これは，OECDの委員会の一つである情報・コンピュータ・通信政策委員会（Committee for Information, Computer and Communication Policy, ICCP）が1997年3月27日に採択した暗号政策ガイドラインに関する理事会勧告（Recommendation of the Council concerning Guidelines for Cyptography Policy）の中央大学法学部堀部政男教授による翻訳（監訳）です。同教授からの許諾を得て，ここに掲載します。堀部政男教授に対し，深く感謝いたします。
堀部政男教授は，同ガイドラインの文案を作製するための暗号政策ガイドライン・アド・ホック専門家会合（Ad hoc Group of Experts on Cryprography Policy Guidlines）の副議長として，このガイドラインの作製に直接タッチされました。したがって，この翻訳は，このガイドラインの翻訳としては最も信頼できるものです。
もとの翻訳文テキストは印刷物でしたので，夏井の責任においてデジタル化しました。
なお，このガイドラインのオリジナル・テキスト及びプレス発表用ドキュメントは，
http://www.oecdwash.org/PRESS/PRESRELS/news9724.htm
で入手することができます。
＜堀部政男教授による前書き＞
ここに掲載する日本語訳は，アド・ホック専門家会合に出席したことのある次の方々の協力を得て翻訳したものを全体として調整し，私の責任で公表することにしたものである。
前警察庁長宮官房総務課専門官・現宮城県警察本部総務室情報管理課長 関 聡司
通商産業省機械情報産業局情報処理振興課課長補佐 向 賢一郎
郵攻省電気通信局電気通信事業部データ通信課課長補佐 武藤 功哉
同主査 川井 康
暗号政策ガイドラインに関する理事会勧告
理事会は，
1960年12月14日のOECD条約，特に第1条(b)項，第1条(c)項，第3条(a)項及び第5条(b)項，
1980年年9月23日のプライバシー保護と個人データの国際流通についてのガイドラインに関する理事会勧告［C(80)58/FINAL］，
1985年4月11日にOECD加盟国政府によって採択されたデータの国際流通に関する宣言［Annex to C(85)139］，
1992年11月26日の情報システムのセキュリティのためのガイドラインに関する理事会勧告［C(92)188/FINAL］，
個人データの処理に係る個人の保護及び当該データの自由な移動に関する1995年10月24日の欧州議会及び欧州連合理事会の指令［95/46/EC］，
1996年7月13日に合意された通常兵器及ひ関連汎用品・技術に係る国際的輪出管理体制に関するワッセナー・アレンジメント，
デュアルユース製品の輸出管理に関する1994年12月の欧州連合理事会の決定［94/942/CFSP］及び規則［(CE)3381/94］，
情報技術に関連した刑事手続法の問題に関する1995年9月11日の欧州評議会の勧告［R(95)13］
に配慮し，
国内及び世界の情報基盤が，世界的規模の通信及びデータヘのアクセスのため継ぎ目のないネットワークを供給するために，急速に発展してきていること，
この勃興しつつある情報通信ネットワークが経済的発展と世界貿易に対して重要なインパクトを持つようになること，
情報技術のユーザが，情報通信の基盤，ネットワーク及びシステムのセキュリティに対し，またそれらのデータの機密性，完全性，及び可用性に対し，さらにデータの発信と受信を証明する能力に対して，信頼感を有していなければならないこと，
データがそのセキュリテイヘの高度な手法を用いた脅威に対してますます脆弱になってきていること，また法的，手続的，及び技術的な方法を通じてデータのセキュリテイを保証することが国内及び国際情報基盤がそれらの十分な潜在能力を発揮するために根本的に重要であること
を考慮し，
暗号はデータの機密性，完全性，及び可用性を保証し，また，そのデータに認証及び否認不可性のメカニズムを与えることによって，情報技術の安全な使用のための効果的なツールとなり得るので，暗号は安全な情報通信ネットワーク及びシステムの重要な構成要素であること，
