Civilian Watchdog in Japan-IT security and privacy law-

情報セキュリティ、消費者保護、電子政府の課題等社会施策を国際的視野に基づき提言。米国等海外在住日本人に好評。

米国連邦取引委員会、カリフォルニア州司法長官はスパム犯の活動を恒久的に阻止

2006-04-23 12:42:04 | サイバー犯罪と立法

 Last Updated: Febuary 21,2022

 去る4月12日付で経済産業省は、電話勧誘販売業者に対し、特定商取引法違反を理由として、4か月間の業務の一部停止を命じた。この行政処分についての詳しい内容は、同省のサイト(過去の新着情報)で確認されたいが、その違法性の内容は、①不実告知、②再勧誘、③迷惑勧誘、④重要事項の不告知、⑤氏名等の不明示である。これで4か月の一部業務停止とはいかがかと考えるが、いずれにしてもわが国のスパム(「迷惑メール」と訳されている)規制は「特定商取引に関する法律」(昭和51年6月4日法律第57号)(経済産業省所管)および「特定電子メールの送信の適正化等に関する法律」(平成14年4月17日法律第26号)(総務省所管)の2法によって行われている。(筆者注1)

 一方、米国のスパム規制の現状は、4月6日に連邦取引委員会(FTC)とカリフォルニア州司法長官(Attorney General)は 連邦法および州法に違反して数百万件のスパムメールを送った企業4社(Optin Global, Inc., Vision Media Limited Corp., Qing Kuang “Rick” Yang, and Peonie Pui Ting Chen)に対し最終判決及び恒久差止命令(STIPULATION FOR ENTRY OF FINAL JUDGMENT AND PERMANENT INJUNCTION )を下した。

 また、今回の裁定(筆者注2)は、政府機関が一定の簿記内容や記録管理の法令遵守状況のモニタリングを認める内容となっている。

 一方、カリフォルニア北部地区連邦地裁はFTCと司法長官の要請に応じて今後のスパム行為の停止と被告の資産の凍結を命じるとともに、240万ドル(約2億8千万円)の支払命令を下した(実際は、現金38万5千ドルと不動産の売却資金9万ドルの支払いで一時的に支払いは中断延期される。ただし、裁判所は仮に被告の財務状態に虚偽があれば直ちに240万ドルの支払いを強制することになる)。

 スパムメールの内容は、住宅ローン、その他の製品やサービスであり、同社は180万通のスパムメールを発信していたもので、連邦取締法である「CAN-SPAM Act」に関し以下の通りの違反行為があった旨FTCは説明している。
①虚偽または偽造のヘッダー情報
②サブジェクトのヘッディング内容がいい加減
③一見して広告や勧誘(solicitations)と判断できないメール内容
④さらに多くの広告メールを受信しないための「オプト・アウト」権の告知を行っていない(オプト・アウトの仕組みそのものを提供していない)。
⑤有効な住所表示を行っていない。

********************************************************************:

(筆者注1)監督機関のWatchdogとしての姿勢にも差が見られる。例えば、経済産業省は「消費者政策」のサイトで消費者への警告を積極的に出すとともに、「処分状況」についても一覧できとなっている。また処分件数の急増の推移(平成17年度の 業務停止命令の件数は80件と13年度の4倍に増加)や事業社名の公表を行うなど、ある意味では欧米式の活動を行っている。
http://www.meti.go.jp/policy/consumer/index.html  なお、このデータはMETIサイト手では閲覧できない。国立国会図書館サイトでも見ることができない。
 一方、総務省は平成14年から同17年9月の間の処分件数は4件で、いずれも「表示義務違反」ということで、罰金刑の例はない。また、同省のホームページではこれらの問題の相談窓口は外部団体である「(財)日本データ通信協会」にリンクするのみで、統計もないし、同省が独自に対策に汗をかいているようには思えない。

(筆者注2) FTCの命令の基づく裁定は、裁定目的のみのものであり、法律違反に対する被告の事実の承認行為(admission )をなすものではない。法律に定める裁判所の判決が下され、裁判官による署名行為があって法的拘束力を持つ。

〔参考URL〕
http://www.ftc.gov/opa/2006/04/optin.htm:”FTC, California Attorney General Halt Illegal Spam Operation

16年前のデータが即閲覧可である。我が国の行政機関と米国この差はいかなる理由か?

