ブランド、楽曲、発明、その他の創作物の所有権、創作、防御をどのように扱うべきかという疑問が生じている。
Key Findings  主な調査結果 
• It is unclear whether legislative action is necessary in some cases, and a number of IP issues are currently in the courts.  • 場合によっては法整備が必要かどうかは不明であり、現在、多くの知的財産権に関する問題が法廷で争われている。 
• Generative AI poses a unique challenge to the creative community.  • 生成的AIは、クリエイティブなコミュニティに独特な課題を突きつけている。 
• It is often difficult for creators to know if their copyrighted works are being used by AI developers.  • クリエイターが、自身の著作物がAI開発者によって使用されているかどうかを知るのは困難な場合が多い。 
• The global IP policy landscape presents challenges and opportunities to both developers and creators.  • 世界的な知的財産権に関する政策の現状は、開発者とクリエイターの両者にとって課題と機会を提示している。 
• While some use cases are legitimate and protected forms of expression, the proliferation of deepfakes and harmful digital replicas is a significant and ongoing challenge.  • 一部のユースケースは正当な表現形態として保護されるべきであるが、ディープフェイクや有害なデジタル複製物の蔓延は、現在進行中の重大な課題である。
Recommendations  提言
• Clarify IP laws, regulations, and agency activity.  • 知的財産権に関する法律、規制、政府機関の活動を明確化する。
• Appropriately counter the growing harm of AI-created deepfakes.  • AIが生成したディープフェイクの拡大する被害に適切に対処する。
Content Authenticity  コンテンツの真正性  
Generative AI systems include AI that can generate text, image, video, and audio/voice content. These systems are trained on a large set of existing written, visual, or audio data. The systems identify statistical patterns in this training data and then create novel content that matches these patterns. As generative AI systems continue to be trained with greater amounts of data and more powerful computing resources, they can produce outputs with increasing quality and realism.  生成的AIシステムには、テキスト、画像、動画、音声/音声を生成できるAIが含まれている。これらのシステムは、大量の既存の文書、視覚、音声データに基づいて訓練される。システムは、この訓練データ内の統計的パターンを識別し、そのパターンに一致する新規コンテンツを作成する。生成的AIシステムがより大量のデータとより強力なコンピューティングリソースで訓練され続けるにつれ、その出力はより高品質で現実味のあるものになる。
Key Findings  主な調査結果
• Synthetic content has many beneficial uses, but if used improperly it can create harms and undermine confidence in information integrity.  • 合成コンテンツには多くの有益な用途があるが、不適切に使用された場合には害が生じ、情報の完全性に対する信頼が損なわれる可能性がある。
• There is currently no single, optimal technical solution to content authentication.  • コンテンツ認証のための単一の最適な技術的ソリューションは、現時点では存在しない。
• Technical literacy would help with the content authenticity challenges but would not be sufficient.  • 技術リテラシーはコンテンツの真正性の課題の解決に役立つが、十分ではない。
• Digital identity technology allows a person online to verify who they are and reduces fraud.  • デジタルアイデンティティ技術により、オンライン上の人物が本人であることを確認でき、詐欺を減らすことができる。
Recommendations 提言
• Support a risk-based, multipronged approach to content authenticity.  • コンテンツの真正性に対するリスクベースの多角的なアプローチをサポートする。
• Support technical solutions to content authenticity.  • コンテンツの真正性に対する技術的ソリューションをサポートする。
• Address demonstrable harms, not speculative harms of synthetic content.  • 合成コンテンツの推測上のリスクではなく、実証可能なリスクに対処する。
• Identify the responsibilities of AI developers, content producers, and content distributors when it comes to synthetic content.  • 合成コンテンツに関して、AI開発者、コンテンツ制作者、コンテンツ頒布事業者の責任を識別する。
• Examine existing laws related to harmful synthetic content.  • 有害な合成コンテンツに関連する既存の法律を調査する。
• Ensure victims have the necessary tools.  • 被害者が必要なツールを確実に利用できるようにする。 
Open & Closed Systems  オープンシステムとクローズドシステム
Despite often being characterized as either open or closed, there is in fact a continuum of different forms of AI model availability and transparency. Open models offer many benefits, including customization, transparency, and accessibility. However, there is an increased risk that malicious actors could use open models to cause harm, including perpetrating financial fraud, threatening national security, or large-scale identity theft.  オープンシステムまたはクローズドシステムとして特徴付けられることが多いが、実際には、AIモデルの可用性と透明性にはさまざまな形態が連続的に存在している。オープンモデルには、カスタマイズ、透明性、アクセス性など、多くの利点がある。しかし、悪意のある行為者がオープンモデルを利用して、金融詐欺、国家安全保障への脅威、大規模な個人情報盗難などの被害を引き起こすリスクが高まっている。
Key Findings  主な調査結果
• Open AI models encourage innovation and competition.  • オープンAIモデルは、イノベーションと競争を促進する。 
• There is currently limited evidence that open models should be restricted.  • オープンモデルを制限すべきだという証拠は、現時点では限られている。
Recommendations  提言
• Encourage innovation and competition in the development of AI models.  • AIモデルの開発におけるイノベーションと競争を奨励する。
• Focus on demonstrable harms and physical threats.  • 実証可能な被害と物理的脅威に焦点を当てる。
• Evaluate chemical, biological, radiological, or nuclear (CBRN) threats in light of AI capabilities.  • AIの能力を考慮して、化学・生物・放射線・核(CBRN)の脅威を評価する。
• Continue to monitor the risks from open-source models.  • オープンソースモデルのリスクを継続的に監視する。
Energy Usage & Data Centers  エネルギー利用とデータセンター 
Significant amounts of power are needed to create and use the most advanced AI models, and the data centers supporting AI have increased electricity demand. This creates challenges for electrical grid reliability and affordable electricity, which must be addressed for U.S. economic and national security. AI can also be a valuable tool for developing American energy supplies.  最先端のAIモデルの作成と使用には膨大な電力が必要であり、AIをサポートするデータセンターは電力需要を増大させている。これは、米国の経済および国家安全保障にとって対処すべき課題である電力網の信頼性と手頃な価格の電力に影響を及ぼす。AIはまた、米国のエネルギー供給の開発にも貴重なツールとなり得る。
Key Findings  主な調査結果
• AI is critical to U.S. economic interests and national security and maintaining a sufficiently robust power grid is a necessity.  • AIは米国の経済的利益と国家安全保障にとって不可欠であり、十分に強固な電力網を維持することは必要不可欠である。
• The growing demands of AI are creating challenges for the grid.  • AIに対する需要の高まりは、送電網に課題をもたらしている。 
• Continued U.S. innovation in AI requires innovations in the energy sector.  • 米国におけるAIの継続的な革新には、エネルギー分野における革新が必要である。 
• Planning properly now for new power generation and transmission is critical for AI innovation and adoption.  • AIの革新と普及には、新たな発電と送電に関する適切な計画が今まさに重要である。 
• AI tools will play a role in innovation and modernization in the energy sector.  • AIツールは、エネルギー分野における革新と近代化に役割を果たす。 
Recommendations  提言 
• Support and increase federal investments in scientific research that enables innovations in AI hardware, algorithmic efficiency, energy technology development, and energy infrastructure.  • 人工知能のハードウェア、アルゴリズムの効率性、エネルギー技術開発、エネルギーインフラにおけるイノベーションを可能にする科学的研究に対する連邦政府の投資を支援し、増額する。
• Strengthen efforts to track and project AI data center power usage.  • 人工知能データセンターの電力使用量を追跡し、予測するための取り組みを強化する。
• Create new standards, metrics, and a taxonomy of definitions for communicating relevant energy use and efficiency metrics.  • 関連するエネルギー使用量と効率性指標をコミュニケーションするための新たな標準、測定基準、定義の分類を作成する。
• Ensure that AI and the energy grid are a part of broader discussions about grid modernization and security.  • 人工知能とエネルギーグリッドが、グリッドの近代化とセキュリティに関するより広範な議論の一部となることを確保する。
• Ensure that the costs of new infrastructure are borne primarily by those customers who receive the associated benefits.  • 新しいインフラのコストは、主にその恩恵を受ける顧客が負担することを保証する。
• Promote broader adoption of AI to enhance energy infrastructure, energy production, and energy efficiency.  • エネルギーインフラ、エネルギー生産、エネルギー効率の向上を目的としたAIの導入を促進する。
Small Business  中小企業
Small businesses play a crucial role in maintaining the United States' lead in the AI race against other world powers. Unfortunately, small businesses often lack the understanding or resources that would allow them to meaningfully adopt this critical technology.  米国がAI分野で世界の強豪国に対して優位性を維持する上で、中小企業は重要な役割を果たしている。しかし残念ながら、中小企業は、この重要な技術を有意義に導入するための理解やリソースを欠いていることが多い。 
Key Findings  主な調査結果 
• Small businesses can lack a full understanding of how best to adopt AI.  • 小規模企業は、AIを最適に導入する方法を十分に理解していない可能性がある。
• Small businesses can lack sufficient access to capital and AI resources.  • 小規模企業は、資金やAIリソースへの十分なアクセスを欠いている可能性がある。
• Small businesses face excessive challenges in meeting AI regulatory compliance.  • 小規模企業は、AIの規制コンプライアンスを満たす上で過剰な課題に直面している。
Recommendations 提言
• Support small business AI literacy.  • 小規模企業のAIリテラシーを支援する。
• Provide resources for small business AI adoption.  • 小規模企業のAI導入のためのリソースを提供する。
• Investigate the resource challenges of small businesses adopting AI.  • AIを導入する小規模企業のリソース上の課題を調査する。
• Investigate the resource challenges of small AI businesses.  • AIを導入する小規模なAI企業のリソース上の課題を調査する。
• Ease compliance burdens for small businesses.  • 小規模企業におけるコンプライアンスの負担を軽減する。 
Agriculture  農業 
AI has emerged as a powerful tool capable of revolutionizing agriculture. AI advancements have the potential to increase food availability, lower food prices, and bolster economic growth.  AIは農業に革命をもたらす強力なツールとして登場した。AIの進歩は、食糧供給の増加、食糧価格の低下、経済成長の促進につながる可能性がある。 
Key Findings  主な調査結果 
• AI-driven precision agriculture could enhance farm productivity and natural resource management.  • AI主導の精密農業は、農場の生産性と天然資源管理を強化できる可能性がある。 
• Increased AI integration could enable mechanization and automation technologies and enhance efficiency within the specialty crop industry.  • AIの統合が進めば、機械化および自動化技術が可能になり、特殊作物産業の効率が向上する可能性がある。 
• Lack of reliable network connectivity in rural and farming communities impedes AI adoption in the agricultural sector.  • 農村部や農業地域における信頼性の高いネットワーク接続の不足が、農業分野におけるAIの導入を妨げている。
• AI is already a powerful tool in addressing and combating the wildfire and forest health crises.  • AIは、すでに山火事や森林の健康危機への対応と対策において強力なツールとなっている。
• Greater adoption of AI at USDA could enhance delivery of numerous agriculture programs and reduce costs for farmers and others.  • 米国農務省におけるAIの導入拡大は、多数の農業プログラムの提供を強化し、農家やその他の人々のコスト削減につながる可能性がある。
• The CFTC’s principles-based approach allows for flexibility in addressing new technologies.  • CFTCの原則に基づくアプローチは、新しいテクノロジーへの対応に柔軟性を与える。
Recommendations  提言 
• Assess existing programs to identify opportunities for advancing AI in precision agriculture.  • 精密農業におけるAIの進歩の機会を識別するために、既存のプログラムをアセスメントする。
• Pursue further AI research and development to enhance efficiency in specialty crops.  • 特殊作物の効率性を高めるために、AIのさらなる研究開発を推進する。
• Continue to explore how research and innovation in AI technology could aid land managers in improving forest health through better planning and strategies.  • AI技術の研究と革新が、より良い計画と戦略を通じて土地管理者が森林の健全性を改善するのを支援できる可能性を、引き続き模索する。
• Direct USDA to better utilize AI in program delivery.  • プログラムの提供においてAIをより有効に活用するよう、USDAに指示する。
• Continue to review the application of the CFTC’s principles-based framework to ensure it captures unique risks posed by AI in financial markets.  • 金融市場におけるAIに特有のリスクを確実に捕捉できるよう、CFTCの原則に基づく枠組みの適用を継続的に見直す。 
Healthcare  ヘルスケア 
AI technologies have the potential to improve multiple aspects of healthcare research, diagnosis, and care delivery. AI can quickly analyze large data sets, improve diagnostic accuracy, streamline operations and automate routine tasks, all of which have the potential to improve efficiency and efficacy in treatment and reduce burdens on healthcare practitioners, freeing up more time for patient care.  AI技術は、医療研究、診断、医療提供のさまざまな側面を改善する可能性を秘めている。AIは大量のデータを迅速に分析し、診断精度を向上させ、業務を合理化し、日常的な作業を自動化することができる。これらはすべて、治療の効率性と有効性を改善し、医療従事者の負担を軽減し、患者ケアにより多くの時間を割くことを可能にする可能性がある。
Key Findings  主な調査結果
• AI's use in healthcare can potentially reduce administrative burdens and speed up drug development and clinical diagnosis.  • 医療分野におけるAIの利用は、管理上の負担を軽減し、医薬品開発と臨床診断を迅速化する可能性がある。 
• The lack of ubiquitous, uniform standards for medical data and algorithms impedes system interoperability and data sharing.  • 医療データとアルゴリズムのユビキタスで統一された標準が欠如しているため、システムの相互運用性とデータ共有が妨げられている。
Recommendations  提言
• Encourage the practices needed to ensure AI in healthcare is safe, transparent, and effective.  • 医療におけるAIの安全性、透明性、有効性を確保するために必要な慣行を奨励する。
• Maintain robust support for healthcare research related to AI.  • AIに関連する医療研究への強力な支援を維持する。
• Create incentives and guidance to encourage risk management of AI technologies in healthcare across various deployment conditions to support AI adoption and improve privacy, enhance security, and prevent disparate health outcomes.  • AIの導入を支援し、プライバシーの向上、セキュリティの強化、医療結果のばらつきの防止を目的として、さまざまな展開条件における医療分野でのAI技術のリスクマネジメントを奨励するインセンティブとガイダンスを作成する。
• Support the development of standards for liability related to AI issues.  • AIの問題に関連する責任に関する標準の開発を支援する。
• Support appropriate payment mechanisms without stifling innovation.  • イノベーションを阻害することなく、適切な支払いメカニズムを支援する。
Financial Services  金融サービス 
The financial services sector has employed AI technologies for decades. The ideal environment for continued growth would allow AI innovation to thrive while protecting consumers and maintaining market integrity. By focusing on fostering innovation, enhancing customer experiences, and ensuring financial inclusion, AI can significantly improve the financial sector's efficiency and accessibility.  金融サービス業界は、数十年にわたってAI技術を採用してきた。 継続的な成長に理想的な環境とは、消費者を保護し、市場の健全性を維持しながら、AIのイノベーションが繁栄できる環境である。 イノベーションの促進、顧客体験の向上、金融包摂の確保に重点的に取り組むことで、AIは金融セクターの効率性とアクセシビリティを大幅に改善できる。 
Key Findings  主な調査結果 
• AI presents an opportunity to transform the financial services sector.  • AIは金融サービス業界を変革する機会をもたらす。 
• Data quality and data security are paramount in financial service AI models.  • 金融サービスAIモデルでは、データ品質とデータセキュリティが最も重要である。 
• AI can expand access to financial products and services.  • AIは金融商品やサービスへのアクセスを拡大できる。
• AI technologies are already deployed across the financial services sector.  • AIテクノロジーはすでに金融サービス業界全体に展開されている。
• Some regulators use AI to identify non-compliance with regulations.  • 一部の規制当局はAIを使用して規制違反を識別している。
• Small financial services firms can be at a disadvantage in AI adoption.  • 小規模な金融サービス企業はAIの導入で不利になる可能性がある。
Recommendations  提言
• Foster an environment where financial services firms can responsibly adopt the benefits of AI technology.  • 金融サービス企業がAIテクノロジーのメリットを責任を持って導入できる環境を促進する。
• Encourage and resource regulators to increase their expertise with AI.  • 規制当局がAIに関する専門性を高めるよう奨励し、リソースを提供する。
• Maintain consumer and investor protections in the use of AI in the financial services and housing sectors.  • 金融サービスおよび住宅部門におけるAIの利用において、消費者および投資家の防御を維持する。
• Consider the merits of regulatory “sandboxes” that could allow regulators to experiment with AI applications.  • 規制当局がAIの応用を実験的に試すことを可能にする「規制サンドボックス」のメリットを検討する。
• Support a principles-based regulatory approach that can accommodate rapid technological changes.  • 急速な技術変化に対応できる原則に基づく規制アプローチを支持する。
• Ensure that regulations do not impede small firms from adopting AI tools.  • 規制が小規模な企業によるAIツールの採用を妨げないようにする。

