LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

「どのセキュリティ枠組みに従うか」を選べる制度は、選択肢が並んでいるだけでは動きません。選んだ枠組みが求める統制と、制度が本来求めている統制が同じだと、どうやって示すのか。ここを文書の形で決めた改正が豪州で施行されました。

豪州の財務大臣は2025年11月17日、デジタルID（認定）改正（PSPF及びその他の措置）規則2025を制定しました*1。デジタルID法2024第168条にもとづく規則で、施行は登録の翌日、2025年11月18日です*1。改正の対象は認定の要件を定めるデジタルID（認定）規則2024で、改正後の条文は同規則の第1版の編纂として公表されています*2。

改正は3つの附則に分かれます*1。附則1がPSPF関連、附則2が同意の有効期間、附則3が停止と再開です*1。中心は附則1で、認定事業者が従うセキュリティ枠組みの構造そのものが組み替えられました。順に見ていきます。

枠組みは3つ。ただし選べる相手が分かれた

まず、定義の側の変更です*1。

改正は規則1.4条(2)の保護的セキュリティ枠組みの定義を差し替え、(a)PSPF（保護的セキュリティ政策枠組み）、(b)ISO/IEC 27001、(c)代替枠組み（規則4.5条を参照）の3つとしました*1。あわせて保護的セキュリティ枠組み統制という語を新設し、関連PSPF統制、ISO/IEC 27001が定める統制、代替枠組みが定める統制のいずれかを指すものとしました*1。非法人連邦機関の定義も、公共統治・実績・説明責任法2013と同じ意味として挿入されました*1。

そのうえで、規則4.2条から4.4条が丸ごと差し替えられます*1。新しい規則4.2条は、事業者の区分で従う枠組みを分けます*1。

この分岐が改正の要点です*1。従来は民間の事業者もPSPFを実装する道がありましたが、新しい規則4.2条(1)の選択肢にPSPFは入っていません*1。民間はISO/IEC 27001か代替枠組みのいずれかを選び、PSPFは政府の非法人連邦機関に割り当てられました*1。規則4.5条(3)はさらに、代替枠組みが定める統制に関連PSPF統制を含めてはならないと定め、迂回の道も閉じています*1。

DIデータ環境という語も押さえておきます*1。編纂後の規則1.4条は、デジタルIDデータ環境を認定事業者については、その認定サービスのために用いられる情報技術システムおよびこれに関連する過程と定めます*2。守る対象が「会社全体」ではなく、認定サービスを支えるシステムとその運用の範囲に切られている点は、適用範囲を決める作業に直接効いてきます*2。ISO/IEC 27001の認証そのものの進め方はISMS（ISO/IEC 27001）認証取得で扱っています。

用語の言い換えも全体に及びました*1。規則3.5条や4.6条などで実装するという語が適合するに置き換えられました*1。枠組みを丸ごと導入したかどうかではなく、統制ごとに適合しているかを見る書き方に寄せた変更です*1。

PSPFの51統制と、2つの読み替え規定

政府機関側に適用される関連PSPF統制は、規則4.3条が表で列挙します*1。

条文は次の表に掲げるPSPFの各要求は、関連PSPF統制であると述べ、要求番号を51件並べます*1。要求0007から始まり、0017から0026まで、0036から0042まで、0115から0117、0129から0131、0200から0203などが含まれます*1。PSPF全体ではなく、番号で指定した51件だけを引く形です*1。規則1.4条の注記は、規則1.7条(2)の施行時点における現行版が2025年7月24日に公表されたPSPFであったことを記録しています*1。

外部の枠組みを法令に引き込むときの調整も、条文で行われました*1。新設の規則1.7A条は、この規則がPSPFを引用・適用する目的において、PSPFに次の修正を加えると定めます*1。(a)PSPFにおける豪州政府の資源または豪州政府の人員及び資源への言及は、DIデータ環境への言及とみなす。(b)PSPFにおけるリスクへの言及は、サイバーセキュリティリスクへの言及とみなす*1。

