LASSIC Media らしくメディア

LASSIC IT事業部｜元請（プライムベンダー）としてシステム保守・運用を受託

2025年に成立した「サイバー対処能力強化法」により、日本でも能動的サイバー防御（アクティブ・サイバー・ディフェンス）の法的な枠組みが整いました。攻撃を受けてから対応する従来型の防御だけでなく、被害の未然防止に踏み込む制度であり、基幹インフラ事業者をはじめとする企業には新たな対応が求められます。本記事では、制度の全体像と施行スケジュール、そして企業のシステム部門が2026年以降に備えるべき実務対応を、委託・外注の視点も交えて整理します。

近年、電力・通信・金融といった社会インフラを狙ったサイバー攻撃は、国境を越えて組織化・高度化しています。一企業の対策だけでは防ぎきれない攻撃が増えるなか、国として攻撃の兆候をとらえ、被害が広がる前に対処する仕組みが必要とされました。能動的サイバー防御は、その要請に応えるための法制度です。制度の主役は政府ですが、実効性を支えるのは、日々システムを動かす個々の企業の検知力と報告の速さにほかなりません。「自社は基幹インフラではないから関係ない」と考えていた企業も、取引先やサプライチェーンを通じて無関係ではいられなくなりつつあります。

1. 能動的サイバー防御とは｜サイバー対処能力強化法の概要

能動的サイバー防御とは、サイバー攻撃による重大な被害を未然に防ぐため、平時から官民が情報を共有し、必要に応じて攻撃の起点となるサーバー等へ政府が働きかける取り組みを指します。2025年5月に成立・公布された「サイバー対処能力強化法」（重要電子計算機に対する不正な行為による被害の防止に関する法律）と、その関連整備法によって法的な根拠が与えられました^*1。

1-1. 従来の「受動的防御」との違い

これまでの企業のセキュリティ対策は、ファイアウォールやEDRのように、自社の内側で攻撃を検知・遮断する「受動的（パッシブ）」な防御が中心でした。攻撃を受けて初めて動く後追いの構えであり、被害が出た後の復旧に多くの労力を割かざるを得ませんでした。能動的サイバー防御は、これに加えて国家レベルで攻撃インフラそのものへ対処し、被害が広がる前に食い止める枠組みを設ける点が大きな違いです。

企業がすべてを自力で担うわけではありませんが、官民連携の一翼として、自社の検知・報告の精度が国全体の防御力に直結する構図になります。裏を返せば、自社の監視やログが不十分だと、国全体の防御の網に穴を開けることにもなりかねません。制度の恩恵を受ける側であると同時に、その一部を担う責任も生じる、と捉えておくのが実態に近いといえます。

1-2. 制度を支える3つの柱

サイバー対処能力強化法が定める枠組みは、大きく次の3つの柱で構成されます^*2。企業に最も関わりが深いのは、第一の柱である官民連携です。

• 官民連携の強化：政府と事業者が脅威情報を共有し、重大なインシデントについては報告する仕組みを整備します。
• 通信情報の利用：一定の要件と監督のもとで、政府が攻撃の予兆となる通信情報を分析します。
• アクセス・無害化措置：重大な攻撃に対し、政府が攻撃サーバー等へアクセスし、その機能を無害化する措置を可能にします。

いずれの柱も独立した監督機関のもとで運用されることが想定されており、通信の秘密やプライバシーへの配慮が制度設計の前提となっています。通信情報の利用や無害化措置は、あくまで政府が厳格な要件のもとで担う領域であり、民間企業が自ら攻撃者へ反撃する（ハックバックする）ことを認める制度ではない点には注意が必要です。企業にとって直接関わるのは第一の柱であり、脅威情報の共有と、重大インシデントの報告を通じて枠組みに参加することになります。

2. 施行スケジュールと対象となる事業者

サイバー対処能力強化法は、公布後に政令で定める日から段階的に施行されます^*3。制度の準備や体制整備に時間を要する項目ほど施行が後ろ倒しになる設計で、企業に関わる官民連携・報告の枠組みから、通信情報の利用や無害化措置まで、順を追って動き出します。

