一般の会社に、今日から増える義務はありません。政府が11月6日に決定した「サイバーセキュリティ緊急対策パッケージ」は、本文が内閣官房のサイトに出ており、会社に関わる施策には来年1月や3月といった時期がついています。1
もう1つ、総務省がドコモに出した行政指導は、先日の不正アクセスとは別の件です。申込画面を直したときに同意の文言が抜けたという型で、フォームの改修を外部に頼む会社なら、どこでも起こりうると言えそうです。
内閣官房・首相官邸
緊急対策パッケージを決定、会社に関わる施策には日付がある（11月6日）
政府は11月6日、第2回のサイバーセキュリティに関する関係閣僚会議で「サイバーセキュリティ緊急対策パッケージ」を決定しました。本文は27ページで、内閣官房の会議のページに概要と一緒に載っています。その前の朝の閣議では、すぐに要る約100億円の予備費を措置しました（首相官邸）。
柱は「AIも活用した基本的な対策の徹底」「情報収集・集約、捜査・分析体制の強化」「サイバー攻撃への対処の戦略的な実施」「被害者支援・被害拡大防止策の強化」の4つです。10月26日の第1回で首相が翌週中をめどに作るよう指示したもので、そのときの中身は第1回の会議の記事で確認できます。
一般の会社に、今日から増える義務はありません。ただ、本文には時期のついた施策がいくつかあり、会社の予定に重なります。
| 施策 |
時期 |
会社に関わること（編集部の見立て） |
| 個人情報保護委員会の安全管理措置のガイドラインの改正 |
令和9年1月中の施行を目指す |
個人データを扱う会社は、社内規程の見直しが年明けに来そう |
| 本人確認のために取った画像などの保存の基本ルール |
令和8年度中に業種ごとの注意喚起などを検討 |
免許証の画像を保存している会社は、保存の要否を先に見直せる |
| サプライチェーン強化に向けたセキュリティ対策評価制度 |
令和9年3月ごろに運用開始 |
評価を取った会社が被害に遭うと、関係する情報を求められる仕組みも入る |
| 被害企業からのログなどの証拠の収集 |
警察、内閣官房、所管省庁が要請 |
被害のあとにログの提供を頼まれる前提で、残す期間を決めておきたい |
| 開発契約と保守契約で、脆弱性への対応の担い手を決める点の普及 |
検討を進める |
PHPの重大な脆弱性を例に挙げている。委託先との契約を見直す材料になる |
11月5日の国家サイバー統括室の注意喚起は、このパッケージの最初の施策に入っています。総務省も6日、同じ注意喚起を所管の事業者と関係団体に伝えました。13ページの中身は、今週やることと委託先に聞くことの点検表で読めます。情報発信の例には「国内で悪用が確認された脆弱性の情報（日本版KEV）」も挙がっており、出てくれば更新の順番を決める材料が増えます。
この先の制度は、首相の指示から読めます。サイバー対処能力強化法の改正の検討に加え、基幹インフラ事業者からの報告を「できれば数時間、少なくとも同日中」に国へ届けることを目指すとしました。基幹インフラ事業者の報告の義務は10月1日に始まっており、中身は能動的サイバー防御の記事にあります。今の政府機関などに加えて、民間企業への不審な通信を国家サイバー統括室が把握・分析できる仕組みも、主要国の例を参考に検討します。こちらは法改正などまだ検討の段階です。
金融庁
利用者に「フィッシングに強い多要素認証」を求める（11月6日）
金融庁は、緊急対策パッケージの決定を受けて、金融機関の利用者へのお願いを出しました。漏れた情報を使った巧妙な不審メールが増えるおそれがあるとしています。挙げたのは、メールのリンクを安易に開かない、パスワードを使い回さない、フィッシング耐性のある多要素認証を使う、身に覚えのない取引の通知はすぐ金融機関に連絡する、の4つです。
宛先は個人の利用者ですが、そのまま社員への注意の文に使えます。会社のネットバンキングで、ワンタイムパスワードのSMSしか使っていない場合は、銀行がパスキー（FIDO）や電子証明書の方式を用意していないかを見ておきたいところです。専用のアプリやトークンの数字を打ち込む方式は、SMSよりは安全でも、偽サイトでその場で使われるおそれは残ります。
