----------------------------------------------------------------------
米政府、民間企業による攻撃的サイバー作戦を認可する覚書（8/18配信）
----------------------------------------------------------------------

----------------------------------------------------------------------
【1】まとめ
----------------------------------------------------------------------
・米国・韓国の6機関、ランサムウェア「Gunra」の共同勧告を公表
・カナダの基幹病院、ランサムウェアで扉・空調等の設備システムが停止
・米国カリフォルニア州、AIサイバー防衛プログラムを創設
・米国FCC、IoTセキュリティラベル制度の認証機関の申請受付を開始
・米政府、民間企業による攻撃的サイバー作戦を認可する覚書
・オランダ、NIS2指令を国内法化したサイバーセキュリティ法を施行

----------------------------------------------------------------------
【2】海外政策動向一覧
----------------------------------------------------------------------
2026年8月10日 米国・韓国の6機関、ランサムウェア「Gunra」の共同勧告を公表
米国の連邦捜査局（FBI）など5機関と韓国警察庁は、ランサムウェア「Gunra」に関する共同勧告を公表した。Gunraは2025年4月にはじめて確認され、2022年に流出したContiのソースコードを基にしているとみられる。2026年1月にはダークウェブ上でアフィリエイト制度を開始し、サービス型ランサムウェア（RaaS）として運営されている。被害はアメリカ大陸・欧州・中東・アフリカ・アジア太平洋に及び、医療、金融、重要製造、運輸、行政、公益事業等の分野で確認されている。
初期侵入は主に、インターネットに露出したファイアウォールやVPN機器の既知脆弱性の悪用によるものが観測されている。また、仮想デスクトップ認証基盤の処理ファイルを改ざんし、攻撃者が定めた特定のワンタイムパスワードで常に認証が通る状態にすることで、多要素認証（MFA）を継続的に回避する手口が報告されている。
対策としては、インターネットに面したシステムの既知悪用脆弱性を優先して修正すること、物理的に分離した場所にバックアップを保管して復旧を試験すること、初期侵害端末からの横展開を制限するネットワーク分割が挙げられている。
https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-222a

2026年8月10日 カナダの基幹病院、ランサムウェアで扉・空調等の設備システムが停止
カナダ・マニトバ州の基幹病院であるヘルス・サイエンス・センター（HSC）は、ランサムウェア攻撃を受け、施設管理システムの一部が影響を受けたと公表した。扉の入退室管理、エレベータ、暖房・換気・空調（HVAC）が機能しない状態となった。
運営主体のShared Healthは、患者対応と臨床業務は影響を受けておらず通常どおり継続していると説明している。州政府に報告したうえで、外部のサイバーセキュリティ専門機関を交えて対応にあたっているとした。攻撃者、初期侵入経路、情報の持ち出しの有無、復旧の時期はいずれも公表されていない。
https://www.cbc.ca/news/canada/manitoba/health-sciences-centre-ransomware-hack-9.7302058
https://www.bankinfosecurity.com/ransomware-attack-disables-canadian-hospitals-doors-hvac-a-32535

2026年8月10日 米国カリフォルニア州、AIサイバー防衛プログラムを創設
米国カリフォルニア州のニューサム知事は、AIを用いたサイバー攻撃から州の資産と重要インフラを守るための取り組みを発表した。州のサイバーセキュリティ統合センター内にAIサイバー防衛プログラムを設け、脆弱性の検知、ネットワークの堅牢化、インシデント対応にAIを活用する。あわせて、高度なサイバーセキュリティ機能を地方自治体と重要インフラ事業者に開放すること、全ての州機関にAIサイバーセキュリティ責任者を置くことを指示した。
発表は、高度なAIシステムが単独で高度なサイバー作戦を遂行しうることが相次いで明らかになったこと、および敵対勢力がより安価で効果的な攻撃にAIを用いていることを背景に挙げる。また、連邦政府の2027会計年度予算案でCISAの予算が約7億700万ドル（約1,100億円、約3割）削減される見通しであるとして、州が従来頼ってきた連邦の資金が縮小していると指摘している。新たな予算措置は示されていない。
https://www.gov.ca.gov/2026/08/10/governor-newsom-announces-new-ai-cyber-defense-program-to-protect-californias-critical-infrastructure/