 

 

附属書 VI:AI の定義上の課題 

Appendix VI: Definitional Challenges of AI  附属書 VI:AI の定義上の課題 
If artificial intelligence is to be addressed by government activity, such as through legislation or agency rulemaking, it must first be defined appropriately so that the nature of government activity is transparent with clearly delineated boundaries.8 A poorly crafted definition risks being overinclusive or underinclusive and may have unintended effects.  人工知能が政府活動、例えば立法や政府機関による規則制定などによって取り扱われる場合、政府活動の性質が透明性があり、明確に境界線が引かれているように、まず適切に定義されなければならない。8 拙速に作られた定義は、対象範囲が広すぎたり狭すぎたりするリスクがあり、予期せぬ影響を及ぼす可能性がある。
Unfortunately, it can be surprisingly difficult to define the term “artificial intelligence.” Subtle word choices in the definition can significantly influence its scope.9 When New York City established a task force to investigate the use of AI and other types of Automated Decision Systems, they quickly concluded that the definition in the statute posed challenges; it was so broad it could include general tools like internet searches or spreadsheets.10  残念ながら、「人工知能」という用語の定義は驚くほど難しい場合がある。定義における微妙な言葉の選択は、その範囲に大きな影響を与える可能性がある。9 ニューヨーク市がAIやその他の自動意思決定システムの使用を調査するタスクフォースを設立した際、彼らはすぐに、法令上の定義には課題があると結論付けた。その定義はあまりにも広範であったため、インターネット検索やスプレッドシートなどの一般的なツールも含まれる可能性があった。10 
The UN Educational, Scientific and Cultural Organization (UNESCO) avoids defining AI altogether and instead focuses on the particular consequences of using AI.11 Similar challenges exist in defining related terms, such as “frontier AI.”12 For example, different definitions of AI are used in the National Artificial Intelligence Initiative Act of 202013 (NAIIA) and the John S. McCain National Defense Authorization Act for Fiscal Year 2019 (NDAA).14 国連教育科学文化機関(UNESCO)は、AIの定義を完全に避け、代わりにAIの使用による特定の影響に焦点を当てている。11 「フロンティアAI」などの関連用語の定義にも同様の課題がある。12 例えば、 2020年の全米人工知能イニシアティブ法(NAIIA)と2019会計年度のジョン・S・マケイン国防権限法(NDAA)では、異なるAIの定義が使用されている。14
Section 5002(3) of the NAIIA defines artificial intelligence as: NAIIAの第5002条(3)では、人工知能を次のように定義している。
“a machine-based system that can, for a given set of human-defined objectives, make predictions, recommendations or decisions influencing real or virtual environments. Artificial intelligence systems use machine and human-based inputs to— (A) perceive real and virtual environments; (B) abstract such perceptions into models through analysis in an automated manner; and (C) use model inference to formulate options for information or action.” 「人間が定義した所定の目的に対して、現実または仮想環境に影響を与える予測、推奨、または決定を行うことができる機械ベースのシステム」と定義している。人工知能システムは、機械および人間による入力を使用して、(A) 現実および仮想環境を認識し、(B) 自動化された分析により、そうした認識をモデルに抽象化し、(C) モデル推論を使用して情報または行動の選択肢を策定する。
In contrast, section 238(g) of the NDAA defines artificial intelligence as including any of the following: これに対し、NDAAの第238条(g)では、人工知能を以下を含むものとして定義している。
(1) Any artificial system that performs tasks under varying and unpredictable circumstances without significant human oversight or can learn from experience and improve performance when exposed to data sets.  (1) 人的な管理をほとんど必要とせずに、変化し予測不可能な状況下でタスクを実行する、またはデータセットに触れることで経験から学習し、パフォーマンスを改善することができる、あらゆる人工システム。
(2) An artificial system developed in computer software, physical hardware, or other context that solves tasks requiring human-like perception, cognition, planning, learning, communication, or physical action.  (2) 人間のような知覚、認知、計画、学習、コミュニケーション、または物理的な行動を必要とするタスクを実行する、コンピュータソフトウェア、物理的なハードウェア、またはその他のコンテクストで開発された人工システム。
(3) An artificial system designed to think or act like a human, including cognitive architectures and neural networks.  (3) 認知アーキテクチャやニューラルネットワークを含め、人間のように思考または行動するように設計された人工システム。
(4) A set of techniques, including machine learning, is designed to approximate a cognitive task. (5) An artificial system designed to act rationally, including an intelligent software agent or embodied robot that achieves goals using perception, planning, reasoning, learning, communicating, decision-making, and acting. (4) 機械学習を含む一連の技術は、認知タスクを近似するように設計されている。 (5) 知的なソフトウェアエージェントや、知覚、計画、推論、学習、コミュニケーション、意思決定、行動を用いて目標を達成する身体化ロボットなど、合理的に行動するように設計された人工システム。
The recently introduced Artificial Intelligence Research, Innovation, and Accountability Act of 2023 (S.3312)15 defines an artificial intelligence system as:16 最近提出された2023年人工知能研究・イノベーション・説明責任法(S.3312)15では、人工知能システムを次のように定義している。16
an engineered system that—  設計されたシステムで、
(A) generates outputs, such as content, predictions, recommendations, or decisions for a given set of human-defined objectives; and ( (A) 人間が定義した特定の目的に対して、コンテンツ、予測、推奨、または決定などの出力を生成する。
B) is designed to operate with varying levels of adaptability and autonomy using machine and human-based inputs. (B) 機械および人間による入力を使用して、さまざまなレベルの適応性と自律性を備えて動作するように設計されている。
The variety of definitions suggests that no single definition is appropriate for all situations. It may be best to narrowly tailor the definition of artificial intelligence depending on the applicable sector and policy objectives of the government activity. さまざまな定義が存在することは、すべての状況に単一の定義が適切であるわけではないことを示唆している。人工知能の定義は、適用される分野や政府活動の政策目標に応じて、狭く調整することが最善であるかもしれない。

 

ちなみに、欧州AI法におけるAIの定義...

AI 法第 3 条第 1 号

a machine-based system that is designed to operate with varying levels of autonomy and that may exhibit adaptiveness after deployment, and that, for explicit or implicit objectives, infers, from the input it receives, how to generate outputs such as predictions, content, recommendations, or decisions that can influence physical or virtual environments 様々なレベルの⾃律性で動作するように設計され、展開後に適応性を⽰す可能性があり、明⽰的または 暗黙的な⽬的のために、物理的または仮想的な環境に影響を与えることができる予測、コンテンツ、推奨、 または決定などの出⼒を⽣成する⽅法を、受け取った⼊⼒から推測する機械ベースのシステム

 

この議論は、以下も参考に...

まるちゃんの情報セキュリティ気まぐれ日記

・2024.12.31 欧州法研究所 AI法におけるAIシステムの定義の適用に関するガイドライン:三要素アプローチに関するELIの提案 (2024.12.12)

 


 

報道発表の様子...

・[YouTube] House Task Force on Artificial Intelligence Holds a Press Conference on AI Final Report

20250109-145355

 

 

| | Comments (0)

イタリア データ保護庁 ラジオ、テレビ、新聞、インターネット上で6か月間の組織的な広報キャンペーンと15百万ユーロ(23億円強)の罰金を命じる

こんにちは、丸山満彦です。

まだまだ2024年の宿題があります...

イタリアのプライバシーコミッショナーが2023年3月から行なっていたChatGPTに関する調査が終了し、

15百万ユーロ(24億強)の罰金を払えと命令したようですね...

  • 2023年3月に発生したデータ侵害について当局に通知しておらず、
  • 適切な法的根拠を特定せずにユーザーの個人情報を処理してChatGPTの訓練を行っていたため、

透明性の原則およびユーザーに対する関連情報義務に違反している。

さらに、

  • OpenAIは年齢確認の仕組みを設けておらず、
  • 13歳未満の子供たちが、その発達度や自己認識の度合いを考慮すると、不適切な回答にさらされるリスクにつながる可能性がある

ので、

個人データの処理における効果的な透明性を確保することを目的として、OpenAIに対して、

  • ラジオ、テレビ、新聞、インターネット上で6か月にわたる組織的な広報キャンペーンを実施する

よう命じた。

また、

  • 1500万ユーロ(約23億円強)の罰金を科した

(でも、「調査に協力してくれたから、まけといたよ!」...ということのようです...)

 

Garante Per La Protezione Dei Dati Personali

・2024.12.24 COMUNICATO STAMPA - ChatGPT, il Garante privacy chiude l’istruttoria. OpenAI dovrà realizzare una campagna informativa di sei mesi e pagare una sanzione di 15 milioni di euro.

COMUNICATO STAMPA - ChatGPT, il Garante privacy chiude l’istruttoria. OpenAI dovrà realizzare una campagna informativa di sei mesi e pagare una sanzione di 15 milioni di euro. プレスリリース - プライバシー保護者であるChatGPTが調査を終了。OpenAIは6か月の情報キャンペーンを実施し、1500万ユーロの罰金を支払う必要がある。
Chatgpt, the italian data protection authority closes the preliminary investigation イタリアのデータ保護当局、Chatgpt、初期調査を終了
OpenAI will have to carry out a six-month information campaign and pay a fine of EUR 15 million OpenAIは6か月間の情報キャンペーンを実施し、1500万ユーロの罰金を支払わなければならない
The Italian Data Protection Authority has recently taken corrective and sanctioning measures against OpenAI in relation to the management of the ChatGPT service. イタリアのデータ保護当局は最近、ChatGPTサービスの管理に関連して、OpenAIに対して是正措置および制裁措置を講じた。
The measure, which ascertains the breaches that were contested with the Californian company at the time, reaches the result of an investigation initiated in March 2023 and after the EDPB (European Data Protection Board) published its opinion identifying a common approach to some of the most important issues related to the processing of personal data in the context of the design, development and deployment of AI-based services. この措置は、当時カリフォルニア州の企業と争われていた違反行為を確認するもので、2023年3月に開始された調査の結果であり、EDPB(欧州データ保護委員会)がAIベースのサービスの設計、開発、展開における個人データの処理に関連する最も重要な問題のいくつかに対する共通のアプローチを特定する意見を公表した後に行われた。
According to the Italian Data Protection Authority, the US company, which created and manages the generative artificial intelligence chatbot, did not notify the Authority of the data breach it underwent in March 2023, it has processed users’ personal data to train ChatGPT without first identifying an appropriate legal basis and has violated the principle of transparency and the related information obligations toward users. Furthermore, OpenAI has not provided for mechanisms for age verification, which could lead to the risk of exposing children under 13 to inappropriate responses with respect to their degree of development and self-awareness. イタリアのデータ保護当局によると、生成的人工知能チャットボットを開発・管理する米国企業は、2023年3月に発生したデータ侵害について当局に通知しておらず、適切な法的根拠を特定せずにユーザーの個人情報を処理してChatGPTの訓練を行っていたため、透明性の原則およびユーザーに対する関連情報義務に違反している。さらに、OpenAIは年齢確認の仕組みを設けておらず、13歳未満の子供たちが、その発達度や自己認識の度合いを考慮すると、不適切な回答にさらされるリスクにつながる可能性がある。
The Authority, with the aim of ensuring, first and foremost, effective transparency in the processing of personal data, ordered OpenAI - using for the first time the new powers provided for in article 166 paragraph 7 of the Privacy Code - to carry out a 6-month institutional communication campaign on radio, television, newspapers and the Internet. 当局は、何よりもまず個人データの処理における効果的な透明性を確保することを目的として、プライバシー保護法第166条第7項に規定された新たな権限を初めて行使し、OpenAIに対して、ラジオ、テレビ、新聞、インターネット上で6か月にわたる組織的な広報キャンペーンを実施するよう命じた。
The content, to be agreed with the Authority, should promote public understanding and awareness of the functioning of ChatGPT, in particular on the collection of user and non-user data for the training of generative artificial intelligence and the rights exercised by data subjects, including the rights to object, rectify and delete their data. 当局と合意した内容については、特に生成型人工知能の訓練のためのユーザーおよび非ユーザーデータの収集と、異議申し立て、修正、削除の権利を含むデータ主体が行使する権利について、ChatGPTの機能に対する一般の人々の理解と認識を促進するものでなければならない。
Through this communication campaign, users and non-users of ChatGPT will have to be made aware of how to oppose generative artificial intelligence being trained with their personal data and thus be effectively enabled to exercise their rights under the GDPR. このコミュニケーションキャンペーンを通じて、ChatGPTのユーザーおよび非ユーザーは、自身の個人データを使用して訓練される生成的人工知能に反対する方法を認識し、GDPRに基づく権利を効果的に行使できるようになる。
The Data Protection Authority imposed a fine of EUR 15 million on OpenAI, which was also calculated taking into account the company’s cooperative attitude. データ保護当局は、OpenAIに1500万ユーロの罰金を科したが、この金額も同社の協力的な姿勢を考慮して算出された。
Finally, in view of the fact that the company established its European headquarters in Ireland in the course of the preliminary investigation, the Data Protection Authority, in compliance with the so-called one stop shop mechanism, forwarded the procedural documents to the Irish Data Protection Authority (DPC), which became lead supervisory authority under the GDPR so as to continue investigating any ongoing infringements that have not been exhausted before the opening of the European headquarters. 最後に、予備調査の過程で同社が欧州本社をアイルランドに設立したという事実を踏まえ、データ保護当局は、いわゆるワンストップショップの仕組みに従って、手続き書類をアイルランドデータ保護当局(DPC)に送付した。DPCは、GDPRの下で主導監督当局となり、欧州本社開設前に解決しきれなかった進行中の違反行為の調査を継続することとなった。
Rome, 20 December 2024 2024年12月20日、ローマ

 

1_20250102205301

 

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.12 イタリア GPDP G7プライバシー保護機関の会合(2024.10.09-11)

・2024.10.11 G7 2024@イタリア 企業、特に零細・中小企業におけるAI導入・開発の推進要因と課題に関するG7報告書 (2024.10.10)

・2024.05.29 欧州 EDPB ChatGPTタスクフォースによる作業報告書 (2024.05.24)

・2023.05.04 イタリア データ保護庁 ChatGPTが復活... (2023.04.28)

・2023.04.14 EDPB Metaによる米国への個人データ転送に関する紛争解決、Chat GPTに関するタスクフォースを設置

・2023.04.14 スペイン ChatGPTを運営するOpenAI社に対して職権で調査手続きを開始

・2023.04.14 イタリア データ保護庁 ChatGPT復活へ... 4月30日までに改善できれば...

・2023.04.10 イタリア データ保護庁委員とOpenAI社CEOが会談

・2023.04.06 OpenAI ブログ AIの安全への取り組み

・2023.04.02 イタリア データ保護庁がOpenAI社にプライバシー規制を遵守するまでChatGPTがイタリア人ユーザのデータ処理の制限を直ちに命じた...

 

 

| | Comments (0)

2025.01.03

米国 NSA、CISA、FBI他 イスラム革命防衛隊(IRGC)関連のサイバー犯罪者が、米国の上下水道システム施設を含む複数のセクターのPLCを悪用 (2024.12.18)

こんにちは、丸山満彦です。

まだまだ2024年の宿題があります...

