情報通信技術とサービスのサプライチェーンの安全確保、接続されたソフトウェア・アプリケーションの定義を最終規則に追加

2023年6月16日、米国商務省は、情報通信技術サプライチェーンの安全確保規則を改正し、接続されたソフトウェア・アプリケーション（Connected software application）を含むICTS取引が過度もしくは容認できないリスクを有するかどうかを決定する際に、商務省長官が考慮することができる基準を追加し、最終規則としました。ここでは「背景」「内容」について記事になっています。

背景

バイデン政権は、オープンで相互運用性があり、信頼性が高く、安全なインターネットを推進し、オンラインとオフラインの人権を保護することで、活気に満ちたグローバルなデジタル経済を支援しています。

また、バイデン政権は、中華人民共和国を含む特定の国々が以上のような価値観を共有せず、権威主義的な統制や利益を推進すると同時に、容認できない方法でデジタル技術や米国人のデータを活用していると考えています。

そのため、2021年6月9日、バイデン大統領は、ICTSへの脅威に対処するための大統領令（Executive Order）14034「外国の敵対者から米国人の機密データを保護する（Protecting Americans’ Sensitive Data from Foreign Adversaries）」（E.O. 14034）に署名しました。

これにより、トランプ前政権によるコミュニケーション・アプリケーションTikTokとWeChatの利用を禁止する大統領令や８つの電子決済サービスAlipay、CamScanner、QQ Wallet、SHAREit、Tencent QQ、VMate、WeChat PayとWPS Officeを制限する大統領令に関連する規則が無効となっています。

しかし代わりに、基準ベースの判断枠組みと厳格で証拠に基づく分析を行い、中華人民共和国を含む敵対国が所有または支配する、あるいはその管轄下にある者が設計、開発、製造、または供給するソフトウェア・アプリケーションを含むICTS取引がもたらすリスクに対処するよう指示しました。

2021年11月26日、米国商務省（Department of Commerce）は、E.O. 14034の規定を実施するため、商務省の規則である「情報通信技術サプライチェーンの安全確保（Securing the Information and Communications Technology Supply Chain）」の改正を提案する規則制定提案公告（NPRM）を公表しました。

NPRMの意見募集期間は当初2021年12月27日で終了しましたが、複数のコメント提出者の要請により、同省はその期間を2022年1月11日まで延長しました。同省は、NPRMに対して独自の意見を多く含んだ10通の意見書を受け取り、今回のその意見を最終規則に反映しています。

内容

今回の最終規則は、NPRM に寄せられたコメントに対応し、それに基づく変更を採用しています。具体的には、E.O.14034に列挙されたリスク要因に従い、最終規則では、情報通信技術サプライチェーンの安全確保規則を改正し、以下の二つの要件を追加しました。

1. 接続されたソフトウェア・アプリケーションを含む情報通信技術およびサービス（information and communications technology and services、 ICTS）取引が、規則で定義されている過度または容認できないリスクを有するかどうかを決定する際に、商務省長官が考慮することができる追加の基準を規定しています。
2. 大統領令 14034「外国 の敵対者から米国人の機密データを保護する」（E.O. 14034）で規定された「接続されたソフトウェア・アプリケーション」の定義を明確にするため、「エンドポイント・コンピューティング・デバイス」および「インターネット経由」の定義が追加されました。

情報通信技術サプライチェーンの安全確保規則では、外国の敵対者が所有、管理、または管轄または指示の対象となる人物によって接続されたソフトウェア・アプリケーションの「運用、管理、保守、またはサービス」は、国家安全上のリスクをもたらす可能性があるため、規則の対象となります。

参考

商務省、情報通信技術サプライチェーンの安全確保規則を改正

https://www.federalregister.gov/documents/2023/06/16/2023-12925/securing-the-information-and-communications-technology-and-services-supply-chain-connected-software