※上表は制度の性質にもとづく一般的な整理です。具体的な施行日・対象範囲は政令および所管省庁の告示で確定するため、最新の官報・所管省庁の公表をあわせてご確認ください。

対象として特に意識すべきは、電気・ガス・通信・金融・鉄道・医療などの基幹インフラ分野の事業者です。これらは経済安全保障推進法でも「特定社会基盤事業者」として重要設備の審査対象とされており、能動的サイバー防御の文脈でも中核的な位置づけになります^*3。基幹インフラに直接該当しない企業でも、こうした事業者へシステムやサービスを供給する立場であれば、サプライチェーンの一部として同水準の備えを求められる場面が増えていきます。

3. 企業に求められる備え｜検知・ログ保全・報告

能動的サイバー防御の枠組みが機能する前提は、各企業が「自社で何が起きているかを正確に把握し、速やかに共有できる」ことにあります。制度の詳細が固まる前でも着手できる、実務上の備えを3点に整理します。

3-1. IT資産の可視化

守るべき対象が把握できていなければ、異常も検知できません。サーバー、ネットワーク機器、クラウドサービス、SaaSアカウントまでを台帳化し、どの資産がどの業務に紐づくかを可視化することが出発点になります。シャドーITや管理外のクラウド利用が残っていると、そこが攻撃の入り口になり、報告時にも影響範囲を特定できなくなります。棚卸しは一度きりでは足りず、新しいサービスの導入や退職者のアカウント整理に合わせて更新し続けることで、はじめて実態を映す台帳になります。

3-2. ログの取得と保全

インシデントの調査と報告には、通信ログ・認証ログ・操作ログの保全が欠かせません。攻撃を受けた際に「いつ・どこから・何が起きたか」を再構成できるよう、主要システムのログを一定期間保管し、改ざんされない形で管理する運用を整えておく必要があります。ログが分散していると、有事の初動が遅れる原因になります。

3-3. インシデント報告フローの整備

重大なインシデントを検知した際、社内のどのラインで判断し、いつ・どこへ報告するのかをあらかじめ決めておきます。情報システム部門だけでなく、経営層・法務・広報を含めた連絡体制と、外部の専門機関や委託先への連携手順を文書化しておくと、制度が定める報告にも落ち着いて対応できます。緊急時に判断の担当者が不在でも動けるよう、代理の決裁ラインまで決めておくと、初動の遅れを防げます。フローは作って終わりにせず、年に一度は想定訓練で実際に動かし、連絡先や手順の陳腐化を点検しておくことが望まれます。

4. 委託先・サプライチェーンの管理

攻撃者は、防御の堅い大企業を正面から狙うのではなく、セキュリティが手薄な委託先や取引先を経由して侵入する「サプライチェーン攻撃」を多用します。自社の対策をどれだけ固めても、システムの保守・運用を委託している先の水準が低ければ、そこが弱点になります。実際に、取引先が侵入経路となって本体の生産や業務が停止する事例は、国内でも繰り返し報じられてきました。

委託契約においては、再委託の範囲、アクセス権限の管理、インシデント発生時の報告義務、ログの提供範囲などをあらかじめ明確にしておくことが重要です。とりわけシステムの運用保守を外部に任せている場合、有事に「委託先が状況を把握できず、報告が滞る」事態を避けるため、平時から連絡体制と役割分担を取り決めておく必要があります。契約や運用の見直しにあたっては、次のような点を確認しておくとよいでしょう。

• 委託先が再委託を行う場合の範囲と、再委託先までの管理責任の所在
• 委託先に付与しているアクセス権限の棚卸しと、不要な権限の削除
• インシデント発生時に、いつ・誰に・どの内容を連絡するかの取り決め
• 調査に必要なログを、委託先から遅滞なく提供してもらえる体制
• 契約終了時のデータ返却・削除と、アカウントの停止手順

これらは特別なことではなく、既存の委託契約を一度点検すれば洗い出せる項目がほとんどです。能動的サイバー防御の実効性は、こうした委託先を含めた全体の底上げによって初めて確保されます。自社だけが高い水準を保っていても、つながる先に穴があれば、そこから全体が崩れる点を意識しておく必要があります。