********************************************************************

Copyright @ 2006 芦田勝(Masaru Ashida). All rights reserved.No reduction or republication without permission.






コメント
  • X
  • Facebookでシェアする
  • はてなブックマークに追加する
  • LINEでシェアする

米国オンライン・バンキングは相互認証対策が不十分とのセキュリティ専門家の指摘

2006-04-23 10:23:32 | 金融取引の認証問題

 Last Updated :Febuary 21,2022

 4月20日に SANS 研究所(sans institute)(筆者注1)のヨハネス・ウーリッヒ(Johannes Ullrich)は、顧客がオンラインバンキングのログイン時に、ブラウザのセキュリティ(HTTPSページの使用の徹底)のもっと関心を持たせるべきであり、そのような銀行の工夫例を紹介している。

Johannes Ullrich氏

 なお、わが国の大手銀行等のインターネット・バンキングのログイン画面を見る限り、HTTPS化されているが、ウェブブラウザで怪しいと感じたときはロックアイコンのクリックを顧客に求めている例も一部あり、後者につきさらに徹底して欲しいものである。

1.オンライン・バンキングで「ログイン」や「サインイン」時に顧客は本当に銀行のセンターに接続されているか否かにつき、疑いをもつであろうか。確かにそれらの入力情報はDNS (筆者注2)において暗号化されるであろうが、ウェブ自体が真正なものであるかの判断は顧客がリスクを負うのである。

  ハッカーは、HTTPSを使用していない銀行のウェブの接続上の脆弱性を狙って、「DNSなりすまし詐欺(DNS spoofing)」と言う手口を使ってウェブブラウザへの入力情報を偽のウェブサイトにリンクさせるのである(最終的には機微情報の入手によるなりすまし詐欺に悪用する)。この手口は技術的に高度なレベルのハッカーにとっては、phishingよりも容易であるともいえる。

2.ウーリッヒ氏は、米国の銀行がなぜログイン時にSSL認証を利用しないのかを調べるため、多くの銀行のサイトを実際調べた結果、大手銀行ではSSL認証を導入しているが、一方でSSL認証をオプションにしている銀行もある。(筆者注3)

3.オンライン上での顧客情報保護に関して、独自のセキュリティ対策を採っているのが、Bank of America である。同行のホームページでのログイン時にまず「オンラインID」のみ入力する。次画面で「SiteKey」が表示され、顧客はその確認後「Passcode」を入力するのである。(筆者注4)

*******************************************************************************:
(筆者注1) SANS Instituteは、政府や企業・団体間における研究およびそれらに所属する人のITセキュリティ教育を目的として1989年に設立された組織(本部:米国ワシントンDC)。日本の窓口としてSANS Japanがある。

(筆者注2) DNS(ディー・エヌ・エス)とは、Domain Name System(ドメイン・ネーム・システム)の略。“soumu.go.jp.”などのドメイン名をIPアドレスに変換する仕組みのこと。インターネットでは、数字で構成されるIPアドレスのみでも通信することができるが、ドメイン名はIPアドレスとは異なり、“soumu.go.jp”のような文字列で記述できるため、人間にとって扱いやすいことから、DNSという仕組みが作り出された。(総務省「国民の情報セキュリティサイト」の説明より。アニメもあって家族での勉強に最適)。

(筆者注3)筆者が独自に米国の中小銀行のサイトでサンプル調査したが、ウーリッヒ氏が指摘している通り、ログイン画面時「http」で意図的に誤ったパスワードを入力すると「https」に変わる銀行の例(BANK of DUDLEY)がある。

(筆者注4) この具体的説明が、下記のURLのログイン画面下の注書をクリックすると見れる。
http://www.bankofamerica.com/

〔参考URL〕http://www.computerworld.com/securitytopics/security/story/0,10801,110738,00.html?source=NLT_AM&nid=110738

*******************************************************************

Copyright @ 2006 芦田勝(Masaru Ashida ). All rights reserved.No reduction or republication without permission.