2026年8月11日 米国FCC、IoTセキュリティラベル制度の認証機関の申請受付を開始
米国連邦通信委員会（FCC）の公共安全・国土安全保障局は、消費者向けIoT機器の任意ラベル制度「米国サイバートラストマーク（US Cyber Trust Mark）」について、サイバーセキュリティラベル管理機関（CLA）の申請受付窓口を開設した。あわせて2社を新たにCLAとして条件付きで承認した。
同制度はFCCが2024年3月に創設したもので、一定のセキュリティ基準を満たすIoT機器へのラベル表示を認める。CLAは製品の適合性の審査とラベルの付与を担う。制度全体を統括する統括管理機関（Lead Administrator）については、中国企業との関係をめぐる調査を受けて2025年12月にUL Solutionsが辞退し、2026年4月にioXt Allianceが後任に指名されている。
https://www.fcc.gov/document/fcc-opens-us-cyber-trust-mark-cyber-label-administrator-filing-window
https://www.benton.org/headlines/fcc-approves-cybersecurity-label-administrators-and-opens-filing-window-cybersecurity

2026年8月12日 米政府、民間企業による攻撃的サイバー作戦を認可する覚書
米国のトランプ大統領は、国家安全保障大統領覚書「サイバーを用いた国際犯罪への対処能力の拡大（Expanding Capabilities to Combat Transnational Cyber-Enabled Crime）」に署名した。審査を通過した米国企業が、連邦政府の指揮・監督の下で外国のサイバー犯罪組織に対する作戦を実施できる制度を新設するものである。歴代政権は、地政学的な懸念から民間企業による攻撃的なサイバー作戦の実施は認めてこなかった。
覚書は、対象組織の情報システムから無権限で情報を収集する「サイバー監視作戦」と、情報システムの操作・妨害・停止・機能低下・破壊をもたらす「サイバー効果作戦」の2種類を定める。制度は国家調整センターが運営し、司法省と国土安全保障省が共同で責任者を出す。参加企業には技術的能力・施設の安全管理・人員審査の最低基準を課し、100万ドル（約1億5,500万円）以上の保証金または供託金の維持を求める。違反した場合は没収される。
作戦は個別に事前の書面承認を要し、省庁間の調整手続は60日以内に整備される。人命の損失、重傷、国際法上の武力攻撃に相当する結果をもたらす「重大な結果」を招くおそれのある作戦は承認の対象外とし、米国人や国内のシステムに関わる活動には司法上の許可を必要とする。承認された範囲を超えた場合、企業は直ちに作戦を中止して報告しなければならない。責任者は180日以内および以後毎年、実施状況を報告する。
https://www.whitehouse.gov/presidential-actions/2026/08/expanding-capabilities-to-combat-transnational-cyber-enabled-crime/
https://cyberscoop.com/trump-memo-private-sector-offensive-hacking/

2026年8月15日 オランダ、NIS2指令を国内法化したサイバーセキュリティ法を施行
オランダ政府は同国のサイバーセキュリティ法（Cyberbeveiligingswet）を施行した。EUのNIS2指令を国内法化するもので、7月7日に上院が可決していた。エネルギー、運輸、銀行、医療、飲料水、デジタルインフラ、製造、化学等の分野の「重要事業者」と「重要度の高い事業者」が対象で、省庁・自治体・水管理当局を含む8,000を超える組織が該当するとされる。適用範囲は企業グループ単位ではなく法人単位で判断される。
施行日をもって、国家サイバーセキュリティセンター（NCSC）への登録が任意から義務に変わり、リスク管理措置を講じる注意義務、インシデント報告義務、経営陣の義務が一斉に適用される。重大なインシデントについては、24時間以内の第一報、72時間以内の報告、1か月以内の最終報告が求められる。経営陣は対策を承認して実施を監督し、自らも十分な知識を備える必要がある。
他国で設けられた一般的な移行期間や猶予期間は置かれていない。制裁金の上限は、重要事業者が1,000万ユーロ（約18億円）または全世界売上高の2%、重要度の高い事業者が700万ユーロ（約13億円）または1.4%のいずれか高い額である。
https://www.ncsc.nl/onderwerpen/cyberbeveiligingswet
https://www.clydeco.com/en/insights/2026/07/dutch-cybersecurity-act-enters-into-force-on-15-au

----------------------------------------------------------------------
【3】M&A/IPO情報詳細
----------------------------------------------------------------------
2026年8月3日 米Horizon3.ai、自律型ペネトレーションテストで2億5,000万ドル（約388億円）を調達
2026年8月3日 米Visa、不正検知のBioCatchを24億ドル（約3,720億円）で買収
2026年8月4日 米Obsidian Security、SaaS・AIエージェント向けセキュリティで8,500万ドル（約132億円）を調達
2026年8月4日 イスラエルZenity、AIエージェントのセキュリティで1億2,500万ドル（約194億円）を調達
2026年8月14日 米Datavault AI、サイバーリスク管理のCyberCatch Holdingsを9,450万ドル（約147億円）で買収