クラウド法務・セキュリティガバナンス週次ブリーフ

基準日：2026年7月20日

結論

今週の最優先事項は、次の4点です。

1. 改正個人情報保護法が2026年7月17日に公布されたこと

2. Windows ServerのKerberos RC4対策が強制適用段階に入ったこと

3. Entra IDで成功サインインを発生させずに認証情報を検証する攻撃が報告されたこと

4. 生成AI・AIエージェントを、ID・通信・端末の各層で制御する機能が拡大したこと

理由は、法務対応、認証停止、検知回避、生成AIへの情報流出が、いずれも顧客の業務継続や契約責任に直結するためです。

今回の掲載は10項目です。内訳は、日本政府・公的機関2件、Microsoft公式7件、主要セキュリティ企業1件です。

1．改正個人情報保護法が公布

重要度：最優先

出典日・種別2026年7月17日、参議院・法律情報。

確認できた事実「個人情報の保護に関する法律等の一部を改正する法律」は、2026年7月10日に参議院本会議で可決され、7月17日に法律第56号として公布されました。

主な改正内容には、以下が含まれます。

• 一定の統計作成目的の第三者提供について、所定の公表等を条件に本人同意を不要とする制度

• 16歳未満の者に関する法定代理人への通知等

• 特定生体個人情報について、違法な取扱いがなくても利用停止等を請求できる制度

• 「連絡可能個人関連情報」の不適正利用・不正取得の禁止

• 違法な取扱いによって財産上の利益を得た事業者への課徴金制度

• 個人情報データベース等の不正提供に関する罰則強化

原則的な施行日は、公布から2年以内に政令で定められます。

実務上の評価（推論）Azure、Microsoft 365、Copilot、顔認証、アクセス解析などを利用する顧客は、データ分類だけでなく、取得経路、利用目的、統計利用、未成年者データ、生体情報を個別に整理する必要があります。

顧客助言メモ直ちに「改正法対応済み」とするのではなく、次を準備します。

• 個人情報・個人関連情報のデータマップ

• 生体情報を利用するEntra ID・入退室・本人確認システムの棚卸し

• 16歳未満の利用者を含むサービスの確認

• AI分析・統計利用における提供根拠の確認

• 課徴金リスクを含む経営層向け説明

確認できない点具体的な施行日、政令、個人情報保護委員会規則、改訂ガイドラインの最終内容は確認できません。

2．金融庁の2026年7月版監督指針が示すクラウド委託管理

重要度：金融・FinTech顧客は高

出典日・種別2026年7月、金融庁公式「金融商品取引業者等向けの総合的な監督指針」。

確認できた事実2026年7月版の監督指針では、システム障害やサイバー事案を経営上の重大課題として扱うこと、ログ保全やフォレンジック手順を整備すること、構成管理の対象にクラウドサービスと第三者委託を含めることが示されています。

クラウド等の外部サービスについては、次の事項が着眼点に挙げられています。

• 重要データを処理・保存する拠点の把握

• 監査権限・モニタリング権限の契約書への反映

• 保証報告書の入手・評価

• 二段階以上の再委託を含む管理

• 委託先を含めた緊急時体制

• サイバー攻撃や情報漏えいを想定したコンティンジェンシープラン

実務上の評価（推論）AzureやMicrosoft 365を採用しているという事実だけでは、監督上求められる外部委託管理を満たしません。契約、構成情報、ログ、保証報告書、復旧訓練を組み合わせる必要があります。

顧客助言メモ金融系顧客には、Microsoftの契約資料や保証報告書を保管するだけでなく、評価結果、残存リスク、再委託先、障害時連絡経路を自社文書として残すよう助言します。

確認できない点上記の各記載が2026年7月改訂で新設されたのか、以前から存在する記載なのかは、今回確認した現行版だけでは判定できません。

3．Kerberos RC4対策が強制適用段階へ

重要度：最優先

出典日・種別Microsoft Support。初版2026年1月13日、強制適用は2026年7月以降のWindows更新。

確認できた事実CVE-2026-20833は、RC4などの弱い暗号方式で発行されたKerberosサービスチケットを利用し、サービスアカウントのパスワード解析につながる可能性がある問題です。

2026年7月以降のWindows更新では、ドメインコントローラーでEnforcement Phaseがプログラム的に有効化され、Auditモードは削除されます。Microsoftは、KDCSVCのイベントID 201～209を確認し、RC4依存を解消するよう求めています。

