電気がつき、水が出て、送金できる。普段は意識しない社会の仕組みも、制御や通信を担うコンピューターが止まれば揺らぐ。サイバー攻撃への備えは、パソコンの中の問題ではなく、暮らしを止めないための問題である。
そこで日本が進めるのが「能動的サイバー防御」だ。ただし、「攻撃される前に相手を攻撃する制度」とだけ理解すると、肝心な部分を見落とす。国と企業が兆候を共有し、攻撃に関係する通信を分析し、必要な場合に攻撃用の機能を止める。それぞれに違う権限と制約がある。
とりわけ注意したいのは、制度が一度にすべて動き始めたわけではないことだ。2026年10月25日時点で、何が始まり、何がこれからなのか。その区別から考えたい。
「10月施行」で全部が始まったわけではない
サイバー対処能力強化法と関連する整備法は2025年5月に成立した。政府の2026年9月の説明資料では、官民連携とアクセス・無害化措置は同年10月1日から、通信情報の利用は翌年秋から施行する整理となっている。[1][2]
| 柱 | 主な役割 | 2026年10月25日時点の区分 |
|---|---|---|
| 官民連携 | 政府と事業者が脅威や被害の情報を共有する | 2026年10月1日施行 |
| アクセス・無害化 | 法律の要件に従い攻撃関係サーバー等へ措置する | 2026年10月1日施行 |
| 通信情報の利用 | 法律に基づき攻撃関連の通信情報を取得・分析する | 2027年秋の施行予定 |
内閣官房・内閣府「サイバー対処能力強化法等の施行について」（2026年9月）を基に作成。「予定」は実施済みを意味しない。
防衛省も10月2日の会見で、前日に自衛隊へアクセス・無害化措置任務が付与されたと説明した。一方、それだけで通信情報の利用に関する新制度まで稼働したことにはならない。[3]
「成立した法律」「施行された部分」「今後始まる部分」を分けなければ、政府に何ができるのかも、何を監督すべきかも曖昧になる。
企業にとって大切なのは、報告の先に何が返るか
官民連携の出発点は、一社が見つけた兆候を、その会社だけの出来事で終わらせないことにある。政府資料は、基幹インフラ事業者の資産届出やインシデント報告を、該当事業者への注意喚起や他社の被害防止につなげる方針を示す。[1]
ただし、これはすべての会社に一律に同じ報告義務を課すという話ではない。制度上の事業者・設備などの対象があり、一般の中小企業や個人の被害を、そのままこの義務に当てはめるべきではない。
例えば、ある設備で不審な動作が見つかったとする。同じ製品を使う別の事業者に、何を確認すればよいかが届けば、防御の時間を稼げる。しかし「被害がありました」という抽象的な情報だけでは、現場は動きにくい。
ここからは編集部の考察である。連携の実効性を左右するのは、集めた報告の数より、受け取った側が対処を決められる情報になっているかだ。報告した企業への不利益を抑えつつ、別の企業にも役立つ形にする。その難しい翻訳作業こそ、制度の基礎体力になる。
「無害化」は、民間の仕返しを認める言葉ではない
アクセス・無害化措置では、攻撃に使われるプログラムの停止や削除などが想定されている。警察の場合、実施主体は警察庁長官が指名する警察官に限られ、重大な危害を防ぐための緊急の必要などが要件となる。被害企業に自由な侵入・報復を認める制度ではない。[2]
自衛隊にも権限があるが、単に被害が起きれば出動する仕組みではない。通信防護措置には、対象となる重要なコンピューターへの高度に組織的・計画的な国外からの行為や、自衛隊の対処を必要とする特別の事情などの条件がある。防衛白書も、安全保障上の懸念を生じさせる一定の重大な攻撃への対応として説明している。[2][4]
ここで考えるべきなのは、攻撃に使われた機器と、攻撃を企てた本人は同じとは限らない点だ。乗っ取られた機器が踏み台なら、その持ち主も被害者であり得る。
したがって「止めた」という結果だけでは評価しきれない。狙った攻撃機能だけを止められたのか。正当な利用への影響をどう抑えたのか。これは制度の成果がすでに確認されたという意味ではなく、運用を評価する際に必要だと考える問いである。
通信の秘密との境界はどこにあるのか