もとは、2023年の警告で、2024年に更新したものですが、米国のNSA、CISA、FBI、環境保護省、イスラエルの国家サイバー局、カナダのサイバーセキュリティセンターが、共同で、イスラム革命防衛隊(IRGC)関連のサイバー犯罪者が、米国の上下水道システム施設を含む複数のセクターのPLCを悪用していると警告をしています...

標的はイスラエル製のPLC、HMIのようですので、日本ではあまり関係ないかもしれませんが、他社製と名乗っていても、実は元のシステムがイスラエル製で社名を変えて売られている可能性もあるので、念の為、といったところでしょうかね...

イラン政府はIT教育には力をいれているようです。おそらく優秀な人材は、革命防衛隊に採用されるのでしょうね...民間の人はWiondowsやオフィス製品を使っているようですが、政府は独自にカスタマイズしたLinuxなのでしょうかね...

 

CISA

・2024.12.18 IRGC-Affiliated Cyber Actors Exploit PLCs in Multiple Sectors, Including US Water and Wastewater Systems Facilities

IRGC-Affiliated Cyber Actors Exploit PLCs in Multiple Sectors, Including US Water and Wastewater Systems Facilities IRGC関連のサイバー犯罪者が、米国の上下水道システム施設を含む複数のセクターのPLCを悪用
Alert Code AA23-335A 警告コード AA23-335A
Actions to take today to mitigate malicious activity: 悪質な活動を軽減するために今日実施すべき対策:
Address operational technology connected insecurely to the internet. インターネットに安全に接続されていない運用技術を対処する。
Implement multifactor authentication. 多要素認証を導入する。
Use strong, unique passwords. 強力で固有のパスワードを使用する。
Check PLCs for default or no passwords. PLCにデフォルトまたはパスワードが設定されていないか確認する。
Summary まとめ
Note: This updated joint Cybersecurity Advisory reflects new investigative and analytic insights for network defenders on malicious cyber activities conducted by advanced persistent threat (APT) cyber actors affiliated with the Iranian Government’s Islamic Revolutionary Guard Corps (IRGC). This advisory includes recent and historically observed tactics, techniques, and procedures (TTPs) to help organizations protect their critical infrastructure systems against such activities. 注:この更新された共同サイバーセキュリティ勧告は、イラン政府のイスラム革命防衛隊(IRGC)と関連のある高度持続的脅威(APT)のサイバー攻撃者による悪意のあるサイバー活動に関する、ネットワーク防御者向けの新たな調査および分析結果を反映している。この勧告には、このような活動から重要なインフラシステムを保護するために組織が役立てることができる、最近および過去に観測された戦術、技術、手順(TTP)が含まれている。
Originally published Dec. 1, 2023, updates to this advisory include: 2023年12月1日に最初に発行されたこの勧告の更新内容は以下の通りである。
Dec. 18, 2024 2024年12月18日
・New information on the extent of the activity, including newly observed TTPs employed by IRGC-affiliated APT cyber actors targeting U.S. and global critical infrastructure. ・米国および世界の重要インフラを標的とするIRGC関連APTサイバー攻撃者によって新たに観測されたTTP(Tactics, Techniques, and Procedures)を含む、活動の範囲に関する新たな情報。
・Mapping of these newly observed TTPs to additional MITRE ATT&CK® Tactics and Techniques. ・新たに観測されたこれらのTTPを、追加のMITRE ATT&CK® Tactics and Techniquesにマッピング。
・New recommended mitigations that organizations should take to protect their infrastructure, based on the new TTPs. ・新たなTTPに基づいて、組織がインフラを保護するために講じるべき新たな推奨緩和策。
The Federal Bureau of Investigation (FBI), the Cybersecurity and Infrastructure Security Agency (CISA), the National Security Agency (NSA), the Environmental Protection Agency (EPA), the Israel National Cyber Directorate (INCD), the Canadian Centre for Cyber Security (CCCS), and the United Kingdom’s National Cyber Security Centre (NCSC)—hereafter referred to as “the authoring agencies”—are releasing this updated joint advisory to warn network defenders of continued malicious cyber activity by IRGC-affiliated APT cyber actors. This joint advisory provides TTPs obtained from extensive FBI investigation on this activity. 連邦捜査局(FBI)、サイバーセキュリティ・インフラ保護機関(CISA)、国家安全保障局(NSA)、環境保護省(EPA)、イスラエル国家サイバー局(INCD)、カナダサイバーセキュリティセンター(CCCS 、および英国の国立サイバーセキュリティセンター(NCSC)は、以下「執筆機関」と表記する)は、IRGC関連のAPTサイバー攻撃者による悪意あるサイバー活動が継続していることをネットワーク防御者に警告するために、この更新された共同勧告を発表する。この共同勧告では、この活動に関するFBIの広範な調査から得られたTTP(戦術、技術、手順)が提供されている。
Background Information 背景情報
The Iranian Government charged the IRGC, an armed force, with defending Iran’s revolutionary regime from perceived internal and external threats. The IRGC is designated as a foreign terrorist organization by the United States and Canada. In November 2023, IRGC-affiliated cyber actors using the persona “CyberAv3ngers” began actively targeting and compromising Israeli-made Unitronics Vision Series programmable logic controllers (PLCs) and human machine interfaces (HMIs). The IRGC-affiliated cyber actors left a defacement image stating, “You have been hacked, down with Israel. Every equipment ‘made in Israel’ is CyberAv3ngers legal target.” The victims spanned multiple U.S. states and foreign countries. These PLCs are commonly used in the Water and Wastewater Systems (WWS) Sector and used in other industries including, but not limited to, energy, food and beverage manufacturing, transportation systems, and healthcare. The PLCs may be rebranded and appear as originating from different manufacturers and companies.  イラン政府は、イラン革命体制を認識された内外の脅威から守ることを目的として、武装組織である革命防衛隊(IRGC)を設立した。IRGCは、米国およびカナダによって外国テロ組織に指定されている。2023年11月、「CyberAv3ngers」という偽名を使用するIRGC関連のサイバー犯罪者集団が、イスラエル製のUnitronics Vision Seriesプログラマブルロジックコントローラ(PLC)およびヒューマンマシンインターフェース(HMI)を標的にし、侵害を積極的に開始した。IRGCと関連のあるサイバー犯罪者は、「You have been hacked, down with Israel. Every equipment ‘made in Israel’ is CyberAv3ngers legal target.(ハッキングされたな、イスラエル万歳。イスラエル製」の機器はすべてCyberAv3ngersの合法的な標的だ)」という改ざん画像を残した。被害は米国の複数の州および海外に及んだ。これらのPLCは、上下水道システム(WWS)部門で一般的に使用されており、エネルギー、食品および飲料製造、輸送システム、医療など、その他の産業でも使用されている。PLCはリブランディングされ、別のメーカーや企業が製造したものとして出回る可能性がある。
Complementing a previously published CISA Alert, the authoring agencies are releasing this updated joint advisory to share TTPs associated with IRGC cyber operations. The authoring agencies urge all organizations, especially those within critical infrastructure sectors, to apply the recommendations listed in the Mitigations section of this advisory to reduce the risk of compromise from these IRGC-affiliated cyber actors. 以前に発表されたCISAアラートを補完する形で、作成機関はIRGCのサイバー作戦に関連するTTPを共有するために、この更新された共同勧告を発表している。作成機関は、すべての組織、特に重要インフラセクター内の組織に対して、この勧告の「緩和策」セクションに記載されている推奨事項を適用し、これらのIRGC関連のサイバー攻撃者による侵害のリスクを軽減するよう強く求めている。
Overview of Updated Information 更新情報の概要
This advisory provides observed TTPs the authoring agencies assess are likely associated with this IRGC-affiliated APT. The late 2023 campaign conducted by CyberAv3ngers compromised additional Unitronics version types, including older PLC models, than were previously outlined. The IRGC-affiliated APT cyber actors also developed custom ladder logic files to download for each of these device types. Previously unreported TTPs also outline how the actors supplanted existing ladder logic files with their own, renamed devices likely to forestall owner access, reset software versions to older versions, disabled upload and download functions, and changed the default port numbers. With this type of access, deeper device and network level accesses are available and could render additional, more profound cyber-physical effects on processes and equipment. Additionally, the NCSC observed the targeting of PLC devices, including in the United Kingdom, likely as part of a wider cyber campaign against Israel and Israeli-made technology. This targeting of PLCs poses an ongoing risk to UK organizations that utilize these components in their operational technology (OT) systems. For more information on Iranian state-sponsored malicious cyber activity, see CISA’s Iran Cyber Threat Overview and Advisories webpage and the FBI’s Iran Threat webpag. 本勧告では、作成機関が観測したTTP(ツール、テクニック、手順)を提示し、それらがIRGC関連APTグループと関連している可能性が高いと評価している。CyberAv3ngersが2023年後半に実施したキャンペーンでは、以前に概要が説明されたものよりも古いPLCモデルを含む、追加のUnitronicsのバージョンタイプが侵害された。IRGC関連APTグループのサイバー犯罪者も、これらのデバイスタイプごとにダウンロードするためのカスタムラダーロジックファイルを開発した。また、これまで報告されていなかったTTP(攻撃手法)では、攻撃者が既存のラダーロジックファイルを独自のファイルに差し替え、デバイスの名称を変更して所有者のアクセスを阻止し、ソフトウェアのバージョンを古いバージョンにリセットし、アップロードおよびダウンロード機能を無効にし、デフォルトのポート番号を変更した可能性についても説明している。この種のアクセスがあれば、より深いデバイスおよびネットワークレベルのアクセスが可能となり、プロセスや機器にさらに深刻なサイバーフィジカルな影響を与える可能性がある。さらに、NCSCは、PLCデバイスが標的とされていることを確認しており、その中には英国も含まれている。これは、イスラエルおよびイスラエル製技術に対するより広範なサイバーキャンペーンの一環である可能性が高い。PLCが標的とされていることは、運用技術(OT)システムでこれらのコンポーネントを利用している英国の組織にとって、継続的なリスクとなる。イラン政府が支援する悪意のあるサイバー活動の詳細については、CISAの「Iran Cyber Threat Overview and Advisories」ウェブページおよびFBIの「Iran Threat」ウェブページを参照のこと。
Download the PDF version of this report:  このレポートのPDF版をダウンロードする:
AA23-335A IRGC-Affiliated Cyber Actors Exploit PLCs in Multiple Sectors, Including US Water and Wastewater Systems Facilities (DEC 2024)(PDF, 716.26 KB ) AA23-335A IRGC(革命防衛隊)関連のサイバー犯罪者、米国の上下水道施設を含む複数のセクターのPLCを悪用(2024年12月)(PDF、716.26 KB)
AA23-335A IRGC-Affiliated Cyber Actors Exploit PLCs in Multiple Sectors, Including U.S. Water and Wastewater Systems Facilities (DEC 2023)(PDF, 594.03 KB ) AA23-335A IRGC(革命防衛隊)と関連のあるサイバー犯罪者が、米国の上下水道施設を含む複数のセクターのPLCを悪用(2023年12月)(PDF、594.03 KB)
For a downloadable copy of the indicators of compromise (IOCs), see: 侵害の指標(IOC)のダウンロード可能なコピーについては、以下を参照のこと。
AA23-335A STIX XML (DEC 2023)(XML, 15.50 KB ) AA23-335A STIX XML (2023年12月)(XML, 15.50 KB )
AA23-335A STIX JSON (DEC 2023)(JSON, 10.84 KB ) AA23-335A STIX JSON (2023年12月)(JSON, 10.84 KB )
Note: These IOCs are from the original joint advisory published Dec. 1, 2023, and are not current. 注:これらのIOCは、2023年12月1日に発表された当初の共同勧告によるものであり、最新のものではない。

 

・[PDF]

20250102-200242

 


 

イランの脅威について...

FBI - The Iran Threat

CISA - Iran Cyber Threat Overview and Advisories

 


 

まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.23 米国 FBI CISA 公共サービスに関する発表を行い、2024年の米国総選挙における偽情報の拡散を目的とした外国の脅威行為者の戦術について警告

・2024.10.18 米国 CISA 米国の民主的機関を弱体化させるイラン支援のサイバー活動を警告と対処法 (2024.10.08)

・2024.09.30 米国 英国 イラン国家のために活動するサイバー行為者について警告をし、大統領選を妨害しようとするイラン政権に関係する活動家を起訴+財産の封鎖

・2024.03.14 米国 インテリジェンス・コミュニティによる2024年の脅威評価 

・2020.09.21 イランのハッカー3名が衛星会社から知財を盗んだ理由等により起訴されていますね。。。

 

| | Comments (0)

2025.01.02

米国 ホワイトハウス バイデン=ハリス政権は、米国のサプライチェーン強化に向けた進展を遂げている (2024.12.19)

こんにちは、丸山満彦です。

新年早々ですが、昨年の紹介がまだまだ終わっていないので...

米国サプライチェーンの課題に対する進捗報告です。日本も包括的に考える必要がありますよね...

 

U.S. White House

・2024.12.19 FACT SHEET: Biden-Harris Administration Marks Progress Strengthening America’s Supply Chains

 

