シンガポール、重要インフラのサイバー規制を大幅改定へ　取締役会にレジリエンス責任、クラウド新規範も

シンガポール政府は7月22日、電力、医療、金融、通信など11の重要分野を対象に、重要インフラのサイバーセキュリティ規範を大幅に見直す方針を打ち出した。取締役会にサイバー・レジリエンスの枠組みの文書化と年1回以上の見直しを求めるほか、パブリッククラウド上の重要システム向けとしては同国初となる義務的なセキュリティコードも策定する。両コードは2026年後半に正式公表される予定で、CII監査人や認可を受けたサービス事業者には2026年末、CII所有者には2027年末の対応期限が設けられる。

■11の重要分野を対象に規制を刷新

シンガポール政府は7月22日、2022年以来で最大規模となる国家重要インフラ向けサイバーセキュリティ基準の見直しを発表した。対象は電力会社、病院、銀行、通信事業者など11の必須サービス分野で、各組織のサイバー復旧態勢について、単に専門チームに予算を付けるのではなく、取締役会が正式に責任を負うことを求める。

同時に、シンガポールのサイバーセキュリティ庁（CSA）は、パブリッククラウド上で稼働する重要システムを対象とする、同国初の義務的なセキュリティコードの策定方針を発表した。CSAの7月22日の発表によると、このコードはAmazon Web Services、Google Cloud、Microsoft Azureと連携して策定されている。

2つの発表は、デジタル開発情報相のジョセフィン・テオ氏がOperational Technology Cybersecurity Expert Panel（OTCEP）Forum 2026で明らかにしたものだ。これは、中国との関連が指摘される脅威アクターUNC3886が、シンガポールの主要通信事業者4社であるM1、SIMBA Telecom、Singtel、StarHubにひそかに侵入してから9カ月後に当たる。

2026年2月に調査当局が確認したところ、攻撃者はサービスを妨害できず、顧客データも窃取しなかった一方、少量の技術情報とネットワーク関連データを持ち出していた。こうした情報は、将来、より破壊的な作戦を実行する際に必要となる偵察材料になり得る。

■OT攻撃で変わった前提とAIの影響

今回の規制対応は、調査で判明した内容を明確に反映している。高度な攻撃者は、もはやOT（制御・運用技術）の専門知識がなくても産業用制御システムへ到達できること、AIが攻撃のあらゆる段階を加速していること、そして多くの重要インフラが自らのネットワーク内部で何が起きているのかを実質的に把握できていないことだ。シンガポールはこれに対し、「守りを固める」「先に見つける」「すばやく直す」という3つの義務を軸にした枠組みで対応する。今回初めて、その義務は取締役会とクラウドにも及ぶ。

シンガポールが現在、規制によって対処しようとしている脅威を最も明確に示した事例は、同国で起きたものではない。Dragosは2026年初め、メキシコ・モンテレイの市営水道事業者を狙った侵入未遂を報告した。攻撃者には事前のOT知識がなかったが、高度な専用攻撃フレームワークではなく市販のAIツールを使って事業者のITネットワークに侵入し、SCADA環境に接続されたサーバーを特定した。さらに、ベンダーの文書をオンラインで調べ、自動攻撃用のログイン認証情報を生成した。攻撃自体は失敗したが、この事例が示した攻撃の進展経路は無視できないものだった。

この流れ、すなわちITネットワークの侵害からSCADA接続インフラを経て短時間でOTが狙われる構図は、近代化されたほぼすべての産業施設に存在する構造的な弱点を示している。旧来のOTはインターネット接続を前提に設計されていない。Industry 4.0や産業IoTによってITとOTの間のエアギャップが失われた結果、産業システムはITを取り巻くあらゆる脅威にさらされるようになった。一方で、IT環境が依存するパッチ適用サイクル、EDR（エンドポイントでの検知・対応）、振る舞い検知ツールなどは十分に備わっていない。IBM X-Forceの2026年製造業向け脅威データも、こうした状況を示している。