暗号は，プライバシー，知的財産，ビジネス及び金融情報，公共の安全及び国家の安全の保護，並びに安全な匿名の支払い及び取引を含む，電子商取引の実施に関連する種々のアプリケーションを有すること，
データ及び通信は，不正アクセス，改竄及び不適正な使用からの保護が不十分であり得るし，それゆえにユーザが情報通信システム，ネットワーク及び基盤を信用しないこともあり得るので，暗号手法を最大限利用できないと，プライバシー，知的財産，ビジネス及び金融情報，公共の安全及び国家の安全の保護，電子商取引の実施に否定的影響を与えることがあり得ること，
認証及び否認不可性を含むデータの完全性を保証する暗号利用は，デ一タの機密性を保証するための暗号利用とは別のものであること，並びにそれらの利用はそれぞれ異なった問題を提起すること，
暗号によって与えられる情報保護の質は，選択された技術的手段のみならず，良好な管理上，組織上及び運用上の手続にも依存すること
を認識し，
さらに，
政府は広範な責任を負い，そのいくつかは特に暗号の利用に関連しており，その中には，プライバシーの保護，情報通信システムのセキュリテイ確保，部分的には商業の促進による経済の振興，公共の安全の維持，及び法の執行と国家の安全の保護が含まれていること，
暗号に対して政府，商業，個人の正当なニーズと利用がある一方で，公共の安全，国家の安全，法の執行，ビジネスの利益，消費者の利益又はプライバシーに影響を与え得るような非合法な活動のために，個人又は主体により利用されることもあり，それゆえに政府に対しては，産業界及び一般国民とともに，バランスのとれた政策形成が求められていること，
情報通信ネットワークの本質的に世界的な性質のため，整合性を欠く国内政策の実施は，個人，ビジネス，及び政府のニーズを満たさないであろうし，経済協力及び発展の障害を創出することもあり得るので，したがって，国内政策は国際的な調整を要求することもあり得ること，
本理事会勧告は，各国政府の主権に影響を与えないこと，また，本勧告の附属文書に含まれるガイドラインは，常に国内法の要求に従うこと
を認識し，
情報・コンピュータ・通信政策委員会の提案に基づき，
加盟国が次のことを行うよう勧告する。
本勧告の不可欠な部分である附属文書中に含まれるガイドライン（以下「ガイドライン」という。）に定められた暗号政策に関する諸原則を反映し，かつ，考慮した政策，手法，手段，慣行及び手続を新たに策定し，又は，既存のものを修正し，また，その場合に，1980年9月23目のプライバシー保護と個人データの国際流通についてのガイドラインに関する理事会勧告［C(80)58/FINAL］及び1992年11月26日の情報システムのセキュリティのためのガイドラインに関する理事会勧告［C(92)188/FINAL］を考慮すること。
本ガイドラインの実施に際して，国内及び国際的レベルで協議，協調，及び協力を行うこと。
本ガイドラインを国際的暗号政策に関連する特定の問題についての合意の基礎として用いることにより，国際的暗号政策の分野における実践的かつ実効的な解決策の必要性に従って行動すること。
暗号に関連する問題及び政策に対する意識を高めるために，本ガイドラインを公的部門及び民間部門に周知すること。
国際貿易及び情報通信ネットワークの発展に対する正当化されない障壁を除去し，又は暗号政策の名の下にそれを創出することを回避すること。
暗号の利用に関して攻府によって課せられる国内的規制は全て，明確に定め，一般に入手可能とすること。
暗号政策に係る問題に関する国際協力の改善という見地から，少なくとも5年ごとに，本ガイドラインのレビューを行うこと。
暗号政策ガイドラインに関する理事会勧告の附属文書
Ⅰ．目 的
本ガイドラインは，次のことを目的としている。
次の目的のために，暗号の利用を促進すること。
・情報通信の基盤，ネットワーク及びシステム並びにその使用方法への信頼を醸成するため
・国内及び世界の情報通信の基盤，ネットワ一ク及びシステムにおいて，デ一タのセキュリティの確保に役立てるため及びプライバシーを保護するため
公共の安全，法執行及び国家の安全を不当に損なうことなしに，この暗号利用を促進すること。