今後の通信情報利用では、利用者との協定に基づく取得と、同意によらない国外関係通信の取得を区別する必要がある。後者には独立機関の承認や、ほかの方法では実態把握・分析が著しく困難であることなどの条件が設けられている。[2]
政府説明では、取得した通信情報から、人が内容を知ることを伴わない自動的な方法で、攻撃に関係する機械的情報を選別する。必要なもの以外は直ちに消去する設計だ。機械的情報の例はIPアドレスや指令情報であり、人同士の意思疎通の本質的内容とは区別される。[2]
これは「国があらゆる国内通信を自由に読む」という説明とは異なる。ただし、機械で選ぶから権利への懸念が消える、とも言えない。どの設備から取得し、どの基準で選び、不要な情報を本当に消したかは、別々に確かめる必要がある。
また、国内から国外への通信も制度上の区分に含まれる。国外関係という言葉だけを見て、日本で暮らす人には関係がないと考えるのも早計だ。対象の限定と取扱いの制限を、組み合わせて読む必要がある。
監督は「許可を出した」で終わらない
サイバー通信情報監理委員会は、通信情報の取得や無害化措置の審査・承認、情報の取扱いに対する検査などを担う。法律は、処理状況の国会報告と概要の公表も定めている。[2]
アクセス・無害化措置は事前承認が原則だが、承認を得る時間がないと認める特段の事由がある場合には、措置後の速やかな通知による例外もある。「必ず事前承認だから問題はない」と説明すれば、この例外を落としてしまう。[2]
緊急時に動けることと、後から理由を確かめられることは、対立するだけの関係ではない。判断記録を残さなければ、現場が適切に急いだのか、必要以上に権限を広げたのかを区別できないからだ。
もちろん、攻撃の手口や防御能力をすべて公開すれば、相手を助けるおそれがある。しかし、作戦の細部を伏せることと、監督が働いたかまで説明しないことは同じではない。秘密にすべき範囲と、公に説明できる範囲を分ける工夫が求められる。
独自の視点――「止める力」を「止めすぎない力」と一緒に測る
以下は、施行時期と権限・監督の仕組みを比較した編集部の見解である。能動的サイバー防御を「攻撃的か、防御的か」の二択だけで論じると、現場で起きる選択を捉えにくい。生活基盤への被害を防ぐ必要と、関係のない通信や機器を巻き込まない必要は、同時に存在する。
評価の物差しは三つに分けたい。第一に、兆候が分かってから、事業者が使える注意喚起に変わるまでの時間。第二に、無害化の必要性と対象を絞った理由。第三に、誤りや想定外の影響があったときの検証と是正である。これは政府が実績として公表した指標ではなく、編集部が提案する見方だ。
例えば、措置件数が増えても、それだけでは防御の改善とは言えない。脅威が増えたのか、発見が進んだのか、措置の選び方が変わったのかで意味が違う。反対に件数が少なくても、早い情報共有で対処できた可能性はある。件数だけでは、どちらも判定できない。
強い権限を持つこと自体が、暮らしの安心の完成ではない。必要な場面では止め、不要な介入は抑え、その判断を後から検証できること。日本が積み上げるべき防御力は、この三つを切り離さずに運用する力である。
出典とメモ
- [1] 内閣官房国家サイバー統括室・内閣府「サイバー対処能力強化法等の施行について」（2026年9月）。施行時期は資料1ページ、官民連携は2～4ページを確認した。表はこの資料を基に作成した。
- [2] 内閣官房・内閣府「サイバー対処能力強化法・同整備法について」（2025年9月）。通信情報利用は12～14ページ、警察・自衛隊の措置は18～20ページを確認した。ページは資料右上の表記による。制度全体の説明と、2026年時点の施行範囲を区別した。
- [3] 防衛省「防衛大臣記者会見」（2026年10月2日）。アクセス・無害化措置任務の付与に関する発表と質疑を確認した。
- [4] 防衛省「令和8年版防衛白書：サイバー空間における新たな任務」。任務の位置付けを確認した。
- 確認日は2026年10月25日。将来の予定は実施済みの事実と区別し、特定の企業・個人に対する措置の実施や効果を推測で記載していない。架空の場面は制度を考えるための例示であり、取材事例ではない。
