LASSIC Media らしくメディア
重要インフラのリスク管理、強化要件は9資産と5枠組み
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 対象は9資産に限られる：他の資産は基本要件のままです*1。
- 枠組みは5つから選べる：同等の別枠組みも認められます*1。
- 供給者は5観点で評価される：外国の所有・支配・影響を含みます*1。
※ 本記事は2026年9月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
セキュリティ要件が「一律に厳しくなる」ことは、実はあまりありません。厳しくなるのは、たいてい特定の対象に限ってです。豪州の改正も、その形を取りました。
重要インフラ安全保障法（SOCI法）のリスク管理プログラム規則が、2026年6月10日に改正されました*2。改正規則はLIN 26/075で、内容は原則規則LIN 23/006の編集版に取り込まれています*1*2。
実装と運用の立場から確かめたい点は4つあります。誰に積まれるのか、サイバーで何を選ぶのか、供給者はどう見られるのか、いつまでに間に合わせるのか。条文から順に見ていきます。
目次
基本要件の上に、9資産だけの層が積まれた
まず、構造の変化から確認します*1。
今回入った第4A条は、規則を二層に分けました*1。第4A条第3項は第4A条第1項に定める重要インフラ資産の責任事業体のCIRMPは、強化CIRMP要件と基本CIRMP要件の双方を満たさなければならないとします*1。そして第4A条第4項は基本CIRMP要件と強化CIRMP要件のあいだに不整合が生じうる限りにおいて、責任事業体は強化CIRMP要件に従わなければならないと定めました*1。
言い換えると、対象外の資産の要件は変わっていません*1。定義にも「基本CIRMP要件」が新設され、強化CIRMP要件以外の、本文書第2部に定める要件と書き分けられました*1。
強化要件として指定されたのは、5つの条文です*1。第4A条第5項が第6A条、第8A条、第8B条および第8C条、第9A条、第10A条、第11A条を挙げています*1。それぞれ、追加の重大リスク、サイバー、要員、供給網、物理と自然の各ハザードに対応します*1。
期限は2段階に分かれました*1。第4A条第6項は、第6A条、第8A条第2項および第9A条第2項について施行から12か月、それ以外の強化要件について24か月のあいだ適用しないと定めます*1。施行日が2026年6月10日ですから、前者は2027年6月、後者は2028年6月が期限の目安になります*1*2。
なお、改正規則そのものは2026年9月8日付で廃止の扱いになっています*2。これは2003年法令法第48A条による、役目を終えた改正法令の自動廃止です*2。中身が消えたわけではなく、原則規則の編集版に取り込まれています*1。
対象に指定された9つの資産
第4A条第1項が挙げるのは、次の9つです*1。
| 分野 | 資産の種類 |
|---|---|
| 通信・情報 | 重要放送資産、重要ドメイン名システム |
| エネルギー | 重要電気資産、重要エネルギー市場運営者資産、重要ガス資産、重要液体燃料資産 |
| 物流 | 重要貨物インフラ資産、重要貨物サービス資産 |
| 水 | 重要水資産 |
並びの中で目を引くのは重要ドメイン名システムです*1。発電所や上水道と同じ層に、名前解決の仕組みが置かれました*1。停止したときに他の分野へ波及する速さで見れば、同じ扱いになるという判断です*1。
追加された重大リスクも、対象の性格を映しています*1。第6A条第2項は社会の安定、経済の安定、国家安全保障または豪州の防衛を害しうる、当該資産の機能の障害、外国の所有、支配または影響（FOCI）に起因し、またはこれに関連する、当該資産の機能の毀損または障害、重要部品への国外からの、または遠隔のアクセス、業務上重要なデータへの国外からの、または遠隔のアクセスの4つを挙げました*1。
後半2つは、運用体制の置き方を直接に問う項目です*1。海外の拠点から保守で入る構成そのものが、対処すべき重大リスクとして名指しされました*1。同じ豪州でも、支払という行為を起点にするランサムウェア支払報告の義務とは、着眼点が違います。
サイバーは、5つの枠組みから選ぶ形になった
第8A条は、参照する枠組みを表で列挙しました*1。
| 文書 | 条件 |
|---|---|
| 豪州規格 AS ISO/IEC 27001:2023 | （条件の記載なし） |
| 豪州通信電子局が公表する Essential Eight Maturity Model | 成熟度レベル2を満たすこと |
| 米国NISTが公表する サイバーセキュリティフレームワーク（CSF）2.0 | （条件の記載なし） |
