内閣官房 「サイバーセキュリティ戦略（案）」に関する意見の募集

こんにちは、丸山満彦です。

なんか忘れているわ。。。とおもっていたら、これでした(^^)

11.04のこのブログでも触れていますが、次のサイバーセキュリティ戦略（案）です...

任意の意見募集ですし、11月23日までと短いんですよね...

● 国家サイバー統括室

・2025.11.07 「サイバーセキュリティ戦略（案）」に関する意見公募要領

---

１．意見公募の趣旨・目的・背景

　サイバーセキュリティ基本法（平成26年法律第104号）第12条に基づき、政府は、サイバーセキュリティに関する施策の総合的かつ効果的な推進を図るため、サイバーセキュリティに関する基本的な計画（サイバーセキュリティ戦略）を定めることとされています。現在のサイバーセキュリティ戦略は、令和４年９月28日に閣議決定されました。

　今日、デジタル技術は目覚ましい進展と普及を遂げ、サイバー空間は、我々の社会経済に欠かせないインフラとなり、我々に多くの利便をもたらしています。これまで以上にサイバー空間と実空間は密接に融合し、AIや量子技術等の先端技術が、デジタルサービスや産業に大きなインパクトを与えようとしています。

　その一方、このサイバー空間では、サイバー攻撃の脅威も急速に拡大しており、国際情勢が緊迫化し安全保障環境の厳しさが増す中、サイバー攻撃が国民生活・経済活動に深刻かつ致命的な被害を生じさせるリスクは、今後も一層高まっていくと考えられます。サイバー空間のもたらす価値を十二分に享受するために、こうしたリスクに適切に対処していく必要があります。

　このような状況の下、能動的サイバー防御を導入可能とする、重要電子計算機に対する不正な行為による被害の防止に関する法律（令和７年法律第42号。以下「サイバー対処能力強化法」という。）及び重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律（令和７年法律第43号。サイバー対処能力強化法とあわせて「サイバー対処能力強化法等」という。）が、令和７年５月に成立しました。

　また、同年７月、サイバー対処能力強化法等の一部施行に伴い、内閣総理大臣を本部長とし、全大臣で構成するなどの改組により、新たな体制となったサイバーセキュリティ戦略本部第１回会合（令和７年７月１日）において「新たなサイバーセキュリティ戦略の方向性」が示されました。これを受け、サイバーセキュリティ戦略（案）の検討を進めるともに、同本部の下に設置されたサイバーセキュリティ推進専門家会議において、サイバーセキュリティ戦略（案）等について意見交換を行ってきました。

　これらを踏まえ、「サイバーセキュリティ戦略」の案を作成しましたので、国民の皆様から広く意見を募集いたします。

---

● e-Gov

・2025.11.07 「サイバーセキュリティ戦略（案）」に関する意見の募集について

・・[PDF] サイバーセキュリティ戦略（案）

・・[PDF] 新たなサイバーセキュリティ戦略（案）の概要 　

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.11.04 国家サイバー統括室 サイバーセキュリティ戦略（案）サイバーセキュリティ推進専門家会議第2回会合

・2025.09.22 NCO サイバーセキュリティ推進専門家会議

・2021.09.30 日本のサイバーセキュリティ戦略についての質問に対する中国政府スポークスマンの回答

・2021.09.28 NISC サイバーセキュリティ戦略本部 第31回会合 サイバーセキュリティ戦略確定 （予算からみるとサイバーセキュリティは経済発展というよりも安全保障？）

Continue reading "内閣官房 「サイバーセキュリティ戦略（案）」に関する意見の募集"

米国 国防総省 サイバーセキュリティ成熟度モデル認証（CMMC）自己アセスメントが本日より開始 (2025.11.10)

こんにちは、丸山満彦です。

米国の国防総省（通称戦争省 (Department of War) ）がサイバーセキュリティ成熟度モデル認証（CMMC）のフェーズ１である自己アセスメント実施（Level1、Level2対象）が本日（2025.11.10）から開始されますね...

フェーズ２の認定第三者監査組織（C3PAO）による認証の開始は1年後の2026.11.10からとなります。そして、フェーズ３の政府の国防産業基盤サイバーセキュリティ評価センター（DIBCAC）によるLevel3認証は2年後の2027.11.10からとなり、最終のフェーズ４の完全実施が2028.11.10ということになっていますね...

2010年代の第二期オバマ政権くらいから中国への脅威論が高まります。2015年にほぼ全てのDoD契約にNIST SP800-171の要件の義務付けを行う（自己評価）。トランプ政権となった2018年にDoDのサプライチェーン・セキュリティ強化の必要性が高まり自己評価だけではなく、第三者認証が必要という議論に傾いて行ったように思います。そして、2019年にCMMC1.0のドラフトが公開され、2020年にCMMC1.0の正式版がリリースされました。（この時はLevel1-5の5段階）

2020年にバイデン政権が発足するとCMMC1.0は制度が複雑な上、中小企業も含めて全体を考えると実装が困難で評価コストもかかりすぎるということから、2021年にCMMC1.0の暫定規則の発効が停止され、プログラムの再検討が始まります。2021年11月にCMMC2.0が発表される（Levelが5段階から3段階に簡素化）。

この結果、Level1は15項目の基礎的な事項（サイバーハイジーン）の自己評価、Level2はSP800-171の準拠性に対する民間第三者機関（C3PAO）による第三者評価、Level3はSP800-171+172の一部の準拠性に対する政府評価センター（DIBCAC）による評価という現在の形に落ち着いていますね...

で今日からはLevel1が開始...

● U.S. Department of War - Chief Information Office - CMMC

制度説明...

・about

リソース

・Resources

国防総省による規則...とても長いです...

● Federal Register

・2024.10.15 Cybersecurity Maturity Model Certification (CMMC) Program (32 CFR Part 170 [Docket ID: DoD-2023-OS-0063] RIN 0790-AL49)

過去の私のブログに書いているのでそちらも参考に...

---

● まるちゃんの情報セキュリティ気まぐれ日記

国防総省の委託先の管理の話...

・2024.11.24 米国 国防総省 サイバーセキュリティ成熟度モデル認証プログラムの最終規則 (2024.10.15)

・2024.01.03 米国 国防総省 パブコメ サイバーセキュリティ成熟度認証規則案 (2023.12.26)

・2023.12.11 米国 国防総省 内部監察官室 請負業者ネットワーク上の国防総省管理対象非機密情報保護に関するサイバーセキュリティの共通の不備 (2023.12.04)

・2021.12.11 米国 GAO 国防省の委託事業者のサイバーセキュリティについての認証フレームワークの改善

・2021.12.10 米国 CMMC Ver.2.0

・2021.11.07 米国 DoD サイバーセキュリティ成熟度モデル認証（CMMC）プログラムの戦略的方向性 - CMMC2.0

・2020.10.02 米国国防省がCMMCの暫定規則(DFARS Case 2019-D041)を公表し、意見募集を行っています

・2020.05.01 Cybersecurity成熟度モデル認証制度は普及するか、しないか・・・

・2020.03.31 CMMC概要 An Introduction to the Cybersecurity Maturity Model Certification (CMMC)

・2020.03.09 Cybersecurity Maturity Model Certification (CMMC) Version 1.0

SP800-53, 171, 172関係...

・2024.11.17 米国 NIST SP 800-172 Rev.3（初公開ドラフト） 管理対象非機密情報保護のための拡張セキュリティ要件

・2024.05.20 米国 NIST SP 800-171 改訂 3 版 非連邦政府組織およびシステムにおける管理対象非機密情報CUIの保護とNIST SP 800-171A 改訂3版 管理対象非機密情報のセキュリティ要件の評価 (2024.05.14)

・2023.11.13 NIST 意見募集 SP 800-171 Rev.3（最終ドラフト） 非連邦政府組織およびシステムにおける管理対象非機密情報の保護、NIST SP 800-171A 改訂第3版（初期公開ドラフト） 管理対象非機密情報のセキュリティ要件の評価

・2023.05.13 米国 NIST 意見募集 SP 800-171 Rev.3（ドラフト） 非連邦政府組織およびシステムにおける管理対象非機密情報の保護

・2022.07.21 NIST SP 800-171 Rev. 3 (ドラフト) 非連邦政府組織およびシステムにおける管理対象非機密情報CUIの保護の作成に向けた意見募集

・2022.03.18 NIST SP 800-172A 管理対象非機密情報に対する強化版セキュリティ要件の評価

・2022.03.18 NIST SP 800-172A 管理対象非機密情報に対する強化版セキュリティ要件の評価

・2022.01.27 NIST SP 800-53A Rev. 5 情報システムと組織におけるセキュリティとプライバシーのコントロールの評価

・2021.08.06 NIST SP 800-53A Rev. 5 (Draft) 情報システムと組織におけるセキュリティとプライバシーのコントロールの評価

・2021.07.19 IPA NIST文書SP800-53 rev.5「組織と情報システムのためのセキュリティおよびプライバシー管理策」及びSP800-53B「組織と情報システムのための管理策ベースライン」の翻訳版を公開

・2021.04.28 NIST SP 800-172A 管理対象非機密情報 (CUI) に対する強化版セキュリティ要件の評価

・2021.02.04 NIST SP 800-172 Enhanced Security Requirements for Protecting Controlled Unclassified Information: A Supplement to NIST Special Publication 800-171

・2020.12.11 SP 800-53 Rev. 5 Security and Privacy Controls for Information Systems and Organizations, SP 800-53B Control Baselines for Information Systems and Organizationsの記載ミスの修正と第5版と第４版の更新分析、ISO／IEC27001とのマッピング表等の追加

・2020.10.30 NIST SP 800-53B Control Baselines for Information Systems and Organizations 情報システムと組織のコントロールベースライン

・2020.03.17 NIST SP 800-53 Rev. 5(Draft) Security and Privacy Controls for Information Systems and Organizations (Final Public Draft)

・2020.02.22 NIST Publishes SP 800-171 Revision 2: Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations

少し前...

・2012.03.01 NIST Draft SP 800-53 Rev. 4 Security and Privacy Controls for Federal Information Systems and Organizations

・2011.07.22 NIST Draft SP 800-53 Appendix J DRAFT Privacy Control Catalog

・2010.05.10 NIST SP800-53関係の情報

欧州 ENISA セクター別脅威状況 - 公共行政 (2025.11.06)

こんにちは、丸山満彦です。

ENISAが行政セクターの脅威状況の報告書です、

• ハクティビストによる攻撃が増えている
• 攻撃手法は主にDDoS

ということのようです...

全インシデントの38％がこの行政機関ということのようです...

日本はどうなのかしらね...

日本も継続的に統計データをまとめた方が良いと思うんですよね...一応、情報セキュリティ白書をIPAが出していますけどね...

● ENISA

・2025.11.06 Public administration increasingly targeted by DDoS attacks

Public administration increasingly targeted by DDoS attacks	公共行政部門がDDoS攻撃の標的となるケースが増加
The new report by ENISA highlights how EU public administrations are increasingly targeted by hacktivists, primarily resorting to DDoS attacks.	ENISAの新報告書は、EUの公共行政機関がハクティビストによる標的となるケースが増加しており、主にDDoS攻撃が用いられている実態を明らかにしている。
Set as highly critical under the NIS2 Directive, the public administration sector plays a key role in delivering essential services to European citizens.	NIS2指令において「極めて重要」と位置付けられる公共行政部門は、欧州市民への重要サービス提供において中核的な役割を担っている。
Because it ensures effective governance and delivery of important services to civil society such as education, healthcare, public transportation, etc. public administration is a fundamental sector of the economy.	教育、医療、公共交通など市民社会への重要なサービス提供と効果的なガバナンスを保証するため、公共行政は経済の基盤的セクターである。
However, being newly regulated under the NIS2 Directive, the sector is still developing its cybersecurity resilience as it remains in the early stages of aligning with the requirements. Public administration was therefore assessed as standing in the “risk zone” in the study published in the ENISA NIS360 report. With 38% of all incidents in the latest ENISA cyber threat landscape report, public administration reportedly is the most targeted sector in the EU.	しかし、NIS2指令による新規規制対象となったこのセクターは、要件への適合が初期段階にあるため、サイバーセキュリティレジリエンスの構築が進行中だ。ENISA NIS360報告書で公表された調査では、公共行政は「リスクゾーン」に位置すると評価された。最新のENISAサイバー脅威状況報告書によれば、全インシデントの38%を占める行政機関はEU内で最も標的とされるセクターである。
ENISA Executive Director, Juhan Lepassaar stated: “Cyber-securing public administrations is central to citizens’ welfare and to the good functioning of the single market across the EU. Public administrations provide reliable and effective public services, so it is essential to ensure a high-level of cybersecurity within their wider network of national, regional and local bodies.”	ENISAのユハン・レパサー事務局長は次のように述べている：「行政機関のサイバーセキュリティ確保は、市民の福祉とEU域内単一市場の円滑な機能にとって中核的である。」 公共行政機関は信頼性が高く効果的な公共サービスを提供するため、国家・地域・地方団体からなる広範なネットワーク内で高度なサイバーセキュリティを確保することが不可欠である。」
The new analysis offers an overview of 586 publicly reported cyber incidents that occurred in the course of 2024.	新たな分析では、2024年に発生した586件の公開報告済みサイバーインシデントの概要を提示している。
Because they manage high volumes of sensitive data and deliver important services in an increased digitization context, public administrations can be heavily disrupted by cyber incidents. These incidents  an also contribute to undermining public trust.	公共行政機関は大量の機密データを管理し、デジタル化が進む環境下で重要なサービスを提供しているため、サイバーインシデントによって深刻な混乱を招く可能性がある。こうしたインシデントは、国民の信頼を損なう要因にもなり得る。
Such threats include Distributed Denial of Service (DDoS) attacks, data-breaches, ransomware and incidents involving social engineering.	脅威には分散型サービス妨害（DDoS）攻撃、データ侵害、ランサムウェア、ソーシャルエンジニアリングを伴うインシデントなどが含まれる。
ENISA’s new sectorial report provides an overview of such threats with the objective to support risk assessment, mitigating measures and relevant policy making.	ENISAの新セクター別報告書は、リスクアセスメント、緩和策、関連政策立案を支援する目的で、こうした脅威の概要を提示している。
Key findings	主な調査結果
Central governments were the most targeted, accounting for 69% of incidents. The majority of incidents targeted the websites of parliaments, ministries and national authorities/agencies, largely skewed by DDoS attacks.	中央政府が最も標的とされ、全インシデントの69%を占めた。大半のインシデントは議会、省庁、国家機関のウェブサイトを標的とし、DDoS攻撃が圧倒的に多かった。
Distributed Denial-of-Service (DDoS) attacks accounted for 60% of all  incidents.	分散型サービス拒否（DDoS）攻撃は全インシデントの60%を占めた。
These attacks were typically short-lived and rarely resulted in significant impact. Data breaches and ransomware, even if lower in numbers, were more disruptive.	これらの攻撃は通常短期間で、重大な影響をもたらすことは稀であった。データ侵害やランサムウェアは件数は少ないものの、より大きな混乱を引き起こした。
Threats against data include data breaches (17,4%) or data exposures (1%). Data-related incidents represent the second most frequent threat type recorded against public administration entities in the EU in 2024. Targets notably include employment services, local government platforms, law enforcement portals, and educational systems.	データに対する脅威には、データ侵害（17.4%）やデータエクスポージャー（1%）が含まれる。データ関連のインシデントは、2024年にEUの公共行政機関に対して記録された脅威タイプの中で2番目に多い。標的には特に、雇用サービス、地方政府プラットフォーム、法執行機関ポータル、教育システムが含まれる。
Public administration represents a high-value target for state-nexus intrusion sets mainly due to the strategic value of data collection, for economic or defence purposes. Cyberespionage campaigns in 2024 only  accounted for 2.5% of all incidents. Despite being limited in number, their impact on EU Member States’ national security can be significant.	公共行政は、経済的または防衛目的でのデータ収集の戦略的価値から、国家関連侵入グループにとって高価値な標的である。2024年のサイバー諜報活動キャンペーンは全インシデントの2.5%に過ぎなかった。数は限られているが、EU加盟国の国家安全保障への影響は重大となり得る。
Still, hacktivist activities remain the most prevalent in sheer volume. In 2024, hacktivists accounted for nearly 63% of incidents, while cybercrime operators and state-nexus intrusion sets represented approximately 16% and 2.5%, respectively. ​	それでも、ハクティビスト活動は依然として絶対数で最も多い。2024年にはハクティビストがインシデントの約63%を占め、サイバー犯罪者グループと国家関連侵入グループはそれぞれ約16%、2.5%だった。
Ideologically motivated hacktivist groups mainly seek to draw attention and cause disruption. Targets notably included municipal websites, and ministry portals.	イデオロギーに動機づけられたハクティビスト集団は主に注目を集め、混乱を引き起こすことを目的とする。標的には特に自治体ウェブサイトや省庁ポータルが含まれた。
Despite being observed in fewer incidents, phishing is still a common initial access vector.	インシデント数は少ないものの、フィッシングは依然として一般的な初期侵入経路だ。
The trends identified in the report show that public administrations in the EU are likely to remain the most targeted sector in the short-to-mid- term.	本報告書で確認された傾向から、EUの公共行政機関は短期から中期にかけて最も標的とされる分野であり続ける可能性が高い。
Besides, the surge and increased capacity of AI tools are likely to increase AI-powered social engineering for follow-up malicious activities.	加えて、AIツールの急増と能力向上により、悪意ある活動への追撃手段としてAIを活用したソーシャルエンジニアリングが増加する見込みだ。
Multi-extortion campaigns can have worse adverse effects on service outage of tax portals, e-ID systems, court scheduling— undermining confidence in digital services. Additionally, incidents involving shared systems or service providers show how one single compromise can cascade across multiple public entities.	多重恐喝キャンペーンは、税務ポータル、電子IDシステム、裁判日程管理システムなどのサービス停止に深刻な悪影響を及ぼし、デジタルサービスへの信頼を損なう恐れがある。さらに、共有システムやサービスプロバイダーを巻き込んだインシデントは、単一の侵害が複数の公共機関に連鎖的に広がる可能性を示している。
With public administration sector covered by the NIS2 Directive, acknowledging the sector’s criticality, ENISA sets strategic priorities to enhance its capacity to address those challenges.	NIS2指令が公共行政部門をカバーし、その重要性を認める中、ENISAはこれらの課題に対処する能力強化に向けた戦略的優先事項を設定している。
ecommendation	推奨事項
Actions to be taken largely depends on the threats public administration face and wish to mitigate, such as DDoS attacks, data-related incidents, ransomware or state-nexus campaigns, etc.	実施すべき対策は、公共行政が直面し緩和を望む脅威（DDoS攻撃、データ関連インシデント、ランサムウェア、国家関与型キャンペーンなど）に大きく依存する。
DDoS attacks	DDoS攻撃
ENISA suggests controls enhancing architectural resilience and operational readiness like enrolling critical portals behind content delivery network (CDN) or web application firewall (WAF) with always-on network–application layer protection. Another action is to publish static-fallback sites with Domain Name System (DNS) failover, etc.	ENISAは、コンテンツデリバリー・ネットワーク（CDN）や常時稼働のネットワーク・アプリケーション層保護を備えたWebアプリケーションファイアウォール（WAF）による重要ポータルの登録など、アーキテクチャのレジリエンスと運用準備態勢を強化する対策を示唆している。別の対策として、DNSフェイルオーバーを備えた静的フォールバックサイトの公開などが挙げられる。
Data related threats	データ関連の脅威
Data-related incidents can cause significant disruption to an organisation’s operations. Recommended actions include for instance Multi-Factor Authentication (MFA) to be implemented everywhere with conditional access and Privileged Access Management (PAM).	データ関連のインシデントは組織の業務に重大な混乱を引き起こす可能性がある。推奨される対策には、条件付きアクセスと特権アクセス管理（PAM）を組み合わせた多要素認証（MFA）の全面的な導入などが含まれる。
Ransomware	ランサムウェア対策
Specific controls can be set, such as the deployment of Endpoint Detection and Response (EDR) with behavioural rules and segmenting networks, etc.	行動ルール付きエンドポイント検知・対応（EDR）の展開やネットワークのセグメンテーションなど、具体的な制御を設定できる。
Other recommendations are included in the ENISA NIS360 report, such as:	その他の推奨事項はENISA NIS360報告書に記載されている。例えば：
Build effective remediation capabilities through shared service models;	共有サービスモデルによる効果的な修復能力の構築
Make use of the Cybersecurity Reserve as provided for by the EU Cyber Solidarity Act;	EUサイバー連帯法に基づくサイバーセキュリティ予備軍の活用
Enhanced preparedness & response.	準備態勢と対応能力の強化。
By proactively adopting these strategic priorities and fostering closer collaboration across Member States, public administration bodies in the EU will be better positioned to safeguard critical services and uphold citizen trust in an increasingly volatile cyber threat landscape.	これらの戦略的優先事項を積極的に採用し、加盟国間の緊密な連携を促進することで、EUの行政団体は、ますます不安定化するサイバー脅威環境において、重要サービスを保護し、市民の信頼を維持する態勢をより強固にできる。
FUTHER INFORMATION	追加情報
ENISA Sectorial Threat Landscape: Public Administration 2024	ENISAセクター別脅威状況：行政機関 2024
ENISA 2025 Threat Landscape	ENISA 2025脅威状況
ENISA NIS360 report	ENISA NIS360報告書

