セキュリティニュース

概要

個人情報保護委員会は 2026 年 10 月 7 日、「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を公表しました。広く普及したサービスで大量の個人情報を扱う事業者が不正アクセスを受け、大量の個人データが漏えいした（またはそのおそれがある）事案に接しているとして、とくに大量の個人情報や機微な情報、財産的被害や詐欺につながるおそれのある情報を保有する事業者に適正な取扱いを求めています。

注意喚起では、2026 年 9 月 16 日の第 369 回委員会で決議した、ガイドライン（通則編）別添の「手法の例示」の見直しについて、確定は来年 4 月の予定としたうえで、技術的安全管理措置の見直し後の内容を先取りして別紙で示しました。別紙には、組織外からのアクセスや管理者権限でのアクセスへの多要素認証（フィッシングに耐性のあるものを含む）、アクセス要求ごとに場所・時間・端末の状態などを評価してアクセスを判断する仕組み、IDS/IPS・EDR などによる常時監視、ログの保管と改ざんからの保護などが挙げられています。あわせて、法第 22 条に基づき利用する必要がなくなった個人データを遅滞なく消去するよう改めて促し、「WARNING～不正アクセスによる個人データ漏えい防止のための注意喚起～」も同日付で改訂しました（API が悪用される事例を含む 9 つの事例と対策例を掲載）。

日本企業への影響と対応のポイント

• 関係するのは、個人データを扱うすべての事業者で、とくに会員・顧客の情報を大量に持つサービス事業者と、グループ会社・海外拠点・委託先・クラウドサービスを通じて個人データを扱う企業です
• 見直しの確定は来年 4 月の予定ですが、先行公表された手法例と自社の技術的安全管理措置（多要素認証の適用範囲、ログの保管と分析、API の棚卸しなど）を照らし合わせ、差のある項目から対応を計画することを推奨します。保有している個人データの必要性を、法令上の保存期間とあわせて確認するとよいでしょう

出典

• 大規模な漏えい等事案を踏まえた対応について（注意喚起）（2026-10-07・個人情報保護委員会）

概要

金融庁は 2026 年 10 月 9 日、「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」を公表しました。インターネットに公開された顧客向けサービスや業務システムへの不正アクセスが増え、運転免許証などの本人確認書類の画像を含む顧客情報が漏えいしていること、なりすましの手口が巧妙になっていることを背景に挙げています。

金融機関等への要請は 3 点です。(1) 同日公表の国家サイバー統括室の注意喚起や今後明らかになる攻撃の原因・手口を踏まえ、第三者リスク管理やインシデント対応態勢を含むサイバー対策を点検し、不足があれば速やかに対応すること、(2) 非対面の本人確認で、本人確認書類の画像や顧客の容貌の画像に不自然な点がないかを徹底して確認すること、(3) 犯罪収益移転防止法施行規則の改正により 2027 年 4 月 1 日から本人確認書類の画像送信を受ける方法が廃止され、IC チップ情報の読取りに原則一本化されることを踏まえ、施行日を待たずにできるだけ早く対応すること、です。

日本企業への影響と対応のポイント

• 関係するのは、銀行・証券・保険・資金移動業者など非対面で口座開設や取引申込を受け付ける金融機関等と、本人確認（eKYC）の仕組みを提供・運用する事業者です
• 画像送信方式に頼っている場合は、IC チップ読取り方式への移行計画を前倒しで確認することを推奨します。あわせて、国家サイバー統括室の注意喚起（同日の記事）の項目に沿って、委託先を含むサイバー対策の点検を進めるとよいでしょう