同じことがISO/IEC 27001についても行われます*1。新設の規則1.7B条は、(a)同標準における個人識別情報への言及は法律上の個人情報への言及とみなし、(b)情報セキュリティインシデントへの言及は法律上のサイバーセキュリティインシデントへの言及とみなし、(c)情報セキュリティリスクへの言及はこの規則上のサイバーセキュリティリスクへの言及とみなすと定めます*1。

この2条は、実務では読み替え表として使えます*1。外部の標準をそのまま参照する制度では、標準の用語と制度の用語がずれたまま運用が始まり、監査の場で解釈が分かれます*1。どの語をどの語として読むかを条文に固定しておけば、対応の記録を作る側も、それを見る側も同じ土台に立てます*1。この進め方はセキュリティ運用管理の設計と同じ形です。

文書の扱いにも整理が入りました*1。規則4.12条(2)は、関連PSPF統制に適合する事業者について、その事業者のシステムセキュリティ計画は、PSPFの3.1節（セキュリティ計画を扱う節）にいうセキュリティ計画であるとし、当該計画はこの規則がシステムセキュリティ計画に含めることを求めるその他の情報を含まなければならないと定めます*1。同じ文書を二重に作らせず、足りない項目だけを追加させる建て方です*1。

代替枠組みを使うなら、対応表を作って維持する

民間の選択肢のうち、(b)の代替枠組みには条件が付きます*1。差し替えられた規則4.5条(1)から(3)がその中身です*1。

規則4.5条(1)は認定事業者（非法人連邦機関を除く）は、当該事業者がISO/IEC 27001が定める統制と同じ種類の統制のすべてに適合していることを(2)に従って示す場合にかぎり、代替枠組みの統制に適合することができると定めます*1。代替枠組みを選ぶ自由はあるが、ISO/IEC 27001と同等であることの立証責任は事業者側にある、という構造です*1。

示し方は(2)で具体的に決められました*1。事業者は最新の状態に保たれた文書を作成し、維持しなければならないとされ、その文書は次の2つを満たします*1。

(b)が実務ではきわどい要求です*1。対応表を作ると、たいてい「代替枠組みの側に相当する統制がない」欄が残ります*1。この規則は、その欄を空欄のままにさせず、足りない統制を名指しで書かせる形にしました*1。自分の枠組みの弱いところを、自分の文書に書いて維持することになります*1。

この作り方は、複数の基準を並行して受ける場面でそのまま使えます*1。統制の一覧を軸に、どの基準のどの項目に当たるかを1つの表で持ち、当たりがないものを別の列で管理しておくと、基準が増えたときの追加作業が差分で済みます*1。監査報告の受け方を含めた整理はSOC 2報告書とSaaSの監査で扱っています。

移行の猶予も条文に置かれました*1。新設の第8章（適用・留保・移行規定）のうち規則8.3条は、施行日の直前に非法人連邦機関ではない認定事業者が、認定サービスとDIデータ環境についてPSPFを実装していた場合を扱います*1。この事業者は、規則4.2条(1)にかかわらず、施行日から始まる12か月の期間中は、(a)ISO/IEC 27001のすべての統制、(b)規則4.5条に従う代替枠組みの統制、(c)PSPFに従う関連PSPF統制のいずれに適合してもよいとされます*1。この期間中に(c)を選んでいても、規則4.2条の目的で適合しているものとみなされます*1。

審査中の申請にも留保が置かれました*1。規則8.2条は、施行日より前に行われ、まだ最終的に決定されていない申請について、附則1による改正がなされなかったものとして、従前の規則が施行日以後も引き続き適用されると定めます*1。申請の途中で基準が動かない扱いです*1。

改定への猶予、同意の有効期間、停止と再開の期日

残る変更を、期日の観点でまとめます*1。

まず、引用している文書が改定されたときの扱いです*1。差し替えられた規則1.7条(2)はこの規則に反対の意図が現れているときを除き、認定事業者は次のものに適合することを求められないとして2つを挙げます*1。(a)この項の施行後に行われたPSPFの改定については、当該改定が効力を生じてから3か月が経過するまで。(b)その他の引用されたあらゆる文書の改定については、当該改定が効力を生じてから12か月が経過するまでです*1。