・2025.11.06 ENISA Sectorial Threat Landscape - Public Administration

ENISA Sectorial Threat Landscape - Public Administration

ENISAセクター別脅威状況 - 公共行政

This ENISA sectorial threat landscape report provides an overview of the cyber threats faced by the public administration sector in the EU in 2024. Drawing on open-source information, the report highlights the key threats that impacted the sector and provides insights into typical threat types and key adversaries, to support the sector’s ongoing efforts to improve its cybersecurity posture, maturity and resilience.

本ENISAセクター別脅威状況報告書は、2024年にEUの公共行政セクターが直面するサイバー脅威の概要を示す。公開情報に基づき、同セクターに影響を与えた主要脅威を強調し、典型的な脅威の種類と主要な敵対者に関する知見を提供する。これにより、同セクターが継続的に取り組むサイバーセキュリティ態勢、成熟度、レジリエンスの向上を支援する。

・[PDF]

・[DOCX][PDF] 仮訳

目次...

About ENISA	ENISAについて
Executive Summary	エグゼクティブサマリー
1. Introduction	1. 序論
2. Threat Landscape Overview	2. 脅威状況の概要
3. Primary Threats	3. 主な脅威
3.1 Data-related threats	3.1 データ関連の脅威
3.2 Ransomware	3.2 ランサムウェア
4. Key Adversaries	4. 主な敵対者
4.1 State-nexus intrusion sets	4.1 国家関連侵入セット
4.2 Cybercrime operators	4.2 サイバー犯罪組織
4.3 Hacktivists	4.3 ハクティビスト
5. Outlook	5. 見通し
6. Recommendations	6. 提言
6.1 DDoS-related	6.1 DDoS関連
6.2 Data-related	6.2 データ関連
6.3 Ransomware-related	6.3 ランサムウェア関連
6.4 State-Nexus espionage	6.4 国家関連スパイ活動
6.5 ENISA NIS360 report recommendations	6.5 ENISA NIS360報告書における推奨事項
APPENDIX A: Notable Incidents	附属書A：主なインシデント
FRANCE TRAVAIL BREACH	フランス労働省情報漏洩事件
APT31 ATTRIBUTION FOR FINNISH PARLIAMENT BREACH	フィンランド議会侵害事件におけるAPT31の関与
COMPROMISE OF BELGIAN FOREIGN-AFFAIRS COMMITTEE CHAIR	ベルギー外務委員会委員長への侵害
APT28 MALWARE CAMPAIGN AGAINST POLISH GOVERNMENT NETWORKS	ポーランド政府ネットワークに対するAPT28マルウェアキャンペーン
EUROPOL EPE CREDENTIAL SALE OFFER	欧州刑事警察機構EPE認証情報の販売オファー
EINDHOVEN MUNICIPALITY BSN EXPOSURE	アイントホーフェン市BSNエクスポージャー
NOBELIUM ACTIVITY AGAINST FRENCH DIPLOMATIC TENANTS	ノーベリウムによるフランス外交施設への攻撃
PAYMENT-CARD LEAK AT NATIONAL OBSERVATORY OF ATHENS	アテネ国立天文台における支払いカード情報漏洩
LATVIAN STATE REVENUE SERVICE DDOS OUTAGES	ラトビア国税庁へのDDoS攻撃によるサービス停止
RANSOMWARE AT TIMIȘOARA CITY HALL	ティミショアラ市庁舎におけるランサムウェア
CNOEC WEBSITE SUSPENSION AFTER SERVER COMPROMISE	CNOECウェブサイト、サーバー侵害後に停止
DUTCH POLICE OFFICER-DIRECTORY BREACH	オランダ警察官名簿の漏洩
APPENDIX B	附属書B
ASSESMENT METHODOLOGY	評価方法論

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
This ENISA sectorial threat landscape report provides an overview of the cyber threats faced by the public administration sector in the EU in 2024. Drawing on open-source information, the report highlights the key threats that impacted the sector and provides insights into typical threat types and key adversaries, to support the sector’s ongoing efforts to improve its cybersecurity posture, maturity and resilience.	本ENISAセクター別脅威状況報告書は、2024年にEUの公共行政セクターが直面するサイバー脅威の概要を示す。公開情報に基づき、同セクターに影響を与えた主要脅威を指摘し、典型的な脅威の種類と主要な敵対者に関する知見を提供する。これにより、同セクターが継続的に取り組むサイバーセキュリティ態勢、成熟度、レジリエンスの向上を支援する。
Key points identified for the sector include:	このセクターで識別された主なポイントは次の通りだ：
▪  Ransomware incidents constituted 10% of the total, causing some service disruptions.	▪  ランサムウェアインシデントは全体の10％を占め、一部のサービス中断を引き起こした。
▪  Data-related threats, representing almost one in five incidents, targeted sensitive platforms such as employment services and law enforcement portals.	▪  データ関連の脅威は全インシデントの約5分の1を占め、雇用サービスや法執行機関ポータルなどの機密性の高いプラットフォームを標的とした。
▪  Distributed Denial-of-Service (DDoS) attacks, which accounted for nearly two-thirds of incidents, primarily affected ministerial and municipal websites.	▪  分散型サービス妨害（DDoS）攻撃は全インシデントの約3分の2を占め、主に省庁や自治体のウェブサイトが影響を受けた。
▪  DDoS attacks were the most common threat type, with pro-Russia hacktivist group NoName057(16) responsible for 46% of such attacks. Often linked to geopolitical events, such as EU support for Ukraine, notable spikes in DDoS attacks were observed in July and December.	▪  DDoS攻撃が最も一般的な脅威タイプであり、親ロシア派ハクティビスト集団「NoName057(16)」が同攻撃の46%を担った。EUのウクライナ支援など地政学的イベントと連動し、7月と12月にDDoS攻撃の顕著な急増が確認された。
Data-related threats included breaches and leaks and had significant impacts on public administration entities. Data breaches accounted for 17.4% and data leaks for 1% of collected incidents, with a surge in incidents observed in the last quarter of 2024, accounting for over 40% of all data-related events. Ransomware attacks were prevalent, often involving unauthorised access to sensitive data.	データ関連の脅威には侵害と漏洩が含まれ、公共行政機関に重大な影響を与えた。データ侵害は全インシデントの17.4%、データ漏洩は1%を占め、2024年第4四半期に急増し全データ関連事象の40%以上を占めた。ランサムウェア攻撃も頻発し、機密データへの不正アクセスを伴うケースが多かった。
The public administration sector in the EU faces significant cyber threats from various adversaries, with hacktivism being the most prevalent in sheer volume. In 2024, hacktivists accounted for nearly 63% of incidents, while cybercrime operators and state-nexus intrusion sets represented approximately 16% and 2.5%, respectively.	EUの公共行政部門は様々な敵対者からの重要なサイバー脅威に直面しており、ハクティビズムが絶対数で最も多い。2024年にはハクティビストがインシデントの約63%を占め、サイバー犯罪者グループと国家関連侵入グループはそれぞれ約16%、2.5%を占めた。
Hacktivist activities in 2024 were primarily driven by ideological motivations linked to geopolitical events, such as Russia’s war of aggression against Ukraine.  Groups like NoName057(16) and Anonymous Sudan targeted governmental portals and local administrations across EU Member States.	2024年のハクティビスト活動は、ロシアのウクライナ侵略戦争といった地政学的事件に結びついたイデオロギー的動機が主因であった。NoName057(16)やAnonymous Sudanといったグループは、EU加盟国全体の政府ポータルや地方行政機関を標的とした。
Cybercrime operators continued leveraging ransomware-as-a-service (RaaS) models, leading to operational disruptions in the public administration sector in the EU. Ransomware attacks remained opportunistic, with limited volume but notable disruptions. Ransomware incidents represented about 10% of total events. Ransomware-as-a-Service (RaaS) programs were commonly used, with notable strains deployed against the public administration sector in the EU including RansomHub and LockBit3.0.	サイバー犯罪組織は引き続きランサムウェア・アズ・ア・サービス（RaaS）モデルを活用し、EUの公共行政部門に業務混乱をもたらした。ランサムウェア攻撃は機会主義的であり、件数は限定的ながら顕著な混乱を引き起こした。ランサムウェア関連インシデントは全事象の約10％を占めた。RaaSプログラムが広く利用され、EU公共行政部門に対してはRansomHubやLockBit3.0などの著名な亜種が展開された。
State-nexus intrusion sets publicly documented as associated to Russia and China were active in cyberespionage campaigns against the public administration in the EU, notably targeting governmental entities.	ロシアや中国との関連が公に文書化されている国家関連侵入グループは、EUの公共行政機関に対するサイバー諜報キャンペーンで活発に活動し、特に政府機関を標的とした。
Looking forward, given the sector’s low maturity and being identified as a potentially high-value target, the public administration sector in the EU is highly likely to remain a target in the mid-to-long term. Hacktivist-led DDoS activity is expected to persist around noteworthy geopolitical events, while statenexus intrusion sets will probably continue carrying out long-term cyberespionage campaigns. Opportunistic ransomware and data breaches are likely to continue to impact business continuity, and lead to reputational damage.	今後、このセクターの成熟度が低く、潜在的に高価値な標的と識別されていることから、EUの公共行政部門は中長期的に標的であり続ける可能性が高い。ハクティビスト主導のDDoS攻撃は、注目すべき地政学的イベントを契機に継続すると予想される。一方、国家関連侵入グループは長期的なサイバー諜報キャンペーンを継続する可能性が高い。機会主義的なランサムウェア攻撃やデータ侵害は、事業継続に影響を与え、評判の毀損につながる恐れがある。

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.10.05 ENISA 脅威状況 2025 (2025.10.01)

・2025.08.07 ENISA サイバーセキュリティ脅威状況の評価方法 (2025.08.01)

・2025.03.30 欧州ENISA 宇宙脅威状況 2025 (2025.03.26)

・2025.02.23 欧州 ENISA 脅威状況 (2023.01-2024.06)：金融セクター

・2024.09.26 ENISA 脅威状況2024

・2023.12.09 ENISA 戦争と地政学がDoS攻撃に拍車をかけている - DoS攻撃に関する脅威状況

・2023.10.26 ENISA 脅威状況2023 - AIによる情報操作の台頭でEUの選挙がリスクにさらされる

・2023.09.20 ENISA 2030の脅威の展望 (2023.09.13)

・2023.03.22 ENISA 輸送セクターのサイバー脅威状況

・2022.12.14 ENISA 外国人による情報操作と干渉（FIMI）とサイバーセキュリティ - 脅威状況

・2022.11.08 ENISA 脅威状況 2022：不安定な地政学がサイバーセキュリティ脅威状況の傾向を揺るがす

・2022.08.01 ENISA ランサムウェアについての脅威状況

・2022.07.29 ENISA サイバーセキュリティ脅威ランドスケープの方法論 (2022.07.06) ENISA流サイバーインテリジェンスの方法論?

・2020.12.18 ENISA AI サイバーセキュリティのチャレンジ - AI脅威状況報告を公表していますね。

・2020.12.15 ENISA 5Gネットワークの脅威状況報告書のアップデート

・2020.10.21 ENISA Threat Landscape 2020 : サイバー脅威トップ15 サイバー攻撃はより高度化し、標的化が進み、対象も広範囲になり、検知もされにくくなる。。。

オーストラリア

・2025.10.24 オーストラリア サイバー脅威年次報告 2024-2025

・2022.11.09 オーストラリア ACSC 年次サイバー脅威報告書（2021年7月から2022年6月）

・2021.02.14 オーストラリア ACSC 2020年の医療セクターのサイバーセキュリティ脅威についてのスナップショット

カナダ

・2024.11.05 カナダ 国家サイバー脅威アセスメント 2025-2026 (2024.10.30)

・2022.11.01 カナダ サイバーセキュリティセンター 国家サイバー脅威評価 2023-2024

・2022.07.21 カナダ サイバーセキュリティセンター 「サイバー脅威報告：ロシアのウクライナ侵攻に関連するサイバー脅威活動」 (2022.07.14)

オーストラリア 取締役会におけるサイバーセキュリティの優先事項 2025-26

こんにちは、丸山満彦です。

オーストラリア信号局（ASD）とオーストラリア会社取締役協会（AICD）が、取締役会で議論すべきサイバーセキュリティの優先事項を公表していますね...

オーストラリアでは上場企業や大企業の取締役会は重要な意思決定と執行の監督、執行役員が日常の業務執行をするというのが一般的だと思います。中小企業では、業務執行とその監督は明確に分けられていないかもしれません。

ちなみに、オーストラリア会社取締役協会は

• サイバーセキュリティガバナンス原則（第2版）
• サイバー危機におけるガバナンス

も公表しているのですね...

この２つがベースで、これに追加して2025−2026は、次の４つを重要なポイントとしてあらたに上げているという感じですかね...

