----------------------------------------------------------------------
米国OMB、連邦機関のサイバーロギング要件をリスクベースに転換する覚書（6/2配信）
----------------------------------------------------------------------

----------------------------------------------------------------------
【1】まとめ
----------------------------------------------------------------------
・英国NCSC、AIモデルによる脆弱性発見の活用前に問うべき10の論点を公表
・欧州Europol主導「Operation Saffron」、ランサム集団が利用したVPN「First VPN」を解体
・米国OMB、連邦機関のサイバーロギング要件をリスクベースに転換する覚書
・ノルウェーとフランス、サイバーを含む防衛協力を包括する「ナルヴィク協定」に署名
・欧州ENISA、NIS2重要セクターの成熟度評価レポート「NIS360」第3版を公表

----------------------------------------------------------------------
【2】海外政策動向一覧
----------------------------------------------------------------------
2026年5月11日 英国NCSC、AIモデルによる脆弱性発見の活用前に問うべき10の論点を公表
英国国家サイバーセキュリティセンター（NCSC）は、AIモデルを用いてシステム・ソフトウェア・インフラの脆弱性を発見する取り組みについて、組織が導入前に問うべき10の論点をまとめた解説を公表した。脆弱性管理グループ責任者Ruth C氏が執筆した。
解説の核心は「AIで脆弱性をより多く発見すること自体はセキュリティ改善ではなく、検出結果の選別・修正の能力が伴わなければむしろ状況を悪化させる」という主張である。10の論点には、目的の明確化、AI採用の妥当性検証、検出結果の優先順位付け体制、利用するAIモデルの選定基準、人材投資の所在、長期的なAIモデル更新計画等が含まれる。
NCSCは付随するリスクとして、情報漏洩、インフラセキュリティ、サンドボックスの不備、本番環境へのアクセス権限、LLMに付与する権限、データ保持方針、法令遵守等を列挙している。組織にはまず外部攻撃面の優先対応、堅固な脆弱性管理プロセスの確立、サイバー衛生の基本徹底を求め、AIの能力は人間の専門家を代替するものではなく加速させるものと位置づけた。
https://www.ncsc.gov.uk/blogs/10-questions-ask-using-ai-models-find-vulnerabilities

2026年5月21日 欧州ユーロポール主導「Operation Saffron」、ランサム集団が利用したVPN「First VPN」を解体
欧州刑事警察機構（ユーロポール）は、フランス・オランダ両国主導の国際共同捜査「Operation Saffron」により、ロシア語圏のサイバー犯罪フォーラムで広く宣伝されていたVPNサービス「First VPN」を解体したと発表した。捜査は2021年12月から続けられ、押収作戦は5月19日から20日にかけて実施された。
押収内容は、サーバ33台、ドメイン3つ（1vpns.com、1vpns.net、1vpns.org、関連の.onionアドレスを含む）に及ぶ。同サービスは2014年から運用され、当局非協力・「司法管轄外」を売り文句に、犯罪用途向けの段階的価格体系を提供していた。サービス管理者はウクライナ国内で家宅捜索の対象となり、聴取を受けた。
捜査の過程で5,000件超のアカウントが特定され、全利用者にサービス停止と身元特定の通知が送付された。また、Phobosランサムウェアサービス（RaaS）等を含む既存の捜査21件を進展させ、83件のインテリジェンスパッケージを各国当局と共有、506名のサイバー犯罪生態系関係者を特定した。ユーロポールサイバー犯罪センターの責任者は「犯罪者がこのVPNを匿名性への入り口とみなしていたが、その認識が誤りだったと示した」と総括した。
https://www.europol.europa.eu/media-press/newsroom/news/cybercriminal-vpn-used-ransomware-actors-dismantled-in-global-crackdown
https://thehackernews.com/2026/05/first-vpn-dismantled-in-global-takedown.html

