----------------------------------------------------------------------
マリオット・インターナショナルへの制裁金が約25億円までに減額（11/4配信）
----------------------------------------------------------------------

----------------------------------------------------------------------
【1】まとめ
----------------------------------------------------------------------
・コラム「中国 《個人情報保護法（草案）》パブコメ開始 内容からみる日本企業への影響」を掲載しました
・イベントレポート「第2回日台サイバーセキュリティ対話」を掲載しました
・MITRE社、ATT&CKバージョン8を公開
・マリオット・インターナショナルへの制裁金が約25億円までに減額
・マネージドセキュリティ事業などを展開するバリオセキュア社が東証2部上場予定【IPO情報】

----------------------------------------------------------------------
【2】コラム「中国 《個人情報保護法（草案）》パブコメ開始 内容からみる日本企業への影響」
----------------------------------------------------------------------
中国では初めての包括的な個人情報保護法（草案）が審議され、大きな注目を浴びています。
第13回全国人民大会（全人代）が、2020年10月17日までに開催した会議の中で「個人情報保護法（草案）」が審議されました。草案の全文は、10月22日から全人代の公式ウェブサイトで公開されており、今年11月19日までパブリックコメントを募集しています。
本コラムでは、草案の中から日系企業の関心が高いと思われる内容をご紹介します。

詳細は、JCICのウェブサイトをご覧ください。
https://www.j-cic.com/column/China-PIPL.html

----------------------------------------------------------------------
【3】イベントレポート「第2回日台サイバーセキュリティ対話」
----------------------------------------------------------------------
2020年10月15日、台湾工業技術研究院（ITRI）とJCICは、第2回となる日台サイバーセキュリティ対話「5G世界における情報セキュリティの機会を探る-日台対話」を開催しました。当日は、オンライン会議の形式で、台湾から10名、日本から15名が参加しました。2時間半の会議では、5Gの動向やセキュリティ対策の講演が行われ、活発な議論が交わされました。

詳細は、JCICのウェブサイトをご覧ください。
https://www.j-cic.com/news/event20201104.html

----------------------------------------------------------------------
【4】海外政策動向一覧（2020年10月24日～2020年10月30日）
----------------------------------------------------------------------
2020年10月26日 ENISA、ISAC設立・運営用ツールキットの提供開始
欧州ネットワーク・情報セキュリティ機関（ENISA）は、ISACを設立・運営に必要な包括的ツールキットの提供を開始した。ツールキットは、新規ISACの設立時に利用可能なガイドの提供と、既存ISACの発展支援を目的としたものとなる。
ISACのフェーズを「設立」「運営」「評価」「発展」の4段階に分割して考えており、フェーズごとに必要となる必要な書類、ツール等のすべてがツールキットに含まれている。
https://www.enisa.europa.eu/news/enisa-news/isac-in-a-box

2020年10月27日 MITRE社、ATT&CKバージョン8を公開
MITRE社は、攻撃者の攻撃手法や戦術を分析するためのナレッジベース「ATT&CK（アタック）」のバージョン8を公開した。新バージョンの大きな変更点として、PRE-ATT&CKが廃止となり、偵察（Reconnaissance）とリソース開発（Resource Development）がEnterpriseの戦術に加えられた。また、Enterpriseのマトリックスにネットワークプラットフォームが追加された。
https://attack.mitre.org/resources/updates/updates-october-2020/

2020年10月28日 米国CISA、FBI、HHS、ヘルスケアと公衆衛生分野向けの共同サイバーセキュリティアドバイザリを公表
サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、米連邦捜査局（FBI）米国保健福祉省（HHS）は、ヘルスケアと公衆衛生分野向けの共同サイバーセキュリティアドバイザリを公表した。このアドバイザリには、サイバー犯罪者が金銭利益のためにシステムをランサムウェア（特にRyukおよびConti）に感染させるための戦術や技術および手順（TTPs）が記載されている。ランサムウェアによる攻撃によって、情報漏えいや医療サービスの中断に繋がることが多いと評価しており、これらの問題は、COVID-19パンデミック状況下では特に困難であると述べている。したがって、管理者はサイバーセキュリティへの投資を決定する際にこのリスクのバランスを取る必要があり、サービスの中断を最小限に抑えるために事業継続計画を維持することを推奨している。
https://us-cert.cisa.gov/ncas/alerts/aa20-302a
https://us-cert.cisa.gov/ncas/current-activity/2020/10/28/ransomware-activity-targeting-healthcare-and-public-health-sector

2020年10月29日 NIST、連邦政府基準「SP800-53B」を公開
米国国立標準技術研究所（NIST）は、米国連邦政府のセキュリティ・プライバシー保護のコントロールに関するガイドライン「NIST SP800-53*」の付属資料B「情報システムと組織のコントロールベースライン」の最終版を公開した。高中低の3段階の管理基準（コントロールベースライン）とプライバシーベースラインが整理されている。
* NIST SP800-53の改訂版（Revision 5）は2020年9月23日に正式リリース
https://csrc.nist.gov/publications/detail/sp/800-53b/final

2020年10月30日 マリオット・インターナショナルへの制裁金が約25億円までに減額
英国情報コミッショナーオフィス（ICO）は、米国ホテル大手マリオット・インターナショナル社が過去4年間に渡ってサイバー攻撃を受けており、約3億3900万人の顧客情報が流出したことがGDPRに抵触するとして、約1840万ポンド（日本円で約25億円相当）の制裁金を科すことを発表した。もともとは、米国スターウッド・ホテルズ&リゾート社がサイバー攻撃を受けており、マリオットはこれを知らずに同社を2016年に買収していた。なお、制裁金に関しては、当初は年商の約2.4％にあたる9,920万ポンド（日本円で約135億円相当）の制裁金を科す方針であったが、ブリティッシュ・エアウェイズへの制裁金と同様に、マリオットの表明書と再発防止策、COVID-19の経済的影響を考慮し、約81%減の9,920万ポンド（日本円で約135億円相当）までに制裁金を減額した。
https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/10/ico-fines-marriott-international-inc-184million-for-failing-to-keep-customers-personal-data-secure/

----------------------------------------------------------------------
【5】今月のM&A/IPO情報詳細
----------------------------------------------------------------------
10月1日 Imperva社がデータベースセキュリティのjSonar社を買収
10月1日 Cisco社がDevOpsソリューションを提供するPortShiftを買収
10月6日 ZeroFOX社が脅威インテリジェンスを提供するCyveillance社を買収
10月14日 BlueVoyant社がマイクロソフトのセキュリティ製品を取扱うManaged Sentinel社を買収
10月22日 フランスAtos社がセキュリティコンサルティング企業SEC Consult社を買収
10月22日 マカフィー社がナスダックに新規株式公開【IPO情報】
10月23日 マネージドセキュリティ事業などを展開するバリオセキュア社が東証2部上場予定【IPO情報】
10月27日 アカマイ社がIoTデバイス管理を提供するアイルランドのAsavie社を買収
10月29日 Parsons社がセキュリティ事業を展開するBraxton Science & Technology Group社を買収