Does your organisation have event logging and threat detection?	貴組織はイベント記録と脅威検知を実施しているか？
How does your organisation manage legacy information technology?	貴組織はレガシーITをどのように管理しているか？
How does your organisation manage its cyber supply chain risk?	貴組織はサイバーサプライチェーンリスクをどのように管理しているか？
Does your organisation have a post-quantum cryptography transition plan?	貴組織は耐量子暗号移行計画を有しているか？

● Australian Institute of Company Directors

・2025.10.30 Cyber security priorities for boards in 2025-26

Cyber security priorities for boards in 2025-26	2025-26年度の取締役会におけるサイバーセキュリティ優先事項
The Australian Signals Directorate (ASD) and the AICD have collaborated to publish cyber security governance guidance targeted at the current cyber threat environment.	オーストラリア信号局（ASD）とAICDは、現在のサイバー脅威環境を対象としたサイバーセキュリティガバナンス指針を共同で公表した。
The cyber threat environment is constantly changing with new and evolving threats posing significant risks to all sizes and types of Australian organisations. Boards play a key role in overseeing the cyber resilience of their organisations, including engaging with management on how the organisation is responding to current threats.	サイバー脅威環境は絶えず変化しており、新たな脅威や進化する脅威が、あらゆる規模・業種のオーストラリア組織に重大なリスクをもたらしている。取締役会は、組織のサイバーレジリエンスを監督する上で重要な役割を担っており、現在の脅威への対応策について経営陣と協議することも含まれる。
This guidance from the ASD and AICD provides an extensive list of threshold and supplementary technical questions for boards to ask of management in four priority areas. Informed by the ASD’s intelligence gathering these priority areas are; implementing effective event logging, managing legacy IT risks, overseeing cyber supply chain risks and preparing for post-quantum cryptography.	ASDとAICDによる本ガイドラインは、4つの重点領域において取締役会が経営陣に問うべき閾値技術質問と補足技術質問の包括的なリストを提供する。ASDの情報収集に基づき特定された重点領域は以下の通りである：効果的なイベント記録の実施、レガシーITリスクの管理、サイバーサプライチェーンリスクの監督、ポスト量子暗号への備え。
We encourage directors to read these questions in conjunction with the Cyber Security Governance Principles (Version 2) and Governing Through a Cyber Crisis publications. These publications provide an overview of the core principles of effective cyber security governance, including allocating roles and responsibilities and preparing for significant cyber and data incidents.	取締役は、これらの質問を「サイバーセキュリティガバナンス原則（第2版）」および「サイバー危機におけるガバナンス」の刊行物と併せて読むことを推奨する。これらの刊行物は、役割と責任の割り当てや重大なサイバー・データインシデントへの備えを含む、効果的なサイバーセキュリティガバナンスの中核原則の概要を提供している。

● Australian Signals Directorate

・2025.10.30 Cyber security priorities for boards of directors 2025-26

Cyber security priorities for boards of directors 2025-26	取締役会におけるサイバーセキュリティの優先事項 2025-26
Introduction	序論
The Australian Signals Directorate (ASD) prevents, disrupts and responds to attacks against Australian organisations every day. Understanding and managing cyber security risks, as with other business risks, is a key responsibility in protecting your organisation, shareholders and customers.	オーストラリア信号局（ASD）は、日々オーストラリアの組織に対する攻撃を防止し、妨害し、対応している。他の事業リスクと同様に、サイバーセキュリティリスクを理解し管理することは、組織、株主、顧客を保護する上での重要な責任である。
The Australian Institute of Company Directors (AICD) mission is to be the independent and trusted voice of governance, building the capability of a community of leaders for the benefit of Australian society. In recent years. The AICD has had a significant focus on educating directors on better practice cyber security and data governance through guidance and education activities.	オーストラリア会社取締役協会（AICD）の使命は、ガバナンスにおける独立かつ信頼される声となり、オーストラリア社会のためにリーダーのコミュニティの能力を構築することである。近年、AICDはガイダンスや教育活動を通じて、取締役に対し優れた実践的なサイバーセキュリティとデータガバナンスを教育することに重点を置いてきた。
Should we be worried about cyber security?	サイバーセキュリティを懸念すべきか？
Today, Australia faces a heightened global cyber threat environment, driven by geopolitical tensions in the Middle East, Ukraine and the Indo-Pacific. Recent global events have shown that organisations must be prepared for state-based actors pre-positioning for disruptive attacks against critical infrastructure and services.	今日、オーストラリアは中東、ウクライナ、インド太平洋地域における地政学的緊張に起因する、世界的なサイバー脅威環境の悪化に直面している。最近の国際情勢は、組織が国家支援アクターが重要インフラやサービスに対する破壊的攻撃を事前に準備している事態に備えねばならないことを示している。
Australia has also endured a number of serious data breaches, compromising organisations and impacting customer trust, the cost of which cannot be understated. Unfortunately, trends are worsening. Malicious actors continue to target Australian organisations of all types and sizes. Espionage, enabled by technology advancements, cost Australia $12.5 billion in FY23–24. Cybercrime costs are also rising across all organisation types and sizes, with a sharp increase for large enterprises.	オーストラリアではまた、組織を危険に晒し顧客の信頼を損なう深刻なデータ侵害が相次いで発生しており、そのコストは過小評価できない。残念ながら、この傾向は悪化している。悪意ある主体は、あらゆる種類・規模のオーストラリア組織を標的とし続けている。技術進歩によって可能となったスパイ活動は、2023-24会計年度にオーストラリアに125億ドルの損害をもたらした。サイバー犯罪による損害も、あらゆる組織タイプ・規模で増加しており、特に大エンタープライズでは急増している。
Where should the focus be in 2025-26?	2025-26年度、焦点はどこに置くべきか？
Boards of directors (boards) play a critical role in overseeing how their organisations maintain and build cyber security capabilities, and in responding to existing and emerging cyber threats.	取締役会（ボード）は、組織がサイバーセキュリティ能力を維持・構築する方法の監督、および既存・新興のサイバー脅威への対応において重要な役割を担う。
In 2025-26, we encourage a focus by boards on the following areas:	2025-26年度、取締役会は以下の領域に焦点を当てることを推奨する：
・Understanding whether technology used or provided to your customers is secure by design and secure by default. These security principles and practices are critical for building modern defensible architectures.	・顧客に提供または使用される技術が「設計段階から安全（Secure by Design）」かつ「デフォルトで安全（Secure by Default）」であるか理解すること。これらのセキュリティ原則と実践は、現代的な防御可能なアーキテクチャ構築に不可欠である。
・Prioritising the defence of your organisation’s most critical assets. Your organisations should operate with a mindset of ‘assume compromise’ and consider which assets or ‘crown jewels’ need the most protection.	・組織の最も重要な資産の防御を優先すること。組織は「侵害を前提とする」姿勢で運営し、どの資産や「最重要資産」が最も保護を必要とするかを検討すべきだ。
Your organisation’s ability to defend and respond can be further enhanced through implementing better practice event logging and threat detection measures, replacing legacy information technology (IT), effectively managing third-party risks, and beginning your post-quantum cryptography transition. However, we cannot forget, nor neglect, the basics. This includes keeping all devices updated and enabling multi-factor authentication, especially for any public-facing services. These heightened areas of focus are in addition to a board’s core elements of effective cyber security, for instance, comprehensive cyber security incident planning and promoting a strong cyber security culture within their organisation.	優れたイベント記録と脅威検知対策の実施、レガシーITの置き換え、サードパーティリスクの効果的な管理、ポスト量子暗号への移行開始を通じて、組織の防御・対応能力はさらに強化できる。しかし、基本を忘れてはならず、また軽視してもならない。これには、すべてのデバイスを最新の状態に保ち、特に一般向けサービスについては多要素認証を有効にすることが含まれる。これらの重点分野は、包括的なサイバーセキュリティインシデント計画や組織内の強力なサイバーセキュリティ文化の促進など、取締役会による効果的なサイバーセキュリティの核心要素に追加されるものである。
What good cyber security governance look likes in 2025-26	2025年から2026年における優れたサイバーセキュリティガバナンスのあり方
The following advice outlines questions boards can ask of management and their organisation to understand its cyber security posture in the 2025-26 cyber threat environment. These questions should be read in conjunction with the AICD and the Cyber Security Cooperative Research Centre’s Cyber Security Governance Principles | Version 2 and Governing Through a Cyber Crisis - Cyber Incident Response and Recovery for Australian Directors publications. These publications provide an overview of the core principles of effective cyber security governance, including allocating roles and responsibilities and overseeing an effective cyber security strategy.	以下のアドバイスは、2025年から2026年のサイバー脅威環境におけるサイバーセキュリティの態勢を理解するために、取締役会が経営陣や組織に尋ねることができる質問の概要である。これらの質問は、AICD およびサイバーセキュリティ共同研究センターの「サイバーセキュリティガバナンス原則 | バージョン 2」および「サイバー危機を乗り切る - オーストラリアの取締役のためのサイバーインシデント対応と復旧」の出版物と併せて読むべきである。これらの出版物は、役割と責任の割り当て、効果的なサイバーセキュリティ戦略の監督など、効果的なサイバーセキュリティガバナンスの核心的な原則の概要を提示している。
Taken together, the questions in this publication, and the AICD’s cyber security governance guidance, represent a proactive approach to building cyber security capability in the current cyber threat environment.	この出版物の質問と AICD のサイバーセキュリティガバナンスガイダンスを総合すると、現在のサイバー脅威環境においてサイバーセキュリティ能力を構築するための積極的なアプローチが示されている。
The questions in this publication are divided into two categories:	本出版物の質問は、2 つのカテゴリーに分類される。
・threshold governance questions that assist in determining the cyber security posture of organisations, given the 2025-26 cyber threat environment.	・2025 年から 2026 年のサイバー脅威環境を踏まえ、組織のサイバーセキュリティ態勢の決定に役立つ、しきい値ガバナンスに関する質問。
・supplementary technical questions to understand in greater detail the cyber security controls in place within organisations. These questions may assist directors of a risk or technology committee engage on key controls with senior management, by way of example.	・組織内で実施されているサイバーセキュリティ対策をより詳細に理解するための、補足的な技術的な質問。これらの質問は、例えば、リスク委員会や技術委員会の取締役が、上級管理職と主要な対策について協議する上で役立つかもしれない。
We recognise that for many organisations, particularly small-to-medium enterprises and not-for-profits, it may not be possible to implement all the advice within this publication. However, this advice still enables the board for such entities to ask questions to understand their organisation’s existing cyber security posture and identify areas for improvement.	多くの組織、特に中小企業や非営利団体にとって、本出版物の助言を全て実施することは困難かもしれない。しかし、これらの助言は、そのような事業体の取締役会が自組織の既存のサイバーセキュリティ態勢を理解し、改善すべき領域を識別するための質問を投げかけることを可能にする。
ASD provides cyber security advice specifically written for small business.	ASDは中小企業向けに特別に作成されたサイバーセキュリティ助言を提供している。
The AICD CSCRC Cyber Security Principles also has a dedicated snapshot for directors of smaller organisations.	AICD CSCRCサイバーセキュリティ原則には、小規模組織の取締役向けに特化した概要も存在する。
Contact details	連絡先
If you have any questions regarding this guidance you can write to us or call us on 1300 CYBER1 (1300 292 371).	本ガイダンスに関する質問がある場合は、書面または電話（1300 CYBER1：1300 292 371）にて問い合わせ可能である。
Does your organisation have event logging and threat detection?	貴組織はイベント記録と脅威検知を実施しているか？
The board should understand whether there is an enterprise wide-approach to event logging and threat detection. A rigorous approach to threat detection will improve your organisation’s chances of detecting malicious behaviour within your IT environment.	取締役会は、イベント記録と脅威検知に対するエンタープライズな取り組みの有無を把握すべきである。脅威検知に対する厳格なアプローチは、IT環境内の悪意ある行為の検知を可能にする組織の確率を高める。
In implementing cyber security measures, including event logging and threat detection measures, the board should have visibility of shared responsibilities between service providers and their organisation.	イベントログ記録や脅威検知を含むサイバーセキュリティ対策を実施する際、取締役会はサービスプロバイダと自社組織間の責任分担を可視化すべきである。
ASD provides advice for executives to assist with implementing event logging and threat detection.	ASDは、イベントログ記録と脅威検知の実施を支援するため、経営幹部向けの助言を提供している。
Threshold governance questions	閾値ガバナンスに関する質問
Have we established an event logging policy that includes event log retention, access and review procedures?	イベントログの保存期間、アクセス、レビュー手順を含むイベントログ記録ポリシーを確立しているか？
Have we defined event logging and monitoring responsibilities across teams?	チーム横断的なイベントログ記録・監視責任を定義しているか？
Have we identified all critical systems, applications and devices that require event logging?	イベントログ記録が必要な全ての重要システム、アプリケーション、デバイスを識別しているか？
Supplementary technical questions	補足的な技術的質問
Event logging processes and coverage	イベントログ記録プロセスと対象範囲
Do our cyber security activities align with ASD’s event logging and threat detection guidance?	自社のサイバーセキュリティ活動はASDのイベントログ記録・脅威検知ガイダンスに沿っているか？
Do we collect event logs from network devices, security appliances, operating systems, applications, databases and cloud services?	ネットワーク機器、セキュリティアプライアンス、OS、アプリケーション、データベース、クラウドサービスからイベントログを収集しているか？
Event log configuration and quality	イベントログの設定と品質
Do we configure event logs to capture sufficient detail?	十分な詳細情報を取得するようイベントログを設定しているか？
Do we ensure event logs are time-synchronised across our organisation?	組織全体でイベントログの時間同期を確保しているか？
Do we avoid collecting excessive or irrelevant event logs?	過剰または無関係なイベントログの収集を回避しているか？
Centralised event log management	集中型イベントログ管理
Do we forward event logs to a centralised event logging system?	イベントログを集中型イベントログシステムに転送しているか？
Do we ensure event logs are securely transmitted and stored?	イベントログの安全な伝送と保存を確保しているか？
Do we implement access controls to protect the integrity and confidentiality of event logs?	イベントログの完全性と機密性を防御するアクセス管理を実施しているか？
Threat detection capabilities	脅威検知能力
Do we define and implement detection rules for known cyber threats and anomalies?	既知のサイバー脅威や異常に対する検知ルールを定義し実装しているか？
Do we use threat intelligence feeds to enhance detection rules?	脅威インテリジェンスフィードを活用して検知ルールを強化しているか？
Do we monitor for indicators of compromise and suspicious behaviour?	侵害の兆候や不審な行動を監視しているか？
Alerting and response	アラートと対応
Do we configure alerts for high-risk events	高リスクイベントに対するアラートを設定しているか？
Do we ensure alerts are actionable and routed to appropriate teams?	アラートが実行可能であり、適切なチームにルーティングされることを保証しているか？
Do we integrate alerts into cyber security incident response workflows?	アラートをサイバーセキュリティインシデント対応ワークフローに統合しているか？
Event log analysis	イベントログ分析
Do we conduct regular reviews of event logs for signs of compromise?	侵害の兆候を調べるため、イベントログを定期的にレビューしているか？
Do we use automated tools to correlate events and detect patterns?	イベントを相関分析しパターンを検知する自動化ツールを使用しているか？
Do we performed retrospective analysis after cyber security incidents?	サイバーセキュリティインシデント発生後に事後分析を実施しているか？
Retention and compliance	保持とコンプライアンス
Do we retain event logs for a period consistent with legal and regulatory requirements?	法的・規制要件に沿った期間、イベントログを保持しているか？
Do we ensure event logs are made available for forensic investigations and audits?	フォレンジック調査や監査のためにイベントログが利用可能であることを保証しているか？
Do we have documented event log retention policies?	文書化されたイベントログ保持ポリシーがあるか？
How does your organisation manage legacy information technology?	貴組織はレガシーITをどのように管理しているか？
Legacy IT presents significant and enduring risks to the cyber security posture of your organisation. The board should be aware that weak cyber security measures for legacy IT can increase the likelihood of a cyber security incident, and make any cyber security incident that does occur more impactful.	レガシーITは組織のサイバーセキュリティ態勢に対し、重大かつ持続的なリスクをもたらす。取締役会は、レガシーITに対する脆弱なセキュリティ対策がインシデント発生確率を高め、発生時の影響を拡大させることを認識すべきである。
The most effective method to mitigate the cyber security risk posed by legacy IT is to replace it before it becomes unsupported. Retaining legacy IT within your organisation’s IT environment, especially where adequate compensating measures have not been applied, also presents significant business risks. These include the costs involved in remediating the consequences following a cyber security incident, systems being taken offline, service delivery being disrupted, loss of productivity, potential leakage or loss of data, and loss of public confidence in your organisation.	レガシーITがサポート終了状態になる前に置き換えることが、サイバーセキュリティリスクの緩和につながる最も効果的な方法である。特に適切な補償措置が講じられていない場合、組織のIT環境内にレガシーITを保持することは、重大なビジネスリスクも伴う。これには、サイバーセキュリティインシデント発生後の影響修復コスト、システムの停止、サービス提供の混乱、生産性の低下、データの漏洩・喪失の可能性、組織に対する公衆の信頼喪失などが含まれる。
ASD provides advice for executives to assist with legacy IT management.	ASDは、経営幹部がレガシーIT管理を支援するための助言を提供している。
Threshold governance questions	閾値ガバナンスに関する質問
Have we identified and documented all legacy IT in use?	使用中のレガシーITを全て識別し文書化しているか？
Have we assigned risk ownership responsibility for each piece of legacy IT?	各レガシーITに対するリスク所有責任を割り振っているか？
Have we established a legacy IT risk management strategy aligning with ASD’s guidance?	ASDのガイダンスに沿ったレガシーITリスクマネジメント戦略を確立しているか？
Have we assessed each piece of legacy IT for security vulnerabilities, operational dependencies and business criticality	各レガシーITについて、セキュリティ脆弱性・運用依存関係・業務重要性を評価しているか？
Have we categorised each piece of legacy IT based on risk exposure and impact?	リスクエクスポージャーと影響度に基づき各レガシーITを分類しているか？
Supplementary technical questions	補足的な技術的質問
Compensating measures	補償措置
Do we have compensating measures for when patching legacy IT is not possible?	レガシーITへのパッチ適用が不可能な場合の補償措置は存在するか？
Do we document, and regularly review, compensating measures for their effectiveness?	補償措置の有効性について文書化し、定期的に見直しているか？
Access controls	アクセス制御
Do we restrict access to legacy IT to only those who need it?	レガシーITへのアクセスを必要な者にのみ制限しているか？
Do we log all access to legacy IT?	レガシーITへの全アクセスをログ記録しているか？
Monitoring and incident response	監視とインシデント対応
Do we include legacy IT in our security monitoring and alerting activities?	セキュリティ監視およびアラート活動にレガシーITを含めているか？
Do our cyber security incident response plans account for legacy IT?	サイバーセキュリティインシデント対応計画はレガシーITを考慮しているか？
Do we conduct testing of cyber security incident response playbooks involving legacy IT?	レガシーITを想定したサイバーセキュリティインシデント対応プレイブックのテストを実施しているか？
Vendor support considerations	ベンダーサポートに関する考慮事項
Do we regularly scan for legacy IT that is no longer supported by vendors?	ベンダーによるサポートが終了したレガシーITを定期的にスキャンしているか？
Do we engage vendors for extended support or security advisories if available?	延長サポートやセキュリティアドバイザリが利用可能な場合、ベンダーと連携しているか？
Do we document end of life timelines and vendor support gaps?	サポート終了時期とベンダーサポートの空白期間を文書化しているか？
Transition and decommissioning plans	移行および廃止計画
Do processes for secure data mitigation from legacy IT exist?	レガシーITからの安全なデータ緩和プロセスは存在するか？
Do we maintain a roadmap for replacing or retiring legacy IT?	レガシーITの置換または廃止に向けたロードマップを維持しているか？
Do we prioritise decommissioning legacy IT based on risk and business impact?	リスクと事業影響に基づきレガシーITの廃止を優先しているか？
How does your organisation manage its cyber supply chain risk?	貴組織はサイバーサプライチェーンリスクをどのように管理しているか？
The board should have oversight of how cyber security risk is managed in the cyber supply chain. Suppliers, manufacturers, distributors and retailers involved in products or services used by your organisation will present a cyber supply chain risk for your businesses. Likewise, you will present a cyber supply chain risk to your customers.	取締役会はサイバーサプライチェーンにおけるサイバーセキュリティリスクマネジメントを監督すべきである。貴組織が利用する製品・サービスに関わる供給業者、製造事業者、頒布事業者、小売業者は、貴事業にとってサイバーサプライチェーンリスクとなる。同様に、貴組織も顧客にとってサイバーサプライチェーンリスクとなる。
For Australian Prudential Regulation Authority regulated entities, there are specific obligations set out in prudential standards on the oversight of suppliers and the Security of Critical Infrastructure Act 2018 has obligations that extend across various participants in the critical asset supply chain.	オーストラリア金融規制庁（APRA）の規制対象事業体については、サプライヤーの監督に関する監督標準に特定の義務が定められており、2018年重要インフラセキュリティ法は重要資産サプライチェーンの様々な参加者に義務を課している。
Effective cyber supply chain risk management ensures, as much as possible, the secure supply of products and services throughout their lifetime. This includes their design, manufacture, delivery, maintenance, decommissioning and disposal. Cyber supply chain risk management should form a significant component of your organisation’s overall cyber security strategy.	効果的なサイバーサプライチェーンリスクマネジメントは、製品やサービスのライフサイクル全体（設計、製造事業者、納入、保守、廃止、廃棄を含む）において、可能な限り安全な供給を確保するものである。サイバーサプライチェーンリスクマネジメントは、組織全体のサイバーセキュリティ戦略において重要な構成要素となるべきだ。
ASD provides advice for executives to assist with cyber supply chain risk management.	ASDは、経営陣がサイバーサプライチェーンリスクマネジメントを支援するための助言を提供している。
Threshold governance questions	閾値ガバナンス質問
Have we developed a cyber supply chain risk management policy?	サイバーサプライチェーンリスクマネジメントポリシーを策定したか？
Have we assigned ownership for cyber supply chain risk across procurement, legal and cyber security teams?	調達、法務、サイバーセキュリティ各チームにサイバーサプライチェーンリスクの責任を割り当てたか？
Have we identified all suppliers with access to our systems and data?	自社のシステムやデータにアクセス可能な全サプライヤーを識別したか？
Have we categorised suppliers by criticality and risk exposure?	サプライヤーを重要度とリスクエクスポージャーで分類したか？
Have we assessed suppliers’ cyber security posture using assessments or certifications?	サプライヤーのサイバーセキュリティ態勢をアセスメントや認証を用いて評価したか？
Supplementary technical questions	補足的な技術的質問
Contractual measures	契約上の措置
Do we include cyber security requirements in contracts and service level agreements?	契約やサービスレベル契約にサイバーセキュリティ要件を含めているか？
Do we require suppliers to notify us of breaches, security vulnerabilities or changes in risk?	サプライヤーに侵害、セキュリティ脆弱性、リスク変化の通知を義務付けているか？
Do we require compliance with ASD’s Information security manual (ISM)?	ASDの情報セキュリティマニュアル（ISM）への準拠を要求しているか？
Due diligence	デューデリジェンス
Do we conduct cyber supply chain risk assessments before onboarding suppliers?	サプライヤーの採用前にサイバーサプライチェーンリスク評価を実施しているか？
Do we verify supplier cyber security measures and cyber security incident response capabilities?	サプライヤーのサイバーセキュリティ対策とインシデント対応能力を検証しているか？
Do we ensure suppliers understand and agree to our cyber security expectations?	サプライヤーが自社のサイバーセキュリティ要件を理解し同意していることを確認しているか？
Ongoing monitoring and review	継続的監視とレビュー
Do we monitor supplier performance and compliance with cyber security obligations?	サプライヤーのパフォーマンスとサイバーセキュリティ義務の遵守状況を監視しているか？
Do we review supplier risk profiles periodically?	サプライヤーのリスクプロファイルを定期的に見直しているか？
Do we track and respond to emerging cyber threats affecting our cyber supply chain?	自社のサイバーサプライチェーンに影響する新たなサイバー脅威を追跡し対応しているか？
Third-party access management	サードパーティアクセス管理
Do we limit supplier access to only necessary systems and data?	サプライヤーのアクセスを必要なシステムとデータのみに制限しているか？
Do we implement cyber security measures, such as network segmentation and multi-factor authentication, for supplier access to our systems?	サプライヤーが自社システムにアクセスする際、ネットワークセグメンテーションや多要素認証などのサイバーセキュリティ対策を実装しているか？
Do we monitor and log supplier access to our systems?	サプライヤーの自社システムへのアクセスを監視・記録しているか？
Cyber security incident response and resilience	サイバーセキュリティインシデント対応とレジリエンシー
Do we include cyber supply chain compromise scenarios in our cyber security incident response planning?	サイバーセキュリティインシデント対応計画に、サイバーサプライチェーン侵害シナリオを含めているか？
Do we ensure suppliers have their own cyber security incident response plans and reporting mechanisms?	サプライヤーが独自のサイバーセキュリティインシデント対応計画と報告メカニズムを有していることを確認しているか？
Do we establish communication protocols with suppliers for coordinated responses to cyber supply chain compromises?	サイバーサプライチェーン侵害への協調的対応のため、サプライヤーとの連絡手順を確立しているか？
Does your organisation have a post-quantum cryptography transition plan?	貴組織は耐量子暗号移行計画を有しているか？
The board should be aware that in the near future cryptographically relevant quantum computers will render most contemporary cryptography insecure. This will result in existing secure communications based on current cryptography technology becoming vulnerable to compromise.	取締役会は、近い将来に暗号学的に有効な量子コンピュータが登場し、現代の暗号技術のほとんどが安全でなくなることを認識すべきである。これにより、現行の暗号技術に基づく既存の安全な通信が脆弱性を持つようになる。
As the creation of a cryptographically relevant quantum computer presents new cyber security risks, the board should oversee steps to anticipate future business requirements and dependencies for vulnerable systems during the transition period to post-quantum cryptography standards.	暗号学的に有効な量子コンピュータの出現が新たなサイバーセキュリティリスクをもたらすため、取締役会はポスト量子暗号標準への移行期間中、脆弱なシステムに対する将来の業務要件と依存関係を予測する措置を監督すべきである。
ASD provides advice for executives to assist with the post-quantum cryptography transition.	ASDはポスト量子暗号移行を支援するため、経営幹部向けの助言を提供している。
Threshold governance questions	閾値ガバナンス質問
Have we acknowledged the long-term impact of quantum computing?	量子コンピューティングの長期的な影響を認識しているか？
Have we assessed the potential impact of quantum threats to our systems and data?	量子脅威がシステムとデータに及ぼす潜在的影響を評価したか？
Have we established a post-quantum cryptography transition plan?	耐量子暗号移行計画は策定済みか？
Have we assigned executive and senior management responsibilities for post-quantum cryptography transition planning and readiness?	耐量子暗号移行計画と準備態勢に関する経営陣および上級管理職の責任分担は明確化されているか？
Supplementary technical questions	補足技術的質問
Cryptographic inventory	暗号技術インベントリ
Do we document where cryptography is implemented within our organisation?	組織内で暗号技術が実装されている箇所を文書化しているか？
Do we have an inventory of the cryptographic algorithms, protocols and libraries we use?	使用する暗号アルゴリズム、プロトコル、ライブラリのインベントリは存在するか？
Do we track and record our dependencies on vulnerable cryptographic algorithms?	脆弱な暗号アルゴリズムへの依存関係を追跡・記録しているか？
Vendor and supply chain engagement	ベンダーおよびサプライチェーンとの連携
Do we regularly engage with vendors to understand their post-quantum cryptography transition plans and readiness?	ベンダーと定期的に連携し、ポスト量子暗号への移行計画と準備状況を把握しているか？
Do we require vendors to disclose cryptographic dependencies and upgrade timelines?	ベンダーに対し、暗号依存関係とアップグレードのタイムラインを開示するよう要求しているか？
Do we include post-quantum cryptography considerations in our procurement and contract negotiations with vendors?	ベンダーとの調達および契約交渉において、ポスト量子暗号に関する考慮事項を含めているか？
Transition planning	移行計画
Do we monitor ASD’s advice on planning for post-quantum cryptography?	ポスト量子暗号計画に関するASDの助言を監視しているか？
Do we have a roadmap for migration to quantum-resistant algorithms?	量子耐性アルゴリズムへの移行ロードマップを有しているか？
Testing and validation	テストと妥当性確認
Do we first test quantum-resistant algorithms in non-production environments?	量子耐性アルゴリズムをまず非本番環境でテストしているか？
Do we evaluate performance, interoperability and the security of quantum-resistant algorithms?	量子耐性アルゴリズムの性能、相互運用性、セキュリティを評価しているか？
Policy and compliance	ポリシーとコンプライアンス
Do we have updated cryptography policies that include post-quantum cryptography considerations?	ポスト量子暗号を考慮した更新された暗号ポリシーがあるか？
Do we comply with ASD’s post-quantum cryptography standards?	ASDの耐量子暗号標準に準拠しているか？
Do we track regulatory developments related to post-quantum cryptography?	ポスト量子暗号に関連する規制動向を追跡しているか？