 

コメント
  • X
  • Facebookでシェアする
  • はてなブックマークに追加する
  • LINEでシェアする

オーストラリアで無料電話利用型phishingが現わる

2006-04-22 11:48:54 | Phishing ・新型詐欺問題

 

 「詐欺は進化する」現在世界中のインターネット・ユーザーやベンダー企業に被害を与えているphishingのフリーダイヤル版がオーストリア(同国では、toll free電話の場合、頭に1800がつく。)で現われた。インターネットを介するphishing対策(疑わしいURLの見つけ方など)にユーザーが慣れてきたとたんに、新たな手口が出てきた。ただし、基本的な手口は金融機関の顧客を対象とし、機微性の高い個人情報を盗むことや、銀行との接続状態を信じる顧客心理を悪用している点に共通性がある。この手口を発見したのはセキュリティ専門会社の「SurfControl」であり、被害者はチェイス銀行の顧客である。以下、その手口を紹介する。

1.詐欺師は、まず偽の氏名や連絡先を使って無料電話番号を入手する。この番号は正規のチェイス銀行の無料電話番号と同じである。
2.顧客がこの電話に掛けるとチェイス銀行の録音メッセージの挨拶が始まる。SurfControlは手口を調べるため詐欺師に次のような偽の情報を提供した。両者のやり取りは以下の通りである。

詐欺師:チェイス銀行口座確認サービスをご利用いただきありがとうございます。
はじめに16桁のクレジットカード番号を入力してください。
顧客(SurfControl):「無効」な16桁のクレジットカード番号を入力する。
詐欺師:16桁のクレジットカード番号を入力してください。
顧客:「有効」な16桁のカード番号を入力する。
詐欺師:カードの有効期限を月年の順に入力してください。
顧客:4桁の有効期限を入力する。
詐欺師:カードの第一次保有者の社会保障番号を入力してください。
顧客:4桁を入力。
詐欺師:ただいま処理中です。少々お待ちください。
ありがとうございます。お客様の口座確認は終わりました。

 以上のやり取りを読んで直ちにおかしいと思うであろう。銀行が顧客機微情報をemailや電話で確認することは行わないとことが徹底されて入れば、被害は広がらないと思うのであるが。

****************************************************************************

Copyright @2006 芦田勝(Masaru Ashida ). All rights reserved.No reduction or republication without permission.

 

コメント
  • X
  • Facebookでシェアする
  • はてなブックマークに追加する
  • LINEでシェアする

英国における電子政府政策は非民主的であるとの批判と通信事業者からの反論

2006-04-16 07:55:47 | 電子政府(eGovernment)

 Last Updated:March 12, 2021

 英国のロンドン大学の情報システム学部教授のイアン・エンジェル教授(Professor Ian Engell)(筆者注1)は、英国が現在取り組んでいる電子政府のあり方について次のような批判を行っている。なお、同教授の専門分野は、組織化された国家によるIT政策、すなわち①戦略的情報システム、②コンピュータとリスク(発生の機会と危険度の両面から見た)問題、とりわけすべての「社会技術システム(socio-technical systems:STS)(筆者注2)および急激な国際的なインフラの拡散に伴う組織のセキュリティへの脅威等である。

Professor Ian Engell


 一方、大手通信事業者であるNortelヨーロッパは政府システムと民間システム互換性(アクセスの効率性が優先する)を重視すべき点を強調している。ここで議論されているのは、本年3月30日に成立した「国民IDカード法案」の問題(筆者注3)と共通性があることである。協調されている点は、技術万能でないIT社会のあり方であり、またIT社会における民と官のシステムの相互運用性の是非の問題であり、自ずからわが国の電子政府について取り組む上で配慮すべき意見として紹介する。

1.同教授の意見
 英国の電子政府は機能面で見れば5つ星であるかもしれないが、わが国の国民の20%にとっては機能面では盲人と同じである。公務員の教育によってコンピュータ処理のレベルが自動的に向上し、特に公的サービスをオンライン化することで対面サービス職員を削減できるとする考えは、明らかにおろかな考えである。
 経済性を重視したこの舵取りは、行政窓口で国民と接する立場にある公務員の労働権を奪うことになる。今、政府が押し進めているのは技術的に窓口事務が円滑に行えない担当職員を解雇して人件費削減を行おうとしているが、それは民主的ではなく、まったく反対の政策である。

