Tamper-evident record history
Each version of a record is hashed and the hashes are chained or anchored in an append-only log, so any later change to history is detectable by anyone holding an earlier hash.
GCRI · Registry
登録簿のためのサイバーセキュリティ
Cybersecurity and cryptography protect a registry’s integrity: that records are not altered without trace, that only authorised people change them, and that what a reader receives is what the issuer published. In registries the main threat is often quiet tampering rather than outage, so integrity and audit matter as much as availability.
01目次
Cybersecurity for registries in five parts.
02申請
What cybersecurity and cryptography does here.
Cybersecurity and cryptography protect information システム and data from unauthorised access, disruption and manipulation. They address threats that can spread rapidly across interconnected digital and physical systems. In governance and institutions and research and evidence, cybersecurity analysis identifies how a single compromise can propagate across sectors that share software, vendors or networks. It informs resilience requirements and cyber insurance. The canonical description is on STEM Commons.
Signed exports and releases
Exports and data releases are signed with keys whose public halves are published, so consumers can verify origin and integrity before ingesting, and a compromised mirror cannot pass off altered content.
Threat modelling of edit paths
Every route by which a record can change, from the interface and bulk import to administrator tools and pipelines, is modelled for abuse, including insiders and stolen credentials, and each route is logged.
03監視
Security assessment.
この手法を追跡するためにチームが使う画面：その指標、状態、決定。名前は例であり、値はイメージです。
Security assessment
Registry · Cybersecurity for registries · Run R-3129
Two high findingsGCRI・Registry
調査結果
| Weak key rotation | Identity service | 高 | PR.AA | 開く |
| Unpatched gateway | Edge | 高 | PR.PS | Fixing |
| Logging gap | 決済 API | 中 | DE.CM | 開く |
| Stale accounts | 名簿 | 低 | PR.AA | 終了 |
手法カード
- 手法
- サイバーセキュリティと暗号
- 枠組み
- CSF 2.0 の機能
- 対象範囲
- 37 assets
- ラベル
- モデル化
Control coverage by function
04データ
手法が使用するもの。
Datasets and records used by cybersecurity and cryptography on this platform, with the role each plays and the label its values carry. Sources are listed in 出典の登録簿.
| データ | 役割 | ラベル |
|---|---|---|
| Security event and audit logs | Detection and reconstruction of changes | 観測 |
| Content hashes and transparency logs | Integrity verification of records and releases | 観測 |
| Vulnerability databases such as CVE and OSV | Known weaknesses in registry software dependencies | 報告値 |
| Incident reports | Lessons from past compromises and near misses | 報告値 |
05シミュレーター
相互依存するネットワークを通る連鎖。
A ハザードの影響範囲 は各層で同じ場所にある資産を奪います。その後、断片化、層間の依存、生き残った資産の過負荷が障害を広げます。3D ビューは層を奥行きで分けて示します。例示的な値を明記した教材用モデルであり、予測ではありません。
管理策
- レイヤーごとの資産
- 18
- ハザードの影響範囲
- 面積の 8%
- 別のレイヤーに依存する資産
- 60%
- 予備容量（許容度）
- 30%
読み取り値
- ハザードを受けた資産
- 6%
- 稼働を続ける資産
- 48%
- 初期被害の増幅
- 9.3 times
- 決着までのステップ数
- 3
数値、手法、出典
| ステップ | 稼働中の電力（%） | Water working (%) | 稼働中の通信（%） |
|---|---|---|---|
| 0 | 100 | 100 | 83 |
| 1 | 61 | 100 | 56 |
| 2 | 61 | 56 | 39 |
| 3 | 61 | 44 | 39 |
手法
- 相互依存ネットワーク Buldyrev ほか（2010）、Catastrophic cascade of failures in interdependent networks、Nature 464
- 過負荷カスケード Motter and Lai (2002), Physical Review E 66
- 媒介負荷 Brandes (2001), Journal of Mathematical Sociology 25
- 多層ネットワーク Kivela and others (2014), Journal of Complex Networks 2
- インフラの相互依存 Rinaldi, Peerenboom and Kelly (2001), IEEE Control Systems 21(6)
- 不確実性ファン（パラメータ・モンテカルロ） Spiegelhalter, Pearson and Short (2011)、Visualising uncertainty about the future、Science 333
- 一因子ずつの感度分析（トルネード図） Saltelli and others (2008), Global Sensitivity Analysis: The Primer, Wiley
データ
The model runs on the teaching values set by the controls. To calibrate it for a place, read it against these admitted layers and series, which this page’s map can draw:
- 主要道路 Natural Earth
- 鉄道 Natural Earth
- 港湾 Natural Earth
- 空港 Natural Earth
- 都市域 Natural Earth
- 今夜の夜間光と停電（VIIRS 昼夜バンド） NASA/NOAA VIIRS（Suomi NPP）· 登録 nasa.gibs.context-live-layers
- 自然現象（NASA EONET） NASA EONET · 登録 nasa.eonet.events
6 本の柱を通じて、Nexus Consortium が主導
06検証
結果の確認方法。
Controls are tested through red-team exercises, audits and formal analysis of cryptographic schemes. Incident data are used to check whether defences performed as intended.
