重要ポイント
CERT-Inの2022年指令に基づき、インドで事業を行う組織は、指定されたサイバーインシデントを認知から6時間以内に報告し、ログをインド国内で180日間保存し、システム時刻をNICまたはNPLのNTPサーバーに同期する必要があります。2025年の監査方針では、年次の包括的ICT監査が義務化されました。
6時間ルールが求めるもの
2022年4月28日に発出されたIT法第70B条に基づくCERT-Inの指令は、指定されたサイバーインシデントを検知から6時間以内に、定められた様式でCERT-Inへ報告することを求めています。
6時間は運用上きわめて厳しい要件です。インシデントを迅速に検知でき、合意された報告プロセスがあることが前提であり、実務上は24時間365日の監視と、事前に用意されたインシデント対応プレイブックが必要になります。
報告以外に：ログと時刻同期
指令は、監査人が必ず確認する2つの技術的義務も定めています。
- ICTシステムのログをインドの管轄内で180日間、安全に保存すること
- すべてのシステム時刻をNICまたはNPLのNTPサーバーに同期すること
- 正確な連絡先をCERT-Inに登録すること
2025年の監査方針
2025年7月25日に発表されたCERT-InのComprehensive Cyber Security Audit Policy Guidelinesは、形式的な監査からレジリエンス重視へとインドを移行させるものです。年1回以上の包括的ICT監査、独立したレビュアー、署名入りの監査証明書、そしてクラウド・AI・ブロックチェーン・サードパーティリスクの網羅を求めています。
金融規制当局（RBI、SEBI、IRDAI）はいずれもCERT-In認定監査人を求めるため、1回の認定監査で複数の規制報告に対応できます。
IntelligenceXの支援内容
当社は6時間報告のプレイブックを整備し、ログ保存とNTP設定を検証し、CERT-Inに準拠した包括的ICT監査とVAPTを、認定監査人形式のレポートと独立レビュー付きで提供します。
よくある質問
インドで事業を行う組織に対し、指定されたサイバーインシデントを認知から6時間以内にCERT-Inへ報告することを義務づけるものです。実務上は24時間365日の検知体制と、準備されたインシデント対応プロセスが必要になります。
RBI、SEBI、IRDAIへの報告では必要とされます。認定監査人を起用すれば、1回の監査で複数の規制要件に対応できます。