FACT SHEET: Biden-⁠Harris Administration Marks Progress Strengthening America’s Supply Chains ファクトシート:バイデン=ハリス政権は、米国のサプライチェーン強化に向けた進展を遂げている
Upon taking office in 2021, President Biden and his Administration immediately got to work addressing the shocks that were roiling global supply chains and moved swiftly to secure key industries for America’s economy and national security. Everything in our lives—the food we eat, the medicines in our hospitals, the energy that powers our homes, the computer chips in our devices—relies on supply chains, and the disruptions sparked by the COVID-19 pandemic and Russia’s war on Ukraine showed what happens when they are neglected for decades. 2021年の就任後、バイデン大統領と政権は直ちに、世界中のサプライチェーンを揺るがしている衝撃に対処し、米国の経済と国家安全保障にとって重要な産業を確保するために迅速に動き出した。私たちの生活のあらゆるもの、つまり私たちが口にする食品、病院にある医薬品、家庭を動かすエネルギー、私たちの機器に搭載されたコンピューターチップなどは、サプライチェーンに依存している。そして、新型コロナウイルス感染症のパンデミックとロシアによるウクライナ侵攻によって引き起こされた混乱は、サプライチェーンが何十年も放置されてきた場合に何が起こるかを示した。
Four years later, America’s supply chains are stronger and more resilient. Working hand in hand with industry and all stakeholders, this Administration has cleared bottlenecks, increased investments in critical sectors, and shored up the transportation sector that move the goods that Americans rely on. Ocean shipping prices have fallen more than 70 percent from their peak, and today fewer than 20 containerships are waiting to dock at U.S. ports, compared to over 150 backed up during the peak of congestion. That progress has made supply chains more reliable for businesses and lowered inflation for the goods that families buy every day. それから4年が経ち、米国のサプライチェーンはより強固でレジリエントなものとなった。産業界やすべての利害関係者と協力し、この政権はボトルネックを解消し、重要なセクターへの投資を増やし、米国人が頼りにする商品の輸送を担う輸送セクターを強化した。海上輸送価格はピーク時から70パーセント以上も下落し、現在、米国の港で入港待ちをしているコンテナ船は20隻以下である。混雑のピーク時には150隻以上が待機していた。こうした進展により、企業にとってサプライチェーンはより信頼性の高いものとなり、また、家庭で日常的に購入される商品のインフレ率も低下した。
1_20241231185201
Today, the Biden-Harris Administration is releasing the first-ever Quadrennial Supply Chain Review, a formal assessment of four years of strengthening America’s critical supply chains, and announcing additional actions to support American businesses and consumers. 現在、バイデン=ハリス政権は、米国の重要なサプライチェーンを強化してきた過去4年間の取り組みを正式に評価する初の「4年ごとのサプライチェーンレビュー」を発表し、米国の企業と消費者を支援するための追加措置を発表している。
Progress to Date これまでの進捗状況
The Quadrennial Supply Chain Review assesses the progress made over the past four years to bolster the resilience of our most critical supply chains. This strategic approach has included: 4年ごとのサプライチェーンレビュー」では、過去4年間にわたって最も重要なサプライチェーンのレジリエンス強化のために行われた進捗状況を評価している。この戦略的アプローチには、以下が含まれている。
・Responding to disruption. The Administration quickly set to work to develop new government tools and capacity to respond to disruptions, both active ones when it took office, and new ones that have occurred since. The President’s Supply Chain Disruptions Task Force (SCDTF) has effectively coordinated federal authorities and resources and also established a process to work with state and local authorities and the private sector in real time. This work has helped improved the flow of goods into and around the United States during disruptions—getting products critical to American families moving again through ports and to shelves. 混乱への対応。政権は、就任時に発生していた混乱への対応、およびそれ以降に発生した新たな混乱への対応に向け、新しい政府ツールと能力の開発に迅速に取り掛かった。大統領のサプライチェーン混乱対策タスクフォース(SCDTF)は、連邦当局とリソースを効果的に調整し、また、州および地方当局と民間部門とリアルタイムで連携するプロセスを確立した。この取り組みにより、混乱の最中においても米国への、そして米国周辺の商品の流れが改善され、米国の家庭にとって不可欠な商品が再び港から店頭へと運ばれるようになった。
・Investing in infrastructure and manufacturing and lowering costs. Over the past four years, the Biden-Harris Administration has taken a made historic investments to strengthen our industrial bases and lower costs. U.S. Government investment has helped catalyze over $1 trillion in private-sector announced investments since January 2021. These investments are supporting the construction of new factories and creating manufacturing jobs across the country. ・インフラと製造事業者への投資とコスト削減。過去4年間、バイデン=ハリス政権は、米国の産業基盤を強化し、コストを削減するために、歴史的な投資を行ってきた。米国政府の投資により、2021年1月以来、民間部門が発表した1兆ドルを超える投資が促進された。これらの投資は、国内各地における新たな工場の建設と製造事業者の雇用創出を支えている。
・Responding to non-market policies and practices. On a level playing field, American businesses and workers can compete and win. However, our strategic competitors are continuing to engage in non-market policies and practices (NMPP) that undercut our collective resilience—directing their systems to target key industries for dominance by using excessive state subsidies and other forms of state support to dominate critical industries. As part of the Quadrennial Supply Chain Review process, the Biden-Harris Administration has developed a strategy to address NMPP, recognizing the need for early, comprehensive action to prevent harm to U.S. workers and industry, as well as modernized trade authorities that account for NMPP’s continued effects on global supply chains. This work has included raising tariffs on a select number of key sectors to safeguard U.S. supply chains in the face of unfair competition. These tariff modifications will protect historic domestic investments under BIL, the CHIPS and Science Act, and the Inflation Reduction Act, while also shielding American businesses and workers from unfair trade practices. ・非市場政策および慣行への対応。公平な競争条件の下では、米国の企業と労働者は競争し、勝利することができる。しかし、戦略的競争相手は、過剰な国庫補助金やその他の形態の国庫支援を利用して、重要な産業を支配し、主要産業をターゲットにそのシステムを向けることで、私たちのレジリエンスを損なう非市場政策および慣行(NMPP)を継続している。4年ごとのサプライチェーン見直しプロセスの一環として、バイデン=ハリス政権は、米国の労働者および産業への被害を防ぐための早期かつ包括的な行動の必要性、およびグローバルなサプライチェーンにおけるNMPPの継続的な影響を考慮した近代化された貿易認可の必要性を認識し、NMPPに対処するための戦略を策定した。この取り組みには、不公正な競争に直面する米国のサプライチェーンを保護するための、一部の主要セクターに対する関税引き上げが含まれている。これらの関税変更は、歴史的な国内投資をBIL、CHIPS法、科学法、インフレ低減法のもとで防御する一方、米国企業と労働者を不公正な貿易慣行から防御する。
The Review builds on comprehensive efforts undertaken by the Administration over the last four years, including President Biden’s 2021 Executive Order on America’s Supply Chains (E.O. 14017), which directed rapid supply chain assessments for four critical products in the first 100 days of the Administration, a one-year review of six key supply chains in 2022, and the establishment of the White House Council on Supply Chain Resilience to support the enduring resilience of America’s critical supply chains in 2023. この見直しは、バイデン大統領が2021年に署名した「米国のサプライチェーンに関する大統領令(E.O. 14017)」を含む、過去4年間にわたる政権による包括的な取り組みを基盤としている。同大統領令は、政権発足から100日以内に4つの重要製品の迅速なサプライチェーンアセスメントを指示し、 政権発足後100日以内に4つの重要製品のサプライチェーンの迅速な評価を行うこと、2022年に6つの主要サプライチェーンを1年間レビューすること、2023年に米国の重要サプライチェーンの永続的なレジリエンスを支援するホワイトハウス・サプライチェーン・レジリエンス協議会の確立を指示した。
Additional Actions to Strengthen Supply Chains サプライチェーン強化に向けた追加措置
Continuing to strengthen supply chains over the next four years—and beyond—will require the United States to deliver on historic domestic investments, maintain and strengthen international partnerships, harness innovation to tackle 21st-century challenges, and mobilize and facilitate ongoing private investment and public-private partnerships. The work of the last four years has laid a strong foundation for the United States to continue safeguarding the enduring resilience of our supply chains for years to come, including for emerging industries of the future. 今後4年間、そしてそれ以降もサプライチェーンの強化を継続するためには、米国は歴史的な国内投資を実現し、国際的なパートナーシップを維持・強化し、21世紀の課題に取り組むためにイノベーションを活用し、進行中の民間投資と官民パートナーシップを動員し、促進することが必要となる。過去4年間の取り組みにより、米国は将来の新たな産業も含め、サプライチェーンの永続的なレジリエンスを今後何年にもわたって保護し続けるための強固な基盤を築いた。
Below are additional steps the Biden-Harris Administration is taking to strengthen supply chains, including for energy, critical minerals, agricultural commodities and food products, medical products, information and communications technology, transportation, and defense. 以下は、バイデン=ハリス政権がエネルギー、重要鉱物、農産物および食品、医療製品、情報および通信技術、輸送、防衛などの分野におけるサプライチェーン強化のために講じている追加の措置である。
Energy エネルギー
・Announcing up to $6 billion in incentives to strengthen U.S. energy supply chains. Over the coming weeks, the IRS, supported by the Department of Energy’s Office of Manufacturing and Energy Supply Chains (MESC), is set to announce up to $6 billion in additional tax credits to strengthen U.S. energy supply chains through the Qualifying Advanced Energy Project Credit (48C) Program. This builds on the first round of $4 billion in announced tax credits for over 100 projects in 35 states to accelerate domestic clean energy manufacturing and reduce greenhouse gas emissions at industrial facilities. This also builds on over $12 billion of investment from the DOE MESC Office in domestic manufacturing capacity to strengthen the U.S. energy supply chains. 米国のエネルギー・サプライチェーン強化に向け、最大60億ドルのインセンティブを発表する。今後数週間のうちに、IRS(内国歳入庁)はエネルギー省製造・エネルギー・サプライチェーン局(MESC)の支援を受け、適格先進エネルギープロジェクト・クレジット(48C)プログラムを通じて、米国のエネルギー・サプライチェーン強化に向け、最大60億ドルの追加税額控除を発表する予定である。これは、国内のクリーンエネルギー製造を促進し、産業施設における温室効果ガス排出量を削減するために、35州における100以上のプロジェクトに対して発表された40億ドルの税額控除の第1弾をさらに強化するものである。また、これは、米国のエネルギー供給網を強化するために、国内の製造能力に対してDOE MESCオフィスが120億ドル以上を投資したことを踏まえたものである。
・Improving risk mitigation across the energy supply chain. To improve visibility across multiple technologies in the energy industrial base, DOE and a consortium of the National Laboratories have developed a new analytic framework—the Supply Chain Readiness Level—to quantify risks, gaps, and vulnerabilities, and to identify investment opportunities across the energy sector. エネルギーのサプライチェーン全体にわたるリスク緩和の改善。エネルギー産業基盤における複数の技術の可視性を改善するために、DOEと国立研究所のコンソーシアムは、リスク、ギャップ、脆弱性を定量化し、エネルギー分野全体にわたる投資機会を識別するための新たな分析枠組みであるサプライチェーンの準備度(Supply Chain Readiness Level)を開発した。
Critical Minerals 重要な鉱物
・Mapping America’s critical minerals deposits. The U.S. Geological Survey (USGS) is announcing new airborne geophysical mapping in the Ozarks Plateau (Missouri, Kansas, and Arkansas) and Alaska over areas known to host minerals such as antimony, tin, tungsten, and lead and zinc ores, as well as byproduct critical minerals such as gallium and germanium. USGS’s mapping work, funded by the Bipartisan Infrastructure Law (BIL), is revolutionizing the U.S. Government’s understanding of the nation’s mineral and geologic resources. USGS and NASA are partnering to complete the largest high-quality hyperspectral survey in the world, surveying more than 180,000 square miles of the Southwest with sensors that make it possible to “see” nuanced differences between materials
.
・米国の重要な鉱物資源の分布図。米国地質調査所(USGS)は、アンチモン、スズ、タングステン、鉛・亜鉛鉱石などの鉱物、およびガリウムやゲルマニウムなどの副産物となる重要な鉱物が存在することが知られているオザーク高原(ミズーリ州、カンザス州、アーカンソー州)およびアラスカにおける新しい空中物理探査による地図作成を発表した。超党派インフラ法(BIL)の資金提供を受け、USGSが実施しているマッピング作業は、米国の鉱物および地質資源に対する米国政府の理解を大きく変えつつある。USGSとNASAは提携し、材料間の微妙な違いを「見る」ことを可能にするセンサーを使用して、南西部の18万平方マイル以上の地域を調査し、世界最大の高品質ハイパースペクトラル調査を完了させる。
Updating the U.S.’s critical minerals market data. Next month, USGS will publish its 2025 Mineral Commodity Summaries.These annual reports help forecast supply chain disruptions resulting from a variety of risks including pandemics, natural disasters, and trade wars, and are the U.S.’s authoritative source of data on the supply, demand, and consumption of 100 mineral commodities. Additionally, last month, researchers at the USGS National Minerals Information Center developed a new model to assess how disruptions of critical mineral supplies may affect the U.S. economy. This model reflects the latest whole-of-government risk and resilience methodology. ・米国の重要な鉱物市場データの更新。来月、USGSは2025年の鉱物商品概要を公表する。この年次報告書は、パンデミック、自然災害、貿易戦争など、さまざまなリスクに起因するサプライチェーンの混乱を予測するのに役立つもので、100種類の鉱物商品の供給、需要、消費に関する米国の信頼性の高いデータソースである。さらに、先月、USGS国立鉱物情報センターの研究者は、重要な鉱物供給の混乱が米国経済にどのような影響を与えるかをアセスメントするための新しいモデルを開発した。このモデルは、政府全体の最新のリスクおよびレジリエンスの方法論を反映している。
Food and Agriculture 食品および農業
Making $116 million in new investments to expand domestic fertilizer production. Today, the Department of Agriculture (USDA) is announcing eight new awards through its Fertilizer Production Expansion Program, part of a broader effort to increase American-made fertilizer production to spur competition and combat price hikes on U.S. farmers. Since President Biden announced the program in 2022, USDA has invested $517 million in 76 fertilizer production facilities to expand access to domestic fertilizer options for American farmers in 34 states and Puerto Rico. These investments will increase U.S. fertilizer production by 11.8 million tons annually and create more than 1,300 jobs in rural communities.This funding builds on the more than $1.4 billion USDA has invested to build or expand small and medium sized processing facilities and to create a more resilient U.S. food supply chain which gives farmers more market options while providing consumers with more choices and affordable grocery prices. 国内の肥料生産を拡大するために1億1600万ドルの新規投資を行う。本日、米国農務省(USDA)は、米国製肥料の生産量を増やし、競争を促進し、米国の農家に対する価格高騰に対処するためのより広範な取り組みの一環である肥料生産拡大プログラムを通じて、新たに8件の助成金を発表した。バイデン大統領が2022年に同プログラムを発表して以来、USDAは34州とプエルトリコの米国農家が国内の肥料オプションを利用できるようにするため、76の肥料生産施設に5億1700万ドルを投資してきた。これらの投資により、米国の肥料生産量は年間1,180万トン増加し、農村地域で1,300人以上の雇用が創出される。この資金は、米国農務省が中小規模の加工施設の建設や拡張、および米国の食品サプライチェーンのレジリエンス強化に投資した14億ドル以上を基にしている。これにより、農家にはより多くの市場オプションが提供され、消費者はより多くの選択肢と手頃な価格の食料品を手に入れることができる。
Medical Products 医療製品
Investing an additional $26 million in domestic sterilization capacity. Building on recent investments in industrial base capability and capacity expansion through DPA Title III authorities and Public-Private Partnerships, the Department of Health and Human Services (HHS) expects additional investments of $26 millionin alternative sterilization capacity before the end of 2024. 国内の滅菌能力にさらに2,600万ドルを投資する。保健社会福祉省(HHS)は、DPA第3条の認可と官民パートナーシップを通じた産業基盤能力および能力拡大への最近の投資を基に、2024年末までに代替滅菌能力にさらに2,600万ドルを投資する予定である。
・Releasing an action plan for the next four years. HHS will publish its Draft 2025-2028 Action Plan for Addressing Shortages of Medical Products and Strengthening the Resilience of Medical Product Supply Chains, outlining supply chain resilience goals and a strategic plan to achieve them. The HHS Action Plan will also include an HHS Research Plan to collate HHS and academic research priorities that would promote Action Plan goals. 今後4年間の行動計画を発表する。HHSは「医療製品の不足に対処し、医療製品のサプライチェーンのレジリエンスを強化するための2025年から2028年までの行動計画を発表し、サプライチェーンのレジリエンス目標とそれを達成するための戦略的計画を概説する。HHSの行動計画には、行動計画の目標を推進するHHSと学術研究の優先事項をまとめるHHS研究計画も含まれる。
・Issuing stronger supply chain standards for hospitals to combat drug shortages. In notice and comment rulemaking, CMS intends to propose new Conditions of Participation requiring hospitals to have certain processes to address and prevent medication shortages. 医薬品不足に対処するための、より強固な病院向けサプライチェーン標準の策定。通知および意見提出による規則制定において、CMSは、医薬品不足に対処し、防止するための特定のプロセスを病院に義務付ける新たな参加条件を提案する予定である。
Semiconductors and Other Technologies 半導体およびその他の技術
・Investing in domestic production. CHIPS for America has awarded over $26 billion in incentives to advance domestic production in semiconductors and the supply chain. Now, America is home to all five of the world’s leading-edge logic and memory providers, while no other economy has more than two. Since the beginning of the Biden-Harris Administration, semiconductor and electronics companies have announced nearly $450 billion in private investments, catalyzed in large part by public investment. 国内生産への投資。CHIPS for Americaは、半導体およびサプライチェーンの国内生産を促進するために、260億ドル以上のインセンティブを授与した。現在、米国には世界最先端のロジックおよびメモリのプロバイダが5社すべて存在しているが、他のどの経済圏にも2社以上は存在していない。バイデン=ハリス政権発足以来、半導体および電子機器企業は、公的投資が大きな要因となって、4500億ドル近い民間投資を発表している。
・Reducing national security risks in federal supply chains. The Department of Defense, General Services Administration (GSA), and National Aeronautics and Space Administration (NASA) are finalizing a rule implementing Section 5949 of the James M. Inhofe National Defense Authorization Act for Fiscal Year 2023, which prohibits agencies from procuring or obtaining certain products and services that include semiconductors from entities of concern. 連邦政府のサプライチェーンにおける国家安全保障リスクの低減。国防総省、一般調達局(GSA)、および航空宇宙局(NASA)は、懸念される事業体から半導体を含む特定の製品やサービスを調達または入手することを政府機関に禁じる、2023年度のジェームズ・M・インホフ国防権限法の第5949条を実施する規則を最終決定している。