国内及び世界の情報通信ネットワークにおける相互運用性，ポータビリティ及びモビリティのある暗号手法の必要性と，整合的な暗号政策及び法の必要性に関する認識を高めること。
公的部門及び民間部門において，暗号の効果的な利用のための整合性のとれた国内及ひ国際的な政策，手法，手段，慣行及び手統の策定及びその実施について意思決定を行う者を支援すること。
国内及び国際的な暗号政策，手法，手段，墳行及び手続の策定及びその実施において，公的部門と民間部門の間の協力を促進すること。
コスト効率が高く，相互運用性，ポータビリティ及びモビリティのある暗号システムの促進によって，国際貿易を円滑にすること。
暗号手法の協調的な利用を実現するに当たって，政府，ビジネス及び研究機関並びに標準策定機関相互の国際協カを促進すること。
Ⅱ．範 囲
本ガイドラインは，政策勧告という意味では，主として政府を対象としているが，民間部門及び公的部門双方によって広く読まれ，遵守されることを想定している。
攻府は，国益のためにセキュリティを必要とする情報の保護に対しては，分離できる別個の責任を有していると認識されており，本ガイドラインがこうした問題に適用されることは，意図されていない。
Ⅲ．定 義
このガイドラインの目的を達成するために，
「認証」とは，情報通信システムにおいて，ユーザ，装置又はその他の主体が主張する自己同一性が正当であることを確証する機能をいう。
「可用性」とは，データ，情報及び情報システムが，要求された方法で適時にアクセス可能及び利用可能であるという特性をいう。
「機密性」とは，データ又は情報が無権限の個人，主体又はプロセスに対して利用可能とされない又は開示されないという特性をいう。
「暗号」とは，情報の内容の秘匿，認証の確立，検出不能な修正の防止，否認の防止，及び／又は，無権限使用の防止のためにデータを変換する原理，手段及び方式を具体化する規律をいう。
「暗号鍵」とは，データを変換，確認，認証，暗号化又は復号化するため暗号アルゴリズムとともに使用されるパラメータをいう。
「暗号手法」とは，暗号の技術，サービス，システム，製品及び鍵管理システムをいう。
「データ」とは，逆信，変換，蓄積又は処理に適した方法による情報の表現をいう。
「復号化」とは，暗号化の逆の機能をいう。
「暗号化」とは，その機密性を確実にするために知覚できないデータ（暗号化されたデータ）を生成する暗号の使用によるデータの変換をいう。
「完全性」とは，データ又は情報が権限のない方法により修正又は改竄されていないという特性をいう。
暗号手法の「相互運用性」とは，複数の暗号手法が同時に機能するための技術的能力をいう。
「鍵管理システム」とは，暗号鍵の生成，蓄積，配送，失効，消去，保管，証明又は適用のためのシステムをいう。
「鍵保持者」とは，暗号鍵を所有又は管理している個人又は主体をいう。鍵保持者は，必ずしも鍵のユーザである必要はない。
「法執行」又は「法の執行」とは，特定の事項にかかわることなく，全ての法の執行をいう。
「合法的アクセス」とは，法に基づく，暗号化されたデータの平文又は暗号鍵への第三者である個人又は主体（政府を含む。）によるアクセスを意味する。
暗号手法の「モビリティ」とは，複数の国又は情報通信基盤において機能する技術的能力のみをいう。
「否認不可性」とは，個人又は主体がデータに閣し特定の行動を実行したことを否定することを防ぐものとして，暗号手法により達成される特性（権限（発信元）の否定拒否のため，義務，意図若しくは約束の証明のため又は所有権の証明のためのメカニズムのようなもの）をいう。
「個人データ」とは，識別された又は識別され得る個人に関する情報をいうｃ
「平文」とは，知覚できるデータをいう。
暗号手法の「ポータビリティ」とは，複数のシステムで適用され機能するための技術的能力をいう。
Ⅳ．統 合
この附属文書のⅤの諸原則は，それぞれが重要な政策課題を取り扱っており，それぞれが相互に依存したものであって，懸案となっている様々な利害関係のバランスをとるために統合的に実施されるべきである。各原則は，残りの他の原則から分離して実施されるベきではない。
Ｖ．諸 原 則
原則１ 暗号手法に対する信頼
暗号手法は，情報通信システムの利用に対する信頼感を醸成するため，信頼に足るものであるべきである。