2.英国の電気通信事業者であるNortelヨーロッパ(Nortel European)の代表者であるピーター・ケリー(Peter Kelly)の反論
 政府のe-Governmentを通じ、新パスポート(Epassport)やNHS Direct online(24時間年中無休で医療に関する質問、医療百科事典、近くの病院・公共医療機関・歯医者・メガネ屋・薬局等の検索等)(筆者注4)等のサービスが受けられるといった5つ星の市民サービスが可能となった。民間企業は電子政府との共同化推進のため政府と同一の概念をもって取り組んでいる。
 中央データベース化され、サイロのように安全対策が取られた政府の各部門間でのアプローチを可能とすることで、より情報の流れやアクセスの容易性が確保されるといえる。その意味で、セキュリティが最大の課題であり、電子政府に当初から組み込まれたことに意義がある。情報は正しい場所にいる正しい人にとってアクセスしやすくなければならない。
 また、民間部門のシステムは政府のシステムと手順において適切に機能するものでなければならず、民間部門が政府に提供する技術的能力を担保するためにも政府の機能面の同意が必要である。

3.同教授の再反論
 重要なことは、営利の追求を主たる目的とする民間企業と政府は基本的な目的を異にするものであり、同一のビジネスモデルを利用できるのかという点である。市民は民間企業における顧客ではない。市民と国の関係はそれとは異なるものであり、両者を同一的に考えること自体が問題である。すなわち、国や政府という保護者(Guardians)と民間企業の間には、「倫理」という相互に互換性を必要としない相違点がある。最も懸念する点は、政府機能の商業化が組織的な 汚職・腐敗(corruption)につながる点である。
 また、さらに懸念されることは監視社会化である。警察は我々が逮捕者数の目標を紹介すると、より多くの人々を逮捕する。これは、交通監視員(traffic wardens)やスピードカメラにおいても同じ状況にある。今、政府が提供しているものは、監視(surveillance) と市民への干渉(interference)である。

*****************************************************************************
(筆者注1) 同教授のサイトのURLを記しておく。著書の要旨やテレビでのインタビュー・ビデオなども見られる。本blogで紹介した内容についても幅広い関心の背景に触れることができよう。

(筆者注2) STSの考え方は元々は英国で出来たとされるが、その後、北米で開花したと言われている。コンピュータと社会・倫理の問題は重要領域と位置づけられており、1991年にAssociation for Computing Machinery(ACM):アメリカ合衆国の情報工学分野の学会。1947年設立)およびIEEE(Institute and Electronic and Engineers)からなる専門委員会は新たなコンピュータ科学のためのカリキュラムの枠組みを作成している(1994年には全米科学財団が資金援助を始めている)。コンピュータ教育指導者のためのケースによるカリキュラム・ツールのサイト(ComputingCases.org)があり、そこでSTSについて具体的に説明されている。http://computingcases.org/general_tools/sia/socio_tech_system.html


(筆者注3)「国民IDカード法案(Identity Cards Bill)2006 c. 15」の詳細については、4月1日付本blogを参照されたい。3月30日付のチャールズ・クラーク内相の声明内容等は法案経緯(Wikipedia )の通り。
 

(筆者注4)英国電子政府のポータル(Directgov)からアクセスできる「NHS Direct」(https://en.wikipedia.org/wiki/NHS_Direct9)参照。わが国の解説参照。

〔参考URL〕
https://www.zdnet.com/article/rushed-access-card-bill-raises-suspicions/
*****************************************************************

Copyright @ 2006 芦田勝(Masaru Ashida ). All rights reserved.No reduction or republication without permission.