OTCEP ForumでのRobert M. Lee氏の基調講演では、世界のOT脅威状況を示す具体的な数字が示された。同氏の企業は世界で26のOT脅威グループを追跡しており、そのうち11が2025年だけで活動していたという。2025年には新たに3つのグループが確認された。Ivanti VPNの公表済み脆弱性を48時間以内に攻撃に利用し、中国関連のVolt Typhoon作戦と関係するVoltziteへ侵入の足場を直接引き渡したSylvanite、小規模オフィス向けルーターを侵害してプロキシ基盤を構築し、エンジニア用ワークステーションからOTネットワーク図や警報データ、PLC設定を盗んだAzurite、偽のSNSプロフィールや架空の航空宇宙関連人材紹介会社を使い、サプライチェーンを侵入口としてOTネットワークに到達したPyroxeneである。

OTネットワークに到達可能なランサムウェアグループは前年比49％増え、119グループが約3300の産業組織に影響を及ぼした。Computer Weeklyが基調講演について報じたところによると、Lee氏は「世界の約95％は自分たちのOTネットワーク内部を監視しておらず、何も見えていないことに強い自信を持っている」と述べた。侵害された機器がWindowsで動いているという理由だけで、それがSCADAサーバーやエンジニア用ワークステーションであっても、ITだけのインシデントと誤分類されることが常態化している。

2025年12月下旬には、ポーランドのエネルギー網に対する協調攻撃で、30を超える風力・太陽光発電所、熱電併給施設1カ所、製造会社1社が同時に攻撃を受けた。ポーランドの電力網自体は安定を保ったが、この事案は、従来なら国家レベルの連携が必要だった規模で、単一の攻撃者がOT環境を含む多数の物理拠点に対する妨害を同時に実行し得ることを示した。

■改定CCoPが求めるもの

改定版の重要情報インフラ向けCybersecurity Code of Practice（CCoP）は、2026年後半に公表される予定で、敵対的攻撃シミュレーション、侵入テスト、脅威ハンティングに関する技術ガイダンスも併せて示される見込みだ。主要要件のいくつかは、単なる技術的な順守を超えて、サイバーセキュリティに関する責任のあり方を変える。

取締役会と上級経営陣の責任に関しては、改定版コードにより、リスク許容度、低減、移転、復旧を含むサイバー・レジリエンスの枠組みを文書化し、少なくとも年1回見直すことが求められる。これは重要な違いだ。サイバーセキュリティが「どう攻撃者を中に入れないか」を問うのに対し、NISTの定義におけるサイバー・レジリエンスは「侵入されたときに何が起き、どう生き残るか」を問う。シンガポールの新基準は、この2つ目の問いに対する回答を取締役会が文書で示すことを求める。その見直し頻度も、年次の戦略計画の周期ではなく、脅威環境の変化の速さに対応するものとなる。

世界経済フォーラム（WEF）の「2026 Cybersecurity Outlook」では、「高いレジリエンスを持つ」と分類された組織の99％が、サイバーセキュリティの意思決定に取締役会を積極的に関与させていた。一方、Gartnerの2025年取締役会調査では、社外取締役の67％が、現在の取締役会の慣行ではサイバーリスクを監督するには不十分だと考えていた。新コードは、この差を規制によって埋めるよう設計されている。

Cyber Trust Mark Level 5認証については、重要情報インフラ（CII）の所有者に対し、シンガポールの国家サイバーセキュリティ認証制度で最上位となる認証の取得が求められる。この認証はシンガポール標準化プログラムのSingapore Standards 712として公表されており、ガバナンス、資産保護、安全なアクセスを含む22のサイバーセキュリティ領域で備えを示す必要がある。更新版では、クラウドセキュリティ、OTセキュリティ、AIセキュリティの領域も明示的に取り込まれた。期限も明確に設定され、CII監査人と認可を受けたサイバーセキュリティサービス事業者は2026年12月31日まで、CII所有者は2027年12月31日までに対応しなければならない。