改定の追随に期限を切ることで、標準の版が上がった瞬間に不適合になる状態を避けています*1。PSPFが3か月、それ以外が12か月という差は、政府の政策文書と国際標準の改定の頻度と重さの違いに合わせたものと読めます*1。

附則2の同意の有効期間を、もう少し見ておきます*1。編纂後の規則4.41条は、公衆向けの認定サービスを提供する事業者に同意を変更または撤回する明確で簡単な手続を本人へ提供させ、同条(3)で、同意が最も早く到来する事由で失効するとして、本人が指定した期間や事業者が取得時に指定した期間を並べます*2。

改正が差し替えたのは、その最後の号です*1。認定事業者が属性サービス提供者であり、かつ本人が同意において当該事業者の認定サービスの利用が事業のため（本人が営む事業を含む）であると申告する場合は、同意が当初与えられてから7年、それ以外の場合は12か月*1。事業目的の利用だけを長期側に振り分ける建て方です*1。同意の期限を持たせる設計そのものは同意管理の実装で扱っています。

附則3の停止と再開は、適用開始日の付け替えです*1。編纂後の規則5.7条は、本人がIDサービス提供者へ一時停止を求めた場合に、要求の正当性を確認し、確認後できるだけ速やかに使用を停止し、停止後に本人へ停止したことと再開の手続を通知することを求めます*2。規則5.9条(2)は、規則5.8条により停止されたデジタルIDを再開するとき、停止されたデジタルIDの本人確認水準で本人確認を完了することを確保させます*2。この2つが、移行した認定事業者には2026年11月30日以後に適用されます*1。実装の勘所はeKYCとオンライン本人確認で整理しました。

受託側・発注側が先に決めておくとよい4点

豪州の認定制度の話ですが、作業の形は他の認定・認証でも同じです。持ち帰れる点を4つ挙げます。

1点目は、適用範囲を「会社」ではなく「サービスとその基盤」で切ることです*2。この規則が守る対象はDIデータ環境、すなわち認定サービスのために用いられる情報技術システムとその過程です*2。会社全体に広げると統制の適用先が膨らみ、狭く切りすぎると認定の対象を外れます。範囲を構成図の単位で確定してから統制の割り当てに進むほうが手戻りが少なくなります。

2点目は、統制の対応表を成果物として持つことです*1。規則4.5条(2)は、対応表を作るだけでなく最新の状態に保つことを求め、足りない統制を明記させます*1。社内で使っている基準と、求められる基準の対応を1つの表に集め、当たりがない項目を別列で管理しておけば、基準が追加されたときの作業は差分で済みます。この表は監査の場で示す資料にもなります。

3点目は、用語の読み替え表を先に作ることです*1。規則1.7A条と1.7B条は、外部の標準の語を制度の語へ読み替える対応を条文に固定しました*1。外部標準を参照する社内規程でも、標準側の用語と自社の用語の対応を1枚にしておくと、監査での解釈の食い違いと、規程を書き換えるときの漏れが減ります。統制の割り当てと権限の管理をつなぐ考え方はIDガバナンスで扱っています。

4点目は、版が上がったときの猶予を運用に組み込むことです*1。この規則はPSPFの改定に3か月、その他の引用文書の改定に12か月の猶予を置きました*1。参照している標準やガイドラインの改定を検知する担当と、差分を読んで社内文書へ反映する期間を先に決めておくと、猶予の中で作業を終えられます。豪州のデジタルID制度の他の部分については、救済の仕組みを豪州デジタルID救済枠組み規則で扱っています。

