インドのサイバーセキュリティ・データ保護コンプライアンス：DPDP、CERT-In、RBI、SEBI、IRDAI

なぜインドには独自のコンプライアンス手順が必要なのか

インドには単一のサイバーセキュリティ規制がありません。業種別のサイバー規則群の上に横断的なデータ保護法が乗る構造で、購買担当者は自社にどの組み合わせが適用されるかを見極める必要があります。ムンバイのフィンテックが直面する体系は、病院グループや上場製造業とはまったく異なります。

インドの体系には2つの特徴があります。第一に、義務がきわめて運用寄りである点です。6時間の報告期限、国内でのログ保存、原則だけでなく具体的に指示された監査要求があります。第二に、規制当局が相互に補強し合う点です。1回の認定監査や、よく整備されたインシデント対応体制が、複数の届出を同時に満たすことがあります。

本ガイドでは、購買担当者から最も多く質問を受ける5つの制度について、その概要、適用対象、主要な義務を説明します。特定の施行日や期限が計画上重要な場合、本文中の日付は出発点として扱い、依拠する前に一次情報または官報告示で確認してください。インドでは段階的施行や改正が一般的です。

DPDP法2023：インドの横断的データ保護法

Digital Personal Data Protection Act 2023は、インド初の包括的なデータ保護法です。インド国内の個人（Data Principal）のデジタル個人データの取扱いを規律し、インド国内の人々への物品・サービス提供に関わる一定の国外処理にも及びます。業種を問わないため、既に適用されている金融・医療などの規則の上に重なります。

同法は同意と説明責任を軸としています。各Data Fiduciaryは、明確な通知を行い、有効な同意を取得（または限定的な正当利用に依拠）し、合理的な安全管理措置を実装し、個人データ侵害をData Protection Boardと影響を受ける本人に通知し、アクセス・訂正・消去といったデータ主体の権利に応じる必要があります。政府がSignificant Data Fiduciaryに指定した組織には、データ保護影響評価、定期監査、データ保護責任者および独立データ監査人の任命という追加義務が課されます。

同法は2023年に成立し、これを運用化するDPDP規則は段階的に施行され、複数の実体的義務は基礎的規定より後に発効します。各段階の正確な日付は規則制定の過程で変動してきたため、固定の施行日を前提とせず、最新の官報告示で現行スケジュールを確認してください。制裁金は違反1件あたりのルピー建て上限として定められ、最上位（最大250クロー・ルピー）は合理的な安全管理措置を怠った場合に適用されます。

• 適用対象：インド国内の人々のデジタル個人データを取り扱うすべての組織（要件を満たす国外処理を含む）
• 中核的義務：通知、有効な同意、安全管理措置、侵害通知、データ主体の権利、目的制限と保存期間
• Significant Data Fiduciary：影響評価、定期監査、データ保護責任者、独立データ監査人が追加
• 制裁金：違反ごとのルピー建て上限、安全管理措置が不十分な場合は最大250クロー・ルピー（現行の制裁金体系は法文で確認）

CERT-In：6時間以内の報告と2025年の監査方針

Indian Computer Emergency Response Team（CERT-In）は、情報技術法第70B条に基づくサイバーインシデントの国家機関です。2022年の指令は運用面で世界屈指の厳しさを持ち、指定されたサイバーインシデントは認知から6時間以内に、定められた様式でCERT-Inへ報告しなければなりません。

同じ指令は、監査人が日常的に確認する技術的義務も定めています。ICTシステムのログをインドの管轄内で直近180日間安全に保存すること、すべてのシステム時刻をNICまたはNPLのNTPサーバーに同期すること、正確な組織連絡先をCERT-Inに登録しておくことです。6時間の期限を守ることは書類仕事ではありません。迅速な検知と合意済みの報告プレイブックが前提であり、実務上は継続的な監視と事前に合意されたエスカレーション経路を意味します。