総務省
ドコモに行政指導、ドコモMAXの申込でアマゾンへ34万4,213人分（11月6日）
総務省は、NTTドコモに文書で行政指導をしました。11月5日に公表されたドコモオンラインショップなどへの不正アクセスとは別の件です。
指導の文書によると、ドコモMAXなどの料金プランのオンライン契約で申込の画面の流れを見直したとき、アマゾンジャパンへの情報の提供を説明する記載が注意事項から抜けました。担当の部門はそれに気づかないまま画面を確定し、有効な同意のないまま、約4か月にわたって34万4,213人分の電話番号と利用者識別子をアマゾンに送っていました。アマゾンの側では、アカウントと照らして本人を特定するための情報です。
アマゾンに送った目的は、特典サービスをまだ使っていない人への案内でした。総務省は、同意のない提供を電気通信事業法第27条の5の特定利用者情報の「漏えい」と扱い、「法に抵触」するとしています。ドコモの報告では、情報は使われないまま削除され、二次被害はありません。それでも総務省は「重大な過失」があったとし、12月末までに再発防止策の実施状況を文書で報告するよう求めています。
この件で情シスが学べるのは、原因の場所です。攻撃ではなく、画面の改修の確認の抜けでした。自社の申込や会員登録のフォームを直すとき、テストで見るのはたいてい入力と送信の動きで、同意の文言と、裏でどこに何を渡しているかの照らし合わせは抜けがちでしょう。ドコモは再発防止に、規約ごとの更新の責任者を決めることを挙げています。なお、第27条の5がかかるのは、指定を受けた大きな電気通信事業者です。一般の会社では、個人情報保護法の第三者提供の同意が同じ論点になりえます。
個人情報保護委員会
サイトの停止が続く（11月7日朝）
個人情報保護委員会のサイトは、7日の8時台も「緊急メンテナンスのため利用を一時停止」のお知らせのままでした。漏えい等報告の受付のページは別にあります。週末に速報を出す会社の段取りは、委員会のサイトの停止と報告の受付の記事で確認できます。
関係する会社と、今日は動かなくてよい会社
- 緊急対策パッケージで、一般の会社に今日の作業はありません。個人データを扱う会社には1月のガイドラインの改正が、取引先から評価を求められる会社には3月の評価制度が、先に控えています。
- 基幹インフラ事業者（15分野258事業者）は、報告を届けるまでの速さの目標が示されました。
- ドコモへの指導は、自社でWebの申込や会員登録のフォームを持ち、ほかの会社へ利用者の情報を渡している会社に関係します。
- 金融庁のお願いは、全社の社員と、会社のネットバンキングを使う経理が相手です。
- 個人情報保護委員会のサイトの停止は、漏えい等の報告を控えた会社だけの話です。
週末のうちにやることと、月曜の朝にやること
- 社員への注意の文に、金融庁の4つのお願いを足します。ドコモの不正アクセスやSMBCコンシューマーファイナンスの漏えいの件と1通にまとめると、何度も送らずに済みます。
- 会社のネットバンキングの認証の方式を、経理と確かめます。SMSのワンタイムパスワードだけなら、銀行がパスキーや電子証明書の方式を用意していないかを調べておきます。
- 申込や会員登録のフォームを外部の会社に直してもらう予定があれば、受け入れの確認に「同意の文言」と「画面の裏で外部に送る項目」の照らし合わせを入れるよう、月曜に担当と決めます。
- システムの開発や保守を委託している契約で、脆弱性が見つかったときにだれが直すかが書かれているかを、月曜に契約の担当と確かめます。
- 基幹インフラ事業者の会社は、10月から始まった報告の手順で、見つけてから報告するまでに何時間かかるかを数え、首相が示した目標（数時間、少なくとも同日中）と比べます。
パッケージの施策一覧は、中長期の課題も含めて実行と検討を進めるものだとしています。月曜の朝は、内閣官房の会議のページで本文と概要を開き、自社に関わる施策に印を付けるところから始めると早いでしょう。
