----------------------------------------------------------------------
米国下院、「外国敵対勢力から米国人のデータを保護する法案」を全会一致で承認（3/26配信）
----------------------------------------------------------------------

----------------------------------------------------------------------
【1】まとめ
----------------------------------------------------------------------
・米国CISAら、中国支援のVolt Typhoonによるサイバー活動について共同ファクトシートを発表
・米国DHSおよび欧州DG CONNECT、インシデント報告基準の比較による大西洋横断アプローチ
・米国下院、「外国敵対勢力から米国人のデータを保護する法案」を全会一致で承認
・米国CISAら、DDoS攻撃の手法に関する共同ガイダンスの更新版をリリース

----------------------------------------------------------------------
【2】海外政策動向一覧
----------------------------------------------------------------------
2024年3月19日 米国CISAら、中国支援のVolt Typhoonによるサイバー活動について共同ファクトシートを発表
米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、国家安全保障局（NSA）、連邦捜査局（FBI）、その他多くの国際パートナー（オーストラリア、カナダ、英国、ニュージーランド当局など）と共同で、ファクトシート「中国の国家支援型サイバー活動：重要インフラリーダーのための行動」を発表した。Volt Typhoonの活動に関連する詳細な情報を提供し、特に米国の通信、エネルギー、輸送システム、上下水道システム部門の組織に対して、どのように侵害に成功したかを解説している。
また、Volt Typhoonがもたらす緊急のリスクを重要インフラのリーダーに向けて警告し、脅威活動から組織を保護するために優先すべき行動のガイダンスを提供している。
https://www.cisa.gov/news-events/alerts/2024/03/19/cisa-and-partners-release-joint-fact-sheet-leaders-prc-sponsored-volt-typhoon-cyber-activity
https://www.cisa.gov/resources-tools/resources/prc-state-sponsored-cyber-activity-actions-critical-infrastructure-leaders

2024年3月20日 米国DHSおよび欧州DG CONNECT、インシデント報告基準の比較による大西洋横断アプローチ
米国国土安全保障省（DHS）と欧州委員会の通信・ネットワーク・コンテンツ・技術総局（DG CONNECT）は、NIS2指令に基づく欧州連合（EU）のサイバーインシデント報告要件と米国の規定を比較分析した結果について発表した。国土安全保障長官と欧州委員会委員による2024年の共同声明を受けた取り組み、大西洋を越えたサイバーインシデント報告を可能な限り調整するプロセスを推進することを目的としている。両者は敵対的サイバー活動から国民・重要インフラ・企業を保護するために協力する。
報告書では、DHSの報告基準とEUの指令を6つの比較軸から分析している。比較軸の一覧は以下の通り。
（1）定義と報告基準 （2）サイバーインシデント報告のタイムライン・トリガー・種類、（3）サイバーインシデント報告の内容 （4）報告メカニズム （5）インシデントデータの集約 （6）サイバーインシデント情報の公開
https://www.dhs.gov/news/2024/03/20/dhs-and-dg-connect-announce-initiative-comparing-cyber-incident-reporting-better
https://www.dhs.gov/sites/default/files/2024-03/24_0320_plcy_comp-assessment-dhs-cyber-incident-rpting-fed-gvt-and-rules-incident-rpting-eu-directive-measures-high-common-level-cybersecurity-across-union-nis-2-directive-508.pdf

2024年3月20日 米国下院、「外国敵対勢力から米国人のデータを保護する法案」を全会一致で承認
米国下院は、「外国敵対勢力から米国人のデータを保護する法案（H.R.7520）」を全会一致で承認した。この法案は、データブローカーと呼ばれる個人データの販売で利益をあげている組織もしくは個人が、「外国敵対勢力」が支配する企業・団体・個人に対して米国人の機密データを販売・共有することを禁止するもの。外国敵対勢力の定義は合衆国法典の規定を参照しており、現在は北朝鮮、中国、ロシア、イランの名が挙げられている。
背景として、米国では2024年2月に「懸念国家による悪用から米国人の機密データを保護するための大統領令」が発令され、司法省・国土安全保障省・保健福祉省・国防省などに予防措置を命じていた。
違反した場合は連邦取引委員会（FTC）法違反として扱われ、FTCには違反1件につき罰金5万ドル（約750万円）以上の民事罰を請求する権利が与えられる。発効日は法案の制定日から60日後として定義されている。
同法案における機密データとして位置付けられた情報には次のようなものがある。政府発行のID、個人の健康医療情報、財務情報、生体遺伝子情報、位置情報、私的通信情報、デバイスやアカウント情報、性的嗜好情報、デバイス内の情報・ログ・写真・動画、17歳未満の個人情報、人種・宗教、オンライン活動情報、軍隊情報、他。
https://clerk.house.gov/Votes/202491
https://energycommerce.house.gov/posts/
https://democrats-energycommerce.house.gov/sites/evo-subsites/democrats-energycommerce.house.gov/files/evo-media-document/DATA_BROKERS_01_xml_0.pdf
https://www.justice.gov/opa/pr/justice-department-implement-groundbreaking-executive-order-addressing-national-security

2024年3月21日 米国CISAら、DDoS攻撃の手法に関する共同ガイダンスの更新版をリリース
米国サイバーセキュリティ・インフラセキュリティ庁（CISA）、連邦捜査局（FBI）、MS-ISACは、DDoS攻撃への対策で組織が直面する課題に対処するための共同ガイド「DDoS攻撃の理解と対応」の更新版を発表した。
このガイドでは、DDoS攻撃の手法を次の3つのタイプ（1）利用可能な帯域幅を消費することを目的としたボリューム型攻撃 （2）プロトコル・ネットワークプロトコルの脆弱性を悪用する攻撃 （3）アプリケーション・特定のアプリケーションまたは実行中のサービスの脆弱性を狙った攻撃 に分類しながら解説している。
CISAは、ネットワーク管理者と重要インフラ組織の管理者に向けて、DDoS攻撃の脅威への対策として本ガイダンスを活用することを推奨している。
https://www.cisa.gov/news-events/alerts/2024/03/21/cisa-fbi-and-ms-isac-release-update-joint-guidance-distributed-denial-service-techniques
https://www.cisa.gov/sites/default/files/2024-03/Understanding%20and%20Responding%20to%20Distributed%20Denial-of-Service%20Attacks_508c.pdf

----------------------------------------------------------------------
【3】3月のM&A/IPO情報詳細
----------------------------------------------------------------------
2024年3月 5日 イギリスのSaaSプロバイダHornetsecurity、フランスの電子メールセキュリティベンダVadeを買収
2024年3月 5日 イスラエルCycode、AIを活用した静的コードセキュリティテストのスタートアップBearerを買収
2024年3月 5日 CrowdStrike、データセキュリティポスチャ管理のFlow Securityを買収
2024年3月 7日 米国のテクノロジー企業のSHI International、セキュリティ企業のMootを買収
2024年3月18日 豪AUCloud、セキュリティとクラウド強化のためPCG Cyber​​、Venn IT、Aradoを合計3,000万ドル（約45億円）で買収
2024年3月19日 Airbus、AtoSのビッグデータ・サイバーセキュリティ事業の買収から撤退
2024年3月27日 インドのサイバーセキュリティスタートアップTACセキュリティ、IPOの予定公開