----------------------------------------------------------------------
コラム「サイバーことば　その組織は本当に『狙われた』のか」（7/14配信）
----------------------------------------------------------------------

----------------------------------------------------------------------
【1】まとめ
----------------------------------------------------------------------
・JCICコラム「サイバーことば　その組織は本当に『狙われた』のか」
・米国司法省、ハッカー集団「Scattered Spider」の容疑者をフィンランドから引き渡し
・ドイツBSI、AIシステムの信頼性を監査する評価基準「A5」のドラフトを公表
・米国連邦最高裁、アプリストアに年齢確認を義務付けるテキサス州法の執行を容認
・英国NCSC、AIエージェントによる国家規模のサイバー防御構想「Cyber Shield」を公表
・英国政府、経営層の関与を促す自主的枠組み「Cyber Resilience Pledge」を開始
・欧州議会、児童虐待コンテンツ検知のためのメッセージスキャン暫定規則の延長が成立

----------------------------------------------------------------------
【2】JCICコラム「サイバーことば その組織は本当に『狙われた』のか」
----------------------------------------------------------------------
「あの業種は狙われやすい」「あの企業が狙われた」「自分たちは狙われない」…サイバー被害を語るとき、私たちは「狙われる」ということばを使いがちだ。しかし、それはサイバー攻撃者の実態を正しく表現しているのだろうか？本稿では、「狙う」という言葉の違和感をヒントに、サイバーセキュリティの本質を探っていく。

全文はJCICのウェブサイトから閲覧できます。
https://www.j-cic.com/reports.html#org_ovrvw1c

----------------------------------------------------------------------
【3】海外政策動向一覧
----------------------------------------------------------------------
2026年7月1日 米国司法省、ハッカー集団「Scattered Spider」の容疑者をフィンランドから引き渡し
米国司法省（DOJ）は、ハッカー集団「Scattered Spider」のメンバーとされる19歳の米国・エストニア二重国籍の容疑者がフィンランドで逮捕され、米国へ引き渡されたと発表した。容疑者は共謀、コンピュータ侵入、詐欺の容疑で訴追され、シカゴの連邦裁判所に出廷した。フィンランド当局は4月、国際手配書に基づき容疑者を逮捕していた。
訴状によると、同集団は従業員になりすまして企業のアカウントに侵入し、データの暗号化・窃取と暗号資産による恐喝を繰り返してきた。関与した侵入は100件超、身代金の支払総額は1億ドル（約155億円）を超えるとされる。容疑者は2025年5月、高級宝飾小売企業への侵入とデータ窃取、約800万ドル（約12億円）相当の暗号資産の要求に関与したとされる。同社は身代金を支払わずに攻撃者を排除したが、事業中断や調査対応で200万ドル（約3億円）以上の損失を被った。
本件は、サイバー犯罪のインフラ・資金網を標的とする米連邦捜査局（FBI）の継続作戦「Operation Riptide」の一環と位置づけられている。
https://www.justice.gov/opa/pr/alleged-member-criminal-cyber-hacking-group-scattered-spider-arrested-finland-and-extradited

2026年7月6日 ドイツBSI、AIシステムの信頼性を監査する評価基準「A5」のドラフトを公表
ドイツ連邦情報セキュリティ庁（BSI）は、AIシステムの信頼性を体系的に監査・評価するための基準「A5（AI監査・保証評価アーキテクチャ）」のコミュニティドラフトを公表した。AIのバリューチェーンに関わる提供者・運用者・開発者などを対象に標準化された評価の枠組みを示すもので、8月31日まで意見を募集する。
A5はモジュール式の構成をとり、技術や用途に依存しない横断的な基準（堅牢性、説明可能性、性能、人間による監督、バイアス、AI固有のサイバーセキュリティ等）を基礎モジュールとして提示する。監査手法は、国際保証業務基準（ISAE 3000）に基づくクラウド向け「C5」基準の方法論を踏襲する。基準は機械可読なOSCAL形式で提供され、既存のコンプライアンスツールに統合できる。
EUのAI法（AI Act）やサイバーレジリエンス法（CRA）が求める要件に対し、AIの技術的な信頼性を証明可能にする枠組みと位置づけられている。
https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260706_KI_A5-Community-Draft.html
https://www.heise.de/en/news/Trustworthiness-of-AI-systems-BSI-publishes-draft-catalog-11356202.html

2026年7月6日 米国連邦最高裁、アプリストアに年齢確認を義務付けるテキサス州法の執行を容認
米国連邦最高裁判所は、アプリストア運営者に利用者の年齢確認を義務付けるテキサス州法「アプリストア説明責任法（App Store Accountability Act）」について、執行の一時差し止めを求める申し立てを退けた。訴訟が下級審で継続する間も、州は同法を執行できる。
同法は2025年に成立し、18歳未満の利用者のアカウントを保護者のアカウントに紐付けたうえで、アプリのダウンロードやアプリ内課金に保護者の同意を義務付ける。連邦地裁は2025年12月、憲法修正第1条（表現の自由）に反するおそれがあるなどとして執行を差し止めたが、第5巡回区控訴裁が2026年6月にこれを覆しており、最高裁も差し止めを認めなかった。訴訟は業界団体CCIAと学生団体が提起している。
https://www.scotusblog.com/2026/07/supreme-court-allows-texas-to-enforce-law-requiring-age-verification-and-parental-consent-on-app/
https://thehill.com/policy/technology/5956536-supreme-court-texas-app-store-law/