市場は，安心できるシステムに対する信用を樹立するのに資するべきであって，政府の規則，ライセンス，及び暗号手法の利用もまた，ユーザの信頼を促進することができる。暗号手法の評価は，特にそれが市場に受容された諸基準に基づく場合には，ユーザの信頼を確立することがあり得る。
ユ一ザの信頼のため，鍵管理システムの利用に関する契約は，法がかかるシステムに適用される管轄権を明示すべきである。
原則２ 暗号手法の選択
ユーザは，適用される法に従い，いかなる暗号手法をも選択する権利を持つべきである。
ユーザは，情報通信システムのセキュリテイ，及びかかるシステムのデータの機密性と完全性を信頼することがてきるよう，そのニーズを満たす暗号にアクセスすべきである。データを所有し，管理し，アクセスし，使用し，又は蓄積する個人又は主体は，かかるデ一夕の機密性と完全性を保護する責任を持つことがあり，またそれゆえに適切な暗号手法を使用する責任を有することがある。データ・セキュリテイに対する異なった要求を満たすために，様々な暗号手法が必要とされることが予想される。暗号のユーザは，適用される法に従い，必要とされるデータ・セキュリテイのタイプ及びレベルを自由に決定すべきであり，またユーザのニーズに合致する鍵管理システムを含む適切な暗号手法を自由に選択し実施すべきである。
個人データ又は電子商取引の保護のような，明確にされた公共の利益を保護するために，政府は，十分なレベルの保護を達成する暗号手法を要求する政策を実施することができる。
暗号手法に関する攻府の管理は，政府の責任の遂行に不可欠なもの以上であってはならず，ユーザの選択を最大限尊重すべきである。本原則は，政府がユーザの選択を制限するような法律を制定すべきであることを意味するものと解釈されてはならない。
原則３ 市場主導の暗号手法の開発
暗号手法は，個人，ビジネス及び攻府の必要性，需要及び責任に対応して開発されるべきである。
暗号手法の開発及び提供は，開放的で競争的な環境にある市場によって決定されるべきである。こうしたアプローチは，技術の変化，利用者の需要及び情報通信システムのセキュリティへの新たな脅威に対応した解決策を最も良く保証するであろう。暗号手法に関する国際的な技術的諸標準，諸基準及びプロトコルの開発も，市場主導とすぺきである。政府は，暗号手法の開発において，ビジネス及び研究機関を支援し，協力すべきである。
原則４ 暗号手法に関する諸標準
暗号手法に関する技術的諸標準，諸基準及びプロトコルは，国内及び国際レベルで開発され，また，公表されるべきである。
市場の必要性に応じて，国際的に認められた標準策定機関，攻府，ビジネス及びその他関連の専門家は，暗号手法の相互運用的な技術的諸標準，諸基準及びプロトコルを開発し普及させるために，情報を共有し協力すべきである。暗号手法についての国内標準が存在する場合には，世界的な相互運用性，ポータビリティ及びモビリティを促進するために，国内標準は国際標準と整合性を保つべきである。こうした暗号手法の相互運用性，ポータビリティ及びモビリティ確保のための技術的諸標準，諸基準及びプロトコルへの適合性を評価するメカニズムが開発されるべきである。諸標準への適合性試験又は諸標準の評価が行われる程度まで，これらの結果の広範な受容が促進されるべきである。
原則５ プライバシー及び個人データの保護
通信の秘密及び個人データの保護を含むプライバシーに関する個人の基本的権利は，各国の暗号政策，暗号手法の実施及び利用に当たって尊重されるべきである。
暗号手法は，データ及び通信の秘匿と個人の識別情報の保護の両方を含むプライバシー保護のための貴重な道具となることができる。また，暗号手法は，安全だが匿名で行える支払い，取引及びやり取りを可能とすろことにより，個人データの収集を最少限にするための新たな機会も提供する。同時に，電子取引においてデータの完全性を保証するための暗号手法は，プライバシーの問題を惹起する。個人データの収集及び個人識別システムの構築を含むこれらの問題については，考慮され説明されるべきであり，適切な場合には，プライバシーに関する保護措置が策定されるべきである。
プライバシー保護と個人データの国際流通についてのOECDガイドラインは，個人情報の収集及び管理に関する一般的な指針を提供しており，暗号手法を実施する場合には，関連する国内法と整合性を保ちつつ適用されるべきである。