---

● Australian Institute of Company Directors

・[PDF] Cyber security priorities for boards in 2025-26 

---

● Australian Institute of Company Directors

・2024.11.25 Cyber Security Governance Principles | Version 2

Cyber Security Governance Principles | Version 2	サイバーセキュリティガバナンス原則｜バージョン2
Version 2 reflects developments in cyber security governance and emerging cyber threats since the Principles initial release in 2022.	バージョン2は、2022年の原則初版発表以降、サイバーセキュリティガバナンスの進展と新たなサイバー脅威を反映している。
Cyber threats are a critical risk for organisations of all sizes. With digital driven strategies, evolving regulation, and increasingly sophisticated cybercrime, cyber security remains a top board priority.	サイバー脅威は、あらゆる規模の組織にとって重大なリスクである。デジタル主導の戦略、進化する規制、高度化するサイバー犯罪により、サイバーセキュリティは引き続き取締役会の最優先課題だ。
Since 2022, the AICD and CSCRC’s Cyber Security Governance Principles (Principles) have set the standard for cyber governance in Australia. They offer a framework for better practice, enhanced resilience, and proactive board oversight.	2022年以降、AICD（オーストラリア会社取締役協会）とCSCRC（サイバーセキュリティ規制・協力センター）の「サイバーセキュリティガバナンス原則」（原則）は、オーストラリアにおけるサイバーガバナンスの標準を定めてきた。これらは、より良い実践、レジリエンスの強化、そして取締役会による積極的な監督のための枠組みを提供する。
This Version 2 covers emerging issues such as digital supply chain risks, data governance and effective cyber incident response and recovery. The Principles feature case studies from corporate leaders including former Telstra CEO, Andy Penn AO and Ventia Services Group Chair, David Moffatt MAICD, along with insights from recent major cyber security incidents. To support directors, the Principles provide practical tools, including tailored questions, governance red flags, and checklists for NFPs and SMEs, helping boards strengthen cyber resilience, improve risk controls, and oversee supplier relationships effectively.	このバージョン2は、デジタルサプライチェーンリスク、データガバナンス、効果的なサイバーインシデント対応と復旧といった新たな課題を取り上げている。原則には、元テルストラCEOアンディ・ペンAOやベンティア・サービス・グループ会長デイビッド・モファットMAICDら企業リーダーの事例研究に加え、最近の重大サイバーセキュリティインシデントからの知見が掲載されている。取締役を支援するため、原則では実践的なツールを提供している。これには、NFP（非営利法人）や中小企業向けの特化型質問、ガバナンス上の危険信号、チェックリストが含まれ、取締役会がサイバーレジリエンシーを強化し、リスク管理を改善し、サプライヤー関係を効果的に監督するのに役立つ。
Download the media release	プレスリリースをダウンロード
Watch the webinar recording	ウェビナー録画を視聴
Watch the expert panel discussion with David Moffatt MAICD, Victoria Weekes FAICD, Rachael Falk MAICD and Christian Gergis GAICD as they unpack the latest updates to the Cyber Security Governance Principles.	デイビッド・モファット MAICD、ビクトリア・ウィークス FAICD、レイチェル・フォーク MAICD、クリスチャン・ガーギス GAICDによる専門家パネルディスカッションを視聴し、サイバーセキュリティガバナンス原則の最新更新内容を解き明かす。
Video	ビデオ

