LASSIC Media らしくメディア
通信設備の変更通知、OSのバージョンまで7区分
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 線引きは稼働回線2万件：搬送事業者は件数を問いません*1。
- 国外での保管が重大リスク：遠隔アクセスも並んでいます*1。
- 変更の届出に契約まで含む：OSのバージョン番号も出します*1。
※ 本記事は2026年9月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
セキュリティの規制で重いのは、たいてい平時の義務ではなく、変えるときの手続です。豪州の通信向け規則は、そこに紙幅を割きました。
重要インフラ安全保障（電気通信セキュリティ・リスク管理プログラム）規則2025は、2025年4月4日に施行されました*1*2。重要インフラ安全保障法2018第61条に基づく規則です*1。
実装と運用の立場から確かめたい点は4つあります。誰が対象なのか、何が重大リスクとされたのか、いつまでに何の水準へ届くのか、変更のときに何を出すのか。条文から順に見ていきます。
目次
対象は「搬送事業者」か「稼働回線2万件」で決まる
まず、線引きから確認します*1。
第5条は、この規則でいう関連する重要インフラ資産を2つに分けました*1。搬送事業者が所有し、または運用する重要通信資産と、関連する搬送サービス提供者資産です*1。
後者の定義に、数量の基準が入っています*1。搬送サービス提供者が所有または運用する重要インフラ資産のうち、ブロードバンドサービス、固定電話サービス、公衆移動体通信サービス、音声のみのサービスを含む、合計2万件以上の稼働中の搬送サービスの提供に関連して用いられるもの、または当該資産が連邦の機関へ提供される搬送サービスに関連して用いられていることを、当該資産の責任事業体が認識しているものが該当します*1。
ブロードバンドサービスの定義も広く取られました*1。建物までの光、縁石までの光、宅内までの光、固定無線のインターネット接続、ハイブリッド光同軸、固定回線のサービス、衛星の接続、そしてその他あらゆる接続の類型です*1。接続の方式で対象を切り分けない書き方です*1。
注記も見落とせません*1。同法第9条第7項のすべての要件を満たすデータ保存システムは、第5条に定める重要インフラ資産の一部とみなされるとされました*1。設備そのものだけでなく、そこに紐づくデータの置き場が資産の一部に入ります*1。
猶予は第7条第2項です*1。法第2A部は、資産が対象になった時から、この規則の施行から6か月を経過する日と当該資産が対象になってから6か月を経過する日のいずれか遅い方まで、適用されません*1。
重大リスクの一覧に「国外」と「遠隔」が並ぶ
第8条は、法第30AH条第8項の目的で重大リスクとみなされるものを列挙しました*1。9項目あります*1。
| 区分 | 条文の内容 |
|---|---|
| 停止 | 管理しきれない期間にわたる資産の機能の停止または大幅な低下 |
| 社会的影響 | 社会または経済の安定、豪州の国家安全保障を害する機能の障害 |
| 重要部品 | 重要部品への実質的なアクセス喪失、または意図的・偶発的な改変（測位・航法・時刻同期のシステムが例示） |
| 情報通信技術 | 資産の機能に不可欠な運用系または情報通信技術への干渉（課金と請求のシステムが例示） |
| 国外 | 資産の運用に関わる情報の国外での保管・伝送・処理 |
| 遠隔 | 運用制御システムまたは運用監視システムへの遠隔アクセス |
| 通信内容 | 通信の毀損、窃取または改変 |
| 無権限の利用 | 主要供給者、重要作業者、マネージドサービス提供者による、資産のセキュリティと機能を毀損する無権限の利用 |
| データ保存 | 業務上重要なデータを保持するデータ保存システムの可用性・完全性・信頼性・機密性への影響 |
「国外」の中身が具体的です*1。条文は配置図、回路図、地理空間情報、構成情報、運用上の制約または許容値の情報、当該資産について合理的な人が秘密または機微とみなすであろうデータの6つを挙げます*1。通信の中身ではなく、設備を説明する情報の置き場が問われている点が、この条文の特徴です*1。
無権限の利用の例示も、実務の光景に近いものでした*1。責任事業体の知らないうちに、主要供給者がモデムへインストールしたソフトウェアという書き方です*1。
この2つを合わせると、海外の拠点から保守で入り、構成情報を手元に置く運用が、そのまま重大リスクの記述対象になります*1。同じ豪州で重要インフラの強化要件が国外・遠隔のアクセスを追加の重大リスクに挙げたのと、方向は同じです。
枠組みは、全対象と搬送事業者で2段階になる
第11条は、参照する枠組みを2つの表に分けました*1。