| 米国エネルギー省が公表する Cybersecurity Capability Maturity Model（第2.1版） | 成熟度指標レベル2を満たすこと |
| 豪州エネルギー市場運営者が公表する 2023 AESCSF Framework Core | セキュリティプロファイル2を満たすこと |
逃げ道も用意されています*1。第8A条第4項は第3項の項目2、4または5に定める文書に含まれる枠組みと同等の水準の安全性を達成する別の枠組みに従う処理または仕組みでも足りるとしました*1。ただし第2欄に定める関連する条件を含めてという条件が付きます*1。項目1と3が列挙から外れている点は、読み落としやすいところです*1。
枠組みの選択とは別に、第8A条第2項が4つの重大リスクを名指ししました*1。運用システムまたはセキュリティシステムの適時の修正または更新の失敗、レガシーシステムの置き換えの失敗、または冗長化・非サポート・陳腐化・提供終了となった部品もしくは技術に伴うリスクの十分な緩和の失敗、先進的、新規または新興の技術を、当該資産の可用性・完全性・信頼性・機密性を害しうる態様で配備またはホスティングすること、同じ技術を、当該資産に対して同様の態様で用いることです*1。
3つ目と4つ目は、新しい技術を「使う側」と「使われる側」の両方を書いています*1。生成AIのような道具を業務へ入れることと、それが攻撃側の道具になることが、同じ条文で並べられました*1。
枠組みは表の中から選べますが、選んだ後の運用は共通です。セキュリティ監視の運用をどこまで自前で持ち、どこから委託するかという設計に、そのまま跳ね返ります。
認証と分離に、達成すべき水準が書かれた
第8B条と第8C条は、新設された2つのハザードに対応します*1。
第8B条が扱う資格情報の侵害のハザードは、定義でこう書かれました*1。インターネットに接続された計算機もしくは重要部品、またはそれらへの遠隔のアクセスに紐づく資格情報が、当該資産の可用性、完全性、信頼性または機密性を毀損しうる脆弱性を持ち込むために用いられるハザードです*1。
適用の入口が特徴的です*1。第8B条第1項は、第8A条第3項または第4項に基づいて選んだ枠組みが、フィッシング耐性のある多要素認証の制御の実装を求めていない場合に適用されるとしました*1。選んだ枠組みが求めていれば、そちらで足ります*1。
求められる範囲は3区分です*1。第8B条第3項(a)は組織のインターネット接続された計算機および重要システムへのアクセス、重要部品への特権的および非特権的なアクセス、計算機のアプリケーション、システムまたはサービスへの遠隔のアクセスについて、フィッシング耐性のある多要素認証を求める範囲を明示することを求めます*1。そのうえで第8B条第5項(b)は成功した認証の試行と失敗した認証の試行の双方を、集中的に記録し、監視し、定期的に見直すこととしました*1。
第8C条のラテラルムーブメントのハザードには、分離の要素が6つ書かれています*1。重要システム同士、および重要システムと他の計算機とのあいだで分離できること、重要システムが他のインターネット接続された計算機や重要システムから運用上独立でありうること、他の計算機が復旧または回復の状態にあるあいだ、重要システムが少なくとも3か月にわたり運用を継続できること、通信に対する論理的なアクセス制御を実装すること、通信経路のアクセスログを集中的に記録・監視し、定期的に見直すこと、重要システムに接続する計算機に最小権限の原則を適用することです*1。
3つ目の「3か月」が、設計の重さを決めます*1。復旧のあいだ独立して回り続けられるかを、期間で問う書き方だからです*1。IT-BCPの考え方で扱う復旧目標とは別に、分離した側が単独で持ちこたえる期間を決める必要があります。
供給者は5つの観点で評価される
第10A条は、供給網を2つの作業に分けました*1。地図を描くことと、供給者を評価することです*1。
前者は第10A条第2項です*1。供給網について、主要供給者および重要部品を対象に地図を作る処理または仕組みを求めます*1。主要供給者は提供する製品またはサービスの性質により、責任事業体の重要インフラ資産のセキュリティに重大な影響力を有するあらゆるベンダーと定義されました*1。
そのうえで第10A条第3項は、重要部品の可用性・完全性・信頼性・機密性に影響し、または業務上重要なデータを毀損しうる、供給網のリスクを特定すること、供給網の途絶から生じる、当該資産またはその重要部品の最大許容停止時間を特定すること、合理的に実行可能な限りにおいて、それらのリスクを最小化もしくは除去し、または最大許容停止時間を超える停止の影響を緩和する措置を含めることを求めます*1。
後者の評価が、日本のベンダーに関係します*1。第10A条第5項は、既存または提案中の主要供給者ごとに5つを特定するよう求めました*1。