・THE PRINCIPLES 

・SNAPSHOT OF THE PRINCIPLES 

A Concise Snapshot	簡潔な概要
Cyber Security Governance Principle	サイバーセキュリティガバナンス原則
PRINCIPLE 1: Set clear roles and responsibilities	原則1：明確な役割と責任を設定する
KEY POINTS	主なポイント
1. Defining clear roles and responsibilities is a foundational component of building effective cyber resilience	1. 明確な役割と責任の定義は、効果的なサイバーレジリエンス構築の基盤となる要素である
2. Comprehensive and clear board reporting, including engagement with management and updates on emerging trends, is a key mechanism by which a board can assess the resilience of the organisation	2. 経営陣との連携や新たな動向に関する更新情報を含む、包括的かつ明確な取締役会への報告は、取締役会が組織のレジリエンスを評価する主要な手段である
3. External experts can play a role in providing advice and assurance to directors and identify areas for improvement	3. 外部専門家は取締役への助言・保証提供や改善領域の識別において役割を果たし得る
GOVERNANCE RED FLAGS	ガバナンスの危険信号
1. Cyber risk and cyber strategy not featuring regularly on board agendas	1. サイバーリスクとサイバー戦略が取締役会議題に定期的に登場しない
2. Board not annually reviewing skills to ensure that directors have a minimum understanding of cyber security risk	2. 取締役がサイバーセキュリティリスクの最低限の理解を有していることを確認するための年次スキル見直しを実施していない
3. Board reporting on cyber risk is hard to digest and features excessive jargon with a reliance on technical solutions	3. サイバーリスクに関する取締役会報告が理解しにくく、専門用語が過剰で技術的解決策への依存が目立つ
4. Limited or no external review or assurance of cyber risk controls and strategy	4. サイバーリスク管理策と戦略に対する外部レビューや保証が限定的、あるいは存在しない
5. No clear lines of management responsibility for	5. サイバーリスク管理における明確な管理責任ラインが設定されていない
PRINCIPLE 2: Develop, implement and evolve a comprehensive cyber strategy	原則2：包括的なサイバー戦略を策定・実施・進化させる
KEY POINTS	重要ポイント
1. A cyber strategy, proactively overseen by the board, can be a business enabler by identifying opportunities for the organisation to build cyber resilience	1. 取締役会が積極的に監督するサイバー戦略は、組織のサイバーレジリエンス構築機会を特定することでビジネス推進要因となり得る
2. Identifying the key digital assets and data of an organisation, including who has access to these assets, is core to understanding and enhancing cyber capability	2. 組織の主要なデジタル資産とデータ、およびそれらへのアクセス権限者を識別することは、サイバー能力の理解と強化の核心である
3. A robust cyber strategy will account for the importance, and potential risks, associated with key third-party suppliers	3. 堅牢なサイバー戦略は、主要なサードパーティサプライヤーに関連する重要性と潜在リスクを考慮に入れる
GOVERNANCE RED FLAGS	ガバナンスの危険信号
1. Lack of formal documentation of the organisation’s approach to cyber security	1. 組織のサイバーセキュリティへの取り組みを正式に文書化していない
2. Limited understanding of the location of key digital assets and data, who has access and how they are protected	2. 主要なデジタル資産やデータの所在、アクセス権限者、防御方法に関する理解が不十分であること
3. The cyber strategy and risk controls are not subject to internal and external evaluation and periodic refinement relative to evolving threats	3. サイバー戦略とリスクマネジメント策が、進化する脅威に対して内部・外部評価や定期的な見直しを受けていないこと
4. Lack of data governance framework to guide how data is collected, held, protected and ultimately destroyed	4. データの収集・保管・防御・最終的な廃棄方法を規定するデータガバナンス枠組みが欠如していること
PRINCIPLE 3: Embed cyber security in existing risk management practices	原則3：既存のリスクマネジメント手法にサイバーセキュリティを組み込む
KEY POINTS	主なポイント
1. Cyber risk is still an operational risk that fits within an organisation’s existing approach to risk management	1. サイバーリスクは依然として運用リスクであり、組織の既存リスクマネジメントアプローチに組み込める
2. While cyber risk cannot be reduced to zero there are a number of accessible and low-cost controls that all organisations can utilise to mitigate the risk	2. サイバーリスクをゼロにすることは不可能だが、全ての組織がリスク緩和に活用できる、入手容易で低コストの管理策が複数存在する
3. The board should regularly assess the effectiveness of cyber controls to account for a changing threat environment, technological developments and the organisation’s capabilities	3. 取締役会は、変化する脅威環境、技術発展、組織の能力を考慮し、サイバー管理策の有効性を定期的に評価すべきである
GOVERNANCE RED FLAGS	ガバナンスの危険信号
1. Cyber risk and cyber strategy not reflected in existing risk management frameworks	1. 既存のリスクマネジメント枠組みにサイバーリスクとサイバー戦略が反映されていない
2. High management confidence that cyber risk controls are effective without regular external validation	2. 定期的な外部妥当性確認なしに、サイバーリスク管理策が有効であると経営陣が過信している
3. Over reliance on the cyber security controls of key service providers, such as cloud software providers	3. クラウドソフトウェアプロバイダなど主要サービス提供者のサイバーセキュリティ管理策への過度の依存
4. Cyber security controls and processes of potential vendors are not assessed in the procurement process for key goods and services 5. Prolonged vacancies in key cyber management roles	4. 主要な物品・サービスの調達プロセスにおいて、潜在的なベンダーのサイバーセキュリティ管理策とプロセスが評価されていない5. 主要なサイバー管理職の長期空席
PRINCIPLE 4: Promote a culture of cyber resilience	原則4：サイバーレジリエンスの文化を促進する
KEY POINTS	重要ポイント
1. A truly cyber resilient culture begins at the board and must flow through the organisation and extend to key suppliers	1. 真のサイバーレジリエント文化は取締役会から始まり、組織全体に浸透し主要サプライヤーにまで拡大される必要がある
2. Regular, engaging and relevant training is a key tool to promote a cyber resilient culture, including specific training for directors	2. 定期的かつ参加型で関連性の高い研修は、取締役向けの特定研修を含め、サイバーレジリエント文化を促進する重要な手段である
3. Incentivise and promote strong cyber security practices, including participating in phishing testing and penetration exercises	3. フィッシングテストやペネトレーションテストへの参加を含む、強固なサイバーセキュリティ実践を奨励・推進する
GOVERNANCE RED FLAGS	ガバナンスの危険信号
1. Board and executives do not undertake cyber security education nor participate in testing	1. 取締役会と経営陣がサイバーセキュリティ教育を受けず、テストにも参加しない
2. Cyber security is not reflected in the role statements and KPIs of key leaders	2. 主要リーダーの職務記述書やKPIにサイバーセキュリティが反映されていない
3. Communication from leaders does not reinforce the importance of cyber resilience to staff (cyber is seen as an issue only for frontline staff to manage)	3. リーダーからのコミュニケーションが従業員へのサイバーレジリエンシー重要性を強化していない（サイバーは現場スタッフのみが管理すべき問題と見なされている）
4. There is a culture of ‘exceptions’ or workarounds for board and management with respect to cyber hygiene and resilience	4. 取締役会と管理職に対して、サイバー衛生とレジリエンシーに関して「例外」や回避策の文化が存在する
PRINCIPLE 5: Plan for a significant cyber security incident	原則5：重大なサイバーセキュリティインシデントへの計画
KEY POINTS	重要ポイント
1. Directors and management should proactively plan for a significant cyber incident	1. 取締役と管理職は重大なサイバーインシデントに備え、積極的に計画を立てるべきである
2. Simulation exercises and scenario testing are key tools for the board and senior management to understand and refine roles and responsibilities	2. シミュレーション演習とシナリオテストは、取締役会と上級管理職が役割と責任を理解し、改善するための重要なツールである
3. A clear and transparent approach to communications with key stakeholders in a significant cyber incident is critical in mitigating reputational damage and allowing for an effective recovery	3. 重大なサイバーインシデント発生時、主要な利害関係者とのコミュニケーションにおいて明確かつ透明性のあるアプローチは、評判の毀損の緩和および効果的な復旧を可能にする上で極めて重要である
GOVERNANCE RED FLAGS	ガバナンスの危険信号
1. The board and senior staff have not undertaken scenario testing or incident simulations to test the Response Plan	1. 取締役会と上級管理職が、対応計画を検証するためのシナリオテストやインシデントシミュレーションを実施していない
2. Likely scenarios and consequences are undocumented with lessons from simulations not being captured	2. 想定されるシナリオと結果が文書化されておらず、シミュレーションからの教訓も記録されていない
3. It is not clear how communications with key stakeholders will be managed in the event of an incident	3. インシデント発生時に主要ステークホルダーとのコミュニケーションをどう管理するかが不明確である
4. No post incident review with board and management	4. 取締役会と経営陣による事後検証が行われていない
Top 10 director questions	取締役が問うべきトップ10の質問
Roles and responsibilities	役割と責任
1. Does the board understand cyber risks well enough to oversee and challenge?	1. 取締役会はサイバーリスクを十分に理解し、監督と検証を行っているか？
2. Who has primary responsibility for cyber security in our management team?	2. 経営陣の中でサイバーセキュリティの主たる責任者は誰か？
Cyber strategy	サイバー戦略
3. Do we understand our current cyber security capability and have a plan to enhance this capability?	3. 現在のサイバーセキュリティ能力を理解し、これを強化する計画はあるか？
4. How does our approach to enhancing cyber security support our broader organisational strategy and strategic initiatives?	4. サイバーセキュリティ強化への取り組みは、組織全体の戦略や戦略的イニシアチブをどう支援するか？
Cyber security risk management	サイバーセキュリティリスクマネジメント
5. Where, and with whom, are our key digital assets and data located?	5. 主要なデジタル資産とデータは、どこに、誰と共有されているか？
6. How regularly does management present to the board or risk committee on the effectiveness of cyber risk controls?	6. 経営陣は、サイバーリスク管理の有効性について、どの程度の頻度で取締役会またはリスク委員会に報告しているか？
Cyber resilient culture	サイバーレジリエントな文化
7. Is cyber security training mandatory across the organisation and is it differentiated by area or role?	7. サイバーセキュリティ研修は組織全体で義務化されているか？また、部署や役職によって差別化されているか？
8. Does the board and senior management reinforce the importance of cyber security and collective responsibility?	8. 取締役会と上級管理職は、サイバーセキュリティの重要性と集団的責任を強調しているか？
Cyber incident planning	サイバーインシデント計画
9. Do we have a cyber incident response plan, including a comprehensive communications strategy, informed by simulation exercises and testing?	9. シミュレーション演習やテストに基づく包括的なコミュニケーション戦略を含む、サイバーインシデント対応計画は存在するのか？
10. Can we access external support if necessary to assist with a significant cyber security incident?	10. 重大なサイバーセキュリティインシデント発生時に、必要に応じて外部支援を利用できるのか？

・SME and NFP Director Checklist 

・2024.02.28 Governing Through a Cyber Crisis - Cyber Incident Response and Recovery for Australian Directors

Governing Through a Cyber Crisis - Cyber Incident Response and Recovery for Australian Directors	サイバー危機を乗り切るガバナンス - オーストラリアの取締役のためのサイバーインシデント対応と復旧
Governing Through a Cyber Crisis provides a framework of better practice guidance to assist Australian directors to navigate critical cyber incidents at their organisations. The guidance was developed by the AICD in partnership with the Cyber Security Cooperative Research Centre (CSCRC) and Ashurst.	「サイバー危機を乗り切るガバナンス」は、オーストラリアの取締役が組織で発生した重大なサイバーインシデントに対処するための、より優れた実践ガイダンスの枠組みを提供する。このガイダンスは、AICD がサイバーセキュリティ共同研究センター（CSCRC）およびアッシュアストと提携して作成したものである。
In recent years Australia has seen a wave of prominent cyber security incidents. These incidents have resulted in significant disruption to business operations, the loss of customer data and damage to organisational reputation. The decision making of the board has also been publicly scrutinised.	近年、オーストラリアでは、顕著なサイバーセキュリティインシデントが相次いで発生している。これらのインシデントは、事業運営の大幅な混乱、顧客データの損失、組織の評判の低下をもたらしている。取締役会の意思決定も公に精査されている。
The guidance assists boards and directors with overseeing the effective response and recovery from a material cyber incident and emerge on the other side with a more cyber resilient organisation.	このガイダンスは、取締役会および取締役が、重大なサイバーインシデントに対する効果的な対応と復旧を監督し、よりサイバーレジリエントな組織として再生するのに役立つ。
The resource expands on existing guidance in the AICD CSCRC Cyber Security Governance Principles and has been informed by insight from senior Australian directors, cyber security advisors and government.	このリソースは、AICD CSCRC サイバーセキュリティガバナンス原則の既存のガイダンスを拡張したものであり、オーストラリアの上級取締役、サイバーセキュリティアドバイザー、政府からの知見が反映されている。
The accompanying Snapshot includes a checklist of practical steps for SME and NFP directors in responding to a critical cyber incident. The AICD, CSCRC and Ashurst are committed to updating the guidance as the cyber security threat and regulatory landscape evolves.	付属のスナップショットには、中小企業および非営利団体の取締役が重大なサイバーインシデントに対応するための実践的な手順のチェックリストが含まれている。AICD、CSCRC、アッシュアストは、サイバーセキュリティの脅威や規制環境の変化に応じて、このガイダンスの更新に取り組んでいる。
Download the media release	プレスリリースをダウンロード

・THE PUBLICATION 

・THE SNAPSHOT

国家サイバー統括室 重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針（案）...第3回サイバー対処能力強化法の施行等に関する有識者会議 (2025.10.30)

こんにちは、丸山満彦です。

国家サイバー統括室が、第3回サイバー対処能力強化法の施行等に関する有識者会議において重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針（案）
が議論されたようですね...

ここは、国家安全保障であり、政府による国民の統制という方向に間違ってもいかないようにすることが重要ですよね...その意図は感じられますが...極左の多い大学時代から極左も極右も権力の集中という意味では同じで、私の頭のなかでは同じ分類として扱っていました(^^)。そういう意味では権威主義か民主主義かというのは、左右（甘党か辛党か）という思想の議論よりも、権力を集中させるかどうか（味が濃いかどうか）という意味でよりわかりやすい（健康によいかどうかという）対比なのかもしれません...

● 国家サイバー統括室 - サイバー対処能力強化法の施行等に関する有識者会議

・2025.10.30 第３回会合

・[PDF] 資料２　重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針（案）

---

はじめに

第１章 重要電子計算機に対する特定不正行為による被害の防止に関する基本的な事項
第１節 本法による各種措置を行うこととなった背景・経緯
第２節 制度の基本的な考え方
第３節 政府内及び事業者等との連携と総合調整
⑴ 政府内の連携と総合調整
⑵ 事業者等との連携
第４節 通信の秘密の尊重
第５節 基本的な事項に関わる概念・定義の考え方
⑴ 重要電子計算機の定義の考え方
⑵ 機械的情報の考え方

第２章 当事者協定の締結に関する基本的な事項
第１節 基本的な考え方
第２節 当事者協定の締結を推進させるための基本的な事項
⑴ 当事者協定の締結の推進に当たっての考え方
⑵ 当事者協定の締結についての推進方策
第３節 当事者協定の締結に関する配慮事項
⑴ 当事者協定の締結に向けた協議に関する配慮事項
⑵ 当事者協定に基づく他目的利用に関する配慮事項

第３章 通信情報保有機関における通信情報の取扱いに関する基本的な事項 .
第１節 基本的な考え方
第２節 通信情報の利用を適切に機能させるための基本的な事項 .
⑴ 通信情報の利用に係る能力構築の考え方
⑵ 電気通信事業者の協力
第３節 通信情報の適正な取扱いに関する配慮事項
⑴ 通信の秘密等への十分な配慮
⑵ 通信情報の安全管理措置
⑶ 提供用選別後情報の活用
⑷ サイバー通信情報監理委員会による監理
⑸ 他法令の遵守に関する配慮事項

第４章 情報の整理及び分析に関する基本的な事項
第１節 基本的な考え方
第２節 報告等情報の収集の考え方
⑴ 特定重要電子計算機の届出の考え方
⑵ 特定侵害事象等の報告の考え方
第３節 収集した情報の整理及び分析の考え方
⑴ 総合整理分析情報の作成の考え方
⑵ 提供用総合整理分析情報・周知等用総合整理分析情報の作成の考え方
第４節 関係機関等への協力の要請
第５節 事務の委託に関する考え方

第５章 総合整理分析情報の提供に関する基本的な事項
第１節 基本的な考え方
第２節 総合整理分析情報等の提供先と提供する内容の考え方 .
⑴ 行政機関等に対する情報提供
⑵ 外国の政府等に対する情報提供
⑶ 協議会の構成員に対する情報提供
⑷ 特別社会基盤事業者に対する情報提供
⑸ 電子計算機を使用する者に対する周知等
⑹ 電子計算機等供給者に対する情報提供等、脆弱性情報に係る情報提供.
第３節 情報提供に当たっての関係行政機関の連携
第４節 情報提供に当たって必要な配慮
第５節 安全管理措置
第６節 事務の委託に関する考え方

第６章 協議会の組織に関する基本的な事項
第１節 基本的な考え方
第２節 協議会の取組内容・運営方針
第３節 協議会で共有されるべき情報・協議する内容
第４節 協議会の構成員
第５節 安全管理措置

第７章 その他重要電子計算機に対する特定不正行為による被害の防止に関し必要な事項 .
第１節 制度及び基本方針の見直しに関する事項
第２節 官民連携に関する関係省庁・関係機関等との連携等に関する事項
第３節 アクセス・無害化措置との連携

---

・[PDF] 資料３　官民連携の強化に向け今後具体化が必要な論点

---

今後具体化が必要な論点

特定重要電子計算機の届出やインシデント報告の施行、新協議会の立ち上げに向けては、運用面/技術面で更なる深掘りが必要。この点、基本方針（案）の記載を踏まえ、今後以下のような論点につき、ステークホルダとも意見交換を行いつつ具体化を進める。

１．特定重要電子計算機の考え方について

• 法第４条における届出や第５条におけるインシデント報告の対象となる特定重要電子計算機について、具体的にどのような機器を対象とすべきか。例えば、近年その脆弱性の悪用事例が多く確認されているVPN装置等のインターネットから直接接続可能な機器（アタックサーフェス）や、その他にどのような類型が必要か。
• 実際のシステム構成において、インターネットから接続可能な領域と、いわゆる制御系システムを物理的に分離（エアギャップ）している例が見られるが、このような場合の特定重要電子計算機の考え方。
• また近年、基幹インフラ事業者においても、その役務提供に当たってクラウドサービスが広く活用されているところ、特定重要電子計算機としてクラウドサービスを利用している場合に、どのように捉えるべきか。

２．特定重要電子計算機の届出について

• 脆弱性の提供等における活用に当たって、具体的にどのような事項、粒度で届出を求めるべきか。
• 経済安全保障推進法における特定重要設備の全部又は大部分がクラウドサービスを活用している場合に、届出の対象をどのように考えるべきか。また、ゼロトラストのように、システムの機能保障上重要な機能がクラウドサービスを活用している場合はどうか。
• 大多数の事業者が通常利用していると考えられ、必ずしもその保有状況を把握せずとも、情報提供を行い得るようなソフトウェアについても届出を求めるか。
• 経済安全保障推進法の規定に基づく届出が必要な設備について、事業者の負担軽減の観点から、当該届出の内容と本法で届出を求める内容について整理してはどうか。

３．インシデント報告について

• 法第５条において、「特定侵害事象の原因となり得る事象」についても報告を求めるとしているところ、例えば、具体的な事象の痕跡を認知した場合に報告を求めるといった対応としてはどうか。
• 報告期限について、インシデント発生時の事業者の対応負担も鑑み、例えば個人情報保護法といった関係法令における報告期限を参考に設定すべきか。
• 特定重要電子計算機がクラウドサービスを利用している場合、SaaS, PaaS, IaaSそれぞれの責任範囲に基づき、どの利用形態の場合にどのタイミングで報告を求めるか。

４．新協議会について

• 協議会の組織及び運営に関し必要な事項は、協議会が定める（法第45条第8項）とされているが、今後、基本方針（案）の内容を踏まえて協議会の組織及び運営の具体化を図る上で、特に留意や配慮が必要な事項はあるか。
• 協議会の構成員は、政府から情報提供を受けることができる一方で、協議会で知り得た秘密を含む情報の適正な管理や資料の提出の求めがあった場合における対応が必要となるなど、一定の負担も生じ得る。構成員の協議会への参画意欲を高め、協議会が官民連携のエコシステムとして効果的に機能するために、運用面での工夫やルール整備等を行う上で、どのような事項を考慮すべきか。
• 基本方針（案）では、協議会の構成員以外の者に対しても、秘密を含まない情報の提供を行うことで、広く国内のサイバーセキュリティ強化を促し、重要電子計算機に対する特定不正行為による被害防止につなげていくとしている。協議会の活動において、どのように取り組むべきか。

---

ちなみに第1回の資料３　サイバー対処能力強化法に基づく基本方針の策定に向けて

目次的...

