【動画解説・動画資料】法務・経営のためのサイバーセキュリティ用語 ～ランサムウェア事案の「72時間」で読み解く実務地図
2026/09/18
【動画解説・動画資料】法務・経営のためのサイバーセキュリティ用語 ～ランサムウェア事案の「72時間」で読み解く実務地図
【動画解説】法務・経営のためのサイバーセキュリティ用語 ～ランサムウェア事案の「72時間」で読み解く実務地図（外部YouTube）
【動画資料】法務・経営のためのサイバーセキュリティ用語 ～ランサムウェア事案の「72時間」で読み解く実務地図（PDFファイル）
【お問い合わせ】
本件に関するご相談は、弁護士法人三宅法律事務所 弁護士 渡邉雅之（TEL 03-5288-1021／m-watanabe@miyake.gr.jp）までお願いいたします。
※本動画で用いる事例は架空のものです。また、2026年9月16日に開催された第369回個人情報保護委員会の公表資料に基づく部分は、いずれも「案」又は検討段階のものであり、今後のパブリックコメント等を経て変更され得ます。
【説明】
EDR、SOC、CSIRT、DLP、ゼロトラスト。サイバー事案の報告を受ける場面では、こうした用語が当然の前提として飛び交います。しかし、法務・監査・経営企画の立場で本当に必要なのは、用語を暗記することではなく、報告を受けたときに「何を聞き返すか」を持っていることです。
本動画では、架空の中堅メーカーA社で発生したランサムウェア事案を、侵入の3週間前から事故1か月後の取締役会まで追いかけながら、必要な用語のみを、その言葉が使われる場面とともに整理します。具体的には、
・入口の言葉 ― フィッシング、BEC、MFA疲れ、脆弱性・CVE・KEV、サプライチェーン攻撃
・侵入後の言葉 ― 権限昇格、横展開、C2、データ持出し、二重恐喝、ノーウェアランサム
・生成AIをめぐるリスク ― シャドーAI、RAGの権限設定、プロンプトインジェクション、AIエージェント
・防御の言葉 ― IAM・特権ID管理、ゼロトラスト、EDR・SIEM・SOC、DLP、暗号化と鍵管理、RTO／RPO
・事故対応の言葉 ― CSIRT、トリアージ、封じ込め、フォレンジックと証拠保全
・報告・通知の時間軸 ― 個人情報保護法26条、施行規則7条・8条・10条、適時開示、業法上の報告
・公表文の言葉 ― 「漏えい」と「漏えいのおそれ」、確定事実と調査中の事項の区別
・説明責任の言葉 ― 認定と認証の違い、ISO/IEC 27001、SOC 2、PCI DSS、ISMAP
・取締役会の言葉 ― リスクアペタイト、残余リスク、会社法362条4項6号・施行規則100条1項2号
を整理します。
本動画でとりわけお伝えしたいのは、2026年9月16日の第369回個人情報保護委員会で示された、ガイドライン（通則編）別添「講ずべき安全管理措置の内容」の見直しの検討です。同資料が挙げるキーワードは、ゼロトラスト、横展開対策、クラウド、多要素認証の4つです。現行の別添10-6は境界型セキュリティモデルを念頭に置いたものであると明記された上で、アクセス要求ごとに動的コンテキストを評価してリスクに応じて可否を判断する手法の例、また、特権アカウントの利用等の最小限化や、侵害を受けた又はそのおそれがある情報システムの停止・隔離、アカウントの無効化といった横展開対策が示されています。
本動画で扱う用語は、遠からず安全管理措置を説明するための言葉になります。示されたスケジュールでは、令和8年12月にパブリックコメント、令和9年2月に改正事項の決定、令和9年4月に施行です。準備期間は実質半年しかありません。
もう一点、事故対応の実務についてです。復旧を急ぐ現場と、証拠を残したい法務は、対策本部で必ず衝突します。侵入経路が不明なまま復旧すれば再侵入を招き、持出しの有無が確認できなければ、個人情報保護法上の漏えいの判断もできません。個人情報保護委員会が令和8年1月に公表した「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」も、あわせてご確認ください。
【主な参照資料】
・個人情報保護委員会事務局「個人情報の保護に関する法律についてのガイドライン（通則編）等における安全管理措置の手法の例示の追加等の検討について」（資料2・令和8年9月16日・第369回委員会）
・同「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」（令和8年1月）
・個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（特に3-5、10（別添））
・個人情報保護法23条・25条・26条、同法施行規則7条・8条・10条
・会社法362条4項6号・5項、423条1項、会社法施行規則100条1項2号
・不正アクセス禁止法4条・7条、外国為替及び外国貿易法16条、刑法168条の2・234条の2
・経済産業省・独立行政法人情報処理推進機構「サイバーセキュリティ経営ガイドライン Ver3.0」
・金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」（令和6年10月）
・独立行政法人情報処理推進機構「情報セキュリティ10大脅威 2026」
・NIST「Cybersecurity Framework 2.0」、同「SP 800-61 Rev.3」、同「SP 800-207」
・ISO/IEC 27001:2022、CIS Critical Security Controls v8.1、AICPA Trust Services Criteria
・出典ページ：https://www.ppc.go.jp/aboutus/minutes/2026/20260916/
※個別案件については、取り扱うデータの内容、システム構成、委託の形態、業法上の報告義務の有無等を踏まえた検討が必要です。