実務上の評価（推論）古いNAS、業務アプリ、Javaアプリ、複合機、サービスアカウントがRC4に依存している場合、更新後に認証障害が発生する可能性があります。

顧客助言メモ

• 全ドメインコントローラーの更新状況を確認

• SystemログのKDCSVC 201～209を収集

• msDS-SupportedEncryptionTypes未設定・RC4設定アカウントを抽出

• サービスアカウントをAES対応へ移行

• Azure Monitor AgentやSentinelによるイベント監視を検討

確認できない点個別環境で認証障害が発生するかどうかは、イベントログと利用アプリを確認しない限り判断できません。

4．OAuthクライアントID偽装によるEntra ID列挙攻撃

重要度：高

出典日・種別2026年7月13日、Proofpoint Threat Insight。

確認できた事実Proofpointは、偽装したOAuthクライアントIDを使い、Entra IDの応答差から次の情報を推測する攻撃キャンペーンを報告しました。

• アカウントが存在するか

• パスワードが正しい可能性があるか

• MFAや条件付きアクセスが適用されているか

成功サインインを発生させずに認証情報を検証できる場合があり、偽装クライアントIDではサインインログのアプリケーション名が空欄になることがあります。Proofpointは、アプリケーション名が空欄のイベントやAADSTS700016を監視するよう推奨しています。

同社が確認した一つのキャンペーンでは、約4,000テナント、100万超のアカウントが標的となり、標的利用者の約28％でロックアウトが発生したと報告されています。これはProofpointの観測値であり、日本組織全体の発生率ではありません。

実務上の評価（推論）「成功したサインインだけを監視する」「アプリ名ごとに件数を見る」という検知設計では、攻撃を見逃す可能性があります。

顧客助言メモ

• アプリ名またはアプリIDが空欄のサインイン失敗を抽出

• AADSTS700016、50034、50126を相関分析

• ROPC利用を棚卸し

• ユーザー単位ではなく、送信元・User-Agent・時間帯・エラーコードで集約

• パスワードレス認証への移行を進める

確認できない点Microsoftがこの挙動を仕様変更するか、追加の緩和策を提供するかは確認できません。

5．Entra Connect SyncからCloud Syncへの移行通知開始

重要度：高

出典日・種別Microsoft Learn、2026年4月掲載。顧客通知は2026年7月開始。

確認できた事実Microsoftは2026年7月から、対象顧客に対し、Microsoft 365 Message Center、Entra Connect Health、個別メールでCloud Syncへの移行時期を通知します。

初期対象は、Cloud Syncで要件を満たせる比較的単純な同期構成です。高度な同期機能や大規模ディレクトリを利用するテナントは、初期対象外と説明されています。移行完了後は、Cloud SyncがADとEntra ID間の主要な同期方式になります。

実務上の評価（推論）同期属性、sourceAnchor、除外OU、グループ書き戻し、複数フォレストなどを整理していない組織は、通知後の評価に時間がかかります。

顧客助言メモ

• Message Centerの通知受信者を確認

• Entra Connect設定をエクスポート

• 同期対象OU・属性・フィルターを文書化

• Cloud Syncの対応・非対応機能を比較

• 切替後の同期・認証・ロールバック試験を定義

確認できない点各日本テナントの通知日と移行期限は確認できません。通知前にConnect Syncが直ちに停止するという情報も確認できません。

6．AIエージェント用アカウントへの条件付きアクセス

重要度：高・プレビュー

出典日・種別Microsoft Learn、2026年6月。

確認できた事実Microsoft Entra IDは、ユーザーアカウントを持つAIエージェントを対象とする条件付きアクセス制御をプレビュー提供しています。

利用できる制御として、以下が示されています。

• 個別のエージェントまたはカスタムセキュリティ属性による対象指定

• Agent Riskに基づくポリシー

• 管理対象エンドポイント上での準拠デバイス要求

• デバイスプラットフォーム、デバイス状態、信頼済みネットワークによる制御

実務上の評価（推論）AIエージェントは、通常のサービスプリンシパルとも社員アカウントとも異なるため、専用のID区分、所有者、認証場所、停止条件が必要です。

顧客助言メモAIエージェントを本番利用する前に、スポンサー、所有部門、接続データ、利用端末、ネットワーク、失効手順を台帳に記録します。

確認できない点プレビュー機能の正式提供日、SLA、必要ライセンスの最終条件は確認できません。

7．Purviewが生成AIへの入力をネットワーク層で検査

重要度：高・プレビュー

出典日・種別Microsoft Learn、2026年7月。

確認できた事実Microsoft Purviewは、Entra Global Secure Accessと連携し、テキストやAIとの対話をネットワーク層で検査するNetwork Data Securityをプレビュー提供しています。

DLPポリシーに基づく制限とInsider Risk Managementによるリスク検知が可能で、ブラウザ、アプリ、API、アドインを通じた生成AI、SNS、共同作業サービスへの送信が対象として説明されています。

