シンガポールの新サイバー規則、重要インフラ運営企業に取締役会の責任と周辺システムの認証を要求

攻撃者は、CII本体より防御が弱い周辺システムを侵入口として利用する可能性がある。シンガポール当局も、脅威アクターが非CIIシステムを狙う傾向を指摘している。

2. サイバーセキュリティは取締役会全体の責任に

改定後の枠組みでは、サイバーリスクへの責任はIT部門や特定の担当役員だけにとどまらない。取締役会全体と上級経営陣が、サイバーリスクの監督と攻撃後の復旧を担うことになる。

取締役会は、次の項目を含むサイバーレジリエンスの枠組みを文書化し、少なくとも年1回見直さなければならない。

• 組織が許容するサイバーリスクの水準
• リスクを低減・管理するための対策
• 保険などを含むリスク移転の可能性
• 復旧の優先順位と復旧能力

これにより、サイバーレジリエンスは一度きりのコンプライアンス対応ではなく、継続的な経営課題となる。取締役は、どの程度のリスクを受け入れるのか、重大なインシデント後にどの業務を優先して再開するのかを明確に判断する必要がある。

3. CIIと接続するシステムにも監督を拡大

CIIと接続する、通信する、またはCIIを支援するシステムについても、CII所有者は監督体制を維持しなければならない。新たな要件では、ネットワークアーキテクチャ、監視・検知の管理、連携したインシデント対応に向けた包括的なサイバー演習計画も重視される。

実務上は、依存関係をより詳細に把握することが必要になる。正式なCII指定の対象外であっても、重要サービスへの侵入経路となったり、攻撃後の復旧に影響したりするシステムは、より厳しく点検しなければならない。

4. 支援用の非CIIシステムにCyber Trust Mark Level 5

CII所有者は、事業運営やサービスを支える自社管理の非CIIシステムについて、2027年末までに「Cyber Trust Mark（CTM）」Level 5の認証を取得する必要がある。これは、正式に重要インフラと指定されたシステムの外側にも、セキュリティ保証の範囲を広げる措置だ。

Level 5は、シンガポールのCyber Trust制度における最高位。制度の対象には、従来型のサイバーセキュリティに加え、クラウド、運用技術（OT）、AIのセキュリティも含まれる。

CII本体だけを堅牢にしても、認証情報、管理ツール、ネットワーク、復旧手順を共有する周辺の企業システムが弱ければ、攻撃の足掛かりになり得る。今回の要件は、こうした「境界の外側」の弱点を減らすことを目的としている。

なぜシンガポールは規制を強化するのか

AIによって防御に残された時間が短くなる

CSAによると、今回の改定はAPTやAIを利用した脅威への対応を目的としている。AIは攻撃者の活動をより速く、大規模かつ高度にする可能性があり、組織には狭い境界防御だけでなく、環境全体で不審な挙動を早期に検知して対応する力が求められる。

そのため、政策対応は単一の技術対策に限られない。脅威検知、経営ガバナンス、認証、演習を組み合わせ、侵入を防げなかった場合にも重要サービスを継続・復旧できる体制を整える考え方だ。

UNC3886が通信インフラの戦略的重要性を示した

2025年のUNC3886による活動では、シンガポールの主要通信事業者4社が標的になった。同国はこの活動を、先進的な能力を持つ攻撃者による、意図的で標的を絞った計画的なキャンペーンと説明している。

CSAはUNC3886について、「Living off the Land」と呼ばれる正規ツール悪用の手法やゼロデイ脆弱性の悪用など、高度な戦術・技術を用いる国家支援型APTグループだと説明している。同グループなどは、重要インフラを含む価値の高い戦略資産を標的にする。

シンガポールは、政府機関と通信会社が連携する「Operation CYBER GUARDIAN」を実施した。当局によれば、インシデントは通信サービスを中断させることなく封じ込められ、顧客データが侵害された証拠も確認されなかった。

サービス停止が報告されなかったとしても、この事案が他分野にとって無関係になるわけではない。通信、エネルギー、医療、金融、運輸などの生活・経済基盤が戦略的な標的になり得ること、そして防御対象はCIIそのものだけでなく、その周辺システムや取引先にも及ぶべきことを示している。

次の焦点はクラウドと第三者委託先

シンガポールは2026年後半、クラウドサービス向けの法的拘束力を持つ別の「Cybersecurity Code of Practice」を導入する予定だ。CIIをクラウド環境で運用する際の、安全な導入・運用・管理が主な対象になる見込みだ。

CSAは、AWS、Google Cloud、Microsoft Azureと協力し、適切な設定やクラウドネイティブのセキュリティ機能の利用方法を含む、クラウド事業者ごとの実装ガイダンスを作成している。

サプライチェーンにも期限が設けられる。

• CIIの監査を行う監査人：2026年末までにCTM Level 5
• 認可を受けたペネトレーションテスト事業者およびマネージドセキュリティオペレーションセンター事業者：2026年末までにCTM Level 3
• CII所有者：関連する支援システムについて2027年末までにCTM Level 5

重要インフラの安全性は、運営企業だけで決まるものではない。監査、監視、検査、クラウドホスティングを担う企業のセキュリティ水準にも左右されるという考え方が、今回の制度に反映されている。

まだ明らかになっていない点

CSAは改定後のCII要件を公表している一方、別途導入されるクラウド向け規範の詳細は策定途上にある。公開資料では導入時期と大まかな対象は示されているが、クラウド事業者、再委託先、責任分担モデルに関する具体的な要件は、まだ全面的には明らかになっていない。

CII運営者がまず取り組むべきなのは、指定されたCIIだけでなく、接続システム、クラウド上のワークロード、復旧環境、サプライヤー、外部委託のセキュリティサービスまで依存関係を洗い出すことだ。詳細な実装ルールの一部が今後示されるとしても、シンガポールの方向性は明確だ。守るべき境界は、CIIというラベルの付いたシステム単体ではなく、事業を動かすエコシステム全体へと広がっている。