Publication
ニュースレター
特集
※本ニュースレターは情報提供目的で作成されており、法的助言ではありませんのでご留意ください。また、本ニュースレターは発行日（作成日）時点の情報に基づいており、その時点後の情報は反映されておりません。特に、速報の場合には、その性格上、現状の解釈・慣行と異なる場合がありますので、ご留意ください。
本ニュースレターは、高性能AIの登場を踏まえたサイバーセキュリティへの対応を取り上げる連載の第2回です。第1回では、Anthropic社の「Claude Mythos Preview」及び「Project Glasswing」といったAI開発をめぐる動向、及び日本政府が2026年5月18日に公表した「Project YATA-Shield」の内容を概観しました。
第1回でも述べたとおり、Project YATA-Shieldを含む日本政府の施策は、直接的には重要インフラ事業者等及びソフトウェア・ベンダを念頭に置いたものですが、これらの事業者の背後には様々なサプライヤーや階層的な下請け・孫請け事業者が存在することから、間接的に影響を受ける事業者の数は相当数に及ぶことが想定されます。また、Claude Mythos Previewのような高性能AIがサイバー攻撃者により悪用されることによるサイバーセキュリティリスクの増大は、業種・規模を問わず多くの事業者に共通するリスクであり、重要インフラ事業者等に限らず一般の事業者においても対処すべきリスクとなります。
そのため、各事業者において、高性能AIによってサイバーセキュリティリスクが高まり得ることを認識した上で、Project YATA-Shieldにおける注意喚起事項も参考にしつつ、平時のサイバーセキュリティ対応を改めて見直すことが重要になってくると考えられます。今回は、かかる観点から、システム・ソフトウェアの脆弱性対応について、既存対策の見直し、脆弱性管理プロセスの強化、サプライチェーンにおけるリスク管理、及び平時からの有事対応体制の整備に関し、自社の事業の性質等に応じた対応を検討する際に考慮することが望ましいと考えられる論点を整理します※1。
多くの事業者においては、サイバーセキュリティを既に経営課題として位置付け、リスク対策の方針策定や実施体制の整備が一定程度進められているものと思われます。もっとも、高性能AIの導入により、脆弱性の発見から悪用までの時間が大幅に短縮され、多数の脆弱性への同時並行的な対応が求められる可能性が高まっていること等、脅威の状況は急速に変化していくことが見込まれます。経営層においては、これらの新たなリスクを正面から認識した上で、現行の対策方針、予算・人材の配分、モニタリングの在り方が、変化するサイバーセキュリティリスクに照らしてなお十分であるかを継続的に検証※2し、必要に応じて見直しを行うことが重要になってくると考えられます※3。
そして、このような検証・必要に応じた見直しを進めていく際、Project YATA-Shieldにおいて基本的な対策として掲げられている、資産管理※4、脆弱性管理、アカウント管理・認証・アクセス制御、バックアップ、監視・分析、事業継続計画、インシデント対応・復旧、サプライチェーン・リスクへの対応等の各項目は、自社の整備状況を点検する際の参考となります。これらは重要インフラ事業者等に固有の要請ではなく、サイバーセキュリティ対策の基礎をなすものであり、新たなサイバーセキュリティリスクの下でその内容が引き続き妥当であるかを確認することが望ましいと考えられます。
なお、分野別の対応の先行例として、金融分野において、金融庁及び日本銀行は、2026年5月22日に、金融機関等に対して、「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応」に係る要請（以下「金融庁・日銀要請」）を行っています。この金融庁・日銀要請は、①高性能AIへの対応を経営課題として扱うこと、②優先的に対応すべきサービス/ITシステムを特定すること、③特定した資産の技術負債を解消しておくこと、④パッチ適用に係る人的リソースを追加すること、⑤ベンダとの維持保守契約の内容を確認すること、⑥パッチ適用プロセスをリスクベースにすること、⑦パッチ適用以外の対策も強化すること、⑧優先的に対応すべきサービス/ITシステムの停止に備えること、及び⑨外部との連携を維持・強化することの9項目から構成されています。同要請は直接的には金融機関等を名宛人とするものですが、高性能AIによる脅威を踏まえて事業者が短期的に実施すべき対応を当局が具体的に整理した文書であり、金融分野以外の事業者においても、自社の平時の対応を点検する際の参考になるものと考えられます※5。
