規制環境 · 東アジア
日本：ファイルセキュリティと監査の義務
日本は、ガイダンス主導のモデルから法定のモデルへ移行しています。Active Cyber Defense Act は2026年に施行され、Economic Security Promotion Act は重要インフラ事業者を拘束し、APPI は行政罰金を追加するよう改正されています。
概要
日本におけるファイルセキュリティの規制
- 01
規制体系
約250の重要事業者を対象とする経済安全保障法と新しい能動的サイバー防御法
- 02
ファイルセキュリティ
METI/NISC によるマルウェアおよびコンテンツ統制に関するガイダンス。業界監督上の期待
- 03
監査と証跡
所管省庁および内閣へのインシデント報告。APPI の漏えい報告
概観
規制の全体像
日本の規制姿勢は、この2年で大きく変化しました。従来の枠組みはガイダンス主導で、NISC と METI が期待事項を公表し、各業界の規制当局がそれを適用していましたが、今や法定義務が導入されつつあります。
《能動的サイバー防御法》は2025年5月16日に国会で成立し、2026年に施行されます。これは、官民連携の強化、脅威検知のための通信データの監視、そして政府機関が敵対的インフラに対してアクセスを行い無力化する権限を通じて、国家のサイバー防衛を構成するものです。民間組織にとって重要なのは、攻撃的権限そのものよりも、連携と報告の側面です。
《経済安全保障推進法2022》は、事業者に直接拘束力を及ぼす法令です。金融、通信、交通、エネルギーを含む15の重要分野にわたり、約250の事業体が対象となります。指定事業者は、重要システムに関わるサイバーセキュリティインシデントおよび潜在的脅威を、所管省庁と内閣官房の双方に報告しなければならず、重要機器およびシステム調達について事前審査も受けなければなりません。
《個人情報の保護に関する法律（APPI）》は個人データを規律します。2026年4月に閣議決定された改正案は、行政罰金、子どものデータに対するより強い保護、そしてAI学習における個人データ利用に対処する規定を導入しており、これまで金銭的制裁ではなくガイダンスと reputational pressure に大きく依拠してきた制度にとって、重要な変更です。
規制の構図
ファイルセキュリティと監査に関わる法令
| 法令 | 所管 | 状況 | 関連性 |
|---|---|---|---|
| Economic Security Promotion Act 2022 | NISC | 施行済み | 直接 |
| Active Cyber Defense Act | NISC | 一部施行 | 間接 |
| 個人情報の保護に関する法律（APPI） | PPC | 施行済み | 直接 |
NISC
Economic Security Promotion Act 2022
15のセクターにわたる重要インフラ事業者、約250の事業体を指定し、重要システムの調達に対する事前審査と、所管官庁および首相官邸へのインシデント報告を義務付けます。
ファイルセキュリティにとっての意味。重要システムの事前審査とは、指定インフラに関わるシステムのファイル取扱いアーキテクチャが、導入後ではなく導入前にレビューされることを意味します。決定論的なコンテンツ統制と、ファイル単位の証跡を説明できることは、その審査で直接役立ちます。
Glasswallはどのように対応するか。重要システムに入る信頼できないファイルを決定論的に再構築することは、脅威インテリジェンスの新しさに左右されないため、検知ベースの姿勢よりも調達審査を通過しやすい統制です。per-file verdict recordは、関与したファイルの処理履歴を保持することで、所管省庁および内閣へのインシデント報告義務を支援します。
Content Disarm and ReconstructionPer-file verdict recordGlasswall Halo / Glasswall Meteor
NISC
Active Cyber Defense Act
2025年5月16日に可決され、2026年中に施行されます。官民連携、脅威検知のための通信データの監視、敵対的なサイバーインフラへの政府によるアクセス対抗権限を定めています。
ファイルセキュリティにとっての意味。直接的ではありませんが、重要システムの事業者には、官民の脅威共有に有益なテレメトリを提供できることが期待されるようになります。構造化されたファイル単位の処理記録は、非構造化ログよりもその用途に適しています。
Glasswallはどのように対応するか。エクスポート可能なファイル単位の verdict テレメトリにより、事業者は官民の脅威共有に具体的に貢献でき、ファイル経由の配信が関与したインシデントの性質を問われた際にも、それを基に説明できます。
Per-file verdict recordGlasswall Halo / Glasswall Meteor
PPC
個人情報の保護に関する法律（APPI）
日本の主要なデータ保護法です。個人データに対する安全管理措置、PPCおよび本人への漏えい報告、ならびに越境移転を規律します。2026年の改正法案では行政罰が追加されます。
ファイルセキュリティにとっての意味。セキュリティ管理措置義務は、文書内を含め、個人データが存在するあらゆる場所を対象とします。行政罰金への移行は、ファイル経由のデータ漏えいのコストを、評判上の損失から金銭的損失へと変えます。
Glasswallはどのように対応するか。Find & Redact は、文書が保存または共有される前に、その中の既知のデータパターンを削除するため、ファイル内に保持された個人データに対する実証可能なセキュリティ管理措置となります。Storage Monitor は Microsoft 365 内に保存済みの重要データを対象とし、テナントごとに何が処理されたかを記録します。
Find & RedactStorage Monitor + SM AuditContent Disarm and ReconstructionGlasswall Halo
最新動向
日本の変更点
新しい順。
-
閣議、課徴金を導入するAPPI（個人情報保護法）改正案を承認
閣議は、課徴金の導入、子どもの個人データ保護の強化、AI学習における個人データ利用への新たな規定を盛り込んだAPPI改正法案を承認しました。
ファイルセキュリティにとっての意味。課徴金の導入は、ファイル経由の個人データ漏えいに関する損得勘定を変えます。文書内に散在する個人データを減らす統制は、単なるベストプラクティスから、定量化できる価値を持つリスク低減策になります。
Glasswallによる対応
文書に含まれる個人データを減らすことは、課徴金の算定対象となるエクスポージャーを引き下げます。Find & Redactは流通中の文書に、Storage Monitorは保存済みの既存資産に対応します。
Find & RedactStorage Monitor + SM AuditGlasswall Halo
- 銀行
- 医療
- 通信
- 教育
-
国会が能動的サイバー防御法を可決
国会は、官民連携、脅威検知のための通信監視、政府による対抗的アクセス権限を柱とする能動的サイバー防御措置を可能にする法案を可決しました。この法律は2026年中に施行されます。
ファイルセキュリティにとっての意味。ガイダンス主導から法定のサイバーセキュリティ義務への移行を日本で示すものであり、ファイル経由の侵入を含む侵害の検知と特定に、重要システムの事業者がより高い期待を負うことになります。
- 重要インフラ
- 通信
- 政府
- エネルギー
- 銀行
対象範囲
このページについて
このページは、日本で事業を行う組織向けの作業用リファレンスです。
これは法的助言ではありません。規制上の義務は、組織がどのように指定されているか、どの業界で事業を行っているか、そしてそのシステムがどのようなアーキテクチャになっているかによって異なります。コンプライアンス判断にあたり本内容のいずれかに依拠する前に、現地の助言を受けてください。Glasswallがある義務にどのように関係するかを説明する場合、それは統制を説明しているのであって、結果を保証しているのではありません。