CERT-Inはまた、監査の考え方をチェックリスト型からレジリエンス重視へ移し、独立レビュー、署名入りの監査成果物、クラウド・AI・ブロックチェーン・サードパーティリスクの網羅を強調する包括的ICT監査の指針を示しています。現行の監査方針の正確な発表日・発効日は、CERT-Inが公表する指針で確認すべき事項として扱ってください。重要な点として、以下の金融規制当局は一般にCERT-In認定監査人を求めるため、1回の認定監査が複数の規制届出を支えられます。

• 適用対象：インドで事業を行うサービス提供者、仲介者、データセンター、法人、政府組織
• 主要ルール：指定インシデントを認知から6時間以内に報告
• 加えて：インド国内での180日間のログ保存、NIC/NPLのNTP時刻同期、登録済み連絡先
• 監査：独立レビューを伴う包括的ICT監査（現行方針の日付はCERT-Inで確認）

RBI：金融セクター向けのIS監査とサイバーレジリエンス

インド準備銀行（RBI）は、監督対象である銀行、NBFC、決済システム運営者、関連する金融事業者に対し、サイバーセキュリティとレジリエンスの要求を定めています。単一の規則ではなく、ITガバナンス、情報セキュリティ、サイバーレジリエンスに関するマスターディレクションと通達に分散しており、監督上のレビューによって補強されます。

中心的かつ反復的な要求が情報システム（IS）監査です。IT統制、変更管理、アクセス管理、セキュリティ態勢に関する体系的かつ定期的な監査で、通常は有資格の、多くはCERT-In認定の監査人が実施し、取締役会またはそのIT・リスク委員会に報告します。規制対象事業者はさらに、RBIへのインシデント報告、取締役会承認のサイバーセキュリティ方針の維持、そして一時点の統制確認ではなく運用・サイバー両面のレジリエンスの実証が求められるようになっています。

正確な監査頻度、適用しきい値、レジリエンス要求は事業者の種別によって異なり、RBIの通達とマスターディレクションを重ねるごとに厳格化されてきました。頻繁に更新されるため、作業範囲を決める前に、現行のマスターディレクションと自社のライセンス区分への適用可否をRBIの公表資料で確認してください。

• 適用対象：RBIの規制対象事業者（銀行、NBFC、決済システム運営者など）
• 中核要求：取締役会へ報告する定期IS監査、および取締役会承認のセキュリティ方針
• 加えて：RBIへのインシデント報告と、実証可能なサイバーレジリエンス
• 頻度としきい値は事業者種別により異なる。該当するRBIマスターディレクションで確認を

SEBI CSCRF：資本市場事業者のサイバーセキュリティとレジリエンス

インド証券取引委員会（SEBI）は、規制対象である取引所、預託機関、ブローカー、投資信託、名義書換代理人などの仲介者に対するサイバー要求を、単一の段階別枠組みへ統合するためCybersecurity and Cyber Resilience Framework（CSCRF）を導入しました。従来の断片的な通達を、識別・防御・検知・対応・復旧という成果を軸にした体系的な統制群に置き換えるものです。

CSCRFの特徴は段階制です。事業者は規模と重要度に応じて区分され、監査、VAPT、SOC体制、報告といった義務の深さがその区分に応じて変わります。共通する要素としては、定期的なVAPTとサイバー監査、セキュリティ運用と監視、SEBIへのインシデント報告、取締役会レベルのガバナンスがあります。

CSCRFは規制対象事業者の区分ごとに段階的に適用され、区分により遵守期限が異なります。公表後にSEBIは補足説明や期限延長も発出しています。自社に適用される区分とその適用日は、推測せず現行のCSCRF通達とその後の改正で確認してください。

• 適用対象：SEBIの規制対象事業者（取引所、預託機関、ブローカー、投資信託、名義書換代理人、仲介者）
• 構造：段階別の枠組みで、義務は事業者区分に応じて拡大
• 中核義務：定期的なVAPTとサイバー監査、監視・SOC、インシデント報告、取締役会ガバナンス
• 区分ごとの段階適用。自社の区分と期限は現行のSEBI通達で確認

