規制動向 · オセアニア
オーストラリア: ファイルセキュリティと監査義務
オーストラリアは、広範な重要インフラ法と域内で最も規範的な技術ベースラインを併せ持ちます。SOCI法が義務を、Essential EightとISMが統制を定め、PSPFが政府の情報取り扱いを規律します。
概要
オーストラリアのファイルセキュリティ規制
- 01
規制体系
22資産クラスに及ぶ重要インフラ法と政府統制ベースライン
- 02
ファイルセキュリティ
Essential Eightのアプリケーション強化とマクロ統制、ISMのコンテンツ検証・変換
- 03
監査と証跡
インシデント報告の義務化とリスク管理プログラムの証跡
概観
規制の全体像
オーストラリアは、ファイルセキュリティ統制が成果ではなく名指しで指定される可能性がAPACで最も高い市場です。Australian Signals Directorateが統制セットを公表し、政府と重要インフラの多くがそれに照らして評価されるためです。
Security of Critical Infrastructure Act 2018（SOCI法）が法律上の基盤です。2021年、2022年、2024年の相次ぐ改正により、対象は22の資産クラスへ拡大し、サイバーインシデント報告の義務化、重要インフラリスク管理プログラム、国家的重要システムへの強化義務、政府支援権限が導入されました。2024年の改正では、主要な重要インフラ資産の一部を構成するデータストレージシステムにも同法が及ぶことが明確化され、文書リポジトリやファイルストアが明確に適用範囲へ入りました。同法初の独立レビューは2026年1月31日に提出され、大臣指示権限およびリスク管理プログラム規則のさらなる改革が2026年3月25日に意見募集にかけられました。
ファイルの取り扱いが具体化するのはEssential EightとInformation Security Manual（ISM）です。8つの緩和戦略のうち2つ、ユーザーアプリケーション強化とMicrosoft Officeマクロ設定の構成は、信頼できない文書コンテンツを直接の対象としています。ISMのコンテンツ検証およびコンテンツ変換統制は、ファイルを既知の安全な状態へ再構築することを記述しており、これは名前を変えたCDRにほかなりません。PSPFは、オーストラリア政府機関がセキュリティドメイン間の移転を含め、公的情報をどのように取り扱い、移転するかを規律します。
これとは別に、Cyber Security Act 2024により、ランサムウェア支払い報告（2025年5月30日開始）と、重要インフラ事業者に供給されるスマートデバイスの安全基準義務化（2026年3月4日発効）が導入されました。Privacy Act 1988の改革プログラムは継続中で、データ侵害通知（NDB）制度はすでに施行されています。
規制の構図
ファイルセキュリティと監査に関わる法令
| 法令 | 所管 | 状況 | 関連性 |
|---|---|---|---|
| Security of Critical Infrastructure Act 2018（改正を含む） | CISC | 施行済み | 直接 |
| Essential Eight成熟度モデル | ASD/ACSC | 施行済み | 直接 |
| Information Security Manual（ISM） | ASD/ACSC | 施行済み | 直接 |
| Protective Security Policy Framework（PSPF） | 司法長官省 | 施行済み | 直接 |
| Privacy Act 1988とデータ侵害通知（NDB）制度 | OAIC | 施行済み | 間接 |
CISC
Security of Critical Infrastructure Act 2018（改正を含む）
重要セクターの22資産クラスを対象。資産登録、サイバーインシデント報告の義務化、重要インフラリスク管理プログラム、国家的重要システムへの強化義務を課します。2024年の改正で、主要資産の一部を構成するデータストレージシステムが適用範囲に含まれることが明確化されました。
ファイルセキュリティにとっての意味。最も重要なのはデータストレージに関する明確化です。重要資産に接続された文書リポジトリやファイル共有はリスク管理プログラムの義務を引き継ぎます。つまり、信頼できないファイルがそれらのストアに入る経路は、ITの選好の問題ではなく、登録・報告の対象となる統制になります。
Glasswallによる対応。重要インフラリスク管理プログラムでは重大リスクごとに緩和策を記述する必要がありますが、データストレージシステムのファイル経由の侵害は、具体的に記述しやすいものの一つです。信頼できないファイルはストアに到達する前に既知の安全な状態へ再構築される、と書けばよいのです。ファイル単位の判定記録は、法定期限内の報告が必要になった際に処理履歴から状況を再構成できるため、インシデント報告義務を支えます。
