GMOが政府に緊急要請して話題「能動的サイバー防御」って？サイバー対処能力強化法の概要

GMOインターネットが提供するFX自動売買向けサーバーサービスがサイバー攻撃を受けた件が、連日、ニュースになっています。そんな中、GMOが政府に「能動的サイバー防御」の緊急要請をしたことが報じられています。ということで、能動的サイバー防御とは？根拠となる法律のサイバー対処能力強化法の概要を見てみましょう。

※本投稿には、アフリエイト広告を表示しています。

能動的サイバー防御とは？

　能動的サイバー防御は、重大なサイバー攻撃による被害を防ぐために、政府が攻撃の兆候や実態を把握し、攻撃が行われる前の段階も含めて、積極的に被害の発生・拡大を防止する取組みのことです。

これまでのサイバー防御との違いは？

　電力会社がサイバー攻撃を受けたとして、これまでのサイバー防御との違いを整理します。

　これまでのサイバー防御は、システムを守るものです。つまり、システムへの侵入を検知したら、通信を遮断したり、感染した機器を隔離したりという措置を取ります。

　一方、能動的サイバー防御は、攻撃の兆候を把握したら、攻撃用サーバーへのアクセス・無害化措置を行います。

　これまでのサイバー防御は、攻撃されたら防御する専守防衛でした。能動的サイバー防御は、攻撃されそうなので、その前に、敵基地をミサイルで攻撃しようというイメージです。

制度を支える3つの柱

　能動的サイバー防御を実現するために、2025年に、「重要電子計算機に対する不正な行為による被害の防止に関する法律」が成立しました。

　サイバー対処能力強化法は、以下の3つを柱にしています。

　これらは、独立した制度ではなく、相互に関連しています。

サイバー対処能力強化法の概要

　サイバー対処能力強化法の概要を見てみましょう。

この法律は、インターネットその他の高度情報通信ネットワークの整備、情報通信技術の活用の進展、国際情勢の複雑化等に伴い、そのサイバーセキュリティが害された場合に国家及び国民の安全を害し、又は国民生活若しくは経済活動に多大な影響を及ぼすおそれのある国等の重要な電子計算機のサイバーセキュリティを確保する重要性が増大していることに鑑み、重要電子計算機に対する特定不正行為による被害の防止のための基本的な方針の策定、特別社会基盤事業者による特定侵害事象等の報告の制度、重要電子計算機に対する国外通信特定不正行為による被害の防止のための通信情報の取得、当該通信情報の取扱いに関するサイバー通信情報監理委員会による審査及び検査、当該通信情報等を分析した結果の提供等について定めることにより、重要電子計算機に対する不正な行為による被害の防止を図ることを目的とする。

サイバー対処能力強化法1条（目的）

　法律には、だいたい1条にその法律が何のために制定されたのか？という目的規定が置かれています。パッと読んだだけでは、よく分かりませんよね…

　官民連携、通信情報の取得・利用、監督・統制の仕組みなどを規定しています。そして、サイバー対処能力強化法を実行するために、同法整備法で、警察官職務執行法、自衛隊法などの既存法を改正して、アクセス・無害化措置と政府の実施体制を整えています。

2026年10月時点の施行状況

　サイバー対処能力強化法は、2026年10月1日に施行されました。しかし、まだ、全てが施行されているわけではありません。

　2026年10月1日に、官民連携とアクセス・無害化措置の規定が施行済みです。一番問題になると考えられる、通信情報の利用に関する主要な制度は、段階的に施行されることになっています。

第1の柱：官民連携の強化

　ここから、サイバー対処能力強化法の3つの柱について、順番に見ていきましょう。まずは、官民連携の強化です。

なぜ官民連携が必要なのか？

　サイバー攻撃の標的になるのは、政府機関だけではありません。民間企業も標的になっているのは、最近の個人情報漏洩のニュースに接していると、明らかです。

　日本の重要インフラの多くは民間企業によって運営されています。たとえば、電力会社への攻撃によって大規模停電が発生したり、病院のシステムが停止して診療に支障が生じたりすれば、国民生活に深刻な影響が及びます。

　そこで、政府と民間企業が攻撃に関する情報を共有し、被害を防止する仕組みが必要になります。

重要インフラ事業者の義務

　サイバー対処能力強化法は、一定の重要インフラ事業者に対して、主に2つの義務を課しています。

　対象は15分野・258事業者で、電力、ガス、水道、金融、情報通信、鉄道、航空などが含まれています。

特定重要電子計算機の届出義務（4条）

　一定の重要なコンピュータやシステムを導入した場合、その製品名などを所管大臣に届け出る義務を負います。届出を受けた大臣は、その内容を内閣総理大臣に通知します。

　たとえば、電力会社が電力供給を制御する重要なシステムを導入した場合、届け出ることが想定されます。そのシステムに脆弱性が発見されたとします。政府は、電力会社から届出を受けているので、電力会社にシステムの脆弱性について注意喚起することができます。