上記のようなサイバーセキュリティリスクを踏まえると、脆弱性管理の在り方は、ますます重要性を増していくものと考えられます。具体的には、以下の点について、平時から実施しておくことの重要性がより高まり得ると考えられます。
特に、(3)に関しては、多数の脆弱性への同時並行的な対応が求められる事態を想定し、迅速に社内決定を行うために決裁権者の明確化・意思決定手続の整備や、業務への影響を伴う修正プログラムの適用の意思決定フロー等をあらかじめ整理しておくこともポイントになり得ると思われます。この点に関しては、金融分野における金融庁・日銀要請においても、共通脆弱性評価指標（CVSS）※6スコアが必ずしも高くない脆弱性が攻撃者に利用されている実態があり、こうした傾向が今後加速することも想定されることを踏まえ、攻撃が実際に起こる可能性を含めた評価に基づく優先順位付けを行うことが掲げられています（金融庁・日銀要請の項目⑥）。
また、(4)に関して、金融庁・日銀要請においても、パッチ適用そのものが困難である場合やパッチ適用に要する期間の短縮が困難である場合を念頭に置いた、Webアプリケーション防御機能（WAF：Web Application Firewall）を用いた仮想パッチの適用、ボット対策の導入等、多層防御の強化、また、ネットワーク分離、特権IDへの多要素認証の導入、端末における不正検知・対応機能（EDR：Endpoint Detection and Response）等による防御能力の強化や内部侵入後の横展開への対策等（金融庁・日銀要請の項目⑦）が掲げられており、金融分野以外の事業者が社内プロセス・体制を検討する際にも参考になると考えられます。
サプライチェーンにおけるサイバーセキュリティリスクとしては、大きく二つの文脈があり、①自社が調達し、運用しているシステム・ソフトウェアに含まれる脆弱性を発見されて攻撃を受けるリスクと、②取引先等が使用しているシステム・ソフトウェアに含まれる脆弱性を発見されて攻撃を受けるリスクがそれぞれ存在します。
自社が調達し運用しているシステム・ソフトウェアに含まれる脆弱性への対応に関して、自社の対応はソフトウェア・ベンダによるパッチ提供の迅速性に依存せざるを得ないことも踏まえると、ソフトウェア・ベンダの管理が重要となります。具体的には、まず、ソフトウェア・ベンダ選定の段階において、Project YATA-Shieldにおけるソフトウェア・ベンダ向けの注意喚起事項の内容を踏まえて、選定候補となっているソフトウェア・ベンダにおけるセキュア・バイ・デザインへの取組状況の確認、具体的には、(a)リリース前のソフトウェアについて、高性能AIを積極的に活用してリリース後の脆弱性発見の可能性を低減させた上でリリースする体制が整備されているか、(b)リリース後のソフトウェアについて、自ら高性能AIを積極的に活用して脆弱性の把握に努めるとともに、脆弱性関連情報の収集・早期把握に努めつつ、脆弱性が発見された場合には早急にパッチを作成し顧客に速やかに提供する体制が整備されているか等の確認を実施することが考えられます※7。
また、選定時点での確認だけでなく、契約期間を通じてソフトウェア・ベンダによる適切な対応を確保するためには、契約条項として、ソフトウェア・ベンダによる高性能AIの活用を含む脆弱性把握等の継続的な実施に関する表明保証及び誓約、脆弱性が発見された場合には早急にパッチを作成し速やかに提供する義務等を念頭に、既存の契約条項が十分であるかを見直すことも検討すべき状況になり得ると思われます※8。この点に関連して、金融分野における金融庁・日銀要請においても、パッチ適用作業がベンダとの現行の維持保守契約に含まれていること及び役割分担が明確であること、緊急にパッチ適用作業が必要な場合に夜間・休日等も含め適時に対応可能な契約内容となっていることの確認が掲げられており（金融庁・日銀要請の項目⑤）、脆弱性の発見から悪用までの時間が短縮される環境下における既存契約の点検の視点として、金融分野以外の事業者にとっても参考になると考えられます※9。