Content disarm and reconstructionPer-file verdict recordMicrosoft 365 storage protectionGlasswall Halo / Glasswall Meteor
ASD/ACSC
Essential Eight成熟度モデル
ASDによる8つの緩和戦略のベースラインで、4段階の成熟度レベルを持ちます。非法人連邦機関には義務であり、州政府や重要インフラ全体でも契約上のベースラインとして広く採用されています。
ファイルセキュリティにとっての意味。8つの戦略のうち2つはファイルコンテンツの統制です。ユーザーアプリケーション強化は文書やブラウザ内のアクティブコンテンツのブロックを、Microsoft Officeマクロ設定はマクロの攻撃面を対象とします。いずれも、組織外から届いた文書がどう処理されるかを問う形で評価されるのが一般的です。
Glasswallによる対応。CDRは文書がデスクトップに到達する前にアクティブコンテンツを除去・再構築するため、エンドポイント設定の維持だけに頼らず、境界でユーザーアプリケーション強化とOfficeマクロ戦略を補強します。業務上の理由でマクロ機能を一部残す必要がある場合は、マクロ分析がポリシーで残されたマクロを実行せずに検査するため、統制を全か無かにする必要はありません。
Content disarm and reconstructionMacro analysisEmail relayGlasswall Halo / Glasswall Meteor
ASD/ACSC
Information Security Manual（ISM）
オーストラリア政府情報を扱うシステム向けのASD統制カタログで、四半期ごとに更新されます。コンテンツフィルタリング、コンテンツ検証、コンテンツ変換、ゲートウェイ／クロスドメインアーキテクチャに関する統制を含みます。
ファイルセキュリティにとっての意味。コンテンツ検証およびコンテンツ変換統制は、ファイルを既知の安全な基準へ再構築することを記述しており、これはまさにCDRが実装するメカニズムです。ゲートウェイおよびクロスドメインのセクションはセキュリティドメイン間のコンテンツ移動を規律しており、そこでは決定論的な再構築が任意ではなく事実上の前提となっています。
Glasswallによる対応。Meteorはオンプレミスおよびエアギャップ環境に導入され、セキュリティドメイン間を移動するコンテンツを再構築します。これはISMのゲートウェイ・クロスドメイン統制が記述する導入パターンそのものです。Safewareは、評価者が求める信頼境界マッピング、アーキテクチャ文書、統制責任マトリクスを準備します。アーキテクチャは評価可能なように構築されていますが、IRAPは評価プロセスであり、当社が評価を完了したと主張するものではありません。
Content disarm and reconstructionCross-domain and air-gapped transferPer-file verdict recordGlasswall Meteor
司法長官省
Protective Security Policy Framework（PSPF）
分類、公的情報の取り扱い・転送を含め、オーストラリア政府機関が人・情報・資産をどう保護するかを規律します。
ファイルセキュリティにとっての意味。PSPFの情報取り扱い要件は、機密ドメインと非機密ドメインの間で文書を移動させる行為、およびその際に記録すべき事項に直接関わります。
Glasswallによる対応。クロスドメイン転送では、機密・非機密ドメイン間を移動するコンテンツを再構築し、転送された各ファイルの判定記録を残すため、取り扱いを証跡として示せます。当社は、保持していない承認を主張することなく、PROTECTED相当環境に対する導入の位置付けを文書化します。
Cross-domain and air-gapped transferContent disarm and reconstructionPer-file verdict recordGlasswall Meteor
OAIC
Privacy Act 1988とデータ侵害通知（NDB）制度
オーストラリアプライバシー原則（APP）11は個人情報保護のための合理的な措置を求めます。NDB制度は通知対象侵害の届出を義務付けます。複数段階の改革プログラムが進行中です。
ファイルセキュリティにとっての意味。個人情報の管理されない運び手になるのは、たいてい文書です。散在するファイル内の個人データを減らすことは、APP 11のエクスポージャーと、通知対象侵害を生み得るファイルの母数の両方を引き下げます。
