★☆★JNSAメールマガジン　第200号　2020.11.27☆★☆

こんにちは
JNSAメールマガジン　第200号　をお届けします。
JNSAのホームページでもご覧いただけます。
JNSAメールマガジン　https://www.jnsa.org/aboutus/ml.html#passed

コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。

今回のメールマガジンは事業コンプライアンス部会調査WGリーダの小村誠一様
にご寄稿いただきました。

【連載リレーコラム】
海外の情報セキュリティ関連法制度の調査

事業コンプライアンス部会調査WGリーダ
　小村誠一（NTT-AT）

解析用に保持していたマルウェアを設定ミスで公開状態にしてしまった場合、
海外では罪に問われるのか？　海外の国で、情報セキュリティ関連の業務を行
う上で注意すべき法律にはどのようなことがあるのか？　日本では法律違反に
なるが、別の国では合法となる活動はあるのか？　事業コンプライアンス部会
調査WG（以下、調査WG）では、このような疑問に取り組んでいます。

調査WGは事業コンプライアンス部会と同時に昨年度発足したWGです。国際競争
力の観点から国内情報セキュリティ事業者の課題や優位性を検討するために、
各国の情報セキュリティ関連法制度や運用状況の調査を行い、国ごとの実施可
能な事業や業務上注意点の違いや特徴を整理することを目的としています。活
動として、各国の情報セキュリティ関連法制度と運用の状況や特徴・課題の調
査、海外における同様の課題意識を有する団体の活動状況の調査、情報セキュ
リティ法制度関連の有用な海外ドキュメントの翻訳などを行っています。

今回は、２０１９年度の経済産業省の「フィジカル空間とサイバー空間のつな
がりの信頼性確保のためのセキュリティ対策に関する調査（今後公開予定）」
の中で、調査WGが協力した情報セキュリティに関する各国の法制度や運用状況
調査について、紹介します。

本調査では、
１．健全な活動にも悪用も可能なツール（いわゆるセキュリティ両用ツール）
開発とウィルス保持に関する各国法曹関係者への調査
２．セキュリティ業務実施による逮捕などの事例収集
３．政府や法執行機関による法適用基準の均一化努力
４．セキュリティベンダによる情報セキュリティ関連法の改善要求活動
の４項目について、アメリカ、イギリス、ドイツ、オーストラリア、イタリア
の法律や制度の調査を行うとともに、その国の弁護士に法律適用に関する質問
を行い、その回答をまとめています。各国の弁護士の回答は必ず、こうなると
は言えないが、各国の法制度の状況や法律適用の運用状況がある程度把握でき
ると思います。

調査結果の概要ですが、
１．情報セキュリティ向上のために使用できるが、犯罪など、悪用も可能な
　ツールを開発することは違法であるかの調査結果は以下の通りです。

・アメリカ、オーストラリア、イタリアは犯罪の意図を明確に示すことができ
　なければ、有罪にならないと思われるとのこと
・イギリスは、関連法を適用できる可能性はあるが、検察へのガイドラインに
　より、犯罪の意図を明確にすることが必要であるとなっているため、法の適
　用は行なわれないと思われるとのこと
・ドイツは関連法の適用できるかは曖昧である。しかし、ドイツには、実際の
　事件ではなく、抽象的な想定の下、その法律が違憲であるかを審議できる連
　邦憲法裁判所があり、適用の曖昧性を懸念した団体が連邦憲法裁判所に関連
　する法律の違憲性を審議してもらった。その結果、目的を持って開発された
　ことが客観的に示される場合に犯罪となる限定解釈が公表され、両用可能な
　ツールを開発したと言うだけで違法となることはなくなった

２．マルウェアを他のものが入手可能な状況で保持することは違法であるかの
　調査結果は以下の通りです。

・アメリカ、オーストラリア、イタリアは犯罪の意図を明確に示すことができ
　なければ、有罪にならないと思われるとのこと
・ドイツは、上記の連邦憲法裁判所の結果により、犯罪の意図がないと有罪に
　ならないとのこと
・イギリスは法律の適用が可能であり、有罪になる可能性があるとのこと。た
　だし、同様の状況で適用されてことは一度もないとのこと

３．各国における法適用の解釈の均一化や技術向上に関する調査結果は以下の
　通りです。

・米国では、司法省配下に、法制度機関の法適用の均一化や人材育成を図る部
　署を設置し、ガイドライン作成、展開や講習を行い、法制度の適用の均一化、
　技術力向上に取り組んでいる。また、民間企業がダークWebなどの調査や、
　不正組織から情報を購入する場合の法的な注意点について、ガイドラインを
　作成しているとのこと
・イギリスでは、法執行機関向けのガイドラインを作成し、起訴判断の均一化
　を図っているとのこと
・ドイツでは上記でも触れているが、抽象的な想定の下、その法律が違憲であ
　るかを審議できる連邦憲法裁判所があり、法解釈について見解を出す制度が
　あるとのこと