サイバーインシデントの報告義務（5条）

　不正アクセスやマルウェア感染など、一定のサイバーインシデントやその原因となり得る事象を認知した場合、所管大臣と内閣総理大臣に報告する義務を負います。

現在、示されている運用

　上記、2つの義務について、現在、示されている運用は、以下のとおりです。

項目	主な内容
対象	特定社会基盤事業者のうち、法定の特定重要電子計算機に関するもの
既存設備の届出	2027年3月まで
新規導入設備の届出	導入から原則4か月以内
インシデント報告	認知後速やかな報告と、原則30日以内の追加報告

情報共有・対策のための協議会（45条）

　政府と民間企業が情報を共有するための「情報共有及び対策に関する協議会」が組織されています。協議会には、関係行政機関のほか、同意を得た重要インフラ事業者、ITベンダー、セキュリティ事業者などが参加する仕組みになっています。

　ある電力会社で新種のマルウェアが発見されたとします。その情報を政府が分析して、同様の攻撃を受ける可能性がある他の電力会社に共有すれば、被害が広がる前に対策を取ることができます。そのための協議会です。

　協議会の構成員は守秘義務を負っているので（45条7項）、機密性の高い情報も取り扱えるようになっています。

ソフトウェア・機器メーカーへの対応

　政府が重要な機器やプログラムの脆弱性を把握した場合、メーカーなどに情報を提供し、必要な対応を要請できます（42条）。

　たとえば、複数の重要インフラ事業者が使うネットワーク機器に重大な脆弱性が発見された場合、政府がメーカーに修正対応を促すことができます。

義務違反に対する罰則

　以上のサイバー対処能力強化法の義務に違反した場合、処罰規定が設けられています。

　たとえば、インシデント報告などを怠り、是正命令を受けても従わない場合には、200万円以下の罰金が科されます（83条）。

　また、協議会構成員などが秘密を不正に利用・漏えいした場合には、2年以下の拘禁刑又は100万円以下の罰金が科されます（82条）。

第2の柱：通信情報の利用

　第2の柱は、通信情報の利用です。政府は、サイバー攻撃を検知するために通信情報を取得・分析することになります。現時点では、まだ未施行です。

　通信情報の利用は、憲法21条2項の通信の秘密と抵触するおそれがあり、問題をはらんでいます。サイバー対処能力強化法にも通信の秘密を不当に制限しないようにという規定が設けられています。

この法律の適用に当たっては、第1条に規定する目的を達成するために必要な最小限度において、この法律に定める規定に従って厳格にその権限を行使するものとし、いやしくも通信の秘密その他日本国憲法の保障する国民の権利と自由を不当に制限するようなことがあってはならない。

サイバー対処能力強化法2条の2

政府はどんな情報を取得するのか？

　サイバー攻撃を事前に防ぐには、攻撃者がどのサーバーを使っているのか？どのような通信が行われているのか？を把握する必要があります。

　以下のような情報を取得できれば、攻撃の兆候を特定する手掛かりになります。

• 送信元や送信先のIPアドレス
• 通信に関する機械的な情報
• マルウェアへの指令に関係する情報
• 不審な通信のパターン

取得には2つの方法がある

　サイバー対処能力強化法が規定している情報取得の方法は2つあります。

当事者協定に基づく取得（11条以下）

　政府と電気通信役務の利用者が協定を締結し、その協定に基づいて通信情報を取得する方法です。たとえば、電力会社と政府が協定を結び、同社のシステムに関係する通信を分析するという感じです。

　協定の締結は任意です。しかし、協議を求められた側は正当な理由がない限り、協議に応じる必要があります（13条）。

　協定を締結したとしても、通信の相手方の利益が問題になります。したがって、事業者が同意したからといって、全ての通信内容を自由に分析できるわけではありません。

同意によらない取得（17条以下、32条以下）

　政府は、一定の要件の下で、通信の当事者による同意がなくても通信情報を取得できます。

通信の区分	概要
外外通信	外国から外国への通信のうち、日本国内を経由するもの
外内通信	外国から日本国内への通信
内外通信	日本国内から外国への通信
内内通信	日本国内から日本国内への通信

　サイバー対処能力強化法は、通信を上記のように区分しています。同意によらない取得は、一定の国外関係通信が対象です。

　たとえば、外国から外国への攻撃関連通信が日本国内の通信設備を経由している場合や、国内の重要インフラに対する攻撃に使われていると疑われる外国設備との通信などが想定されます。

　外内通信・内外通信については、攻撃との関係が疑われる特定の外国設備や機械的情報などに着目した、より限定的な要件が設けられています。

　なお、取得には原則として、サイバー通信情報監理委員会の事前承認が必要です（18条）。

通信内容まで監視される？

　サイバー対処能力強化法は、政府が取得した通信情報について、人が内容を読む前に、自動的な方法による選別を行うことにしています（22条）。

　ここでいう機械的情報とは、IPアドレスや指令情報など、意思疎通の本質的な内容ではない情報のことです（2条8項）。したがって、メールの本文や個人的な会話の内容などを、人が片っ端から読んで分析することはしません。