Glasswallによる対応。情報漏えい対策（DLP）は、保存や共有の前に指定のデータパターンを文書から除去し、APP 11の「合理的な措置」要件を支えます。Microsoft 365ストレージ保護は、SharePointとOneDriveにアップロードされたファイルに同じ処理を適用します。
Data loss preventionMicrosoft 365 storage protectionGlasswall Halo
最新動向
オーストラリアの変更点
新しい順。
-
SOCI法の大臣指示権限とリスク管理改革に関する意見募集が開始
2026年1月31日に提出されたSOCI法初の独立レビューを受け、政府は第3部の大臣指示権限および重要インフラリスク管理プログラム規則の改正に関する意見募集を開始しました。
ファイルセキュリティにとっての意味。注視すべきはリスク管理プログラム規則の変更です。これらの規則は、データストレージシステムのファイル経由の侵害を含む重大リスクが実際にどのように緩和されているかについて、事業体が何を文書化しなければならないかを決定します。
Glasswallによる対応
この意見募集の期間中にリスク管理プログラムを見直す事業者は、ファイル取り扱いの緩和策をこれまでより明示的に記述することになると想定すべきです。決定論的な再構築統制とファイル単位の判定記録は、検知チューニングの姿勢よりも、プログラム文書にはるかに書き込みやすいものです。
Content disarm and reconstructionPer-file verdict recordGlasswall Halo / Glasswall Meteor
- 重要インフラ
- エネルギー
- 通信
- 交通
- 銀行
- 医療
-
スマートデバイスの安全基準義務化が発効
重要インフラ事業者に供給されるスマートデバイスの安全基準が、Cyber Security Act 2024の下で施行されました。
ファイルセキュリティにとっての意味。ファイルセキュリティへの影響は間接的ですが、サプライチェーン保証には関係します。デバイスのファームウェアや設定バンドルはファイルであり、その来歴の検証可能性がますます求められています。
Glasswallによる対応
署名付きソフトウェアの検証は、発行元のデジタル署名と承認済みのファイルフィンガープリント一覧を確認し、いずれかが拒否と判定すればファイルをブロックします。これは、インストーラーやパッチがサプライヤーから届き、使用前に出所を確認する必要がある場面で有効な統制です。
Signed software verificationGlasswall Halo
- 重要インフラ
- 製造
- エネルギー
-
SOCI法初の独立レビューが提出
重要インフラ安全保障法（SOCI法）初の独立レビューが政府に提出され、2026年3月に開始された改革の意見募集の土台となりました。
ファイルセキュリティにとっての意味。リスク管理プログラムが技術的統制をどこまで具体的に記述すべきかを含め、重要インフラ事業者に課される次の義務の方向性を定めるものです。
- 重要インフラ
-
ランサムウェア支払い報告義務が開始
Cyber Security Act 2024に基づくランサムウェア支払い報告規則が施行され、対象事業者はランサムウェアの支払いを政府に報告することが求められます。
ファイルセキュリティにとっての意味。ランサムウェアの侵入経路は圧倒的にファイル経由です。報告義務により、文書経由の侵入が成功した場合のコストは、インシデントから開示事案へと引き上げられます。
Glasswallによる対応
受信した文書を再構築すると、ランサムウェアの配信チェーンが依拠するアクティブコンテンツを、具体的なペイロードを先に特定することなく除去できます。成功した侵入に法定の報告義務が伴うようになると、その意味は単なる復旧コスト以上に大きくなります。
Content disarm and reconstructionEmail relayMacro analysisGlasswall Halo / Glasswall Meteor
- 重要インフラ
- 銀行
- 医療
- 教育
- 製造
対象範囲
このページについて
このページは、オーストラリアで事業を行う組織向けの作業用参考資料です。
これは法的助言ではありません。規制上の義務は、組織がどのように指定されているか、どの業界で事業を行っているか、そしてそのシステムがどのようなアーキテクチャになっているかによって異なります。コンプライアンス判断にあたり本内容のいずれかに依拠する前に、現地の助言を受けてください。Glasswallがある義務にどのように関係するかを説明する場合、それは統制を説明しているのであって、結果を保証しているのではありません。