もっとも、上記の契約条項の見直しの検討を実際に進めるにあたっては、相手方ソフトウェア・ベンダの規模・業種・サービス内容によって、高性能AIへのアクセスや活用体制を整備することが現実的に困難な場合もある点に留意が必要です。すなわち、高性能AIについてソフトウェア・ベンダによってアクセス・活用が可能とは限りません※10。また、仮にアクセスが認められる場合であっても、高性能AIを継続的に活用していくためには相応のコスト負担や体制整備が必要となることから、ソフトウェア・ベンダの規模・業種等によっては、対応可能な範囲・水準について現実的な制約が生じ得るところです。そのため、ソフトウェア・ベンダによる高性能AIの直接的な活用を契約上義務付けることは、現時点では一律に求めることが難しい場合もあり得ます。各事業者においては、ソフトウェア・ベンダの規模・業種等を踏まえつつ、(a)ソフトウェア・ベンダ自身による高性能AIの活用、(b)外部セキュリティ専門事業者の利用を通じた高性能AIの活用、(c)高性能AIを活用しない場合の代替的な脆弱性把握・対応体制等、ソフトウェア・ベンダの実情に応じた合理的な水準の対応を求めることが検討事項になり得ると思われます。
上記(1)で述べたほか、自社のシステム自体に脆弱性がなくとも、取引先等のシステムを経由した攻撃により自社システムが被害を受けるリスクやサイバー攻撃によって発生した取引先における事業停止等により自社事業に生じるリスクが存在すると考えられます。これについては、自社のシステムであっても取引先等のシステムであっても、基本的に考え方は同じであることから、ソフトウェア・ベンダの管理と同様の視点が当てはまり、どこまで踏み込んだ対応を取引先等に対して求めるべきかという問題になります。すなわち、取引先等の選定段階におけるサイバーセキュリティ体制の確認や、契約条項として、遵守すべきセキュリティ対策上の水準や要求事項、インシデント発生時の通知義務、自社から提供する情報の管理方法、サイバー保険の付保、再委託に関する規律等の見直しが考えられるところ、その際の検討アプローチや高性能AIに関する現実的な制約への対応の在り方は、ソフトウェア・ベンダの管理と同様に考えることができます。
なお、脆弱性の発見から悪用までの時間が短縮される環境下では、取引先等のセキュリティ対策の実施状況を把握することの重要性も一層高まると考えられる一方、個々の事業者がこれを個別に把握していくことには実務上の限界もあります。この点に関連して、取引先等に求めるセキュリティ対策上の水準や要求事項の設定にあたっては、経済産業省が整備を進めている「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS（Supply Chain Security）評価制度）の構築に向けた動向も注目されます。同制度に関して、2026年3月27日には「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」が公表されており、同方針においては、セキュリティ対策の段階について、想定される脅威に応じて、★3：全てのサプライチェーン企業が最低限実装すべきセキュリティ対策（専門家確認付き自己評価※11）、★4：サプライチェーン企業等が標準的に目指すべきセキュリティ対策（第三者評価）、★5：サプライチェーン企業等がさらに目指すべき高度な対策（第三者評価）を設けることとされています。同方針では、同制度で用いられるセキュリティ要求事項・評価基準として、大分類としてガバナンスの整備、取引先管理、リスクの特定、攻撃等の防御、攻撃等の検知、インシデントへの対応、インシデントからの復旧について段階ごとに設けることが提案されています。そして、★3及び★4について2026年度内の制度開始を目指すとされており、また、評価基準の実装例等を示す評価ガイド等が2026年秋頃を目途に公表される予定とされています。制度開始後は、取引先等の選定や要求水準の設定における参考となることも考えられ、サプライチェーンにおけるリスク管理の実効性に関して、今後の運用の動向が注目されます。
