要約

  • Australian Cyber Security Centre の通報ページは、サイバー犯罪を警察へ、サイバーセキュリティ事案と脆弱性を ASD's ACSC へ、ランサムウェアやサイバー恐喝の支払を Cyber Security Act 2024 の section 27 に基づいて Department of Home Affairs へ振り分ける。
  • 同じページで通報者に示される保護は「How ASD protects your privacy: limited use obligation」という見出しだけであり、2026年11月13日に取得した本文には、その範囲も通報期限も罰則も書かれていない。

オーストラリアでインシデントを届け出る公的な入口は、まず「何が起きたか」を訊かない。いくつかある出来事のうちどれに当たるかを訊く。答えごとに所管が違うからだ。

Australian Cyber Security Centre の通報ページを、書式ではなく道具として読むと、その論理は明快になる。サイバー犯罪は警察へ。サイバーセキュリティ事案と脆弱性は ASD's ACSC へ。ランサムウェアやサイバー恐喝の支払は Department of Home Affairs へ。この振り分けは同センター自身のページが示しているもので、本稿では2026年11月13日に、ページ全体のアーカイブではなく検索事業者が報じた抜粋として記録した。

支払の通路には法令の引用が付いている。ページの文言はゆっくり読む価値がある。

Report a ransomware or cyber extortion payment to the Department of Home Affairs. Under section 27 of the Cyber Security Act 2024, a reporting business entity has an obligation to report to the Government if you have made or are aware another entity has made on your behalf, a ransomware or cyber extortion payment.

引き金は、自社が払った金だけではない。誰かが自社に代わって払ったことを知っている場合も含む。恐喝者に一ドルも送っていない組織が、保険会社、顧問、マネージドサービス事業者、あるいは親会社が要求を決済したせいで、この義務の内側に立つことがある。一文は上へ伸び、物事を最も遅く知り、最も拙く記録する部門まで届く。

定義の仕事をしているのは「reporting business entity」という語であり、ページはこれを定義しない。宛先は「the Government」と書かれ、ページは通路として Department of Home Affairs を挙げる。どちらも言葉の綾ではない。自社が義務に入るかどうか、記録が誰の手に残るかが、そこで決まる。

取引のもう半分を見る。同じページ、同じ構造の中で、通報者に信じるよう求められる保護は見出しとして現れる。「How ASD protects your privacy: limited use obligation」。

見出しは分類であり、境界ではない。境界は四つの問いに答える。どの情報が対象か——事案の報告、支払の報告、添付資料、担当者名、フォレンジックの時系列。どの利用が許されるか。どれが除かれるか——別の規制機関への共有、執行手続への組み入れ、公的な発表。保存期間はどれだけか、そして一覧の外の利用を誰が承認できるのか。

取得した本文に、これらの答えは一つもない。これは2026年11月13日時点の二つのページについての限定的な所見であり、そこで止まる。読んだ文言に無いということであって、どこにも存在しないということではない。

2026年11月13日に取得した同センターの通報ページと report-and-recover ページ（同センターの通報ページ、report-and-recover ページ）には、section 27 の報告期限、報告しない場合の罰則、reporting business entity の定義、limited use obligation の境界が書かれていない。Cyber Security Act 2024 の成立本文は本稿の閲覧資料に含まれておらず、以下の記述はページ自身が印刷している一箇所の引用を超えて同法の内容を性格づけない。案内ページの沈黙は法律の沈黙ではなく、見出しに対する正直な読みは「議論がまだ済んでいない」である。

この区別が効くのは、誰が安心させられているかによる。事案が起きたとき公衆が電話するのは ASD's ACSC である。支払義務の宛先として描かれているのは、政府を通じた Department of Home Affairs である。一つのページ、二つの行き先、二つの所管。これを単一の玄関口と読む取締役会は、単一の記録、単一の保護、単一の責任者を想定する。実体は三本の通路に架かる一枚の面であり、責任は三本すべての上に組み立てなければならない。

素材を壁の向こうへ渡す前に、通報者が書面で得ておくべきものは地味で短い。法令の引用、そして要約ではなく運用語そのもの。自社が reporting business entity に当たるか、当たるなら根拠は何か。期限と、それが走り始める瞬間。罰則、そしてそれが刑事か行政か。保護については、許される利用、除かれる利用、保存規則、そして扉をさらに開けられる役職者。

これらを求めれば、見出しは誰かが引き受ける約束に変わる。見出しを受け入れれば、境界は後日に決まる——そのとき書類を持っている者によって。

Australian Cyber Security Centre には BTW のディレクトリ で既に一本の記事が紐づいている。本稿はその先行記事の内容を性格づけない。今回の実行内の検索では見つからなかったからだ。ここでの違いは注目の対象にある。機関としてのセンターではなく、最悪の一夜がどこに綴じられるかを決める道具としての受理ページである。

センターのページは自らの役目を果たしている。どの扉を押すかは教えてくれる。持ち込んだものの行く末は、まだ教えていない。責任者、保存規則、除外一覧がこの見出しの隣に並ぶまで、通報する組織は事案とともに不確実性も引き受けている。