以上、各国における法律やその運用、均一化などの取り組みの違いがわかりと
ても価値ある調査になっています。事業コンプライアンス部会の有識者会議で
も調査結果を報告した際、他に類を見ない広範囲な調査でとても有意義だとの
意見が複数出ました。

昨年度の調査結果を受け、経済産業省では今年度も同様の調査を行う予定で、
調査WGも調査に協力し、ランサムウェア被害時の対応やインテリジェンス調査、
官民連携に関する各国の法制度関連動向の調査などを議論しています。調査が
終了しましたら、活動報告会やこのメールマガジンなどで共有させていただき
ます。



＃連載リレーコラム、ここまで

＜お断り＞本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。

＜ワンクリックアンケートお願い＞
今回のメールマガジン第200号の感想をお寄せください。
https://ux.nu/izZRh
※googleアンケートフォームを利用しています。

【部会・WGからのお知らせ】
★CTF for GIRLS　参加登録受付中！
　11月30日締切です。お申し込みはお早めに。
　日時：12月11日（金）19:00-21:00
　会場：オンライン（Teams）
　https://www.seccon.jp/2020/

★日本ISMSユーザグループ主催
「情報セキュリティマネジメント・セミナー2020」の参加登録を開始しました。
　ご参加お申込みお待ちしております！
　日時：2020年12月18日（金）13:00-17:10
　会場：オンライン配信
　https://www.jnsa.org/seminar/2020/1218/

★西日本支部「中小企業において目指すSecurity By Design」を
　公開いたしました！是非、ご覧ください！！
　https://www.jnsa.org/result/west/2020/

★「JNSA 全国サイバーセキュリティセミナー2020」を
　オンライン配信にて開催いたしました。資料を公開しています。
　https://www.jnsa.org/seminar/2020/cross2020/index.html

★【会員限定】会員交流部会主催「ゼロトラスト質問会」開催！
　日時：2020年11月30日（月）14：00～15：00
　夏期講習「ゼロトラスト勉強会」の質問会を開催します。
　参加申し込みは事務局まで。

【事務局からのお知らせ】
★無料でご利用いただけます！「情報セキュリティ理解度チェックサービス」
　https://slb.jnsa.org/eslb/
　組織の情報セキュリティ向上のための一助としてご活用下さい。

★「JNSAソリューションガイド」イベント/セミナー情報随時更新中です。
　テレワークに対応した製品やセミナー情報の検索にご利用ください。
　https://www.jnsa.org/JNSASolutionGuide/IndexAction.do

★テレワークに活用ください！
「緊急事態宣言解除後のセキュリティ・チェックリスト」
　https://www.jnsa.org/telework_support/telework_security/index.html

★JNSA事務局を騙った詐欺事件が相変わらず頻発しています。
当協会から弁護士費用を請求したり、金銭受取の念書を発行することは一切
ありませんので、不審な点がありましたら当協会まで直接お問合せ下さい。

☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
　office@jnsa.org

↓　以下、 JNSA会員企業からのご案内です
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
‥‥…━━━━━━━━━━━━━━━━━━━━━━…‥‥・
　　　GSX、セキュリティに関わるみんなのための認定資格　　　
セキュリスト[SecuriST]をローンチ、第一弾「認定脆弱性診断士」
　　　　　https://www.gsx.co.jp/pr/pr_201109.html　　　　　
‥‥…━━━━━━━━━━━━━━━━━━━━━━…‥‥・
この度GSXは、トレーニングと認定試験で構成されるセキュリスト
（SecuriST）認定資格制度の第一弾「認定脆弱性診断士」をローン
チいたしました。今回、上野宣氏の全面監修に加え、業界内部企業
様からのエンドースメント（賛同文）も数多く頂戴しております。
セキュリティに関わる一人ひとりがセキュリティテスト（脆弱性診
断）ができる世の中を目指して講座を開講しております。是非受講
をご検討くださいませ。皆様からのお申し込み心よりお待ちしてお
ります。

/// GSX /// グローバルセキュリティエキスパート株式会社 ///

==============================================================

マイナビニュースフォーラム、日経クロステックセミナーに登壇！
キヤノンMJは12月に開催される下記イベントで登壇します。

【マイナビニュースフォーラム 2020 Winter for データ活用】
デジタル時代を支えるデータ保護対策とは～保存データの暗号化～
・講演日時：12月4日（金）10：50-11：30
https://news.mynavi.jp/lp/2020/business/enterprise/dataforum_winter/