| 観点 | 条文の求め |
|---|---|
| 法令 | 外国の所有・支配・影響のリスクに関して、当該供給者が服する法律上その他の要件 |
| 制約 | 事業体が服しうる、当該法域に関する制限、制裁その他の障害 |
| 関与の度合い | 提供する製品またはサービスとの関連で、当該供給者が資産に対して持つアクセス、影響力および支配 |
| 評価 | 上の3点が合わさって重大リスクとなりうる程度、または最大許容停止時間を超えうる程度 |
| 対策 | 合理的に実行可能な限りでの、リスクの最小化・除去と影響の緩和の手順 |
要員の側も厳しくなりました*1。第9A条第4項は、重要作業者を適格と評価できる場合を限定し、AusCheckの背景調査の対象となったことと、その完了後に責任事業体が第9条第5項の事項を考慮して適格と評価したことを要件に置きます*1。適格と評価できない場合でも、第9A条第3項(a)(ii)により、雇用に伴うリスクと講じた（または速やかに講じる）措置をCIRMPに書けば、直ちに排除されるわけではありません*1。
第11A条は、物理と自然のハザードを横断で見ることを求めます*1。サイバーおよび情報セキュリティのハザード、資格情報の侵害のハザード、ラテラルムーブメントのハザード、その他の物理および自然のハザード、要員のハザード、ならびに供給網のハザードを含む、あらゆるハザードの発生から生じる物理的セキュリティ上の帰結を検討するという書き方です*1。
日本のベンダーは「評価される側」に立つ
最後に、読み方の整理です*1。
この規則の名宛人は、豪州の重要インフラ資産の責任事業体です*1。日本のIT事業者が直接の義務を負う条文ではありません*1。ただし、第10A条の主要供給者に当たれば、評価される側として同じ項目を問われます*1。
問われるのは、技術の良し悪しよりも構成の説明です。どの区間にアクセスできるのか、誰がどこから入るのか、止まったとき何時間で戻るのか。第10A条第5項の5観点は、そのまま質問票の項目になります*1。ベンダーマネジメントで受け取る側の枠組みを、出す側から見た形と考えると分かりやすくなります。
もう1点、第6A条第2項(c)(d)が国外からの、または遠隔のアクセスを重大リスクに挙げた点は、体制の設計に直接に響きます*1。オフショアや在宅からの保守を排除する条文ではありませんが、リスクとして扱い、対処を書くことが前提になりました*1。ゼロトラストの実装で扱うアクセス経路の設計を、契約と記録の側にも通しておく必要があります。
期限は先に見たとおりです*1。24か月の対象には第8B条、第8C条、第10A条が含まれます*1。認証、分離、供給網という、いずれも作り込みに時間のかかる領域です*1。
まとめ：豪州CIRMPの強化要件で押さえる3つの視点
豪州の重要インフラ安全保障法（SOCI法）に基づくリスク管理プログラム規則が、改正規則LIN 26/075により2026年6月10日に改正されました。押さえたい視点は三つあります。第一に、二層構造。第4A条は強化CIRMP要件の対象を、重要放送資産、重要ドメイン名システム、重要電気資産、重要エネルギー市場運営者資産、重要貨物インフラ資産、重要貨物サービス資産、重要ガス資産、重要液体燃料資産、重要水資産の9つに限り、対象は基本要件と強化要件の双方を満たし、不整合があれば強化要件が優先すると定めました。第6A条は追加の重大リスクとして、社会・経済の安定や国家安全保障・防衛への支障、外国の所有・支配・影響、重要部品への国外からのまたは遠隔のアクセス、業務上重要なデータへの同じアクセスの4つを挙げています。第二に、技術の水準。第8A条第3項はAS ISO/IEC 27001:2023、Essential Eight成熟度レベル2、NIST CSF 2.0、C2M2第2.1版の成熟度指標レベル2、2023 AESCSF Framework Coreのセキュリティプロファイル2という5つの枠組みを列挙し、第4項は項目2・4・5と同等の別枠組みも認めます。第8B条はフィッシング耐性のある多要素認証の範囲を3区分で示し、成否の集中記録と定期的な見直しを求めます。第8C条は分離の要素を6つ挙げ、他の計算機が復旧中でも重要システムが少なくとも3か月は運用を継続できることを含めました。第三に、供給網と期限。第10A条は主要供給者と重要部品の地図、最大許容停止時間の特定、そして供給者ごとに法令、制約、アクセスと影響力と支配、重大リスクの程度、対策という5観点の評価を求めます。第9A条はAusCheckの背景調査を重要作業者の適格性の前提に置きました。猶予は第6A条・第8A条第2項・第9A条第2項が施行から12か月、それ以外の強化要件が24か月の2段階です。
よくある質問
日本の会社にも義務が生じますか。
