要約

  • GovTechは、重要システムや機微な政府データを管理する委託先に、2027年末までにCyber Essentialsおよび／またはCyber Trust Markを求める。
  • 発表されたのは将来の調達要件で、新たな法律ではない。事業者ごとの認証、契約範囲、検証手順は演説で明らかにされていない。

政府システムを運用する企業にとって、次のサイバー審査は法令集より先に入札書類に現れるかもしれない。シンガポールは、重要システムまたは機微な政府データを扱う政府委託先に、Cyber Essentialsおよび／またはCyber Trust Markへの適合を2027年末までに求めると発表した。Tan Kiat How上級国務相が10月14日のSG Cyber Safe for Enterprisesで期限を示した。これは将来の委託先要件であり、新法の制定発表でも、すでに適用中の期限でもない。

この違いは、統制の置き場所を変える。調達条件は、契約に基づいて誰が公共サービスを運用・支援できるかを左右する。法律上の義務とは別の仕組みだ。発表は対象を「重要システムまたは機微な政府データ」としたが、対象契約や事業者、再委託先の扱い、移行措置、例外、未達時の対応までは示していない。これらは演説に記載されていないという意味であり、別文書にも存在しないと断定する根拠にはならない。

二つの認証は異なる問いに答える。Cyber EssentialsはCSAの基礎的な認証で、小規模組織を主な対象とする。有効期間は2年で、CSAが認定した認証機関の独立評価者が自己評価を審査し、確認する。Cyber Trustはリスクに応じた枠組みで、準備度の5段階があり、各段階は10〜22の領域で構成される。有効期間は3年、年次監査があり、独立評価者が文書、実装状況、有効性を確認する。2025年版では従来のサイバーセキュリティに加え、クラウド、OT、AIも対象となった。

演説は、事業者ごとの認証選択やCyber Trustの適切な段階を指定していない。CSAにはSMEs Go Digitalで事前承認された事業者向けのICT Vendorサブスキームがあるが、GovTechがこれを使うとは説明されていない。

同じ演説で触れられた、重要インフラ主体や基幹サービスを支えるサイバー事業者へのCSA要件は別の制度である。GovTechの委託先要件と一括りにすべきではない。

認証は共通基準で管理策を比較する材料になるが、特定の公共システムが常時安全であることの保証ではない。実務上の焦点は、委託先の実際の役割を適切な基準に結び付け、その証拠をサービス期間中も更新・確認できるかにある。

出典