----------------------------------------------------------------------
NY金融サービス局、中東紛争に伴うサイバー脅威の高まりに警告（3/26配信）
----------------------------------------------------------------------

----------------------------------------------------------------------
【1】まとめ
----------------------------------------------------------------------
・NY金融サービス局、中東紛争に伴うサイバー脅威の高まりに警告
・フランスANSSI、2025年サイバー脅威全体像レポートを公表
・中国CNCERT、AIエージェントアプリ「OpenClaw」のセキュリティリスクを警告
・米CISA、Stryker社侵害を受けエンドポイント管理システムのハードニングを全米組織に要請
・NIST、5Gネットワークセキュリティ設計原則に関するホワイトペーパーを公表

----------------------------------------------------------------------
【2】海外政策動向一覧
----------------------------------------------------------------------
2026年3月3日 NY州金融サービス局、中東紛争に伴うサイバー脅威の高まりに警告
ニューヨーク州金融サービス局（NYDFS）は、中東における軍事紛争の激化を受け、規制対象の金融機関に対しサイバーセキュリティ態勢の強化を求める業界書簡を発出した。書簡公開の時点で金融機関を標的とした具体的な協調攻撃は確認されていないものの、地政学的緊張の高まりに伴い脅威環境が深刻化しているとの認識を示している。
書簡では、NYDFSのサイバーセキュリティ規則（23 NYCRR Part 500）への完全準拠を確認するよう求めるとともに、具体的な対策として、既知の脆弱性の特定と修正、重要業務の運用レジリエンス手順のテスト、不審な活動の監視強化、最小権限の原則の適用、コードインジェクション攻撃への入力検証による防御、認証設定の見直しなどを推奨している。
https://www.dfs.ny.gov/industry-guidance/industry-letters/20260303-cybersecurity-advisory-heightened-cyber-threats-global-conflict

2026年3月11日 フランスANSSI、2025年サイバー脅威全体像レポートを公表
フランス国家情報システムセキュリティ庁（ANSSI）の運営するCERT-FRは、2025年のサイバー脅威全体像をまとめた年次レポート「Panorama de la cybermenace 2025」を公表した。同レポートは、国家支援型アクターとサイバー犯罪者の間の境界がこれまで以上に曖昧化していると指摘している。
具体的には、ランサムウェア攻撃の減少とデータ窃取のみを目的とした攻撃の顕著な増加が確認された。攻撃者はエッジデバイスやインターネットに露出したソリューションの脆弱性を迅速に悪用する傾向を強めており、正規ツールやサービスの悪用も拡大している。攻撃対象の選定は、無差別型と標的型の双方がみられ、目的に応じて使い分けられている。
ロシアおよび中国の情報機関と関連する国家支援型アクターは、外交ネットワークを標的とした戦略的情報収集を継続している。また、AI活用による攻撃能力の進展も確認されているが、現時点ではパラダイムシフトには至っていないと評価している。
https://www.cert.ssi.gouv.fr/cti/CERTFR-2026-CTI-002/

2026年3月12日 中国CNCERT、AIエージェントアプリ「OpenClaw」のセキュリティリスクを警告
中国国家コンピュータネットワーク緊急技術処理協調センター（CNCERT/CC）は、自然言語の指示に基づきコンピュータ操作を実行するAIエージェントアプリ「OpenClaw」について、4つの重大なセキュリティリスクを警告するアドバイザリを公表した。OpenClawは中国でも主要クラウドプラットフォーム上に広く展開されているという。
CNCERT/CCが指摘した4つのリスクは、（1）Webページに埋め込まれた悪意ある指示によりシステム認証情報が漏洩するプロンプトインジェクション、（2）ユーザーの指示を誤解釈し重要データを永久に削除する誤操作リスク、（3）暗号鍵の窃取やトロイの木馬の展開が確認された悪意あるプラグインの注入、（4）システム侵害や機密データの窃取を可能にする複数の高深刻度の脆弱性——である。金融やエネルギーなどの重要産業においては、中核データの漏洩やシステム全体の障害に至る恐れがあると警告している。
https://www.cert.org.cn/publish/main/11/2026/20260312144519429724511/20260312144519429724511_.html

2026年3月18日 米CISA、Stryker社侵害を受けエンドポイント管理システムのハードニングを全米組織に要請
米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は、2026年3月11日に発生した米医療機器大手Stryker社に対するサイバー攻撃を受け、全米の組織に対しエンドポイント管理システムのハードニングを求める勧告を発出した。同攻撃では、イラン系ハクティビスト集団「Handala」がMicrosoft Intuneの組み込みワイプ機能を悪用し、20万台以上のデバイスに遠隔消去攻撃を実行したとされる。これにより、手術の遅延や病院システムの混乱など患者ケアへの直接的な影響が生じている。
CISAは3つの主要な対策を推奨している。（1）ロールベースアクセス制御（RBAC）による最小権限の管理者アカウントの実装、（2）耐フィッシングの多要素認証（MFA）とMicrosoft Entra IDの条件付きアクセスの活用、（3）デバイスワイプやスクリプト展開、RBAC変更などの機密操作に対する複数管理者承認ワークフローの導入——である。CISAはFBIと連携して追加の脅威特定と対応策の策定にあたっている。
https://www.cisa.gov/news-events/alerts/2026/03/18/cisa-urges-endpoint-management-system-hardening-after-cyberattack-against-us-organization

2026年3月20日 NIST、5Gネットワークセキュリティ設計原則に関するホワイトペーパーを公表
米国国立標準技術研究所（NIST）は、5Gネットワークのサイバーセキュリティおよびプライバシー機能の適用に関するホワイトペーパー（CSWP 36E）を公表した。同文書は、NISTの国家サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）における5Gセキュリティテストベッドでの実証結果に基づいている。
ホワイトペーパーでは、商用および専用5Gネットワークにおけるセキュリティ強化のための設計原則として、データプレーン、コントロールプレーン、運用・保守（O&M）トラフィックの3層分離を重点的に提示している。実装手法としては、共有物理インフラ上で論理的なネットワーク分離を実現する仮想ルーティング・フォワーディング（VRF）技術が主要な手段として位置付けられている。5Gネットワーク事業者がサイバーセキュリティとプライバシーの態勢を強化するための実践的な指針を提供するものである。
https://csrc.nist.gov/pubs/cswp/36/e/5g-network-security-design-principles/final

----------------------------------------------------------------------
【3】M&A/IPO情報詳細
----------------------------------------------------------------------
2026年3月2日 Zurich保険グループ、英国Beazleyを約110億ドル（約1兆7,050億円）で買収へ。サイバー保険事業を強化
2026年3月11日 Alphabet、クラウドセキュリティ企業Wizの買収を320億ドル（約4兆9,600億円）で完了
2026年3月11日 イタリアの防衛大手Leonardo、英国の防衛向けサイバーセキュリティ企業Becryptを買収へ
2026年3月18日 AIペネトレーションテストのRunSybil、Khosla Ventures主導で4,000万ドル（約62億円）を調達