要約

  • シンガポールのS 791/2026は10月30日に施行された。指定事業体は規定の事件を知ってから24時間以内に第一報、72時間以内に書面補足、補足提出から30日以内に最終報告を行う。
  • Cybersecurity Actは事業体と対象システムを文書で指定できると定める一方、その通知を官報に掲載する義務を置いていない。報告の時計は見えるが、誰に適用されるかを公衆が把握できるとは限らない。

三つの期限のうち、最後の30日間は事件の発生日から数えるのではない。72時間以内に出す補足報告を提出してから始まる。

「Cybersecurity (Entities of Special Cybersecurity Interest) Regulations 2026」S 791/2026は10月30日に施行された。指定された事業体が、特別なサイバー関心システムに関する規定事件を知ると、24時間以内にコミッショナーへ電話で知らせる。合理的な時間内に電話できない場合は、指定番号へのテキスト送信か書面提出を選べる。

第一報に求められるのは、対象システム、発生の時期と経緯、保存データ、確認された影響だ。データの可用性・機密性・完全性が損なわれたか、事業運営に重大な影響が出たかも報告する。通報者の氏名、役職、所属、連絡先も入る。知悉から72時間以内に、更新情報、原因、システムへの影響、すでに取った是正策を可能な範囲で書面補足する。そこから30日以内に最終報告を提出する。日曜と祝日も期限に含む。二つの初期報告をそれぞれの最終日に出す場合、最後の期限は知悉からおよそ33日後だ。

この手続はすべての企業や警報を対象にしていない。Cybersecurity Act第18条は、管理下のシステムに機微情報を保管する事業体、または中断すればシンガポールの防衛、外交、経済、公衆衛生、安全、公の秩序に重大な損害を与える機能を担う事業体を、コミッショナーが指定できると定める。事業体は書面法に基づいて設立されていなければならない。対象事件は不正侵入、悪意あるコード、通信傍受やセッション乗っ取り、サービス拒否など、システムの可用性や運用を損なう行為だ。第18F条は、データ侵害または事業運営への重大な影響も求めている。

指定通知には事業体名、対象システム、義務、監督官の連絡先、異議申立てと不服申立ての手続を記載する。しかし第18条第4項は、その通知を官報に載せなくてもよいとする。確認した公式資料に指定先の名前や別の公的名簿は見当たらなかった。CSAが通知や名簿を公開すれば、誰にこの時計が適用されるかを確かめられる。

第3C部は、事業者所有または第三者所有の重要情報インフラとして指定されたシステムには適用されない。したがって、この仕組みを既存CIIの通報ルールと同一視できない。

時刻表と報告項目は公表された。だがS 791だけでは指定を受けた事業体は分からない。CSAは技術構成を伏せたまま、事業体とシステムの大分類を公表できる。次に必要な記録は、指定通知そのものか、どの範囲を公表するのかを示すCSAの公式方針だ。

出典