----------------------------------------------------------------------
EU、AI法の透明性義務の適用を開始（8/12配信）
----------------------------------------------------------------------

----------------------------------------------------------------------
【1】まとめ
----------------------------------------------------------------------
・米国CISA、連邦機関向けにオープンソースソフトウェアの安全な利用指針を公表
・欧州委員会、AIモデルによる無断アクセス事案でOpenAI・Anthropicと協議
・EU、AI法の透明性義務の適用を開始
・豪州ASD等、取締役会向けにフロンティアAIのサイバー脅威に関する指針を公表
・中国、米国Palo Alto Networks製品にサイバーセキュリティ審査を開始
・米国CISA、CVEプログラムの法制化をめぐり過度な要件化に懸念

----------------------------------------------------------------------
【2】海外政策動向一覧
----------------------------------------------------------------------
2026年7月30日 米国CISA、連邦機関向けにオープンソースソフトウェアの安全な利用指針を公表
米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は、連邦民生機関を対象とする手引き「オープンソースソフトウェアのセキュリティ原則と実践（Open Source Software: Security Principles and Practices）」を公表した。オープンソースソフトウェア（OSS）の利用を前提としたうえで、採用から運用までのリスク管理を体系化するものである。
手引きは、OSSを他のソフトウェアと同様に扱い、採用前にプロジェクトの信頼性を評価して承認する手続きを設けるよう求めている。資産管理台帳でOSSの構成要素を追跡し、依存関係の把握と脆弱性の監視、迅速なパッチ適用を行うこと、パッチが提供されていない脆弱性への対応手順をあらかじめ定めておくことを挙げる。あわせて、機関が独自に開発したソフトウェアの公開や、利用するプロジェクトへの改善の還元も推奨している。
AIについては、OSSとは別の区分として扱うよう求めている。オープンソースライセンスが付されていても学習データや開発手法が開示されるとは限らず、信頼性の評価に必要な透明性は得られないとして、開発過程を検証できないオープンウェイトモデルを機微なネットワークに展開しないよう促している。
https://www.cisa.gov/news-events/news/cisa-guide-helps-federal-agencies-securely-and-effectively-use-open-source-software
https://cyberscoop.com/cisa-open-source-software-security-guidance/

2026年7月31日 欧州委員会、AIモデルによる無断アクセス事案でOpenAI・Anthropicと協議
欧州委員会は、AIモデルが評価環境を越えて第三者のシステムへ無断でアクセスした一連の事案について、OpenAIとAnthropicの両社から説明を受けたことを明らかにした。委員会当局者は、両社から公表前に個別に報告を受けたとしたうえで、一連の事案は開発者が必要な監視の仕組みを実際に整備することの重要性を示していると述べた。
OpenAIは同じ時期に調査の範囲を広げ、ほかにも複数のAIエージェントが封じ込め環境を脱していたことを確認したと報じられた。いずれも限定的で同社ネットワークの外には出ていないとされる一方、社内の基盤には、後続のバージョンに対して制約を回避する方法を伝える内容の記録が残されていたという。
https://www.rte.ie/news/business/2026/0731/1586020-eu-in-talks-with-openai-after-rogue-ai-agent-hacks/
https://www.japantimes.co.jp/business/2026/08/01/tech/openai-agent-more-breakouts/

2026年8月2日 EU、AI法の透明性義務の適用を開始
EUのAI法（AI Act）のうち、透明性に関する義務の適用が始まった。利用者がAIと対話していることの告知や、AIが生成・改変したコンテンツの明示を求める第50条が、加盟国当局による執行の対象となる。対象は高リスクに分類されるシステムに限られず、これらの用途に該当するAIシステム全般に及ぶ。EU域外の事業者も、EU域内で提供するシステムについては同様に対象となる。
同日から、汎用AI（GPAI）モデルに対する執行権限と制裁の規定も発効した。一方、当初は同じ8月2日に適用が始まる予定だった高リスクAIシステムに対する義務は、規制の簡素化を図る「デジタル・AIオムニバス」により2027年12月2日へ延期されている。
https://artificialintelligenceact.eu/article/50/
https://www.goodwinlaw.com/en/insights/publications/2026/08/alerts-technology-dpc-eu-ai-act-transparency-obligations-now-in-force