・Promoting the U.S. government’s use of domestically manufactured semiconductors. The Made in America Office and Office of Federal Procurement Policy (OFPP) has released a Request for Information (RFI) to gauge the best ways for government contractors to scale up their use of domestically manufactured chips, particularly for critical infrastructure. Responses solicit commercial ideas from industry that may inform future policymaking in support of the government-wide effort to leverage existing manufacturing capacity. ・米国政府による国内製造の半導体の利用を促進する。メイド・イン・米国事務局および連邦調達政策局(OFPP)は、政府請負業者が国内製造のチップの利用を拡大する最善の方法を評価するための情報提供依頼(RFI)を公表した。特に重要なインフラストラクチャを対象としている。回答は、既存の製造能力を活用する政府全体の取り組みを支援する今後の政策立案に役立つ可能性がある業界からの商業的なアイデアを求めている。
・Incentivizing supply chain diversity, competition, and transparency. The Office of Management and Budget (OMB) is issuing guidance to help the Federal Government—the world’s largest buyer—organize its demand for domestic semiconductors so that agencies can mitigate the risk posed by undue dependence on foreign manufacturing, limited competition, and possible higher manufacturing costs. The effort encourages agencies to develop strategies to dual or multiple source semiconductors, increase transparency for critical infrastructure supply chains, and provide the government’s forecasted demand for the products and services that use these chips. サプライチェーンの多様性、競争、透明性を促進する。世界最大の購買者である連邦政府が国内半導体に対する需要を整理し、各機関が外国製造事業者への過度な依存、限定的な競争、製造コスト上昇のリスクを緩和できるよう、行政管理予算局(OMB)はガイダンスを発行している。この取り組みでは、政府機関が半導体のデュアルソース化またはマルチソース化戦略を策定し、重要なインフラストラクチャのサプライチェーンの透明性を高め、これらのチップを使用する製品やサービスに対する政府の予測需要を提供することを奨励している。
・Protecting American businesses from unfair trade practices. In May, the President announced increased Section 301 tariffs on semiconductor imports from China, which were finalized by the USTR in September, as part of the Biden-Harris Administration’s efforts to further protect American semiconductor manufacturing and the sustainability of domestic investments. 米国企業を不公正な貿易慣行から防御する。5月、大統領は中国からの半導体輸入事業者に対するセクション301関税の引き上げを発表し、9月にUSTR(米通商代表部)がこれを最終決定した。これは、バイデン=ハリス政権が米国の半導体製造と国内投資の持続可能性をさらに保護するための取り組みの一環である。
Transportation 輸送
・Helping states improve their supply chain operations. The Department of Transportation (DOT) continues to advance this work by working closely with other levels of government and industry stakeholders. DOT’s Freight Office is establishing the National Multimodal Freight Network to assist States in strategically directing resources toward improved system performance for the efficient movement of freight on the Network, to inform freight transportation planning, and to assist in the prioritization of Federal investment. ・州によるサプライチェーン業務の改善を支援する。運輸省(DOT)は、他の政府レベルおよび業界関係者と緊密に連携しながら、この取り組みを継続的に推進している。DOTの貨物局は、州がネットワーク上の貨物の効率的な移動に向けたシステムパフォーマンスの改善に戦略的にリソースを配分し、貨物輸送計画に情報を提供し、連邦投資の優先順位付けを支援することを目的として、全国複合輸送ネットワークを構築している。
・Expanding visibility into ocean freight supply chains. Today, DOT is announcing that it has added more members to the Freight Logistics Optimization Works (FLOW) program, a public-private partnership to build an integrated view of U.S. supply chain conditions, and which supported the response to the Francis Scott Key Bridge collapse. Today, FLOW now includes eight of the largest ten container ports representing over 80% of all U.S. imports; nine of the largest ten ocean carriers representing over 70% of all U.S. imports; and six of the largest ten importers. 海上貨物サプライチェーンの可視性を拡大する。本日、DOTは、米国のサプライチェーン状況の統合的な見解を構築するための官民パートナーシップである貨物物流最適化ワーク(FLOW)プログラムに、新たなメンバーを追加したことを発表した。FLOWは、フランシス・スコット・キー橋崩落事故への対応を支援した。現在、FLOWには、米国の輸入量の80%以上を占める最大10のコンテナ港のうち8つ、米国の輸入量の70%以上を占める最大10の海運会社のうち9つ、そして最大10の輸入事業者のうち6つが参加している。
・Building the transportation of tomorrow. USTDA, DFC, and EXIM are all making investments to improve transportation across air, land, and sea. EXIM’s investments will expand U.S. exports of all electric-powered aircraft, while USTDA is improving the efficiency and safety of freight rail and digital customs processes. In areas around the world with high vessel traffic, DFC is also developing new ports to move goods in critical supply chains from place to place. Since its creation, DFC investments in critical infrastructure have transported over 64 million passengers alone. 明日の輸送手段を構築する。USTDA、DFC、EXIMは、航空、陸上、海上の輸送手段の改善に投資している。EXIMの投資は、全電気動力航空機の米国輸出の拡大につながる。一方、USTDAは貨物鉄道とデジタル通関手続きの効率性と安全性の改善に取り組んでいる。船舶交通量の多い世界の各地域では、DFCもまた、重要なサプライチェーンにおける貨物の輸送を目的とした新たな港湾の開発を進めている。DFCが設立されて以来、重要なインフラへの投資により、輸送された乗客数は6400万人を超えている。
Defense 国防
・Releasing a National Defense Industrial Strategy and Implementation Plan. This fall, the Department of Defense (DoD) released the Implementation Plan to accompany its first-ever National Defense Industrial Strategy (NDIS). The NDIS is guiding investments to strengthen supply chain resilience, including by purchasing key elements that we need for sustainable defense production. For example, the United States has invested $215 million to boost production of solid rocket motors, which are one of the most critical components used in our advanced missile systems. ・国防産業戦略および実施計画を発表。今秋、国防総省(DoD)は、初の国防産業戦略(NDIS)に付随する実施計画を発表した。NDISは、持続可能な防衛生産に必要な主要要素の購入を含め、サプライチェーンのレジリエンス強化に向けた投資を導いている。例えば、米国は、先進的なミサイルシステムで使用される最も重要な部品のひとつである固体ロケットモーターの生産を促進するために、2億1500万ドルを投資している。
・Establishing domestic manufacturing capability for strategic and critical materials. From mid-2023 through September 2024, DoD invested $250 million in defense-critical materials such as graphite, lithium, niobium oxide, and manganese. These investments will ensure secure access to sources and to domestic separation and processing in support of a range of defense applications, from large-capacity batteries to advanced aircraft to microelectronics. 戦略上および重要な材料の国内製造能力の確立。2023年半ばから2024年9月にかけて、国防総省は、黒鉛、リチウム、酸化ニオブ、マンガンなどの国防上重要な材料に2億5000万ドルを投資した。これらの投資により、大容量バッテリーから先進航空機、マイクロエレクトロニクスに至るまで、さまざまな防衛用途を支える供給源や国内での分離・処理への安全なアクセスが確保される。
・Investing in the defense industrial base workforce. The defense supply chain depends in large part on a strong and vibrant workforce. The Administration has pursued numerous initiatives to ensure Americans can access jobs in the defense industrial sector that pay competitive wages and get the training they need to turn these jobs into meaningful careers. Earlier this year, the Navy partnered with the Departments of Education and Labor and with the State of Michigan to launch the Michigan Maritime Manufacturing Initiative, which expands regional training pipelines for the submarine industry into the Great Lakes region. 防衛産業基盤の労働力への投資。防衛サプライチェーンは、強力で活力のある労働力に大きく依存している。政権は、米国人が防衛産業部門で競争力のある賃金の仕事に就き、その仕事を有意義なキャリアに変えるために必要な訓練を受けられるように、数多くのイニシアティブを推進してきた。今年初め、海軍は教育省、労働省、ミシガン州と提携し、潜水艦産業の地域訓練パイプラインを五大湖地域に拡大する「ミシガン海事製造イニシアティブ」を開始した。
Strengthening U.S. Government Data, Analytics, and Response Capacity 米国政府のデータ、分析、対応能力の強化
・Preparing for a second Supply Chain Summit. In September 2024, the Department of Commerce held its first Supply Chain Summit. Commerce convened officials from government, industry, academia, and civil society to discuss how to effectively prepare for and respond to supply chain disruptions, as well as proactively improve supply chain resilience. Commerce will host another Supply Chain Summit in 2025. The Summit will bring together government, industry, and other stakeholders to examine continual progress made in increasing American supply chain resiliency. The date of the Summit will be announced in the months ahead. 第2回サプライチェーン・サミットの準備。2024年9月、商務省は初のサプライチェーン・サミットを開催した。商務省は、政府、産業界、学術界、市民社会の関係者を招集し、サプライチェーンの混乱に効果的に対応し、またサプライチェーンのレジリエンスを積極的に改善する方法について話し合った。商務省は2025年にもサプライチェーン・サミットを開催する予定である。サミットでは、政府、産業界、その他の利害関係者が一堂に会し、米国のサプライチェーンのレジリエンシー向上に向けた継続的な進捗状況を検証する。サミットの日程は今後数か月のうちに発表される予定である。
・Upgrading the new SCALE diagnostic tool. The Department of Commerce’s Industry and Analysis unit developed a first-of-its-kind supply chain diagnostic tool to assess supply chain risk across the whole of the U.S. economy. The tool proactively helps identify risks and strengthen the resilience of supply chains key to U.S. national and economic security. The Department of Commerce plans to launch a competition aimed at developing new data or analysis that can be used to expand the indicators of risk incorporated into the SCALE tool. 新しいSCALE診断ツールのアップグレード。商務省産業・分析部門は、米国経済全体におけるサプライチェーンのリスクをアセスメントする、世界初のサプライチェーン診断ツールを開発した。このツールは、米国の国家安全保障および経済安全保障の鍵となるサプライチェーンのリスクを事前に識別し、レジリエンシーを強化するのに役立つ。商務省は、SCALEツールに組み込まれたリスク指標を拡大するために使用できる新たなデータや分析の開発を目的としたコンテストの開催を計画している。
・Conducting supply chain tabletop exercises with industry. In 2025, Commerce will conduct two tabletop exercises with industry to better understand opportunities to address structural supply chain risks faced by the United States. One exercise will focus on supply chain risks in the chemicals industry; the second will focus on an emerging technology where it is critical the United States maintain a strategic advantage. 業界とのサプライチェーン机上訓練の実施。2025年、商務省は米国が直面する構造的なサプライチェーンリスクに対処する機会をよりよく理解するために、業界と2回の机上訓練を実施する。1回目の訓練は化学業界におけるサプライチェーンリスクに焦点を当てる。2回目の訓練は米国が戦略的優位性を維持することが不可欠な新技術に焦点を当てる。
・Addressing supply chain risks for “critical chemicals.” Working with the interagency, Commerce is developing a list of chemicals that are essential to critical supply chains, and where supply is insecure. Alongside this effort, Commerce is finalizing short-, medium- and long-term policy proposals to strengthen the supply chain. Elements of this work will form the basis of the Chemical Tabletop Exercise in 2025. ・「重要化学物質」のサプライチェーンリスクへの対応。商務省は、省庁間協力のもと、重要サプライチェーンに不可欠であり、供給が不安定な化学物質のリストを作成している。この取り組みと並行して、商務省はサプライチェーンを強化するための短期、中期、長期の政策提案をまとめている。この作業の要素は、2025年の「化学物質に関する机上訓練」の基礎となる。
Emerging Technologies 新興技術
・Convening industry on AI data centers. Commerce continues to drive efforts to get ahead of supply chain risks in critical and emerging technologies by developing playbooks and conducting deep dive assessments into emerging technologies such as quantum computing and clean hydrogen. In the second half of 2024, Commerce carried out a sprint to assess under-the-radar risks in AI data center supply chains, engaging more than 35 companies and leveraging in-house industry expertise and the SCALE tool to assess the highest-risk components and identify steps that government and industry can take to address them. In December, Commerce convened companies to share the results of its analysis and identify next steps. ・AIデータセンターに関する業界会議を開催。商務省は、重要技術および新興技術におけるサプライチェーンリスクに先手を打つための取り組みを推進し続けている。その取り組みの一環として、プレイブックの開発や、量子コンピューティングやクリーン水素などの新興技術に対する詳細なアセスメントを実施している。2024年後半、商務省はAIデータセンターのサプライチェーンにおける水面下で進行するリスクをアセスメントするスプリントを実施し、35社以上の企業を巻き込み、社内の業界専門知識とSCALEツールを活用して、最もリスクの高いコンポーネントを評価し、政府と業界がそれらに対処するために取ることができるステップを識別した。12月には、商務省は企業を招集し、分析結果を共有し、次のステップを識別した。
Building Resilience with Allies and Partners 同盟国およびパートナーとのレジリエンス構築
・Presidential Summit on Global Supply Chain Resilience. In October 2021, President Biden convened over a dozen world leaders to improve international collaboration on supply chain resilience. Following the President’s convening, the Secretaries of State and Commerce hosted a Supply Chain Ministerial to further advance this work. The original Joint Statement from the ministerial now has 31 signatories who have agreed to make global supply chains more transparent, diverse, secure, and sustainable. グローバルサプライチェーンのレジリエンスに関する大統領サミット。2021年10月、バイデン大統領は12人以上の世界のリーダーたちを招集し、サプライチェーンのレジリエンスに関する国際的な協力を改善した。大統領の招集に続き、国務長官と商務長官はサプライチェーン閣僚会議を主催し、この取り組みをさらに推進した。閣僚会議の共同声明には、現在、31カ国が署名しており、グローバルサプライチェーンの透明性、多様性、安全性、持続可能性を高めることに同意している。
・Indo-Pacific Economic Framework for Prosperity (IPEF) Supply Chain Agreement. The IPEF Supply Chain Agreement entered into force in February 2024 and will improve the preparedness, resilience, and competitiveness of regional supply chains. The United States and 13 Indo-Pacific partners have established a Supply Chain Council. In 2025, the Council will develop and implement action plans to strengthen supply chains across several critical industries. A Crisis Response Network will serve as a warning system for potential supply chain disruptions, and a Labor Rights Advisory Board will convene IPEF government officials, employers, and labor officials to improve labor rights and workforce development across regional supply chains. ・インド太平洋経済繁栄枠組み(IPEF)サプライチェーン協定。IPEFサプライチェーン協定は2024年2月に発効し、地域のサプライチェーンの準備態勢、レジリエンス、競争力を改善する。米国とインド太平洋地域の13のパートナーはサプライチェーン協議会を設立した。2025年には、同協議会は複数の重要産業におけるサプライチェーンを強化するための行動計画を策定し、実施する。危機対応ネットワークは潜在的なサプライチェーンの混乱に対する警告システムとして機能し、労働権諮問委員会はIPEFの政府関係者、雇用者、労働担当官を集め、地域サプライチェーン全体における労働権と労働力開発の改善を図る。
Eradicating forced labor from supply chains. As part of the Partnership for Workers’ Rights launched in 2023, the U.S. and Brazil worked with businesses and unions to address worker vulnerability to forced labor in supply chains for cattle, coffee, gold, charcoal, and other goods. ・サプライチェーンからの強制労働の根絶。2023年に発足した労働者の権利のためのパートナーシップの一環として、米国とブラジルは企業および労働組合と協力し、牛肉、コーヒー豆、金、木炭、その他の商品のサプライチェーンにおける強制労働に対する労働者の脆弱性に対処した。
Partnership for Global Infrastructure and Investment (PGI). PGI is a bipartisan initiative in partnership with the G7 to provide strategic, values-driven, and high-standard infrastructure and investment in low- and middle-income countries. Through initiatives like the Lobito Trans-Africa Corridor, highlighted on the President’s recent visit to Angola, the United States is working with partners to strengthen and diversify supply chains. ・グローバル・インフラおよび投資のためのパートナーシップ(PGI)。 PGIは、G7と連携した超党派のイニシアティブであり、低・中所得国に戦略的で価値観に基づく高水準のインフラおよび投資を提供することを目的としている。 最近の大統領のアンゴラ訪問で強調されたロビト・トランス・アフリカ回廊のようなイニシアティブを通じて、米国はパートナーと協力してサプライチェーンの強化と多様化に取り組んでいる。
・G7 Surge Financing Initiative. The U.S. International Development Finance Corporation (DFC), G7 development finance institutions (DFIs), European Investment Bank (EIB), International Finance Corporation (IFC), and MedAccess announced the Surge Financing Initiative for Medical Countermeasures (MCMs). Together, partners are working closely with global and regional health organizations to establish frameworks and innovative financing mechanisms to support more rapid and equitable pandemic response. ・G7サージ・ファイナンス・イニシアティブ。米国国際開発金融公社(DFC)、G7開発金融機関(DFIs)、欧州投資銀行(EIB)、国際金融公社(IFC)、およびMedAccessは、医療対策(MCMs)のためのサージ・ファイナンス・イニシアティブを発表した。パートナーは、世界および地域の保健機関と緊密に協力し、より迅速かつ公平なパンデミック対応を支援するための枠組みと革新的な資金調達メカニズムを構築している。
・Boosting critical mineral capacity with partners. DFC invested over $220m in rare earth, graphite, and nickel projects in the last four years, reducing dependence on strategic adversaries and improving resilience in the critical mineral supply chain. The Department of Labor, USAID, United States Trade and Development Agency (USTDA), and the State Department through the Minerals Security Partnership have also provided technical support to bring new capacity online to process critical minerals in line with international best practices. パートナーと協力して、重要な鉱物資源の生産能力を強化する。DFCは過去4年間で、レアアース、グラファイト、ニッケルプロジェクトに2億2000万ドル以上を投資し、戦略的敵対国への依存を減らし、重要な鉱物資源のサプライチェーンのレジリエンスを改善した。労働省、USAID、米国貿易開発局(USTDA)、国務省は、鉱物安全保障パートナーシップを通じて、国際的なベストプラクティスに沿った形で重要な鉱物資源の処理能力をオンラインで新たに提供するための技術支援も行っている。
・Strengthening resilient telecommunications. In Costa Rica, EXIM approved a preliminary commitment to support Costa Rica’s use of trusted vendors to deploy its 5G network. With Japan and Australia, DFC is supporting the delivery of high-quality telecommunication services for over 2.5 million subscribers across Papua New Guinea, Fiji, Vanuatu, Samoa, Tonga, and Nauru. ・レジリエンスの高い通信の強化。コスタリカでは、輸出入銀行は、コスタリカが信頼できるベンダーを活用して5Gネットワークを展開することを支援する予備的なコミットメントを承認した。日本およびオーストラリアと協力し、DFCはパプアニューギニア、フィジー、バヌアツ、サモア、トンガ、ナウルにまたがる250万人以上の加入者に対する高品質な通信サービスの提供を支援している。

