規制動向 · オセアニア
ニュージーランド：ファイルセキュリティと監査の義務
ニュージーランドは、規定ベースのサイバー法ではなく原則ベースのPrivacy Actで規制しており、NZISMが政府およびそれが供給を受ける機関向けの技術的統制基準を提供しています。
概要
ニュージーランドにおけるファイルセキュリティ規制
- 01
規制体系
原則ベースのプライバシー法と政府統制マニュアル（NZISM）
- 02
ファイルセキュリティ
NZISMのコンテンツフィルタリングおよびゲートウェイ統制。マルウェア保護
- 03
監査と証跡
OPCへのプライバシー侵害通知。NZISMのログおよび監査要件
概観
規制の全体像
ニュージーランドにはSOCI型の重要インフラ法はありません。そのため、ファイルセキュリティに及ぶ義務は2つの方向から生じます。すべての人に適用されるプライバシー法と、政府機関およびそれらにサービスを提供するすべての者に適用される政府の管理マニュアルです。
Privacy Act 2020は、IPP 5を含む13のInformation Privacy Principleを定めており、IPP 5では、紛失、誤用、不正アクセスに対する合理的なセキュリティ保護措置が求められます。また、プライバシー侵害が深刻な損害を引き起こす、または引き起こすおそれがある場合には、Office of the Privacy Commissionerおよび影響を受ける個人への通知も義務付けています。Privacy Amendment Act 2025は2025年9月24日に国王裁可を受け、IPP 3Aを導入します。これは、個人情報が第三者から間接的に収集される場合に、個人に通知するための合理的な措置を講じる新たな透明性義務です。IPP 3Aは2026年5月1日に施行され、その日以降に収集された個人情報にのみ適用されます。
New Zealand Information Security Manual (NZISM)は、GCSBのNational Cyber Security Centreが公表するもので、政府システム向けの統制基準です。ゲートウェイ、コンテンツフィルタリング、マルウェア保護の各章がファイルセキュリティに関係する部分であり、政府調達では頻繁に参照されるため、法令ではなく契約によってサプライヤーも適用範囲に含まれます。
規制の構図
ファイルセキュリティと監査に関わる法令
| 法令 | 所管 | 状況 | 関連性 |
|---|---|---|---|
| Privacy Act 2020 | OPC | 施行済み | 直接 |
| Privacy Amendment Act 2025 (IPP 3A) | OPC | 一部施行 | 間接 |
| New Zealand Information Security Manual (NZISM) | NCSC | 施行済み | 直接 |
OPC
Privacy Act 2020
13の情報プライバシー原則。IPP 5では、合理的なセキュリティ保護措置が求められます。通知対象となるプライバシー侵害は、重大な損害が生じた、または生じるおそれがある場合、OPCおよび影響を受ける個人に報告しなければなりません。
ファイルセキュリティにとっての意味。個人情報は、統制のないまま文書に蓄積されがちです。Looseファイルに保持される個人データを減らせば、IPP 5のリスクを下げ、通知義務の対象となり得るファイルの範囲も縮小できます。
Glasswallがどう対応するか。Find & Redactは、保存や共有の前に文書から指定されたデータパターンを削除するため、単なる方針ではなく、IPP 5を具体的に満たす保護措置です。Storage Monitorは、Microsoft 365内で既に保存されているデータにも同じ処理を適用し、テナントごとに何を処理したかを記録します。
Find & RedactStorage Monitor + SM AuditGlasswall Halo
OPC
Privacy Amendment Act 2025 (IPP 3A)
IPP 3Aを追加し、第三者から間接的に個人情報を収集する際に、機関が個人に通知するための合理的な措置を講じることを義務づけます。2026年5月1日に施行され、同日以降に収集された情報に適用されます。
ファイルセキュリティにとっての意味。ファイルセキュリティに直接的な影響はありませんが、第三者からスプレッドシートや文書一式として大量の個人データが入ってくる場合に、組織が何を把握しておく必要があるかを変えます。受信ファイルの中身を把握することが、コンプライアンス上の入力になります。
Glasswallがどう対応するか。個人情報が、文書やスプレッドシートの大量転送として間接的に届く場合、Find & Redactは本来不要だったデータパターンを削除できるため、機関が把握すべき間接収集済み情報の量を減らせます。
Find & RedactGlasswall Halo
NCSC
New Zealand Information Security Manual (NZISM)
ニュージーランド政府の情報システム向けの技術的統制の基準で、ゲートウェイ、コンテンツフィルタリング、マルウェア対策、ログ記録、監査を対象としています。
ファイルセキュリティにとっての意味。ゲートウェイとコンテンツフィルタリングの各章は、政府ネットワークに入ってくるコンテンツの扱いを規定し、マルウェア保護の統制は、信頼できないファイルの取り扱いに対する期待値を定めます。政府向けサプライヤーは、通常これらを契約で求められます。
Glasswallがどう対応するか。ゲートウェイでのCDRは、受信コンテンツを既知の安全な基準に再構築し、コンテンツフィルタリングとマルウェア保護の統制目標を検知の調整ではなく決定論的に満たします。per-file verdict recordは、NZISMのログおよび監査要件に対応し、SIEMにもエクスポートされます。Meteorは、クラウドサービスが認められないオンプレミスおよびエアギャップ環境での導入をカバーします。
Content Disarm and ReconstructionICAP ClientPer-file verdict recordCross-domain and air-gapped transferGlasswall Halo / Glasswall Meteor
最新動向
ニュージーランドの変更点
新しい順。
-
IPP 3A、間接取得時の透明性義務が発効
IPP 3Aが発効し、第三者から間接的に個人情報を取得した場合、本人への通知に向けた合理的な措置を講じることが行政機関に義務付けられました。同日以降に取得した個人情報にのみ適用されます。
ファイルセキュリティにとっての意味。第三者から文書やスプレッドシートなどの形で大量の個人データを受け取る組織には、その受け入れに透明性の義務が新たに課されます。
- 銀行
- 通信
- 医療
- 教育
-
Privacy Amendment Act 2025 が国王裁可を受ける
Privacy Amendment Act 2025 は国王裁可を受け、Privacy Act 2020 に IPP 3A が追加され、施行日は 2026年5月1日 となりました。
ファイルセキュリティにとっての意味。間接収集に関する透明性のためのコンプライアンス期限を定めており、文書形式で第三者の個人データを取り込むあらゆる組織に関係します。
- 銀行
- 通信
- 医療
- 教育
対象範囲
このページについて
このページは、ニュージーランドで事業を行う組織向けの実務参照資料です。
これは法的助言ではありません。規制上の義務は、組織がどのように指定されているか、どの業界で事業を行っているか、そしてそのシステムがどのようなアーキテクチャになっているかによって異なります。コンプライアンス判断にあたり本内容のいずれかに依拠する前に、現地の助言を受けてください。Glasswallがある義務にどのように関係するかを説明する場合、それは統制を説明しているのであって、結果を保証しているのではありません。