 





コメント
  • X
  • Facebookでシェアする
  • はてなブックマークに追加する
  • LINEでシェアする

米国REAL ID ACT に基づくカード標準化とSSNのプライバシー保護強化立法の動き

2006-04-15 13:47:34 | 国民IDカード・認証技術問題

 Last Updated:March 12,2021

 米国は従来、EU各国と異なり国家レベルの法律に基づく身分証明書の考え方を強く否定してきた。1936年に収入を記録し、それに応じた社会保障給付が受けられ、雇用者が従業員に関するそれらの事務を管理するための識別キーとしてSSN(社会保障番号)カードが発行されたのがSSNの始まりである。このような限定された目的が、その後連邦や州の機関へ利用が拡大し、1970年代の急速なコンピュータ処理化と相俟って9桁の数字がまさに個人識別番号として、明確な利用制限等についての法律的根拠を持たないまま拡大したのである。その後も不法就労、低所得者医療扶助、福祉詐欺の防止、婚姻許可、死亡証明等多くの公共・行政分野への広がりを見せている。

 これと平行して、民間部門の利用制限は連邦法による利用制限がなかったことから、コンピュータ技術を活用した膨大な個人情報の収集をもとにデータ・ブローカー(実態は信用情報業者の場合がほとんどである)による検索・照合サービスのキーとしての利用が進んだのである。 

 しかし、一方でSSNなどの個人情報を違法に入手し、偽名、偽造文書の作成、金融取引の悪用等なりすまし詐欺(Identity Theft)被害の問題が大きな社会問題となってきつつあった。このような中、2001年9月11日国際テロ事件が起き、改めて市民・非市民の区別の明確化(移民問題)、出生証明や雇用管理におけるSSNの管理システムの強化が図られることとなり、SSNとなりすまし対策に関する法案もこの数年間で連邦議会に毎回のように提案されており、他方で州ベースではSSNの利用制限立法が多くなってきている点も見逃せない。(筆者注1)

 このような中で、2005年1月26日下院議会F .James Sensenbrenner Jr.氏は、「REAL ID Act of 2005(H.R.418)」法案を上程した。

 

F. James Sensenbrenner, Jr.

F .James Sensenbrenner Jr.氏

法案H.R.418の連邦議会の法案管理サイト(Congress. Gov.)(https://www.congress.gov/bill/109th-congress/house-bill/418)や法案追跡サイト(Govtrack)(https://www.govtrack.us/congress/bills/109/hr418)にあるとおり、2005年2月10日下院で賛成261、反対161、棄権11で可決したものの、上院では2005年2月17日第二読会や司法委員会までその後は審議されていない。廃案になっている。

 しかし、同法案自体重要な法整備の在り方を提起していることは間違いない。以下でその概要を取り上げる。

 同法の運営主体は、連邦・国土安全保障省(DHS)や州であり連邦主導型の施策をとっており、(1)運転免許証と(2)国民IDカードの2本は柱で構成されているが、主たる部分は後者といえよう。州の役割はDHS基準に適合したIDカードの発行であり、施行後はじめの3年間は連邦政府機関は202条に定めるIDカードの最低基準(記録項目)を満たさない場合は受け付けないなどが条文上明記されている。(筆者注2)

 以上、この問題を取り上げた背景には、わが国が本格的に取り組もうとしている電子政府、電子自治体やさらに重要な点は、これらの運用の厳格化のための新たな個人識別システムの構築である。先般英国で成立した「国民IDカード法」をはじめ欧州諸国、香港、マレーシア、シンガポール、韓国等はすでにIDカードシステムを運用済であり、わが国が従来是としてきた単一民族者社会自体すなわち「人的なりすまし」はありえないという考え方自身も見直すべき時期に来ているといえる。
 個人認証のあり方については、金融取引の厳格性確保(金融詐欺阻止)の観点から、民間金融機関における「生体認証技術」が優先的に導入されているが、このようなメーカー依存型ではない、人権保護に配意しつつも、これからのIT社会の個人識別制度のあり方を含む、少なくとも官民一体となった整合性のある取組みが今求められているといえよう。

 なお、この問題を論じるには、①米国におけるSSNの利用拡大の歴史的経緯と問題点、②なりすまし対策をめぐる州ベースにおける制限立法の内容に触れざるを得ないが、機会を見て改めて紹介する。特に、SSNとなりすまし阻止問題について、連邦議会への発言・証言を行ってきている連邦議会行政監査局(GAO) (筆者注3)EPIC(Electronic Privacy Foundation Center)の論じている内容を中心に比較、紹介する予定である。