 

 

・2024.12.19 Remarks by National Economic Advisor Lael Brainard on Making America’s Supply Chains More Resilient

Remarks by National Economic Advisor Lael Brainard on Making America’s Supply Chains More Resilient 国家経済アドバイザー、ラエル・ブレナードによる
At The Brookings Institution ブルッキングス研究所にて
As Prepared for Delivery 講演原稿
Supply Shocks and Supply Chain Fragility サプライショックとサプライチェーンの脆弱性
I am delighted to join you for this discussion on strengthening America’s supply chains as we release the first ever Quadrennial Supply Chain Review. 米国のサプライチェーン強化に関するこの議論に参加できることを嬉しく思う。
When President Biden came into office, the economy was experiencing the most disruptive supply shocks in a generation. Shipping costs skyrocketed as over a hundred ships queued up at the Ports of Los Angeles and Long Beach, and thousands of containers piled up on our docks. And when Russia invaded Ukraine, we saw further shocks, disrupting global grain and energy markets. バイデン大統領が就任した当時、経済は数十年で最も深刻なサプライショックに見舞われていた。ロサンゼルス港とロングビーチ港に100隻以上の船舶が列をなしたことで輸送コストが急騰し、数千個のコンテナが埠頭に山積みされた。さらに、ロシアがウクライナに侵攻したことで、世界的な穀物およびエネルギー市場にさらなる混乱が生じた。
Following several decades of relative calm, the Global Supply Chain Pressure Index spiked to unprecedented levels. As disruptions led to shortages and price increases, goods inflation surged, after falling for much of the pandemic shutdown in 2020, tracking supply chain disruptions closely with a short lag. 数十年にわたる比較的平穏な状態を経て、グローバルサプライチェーン圧力指数は前例のないレベルに急上昇した。混乱が不足と価格上昇につながり、2020年のパンデミックによる閉鎖の大部分で下落した後、サプライチェーンの混乱に遅れて追随するように、商品のインフレが急上昇した。
Not since the oil price shocks of the 1970s had the U.S. economy experienced aggregate supply shocks of this magnitude. Both businesses and government were woefully unprepared. 1970年代の石油価格ショック以来、米国経済はこれほど大きな総供給ショックを経験したことはなかった。企業も政府もまったく準備ができていなかった。
Market pressures led businesses to adopt just-in-time, lean inventory practices and to seek out the lowest- cost production location for many components in their far-flung value chains. We now know that this came at a cost. When the pandemic shuttered semiconductor factories overseas, unfinished auto assemblies began piling up in America. Car and washing machine prices spiked, and wait lists lengthened. 市場の圧力により、企業はジャストインタイム方式や在庫のスリム化を導入し、広範囲にわたるバリューチェーンの多くの部品について、最もコストの低い生産地を探すようになった。 しかし、このことが結局はコスト高につながったことが今では明らかになっている。 パンデミックにより海外の半導体工場が閉鎖されると、アメリカ国内では未完成の自動車組立品が山積みされるようになった。 自動車や洗濯機の価格が高騰し、予約待ちリストは長くなった。
The government had neglected to make critical investments in the resilience of our supply chains. Rails, ports, roads, bridges, and airports had fallen behind as successive administrations failed to secure the necessary infrastructure funding from Congress and did not take action as some foreign governments provided significant non-market incentives for investments in key strategic industries. 政府は、サプライチェーンのレジリエンスに対する重要な投資を怠っていた。歴代政権が議会から必要なインフラ資金を得ることができず、また、一部の外国政府が主要戦略産業への投資に対して市場外のインセンティブを大幅に提供していたにもかかわらず、政府は、鉄道、港湾、道路、橋、空港などの整備を怠っていた。
A New Playbook for Supply Chain Resilience サプライチェーンのレジリエンスのための新たな戦略
In short, we needed a new strategy to make our supply chains more resilient—and new partnerships with businesses and labor to make it work, as well as with foreign friends and allies. In his first month in office, the President signed the Executive Order on Supply Chains laying out a strategy to strengthen our supply chains. The new playbook rests on recovery, risk management, investment, and diversification. つまり、サプライチェーンのレジリエンスを高めるための新たな戦略が必要であり、それを実現するには、企業や労働組合、そして外国の友人や同盟国との新たなパートナーシップが必要であった。大統領は就任後1か月で、サプライチェーンに関する大統領令に署名し、サプライチェーンを強化するための戦略を打ち出した。新たな戦略は、回復、リスクマネジメント、投資、そして多様化を基盤としている。
Recovery 回復
The first order of business was to restart the flow of goods.  The Administration immediately stood up a Supply Chain Disruptions Task Force to work with state and local officials, businesses, labor groups, and farmers to resolve bottlenecks. まず最初に取り組んだのは、商品の流れを再開することだった。政権は直ちに、州および地方の当局者、企業、労働組合、農家と協力してボトルネックの解消に取り組むため、サプライチェーン混乱対策本部を立ち上げた。
An acute shortage of truck drivers was creating a major bottleneck for the 72% of shipments that move around the country by truck. In response, the Departments of Labor and Transportation implemented the Trucking Action Plan, which increased trucking employment by the most in two decades and doubled the issuance of commercial drivers’ licenses. トラック運転手の深刻な不足が、全米の輸送量の72%を占めるトラック輸送の大きなボトルネックとなっていた。これを受けて、労働省と運輸省は「トラック輸送行動計画」を実施し、トラック輸送の雇用を過去20年間で最も増加させ、商用運転免許証の交付数を倍増させた。
Similarly, with cargo piling up at our West Coast ports, the President appointed a Port Envoy, who worked with businesses and labor to clear the docks and get shipments moving again. As a result, the shelves were restocked in time for the Christmas shopping season. 同様に、西海岸の港で貨物が積み上がったため、大統領は港湾特使を任命し、港湾特使は企業や労働組合と協力して埠頭の整理を行い、貨物の輸送を再開させた。その結果、クリスマス商戦に間に合うように棚に商品が再び並ぶこととなった。
Risk Identification and Management リスクの特定とマネジメント
Our goal was not only to restore the nation’s supply chains but also to build capacity to spot emerging risks and to resolve emerging problems sooner. We worked to build durable capabilities in key agencies to enable data analytics and information sharing with the private sector and states and localities.   私たちの目標は、米国のサプライチェーンを復旧させるだけでなく、新たなリスクを察知し、新たな問題をより迅速に解決する能力を構築することでもあった。私たちは、主要機関に持続可能な能力を構築し、民間部門や州、地方自治体とのデータ分析や情報共有を可能にするよう努めた。 
These new supply disruptions capabilities strengthened our ability to respond in 2022 to a significant baby formula supply shortfall due to a production quality lapse. To restore supply, the Administration used the Defense Production Act to get ingredients to manufacturers, coordinated air freight shipments of formula from overseas, and provided expedited pathways for new manufacturers to enter the market. こうした新たな供給途絶への対応能力は、2022年に品質管理上の過失により粉ミルクの供給が大幅に不足した際の対応能力を強化した。供給を回復するために、政権は国防生産法(Defense Production Act)を活用して製造事業者に原材料を供給し、海外からの粉ミルクの航空貨物輸送を調整し、新規製造事業者が市場に参入するための迅速な経路を提供した。
The Department of Transportation built out a new Multimodal Freight Office and a Transportation Supply Chain Indicators Tracker that gathers and publishes metrics in real time on container dwell times, sectoral employment trends, and rail intermodal volumes. Now when we start seeing a back-up in any of our ports, we can take action right away. 運輸省は、新しい複合輸送貨物事務所と、コンテナの滞留時間、部門別の雇用動向、鉄道の複合輸送量に関する指標をリアルタイムで収集・公表する輸送サプライチェーン指標トラッカーを構築した。これにより、港湾で渋滞が発生し始めた時点で、直ちに対策を講じることができるようになった。
The Department of Commerce created a new Supply Chain Center with a first-of-its-kind diagnostic risk assessment tool known as SCALE. SCALE utilizes a comprehensive set of over 40 indicators of risk such as supplier concentration, reliance on a single point of entry, and inventory-to-sales ratios to evaluate supply chain conditions across more than 400 industries. With this new data, we can spot looming challenges early and take action before they become a crisis. 商務省は、SCALEと呼ばれる業界初の診断リスクアセスメントツールを備えた新しいサプライチェーンセンターを設立した。SCALEは、サプライヤーの集中、単一のエントリーポイントへの依存、在庫対売上高比率など、40以上のリスク指標の包括的なセットを活用し、400以上の産業にわたるサプライチェーンの状態を評価する。この新しいデータにより、差し迫った課題を早期に発見し、危機に発展する前に対策を講じることができる。
These data tools are critical for the private sector no less than for the government. When crisis strikes, the hundreds of independent operators that rely on or support our logistics networks must make decisions based on the information that is available to them, which may be only part of the bigger picture. It was vital to institutionalize greater data sharing and coordination to enable the hundreds of independent operators to manage risks more effectively. これらのデータツールは、政府のみならず民間企業にとっても不可欠である。危機が発生した際には、当社のロジスティクスネットワークに依存または支援している数百の独立事業者は、入手可能な情報に基づいて意思決定を行わなければならないが、その情報は全体像の一部に過ぎない可能性がある。数百の独立事業者がリスクをより効果的に管理できるようにするためには、より広範なデータ共有と調整を制度化することが不可欠であった。
The Department of Transportation created the Freight Logistics Optimization Works (“FLOW”) program, a public-private partnership that has built a shared data resource picture of live supply chain networks. Today, more than 85 FLOW participants use these data to inform their logistics decision making, helping to avoid bottlenecks, and shorten lead times for American businesses and consumers. 運輸省は、官民パートナーシップによる「貨物物流最適化作業(FLOW)」プログラムを創設し、稼働中のサプライチェーンネットワークの共有データリソース画像を構築した。現在では、85社以上のFLOW参加者がこれらのデータを利用して物流に関する意思決定を行い、ボトルネックの回避や、米国の企業および消費者向けのリードタイムの短縮に役立てている。
The collapse of the Francis Scott Key Bridge in Baltimore last spring was a crucial test of whether the new capacity we had built around supply chains would work in a crisis. Hours after a ship crashed into the bridge at 1:30 A.M., the federal government had already convened the Supply Chain Disruptions Task Force to minimize disruptions to the critical goods moving in and out of the port. We were immediately in communication with state and local officials, and we initiated calls with shipping companies, labor unions, ocean carriers, and other ports along the East Coast. We coordinated with rail and trucking companies to help reroute the flow of critical goods in real-time. This all-hands-on-deck approach kept goods flowing throughout the region, workers at their jobs, and the local economy operating at full capacity until the Port of Baltimore was able to fully reopen in less than three months. 昨春ボルチモアで起きたフランシス・スコット・キー橋の崩落事故は、サプライチェーンの周辺に構築した新たな能力が危機的状況下で機能するかどうかを試す重要なテストとなった。午前1時30分に船が橋に衝突してから数時間後には、連邦政府はすでにサプライチェーン混乱対策本部を招集し、港への出入りする重要物資の混乱を最小限に抑えるための対策を講じていた。私たちはすぐに州および地元当局者とコミュニケーションを取り、海運会社、労働組合、海上輸送業者、そして東海岸の他の港と連絡を取り始めた。 また、鉄道会社やトラック運送会社と連携し、重要物資の流れをリアルタイムで迂回させる手配をした。この総力戦的なアプローチにより、ボルティモア港が3か月足らずで全面的に再開するまで、地域全体で商品の流れが維持され、労働者が仕事を続け、地域経済がフル稼働を続けることができた。
Investing in Infrastructure and Manufacturing インフラと製造事業者への投資
The pandemic supply chain crisis also highlighted the costs of decades of underinvestment in the supply side of our economy. Our nation’s infrastructure had fallen further and further behind. Companies spread their supply chains to far flung parts of the globe as they focused on the costs of inputs, and not on the risks associated with where they were made. パンデミックによるサプライチェーンの危機は、経済の供給側への数十年にわたる過少投資の代償を浮き彫りにした。わが国のインフラはますます立ち遅れていた。企業は、原材料費に注目し、製造地に関連するリスクには目を向けなかったため、サプライチェーンを地球の裏側まで広げていた。
