APACの規制動向
APAC全域のファイルセキュリティと監査義務
信頼できないファイルを扱う組織に各国・地域が求める事項を、法令、規制当局、日付付きの動向とともに解説します。
東南アジア、オセアニア、東アジア、南アジアの13の国・地域を対象としています。
域内の最新動向
最近の変更点
域内で最も新しい動向です。
-
Decree 330/2026/ND-CP：サイバーセキュリティおよび個人データ違反に対する行政制裁
ベトナムは2026年8月19日にDecree No. 330/2026/ND-CPを公布し、同日に施行しました。同政令は、個人データ保護法（およびその施行政令であるDecree 356/2025/ND-CP）とサイバーセキュリティ法の違反に対する行政罰を定めるものです。主な罰金額は、データ保護影響評価違反で最大VND 100 million、漏えい通知義務違反でVND 80 million、個人データの違法な越境移転では前年度売上高の5%またはVND 3 billionまでです。
ファイルセキュリティにとっての意味。越境移転への制裁金は、ファイルの取り扱いに直接及ぶものです。文書は個人データが国外へ出る典型的な経路であり、売上高連動の制裁金は、管理されていないベトナム国外へのファイル移転に取締役会レベルの数字を結び付けます。漏えい通知に関する制裁も、インシデントがどのファイルに及んだかを迅速に特定できることの価値を高めます。
Glasswallによる対応
オンプレミスのMeteor導入により、ファイル処理とその判定記録はベトナム国内にとどまるため、処理自体に越境移転の法的根拠は不要です。情報漏えい対策（DLP）は、移動する文書に含まれる個人データを削減し、ファイル単位の判定記録は、通知判断の期限が迫る中でインシデントがどのファイルに及んだかを特定する作業を短縮します。
Content disarm and reconstructionData loss preventionPer-file verdict recordGlasswall Meteor / Glasswall Halo
- 銀行
- 通信
- 医療
- 政府
-
CII向けCCoP、APTおよびAI活用型脅威への対応で改定へ
CSAは、CII向けサイバーセキュリティ実務規範（CCoP）をAPT（高度標的型攻撃）およびAI活用型脅威に対応するよう改定すると発表しました。変更は2026年後半に発効の見込みです。改定は、毎年見直すサイバーレジリエンス枠組みによる取締役会の説明責任、Cyber Trust Markレベル5認証、相互接続システムの監督、脅威検知の導入、サイバーセキュリティ演習の計画、ネットワーク監視・検知管理をカバーします。クラウドサービス向け実務規範も同じスケジュールで策定される予定です。
ファイルセキュリティにとっての意味。AI活用型の脅威は、ファイル経由の攻撃の上限を特に押し上げます。ポリモーフィックな文書ペイロードや機械生成のルアーは、決定論的な再構築よりも速くシグネチャ・ヒューリスティック検知を劣化させます。改定版の実務規範に照らして統制を見直すCII事業者は、検知チューニングよりもコンテンツ検査と既知の安全な再構築が厳しく精査されると想定すべきです。
Glasswallによる対応
これは、改定版の実務規範が施行される前に対応しておく価値が最も高い動向です。AI生成の文書ペイロードや機械調整されたルアーは、決定論的な再構築よりもはるかに速くシグネチャ・ヒューリスティック検知を劣化させます。再構築は脅威を認識する必要がなく、アクティブコンテンツを無条件に除去するからです。改定版の実務規範の発効前に統制を見直すCII事業者は、検知チューニングよりもコンテンツ検査と既知の安全な再構築が厳しく精査されると想定すべきです。マクロ分析はOfficeマクロの攻撃面を特に対象とし、大容量アーカイブの処理はインラインスキャンでは開けないアーカイブやディスクイメージに到達します。
Content disarm and reconstructionMacro analysisLarge archive processingGlasswall Halo / Glasswall Meteor
- 重要インフラ
- 政府
- 銀行
- 医療
- 通信
- エネルギー
- 交通
-
IPP 3A、間接取得時の透明性義務が発効
IPP 3Aが発効し、第三者から間接的に個人情報を取得した場合、本人への通知に向けた合理的な措置を講じることが行政機関に義務付けられました。同日以降に取得した個人情報にのみ適用されます。
ファイルセキュリティにとっての意味。第三者から大量の個人データを、多くの場合文書やスプレッドシートとして受け取る組織には、その受け取りに透明性義務が課されるようになりました。
- 銀行
- 通信
- 医療
- 教育
-
閣議、課徴金を導入するAPPI（個人情報保護法）改正案を承認