**********************************************************************************
(筆者注1)EPICが2004年9月に連邦議会「エネルギー・商務委員会:商業・取引・消費者保護小委員会」で行った証言のURL:http://www.epic.org/privacy/ssn/ssntestimony9.28.04.html

(筆者注2) REAL ID Act of 2005の条文内容のURL:http://thomas.loc.gov/cgi-bin/query/D?c109:3:./temp/~c1091HCnqv::
なお、同法案は関連法案である「防衛にかかる緊急エネルギー供給の適正化、テロ行為による世界戦争及び津波救済に関する法律(Emergency Supplemental Appropriations Act for Defense,the Global War on Terror,and Tsunami Relief,2005:Public Law 109-13)」のDivision Bとして最終的に添付された。PL109-13の内容は以下のURLを参照。
   http://www.theorator.com/bills109/hr1268.html

(筆者注3) GAOのSSNに関する最新の議会報告としては、連邦議会下院の小委員会で行った証言(testimony)がある。
******************************************************************************
Copyright (c)2006 芦田勝(Masaru Ashida). All rights reserved.No reduction or republication without permission.






コメント
  • X
  • Facebookでシェアする
  • はてなブックマークに追加する
  • LINEでシェアする

米連邦議会上院委員会が本人の事前同意なしの通話記録の入手行為禁止法案を採択

2006-04-02 16:52:32 | 個人情報保護法制

 Last Updated(青字部): March 12,2021

 米国の第109回連邦議会はpretexting行為の禁止をめぐる法案が上院・下院で合わせて5本上程されるという状況にあり、3月上旬の下院委員会での採択に続き、上院委員会で法案が審議、可決された。

 3月31日に連邦議会上院の「商業・科学・運輸委員会(The Commerce , Science and Transportation Committee)」は、本人の文書よる事前の同意なしの「pretexting」行為(通話記録の入手、使用および販売行為)を禁止する法案「Consumer Telephone Records Protection Act of 2006(S.2178)」を採択した。(筆者注1)
 この「pretexting」行為は、米国では金融制度改革法である「1999年グラム・リーチ・ブライリー法」(筆者注2)において金融機関の取引個人情報保護についてのみ定められていたものを、固定電話や携帯電話等における通話記録にまで拡大したもので、ジョージ・アレン上院議員(バージニア州選出:民主党)やテッド・スチーブンス上院商務委員会委員長が中心となって立法化に取り組んでいたものである。

 主な内容は次のとおりである。
(1)第109回議会に上程された法案(S. 2389: Protecting Consumer Phone Records Act)の修正法案で、①固定電話(wireline)、②携帯、③Voipサービス提供者等の音声通信事業者に対し、本人の書面による同意・許可なしに第三者が通話記録を入手した場合、顧客に通知義務を課すものである。これに関し、同法案はグラム・リーチ・ブライリー法の場合と同様、連邦通信委員会(FCC)に通話記録に関する新規則の制定を命じる。

(2)データ・ブローカーに対し、FCCが従前行っていた事前調査通知の省略を認め、FCCが罰金を科す手続きを効率化する。

(3)罰則の内容は、違法に通信記録を入手又は販売する行為等に対し民事訴訟を認め、1記録当り11,000ドル(約127万6千円)、最大1,100万ドル(約12億7,600万円)の罰金を定める。

(4)FCC自体に、継続的違反者に対し、各違反行為につき3万ドル(約348万円)、最大300万ドル(約3億4,800万円)の罰金を科すことを認める。

【補追】Updated: March 12,2021

1.第109会期の全法案

”Congress . gov”サイトで確認できる。

https://www.everycrsreport.com/reports/RL33287.html

https://www.congress.gov/advanced-search/legislation?congresses[0]=109&committeeActivity[0]=3&satellite={%22House+Committees%22:{%22operator%22:%22OR%22,%22committees%22:{%22hsif00%22:%22House+Energy+and+Commerce%22},%22committeeHistories%22:[]}}&submitted=Submitted&searchResultViewType=expanded&q={%22party%22:%22all%22}&pageSize=100&page=4