出典

• 現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について（2026-10-09・金融庁）

概要

米国の規制審査の公開システム RegInfo.gov によると、国土安全保障省 サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の「Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) Reporting Requirements」（RIN 1670-AA04）の最終規則が 2026 年 10 月 1 日に行政管理予算局（OMB）の情報・規制問題室（OIRA）に受理され、審査中（Pending Review）となっています。CIRCIA は重要インフラ分野の対象事業者に、対象となるサイバーインシデントを発生したと合理的に判断してから 72 時間以内に、ランサムウェア攻撃に伴う身代金の支払いを支払いから 24 時間以内に CISA へ報告することを求める法律で、CISA は 2024 年 4 月 4 日に規則案を公表していました。

CISA の CIRCIA ページは、報告は最終規則の発効までは任意であると説明しています。最終規則の内容（対象事業者の範囲など）と公布・発効の時期はまだ公表されておらず、報道では年内の公布が見込まれています。規則の策定目標は 2025 年 10 月から 2026 年 5 月、さらに 9 月へと延期されていました。

日本企業への影響と対応のポイント

• 関係するのは、米国でエネルギー・医療・通信・製造・金融など重要インフラ 16 分野の事業を行う企業で、日本企業の米国子会社・拠点を含みます。日本国内のみで事業を行う企業に直接の義務はありません
• 該当しうる場合は、現時点では最終規則の公布を待ちつつ、米国拠点のインシデント判定から 72 時間以内に報告できる連絡体制と、SEC の開示規則など既存の報告義務との関係を整理しておくことを推奨します。対象範囲は最終規則の公布後に確認するのがよいと考えられます

出典

• Pending EO 12866 Regulatory Review（RIN 1670-AA04 の審査状況）（2026-10-01 受理・RegInfo.gov）
• Cyber Incident Reporting for Critical Infrastructure Act of 2022 (CIRCIA)（CISA）
• CIRCIA Reporting Requirements（規制計画の掲載内容）（RegInfo.gov）
• 補足: CISA Sends CIRCIA Final Rule for White House Review（2026-10-05・The HIPAA Journal）

概要

情報処理推進機構（IPA）は 2026 年 10 月 1 日、「情報セキュリティ早期警戒パートナーシップガイドライン」の 2026 年版を公開しました。このガイドラインは、ソフトウェア製品やウェブサイトの脆弱性関連情報を IPA と JPCERT/CC が受け付けて調整する枠組みについて、発見者・製品開発者・ウェブサイト運営者などの関係者に推奨する行為をまとめたものです。

IPA の案内によると、主な改訂点は次の 3 つです。

• ガイドラインの署名機関に情報通信研究機構（NICT）を追加
• NICT が脆弱性の発見者となり、NICT 法に基づいて製品開発者に助言・情報提供を行う場合に、製品開発者の負担軽減のため NICT と JPCERT/CC が緊密に連携する旨を追記
• 「重要電子計算機に対する不正な行為による被害の防止に関する法律」（サイバー対処能力強化法）等の施行への対応として、IPA から内閣府への脆弱性関連情報の通知と、その後の内閣府の対応について説明する付録を追加

報道によると、IPA は 2026 年 9 月に改訂案を公開し、9 月 24 日まで意見を募集していました。

日本企業への影響と対応のポイント

• 関係するのは、ソフトウェア製品やネットワーク機器を開発・販売している企業と、自社でウェブサイトを運営している企業です。ガイドラインは推奨事項をまとめたもので、今回の改訂で企業に新たな義務が加わるものではありません
• 製品開発者は、IPA・JPCERT/CC や NICT から脆弱性の連絡を受けたときの社内の受付窓口と対応手順を、2026 年版の内容に照らして確認しておくことを推奨します。ウェブサイト運営者は、IPA から脆弱性の通知が届いた場合の連絡先が最新になっているかを確認しておくと対応がしやすくなります

出典

• 情報セキュリティ早期警戒パートナーシップガイドライン（2026-10-01・IPA）
• 情報セキュリティ早期警戒パートナーシップガイドライン 2026 年版（PDF）（2026-10-01・IPA）
• 補足: IPA、脆弱性情報の早期警戒ガイドライン改訂案を公開 内閣府への通知やNICTとの連携を追加（2026-09・JAPANSecuritySummit Update）