閣議は、課徴金の導入、子どもの個人データ保護の強化、AI学習における個人データ利用への新たな規定を盛り込んだAPPI改正法案を承認しました。
ファイルセキュリティにとっての意味。課徴金の導入は、ファイル経由の個人データ漏えいに関する損得勘定を変えます。文書内に散在する個人データを減らす統制は、単なるベストプラクティスから、定量化できる価値を持つリスク低減策になります。
Glasswallによる対応
文書に含まれる個人データを減らすことは、課徴金の算定対象となるエクスポージャーを引き下げます。情報漏えい対策（DLP）は流通中の文書に、Microsoft 365ストレージ保護はSharePointとOneDriveにアップロードされたファイルに対応します。
Data loss preventionMicrosoft 365 storage protectionGlasswall Halo
- 銀行
- 医療
- 通信
- 教育
-
SOCI法の大臣指示権限とリスク管理改革に関する意見募集が開始
2026年1月31日に提出されたSOCI法初の独立レビューを受け、政府は第3部の大臣指示権限および重要インフラリスク管理プログラム規則の改正に関する意見募集を開始しました。
ファイルセキュリティにとっての意味。注視すべきはリスク管理プログラム規則の変更です。これらの規則は、データストレージシステムのファイル経由の侵害を含む重大リスクが実際にどのように緩和されているかについて、事業体が何を文書化しなければならないかを決定します。
Glasswallによる対応
この意見募集の期間中にリスク管理プログラムを見直す事業者は、ファイル取り扱いの緩和策をこれまでより明示的に記述することになると想定すべきです。決定論的な再構築統制とファイル単位の判定記録は、検知チューニングの姿勢よりも、プログラム文書にはるかに書き込みやすいものです。
Content disarm and reconstructionPer-file verdict recordGlasswall Halo / Glasswall Meteor
- 重要インフラ
- エネルギー
- 通信
- 交通
- 銀行
- 医療
-
改正PIPA公布、売上高連動の制裁金とISMS-P義務化を導入
PIPA改正が法律第21445号として公布され、重大な侵害事案では総売上高の最大10%の課徴金が可能になりました。大半の規定は2026年9月11日に、ISMS-P認証の義務化規定は2027年7月1日に施行されます。
ファイルセキュリティにとっての意味。売上高連動の制裁金は、文書内の個人データを減らす取り組みのビジネスケースを大きく変えます。ISMS-P義務化は、技術的保護措置の証明に期限を設定します。
Glasswallによる対応
計画すべき期限は2つ。制裁金制度の2026年9月と、ISMS-P認証の2027年7月です。文書内の個人データ削減が前者に、ファイル単位の判定記録を備えた文書化済みの決定論的ファイル処理が後者に対応します。
Data loss preventionContent disarm and reconstructionPer-file verdict recordGlasswall Halo
- 銀行
- 医療
- 通信
- 教育
-
スマートデバイスの安全基準義務化が発効
重要インフラ事業者に供給されるスマートデバイスの安全基準が、Cyber Security Act 2024の下で施行されました。
ファイルセキュリティにとっての意味。ファイルセキュリティへの影響は間接的ですが、サプライチェーン保証には関係します。デバイスのファームウェアや設定バンドルはファイルであり、その来歴の検証可能性がますます求められています。
Glasswallによる対応
署名付きソフトウェアの検証は、発行元のデジタル署名と承認済みのファイルフィンガープリント一覧を確認し、いずれかが拒否と判定すればファイルをブロックします。これは、インストーラーやパッチがサプライヤーから届き、使用前に出所を確認する必要がある場面で有効な統制です。
Signed software verificationGlasswall Halo
- 重要インフラ
- 製造
- エネルギー
-
SOCI法初の独立レビューが提出
重要インフラ安全保障法（SOCI法）初の独立レビューが政府に提出され、2026年3月に開始された改革の意見募集の土台となりました。
ファイルセキュリティにとっての意味。リスク管理プログラムが技術的統制をどこまで具体的に記述すべきかを含め、重要インフラ事業者に課される次の義務の方向性を定めるものです。
- 重要インフラ
対象範囲
このページについて
本ページは実務上の参考資料であり、法的助言ではありません。義務は指定・業種・アーキテクチャによって異なるため、コンプライアンス上の判断に用いる前に現地の専門家の助言を得てください。Glasswallと義務の関係を記述している箇所は、統制について述べたものであり、認証を意味するものではありません。