御議論いただきたい事項：その１：重要電子計算機に対する特定不正行為による被害の防止に関する基本的な事項
 本法による各種措置を行うこととなった背景
 政府内の連携と総合調整
 事業者等との連携
 通信の秘密の尊重
 重要電子計算機の定義の考え方
 機械的情報の考え方

御議論いただきたい事項：その２：第13条に規定する当事者協定の締結に関する基本的な事項
 基本的な考え方
 当事者協定の締結に関して配慮すべき事項
　 当事者協定制度の運用に関する配慮事項
　 当事者協定の締結に向けた協議に関する配慮事項
　 当事者協定に基づく他目的利用に関する配慮事項

御議論いただきたい事項：その３：通信情報保有機関における通信情報の取扱いに関する基本的な事項
 基本的な考え方
 通信情報の取扱いに関して配慮すべき事項
　 通信の秘密への十分な配慮
　 安全管理措置についての考え方
　 通信情報の利用に係る機能強化の考え方
　 電気通信事業者の協⼒に関する配慮事項
　 他法令の遵守に関する配慮事項

御議論いただきたい事項：その４：第37条の規定による情報の整理及び分析に関する基本的な事項
 報告等情報の収集の考え方
 収集した情報の整理及び分析の考え方
 関係機関等への協⼒の要請
 事務の委託に関する考え方

御議論いただきたい事項：その５：総合整理分析情報の提供に関する基本的な事項
 総合整理分析情報等の提供先と提供する内容の考え方
総合整理分析情報の提供に関する基本的な事項
 情報提供に当たっての関係行政機関の連携
 守秘義務・安全管理措置の具体的内容
 情報提供に当たって必要な配慮
 事務の委託に関する考え方

御議論いただきたい事項：その６：第45条第１項に規定する協議会の組織に関する基本的な事項
 協議会の趣旨
 協議会の取組内容・運営方針
 協議会で共有されるべき情報・協議する内容
 協議会の構成員
 守秘義務・安全管理措置の具体的内容

御議論いただきたい事項：その７：その他重要電子計算機に対する特定不正行為による被害の防止に関し必要な事項
 基本方針の見直しに関する事項
 官民連携に関する関係省庁・関係機関等との連携等に関する事項

基本方針の策定に係るスケジュール案

【参考】基幹インフラ事業者との意見交換
総論
①特定重要電子計算機の届出（資産届出）について
②特定侵害事象等の報告（インシデント報告）について
③協議会・情報共有について
④情報共有システム（官民連携基盤）について

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.06.08 内閣官房 NISC サイバーセキュリティ戦略本部第43回会合 - インシデント報告様式の統一 (2025.05.29)

・2025.05.17 「重要電子計算機に対する不正な行為による被害の防止に関する法律」とその法律の施行に伴う関係法律の整備等に関する法律が成立しましたね...そして、クリアランス制度がはじまりましたね...(2025.05.16)

・2025.02.08 内閣官房 サイバー対処能力強化法案及び同整備法案 (2025.02.07)

国家サイバー統括室 「サイバーインフラ事業者に求められる役割等に関するガイドライン（案）」に関する意見募集

こんにちは、丸山満彦です。

国家サイバー統括室から「サイバーインフラ事業者に求められる役割等に関するガイドライン（案）」に関する意見募集が行われていますね...

● 国家サイバー統括室

・2025.10.30 「サイバーインフラ事業者に求められる役割等に関するガイドライン（案）」に関する意見募集について

サイバーインフラ事業者というのをあらたに定義していますね...

---

サイバーインフラ事業者とは、サイバーセキュリティ基本法において、サイバー関連事業者（インターネットその他の高度情報通信ネットワ
ークの整備、情報通信技術の活用又はサイバーセキュリティに関する事業を行う者）等の責務が規定されている事業者のうち、政府機
関等及び重要インフラ事業者を始め広く社会で活用される情報・通信システム、ソフトウェア製品及び ICT サービスを開発し提供する事
業者並びに当該情報・通信システム等のソフトウェアのライフサイクルとサプライチェーンに関わる事業者をいう

---

ちなみに、サイバーセキュリティ基本法におけるサイバー関連事業者の定義...

---

（サイバー関連事業者その他の事業者の責務）

第七条　サイバー関連事業者（インターネットその他の高度情報通信ネットワークの整備、情報通信技術の活用又はサイバーセキュリティに関する事業を行う者をいう。以下同じ。）その他の事業者は、基本理念にのっとり、その事業活動に関し、自主的かつ積極的にサイバーセキュリティの確保に努めるとともに、国又は地方公共団体が実施するサイバーセキュリティに関する施策に協力するよう努めるものとする。

２　情報システム若しくはその一部を構成する電子計算機若しくはプログラム、情報通信ネットワーク又は電磁的記録媒体（以下この項において「情報システム等」という。）の供給者は、サイバーセキュリティに対する脅威により自らが供給した情報システム等に被害が生ずることを防ぐため、情報システム等の利用者がその安全性及び信頼性の確保のために講ずる措置に配慮した設計及び開発、適切な維持管理に必要な情報の継続的な提供その他の情報システム等の利用者がサイバーセキュリティの確保のために講ずる措置を支援する取組を行うよう努めるものとする。

---

で、このガイドライン（案）の策定目的は、次のようになっているようです...

---

サイバーインフラ事業者に求められる役割等について整理・解説することにより、これら事業者によるレジリエンスの向上、及びサイバーセキュリティの根本的確保を促進することを目的とするものである。

---

ということは、参考資料ということですかね...それ以上でもない...でも、遵守していないままに事故になったら、「どうして守らなかった？」と言われるのですかね... 裁判でも「政府がガイドラインをつくっているのになぜ守らなかった？」ということになるのでしょうかね...

もし、実質的に強制が働くとなると、ガイドラインの無秩序な乱立はさけたいですよね...例えば、NISTのCSFやJISQ27002等を参考に社内規定を作っている組織は確認が必要となりますよね...おそらく、新しいガイドライン（案）の個別要求の95％以上はできているように思うんですよね...でも、チェックする手間が増える...

最近、ガイドラインのようなものが増えるのを見ていると、

・政府（ときには有識者委員）の勉強？のためにつくっているのではないか？

という気がする場合もありますよね...

米国はCSFをベースに組織の戦略、リスク許容度、リソース等を踏まえて優先順位づけを行いプロファイルをつくるという方法を推奨していますがそういう考え方がよいのだろうと思います。日本は元になるものがないので乱立するのですかね...

このままでは日本のためによくないかもしれませんね...

それぞれのガイドラインはそれぞれ知恵を絞って良いものを作ろうとしているし、良いものができているのだろうと思います。しかし、良いもの故に乱立すると事業者側の負担が増える...

安全保障の問題やランサムウェアによる被害の拡大でサイバーセキュリティ業界が活況になっているのはよいのですが、歴史的な経緯も踏まえた連続的な政策をしていかないと、事業者に皺寄せがいく...そんな感じがします...

今回のガイドライン（案）でいえば、諸外国の関連ガイドライン等を参照しているので、その関連ガイドライン等とのマッピングはつけているのでそれはとても良いと思います。でも、標準的なJISQ 27002とのマッピングがあるとさらに良い思います。

サイバーセキュリティの司令塔として作ったはずの国家サイバー統括室ですので、ガイドライン等の統一感をつくる旗振りをもっとしていってよいと思います。司令塔なので目線を上げていきましょうね...

あっ、英語版も作成していて意見対象となっていますね。。。これは非常によいことだと思います。

参考の概要資料

・[PDF] 概要資料【日本語】【English】

意見募集のガイドライン（案）

・[PDF] サイバーインフラ事業者に求められる役割等に関するガイドライン（案）【日本語】【English】

---

目次...

1. 総論
1.1. 背景と目的
1.2. ガイドライン（案）の位置付け
1.3. 適用対象
1.4. 役割分担の考え方
1.5. 代表的なユースケース例

2. サイバーインフラ事業者と顧客の責務と役割分担
2.1. 責務と役割分担の考え方
2.2. 責務

3. 責務を果たすための要求事項
3.1. 要求事項の全体像
3.2. 要求事項
（１） セキュアな設計・開発・供給・運用
（２） ライフサイクル管理、透明性の確保
（３） 残続する脆弱性の速やかな対処
（４） 人材・プロセス・技術の整備
（５） サイバーインフラ事業者・ステークホルダー間の関係強化
（６） 顧客によるリスク管理とセキュアなソフトウェアの調達・運用

4. 要求事項の利活用
4.1. 要求事項の要求パッケージ化
4.2. 役割分担に応じた要求事項の適用に関する注意点

5. 参考情報
5.1. 要求事項チェックリスト
5.2. セキュリティインシデントと要求事項との対応関係例
5.3. システムライフサイクルにおける脅威と要求事項の対応関係
5.4. 要求事項に対する取組例
（１） セキュアな設計・開発・供給・運用
（２） ライフサイクル管理、透明性の確保
（３） 残続する脆弱性の速やかな対処
（４） 人材・プロセス・技術の整備
（５） サイバーインフラ事業者・ステークホルダー間の関係強化
（６） 顧客によるリスク管理とセキュアなソフトウェアの調達・運用
5.5. 統一基準群と本ガイドライン（案）との関係
5.6. 重要インフラのサイバーセキュリティに係る安全基準等策定指針と本ガイドライン（案）との関係
5.7. サイバー対処能力強化法と本ガイドライン（案）との関係
5.8. 参照情報
（１） 参照情報のリスト
（２） 他の標準・ガイドライン等との関係
（３） NIST SP800-218 との対応関係
（４） NSA Software Supply Chain Guidance の 3 文書との対応関係
（５） CISA Secure-by-Design- Shifting the Balance of Cybersecurity Risk との対応関係 .
（６） EU Cyber Resilience Act. ANNEX I/II との対応関係
（７） その他の文書との対応関係
5.9. 用語

6. 本ガイドライン（案）の検討体制

サイバー脅威インテリジェンス成熟度モデル (CTI-CMM) 第1.2版 (2025.04.22)

こんにちは、丸山満彦です。

サイバー脅威インテリジェンス成熟度モデルがCTI-CMMという団体から公表されています。

組織を保護するための意思決定を担う人々に有益なサイバー脅威インテリジェンスを適時に提供できるようにするためのものという感じですかね...

米国連邦政府のエネルギー省のサイバーセキュリティ成熟度モデル (Cybersecurity Capability Maturity Model (C2M2)) をベースにし、SP800-53に準拠しているようです...

インテリジェンス全般に言えるかもしれませんが、生成AIとインテリジェンスについてです...

生成AIの登場で、情報収集とある程度の分析が誰にでも簡単にできるようになりましたね...そこでもはやインテリジェンス活動は生成AIで十分ではないか？もはやインテリジェンス部門は不要なのではないか？という意見もでてくると思うのですが、おそらく懸命な皆様はご存知の通り、インテリジェンス部門はより重要となるように思います。

もちろん、いままでの情報収集と簡単な分析というのは、ウェブで学習した生成的AIで一次解答は得られるようになります。ただ、その情報を本当に意思決定に使えるのか？という点についてより本質的な分析が必要になるように思います。

なので、インテリジェンス部門は生成的AIを使いこなしつつも、普段からWeb以外からも積極的に情報を収集し、かつ必要な人脈も構築し、意思決定に資するインテリジェンスを適時に提供できる体制と運用を構築しておく必要があるのだろうと思います。

高市首相が、日本国政府に国家情報局を構築するという発言をしました。米国のNSAに似た組織を想定しているのかもしれません。意思決定者が本当に信頼できるそういうインテリジェンスを提供できる組織というのが、これからはどのような組織にも必要になるのだろうと思います。

● CTI-CMM

・[PDF] CTI-CMM Ver. 1.2

目次...

1. Introduction	1. 序論
1.1. Why Another Model	1.1. なぜ新たなモデルが必要か
1.2. Model Vision and Roadmap	1.2. モデルのビジョンとロードマップ
1.3. Intended Audience	1.3. 対象読者
1.4. Document Organization	1.4. 文書の構成
2. Background	2. 背景
2.1. Maturity Models	2.1. 成熟度モデル
2.2. Model Development Approach	2.2. モデル開発アプローチ
3. Cyber Threat Intelligence Core Concepts	3. サイバー脅威インテリジェンスの核心概念
3.1. Cyber Threat Intelligence	3.1. サイバー脅威インテリジェンス
3.2. CTI Stakeholders	3.2. CTIのステークホルダー
3.3. Strategic, Operational, and Tactical	3.3. 戦略的、運用的、戦術的
3.4. CTI Program Foundations	3.4. CTIプログラムの基盤
3.5. Feedback	3.5. フィードバック
4. How the Model is Organized	4. モデルの構成
4.1. Domains	4.1. ドメイン
4.2. Structure	4.2. 構造
4.3. Maturity Levels	4.3. 成熟度レベル
5. How to Use This Model	5. 本モデルの活用方法
5.1. Step 0: Prepare	5.1. ステップ0：準備
5.2. Step 1: Assess	5.2. ステップ1：アセスメント
5.3. Step 2: Plan	5.3. ステップ2：計画
5.4. Step 3: Deploy	5.4. ステップ3：展開
5.5. Step 4: Measure	5.5. ステップ4：測定
6. CTI Maturity Indicators by Domain	6. ドメイン別CTI成熟度指標
6.1. Asset, Change, and Configuration Management (ASSET)	6.1. 資産・変更・構成管理（ASSET）
6.2. Threat and Vulnerability Management (THREAT)	6.2. 脅威・脆弱性管理（THREAT）
6.3. Risk Management (RISK)	6.3. リスクマネジメント（RISK）
6.4. Identity and Access Management (ACCESS)	6.4. 識別・アクセス管理（ACCESS）
6.5. Situational Awareness (SITUATION)	6.5. 状況認識（SITUATION）
6.6. Event and Incident Response, Continuity of Operations (RESPONSE).	6.6. イベント・インシデント対応、業務継続性（RESPONSE）
6.7. Third-Party Risk Management (THIRD-PARTIES)	6.7. サードパーティリスク管理（THIRD-PARTIES）
6.8. Fraud and Abuse Management (FRAUD)	6.8. 不正・濫用管理（FRAUD）
6.9. Workforce Management (WORKFORCE)	6.9. 労働力管理（WORKFORCE）
6.10. Cybersecurity Architecture (ARCHITECTURE)	6.10. サイバーセキュリティアーキテクチャ（ARCHITECTURE）
6.11. Cybersecurity Program Management (PROGRAM)	6.11. サイバーセキュリティプログラム管理（PROGRAM）
Appendices	附属書
A. Stakeholder Overview	A. ステークホルダー概要
B. Strategic, Operational, and Tactical Overview	B. 戦略的、運用的、戦術的概要
C. NEW CTI Metrics and Measurements	C. 新しいCTI指標と測定
D. NEW CTI Data Source Library	D. 新しいCTIデータソースライブラリ
E. NEW CTI Data Source Matrix	E. 新しいCTIデータソースマトリックス
F. Glossary of Key Terms	F. 重要用語集
Changelog	変更履歴
Acknowledgements	謝辞

11ドメイン...