第3項は、対象となるすべての資産に適用されます*1。AS/NZS ISO/IEC 27001:2023、豪州通信電子局のEssential Eight Maturity Model（成熟度レベル1）、米国NISTの重要インフラのサイバーセキュリティの改善のための枠組み、米国エネルギー省のCybersecurity Capability Maturity Model（成熟度レベル1）、豪州エネルギー市場運営者の2020-21 AESCSF Framework Core（セキュリティプロファイル1）の5つです*1。条件を満たす期限は第7条第2項の猶予が終わってから12か月以内です*1。
第4項は、搬送事業者が所有または運用する資産に上乗せされます*1。Essential Eight（成熟度レベル2）、Cybersecurity Capability Maturity Model（成熟度レベル2）、2020-21 AESCSF Framework Core（セキュリティプロファイル2）の3つで、期限は猶予が終わってから24か月以内です*1。第5項により、同等の枠組み（条件を含む）で代えることもできます*1。
時期を具体化すると、施行が2025年4月4日、猶予はその6か月後まで*1*2。既存の資産であれば、レベル1相当の期限がその12か月後、搬送事業者の上乗せ分がその24か月後という並びになります*1*2。
数字は近い将来の話です。セキュリティ監視の運用を委託で組んでいる場合、成熟度の証跡を出すのは委託先になります。契約の中に、監査や照会へ応じる範囲を書いておく必要が出てきます。
要員と供給網は、一覧にすることが求められる
第12条から第14条は、人と取引先の扱いです*1。
第12条第1項は、CIRMPが事業体の重要作業者を特定すること、重要部品へのアクセスを、適格と評価された重要作業者に限って認めること、そして合理的に実行可能な限り悪意または過失のある従業員・請負人から生じる重大リスクと離任する従業員・請負人の退任手続から生じる重大リスクを最小化または除去することを求めます*1。第2項は、CIRMPが重要作業者を列挙しているかどうかを、採用の判断で考慮するよう定めました*1。
背景調査は任意です*1。第13条第1項の注記は責任事業体は、重要作業者の適格性を評価するためにAusCheckの制度を用いることを求められない。他の措置を用いることも可能であり、その処理または仕組みはCIRMPに含めなければならないとしています*1。強化要件の側がAusCheckの背景調査を前提に置いたのとは、書き方が違います*1。
ただし、AusCheckを用いる場合の中身は指定されます*1。第13条第2項は、AusCheck法第5条(a)から(d)の事項に関する情報の評価を含めることを求め、判定の基準を犯罪歴の基準とし、本人確認について電子的な本人確認と対面の本人確認の双方で構成しなければならないとしました*1。
第14条は供給網です*1。供給網への無権限のアクセス、干渉または悪用、供給網の提供者による特権的アクセスの濫用、供給網の問題に起因する資産の途絶、供給網における人・資産・機器・製品・サービス・流通・知的財産への脅威、主要供給者から生じるもの、供給網にある他の資産や事業体の障害または能力低下という6つを、最小化または除去する対象に挙げます*1。そして第2項は、CIRMPが主要供給者を列挙しているかどうかを問います*1。
第15条は物理と自然のハザードで、物理的な重要部品の特定、無権限のアクセスが起きたときの対応、重要作業者または同行のある訪問者に限るアクセス制御、侵害を検知・遅延・抑止し、対応し、復旧する上での取決めの有効性と適切性の試験を求めました*1。
変更の届出が、いちばん重い
第4部は、法第30EC条第1項の目的で搬送事業者が所有または運用する重要通信資産を指定します*1。変更または変更の提案について、長官へ届け出る仕組みです*1。
第17条第1項は責任事業体は、当該変更または提案されている変更について長官が評価を行うために合理的に必要なすべての情報を提供しなければならないと定め、第2項が、合理的に実行可能な限り提供すべき情報を7区分で挙げました*1。
| 区分 | 条文の求め |
|---|---|
| リスク評価 | 重大リスク、供給網のハザード、物理的セキュリティと自然のハザード、要員のハザード、サイバーと情報のハザードを（該当する範囲で）検討した評価 |
| 検討の証拠 | 統制がハザードや重大リスクをどう最小化・除去しうるかを評価したこと、および意図する成果を達成しうる他の変更の重大リスクを評価したことを示す書面の証拠 |
| ソフトとハード | 導入・利用・変更・影響を受けるすべてのソフトウェアとハードウェアの詳細。該当する運用システムのバージョン番号と、その他の主要なソフトウェア構成要素を含む |