また、上記(1)（ソフトウェア・ベンダの管理）及び(2)（取引先等の管理）のいずれの場合においても、実施すべきセキュリティ対策上の水準や要求事項に合意し、その実施状況に対する検証を可能にするためにエビデンスの提出や監査協力を求める場合、相手方ソフトウェア・ベンダや取引先等との関係性によっては、「私的独占の禁止及び公正取引の確保に関する法律」（いわゆる独禁法）上の優越的地位の濫用や「製造委託等に係る中小受託事業者に対する代金の支払の遅延等の防止に関する法律※12」（いわゆる「中小受託取引適正化法/取適法」）の規制にも注意しながら対応を進める必要があります。なお、経済産業省及び公正取引委員会からは、2025年12月26日に「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けた想定事例及び解説」が公表され、取引の相手方に対してサイバーセキュリティ対策を要請する場合について、独禁法及び取適法上の問題は生じないと評価されるような想定事例等が示されており、当該想定事例及び解説は実務上の参考になるものと考えられます※13。
平時の対応に加えて、サイバーインシデントが現実化した場合の有事対応体制をあらかじめ整備しておくことの重要性も、高性能AIの登場により改めて高まっていると考えられます。Project YATA-Shieldの注意喚起においても、重要インフラ事業者等が基本的な対策として確実に実施すべき事項として、事業継続計画の策定、インシデントへの対応及び復旧等が掲げられているところ、これらは重要インフラ事業者等に限らず、広く事業者が平時から整備しておくことが望ましい事項と考えられます。
この点に関連して、金融分野における金融庁・日銀要請では、各種対策を徹底してもサイバー攻撃を防御できない可能性を前提に、サイバー攻撃によりITシステムが停止する場合を想定するとともに、ITシステムを能動的に停止させざるを得ない場合についてもあらかじめ選択肢として検討しておき、ITシステム停止の判断基準・手順を組織内で明確化しておくことの重要性が指摘されています（金融庁・日銀要請の項目⑧）。事業の停止を伴う能動的なITシステムの停止は、利用者・取引先への影響や契約上の法的責任の発生を伴い得るものであり、有事における経営判断として取締役の善管注意義務違反の問題も生じ得るものでもあります。このため、その判断権限・基準・手順や、当該停止を正当化するための契約上の手当て等を平時から検討しておくことは、金融分野以外の事業者にとっても、有事対応体制の整備をする上で参考になる視点と考えられます。
また、Project YATA-Shieldでは、国家サイバー統括室による分野横断的なインシデント情報の集約・分析及び情報提供のほか、官民連携の重要性も強調されています。重要インフラ事業者等以外の事業者にとっては、国家サイバー統括室等への直接的なアクセスにはハードルもあると考えられますが、IPA（独立行政法人情報処理推進機構）、JPCERT/CC（一般社団法人JPCERTコーディネーションセンター）、商工会議所等、さらにはセキュリティ専門事業者等を通じた情報収集のチャネルを平時から確保しておくことも、有事対応の実効性を高める上で有益と考えられます※14。
高性能AIの普及によりサイバーセキュリティを巡るリスク環境が大きく変化していくと見込まれる中、各事業者においては、平時のサイバーセキュリティ対応を単なるIT・セキュリティ部門の課題ではなく、経営層が主導的に関与すべき経営課題として捉え、対応を進めていくことが、ますます重要になっていくものと思われ、サイバーセキュリティリスクに関する法令等遵守体制・損失危険管理体制・情報保存管理体制の構築・運用を求める取締役の善管注意義務としての内部統制システムの整備義務（会社法362条4項6号・同5項）※15を適切に果たすことにもつながっていくものと考えられます※16。
今回は、システム・ソフトウェアの脆弱性に関するサイバーセキュリティ対応の在り方について現時点の論点を整理しました。Project YATA-Shieldの注意喚起においても示されているとおり、高性能AIをサイバーセキュリティ対策の手段として活用するにあたっては、情報漏えいや意図しない学習への流用等のリスクを適切に管理する必要があることに留意すべきとされています。こうした留保は、サイバーセキュリティ対策の手段以外の用途でAIを活用する場合にも、より広く当てはまるものと考えられます。この点については、次回（第3回）において、AI事業者ガイドライン等を踏まえつつ、AIシステムの利用をめぐるサイバーセキュリティリスクと、これを踏まえた対応の在り方について整理します。