2.連邦議会調査局の無料一括閲覧サイトEvery CRS report サイトDigital Libraryが有用

(1)北テキサス大学図書館・政府文書管理部が実施しているサイトである。その設置目的の概要仮訳する。このサイトでは運営維持のために”donate”を求めている。この点は、筆者が考えている本ブログの最終目標に近いものがある。

連邦議会調査局(CRS)のレポートは、議会が使用しているのと同じ情報源から、偏見を心配することなく、誰もが主要な政治問題について迅速に理解するための最良の方法である。 CRSは連邦議会のシンクタンクであり、そのレポートは、重要な政策問題の正確でタイムリーな分析のために、学者、企業、裁判官、政策提唱者、学生、図書館員、ジャーナリストおよび政策立案者によって信頼されている。しかし、各 レポートは分類されておらず、特定の国会議員への個別のアドバイスは含まれていない。 (詳細:CRSレポートとは何か? 今日まで、CRSレポートは、一般的に、つながりのある人だけが利用できが、 現在、共和党と民主党の議員および図書館パートナーと協力して、これらのレポートをすべての人がオンラインで1か所で無料で利用できるようになった。

(2)連邦議会調査局(CRS)の検索サイト

(3)この両者の利用者の使い勝手の比較

例えば、2006年法案「Prevention of Fraudulent Access to Phone Records Act bill H.R.4662」と入力した場合、Every CRS reportでは同法案に関するCRSレポートおよび関連法案に関する詳細サイトhttps://www.everycrsreport.com/reports/RL33287.htmlにリンクされる。リンクも正確であり、かつメンテナンスされている。

他方、CRSの検索サイトで同じ作業をしても答えは、該当なしである。

********************************************************************************
(筆者注1)下院では同様の趣旨の2法案が別々の委員会で採択されている。
①3月8日に「エネルギー・商務対策委員会(ジョン・バートン委員長)」が採択した「Prevention of Fraudulent Access to Phone Records Act法案(H.R.4662)」で、連邦取引委員会(FTC)の訴追権限を強化するとともに、1犯罪行為当り30万ドルの罰金刑(複数犯罪を犯した場合は最大3百万ドル)を科すというものである。対象事業者は上院法案との同様に電話業者、携帯電話業者からVoip業者までとなっている。
http://news.com.com/2100-1037_3-6047462.html
法案:https://www.congress.gov/bill/109th-congress/house-bill/4662
②3月2日に「司法委員会」が採択した「Law Enforcement and Phone Privacy Act of 2006(H.R.4709) 」で、わずか6分間の議論で採択されたものである。同法案の罰則は上院法案に比べ厳しく、違法な入手行為について最大20年の禁錮刑、その他の犯罪行為は最大5年の禁錮刑である。
http://news.zdnet.com/2100-1035_22-6045178.html
法案:https://www.congress.gov/bill/109th-congress/house-bill/4709

(筆者注2 )グラム・リーチ・ブライリー法(Gramm-Leach-Bliley Act(GLB、GLBA)、1999年金融サービス近代化法(Financial Services Modernization Act of 1999))は、1999年11月12日に制定されたアメリカ合衆国の連邦法である。商業銀行業務や投資銀行業務、保険業務の兼業を禁止するために1933年に制定されたグラス・スティーガル法の一部を無効にするための法律で、第106連邦議会にて成立した。(Wikipedia から抜粋)

  同法第Ⅴ編は、金融機関における個人情報保護に関する規定を定めるもので、その525条で、連邦預金保険公社(FDIC)その他金融監督機関に対し、同法の傘下金融機関における個人情報保護の適正な遵守を実現するため諸規則やガイダンスの制定ならびに連邦議会への報告などを命じている。これを受けて2001年8月にFDICから告示されたのが「なりすまし詐欺及びpretext callingに関するガイダンス」である。
 同ガイダンスでは、連邦ベースでなりすまし犯罪に対する刑事罰を定め旨明し、すなわち、521、523条において、①金融機関の顧客の取引情報を違法な手段または詐欺的な説明により金融機関の役付者、従業員、顧客の代理人から得た行為は犯罪とする、②要求者が詐欺的な方法により得られた情報であることを知ったうえで第三者から得た場合も犯罪とする旨、定めている。なお、Phishing詐欺の電話版である金融機関の従業員等と偽って顧客の取引情報を得る行為(pretext calling)についても厳格に禁止している。
http://www.fdic.gov/news/news/financial/2001/fil0139a.html

**********************************************************************
Copyright (c)2006 芦田勝(Masaru Ashida ). All rights reserved.No reduction or republication without permission.