| 主要供給者 | 当該案件に関係する主要供給者の詳細。新規のハードウェア要素、ソフトウェア要素、第三者のサービスの取決めに関する契約や外部委託の取決めを含む |
| 図と文書 | 既存要素とのインタフェース、セキュリティ統制、導入される計算機で業務上重要なデータがどう使われ保管されるか、第三者システムとのネットワーク間インタフェースを記述した、詳細な回路図とシステム文書 |
| 時間軸 | 計画、開発および実装のタイムライン |
| その他 | その他の関連する情報 |
3番目と4番目が、受託側に直接に関わります*1。運用システムのバージョン番号という粒度で書かせ、契約や外部委託の取決めを添えさせるからです*1。自社が結んだ契約が、発注元を通じて規制当局の評価の材料になる、という前提になります*1。
ネットワーク間インタフェースの定義も置かれています*1。重要通信資産と、別の事業体が所有または運用する他の重要通信資産または計算機との、物理的または仮想的な接続もしくは相互接続の点です*1。境界の相手が誰かまで書く、という求めになります*1。
受託する側は、構成情報の出せる形を先に決める
ここまでを、設計の言葉に置き換えます*1。
第一に、構成情報を「出せる形」で持つことです*1。第17条第2項(c)が求めるのはバージョン番号の粒度で、変更の都度これを起こしていては間に合いません*1。構成管理の台帳から機械的に出せる状態にしておくのが素直な作りです。
第二に、契約と技術の対応づけです*1。第17条第2項(d)は、新規のハードウェア要素・ソフトウェア要素・第三者サービスの取決めごとに、契約や外部委託の取決めを求めます*1。要素と契約が一対一で引ける台帳がないと、届出のたびに突き合わせの作業が発生します。ベンダーマネジメントの記録を、調達の単位ではなく構成要素の単位で持たせておく理由がここにあります。
第三に、情報の置き場です*1。第8条(e)が挙げた6種類のうち、配置図・回路図・構成情報は、まさに第17条で提出を求められるものと重なります*1。同じ情報を、国外で持つことは重大リスクとして扱い、国内では長官へ出せる状態にしておく、という二重の要請になります*1。保管の場所と権限を、資料の種類ごとに決めておく必要があります。
第四に、対象かどうかの判定です*1。稼働回線2万件という基準は、事業の成長で越えます*1。連邦機関へ提供しているかどうかも、間に販売の経路が入ると見えにくくなります*1。第5条の判定を年に一度は見直す運用にしておくのが安全側です。
なお、CIRMPそのものの体裁も第9条と第10条が定めます*1。運用の文脈の特定、重大リスクの特定、最小化・除去と影響の緩和、見直しの仕組み、最新性を保つ仕組みが要件で、採用の判断では他の資産との相互依存、策定と実施に責任を持つ役職の特定と連絡先、リスク管理の方法論、見直しを行う状況を考慮します*1。役職と連絡先まで書かせる点が、この規則の一貫した性格を示しています*1。
まとめ：豪州の電気通信リスク管理規則で押さえる3つの視点
重要インフラ安全保障（電気通信セキュリティ・リスク管理プログラム）規則2025は、重要インフラ安全保障法2018第61条に基づき、2025年4月4日に施行されました。押さえたい視点は三つあります。第一に、対象の線引き。第5条は、搬送事業者が所有または運用する重要通信資産と、関連する搬送サービス提供者資産を対象にします。後者は、ブロードバンド、固定電話、公衆移動体通信、音声のみを含む合計2万件以上の稼働中の搬送サービスに用いられる資産か、連邦の機関へ提供される搬送サービスに用いられていると責任事業体が認識している資産です。法第9条第7項の要件を満たすデータ保存システムも資産の一部とみなされます。猶予は、施行から6か月と資産が対象になってから6か月のいずれか遅い方までです。第二に、重大リスクと水準。第8条は9項目を挙げ、そこには資産の運用に関わる情報（配置図、回路図、地理空間情報、構成情報、運用上の制約や許容値、機微なデータ）の国外での保管・伝送・処理、運用制御や運用監視システムへの遠隔アクセス、主要供給者・重要作業者・マネージドサービス提供者による無権限の利用が含まれます。第11条は、全対象資産についてAS/NZS ISO/IEC 27001:2023、Essential Eight成熟度レベル1、NISTの重要インフラのサイバーセキュリティ改善の枠組み、C2M2成熟度レベル1、2020-21 AESCSFセキュリティプロファイル1の5つを挙げ、猶予終了から12か月以内の達成を求め、搬送事業者の資産にはさらに成熟度レベル2相当を猶予終了から24か月以内で上乗せします。同等の枠組みでの代替も認められます。第三に、変更の届出。第4部は搬送事業者の資産を指定し、第17条が7区分の情報を求めます。リスク評価、統制と代替案の検討を示す書面の証拠、運用システムのバージョン番号を含むソフトとハードの詳細、契約や外部委託の取決めを含む主要供給者の詳細、ネットワーク間インタフェースを含む詳細な回路図とシステム文書、計画・開発・実装のタイムライン、その他の関連情報です。