5. 体制構築を内製するか外注するか

検知・ログ管理・報告体制の構築は、専任のセキュリティ人材を確保できる企業であれば内製が理想です。一方で、監視を24時間365日続ける運用や、制度改正の追随には相応の体制が要り、多くの企業では内製と外注の組み合わせが現実的な選択になります。

判断の軸は、「制度対応という一過性の負荷」と「継続的な監視・運用という定常負荷」を分けて考えることです。報告フローの設計や体制構築といった上流は自社の事情を最もよく知る内部が主導し、常時監視や高度な解析は専門ベンダーに委ねる、といった役割分担が現実的です。委託する場合も、報告義務の主体は自社に残る点を踏まえ、丸投げではなく状況を把握し続けられる契約と運用にしておくことが欠かせません。

特に人材確保が難しい地方の企業や、情報システム部門が少人数の企業では、監視や高度な解析まですべてを内製するのは現実的ではありません。こうした場合は、自社に残すべき「判断と説明責任」の部分と、外部の知見を借りるべき「常時監視・技術対応」の部分を切り分け、両者をつなぐ窓口だけは社内に確保しておく、という設計が有効です。委託先を選ぶ際は、単に監視ツールを提供するだけでなく、インシデント時の報告支援や制度動向のフォローまで伴走してくれるかどうかを見極めるとよいでしょう。

6. 段階的に進める備えのロードマップ

すべてを一度に整えようとすると負荷が大きく、途中で頓挫しがちです。制度の段階施行に合わせ、優先度の高いものから順に着手するのが現実的です。おおまかには、次の3ステップで進めると無理がありません。

ステップ1：現状把握（着手すべき最優先）

まずは自社のIT資産とログの取得状況を棚卸しし、「守るべきものと、いま見えていないもの」を洗い出します。ここが曖昧なままでは、後続のどの施策も土台を欠くことになります。あわせて、システムの保守・運用をどこまで外部に委託しているかを整理し、有事の連絡経路を確認しておきます。

ステップ2：報告体制の設計

次に、インシデントを検知してから社内で判断し、外部へ報告するまでの流れを文書化します。判断の責任者、報告の期限感、連絡先の一覧をまとめ、机上訓練で一度動かしてみると、抜け漏れが具体的に見えてきます。制度が定める報告に遺漏なく対応するには、この設計を早い段階で済ませておくことが効きます。

ステップ3：継続運用と見直し

体制は作って終わりではなく、脅威の変化や制度の詳細確定に合わせて更新し続ける必要があります。監視や解析を外部に委託する場合も、定期的に報告内容を確認し、訓練を繰り返すことで実効性を保ちます。年に一度は棚卸しと手順の見直しを行う運用に組み込んでおくと、形骸化を防げます。

いずれのステップも、完璧を目指すより「まず動く状態を作り、回しながら精度を上げる」姿勢が有効です。制度の全容が固まるのを待つのではなく、着実に進められる現状把握から着手することが、結果的に最短の備えになります。

7. まとめ

能動的サイバー防御は、国レベルで攻撃インフラに対処する新しい枠組みですが、その実効性は個々の企業が自社の状況を正確に把握し、速やかに共有できるかにかかっています。企業が今から着手すべきは、IT資産の可視化、ログの保全、インシデント報告フローの整備、そして委託先を含めたサプライチェーン全体の底上げです。段階的な施行スケジュールを見据え、制度の詳細が固まる前から準備を進めることが、2026年以降の円滑な対応につながります。

よくある質問

著者：テレリモ総研編集部　鈴木 亮佑

ご不明な点はお問い合わせフォームからもご連絡いただけます。

1. *1　出典：内閣官房「サイバー安全保障」（https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo/index.html）
2. *2　出典：内閣官房「サイバー安全保障分野での対応能力の向上に関する取組」（https://www.cas.go.jp/jp/seisaku/cyber_anzen_hosyo_torikumi/index.html）
3. *3　出典：衆議院調査局「サイバー対処能力強化法案の概要と論点」（https://www.shugiin.go.jp/internet/itdb_rchome.nsf/html/rchome/shiryo/2025ron22-11.pdf/$File/2025ron22-11.pdf）

Tweet