相互接続システムの可視性に関しては、CII所有者は指定されたCIIシステムそのものだけでなく、それと通信するシステムについても監督を維持しなければならない。これは、攻撃者が最も厳重に守られたCIIシステムを直接狙うのではなく、相互接続された企業システムを経由して侵入したUNC3886の攻撃パターンに直接対応する要件だ。

継続的な脅威検知については、CSAがCII所有者と連携し、各ネットワークセグメントに脅威検知システムを導入して、悪意ある活動をリアルタイムで検出する方針だ。これは、ネットワーク境界を主な防御面とみなす境界防御から、攻撃者がすでに内部にいる可能性を前提として、ネットワーク内の振る舞い指標を探す内部検知への構造的な転換を意味する。モンテレイの水道事業者の事例は、いったん攻撃者にITネットワークへのアクセスを許すと、市販のAIツールを使ってOTまで到達できる可能性があることを示した。

演習計画の義務化では、CII所有者に対し、インシデント発生時に連携の取れた、訓練済みの対応を可能にする包括的なサイバーセキュリティ演習計画の策定が求められる。Operation Cyber Guardianが成功した背景の一つには、複数の独立した組織が実際の攻撃下で連携するために必要な信頼と調整体制を、長年にわたる省庁横断の演習で築いていたことがある。こうした成功要因は、推奨されるベストプラクティスにとどまらず、恒久的な順守義務として制度化される。

この枠組みは、シンガポールのCybersecurity Actの下で規制される11の重要分野、すなわちエネルギー、情報通信、水、医療、銀行・金融、治安・緊急サービス、航空、陸上輸送、海運、政府、メディアに適用される。

■取締役会責任と法的リスク

取締役会の責任強化には、CII事業者の取締役が法律顧問に相談して評価すべき法的側面もある。シンガポール向け「ICLG Cybersecurity 2026」の分析によれば、「取締役の誠実性の欠如、または必要な技能、注意および勤勉さの欠如により、会社がインシデントの防止、軽減、管理または対応に失敗した場合、取締役の義務違反を構成する可能性がある」。

CCoPで求められる年次の取締役会レビューは、取締役会レベルのサイバー関連意思決定の記録を残すことになる。インシデントが起きれば、その記録は、取締役会が何を知っていたのか、いつレビューしたのか、どのようなリスク許容度を文書化していたのかを示すものになる。この仕組みは、2023年の米証券取引委員会（SEC）のサイバーセキュリティ・ガバナンス規則や、2024年12月10日に発効したEUのCyber Resilience Actと方向性を同じくする。いずれも、サイバーリスクについて執行可能な取締役会レベルの責任を設けたものだ。シンガポールを拠点とする多国籍のCII事業者は、複数の法域で並行して取締役会の説明責任を負う可能性がある。

■クラウド向け新コードの仕組み

2026年後半に公表予定のCCoP for Cloud Servicesは、パブリッククラウド基盤上に配置された重要インフラを対象に、シンガポールが初めて義務的なサイバーセキュリティ基準を成文化するものだ。

このコードの策定は、重要インフラ規制が抱える、より広範なアーキテクチャ上の課題を反映している。Cybersecurity Actが2018年に制定され、2022年にCCoP 2.0が公表された当時、クラウド上でホストされるCIIは一般的ではなく、例外的な存在だった。だが、2024年の同法改正では、主要条項が2025年10月31日に発効し、システムが国外に置かれていても、第三者ベンダーによってホストされていても、説明責任はCII所有者に残ることが法的に明確化された。新たなクラウドコードは、この法的原則を技術的な順守枠組みに落とし込む。

