----------------------------------------------------------------------
米国CISAら、共同文書「サイバーセキュリティリスクのバランスを変える」を公開（4/18配信）
----------------------------------------------------------------------

----------------------------------------------------------------------
【1】まとめ
----------------------------------------------------------------------
・中国CAC、「生成AIサービス管理弁法」草案へ意見募集を開始
・米国HHS、リプロダクティブヘルスケア情報の機密性強化に関する規則案を提出
・米国機密文書流出に関与した疑いで21歳の空軍州兵を逮捕
・米国CISAら、共同文書「サイバーセキュリティリスクのバランスをシフトする」を公開

----------------------------------------------------------------------
【2】海外政策動向一覧
----------------------------------------------------------------------
2023年4月11日 中国CAC、「生成AIサービス管理弁法」草案へ意見募集を開始
中国国家インターネット情報弁公室（CAC）は、「生成AIサービス管理弁法」の草案を公開し、意見募集を開始した。中国サイバーセキュリティ法、データセキュリティ法、個人情報保護法等に基づき、生成AIに関係した規制を定める。意見提出の締め切りは2023年5月10日とされている。
生成AI製品を利用した公共サービスの提供前に、関連規則に基づいた世論等に与える影響に関する安全評価申告や、利用アルゴリズムの申請や変更等に関する手続きが必要となる。
また、サービスの提供者は、生成AI製品の事前学習データおよび訓練データの出所の正当性に責任を持ち、利用データが次の要件を満たす必要がある。
「1.サイバーセキュリティ法等の要件を満たすこと」「2.知的財産権を侵害する内容を含んでいないこと」「3.データに個人情報が含まれる場合、個人情報の主体の同意を得ること、またその他法令および行政法規が定める事情を満たすこと」「4.データの真正性、正確性、客観性、多様性が保証されていること」「5.生成AIサービスに関連する国家インターネット情報部門のその他の規制要件を満たすこと」
http://www.cac.gov.cn/2023-04/11/c_1682854275475410.htm

2023年4月12日 米国HHS、リプロダクティブヘルスケア情報の機密性強化に関する規則案を提出
米国保健社会福祉省（HHS）は、医療保健の相互運用性と説明責任に関する法律（HIPPA）プライバシー規則の保護を強化する規則制定案（NPRM）を提出した。
公民権局は、刑事・民事・行政の調査から生殖関連の医療情報を含むリプロダクティブヘルスケア情報を保護することは、公衆衛生のために必須であると述べている。
現在、米国では12の州が中絶を禁止しているため、合法化されている州へ診療所や患者が移住するケースが多い。しかし、中絶を違法とする州の公的機関から医療情報の請求が行われる懸念が残っている。
HHSの規制案は、NPRMにより患者と医療提供者の機密性を保護しつつ、合法的なリプロダクティブヘルスケアの要求や提供、そのサポートを行う際に、法執行機関が個人健康情報(PHI)を使用・開示請求することを規制するもの。リプロダクティブヘルスケア関連の情報を含むPHIが保護されることを患者が確信し、中絶等を含むヘルスケアサービスを安心して利用できるようにする狙いがある。
https://www.hhs.gov/about/news/2023/04/12/hhs-proposes-measures-bolster-patient-provider-confidentiality-around-reproductive-health-care.html
https://states.guttmacher.org/policies/

2023年4月13日 米国機密文書流出に関与した疑いで21歳の空軍州兵を逮捕
米国連邦捜査局（FBI）は、ウクライナ侵攻をはじめとする同国の安全保障に関係した最高機密文書をDiscord上で共有したとして、21歳の空軍州兵を逮捕した。
流出した文書には、米国国家安全保障局（NSA）、中央情報局（CIA）、国家偵察局（NRO）などを米国統合参謀本部がまとめたものとみられ、ロシア・ウクライナ両軍の戦況や先端衛星動画システムの活用法などが記載されていた。国防総省長官はウクライナ国防相に電話会談で釈明を行った。
容疑者はゲームなどを通じて知り合った20から30人程度の若者グループに属しており、100を超える機密文書をリークしたとされる。英国の調査組織Bellingcatの報告によると、流出した文書は4Chan、Telegram、Twitter等のSNSを介してさらに拡散されていたという。
また、文書には同盟国の武器輸送日程などの情報も含まれており、韓国では同国高官と秘書官の通話記録などが発見されたことを受け、米国諜報機関による傍受であると批判が生じている。韓国のユン大統領は事実関係の把握を最優先に進めるとしつつ、必要に応じて適切な措置を米国へ要請すると述べており、4月26日に渡米してバイデン大統領と会食する予定。
https://www.fbi.gov/news/press-releases/fbi-statement-on-arrest-of-jack-douglas-teixeira
https://www.bellingcat.com/news/2023/04/09/from-discord-to-4chan-the-improbable-journey-of-a-us-defence-leak/
https://www.nytimes.com/2023/04/09/world/asia/leak-pentagon-south-korea-ukraine.html
https://www.newsverse.kr/news/articleView.html?idxno=3290

2023年4月13日 米国CISAら、共同文書「サイバーセキュリティリスクのバランスを変える」を公開
米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、連邦捜査局（FBI）、国家安全保障局（NSA）、およびオーストラリア、カナダ、イギリス、ドイツ、オランダ、ニュージーランドのサイバーセキュリティ当局との共同ガイダンス「サイバーセキュリティリスクのバランスを変える（セキュリティ・バイ・デザイン アンド デフォルト の原則とアプローチ）」を公開した。
このガイダンスは、技術的な推奨事項に加えて、製品を開発、構成、および出荷する前に、ソフトウェア開発企業がソフトウェアセキュリティを設計プロセスに組み込む際の指針となる原則について概説している。
また、技術を提供する側がサイバーセキュリティに対する説明責任を負い、業界のパートナーと協力してセキュリティ・バイ・デザイン アンド デフォルトの慣行を促進するための組織向けアドバイスも含まれている。
セキュリティ・バイ・デザイン アンド デフォルトの3つの指針の内容は以下の通り。
「1.セキュリティの負担を顧客だけに追わせるべきではなく、ソフトウェア開発企業が責任を持って製品を改善しなければならない」「2.透明性と説明責任を受け入れる。安全でセキュアな製品を提供することに誇りを持ち、他のメーカと差別化する必要がある」「3.目標を達成するために、組織とリーダーシップを構築する」
https://www.cisa.gov/resources-tools/resources/secure-by-design-and-default
https://www.ncsc.gov.uk/news/uk-and-international-partners-share-advice-to-help-turn-dial-on-tech-product-security

----------------------------------------------------------------------
【3】4月のM&A/IPO情報詳細
----------------------------------------------------------------------
2023年4月4日 米国Trace3、テキサス州のSet Solutionsを買収
2023年4月4日 フランスIliad Group、同国のITrustの株式の過半数を取得しB2Bセキュリティ市場を強化