 

コメント
  • X
  • Facebookでシェアする
  • はてなブックマークに追加する
  • LINEでシェアする

英国の Identity Cards Bill(国民ID カード法案)が可決成立、玉虫色の決着

2006-04-01 18:39:01 | 国民IDカード・認証技術問題

 Last Updated:March 12,2021

 2005年5月に英国議会に上程され、英国やEU加盟国内の人権保護団体やロンドン大学等において議論を呼んでいた標記法案(筆者注1)が上院(貴族院)、下院(庶民院) で3月29日に承認され、国王の裁可(Royal Assent)により成立した。


 2010年1月以前は国民IDカードの購入は義務化されないものの、英国のパスポートの申込者は自動的に指紋や虹彩など生体認証情報(筆者注2)を含む国民ID登録が義務化されるという玉虫色の内容で、かつ法律としての明確性を欠く面やロンドン大学等が指摘した開発・運用コストが不明確等という点もあり、今後も多くの論評が寄せられると思われるが、速報的に紹介する。(筆者注3)

1.IDカード購入の「オプト・アウト権」
 上院・下院での修正意見に基づき盛り込まれたものである。上院では5回の修正が行われ、その1つの妥協点がこのオプショナルなカード購入義務である。すなわち、法案第11編にあるとおりIDカードとパスポートの情報の連携を通じた「国民報管理方式」はすでに定められているのであるが、修正案では17歳以上の国民において2010年1月(英国の総選挙で労働党政権の存続確定時)まではパスポートの申込み時のIDカードの同時購入は任意となった。

2.2010年1月以降のカード購入の義務化
 約93ポンド(筆者注4)でIDカードの購入が義務化される。また、2008年からは、オプト・アウト権の行使の有無にかかわりなく、パスポートのIC Chip(筆者注5)に格納され生体認証情報は政府の登録情報データベース(筆者注6)にも登録されることになる。

******************************************************:
(筆者注1)最終法案の内容は、このURLを参照。

(筆者注2)生体認証の指紋や虹彩については、法案のスケジュール(scheduleとは,英連邦の国の法律ではごく一般的なもので、法律の一部をなす。法本文の規定を受け,それをさらに細かく規定したものである。付属規定と訳されている例がある。わが国の法案で言う「別表」的なもの)に具体的に明記されている。

(筆者注3)国民IDカード法案やその他の国のIDカード制度についてTimelineやQ&A方式でBBCが詳しく解説している。

Timelinehttps://www.bbc.com/news/10164331

Q&Ahttp://news.bbc.co.uk/2/hi/uk_news/politics/8708054.stm

(筆者注4)93ポンドはあくまで議会で担当大臣(内務省)が答弁したもので、パスポートとIDカードを同時に購入したときの費用であり、個別購入費用については、なお流動的である。

(筆者注5)英国は、すでにわが国や欧米主要国と同様に「ePassports」の発行を始めている。現時点での生体認証方式は「顔認証( facial recognition)」であるが、各国とも国民IDカードとの整合性を取りつつ指紋や虹彩認証の導入のタイミングを計っているのが現実である。

(筆者注6)IDカードとePassportsにおけるデータベースの管理業務(the national identity register(NIR))は、新たな機関である「The Identity and Passport Service(IPS)」が2006年4月1日からを行う。

**************************************************************************

Copyright (c)2006 芦田勝(Masaru Ashida). All rights reserved.No reduction or republication without permission


コメント
  • X
  • Facebookでシェアする
  • はてなブックマークに追加する
  • LINEでシェアする