　もっとも、通信内容を読むことと、通信の秘密を侵害することは同義ではありません。誰が誰と通信したか、どの通信先と接続したかという情報も、通信の秘密の保護対象になり得ます。自動選別を行うからといって、憲法上の問題がなくなるわけではありません。

取得した情報の利用制限（23条）

　取得した通信情報の取扱いは、制限されます。具体的には、選別前の通信情報は原則として自動選別以外に利用・提供できず、選別後の通信情報についても提供先や利用目的が限定されています。

　法律上は、サイバー攻撃対策として取得した情報を、他の行政目的に自由に流用できる仕組みにはなっていません。通信情報の不正利用・漏えいに対しては、罰則規定があります（79条～81条）。

第3の柱：アクセス・無害化措置

　いよいよ、能動的サイバー防御の本丸に突入します。サイバー対処能力強化法整備法により、警察官職務執行法や自衛隊法が改正されました。一定の要件下で、警察や自衛隊が攻撃用サーバーなどに直接対処できるようになりました。

アクセス・無害化とは？

　日本の水道施設に対するサイバー攻撃を計画している攻撃者が、外国のサーバーを利用しているとします。法律の要件と手続を満たす場合、攻撃用サーバーの管理者に必要な措置を命じたり、警察などが自ら攻撃用プログラムを停止・削除したりすることができます。

警察によるアクセス・無害化

　警察官職務執行法6条の2が新設されました。

誰が実施するのか？

　警察庁長官が指名する「サイバー危害防止措置執行官」が実施します。

どのような場合に実施できるのか？

　以下のような要件を充足する必要があります。

どんな措置ができるのか？

　主に、以下の2つが想定されます。

必要な手続きは？

　原則として、サイバー通信情報監理委員会の事前承認が必要です。また、警察庁長官などによる指揮も必要です。

　ただし、承認を得るいとまがないと認められる特段の事由がある場合は、事前承認を経ずに実施し、事後に速やかに委員会へ通知する例外が設けられています。

　なお、国外にある可能性があるサーバーなどを対象とする場合には、実施主体や外務大臣との事前協議が必要です。

自衛隊によるアクセス・無害化

　自衛隊法第81条の3などが新設・改正されました。自衛隊にも、一定の条件下で無害化措置を行う権限が付与されています。

　特に重要なのは、新たな行動類型である「通信防護措置」です。他にも自衛隊や日本国内の米軍が使用する一定の電子計算機を警護する自衛官による措置も規定されています。

自衛隊による通信防護措置の主な要件

　自衛隊が通信防護措置を行うための主な要件は、以下のとおりです。

　要件を充足する場合、内閣総理大臣が通信防護措置を命じ、自衛隊が警察と共同して対処します。

警察と自衛隊の違い

	警察	自衛隊
根拠法	警察官職務執行法6条の2	自衛隊法81条の3等
主な役割	重大な危害の防止	特に高度な攻撃への特別な対処、部隊等のシステム警護
実施要件	重大な危害のおそれと緊急の必要など	特別の必要や内閣総理大臣の命令など
独立機関の関与	原則、事前の承認	原則、事前の承認
指揮	警察庁長官	防衛大臣

　警察による対処を基本に、特に高度な攻撃など一定の場面では、自衛隊も対応できるように制度設計されています。

政府の権限を誰がチェックするのか？

　能動的サイバー防御を実施するうえで欠かせないのが、権限の濫用を防ぐ仕組みです。政府が通信情報を取得したり、他人の管理するサーバーにアクセスしたりする以上、それを政府内の判断のみに委ねることには問題があります。そこで、「サイバー通信情報監理委員会」が設けられました。

サイバー通信情報監理委員会（46条以下）

　サイバー通信情報監理委員会は、内閣府に置かれる独立性を有する行政委員会、いわゆる3条委員会です。

　委員長1人と委員4人で構成され、両議院の同意を得て内閣総理大臣が任命します。委員長や委員は独立して職権を行使することになっています。

　サイバー通信情報監理委員会の主な役割は、以下のようなものがあります。

国会による統制

　サイバー通信情報監理委員会には、業務の状況を国会に報告する義務があります（61条）。報告事項には、通信情報の取得に係る承認申請件数や、自動選別・取扱いの検査結果、アクセス・無害化措置に関する承認件数などが含まれます。

能動的サイバー防御は何を変えるのか？

　サイバー対処能力強化法・同法整備法により、サイバー攻撃を受けてから対処するだけでなく、政府が攻撃を事前に把握し、その発生・拡大を防ぐための法的権限と体制を整えました。

　以下の3つが、大きな変化です。

分野	変化の本質
官民連携	重要インフラ事業者などと政府との情報共有を制度化
通信情報の利用	政府による一定の通信情報の取得・分析を法定化
アクセス・無害化	警察・自衛隊による攻撃用サーバー等への対処を可能にする

　さらに、国家サイバー統括室（NCO）を中心とした政府の司令塔機能を強化し、国家安全保障政策とサイバーセキュリティ対策の連携を深めたことも重要です。

♪Mr.Children「FIGHT CLUB」（アルバム：REFLECTION {Naked}収録）