【情報セキュリティマネジメントSummit 2020 Winter】
チャンスとリスクは表裏一体。
DXを支えるサイバーセキュリティのあり方
・講演日時：12月4日（金）13：30-14：00
https://project.nikkeibp.co.jp/event/se201204/

[キヤノンマーケティングジャパン株式会社]

============================================================

‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥
【12月15日開催】　最小限の投資で最大の効果を発揮する
　　　　　　　　　エンドポイントセキュリティ対策とは？
‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥‥
安全なリモートワークを確立するためにもIcedIDやEmotetなど感染
拡大が続くマルウェアに対抗できるエンドポイントセキュリティへ
切り替えしませんか？

新しい働き方を実現するための盾をお探しの方は、ぜひ本セミナー
をお申込み・ご視聴ください。

○開催概要（主催：ＪＢサービス株式会社）
　日時：2020年12月15日（火）15：00～16：00
○講演内容詳細・お申し込み
　https://www.jbsvc.co.jp/news/yarai_webinar.html

============================================================

SANS Tokyo December 2020 Live Online 締切直前のご案内です。
ハッカー技術や事故対応の基礎を実践的に学ぶ人気のSEC504、
本格的なフォレンジック技術習得の第一歩であるFOR508、
ペンテスターに人気のSEC560(ネットワーク)、スレッドインテリ
ジェンスのFOR578の合計4コースを、日英同時通訳(音声)付きの
Live Online形式で開催いたします。　※お申込み締切間近です

●開催期間：2020年11月30日(月)～2020年12月5日(土)
FOR578は、12月11日(金)までの半日×10日間
●コース：SEC504<日本語のみ>、SE560、FOR508、FOR578
●受講料：FOR578以外のコース769,500円(税抜)
　　　　　FOR578　722,000円(税抜)
　　　　　※JNSA会員様特別価格、定価の5%OFFとなります
●詳　細：https://www.sans-japan.jp/sans_tokyo_dec_2020
【NRIセキュアテクノロジーズ】

============================================================

■Webアプリケーション脆弱性検査ツール『Vex』■

Vexは定期的な自社サイトの検査、開発工程でのテストなど、
様々なシーンでいつでも・何度でも利用できます。
導入企業からは低コスト・高機能・診断サービスでの品質向上・
操作性・サポート力など総合的に高い評価を頂いています。
検査コストを削減し検査品質を向上したい企業様に、
Vexが脆弱性対策を全力でサポートします。
2週間無料でトライアルをいただけますので、
国産ツールであるVexをこの機会に是非お試しください。

■お問い合わせ：https://www.ubsecure.jp/vex
■株式会社ユービーセキュア

============================================================

BBSecでは国内で再び被害が拡大しているマルウェア「Emotet」の
状況を受け、現実味のあるシナリオを用いて脅威を分析。お客様の
環境や背景にあわせた適切な対策をご提案いたします。
●標的型攻撃メール訓練サービス
既存サービスのオプションとして、「zip圧縮型」など最近の流行
に近い形を再現したメールを配信。開封率調査などを実施します。
●SQAT(R)APT マルウエア感染リスク診断
攻撃者の攻撃手法を応用し、疑似マルウェアを用いた疑似攻撃を実
施。システムへの影響、感染範囲の可視化をすることができます。
●緊急対応支援
インシデント発生時に、お客様の企業に出向き、事象の把握と初期
対応、そして今後の対策についての方針を決定する支援を行います。
▼詳しくはこちらをご参照ください。▼
https://www.bbsec.co.jp/campaign/202011_apt/index.html
【株式会社ブロードバンドセキュリティ】

============================================================

■■世界が認めたIT-BCP訓練ツール　DECIDE Platfom■■
アライドテレシス株式会社

DECIDE Platfomは、“世界に認められたセキュリティ防災訓練ツー
ル” です。
セキュリティインシデント発生時に必要になるのは、情報機器を操
作し読み取る力だけではありません。企業経営や活動を継続するた
めには、”何を読み取り”そして”どう行動するか”が重要です。
不測の事態が発生したときに、企業としての正しい判断・行動を
行えるようにするためには、日頃からの訓練が必要になります。
DECIDE Platformは、あなたの企業に合わせたリアルなインシデン
ト体験を通して、NISTのサイバーセキュリティフレームワークの
“RESPOND(対応)”、”RECOVER(復旧)” の訓練をご提供します。

詳細はこちら：http://bit.do/allied-telesis_DECIDE

￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣

☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡　<http://www.jnsa.org/aboutus/ml.html>
*************************************
JNSAメールマガジン　第200号
発信日：2020年11月27日
発　行：JNSA事務局　office@jnsa.org
*************************************