2026年7月7日 英国NCSC、AIエージェントによる国家規模のサイバー防御構想「Cyber Shield」を公表
英国国家サイバーセキュリティセンター（NCSC）は、科学・イノベーション・技術省（DSIT）と共同で、AIエージェントを活用した国家規模のサイバー防御構想「Cyber Shield」の青写真を公表した。最先端のAIにより英国全体のサイバーリスクを特定・低減・解決する協調的な防御体制の構築を目指すもので、産業界・学術界に開発への参画を呼びかけている。
構想では、攻撃側と防御側の「レッド」「ブルー」のAIエージェントが脆弱性の発見や脅威への対処をリアルタイムで担う。エージェントは各組織の管理・権限の下で相互に連携して動作し、露出した脆弱性の全国規模の自動スキャン、組織間の脅威情報共有、自動化された緩和ワークフローなどの実現を掲げる。政府機関・重要インフラ事業者での試行を経て、商用展開へ広げる計画である。
NCSCは、AIが脆弱性調査や偵察といった攻撃活動をすでに高速化・大規模化させており、将来は侵入の全工程を自律的に実行する攻撃も現実化しうると指摘。防御側が人間の対応規模を超えて対処できる能力の整備が狙いとしている。
https://www.ncsc.gov.uk/blogs/cyber-shield-the-path-to-an-agentic-ai-future-for-cyber-defence
https://www.infosecurity-magazine.com/news/ncsc-national-cyber-sheild-ai/

2026年7月7日 英国政府、経営層の関与を促す自主的枠組み「Cyber Resilience Pledge」を開始
英国政府は、企業の経営層にサイバーレジリエンス強化への関与を促す自主的な枠組み「Cyber Resilience Pledge（サイバーレジリエンス誓約）」を開始した。首相官邸で開かれた発足式典では、小売、金融、放送、ITなど各業種の企業や政府の主要サプライヤーを含む60超の組織が署名した。
署名組織は以下3つの行動を約束する。
（1）サイバーガバナンス実践規範（Cyber Governance Code of Practice）の実施と全取締役によるNCSCのガバナンス研修の受講（3か月以内、以後毎年）によりサイバーを取締役会の責任とすること
（2）署名から1か月以内にNCSCの早期警戒サービス「Early Warning」に登録すること
（3）サプライチェーンに政府支援の認証制度「Cyber Essentials」の取得を求めること
サイバー攻撃による英国組織の被害は年間147億ポンド（約2兆9,000億円）と試算されており、政府は誓約への署名が企業の信頼性の差別化にもつながるとしている。
https://www.gov.uk/government/news/businesses-across-britain-sign-up-to-cyber-resilience-pledge-as-ministers-urge-firms-to-strengthen-cyber-defences
https://www.gov.uk/government/publications/cyber-resilience-pledge

2026年7月9日 欧州議会、児童虐待コンテンツ検知のためのメッセージスキャン暫定規則の延長が成立
欧州議会は、オンラインサービス事業者による児童性的虐待コンテンツ（CSAM）検知のためのメッセージスキャンを許容する暫定規則（いわゆる「Chat Control」）の延長を否決せず、延長が成立した。事業者による通信内容の自主的なスキャンを認める2021年の暫定規則は2026年4月3日に失効しており、今回の延長により2028年4月3日まで復活する。
ストラスブールでの採決では、延長への反対が314票と賛成の276票を上回った。しかし第二読会の手続き上、EU理事会が採択した延長案を否決するには絶対多数の361票が必要であり、47票届かず延長が成立した。延長された規則は、デジタルサービス事業者に既知のCSAM（画像・動画）の検知・通報を義務ではなく任意で認めるもので、SignalやWhatsApp等のエンドツーエンド暗号化通信は対象外とされた。
恒久的なCSAM規則案をめぐる交渉は継続している。プライバシー擁護団体が「令状も監督もない大規模な通信監視につながる」と手続き・内容の双方を批判する一方、Europolは児童保護に不可欠だと支持しており、議論が続く見通しである。
https://www.euronews.com/my-europe/2026/07/07/eu-to-extend-temporary-message-scanning-regime-to-detect-child-sexual-abuse-online
https://therecord.media/chat-control-2-csam-scans-european-parliament-passage

----------------------------------------------------------------------
【4】M&A/IPO情報詳細
----------------------------------------------------------------------
2026年6月1日 米Dragos、拡張OT（xOT）セキュリティのPhosphorusを買収
2026年6月3日 米Arpio、サイバーレジリエンス領域で1,500万ドル（約23億円）のシリーズA調達
2026年6月4日 米Opal Security、統合アイデンティティガバナンスで2,300万ドル（約36億円）を調達
2026年6月5日 米Netgear、クラウドセキュリティ（SASE）のExiumと買収合意
2026年6月9日 米Cycurion、SOC/MSSPのSecuvant（Panopticプラットフォーム）の買収完了を発表
2026年6月11日 米Securonix、脅威インテリジェンスのThreatQuotientを買収
2026年6月11日 米Cyera、イスラエルのデータセキュリティ新興ShapeAIを買収
2026年6月15日 加1Password、AIエージェント対応のアクセスガバナンスを手がけるAponoを買収
2026年6月15日 米SailPoint、非人間ID・シークレット管理のEntroを買収
2026年6月16日 米Databricks、セキュリティレイクハウスのPantherと買収合意でAI SOC強化
2026年6月18日 米Accenture、OTセキュリティ大手Dragosの過半数株式を取得
2026年6月25日 米Incode Technologies、本人確認・不正防止のIdentiqを買収
2026年6月30日 ベルギーAikido Security、OSS脆弱性の自動修正を手がけるRootを買収