要点
- 英国とフランスが主導する枠組み Pall Mall Process が、スパイウェアなどを売る企業向けの初の指針を2026年11月11日に公表した。
- 指針は、売る相手の審査や悪用を防ぐ技術的な対策を企業に求めるが、守らせる罰則のない自主的なものだ。
- 日本を含む14の政府が賛同した。ただし、対象の会議には43か国が出ており、賛同は半数に満たない。
何が起きたか
英国政府の公式ページによると、「The Pall Mall Process Guidelines for Industry」は、パリで開かれた第3回の Pall Mall Process 会議で11日に公開された。商用の侵入ツール（CCIC。持ち主に気づかれず端末に入り込む、スパイウェアのような道具）を作る・売る・資金を出す企業に向けた、実務上の勧告だ。
英国政府の説明では、ねらいは三つある。無責任な取引をする側に得をさせないこと。規制当局・売り手・買い手の間で情報の見通しをよくすること。この分野に関わる企業に、守るべき線を示すことだ。指針は「説明責任」「精度」「監督」「透明性」の4本柱で組まれている。
企業への具体的な要請は、The Record の報道に基づく。同紙によると、指針は次のような行動を企業に求めている。
- 顧客を事前に審査する。
- 悪用を防ぐ技術的な仕組みを設ける。
- 悪用を監視し、報告する体制を持つ。
- 重大な悪用が現実的に見込まれるときは、販売や支援を取りやめる。
人権侵害の被害者への救済も、検討事項に挙がっているという。
私たちは指針の本文（ODT 形式の文書）そのものを読めていない。上の具体策は、この報道に基づく。細部は公式ページの文書で確かめてほしい。
賛同したのは、オーストリア、バハマ、コスタリカ、フランス、ドイツ、イタリア、日本、ルクセンブルク、オランダ、ポーランド、スロバキア、スイス、英国、米国の14政府だ。The Record は、この指針に守らせる罰則がないと伝えている。実効性は、ツールを買う政府や、輸出の許可を出す政府の圧力しだいだという。同紙は、この枠組みが市場を実際に変えられるのか疑問視する参加者がいることも伝えている。
日本の利用者への影響
日本の一般の利用者に、直接の影響はない。指針は企業向けの自主的な取り決めで、手元の設定を変える必要もない。
日本は賛同国に入っている。ただ、日本の国内法や輸出管理が、この指針とどれだけ近いか遠いかは、今回確かめた一次情報だけでは判断できない。ここでは断定しない。
今すぐやること
- 特に何かを急ぐ必要はない。この話は、被害の発生ではなく制度の動きだ。
- 記者、人権活動家、政治に関わる人など、狙われやすい立場なら、スマホを最新の状態に保つ。
- スマホ会社から「国家支援型の攻撃の対象かもしれない」といった通知が来たら、無視せずに、勤め先のセキュリティ担当や専門の支援団体に相談する。
- 自社が侵入ツールに近い製品を扱うなら、公式ページの指針を読み、顧客審査と悪用対策が足りているか見直す。
背景
フランス外務省の見解では、こうした商用の侵入ツールは、諜報や組織犯罪への対策に使われる。一方で、記者、政治家、活動家、企業を狙った監視にも関わってきたという。Pall Mall Process は、この市場での無責任な取引を抑えるために英仏が始めた取り組みだ。2025年4月には、政府向けの「Code of Practice for States」が公表された。今回の産業向け指針は、それを補うものと位置づけられている。
技術者向けの詳細
- 公式ページ: gov.uk の「The Pall Mall Process Guidelines for Industry」（2026年11月11日付）。
- 指針本文は ODT 形式の添付文書で、公式ページから入手できる。今回は本文を読めておらず、企業への要請の中身は The Record の報道に基づく。
- 4本柱: 説明責任、精度、監督、透明性（公式ページ）。
- 法的拘束力と罰則はない。
- 賛同は14政府。第3回会議の参加は43か国。
- 関連: 2025年の政府向け規範（Code of Practice for States）は、政府の購入・利用のあり方を扱う別の文書。