In response, the President secured landmark legislation to revive the federal government’s role in supporting private sector investment in the critical value chains that underpin our economic and national security. これを受けて、大統領は画期的な法案を成立させ、経済および国家の安全保障を支える重要なバリューチェーンへの民間投資を支援する連邦政府の役割を復活させた。
Thanks to the Bipartisan Infrastructure Law, the federal government has so far invested more than $568 billion in American infrastructure across 66,000 different projects. We are investing $8.7 billion in 18 of the nation’s most economically significant bridges that are vital to our supply chains, and we have announced $13 billion to improve our ports. These are investments that will pay dividends for decades to come. 超党派インフラ法のおかげで、連邦政府はこれまでに6万6000件のプロジェクトにわたって、アメリカのインフラに5680億ドル以上を投資してきた。 サプライチェーンに不可欠な、国内で最も経済的に重要な18の橋に87億ドルを投資し、港湾改善に130億ドルを投じることを発表した。 これらは今後数十年にわたって利益をもたらす投資である。
When the President took office, almost 90% of semiconductors—vital for everything from advanced AI to gaming—were manufactured abroad. In the energy sector, we rely on China for more than 80% of the solar manufacturing supply chain, and there are at least 30 foundational mineral commodities for which the U.S. is more than 75% net import reliant—in many cases on sources that are Chinese or owned by Chinese producers. These aren’t just economic vulnerabilities—they are national security risks, and we cannot afford to wait until there is a disruption to take action 大統領就任時、先進的なAIからゲームまであらゆるものに不可欠な半導体のほぼ90%が海外で製造されていた。エネルギー分野では、太陽光パネル製造のサプライチェーンの80%以上を中国に依存しており、米国は少なくとも30種類の基礎鉱物資源の75%以上を純輸入に頼っているが、その多くは中国または中国企業が所有する供給源から輸入している。これらは単なる経済的な脆弱性にとどまらず、国家安全保障上のリスクであり、混乱が生じてから行動を起こすまで待っている余裕はない。
Together, the landmark CHIPS and Science Act and Inflation Reduction Act (IRA) have catalyzed nearly $1 trillion in announced private-sector investments in critical industries. Because of the CHIPS and Science Act, the U.S. is now projected to host nearly 30% of global leading-edge semiconductor manufacturing—up from zero—and we are already seeing the leading global manufacturer achieve production yields in the U.S. that are comparable to those in Taiwan. 画期的な半導体・科学技術法(CHIPS and Science Act)とインフレ削減法(IRA)が相まって、重要な産業分野における民間部門の発表済み投資額は1兆ドル近くに達した。半導体・科学技術法(CHIPS and Science Act)により、米国は現在、世界の最先端半導体製造のほぼ30%を占める見通しとなっている(ゼロから増加)。また、世界をリードする製造事業者が米国で達成した生産歩留まりは、台湾と同等である。
Similarly, when the President entered office, U.S. producers were only able to supply 5 percent of global lithium demand. Because of the clean energy provisions of the IRA, the U.S. is now on track to supply more than one-fifth of global lithium demand outside of China by 2030, enabling us to power grid storage batteries and electric vehicles. 同様に、オバマ大統領が就任した当時、米国の生産者は世界のリチウム需要の5パーセントしか供給できていなかった。IRAのクリーンエネルギー条項により、米国は2030年までに世界の需要の5分の1以上を中国以外で供給する見通しとなり、送電網の蓄電池や電気自動車の電源を確保できるようになった。
Diversification of Supply Chains サプライチェーンの多様化
We are also working with likeminded partners to diversify our supply chains and manage risks. China has used a wide range of non-market practices to gain significant global share in key supply chains, including legacy semiconductors and electric vehicles. China’s growing overcapacity has caused a proliferation of unfairly low-priced exports that now make it difficult for competitors to meet market hurdles for investment and production. To level the playing field, we have coupled our investment incentives with tough trade enforcement measures like tariffs that are carefully targeted against those unfair trade practices in strategic sectors. Today’s Quadrennial Review lays out a comprehensive set of additional actions related to procurement, supply chain transparency, and market standards to counter non-market practices. また、志を同じくするパートナーと協力し、サプライチェーンの多様化とリスクマネジメントにも取り組んでいる。中国は、レガシー半導体や電気自動車など、主要なサプライチェーンにおいて世界的なシェアを大幅に拡大するために、幅広い非市場慣行を活用してきた。中国の生産能力の過剰拡大により、不当に低価格な輸出が急増し、今では競合他社が投資や生産に必要な市場のハードルをクリアすることが困難になっている。競争条件を公平にするため、我々は投資奨励策を、戦略的分野における不公正な貿易慣行を厳密に標的とした関税などの厳しい貿易執行措置と組み合わせている。今日の4年ごとの見直しでは、調達、サプライチェーンの透明性、市場標準に関する追加の包括的な行動計画を策定し、非市場慣行に対抗する。
Importantly, we are partnering with allies to diversify global supply chains and ensure they are not excessively dependent on Chinese companies. By aligning our approaches, we are helping to ensure that the most vital global supply chains are diversified and China cannot undercut American industries, businesses, workers. 重要なのは、同盟国と協力してグローバルなサプライチェーンを多様化し、中国企業に過度に依存しないようにすることである。我々のアプローチを一致させることで、最も重要なグローバルなサプライチェーンの多様化を確保し、中国が米国の産業、企業、労働者を切り崩すことができないようにしている。
Building Future Resilience 未来のレジリエンスの構築
We have come a long way. The Global Supply Chain Pressures Index, which in 2021 peaked at 4.4 standard deviations above its historical average, is now negative—a sharp decrease. The number of container ship stuck off our shores waiting to unload has fallen from almost 150 three years ago to around a dozen today. The days of sales covered by retailers’ inventories has increased by nearly 10% since June 2021 and is now close to the pre-pandemic average. Shipping rates to the West Coast have fallen from over $20,000 per container at the peak of the disruption back down to around $4,400. 私たちは長い道のりを歩んできた。2021年に歴史的平均値を4.4標準偏差上回るピークに達したグローバル・サプライチェーン圧力指数は、現在ではマイナスとなり、急激に減少している。沖合で荷降ろしを待機するコンテナ船の数は、3年前の約150隻から現在は12隻程度に減少している。小売業者の在庫で販売をカバーする日数は、2021年6月以来ほぼ10%増加し、現在はパンデミック前の平均値に近づいている。西海岸への輸送料金は、混乱のピーク時にはコンテナ1個あたり2万ドルを超えていたが、現在は4,400ドル程度まで下落している。
The work on strengthening America’s supply chains should continue since we are likely to encounter additional supply shocks in the years ahead. In the past 4 years alone, we have confronted supply chain disruptions not only from the pandemic but also from hurricanes, foreign wars, and cyberattacks targeting critical infrastructure and digital supply chains. We saw 28 climate disasters last year that each cost at least a billion dollars—the highest number in U.S. history. Geostrategic instability, including Russia’s war in Ukraine and conflict in the Middle East, continues to disrupt global energy markets. Cyber actors regularly target supply chain operators as a way to take down major companies, including hospitals. And we have seen a variety of disruptions in shipping, including the Houthi attacks on cargo ships in the Red Sea and reduced water levels in the Panama Canall. 今後数年間でさらなる供給ショックに直面する可能性が高いことから、米国のサプライチェーンの強化に向けた取り組みは継続すべきである。過去4年間だけでも、パンデミックだけでなく、ハリケーン、外国での戦争、重要なインフラやデジタルサプライチェーンを標的としたサイバー攻撃によるサプライチェーンの混乱に直面してきた。昨年は、それぞれ少なくとも10億ドルの被害をもたらした気候災害が28件発生しており、これは米国史上最多の件数である。ロシアによるウクライナ侵攻や中東での紛争を含む地政学的な不安定さは、世界のエネルギー市場を混乱させ続けている。サイバー犯罪者は、病院などの大手企業を倒産させる手段として、サプライチェーンの運営者を定期的に標的にしている。また、紅海でのフーシ派による貨物船への攻撃やパナマ運河の水位低下など、海運におけるさまざまな混乱も発生している。
NNew dependencies are constantly emerging, and some supply chain chokepoints create national security risks, such as the ability of a foreign adversary to cut off supplies of a key mineral used in defense applications. It will be important to utilize the full scope of our national security tools to protect supply chains when necessary, as with the Department of Commerce’s ICTS rulemaking on data security for connected vehicles, ensuring that foreign adversaries cannot exploit consumer products that Americans use every day for harmful purposes. 新たな依存関係が絶えず生み出されており、サプライチェーンのボトルネックの中には、国防用途で使用される主要な鉱物の供給を外国の敵対勢力が遮断できる能力など、国家安全保障リスクを生み出すものもある。必要に応じてサプライチェーンを防御するために、国家安全保障のツールを最大限に活用することが重要となる。例えば、コネクテッドカーのデータセキュリティに関する商務省のICTS規則制定のように、外国の敵対者がアメリカ人が日常的に使用する消費者製品を悪用できないようにする。
Certain critical product areas—including minerals, information technology components, and medical supply chains—will require additional investment to achieve an acceptable level of resilience. 特定の重要な製品分野(鉱物、情報技術コンポーネント、医療用サプライチェーンなど)では、許容できるレベルのレジリエンスを達成するために追加投資が必要となる。
We can’t repeat the mistakes of the past by allowing future core technologies to completely leave our shores. America’s global position in the strategic industries of tomorrow require ongoing active attention. We need to work in partnership with the private sector when they identify a critical bottleneck. For instance, it is important support the rapid development of the requisite compute power through clean energy in the U.S. for the most advanced AI models. 将来の中核技術が完全に国外に流出することを許しては、過去の過ちを繰り返すことになる。明日の戦略的産業における米国のグローバルな地位を維持するためには、継続的な積極的な関与が必要である。民間部門が重要なボトルネックを識別した場合には、民間部門と協力する必要がある。例えば、米国において、最先端のAIモデルに必要なコンピューティングパワーをクリーンエネルギーによって迅速に開発することは、重要な支援である。
Closing 結び
When they are working smoothly, most people don’t pay any attention to supply chains. But when supply chains break down, it can impose tremendous hardship on our households, workers, businesses, and farmers.  サプライチェーンが順調に機能しているときは、ほとんどの人は気にも留めない。しかし、サプライチェーンが崩壊すると、家庭、労働者、企業、農家などに多大な苦難をもたらすことになる。
Supply chain resilience has always been vital to our economic and national security. President Biden once invoked a proverb attributed to Benjamin Franklin: “For want of a nail, the shoe was lost. For want of a shoe, the horse was lost…” and on and on and until, finally, “the whole kingdom was lost, all for the want of a horseshoe nail.” Our nation’s founders recognized that the breakdown of even minor inputs or processes can cascade into monumental national costs. サプライチェーンのレジリエンスは、常に我々の経済および国家の安全保障にとって不可欠である。バイデン大統領はかつて、ベンジャミン・フランクリンに由来する諺を引用した。「釘が1本足りないために靴が失われ、靴が1足失われたために馬が失われ…」と続き、最終的に「蹄鉄用の釘が1本足りないために王国全体が失われた」という結末に至る。建国の父たちは、些細な投入やプロセスが途絶えることでも、国家に甚大なコストがもたらされる可能性があることを認識していた。
Building resilience in our supply chains is not a partisan effort. It’s a national priority borne out of hard-fought experience. It is also a shared responsibility—government enabled and private sector led. American workers are also vital to these efforts. サプライチェーンのレジリエンスを構築することは、特定の党派の取り組みではない。それは、苦い経験から得た教訓に基づく国家の優先事項である。また、政府が後押しし、民間部門が主導する共同責任でもある。アメリカの労働者もまた、この取り組みに不可欠である。
Today, not only have we recovered, we’ve come out stronger, and have laid the foundation for America’s supply chains to be more resilient in the years ahead.  Now it is important to build on this new playbook for resilient supply chains in partnership with business and government and in alignment with friends and partners around the world. 今日、私たちは回復しただけでなく、より強くなり、今後数年間でアメリカのサプライチェーンがよりレジリエンスを高めるための基盤を築いた。今、ビジネスと政府が連携し、世界中の友人やパートナーと協力しながら、この新しいレジリエントなサプライチェーンの戦略を構築することが重要である。
### ###