まとめ：豪州デジタルID認定規則の改正で押さえる3つの視点

豪州の財務大臣は2025年11月17日、デジタルID法2024第168条にもとづきデジタルID（認定）改正（PSPF及びその他の措置）規則2025を制定し、2025年11月18日に施行しました。押さえたい視点は三つあります。第一に、枠組みの分岐。保護的セキュリティ枠組みはPSPF、ISO/IEC 27001、代替枠組みの3つと定義され、規則4.2条は、非法人連邦機関以外の認定事業者にISO/IEC 27001のすべての統制または代替枠組みの統制への適合を求め、非法人連邦機関には規則4.3条が51件を列挙する関連PSPF統制への適合を求めます。民間の選択肢からPSPFは外れ、代替枠組みに関連PSPF統制を含めることも禁じられました。第二に、代替枠組みの条件。ISO/IEC 27001と同じ種類の統制すべてに適合していることを、最新の状態に保った文書で示す必要があり、その文書は代替枠組みの統制をISO/IEC 27001の統制へ対応づけ、代替枠組みが求めていない種類の統制を名指しで特定します。第三に、期間の設計。PSPFの改定には3か月、その他の引用文書の改定には12か月の猶予が置かれ、施行前にPSPFを実装していた民間の事業者には施行日から12か月の移行期間が与えられました。

よくある質問

出典

1. *1　参考：豪州連邦法令登録簿「Digital ID (Accreditation) Amendment (PSPF and Other Measures) Rules 2025」（F2025L01394・財務大臣2025年11月17日制定・2025年11月18日施行・デジタルID法2024第168条にもとづく）（https://www.legislation.gov.au/F2025L01394/asmade/text）。改正規則の一次情報として。登録簿のEPUB本文（F2025L01394/asmade/2025-11-18/text/original/epub/OEBPS/document_1/document_1.html）で条文を確認した。第1条から第4条（名称・登録の翌日施行・デジタルID法2024第168条の授権・附則）、附則1（規則1.4条(2)への非法人連邦機関の定義の挿入、保護的セキュリティ枠組みの定義の差し替え＝PSPF／ISO/IEC 27001／代替枠組み、保護的セキュリティ枠組み統制の新設、PSPFの注記の差し替え＝2025年7月24日公表版、規則1.7条(2)の差し替え＝PSPFの改定に3か月・その他の引用文書の改定に12か月、規則1.7A条と1.7B条の新設＝用語の読み替え、規則4.2条から4.4条の差し替え、規則4.3条の関連PSPF統制の表51件、規則4.5条(1)から(3)の差し替え＝ISO/IEC 27001への対応表と関連PSPF統制の除外、規則4.12条(2)の差し替え、第8章の新設＝審査中の申請への従前規則の適用と12か月の移行、附則5の廃止）、附則2（規則4.41条(3)(d)の差し替え＝属性サービス提供者で事業のためと申告された場合は7年・それ以外は12か月）、附則3（規則1.8条(1)の起算を2025年11月30日以後へ変更・表の第11項と第12項の削除、同条(1A)の新設＝規則5.7条と規則5.9条(2)は移行した認定事業者に2026年11月30日以後に適用、同条(2)の参照の修正）を確認した。確認日は2026年9月9日。（2026年9月確認）
2. *2　参考：豪州連邦法令登録簿「Digital ID (Accreditation) Rules 2024」（F2024L01438・現行の編纂版 F2025C01255・2025年11月19日登録・編纂第1版）（https://www.legislation.gov.au/F2024L01438/latest/text）。改正が反映された現行条文の確認として。登録簿のOData API（api.prod.legislation.gov.au/v1/titles/F2024L01438 の versions）で現行の編纂版がF2025C01255（2025年11月19日開始・編纂第1版）であることを確認し、EPUB本文（F2024L01438/2025-11-19/2025-11-19/text/original/epub/OEBPS/document_1/document_1.html）で条文を確認した。規則1.4条の定義（ASP、DIデータ環境）、規則4.41条（同意の有効期間と失効の並び）、規則5.7条（本人の求めによる一時停止）、規則5.8条（不正・インシデントの影響を受けたデジタルIDの扱い）、規則5.9条(1)(2)(3)（再開時の本人確認と生体紐付け、再開義務の不存在）を確認した。確認日は2026年9月9日。（2026年9月確認）

Tweet