2026年8月5日 豪州ASD等、取締役会向けにフロンティアAIのサイバー脅威に関する指針を公表
豪州信号局（ASD）は、豪州取締役協会（AICD）と共同で、取締役会を対象としたフロンティアAIのサイバー脅威に関する指針を公表した。高度な推論・コーディング・自律的な問題解決の能力を持つモデルが攻撃側に利用されることで、偵察や脆弱性の特定が加速し、攻撃に必要な技能の水準も下がると指摘している。
指針は、脆弱性の発見に要する時間が数日から数時間に短縮されうるとし、こうした変化が組織の現在のリスク許容度を短期間で無効にしうると警告する。そのうえで、取締役会が経営陣に問うべき論点を示し、取り組みを時間軸で整理した。当面はアタックサーフェスの縮小など基本的な対策の徹底、短期では老朽システムの更改、ID・アクセス管理の強化、不要な権限の削減とインシデント対応の準備、その先ではAIの防御的な活用と基盤の刷新を挙げている。
https://www.cyber.gov.au/about-us/view-all-content/news/new-ai-frontier-cyber-threat-guidance-for-boards-of-directors
https://www.aicd.com.au/news-media/research-and-reports/asd-board-guidance-frontier-ai-cyber-threats.html

2026年8月6日 中国、米国Palo Alto Networks製品にサイバーセキュリティ審査を開始
中国の国家インターネット情報弁公室（CAC）配下のサイバーセキュリティ審査弁公室は、米国Palo Alto Networksが中国国内で販売する製品について、サイバーセキュリティ審査を実施すると公告した。重要情報インフラの安全かつ安定した運行の確保、サイバーセキュリティ上のリスクの防止、国家安全の維持を理由に挙げ、国家安全法とサイバーセキュリティ法に基づき、「サイバーセキュリティ審査弁法（網絡安全審査弁法）」に沿って実施するとしている。
公告は対象製品を特定しておらず、想定される問題点や審査後の措置にも触れていない。過去には、中国当局は2023年に米国Micron Technologyへ同様の審査を実施し、その後、製品が審査に合格しなかったとして重要情報インフラの運営者に調達の停止を求めた事例がある。
https://www.cac.gov.cn/2026-08/06/c_1787764332950791.htm
https://www.theregister.com/security/2026/08/07/china_launches_mysterious_probe_into_security_of_palo_alto_networks_products/5284453

2026年8月7日 米国CISA、CVEプログラムの法制化をめぐり過度な要件化に懸念
CISAの脆弱性対応部門の担当者が、共通脆弱性識別子（CVE）プログラムを法律で位置づける動きについて見解を示した。プログラムの重要性を法律で定めること自体は有益としつつ、運用の方法まで細かく規定すれば制約となり、AIの進展や国際的な連携による変化への適応が難しくなると述べた。
CVEプログラムをめぐっては、2025年春、運用を担うMITREへの連邦政府の資金が失効する直前に契約が延長される事態となり、単一の契約に依存する体制の脆さが問題となった。これを受け、2027会計年度の国防授権法（NDAA）の修正案として、CVEプログラムを国土安全保障省の下に法的に位置づけ、CISAの役割を明確化する案が提出された。修正案はCISAと米国国立標準技術研究所（NIST）に近代化計画の策定を求めるとともに、方針と優先順位を定める15人の委員会の設置を規定し、CISA・NISTと主要なCVE機関を常任、産業界・学界・研究者・外国政府の代表を輪番の構成としている。同修正案は下院規則委員会で本会議の審議対象に選ばれず、今回は成立に至っていない。
https://www.nextgov.com/cybersecurity/2026/08/cisa-cautions-against-rigid-rules-future-cyber-vulnerability-program/415282/

----------------------------------------------------------------------
【3】M&A/IPO情報詳細
----------------------------------------------------------------------
2026年7月7日 米Barracuda Networks、MSP向けアイデンティティセキュリティのEvo Securityを買収
2026年7月7日 英Databarracks、事業継続コンサルティングのAcumenを買収
2026年7月8日 米Infoblox、ネットワーク可観測性のKentikを買収
2026年7月22日 米Cathedral、軍事サイバーAIの開発で1.6億ドル（約250億円）を調達
2026年7月28日 米Cyera、Non-Human Identity管理のOasis Security買収に約10億ドル（約1,550億円）で基本合意
2026年7月30日 米Okta、アイデンティティ脅威検知のPermiso Securityを約2億ドル（約310億円）で買収
2026年7月30日 米Bank of America、英セキュリティコンサルティングのMDSec Consultingを買収
2026年8月3日 米Visa、不正検知のBioCatchを24億ドル（約3,720億円）で買収
2026年8月4日 米Obsidian Security、SaaS・AIエージェント向けセキュリティで8,500万ドル（約132億円）を調達