Azure・クラウド法務 週次ブリーフ
確認対象期間：2026年9月28日から10月5日8時まで確認日：2026年10月5日、日本時間
結論と今週の優先対応
重要な変更は4件です。最優先は次の3点です。
Entra Connectを2.6.92.0へ更新し、同期・無効化・属性変更を実測確認する
重要インフラ顧客について、10月1日施行の報告・資産届出制度が直接適用されるか確認する
廃止された旧クラウド運用ガイダンスを参照する契約書、監査表、提案書を洗い出す
Microsoft DPAの最新版は2026年5月22日版のままであり、今週の改訂は確認できません。Azure OpenAIについても、対象期間内に日本企業へ直ちに影響する破壊的変更、モデル廃止、契約変更は公式情報から確認できません。microsoft.com
選定理由
今回取り上げた4件は、単なる機能追加ではなく、次のいずれかに該当します。
ID同期停止につながる必須更新
法定報告・資産届出の開始
重要インフラ向け基準体系の切替え
Azureサービスの契約条件追加
1．Entra Connectの必須条件が更新
①変更と対象
Microsoftは2026年9月29日、Entra Connect関連ページを更新しました。
現在の記載は、次の二段階です。
2026年9月30日までの推奨最低バージョン：Entra Connect 2.6.84.0以上
2027年4月7日まで：2.6.84.0以上への更新に加え、application-based authenticationの構成が必須
条件未達の場合：同期サービス停止
Connect Health各エージェントの最低バージョンは4.5.2466.0です。Microsoft Learn
一方、別のMicrosoft Learnページには、9月30日の最低要件を2.5.79.0とする記載が残っています。公式資料間で整合していません。最新版は2026年9月23日公開の2.6.92.0で、セキュリティ修正を含みます。Microsoft Learn
②技術・契約・運用への影響
確認済み事実：同期停止時は、オンプレミスADの退職者無効化、属性・グループ変更、Password Hash Synchronization等がEntra IDへ正常反映されない可能性があります。
実務上の評価：資料の不整合があるため、2.5.79.0を最低線として据え置くのは危険です。2.6.92.0を基準に確認するのが安全です。確度は高です。
③顧客説明用要点
「Entra Connectは更新済みか」だけでは足りません。現在の同期成功、退職者無効化、Health Agent、認証方式まで確認が必要です。
④今週確認すべき事項
本番、ステージング、DR、旧サーバーの全バージョン
最終Export時刻とエラー
ユーザー作成、属性変更、グループ変更、無効化の反映
application-based authenticationへの移行計画
2.6.91.0以前から更新する場合の既知問題と構成ファイル変更履歴
期限：9月30日は経過済み。直ちに確認次の確定期限：2027年4月7日
⑤一次出典
Microsoft Entra Connect security improvements更新日：2026年9月29日
Microsoft Entra Connect version history2.6.92.0公開日：2026年9月23日
2．Azure Product Termsが10月1日に更新
①変更と対象
Microsoft Product Termsの2026年10月1日版では、Azureについて次の変更が公表されました。
Azure IoT Operations Essentialsの条件を追加
Azureモデル向けFuture Capacity ReservationsのPrivate GAに関する条件を追加
Azureモデルの将来容量予約はPrivate GAであり、すべてのAzure OpenAI利用者へ適用されるGA機能ではありません。microsoft.com
②技術・契約・運用への影響
確認済み事実：新たな利用条件が追加されています。
確認できない事項：公開された変更要約だけでは、対象モデル、リージョン、予約単位、解約・未消化容量の扱い、価格、参加条件は確認できません。
実務上の評価：Private GAへ参加する場合、通常の従量課金モデルと同じ前提で容量予約を承認すべきではありません。最低利用期間、容量未消化、モデル変更・廃止時の扱いを個別条件で確認する必要があります。確度は中です。
③顧客説明用要点
AzureのAI容量予約は全顧客向けGAではありません。Private GAの個別条件を確認せず、将来容量や価格を確約しないでください。
④今週確認すべき事項
Private GA参加の有無
