インド、セキュリティー強化のためスマートフォンメーカーにソースコード提供を義務付ける提案

ニューデリー、インド – インドは、一連のセキュリティ対策の一環として、スマートフォンメーカーに政府とソースコードを共有し、いくつかのソフトウェア変更を行うよう要求することを提案しており、これがAppleやSamsungなどの大手企業からの水面下での反対を引き起こしている。

テクノロジー企業は、主要なソフトウェアアップデートを政府に通知する要件も含む83のセキュリティ基準のパッケージには世界的な先例がなく、機密情報を明らかにするリスクがあると反論している、と協議に詳しい4人の関係者およびロイターによる政府と業界の機密文書のレビューによると。

この計画は、約7億5000万台のスマートフォンを抱える世界第2位のスマートフォン市場において、オンライン詐欺やデータ漏洩が増加する中、ユーザーデータのセキュリティーを強化するナレンドラ・モディ首相の取り組みの一環である。

IT長官S. クリシュナンは2025/1/10土曜日、ロイターに対し「業界の正当な懸念には開かれた姿勢で対処する」と述べ、「それ以上の解釈は時期尚早」と付け加えた。

省のスポークスパーソンは土曜日のメール声明で、提案についてテクノロジー企業との協議が進行中であるため、これ以上コメントできないと述べた。

記事が公開された後、IT省は日曜日遅くに声明を発表し、協議は「モバイルセキュリティーのための適切で堅固な規制枠組み」の開発を目的としており、「技術的および規制上の負担をよりよく理解するため」に業界と「日常的に」関与していると述べた。

IT省は、ロイターが引用した政府または業界文書について詳述またはコメントすることなく、スマートフォンメーカーからソースコードを求めることを検討しているという「声明を否定する」と付け加えた。

政府要件をめぐる継続的な綱引き

Apple、韓国のSamsung、Google、中国のXiaomi、およびこれらの企業を代表するインド業界団体MAITは、コメント要請に応じなかった。

インド政府の要件は以前からテクノロジー企業を苛立たせてきた。先月、監視への懸念から、スマートフォンに国営サイバー安全アプリを義務付ける命令を撤回した。しかし政府は昨年、中国のスパイ活動への懸念から、ロビー活動を無視してセキュリティーカメラの厳格なテストを要求した。

GoogleのAndroidオペレーティングシステムを使用するスマートフォンを持つXiaomiとSamsungは、それぞれインド市場シェアの19%と15%を占め、Appleは5%を占めるとCounterpoint Researchは推定している。

新しいインド電気通信セキュリティ保証要件の中で最も機密性の高い要件の1つは、スマートフォンを動作させる基礎となるプログラミング命令であるソースコードへのアクセスである。これは指定されたインドの研究所で分析され、場合によってはテストされる、と文書は示している。

インドの提案はまた、プリインストールされたアプリのアンインストールを可能にし、「悪意のある使用を避ける」ためにバックグラウンドでカメラやマイクを使用するアプリをブロックするソフトウェア変更を企業に要求している。

「業界は、世界的にセキュリティ要件がどの国でも義務付けられていないことへの懸念を提起した」と、当局がApple、Samsung、Google、Xiaomiと開催した会議の詳細を記した12月のIT省文書は述べている。

2023年に起草されたセキュリティ基準は、政府が法的に課すことを検討しているため、現在注目を集めている。IT省とテクノロジー企業の幹部は火曜日にさらなる協議のために会合する予定だと、情報筋は述べた。

企業はソースコードレビュー、分析は「不可能」と述べる

スマートフォンメーカーはソースコードを厳重に守っている。Appleは2014年から2016年の間、中国のソースコード要求を拒否し、米国の法執行機関も入手を試みて失敗している。

インドの「脆弱性分析」と「ソースコードレビュー」の提案は、スマートフォンメーカーに「完全なセキュリティー評価」の実施を要求し、その後インドのテストラボがソースコードレビューと分析を通じて彼らの主張を検証できるようにするものである。

「これは秘密性とプライバシーの理由から不可能である」とMAITは政府提案に対応して起草され、ロイターが確認した機密文書で述べている。「EU、北米、オーストラリア、アフリカの主要国はこれらの要件を義務付けていない。」

MAITは先週、提案を取り下げるよう省に求めたと、直接知識を持つ情報筋が述べた。

インドの提案は、スマートフォンでの自動的かつ定期的なマルウェアスキャンを義務付けるものである。デバイスメーカーはまた、主要なソフトウェアアップデートとセキュリティパッチをユーザーにリリースする前に国家通信セキュリティセンターに通知しなければならず、センターはそれらをテストする権利を持つ。

MAITの文書は、定期的なマルウェアスキャンはスマートフォンのバッテリーを大幅に消耗させ、ソフトウェアアップデートの政府承認を求めることは、迅速に発行する必要があるため「非現実的」であると述べている。

インドはまた、システムアクティビティのデジタル記録であるスマートフォンのログを、デバイス上に少なくとも12か月間保存することを望んでいる。

「1年間のログイベントを保存するのにデバイス上に十分なスペースがない」とMAITは文書で述べた。–Rappler.com