IRDAI：保険会社向けの情報・サイバーセキュリティ

インド保険規制開発庁（IRDAI）は、情報・サイバーセキュリティ指針を通じて、保険会社、再保険会社、保険仲介者に対する要求を定めています。同枠組みは、ガバナンス体制、取締役会承認のサイバーセキュリティ方針、そしてプログラムに責任を負う最高情報セキュリティ責任者（CISO）の指名を求めます。

運用面では、規制対象の保険会社に対し、定期的な情報セキュリティ監査とVAPTの実施、インシデントの検知と報告体制の維持、サードパーティおよび外部委託リスクの管理、IRDAIとCERT-In双方の要求に沿ったサイバーインシデントの報告が期待されます。他の金融規制当局と同様、監査は有資格でCERT-In認定の評価者が実施することが一般に期待されます。

IRDAIの指針は、より広範な国家的サイバー要求と整合させるための統合・更新を含め、時期により改訂されてきました。特定の要求や日付に依拠する前に、現行版のIRDAI情報・サイバーセキュリティ指針と、自社の事業種別に固有の義務をIRDAIの公表資料で確認してください。

• 適用対象：IRDAIの規制対象である保険会社、再保険会社、保険仲介者
• ガバナンス：取締役会承認のサイバー方針と指名されたCISO
• 運用：定期的なIS監査とVAPT、インシデント報告、サードパーティ・外部委託リスク
• 指針は定期的に改訂される。現行版はIRDAIで確認を

全体の関係

インドの多くの購買担当者にとって、この体系は択一ではなく積層構造です。DPDP法は業種を問わず個人データに横断的に適用されます。CERT-Inのインシデント、ログ、時刻同期の義務は、インドでICTシステムを運用するほぼすべての組織に及びます。その上に、業種規制当局であるRBI、SEBI、IRDAIが、ライセンスに応じた監査・レジリエンス・報告の義務を重ねます。

幸いなことに、統制は大きく重複します。強力なインシデント対応体制はCERT-Inの6時間ルールを満たし、RBI、SEBI、IRDAIへの報告にもそのまま活かせます。CERT-Inに準拠した包括的な監査1回が、複数の金融規制当局への届出を支えることもあります。同意・侵害対応・監査の仕組みを一度構築し、各制度へ対応付けるほうが、規則ごとに別プロジェクトとして扱うよりはるかに効率的です。

• 横断：個人データにはDPDP法、インシデント報告・ログ・時刻同期にはCERT-In
• 縦断：ライセンスに応じてRBI、SEBI、IRDAIの業種義務が上乗せ
• 効率化：一度構築して各制度へ対応付け、インシデント対応と監査証跡を再利用
• 段階施行日と適用しきい値は必ず一次情報で確認

IntelligenceXの支援内容

IntelligenceXはインドの規制体系に向けて、助言・評価・準備を行います。証書の発行や規制監査への署名は当社では行わず、CERT-Inの認定もまだ受けていません。認定監査人や認定機関が必要な場合には、その業務に向けた準備を整え、正式な承認が円滑に進むよう並走します。

当社のコンプライアンスサービスは、上記の各制度に直接対応します。DPDP法対応では、ギャップ評価、同意アーキテクチャのレビュー、影響評価、そしてSignificant Data Fiduciaryに期待される独立監査の準備を行います。CERT-In監査支援では、6時間報告のプレイブックを構築し、インド国内180日間のログ保存とNTP設定を検証し、包括的ICT監査に備えます。RBI IS監査支援では、定期IS監査と取締役会報告に向けてIT・セキュリティ統制を整えます。SEBI CSCRF支援では、自社を適切な区分に位置づけ、段階別のVAPT・監視・報告義務を満たせるよう支援します。IRDAI監査支援では、保険会社の情報セキュリティ監査、VAPT、インシデント報告義務に備えます。

5つの制度に共通する進め方は同じです。ギャップを評価し、統制と証跡を構築し、正式な監査や届出まで伴走し、共通する統制を対応付けて作業が一度で済むようにします。自社に適用される制度の範囲については、当社チームにご相談ください。