2026年5月22日 米国OMB、連邦機関のサイバーロギング要件をリスクベースに転換する覚書
米国行政管理予算局（OMB）は、連邦機関のサイバー事象ログ管理に関する覚書「M-26-14：Ensuring Effective and Efficient Agency Logging and Network Visibility to Defend Against Evolving Cyber Threats」を発出した。本覚書は、Biden政権下で2021年に発出された連邦サイバーロギング標準「M-21-31」を破棄し、リスクベース・優先順位付け型のアプローチへ転換する。
旧覚書は「機関の基礎能力を改善した」と評価しつつ、明確な活用目的を欠く大量データの長期保持は運用面・費用対効果の両面で持続不能であったと指摘する。新枠組みは2つの主要目標を中核に据える。第一は「継続的事象監視（CEM）」によるリアルタイム脅威検知、第二は「脅威ハンティング・調査・対応・フォレンジック（THIRF）」による侵害確認後の調査・復旧能力である。
実装スケジュールとして、米国サイバーセキュリティ・社会基盤安全保障庁（CISA）が90日以内に「ログ参照アーキテクチャ（LRA）」を策定し、各機関はその公表から90日以内に新たな対応計画を提出する。各機関の進捗測定のための成熟度モデルも改訂される予定。
https://www.whitehouse.gov/wp-content/uploads/2026/05/M-26-14-Ensuring-Effective-and-Efficient-Agency-Logging-and-Network-Visibility-to-Defend-Against-Evolving-Cyber-Threats.pdf
https://cyberscoop.com/white-house-federal-cybersecurity-logging-rules/

2026年5月27日 ノルウェーとフランス、サイバーを含む防衛協力を包括する「ナルヴィク協定」に署名
ノルウェー政府は、フランス政府との間で防衛協力枠組み「ナルヴィク協定（Narvik Agreement）」に署名した。協定の中核には「相互防衛条項」が置かれ、NATO第5条を補完する位置づけで、双方が必要時の軍事支援を約束する。
協定の対象範囲は、北極圏作戦（フランスの大規模演習が行われるノルウェー北部地域）、インフラ・装備（共同危機計画、迅速増援のための事前配置）、演習・訓練（ノルウェー国内での定期共同活動の正式化）、防衛産業協力の4本柱で構成される。これに加えて、ハイブリッド戦への防衛、海上安全保障、宇宙協力、サイバーセキュリティ、ウクライナ支援、産業協力までを包括する内容となっている。
本協定はノルウェーが推進する「ヘッジング戦略」の一環であり、NATO米国主導枠組みを超えた安全保障パートナーシップの多角化を示す。同国は2025年12月に英国と、2026年2月に独国と類似の二国間防衛協定を締結しており、欧州主要3軍事大国との正式な枠組みが揃ったことになる。ロシアによる軍事的圧力の高まりを背景に、欧州内でサイバーを含むハイブリッド領域の協力体制構築が加速している。
https://www.regjeringen.no/en/whats-new/norway-and-france-sign-mutual-defence-agreement/id3161369/

2026年5月28日 欧州ENISA、NIS2重要セクターの成熟度評価レポート「NIS360」第3版を公表
欧州連合サイバーセキュリティ機関（ENISA）は、EUのNIS2指令附属書Iが定める「高度重要セクター」のサイバー成熟度と重要度を評価する年次レポート「NIS360」の第3版を公表した。ENISA事務局長は「包括的なEUサイバー規制枠組みの実装が大きな改善をもたらした」と述べ、NIS2運用を背景に各セクターの成熟度が継続的に向上していると総括する。
今版で新たに「高成熟度バンド」に到達したのは信託サービス・航空・金融市場インフラ（FMI）の3セクター。「中成熟度バンド」では、ガス・道路・海運・健康の4セクターが内部での成熟を進展させた。一方で銀行・電力・通信は引き続き最も成熟・重要度の高いセクターとして位置づけられ、宇宙は今版で初めて最重要度ティアに加わった。鉄道も軍事物流上の役割と脅威環境の高まりにより重要度が上昇している。
ENISAは「リスクゾーン」として、重要度に対し成熟度が相対的に低い7セクター（健康、鉄道、海運、ICT管理サービス、宇宙、公共行政、上下水道）を特定した。前年リスクゾーンに含まれていたガスは脱出方向にある。本レポートは各国当局・事業者にとって、セクター別の対策優先度を見極める基盤資料となる。
https://www.enisa.europa.eu/news/nis360-the-bigger-picture-on-maturity-and-criticality-of-nis-critical-sectors

----------------------------------------------------------------------
【3】M&A/IPO情報詳細
----------------------------------------------------------------------
2026年5月6日 独Allianz、商業サイバー保険ポートフォリオを米Coalitionへ全面移管
2026年5月7日 米Cycurion、Halo PrivacyおよびHavenXの買収契約を締結
2026年5月11日 イスラエルのサイバースタートアップFrame、シリーズAで5,000万ドル（約77億円）調達
2026年5月14日 英Howden、米国のサイバーアナリティクススタートアップCybetaを買収
2026年5月20日 米Cyera、イスラエルGenie Securityを約5,000万ドル（約77億円）で買収
2026年5月22日 米Cycurion、米Secuvantを約287万ドル（約4.4億円）で買収
2026年5月31日 米Cisco、メールセキュリティのArmorbloxを買収