サイバー防御は情シスだけの仕事ではない｜シンガポールが取締役会に課した新しい責任【世界のDX潮流】

シンガポールで、サイバー防御に関する説明責任が「情報システム部門の技術課題」から「取締役会の経営責任」へと明確に位置づけを変えました。2026年7月22日、シンガポールサイバーセキュリティ庁（CSA）は、基幹情報インフラ（CII）向けの行動規範であるCCoPを改訂すると発表し、取締役会に対して文書化されたサイバーレジリエンス枠組みの維持と年次レビューを義務付ける方針を打ち出したのです。

ただ、「セキュリティのことは詳しくないから情シスに任せている」という経営者も多いのではないでしょうか。しかし、この潮流は、サイバーセキュリティの問題だけではありません。現状のセキュリティ体制のままでは、海外拠点や取引先から説明を求められた際に立ち行かなくなる可能性をも示唆した、経営課題でもあるのです。

本記事では、CCoP改訂の中身を経営視点で読み解き、シンガポールに拠点・取引がある日本企業が何を確認すべきか、さらに日本国内への示唆までを整理します。読み終える頃には、貴社のサイバーガバナンスを取締役会レベルで捉え直すための視点が得られるはずです。

サイバー防御の責任は、取締役会まで届くようになった

2026年7月22日、シンガポールCSAは基幹情報インフラ向けの行動規範であるCCoP（Cybersecurity Code of Practice）を改訂する方針を発表しました。改訂の焦点は技術要件の強化だけではなく、取締役会に対して「文書化されたサイバーレジリエンス枠組みを維持し、年次レビューを行う」という説明責任を課した点にあります。

これまでも「経営層の関与」は各国のガイドラインで語られてきましたが、シンガポールでは義務化と年次レビューという具体的な制度設計にまで踏み込んだ形です。ただし、ここで求められているのは、取締役会自らがハッカーと戦うことではありません。

これら4つの領域を網羅した枠組みを文書として保持し、経営として毎年見直せる状態を担保することが求められているです。

つまりサイバー防御は、情報システム部門の裁量に閉じた技術管理事項から、取締役会が外部に対して説明できるべき経営ガバナンス事項へと位置づけを変えつつある、ということがこの潮流を読み解くカギです。この視点を最初に押さえておくことが、以降の内容を読み解く前提になります。

出典・参照：

• CSA Singapore(Cybersecurity Code of Practice for Critical Information Infrastructure to be Updated to Address APT and AI-enabled Threats、2026年7月22日発表)

CCoP改訂の中身：何が新しく求められるのか

改訂CCoPで新たに求められる要素は、取締役会の枠組み維持義務に加え、大きく次の3つに整理できます。

それぞれ性格が異なり、対象範囲も同じではないため、混同しないよう分けて確認します。

AI活用の脅威・APTへの対応強化

改訂に伴う技術ガイダンスには、敵対的AI攻撃シミュレーション、侵入テスト、脅威ハンティングが含まれます。これらはいずれも「攻撃されたら守る」という受動的な姿勢から、「攻撃を能動的に想定し、自ら試す」という姿勢への転換を意味します。

取締役会が直接これを実施するわけではありませんが、こうした活動が組織として実施されているかを説明できる状態にしておく必要があります。

Cyber Trust Mark Level 5認証の義務化

CCoP改訂では、基幹情報インフラ所有者に対しCyber Trust Mark Level 5認証の取得が義務化されます。Cyber Trust MarkはシンガポールCSAが運営するサイバーセキュリティ認証で、複数のレベルが設定されており、Level 5は最も要求水準の高い階層に位置します。

ポイントは、認証が「あった方が望ましい」から「取得していないと基準を満たさない」という位置づけへ変わる点です。CII所有者は対応の優先順位を明確に上げる必要があり、取締役会にとっては必要な人員・予算・時間の資源配分を判断する場面となるでしょう。認証取得は現場作業ですが、その進捗を経営として把握・報告できる仕組みがあるかが問われます。

クラウドサービス向け新規行動規範の新設

同じ改訂発表の中で、クラウドサービス向けの新規行動規範も新設されます。これはCII向けのCCoPとは別建ての規範であり、対象が異なる点に注意してください。CCoPは基幹情報インフラ所有者を対象とする規範であり、クラウド向け新規規範はクラウドサービス提供者側の実務を対象とします。

両者を同じ制度として理解すると誤解を招きかねません。自社がどちらの対象にどのように関わるか（CII所有者としてクラウドを利用する側なのか、クラウドを提供する側なのか）を分けて整理することが、実務対応検討の出発点になります。

日本企業・ASEAN進出企業への影響

シンガポールに拠点・取引を持つ日本企業にとって、この改訂は他国のニュースでは済みません。現地でCIIに該当する事業を営む場合、またはCII所有者と取引がある場合、直接・間接に遵守対応を求められる可能性があります。

ただし、法的な適用範囲や罰則の詳細については、現地の法務専門家への確認が前提となります。本記事は法的助言に踏み込みませんが、少なくとも本社レベルで「どこが対象になり得るか」を早期に把握しておくことが、行動の起点となるでしょう。海外拠点のガバナンスを本社が把握しないまま現地に任せてきた組織ほど、この改訂を機に情報の可視化から始める必要があります。

日本国内への示唆：「経営層の説明責任」という視点

シンガポールが法制度として明文化した「取締役会レベルの説明責任」は、日本国内だけで活動する企業にも参考になる視点を含んでいます。ただし「日本もこうなる」と断定するには材料が足りず、あくまで編集部としての考察にとどめておくことをご了承ください。

日本ではこれまで、サイバーセキュリティは情報システム部門や専任担当者に委ねられがちで、経営会議での議題としては後回しになりやすい状況が続いてきました。現場では、経営判断がなかなか下りてこないために投資の優先順位を上げられない、あるいはインシデント発生時にどこまで公表するかを取締役会がその場になって議論することになる、といった状況が起こりやすいと考えられてきたのです。しかし今や、属人化や人材不足の状況下で、経営層が事前に判断軸を持てているかが問われる段階に来ています。

シンガポールの制度は、この論点に対して「文書化された枠組みを持ち、年次で見直せ」というシンプルな解を提示しました。日本企業がこの発想を取り入れる場合、規制対応としてではなく、経営の意思決定を鈍らせないための仕組みとして活用する視点が有効です。取締役会での説明可能性を上げること自体が、現場のセキュリティ活動を守ることにもつながります。

まとめ：サイバー防御の説明責任は、取締役会の議題である

シンガポールの制度改訂は、「サイバー防御は経営の説明責任である」という原則を明文化した点で、他国の企業にも示唆を与える内容でした。要点を整理します。

貴社にとっての次の一歩はシンプルです。自社のサイバーレジリエンス枠組みが文書化され、取締役会レベルで説明できる状態にあるかどうかを、まず問い直してみることです。情報システム部門のこれまでの努力に敬意を払いつつ、その努力を経営として説明できる状態に引き上げる。この視点こそが、取締役会に届くサイバー防御の入り口となるのです。