 

 

 

 

 

 

| | Comments (0)

2025.01.01

韓国 個人情報委員会 国民が信頼できる人工知能時代のためのAIプライバシーリスク管理モデルの提示 (2024.12.19)

こんにちは、丸山満彦です。

韓国の個人情報保護委員会が、国民が信頼できる人工知能時代のためのAIプライバシーリスク管理モデルを提示していますね...

 

개인정보위

・2024.12.19 국민이 신뢰할 수 있는 인공지능 시대를 위한 AI 프라이버시 리스크 관리 모델 제시

 

국민이 신뢰할 수 있는 인공지능 시대를 위한 AI 프라이버시 리스크 관리 모델 제시 国民が信頼できる人工知能時代のためのAIプライバシーリスク管理モデルの提示
(별첨) 안전한 인공지능(AI)·데이터 활용을 위한 AI 프라이버시 리스크 관리 모델(24.12.19.).pdf (別添) 安全な人工知能(AI)-データ活用のためのAIプライバシーリスク管理モデル(24.12.19.).pdf
 241220 (조간) 국민이 신뢰할 수 있는 인공지능 시대를 위한 AI 프라이버시 리스크 관리모델 제시(인공지능프라이버시팀).hwpx  241220 (朝刊) 国民が信頼できる人工知能時代のためのAIプライバシーリスク管理モデルの提示(人工知能プライバシーチーム).hwpx
 241220 (조간) 국민이 신뢰할 수 있는 인공지능 시대를 위한 AI 프라이버시 리스크 관리모델 제시(인공지능프라이버시팀).pdf  241220 (朝刊) 国民が信頼できる人工知能時代のためのAIプライバシーリスク管理モデルの提示(人工知能プライバシーチーム).pdf 
국민이 신뢰할 수 있는 인공지능 시대를 위한 AI 프라이버시 리스크 관리 모델 제시 国民が信頼できる人工知能時代のためのAIプライバシーリスク管理モデルの提示
- 개인정보위, 「안전한 인공지능(AI)·데이터 활용을 위한 AI 프라이버시 리스크 관리 모델」 공개 ・個人情報委員会が「安全な人工知能(AI)-データ活用のためのAIプライバシーリスク管理モデル」公開
- AI의 유형·용례 등 구체적 맥락에 따라 AI 기업 등이 자율적으로 프라이버시 리스크를 관리할 수 있도록 지원 ・AIの類型・用例など,具体的な文脈に応じてAI企業などが自律的にプライバシーリスクを管理できるように支援
  인공지능(AI) 모델·시스템을 개발하거나 제공할 때 프라이버시 리스크를 체계적으로 관리할 수 있는 정부 차원의 모델이 제시되었다.   人工知能(AI)モデル・システムを開発・提供する際、プライバシーリスクを体系的に管理できる政府レベルのモデルが提示された。
  개인정보보호위원회(위원장 고학수, 이하 ‘개인정보위’)는 AI 기업이 자율적으로 프라이버시 리스크를 관리할 수 있도록 「안전한 인공지능(AI)·데이터 활용을 위한 AI 프라이버시 리스크 관리 모델」(이하 ‘리스크 관리 모델’)을 공개했다. 이러한 리스크 관리 모델에는 AI 생애주기에 걸친 프라이버시 리스크 관리의 방향과 원칙, 리스크 유형, 경감방안을 체계적으로 담았다.   個人情報保護委員会(委員長コ・ハクス、以下「個人情報委員会」)は、AI企業が自律的にプライバシーリスクを管理できるように「安全な人工知能(AI)-データ活用のためのAIプライバシーリスク管理モデル」(以下「リスク管理モデル」)を公開した。このようなリスク管理モデルには、AIのライフサイクルに渡るプライバシーリスク管理の方向性と原則、リスクタイプ、軽減策を体系的に盛り込んだ。
  AI 시대의 데이터 처리방식은 개인정보 유·노출 등 전형적 프라이버시 리스크는 물론 딥페이크로 인한 인격권 침해 등 새로운 리스크를 유발하고 있다. 이러한 리스크를 적정하게 관리하는 것은 정보주체의 보호뿐만 아니라 지속 가능하고 신뢰할 수 있는 AI를 위해 필수적이고, 리스크에 대한 체계적인 이해를 바탕으로 비례적, 합리적 경감조치를 취할 필요가 있다.   AI時代のデータ処理方式は、個人情報の流・露出などの典型的なプライバシーリスクはもちろん、ディープフェイクによる人格権侵害などの新たなリスクを引き起こしている。このようなリスクを適切に管理することは、情報主体の保護だけでなく、持続可能で信頼できるAIのために必須であり、リスクに対する体系的な理解に基づいて比例的、合理的な軽減措置を取る必要がある。
  이에 따라 최근에 국내외 정부기관, 학계·연구계를 중심으로 AI 전반의 리스크에 대한 연구가 진행되고 리스크 관리 프레임워크가 마련되고 있지만 아직 초기 단계이다. 더구나, 프라이버시 리스크와 관련해서는 일선 현장에서 참고할 수 있는 정리된 자료가 부족했다.   これに伴い、最近、国内外の政府機関、学界・研究界を中心にAI全般のリスクに関する研究が進み、リスク管理の枠組みが整備されているが、まだ初期段階である。また、プライバシーリスクに関しては、第一線の現場で参考にできる整理された資料が不足していた。
  이에 개인정보위는 지난해 12월부터 「인공지능(AI) 프라이버시 민·관 정책협의회*」 리스크 평가 분과(2분과)의 논의를 중심으로 리스크 관리 모델을 마련했다. 리스크 관리 모델은 국내외 학계, 정부, 연구기관 등에서 논의되고 공감대가 형성되고 있는 AI 데이터 처리 특성, 프라이버시 리스크 유형, 리스크 경감방안 및 관리체계, 기업 사례 등을 집대성해 안내하는 자료로서, 본 안내서에서 제시되는 모든 개별조치의 이행이 반드시 요구되는 것은 아니다.   そこで、個人情報委員会は昨年12月から「人工知能(AI)プライバシー民-官政策協議会*」リスク評価分科(2分科)の議論を中心にリスク管理モデルを策定した。リスク管理モデルは、国内外の学界、政府、研究機関などで議論され、共感が形成されているAIデータ処理の特性、プライバシーリスクタイプ、リスク軽減方案及び管理体系、企業事例などを集約して案内する資料であり、本ガイドで提示されるすべての個別措置の履行が必ずしも要求されるわけではない。
   * 학계, 법조계, 산업계, 시민단체 등 인공지능(AI) 분야 차세대 전문가 32명으로 구성, 3개 분과(데이터 처리기준, 리스크 평가, 투명성 확보) 운영    * 学界、法曹界、産業界、市民団体など人工知能(AI)分野の次世代専門家32人で構成、3つの分科(データ処理基準、リスク評価、透明性確保)を運営。
  리스크 관리 모델의 주요 내용은 다음과 같다.   リスク管理モデルの主な内容は以下の通りである。
  ① AI 프라이버시 리스크 관리의 절차  ① AIプライバシーリスク管理の手順
  먼저, AI 프라이버시 리스크 관리 절차이다. AI는 매우 다양한 맥락·목적으로 활용되고 있어, 데이터 요구사항(종류, 형태, 규모 등) 및 처리방식이 다르다. 따라서 리스크의 성격을 결정짓고 관리하기 위한 출발점으로 먼저 ①AI의 구체적 유형·용례를 파악한다. 이를 토대로 AI 유형·용례별로 구체적 ②리스크를 식별하고, 리스크 발생확률, 중대성, 우선순위, 수용가능성 등 ③정성적·정량적 리스크 측정을 수행할 수 있다. 이후, ④리스크에 비례하는 안전조치를 마련함으로써 리스크를 체계적으로 관리할 수 있다.   まず、AIプライバシーリスク管理の手順である。AIは非常に多様な文脈・目的で活用されており、データ要件(種類、形態、規模など)および処理方法が異なる。 したがって、リスクの性質を決定し、管理するための出発点として、まず①AIの具体的なタイプ・用例を把握する。これを基に、AIのタイプ・用途別に具体的な②リスクを識別し、リスク発生確率、重大性、優先順位、受容可能性など③定性的・定量的なリスク測定を行うことができる。その後、④リスクに比例する安全措置を講じることで、リスクを体系的に管理することができる。
  이러한 리스크 관리는 리스크의 조기 발견과 완화를 위해 개인정보 보호 중심 설계(PbD) 관점에서 AI 모델·시스템의 기획·개발 단계부터 이루어지는 것이 바람직하며, 이후 시스템 고도화 등 환경 변화에 따라 주기적·반복적으로 이루어지는 것이 권장된다.   このようなリスク管理は、リスクの早期発見と緩和のため、個人情報保護中心設計(PbD)の観点からAIモデル・システムの企画・開発段階から行うことが望ましく、その後、システムの高度化など環境の変化に応じて周期的・反復的に行うことが推奨される。
  ② AI 프라이버시 리스크의 유형  ② AIプライバシーリスクの種類
  다음으로 프라이버시 맥락에서 AI 리스크 유형을 예시로 제시했다. 국내외 문헌조사, 기업 인터뷰 등을 통해 파악한 AI 기술의 고유한 특성과 기능 및 데이터 요구사항 등으로 인해 새롭게 나타나는 정보주체 권리침해, 그리고 개인정보 보호법 위반 리스크 등을 중점적으로 다뤘다.    次に、プライバシーの文脈におけるAIリスクのタイプを例示した。国内外の文献調査、企業インタビューなどを通じて把握したAI技術の固有の特性と機能及びデータ要件などにより新たに現れる情報主体の権利侵害、そして個人情報保護法違反リスクなどを重点的に扱った。
  구체적으로 AI의 생애주기(life-cycle)에 따라 AI 모델·시스템의 기획·개발 단계, 서비스 제공 단계에서 발생하는 리스크를 구분해 제시했으며, 서비스 제공 단계는 생성 AI와 판별 AI를 구분함으로써 AI 용례·유형에 따른 구체성을 더했다.    具体的には、AIのライフサイクル(life-cycle)に基づき、AIモデル・システムの企画・開発段階、サービス提供段階で発生するリスクを区分して提示し、サービス提供段階は、生成AIと判別AIを区分することで、AIの用例・タイプによる具体性を加えた。
  ③ AI 프라이버시 리스크의 경감방안  ③ AIプライバシーリスクの軽減策
  아울러, 리스크를 경감하기 위한 관리적, 기술적 안전조치도 안내했다. 다만 모든 경감조치를 필수적으로 취해야 하는 것은 아니며, 구체적으로 리스크를 식별하고 측정한 결과 등 개별 맥락에 따라 최적의 안전조치 조합을 마련하여 시행할 수 있도록 안내했다.   また、リスクを軽減するための管理的・技術的な安全措置もガイドした。ただし、すべての軽減措置を必須的に取らなければならないわけではなく、具体的にリスクを識別して測定した結果など、個々の文脈に応じて最適な安全措置の組み合わせを用意して施行できるようにガイドした。
  먼저 관리적 안전 조치에는 ▲학습데이터 출처·이력 관리, ▲허용되는 이용방침 마련, ▲AI 프라이버시 레드팀을 통한 개인정보 침해유형 테스트 및 조치, ▲부적절한 답변 등에 대한 정보주체 신고방안 마련 등이 포함된다. 또한, 학습데이터에 민감한 정보가 포함될 개연성이 높거나 대규모 개인정보가 포함되는 경우 ▲개인정보 영향평가 수행도 권장된다.    まず、管理的安全措置には、▲学習データの出所-履歴管理、▲許容される利用方針の策定、▲AIプライバシーレッドチームを通じた個人情報侵害タイプのテスト及び措置、▲不適切な回答などに対する情報主体の申告案の策定などが含まれる。また、学習データに敏感な情報が含まれる可能性が高い場合や大規模な個人情報が含まれる場合、個人情報影響評価の実施も推奨される。
  다음으로 기술적 안전 조치에는 ▲AI 학습데이터 전처리(불필요한 데이터 삭제, 가명·익명화, 중복제거 등), ▲AI 모델 미세조정을 통한 안전장치 추가, ▲입력·출력 필터링 적용, ▲차분 프라이버시 기법의 적용 등이 포함된다. 한편, 한국어가 적용된 AI 모델의 특수성도 고려하기 위해 개인정보위는 한국어 언어모델 대상 프라이버시 리스크 경감기술 효과 분석을 위한 정책연구*를 진행하여 관련 연구가 부족한 상황에서 과학적 실증에 기반한 정책을 마련하기 위해 노력했다.   次に、技術的な安全措置には、▲AI学習データの前処理(不要なデータの削除、仮名・匿名化、重複除去など)、▲AIモデルの微調整を通じた安全装置の追加、▲入力・出力フィルタリングの適用、▲差分プライバシー手法の適用などが含まれる。一方、韓国語が適用されたAIモデルの特殊性も考慮するため、個人情報委員会は韓国語言語モデル対象のプライバシーリスク軽減技術の効果分析のための政策研究*を進め、関連研究が不足している状況で、科学的実証に基づいた政策を策定するために努力した。
   * 정책연구 주요 내용은 리스크 관리 모델의 부록에서 확인할 수 있음    * 政策研究の主な内容は、リスク管理モデルの附属書で確認することができる。
  ④ AI 프라이버시 리스크의 관리 체계  ④ AIプライバシーリスクの管理体系
  마지막으로 리스크 관리체계를 제시했다. AI 환경에서는 개인정보보호, AI 거버넌스, 사이버보안, 안전·신뢰 등 다양한 디지털 거버넌스 요소가 상호연관된다. 이에 따라 전통적 프라이버시 거버넌스의 재편이 필요하며, 이때 개인정보 보호책임자(CPO)의 주도적 역할·책임감이 중시된다. 또한, 리스크에 대한 다각적·전문적 평가를 수행할 수 있는 담당조직을 구성하고, 체계적 리스크 관리를 보장하는 정책을 마련하는 것이 바람직하다.   最後に、リスク管理体系を提示した。AI環境では、個人情報保護、AIガバナンス、サイバーセキュリティ、安全・信頼など様々なデジタルガバナンス要素が相互に関連する。これにより、伝統的なプライバシーガバナンスの再編成が必要であり、この際、個人情報保護責任者(CPO)の主導的な役割・責任感が重視される。また、リスクに対する多角的・専門的な評価を行うことができる担当組織を構成し、体系的なリスク管理を保証する政策を策定することが望ましい。
  아울러, AI 기업 등은 AI 밸류체인 내에서 당해 기업·기관의 권한 및 책임의 범위를 명확히 파악하고, 타 기업·기관과의 협력체계를 구체화함으로써 프라이버시 리스크 변화에 지속 대응하고 정보주체의 권리행사를 효과적으로 보장할 수 있다.   また、AI企業などは、AIバリューチェーン内で当該企業・機関の権限及び責任の範囲を明確に把握し、他の企業・機関との協力体系を具体化することで、プライバシーリスクの変化に持続的に対応し、情報主体の権利行使を効果的に保障することができる。
  개인정보위는 추후 AI 기술 발전, 개인정보 관련 법령 제·개정, 글로벌 동향 등을 고려해 리스크 관리 모델을 지속적으로 업데이트할 계획이다. 또한, 소규모 조직, 스타트업 및 AI 개발 유형(미세조정, 검색증강(RAG) 등) 등 세부대상, 영역 등에 특화된 안내자료도 조만간 구체화될 예정이다.   個人情報委員会は今後、AI技術の発展、個人情報関連法令の制定・改正、グローバル動向などを考慮し、リスク管理モデルを持続的にアップデートする計画だ。また、小規模組織、スタートアップ及びAI開発タイプ(微調整、検索増強(RAG)など、詳細対象、領域などに特化した案内資料も近いうちに具体化される予定だ。
  이 밖에 개인정보위는 사전적정성 검토제, 규제샌드박스, 개인정보 안심구역 등 혁신지원제도를 통해 인공지능(AI) 기업과 수시로 소통하면서 기술의 발전 양상과 기업 애로사항을 모니터링하고, 이를 통해 축적된 사례와 경험을 토대로 AI 시대에 맞게 개인정보 보호법을 정비하는 작업도 추진할 예정이다.   このほか、個人情報委員会は、事前適性検討制、規制サンドボックス、個人情報安心区域などの革新支援制度を通じ、人工知能(AI)企業と随時コミュニケーションを取りながら、技術の発展様相と企業の問題点をモニタリングし、これを通じて蓄積された事例と経験を基に、AI時代に合わせて個人情報保護法を整備する作業も推進する予定だ。
  이번 리스크 관리 모델 논의를 이끈 박상철 서울대 교수(민·관 정책협의회 리스크 평가 분과장)는 “전세계적으로 빠르게 발전하는 AI 기술과 기존 개인정보보호 규제 간에 간극과 긴장이 발생하고 있어 대응이 필요한 시점이다.”라며, “각계 전문가와 함께 세계적인 AI 거버넌스의 흐름과 실증 연구 결과들에 부합하는 유연하고 체계적인 프라이버시 리스크 관리체계를 제시했다는 점에서 의미가 있다.”라고 전했다.   今回のリスク管理モデルの議論を主導したソウル大学校のパク・サンチョル教授(官民政策協議会リスク評価分科長)は、「世界的に急速に発展するAI技術と既存の個人情報保護規制の間に間隙と緊張が発生しており、対応が必要な時期だ」とし、「各界の専門家と共に世界的なAIガバナンスの流れと実証研究結果に適合する柔軟で体系的なプライバシーリスク管理体系を提示したという点で意味がある」と伝えた。
  민·관 정책협의회의 공동의장인 배경훈 LG AI 연구원장은 “국제적 논의가 활발한 AI 프라이버시 분야에서 우리나라가 선도적으로 리스크 관리 모델을 개발한 것은 의미있는 성과”라며, “AI 기업 등이 혁신과 프라이버시 보호를 동시에 달성할 수 있도록 개인정보위의 지속적 지원을 부탁드린다.”라고 말했다.   官民政策協議会の共同議長であるバックク・フンLG AI研究院長は、「国際的な議論が活発なAIプライバシー分野で、韓国が先導的にリスク管理モデルを開発したことは意味のある成果」とし、「AI企業などが革新とプライバシー保護を同時に達成できるよう、個人情報委員会の持続的な支援をお願いしたい」と述べた。
  고학수 개인정보위 위원장은 “개인정보, 비개인정보가 총체적으로 활용되고 기술 발전이 지속되는 AI 영역은 불확실성이 높기 때문에 일률적 규제보다는 합리적·비례적 관리를 통해 리스크를 총체적으로 최소화하는 것이 필요하다.”라며, “리스크 관리 모델이 AI 기업 등이 프라이버시 리스크를 이해하고 체계적으로 관리하는 데 도움이 되길 바란다.”라고 말했다.   コ・ハクス個人情報委員長は「個人情報、非個人情報が総体的に活用され、技術発展が持続されるAI領域は不確実性が高いため、一律的な規制ではなく、合理的・比例的な管理を通じてリスクを総体的に最小化することが必要だ」とし、「リスク管理モデルがAI企業などがプライバシーリスクを理解し、体系的に管理するのに役立つことを期待している」と述べた。
* 기타 자세한 내용은 첨부파일을 확인해주시기 바랍니다. * その他詳細は添付ファイルを確認すること。

 

 

 

・[PDF] (별첨) 안전한 인공지능(AI)·데이터 활용을 위한 AI 프라이버시 리스크 관리 모델(24.12.19.).pdf ((別添) 安全な人工知能(AI)-データ活用のためのAIプライバシーリスク管理モデル(24.12.19.).pdf )

20250101-73112

 

 

 

 

 

| | Comments (0)

あけましておめでとうございます 2025

こんにちは、丸山満彦です。

新年のあけましておめでとうございます。

旧年中はお世話になりました。今年もよろしくお願いします。

穏やかな年となることを願っています...

 

みなさまが健康でご活躍できますように...

 

2025

 

いつの世も、どこかで戦争がおこっているのでしょうが、多くの人が笑顔で家族と共に新年を迎えられる世のなかになって欲しいものです...

 

 

 


 

まるちゃんの情報セキュリティきまぐれ日記

・2024.01.01 あけましておめでとうございます 2024

・2023.01.01 あけましておめでとうございます 2023

・2022.01.01 あけましておめでとうございます 2022

・2021.01.01 あけましておめでとうございます 2021

 

ちょっとあきまして...

・2013.01.01 明けまして、おめでとうございます 2013

・2012.01.01 明けまして、おめでとうございます 2012

・2011.01.01 明けまして、おめでとうございます 2011

・2010.01.01 明けまして、おめでとうございます 2010

・2009.01.01 明けまして、おめでとうございます 2009

・2008.01.01 明けまして、おめでとうございます 2008

・2007.01.01 明けまして、おめでとうございます 2007

・2006.01.01 あけまして、おめでとうございます。

| | Comments (0)

« December 2024 | Main