APAC Compliance Digest: 2026年7月までの規制動向

アジア太平洋の各地域では、悪意あるファイルや不適切に取り扱われたファイルが組織に到達した際に何が起こるかを規定するルールが強化されています。義務は重要インフラのコード、プライバシー改正、漏えい通知制度など、さまざまな名称で導入されますが、方向性は共通しています。規制当局は、ファイル由来のリスクを単に発生後に対応するのではなく、どのように管理しているかを組織に示すことをますます求めています。

この創刊号では、2025年初頭以降に追跡し、一次資料で検証したうえで当社のcountry compliance guidesに掲載してきた動向をまとめています。来月以降、このダイジェストは1暦月ごとに取り上げます。

見出し

• シンガポールは、重要情報インフラ向けのCybersecurity Code of Practiceを更新し、高度持続的脅威およびAI対応型脅威に対処します。変更は2026年後半に予定されています。
• 韓国はPIPA改正を公布し、重大度の高い漏えい事案において総売上高の最大10%までの行政罰金を認めました。大半の規定は2026年9月に施行されます。
• インドはDPDP Rules 2025を通知し、72時間以内の詳細な漏えい報告と少なくとも1年間のログ保持を含む、12〜18か月の段階的なコンプライアンス導入を開始しました。

オーストラリア

SOCI Act改正に関する協議が開始（2026年3月、協議）。2026年1月に政府へ提出されたSOCI Actの初の独立レビューを受け、政府はPart 3におけるMinisterial Directions権限およびCritical Infrastructure Risk Management Program Rulesの改正について協議を開始しました。注目すべきはリスク管理プログラム規則です。これは、データ保存システムのファイル由来の侵害を含む重要リスクを、事業体がどのように文書化し、実際に軽減しているかを定めるものです。 Source: Minister for Home Affairs.

ランサムウェア支払い報告が施行（2025年5月、施行中）。Cyber Security Act 2024に基づくランサムウェア支払い報告ルールが開始され、対象事業体はランサムウェア支払いを政府に報告する必要があります。ランサムウェアは圧倒的にファイル経由の配布で侵入するため、報告義務は、文書を介した侵入の成功を、インシデントから開示事象へと変え、そのコストを引き上げます。 Source: ACSC.

スマートデバイスのセキュリティ基準が施行（2026年3月、施行中）。重要インフラ事業者に供給されるスマートデバイス向けのセキュリティ基準が、Cyber Security Act 2024の下で施行されました。ファイルセキュリティへの直接的な影響は限定的ですが、サプライチェーン保証の観点では重要です。デバイスのファームウェアや構成バンドルはファイルであり、その来歴はますます検証可能であることが期待されています。 Source: ACSC.

3件すべての詳細はこちら: Australia compliance guide.

インド

DPDP Rules 2025が通知（2025年11月、施行中）。Digital Personal Data Protection Rules 2025が通知され、72時間以内の詳細な漏えい報告と、少なくとも1年間の通信および処理ログ保持を含む、12〜18か月の段階的なコンプライアンス導入が定められました。漏えい調査に紐づく明示的な保持期間は、アプリケーションログだけよりも、構造化されたファイル単位の処理記録のほうが満たしやすい要件です。詳細はIndia compliance guideをご覧ください。 Source: MeitY.

日本

内閣が行政罰金を伴うAPPI改正を承認（2026年4月、改正）。内閣は、行政罰金の導入、子どもの個人データに対する保護強化、AI学習における個人データの利用に対応する新たな規定を盛り込んだAPPI改正法案を承認しました。罰金の導入により、ファイル由来の個人データ漏えいに対する判断基準が変わります。個人データが散在する文書に残ることを減らす管理策は、単なるベストプラクティスから、定量化可能な価値を持つリスク低減策へと変わります。 Source: PPC.

Active Cyber Defense Actが国会を通過（2025年5月、2026年中に施行）。この法律は、官民連携、脅威検知のための通信監視、政府による対抗アクセス権限を中心に構成された能動的サイバー防御措置を可能にします。これは、日本におけるガイダンス主導から法定のサイバーセキュリティ義務への移行を示しており、重要システムの運用者に対して、ファイル由来のものを含む侵入を検知し、その性質を把握することへの期待を高めます。詳細はJapan compliance guideをご覧ください。 Source: Nippon.com.

マレーシア

PDPA改正が施行（2025年6月、施行中）。マレーシアの個人データ保護法の改正により、特定の処理活動に対するデータ保護責任者の任命が義務化され、データ侵害通知が義務化され、データポータビリティの権利が導入されました。侵害通知は、文書を通じて失われた個人データに外部的な影響をもたらすため、それらの文書が保持する情報を減らす価値が高まります。マレーシアのコンプライアンスガイドをご覧ください。 出典: JPDP.