CSAはクラウドコードを最終決定する前に、CII所有者、クラウドサービスプロバイダー、監査人との非公開協議を重ねた。提案される統制がオンプレミス環境を前提としたものではなく、実際のクラウド環境で実装可能なものになるようにするためだ。その結果、クラウドコードが基準となるサイバーセキュリティ要件を定め、Amazon Web Services、Google Cloud、Microsoft Azureの3大ハイパースケーラーが、各環境のネイティブサービス、設定、セキュリティ機能を使って要件を実装する方法を説明する、クラウドサービスプロバイダー（CSP）別のCompanion Guideを公表する構成となる。Companion Guideはクラウドコードと同時に公開される予定だ。

この手法は、共通フレームワークを組織や環境ごとの実装指針で具体化するNIST Cybersecurity Frameworkの「Profile」モデルに似ている。ただし、任意のベストプラクティスではなく、義務的な規制手段として適用される点が異なる。クラウドへのワークロード移行を進めるCII所有者にとって、Companion Guideは、それぞれのハイパースケーラー環境で「順守」が具体的に何を意味するのかを示す。これにより、世界各地の規制業種でクラウド導入を遅らせてきた大きな曖昧さが解消されることになる。

■サプライチェーンにも責任を拡大

今回の改革は、責任の範囲をCII所有者だけでなく、重要インフラを支えるシステムを供給するメーカー、ベンダー、技術パートナーにも広げる。

テオ氏はOTCEP Forumで、OTの主要な相手先ブランド製造企業（OEM）と技術提供企業がCyber Trust Mark認証の取得を約束したと述べた。これは各社の組織自体に加え、販売する製品やサービスも、国が認定するサイバーセキュリティ基準を満たすことを意味する。これは重要な拡張だ。侵害されたベンダーや技術パートナーは、設定不備のあるCIIシステムと同じく侵入口になり得るうえ、サプライチェーンは複数の主要なOT侵入事案で確認されている攻撃経路でもある。Dragosが2025年に特定した3つの新グループの1つであるPyroxeneも、サプライチェーンを標的として活動している。

このサプライチェーン重視の取り組みは、2026年3月にデジタル開発情報省が行った発表の延長線上にもある。そこでは、CII所有者だけでなく、CIIのサイバーセキュリティ評価を行う監査人や、侵入テスト、マネージドSOC監視を提供する認可サービス事業者にも、Cyber Trust Mark要件への適合が求められた。サービス事業者の期限は2026年12月31日である。

■AIは防御側の追い上げに役立つか

OT攻撃の参入障壁を下げたのと同じAI機能は、原理上、これまで導入に必要なリソースを欠いていた防御側にとっても、検知・対応能力を利用しやすいものにした。

テオ氏は、AI支援型のセキュリティ運用により、数カ月かかるセキュリティ試験を数日に短縮できるとする研究に言及した。CSAの「先に見つける」戦略の一環として、AIサイバーセキュリティ・サンドボックスは、シンガポールで登録された政府機関以外の組織にも開放されている。この制度では、侵入テストやコードスキャンを含むサイバー防御向けAI活用案件について、プロジェクト費用の最大70％を助成する。採択後3カ月以内の完了が条件で、サンドボックスの実施期間は2027年2月末までだ。重要なのは、CSAがこの制度の成果を、明確な結論が得られなかった結果も含めてすべて公表する意向を示している点である。うまくいかなかった取り組みから得られる教訓も、資金力のある一部事業者だけでなく、より広いエコシステムで共有される。

脅威インテリジェンス面では、CSAはDragosとの覚書を更新し、脅威情報のより深い共有と能力開発の共同推進を進める。Lee氏のOTCEP基調講演で示されたデータは、この情報連携が何をもたらし得るかを示した。新たに3つの脅威グループが特定され、具体的なTTP（戦術・技術・手順）が文書化され、ベンダーのセキュリティ勧告における不足も防御側の幅広いコミュニティに共有された。公開時点でパッチが存在しない勧告が26％あり、Dragosはそのうち52％で代替となる緩和策を提示したという。