※1
なお、高性能AIの登場に伴う脅威の変化は、脆弱性の発見・悪用の高速化にとどまりません。IPA（独立行政法人情報処理推進機構）が作成した2026年3月付けの「情報セキュリティ10大脅威2026解説書［組織編］」においては、生成AIを悪用した自然な文面のフィッシングメールや、AIによるディープフェイク等の利用も指摘されています。本ニュースレターでは、Project YATA-Shieldの注意喚起の中心である脆弱性の発見・悪用への対応を取り上げることとし、これらの攻撃手法への対応事項については次回以降で取り上げることを予定しています。
※2
なお、このような検証に関連して、金融庁作成の2024年10月4日付け「金融分野におけるサイバーセキュリティに関するガイドライン」（以下「金融分野サイバーセキュリティガイドライン」）においても、「取締役会等は、サイバー攻撃が高度化・巧妙化していることを踏まえ、組織の経営目標にとってのサイバーセキュリティの確保の重要性を認識し、関係主体等からの要求事項や、法規制等の内外環境を踏まえ、必要なサイバーセキュリティ管理態勢を整備すること。また、サイバーセキュリティ管理態勢について少なくとも１年に１回レビューを行うなどにより、十分な検証、議論を行うこと」（6頁）とされていますが、状況次第では、より高頻度での検討が求められる場合もあり得るように思われ、金融分野以外の事業者においても、検証の頻度については、リスク環境の変化に応じて従来よりも高頻度とすることも検討に値すると思われます。
※3
このような検証には、サイバー保険によるリスク移転の在り方、すなわち付保の要否や付保内容が、変化するサイバーセキュリティリスクに照らして十分かどうかの確認も含まれ得ます。経済産業省及びIPAが公表している「サイバーセキュリティ経営ガイドラインVer 3.0」（以下「サイバーセキュリティ経営ガイドライン」）の指示4においても、リスク対応策を検討する際の観点として、リスク低減策・リスク回避策と並びリスク移転策が挙げられており、その例としてサイバー保険の加入が明記されています。
※4
なお、資産管理に関連して、脆弱性の発見から悪用までの時間が短縮される環境下では、新たな脆弱性が公表された際に自社の利用するソフトウェアへの影響の有無・範囲を迅速に特定できることが対応の優先順位付けの前提となるところ、ソフトウェア部品表、すなわちSBOM（Software Bill of Materials）の活用も選択肢の一つとなり得ます。SBOMについて、より詳細には弊所ニュースレター（工藤靖『サプライチェーンにおけるサイバーセキュリティリスク対応の近時の動向(1)』）をご参照いただければと思いますが、例えば、日本政府による調達においてサイバーセキュリティの確保を図るために策定されている「政府機関等の対策基準策定のためのガイドライン（令和7年度版）」4.3.1(1)-4においては、ソフトウェア及びサイバーセキュリティリスクの高い機器等の調達における透明性の確認を必要とする場合、SBOMの作成、提供等を、調達時の評価項目とすることを機器等の選定基準として定めることとしています。一般的に重要インフラとされている分野においても、監督官庁からのガイドラインにおいて、SBOMの作成・利用について言及されており、例えば、金融分野サイバーセキュリティガイドライン2.2.1.2において、ハードウェア/ソフトウェア等に関して「対応が望ましい事項」としてSBOMを整備することが掲げられており、医療分野でも医療機器が具備すべき品質や安全性等に関する基本的な要件基準として、「医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律第四十一条第三項の規定により厚生労働大臣が定める医療機器の基準」（厚生労働省告示第122号）に関する2023年5月23日付け薬生機審発0523第1号厚生労働省医薬・生活衛生局医療機器審査管理課長による「医療機器の基本要件基準第12条第３項の適合性の確認について」においてJIS T81001-5-1等への適合性を確認するに際しての追加確認事項として、ソフトウェア構成管理プロセスは、当該医療機器のSBOMを適切に作成することによって確認することとしています。
※5