概要

国家サイバー統括室（NCO）は、サイバーセキュリティポータルサイトで「サイバーセキュリティ関係法令Q&Aハンドブック」の Ver.3.0（PDF・約 5.7MB）を 2026 年 10 月に公開しました。ハンドブックは、企業における平時のサイバーセキュリティ対策とインシデント発生時の対応に関する法令上の事項を Q&A 形式で解説するもので、企業の効率的・効果的な対策と法令遵守の促進を目的としています。

INTERNET Watch の報道（10 月 5 日）によると、Ver.3.0 ではサイバー対処能力強化法（能動的サイバー防御の導入）をはじめとする国内外の関係法令・ガイドラインの制定・改正に対応したほか、法令の趣旨目的や利用主体に着目して目次を体系化し、付録として「サイバーセキュリティ法体系マッピング」が追加されました。

日本企業への影響と対応のポイント

• 新たな義務が生じるものではなく、企業が自社に関係する法令（個人情報保護法、不正アクセス禁止法、各業法など）を確認するための参考資料です。担当者が法務の専門家でなくても、目次の体系化によって「自社の立場で何が関係するか」を探しやすくなっています
• インシデント発生時の報告先や通知義務を事前に整理しておきたい企業は、該当する章に目を通し、社内の対応手順書に法令上の期限や連絡先を反映することを推奨します

出典

• サイバーセキュリティ関係法令Q&Aハンドブック（2026 年 10 月公開・内閣官房 国家サイバー統括室）
• Ver.3.0 PDF 版（内閣官房 国家サイバー統括室）
• 補足: 「サイバーセキュリティ関係法令Q&Aハンドブック Ver.3.0」公開、能動的サイバー防御などに対応（2026-10-05・INTERNET Watch）

概要

国家サイバー統括室（NCO）の重要インフラ対策ページによると、2026 年 10 月 1 日に「重要インフラのサイバーセキュリティ対策のための統一基準」（重要インフラ統一基準）が施行されました。あわせて、同室が 2026 年 9 月 11 日に策定した「重要インフラのサイバーセキュリティに係る安全基準等策定ガイドライン」も 10 月 1 日に施行され、「重要インフラのサイバーセキュリティに係る行動計画」は統一基準等の作成に伴って 9 月 14 日に改訂されています。統一基準は、重要インフラ分野の事業者が各分野の安全基準等を整備・運用する際の共通の基準で、本文と概要版が同ページで公開されています。

各種の解説によると、2025 年 5 月に成立したサイバー対処能力強化法（能動的サイバー防御の導入）も、一部の規定を除き同じ 2026 年 10 月 1 日に施行されています。重要インフラ分野の制度が同時期に動いているため、関係する事業者は両方をあわせて確認する必要があります。

日本企業への影響と対応のポイント

• 直接の対象は、情報通信・金融・電力・医療など重要インフラ分野の事業者です。ただし統一基準や各分野の安全基準等は委託先やサプライチェーンの管理も扱うため、重要インフラ事業者にシステムの開発・運用・保守などを提供している企業には、規模を問わず契約や監査を通じて対策の要請が及ぶ可能性があります
• 重要インフラ事業者と取引がある場合は、統一基準の概要（出典）に目を通し、取引先から求められうる事項（インシデント発生時の連絡、アクセス管理、委託先管理など）を確認しておくことを推奨します。取引がない場合は、当面は動向の把握にとどめてよいと考えられます

出典

• 重要インフラ対策関連（政策）（2026-10-01 施行の案内・国家サイバー統括室）
• 重要インフラのサイバーセキュリティ対策のための統一基準の概要（PDF）（国家サイバー統括室）
• 重要インフラのサイバーセキュリティに係る安全基準等策定ガイドライン（PDF）（2026-09-11 策定・国家サイバー統括室）
• 補足: 【2026年10月等施行】サイバー対処能力強化法とは？（契約ウォッチ）