CTI-CMM Domains	CTI-CMM ドメイン
The CTI-CMM is organized into 11 domains, representing organizational cyber security functions. Within each domain, we identify the function it serves ("Domain Purpose") then how CTI can provide support to this stakeholder ("CTI Mission").	CTI-CMMは11のドメインで構成され、組織のサイバーセキュリティ機能を表現する。各ドメインでは、その機能が担う役割（「ドメインの目的」）を識別し、CTIが当該ステークホルダーにどのように支援を提供できるか（「CTIの使命」）を明示する。
Asset, Change, and Configuration Management (ASSET)	資産・変更・構成管理（ASSET）
Domain Purpose: Manage the organization’s information technology (IT) and operational technology (OT) assets, including hardware, software, and information assets, commensurate with the risk to critical infrastructure and organizational objectives.	ドメイン目標：重要インフラと組織目標に対するリスクに見合った形で、ハードウェア、ソフトウェア、情報資産を含む組織の情報技術（IT）および運用技術（OT）資産を管理する。
CTI Mission: Monitor the organization’s attack surface to rapidly detect at-risk assets and reduce exposures based on the current and anticipated threat landscape.	CTIミッション：組織の攻撃対象領域を監視し、現在の脅威状況と予測される脅威に基づいて、リスクのある資産を迅速に検知し、エクスポージャーを減らす。
Threat and Vulnerability Management (THREAT)	脅威と脆弱性管理（THREAT）
Domain Purpose: Establish and maintain plans, procedures, and technologies to detect, identify, analyze, manage, and respond to cybersecurity threats and vulnerabilities commensurate with the risk to the organization’s infrastructure (such as critical, IT, and operational) and organizational objectives.	ドメイン目標：組織のインフラ（重要インフラ、IT、運用インフラなど）及び組織目標に対するリスクに見合ったサイバーセキュリティ脅威と脆弱性を検知、識別、分析、管理、対応するための計画、手順、技術を確立し維持する。
CTI Mission: Maintain comprehensive and contemporary knowledge of the relevant evolving threat landscape to reduce the organization’s risk against new and emerging adversaries, malware, vulnerabilities, and exploits.	CTIミッション：新たな脅威や新興の敵対者、マルウェア、脆弱性、エクスプロイトに対する組織のリスクを低減するため、関連する進化する脅威環境に関する包括的かつ最新の知識を維持する。
Risk Management (RISK)	リスクマネジメント（RISK）
Domain Purpose: Establish, operate, and maintain an enterprise cyber risk management program to identify, analyze, and respond to cyber risk the organization is subject to, including its business units, subsidiaries, related interconnected infrastructure, and stakeholders.	ドメイン目標：組織が直面するサイバーリスク（事業部門、子会社、関連する相互接続インフラ、利害関係者を含む）を識別、分析、対応するためのエンタープライズサイバーリスク管理プログラムを確立、運用、維持する。
CTI Mission: Align CTI with the organization’s risk management strategies to inform and prioritize risk reduction efforts. Improve risk decisions, assessments, and controls by identifying relevant threats and estimating likelihood and potential impact.	CTIミッション：CTIを組織のリスクマネジメント戦略と整合させ、リスク低減活動の優先順位付けと情報提供を行う。関連する脅威を識別し、発生確率と潜在的な影響を推定することで、リスクに関する意思決定、アセスメント、および統制を改善する。
Identity and Access Management (ACCESS)	アイデンティティおよびアクセス管理（ACCESS）
Domain Purpose: Create and manage identities for entities that may be granted logical or physical access to the organization’s assets. Control access to the organization’s assets commensurate with the risk to critical infrastructure and organizational objectives.	ドメインの目標：組織の資産への論理的または物理的アクセスを許可される可能性のある事業体のアイデンティティを作成し管理する。重要インフラおよび組織目標に対するリスクに見合った形で、組織の資産へのアクセスを統制する。
CTI Mission: Proactively inform identity and access management (IAM) strategies, reduce incident detection times, accelerate remediation, and enable continuous improvements to safeguard critical assets and build resilience against identity-related threats.	CTIミッション：アイデンティティとアクセス管理（IAM）戦略を積極的に情報提供し、インシデントの検知時間を短縮し、修復を加速し、継続的な改善を可能にして、重要資産を保護し、アイデンティティ関連の脅威に対するレジリエンスを構築する。
Situational Awareness (SITUATION)	状況認識（SITUATION）
Domain Purpose: Establish and maintain activities and technologies to collect, monitor, analyze, alarm, report, and use operational, security, and threat information, including status and summary information from the other model domains, to establish situational awareness for both the organization’s operational state and cybersecurity state.	ドメイン目標：組織の運用状態とサイバーセキュリティ状態の両方に対する状況認識を確立するため、他のモデルドメインからの状態および要約情報を含む、運用、セキュリティ、脅威情報の収集、監視、分析、警報、報告、利用を行う活動と技術を確立し維持する。
CTI Mission: Drive threat-informed decision-making for all stakeholders based on the current and forecasted threat landscape relative to the organization. Reduce uncertainty and increase predictability of the threat environment to create a commensurate state of security readiness.	CTIミッション：組織に関連する現在および予測される脅威状況に基づき、全ての関係者に対する脅威情報を踏まえた意思決定を推進する。脅威環境の不確実性を低減し予測可能性を高め、それに見合ったセキュリティ準備態勢を構築する。
Event and Incident Response, Continuity of Operations (RESPONSE)	イベント・インシデント対応、業務継続性（RESPONSE）
Domain Purpose: Establish and maintain plans, procedures, and technologies to detect, analyze, mitigate, respond to, and recover from cybersecurity events and incidents and to sustain operations during cybersecurity incidents commensurate with the risk to critical infrastructure and organizational objectives.	ドメイン目標：重要インフラと組織目標へのリスクに見合ったサイバーセキュリティイベント・インシデントの検知、分析、緩和、対応、復旧、ならびにインシデント発生時の業務維持のための計画、手順、技術を確立・維持する。
CTI Mission: Capture, correlate, prioritize, and enrich intrusion activity in the enterprise environment to create an advantage for incident responders and strengthen the organization’s overall security posture.	CTIミッション：エンタープライズ環境における侵入活動を収集、相関分析、優先順位付け、強化し、インシデント対応者の優位性を創出し、組織全体のセキュリティ態勢を強化する。
Third-Party Risk Management (THIRD-PARTIES)	サードパーティリスク管理（THIRD-PARTIES）
Domain Purpose: Establish and maintain controls to manage the cyber risks arising from suppliers and other third parties commensurate with the risk to critical infrastructure and organizational objectives.	ドメイン目標：サプライヤーやその他のサードパーティから生じるサイバーリスクを、重要インフラと組織目標に対するリスクに見合った形で管理するための統制を確立・維持する。
CTI Mission: Strengthen third-party risk management by continuously monitoring, detecting, assessing, and mitigating potential incidents posed by third-party vendors and suppliers. Enhance vendor risk profile evaluations and prioritization using threat intelligence insights and recommendations.	CTIミッション：サードパーティベンダーやサプライヤーが引き起こす潜在的なインシデントを継続的に監視、検知、評価、緩和することで、サードパーティリスク管理を強化する。脅威インテリジェンスの知見と提言を活用し、ベンダーリスクプロファイルの評価と優先順位付けを向上させる。
Workforce Management (WORKFORCE)	人材管理（WORKFORCE）
Domain Purpose: Establish and maintain plans, procedures, technologies, and controls to create a culture of cybersecurity and to ensure the ongoing suitability and competence of personnel commensurate with the risk to critical infrastructure and organizational objectives.	ドメイン目標：重要インフラと組織目標に対するリスクに見合った、サイバーセキュリティ文化の醸成と、要員の継続的な適格性・能力確保のための計画、手順、技術、統制を確立し維持する。
CTI Mission: Support hardening of the human element of the organization’s attack surface by enhancing workforce management initiatives with insights into adversary tactics and organization-specific risks.	CTIミッション：敵対者の戦術や組織固有のリスクに関する知見を用いて人材管理施策を強化し、組織の攻撃対象領域における人的要素の強化を支援する。
Cybersecurity Architecture (ARCHITECTURE)	サイバーセキュリティアーキテクチャ（ARCHITECTURE）
Domain Purpose: Establish and maintain the structure and behavior of the organization’s cybersecurity architecture, including controls, processes, technologies, and other elements, commensurate with the risk to critical infrastructure and organizational objectives.	ドメイン目標：重要インフラと組織目標に対するリスクに見合った、制御、プロセス、技術、その他の要素を含む組織のサイバーセキュリティアーキテクチャの構造と動作を確立・維持する。
CTI Mission: Support the enterprise-wide effort to develop a robust and resilient IT architecture by providing insights into cyber threats potentially targeting the organization and recommending system and information security practices designed to combat them. This should account for current and emerging threats with such recommendations to include hardening, mitigation, and remediation guidance.	CTIミッション：組織を標的とする可能性のあるサイバー脅威に関する知見を提供し、それらに対抗するためのシステムおよび情報セキュリティ対策を実施することで、強固でレジリエントなITアーキテクチャを構築するエンタープライズ規模の取り組みを支援する。これには、既存および新興の脅威を考慮し、強化策、緩和策、修復策のガイダンスを含む推奨事項を含めるべきである。
Program Management (PROGRAM)	プログラム管理（PROGRAM）
Domain Purpose: Establish and maintain an enterprise cybersecurity program that provides governance, strategic planning, and sponsorship for the organization’s cybersecurity activities in a manner that aligns cybersecurity objectives with both the organization’s strategic objectives and the risk to critical infrastructure.	ドメイン目標：組織のサイバーセキュリティ目標を、組織の戦略目標および重要インフラへのリスクの両方と整合させる方法で、組織のサイバーセキュリティ活動に対するガバナンス、戦略的計画、および支援を提供するエンタープライズのサイバーセキュリティプログラムを確立し維持する。
CTI Mission: Empower informed decision-making for the entire cybersecurity program by aligning CTI operations to the organization’s strategic goals and delivering tailored intelligence inputs to inform cybersecurity decision-making from tactical to strategic levels.	CTIミッション：CTIの運用を組織の戦略目標に整合させ、戦術レベルから戦略レベルまでのサイバーセキュリティ意思決定に資する特化した情報入力を提供することで、サイバーセキュリティプログラム全体の情報に基づいた意思決定を可能にする。
Fraud and Abuse Management (FRAUD)	不正・悪用管理（FRAUD）
Domain Purpose: Shield the organization from malicious digital scams and attacks by hunting for emerging threats, sharing intelligence to strengthen defenses, and guiding response to safeguard data, finances, and reputation. This proactive shield against bad actors fosters a secure online environment for all.	ドメイン目標：新たな脅威の追跡、防御強化のための情報共有、データ・財務・評判を守る対応の指導を通じて、組織を悪意あるデジタル詐欺や攻撃から守る。この悪意ある行為者に対する予防的防御は、全ての人にとって安全なオンライン環境を育む。
CTI Mission: Create awareness around new and emerging trends in fraud and brand protection. Detect, assess, and mitigate fraudulent activities to reduce risk against the organization’s employees, customers, and brand.	CTIミッション：詐欺とブランド保護における新たな動向に関する認識を高める。組織の従業員、顧客、ブランドに対するリスクを低減するため、不正行為を検知、評価、軽減する。

ちょっと整理...

CTI-CMM ドメイン
CTI-CMMは11のドメインで構成され、組織のサイバーセキュリティ機能を表現する。各ドメインでは、その機能が担う役割（「ドメイン目標」）を識別し、CTIが当該ステークホルダーにどのように支援を提供できるか（「CTIミッション」）を明示する。
ドメイン	ドメイン目標	CTIミッション
資産・変更・構成管理 （ASSET）	重要インフラと組織目標に対するリスクに見合った形で、ハードウェア、ソフトウェア、情報資産を含む組織の情報技術（IT）および運用技術（OT）資産を管理する。	組織の攻撃対象領域を監視し、現在の脅威状況と予測される脅威に基づいて、リスクのある資産を迅速に検知し、エクスポージャーを減らす。
脅威と脆弱性管理 （THREAT）	組織のインフラ（重要インフラ、IT、運用インフラなど）及び組織目標に対するリスクに見合ったサイバーセキュリティ脅威と脆弱性を検知、識別、分析、管理、対応するための計画、手順、技術を確立し維持する。	新たな脅威や新興の敵対者、マルウェア、脆弱性、エクスプロイトに対する組織のリスクを低減するため、関連する進化する脅威環境に関する包括的かつ最新の知識を維持する。
リスクマネジメント （RISK）	組織が直面するサイバーリスク（事業部門、子会社、関連する相互接続インフラ、利害関係者を含む）を識別、分析、対応するためのエンタープライズサイバーリスク管理プログラムを確立、運用、維持する。	CTIを組織のリスクマネジメント戦略と整合させ、リスク低減活動の優先順位付けと情報提供を行う。関連する脅威を識別し、発生確率と潜在的な影響を推定することで、リスクに関する意思決定、アセスメント、および統制を改善する。
アイデンティティおよびアクセス管理 （ACCESS）	組織の資産への論理的または物理的アクセスを許可される可能性のある事業体のアイデンティティを作成し管理する。重要インフラおよび組織目標に対するリスクに見合った形で、組織の資産へのアクセスを統制する。	アイデンティティとアクセス管理（IAM）戦略を積極的に情報提供し、インシデントの検知時間を短縮し、修復を加速し、継続的な改善を可能にして、重要資産を保護し、アイデンティティ関連の脅威に対するレジリエンスを構築する。
状況認識 （SITUATION）	組織の運用状態とサイバーセキュリティ状態の両方に対する状況認識を確立するため、他のモデルドメインからの状態および要約情報を含む、運用、セキュリティ、脅威情報の収集、監視、分析、警報、報告、利用を行う活動と技術を確立し維持する。	組織に関連する現在および予測される脅威状況に基づき、全ての関係者に対する脅威情報を踏まえた意思決定を推進する。脅威環境の不確実性を低減し予測可能性を高め、それに見合ったセキュリティ準備態勢を構築する。
イベント・インシデント対応、業務継続性 （RESPONSE）	重要インフラと組織目標へのリスクに見合ったサイバーセキュリティイベント・インシデントの検知、分析、緩和、対応、復旧、ならびにインシデント発生時の業務維持のための計画、手順、技術を確立・維持する。	エンタープライズ環境における侵入活動を収集、相関分析、優先順位付け、強化し、インシデント対応者の優位性を創出し、組織全体のセキュリティ態勢を強化する。
サードパーティリスク管理 （THIRD-PARTIES）	サプライヤーやその他のサードパーティから生じるサイバーリスクを、重要インフラと組織目標に対するリスクに見合った形で管理するための統制を確立・維持する。	サードパーティベンダーやサプライヤーが引き起こす潜在的なインシデントを継続的に監視、検知、評価、緩和することで、サードパーティリスク管理を強化する。脅威インテリジェンスの知見と提言を活用し、ベンダーリスクプロファイルの評価と優先順位付けを向上させる。
人材管理 （WORKFORCE）	重要インフラと組織目標に対するリスクに見合った、サイバーセキュリティ文化の醸成と、要員の継続的な適格性・能力確保のための計画、手順、技術、統制を確立し維持する。	敵対者の戦術や組織固有のリスクに関する知見を用いて人材管理施策を強化し、組織の攻撃対象領域における人的要素の強化を支援する。
サイバーセキュリティアーキテクチャ （ARCHITECTURE）	重要インフラと組織目標に対するリスクに見合った、制御、プロセス、技術、その他の要素を含む組織のサイバーセキュリティアーキテクチャの構造と動作を確立・維持する。	組織を標的とする可能性のあるサイバー脅威に関する知見を提供し、それらに対抗するためのシステムおよび情報セキュリティ対策を実施することで、強固でレジリエントなITアーキテクチャを構築するエンタープライズ規模の取り組みを支援する。これには、既存および新興の脅威を考慮し、強化策、緩和策、修復策のガイダンスを含む推奨事項を含めるべきである。
プログラム管理 （PROGRAM）	組織のサイバーセキュリティ目標を、組織の戦略目標および重要インフラへのリスクの両方と整合させる方法で、組織のサイバーセキュリティ活動に対するガバナンス、戦略的計画、および支援を提供するエンタープライズのサイバーセキュリティプログラムを確立し維持する。	CTIの運用を組織の戦略目標に整合させ、戦術レベルから戦略レベルまでのサイバーセキュリティ意思決定に資する特化した情報入力を提供することで、サイバーセキュリティプログラム全体の情報に基づいた意思決定を可能にする。
不正・悪用管理 （FRAUD）	新たな脅威の追跡、防御強化のための情報共有、データ・財務・評判を守る対応の指導を通じて、組織を悪意あるデジタル詐欺や攻撃から守る。この悪意ある行為者に対する予防的防御は、全ての人にとって安全なオンライン環境を育む。	詐欺とブランド保護における新たな動向に関する認識を高める。組織の従業員、顧客、ブランドに対するリスクを低減するため、不正行為を検知、評価、軽減する。

---

紹介 クロスセクター・サイバーセキュリティ法 蔦大輔監修 森・濱田松本法律事務所

こんにちは、丸山満彦です。

蔦大輔さんが監修で 森・濱田松本法律事務所外国法共同事業（サイバーセッキュリティ法研究チーム）著で[amazon]「クロスセクター・サイバーセキュリティ法」が商事法務から出版されていますね...