この他にも、例えば、医療分野では、2026年5月27日付けで、厚生労働省医政局医療情報担当参事官室から「高性能AIの悪用リスクを踏まえたサイバーセキュリティ対策の強化について（医療機関等向け注意喚起）」と題する各都道府県衛生主管部（局）宛ての事務連絡が発出されています。
※6
共通脆弱性評価指標（CVSS）とは、世界中のCSIRT（Computer Security Incident Response Team）同士の交流を目的として設立されたフォーラムである「FIRST（Forum of Incident Response and Security Teams）」が公開している脆弱性評価の枠組みであり、脆弱性そのものの技術的な深刻度を評価する基本評価基準（Base Metrics）に加え、攻撃コードの出現状況や対象のシステム環境において想定される脅威に基づき、0.0～10.0までのスコアで脆弱性の深刻度を評価する指標です。
※7
ただし、ソフトウェア・ベンダの提供するソフトウェアに他社やオープン・ソース・ソフトウェア（OSS）コミュニティが開発したコンポーネントが組み込まれている場合には、脆弱性への対応が最終的に当該他社・コミュニティ等による修正版の提供に依存することから、ソフトウェア・ベンダに対して本文で述べた確認を実施しても、なお脆弱性対応の迅速性に限界が残ります。そのため、このようなソフトウェアの採用にはリスク管理上の留意が必要です。
※8
契約に入れ込むべき条項については、例えば、金融分野サイバーセキュリティガイドラインの「2.6.サードパーティリスク管理」では、契約やSLA（サービスレベルアグリーメント）等において以下の項目を明記することとされており、サイバーセキュリティリスクの高まりを踏まえると、金融分野以外の事業者においても、それぞれの観点から検討することが望ましいと考えられます。
※9
なお、金融庁・日銀要請の項目⑤においては、ベンダ側において複数金融機関等において大量の脆弱性へのパッチ適用作業が同時に発生する場合を想定して、ベンダ側におけるリソース確保状況を確認する必要、及びベンダ側のリソースがひっ迫することも想定し、金融機関等においては、パッチ適用対象の一層の絞り込みやパッチ適用の遅延に係るリスク受容等のプロセスを整備しておくことも求められており、金融分野以外の事業者においても、このような観点からの確認をしておくことも望ましいと考えられます。
※10
例えば、Claude Mythos Previewの利用が可能である組織について、Anthropic社は2026年6月2日に当初の約50組織から新たに約150組織が加わったと公表しているものの、なお限定されています。さらに、Anthropic社は、同月12日に米国政府の指示に従いMythos 5及びFable 5への全ユーザーのアクセスを停止したと公表しています（同社はできるだけ早く復旧できるように努めるとしています。）。
※11
ここでの専門家としては、情報処理安全確保支援士（登録セキスペ）、CISSP（Certified Information Systems Security Professional）等の資格を有し、かつ制度が定める研修を受講したセキュリティ専門家が挙げられています。
※12
従前の「下請代金支払遅延等防止法」（いわゆる下請法）について、法律の題名も含めて変更する改正を行ったものであり、2026年1月1日より改正法の内容が施行されています。その具体的な内容としては、費用の変動等の事情が生じたにもかかわらず協議を適切に行わないまま一方的に代金額の決定を行うこと等が禁止されました。例えば、従前から起用しているソフトウェア・ベンダとの間で、契約更新の際に、導入に多額の費用を要する高性能AIを積極的に活用することを新たに契約上義務付けたにもかかわらず、協議を適切に行わないまま代金額の据え置きを一方的に決定したような場合には、同法違反の問題が生じ得ます（取適法5条2項4号）。なお、従来から、公正取引委員会は、下請法の運用上、コスト上昇局面における価格転嫁に関する必要性について明示的に協議せず、又は、下請事業者からの価格引き上げ要請について理由も示さずに従来どおり価格を据え置く行為は買いたたき行為に該当すると解釈しており、その意味においては、従来から上記行為は規制対象であったとも考えられます。しかし、本号の追加により禁止行為として法律上明確化されたことから、今後、公正取引委員会がこの種の行為に対する法執行を厳格に行うこととなる可能性は否定できない点に留意が必要です。取適法では適用対象となる取引について従来からの資本金の基準に加えて従業員基準も追加されており、適用対象にあたるかという点についても含めて対応を改めて検討することが望ましいと考えられます。