この規則が直接に義務を課すのは、豪州の重要インフラ資産の責任事業体です。日本のIT事業者が名宛人になる条文ではありません。ただし第10A条第4項・第5項は、責任事業体に対して既存または提案中の主要供給者ごとのリスク評価を求めます。主要供給者は、提供する製品またはサービスの性質により資産のセキュリティに重大な影響力を有するあらゆるベンダーと定義されており、該当すれば法令・制約・アクセスと影響力と支配・重大リスクの程度・対策の5観点を問われる立場になります。
どの枠組みを選べばよいですか。
第8A条第3項が挙げるのは、AS ISO/IEC 27001:2023、Essential Eight Maturity Model（成熟度レベル2）、NIST CSF 2.0、Cybersecurity Capability Maturity Model第2.1版（成熟度指標レベル2）、2023 AESCSF Framework Core（セキュリティプロファイル2）の5つです。第8A条第4項は、項目2・4・5と同等の水準の安全性を達成する別の枠組みでもよいとしていますが、第2欄の条件を含めて同等であることが要ります。項目1と3はこの代替の対象として列挙されていません。
多要素認証はどこまで入れる必要がありますか。
第8B条第3項(a)は、組織のインターネット接続された計算機および重要システムへのアクセス、重要部品への特権的および非特権的なアクセス、計算機のアプリケーション・システム・サービスへの遠隔のアクセスの3区分について、フィッシング耐性のある多要素認証を求める範囲を明示することを求めます。第8B条第5項は、その範囲への実装と、成功・失敗の双方の認証試行を集中的に記録し、監視し、定期的に見直すことを求めています。なお第8B条第1項により、選んだ枠組みがすでにフィッシング耐性のある多要素認証を求めている場合には、この条は適用されません。
いつまでに対応すればよいですか。
第4A条第6項が2段階の猶予を置いています。第6A条、第8A条第2項および第9A条第2項は施行から12か月、それ以外の強化要件（第8A条の残り、第8B条、第8C条、第9A条の残り、第10A条、第11A条）は24か月のあいだ適用されません。施行日は2026年6月10日です。改正規則そのものは2026年9月8日に法令法第48A条で自動廃止されていますが、内容は原則規則の編集版に取り込まれており、期限の計算には影響しません。
出典
- *1 参考：オーストラリア連邦法令登録簿「Security of Critical Infrastructure (Critical infrastructure risk management program) Rules (LIN 23/006) 2023」（2026年6月10日時点の編集版）（https://www.legislation.gov.au/F2023L00112/latest/text）。施行中の条文の一次情報として。第3条の定義（基本CIRMP要件、資格情報の侵害のハザード、重要システム、強化CIRMP要件、FOCI、ラテラルムーブメントのハザード、最大許容停止時間、主要供給者、関連するセキュリティクリアランス）、第4A条（対象9資産、双方の遵守と強化要件の優先、強化要件として指定された条文、12か月と24か月の猶予）、第6A条の追加の重大リスク4項目、第8A条（4つの重大リスクと枠組みの表・同等の枠組み）、第8B条（適用の入口、範囲の3区分、実装と集中的な記録）、第8C条（分離の6要素・3か月の運用継続）、第9A条（アクセス管理、重要作業者の適格性とAusCheckの背景調査）、第10A条（供給網の地図、最大許容停止時間、主要供給者の5観点）、第11A条（物理と自然のハザードの一元管理と全ハザードの物理的帰結）を確認した。確認日は2026年9月9日。（2026年9月確認）
- *2 参考：オーストラリア連邦法令登録簿「Security of Critical Infrastructure Legislation Amendment (Enhanced Critical Infrastructure Risk Management Program) Rules 2026」（F2026L00701・LIN 26/075・2026年6月4日制定）（https://www.legislation.gov.au/F2026L00701/asmade/text）。改正の内容と時期の一次情報として。SOCI法第61条に基づく改正であること、登録の翌日に施行すること、2026年6月9日に登録され2026年6月10日に施行されたこと、および2026年9月8日に2003年法令法第48A条により廃止された（役目を終えた改正法令の自動廃止）ことを、同登録簿の状態の履歴で確認した。確認日は2026年9月9日。（2026年9月確認）