Azure契約プログラムと適用Product Terms
予約対象モデル、リージョン、期間、数量
解約、縮小、モデル切替え、サービス終了時の扱い
DPA適用対象と処理データの区分
期限：Product Termsは2026年10月1日から掲載個別Private GAの申込期限：確認できません
⑤一次出典
Microsoft Product Terms Summary of Changes公開・適用日：2026年10月1日
3．サイバー対処能力強化法の主要規定が施行
①変更と対象
2026年10月1日、サイバー対処能力強化法の官民連携、分析情報・脆弱性情報の提供、アクセス・無害化措置等に関する規定が施行されました。
特別社会基盤事業者には、次の義務が生じます。
特定重要電子計算機の導入・変更から原則4か月以内の資産届出
対象インシデント認知後、速やかな速報
認知後30日以内の詳報
対象には、特定重要設備そのものだけでなく、接続機器、認証・認可機器、制御DMZ、ファイアウォール、重要なネットワーク構成図や認証情報を保存する機器等が含まれ得ます。security-portal.cyber.go.jp
②技術・契約・運用への影響
直接義務の対象は、すべてのクラウド事業者やMSPではなく、法令上の「特別社会基盤事業者」です。
ただし推測として、Azure運用会社、SOC、保守事業者には、顧客が法定期限内に報告できるよう、初動通知、ログ保全、調査協力、再委託先連携を契約で求められる可能性があります。根拠は顧客側の速報・詳報義務です。確度は高です。
③顧客説明用要点
法定報告の30日は調査を開始する期限ではありません。速報は認知後速やかに必要なので、委託先から顧客への初動通知時間を先に決める必要があります。
④今週確認すべき事項
自社または顧客が特別社会基盤事業者に該当するか
Azure上の認証、ネットワーク、ログ保存基盤が届出対象に含まれるか
MSPから顧客への初報期限
法務、SOC、広報、所管省庁への報告経路
個人情報保護法や業法上の報告との重複
期限：2026年10月1日施行済み
⑤一次出典
e-Gov サイバー対処能力強化法公布日：2025年5月23日
e-Gov 同法施行令施行日：2026年10月1日
NCO サイバーセキュリティ関係法令Q&Aハンドブック Ver.3.0公開年月：2026年10月。正確な公開日は確認できません。
4．重要インフラ統一基準が施行、旧クラウドガイダンスは廃止
①変更と対象
重要インフラ統一基準と安全基準等策定ガイドラインが2026年10月1日に施行されました。対象は情報通信、金融、医療、電力、ガス、鉄道、水道、物流など16分野です。
同日付で、次の旧文書が廃止されています。
重要インフラの安全基準等策定指針
クラウドを利用したシステム運用に関するガイダンス
重要インフラのサイバーセキュリティ部門におけるリスクマネジメント等手引書 国家サイバー統括室
②技術・契約・運用への影響
確認済み事実：旧クラウド運用ガイダンスは廃止され、新しい統一基準・ガイドライン体系へ移行しました。
実務上の評価：旧ガイダンスを引用したAzure提案書、委託先評価票、監査チェックリストは、直ちに無効になるとは限りません。しかし、現行基準への対応を説明できない状態は、調達・監査上の弱点になります。確度は高です。
③顧客説明用要点
重要インフラ対応は、旧ガイダンスに準拠しているという説明だけでは不十分です。10月1日施行の統一基準との対応関係を示す必要があります。
④今週確認すべき事項
旧ガイダンスを引用している文書
Azure Landing Zone、ID、ログ、バックアップ、復旧試験の現行基準への対応表
サプライチェーン、再委託先、クラウド障害時の責任分界
重要インフラ顧客から要求される証跡の保有部署と保存期間
期限：2026年10月1日施行・旧文書廃止済み
⑤一次出典
NCO 重要インフラ対策関連基準決定日：2026年7月31日ガイドライン策定日：2026年9月11日施行・旧文書廃止日：2026年10月1日
今週の確認事項
Entra Connectを全サーバーで2.6.92.0へ統一し、同期結果を証跡化する
重要インフラ顧客ごとに、直接適用、契約による間接波及、非適用を区別する
旧クラウドガイダンスを引用する契約・監査・提案文書を現行基準へ置換する
具体的な反論として、「当社は重要インフラ事業者ではないから関係ない」という整理は粗すぎます。法定の資産届出・報告義務が委託先へ当然に直接適用されるわけではありませんが、顧客の報告期限を満たすための通知・ログ提供・調査協力義務は、委託契約や調達条件を通じて波及し得ます。逆に、単なる取引先であることだけを理由に法定義務の直接適用まで断定することもできません。
これは法的助言ではなく、技術・契約・運用を検討するための材料です。
コメント