※13
想定事例及び解説においては、例えば、①国において検討中のサプライチェーンにおけるレジリエンス強化のための評価基準（SCS評価制度）に基づいた対策を実施することは、サプライチェーンに属する企業にとって必要性かつ合理性のあるものと考えられるため取引の相手方に合理的範囲を超えた負担を課しているものではないとしつつ、②取引の相手方が組織体としてサイバーセキュリティ対策を実施する場合、当該費用は製品・サービスの直接経費ではなく、労務費や一般管理費といった間接経費として計上されることが想定されるところ、発注側企業としては製品・サービスの価格への間接経費の転嫁について価格交渉の申し出があった場合にはその申し出に応じる必要があることなどが説明されています。
※14
サイバーセキュリティ経営ガイドラインの「経営者が認識すべき３原則」(３)においても、平時及び緊急時のいずれにおいても、サイバーセキュリティ対策を実施するためには、関係者との積極的なコミュニケーションが必要とされていますが、改めてこの点については留意すべきであると考えられます。
※15
「重要インフラのサイバーセキュリティに係る行動計画」（2025年6月27日サイバーセキュリティ戦略本部改定）10-11頁参照。
※16
なお、2026年4月7日に閣議決定された「個人情報の保護に関する法律等の一部を改正する法律案」では、一定の悪質な事案に対する個人情報保護法のエンフォースメント強化のための新たな措置として、課徴金制度の導入が提案されているところ、当該改正法案においては、安全管理措置義務の違反は課徴金納付命令の対象から除外されています。もっとも、欧州の一般データ保護規則（GDPR）をはじめとする海外法令では、安全管理措置義務に相当する規律への違反について、制裁金等が課される制度となっている場合も多く、グローバルに事業を展開する事業者においては、国内法上のエンフォースメントの動向にとどまらず、適用される各国・地域の規律にも目配せした対応が必要となります。また、今後の議論次第では、我が国においても、安全管理措置義務の違反に対するエンフォースメントの在り方が改めて検討される可能性も否定できないところであり、各事業者においては、これらの動向を踏まえつつ、サイバーセキュリティに係る安全管理措置を継続的に見直していくことの重要性が、ますます高まっていくものと考えられます。
本ニュースレターは、各位のご参考のために一般的な情報を簡潔に提供することを目的としたものであり、当事務所の法的アドバイスを構成するものではありません。また見解に亘る部分は執筆者の個人的見解であり当事務所の見解ではありません。一般的情報としての性質上、法令の条文や出典の引用を意図的に省略している場合があります。個別具体的事案に係る問題については、必ず弁護士にご相談ください。
メディア
（2026年7月）
堀内健司、板谷隆平（コメント）
ニュースレター
大久保涼、髙橋優、武原宇宙、渡辺雄太（共著）
ニュースレター
鹿はせる、犬飼貴之、船越聖二（共著）
ニュースレター
コーブチャイ・ニタンコーン
ニュースレター
コーブチャイ・ニタンコーン
ニュースレター
ジャルワン・ジャルンジットサティアン、ナパソーン・ラートアサワウィワット（共著）
ニュースレター
殿村桂司、工藤靖、早川健、犬飼貴之（共著）
ニュースレター
殿村桂司、工藤靖、早川健、犬飼貴之（共著）
メディア
（2026年7月）
堀内健司、板谷隆平（コメント）
ニュースレター
殿村桂司、工藤靖、早川健、犬飼貴之（共著）
ニュースレター
殿村桂司、工藤靖、早川健、犬飼貴之（共著）
論文/記事
（2026年6月）
殿村桂司、小松諒（共著）
ニュースレター
鹿はせる、犬飼貴之、船越聖二（共著）
ニュースレター
殿村桂司、工藤靖、早川健、犬飼貴之（共著）
ニュースレター
殿村桂司、工藤靖、早川健、犬飼貴之（共著）
論文/記事
（2026年4月）
早川健
論文/記事
（2026年6月）
眞武慶彦
ニュースレター
殿村桂司、工藤靖、早川健、犬飼貴之（共著）
ニュースレター
福原あゆみ
ニュースレター
殿村桂司、工藤靖、早川健、犬飼貴之（共著）