実務上の評価（推論）生成AI対策は「入力禁止」という規程だけでなく、通信経路上の検査、秘密度ラベル、例外承認を組み合わせる方向へ進んでいます。

顧客助言メモ

• DLP対象とする個人情報・営業秘密を定義

• 許可する生成AIサービスを決定

• ブロック、警告、監査のみの使い分けを設計

• 誤検知時の解除手順を準備

• 労務・プライバシー上の説明を行う

確認できない点正式提供日、日本リージョンでのデータ処理場所、SLA、個別法令への適合性は確認できません。

8．IntuneでChatGPT保護とモバイルAI機能制御

重要度：中高

出典日・種別Microsoft Learn、2026年6月29日の週、Intune Service Release 2606。

確認できた事実

• ChatGPTがIntuneの保護対象アプリとして追加されました。

• Android Enterpriseでは、管理対象アプリが他のアプリ、端末内アシスタント、AIエージェントから呼び出せるアプリ機能を公開しないよう制御する設定が追加されました。

• 同じ更新で、2G通信やユーザーによるVPN設定変更を禁止する設定も追加されています。

実務上の評価（推論）モバイル生成AIを一律禁止するだけでなく、業務データとの受け渡し、AIによるアプリ内操作、VPN変更などを技術的に制御する選択肢が増えました。

顧客助言メモChatGPTを許可する場合は、対象プラットフォーム、コピー・貼り付け、保存、共有、選択的ワイプの動作を実機検証します。

確認できない点すべてのChatGPT機能やすべての端末OSが同じIntune制御に対応するとは確認できません。

9．Microsoft 365 E3/E5のIntune機能拡張と新セキュリティベースライン

重要度：中高

出典日・種別Microsoft Learn、2026年6月29日の週。

確認できた事実商用Microsoft 365 E3には、Remote Help、Advanced Analytics、Intune Plan 2が段階的に追加されます。

Microsoft 365 E5には、これらに加え、以下が追加されます。

• Endpoint Privilege Management

• Enterprise Application Management

• Microsoft Cloud PKI

対象テナントは自動的にプロビジョニングされ、適用30日前にMicrosoft 365管理センターへ通知されます。

また、Microsoft 365 Apps向けセキュリティベースラインv2512がIntuneで公開されました。既存プロファイルは自動更新されず、新規プロファイルの作成または明示的な更新が必要です。

実務上の評価（推論）利用可能な機能が増えても、自動的に運用設計や最小権限が整うわけではありません。特権昇格、アプリ更新、証明書発行、遠隔支援の責任者を定める必要があります。

顧客助言メモ

• 管理センターの30日前通知を確認

• Intune管理ロールを再点検

• 旧ベースラインとv2512の差分を評価

• テストグループでOfficeマクロやアドインへの影響を確認

• Cloud PKIの証明書発行・失効権限を分離

確認できない点個別契約の価格変更、請求への影響、各テナントへの具体的な適用日は確認できません。

10．Defender for Identityセンサーv3移行が一般提供

重要度：中高

出典日・種別Microsoft Learn、2026年7月。

確認できた事実Defender for Identityセンサーv2.xからv3.xへの移行が一般提供になりました。

同時に、以下も案内されています。

• Active Directoryの構成、展開状態、サービスアカウント、重要ID、GPO、信頼関係を確認できるDomain investigationページの一般提供

• センサー3.0.8以降で、ドメインコントローラーのRPC監査を自動有効化

• SalesforceやServiceNow等を含むSaaSパスワード保護の拡張プレビュー

実務上の評価（推論）AD、Entra ID、SaaSを別々に監視するのではなく、サービスアカウント、特権、信頼関係、パスワード状態を横断して評価する方向へ進んでいます。

顧客助言メモ

• 現在のセンサーバージョンと正常性を確認

• v3移行前後のイベント収集差分を記録

• RPC監査によるログ量とSIEM費用を確認

• ドメイン信頼、GPO、サービスアカウントの検出結果をレビュー

• Windows Server 2025ドメインコントローラーは個別に移行可否を確認

確認できない点機能の個別テナントへの展開完了日と、移行によるログ量・コストの増加幅は確認できません。

今週の実務対応

48時間以内

1. 個人情報保護法改正の影響対象となるデータを仮分類する。

2. ドメインコントローラーでKDCSVCイベント201～209を確認する。

3. Entraサインインログから、アプリケーション名が空欄のイベントを抽出する。

4. Microsoft 365 Message CenterでCloud Sync・Intune関連通知を確認する。

30日以内

1. 生体情報、未成年者情報、連絡可能情報、AI分析のデータフローを作成する。

2. AIエージェントの所有者・接続先・停止手順を台帳化する。

3. Purviewによる生成AI DLPの要件を整理する。

4. Microsoft 365 Appsベースラインv2512をテスト環境で評価する。

5. クラウド委託契約に監査権、ログ提供、保存拠点、再委託、事故報告が含まれるか確認する。