よくある質問
稼働回線2万件はどう数えますか。
第5条の定義は、搬送サービス提供者が所有または運用する重要インフラ資産のうち、ブロードバンドサービス、固定電話サービス、公衆移動体通信サービス、音声のみのサービスを含む合計2万件以上の稼働中の搬送サービスの提供に関連して用いられるものを対象にします。サービスの種類ごとではなく合計で見る書き方です。またブロードバンドサービスの定義には、建物までの光、縁石までの光、宅内までの光、固定無線、ハイブリッド光同軸、固定回線、衛星に加えて「その他あらゆる接続の類型」が含まれています。件数に届かなくても、連邦の機関へ提供される搬送サービスに用いられていると認識している場合は対象です。
背景調査は義務ですか。
この規則では任意です。第13条第1項の注記は、責任事業体がAusCheckの制度を用いることを求められないと明記し、他の措置を用いてもよいとしています。ただし、その処理または仕組みはCIRMPに含める必要があります。AusCheckを用いる場合は中身が指定され、AusCheck法第5条(a)から(d)の事項に関する情報の評価を含め、判定の基準は犯罪歴の基準、本人確認は電子的な確認と対面の確認の双方で構成しなければなりません。
変更の届出で、委託先の契約まで出すのですか。
第17条第2項(d)は、当該案件に関係する主要供給者の詳細として、新規のハードウェア要素、ソフトウェア要素、第三者のサービスの取決めに関する契約や外部委託の取決めを含めるよう求めています。主要供給者は、提供する製品またはサービスの性質により責任事業体の重要通信資産のセキュリティに重大な影響力を有するあらゆるベンダーと定義されます。受託する側から見ると、発注元の届出を通じて、契約の内容が長官の評価の材料になりうるということです。
成熟度の期限はいつですか。
第7条第2項の猶予が起点です。猶予は、この規則の施行から6か月を経過する日と、資産が対象になってから6か月を経過する日のいずれか遅い方までです。第11条第3項(b)は、全対象資産について、猶予が終わってから12か月以内に表の条件（Essential Eightは成熟度レベル1など）を満たすよう求めます。第11条第4項(b)は、搬送事業者が所有または運用する資産について、猶予が終わってから24か月以内に成熟度レベル2相当を求めます。施行は2025年4月4日です。
出典
- *1 参考：オーストラリア連邦法令登録簿「Security of Critical Infrastructure (Telecommunications Security and Risk Management Program) Rules 2025」（F2025L00325・2025年3月1日制定／2025年3月11日登録）（https://www.legislation.gov.au/F2025L00325/latest/text）。本文の一次情報として。第2条の施行（登録の翌日と、重要インフラ安全保障その他法令改正（対応と予防の強化）法2024の附則5第1部・第2部の施行のいずれか遅い方）、第4条の定義（ブロードバンドサービス、犯罪歴の基準、主要供給者、ネットワーク間インタフェース、関連する搬送サービス提供者資産＝稼働回線2万件または連邦機関への提供）、第5条の対象とデータ保存システムの注記、第7条第2項の6か月の猶予、第8条の重大リスク9項目、第9条・第10条のCIRMPの要件と採用の判断、第11条の枠組みの2つの表と12か月・24か月、第12条から第15条（要員、背景調査、供給網、物理と自然）、第16条・第17条の変更の届出と7区分を確認した。確認日は2026年9月9日。（2026年9月確認）
- *2 参考：オーストラリア連邦法令登録簿「Security of Critical Infrastructure and Other Legislation Amendment (Enhanced Response and Prevention) Act 2024」（2024年法律第100号）（https://www.legislation.gov.au/C2024A00100/asmade/text）。施行日の一次情報として。第2条の施行表により、附則5第1部および第2部が2025年4月4日に施行された（布告F2025N00230）ことを確認した。これにより電気通信セキュリティ・リスク管理プログラム規則2025の施行日が2025年4月4日と定まる。確認日は2026年9月9日。（2026年9月確認）