■今後の焦点と期限

改定CCoPとCCoP（Cloud）は、いずれも2026年後半に正式公表される予定だ。施行されれば、シンガポールの11の重要分野における規制環境は、ガバナンス（取締役会責任の義務化）、検知（ネットワークセグメント全体の継続監視）、認証（Cyber Trust Mark Level 5）、クラウド（初のクラウド固有義務）、サプライチェーン（ベンダー認証要件）の主要な各側面で大きく変わる。

シンガポールの規制対象分野の取締役会にとって、最も期限が迫っている義務はCyber Trust Markへの適合だ。CII監査人と認可を受けたサイバーセキュリティサービス事業者の期限は2026年12月31日であり、対応作業は直ちに始める必要がある。CII所有者については、その運用を支える非CIIシステムを対象に、2027年12月31日までの期限が設けられている。

OTCEP Forumでテオ氏が投げかけた大きな問いは、「より速く動くのは誰か」というものだった。AIによって、攻撃者がOTへ到達するために必要な準備時間は数カ月から数時間へと短縮された。同時に、防御側にも同様の能力が手の届くものになった。シンガポールは、防御側にそれを実際に活用させる仕組みとして、市場のインセンティブではなく、規制上の義務を選んだ。

■注目ポイントQ&A

●新しいCCoPで取締役会には何が求められるのですか

重要情報インフラの所有者の取締役会と上級経営陣は、リスク許容度、低減、移転、復旧を含むサイバー・レジリエンスの枠組みを文書化し、少なくとも年1回見直す必要があります。単にセキュリティチームに予算を付けるだけでは足りず、監査可能な取締役会レベルの記録として残すことが求められます。また、サイバーリスクの監督において必要な「技能、注意および勤勉さ」を欠いたことによる失敗について、取締役が個人として責任を問われる可能性があります。取締役会は、組織が2027年末までのCyber Trust Mark Level 5認証に向けた対応計画を進めているかどうかも確認すべきです。

●重要インフラ向けのクラウド新コードはどう機能するのですか

CCoP for Cloud Servicesは、パブリッククラウド上で動くCIIシステム向けの基準となるサイバーセキュリティ要件を定めます。CSAはAmazon Web Services、Google Cloud、Microsoft Azureと連携し、各クラウド事業者のネイティブなセキュリティ機能や設定を使って要件を実装する方法を示すCompanion Guideも策定しています。2026年後半にクラウドコードとCompanion Guideが公表されれば、CII所有者は利用するハイパースケーラーごとに、順守に向けた具体的な手順を把握できるようになります。

●Cyber Trust Mark Level 5とは何で、誰がいつまでに取得するのですか

Cyber Trust Mark Level 5は、シンガポールの国家サイバーセキュリティ認証制度の最上位です。Singapore Standards 712:2025として公表されており、ガバナンス、資産保護、安全なアクセス、クラウドセキュリティ、OTセキュリティ、AIセキュリティを含む22領域での備えが求められます。CII監査人と、侵入テストやマネージドSOC監視を提供する認可サイバーセキュリティサービス事業者は2026年12月31日まで、CII所有者は運用を支える非CIIシステムについて2027年12月31日までに対応する必要があります。

●通信事業者を攻撃した同じ勢力の脅威は今も残っているのですか

UNC3886によるM1、SIMBA Telecom、Singtel、StarHubへの攻撃は封じ込められており、サービス停止は発生せず、顧客データも盗まれませんでした。ただし、少量の技術情報とネットワーク関連データは持ち出されました。脅威インテリジェンスの専門家は、この種のデータが将来の、より標的を絞った侵入の準備に使われると評価しています。ネットワーク図や設定データは、攻撃者にとって次に何を狙うべきかを示す地図になり得ます。CSAの新CCoP要件、とりわけ継続的なネットワーク監視とインシデント対応演習計画の義務化は、UNC3886が使ったような長期潜伏型で痕跡の少ない活動を、より早く検出することを狙ったものです。

元記事: Singapore Makes Critical Infrastructure Boards Own Cyber Recovery, Launches Cloud Code