原則６ 合法的アクセス
国家の暗号政策は，暗号化されたデータの平文又は暗号鍵への合法的なアクセスを認めることができる。これらの政策は，最大限可能な範囲で，このガイドラインにある他の原則を尊重しなければならない。
合法的アクセスを供する暗号手法に関する政策について考慮する場合には，政府は，公共の安全，法執行及び国家の安全のための利益も含む諸利益について，誤用の危険性，支える基盤のための追加的費用，技術的欠陥の予想その他のコストと同様に，慎重に比較検討すベきである。この原則を政府が合法的アクセスを認めるような法律の制定をすべきである又はすべきでないことを暗に示すものと解釈されるべきではない，
暗号化されたデータの平文又は暗号鍵へのアクセスが合法的手統によって要求される場合には，アクセスを要求している個人又は主体は，その平文を所持する法的権利を有しなけれぱならず，また，一旦獲得されたときにはそのデータは，合法的な自的のみに使用されなければならない。暗号鍵又はデータの開示が国内法に基づき監査又は再検討できるよう，合法的アクセスの獲得の際の手続は記録されるべきである。合法的アクセスが一且要求され獲得される場合には，このようなアクセスは，各状況に応じて，指定された時間的制限内において認められるべきである。合法的アクセスの条件は，暗号手法のユーザ，鍵保持者及び提供者にとって容易に利用できる方法で明確に記述され，また，公表されなければならない。
鍵管理システムは，ユーザ及び法執行機関の利害のバランスをとることができる可能解の基礎を提供することができる。これらの技術は，鍵が失われたときにデータを回復するためにも，使用することができる。暗号鍵への含法的アクセスの手続は，機密性を保護するために使用される鍵とその他の目的のみに使用される鍵との相違を認識しなければならない。本人の識別又はデータの完全性のみを供する暗号鍵は（識別又は完全性を確認するのみの暗号鍵とは区別して），その鍵の合法的な所有者である個人又は主体の同意を得ずに利用されないようにすべきである。
原則７ 責 任
暗号サービスを提供し又は暗号鍵を保持し若しくはアクセスする個人又は主体の責任は，契約又は立法のいずれかによって確立された場合であっても，明確に記述されるべきである。
暗号サービスを提供し又は暗号鍵を保持し若しくはアクセスする全ての個人又は主体（政府を含む。）の責任は，契約又は適切であれば国内立法若しくは国際協定によって明確にされるべきである。ユーザ自身が所有する鍵の誤用に対するユーザの責任も明確にされるべきである。鍵保持者は，合法的アクセスに従って暗号鍵又は暗号化されたデータの平文を提供することに対して，責任を問われないようにすべきである。合法的アクセスを獲得した者は，獲得された暗号鍵又は平文の誤用に対して責任を持つべきである。
原則８ 国際協力
各国攻府は，暗号政策を調整するために協力すべきである。かかる努力の一環として，政府は正当化されない貿易障壁を除去し，又は暗号政策の名の下にそれを創出することを回避すべきである。
暗号が広く国際的に受け入れられることを促進し，国内及び世界の情報通信ネットワークの十分な潜在能カを引き出すために，各国においてとられる暗号政策は他国の同様の政策とできるだけ調整されるべきである。かかる目的のため，本ガイドラインは国内政策形成のために使用されるべきである。
国内の鍵管理システムが整備される場合，それは適当な範囲内で，暗号の国際的利用を許容しなければならない。
国境を越えた合法的アクセスは，二国間又は多国間の協力又は協定によって行うことがてきる。
いかなる攻府も，暗号政策のみに基づいて，その管轄を通過する暗号化されたデータの自由な流通を阻害してはならない。
国際貿易を促進するために，政府は，世界的な電子商敢引に対して不当な障壁を創出するような暗号政策及び慣行の形成を回避すべきである。政府は，暗号手法の国際的可用性に対して正当化されない障壁を創出することを回避すべきである。
Copyright (C) 1997, 1998 Takato Natsui, All rights reserved.
最終更新日：1998/01/06