| 確認 | 実施方法 |
|---|---|
| Hash verification | Published records and exports are re-hashed on a schedule and compared with the logged values |
| Access review | Accounts with edit and administrator rights are reviewed against current roles, and stale access is removed |
| Penetration testing | Edit paths and interfaces are tested by an independent team against the threat model |
| Restore drills | Backups are restored to a clean environment and compared with the live registry |
Adversaries adapt, so historical data may not reflect future attacks. Software supply chains and legacy systems introduce weaknesses that are hard to inventory.
07手法とエビデンス
How cybersecurity for registries is modelled, measured and tested.
モデル、その仮定、データ、不確実性を、科学者やエンジニアが確認する形で示します。構造は公表された手法に従っています。描かれた値は例示であり、知見ではありません。
データセットと来歴
The data classes behind cybersecurity for registries and what is recorded about each before it is used.
| データ区分 | 来歴を記録済み | 解像度を明示 | ライセンス確認済み |
|---|---|---|---|
| 衛星画像、光学とレーダー | センサー、処理レベル、取得日 | 画素サイズと再訪周期 | シーンごと |
| 再解析と気候モデルの出力 | モデル、実験、メンバー、バージョン | グリッドと時間ステップ | リリースごと |
| 現地センサーと計測器 | 観測所、機器、校正記録 | 地点とサンプリング・レート | ネットワークごと |
| 人口と資産のエクスポージャー | 手法、作成年、入力ソース | セルの大きさと単位 | リリースごと |
| 境界と参照地理 | 作成者、版、日付 | 縮尺 | 版ごと |
- 系譜
- 情報源から図までの W3C PROV 記録
- 原則
- FAIR：見つけやすく、アクセス可能で、相互運用でき、再利用できる
- ギャップ
- 欠損として表示し、黙って埋めることはしない
FAIR 原則・GO FAIR と FORCE11W3C PROV・World Wide Web Consortium不確実性の一貫した扱いに関するガイダンス・IPCCCEOS 解析即応データ・地球観測衛星委員会
09スチュワードシップ
手法を維持する者。
サイバーセキュリティとデジタル・レジリエンス stewards cybersecurity and cryptography for the Consortium and reviews how it is applied across platforms.
10接続済み
このページがコンソーシアム全体でどこへつながるか。
11質問
質問と回答。
What are the limits of cybersecurity and cryptography in this field?
Adversaries adapt, so historical data may not reflect future attacks. Software supply chains and legacy systems introduce weaknesses that are hard to inventory.
結果はどのように確認されますか？
Controls are tested through red-team exercises, audits and formal analysis of cryptographic schemes. Incident data are used to check whether defences performed as intended.
このページの値は実際のものですか？
The data names, roles and checks are real descriptions of practice. The canvas shows a design of the method’s use, not a run; no result is reported here.
この手法は他にどこで適用されていますか？
社会を動かし続ける 正式な手法のページ には、それを適用するすべてのプラットフォームが掲載されています。
報告書貢献する
このページからエビデンスを提供する。
報告書 is the Consortium’s quarterly publication. What you know about this subject can become evidence, a case or a correction in the next edition, credited to you and published under CC BY 4.0 where it is your own work.
GCRI登録簿手法と技術
- メールゲートウェイ GW-GCRIこのページから送信するエビデンス、訂正、事例、手法、レビュー、翻訳、プロファイルへの入力。このページのタグが付いて届くため、担当の編集者が受け取ります。
- Zenodoオープンな寄託寄託してコミュニティに提出するORCID iD を使って Zenodo に自分の記録を公開し、そこから Reports コミュニティに提出してください。キュレーターが審査し、DOI は引き続きあなたのものです。
- 報告書GCRI貢献のすべての方法を見る貢献の種類、それぞれの審査方法、受け取るクレジット、ライセンス、決して受け付けないもの。
個人データ、重要インフラの機微な詳細、共有する権利のないものは決して送らないでください。寄稿は利用前にレビューされます。送付によって著作者としての権利や編集上の権利が生じることはなく、スポンサーシップで調査結果を買うことは決してできません。
登録簿
手法、データセット、または問いを持ち込んでください。
情報提供と問い合わせは本日から受け付けています。問い合わせには参照番号が付き、次の手順が示されます。申請、支払い、計算資源の割り当て、登録は、担当チーム、規約、審査体制が整ってから開始します。
法務
法的文書。
このサイトの地図、データ、図表は、背景と一般的な情報として示すものです。助言、予報、警報ではありません。情報の限界は免責事項とデータに関する注意事項に記載しています。