帯はNTTセキュリティCEOの横浜さん。「圧倒されました。基本用語からAIや宇宙など最先端まで、サイバーセキュリティに関わるリーガルイシューすべてを網羅。現場実務に寄り添った法務解説が満載のデジタル社会ではすべての会社に必携の１冊」

クロスセクターというのが、まさにポイントですね...サイバーセキュリティ単独の法律問題というよりも、実務がサイバーとフィジカルな空間で融合して行われてきているということから、サイバー（デジタル）空間での活動量が増えるとことによる変化が各分野でどのようにおこるのか？という視点でまとめられているように思いました...そういう意味では、ここまで網羅的に書籍をまとめるというのは大変な話で、かつ大手の法律事務所だからこそできたという面はあるかもしれません。。。

No.00 法律（総論）	サイバーセキュリティに関連する様々な法令
第1部 主要法分野
No.01 会社法	内部統制システムの構築とランサムウェア対応
No.02 ディスクロージャー	金融商品取引法を中心とするサイバーセキュリティ関連の情報開示
No.03 個人情報保護法	個人データ漏えい等対応における諸論点
No.04 営業秘密保護	機密情報の持ち出し・持込への対応
No.05 独禁法・競争法	サイバーセキュリティ向上のための取組に際して独禁法・競争法上留意すべき事項
No.06 労働法	セキュリティ目的でのモニタリングと雇用管理上の諸論点
No.07 システム開発	裁判例からみるシステムベンダとの関係
No.08 弁護士実務（Column）	弁護士実務におけるセキュリティの重要性
No.09 刑事法	サイバーセキュリティに関する犯罪に対する刑事的分析および実務対応
No.10 危機管理	外部からのサイバー攻撃を念頭に置いた危機管理対応
No.11 M&A	デュー・ディリジェンス、契約条項、FDI規制
No.12 経済安全保障①	外為法に基づく輸出管理・投資管理・経済制裁とサイバーセキュリティ
No.13 経済安全保障②	セキュリティ・クリアランス
第2部 各種インフラ
No.14 インフラ防護	能動的サイバー防御を含む重要インフラ・基幹インフラの防護とサプライチェーン・リスク対策
No.15 金融	金融分野におけるサイバーセキュリティ
No.16 保険関連法	サイバー保険に関する諸論点
No.17 エネルギー・インフラ	電気事業におけるサイバーセキュリティ対策
No.18 通信インフラ	電気通信事業者におけるセキュリティ対策と通信の秘密
No.19 データセンタービジネス（Column）	データセンター事業の発達とセキュリティ対策
No.20 医療	医療機関・医療機器のサイバーセキュリティ
No.21 モビリティ	自動車のサイバーセキュリティ保安基準と自動運転に関する諸論点
No.22 空・海のインフラ（Column）	航空・船舶とサイバーセキュリティの諸論点
第3部 応用・複合分野
No.23 クラウド	クラウドサービスのセキュリティに関する法令等と実務対応
No.24 IoT	IoT機器のセキュリティ
No.25 ECサイト	クレジットカード情報の取扱いに係る留意点
No.26 防災	サイバーリスクに備えたBCPの策定
No.27 AI	AI技術の進化と、AIとセキュリティに関する法的課題
No.28 メタバース	メタバースに関する官民の取組とデジタルアイデンティティ
No.29 宇宙（Column）	宇宙事業の拡大とサイバーセキュリティの重要性
No.30 Fintech	資金決済法に関する事業者におけるセキュリティ対策
No.31 DFFT（Column）	国際的なデータ流通の枠組みを日本が主導するために企業に求められる対応
第4部 国際法務
No.32 アジア法務	シンガポール、タイ、ベトナム、インドネシアにおけるサイバーセキュリティ法制
No.33 中国法務	いわゆるデータ三法とサイバーセキュリティ
No.34 EU 法務	EUにおけるサイバーセキュリティ分野の法規制
No.35 アメリカ法務	アメリカにおけるサイバーセキュリティ関連法規制
No.36 イスラエル法務	サイバーセキュリティビジネスのエコシステムとイスラエル法

・書籍...

みなさん、是非、ご一読を...

ちなみに、アフェリエイトではないです(^^)...

経済産業省 半導体デバイス工場におけるOTセキュリティガイドライン (2025.10.24)

こんにちは、丸山満彦です。

経済産業省が、半導体デバイス工場におけるOTセキュリティガイドラインを公表しています。

このガイドラインを策定した背景については、

---

汎用的な組立型の工場向けに「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を策定し公表しているが、半導体デバイス工場は一般的にプロセスオートメーション（PA）型に近い特徴を持った工場であり、工場の規模が大きく、汎用OSを用いた製造装置の台数が多い等の特徴があることから、新たに半導体デバイス工場向けに本ガイドラインを策定した。

---

ということのようです。

OTと書いている通り、対象はOTとなっています。

半導体デバイス工場向けのガイドラインをつくりたくなる気持ちはわかるのですが、こんなにパターン分けしてガイドラインをつくっているとガイドラインが氾濫してくることになり、（今回のガイドラインは違いますが......）一つの会社でいくつものガイドラインに合わせていかなくてはならなにくなっていくのではないか？

また、多くのガイドラインのメンテナンスも大変なのではないか？

とか、いろいろと考えないといけない点がありそうですね...

そういう意味では、米国のCSFのプロファイルの考え方は参考になるかもですね...

制度を作る前の制度設計ですかね...

● 経済産業省

・半導体デバイス工場におけるOTセキュリティガイドライン

・・[PDF] 半導体デバイス工場におけるOTセキュリティガイドラインVer1.0 

・・[PDF] 「半導体デバイス工場におけるOTセキュリティガイドライン」概要資料 

英語版もあります...

・・[PDF] OT Security Guidelines for Semiconductor Device Factories

・・[PDF] Summary of "OT Security Guidelines for Semiconductor Device Factories"

こちらの関連リンクも参考なります...

関連リンク

・産業サイバーセキュリティ研究会 ワーキンググループ1 半導体産業サブワーキンググループ

・サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）とその展開

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2025.07.05 米国 NIST CSWP 46 半導体サプライチェーンにおける共謀脅威の分析 (2025.06.30)

・2025.07.05 経済産業省 「半導体デバイス工場におけるOTセキュリティガイドライン（案）」(2025.06.27)

・2025.03.11 米国 NIST IR 8546（初期公開ドラフト）サイバーセキュリティフレームワーク2.0 半導体製造プロファイル (2025.02.27)

・2022.02.24 半導体製造業界：SEMI E187 - ファブ装置のサイバーセキュリティに関する仕様 ・ SEMI E188 - マルウェアフリー機器統合のための仕様

国家サイバー統括室 警察庁 国際文書「最新の防御可能なアーキテクチャのための基礎」への共同署名について (2025.10.23)

こんにちは、丸山満彦です。

国家サイバー統括室と警察庁が、国際文書「最新の防御可能なアーキテクチャのための基礎」への共同署名をしたと発表していますね...

この文書は、オーストラリア通信情報局国家サイバーセキュリティセンターが今年の2月に公表した文書の改訂版？のようです...

策定の目的は

• 最新の防御可能なアーキテクチャのための基礎は、豪州のインシデント対応やセキュリティテスト実施等の経験等を踏まえ、各組織が、サイバー脅威に対応したシステムの構築、維持、更新、強化のために役に立つアプローチを提供する

ということのようです...

この文書は、

• 最新の防御可能なアーキテクチャのための基礎
• 上級意思決定者向けの最新の防御可能なアーキテクチャ
• 最新の防御可能なアーキテクチャへの投資

と題する３つのガイダンスから構成されていますね...

共同署名は、オーストラリア、日本、ドイツ、カナダ、ニュージーランド、韓国、チェコの7カ国でおこなわれたようです...

共同署名した理由は、

• 各組織におけるサイバー脅威に対応したシステムの構築、維持、更新、強化の促進は、我が国のサイバーセキュリティ環境の向上に資する

ということのようです...

この共同署名の日本にとっての効果はなんなんでしょうね...

ちなみに、共同署名に名前を連ねている日本の機関は国家サイバー統括室、警察庁、JPCERT/CCですね...JPCERT/CCからは公表されていませんが...

あと、Assuranceを保障としてますが、保証ですね...

● 国家サイバー統括室

・[PDF] 国際文書「最新の防御可能なアーキテクチャのための基礎」への共同署名について

---

１．本件文書の概要

（1）背景・目的

本文書は、豪州のインシデント対応やセキュリティテスト実施等の経験等を踏まえ、各組織が、サイバー脅威に対応したシステムの構築、維持、更新、強化のために役に立つアプローチを提供する。

（2）最新の防御可能なアーキテクチャを導入するための１０の原則

・ 一元管理された企業 ID：ID を一元管理することで可視性と正確性を向上させ、ID 侵害の可能性と影響を軽減する。

・ 高い信頼性の認証：強力で信頼性の高い認証方法を使用し、認証の不正利用等を防止する。

・ 文脈に沿った承認：アクセスの認証に際し、ユーザーとシステムとの継続的なやりとり、前後関係や文脈に沿った認証を行うことで、より信頼性のある正確な認証が可能となる。

・ 信頼性ある資産一覧：一元的な資産一覧により、エンドポイント、ネットワーク、アプリケーション、暗号資産、保存データ等の組織が所有する資産の完全かつ包括的な知識を得る。

・ 安全なエンドポイント：検証された強靱なエンドポイントを用いることで、サイバー攻撃の影響を制限する。

・ 制限された攻撃経路：攻撃経路を制限することで、正しい場所における、より質の高い緩和策を講じることが可能になる。

・ 強靭なネットワーク：障害耐性があり、サイバー攻撃に対して強靱で、横展開や縦移動の制限を通じて、データを保護するためのネットワー クを実現する。

・ セキュア・バイ・デザインのソフトウェア：ハードウェア・ソフトウェ アが、セキュリティ第一の原則等を通じて設計等され、プライバシー とデータを保護し、セキュリティの維持を確保する。

・ 包括的な保障と管理：セキュリティ対策について、緩和策とビジネスの 双方の有効性が確保されるよう検証する。

・ 継続的かつ実行可能なモニタリング：リアルタイムで自動化された監 視を通じて、組織の環境等に対する行動を可視化する。

---

● 警察庁

・2025.10.23 国際文書「最新の防御可能なアーキテクチャのための基礎」への共同署名について

・[PDF] 国際文書「最新の防御可能なアーキテクチャのための基礎」への共同署名について

---

肝心の原文はこちら

● Australia Cyber Security Centre

・2025.10.23 Modern defensible architecture

10の原則のサマリー...

Summary of the MDA Foundations	MDA基盤の概要
Centrally managed enterprise identities	一元管理された企業アイデンティティ
A reduced number of authoritative sources for enterprise identities by using centrally managed solutions. Enhanced visibility and accuracy of identities’ registrations will reduce the likelihood and impact of identity compromise.	一元管理ソリューションにより、企業アイデンティティの権威ある情報源を削減する。アイデンティティ登録の可視性と正確性が向上することで、アイデンティティ侵害の可能性と影響を低減する。
High confidence authentication	高信頼性認証
Strong and trustworthy authentication methods are used for all authentication events. Ensure that authentication events provide non-repudiation and prevent known authentication exploits. Re-authentication or access revocation is triggered when confidence in an entity drops.	全ての認証イベントにおいて強力で信頼性の高い認証手法を採用する。認証イベントが否認防止性を提供し、既知の認証脆弱性を防止することを保証する。エンティティへの信頼性が低下した場合、再認証またはアクセス権限の取り消しをトリガーする。
Contextual authorisation	状況に応じた認可
Authorisation to enterprise resources is initially and continuously validated, using the context of the sessions and resources to gain confidence in the request. High fidelity signals allow for higher confidence levels and more accurate authorisation.	企業リソースへの認可は、セッションとリソースの状況を基に、要求に対する信頼性を獲得するため、初期段階から継続的に検証される。高精度なシグナルにより、より高い信頼レベルと正確な認可が可能となる。
Reliable asset inventory	信頼性の高い資産インベントリ
A centralised repository has a complete and comprehensive knowledge of all endpoints, networks, applications, cryptographic assets and data stores that contain organisational information. Only with full visibility can an organisation truly assess the risks to the assets they own and operate.	中央リポジトリは、組織情報を含む全てのエンドポイント、ネットワーク、アプリケーション、暗号資産、データストアに関する完全かつ包括的な知識を有する。完全な可視性をもって初めて、組織は自らが所有・運用する資産へのリスクを真に評価できる。
Secure endpoints	セキュアなエンドポイント
Endpoints are resilient to cyber threats, compliant with organisational policy and continually provide contextual information to inform external systems. Trusting only validated resilient endpoints is key to limiting the impact of any compromise.	エンドポイントはサイバー脅威に対する耐性を有し、組織ポリシーに準拠し、外部システムに情報を提供するためのコンテキスト情報を継続的に提供する。検証済みの耐性のあるエンドポイントのみを信頼することが、侵害の影響を制限する鍵である。
Reduced attack surface	攻撃対象領域の縮小
A reduced number of possible attack surfaces that could be exploited. Limiting the avenues of attack allows for higher quality and concentration of mitigations in the correct places.	悪用される可能性のある攻撃対象領域の数を削減する。攻撃経路を制限することで、適切な場所での高品質かつ集中的な対策が可能となる。
Resilient networks	耐障害性ネットワーク
Networks are tolerant to failure, resilient to attacks and protect data through the restriction of lateral (east/west) and vertical (north/south) movement to authorised requests. Protecting business functionality by limiting requests to only those authorised is vital for continued uninterrupted operations.	ネットワークは障害に耐性があり、攻撃に対して回復力を持つ。許可された要求に限定して横方向（イースト/ウェスト）および縦方向（ノース/サウス）の移動を制限することでデータを保護する。承認されたリクエストのみに制限することでビジネス機能を保護することは、継続的な業務中断のない運営に不可欠である。
Secure-by-Design	設計段階からのセキュリティ確保
Hardware and software are designed, built, validated, delivered and supported through security-first principles and practices, with known exploitable weaknesses reported and actioned throughout the life cycle of assets. Secure-by-Design’s core value is to protect privacy and data and ensure security is maintained.	ハードウェアとソフトウェアは、セキュリティを最優先とする原則と実践に基づき設計、構築、検証、提供、サポートされる。資産のライフサイクル全体を通じて、既知の悪用可能な弱点は報告され、対応が実施される。設計段階からのセキュリティ確保の中核的価値は、プライバシーとデータを保護し、セキュリティが維持されることを保証することにある。
Comprehensive validation and assurance	包括的な検証と保証
Cohesion between business and security objectives is continually validated through assurance activities. Security measures must be validated to ensure their effectiveness as both a mitigation and as to support business functions.	保証活動を通じて、ビジネス目標とセキュリティ目標の整合性が継続的に検証される。セキュリティ対策は、リスク軽減手段としての有効性とビジネス機能支援の両面において、その効果を検証されなければならない。
Continuous and actionable monitoring	継続的かつ実行可能な監視
Real-time automated visibility and response using trusted high-fidelity and quality inputs. Without visibility organisations have less traceability and it will be harder to act when required.	信頼性の高い高精度・高品質な入力データを用いた、リアルタイムの自動可視化と対応。可視性がなければ組織の追跡可能性は低下し、必要な対応が困難になる。

・2025.10.23 Modern defensible architecture

・[PDF]

Foundations for modern defensible architecture	現代の防御可能なアーキテクチャの基盤
Introduction	はじめに
Document purpose	文書の目的
Audience and scope	対象読者および範囲
What is modern defensible architecture?	現代的な防御可能なアーキテクチャとは何か
Key concepts	主要な概念
Layered architecture and traceability	階層型アーキテクチャとトレーサビリティ
Zero trust and zero trust architecture	ゼロトラストとゼロトラストアーキテクチャ
Authorisation model	認可モデル
Confidence signals	信頼性シグナル
Policy enforcement points	ポリシー適用ポイント
The MDA Foundations	MDAの基盤
Summary of the MDA Foundations	MDA基盤の概要
Foundation 1: Centrally managed enterprise identities	基盤1：一元管理された企業アイデンティティ
Foundation 2: High confidence authentication	基盤2：高信頼性認証
Foundation 3: Contextual authorisation	基盤3：コンテキストに基づく認可
Foundation 4: Reliable asset inventory	基盤4：信頼性の高い資産インベントリ
Foundation 5: Secure endpoints	基盤5：セキュアなエンドポイント
Foundation 6: Reduced attack surface	基盤6：攻撃対象領域の縮小
Foundation 7: Resilient networks	基盤7：回復力のあるネットワーク
Foundation 8: Secure-by-Design	基盤8：設計段階からのセキュリティ
Foundation 9: Comprehensive validation and assurance	基盤9：包括的な検証と保証
Foundation 10: Continuous and actionable monitoring	基盤10：継続的かつ実用的な監視
Annex A: Threat context	附属書A：脅威の文脈
Overview	概要
Summary of MITRE ATT&CK tactics alignment	MITRE ATT&CK戦術との整合性の概要
Alignment by Foundation	基盤ごとの整合性
Supplementary information	補足情報

・2025.10.23 Modern defensible architecture for senior decision-makers

・[PDF] 

Modern defensible architecture for senior decision-maker	上級意思決定者向けの現代的な防御可能なアーキテクチャ
Executive summary	エグゼクティブサマリー
Document purpose	文書の目的
Audience and scope	対象読者および範囲
The case for change	変更の必要性
What is security architecture?	セキュリティアーキテクチャとは何か
What is modern defensible architecture?	現代的な防御可能なアーキテクチャとは何か
Foundations for modern defensible architecture	現代的な防御可能なアーキテクチャの基盤
Investing in modern defensible architecture	現代的な防御可能なアーキテクチャへの投資
Enabling a modern defensible architecture	現代的な防御可能なアーキテクチャの実現
Overview	概要
Key factors for senior decision-makers to consider	上級意思決定者が考慮すべき主要要素
Key questions senior decision-makers should raise	上級意思決定者が提起すべき主要な質問
Conclusion	結論
Footnotes	注記

¥

・2025.10.23 Investing in modern defensible architecture

・[PDF] 

Investing in modern defensible architecture	現代の防御可能な建築に投資する
Introduction	はじめに
Document purpose	ドキュメントの目的
Modern defensible architecture	現代の防御可能なアーキテクチャ
Audience and scope	読者と範囲
Supporting material	サポート資料
Develop an MDA investment roadmap	MDA投資ロードマップを作成する
Stage 1 – Map organisation strategy to MDA Foundations	ステージ1 - 組織戦略とMDA基礎のマッピング
Generational approach	世代別アプローチ
Business objectives	ビジネス目標
Security objectives	セキュリティ目標
Threats and risks	脅威とリスク
Prioritised MDA Foundations	優先順位を付けたMDA基盤
Stage 2 – Identify people and skills	ステージ2 - 人とスキルの特定
Roles and responsibilities	役割と責任
Security personnel	セキュリティ要員
Supporting personnel	サポート要員
Executives	経営幹部
Employees	従業員
Customers	顧客
Training	トレーニング
Stage 3 – Assess technology	ステージ3 - 技術の評価
Technology stocktake	技術の棚卸し
Technology life cycles	技術ライフサイクル
New technology	新技術
Procurement	調達
Technology sustainment	技術の維持
Workloads	ワークロード
Management and support	管理とサポート
Annex	アネックス
Roles for the MDA Foundations	MDA基盤の役割

---