ニュージーランド

IPP 3Aが施行（2026年5月、施行中）。IPP 3Aでは、第三者から個人情報が間接的に収集される場合、機関は本人に通知するための合理的な措置を講じることが求められ、2026年5月1日以降に収集された個人情報に適用されます。第三者から大量の個人データを受け取る組織は、しばしば文書やスプレッドシートの形で受領しますが、現在ではその受領に透明性の義務が付随しています。これを導入した2025年プライバシー改正法は、2025年9月に国王裁可を受けました。ニュージーランドのコンプライアンスガイドをご覧ください。 出典: Bell Gully、New Zealand Legislation. https://www.bellgully.com/insights/preparing-for-ipp-3a-new-requirements-effective-1-may-2026/),

シンガポール

APTおよびAI対応の脅威に対処するためのCCoP更新（2026年7月、協議中）。CSAは、CII向けのCybersecurity Code of Practiceが、advanced persistent threatsおよびAI-enabled threatsに対処するために更新され、変更は2026年後半に施行される見込みであると発表しました。更新には、年次レビューされるサイバーレジリエンス・フレームワーク、Cyber Trust Mark Level 5認証、相互接続システムの監督、脅威検知の導入、サイバーセキュリティ演習の計画、ネットワーク監視および検知管理に関する取扱いが含まれます。Cloud Services向けの別のCode of Practiceも同じスケジュールで予定されています。AI-enabled threatsは、特にファイル由来の攻撃の上限を引き上げます。多形的な文書ペイロードや機械生成の誘導は、決定論的な再構築よりもはるかに速く、シグネチャベースおよびヒューリスティック検知を劣化させます。 出典: CSA.

Cybersecurity (Amendment) Actの規定が施行（2025年10月、施行中）。主要な規定により、依拠するCIIを所有していない重要サービス提供者を規制するためにPart 3Aが導入され、CSAの監督対象がクラウドサービス提供者およびデータセンター運営者に拡大されました。実務上の影響は適用範囲です。インフラを所有せず借用しているためCIIの管理対象セットは適用されないと想定していた組織も、現在では適用対象となる可能性があり、重要サービス環境に入るファイルに対するCodeのコンテンツ検査および保持要件を引き継ぐことになります。シンガポールのコンプライアンスガイドをご覧ください。 出典: CSA.

韓国

改正PIPAが収益ベースの罰金を伴って公布（2026年3月、改正）。PIPA改正はAct No. 21445として公布され、重大な侵害事案では総収益の最大10%までの行政罰金を認めました。大半の規定は2026年9月11日に施行され、ISMS-P認証の義務化規定は2027年7月1日に施行されます。収益ベースの制裁は、文書に保持された個人データを削減することの事業上の意味を大きく変え、ISMS-P義務は技術的保護措置を証明するための期限付きの締切を生みます。韓国のコンプライアンスガイドをご覧ください。 出典: Hunton Andrews Kurth.

台湾

個人データ保護委員会が業務を開始（2025年8月、ガイダンス）。台湾のPDPCは、個人データ保護法を執行・解釈する唯一のデータ保護当局として業務を開始しました。専任の規制当局による執行の一本化は、文書に保持された個人データに対する技術的保護措置を含め、監督の一貫性を高めると見込まれています。台湾のコンプライアンスガイドをご覧ください。 出典: Law.asia.

この期間に公表された変更なし

インドネシア、モンゴル、フィリピン、タイ、ベトナムでは、この期間に当社のレビューを通過した新たな動きはありませんでした。変更がないこと自体も記録する価値があります。それは、各country guideで説明されている義務が引き続き最新であることを意味するからです。 （ベトナムのDecree 330/2026/ND-CPは2026年8月に公表され、来月号に掲載されます。）

ファイル処理にとっての意味

この締めくくりのセクションでは、上記の動向を当社が提供するプラットフォームに結び付けます。それ以前はすべて規制報告です。

この1年を通じて、3つの傾向が見られます。第一に、規制当局は証拠へと収束しています。インドのログ保持ルール、韓国のISMS-P義務、オーストラリアのリスク管理プログラム改革はいずれも、ファイル由来のリスクがどのように扱われているかを記録で示すことを組織に求めています。ファイルごとの判定記録を伴う決定論的な再構築制御は、検知チューニングの姿勢よりも、プログラム文書に組み込みやすく、監査で証明しやすいものです。第二に、AI-enabled threatsが規制上で明示的に名指しされるようになったことで、特にシンガポールのCCoP更新がその例です。AI生成の文書ペイロードや機械に合わせて作られた誘導は、決定論的な再構築よりもはるかに速くシグネチャおよびヒューリスティック検知を劣化させます。なぜなら、再構築は脅威を認識する必要がなく、アクティブコンテンツを一律に除去するからです。第三に、罰則は定額から比例型へ移行していることで、特に日本と韓国で顕著です。これにより、流通中および保存中の散在した文書に存在する個人データを削減することの事業上の意味が変わります。

Glasswall CDRが各義務にどのように対応するかを、制御ごと、地域ごとにcompliance guidesで整理しています。また、シンガポールの当社チームが、適用されるコードに照らしてお客様の制御セットを確認します。お問い合わせください。